Mimikatz es como la navaja suiza de las herramientas de posexplotación, pero para los malos. Es famosa por extraer credenciales en texto plano, hashes de contraseñas, tickets Kerberos y otros datos de autenticación de sistemas Windows. Originalmente creada para investigación, ahora es una herramienta preferida tanto por quienes hacen pruebas de penetración como por los atacantes. Piensa en red teaming, escalada de privilegios y movimiento lateral.
¿Versión corta? Mimikatz se mete en el proceso LSASS (Local Security Authority Subsystem Service) en memoria y extrae datos de autenticación sensibles. Si alguien tiene acceso de administrador o nivel SYSTEM, puede obtener:
Contraseñas en texto plano (solo si WDigest está habilitado)
Hashes NTLM
Tickets Kerberos
Con esto en mano, los atacantes pueden iniciar ataques de pass-the-hash o pass-the-ticket para causar aún más problemas.
Aquí está el asunto: Mimikatz es completamente legal cuando tienes permiso para usarlo. ¿Pruebas de penetración, ejercicios de red team o investigación de seguridad? Adelante. Pero, ¿usarlo en sistemas sin autorización? Ni pensarlo. Eso es ilegal y te pone del lado equivocado de las leyes de ciberseguridad.
Una vez que los atacantes están dentro, Mimikatz los ayuda a moverse y escalar privilegios. Así funciona el plan:
Obtienen hashes NTLM para iniciar sesión en otros dispositivos sin contraseñas.
Falsifican tickets Kerberos (como golden tickets) para hacerse pasar por usuarios.
Realizan ataques DC Sync para robar datos de contraseñas directamente de los controladores de dominio.
En esencia, abren todas las puertas a los sistemas sensibles, mantienen la persistencia y escalan su acceso.
Detectar Mimikatz puede ahorrarte muchos dolores de cabeza. Así puedes identificarlo en acción:
Usa herramientas EDR o XDR para monitorear alteraciones en la memoria de LSASS.
Marca los argumentos de línea de comandos conocidos de Mimikatz.
Busca comportamientos de PowerShell o scripts relacionados con el volcado de credenciales.
Configura reglas de Sysmon para detectar patrones de acceso inusuales.
¿Consejo extra? Vigila actividad extraña de Kerberos o anomalías de replicación en tus controladores de dominio.
Son como primos en la familia del robo de credenciales:
Pass-the-Hash (PtH): usa un hash de NTLM para iniciar sesión en sistemas, sin necesidad de contraseña.
Pass-the-Ticket (PtT): usa un ticket de Kerberos robado (TGT o TGS) para hacerse pasar por un usuario legítimo.
Ambos evitan las contraseñas, pero PtH explota la autenticación NTLM, mientras que PtT se centra en Kerberos.
¿La respuesta corta? Sí, pero requiere esfuerzo. Aquí tienes tu plan de batalla:
Activa Credential Guard para bloquear el acceso a LSASS.
Activa RunAsPPL para darle a LSASS protección adicional.
Desactiva WDigest a menos que lo necesites de verdad.
Sigue principios estrictos de privilegio mínimo y vigila la actividad de los administradores.
Aunque Mimikatz no siempre se puede detener del todo, estos pasos hacen que sea mucho más difícil para los atacantes tener éxito. Mantente firme y alerta.
Recursos adicionales
Descubre por qué los vectores de inicialización son fundamentales para la seguridad de los datos en esta guía de Huntress. Comprende cómo funcionan, su papel en la criptografía y las mejores prácticas para administrarlos.
Descubre qué es la seguridad del correo electrónico, cómo protege contra amenazas cibernéticas y por qué es esencial para la ciberseguridad. Información para principiantes de Huntress.
Descubre qué es el volcado de datos, por qué los cibercriminales lo buscan y cómo proteger tus volcados de base de datos de las amenazas de seguridad. Guía esencial para profesionales de TI.
