Kerberoasting
Ein Active-Directory-Angriff, bei dem ein Angreifer Kerberos-Service-Tickets für Konten mit einem SPN (Service Principal Name) anfordert und sie offline knackt, um das Passwort des Dienstkontos offenzulegen. Wirksam, weil jeder Domänenbenutzer die Tickets anfordern kann.
Mechanik: Ein Service-Ticket wird mit dem Passwort-Hash des Dienstkontos verschlüsselt. Ein Angreifer mit einem gewöhnlichen Domänenkonto fordert Tickets für alle SPN-Konten an (in Kerberos völlig legitim), exportiert sie und lässt eine Offline-Knackung (Hashcat) darüberlaufen — gelingt sie, liegt das Passwort im Klartext vor. Für die Ticket-Anfrage ist kein Privileg nötig, und das Knacken passiert offline (kein auffälliger Anmeldeverkehr). Dienstkonten haben oft schwache, alte, selten rotierte Passwörter bei gleichzeitig hohen Privilegien → eine Goldgrube. Gegenmaßnahmen: lange, zufällige Passwörter für Dienstkonten (oder gMSA — Group Managed Service Accounts mit automatischer Rotation), Überwachung ungewöhnlicher Ticket-Anfragen und AES-Verschlüsselung statt des schwachen RC4. Einer der häufigsten AD-Angriffe. Verwandt mit Pass-the-Ticket und Privilege Escalation.