El hashing es el proceso de traducir cadenas de caracteres en un código, haciéndolo mucho más corto y fácil. Los administradores encriptan los archivos y mensajes para evitar el acceso no autorizado a ellos. En este caso se utiliza el hash para ayudar a verificar su integridad. Su función es evitar que se corrompa o se cambie el contenido de un archivo, y después los presente como los archivos originales.

El ataque Pass the Hash podemos considerarlo como una técnica de movimiento lateral. Esto quiere decir que los ciberdelincuentes lo están utilizando para extraer información y credenciales adicionales después de haber comprometido un dispositivo. Gracias a este movimiento lateral entre dispositivos y cuentas, estos atacantes pueden utilizar el hash para obtener las credenciales correctas para eventualmente escalar nuestros privilegios. Así, luego pueden acceder a sistemas más influyentes, como una cuenta de administrador en el controlador de dominio. La mayor parte de este movimiento utiliza tanto un programa de software remoto como malware.

También hay que señalar que en los ataques Pass the Hash, los ciberdelincuentes no necesitan descifrar el hash. En este caso lo pueden reutilizar o pasar a un servidor de autenticación. Una cosa que debéis conocer es que los hashes de contraseña permanecen estáticos de una sesión a otra hasta que se cambian estas claves. Por ese motivo, los ciberdelincuentes buscan obtener los protocolos de autenticación de los sistemas operativos para robar nuestras contraseñas cifradas.

Por qué afecta más a Windows

Si tenemos que ingresar nuestras credenciales cada vez que deseamos iniciar sesión en un equipo puede ser una tarea agotadora. Sobre todo si tenemos que iniciar sesión en el sistema con regularidad. Por ese motivo hay sistemas operativos como Windows que implementan el inicio de sesión único (SSO) para los usuarios. Así se evita que tengan que volver a ingresar sus credenciales de inicio de sesión cada vez.

Esta forma de trabajar hace que las credenciales de los usuarios se terminan almacenando en caché dentro del sistema, lo que facilita su acceso a los ciberdelincuentes. Una de esas formas es mediante la utilización del hash por parte de los atacantes con el ataque Pass the Hash que acabo de mencionar en el apartado anterior.

Cómo funciona este ataque

En el momento que nos registramos en un sistema Windows por primera vez, se genera un hash con nuestra contraseña y la almacena en la memoria del sistema. En este momento los atacantes tienen una oportunidad para que los atacantes exploten su contraseña cifrada.

Lo primero que hace un ciberdelincuente es obtener los hashes del sistema objetivo usando cualquiera de las herramientas de descarga de hash, como, por ejemplo, Metasploit, Gsecdump, Mimikatz, fgdump y pwdump7. Después, este atacante va a utilizar estas herramientas para colocar los hashes obtenidos en un Servicio de Subsistema de Autoridad de Seguridad Local (LSASS). Así, los ciberdelincuentes reutilizan nuestras credenciales para iniciar sesión como si fuéramos nosotros, y luego acceden a todas las aplicaciones y recursos a los que tenemos permiso.

Los ataques Pass the Hack con frecuencia se dirigen a equipos con Windows, debido a la vulnerabilidad de seguridad de los hashes de NTLM, una vez que se han obtenido los privilegios de administrador. Lo que buscan es engañar a un sistema de autenticación Windows haciéndole creer que se trata del usuario legítimo, y después le proporcionará automáticamente al ciberdelincuente las credenciales requeridas cuando intente acceder al sistema de destino.

Si se quiere realizar un ataque exitoso, hay que acceder al LSASS y comprometer un ordenador hasta tal punto que el malware pueda ejecutarse con derechos de administrador local. En el momento que ese equipo Windows se ve comprometido y el malware está implementado ya se tiene acceso a los nombres de usuario locales y los hashes NTLM. Entonces el ciberdelincuente puede decidir si buscar más credenciales, o intentar acceder a los recursos de red utilizando las credenciales de usuarios elevados.

Cómo protegerse de este ataque

El protocolo de inicio de sesión único implementado con un hash se trata de una función útil para ahorrar a los usuarios tener que volver a ingresar sus credenciales. El problema está en que los ciberdelincuentes se aprovechan de esta función inicio de sesión único (SSO) para atacar equipos Windows y en menor medida también sistemas Linux y Unix. Ahora vamos a explicar algunas medidas para evitar ser víctima de un ataque Pass the Hash.

Activar la protección de credenciales

Por si no lo sabéis, Credential Guard de Windows Defender es una característica de seguridad que tienen los sistemas Windows 10 y superiores. Gracias a ella vamos a poder proteger la información confidencial almacenada en el sistema. El Servicio de subsistema de autoridad de seguridad local (LSASS) aplica la política de seguridad en el sistema Windows.

Esta característica la podemos activar mediante la directiva de grupo, concretamente debemos irnos a la Consola de administración de directivas de grupo, aquí tendremos que irnos a la sección de «Configuración del equipo / Plantillas administrativas / Sistema / Device Guard«. Una vez que estemos en este menú, debemos pinchar en «Activar la seguridad basada en la virtualización» y habilitar la funcionalidad. En la parte inferior también tenemos que configurar el nivel de seguridad de plataforma: arranque seguro, o bien usar protección de DMA y arranque seguro.

Una vez que hayamos realizado esto, reiniciamos el ordenador y ya se aplicarán los cambios.

Privilegio mínimo y autenticación dos factores

En un modelo de privilegio mínimo tenemos que limitar los derechos de acceso a los usuarios para que solo puedan utilizar los recursos y archivos necesarios para realizar su trabajo. También tenemos que eliminar los derechos de administrador innecesarios y otorgar privilegios únicamente a las aplicaciones confiables. Además conviene revisar todas las cuentas y eliminar las que no se utilicen especialmente las de administrador. Esto reducirá los vectores de ataque que puede utilizar un ciberdelincuente.

Por otra parte, también se debe aplicar una autenticación de dos factores utilizando tokens.

Reinicia los equipos después de cerrar sesión

La razón para realizar esta tarea es que el sistema almacena el hash de la contraseña en su memoria. Si reiniciamos nuestro ordenador después de cerrar la sesión se eliminará ese hash de la memoria del sistema. Por este motivo, en lugar de cerrar sesión y dejar el ordenador encendido, es muy recomendable reiniciarlo o directamente apagarlo para borrar el hash de la memoria y mitigar en gran medida este nuevo ataque.

Actualiza el sistema operativo

Actualizar nuestro sistema operativo es buena idea ya que se corrigen fallos de seguridad que podrían ser explotados por los ciberdelincuentes.

Por otra parte, conviene utilizar herramientas automatizadas, como por ejemplo software antimalware. La razón es porque son útiles para defenderse de un ataque Pass the Hash y de otros tipos. Estas herramientas son capaces de detectar archivos infectados o dañinos dentro de nuestro ordenador y después los neutralizan antes de que ataquen. Por último, también podríamos cifrar por completo el disco duro para evitar que no accedan al contenido de los discos y al hash NTLM que se almacena en él, dos opciones son utilizar Bitlocker que es el nativo de Windows o bien utilizar VeraCrypt que es una solución completamente gratuita.

Tal y como habéis visto, tenemos varias opciones para protegernos de un ataque Pass the Hash y poder mitigar este ataque.