ما هجوم Kerberoasting؟ 

عادةً ما يكون هجوم Kerberoasting وسيلة لتصعيد الامتيازات وليس أسلوبًا أوليًا للاختراق. وبعد أن يستطيع المخترق أن يتحكم في حساب مستخدم النطاق للدخول إلى الشبكة، يمكنه أن يستخدم هجوم Kerberoasting لتوسيع نطاق وصوله. 

تتبع معظم هجمات Kerberoasting الطريقة الأساسية نفسها:

1. يستخدم المخترق حسابًا مخترقًا للحصول على تذاكر خدمة Kerberos.
    
   
2. يأخذ المخترق هذه التذاكر إلى جهاز كمبيوتر لديه خارج نطاق الشبكة التي يهاجمها. 
    
3. يفك المخترق تشفير التذاكر ويكشف عن كلمات مرور حسابات الخدمة التي تدير الخدمات المرتبطة بكل تذكرة.
    
   
4. يسجل المخترق الدخول إلى الشبكة باستخدام بيانات اعتماد حسابات الخدمة، ويسيء استخدام أذوناتها للتنقل عبر الشبكة وإحداث ضرر.

لفهم سبب عمل هجوم Kerberoasting، يجب أولاً فهم أساسيات Kerberos.

Kerberos هو بروتوكول مصادقة يتيح للمستخدمين والخدمات (مثل التطبيقات وقواعد البيانات والخوادم) المصادقة والاتصال بأمان داخل Active Directory والنطاقات الأخرى.  

تستخدم عملية مصادقة Kerberos نظام التذاكر. ويوجد في جوهر هذا النظام مركز التوزيع الرئيسي (KDC) الذي يعمل في وحدة التحكم في نطاق الشبكة. 

مركز التوزيع الرئيسي هو في الأساس برنامج حماية بوابة النطاق. ويتحقق من المستخدمين والخدمات على الشبكة ويصدر لهم التذاكر. والتذاكر هي بيانات اعتماد تُثبت هويات المستخدمين وتسمح لهم بالوصول إلى الموارد الأخرى على الشبكة. ويتبادل المستخدمون والخدمات هذه التذاكر لإثبات هوياتهم لبعضهم. 

عندما يسجل المستخدم الدخول إلى نطاق، يقوم أولاً بالمصادقة مع مركز التوزيع الرئيسي ويتلقى تذكرة منح التذاكر (TGT). وتتيح تذكرة منح التذاكر للمستخدم إمكانية طلب الوصول إلى خدمات النطاق. 

عندما يرغب المستخدم في الوصول إلى خدمة، يرسل طلبًا إلى خدمة منح التذاكر (TGS) التابعة لمركز التوزيع الرئيسي. وترافق خدمة منح التذاكر هذا الطلب للتأكيد على هوية المستخدم. 

وفي المقابل، يصدر مركز التوزيع الرئيسي تذكرة خدمة، وتسمى أيضًا "تذكرة خدمة منح التذاكر"، تُشفَّر باستخدام كلمة مرور حساب الخدمة. ويهدف هذا إلى التأكد من أن الخدمة المستهدفة فقط هي التي يمكنها التحقق من صحة طلب وصول المستخدم. يقدم المستخدم تذكرة الخدمة هذه إلى الخدمة المستهدفة، والتي تصادق على المستخدم وتبدأ جلسة آمنة. 

هناك بعض التفاصيل في تصميم Kerberos تجعله عرضة لهجوم Kerberoasting.  

أولاً، لا يتحقق مركز التوزيع الرئيسي مما إذا كان المستخدمون مخولين بالوصول إلى الخدمة. ويمكن لأي مستخدم طلب تذكرة لأي خدمة. ويتعين على الخدمات الفردية فرض الأذونات وحظر المستخدمين غير المصرح لهم. لذلك، لا يحتاج المخترقون إلى الاستيلاء على حسابات مسؤولي النطاقات أو المستخدمين المتميزين الآخرين. ويمكنهم استخدام أي حساب مخترق.

ثانيًا، يجب أن تقترن كل خدمة في نطاق Kerberos بحساب خدمة مسؤول عن تشغيلها على النطاق. وتمكّن حسابات الخدمة بروتوكول Kerberos من مصادقة الخدمات وإصدار تذاكر الخدمة وفرض الضوابط الأمنية. وتمنح هذه الحسابات أيضًا المخترقين هدفًا، لأنها عادة ما تكون ذات امتيازات عالية.  

ثالثًا، تُشفَّر تذاكر Kerberos باستخدام تجزئات كلمات المرور الخاصة بالحسابات المرتبطة كمفاتيح. والأهم من ذلك بالنسبة إلى هجوم Kerberoasting هو أن تستخدم تذاكر الخدمة تجزئات كلمات المرور الخاصة بحسابات الخدمة ذات الصلة. 

كلمات مرور الحساب هي مفاتيح تشفير متماثلة ملائمة لأن مركز التوزيع الرئيسي والخدمة ذات الصلة فقط هما فقط اللذان يجب أن يعرفا كلمة المرور. ولكن نظرًا إلى أن التذاكر مشفرة باستخدام تجزئات كلمات المرور، يمكن للمخترقين إجراء هندسة عكسية لكلمات مرور حساب الخدمة عن طريق اختراق تشفير التذكرة.  

بالإضافة إلى ذلك، غالبًا ما يتم تمكين علامة "كلمة المرور لا تنتهي صلاحيتها أبدًا" في حسابات الخدمة التي تُكوَّن يدويًا. في الشبكات طويلة الأمد، قد يعني هذا أن حسابات الخدمة تستخدم كلمات مرور قديمة جدًا تتبع إرشادات الأمان القديمة، ما يسهل اختراقها. 

في حين أن هجوم Kerberoasting يتطلب عادةً حساب مستخدم النطاق المخترق، اكتشف الباحث الأمني تشارلي كلارك تقنية هجوم تتيح للمخترقين سرقة تذاكر الخدمة من دون سرقة الحساب في ظل الظروف الصحيحة.¹

تذكر أنه قبل أن يتمكن المستخدم من تلقي تذاكر الخدمة، يجب عليه المصادقة مع مركز التوزيع الرئيسي والحصول على تذكرة منح التذاكر التي تسمح له بطلب الوصول إلى الخدمة. باستخدام أداة استغلال Kerberos التي تدعى Rubeus، تمكن كلارك من تعديل طلب المصادقة الأولي هذا بحيث يطلب تذكرة خدمة بدلاً من تذكرة منح تذاكر. وقد كان الأمر مجديًا، واستجاب مركز التوزيع الرئيسي بتقديم تذكرة خدمة.

لهذه الطريقة تطبيقات محدودة. ولكي تعمل هذه التقنية، يجب على المخترق التظاهر بإرسال طلب المصادقة من حساب لا يتطلب مصادقة مسبقة في Kerberos. تحتاج الحسابات التي تتطلب مصادقة مسبقة - كما هو حال معظمها- إلى بيانات اعتماد المستخدم لإرسال طلب المصادقة الأولي الذي قام كلارك بتعديله. ومع ذلك، فإن هذه التقنية تفتح طريقًا محتملاً للمهاجمين. 

استخدم المخترقون تقنيات Kerberoasting في بعض أهم الهجمات الإلكترونية في السنوات القليلة الماضية.

في هجوم SolarWinds لعام 2020، نشر مخترقو الدولة الروسية برامج ضارة من خلال دمجها في صورة تحديث شرعي لمنصة إدارة البنية الأساسية لدى SolarWinds's Orion. اخترق المخترقون العديد من الشركات والوكالات الحكومية، بما في ذلك وزارتا الخارجية والعدل الأمريكيتان. ووفقًا لشركة Mitre، استخدم المخترقون هجوم Kerberoasting لتصعيد امتيازاتهم في الأنظمة المخترقة.²

وبالمثل، غالبًا ما يستخدم المخترقون المرتبطون ببرامج الفدية الضار Akira، هجوم Kerberoasting لتوسيع نطاق وصولهم والحفاظ على الوصول إلى الشبكات التي يخترقونها. وبدءًا من إبريل 2024، ضرب برنامج Akira 250 مؤسسة في جميع أنحاء العالم، وابتز ما مجموعه 42 مليون دولار أمريكي من مدفوعات الفدية.³

بينما تستهدف هجمات التذاكر الذهبية أيضًا عمليات مصادقة Kerberos، فإنها تختلف عن هجوم Keberoasting. 

في هجوم Kerberoasting، يسرق المخترقون التذاكر ويخترقونها للكشف عن كلمات المرور والاستيلاء على حسابات الخدمة. 

أما في هجوم التذكرة الذهبية، فيكتسب المخترق أولاً امتيازات على مستوى المسؤول في النطاق. ويتيح لهم ذلك الوصول إلى كلمة مرور حساب krbtgt، وهو الحساب الذي يستخدمه مركز التوزيع الرئيسي لتشفير تذاكر منح التذاكر. يستخدم المخترق هذه الامتيازات لإنشاء تذاكر Kerberos ضارة تتيح لهم التظاهر بكونهم أي مستخدم والحصول على الوصول غير المقيد تقريبًا إلى موارد الشبكة.

من الصعب تحديد هجمات Kerberoasting لأن المهاجمين يقضون الكثير من وقتهم في التنكر كحسابات شرعية. وتمتزج طلبات التذاكر الخاصة بهم مع الطلبات الحقيقية، ويحدث الاختراق الفعلي لكلمات المرور خارج نطاق الشبكة. 

ومع ذلك، توجد أدوات وممارسات يمكن للمؤسسات استخدامها لتقليل فرص نجاح الهجوم واعتراض هجوم Kerberoasting بشكل أفضل في أثناء تقدمه.