Kerberoasting
adDéfinition
Technique d'attaque Active Directory qui exploite le protocole Kerberos pour extraire les tickets de service (TGS) contenant les hashs de mots de passe des comptes de service. L'attaquant demande un ticket pour un Service Principal Name (SPN) puis effectue un brute-force hors-ligne sur le hash RC4/AES.
Fonctionnement technique
L'attaquant authentifié demande un TGS pour chaque SPN enregistré dans l'AD. Le KDC chiffre la partie du ticket avec le hash du compte de service. L'attaquant extrait ce hash et le crack hors-ligne avec hashcat ou John the Ripper.
Outils
- Rubeus : kerberoast automatisé (.NET)
- Impacket : GetUserSPNs.py (Python)
- BloodHound : identification des cibles Kerberoastable
Détection & Mitigation
- Mots de passe de service > 25 caractères aléatoires
- Utiliser des comptes gMSA (Group Managed Service Accounts)
- Surveiller l'Event ID 4769 avec chiffrement RC4 (type 0x17)
- Désactiver RC4 au profit d'AES-256
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis