Aller au contenu
DevSecOps Logo DevSecOps
Docs
Blog
Blog

Phase 2 - L’armement

Mise à jour :

L’armement constitue la deuxième étape d’une cyberattaque.Après la phase de reconnaissance, l’attaquant utilise toutes les informations collectées pour concevoir des logiciels malveillants, des scripts ou d’autres éléments spécifiques pour exploiter les vulnérabilités de la cible et pénétrer en profondeur dans le système d’information.

Qu’est-ce que la Phase d’Armement ?

Dans cette phase, les attaquants transforment les données obtenues en armes concrètes, telles que des malwares, des exploit kits, des phishing kits en charges utiles (payloads). Ce processus consiste à adapter des logiciels, préparer des techniques d’intrusion, et s’assurer que les outils, y compris le payload, sont suffisamment discrets pour éviter la détection.

En clair, l’objectif est de fabriquer des « armes » capable de pénétrer un maximum d’assets de la cible et de déployer un payload, qui exécutera des actions malveillantes sur l’ensemble de l’infrastructure une fois introduite dans le système.

Les Différentes Techniques d’Armement

  1. Création de Malware : Il peut s’agir de Trojans, de ransomware ou d’autres types de logiciels malveillants spécifiquement conçus pour exploiter les vulnérabilités de la cible. Ces logiciels sont souvent polymorphes, c’est-à-dire qu’ils changent leur code pour échapper aux logiciels de détection.

  2. Conception de Scripts d’Exploitation : Les attaquants écrivent des scripts pour automatiser l’exploitation de failles identifiées, comme des injections SQL, des escalades de privilèges ou des commandes malveillantes.

Outils Utilisés pendant l’Armement

Différents outils sont utilisés pour créer et tester des attaques. Ces outils, bien qu’utilisés à des fins malveillantes, sont également employés pour des tests de pénétration en sécurité légitime. Voici quelques exemples :

Environnements de Développement de Malware

  • Metasploit : Un framework populaire pour tester des exploits et personnaliser des charges malveillantes.
  • Veil : Un outil qui permet de créer des payloads pour éviter les détections antivirus.
  • Cobalt Strike : Utilisé pour simuler des campagnes de phishing et de faux logiciels, Cobalt Strike facilite la planification et le déploiement d’exploits.

Kits d’Exploitation (Exploit Kits)

  • Angler : Un exploit kit notoire utilisé pour cibler les navigateurs avec des vulnérabilités spécifiques.
  • RIG : Un autre kit de renommée qui fournit des exploits pour diverses failles, en particulier les plug-ins obsolètes.
  • Neutrino : Cet exploit kit se concentre sur les vulnérabilités des navigateurs et injecte des charges utiles discrètes.

Outils d’Offuscation et d’Évasion

  • Shellter : Un outil d’offuscation de payloads qui aide à cacher le code malveillant dans des fichiers.
  • Obfuscator.io : Permet de rendre le code difficile à analyser pour les outils de détection.
  • PE Cloak : Un utilitaire qui rend les exécutables indétectables en masquant leurs signatures.

Types de Payloads et Techniques d’Intrusion

Les payloads, qui constituent la charge malveillante, sont préparés de manière à être efficaces et discrets. Voici quelques types de payloads et leurs usages :

  1. Chevaux de Troie (Trojans) : Discrètement intégrés dans des logiciels apparemment innocents, ces payloads permettent une prise de contrôle à distance.
  2. Ransomware : Utilisé pour chiffrer les fichiers de la cible, ce qui mène souvent à des demandes de rançon.
  3. Backdoors : Des portes dérobées sont implantées pour permettre un accès régulier sans être détecté par les pare-feux et autres dispositifs de sécurité.
  4. Keyloggers et Spyware : Ces logiciels espionnent les utilisateurs en capturant les frappes clavier ou en enregistrant d’autres activités.

Techniques d’Optimisation des Payloads

L’armement exige souvent que les attaquants affinent les payloads pour assurer leur efficacité. Voici quelques techniques d’optimisation courantes :

  • Chiffrement des Payloads : L’encodage des payloads les rend illisibles pour les outils de sécurité.
  • Fragmentation des Données : Les payloads sont découpés en plusieurs segments pour éviter d’être détectés dans leur intégralité.
  • Horodatage et Activation Déclenchée : Les payloads sont configurés pour s’activer à un moment précis ou suite à une action spécifique, comme l’ouverture d’un fichier.

Comment se Protéger Contre les Techniques d’Armement ?

Pour se défendre contre les techniques d’armement, il est important de déployer des mesures de sécurité avancées :

Renforcement des Systèmes de Détection et de Sécurité

  • Antivirus et Anti-malware : Utiliser des logiciels de détection performants et régulièrement mis à jour pour repérer les charges malveillantes.
  • Analyse Heuristique et Comportementale : Ces analyses permettent de détecter les comportements suspects même lorsque le malware est inconnu.
  • Firewalls Avancés : Configurer des pare-feux pour surveiller les comportements anormaux au sein du réseau sur l’ensemble de l’infrastructure.

Chiffrement et Authentification

Les techniques de chiffrement permettent de protéger les données sensibles et rendent leur exploitation plus difficile pour les attaquants. Utiliser des systèmes de chiffrement pour protéger les fichiers critiques.

Surveillance Active et Analyse des Logs

Les outils de surveillance et d’analyse de logs permettent de repérer les tentatives d’intrusion en analysant les anomalies.

  • SIEM (Security Information and Event Management) : Collecte et analyse les événements pour détecter les attaques en cours.
  • Surveillance Réseau en Temps Réel : Pour identifier et bloquer les tentatives d’intrusion instantanément.

Sensibilisation et Formation des Employés

Les campagnes de phishing et de social engineering visent souvent les employés. Il est donc crucial de :

  • Former les collaborateurs à reconnaître les emails suspects.
  • Limiter les droits d’accès pour minimiser les dommages en cas de compromission.

Ressources