Shadow Credentials

Définition

Shadow Credentials est une technique d'attaque et de persistance exploitant l'attribut Active Directory msDS-KeyCredentialLink, introduit pour supporter l'authentification par clé publique dans le cadre de Windows Hello for Business, afin d'associer une paire de clés cryptographiques contrôlée par l'attaquant à un compte cible, sans jamais modifier ni connaître son mot de passe. Un attaquant disposant d'un droit d'écriture sur cet attribut d'un compte, typiquement via GenericWrite ou GenericAll, peut y inscrire sa propre clé publique, puis utiliser la clé privée correspondante pour s'authentifier via Kerberos PKINIT en se faisant passer pour ce compte, une opération réalisée avec des outils comme Whisker ou Certipy (module shadow auto). Cette technique présente l'avantage offensif majeur de contourner totalement les mécanismes de protection centrés sur le mot de passe, comme les politiques de complexité ou les alertes de réinitialisation, puisqu'elle n'implique aucune modification de ce dernier ni du hachage NTLM associé au compte, réduisant significativement sa détectabilité par les outils de surveillance traditionnels. Shadow Credentials fonctionne aussi bien sur des comptes utilisateurs que sur des comptes ordinateurs, y compris pour établir une persistance discrète sur un contrôleur de domaine lui-même. La détection repose sur l'audit spécifique des modifications de l'attribut msDS-KeyCredentialLink, un point de contrôle encore trop rarement intégré aux stratégies de supervision Active Directory classiques.