Persistencia profunda con Tickets Dorados y Plateados

En todo dominio de Active Directory existe una cuenta especial de sistema llamada 'krbtgt' (Kerberos Ticket Granting Ticket). Esta cuenta no inicia sesión de forma interactiva; su contraseña y su hash NTLM se utilizan exclusivamente para firmar y cifrar todos los tickets de concesión de tickets (TGT) emitidos por el Centro de Distribución de Claves (KDC). Cuando un usuario presenta un TGT ante el controlador, este no consulta ninguna base de datos para ver si es válido: simplemente comprueba si está correctamente firmado con la clave secreta de krbtgt.

Si un atacante consigue obtener el hash NTLM o la clave AES de la cuenta krbtgt (por ejemplo, mediante DCSync o acceso al controlador), tiene en sus manos la imprenta de billetes del dominio. Puede forjar un Golden Ticket: un TGT ficticio creado localmente donde declara llamarse cualquier usuario, asignarse una validez de diez años y pertenecer a 'Domain Admins' (RID 512). Al presentar ese ticket forjado ante cualquier servidor del dominio, el sistema lo acepta como legítimo porque el sello criptográfico de krbtgt coincide perfectamente.

El Silver Ticket es el hermano menor del Golden Ticket, pero mucho más discreto. En lugar de utilizar la clave de krbtgt, se forja un ticket de servicio (TGS) utilizando el hash de la cuenta de máquina o cuenta de servicio que aloja una aplicación concreta (por ejemplo, el servicio CIFS/SMB de un servidor de archivos). Como el cliente entrega el TGS directamente al servidor de destino y ese servidor solo valida la firma con su propia clave local, el controlador de dominio nunca se entera de la conexión. No hay tráfico con el KDC ni eventos en los registros del controlador.

Si un dominio ha sido comprometido con la extracción del hash de krbtgt, cambiar la contraseña de los administradores no sirve de nada: los Golden Tickets seguirán funcionando. Tampoco alcanza con cambiar la contraseña de krbtgt una sola vez: Windows almacena la contraseña actual y la contraseña anterior en el historial para permitir que los tickets en tránsito no se rompan abruptamente. La única remediación efectiva es realizar una rotación doble de la contraseña de krbtgt, dejando pasar un tiempo prudencial (habitualmente varias horas) entre ambos cambios para permitir la sincronización entre controladores.