Mobile-Menu

So gefährden LaZagne, BloodHound und Mimikatz das Active Directory Diese Tools nutzen Hacker für AD-Angriffe

Von Thomas Joos 5 min Lesedauer

Mit den drei Open Source-Tools LaZagne, BloodHound und Mimikatz greifen viele Hacker Netzwerke an – oft mit dem Ziel, die Kontrolle über das Active Directory zu übernehmen. Wir zeigen, auf was Admins in diesem Zusammenhang achten sollen.

Sehr oft stehen das Active Directory und dort privilegierte Accounts im Fokus von Kriminellen. Thomas Joos zeigt, welche Tools die Angreifer gerne einsetzen, damit Admins sich gezielt auf drohende Gefahren vorbereiten können.(Bild: © tippapatt - stock.adobe.com)
Sehr oft stehen das Active Directory und dort privilegierte Accounts im Fokus von Kriminellen. Thomas Joos zeigt, welche Tools die Angreifer gerne einsetzen, damit Admins sich gezielt auf drohende Gefahren vorbereiten können.
(Bild: © tippapatt - stock.adobe.com)

Wenn Hacker Netzwerke und Active Directory angreifen, verwenden sie gerne die immergleichen Tools und Vorgehensweisen. In den meisten Fällen „hacken“ Angreifer auch nichts, sondern sie erhalten über verschiedene Wege, zum Beispiel durch Social Engineering, die Anmeldedaten eines Benutzers. Mit denen melden sich die Hacker dann ganz normal an.

Cyberattacken basieren meistens auf dem Diebstahl von Identitäten und Anmeldeinformationen. Hinzu kommt, dass in nahezu allen Organisationen Endgeräte existieren, auf denen Anmeldeinformationen nicht ausreichend geschützt sind, zum Beispiel zwischengespeicherte Anmeldeinformationen für die Remoteeinwahl oder Login-Daten in Webbrowsern. Die recht prominente WannaCry-Ransomware ist zum Beispiel bekannt dafür, RDP-Sitzungen zu kapern. Remotezugangsdaten sind mittlerweile ein begehrtes Handelsobjekt in einschlägigen Internetforen.

Bildergalerie
Bildergalerie mit 5 Bildern

Den Angaben der Identity Defined Security Alliance zufolge haben 79 Prozent der Unternehmen in den letzten zwei Jahren eine Sicherheitsverletzung im Zusammenhang mit Identitäten erlebt. Und das Ergebnis des omnipräsenten Mangels an Personal und Zeit ist, dass fast 90 Prozent von lokalen Administratoren nicht in PAM-Lösungen (Privileged Access Management) erfasst sind. Das resultiert oft in der Übernahme von solchen Konten durch Angreifer.

Hacker hacken nichts, sie melden sich einfach an

Hacker hacken also meistens nicht, sie melden sich einfach mit ergaunerten Anmeldedaten an. Erst anschließend beginnt die eigentliche Aktivität des Angreifers. Wenn er sich erfolgreich im Netzwerk positioniert hat, versucht er, an weitere Anmeldedaten zu kommen, die er mit Tools wie LaZagne, BloodHound und Mimikatz in lokalen Netzwerken abgreift. Dabei hat er immer Konten mit einer höheren Berechtigungsstufe im Fokus, bis schlussendlich auch Anmeldedaten oder Kerberostickets von Administratoren oder anderen privilegierten Konten in Active Directory vorliegen.

Die bekannte Hackerin Alissa Knight sagt dazu: „Sobald ich in einem Netzwerk eine Lücke gefunden habe, mache ich mich zunächst auf die Suche nach Domänenadministrator-Rechten, indem ich Anmeldeinformationen aus dem Speicher der Systeme auslese. Ich suche so lange, bis ich solche Rechte in einem Netzwerk finde. Und das tue ich immer!“ Privileged Account/Access Management (PAM), Multi-Faktor-Authentifizierung (MFA) und andere Identity und Access-Management-Lösungen (IAM) bieten einen gewissen Schutz, hinterlassen aber haufenweise blinde Flecken, die Angreifer regelmäßig ausnutzen. Mit gestohlenen Anmeldedaten können sich Hacker ohne Probleme im Netzwerk anmelden, oft auch noch über das Internet, und mit den Rechten des Benutzers ihre kriminellen Machenschaften im Netzwerk durchführen. Die Angriffe bleiben oft unentdeckt, bis größerer Schaden entsteht, oder der Angreifer im internen Netzwerk auch noch weitere Identitäten übernehmen kann.

LaZagne findet schnell Kennwörter von Benutzerkonten – kostenlos

Das kostenlose Open Source-Tool LaZagne sucht in Windows, Linux und macOS aktiv nach Kennwörtern von Benutzerkonten im Active Directory und setzt dabei auf Sicherheitslücken im Betriebssystem und in Anwendungen. Findet das Tool ein Kennwort, kann sich ein Angreifer mit dem gekaperten Benutzerkonto ohne Probleme im lokalen Netzwerk anmelden. Das Tool nutzt weit über 70 Sicherheitslücken aus, die es in vielen Netzwerken und den dort betriebenen Anwendungen gibt. Es reicht bereits eine Lücke, um an ein Kennwort zu kommen.

Handelt es sich bei dem gekaperten Konto um ein privilegiertes Benutzerkonto, sind die Schutzfunktionen in den meisten Unternehmen bereits ausgehebelt, bevor irgendjemand etwas von dem Angriff bemerkt. Im Fokus von LaZagne stehen Webbrowser, Chat-Tools, Datenbanken, E-Mail-Clients, Git, Maven, PHP, SVN, viele Admin-Tools, WLAN-Kennwörter, LSA-Secrets und vieles mehr. Eine Liste der Tools ist auf der GitHub-Seite des Projektes zu finden. Die Türen in vielen Netzwerken stehen weit offen und LaZagne nutzt das aus. Hinzu kommt, dass der Umgang mit dem Tool sehr einfach ist.

In Windows erfolgt der Download von LaZagne als *.exe-Datei, die sich direkt ausführen lässt. Natürlich melden Browser und Betriebssystem das Tool als Hackerwerkzeug, sodass der Download erfahrenen Anwender vorbehalten ist. Mit „Lazagne browsers“ sucht das Tool direkt in Browsern nach Kennwörtern, der Befehl „lazagne all“ durchsucht den Rechner komplett.

Bloodhound: optimiert für Angriffe auf Active Directory und Azure

Bloodhound ist ein Tool, mit dem sich vor allem Active-Directory-Umgebungen angreifen lassen. Das Tool versucht, Domänenadmin-Zugänge zu finden und zu übernehmen. Das Tool ist auch ideal für Sicherheitsexperten und Domänenadmins, da sich mit Bloodhound Schwachstellen in der Konfiguration der Berechtigungen und Kennwörter von privilegierten Konten finden lassen. Bloodhound steht auch als Open Source kostenlos auf GitHub zur Verfügung. Das Tool arbeitet unter Linux und Windows.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Die Installation von Bloodhound ist auch in Windows problemlos möglich, allerdings geben viele Virenscanner, auch Microsoft Defender, eine Virenwarnung aus, wenn das Tool auf einem Rechner installiert wird. Für die Installation ist zunächst das Oracle JDK 11 auf dem Rechner notwendig. Danach kann neo4j als Community Server Edition heruntergeladen, extrahiert und in einem Befehlszeilen-Fenster mit Admin-Rechten als Dienst installiert werden. Dazu ist ein Wechsel in das bin-Verzeichnis des extrahierten neo4j-Verzeichnisses notwendig. Hier kann der entsprechende Dienst mit dem folgenden Befehl installiert werden:

neo4j.bat install-service

Nach der erfolgreichen Installation besteht der nächste Schritt darin den Dienst zu starten:

Net start neo4j

Im lokalen Webbrowser ist die Webseite von Neo4j über die Adresse http://localhost:7474 zu finden. Zunächst muss für den Benutzer „neo4j“ das Standardkennwort „neo4j“ geändert werden. Hat das funktioniert, erfolgt der Download der GUI von Bloodhound über die GitHub-Webseite. Nach dem Download und dem Extrahieren des Verzeichnisses lässt sich Bloodhound über die Datei „bloodhound.exe“ starten. Die Anmeldung erfolgt mit dem Benutzer „neo4j“ und dem Kennwort, das bei der Installation eingegeben wurde.

Mimikatz kapert Kerberos-Tickets und unverschlüsselte Passwort-Hashes

Mimikatz ist ein Open-Source-Tool um Kerberos-Tickets und unverschlüsselte Passwort-Hashes sowie entschlüsselte Passwörter aus dem Arbeitsspeicher eines Systems auszulesen. Das Tool kann vor allem Dienstkonten angreifen, die über erweiterte Berechtigungen verfügen und nicht so unter Beobachtung stehen wie herkömmliche Konten. Das Tool gehört in Windows sicherlich zu den gefährlichsten Tools, da es schnell ungesicherte Kennwörter aufdecken kann.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:48589883)

Weiterführende Inhalte