Il Golden Ticket Attack \u00e8 un sofisticato attacco informatico che sfrutta i punti deboli dell'infrastruttura Active Directory di Microsoft. Consente a un utente malintenzionato di falsificare i ticket Kerberos, che vengono utilizzati per l'autenticazione all'interno dei domini Windows, garantendo loro l'accesso non autorizzato a una rete. L\u2019attacco \u00e8 stato scoperto e rivelato pubblicamente per la prima volta dal ricercatore di sicurezza Benjamin Delpy nel 2014. Da allora \u00e8 diventato una preoccupazione significativa per gli amministratori IT e le organizzazioni di tutto il mondo.<\/p>\n
Le origini del Golden Ticket Attack possono essere ricondotte alla scoperta di una vulnerabilit\u00e0 nell'implementazione Kerberos di Microsoft. Il protocollo di autenticazione Kerberos \u00e8 un componente fondamentale di Active Directory e fornisce agli utenti un modo sicuro per autenticarsi e ottenere l'accesso alle risorse di rete. Nel 2014 Benjamin Delpy, il creatore dello strumento \u201cMimikatz\u201d, ha individuato i punti deboli nel modo in cui i ticket Kerberos venivano emessi e convalidati.<\/p>\n
Delpy ha rivelato che un utente malintenzionato con accesso amministrativo a un controller di dominio potrebbe sfruttare queste vulnerabilit\u00e0 per falsificare un Golden Ticket. Questo ticket contraffatto potrebbe quindi essere utilizzato per ottenere un accesso permanente alle risorse di un'organizzazione, anche dopo la chiusura del punto di ingresso iniziale dell'aggressore.<\/p>\n
Il Golden Ticket Attack sfrutta due componenti principali dell'infrastruttura Active Directory di Microsoft: il Ticket Granting Ticket (TGT) e il Key Distribution Center (KDC). Quando un utente accede a un dominio Windows, il KDC emette un TGT, che funge da prova dell'identit\u00e0 dell'utente e garantisce l'accesso a varie risorse senza la necessit\u00e0 di inserire ripetutamente le credenziali.<\/p>\n
Il Golden Ticket Attack prevede i seguenti passaggi:<\/p>\n
Estrazione del materiale di autenticazione<\/strong>: un utente malintenzionato ottiene l'accesso amministrativo a un controller di dominio ed estrae il materiale di autenticazione necessario, inclusa la chiave segreta a lungo termine del KDC, che viene archiviata in testo non crittografato.<\/p>\n<\/li>\n Forgiare il Biglietto d'Oro<\/strong>: Utilizzando il materiale estratto, l'aggressore crea un TGT con privilegi utente arbitrari e un periodo di validit\u00e0 molto lungo, che in genere copre diversi decenni.<\/p>\n<\/li>\n Persistenza e movimento laterale<\/strong>: il ticket contraffatto viene quindi utilizzato per ottenere un accesso permanente alla rete e spostarsi lateralmente tra i sistemi, accedendo a risorse sensibili e compromettendo account aggiuntivi.<\/p>\n<\/li>\n<\/ol>\n Per comprendere la struttura interna del Golden Ticket Attack, \u00e8 essenziale comprendere i componenti di un ticket Kerberos:<\/p>\n Intestazione<\/strong>: contiene informazioni sul tipo di crittografia, sul tipo di ticket e sulle opzioni del ticket.<\/p>\n<\/li>\n Informazioni sui biglietti<\/strong>: include dettagli sull'identit\u00e0 dell'utente, sui privilegi e sui servizi di rete a cui pu\u00f2 accedere.<\/p>\n<\/li>\n Chiave di sessione<\/strong>: utilizzato per crittografare e firmare i messaggi all'interno della sessione.<\/p>\n<\/li>\n Informazioni aggiuntive<\/strong>: pu\u00f2 includere l'indirizzo IP dell'utente, la data di scadenza del ticket e altri dati rilevanti.<\/p>\n<\/li>\n<\/ol>\n Il Golden Ticket Attack possiede diverse caratteristiche chiave che lo rendono una potente minaccia:<\/p>\n Persistenza<\/strong>: Il lungo periodo di validit\u00e0 del biglietto contraffatto consente agli aggressori di mantenere l'accesso alla rete per un periodo prolungato.<\/p>\n<\/li>\n Elevazione del privilegio<\/strong>: gli aggressori possono elevare i propri privilegi falsificando ticket con accesso di livello superiore, garantendo loro il controllo su sistemi e dati critici.<\/p>\n<\/li>\n Movimento laterale<\/strong>: Con l'accesso persistente, gli aggressori possono spostarsi lateralmente attraverso la rete, compromettendo ulteriori sistemi e aumentando il loro controllo.<\/p>\n<\/li>\n Invisibile<\/strong>: L'attacco lascia poca o nessuna traccia nei log di sistema, rendendone difficile il rilevamento.<\/p>\n<\/li>\n<\/ol>\n Esistono due tipi principali di attacchi Golden Ticket:<\/p>\n Rubare i biglietti<\/strong>: questo approccio prevede il furto del materiale di autenticazione, ad esempio la chiave segreta a lungo termine del KDC, da un controller di dominio.<\/p>\n<\/li>\n Attacco offline<\/strong>: in uno scenario di attacco offline, gli aggressori non devono compromettere direttamente un controller di dominio. Possono invece estrarre il materiale necessario dai backup o dagli snapshot del dominio.<\/p>\n<\/li>\n<\/ol>\n Di seguito una tabella comparativa delle due tipologie:<\/p>\nLa struttura interna del Golden Ticket Attack<\/h2>\n
\n
Analisi delle caratteristiche principali del Golden Ticket Attack<\/h2>\n
\n
Tipi di attacco con biglietto dorato<\/h2>\n
\n