PPL (Protected Process Light)

Définition

PPL (Protected Process Light) est un mécanisme de protection introduit par Microsoft à partir de Windows 8.1 et Windows Server 2012 R2, qui établit une hiérarchie de niveaux de confiance entre processus Windows afin de restreindre les capacités d'accès, de débogage et de terminaison d'un processus par un autre processus de niveau de protection inférieur ou égal, même lorsque ce dernier s'exécute avec des privilèges administrateur complets. Chaque processus protégé se voit assigner un niveau (WinTcb, WinSystem, Antimalware, etc.) déterminant sa position dans cette hiérarchie, un signataire numérique légitime étant requis pour obtenir un niveau élevé. Appliqué au processus LSASS, qui héberge en mémoire les credentials des sessions actives, PPL empêche des outils comme Mimikatz de s'attacher directement au processus via les API standard OpenProcess pour en extraire le contenu, même depuis un compte administrateur local, car Mimikatz ne dispose pas des privilèges de signature nécessaires pour interagir avec un processus protégé de niveau supérieur. L'activation de PPL sur LSASS s'effectue via la clé de registre RunAsPPL sous HKLM\SYSTEM\CurrentControlSet\Control\Lsa. Cette protection reste toutefois contournable par des techniques avancées de chargement de pilote signé vulnérable (BYOVD, Bring Your Own Vulnerable Driver) permettant d'exécuter du code en mode noyau, ce qui souligne l'importance de la combiner avec Credential Guard et une liste de blocage de pilotes vulnérables.