Password Spraying

Définition

Le password spraying est une variante de l'attaque par force brute qui teste un petit nombre de mots de passe courants (souvent 1-5) contre un grand nombre de comptes, plutôt que de tester de nombreux mots de passe contre un seul compte. Cette approche contourne les mécanismes de verrouillage de compte (lockout) qui se déclenchent après N échecs successifs sur le même compte. La logique du password spraying : si une organisation a une politique de lockout après 5 tentatives échouées, tester 5 mots de passe différents contre 1000 comptes signifie qu'aucun compte ne sera verrouillé (chaque compte ne reçoit qu'une tentative par mot de passe), mais si 1% des comptes utilisent 'Automne2023!', cela donne 10 comptes compromis sans déclencher de lockout. Les mots de passe testés dans le password spraying sont choisis pour leur probabilité d'être utilisés : des mots de passe saisonniers (Printemps2024!, Hiver2024@), des patterns courants d'entreprise (NomEntreprise1!, Bienvenue1, P@ssword1), des mots de passe de bienvenue par défaut (Welcome1!, ChangeMe1!), et le nom de l'organisation avec des variations standard. Des outils dédiés incluent : Spray (PowerShell), MSOLSpray et CredMaster pour Microsoft 365 (exploitation des endpoints OWA, autodiscover, ADFS pour le spraying sans déclencher les alertes standard), Kerbrute pour le spraying Kerberos (qui ne génère pas d'événements de lockout 4740 mais génère des 4768 avec erreur), et o365spray pour Office 365. Le password spraying est classé T1110.003 dans MITRE ATT&CK et est documenté dans des attaques réelles d'APT russes (SVR, APT28) contre des organisations gouvernementales et du secteur privé occidental.