¿Qué es el pass-the-hash?

El pass-the-hash consiste en que un atacante usa el hash almacenado de una contraseña, obtenido de la memoria o del disco de un ordenador comprometido, para autenticarse como ese usuario sin llegar a conocer la contraseña. Funciona con la autenticación NTLM más antigua, todavía habitual en muchas redes, y permite al atacante pasar de máquina en máquina con la identidad de un administrador. Las defensas incluyen no iniciar sesión con cuentas de administrador del dominio en puestos corrientes, una contraseña de administrador local distinta en cada máquina, protecciones que impiden leer credenciales de la memoria, restringir o desactivar NTLM donde sea posible y protección de endpoints. El robo del hash ocurre en un equipo; su reutilización aparece en la red como conexiones de administración entre máquinas que normalmente no hablan entre sí. NetSenX detecta ese movimiento lateral en todos los planes; no inspecciona el propio protocolo de autenticación.

← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas