¿Sabías que en una operación real de Red Team no necesitamos conocer ni descifrar la contraseña en texto plano de un administrador para controlar toda la red? Muchas empresas confían únicamente en contraseñas largas y complejas dentro de Active Directory, sin notar que los protocolos de autenticación reutilizan credenciales derivadas en la memoria.
En esta guía técnica de ViciousByte analizamos cómo ocurre este escenario en entornos reales, qué evidencia dejan nuestras pruebas de laboratorio y qué controles de ingeniería de seguridad y operaciones de Red Team permiten prevenirlo.
1. Anatomía técnica del vector y superficie de exposición
El primer vector clásico es Pass-the-Hash sobre el protocolo NTLM. Como el servidor valida el resumen criptográfico directo, poseer el hash equivale exactamente a tener la clave.
Observa esta prueba de laboratorio en un dominio de prueba. Al comprometer una estación donde inició sesión soporte técnico, extraemos el hash NTLM para autenticarnos lateralmente.
$ python3 ad_lateral_audit.py --domain corp.lab --check-ntlm
Evento detectado: Security Event ID 4624 (Logon Type 3 - Network)
Paquete de auth: NTLM SSP (Sin ticket Kerberos previo en estación)
Causa de exposición: Cuenta de soporte inició sesión en PC de usuario
Reutilización local: Hash local idéntico en 42 estaciones de trabajo
Vector demostrado: MITRE ATT&CK T1550.002 (Pass-the-Hash lateral)Si los administradores utilizan la misma cuenta privilegiada para revisar equipos de usuarios, un solo computador infectado entrega las llaves para saltar hacia servidores críticos.
2. Escalada operativa y pruebas de laboratorio
El segundo vector silencioso es Kerberoasting, donde cualquier usuario del dominio solicita tickets de servicio Kerberos asociados a cuentas SPN de bases de datos o aplicaciones.
Mira en esta segunda captura cómo el controlador de dominio entrega legítimamente el billete TGS-REP cifrado con el secreto de la cuenta de servicio para auditarlo.
$ python3 audit_spn_accounts.py --kdc dc01.corp.lab --verify-enc
Consulta LDAP: Búsqueda de objetos de usuario con atributo SPN
Cuenta detectada: svc_sql_reporting (Miembro de grupo privilegiado)
Evento en KDC: Event ID 4769 · Ticket Encryption Type = 0x17 (RC4)
Antigüedad de clave: PasswordLastSet = hace 1,140 días (Estática)
Riesgo operativo: Ticket TGS-REP vulnerable a ataque de diccionarioUna vez obtenido ese billete, el análisis de fuerza bruta ocurre fuera de línea sin generar alertas de bloqueo en el controlador de dominio corporativo.
3. Mitigación, auditoría y defensa en profundidad
En esta tercera prueba verificamos el blindaje mediante protección de memoria LSA, aislamiento de cuentas en el grupo Protected Users y segmentación estricta de nivel cero.
- Referencia técnica 1 (MITRE ATT&CK — T1550.002: Use Alternate Authentication Material: Pass the Hash): Pass-the-Hash permite autenticarse ante servicios remotos utilizando directamente el hash NTLM de una cuenta sin necesidad de conocer ni descifrar la contraseña en texto plano.
- Referencia técnica 2 (MITRE ATT&CK — T1558.003: Steal or Forge Kerberos Tickets: Kerberoasting): Cualquier cuenta autenticada en el dominio puede solicitar tickets TGS para cuentas con Service Principal Name (SPN) y realizar ataques de fuerza bruta fuera de línea si la cuenta emplea contraseñas débiles o cifrado RC4.
- Referencia técnica 3 (Microsoft Learn — Protected Users Security Group and Windows Defender Credential Guard): El grupo Protected Users impide el almacenamiento en caché de hashes NTLM y fuerza el uso de Kerberos con cifrado AES, mientras que Credential Guard aísla los secretos de sesión mediante seguridad basada en virtualización.
En ViciousByte ejecutamos evaluaciones de Red Team sobre Active Directory, detectando rutas de escalada de privilegios, cuentas de servicio débiles y exposición de credenciales con nuestra Suite OSINT.
Evitar el compromiso total de tu dominio exige arquitectura defensiva real. Si necesitas auditar tu red corporativa, acércate a ViciousByte: desarrollo de software, seguridad TI y Red Team.
Canales oficiales de ViciousByte
- Web: https://viciousbyte.com
- Telegram: https://t.me/viciousbyte
- YouTube: https://www.youtube.com/@icrumor
- Instagram: https://www.instagram.com/9viciousbyte
- Facebook: https://www.facebook.com/viciousbyte
- Ciberseguridad
- ActiveDirectory
- PassTheHash
- Kerberoasting
- RedTeam
- ViciousByte
