Pass-the-Hash

Pass-the-Hash (PtH) ist eine Technik, bei der sich ein Angreifer mit dem NTLM-Passwort-Hash eines Benutzers statt mit dem Klartextpasswort authentifiziert.

Da die Windows-NTLM-Authentifizierung den Hash selbst als Geheimnis verwendet, müssen Sie ihn nicht knacken, um sich als dieser Benutzer anzumelden.

Windows speichert Kontopasswörter als NTLM-Hashes (einen MD4-Hash des UTF-16-Passworts). Bei der NTLM-Authentifizierung weist der Hash die Identität nach, nicht das Passwort.

Dieser Designfehler bedeutet, dass der Diebstahl des Hashes für NTLM-basierte Anmeldungen praktisch dem Diebstahl des Passworts gleichkommt.

Hashes können aus mehreren Quellen ausgelesen werden:

• Die SAM-Datenbank auf lokalen Rechnern.
• Der LSASS-Prozessspeicher angemeldeter Benutzer.
• Die Datei NTDS.dit auf Domänencontrollern.

Für jede Quelle sind andere Berechtigungen erforderlich, aber alle liefern wiederverwendbare Hashes.

Mimikatz ist das klassische Tool zum Extrahieren von Zugangsdaten aus dem LSASS-Speicher. Der Befehl sekurlsa::logonpasswords gibt die NTLM-Hashes aktuell angemeldeter Benutzer aus.

Zum Lesen von LSASS sind lokale Administratorrechte (und häufig SeDebugPrivilege) erforderlich.

Impacket's secretsdump.py extrahiert mit gültigen Zugangsdaten remote Hashes aus der SAM- und der Domänendatenbank.

Das Tool kann auch einen DCSync durchführen, um Hashes direkt von einem Domänencontroller abzurufen, sofern Sie über die erforderlichen Replikationsrechte verfügen.

Sobald Sie einen Hash besitzen, können Sie sich mit Tools direkt damit authentifizieren. Impacket's psexec.py akzeptiert mit dem Flag -hashes einen Hash und stellt Ihnen eine Remote-Shell bereit.

Das Format lautet LMHASH:NTHASH; der LM-Teil besteht auf modernen Systemen normalerweise aus leeren Nullen.

Viele Tools unterstützen PtH:

• CrackMapExec / NetExec: Hashes auf viele Hosts verteilen.
• evil-winrm: WinRM-Shell mit einem Hash.
• wmiexec.py / smbexec.py: alternative Methoden zur Ausführung.

Durch das Verteilen eines einzelnen lokalen Administrator-Hashes über ein Subnetz lässt sich der Zugriff schnell ausweiten.

Pass-the-Hash ist eine zentrale Technik für laterale Bewegungen. Indem Angreifer den lokalen Administrator-Hash eines Rechners auf anderen Rechnern wiederverwenden (ein Problem, wenn dasselbe lokale Administratorkennwort gemeinsam verwendet wird), bewegen sie sich von Host zu Host.

Jeder neue Host kann die Hashes privilegierterer Benutzer im Speicher enthalten.

Zu den Gegenmaßnahmen gehören:

• LAPS: eindeutige zufällige Passwörter für lokale Administratoren auf jedem Rechner.
• Credential Guard: isoliert Geheimnisse aus LSASS.
• Die Anmeldemöglichkeiten privilegierter Konten einschränken (Tiering).
• NTLM deaktivieren und nach Möglichkeit Kerberos verwenden.

Pass-the-Hash hat verwandte Techniken:

• Pass-the-Ticket: ein gestohlenes Kerberos-Ticket wiederverwenden.
• Overpass-the-Hash: einen NTLM-Hash verwenden, um ein Kerberos-TGT anzufordern.

Damit wird die Wiederverwendung von Zugangsdaten auf die Kerberos-Welt ausgeweitet.

Pass-the-Hash missbraucht gezielt die NTLM-Authentifizierung. Umgebungen, die Kerberos erzwingen und NTLM deaktivieren, verkleinern die Angriffsfläche erheblich.

Aus Kompatibilitätsgründen ist NTLM jedoch in den meisten Netzwerken weiterhin vorhanden, sodass PtH nach wie vor breit eingesetzt werden kann. Deshalb wird empfohlen, NTLM als Härtungsmaßnahme zu deaktivieren.

Sie verstehen nun Pass-the-Hash:

• Die NTLM-Authentifizierung akzeptiert den Hash als Geheimnis, daher ist kein Cracken erforderlich.
• Hashes werden mit Mimikatz oder secretsdump aus SAM, LSASS oder NTDS.dit ausgelesen.
• Tools wie psexec.py, NetExec und evil-winrm verwenden Hashes für laterale Bewegungen wieder.
• Schützen Sie sich mit LAPS, Credential Guard und Tiering.

Als Nächstes kartieren Sie mit BloodHound Angriffspfade.