7z: Ferramenta de Compressão Vira Vetor para Extração de Credenciais em Ataques à SAM

Um alerta recente destaca como o popular utilitário de compressão 7z pode ser mal utilizado para exfiltrar hashes de credenciais do Windows. A técnica, divulgada inicialmente por um desenvolvedor ligado à PentestCode, explora a capacidade do 7z de acessar discos brutos via sua interface gráfica (GUI). Ao navegar para o caminho "\\.\" e, em seguida, "PhysicalDrive0\0.ntfs", atacantes com privilégios de administrador conseguem acessar as partições do disco físico, incluindo a estrutura C:\. De lá, basta extrair os hives do sistema, como o SAM, que ficam em "Windows\System32\config".

Esta abordagem é considerada uma técnica de "living off the land" (LOL), pois utiliza uma ferramenta legítima e amplamente presente em sistemas para realizar ações maliciosas, contornando detecções de EDRs. Uma vez que os hives SAM são extraídos, seus hashes NTLM podem ser levados para outro ambiente e "quebrados", permitindo que os atacantes obtenham senhas de usuários. Embora potente, a exploração exige acesso à GUI do 7z, já que a versão de linha de comando não suporta a navegação por partições aninhadas.

A capacidade de usar uma ferramenta tão comum como o 7z para extrair credenciais representa um desafio significativo para a defesa corporativa. Por ser um utilitário padrão, a presença do 7z em um sistema não gera alerta. A técnica permite a exfiltração de hashes SAM sem disparar alarmes em muitas soluções de segurança, especialmente EDRs, que geralmente monitoram ferramentas forenses específicas ou binários nativos do Windows. Isso força as equipes de segurança a reavaliar suas estratégias de monitoramento e hardening.

Ataques que empregam táticas de "living off the land" continuam sendo uma tendência, como vimos na cobertura do CEVIU News sobre os "Ataques de Escalada de Privilégios e Persistência no Windows Ganham Novas Táticas", publicada em 11 de julho de 2026. A extração de hashes SAM pode levar a um comprometimento completo do domínio, particularmente em ambientes onde o LAPS (Local Administrator Password Solution) não está implementado, já que senhas de administradores locais podem ser reutilizadas em múltiplas máquinas. É um lembrete crítico para a gestão de vulnerabilidades e políticas de segurança.