Top 10 Métodos de Ataque ao Active Directory

Postado em 15 de Julho de 2025 por Kelsey Santos

O Active Directory (AD) é frequentemente considerado a "joia da coroa" para invasores, pois centraliza a autenticação e autorização de toda a rede. Comprometer o AD significa obter controle sobre usuários, sistemas e dados. Muitos desses ataques exploram configurações incorretas e credenciais mal gerenciadas, que muitas vezes são negligenciadas até ser tarde demais.

1. Kerberoasting

Este método abusa de contas de serviço que possuem um SPN (Service Principal Name) configurado. O invasor solicita um ticket de serviço Kerberos para essa conta e o extrai da memória para tentar quebrar a senha offline, sem interagir diretamente com o serviço e sem gerar alertas de falha de login.

  • Objetivo Principal: Comprometer contas de serviço, que geralmente possuem privilégios elevados, quebrando suas senhas offline para obter acesso a sistemas críticos.

2. Password Spraying

Ao contrário do ataque de força bruta tradicional (que tenta muitas senhas em uma única conta), o "password spraying" testa uma ou poucas senhas comuns em um grande número de contas de usuário. Essa abordagem "lenta e contínua" evita o bloqueio de contas.

  • Objetivo Principal: Encontrar contas com senhas fracas e fáceis de adivinhar (como "Verão2025!" ou "Empresa123"), obtendo um ponto de entrada inicial na rede de forma furtiva.

3. Envenenamento de LLMNR/NBT-NS

O LLMNR (Link-Local Multicast Name Resolution) é um protocolo de resolução de nomes usado quando o DNS falha. Um invasor na mesma rede pode interceptar essas requisições e se passar pelo recurso que o usuário está tentando acessar, capturando o hash da senha NTLM do usuário no processo.

  • Objetivo Principal: Roubar hashes de senha de usuários sem precisar de acesso prévio, para depois quebrá-los offline ou usá-los em ataques de "Pass-the-Hash".

4. Pass-the-Hash com Mimikatz

Uma vez que um invasor obtém o hash da senha de um usuário (por exemplo, através do LLMNR Poisoning ou extraindo da memória), ele não precisa quebrar a senha. Com ferramentas como o Mimikatz, ele pode usar o próprio hash para se autenticar em outros sistemas da rede como se fosse aquele usuário.

  • Objetivo Principal: Mover-se lateralmente pela rede autenticando-se em outros sistemas e servidores sem nunca precisar saber a senha em texto plano.

5. Credenciais Padrão

Um dos métodos mais simples e eficazes, consiste em explorar contas de serviço ou de administração de aplicações e dispositivos que ainda utilizam as senhas e nomes de usuário definidos pelo fabricante. É uma falha de configuração básica, mas surpreendentemente comum.

  • Objetivo Principal: Obter acesso privilegiado explorando a falta de uma política de alteração de senhas padrão em novos sistemas e aplicações integradas ao AD.

6. Credenciais "Hard-coded"

Invasores buscam por senhas e chaves de API que foram deixadas diretamente no código-fonte de scripts (PowerShell, Python), arquivos de configuração de aplicações ou até mesmo em descrições de GPOs (Group Policy Objects) no Active Directory.

  • Objetivo Principal: Encontrar credenciais expostas para escalar privilégios ou acessar outros sistemas e bancos de dados sem precisar de técnicas de quebra de senhas.

7. Escalação de Privilégio

Após obter acesso inicial com uma conta de baixo privilégio, o invasor explora configurações fracas no AD para se tornar um administrador. Isso pode incluir permissões excessivas em objetos de usuário, ACLs (Listas de Controle de Acesso) mal configuradas ou vulnerabilidades exploráveis.

  • Objetivo Principal: Transformar um acesso limitado em controle total (tipicamente, Domain Admin), permitindo ao invasor controlar todo o ambiente do Active Directory.

8. Reconhecimento com LDAP

Utilizando consultas LDAP (Lightweight Directory Access Protocol), que muitas vezes podem ser feitas de forma anônima ou com uma conta de usuário comum, o invasor mapeia toda a estrutura do Active Directory. Ele coleta informações sobre usuários, grupos, computadores e políticas.

  • Objetivo Principal: Obter inteligência sobre o ambiente para planejar os próximos passos do ataque, identificando alvos de alto valor e possíveis caminhos de escalação.

9. Reconhecimento com BloodHound

O BloodHound eleva o reconhecimento a outro nível. Ele usa a teoria dos grafos para coletar informações do AD e visualizar graficamente os caminhos de ataque ocultos e as relações de privilégio complexas. Ele mostra exatamente como um usuário comum pode se tornar Domain Admin.

  • Objetivo Principal: Mapear visualmente os caminhos de escalação de privilégios mais eficientes dentro do AD, permitindo que o ataque seja extremamente direcionado.

10. Extração do NTDS.dit

Este é o ataque final ao AD. O arquivo `NTDS.dit` é o banco de dados que armazena todos os hashes de senha de todos os usuários do domínio. Um invasor com privilégios de administrador de domínio pode copiar este arquivo para extrair e quebrar todos os hashes offline.

  • Objetivo Principal: Obter os hashes de senha de todas as contas do domínio para garantir persistência, acesso irrestrito e comprometer outras redes que possam reutilizar as mesmas credenciais.

Conclusão: Compreender estes vetores de ataque é o primeiro passo para construir uma defesa robusta. Desde configurações internas incorretas até credenciais negligenciadas, os invasores prosperam nas brechas do ambiente de Active Directory. Uma estratégia de defesa em profundidade, com monitoramento contínuo e gestão de configurações, é essencial para proteger a "joia da coroa" da sua organização.