Kerberoasting

Kerberoasting es un ataque dirigido a cuentas de servicio en Active Directory. Cualquier usuario de dominio autenticado puede solicitar un ticket de servicio para una cuenta que tenga un Service Principal Name (SPN).

Parte de ese ticket se cifra con el hash de la contraseña de la cuenta de servicio, por lo que el atacante puede descifrarlo sin conexión sin interactuar con la cuenta.

Cuando un usuario solicita un ticket de servicio (TGS), el KDC cifra parte de este con el hash NTLM de la contraseña de la cuenta de servicio.

Como cualquier usuario del dominio puede solicitar este ticket y no se necesitan privilegios especiales, el atacante simplemente recopila tickets y los descifra tranquilamente en su propio equipo.

Primero, enumere las cuentas que tienen SPN configurados. Normalmente son cuentas de servicio que ejecutan SQL, servicios web u otros servicios.

Las cuentas de usuario (no las cuentas de máquina) con SPN son objetivos ideales, porque sus contraseñas suelen establecerlas personas y rara vez se cambian.

Rubeus es una herramienta popular escrita en C# para abusar de Kerberos. El comando kerberoast solicita tickets TGS para cuentas con SPN y los muestra en un formato susceptible de descifrado.

Este paso es discreto: parece tráfico normal de Kerberos procedente de un usuario legítimo.

Desde Linux, Impacket realiza el mismo ataque de forma remota mediante credenciales de dominio válidas, utilizando GetUserSPNs.py.

Esto resulta útil durante operaciones externas o de brecha asumida en las que ya dispone de un conjunto de credenciales con pocos privilegios.

El ticket capturado se guarda en un formato que Hashcat reconoce como el modo 13100 (Kerberos 5 TGS-REP etype 23, RC4).

Cada hash comienza con $krb5tgs$23$, seguido del SPN, la cuenta y el blob cifrado. Esto es lo que debe proporcionar a su herramienta de descifrado.

El cracking offline utiliza una lista de palabras (a menudo con reglas) contra los hashes capturados. Como los tickets RC4 se prueban rápidamente, las contraseñas débiles de los servicios caen enseguida.

Por eso, las contraseñas de las cuentas de servicio deben ser largas y aleatorias, e idealmente deben gestionarse mediante Group Managed Service Accounts (gMSA).

Si la cuenta admite RC4 (etype 23), el cracking es rápido. Si solo permite AES (etype 17/18), el cracking es mucho más lento, aunque sigue siendo posible (modos 19600/19700 de Hashcat).

Los atacantes incluso pueden degradar el tipo de cifrado solicitado para forzar el uso de un ticket RC4 más débil.

Los defensores vigilan volúmenes inusuales de solicitudes TGS, especialmente de tickets RC4 (ID de evento 4769). Entre las medidas de mitigación se incluyen:

• Contraseñas largas y aleatorias para las cuentas de servicio (25 caracteres o más).
• Usar cuentas gMSA con rotación automática.
• Deshabilitar RC4 y exigir AES.

Las cuentas de servicio resultan atractivas porque con frecuencia son miembros de grupos privilegiados, tienen contraseñas obsoletas y no están vinculadas a una única persona que pudiera detectar anomalías.

Crackear una de ellas puede permitirle obtener Domain Admin si la cuenta de servicio tenía privilegios excesivos asignados de forma negligente.

El Kerberoasting suele realizarse poco después de obtener cualquier punto de apoyo en el dominio. Es una enumeración de bajo ruido combinada con cracking offline, por lo que rara vez activa alertas.

Una cuenta de servicio crackeada suele proporcionar movimiento lateral o escalada de privilegios, por lo que es una técnica habitual en pentests internos y operaciones de red team.

Ahora comprende el Kerberoasting:

• Cualquier usuario del dominio puede solicitar tickets TGS para cuentas con SPN.
• Los tickets se cifran con el hash de la cuenta de servicio y se crackean offline.
• Herramientas: Rubeus, Impacket GetUserSPNs.py, crackeados con el modo 13100 de Hashcat.
• Defiéndase usando contraseñas largas, gMSA y cifrado exclusivo AES.

A continuación reutilizará credenciales directamente mediante Pass-the-Hash.