Kerberoasting

Kerberoasting ist ein Angriff auf Dienstkonten in Active Directory. Jeder authentifizierte Domänenbenutzer kann ein Serviceticket für ein Konto anfordern, dem ein Service Principal Name (SPN) zugewiesen ist.

Ein Teil dieses Tickets wird mit dem Passwort-Hash des Dienstkontos verschlüsselt, sodass der Angreifer es offline knacken kann, ohne das Konto selbst zu berühren.

Wenn ein Benutzer ein Serviceticket (TGS) anfordert, verschlüsselt das KDC einen Teil davon mit dem NTLM-Hash des Passworts des Dienstkontos.

Da jeder Domänenbenutzer dieses Ticket anfordern kann und keine besonderen Berechtigungen erforderlich sind, sammelt der Angreifer einfach Tickets und knackt sie in Ruhe auf dem eigenen Rechner.

Ermitteln Sie zunächst Konten, für die SPNs festgelegt sind. Dabei handelt es sich meist um Dienstkonten, unter denen SQL-, Web- oder andere Dienste ausgeführt werden.

Benutzerkonten (keine Computerkonten) mit SPNs sind ideale Ziele, da ihre Passwörter häufig von Menschen festgelegt und selten geändert werden.

Rubeus ist ein beliebtes C#-Tool für den Missbrauch von Kerberos. Der Befehl kerberoast fordert TGS-Tickets für SPN-Konten an und gibt sie in einem knackbar formatierten Format aus.

Dieser Schritt ist unauffällig: Er sieht wie normaler Kerberos-Datenverkehr eines legitimen Benutzers aus.

Unter Linux führt Impacket mit GetUserSPNs.py denselben Angriff remote und unter Verwendung gültiger Domänenzugangsdaten durch.

Das ist bei externen Aufträgen oder Assume-Breach-Szenarien praktisch, wenn Sie bereits über einen Satz Zugangsdaten mit geringen Rechten verfügen.

Das erfasste Ticket wird in einem Format gespeichert, das Hashcat als Modus 13100 erkennt (Kerberos 5 TGS-REP etype 23, RC4).

Jeder Hash beginnt mit $krb5tgs$23$, gefolgt von SPN, Konto und verschlüsseltem Blob. Diese Daten übergeben Sie an Ihr Cracking-Tool.

Beim Offline-Cracking wird eine Wortliste (oft mit Regeln) auf die erfassten Hashes angewendet. Da sich RC4-Tickets schnell testen lassen, werden schwache Passwörter von Diensten schnell geknackt.

Deshalb sollten Passwörter von Dienstkonten lang und zufällig sein und idealerweise durch Group Managed Service Accounts (gMSA) verwaltet werden.

Wenn das Konto RC4 (Etype 23) unterstützt, geht das Cracken schnell. Wenn es nur AES (Etype 17/18) zulässt, ist das Cracken deutlich langsamer, aber weiterhin möglich (Hashcat-Modi 19600/19700).

Angreifer können den angeforderten Verschlüsselungstyp sogar herabstufen, um das schwächere RC4-Ticket zu erzwingen.

Verteidiger achten auf ungewöhnlich viele TGS-Anfragen, insbesondere auf RC4-Tickets (Ereignis-ID 4769). Zu den Gegenmaßnahmen gehören:

• Lange, zufällige Passwörter für Dienstkonten (25 oder mehr Zeichen).
• Die Verwendung von gMSA-Konten mit automatischer Rotation.
• RC4 deaktivieren und AES erzwingen.

Dienstkonten sind attraktiv, weil sie häufig Mitglied in privilegierten Gruppen sind, veraltete Passwörter haben und keiner einzelnen Person zugeordnet sind, die Anomalien bemerken würde.

Wenn ein Dienstkonto leichtfertig mit zu vielen Berechtigungen ausgestattet wurde, kann das Cracken seines Passworts Ihnen Domain Admin verschaffen.

Kerberoasting wird normalerweise kurz nach dem Erlangen eines beliebigen Zugangs zur Domäne durchgeführt. Es besteht aus geräuscharmer Enumeration und Offline-Cracking und löst daher nur selten Alarme aus.

Ein geknacktes Dienstkonto ermöglicht häufig laterale Bewegungen oder eine Rechteausweitung und gehört deshalb zum Standardrepertoire interner Pentests und Red-Team-Einsätze.

Rufen Sie die grundlegende Voraussetzung für Kerberoasting ab.

Sie verstehen nun Kerberoasting:

• Jeder Domänenbenutzer kann TGS-Tickets für Konten mit SPNs anfordern.
• Tickets werden mit dem Hash des Dienstkontos verschlüsselt und offline geknackt.
• Tools: Rubeus, Impacket GetUserSPNs.py, geknackt mit Hashcat mode 13100.
• Schützen Sie sich mit langen Passwörtern, gMSA und einer reinen AES-Verschlüsselung.

Als Nächstes verwenden Sie Zugangsdaten direkt per Pass-the-Hash wieder.