PSExec

Définition

PsExec est un utilitaire de la suite Sysinternals de Microsoft, développé initialement par Mark Russinovich, permettant d'exécuter des commandes ou des programmes sur un système Windows distant via le protocole SMB, sans nécessiter d'agent préinstallé. Son fonctionnement repose sur le dépôt d'un exécutable sur le partage administratif ADMIN$ de la machine cible, suivi de la création d'un service Windows temporaire (généralement nommé PSEXESVC) via l'API Service Control Manager, qui exécute la commande demandée avec les privilèges du compte utilisé pour l'authentification. Dans le contexte des tests d'intrusion Active Directory, PsExec et ses réimplémentations en langage Python, notamment psexec.py de la suite Impacket, sont massivement employés pour le mouvement latéral une fois des identifiants ou des hashes NTLM valides obtenus. L'outil nécessite un accès administrateur local sur la machine cible et génère des artefacts caractéristiques exploitables en détection : création de service dans les journaux d'événements (Event ID 7045), écriture sur ADMIN$, et connexion réseau de type 3. MITRE ATT&CK référence cette technique sous T1021.002 (Remote Services: SMB/Windows Admin Shares). La détection s'appuie sur la corrélation de ces événements avec les outils EDR et la surveillance des connexions SMB anormales entre postes de travail.

Fonctionnement technique

PsExec : 1) Connexion SMB admin$ avec credentials. 2) Copie PSEXESVC.exe dans C:\Windows. 3) Création service PSEXESVC via SC manager. 4) Démarrage service → exécution commande. 5) Retour résultat via named pipe. 6) Suppression service. Impacket psexec.py utilise un service avec un nom aléatoire pour l'OPSEC.

Détection

Event ID 7045 : nouveau service installé (PSEXESVC ou nom aléatoire)
Event ID 4624 Type 3 : connexion SMB admin$
Event ID 4697 : service installé
Sysmon Event 1 : création processus depuis service

Mitigation

LAPS : mots de passe admin locaux différents sur chaque machine
Firewall : bloquer SMB entre workstations
AppLocker/WDAC : empêcher installation de services non signés

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis