Kerberoasting

Le Kerberoasting est une attaque qui cible les comptes de service dans Active Directory. Tout utilisateur de domaine authentifié peut demander un ticket de service pour un compte qui possède un nom principal de service (SPN).

Une partie de ce ticket est chiffrée avec le condensat du mot de passe du compte de service ; l’attaquant peut donc le casser hors ligne sans jamais toucher au compte.

Lorsqu’un utilisateur demande un ticket de service (TGS), le KDC en chiffre une partie avec le condensat NTLM du mot de passe du compte de service.

Comme tout utilisateur de domaine peut demander ce ticket et qu’aucun privilège particulier n’est nécessaire, l’attaquant collecte simplement les tickets et les casse à loisir sur sa propre machine.

Commencez par énumérer les comptes auxquels des SPN sont associés. Il s’agit généralement de comptes de service exécutant des services SQL, web ou autres.

Les comptes utilisateur (et non les comptes machine) avec des SPN sont des cibles idéales, car leurs mots de passe sont souvent définis par des personnes et rarement renouvelés.

Rubeus est un outil C# populaire pour exploiter Kerberos. La commande kerberoast demande des tickets TGS pour les comptes associés à des SPN et les produit dans un format pouvant être cassé.

Cette étape est discrète : elle ressemble à un trafic Kerberos normal provenant d’un utilisateur légitime.

Sous Linux, Impacket et son outil GetUserSPNs.py effectuent la même attaque à distance au moyen d’identifiants de domaine valides.

C’est pratique lors d’interventions externes ou en situation de compromission présumée, lorsque vous disposez déjà d’un jeu d’identifiants peu privilégiés.

Le ticket capturé est enregistré dans un format que Hashcat reconnaît comme le mode 13100 (Kerberos 5 TGS-REP etype 23, RC4).

Chaque condensat commence par $krb5tgs$23$, suivi du SPN, du compte et de l’objet binaire chiffré. C’est ce que vous fournissez à votre outil de cassage.

Le craquage hors ligne utilise une liste de mots (souvent avec des règles) contre les hachages capturés. Comme les tickets RC4 sont rapides à tester, les mots de passe faibles des comptes de service sont rapidement trouvés.

C'est pourquoi les mots de passe des comptes de service doivent être longs et aléatoires, et idéalement gérés par des comptes de service gérés par le groupe (gMSA).

Si le compte prend en charge RC4 (etype 23), le craquage est rapide. S'il n'autorise que AES (etype 17/18), le craquage est beaucoup plus lent, mais reste possible (modes Hashcat 19600/19700).

Les attaquants peuvent même rétrograder le type de chiffrement demandé afin de forcer l'utilisation du ticket RC4, plus faible.

Les défenseurs surveillent les volumes inhabituels de demandes de tickets TGS, en particulier pour les tickets RC4 (ID d'événement 4769). Les mesures d'atténuation comprennent :

• Des mots de passe longs et aléatoires pour les comptes de service (25 caractères ou plus).
• L'utilisation de comptes gMSA avec une rotation automatique.
• La désactivation de RC4 et l'imposition d'AES.

Les comptes de service sont attrayants, car ils sont souvent membres de groupes privilégiés, utilisent des mots de passe anciens et ne sont pas associés à une personne qui remarquerait des anomalies.

Leur craquage peut vous donner les privilèges d'un administrateur du domaine si le compte de service a reçu trop de privilèges par négligence.

Le Kerberoasting est généralement effectué peu après l'obtention d'un premier accès au domaine. Il s'agit d'une énumération discrète suivie d'un craquage hors ligne, et il ne déclenche donc que rarement des alertes.

Un compte de service dont le mot de passe a été craqué permet souvent un déplacement latéral ou une élévation de privilèges, ce qui en fait une technique incontournable des tests d'intrusion internes et des opérations d'équipe rouge.

Rappelez-vous la condition essentielle du Kerberoasting.

Vous comprenez maintenant le Kerberoasting :

• Tout utilisateur du domaine peut demander des tickets TGS pour les comptes associés à des SPN.
• Les tickets sont chiffrés avec le hachage du compte de service, puis craqués hors ligne.
• Outils : Rubeus, Impacket GetUserSPNs.py, avec un craquage effectué à l'aide du mode 13100 de Hashcat.
• Défense : mots de passe longs, gMSA et chiffrement limité à AES.

Vous allez maintenant réutiliser directement des identifiants avec Pass-the-Hash.