Robando Credenciales con incógnito (Procesos en Memoria)

Continuando con meterpreter , existe una "utilidad" llamada incógnito originalmente independiente que se integro a metasploit y luego en meterpreter, esta herramienta permita robar los "tokens" en un sistema comprometido haciendo analogía a las Cookies de la web.

Es decir si un usuario ejecuta un proceso y nosotros lo listamos con ps de meterpreter , verificamos los procesos creados ( y que usuario los creo el mismo) incógnito permite robar las credenciales del proceso en memoria y obtener la "identidad", en otras palabras suplantar sus roles y permisos del sistema comprometido.

Siguiendo el post de Metasploit & Meterpreter , una vez comprometido el sistema podríamos robar las credenciales , ¿ para que corno robar las credenciales? , bueno depende de nuestra imaginacion.

Supongamos que necesitamos crear usuarios un Controlador de dominio y sabes a priori tenemos identificado el dominio , en nuestro caso se llama pps-labs

Listando los procesos con el comando ps de meterpreter

 Antes de robar la nueva "identidad" verificamos la nuestra, en este caso el servidor comprometido es un windows 2003 server y estamos como administrador

Window server 2003 Comprometido

Usuario antes de robar la credencial con incógnito

En el listado encontramos a un usuario\dominio llamado Chuck\pps-labs para robar la credencial necesitamos conocer el PID (identificador de proceso) 1540, procedemos a robar la credencial.

Robando la credencial con incógnito "steal_token PID"

Imaginemos el siguiente escenario , supongamos el usuario Chuck es el dueño y señor del controlador de dominio(Windows 2008), una vez suplantada su identidad podríamos crear usuarios , eliminar o modificar los grupos y permisos del usuario que necesitemos.

En mi caso creare un usuario y lo agregar al grupo de administradores del Servidor Windows 2008 R1 desde una shell remota de un Windows 2003 Server.

Agregando un usuario NET USER

Una vez agregado el usuario con la identidad (Chuck el administrador de dominio del windows 2008 server ) , procedemos a agregar al grupo de administradores

Agregando nuestro usuario creado al grupo de "Administradores"

Con eso acabamos de crear un usuario del el dominio pps-labs  en el windows 2008 R1 sin acceder al mismo.

ipconfig windows 2008 server

Considero que incógnito es una utilidad que todo pentester debería conocer y utilizar.

Saludos!