Überprüfung und Verstärkung der Erkennungs- und Präventionsstrategien gegen Pass-the-Ticket-Angriffe, insbesondere im Hinblick auf neue Tools wie AutoPtT.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
AutoPtT — Automated Pass-the-Ticket (PtT) attack. Standalone alternative to Rubeus and Mimikatz for this attack. Implemented in C#, C++, Crystal, Python and Rust
Automated Pass-the-Ticket (PtT) attack. Standalone alternative to Rubeus and Mimikatz for this attack. Implemented in C#, C++, Crystal, Python and Rust · Sprache: C# · Topics: active-directory, mimikatz, pass-the-ticket, red-team, redteam-tools · ⭐ 154 Stars
SecBoard-Einordnung
Das neue Tool AutoPtT automatisiert Pass-the-Ticket-Angriffe, was die Durchführung dieser Angriffe vereinfachen und die Erkennung erschweren könnte, insbesondere wenn es von bestehenden Erkennungsmechanismen für Rubeus oder Mimikatz nicht erfasst wird.
Realistisch schlimmster Fall: Ein erfolgreicher PtT-Angriff könnte Angreifern ermöglichen, sich als legitime Benutzer auszugeben und Zugriff auf sensible Ressourcen innerhalb der Active Directory-Umgebung zu erhalten, was zu unbefugtem Datenzugriff oder Systemmanipulation führen kann.
Betroffen
Organisationen, die Active Directory-Umgebungen nutzen.
Prüfen
3- ▸Überprüfen Sie Ihre SIEM-Regeln und EDR-Lösungen auf Erkennung von ungewöhnlichen Kerberos-Ticket-Anfragen oder -Verwendungen, die auf PtT-Angriffe hindeuten könnten.
- ▸Validieren Sie, ob Ihre aktuellen Erkennungsmechanismen für Rubeus oder Mimikatz auch das neue Tool AutoPtT abdecken, indem Sie die Signaturen und Verhaltensmuster analysieren.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass die Protokollierung von Kerberos-Authentifizierungsereignissen (z.B. Event ID 4768, 4769) auf Ihren Domain Controllern aktiviert und ausreichend detailliert ist, um PtT-Angriffe zu erkennen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische technische Details der Implementierung von AutoPtT, die über die genannten Programmiersprachen hinausgehen.
- ▸Konkrete Indikatoren für Kompromittierung (IOCs) oder spezifische Erkennungssignaturen für AutoPtT.
- ▸Die genaue Verbreitung oder Nutzung von AutoPtT in realen Angriffen zum Zeitpunkt der Veröffentlichung des Artikels.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Unklar
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Sind wir hiervon betroffen — und können wir es detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„AutoPtT ist ein neues Tool, das automatisierte Pass-the-Ticket (PtT)-Angriffe ermöglicht“
„Pass-the-Ticket (PtT)-Angriffe (impliziert die Nutzung gestohlener Tickets für den Zugriff auf andere Systeme)“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- AutoPtT — Automated Pass-the-Ticket (PtT) attack. Standalone alternative to Rubeus and Mimikatz for this attack. Implemented in C#, C++, Crystal, Python and Rust
- AddUser-SAMR — Create local administrators with the SAMR API (lowest-level technique). Implemented in C#, Crystal, Python and Rust
- SAMDump — Extract the SAM and SYSTEM hives using the Volume Shadow Copy (VSS) API. With exfiltration and XOR obfuscation options. Implemented in C#, C++, Crystal and Python
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.