Descripción de la Tecnica
Security Account Manager (SAM) es un componente crítico en sistemas Windows que almacena credenciales de cuentas locales. Los atacantes pueden intentar extraer información sensible del SAM mediante técnicas en memoria o accediendo a su almacenamiento en el Registro de Windows. Este proceso requiere nivel de acceso SYSTEM y está relacionado con la enumeración de cuentas localizadas en la máquina afectada.
La técnica se documenta en MITRE: T1003.002, un ataque patrón que describe cómo los adversarios obtienen datos del SAM, generalmente para obtener credenciales de usuarios o servidores locales.
¿Cómo Funciona?
El ataque se divide en dos métodos principales:
- Técnicas en memoria: Herramientas como
pwdumpx.exeanalizan la memoria del sistema para extraer información del SAM sin acceder directamente al archivo físico. - Acceso al Registro de Windows: El SAM se almacena en el Registro bajo la clave
HKEY_LOCAL_MACHINE\SAM. Los atacantes pueden leer esta ubicación si tienen privilegios SYSTEM. - Acesso no autorizado a
HKEY_LOCAL_MACHINE\SAM. - Uso inusual de herramientas como
pwdumpx.exeonet user. - Acceso a cuentas locales sin autorización.
- Revisar regularmente el acceso al Registro y la memoria del sistema.
- Limitar los privilegios SYSTEM a usuarios confiables.
- Utilizar herramientas de seguridad para monitorear actividades anómalas en el SAM.
- Implementar políticas de auditoría para rastrear accesos no autorizados.
En ambos casos, los adversarios buscan cuentas locales y sus contraseñas almacenadas en formato cifrado (en sistemas Windows 2000 o posteriores).
Actores que la Utilizan
Esta técnica es utilizada por diversos actores maliciosos, incluyendo grupos de ciberdelincuencia y entidades con intereses criminales. No se disponen de datos específicos sobre actores particulares, pero su uso está asociado a ataques de tipo credential stuffing o enumeration.
Detección
La detección requiere monitorear actividades anormales relacionadas con el Registro de Windows y la memoria del sistema. Se pueden observar:
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación
Para mitigar este tipo de ataques: