Pass the hash é a técnica catalogada como T1550.002 no MITRE ATT&CK em que um atacante reutiliza um hash de senha roubado para autenticar-se em outros sistemas da rede, sem nunca precisar da senha em texto claro. Para o SOC, isso significa que um único endpoint comprometido pode virar um trampolim para todo o domínio: o invasor extrai hashes da memória do processo LSASS, reutiliza-os em sessões SMB e expande o controle antes que qualquer alerta de login inválido dispare. Diferente do movimento lateral com ferramentas administrativas — já analisado em nossa cobertura de PsExec, WMI e RDP — o pass the hash deixa rastros discretos em eventos de logon NTLM que o analista precisa reconhecer cedo.
Essa técnica pertence à tática de Movimento Lateral (TA0008) da matriz ATT&CK. Serviços remotos como SSH e RDP aceitam logins com contas válidas, e atacantes com credenciais roubadas aproveitam esses protocolos para saltar entre hosts. No pass the hash, porém, o invasor nunca tem a senha original — somente o hash NT — e ainda assim autentica-se porque o protocolo NTLM trata o hash como prova suficiente de identidade, contornando controles que dependem de uma senha correta digitada.
Como o hash abre sistemas
O Windows guarda hashes de senhas (NT hash) na memória do LSASS para acelerar autenticações. Quando um atacante obtém privilégio de administrador local, ferramentas como Mimikatz conseguem extrair esses hashes em segundos. O atacante injeta então o hash em uma nova sessão de autenticação NTLM: o servidor de destino valida o hash e libera acesso como se o dono da conta tivesse digitado a senha correta. O MITRE ATT&CK lista grupos como APT28, APT41 e o Ember Bear entre os que aplicaram pass the hash em vítimas reais. Por isso a detecção não pode depender de tentativas de senha errada — do ponto de vista do protocolo, o atacante acerta a autenticação, e o silêncio é justamente o sinal de perigo.
Sinais de logon para vigiar
O sinal mais forte raramente é um evento isolado; é a sequência. Um logon tipo 3 (network) de uma conta privilegiada em um host que ela nunca acessou antes, seguido de execução remota, é o padrão clássico de pivô. Correlacione esses eventos no SIEM com a baseline de cada usuário de domínio e com telemetria de rede. A tabela abaixo resume os eventos-chave do Windows que merecem regras dedicadas:
| Evento (ID) | Tipo de logon | Indicador para o SOC |
|---|---|---|
| 4624 | Type 3 (Network) | Logon NTLM/SMB de conta privilegiada a host novo — investigar |
| 4624 | Type 10 (RemoteInteractive) | Sessão RDP iniciada logo após Type 3 suspeito — possível pivô |
| 4776 | — | Autenticação NTLM bem-sucedida fora do horário ou geolocalização habitual |
| 4688 | — | Criação de processo indicando dump de LSASS ou uso de Mimikatz |
Some contexto de rede: conexões SMB na porta 445 originadas de um host para múltiplos destinos em curto intervalo reforçam a suspeita de varredura com hash reutilizável. Quanto mais fontes de log você correlacionar — endpoint, Active Directory e fluxo de rede — mais cedo a anomalia emerge.
Resposta ao hash roubado
Quando a correlação confirmar uso de hash roubado, a contenção precisa ser rápida e completa, pois o atacante pode já ter atingido controladores de domínio:
- Isole o endpoint de origem e o destino imediatamente; encerre a sessão SMB ativa.
- Force a troca de senha da conta comprometida em todos os controladores de domínio — um novo hash invalida o roubado.
- Capture e analise a memória LSASS dos hosts envolvidos em busca de acesso de leitura suspeito ao processo.
- Revise logons tipo 3 das últimas 24 horas para mapear todos os sistemas alcançados com o mesmo hash.
- Ative LAPS e desabilite o provedor WDigest para evitar que hashes fiquem retidos em texto na memória.
Controles contra movimento lateral
A CISA recomenda segmentar redes para impedir a propagação de atividade maliciosa depois de um acesso inicial. A segmentação reduz o alcance de um hash roubado: mesmo que o atacante capture credenciais em uma VLAN, ele não autentica em sistemas de outra zona sem atravessar um controle de fronteira. Combine segmentação com autenticação multifator resistente a phishing em serviços voltados à internet (VPN, webmail) e com a política de não reutilizar senhas de administrador local entre máquinas — algo que o LAPS automatiza. Esses controles transformam o pass the hash de um atalho para o domínio inteiro em um movimento confinado a um segmento, comprimindo drasticamente o impacto — algo central também na detecção de ransomware, onde o movimento lateral costuma preceder a criptografia em massa.
