Aunque la seguridad de las cuentas de Windows no ha sido siempre la mejor, en las versiones más recientes de Windows las contraseñas de almacenaban de forma segura y cifrada dentro del sistema, siendo mucho más complicado recuperarlas por medios convencionales, especialmente si tenemos en cuenta que esta contraseña corresponde también con la de la cuenta de Outlook del usuario.

RWMC (Reveal Windows Memory Credentials) es un script desarrollado para PowerShell que nos permite recuperar fácilmente y en pocos segundos una contraseña cualquiera guardada en el propio sistema. Este script funciona sin problemas en los sistemas Windows de escritorio desde 7 hasta el reciente 10 y en las versiones de servidor, desde Windows Server 2003 hasta 2012, aunque es posible incluso que funcione en versiones anteriores (o posteriores) del sistema operativo de Microsoft.

Este script permite recuperar las contraseñas en local, en remoto e incluso obtener un volcado de datos de una máquina para analizarlo más adelante. El script se ejecuta al 100% en PowerShell, no necesitando ninguna dependencia .dll aparte y no deja rastro de su actividad, por lo que una vez ejecutado se cierra la consola de PowerShell y es imposible saber que dicho script ha sido ejecutado en el sistema.

Para ejecutar RWMC debemos descargar el paquete maestro de forma gratuita desde GitHub, ya que es software libre. Una vez descargado lo descomprimimos en nuestro ordenador, en una carpeta de fácil acceso para poder cargar el script cuando lo necesitemos.

A continuación abrimos una ventana de PowerShell ISE con permisos de administrador. Si no tenemos la herramienta podemos descargarla de forma gratuita desde los servidores de Microsoft. Lo primero que veremos será una ventana similar a la de un entorno de programación, o IDE, con una pequeña consola en la parte inferior.

Ventana de PowerShell ISE

En esta ventana cargamos el script. Para ello pulsamos sobre Archivo > Abrir y elegimos el fichero que hemos descargado desde GitHub, llamado RWMC.ps1. El programa nos cargará el proyecto.

Script RWMC cargado en PowerShell ISE

Una vez listo el script pulsamos sobre el botón con forma de play, o la tecla F5, para ejecutarlo. El script nos hará 3 preguntas durante su ejecución:

  • Si queremos ejecutar los comandos de Active Directory. Pulsamos 1 para indicar que sí.
  • Si queremos obtener la contraseña en local, remoto o mediante un volcado de memoria. Pulsamos 1 para Local.
  • Si queremos subir nuestro resultado a Pastebin. Pulsamos 2 para no.

Obtener contraseñas de Windows con RWMCEl programa empezará a trabajar. Tras varios segundos nos abrirá un bloc de notas donde podremos ver todos los usuarios creados en nuestro sistema y sus contraseñas en la memoria.

Usuarios y contraseñas de Windows con RWMC

Es posible (especialmente en Windows 8 y 10) que durante la primera ejecución el programa deba modificar una entrada del registro para permitir que las contraseñas sean identificadas por esta herramienta. En el caso de ser así el programa nos pedirá permiso para hacerlo, lo aceptamos, y reiniciamos el sistema. Una vez que arranque ya podemos seguir con los pasos anteriores para obtener la contraseña del sistema.

Modificar el registro para que funcione RWMC

Como podemos ver, gracias al script libre de RWMC es muy sencillo obtener la contraseña de cualquier usuario de Windows. Aunque a nivel práctico no puede haber muchas opciones, es posible que este script pueda implementarse dentro de otras herramientas con el fin de conseguir las contraseñas de los usuarios. Esperamos que Microsoft solucione pronto este fallo que, a día de hoy, sigue funcionando.

Publicado por Sergio De Luz el 17 Septiembre 2015 , actualizado el 07 Marzo 2016

  • Andy

    “Abrimos una ventana de powershell con permisos de administrador” PERO SI SE SUPONE QUE NO TENGO LA PASS DE ADMIN Y POR ESO ESTOY ACA

    • Johnny Sede Esto

      Sí, necesitas permisos de administrador para ejecutarlo, pero, en caso de que exita otra cuenta de administrador, se podría ejecutar?
      “Si queremos obtener la contraseña en local, remoto o mediante un volcado de memoria” es decir, se puede desde otro pc en la misma red local 😉 .
      Además, la herramienta se ha actualizado y ya no es exactamente igual que como viene en el post.

Últimos análisis

Valoración RZ
10
Valoración RZ
7
Valoración RZ
9
Valoración RZ
10
Valoración RZ
8
Valoración RZ
10
Valoración RZ
9
Valoración RZ
9
Valoración RZ
10