Pass-the-Ticket

Définition

Pass-the-Ticket (PTT) est une technique d'attaque sur Kerberos permettant à un attaquant d'utiliser un ticket Kerberos volé pour s'authentifier sur des ressources réseau sans connaître le mot de passe de l'utilisateur concerné. Contrairement à Pass-the-Hash qui cible NTLM, PTT exploite spécifiquement le protocole Kerberos utilisé dans les environnements Active Directory. Les tickets Kerberos sont de deux types : les TGT (Ticket Granting Tickets) qui permettent d'obtenir d'autres tickets de service, et les TGS (Ticket Granting Service) qui donnent accès à des services spécifiques. Mimikatz peut extraire ces tickets de la mémoire LSASS (kerberos::list pour lister, sekurlsa::tickets /export pour les exporter), puis les injecter dans une nouvelle session (kerberos::ptt ticket.kirbi). Les Golden Tickets et Silver Tickets sont des variantes avancées de PTT. Un Golden Ticket est un TGT forgé utilisant le hachage NTLM du compte KRBTGT (le compte spécial de Kerberos dans l'AD), permettant de créer des tickets d'authentification valides pour n'importe quel compte avec n'importe quels privilèges, avec une durée de validité arbitraire. Un Silver Ticket utilise le hachage d'un compte de service pour créer un TGS forgé donnant accès à un service spécifique sans passer par le KDC. L'attaque DCSync de Mimikatz (lsadump::dcsync /domain:domaine.fr /user:krbtgt) permet d'extraire le hachage KRBTGT sans accéder physiquement au contrôleur de domaine. Une fois ce hachage obtenu, la création d'un Golden Ticket offre une persistance quasi-indéfinie dans l'Active Directory : même en réinitialisant tous les mots de passe utilisateurs, le Golden Ticket reste valide jusqu'à la double réinitialisation du mot de passe KRBTGT. La détection de PTT et des Golden/Silver Tickets nécessite une surveillance spécifique des événements Kerberos : les tickets avec des durées de vie anormalement longues (>10h), les tickets utilisant des algorithmes de chiffrement inhabituels, et les tickets pour des comptes inexistants déclenchent des alertes dans les SIEM configurés avec des règles de détection Kerberos.