Impact

Cette leçon va couvrir la 12e étape du framework MITRE ATT&CK, Impact. Ces techniques sont utilisées pour décrire les actions que les adversaires peuvent utiliser pour perturber la disponibilité ou compromettre l'intégrité en manipulant les processus commerciaux et opérationnels, par exemple en falsifiant ou en détruisant des données. Au moment de la rédaction de cet article, il comprend actuellement 13 techniques de haut niveau. Nous examinerons les points suivants :

• Suppression de l'accès au compte
• Défaçage (2 sous-techniques)
• Données cryptées pour Impact

Suppression de l'accès au compte

MITRE Technique T1531

Les adversaires peuvent vouloir empêcher l'accès aux comptes dans le cadre d'une technique anticriminalistique ou simplement pour perturber les opérations commerciales. Cela peut être réalisé en effectuant l'une des opérations suivantes :

• Supprimer des comptes
• Verrouillage de comptes
• Changer les mots de passe

Du point de vue de l'adversaire, ces actions sont extrêmement bruyantes et Windows dispose d'un certain nombre de journaux qui alertent l'équipe de sécurité de cette activité. Il est donc probable qu'elle se produise une fois que l'attaquant a atteint tous les objectifs prévus.

Sous la rubrique Exemples de procédures, nous avons une entrée pour cette technique, dans laquelle elle a été utilisée par LockerGoga, une souche de ransomware. En plus de crypter les fichiers, il a également modifié les mots de passe des comptes et les a déconnectés, ce qui a rendu la restauration des systèmes encore plus difficile.

Pour cette technique, la section sur l'atténuation est extrêmement courte car il s'agit d'une fonctionnalité légitime du système qui fait l'objet d'abus. Il n'existe donc aucun moyen réel de l'empêcher. Des contrôles administratifs doivent être mis en place pour limiter le nombre de comptes utilisateurs disposant d'un accès administrateur ou administrateur de domaine et pouvant modifier ou supprimer des comptes utilisateurs.

MITRE propose des conseils incroyables pour détecter cette technique et nous fournit même les identifiants d'événements Windows que nous devons surveiller. Nous avons en fait couvert ces événements dans le cadre d'une activité relevant de IR3 (Détection et analyse) ! Comme indiqué cidessous, en particulier dans les grands environnements, les utilisateurs seront bloqués pour des raisons légitimes, comme le simple fait d'oublier leur mot de passe après l'avoir modifié. Les événements visant à modifier ou à réinitialiser un mot de passe peuvent également être créés de manière légitime par des utilisateurs non malveillants. D'autres méthodes doivent donc être envisagées lors de la rédaction des règles de détection, telles que le volume d'événements (1 à 5 échecs de connexion sont probablement légitimes, plus de 9 000 ne l'est pas) et la comparaison avec une activité « standard » de référence.

Dégradation

MITRE Technique T1491

Les adversaires peuvent modifier le contenu disponible en interne ou en externe sur un réseau d'entreprise, par exemple en modifiant des fonds d'écran pour y inclure une image offensante ou un message de rançon, ou en modifiant le site Web principal d'une entreprise en réduisant les opérations légitimes visant à afficher un message public. Mais pourquoi est-ce que quelqu'un ferait ça ? C'est incroyablement bruyant, et si les défenseurs n'ont pas encore identifié l'acteur malveillant, ils savent certainement que quelque chose ne va pas. Les raisons pour lesquelles des actions de dégradation sont menées sont notamment les suivantes :

• Diffusion de messages, généralement associés à des hacktivistes faisant la promotion de messages motivés par des considérations sociales ou politiques
• Intimidation, pour faciliter les tentatives de chantage à l'encontre de l'organisation compromise,
• Réclamer le mérite d'une intrusion, potentiellement pour des raisons sociales, telles que le fait de se montrer à des amis ou de démontrer ses capacités techniques à l'organisation et à d'autres

Cette technique est divisée en deux sous-techniques, interne et externe.

La méthode la plus simple et la plus efficace pour lutter contre les dégradations internes et externes consiste sans doute à revenir à la dernière sauvegarde qui ne présente aucune modification malveillante. C'est plus facile à dire qu'à faire, car des efforts doivent également être déployés pour protéger les sauvegardes elles-mêmes, car des adversaires peuvent les cibler pour empêcher leur restauration. Le temps qui s'écoule entre la dernière sauvegarde et l'application de la restauration entraîne une période de perte de données. Des sauvegardes fréquentes sont donc essentielles pour réduire l'impact de la restauration.

MITRE suggère aux entreprises de surveiller les modifications apportées à leur site Web, de protéger le serveur Web à l'aide d'un pare-feu d'applications Web (WAF) et de filtrer et de supprimer le trafic malveillant associé aux attaques R2L (R2L), notamment l'injection SQL, les scripts intersites, etc. Si un attaquant parvient à accéder à un serveur Web depuis le réseau, il peut contourner le WAF en se connectant directement au système à l'aide d'outils distants tels que le protocole Remote Desktop ou Secure Shell. Les modifications apportées aux fichiers sur le serveur doivent donc être surveillées pour détecter tout changement inattendu.

Chiffrement des données

MITRE Technique T1486

Chiffrement des données Qu'est-ce qui vous vient tout de suite à l'esprit ? Ransongiciel. Les adversaires peuvent s'efforcer de chiffrer des fichiers et des données et de dissimuler la clé de déchiffrement afin qu'il n'y ait aucun moyen d'inverser le chiffrement. Cela est généralement utilisé pour essayer de recevoir le paiement d'une rançon, après quoi l'adversaire peut ou non fournir la clé de déchiffrement. Si l'acteur ne cherche pas à extorquer de l'argent et veut simplement détruire un système, il peut crypter des fichiers système critiques ou le Master Boot Record pour paralyser les fonctionnalités du système. Étant donné que les actions de ransomware ou de chiffrement n'affecteront que le système local, l'adversaire doit identifier les moyens de sa propagation, par exemple en utilisant des vulnérabilités vermifuges (WannaCry a utilisé une faille dans SMB, un protocole de partage de fichiers, qui lui a permis de se propager rapidement) ou en accédant à des comptes valides.

Le tableau des exemples de procédures contient une multitude d'entrées intéressantes, notamment certaines souches de rançongiciels très médiatisées telles que Ryuk, Shamoon et WannaCry. Nous pouvons voir qu'ils se ressemblent tous, mais si vous allez plus loin en cliquant sur les noms des ransomwares, vous découvrirez les détails intéressants qui les séparent (allez-y, jetez un œil !)

Dans le tableau des mesures d'atténuation, nous avons présenté un exemple de suggestion sous le nom de Defacement, qui rappelle aux entreprises de conserver des sauvegardes régulières et de s'assurer qu'elles sont protégées de manière appropriée afin d'éviter toute altération ou destruction.

Pour la détection, les suggestions incluent la surveillance des utilisations spécifiques de la ligne de commande telles que vssadmin, wbadmin, bcdedit, qui peuvent toutes être utilisées pour crypter des données. Nous pouvons également surveiller un grand nombre de modifications de fichiers dans un court laps de temps, ce qui pourrait être la preuve que des ransomwares cryptent activement des fichiers.