Definition: Mimikatz ist ein frei verfügbares Werkzeug, das Benjamin Delpy entwickelt hat. Es liest Anmeldedaten wie Passwörter, Passwort-Hashes und Kerberos-Tickets aus dem Arbeitsspeicher von Windows aus. Pentester nutzen es, um Schwachstellen zu zeigen. Angreifer nutzen es, um sich im Netzwerk weiter auszubreiten.
Was ist Mimikatz?
Windows hält Anmeldedaten im Arbeitsspeicher vor, damit Nutzer sich nicht ständig neu anmelden müssen. Zuständig ist der Prozess LSASS. Mimikatz greift genau dort an. Mehr zum Prozess lesen Sie unter Hacking LSASS.exe.
Mimikatz entstand als Werkzeug, um Schwächen in Windows zu zeigen. Heute gehört es zum Standard bei Penetrationstests. Es ist aber auch eines der beliebtesten Werkzeuge von Angreifern. Bekannt wurde es unter anderem durch die Schadsoftware NotPetya, die damit Anmeldedaten auslas.
Was kann Mimikatz?
- Anmeldedaten auslesen: Mimikatz liest Passwort-Hashes aus dem LSASS-Speicher. Liegen Passwörter dort im Klartext vor, liest es auch diese.
- Pass-the-Hash: Der Angreifer meldet sich mit dem Hash an, ohne das Passwort zu kennen. Siehe Pass-the-Hash.
- Pass-the-Ticket: Gestohlene Kerberos-Tickets werden auf anderen Systemen wiederverwendet.
- Golden Ticket: Mit dem Hash des KRBTGT-Kontos erstellt der Angreifer eigene Tickets. Sie gewähren weitreichenden Zugriff in der ganzen Domäne.
- Silver Ticket: Gefälschte Tickets für einzelne Dienste, etwa einen Dateiserver.
- DCSync: Mimikatz gibt sich als Domänencontroller aus und fordert Passwort-Hashes aus dem Active Directory an. Dafür braucht es bestimmte Replikationsrechte.
Für viele Funktionen braucht Mimikatz Administratorrechte oder das Debug-Recht auf dem System.
So läuft ein Angriff mit Mimikatz ab
- Erster Zugriff: Der Angreifer gelangt auf einen Rechner, zum Beispiel über Phishing oder eine Schwachstelle.
- Rechte ausweiten: Er verschafft sich lokale Administratorrechte. Siehe Privilegieneskalation.
- Anmeldedaten stehlen: Mit Mimikatz liest er Hashes und Tickets aller Nutzer aus, die auf dem Rechner angemeldet waren.
- Seitwärts bewegen: Mit diesen Daten meldet er sich an weiteren Systemen an. Das Ziel ist ein Konto mit Domänen-Administratorrechten.
- Dauerhaft bleiben: Mit einem Golden Ticket sichert er sich langfristigen Zugriff auf die Domäne.
Ein einziger Administrator, der sich auf einem infizierten Arbeitsplatz anmeldet, kann so die ganze Domäne gefährden.
Schutzmaßnahmen gegen Mimikatz
LSASS härten
- LSA-Schutz aktivieren: LSASS läuft dann als geschützter Prozess. Fremde Programme können seinen Speicher nicht mehr einfach lesen. Die Funktion gibt es ab Windows 8.1 und Windows Server 2012 R2. Bei Neuinstallationen von Windows 11 ab 22H2 ist sie standardmäßig aktiv.
- Credential Guard nutzen: Windows verlagert NTLM-Hashes und Kerberos-Tickets dabei in einen abgeschotteten, virtualisierten Bereich. Microsoft nennt ausdrücklich Pass-the-Hash und Pass-the-Ticket als Angriffe, die damit erschwert werden. Credential Guard setzt Windows Enterprise oder Education und passende Hardware voraus. Auf Domänencontrollern empfiehlt Microsoft es nicht.
- WDigest deaktiviert lassen: So werden Passwörter nicht im Klartext im Arbeitsspeicher vorgehalten.
Credential Guard schützt nicht alles. Lokale Konten, die SAM-Datenbank und die Active-Directory-Datenbank selbst deckt es nicht ab.
Rechte begrenzen
- Lokale Administratorrechte entziehen: Normale Nutzer brauchen keine Administratorrechte. Das Debug-Recht sollte nur haben, wer es wirklich braucht.
- Eindeutige lokale Administratorpasswörter: Mit Windows LAPS gilt ein erbeutetes Passwort nicht auf vielen Systemen gleichzeitig.
- Administratoren trennen: Domänenadministratoren melden sich nur auf dafür vorgesehenen, gehärteten Systemen an. Die Gruppe „Protected Users“ schützt privilegierte Konten zusätzlich.
- Netzwerk segmentieren: Segmente erschweren es, sich seitlich durch das Netzwerk zu bewegen.
Mimikatz erkennen
- Zugriffe auf LSASS überwachen: Ungewöhnliche Programme, die den Speicher von LSASS lesen wollen, sind ein deutliches Warnsignal.
- LSA-Schutz im Prüfmodus: Windows protokolliert dann Programme, die LSASS laden wollen, in den Ereignissen 3065 und 3066. So finden Sie vor dem Einschalten heraus, was blockiert würde.
- Kerberos auffällig: Tickets mit ungewöhnlich langer Laufzeit oder Anmeldungen von unerwarteten Systemen deuten auf Golden Tickets oder Pass-the-Ticket hin.
- EDR einsetzen: Lösungen für Endpoint Detection and Response erkennen typische Angriffsmuster auf Endgeräten.
Was tun nach einem Mimikatz-Fund?
- Betroffene Systeme vom Netz trennen und Spuren sichern.
- Davon ausgehen, dass alle Anmeldedaten auf dem System gestohlen sind.
- Passwörter der betroffenen und aller privilegierten Konten zurücksetzen.
- Bei Verdacht auf Golden Tickets das Passwort des KRBTGT-Kontos zweimal zurücksetzen.
- Den Incident-Response-Plan starten und klären, wie der Angreifer hereinkam.
Mimikatz im Penetrationstest
Ein Pentest zeigt, wie weit ein Angreifer mit Werkzeugen wie Mimikatz in Ihrem Netzwerk käme. Im Penetrationstest von SecTepe gehört das Active Directory zum möglichen Prüfumfang. Wir testen dabei auch, ob sich ein Angreifer mehr Rechte verschaffen kann.
Fazit
Mimikatz nutzt aus, dass Windows Anmeldedaten im Arbeitsspeicher vorhält. Ganz verhindern lässt sich das nicht. Aber LSA-Schutz, Credential Guard, wenige Administratorrechte und getrennte Admin-Konten nehmen dem Werkzeug den größten Teil seiner Wirkung.
Häufige Fragen zu Mimikatz
Ist Mimikatz ein Virus?
Nein. Mimikatz ist ein frei verfügbares Werkzeug und verbreitet sich nicht von selbst. Virenscanner stufen es trotzdem meist als gefährlich ein, weil Angreifer es oft einsetzen.
Ist der Einsatz von Mimikatz legal?
Setzen Sie Mimikatz nur auf eigenen Systemen oder mit schriftlicher Erlaubnis ein, etwa im Rahmen eines beauftragten Penetrationstests. Auf fremden Systemen ohne Erlaubnis ist der Einsatz ein Angriff.
Funktioniert Mimikatz unter Windows 11?
Grundsätzlich ja. Windows 11 erschwert den Angriff aber deutlich. Bei Neuinstallationen ab Version 22H2 ist der LSA-Schutz standardmäßig aktiv. Auf passenden Geräten in einer Domäne gilt das unter Windows 11 Enterprise und Education auch für Credential Guard.
Erkennt ein Virenschutz Mimikatz?
Bekannte Versionen meist ja. Angreifer verändern das Werkzeug aber oder laden es nur in den Arbeitsspeicher. Verlassen Sie sich deshalb nicht allein auf den Virenschutz, sondern härten Sie LSASS und überwachen Sie Zugriffe darauf.
Was tun, wenn Mimikatz im Netzwerk gefunden wurde?
Gehen Sie von gestohlenen Zugangsdaten aus. Isolieren Sie betroffene Systeme, setzen Sie Passwörter privilegierter Konten zurück und starten Sie Ihren Incident-Response-Plan. Besteht Verdacht auf Golden Tickets, setzen Sie das Passwort des KRBTGT-Kontos zweimal zurück.