Mandiant, propiedad de Google, ha publicado públicamente un extenso conjunto de datos de tablas arcoíris para Net-NTLMv1, lo que supone una escalada significativa en la demostración de los riesgos de seguridad de los protocolos de autenticación heredados. Este lanzamiento refuerza un mensaje urgente: las organizaciones deben migrar de inmediato del protocolo Net-NTLMv1, obsoleto y criptográficamente roto desde 1999, ampliamente conocido por su inseguridad.

Mandiant, propiedad de Google, ha publicado públicamente un conjunto de datos completo de tablas arcoíris para Net-NTLMv1, marcando una escalada significativa en la demostración de los riesgos de seguridad de los protocolos de autenticación heredados.

Esta publicación subraya un mensaje urgente: las organizaciones deben migrar inmediatamente de Net-NTLMv1, un protocolo obsoleto que ha estado criptográficamente roto desde 1999 y es ampliamente conocido como inseguro desde al menos 2012.

A pesar de dos décadas de advertencias de seguridad, los consultores de Mandiant siguen identificando Net-NTLMv1 en entornos empresariales activos, lo que sugiere que la inercia organizacional sigue siendo una barrera crítica para su remediación.

La importancia de esta publicación radica en reducir drásticamente la barrera operativa para la recuperación de credenciales. Anteriormente, explotar Net-NTLMv1 requería subir datos de autenticación sensibles a servicios de terceros o hardware dedicado costoso para ataques de fuerza bruta.

El conjunto de datos de Mandiant ahora permite a los profesionales de seguridad recuperar claves de autenticación en menos de 12 horas utilizando hardware de consumo que cuesta menos de 600 USD. Esta accesibilidad transforma a Net-NTLMv1 de una vulnerabilidad teórica en un vector de ataque práctico al alcance de una base de actores de amenazas mucho más amplia.

Tablas arcoíris que permiten hackear contraseñas de administrador con NTLMv1

La vulnerabilidad surge de la dependencia de Net-NTLMv1 en un mecanismo de ataque de texto plano conocido (KPA). Cuando un atacante obtiene un hash Net-NTLMv1 sin Seguridad de Sesión Extendida (ESS) para el valor de texto plano conocido 1122334455667788, puede aplicar ataques criptográficos para recuperar el material clave, que equivale al hash de la contraseña del objeto de Active Directory que se autentica.

La cadena de ataque suele comenzar con la coerción de autenticación contra objetivos altamente privilegiados, como controladores de dominio, utilizando herramientas como PetitPotam o DFSCoerce para forzar conexiones entrantes.

Una vez capturados, los atacantes preprocesan los hashes Net-NTLMv1 en componentes DES utilizando utilidades como ntlmv1-multi, y luego aplican las tablas arcoíris de Mandiant con herramientas como RainbowCrack o RainbowCrack-NG para recuperar las claves DES.

El componente clave final puede calcularse o buscarse utilizando herramientas especializadas, reconstruyendo el hash NT completo para comprometer las credenciales.

Una ruta común de escalada implica recuperar el hash de la cuenta de máquina de un controlador de dominio, lo que luego permite ataques DCSync para comprometer cualquier cuenta dentro de Active Directory.

Las tablas arcoíris representan una técnica de compensación tiempo-memoria propuesta por primera vez por Martin Hellman en 1980, con desarrollo formal publicado por Philippe Oechslin en 2003.

Hashcat añadió soporte para descifrar claves DES utilizando texto plano conocido en agosto de 2016, democratizando aún más la explotación de Net-NTLMv1. La publicación de Mandiant combina los recursos computacionales de Google Cloud con la experiencia en seguridad de primera línea para eliminar toda una clase de ataques de autenticación a escala.

El conjunto de datos está disponible a través del portal de Google Cloud Research Dataset o mediante comandos gsutil. Los checksums SHA512 permiten verificar la integridad del conjunto de datos, y la comunidad de seguridad ya ha creado implementaciones derivadas optimizadas para procesamiento en CPU y GPU.

Los atacantes emplean Responder con las banderas --lm y --disable-ess, configurando la autenticación al valor estático 1122334455667788 para forzar la negociación de Net-NTLMv1.

Las organizaciones pueden detectar esta actividad filtrando el Evento ID 4624 del Registro de Eventos de Windows ("Se inició sesión en una cuenta correctamente") para el campo "Paquete de Autenticación", alertando cuando aparezcan los valores "LM" o "NTLMv1".

La mitigación inmediata requiere deshabilitar Net-NTLMv1 en toda la organización. Los sistemas Windows deben configurarse para "Enviar solo respuesta NTLMv2" a través de Configuración de Seguridad Local o Directiva de Grupo, específicamente en los ajustes de "Seguridad de red: nivel de autenticación de LAN Manager".

Sin embargo, debes tener en cuenta que la configuración del sistema local permite a los atacantes con acceso administrativo degradar los ajustes después de un compromiso, lo que hace necesario implementar mecanismos de monitoreo y detección continuos más allá de la simple aplicación de políticas.

La publicación de las tablas arcoíris de Mandiant marca un momento significativo en las discusiones sobre la seguridad de Net-NTLMv1. Lo que alguna vez fue una preocupación académica se ha transformado en un vector de ataque práctico y accesible que requiere atención inmediata y estrategias de remediación integrales por parte de las organizaciones.