Mimikatz

Mimikatz는 프랑스 속어(slang)인 “mimi”(“cute”의 의미)로 부터 나왔으며, 번역하면 “cute cats” 가 됩니다. Credentials(자격증명)을 수집하기 위하여, LSASS.exe의 cache를 읽어오는 기능을 수행합니다. LSASS.exe(Local Security Authority Subsystem Service)는 Windows에서 제공하는 Service 중의 하나로, 사용자가 로그인 한 후, 시스템이 어떤 작업을 할 때마다 매번 인증을 받지 않아도 되도록 사용자의 credential을 memory에 저장(caching)하는 기능을 제공합니다.

출처 : https://m.blog.naver.com/PostView.naver?blogId=aepkoreanet&logNo=222022823127&categoryNo=1&proxyReferer=

Mimikatz 이야기

캐시메모리에 저장된 계정정보 탈취 가능
특히 자주 재부팅되지 않는 중계서버나 Bastion Host, AD서버 등이 주요 타겟이 됨


Mimikatz detection 윈도우 이벤트로그
- id : 4656