Escalade via GPO abuse

Définition

L'escalade via GPO abuse désigne l'exploitation de permissions excessives accordées sur un objet de stratégie de groupe Active Directory, GPO, permettant à un attaquant disposant du droit de modifier ce GPO d'y injecter une configuration malveillante qui sera automatiquement appliquée à l'ensemble des postes et utilisateurs auxquels ce GPO est lié lors du prochain cycle de rafraîchissement des stratégies de groupe, un mécanisme périodique et automatique s'exécutant sans intervention utilisateur. Un attaquant disposant d'un tel droit, souvent délégué à des équipes de support technique décentralisées sans mesure de sa portée réelle, peut configurer un script exécuté au démarrage ou à l'ouverture de session sur l'ensemble des machines liées au GPO compromis, ou modifier les administrateurs locaux via une préférence de restriction de groupe, obtenant un accès privilégié automatisé sur un grand nombre de postes en une seule modification. Cette technique constitue un vecteur d'impact élevé car un GPO peut être lié à une unité organisationnelle entière regroupant des centaines voire des milliers de systèmes, démultipliant la portée d'une compromission initiale limitée. Pour les équipes défensives, la contre-mesure repose sur un audit rigoureux des permissions déléguées sur les objets de stratégie de groupe, en particulier ceux liés à des unités organisationnelles sensibles, et une revue systématique des délégations excessives non strictement justifiées.