Qu'est-ce que le pass-the-hash ?

Le pass-the-hash consiste pour un attaquant à utiliser l'empreinte stockée d'un mot de passe, prise dans la mémoire ou sur le disque d'un ordinateur compromis, pour s'authentifier sous l'identité de cet utilisateur sans jamais connaître le mot de passe lui-même. Cela fonctionne avec l'ancienne authentification NTLM, encore répandue dans beaucoup de réseaux, et permet de passer de machine en machine avec l'identité d'un administrateur. Parmi les défenses : ne pas se connecter avec des comptes administrateur du domaine sur des postes ordinaires, un mot de passe d'administrateur local unique par machine, des protections qui empêchent la lecture des identifiants en mémoire, la restriction ou la désactivation de NTLM quand c'est possible, et une protection des postes. Le vol de l'empreinte se fait sur un hôte ; sa réutilisation apparaît sur le réseau sous forme de connexions d'administration entre machines qui ne se parlent pas d'ordinaire. NetSenX détecte ce mouvement latéral dans chaque offre ; il n'inspecte pas le protocole d'authentification lui-même.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes