PowerSploit

Définition

PowerSploit désigne une collection open source de modules PowerShell dédiés aux différentes phases d'un test d'intrusion en environnement Windows, couvrant historiquement la reconnaissance post-exploitation, l'extraction de secrets en mémoire, la persistance, l'évasion de détection et l'élévation de privilèges, chaque module exploitant les capacités natives et légitimes de PowerShell profondément intégrées à Windows pour réaliser ses opérations sans nécessiter de compiler ou de déposer un exécutable externe distinct sur le système ciblé. Cette approche s'inscrit dans la philosophie plus large connue sous le nom de living off the land, consistant à s'appuyer sur des outils déjà présents et considérés comme légitimes par le système d'exploitation plutôt que d'introduire des binaires étrangers plus facilement repérables par les solutions de sécurité traditionnelles fondées sur la réputation de fichier. PowerSploit a fortement influencé l'écosystème des outils offensifs PowerShell qui lui ont succédé, mais son usage a également conduit les éditeurs de sécurité à développer des signatures de détection spécifiquement dédiées à ses modules les plus emblématiques au fil du temps, réduisant sa discrétion pour un usage non modifié. Pour les équipes défensives, la contre-mesure principale repose sur l'activation de la journalisation avancée des blocs de script PowerShell, la restriction de l'exécution de scripts non signés via une politique d'exécution stricte, et la surveillance comportementale de PowerShell interagissant avec la mémoire d'autres processus ou manipulant des jetons d'accès.