Violazione delle password di Active Directory con AS-REP Roasting

Un modo critico con cui gli aggressori ottengono accesso a un ambiente IT ed elevano i loro privilegi è rubando gli hash delle password degli utenti e decifrandoli offline. Abbiamo trattato un metodo per raccogliere le password degli account di servizio nel nostro post su Kerberoasting. Qui esploreremo una tecnica che funziona contro certi account utente, AS-REP Roasting. Copriremo come gli avversari eseguono l'AS-REP Roasting utilizzando lo strumento Rubeus e come potete difendere la vostra organizzazione da questi attacchi.

Cos'è l'AS-REP Roasting?

AS-REP Roasting è una tecnica che consente agli avversari di rubare gli hash delle password degli account utente che hanno la preautenticazione Kerberos disabilitata, che poi possono tentare di decifrare offline.

Quando l'autenticazione anticipata è abilitata, un utente che necessita di accedere a una risorsa inizia il processo di autenticazione Kerberos inviando un messaggio di Richiesta del Server di Autenticazione (AS-REQ) al controller di dominio (DC). Il timestamp di quel messaggio è criptato con l'hash della password dell'utente. Se il DC riesce a decifrare quel timestamp utilizzando il proprio registro dell'hash della password dell'utente, invierà indietro un messaggio di Risposta del Server di Autenticazione (AS-REP) che contiene un Ticket Granting Ticket (TGT) emesso dal Key Distribution Center (KDC), che viene utilizzato per le future richieste di accesso da parte dell'utente.

Tuttavia, se la preautenticazione è disabilitata, un attaccante potrebbe richiedere i dati di autenticazione per qualsiasi utente e il DC restituirebbe un messaggio AS-REP. Poiché parte di quel messaggio è criptato utilizzando la password dell'utente, l'attaccante può poi tentare di forzare la password dell'utente offline.

Fortunatamente, la preautenticazione è abilitata per impostazione predefinita in Active Directory. Tuttavia, può essere disabilitata per un account utente utilizzando l'impostazione mostrata di seguito:

Esecuzione di AS-REP Roasting con Rubeus

Utilizzando Rubeus, puoi facilmente eseguire AS-REP Roasting per vedere come questo attacco funzionerebbe nel tuo ambiente. Basta emettere il seguente comando:

      Rubeus.exe asreproast
      

Questo troverà automaticamente tutti gli account che non richiedono la preautenticazione ed estrarrà i loro hash AS-REP per il cracking offline, come mostrato qui:

Portiamo questo esempio un passo avanti ed estraiamo i dati in un formato che può essere decifrato offline da Hashcat. Questo comando esporterà le informazioni dell'hash AS-REP in un file di testo:

      Rubeus.exe asreproast /format:hashcat /outfile:C:\Temp\hashes.txt
      

Quindi è semplice utilizzare Hashcat per decifrare gli hash trovati. Dobbiamo semplicemente specificare il codice della modalità hash corretto per gli hash AS-REP, il nostro file hash e un dizionario da utilizzare per eseguire l'indovinamento della password con attacco a forza bruta:

      hashcat64.exe -m 18200 c:\Temp\hashes.txt example.dict
      

Protezione contro AS-REP Roasting

Come puoi vedere, AS-REP Roasting offre un modo semplice per rubare gli hash delle password degli account utente che non richiedono preautenticazione, senza bisogno di privilegi speciali. Fortunatamente, esistono diversi metodi efficaci per difendersi da questi attacchi.

Identificare gli account che non richiedono la preautenticazione

Il modo migliore per bloccare gli attacchi AS-REP Roasting è trovare tutti gli account utente impostati per non richiedere la preautenticazione Kerberos e poi attivare questa impostazione. Questo script troverà questi account vulnerabili:

      Get-ADUser -Filter 'useraccountcontrol -band 4194304' -Properties useraccountcontrol | Format-Table name
      

L'output appare così:

Forza della password

Un'altra solida protezione contro gli attacchi AS-REP Roasting è richiedere password lunghe e complesse che sono difficili da decifrare anche se un avversario riesce a rubarle. Utilizzare fine-grained password policies — specialmente per gli account privilegiati — è un ottimo primo passo.

Privilegi AD

È anche fondamentale sapere quali account utente hanno i permessi necessari per modificare l'impostazione che controlla se la preautenticazione è abilitata, poiché potrebbero disattivarla giusto il tempo necessario per ottenere l'hash AS-REP e poi riattivarla. Questa query elencherà tutti i diritti di accesso sugli account utente che non richiedono preautenticazione:

      (Get-ACL "AD:\$((Get-ADUser -Filter 'useraccountcontrol -band 4194304').distinguishedname)").access
      

Monitoraggio delle modifiche

Infine, dovresti anche monitorare la disattivazione della preautenticazione Kerberos. L'evento 4738 registra le modifiche a questa impostazione utente:

In alternativa, puoi monitorare l'ID evento 5136:

Come può Netwrix aiutare?

Proteggi il tuo Active Directory da un capo all'altro con la Netwrix Active Directory Security Solution. Ti permetterà di:

• Scopri i rischi per la sicurezza in Active Directory e dai priorità ai tuoi sforzi di mitigazione.
• Rafforzare le configurazioni di sicurezza in tutta l'infrastruttura IT.
• Rilevate e contenete tempestivamente minacce avanzate, come il Kerberoasting, il DCSync , l'estrazione di NTDS.dit e gli attacchi Golden Ticket.
• Rispondi istantaneamente alle minacce note con opzioni di risposta automatizzate.
• Minimizza le interruzioni aziendali con un rapido recupero di Active Directory.

FAQ

Cosa significa AS-REP?

AS-REP sta per Authentication Service (AS) Response Message. È un tipo di messaggio trasmesso tra un server e un client durante l'autenticazione Kerberos.

Quali utenti sono vulnerabili al roasting AS-REP?

AS-REP Roasting può essere utilizzato solo contro account utente che hanno la preautenticazione Kerberos disabilitata