Pass-the-Hash

Pass-the-Hash (PtH) è una tecnica con cui un attaccante esegue l'autenticazione usando l'hash della password NTLM di un utente invece della password in chiaro.

Poiché l'autenticazione Windows NTLM utilizza l'hash stesso come segreto, non è necessario sottoporlo a cracking per accedere come quell'utente.

Windows memorizza le password degli account come NTLM hashes (un MD4 della password in formato UTF-16). Durante l'autenticazione NTLM, è l'hash, non la password, a dimostrare l'identità.

Questo difetto di progettazione fa sì che sottrarre l'hash equivalga di fatto a sottrarre la password per gli accessi basati su NTLM.

Gli hash possono essere raccolti da diverse posizioni:

• Il database SAM sui computer locali.
• La memoria del processo LSASS per gli utenti che hanno effettuato l'accesso.
• Il file NTDS.dit sui controller di dominio.

Ogni origine richiede privilegi diversi, ma tutte forniscono hash riutilizzabili.

Mimikatz è lo strumento classico per estrarre credenziali dalla memoria di LSASS. Il comando sekurlsa::logonpasswords rivela gli hash NTLM degli utenti attualmente connessi.

Per leggere LSASS sono necessari privilegi di amministratore locale (e spesso SeDebugPrivilege).

secretsdump.py di Impacket estrae da remoto gli hash dal SAM e dal database del dominio utilizzando credenziali valide.

Può anche eseguire un DCSync per recuperare gli hash direttamente da un controller di dominio, se si dispone dei corretti diritti di replica.

Una volta ottenuto un hash, gli strumenti consentono di autenticarsi direttamente con esso. psexec.py di Impacket accetta un hash con il flag -hashes e fornisce una shell remota.

Il formato è LMHASH:NTHASH; nei sistemi moderni la parte LM è solitamente composta da zeri vuoti.

Molti strumenti supportano PtH:

• CrackMapExec / NetExec: prova gli hash su numerosi host.
• evil-winrm: shell WinRM con un hash.
• wmiexec.py / smbexec.py: metodi alternativi di esecuzione.

Provare l'hash di un singolo amministratore locale su una subnet può estendere rapidamente l'accesso.

Pass-the-Hash è una tecnica fondamentale di movimento laterale. Riutilizzando l'hash di amministratore locale di una macchina su altre (un problema quando la stessa password di amministratore locale è condivisa), gli attaccanti passano da un host all'altro.

Ogni nuovo host può contenere in memoria gli hash di utenti con privilegi maggiori.

Le misure di mitigazione includono:

• LAPS: password casuali univoche per l'amministratore locale di ogni macchina.
• Credential Guard: isola i segreti di LSASS.
• Limitare i luoghi da cui gli account privilegiati possono effettuare l'accesso (segmentazione a livelli).
• Disabilitare NTLM a favore di Kerberos, ove possibile.

Pass-the-Hash ha tecniche affini:

• Pass-the-Ticket: riutilizzare un ticket Kerberos rubato.
• Overpass-the-Hash: utilizzare un hash NTLM per richiedere un TGT Kerberos.

Queste tecniche estendono il riutilizzo delle credenziali al mondo Kerberos.

Pass-the-Hash sfrutta in modo specifico l'autenticazione NTLM. Gli ambienti che impongono Kerberos e disabilitano NTLM riducono considerevolmente la superficie di attacco.

Tuttavia, NTLM è ancora presente nella maggior parte delle reti per motivi di compatibilità, quindi PtH resta ampiamente efficace. Per questo la disabilitazione di NTLM è una misura di hardening consigliata.

Ora comprende Pass-the-Hash:

• L'autenticazione NTLM accetta l'hash come segreto, quindi non è necessario alcun cracking.
• Gli hash vengono estratti da SAM, LSASS o NTDS.dit usando Mimikatz o secretsdump.
• Strumenti come psexec.py, NetExec ed evil-winrm riutilizzano gli hash per il movimento laterale.
• Si difenda con LAPS, Credential Guard e la segmentazione a livelli.

Nel prossimo argomento mapperà i percorsi di attacco con BloodHound.