pass-the-hash

Pass-the-hash (PtH) to technika, w której atakujący uwierzytelnia się w innych systemach skradzionym skrótem hasła zamiast samym hasłem. MITRE ATT&CK opisuje ją jako użycie wykradzionych skrótów haseł do przemieszczania się w środowisku z pominięciem zwykłych mechanizmów kontroli dostępu ^[1]. Atak dotyczy przede wszystkim sieci Windows i protokołu NTLM: skrót nie musi zostać złamany, bo sam wystarcza do zalogowania ^[1]. Sekurak ujmuje to tak, że po przejęciu usługi systemowej pentester zamiast hasła administratora może zdobyć jego skrót NTLM ^[4].

Jak działa

W zwykłym logowaniu hasło zamieniane jest przez funkcję skrótu (hash) na ciąg, który system porównuje albo używa w protokole wyzwanie–odpowiedź. W NTLM to właśnie skrót, a nie hasło, jest materiałem, z którego klient liczy odpowiedź. Kto ma skrót, może więc odpowiedzieć poprawnie, choć hasła nie zna. MITRE nazywa to wprost omijaniem standardowego uwierzytelniania przez podanie przechwyconego skrótu bez hasła w postaci jawnej ^[1].

Skrót atakujący zdobywa wcześniej, zwykle z pamięci albo lokalnej bazy przejętej maszyny, na której ma już uprawnienia administratora. Potem używa go na kolejnych komputerach, na których to samo konto ma dostęp. Tak wygląda typowy lateral movement, czyli ruch boczny w sieci firmowej. Schemat poniżej pokazuje kolejność kroków.

RYS. 1Pass-the-hash w sieci Windows

Pokrewną odmianą jest „overpass the hash”: skrót służy do uzyskania biletu Kerberos, którym atakujący posługuje się dalej ^[1]. Microsoft wymienia obok PtH także atak pass-the-ticket, oparty na kradzieży biletów Kerberos ^[2].

Narzędzia i grupy

MITRE ATT&CK dokumentuje użycie tej techniki przez wiele grup APT i narzędzi. Najczęściej wymieniane przykłady zestawia tabela.

Sekurak opisuje też wersję narzędzia PsExec z pakietu impacket, która pozwala uwierzytelnić się skrótem NTLM zamiast hasłem ^[4]. W innym tekście wskazuje narzędzia takie jak Responder, które wspierają ataki NTLM Relay i pass-the-hash ^[5].

W WordPressie

Pass-the-hash nie jest atakiem na samą stronę WordPress. Dotyczy sieci firmowych i protokołów Windows, a nie logowania do panelu wp-admin. Różnica wynika z tego, co serwer porównuje przy logowaniu. Funkcja wp_check_password() przyjmuje hasło w postaci jawnej i porównuje je ze skrótem zapisanym w bazie ^[7]. Skrót skradziony z tabeli użytkowników nie jest więc „hasłem zastępczym”: podany w formularzu logowania zostałby potraktowany jak zwykły tekst i ponownie przeliczony.

Od wersji 6.8 WordPress zapisuje hasła użytkowników algorytmem bcrypt zamiast przenośnego skrótu phpass ^[6]. Hasła aplikacji, klucze resetu hasła i klucze trybu odzyskiwania korzystają z algorytmu BLAKE2b ^[6]. Stare skróty działają dalej, a przy najbliższym logowaniu albo zmianie hasła są przeliczane na bcrypt ^[6]. Wyciek bazy WordPressa grozi zatem przede wszystkim łamaniem haseł offline, a nie ich bezpośrednim przekazaniem.

Związek z WordPressem jest pośredni. Administrator strony często pracuje na firmowym komputerze w domenie Windows. Jeśli atakujący przejmie tę sieć techniką PtH, może dotrzeć do stacji, na której zapisane są dane uwierzytelniające do panelu, serwera SFTP albo hostingu. Wtedy zagrożona jest również strona, choć sam mechanizm ataku jej nie dotyczył.

Zagrożenia i skutki

Najważniejszym skutkiem jest szybkie rozszerzanie dostępu. Jedno przejęte konto lokalnego administratora z tym samym hasłem na wielu komputerach otwiera drogę do nich wszystkich. Microsoft zauważa, że konta lokalnych administratorów często mają to samo hasło na wielu urządzeniach, co atakujący wykorzystują do ruchu bocznego ^[3]. Kolejnym krokiem bywa eskalacja uprawnień do konta administratora domeny.

Z perspektywy skutków PtH jest etapem, a nie celem. Po nim następuje kradzież danych, instalacja złośliwego oprogramowania (malware) albo szyfrowanie zasobów przez ransomware. Atak jest trudny do zauważenia, bo logowania wyglądają na poprawne. Sekurak podkreśla, że atakujący uzyskują dostęp i przejmują tożsamość bez łamania skrótów ^[5].

Jak się bronić

MITRE wskazuje cztery grupy środków zaradczych ^[1]:

• ograniczenie powtarzania tych samych poświadczeń na wielu systemach;
• instalację poprawki KB2871997 w starszych wersjach Windows;
• włączenie ograniczeń UAC dla zdalnych logowań kontami lokalnymi, ustawieniem LocalAccountTokenFilterPolicy;
• zakaz, by użytkownicy domeny byli lokalnymi administratorami na wielu komputerach.

To zastosowanie zasady najmniejszych uprawnień i zarządzania dostępem uprzywilejowanym (PAM). Do wykrywania MITRE zaleca obserwację logowań NTLM typu 3, którym nie towarzyszą zdarzenia logowania domenowego ^[1].

Microsoft oferuje dwa mechanizmy wbudowane w Windows. Credential Guard izoluje skróty NTLM i bilety Kerberos w środowisku chronionym wirtualizacją, tak że nawet złośliwy kod z uprawnieniami administratora nie może ich odczytać ^[2]. Od Windows 11 22H2 i Windows Server 2025 jest włączany domyślnie na komputerach w domenie, które spełniają wymagania sprzętowe ^[2]. Windows LAPS regularnie zmienia hasło lokalnego administratora na każdym urządzeniu, a Microsoft wymienia wprost ochronę przed atakami pass-the-hash wśród jego zalet ^[3].

Uzupełnieniem jest segmentacja sieci, która ogranicza, dokąd skradziony skrót może zaprowadzić, oraz uwierzytelnianie wieloskładnikowe (MFA) do usług zdalnych.

Historia i przykłady

Technika jest znana od dawna i wciąż obecna w katalogu ATT&CK. Wśród udokumentowanych użytkowników MITRE podaje między innymi grupy APT1, APT28, APT32, APT41 i Wizard Spider, a wśród narzędzi także Empire i PoshC2 ^[1]. Technika pozostaje więc w użyciu zarówno w operacjach szpiegowskich, jak i w działalności grup przestępczych.

Zmiana następuje po stronie protokołu. Według Sekuraka Microsoft w lipcu 2024 roku uznał NTLM za przestarzały i zaplanował jego wycofanie w trzech fazach, z Kerberosem jako domyślnym mechanizmem uwierzytelniania ^[5]. W ostatniej fazie NTLM ma być domyślnie wyłączony, choć administrator nadal będzie mógł włączyć go ręcznie ^[5].