Pass the hash: cos'è, come si rileva e come si previene

Un attacco pass the hash è una tecnica di movimento laterale: l'attaccante ruba l'hash della password di un account Windows da una macchina già compromessa e lo usa per autenticarsi su altri sistemi, senza mai conoscere la password in chiaro. Funziona con NTLM. Si previene con password locali uniche (Windows LAPS), Credential Guard, privilegi separati e monitoraggio degli accessi NTLM.

Di seguito: come funziona, perché è ancora così diffuso, come si vede nei log e quali interventi tolgono spazio all'attaccante. Non trovi istruzioni d'attacco: l'angolo è quello di chi gestisce un dominio Active Directory o un parco di PC Windows.

Come funziona un attacco pass the hash

Windows non conserva le password in chiaro: ne conserva l'hash, cioè una trasformazione a senso unico della password. Con il protocollo NTLM, però, per dimostrare la propria identità basta l'hash. MITRE ATT&CK, che cataloga la tecnica come T1550.002 nella tattica Lateral Movement, la descrive come un modo di autenticarsi come un utente senza averne la password in chiaro, saltando i passaggi che la richiedono e passando direttamente alla parte dell'autenticazione che usa l'hash.

In pratica, l'hash vale quanto la password. Lo schema tipico è questo:

1. l'attaccante entra in una prima macchina, per esempio con un phishing o una vulnerabilità non corretta;
2. ottiene i privilegi di amministratore locale su quella macchina;
3. estrae gli hash delle credenziali presenti in memoria o sul disco, con una tecnica di furto di credenziali (MITRE cita fra gli strumenti Mimikatz, che ha un modulo dedicato);
4. riusa quegli hash per autenticarsi su altri server e PC, per esempio via SMB, come fanno diversi strumenti catalogati da MITRE;
5. ripete il giro su ogni macchina raggiunta, finché trova le credenziali di un amministratore di dominio.

Esiste anche una variante, l'overpass the hash: secondo MITRE l'hash rubato serve a ottenere un ticket Kerberos valido, che poi si usa in un attacco pass the ticket. Il risultato è lo stesso, ma il traffico che si vede in rete è Kerberos e non NTLM.

Perché funziona ancora

La tecnica è nota da anni ed è ancora in uso. MITRE elenca fra i gruppi che l'hanno usata APT28, APT41, Wizard Spider, FIN13 e Kimsuky, e fra le campagne gli attacchi con wiper in Polonia del 2025. Nell'advisory AA23-278A sulle dieci configurazioni errate più frequenti (ottobre 2023), CISA e NSA mettono al sesto punto dell'elenco proprio l'aggiramento dei controlli di accesso con credenziali alternative, e citano il pass the hash come esempio: chi raccoglie hash in una rete può allargare e consolidare il proprio accesso senza essere visto. Le ragioni sono quasi sempre le stesse quattro.

1. La stessa password di amministratore locale su molte macchine

Quando i PC nascono dalla stessa immagine, l'account amministratore locale può avere la stessa password su tutto il parco. Microsoft lo scrive nella documentazione di Windows LAPS: gli account di amministratore locale condividono spesso la stessa password su molti dispositivi, e gli attaccanti lo sfruttano per muoversi lateralmente. Con la stessa password l'hash è lo stesso, quindi un hash rubato su un PC può aprire anche gli altri.

2. Account di dominio con troppi privilegi locali

Un utente o un gruppo di helpdesk che è amministratore locale su centinaia di macchine moltiplica i punti in cui le sue credenziali possono essere rubate e quelli in cui possono essere riusate. MITRE (mitigazione M1018) e CISA chiedono di non mettere un utente di dominio nel gruppo degli amministratori locali di più sistemi, e di usare gli account privilegiati solo sui sistemi che li richiedono.

3. NTLM è ancora acceso

Microsoft ha dichiarato deprecate tutte le versioni di NTLM (LANMAN, NTLMv1 e NTLMv2) nel giugno 2024: non ricevono più nuove funzionalità, ma continuano a funzionare, e le applicazioni dovrebbero passare a Negotiate, che usa Kerberos e ricade su NTLM solo quando serve. NTLMv1 è stato rimosso da Windows 11 24H2 e Windows Server 2025. Finché NTLM resta attivo nella rete, un hash rubato resta utilizzabile.

4. Hash che non cambiano mai

CISA e NSA descrivono un caso meno noto: account che accedono solo con smart card o token, per i quali l'hash della password non viene mai cambiato perché la password non si usa. L'hash però esiste, e chi lo ottiene può usarlo con il pass the hash per tutto il tempo in cui l'account esiste.

Come si rileva un attacco pass the hash

Un accesso con un hash rubato, visto dal sistema di destinazione, è un accesso riuscito con credenziali valide. Non ci sono tentativi falliti né blocchi dell'account. Per questo il rilevamento lavora sul contesto: quale protocollo è stato usato, da dove, da chi e con quale frequenza.

Evento 4624 con autenticazione NTLM

Ogni accesso riuscito genera l'evento 4624 sulla macchina a cui si accede. Il campo Logon Type dice come è avvenuto (3 indica un accesso dalla rete) e il campo Authentication Package dice se è stato usato NTLM o Kerberos. La documentazione Microsoft suggerisce di sorvegliare tutti gli accessi NTLM se in azienda NTLM non dovrebbe essere usato, o non dovrebbe esserlo da certi account, e di segnalare gli accessi in cui la versione NTLM non è NTLM V2 o la lunghezza della chiave non è 128 bit.

Accessi che non tornano con il contesto

La strategia di rilevamento DET0409 di MITRE cerca accessi NTLM dalla rete (tipo 3) che non sono accompagnati dai normali eventi di accesso al dominio, soprattutto quando partono da altri sistemi interni o coinvolgono strumenti amministrativi di Windows. Cerca anche incongruenze fra l'utente di partenza e il sistema raggiunto, e correla la creazione della sessione con l'avvio di processi o servizi. Per l'overpass the hash combina il rilascio di ticket Kerberos con movimenti laterali via NTLM.

Microsoft indica come account da sorvegliare uno per uno quelli ad alto valore: amministratore locale integrato, amministratori di dominio, account di servizio. Un account amministrativo che si collega da una postazione o da un indirizzo IP da cui non lavora mai è il segnale più leggibile.

Il furto degli hash, prima del riuso

Il pass the hash ha bisogno di una fase precedente, l'estrazione delle credenziali dalla memoria, che avviene sull'endpoint. È lì che lavorano gli strumenti EDR, e la differenza la fa chi guarda i loro alert: ne parliamo nell'articolo su EDR, XDR e MDR. L'attaccante può usare anche funzioni già presenti in Windows (MITRE riporta che il gruppo Aquatic Panda ha attivato via registro la modalità RestrictedAdmin per collegarsi in desktop remoto con il solo hash), e qui il rilevamento segue le regole viste per gli attacchi living off the land.

Nessuno di questi segnali si vede guardando una macchina alla volta. Servono gli eventi di accesso di server, PC e domain controller raccolti in un unico punto, una baseline di cosa è normale e regole di correlazione. CISA, nella stessa advisory, chiede esplicitamente un metodo per monitorare gli accessi non standard tramite i log degli host. In Italia, per gli account amministrativi c'è anche un obbligo specifico: il provvedimento del Garante sugli amministratori di sistema chiede di registrarne gli accessi logici e di conservare le registrazioni per almeno sei mesi.

Come si previene il pass the hash

Non esiste un singolo interruttore che spegne il pass the hash: si tolgono, uno alla volta, i punti in cui un hash rubato vale qualcosa. Le indicazioni di Microsoft, MITRE e CISA convergono su questi interventi.

1. Una password di amministratore locale diversa per ogni macchina, con Windows LAPS. Windows LAPS genera, ruota e salva in Active Directory o in Microsoft Entra ID la password dell'amministratore locale di ogni dispositivo. Fra i suoi benefici Microsoft indica proprio il contrasto agli attacchi pass the hash e ai movimenti laterali. È integrato in Windows con gli aggiornamenti dell'11 aprile 2023, senza costi di licenza aggiuntivi per il salvataggio in Active Directory; il vecchio Microsoft LAPS è deprecato.
2. Restrizioni sugli account locali negli accessi dalla rete. MITRE (M1052) e CISA raccomandano di applicare le restrizioni UAC agli account locali quando accedono dalla rete, tramite la chiave LocalAccountTokenFilterPolicy o il criterio di gruppo corrispondente. Sui sistemi più vecchi indicano anche la patch KB2871997, pensata da Windows 7 in poi per limitare l'accesso predefinito degli amministratori locali.
3. Credential Guard sui client e sui server membri. Credential Guard usa la sicurezza basata sulla virtualizzazione per isolare gli hash NTLM, i ticket Kerberos (TGT) e le credenziali salvate dalle applicazioni, così che un malware con privilegi di amministratore non possa estrarli. Secondo Microsoft è attivo per impostazione predefinita da Windows 11 22H2 e Windows Server 2025 sulle macchine in dominio che rispettano i requisiti hardware e di licenza (sui client Windows, edizioni Enterprise ed Education), e non è consigliato sui domain controller. Non copre il database di Active Directory né il SAM, l'archivio degli account locali.
4. Separare i privilegi. Nessun utente di dominio amministratore locale su molti sistemi, account privilegiati usati solo dove servono, postazioni dedicate all'amministrazione (Privileged Access Workstations). CISA aggiunge di limitare le comunicazioni dirette fra workstation, facendole passare dai server.
5. Ridurre NTLM, partendo da un audit. CISA e NSA raccomandano di disattivare NTLM e gli altri protocolli legacy esposti al pass the hash. Prima di spegnerlo si misura chi lo usa ancora, anche con l'evento 4624 visto sopra, e si migrano le applicazioni verso Negotiate e Kerberos, come indica Microsoft.
6. Far cambiare gli hash che non cambiano. Per gli account con smart card obbligatoria CISA chiede di rigenerare l'hash periodicamente, almeno con la stessa frequenza con cui la policy aziendale chiede di cambiare le password.
7. Monitoraggio continuo. Audit degli accessi attivo, eventi 4624 centralizzati, regole sugli accessi NTLM e sugli account amministrativi fuori dal loro schema.

Pass the hash, pass the ticket e Kerberoasting

Sono tre tecniche diverse che spesso compaiono nello stesso incidente. Il pass the hash riusa l'hash NTLM rubato da una macchina. Il pass the ticket riusa un ticket Kerberos rubato. Il Kerberoasting invece non ruba nulla da una macchina: chiede al domain controller ticket di servizio e prova a ricavarne fuori dalla rete la password degli account di servizio. Hanno in comune il punto d'arrivo, cioè credenziali privilegiate nel dominio, e il fatto che ogni passo usa funzioni normali di Windows. Per un quadro più ampio delle tecniche usate oggi trovi una panoramica nell'articolo sulle minacce informatiche.

Da dove partire

Quattro domande dicono quanto è esposto un dominio:

• la password dell'amministratore locale è diversa su ogni macchina, o esiste un'immagine con la stessa password per tutti?
• quanti account di dominio sono amministratori locali su più di un sistema, e chi li usa?
• quanta autenticazione NTLM passa ancora nella rete, e da quali applicazioni?
• gli eventi di accesso arrivano a qualcuno che li legge, o restano sulle singole macchine?

L'ordine che regge di solito è: Windows LAPS su tutto il parco, pulizia dei privilegi locali, Credential Guard dove le licenze e l'hardware lo permettono, audit e riduzione di NTLM, monitoraggio centralizzato. Windows LAPS non richiede licenze aggiuntive per il salvataggio in Active Directory e la pulizia dei privilegi è lavoro di configurazione: sono i due interventi che tolgono all'attaccante la strada più comoda.

In sintesi: il pass the hash funziona perché con NTLM l'hash di una password vale quanto la password. Diventa pericoloso quando molte macchine condividono la stessa password di amministratore locale e gli account privilegiati lasciano le proprie credenziali ovunque. Password locali uniche, privilegi separati, Credential Guard, meno NTLM e un monitoraggio degli accessi che qualcuno guardi davvero tolgono valore agli hash rubati.

Se vuoi capire come sono gestiti identità e accessi privilegiati nella tua azienda, trovi come lavoriamo nella pagina identity management e compliance.