Abusando de Credenciais Sombra para Escalação de Privilégios

Aviso Legal: Esta habilidade é apenas para testes de segurança autorizados e fins educacionais. Credenciais Sombra concedem controle total da conta alvo. Use apenas contra sistemas que você possui ou para os quais foi explicitamente autorizado por escrito para testar. Acesso não autorizado é um crime.

Visão Geral

A técnica de Credenciais Sombra abusa do atributo msDS-KeyCredentialLink de objetos de usuário e computador do Active Directory. Este atributo armazena chaves públicas brutas ("Key Credentials") usadas pelo Windows Hello for Business e pelo registro de dispositivos do Azure AD para logon sem senha baseado em certificado via PKINIT (Public Key Cryptography for Initial Authentication in Kerberos). Se um atacante tiver permissão de escrita sobre o msDS-KeyCredentialLink de um objeto alvo — tipicamente concedida por ACEs de GenericWrite, GenericAll, WriteProperty, ou AddKeyCredentialLink expostos no BloodHound — ele pode anexar sua própria chave pública gerada pelo atacante. Em seguida, ele solicita um TGT para o alvo via PKINIT usando a chave privada correspondente e recupera o hash NT do alvo, alcançando o controle total da conta sem redefinir a senha, o que é muito mais furtivo do que uma redefinição de senha forçada.

A técnica foi publicada por Elad Shamir ("Shadow Credentials: Abusing Key Trust Account Mapping for Account Takeover") e implementada na ferramenta C# Whisker. O equivalente em Python, pyWhisker (ShutdownRepo), manipula o atributo via LDAP, e o Certipy integra toda a cadeia via certipy shadow auto. O ambiente alvo deve suportar PKINIT e ter pelo menos um Controlador de Domínio executando Windows Server 2016 ou posterior. Fontes: pyWhisker, Whisker, The Hacker Recipes — Shadow Credentials.

Quando Usar

• Quando o BloodHound revela GenericWrite/GenericAll/AddKeyCredentialLink sobre um usuário ou computador de maior valor
• Como uma alternativa mais furtiva a ForceChangePassword (sem redefinição de senha = menos interrupção/alertas)
• Para assumir o controle de uma conta de computador para encadear com a Delegação Restrita Baseada em Recursos (RBCD)
• Durante operações de red team que necessitam de controle de conta sem bloquear o usuário legítimo
• Para exercícios de purple team gerando telemetria de modificação de msDS-KeyCredentialLink

Pré-requisitos

• Escopo de engajamento autorizado incluindo técnicas de acesso a credenciais AD
• Controle de um principal com acesso de escrita ao msDS-KeyCredentialLink do alvo
• Um DC executando Windows Server 2016+ com PKINIT habilitado (nível funcional do domínio suportando Key Trust)
• Conectividade de rede para LDAP (389/636) e Kerberos (88) em um DC
• Host de ataque Linux com Python 3.8+; instale as ferramentas:

  # pyWhisker (from source)
  git clone https://github.com/ShutdownRepo/pywhisker
  cd pywhisker && pip install .
  # Certipy (integrated shadow attack)
  pipx install certipy-ad
  # PKINITtools for manual TGT/NT-hash extraction
  git clone https://github.com/dirkjanm/PKINITtools
  

Objetivos

• Confirmar a primitiva de escrita sobre o msDS-KeyCredentialLink do alvo
• Gerar um par de chaves e anexar uma Key Credential ao objeto alvo
• Solicitar um TGT para o alvo via PKINIT usando a nova chave
• Recuperar o hash NT do alvo para pass-the-hash / movimento posterior
• Limpar a Key Credential injetada para restaurar o estado do objeto
• Documentar o caminho do ACL que permitiu o ataque para remediação

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

Etapa 1: Confirmar a primitiva de escrita

Liste as Key Credentials existentes no alvo para verificar se você tem o acesso necessário. Um resultado vazio ou legível confirma o acesso de escrita para a etapa add.

python3 pywhisker.py -d "corp.local" -u "attacker" -p "Passw0rd!" \
    --target "victim" --action "list"

Etapa 2: Adicionar uma Credencial Sombra com pyWhisker

Gere um certificado/par de chaves e escreva-o no msDS-KeyCredentialLink do alvo. O pyWhisker gera um PFX que você controla.

python3 pywhisker.py -d "corp.local" -u "atacante" -p "Passw0rd!" \

…