¿Qué es un ataque de falsificación de tickets Kerberos?
¿Qué es un ataque de falsificación de tickets Kerberos?
Las ciberamenazas han evolucionado hasta el punto en que una sola brecha puede causar estragos en toda una organización. Entre el arsenal de técnicas de posexplotación que usan los grupos de amenazas persistentes avanzadas (APT), una se destaca por ser tanto poderosa como difícil de detectar. Aquí entra el ataque de falsificación de tickets Kerberos, un método que da a los atacantes acceso casi sin restricciones a la red de una organización. Si esto te recuerda al famoso "boleto dorado" de Charlie y la fábrica de chocolate, vas por buen camino. Pero en lugar de ganar un viaje a una fábrica de chocolate, los atacantes obtienen acceso a los sistemas de TI más críticos de una empresa.
Esta publicación te lleva a fondo en qué es un ataque de falsificación de tickets Kerberos, cómo funciona, por qué es tan peligroso, y estrategias para detectarlo o prevenirlo. Al final, sabrás cómo proteger mejor a tu organización y mitigar los riesgos asociados con esta forma de ciberataque tan sofisticada.
En esencia, un ataque de falsificación de tickets Kerberos (Golden Ticket) es un tipo de técnica de falsificación de tickets Kerberos. Permite que un actor malicioso genere un Ticket Granting Ticket (TGT) falso, lo que a su vez da acceso a todo el entorno de Active Directory (AD) de una organización. En esencia, permite que un atacante suplante a cualquier usuario (¡incluso al administrador de dominio!) y evite las verificaciones de seguridad habituales.
Acceso ilimitado: el TGT falso otorga control total sobre sistemas, servicios y recursos del dominio.
Presencia persistente: los atacantes pueden configurar estos tickets para que duren años sin necesidad de volver a pasar por la autenticación.
Herramientas de ejecución: la popular herramienta posexplotación Mimikatz se usa a menudo para llevar a cabo este ataque.
Piensa en esto como tener una llave maestra que abre todas las cerraduras de tu edificio. Por eso se le llama Golden Ticket.
Para entender cómo un ataque de falsificación de tickets Kerberos explota Kerberos, necesitamos un repaso rápido de cómo funciona este protocolo de autenticación.
El cliente solicita el TGT: Cuando un usuario inicia sesión en un dominio de Active Directory, envía sus credenciales al Key Distribution Center (KDC), que emite un TGT.
El cliente solicita acceso al servicio: El usuario presenta el TGT al Ticket Granting Server (TGS) para obtener Service Tickets (TGS) para aplicaciones específicas como servidores de archivos o bases de datos.
Autenticación del servicio: El usuario usa el ticket específico del servicio para demostrar su identidad y acceder al recurso solicitado.
En el centro de la autenticación Kerberos está la cuenta krbtgt, responsable de firmar y verificar todos los TGT. Comprometer el hash de esta cuenta es un paso crítico para los atacantes al lanzar un ataque de falsificación de tickets Kerberos.
Aquí tienes un diagrama simplificado para mayor claridad:
```
Inicio de sesión del usuario → El KDC emite el TGT → El TGT se presenta para obtener Service Tickets → Acceso a los servicios
```
A continuación, exploraremos cómo los ataques de falsificación de tickets Kerberos subvierten este proceso.
Un ataque de falsificación de tickets Kerberos no rompe Kerberos en sí; convierte en arma los supuestos de confianza dentro del protocolo. Así es como suele ejecutarse:
Comprometer al administrador de dominio: El atacante obtiene privilegios administrativos en el dominio, típicamente mediante robo de credenciales, phishing o movimiento lateral.
Extraer el hash KRBTGT: Usando herramientas como Mimikatz, el atacante extrae el hash NTLM de la cuenta krbtgt desde el controlador de dominio.
Falsificar el ticket: El atacante genera un TGT falso firmado con el hash krbtgt robado. Este "ataque de falsificación de tickets Kerberos" le permite suplantar a cualquier usuario del dominio.
Acceso sin restricciones: Con el ticket falsificado en mano, el atacante puede moverse lateralmente, escalar privilegios y exfiltrar datos sensibles.
Los ataques de falsificación de tickets Kerberos no dependen de una comunicación continua con los controladores de dominio, lo que los hace sigilosos y más difíciles de detectar.
Los ataques Golden Ticket representan una amenaza importante por varias razones:
Movimiento lateral ilimitado: los atacantes pueden acceder a cualquier sistema, servidor de archivos o recurso de la red.
Actividad invisible: como el ataque usa infraestructura Kerberos válida, puede evadir la mayoría de las defensas tradicionales.
Persistencia: los tickets pueden seguir siendo válidos durante años, lo que permite acceso a largo plazo incluso después de aplicar parches de seguridad.
Explotación a gran escala: los grupos APT suelen usar Golden Tickets durante la preparación de ransomware o en campañas de espionaje.
El infame ataque de ransomware NotPetya usó técnicas de Golden Ticket para implementar malware en redes comprometidas.
Los Golden Tickets suelen confundirse con los Silver Tickets, otra técnica de falsificación de Kerberos. Así es como se diferencian:
Característica | Golden Ticket | Silver Ticket |
Autentica en | Todo el dominio (TGT) | Servicios específicos (TGS) |
Requiere el hash de krbtgt | ✅ Sí | ❌ No |
Alcance | Acceso ilimitado al dominio | Limitado a servicios específicos |
Nivel de sigilo | Alto (mayor duración) | Medio |
Mientras que los Silver Tickets apuntan a servicios individuales, los Golden Tickets son la herramienta definitiva para tomar control total de la red.
Cómo detectar ataques Golden Ticket
Los ataques Golden Ticket son difíciles de detectar, pero no imposibles. Los equipos de seguridad deben vigilar lo siguiente:
Uso inusual de TGT: busca tickets con nombres de usuario inexistentes o con una duración inusualmente larga.
Comportamiento anómalo de Kerberos: audita los TGT emitidos sin eventos AS-REQ previos.
Actividad privilegiada excesiva: vigila las cuentas con privilegios que acceden a numerosos recursos en poco tiempo.
Integración con SIEM: usa herramientas como Huntress Managed SIEM para analizar la actividad en busca de anomalías de Kerberos.
El monitoreo proactivo y las herramientas de detección de anomalías son tu mejor opción para detectar estos ataques sigilosos.
La prevención es clave. Estas son las mejores prácticas para proteger tu red contra los ataques Golden Ticket:
Rota periódicamente la contraseña de krbtgt (al menos dos veces).
Limita el uso de cuentas de administrador de dominio con privilegios estrictos.
Implementa Credential Guard y LSA Protection para defenderte de la recolección de credenciales.
Usa modelos administrativos por niveles (Nivel 0, 1, 2).
Habilita el registro extendido de Kerberos (ID de evento 4768–4771).
Configura tus herramientas de seguridad para marcar actividad anómala de Kerberos.
Capacita a tu equipo de respuesta a incidentes en el manejo de ataques basados en AD.
Al alinear tus defensas con los principios de Zero Trust, puedes reducir significativamente el riesgo de abuso de credenciales y falsificación de tickets.
Los grupos APT y los ataques de ransomware suelen aprovechar los Golden Tickets. Algunos ejemplos incluyen:
APT29 (Cozy Bear): usó Golden Tickets durante campañas de ciberespionaje dirigidas a gobiernos.
NotPetya: las etapas del ataque incluyeron la falsificación de Golden Tickets para el movimiento lateral.
Los analistas de respuesta a incidentes han señalado repetidamente esta técnica como clave en la etapa posterior a la explotación.
Los ataques de falsificación de tickets Kerberos son sofisticados, pero no son imparables. Con la combinación correcta de monitoreo proactivo, credenciales reforzadas y detección de anomalías en tiempo real, puedes proteger tu entorno de Active Directory de esta amenaza persistente.
Si tu organización quiere simular escenarios de ataques de falsificación de tickets Kerberos y poner a prueba sus defensas, considera realizar ejercicios regulares de equipo rojo/azul. Las medidas proactivas de hoy evitarán una brecha significativa en tu organización mañana.
Mantente alerta, mantente seguro y no les des a los atacantes su llave dorada.
Un golden ticket es básicamente un pase de acceso total de un hacker a tu entorno de Active Directory. Es un Ticket Granting Ticket (TGT) de Kerberos falsificado, creado usando el hash de la cuenta krbtgt (sí, la que firma todos los tickets de tu dominio). Con esto, los atacantes pueden hacerse pasar por cualquiera en el dominio, incluidos los administradores de dominio, y obtener acceso ilimitado y duradero a tu red.
Aquí va la idea general:
Primero, el atacante obtiene privilegios de administrador de dominio o el hash NTLM de krbtgt.
Luego, usa una herramienta como Mimikatz para crear un TGT falso.
Una vez creado, se autentica en cualquier servicio del dominio usando el ticket falsificado.
¿Qué hace tan sigiloso a este ataque? Se salta los procesos de inicio de sesión tradicionales, lo que lo hace difícil de detectar. Además, los atacantes pueden personalizar estos tickets con nombres de usuario falsos o tiempos de vida extendidos para un acceso sigiloso y continuo.
La cuenta krbtgt es la pieza clave de la autenticación Kerberos. Esta cuenta de servicio integrada en Active Directory es usada por el Centro de distribución de claves (KDC) para firmar y cifrar los TGT. Esto explica por qué es tan importante:
Si los atacantes descifran el hash de krbtgt, pueden firmar sus propios TGT, convirtiéndose efectivamente en cualquier persona del dominio.
Para mantenerla a salvo, tienes que proteger esta credencial como si tu vida de TI dependiera de ella (porque en cierto modo así es).
Los ataques de golden ticket son como los ninjas del mundo de los ciberataques, pero aún puedes atraparlos con las estrategias correctas. Los métodos de detección incluyen:
Revisar los TGT de Kerberos que no tengan un AS-REQ correspondiente (eso debería activar las alarmas).
Vigilar tiempos de vida de tickets que se vean extraños, o nombres de usuario que en realidad no existen.
Monitorear la actividad de los registros en busca de patrones inusuales en los Event ID 4768, 4769, 4770 y 4771.
Usar herramientas como Splunk, Microsoft Sentinel o Defender para Identidad para analizar el comportamiento.
Recibir alertas cuando aparezca actividad con privilegios en dispositivos sospechosos.
¿La herramienta preferida para los ataques de falsificación de tickets Kerberos? Mimikatz. Esta favorita de posexplotación puede robar hashes y crear tickets falsos como todo un profesional. Otros protagonistas incluyen:
Impacket
Rubeus
Empire
Tanto los atacantes como los equipos rojos usan estas herramientas para falsificar tickets y simular ataques del mundo real.
Así puedes quitarles el golden ticket a los atacantes:
Cambia la contraseña de tu cuenta krbtgt con regularidad (y hazlo dos veces seguidas para mayor seguridad).
Reduce los privilegios de administrador de dominio y adopta un modelo de administración por niveles.
Activa protecciones como Credential Guard, la protección de LSASS, y desactiva WDigest.
Vigila de cerca los intentos de acceso no autorizado a los controladores de dominio y a la memoria de LSASS.
Capacita a tu equipo azul para detectar trucos de persistencia en Kerberos.
Configura reglas de detección en el SIEM y realiza auditorías regulares de acceso privilegiado.
¿Quieres mantener alejados a los atacantes de los golden ticket? Empieza a implementar estos cambios ahora y mantente un paso adelante.
Recursos adicionales
Aprende cómo funcionan las redes de voz sobre IP, su papel en la ciberseguridad y consejos prácticos para proteger la red de voz sobre IP en tu organización.
ClickFix es una técnica de ingeniería social que engaña a los usuarios para que ejecuten comandos maliciosos. Descubre cómo funciona, ejemplos reales y cómo prevenirla.
Descubre qué es el registro de depuración, cómo ayuda en ciberseguridad y las mejores prácticas clave para reducir riesgos y mejorar la respuesta a incidentes
