Kerberoasting

إن Kerberoasting هجوم يستهدف حسابات الخدمة في Active Directory. ويمكن لأي مستخدم نطاق تمت مصادقته طلب تذكرة خدمة لحساب لديه Service Principal Name (SPN).

يُشفّر جزء من تلك التذكرة باستخدام تجزئة كلمة مرور حساب الخدمة، لذلك يستطيع المهاجم كسرها دون اتصال من دون التفاعل مع الحساب على الإطلاق.

عندما يطلب مستخدم تذكرة خدمة (TGS)، يشفّر KDC جزءًا منها باستخدام تجزئة NTLM لكلمة مرور حساب الخدمة.

وبما أن أي مستخدم نطاق يمكنه طلب هذه التذكرة، وبما أنه لا حاجة إلى امتيازات خاصة، يجمع المهاجم التذاكر ببساطة ويكسرها على مهل على جهازه الخاص.

ابدأ باستكشاف الحسابات التي تم تعيين SPN لها. وتكون هذه الحسابات عادةً حسابات خدمة تشغّل SQL أو الويب أو خدمات أخرى.

تُعد حسابات المستخدمين (لا حسابات الأجهزة) التي لديها SPN أهدافًا مثالية، لأن البشر غالبًا ما يضبطون كلمات مرورها ونادرًا ما يغيرونها.

إن Rubeus أداة C# شائعة لإساءة استخدام Kerberos. ويطلب الأمر kerberoast تذاكر TGS لحسابات SPN ويخرجها بتنسيق قابل للكسر.

تتسم هذه الخطوة بالهدوء؛ إذ تبدو كحركة Kerberos عادية من مستخدم شرعي.

من Linux، ينفذ GetUserSPNs.py ضمن Impacket الهجوم نفسه عن بُعد باستخدام بيانات اعتماد نطاق صالحة.

يفيد ذلك أثناء عمليات الاختبار الخارجية أو عمليات الاختراق المفترض، عندما تكون لديك بالفعل مجموعة واحدة من بيانات الاعتماد منخفضة الصلاحيات.

تُحفظ التذكرة الملتقطة بتنسيق يتعرف عليه Hashcat باعتباره الوضع 13100 (Kerberos 5 TGS-REP etype 23، RC4).

تبدأ كل تجزئة بـ $krb5tgs$23$، ثم يتبعها SPN والحساب والكتلة المشفرة. وهذا هو ما تقدمه إلى أداة كسر التجزئات.

يستخدم الاختراق دون اتصال قائمة كلمات (غالبًا مع قواعد) ضد التجزئات الملتقطة. ونظرًا إلى سرعة اختبار تذاكر RC4، سرعان ما تُخترق كلمات مرور الخدمات الضعيفة.

ولهذا ينبغي أن تكون كلمات مرور حسابات الخدمات طويلة وعشوائية، ومن الأفضل إدارتها باستخدام Group Managed Service Accounts (gMSA).

إذا كان الحساب يدعم RC4 (etype 23)، يكون الاختراق سريعًا. أما إذا كان يسمح فقط بـ AES (etype 17/18)، فيكون الاختراق أبطأ بكثير، لكنه يظل ممكنًا (Hashcat modes 19600/19700).

وقد يخفض المهاجمون حتى نوع التشفير المطلوب لإجبار النظام على إصدار تذكرة RC4 الأضعف.

يراقب المدافعون الأحجام غير المعتادة من طلبات TGS، ولا سيما تذاكر RC4 (معرّف الحدث 4769). تشمل إجراءات التخفيف ما يلي:

• كلمات مرور طويلة وعشوائية لحسابات الخدمات (25 حرفًا أو أكثر).
• استخدام حسابات gMSA مع التدوير التلقائي.
• تعطيل RC4 وفرض استخدام AES.

تُعد حسابات الخدمات هدفًا جذابًا لأنها غالبًا ما تكون أعضاء في مجموعات ذات امتيازات، ولأن كلمات مرورها قديمة، ولأنها غير مرتبطة بشخص واحد قد يلاحظ السلوكيات غير المعتادة.

قد يتيح اختراق أحدها الحصول على Domain Admin إذا مُنح حساب الخدمة امتيازات زائدة بإهمال.

يُنفَّذ Kerberoasting عادةً بعد وقت قصير من الحصول على أي موطئ قدم في النطاق. فهو يجمع بين الاستطلاع منخفض الضجيج والاختراق دون اتصال، ولذلك نادرًا ما يؤدي إلى إطلاق التنبيهات.

وغالبًا ما يتيح حساب الخدمة المخترق الحركة الجانبية أو تصعيد الامتيازات، مما يجعله أسلوبًا أساسيًا في اختبارات الاختراق الداخلية وعمليات الفريق الأحمر.

أصبحت الآن تفهم Kerberoasting:

• يمكن لأي مستخدم في النطاق طلب TGS tickets لحسابات SPN.
• تُشفَّر التذاكر باستخدام تجزئة حساب الخدمة، ثم تُخترق دون اتصال.
• الأدوات: Rubeus وImpacket GetUserSPNs.py، مع الاختراق باستخدام Hashcat mode 13100.
• للدفاع، استخدم كلمات مرور طويلة وgMSA وتشفير AES فقط.

ستعيد في الخطوة التالية استخدام بيانات الاعتماد مباشرةً باستخدام Pass-the-Hash.