Exploitation de GPP passwords

Définition

L'exploitation de GPP passwords désigne l'abus d'une faiblesse historique des préférences de stratégie de groupe Active Directory, une fonctionnalité ayant permis pendant des années aux administrateurs de définir des paramètres de configuration incluant parfois des mots de passe, comme celui d'un compte administrateur local déployé uniformément sur un parc de postes, ces mots de passe étant alors chiffrés avec une clé de chiffrement statique documentée publiquement par l'éditeur, la même pour l'ensemble des déploiements Windows dans le monde. Cette clé étant identique et connue de tous, tout compte disposant d'un accès en lecture au partage réseau contenant les fichiers de préférences de stratégie de groupe, un accès accordé par défaut à l'ensemble des membres authentifiés du domaine, pouvait déchiffrer instantanément n'importe quel mot de passe déployé via ce mécanisme, offrant potentiellement un accès administrateur local à l'ensemble des postes ayant reçu cette configuration. Bien que le mécanisme ait été officiellement déprécié depuis plusieurs années, des fichiers de préférences historiques contenant des mots de passe chiffrés restent encore fréquemment retrouvés sur des partages réseau d'organisations n'ayant jamais nettoyé leur configuration héritée. Pour les équipes défensives, la contre-mesure consiste à rechercher et supprimer systématiquement tout fichier de préférences historique contenant un mot de passe, et à changer immédiatement tout mot de passe ayant pu être exposé de cette manière par le passé.