Pass-the-Hash Attack (attaque PTH)

hacking

Définition

L'attaque Pass-the-Hash, ou PtH, exploite une caractéristique fondamentale du protocole d'authentification NTLM de Windows, qui accepte le hachage cryptographique du mot de passe d'un compte directement comme preuve d'identité valide, sans jamais exiger la connaissance du mot de passe en clair sous-jacent pour s'authentifier avec succès sur un service ou une machine distante. Un attaquant ayant préalablement compromis une machine peut extraire les hachages NTLM des comptes actuellement ou récemment connectés directement depuis la mémoire du processus critique LSASS (Local Security Authority Subsystem Service), en s'appuyant sur des outils spécialisés comme Mimikatz via sa commande sekurlsa::logonpasswords, ou en effectuant un dump complet de la mémoire du processus pour une analyse ultérieure hors ligne. Une fois ce hash extrait, l'attaquant peut l'utiliser directement pour s'authentifier sur d'autres machines du réseau acceptant le même compte, sans jamais avoir besoin de le déchiffrer ou de le casser, ce qui rend cette technique redoutablement efficace pour un mouvement latéral rapide dans un environnement Active Directory où les mêmes comptes administrateurs locaux sont fréquemment réutilisés sur de multiples machines. La contre-mesure de référence est la fonctionnalité Windows LAPS, qui garantit un mot de passe administrateur local unique et automatiquement renouvelé sur chaque machine du parc.

Description

L'attaque Pass-the-Hash exploite le protocole NTLM de Windows, qui accepte le hachage du mot de passe directement comme preuve d'identité. Un attaquant extrait les hachages NTLM depuis la mémoire LSASS et les réutilise pour s'authentifier sur d'autres systèmes sans connaître le mot de passe en clair.

Exploitation

Mimikatz (sekurlsa::logonpasswords) ou secretsdump d'Impacket extraient les hachages NTLM. Ces hachages sont directement utilisables pour SMB, RDP ou WMI, permettant le mouvement latéral à travers tout un domaine Windows.

Défense

Déployer LAPS (Local Administrator Password Solution) pour randomiser les mots de passe administrateurs locaux
Activer Credential Guard basé sur la virtualisation pour protéger LSASS
Ajouter les comptes sensibles au groupe Protected Users pour désactiver l'authentification NTLM

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis