Abusando do DPAPI para Acesso a Credenciais

Aviso Legal: Esta habilidade destina-se apenas a testes de penetração autorizados, engajamentos de equipe vermelha e fins educacionais. Extrair credenciais de sistemas que você não possui ou para os quais não tem autorização explícita por escrito para testar é ilegal e pode violar as leis de fraude e abuso de computador. Opere sempre dentro de um conjunto de regras de engajamento assinado e documente cada ação.

Visão Geral

A API de Proteção de Dados do Windows (DPAPI) é o serviço de criptografia simétrica integrado do sistema operacional que os aplicativos usam para proteger segredos em repouso: credenciais RDP e do Gerenciador de Credenciais do Windows salvas, credenciais de Wi-Fi e da web no Cofre de Credenciais, logins e cookies salvos no navegador (Chrome/Edge), chaves do KeePass, chaves privadas de certificados e senhas de Tarefas Agendadas. O DPAPI deriva uma chave mestra por usuário (ou por máquina) da senha do usuário (ou do segredo da conta da máquina), e essa chave mestra criptografa "blobs DPAPI" individuais. As chaves mestras criptografadas residem em %APPDATA%\Microsoft\Protect\<SID>\ (usuário) e %WINDIR%\System32\Microsoft\Protect\ (máquina).

Equipes vermelhas abusam do DPAPI para recuperar segredos em texto claro após obterem um ponto de apoio, mapeando para o MITRE ATT&CK T1555.004 (Credenciais de Armazenamentos de Senhas: Gerenciador de Credenciais do Windows). Existem três caminhos de descriptografia principais:

1. Online / baseado em contexto — executando como o usuário de destino, as APIs do DPAPI (CryptUnprotectData) descriptografam transparentemente os blobs do usuário. O sinalizador /unprotect do SharpDPAPI usa isso.
2. Offline com a senha do usuário ou hash NTLM — descriptografe as chaves mestras do usuário com /password: ou /ntlm:, e então descriptografe os blobs offline (ótimo para arquivos triados extraídos de um host).
3. Em todo o domínio com a chave de backup DPAPI — Administradores de Domínio podem extrair a chave de backup RSA DPAPI do domínio (.pvk) uma vez, e então descriptografar as chaves mestras de qualquer usuário do domínio para sempre, online ou offline, com /pvk:.

As ferramentas canônicas são SharpDPAPI (GhostPack, uma porta C# da funcionalidade DPAPI do Mimikatz) para Windows, SharpChrome para segredos do navegador e Mimikatz (dpapi::*) como a implementação original. No Linux, dpapi.py e donpapi do Impacket realizam triagem remota/offline.

Quando Usar

• Após comprometer um host Windows onde o usuário salvou credenciais RDP, de navegador ou do cofre que valham a pena coletar para movimento lateral.
• Quando você possui a senha ou o hash NTLM de um usuário e deseja descriptografar seus segredos protegidos por DPAPI offline.
• Quando você tem privilégios de Administrador de Domínio e deseja obter a chave de backup DPAPI do domínio para descriptografar os dados protegidos de qualquer usuário em todo o ambiente.
• Ao triar diretórios Credentials, Vault ou Protect exfiltrados de imagens de disco.
• Durante exercícios de equipe roxa para validar a detecção de acesso à chave mestra DPAPI e leituras do LSASS/pasta protegida.

Pré-requisitos

• Um ponto de apoio autorizado (sessão interativa, beacon ou administrador remoto) no host Windows de destino.
• Conhecimento do SID do usuário de destino e um dos seguintes: a sessão do usuário, senha, hash NTLM ou direitos de Administrador de Domínio para a chave de backup.
• Ferramentas (compile do código-fonte ou use binários de lançamento; obtenha apenas de fontes oficiais):

# SharpDPAPI / SharpChrome (GhostPack) — build with Visual Studio / msbuild
git clone https://github.com/GhostPack/SharpDPAPI.git
# Open SharpDPAPI.sln and build Release, or:
msbuild SharpDPAPI.sln /p:Configuration=Release

# Mimikatz (original DPAPI implementation)
# https://github.com/gentilkiwi/mimikatz/releases

# Linux remote/offline triage (Impacket)
pipx install impacket            # provides dpapi.py / impacket-dpapi
pipx install donpapi             # https://github.com/login-securite/DonPAPI

Objetivos

• Triar um host em busca de blobs de credenciais, cofre, RDP e certificados protegidos por DPAPI.
• Descriptografar chaves mestras de usuário online (/unprotect), com uma senha/hash ou com a chave de backup do domínio.
• Recuperar segredos do Gerenciador de Credenciais e do Cofre em texto claro.
• Extrair logins e cookies salvos do navegador com o SharpChrome.
• Obter e reutilizar a chave de backup DPAPI do domínio para descriptografia em todo o ambiente.

Mapeamento MITRE ATT&CK

…