Craquage GPU : accélération matérielle en pentest

Le craquage GPU désigne l'utilisation de processeurs graphiques pour accélérer les attaques contre des hachages cryptographiques. Contrairement à un CPU classique, un GPU contient des milliers de coeurs parallèles. Cette architecture massivement parallèle permet de tester des milliards de candidats par seconde. Le craquage GPU s'applique aux hachages MD5, SHA-1, SHA-256, NTLM, bcrypt, et bien d'autres. En cybersécurité offensive, il intervient après l'extraction de hachages depuis une base de données compromise, un fichier SAM, un dump LSASS ou un fichier /etc/shadow. L'objectif est de retrouver le mot de passe en clair à partir de son empreinte. Les algorithmes rapides comme NTLM ou MD5 sont particulièrement vulnérables. Un GPU grand public peut tester plusieurs dizaines de milliards de hachages NTLM par seconde. Les algorithmes lents comme bcrypt ou Argon2 résistent mieux, car leur coût de calcul est délibérément élevé. La pertinence du craquage GPU en cybersécurité est donc directement liée au choix de l'algorithme de stockage des mots de passe.

Côté Blue Team, le craquage GPU se déroule généralement hors ligne, ce qui le rend invisible dans les logs systèmes classiques. La détection doit donc se concentrer sur les étapes amont : l'extraction des hachages. Sur Windows, surveiller l'événement 4656 (accès à l'objet SAM), 4688 (création de processus suspects comme lsass.exe accédé par un processus non autorisé) et les alertes générées par un EDR lors d'un dump mémoire de lsass.exe via Mimikatz ou ProcDump. Sur Linux, un accès anormal à /etc/shadow ou /etc/passwd par un processus non root doit déclencher une alerte SIEM. Les règles Sigma couvrant le dumping de credentials LSASS sont pertinentes ici. Côté réseau, un transfert sortant d'un fichier contenant des hachages vers une machine externe peut être détecté par analyse DLP ou inspection de flux. Après un incident confirmé, l'indicateur de compromission clé est la présence d'outils comme hashcat ou John the Ripper sur un hôte interne. Les politiques AppLocker ou WDAC permettent de bloquer leur exécution sur les endpoints gérés. La surveillance des événements Sysmon (Event ID 1 et 11) complète efficacement cette détection.

En Red Team, le craquage GPU s'intègre dans la phase post-exploitation après l'obtention de hachages. Hashcat est l'outil de référence. Il supporte CUDA (NVIDIA) et OpenCL (AMD/Intel) pour exploiter pleinement le GPU. Les modes d'attaque incluent la force brute pure (-a 3), le dictionnaire (-a 0) avec des listes comme rockyou.txt, et les attaques par règles (-a 0 -r rules/best64.rule) qui mutent automatiquement les candidats. L'attaque par masque (-a 3 ?u?l?l?l?d?d) cible des patterns de mots de passe connus. Pour les hachages NTLM, hashcat atteint des vitesses dépassant 100 milliards de tentatives par seconde sur une configuration multi-GPU. Les rainbow tables restent une alternative rapide pour les hachages sans sel. Pour contrer le craquage GPU, les contre-mesures prioritaires sont : imposer bcrypt, scrypt ou Argon2 pour le stockage des mots de passe, appliquer une politique de mots de passe longs (14 caractères minimum), activer le MFA pour réduire l'impact d'un mot de passe compromis, et segmenter les accès aux bases de données d'authentification pour limiter l'extraction initiale des hachages.