Joël HIEN
Joël HIEN is a security expert at Orange Cyberdefense, specializing in Active Directory and the exploitation of native Windows interfaces overlooked by defenses. As an open-source tool contributor, he focuses on directory reconnaissance and manipulation techniques, and has conducted research on WSUS and ESC8 relaying. Having already spoken on international stages, he regularly publishes in MISC magazine, with a keen focus on both offensive and defensive facets.
Intervention
ADWS (Active Directory Web Services) est une interface native de Windows Server, largement ignorée par les outils de détection; et pourtant exploitable pour énumérer un domaine AD de bout en bout, sans toucher à LDAP.
Dans ce talk, nous présentons Soaphound.py, un outil Python que nous avons développé pour collecter des données AD via ADWS et les injecter dans BloodHound. Nous montrerons comment un attaquant peut, depuis Linux, cartographier un domaine entier en passant sous les radars de la plupart des défenses traditionnelles.
Au-delà de la reconnaissance, nous montrerons qu'ADWS ne se limite pas à la lecture : des opérations d'écriture sur l'annuaire sont également possibles via ce canal, ouvrant la voie à des attaques offensives classiquement associées à LDAP telles que la modification d'attributs sensibles ou la manipulation des droits de délégations, le tout depuis Linux. Nous aborderons également la vision défensive : comment reconnaître du trafic ADWS suspect et construire des règles de détection dans un SIEM malgré l'absence de logs natifs dédiés.