{"id":214324,"date":"2022-06-21T07:55:31","date_gmt":"2022-06-21T09:55:31","guid":{"rendered":"https:\/\/teknomers.com\/fr\/la-nouvelle-attaque-de-relais-ntlm-permet-aux-attaquants-de-prendre-le-controle-du-domaine-windows\/"},"modified":"2022-06-21T07:55:31","modified_gmt":"2022-06-21T09:55:31","slug":"la-nouvelle-attaque-de-relais-ntlm-permet-aux-attaquants-de-prendre-le-controle-du-domaine-windows","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/la-nouvelle-attaque-de-relais-ntlm-permet-aux-attaquants-de-prendre-le-controle-du-domaine-windows\/","title":{"rendered":"La nouvelle attaque de relais NTLM permet aux attaquants de prendre le contr\u00f4le du domaine Windows"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Un nouveau type d’attaque de relais Windows NTLM appel\u00e9 DFSCoerce<\/a> a \u00e9t\u00e9 d\u00e9couvert qui exploite le syst\u00e8me de fichiers distribu\u00e9s (DFS)\u00a0: protocole de gestion d’espace de noms (MS-DFSNM) pour prendre le contr\u00f4le d’un domaine.<\/p>\n

“Service Spooler d\u00e9sactiv\u00e9, filtres RPC install\u00e9s pour emp\u00eacher PetitPotam et File Server VSS Agent Service non install\u00e9 mais vous souhaitez toujours relayer [Domain Controller authentication to [Active Directory Certificate Services]? Ne vous inqui\u00e9tez pas, MS-DFSNM a (sic) votre dos “, Filip Dragovic, chercheur en s\u00e9curit\u00e9 a dit<\/a> dans un tweet.<\/p>\n

\"La<\/a><\/div>\n

MS-DFSNM<\/a> fournit une interface d’appel de proc\u00e9dure \u00e0 distance (RPC) pour l’administration des configurations de syst\u00e8me de fichiers distribu\u00e9s.<\/p>\n

L’attaque relais NTLM (NT Lan Manager) est une m\u00e9thode bien connue qui exploite le m\u00e9canisme de d\u00e9fi-r\u00e9ponse. Il permet aux parties malveillantes de s’asseoir entre les clients et les serveurs et d’intercepter et de relayer les demandes d’authentification valid\u00e9es afin d’obtenir un acc\u00e8s non autoris\u00e9 aux ressources du r\u00e9seau, prenant effectivement pied dans les environnements Active Directory.<\/p>\n

La d\u00e9couverte de DFSCoerce suit une m\u00e9thode similaire appel\u00e9e PetitPotam qui les abus<\/a> Microsoft’s Encrypting File System Remote Protocol (MS-EFSRPC) pour contraindre les serveurs Windows, y compris les contr\u00f4leurs de domaine, \u00e0 s’authentifier aupr\u00e8s d’un relais sous le contr\u00f4le d’un attaquant, permettant aux pirates de prendre potentiellement le contr\u00f4le d’un domaine entier.<\/p>\n

\"La<\/a><\/div>\n

“En relayant une demande d’authentification NTLM d’un contr\u00f4leur de domaine vers l’inscription Web de l’autorit\u00e9 de certification ou le service Web d’inscription de certificat sur un syst\u00e8me AD CS, un attaquant peut obtenir un certificat qui peut \u00eatre utilis\u00e9 pour obtenir un Ticket Granting Ticket (TGT) du contr\u00f4leur de domaine \u00bb, le centre de coordination CERT (CERT\/CC) c’est not\u00e9<\/a>d\u00e9taillant le cha\u00eene d’attaque<\/a>.<\/p>\n

Pour att\u00e9nuer les attaques de relais NTLM, Microsoft recommande<\/a> l’activation de protections telles que la protection \u00e9tendue de l’authentification (EPA), la signature SMB et la d\u00e9sactivation de HTTP sur les serveurs AD CS.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Un nouveau type d’attaque de relais Windows NTLM appel\u00e9 DFSCoerce a \u00e9t\u00e9 d\u00e9couvert qui exploite le syst\u00e8me de fichiers distribu\u00e9s (DFS)\u00a0: protocole de gestion d’espace de noms (MS-DFSNM) pour prendre le contr\u00f4le d’un domaine. “Service Spooler d\u00e9sactiv\u00e9, filtres RPC install\u00e9s pour emp\u00eacher PetitPotam et File Server VSS Agent Service non install\u00e9 mais vous souhaitez toujours […]<\/p>\n","protected":false},"author":1,"featured_media":214325,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[11865,1933,507,4168,3976,4158,4165,4161,9509,4157,4159,4171,4170,4167,4160,197,4163,4162,80875,9701,3086,2876,4172,4169,4166,4164,45020],"class_list":["post-214324","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-attaquants","tag-attaque","tag-aux","tag-comment-pirater","tag-controle","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-domaine","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelle","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-ntlm","tag-permet","tag-prendre","tag-relais","tag-securite-informatique","tag-securite-internet","tag-violation-de-donnees","tag-vulnerabilite-logicielle","tag-windows"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/214324","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=214324"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/214324\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/214325"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=214324"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=214324"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=214324"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}