Manipulation de jeton d'accès Windows (token manipulation)

Définition

La manipulation de jeton d'accès Windows, ou token manipulation, désigne une technique de post-exploitation exploitant le mécanisme par lequel Windows représente les privilèges d'un processus ou d'un thread sous forme d'un objet appelé jeton d'accès, contenant l'identité de l'utilisateur et l'ensemble de ses appartenances à des groupes et privilèges. Un attaquant disposant des droits nécessaires peut dérober le jeton d'accès d'un processus s'exécutant avec des privilèges plus élevés que les siens, généralement en usurpant l'identité d'un utilisateur déjà connecté au système, puis l'attacher à son propre processus ou thread pour hériter immédiatement de ce niveau de privilège supérieur, sans avoir besoin de connaître le mot de passe de l'utilisateur usurpé ni d'exploiter une vulnérabilité logicielle distincte. Cette technique est répertoriée sous l'identifiant T1134 du référentiel MITRE ATT&CK et se décline en plusieurs variantes, incluant la duplication de jeton et la création de processus sous un jeton emprunté. Elle constitue une méthode d'élévation de privilèges locale particulièrement discrète car elle n'implique aucune modification persistante du système. Pour les équipes défensives, la détection repose sur la surveillance des appels aux fonctions Windows associées à la manipulation de jetons, en particulier les événements d'audit de sécurité liés à l'usurpation d'identité de processus, et sur l'application stricte du principe du moindre privilège limitant le nombre de comptes disposant des droits nécessaires à cette manipulation.