Pass-the-Hash e Pass-the-Ticket

L'autenticazione Windows spesso non richiede la password in chiaro al momento dell'utilizzo. Sia gli hash NTLM sia i ticket Kerberos possono autenticare autonomamente. Gli attaccanti ne approfittano: rubano l'artefatto e lo riutilizzano.

• Pass-the-Hash (PtH) riutilizza un hash NTLM.
• Pass-the-Ticket (PtT) riutilizza un ticket Kerberos.
• Nessuno dei due richiede di crackare la password.

I dati delle credenziali vengono memorizzati nella cache, in memoria e su disco, durante il normale funzionamento. Le fonti comuni includono:

• La memoria del processo LSASS contiene hash e ticket degli utenti con sessione attiva.
• Il database SAM memorizza gli hash degli account locali.
• NTDS.dit sui DC memorizza tutti gli hash del dominio.
• Vault delle credenziali e archivi dei browser protetti da DPAPI.

Il dumping di LSASS è il passaggio di raccolta più comune.

L'autenticazione NTLM dimostra che si conosce la password usando il relativo hash come segreto in un challenge-response. Se si dispone dell'hash, è possibile completare l'handshake senza conoscere mai la password.

Questo rende l'hash NT equivalente a una password. Qualsiasi servizio che accetta NTLM è raggiungibile usando il solo hash.

I ticket Kerberos sono token bearer: chiunque possieda un TGT o un TGS valido può usarlo fino alla sua scadenza. Gli attaccanti estraggono i ticket da LSASS e li iniettano nella propria sessione.

• Rubare un TGT consente di richiedere ticket di servizio come quell'utente.
• Rubare un TGS concede l'accesso a un servizio specifico.

Overpass-the-Hash (noto anche come pass-the-key) fa da ponte tra NTLM e Kerberos. Si usa una chiave NTLM (o AES) rubata per richiedere un TGT Kerberos legittimo, quindi si opera interamente all'interno di Kerberos.

È più furtivo del PtH diretto, perché il traffico risultante appare come una normale autenticazione Kerberos.

Con un accesso più profondo, gli attaccanti falsificano direttamente i ticket.

• Un Golden Ticket è un TGT contraffatto firmato con l'hash krbtgt. Consente di impersonare qualsiasi identità ed è valido finché krbtgt non viene ruotato due volte.
• Un Silver Ticket è un TGS contraffatto per un singolo servizio, firmato con l'hash dell'account di servizio. Non contatta mai il DC, quindi è silenzioso.
• Un Diamond Ticket modifica un TGT emesso legittimamente per eludere i sistemi di rilevamento della falsificazione dei ticket.

Le credenziali riutilizzate consentono il movimento laterale. I canali comuni per l'esecuzione includono:

• SMB + creazione di servizi (stile psexec).
• Creazione di processi remoti tramite WMI.
• WinRM / PowerShell Remoting.
• Creazione di istanze di oggetti tramite DCOM.

Lo stesso hash o ticket rubato può sbloccare l'accesso a molti host sui quali l'account è amministratore locale.

Una singola password condivisa dell'amministratore locale su più macchine è catastrofica. Eseguirne il dump una volta consente di accedere tramite PtH a ogni host che la condivide.

LAPS risolve il problema impostando una password univoca e ruotata per l'amministratore locale di ogni macchina, memorizzata in AD con accesso in lettura limitato.

Questi attacchi lasciano tracce nella telemetria, se si sa cosa cercare.

• Tipo di accesso 3 / 9 con NTLM quando ci si aspetta Kerberos.
• Evento 4624 con seclogon o NTLM insolito da account privilegiati.
• Anomalie dei ticket: un TGS senza un TGT precedente (Silver Ticket), oppure ticket con durate anomale (Golden Ticket).
• Accesso a LSASS da processi non standard (evento Sysmon 10).

L'hardening si concentra sulla protezione e sull'isolamento delle credenziali.

• Abiliti Credential Guard per isolare i segreti di LSASS in un'enclave VBS.
• Aggiunga gli account sensibili a Protected Users (nessun NTLM, nessuna delega, durata breve dei ticket).
• Distribuisca LAPS e applichi la suddivisione in livelli degli amministratori, così le credenziali Tier 0 non finiscono mai sulle workstation.
• Ruoti krbtgt due volte in caso di compromissione sospetta di un Golden Ticket.

Il dumping di LSASS e la falsificazione dei ticket sono azioni ad alto impatto. Le esegua solo con autorizzazione esplicita e sui target concordati. Eviti di eseguire il dump dei DC di produzione, a meno che non rientrino nell'ambito dell'incarico, e distrugga in modo sicuro gli hash e i ticket raccolti dopo aver redatto il report.

Documenti ogni riutilizzo di credenziali, così i blue team possono verificare che i loro sistemi di rilevamento si siano attivati.

Verifichi la propria comprensione degli attacchi di riutilizzo delle credenziali.

Ha visto come gli hash e i ticket rubati aggirano completamente le password.

• PtH riutilizza gli hash NTLM; PtT riutilizza i ticket Kerberos.
• Overpass-the-Hash converte un hash in un TGT Kerberos legittimo.
• I Golden, Silver e Diamond Ticket vengono falsificati per garantire la persistenza.
• Credential Guard, LAPS, Protected Users e la rotazione di krbtgt sono le difese principali.

Prossimo argomento: trasformare un foothold nel controllo completo del dominio.