Active Directory

📅 Source : Stoïk Labs (https://labs.stoik.io), publié le 14 octobre 2026. Rapport d’incident post-mortem d’une intrusion attribuée au groupe Akira, investigué par le Stoïk CERT chez un cabinet d’ingénierie européen de taille intermédiaire. 🎯 Vecteur initial L’intrusion débute sur le poste de travail Windows d’un ingénieur après la visite d’un site de camp sportif compromis. Un prompt ClickFix incite l’utilisateur à coller une commande dans la boîte de dialogue Exécuter (Windows Run), déclenchant l’infection initiale. ...

🗓️ Contexte L’article, publié le 14 octobre 2026 sur cryptika.com (source originale : cybersecuritynews.com), rapporte une campagne d’exploitation active de trois vulnérabilités zero-day dans Ivanti Connect Secure VPN, découverte par la société Volexity lors d’une investigation chez un client. L’activité a débuté le 3 octobre 2026 et ciblait une appliance entièrement à jour sous la version 22.8R2.4. 🎯 Acteur et objectifs Volexity attribue l’activité à un acteur jusqu’alors inconnu, désigné UTA0576. L’objectif principal observé est la collecte de données d’authentification sensibles : ...

🔍 Contexte Publié sur GitHub (icedracon/adhammer), ADhammer est présenté comme un toolkit de sécurité Active Directory développé en Rust dans le cadre d’une recherche académique (ITMO). Il se positionne comme un outil combinant audit passif (classe PingCastle) et validation offensive (classe impacket/Rubeus), distribué sous forme de binaire statique unique fonctionnant sous Kali/Linux et Windows. 🛠️ Fonctionnalités principales ADhammer repose sur une pile protocolaire entièrement réécrite en Rust (DCE/RPC, NTLM, SMB2, Kerberos) sans dépendance à impacket. Il implémente : ...

🔍 Contexte Publié sur GitHub (semperis-community/resetnightmare), cet article présente un outil Proof-of-Concept (PoC) pour la vulnérabilité CVE-2026-27912, baptisée ResetNightmare. 🧩 Description de la vulnérabilité ResetNightmare est une faille de validation dans le protocole Kerberos Change Password affectant les contrôleurs de domaine Active Directory non patchés. Elle permet à un attaquant de réinitialiser le mot de passe de n’importe quel compte utilisateur ou ordinateur sans connaître le mot de passe actuel. ...

🛠️ Contexte Publié le 17/09/2026 sur GitHub (https://github.com/crypt0p3g/adnullenum), adnullenum est un outil open-source de reconnaissance Active Directory conçu pour fonctionner en session nulle (null session), c’est-à-dire sans aucune accréditation. Il s’appuie sur les named pipes \samr et \lsarpc accessibles via SMB sur le port 445. 🔍 Fonctionnalités principales L’outil effectue en une seule passe les opérations suivantes : Énumération des utilisateurs, ordinateurs et groupes du domaine (avec séparation des comptes machine $) Détail complet par utilisateur : description, groupes, timestamps de mot de passe et de connexion, flags de compte, restrictions de connexion Politique de domaine et de mots de passe/verrouillage Informations LSA/DNS : nom DNS, forêt, GUID de domaine, SID, relations d’approbation (trusts) RID cycling via SAMR ou LSA (fallback optionnel avec --lsa-fallback) pour contourner les restrictions d’énumération directe Flagging automatique des comptes intéressants : AS-REP roastable, mot de passe non requis, délégation non contrainte, mot de passe dans la description, etc. 📁 Sorties structurées Chaque exécution génère un dossier horodaté contenant : ...

🔍 Contexte Publié le 18 septembre 2026 sur GitHub par l’auteur BoydHacks, ntlmscout est un outil offensif open source en Python 3.7+ (fichier unique, sans dépendances externes) destiné à la reconnaissance des endpoints NTLM exposés sur Internet. ⚙️ Fonctionnement technique L’outil exploite le fait qu’une négociation NTLM non authentifiée (message Type-1 NEGOTIATE) provoque en réponse un message Type-2 CHALLENGE qui divulgue de nombreuses informations internes Active Directory avant toute transmission de credential : ...

📰 Source : Blog Trellix (trellix.com), publié le 9 septembre 2026, par Adam G. Tomeo. Article de vulgarisation technique à destination d’un public professionnel. 🎯 Contexte L’article décrit en détail le mécanisme d’une attaque DCSync, une technique d’exfiltration de credentials ciblant les contrôleurs de domaine Active Directory (AD). Cette attaque est qualifiée de particulièrement dangereuse car elle est discrète et peut donner à l’attaquant un contrôle total sur l’identité numérique d’une organisation. ...

🔍 Contexte Publié le 5 août 2026 sur le blog de SpecterOps par Beyviel David, cet article constitue le volet outillage d’une série de recherches intitulée Turning Enterprise Update Servers Into Backdoor Factories. Il documente pas à pas l’utilisation de NotWSUSpicious, un outil Python open source disponible sur GitHub. ⚙️ Mécanisme d’attaque L’attaque repose sur une chaîne de compromission en plusieurs étapes : Prérequis : le serveur WSUS doit être configuré avec une base MSSQL externe et l’Extended Protection for Authentication (EPA) ne doit pas être activée sur le serveur SQL. Coercition d’authentification : l’outil PetitPotam est utilisé pour forcer le compte machine du serveur WSUS (WSUS1$) à s’authentifier vers la machine de l’attaquant via MS-EFSRPC. Relais NTLM : Ntlmrelayx (Impacket) relaie l’authentification NTLM vers le serveur MSSQL cible, établissant une session SQL en tant que compte machine WSUS. Accès à la base SUSDB : via un proxy SOCKS (proxychains) et un mssqlclient.py modifié, l’attaquant accède à la base SUSDB. Création de fausses mises à jour : NotWSUSpicious.py génère automatiquement les requêtes SQL nécessaires pour injecter une mise à jour malveillante (bundled update parent/enfant) dans WSUS, ciblant un groupe de machines ou un poste spécifique. 🛠️ Fonctionnement de NotWSUSpicious Génère deux GUIDs pour les mises à jour parent et enfant Calcule la taille, le hash SHA1 et le hash SHA256 du payload Injecte les métadonnées dans les procédures stockées WSUS (spImportUpdate, spSaveXmlFragment) Paramètres clés : URL d’hébergement du payload, nom de la mise à jour, chemin local, arguments CLI, groupe cible, machine cible 📦 Outils impliqués NotWSUSpicious (outil custom, Python 3.11) PetitPotam (coercition MS-EFSRPC) Ntlmrelayx / Impacket v0.13.0 (relais NTLM + proxy SOCKS) mssqlclient.py modifié (gestion des procédures stockées multi-résultats) proxychains (tunneling via SOCKS) 📌 Type d’article Il s’agit d’une publication de recherche offensive à vocation de red team et de tradecraft, dont le but principal est de documenter et faciliter l’exploitation des serveurs WSUS en environnement Active Directory d’entreprise. ...

🗓️ Contexte Analyse publiée le 3 août 2026 sur CyberThreat Report par Ferenc Frész, basée sur une annonce de vente de données apparue sur le forum DarkForums lors du premier week-end d’août 2026, sous le titre The Magyar Conquest. 🎯 Cible et acteur Le groupe ByteToBreach revendique la compromission de l’Államkincstár (Trésor public hongrois) et de l’MVH (Mezőgazdasági és Vidékfejlesztési Hivatal), deux entités majeures du secteur public hongrois. Les données volées sont proposées à la vente sur DarkForums. ...

🔍 Contexte Publié le 20 juillet 2026 par VMRay Labs (source : vmray.com), ce rapport présente l’analyse complète d’une campagne cybercriminelle russophone jusqu’alors non attribuée, baptisée Operation STANDOFF. La découverte initiale provient d’un signal comportemental issu de la plateforme UniqueSignal de VMRay, à partir d’un échantillon analysé le 13 mai 2026. 🎯 Vecteur initial et chaîne d’infection L’échantillon initial, setup_x86_x64_install.exe (MD5 : e77221d7a4b47b9107ba1b61a551ca89), est un installeur NSIS de 16,65 Mo fonctionnant comme un loader Pay-Per-Install (PPI). Il dépose entre 40 et 50 exécutables dans %LOCALAPPDATA%\Temp\7zSCB82E89C\ sous des noms aléatoires MONXXXXXXXX.exe et installe simultanément plusieurs familles de malwares : ...