Pulvérisation de mots de passe : guide d’attaque et conseils de prévention 

L’expression « spray and pray » trouve probablement son origine dans l’armée. Elle est utilisée pour décrire les tirs imprécis d’armes automatiques dans l’espoir que l’un des tirs trouve sa cible. Elle désigne aujourd’hui toute stratégie reposant sur le nombre de tentatives, qui permet de surmonter les failles en matière de précision ou de compétence. Lorsqu’il s’agit de craquer des mots de passe, le « spraying and praying » peut s’avérer une méthode d’attaque étonnamment efficace. Découvrez comment fonctionne la pulvérisation de mots de passe, quelques exemples concrets et des stratégies pour assurer la sécurité de votre entreprise.

Qu’est-ce que la pulvérisation de mots de passe ?

Les hackers ont recours à la technique de la pulvérisation de mots de passe afin de tester une série de mots de passe courants sur de nombreux comptes d’utilisateurs, dans l’espoir d’y accéder sans autorisation. Au lieu de tenter d’accéder à un seul compte en utilisant de nombreux mots de passe (ce qui peut générer des alertes de sécurité), les hackers répartissent leurs efforts sur de nombreux comptes, en utilisant un ou plusieurs mots de passe à la fois. Cela permet d’éviter le blocage des comptes et le déclenchement d’alertes de sécurité.

La pulvérisation de mots de passe est une technique d’attaque simple qui exploite la tendance humaine à utiliser des mots de passe simples et faciles à deviner, plutôt que de devoir faire appel à des compétences techniques pour les créer ou les réutiliser sur plusieurs comptes. Il s’agit d’une méthode à faible risque et à forte efficacité. Si l’un des comptes ciblés utilise un mot de passe courant et que le hacker y accède, il peut souvent se déplacer latéralement au sein du réseau pour accéder à des données précieuses.

La pulvérisation de mot de passe est-elle une attaque par force brute ?

La pulvérisation de mots de passe est liée aux attaques par force brute, mais son approche est différente. Les attaques par force brute nécessitent de tester rapidement un grand nombre de mots de passe sur un seul compte jusqu’à ce que le bon mot de passe soit trouvé. C’est l’inverse pour l’attaque par pulvérisation de mots de passe : il s’agit de cibler plusieurs comptes avec un petit ensemble de mots de passe couramment utilisés. L’idée est d’éviter de déclencher les mécanismes de blocage des comptes qui sont souvent activés par des tentatives répétées de connexion infructueuse sur un seul compte. Cette attaque est plus subtile, mais elle est moins efficace lorsqu’il s’agit de craquer un mot de passe associé à un compte spécifique.

Quelles sont les étapes d’une attaque par pulvérisation de mot de passe ?

• Étape 1 – Reconnaissance : les hackers commencent par dresser une liste de noms d’utilisateur potentiels. Ils peuvent y parvenir par différents moyens, tels que la consultation d’annuaires publics, l’utilisation d’outils permettant de recenser les comptes d’utilisateurs du système cible ou l’achat de bases de données sur le « dark web ».
• Étape 2 – Établissement d’une liste de mots de passe courants : les hackers dressent une liste des mots de passe les plus couramment utilisés et les plus faciles à deviner. Il s’agit souvent de « 123456 », « motdepasse », « azerty » et d’autres combinaisons simples. Les recherches de Specops montrent que ces mots de passe faibles sont encore très utilisés. Les hackers utilisent également des mots de passe obtenus lors de violations de données antérieures, puisque les utilisateurs réutilisent souvent leurs mots de passe sur plusieurs comptes.
• Étape 3 – Test : les hackers commencent par tester un petit nombre de mots de passe courants sur un grand nombre de comptes. Cette première phase les aide à comprendre les politiques de mot de passe et les mesures de sécurité de la cible. Ils espacent leurs tentatives de connexion afin d’éviter de bloquer des comptes ou d’alerter les systèmes de sécurité.
• Étape 4 – Amplification de l’attaque : une fois que les tests leur conviennent, les hackers utilisent des scripts automatisés pour amplifier l’attaque. Ces scripts permettent de tester la liste de mots de passe compilée sur un grand nombre de comptes simultanément. Ils contrôlent soigneusement le taux de tentatives de connexion pour éviter d’être détectés. Ils peuvent par exemple limiter le nombre de tentatives par heure ou par jour.
• Étape 5 – Exploitation de la brèche : une fois qu’ils ont pu accéder à un compte unique, ils peuvent se déplacer latéralement au sein du réseau pour accéder à des informations et à des systèmes plus sensibles. Ils peuvent utiliser le compte compromis pour extraire des données pertinentes, lancer des attaques supplémentaires, telles que des campagnes de phishing ou installer des logiciels malveillants.
• Étape 6 – Échapper à la détection : pour éviter d’être détectés, les hackers peuvent effacer les journaux, utiliser des canaux cryptés ou effacer leurs traces en modifiant les configurations du système. Ils peuvent créer des portes dérobées ou d’autres comptes d’utilisateurs pour s’assurer qu’ils peuvent conserver l’accès même si la brèche initiale est découverte.

Impacts d’une attaque par pulvérisation de mot de passe

Tout accès non autorisé d’un hacker à un ou plusieurs comptes utilisateurs entraîne des problèmes pour l’entreprise :

• Violation de données, vol d’informations sensibles et pertes financières potentielles
• Les comptes compromis peuvent être utilisés pour lancer d’autres attaques, diffuser des logiciels malveillants ou faire de l’espionnage
• L’attaque peut perturber les services, entraînant des temps d’arrêt et des perturbations opérationnelles
• L’atteinte à la réputation d’une entreprise peut ébranler la confiance des clients et des partenaires

Pour les équipes informatiques et de sécurité, les répercussions d’une attaque par pulvérisation de mot de passe peuvent être considérables :

• Il peut être nécessaire d’investir beaucoup de temps et de moyens pour enquêter sur la violation, identifier tous les comptes compromis et réinitialiser les mots de passe
• D’autres tâches essentielles sont délaissées et la charge de travail de l’équipe est mise à rude épreuve
• Il peut être nécessaire de renforcer les mesures de sécurité, ce qui peut nécessiter une formation et une assistance supplémentaires pour les utilisateurs
• La direction et les organismes de réglementation pourraient exercer une vigilance et une pression accrues sur l’entreprise

Vous souhaitez savoir combien de vos utilisateurs finaux utilisent des mots de passe faibles et faciles à deviner ? Pour effectuer une analyse en lecture seule de votre Active Directory, téléchargez notre outil gratuit Specops Password Auditor.

Exemple concret d’une attaque par pulvérisation de mot de passe

Les comptes de service Microsoft 365 ont récemment été la cible d’une attaque par pulvérisation de mot de passe de la part d’un vaste botnet composé de 130 000 appareils dans le monde entier. Les attaquants ont exploité l’authentification de base, qui envoie les informations d’identification en clair ou encodées en base64, pour contourner l’authentification multifactorielle (MFA). Cela leur permet d’éviter de déclencher des alertes de sécurité, rendant l’attaque difficile à détecter. Les attaquants savaient que cet exploit, combiné à la pulvérisation de mots de passe, leur permettrait de réussir s’ils l’essayaient contre un grand nombre de comptes de service.

Signes que vos utilisateurs finaux sont ciblés

Si vos utilisateurs finaux sont la cible d’attaques par pulvérisation de mot de passe, il y a plusieurs signes à surveiller :

1. Échec des tentatives de connexion : la pulvérisation de mots de passe vise à éviter les blocages, mais il se peut que vous constatiez des échecs de connexion suspects. Par exemple, une tentative de connexion échoue toutes les heures, même à des heures inhabituelles, comme tard dans la nuit ou tôt le matin.
2. Autres activités inhabituelles : les utilisateurs peuvent observer une activité inhabituelle sur leurs comptes, comme des tentatives de connexion à partir de lieux ou d’appareils inconnus, ou des modifications non autorisées des paramètres du compte.
3. Alertes de sécurité : vos systèmes de sécurité peuvent envoyer des alertes en cas de schémas de connexion suspects, par exemple lorsque plusieurs tentatives de connexion échouent à partir de la même adresse IP ou lorsque le nombre de demandes d’authentification augmente soudainement.
4. Tentatives de phishing : les utilisateurs peuvent recevoir des e-mails ou des messages d’hameçonnage qui cherchent à les inciter à révéler leurs informations d’identification, ce qui peut être le signe avant-coureur d’une attaque par pulvérisation de mot de passe.
5. Trafic réseau anormal : les outils de surveillance du réseau peuvent détecter des schémas de trafic inhabituels, comme un grand nombre de demandes de connexion provenant d’une seule adresse IP ou une augmentation soudaine du trafic d’authentification.

Comment vous défendre contre les attaques par pulvérisation de mot de passe ?

Pour se défendre contre les attaques par pulvérisation de mot de passe, il est nécessaire d’adopter une approche à plusieurs niveaux qui combine des mesures techniques, l’application d’une politique et la formation des utilisateurs :

1. Instaurer l’authentification multifactorielle (MFA) : la MFA ajoute une couche de sécurité supplémentaire en demandant aux utilisateurs de fournir une deuxième forme de vérification, comme un code envoyé sur leur téléphone, en plus de leur mot de passe. Il est ainsi beaucoup plus difficile pour les hackers d’obtenir un accès non autorisé, même s’ils ont le bon mot de passe.
2. Appliquer des politiques strictes en matière de mots de passe : pour se protéger contre la pulvérisation de mots de passe, il est essentiel d’éviter les mots de passe courants ou faciles à deviner. Il faut encourager les utilisateurs à créer des passphrases longues de plus de 15 caractères. Les passphrases se composent de trois mots aléatoires, ce qui les rend plus faciles à mémoriser que des chaînes de caractères aléatoires.
3. Désactiver l’authentification de base : l’authentification de base envoie des informations d’identification en clair ou encodées en base64, ce qui expose l’utilisateur à des interceptions. La désactivation de cette fonctionnalité dans vos systèmes, en particulier dans Microsoft 365, peut réduire considérablement le risque d’attaques par pulvérisation de mot de passe.
4. Surveiller et analyser les tentatives de connexion : utilisez des outils de gestion des informations et des événements de sécurité (SIEM) pour surveiller les tentatives de connexion et détecter des schémas inhabituels, par exemple si plusieurs tentatives de connexion échouent à partir de la même adresse IP ou si le nombre de demandes d’authentification augmente soudainement. Mettez en place des alertes pour informer votre équipe de sécurité de toute activité suspecte.

Besoin de conseils sur la sécurisation de l’ADFS ? Vous trouverez ici des informations détaillées sur la sécurisation de l’Active Directory Federation Service contre les attaques par pulvérisation de mot de passe.

Protégez vos mots de passe et vos identifiants

Specops Password Policy et Specops Secure Access sont des outils puissants qui peuvent aider les entreprises à améliorer considérablement leurs défenses contre les attaques par pulvérisation de mots de passe :

• Specops Password Policy : cette solution facilite l’application d’exigences strictes et complexes en matière de mots de passe. Vous pouvez définir des règles sur la longueur minimale, les types de caractères et même interdire les mots de passe courants et faciles à deviner. Votre Active Directory sera continuellement analysé et comparé à notre base de données croissante de plus de 4 milliards de mots de passe compromis.
• Specops Secure Access : il offre des options MFA robustes, qui ajoutent une couche de sécurité supplémentaire en demandant aux utilisateurs de procéder à une deuxième forme de vérification. Il peut s’agir de codes à usage unique envoyés à des appareils mobiles, d’authentification biométrique ou de jetons matériels.

En intégrant Specops Password Policy et Specops Secure Access à votre stratégie de sécurité, vous construisez une défense multicouche et robuste contre les attaques par pulvérisation de mots de passe. Vous voulez savoir comment ils peuvent s’adapter aux besoins de votre entreprise ? N’hésitez pas à nous contacter !

FAQ