AS-REP Roasting y preautenticación Kerberos

Cuando un usuario inicia sesión, su equipo envía un mensaje AS-REQ al Centro de Distribución de Claves (KDC). En condiciones normales, el KDC exige que el mensaje contenga un paquete de preautenticación (PA-ENC-TIMESTAMP): la hora actual cifrada con el hash de la contraseña del usuario. Esto demuestra al servidor que quien hace la solicitud conoce la contraseña antes de entregarle ningún dato sensible. Si la preautenticación está desactivada, el KDC salta este paso y entrega el AS-REP directamente.

En Active Directory, algunas cuentas heredadas o de servicios antiguos se configuran marcando la casilla 'No requerir autenticación previa Kerberos'. Esta opción activa el flag DONT_REQ_PREAUTH (valor hexadecimal 0x400000) en el atributo userAccountControl. Las organizaciones a menudo olvidan desmarcar esta casilla al migrar aplicaciones, dejando la cuenta expuesta a solicitudes arbitrarias de cualquier observador en la red interna.

Un atacante ejecuta herramientas como GetNPUsers.py (de Impacket) o Rubeus asreproast. La herramienta envía una petición AS-REQ para la cuenta vulnerable y recibe de vuelta el paquete AS-REP. Este paquete contiene una sección cifrada con la clave secreta de la víctima (tipo de cifrado rc4-hmac o aes256-cts-hmac-sha1-96). El atacante guarda ese hash en un archivo y procede a romperlo en su propia máquina con Hashcat (modo 18200 para Kerberos 5 AS-REP etype 23) sin generar bloqueos de cuenta en el controlador de dominio.

La corrección de este vector es inmediata: ejecutar la consulta PowerShell Get-ADUser -Filter {DoesNotRequirePreAuth -eq $True} y desmarcar la casilla correspondiente en todas las cuentas encontradas (Set-ADUser -DoesNotRequirePreAuth $False). Como control complementario en el SIEM, se monitorizan los eventos de seguridad de Windows con el Event ID 4768 (solicitud de ticket TGT), prestando atención a los eventos donde el campo 'Pre-Authentication Type' sea igual a 0 (sin preautenticación).