Calipia : le blog

Dans le monde feutré mais brutal de la cybersécurité d’entreprise, il est un service aussi banal que stratégique : Active Directory (AD). Utilisé dans l’écrasante majorité des environnements Windows en entreprise, il orchestre l’authentification, l’autorisation et la gestion des ressources. Ce chef d’orchestre discret est pourtant devenu une cible privilégiée dans la guerre que se livrent ransomware et défenseurs du numérique. Microsoft tire une nouvelle fois la sonnette d’alarme, en parfaite synchronisation avec les agences de sécurité américaines et australiennes, sur la compromission de plus en plus systématique des contrôleurs de domaine par des groupes de cybercriminels.

Le dernier billet de blog publié par Alon Rosental, directeur produit chez Microsoft, met en lumière une réalité glaçante mais désormais bien établie : 78 % des attaques par ransomware opérées par des humains impliquent une compromission du contrôleur de domaine. Dans 35 % des cas, il sert même de point d’ancrage principal pour propager les charges utiles malveillantes.

Pourquoi un tel engouement de la part des attaquants ? Parce, sans guère de surprise, un contrôleur de domaine compromis, c’est un accès immédiat et massif à l’ensemble du réseau. Il permet de :

• Contourner les MFA, en abusant des tokens Kerberos ou en manipulant les stratégies de groupe.
• Modifier les droits à grande échelle, facilitant la prise de contrôle des postes clients.
• Propager un ransomware comme on envoie un e-mail de newsletter.

Cas pratique : une PME laminée par Akira

Microsoft relate un cas tristement classique : une petite entreprise industrielle, apparemment sans histoire, est ciblée par un groupe opérant le ransomware Akira. Les attaquants récupèrent les identifiants d’un administrateur de domaine (via phishing ou credentials stuffing), puis se connectent en RDP sur le contrôleur. L’enchaînement est rapide : reconnaissance, élévation de privilèges, modification des GPO, et préparation de la diffusion du ransomware.

Microsoft met alors en scène Defender pour résoudre le problème 🙂

Grâce à une fonctionnalité introduite récemment dans Microsoft Defender for Endpoint, le processus d’attaque est stoppé net. Cette fonction, baptisée “Contain High Value Assets” (HVA), permet une mise en quarantaine automatisée des machines critiques (comme les DC) dès qu’un comportement suspect est détecté.

Ce mécanisme repose sur une cartographie préalable des rôles des machines, croisée avec des règles de criticité personnalisables. Autrement dit, même si un DC est compromis, il ne devient pas une rampe de lancement, mais un silo isolé, empêchant toute latéralisation. Subtilité notable : cette isolation n’interrompt pas le fonctionnement du DC, évitant ainsi des effets de bord destructeurs pour l’entreprise.

Bonnes pratiques recommandées par la NSA

Microsoft n’est pas seul dans sa croisade. Un rapport conjoint entre la NSA et le gouvernement australien, publié en 2024, dresse une liste de recommandations techniques, allant bien au-delà des conseils habituels :

• Implémentation d’un modèle d’administration en tiers (Tiered Admin Model) pour cloisonner les privilèges.
• Évaluation régulière de l’hygiène AD (audit des groupes privilégiés, surveillance des comptes de service, etc.).
• Application stricte du principe du moindre privilège, y compris pour les comptes systèmes souvent négligés.

Ces mesures sont techniques, mais indispensables. Et pourtant, dans de nombreuses entreprises, l’AD reste un vestige mal entretenu d’un héritage Windows 2000, souvent documenté à la va-vite, rarement audité, et presque jamais segmenté correctement.

Conclusion : ne laissez pas le château sans pont-levis

Active Directory, bien que vieillissant, reste le pilier central des infrastructures Microsoft. Le compromis d’un contrôleur de domaine n’est plus une hypothèse, c’est le scénario standard des ransomwares modernes. Les solutions de défense existent, mais elles nécessitent un changement culturel autant que technologique : visibilité, automatisation, réduction des privilèges et, surtout, anticipation.