Active Directory & Lateral Movement: Was nach dem Perimeter-Durchbruch passiert

1. Die Anatomie eines typischen Netzwerk-Einbruchs

Wenn Ransomware ein Schweizer Spital, eine Gemeindeverwaltung oder einen Industriebetrieb lahmlegt, lag der Ursprung fast nie auf dem Domain Controller selbst. Der typische Ablauf folgt einer Kette:

1. Initialer Zugriff (Initial Access): Ein Angreifer gelangt über Phishing, einen VPN-Zugang oder eine Webanwendungs-Lücke auf einen gewöhnlichen Arbeitsplatz-PC in der Buchhaltung.
2. Lokale Rechteausweitung (Privilege Escalation): Durch ungepatchte Windows-Schwachstellen oder falsch konfigurierte Windows-Dienste erlangt der Angreifer lokale Administratorrechte auf dem PC.
3. Ausspähen des Netzwerks (Reconnaissance): Mit Werkzeugen wie BloodHound oder Sharphound liest der Angreifer die Berechtigungsstrukturen des Active Directory aus. Die Software deckt Beziehungen auf wie: «Benutzer A ist Mitglied von Gruppe X, die Schreibrechte auf Gruppenrichtlinie Y hat, welche auf Server Z angewendet wird, auf dem sich ein Domain Admin eingeloggt hat.»
4. Seitliche Bewegung (Lateral Movement): Der Angreifer springt von Rechner zu Rechner, bis er ein Ticket oder Passwort-Hash eines Domänen-Administrators im Speicher findet.
5. Vollständige Übernahme & Ransomware-Verteilung: Mit Domain-Admin-Rechten deaktiviert der Angreifer den Virenschutz im gesamten Unternehmen via Gruppenrichtlinie (GPO) und verteilt den Verschlüsselungstrojaner zeitgleich auf 500 Rechner.

2. Die gefährlichsten Schwachstellen im Active Directory

1. Kerberoasting

Im Active Directory besitzt jedes Dienstkonto mit registriertem Service Principal Name (SPN) – etwa für SQL-Server oder Backup-Dienste – ein Kerberos-Ticket (TGS). Jeder gewöhnliche Domänenbenutzer darf dieses Ticket vom Domain Controller anfordern. Der Angreifer extrahiert den Ticket-Hash und knackt das Passwort offline mit Hashcat auf leistungsstarken Grafikkarten.

# PowerShell: SPNs im Active Directory auflisten
Get-ADUser -Filter {ServicePrincipalName -like "*"} -Properties ServicePrincipalName

Gegenmassnahme: Verwenden Sie für alle Dienstkonten Group Managed Service Accounts (gMSA) mit automatischen 128-Zeichen-Passwörtern.

2. Gespeicherte Administrator-Zugangsdaten im Arbeitsspeicher (LSASS)

Wenn sich ein Domain Admin zur Fehlerbehebung auf dem PC eines Mitarbeiters per RDP einloggt, bleibt sein Passwort-Hash im Speicher des Prozesses lsass.exe liegen. Hat der Angreifer auf diesem PC lokale Admin-Rechte (z. B. via Mimikatz), kann er den Hash auslesen (Pass-the-Hash).

3. Veraltete Protokolle (NTLMv1 und LLMNR/NBT-NS)

Veraltete Namensauflösungsprotokolle erlauben es Angreifern im internen LAN, sich als gesuchte Server auszugeben (Man-in-the-Middle via Responder) und Authentifizierungs-Hashes von ahnungslosen Clients abzufangen.