Definition: Mimikatz ist ein beliebtes, jedoch berüchtigtes Sicherheitswerkzeug, das ursprünglich von Benjamin Delpy entwickelt wurde. Es wird hauptsächlich verwendet, um Anmeldeinformationen wie Passwörter und Kerberos-Tickets aus dem Speicher eines Windows-Systems zu extrahieren.
Was ist Mimikatz?
Obwohl Mimikatz in erster Linie als Sicherheitsbewertungs- und Penetrationstesting-Tool entwickelt wurde, ist es heute auch eines der bevorzugten Werkzeuge von Cyberkriminellen für böswillige Angriffe.
Funktionen und Möglichkeiten von Mimikatz
Mimikatz bietet eine Vielzahl von Funktionen, die es sowohl Sicherheitsexperten als auch Angreifern ermöglichen, verschiedene Aspekte eines Windows-Systems auszunutzen:
- Passwort-Extraktion: Mimikatz kann im Arbeitsspeicher vorgehaltene Passwörter, sofern sie dort im Klartext vorliegen, sowie Passwort-Hashes auslesen.
- Kerberos-Ticket-Diebstahl: Es kann Kerberos-Tickets extrahieren und fälschen, um unbefugten Zugang zu Netzwerken zu erhalten.
- Golden Ticket: Mit dem Passwort-Hash des KRBTGT-Kontos kann Mimikatz sogenannte Golden Tickets erstellen, die weitreichenden Zugriff in der gesamten Domäne ermöglichen.
- LSASS-Dumping: Mimikatz greift auf den LSASS-Prozess zu, um sensible Daten zu extrahieren.
Typische Angriffsszenarien mit Mimikatz
Angreifer nutzen Mimikatz häufig in verschiedenen Phasen eines Cyberangriffs:
- Initialer Zugriff: Ein Angreifer erlangt ersten Zugriff auf ein System durch Phishing oder Exploits.
- Extraktion von Anmeldeinformationen: Verwendung von Mimikatz, um Passwörter und Kerberos-Tickets aus dem kompromittierten System zu extrahieren.
- Seitwärtsbewegung: Mit den extrahierten Anmeldeinformationen bewegt sich der Angreifer seitlich durchs Netzwerk.
- Dauerhafter privilegierter Zugang: Erstellung von Golden Tickets, um dauerhaften Zugriff zu erhalten und die Erkennung zu umgehen.
Schutzmaßnahmen gegen Mimikatz
Organisationen sollten mehrere Ebenen des Schutzes implementieren, um die Effektivität von Mimikatz zu minimieren:
- Sicherheitsbewusstsein: Schulen Sie Ihre Mitarbeiter darin, Phishing-Versuche zu erkennen und zu melden.
- Härtung von LSASS: Betreiben Sie LSASS als geschützten Prozess (LSA-Schutz) und nutzen Sie Credential Guard, wo möglich.
- Regelmäßige Sicherheitsupdates: Halten Sie Systeme und Software auf dem neuesten Stand, um Schwachstellen zu schließen, die von Mimikatz ausgenutzt werden können.
- Einsatz von Endpoint Detection & Response (EDR): Implementieren Sie Lösungen, die ungewöhnliche Aktivitäten erkennen und darauf reagieren können.
- Netzwerksegmentierung: Reduzieren Sie das Risiko der seitlichen Bewegung durch Segmentierung Ihres Netzwerks.
Weitere Härtungsmaßnahmen für Windows und Active Directory
- Lokale Administratorrechte begrenzen: Mimikatz benötigt für viele Funktionen administrative Rechte; Standardbenutzer sollten daher keine lokalen Administratoren sein.
- Eindeutige lokale Administratorpasswörter: Mit Lösungen wie Windows LAPS verhindern Sie, dass ein erbeutetes Passwort auf vielen Systemen gilt.
- Privilegierte Konten schützen: Domänenadministratoren nur auf dafür vorgesehenen, gehärteten Systemen anmelden lassen und die Gruppe „Protected Users“ nutzen.
- WDigest deaktiviert lassen: So werden Passwörter nicht im Klartext im Arbeitsspeicher vorgehalten.
- Nach einem Vorfall: Bei Verdacht auf Golden Tickets das Passwort des KRBTGT-Kontos zweimal zurücksetzen.
Fazit
Mimikatz ist zweifellos ein mächtiges Tool, das Pentestern wertvolle Einsichten liefert und zugleich eine erhebliche Bedrohung für IT-Sicherheitsteams darstellt. Das Verständnis seiner Funktionsweise und das Implementieren geeigneter Schutzmaßnahmen sind entscheidend, um Netzwerke gegen die Bedrohungen, die von diesem Tool ausgehen, zu sichern.
🔒 Lassen Sie Ihre Systeme auf Schwachstellen gegenüber Mimikatz testen: Sprechen Sie uns jetzt an.
📌 Verwandte Themen: Kerberos-Angriffe, Pass-the-Hash