Che cosa sono Pass-the-Hash (PtH) e Pass-the-Ticket (PtT)?

Gli attacchi Pass-the-Hash (PTH) e Pass-the-Ticket (PTT) sfruttano i protocolli di autenticazione. Questa guida spiega come funzionano, quali implicazioni hanno per la sicurezza e come prevenirli.

Scoprite perché è importante proteggere le credenziali e monitorare le attività sospette. Comprendere gli attacchi PTH e PTT è essenziale per proteggere i sistemi aziendali.

Le organizzazioni devono adottare controlli degli accessi rigorosi, usare strumenti avanzati per il rilevamento e il monitoraggio delle minacce e aggiornare regolarmente i protocolli di sicurezza per contrastare queste tattiche furtive. Così possono difendersi meglio dalle minacce persistenti e in evoluzione poste da PtH e PtT, proteggendo i dati sensibili e l'integrità della rete.

La differenza tra Pass-the-Hash (PtH) e Pass-the-Ticket (PtT)

PtH e PtT sono entrambe tecniche malevole usate negli attacchi informatici. Hanno caratteristiche comuni, ma differiscono per obiettivi e modalità di esecuzione. Entrambe sono usate per:

• Movimento laterale – Entrambi gli attacchi favoriscono il movimento laterale all'interno di una rete. Dopo aver ottenuto l'accesso iniziale, gli attaccanti usano credenziali rubate (hash o ticket) per spostarsi lateralmente e accedere ad altri sistemi o risorse.
• Elusione del rilevamento – Gli attacchi PtH e PtT sono difficili da individuare perché spesso non richiedono di ottenere password in chiaro.

PtH e PtT differiscono per i seguenti aspetti principali:

La differenza tra Pass-the-Hash (PtH) e Pass-the-Ticket (PtT)
• Credenziali – Con PtH, gli attaccanti usano hash delle password rubati per autenticarsi. Con PtT, sfruttano i ticket Kerberos generati per autenticare utenti o servizi.
• Ambito – Gli attacchi PtH hanno un ambito più ampio: possono colpire piattaforme e sistemi diversi dai domini Windows. Gli attacchi PtT riguardano più specificamente gli ambienti di dominio Windows.

PtH e PtT sono entrambe tattiche pericolose per il movimento laterale e l'escalation dei privilegi negli attacchi informatici. Entrambe mirano a compromettere l'autenticazione, ma PtH comporta il furto degli hash delle password, mentre PtT sfrutta i ticket di autenticazione nei domini Windows. Comprendere differenze e analogie tra queste tecniche è essenziale per una difesa efficace e per la risposta agli incidenti.

Breve panoramica di Pass-the-Hash (PtH) e Pass-the-Ticket (PtT)

Gli attacchi PtH e PtT hanno attirato l'attenzione già negli anni '90, quando criminali informatici e ricercatori di sicurezza hanno iniziato a riconoscere le debolezze nel modo in cui i sistemi operativi Windows gestiscono le credenziali di autenticazione. PtH è emerso come tecnica per estrarre gli hash delle password dai sistemi compromessi. Gli attaccanti potevano poi riutilizzare questi valori per autenticarsi su altri sistemi, senza aver bisogno delle password in chiaro.

PtT, invece, prende di mira principalmente gli ambienti Windows che usano il protocollo di autenticazione Kerberos. Comporta il furto e l'uso improprio dei ticket di autenticazione, generati quando un utente o un servizio si autentica. Gli attaccanti sfruttano le debolezze del sistema di ticket Kerberos per impersonare utenti o servizi legittimi e ottenere accesso non autorizzato a sistemi e risorse.

Attacchi di autenticazione – Sia PtH che PtT sono attacchi basati sull'autenticazione, che prendono di mira i meccanismi utilizzati per verificare l'identità degli utenti o dei sistemi in una rete.

Movimento laterale – Entrambi gli attacchi consentono il movimento laterale all'interno di una rete. Una volta ottenuto l'accesso iniziale, gli aggressori utilizzano le credenziali rubate (hash o ticket) per spostarsi lateralmente e accedere ad altri sistemi o risorse.

Evasione del rilevamento – Gli attacchi PtH e PtT sono di natura furtiva perché spesso evitano la necessità di ottenere password in chiaro, rendendoli più difficili da rilevare.

Nell'attuale panorama della cybersecurity, gli attacchi PtH e PtT restano minacce concrete. Gli attaccanti hanno perfezionato queste tecniche e le hanno integrate in campagne di minacce persistenti avanzate (APT) e in attacchi ransomware che spesso sfruttano vulnerabilità nella sicurezza della rete o tattiche di ingegneria sociale per ottenere l'accesso iniziale. Una volta nella rete, gli attaccanti usano PtH e PtT per il movimento laterale, l'escalation dei privilegi e l'esfiltrazione dei dati.

Gli attacchi PtH e PtT sono particolarmente insidiosi perché sfruttano hash delle credenziali e ticket di autenticazione per aggirare le misure di sicurezza tradizionali ed eludere il rilevamento. Difendersi richiede un approccio articolato: policy rigorose per le password, aggiornamenti di sicurezza regolari, controlli degli accessi efficaci e sistemi avanzati di rilevamento delle minacce.

Come funzionano Pass-the-Hash (PtH) e Pass-the-Ticket (PtT)

PtH e PtT sono tattiche malevole sofisticate, usate in particolare negli ambienti Windows per ottenere accesso non autorizzato ed elevare i privilegi. Nate come metodi furtivi per compromettere i sistemi di autenticazione Windows, si sono evolute in minacce persistenti nel panorama della cybersecurity.

Obiettivi – PtH si concentra principalmente sul furto di password con hash da sistemi compromessi, mentre PtT si concentra sul furto e sull'uso improprio dei ticket di autenticazione all'interno degli ambienti di dominio Windows.

Credenziali – Nel PtH, gli aggressori utilizzano gli hash delle password rubate per l'autenticazione, mentre nel PtT abusano dei ticket Kerberos generati per l'autenticazione degli utenti o dei servizi.

Ambito – Gli attacchi PtH hanno un ambito più ampio, in quanto possono prendere di mira varie piattaforme e sistemi oltre ai domini Windows. Gli attacchi PtT sono più specifici per gli ambienti di dominio Windows.

Gli attaccanti usano PtH e PtT per ottenere accesso non autorizzato a sistemi e risorse di una rete. NTLM (NT LAN Manager) è spesso un obiettivo di questi attacchi a causa delle sue vulnerabilità intrinseche. Ecco una spiegazione tecnica dettagliata del funzionamento di queste tecniche:

Pass-the-Hash (PtH)

• Acquisizione degli hash – Gli attaccanti usano diversi strumenti e tecniche per estrarre dalla memoria del sistema i dati delle password sotto forma di hash. Uno degli strumenti più utilizzati è Mimikatz, che può recuperare le credenziali dai sistemi Windows.
• Utilizzo dell'hash – Con l'hash della password acquisito, l'attaccante non deve conoscere la password originale in chiaro. Usa invece l'hash direttamente nei tentativi di autenticazione.
• L'attaccante invia l'hash rubato al sistema a cui vuole accedere, fingendosi un utente legittimo. Il sistema di destinazione calcola quindi l'hash della password fornita dall'attaccante e lo confronta con quello memorizzato per l'autenticazione.
• Accesso ottenuto – Se gli hash corrispondono, l'attaccante ottiene accesso non autorizzato al sistema o alla risorsa di destinazione, senza aver bisogno della password in chiaro della vittima.
• Gli attaccanti sfruttano spesso questo accesso per spostarsi lateralmente nella rete, aumentare i propri privilegi e accedere a dati sensibili.

Pass-the-Ticket (PtT)

• Creazione iniziale del ticket – Quando un utente accede a un sistema Windows, il processo di autenticazione Kerberos genera per lui un Ticket Granting Ticket (TGT), cifrato con un segreto a lungo termine (in genere l'hash della password dell'utente) noto solo all'utente e al Key Distribution Center (KDC).
• Estrazione del ticket – In un attacco PtT, l'attaccante cerca di acquisire questo TGT dalla memoria di un sistema compromesso a cui ha ottenuto l'accesso iniziale.
• L'attaccante usa strumenti come Mimikatz per estrarre i TGT dalla memoria.
• Utilizzo del ticket – Con il TGT rubato, l'attaccante può impersonare l'utente legittimo a cui è associato. Presenta il TGT al KDC quando richiede ticket di servizio per risorse specifiche.
• Richiesta di ticket di servizio – Il KDC, che considera attendibile il TGT, emette ticket di servizio per le risorse richieste dall'attaccante. Questi ticket sono cifrati con una chiave di sessione derivata dal TGT.
• Accesso alle risorse – Con ticket di servizio validi, l'attaccante può accedere alle risorse e ai sistemi di rete come se fosse l'utente legittimo. Può così spostarsi lateralmente nella rete e potenzialmente compromettere altri sistemi.

Gli attacchi PtH e PtT destano particolare preoccupazione perché gli attaccanti possono agire senza conoscere la password in chiaro della vittima. Per contrastarli serve un approccio su più fronti: policy rigorose per le password, aggiornamenti di sicurezza regolari, controlli degli accessi efficaci e sistemi di rilevamento avanzato delle minacce. Le organizzazioni dovrebbero inoltre monitorare i segnali di furto delle credenziali e le attività di autenticazione anomale per rilevare gli attacchi PtH e PtT e rispondere tempestivamente.

Per proteggersi dai rischi associati agli attacchi PtH e PtT, le aziende adottano diverse misure:

PtT, d'altra parte, prende di mira principalmente gli ambienti Windows che utilizzano il protocollo di autenticazione Kerberos. Prevede il furto e l'uso improprio dei ticket di autenticazione, che vengono generati durante l'autenticazione dell'utente o del servizio. Gli aggressori sfruttano le falle nel sistema di ticketing Kerberos, che consente loro di impersonare utenti o servizi legittimi e ottenere accesso non autorizzato a sistemi e risorse.
• Accesso con privilegi minimi – Limitare i diritti di accesso e i privilegi degli utenti riduce i danni causati dalla compromissione delle credenziali.
• Privileged Access Management (PAM) – Le piattaforme PAM gestiscono, monitorano e proteggono gli account e gli accessi privilegiati.
• Segmentazione della rete – Isolare i sistemi critici da quelli meno critici può limitare il movimento laterale all'interno della rete.
• Rotazione regolare delle credenziali – Adottare policy che richiedono cambi periodici delle password riduce il tempo a disposizione per gli attacchi PtH e PtT.
• Formazione sulla consapevolezza della sicurezza – È essenziale informare i dipendenti sui rischi degli attacchi PtH e PtT e sull'importanza di una corretta gestione delle password.
• Sistemi di rilevamento delle intrusioni – I sistemi avanzati di rilevamento delle intrusioni possono individuare e bloccare i tentativi di PtH e PtT.

Conclusioni

Gli attacchi Pass-the-Hash (PtH) e Pass-the-Ticket (PtT) restano minacce persistenti nell'attuale panorama digitale. Queste tecniche, che spesso prendono di mira protocolli di autenticazione come NTLM e Kerberos, mostrano come si evolvono gli attacchi informatici e perché serve una vigilanza costante.advanced persistent threat (APT) e negli attacchi ransomware, spesso sfruttando le vulnerabilità nella sicurezza della rete o utilizzando tattiche di ingegneria sociale per ottenere l'accesso iniziale. Una volta all'interno di una rete, utilizzano attacchi PtH e PtT per il movimento laterale, l'escalation dei privilegi e l'esfiltrazione dei dati.

PtH e PtT sfruttano le vulnerabilità dei meccanismi di autenticazione. Gli attaccanti possono così infiltrarsi nelle reti senza farsi notare, muoversi lateralmente, aumentare i propri privilegi e accedere senza autorizzazione a sistemi e dati sensibili. Le conseguenze possono essere molto gravi: violazioni dei dati, perdite finanziarie e danni alla reputazione.

Gli attacchi PtH e PtT ricordano che il panorama della cybersecurity è in continua evoluzione. Per proteggervi da queste minacce, mantenete alta l'attenzione, adottate misure di sicurezza proattive e collaborate con esperti di cybersecurity. Prevenire gli attacchi PtH e PtT non è solo importante: è fondamentale per proteggere il mondo digitale da avversari che non si fermano.

Comprendere il funzionamento di Pass-the-Hash (PtH) e Pass-the-Ticket (PtT)

PtH e PtT sono tattiche sofisticate e dannose impiegate nella sicurezza informatica, in particolare negli ambienti Windows, che facilitano l'accesso non autorizzato e l'escalation dei privilegi. Queste tecniche sono state originariamente sviluppate come metodi segreti per compromettere i sistemi di autenticazione Windows e da allora si sono evolute in minacce persistenti nel panorama della sicurezza informatica.

Gli attacchi PtH e PtT sono tecniche utilizzate dagli aggressori per ottenere l'accesso non autorizzato a sistemi e risorse all'interno di una rete. NTLM (NT LAN Manager) è spesso un bersaglio di questi attacchi a causa delle sue vulnerabilità intrinseche. Ecco una spiegazione tecnica dettagliata di come funzionano queste tecniche:

Pass-the-Hash (PtH)

• Furto iniziale delle credenziali – Gli attacchi PtH iniziano in genere con l'acquisizione da parte dell'autore dell'attacco dell'accesso iniziale a un sistema Windows, spesso attraverso metodi quali phishing, malware o sfruttando le vulnerabilità del software. Una volta entrato nel sistema, l'obiettivo dell'autore dell'attacco è quello di rubare i dati delle password con hash memorizzati localmente sul sistema. Windows memorizza le rappresentazioni con hash delle password nella memoria per facilitare l'autenticazione senza rivelare la password in chiaro.
• Acquisizione hash – Gli aggressori utilizzano vari strumenti e tecniche per estrarre i dati delle password con hash dalla memoria del sistema. Uno strumento comunemente utilizzato è Mimikatz, che può recuperare le credenziali dai sistemi Windows.
• Utilizzo dell'hash – Con l'hash della password catturato, l'autore dell'attacco non ha bisogno di conoscere la password effettiva in chiaro. Utilizza invece direttamente questo hash nei tentativi di autenticazione.
• L'autore dell'attacco invia l'hash rubato al sistema di destinazione a cui desidera accedere, fingendo di essere un utente legittimo. Il sistema di destinazione esegue quindi l'hash della password fornita dall'autore dell'attacco e la confronta con l'hash memorizzato per l'autenticazione.
• Accesso ottenuto – Se gli hash corrispondono, l'autore dell'attacco ottiene l'accesso non autorizzato al sistema o alla risorsa di destinazione, aggirando efficacemente la necessità della password in chiaro della vittima.
• Gli aggressori spesso utilizzano questo accesso per spostarsi lateralmente all'interno della rete, aumentare i privilegi e accedere a dati sensibili.

Pass-the-Ticket (PtT)

• Autenticazione Kerberos – Gli attacchi PtT prendono di mira principalmente gli ambienti Windows che utilizzano il protocollo di autenticazione Kerberos. Kerberos è comunemente utilizzato negli ambienti Active Directory (AD) per il single sign-on e l'autenticazione sicura.
• Creazione iniziale del ticket – Quando un utente accede a un sistema Windows, il processo di autenticazione Kerberos genera un Ticket Granting Ticket (TGT) per l'utente, crittografato con un segreto a lungo termine (in genere l'hash della password dell'utente) noto solo all'utente e al Key Distribution Center (KDC).
• Estrazione del ticket – In un attacco PtT, l'autore dell'attacco mira a catturare questo TGT dalla memoria di un sistema compromesso a cui ha ottenuto l'accesso iniziale.
• L'autore dell'attacco utilizza strumenti come Mimikatz per estrarre i TGT dalla memoria.
• Utilizzo del ticket – Con il TGT rubato a disposizione, l'autore dell'attacco può impersonare l'utente legittimo associato al TGT. L'autore dell'attacco presenta il TGT al KDC quando richiede ticket di servizio per risorse specifiche.
• Richiesta di ticket di servizio – Il KDC, che si fida del TGT, emette ticket di servizio per le risorse richieste dall'autore dell'attacco. Questi ticket di servizio sono crittografati con una chiave di sessione derivata dal TGT.
• Accesso alle risorse – Munito di ticket di servizio validi, l'autore dell'attacco può accedere alle risorse e ai sistemi di rete come se fosse un utente legittimo. Ciò gli consente di muoversi lateralmente all'interno della rete e potenzialmente compromettere altri sistemi.

Sia gli attacchi PtH che quelli PtT sono particolarmente preoccupanti perché consentono agli aggressori di operare senza conoscere la password in chiaro della vittima. Per mitigare questi attacchi è necessario un approccio su più fronti, che includa politiche di password forti, aggiornamenti di sicurezza regolari, controlli di accesso robusti e rilevamento avanzato delle minacce. Inoltre, le organizzazioni dovrebbero monitorare i segni di furto di credenziali e attività di autenticazione insolite per rilevare e rispondere prontamente agli attacchi PtH e PtT.

Per proteggersi dai rischi associati agli attacchi PtH e PtT, le aziende stanno implementando diverse misure:

• Autenticazione forte – L'utilizzo dell'autenticazione a più fattori (MFA) (MFA) e l'autenticazione a due fattori (2FA) aggiungono un ulteriore livello di sicurezza oltre alle password.
• Accesso con privilegi minimi – Limitare i aiuta a limitare i danni che possono essere causati da credenziali compromesse.
• Gestione degli accessi privilegiati (PAM) – Le soluzioni PAM aiutano a gestire, monitorare e proteggere gli account e gli accessi privilegiati account e accessi privilegiati.
• Segmentazione della rete – Isolare i sistemi critici da quelli meno critici può limitare il movimento laterale all'interno di una rete.
• Rotazione regolare delle credenziali – L'implementazione di politiche che richiedono la modifica delle password a intervalli regolari contribuisce a ridurre le opportunità di attacchi PtH e PtT.
• Formazione sulla consapevolezza della sicurezza – È essenziale educare i dipendenti sui rischi degli attacchi PtH e PtT e sull'importanza di una buona igiene delle password.
• Sistemi di rilevamento delle intrusioni – L'utilizzo di sistemi avanzati di rilevamento delle intrusioni può aiutare a individuare e bloccare i tentativi di PtH e PtT.

Conclusione

Gli attacchi Pass-the-Hash (PtH) e Pass-the-Ticket (PtT) rappresentano minacce persistenti nell'attuale panorama digitale. Queste tecniche, che spesso prendono di mira protocolli di autenticazione come NTLM e Kerberos, evidenziano la natura in continua evoluzione degli attacchi informatici e la necessità di una vigilanza costante.

PtH e PtT sfruttano le vulnerabilità dei meccanismi di autenticazione, consentendo agli aggressori di infiltrarsi clandestinamente nelle reti, muoversi lateralmente, aumentare i privilegi e ottenere accesso non autorizzato a sistemi e dati sensibili. Le conseguenze possono essere molto gravi, e vanno dalla violazione dei dati e dalle perdite finanziarie al danno alla reputazione.

Gli attacchi PtH e PtT servono a ricordare che il panorama della sicurezza informatica è un campo di battaglia in continua evoluzione. Per proteggersi da queste minacce, gli individui e le organizzazioni devono rimanere vigili, adottare misure di sicurezza proattive e collaborare con esperti di sicurezza informatica. Stare al passo con gli attacchi PtH e PtT non è solo importante, è la chiave per salvaguardare il mondo digitale di fronte ad avversari implacabili.