Working with Network Data
Comprendre les techniques d'attaque avancees, l'analyse retrospective des malwares, les interactions systeme et le framework MITRE ATT&CK.
- Comprendre les attaques zero-day et leur interet pour les attaquants
- Maitriser les backdoors et les methodes de prevention
- Comprendre les communications C&C bidirectionnelles
- Connaitre l'interaction applications-OS (appels API)
- Utiliser le framework MITRE ATT&CK pour l'analyse
💣 27.1 — Attaques zero-day et evasion
Les acteurs de menace privilegient les attaques zero-day pour une raison principale : eviter d'etre detectes par la cible. Puisqu'aucune signature n'existe pour une vulnerabilite zero-day, les IDS/IPS bases sur les signatures ne peuvent pas la detecter.
- Aucun patch n'existe → le systeme est vulnerable indefiniment
- Aucune signature IDS → evasion totale de la detection
- Le marche noir des zero-day est lucratif (100K$ - 2.5M$ par exploit)
- Les APT (State-sponsored) stockent des zero-day pour des operations futures
🚪 27.2 — Backdoors et methodes de prevention
Une backdoor est un mecanisme d'acces secret installe par un attaquant pour maintenir l'acces a un systeme compromis. Deux methodes complementaires previennent la creation de backdoors :
| Methode | Type | Description |
|---|---|---|
| HIPS (Host-based IPS) | Prevention active | Signale et bloque les intrusions en temps reel sur l'hote — empeche l'installation de backdoors |
| Audit des terminaux | Detection proactive | Detecter les fichiers anormaux sur les endpoints — identifier les backdoors deja installees |
📡 27.3 — Communications C&C bidirectionnelles
L'objectif de la communication bidirectionnelle entre un malware et son serveur C&C (Command & Control) est de pouvoir envoyer des commandes au logiciel malveillant installe sur la cible.
Cette communication bidirectionnelle permet :
- Du C&C vers le malware : envoyer des commandes (telecharger un module, lancer un scan, exfiltrer des donnees)
- Du malware vers le C&C : rapporter le statut, envoyer les donnees volees, demander de nouvelles instructions
Analyse retrospective des malwares
L'avantage principal de l'analyse retrospective apres la penetration d'un malware est qu'elle facilite le suivi du comportement du programme malveillant. En examinant les logs et artefacts apres l'incident, on peut reconstituer :
- Le vecteur d'infection initial
- Les mouvements lateraux effectues
- Les donnees exfiltrees
- Les modifications systeme apportees
⚙️ 27.4 — Interaction Application-OS
Les applications interagissent avec le systeme d'exploitation en effectuant des appels API (Application Programming Interface calls), aussi appeles system calls (syscalls).
| Concept | Description | Exemple |
|---|---|---|
| API Call | Requete d'une application vers l'OS pour acceder a une ressource | CreateFile(), ReadFile(), WriteFile() |
| System Call | Interface bas niveau entre l'application et le noyau de l'OS | open(), read(), write(), fork() |
| DLL (Windows) | Bibliotheques partagees contenant les fonctions API | kernel32.dll, user32.dll, ntdll.dll |
VirtualAlloc + WriteProcessMemory = injection de code) est une technique cle de detection comportementale utilisee par les EDR.
🗺️ 27.5 — Framework MITRE ATT&CK
Le framework MITRE ATT&CK partage principalement deux types d'informations :
- Cartographie des etapes d'une attaque a une matrice de tactiques — permet de visualiser ou en est l'attaquant dans sa progression
- Tactiques, techniques et procedures (TTP) — description detaillee des methodes utilisees par les acteurs de menace
| Composant ATT&CK | Description | Exemple |
|---|---|---|
| Tactic | L'objectif de l'attaquant (le "pourquoi") | Initial Access, Persistence, Exfiltration |
| Technique | La methode utilisee (le "comment") | T1566 Phishing, T1053 Scheduled Task |
| Procedure | L'implementation specifique par un groupe | APT28 utilise des macros Word pour du spearphishing |
📝 27.6 — Quiz de revision
Points cles du Module 27
- Les attaquants privilegient les zero-day pour eviter d'etre detectes
- Deux methodes contre les backdoors : HIPS (prevention) + audit des terminaux (detection)
- La communication C&C bidirectionnelle permet d'envoyer des commandes au malware
- L'analyse retrospective facilite le suivi du comportement du malware
- Les applications interagissent avec l'OS via des appels API
- MITRE ATT&CK partage la matrice de tactiques et les TTP