Après un clic sur du phishing, comment les attaquants passent-ils d'un portable au reste du réseau ?

En général en quelques étapes prévisibles. Le fichier ou le lien malveillant leur ouvre un canal de contrôle à distance vers leur propre serveur, visible sous forme de connexions sortantes régulières. Ils explorent ensuite : quels serveurs, partages et comptes existent, souvent en scannant le réseau interne ou en interrogeant l'annuaire. Puis ils récupèrent d'autres identifiants, dans la mémoire du portable, dans les mots de passe enregistrés du navigateur ou sur d'autres systèmes, et s'en servent pour se connecter à d'autres machines avec des outils d'administration ordinaires comme le bureau à distance, PowerShell à distance ou les partages de fichiers. De là, ils visent le contrôleur de domaine, les sauvegardes et les stockages de données. Chaque étape laisse une trace réseau : nouvelles connexions entre machines internes qui se parlent rarement, scans, protocoles d'administration venant d'un portable ordinaire, données qui partent vers des endroits inhabituels. Ce sont ces traces que surveille la détection et réponse réseau (NDRNDR: network detection and response (détection et réponse réseau). Surveillance de sécurité qui observe le trafic entre les appareils et lève une alerte quand l'un d'eux agit comme un attaquant.), et c'est pourquoi un clic sur du phishing ne doit pas forcément finir en intrusion complète.

← Les 29 questions sur Phishing et suites d'un e-mail piégéTous les thèmes