Emulating FIN6 - Active Directory Enumeration Made EASY

Emulating FIN6 - Active Directory Enumeration Made EASY

Émulation de FIN6 – L'énumération Active Directory simplifiée

par HackerSploit · Voir la chaîne sur PSI

Sciences appliquées & ingénierie Informatique & Cybersécurité URSécurité informatiqueURHFraude et piratage informatique
🎙 HackerSploit 👥 1.0M 📅 17 février 2025 ⏱ 20 min 👁 14K 📄 tutoriel 🧭 2026-10-09
Disponible en : Français (actuel) English

Mots-clés

FIN6énumération Active DirectoryAdFindMITRE ATT&CKémulation d'adversaire

Résumé

Cette vidéo s’inscrit dans une série d’émulation de l’acteur de menace FIN6 et se concentre sur la phase de découverte (discovery) appliquée à un environnement Active Directory. L’auteur rappelle d’abord le contexte : FIN6 est un groupe connu pour mener une énumération extensive après obtention d’un accès initial, en s’appuyant sur des commandes natives Windows et PowerShell ainsi que sur l’outil AdFind. La démonstration se déroule dans un laboratoire préconfiguré de la plateforme CYBER RANGES (lab 1.3), accessible gratuitement, où une session Meterpreter a déjà été obtenue sur le contrôleur de domaine. L’auteur charge le module PowerShell dans Meterpreter, puis se place dans le répertoire C:\Users\Public pour y stocker les données énumérées en vue de leur exfiltration ultérieure. Il déroule ensuite plusieurs techniques : découverte de comptes de domaine (AdFind avec objectcategory=person, puis net user /domain), découverte de systèmes distants (objectcategory=computer, puis net group « Domain Computers » /domain), découverte des relations d’approbation de domaine (AdFind trustdump, puis nltest /domain_trusts), découverte de la configuration réseau (objectcategory=subnet, puis Get-ADReplicationSubnet), et enfin découverte des groupes de permissions (objectcategory=group, puis net group /domain). Chaque commande redirige sa sortie vers un fichier texte nommé de façon descriptive, ce qui reproduit la pratique de FIN6 consistant à agréger les informations pour les exfiltrer et les analyser avant la phase deux de l’attaque. La vidéo se termine en annonçant que l’exfiltration et l’élévation de privilèges seront traitées dans un épisode suivant.

235 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur informative de cette vidéo réside dans sa dimension opérationnelle : elle ne se contente pas de lister des commandes, elle les inscrit dans une chaîne d’attaque cohérente, de l’accès initial à la préparation de l’exfiltration. L’auteur justifie chaque étape par le comportement attribué à FIN6, ce qui donne du sens à la progression : énumérer les utilisateurs, les ordinateurs, les relations d’approbation, les sous-réseaux et les groupes répond à des besoins distincts de cartographie de l’environnement et de préparation du mouvement latéral. L’argumentation repose sur la logique de l’émulation : reproduire fidèlement les procédures de l’acteur plutôt que d’utiliser l’outil le plus efficace, afin de valider les capacités de détection. Ce choix méthodologique est explicité et cohérent. La démonstration alterne systématiquement une procédure principale (AdFind) et une procédure alternative (net, nltest, cmdlets PowerShell), ce qui enrichit la valeur pratique et montre la redondance des techniques. On peut toutefois regretter l’absence d’analyse des sorties : l’auteur se contente de vérifier que les fichiers sont créés, sans expliquer comment interpréter les données collectées ni quels indicateurs de compromission elles permettraient de détecter. La dimension défensive, pourtant annoncée pour les Blue Teamers, reste implicite.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur technique est globalement bonne : les commandes sont exactes, les cmdlets PowerShell employés (Get-ADOrganizationalUnit, Get-ADReplicationSubnet) sont corrects, et le rattachement aux techniques MITRE ATT&CK est explicite via une couche Navigator. La principale source citée est la bibliothèque d’émulation d’adversaires du Center for Threat-Informed Defense, référencée dans la description, qui constitue une base reconnue et documentée. Le plan d’émulation FIN6 sert de fil conducteur et l’auteur précise que FIN6 est « believed to have used AdFind » sur au moins une occasion, formulation prudente qui reflète l’incertitude du renseignement. Aucune source primaire (rapport de threat intelligence, analyse d’éditeur) n’est toutefois citée directement pour étayer les attributions comportementales. L’adéquation entre le titre et le contenu est satisfaisante : la vidéo traite bien de l’énumération Active Directory par émulation de FIN6, sans écart notable. Aucun commentaire n’étant fourni, aucune analyse des tendances du public n’est formulée.

353 mots

Qualité & fiabilité

7/10

Le contenu s'appuie sur un plan d'émulation d'acteur réel (FIN6) issu de la bibliothèque du Center for Threat-Informed Defense, avec des commandes natives Windows (net, nltest, cmdlets Get-AD*) et AdFind correctement employées. Les techniques sont rattachées à des identifiants MITRE ATT&CK précis (T1087 Account Discovery, etc.). La démonstration est reproductible dans un lab fourni. En revanche, aucune source primaire de renseignement sur FIN6 n'est citée directement, et les affirmations sur les procédures de l'acteur reposent sur le plan d'émulation sans discussion des incertitudes.

Moments clés

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

Sources citées

  • CTID Adversary Emulation Library — Bibliothèque de plans d'émulation d'adversaires du Center for Threat-Informed Defense, base du plan FIN6 utilisé dans la série.
  • CYBER RANGES — plateforme de labs — Plateforme hébergeant le lab 1.3 utilisé pour la démonstration, avec environnement Kali Linux et Active Directory préconfiguré.

Sources concordantes

Références externes

Apport & nouveautés

L’apport de cette vidéo tient moins à la nouveauté des techniques présentées — l’énumération Active Directory est un sujet classique — qu’à leur intégration dans un cadre d’émulation structuré et reproductible. Elle montre comment un plan d’émulation formel, adossé à MITRE ATT&CK et à la bibliothèque du CTID, se traduit en commandes concrètes, avec pour chaque technique une procédure principale et une procédure alternative. Cette approche par redondance est pédagogiquement utile : elle illustre que les attaquants disposent de plusieurs voies pour un même objectif, ce qui a des implications directes pour la détection. La vidéo met également en avant la pratique du staging dans un répertoire public en vue de l’exfiltration, étape souvent négligée dans les tutoriels d’énumération.

Pour aller plus loin :

  • MITRE ATT&CK — Account Discovery (T1087) — Technique centrale de la vidéo, avec ses sous-techniques et les procédures de détection associées.
  • MITRE ATT&CK — Domain Trust Discovery (T1482) — Correspond à la séquence AdFind trustdump / nltest /domain_trusts démontrée.
  • MITRE ATT&CK — Remote System Discovery (T1018) — Cadre la découverte des ordinateurs du domaine présentée dans la vidéo.
  • AdFind (outil de Joe Richards) — Utilitaire d’interrogation LDAP employé comme procédure principale tout au long de la démonstration.
  • nltest — Utilitaire natif Windows de test des relations d’approbation et de l’appartenance au domaine, utilisé comme procédure alternative.

220 mots

Profil radar

Le profil radar est celui d'un contenu technique appliqué, solide sur la quantité et la qualité de l'information ainsi que sur le niveau technique, avec une fiabilité globale bonne mais non maximale faute de sources primaires de renseignement. Le contenu est dense et opérationnel, mais reste centré sur la mécanique offensive sans approfondir les contre-mesures défensives.

Fiabilité 7/10