Lateral Movement

hacking

Définition

Le Lateral Movement, ou mouvement latéral, désigne la phase d'une attaque au cours de laquelle un adversaire, ayant déjà compromis un premier système, se déplace vers d'autres systèmes du réseau interne afin d'étendre progressivement son accès jusqu'à atteindre ses objectifs finaux, qu'il s'agisse de données sensibles spécifiques, de systèmes de sauvegarde à neutraliser avant un chiffrement massif, ou du contrôleur de domaine Active Directory offrant une prise de contrôle totale sur l'ensemble de l'environnement. Cette phase intervient typiquement après l'accès initial et l'établissement d'une persistance, et s'appuie sur des techniques variées documentées dans la matrice MITRE ATT&CK : exploitation de partages réseau administratifs et de credentials volés pour se connecter à distance via RDP, WMI ou PsExec, réutilisation de tickets Kerberos volés en mémoire pour des attaques Pass-the-Ticket ou Pass-the-Hash, exploitation de relations de confiance entre systèmes ou domaines, et abus d'outils d'administration légitimes déjà présents sur l'environnement, une approche dite de living off the land qui limite la détection par les outils antivirus traditionnels. La détection du mouvement latéral repose sur la surveillance des connexions internes atypiques entre postes ne communiquant normalement pas entre eux, l'analyse comportementale des comptes de service, et la corrélation d'événements d'authentification anormaux à travers un SIEM ou une solution NDR dédiée à la visibilité du trafic est-ouest.

2399 caractères, dans la fourchette. Contenu volontairement complémentaire de l'existant (pas de redite de PsExec/WMI/4624 type 3).

Principe de fonctionnement

Le lateral movement intervient après la compromission initiale : l'adversaire exploite la confiance implicite entre machines d'un domaine Active Directory pour rebondir. Son carburant n'est pas l'exploit mais l'authentification : secrets LSASS, condensats NTLM, tickets Kerberos, jetons d'accès. Chaque rebond alterne collecte de credentials, reconnaissance et élévation de privilèges jusqu'au contrôleur de domaine.

Utilisation en attaque

Abus Kerberos : Kerberoasting, délégation contrainte (S4U2Proxy), Silver et Golden Ticket.
Relais NTLM vers LDAP ou ADCS, sans jamais casser le mot de passe.
Détournement de session : vol de jetons, abus de named pipes, sessions RDP orphelines.
Voies non-Windows : clés SSH réutilisées, pivots SOCKS, consoles cloud via identités fédérées.

Outils associés

Mimikatz, Impacket (wmiexec.py, secretsdump.py), NetExec, Rubeus, Cobalt Strike et Sliver pour le pivot SMB, Ligolo-ng pour le tunneling. BloodHound cartographie les chemins les plus courts vers Domain Admins.

Détection et indicateurs

Création de services distants (7045) et de tâches planifiées (4698) sur des postes bureautiques.
Chiffrement Kerberos RC4 (etype 0x17) et demandes TGS massives, signature du Kerberoasting.
Logons explicites 4648 et attribution de privilèges sensibles 4672 hors serveurs d'administration.
Trafic est-ouest anormal : SMB poste-à-poste, WinRM inhabituel, pics DCE/RPC.

Contre-mesures

Segmentation et filtrage est-ouest, tiering administratif (Tier 0/1/2), LAPS pour des mots de passe d'administrateur local uniques, extinction de NTLM, Protected Users et Credential Guard, restriction des droits de logon par GPO. Un EDR corrélé à un SIEM et une architecture Zero Trust réduisent la surface de rebond.

Slugs référencés (à vérifier côté glossaire) : `active-directory`, `elevation-de-privileges`, `kerberos`, `mimikatz`, `cobalt-strike`, `bloodhound`, `edr`, `siem`, `zero-trust`.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis