Shadow Credentials y abuso de msDS-KeyCredentialLink

Para permitir el inicio de sesión sin contraseña con PIN o biometría (Windows Hello for Business), Microsoft introdujo un mecanismo de claves asimétricas: el equipo del usuario genera un par de claves criptográficas y almacena la clave pública en el objeto de la cuenta en Active Directory, dentro del atributo binario msDS-KeyCredentialLink. Cuando el usuario se autentica, utiliza la extensión PKINIT de Kerberos para solicitar un TGT demostrando la posesión de la clave privada correspondiente.

Si un atacante posee permisos de escritura de propiedades (GenericWrite, WriteProperty o GenericAll) sobre un objeto de cuenta (por ejemplo, la cuenta de un servidor o de un administrador), puede usar utilidades como Whisker o pyWhisker para añadir su propia clave pública al atributo msDS-KeyCredentialLink de la víctima. La contraseña de la cuenta no se altera en absoluto: la víctima sigue trabajando con total normalidad mientras el atacante dispone de un método de autenticación paralelo.

Una vez inyectada la clave pública en el atributo del objeto, el atacante utiliza la clave privada generada para solicitar un ticket TGT de Kerberos al KDC mediante PKINIT (usando herramientas como Rubeus o PKINITtools). El KDC verifica la firma contra la clave pública recién registrada en msDS-KeyCredentialLink y emite un TGT legítimo a nombre de la cuenta víctima. Con ese TGT, el atacante puede solicitar tickets de servicio (TGS) o calcular el hash NT de la cuenta.

La inyección de Shadow Credentials no pasa desapercibida si la auditoría de Active Directory está bien configurada. En los controladores de dominio, la modificación del atributo genera el Event ID 5136 (Un objeto de servicio de directorio se ha modificado). La alerta en el SIEM debe buscar eventos 5136 donde el campo 'Attribute LDAP Display Name' sea msDS-KeyCredentialLink y el tipo de operación sea 'Value Added', prestando especial atención a modificaciones efectuadas fuera de los procesos de enrolamiento de Windows Hello.