Détecter une attaque ASREPRoast 2024-05-29, utilisateur ciblé “arthur.kyle”, adresse IP “172.17.79.129”.
Présentation
Dans cet article, nous aborderons une solution à un des challenges d’investigation numérique nommé Sherlocks proposée par Hack The Box. Nous explorerons le processus de résolution du Sherlocks Campfire-2, adapté aux débutants, portant sur une cyberattaque visant un système Windows et un domaine AD.
Découverte de l’archive et des journaux
Après avoir détecté l’utilisation d’un compte administrateur suspect lors de l’analyse Campfire-1, l’attaque ASREPRoast est envisagée et doit être examinée en profondeur pour obtenir plus d’informations. Cette attaque, qui exploite une vulnérabilité de pré-authentification Kerberos, est abordée dans un article dédié.
En analysant les journaux de sécurité de l’Active Directory contenus dans l’archive, nous pouvons mettre en œuvre une méthode d’envoi des logs vers un SIEM ELK pour bénéficier de ses capacités d’indexation et de recherche.
Investigation numérique : le cas Tracer
Détecter une attaque ASREPRoast
À travers diverses tâches, nous devons identifier l’attaque ASREPRoast, déterminer l’utilisateur ciblé, récupérer le SID du compte compromis et localiser l’adresse IP de l’asset compromis.
Recherche d’information sur le poste compromis
Par le biais des logs du contrôleur de domaine, nous pouvons confirmer l’utilisateur ayant effectué l’attaque ASREP Roasting, même sans artefacts provenant de la machine source, en traçant l’adresse IP associée aux événements.
Notions abordées
Cette investigation focalisée sur l’ASREPRoast nous offre un aperçu concret des attaques dans les logs d’un Active Directory. Pour approfondir vos connaissances sur ce sujet, nous vous recommandons notre article dédié. De plus, l’utilisation d’outils spécialisés tels que Zircolite ou ELK peut grandement faciliter cette démarche.
Conclusion
Ce challenge et sa résolution offrent une opportunité pratique de s’exercer à détecter une attaque ASREPRoast. Pour explorer davantage ces techniques offensives et défensives en cybersécurité, Hack The Box Academy propose des cours spécialisés à ne pas négliger.
Source : www.it-connect.fr
