T1555.004: Windows 凭据管理器

摘要

攻击者可能从 Windows 凭据管理器获取凭据。凭据管理器将用于登录网站、应用程序和/或通过 NTLM 或 Kerberos 请求身份验证的设备的凭据存储在凭据储物柜（Credential Locker，以前称为 Windows Vault）中。(Citation: Microsoft Credential Manager store)(Citation: Microsoft Credential Locker) Windows 凭据管理器将网站凭据与应用或网络凭据分在两个储物柜中。作为[来自 Web 浏览器的凭据](https://attack.mitre.org/techniques/T1555/003)的一部分，Internet Explorer 和 Microsoft Edge 网站凭据由凭据管理器管理，并存储在 Web 凭据储物柜中。应用和网络凭据存储在 Windows 凭据储物柜中。 凭据储物柜将凭据存储在加密的 `.vcrd` 文件中，位于 `%Systemdrive%\Users\[Username]\AppData\Local\Microsoft\[Vault/Credentials]\` 下。加密密钥可以在名为 <code>Policy.vpol</code> 的文件中找到，通常与凭据位于同一文件夹中。(Citation: passcape Windows Vault)(Citation: Malwarebytes The Windows Vault) 攻击者可能通过若干机制列出由 Windows 凭据管理器管理的凭据。<code>vaultcmd.exe</code> 是一个原生 Windows 可执行文件，可用于通过命令行界面枚举存储在凭据储物柜中的凭据。攻击者还可能通过直接读取凭据储物柜内的文件来收集凭据。Windows API（如 <code>CredEnumerateA</code>）也可能被滥用来列出由凭据管理器管理的凭据。(Citation: Microsoft CredEnumerate)(Citation: Delpy Mimikatz Crendential Manager) 攻击者还可能从凭据备份中获取凭据。可以通过运行 <code>rundll32.exe keymgr.dll KRShowKeyMgr</code> 然后在“存储的用户名和密码”GUI 上选择“备份...”按钮来执行凭据备份和还原。 密码恢复工具也可能从凭据管理器获取明文密码。(Citation: Malwarebytes The Windows Vault)