SAM & LSA Secrets Dump

Con privilegios de administrador local en una máquina Windows se pueden volcar dos almacenes de credenciales del registro: la SAM (hashes NT de las cuentas locales) y los secretos LSA (contraseñas de servicios, credenciales cacheadas del dominio, tareas programadas). A diferencia de un volcado de LSASS, que lee la memoria de un proceso, aquí se leen las colmenas del registro, en disco.

Por qué funciona. Windows guarda los hashes locales cifrados en la colmena SAM, protegidos por una clave (SYSKEY) que vive en la colmena SYSTEM; y los secretos LSA en la colmena SECURITY. Un administrador local puede exportar esas colmenas o leerlas en vivo, y con las tres piezas se descifra todo offline. De ahí salen hashes NT locales para Pass-the-Hash y, muchas veces, la contraseña en claro de una cuenta de servicio.

El abuso. En local se guardan las colmenas y se procesan con secretsdump.py LOCAL; por red, con credenciales de administrador, netexec hace lo mismo con --sam y --lsa.

# en la victima: exportar las tres colmenas
reg.exe save hklm\sam sam.save
reg.exe save hklm\system system.save
reg.exe save hklm\security security.save

# offline: descifrar SAM + secretos LSA
secretsdump.py -sam sam.save -system system.save -security security.save LOCAL

# por red, con un admin local (sin tocar disco)
netexec smb <ip> --local-auth -u <user> -p <pass> --sam
netexec smb <ip> --local-auth -u <user> -p <pass> --lsa

Requisitos. Hace falta ser administrador local o SYSTEM en el equipo. Los hashes de la SAM son de cuentas locales, no del dominio; su valor está en el admin local reutilizado entre máquinas. Los secretos LSA sí pueden contener credenciales de dominio (cuentas de servicio, autologon).

Cómo detectarlo. El acceso a las colmenas SAM/SECURITY deja Event ID 4656/4663 (acceso a objeto) sobre esas claves del registro, y el uso de reg save o de un volcado por red se ve como una conexión al recurso administrativo (ADMIN$, C$) seguida de acceso al registro remoto. Vigilar reg.exe save con las rutas hklm\sam|security|system y las herramientas que abren winreg de forma remota es la señal directa.

Defensa. Restringir y monitorizar quién es administrador local, aplicar LAPS para que el hash del admin local no sirva en la siguiente máquina, no reutilizar contraseñas de cuentas de servicio, y proteger el acceso remoto al registro. Es hermano del volcado del NTDS (el equivalente a nivel de dominio) y del volcado de LSASS (memoria), y alimenta la caza de credenciales.