Credential Guard Bypass

Définition

Windows Credential Guard est une fonctionnalité de sécurité de Windows 10/11 et Windows Server 2016+ qui utilise la virtualisation (Virtual Secure Mode - VSM) pour isoler les secrets d'authentification (hashes NTLM, tickets Kerberos) dans un environnement hyperviseur sécurisé, inaccessible aux processus standard même avec des privilèges SYSTEM. Les techniques de bypass tentent de contourner cette protection. Credential Guard protège les secrets de LSASS en les déplaçant dans un processus LsaIso qui s'exécute dans le Virtual Trust Level (VTL) 1, isolé du VTL 0 où s'exécute le kernel Windows normal. Même un processus avec des droits kernel dans VTL 0 ne peut pas accéder aux secrets dans VTL 1. Cette isolation est maintenue par le Secure Kernel et l'hyperviseur. Les tentatives de bypass documentées incluent : l'exploitation de vulnérabilités dans le Secure Kernel ou l'hyperviseur (rare et extrêmement complexe), la récupération des secrets avant qu'ils ne soient placés dans VTL 1 (intercepter les credentials lors d'une authentification fraîche avant leur sécurisation), les attaques de délégation Kerberos (Credential Guard ne protège pas contre tous les abus Kerberos — les tickets de service ne sont pas protégés de la même manière), et la désactivation de Credential Guard via des modifications du registre ou de la GPO (nécessite des droits admin). Un contournement pratique notable : Credential Guard ne protège pas les comptes qui utilisent NTLMv1 ou LAN Manager (LM) — ces protocoles obsolètes doivent être désactivés séparément. De plus, les credentials des comptes de service configurés avec des mots de passe statiques dans des applications peuvent être capturés via des hooks applicatifs même avec Credential Guard actif. Avec Credential Guard actif, Mimikatz lsadump::wdigest et sekurlsa::logonpasswords ne peuvent plus extraire les hashes et mots de passe clairs de LSASS.