Drei Tools, die Hacker für Angriffe auf das Active Directory nutzen

Warum Hacker nicht hacken müssen, sondern sich einfach nur anmelden

Während im stereotypischen Verständnis ein Hacker im dunklen Zimmer – und natürlich mit obligatorischem Kapuzenpulli – sitzt und Zeile für Zeile bösartigen Code in seinen Rechner tippt, sieht die Wirklichkeit doch etwas anders aus. Zwar nutzen moderne Hacker unzählige Tools, die stellenweise auch Programmierarbeit erfordern, allerdings nutzen die Angreifer weniger Algorithmen als vielmehr das menschliche Verhalten für ihre Zwecke. Mit dem Wissen um grundlegende Persönlichkeitsmerkmale und begleitet vom Spiel mit Emotionen, manipulieren die Hacker genau in dem Moment, wenn der menschliche Verstand ausgeschaltet wird und Neugier, Pflichterfüllung, Gier - oder schlichtweg der Wunsch nach Anerkennung - übernimmt. Im Rahmen der vorbereitenden Informationsgewinnung wird auf Basis öffentlich verfügbarer Datenquellen über das Ziel-Unternehmen und dessen Mitarbeiter recherchiert. Im Mittelpunkt steht hierbei die Identifikation von Mitarbeitern, die später zum An­griffsziel der Social Engineering Attacke werden. Auch die erste Kontaktaufnah­me läuft mitunter über soziale Netzwerke und wird in der Folge intensiviert, um die Opfer zu unüberlegten Handlungen zu verleiten.

Social Engineers sind aber beileibe nicht nur digital unterwegs. Bei der Industriespionage steht Tailgating als Methode ganz oben auf der Hacker-Agenda. Beim Tailgating geht es darum, dass sich ein Angreifer physischen Zutritt zu eigentlich streng abgeschotteten Unternehmensbereichen verschafft. Der Zutritt ins Firmengebäude erfolgt dabei über zuvor ausgespähte Zugangs­möglichkeiten. Um das Vertrauen der Mitarbeiter zu erreichen, geben sich die Social Engineers beispielsweise als Dienstleister der firmeneigenen IT aus, z.B. mit dem Ziel, PC-Zugriffsmöglich­keiten der Zielpersonen zu erlangen. Dafür kann der Angreifer als Handwerker auftreten, der in der Chefetage die Heizungen überprüfen muss oder als IT-Spezialist, dem ein Defekt im Serverraum gemeldet wurde. Auch die Platzierung von präparierten Datenträgern (sog. “Candy Drop” Methode) an stark frequentierten Orten ist bereits eine vorbereitende Maßnahme des später erfolgenden fingierten Cyberangriffs.

Hat aber ein “echter Hacker” sein erstes Ziel erreicht und sich Zutritt zu einem Netzwerk verschafft, beginnt die “eigentliche Arbeit” des Kriminellen. Mit erbeuteten Zugangsdaten schafft er sich einen initialen Brückenkopf im System, von dem aus er sich lateral durch das Netzwerk bewegt und dabei seine Berechtigungen immer weiter ausdehnt. In dieser “Installationsphase” wird ein fester Kommunikationsweg in das Netzwerk des Opfers etabliert. Bleibt der Hacker dabei unentdeckt führt dies schlussendlich zur Übernahme des Active Directorys. Die Hacker setzen dabei vorbereitend auf unterschiedliche Tools, von denen wir im Folgenden drei näher vorstellen.

Drei Tools, die Hacker nutzen, um kompromittierte Systeme zu übernehmen

In einem Großteil aller Unternehmen wird als Betriebssystem Microsoft Windows eingesetzt, zentral verwaltet und gesteuert vom Verzeichnisdienst Active Directory (AD). Der Verzeichnisdienst ermöglicht es, die Struktur einer Organisation nachzubilden und die Verwendung von Netzwerkressourcen oder -objekten zentral zu verwalten. Mit Hilfe des Active Directory kann ein Administrator die Informationen der Objekte organisieren, bereitstellen und überwachen. Einzelne Unternehmensbereiche sind über Domänen voneinander abgegrenzt. Das Ziel im Fokus der Cyberkriminellen lautet daher: Angriff auf das Active Directory und Übernahme. Sind sie erst einmal erfolgreich ins Netzwerk eingedrungen, geschieht es in vielen Fällen über eine einfache Anmeldung.

In der Tat gelingen die meisten Übernahmen des Active Directory, da gestohlene Identitäten und zugehörige Anmeldedaten genutzt werden. Haben sich Angreifer unbemerkt im Netz positioniert, gehen sie gezielt auf die Suche nach höheren Berechtigungen, bis sie schließlich an die Zugangsdaten von Administratoren oder gleichermaßen privilegierten Usern gelangen, welche häufig erschreckend schlecht gesichert sind.

Diese drei Open Source-Tools verwenden Hacker beim Angriff auf Netzwerke und wenn es um den Identitätsdiebstahl von Anmeldedaten geht:

1. LaZagne: Das Open Source Tool für die bequeme Suche nach Kennwörtern

LaZagne ist als kostenloses Tool verfügbar und darauf ausgelegt, im Active Directory nach hinterlegten Kennwörtern zu Benutzerkonten zu suchen. LaZagne kennt dabei bestehende Sicherheitslücken in Anwendungen und dem Betriebssystem und nutzt diese aus. Das Tool identifiziert  Passwörter in E-Mail-Clients ebenso wie in Webbrowsern, Datenbanken oder Admin-Tools. In der Hacker-Szene ist LaZagne auch und vor allem wegen seiner Benutzerfreundlichkeit und einfachen Bedienung beliebt. Denn ist ein Passwort erfolgreich ausfindig gemacht, können sich die Angreifer ganz bequem über das kompromittierte Benutzerkonto im lokalen Netzwerk einwählen.

2. Bloodhound: Das Tool zum Kapern von Domänenadmin-Zugängen

Bloodhound ist ein weiteres, kostenlos verfügbares Open Source Tool, das speziell für Angriffe auf Active Directories und die Cloud Computing Plattform Microsoft Azure entwickelt wurde. Bloodhound findet gezielt bestehende Schwachstellen in der Konto-Verwaltung von Kennwörtern und Berechtigungen. Bloodhound stellt das Active Directory visuell dar. Dafür generiert das Tool aus den angefragten Daten eine Übersicht über die Rechte von Benutzern und auf welchen Systemen diese angemeldet sind. Für Hacker ist dies eine wahre Fundgrube, lassen sich doch so Rückschlüsse auf die Mitglieder der Domain Admins ziehen - und sich diese in der Folge gezielt angreifen.

3. Mimikatz: Im Handumdrehen ungesicherte Kennwörter aufdecken

Wieder ein Open Source Tool, aber eines der ganz besonders gefährlichen Art: Mimikatz gilt unter Sicherheitsexperten als eines der bedrohlichsten Hacker-Tools. Denn Mimikatz ist darauf optimiert, die Konten anzugreifen, die nicht unter besonderer Beobachtung stehen. Dies sind vor allem Dienstkonten mit erweiterten Berechtigungen. Mimikatz kann schnell und zuverlässig Kerberos-Tickets (zur sicheren Authentifizierung in TCP/IP-Netzwerken) auslesen, gelangt an entschlüsselte Passwörter aus dem Arbeitsspeicher oder an unverschlüsselte Passwort-Hashes.