Pass-the-Hash (PtH, «передача хеша») — атака, при которой злоумышленник аутентифицируется на удалённых системах с помощью украденного хеша пароля вместо самого пароля.
Как работает Pass-the-Hash
Аутентификации NTLM в Windows настоящий пароль не нужен: для ответа на запрос сервера используется NT-хеш пароля. Значит, тот, у кого есть хеш, может войти от имени пользователя. Типичная атака выглядит так:
- Атакующий получает права администратора на одной машине — например, через фишинг и повышение привилегий.
- Инструменты вроде Mimikatz извлекают NTLM-хеши из памяти LSASS или локальной базы SAM.
- Хеш «передаётся» другим серверам по SMB, WMI или через средства удалённого управления — с помощью Impacket или утилит в стиле PsExec.
Впервые технику публично описали в 1997 году; в MITRE ATT&CK она значится как T1550.002 (Use Alternate Authentication Material). Её аналог для Kerberos — pass-the-ticket — точно так же повторно использует украденные билеты.
Почему это важно
PtH — один из главных инструментов горизонтального перемещения в сетях Windows. Единственный закэшированный хеш администратора домена может дать злоумышленнику контроль над всем лесом Active Directory. Операторы программ-вымогателей и APT-группировки применяют её постоянно, а NotPetya в 2017 году распространялся внутри сетей в том числе за счёт учётных данных, собранных кодом в духе Mimikatz. Взламывать хеш не нужно, поэтому длинные и сложные пароли от этой атаки не спасают.
Как защититься
- Задавать уникальные пароли локального администратора на каждой машине (Windows LAPS).
- Включить Credential Guard и защиту LSA, добавить привилегированные учётные записи в группу Protected Users.
- Ограничить или отключить NTLM, где это возможно, и внедрить многоуровневую модель администрирования.
- Отслеживать NTLM-входы административных учётных записей с необычных хостов.
