Dans la quasi-totalité des attaques par rançongiciel contre une entreprise ou une collectivité sous Windows, l’Active Directory est l’objectif intermédiaire : qui contrôle l’annuaire contrôle tous les postes, tous les serveurs et souvent les sauvegardes. Selon Sophos, les attaquants l’atteignent en 3,4 heures en médiane après leur entrée. Comprendre comment ils passent d’un simple poste compromis aux droits d’administrateur du domaine est le meilleur moyen de couper ces chemins. Tour d’horizon des techniques, de l’actualité 2025-2026 et des contre-mesures prioritaires.
L’essentiel en 30 secondes
- L’attaquant commence avec un compte ordinaire, récolte des identifiants sur chaque machine atteinte et suit les chemins de privilèges jusqu’aux administrateurs du domaine.
- Les techniques classiques (pass-the-hash, Kerberoasting, délégations, certificats ADCS) restent les plus utilisées, car les mauvaises configurations persistent.
- Deux failles récentes rappellent l’urgence des correctifs : BadSuccessor (comptes dMSA de Windows Server 2025, corrigée en août 2025) et Netlogon CVE-2026-41089 (corrigée en mai 2026, exploitée activement fin mai).
- Les contre-mesures les plus efficaces sont organisationnelles : modèle en tiers, mots de passe locaux uniques, comptes d’administration dédiés.
La chaîne d’attaque typique
- Accès initial : hameçonnage, accès VPN ou RDP avec un mot de passe volé, faille sur un équipement exposé.
- Reconnaissance : n’importe quel utilisateur du domaine peut lire l’essentiel de l’annuaire. Des outils comme BloodHound cartographient en minutes qui est administrateur de quoi.
- Récolte d’identifiants : extraction des secrets en mémoire (LSASS), des mots de passe en cache, des scripts contenant des mots de passe.
- Mouvement latéral : réutilisation de ces secrets sur d’autres machines (SMB, WinRM, RDP, WMI).
- Élévation jusqu’aux groupes Admins du domaine, puis persistance et préparation du chiffrement.
Les techniques les plus courantes et leur parade
| Technique | Principe | Contre-mesure principale |
|---|---|---|
| Pass-the-hash | Réutiliser l’empreinte NTLM d’un mot de passe sans le connaître | Mot de passe administrateur local unique par machine (Windows LAPS), restriction de NTLM |
| Kerberoasting | Demander un ticket de service puis casser hors ligne le mot de passe du compte de service | Comptes de service gérés (gMSA) ou mots de passe de plus de 25 caractères, AES uniquement |
| AS-REP roasting | Cibler les comptes sans pré-authentification Kerberos | Réactiver la pré-authentification sur tous les comptes |
| Délégation non contrainte | Récupérer les tickets des comptes qui se connectent à un serveur délégué | Supprimer ces délégations ; groupe « Protected Users » pour les comptes sensibles |
| Abus de certificats (ADCS, « ESC1 » à « ESC16 ») | Modèles de certificats mal configurés permettant d’obtenir un certificat au nom d’un administrateur | Audit des modèles et des droits d’inscription, correctifs à jour |
| Relais NTLM | Relayer une authentification vers un autre service | Signature SMB et LDAP, liaison de canal (channel binding), EPA sur ADCS web |
| DCSync | Se faire passer pour un contrôleur de domaine pour extraire tous les secrets | Surveiller les droits de réplication et les demandes de réplication hors contrôleurs |
| Abus de GPO et ACL | Droits d’écriture oubliés sur une GPO ou un objet sensible | Revue des délégations, voir auditer les privilèges excessifs |
L’actualité qui doit vous faire agir
BadSuccessor (2025)
Découverte par Akamai en mai 2025, cette technique exploitait les comptes de service gérés délégués (dMSA) introduits avec Windows Server 2025 : un utilisateur ayant simplement le droit de créer un objet dans une unité d’organisation pouvait hériter des privilèges de n’importe quel compte, y compris administrateur. Microsoft l’a corrigée en août 2025 (CVE-2025-53779). Akamai souligne que certaines variantes restent utilisables par un attaquant qui contrôle déjà des objets : il faut donc aussi restreindre qui peut créer des dMSA et auditer ces opérations.
Netlogon CVE-2026-41089 (2026)
Corrigée lors du Patch Tuesday du 12 mai 2026, cette faille de débordement de pile dans le service Netlogon permet l’exécution de code à distance sans authentification sur un contrôleur de domaine. Fin mai, le Centre pour la cybersécurité Belgique a signalé son exploitation active. Les experts recommandent de corriger tous les contrôleurs dans la même fenêtre de maintenance : une forêt à moitié corrigée reste exposée. Pour organiser ces mises à jour, voir la stratégie de mise à jour des serveurs Windows.
Les contre-mesures prioritaires
- Modèle en tiers : les comptes d’administration du domaine (tier 0) ne se connectent qu’aux contrôleurs de domaine et aux postes d’administration dédiés, jamais aux postes bureautiques.
- Comptes séparés : chaque administrateur a un compte pour la bureautique et un compte d’administration, sans messagerie ni navigation.
- Windows LAPS sur tous les postes et serveurs membres.
- Protected Users pour les comptes privilégiés, et réduction drastique du nombre d’Admins du domaine.
- Correctifs des contrôleurs de domaine en priorité absolue.
- Durcissement des protocoles : désactivation de NTLMv1 et de SMBv1, signature SMB et LDAP, Credential Guard sur les postes compatibles.
- Audit régulier : PingCastle, BloodHound Community Edition (en défense) ou ORADAD de l’ANSSI, avec la liste de points de contrôle Active Directory du CERT-FR.
- Détection : surveiller ajouts aux groupes sensibles, tickets Kerberos RC4, connexions d’administrateurs sur des postes, réplications inhabituelles (voir les événements à surveiller).
Questions fréquentes
Notre domaine est petit : sommes-nous concernés ?
Oui, souvent davantage : dans les petites structures, le compte de l’informaticien est fréquemment administrateur du domaine et utilisé pour lire ses e-mails, ce qui raccourcit considérablement le chemin de l’attaquant.
Faut-il réinitialiser le mot de passe du compte krbtgt ?
Après une compromission avérée, oui, deux fois en respectant le délai de réplication. À titre préventif, une rotation régulière (par exemple annuelle) est recommandée.
BloodHound n’est-il pas un outil d’attaquant ?
Il est utilisé des deux côtés. En défense, il montre les chemins que l’attaquant emprunterait : autant les connaître avant lui.
Migrer vers Entra ID supprime-t-il ces risques ?
Il en déplace une partie. Les environnements hybrides cumulent souvent les deux surfaces d’attaque, et le serveur de synchronisation devient un actif tier 0.
Sources
- Akamai, analyse du correctif BadSuccessor (CVE-2025-53779), août 2025.
- Help Net Security, exploitation de CVE-2026-41089 (Netlogon), juin 2026.
- Sophos, Active Adversary Report 2026.
- CERT-FR, points de contrôle Active Directory.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous réalisons des audits Active Directory dans le cadre de notre audit du parc informatique. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
