Execution

Cette leçon va couvrir la deuxième étape du framework MITRE ATT&CK, l'exécution (TA0002). Ces techniques sont utilisées pour décrire les manières dont les adversaires exécutent du code malveillant à diverses fins. Au moment de la rédaction du présent rapport, elles incluent actuellement 10 techniques de haut niveau. Nous examinerons les points suivants :

• Instrumentation de gestion Windows
• Exécution par l'utilisateur (2 sous-techniques)

Instrumentation de gestion Windows

MITRE Technique T1047

Windows Management Instrumentation (WMI) est une fonctionnalité d'administration qui facilite la gestion des appareils et des applications d'un réseau à partir d'un système Windows. WMI fournit aux utilisateurs des informations sur l'état des systèmes informatiques locaux ou distants et peut être utilisé pour exécuter du code à distance sur d'autres systèmes. Il utilise le service WMI pour l'accès

local et distant ainsi que les services SMB (Server Message Block) et RPCS (Remote Procedure Call Service).

WMI a de nombreuses utilisations, telles que le mouvement latéral et la découverte, mais étant donné que nous nous concentrons sur l'exécution dans cette leçon, jetez un coup d'œil à quelques entrées surlignées dans le tableau des exemples de procédures ci-dessous (il y en a bien trop pour être traité ici !) :

MITRE propose quelques mesures d'atténuation qui peuvent être utilisées pour empêcher les abus malveillants de WMI. Ils se concentrent sur la gestion correcte des comptes privilégiés en ne les délivrant qu'aux personnes qui ont besoin de ces privilèges (pensez au principe du moindre privilège !). L'autre suggestion est d'être très restrictif en ce qui concerne les personnes autorisées à utiliser WMI afin de limiter le nombre de comptes susceptibles d'en abuser s'ils sont compromis.

MITRE indique que les entreprises doivent surveiller l'utilisation de WMI, ce que nous pouvons faire à l'aide de System Monitoring (Sysmon) de Sysinternals. Nous pouvons surveiller les identifiants d'événements suivants (cliquez dessus pour plus d'informations et des exemples de journaux !) :

• ID d'événement Sysmon 19 : activité WMIEventFilter détectée
• ID d'événement Sysmon 20 : activité WMIEventConsumer détectée
• ID d'événement Sysmon 21 : activité WMIEventConsumerToFilter détectée

Exécution par l'utilisateur

MITRE Technique T1204

Cette technique est liée à l'interaction d'un utilisateur avec une URL malveillante (sous-technique 1) ou un fichier malveillant (sous-technique 2) et est très étroitement liée au phishing en tant que technique d'accès initial. En convainquant un utilisateur de cliquer sur un lien ou de publier une pièce jointe à l'aide de tactiques d'ingénierie sociale (nous les avons abordées dans le domaine de l'analyse du phishing !) l'adversaire peut exécuter du code sur un système sans avoir au préalable un accès initial. Cette technique peut également être utilisée depuis le réseau, en envoyant des e-mails de phishing en interne ou en téléchargeant un fichier malveillant sur un disque partagé ou un serveur de partage de fichiers, puis en incitant les utilisateurs à cliquer dessus en exécutant un code malveillant.

MITRE propose 4 mesures d'atténuation que nous pourrions utiliser. La mise en liste blanche des applications est le processus qui permet d'empêcher l'exécution de tout exécutable non approuvé afin d'empêcher l'exécution de code malveillant. Les systèmes de prévention des intrusions réseau (NIPS) peuvent identifier les demandes adressées à des ressources Web malveillantes ou suspectes et bloquer la connexion avant que des fichiers ne soient téléchargés. La formation de sensibilisation des utilisateurs est un élément essentiel d'un programme efficace de sécurité de l'information. Les utilisateurs finaux doivent être formés à détecter les e-mails de phishing et à ne pas interagir avec eux (en répondant, en cliquant sur des liens ou des pièces jointes).

Dans la section Détection, nous avons deux excellentes recommandations pour vous protéger contre l'exécution par les utilisateurs. La première consiste à surveiller les commandes entrées dans des processus tels que CMD.exe (Windows Command Shell) et PowerShell .exe, ainsi qu'à surveiller les applications utilisées pour compresser les charges utiles puis les extraire (7Zip, WinRAR, etc.). La deuxième suggestion consiste à utiliser une solution antivirus commerciale à jour qui détectera les fichiers malveillants à l'aide de différentes techniques telles que l'analyse de fichiers, la détection basée sur des modèles et les contrôles répétés. Une solution de détection et de réponse des terminaux (EDR) doit également être envisagée pour surveiller et signaler les activités malveillantes, en fournissant aux analystes une plateforme leur permettant d'enquêter sur l'activité des processus, par exemple lorsque Winword.exe génère un processus enfant CMD.exe (il ne s'agit PAS d'une activité normale, il s'agira d'une macro malveillante intégrée à un document Microsoft Office qui ouvre une invite de commande pour rappeler le serveur C2 et télécharger d'autres logiciels malveillants).