Attaque PetitPotam

Définition

L'attaque PetitPotam désigne une technique de coercition d'authentification exploitant le protocole distant d'appel de procédure du système de fichiers chiffrant de Windows, permettant à un attaquant disposant d'un accès réseau au contrôleur de domaine, même sans authentification préalable dans certaines configurations, de forcer ce contrôleur de domaine à initier une authentification NTLM sortante vers une destination choisie par l'attaquant, plutôt que de recevoir passivement des authentifications comme dans un scénario d'empoisonnement classique. Cette authentification forcée du compte ordinateur du contrôleur de domaine, un compte disposant intrinsèquement de privilèges élevés, peut ensuite être relayée par l'attaquant vers les services de certificats Active Directory pour obtenir un certificat d'authentification frauduleux au nom du contrôleur de domaine lui-même, ou vers d'autres services vulnérables au relais NTLM, aboutissant potentiellement à une compromission complète du domaine à partir d'un point d'entrée réseau initial limité. La technique a été rendue publique via une recherche largement diffusée et a depuis inspiré de nombreuses variantes exploitant d'autres interfaces d'appel de procédure distante présentant le même défaut structurel de coercition. Pour les équipes défensives, la contre-mesure impérative consiste à désactiver le service concerné lorsqu'il n'est pas requis, à activer la signature LDAP et la liaison de canal LDAP obligatoires, et à surveiller les tentatives d'authentification sortante anormales initiées par les comptes ordinateur des contrôleurs de domaine.