Domain Dominance

Son las técnicas para, una vez que tengo control del dominio, demostrarlo y mantenerlo: volcar todos los hashes y fabricar tickets a voluntad.

DCSync

Con permisos de replicación (los tiene un Domain Admin) puedo pedirle al DC el hash de cualquier cuenta imitando a otro controlador de dominio, sin ejecutar nada en él. El objetivo estrella es krbtgt.

beacon> dcsync corp.local CORP\krbtgt

Desde Kali: impacket-secretsdump corp.local/admin@dc01 (o -just-dc-user krbtgt).

Golden Ticket

Con el hash (o la clave AES) de krbtgt fabrico un TGT válido para cualquier usuario y grupo, porque el TGT va cifrado precisamente con esa clave. Es acceso total mientras no se rote krbtgt dos veces.

Silver Ticket

Con el hash de una cuenta de servicio fabrico directamente el ticket de servicio (TGS) hacia ese servicio, sin pasar por el KDC. Más silencioso que el Golden, pero limitado a ese servicio.

beacon> execute-assembly C:\Tools\Rubeus\Rubeus.exe silver /service:cifs/db01 /aes256:<clave> /user:Administrator /domain:CORP.LOCAL /sid:<SID> /nowrap

DPAPI backup key

El DC tiene una clave maestra que descifra los secretos DPAPI de todos los usuarios del dominio. Robarla permite descifrar credenciales guardadas en cualquier equipo sin volver a tocarlo. Es otra forma de persistencia.

Cómo se defiende

• Vigilar DCSync: peticiones de replicación (evento 4662) desde algo que no sea un DC.
• Ante una brecha, rotar krbtgt dos veces (invalida los Golden Tickets) y las cuentas de servicio.
• Reducir al mínimo quién es Domain Admin y proteger esas cuentas (Protected Users, tiering administrativo).
• Para Silver Tickets, forzar AES y firma de servicios.