Kerberoasting

Kerberoasting to atak wymierzony w konta usług w Active Directory. Każdy uwierzytelniony użytkownik domeny może zażądać biletu usługi dla konta, które ma skonfigurowaną nazwę Service Principal Name (SPN).

Część tego biletu jest szyfrowana za pomocą skrótu hasła konta usługi, więc atakujący może złamać ją offline, bez kontaktowania się z tym kontem.

Gdy użytkownik żąda biletu usługi (TGS), KDC szyfruje jego część za pomocą skrótu NTLM hasła konta usługi.

Ponieważ każdy użytkownik domeny może zażądać takiego biletu i nie są do tego potrzebne specjalne uprawnienia, atakujący po prostu zbiera bilety i łamie je w dogodnym czasie na własnym komputerze.

Najpierw należy wyliczyć konta, dla których ustawiono SPN. Zwykle są to konta usług uruchamiających SQL, usługi internetowe lub inne usługi.

Konta użytkowników (a nie komputerów) z SPN są idealnymi celami, ponieważ ich hasła często ustalają ludzie i rzadko się je zmienia.

Rubeus to popularne narzędzie napisane w C# do nadużywania Kerberos. Polecenie kerberoast żąda biletów TGS dla kont SPN i wyświetla je w formacie możliwym do złamania.

Ten krok jest cichy: wygląda jak normalny ruch Kerberos pochodzący od prawidłowego użytkownika.

Z systemu Linux narzędzie Impacket i jego skrypt GetUserSPNs.py wykonują ten sam atak zdalnie, używając prawidłowych danych uwierzytelniających domeny.

Jest to przydatne podczas działań zewnętrznych lub symulujących wcześniejsze naruszenie, gdy ma się już jeden zestaw danych uwierzytelniających użytkownika o niskich uprawnieniach.

Przechwycony bilet jest zapisywany w formacie rozpoznawanym przez Hashcat jako tryb 13100 (Kerberos 5 TGS-REP etype 23, RC4).

Każdy skrót zaczyna się od $krb5tgs$23$, po którym następują SPN, konto i zaszyfrowany obiekt blob. To właśnie przekazuje się do programu łamiącego hasła.

Cracking offline polega na użyciu listy słów (często wraz z regułami) wobec przechwyconych hashy. Ponieważ bilety RC4 można szybko testować, słabe hasła kont usług są szybko łamane.

Dlatego hasła kont usług powinny być długie i losowe, a najlepiej zarządzane przez Group Managed Service Accounts (gMSA).

Jeśli konto obsługuje RC4 (etype 23), cracking przebiega szybko. Jeśli dozwolone jest wyłącznie AES (etype 17/18), cracking jest znacznie wolniejszy, ale nadal możliwy (tryby Hashcat 19600/19700).

Atakujący mogą nawet obniżyć żądany typ szyfrowania, aby wymusić użycie słabszego biletu RC4.

Obrońcy monitorują nietypowo dużą liczbę żądań TGS, zwłaszcza dotyczących biletów RC4 (identyfikator zdarzenia 4769). Działania ograniczające ryzyko obejmują:

• Długie, losowe hasła kont usług (co najmniej 25 znaków).
• Używanie kont gMSA z automatyczną rotacją haseł.
• Wyłączenie RC4 i wymuszenie AES.

Konta usług są atrakcyjnym celem, ponieważ często należą do uprzywilejowanych grup, mają nieaktualne hasła i nie są powiązane z jedną osobą, która mogłaby zauważyć anomalie.

Złamanie jednego z nich może zapewnić uprawnienia Domain Admin, jeśli konto usługi otrzymało nierozważnie zbyt szerokie uprawnienia.

Kerberoasting jest zwykle przeprowadzany krótko po uzyskaniu dowolnego przyczółka w domenie. Polega na cichej enumeracji i crackingu offline, dlatego rzadko wywołuje alerty.

Złamane konto usługi często umożliwia ruch boczny lub eskalację uprawnień, dlatego jest stałym elementem testów penetracyjnych sieci wewnętrznych i działań zespołów red team.

Przypomnij sobie podstawowy wymóg Kerberoastingu.

Rozumiesz już Kerberoasting:

• Każdy użytkownik domeny może żądać biletów TGS dla kont z SPN.
• Bilety są szyfrowane hashem konta usługi i łamane offline.
• Narzędzia: Rubeus, Impacket GetUserSPNs.py, a do łamania tryb Hashcat 13100.
• Obronę zapewniają długie hasła, gMSA i szyfrowanie wyłącznie AES.

W następnej części ponownie użyje Pan/Pani poświadczeń bezpośrednio za pomocą Pass-the-Hash.