Ajouter à une liste de lectureLes techniques et boîtes à outils dont dispose un attaquant sont nombreuses. Nous allons voir qu’un framework d’apparence anodine dans Windows, WMI (Windows Management Instrumentation), peut se révéler être une menace redoutable et particulièrement difficile à détecter.
1. Introduction
Parmi les fondamentaux d'une APT (Advanced Persistent Threat), on trouve deux besoins essentiels à un attaquant : persister sur le système d'information et pouvoir y effectuer des mouvements latéraux (déplacements de machine en machine).
La persistance est utilisée notamment pour le RAT (Remote Administration Tool) permettant à l'attaquant d'avoir un pied dans le SI, mais pas seulement. On voit couramment des besoins du type surveiller la création de fichiers dans un répertoire ou permettre la communication entre 2 sous réseaux.
Ces fonctions ont un besoin commun, survivre à un redémarrage de la machine sur laquelle elles opèrent.
Windows ne manque pas de moyens de persistance, aussi appelé ASEPs (Auto-Start Extensibility Points) que ce soit via le registre (Clé Run, Services…) ou via le système de fichiers (remplacement de binaire, DLL preloading…). Le problème pour l'attaquant, c'est que la…
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première