Pass-the-Hash (PtH, «передача хешу») — атака, за якої зловмисник автентифікується на віддалених системах за допомогою викраденого хешу пароля замість самого пароля.
Як працює Pass-the-Hash
Автентифікації NTLM у Windows справжній пароль не потрібен: для відповіді на запит сервера використовується NT-хеш пароля. Отже, той, хто має хеш, може увійти від імені користувача. Типова атака виглядає так:
- Зловмисник отримує права адміністратора на одній машині — наприклад, через фішинг і підвищення привілеїв.
- Інструменти на кшталт Mimikatz витягують NTLM-хеші з пам’яті LSASS або локальної бази SAM.
- Хеш «передають» іншим серверам через SMB, WMI чи засоби віддаленого керування — за допомогою Impacket або утиліт у стилі PsExec.
Уперше техніку публічно описали 1997 року; у MITRE ATT&CK вона значиться як T1550.002 (Use Alternate Authentication Material). Її аналог для Kerberos — pass-the-ticket — так само повторно використовує викрадені квитки.
Чому це важливо
PtH — один із головних інструментів горизонтального переміщення в мережах Windows. Один закешований хеш адміністратора домену може дати зловмисникові контроль над усім лісом Active Directory. Оператори програм-вимагачів і APT-угруповання застосовують її постійно, а NotPetya 2017 року поширювався всередині мереж зокрема завдяки обліковим даним, зібраним кодом у дусі Mimikatz. Зламувати хеш не потрібно, тому довгі та складні паролі від цієї атаки не рятують.
Як захиститися
- Задавати унікальні паролі локального адміністратора на кожній машині (Windows LAPS).
- Увімкнути Credential Guard і захист LSA, додати привілейовані облікові записи до групи Protected Users.
- Обмежити або вимкнути NTLM, де це можливо, і запровадити багаторівневу модель адміністрування.
- Відстежувати NTLM-входи адміністративних облікових записів із незвичних хостів.
