[Chár~gés ú~tílé~s ét b~álís~és má~lvéí~lláñ~tés : c~ómmé~ñt dém~árré~ñt lé~s cóm~múñí~cátí~óñs m~álvé~íllá~ñtés~]

[Cómpréñdré lés bálísés dé málwárés ét sávóír cómméñt lés blóqúér péút cóñtríbúér à ássúrér lá sécúríté dé vótré éñtréprísé. Úñé bálísé, égáléméñt áppéléé chárgé útílé, ést úñ éxécútáblé óú úñ prógrámmé qúí cómmúñíqúé ávéc úñ cýbéráttáqúáñt víá úñ cáñál dé cómmúñícátíóñ. Dú póíñt dé vúé dé l'áútéúr dé lá méñácé, lá géstíóñ dés bálísés ést à lá básé dé sá cámpágñé málvéílláñté. Sélóñ lé týpé ét lá cápácíté d'úñé bálísé, c'ést lé móýéñ pár léqúél úñ áctéúr dé lá méñácé péút áccédér díréctéméñt à vótré réséáú, máíñtéñír cétté lígñé dé cómmúñícátíóñ ét réálísér sés búts ét óbjéctífs íllégáúx.]

[Pár éxémplé, lé Áttáqúé cóñtré lá cháîñé d'áppróvísíóññéméñt dé SólárWíñds ímplíqúáít úñ áctéúr dé lá méñácé íñsáísíssáblé útílísáñt úñé bálísé óú úñé mísé éñ scèñé dé lá chárgé útílé. Cómmé l'óñt móñtré plúsíéúrs ráppórts d'áñálýsé póst-íñcídéñt, íl s'ágíssáít d'úñé áttáqúé sóphístíqúéé éñ plúsíéúrs étápés áú cóúrs dé láqúéllé lé málwáré Súñspót á été íñítíáléméñt útílísé póúr cómpróméttré lé fóúrñísséúr. Éñsúíté, íl ý á éú lá pórté déróbéé Súñbúrst déstíñéé áúx clíéñts dú fóúrñísséúr. Úñé fóís cétté ópérátíóñ éxécútéé ávéc súccès, íl á été útílísé póúr láñcér lé cómpté-góúttés à mémóíré úñíqúéméñt Téárdróp, súíví dú chárgéúr Ráíñdróp ét dé lá bálísé Cóbált Stríké. Cháqúé chárgé útílé áváít úñ óbjéctíf ét úñ éñsémblé dé fóñctíóññálítés úñíqúés.]

[Étápé~s cóú~ráñt~és d'~úñé s~éqúéñ~cé d'~áttá~qúé d~é pró~grám~més m~álvé~íllá~ñts]

[Éñ cá~s d'á~ctív~íté má~lvéí~lláñ~té ím~plíq~úáñt~ úñé v~úlñér~ábíl~íté, qú~'íl s~'ágí~ssé d~é l'ú~tílí~sáté~úr fí~ñál ó~ú dú s~ýstèm~é, lá s~éqúéñ~cé d'~áttá~qúé s~úít g~éñérál~éméñ~t lé c~hémí~ñ súí~váñt~ :]

[Íl ést útílé dé cómpréñdré cés phásés dú póíñt dé vúé dé l'áútéúr dé lá méñácé. Éñ décóúvráñt cómméñt lés áttáqúáñts óbtíéññéñt léúrs cómmúñícátíóñs málvéílláñtés à dés fíñs dé cómmáñdé ét dé cóñtrôlé, ñóús póúvóñs égáléméñt méttré éñ plácé úñé déféñsé cóñtré éúx. Fáísóñs cháqúé étápé sépáréméñt.]

[Íñfr~ástr~úctú~ré pó~úr lé~s átt~áqúá~ñts]

[Dú côté dé l'áttáqúáñt, íl ý áúrá úñ écóútéúr dé cómmáñdé ét dé cóñtrôlé chárgé dé récévóír ét dé tráítér lés cómmúñícátíóñs dé tóútés lés máchíñés víctímés cómprómísés pár lá chárgé útílé córréspóñdáñté. L'áúdítéúr sérá sóútéñú pár dés sérvéúrs Wéb, dés sýstèmés dé mésságéríé, dés DÑS, dés sýstèmés d'álérté ét dés sérvéúrs d'áttáqúé, qúí hébérgéñt lés óútíls útílísés dáñs lá cámpágñé dé méñácés.]

[Lés c~ómmú~ñícá~tíóñ~s dé l~'átt~áqúá~ñt só~rtáñ~t dé s~óñ íñ~frás~trúc~túré~ séró~ñt pr~óbáb~lémé~ñt áñ~óñým~íséés~, c'és~t-à-dír~é réñ~vóýéé~s víá~ úñé s~éríé d~é sér~véúr~s pró~xý pó~úr má~sqúé~r sá v~érítá~blé í~déñt~íté. Vó~ící ú~ñ éxé~mplé~ :]

[Póúr lés áttáqúés plús sóphístíqúéés, lés áctéúrs dé lá méñácé péúvéñt égáléméñt déplóýér dés íñfrástrúctúrés dístríbúéés dédíéés à léúrs cámpágñés spécífíqúés. Célá léúr pérmét dé méttré éñ plácé óú dé démáñtélér rápídéméñt dés íñfrástrúctúrés súr plúsíéúrs sítés géógráphíqúés, sélóñ lés bésóíñs. Lé sýstèmé dés ñóms dé dómáíñé (DÑS) cóñstítúé úñ éléméñt ímpórtáñt dé cétté íñfrástrúctúré. Úñ áttáqúáñt péút éxplóítér lé DÑS póúr tráñsméttré dés cómmúñícátíóñs málvéílláñtés à sóñ íñfrástrúctúré, ét íl péút égáléméñt útílísér lé DÑS póúr éxfíltrér (c'ést-à-díré vólér) dés dóññéés.]

[Párállèléméñt à lá mísé éñ plácé dé l'íñfrástrúctúré, íl ý áúrá próbábléméñt lés réssóúrcés húmáíñés réspóñsáblés dé lá pláñífícátíóñ, dú déplóíéméñt ét dé lá géstíóñ dé lá cámpágñé málvéílláñté. Lá plúpárt dés cámpágñés dé méñácés sóñt sóútéñúés pár tóúté úñé éqúípé dé pérsóññés ét úñé íñfrástrúctúré ; íl ést péú próbáblé qú'íl s'ágíssé d'úñé émíssíóñ íñdívídúéllé.]

[Lá rép~ártí~tíóñ~ súív~áñté~ móñt~ré úñ~ éxém~plé d~'éqúí~pé ch~árgéé~ d'úñ~é cám~págñ~é d'á~ttáq~úé. Ñó~téz à q~úél p~óíñt~ éllé~ réss~émbl~é à l'éq~úípé~ d'úñ~é éñt~répr~ísé d~é sér~vícé~s íñf~órmá~tíqú~és cl~ássí~qúé.]

[Póúr lés áctéúrs dé lá méñácé, lé prócéssús qúí cóñsísté à sécúrísér léúr própré íñfrástrúctúré tóút éñ évítáñt d'êtré détéctés súr lé réséáú dé lá víctímé ést áppélé sécúríté ópérátíóññéllé. Lés áctéúrs dé méñácés sóphístíqúés óñt téñdáñcé à prívílégíér úñé sécúríté ópérátíóññéllé élévéé. Ét póúr ý párvéñír, íls útílíséróñt úñ évéñtáíl dé téchñíqúés d'évásíóñ ét d'óbscúrcísséméñt.]

[vúlñ~érábí~líté]

[Úñé vúlñérábílíté ést símpléméñt úñé fáíbléssé íñhéréñté à úñ sýstèmé íñfórmátíqúé óú à dés téchñólógíés cóññéxés qú'úñ áctéúr dé lá méñácé chérché à éxplóítér. Cétté vúlñérábílíté péút próvéñír dé lá sóúrcé (lé fóúrñísséúr dé l'éqúípéméñt) óú dé lá déstíñátíóñ (géñéráléméñt úñ útílísátéúr fíñál). Pár éxémplé, éñ 2017, lá vúlñérábílíté SMBv1 dé Mícrósóft á été éxplóítéé ávéc súccès pár dés áttáqúáñts dé ráñçóñgícíéls à l'échéllé móñdíálé. Vóící úñ ápérçú dú ráppórt détáíllé dé cétté vúlñérábílíté :]

[Úñé fóís qú'úñé vúlñérábílíté d'úñ sýstèmé óú d'úñ prógrámmé ést décóúvérté, éllé péút êtré réñdúé públíqúé ; dáñs cé cás, úñ ñúméró CVÉ (Cómmóñ Vúlñérábílítíés áñd Éxpósúrés) stáñdárd lúí ést áttríbúé. Óú íl sé péút qú'íl ñé sóít cóññú qúé dé qúélqúés pérsóññés prívéés, ét sáñs áúcúñ córréctíf díspóñíblé (álíás « jóúr zéró »). Lá phásé dé vúlñérábílíté péút égáléméñt fáíré référéñcé à dés vúlñérábílítés plús cóúráñtés dés útílísátéúrs fíñáúx, géñéráléméñt éxplóítéés pár l'íñgéñíéríé sócíálé, cómmé lé phíshíñg ét lé málvértísíñg. À cé stádé, l'óbjéctíf géñérál dé l'áctéúr dé lá méñácé ést d'éxplóítér lá vúlñérábílíté ét d'éñ fáíré úñé óppórtúñíté póúr úñé áttáqúé réússíé.]

[Áttá~qúér~ óú éx~plóí~tér]

[Lá prócháíñé phásé ímpórtáñté d'úñé áttáqúé sé pródúít lórsqúé l'áútéúr dé lá méñácé áccèdé à úñ mórcéáú dé códé qú'íl péút útílísér póúr éxplóítér úñé vúlñérábílíté tóút éñ cóñtóúrñáñt lés cóñtrôlés dé sécúríté. Pár éxémplé, éñ útílísáñt lé fráméwórk Métásplóít cómmé sérvéúr d'áttáqúé, úñ áctéúr málvéílláñt á décóúvért tróís éxplóíts díspóñíblés póúr lá vúlñérábílíté Wíñdóws SMBv1, cómmé íllústré cí-déssóús :]

[Cés vúlñérábílítés sóñt dú týpé dé céllés éxplóítéés pár lés trístéméñt célèbrés WáññáCrý ét ÑótPétýá. cámpágñés dé ráñsómwáré. Lés éxplóíts dé cé týpé cóñtíéññéñt sóúvéñt à lá fóís lé códé d'éxplóítátíóñ dé lá vúlñérábílíté ét úñ pétít códé dé chárgé útílé póúr lés cómmúñícátíóñs málvéílláñtés.]

[Úñ éxplóít ést sóúvéñt dístíñct dé lá bálísé óú dé lá chárgé útílé. Cépéñdáñt, lés déúx sóñt géñéráléméñt régróúpés sóús fórmé dé shéllcódé. Úñé fóís qúé l'éxplóít áccèdé áú sýstèmé cíblé, íl chárgé úñé pétíté bálísé óú úñé chárgé útílé qúí péút ráppélér à l'áttáqúáñt dé térmíñér l'áttáqúé, úñ prócéssús cóññú sóús lé ñóm dé páýlóád stágíñg.]

[Bálí~sé óú~ chár~gé út~ílé]

[Cómmé méñtíóññé cí-déssús, úñé bálísé óú úñé chárgé útílé ést úñ éxécútáblé óú úñ prógrámmé qúí cómmúñíqúé ávéc l'áttáqúáñt víá úñ cáñál dé cómmúñícátíóñ. Célá péút êtré sécúrísé víá HTTPS óú útílísér úñ prótócólé éñ téxté brút tél qúé lé DÑS. L'áttáqúáñt, à l'áídé dé cé qúé l'óñ áppéllé úñé bálísé óú úñ ráppél dé chárgé útílé, péút éñsúíté tráñsférér d'áútrés chárgés útílés, sóúvéñt ávéc dés fóñctíóññálítés súppléméñtáírés póúr áttéíñdré lés óbjéctífs vísés.]

[Dáñs~ l'éx~émpl~é cí-d~éssó~ús, vó~ús pó~úvéz~ vóír~ Mété~rpré~tér c~hárg~é útí~lé éñ~ táñt~ qúé f~íchí~ér ÉX~É Wíñ~dóws~ à l'áí~dé dú~ frám~éwór~k Mét~áspl~óít m~sfvé~ñóm:]

[Úñé fóís qú'úñé téllé chárgé útílé ést lívréé ét éxécútéé súr úñ sýstèmé víctímé, éllé créé síléñcíéúséméñt úñé cóññéxíóñ TCP íñvérséé. Lá chárgé útílé útílísé lé pórt pár défáút 4444 dépúís l'íñtéríéúr dú réséáú dé lá víctímé vérs l'ádréssé ÍP dé l'áttáqúáñt. Ñótéz qúé l'éxémplé dé chárgé útílé cí-déssús áúráít dé fórtés cháñcés d'êtré détécté dáñs lé móñdé réél, cár íl á été géñéré ávéc dés váléúrs pár défáút ét sáñs códágé. Cé ñ'ést vráíméñt qú'úñ éxémplé ácádémíqúé.]

[Óbjé~ctíf~s]

[Úñé f~óís q~ú'úñ~ áttá~qúáñ~t á éx~écúté l~á bál~ísé ó~ú lá c~hárg~é útí~lé, íl~ péút~ méñé~r à bíé~ñ sá c~ámpá~gñé d~é méñ~ácés~. Célá~ péút~ ímpl~íqúé~r lé v~ól dé~ dóññ~éés, l'~íñst~állá~tíóñ~ d'úñ~ ráñçó~ñgíc~íél ó~ú tóú~t áút~ré tý~pé dé~ pért~úrbá~tíóñ~.]

[Áváñ~t dé p~óúrs~úívr~é, vóí~cí úñ~ résúm~é dés ét~ápés~ qú'ú~ñ átt~áqúá~ñt dó~ít sú~ívré~ póúr~ átté~íñdr~é sóñ~ óbjé~ctíf~ :]

[Étápé~ 1 : Pláñ~ífíé~z lá c~ámpá~gñé é~t cóñ~cévé~z l'í~ñfrá~strú~ctúr~é cór~résp~óñdá~ñté, ý~ cómp~rís l~és sé~rvéú~rs Wé~b, lés~ sérv~éúrs~ dé mé~sság~éríé~, l'íñ~frás~trúc~túré~ DÑS é~t lés~ sérv~éúrs~ d'át~táqú~é.]

[Étápé~ 2 : Éffé~ctúé~z dés~ récó~ññáí~ssáñ~cés s~úr lé~s cíb~lés é~t lés~ sýst~èmés s~éléct~íóññ~és.]

[Étápé~ 3 : Séléc~tíóñ~ñéz l~'átt~áqúé~ óú lá~ vúlñ~érábí~líté l~á plú~s éff~ícác~é à éxp~lóít~ér, éñ~ útíl~ísáñ~t úñé~ cómb~íñáí~sóñ d~'húm~áíñs~ ét dé~ sýst~èmés.]

[Étápé~ 4 : Dévél~óppé~z óú á~cqúér~éz lé~s óút~íls d~'éxp~lóít~átíó~ñ cór~résp~óñdá~ñts, ý~ cómp~rís l~és méc~áñís~més d~é lív~ráís~óñ.]

[Étápé~ 5 : Cóñf~ígúr~éz l'~íñfr~ástr~úctú~ré d'~áttá~qúé, ý~ cómp~rís l~'íñf~rást~rúct~úré d~é cóm~máñd~é ét d~é cóñ~trôlé~ (égálé~méñt~ áppé~léé « écó~útéú~r »), póú~r réc~évóí~r lés~ cómm~úñíc~átíó~ñs pá~r bál~ísé í~ñvér~séé.]

[Étápé~ 6 : Láñc~éz lá~ cámp~ágñé~ málv~éíll~áñté~.]

[Étápé~ 7 : Géréz~ lá bá~lísé~ ét lé~s chá~rgés~ útíl~és pó~úr éví~tér t~óúté~ détéc~tíóñ~ ét át~téíñ~dré l~és ób~jéct~ífs d~é lá c~ámpá~gñé.
]

[Próc~édúré~ d'át~táqú~é]

[Úñé fóís qú'úñ áctéúr dé lá méñácé á cóñçú ét mís éñ œúvré l'íñfrástrúctúré ét lá cóñfígúrátíóñ ássócíéé, sá cámpágñé málvéílláñté ést prêté à démárrér. Póúr cé fáíré, l'áútéúr dé lá méñácé áúrá bésóíñ dé sés bálísés óú dé sés chárgés útílés póúr s'éxécútér súr lé réséáú dé lá víctímé. Íls péúvéñt álórs ý áccédér, máíñtéñír léúr préséñcé ét réálísér léúrs óbjéctífs.]

[Páss~óñs é~ñ rév~úé cé~rtáí~ñés d~és étá~pés í~mpór~táñt~és dú~ póíñ~t dé v~úé dé~ l'át~táqú~áñt.]

[Póúr~ cómm~éñcé~r, vóí~cí úñ~ ápér~çú dé l~á géñér~átíó~ñ dé l~á chá~rgé ú~tílé~ sóúh~áítéé~ :]

[Dáñs cé cás, lá chárgé útílé ést géñéréé póúr cómmúñíqúér à l'áídé d'úñ dómáíñé (ápp12.wébcóms-méétíñgs.cóm, répréséñté pár LHÓST dáñs lá prémíèré lígñé vérté) qúí ímíté cértáíñs lógícíéls dé réúñíóñ ét dé cóllábórátíóñ à dístáñcé póúr lé sýstèmé d'éxplóítátíóñ Wíñdóws. Úñé vérífícátíóñ móñtré qúé lé dómáíñé ést résólú à l'ádréssé ÍP cóñtrôléé dé l'áttáqúáñt.]

[À pártír dé là, l'áttáqúáñt chóísít úñ mécáñísmé dé díffúsíóñ póúr sóñ éñtréé íñítíálé dáñs lá cíblé. Dáñs cét éxémplé, íls óñt chóísí d'útílísér lé spéár phíshíñg, úñé sórté d'áttáqúé d'íñgéñíéríé sócíálé qúí pérmét à úñ útílísátéúr péú méfíáñt dé téléchárgér cé qú'íl péñsé êtré úñé mísé à jóúr dé sóñ lógícíél póúr lés réúñíóñs à dístáñcé. L'áttáqúáñt á cóñfígúré úñ dómáíñé (é-máíl ét Wéb) ét úñé íñfrástrúctúré dé síté Wéb córréspóñdáñts póúr préñdré éñ chárgé cétté méthódé dé díffúsíóñ d'íñgéñíéríé sócíálé, cómmé íñdíqúé cí-déssóús :]

[L'áttáqúáñt éspèré qúé l'útílísátéúr péú méfíáñt téléchárgérá ét éxécútérá lá chárgé útílé. Óú, sí l'útílísátéúr vísíté lé síté dé phíshíñg, lá chárgé útílé péút êtré éxécútéé áútómátíqúéméñt víá úñ téléchárgéméñt áú léctéúr. Qúóí qú'íl éñ sóít, lá chárgé útílé dégúíséé ést máíñtéñáñt súr l'órdíñátéúr dé l'útílísátéúr ét prêté à êtré éxécútéé, cómmé íñdíqúé ící :]

[Úñé fóís qúé lá chárgé útílé ést éñ cóúrs d'éxécútíóñ, éllé ráppéllé síléñcíéúséméñt lé cómmáñdéméñt ét lé cóñtrôlé dé l'áttáqúáñt. ÚÑÉ áúdítéúr sérá déjà ópérátíóññél dú côté dé l'áttáqúáñt póúr récévóír lés cómmúñícátíóñs dé ráppél. Dáñs l'éxémplé cí-déssóús, úñ géstíóññáíré dé chárgé útílé óú úñ écóútéúr, éxplóít/múltí/háñdlér, á été cóñfígúré dú côté dé l'áttáqúáñt póúr récévóír lés cómmúñícátíóñs dú tcp íñvérsé chárgé útílé éxécútéé súr lá máchíñé víctímé víá lé dómáíñé málvéílláñt ápp12.wébcóms-méétíñgs.cóm.]

[Úñé fóís qúé lá bálísé áttéíñt l'íñfrástrúctúré dé l'áttáqúáñt, l'áúdítéúr óú lé géstíóññáíré cóñcérñé réçóít lá cóññéxíóñ, ét lá chárgé útílé íñítíálé péút téléchárgér úñé chárgé útílé príñcípálé béáúcóúp plús ímpórtáñté, áppéléé Stágé. Célá péút êtré vú cí-déssóús ávéc lé mésságé « éñvóí dé l'étápé (175174) à 203.0.113.1 ». Lá máchíñé víctímé sé tróúvé dérríèré úñ páré-féú ÑÁT dóñt l'ádréssé ÍP éxtérñé ést 203.0.113.1. Dáñs cét éxémplé, lá chárgé útílé dé l'áttáqúáñt ést pólýváléñté Métásplóít Métérprétér.]

[Úñé fóís qúé lá bálísé íñítíálé á téléchárgé lá chárgé útílé príñcípálé, éllé ést prêté à póúrsúívré lé résté dé l'áttáqúé. Úñé fóís l'éxécútíóñ réússíé, lé cóñtrôlé dú prógrámmé ést éñsúíté tráñsmís à cétté chárgé útílé príñcípálé (Stágé) póúr fóúrñír úñ shéll à l'áttáqúáñt. Tóút célá sé pássé éñ mémóíré ét ímplíqúé dés téchñíqúés d'íñjéctíóñ dé códé. Lá cáptúré d'écráñ súíváñté móñtré l'áttáqúáñt ávéc úñ áccès clávíér prátíqúé à l'órdíñátéúr dé lá víctímé. L'áttáqúáñt péút éxécútér lá cómmáñdé « dír » ét vóír tóús lés fíchíérs dú dóssíér dé téléchárgéméñt dé l'útílísátéúr.]

[À pártír dé là, l'áttáqúáñt éfféctúé úñé récóññáíssáñcé íñtérñé (c'ést-à-díré úñé « décóúvérté ») súr lá máchíñé víctímé. L'áttáqúáñt péút désórmáís óbtéñír lés íñfórmátíóñs rélátívés áú cómpté ét à l'áññúáíré dé lá víctímé. Pár éxémplé, lé ñóm d'útílísátéúr éñrégístré póúr lá máchíñé cómprómísé ést « ámá ». Íls péúvéñt mêmé cáptúrér úñé cáptúré d'écráñ dú búréáú Wíñdóws dú sýstèmé cíblé, cómmé íllústré cí-déssóús :]

[À cé stádé, l'áttáqúáñt péút égáléméñt scáññér lé réséáú íñtérñé póúr décóúvrír d'áútrés sýstèmés. Lá cáptúré d'écráñ súíváñté móñtré úñé áñálýsé dú réséáú íñtérñé víá lé prótócólé ÁRP (Áddréss Résólútíóñ Prótócól). Célá sérá útílé póúr móúvéméñt látérál, décrít plús lóíñ.]

[L'áttáqúáñt péút égáléméñt éfféctúér dés áctíóñs plús málvéílláñtés téllés qúé l'éxfíltrátíóñ (vól) d'úñ Prójéct_Prógréss.pdf fíchíér dépúís lá máchíñé víctímé. Cómmé íñdíqúé cí-déssóús, íls péúvéñt égáléméñt téléchárgér Mímíkátz, úñ óútíl málvéílláñt pérméttáñt dé vólér lés íñfórmátíóñs d'ídéñtífícátíóñ dés útílísátéúrs. Lés áttáqúáñts óñt bésóíñ d'íñfórmátíóñs d'ídéñtífícátíóñ dótéés dé prívílègés élévés póúr éfféctúér dés áctíóñs áú ñívéáú dú sýstèmé ét éfféctúér dés móúvéméñts látéráúx áú séíñ d'úñ réséáú.]

[L'éx~émpl~é cí-d~éssó~ús mó~ñtré~ cómm~éñt l~'átt~áqúá~ñt pé~út éx~écúté~r lé t~éléchá~rgém~éñt D~úmpí~ñg dé~s tít~rés d~é cóm~pétéñ~cés M~ímík~átz ó~útíl~ póúr~ áffí~chér~ lés h~áchá~gés d~é mót~ dé pá~ssé s~úr lá~ mách~íñé W~íñdó~ws có~mpró~mísé~.]

[Úñé áútré étápé crúcíálé póúr l'áttáqúáñt cóñsísté à créér úñé róúté vérs lá máchíñé víctímé, mêmé áprès sóñ rédémárrágé pár l'útílísátéúr. C'ést là qúé lá téchñíqúé dé lá pérsévéráñcé éñtré éñ jéú. Lés áttáqúáñts díspóséñt dé plúsíéúrs móýéñs póúr ý párvéñír, ñótámméñt dés chárgés útílés íñvérséés à éxécútíóñ áútómátíqúé ét dés pórtés déróbéés pérsístáñtés.]

[Cómmé íñdíqúé cí-déssóús, l'áttáqúáñt chóísít d'éxécútér úñ módúlé dé pérsístáñcé póst-éxplóít, qúí ímplíqúé úñ scrípt Vísúál Básíc (VBScrípt) plácé dáñs lé dóssíér Wíñdóws Témp dé l'útílísátéúr cóññécté, ÚÓPFÑWÓ.vbs. L'áttáqúáñt íñstállé éñsúíté úñé éñtréé dé régístré Wíñdóws póúr pérméttré áú scrípt dé s'éxécútér áútómátíqúéméñt áprès lé démárrágé dé lá máchíñé.]

[L'áttáqúáñt s'ést máíñtéñáñt ássúré qúé sóñ scrípt dé chárgé útílé péút sé récóññéctér à sóñ áúdítéúr, mêmé sí lá máchíñé ést rédémárréé. Tóútéfóís, lés fíchíérs préséñts súr lé dísqúé péúvéñt désórmáís égáléméñt êtré détéctés pár úñé áñálýsé áñtívírús dú sýstèmé dé fíchíérs.]

[Éñfíñ, l'áttáqúáñt vóúdrá ñéttóýér tóútés lés préúvés pótéñtíéllés. Póúr cé fáíré, íls péúvéñt súpprímér lés fíchíérs ét éñtréés málvéílláñts d'órígíñé, ét crýptér óú mêmé méláñgér dés fíchíérs málvéílláñts à dés fíchíérs sýstèmé légítímés. Póúr míéúx súívré léúrs trácés, íls péúvéñt égáléméñt súpprímér à lá fóís lés clíchés íñstáñtáñés ét lés jóúrñáúx sýstèmé.]

[Áñál~ýsé é~t crí~míñá~líst~íqúé~ dé l'~áttá~qúé]

[Jé vá~ís má~íñté~ñáñt~ páss~ér éñ~ révú~é qúé~lqúé~s répó~ñsés~ íñít~íálé~s áúx~ íñcí~déñt~s (ÍR) é~t l'á~ñálý~sé dé~ básé~ dés c~ómpó~sáñt~s spéc~ífíq~úés d~é l'á~ttáq~úé. Cé~lá vó~ús pé~rmét~trá d~é míé~úx có~mpré~ñdré~ cért~áíñé~s áct~íóñs~ málv~éíll~áñté~s.]

[Áñál~ýsé d~ú résé~áú ét~ dú DÑ~S]

[À pártír dé l'áñálýsé dés cómmúñícátíóñs réséáú dépúís lá máchíñé víctímé, óñ cóñstáté qúé l'ádréssé ÍP íñtérñé (10.1.1.81) á étáblí úñé cóññéxíóñ TCP súr lé pórt dístáñt 443 ávéc lé ñóm DÑS dé l'áttáqúáñt éxtérñé. Íl s'ágít d'úñé cómmúñícátíóñ dé cómmáñdé ét dé cóñtrôlé.]

[Éñsú~íté, é~ñ áñá~lýsá~ñt lé~s cóm~pósá~ñts t~ýpíq~úés í~mplí~qúés d~áñs ú~ñé hí~érárc~híé d~é résó~lútí~óñ DÑ~S ñór~málé~, ñóús~ póúv~óñs d~écómp~ósér~ lé pr~ócés~sús d~é l'á~ttáq~úáñt~ :]

• [Tóút~ d'áb~órd, l~'áút~éúr d~é lá m~éñác~é á éñ~régí~stré ú~ñ dóm~áíñé~ : wébc~óms-m~éétí~ñgs.c~óm]
• [Lé dó~máíñ~é póí~ñté v~érs l~'ÍP é~xtér~ñé 203.0.113.123.]
• [L'át~táqú~áñt ú~tílí~sé úñ~ ñóm d~é sóú~s-dóm~áíñé~ ápp12.w~ébcó~ms-mé~étíñ~gs.có~m póú~r réd~íríg~ér lé~ tráf~íc dé~púís~ lés c~hárg~és út~ílés~ dés m~áchí~ñés c~ómpr~ómís~és vé~rs lé~úr có~mmáñ~dé ét~ léúr~ cóñt~rôlé.]

[Lés áctéúrs dé lá méñácé péúvéñt égáléméñt téñtér d'éxfíltrér dés dóññéés à l'áídé dú DÑS. Pár éxémplé, íls péúvéñt útílísér dés éñrégístréméñts DÑS TXT óú mêmé éñcódér dés íñfórmátíóñs úñíqúés súr léúrs víctímés dáñs lé cádré d'úñé súppóséé réqúêté DÑS sórtáñté. Cés réqúêtés séróñt réçúés pár lé sérvéúr DÑS fáísáñt áútóríté sóús lé cóñtrôlé dé l'áttáqúáñt. Úñ sérvéúr DÑS fáísáñt áútóríté réçóít ét répóñd áúx réqúêtés DÑS póúr úñ dómáíñé spécífíqúé.]

[Lés áctéúrs dé lá méñácé péúvéñt égáléméñt útílísér dés álgóríthmés dé géñérátíóñ dé dómáíñés (DGÁ) póúr géñérér áútómátíqúéméñt dés míllíérs dé dómáíñés cháqúé jóúr. Ávéc cétté téchñíqúé, úñé máchíñé íñféctéé díspósérá d'úñ códé íñtégré (c'ést-à-díré úñ álgóríthmé) póúr géñérér púís téñtér dé sé cóññéctér à úñ cértáíñ ñómbré dé cés dómáíñés géñérés péñdáñt úñé péríódé spécífíéé. Pár éxémplé, íl péút éssáýér dé sé cóññéctér à 1 000 dómáíñés géñérés tóútés lés 24 héúrés júsqú'à cé qúé l'úñ d'éñtré éúx réússíssé. L'áttáqúáñt éñrégístrérá éñsúíté qúélqúés-úñs dé cés dómáíñés cháqúé jóúr ét lés gárdérá áctífs péñdáñt dé cóúrtés péríódés.]

[Cés dómáíñés récévróñt próbábléméñt dés cómmúñícátíóñs málvéílláñtés dé témps éñ témps. Cétté téchñíqúé, pópúláríséé pár lá fámíllé dé málwárés Cóñfíckér, réñd díffícílé lá créátíóñ d'úñ lísté dé réfús éñ táñt qúé kíll swítch. Póúr écháppér dáváñtágé à lá détéctíóñ ét máíñtéñír léúr résílíéñcé, lés áctéúrs dé lá méñácé lés plús sóphístíqúés útílíséñt égáléméñt úñé íñfrástrúctúré dístríbúéé qúí cómbíñé dés próxýs, dés rédíréctéúrs ét dés éqúílíbréúrs dé chárgé.]

[Áñál~ýsé d~ú sýs~tèmé]

[Lá plúpárt dés ópérátíóñs týpíqúés dé póst-éxplóítátíóñ dé lá chárgé útílé óú dés bálísés ímplíqúéñt lá máñípúlátíóñ dé prócéssús Wíñdóws, qúí sé pródúíséñt éñtíèréméñt éñ mémóíré. Úñ áttáqúáñt dóté d'úñé cápácíté dé máñípúlátíóñ dés prócéssús péút démárrér dé ñóúvéáúx prócéssús súr lá máchíñé víctímé. Íl péút s'ágír d'úñ shéll íñtéráctíf ñátíf (Wíñdóws cmd.éxé) qúí pérmét à l'áttáqúáñt d'útílísér dés cómmáñdés Wíñdóws ñátívés. L'áttáqúáñt péút égáléméñt démárrér dés prócéssús dé máñíèré ñóñ íñtéráctívé, cómmé íllústré ící :]

[Súr l~á mác~híñé~ cíbl~é, úñ v~ídág~é dé p~rócé~ssús~ (íllú~stré c~í-dés~sóús~) áffí~ché l~és pr~ócés~sús ñ~óúvé~llém~éñt c~réés áv~éc lé~úrs Í~D dé p~rócé~ssús~ résp~éctí~fs, 2624 ét~ 1972, tóús~ déúx~ éñ có~úrs d~'éxéc~útíó~ñ.]

[Lá póssíbílíté dé démárrér dé ñóúvéáúx prócéssús ést très útílé. L'áttáqúáñt péút démárrér úñ ñóúvéáú prócéssús péú méfíáñt tél qúé ñótépád.éxé, púís mígrér sóñ prócéssús d'órígíñé chárgé útílé málvéílláñté ý áccédér à l'áídé d'úñé íñjéctíóñ dé códé/DLL. C'ést úñé téchñíqúé qúí dóññé l'ímpréssíóñ qú'úñ prócéssús málvéílláñt súr lé sýstèmé ést légítímé ; j'éñ párléráí plús éñ détáíl dáñs lá déúxíèmé pártíé dé cétté séríé.]

[Dáñs~ lé cá~dré d~é sóñ~ évásí~óñ pó~st-éx~plóí~tátí~óñ, l'~áttá~qúáñ~t míg~ré lé~ próc~éssú~s mál~véíl~láñt~ d'ór~ígíñ~é, wéb~1_méé~tíñg~_úpd~áté.é~xé (2472), vé~rs úñ~ ñóúv~éáú ñ~ótép~ád.éx~é pró~céss~ús (1768), có~mmé í~ñdíq~úé ící~.]

[Súr l~á mác~híñé~ víct~ímé, l~é pró~céss~ús má~lvéí~lláñ~t d'ó~rígí~ñé, PÍ~D 2472, á été m~ígré é~t s'é~xécút~é désó~rmáí~s éñ t~áñt q~úé ñó~tépá~d.éxé~ ávéc~ l'ÍD~ dé pr~ócés~sús 1768. C~ómmé~ íñdí~qúé cí~-déss~óús, s~éúl l~é ñóú~véáú~ próc~éssú~s ést~ éñ có~úrs d~'éxéc~útíó~ñ.]

[Séló~ñ lá t~échñ~íqúé~ dé pé~rsís~táñc~é préc~édéñt~é, lé d~óssí~ér Wí~ñdów~s Tém~p (vóí~r cí-d~éssó~ús) áf~fích~é à lá f~óís l~é VBS~críp~t útí~lísé é~t lés~ clés d~'éxéc~útíó~ñ áút~ómát~íqúé~ córr~éspó~ñdáñ~tés c~rééés d~áñs l~é rég~ístr~é póú~r lé s~críp~t mál~véíl~láñt~.]

[Úñé áñálýsé státíqúé íñítíálé dú fíchíér dé chárgé útílé éxécútáblé málvéílláñt d'órígíñé móñtré qúé plúsíéúrs fáctéúrs dé rísqúé ý sóñt ássócíés. Pár éxémplé, íl chárgé cértáíñés bíblíóthèqúés Wíñdóws (DLL) íñtéréssáñtés, éñ pártícúlíér céllés útílíséés póúr lés cómmúñícátíóñs réséáú. Úñé áñálýsé dé lá mémóíré ét dé lá dýñámíqúé córréspóñdáñté áffíchérá lé cómpórtéméñt súspéct d'úñ prócéssús ñótépád.éxé étáblíssáñt dés cóññéxíóñs réséáú.]

[Cóñc~lúsí~óñs]

[Dáñs cét ártíclé, j'áí ábórdé cértáíñés dés cóñsídérátíóñs ét áctíóñs týpíqúés ímplíqúéés dáñs úñé cámpágñé dé méñácés ét lés cómmúñícátíóñs málvéílláñtés ássócíéés. J'éspèré qúé célá vóús pérméttrá dé míéúx cómpréñdré cómméñt ét póúrqúóí úñ áctéúr dé lá méñácé útílísé cértáíñés téchñíqúés.]

[Ñóús~ póúv~óñs r~ésúmé~r lé c~ýclé~ d'át~táqú~é qúí~ cóñd~úít à ú~ñé có~mmúñ~ícát~íóñ m~álvé~íllá~ñté é~ñ tró~ís ph~ásés~ :]

• [Éñtr~éé íñí~tíál~é]
• [Éxécú~tíóñ~]
• [Cómm~áñdé~ ét có~ñtrôl~é]

[Úñé bóññé fáçóñ d'ábórdér lés strátégíés d'áttéñúátíóñ ést d'ápplíqúér lés súppósér úñé víólátíóñ phílósóphíé. Éñ d'áútrés térmés, súppósóñs qúé l'áttáqúáñt sóít déjà préséñt ét qúé, pár cóñséqúéñt, vós príñcípáúx óbjéctífs dé sécúríté sóíéñt lá détéctíóñ ét lé cóñfíñéméñt. Dé plús, vós résúltáts éñ mátíèré dé sécúríté dóívéñt íñclúré áú móíñs vísíbílíté áútómátíséé, álérté ét cóñfíñéméñt (Ségméñtátíóñ Zéró Trúst). J'ábórdéráí lés téchñíqúés d'áttéñúátíóñ plús éñ détáíl dáñs lá tróísíèmé ét dérñíèré pártíé dé cétté séríé dé blógs.]

[Dáñs lé prócháíñ ártíclé, déúxíèmé pártíé dé cétté séríé, j'éxámíñéráí dé máñíèré plús ápprófóñdíé lés bálísés ét lés chárgés útílés ét j'éxplíqúéráí póúrqúóí úñ áctéúr dé lá méñácé péút chóísír úñ týpé plútôt qú'úñ áútré. J'ábórdéráí égáléméñt cértáíñés dés téchñíqúés áváñcéés útílíséés pár lés áttáqúáñts póúr l'évásíóñ ét l'óbscúrcísséméñt.]