[译]Skeleton Key Malware & Mimikatz

原文地址：
http://adsecurity.org/?p=1255
http://adsecurity.org/?p=1275
Skeleton Key Malware安装在一个/多个64位DC上。该软件“patch”系统来启动一个主密码来接受任何域user，包括admins。
这样就允许attacker使用他们想用的任何username和恶意软件中配置的主密码(skeleton key)来登陆。“Joe”用户可以继续使用他的密码来登陆，而attacker可以使用skeleton key来登陆Joe的账户。
关键点：
1. 需要域管理员级别权限来“patch” LSASS
2. 已经存在的账户继续正常工作
3. 添加一个新的密码允许攻击者可以以任何账户登录--这就是skeleton key
4. 域控制器也许会经历复制问题
5. 当前的Skeleton key在重启后会失效-重启DC会删除内存中“patch”。主意DC通常一个月只会重启一次
6. skeleton key只运行在64位系统中
7. mimikatz支持skeleton key功能



在DC中使用Mimikatz来注入skeleton key


场景：
attacker利用MS14-068(http://adsecurity.org/?p=763)或KRBTGT NTLM password hash(http://adsecurity.org/?p=483)来生成Kerberos Golden Ticket来伪装成一个合法的域管理员账户。attacker利用伪造的Kerberos TGT ticket通过PowerShell remoting来访问DC。 PowerShell remoting运行在WinRM上，并且提供一个运行在远端主机上的shell(类似ssh)。这时，attacker在DC上运行一个使用"invoke-command"来运行mimikatz命令的脚本

验证Mimikatz Skeleton Key
1. 测试普通user

2. 测试域管理员