凭据窃取程序

凭据窃取程序是一类专门窃取凭据的工具,有时是大型信息窃取木马的组件。它会针对存储或内存中的机密信息,如 Windows LSASS 进程中的凭据、浏览器密码库、SSH 密钥、Wi-Fi 密码以及缓存的域凭据等。一旦得手,这些凭据可用于横向移动、维持驻留、商业邮件诈骗(BEC)和凭据填充攻击。Mimikatz 是其典型代表,通常以反射方式加载到内存中执行。常见防御措施包括 Credential Guard、LSA 保护、严格的最小权限、移除本地管理员权限、使用 FIDO2 安全密钥取代密码、具备内存检测能力的 EDR,以及监控对凭据存储位置的可疑访问。