Exfiltration

À un moment donné, un adversaire doit atteindre ses objectifs, bien souvent pour voler des données précieuses. Ces actions sont appelées exfiltration et constituent la dixième phase de MITRE. La phase d'exfiltration comprend les techniques utilisées pour voler les données du réseau et des systèmes compromis, ainsi que les moyens d'éviter la détection une fois cette opération terminée. Cela peut inclure la compression, le cryptage ou le codage de fichiers lors de leur suppression du réseau et implique généralement leur transfert via un canal de communication de commande et de contrôle. Au moment de la rédaction de cet article, l'exfiltration comporte 9 techniques. Nous examinerons les points suivants :

• Exfiltration sur le canal C2
• Transfert programmé

Canal Exfil sur C2

MITRE Technique T1041

Comme expliqué précédemment, les adversaires peuvent utiliser les canaux de commande et de contrôle existants pour exfiltrer des données d'un réseau. Les adversaires peuvent extraire des données contenues dans des balises qui font appel à leurs serveurs C2.

L'un des principaux moyens de vérifier l'exfiltration de fichiers consiste à rechercher les clients qui envoient une quantité importante de données à un serveur. Un NIDS (Network Intrusion Detection System) peut également être utilisé car des règles peuvent être créées pour alerter sur les « octets magiques » des fichiers. Une règle peut essentiellement être créée pour alerter chaque fois qu'un fichier Microsoft Word est détecté comme étant transféré sur le réseau. Une autre méthode de détection est la détection initiale du serveur C2 lui-même. Les balises font souvent appel à l'adresse IP externe à intervalles réguliers, avec une légère « instabilité » provoquée par l'adversaire. L'analyse de fréquence peut être une méthode courante pour détecter ce phénomène.

Transfert programmé

MITRE Technique T1029

Les attaquants peuvent programmer l'exfiltration de données pour qu'elle se produise uniquement à des moments précis afin de tenter d'échapper aux systèmes de détection et de prévention des intrusions sur le réseau (NIDS/NIPS) ou aux analystes de sécurité et de s'assurer de pouvoir exfiltrer autant de données que possible avant d'être découverts.

Le malware ADVSTORESHELL collecte des données, les compresse, les crypte et les télécharge sur le serveur de commande et de contrôle toutes les 10 minutes. Bien que cela puisse être assez facile à détecter en raison du court laps de temps entre les téléchargements, cela permettra de récupérer rapidement de nombreuses données du système. Cobalt Strike, la célèbre plateforme de sécurité offensive, peut configurer la charge utile de la balise (code qui tente de se connecter au serveur C2) pour qu'elle utilise un intervalle aléatoire afin de la rendre plus difficile à repérer. Cet outil peut également diviser des fichiers volumineux en petits morceaux pour permettre un transfert plus subtil hors du réseau. Ensuite, ComRat et Dipsind peuvent être configurés pour ne fonctionner que pendant les heures ouvrables normales (de 9 h à 17 h) afin de les aider à s'intégrer au trafic normal.

Une mesure d'atténuation assez essentielle est suggérée, à savoir l'utilisation d'outils NIDS/NIPS tels que Bro/Zeek pour détecter, alerter Snort et répondre aux activités suspectes ou malveillantes sur le réseau.

Pour détecter cette technique, nous devons surveiller les processus inhabituels qui accèdent à des fichiers et établissent des connexions réseau, car cela pourrait représenter une exfiltration de données par un adversaire. La recherche de connexions réseau contenant des paquets volumineux peut aider à détecter les téléchargements de fichiers.