Password Spray AD

Définition

Le password spray est une technique d'attaque par force brute inversée ciblant l'authentification Active Directory ou Azure AD, dans laquelle l'attaquant teste un nombre restreint de mots de passe fréquemment utilisés, comme des variantes saisonnières ou des mots de passe par défaut, contre un très grand nombre de comptes utilisateurs distincts, plutôt que de tester exhaustivement de nombreux mots de passe contre un seul compte. Cette approche permet de contourner les politiques de verrouillage de compte (Account Lockout Policy) qui bloquent un compte après un nombre limité de tentatives échouées consécutives, puisque chaque compte individuel ne reçoit qu'une ou deux tentatives par cycle d'attaque, généralement espacées de plusieurs minutes ou heures pour rester sous le seuil de détection. Les outils courants incluent Kerbrute, qui exploite le protocole Kerberos pré-authentification pour tester les mots de passe sans générer d'événements de connexion classiques, ainsi que des scripts ciblant les portails d'authentification Azure AD comme les endpoints Office 365. Référencée sous MITRE ATT&CK T1110.003, cette technique reste l'une des causes premières de compromission initiale en environnement d'entreprise. Les contre-mesures principales incluent l'authentification multifacteur, les politiques de mot de passe robustes conformes aux recommandations NIST ou ANSSI, la surveillance des échecs d'authentification distribués via Event ID 4625, et le smart lockout d'Azure AD.