Shadow Credentials, bir Active Directory hesabına saldırganın kontrol ettiği bir sertifika anahtarını ikinci bir kimlik bilgisi olarak ekleyerek, o hesap adına Kerberos bileti almayı sağlayan bir tekniktir. Kurbanın parolasına hiç dokunmadan hesabın kimliğine bürünme imkânı verir.

Bir hesabın parolasını hiç kırmadan, onun kimlik defterine kendi anahtarını sessizce yazıp o hesap gibi doğrulanmanın adıdır Shadow Credentials.

Anahtar Nereye Yazılır?

Tekniğin dayanağı, hesap nesnelerindeki msDS-KeyCredentialLink adlı özniteliktir. Bu öznitelik, Windows Hello for Business gibi parolasız kimlik doğrulama senaryolarında kullanılan açık anahtar kimlik bilgilerini tutar. Bir saldırgan hedef nesne üzerinde yazma hakkına sahipse, buraya kendi ürettiği bir sertifikanın açık anahtarını ekleyebilir.

Anahtar yerleştirildikten sonra saldırgan, karşılığındaki özel anahtarla PKINIT üzerinden Kerberos kimlik doğrulama yapar ve hedef hesap adına geçerli bir Bilet Verme Bileti (TGT) elde eder. Bu bilet, hesabın NTLM parola özetini de içerebildiğinden, saldırgan hem anlık erişim kazanır hem de daha kalıcı kimlik bilgilerine ulaşır.

Diğer Tekniklerle İlişkisi

Shadow Credentials, hedef nesne üzerinde yazma yetkisi gerektirdiğinden genellikle bir yanal hareket ve yetki yükseltme adımının ardından gelir. Saldırgan zayıf izinlerle bir ara hesabı ele geçirip, oradan daha ayrıcalıklı bir nesneye anahtar yazarak yükselir.

Elde edilen TGT, sonrasında bilet geçirme tekniğiyle farklı hizmetlere karşı yeniden kullanılabilir. Parola sıfırlama gibi gürültülü yöntemlere kıyasla bu yaklaşım daha sessizdir; kurbanın oturumunu bozmaz ve klasik parola değişikliği alarmlarını tetiklemez.

Tespit ve Önleme

Tespitin merkezinde msDS-KeyCredentialLink özniteliğindeki değişikliklerin izlenmesi vardır. Windows Hello for Business kullanmayan bir ortamda bu özniteliğe yazılan yeni anahtarlar güçlü bir şüphe göstergesidir; kimlik bilgisi eklendiğinde üretilen dizin hizmeti değişiklik olayları toplanıp incelenmelidir.

Önleme tarafında, hesap nesneleri üzerindeki yazma izinlerinin sıkı biçimde kısıtlanması ve yüksek değerli hesaplara erişimin daraltılması esastır; sağlam bir Active Directory güvenliği modeli, hangi hesabın hangi nesnenin anahtar bağlantısını değiştirebildiğini denetim altında tutar. Bu tür sessiz kimlik ele geçirme yollarının ortamda mevcut olup olmadığını gerçek bir saldırı zinciriyle doğrulamak için Privia Security red team hizmeti devreye alınabilir.