Ya sabéis que el protocolo Kerberos es el mecanismo preferido para la autenticación en un entorno Windows basado en dominio (DA). Sin entrar en detalle, Kerberos utiliza los tickets conocidos como TGT (Ticket-Granting Ticket) que entrega el KDC (Key Distribution Center) para autenticar usuarios y conceder acceso a cualquier recurso de la red.

Por otro lado, la cuenta KRBTGT se utiliza para cifrar y firmar todos los tickets Kerberos dentro de un dominio y los KDC (normalmente controladores de dominio) utilizan la contraseña de la cuenta para descifrar los tickets Kerberos para su validación. Esta contraseña de cuenta nunca cambia y el nombre de cuenta es el mismo en todos los dominios, por lo que es un objetivo bien conocido para los atacantes.

Si un atacante obtiene el hash de esa cuenta KRBTGT, podrá generar los conocidos Golden Tickets, y entonces podrá impersonar a cualquier usuario y establecer cualquier acceso autenticado persistente y encubierto en el dominio de Windows.

Mimikatz, que desde la versión 2.0 implementa esta técnica, permite crear estos tickets de forma offline con una validez por defecto de 10 años, que pueden ser reusados mediante pass-the-ticket y serán válidos incluso aunque el usuario impersonado cambie la contraseña. La única manera de invalidarlos sería resetear la contraseña utilizada para generar el TGT.

A finales del año pasado, en el blog de Artem Kondratenko, veíamos un pequeño pero útil tutorial para pivotar mediante estos Golden tickets en Linux. El ataque, por lo general, funciona de la siguiente manera:

- El atacante obtiene privilegios de administrador en el dominio
- El atacante extrae el hash ntlm de un usuario de dominio "krbtgt" y obtiene el SID del dominio de destino
- El atacante compone un ticket de kerberos
- Este ticket se utiliza para autenticar en el dominio con privilegios de administrador de dominio

Aquí está un walkthough detallado en cómo utilizar los Golden tickets en Kali Linux.

Empecemos por obtener el hash ntlm de la cuenta KRBTGT. En el ejemplo se utiliza una versión ofuscada de Mimikatz que extrae el hash sin alertar al AV (https://github.com/artkond/bat-armor/blob/master/examples/krbtgt.bat):


Quitando el último número correspondiente al SID (502) obtenemos el SID del dominio S-1-5-21-3251500307-1840725093-2229733580. Ahora para generar el ticket se usa la utilidad ticketer.py de Impacket (https://github.com/CoreSecurity/impacket/blob/master/examples/ticketer.py):


Casi listo. Solo necesitamos exportar la variable del sistema para que psexec.py pueda usar el ticket. Al ejecutar psexec.py es necesario especificar el parámetro -k para la autenticación kerberos:


Lo mismo ocurre con otras herramientas de Impacket como wmiexec.py (que genera menos "ruido" que psexec.py, ya que no carga ningún archivo binario y no inicia ningún servicio) o atexec.py (utiliza las tareas programadas para ejecutar su código):


Ya lo tenemos, pero ¿qué pasa si necesitamos subir algunos archivos? Lo más probable es que queramos utilizar smbclient para esta tarea. Usar kerberos con smbclient es un poco más complicado. Primero tenemos que agregar el realm de kerberos al archivo de configuración localizado en /etc/krb5.conf. En caso de que no tengamos krb5.conf, tendremos que instalar el paquete krb5-user desde el repo de la distro correspondiente.

[realms]
     PENTESTO.LOC = {
         kdc = tcp/dc01:88
     }