Cookies op Tweakers

Tweakers is onderdeel van DPG Media en maakt gebruik van cookies, JavaScript en vergelijkbare technologie om je onder andere een optimale gebruikerservaring te bieden. Ook kan Tweakers hierdoor het gedrag van bezoekers vastleggen en analyseren. Door gebruik te maken van deze website, of door op 'Cookies accepteren' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt? Bekijk dan ons cookiebeleid.

Meer informatie
Toon posts:

Mimikatz aangetroffen in Windows installatie

Pagina: 1
Acties:

Vraag


  • NMH
  • Registratie: oktober 2015
  • Laatst online: 14:31
Ik had niet verwacht dat ik een keer een topic in dit forumdeel zou openen, maar ik heb nu een dingetje waar ik wat advies kan gebruiken. :)

Een beetje context vooraf: ik heb een jaar of tien geleden Windows vrijwel volledig achter me gelaten; zowel voor mijn werk als prive gebruik ik vrijwel uitsluitend Linux. Gevolg daarvan is dat ik prima uit de voeten kan met Linux, maar dat mijn Windows-kennis behoorlijk weggezakt en out-of-date is. Ik gebruik Windows alleen nog sporadisch om Windows-only software te gebruiken voor mijn fotografie hobby (voornamelijk Photoshop); voor dat doel heb ik een Windows 10 VM op mijn Linux-machine die ik aanslinger als ik hem nodig heb.

Ik heb begin maart de VM weer eens afgestoft en een nieuw stuk software geinstallerd: PTGui, een tool om panoramas te stitchen. Een paar avonden later toen ik met mijn nieuwe speeltje bezig was kreeg ik een notification van Windows Defender dat er Mimikatz was aangetroffen (ik weet de precieze melding helaas niet meer). Wat Googlen leerde mij dat dit een tool is om authenticatie-credentials buit te maken, waarna ik de VM eerst maar even uitgezet om de zaak te laten bezinken en na te denken over vervolgstappen.

Voor nu ga ik er maar even van uit dat het geen false positive was en dat er dus meuk in mijn Windows VM zat die er niet thuis hoort. Ik heb ondertussen een backup van de VM van voor maart teruggezet, dus als dit een recente "aanwinst" was, dan zou het nu weg moeten zijn. (Ik heb er sindsdien wegens tijdgebrek nog niet weer naar gekeken.)

Wat ik me nu afvraag is hoe die troep binnengekomen is, aangezien ik (zeker in Windows) behoorlijk security conscious ben. Als ik de VM een tijd lang niet gebruikt heb dan laat ik hem bijvoorbeeld eerst netjes alle software updaten, zowel het OS zelf als de applicaties (waaronder McAfee). Verder wordt die VM eigenlijk alleen voor fotobewerking gebruikt, dus vrijwel niet om te browsen, te mailen, etc. Alle software is uiteraard legaal en netjes betaald, dus geen warez, cracks en dergerlijke of software van dubieuze oorsprong. Ervanuitgaande dat Mimikatz een "nieuwe" aanwinst is, kan ik twee mogelijke routes bedenken:
  • Via een exploit in Windows zelf. De VM was een goede twee maand niet gebruikt, dus Windows heeft onvermijdelijk even gedraaid met twee maanden achterstand aan updates terwijl de nieuwe updates geinstalleerd werden. Gevoelsmatig lijkt me dat niet heel waarschijnlijk.
  • De PTGui installer bevatte een ongewenst extraatje. Wat daar tegen pleit is dat ik a) de installer gescand heb met McAfee voor hem te starten en b) ik dan onderhand wel een mailtje of ten minste een melding op de PTGui site verwacht zou hebben.
Alternatief is dat Mimikatz al langer aanwezig was, maar dan had ik wel eerder een melding verwacht van Windows Defender. Bovendien is het niet zo dat er op een eerder moment wel een duidelijke
mogelijkheid was om binnen te komen; ik kan me bijvoorbeeld niet herinneren wanneer ik voor PTGui voor het laatst nieuwe software in Windows heb geinstalleerd.

Ik zit dus al met al met de nodige vragen. Hoe is het binnengekomen en voorkom ik een eventuele herintrede? Hoe kan ik het beste checken of de teruggezette versie van de VM "schoon" is? Alle antwoorden en overige inzichten zijn van harte welkom. :)

Beste antwoord (via NMH op 31-03-2021 21:11)


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:31

sh4d0wman

Long live the King!

Met Brahiewahiewa, met name zijn laatste stuk, Mimikatz komt vaak mee in een semi-handmatige aanval zoals een rasomware campaign / supply chain attack (waarbij legitieme software via het update mechanisme een dropper pusht).

Start even je Windows VM zonder netwerk op en check wat er precies gedetecteerd is. Uiteraard ook de rest van je netwerk onderzoeken, met extra aandacht voor NAS en IOT.

edit: ik neem aan dat je Windows image / vm legit is. Dus van een officiele MS DVD/ISO.

[Voor 10% gewijzigd door sh4d0wman op 26-03-2021 04:58]

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.

Alle reacties

Pagina: 1


Apple iPad Pro (2021) 11" Wi-Fi, 8GB ram Microsoft Xbox Series X LG CX Google Pixel 5a 5G Sony XH90 / XH92 Samsung Galaxy S21 5G Sony PlayStation 5 Nintendo Switch Lite

Tweakers vormt samen met Hardware Info, AutoTrack, Gaspedaal.nl, Nationale Vacaturebank, Intermediair en Independer DPG Online Services B.V.
Alle rechten voorbehouden © 1998 - 2021 Hosting door True