Pass-the-Hash.

Ataque de reutilizacion de credenciales que autentica en sistemas Windows usando un hash NTLM robado en lugar de la contrasena en claro. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Ataque de reutilizacion de credenciales que autentica en sistemas Windows usando un hash NTLM robado en lugar de la contrasena en claro.

Pass-the-Hash (PtH) aprovecha que la autenticacion NTLM trata el hash como la credencial efectiva: cualquier proceso que posea el hash puede autenticarse sin conocer la contrasena. Los atacantes extraen hashes de la memoria de LSASS o de la base SAM (habitualmente con Mimikatz o secretsdump) y los reproducen contra SMB, WMI o servicios de administracion remota para desplazarse lateralmente. MITRE ATT&CK lo identifica como T1550.002 dentro de Use Alternate Authentication Material. Las defensas incluyen activar Credential Guard, limitar la reutilizacion de administradores locales con LAPS, aplicar administracion por niveles, deshabilitar NTLM cuando sea posible y vigilar accesos a LSASS y sesiones anomalas.

Las defensas contra Pass-the-Hash combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: PtH.