Técnicas de Ataque ao Kerberos: Kerberoasting e Golden Ticket

A quebra de tíquetes Kerberos é um ataque no qual o invasor solicita tíquetes de serviço Kerberos para contas registradas com SPNs (contas de serviço), extrai a parte criptografada desses tíquetes e tenta quebrá-la offline. Qualquer usuário do domínio pode solicitar tíquetes de serviço para qualquer SPN, sem precisar de privilégios especiais para realizar a extração inicial.

As senhas de contas de serviço são definidas por administradores e raramente alteradas, às vezes permanecendo as mesmas por anos ou indefinidamente. Muitas organizações usam senhas fracas e fáceis de memorizar para contas de serviço, em vez de sequências aleatórias fortes. Isso torna a quebra de tíquetes Kerberos altamente eficaz: a quebra offline de um tíquete de serviço geralmente é concluída em horas ou dias.

Os ataques de reutilização de tíquetes (PtT) envolvem roubar tíquetes Kerberos da memória de um sistema comprometido e injetá-los em outra sessão. Como os tíquetes Kerberos são tokens de portador, válidos durante todo o seu período de validade independentemente de onde são usados, os tíquetes roubados concedem acesso a serviços sem que seja necessário conhecer a senha da conta.

O Mimikatz é uma ferramenta de código aberto que pode extrair tíquetes Kerberos, hashes NTLM e outras credenciais da memória do processo LSASS (Subsistema de Serviço da Autoridade de Segurança Local) do Windows. O comando sekurlsa::tickets despeja todos os tíquetes Kerberos armazenados em cache, permitindo ataques de reutilização de tíquetes a partir de uma estação de trabalho comprometida.

Um tíquete dourado é um TGT falsificado criado usando o hash da senha da conta krbtgt. Com o hash de krbtgt, obtido por meio de um ataque DCSync ou do comprometimento de um controlador de domínio, o invasor pode falsificar TGTs para qualquer usuário, com quaisquer associações a grupos e qualquer período de validade, obtendo acesso persistente a todo o domínio mesmo após redefinições de senha.

Um tíquete prateado é um tíquete de serviço falsificado criado usando o hash da senha da conta de serviço. Diferentemente de um tíquete dourado, um tíquete prateado não exige o hash de krbtgt e não é validado pelo KDC durante o uso. Os tíquetes prateados são mais limitados, pois abrangem apenas um serviço, mas são mais difíceis de detectar porque não geram tráfego para o KDC.

O ataque de quebra AS-REP tem como alvo contas que estão configuradas com "Não exigir pré-autenticação do Kerberos". Sem a pré-autenticação, qualquer invasor pode solicitar um AS-REP para essa conta e receber a parte criptografada do TGT, que pode então ser quebrada offline. As contas com esse sinalizador definido normalmente são contas de serviço ou configurações legadas de compatibilidade.

O malware de chave-mestra altera o processo do KDC na memória de um controlador de domínio, injetando uma senha universal de "chave-mestra" que funciona para todas as contas, enquanto as senhas legítimas continuam funcionando normalmente. Esse ataque exige acesso de administrador do domínio para ser implantado, mas cria uma porta dos fundos persistente que sobrevive à maioria dos métodos de detecção.

O ID de evento 4769 do Windows (Solicitação de tíquete de serviço Kerberos) com o tipo de criptografia RC4 (0x17) indica um ataque de quebra de tíquetes Kerberos, pois os clientes modernos legítimos usam AES. O ID de evento 4768 sem pré-autenticação indica alvos do ataque de quebra AS-REP. Solicitações incomuns de tíquetes para contas que não são acessadas regularmente também sinalizam uma possível atividade de reutilização de tíquetes.

As contas de serviço gerenciadas por grupo (gMSAs) são a principal defesa contra a quebra de tíquetes Kerberos. As gMSAs têm senhas de 240 caracteres geradas aleatoriamente e renovadas automaticamente a cada 30 dias pelo Active Directory. Essas senhas são impossíveis de quebrar por meios criptográficos dentro da janela de renovação, tornando ineficazes os ataques de quebra de tíquetes Kerberos contra gMSAs.

O grupo de segurança Usuários Protegidos aplica políticas rigorosas do Kerberos aos seus membros: nenhuma autenticação NTLM, nenhuma criptografia RC4, nenhuma delegação de credenciais e período de validade mínimo de 4 horas para TGT. Adicionar contas sensíveis, como executivos e administradores, ao grupo Usuários Protegidos reduz significativamente a superfície de ataque contra roubo de credenciais e ataques baseados em tíquetes.

A quebra de tíquetes Kerberos quebra tíquetes de serviço offline usando senhas fracas de contas de serviço. A reutilização de tíquetes usa novamente tíquetes roubados da memória. O tíquete dourado falsifica TGTs usando o hash de krbtgt. O tíquete prateado falsifica tíquetes de serviço sem validação do KDC. A quebra AS-REP tem como alvo contas sem pré-autenticação. Defesas: gMSAs, imunes à quebra de tíquetes Kerberos, grupo Usuários Protegidos, imposição de criptografia exclusiva com AES e monitoramento do ID de evento 4769.