Les outils d'accès à distance (Remote Access Tools ou RAT en anglais) sont couramment utilisés dans nos entreprises. Cependant, ces outils peuvent représenter une menace sérieuse s'ils sont exploités par des acteurs malveillants.
Ces derniers temps, nous observons l'utilisation des outils d'administration à distance tels que Anydesk ou bien NetSupport par des acteurs malveillants.
Ces outils sont légitimes, ce qui signifie qu'ils ne sont généralement pas identifiés comme des logiciels malveillants par la plupart des EDR disponibles sur le marché. Ils sont principalement utilisés pour se fondre dans des activités informatiques légitimes, en exploitant notamment des composants déjà présents dans l'environnement, ce que l'on appelle aussi « Living off the Land Binaries ».
En effet, pour maintenir un service informatique opérationnel, il est parfois nécessaire pour le support IT d'avoir un moyen de se connecter facilement à distance aux machines de l'organisation pour mener des opérations d'administration. Cette nécessité est d'autant plus forte avec la généralisation du télétravail qui est désormais ancré dans les habitudes des employés.
Nous distinguerons dans cet article...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
[1] THE DFIR REPORT, “NetSupport Intrusion Results in Domain Compromise”, 30 octobre 2023,
https://thedfirreport.com/2023/10/30/netsupport-intrusion-results-in-domain-compromise/
[2] Impacket WMIEXEC, https://github.com/fortra/impacket/blob/master/examples/wmiexec.py
[3] Risques relatifs aux agents et serveurs de gestion centralisée,
https://cyber.gouv.fr/sites/default/files/document/anssi-guide-admin_securisee_si_ad_v1-0%20%283%29.pdf
[4] THE DFIR REPORT, “BumbleBee Roasts Its Way to Domain Admin”, 8 août 2022,
https://thedfirreport.com/2022/08/08/bumblebee-roasts-its-way-to-domain-admin/
[5] Team Huntress, “Threat Advisory: XMRig Cryptomining By Way Of TeamViewer”, 30 mai 2023,
https://www.huntress.com/blog/threat-advisory-xmrig-crypto-mining-by-way-of-teamviewer
[6] I. PATTERSON, “NSSM - the Non-Sucking Service Manager”, https://nssm.cc/
[7] Teamviewer, https://www.teamviewer.com/
[8] Part de marché “Remote Access tool”, https://6sense.com/tech/remote-support
[9] TeamViewer IT security incident,
https://www.teamviewer.com/fr/resources/trust-center/security-bulletins/tv-2024-1005/
[10] Anydesk, https://anydesk.com/
[11] AnyDesk, “AnyDesk Incident Response 2-2-2024”, 2 février 2024,
https://anydesk.com/en/public-statement-2-2-2024
[12] Netsupport, https://www.netsupportmanager.com/
[13] AsyncRAT, https://github.com/NYAN-x-CAT/AsyncRAT-C-Sharp
[14] NtCreateMutant, http://undocumented.ntinternals.net/index.html?page=UserMode%2FUndocumented%20Functions%2FNT%20Objects%2FMutant%2FNtCreateMutant.html
[15] Velociraptor, “Windows.Detection.Mutants”,
https://docs.velociraptor.app/artifact_references/pages/windows.detection.mutants/
[16] Velociraptor, DFIR, https://docs.velociraptor.app/
[17] DWService, https://www.dwservice.net/
[18] Sigma, https://github.com/SigmaHQ/sigma
[19] DWS Remote Control Docs, “How do I install the agent silently?”,
https://docs.dwservice.net/docs/site/dwservice-installation/how-do-i-install-the-agent-silently/#proxy
[20] J. SCHOENFELD and J. KILLAM, “Remote access tool or trojan? How to detect misbehaving RATs” 19 août 2021 - mise à jour le 7 juin 2022, https://redcanary.com/blog/misbehaving-rats/
[21] B. BERNSTEIN, “Remote control: Detecting RMM software and other remote admin tools”, 1 septembre 2023, https://redcanary.com/blog/rmm-software/
[22] Red Canary. (2024, April 4). Remote Administration Definitions. Retrieved from :
https://github.com/redcanaryco/surveyor/blob/master/definitions/remote-admin.json