Volatility detalha como caçar o Skeleton Key do Mimikatz na memória de controladores de domínio
A equipe do Volatility publicou um estudo de caso mostrando como detectar o ataque Skeleton Key do Mimikatz, que injeta código no lsass.exe e força o downgrade de Kerberos AES para RC4, criando uma senha universal para qualquer conta do Active Directory. O post documenta o plugin windows.skeleton_key_check, que valida diretamente a estrutura _KERB_ECRYPT em memória em vez de depender de heurísticas sujeitas a falso positivo.
O Skeleton Key é uma técnica de backdoor bastante conhecida em resposta a incidentes: ao comprometer um controlador de domínio, o atacante injeta código no processo lsass.exe e altera as rotinas de autenticação Kerberos para aceitar, além da senha real, uma senha mestra fixa para qualquer usuário do domínio. Isso é particularmente perigoso porque não deixa rastro nas credenciais do usuário legítimo — resets de senha e desativação de contas não resolvem o problema, já que o comprometimento está na lógica de autenticação do próprio controlador, não em uma conta específica.
O artigo descreve como o Volatility passou a detectar essa manipulação de forma direta na memória, em vez de inferir a presença do ataque observando o downgrade de criptografia de AES para RC4 (abordagem antiga e propensa a falsos positivos). O plugin windows.skeleton_key_check localiza a estrutura de dados _KERB_ECRYPT associada ao RC4 e verifica se os ponteiros de inicialização e descriptografia foram redirecionados para código malicious fora da região legítima carregada por cryptdll.dll. Para localizar essa estrutura sem depender de um único método, o plugin usa uma cascata de três abordagens: leitura de símbolos PDB da Microsoft quando disponíveis, engenharia reversa da função exportada CDLocateCSystem quando os símbolos não existem, e varredura por padrão de bytes como último recurso.
Do ponto de vista prático, essa é uma aula de como projetar detecção robusta em forense de memória: em vez de procurar por um efeito colateral do ataque (downgrade de protocolo), o plugin verifica a integridade da própria estrutura que o malware precisa corromper para funcionar. Isso reduz falso positivo e, mais importante para uma investigação, entrega prova direta e localização exata do código injetado — informação essencial para escopar o incidente (quais hosts foram tocados, quando o backdoor foi instalado) e para o relatório pericial.
O caso também ilustra por que memória volátil continua sendo uma fonte de evidência indispensável em resposta a incidentes envolvendo Active Directory: artefatos em disco (logs de eventos, registro) raramente capturam a manipulação em tempo de execução de rotinas de criptografia dentro do lsass.exe. Para peritos e analistas de DFIR que lidam com comprometimento de domínio, o plugin skeleton_key_check é uma ferramenta direta para confirmar ou descartar essa técnica específica durante a triagem de um controlador suspeito.