Kerberoasting (Attaque Kerberos — hacking AD)

Définition

Le Kerberoasting est une technique d'attaque post-exploitation ciblant l'authentification Kerberos dans les environnements Active Directory. Tout compte de domaine authentifié peut demander des tickets de service (TGS) pour n'importe quel Service Principal Name (SPN) enregistré dans l'AD. Ces tickets sont chiffrés avec le hachage du mot de passe du compte de service associé au SPN. L'attaquant extrait ces tickets via Mimikatz, Rubeus ou Impacket GetUserSPNs.py et les soumet à une attaque offline par dictionnaire ou brute force avec Hashcat ou John the Ripper. Les comptes de service avec des mots de passe faibles et des SPNs enregistrés sont particulièrement vulnérables. La remédiation implique l'utilisation de mots de passe longs (25+ caractères) pour tous les comptes de service, l'adoption de Group Managed Service Accounts (gMSA) qui gèrent automatiquement la rotation des mots de passe, et la surveillance des événements Windows 4769 pour détecter des demandes de TGS anormales indiquant une reconnaissance en cours.