Kerberoasting

Kerberoasting er et angreb, der retter sig mod tjenestekonti i Active Directory. Enhver godkendt domænebruger kan anmode om en tjenestebillet til en konto, der har et Service Principal Name (SPN).

En del af denne billet er krypteret med tjenestekontoens adgangskodehash, så angriberen kan knække den offline uden nogensinde at røre kontoen.

Når en bruger anmoder om en tjenestebillet (TGS), krypterer KDC'en en del af den med NTLM-hashen for tjenestekontoens adgangskode.

Fordi enhver domænebruger kan anmode om denne billet, og fordi der ikke kræves særlige privilegier, indsamler angriberen ganske enkelt billetter og knækker dem i ro og mag på sin egen maskine.

Først skal du opregne konti, hvor SPN'er er angivet. Det er normalt tjenestekonti, der kører SQL-, web- eller andre tjenester.

Brugerkonti (ikke maskinkonti) med SPN'er er ideelle mål, fordi deres adgangskoder ofte angives af mennesker og sjældent udskiftes.

Rubeus er et populært C#-værktøj til misbrug af Kerberos. Kommandoen kerberoast anmoder om TGS-billetter for SPN-konti og sender dem ud i et format, der kan knækkes.

Dette trin er diskret: Det ligner normal Kerberos-trafik fra en legitim bruger.

Fra Linux udfører Impackets GetUserSPNs.py det samme angreb eksternt ved hjælp af gyldige domænelegitimationsoplysninger.

Det er praktisk under eksterne opgaver eller opgaver med antaget kompromittering, hvor du allerede har ét sæt legitimationsoplysninger med få privilegier.

Den opfangede billet gemmes i et format, som Hashcat genkender som tilstand 13100 (Kerberos 5 TGS-REP etype 23, RC4).

Hver hash begynder med $krb5tgs$23$ efterfulgt af SPN, konto og den krypterede blob. Det er dette, du giver til dit knækningsværktøj.

Offlineknækning bruger en ordliste, ofte sammen med regler, mod de indsamlede hashes. Fordi RC4-billetter er hurtige at teste, bliver svage adgangskoder til tjenester hurtigt knækket.

Derfor bør adgangskoder til tjenestekonti være lange og tilfældige og helst administreres af Group Managed Service Accounts (gMSA).

Hvis kontoen understøtter RC4 (etype 23), går knækningen hurtigt. Hvis den kun tillader AES (etype 17/18), går knækningen langt langsommere, men den er stadig mulig (Hashcat-tilstandene 19600/19700).

Angribere kan endda nedgradere den ønskede krypteringstype for at tvinge en svagere RC4-billet frem.

Forsvarere holder øje med usædvanligt mange TGS-anmodninger, især efter RC4-billetter (hændelses-id 4769). Modforanstaltninger omfatter:

• Lange, tilfældige adgangskoder til tjenestekonti (25+ tegn).
• Brug af gMSA-konti med automatisk rotation.
• Deaktivering af RC4 og håndhævelse af AES.

Tjenestekonti er attraktive, fordi de ofte er medlemmer af privilegerede grupper, har forældede adgangskoder og ikke er knyttet til et bestemt menneske, som ville lægge mærke til uregelmæssigheder.

Hvis du knækker en sådan konto, kan du få Domain Admin-rettigheder, hvis tjenestekontoen uforsigtigt har fået for mange privilegier.

Kerberoasting udføres normalt kort efter, at du har fået fodfæste i et domæne. Det er støjsvag opregning efterfulgt af offlineknækning, så det udløser sjældent alarmer.

En knækket tjenestekonto giver ofte lateral bevægelse eller privilegieeskalering, hvilket gør teknikken til en fast del af interne pentests og red team-opgaver.

Du forstår nu Kerberoasting:

• Enhver domænebruger kan anmode om TGS-billetter til SPN-konti.
• Billetter krypteres med tjenestekontoens hash og knækkes offline.
• Værktøjer: Rubeus, Impacket GetUserSPNs.py, knækning med Hashcat mode 13100.
• Forsvar dig med lange adgangskoder, gMSA og kryptering, der kun bruger AES.

Nu skal du genbruge legitimationsoplysninger direkte med Pass-the-Hash.