Was ist ein Pass-the-Hash-Angriff und wie funktioniert er?

Die Eingabe Ihrer Anmeldeinformationen jedes Mal, wenn Sie sich bei einem System anmelden möchten, kann ermüdend sein, insbesondere wenn Sie sich regelmäßig beim System anmelden. Sie können sogar Ihre Passwörter vergessen.

Die Implementierung von Betriebssystemen, die Benutzern eine einmalige Anmeldung bieten, erspart Ihnen die jedes Mal erneute Eingabe Ihrer Anmeldedaten. Aber es gibt ein Problem damit. Angreifer können Ihre im System gespeicherten Zugangsdaten durch einen Pass-the-Hash-Angriff (PtH) ausnutzen.

Hier besprechen wir, wie ein Pass-the-Hash-Angriff funktioniert und wie Sie ihn entschärfen können.

Was ist ein Pass-the-Hash-Angriff?

Hashing ist der Prozess der Übersetzung von Zeichenketten in einen Code, wodurch es viel kürzer und einfacher wird. Es ist einer der großen Akteure in der Cybersicherheit, die für die Verhinderung von Datenschutzverletzungen von entscheidender Bedeutung ist.

Administratoren von Webanwendungen Dateien und Nachrichten verschlüsseln um unbefugten Zugriff darauf zu verhindern. Während diese Dateien vertraulich behandelt werden, hilft Hashing dabei, ihre Integrität zu überprüfen. Es verhindert, dass jemand die Dateien beschädigt oder ihren Inhalt ändert und sie dann als Originaldateien präsentiert.

Ein Hash kann nach der Übersetzung nicht rückgängig gemacht werden. Sie können nur feststellen, ob zwei Dateien ähnlich sind oder nicht, ohne ihren Inhalt zu ermitteln. Bevor Sie über das Netzwerk auf ein System oder einen Dienst zugreifen, müssen Sie sich authentifizieren, indem Sie Ihren Benutzernamen und Ihr Kennwort angeben. Jetzt werden diese Informationen in der Datenbank für zukünftige Vergleiche gespeichert, wenn Sie versuchen, sich erneut anzumelden.

Ihre Passwörter sind im Klartext, was sie weniger sicher macht. Und wenn ein Angreifer auf die Datenbank zugreifen kann, kann er Ihr Passwort stehlen und sich unbefugten Zugriff auf Ihr Konto verschaffen. Die Situation verschlimmert sich, wenn Sie zu den Benutzern gehören, die ein einziges Passwort für verschiedene Konten verwenden. Der Angreifer verwendet das gestohlene Passwort, um auf Ihre anderen Konten zuzugreifen.

Also, wie kommt der Hash hier ins Spiel?

Der Hash-Mechanismus wandelt Ihr Klartext-Passwort in Daten um, die nicht auf das ursprüngliche Passwort zurückgesetzt werden können. Nachdem Ihr Passwort gehasht und im Speicher des Systems gespeichert wurde, wird es verwendet, um Ihre Identität nachzuweisen, wenn Sie das nächste Mal auf einen Dienst zugreifen möchten.

Der Hash schützt die Benutzerkonten vor unbefugtem Zugriff. Aber nicht, solange Cyberkriminelle eine Strategie entwickelt haben, um den Hasch zu ernten. Die im Single Sign-On (SSO) entdeckte Sicherheitslücke ist der Pass-the-Hash-Attacke gewichen. Es erschien erstmals 1997 und besteht seit 24 Jahren.

Ein Pass-the-Hash-Angriff ähnelt den Tricks-Angreifern verwenden, um Benutzerkennwörter zu stehlen. Es ist einer der häufigsten, aber unterschätzten Angriffe, wenn es um den Diebstahl und die Verwendung von Benutzeranmeldeinformationen geht.

Mit der Pass-the-Hash-Technik müssen Angreifer den Hash nicht knacken. Es kann wiederverwendet oder an einen Authentifizierungsserver übergeben werden. Passwort-Hashes bleiben von Sitzung zu Sitzung statisch, bis sie geändert werden. Aus diesem Grund greifen Angreifer die Authentifizierungsprotokolle von Betriebssystemen auf, um die gehashten Passwörter zu stehlen.

Wie funktioniert ein Pass-the-Hash-Angriff?

Pass-the-Hash-Angriffe sind am häufigsten auf Windows-Systemen, obwohl sie auch auf anderen Betriebssystemen wie Linux und UNIX auftreten können. Hacker suchen immer nach Schlupflöchern in diesen Systemen, um an ihre Opfer heranzukommen.

Die Schwachstelle von Windows liegt in der NTLM-Authentifizierung, die eine Single-Sign-On-Funktion (SSO) implementiert. Es ermöglicht Benutzern, ihre Passwörter einmal einzugeben und auf jede gewünschte Funktion zuzugreifen.

So funktioniert das:

Wenn Sie sich zum ersten Mal auf einem Windows-System anmelden, wird Ihr Kennwort gehasht und im Speicher des Systems gespeichert. Dies ist eine Öffnung für Angreifer, um Ihr gehashtes Passwort auszunutzen. Sie können physischen Zugriff auf Ihr System haben, seinen aktiven Speicher verschrotten oder es mit Malware und anderen Techniken infizieren.

Tools wie Metasploit, Gsecdump und Mimikatz werden verwendet, um die gehashten Anmeldeinformationen aus dem Systemspeicher zu extrahieren. Danach verwenden Angreifer Ihre Anmeldeinformationen erneut, um sich als Sie anzumelden und auf jede Anwendung zuzugreifen, für die Sie Rechte haben.

Wenn sich ein Freund oder Kollege in Ihr System eingeloggt hat, kann der Hacker ebenfalls seinen Hash ernten. Denken Sie daran, dass es sich um eine seitliche Bewegungstechnik handelt. Ein Worst-Case-Szenario ist ein Hacker, der sich Zugang zu Kontrollsystemen verschafft, die eine ganze Organisation oder IT-Infrastruktur betreiben. Einmal drinnen, können sie vertrauliche Informationen stehlen, Aufzeichnungen ändern oder Malware installieren.

So mindern Sie einen Pass-the-Hash-Angriff

Folgendes sollten Sie über den Pass-the-Hash-Angriff wissen. Es ist kein Bug, sondern ein Feature. Das mit einem Hash implementierte Single-Sign-On-Protokoll soll den Benutzern die erneute Eingabe ihrer Passwörter ersparen. Daher nutzen Hacker jetzt die Windows-SSO-Funktion, das Kommunikationsprotokoll von Linux- und Unix-Systemen, für böswillige Absichten.

Sie können Ihre Chancen, Opfer solcher Angriffe zu werden, verringern, indem Sie diese effektiven Lösungen befolgen.

1. Aktivieren Sie Windows Defender Credential Guard

Der Windows Defender Credential Guard ist eine Sicherheitsfunktion, die mit Windows 10-Systemen und höher geliefert wird. Es schützt vertrauliche Informationen, die auf dem System gespeichert sind. Der Local Security Authority Subsystem Service (LSASS) setzt Sicherheitsrichtlinien auf dem Windows-System durch.

2. Implementieren Sie das Least-Privilege-Sicherheitsmodell

Hier ist die Sache: Wenn Sie ein Geschäftsinhaber sind und Mitarbeiter für Sie arbeiten, beschränken Sie deren Zugriffsrechte nur auf Ressourcen und Dateien, die zur Ausführung ihrer Aufgaben im Netzwerksystem erforderlich sind.

Eliminieren Sie unnötige Administratorrechte und gewähren Sie nur vertrauenswürdigen Anwendungen Berechtigungen. Dadurch wird die Möglichkeit eines Hackers eingeschränkt, seinen Zugriff und seine Berechtigungen zu erweitern.

3. Starten Sie Systeme nach dem Abmelden neu

Denken Sie daran, dass das Ziel darin besteht, das Risiko zu minimieren, Opfer eines Pass-the-Hash-Angriffs zu werden. Da das System den Passwort-Hash in seinem Speicher speichert, wird ein Neustart Ihres Computers nach dem Abmelden den Hash aus dem Systemspeicher entfernen.

4. Installieren Sie die AntiMalware-Software

Cyberkriminelle leisten hervorragende Arbeit bei der Verwendung von Malware, um Netzwerke zu kompromittieren. Automatisierte Tools wie Anti-Malware-Software sind praktisch, um sich gegen diese Cyberangriffe zu verteidigen. Diese Tools erkennen infizierte oder schädliche Dateien in Ihrem System und neutralisieren sie, bevor sie zuschlagen.

Wenn Sie Anti-Malware-Software auf Ihren Geräten installieren, schützen Sie Ihr System vor Malware. Sie können auch Malware-as-a-Service-Plattformen verwenden, um zu erhalten maßgeschneiderte Malware-Lösungen.

5. Aktualisieren Sie Ihre Betriebssysteme

Warum bei einer älteren Version eines Betriebssystems mit geringerer Sicherheit bleiben, wenn Sie es aktualisieren können?

Die neuesten Betriebssysteme bieten normalerweise eine viel bessere Benutzererfahrung und verfügen über robustere Abwehrmechanismen. Beispielsweise verfügt Windows 10 Version 1703 über mehrere Sicherheitsfunktionen, die Benutzer über Netzwerke hinweg schützen.

Nehmen Sie einen effektiven Ansatz für einen Pass-the-Hash-Angriff an

Pass-the-Hash-Angriffe betreffen immer Betriebssysteme, die Single Sign-On unterstützen. Während die Hash-Funktion versucht, Ihr Passwort zu schützen, umgehen Angriffe die Sicherheit, um die gehashten Passwörter mit mehreren Tools zu stehlen.

Übernehmen Sie die Verantwortung für den Schutz Ihrer Anmeldeinformationen, indem Sie auf die neuesten Betriebssysteme aktualisieren, Gewähren Sie nur vertrauenswürdigen Anwendungen Berechtigungen und installieren Sie Anti-Malware-Software auf Ihrem Computer. Cyberkriminelle können den Hash nur passieren, wenn es eine Autobahn für sie gibt. Es liegt in Ihrer Verantwortung, alle Lücken in Ihrem Netzwerk zu schließen.

Was ist Emotet-Malware und wie funktioniert sie?

Im Gegensatz zu den meisten Malware-Programmen fliegt Emotet unter dem Radar und arbeitet im Stillen, um Opfer anzulocken. Erfahren Sie, wie es funktioniert und was Sie tun können, um sich zu schützen.

Lesen Sie weiter

Über den Autor