Kerberoasting

Kerberoasting is een aanval op serviceaccounts in Active Directory. Elke geauthenticeerde domeingebruiker kan een serviceticket aanvragen voor een account waaraan een Service Principal Name (SPN) is toegewezen.

Een deel van dat ticket is versleuteld met de wachtwoordhash van het serviceaccount, zodat de aanvaller die offline kan kraken zonder het account ooit aan te raken.

Wanneer een gebruiker een serviceticket (TGS) aanvraagt, versleutelt de KDC een deel ervan met de NTLM-hash van het wachtwoord van het serviceaccount.

Omdat elke domeingebruiker dit ticket kan aanvragen en daarvoor geen speciale privileges nodig zijn, verzamelt de aanvaller simpelweg tickets en kraakt die op zijn gemak op een eigen systeem.

Inventariseer eerst de accounts waaraan SPN's zijn toegewezen. Dit zijn meestal serviceaccounts waarop SQL-, web- of andere services draaien.

Gebruikersaccounts (geen machineaccounts) met SPN's zijn ideale doelwitten, omdat hun wachtwoorden vaak door mensen worden ingesteld en zelden worden gewijzigd.

Rubeus is een populair C#-hulpmiddel voor misbruik van Kerberos. De opdracht kerberoast vraagt TGS-tickets aan voor SPN-accounts en geeft ze weer in een kraakbaar formaat.

Deze stap is stil: het verkeer ziet eruit als normaal Kerberos-verkeer van een legitieme gebruiker.

Vanaf Linux voert Impacket met GetUserSPNs.py dezelfde aanval op afstand uit met geldige domeininloggegevens.

Dit is handig tijdens externe opdrachten of opdrachten waarbij van een inbreuk wordt uitgegaan, wanneer je al één set inloggegevens met weinig privileges hebt.

Het buitgemaakte ticket wordt opgeslagen in een indeling die Hashcat herkent als modus 13100 (Kerberos 5 TGS-REP etype 23, RC4).

Elke hash begint met $krb5tgs$23$, gevolgd door de SPN, het account en het versleutelde gegevensblok. Dit geef je door aan je kraakprogramma.

Bij offline kraken gebruik je een woordenlijst, vaak met regels, tegen de buitgemaakte hashwaarden. Omdat RC4-tickets snel kunnen worden getest, worden zwakke wachtwoorden van services snel gekraakt.

Daarom moeten wachtwoorden van serviceaccounts lang en willekeurig zijn, en idealiter worden beheerd door Group Managed Service Accounts (gMSA).

Als het account RC4 (etype 23) ondersteunt, gaat het kraken snel. Als het alleen AES (etype 17/18) toestaat, gaat het kraken veel langzamer, maar het blijft mogelijk (Hashcat-modi 19600/19700).

Aanvallers kunnen het aangevraagde versleutelingstype zelfs downgraden om het zwakkere RC4-ticket af te dwingen.

Beveiligers letten op ongebruikelijk grote aantallen TGS-aanvragen, vooral voor RC4-tickets (gebeurtenis-id 4769). Maatregelen zijn onder andere:

• Lange, willekeurige wachtwoorden voor serviceaccounts (25+ tekens).
• Het gebruik van gMSA-accounts met automatische rotatie.
• RC4 uitschakelen en AES afdwingen.

Serviceaccounts zijn aantrekkelijk omdat ze vaak lid zijn van groepen met uitgebreide rechten, verouderde wachtwoorden hebben en niet aan één persoon zijn gekoppeld die afwijkingen zou opmerken.

Als je één account kraakt, kun je Domain Admin verkrijgen wanneer het serviceaccount onzorgvuldig te veel rechten heeft gekregen.

Kerberoasting wordt meestal kort na het verkrijgen van toegang tot een domein uitgevoerd. Het bestaat uit inventarisatie met weinig ruis en offline kraken, waardoor het zelden waarschuwingen activeert.

Een gekraakt serviceaccount levert vaak laterale beweging of rechtenescalatie op, waardoor het een vast onderdeel is van interne pentests en red-teamopdrachten.

Je begrijpt nu Kerberoasting:

• Elke domeingebruiker kan TGS-tickets aanvragen voor SPN-accounts.
• Tickets worden versleuteld met de hashwaarde van het serviceaccount en offline gekraakt.
• Hulpmiddelen: Rubeus, Impacket GetUserSPNs.py, gekraakt met Hashcat-modus 13100.
• Verdedig je met lange wachtwoorden, gMSA en uitsluitend AES-versleuteling.

Vervolgens hergebruik je referenties rechtstreeks met Pass-the-Hash.