Domini i Kerberos
Moviment Lateral
Conquerint el "Cervell" de l'organització (Active Directory)
SECCIÓ 4: Domini, Kerberos i Moviment Lateral
Un cop compromès un equip i elevats els privilegis a la màquina local, l'atacant ja no busca dades en un sol disc dur, sinó que intenta conquerir el "Cervell" de l'organització: el Controlador de Domini (DC). Aquest procés de saltar d'una màquina a una altra s'anomena Island Hopping o Moviment Lateral.
🔑 Fonaments de l'Active Directory (AD)
L'Active Directory gestiona tots els objectes de la xarxa des d'un servidor central.
Controlador de Domini (DC)
El servidor que valida qui pot entrar a la xarxa i gestiona els serveis de domini.
Objectes i Grups
Els privilegis de Domain Admins permeten el control total sobre tot el domini.
🛡️ El Protocol Kerberos: L'estàndard de Seguretat
Kerberos es basa en l'ús de tiquets per evitar l'enviament de contrasenyes per la xarxa.
- TGT (Ticket Granting Ticket): El tiquet mestre que s'obté al iniciar sessió i es guarda a la RAM (LSASS).
- KDC (Key Distribution Center): El servei del DC que emet aquests tiquets.
L'Avantatge per a l'atacant: Robar un TGT permet suplantar l'administrador sense saber mai la seva contrasenya real.
🚀 Tècniques de Moviment Lateral Avançat
Per saltar cap al Controlador de Domini s'utilitzen principalment dues metodologies:
A. Pass-The-Ticket (PtT)
Tècnica sigil·losa que utilitza eines com Rubeus per extreure tiquets Kerberos de la memòria i injectar-los en la sessió de l'atacant.
B. Pass-The-Hash (PtH)
S'utilitza quan tenim el Hash NTLM. S'envia directament per autenticar-se via SMB o WMI (eines com wmiexec).
| Característica | Pass-The-Hash (PtH) | Pass-The-Ticket (PtT) |
|---|---|---|
| Material usat | Hash NTLM | Tiquet Kerberos (TGT/TGS) |
| Protocol | SMB / RPC / WMI | Kerberos (Natiu d'AD) |
| Visibilitat | Alta (logs NTLM) | Baixa (trànsit legítim) |
| Persistència | Validesa del hash | Caducitat del tiquet |
🔍 Reconeixement amb BloodHound
Si la xarxa és gran, l'atacant no sap on saltar. BloodHound utilitza la teoria de grafs per dibuixar visualment el "camí d'atac" més curt mitjançant peticions LDAP.
Info Callout: El perill de les sessions oblidades
Si un administrador inicia sessió en una estació de treball i bloqueja la pantalla en lloc de
tancar la sessió, el seu TGT queda exposat a la memòria LSASS, a punt per
ser extret amb un simple Rubeus.exe dump.
🗂️ Resum de la Secció 4
Moviment lateral cap al Controlador de Domini.
Pass-The-Ticket (Kerberos) i Pass-The-Hash (NTLM).
Rubeus, BloodHound, PowerView, WMIexec.