🔺Impersonate - инструмент, позволяющий манипулировать токенами в ОС Windows и скомпрометировать учётные записи, в том числе администраторов домена, без прямого взаимодействия с процессом LSASS.

💻 Установить инструмент можно, загрузив файлы из репозитория и с помощью дальнейшей компиляции.

В Windows существуют два типа токенов доступа, которые зависят от способа входа в систему:
🔺Первичный токен создаётся при интерактивном входе (например, через WinLogon или RDP) и связывается с процессом пользователя. Учётные данные при этом сохраняются в памяти процесса LSASS, что позволяет использовать механизм единого входа.

🔺Токен олицетворения создаётся при неинтерактивном (удалённом) входе, например, при подключении к SMB. Он связан с потоком и позволяет работать с привилегиями выделенного пользователя, а не от имени SYSTEM.

🔺Использование
Поддерживается возможность работы как в графическом интерфейсе (например, RDP), так и удалённо (через WMIExec, PsExec, WinRM).

Состоит из следующих модулей:
1️⃣list — позволяет просматривать список токенов, находящихся в системе

Impersonate.exe list

2️⃣adduser — модуль позволяет повысить привилегии в домене Active Directory с помощью функции ImpersonateLoggedOnUser. Для работы этого модуля потребуется права NT AUTHORITY\System и первичный токен, связанный с учетной записью администратора домена в системе. Модуль создаст нового пользователя в домене, установит для него пароль и добавит его в группу администраторов домена.

Impersonate.exe adduser <token id> <username> <password> <domain admin group> <remote DC server>

3️⃣exec — позволяет запускать пользовательские команды на сервере.

Impersonate.exe exec <token id> <cmd>