Les techniques et boîtes à outils dont dispose un attaquant sont nombreuses. Nous allons voir qu’un framework d’apparence anodine dans Windows, WMI (Windows Management Instrumentation), peut se révéler être une menace redoutable et particulièrement difficile à détecter.
1. Introduction
Parmi les fondamentaux d'une APT (Advanced Persistent Threat), on trouve deux besoins essentiels à un attaquant : persister sur le système d'information et pouvoir y effectuer des mouvements latéraux (déplacements de machine en machine).
La persistance est utilisée notamment pour le RAT (Remote Administration Tool) permettant à l'attaquant d'avoir un pied dans le SI, mais pas seulement. On voit couramment des besoins du type surveiller la création de fichiers dans un répertoire ou permettre la communication entre 2 sous réseaux.
Ces fonctions ont un besoin commun, survivre à un redémarrage de la machine sur laquelle elles opèrent.
Windows ne manque pas de moyens de persistance, aussi appelé ASEPs (Auto-Start Extensibility Points) que ce soit via le registre (Clé Run, Services…) ou via le système de fichiers (remplacement de binaire, DLL preloading…). Le problème pour l'attaquant, c'est que la plupart de ces ASEPs sont bien connus des...
- Accédez à tous les contenus de Connect en illimité
- Découvrez chaque semaine un nouvel article premium
- Consultez les nouveaux articles en avant-première
