سرقت یک فایل دیتابیس Active Directory می‌تواند یک نفوذ محدود در محیط ویندوز را به یک مصیبت امنیتی در سطح کل دامین تبدیل کند. مهاجمانی که موفق به دستیابی به فایل NTDS.dit از یک Domain Controller (DC) و همچنین SYSTEM registry hive مربوط به آن شوند، می‌توانند هش‌های رمز عبور (Password Hashes)، کلیدهای Kerberos و تاریخچه رمزهای عبور تمامی هویت‌های دامین را به‌صورت آفلاین استخراج کنند.
مسیر حمله و متدهای دسترسی
حملات معمولاً با روش‌های رایج Initial Access مانند Spearphishing، اسناد مخرب Office یا فایل‌های LNK فعال‌شده آغاز می‌شوند. پس از نفوذ اولیه، مهاجم با استفاده از تکنیک‌هایی نظیر Process Hollowing یا DLL Sideloading، بدافزار خود را در قالب پردازش‌های قانونی مخفی کرده و سپس تلاش می‌کند دسترسی‌های خود را ارتقاء دهد (Privilege Escalation).
هدف نهایی در این مرحله، دسترسی به Domain Controller است. فایل NTDS.dit که در مسیر %SystemRoot%NTDSNtds.dit قرار دارد، دیتابیس اصلی Active Directory Domain Services است و تمامی اطلاعات اشیاء دامین، از جمله هش‌های رمز عبور کاربران و سیستم‌ها را در خود جای داده است.
دور زدن محدودیت‌ها و استخراج داده‌ها
از آنجایی که این دیتابیس توسط موتور ذخیره‌سازی Extensible Storage Engine قفل شده است، مهاجمان برای دور زدن این محدودیت از ایجاد Volume Shadow Copy استفاده می‌کنند تا بتوانند نسخه‌ای از دیتابیس را از طریق Snapshot کپی کنند. در این میان، دسترسی به SYSTEM hive حیاتی است، زیرا کلید Boot مورد نیاز برای رمزگشایی داده‌های محافظت‌شده در NTDS.dit در این فایل قرار دارد.
پس از سرقت، این فایل‌ها می‌توانند از طریق پروتکل SMB به یک سیستم واسط منتقل شده یا از طریق HTTPS به فضای ابری ارسال شوند تا با ترافیک عادی وب ترکیب شده و شناسایی نشوند. سپس ابزارهایی مانند Impacket و DSInternals برای پردازش آفلاین این داده‌ها به کار گرفته می‌شوند.
استراتژی‌های شناسایی و پاسخ
برای مقابله با این تهدید، تیم‌های SOC باید بر موارد زیر تمرکز کنند:
- مانیتورینگ فعالیت‌های مشکوک مربوط به Volume Shadow Copy در Domain Controllerها.
- شناسایی استفاده غیرمعمول از ابزار
ntdsutil.exeخارج از جریان‌های اداری تایید شده. - رصد خروجی‌های غیرعادی Registry Hive و دسترسی‌های غیرمتعارف به دایرکتوری NTDS.
- همبستگی (Correlation) بین ورودهای Privileged، مدیریت SMB از راه دور و انتقال داده‌های حجیم به بیرون.
اقدامات پس از حادثه
در صورت مشکوک شدن به خروج فایل NTDS.dit یا SYSTEM hive، باید فرض شود که تمامی اعتبارنامه‌های دامین لو رفته‌اند. اقدامات فوری شامل موارد زیر است:
- ایزوله کردن سیستم‌های متاثر و مسدود کردن ارتباطات خروجی مشکوک.
- غیرفعال کردن یا بازنشانی (Reset) حساب‌های دارای دسترسی بالا.
- اجرای دقیق فرآیند بازنشانی حساب KRBTGT (معمولاً دو بار) طبق راهنمای مایکروسافت برای ابطال Golden Ticketها و کاهش ریسک تداوم دسترسی مهاجم.
