ADExplorer

Définition

ADExplorer (Active Directory Explorer) est un outil de la suite Microsoft Sysinternals permettant de visualiser, naviguer et exporter l'intégralité de la structure d'un annuaire Active Directory sous une interface graphique arborescente, offrant une vue détaillée de chaque objet, de ses attributs et des ACL qui lui sont associées. Bien que conçu à l'origine comme un outil d'administration et de diagnostic légitime pour les équipes IT, ADExplorer présente un intérêt particulier en pentest et en Red Team du fait de sa nature signée par Microsoft, ce qui lui permet fréquemment de contourner des restrictions applicatives basées sur la liste blanche de binaires (application whitelisting), un attaquant disposant d'un accès à un poste compromis pouvant l'utiliser sans déclencher d'alerte associée à des outils offensifs classiques comme BloodHound ou PowerView. L'une des fonctionnalités les plus exploitées d'ADExplorer en contexte offensif est sa capacité à créer un instantané (snapshot) complet et hors ligne de l'annuaire, consultable ultérieurement sans connexion active au domaine, une donnée à haute valeur pour l'attaquant permettant une analyse approfondie de la structure et des permissions du domaine cible sans générer de trafic réseau supplémentaire. La détection de son usage malveillant repose principalement sur la surveillance comportementale des volumes de requêtes LDAP inhabituelles plutôt que sur la simple présence du binaire, celui-ci étant fréquemment déjà présent dans les environnements d'administration légitimes.