Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Kerberoasting: Furto Offline di Credenziali di Servizio Kerberos (T1558.003)
Kerberoasting è una tecnica di Credential Access (TA0006) che sfrutta una caratteristica legittima del protocollo Kerberos in ambienti Active Directory. Qualsiasi utente autenticato in dominio, in possesso di un Ticket Granting Ticket (TGT) valido, può richiedere al Domain Controller un Ticket Granting Service (TGS) per qualunque Service Principal Name (SPN) registrato, senza necessità di privilegi elevati.
La vulnerabilità risiede nella cifratura del ticket: quando l'account di servizio associato allo SPN utilizza l'algoritmo RC4-HMAC (etype 23), una porzione del TGS-REP è cifrata direttamente con l'hash NTLM della password dell'account. L'attaccante estrae il blob crittografico e ne esegue il cracking offline, senza generare ulteriore traffico verso il DC e senza rischiare lockout dell'account.
L'impatto è significativo perché gli account di servizio hanno spesso password statiche, deboli e privilegi elevati (talvolta membri di Domain Admins). Una volta ottenuta la password in chiaro, l'avversario abilita Persistence, Privilege Escalation e Lateral Movement tramite Valid Accounts. La tecnica è documentata in 3 gruppi APT (FIN7, Wizard Spider, Indrik Spider), 6 tool offensivi tra cui Rubeus, Impacket ed Empire, e 3 campagne rilevanti come Operation Wocao e SolarWinds Compromise. La sua popolarità deriva dal rapporto rischio/rendimento estremamente favorevole per l'attaccante.
L'esecuzione in laboratorio di Kerberoasting richiede un dominio Active Directory con almeno un account di servizio dotato di SPN e password debole. La catena tipica prevede tre fasi: enumerazione degli SPN, richiesta dei TGS e cracking offline.
Da una macchina Windows joinata al dominio, con credenziali utente standard, il modulo Invoke-Kerberoast di PowerSploit (open source) rappresenta l'approccio classico. Il comando Invoke-Kerberoast -OutputFormat Hashcat | Select-Object -ExpandProperty Hash produce direttamente hash pronti per il cracker. Lo stesso modulo è integrato in Empire (open source) e disponibile anche in SILENTTRINITY (open source).
Rubeus (open source) offre un controllo più granulare e minor rumore. Il comando Rubeus.exe kerberoast /outfile:hashes.txt enumera automaticamente gli SPN e richiede i ticket, mentre Rubeus.exe kerberoast /user:svc_sql /nowrap permette di targettizzare un singolo account. Per evadere detection basate sul solo etype 23, l'operatore red team può testare Rubeus.exe kerberoast /rc4opsec che filtra account con AES abilitato, oppure forzare la richiesta con parametri di downgrade quando l'ambiente lo consente.
Da Linux, Impacket (open source) fornisce GetUserSPNs.py. La sintassi è GetUserSPNs.py -dc-ip 10.0.0.1 -request dominio.local/utente:password, con output già formattato per John the Ripper e Hashcat. In scenari con solo un TGT disponibile (ad esempio da un attacco AS-REP Roasting precedente), l'opzione -k -no-pass consente l'uso del ticket cached tramite variabile KRB5CCNAME.
Il cracking offline è la fase decisiva. Hashcat (open source) utilizza la mode -m 13100 per TGS-REP RC4: hashcat -m 13100 hashes.txt wordlist.txt -r rules/best64.rule. Su GPU moderne le velocità superano abbondantemente il miliardo di tentativi al secondo, rendendo vulnerabili password sotto i 14 caratteri anche con complessità elevata. John the Ripper (open source, edizione jumbo) usa il formato --format=krb5tgs.
Per scenari post-exploitation più sofisticati, Brute Ratel C4 (a pagamento) e il modulo Kerberos di Mimikatz (open source) permettono di decodificare ticket già presenti nella cache LSA con kerberos::list /export, riducendo il volume di richieste al DC. Un red team maturo integra Kerberoasting in una fase di ricognizione silenziosa, evitando burst di richieste TGS che alimenterebbero le detection SOC.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.