Credential Harvesting

Définition

La récolte de credentials (Credential Harvesting) désigne l'ensemble des techniques permettant de collecter des identifiants, mots de passe, et autres secrets d'authentification depuis un système compromis ou en interceptant des flux de communication. C'est une phase critique de la post-exploitation car les credentials obtenus permettent le mouvement latéral et l'escalade de privilèges. Les sources de credentials sur un système Windows comprennent : la mémoire LSASS (hashes NTLM, mots de passe en clair pour WDigest sur systèmes anciens, tickets Kerberos), les bases SAM (Security Account Manager — hashes des comptes locaux), NTDS.dit sur les contrôleurs de domaine (tous les hashes AD), les coffres-forts d'identifiants Windows (Credential Manager), les fichiers de configuration (web.config, .env, database.properties), les historiques de shells (PowerShell, Bash), les gestionnaires de mots de passe (KeePass, 1Password locaux), et les navigateurs (cookies, mots de passe enregistrés). Des outils spécialisés couvrent chaque source : Mimikatz pour LSASS et SAM, impacket secretsdump.py pour NTDS.dit/SAM à distance, LaZagne pour les mots de passe d'applications (navigateurs, clients FTP, clients mail, clients SSH), SharpChrome et SharpDPAPI pour les secrets Chromium/DPAPI, SharpWeb pour les mots de passe des navigateurs, et Get-GPPPassword pour les mots de passe stockés dans les préférences de GPO (Group Policy Preferences). Les techniques avancées incluent : le DPAPI (Data Protection API) dump — Windows DPAPI protège de nombreux secrets (navigateurs, Credential Manager, WPA2 passwords) avec la clé dérivée du mot de passe de l'utilisateur — avec la clé master ou le hash NTLM du compte, tous les secrets DPAPI peuvent être déchiffrés.