Was sind Pass-the-Hash (PtH) und Pass-the-Ticket (PtT)?

Pass-the-Hash- und Pass-the-Ticket-Angriffe nutzen Authentifizierungsprotokolle aus. Erfahren Sie, wie Sie sich gegen diese ausgeklügelten Techniken schützen können.

Pass-the-Hash- (PTH) und Pass-the-Ticket- (PTT) Angriffe sind Techniken, mit denen Authentifizierungsprotokolle ausgenutzt werden. In diesem Leitfaden werden die Funktionsweise dieser Angriffe, ihre Auswirkungen auf die Sicherheit und Strategien zu ihrer Abwehr erläutert.

Erfahren Sie mehr über die Bedeutung der Sicherung von Anmeldedaten und der Überwachung verdächtiger Aktivitäten. Das Verständnis von PTH- und PTT-Angriffen ist für Unternehmen zum Schutz ihrer Systeme unerlässlich.

Unternehmen müssen strenge Zugriffskontrollen implementieren, fortschrittliche Tools zur Erkennung und Überwachung von Bedrohungen einsetzen und Sicherheitsprotokolle regelmäßig aktualisieren, um diese verdeckten Taktiken zu vereiteln. Auf diese Weise können sie sich besser gegen die anhaltenden und sich ständig weiterentwickelnden Bedrohungen durch PtH und PtT verteidigen und ihre sensiblen Daten und die Integrität ihres Netzwerks schützen.

Der Unterschied zwischen Pass-the-Hash (PtH) und Pass-the-Ticket (PtT)

PtH und PtT sind beides bösartige Techniken, die in der Cybersicherheit eingesetzt werden, sich jedoch in ihrem Schwerpunkt und ihrer Ausführung unterscheiden, während sie gemeinsame Merkmale aufweisen. Sowohl PtH als auch PtT werden eingesetzt in:

• Authentifizierungsangriffen – Sowohl PtH als auch PtT sind authentifizierungsbasierte Angriffe, die auf die Mechanismen abzielen, mit denen die Identität von Benutzern oder Systemen in einem Netzwerk überprüft wird.
• Laterale Bewegung – Beide Angriffe ermöglichen laterale Bewegungen innerhalb eines Netzwerks. Sobald der erste Zugriff gelungen ist, nutzen Angreifer gestohlene Anmeldedaten (Hashes oder Tickets), um sich lateral zu bewegen und auf andere Systeme oder Ressourcen zuzugreifen.
• Umgehung der Erkennung – PtH- und PtT-Angriffe sind von Natur aus heimlich, da sie oft ohne die Notwendigkeit von Klartext-Passwörtern auskommen und daher schwerer zu erkennen sind.

PtH und PtT unterscheiden sich in folgenden wesentlichen Punkten:

• Ziele – PtH konzentriert sich in erster Linie auf den Diebstahl von Hash-Passwörtern aus kompromittierten Systemen, während PtT sich auf den Diebstahl und Missbrauch von Authentifizierungstickets in Windows-Domänenumgebungen konzentriert.
• Anmeldedaten – Bei PtH verwenden Angreifer gestohlene Passwort-Hashes zur Authentifizierung, während sie bei PtT Kerberos-Tickets missbrauchen, die für die Benutzer- oder Dienstauthentifizierung generiert wurden.
• Umfang – PtH-Angriffe haben einen größeren Umfang, da sie über Windows-Domänen hinaus auf verschiedene Plattformen und Systeme abzielen können. PtT-Angriffe sind spezifischer auf Windows-Domänenumgebungen ausgerichtet.

Sowohl PtH als auch PtT sind gefährliche Taktiken für laterale Bewegungen und Privilegieneskalationen bei Cyberangriffen. Während sie das gemeinsame Ziel haben, die Authentifizierung zu kompromittieren, beinhaltet PtH den Diebstahl von Passwort-Hashes, während PtT sich auf den Missbrauch von Authentifizierungstickets innerhalb von Windows-Domänen konzentriert. Das Verständnis der Unterschiede und Gemeinsamkeiten zwischen diesen Techniken ist für eine effektive Cybersicherheitsabwehr und Incident Response unerlässlich.

Ein kurzer Überblick über Pass-the-Hash (PtH) und Pass-the-Ticket (PtT)

PtH- und PtT-Angriffe erregten erstmals in den 1990er Jahren Aufmerksamkeit, als Cyberkriminelle und Sicherheitsforscher begannen, die inhärenten Schwächen der Art und Weise zu erkennen, wie Windows-Betriebssysteme mit Authentifizierungsdaten umgehen. PtH entstand als Technik zum Extrahieren von Hash-Passwortdaten aus kompromittierten Systemen. Angreifer konnten diese Hash-Werte dann wiederverwenden, um sich auf anderen Systemen zu authentifizieren, wodurch sie die Notwendigkeit von Klartext-Passwörtern effektiv umgingen.

PtT hingegen zielt in erster Linie auf Windows-Umgebungen ab, die das Kerberos-Authentifizierungsprotokoll verwenden. Dabei werden Authentifizierungstickets gestohlen und missbraucht, die während der Benutzer- oder Dienstauthentifizierung generiert werden. Angreifer nutzen Schwachstellen im Kerberos-Ticketingsystem aus, um sich als legitime Benutzer oder Dienste auszugeben und sich unbefugten Zugriff auf Systeme und Ressourcen zu verschaffen.

In der heutigen Cybersicherheitslandschaft stellen PtH- und PtT-Angriffe nach wie vor eine große Bedrohung dar. Angreifer haben diese Techniken verfeinert und in Advanced Persistent Threat (APT)-Kampagnen und Ransomware-Angriffe, bei denen häufig Schwachstellen in der Netzwerksicherheit ausgenutzt oder Social-Engineering-Taktiken eingesetzt werden, um sich zunächst Zugang zu verschaffen. Sobald sie sich in einem Netzwerk befinden, nutzen sie PtH- und PtT-Angriffe für laterale Bewegungen, die Ausweitung von Berechtigungen und die Exfiltration von Daten.

Die Bedeutung von PtH- und PtT-Angriffen wird durch ihre Fähigkeit unterstrichen, traditionelle Sicherheitsmaßnahmen zu umgehen und der Erkennung zu entgehen, indem sie gehashte Anmeldedaten und Authentifizierungstickets nutzen. Die Abwehr dieser Angriffe erfordert einen mehrgleisigen Ansatz, einschließlich strenger Passwortrichtlinien, regelmäßiger Sicherheitsupdates, robuste Zugriffskontrollen und fortschrittliche Systeme zur Erkennung von Bedrohungen.

So funktionieren Pass-the-Hash (PtH) und Pass-the-Ticket (PtT)

PtH und PtT sind ausgeklügelte und böswillige Taktiken, die in der Cybersicherheit, insbesondere in Windows-Umgebungen, eingesetzt werden, um unbefugten Zugriff und die Ausweitung von Berechtigungen zu ermöglichen. Diese Techniken wurden ursprünglich als verdeckte Methoden entwickelt, um Windows-Authentifizierungssysteme zu kompromittieren, und haben sich seitdem zu einer dauerhaften Bedrohung in der Cybersicherheitslandschaft entwickelt.

PtH- und PtT-Angriffe sind Techniken, mit denen Angreifer unbefugten Zugriff auf Systeme und Ressourcen innerhalb eines Netzwerks erlangen. NTLM (NT LAN Manager) ist aufgrund seiner inhärenten Schwachstellen häufig das Ziel dieser Angriffe. Hier finden Sie eine detaillierte technische Erklärung, wie diese Techniken funktionieren:

Pass-the-Hash (PtH)

• Anfänglicher Diebstahl von Anmeldedaten – PtH-Angriffe beginnen in der Regel damit, dass sich der Angreifer zunächst Zugang zu einem Windows-System verschafft, häufig durch Methoden wie Phishing, einer Infektion mit Malware oder der Ausnutzung von Software-Schwachstellen. Sobald der Angreifer in das System eingedrungen ist, besteht sein Ziel darin, lokal auf dem System gespeicherte Hash-Passwortdaten zu stehlen. Windows speichert gehashte Darstellungen von Passwörtern im Speicher, um die Authentifizierung zu erleichtern, ohne das Klartext-Passwort preiszugeben.
• Hash-Erfassung – Angreifer verwenden verschiedene Tools und Techniken, um die Hash-Passwortdaten aus dem Speicher des Systems zu extrahieren. Ein häufig verwendetes Tool ist Mimikatz, mit dem Anmeldedaten aus Windows-Systemen abgerufen werden können.
• Verwendung von Hash-Werten – Mit dem erfassten Passwort-Hash-Wert muss der Angreifer das tatsächliche Klartext-Passwort nicht kennen. Stattdessen verwendet er diesen Hash direkt für Authentifizierungsversuche.
• Der Angreifer sendet den gestohlenen Hash an ein Zielsystem, auf das er zugreifen möchte, und gibt sich dabei als legitimer Benutzer aus. Das Zielsystem hasht dann das vom Angreifer bereitgestellte Passwort und vergleicht es zur Authentifizierung mit dem gespeicherten Hash.
• Zugriff erhalten – Wenn die Hashes übereinstimmen, erhält der Angreifer unbefugten Zugriff auf das Zielsystem oder die Zielressource und umgeht damit effektiv die Notwendigkeit des Klartext-Passworts des Opfers.
• Angreifer nutzen diesen Zugriff häufig, um sich innerhalb des Netzwerks seitlich zu bewegen, ihre Berechtigungen zu erweitern und auf sensible Daten zuzugreifen.

Pass-the-Ticket (PtT)

• Kerberos-Authentifizierung – PtT-Angriffe zielen in erster Linie auf Windows-Umgebungen ab, die das Kerberos-Authentifizierungsprotokoll verwenden. Kerberos wird häufig in Active Directory (AD)-Umgebungen für Single Sign-On und sichere Authentifizierung verwendet.
• Erstellung des ersten Tickets – Wenn sich ein Benutzer bei einem Windows-System anmeldet, generiert der Kerberos-Authentifizierungsprozess ein Ticket Granting Ticket (TGT) für den Benutzer, das mit einem langfristigen Geheimnis (in der Regel dem Passwort-Hash des Benutzers) verschlüsselt ist, das nur dem Benutzer und dem Key Distribution Center (KDC) bekannt ist.
• Ticket-Extraktion – Bei einem PtT-Angriff versucht der Angreifer, dieses TGT aus dem Speicher eines kompromittierten Systems zu extrahieren, auf das er sich zunächst Zugriff verschafft hat.
• Der Angreifer verwendet Tools wie Mimikatz, um TGTs aus dem Speicher zu extrahieren.
• Ticketnutzung – Mit dem gestohlenen TGT kann sich der Angreifer als der legitime Benutzer ausgeben, der mit dem TGT verbunden ist. Der Angreifer legt das TGT dem KDC vor, wenn er Service-Tickets für bestimmte Ressourcen anfordert.
• Service-Ticket-Anforderung – Das KDC, das dem TGT vertraut, stellt Diensttickets für die vom Angreifer angeforderten Ressourcen aus. Diese Diensttickets werden mit einem aus dem TGT abgeleiteten Sitzungsschlüssel verschlüsselt.
• Zugriff auf Ressourcen – Mit gültigen Diensttickets kann der Angreifer auf Netzwerkressourcen und -systeme zugreifen, als wäre er der legitime Benutzer. Dadurch kann er sich innerhalb des Netzwerks seitlich bewegen und möglicherweise weitere Systeme kompromittieren.

Sowohl PtH- als auch PtT-Angriffe sind besonders besorgniserregend, da sie es Angreifern ermöglichen, zu agieren, ohne das Klartext-Passwort des Opfers zu kennen. Um diese Angriffe abzuwehren, ist ein mehrgleisiger Ansatz erforderlich, der strenge Passwortrichtlinien, regelmäßige Sicherheitsupdates, robuste Zugriffskontrollen und fortschrittliche Bedrohungserkennung . Darüber hinaus sollten Unternehmen auf Anzeichen von Passwortdiebstahl und ungewöhnlichen Authentifizierungsaktivitäten achten, um PtH- und PtT-Angriffe frühzeitig zu erkennen und darauf zu reagieren.

Um sich gegen die mit PtH- und PtT-Angriffen verbundenen Risiken zu schützen, ergreifen Unternehmen verschiedene Maßnahmen:

• Starke Authentifizierung – Einsatz von Multi-Faktor-Authentifizierung (MFA) und Zwei-Faktor-Authentifizierung (2FA) sorgt für eine zusätzliche Sicherheitsebene, die über Passwörter hinausgeht.
• Zugriff mit geringsten Rechten – Die Einschränkung der hilft, den Schaden zu begrenzen, der durch kompromittierte Anmeldedaten verursacht werden kann.
• Privileged Access Management (PAM) – PAM-Lösungen helfen bei der Verwaltung, Überwachung und Sicherung privilegierter Konten und Zugriffe.
• Netzwerksegmentierung – Durch die Isolierung kritischer Systeme von weniger kritischen Systemen kann die laterale Bewegung innerhalb eines Netzwerks eingeschränkt werden.
• Regelmäßige Rotation von Anmeldedaten – Die Implementierung von Richtlinien, die regelmäßige Passwortänderungen vorschreiben, trägt dazu bei, das Zeitfenster für PtH- und PtT-Angriffe zu verkleinern.
• Schulungen zum Sicherheitsbewusstsein – Es ist unerlässlich, Mitarbeiter über die Risiken von PtH- und PtT-Angriffen und die Bedeutung einer guten Passwort-Hygiene aufzuklären.
• Intrusion Detection Systeme – Der Einsatz fortschrittlicher Intrusion Detection Systeme kann dabei helfen, PtH- und PtT-Versuche zu erkennen und zu blockieren.

Fazit

Pass-the-Hash- (PtH) und Pass-the-Ticket- (PtT) Angriffe stellen in der heutigen digitalen Welt eine ständige Bedrohung dar. Diese Techniken, die häufig auf Authentifizierungsprotokolle wie NTLM und Kerberos abzielen, verdeutlichen die sich ständig weiterentwickelnde Natur von Cyberangriffen und die Notwendigkeit ständiger Wachsamkeit.

PtH und PtT nutzen Schwachstellen in Authentifizierungsmechanismen aus und ermöglichen es Angreifern, heimlich in Netzwerke einzudringen, sich lateral zu bewegen, Berechtigungen zu erweitern und sich unbefugten Zugriff auf sensible Systeme und Daten zu verschaffen. Die Folgen können sehr schwerwiegend sein und reichen von Datenverstößen und finanziellen Verlusten bis hin zu Reputationsschäden.

PtH- und PtT-Angriffe machen deutlich, dass die Cybersicherheitslandschaft ein sich ständig veränderndes Schlachtfeld ist. Um sich vor diesen Bedrohungen zu schützen, müssen Einzelpersonen und Organisationen wachsam bleiben, proaktive Sicherheitsmaßnahmen ergreifen und mit Cybersicherheitsexperten zusammenarbeiten. PtH- und PtT-Angriffen einen Schritt voraus zu sein, ist nicht nur wichtig, sondern der Schlüssel zum Schutz der digitalen Welt angesichts unerbittlicher Gegner.

Pass The Hash vs. Pass The Ticket – Häufig gestellte Fragen

Was ist ein Pass-The-Hash-Angriff (PtH)?

Bei einem Pass-the-Hash-Angriff stiehlt ein Angreifer gehashte Benutzeranmeldedaten und verwendet diese zur Authentifizierung, ohne das eigentliche Passwort zu benötigen. Er extrahiert Passwort-Hashes mit Tools wie Mimikatz aus dem Systemspeicher und verwendet sie auf anderen Systemen wieder. Dieser Angriff nutzt Windows-Authentifizierungsprotokolle wie NTLM aus und funktioniert, weil der Hash bis zur Änderung des Passworts statisch bleibt.

Was ist ein Pass-The-Ticket-Angriff (PtT)?

Bei einem Pass-the-Ticket-Angriff werden Kerberos-Tickets, insbesondere Ticket Granting Tickets (TGT) oder Service-Tickets, gestohlen, um sich als legitime Benutzer auszugeben. Angreifer extrahieren diese Tickets aus dem Speicher und fügen sie in ihre eigenen Sitzungen ein, um auf Netzwerkressourcen zuzugreifen. Dadurch wird die normale Authentifizierung umgangen und eine laterale Bewegung ohne Passwörter ermöglicht.

Was ist der wesentliche Unterschied zwischen PtH und PtT?

Pass-the-Hash-Angriffe stehlen und verwenden NTLM-Passwort-Hashes wieder, während Pass-the-Ticket-Angriffe Kerberos-Tickets stehlen und wiederverwenden. PtH erfordert die Erfassung von Hash-Anmeldedaten aus kompromittierten Systemen, PtT hingegen verwendet stattdessen gültige Sitzungstickets.

PtT-Angriffe sind heimlicher, da sie legitime Kerberos-Tickets anstelle von Anmeldedaten-Hashes nutzen.

Wie funktionieren PtH und PtT?

Beide Angriffe beginnen mit einer anfänglichen Kompromittierung des Systems durch Phishing oder Malware. Anschließend verwenden Angreifer Tools wie Mimikatz, um Hash-Werte oder Tickets aus dem Speicher zu extrahieren. Sie leiten diese gestohlenen Anmeldedaten zur Authentifizierung an andere Systeme weiter, wodurch eine laterale Bewegung über Netzwerke hinweg ermöglicht wird. Die Angriffe nutzen zwischengespeicherte Anmeldedaten in Windows-SSO-Umgebungen aus.

Wer ist anfällig für Pass-the-Hash-Angriffe?

Organisationen, die die Windows-NTLM-Authentifizierung verwenden, sind am anfälligsten, insbesondere solche mit SSO-Implementierungen. Systeme ohne Multi-Faktor-Authentifizierung oder privilegierte Zugriffsverwaltung sind einem höheren Risiko ausgesetzt. Jede Windows-Umgebung, in der gehashte Anmeldedaten im Speicher abgelegt sind, kann zum Ziel werden. Remote-Mitarbeiter und Systeme mit Administratorrechten sind die Hauptziele.

Wie kann man einen Pass-the-Ticket-Angriff (PtT) erkennen und abwehren?

Scannen Sie Windows-Ereignisprotokolle auf ungewöhnliche Kerberos-Authentifizierungsmuster und mehrere Benutzer von einzelnen IP-Adressen. Verwenden Sie Sicherheitstools, um abnormale Ticketnutzung zu erkennen, und implementieren Sie Netzwerksegmentierung.

Setzen Sie Endpunkt-Erkennungsplattformen wie SentinelOne ein und überwachen Sie Tools wie Mimikatz. Aktivieren Sie eine umfassende Protokollierung von Authentifizierungsereignissen und implementieren Sie Verhaltensanalysen.

Wie können Unternehmen PtH- und PtT-Aktivitäten erkennen?

Überwachen Sie die Windows-Sicherheitsereignisprotokolle auf Anmeldetyp 3 mit ungewöhnlichen Authentifizierungsmustern. Achten Sie auf erfolgreiche Authentifizierungen ohne entsprechende Passwortänderungen oder unerwartete Netzwerk-Anmeldungen. Verwenden Sie SIEM-Lösungen, um Authentifizierungsereignisse zu korrelieren und laterale Bewegungen zu erkennen. Sie sollten auch Honey-Token und Täuschungstechniken einsetzen, um Angreifer zu fangen, die gestohlene Anmeldedaten verwenden.