[Émmé~ñéz-m~óí à vó~tré c~óñtr~ôléúr~ dé dó~máíñ~é : cóm~méñt~ lés á~ttáq~úáñt~s sé d~éplác~éñt l~átérá~lémé~ñt dá~ñs vó~tré é~ñvír~óññé~méñt~]

[Dáñ G~óúld~ á égál~éméñ~t cóñ~tríb~úé à cé b~íllé~t.]

[Dáñs lá prémíèré pártíé dé cétté séríé dé blógs, ñóús ávóñs vú dífféréñtés máñíèrés dóñt úñ áctéúr dé lá méñácé péút méñér à bíéñ lá phásé dé décóúvérté dú fráméwórk ÁTT&CK áfíñ dé sé fáíré úñé ídéé dú térráíñ áprès úñé íñféctíóñ íñítíálé. Célá léúr fóúrñít dés íñfórmátíóñs ímpórtáñtés súr lé réséáú ét lé dómáíñé, mêmé ávéc dés prívílègés dé dómáíñé stáñdárd. Ñóús ávóñs égáléméñt ñóté cértáíñs cómpósáñts útílísés pár úñ cóñtrôléúr dé dómáíñé qúí péúvéñt êtré áttáqúés díréctéméñt óú éxplóítés dáñs lé cádré d'úñé áttáqúé.]

[Ící, ñ~óús á~llóñ~s dévé~lópp~ér cé~lá pó~úr mó~ñtré~r dés~ éxém~plés~ d'át~táqú~és ét~ d'óú~tíls~ qúí p~éúvé~ñt êtr~é útí~lísés~ cóñt~ré cé~s cóm~pósá~ñts p~óúr é~xécút~ér lá~ phás~é súí~váñt~é d'ú~ñé át~táqú~é : lé m~óúvé~méñt~ látér~ál.]

[Grâcé à cés íñfórmátíóñs útílés, cómmé céllés préséñtéés dáñs lé bíllét précédéñt lórs dé lá phásé dé décóúvérté, l'áctéúr dé lá méñácé péút désórmáís téñtér éñ tóúté cóñfíáñcé úñ móúvéméñt látérál súr lé chémíñ méñáñt áú cóñtrôléúr dé dómáíñé. Cépéñdáñt, íls áúróñt bésóíñ dés íñfórmátíóñs d'ídéñtífícátíóñ ñécéssáírés, dés íñfórmátíóñs súr lés sýstèmés cíblés íñtérmédíáírés ét lés cómpósáñts, cómbíñés áúx óútíls d'áttáqúé córréspóñdáñts, póúr áttéíñdré léúr cíblé últímé.]

[ÁTT&C~K : Móú~vémé~ñt lá~térál~]

[Lés móúvéméñts látéráúx, éñ pártícúlíér dáñs úñ dómáíñé Wíñdóws, péúvéñt sé pródúíré à déúx ñívéáúx. Tóút d'ábórd, áú ñívéáú dé l'ápplícátíóñ, óù l'áttáqúáñt péút útílísér dés téchñíqúés báséés súr lés íñfórmátíóñs d'ídéñtífícátíóñ, téllés qúé lé páss-thé-hásh óú lé páss-thé-tíckét, qúí éxplóítéñt à léúr tóúr lé ñívéáú dú réséáú óù íl pássé réélléméñt d'úñé máchíñé à l'áútré póúr áttéíñdré lá cíblé últímé, éñ l'óccúrréñcé lé cóñtrôléúr dé dómáíñé.]

[Célá~ ñóús~ ámèñé~ áúx t~échñ~íqúé~s bás~éés sú~r lés~ íñfó~rmát~íóñs~ d'íd~éñtí~fícá~tíóñ~.]

[Téch~ñíqú~és bá~séés s~úr lé~s íñf~órmá~tíóñ~s d'í~déñt~ífíc~átíó~ñ póú~r lés~ móúv~éméñ~ts lá~téráú~x]

[Fráñ~chém~éñt, ú~ñé fó~ís qú~é lés~ íñfó~rmát~íóñs~ d'íd~éñtí~fícá~tíóñ~ dé l'~ádmí~ñíst~ráté~úr dé~ dómá~íñé s~óñt d~écóúv~érté~s, lé c~óñtr~ôléúr~ dé dó~máíñ~é ést~ géñérá~lémé~ñt ác~céss~íblé~ éñ úñ~é íñv~íté d~é cóm~máñd~é.]

[Lés áttáqúáñts chérchéñt à vídér lés íñfórmátíóñs d'ídéñtífícátíóñ mísés éñ cáché dáñs dés émplácéméñts cóúráñts, téls qúé lé sérvícé LSÁSS (Lócál Sécúrítý Áúthórítý Súbsýstém Sérvícé), útílísé póúr áúthéñtífíér lés útílísátéúrs, lés cóññéxíóñs ét lés áútórísátíóñs sóús Wíñdóws. Póúrqúóí lés íñfórmátíóñs d'ídéñtífícátíóñ (móts dé pássé/tíckéts háchés) sóñt-éllés cóñsérvéés éñ mémóíré ¿ L'áúthéñtífícátíóñ úñíqúé pérmét áúx útílísátéúrs dé ñé pás ávóír à sé réáúthéñtífíér à cháqúé fóís.]

[Sí lés áttáqúáñts óñt dé lá cháñcé, íls cómpróméttéñt úñ sýstèmé dóñt lés áñcíéññés cóññéxíóñs d'ádmíñístrátéúr sóñt cóñsérvéés éñ mémóíré. Cés íñfórmátíóñs dé cóññéxíóñ péúvéñt êtré éxtráítés à l'áídé dé Mímíkátz óú d'óútíls símíláírés d'éxplórátíóñ dé lá mémóíré LSÁSS. Cómmé vóús lé sávéz déjà, Mímíkátz ét dés óútíls símíláírés pérméttéñt áúx áctéúrs málvéílláñts dé tróúvér ét d'éxtráíré dés íñfórmátíóñs d'áúthéñtífícátíóñ téllés qúé lés háchágés ÑTLM ét lés íñfórmátíóñs dé tíckét Kérbérós à pártír dé lá mémóíré dú ñóýáú d'úñ órdíñátéúr éñ cóúrs d'éxécútíóñ útílíséé pár LSÁSS.]

[L'éx~émpl~é cí-d~éssó~ús mó~ñtré~ lé dú~mpíñ~g d'í~ñfór~mátí~óñs d~'ídé~ñtíf~ícát~íóñ à l~'áíd~é dé M~ímík~átz.]

[Dáñs lá plúpárt dés cás, íl súffít qúé lé cómpté íñítíáléméñt cómprómís sóít úñ cómpté ádmíñístrátéúr lócál súr lá máchíñé Wíñdóws póúr póúvóír éxécútér córréctéméñt dés óútíls téls qúé Mímíkátz. Célá sígñífíé qú'íl díspósérá dés prívílègés ñécéssáírés, téls qúé lé prívílègé dé débógágé Wíñdóws, póúr líré lé ñóýáú óú lá mémóíré prívílégíéé póúr cértáíñs prócéssús Wíñdóws crúcíáúx téls qúé LSÁSS. Cómmé íñdíqúé précédémméñt, lés dómáíñés Wíñdóws s'áppúíéñt lárgéméñt súr lá fóñctíóññálíté d'áúthéñtífícátíóñ úñíqúé póúr óffrír úñé éxpéríéñcé présqúé flúídé áúx útílísátéúrs ét áúx máchíñés qúí démáñdéñt dés réssóúrcés súr l'éñsémblé dú dómáíñé. Póúr fácílítér célá, Wíñdóws á útílísé lá póssíbílíté dé stóckér dés íñfórmátíóñs d'ídéñtífícátíóñ háchéés éñ mémóíré ét, póúr lés áñcíéññés vérsíóñs, dés móts dé pássé éñ téxté brút éñ mémóíré. C'ést l'úñ dés príñcípáúx móýéñs útílísés pár dés óútíls téls qúé Mímíkátz póúr récúpérér dés háchágés ÑTLM ét, dáñs cértáíñs cás, dés móts dé pássé éñ téxté brút póúr dés téchñíqúés téllés qúé lés áttáqúés « páss-thé-hásh » ét « páss-thé-tíckét ».]

[Vóíc~í à qúó~í rés~sémb~lé l'~éffá~cémé~ñt dé~ tíck~éts K~érbé~rós d~é mémó~íré :]

[Rúbéús ést úñ áútré óútíl qúí péút êtré útílísé póúr lés áttáqúés líéés áúx tíckéts Kérbérós. Íl póssèdé dés fóñctíóññálítés téllés qúé lés démáñdés dé tíckét Kérbérós, qúí pérméttéñt dé récúpérér úñ Tíckét-Gráñtíñg-Tíckét (TGT) éñ fóñctíóñ dú mót dé pássé óú dú háchágé d'úñ útílísátéúr dáñs úñé íñstáñcé óú éñ fóñctíóñ dú mágásíñ dé cértífícáts d'úñ útílísátéúr. Rúbéús péút égáléméñt êtré útílísé póúr ábúsér dé lá délégátíóñ cóñtráíñté dáñs lés dómáíñés Wíñdóws éñ éfféctúáñt úñé délégátíóñ cóñtráíñté dé sérvícé póúr útílísátéúr (S4Ú) áú séíñ d'úñ dómáíñé spécífíqúé óú mêmé éñtré lés dómáíñés d'úñé fórêt.]

[L'éxémplé cí-déssóús móñtré qúé l'áútéúr dé lá méñácé ést cápáblé dé vídér lés íñfórmátíóñs dé háchágé dés íñfórmátíóñs d'ídéñtífícátíóñ dé lá mémóíré ét dé lócálísér úñ ñóm dé cómpté spécífíqúé ídéñtífíé cómmé étáñt úñ cómpté ádmíñístrátéúr. Cé cómpté sérá préséñt cár íl sé séráít cóññécté à cétté máchíñé à úñ móméñt dóññé.]

[Cé vídágé spécífíqúé íñclúrá égáléméñt dés íñfórmátíóñs téllés qúé lé sérvéúr d'óúvértúré dé séssíóñ dú dómáíñé. Célá péút êtré córróbóré pár lés íñfórmátíóñs récúéíllíés lórs dé lá phásé dé décóúvérté póúr cóñfírmér lé cóñtrôléúr dé dómáíñé cíblé.]

[Dáñs l'éxémplé cí-déssóús, à pártír dú « ádmíñístrátéúr íñfórmátíqúé » cómpté ÑTLM hásh qúí á été súpprímé plús tôt, ñóús ávóñs pú tráñsméttré cé háchágé póúr láñcér úñ ñóúvéáú prócéssús Wíñdóws cmd ávéc lé jétóñ à prívílègés d'ádmíñístrátéúr élévés. Célá sígñífíé qúé lé ñóúvéáú prócéssús cmd péút éfféctúér dés áctíóñs dáñs lé cóñtéxté d'úñ cómpté prívílégíé mêmé sí l'útílísátéúr réélléméñt cóññécté ñé díspósé qúé dé dróíts d'ádmíñístrátéúr lócál súr lá máchíñé cómprómísé.]

[Cé ñóúvéáú prócéssús sérá éxécúté ávéc lé jétóñ élévé dé « ítádmíñ », cé qúí sígñífíé qúé ñóús póúvóñs l'útílísér póúr éxécútér d'áútrés óútíls d'áccès à dístáñcé áfíñ dé cíblér lé cóñtrôléúr dé dómáíñé ét dé ñóús cóññéctér à célúí-cí víá lé réséáú. Dáñs l'ímágé cí-déssóús, ñóús póúvóñs vóír qú'áprès úñé áttáqúé « páss-thé-hásh » réússíé, úñ óútíl sécóñdáíré cómmé Pówér Ádmíñ ést útílísé PáÉxéc péút êtré útílísé póúr póúrsúívré lé résté dé l'áttáqúé éñ sé cóññéctáñt à dístáñcé áú cóñtrôléúr dé dómáíñé. Lá cómmáñdé hóstñámé dé l'ímágé cóñfírmé lé súccès dú móúvéméñt látérál áú ñívéáú dé l'ápplícátíóñ ét áú ñívéáú dú réséáú.]

[Ñóús póúvóñs vérífíér lés sérvícés éñ cóúrs d'éxécútíóñ súr lá máchíñé dú cóñtrôléúr dé dómáíñé póúr vérífíér qúé PÁÉxéc á étáblí úñé cóññéxíóñ ávéc úñ prócéssús córréspóñdáñt. Lá téchñíqúé páss-thé-hásh útílíséé póúr géñérér lé jétóñ élévé pár l'ádmíñístrátéúr súr l'órdíñátéúr pórtáblé cómprómís, qúí á éñsúíté été útílísé póúr éxécútér l'óútíl dé géstíóñ à dístáñcé PáÉxéc, á été cóúróññéé dé súccès, cómmé lé móñtré l'ímágé cí-déssóús.]

[Íl s'ágít d'úñé démóñstrátíóñ símplé dé lá máñíèré dóñt lés áttáqúáñts péúvéñt sé déplácér látéráléméñt, dú ñívéáú dé l'ápplícátíóñ (vól d'íñfórmátíóñs d'ídéñtífícátíóñ dáñs lá mémóíré dé prócéssús) áú ñívéáú dú réséáú (trávérséé dé máchíñés smb, msrpc óú http), póúr áttéíñdré lá cíblé últímé : lé cóñtrôléúr dé dómáíñé.]

[ÁTT&C~K : Ímp~áct]

[À cé stádé, áýáñt áttéíñt lé cóñtrôléúr dé dómáíñé, l'áttáqúáñt ést réspóñsáblé. Íls péúvéñt prócédér à lá cópíé à dístáñcé dé fíchíérs málvéílláñts súppléméñtáírés súr lé cóñtrôléúr dé dómáíñé. Pár éxémplé, íls póúváíéñt désórmáís cópíér Mímíkátz súr lé cóñtrôléúr dé dómáíñé ét l'útílísér póúr éxtráíré lé háchágé íñtégré dú cómpté útílísátéúr KRBTGT, éñ plús d'áútrés íñfórmátíóñs dé dómáíñé, áfíñ dé láñcér l'áttáqúé Góldéñ Tíckét. Célá péút éñsúíté êtré útílísé póúr dés áttáqúés « páss-thé-tíckét » súr l'éñsémblé dú dómáíñé.]

[L'áttáqúáñt péút mêmé útílísér lés óútíls déjà éñ plácé, éñ víváñt dé lá térré, póúr déplóýér qúélqúé chósé cómmé úñ ráñsómwáré ét sé cóññéctér à d'áútrés sérvéúrs séñsíblés, téls qúé dés sérvéúrs dé básés dé dóññéés óú d'ápplícátíóñs, áfíñ d'éxfíltrér dáváñtágé dé dóññéés. Íl péút s'ágír dé PsÉxéc, PówérShéll, SCCM, ñ'ímpórté qúél óútíl d'ádmíñístrátíóñ íñfórmátíqúé cápáblé dé déplóýér dés lógícíéls.]

[Éñ fóñctíóñ dé lá cómpléxíté dé l'áttáqúé, úñ áttáqúáñt péút útílísér tóús lés óútíls pérsóññálísés óú éxécútér dú códé úñíqúéméñt éñ mémóíré, dé sórté qúé l'áñálýsé dés sígñátúrés d'óútíls téls qúé Mímíkátz dévíéñt díffícílé à détéctér ét à émpêchér póúr lés óútíls dé sécúríté. Dáñs lé mêmé órdré d'ídéés, l'áñálýsé cómpórtéméñtálé péút égáléméñt êtré góúrmáñdé éñ réssóúrcés, dé sórté qúé cés téchñíqúés d'áñálýsé péúvéñt êtré désáctívéés, éñ pártícúlíér dáñs lés éñvíróññéméñts dé sérvéúrs óú lés sýstèmés d'éxplóítátíóñ éxístáñts qúí éxécútéñt dés ápplícátíóñs crítíqúés hérítéés.]

[Cóñs~últé~z ñót~ré pr~óchá~íñ ár~tícl~é qúí~ éxám~íñé l~és mé~súré~s d'á~ttéñú~átíó~ñ dé c~és át~táqú~és.]