WPAD Attack

Définition

L'attaque WPAD exploite le protocole de découverte automatique de proxy du même nom, en tirant parti de sa chaîne de résolution en cascade — DNS puis, en cas d'échec, diffusion via LLMNR et NBT-NS — pour rediriger le trafic HTTP des postes clients d'un réseau vers un serveur contrôlé par l'attaquant, se faisant passer pour le fournisseur légitime de la configuration de proxy. Concrètement, lorsqu'un poste Windows ne trouve pas d'enregistrement DNS wpad et se rabat sur une requête par diffusion, un attaquant présent sur le segment réseau, généralement via un outil comme Responder, répond positivement à cette requête et fournit un fichier de configuration de proxy (proxy.pac) malveillant, redirigeant l'ensemble du trafic HTTP de la victime vers un point de contrôle de l'attaquant. Ce détournement permet non seulement d'intercepter et d'analyser le trafic applicatif de la victime, mais surtout de capturer les authentifications NTLM transmises lors du processus de récupération de la configuration proxy elle-même, exploitables ensuite hors ligne ou en relais temps réel. Cette attaque ne nécessite aucune interaction utilisateur, la découverte WPAD étant un mécanisme entièrement automatique déclenché par le système d'exploitation sans validation explicite par l'utilisateur final. La désactivation de WPAD par GPO lorsqu'il n'est pas utilisé fonctionnellement, combinée à celle de LLMNR et NBT-NS, constitue la mitigation de référence contre ce vecteur.