Attacchi Kerberoasting e Golden Ticket

Per comprendere gli attacchi Kerberoasting e Golden Ticket, è necessario avere un quadro chiaro dell'emissione dei ticket di servizio Kerberos. Quando un client vuole accedere a un servizio, ad esempio un server SQL, presenta il proprio Ticket Granting Ticket (TGT) al Ticket Granting Service (TGS) del controller di dominio. Il TGS emette un Service Ticket crittografato con l'hash della password dell'account di servizio. Il client presenta questo ticket al servizio, che lo decifra con il proprio hash per verificarne l'autenticità. Ciò significa che i ticket di servizio sono crittografati con la credenziale del servizio di destinazione: un dettaglio fondamentale sfruttato da Kerberoasting.

Kerberoasting è un attacco che sfrutta il fatto che qualsiasi utente di dominio autenticato può richiedere un ticket di servizio Kerberos per qualsiasi servizio registrato con uno SPN (Service Principal Name). L'attaccante richiede ticket di servizio per gli account con SPN, cattura i dati binari crittografati dei ticket e poi tenta di effettuare il cracking della password dell'account di servizio offline, senza ulteriori interazioni con Active Directory e senza rischiare il blocco dell'account. Gli account di servizio spesso hanno password deboli, password obsolete impostate prima dell'introduzione dei moderni requisiti di complessità o password che non scadono mai, risultando quindi altamente vulnerabili al cracking offline.

Gli hash dei ticket di servizio catturati tramite Kerberoasting sono crittografati per impostazione predefinita con RC4-HMAC (NTLM hash), per motivi di compatibilità; questo algoritmo è più rapido da sottoporre a cracking rispetto ai ticket Kerberos AES-256. L'attaccante inserisce gli hash $krb5tgs$23$ catturati in Hashcat o John the Ripper per eseguire attacchi offline basati su dizionario e brute force. Wordlist comuni come RockYou, insieme a set di regole, possono violare la maggior parte delle password deboli degli account di servizio in pochi minuti o alcune ore utilizzando hardware GPU consumer. Una volta violata la password, l'attaccante dispone della password in chiaro dell'account di servizio e può utilizzarla per autenticarsi direttamente.

Le misure di mitigazione contro Kerberoasting riguardano tre aree: robustezza delle password — gli account di servizio dovrebbero avere password lunghe e casuali, di almeno 25 caratteri, in grado di resistere al cracking offline anche con cluster di GPU; Group Managed Service Accounts (gMSA) — Windows gestisce automaticamente le password gMSA, costituite da valori casuali di 240 caratteri e ruotate ogni 30 giorni, rendendo Kerberoasting computazionalmente impraticabile; crittografia solo AES — configuri gli account di servizio in modo che richiedano ticket AES-256 (msDS-SupportedEncryptionTypes), che sono molto più lenti da sottoporre a cracking rispetto a RC4; e rilevamento — generi avvisi in caso di volumi insoliti di richieste TGS, Event ID 4769, per account di servizio provenienti da workstation non standard.

L'account KRBTGT è un account speciale integrato in Active Directory, il cui hash della password viene utilizzato per firmare e crittografare tutti i TGT Kerberos del dominio. Il controller di dominio usa l'hash KRBTGT per creare i TGT e convalidare quelli in ingresso. Per questo motivo, l'hash KRBTGT è la credenziale di maggior valore in un ambiente Active Directory: chiunque ne sia in possesso può creare ticket Kerberos arbitrari e completamente validi per qualsiasi utente, inclusi utenti inesistenti, con qualsiasi appartenenza ai gruppi e per qualsiasi durata. In molte organizzazioni la password KRBTGT non è mai stata modificata, poiché la procedura di modifica richiede un coordinamento accurato.

Un attacco Golden Ticket crea un TGT Kerberos falsificato e completamente valido utilizzando l'hash della password dell'account KRBTGT compromesso. L'attaccante usa il comando kerberos::golden di Mimikatz per generare un TGT per qualsiasi utente, spesso un account fittizio simile a Administrator, con qualsiasi appartenenza ai gruppi, in genere includendo Domain Admins, e con qualsiasi periodo di validità, comunemente impostato a 10 anni. Questo ticket falsificato è indistinguibile da un ticket legittimo per il controller di dominio, poiché è crittograficamente valido: è stato firmato con l'hash KRBTGT reale. Un Golden Ticket offre un controllo completo, persistente e illimitato del dominio.

I Golden Ticket sono particolarmente pericolosi perché persistono anche dopo che l'attacco originario è stato scoperto e ripulito. Modificare la password dell'utente preso di mira non serve a nulla: il ticket è stato falsificato e non si basa sulle credenziali reali dell'utente. L'unica correzione consiste nel modificare due volte la password KRBTGT, una volta per invalidare i ticket esistenti e una seconda volta perché in ogni momento esistono due chiavi KRBTGT utilizzate per la rotazione. Tuttavia, la modifica della password KRBTGT richiede un coordinamento accurato: se eseguita in modo improprio, interrompe l'autenticazione Kerberos sull'intero dominio. Molte organizzazioni sono riluttanti a eseguire questa correzione e lasciano quindi validi i Golden Ticket a tempo indeterminato.

Un Silver Ticket è simile a un Golden Ticket, ma ha un ambito più limitato. Utilizza l'hash dell'account del servizio di destinazione, anziché KRBTGT, per falsificare un ticket di servizio valido esclusivamente per quel servizio. Ad esempio, disponendo dell'hash dell'account di servizio di un server SQL, l'attaccante può falsificare un ticket di servizio che gli conceda qualsiasi accesso a quel server SQL. I Silver Ticket sono più difficili da rilevare rispetto ai Golden Ticket perché aggirano completamente il controller di dominio: il ticket falsificato passa direttamente dall'attaccante al servizio, senza contatti con il KDC. La mitigazione richiede la protezione degli hash degli account di servizio e il monitoraggio di modelli di accesso anomali ai servizi sensibili.

Gli attaccanti ottengono l'hash KRBTGT utilizzando l'attacco DCSync, che sfrutta il protocollo legittimo di replica del dominio di Active Directory. Il Directory Replication Service (DRS) consente ai controller di dominio di sincronizzare i dati di AD, inclusi gli hash delle password, tra loro. Un attaccante con privilegi DCSync, in genere Domain Admin, Enterprise Admin o qualsiasi account con autorizzazioni Replicating Directory Changes All, può impersonare un controller di dominio e richiedere la replica dell'hash di qualsiasi account. Il comando lsadump::dcsync di Mimikatz esegue questo attacco interamente tramite la rete: non è necessario eseguire codice direttamente sul DC.

Rilevare l'utilizzo dei Golden Ticket è difficile, ma possibile analizzando le anomalie nei metadati dei ticket Kerberos: ticket con durate insolitamente lunghe, poiché la durata reale di un TGT è di 10 ore mentre i Golden Ticket sono spesso impostati a 10 anni; Event ID 4769 in cui il tipo di crittografia del ticket è RC4 (0x17), quando AES-256 (0x12) è l'impostazione predefinita del dominio; nomi di account nei ticket che non esistono in AD; e assenza di Event ID 4768, la richiesta del TGT, prima di Event ID 4769, la richiesta del ticket di servizio: i Golden Ticket saltano la fase di richiesta del TGT perché il TGT stesso è falsificato. Una regola di Microsoft Sentinel o Defender for Identity può segnalare automaticamente questi schemi.

Una difesa a più livelli contro gli attacchi Kerberos prevede di: utilizzare gMSA per tutti gli account di servizio, rendendo impraticabile Kerberoasting; abilitare la crittografia solo AES per tutti gli account, in particolare per quelli di servizio ad alto valore, così da massimizzare la difficoltà del cracking; limitare i privilegi DCSync — verificare gli account con autorizzazioni di replica e rimuovere quelle non necessarie; abilitare Microsoft Defender for Identity, precedentemente ATA, che offre il rilevamento delle minacce basato su Kerberos, inclusi avvisi in tempo reale per Golden Ticket, Kerberoasting e DCSync; e implementare un modello di amministrazione a livelli, in modo che, anche se un account di livello 2 viene compromesso, non possa essere utilizzato per raggiungere credenziali a livello di controller di dominio.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: Kerberoasting richiede ticket di servizio per account registrati con SPN e li sottopone a cracking offline — è contrastato da gMSA, password robuste e crittografia solo AES; gli attacchi Golden Ticket utilizzano l'hash KRBTGT per falsificare TGT illimitati, fornendo un controllo persistente del dominio che continua fino alla doppia reimpostazione della password KRBTGT; e gli attacchi DCSync replicano l'hash KRBTGT attraverso la rete senza eseguire codice sul DC, rendendo necessaria una rigorosa verifica dei privilegi DCSync. Prossimamente analizzeremo il framework MITRE ATT&CK per mappare le tecniche degli attaccanti alle difese.