Active Directory sigue siendo la columna vertebral de los sistemas de autenticación empresariales, almacenando información crítica sobre cuentas de usuario, contraseñas y configuraciones de dominio.

Recientemente, expertos en seguridad han observado un aumento en los ataques dirigidos al archivo de base de datos NTDS.dit, que contiene hashes de contraseñas cifradas para cada cuenta del dominio.

Cuando los atacantes logran robar este archivo, obtienen la capacidad de descifrar contraseñas sin conexión y potencialmente tomar el control de redes corporativas enteras.

Este tipo de ataque representa una de las amenazas más graves para las infraestructuras de dominio de Windows, ya que brinda a los adversarios visibilidad completa sobre el marco de identidad de una organización.

El ataque comienza cuando los hackers obtienen acceso administrativo a un controlador de dominio. Una vez dentro, utilizan utilidades integradas de Windows como vssadmin para crear copias sombra de volumen, lo que les permite eludir los mecanismos de bloqueo de archivos que normalmente protegen la base de datos NTDS.dit.

Tras crear la copia sombra, los atacantes extraen el archivo NTDS.dit junto con la clave del registro SYSTEM, que contiene las claves de cifrado necesarias para descifrar los hashes de las contraseñas.

Herramientas como PsExec permiten la ejecución remota de estos comandos, haciendo que la operación de robo sea rápida y eficiente.

En la segunda fase del ataque, investigadores de Trellix identificaron técnicas sofisticadas de extracción de credenciales desplegadas en múltiples entornos empresariales.

El equipo de seguridad observó que los atacantes utilizaban herramientas como SecretsDump y Mimikatz para procesar los archivos de la base de datos robados.

Estas utilidades de extracción de credenciales pueden recuperar hashes de contraseñas del archivo NTDS.dit, permitiendo a los atacantes realizar ataques de pass-the-hash o descifrar las contraseñas por completo.

Las credenciales robadas proporcionan acceso ilimitado a los recursos del dominio, incluyendo datos sensibles, sistemas financieros y controles administrativos.

Lo que hace que esta amenaza sea particularmente peligrosa es su sigilo. Los atacantes suelen utilizar herramientas administrativas legítimas que se mezclan con la actividad normal de la red, lo que dificulta su detección para las soluciones de seguridad tradicionales.

El proceso de exfiltración suele ocurrir a través de canales cifrados, ocultando aún más el robo de datos de las herramientas de monitoreo de red. Las organizaciones pueden no descubrir la brecha hasta que los atacantes ya hayan establecido acceso persistente en toda la red.

Cómo detecta Trellix Helix el robo de NTDS.dit

Trellix Helix ofrece capacidades avanzadas de detección al correlacionar múltiples señales de seguridad en entornos de endpoint, red y nube.

La plataforma conecta automáticamente actividades sospechosas, como la ejecución de PsExec, la creación de copias sombra de volumen y transferencias inusuales de archivos SMB, en una sola alerta coherente.

A diferencia de las herramientas de seguridad tradicionales que generan notificaciones aisladas, Helix construye una narrativa completa del ataque analizando marcas de tiempo, direcciones IP y patrones de comportamiento.

El sistema mapea cada actividad detectada al marco MITRE ATT&CK, identificando específicamente técnicas de acceso a credenciales como T1003.003, que cubre el volcado de credenciales del sistema operativo desde gestores de cuentas de seguridad.

El motor de correlación de Helix rastrea toda la cadena de ataque, desde el movimiento lateral inicial hasta el volcado de credenciales y los intentos de exfiltración.

Cuando la plataforma detecta el movimiento del archivo NTDS.dit a través de la red, activa una alerta de gravedad crítica titulada “Robo de credenciales: Exfiltración de la base de datos de Active Directory”.

Esta alerta identifica inmediatamente los sistemas comprometidos, las cuentas de usuario afectadas y el alcance de la brecha.

Los equipos de seguridad reciben inteligencia procesable sobre qué administradores de dominio y cuentas privilegiadas han sido comprometidas, permitiendo una contención rápida antes de que los atacantes puedan aprovechar las credenciales robadas en el entorno de red más amplio.