Kerberoasting

Kerberoasting — атака на служебные учётные записи в Active Directory. Любой аутентифицированный пользователь домена может запросить сервисный билет для учётной записи, у которой задано имя субъекта-службы (SPN).

Часть этого билета зашифрована хешем пароля служебной учётной записи, поэтому злоумышленник может взломать его в автономном режиме, не обращаясь к самой учётной записи.

Когда пользователь запрашивает сервисный билет (TGS), KDC шифрует его часть хешем NTLM пароля служебной учётной записи.

Поскольку этот билет может запросить любой пользователь домена и для этого не нужны специальные привилегии, злоумышленник просто собирает билеты и в удобное время взламывает их на своём компьютере.

Сначала перечислите учётные записи, для которых заданы SPN. Обычно это служебные учётные записи, от имени которых работают SQL-, веб- и другие службы.

Учётные записи пользователей (не компьютеров) с SPN являются идеальными целями, поскольку их пароли часто задают люди и редко меняют.

Rubeus — популярный инструмент на C# для злоупотребления Kerberos. Команда kerberoast запрашивает билеты TGS для учётных записей с SPN и выводит их в формате, пригодном для взлома.

Этот шаг малозаметен: он выглядит как обычный трафик Kerberos от легитимного пользователя.

В Linux Impacket с помощью GetUserSPNs.py удалённо выполняет ту же атаку, используя действительные доменные учётные данные.

Это удобно во время внешних проверок или работ по сценарию предполагаемой компрометации, когда у Вас уже есть один набор учётных данных с небольшими привилегиями.

Перехваченный билет сохраняется в формате, который Hashcat распознаёт как режим 13100 (Kerberos 5 TGS-REP, тип шифрования 23, RC4).

Каждый хеш начинается с $krb5tgs$23$, за которым следуют SPN, учётная запись и зашифрованный блок данных. Именно эти данные передаются программе для взлома.

Офлайн-взлом использует словарь (часто с правилами) для проверки захваченных хешей. Поскольку билеты RC4 проверяются быстро, слабые пароли служб быстро подбираются.

Поэтому пароли учетных записей служб должны быть длинными и случайными; в идеале ими должны управлять групповые управляемые учетные записи служб (gMSA).

Если учетная запись поддерживает RC4 (etype 23), взлом выполняется быстро. Если разрешен только AES (etype 17/18), взлом происходит гораздо медленнее, но все еще возможен (режимы Hashcat 19600/19700).

Злоумышленники могут даже понизить запрошенный тип шифрования, чтобы принудительно получить более слабый билет RC4.

Защитники отслеживают необычно большое количество запросов TGS, особенно запросов билетов RC4 (идентификатор события 4769). Меры защиты включают:

• Длинные случайные пароли учетных записей служб (от 25 символов).
• Использование учетных записей gMSA с автоматической сменой паролей.
• Отключение RC4 и принудительное использование AES.

Учетные записи служб привлекательны для злоумышленников, поскольку они часто входят в привилегированные группы, имеют давно не менявшиеся пароли и не связаны с одним конкретным человеком, который мог бы заметить аномалии.

Взлом такой учетной записи может предоставить права Domain Admin, если ей по неосторожности назначили слишком широкие привилегии.

Kerberoasting обычно выполняется вскоре после получения любой точки опоры в домене. Это малошумное перечисление объектов с последующим офлайн-взломом, поэтому оно редко вызывает срабатывание оповещений.

Взломанная учетная запись службы часто обеспечивает горизонтальное перемещение или повышение привилегий, поэтому этот прием широко используется во внутренних тестах на проникновение и операциях красных команд.

Вспомните основное требование для Kerberoasting.

Теперь Вы понимаете принцип Kerberoasting:

• Любой пользователь домена может запрашивать TGS tickets для учетных записей с SPN.
• Билеты шифруются хешем учетной записи службы и взламываются offline.
• Инструменты: Rubeus, Impacket GetUserSPNs.py; взлом выполняется с помощью Hashcat mode 13100.
• Защита: длинные пароли, gMSA и шифрование только AES.

Далее Вы научитесь напрямую повторно использовать учетные данные с помощью Pass-the-Hash.