Techniques « Living off the Land » : comment les hackers se fondent dans votre environnement

Les cybercriminels n’ont pas nécessairement besoin de créer des malwares sur mesure pour parvenir à leurs fins. Il est souvent moins coûteux, plus facile et plus efficace de s’appuyer sur l’infrastructure propre d’une organisation pour mener une attaque. Lorsqu’ils utilisent cette stratégie, qu’on désigne souvent par l’appellation « Living off the Land », les cybercriminels utilisent les outils disponibles au sein de l’environnement numérique de l’entreprise cible pour progresser dans le cycle de vie de l’attaque.

Parmi les outils couramment utilisés à des fins malveillantes, on retrouve Powershell, Windows Management Interface (WMI) et PsExec. Ces outils sont souvent utilisés par les administrateurs réseau dans leurs tâches quotidiennes ; les outils de sécurité traditionnels, qui s’appuient sur des règles statiques et des signatures, ont souvent du mal à distinguer les activités légitimes des utilisations malveillantes.

Même si le terme « Living off the Land » remonte à 2013, la popularité des outils, techniques et procédures (TTP) liés à cette stratégie a explosé au cours des dernières années. Cela est notamment dû au fait que l’approche traditionnelle de la sécurité (basée sur des listes noires de hachages de fichiers, de domaines et d’autres traces d’attaques passées) est mal équipée pour identifier ce type d’attaque. Ainsi, ces attaques furtives, souvent sans fichiers, se sont démocratisées.

Plus inquiétant encore, les attaques Living off the Land ont particulièrement été utilisées lors de campagnes ciblées et très organisées. Les groupes APT privilégient depuis longtemps les TTP Living off the Land, puisque le principal objectif est d’échapper à toute détection. Les tendances montrent que les groupes spécialisés dans les ransomwares préfèrent utiliser des logiciels qui s’appuient fortement sur des techniques Living off the Land plutôt que d’utiliser des malwares prêts à l’emploi.

Signes caractéristiques d’une attaque Living off the Land

Avant qu’un cybercriminel ne retourne votre infrastructure contre vous dans le cadre d’une attaque Living off the Land, il doit d’abord être en mesure d’exécuter des commandes sur le système cible. Ainsi, une fois l'infection établie, les attaques Living off the Land agissent comme un système de reconnaissance du réseau, de déplacement latéral et de persistance du malware.

Dès lors qu’une machine est infectée, l’attaquant dispose de centaines d’outils système, qu’ils soient installés sur le système ou téléchargés via des fichiers binaires signés Microsoft. Entre de mauvaises mains, les outils tiers d’administration présents sur le réseau peuvent devenir des armes redoutables.

L’IA Auto-Apprenante combat les attaques Living off the Land

Les techniques Living off the Land sont très efficaces pour aider les attaquants à se fondre dans l’environnement numérique des entreprises. Il est normal que des millions d'identifiants, d'outils réseau et de processus soient enregistrés chaque jour dans un seul écosystème numérique. Comment les outils de défense peuvent-ils détecter et différencier une utilisation malveillante des outils légitimes au milieu de tout ce bruit digital ?

Comme pour la plupart des menaces, tout commence par une bonne hygiène du réseau. Il convient ainsi d’implémenter le principe du moindre privilège, de désactiver tous les programmes non nécessaires, d’instaurer une liste blanche de logiciels et d’exécuter des contrôles d’inventaire des ressources et des applications. Toutefois, même si ces mesures vont dans le bon sens, un attaquant expérimenté parviendra toujours à les contourner à force de temps.

La technologie d’IA Auto-Apprenante joue aujourd’hui un rôle fondamental pour mettre en évidence les situations où des attaquants exploitent l’infrastructure des organisations pour les infiltrer. Elle apprend à connaître l’environnement numérique spécifique, en identifiant le « modèle comportemental normal » de chaque machine et de chaque utilisateur. Les attaques Living off the Land peuvent ainsi être identifiées en temps réel à partir d’une série d'écarts subtils. qu’il s’agisse de la création d’un nouvel identifiant ou d’une utilisation inhabituelle des systèmes SMB / DCE-RPC.

L’IA comprend l’entreprise dans ses moindres détails, ce qui permet de détecter des attaques qui échappent aux autres outils. Face à une attaque Living off the Land, l’IA reconnaît que, même si l’utilisation d’un outil donné peut être normale pour l’organisation, la façon dont il est utilisé révèle sans équivoque une intention malveillante.

Par exemple, l’IA Auto-Apprenante peut observer une utilisation fréquente de user-agents Powershell sur différentes machines, mais elle ne signalera un incident que si un user-agent donné est observé sur une machine précise à un moment inhabituel.

De même, Darktrace peut observer l’envoi de commandes WMI entre des milliers de machines différentes chaque jour, mais elle ne produira une alerte que si les commandes sont inhabituelles à la fois pour la source et pour la destination.

Les indicateurs discrets d’une exploitation de Mimikatz, comme l’utilisation de nouveaux identifiants ou un trafic SMB inhabituel, ne se noieront pas dans la masse des opérations habituelles de l’infrastructure.

Nous sommes loin d’en avoir fini avec les techniques Living off the Land. Face à ce constat, les équipes de sécurité commencent à délaisser les mécanismes de défense traditionnels, qui se basent sur des données d’attaques historiques pour intercepter les menaces futures. Elles se tournent désormais vers l’IA, qui s’appuie sur une compréhension sur mesure et en constante évolution de l’environnement pour détecter les écarts subtils susceptibles d’indiquer une menace, même si cette menace utilise des outils légitimes.

Nous remercions les analystes Darktrace Isabel Finn et Paul Jennings pour les informations sur la menace ci-dessus et pour leur soutien au projet MITRE ATT&CK.

Techniques MITRE ATT&CK observées :

• Share on Facebook
• Tweet
• Share on LinkedIn
• Send email