Picus Security détaille l'attaque par Kerberoasting

Picus Security, une entreprise spécialisée dans la cybersécurité, a publié une explication de l'attaque par Kerberoasting. Cette technique exploite les faiblesses du protocole d'authentification Kerberos, couramment utilisé dans les environnements Active Directory.

L'attaque tire parti de la capacité de tout utilisateur authentifié du domaine à demander des tickets de service pour des comptes associés à un nom de principal de service (SPN). Ces tickets sont chiffrés à l'aide du hachage du mot de passe du compte de service. Les attaquants peuvent ensuite effectuer des attaques par force brute hors ligne pour casser le hachage et obtenir les identifiants en clair du compte de service.

Alors que les comptes de machine disposent généralement de mots de passe complexes gérés automatiquement, les comptes d'utilisateurs avec des SPN peuvent ne pas appliquer les mêmes politiques de mots de passe. Cela en fait une cible plus accessible pour les attaquants. Le succès du déchiffrement de ces mots de passe peut permettre aux attaquants d'escalader leurs privilèges, de se déplacer latéralement sur un réseau, de voler des données sensibles et potentiellement de compromettre l'ensemble de l'infrastructure.

Picus Security souligne l'importance de comprendre le flux d'authentification Kerberos, qui comprend l'authentification de l'utilisateur, la demande d'un ticket de service via un SPN et, finalement, l'accès au service. L'attaque par Kerberoasting cible spécifiquement le ticket de service, dans le but de le déchiffrer à l'aide du hachage du mot de passe du compte de service.

L'entreprise fournit également des ressources pour aider les organisations à identifier les chemins d'attaque potentiels au sein de leurs réseaux, dans le but d'améliorer leurs défenses contre de telles menaces.