Credential Access
Tras conseguir acceso a un equipo, el siguiente paso de un atacante suele ser reutilizar credenciales de otros usuarios que hayan pasado por esa máquina. Entender de dónde salen esas credenciales es lo que permite defenderlas.
De dónde salen las credenciales en Windows
| Origen | Qué guarda | Qué hace falta para leerlo |
|---|---|---|
| LSASS (memoria) | Hashes y, a veces, material de sesión de usuarios conectados | Privilegios de administrador local / SYSTEM |
| Caché del dominio | Verificadores para iniciar sesión sin DC (portátiles) | Administrador local; solo son crackeables, no reutilizables |
| DPAPI | Secretos de aplicaciones, Wi-Fi, credenciales guardadas | La clave del usuario o la backup key del dominio |
| Gestor de credenciales / navegador | Contraseñas guardadas por el usuario | Contexto de ese usuario |
NTDS.dit (en el DC) | Todos los hashes del dominio | Acceso al DC o DCSync |
La idea general: casi todo lo interesante exige ya ser administrador local del equipo. Por eso la escalada de privilegios local y el control de quién es admin dónde son tan importantes en AD.
Responder: credenciales sin tocar un equipo
No todo es volcar memoria. Muchos hashes se capturan en la red: si un equipo intenta acceder a un recurso que no existe, Windows puede caer en protocolos de resolución de nombres heredados (LLMNR/NBT-NS) y autenticarse contra quien responda. Una herramienta como Responder se hace pasar por ese recurso y recoge el hash NetNTLM, que luego se intenta crackear o se retransmite (relay) a otro servicio.
Es el mismo principio del viejo ataque de "SMB relay" de laboratorio: provocar que una máquina (o el propio DC) se autentique contra la mía.
Qué se hace con lo obtenido
- Hash NTLM → se crackea (hashcat
-m 1000) o se usa directamente con Pass-the-Hash. - Clave AES de Kerberos → se piden tickets a su nombre (Pass-the-Ticket).
- Caché del dominio / NetNTLM → solo crackeo offline (hashcat
-m 2100/-m 5600).
Cómo se defiende
- Reducir quién es admin local y usar la LAPS para que cada equipo tenga una contraseña de administrador local distinta y rotada.
- Credential Guard aísla LSASS para que no se pueda leer su memoria.
- Desactivar LLMNR y NBT-NS y exigir firma SMB/LDAP corta de raíz los ataques de captura y relay.
- Cuentas con privilegios separadas y Protected Users para los administradores, que limita qué material queda en memoria.
- Vigilar accesos anómalos a LSASS y el uso de herramientas de volcado.