Indicateurs

La vulnérabilité nommée Zerologon est liée à une vulnérabilité critique (CVE-2020-1472) dans Windows Server ayant reçu un score CVSS de 10.0 par Microsoft. Elle consiste en une élévation de privilèges qui existe lorsqu'un attaquant établit une connexion vulnérable sur le canal sécurisé Netlogon sur un contrôleur de domaine, en utilisant le protocole à distance Netlogon (MS-NRPC). Cette vulnérabilité permet à des attaquants de compromettre un domaine et de se donner les privilèges d'administration du domaine.

DCShadow est une autre attaque de stade avancé de la « kill chain » qui permet à un attaquant disposant d'identifiants privilégiés d'enregistrer un contrôleur de domaine non autorisé afin de pousser des modifications arbitraires vers un domaine via le mécanisme de réplication (par exemple, en appliquant des valeurs sidHistory interdites).

Les membres du groupe local Administrateurs ont été énumérés avec l'interface RPC SAMR, probablement avec BloodHound/SharpHound.

La faille de sécurité critique CVE-2020-1472, nommée Zerologon, est une attaque qui exploite une faille de cryptographie dans le protocole Netlogon, permettant à un attaquant d'établir un Netlogon canal sécurisé avec un contrôleur de domaine depuis n'importe quel ordinateur. À partir de là, plusieurs techniques de post-exploitation peuvent être utilisées pour obtenir une élévation de privilèges, telles que le changement de mot de passe du compte du contrôleur de domaine, l'authentification forcée, les attaques DCSync, et autres. L'exploit ZeroLogon est souvent confondu avec les activités de post-exploitation utilisant le véritable contournement d'authentification falsifié Netlogon (traité par l'IOA 'Exploitation Zerologon'). Cet indicateur se concentre sur l'une des activités de post-exploitation pouvant être utilisées conjointement avec la vulnérabilité Netlogon : la modification du mot de passe du compte machine du contrôleur de domaine.

La CVE-2021-42287 critique peut entraîner une élévation de privilèges sur le domaine à partir d'un compte standard. La faille est due à un mauvais traitement des demandes qui ciblent un objet doté d'un attribut sAMAccountName non-existant. Le contrôleur de domaine ajoute automatiquement un signe dollar ($) à la valeur sAMAccountName si cette dernière est inexistante, ce qui peut conduire à l'emprunt d'identité du compte machine ciblé.

Une fois qu'un utilisateur s'est connecté, les attaquants peuvent tenter d'accéder aux informations d'authentification stockées dans la mémoire de processus "Local Security Authority Subsystem Service" (LSASS).

La pulvérisation de mots de passe est une attaque qui tente d'accéder à un grand nombre de comptes (noms d'utilisateur) avec quelques mots de passe couramment utilisés - également connus sous le nom de méthode "faible et lente"

L'outil PetitPotam peut être utilisé afin de forcer l'authentification de la machine cible vers un système distant, généralement dans le but de réaliser une attaque de type relais NTLM. Si PetitPotam cible un contrôleur de domaine, un attaquant peut relayer l'authentification vers un autre machine du réseau afin de s'y connecter avec les plus hauts privilèges.

Une attaque par exfiltration NTDS consiste en l'extraction, par un attaquant, d'une copie de la base de données NTDS.dit. Ce fichier stocke des secrets Active Directory comme des empreintes de mots de passe et des clés Kerberos. Une fois qu'il y a eu accès, l'attaquant analyse hors ligne une copie de ce fichier, en fournissant une alternative aux attaques DCSync pour récupérer le contenu sensible d'Active Directory.

Les clés de sauvegarde DPAPI du domaine sont un aspect essentiel du recouvrement de secrets DPAPI. Une large proportion d'outils d'attaque se focalisent sur la récupération de ces clés sur les contrôleurs de domaine, en utilisant des appels LSARPC. Microsoft reconnaît qu'il n'existe pas de méthode prise en charge pour renouveler ou changer ces clés. Donc si les clés de sauvegarde DPAPI du domaine sont compromises, ils recommandent de créer un nouveau domaine à partir de zéro ce qui est une opération longue et coûteuse.

BadSuccessor est une faille d'élévation de privilèges Active Directory dans Windows Server 2025 qui exploite les dMSA et permet aux attaquants de manipuler les liens de comptes et, potentiellement, de compromettre le domaine.

Vérifie qu'aucun groupe n'est vide ou ne contient qu'un seul membre.

Identifiez les autorisations potentiellement laxistes qui impactent les ressources Exchange ou sont attribuées à des groupes Exchange.

Détecte les serveurs Exchange obsolètes que Microsoft ne prend plus en charge, ainsi que ceux qui ne disposent pas des dernières mises à jour cumulées.

Répertorie les mauvaises configurations qui impactent les ressources Exchange ou les objets sous-jacents du schéma Active Directory.

Collecte des informations telles que les utilisateurs et les ordinateurs hybrides auprès de l'environnement Active Directory sur site, au sujet des ressources synchronisées avec Microsoft Entra ID.

Comptes inhabituels dans des groupes Exchange sensibles

Affiche les mauvaises configurations potentielles des comptes de service du domaine.

Vérifie qu'aucun utilisateur, ordinateur ou groupe n'est dupliqué (en conflit).

Détecte les portes dérobées et les mauvaises configurations de Shadow Credentials dans la fonctionnalité « Windows Hello Entreprise » et les identifiants de clé associés.