Ataques de extração NTDS.dit explicados

O que é NTDS.dit e qual é seu papel no Active Directory?

O arquivo NTDS.dit é o banco de dados principal do Active Directory (AD) que armazena informações críticas sobre todos os objetos do AD, como usuários, credenciais, computadores, grupos e suas associações, e hashes de senhas. Esses dados permitem autenticação, autorização e serviços de diretório em todo um domínio Windows, razão pela qual os atacantes frequentemente miram esse arquivo em campanhas de roubo de credenciais.

Aqui estão alguns fatos interessantes sobre o arquivo NTDS.dit:

• Por padrão, o arquivo NTDS.dit está localizado em: C:\Windows\NTDS\ntds.dit.
• Tecnicamente, o NTDS.dit é construído sobre o Extensible Storage Engine (ESE), um mecanismo de banco de dados leve que organiza seu conteúdo em tabelas, índices e logs de transação para consultas rápidas e recuperação confiável.
• O arquivo em si não pode ser lido isoladamente. Ele depende dos hives de registro SYSTEM e SECURITY, pois a Boot Key (syskey) desses hives é necessária para descriptografar campos sensíveis, como hashes de senha.
• O tamanho do arquivo depende do ambiente. Em organizações pequenas, pode ser apenas alguns megabytes, enquanto em grandes empresas com milhares de contas e objetos, o banco de dados pode crescer para gigabytes.

Como funciona a extração do NTDS.dit

Esta seção descreve a execução passo a passo do ataque de extração do NTDS.dit, discute os métodos comuns de ataque e explica por que a extração de senhas do NTDS.dit é um objetivo principal para atacantes que buscam credenciais em todo o domínio para acesso persistente e de alto impacto em toda a empresa.

Execução passo a passo

Um ataque de extração NTDS.dit ocorre em uma série de etapas. O ataque começa com uma violação inicial, rouba o arquivo NTDS.dit (e o hive SYSTEM) fazendo uma cópia destes de um controlador de domínio, recupera e descriptografa hashes de senha, quebra ou reutiliza essas credenciais e, finalmente, alcança a comprometimento em toda a rede do domínio.

1. Acesso inicial: Os atacantes obtêm acesso inicial à rede alvo por meio de métodos como campanhas de phishing, exploração de vulnerabilidades de software, uso de credenciais roubadas e aproveitamento de configurações incorretas.
2. Aquisição de privilégios: O invasor então obtém privilégios elevados (Domain Admin ou SYSTEM local em um controlador de domínio).
3. Acesso ao controlador de domínio: Com direitos elevados, o ator obtém acesso ao sistema de arquivos e às hives do registro do controlador de domínio, seja em um host ativo, um snapshot ou uma imagem de backup.
4. Aquisição do NTDS.dit: O adversário obtém uma cópia do arquivo NTDS.dit (ou um extrato lógico de seu conteúdo) por meio de mecanismos de snapshot/backup, utilitários administrativos ou roubando uma imagem de disco virtual. O objetivo é uma cópia offline que pode ser analisada fora do ambiente ativo do DC.
5. Recuperação da hive SYSTEM: O invasor também obtém a hive do registro SYSTEM (e às vezes SECURITY) porque elas contêm o material da chave de inicialização necessário para interpretar ou descriptografar certos campos protegidos no NTDS.dit.
6. Análise / descriptografia fora do host: Usando os arquivos copiados e o material da chave, o adversário analisa o banco de dados e extrai hashes de senha e blobs de credenciais. Ferramentas como secretsdump.py (Impacket) e DSInternals são comumente usadas para esse propósito. O hive SYSTEM contém a Boot Key (SYSKEY), que os atacantes usam para descriptografar a Password Encryption Key (PEK) armazenada no NTDS.dit. Essa PEK é então usada para descriptografar hashes NTLM, chaves Kerberos e outros dados de credenciais protegidas do banco de dados.
7. Exploração de credenciais: Após extrair hashes de senha, os atacantes ou quebram os hashes NTLM usando ferramentas como Hashcat ou John the Ripper para obter senhas em texto simples, ou utilizam técnicas Pass-the-Hash (PtH) para autenticar diretamente usando os hashes sem quebrá-los, permitindo um movimento lateral mais rápido pela rede.
8. Objetivos pós-exploração: Com credenciais, os atacantes se movem lateralmente dentro do ambiente AD, acessam recursos sensíveis, persistem e podem pivotar para identidades na nuvem e sistemas externos.

Métodos de ataque

Os atacantes usam técnicas sorrateiras e que parecem legítimas para obter o NTDS.dit e dados relacionados ao diretório. Eles escolhem um método que melhor equilibra discrição, facilidade e impacto para o ambiente alvo.

Persistência

Os dados extraídos do NTDS.dit funcionam para os atacantes muito tempo após a violação, permitindo que reutilizem credenciais, forjem tickets e mantenham o acesso em todo o ambiente.

• Longevidade do valor: O material extraído do NTDS.dit permanece útil muito tempo após uma violação inicial. Os atacantes podem quebrar senhas offline e executar ataques como pass-the-hash a qualquer momento.
• Backups como cápsulas do tempo: Backups antigos podem incluir credenciais e as chaves krbtgt por longos períodos. Como muitas organizações não rotacionam a chave com frequência, até mesmo cópias antigas podem facilitar um comprometimento a longo prazo.
• Consequências em todo o domínio: Com hashes para contas de alto privilégio ou a conta krbtgt, os invasores podem forjar tickets Kerberos, se passar por contas e manter acesso persistente em todo o domínio.
• Pivotagem entre ambientes: Credenciais roubadas do AD podem funcionar fora da rede corporativa (para SSO, federações em nuvem e VPNs), permitindo que invasores acessem outros sistemas e roubem dados.

Diagrama do fluxo de ataque

Para ajudá-lo a entender o ataque de extração NTDS.dit, aqui está um diagrama de fluxo explicando a cadeia de eventos, acompanhado por um exemplo da perspectiva de uma organização.

Em uma instalação de fabricação, um funcionário clica em um link malicioso e o atacante obtém acesso inicial a uma estação de trabalho do usuário. O atacante eleva privilégios e se move lateralmente até obter direitos de administrador em um servidor que pode alcançar um controlador de domínio. Usando o acesso de backup do servidor, eles copiam silenciosamente uma snapshot do Volume Shadow contendo NTDS.dit e o hive SYSTEM. Fora do local, eles extraem hashes de senha e recuperam credenciais para várias contas de alto privilégio. Com essas credenciais, eles forjam acesso a serviços vinculados à nuvem e se movem lateralmente pela rede corporativa, exfiltrando propriedade intelectual sensível.

Exemplos de extração de NTDS.dit

Incidentes do mundo real mostram que o despejo do NTDS.dit é um caminho de alto impacto para persistência a longo prazo, movimento lateral e roubo de dados.

Consequências da extração do NTDS.dit

O arquivo NTDS.dit atua como a chave para o sistema de autenticação de uma organização. Com cada hash de senha e ticket Kerberos à disposição de um atacante, os efeitos podem se espalhar pelas áreas financeira, operacional, reputação e exposição regulatória.

Alvos comuns da extração NTDS.dit: Quem está em risco?

Qualquer organização que utilize Active Directory é um alvo potencial para um ataque de extração NTDS.dit, e isso inclui quase todos. Vamos ver quem está mais em risco.

Avaliação de risco

Para avaliar o risco de um ataque de extração do NTDS.dit, considere três fatores principais: o impacto potencial caso invasores obtenham seu banco de dados Active Directory, a dificuldade que eles terão para realizar a extração e a probabilidade de tal tentativa ocorrer em seu ambiente. Juntos, esses fatores destacam a importância de proteger e monitorar controladores de domínio e artefatos do AD para a segurança empresarial.

Como prevenir a extração do NTDS.dit

Proteger o banco de dados do Active Directory requer uma defesa em camadas que limite a exposição de privilégios, imponha autenticação forte e monitore continuamente comportamentos suspeitos. As seguintes medidas podem reduzir significativamente o risco de extração do NTDS.dit.

Limitar o acesso privilegiado

Os atacantes só podem extrair o NTDS.dit se obtiverem direitos administrativos ou de nível SYSTEM, portanto, minimizar a exposição de privilégios é fundamental.

• Limite a adesão aos grupos Domain Admins, Enterprise Admins e outros grupos de alto privilégio apenas ao pessoal essencial.
• Aplique um modelo de administração em camadas (Tier 0–2) para isolar contas e servidores críticos.

Essas medidas impedem o movimento lateral e garantem que a violação de um nível inferior (como uma estação de trabalho) não leve diretamente a um controlador de domínio.

Implemente autenticação forte

Credenciais fracas ou reutilizadas continuam sendo um dos pontos de entrada mais fáceis para adversários. Você deve:

• Implemente autenticação multifator (MFA) para todas as contas privilegiadas e administradores de serviço para bloquear a reprodução de credenciais e ataques de força bruta.
• Desative ou bloqueie protocolos de autenticação legados, como NTLM e autenticação básica, que os atacantes podem abusar para contornar os controles de segurança.

Fortalecer controladores de domínio

A melhor defesa contra a extração do NTDS.dit começa tornando os controladores de domínio o mais difícil possível de serem comprometidos. Considere o seguinte:

• Execute controladores de domínio em servidores dedicados e seguros, isolados em seu próprio segmento de rede, sem compartilhamento de arquivos, sem serviços web, nada exposto à internet.
• Aplique patches regulares do sistema operacional e do Active Directory para fechar vulnerabilidades conhecidas.
• Desative todos os serviços e portas desnecessários, começando pelo Print Spooler, que tem sido explorado repetidamente para obter acesso SYSTEM. Use regras de firewall rigorosas que permitam apenas o tráfego essencial do AD. Cada serviço extra, porta aberta e compartilhamento administrativo em um controlador de domínio pode expor o NTDS.dit a acessos não autorizados.

Monitorar atividade suspeita

A detecção precoce pode fazer a diferença entre uma intrusão e um comprometimento total do domínio.

• Ative o registro e auditoria de linha de comando para ferramentas como ntdsutil.exe, vssadmin.exe, wmic.exe e outras utilidades de snapshot que são frequentemente usadas para acessar ou copiar NTDS.dit.
• Monitore os IDs de eventos do Windows, como 325, 327 e 4104, que podem revelar tentativas suspeitas de acessar ou copiar o NTDS.dit.
  • ID do Evento 325: Registrado pelo ESENT quando um banco de dados como ntds.dit é anexado ou acessado. Pode indicar acesso não autorizado ao banco de dados AD.
  • ID do Evento 327: Evento ESENT mostrando destacamento ou desligamento do banco de dados. É útil para identificar atividade de cópia ou despejo do NTDS.dit.
  • ID do Evento 4104: Evento de registro de bloco de script do PowerShell. Revela a execução de scripts ou comandos suspeitos (como ntdsutil, vssadmin) usados para extração do NTDS.dit.
• Use soluções EDR e SIEM para detectar e alertar sobre padrões incomuns de acesso a arquivos ou hives do registro.

Proteger backups

Como os arquivos NTDS.dit e SYSTEM hive costumam ser incluídos nos backups, proteger esses backups é tão importante quanto proteger o próprio controlador de domínio.

• Sempre criptografe os backups do AD, restrinja o acesso aos locais de armazenamento dos backups e garanta que sua infraestrutura de backup esteja protegida contra adulterações.
• Altere regularmente a senha da conta krbtgt para invalidar quaisquer tickets Kerberos roubados que possam ser usados para persistência.

Adote frameworks de segurança

Frameworks como zero trust e o Enterprise Access Model da Microsoft fornecem formas estruturadas para fortalecer a segurança do AD.

• Implemente princípios de zero trust para verificar cada solicitação de acesso, mesmo de dentro da rede.
• Use o Microsoft LAPS (Local Administrator Password Solution) ou ferramentas similares para garantir que as senhas dos administradores locais sejam únicas e rotacionadas automaticamente. Isso pode limitar o movimento lateral se um host for comprometido.

Auditoria e testes regulares

Mesmo com controles implementados, a validação contínua é essencial. Você deve:

• Realize auditorias regulares do Active Directory para identificar escalonamentos de privilégios não autorizados, alterações na associação de grupos e configurações incorretas.
• Agende testes de penetração ou exercícios de red team focados em cenários de AD e roubo de credenciais para verificar as defesas e identificar quaisquer lacunas de detecção.

Como a Netwrix pode ajudar

Netwrix oferece vários produtos e capacidades que podem ajudar a mitigar ou detectar as condições que levam a ataques de extração de NTDS.dit. Ele se concentra em detecção e resposta, trilha de auditoria, governança de acesso, visibilidade de risco e alertas, preenchendo lacunas que ferramentas tradicionais podem não cobrir. A tabela a seguir mostra como as ofertas da Netwrix podem apoiar sua defesa contra o roubo de NTDS.dit:

Estratégias de detecção, mitigação e resposta

Para se defender contra a extração de NTDS.dit e tentativas relacionadas de comprometimento do Active Directory, as organizações precisam de uma estratégia abrangente que cubra detecção, mitigação e resposta. Aqui estão algumas medidas práticas.

Detecção

Ao detectar precocemente atividades suspeitas direcionadas ao arquivo NTDS.dit, as equipes de segurança podem prevenir o comprometimento total do domínio. As medidas de detecção precoce incluem:

• Monitore o uso suspeito de ferramentas: Acompanhe execuções incomuns de ntdsutil.exe, esentutl.exe, vssadmin.exe e utilitários de backup. Os atacantes tendem a abusar dessas ferramentas para criar ou copiar snapshots do banco de dados AD.
• Revise os eventos de criação de cópia sombra: Procure pelos IDs de Evento 7036 (início/parada do serviço) e 8222 (criação de cópia sombra VSS), especialmente quando forem iniciados fora das janelas de manutenção ou por usuários não administrativos.
• Acompanhe tentativas de acesso ao arquivo NTDS.dit: Configure a auditoria nos controladores de domínio para detectar leituras diretas, cópias ou movimentações do arquivo NTDS.dit e do hive de registro SYSTEM.
• Detectar abuso de replicação (DCSync): Monitore solicitações de replicação de diretório de sistemas que não sejam DC. Alertas devem ser acionados se DRSUAPI ou APIs de replicação DS forem invocadas por hosts ou contas não autorizadas.
• Correlacione comportamentos administrativos incomuns: Investigue anomalias como escalonamentos súbitos de privilégios, novas tarefas de shadow copy ou replicação de domínio a partir de endpoints inesperados.

Mitigação

Os controles de mitigação reduzem a probabilidade de invasores obterem ou explorarem dados do controlador de domínio. As etapas principais incluem:

• Implemente um modelo de escalonamento administrativo: Utilize a estrutura Tier 0/1/2 da Microsoft para isolar contas de alto privilégio (como administradores de DC) de sistemas de menor confiança. Isso evita que uma violação em níveis inferiores alcance os níveis superiores.
• Use acesso privilegiado just-in-time (JIT): Forneça direitos elevados temporários a administradores ou contas específicas somente quando necessário, por meio de soluções como Netwrix Privilege Secure. Isso minimiza privilégios permanentes, limita o tempo de exposição para acessos de alto nível e reduz o risco de roubo ou uso indevido de credenciais.
• Gire regularmente a senha krbtgt duas vezes: Gire a senha da conta krbtgt duas vezes consecutivas para invalidar quaisquer tickets Kerberos forjados ou armazenados em cache, como aqueles criados em ataques Golden Ticket. Isso garante que os tickets emitidos anteriormente se tornem inutilizáveis.
• Exigir autenticação multifator (MFA): Aplique MFA para todos os logons privilegiados e administrativos, incluindo RDP, PowerShell remoting e consoles de gerenciamento do AD.
• Backups seguros: Criptografe os backups do AD e restrinja o acesso a eles. Isso impede que invasores recuperem o NTDS.dit por meio dos dados de backup.
• Desative métodos de autenticação legados: Desligue protocolos desatualizados como NTLM, LM ou Basic Authentication sempre que possível para reduzir vetores de roubo de credenciais. Em vez disso, aplique Kerberos ou mecanismos modernos de autenticação (OAuth, SAML ou baseados em certificado).
• Aplique segmentação de rede: Isole os controladores de domínio em um segmento de rede dedicado e restrito. Apenas servidores de salto administrativos autorizados ou sistemas Tier 0 devem ter acesso de rede aos DCs.

Resposta

Se for detectada uma extração de NTDS.dit ou comprometimento do domínio, tome ações de resposta rápidas e estruturadas.

• Isole os controladores de domínio comprometidos: Desconecte imediatamente os sistemas afetados da rede para conter a violação e evitar movimentos laterais adicionais ou exfiltração de dados. Desative suas conexões de replicação e bloqueie a comunicação com outros DCs.
• Gire as credenciais privilegiadas: Redefina todas as contas administrativas, de serviço e compartilhadas, começando pelas identidades Tier 0, como Domain Admins, Enterprise Admins e contas de serviço vinculadas a controladores de domínio. Após a contenção, considere girar a chave krbtgt novamente para invalidar completamente quaisquer tickets Kerberos remanescentes ou tokens não autorizados.
• Reconstrua a infraestrutura comprometida: Se forem confirmados mecanismos de persistência ou adulteração do DC, reconstrua os controladores de domínio afetados a partir de fontes limpas e confiáveis, em vez de restaurar a partir de backups potencialmente infectados. Após a reconstrução, reaplique as linhas de base de segurança e atualize todos os sistemas antes de colocá-los online novamente.
• Realize análise forense: Examine cópias sombra, dados de backup, logs de eventos e dumps de memória para rastrear a atividade do invasor, identificar mecanismos de persistência e detectar quaisquer tentativas de exfiltração de dados. Concentre-se na análise do acesso ao NTDS.dit, eventos de replicação e uso do PowerShell ou ferramentas administrativas para sinais de roubo de credenciais. Correlacione as descobertas com a inteligência de ameaças.
• Notifique os reguladores se ocorreu uma violação de dados: Se credenciais sensíveis ou dados de usuários foram expostos, siga os procedimentos de resposta a incidentes e notificação legal da sua organização. Algumas regulamentações, como o GDPR (72 horas) e o HIPAA (60 dias), exigem a comunicação de uma violação confirmada dentro de prazos específicos. Notifique as autoridades regulatórias relevantes, clientes afetados e parceiros conforme necessário.

Impacto específico da indústria

Ciberataques direcionados ao NTDS no Windows e outros sistemas de identidade podem ter consequências devastadoras em vários setores. O impacto varia conforme o setor, mas comumente inclui violações regulatórias, perdas financeiras e danos reputacionais de longo prazo.

Evolução dos ataques e tendências futuras

Os defensores agora enfrentam um cenário de ameaças NTDS.dit muito mais complexo. Ataques que antes exigiam acesso local e ferramentas especializadas agora podem ocorrer por meio de ambientes em nuvem e híbridos. Atacantes modernos incorporam a extração de NTDS.dit em roteiros de ransomware e usam utilitários legítimos do Windows para ocultar suas atividades, tornando esses ataques mais rápidos, furtivos e difíceis de detectar.

Estatísticas e infográficos principais

Os números a seguir mostram claramente como o Active Directory continua sendo central em ataques modernos e por que a extração do NTDS.dit continua sendo uma técnica de alto impacto.

• Verizon’s DBIR (2024) mostra que o uso de credenciais roubadas foi a ação inicial em cerca de 24% das violações no geral. No padrão “Basic Web Application Attacks” do DBIR 2024, as credenciais roubadas representaram aproximadamente 77% das ações de hacking. Isso destaca o quão valiosos os armazenamentos de credenciais do AD são para os atacantes.
• Microsoft a telemetria mostra que mais de 99,9% das contas que seus sistemas observaram sendo comprometidas não tinham MFA ativado. Isso é um indicador impressionante de quão eficazmente o MFA bloqueia ataques automatizados e baseados em credenciais.
• Os dados de incidentes da Coveware mostram que incidentes de ransomware envolvendo Active Directory causaram uma média de cerca de 21 dias de interrupção dos negócios (Análise Coveware Q4 2020), destacando o quão profundamente o comprometimento de identidade interrompe as operações e a recuperação.

Gráfico de barras dos métodos de extração

O gráfico de barras a seguir mostra as ferramentas mais comuns usadas em ataques de extração NTDS.dit, com base em incidentes documentados de 2022 a 2024.

Observe que esses dados são baseados apenas em incidentes documentados publicamente. A frequência real desses métodos no ambiente real provavelmente é muito maior.

Considerações finais

O banco de dados NTDS Active Directory (NTDS.dit) armazena todas as informações do diretório, incluindo contas de usuário, senhas e configurações de domínio, o que o torna um componente crítico da segurança do Windows Server.

A extração de NTDS.dit é uma forma rápida e de alto impacto para atacantes transformarem identidades roubadas em um controle total do domínio. Nos ambientes híbridos atuais, esse risco só aumenta. Para proteger sua infraestrutura de identidade, aplique MFA, bloqueie e monitore Microsoft Entra Connect e operações de sincronização, detecte atividades Living off the Land (LOTL) e acessos incomuns a SYSTEM/NTDS, e incorpore forense de AD em seus planos de resposta a incidentes. Isso reduzirá drasticamente as chances de que o roubo de uma única credencial se torne uma interrupção completa.