Usurpation de pipe nommé (named pipe impersonation)

Définition

L'usurpation de pipe nommé désigne une technique d'élévation de privilèges exploitant le mécanisme de communication interprocessus Windows fondé sur les tuyaux nommés, à travers lequel un serveur peut, après avoir accepté la connexion d'un client, usurper temporairement le contexte de sécurité de ce client afin d'exécuter des opérations en son nom, un mécanisme légitime destiné à faciliter certaines interactions entre processus. Un attaquant contrôlant le côté serveur d'un tuyau nommé peut inciter, par différents moyens, un processus s'exécutant avec des privilèges élevés à s'y connecter en tant que client, puis usurper son contexte de sécurité une fois la connexion établie, obtenant ainsi les privilèges de ce processus cible sans avoir eu besoin de le compromettre directement. Cette technique a notamment été popularisée par des outils d'exploitation dédiés automatisant la création du tuyau piégé et l'attente d'une connexion privilégiée exploitable, rendant son exécution pratique relativement accessible une fois le principe compris. Elle constitue une méthode d'élévation de privilèges locale fréquemment observée en environnement Windows lorsqu'un attaquant dispose déjà d'un accès initial à faibles privilèges. Pour les équipes défensives, la détection repose sur la surveillance de la création de tuyaux nommés par des processus non système, et sur l'application de correctifs limitant les connexions privilégiées automatiques susceptibles d'être détournées vers un tuyau contrôlé par un attaquant.