Silver Ticket Attack

Silver Ticket Attack (atak srebrnego biletu) to technika używana przez napastnika, który już dostał się do sieci z Active Directory. Polega na podrobieniu kerberosowego biletu usługi (TGS, czyli Ticket-Granting Service — bilet wystawiany na dostęp do konkretnej usługi) i pokazaniu go wprost tej usłudze, z pominięciem kontrolera domeny. Bilet jest zaszyfrowany hasłem konta usługi lub konta komputera, do którego usługa należy — dlatego usługa uznaje go za prawdziwy. Kontroler domeny (KDC, Key Distribution Center — centrum, które normalnie wystawia bilety Kerberos) w ogóle nie bierze w tym udziału, więc nie zostawia po sobie żadnego śladu w logach. To główna różnica wobec ataku Golden Ticket: tamten wymaga hasła konta krbtgt i daje władzę nad całą domeną, a Silver Ticket celuje w jedną usługę — przez co jest dużo trudniejszy do wykrycia.

Jak działa Silver Ticket Attack?

Atak nadużywa sposobu, w jaki Kerberos sprawdza bilety usług. Normalnie klient pobiera z kontrolera domeny bilet wstępny (TGT), wymienia go na bilet usługi (TGS), a potem pokazuje ten bilet usłudze. Bilet jest zaszyfrowany długoterminowym kluczem konta usługi (pochodzącym z jego hasła), więc usługa potrafi go odczytać i ufa jego zawartości. W środku biletu znajduje się struktura PAC (Privileged Attribute Certificate), która mówi, kim jest użytkownik i do jakich grup należy (tzw. SID-y, czyli identyfikatory kont i grup).

Jeśli napastnik zdobędzie hash hasła konta usługi (lub konta komputera), może sam zbudować i zaszyfrować poprawny bilet TGS — bez kontaktu z kontrolerem domeny. Zwykle wygląda to tak:

1. Rozpoznanie — napastnik zbiera identyfikator domeny (Domain SID), jej nazwę oraz nazwę SPN (Service Principal Name) usługi, w którą celuje. SPN to po prostu nazwa, pod którą usługa jest znana w domenie.
2. Zdobycie hasha konta usługi — wyciągnięcie hasha hasła konta usługi lub komputera. Robi się to różnie: przez Kerberoasting (łamanie haseł kont z SPN w trybie offline, czyli na własnym sprzęcie), zrzut pamięci procesu LSASS, atak DCSync albo z bazy SAM lub NTDS.dit przejętego komputera.
3. Podrobienie biletu — wygenerowanie biletu TGS z dowolnym PAC (np. udając administratora domeny) i zaszyfrowanie go hashem konta usługi. Krok ten automatyzują narzędzia takie jak Mimikatz czy Impacket (ticketer.py).
4. Pokazanie biletu — przekazanie podrobionego biletu wprost usłudze (np. CIFS, HTTP, MSSQL, HOST), która go odszyfrowuje i akceptuje.
5. Wykorzystanie dostępu — działanie w roli usługi: dostęp do plików, zapytania do bazy danych, uruchamianie kodu czy przechodzenie dalej w głąb sieci.

Czym różni się Silver Ticket od Golden Ticket?

Oba ataki polegają na podrabianiu biletów Kerberos, ale różnią się kluczem, zasięgiem i tym, jak łatwo je zauważyć:

• Klucz / hash — Golden Ticket podrabia bilet wstępny (TGT) hashem konta krbtgt; Silver Ticket podrabia bilet usługi (TGS) hashem konkretnego konta usługi lub komputera.
• Zasięg — Golden Ticket otwiera dostęp do dowolnej usługi w całej domenie (de facto przejęcie domeny); Silver Ticket ogranicza się do jednej usługi na jednym komputerze.
• Udział kontrolera domeny — Golden Ticket wciąż wymienia TGT na TGS w kontrolerze domeny, więc zostawia tam zdarzenia; Silver Ticket całkowicie omija kontroler, bo bilet powstaje lokalnie.
• Wykrywalność i trwałość — żeby unieważnić Golden Ticket, trzeba dwukrotnie zmienić hasło krbtgt; Silver Ticket bywa w praktyce trwalszy, bo hasła kont usług i komputerów zmienia się rzadziej, a brak śladu po stronie kontrolera utrudnia jego wychwycenie.

Jak wykryć Silver Ticket Attack?

Wykrycie jest trudne, bo żądanie biletu nigdy nie trafia do kontrolera domeny. Brakuje więc zdarzeń 4768 (żądanie biletu wstępnego) i 4769 (żądanie biletu usługi), które normalnie poprzedzałyby taki dostęp. Telemetrię trzeba zbierać po stronie komputera z usługą i szukać niespójności:

• Logowanie bez wcześniejszego żądania biletu — zdarzenie logowania 4624 przez Kerberos na serwerze usługi, któremu nie odpowiada żadne zdarzenie 4769 na kontrolerze domeny.
• Dziwne pola w bilecie i PAC — niezgodne lub puste dane tożsamości, SID-y, które nie pasują do żadnego prawdziwego konta, albo czas ważności biletu niezgodny z polityką domeny.
• Słabe szyfrowanie — bilety szyfrowane RC4 (typ 0x17, etype 23) tam, gdzie środowisko wymusza AES, bywają sygnałem podróbki.
• Nietypowy dostęp kont usług i komputerów — logowania o dziwnych porach, z nieoczekiwanych komputerów albo do zasobów spoza zwykłego wzorca pracy danej usługi.

Dla zespołów SOC, monitoringu sieci i rozwiązań NDR najważniejsze jest jedno: ten atak jest „cichy” na poziomie katalogu, a widoczny dopiero na poziomie komputera z usługą i wzorców dostępu. Skuteczne wykrywanie wymaga zbierania logów także z serwerów członkowskich (nie tylko z kontrolerów domeny), ustalenia normalnego zachowania kont usług i porównywania logowań Kerberos z rzeczywistym ruchem do usług.

Jak chronić się przed Silver Ticket Attack?

Atak zależy od zdobycia hasha konta usługi, więc obrona skupia się na utrudnieniu kradzieży haseł, wymuszeniu sprawdzania biletów i skróceniu czasu, w którym wykradziony klucz jest przydatny:

• gMSA / dMSA — grupowe zarządzane konta usług, które same zmieniają długie, losowe hasła (domyślnie co 30 dni). Dzięki temu znikają statyczne, słabe hasła kont usług.
• Silne hasła i regularna zmiana — w tym rutynowa zmiana haseł kont usług i resetowanie haseł kont komputerów; długie hasła utrudniają Kerberoasting.
• Wymuszenie AES — wyłączenie szyfrowania RC4 dla biletów Kerberos, by utrudnić łamanie haseł i łatwiej wyłapywać podejrzane bilety.
• Sprawdzanie PAC po stronie usługi — włączenie walidacji PAC, dzięki której usługa potwierdza poprawność biletu u kontrolera domeny, zamiast ufać mu w ciemno.
• Zasada najmniejszych uprawnień — ograniczenie uprawnień kont usług, oznaczanie kont wrażliwych jako „niepodlegające delegacji” i trzymanie ich poza grupami administracyjnymi.
• Reakcja na incydent — przy podejrzeniu włamania: ustalenie, które konto usługi padło ofiarą, natychmiastowy reset jego hasła i analiza, jak daleko napastnik mógł zajść w sieci.

Dowiedz się więcej

• Atak Golden Ticket – wykrywanie ataków Kerberos i zabezpieczenia Active Directory — Golden Ticket i Silver Ticket to różne nadużycia Kerberos, często omawiane razem.
• APT (Advanced Persistent Threat) — Silver Ticket Attack bywa elementem długotrwałej kampanii APT w sieci Windows.
• SIEM — SIEM pomaga wykrywać anomalie i ślady po użyciu Silver Ticket Attack.