O Golden Ticket Attack \u00e9 um ataque cibern\u00e9tico sofisticado que explora pontos fracos na infraestrutura do Active Directory da Microsoft. Ele permite que um invasor falsifique tickets Kerberos, que s\u00e3o usados para autentica\u00e7\u00e3o em dom\u00ednios do Windows, concedendo-lhes acesso n\u00e3o autorizado a uma rede. O ataque foi descoberto e revelado publicamente pelo pesquisador de seguran\u00e7a Benjamin Delpy em 2014. Desde ent\u00e3o, tornou-se uma preocupa\u00e7\u00e3o significativa para administradores de TI e organiza\u00e7\u00f5es em todo o mundo.<\/p>\n
As origens do Golden Ticket Attack remontam \u00e0 descoberta de uma vulnerabilidade na implementa\u00e7\u00e3o Kerberos da Microsoft. O protocolo de autentica\u00e7\u00e3o Kerberos \u00e9 um componente central do Active Directory, fornecendo uma maneira segura para os usu\u00e1rios autenticarem e obterem acesso aos recursos da rede. Em 2014, Benjamin Delpy, criador da ferramenta \u201cMimikatz\u201d, identificou pontos fracos na forma como os tickets Kerberos eram emitidos e validados.<\/p>\n
Delpy revelou que um invasor com acesso administrativo a um controlador de dom\u00ednio poderia explorar essas vulnerabilidades para forjar um Golden Ticket. Esse ticket forjado poderia ent\u00e3o ser usado para obter acesso persistente aos recursos de uma organiza\u00e7\u00e3o, mesmo ap\u00f3s o ponto de entrada inicial do invasor ter sido fechado.<\/p>\n
O Golden Ticket Attack aproveita dois componentes principais da infraestrutura do Active Directory da Microsoft: o Ticket Granting Ticket (TGT) e o Key Distribution Center (KDC). Quando um usu\u00e1rio faz login em um dom\u00ednio do Windows, o KDC emite um TGT, que atua como prova da identidade do usu\u00e1rio e concede acesso a v\u00e1rios recursos sem a necessidade de inserir credenciais repetidamente.<\/p>\n
O Golden Ticket Attack envolve as seguintes etapas:<\/p>\n
Extraindo material de autentica\u00e7\u00e3o<\/strong>: um invasor obt\u00e9m acesso administrativo a um controlador de dom\u00ednio e extrai o material de autentica\u00e7\u00e3o necess\u00e1rio, incluindo a chave secreta de longo prazo do KDC, que \u00e9 armazenada em texto simples.<\/p>\n<\/li>\n Forjando o Bilhete Dourado<\/strong>: Usando o material extra\u00eddo, o invasor cria um TGT com privil\u00e9gios de usu\u00e1rio arbitr\u00e1rios e um per\u00edodo de validade muito longo, normalmente abrangendo v\u00e1rias d\u00e9cadas.<\/p>\n<\/li>\n Persist\u00eancia e Movimento Lateral<\/strong>: o ticket forjado \u00e9 ent\u00e3o usado para obter acesso persistente \u00e0 rede e mover-se lateralmente pelos sistemas, acessando recursos confidenciais e comprometendo contas adicionais.<\/p>\n<\/li>\n<\/ol>\n Para compreender a estrutura interna do Golden Ticket Attack, \u00e9 essencial compreender os componentes de um ticket Kerberos:<\/p>\n Cabe\u00e7alho<\/strong>: cont\u00e9m informa\u00e7\u00f5es sobre o tipo de criptografia, tipo de ticket e op\u00e7\u00f5es de ticket.<\/p>\n<\/li>\n Informa\u00e7\u00f5es sobre ingressos<\/strong>: inclui detalhes sobre a identidade, os privil\u00e9gios e os servi\u00e7os de rede do usu\u00e1rio que ele pode acessar.<\/p>\n<\/li>\n Chave da sess\u00e3o<\/strong>: usado para criptografar e assinar mensagens na sess\u00e3o.<\/p>\n<\/li>\n Informa\u00e7\u00f5es adicionais<\/strong>: pode incluir o endere\u00e7o IP do usu\u00e1rio, o prazo de validade do ticket e outros dados relevantes.<\/p>\n<\/li>\n<\/ol>\n O Golden Ticket Attack possui v\u00e1rios recursos importantes que o tornam uma amea\u00e7a potente:<\/p>\n Persist\u00eancia<\/strong>: o longo per\u00edodo de validade do ticket forjado permite que os invasores mantenham o acesso \u00e0 rede por um per\u00edodo prolongado.<\/p>\n<\/li>\n Eleva\u00e7\u00e3o de Privil\u00e9gio<\/strong>: os invasores podem elevar seus privil\u00e9gios falsificando tickets com acesso de n\u00edvel superior, garantindo-lhes controle sobre sistemas e dados cr\u00edticos.<\/p>\n<\/li>\n Movimento lateral<\/strong>: Com acesso persistente, os invasores podem mover-se lateralmente pela rede, comprometendo sistemas adicionais e aumentando seu controle.<\/p>\n<\/li>\n Furtividade<\/strong>: o ataque deixa pouco ou nenhum rastro nos logs do sistema, dificultando sua detec\u00e7\u00e3o.<\/p>\n<\/li>\n<\/ol>\n Existem dois tipos principais de ataques Golden Ticket:<\/p>\n Roubando ingressos<\/strong>: essa abordagem envolve roubar o material de autentica\u00e7\u00e3o, como a chave secreta de longo prazo do KDC, de um controlador de dom\u00ednio.<\/p>\n<\/li>\n Ataque off-line<\/strong>: em um cen\u00e1rio de ataque offline, os invasores n\u00e3o precisam comprometer diretamente um controlador de dom\u00ednio. Em vez disso, eles podem extrair o material necess\u00e1rio de backups ou instant\u00e2neos de dom\u00ednio.<\/p>\n<\/li>\n<\/ol>\n Abaixo est\u00e1 uma tabela comparativa dos dois tipos:<\/p>\nA Estrutura Interna do Ataque Golden Ticket<\/h2>\n
\n
An\u00e1lise dos principais recursos do Golden Ticket Attack<\/h2>\n
\n
Tipos de ataque Golden Ticket<\/h2>\n
\n