Pass-the-Hash sfrutta una debolezza storica dell'autenticazione Windows NTLM: per accedere a una risorsa non serve la password in chiaro, basta il suo hash. L'attaccante che ha compromesso una macchina estrae dalla memoria (con strumenti come Mimikatz) gli hash delle credenziali usate su quel sistema, e li riusa per autenticarsi altrove come quegli utenti – senza mai craccarli. È il motore del movimento laterale: da un endpoint bucato ci si diffonde in tutta la rete saltando di macchina in macchina.
Lo scenario da incubo: un admin si è collegato una volta a una workstation compromessa – il suo hash è lì, e con quello l'attaccante raggiunge i sistemi che quell'admin può toccare, fino ad Active Directory.
Le mitigazioni: eliminare NTLM dove possibile (Kerberos è più resistente), il tiering (le credenziali privilegiate non toccano mai le macchine meno fidate – la regola d'oro contro il PtH), Credential Guard che isola gli hash in memoria, minimo privilegio e account amministrativi Just-In-Time, e detection sui login anomali. È un classico che sopravvive perché le reti Windows portano decenni di eredità: la difesa è tanto architetturale quanto tecnica.