Pass-the-Hash

Pass-the-Hash (PtH) est une technique grâce à laquelle un attaquant s'authentifie avec le hachage du mot de passe NTLM d'un utilisateur au lieu du mot de passe en clair.

Comme l'authentification NTLM de Windows utilise directement le hachage comme secret, il n'est jamais nécessaire de le craquer pour se connecter en tant que cet utilisateur.

Windows enregistre les mots de passe des comptes sous forme de hachages NTLM (un MD4 du mot de passe UTF-16). Lors de l'authentification NTLM, c'est le hachage, et non le mot de passe, qui prouve l'identité.

Cette faille de conception signifie que le vol du hachage équivaut fonctionnellement au vol du mot de passe pour les connexions fondées sur NTLM.

Les hachages peuvent être récupérés à plusieurs endroits :

• La base de données SAM des machines locales.
• La mémoire du processus LSASS pour les utilisateurs connectés.
• Le fichier NTDS.dit des contrôleurs de domaine.

Chaque source nécessite des privilèges différents, mais toutes fournissent des hachages réutilisables.

Mimikatz est l'outil classique d'extraction des identifiants depuis la mémoire de LSASS. La commande sekurlsa::logonpasswords révèle les hachages NTLM des utilisateurs actuellement connectés.

Des privilèges d'administrateur local (et souvent SeDebugPrivilege) sont nécessaires pour lire LSASS.

secretsdump.py d'Impacket extrait à distance les hachages de la base SAM et de la base du domaine à l'aide d'identifiants valides.

Il peut également effectuer une réplication DCSync pour récupérer les hachages directement depuis un contrôleur de domaine si vous disposez des droits de réplication appropriés.

Une fois que vous disposez d'un hachage, des outils vous permettent de vous authentifier directement avec celui-ci. Le psexec.py d'Impacket accepte un hachage avec l'option -hashes et vous fournit un interpréteur de commandes distant.

Le format est LMHASH:NTHASH ; la partie LM est généralement constituée de zéros vides sur les systèmes modernes.

De nombreux outils prennent en charge PtH :

• CrackMapExec / NetExec : tester des hachages sur de nombreux hôtes.
• evil-winrm : interpréteur de commandes WinRM avec un hachage.
• wmiexec.py / smbexec.py : autres méthodes d'exécution.

Tester le hachage d'un seul administrateur local sur un sous-réseau peut rapidement étendre l'accès.

Pass-the-Hash est une technique essentielle de déplacement latéral. En réutilisant le hachage d'administrateur local d'une machine sur d'autres (un problème lorsque le même mot de passe d'administrateur local est partagé), les attaquants passent d'un hôte à l'autre.

Chaque nouvel hôte peut contenir en mémoire les hachages d'utilisateurs plus privilégiés.

Les mesures d'atténuation comprennent :

• LAPS : des mots de passe d'administrateur local uniques et aléatoires pour chaque machine.
• Credential Guard : isole les secrets de LSASS.
• La restriction des endroits où les comptes privilégiés peuvent se connecter (segmentation par niveaux).
• La désactivation de NTLM au profit de Kerberos lorsque c'est possible.

Pass-the-Hash a des techniques apparentées :

• Pass-the-Ticket : réutiliser un ticket Kerberos volé.
• Overpass-the-Hash : utiliser un hachage NTLM pour demander un TGT Kerberos.

Ces techniques étendent la réutilisation des identifiants au monde Kerberos.

Pass-the-Hash exploite spécifiquement l'authentification NTLM. Les environnements qui imposent Kerberos et désactivent NTLM réduisent considérablement la surface d'attaque.

Toutefois, NTLM subsiste dans la plupart des réseaux pour des raisons de compatibilité, et PtH reste donc largement efficace. C'est pourquoi la désactivation de NTLM est une mesure de renforcement recommandée.

Rappelez-vous pourquoi PtH ne nécessite pas de craquage.

Vous comprenez maintenant Pass-the-Hash :

• L'authentification NTLM accepte le hachage comme secret ; aucun craquage n'est donc nécessaire.
• Les hachages sont extraits de SAM, LSASS ou NTDS.dit à l'aide de Mimikatz ou de secretsdump.
• Des outils comme psexec.py, NetExec et evil-winrm réutilisent les hachages pour le déplacement latéral.
• Défense : LAPS, Credential Guard et segmentation par niveaux.

Vous allez maintenant cartographier les chemins d'attaque avec BloodHound.