Un nouveau type d’attaque de relais Windows NTLM baptisé DFSCoerce a été découvert qui exploite le système de fichiers distribués (DFS) : protocole de gestion d’espace de noms (MS-DFSNM) pour prendre le contrôle d’un domaine. « Service Spooler désactivé, filtres RPC installés pour empêcher PetitPotam et File Server VSS Agent Service non installés mais vous souhaitez toujours relayer [l’authentification du contrôleur de domaine vers [Active Directory Certificate Services] ? Ne vous inquiétez pas, MS-DFSNM a (sic) votre dos « , a déclaré le chercheur en sécurité Filip Dragovic dans un tweet. MS-DFSNM fournit une interface d’appel de procédure distante (RPC) pour administrer les configurations de système de fichiers distribués. L’attaque relais NTLM (NT Lan Manager) est une méthode bien connue qui exploite le mécanisme de défi-réponse. Il permet aux parties malveillantes de s’installer entre les clients et les serveurs et d’intercepter et de relayer les demandes d’authentification validées afin d’obtenir un accès non autorisé aux ressources du réseau, prenant effectivement pied dans les environnements Active Directory. La découverte de DFSCoerce fait suite à une méthode similaire appelée PetitPotam qui abuse du protocole MS-EFSRPC (Encrypting File System Remote Protocol) de Microsoft pour contraindre les serveurs Windows, y compris les contrôleurs de domaine, à s’authentifier auprès d’un relais sous le contrôle d’un attaquant, permettant aux pirates de prendre potentiellement le contrôle d’un ensemble domaine. « En relayant une demande d’authentification NTLM d’un contrôleur de domaine vers l’inscription Web de l’autorité de certification ou le service Web d’inscription de certificat sur un système AD CS, un attaquant peut obtenir un certificat qui peut être utilisé pour obtenir un Ticket Granting Ticket (TGT) du contrôleur de domaine », a noté le centre de coordination du CERT (CERT/CC), détaillant la chaîne d’attaque. Pour atténuer les attaques de relais NTLM, Microsoft recommande d’activer des protections telles que la protection étendue de l’authentification (EPA), la signature SMB et de désactiver HTTP sur les serveurs AD CS.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *