ハッカーはhekatombでLDAPディレクトリに接続してすべてのコンピューターとユーザー情報を取得する(Kali Linux)

hekatombは Kali Linux 2024.3 リリース時に追加されたツールです。

hekatombとは

Hekatomb は、LDAPディレクトリに接続してすべてのコンピューターとユーザー情報を取得するPythonスクリプトです。
次に、すべてのコンピューターからすべてのユーザーのすべてのDPAPIブロブをダウンロードします。
最後に、RPCを介してドメインコントローラーの秘密鍵を抽出し、それを使用してすべての資格情報を復号化します。

LDAPディレクトリとは

LDAPディレクトリ（Lightweight Directory Access Protocolディレクトリ）は、ネットワーク上でユーザーやデバイス、その他のリソースに関する情報を効率的に管理するためのデータベースの一種です。LDAPは、ディレクトリサービスにアクセスするためのプロトコル（通信規約）で、特に認証やユーザー管理のために使われます。

LDAPディレクトリでは、情報がツリー構造で整理されています。例えば、学校の組織図のように、学校が一番上にあり、その下にクラスや先生、生徒が並んでいるイメージです。各エントリには、名前やメールアドレスなどの情報が含まれています。

LDAPは主にユーザー認証に使われます。例えば、ログインするときにLDAPディレクトリに保存されている情報を使って、あなたが正しいユーザーかどうかを確認します。企業や学校で多くのユーザーを一元管理するために便利なシステムです。

DPAPIブロブとは

DPAPIブロブは、Windowsの「データ保護API（DPAPI）」を使って暗号化されたデータのことです。DPAPIは、パスワードや機密データを安全に保存するための仕組みです。

たとえば、アプリがユーザーのパスワードを保存したいとき、そのまま保存すると危険なので、DPAPIを使って暗号化します。この暗号化されたデータが「ブロブ」と呼ばれます。ブロブは、外部から見ても元のデータが何か分からないように変換されています。

DPAPIを使うと、Windowsが自動でユーザーのパスワードやコンピュータの情報を利用して暗号化と復号を行います。これにより、ユーザーは特別な知識やツールを使わなくても安全にデータを保護できます。DPAPIは、個人のファイルやパスワードを守るために使われる重要な技術です。

RPCとは

RPC（リモートプロシージャコール）は、離れた場所にあるコンピュータ上のプログラムを、自分のコンピュータ上にいるかのように使うための仕組みです。

たとえば、あなたが家のパソコンから友達のパソコンにあるゲームを操作したいとします。でも、直接そのパソコンの前に座っているわけではありません。この場合、RPCを使えば、自分のパソコンから友達のパソコンのゲームを動かすことができます。RPCは、プログラム同士がネットワークを通じて「リモート」（遠隔）のコンピュータとやり取りする方法を提供します。

簡単に言えば、RPCは遠くにあるコンピュータを手元にあるかのように操作するための便利な仕組みです。

機能

・LDAPからのドメイン・コンピューターとユーザーの抽出を自動化するためのスクリプト。
・ドメインコントローラーの秘密鍵をRPCで抽出し、Windowsのクレデンシャルマネージャーに保存されているすべてのユーザーのDPAPIシークレットを収集し、復号化する。
・Windowsのクレデンシャルマネージャーに保存されているすべてのユーザーのDPAPIシークレットを収集し、復号化する。

ツールの場所

1.検索窓から「hekatomb」を検索して見つからない場合は

2.画面上部メニューより、「Terminal Emulator」から「Root Terminal Emulator」を選択します。

3.Authenticate画面で、Kali Linuxのパスワード"kali"を入力して「Authenticate」ボタンを押下します。

4.Root Terminal Emulatorが立ち上がりました。

5."hekatomb"と入力して、Enterボタンを押下します。

6.以下の応答が帰ってくるので"y"(インストール)ボタンを押下します。

コマンド 'hekatomb’ が見つかりません：
apt install hekatomb
インストールしますか？(N/y)

※ここで、「Error:Unable to locate package hekatomb」と表示された場合は
Kali Linuxをアップデートして、その後アップグレートしてください。
#apt update
#apt full-upgrade -y
アップグレート後、"hekatomb"と入力して、Enterボタンを押下します。

7.hekatombがインストールされました。

8."hekatomb"を実行します。

これでhekatombがインストールされたことを確認しました。
メニューには"hekatomb"が登録されていないため、直にターミナルから"hekatomb"を入力してください。

ツールと使用方法

hekatomb [-h] [-hashes LMHASH:NTHASH] [-pvk PVK] [-dns DNS]
[-port [port]] [-smb2] [-just-user JUST_USER]
[-just-computer JUST_COMPUTER] [-md5] [-csv] [-debug]
[-debugmax]
target

位置引数(positional arguments)
target [[domain/]username[:password]@]<targetName or address of DC>

hekatomb livaspacenter.com
※livaspacenter.comは私のテスト用ドメインです。