Extraction de secrets LSA (LSA secrets dump)

Définition

L'extraction de secrets LSA désigne une technique de post-exploitation consistant à récupérer le contenu d'une zone protégée de la base de registre Windows, gérée par le sous-système Local Security Authority, dans laquelle le système d'exploitation stocke un ensemble varié de secrets nécessaires à son fonctionnement automatisé : mots de passe de comptes de service configurés pour un démarrage automatique, identifiants utilisés pour des connexions automatiques au démarrage de session, clés de mise en cache utilisées pour la connexion hors ligne aux domaines, et parfois des mots de passe d'applications tierces ayant choisi ce mécanisme de stockage protégé plutôt qu'une solution de gestion de secrets dédiée. Bien que ces secrets soient chiffrés au repos par le système, un attaquant disposant de privilèges administrateur locaux dispose également des moyens nécessaires pour déchiffrer ces valeurs, ce niveau de privilège étant précisément celui requis pour accéder normalement à cette zone protégée du registre. L'extraction de ces secrets constitue une étape de mouvement latéral particulièrement efficace lorsqu'un compte de service à privilèges élevés y est découvert, ce compte étant potentiellement réutilisé sur d'autres systèmes de l'infrastructure. Pour les équipes défensives, la contre-mesure repose sur la limitation stricte du nombre de comptes disposant de privilèges administrateur locaux, l'usage de comptes de service gérés avec rotation automatique, et la journalisation des accès à cette zone protégée du registre par des processus non système.