Chegamos ao ápice do ataque a Active Directory: as técnicas que representam o comprometimento total do domínio. O DCSync permite extrair todos os hashes de senha do domínio; o Golden Ticket permite forjar tíquetes Kerberos que dão acesso a qualquer coisa, a qualquer momento. Quando um atacante alcança esses ataques, ele não apenas comprometeu o domínio — ele tem controle tão profundo que removê-lo pode exigir reconstruir o AD do zero. Entender esses ataques é entender o que está em jogo quando se protege (ou se testa) um Active Directory. Laboratório AD, sempre — estes ataques exigem privilégio elevado, obtido pelos passos que vieram antes.

DCSync abusa da replicação legítima

Comece pelo DCSync. Os controladores de domínio precisam se sincronizar entre si — quando há múltiplos DCs, eles replicam as mudanças (incluindo hashes de senha) uns para os outros, usando um protocolo de replicação legítimo. O DCSync abusa disso: um atacante com privilégio suficiente (certas permissões de replicação, que Domain Admins e contas equivalentes possuem) pode fingir ser um controlador de domínio e pedir a um DC real que "replique" para ele os dados de senha — obtendo os hashes de qualquer usuário do domínio, inclusive do administrador, sem tocar no disco do DC nem executar código nele. É especialmente perigoso porque não requer acesso direto ao DC como um comprometimento tradicional; basta ter as permissões de replicação e pedir educadamente, usando o protocolo legítimo. Ferramentas como o Mimikatz e o Impacket (secretsdump) executam o DCSync.

A conta KRBTGT e o Golden Ticket

A joia mais cobiçada que o DCSync entrega é o hash de uma conta especial: a KRBTGT. Essa conta é a chave-mestra do Kerberos no domínio — o hash dela é usado para cifrar/assinar todos os tíquetes Kerberos (os TGTs). E isso nos leva ao Golden Ticket, um dos ataques mais poderosos que existem. Se o atacante obtém o hash da conta KRBTGT (via DCSync), ele pode forjar seus próprios TGTs — tíquetes de autenticação válidos para qualquer usuário (inclusive um administrador inexistente que ele invente), com qualquer privilégio, com validade que ele mesmo define. Como esses tíquetes são assinados com a chave legítima do domínio (a KRBTGT), o AD os aceita como genuínos. É um "passe livre" universal: com um Golden Ticket, o atacante se autentica como quem quiser, acessando qualquer recurso, e o domínio confia plenamente.

A persistência que o Golden Ticket confere

Por que o Golden Ticket é tão devastador, além do acesso total imediato? Pela persistência que ele confere. O hash da KRBTGT raramente é alterado (muitas organizações nunca o mudaram desde que o domínio foi criado). Enquanto esse hash não for trocado — duas vezes, por particularidades da replicação —, os Golden Tickets forjados continuam válidos. Isso significa que um atacante que obteve o hash da KRBTGT tem um caminho de volta ao domínio que sobrevive a trocas de senha dos usuários, a remoções de malware, a boa parte dos esforços de remediação. É por isso que se diz que comprometer a KRBTGT pode exigir reconstruir a confiança do domínio para expulsar o atacante de verdade — uma operação traumática. Há técnicas irmãs (o Silver Ticket, que forja tíquetes de serviço específicos usando o hash de uma conta de serviço, mais limitado mas ainda perigoso) que completam essa família de forja de tíquetes.

O fim do caminho que o BloodHound mapeia

O ponto conceitual que fecha o bloco: esses ataques representam o fim do caminho que o BloodHound mapeia. Toda a jornada do AD ofensivo — acesso inicial, enumeração, Kerberoasting, Pass-the-Hash, movimentação lateral — converge para obter privilégio suficiente para executar o DCSync e forjar um Golden Ticket. Eles são o "xeque-mate". E ilustram, na sua forma mais extrema, o tema do bloco: exploram funcionalidades legítimas (replicação de DC, a estrutura de tíquetes do Kerberos) elevadas a comprometimento total quando o atacante alcança o privilégio necessário. Não há "patch" para a replicação de DC ou para a KRBTGT ser a chave-mestra — são partes essenciais de como o AD funciona. A defesa é impedir que o atacante chegue ao privilégio que os habilita, e detectar quando ele tenta.

Impedir o alcance e detectar

Do lado defensivo, as contramedidas operam em duas frentes — impedir o alcance e detectar/responder. Para impedir: tudo do bloco converge aqui — menor privilégio rigoroso, tiering administrativo, proteção de credenciais, e eliminação dos caminhos de ataque que o BloodHound revela (se o atacante nunca alcança privilégio de replicação, não há DCSync). Para o hash da KRBTGT especificamente: rotacioná-lo periodicamente (e duas vezes, conforme a orientação) reduz a janela de um Golden Ticket, e rotacioná-lo imediatamente após qualquer comprometimento suspeito é parte crítica da remediação. Para detectar: monitorar solicitações de replicação vindas de fontes que não são DCs legítimos (a assinatura do DCSync — um "DC" que não deveria existir pedindo replicação); anomalias em tíquetes Kerberos (tempos de vida estranhos, contas inexistentes se autenticando — sinais de Golden Ticket); e comportamento privilegiado incomum. A lição final e mais séria do bloco: no AD, a diferença entre um incidente contido e um comprometimento catastrófico e persistente está em impedir que o atacante alcance o coração do domínio — porque, uma vez lá, expulsá-lo é extraordinariamente difícil.

Fecha o núcleo do Bloco XI

Com esta aula, encerramos o núcleo do Bloco XI — Active Directory ofensivo. Você percorreu o caminho completo: fundamentos e enumeração (BloodHound), extração de credenciais do Kerberos (Kerberoasting), reutilização de credenciais (Pass-the-Hash/Ticket) e o comprometimento total (DCSync, Golden Ticket). Este é o conteúdo que define o pentest corporativo moderno, e domina-lo — com sua defesa pareada — te coloca no território profissional mais valorizado. As aulas NTLM relay e ataques de coerção: abusando da autenticação em trânsito e Ataques ao ADCS: quando a infraestrutura de certificados vira porta dos fundos (NTLM relay/coerção e ADCS) complementariam com técnicas mais avançadas, mas o núcleo do ataque ao domínio está completo.

Fontes e leituras recomendadas

  • MITRE ATT&CK — DCSync (T1003.006) e Golden Ticket (T1558.001)
  • Documentação sobre o protocolo Kerberos e a conta KRBTGT (perspectiva defensiva)
  • Mimikatz e Impacket (secretsdump) — apenas em laboratório autorizado
  • Orientação da Microsoft sobre rotação da KRBTGT, tiering administrativo e menor privilégio

Exercícios

  1. O que o DCSync abusa para extrair hashes, e por que ele é mais discreto que um comprometimento tradicional de um controlador de domínio?

    ✓ Resposta:

    Abusa do protocolo legítimo de replicação entre controladores de domínio: com permissões de replicação (que Domain Admins e contas equivalentes possuem), o atacante finge ser um DC e pede a um DC real que replique os dados de senha. É mais discreto porque não exige acesso direto ao disco do DC nem execução de código nele — basta ter a permissão e pedir pelo protocolo legítimo.

  2. Por que o hash da conta KRBTGT é a "joia" que liga o DCSync ao Golden Ticket?

    ✓ Resposta:

    Porque a KRBTGT é a chave-mestra do Kerberos no domínio: seu hash cifra e assina todos os TGTs. Obtido via DCSync, ele permite forjar TGTs válidos — o Golden Ticket — para qualquer usuário, com qualquer privilégio e validade definida pelo atacante, porque o AD aceita como genuíno tudo o que está assinado com essa chave.

  3. Por que um Golden Ticket confere persistência tão duradoura, e o que é preciso fazer para revogá-lo?

    ✓ Resposta:

    Porque o hash da KRBTGT raramente é trocado — muitas organizações nunca o mudaram. Enquanto ele não for alterado, os Golden Tickets forjados continuam válidos, sobrevivendo a trocas de senha de usuários e à remoção de malware. Revogá-los exige rotacionar o hash da KRBTGT, e duas vezes, por causa das particularidades da replicação.

  4. Qual a diferença entre Golden Ticket e Silver Ticket?

    ✓ Resposta:

    O Golden Ticket usa o hash da KRBTGT para forjar TGTs universais, dando acesso a qualquer serviço do domínio. O Silver Ticket usa o hash de uma conta de serviço específica para forjar tíquetes de serviço (TGS) apenas daquele serviço — mais limitado em alcance, mas ainda perigoso e, por não envolver o DC na emissão, potencialmente mais discreto.

  5. Por que não existe "patch" para o DCSync e o Golden Ticket, e onde, então, a defesa precisa atuar?

    ✓ Resposta:

    Porque ambos exploram funcionalidades essenciais e legítimas do AD — a replicação entre DCs e a KRBTGT como chave-mestra do Kerberos — que não podem simplesmente ser desligadas. A defesa atua em duas frentes: impedir que o atacante alcance o privilégio que os habilita (menor privilégio, tiering administrativo, fechar os caminhos que o BloodHound revela) e detectar tentativas — requisições de replicação vindas de fontes que não são DCs legítimos, e tíquetes com tempos de vida ou contas anômalos.