Vous avez reconstruit votre Active Directory. L’attaquant est encore là.
ump — Un mot de passe pourri recent 2026-04-14 · Voir sur Substack ↗
Vous avez rebuild l'AD. KRBTGT reset, ACL nettoyées, comptes admin rotatés. L'attaquant attend. Il a la KDS Root Key. Il régénère vos mots de passe gMSA hors ligne, sans toucher vos DC. Personne n'en parle. https://unmotdepassepourri.substack.com/p/rebuild-ad-vous-avez-tout-nettoye
1/ Rebuild AD fini : KRBTGT reset×2, ACL auditées, GPO nettoyées. Rapport de clôture en cours. Équipe épuisée. L'attaquant attend. Il a une clé que personne n'a régénérée : la KDS Root Key.
2/ Cette clé dérive TOUS les mots de passe gMSA de votre forêt. Mot de passe pas stocké, il est calculé à la demande. Avec la KDS, l'attaquant reproduit ce calcul hors ligne. Pas de connexion à vos DC. Pas de log.
3/ Il régénère le mot de passe actuel de n'importe quel compte de service managé. Accède aux serveurs où ces comptes ont des droits. Recommence dans 30j avec le nouveau mot de passe. Silencieux. Cryptographiquement valide.
4/ Pourquoi c'est oublié ? Pas dans les playbooks IR standards. Pas dans les audits post-incident des grands cabinets. Les apps continuent de tourner après rebuild → tout semble normal. Personne ne pense à cette clé.
5/ gMSA = bonne pratique sécu. Rotation auto des mots de passe de service, plus de secrets en dur. Sauf que si la KDS Root Key est compromise, vous offrez une backdoor cryptographique permanente. Et elle ne change jamais par défaut.
6/ Rebuild AD sans régénérer la KDS Root Key, c'est laisser un attaquant calculer vos mots de passe de service pendant des mois. Sans jamais toucher vos systèmes. Sans anomalie réseau. Golden gMSA. Angle mort systématique.
7/ Si vous avez des gMSA en prod et que vous avez subi une compromission admin AD, la KDS Root Key doit être régénérée. Sinon vous n'avez rien nettoyé.
8/ Détails techniques, procédure de régénération, et pourquoi ça n'apparaît jamais dans les rapports post-incident : https://unmotdepassepourri.substack.com/p/rebuild-ad-vous-avez-tout-nettoye
Rebuild AD terminé, équipe épuisée, rapport IR en cours. L'attaquant a extrait la KDS Root Key. Il calcule vos mots de passe gMSA hors ligne, sans toucher vos DC. Golden gMSA. Angle mort systématique. Personne ne régénère cette clé.
gMSA = bonne pratique sécu. Rotation auto des mots de passe. Sauf que si la KDS Root Key est compromise, vous offrez une backdoor cryptographique permanente. Elle ne change jamais par défaut. Aucun playbook IR standard n'en parle. Vécu sur le terrain.
Rebuild AD sans régénérer la KDS Root Key, c'est écrire "incident résolu" alors que l'attaquant calcule vos mots de passe de service hors ligne pendant des mois. Playbooks IR des grands cabinets ne la mentionnent jamais. Vérifié sur 8 missions consécutives.