Descoberta e escopo do ataque
Atuantes de ameaças que ganham um ponto de apoio em uma rede Windows estão cada vez mais mirando o controlador de domínio, o servidor que gerencia identidades e permissões. Um roubo bem-sucedido de seu banco de dados Active Directory pode expor material de senha para cada conta no domínio. Esse único passo pode transformar uma intrusão local em uma violação muito mais ampla. Pesquisadores descrevem uma cadeia de ataque que pode começar com spearphishing, uma macro nociva do Office, um arquivo de atalho ou um instalador adulterado.
Um pequeno programa de primeira etapa é executado na memória, entra em contato com um servidor controlado pelo atacante e busca privilégios mais altos. A partir daí, o intruso pode se mover em direção ao controlador de domínio enquanto tenta se misturar à atividade normal do Windows. Analistas da Trellix notaram a atividade em uma simulação controlada que seguiu o roubo de credenciais do acesso inicial até a remoção de dados.
A Trellix disse em um relatório que os defensores devem focar em comportamento suspeito, em vez de depender apenas de assinaturas de ferramentas conhecidas. O cenário importa porque hashes de senha roubados podem ser usados sem aprender a senha original. Eles também podem ajudar os atacantes a se moverem entre sistemas, impersonar usuários privilegiados e preservar o acesso após limpeza parcial.
Técnica de ataque e exploração
Após alcançar acesso de nível SYSTEM, um atacante pode coletar credenciais mantidas pelo processo de autenticação do Windows e reutilizá-las para se aproximar de um controlador de domínio. O próximo alvo é o banco de dados Active Directory, que normalmente está bloqueado enquanto o Windows está em execução. Os atacantes podem abusar do Volume Shadow Copy Service (VSS) para criar uma cópia legível e contornar esse bloqueio.
O banco de dados roubado é emparelhado com uma hive de registro contendo uma chave necessária para desbloqueá-lo offline. O resultado pode incluir hashes NTLM, chaves Kerberos e histórico de senha para contas de domínio. Na cadeia de laboratório, mecanismos SMB e administração remota copiaram os arquivos antes da exfiltração HTTPS para armazenamento em nuvem. Criminosos não precisam quebrar todas as senhas recuperadas para se beneficiar. Um hash válido pode suportar atividade pass-the-hash, permitindo tentativas de acesso com o próprio hash.
Impacto e riscos para a infraestrutura
A consequência mais séria é o acesso ao segredo da conta KRBTGT. Esse segredo permite que um intruso forje um Golden Ticket, um ticket de logon Kerberos que pode reivindicar direitos poderosos no domínio. A menos que as chaves relevantes sejam alteradas, tickets forjados podem dar aos atacantes uma rota durável de volta para sistemas que anteriormente comprometeram. Equipes de segurança também viram ataques de abuso de cópia de sombra do Windows em que funções de backup são viradas contra as organizações para as quais foram destinadas a proteger.
Monitorar atividade em torno de controladores de domínio é crucial. Sinais incluem acesso privilegiado incomum, criação de cópia de sombra, coleta de arquivos de diretório e transferências de saída grandes. A visibilidade de rede importa porque a exfiltração pode se esconder no tráfego web rotineiro.
Medidas de mitigação e resposta
Organizações devem revisar conexões de saída de controladores de domínio e investigar transferências de arquivo SMB ou HTTPS inesperadas. Elas também devem limitar o acesso ao Volume Shadow Copy Service e remover autenticação NTLM onde não for mais necessária. Para reduzir a chance de tomada de identidade completa, administradores devem habilitar o grupo Protected Users onde apropriado e monitorar caminhos para controladores de domínio.
Eles devem auditar direitos de replicação e investigar padrões DCSync incomuns. Após uma violação confirmada, isolar sistemas afetados, redefinir contas privilegiadas expostas e planejar uma rotação controlada de chave KRBTGT. A resposta não pode parar na exclusão de um programa suspeito. Equipes precisam identificar sistemas alcançados com credenciais roubadas, revisar logs para uso de ticket e determinar se o banco de dados saiu da rede.
Implicações regulatórias e LGPD
A violação de credenciais de domínio pode levar ao vazamento de dados pessoais de funcionários e clientes, acionando obrigações de notificação sob a LGPD. A exposição de hashes de senha pode permitir acesso não autorizado a sistemas que processam dados sensíveis. A governança de segurança deve incluir monitoramento contínuo de atividades de identidade e resposta rápida a incidentes de comprometimento de controlador de domínio.
Perguntas frequentes
O que é NTDS.dit? É o banco de dados do Active Directory que contém informações de identidade e credenciais.
Como os atacantes roubam o arquivo? Usando Volume Shadow Copy Service para criar uma cópia legível enquanto o sistema está em execução.
Qual o impacto do Golden Ticket? Permite acesso persistente e ilimitado ao domínio sem necessidade de senhas reais.
Como prevenir? Monitoramento de DC, limitação de VSS, rotação de chave KRBTGT e uso de Protected Users.