Mandiant phát hành rainbow table bẻ khóa mật khẩu quản trị yếu trong 12 giờ

Microsoft đã phát hành NTLMv1 trong thập niên 1980 với việc phát hành OS/2. Năm 1999, nhà giải mã Bruce Schneier và Mudge xuất bản nghiên cứu đã bộc lộ những điểm yếu chính trong nền tảng NTLMv1. Tại hội nghị Defcon 20 năm 2012, các nhà nghiên cứu đã đưa ra một bộ tool điều đó cho phép kẻ tấn công chuyển từ khách mạng không đáng tin cậy sang quản trị viên trong 60 giây, bằng cách tấn công điểm yếu cơ bản. Với việc phát hành năm 1998 của Windows NT SP4 năm 1998, Microsoft giới thiệu NTLMv2, khắc phục điểm yếu.

Các tổ chức dựa vào mạng Windows không phải là những người tụt hậu duy nhất. Chỉ Microsoft công bố kế hoạch giảm giá NTLMv1 vào tháng 8 năm ngoái.

Công ty cho biết, bất chấp nhận thức của công chúng rằng NTLMv1 còn yếu, các chuyên gia tư vấn của “Mandiant vẫn tiếp tục xác định việc sử dụng nó trong các môi trường hoạt động. “Giao thức kế thừa này khiến các tổ chức dễ bị đánh cắp thông tin xác thực tầm thường, tuy nhiên nó vẫn phổ biến do quán tính và thiếu rủi ro ngay lập tức được chứng minh.”

Trước tiên, các bảng này hỗ trợ kẻ tấn công cung cấp kết quả băm trên mỗi byte với bản rõ đã biết thử thách 1122334455667788. Bởi vì băm Net-NTLM được tạo bằng mật khẩu của người dùng và thử thách, một cuộc tấn công văn bản gốc đã biết, nó trở nên tầm thường với các bảng này để xâm phạm tài khoản. Thông thường các công cụ bao gồm Người trả lời, PetitPotam, và DFSCoerce có liên quan.

Trong một sợi chỉ trên Mastodon, các nhà nghiên cứu và quản trị viên hoan nghênh động thái này vì họ cho biết nó sẽ mang lại cho họ thêm đạn dược khi cố gắng thuyết phục những người ra quyết định thực hiện đầu tư để loại bỏ chức năng không an toàn.

“Tôi đã có nhiều hơn một trường hợp trong sự nghiệp infosec (phải thừa nhận là ngắn) của mình, trong đó tôi phải chứng minh điểm yếu của một hệ thống và nó thường liên quan đến việc tôi đánh rơi một tờ giấy trên bàn của họ cùng với mật khẩu của họ trên đó vào sáng hôm sau,” một người nói rằng. “Những bảng cầu vồng này sẽ không có ý nghĩa nhiều đối với những kẻ tấn công vì chúng có thể đã có chúng hoặc có các phương pháp tốt hơn nhiều, nhưng điều đó sẽ hữu ích khi đưa ra lập luận rằng NTLMv1 không an toàn.”

Bài đăng Mandiant cung cấp các bước cơ bản cần thiết để thoát khỏi NTLMv1. Nó liên kết đến các hướng dẫn chi tiết hơn.

“Các tổ chức nên vô hiệu hóa ngay việc sử dụng Net-NTLMv1,” Mandiant cho biết. Các tổ chức bị tấn công vì không chú ý sẽ chỉ phải chịu trách nhiệm.