Windows Credential Guard f. NTLM wurde bezwungen

German Information Windows 11 Windows 10 IT Safety tips

Windows Credential Guard ist in der Lage, lokalen Angreifern das Ausnutzen von Pass-the-Hash unmöglich zu machen.
Es ist ein empfehlenswertes, seit Win11 22H2 sogar automatisch aktives, Sicherheitsfeature.

Leider hat sich Microsofts Conclusio

While Windows Defender Credential Guard is a powerful mitigation, persistent threat attacks will likely shift to new attack techniques(…)

nun bewahrheitet und jemand hat durchschaut, wie es zu brechen ist: https://research.ifcr.dk/pass-the-challenge-defeating-windows-defender-c ...

Dessen Erkenntnis

it appears that encrypted credentials can be used across reboots, contrary to some existing information. It seems that LSAIso does not use a per-boot secret to encrypt the credentials. Therefore, it is possible to return to the compromised machine at a later time to perform these operations

lässt sogar den Schluss zu, dass Credential Guard nicht hinreichend durchdacht ist.

Please also mark the comments that contributed to the solution of the article

Content-Key: 5254823117

Url: https://administrator.de/contentid/5254823117

Printed on: April 19, 2024 at 12:04 o'clock

5 Comments

Latest comment

Vielleicht sollte man noch erwähnen, für die Leser die die Konsequenzen verstehen, es ist am NTLM so möglich.
Und NTLM ist das Spielkind, dass Mama nicht so mag.

Moin.

Ja, das wird vom Autor ja auch in den ersten Zeilen schon genannt. Er schließt jedoch nicht aus, dass auch Kerberos angegangen werden kann. Da viele Netzwerke nicht ohne NTLM auskommen bzw. deren Admins nicht verstehen, dass man NTLM auch abschalten kann, sofern man es nicht braucht, ist das Problem generell interessant.

Aber gut, ich habe den Titel angepasst.