Attaques Living-Off-the-Land (LOTL) : Tout ce que vous devez savoir

Les attaques de type “Living-off-the-land” (LOTL) sont une tactique de plus en plus populaire parmi les cybercriminels. Une menace persistante avancée (APT), une attaque LOTL implique l’utilisation d’outils système légitimes et de confiance pour lancer une cyberattaque et échapper à la détection. Dans cet article, nous explorerons les différents aspects des attaques LOTL et comment se préparer et atténuer le risque de cette attaque sophistiquée.

Qu’est-ce qu’une attaque de type Living-Off-the-Land (LOTL) ?

Une attaque LOTL est un type de cyberattaque où un pirate informatique utilise des outils et des fonctionnalités légitimes déjà présents dans le système cible pour éviter la détection et lancer une cyberattaque. Dans ce type d’attaque, le pirate ne fait pas usage de logiciels malveillants ou de codes qui peuvent être facilement détectés par des solutions de sécurité traditionnelles. Au contraire, il utilise les capacités intégrées du système d’exploitation, les outils administratifs et les fichiers batch pour contrôler le système et voler des informations sensibles.

Les attaques LOTL sont populaires parmi les pirates informatiques car elles rendent difficile la détection de l’attaque par les systèmes de sécurité. Le pirate utilise des fonctionnalités du système existantes qui ne suscitent aucun soupçon, et les outils utilisés dans l’attaque sont souvent difficiles à détecter par les solutions de sécurité standard. Comme l’attaque utilise des outils légitimes, il peut être difficile de distinguer l’attaque de l’activité normale du système.

Certaines exemples d’attaques LOTL comprennent l’utilisation de PowerShell ou de l’Instrumentation de Gestion Windows (WMI) pour effectuer des activités malveillantes, l’utilisation de langages de script intégrés comme Python ou Ruby pour créer des scripts malveillants, ou l’utilisation de tâches planifiées et de clés de registre pour exécuter du code malveillant. Nous discuterons de ces éléments de manière plus détaillée dans la section suivante.

Types d’attaques LOTL

Les attaques LOTL deviennent de plus en plus populaires parmi les cybercriminels en raison de leur efficacité à contourner les mesures de sécurité traditionnelles. Ces attaques impliquent l’utilisation d’outils et de techniques légitimes pour mener des activités malveillantes, ce qui les rend difficiles à détecter. Il existe plusieurs types d’attaques LOTL, notamment l’implantation binaire, les clés de registre Run, les logiciels malveillants sans fichier, et les attaques basées sur PowerShell. Chacune de ces attaques représente une menace significative pour les organisations et les individus et nécessite des mesures proactives pour les prévenir et les détecter.

Implantation Binaire

L’implantation binaire, également connue sous le nom de détournement de DLL ou chargement latéral de DLL, est un type d’attaque LOTL qui consiste à remplacer un fichier DLL légitime par un fichier malveillant. Lorsqu’une application tente d’utiliser le DLL légitime, elle charge sans le savoir le DLL malveillant à la place, ce qui permet à l’attaquant d’exécuter du code sur le système de la victime. Cette attaque peut être particulièrement dangereuse car elle peut être utilisée pour exploiter des applications qui s’exécutent avec des privilèges élevés, tels que les services de niveau système et les outils administratifs. La détection de cette attaque peut être difficile car elle ressemble souvent à un processus légitime.

Clefs de registre Run

Les clefs de registre Run sont une technique utilisée par les attaquants pour exécuter leur code malveillant sur le système d’une victime au démarrage. Les attaquants insèrent leur logiciel malveillant dans la clef de registre qui contient des instructions pour exécuter un programme spécifique au démarrage. Le code peut être ajouté à n’importe laquelle des clefs de registre Run, telles que :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, ou

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.

Ce type d’attaque est particulièrement dangereux car il permet à un attaquant de maintenir une persistance sur un système infecté, même après un redémarrage. Il peut également permettre à l’attaquant d’escalader ses privilèges.

Logiciel malveillant sans fichier

Le logiciel malveillant sans fichier est un type avancé d’attaque LOTL qui contourne les logiciels antivirus traditionnels en résidant dans la mémoire de l’ordinateur plutôt que dans le système de fichiers. Les attaquants utilisent des langages de script tels que PowerShell ou Windows Management Instrumentation (WMI) pour exécuter le code directement en mémoire. En conséquence, il n’y a pas de fichier à analyser, ce qui rend sa détection plus difficile. Le logiciel malveillant sans fichier peut être utilisé pour voler des données sensibles, installer des portes dérobées, ou mener divers autres activités malveillantes, et représente donc une menace significative pour les organisations qui se fient aux solutions antivirus traditionnelles.

Attaques basées sur PowerShell

Les attaques basées sur PowerShell utilisent Windows PowerShell, un langage de script puissant intégré à Windows, pour exécuter du code malveillant. Les attaquants peuvent utiliser PowerShell pour contourner les antivirus traditionnels et autres mesures de sécurité en utilisant des scripts PowerShell pour exécuter des commandes et exécuter des logiciels malveillants. Les attaques basées sur PowerShell peuvent être utilisées pour voler des identifiants, télécharger des logiciels malveillants supplémentaires et se propager à travers un réseau. Comme PowerShell est un outil légitime utilisé par les administrateurs, la détection de cette attaque peut être difficile, en particulier si l’attaquant a obtenu des privilèges ou l’accès à un compte administratif.

Comment fonctionnent les attaques LOTL

Les attaques LOTL fonctionnent en exploitant des outils système et des applications de confiance pour éviter la détection. Les attaquants utilisent des vulnérabilités et des faiblesses préexistantes dans ces outils pour exécuter du code malveillant et maintenir une persistance sur le système.

Exploitation des outils système de confiance

Les attaques LOTL reposent fortement sur l’exploitation des outils système de confiance, comme PowerShell, Windows Management Instrumentation (WMI), et les interfaces de ligne de commande. Les attaquants utilisent ces outils pour exécuter des commandes, modifier les configurations du système, et effectuer d’autres tâches sans alerter les utilisateurs ou les systèmes de sécurité. Comme ces outils sont fiables pour les utilisateurs, les attaquants peuvent facilement se fondre parmi les utilisateurs légitimes et éviter la détection.

Exploitation de vulnérabilités préexistantes

Les attaques LOTL peuvent également exploiter des vulnérabilités préexistantes au sein du système cible. Les attaquants peuvent exploiter ces vulnérabilités pour accéder à des informations sensibles ou exécuter des commandes sur le système. Comme ces vulnérabilités existent déjà dans le système, les attaquants n’ont pas besoin de les créer de toutes pièces ou d’utiliser des techniques de piratage complexes. Au lieu de cela, ils peuvent simplement utiliser une vulnérabilité connue pour avoir accès.

Cacher du code malveillant dans des fichiers bénins

Enfin, les attaques LOTL peuvent impliquer de cacher du code malveillant dans des fichiers bénins. Les attaquants peuvent, par exemple, intégrer du code malveillant dans des types de fichiers de confiance, tels que des PDF ou des documents Word, et tromper les utilisateurs pour qu’ils les téléchargent ou les ouvrent. Lorsque l’utilisateur ouvre le fichier, le code intégré s’exécute et donne à l’attaquant un accès au système. Ce type d’attaque est connu sous le nom d’attaque sans fichier car elle ne nécessite pas que l’attaquant installe un logiciel sur le système cible.

Outils utilisés par les cybercriminels dans les attaques LOTL

Les outils suivants sont couramment utilisés par les attaquants dans diverses cyberattaques, y compris les attaques LOTL. Ils offrent un large éventail de capacités, y compris le scan de réseau, l’exécution à distance, le cracking de mots de passe et l’exploitation des vulnérabilités. Ces outils sont souvent utilisés en combinaison pour recueillir des informations, obtenir l’accès aux systèmes et maintenir une persistance sur le réseau cible. L’utilisation de ces outils nécessite un haut niveau de compétence et de connaissance techniques, et ils sont également populaires parmi les professionnels de la sécurité pour les tests de pénétration et les évaluations de vulnérabilités.

Outil	Comment il est utilisé pour les attaques LOTL
PowerShell	PowerShell est un langage de script et une coquille de commande utilisés dans les attaques LOTL pour exécuter des commandes sur le système cible et automatiser diverses tâches. Les attaquants peuvent utiliser PowerShell pour télécharger et exécuter du code malveillant, contourner les contrôles de sécurité et éviter la détection.
Cadre Metasploit	Le Cadre Metasploit est un outil populaire utilisé dans les attaques LOTL pour les tests de pénétration et l’exploitation des vulnérabilités. Il fournit une gamme de modules qui peuvent être utilisés pour identifier et exploiter les faiblesses des systèmes, y compris l’exécution de code à distance et l’élévation de privilèges.
Mimikatz	Mimikatz est un outil de piratage puissant utilisé dans les attaques LOTL pour extraire des mots de passe en clair, des hashes, et d’autres informations sensibles du système d’exploitation Windows. Les attaquants peuvent utiliser Mimikatz pour obtenir des identifiants et obtenir l’accès à d’autres systèmes sur le réseau.
Cobalt Strike	Cobalt Strike est un outil de test de pénétration qui est souvent utilisé dans les attaques LOTL pour simuler des menaces persistantes avancées (APTs) et conduire des évaluations de l’équipe rouge. Il propose une gamme de fonctionnalités, y compris les serveurs de commande et de contrôle (C2), la génération de charges utiles et les outils post-exploitation.
Nmap	Nmap est un outil de cartographie réseau et de scan de port utilisé dans les attaques LOTL pour identifier les ports ouverts, les services et les vulnérabilités sur les systèmes cibles. Il peut être utilisé pour recueillir des informations sur la topologie du réseau, identifier des vecteurs d’attaque potentiels et identifier les systèmes d’exploitation et les applications.
Wireshark	Wireshark est un analyseur de protocole réseau utilisé dans les attaques LOTL pour capturer et analyser le trafic réseau. Il peut être utilisé pour identifier les modèles de communication, identifier les services vulnérables et extraire des informations sensibles des paquets réseau.
Netcat	Netcat est un outil réseau polyvalent utilisé dans les attaques LOTL pour le programmation de socket TCP/IP. Il peut être utilisé pour établir des connexions, transférer des fichiers et exécuter des commandes à distance sur des systèmes cibles.
Aircrack-ng	Aircrack-ng est une suite d’outils utilisés dans les attaques LOTL pour tester et craquer la sécurité des réseaux sans fil. Il peut être utilisé pour capturer des paquets, effectuer des attaques par force brute et craquer des clés de chiffrement pour obtenir un accès non autorisé aux réseaux sans fil.
John the Ripper	John the Ripper est un outil de cracking de mots de passe utilisé dans les attaques LOTL pour tester la force des mots de passe et craquer les hachages de mots de passe. Il prend en charge une gamme de types de hachage et peut être utilisé pour identifier des mots de passe faibles ou vulnérables.
Hashcat	Hashcat est un outil de cracking de mots de passe utilisé dans les attaques LOTL pour tester et craquer les hachages de mots de passe. Il prend en charge une large gamme d’algorithmes de hachage et peut être utilisé pour des attaques par force brute, des attaques par dictionnaire et des attaques basées sur des règles pour craquer des mots de passe et obtenir un accès non autorisé à des systèmes et des comptes.

Comment détecter les attaques LOTL

Détecter les attaques LOTL peut être délicat car les attaquants utilisent des outils système de confiance et des vulnérabilités existantes pour éviter d’être détectés. Il existe néanmoins certaines stratégies que les organisations peuvent utiliser pour détecter et prévenir ces attaques. Par exemple, surveiller les journaux système et le trafic réseau peut aider à détecter une activité inhabituelle ou suspecte. De plus, l’utilisation d’un logiciel de sécurité pour la détection et la réponse sur les points de terminaison (EDR) peut aider à détecter et à répondre aux attaques LOTL en temps réel. Des analyses régulières des vulnérabilités et des patchs peuvent également aider à empêcher les attaquants d’exploiter des vulnérabilités connues au sein du système.

L’impact des attaques LOTL

L’impact des attaques LOTL peut être significatif, allant du vol de données à la compromission complète du système. Ces attaques peuvent entraîner la perte d’informations sensibles, une perturbation des activités de l’entreprise, une perte financière et des atteintes à la réputation d’une organisation. Des exemples réels d’attaques LOTL incluent les attaques Petya et NotPetya en 2017. Ces attaques ont causé des dommages importants aux entreprises et organisations à travers le monde. Elles étaient une forme de ransomware qui chiffrait les fichiers de la victime et demandait un paiement en échange de la clé de déchiffrement. Cependant, contrairement aux attaques par ransomware traditionnelles, les malwares Petya et NotPetya se propageaient rapidement à travers les réseaux en utilisant plusieurs vecteurs d’infection, y compris l’exploitation de logiciels vulnérables. NotPetya a été particulièrement dommageable, car il était présenté comme un ransomware mais avait en réalité été conçu pour détruire les données sur les machines infectées. Ces attaques auraient causé des pertes de plusieurs milliards de dollars à l’échelle mondiale et ont servi de rappel quant à l’importance de pratiques solides en matière de cybersécurité. Les conséquences économiques des attaques LOTL peuvent être graves, en particulier pour les petites et moyennes entreprises qui n’ont peut-être pas les ressources nécessaires pour se remettre de ces attaques.

Comment prévenir les attaques Living-Off-the-Land (LOTL)

Les attaques LOTL sont cruciales pour les organisations afin de maintenir l’intégrité et la sécurité de leurs informations sensibles. Ces attaques peuvent être difficiles à détecter et peuvent causer des dommages significatifs. L’implémentation de certaines mesures peut toutefois aider à réduire le risque d’attaques LOTL. Ces mesures incluent :

Limiter l’utilisation des langages de script

Les attaques LOTL reposent sur l’utilisation de langages de script pour exécuter du code malveillant. Limiter l’utilisation des langages de script ou mettre en place des contrôles stricts peut réduire le risque de telles attaques.

Surveiller l’activité du système

Mettez en place un système robuste pour surveiller l’activité du système et l’accès aux fichiers. Cela peut aider à détecter des schémas d’accès inhabituels qui pourraient indiquer une attaque LOTL.

Mettre à jour régulièrement le logiciel

Des mises à jour régulières du logiciel peuvent corriger des vulnérabilités potentiellement exploitables par des attaques LOTL. Assurez-vous que tous les logiciels et applications utilisés au sein de l’organisation sont régulièrement mis à jour vers la dernière version.

Mettre en œuvre des contrôles d’accès à privilèges minimum

Limiter l’accès aux données et ressources sensibles peut aider à réduire le risque d’attaques LOTL. Mettez en œuvre une politique de contrôle d’accès à privilèges minimum, ce qui peut aider à garantir que les utilisateurs n’ont accès qu’aux données et aux ressources nécessaires à l’exercice de leurs fonctions professionnelles.

Mettre en œuvre une authentication forte des utilisateurs

Des mesures d’authentification forte des utilisateurs, telles que l’authentification multifactorielle, peuvent aider à prévenir l’accès non autorisé aux données et aux ressources sensibles.

Eduquer les utilisateurs

Les utilisateurs peuvent introduire involontairement des vulnérabilités dans le système en téléchargeant des logiciels malveillants ou en cliquant sur des liens de phishing. Une formation régulière des employés peut aider à sensibiliser les utilisateurs aux bonnes pratiques de sécurité et à réduire la probabilité d’attaques LOTL.

Protéger les contenus sensibles des attaques LOTL avec Kiteworks

Le réseau de contenu privé Kiteworks (PCN) est une plateforme sécurisée pour les entreprises et les organisations pour partager, collaborer et gérer des contenus sensibles. Face à l’augmentation de la sophistication des attaques living-off-the-land (LOTL), les entreprises doivent être vigilantes pour protéger leurs contenus sensibles contre l’exploitation. Les attaques LOTL impliquent des pirates utilisant des outils légitimes déjà présents au sein du système pour accéder à des informations sensibles de manière non autorisée. Kiteworks a des caractéristiques et des capacités uniques qui en font un atout précieux pour se protéger contre ces attaques.

Kiteworks assure le chiffrement de bout en bout de tout le contenu pendant la transmission et le stockage, garantissant que seul le personnel autorisé peut accéder aux informations. De plus, la plateforme dispose d’un système robuste de contrôle d’accès granulaire qui permet aux organisations de gérer l’accès à leur contenu à un niveau granulaire. Cela aide à garantir que seuls les individus autorisés ont accès à des informations spécifiques, réduisant ainsi le risque d’accès non autorisé pouvant conduire à des fuites de données, des vols et des violations de données.

Kiteworks dispose d’un système d’audit et de reporting robuste qui suit et consigne toutes les activités au sein de la plateforme. Cela offre une visibilité complète et exhaustive sur qui a accédé à quoi, modifié ou partagé des données sensibles, facilitant ainsi la démonstration de la conformité et la détection et la réponse à toute activité malveillante.

Kiteworks a également intégré les capacités de prévention des pertes de données (DLP) qui empêchent des contenus sensibles comme les dossiers des clients, les informations financières et la propriété intellectuelle de quitter l’organisation. Les capacités de sauvegarde et de récupération après sinistre (BDR) de Kiteworks donnent aux organisations la tranquillité d’esprit en garantissant que leur contenu est sécurisé et récupérable en cas de catastrophe ou de perte de données. La plateforme fournit des sauvegardes quotidiennes de tous les contenus stockés sur la plateforme, pour s’assurer que les organisations peuvent rapidement récupérer leurs données en cas d’interruption de service inattendue ou de cyberattaque.

Pour en savoir plus sur Kiteworks et sur la façon dont le réseau de contenu privé peut vous aider à protéger le contenu le plus sensible de votre organisation, contactez-nous dès aujourd’hui pour programmer une démo.

 

Retour au glossaire Risk & Compliance