Der Golden-Ticket-Angriff ist ein ausgekl\u00fcgelter Cyberangriff, der Schwachstellen in der Active Directory-Infrastruktur von Microsoft ausnutzt. Er erm\u00f6glicht es einem Angreifer, Kerberos-Tickets zu f\u00e4lschen, die zur Authentifizierung innerhalb von Windows-Dom\u00e4nen verwendet werden, und ihm so unbefugten Zugriff auf ein Netzwerk zu gew\u00e4hren. Der Angriff wurde erstmals 2014 vom Sicherheitsforscher Benjamin Delpy entdeckt und \u00f6ffentlich gemacht. Seitdem ist er f\u00fcr IT-Administratoren und Organisationen weltweit zu einem erheblichen Problem geworden.<\/p>\n
Die Urspr\u00fcnge des Golden-Ticket-Angriffs gehen auf die Entdeckung einer Schwachstelle in Microsofts Kerberos-Implementierung zur\u00fcck. Das Kerberos-Authentifizierungsprotokoll ist eine Kernkomponente von Active Directory und bietet Benutzern eine sichere M\u00f6glichkeit, sich zu authentifizieren und Zugriff auf Netzwerkressourcen zu erhalten. Im Jahr 2014 entdeckte Benjamin Delpy, der Entwickler des Tools \u201eMimikatz\u201c, Schwachstellen bei der Ausstellung und Validierung von Kerberos-Tickets.<\/p>\n
Delpy zeigte, dass ein Angreifer mit administrativem Zugriff auf einen Dom\u00e4nencontroller diese Schwachstellen ausnutzen k\u00f6nnte, um ein Golden Ticket zu f\u00e4lschen. Dieses gef\u00e4lschte Ticket k\u00f6nnte dann verwendet werden, um dauerhaften Zugriff auf die Ressourcen einer Organisation zu erhalten, selbst nachdem der urspr\u00fcngliche Einstiegspunkt des Angreifers geschlossen wurde.<\/p>\n
Der Golden-Ticket-Angriff nutzt zwei Hauptkomponenten der Active Directory-Infrastruktur von Microsoft aus: das Ticket Granting Ticket (TGT) und das Key Distribution Center (KDC). Wenn sich ein Benutzer bei einer Windows-Dom\u00e4ne anmeldet, stellt das KDC ein TGT aus, das als Identit\u00e4tsnachweis des Benutzers dient und Zugriff auf verschiedene Ressourcen gew\u00e4hrt, ohne dass die Anmeldeinformationen wiederholt eingegeben werden m\u00fcssen.<\/p>\n
Der Golden-Ticket-Angriff umfasst die folgenden Schritte:<\/p>\n
Extrahieren von Authentifizierungsmaterial<\/strong>: Ein Angreifer erh\u00e4lt Administratorzugriff auf einen Dom\u00e4nencontroller und extrahiert das erforderliche Authentifizierungsmaterial, einschlie\u00dflich des im Klartext gespeicherten langfristigen geheimen KDC-Schl\u00fcssels.<\/p>\n<\/li>\n Das goldene Ticket f\u00e4lschen<\/strong>: Mithilfe des extrahierten Materials f\u00e4lscht der Angreifer ein TGT mit beliebigen Benutzerrechten und einer sehr langen G\u00fcltigkeitsdauer, die typischerweise mehrere Jahrzehnte umfasst.<\/p>\n<\/li>\n Persistenz und laterale Bewegung<\/strong>: Das gef\u00e4lschte Ticket wird dann verwendet, um dauerhaften Zugriff auf das Netzwerk zu erhalten und sich seitlich zwischen Systemen zu bewegen, wobei auf vertrauliche Ressourcen zugegriffen und zus\u00e4tzliche Konten kompromittiert werden.<\/p>\n<\/li>\n<\/ol>\n Um die interne Struktur des Golden-Ticket-Angriffs zu verstehen, ist es wichtig, die Komponenten eines Kerberos-Tickets zu kennen:<\/p>\n Header<\/strong>: Enth\u00e4lt Informationen zum Verschl\u00fcsselungstyp, Tickettyp und den Ticketoptionen.<\/p>\n<\/li>\n Ticketinformation<\/strong>: Enth\u00e4lt Details zur Identit\u00e4t und den Berechtigungen des Benutzers sowie zu den Netzwerkdiensten, auf die er zugreifen kann.<\/p>\n<\/li>\n Sitzungsschl\u00fcssel<\/strong>: Wird zum Verschl\u00fcsseln und Signieren von Nachrichten innerhalb der Sitzung verwendet.<\/p>\n<\/li>\n Weitere Informationen<\/strong>: Kann die IP-Adresse des Benutzers, den Ablaufzeitpunkt des Tickets und andere relevante Daten enthalten.<\/p>\n<\/li>\n<\/ol>\n Der Golden-Ticket-Angriff weist mehrere Schl\u00fcsselfunktionen auf, die ihn zu einer potenziellen Bedrohung machen:<\/p>\n Beharrlichkeit<\/strong>: Die lange G\u00fcltigkeitsdauer des gef\u00e4lschten Tickets erm\u00f6glicht es Angreifern, \u00fcber einen l\u00e4ngeren Zeitraum Zugriff auf das Netzwerk zu haben.<\/p>\n<\/li>\n Rechteerweiterungen<\/strong>: Angreifer k\u00f6nnen ihre Berechtigungen erh\u00f6hen, indem sie Tickets mit Zugriff auf h\u00f6herer Ebene f\u00e4lschen, die ihnen Kontrolle \u00fcber kritische Systeme und Daten geben.<\/p>\n<\/li>\n Seitliche Bewegung<\/strong>: Durch dauerhaften Zugriff k\u00f6nnen sich Angreifer seitlich durch das Netzwerk bewegen, zus\u00e4tzliche Systeme kompromittieren und ihre Kontrolle ausweiten.<\/p>\n<\/li>\n Heimlichkeit<\/strong>: Der Angriff hinterl\u00e4sst kaum oder gar keine Spuren in den Systemprotokollen und ist daher schwer zu erkennen.<\/p>\n<\/li>\n<\/ol>\n Es gibt zwei Haupttypen von Golden-Ticket-Angriffen:<\/p>\n Tickets stehlen<\/strong>: Bei diesem Ansatz wird das Authentifizierungsmaterial, beispielsweise der langfristige geheime KDC-Schl\u00fcssel, von einem Dom\u00e4nencontroller gestohlen.<\/p>\n<\/li>\n Offline-Angriff<\/strong>: Bei einem Offlineangriff m\u00fcssen Angreifer einen Dom\u00e4nencontroller nicht direkt kompromittieren. Stattdessen k\u00f6nnen sie das erforderliche Material aus Backups oder Dom\u00e4nen-Snapshots extrahieren.<\/p>\n<\/li>\n<\/ol>\n Nachfolgend finden Sie eine Vergleichstabelle der beiden Typen:<\/p>\nDie interne Struktur des Golden-Ticket-Angriffs<\/h2>\n
\n
Analyse der Hauptmerkmale des Golden-Ticket-Angriffs<\/h2>\n
\n
Arten von Golden-Ticket-Angriffen<\/h2>\n
\n