Overpass-the-Hash

Overpass-the-Hash (también pass-the-key) usa el hash NT o la clave AES de una cuenta para pedirle al KDC un TGT legítimo, y a partir de ahí opera por Kerberos. Es el puente entre el material NTLM y Kerberos: convierte un hash robado en un ticket real, útil cuando el Pass-the-Hash NTLM está bloqueado pero seguimos teniendo el hash.

Por qué funciona. En el intercambio inicial de Kerberos (AS-REQ), el cliente demuestra su identidad cifrando una marca de tiempo con una clave derivada de su contraseña, no con la contraseña en claro. Esa clave es justo el hash NT (RC4) o la clave AES de la cuenta. Si los tenemos, podemos completar el AS-REQ sin conocer el texto plano y recibir un TGT válido, que después se pasa a memoria como un Pass-the-Ticket normal.

El abuso. Se pide el TGT con el hash o la clave y se inyecta (/ptt).

# Rubeus: pedir el TGT con el hash RC4 (o /aes256:) e inyectarlo
Rubeus.exe asktgt /user:<user> /domain:<domain> /rc4:<hash-NT> /ptt

# mimikatz: lanzar un proceso con la identidad Kerberos derivada del hash
sekurlsa::pth /user:<user> /domain:<domain> /ntlm:<hash-NT> /run:cmd.exe

# Linux (Impacket): pedir el TGT con el hash (o la clave AES) y usarlo
getTGT.py <domain>/<user> -hashes :<hash-NT>
getTGT.py <domain>/<user> -aesKey <aes-key>
export KRB5CCNAME=<user>.ccache
wmiexec.py -k -no-pass <domain>/<user>@<target>

Requisitos. Hace falta el hash NT o la clave AES de la cuenta (de un volcado de LSASS, la SAM o un secretsdump) y que el KDC acepte el tipo de cifrado usado. Preferir AES sobre RC4: en dominios endurecidos el RC4 puede estar deshabilitado y, además, levanta más sospechas.

Cómo detectarlo. La señal es un Event ID 4768 (se solicitó un TGT) con tipo de cifrado RC4 (0x17) en un entorno que ya opera con AES: pedir un TGT con RC4 delata que la clave viene de un hash NT, no de un inicio de sesión interactivo normal. Ayuda correlacionar ese 4768 con un host o una hora inusual para la cuenta, y con la ausencia de un inicio de sesión interactivo previo (4624 tipo 2) que lo justifique.

Defensa. Deshabilitar RC4 en Kerberos para forzar AES, proteger LSASS con Credential Guard para que no se puedan volcar hashes ni claves, y meter las cuentas privilegiadas en Protected Users (que además impide el uso de RC4 y acorta el TGT). Es la evolución del Pass-the-Hash cuando el objetivo solo habla Kerberos, y desemboca en un Pass-the-Ticket.