Mimikatz DPAPIng

Définition

Mimikatz DPAPIng désigne l'ensemble des fonctionnalités du module dpapi de l'outil Mimikatz dédiées à l'extraction et au déchiffrement des secrets protégés par DPAPI (Data Protection API), le mécanisme cryptographique natif de Windows utilisé par de très nombreuses applications, notamment les navigateurs Chrome et Edge pour les mots de passe enregistrés, le Gestionnaire d'identification Windows, les certificats avec clé privée non exportable, ou les fichiers de configuration VPN, pour chiffrer des données sensibles en s'appuyant sur le mot de passe de l'utilisateur comme racine de confiance. Sur un poste de travail, la commande sekurlsa::dpapi extrait directement de la mémoire du processus LSASS les clés maîtresses (masterkeys) déchiffrées en session active, permettant de déchiffrer sans effort supplémentaire l'ensemble des secrets DPAPI de l'utilisateur connecté. Dans un contexte Active Directory, DPAPI dispose d'un mécanisme de recouvrement centralisé via une clé de sauvegarde de domaine (Domain Backup Key), générée automatiquement pour chaque domaine et stockée de manière protégée sur les contrôleurs de domaine : un attaquant disposant de droits d'administrateur de domaine peut, via la commande lsadump::backupkeys, extraire cette clé maîtresse et déchiffrer hors ligne les secrets DPAPI de n'importe quel utilisateur du domaine, y compris ceux d'un poste jamais directement compromis, ce qui en fait une technique de post-exploitation particulièrement puissante référencée sous MITRE ATT&CK T1555.003.