Movimiento lateral con Pass-the-Hash y Overpass-the-Hash

El protocolo de autenticación NTLM funciona mediante un esquema de desafío y respuesta (Challenge-Response). En ningún momento del intercambio el cliente envía la contraseña en texto claro ni el servidor la necesita para verificar al usuario: el algoritmo matemático utiliza directamente el hash NT como clave de cifrado. Para el protocolo, el hash ES la credencial equivalente. Si un atacante extrae el hash de la memoria o de un registro, puede presentarlo directamente a cualquier servicio que acepte NTLM (como SMB o WMI) sin conocer la contraseña original.

En muchas empresas, los equipos se instalan clonando una imagen de disco con la misma contraseña para la cuenta 'Administrator' local en todas las computadoras. Si un atacante compromete una máquina de recepción y extrae el hash del administrador local, puede usar la técnica Pass-the-Hash para saltar lateralmente a la estación del director financiero o del servidor de archivos con ese mismo hash. El eslabón roto en una sola máquina abre las puertas de todas las demás de forma inmediata.

Muchos sistemas modernos de detección (EDR y SIEM) vigilan estrictamente el tráfico NTLM buscando anomalías. Para evadir esa vigilancia, los atacantes desarrollaron Overpass-the-Hash (también llamado Pass-the-Key). La técnica consiste en entregar el hash NTLM o la clave AES al subsistema de seguridad local para solicitar un ticket Kerberos TGT legítimo al KDC del controlador. Una vez emitido el TGT, el resto de la navegación lateral se realiza mediante Kerberos estándar, volviéndose indistinguible del tráfico corporativo normal.

Para erradicar el riesgo de Pass-the-Hash entre administradores locales, Microsoft desarrolló la Solución de Contraseñas de Administrador Local (LAPS). Con LAPS, cada computadora genera una contraseña local aleatoria, larga y única para su cuenta de administrador local. Esa contraseña se almacena de forma segura en un atributo protegido del objeto de la máquina en Active Directory y rota automáticamente cada 30 días. Si una estación cae, su hash no sirve para entrar a ninguna otra máquina de la empresa.