Wat is pass-the-hash?

Bij pass-the-hash gebruikt een aanvaller de opgeslagen hash van een wachtwoord, gehaald uit het geheugen of van de schijf van een gecompromitteerde computer, om zich als die gebruiker te authenticeren zonder het wachtwoord zelf ooit te kennen. Het werkt met de oudere NTLM-authenticatie die in veel netwerken nog gangbaar is, en laat een aanvaller met de identiteit van een beheerder van machine naar machine trekken. Verdediging is onder meer: niet inloggen met domeinbeheerdersaccounts op gewone werkplekken, een uniek lokaal beheerderswachtwoord per machine, beveiligingen die het uitlezen van inloggegevens uit het geheugen tegenhouden, NTLM beperken of uitschakelen waar mogelijk, en endpointbeveiliging. De diefstal van de hash gebeurt op een host; het hergebruik verschijnt op het netwerk als beheerverbindingen tussen machines die normaal niet met elkaar praten. NetSenX detecteert die laterale beweging op elk abonnement; het authenticatieprotocol zelf inspecteert het niet.

← Alle 69 vragen over Aanvalstechnieken uitgelegdAlle onderwerpen