Lateral förflyttning: Pass-the-Hash och Pass-the-Ticket

Pass-the-Hash (PtH) är en attackteknik där en angripare använder en infångad NTLM-hash för att autentisera sig till andra system utan att känna till det underliggande lösenordet i klartext. Efter att ha komprometterat ett system och extraherat hashvärden från minnet (LSASS) eller SAM-databasen ersätter angriparen sitt eget autentiseringsmaterial med den stulna hashen i autentiseringsförfrågningar. Detta är särskilt allvarligt eftersom delade lösenord för lokala administratörer (vilket är vanligt i miljöer utan LAPS) innebär att en enda hash kan kompromettera hundratals eller tusentals datorer. Verktyg som Mimikatz, Impacket's psexec.py och CrackMapExec automatiserar PtH-attacker.

Flera motåtgärder minskar effekten av PtH-attacker: Local Administrator Password Solution (LAPS) — Microsofts verktyg som tilldelar varje dator ett unikt, regelbundet ändrat lösenord för lokal administratör, så att en hash som stjäls från en dator endast låser upp den datorn; Credential Guard (Windows 10/11) — använder virtualiseringsbaserad säkerhet för att isolera LSASS i ett säkert område där hashvärden inte kan extraheras; inaktivering av NTLM till förmån för Kerberos där det är möjligt; begränsning av administrativ åtkomst genom Privileged Access Workstations (PAW) och nivåindelade administratörsmodeller; samt säkerhetsgruppen Protected Users i Active Directory, som förhindrar cachning av hashvärden för gruppens medlemmar.

Kerberos är standardprotokollet för autentisering i Active Directory-miljöer och undviker att lösenord eller hashvärden skickas över nätverket genom att använda krypterade biljetter. Processen går till så här: (1) klienten autentiserar sig mot Key Distribution Center (KDC) — en roll som innehas av domänkontrollanten — och får en Ticket Granting Ticket (TGT) som krypterats med KRBTGT-kontots hash; (2) när klienten behöver åtkomst till en tjänst presenterar den TGT:n för att få en Service Ticket (TGS/ST) som krypterats med måltjänstens nyckel; (3) klienten presenterar tjänstebiljetten för målet, som validerar den utan att kontakta KDC. Biljetter har en standardgiltighet på 10 timmar.

Pass-the-Ticket (PtT) är Kerberos-motsvarigheten till Pass-the-Hash: en angripare extraherar en giltig Kerberos-biljett från minnet på ett komprometterat system och importerar den till sin egen session för att autentisera sig som biljettens ägare. Kerberos-biljetter lagras i minnet i Windows och kan extraheras med kommandona Mimikatz's kerberos::list och kerberos::ptt. Stulna TGT:er är mest värdefulla eftersom de kan användas för att begära tjänstebiljetter till alla tjänster som biljettens ägare har åtkomst till. Stulna Service Tickets (TGS) är mer begränsade — de ger endast åtkomst till den specifika tjänst som de utfärdades för.

Over-Pass-the-Hash (oPtH), även kallad Pass-the-Key, överbryggar skillnaden mellan stöld av NTLM-hash och anskaffning av Kerberos-biljetter. En angripare använder en stulen NT-hash eller AES-nyckel för att begära en Kerberos-TGT från domänkontrollanten, även utan att känna till lösenordet i klartext. Detta omvandlar en stulen hash till en fullständig Kerberos-TGT och ger all den flexibilitet som PtT-attacker erbjuder. Tekniken är värdefull eftersom många organisationer har inaktiverat NTLM till förmån för Kerberos — oPtH gör att hashbaserade attacker ändå kan lyckas i miljöer som endast använder Kerberos. Mimikatz implementerar detta som sekurlsa::pth.

Angripare använder flera protokoll för lateral förflyttning med stulna inloggningsuppgifter eller biljetter: SMB (Server Message Block) gör det möjligt att köra kommandon på distans via PsExec samt att få fjärråtkomst till filer och skapa tjänster; WMI (Windows Management Instrumentation) möjliggör fjärrkörning av kommandon och används flitigt av både administratörer och angripare tack vare sin utbredning och brister i loggningen; RDP (Remote Desktop Protocol) tillhandahåller en interaktiv skrivbordssession; och WinRM/PowerShell Remoting gör det möjligt att köra PowerShell-kommandon på fjärrsystem. Försvarare bör fastställa vilka system som legitimt använder dessa protokoll och skapa aviseringar vid avvikande användningsmönster.

BloodHound är ett verktyg med öppen källkod som används av både red team och försvarare för att visualisera vägar för behörighetseskalering och lateral förflyttning i Active Directory. Verktyget samlar in relationsdata (vem som är medlem i vilken grupp, vem som har administratörsrättigheter på vilken dator och vilka konton som har delegering aktiverad) och visar den som en graf där noderna är användare, datorer och grupper och kanterna representerar behörigheter. BloodHounds fråga 'Find Shortest Paths to Domain Admins' kan visa angripare — och försvarare — exakt vilken sekvens av komprometteringar som kan leda till fullständig kontroll över domänen. Försvarare använder BloodHound för att eliminera onödiga behörighetsvägar innan angripare utnyttjar dem.

För att upptäcka lateral förflyttning måste händelser korreleras mellan flera system. Viktiga detekteringssignaler är: Windows Event ID 4648 (inloggning med uttryckliga inloggningsuppgifter — vanligt vid PtH/PtT); Event ID 4769 (begäran om Kerberos-tjänstebiljett — avvikande om biljetter begärs för tjänster som sällan används); Event ID 7045/4697 (ny tjänst installerad — vanligt vid lateral förflyttning baserad på PsExec); ovanlig användning av administrativa verktyg från arbetsstationer som inte är administratörsarbetsstationer (wmic.exe, psexec.exe); samt avvikelser i SMB-autentisering där arbetsstationer autentiserar sig mot andra arbetsstationer (normal trafik går från arbetsstationer till servrar, inte mellan likställda arbetsstationer). EDR-plattformar med beteendebaserad detektering fångar dessa mönster i hela nätverket.

Den nivåindelade administrationsmodellen (Microsofts rekommenderade Active Directory-design) förhindrar att stöld av autentiseringsuppgifter från en nivå leder till att högre nivåer komprometteras: Tier 0 (identitetskontrollplan — domänkontrollanter, Azure AD) — endast Tier 0-administratörskonton får administrera dessa, och dessa konton loggar aldrig in på Tier 1- eller Tier 2-system; Tier 1 (servrar och molntjänster) — särskilda Tier 1-administratörskonton; Tier 2 (arbetsstationer och enheter) — helpdesk- och standardadministratörskonton. Genom att isolera autentiseringsuppgifter i olika nivåer kan ett komprometterat administratörskonto för en arbetsstation inte användas för att angripa domänkontrollanter. Detta motverkar direkt lateral förflyttning med PtH och PtT.

I den här lektionen lärde Ni Er att: Pass-the-Hash utnyttjar NTLM:s konstruktion där hashen fungerar som autentiseringsuppgift — NT-hashen ensam autentiserar utan lösenordet och motverkas främst av LAPS och Credential Guard, Pass-the-Ticket stjäl giltiga Kerberos-biljetter från minnet för att autentisera som en annan användare, där stulna TGT:er är särskilt kraftfulla eftersom de kan generera tjänstebiljetter för valfri tjänst, samt att modellen för nivåindelad administration förhindrar att stöld av autentiseringsuppgifter på en nivå möjliggör lateral förflyttning till nivåer med högre privilegier. Härnäst utforskar vi Kerberoasting och Golden Ticket-attacker som riktar sig mot Active Directory:s Kerberos-implementation.