PowerShell Remoting AD

Définition

PowerShell Remoting est une fonctionnalité Windows permettant d'exécuter des commandes et scripts PowerShell à distance sur une machine cible, en s'appuyant nativement sur le protocole WinRM (Windows Remote Management), lui-même implémentant la spécification WS-Management sur les ports TCP 5985 en HTTP et 5986 en HTTPS. Fonctionnalité d'administration légitime largement utilisée pour la gestion centralisée de parcs de serveurs Windows via des commandes comme Enter-PSSession pour une session interactive ou Invoke-Command pour une exécution en masse sur plusieurs machines simultanément, PowerShell Remoting constitue également une technique de mouvement latéral bien documentée en environnement Active Directory : un attaquant disposant d'identifiants valides, obtenus par exemple via Pass-the-Hash ou vol de credentials, et dont le compte appartient au groupe local Remote Management Users ou Administrators de la machine cible, peut exécuter du code arbitraire à distance sans nécessiter d'outil offensif spécialisé, WinRM étant activé par défaut sur de nombreux serveurs Windows Server. Cette technique présente l'avantage opérationnel de s'appuyer exclusivement sur des outils d'administration natifs, réduisant la probabilité de détection par des signatures ciblant des outils offensifs classiques comme Mimikatz ou Impacket. La surveillance des connexions WinRM inhabituelles, notamment via les journaux d'événements dédiés et l'Event ID 4624 avec type de connexion Remote Interactive, constitue une piste de détection recommandée.