Malware Can Abuse Windows Hello for Business Keys for Persistent Entra ID Access

Détournement des clés Windows Hello for Business pour l’accès persistant à Entra ID

Un chercheur en sécurité, Dirk-jan Mollema, a démontré qu’un logiciel malveillant exécuté dans une session Windows active peut détourner les clés Windows Hello for Business pour s’authentifier silencieusement auprès de Microsoft Entra ID. Cette méthode permet aux attaquants d’obtenir un accès persistant au cloud sans nécessiter de privilèges d’administrateur, de voler la clé privée ou de forcer une authentification biométrique.

Points clés :

• Abus de conception : La technique exploite le fonctionnement légitime des tickets Windows qui permettent à un code s’exécutant au nom de l’utilisateur de signer des données d’authentification tant que celui-ci est connecté.
• Contournement des barrières : L’attaquant traite la clé Windows Hello comme une clé FIDO2 via WebAuthn, permettant d’obtenir des assertions de signature qui ne sont pas liées à un appareil spécifique.
• Persistance accrue : Une fois l’assertion obtenue, l’attaquant peut enregistrer son propre appareil, obtenir un Primary Refresh Token (PRT) et potentiellement ajouter de nouvelles méthodes d’authentification si les politiques du locataire (tenant) le permettent.
• Validité : Cette méthode peut satisfaire les politiques d’accès conditionnel exigeant une authentification résistante au phishing.

Vulnérabilités :

• CVE : Aucune. Le comportement est considéré comme une fonctionnalité documentée par Microsoft plutôt qu’une faille logicielle classique.

Recommandations :

• Surveillance : Auditer les logs à la recherche d’authentifications Windows Hello for Business présentant un identifiant d’appareil (device ID) vide, ce qui peut indiquer une utilisation suspecte.
• Politiques de sécurité : Appliquer des politiques d’accès conditionnel strictes sur l’état des appareils et leur conformité pour limiter la capacité d’enregistrement de nouveaux périphériques par des acteurs non autorisés.
• Veille : Bien que non exploitable dans tous les environnements, cette technique souligne que l’authentification “résistante au phishing” reste vulnérable si le poste de travail lui-même est compromis.

Source