Técnicas de ataque contra Kerberos: Kerberoasting y Golden Ticket

Kerberoasting es un ataque en el que se solicitan tickets de servicio de Kerberos para cuentas registradas con SPN (cuentas de servicio) y después se extrae la parte cifrada de esos tickets para romperla sin conexión. Cualquier usuario del dominio puede solicitar tickets de servicio para cualquier SPN, por lo que no se requieren privilegios especiales para realizar la extracción inicial.

Las contraseñas de las cuentas de servicio las establecen los administradores y rara vez se cambian; en ocasiones permanecen durante años o indefinidamente. Muchas organizaciones usan contraseñas débiles y fáciles de recordar para las cuentas de servicio en lugar de cadenas aleatorias seguras. Esto hace que Kerberoasting sea muy eficaz: la ruptura sin conexión de un ticket de servicio suele completarse correctamente en cuestión de horas o días.

Los ataques Pass-the-Ticket (PtT) consisten en robar tickets de Kerberos de la memoria de un sistema comprometido e inyectarlos en otra sesión. Como los tickets de Kerberos son tokens de portador (son válidos durante toda su vigencia independientemente del lugar donde se utilicen), los tickets robados conceden acceso a los servicios sin conocer la contraseña de la cuenta.

Mimikatz es una herramienta de código abierto capaz de extraer tickets de Kerberos, hashes NTLM y otras credenciales de la memoria del proceso Windows LSASS (Local Security Authority Subsystem Service). El comando sekurlsa::tickets vuelca todos los tickets de Kerberos almacenados en caché, lo que permite realizar ataques Pass-the-Ticket desde una estación de trabajo comprometida.

Un Golden Ticket es un TGT falsificado creado mediante el hash de la contraseña de la cuenta krbtgt. Con el hash de krbtgt (obtenido mediante un ataque DCSync o tras comprometer un controlador de dominio), un atacante puede falsificar TGT para cualquier usuario, con cualquier pertenencia a grupos y cualquier período de validez, lo que permite mantener el acceso a todo el dominio incluso después de restablecer las contraseñas.

Un Silver Ticket es un ticket de servicio falsificado creado mediante el hash de la contraseña de la cuenta de servicio. A diferencia de un Golden Ticket, un Silver Ticket no requiere el hash de krbtgt y el KDC no lo valida durante su uso. Los Silver Tickets son más limitados (solo sirven para un servicio), pero son más difíciles de detectar porque no generan tráfico hacia el KDC.

AS-REP Roasting ataca las cuentas que tienen habilitada la opción "No requerir la preautenticación de Kerberos". Sin preautenticación, cualquier atacante puede solicitar un AS-REP para esa cuenta y recibir la parte cifrada del TGT, que después puede romperse sin conexión. Las cuentas que tienen establecida esta opción suelen ser cuentas de servicio o configuraciones de compatibilidad heredadas.

El malware Skeleton Key modifica en memoria el proceso KDC de un controlador de dominio e inyecta una contraseña universal de "esqueleto" que funciona para todas las cuentas, mientras sus contraseñas legítimas siguen funcionando con normalidad. Este ataque requiere acceso de administrador del dominio para implementarse, pero crea una puerta trasera persistente que sobrevive a la mayoría de los métodos de detección.

El ID de evento 4769 de Windows (solicitud de ticket de servicio Kerberos) con el tipo de cifrado RC4 (0x17) indica Kerberoasting, ya que los clientes modernos legítimos utilizan AES. El ID de evento 4768 sin preautenticación indica posibles objetivos de AS-REP roasting. Las solicitudes inusuales de tickets para cuentas que no se utilizan habitualmente también indican una posible actividad Pass-the-Ticket.

Las cuentas de servicio administradas por grupos (gMSA) son la principal defensa contra Kerberoasting. Las gMSA tienen contraseñas de 240 caracteres generadas aleatoriamente y rotadas automáticamente cada 30 días por Active Directory. Desde el punto de vista criptográfico, es imposible romper estas contraseñas durante el período de rotación, por lo que los ataques Kerberoasting contra gMSA resultan ineficaces.

El grupo de seguridad Protected Users aplica políticas estrictas de Kerberos a sus miembros: no permite la autenticación NTLM, el cifrado RC4 ni la delegación de credenciales, y establece una duración mínima de 4 horas para los TGT. Incluir cuentas sensibles (ejecutivos y administradores) en Protected Users reduce considerablemente la superficie de ataque para el robo de credenciales y los ataques basados en tickets.

Kerberoasting rompe sin conexión los tickets de servicio usando contraseñas débiles de cuentas de servicio. Pass-the-Ticket reutiliza tickets robados de la memoria. Golden Ticket falsifica TGT mediante el hash de krbtgt. Silver Ticket falsifica tickets de servicio sin validación del KDC. AS-REP roasting ataca las cuentas que no tienen preautenticación. Defensas: gMSA (inmunes a Kerberoasting), grupo Protected Users, aplicación del cifrado exclusivo AES y supervisión del ID de evento 4769.