La herramienta de código abierto DPAPISnoop ha sido actualizada para permitir la extracción de entradas de CREDHIST. Esta mejora, implementada por Lefteris Panos de LRQA Red Team, facilita la recuperación y el análisis de credenciales históricas de Windows y el descifrado de hashes de claves maestras de DPAPI, permitiendo así el crackeo offline de contraseñas y un estudio más detallado de sus patrones.

La herramienta de código abierto DPAPISnoop ha sido mejorada para extraer entradas de CREDHIST, lo que permite el crackeo offline de credenciales históricas de Windows y una comprensión más profunda de los patrones de contraseñas.

Lefteris Panos, Consultor de Seguridad en el Red Team de LRQA, afirmó que la actualización añade capacidades de extracción de CREDHIST a DPAPISnoop, permitiendo la recuperación y el análisis de credenciales históricas de Windows junto con los hashes de la Clave Maestra de DPAPI.

 

La API de Protección de Datos de Microsoft (DPAPI) se utiliza ampliamente para proteger datos sensibles del usuario, como credenciales del navegador, claves de cifrado y secretos almacenados.

Tradicionalmente, los atacantes y los equipos rojos se centran en recuperar las Claves Maestras de DPAPI, que permiten el descifrado de los datos protegidos. Sin embargo, otro artefacto menos explorado, CREDHIST, juega un papel fundamental en el diseño de DPAPI.

La herramienta DPAPISnoop extrae

Cuando un usuario cambia su contraseña, Windows mantiene una cadena de claves derivadas de contraseñas anteriores para garantizar que los datos cifrados más antiguos sigan siendo accesibles.

Este historial de credenciales se almacena en el archivo CREDHIST ubicado en: %APPDATA%\Microsoft\Protect.

Cada entrada en el archivo representa una contraseña anterior, cifrada utilizando material de clave derivado de esa contraseña, formando una cadena secuencial.

Según Lefteris Panos del Red Team de LRQA, la herramienta DPAPISnoop actualizada puede analizar archivos CREDHIST y convertir las entradas en formatos de hash que se pueden crackear offline.

 

Estos hashes, identificados por el prefijo “$credhist$”, pueden usarse directamente con Hashcat.

Para soportar esto, los investigadores introdujeron dos nuevos modos de Hashcat:

1. 15920 para entradas de CREDHIST que utilizan 3DES con HMAC-SHA1.

2. 15930 para entradas que utilizan AES-256 con SHA-512.

Esto permite que los atacantes o evaluadores realicen un ataque de fuerza bruta a las contraseñas históricas de forma independiente, sin necesidad de descifrar toda la clave DPAPI de antemano.

Una vez extraídos los hashes, pueden crackearse offline utilizando herramientas basadas en GPU como Hashcat. Si se recupera una contraseña, esta puede introducirse de nuevo en DPAPISnoop para descifrar entradas adicionales en la cadena.

Por ejemplo, crackear una entrada de CREDHIST intermedia revela el hash SHA1 o NTLM de una contraseña más antigua, que luego puede usarse para desbloquear más entradas. Este proceso iterativo permite la reconstrucción del historial de contraseñas de un usuario.

Cabe destacar que las entradas más antiguas suelen utilizar esquemas criptográficos más débiles, como PBKDF2 basado en SHA1 con 3DES, lo que las hace significativamente más fáciles de crackear que las implementaciones modernas de SHA-512 con conteos de iteraciones más altos.

Aunque este comportamiento no es una vulnerabilidad, resalta cómo las funcionalidades legítimas de Windows pueden ser aprovechadas para obtener credenciales cuando los atacantes ganan acceso al sistema de archivos.

La capacidad de recuperar contraseñas históricas proporciona inteligencia valiosa, incluyendo: la identificación de patrones de reutilización de contraseñas, conocimiento de las tendencias de complejidad de las contraseñas y la posible reutilización en sistemas empresariales.

Esto puede acelerar significativamente el movimiento lateral y la escalada de privilegios en ataques del mundo real.

Detección y Mitigación

Quienes defiendan la red deben monitorizar el acceso anormal a las rutas relacionadas con DPAPI, particularmente:

%APPDATA%\Microsoft\Protect\CREDHIST. Directorios de DPAPI específicos del usuario. Acceso remoto vía SMB o carpetas compartidas administrativas.

Herramientas de seguridad como Sigma y Elastic ya proporcionan reglas de detección para el acceso sospechoso a los archivos de historial de credenciales.

El desafío principal es distinguir la actividad normal de DPAPI de los patrones de acceso a archivos anómalos.

Se aconseja a las organizaciones aplicar políticas de contraseñas fuertes, limitar el acceso a archivos locales y monitorizar la actividad de los endpoints en busca de comportamientos inusuales relacionados con las credenciales.

La investigación de Lefteris Panos destaca cómo volver a analizar mecanismos bien conocidos como DPAPI puede seguir revelando nuevas oportunidades ofensivas, reforzando la importancia de la investigación continua en la seguridad de las credenciales de Windows.

Fuentes:
https://cybersecuritynews.com/dpapisnoop-tool-extracts-credhist-hashes/