Pass-the-Hash.

Attaque par reutilisation d'identifiants qui s'authentifie sur des systemes Windows en utilisant un hash NTLM derobe a la place du mot de passe en clair. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Attaque par reutilisation d'identifiants qui s'authentifie sur des systemes Windows en utilisant un hash NTLM derobe a la place du mot de passe en clair.

Pass-the-Hash (PtH) exploite le fait que l'authentification NTLM traite le hash du mot de passe comme l'identifiant effectif: tout processus detenant le hash peut s'authentifier sans connaitre le mot de passe. Les attaquants extraient des hashes depuis la memoire de LSASS ou la base SAM (souvent avec Mimikatz ou secretsdump), puis les rejouent contre SMB, WMI ou des services d'administration distante pour effectuer un deplacement lateral. MITRE ATT&CK suit cette technique sous T1550.002 (Use Alternate Authentication Material). Les defenses comprennent l'activation de Credential Guard, la restriction de la reutilisation des comptes administrateurs locaux via LAPS, une administration en tiers, la desactivation de NTLM lorsque possible, et la surveillance des acces a LSASS et des connexions anormales.

Les défenses contre Pass-the-Hash combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : PtH.