Piratage des mots de passe Active Directory avec AS-REP Roasting

Une manière critique par laquelle les attaquants accèdent à un environnement informatique et escaladent leurs privilèges est en volant les hachages de mot de passe des utilisateurs et en les craquant hors ligne. Nous avons couvert une méthode pour récolter les mots de passe des comptes de service dans notre article sur le Kerberoasting. Ici, nous explorerons une technique qui fonctionne contre certains comptes utilisateurs, le AS-REP Roasting. Nous aborderons comment les adversaires réalisent le AS-REP Roasting en utilisant l'outil Rubeus et comment vous pouvez défendre votre organisation contre ces attaques.

Qu'est-ce que le AS-REP Roasting ?

AS-REP Roasting est une technique qui permet aux adversaires de voler les hachages de mot de passe des comptes utilisateurs qui ont la préauthentification Kerberos désactivée, qu'ils peuvent ensuite essayer de craquer hors ligne.

Lorsque la préauthentification est activée, un utilisateur qui a besoin d'accéder à une ressource commence le processus d'authentification Kerberos en envoyant un message de demande de serveur d'authentification (AS-REQ) au contrôleur de domaine (DC). L'horodatage de ce message est chiffré avec le hachage du mot de passe de l'utilisateur. Si le DC peut déchiffrer cet horodatage en utilisant son propre enregistrement du hachage du mot de passe de l'utilisateur, il renverra un message de réponse du serveur d'authentification (AS-REP) qui contient un Ticket Granting Ticket (TGT) émis par le Key Distribution Center (KDC), qui est utilisé pour les futures demandes d'accès de l'utilisateur.

Toutefois, si la préauthentification est désactivée, un attaquant pourrait demander des données d'authentification pour n'importe quel utilisateur et le contrôleur de domaine renverrait un message AS-REP. Étant donné qu'une partie de ce message est chiffrée en utilisant le mot de passe de l'utilisateur, l'attaquant peut alors tenter de forcer le mot de passe de l'utilisateur hors ligne.

Heureusement, la préauthentification est activée par défaut dans Active Directory. Cependant, elle peut être désactivée pour un compte utilisateur en utilisant le paramètre indiqué ci-dessous :

Réalisation du AS-REP Roasting avec Rubeus

En utilisant Rubeus, vous pouvez facilement réaliser un AS-REP Roasting pour voir comment cette attaque fonctionnerait dans votre environnement. Il suffit de lancer la commande suivante :

      Rubeus.exe asreproast
      

Cela trouvera automatiquement tous les comptes qui ne nécessitent pas de préauthentification et extraira leurs hachages AS-REP pour le craquage hors ligne, comme montré ici :

Prenons cet exemple un peu plus loin et extrayons les données dans un format qui peut être craqué hors ligne par Hashcat. Cette commande va exporter les informations du hash AS-REP dans un fichier texte :

      Rubeus.exe asreproast /format:hashcat /outfile:C:\Temp\hashes.txt
      

Ensuite, il est simple d'utiliser Hashcat pour craquer les hachages trouvés. Nous devons simplement spécifier le bon code de mode de hachage pour les hachages AS-REP, notre fichier de hachage et un dictionnaire à utiliser pour effectuer la devinette de mot de passe par force brute :

      hashcat64.exe -m 18200 c:\Temp\hashes.txt example.dict
      

Protection contre le Roasting AS-REP

Comme vous pouvez le voir, l'AS-REP Roasting offre un moyen simple de voler les hachages de mot de passe des comptes utilisateurs qui ne nécessitent pas de préauthentification, sans privilèges spéciaux requis. Heureusement, il existe plusieurs méthodes efficaces pour se défendre contre ces attaques.

Identifier les comptes qui ne nécessitent pas de préauthentification

La meilleure façon de bloquer les attaques AS-REP Roasting est de trouver tous les comptes d'utilisateurs configurés pour ne pas nécessiter de préauthentification Kerberos, puis d'activer ce paramètre. Ce script trouvera ces comptes vulnérables :

      Get-ADUser -Filter 'useraccountcontrol -band 4194304' -Properties useraccountcontrol | Format-Table name
      

La sortie ressemble à ceci :

Force du mot de passe

Une autre protection efficace contre les attaques AS-REP Roasting consiste à exiger des mots de passe longs et complexes, difficiles à craquer même si un adversaire parvient à les voler. L'utilisation de politiques de mots de passe à grain fin — en particulier pour les comptes privilégiés — est une excellente première étape.

Privilèges AD

Il est également crucial de savoir quels comptes d'utilisateur disposent des autorisations nécessaires pour modifier le paramètre qui contrôle si la préauthentification est activée, car ils pourraient la désactiver juste assez longtemps pour obtenir le hash AS-REP, puis la réactiver. Cette requête listera tous les droits d'accès sur les comptes d'utilisateur qui ne nécessitent pas de préauthentification :

      (Get-ACL "AD:\$((Get-ADUser -Filter 'useraccountcontrol -band 4194304').distinguishedname)").access
      

Surveillance des changements

Enfin, vous devriez également surveiller la désactivation de la pré-authentification Kerberos. L'événement 4738 consigne les modifications apportées à ce paramètre utilisateur :

Alternativement, vous pouvez surveiller l'ID d'événement 5136 :

Comment Netwrix peut-il aider ?

Sécurisez votre Active Directory de bout en bout avec la Netwrix Active Directory Security Solution. Cela vous permettra de :

• Découvrez les risques de sécurité dans Active Directory et priorisez vos efforts d'atténuation.
• Renforcez les configurations de sécurité à travers votre infrastructure informatique.
• Détectez et contenez rapidement même les menaces avancées, telles que le Kerberoasting, le DCSync , l'extraction de NTDS.dit et les attaques par Golden Ticket.
• Répondez instantanément aux menaces connues avec des options de réponse automatisées.
• Minimisez les perturbations commerciales avec une récupération rapide d'Active Directory.

FAQ

Que signifie AS-REP ?

AS-REP signifie Message de Réponse du Service d'Authentification (AS). C'est un type de message transmis entre un serveur et un client pendant l'authentification Kerberos.

Quels utilisateurs sont vulnérables au AS-REP roasting ?

Le AS-REP Roasting ne peut être utilisé que contre des comptes d'utilisateurs qui ont la préauthentification Kerberos désactivée