Kerbrute

Définition

Kerbrute désigne un outil open source spécialisé dans l'énumération et l'attaque de comptes utilisateurs Active Directory via le protocole d'authentification Kerberos, exploitant une particularité de ce protocole permettant de distinguer un nom d'utilisateur valide d'un nom invalide à partir de la seule réponse renvoyée par le contrôleur de domaine à une pré-authentification Kerberos, sans jamais nécessiter de tentative de connexion complète ni générer d'événement d'échec d'authentification classique sur le compte testé. Cette caractéristique rend l'énumération d'utilisateurs via Kerbrute particulièrement discrète comparée à une énumération classique via un portail web ou un service SMB, puisqu'elle ne déclenche pas les mécanismes de verrouillage de compte associés aux tentatives d'authentification échouées habituelles. L'outil peut également mener des attaques de vaporisation de mots de passe en testant un nombre limité de mots de passe courants contre une large liste de comptes préalablement identifiés comme valides, une approche conçue pour rester sous les seuils de détection classiques basés sur le nombre de tentatives échouées par compte individuel. Pour les équipes défensives, la détection repose sur la surveillance des événements Kerberos associés aux échecs de pré-authentification, en particulier l'identifiant d'événement Windows 4768 avec un code d'échec spécifique, et sur la mise en place d'une politique de verrouillage tenant compte du volume global de tentatives réparties sur de nombreux comptes distincts.