Pass-the-Hash Nasıl Çalışır?
Saldırgan, ele geçirdiği bir sistemde mimikatz gibi araçlarla lsass.exe sürecinin belleğinden NTLM hash değerlerini çalar. Bu hash değerini kullanarak ağdaki diğer sistemlere NTLM protokolü ile kimlik doğrulaması yapar – şifreyi bilmesine gerek yoktur.
Tespit Stratejisi
Modern Active Directory ortamlarında Kerberos tercih edilir. Kerberos beklenirken NTLM ile yapılan kimlik doğrulamaları (Event ID 4776) PtH göstergesi olabilir. ACKLOG, admin hesaplarının NTLM kullanımını özellikle izler.