Laterale Bewegung: Pass-the-Hash und Pass-the-Ticket

Laterale Bewegung bezeichnet Techniken, mit denen sich Angreifer nach dem Aufbau eines ersten Zugangs schrittweise durch ein Netzwerk bewegen, um höherwertige Ziele wie Domänencontroller, Datenbanken und administrative Workstations zu erreichen. Im Gegensatz zum initialen Zugriff (der normalerweise auf einen einzelnen Endpunkt abzielt) nutzt laterale Bewegung Vertrauensbeziehungen zwischen Systemen aus – Authentifizierungsmechanismen, gemeinsam verwendete Zugangsdaten, Netzwerkkonnektivität und administrative Tools –, auf die sich legitime Benutzer täglich verlassen. Durch effektive laterale Bewegung kann ein einziges kompromittiertes Konto mit niedrigen Berechtigungen letztlich jedes System in einer Umgebung erreichen.

NTLM (NT LAN Manager) ist ein veraltetes Windows-Authentifizierungsprotokoll, das auf einem Challenge-Response-Mechanismus basiert. Wenn sich ein Client bei einem Server authentifiziert, sendet der Server eine zufällige Challenge. Der Client antwortet, indem er die Challenge zusammen mit dem NT-Hash des Benutzers hasht (einem festen Hash, der aus dem Passwort abgeleitet wird). Der entscheidende Designfehler: Der NT-Hash allein reicht zur Authentifizierung aus – das Passwort ist nicht erforderlich. Der NT-Hash wird auf Workstations in der Security Account Manager (SAM)-Datenbank und auf Domänencontrollern in NTDS.DIT gespeichert. Erlangt ein Angreifer den NT-Hash, kann er sich als dieser Benutzer authentifizieren, ohne das Passwort jemals zu kennen.

Pass-the-Hash (PtH) ist eine Angriffstechnik, bei der ein Angreifer einen erbeuteten NTLM-Hash verwendet, um sich ohne Kenntnis des zugrunde liegenden Klartextpassworts bei anderen Systemen zu authentifizieren. Nachdem der Angreifer ein System kompromittiert und Hashes aus dem Arbeitsspeicher (LSASS) oder der SAM-Datenbank extrahiert hat, ersetzt er bei Authentifizierungsanfragen sein eigenes Anmeldeinformationsmaterial durch den gestohlenen Hash. Besonders verheerend ist dies, weil gemeinsam verwendete lokale Administratorkennwörter (in Umgebungen ohne LAPS häufig) dazu führen, dass ein einziger Hash Hunderte oder Tausende Rechner kompromittiert. Tools wie Mimikatz, Impacket's psexec.py und CrackMapExec automatisieren PtH-Angriffe.

Mehrere Maßnahmen verringern die Wirksamkeit von PtH-Angriffen: Local Administrator Password Solution (LAPS) – das Tool von Microsoft weist jedem Rechner ein eigenes, regelmäßig wechselndes lokales Administratorkennwort zu, sodass ein von einem Rechner gestohlener Hash nur diesen Rechner entsperrt; Credential Guard (Windows 10/11) – verwendet virtualisierungsbasierte Sicherheit, um LSASS in einer sicheren Enklave zu isolieren, aus der Hashes nicht extrahiert werden können; Deaktivieren von NTLM zugunsten von Kerberos, sofern möglich; Beschränken administrativer Zugriffe durch Privileged Access Workstations (PAWs) und mehrstufige Administrationsmodelle; sowie die Sicherheitsgruppe Protected Users in Active Directory, die das Zwischenspeichern von Hashes für Konten in dieser Gruppe verhindert.

Kerberos ist das standardmäßige Authentifizierungsprotokoll in Active-Directory-Umgebungen und vermeidet die Übertragung von Passwörtern oder Hashes über das Netzwerk, indem es verschlüsselte Tickets verwendet. Der Ablauf: (1) Der Client authentifiziert sich beim Key Distribution Center (KDC) – einer Rolle des Domänencontrollers – und erhält ein Ticket Granting Ticket (TGT), das mit dem Hash des KRBTGT-Kontos verschlüsselt ist; (2) wenn der Client auf einen Dienst zugreifen muss, legt er das TGT vor und erhält ein Service Ticket (TGS/ST), das mit dem Schlüssel des Zieldienstes verschlüsselt ist; (3) der Client legt das Service-Ticket dem Ziel vor, das es validiert, ohne den KDC zu kontaktieren. Tickets haben standardmäßig eine Gültigkeitsdauer von 10 Stunden.

Pass-the-Ticket (PtT) ist das Kerberos-Gegenstück zu Pass-the-Hash: Ein Angreifer extrahiert ein gültiges Kerberos-Ticket aus dem Arbeitsspeicher eines kompromittierten Systems und importiert es in seine eigene Sitzung, um sich als Besitzer des Tickets zu authentifizieren. Kerberos-Tickets werden unter Windows im Arbeitsspeicher gespeichert und können mit den Befehlen Mimikatz's kerberos::list und kerberos::ptt extrahiert werden. Gestohlene TGTs sind besonders wertvoll, weil sie verwendet werden können, um Service-Tickets für jeden Dienst anzufordern, auf den der Besitzer des Tickets zugreifen kann. Gestohlene Service-Tickets (TGS) sind stärker eingeschränkt – sie gewähren nur Zugriff auf den jeweiligen Dienst, für den sie ausgestellt wurden.

Over-Pass-the-Hash (oPtH), auch Pass-the-Key genannt, überbrückt die Lücke zwischen dem Diebstahl eines NTLM-Hashs und der Beschaffung eines Kerberos-Tickets. Ein Angreifer verwendet einen gestohlenen NT-Hash oder AES-Schlüssel, um beim Domänencontroller ein Kerberos-TGT anzufordern, ohne das Klartextpasswort zu kennen. Dadurch wird ein gestohlener Hash in ein vollständiges Kerberos-TGT umgewandelt, das die gesamte Flexibilität von PtT-Angriffen bietet. Diese Technik ist wertvoll, weil viele Organisationen NTLM zugunsten von Kerberos deaktiviert haben – mit oPtH können hashbasierte Angriffe auch in Umgebungen gelingen, die ausschließlich Kerberos verwenden. Mimikatz implementiert dies als sekurlsa::pth.

Angreifer verwenden mehrere Protokolle, um sich mit gestohlenen Zugangsdaten oder Tickets lateral zu bewegen: SMB (Server Message Block) ermöglicht die Remote-Ausführung von Befehlen über PsExec sowie den Fernzugriff auf Dateien und die Erstellung von Diensten; WMI (Windows Management Instrumentation) ermöglicht die Remote-Ausführung von Befehlen und wird aufgrund seiner weiten Verbreitung und unzureichender Protokollierung sowohl von Administratoren als auch von Angreifern intensiv genutzt; RDP (Remote Desktop Protocol) stellt eine interaktive Desktopsitzung bereit; und WinRM/PowerShell Remoting ermöglicht die Ausführung von PowerShell-Befehlen auf Remotesystemen. Verteidiger sollten als Referenz festlegen, welche Systeme diese Protokolle legitimerweise verwenden, und bei ungewöhnlichen Nutzungsmustern Warnmeldungen auslösen.

BloodHound ist ein Open-Source-Tool, das sowohl von Red-Teamern als auch von Verteidigern verwendet wird, um Pfade zur Rechteausweitung und lateralen Bewegung in Active Directory zu visualisieren. Es sammelt Beziehungsdaten (wer Mitglied welcher Gruppe ist, wer über Administratorrechte auf welchem Rechner verfügt und für welche Konten Delegierung aktiviert ist) und stellt sie als Graphen dar, in dem Knoten Benutzer, Rechner und Gruppen sowie Kanten Berechtigungen repräsentieren. Die BloodHound-Abfrage 'Find Shortest Paths to Domain Admins' kann Angreifern – und Verteidigern – genau zeigen, welche Abfolge von Kompromittierungen zur vollständigen Kontrolle der Domäne führen könnte. Verteidiger verwenden BloodHound, um unnötige Rechtepfade zu beseitigen, bevor Angreifer sie ausnutzen.

Zur Erkennung lateraler Bewegung müssen Ereignisse über mehrere Systeme hinweg korreliert werden. Wichtige Erkennungssignale sind: Windows-Ereignis-ID 4648 (Anmeldung mit expliziten Anmeldeinformationen – häufig bei PtH/PtT); Ereignis-ID 4769 (Anforderung eines Kerberos-Service-Tickets – ungewöhnlich, wenn Tickets für selten aufgerufene Dienste angefordert werden); Ereignis-ID 7045/4697 (neu installierter Dienst – häufig bei lateraler Bewegung über PsExec); ungewöhnliche Nutzung administrativer Tools von Nicht-Admin-Workstations aus (wmic.exe, psexec.exe); sowie Anomalien bei der SMB-Authentifizierung, wenn sich Workstations bei anderen Workstations authentifizieren (normalerweise fließt der Datenverkehr von Workstations zu Servern, nicht zwischen gleichrangigen Workstations). EDR-Plattformen mit verhaltensbasierter Erkennung erkennen diese Muster im gesamten Netzwerk.

Das Modell der mehrstufigen Administration (das von Microsoft empfohlene Active-Directory-Design) verhindert, dass der Diebstahl von Zugangsdaten aus einer Ebene zur Kompromittierung höherer Ebenen führt: Tier 0 (Steuerungsebene der Identitäten – Domänencontroller, Azure AD) – nur Administratorkonten der Ebene Tier 0 dürfen diese verwalten, und diese Konten melden sich niemals bei Systemen der Ebenen Tier 1 oder 2 an; Tier 1 (Server und Cloud-Dienste) – dedizierte Administratorkonten der Ebene Tier 1; Tier 2 (Workstations und Geräte) – Helpdesk- und Standardadministratorkonten. Durch die Isolation der Zugangsdaten in Ebenen kann ein kompromittiertes Administratorkonto einer Workstation nicht für Angriffe auf Domänencontroller verwendet werden. Dies wirkt der lateralen Bewegung mittels PtH und PtT unmittelbar entgegen.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie Folgendes gelernt: Pass-the-Hash nutzt das Design von NTLM aus, bei dem der Hash als Anmeldedaten dient – allein der NT-Hash authentifiziert ohne das Passwort und wird primär durch LAPS und Credential Guard verhindert; Pass-the-Ticket stiehlt gültige Kerberos-Tickets aus dem Arbeitsspeicher, um sich als ein anderer Benutzer zu authentifizieren, wobei gestohlene TGTs besonders mächtig sind, da sie Diensttickets für jeden Dienst erzeugen können; außerdem verhindert das Modell der gestaffelten Administration, dass der Diebstahl von Anmeldedaten auf einer Ebene laterale Bewegungen zu Ebenen mit höheren Berechtigungen ermöglicht. Als Nächstes untersuchen wir Kerberoasting- und Golden-Ticket-Angriffe auf die Kerberos-Implementierung von Active Directory.