Pourquoi les attaquants utilisent-ils des outils d'accès à distance légitimes ?

Parce qu'on leur fait confiance. Les outils d'assistance et de gestion à distance sont signés, couramment installés et autorisés par les pare-feu ; l'antivirus les signale donc rarement, et leur trafic va vers le cloud de l'éditeur comme toute session légitime. Les attaquants les installent après être entrés, ou détournent ceux déjà présents, pour garder un accès qui survit à un changement de mot de passe. Les avis de la CISA sur des groupes comme Akira et Medusa décrivent précisément cet usage des logiciels d'accès à distance. Tenez la liste des outils que votre entreprise utilise réellement, bloquez l'installation des autres, exigez l'authentification multifacteur (MFA) pour ceux que vous autorisez et supprimez ceux dont personne n'a besoin. Sur le réseau, un outil inattendu apparaît comme un hôte qui se connecte régulièrement à un éditeur d'accès à distance qu'il n'avait jamais utilisé. NetSenX signale ces nouveaux contacts réguliers comme du beaconing dans chaque offre ; décider si un outil est approuvé vous revient.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes