Windows Credential Guard f. NTLM wurde bezwungen

Windows Credential Guard ist in der Lage, lokalen Angreifern das Ausnutzen von Pass-the-Hash unmöglich zu machen.
Es ist ein empfehlenswertes, seit Win11 22H2 sogar automatisch aktives, Sicherheitsfeature.

Leider hat sich Microsofts Conclusio

While Windows Defender Credential Guard is a powerful mitigation, persistent threat attacks will likely shift to new attack techniques(…)

nun bewahrheitet und jemand hat durchschaut, wie es zu brechen ist: https://research.ifcr.dk/pass-the-challenge-defeating-windows-defender-c ...

Dessen Erkenntnis

it appears that encrypted credentials can be used across reboots, contrary to some existing information. It seems that LSAIso does not use a per-boot secret to encrypt the credentials. Therefore, it is possible to return to the compromised machine at a later time to perform these operations

lässt sogar den Schluss zu, dass Credential Guard nicht hinreichend durchdacht ist.

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 5254823117

Url: https://administrator.de/knowledge/windows-credential-guard-f-ntlm-wurde-bezwungen-5254823117.html

Ausgedruckt am: 10.04.2025 um 11:04 Uhr

5 Kommentare

Neuester Kommentar

Vielleicht sollte man noch erwähnen, für die Leser die die Konsequenzen verstehen, es ist am NTLM so möglich.
Und NTLM ist das Spielkind, dass Mama nicht so mag.

Moin.

Ja, das wird vom Autor ja auch in den ersten Zeilen schon genannt. Er schließt jedoch nicht aus, dass auch Kerberos angegangen werden kann. Da viele Netzwerke nicht ohne NTLM auskommen bzw. deren Admins nicht verstehen, dass man NTLM auch abschalten kann, sofern man es nicht braucht, ist das Problem generell interessant.

Aber gut, ich habe den Titel angepasst.