Credential Access (MITRE ATT&CK, Taktik TA0006) umfasst alle Techniken, mit denen Angreifer an Passwörter, Hashes und Tickets gelangen. Zugangsdaten sind der Treibstoff für Lateral Movement: Wer gültige Credentials hat, bewegt sich wie ein legitimer Nutzer. Dieser Hub zeigt die vier praktisch wichtigsten, längst publizierten Techniken - LSASS-Dump, Kerberoasting, Registry-Hives und LLMNR-Poisoning - jeweils mit kopierbarem Beispiel-Payload und der passenden Erkennung. Gerade der Zugriff auf LSASS und das Anfordern vieler Service-Tickets erzeugen charakteristische Telemetrie.
Was ist Credential Access?
Nachdem ein Angreifer Code ausführt (Execution) und oft schon höhere Rechte erlangt hat (Privilege Escalation), sind Zugangsdaten das nächste logische Ziel. Mit gültigen Credentials wird aus einem einzelnen kompromittierten Host ein Sprungbrett ins gesamte Netz - und das weitgehend getarnt, weil Anmeldungen mit echten Konten unauffällig wirken.
Die gute Nachricht für die Verteidigung: Die wichtigsten Techniken hinterlassen klare Spuren. Der Zugriff auf den LSASS-Prozess, auffällige Kerberos-Ticketanfragen, das Sichern von Registry-Hives und manipulierte Namensauflösung sind allesamt gut erkennbar, wenn die passende Telemetrie vorhanden ist.
| Technik | ATT&CK | Ziel | Kurzbeschreibung |
|---|---|---|---|
| LSASS-Dump | T1003.001 | Windows | Klartext, Hashes und Tickets aus dem Speicher |
| Kerberoasting | T1558.003 | Active Directory | Service-Tickets anfordern, offline knacken |
| Registry-Hives | T1003.002 | Windows | SAM und SYSTEM für lokale Hashes sichern |
| LLMNR/NBT-NS-Poisoning | T1557.001 | Netzwerk | NetNTLM-Hashes über vergiftete Namensauflösung |
Operatives Ziel, Voraussetzungen und Alternativen
Das operative Ziel ist, gültige Zugangsdaten zu gewinnen - der Treibstoff für Lateral Movement, weil Anmeldungen mit echten Konten unauffällig wirken. Ein Red Teamer wählt die Quelle nach Rechten, Lautstärke und Ertrag.
| Frage | Überlegung |
|---|---|
| Wann? | Sobald erhöhte Rechte vorliegen - Credentials eröffnen den Weg zu weiteren Systemen, ohne neue Exploits zu brauchen. |
| Voraussetzungen | LSASS-Dump braucht lokale Adminrechte; Kerberoasting nur ein gültiges Domänenkonto; LLMNR-Poisoning Zugang zum Netzsegment. |
| Alternativen | Oft liegt das Passwort schon offen: in Skripten, Konfigs oder Freigaben - leiser als ein LSASS-Zugriff, der sofort Telemetrie erzeugt. |
| Tradeoff | LSASS liefert viel, ist aber eines der am besten überwachten Ziele. Kerberoasting ist leiser, liefert aber nur knackbare Tickets. |
Mit SYSTEM-Rechten auf der Workstation liest das Team bei Nordlicht Logistik die Anmeldeinformationen aus - und findet den Hash eines Backup-Dienstkontos, das auf dem Fileserver gültig ist. Weil LSASS-Zugriff laut ist, greift das Team gezielt einmal zu, statt den Dump zu wiederholen.
LSASS-Dump (T1003.001)
Der Local Security Authority Subsystem Service (LSASS) hält Anmeldeinformationen angemeldeter Nutzer im Speicher. Wer mit hohen Rechten diesen Speicher ausliest, erhält Hashes, Kerberos-Tickets und teils Klartextpasswörter. Der Klassiker ist Mimikatz; alternativ geht es über ein signiertes Bordmittel:
Sysmon Event ID 10 (Process Access) auf lsass.exe mit verdächtigen Zugriffsmasken (etwa 0x1010 oder 0x1410) ist der zentrale Indikator. Jeder Prozess, der LSASS öffnet und kein bekanntes Sicherheitsprodukt ist, gehört geprüft. Vorbeugend wirken LSASS als Protected Process Light, Credential Guard und der Attack-Surface-Reduction-Schutz von Defender. Die Sigma-Regeln dazu stehen auf blue-team.net.
Kerberoasting (T1558.003)
In Active Directory besitzen Dienstkonten einen Service Principal Name (SPN). Jeder authentifizierte Nutzer darf für diese SPNs ein Service-Ticket anfordern, das mit dem Passworthash des Dienstkontos verschlüsselt ist. Dieses Ticket lässt sich offline knacken - besonders bei schwachen Passwörtern. Impacket liefert das Standardwerkzeug:
Event ID 4769 (Kerberos Service Ticket angefordert) ist der Schlüssel, besonders mit der schwachen Verschlüsselung RC4 (0x17). Verdächtig ist ein einzelnes Konto, das in kurzer Zeit Tickets für viele verschiedene SPNs anfordert. Ein wirksames Frühwarnsystem sind Honeypot-Dienstkonten mit SPN, die nie legitim genutzt werden: Jede Ticketanfrage darauf ist ein Alarm. Erkennungslogik auf blue-team.net.
Registry-Hives: SAM und SYSTEM (T1003.002)
Die lokalen Benutzerhashes eines Windows-Systems liegen in der SAM-Datenbank, der nötige Schlüssel im SYSTEM-Hive. Mit lokalen Adminrechten lassen sich beide über Bordmittel sichern und anschließend offline auswerten:
reg.exe oder reg save mit den Hives SAM, SYSTEM oder SECURITY als Ziel ist ein deutliches Signal, ebenso der lesende Zugriff auf diese Objekte durch untypische Prozesse. Event ID 4656/4663 (Object Access) auf die Registry-Hives und die Erstellung von .save-Dateien in Temp-Pfaden sind gute Indikatoren. Mehr dazu auf blue-team.net.
LLMNR- und NBT-NS-Poisoning (T1557.001)
Schlägt die reguläre DNS-Auflösung fehl, fragen Windows-Clients über LLMNR, NBT-NS und mDNS im lokalen Netz nach. Ein Angreifer im selben Segment beantwortet diese Anfragen und bringt Clients dazu, ihre NetNTLM-Hashes zu senden. Das Standardwerkzeug ist Responder:
Ein wirksamer Honeypot ist eine DNS-Anfrage nach einem garantiert nicht existierenden Hostnamen: Antwortet jemand darauf, läuft ein Poisoner im Netz. Daneben hilft die Überwachung von LLMNR- und NBT-NS-Verkehr auf Anomalien. Die beste Maßnahme ist präventiv: LLMNR und NBT-NS per Gruppenrichtlinie deaktivieren, dann läuft die Technik ins Leere. Details auf blue-team.net.
Einordnung und Grenze
Alle gezeigten Techniken sind seit Jahren in Atomic Red Team, HackTricks, der Impacket- und Mimikatz-Dokumentation sowie bei MITRE beschrieben. Was dieser Hub bewusst nicht liefert, sind Techniken zur Umgehung von LSASS-Schutz oder EDR, modifizierte Dumper mit Tarnfunktionen oder fertige Cracking-Pipelines - der Fokus liegt auf dem Verständnis der Wege, auf denen Credentials abfließen, und auf ihrer Erkennung.
Das Auslesen von Zugangsdaten gehört ausschließlich in autorisierte Tests mit wirksamer Erlaubnis des Berechtigten. Der Zugriff auf fremde Zugangsdaten ohne Berechtigung kann abhängig vom Einzelfall strafrechtlich relevant sein. Dieser Beitrag dient der Information und der Absicherung legitimer Sicherheitsarbeit und ist keine Rechtsberatung.
Einordnung in die Angriffskette
Credential Access folgt oft auf Privilege Escalation und ist die Grundlage für Lateral Movement: Erbeutete Hashes und Tickets werden direkt für Pass-the-Hash oder Pass-the-Ticket weiterverwendet. Einen Überblick über alle Taktiken gibt die Payload-Sammlung.
Häufige Fragen
Warum ist der LSASS-Zugriff so gut erkennbar?
Weil legitime Software LSASS nur selten und auf bekannte Weise öffnet. Jeder andere Prozess, der den LSASS-Speicher mit lesendem Zugriff öffnet, fällt in der Process-Access-Telemetrie (Sysmon Event ID 10) sofort auf - das macht diese Technik zu einem dankbaren Erkennungsziel.
Was hilft gegen Kerberoasting am besten?
Lange, zufällige Passwörter für Dienstkonten (idealerweise Managed Service Accounts), die Abschaltung von RC4 zugunsten von AES und die Überwachung von 4769-Ereignissen. Ein Honeypot-SPN liefert zusätzlich ein verlässliches Frühwarnsignal.