La Surcharge de LOLBins : Quand la Furtivité Devient Bruit lors du Déploiement de RATs
En tant que chercheurs en cybersécurité, nous observons constamment l'évolution des tactiques des acteurs de la menace. Une technique omniprésente implique les Living Off The Land Binaries (LOLBins) – des outils Windows légitimes que les attaquants détournent à des fins malveillantes. L'attrait est évident : ces binaires sont fiables, souvent sur liste blanche, et leur exécution peut se fondre dans l'activité normale du système, rendant la détection difficile. Cependant, un incident récent a mis en lumière une stratégie particulière : une tentative de déposer deux chevaux de Troie d'accès à distance (RATs) sur un système en utilisant un assortiment étrange, et apparemment excessif, de ces outils Windows légitimes. Cela soulève une question critique : Peut-on utiliser trop de LOLBins pour déposer des RATs ? Ou cette complexité finit-elle par trahir l'intention de l'attaquant ?
L'Attrait du "Living Off The Land"
Les LOLBins sont une pierre angulaire de l'artisanat des adversaires modernes. Au lieu d'apporter leurs propres exécutables malveillants, qui sont facilement signalés par les logiciels antivirus, les attaquants exploitent les outils déjà présents sur le système cible. Cette approche offre plusieurs avantages :
- Évasion : Contournement de la liste blanche des applications et de la détection traditionnelle basée sur les signatures.
- Confiance : L'exécution à partir de chemins fiables et de binaires signés peut sembler légitime pour une surveillance de base.
- Empreinte Réduite : Moins de logiciels malveillants personnalisés à déployer et à gérer, laissant potentiellement moins d'artefacts forensiques qui crient au "malveillant".
Les exemples courants incluent certutil.exe pour télécharger des fichiers, bitsadmin.exe pour les transferts en arrière-plan, mshta.exe pour l'exécution d'applications HTML, regsvr32.exe et rundll32.exe pour l'exécution de DLL, et bien sûr, les toujours polyvalents powershell.exe et wmic.exe pour l'interaction système et l'exécution de commandes.
Le Paradoxe de l'"Assortiment Étrange"
L'incident rapporté impliquait une chaîne complexe d'exécutions de LOLBins, apparemment orchestrée pour livrer non pas un, mais deux RATs distincts. Pourquoi un attaquant opterait-il pour un système de livraison aussi complexe et multi-étapes alors qu'une chaîne plus simple pourrait suffire ? Les motivations potentielles incluent :
- Redondance et Persistance : Le déploiement de deux RATs fournit un mécanisme de secours. Si l'un est détecté et corrigé, l'autre pourrait rester. Différents RATs pourraient également offrir des fonctionnalités distinctes ou des canaux C2.
- Techniques Anti-Analyse : Une chaîne complexe peut rendre l'analyse forensique plus difficile, forçant les défenseurs à démêler plusieurs couches d'obfuscation et d'exécution.
- Livraison Échelonnée : Différentes étapes pourraient être déclenchées par diverses conditions, rendant l'attaque plus sporadique et moins un événement unique et coordonné.
- Contournement de Contrôles Spécifiques : Chaque LOLBin pourrait être choisi pour contourner un contrôle de sécurité particulier, les enchaînant pour naviguer dans une défense multicouche.
Cependant, cette stratégie comporte des risques inhérents importants. Chaque étape supplémentaire, chaque nouveau LOLBin invoqué, crée un autre événement que les outils de sécurité peuvent journaliser, analyser et signaler.
Quand la Furtivité Devient Bruit : Implications pour la Détection
Alors que les exécutions individuelles de LOLBins peuvent être bénignes, un "assortiment étrange" crée souvent un modèle détectable de comportement anormal. Les solutions modernes de détection et de réponse aux endpoints (EDR) sont spécifiquement conçues pour regarder au-delà des exécutions de processus individuelles et analyser le contexte plus large et la séquence d'événements.
- Anomalies de Chaînage de Processus : Les relations parent-enfant de processus inhabituelles (par exemple,
winword.exegénérantmshta.exe, qui génère ensuitepowershell.exe, suivi decertutil.exepour le téléchargement) sont de solides indicateurs d'activité malveillante. - Analyse des Arguments de Ligne de Commande : Les LOLBins utilisés légitimement ont généralement des arguments prévisibles. Une utilisation malveillante implique souvent des chaînes encodées en base64, des URL distantes ou des drapeaux inhabituels.
- Connexions Réseau à partir de Processus Inhabituels : Un processus comme
certutil.exeétablissant une connexion sortante vers une IP ou un domaine obscur, ou un utilitaire système initiant une communication avec un serveur C2 malveillant connu, est hautement suspect. Les attaquants utilisent souvent des services apparemment inoffensifs comme iplogger.org pour recueillir des informations de reconnaissance initiales ou suivre les clics sur les liens de phishing, préparant le terrain pour l'exécution ultérieure de chaînes LOLBin qui se connectent finalement à leur propre infrastructure C2. - Consommation de Ressources et Modèles Comportementaux : Une succession rapide de diverses exécutions de LOLBins, surtout suivie de scripts obfusqués ou de balises réseau, s'écarte nettement du comportement normal du système.
La complexité même destinée à masquer l'attaque peut, en fait, générer un volume plus élevé de télémétrie et un signal plus clair pour les analyses avancées. Chaque instance de LOLBin laisse une trace – un événement de création de processus, une connexion réseau, une modification de fichier – augmentant le profil de bruit global et rendant l'attaque plus facile à repérer pour les systèmes EDR et SIEM sophistiqués.
Stratégies de Défense Contre les Chaînes Complexes de LOLBins
La défense contre des attaques LOLBin aussi élaborées nécessite une approche multicouche :
- EDR Robuste et Analyse Comportementale : Concentrez-vous sur la détection de séquences de comportements suspects plutôt que sur des indicateurs individuels. Recherchez les déviations par rapport à la ligne de base.
- Contrôle d'Applications et Liste Blanche : Implémentez des politiques strictes qui n'autorisent l'exécution que des applications fiables, et restreignez davantage l'utilisation légitime des LOLBins lorsque cela est possible, ou surveillez leur exécution avec des paramètres spécifiques.
- Chasse aux Menaces (Threat Hunting) : Recherchez de manière proactive les arguments de ligne de commande inhabituels, les arborescences de processus et les connexions réseau. Développez des requêtes spécifiques pour identifier les modèles connus d'abus de LOLBins.
- Segmentation et Surveillance du Réseau : Limitez les mouvements latéraux et détectez le trafic de sortie inhabituel, en particulier les connexions vers des IPs ou des domaines malveillants connus.
- Formation de Sensibilisation des Utilisateurs : De nombreuses attaques LOLBin commencent par le phishing ou l'ingénierie sociale. L'éducation des utilisateurs reste une première ligne de défense essentielle.
- Réduction de la Surface d'Attaque : Désactivez les services et fonctionnalités inutiles qui pourraient être exploités.
Le Dilemme de l'Attaquant
En fin de compte, l'incident sert de rappel crucial du dilemme de l'attaquant. Si les LOLBins offrent une furtivité initiale, une dépendance excessive à leur égard, en particulier dans un scénario de déploiement complexe et multi-RAT, introduit des frais généraux opérationnels importants et un risque accru de détection. Chaque étape supplémentaire dans la chaîne est un point de défaillance potentiel, une entrée de journal ou une anomalie comportementale qu'une équipe de sécurité vigilante ou un système EDR avancé peut exploiter. L'"assortiment étrange" a peut-être été une tentative de furtivité ou de redondance ultime, mais il s'est probablement transformé en une cacophonie d'événements, offrant de nombreuses opportunités de détection et de remédiation.
Conclusion
L'idée que "plus c'est mieux" en termes d'utilisation de LOLBins pour le déploiement de RATs est une arme à double tranchant. Bien que cela puisse créer un chemin d'attaque très complexe et initialement déroutant, cela augmente également considérablement la surface d'attaque et le volume de télémétrie potentiellement anormale. Pour les défenseurs bien équipés utilisant des EDR avancés et des analyses comportementales, un "assortiment étrange" de LOLBins pourrait ne pas être un signe de furtivité supérieure, mais plutôt un phare clair d'intention malveillante, rendant la tâche d'identifier et de neutraliser la menace plus réalisable que l'attaquant ne l'avait prévu.