June 24, 2022 3:30 PM (GMT+2) - Aurélien CHALOT @OrangeCyberdef
Sous Windows, l'authentification est gérée par le processus Lsass. La plupart du temps lorsqu'un attaquant compromet une machine il va tenter de dumper la RAM du processus LSASS dans le but d'en extraire les secrets d'authentification présents. Il pourra ensuite tenter de les rejouer sur d'autres serveurs dans le but d'élever ses privilèges et d'élargir son périmètre de compromission.
🇫🇷 ABUSER DES TOKENS WINDOWS DANS LE BUT DE COMPROMETTRE UN ACTIVE DIRECTORY
https://github.com/Orange-Cyberdefense/leHACK-2022
Talk-Exploitation-de-tokens-Windows-leHACK-2022-Video1-mimikatz-and-replay-compressed.mp4
Well known from AV so kinda hard to use it now