Pass-the-hash (PtH) es un ataque en el que el adversario se autentica en sistemas remotos usando el hash robado de una contraseña en lugar de la contraseña en texto claro.
Cómo funciona pass-the-hash
La autenticación NTLM de Windows nunca necesita la contraseña real: responde al desafío del servidor con el hash NT de la contraseña. Quien tenga el hash puede, por tanto, iniciar sesión como ese usuario. Un ataque típico se desarrolla así:
- El atacante obtiene derechos de administrador en un equipo, por ejemplo mediante phishing y escalada de privilegios.
- Herramientas como Mimikatz extraen los hashes NTLM de la memoria de LSASS o de la base de datos SAM local.
- El hash se «pasa» a otros servidores por SMB, WMI o administración remota, con herramientas como Impacket o utilidades del estilo de PsExec.
La técnica se describió públicamente por primera vez en 1997 y figura en MITRE ATT&CK como T1550.002 (Use Alternate Authentication Material). Su equivalente en Kerberos, pass-the-ticket, reutiliza tickets robados de la misma manera.
Por qué es importante
PtH es uno de los principales facilitadores del movimiento lateral en redes Windows. Un solo hash en caché de un administrador de dominio puede dar al intruso el control de todo el bosque de Active Directory. Los operadores de ransomware y los grupos APT lo usan de forma rutinaria, y el brote de NotPetya de 2017 se propagó dentro de las redes en parte reutilizando credenciales obtenidas con código al estilo de Mimikatz. Como no hace falta descifrar el hash, las contraseñas largas y complejas no impiden el ataque.
Cómo defenderse
- Usar una contraseña de administrador local única en cada equipo (Windows LAPS).
- Activar Credential Guard y la protección LSA, y añadir las cuentas privilegiadas al grupo Protected Users.
- Restringir o desactivar NTLM siempre que sea posible y aplicar un modelo de administración por niveles.
- Vigilar los inicios de sesión NTLM con cuentas administrativas desde equipos inusuales.
