Pass-the-Hash (PtH) ist ein Angriff, bei dem sich ein Angreifer mit einem gestohlenen Passwort-Hash statt mit dem Klartextpasswort an entfernten Systemen anmeldet.
Wie Pass-the-Hash funktioniert
Die NTLM-Authentifizierung von Windows benötigt nie das eigentliche Passwort – sie beantwortet die Challenge des Servers mit dem NT-Hash des Passworts. Wer den Hash besitzt, kann sich also als der Benutzer anmelden. Ein typischer Angriff läuft so ab:
- Der Angreifer erlangt Administratorrechte auf einem Rechner, etwa durch Phishing und Rechteausweitung.
- Werkzeuge wie Mimikatz lesen NTLM-Hashes aus dem LSASS-Speicher oder der lokalen SAM-Datenbank aus.
- Der Hash wird per SMB, WMI oder Fernverwaltung an andere Server „weitergereicht“, etwa mit Impacket oder PsExec-ähnlichen Tools.
Die Technik wurde 1997 erstmals öffentlich beschrieben und ist in MITRE ATT&CK als T1550.002 (Use Alternate Authentication Material) erfasst. Das Gegenstück bei Kerberos, Pass-the-Ticket, verwendet gestohlene Tickets auf dieselbe Weise.
Warum Pass-the-Hash so gefährlich ist
PtH gehört zu den wichtigsten Wegbereitern der lateralen Bewegung in Windows-Netzen. Ein einziger zwischengespeicherter Hash eines Domänenadministrators kann einem Eindringling die Kontrolle über den gesamten Active-Directory-Forest verschaffen. Ransomware-Betreiber und APT-Gruppen nutzen die Methode routinemäßig; NotPetya verbreitete sich 2017 innerhalb von Netzwerken unter anderem mit Zugangsdaten, die mit Mimikatz-ähnlichem Code abgegriffen wurden. Da der Hash nicht geknackt werden muss, schützen lange und komplexe Passwörter nicht vor dem Angriff.
So schützen Sie sich vor Pass-the-Hash
- Auf jedem Rechner ein eigenes lokales Administratorpasswort verwenden (Windows LAPS).
- Credential Guard und den LSA-Schutz aktivieren und privilegierte Konten in die Gruppe „Protected Users“ aufnehmen.
- NTLM wo möglich einschränken oder abschalten und ein Tier-Modell für die Administration umsetzen.
- NTLM-Anmeldungen mit Administratorkonten von ungewöhnlichen Hosts überwachen.
