So gefährden LaZagne, BloodHound und Mimikatz das Active Directory Diese Tools nutzen Hacker für AD-Angriffe

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Mit den drei Open Source-Tools LaZagne, BloodHound und Mimikatz greifen viele Hacker Netzwerke an – oft mit dem Ziel, die Kontrolle über das Active Directory zu übernehmen. Wir zeigen, auf was Admins in diesem Zusammenhang achten sollen.

Wenn Hacker Netzwerke und Active Directory angreifen, verwenden sie gerne die immergleichen Tools und Vorgehensweisen. In den meisten Fällen „hacken“ Angreifer auch nichts, sondern sie erhalten über verschiedene Wege, zum Beispiel durch Social Engineering, die Anmeldedaten eines Benutzers. Mit denen melden sich die Hacker dann ganz normal an.

Cyberattacken basieren meistens auf dem Diebstahl von Identitäten und Anmeldeinformationen. Hinzu kommt, dass in nahezu allen Organisationen Endgeräte existieren, auf denen Anmeldeinformationen nicht ausreichend geschützt sind, zum Beispiel zwischengespeicherte Anmeldeinformationen für die Remoteeinwahl oder Login-Daten in Webbrowsern. Die recht prominente WannaCry-Ransomware ist zum Beispiel bekannt dafür, RDP-Sitzungen zu kapern. Remotezugangsdaten sind mittlerweile ein begehrtes Handelsobjekt in einschlägigen Internetforen.

Bildergalerie

Bildergalerie mit 5 Bildern

Den Angaben der Identity Defined Security Alliance zufolge haben 79 Prozent der Unternehmen in den letzten zwei Jahren eine Sicherheitsverletzung im Zusammenhang mit Identitäten erlebt. Und das Ergebnis des omnipräsenten Mangels an Personal und Zeit ist, dass fast 90 Prozent von lokalen Administratoren nicht in PAM-Lösungen (Privileged Access Management) erfasst sind. Das resultiert oft in der Übernahme von solchen Konten durch Angreifer.

Hacker hacken nichts, sie melden sich einfach an

Hacker hacken also meistens nicht, sie melden sich einfach mit ergaunerten Anmeldedaten an. Erst anschließend beginnt die eigentliche Aktivität des Angreifers. Wenn er sich erfolgreich im Netzwerk positioniert hat, versucht er, an weitere Anmeldedaten zu kommen, die er mit Tools wie LaZagne, BloodHound und Mimikatz in lokalen Netzwerken abgreift. Dabei hat er immer Konten mit einer höheren Berechtigungsstufe im Fokus, bis schlussendlich auch Anmeldedaten oder Kerberostickets von Administratoren oder anderen privilegierten Konten in Active Directory vorliegen.

Die bekannte Hackerin Alissa Knight sagt dazu: „Sobald ich in einem Netzwerk eine Lücke gefunden habe, mache ich mich zunächst auf die Suche nach Domänenadministrator-Rechten, indem ich Anmeldeinformationen aus dem Speicher der Systeme auslese. Ich suche so lange, bis ich solche Rechte in einem Netzwerk finde. Und das tue ich immer!“ Privileged Account/Access Management (PAM), Multi-Faktor-Authentifizierung (MFA) und andere Identity und Access-Management-Lösungen (IAM) bieten einen gewissen Schutz, hinterlassen aber haufenweise blinde Flecken, die Angreifer regelmäßig ausnutzen. Mit gestohlenen Anmeldedaten können sich Hacker ohne Probleme im Netzwerk anmelden, oft auch noch über das Internet, und mit den Rechten des Benutzers ihre kriminellen Machenschaften im Netzwerk durchführen. Die Angriffe bleiben oft unentdeckt, bis größerer Schaden entsteht, oder der Angreifer im internen Netzwerk auch noch weitere Identitäten übernehmen kann.

LaZagne findet schnell Kennwörter von Benutzerkonten – kostenlos

Das kostenlose Open Source-Tool LaZagne sucht in Windows, Linux und macOS aktiv nach Kennwörtern von Benutzerkonten im Active Directory und setzt dabei auf Sicherheitslücken im Betriebssystem und in Anwendungen. Findet das Tool ein Kennwort, kann sich ein Angreifer mit dem gekaperten Benutzerkonto ohne Probleme im lokalen Netzwerk anmelden. Das Tool nutzt weit über 70 Sicherheitslücken aus, die es in vielen Netzwerken und den dort betriebenen Anwendungen gibt. Es reicht bereits eine Lücke, um an ein Kennwort zu kommen.

Handelt es sich bei dem gekaperten Konto um ein privilegiertes Benutzerkonto, sind die Schutzfunktionen in den meisten Unternehmen bereits ausgehebelt, bevor irgendjemand etwas von dem Angriff bemerkt. Im Fokus von LaZagne stehen Webbrowser, Chat-Tools, Datenbanken, E-Mail-Clients, Git, Maven, PHP, SVN, viele Admin-Tools, WLAN-Kennwörter, LSA-Secrets und vieles mehr. Eine Liste der Tools ist auf der GitHub-Seite des Projektes zu finden. Die Türen in vielen Netzwerken stehen weit offen und LaZagne nutzt das aus. Hinzu kommt, dass der Umgang mit dem Tool sehr einfach ist.

In Windows erfolgt der Download von LaZagne als *.exe-Datei, die sich direkt ausführen lässt. Natürlich melden Browser und Betriebssystem das Tool als Hackerwerkzeug, sodass der Download erfahrenen Anwender vorbehalten ist. Mit „Lazagne browsers“ sucht das Tool direkt in Browsern nach Kennwörtern, der Befehl „lazagne all“ durchsucht den Rechner komplett.

Bloodhound: optimiert für Angriffe auf Active Directory und Azure

Bloodhound ist ein Tool, mit dem sich vor allem Active-Directory-Umgebungen angreifen lassen. Das Tool versucht, Domänenadmin-Zugänge zu finden und zu übernehmen. Das Tool ist auch ideal für Sicherheitsexperten und Domänenadmins, da sich mit Bloodhound Schwachstellen in der Konfiguration der Berechtigungen und Kennwörter von privilegierten Konten finden lassen. Bloodhound steht auch als Open Source kostenlos auf GitHub zur Verfügung. Das Tool arbeitet unter Linux und Windows.

Die Installation von Bloodhound ist auch in Windows problemlos möglich, allerdings geben viele Virenscanner, auch Microsoft Defender, eine Virenwarnung aus, wenn das Tool auf einem Rechner installiert wird. Für die Installation ist zunächst das Oracle JDK 11 auf dem Rechner notwendig. Danach kann neo4j als Community Server Edition heruntergeladen, extrahiert und in einem Befehlszeilen-Fenster mit Admin-Rechten als Dienst installiert werden. Dazu ist ein Wechsel in das bin-Verzeichnis des extrahierten neo4j-Verzeichnisses notwendig. Hier kann der entsprechende Dienst mit dem folgenden Befehl installiert werden:

Nach der erfolgreichen Installation besteht der nächste Schritt darin den Dienst zu starten:

Im lokalen Webbrowser ist die Webseite von Neo4j über die Adresse http://localhost:7474 zu finden. Zunächst muss für den Benutzer „neo4j“ das Standardkennwort „neo4j“ geändert werden. Hat das funktioniert, erfolgt der Download der GUI von Bloodhound über die GitHub-Webseite. Nach dem Download und dem Extrahieren des Verzeichnisses lässt sich Bloodhound über die Datei „bloodhound.exe“ starten. Die Anmeldung erfolgt mit dem Benutzer „neo4j“ und dem Kennwort, das bei der Installation eingegeben wurde.

Mimikatz kapert Kerberos-Tickets und unverschlüsselte Passwort-Hashes

Mimikatz ist ein Open-Source-Tool um Kerberos-Tickets und unverschlüsselte Passwort-Hashes sowie entschlüsselte Passwörter aus dem Arbeitsspeicher eines Systems auszulesen. Das Tool kann vor allem Dienstkonten angreifen, die über erweiterte Berechtigungen verfügen und nicht so unter Beobachtung stehen wie herkömmliche Konten. Das Tool gehört in Windows sicherlich zu den gefährlichsten Tools, da es schnell ungesicherte Kennwörter aufdecken kann.

Active Directory im Fokus

Bildergalerie mit 71 Bildern

(ID:48652856)