LAPS Bypass

Définition

LAPS (Local Administrator Password Solution) est un outil Microsoft qui gère automatiquement les mots de passe des comptes administrateurs locaux sur les machines jointes au domaine, en les faisant expirer et en les changeant régulièrement. LAPS stocke les mots de passe dans l'attribut AD ms-Mcs-AdmPwd de l'objet Computer et les expose uniquement aux groupes AD autorisés. Des techniques de bypass LAPS permettent à un attaquant de récupérer ces mots de passe ou de persister malgré leur rotation. Les principales techniques de bypass LAPS : 1) Lecture directe de ms-Mcs-AdmPwd — si des ACE excessifs accordent la lecture de cet attribut à des comptes non-administratifs (erreur de configuration fréquente), n'importe quel utilisateur du groupe peut lire tous les mots de passe LAPS ; 2) Dump de la base AD NTDS.dit — les mots de passe LAPS sont stockés en clair dans NTDS.dit et lisibles après un DCSync ou un dump complet ; 3) Identification des machines sans LAPS — SharpLAPS ou LAPSToolkit listent les machines sans LAPS déployé (ms-Mcs-AdmPwd vide) qui peuvent utiliser des mots de passe locaux faibles ou par défaut ; 4) LAPS_bypass via le compte AD — si l'attaquant peut modifier l'objet Computer (GenericWrite), il peut vider l'attribut ms-Mcs-AdmPwdExpirationTime pour forcer une expiration immédiate et lire le nouveau mot de passe avant qu'il soit changé. LAPSv2 (Windows LAPS, intégré à Windows depuis 2023) ajoute le chiffrement des mots de passe dans AD (ms-LAPS-Password chiffré avec les clés DPAPI du domaine), renforçant significativement la protection contre la lecture directe depuis NTDS.