Attaque Skeleton Key

Définition

Le Skeleton Key désigne une technique d'attaque consistant à implanter un correctif malveillant en mémoire sur un contrôleur de domaine Active Directory pour modifier le comportement du processus d'authentification, de sorte qu'il accepte à la fois le mot de passe légitime de chaque utilisateur et un mot de passe maître unique défini par l'attaquant, sans que le mot de passe légitime des comptes ne soit modifié ni que les utilisateurs ne remarquent la moindre anomalie dans leur usage quotidien. Une fois cette porte dérobée en place, l'attaquant peut s'authentifier en tant que n'importe quel utilisateur du domaine, y compris des comptes à privilèges élevés, en utilisant simplement le mot de passe maître implanté, offrant un accès universel discret tant que le contrôleur de domaine compromis n'est pas redémarré, la modification résidant uniquement en mémoire et ne survivant pas à un redémarrage du service. Cette technique nécessite au préalable des privilèges administrateur sur le contrôleur de domaine ciblé, ce qui en fait généralement une technique de post-exploitation avancée plutôt qu'un vecteur d'accès initial. Pour les équipes défensives, la détection repose sur la surveillance des événements associés à l'injection de code dans le processus d'authentification du contrôleur de domaine, l'analyse comportementale des authentifications suspectes provenant de sources inhabituelles pour des comptes à privilèges, et l'application stricte de l'authentification multifacteur qui neutralise l'intérêt d'un mot de passe maître seul.