NTLM : authentification, relais et attaques

NTLM (NT LAN Manager) est un protocole d'authentification challenge-response propriétaire Microsoft. Les attaques NTLM exploitent ses failles structurelles pour compromettre des comptes sans connaître le mot de passe en clair. Le mécanisme fonctionne en trois étapes : le client envoie une requête de négociation, le serveur répond avec un challenge aléatoire, puis le client renvoie ce challenge chiffré avec le hash NT de son mot de passe. Ce hash devient donc suffisant pour s'authentifier, sans jamais connaître le secret d'origine. NTLMv1 est cryptographiquement faible et crackable hors ligne en quelques secondes sur GPU moderne. NTLMv2 améliore la résistance au rejeu mais reste vulnérable aux attaques de relais. Contrairement à Kerberos, NTLM ne supporte pas la délégation mutuelle ni les tickets à durée limitée. Il reste activé par défaut sur la majorité des domaines Active Directory, notamment pour les accès par adresse IP directe ou les systèmes legacy. Cette persistance en fait une cible privilégiée lors des phases de mouvement latéral et d'élévation de privilèges dans les intrusions avancées.

La détection des attaques NTLM repose sur l'analyse fine des journaux d'événements Windows et du trafic réseau. L'événement 4625 (échec d'authentification) avec le champ 'Authentication Package: NTLM' signale des tentatives suspectes. L'événement 4624 (succès d'authentification) de type Logon Type 3 avec package NTLM sur des comptes privilégiés mérite une alerte immédiate. L'événement 4776 trace les tentatives d'authentification NTLM locales via le contrôleur de domaine. Une concentration de ces événements depuis une seule source indique un Pass-the-Hash ou une attaque par force brute. Côté réseau, le trafic SMB ou HTTP contenant des handshakes NTLM vers des hôtes inhabituels doit être corrélé. Les outils comme Zeek ou Suricata disposent de signatures pour détecter les échanges NTLM anormaux. Dans un SIEM, une règle de détection doit corréler les authentifications NTLM réussies d'un compte avec une absence de ticket Kerberos préalable sur la même session. L'activation de l'audit 'Audit Credential Validation' (catégorie Account Logon) dans la GPO est indispensable. La présence de NTLMv1 dans les logs indique un durcissement insuffisant et constitue un indicateur de risque immédiat.

Côté Red Team, les attaques NTLM se déclinent en plusieurs techniques complémentaires. Le Pass-the-Hash consiste à réutiliser directement un hash NT capturé pour s'authentifier sur d'autres machines du réseau. Mimikatz avec la commande 'sekurlsa::pth' ouvre une session Windows authentifiée avec ce hash. Le NTLM Relay redirige une authentification légitime vers une cible choisie : l'outil Responder empoisonne les protocoles LLMNR et NBT-NS pour capturer les challenges, puis ntlmrelayx (suite Impacket) les relaie vers SMB, LDAP ou HTTP. Depuis un relais LDAP, il est possible de créer des comptes machines ou de modifier des ACL Active Directory. La technique de coercition d'authentification, via des outils comme PetitPotam ou PrinterBug, force un contrôleur de domaine à s'authentifier en NTLM auprès d'une machine contrôlée par l'attaquant. Les contre-mesures prioritaires incluent : désactiver NTLMv1 via GPO (Network security: LAN Manager authentication level = NTLMv2 only), activer le signing SMB obligatoire, déployer EPA (Extended Protection for Authentication) sur IIS et LDAPS, et restreindre NTLM sortant via 'Network security: Restrict NTLM: Outgoing NTLM traffic'. La surveillance des comptes machines nouvellement créés complète ce dispositif défensif.