Pass-the-Hash (PtH)

Définition

Le Pass-the-Hash (PtH) est une technique offensive fondamentale exploitant le hachage NTLM d'un compte compromis pour s'authentifier auprès d'un service Windows sans jamais connaître ni casser le mot de passe en clair correspondant. Cette technique tire parti d'une caractéristique structurelle du protocole NTLM : lors de l'échange challenge-response, le client calcule sa réponse directement à partir du hachage NTLM stocké en mémoire ou dans la base SAM, ce qui signifie que le mot de passe en clair n'est jamais réellement nécessaire à l'opération, seul le hachage suffisant à générer une réponse valide. Un attaquant ayant extrait un hachage NTLM via credential dumping, par exemple avec Mimikatz depuis le processus LSASS ou depuis une copie de la base SAM, peut ainsi l'injecter directement dans une nouvelle session d'authentification pour accéder à tout service acceptant NTLM sous l'identité de la victime. Le Pass-the-Hash constitue historiquement la base du mouvement latéral en environnement Windows, particulièrement redoutable lorsqu'un mot de passe administrateur local identique est partagé sur l'ensemble d'un parc informatique. Les contre-mesures principales incluent le déploiement de LAPS pour garantir l'unicité des mots de passe locaux, l'activation de Credential Guard qui isole les secrets d'authentification, et l'appartenance au groupe Protected Users, qui empêche l'usage de NTLM pour les comptes sensibles.

Principe de fonctionnement

Le Pass-the-Hash exploite une faiblesse structurelle du protocole NTLM : le condensat stocké est un simple MD4 du mot de passe, sans sel ni itération. Lors du défi-réponse, le mot de passe en clair n'est jamais transmis ; seule la connaissance du hachage est prouvée. Le condensat devient un équivalent du secret : inutile de le casser, il suffit de l'injecter dans une session ouverte.

Les hachages résident en mémoire du processus LSASS, dans la base SAM locale ou dans NTDS.dit sur un contrôleur de domaine. C'est ce qui fait du PtH le socle du mouvement latéral Windows.

Utilisation offensive

Après élévation locale, l'attaquant extrait les condensats avec Mimikatz (sekurlsa::logonpasswords), puis rejoue le hachage via sekurlsa::pth, CrackMapExec, NetExec ou psexec.py. Un compte administrateur local partagé entre postes permet un rebond immédiat sur tout le parc.

OverPass-the-Hash : le hachage NTLM sert à obtenir un TGT Kerberos, convertissant un secret NTLM en accès légitime.
Pass-the-Ticket : rejoue un ticket déjà émis, sans manipuler de condensat.

Détection et supervision

La détection repose sur des signaux corrélés plutôt que sur une signature unique :

Événements 4624 de type 3 avec paquet NTLM là où Kerberos devrait être utilisé.
Événements 4776 sur les contrôleurs de domaine, révélant des validations NTLM anormales.
Sysmon Event ID 10 : ouverture de handle sur LSASS par un processus illégitime.
Authentifications d'un même compte à privilèges vers de nombreux hôtes en quelques minutes, ou comptes leurres déclenchés.

Contre-mesures et durcissement

Au-delà de LAPS, de Credential Guard, du filtre UAC distant et de la neutralisation du RID 500, le durcissement repose sur l'isolation : groupe Protected Users, silos et stratégies d'authentification, restriction puis désactivation de NTLM par GPO, et cloisonnement de l'administration selon un modèle de tiers.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis