Pass-the-Hash

Pass-the-Hash (PtH) é uma técnica na qual um invasor se autentica usando o hash da senha NTLM de um usuário, em vez da senha em texto simples.

Como a autenticação NTLM do Windows usa o próprio hash como segredo, nunca é necessário quebrá-lo para iniciar sessão como esse usuário.

O Windows armazena as senhas das contas como hashes NTLM (um MD4 da senha em UTF-16). Durante a autenticação NTLM, é o hash, e não a senha, que comprova a identidade.

Essa falha de projeto significa que roubar o hash é, na prática, equivalente a roubar a senha para logins baseados em NTLM.

Os hashes podem ser obtidos de vários locais:

• O banco de dados SAM em máquinas locais.
• A memória do processo LSASS para usuários que iniciaram sessão.
• O arquivo NTDS.dit nos controladores de domínio.

Cada fonte exige privilégios diferentes, mas todas fornecem hashes reutilizáveis.

Mimikatz é a ferramenta clássica para extrair credenciais da memória do LSASS. O comando sekurlsa::logonpasswords revela os hashes NTLM dos usuários que estão com sessão iniciada.

É necessária uma conta de administrador local (e frequentemente o SeDebugPrivilege) para ler o LSASS.

O secretsdump.py do Impacket extrai remotamente hashes do SAM e do banco de dados do domínio usando credenciais válidas.

Ele também pode executar uma sincronização DCSync para obter hashes diretamente de um controlador de domínio, caso você tenha os direitos de replicação adequados.

Depois que você obtém um hash, as ferramentas permitem que você se autentique diretamente com ele. O psexec.py do Impacket aceita um hash com o parâmetro -hashes e fornece um shell remoto.

O formato é LMHASH:NTHASH; em sistemas modernos, a parte LM geralmente é preenchida com zeros.

Muitas ferramentas são compatíveis com PtH:

• CrackMapExec / NetExec: testa hashes em muitos hosts.
• evil-winrm: shell do WinRM com um hash.
• wmiexec.py / smbexec.py: métodos alternativos de execução.

Testar o hash de um único administrador local em uma sub-rede pode ampliar rapidamente o acesso.

Pass-the-Hash é uma técnica essencial de movimentação lateral. Ao reutilizar o hash de administrador local de uma máquina em outras (um problema quando a mesma senha de administrador local é compartilhada), os invasores passam de um host para outro.

Cada novo host pode conter na memória os hashes de usuários com privilégios ainda maiores.

As medidas de mitigação incluem:

• LAPS: senhas de administrador local únicas e aleatórias para cada máquina.
• Credential Guard: isola os segredos do LSASS.
• Restrição dos locais em que contas privilegiadas podem iniciar sessão (estrutura em camadas).
• Desativação do NTLM em favor do Kerberos sempre que possível.

Pass-the-Hash tem técnicas relacionadas:

• Pass-the-Ticket: reutilização de um tíquete Kerberos roubado.
• Overpass-the-Hash: uso de um hash NTLM para solicitar um TGT Kerberos.

Essas técnicas estendem a reutilização de credenciais ao universo do Kerberos.

Pass-the-Hash explora especificamente a autenticação NTLM. Ambientes que exigem Kerberos e desativam o NTLM reduzem consideravelmente a superfície de ataque.

No entanto, o NTLM permanece na maioria das redes por motivos de compatibilidade, portanto o PtH continua amplamente eficaz. Por isso, desativar o NTLM é uma medida recomendada de fortalecimento da segurança.

Recapitule por que o PtH não exige quebra do hash.

Agora você entende o Pass-the-Hash:

• A autenticação NTLM aceita o hash como segredo, portanto não é necessário quebrá-lo.
• Os hashes são extraídos do SAM, do LSASS ou do NTDS.dit usando Mimikatz ou secretsdump.
• Ferramentas como psexec.py, NetExec e evil-winrm reutilizam hashes para movimentação lateral.
• Defenda-se usando LAPS, Credential Guard e uma estrutura em camadas.

A seguir, você mapeará caminhos de ataque com o BloodHound.