Che cos'è un attacco Kerberoasting?

Il Kerberoasting sta diventando sempre più comune. Gli analisti della sicurezza X-Force di IBM hanno registrato un aumento del 100% degli incidenti di Kerberoasting tra il 2022 e il 2023, secondo l'X-Force Threat Intelligence Index. Questa crescita fa parte di un'ampia tendenza di hacker che abusano di account validi per violare le reti. I miglioramenti nella sicurezza della rete e degli endpoint hanno reso gli attacchi diretti molto più difficili da eseguire.

Alcuni fattori aggiuntivi alimentano la popolarità del Kerberoasting. Molti servizi di directory e sistemi di cloud computing utilizzano Kerberos, il che significa che gli hacker possono sfruttare il protocollo per ottenere l'accesso all'infrastruttura di rete critica.

In particolare, Kerberos è standard in Microsoft Windows Active Directory e molti attacchi Keberoasting prendono di mira i domini Active Directory. Inoltre, gli account di servizio creati manualmente tendono ad avere password deboli e privilegi elevati, il che li rende obiettivi interessanti.

Gli attacchi Kerberoasting sono difficili da rilevare perché sfruttano il design previsto da Kerberos. La parte più sospetta di un attacco Kerberoasting, la decrittografia dei ticket rubati, avviene offline. I professionisti della cybersecurity non possono eliminare completamente la possibilità del Kerberoasting, ma possono implementare difese proattive per mitigare la minaccia.

Il Kerberoasting è in genere un mezzo di escalation dei privilegi piuttosto che una tattica di intrusione iniziale. Dopo che un hacker ottiene il controllo di un account utente di dominio per entrare nella rete, utilizza il Keberoasting per espandere la propria portata.

La maggior parte degli attacchi di Kerberoasting segue lo stesso metodo di base:

1. Un hacker utilizza un account compromesso per ottenere i ticket di servizio Kerberos. 
   
2. L'hacker porta questi ticket su un computer di sua proprietà al di fuori della rete che sta attaccando.
   
3. L'hacker decrittografa i ticket e scopre le password degli account di servizio che gestiscono i servizi associati a ciascun ticket.
   
4. L'hacker accede alla rete utilizzando le credenziali degli account di servizio, abusando delle loro autorizzazioni per spostarsi nella rete e causare danni.

Per capire perché il Keberoasting funziona, è necessario prima comprendere le basi del protocollo Kerberos.

Kerberos è un protocollo di autenticazione che consente agli utenti e ai servizi (come applicazioni, database e server) di autenticarsi e comunicare in modo sicuro all'interno di Active Directory e altri domini.

Il processo di autenticazione Kerberos utilizza un sistema di etichettatura. Al centro di questo sistema c'è il centro di distribuzione delle chiavi (KDC), che opera sul controller di dominio della rete.

Il KDC è essenzialmente il custode del dominio. Autentica utenti e servizi sulla rete ed emette loro i ticket. I ticket sono credenziali che dimostrano l'identità degli utenti e consentono loro di accedere ad altre risorse sulla rete. Gli utenti e i servizi si scambiano questi ticket per verificarsi reciprocamente.

Quando un utente accede a un dominio, si autentica prima con il KDC e riceve un ticket-granting ticket (TGT). Questo TGT abilita l'utente a richiedere l'accesso ai servizi di dominio.

Quando l'utente vuole accedere a un servizio, invia una richiesta al servizio di assegnazione dei ticket (TGS, ticket-granting service) del KDC. Il TGT accompagna questa richiesta per garantire l'identità dell'utente.

In risposta, il KDC emette un ticket di servizio, chiamato anche "ticket TGS", che viene crittografato utilizzando la password dell'account di servizio. Ciò avviene per garantire che solo il servizio di destinazione possa convalidare la richiesta di accesso dell'utente. L'utente presenta questo ticket di servizio al servizio di destinazione, che autentica l'utente e avvia una sessione sicura.

Ci sono alcuni particolati del design di Kerberos che lo lasciano vulnerabile al Kerberoasting.

Innanzitutto, il KDC non verifica se gli utenti sono autorizzati ad accedere a un servizio. Qualsiasi utente può richiedere un ticket per qualsiasi servizio. Spetta ai singoli servizi far rispettare le autorizzazioni e bloccare gli utenti non autorizzati. Pertanto, gli hacker non hanno bisogno di sequestrare gli account degli amministratori di dominio o di altri utenti privilegiati. Un qualsiasi account compromesso funziona.

In secondo luogo, ciascun servizio in un dominio Kerberos deve essere associato a un account di servizio responsabile dell'esecuzione del servizio nel dominio. Gli account di servizio consentono a Kerberos di autenticare servizi, emettere ticket di servizio e applicare controlli di sicurezza. Questi account forniscono anche un bersaglio agli hacker, poiché spesso dispongono di privilegi elevati.

In terzo luogo, i ticket Kerberos vengono crittografati utilizzando gli hash delle password degli account associati come chiavi. Importante per il Kerberoasting, i ticket di servizio utilizzano gli hash delle password degli account di servizio rilevanti.

Le password degli account sono comode chiavi di crittografia simmetriche perché solo il KDC e il relativo servizio dovrebbero conoscere quella password. Tuttavia, poiché i ticket vengono crittografati utilizzando gli hash delle password, gli hacker possono decodificare le password degli account di servizio violando la crittografia di un ticket. 

Inoltre, gli account di servizio configurati manualmente spesso hanno il flag "la password non scade mai" abilitato. Nelle reti di lunga data, ciò può significare che gli account di servizio utilizzano password molto vecchie che seguono linee guida di sicurezza obsolete, rendendole facili da decifrare.

Sebbene il Kerberoasting richieda normalmente un account utente di dominio compromesso, il ricercatore di sicurezza Charlie Clark ha scoperto una tecnica di attacco che nelle giuste condizioni consente agli hacker di rubare i ticket di servizio senza dover violare un account.¹

Ricordi che prima che un utente possa ricevere i ticket di assistenza, deve autenticarsi presso il KDC e ottenere un TGT che gli consenta di richiedere l'accesso al servizio. Utilizzando lo strumento di sfruttamento Kerberos Rubeus, Clark ha potuto modificare questa richiesta di autenticazione iniziale in modo da richiedere un ticket di servizio anziché un TGT. La tattico ha funzionato e il KDC ha risposto con un ticket di servizio.

Questo metodo ha applicazioni limitate. Affinché la tecnica funzioni, l'hacker deve fingere di inviare la richiesta di autenticazione da un account che non richiede la preautenticazione in Kerberos. Gli account che richiedono la preautenticazione, che rappresentano la maggior parte dei casi, necessitano delle credenziali utente anche per inviare la richiesta di autenticazione iniziale modificata da Clark. Tuttavia, questa tecnica apre una potenziale strada per gli aggressori.

Gli hacker hanno utilizzato tecniche di Kerberoasting in alcuni degli attacchi informatici più significativi degli ultimi anni.

Nell'attacco SolarWinds del 2020, gli hacker di stato russi hanno diffuso malware mascherandolo come un aggiornamento legittimo della piattaforma di gestione dell'infrastruttura Orion di SolarWinds. Gli hacker hanno violato diverse aziende e agenzie governative, tra cui il Dipartimento di Stato e il Dipartimento di Giustizia degli Stati Uniti. Secondo Mitre, gli hacker hanno utilizzato il Kerberoasting per aumentare i loro privilegi nei sistemi compromessi.²

Analogamente, gli hacker associati al ransomware Akira spesso utilizzano il Kerberoasting per espandere la loro portata e mantenere l'accesso alle reti che violano. Ad aprile 2024, Akira ha colpito 250 organizzazioni in tutto il mondo, estorcendo un totale di 42 milioni di dollari in pagamenti di riscatti³.

Sebbene gli attacchi Golden Ticket prendano di mira anche i processi di autenticazione Kerberos, sono diversi dal Keberoasting. 

Nel Kerberoasting, gli hacker rubano e decifrano i ticket per scoprire le password e impossessarsi degli account di servizio.

Negli attacchi Golden Ticket, gli hacker ottengono innanzitutto i privilegi di amministratore in un dominio. Questo permette loro di accedere alla password dell'account krbtgt, che è l'account utilizzato dal KDC per criptare i TGT. Gli hacker utilizzano questi privilegi per creare ticket Kerberos non autorizzati che consentono loro di fingere di essere qualsiasi utente e ottenere così un accesso praticamente illimitato alle risorse di rete.

Gli attacchi di Kerberoasting sono difficili da individuare perché gli aggressori trascorrono gran parte del loro tempo a mascherarsi come account legittimi. Le loro richieste di ticket si fondono con quelle reali e l'effettivo cracking della password avviene al di fuori della rete.

Detto questo, esistono strumenti e pratiche che le organizzazioni possono utilizzare per ridurre le possibilità di successo di un attacco e intercettare meglio il Kerberoasting in corso.

Dato che gli attacchi Kerberoasting prendono il controllo degli account di dominio, proteggere questi account con controlli IAM avanzati può aiutare a prevenire alcune violazioni.

Politiche e pratiche efficaci in materia di password, comprese soluzioni centralizzate per la gestione delle password, possono rendere più difficile agli hacker decifrare le password. Il framework MITRE ATT&CK, ad esempio, raccomanda che le password degli account di servizio abbiano una lunghezza minima di 25 caratteri, siano sufficientemente complesse e vengano cambiate regolarmente⁴.

In Active Directory, le organizzazioni possono utilizzare account di servizio gestiti di gruppo. Si tratta di account di servizio che generano, gestiscono e modificano regolarmente le password, in modo che gli amministratori non debbano gestire le password manualmente.

L'autenticazione avanzata, come l'autenticazione adattiva o a più fattori (MFA), può anche aiutare a proteggere gli account utente dai furti. Detto questo, spesso è difficile e inefficiente utilizzare l'MFA per gli account di servizio.

Gli strumenti di gestione degli accessi privilegiati possono contribuire a fornire una sicurezza aggiuntiva per le credenziali degli account privilegiati, come gli account del servizio Kerberos e altri obiettivi molto apprezzati.

Limitando i privilegi degli account di servizio alle autorizzazioni necessarie, le organizzazioni possono ridurre al minimo i danni che gli hacker possono causare compromettendo tali account.

Inoltre, gli account di servizio possono essere limitati agli accessi non interattivi e solo a servizi e sistemi specifici.

Le richieste di ticket dannose spesso si mescolano a quelle legittime, ma gli hacker potrebbero lasciare segni rivelatori. Ad esempio, un account che richiede un gran numero di ticket per molti servizi contemporaneamente potrebbe essere il segnale di un attacco Kerberoasting.

I registri degli eventi come Windows Event Viewer o un sistema di gestione delle informazioni e degli eventi di sicurezza (SIEM) possono aiutare i team di sicurezza a rilevare attività sospette. Gli strumenti che monitorano gli utenti, come una soluzione di analisi del comportamento degli utenti (UBA), possono aiutare a rilevare gli hacker che hanno violato account legittimi.

I team di sicurezza possono rilevare più attività dannose allineando gli strumenti di monitoraggio ai loro sistemi informativi. Ad esempio, gli strumenti possono essere configurati in modo che qualsiasi tentativo da parte di un account del servizio di accedere al di fuori dell'ambito predefinito attivi un avviso e richieda un'indagine.

Molte istanze di Kerberos supportano ancora l'algoritmo di crittografia RC4. Tuttavia, questo vecchio standard di crittografia è relativamente facile da violare per gli hacker.

L'abilitazione di un tipo di crittografia più forte, come l'AES, può rendere più difficile agli hacker violare i ticket.

Alcune organizzazioni creano honeytoken, account di dominio falsi destinati a essere compromessi. Quando gli hacker attaccano un honeytoken, viene automaticamente generato un avviso in modo che il team di sicurezza possa agire.

Gli honeytoken sono progettati per distogliere l'attenzione dagli account reali, spesso sembrando avere credenziali deboli e privilegi elevati.