Overpass-the-Hash

Définition

L'Overpass-the-Hash est une technique offensive convertissant un hachage NTLM ou une clé AES dérivée du mot de passe d'un compte compromis en un ticket Kerberos TGT (Ticket Granting Ticket) valide, sans jamais connaître le mot de passe en clair de la victime. Concrètement, l'attaquant utilise le hachage extrait via credential dumping pour effectuer une demande d'authentification initiale (AS-REQ) auprès du KDC comme le ferait un client légitime en possession de ce secret, obtenant ainsi un TGT parfaitement valide qu'il peut ensuite utiliser pour toute opération Kerberos ultérieure, y compris la demande de tickets de service (TGS). Cette technique présente un avantage opérationnel majeur par rapport au Pass-the-Hash classique, limité au protocole NTLM : elle continue de fonctionner même dans les environnements où NTLM est fortement restreint ou désactivé, puisqu'elle s'appuie entièrement sur l'écosystème Kerberos. Elle constitue de fait une variante spécifique du Pass-the-Hash, souvent regroupée sous l'appellation plus générale Pass-the-Key lorsqu'elle utilise directement une clé AES plutôt qu'un hachage RC4. Des outils comme Rubeus (commande asktgt) ou Impacket (getTGT.py) automatisent cette conversion. La détection repose sur la corrélation entre les types de chiffrement Kerberos observés dans les tickets et le comportement habituel du compte, ainsi que sur la surveillance des événements 4768 associés à des origines réseau atypiques.