Windows Server 2025: uma relação de confiança unidirecional não isola uma floresta do Active Directory

Técnicas e Métodos de Ataque2026-10-30, 08:19
Windows Server 2025: uma relação de confiança unidirecional não isola uma floresta do Active Directory
Uma floresta do Active Directory tem sido tradicionalmente considerada um limite de segurança, com base na suposição de que relações de confiança entre florestas não concedem controle administrativo sobre outra floresta. No entanto, pesquisas mostram que essa suposição nem sempre é válida. Jorge's Quest For Knowledge examina uma técnica previamente conhecida para abusar de relações de confiança unidirecionais (de floresta ou externas) a partir da floresta confiante e a testa contra versões modernas do Windows Server, incluindo o Windows Server 2025. A principal conclusão: apesar da introdução de novos mecanismos de segurança, o ataque continua possível.
Como a técnica funciona? Se um atacante obtiver controle administrativo sobre a floresta confiante, ele poderá extrair as credenciais de confiança (as chaves criptográficas associadas à conta de confiança) do banco de dados NTDS.DIT da floresta. Essas credenciais podem então ser usadas para solicitar um TGT para a conta de confiança na floresta confiada.
O que mudou no Windows Server 2025? Por padrão, uma conta de confiança tem primaryGroupID = 513, o que significa que pertence a Domain Users. Assim que o primeiro controlador de domínio gravável (RWDC) do Windows Server 2025 é introduzido e a função FSMO PDC é transferida para ele, dois grupos de segurança globais são criados: • Forest Trust Accounts (RID 528), para relações de confiança de floresta • External Trust Accounts (RID 529), para relações de confiança externas Como resultado, os recursos protegidos pelos grupos Domain Users ou Users não são mais acessíveis às contas de confiança. Esperava-se que essas mudanças também impedissem as contas de confiança de autenticar no domínio confiado e realizar reconhecimento. No entanto, a pesquisa demonstra que não é o caso.
Por que o ataque ainda funciona? O pesquisador testou três cenários em controladores de domínio Windows Server 2022 e 2025:
  1. Obter um TGT com uma chave AES256: • Contra o controlador de domínio Windows Server 2022, a solicitação de um TGT para uma conta de confiança usando uma chave AES256 teve sucesso. Os novos grupos não são aplicados no Windows Server 2022, e a filtragem por primaryGroupID não bloqueia a autenticação em si. • Contra o Windows Server 2025, a solicitação também teve sucesso. Os novos grupos de segurança não impedem que as contas de confiança obtenham um TGT porque a conta de confiança ainda existe e permanece habilitada.
  2. Obter um TGT usando uma chave RC4: • Contra o Windows Server 2022, a solicitação falhou, provavelmente devido à recente descontinuação do RC4. • Contra o Windows Server 2025, também falhou porque os controladores de domínio do Windows Server 2025 não suportam RC4.
  3. Obter um TGT usando uma chave AES128: contra o Windows Server 2025 e o Windows Server 2022, a solicitação teve sucesso.
Conclusão: alterar o primaryGroupID de 513 para 528 ou 529 não desativa as contas de confiança nem impede a autenticação. Desde que um algoritmo de criptografia suportado (AES128 ou AES256) esteja disponível, um atacante ainda pode obter um TGT para a conta de confiança. O RC4 não é necessário.
Artigo: https://jorgequestforknowledge.wordpress.com/2026/07/09/the-ad-forest-as-a-security-boundary-and-the-impact-of-trusts-on-that-security-boundary-the-revisited-still-insecure-sequel/
Fornecedor
Produto