Pass-the-Hash Attack (Attaque PTH — hacking)

Définition

L'attaque Pass-the-Hash (PtH) exploite le protocole d'authentification NTLM de Windows, qui accepte le hachage du mot de passe directement comme preuve d'identité, sans nécessiter le mot de passe en clair. Un attaquant ayant compromis une machine peut extraire les hachages NTLM des comptes connectés depuis la mémoire du processus LSASS via des outils comme Mimikatz (sekurlsa::logonpasswords) ou secretsdump d'Impacket. Ces hachages peuvent ensuite être directement réutilisés pour s'authentifier sur d'autres systèmes du réseau partageant les mêmes credentials. Cette technique est particulièrement efficace dans les environnements où les administrateurs locaux utilisent le même mot de passe sur plusieurs machines. Microsoft a répondu avec Protected Users Security Group, Credential Guard basé sur la virtualisation, et LAPS (Local Administrator Password Solution) qui randomise les mots de passe administrateurs locaux. La segmentation réseau et le principe du moindre privilège limitent l'impact d'une compromission par PtH.