Envenenamiento LLMNR

LLMNR es el acrónimo de Link Local Multicast Name Resolution y se utiliza para identificar hosts cuando el DNS interno falla. El ataque consiste en levantar un listener y esperar a que un usuario en la red inicie sesión en una unidad compartida o en cualquier otra red objetivo.

Paso 1: iniciar el sniffer cuando está conectado a la red

responder.py -I eth0

Ataque de relay SMB

En lugar de obtener los hashes y crackearlos offline como el ataque anterior, en este caso se reenvía el hash en la red para acceder a los dispositivos de destino. Si el usuario de dicho hash tiene acceso al objetivo, el atacante que envía las credenciales obtendrá una shell y podrá realizar las acciones post-explotación pertinentes como extraer los hashes de la SAM.

El requisito para que este ataque funcione es que la firma SMB debe estar deshabilitada en la red.

Paso 1: cambiar la configuración del responder para escuchar y no responder.

SMB=Off & HTTP = Off

responder.py -I eth0

ntlmrelayx.py -tf targets.txt -smb2support

DNS Takeover

En este ataque usaremos una herramienta llamada mitm6 para configurar un Man-in-the-Middle. mitm6 está diseñado para usarse con ntlmrelayx y debe ejecutarse paralelamente. mitm6 falsificará el DNS, causando que los usuarios objetivo se conecten a ntlmrelayx para conexiones HTTP y SMB.

PD: hay que asegurarse de ejecutar ntlmrelayx con la opción -6, lo que hará que escuche tanto en IPv4 como en IPv6.

En caso de que un administrador inicie sesión mientras se ejecuta, creará un usuario de dominio junto con un punto de restauración.

Paso 1: lanzar el MiTM usando la herramienta mitm6 y ejecutar ntlmrelay en paralelo

mitm6 -d <Dominio>
ntlmrelayx.py -6 -t ldaps://DC_IP -wh fakewpad.<Dominio> -l lootme

Pass-the-Hash y Pass-the-Password

Cuando ya tenemos un conjunto de credenciales, podemos "pasar la contraseña" por la red si tenemos acceso a todos los objetivos. Esto se puede verificar por ejemplo con la herramienta crackmapexec y podemos usar la misma herramienta para volcar los hashes en el servidor para usarlos más tarde. 

Paso 1: Identificación de los servidores a los que se puede acceder utilizando estas cuentas. En caso de que la salida muestre (Pwned), tenemos acceso administrativo en ese servidor. Podemos usar lo mismo para extraer hashes de ese servidor.

crackmapexec smb 10.0.0.0/24 -u <usuario> -d <Dominio> -p <Contraseña>

Los hashes recopilados se pueden crackear offline usando hashcat. En caso de que solo tengamos el hash NTLM y no la contraseña de texto claro, también podemos intentar usarla en la red para a ver si eso funciona en alguna parte.

Paso 1: reenviar el hash para verificar los servidores donde el usuario tiene acceso

crackmapexec smb 10.0.0.0/24 -u <usuario> -d <Dominio> -H <Hash>

psexec.py <dominio>/<usuario>:<Contraseña>@<IP del servidor> 

La relación entre computadoras, usuarios, privilegios y todos los demás objetos es compleja. Hay formas manuales para extraer la información como usuarios, grupos, sesiones, etc., pero dado el tamaño y la complejidad de la red, se vuelve difícil recopilar y correlacionar toda la información. Bloodhound es una herramienta que puede hacer toda la correlación y ayudar a un atacante a identificar las rutas de ataque.

El requisito para ejecutarlo es acceder a un sistema y ejecutar una herramienta de recopilación de PowerShell llamada sharphound. La salida generada se puede extraer y cargar en Bloodhound, que el atacante puede analizar mientras se toma un café. La herramienta ofrece varias consultas preconstruidas que el atacante puede usar para identificar información, como:

• Información de la base de datos como Usuarios, Computadoras, Grupos, Sesiones, Relaciones, etc.
• ¿Qué usuario está conectado dónde?
• ¿Qué usuario tiene acceso de administrador?
  

Ruta más corta para llegar al controlador de dominio

Paso 1: recopilación de datos con sharphound.ps1

PS>PowerShell -ep bypass
PS>. .\SharpHound.ps1
PS>Invoke-BloodHound -CollectionMethod -All -Domain <Nombre del dominio> -ZipFileName file.zip