Déplacement latéral : Pass-the-Hash et Pass-the-Ticket

Le déplacement latéral désigne les techniques que les attaquants utilisent pour progresser dans un réseau après y avoir établi un premier point d’appui, dans le but d’atteindre des cibles de plus grande valeur comme les contrôleurs de domaine, les bases de données et les postes de travail administratifs. Contrairement à l’accès initial, qui vise généralement un seul terminal, le déplacement latéral exploite les relations de confiance entre les systèmes — mécanismes d’authentification, identifiants partagés, connectivité réseau et outils d’administration — sur lesquels les utilisateurs légitimes s’appuient quotidiennement. Un déplacement latéral efficace permet à un simple compte compromis disposant de faibles privilèges d’atteindre finalement tous les systèmes d’un environnement.

NTLM (NT LAN Manager) est un ancien protocole d’authentification Windows fondé sur un mécanisme de défi-réponse. Lorsqu’un client s’authentifie auprès d’un serveur, celui-ci lui envoie un défi aléatoire ; le client répond en hachant le défi avec le hachage NT de l’utilisateur (un hachage fixe dérivé du mot de passe). La faille de conception critique est la suivante : le hachage NT lui-même suffit pour s’authentifier, sans avoir besoin du mot de passe. Le hachage NT est stocké dans la base de données du Security Account Manager (SAM) sur les postes de travail et dans NTDS.DIT sur les contrôleurs de domaine. Si un attaquant obtient le hachage NT, il peut s’authentifier en tant que cet utilisateur sans jamais connaître son mot de passe.

Pass-the-Hash (PtH) est une technique d’attaque dans laquelle un attaquant utilise un hachage NTLM capturé pour s’authentifier auprès d’autres systèmes sans connaître le mot de passe en clair correspondant. Après avoir compromis un système et extrait des hachages de la mémoire (LSASS) ou de la base de données SAM, l’attaquant remplace ses propres éléments d’authentification par le hachage volé dans les requêtes d’authentification. Cette attaque est particulièrement dévastatrice, car les mots de passe d’administrateur local partagés (courants dans les environnements dépourvus de LAPS) signifient qu’un seul hachage peut compromettre des centaines, voire des milliers de machines. Des outils comme Mimikatz, psexec.py d’Impacket et CrackMapExec automatisent les attaques PtH.

Plusieurs mesures réduisent l’efficacité des attaques PtH : Local Administrator Password Solution (LAPS) — l’outil de Microsoft qui attribue à chaque machine un mot de passe d’administrateur local unique et régulièrement renouvelé, de sorte qu’un hachage volé sur une machine ne permette de déverrouiller que celle-ci ; Credential Guard (Windows 10/11) — utilise une sécurité fondée sur la virtualisation pour isoler LSASS dans une enclave sécurisée où les hachages ne peuvent pas être extraits ; désactiver NTLM au profit de Kerberos lorsque cela est possible ; restreindre l’accès administratif au moyen de postes de travail à accès privilégié (PAW) et de modèles d’administration par niveaux ; et utiliser le groupe de sécurité Protected Users dans AD, qui empêche la mise en cache des hachages pour les comptes qui en sont membres.

Kerberos est le protocole d’authentification par défaut dans les environnements AD. Il évite d’envoyer des mots de passe ou des hachages sur le réseau en utilisant des tickets chiffrés. Le processus est le suivant : (1) le client s’authentifie auprès du Key Distribution Center (KDC) — un rôle assuré par le contrôleur de domaine — et reçoit un Ticket Granting Ticket (TGT) chiffré avec le hachage du compte KRBTGT ; (2) lorsque le client doit accéder à un service, il présente le TGT pour recevoir un Service Ticket (TGS/ST) chiffré avec la clé du service cible ; (3) le client présente le ticket de service à la cible, qui le valide sans contacter le KDC. La durée de validité par défaut des tickets est de 10 heures.

Pass-the-Ticket (PtT) est l’équivalent Kerberos de Pass-the-Hash : un attaquant extrait un ticket Kerberos valide de la mémoire d’un système compromis et l’importe dans sa propre session pour s’authentifier en tant que titulaire du ticket. Les tickets Kerberos sont stockés en mémoire sous Windows et peuvent être extraits avec les commandes kerberos::list et kerberos::ptt de Mimikatz. Les TGT volés sont les plus précieux, car ils peuvent servir à demander des tickets de service pour tout service auquel le titulaire du ticket peut accéder. Les Service Tickets (TGS) volés sont plus limités : ils n’accordent l’accès qu’au service précis pour lequel ils ont été émis.

Over-Pass-the-Hash (oPtH), également appelé Pass-the-Key, fait le lien entre le vol de hachages NTLM et l’obtention de tickets Kerberos. Un attaquant utilise un hachage NT ou une clé AES volée pour demander un TGT Kerberos au contrôleur de domaine, même sans connaître le mot de passe en clair. Cette opération transforme un hachage volé en TGT Kerberos complet et offre toute la flexibilité des attaques PtT. Cette technique est précieuse, car de nombreuses organisations ont désactivé NTLM au profit de Kerberos : oPtH permet aux attaques fondées sur des hachages de réussir dans les environnements qui n’utilisent que Kerberos. Mimikatz l’implémente avec sekurlsa::pth.

Les attaquants utilisent plusieurs protocoles pour se déplacer latéralement avec des identifiants ou des tickets volés : SMB (Server Message Block) permet d’exécuter des commandes à distance via PsExec, ainsi que d’accéder à distance aux fichiers et de créer des services ; WMI (Windows Management Instrumentation) permet l’exécution de commandes à distance et est largement utilisé par les administrateurs comme par les attaquants en raison de sa présence généralisée et des lacunes de journalisation ; RDP (Remote Desktop Protocol) fournit une session de bureau interactive ; et WinRM/PowerShell Remoting permet d’exécuter des commandes PowerShell sur des systèmes distants. Les défenseurs doivent établir une référence des systèmes qui utilisent légitimement ces protocoles et déclencher des alertes en cas de schémas d’utilisation anormaux.

BloodHound est un outil open source utilisé par les équipes offensives comme par les défenseurs pour visualiser les chemins d’élévation de privilèges et de déplacement latéral dans AD. Il recueille les données de relations (qui est membre de quel groupe, qui possède des droits d’administration sur quelle machine, quels comptes ont la délégation activée) et les affiche sous forme de graphe, où les nœuds représentent des utilisateurs, des machines ou des groupes, et les arêtes des autorisations. La requête « Find Shortest Paths to Domain Admins » de BloodHound peut montrer aux attaquants comme aux défenseurs la séquence exacte de compromissions susceptible de conduire au contrôle complet du domaine. Les défenseurs utilisent BloodHound pour supprimer les chemins de privilèges inutiles avant que les attaquants ne les exploitent.

Détecter les déplacements latéraux exige de mettre en corrélation les événements provenant de plusieurs systèmes. Les principaux signaux de détection sont les suivants : Windows Event ID 4648 (ouverture de session avec des identifiants explicites, fréquente dans PtH/PtT) ; Event ID 4769 (demande d’un ticket de service Kerberos, anormale lorsqu’elle concerne des services rarement consultés) ; Event ID 7045/4697 (nouveau service installé, fréquent lors des déplacements latéraux fondés sur PsExec) ; utilisation inhabituelle d’outils d’administration depuis des postes de travail non administratifs (wmic.exe, psexec.exe) ; et anomalies d’authentification SMB lorsque des postes de travail s’authentifient auprès d’autres postes de travail (le trafic normal va des postes de travail vers les serveurs, et non d’un poste à l’autre). Les plateformes EDR dotées de fonctions de détection comportementale repèrent ces schémas sur l’ensemble du réseau.

Le modèle d’administration par niveaux (conception d’AD recommandée par Microsoft) empêche qu’un vol d’identifiants dans un niveau compromette les niveaux supérieurs : niveau 0 (plan de contrôle des identités : contrôleurs de domaine, Azure AD) — seuls les comptes d’administration du niveau 0 peuvent administrer ces systèmes, et ces comptes ne se connectent jamais aux systèmes des niveaux 1 ou 2 ; niveau 1 (serveurs et services en nuage) — comptes d’administration dédiés de niveau 1 ; niveau 2 (postes de travail et appareils) — comptes du centre de support et comptes d’administration standard. En isolant les identifiants par niveaux, le compte d’administration d’un poste de travail compromis ne peut pas servir à attaquer les contrôleurs de domaine. Cela s’oppose directement aux déplacements latéraux PtH et PtT.

Testez votre compréhension des concepts CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que : Pass-the-Hash exploite la conception du hachage NTLM comme identifiant — le hachage NT suffit à s’authentifier sans le mot de passe, et cette attaque est principalement neutralisée par LAPS et Credential Guard ; Pass-the-Ticket vole des tickets Kerberos valides en mémoire pour s’authentifier comme un autre utilisateur, les TGT volés étant particulièrement puissants puisqu’ils peuvent générer des tickets de service pour n’importe quel service ; et le modèle d’administration par niveaux empêche qu’un vol d’identifiants à un niveau permette un déplacement latéral vers des niveaux disposant de privilèges supérieurs. Nous allons maintenant étudier Kerberoasting et les attaques Golden Ticket visant l’implémentation de Kerberos dans Active Directory.