Picus Security erläutert Kerberoasting-Angriffsmethode
Das Cybersicherheitsunternehmen Picus Security hat den Kerberoasting-Angriff detailliert beschrieben, eine Post-Exploitation-Technik, die auf Active Directory abzielt. Die Methode kann zu gestohlenen Anmeldeinformationen führen.
Picus Security, ein Unternehmen im Bereich Cybersicherheit, hat eine Erklärung für den Kerberoasting-Angriff veröffentlicht. Diese Technik nutzt Schwachstellen im Kerberos-Authentifizierungsprotokoll aus, das häufig in Active Directory-Umgebungen verwendet wird.
Der Angriff beruht auf der Fähigkeit jedes authentifizierten Domänenbenutzers, Dienst-Tickets für Konten anzufordern, die mit einem Service Principal Name (SPN) verknüpft sind. Diese Tickets sind mit dem Passwort-Hash des Dienstkontos verschlüsselt. Angreifer können diese dann offline brute-forcen, um den Hash zu knacken und die Klartext-Anmeldeinformationen des Dienstkontos zu erhalten.
Während Maschinenkonten typischerweise automatisch verwaltete, komplexe Passwörter haben, unterliegen Benutzerkonten mit SPNs möglicherweise nicht denselben Passwortrichtlinien. Dies macht sie zu einem leichter zugänglichen Ziel für Angreifer. Das erfolgreiche Knacken dieser Passwörter kann Angreifern ermöglichen, ihre Rechte zu erweitern, sich seitlich im Netzwerk zu bewegen, sensible Daten zu stehlen und potenziell die gesamte Infrastruktur zu kompromittieren.
Picus Security betont die Wichtigkeit des Verständnisses des Kerberos-Authentifizierungsablaufs, der die Benutzerauthentifizierung, die Anforderung eines Dienst-Tickets über einen SPN und schließlich den Zugriff auf den Dienst umfasst. Der Kerberoasting-Angriff zielt speziell auf das Dienst-Ticket ab, mit dem Ziel, es mithilfe des Passwort-Hashs des Dienstkontos zu entschlüsseln.
Das Unternehmen bietet auch Ressourcen an, um Organisationen dabei zu helfen, potenzielle Angriffswege in ihren Netzwerken zu identifizieren und somit die Abwehrmaßnahmen gegen solche Bedrohungen zu verbessern.