Symposium sur la sécurité des technologies de l'information et des communications

Les vecteurs d’attaque basés sur les Group Policy Objects (GPOs) peuvent être décrits comme les vilains petits canards de l’exploitation Active Directory. Dans le monde de l’audit offensif d’environnements internes, une certaine réticence à l’implémentation de chemins de compromission supposant la manipulation de GPOs est régulièrement observée, et ce, malgré leur potentiel certain. Une telle situation résulte en une sous-estimation de l’impact et de la criticité de ces vecteurs d’attaque, en raison d’un manque de démonstration concrète des risques qui y sont liés.

Diverses raisons peuvent être avancées pour expliquer un tel manque de popularité, et la plupart d’entre elles sont liées à certaines limitations de l’outillage existant : pas ou peu de fonctionnalités visant à répondre aux risques inhérents à la manipulation de ces composants d’infrastructure sensibles, pas de possibilité de nettoyage après exploitation, possibilités d’injection et de manipulation des GPOs limitées.

GroupPolicyBackdoor est un outil visant à répondre à ces limites en proposant un cadre d’exploitation stable et modulaire des GPOs. Écrit en Python à partir des librairies ldap3 et smbprotocol, l’outil est disponible sur Github (https://github.com/synacktiv/GroupPolicyBackdoor). Son objectif est de permettre une meilleure évaluation des risques liés aux vecteurs d’attaque passant par la manipulation de GPOs en démontrant leur impact concret.