Une organisation a subi une faille de sécurité qui a permis à un attaquant d'envoyer des virements frauduleux depuis un PC renforcé exclusivement vers la banque de l'attaquant via des connexions à distance. Un analyste de sécurité crée une chronologie des événements et a trouvé un autre PC sur le réseau contenant des logiciels malveillants. En examinant l'historique des commandes, l'analyste trouve ce qui suit : PS>.\mimikatz.exe "sekurlsa::pth /user:localadmin /domain:corp-domain.com /ntlm:B4B9B02E1F29A3CF193EAB28C8D617D3F327 Lequel des énoncés suivants décrit le mieux comment l'attaquant a obtenu l'accès au PC renforcé ?

L'option correcte est une attaque par « pass-the-hash » (PtH) utilisant un compte de support partagé. La commande mimikatz.exe "sekurlsa::pth /user:localadmin /domain:corp-domain.com /ntlm:B4B9B02E1F29A3CF193EAB28C8D617D3F327 est une indication claire d'une attaque PtH. Mimikatz est un outil connu pour extraire les informations d'authentification de la mémoire, et la syntaxe /pth avec un hachage NTLM spécifié (/ntlm:B4B9B02E1F29A3CF193EAB28C8D617D3F327) permet à l'attaquant de s'authentifier en utilisant ce hachage sans connaître le mot de passe en clair. Le compte localadmin est souvent un compte de service ou de support partagé. Les autres options sont incorrectes : Le logiciel malveillant sans fichier hébergé par la plateforme bancaire ne correspond pas à l'utilisation explicite de Mimikatz et d'un hachage NTLM. L'utilisation de binaires « living-off-the-land » (LotL) fait référence à l'utilisation d'outils système légitimes, ce qui n'est pas le cas de Mimikatz qui est un outil d'attaque. La manipulation de l'expert-comptable (ingénierie sociale) n'est pas directement étayée par la commande Mimikatz, qui indique une compromission technique.