{"id":165821,"date":"2025-11-10T08:25:34","date_gmt":"2025-11-10T16:25:34","guid":{"rendered":"https:\/\/unit42.paloaltonetworks.com\/?p=165821"},"modified":"2025-11-19T07:19:52","modified_gmt":"2025-11-19T15:19:52","slug":"authentication-coercion","status":"publish","type":"post","link":"https:\/\/unit42.paloaltonetworks.com\/fr\/authentication-coercion\/","title":{"rendered":"La coercition d\u2019authentification n\u2019a pas dit son dernier mot\u00a0\u2013 cap sur cette menace en \u00e9volution"},"content":{"rendered":"

<\/a>Avant-propos<\/h2>\n

Imaginez un sc\u00e9nario o\u00f9 des acteurs malveillants n\u2019ont m\u00eame plus besoin de vous soutirer votre mot de passe. Plus besoin d\u2019ing\u00e9nierie sociale \u00e9labor\u00e9e ni d\u2019exploiter les failles de votre syst\u00e8me d\u2019exploitation. Ils peuvent simplement forcer votre machine \u00e0 s\u2019authentifier aupr\u00e8s d\u2019un serveur qu\u2019ils contr\u00f4lent, comme si votre ordinateur leur remettait lui-m\u00eame ses identifiants. Cette technique porte un nom\u00a0: la coercition d\u2019authentification.<\/p>\n

Alors que des attaques de coercition d\u2019authentification comme PrintNightmare<\/a> se sont largement r\u00e9pandues ces derni\u00e8res ann\u00e9es, nous observons aujourd\u2019hui une mont\u00e9e en puissance d\u2019une nouvelle cat\u00e9gorie de coercition. Ces attaques s\u2019appuient sur des protocoles rarement utilis\u00e9s et parviennent \u00e0 \u00e9chapper aux m\u00e9canismes de d\u00e9fense con\u00e7us pour les exploits d\u00e9j\u00e0 document\u00e9s.<\/p>\n

Nous proposons ici un guide pratique pour comprendre cette menace\u00a0\u2013 r\u00e9pandue et redoutablement efficace\u00a0\u2013 et pour mieux s\u2019en pr\u00e9munir. Les attaques de coercition d\u2019authentification d\u00e9tournent une fonctionnalit\u00e9 fondamentale de Windows, qui permet \u00e0 une machine d\u2019ex\u00e9cuter des proc\u00e9dures sur un syst\u00e8me distant. Les attaquants exploitent cette capacit\u00e9 pour forcer des machines, y compris les actifs Tier\u00a00 les plus critiques (comme les contr\u00f4leurs de domaine), \u00e0 s\u2019authentifier aupr\u00e8s de serveurs qu\u2019ils contr\u00f4lent. Cette technique repose sur la fa\u00e7on dont les protocoles d\u2019authentification l\u00e9gitimes sont con\u00e7us dans les environnements Microsoft\u00a0Windows et ne n\u00e9cessite aucune permission particuli\u00e8re.<\/p>\n

Nous pr\u00e9sentons \u00e9galement des exemples r\u00e9els montrant comment des acteurs de la menace d\u00e9tournent ces m\u00e9canismes d\u2019authentification int\u00e9gr\u00e9s \u00e0 Windows. Notre analyse d\u00e9taill\u00e9e retrace l\u2019ensemble du cycle d\u2019une attaque par coercition d\u2019authentification et inclut une \u00e9tude de cas r\u00e9elle, dans laquelle des acteurs de la menace ont exploit\u00e9 une interface d\u2019appel de proc\u00e9dure distante (Remote Procedure Call, ou RPC) peu connue et rarement surveill\u00e9e.<\/p>\n

Des chercheurs en s\u00e9curit\u00e9, dont Unit\u00a042<\/a>, ont d\u00e9j\u00e0 document\u00e9 l\u2019usage d\u2019outils de coercition tels que PetitPotam<\/a>\u00a0(CVE-2021-36942) dans des attaques observ\u00e9es sur le terrain. Microsoft a publi\u00e9 des avis de s\u00e9curit\u00e9<\/a> reconnaissant le potentiel d\u2019exploitation de cette vuln\u00e9rabilit\u00e9.<\/p>\n

Nous proposons \u00e9galement des strat\u00e9gies concr\u00e8tes de surveillance, de d\u00e9tection et de pr\u00e9vention que les organisations peuvent mettre en \u0153uvre pour rep\u00e9rer plus efficacement les anomalies comportementales et les paquets\u00a0RPC suspects\u00a0\u2013 et ainsi renforcer consid\u00e9rablement leurs capacit\u00e9s de d\u00e9tection et r\u00e9ponse.<\/p>\n

Les clients de Palo\u00a0Alto\u00a0Networks sont mieux prot\u00e9g\u00e9s contre les menaces mentionn\u00e9es ci-dessus gr\u00e2ce aux produits suivants\u00a0:<\/p>\n