Was sind Pass-the-Hash (PtH) und Pass-the-Ticket (PtT)?

Pass-the-Hash (PTH) und Pass-the-Ticket (PTT) sind Angriffstechniken, die Authentifizierungsprotokolle ausnutzen. Dieser Leitfaden erklärt, wie die Angriffe funktionieren, welche Sicherheitsrisiken sie bergen und wie Sie ihnen vorbeugen.

Erfahren Sie, warum der Schutz von Anmeldedaten und die Überwachung verdächtiger Aktivitäten wichtig sind. Unternehmen müssen PTH- und PTT-Angriffe verstehen, um ihre Systeme zu schützen.

Unternehmen müssen strenge Zugriffskontrollen umsetzen, fortschrittliche Systeme zur Bedrohungserkennung und -überwachung einsetzen und ihre Sicherheitsprotokolle regelmäßig aktualisieren, um diese verdeckten Taktiken abzuwehren. So schützen sie ihre sensiblen Daten und die Integrität ihres Netzwerks besser vor den anhaltenden und sich weiterentwickelnden Bedrohungen durch PtH und PtT.

Der Unterschied zwischen Pass-the-Hash (PtH) und Pass-the-Ticket (PtT)

PtH und PtT sind bösartige Techniken, die in der Cybersecurity relevant sind. Sie unterscheiden sich in Ziel und Durchführung, weisen aber auch Gemeinsamkeiten auf. Beide Techniken kommen in folgenden Bereichen zum Einsatz:

• Laterale Bewegung – Beide Angriffe ermöglichen laterale Bewegungen innerhalb eines Netzwerks. Nach dem ersten Zugriff nutzen Angreifer gestohlene Anmeldedaten (Hashes oder Tickets), um sich seitlich zu bewegen und auf weitere Systeme oder Ressourcen zuzugreifen.
• Umgehung der Erkennung – PtH- und PtT-Angriffe bleiben oft unbemerkt, da Angreifer dafür häufig keine Klartextpasswörter benötigen. Das erschwert ihre Erkennung.

PtH und PtT unterscheiden sich in folgenden Punkten:

Der Unterschied zwischen Pass-the-Hash (PtH) und Pass-the-Ticket (PtT)
• Anmeldedaten – Bei PtH nutzen Angreifer gestohlene Passwort-Hashes zur Authentifizierung. Bei PtT missbrauchen sie Kerberos-Tickets, die für die Authentifizierung von Benutzern oder Diensten erstellt wurden.
• Anwendungsbereich – PtH-Angriffe haben einen breiteren Anwendungsbereich, da sie auch Plattformen und Systeme außerhalb von Windows-Domänen treffen können. PtT-Angriffe betreffen vor allem Windows-Domänenumgebungen.

PtH und PtT sind gefährliche Taktiken für laterale Bewegungen und die Ausweitung von Berechtigungen bei Cyberangriffen. Beide zielen darauf ab, die Authentifizierung zu kompromittieren. Bei PtH stehlen Angreifer Passwort-Hashes, während sie bei PtT Authentifizierungstickets in Windows-Domänen missbrauchen. Wer die Unterschiede und Gemeinsamkeiten versteht, kann sich wirksam verteidigen und gezielt auf Sicherheitsvorfälle reagieren.

Pass-the-Hash (PtH) und Pass-the-Ticket (PtT) im Überblick

PtH- und PtT-Angriffe rückten bereits in den 1990er-Jahren in den Fokus. Damals erkannten Cyberkriminelle und Sicherheitsforscher grundlegende Schwächen im Umgang von Windows-Betriebssystemen mit Anmeldedaten. PtH entstand als Technik, um Passwort-Hashes aus kompromittierten Systemen auszulesen. Angreifer konnten diese Hashes anschließend zur Authentifizierung an anderen Systemen wiederverwenden, ohne Klartextpasswörter zu benötigen.

PtT zielt dagegen hauptsächlich auf Windows-Umgebungen ab, die das Kerberos-Authentifizierungsprotokoll verwenden. Dabei stehlen und missbrauchen Angreifer Authentifizierungstickets, die bei der Anmeldung von Benutzern oder Diensten erstellt werden. Sie nutzen Schwachstellen im Kerberos-Ticketsystem aus, um sich als legitime Benutzer oder Dienste auszugeben und unbefugt auf Systeme und Ressourcen zuzugreifen.

Authentifizierungsangriffen – Sowohl PtH als auch PtT sind authentifizierungsbasierte Angriffe, die auf die Mechanismen abzielen, mit denen die Identität von Benutzern oder Systemen in einem Netzwerk überprüft wird.

Laterale Bewegung – Beide Angriffe ermöglichen laterale Bewegungen innerhalb eines Netzwerks. Sobald der erste Zugriff gelungen ist, nutzen Angreifer gestohlene Anmeldedaten (Hashes oder Tickets), um sich lateral zu bewegen und auf andere Systeme oder Ressourcen zuzugreifen.

Umgehung der Erkennung – PtH- und PtT-Angriffe sind von Natur aus heimlich, da sie oft ohne die Notwendigkeit von Klartext-Passwörtern auskommen und daher schwerer zu erkennen sind.

PtH- und PtT-Angriffe sind auch in der heutigen Cybersecurity-Landschaft ernst zu nehmende Bedrohungen. Angreifer haben diese Techniken weiterentwickelt und setzen sie in Advanced Persistent Threat (APT)-Kampagnen und Ransomware-Angriffen ein. Für den ersten Zugriff nutzen sie häufig Schwachstellen in der Netzwerksicherheit oder Social Engineering. Innerhalb des Netzwerks setzen sie PtH und PtT für laterale Bewegungen, die Ausweitung von Berechtigungen und die Exfiltration von Daten ein.

PtH- und PtT-Angriffe sind besonders gefährlich, weil Angreifer mit Passwort-Hashes und Authentifizierungstickets herkömmliche Sicherheitsmaßnahmen umgehen und unentdeckt bleiben können. Die Abwehr erfordert mehrere Maßnahmen: strenge Passwortrichtlinien, regelmäßige Sicherheitsupdates, wirksame Zugriffskontrollen und fortschrittliche Systeme zur Bedrohungserkennung.

So funktionieren Pass-the-Hash (PtH) und Pass-the-Ticket (PtT)

PtH und PtT sind ausgefeilte Angriffstaktiken, die insbesondere in Windows-Umgebungen unbefugten Zugriff und die Ausweitung von Berechtigungen ermöglichen. Ursprünglich wurden sie als verdeckte Methoden zur Kompromittierung der Windows-Authentifizierung entwickelt. Seitdem haben sie sich zu anhaltenden Cybersecurity-Bedrohungen weiterentwickelt.

Ziele – PtH konzentriert sich in erster Linie auf den Diebstahl von Hash-Passwörtern aus kompromittierten Systemen, während PtT sich auf den Diebstahl und Missbrauch von Authentifizierungstickets in Windows-Domänenumgebungen konzentriert.

Anmeldedaten – Bei PtH verwenden Angreifer gestohlene Passwort-Hashes zur Authentifizierung, während sie bei PtT Kerberos-Tickets missbrauchen, die für die Benutzer- oder Dienstauthentifizierung generiert wurden.

Umfang – PtH-Angriffe haben einen größeren Umfang, da sie über Windows-Domänen hinaus auf verschiedene Plattformen und Systeme abzielen können. PtT-Angriffe sind spezifischer auf Windows-Domänenumgebungen ausgerichtet.

Mit PtH- und PtT-Angriffen verschaffen sich Angreifer unbefugten Zugriff auf Systeme und Ressourcen innerhalb eines Netzwerks. Aufgrund seiner grundlegenden Schwachstellen ist NTLM (NT LAN Manager) häufig ein Angriffsziel. So funktionieren die Techniken im Detail:

Pass-the-Hash (PtH)

• Erfassung von Hashes – Angreifer nutzen verschiedene Tools und Techniken, um gehashte Passwortdaten aus dem Systemspeicher auszulesen. Ein häufig verwendetes Tool ist Mimikatz, das Zugangsdaten von Windows-Systemen auslesen kann.
• Verwendung des Hashes – Mit dem erbeuteten Passwort-Hash muss der Angreifer das Klartextpasswort nicht kennen. Stattdessen verwendet er den Hash direkt für Authentifizierungsversuche.
• Der Angreifer sendet den gestohlenen Hash an ein Zielsystem, auf das er zugreifen möchte, und gibt sich als berechtigter Benutzer aus. Das Zielsystem hasht dann das vom Angreifer bereitgestellte Passwort und vergleicht es zur Authentifizierung mit dem gespeicherten Hash.
• Zugriff erlangt – Stimmen die Hashes überein, erhält der Angreifer unbefugten Zugriff auf das Zielsystem oder die Ressource, ohne das Klartextpasswort des Opfers zu benötigen.
• Angreifer nutzen diesen Zugriff häufig, um sich lateral im Netzwerk zu bewegen, ihre Berechtigungen auszuweiten und auf sensible Daten zuzugreifen.

Pass-the-Ticket (PtT)

• Erstellung des ersten Tickets – Wenn sich ein Benutzer bei einem Windows-System anmeldet, erzeugt der Kerberos-Authentifizierungsprozess ein Ticket Granting Ticket (TGT) für ihn. Es wird mit einem langfristigen Geheimnis verschlüsselt, in der Regel dem Passwort-Hash des Benutzers, das nur der Benutzer und das Key Distribution Center (KDC) kennen.
• Extraktion des Tickets – Bei einem PtT-Angriff versucht der Angreifer, dieses TGT aus dem Speicher eines kompromittierten Systems auszulesen, auf das er bereits Zugriff erlangt hat.
• Der Angreifer nutzt Tools wie Mimikatz, um TGTs aus dem Speicher auszulesen.
• Verwendung des Tickets – Mit dem gestohlenen TGT kann sich der Angreifer als der zugehörige berechtigte Benutzer ausgeben. Wenn er Servicetickets für bestimmte Ressourcen anfordert, legt er dem KDC das TGT vor.
• Anforderung von Servicetickets – Das KDC vertraut dem TGT und stellt Servicetickets für die vom Angreifer angeforderten Ressourcen aus. Diese Servicetickets werden mit einem aus dem TGT abgeleiteten Sitzungsschlüssel verschlüsselt.
• Zugriff auf Ressourcen – Mit gültigen Servicetickets kann der Angreifer wie ein berechtigter Benutzer auf Netzwerkressourcen und Systeme zugreifen. So kann er sich lateral im Netzwerk bewegen und möglicherweise weitere Systeme kompromittieren.

PtH- und PtT-Angriffe sind besonders problematisch, weil Angreifer das Klartextpasswort des Opfers nicht kennen müssen. Um diese Angriffe abzuwehren, sind mehrere Maßnahmen nötig: strenge Passwortrichtlinien, regelmäßige Sicherheitsupdates, wirksame Zugriffskontrollen und fortschrittliche Systeme zur Bedrohungserkennung. Darüber hinaus sollten Unternehmen auf Anzeichen für den Diebstahl von Zugangsdaten und ungewöhnliche Authentifizierungsaktivitäten achten, um PtH- und PtT-Angriffe frühzeitig zu erkennen und darauf zu reagieren.

Um sich vor den Risiken von PtH- und PtT-Angriffen zu schützen, setzen Unternehmen mehrere Maßnahmen um:

PtT hingegen zielt in erster Linie auf Windows-Umgebungen ab, die das Kerberos-Authentifizierungsprotokoll verwenden. Dabei werden Authentifizierungstickets gestohlen und missbraucht, die während der Benutzer- oder Dienstauthentifizierung generiert werden. Angreifer nutzen Schwachstellen im Kerberos-Ticketingsystem aus, um sich als legitime Benutzer oder Dienste auszugeben und sich unbefugten Zugriff auf Systeme und Ressourcen zu verschaffen.
• Zugriff nach dem Prinzip der geringsten Berechtigung – Die Beschränkung von Zugriffsrechten und Berechtigungen der Benutzer begrenzt den Schaden durch kompromittierte Zugangsdaten.
• Privileged Access Management (PAM) – PAM-Produkte verwalten, überwachen und schützen privilegierte Konten und Zugriffsrechte.
• Netzwerksegmentierung – Die Trennung kritischer von weniger kritischen Systemen kann die laterale Bewegung innerhalb eines Netzwerks begrenzen.
• Regelmäßiger Wechsel von Anmeldedaten – Richtlinien, die regelmäßige Passwortänderungen vorschreiben, verkürzen das Zeitfenster für PtH- und PtT-Angriffe.
• Schulungen zum Sicherheitsbewusstsein – Mitarbeitende müssen über die Risiken von PtH- und PtT-Angriffen und die Bedeutung einer sicheren Passworthygiene informiert sein.
• Systeme zur Angriffserkennung – Fortschrittliche Systeme zur Angriffserkennung können PtH- und PtT-Versuche erkennen und blockieren.

Fazit

Pass-the-Hash (PtH) und Pass-the-Ticket (PtT) sind anhaltende Bedrohungen in der heutigen digitalen Welt. Diese Techniken zielen häufig auf Authentifizierungsprotokolle wie NTLM und Kerberos ab. Sie verdeutlichen, wie sich Cyberangriffe weiterentwickeln und warum ständige Wachsamkeit nötig ist.Advanced Persistent Threat (APT)-Kampagnen und Ransomware-Angriffe, bei denen häufig Schwachstellen in der Netzwerksicherheit ausgenutzt oder Social-Engineering-Taktiken eingesetzt werden, um sich zunächst Zugang zu verschaffen. Sobald sie sich in einem Netzwerk befinden, nutzen sie PtH- und PtT-Angriffe für laterale Bewegungen, die Ausweitung von Berechtigungen und die Exfiltration von Daten.

PtH und PtT nutzen Schwachstellen in Authentifizierungsmechanismen aus. So können Angreifer unbemerkt in Netzwerke eindringen, sich lateral bewegen, Berechtigungen ausweiten und unbefugt auf sensible Systeme und Daten zugreifen. Die Folgen können schwerwiegend sein: von Datenpannen und finanziellen Verlusten bis hin zu Reputationsschäden.

PtH- und PtT-Angriffe zeigen deutlich, dass sich die Bedrohungslage in der Cybersecurity ständig verändert. Um sich davor zu schützen, müssen Einzelpersonen und Unternehmen wachsam bleiben, proaktive Sicherheitsmaßnahmen ergreifen und mit Cybersecurity-Experten zusammenarbeiten. PtH- und PtT-Angriffen einen Schritt voraus zu sein, ist nicht nur wichtig; es ist entscheidend, um die digitale Welt vor hartnäckigen Gegnern zu schützen.

So funktionieren Pass-the-Hash (PtH) und Pass-the-Ticket (PtT)

PtH und PtT sind ausgeklügelte und böswillige Taktiken, die in der Cybersicherheit, insbesondere in Windows-Umgebungen, eingesetzt werden, um unbefugten Zugriff und die Ausweitung von Berechtigungen zu ermöglichen. Diese Techniken wurden ursprünglich als verdeckte Methoden entwickelt, um Windows-Authentifizierungssysteme zu kompromittieren, und haben sich seitdem zu einer dauerhaften Bedrohung in der Cybersicherheitslandschaft entwickelt.

PtH- und PtT-Angriffe sind Techniken, mit denen Angreifer unbefugten Zugriff auf Systeme und Ressourcen innerhalb eines Netzwerks erlangen. NTLM (NT LAN Manager) ist aufgrund seiner inhärenten Schwachstellen häufig das Ziel dieser Angriffe. Hier finden Sie eine detaillierte technische Erklärung, wie diese Techniken funktionieren:

Pass-the-Hash (PtH)

• Anfänglicher Diebstahl von Anmeldedaten – PtH-Angriffe beginnen in der Regel damit, dass sich der Angreifer zunächst Zugang zu einem Windows-System verschafft, häufig durch Methoden wie Phishing, einer Infektion mit Malware oder der Ausnutzung von Software-Schwachstellen. Sobald der Angreifer in das System eingedrungen ist, besteht sein Ziel darin, lokal auf dem System gespeicherte Hash-Passwortdaten zu stehlen. Windows speichert gehashte Darstellungen von Passwörtern im Speicher, um die Authentifizierung zu erleichtern, ohne das Klartext-Passwort preiszugeben.
• Hash-Erfassung – Angreifer verwenden verschiedene Tools und Techniken, um die Hash-Passwortdaten aus dem Speicher des Systems zu extrahieren. Ein häufig verwendetes Tool ist Mimikatz, mit dem Anmeldedaten aus Windows-Systemen abgerufen werden können.
• Verwendung von Hash-Werten – Mit dem erfassten Passwort-Hash-Wert muss der Angreifer das tatsächliche Klartext-Passwort nicht kennen. Stattdessen verwendet er diesen Hash direkt für Authentifizierungsversuche.
• Der Angreifer sendet den gestohlenen Hash an ein Zielsystem, auf das er zugreifen möchte, und gibt sich dabei als legitimer Benutzer aus. Das Zielsystem hasht dann das vom Angreifer bereitgestellte Passwort und vergleicht es zur Authentifizierung mit dem gespeicherten Hash.
• Zugriff erhalten – Wenn die Hashes übereinstimmen, erhält der Angreifer unbefugten Zugriff auf das Zielsystem oder die Zielressource und umgeht damit effektiv die Notwendigkeit des Klartext-Passworts des Opfers.
• Angreifer nutzen diesen Zugriff häufig, um sich innerhalb des Netzwerks seitlich zu bewegen, ihre Berechtigungen zu erweitern und auf sensible Daten zuzugreifen.

Pass-the-Ticket (PtT)

• Kerberos-Authentifizierung – PtT-Angriffe zielen in erster Linie auf Windows-Umgebungen ab, die das Kerberos-Authentifizierungsprotokoll verwenden. Kerberos wird häufig in Active Directory (AD)-Umgebungen für Single Sign-On und sichere Authentifizierung verwendet.
• Erstellung des ersten Tickets – Wenn sich ein Benutzer bei einem Windows-System anmeldet, generiert der Kerberos-Authentifizierungsprozess ein Ticket Granting Ticket (TGT) für den Benutzer, das mit einem langfristigen Geheimnis (in der Regel dem Passwort-Hash des Benutzers) verschlüsselt ist, das nur dem Benutzer und dem Key Distribution Center (KDC) bekannt ist.
• Ticket-Extraktion – Bei einem PtT-Angriff versucht der Angreifer, dieses TGT aus dem Speicher eines kompromittierten Systems zu extrahieren, auf das er sich zunächst Zugriff verschafft hat.
• Der Angreifer verwendet Tools wie Mimikatz, um TGTs aus dem Speicher zu extrahieren.
• Ticketnutzung – Mit dem gestohlenen TGT kann sich der Angreifer als der legitime Benutzer ausgeben, der mit dem TGT verbunden ist. Der Angreifer legt das TGT dem KDC vor, wenn er Service-Tickets für bestimmte Ressourcen anfordert.
• Service-Ticket-Anforderung – Das KDC, das dem TGT vertraut, stellt Diensttickets für die vom Angreifer angeforderten Ressourcen aus. Diese Diensttickets werden mit einem aus dem TGT abgeleiteten Sitzungsschlüssel verschlüsselt.
• Zugriff auf Ressourcen – Mit gültigen Diensttickets kann der Angreifer auf Netzwerkressourcen und -systeme zugreifen, als wäre er der legitime Benutzer. Dadurch kann er sich innerhalb des Netzwerks seitlich bewegen und möglicherweise weitere Systeme kompromittieren.

Sowohl PtH- als auch PtT-Angriffe sind besonders besorgniserregend, da sie es Angreifern ermöglichen, zu agieren, ohne das Klartext-Passwort des Opfers zu kennen. Um diese Angriffe abzuwehren, ist ein mehrgleisiger Ansatz erforderlich, der strenge Passwortrichtlinien, regelmäßige Sicherheitsupdates, robuste Zugriffskontrollen und fortschrittliche Bedrohungserkennung . Darüber hinaus sollten Unternehmen auf Anzeichen von Passwortdiebstahl und ungewöhnlichen Authentifizierungsaktivitäten achten, um PtH- und PtT-Angriffe frühzeitig zu erkennen und darauf zu reagieren.

Um sich gegen die mit PtH- und PtT-Angriffen verbundenen Risiken zu schützen, ergreifen Unternehmen verschiedene Maßnahmen:

• Starke Authentifizierung – Einsatz von Multi-Faktor-Authentifizierung (MFA) und Zwei-Faktor-Authentifizierung (2FA) sorgt für eine zusätzliche Sicherheitsebene, die über Passwörter hinausgeht.
• Zugriff mit geringsten Rechten – Die Einschränkung der hilft, den Schaden zu begrenzen, der durch kompromittierte Anmeldedaten verursacht werden kann.
• Privileged Access Management (PAM) – PAM-Lösungen helfen bei der Verwaltung, Überwachung und Sicherung privilegierter Konten und Zugriffe.
• Netzwerksegmentierung – Durch die Isolierung kritischer Systeme von weniger kritischen Systemen kann die laterale Bewegung innerhalb eines Netzwerks eingeschränkt werden.
• Regelmäßige Rotation von Anmeldedaten – Die Implementierung von Richtlinien, die regelmäßige Passwortänderungen vorschreiben, trägt dazu bei, das Zeitfenster für PtH- und PtT-Angriffe zu verkleinern.
• Schulungen zum Sicherheitsbewusstsein – Es ist unerlässlich, Mitarbeiter über die Risiken von PtH- und PtT-Angriffen und die Bedeutung einer guten Passwort-Hygiene aufzuklären.
• Intrusion Detection Systeme – Der Einsatz fortschrittlicher Intrusion Detection Systeme kann dabei helfen, PtH- und PtT-Versuche zu erkennen und zu blockieren.

Fazit

Pass-the-Hash- (PtH) und Pass-the-Ticket- (PtT) Angriffe stellen in der heutigen digitalen Welt eine ständige Bedrohung dar. Diese Techniken, die häufig auf Authentifizierungsprotokolle wie NTLM und Kerberos abzielen, verdeutlichen die sich ständig weiterentwickelnde Natur von Cyberangriffen und die Notwendigkeit ständiger Wachsamkeit.

PtH und PtT nutzen Schwachstellen in Authentifizierungsmechanismen aus und ermöglichen es Angreifern, heimlich in Netzwerke einzudringen, sich lateral zu bewegen, Berechtigungen zu erweitern und sich unbefugten Zugriff auf sensible Systeme und Daten zu verschaffen. Die Folgen können sehr schwerwiegend sein und reichen von Datenverstößen und finanziellen Verlusten bis hin zu Reputationsschäden.

PtH- und PtT-Angriffe machen deutlich, dass die Cybersicherheitslandschaft ein sich ständig veränderndes Schlachtfeld ist. Um sich vor diesen Bedrohungen zu schützen, müssen Einzelpersonen und Organisationen wachsam bleiben, proaktive Sicherheitsmaßnahmen ergreifen und mit Cybersicherheitsexperten zusammenarbeiten. PtH- und PtT-Angriffen einen Schritt voraus zu sein, ist nicht nur wichtig, sondern der Schlüssel zum Schutz der digitalen Welt angesichts unerbittlicher Gegner.