Kerberoasting.

Attaque de mot de passe hors ligne qui demande des tickets de service Kerberos pour des comptes de service et casse la portion chiffree afin de retrouver le mot de passe en clair. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Attaque de mot de passe hors ligne qui demande des tickets de service Kerberos pour des comptes de service et casse la portion chiffree afin de retrouver le mot de passe en clair.

Le Kerberoasting exploite le fait que tout utilisateur authentifie du domaine peut demander un TGS pour n'importe quel SPN, et que ce ticket est chiffre avec le hash du mot de passe du compte de service. L'attaquant enumere les SPN, demande les TGS (souvent avec Rubeus ou Impacket GetUserSPNs), les exporte puis les casse hors ligne avec Hashcat ou John the Ripper. Les comptes de service aux mots de passe faibles ou jamais tournes tombent souvent en quelques heures. MITRE ATT&CK suit la technique sous T1558.003 (Steal or Forge Kerberos Tickets: Kerberoasting). Les defenses incluent des mots de passe longs et aleatoires ou gMSA pour les comptes de service, Kerberos AES uniquement, l'absence de SPN sur les comptes privilegies et la detection des demandes massives de TGS en RC4.

Les défenses contre Kerberoasting combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.