Attaques Pass-the-Hash expliquées

Malgré sa dépréciation officielle, NTLM reste actif dans de nombreux environnements Active Directory, et là où NTLM fonctionne encore, l'une des techniques d'attaque les plus efficaces du registre de mouvement latéral est aussi présente : le Pass-the-Hash (PtH). PtH exploite la façon dont NTLM met en cache les hachages de mots de passe en mémoire, permettant à un attaquant de s'authentifier en tant qu'utilisateur compromis sans jamais craquer son mot de passe. L'authentification multifacteur (MFA) pour Active Directory seule ne peut pas l'arrêter. Mais les bons contrôles d'accès peuvent limiter considérablement la progression d'un attaquant.

Les technologies informatiques vont et viennent, mais les protocoles qui permettent des processus réseau plus profonds, comme l'authentification, ont la mauvaise habitude de perdurer bien plus longtemps qu'ils ne le devraient. Parfois d'une manière qui peut finir par causer de sérieux problèmes.

Un exemple notoire est NT LAN Manager (NTLM), le protocole d'authentification Windows NT d'origine dont les graves lacunes en matière de sécurité ont poussé Microsoft à le remplacer par le protocole Kerberos, plus sécurisé, dès l'an 2000.

Le problème est que bannir un protocole dans Windows Server n'est pas aussi simple que d'activer son remplaçant. Quelques raisons à cela :

• Les anciennes applications qui présupposaient l'existence de NTLM en avaient toujours besoin

• NTLM était également populaire car il est plus tolérant aux mauvaises configurations que Kerberos

• NTLM pouvait aussi être utilisé comme solution de repli en cas d'échec de Kerberos

Cela explique en partie pourquoi les organisations ont continué à utiliser NTLM malgré ses failles de sécurité connues et sa dépréciation officielle par un Microsoft de plus en plus préoccupé.

Mais une autre raison pour laquelle NTLM a survécu au-delà de sa durée de vie prévue est que les organisations ne savent pas toujours où elles l'utilisent et ne sont pas prêtes à consacrer le temps et l'argent nécessaires pour le découvrir.

Aujourd'hui, malgré une utilisation très réduite, NTLM reste un protocole zombie qui peut facilement être exploité par des hackers via une technique de contournement d'authentification appelée pass-the-hash.

Les attaques Active Directory pass-the-hash font partie d'un ensemble plus large de techniques de contournement d'authentification, notamment le Kerberoasting et le Kerberos pass-the-ticket (PtT), pour n'en citer que deux. NTLM lui-même est vulnérable à plusieurs techniques, dont l'interception et le relais NTLM, mais le NTLM pass-the-hash est généralement la première option des hackers. Ce type d'attaque est facile à exécuter et est presque garanti de faire progresser une attaque plus profondément dans Active Directory.

Toutes les techniques de contournement d'authentification ont un point commun : elles permettent le mouvement latéral après qu'un attaquant a pris pied sur le réseau en compromettant un compte utilisateur.

Pour un attaquant, le mouvement latéral est le graal, le contournement d'authentification offrant aux attaquants le chemin le plus direct pour y parvenir.

Dans le cas du PtH, la vulnérabilité principale réside dans la façon dont NTLM permet la persistance — c'est-à-dire la capacité d'un utilisateur à rester connecté à une ressource sans avoir à saisir régulièrement son mot de passe.

Lorsqu'un utilisateur Windows s'authentifie à l'aide de NTLM, son mot de passe est mis en cache en mémoire sur son poste de travail sous forme de valeur de hachage. NTLM transmet ensuite ce hachage pour réauthentifier l'utilisateur à la volée, plutôt que de lui demander son mot de passe.

Cela pose des problèmes évidents. Pour commencer, sous NTLM, le hachage est à la fois non salé (ce qui facilite la découverte du vrai mot de passe) et, par conception, statique. Avec accès à un PC utilisateur compromis, tout ce dont l'attaquant a besoin pour initier une attaque de contournement d'authentification pass-the-hash est de capturer et de présenter la valeur de hachage.

Pour cela, l'attaquant doit d'abord élever ses privilèges d'un niveau d'utilisateur ordinaire à celui d'administrateur local. Il le fait généralement en exploitant une vulnérabilité logicielle ou un chemin de service mal configuré. Une fois les droits nécessaires obtenus, il peut extraire la valeur de hachage de la mémoire à l'aide d'un outil de piratage.

L'attaque pass-the-hash sur NTLM est d'une simplicité remarquable. Le hacker n'a pas besoin de forcer brutalement le hachage pour découvrir le vrai mot de passe, comme il le ferait avec le Kerberoasting. L'attaquant peut présenter ou « passer » le hachage capturé dans un échange d'authentification NTLM vers n'importe quelle application ou service auquel le compte utilisateur compromis peut accéder.

En compromettant simplement le poste de travail d'un utilisateur, l'attaquant est désormais capable d'usurper pleinement l'identité de l'utilisateur compromis au sein du réseau. L'attaque est impossible à détecter sans surveillance des données ou des comptes, laissant l'attaquant libre d'accéder à des données et de les copier sans entrave.

Ce ne serait pas une catastrophe si de nombreux utilisateurs ordinaires d'Active Directory n'accumulaient pas souvent des privilèges supplémentaires au fil du temps. Cela donne aux attaquants encore plus de marge pour le mouvement latéral vers des identifiants supplémentaires, et peut potentiellement conduire à une compromission totale du domaine.

Et ce ne sont pas seulement les postes de travail des utilisateurs qui offrent une tête de pont. Les identifiants d'administrateur peuvent être exposés par inadvertance si un administrateur se connecte à un poste de travail compromis via le Bureau à distance. Si un attaquant contrôle déjà le poste de travail avec des privilèges suffisants pour accéder à la mémoire du Local Security Authority Subsystem Service (LSASS), là où les hachages NTLM et les tickets Kerberos sont mis en cache, il peut être en mesure de les extraire du compte administrateur pour se déplacer latéralement ou escalader les privilèges dans l'environnement Active Directory plus large.

La première défense contre le PtH est d'arrêter d'utiliser NTLM, qui n'est généralement encore en place que parce qu'il offre une authentification de secours.

Le protocole Kerberos, plus sécurisé, a abandonné le défi-réponse statique de NTLM en faveur de tickets chiffrés et horodatés émis à l'aide d'un système de distribution de clés. En termes simples, avec Kerberos, il n'y a pas de hachages à voler ni à envoyer.

Une couche de sécurité qui ne résout pas la vulnérabilité NTLM est la MFA. Parce que NTLM opère au niveau du protocole, le pass-the-hash contourne complètement les défis de la MFA de niveau supérieur. Mais cela ne signifie pas que les organisations sont sans défense face au PtH.

Bien que la MFA seule ne ferme pas les vulnérabilités NTLM PtH, elle élève le niveau en rendant plus difficile pour les attaquants d'obtenir un accès initial à un compte utilisateur.

Des solutions comme UserLock aident à rendre l'attaque plus difficile et plus coûteuse en ajoutant des contrôles d'accès et une surveillance clés qu'Active Directory n'offre pas nativement :

• La MFA

• L'authentification unique (SSO)

• Les contrôles d'accès contextuels

• La surveillance en temps réel.

Si les attaquants parviennent à prendre pied, UserLock aide également à empêcher le mouvement latéral grâce à la MFA sur les invites UAC, aux limites de sessions simultanées, et à l'accès contextuel pour contrôler qui peut se connecter, depuis où et sur quel type de session. Cela peut, par exemple, empêcher les administrateurs d'utiliser le Bureau à distance pour se connecter aléatoirement à des machines potentiellement compromises.

De même, UserLock peut être utilisé pour alerter lorsqu'un compte utilisateur accède au réseau à des heures inhabituelles, ou lorsqu'il tente de lancer des sessions simultanées, ce qui facilite le blocage proactif des attaques.