Escalade de privilèges : techniques et détection

L'escalade de privilèges désigne toute technique permettant à un attaquant d'obtenir des droits supérieurs à ceux qui lui ont été accordés initialement. On distingue deux formes : l'escalade verticale, où un utilisateur standard atteint les droits administrateur ou root, et l'escalade horizontale, où il accède aux ressources d'un autre compte de même niveau. Sur Windows, les vecteurs classiques incluent l'abus de services mal configurés, le token impersonation via SeImpersonatePrivilege, les DLL hijacking et les contournements UAC. Sur Linux, l'exploitation de binaires SUID/SGID mal positionnés, les cron jobs accessibles en écriture, les configurations sudo trop permissives et les CVE affectant le noyau constituent les chemins les plus fréquents. L'escalade de privilèges est une phase pivot dans la chaîne d'attaque : elle conditionne la persistance, le mouvement latéral et l'exfiltration. Sans cette étape, un attaquant reste cantonné à un contexte utilisateur limité, ce qui restreint fortement son impact. C'est pourquoi elle figure systématiquement dans les frameworks MITRE ATT&CK (TA0004) et dans les scénarios Red Team réalistes.

La détection d'une escalade de privilèges repose sur la corrélation de plusieurs sources de journaux. Sur Windows, les événements à surveiller en priorité sont l'ID 4672 (attribution de privilèges spéciaux à une nouvelle session), l'ID 4688 (création de processus avec droits élevés), l'ID 4697 (installation de service) et l'ID 4648 (ouverture de session avec credentials explicites). Un saut de contexte soudain depuis un compte utilisateur standard vers SYSTEM ou Administrator, sans flux d'authentification légitime préalable, constitue un signal fort. Sur Linux, les fichiers /var/log/auth.log et /var/log/secure enregistrent les invocations sudo, les échecs d'authentification PAM et les changements d'UID via su. Les outils SIEM comme Elastic SIEM, Splunk ou Microsoft Sentinel permettent de corréler ces événements avec des règles Sigma dédiées. Les EDR modernes détectent l'injection de tokens, le parent process spoofing et les appels suspects à des API Windows telles que ImpersonateLoggedOnUser ou AdjustTokenPrivileges. La présence d'outils comme winPEAS, linPEAS ou PowerUp dans les artefacts disque ou mémoire est un indicateur de compromission concret à intégrer dans les règles de détection.

En phase de pentest ou d'exercice Red Team, l'escalade de privilèges s'appuie sur une énumération méthodique de la surface d'attaque locale. Sur Windows, les outils winPEAS et PowerUp automatisent la recherche de services avec chemin non-quoté, de clés de registre AlwaysInstallElevated actives, de mots de passe en clair dans des fichiers de configuration, et de tokens impersonnables. La technique Potato (JuicyPotato, PrintSpoofer, RoguePotato) exploite le privilège SeImpersonatePrivilege pour obtenir SYSTEM depuis un compte de service. Sur Linux, linPEAS et GTFOBins recensent les binaires SUID exploitables et les configurations sudo autorisant l'exécution de binaires interactifs comme vim ou less. Les contre-mesures structurelles incluent l'application du principe de moindre privilège, la suppression des droits SUID non nécessaires, la restriction des règles sudo via NOEXEC, le durcissement UAC au niveau le plus élevé, et l'activation de Windows Defender Credential Guard pour protéger les tokens LSASS. Sur Linux, l'activation de SELinux ou AppArmor en mode enforcing réduit significativement la surface exploitable même en cas de compromission initiale d'un compte utilisateur.