MS-EFSRPC

Définition

MS-EFSRPC (Encrypting File System Remote Protocol) est un protocole RPC Windows conçu pour permettre l'exécution à distance d'opérations liées au chiffrement de fichiers via EFS (Encrypting File System), notamment l'ouverture, la lecture et l'écriture de fichiers chiffrés stockés sur un partage réseau distant. La technique d'attaque PetitPotam, publiée en 2021, exploite plusieurs méthodes exposées par MS-EFSRPC, en particulier EfsRpcOpenFileRaw, pour forcer un contrôleur de domaine ou tout serveur Windows exposant ce protocole à initier une authentification NTLM vers une machine arbitraire choisie par l'attaquant, sans nécessiter d'authentification préalable dans sa version originale la plus simple à exploiter. Cette forme de coercion non authentifiée (unauthenticated coerce) constitue une caractéristique particulièrement critique, puisqu'elle rend l'attaque exploitable par tout attaquant disposant d'un simple accès réseau au serveur ciblé, sans nécessiter le moindre compte de domaine valide dans certaines conditions de configuration. L'authentification NTLM ainsi déclenchée peut être capturée pour cassage hors ligne ou, plus dangereusement, relayée en temps réel via NTLM Relay vers les points d'inscription web d'AD CS, permettant d'obtenir un certificat au nom du contrôleur de domaine coercé et d'exécuter ensuite une attaque DCSync. Les mitigations combinent la désactivation d'EFS lorsqu'il n'est pas requis fonctionnellement, l'imposition du LDAP Signing et du LDAP Channel Binding, et l'application des correctifs Microsoft partiels publiés en réponse.