Pass-the-Ticket : vol et rejeu de tickets Kerberos

Pass-the-Ticket est une technique d'attaque ciblant l'authentification Kerberos dans les environnements Active Directory. Elle consiste à voler un ticket Kerberos valide (TGT ou TGS) depuis la mémoire d'un système compromis, puis à le rejouer sur un autre système pour s'authentifier sans fournir de mot de passe. Kerberos repose sur des tickets chiffrés à durée de vie limitée, émis par le Key Distribution Center (KDC). Un attaquant disposant d'un accès local privilégié peut extraire ces tickets depuis le processus LSASS, qui les conserve en mémoire pour la session courante. Le rejeu du ticket injecté permet d'accéder aux ressources réseau avec les droits associés au compte victime. Cette technique est particulièrement redoutable car elle ne nécessite pas de credential en clair. Elle s'intègre dans des chaînes d'attaque plus larges, notamment après un Golden Ticket ou un Silver Ticket, et constitue un vecteur de mouvement latéral efficace dans les SI d'entreprise.

La détection de Pass-the-Ticket côté Blue Team repose principalement sur l'analyse des logs Kerberos du contrôleur de domaine. L'événement Windows 4768 (TGT Request) et l'événement 4769 (TGS Request) sont les plus pertinents. Une anomalie typique est l'apparition d'une authentification Kerberos depuis une machine dont l'adresse IP ne correspond pas à celle associée au ticket d'origine. Le SIEM doit corréler les événements 4769 avec l'événement 4624 (ouverture de session) pour détecter des incohérences de source. L'usage de tickets avec un encryption type RC4 (0x17) alors que l'environnement impose AES est un indicateur fort de manipulation. Côté endpoint, un EDR surveillant les accès au processus LSASS (événement Sysmon ID 10) peut alerter sur une tentative d'extraction mémoire préalable au vol de ticket. La présence d'outils comme Mimikatz, Rubeus ou secretsdump dans les journaux d'exécution de processus renforce la suspicion. Un ticket présentant une durée de vie anormalement longue ou un champ PAC altéré constitue également un signal d'alerte fiable.

Côté Red Team, le vol de tickets Kerberos s'effectue principalement via Mimikatz avec la commande 'sekurlsa::tickets /export', ou via Rubeus avec 'dump' pour extraire les tickets au format .kirbi depuis LSASS. Le ticket exporté est ensuite injecté dans la session courante avec 'kerberos::ptt' sous Mimikatz, ou 'ptt' sous Rubeus, sans nécessiter de redémarrage de session. L'accès à un TGT permet de demander des TGS pour n'importe quel service du domaine. L'accès à un TGS Silver Ticket permet d'accéder directement à un service ciblé. Les contre-mesures recommandées incluent l'activation de la protection LSASS via Credential Guard, qui isole LSASS dans un conteneur Hyper-V et empêche l'extraction mémoire directe. La restriction des droits d'administration locale limite la surface d'extraction initiale. Forcer l'usage exclusif d'AES256 pour Kerberos rend les tickets RC4 anormaux détectables. La réduction de la durée de vie des tickets TGT (paramètre GPO 'Maximum lifetime for user ticket') limite la fenêtre d'exploitation. Enfin, l'activation de la fonctionnalité 'Protected Users' sur les comptes sensibles empêche le stockage de credentials délégués et l'usage de RC4.