Pass-the-Hash

Pass-the-Hash (PtH) is een techniek waarbij een aanvaller zich aanmeldt met de NTLM-wachtwoord-hashwaarde van een gebruiker in plaats van met het wachtwoord in leesbare tekst.

Omdat Windows-NTLM-authenticatie de hashwaarde zelf als geheim gebruikt, hoef je die nooit te kraken om je als die gebruiker aan te melden.

Windows slaat accountwachtwoorden op als NTLM-hashwaarden (een MD4 van het UTF-16-wachtwoord). Tijdens NTLM-authenticatie bewijst de hashwaarde, niet het wachtwoord, de identiteit.

Door deze ontwerpfout staat het stelen van de hashwaarde functioneel gelijk aan het stelen van het wachtwoord voor aanmeldingen op basis van NTLM.

Hashwaarden kunnen op verschillende plaatsen worden buitgemaakt:

• De SAM-database op lokale machines.
• Het geheugen van het LSASS-proces voor aangemelde gebruikers.
• Het NTDS.dit-bestand op domeincontrollers.

Voor elke bron zijn andere rechten nodig, maar alle bronnen leveren herbruikbare hashwaarden op.

Mimikatz is het klassieke hulpmiddel om referenties uit het LSASS-geheugen te halen. Met de opdracht sekurlsa::logonpasswords worden NTLM-hashwaarden van momenteel aangemelde gebruikers weergegeven.

Lokale beheerdersrechten (en vaak SeDebugPrivilege) zijn vereist om LSASS te lezen.

secretsdump.py van Impacket haalt op afstand hashwaarden uit de SAM en de domeindatabase met behulp van geldige referenties.

Het kan ook een DCSync uitvoeren om hashwaarden rechtstreeks van een domeincontroller op te halen als je over de juiste replicatierechten beschikt.

Zodra je een hashwaarde hebt, kun je je met hulpmiddelen rechtstreeks daarmee authenticeren. psexec.py van Impacket accepteert een hashwaarde met de vlag -hashes en geeft je een externe shell.

De indeling is LMHASH:NTHASH; het LM-gedeelte bestaat op moderne systemen meestal uit lege nullen.

Veel hulpmiddelen ondersteunen PtH:

• CrackMapExec / NetExec: hashwaarden over veel hosts verspreiden.
• evil-winrm: een WinRM-shell met een hashwaarde.
• wmiexec.py / smbexec.py: alternatieve uitvoeringsmethoden.

Door één hashwaarde van een lokale beheerder over een subnet te verspreiden, kan de toegang zich snel uitbreiden.

Pass-the-Hash is een belangrijke techniek voor laterale beweging. Door de hashwaarde van de lokale beheerder van één machine op andere machines te hergebruiken (een probleem wanneer hetzelfde wachtwoord voor de lokale beheerder wordt gedeeld), springen aanvallers van host naar host.

Elke nieuwe host kan de hashwaarden van gebruikers met meer rechten in het geheugen bevatten.

Maatregelen zijn onder andere:

• LAPS: unieke, willekeurige wachtwoorden voor lokale beheerders per machine.
• Credential Guard: isoleert geheimen van LSASS.
• Beperken waar accounts met uitgebreide rechten zich mogen aanmelden (tiering).
• NTLM uitschakelen en waar mogelijk Kerberos gebruiken.

Pass-the-Hash heeft verwante technieken:

• Pass-the-Ticket: een gestolen Kerberos-ticket hergebruiken.
• Overpass-the-Hash: een NTLM-hashwaarde gebruiken om een Kerberos-TGT aan te vragen.

Deze technieken breiden het hergebruik van referenties uit naar de Kerberos-wereld.

Pass-the-Hash maakt specifiek misbruik van NTLM-authenticatie. Omgevingen die Kerberos afdwingen en NTLM uitschakelen, verkleinen het aanvalsoppervlak aanzienlijk.

NTLM blijft echter in de meeste netwerken bestaan vanwege compatibiliteit, waardoor PtH breed toepasbaar blijft. Daarom wordt het uitschakelen van NTLM aanbevolen als beveiligingsmaatregel.

Je begrijpt nu Pass-the-Hash:

• NTLM-authenticatie accepteert de hashwaarde als geheim, dus kraken is niet nodig.
• Hashwaarden worden uit SAM, LSASS of NTDS.dit gedumpt met Mimikatz of secretsdump.
• Hulpmiddelen zoals psexec.py, NetExec en evil-winrm hergebruiken hashwaarden voor laterale beweging.
• Verdedig je met LAPS, Credential Guard en tiering.

Vervolgens breng je aanvalspaden in kaart met BloodHound.