¿Qué es un ataque Pass the Hash y cómo funciona?

Ingresar sus credenciales cada vez que desea iniciar sesión en un sistema puede ser agotador, especialmente cuando inicia sesión en el sistema con regularidad. Incluso puede olvidar sus contraseñas.

La implementación de sistemas operativos que brindan una experiencia de inicio de sesión único para los usuarios evita que vuelva a ingresar sus detalles de inicio de sesión cada vez. Pero hay un problema con eso. Los atacantes pueden explotar sus credenciales guardadas en el sistema a través de un ataque Pass-the-Hash (PtH).

Aquí, discutiremos cómo funciona un ataque Pass-the-Hash y cómo puede mitigarlo.

¿Qué es un ataque Pass the Hash?

Hashing es el proceso de traducir cadenas de caracteres en un código, haciéndolo mucho más corto y fácil. Es uno de los grandes actores de la ciberseguridad, que es fundamental para prevenir las filtraciones de datos.

administradores de aplicaciones web cifrar archivos y mensajes para evitar el acceso no autorizado a los mismos. Si bien estos archivos se mantienen confidenciales, el hash ayuda a verificar su integridad. Evita que alguien corrompa los archivos o cambie su contenido y luego los presente como los archivos originales.

Un hash no se puede revertir después de la traducción. Solo permite detectar si dos archivos son similares o no sin conocer su contenido. Antes de acceder a un sistema o servicio a través de la red, debe autenticarse presentando su nombre de usuario y contraseña. Ahora, esta información se almacena en la base de datos para futuras comparaciones cuando intente iniciar sesión nuevamente.

Sus contraseñas están en texto claro, lo que las hace menos seguras. Y si un atacante puede acceder a la base de datos, puede robar su contraseña y obtener acceso no autorizado a su cuenta. La situación empeorará si eres uno de esos usuarios que utilizan una única contraseña para diferentes cuentas. El atacante utilizará la contraseña robada para acceder a sus otras cuentas.

Entonces, ¿cómo entra en juego el hachís aquí?

El mecanismo hash transforma su contraseña de texto claro en datos que no se pueden volver a cambiar a su contraseña original. Una vez que su contraseña se codifica y se almacena en la memoria del sistema, se usa para probar su identidad la próxima vez que desee acceder a un servicio.

El hash protege las cuentas de los usuarios del acceso no autorizado. Pero no mientras los ciberdelincuentes hayan ideado una estrategia para recolectar el hash. La vulnerabilidad de seguridad detectada en el inicio de sesión único (SSO) ha dado paso al ataque Pass-the-Hash. Apareció por primera vez en 1997 y ha existido durante 24 años.

Un ataque Pass-the-Hash es similar a los trucos de los atacantes. utilizar para robar contraseñas de usuario. Es uno de los ataques más comunes pero subestimados cuando se trata de robo y uso de credenciales de usuario.

Con la técnica Pass-the-Hash, los atacantes no necesitan descifrar el hash. Se puede reutilizar o pasar a un servidor de autenticación. Los hashes de contraseña permanecen estáticos de una sesión a otra hasta que se cambian. Por esta razón, los atacantes persiguen los protocolos de autenticación de los sistemas operativos para robar las contraseñas cifradas.

¿Cómo funciona un ataque Pass the Hash?

Los ataques Pass-the-Hash son más comunes en los sistemas Windows, aunque pueden ocurrir en otros sistemas operativos como Linux y UNIX. Los piratas informáticos siempre buscan lagunas en estos sistemas para llegar a sus víctimas.

La vulnerabilidad de Windows radica en su autenticación NTLM, que implementa una función de inicio de sesión único (SSO). Permite a los usuarios ingresar sus contraseñas una vez y acceder a cualquier función que deseen.

Así es como funciona:

Cuando se registra en un sistema Windows por primera vez, genera un hash de su contraseña y la almacena en la memoria del sistema. Esta es una oportunidad para que los atacantes exploten su contraseña cifrada. Pueden tener acceso físico a su sistema, desechar su memoria activa o infectarlo con malware y otras técnicas.

Se utilizan herramientas como Metasploit, Gsecdump y Mimikatz para extraer las credenciales hash de la memoria del sistema. Una vez hecho esto, los atacantes reutilizan sus credenciales para iniciar sesión como usted y acceder a todas las aplicaciones a las que tiene derechos.

Si un amigo o colega ha iniciado sesión en su sistema, el pirata informático también puede recolectar su hash. Recuerda, es una técnica de movimiento lateral. En el peor de los casos, un pirata informático obtiene acceso a los sistemas de control que ejecutan toda una organización o infraestructura de TI. Una vez dentro, pueden robar información confidencial, modificar registros o instalar malware.

Cómo mitigar un ataque Pass the Hash

Esto es algo que debe saber sobre el ataque Pass-the-Hash. No es un error sino una característica. El protocolo de inicio de sesión único implementado con un hash es para evitar a los usuarios la molestia de tener que volver a ingresar sus contraseñas. Entonces, los piratas informáticos ahora aprovechan la función SSO de Windows, el protocolo de comunicación de los sistemas Linux y Unix para fines maliciosos.

Puede reducir sus posibilidades de ser víctima de tales ataques siguiendo estas soluciones efectivas.

1. Habilitar la protección de credenciales de Windows Defender

Credential Guard de Windows Defender es una característica de seguridad que viene con los sistemas Windows 10 y superiores. Protege la información confidencial almacenada en el sistema. El Servicio de subsistema de autoridad de seguridad local (LSASS) aplica la política de seguridad en el sistema Windows.

2. Implementar el modelo de seguridad de privilegios mínimos

Aquí está la cuestión: si es dueño de un negocio y tiene personas que trabajan para usted, limite sus derechos de acceso solo a los recursos y archivos necesarios para realizar su trabajo en el sistema de red.

Elimine los derechos de administrador innecesarios y solo otorgue privilegios a las aplicaciones confiables. Esto reducirá la capacidad de un pirata informático para ampliar su acceso y permiso.

3. Reiniciar los sistemas después de cerrar la sesión

Recuerde, el objetivo es minimizar el riesgo de ser víctima de un ataque Pass-the-Hash. Dado que el sistema almacena el hash de la contraseña en su memoria, reiniciar su computadora después de cerrar la sesión eliminará el hash de la memoria del sistema.

4. Instalar software antimalware

Los ciberdelincuentes hacen un excelente trabajo al usar malware para comprometer las redes. Las herramientas automatizadas, como el software antimalware, son útiles para defenderse de estos ataques cibernéticos. Estas herramientas detectan archivos infectados o maliciosos dentro de su sistema y los neutralizan antes de que ataquen.

Al instalar software antimalware en sus dispositivos, protege su sistema contra malware. También puede usar plataformas de malware como servicio para obtener soluciones personalizadas de malware.

5. Actualice sus sistemas operativos

¿Por qué quedarse con una versión anterior de un sistema operativo con menos seguridad cuando puede actualizarlo?

Los sistemas operativos más recientes suelen ofrecer una experiencia de usuario mucho mejor y tienen defensas más sólidas. Por ejemplo, la versión 1703 de Windows 10 tiene múltiples funciones de seguridad que protegen a los usuarios en las redes.

Adopte un enfoque efectivo para un ataque Pass the Hash

Los ataques Pass-the-Hash siempre afectarán a los sistemas operativos que admiten un inicio de sesión único. Mientras que la función hash intenta proteger su contraseña, los ataques eluden la seguridad para robar las contraseñas cifradas con varias herramientas.

Asumir la responsabilidad de proteger sus credenciales mediante la actualización a los últimos sistemas operativos, otorgar permisos solo a aplicaciones confiables e instalar software antimalware en su computadora. Los ciberdelincuentes solo pueden pasar el hash cuando hay una autopista para ellos. Es su responsabilidad cerrar todas las lagunas en su red.

¿Qué es el malware Emotet y cómo funciona?

A diferencia de la mayoría del malware, Emotet pasa desapercibido y funciona en silencio para atraer a las víctimas. Aprenda cómo funciona y qué puede hacer para protegerse.

Leer siguiente

Sobre el Autor