Eine immer häufiger eingesetzte Phishing-Technik zielt darauf ab, NTLM-Hashes von Windows zu stehlen, um an die Passwörter der Benutzer zu gelangen. Hier erfahren Sie, wie Experten eines SOC eingreifen können, um diese Bedrohung zu neutralisieren.
Worin besteht diese neue Phishing-Kampagne?
Der Diebstahl von NTLM-Hashes erfolgt über groß angelegte Phishing-E-Mail-Kampagnen, die von sogenannten Initial Access Brokern (IAB) geplant und weltweit gegen Organisationen gerichtet werden. Diese E-Mails werden gezielt an bestimmte Benutzer verschickt, sodass der Angreifer die gestohlenen Informationen einem klar definierten Profil zuordnen kann.
Im Text der E-Mail befindet sich ein Anhang – zum Beispiel ein Bild in der Signatur des Benutzers –, das von Outlook automatisch heruntergeladen wird. Dieser Vorgang löst automatisch eine Anfrage an einen bösartigen Server aus, der dem Threat Actor gehört, und dabei findet eine NT LAN Manager (NTLM)-Authentifizierung statt.
Währenddessen verschafft sich ein Initial Access Broker Zugriff auf den Authentifizierungs-Hash. Anschließend kann er diesen auf verschiedene Weise nutzen: um Konten zu kompromittieren und zu übernehmen, seine Privilegien zu erweitern, auf vertrauliche Informationen zuzugreifen, Sicherheitslösungen zu umgehen, sich seitlich in einem kompromittierten Netzwerk zu bewegen oder den Hash an andere Cyberkriminelle zu verkaufen.
Was ist das NTLM-Protokoll?
Die NTLM-Authentifizierung ist eine Reihe von von Microsoft entwickelten Authentifizierungsprotokollen, die Benutzer und Computer über ein Anforderungs- und Antwortverfahren verifizieren. Ursprünglich als proprietäres Protokoll eingeführt, ist es inzwischen auch für Nicht-Windows-Systeme verfügbar.
Ziel des NTLM-Protokolls (NT LAN Manager) ist es, unbefugten Teilnehmern den Zugriff durch ein Prüfverfahren zu verwehren. Hat ein Client nicht die erforderlichen Berechtigungen, blockiert diese Authentifizierung den Zugriff auf den Server.
NTLM: Wie funktioniert das Protokoll?
Die NTLM-Authentifizierung nutzt ein Challenge-Response-Verfahren, das mehrere Schritte umfasst:
- Der Client sendet einen Benutzernamen im Klartext an den Server.
- Der Server antwortet mit einer Zufallszahl, der „Challenge“.
- Der Client verwendet diese Zahl und das Benutzerpasswort, um einen Hash-Wert zu generieren, und sendet diesen als „Response“ an den Server.
- Der Server übermittelt Challenge, Response und Benutzernamen an den Domain Controller.
- Der Domain Controller vergleicht die Werte von Challenge und Response. Stimmen sie überein, wird die Authentizität des Clients bestätigt; andernfalls wird der Client blockiert.
- Der Server gibt die Antwort des Domain Controllers an den Client zurück.
Wie der Diebstahl von NTLM-Hashes abläuft
Eine scheinbar harmlose E-Mail
Der Benutzer erhält in seinem Outlook-Postfach eine E-Mail. Auf den ersten Blick wirkt sie wie eine gewöhnliche Nachricht von einem unbekannten Absender: Die Absenderadresse erscheint legitim, der Text enthält keine auffälligen Details und der Anhang sieht aus wie ein unbedenklicher Download-Inhalt.
Ist Outlook nicht korrekt konfiguriert, lädt es den Anhang herunter und sendet dabei automatisch eine Anfrage an das Filesharing-Protokoll, das den betreffenden Inhalt hostet. Sobald diese automatische Anfrage von Outlook gestartet wird, beginnt der NTLM-Authentifizierungsprozess mit dem zuvor beschriebenen Challenge-Response-Verfahren.
Automatischer Download und NTLM-Authentifizierung
Was der Benutzer nicht weiß: Der Anhang der E-Mail enthält HTML-Code, der auf einen externen, bösartigen Server verweist. Dadurch erfolgt die NTLM-Authentifizierung zwischen dem Client und einem von einem Cyberkriminellen kontrollierten SMB-Server.
Warum erkennt Outlook den schädlichen Inhalt nicht? Tatsächlich könnte eine korrekte Konfiguration von Outlook es der Anwendung ermöglichen, den bösartigen Anhang zu identifizieren. In diesen Fällen ist es jedoch ebenso wichtig, dass der Benutzer die Gefahr erkennt und die Benachrichtigung des Programms ernst nimmt.
Ein Mitarbeiter, der täglich zahlreiche Anhänge verarbeitet, könnte die Warnung von Outlook als weiteren „Fehlalarm“ abtun. Angesichts eines scheinbar harmlosen Anhangs, etwa einer Signatur im Bildformat, könnte er die Warnung ignorieren und den automatischen Download zulassen.
Abfangen über einen SMB-Listener
Zur Vorbereitung des Diebstahls hat der Angreifer einen SMB-Listener eingerichtet, der die Ereignisse überwacht und auf den richtigen Moment wartet. Sobald die automatische Anfrage von Outlook an den SMB-Server ausgelöst wird, fängt der Listener diese Client-Anfrage ab. Diese enthält verschiedene Benutzerdaten, darunter auch den NTLM-Authentifizierungs-Hash.
Wie aus dem vorherigen Screenshot ersichtlich, erhält der Angreifer bestimmte Daten zur Sitzung des Benutzers sowie sensible Informationen wie Benutzername und NTLM-Hash. Sobald dieses Passwort „eingefangen“ ist, kann es mit Brute-Force-Techniken geknackt und dem jeweiligen Benutzer zugeordnet werden. Auf diese Weise gelangt der Cyberkriminelle an persönliche Zugangsdaten und kann einen gezielten Angriff gegen den Benutzer ausführen.
NTLM-Hash-Diebstahl: Folgen für den Benutzer
Hat der Angreifer einmal die Zugangsdaten erlangt, kann er diese je nach Zielsetzung flexibel nutzen. Der einfachste Weg – insbesondere für weniger erfahrene Kriminelle – besteht im Verkauf der Anmeldedaten im Dark Web. Dort werden sie von anderen Threat Actoren gekauft und mit fortgeschritteneren Mitteln für komplexe Angriffe eingesetzt. Weitere mögliche Aktionen sind:
- Geldtransfers über BEC-Angriffe (Business E-Mail Compromise): Nach dem Diebstahl des NTLM-Hashes verschafft sich der Angreifer Zugang zum E-Mail-Konto einer Führungskraft. Von dort aus versendet er betrügerische Nachrichten an Kollegen oder Geschäftspartner und fordert Überweisungen auf von ihm kontrollierte Konten an, was zu erheblichen finanziellen Verlusten führen kann.
- Exfiltration sensibler Daten: Mit dem NTLM-Hash greift der Angreifer auf Netzwerkfreigaben zu, die vertrauliche Daten wie Planungen, Verträge oder Kundeninformationen enthalten. Diese werden auf externe Server kopiert, wodurch die Vertraulichkeit massiv gefährdet wird.
- Reputationsverlust: Mit dem Zugang zum E-Mail-Konto einer Führungskraft oder eines Verantwortlichen verschickt der Angreifer Phishing-Mails oder Malware an Unternehmenskontakte. Dies beschädigt das Unternehmensimage und untergräbt das Vertrauen von Kunden und Partnern.
- Zugriff auf Unternehmenssysteme: Der Angreifer nutzt den NTLM-Hash, um auf Firmencomputer oder administrative Konten zuzugreifen. So kann er vertrauliche Informationen, sensible Dokumente oder Finanzdaten entwenden, für weitere Angriffe missbrauchen oder im Darknet verkaufen. Zusätzlich kann er Dateien verändern, beschädigen oder löschen und damit den Geschäftsbetrieb stören.
Verteidigungsstrategien: Warum ein SOC unverzichtbar ist
Für ein Unternehmen kann es sowohl operativ als auch finanziell schwierig sein, eine umfassende Cybersecurity- und Cyber-Resilience-Strategie eigenständig umzusetzen. Hier kommt der Mehrwert eines kompetenten IT-Partners ins Spiel: Mit dessen Unterstützung kann die Abwehr selbst hochentwickelter Cyberbedrohungen effizienter und wirksamer gestaltet werden. Besonders ein Security Operations Center (SOC) eines externen Partners schützt vor NTLM-Hash-Diebstahl, indem es schwache Protokolle blockiert, spezifische Firewall-Policies implementiert und rund um die Uhr die Aktivitäten einer EDR-Lösung überwacht.
Blockieren schwacher Protokolle
Ein zentraler Schritt beim Schutz von NTLM-Hashes ist das Sperren veralteter Authentifizierungsprotokolle. So gilt NTLM v1 – eingeführt 1993 und längst nicht mehr aktiv weiterentwickelt – als unsicher und wird von Angreifern häufig ausgenutzt. Microsoft hat die NTLM-Authentifizierung daher kürzlich offiziell als veraltet eingestuft und empfiehlt die Umstellung auf Kerberos oder Negotiate.
Ausgehenden Datenverkehr über EDR und Firewall unterbinden
Angreifer nutzen oft den Netzwerkverkehr, um NTLM-Hashes zu exfiltrieren. Eine Endpoint Detection and Response (EDR)-Lösung überwacht Endgeräte und kann verdächtiges Verhalten blockieren. Da EDR jedoch nicht immer sämtlichen schädlichen Verkehr erkennt, ist es entscheidend, die Firewall so zu konfigurieren, dass ausgehende SMB-Protokolle blockiert werden – ein häufiger Übertragungskanal für gestohlene Hashes. Zudem erschwert eine Netzwerksegmentierung unnötigen Datenverkehr und begrenzt die Möglichkeiten der Angreifer, sich seitlich im Netzwerk zu bewegen.
Sensibilisierung der Mitarbeiter
Viele Cyberangriffe beginnen mit der Täuschung von Mitarbeitern. Deshalb ist die Investition in Schulungsprogramme und der Aufbau einer internen Sicherheitskultur ein entscheidender Schritt, um das Risiko solcher Angriffe zu verringern. Phishing-Simulationen sind dabei ein wirksames Mittel, um das Bewusstsein der Beschäftigten für Bedrohungen zu schärfen und ihre Reaktionsfähigkeit zu stärken..
