Pass-the-Hash

Pass-the-Hash (PtH) es una técnica en la que un atacante se autentica usando el hash de la contraseña NTLM de un usuario en lugar de la contraseña en texto plano.

Como la autenticación NTLM de Windows utiliza el propio hash como secreto, nunca es necesario crackearlo para iniciar sesión como ese usuario.

Windows almacena las contraseñas de las cuentas como hashes NTLM (un MD4 de la contraseña en UTF-16). Durante la autenticación NTLM, lo que demuestra la identidad es el hash, no la contraseña.

Este fallo de diseño significa que robar el hash equivale funcionalmente a robar la contraseña para los inicios de sesión basados en NTLM.

Los hashes pueden obtenerse de varios lugares:

• La base de datos SAM de las máquinas locales.
• La memoria del proceso LSASS de los usuarios con sesión iniciada.
• El archivo NTDS.dit de los controladores de dominio.

Cada fuente requiere privilegios diferentes, pero todas proporcionan hashes reutilizables.

Mimikatz es la herramienta clásica para extraer credenciales de la memoria de LSASS. El comando sekurlsa::logonpasswords revela los hashes NTLM de los usuarios que tienen sesión iniciada actualmente.

Se requieren privilegios de administrador local (y a menudo SeDebugPrivilege) para leer LSASS.

secretsdump.py de Impacket extrae remotamente hashes de la SAM y de la base de datos del dominio utilizando credenciales válidas.

También puede realizar un DCSync para extraer los hashes directamente de un controlador de dominio si dispone de los permisos de replicación adecuados.

Una vez que dispone de un hash, las herramientas le permiten autenticarse directamente con él. psexec.py de Impacket acepta un hash mediante la opción -hashes y le proporciona un shell remoto.

El formato es LMHASH:NTHASH; en los sistemas modernos, la parte LM normalmente está formada por ceros vacíos.

Muchas herramientas admiten PtH:

• CrackMapExec / NetExec: prueban hashes en muchos hosts.
• evil-winrm: shell de WinRM con un hash.
• wmiexec.py / smbexec.py: métodos alternativos de ejecución.

Probar el hash de un único administrador local en una subred puede ampliar rápidamente el acceso.

Pass-the-Hash es una técnica fundamental de movimiento lateral. Al reutilizar en otras máquinas el hash de administrador local de un equipo (un problema cuando se comparte la misma contraseña de administrador local), los atacantes saltan de un host a otro.

Cada nuevo host puede contener en memoria los hashes de usuarios con privilegios aún mayores.

Entre las medidas de mitigación se incluyen:

• LAPS: contraseñas de administrador local únicas y aleatorias para cada máquina.
• Credential Guard: aísla los secretos de LSASS.
• Restringir dónde inician sesión las cuentas privilegiadas (segmentación por niveles).
• Deshabilitar NTLM en favor de Kerberos siempre que sea posible.

Pass-the-Hash tiene técnicas relacionadas:

• Pass-the-Ticket: reutilizar un ticket Kerberos robado.
• Overpass-the-Hash: usar un hash NTLM para solicitar un TGT de Kerberos.

Estas técnicas extienden la reutilización de credenciales al entorno Kerberos.

Pass-the-Hash abusa específicamente de la autenticación NTLM. Los entornos que exigen Kerberos y deshabilitan NTLM reducen considerablemente la superficie de ataque.

Sin embargo, NTLM persiste en la mayoría de las redes por motivos de compatibilidad, por lo que PtH sigue siendo ampliamente eficaz. Por eso, deshabilitar NTLM es una medida de hardening recomendada.

Recuerde por qué PtH no requiere cracking.

Ahora comprende Pass-the-Hash:

• La autenticación NTLM acepta el hash como secreto, por lo que no es necesario crackearlo.
• Los hashes se extraen de SAM, LSASS o NTDS.dit mediante Mimikatz o secretsdump.
• Herramientas como psexec.py, NetExec y evil-winrm reutilizan hashes para el movimiento lateral.
• Defiéndase con LAPS, Credential Guard y la segmentación por niveles.

A continuación mapeará rutas de ataque con BloodHound.