<h2>Introduction</h2>

In the ever-changing field of cybersecurity, advanced attack methods like Golden, Silver, and Diamond Ticket attacks pose significant threats to organizations. These attacks exploit weaknesses in the Kerberos authentication system within Active Directory (AD), allowing attackers to gain long-term and often undetectable access to important network resources. Among these, the Diamond Ticket attack is particularly sophisticated. By combining aspects of both Golden and Silver Ticket attacks, it improves operational security (OPSEC) and becomes harder to detect.

<h2>Kerberos Authentication</h2>

To understand the ticket attacks and their implications, it helps to understand a few things about how Kerberos works. This includes some common terms for features used in these attacks, as well as the structure of how tickets are used.

Kerberos is a network authentication protocol that is primarily used in Active Directory (AD) environments. Thousands of companies across different industries use Active Directory technology for managing user accounts and other resources within an organization. Active Directory&rsquo;s first version was released in Windows Server 2000 and since then, it has become particularly common in businesses and other large organizations that have a significant number of users and resources to manage.

Kerberos provides strong authentication by issuing tickets to authenticate users and allow access to services. The tickets are distributed by the key distribution center (KDC). In most environments, the KDC is installed on the domain controller (DC).

During the initial authentication, a Ticket Granting Ticket (TGT) is a ticket assigned to a user. The TGT is later used to authenticate the user to the KDC and request a service ticket from the Ticket Granting Service (TGS). Service tickets are granted for authentication against services.

A Kerberos authentication would consist of the following steps:

<ol>
	<li>AS-REQ (Authentication Service Request): The user requests a TGT from the KDC and the KDC verifies and validates the credentials and user information.</li>
	<li>AS-REP (Authentication Service Reply): After authenticating the user, the KDC sends an encrypted TGT back to the requester.</li>
	<li>TGS-REQ (Ticket Granting Service Request): The user presents the TGT to the DC and requests a TGS.</li>
	<li>TGS-REP (Ticket Granting Service Reply): The TGS is encrypted and sent back to the requesting user.</li>
	<li>AP-REQ (Application Request): The user connects to the server hosting the service requested and presents the TGS to access the service.</li>
	<li>AP-REP (Application Reply): The application server sends a response to the client.</li>
</ol>

<img alt="" src="/media/blog/2024/07/15/figure-1_i4tXtSE.png" style="height:864px; width:2000px" />

<h2>Theory Diamond Ticket Attack</h2>

In order to perform such an attack, the basic requirement is that the adversary needs access to the KRBTGT account&rsquo;s password hash.

The KRBTGT account encrypts and signs all the Kerberos TGT tickets for the domain. All verification of Kerberos tickets, including encrypting and decrypting TGTs for the KDC service, is done by the KRBTGT. This means a forged TGT will be considered a valid ticket simply because it was encrypted with the KRBTGT account.

Moreover, the adversary has to encrypt the forged TGT with the KRBTGT password hash once the TGT is forged, to make sure the new TGT will pass the KDC&rsquo;s verification and issue a service ticket to the desired service.

With that being said, it&rsquo;s important to remember that getting the KRBTGT password hash is not an easy task. Doing so not only provides access to all the services and resources in the domain, but also enables network persistence.

&nbsp;

<h2>Practical Diamond Ticket Attack</h2>

We will begin the attack by attempting to access the C$ File Share (CIFS, Common Internet File System) on a DC using a low-privileged user (Loki). As shown below, we get an &quot;Access is denied&quot; response.<img alt="" src="/media/blog/2024/07/15/figure-2.jpeg" style="height:594px; width:2000px" />

&nbsp;





Assuming we have previously compromised the KRBTGT key, we can use the new diamond command in Rubeus to create a Diamond Ticket. This command first requests a normal TGT for the low-privileged user Loki; it then decrypts it, modifies the relevant parts, recalculates the signatures, and re-encrypts it.

<img alt="" src="/media/blog/2024/07/15/figure-3.jpeg" style="height:1069px; width:2000px" />

<img alt="" src="/media/blog/2024/07/15/figure-4_zDDDyqJ.jpeg" style="height:836px; width:2000px" />

The resulting ticket can then be used like any other TGT, but now with the modifications. We then request an ST (Service Ticket) to the CIFS service on our target DC (Earth-DC).

&nbsp;

<img alt="" src="/media/blog/2024/07/15/figure-5.jpeg" style="height:1466px; width:2000px" />

Lastly, in the same terminal, we can now access the C$ share on the DC, authenticating as a different user than the account that requested the TGT.

&nbsp;

<img alt="" src="/media/blog/2024/07/15/figure-6.jpeg" style="height:1338px; width:2000px" />

<h2>OPSEC Advantages (Golden vs Diamond Tickets)</h2>

There are many potential ways to detect Golden Ticket usage or actions required to gain access to the KRBTGT key (like DCSync). One technique is to monitor for ST requests (TGS-REQs) that have no corresponding TGT request (AS-REQ). The &lsquo;Diamond Ticket&rsquo; technique makes it more likely to bypass this type of detection by requesting a valid TGT before using the resulting ticket. Additionally, as the ticket is first created by a DC, some values (for example, the ticket times) are more likely to be correct by default, rather than the requirement of calculating the proper times for OPSEC Golden Ticket creation.



&nbsp;

<h2>مقدمة</h2>

تُشكل الهجمات المتطورة، مثل هجمات التذاكر الذهبية والفضية والالماسية، تهديدًا متزايدًا للأمن السيبراني في المؤسسات. يتم استغلال هذه الهجمات والثغرات الأمنية في نظام مصادقة كيربيروس ضمن دليل Active Directory (AD)، مما يتيح للهاكرز الوصول غير المكتشف وطويل الأمد إلى موارد الشبكة الحساسة. ومن بين هذه الهجمات، يُعد هجوم التذكرة الألماسية الأكثر تعقيداً، حيث يجمع بين خصائص هجمتي التذاكر الذهبية والفضية، مما يعزز من قدرة الهاكر على الحفاظ على استمرارية الوصول ويعقد من صعوبة اكتشاف الهجوم.

&nbsp;

<h2>ماهي مصادقة كيربيروس؟؟</h2>

لفهم هجمات التذاكر وآثارها، من الضروري فهم آلية عمل بروتوكول كيربيروس، بما في ذلك المصطلحات والمكونات الأساسية المستخدمة في هذه الهجمات.

يُعد كيربيروس بروتوكول مصادقة شبكية يُستخدم بشكل رئيسي في بيئات دليل Active Directory (AD). تعتمد آلاف الشركات في مختلف القطاعات على تقنية Active Directory لإدارة حسابات المستخدمين والموارد الأخرى داخل المنظمة. وقد اكتسبت هذه التقنية انتشاراً واسعاً منذ إطلاقها مع نظام التشغيل Windows Server 2000، لا سيما في المؤسسات الكبيرة التي تدير عدداً كبيراً من المستخدمين والموارد.

يعتمد كيربيروس على نظام قوي للمصادقة من خلال إصدار تذاكر للمستخدمين للسماح لهم بالوصول إلى الخدمات. يتم توزيع هذه التذاكر بواسطة مركز توزيع المفاتيح (KDC)، والذي يتواجد عادة على وحدة التحكم بالمجال (DC).

في عملية المصادقة الأولية، يتم إصدار منح التذكرة (TGT) للمستخدم. تستخدم هذه التذكرة لاحقاً لمصادقة المستخدم لدى مركز توزيع المفاتيح وطلب منح تذكرة خدمة&nbsp; (TGS). تُمنح تذاكر الخدمة للمصادقة عند الوصول إلى خدمات محددة.

&nbsp;

تتضمن عملية المصادقة في كيربيروس الخطوات التالية:

<ul>
	<li>طلب خدمة المصادقة (AS-REQ): يطلب المستخدم تذكرة منح التذكرة (TGT) من مركز توزيع المفاتيح، والذي يقوم بالتحقق من صحة بيانات الاعتماد ومعلومات المستخدم.</li>
	<li>رد خدمة المصادقة (AS-REP): بعد التأكد من صحة بيانات الاعتماد، يرسل مركز توزيع المفاتيح تذكرة منح التذكرة المشفرة إلى المستخدم.</li>
	<li>طلب خدمة منح التذكرة (TGS-REQ): يعرض المستخدم تذكرة منح التذكرة على وحدة التحكم بالمجال ويطلب تذكرة خدمة.</li>
	<li>رد خدمة منح التذكرة (TGS-REP): يتم تشفير تذكرة الخدمة وإرسالها إلى المستخدم.</li>
	<li>طلب التطبيق (AP-REQ): يتصل المستخدم بخادم الخدمة المطلوبة ويعرض تذكرة الخدمة للوصول إلى الخدمة.</li>
	<li>رد التطبيق (AP-REP): يرسل خادم التطبيق استجابة إلى العميل.</li>
</ul>

<img alt="" src="/media/blog/2024/07/15/figure-1_XFA5wqO.png" style="height:864px; width:2000px" />

<h2>هجوم التذكرة الألماسية نظرياً</h2>

لتنفيذ هجوم التذكرة الألماسية، يتطلب الهاكر في البداية الحصول على هاش كلمة مرور حساب KRBTGT. يستخدم هذا الحساب لتشفير وتوثيق جميع تذاكر منح التذكرة (TGT) في المجال. يتم التحقق من صحة جميع تذاكر كيربيروس، بما في ذلك تشفير وفك تشفير تذاكر منح التذكرة، بواسطة حساب KRBTGT. وبالتالي، فإن أي تذكرة منح تذكرة مزورة ستعتبر صحيحة إذا تم تشفيرها باستخدام هاش كلمة مرور حساب KRBTGT.

بالإضافة إلى ذلك، يجب على الهاكر تشفير تذكرة منح التذكرة المزورة باستخدام هاش كلمة مرور حساب KRBTGT لضمان قبولها من قبل مركز توزيع المفاتيح وإصدار تذكرة خدمة للخدمة المستهدفة.

يُعتبر الحصول على هاش كلمة مرور حساب KRBTGT مهمة صعبة للغاية. ولكن نجاح الهاكر في ذلك يمنحه ليس فقط الوصول إلى جميع الخدمات والموارد في المجال، بل أيضاً القدرة على الحفاظ على وجود مستمر في الشبكة.

<h2>هجوم التذكرة الألماسية عملياً</h2>

لإظهار كيفية عمل الهجوم، سنحاول الوصول إلى مشاركة الملفات C$ على وحدة تحكم المجال باستخدام حساب مستخدم محدود الصلاحيات (Loki). كما هو متوقع، سيتم رفض الطلب.

<img alt="" src="/media/blog/2024/07/15/figure-2_ixbaOZO.jpeg" style="height:594px; width:2000px" />

بافتراض حصولنا على مفتاح KRBTGT، يمكننا استخدام الأداة Rubeus لإنشاء تذكرة الماس. تقوم هذه الأداة بطلب تذكرة منح تذكرة عادية لحساب Loki، ثم تقوم بفك تشفيرها وتعديل الحقول اللازمة وإعادة حساب التوقيعات وإعادة تشفيرها.

<img alt="" src="/media/blog/2024/07/15/figure-3_1foSEXM.jpeg" style="height:1069px; width:2000px" />

<img alt="" src="/media/blog/2024/07/15/figure-4_riXsgIm.jpeg" style="height:836px; width:2000px" />

يمكن استخدام التذكرة هذه مثل أي تذكرة منح تذكرة أخرى، ولكن مع التعديلات التي تم إجراؤها. يجب عليك ان نطلب تذكرة خدمة لخدمة CIFS على وحدة التحكم بالمجال المستهدف (Earth-DC).

&nbsp;

<img alt="" src="/media/blog/2024/07/15/figure-5_qgYLIvf.jpeg" style="height:1466px; width:2000px" />



وأخيراً، يمكننا الوصول إلى مشاركة الملفات C$ على وحدة التحكم بالمجال باستخدام حساب مختلف عن الحساب الذي تم طلب تذكرة منح التذكرة له.

&nbsp;

<img alt="" src="/media/blog/2024/07/15/figure-6_8G9ZgDi.jpeg" style="height:1338px; width:2000px" />

<h2>مزايا أمن العمليات (OPSEC) في تذاكر الذهب والماس</h2>

توجد العديد من الطرق المحتملة لاكتشاف استخدام التذكرة الذهبية أو الكشف عن الأنشطة اللازمة للحصول على مفتاح حساب KRBTGT (مثل هجوم DCSync). إحدى هذه الطرق هي مراقبة طلبات تذاكر الخدمة (TGS-REQ) التي لا تتوافق مع طلبات تذاكر منح التذكرة (AS-REQ).

تتميز تقنية التذكرة الألماسية بقدرتها على تجاوز هذا النوع من الكشف عن طريق طلب تذكرة منح تذكرة صالحة قبل استخدام التذكرة المعدلة. بالإضافة إلى ذلك، نظرًا لأن التذكرة يتم إنشاؤها بواسطة وحدة التحكم بالمجال، فمن المرجح أن تكون بعض قيم التذاكر، مثل الأوقات، صحيحة بشكل افتراضي، مما يقلل من الحاجة إلى حساب هذه القيم بدقة كما هو الحال في التذكرة الذهبية.

4-Reasons-Why-Customers-Trust-the-Trustline-Platform

In the ever-evolving world of security, organizations often find themselves reacting to new challenges and emerging attack surfaces. This reactive approach demands significant time, resources, and budgets from already stretched security teams.

في عالم الأمن السيبراني المتطور، تجد المؤسسات نفسها غالبًا تتفاعل مع التحديات الجديدة في المساحات السيبرانية. يتطلب هذا النهج التفاعلي وقتًا وموارد وميزانيات كبيرة من فرق الأمن المنهكة بالفعل.

4 Reasons Why Customers Trust the Trustline Platform

أربعة أسباب تجعل العملاء يثقون بمنصة ترست لاين

Diamond-Ticket-Attack

In the ever-changing field of cybersecurity, advanced attack methods like Golden, Silver, and Diamond Ticket attacks pose significant threats to organizations. These attacks exploit weaknesses in the Kerberos authentication system within Active Directory (AD), allowing attackers to gain long-term and often undetectable access to important network resources. Among these, the Diamond Ticket attack is

تُشكل الهجمات المتطورة، مثل هجمات التذاكر الذهبية والفضية والالماسية، تهديدًا متزايدًا للأمن السيبراني في المؤسسات. يتم استغلال هذه الهجمات والثغرات الأمنية في نظام مصادقة كيربيروس ضمن دليل Active Directory (AD)، مما يتيح للهاكرز الوصول غير المكتشف وطويل الأمد إلى موارد الشبكة الحساسة. ومن بين هذه الهجمات، يُعد هجوم التذكرة الألماسية الأكثر تعقيداً، حيث يجمع بين خصائص هجمتي التذاكر الذهبية والفضية، مما يعزز من قدرة

Diamond Ticket Attack

Faisal Alhumaid

READ NEXT

4 Reasons Why Customers Trust the Trustline Platform