Diamond Ticket

Un Diamond Ticket, al igual que un Golden Ticket, es un Ticket Granting Ticket (TGT) que puede ser utilizado para acceder a cualquier servicio como cualquier usuario. Un Golden Ticket se crea completamente sin conexión, cifrado con el hash de la cuenta krbtgt de ese dominio y luego se introduce en una sesión de inicio de sesión para su uso. Dado que los controladores de dominio no hacen seguimiento de los TGT que han emitido legítimamente, aceptarán felizmente los TGT que estén cifrados con su propio hash krbtgt.

Existen dos técnicas comunes para detectar el uso de Golden Tickets:

1. Buscar solicitudes de TGS (Ticket Granting Service) que no tienen una solicitud AS (Authentication Service) correspondiente.

2. Buscar TGTs que tengan valores absurdos, como la duración por defecto de 10 años que pone Mimikatz.

Un Ticket Diamante se crea modificando los campos de un TGT legítimo que fue emitido por un controlador de dominio (DC). Esto se logra solicitando un TGT, descifrando el mismo con el hash de krbtgt del dominio, modificando los campos deseados del ticket y luego cifrándolo nuevamente. Esto supera las dos limitaciones mencionadas anteriormente de un Golden Ticket porque:

• Las solicitudes de TGS tendrán una solicitud AS previa.

• El TGT fue emitido por un DC, lo que significa que tendrá todos los detalles correctos de la política de Kerberos del dominio. Aunque estos detalles pueden ser falsificados con precisión en un Golden Ticket, es más complejo y propenso a errores.

Esta tecnica sera abordada en el curso CPAD-300.