Como Usar o CrackMapExec em 2026: O Guia do NetExec

O que aconteceu com o CrackMapExec?

O CrackMapExec é uma ferramenta de pós-exploração para auditar redes Windows e Active Directory que não recebe mais manutenção. Seu repositório no GitHub foi arquivado em 6 de dezembro de 2023 e hoje é somente leitura. O README afirma que o projeto parou por causa do que o autor descreve como um fork hostil.

Esse fork é o NetExec, e ele venceu. A página do pacote do Kali Linux descreve o NetExec como a continuação do CrackMapExec, mantido durante anos por mpgn e descontinuado com a aposentadoria dele. O Kali removeu o pacote antigo e hoje distribui o netexec, atualmente na versão 1.5.1. Quando os mantenedores das ferramentas de segurança de uma distribuição tomam essa decisão, a discussão acabou.

Meu conselho é direto: não instale o CrackMapExec a partir de um repositório arquivado só para acompanhar um tutorial antigo. Você vai brigar com erros de dependência de um projeto Python congelado em 2023 e perder três anos de suporte a protocolos e correções. Leia o tutorial antigo, execute o binário novo.

A ferramenta original está documentada no MITRE ATT&CK sob a referência S0488, associada a dezoito técnicas que cobrem extração de credenciais, pass the hash, força bruta e execução remota de comandos. Esse registro lista cinco grupos de ameaça que a usaram em invasões reais, entre eles MuddyWater, FIN7 e APT39. É uma ferramenta genuinamente poderosa, e é exatamente por isso que a seção sobre autorização mais adiante não é formalidade.

Instalando o NetExec

No Kali e no Parrot, o pacote está nos repositórios padrão:

sudo apt update && sudo apt install netexec

Em qualquer outro lugar, os mantenedores recomendam o pipx, que mantém a ferramenta e suas dependências em um ambiente virtual próprio em vez do Python do sistema:

sudo apt install pipx git
pipx ensurepath
pipx install git+https://github.com/Pennyw0rth/NetExec

Abra um novo shell depois disso para que o PATH atualizado tenha efeito. A instalação entrega três comandos: netexec, o apelido curto nxc que todo mundo realmente digita, e nxcdb para navegar no banco de resultados. Confirme que funcionou:

nxc --version

Duas falhas aparecem com frequência suficiente para merecerem nome. Se a compilação parar em fatal error: Python.h: No such file or directory, faltam os cabeçalhos de desenvolvimento do Python da sua distribuição, necessários para compilar uma das dependências. E se o nxc continuar não sendo encontrado depois da instalação via pipx, você pulou o pipx ensurepath ou continua na mesma sessão de shell de antes.

Manter tudo atualizado com o pipx cabe em uma linha. O pipx upgrade netexec pega as versões publicadas, e o pipx reinstall netexec baixa os commits mais recentes quando você precisa de uma correção ainda não lançada.

Sintaxe do CrackMapExec: protocolo, alvo, credenciais

Todo comando segue a mesma estrutura de três partes, e é por isso que a ferramenta é rápida de aprender e difícil de largar:

nxc <protocol> <target(s)> -u <user> -p <password>

O NetExec suporta dez protocolos: smb, ldap, winrm, mssql, ssh, ftp, wmi, rdp, vnc e nfs. Cada um tem seu próprio conjunto de opções, então nxc smb --help e nxc ldap --help mostram menus realmente diferentes. O SMB é onde a maioria das missões começa.

Formatos de alvo

O argumento de alvo aceita bem mais do que um único IP, e misturar formatos no mesmo comando é permitido:

• nxc smb 192.168.1.10 para um host único
• nxc smb 192.168.1.0/24 para notação CIDR
• nxc smb 192.168.1.0-28 para uma faixa
• nxc smb dc01.corp.local para um nome de host
• nxc smb ~/targets.txt para um arquivo com um alvo por linha

Senhas, hashes e contas locais

Troque -p por -H para autenticar com um hash NTLM em vez de uma senha, que é a técnica de pass the hash na sua forma mais prática. Tanto o par completo LM:NT quanto o hash NT sozinho funcionam:

nxc smb 192.168.1.0/24 -u localguy -H 'aad3b435b51404eeaad3b435b51404ee:13b29964cc2480b4ef454c59562e675c' --local-auth

A opção --local-auth diz à ferramenta para autenticar contra a SAM local da máquina em vez do domínio. Ela importa mais do que os iniciantes imaginam: uma senha de administrador local reutilizada em cinquenta estações é um achado completamente diferente de uma conta de domínio, e sem a opção você estará testando a coisa errada. Uma sessão nula é apenas um par de strings vazias, -u '' -p ''.

Um detalhe de shell que custa uma hora: coloque as credenciais entre aspas simples. Uma senha como October2022! dispara a expansão de histórico no bash, e você passará essa hora convencido de que a conta está bloqueada.

Lendo a saída

Os resultados vêm em uma linha por host. [*] é o banner do host com build do sistema, domínio e status de assinatura SMB, [+] indica autenticação bem-sucedida e [-] indica falha. A linha que você procura é assim:

SMB   192.168.1.101   445   HOSTNAME   [+] DOMAIN\Username:Password (Pwn3d!)

O marcador (Pwn3d!) significa que as credenciais conseguem executar código no host. O sentido exato muda conforme o protocolo, e vale conhecer a diferença: em SMB e WMI a conta é provavelmente administrador local, em WinRM e RDP significa execução de código no mínimo, e em LDAP indica um caminho até administrador de domínio. No FTP não há verificação alguma.

Comandos de enumeração SMB que valem memorizar

A autenticação é só a entrada. A ferramenta ganhou seu lugar porque uma única conta válida e sem privilégios, apontada para uma sub-rede inteira, devolve um mapa do domínio em cerca de um minuto.

A varredura de compartilhamentos é a primeira a rodar, e a documentação a apresenta como o recurso mais útil da ferramenta. Dá para filtrar apenas os compartilhamentos que interessam:

nxc smb 192.168.1.0/24 -u user -p 'Password123' --shares READ,WRITE

Na prática, um compartilhamento com permissão de escrita em um servidor de arquivos é o momento em que um teste interno de rotina vira um achado de relatório. Pastas de backup com um script de ingresso no domínio contendo senha em texto puro, um compartilhamento de TI com uma planilha de credenciais de admin local, um diretório de deploy que ninguém audita desde a instalação do servidor: o padrão se repete em organizações de todos os tamanhos, e uma única varredura --shares traz tudo isso à tona.

Rode --pass-pol antes de encostar em qualquer coisa que adivinhe senhas. Custa um comando e revela o limite de bloqueio, o número que decide se a próxima seção é segura.

Password spraying sem bloquear o domínio

O password spraying testa uma senha contra muitas contas, em vez de muitas senhas contra uma conta só. Ele fica abaixo do limite de bloqueio porque cada conta sofre apenas uma tentativa falha por rodada. Inverta isso e você bloqueia algumas centenas de funcionários antes do almoço, o que encerra a missão e estraga a relação com o cliente.

O comportamento padrão quando você passa uma lista de usuários e uma senha é o produto completo de cada usuário com cada senha. Para um spray, você quer uma senha em toda a lista:

nxc smb 192.168.1.101 -u users.txt -p 'Summer2026!' --continue-on-success

--continue-on-success é a opção que todo mundo esquece. Sem ela, a execução para na primeira credencial válida, e você fica sabendo de uma conta em vez das seis que compartilham aquela senha.

Quando você tem credenciais pareadas em vez de uma lista para pulverizar, --no-bruteforce casa a linha um do arquivo de usuários com a linha um do arquivo de senhas em vez de testar todas as combinações:

nxc smb 192.168.1.101 -u users.txt -p passwords.txt --no-bruteforce --continue-on-success

Dois hábitos evitam que isso dê errado. Confira o --pass-pol antes, para conhecer o limite e a janela de observação. E pulverize uma vez e espere, em vez de disparar três rodadas em dez minutos porque a primeira não trouxe nada.

De credenciais válidas a administrador de domínio

Assim que um conjunto de credenciais volta com (Pwn3d!), a ferramenta passa da enumeração para a coleta. Esses comandos exigem direitos administrativos no alvo.

Extraindo material de credenciais

nxc smb 192.168.1.0/24 -u Admin -p 'Password' --sam
nxc smb 192.168.1.0/24 -u Admin -p 'Password' --lsa
nxc smb 192.168.1.100 -u Admin -p 'Password' --ntds --enabled

--sam puxa os hashes das contas locais, --lsa puxa os segredos LSA, incluindo credenciais de domínio em cache e senhas de contas de serviço, e --ntds extrai a base do domínio de um controlador de domínio. Acrescente --enabled para ignorar contas desativadas, o que em um domínio antigo pode cortar a saída pela metade e manter o ruído fora do relatório.

Hash não é senha. Tudo o que --sam e --ntds devolvem ainda precisa passar por uma etapa de quebra, e é aí que o nosso tutorial de Hashcat retoma o fluxo.

Kerberoasting via LDAP

Contas de serviço com um SPN registrado podem entregar um hash de ticket quebrável a partir de qualquer usuário de domínio autenticado, sem privilégios especiais:

nxc ldap 192.168.1.100 -u user -p pass --kerberoasting output.txt

O arquivo se enche de hashes Kerberos 5 TGS-REP prontos para quebra offline. Contas de serviço são um alvo confiável porque suas senhas são definidas uma vez na instalação e quase nunca trocadas.

Executando comandos

nxc smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -x whoami
nxc smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -X '$PSVersionTable'

O -x minúsculo roda um comando pelo cmd, o -X maiúsculo roda pelo PowerShell. Por baixo, três métodos de execução são tentados em ordem: wmiexec via WMI, depois atexec pelo agendador de tarefas, depois smbexec criando um serviço. Se um falha, a ferramenta cai para o seguinte, e é por isso que um comando às vezes funciona em um host e não no vizinho idêntico. Fixe o método com --exec-method quando precisar de comportamento consistente para o relatório.

Os módulos são onde o nxc fica interessante

Além das opções embutidas, cada protocolo traz sua própria biblioteca de módulos. Liste o que existe e leia as opções de um módulo antes de executá-lo:

nxc smb -L
nxc smb -M spider_plus --options
nxc smb 10.10.10.10 -u user -p pass -M spider_plus -o DOWNLOAD_FLAG=True

As opções usam -o CHAVE=valor, e você pode empilhar vários -M no mesmo comando. O módulo para aprender primeiro é o spider_plus, que percorre todos os compartilhamentos legíveis e monta um inventário JSON dos arquivos encontrados. Aponte-o para um servidor de arquivos com o download desligado, leia o inventário e depois volte para o punhado de arquivos que importam. Baixar um compartilhamento inteiro às cegas é como encher um disco sem aprender nada.

Os resultados também vão para um banco local que você pode consultar depois com o nxcdb. Em uma missão que dura vários dias, isso é melhor do que rolar o histórico do terminal.

Como esses comandos aparecem para os defensores

Quem roda essa ferramenta em uma avaliação precisa saber o quanto ela é visível, e quem defende uma rede precisa saber o que procurar. Os dois lados leem o mesmo registro do MITRE ATT&CK.

• Volume de autenticação. Um endereço de origem autenticando em centenas de hosts em um minuto não tem equivalente legítimo. Falhas de Event ID 4625 espalhadas por muitas contas a partir de um único IP são a assinatura do spray.
• Criação de serviço. O método smbexec cria e executa um serviço do Windows no alvo. Um Event ID 7045 em uma estação de trabalho é incomum e merece alerta.
• Tarefas agendadas efêmeras. O método atexec registra uma tarefa, executa e apaga. Uma tarefa que aparece e some em segundos é um indicador forte.
• Leituras no controlador de domínio. Uma única conta sem privilégios pedindo tickets de serviço para todos os SPNs do domínio é Kerberoasting, e é um dos ataques mais fáceis de detectar se alguém estiver acompanhando o Event ID 4769.

Produtos de segurança de endpoint identificam essa ferramenta pelo nome, e a Microsoft publica uma assinatura de detecção para ela. Em uma missão real, espere que a stack do cliente gere alerta. Esse é o resultado correto em um ambiente protegido, e um teste que passa silencioso por uma rede madura normalmente significa que a detecção está mal configurada, o que já é um achado digno de relatório. Nosso guia de teste de invasão em redes mostra como essa conversa de entrega de resultados se encaixa na missão como um todo.

Considerações legais e éticas

Esta ferramenta difere de um scanner em um ponto importante: ela autentica. O Nmap bate na porta, o NetExec experimenta as chaves. Isso cruza uma linha jurídica que o reconhecimento não cruza, e as tentativas falhas ficam registradas com o seu endereço de origem de todo jeito.

Onde o uso é legítimo

• Seu próprio domínio de laboratório, montado com cópias de avaliação do Windows Server em hardware seu
• Missões cobertas por um documento de escopo assinado que nomeie as faixas-alvo e as contas que você pode testar
• Redes que você administra, com aprovação documentada do seu empregador
• Ambientes de treinamento criados para isso e plataformas de CTF

O risco específico aqui é o estouro de escopo. Uma faixa CIDR um dígito mais larga que o combinado pode varrer uma rede de outra unidade de negócio ou de um vizinho de hospedagem compartilhada. Leia o argumento de alvo em voz alta antes de apertar enter, sempre.

Perguntas frequentes