Verstehen von Pass-the-Hash (PtH)-Angriffen

Pass-the-hash ist ein Angriff, bei dem ein Angreifer das gehashte Passwort eines Benutzers (NTLM/LM-Hash) von einem Computer stiehlt und es verwendet, um sich an anderen Systemen zu authentifizieren.

Was ist ein Pass-the-Hash-Angriff?

Ein Pass-the-Hash-Angriff tritt auf, wenn ein Angreifer das gehashte Passwort eines Benutzers (zum Beispiel einen NTLM-Hash) von einem kompromittierten Rechner stiehlt und diesen Hash wiederverwendet, um sich bei anderen Systemen zu authentifizieren, ohne das Klartext-Passwort zu benötigen. Viele Windows-Authentifizierungsprozesse akzeptieren einen Hash anstelle eines Passworts, sodass der Angreifer den Benutzer nachahmen kann, bis die Anmeldeinformationen des Kontos geändert oder der Hash ungültig gemacht wird.

Dieser Angriff nutzt Schwachstellen in den Windows-Authentifizierungsprotokollen aus, insbesondere NTLM. NTLM und das ältere LM-Protokoll verwenden hashbasierte Authentifizierungsmethoden, die einen gültigen Hash anstelle eines Klartextpassworts akzeptieren. LM ist kryptografisch schwach (leicht zu knacken) und NTLM erlaubt die Wiederverwendung desselben Hashes über Netzwerkdienste hinweg.

Pass-the-hash ist in Windows-Umgebungen üblich. Linux-Rechner, die Active Directory beigetreten sind, Samba-Dateiserver oder Dienste, die NTLM/Kerberos unterstützen, können gestohlene Hashes und wiederverwendete Anmeldeinformationen akzeptieren. Hybrid-Cloud- und AD-Entra ID-Synchronisierungskonfigurationen sind ebenfalls anfällig, insbesondere wenn NTLM-Authentifizierung oder Legacy-Kompatibilität aktiviert sind. Sobald ein Angreifer Zugriff auf ein System erhält und Anmeldeinformationen aus dem Speicher oder der Festplatte extrahiert, kann er den Hash „weitergeben“, um sich seitlich zu bewegen, Privilegien zu erhöhen und sogar Domänencontroller zu kompromittieren.

Wie funktioniert ein Pass-the-Hash-Angriff?

Ein Pass-the-Hash-Angriff folgt einer einfachen Kette, vom ersten Eindringen eines Angreifers bis hin zum Erreichen hochrangiger Ziele. Hier sind die häufigen Phasen und was in jeder passiert.

Erstzugang

Der Angreifer verschafft sich einen Einstiegspunkt ins Netzwerk durch Phishing, das Einschleusen von Malware, Ausnutzung eines verwundbaren Dienstes oder die Verwendung gestohlener Zugangsdaten. Dieser Fuß in der Tür auf einem Benutzerrechner oder Server ermöglicht es ihm, Code auszuführen oder Speicher auf einem Zielhost zu lesen.

Hash-Ernte

Sobald sie auf einem Host sind, extrahiert der Angreifer Anmeldeinformationen (Hashes oder andere Authentifizierungsartefakte) vom kompromittierten Host oder der Domäne. Sie zielen auf Systemspeicher (die lokale SAM-Datenbank oder eine exportierte NTDS.dit), im Speicher befindliche Prozesse, die Anmeldeinformationen zwischenspeichern (Live-LSASS-Speicherauszüge), oder verwenden Replikation/AD-Missbrauch (wie DCSync), um Kontodaten abzurufen. Sie können auch den Netzwerkverkehr abhören, wenn veraltete Challenge-Response-Protokolle verwendet werden.

Authentifizierung mit dem gestohlenen Hash

Der Angreifer verwendet den erfassten Hash erneut, um sich bei SMB, RPC oder anderen Diensten zu authentifizieren, die NTLM (oder ähnliche) Authentifizierung akzeptieren, und gibt sich effektiv als das Konto aus, ohne den Hash zu knacken. Häufig verwendete Tools für diese Wiederholung sind Mimikatz, Invoke-TheHash, Sharp-SMBExec und offensive Frameworks wie Cobalt Strike.

Laterale Bewegung

Mit dem gestohlenen Hash bewegt sich der Angreifer vom ursprünglichen Host zu anderen Rechnern. Sie verwenden Fernverwaltungsmechanismen (SMB-Freigaben, PsExec-ähnliche Remote-Ausführung, WMIC, geplante Aufgaben oder integrierte Admin-Tools), um weitere Maschinen zu erreichen und mehr Anmeldedaten zu sammeln. Sie nutzen auch Token-Diebstahl und Nachahmung, um als andere Benutzer zu agieren. So erweitern sie ihre Kontrolle über das Netzwerk und vermischen sich mit legitimen administrativen Aktivitäten.

Privilegieneskalation

Mit lateralem Zugriff zielen Angreifer auf Konten mit höheren Berechtigungen ab (service accounts, domain admins und integrierte hochprivilegierte SIDs wie RID-500), missbrauchen Fehlkonfigurationen (überprivilegierte service accounts, exponierte Credential Stores) und nutzen verwundbare Dienste aus, um Admin-Level-Hashes zu erhalten. Dies verschafft ihnen eine breitere Kontrolle und reduziert die Notwendigkeit, Anmeldeinformationen wiederholt zu stehlen.

Beständigkeit und Ziele

Nachdem Angreifer privilegierte Positionen erlangt haben, etablieren sie Persistenz (Backdoors, geplante Aufgaben, geänderte Dienstkonten), um auch nach Neustarts und Passwortänderungen im System zu bleiben. Sie sind nun in der Lage, Ziele wie Datendiebstahl, Ransomware-Einsätze und langfristige Spionage zu verfolgen.

Netwrix-Support

Tools wie Netwrix Auditor und Netwrix Threat Manager können dabei helfen, Pass-the-Hash-Aktivitäten zu erkennen, indem sie Authentifizierungs- und Zugriffsmuster kontinuierlich überwachen. Sie identifizieren Anomalien wie unerwartete NTLM-Anmeldungen, Privilegieneskalationen und ungewöhnlichen Zugriff auf sensible Prozesse wie LSASS. Durch die Korrelation dieser Ereignisse und Echtzeitwarnungen können Organisationen potenzielle laterale Bewegungen schnell untersuchen und eindämmen.

Angriffsablaufdiagramm

Sehen wir uns einen einfachen visuellen Ablauf des Pass-the-Hash-Angriffs und eine Beispielgeschichte aus der Perspektive einer Organisation an, die zeigt, wie der Angriff mit einer Netzwerkinfiltration beginnt, die zu einer Eskalation der Privilegien und Persistenz führt.

Bei Archie Corp öffnet ein Mitarbeiter einen bösartigen Rechnung-Anhang, wodurch der Angreifer einen ersten Zugang zum Netzwerk erhält. Der Angreifer führt einen Loader aus und dumpft den LSASS-Speicher, um NTLM-Hashes zu erfassen. Mit diesen Hashes authentifiziert er sich an einem internen Dateiserver über SMB und führt PsExec aus, um weitere Hosts zu erreichen. Von einem Jump-Host aus findet er ein Dienstkonto mit hohen Rechten und verwendet dessen Hash erneut, um auf einen Domänencontroller zuzugreifen. Der Angreifer legt eine geplante Aufgabe zur Persistenz an und exfiltriert sensible Dateien, bevor er Ransomware einsetzt.

Beispiele für Pass-the-Hash-Angriffe

Pass-the-Hash-Angriffe treten wiederholt bei realen Eindringversuchen auf. Hier sind einige tatsächliche Beispiele, die zeigen, wie diese Technik in Ransomware- und gezielten Kampagnen erscheint.

Folgen von Pass-the-Hash-Angriffen

Pass-the-Hash-Angriffe können weitreichende Folgen haben, da sie Angreifern Administratorzugriff gewähren. Der Schaden beschränkt sich nicht nur auf technische Auswirkungen. Er betrifft Finanzen, Geschäftskontinuität, Kundenvertrauen und sogar die Einhaltung von Vorschriften.

Häufige Ziele eines Pass-the-Hash-Angriffs: Wer ist gefährdet?

Pass-the-Hash-Angriffe sind am effektivsten gegen Systeme, die wiederverwendbare Authentifizierungs-Hashes speichern, verarbeiten oder akzeptieren. Einige häufige Ziele werden unten erläutert.

Risikobewertung

Pass-the-hash ist ein hochriskanter Angriff, da er Angreifern die Möglichkeit gibt, Benutzer zu imitieren und die vollständige Kontrolle über eine Active Directory-Domäne mit privilegierten Anmeldeinformationen zu übernehmen.

Wie man Pass-the-Hash-Angriffe verhindert

Pass-the-Hash-Angriffe nutzen schwache Authentifizierungspraktiken und übermäßige Berechtigungen aus. Um sie zu verhindern, müssen Organisationen die Offenlegung von Anmeldeinformationen reduzieren, Administratorrechte einschränken und Anzeichen von Missbrauch genau beobachten. Die folgenden bewährten Methoden können helfen.

Härtung von Anmeldeinformationen und Authentifizierung

• Deaktivieren oder schrittweise auslaufen lassen von NTLM, wo immer möglich, und erzwingen Sie die Kerberos-basierte Authentifizierung. NTLM ist veraltet und deutlich anfälliger für Missbrauch.
• Wenn NTLM weiterhin benötigt wird, beschränken Sie es auf NTLMv2 für einen stärkeren kryptografischen Schutz.
• Aktivieren Sie Windows Defender Credential Guard, um LSASS zu isolieren und Anmeldeinformationen vor Diebstahl zu schützen.
• Aktivieren Sie den LSA-Schutz (RunAsPPL), um zu verhindern, dass nicht vertrauenswürdige Prozesse den LSASS-Speicher lesen.
• Deaktivieren Sie WDigest, damit Klartext-Passwörter nicht im Speicher zwischengespeichert werden.

Kontrollen für privilegierten Zugriff

• Wenden Sie das Prinzip der geringsten Rechte (PoLP) an. Benutzer sollten nur den Zugriff haben, den sie wirklich benötigen, und keine unnötigen Administratorrechte.
• Verwenden Sie just-in-time (JIT) und Just Enough Administration (JEA), um temporäre Administratorrechte für bestimmte Aufgaben zu gewähren.
• Randomisieren Sie lokale Administratorpasswörter mit Microsoft LAPS oder LAPS2, um die Wiederverwendung von Anmeldeinformationen zu verhindern.
• Verwenden Sie lokale Administratorpasswörter niemals auf mehreren Computern erneut.
• Fügen Sie sensible und wertvolle Konten zur Gruppe Protected Users hinzu.

Identitäts- und Kontosicherheit

• Implementieren Sie Privileged Access Management (PAM) oder einen Passwort-Tresor, um privilegierte Anmeldeinformationen zu kontrollieren und zu prüfen.
• Ersetzen Sie statische Dienstkonten durch gruppenverwaltete Dienstkonten (gMSAs).
• Erzwingen Sie eine regelmäßige und automatische Passwortrotation für alle wertvollen Konten.
• Erfordern Sie eine Multi-Faktor-Authentifizierung (MFA) für den Remote- und privilegierten Zugriff.
• Führen Sie kontinuierlich Audits privilegierter Konten durch, um inaktive und veraltete zu entfernen.

Netzwerk- und Protokollabwehr

• Blockieren Sie SMB/RPC-Verkehr von Arbeitsplatz zu Arbeitsplatz, um laterale Bewegungen zu verhindern. Dies können Sie durch Durchsetzung der Ost-West-Segmentierung erreichen, z. B. durch Firewall-Regeln oder Host-Firewall-Richtlinien, die SMB/RPC zwischen Endpunkten verweigern.
• Aktivieren Sie SMB-Signierung und -Verschlüsselung für eine stärkere Sitzungsintegrität.
• Verwenden Sie Remote Credential Guard, um Anmeldeinformationen während RDP-Sitzungen zu schützen.
• Segmentieren Sie Administrator-Konten nach Ebenen (zum Beispiel Ebene 0 für Domänencontroller, Ebene 1 für Server), um potenzielle Sicherheitsverletzungen einzudämmen.
• Wenden Sie Anmeldebeschränkungen an, damit privilegierte Konten nur auf genehmigte Systeme zugreifen können.

IT- und Betriebshygiene

• Führen Sie regelmäßig Patches durch, insbesondere für Authentifizierungs- und NTLM-bezogene Schwachstellen.
• Führen Sie regelmäßige Penetrationstests und Red-Team-Übungen durch, um Ihre Verteidigung zu überprüfen.
• Schulen Sie Mitarbeiter darin, Phishing-Versuche und Risiken des Diebstahls von Zugangsdaten zu erkennen.
• Pflegen Sie Golden Images und unveränderliche oder Offline-Backups für eine schnelle Wiederherstellung nach Vorfällen.
• Bewegen Sie sich auf ein Zero-Trust-Modell zu, bei dem Sie jeden Benutzer, jedes Gerät und jede Anfrage kontinuierlich überprüfen.

Wie Netwrix helfen kann

Pass-the-Hash-Angriffe sind mit herkömmlichen Abwehrmaßnahmen allein schwer zu stoppen, da sie gültige Anmeldeinformationen ausnutzen. Netwrix-Lösungen stärken die Identitätssicherheit, indem sie verdächtiges Authentifizierungsverhalten erkennen, privilegierten Zugriff kontrollieren und vollständige Transparenz über Kontoaktivitäten bieten.

Netwrix Threat Manager

Netwrix Threat Manager hilft dabei, PtH-Aktivitäten zu erkennen, indem Täuschung und Verhaltensanalysen kombiniert werden, um Anmeldeinformationen-Diebstahl und laterale Bewegungen zu identifizieren.

• Täuschung (honeytokens): Threat Manager ermöglicht es Ihnen, honeytokens als „Köder“-Anmeldeinformationen in der Umgebung bereitzustellen. Wenn ein Angreifer versucht, diese zu verwenden oder sich damit zu authentifizieren, ist dies ein starkes Indiz für böswilliges Sammeln und Wiederverwenden von Anmeldeinformationen. Das System generiert eine Warnung zur Untersuchung.
• Verhaltensanalyse und Anomalieerkennung: Das Produkt erstellt eine Basislinie für das normale Verhalten von Benutzern und Diensten und markiert dann Anomalien, die Mustern von Anmeldeinformationen-Diebstahl oder lateraler Bewegung entsprechen, z. B. Konten, die sich von Hosts authentifizieren, die sie zuvor nie verwendet haben, plötzliche Spitzen in der Anzahl der Hosts, auf die ein Konto zugreift, oder ungewöhnliche Nutzung von Admin-Tools. Diese identitätsbasierten Erkennungen werden mit AD-, Entra ID- und Dateisystemereignissen korreliert, um Fehlalarme zu reduzieren und Echtzeitwarnungen zu erzeugen.

Netwrix Privilege Secure

Privilege Secure reduziert das Risiko gestohlener und wiederverwendeter Anmeldeinformationen, indem privilegierte Konten geschützt werden. Es entfernt dauerhafte Berechtigungen, erzwingt Just-in-Time-Zugriff, bietet Credential Vaulting und überwacht privilegierte Aktivitäten. Dies verhindert, dass Angreifer gespeicherte Passwörter und Hashes missbrauchen, und erschwert Pass-the-Hash-Angriffe.

• Keine dauerhaften Berechtigungen mit JIT-Zugriff: Privilege Secure erteilt erhöhte Berechtigungen nur, wenn eine Aufgabe genehmigt wird, und entzieht sie anschließend automatisch. Dadurch werden langlebige Administrator-Konten eliminiert, die Angreifer ausnutzen könnten.
• Credential Vaulting: Das Produkt integriert sich mit Vaults oder kann Geheimnisse selbst verwalten. Es zentralisiert privilegierte Anmeldedaten und reduziert wiederverwendete Passwörter auf Endpunkten. Zentrales Vaulting plus automatisierte Rotation verhindert, dass Angreifer stabile Anmeldedaten finden, um diese auszulesen und erneut zu verwenden.
• Sitzungsüberwachung und Audit: Privilege Secure zeichnet privilegierte Sitzungen und Aktionen (wer was wann und wie zugegriffen hat) für Audit- und forensische Zwecke auf und überwacht sie.
• Granulare Rechteverwaltung und Entfernung lokaler Administratorrechte: Das Produkt ermöglicht es, lokale Administratorrechte von Benutzern zu entfernen, nur aufgabenspezifische Berechtigungen zu vergeben und den erhöhten Zugriff zentral zu verwalten.
• Erkennung versteckter privilegierter Konten: Privilege Secure kann Endpunkte scannen und versteckte sowie nicht verwaltete privilegierte Konten identifizieren.

Netwrix Auditor

Auditor bietet Ihnen vollständige Transparenz über Benutzeraktivitäten und Systemänderungen. Es verfolgt Anmeldungen, Änderungen an Konten und Berechtigungen sowie Konfigurationsänderungen in Ihrer Umgebung. Alle Aktionen werden mit Informationen zu wer, was, wann und wo protokolliert. Dies erleichtert Teams die Untersuchung ungewöhnlichen Verhaltens, die Reaktion auf Vorfälle und die Einhaltung von Vorschriften.

• Erkennt verdächtige Anmeldungen und NTLM-Aktivitäten: Auditor verfolgt alle erfolgreichen und fehlgeschlagenen Anmeldungen (einschließlich NTLM-Authentifizierung). Es liefert detaillierte Prüfpfade mit Anmeldezeiten, Hosts und Kontonutzung, die Teams helfen, ungewöhnliche Anmeldungen zu identifizieren, die auf Identitätsdiebstahl oder ein kompromittiertes Konto hinweisen können.
• Überwacht die Nutzung privilegierter Konten: Das Produkt zeichnet auf, wenn privilegierte Konten (wie Domain Admins und Dienstkonten) außerhalb der erwarteten Systeme und Zeiten verwendet werden, und löst Warnungen aus, um Teams zu informieren.
• Überwacht Änderungen an sensiblen Konten und Gruppen: Angreifer fügen nach der Verwendung von PtH häufig kompromittierte Konten zu Administratorgruppen hinzu. Auditor sendet Warnungen, wenn kritische Active Directory-Gruppen geändert werden.
• Bietet forensische Prüfpfade: Detaillierte Protokolle darüber, wer wann auf was zugegriffen hat, ermöglichen es Ermittlern nachzuvollziehen, wie gestohlene Hashes verwendet wurden.

Erkennungs-, Minderungs- und Reaktionsstrategien

Pass-the-Hash-Angriffe können unbemerkt ablaufen. Aus diesem Grund sind frühzeitige Erkennung und schnelle Reaktion entscheidend. Ihre Verteidigungstaktiken sollten Sichtbarkeit, strenge Anmeldeinformationsverwaltung und disziplinierte Reaktion kombinieren, um den Schaden solcher Angriffe zu minimieren.

Erkennung

Früherkennung hängt davon ab, subtile Authentifizierungsanomalien und Muster des Missbrauchs von Anmeldeinformationen zu erkennen.

Windows-Ereignis-IDs überwachen

Sicherheitsteams sollten die Windows-Ereignis-IDs 4624, 4625, 4648, 4672 und 4688 überwachen, um ungewöhnliche Anmeldungen, fehlgeschlagene Versuche und die Verwendung von Berechtigungen zu erkennen.

• 4624: Wird ausgelöst, wenn sich ein Benutzer oder Dienst erfolgreich anmeldet. Nützlich, um ungewöhnliche oder unerwartete Anmeldungen zu erkennen (wie NTLM-Netzwerkanmeldungen).
• 4625: Protokolliert, wenn ein Anmeldeversuch fehlschlägt.
• 4648: Tritt auf, wenn ein Benutzer oder Prozess versucht, sich mit expliziten Anmeldeinformationen anzumelden (z. B. runas, gemappte Laufwerke, Remoteverbindungen). Häufig bei PtH- und lateralen Bewegungsversuchen.
• 4672: Zeigt an, dass eine Anmeldesitzung erhöhte Berechtigungen erhalten hat.
• 4688: Protokolliert, wenn ein Prozess startet. Wichtig zur Erkennung verdächtiger Tools oder Skripte (wie Mimikatz, PsExec und PowerShell-Payloads).

Ungewöhnliche Zugriffsversuche auf LSASS.exe

Angreifer zielen auf den LSASS-Prozess ab, um Anmeldeinformationen aus dem Speicher auszulesen. Sysmon-Ereignis-ID 10 protokolliert direkte Zugriffsversuche auf LSASS, beispielsweise wenn Credential-Diebstahl-Tools wie Mimikatz oder Cobalt Strike versuchen, den Prozessspeicher zu lesen. Solcher Zugriff ist im normalen Betrieb selten, daher sollten wiederholte oder ungewöhnliche Zugriffsversuche auf LSASS Alarm auslösen.

Anstiege bei entfernten NTLM-Authentifizierungen

Achten Sie auf ungewöhnliche NTLM-Authentifizierungsanstiege. NTLM-Anmeldungen vom Typ 3 (Netzwerk) oder Typ 10 (Remote-Interaktiv) zeigen Authentifizierungen über SMB, RPC und RDP. Ein plötzlicher Anstieg dieser Ereignisse von einem einzelnen Konto oder Host kann auf eine Hash-Wiederverwendung für laterale Bewegungen hinweisen.

NTLM-Aktivität oder Authentifizierung von ungewöhnlichen Endpunkten

Ein Anstieg von NTLM-Anmeldungen oder Authentifizierungen von bisher unbekannten Geräten kann darauf hindeuten, dass ein Angreifer Hashes über Systeme hinweg wiederverwendet.

SMB- oder RPC-Aktivität von Arbeitsplatz zu Arbeitsplatz

Normale Geschäftsabläufe beinhalten selten, dass ein Mitarbeiterarbeitsplatz SMB- und RPC-Sitzungen mit einem anderen Arbeitsplatz initiiert. Aus diesem Grund sollten Sie ungewöhnlichen Ost-West-Verkehr (zum Beispiel zwischen zwei Benutzer-Laptops) im Auge behalten, da dies auf laterale Bewegung hinweisen kann.

Ergänzen Sie die Protokollüberwachung mit EDR-, XDR- und Identity Threat Detection & Response-Lösungen

Endpoint detection and response (EDR), extended detection and response (XDR) und identity threat detection and response (ITDR)-Lösungen können identitätsbasierte Bedrohungen in Echtzeit erkennen. Diese Tools analysieren das System- und Identitätsverhalten über Hosts hinweg. Sie legen normale Anmeldemuster fest und alarmieren, wenn sich ein Konto von neuen Geräten anmeldet, veraltete Authentifizierungsmethoden wie NTLM verwendet oder seitliche Bewegungen zeigt, die mit PtH-Taktiken übereinstimmen.

Honeypot-Konten und Tokens bereitstellen

Honeypot-Konten (auch honeytokens genannt) sind gefälschte Benutzerkonten oder Anmeldedaten, die in Systemen oder Speicherorten platziert werden, die Angreifer üblicherweise sondieren. Wenn auf diese Konten zugegriffen oder sich mit ihnen authentifiziert wird, wissen Verteidiger sofort, dass jemand Anmeldedaten sammelt oder wiederverwendet.

Minderung

Die Pass-the-Hash-Minderung erfordert die Härtung von Anmeldeinformationen, die Einschränkung von Berechtigungen und die Segmentierung von Vertrauensgrenzen.

Anmeldeschutz

Starker Schutz von Anmeldeinformationen steht im Mittelpunkt der PtH-Angriffsabwehr. Angreifer verlassen sich auf gespeicherte oder zwischengespeicherte Authentifizierungsdaten, daher begrenzt deren Isolierung und Sicherung ihren Erfolg.

• Deaktivieren Sie NTLM oder erzwingen Sie nur NTLMv2: NTLM ist ein häufig missbrauchtes Authentifizierungsprotokoll. Das vollständige Deaktivieren zwingt Systeme, eine stärkere Kerberos-Authentifizierung zu verwenden. Wenn eine Deaktivierung aufgrund von Altsystemabhängigkeiten nicht möglich ist, erzwingen Sie NTLMv2, da es eine bessere kryptografische Stärke bietet und hilft, die Anfälligkeit für Replay-Angriffe zu verringern.
• Aktivieren Sie Credential Guard und LSA Protection: Windows Defender Credential Guard verwendet virtualisierungsbasierte Sicherheit, um Geheimnisse wie NTLM-Hashes und Kerberos-Tickets vom Rest des Betriebssystems zu isolieren. Dies hilft, Diebstahl durch Speicherabbilder zu verhindern. Ebenso stellt LSA Protection (RunAsPPL) sicher, dass nur vertrauenswürdige, signierte Prozesse auf den LSASS-Prozess zugreifen können und blockiert Tools wie Mimikatz beim Extrahieren von Anmeldeinformationen.
• Deaktivieren Sie WDigest, um das Zwischenspeichern von Klartext-Passwörtern zu verhindern: Ältere Windows-Systeme und einige Konfigurationen speichern Klartext-Passwörter im Speicher über das WDigest-Authentifizierungspaket. Deaktivieren Sie WDigest, um zu verhindern, dass diese Klartext-Passwörter zwischengespeichert werden. Dies stellt sicher, dass Angreifer beim Auslesen des LSASS-Speichers nur verschlüsselte oder gehashte Anmeldeinformationen erhalten.

Netzwerk- und Protokollkontrollen

Netzwerkbasierte Verteidigungsmaßnahmen können verhindern, dass Angreifer gestohlene Hashes verwenden, um sich lateral zwischen Systemen zu bewegen. Die Segmentierung, Verschlüsselung und Validierung des Datenverkehrs stellt sicher, dass nur legitime Kommunikation stattfindet.

• Blockieren Sie SMB/RPC-Verkehr von Arbeitsplatz zu Arbeitsplatz: Angreifer verbreiten sich seitlich, indem sie Hashes über SMB- oder RPC-Verbindungen zwischen Benutzerarbeitsplätzen wiederverwenden. Diese Verbindungen werden für normale Geschäftsvorgänge nicht verwendet. Blockieren Sie die direkte Kommunikation von Arbeitsplatz zu Arbeitsplatz, um die Fähigkeit eines Angreifers einzuschränken, nach einer ersten Kompromittierung im Netzwerk zu pivotieren.
• SMB-Signierung/-Verschlüsselung erforderlich: Die SMB-Signierung überprüft die Integrität der SMB-Pakete und verhindert Manipulationen, während die SMB-Verschlüsselung sicherstellt, dass Anmeldeinformationen und sensible Daten während der Übertragung nicht offengelegt werden. Erzwingen Sie diese Funktionen, um Angreifer daran zu hindern, Authentifizierungsverkehr abzufangen oder wiederzugeben.
• Remote Credential Guard für RDP aktivieren: Remote Credential Guard verhindert, dass Anmeldeinformationen während RDP-Sitzungen an entfernte Systeme gesendet werden. Stattdessen erfolgt die Authentifizierung auf der Client-Seite, was das Risiko verringert, dass Hashes und Kerberos-Tickets von der entfernten Maschine abgegriffen werden.

Betriebliche Hygiene

Gute Sicherheitspraktiken halten Anmeldedaten, Systeme und Konfigurationen widerstandsfähig gegen Ausnutzung.

• Drehen Sie die Kennwörter von Dienstkonten oder ersetzen Sie sie durch gMSA: Statische oder gemeinsam genutzte Dienstkontoanmeldeinformationen sind ein häufiges Angriffsziel. Group Managed Service Accounts automatisieren die Kennwortrotation, und häufige Rotation macht gestohlene Hashes für Angreifer schnell nutzlos.
• Patchen Sie Systeme regelmäßig, um ausnutzbare Schwachstellen zu beseitigen: Viele Angriffe zum Diebstahl von Anmeldeinformationen, einschließlich PtH, beginnen mit Privilegieneskalations-Exploits, die SYSTEM- oder lokalen Administratorzugang gewähren. Halten Sie Systeme gepatcht, damit Angreifer bekannte Schwachstellen nicht nutzen können, um auf LSASS zuzugreifen oder Anmeldeinformationen auszulesen.
• Führen Sie regelmäßig Penetrationstests und Red Teaming durch: Periodische Penetrationstests und Red-Team-Übungen simulieren reale Angriffsketten, einschließlich PtH-Techniken. Diese Bewertungen helfen, schwache Konfigurationen, Erkennungslücken und Lücken in der Verteidigung gegen laterale Bewegungen zu identifizieren.
• Schulen Sie das Personal in Bezug auf Phishing- und Anmeldeinformationsdiebstahl: Viele PtH-Kampagnen beginnen mit Social Engineering, bei dem ein bösartiger E-Mail-Anhang oder Link den ersten Zugriff ermöglicht. Regelmäßige Schulungen helfen Mitarbeitern, Phishing-Versuche zu erkennen, zu verstehen, warum Anmeldeinformationen niemals wiederverwendet werden sollten, und verdächtige E-Mails frühzeitig zu melden.

Antwort

Wenn Indikatoren für PtH-Aktivitäten auftreten, sind schnelle Eindämmung und forensische Untersuchungen entscheidend, um die Auswirkungen zu minimieren.

Sofortige Maßnahmen

Wenn ein Pass-the-Hash-Angriff erkannt wird, schnell eindämmen. Das Ziel ist es, Schäden zu begrenzen, die Bewegung des Angreifers zu stoppen und Beweise für die Untersuchung zu sichern.

• Setzen Sie kompromittierte Konten zurück, um gestohlene Hashes ungültig zu machen: Da PtH-Angriffe auf wiederverwendeten Passwort-Hashes basieren, müssen Sie die betroffenen Konten sofort zurücksetzen, um diese Anmeldeinformationen ungültig zu machen.
• Quarantäne der betroffenen Endpunkte zur forensischen Untersuchung: Isolieren Sie kompromittierte Systeme vom Netzwerk, um zu verhindern, dass Angreifer sie als Ausgangspunkt für laterale Bewegungen nutzen. Analysieren Sie die in Quarantäne befindlichen Geräte, um festzustellen, wie Anmeldeinformationen gestohlen wurden und ob weitere Systeme gefährdet sind.
• Begrenzen Sie laterale Bewegungen, indem Sie infizierte Systeme segmentieren: Die Netzwerksegmentierung kann die Fähigkeit des Angreifers blockieren, sich lateral durch die Umgebung zu bewegen. Platzieren Sie infizierte Systeme in eingeschränkten Netzwerkzonen, begrenzen Sie administrative Freigaben und deaktivieren Sie unnötige Remote-Protokolle (SMB/RDP), um den Vorfall einzudämmen.

Forensische Untersuchung

Nach der Eindämmung hilft die forensische Analyse den Teams, das Ausmaß des Verstoßes zu verstehen.

• Analysieren Sie LSASS-Dumps, SAM, NTDS.dit auf Anzeichen einer Kompromittierung: Überprüfen Sie LSASS-Speicherdumps, die Security Account Manager (SAM)-Datenbank und die NTDS.dit Active Directory-Datenbank, um festzustellen, ob Anmeldeinformationen extrahiert wurden und welche Konten betroffen sind.
• Review authentication logs to map attacker movement: Event logs provide a timeline of logons and privilege escalations. By correlating these events, analysts can reconstruct how the attacker authenticated across systems, identify lateral movement paths, and locate the initial access point.
• Identifizieren Sie Persistenzmechanismen (neue Benutzer, geplante Aufgaben, GPO-Änderungen): Angreifer erstellen Hintertüren, um nach Passwortzurücksetzungen oder Systemwiederherstellungen erneut Zugriff zu erhalten. Suchen Sie nach unautorisierten Benutzerkonten, bösartigen geplanten Aufgaben, Autostartelementen und geänderten Gruppenrichtlinienobjekten, um sicherzustellen, dass Persistenzmethoden vor der Wiederherstellung entfernt werden.

Wiederherstellung und Härtung

Once the investigation concludes, focus shifts to restoring operations and strengthening defenses to prevent recurrence.

• Kompromittierte Hosts mit Golden Images neu aufbauen: Systeme, die Teil des Angriffs waren, sollten gelöscht und mit vertrauenswürdigen Golden Images neu aufgebaut werden. Dies entfernt vollständig versteckte Malware, Rootkits und vom Angreifer hinterlassene Registrierungsänderungen.
• Wiederherstellung von Offline-/unveränderlichen Backups: Backups, die vom Netzwerk getrennt oder in unveränderlichem Speicher abgelegt sind, sind entscheidend für eine saubere Wiederherstellung. Stellen Sie von verifizierten, unveränderten Backups wieder her, um Systeme schnell wieder online zu bringen, ohne kompromittierte Daten oder Konfigurationen erneut einzuführen.
• Drehen Sie hochrangige Anmeldeinformationen (Domain Admin, Dienstkonten, KRBTGT): Anmeldeinformationen mit hohen Privilegien sind ein Hauptziel bei PtH-Kampagnen. Drehen Sie diese Passwörter, insbesondere das KRBTGT-Konto, das Kerberos-Tickets ausstellt, um gestohlene Passwörter und Tokens ungültig zu machen.
• Setzen Sie stärkere Identitätsschutzmaßnahmen ein (Privileged Access Management, MFA, EDR/Identity Threat Detection & Response): Führen Sie Privileged Access Management für kontrollierte Admin-Sitzungen ein, MFA zur Verhinderung von Missbrauch mit nur einem Faktor sowie EDR/Identity Threat Detection & Response-Lösungen zur Erkennung abnormaler Authentifizierungsverhalten und Versuche des Missbrauchs von Anmeldeinformationen.

Branchenspezifische Auswirkungen

Pass-the-Hash-Angriffe betreffen nahezu jeden Sektor, aber ihre Folgen variieren je nach Art der Daten, Systeme und Vorschriften. So sind verschiedene Branchen betroffen.

Entwicklung von Angriffen und zukünftige Trends

Das Starten von Pass-the-Hash-Angriffen erforderte früher fortgeschrittene technische Fähigkeiten. Heute ermöglichen leicht verfügbare automatisierte Toolkits Angreifern, diese Technik als Teil größerer Angriffsketten zu verwenden.

Wichtige Statistiken und Infografiken

Dieser Abschnitt behandelt einige Statistiken und Datenpunkte, die zeigen, wie Pass-the-Hash-Angriffe sich in der realen Welt auswirken und durchsetzen. Von globalen Umfrageergebnissen bis hin zu Untersuchungen von Sicherheitsverletzungen spielen Diebstahl und Wiederverwendung von Zugangsdaten eine zentrale Rolle bei Cybervorfällen.

• Laut dem 2026 Verizon Data Breach Investigations Report (DBIR) war die Verwendung gestohlener Anmeldeinformationen an 36 % der Sicherheitsverletzungen beteiligt, während 62 % aller Sicherheitsverletzungen ein menschliches Element wie Social Engineering, Missbrauch von Privilegien und Diebstahl von Anmeldeinformationen enthielten. Diese Erkenntnisse zeigen, wie die Kompromittierung von Anmeldeinformationen weiterhin ein anhaltender und bedeutender Faktor bei Cyberangriffen ist.
• Kompromittierte Anmeldedaten waren laut dem Bericht The State of Ransomware 2025 von Sophos die Hauptursache für 23 % der Ransomware-Angriffe. Anmeldedatenbasierte Angriffstechniken, einschließlich Pass-the-Hash, gehören zu den Methoden, die zu diesem Vektor beitragen. In Kombination mit anderen anmeldebasierenden Angriffsvektoren bleiben gestohlene oder missbräuchlich verwendete Anmeldedaten einer der wichtigsten Faktoren für Ransomware-Angriffe.
• Laut dem Sophos Active Adversary Report 2025waren kompromittierte Anmeldeinformationen die Hauptursache bei 41 % der im Jahr 2024 untersuchten Vorfallreaktionsfälle. Microsoft und andere Sicherheitsanbieter warnen weiterhin, dass das Auslesen von LSASS-Anmeldeinformationen, ein wichtiger Schritt bei PtH-Angriffen, eine der häufigsten Methoden ist, mit denen Angreifer die Anmeldeinformationen erhalten, die sie benötigen, um sich lateral durch Unternehmensumgebungen zu bewegen.

Aufschlüsselung des anfänglichen Zugriffsvektors (2025)

Die folgenden Daten, entnommen aus dem M-Trends 2026 Bericht von Mandiant, zeigen, dass gestohlene Zugangsdaten 9 % der identifizierten anfänglichen Zugriffspunkte im Jahr 2025 ausmachten und damit ihre anhaltende Rolle als Einstiegspunkt unterstreichen, den Angreifer nutzen, um sich seitlich zu bewegen und Privilegien zu erhöhen, sobald sie sich im System befinden.

Aus den Daten von Mandiant 2025:

• Ausnutzung von Schwachstellen: 32 %
• Voice-Phishing: 11 %
• Vorheriger Kompromiss: 10 %
• Gestohlene Anmeldedaten: 9 %
• Andere Methoden: 38 %

Abschließende Gedanken

Pass-the-Hash-Angriffe gibt es seit Jahrzehnten, und sie funktionieren immer noch, weil sie etwas Grundlegendes ausnutzen, wie die Windows-Authentifizierung funktioniert. Man kann das nicht einfach durch einen Patch beheben oder hoffen, dass es einen nicht betrifft. Die Abwehr gegen PtH ist gut verstanden und effektiv. Privileged Access Workstations, Credential Tiering und die Überwachung seitlicher Bewegungen sind Kontrollen, die sich in der Praxis bewähren.

Zwischengespeicherte Anmeldedaten sind ein reales und zugängliches Ziel. Sperren Sie die Pfade, die dorthin führen. Warten Sie nicht bis zur Vorfallreaktion, um herauszufinden, wo die Lücken sind.