Qu'est-ce que l'abus de PsExec ou des partages administratifs, et pourquoi l'antivirus ne le signale-t-il pas ?

PsExec et des outils semblables exécutent des commandes sur un ordinateur distant en copiant un petit service via ses partages de fichiers administratifs puis en le démarrant, et des protocoles de gestion à distance comme WinRM et le bureau à distance font un travail analogue. Les administrateurs s'en servent tous les jours, c'est pourquoi l'antivirus les laisse en général passer : l'outil est signé et légitime, seul le contexte cloche. Les attaquants les utilisent pour se propager d'une machine à beaucoup d'autres, pousser un rançongiciel sur tous les serveurs à la fois ou exécuter des scripts avec des identifiants administrateur volés. Ce qui les trahit, c'est qui les utilise, d'où et quand : un poste qui ouvre à 1 h 30 des sessions d'administration vers des serveurs qu'il n'a jamais utilisés, ou un compte qui touche des dizaines d'hôtes en quelques minutes. Limitez les machines autorisées à en administrer d'autres. NetSenX détecte ces nouvelles sessions d'administration entre hôtes comme mouvement latéral dans chaque offre.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes