Kerberoasting
adDéfinition
Le Kerberoasting est une technique d'attaque post-exploitation ciblant l'authentification Kerberos dans les environnements Active Directory. Tout compte de domaine authentifié peut demander des tickets de service (TGS) pour n'importe quel Service Principal Name (SPN) enregistré dans l'AD. Ces tickets sont chiffrés avec le hachage du mot de passe du compte de service associé au SPN. L'attaquant extrait ces tickets (via Mimikatz, Rubeus ou Impacket GetUserSPNs.py) et les soumet à une attaque offline par dictionnaire ou brute force avec des outils comme Hashcat ou John the Ripper. Les comptes de service avec des mots de passe faibles et des SPNs enregistrés sont particulièrement vulnérables. La remédiation implique l'utilisation de mots de passe longs (25+ caractères) pour tous les comptes de service, l'adoption de Group Managed Service Accounts (gMSA) qui gèrent automatiquement la rotation des mots de passe, et la surveillance des événements 4769 pour détecter des demandes de TGS anormales.
Fonctionnement technique
L'attaquant authentifié demande un TGS pour chaque SPN enregistré dans l'AD. Le KDC chiffre la partie du ticket avec le hash du compte de service. L'attaquant extrait ce hash et le crack hors-ligne avec hashcat ou John the Ripper.
Outils
- Rubeus : kerberoast automatisé (.NET)
- Impacket : GetUserSPNs.py (Python)
- BloodHound : identification des cibles Kerberoastable
Détection & Mitigation
- Mots de passe de service > 25 caractères aléatoires
- Utiliser des comptes gMSA (Group Managed Service Accounts)
- Surveiller l'Event ID 4769 avec chiffrement RC4 (type 0x17)
- Désactiver RC4 au profit d'AES-256
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis