Entry № 257
凭据窃取程序
凭据窃取程序 是什么?
凭据窃取程序专门用于从受感染系统或其内存中提取密码、哈希和认证令牌的恶意软件。
凭据窃取程序是一类专门窃取凭据的工具,有时是大型信息窃取木马的组件。它会针对存储或内存中的机密信息,如 Windows LSASS 进程中的凭据、浏览器密码库、SSH 密钥、Wi-Fi 密码以及缓存的域凭据等。一旦得手,这些凭据可用于横向移动、维持驻留、商业邮件诈骗(BEC)和凭据填充攻击。Mimikatz 是其典型代表,通常以反射方式加载到内存中执行。常见防御措施包括 Credential Guard、LSA 保护、严格的最小权限、移除本地管理员权限、使用 FIDO2 安全密钥取代密码、具备内存检测能力的 EDR,以及监控对凭据存储位置的可疑访问。
● 示例
- 01
Mimikatz 从 LSASS 内存中提取 NTLM 哈希。
- 02
LaZagne 从浏览器、Wi-Fi 和应用程序中提取密码。
● 常见问题
凭据窃取程序 是什么?
专门用于从受感染系统或其内存中提取密码、哈希和认证令牌的恶意软件。 它属于网络安全的 恶意软件 分类。
凭据窃取程序 是什么意思?
专门用于从受感染系统或其内存中提取密码、哈希和认证令牌的恶意软件。
如何防御 凭据窃取程序?
针对 凭据窃取程序 的防御通常结合技术控制与运营实践,详见上方完整定义。
凭据窃取程序 还有哪些其他名称?
常见的别称包括: 密码窃取器, 凭据导出工具。