En la novela de Roald Dahl de 1964, «Charlie y la fábrica de chocolate», el enigmático Willy Wonka esconde cinco «boletos dorados» entre las tabletas de chocolate de su fábrica. Quienes encuentran los boletos ganan el privilegio de visitar las instalaciones de su empresa entre bastidores. En el mundo digital, los «boletos dorados» también dan acceso, pero a algo mucho más valioso que una fábrica misteriosa: el entorno informático de su organización.
Lecturas relacionadas
Su billete, por favor
A modo de introducción rápida: cuando un cliente de PC se autentica en un dominio, el centro de distribución de claves Kerberos (KDC) del controlador de dominio (DC) de autenticación proporciona al cliente un vale de acceso (TGT). Este vale TGT permite al cliente solicitar un vale de servicio al KDC para acceder a un servicio (por ejemplo, un servidor de archivos). El centro de distribución de claves envía el vale de servicio al cliente, cifrado con el valor hash de la contraseña de la cuenta de servicio. El cliente pasa el ticket al servicio, que lo descifra y concede al cliente acceso al servicio.
La cuenta krbtgt funciona como una cuenta de servicio para el servicio KDC. Con el control de la cuenta krbtgt, los atacantes pueden crear TGTs fraudulentos para acceder a cualquier recurso que deseen. Este escenario es la esencia de un ataque Golden Ticket. Si se realizan con éxito, los ataques Golden Ticket permiten a los actores de amenazas hacerse pasar por cualquier usuario. El ataque es difícil de detectar y puede ser utilizado por los actores de amenazas para persistir bajo el radar durante largos períodos de tiempo.
El lanzamiento del ataque requiere que el atacante ya haya comprometido una cuenta con privilegios elevados que pueda acceder al controlador de dominio. Cada controlador de dominio en el entorno AD ejecuta un KDC. Una vez que tenga acceso al controlador de dominio, el atacante puede utilizar una herramienta como Mimikatz para robar el hash NTLM de la cuenta krbtgt.
Con el hash de la contraseña krbtgt en la mano, el actor de la amenaza sólo necesita lo siguiente para crear un TGT:
- Nombre de dominio completo (FQDN) del dominio
- El identificador de seguridad (SID) del dominio
- El nombre de usuario de la cuenta a la que se dirigen.
Aunque los TGT suelen ser válidos durante 10 horas por defecto, un atacante puede hacer que el TGT sea válido durante cualquier periodo de tiempo, hasta 10 años. Por esta razón, es fundamental contar con una estrategia para detectar, mitigar y remediar estos ataques.
Utilice medidas básicas de higiene de seguridad para protegerse de los ataques del Golden Ticket
La prevención de los ataques Golden Ticket comienza con una higiene de seguridad básica. Los adversarios no pueden lanzar el ataque sin comprometer primero el entorno, por lo que las organizaciones pueden empezar por implantar una defensa en capas para reducir la superficie de ataque y elevar la barrera de entrada.
- Prevención del robo de credenciales: La primera capa consiste en la prevención del robo de credenciales. Bloquear el malware dedicado al robo de credenciales y los ataques de phishing es fundamental y debe incluir una combinación de formación en concienciación sobre seguridad para los empleados, así como medidas de seguridad para la red y los puntos finales. Eliminar las contraseñas comunes de su directorio mediante un filtro de contraseñas personalizado, como Azure AD Password Protection, reducirá la probabilidad de que un ataque de «password spraying» tenga éxito. Cualquier actividad de Mimikatz que no esté dirigida por el equipo rojo de su organización o por un probador de penetración autorizado es una clara señal de que los atacantes han llegado.
- Mantener la seguridad de AD: La siguiente medida consiste en reforzar las defensas de AD. Dado que un ataque de tipo «Golden Ticket» requiere acceso con privilegios a un controlador de dominio, la aplicación del principio del mínimo privilegio es fundamental para garantizar la seguridad de AD. Los equipos de AD deben reducir al mínimo el número de cuentas de usuario y de servicio con acceso a los controladores de dominio. Las cuentas con permisos de administrador de dominio o de «replicación de cambios en el directorio» pueden utilizarse para lanzar ataques DCSync, que permiten el robo del hash de krbtgt.
- Detección de tickets falsificados: al igual que ocurre con los billetes falsos, los tickets falsificados pueden detectarse observando comportamientos inusuales por parte de los usuarios y examinando posteriormente el ticket en busca de indicios reveladores. Por ejemplo, errores como discrepancias entre el nombre de usuario y el identificador relativo (RID) o modificaciones en la vigencia del ticket pueden ser indicios de actividad maliciosa. Además, también es importante supervisar el Active Directory (AD) para detectar actividades inusuales, como cambios en la pertenencia a grupos.
- Precauciones al cambiar la contraseña de krbtgt: Uno de los consejos más habituales para hacer frente a los ataques de «Golden Ticket» es cambiar la contraseña de krbtgt cada 180 días. Esto no debe hacerse a la ligera, ya que provocará temporalmente errores en la validación del certificado de atributos privilegiados (PAC). El mejor método para actualizar la contraseña es estudiar y ejecutar el script de restablecimiento de la contraseña de la cuenta krbtgt (proporcionado por el MVP de Microsoft Jorge de Almeida Pinto; se trata de un script de restablecimiento que se actualiza continuamente), lo que también permite a las organizaciones verificar que todos los controladores de dominio (DC) con permisos de escritura del dominio han replicado las claves derivadas del nuevo hash de la contraseña. Cambiar la contraseña de krbtgt cada 180 días es una práctica recomendada. Sin embargo, los equipos de AD también deberían considerar cambiarla cada vez que un empleado que pudiera crear un Golden Ticket abandone la organización. Tomar esta medida reduce el riesgo de que un antiguo empleado descontento utilice un ticket falsificado con fines maliciosos. Es importante recordar que, si se detecta un ataque de Golden Ticket, habrá que restablecer la contraseña dos veces para mitigar el ataque. ¿Por qué? Porque la cuenta krbtgt recuerda las dos contraseñas anteriores, por lo que es necesario restablecer la contraseña dos veces para evitar que otro DC utilice una contraseña antigua para replicarse con el DC afectado. Como advertencia, cambiar la contraseña dos veces antes de que esta pueda replicarse en todo el entorno puede interrumpir el acceso a la red, así que tómese su tiempo y asegúrese de que la primera actualización se haya propagado a todos los DC.
Construir una defensa sólida contra los ataques del Billete Dorado
Mitigar y responder a un ataque Golden Ticket es difícil. Sin embargo, dado que estos ataques pueden allanar el camino para el robo de datos a gran escala y el ransomware, es vital tener en cuenta los ataques Golden Ticket en sus escenarios de recuperación AD y respuesta a incidentes.
Asegúrese de determinar el alcance de la actividad de los atacantes antes de reconstruir los sistemas afectados y restablecer las cuentas, ya que, de lo contrario, el atacante sabrá que ha detectado su actividad. Asegúrese de disponer de una copia de seguridad fuera de línea y, a ser posible, de un bosque de Active Directory recuperado y aislado, de modo que, si el atacante activa la carga útil del ransomware, siga contando con un bosque de Active Directory operativo. Solo al comprender plenamente el daño causado pueden las organizaciones estar seguras de que han cerrado por completo la puerta a los atacantes y han impedido que mantengan un punto de apoyo.
