Desbloqueando Active Directory con el ataque Skeleton Key

Requisitos para el ataque Skeleton Key

Para perpetrar un ataque de Skeleton Key, el atacante debe tener derechos de Domain Admin. Para un compromiso completo, el ataque debe realizarse en cada controlador de dominio, pero incluso dirigirse a un solo controlador de dominio puede ser efectivo. Reiniciar un controlador de dominio eliminará el malware.

Realizando el ataque Skeleton Key

Realizar el ataque es muy sencillo. Solo necesitas ejecutar el siguiente comando en cada controlador de dominio: misc::skeleton.

Después de eso, puedes autenticarte como cualquier usuario proporcionando la misma contraseña, que por defecto es “mimikatz”. Si la autenticación se realiza para un miembro del grupo de Admins del Dominio, puedes obtener acceso administrativo a un controlador de dominio:

Nota: Puede que reciba el mensaje, “Error del sistema 86 ha ocurrido. La contraseña de red especificada no es correcta.” En ese caso, intente proporcionar el nombre de usuario en formato dominiousuario.

Prevención y detección de ataques de llave maestra

The best way to defend against these attacks is to reduce the number of Domain Admin accounts available in your environment for attackers to hijack, and to implement proper security controls around the few accounts that remain. More broadly, you should eliminate all types of standing privileged accounts in your environment to minimize your attack surface area. The Netwrix Privilege Secure solution strengthens AD security by enabling you to replace privileged accounts with temporary accounts that provide just enough access to perform the task at hand and that are removed immediately when the job is complete.

Otros métodos de mitigación y detección son proporcionados por Sean Metcalf de ADSecurity y por Dell SecureWorks en Skeleton Key Malware Analysis.

FAQ