Aanvallers die in een organisatie een computer weten te over te nemen proberen hierna andere computers te kapen. Een favoriete techniek om dit te doen is 'Pass-the-Hash' (PtH). Een PtH-aanval lijkt erg op aanvallen waarbij wachtwoorden worden gestolen, alleen worden dit keer geen wachtwoorden buitgemaakt, maar de hash-waarde van het wachtwoord.

Met de hash-waarde kan de aanvaller op andere machines en domeinen inloggen. Om deze techniek te gebruiken moet een aanvaller eerst lokale administratorrechten op een computer in de organisatie hebben. Vervolgens is het mogelijk om wachtwoord-hashes uit het geheugen of de harde schijf te kopiëren.

Via de PtH-techniek is het vervolgens mogelijk om toegang tot verbonden computers te krijgen, waaronder de domain controller en andere servers die gevoelige informatie opslaan.

Het mitigeren en bestrijden van PtH-aanvallen vormen dan ook belangrijke beveiligingsmaatregelen, aldus Microsoft. "Deze aanvallen komen inmiddels veel voor en zijn een zorg voor veel van onze klanten", zo laat de softwaregigant in een nieuwe whitepaper weten.

Advies
In totaal worden drie basisadviezen gegeven, aangevuld met een reeks aanvullende aanbevelingen. Als eerste moeten beheerders belangrijke domain accounts beperken en beschermen. "Voorkom de mogelijkheid van systeembeheerders om per ongeluk belangrijke inloggegevens aan computers met een hoger risico bloot te stellen."

Als tweede moeten systeembeheerders lokale accounts met beheerdersrechten beperken en beschermen. Het derde en laatste advies is het beperken van inkomend verkeer via de Windows Firewall. "Voorkom dat aanvallers lateraal vanaf een gehackt workstation bewegen door inkomende verbindingen op alle workstations met de lokale Windows Firewall te blokkeren."