SAM Database Extraction

Définition

La SAM Database Extraction est une technique post-exploitation consistant à récupérer les hashes de mots de passe locaux stockés dans la base SAM (Security Account Manager) de Windows, localisée dans la ruche de registre HKLM\SAM. Ces hashes, au format NTLM, sont chiffrés à l'aide d'une clé de démarrage stockée dans la ruche SYSTEM (bootkey), ce qui impose à l'attaquant d'extraire les deux ruches conjointement pour pouvoir déchiffrer les mots de passe. L'accès direct au fichier SAM étant verrouillé tant que le système d'exploitation tourne, les techniques classiques passent par la copie des clichés instantanés de volume via vssadmin, l'utilisation de reg save sur les deux ruches, ou l'extraction directe en mémoire via des outils comme Mimikatz, secretsdump.py de la suite Impacket, ou pwdump. Une fois extraits, les hashes NTLM peuvent être soumis à une attaque par force brute ou dictionnaire hors ligne avec hashcat ou John the Ripper, ou réutilisés directement dans une attaque Pass-the-Hash sans jamais être déchiffrés. Cette technique correspond à la tactique Credential Access du framework MITRE ATT&CK, sous-technique T1003.002 OS Credential Dumping: Security Account Manager, et nécessite des privilèges administrateur local ou SYSTEM sur la machine ciblée.