Pass-the-Ticket.

Ataque ao Active Directory que reutiliza um ticket Kerberos roubado para se fazer passar por um utilizador ou servico sem conhecer a palavra-passe. Pertence à categoria Ataques e ameaças da cibersegurança.

Ataque ao Active Directory que reutiliza um ticket Kerberos roubado para se fazer passar por um utilizador ou servico sem conhecer a palavra-passe.

O Pass-the-Ticket (PtT) abusa do Kerberos ao injetar um TGT ou ticket de servico previamente roubado na sessao de logon corrente e usa-o para aceder a recursos como o principal original. Os atacantes recolhem tickets na memoria do LSASS ou em ficheiros kirbi em hosts comprometidos, tipicamente com Mimikatz ou Rubeus, e injetam-nos noutra maquina para se autenticarem em partilhas SMB, MSSQL ou em DCs. O MITRE ATT&CK regista a tecnica como T1550.003 (Use Alternate Authentication Material: Pass the Ticket). As defesas incluem Credential Guard, tickets de curta duracao, o grupo Protected Users para contas privilegiadas, monitorizacao de eventos Kerberos e deteccao de acessos a memoria ao estilo Mimikatz.

As defesas contra Pass-the-Ticket costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: PtT.