Você já encontrou o Pass-the-Hash (PtH) na movimentação lateral (aula Movimentação lateral: espalhando-se pela rede); agora o aprofundamos no contexto do Active Directory, junto com sua família de técnicas relacionadas. Esses ataques compartilham uma ideia central e devastadora: no mundo Windows/AD, você frequentemente não precisa da senha em texto claro — o material de autenticação em si (hash ou tíquete) é suficiente para se autenticar. Isso transforma cada credencial capturada numa chave reutilizável, e é o motor da movimentação através do domínio. Laboratório AD, sempre.
O hash serve no lugar da senha
Recapitule e aprofunde o Pass-the-Hash. O Windows autentica via NTLM usando o hash da senha (aula Windows internals: processos, registro e o coração da autenticação) — e, criticamente, o processo de autenticação aceita o hash diretamente, sem precisar da senha original. Então, se você extraiu o hash NTLM de uma conta (da memória do LSASS, do SAM, de um dump), você o "passa" para autenticar em qualquer serviço ou máquina onde aquela conta tenha acesso, sem jamais crackear a senha. Ferramentas como as da suíte Impacket e o crackmapexec (aula Movimentação lateral: espalhando-se pela rede) aceitam um hash no lugar da senha. A implicação, no AD, é profunda: comprometer uma máquina e extrair os hashes dos usuários que nela se autenticaram pode entregar credenciais que funcionam em toda a rede — especialmente perigoso quando um administrador se autenticou naquela máquina, deixando seu hash em cache.
O mesmo truque com tíquetes Kerberos
A família se estende ao Kerberos com o Pass-the-Ticket (PtT). O Kerberos autentica com tíquetes (TGT e TGS). Se um atacante consegue extrair tíquetes Kerberos da memória de uma máquina comprometida (onde ficam em cache), ele pode reutilizá-los para se autenticar como aquele usuário, pelo tempo de validade do tíquete — sem senha, sem hash, apenas o tíquete. É o equivalente Kerberos do Pass-the-Hash. Roubar o TGT de um usuário privilegiado logado numa máquina comprometida permite personificá-lo enquanto o tíquete for válido. Há também o Overpass-the-Hash (ou Pass-the-Key), que usa o hash NTLM para obter um tíquete Kerberos legítimo — uma ponte entre os dois mundos, convertendo um hash capturado em acesso Kerberos completo.
A autenticação repousa sobre material derivado
O que une toda a família é o conceito que quero que você internalize: no AD, a autenticação repousa sobre material (hashes, tíquetes, chaves) que fica em cache nas máquinas para viabilizar o single sign-on, e esse material é reutilizável se capturado. A conveniência que faz o AD funcionar (você loga uma vez e acessa tudo sem redigitar senha) é exatamente a fraqueza que esses ataques exploram (o material que evita a redigitação pode ser roubado e reapresentado). É a tensão recorrente do curso — usabilidade vs. segurança — no coração da arquitetura de identidade corporativa. Cada credencial em cache numa máquina comprometida é uma chave potencial para outras portas.
Isso conecta diretamente com o conceito de movimentação lateral em cadeia no AD (aula Movimentação lateral: espalhando-se pela rede), agora com as técnicas específicas. O ciclo: comprometer uma máquina → extrair hashes/tíquetes da memória → identificar (com BloodHound, aula Active Directory ofensivo: fundamentos e enumeração com BloodHound) onde essas credenciais dão acesso → usar PtH/PtT para comprometer a próxima máquina → extrair suas credenciais em cache → repetir, subindo em privilégio a cada salto. O BloodHound revela quais credenciais valem a pena capturar (quem tem acesso a quê), e o Pass-the-Hash/Ticket é como você usa as credenciais capturadas. Juntos, são o mecanismo de escalada através do domínio até um Domain Admin. Um cenário clássico: você compromete uma estação de trabalho comum, mas um administrador de TI logou nela ontem para dar suporte — o hash/tíquete dele está em cache, você o captura, e agora tem credenciais administrativas.
Nada aqui é bug: é o Windows funcionando
O ponto que amarra: assim como o Kerberoasting, esses ataques exploram o funcionamento normal do Windows/AD, não bugs corrigíveis por patch. O NTLM aceitar hashes e o Kerberos usar tíquetes em cache são características fundamentais desses protocolos. Por isso, a defesa não é "corrigir uma falha", mas arquitetar o ambiente para limitar o dano da reutilização de credenciais — o que torna a defesa do AD um exercício de design e higiene contínuos, não de aplicação de correções pontuais.
Conter o reuso de credencial
Do lado defensivo, as contramedidas contra a reutilização de credenciais são algumas das mais importantes da segurança corporativa: não reutilizar credenciais administrativas entre máquinas (o LAPS da aula Movimentação lateral: espalhando-se pela rede — senhas de admin local únicas por máquina — quebra a cadeia); tiering administrativo (contas de Domain Admin jamais devem logar em estações comuns, para não deixar suas credenciais em cache onde podem ser capturadas — este é talvez o controle mais impactante); Credential Guard (blinda os hashes e tíquetes na memória, dificultando a extração que alimenta os ataques); limitar a exposição de credenciais privilegiadas (usar contas administrativas apenas em sistemas seguros e dedicados); reduzir o cache de credenciais; e monitorar autenticação anômala (uso de uma conta em máquinas incomuns, padrões de PtH/PtT). A lição central: presuma que qualquer máquina pode ser comprometida e que as credenciais nela em cache serão capturadas — então controle rigorosamente onde as credenciais privilegiadas são expostas.
Fontes e leituras recomendadas
- HackTricks — "Pass the Hash", "Pass the Ticket", "Over Pass the Hash"
- Impacket, Mimikatz e Rubeus — ferramentas da família (estudo em laboratório)
- Microsoft — documentação sobre Credential Guard, LAPS e tiering administrativo
- MITRE ATT&CK — técnicas de Lateral Movement e Credential Access
Exercícios
-
Explique o conceito central que une a família Pass-the-Hash/Ticket sobre o que basta para se autenticar no AD.
✓ Resposta:No AD, frequentemente não é preciso a senha em texto claro: o próprio material de autenticação (o hash NTLM ou o tíquete Kerberos) é suficiente para se autenticar. Capturar esse material permite reapresentá-lo e se passar pelo usuário, sem nunca conhecer a senha.
-
Como o Pass-the-Ticket difere do Pass-the-Hash em termos do material usado, e o que é o Overpass-the-Hash?
✓ Resposta:O Pass-the-Hash usa o hash NTLM da senha; o Pass-the-Ticket usa tíquetes Kerberos extraídos da memória (reutilizados enquanto válidos). O Overpass-the-Hash usa o hash NTLM para obter um tíquete Kerberos legítimo, servindo de ponte entre os dois mundos.
-
Por que a conveniência do single sign-on é exatamente a fraqueza que esses ataques exploram?
✓ Resposta:Porque o single sign-on funciona mantendo material de autenticação (hashes, tíquetes) em cache nas máquinas para evitar redigitar senhas; esse mesmo material em cache é o que os ataques roubam e reapresentam. A conveniência (não redigitar) e a fraqueza (material reutilizável capturável) são a mesma característica.
-
Descreva como BloodHound e Pass-the-Hash/Ticket trabalham juntos no ciclo de movimentação lateral no AD.
✓ Resposta:O BloodHound revela quais credenciais valem a pena capturar e onde elas dão acesso (mapeando as relações); o Pass-the-Hash/Ticket é o mecanismo de usar as credenciais capturadas para comprometer a próxima máquina. O ciclo: comprometer → extrair credenciais em cache → BloodHound aponta onde usá-las → PtH/PtT para o próximo alvo → repetir, subindo em privilégio até um Domain Admin.
-
Por que o tiering administrativo (não logar Domain Admins em estações comuns) é uma das contramedidas mais impactantes?
✓ Resposta:Porque Domain Admins que logam em estações comuns deixam suas credenciais (hash/tíquete) em cache nessas máquinas; se uma delas for comprometida, o atacante captura credenciais administrativas diretamente. Impedir esse login evita expor as credenciais mais poderosas onde podem ser roubadas, cortando um caminho direto ao comprometimento total.
