Reactive: Blocking File Artifacts

Les pièces jointes malveillantes peuvent être extrêmement dommageables pour une organisation et ses systèmes. Qu'il s'agisse de virus, de rançongiciels, de portes dérobées ou d'enregistreurs de frappe, il est important de prendre des mesures défensives strictes lorsque ces artefacts sont présents lors d'une attaque de phishing. Il existe deux types de blocages standard que nous pouvons utiliser pour nous défendre contre les fichiers malveillants :

• Blocage du hachage MD5, SHA1 ou SHA256
• Blocage de noms de fichiers

Blocage des hachages

Nous pouvons bloquer le hachage MD5, SHA1 ou SHA256 dans l'outil EDR (Endpoint Detection and Response) de l'entreprise. Cela signifie que chaque fois que le hachage est présent sur un terminal protégé, le logiciel le reconnaît et le supprime immédiatement avant de pouvoir s'exécuter. À moins que l'attaque de phishing n'utilise des fichiers différents (et donc des hachages différents, bien que cela soit peu probable), le simple fait de bloquer le hachage du fichier vous protégera contre cette pièce jointe spécifique à un e-mail. Si la solution antivirus (AV) de l'entreprise ne signale pas le fichier malveillant, le hachage peut généralement être soumis au fournisseur, qui l'ajoutera à la liste de détection de son antivirus s'il le juge approprié, afin de protéger tous les autres clients du produit. Les malwares classiques (fréquemment vendus en ligne) et les malwares polymorphes plus avancés peuvent se modifier eux-mêmes ou simplement ajouter des données inutiles à leur code, modifiant ainsi le hachage du fichier et rendant les blocs de hachage inefficaces. En raison de collisions de hachage, MD5 et SHA1 sont largement obsolètes, et SHA256 est la norme actuelle pour le hachage de fichiers.

Noms de blocage

Ce n'est généralement pas une bonne idée à moins que le fichier ne porte un nom de fichier extrêmement unique. Par exemple, si le fichier s'appelait « Budget FINAL March 2019.xls », nous pourrions avoir du mal à le bloquer en raison de son nom, car il peut être utilisé de manière légitime au sein de l'entreprise et nous ne voulons pas supprimer des fichiers légitimes. Si le fichier s'appelait « INVOICE #8491 READ NOW URGENT », il est moins probable qu'il soit utilisé de manière légitime, en raison de la numérotation spécifique (#8491) et du texte qui tente de créer un sentiment d'urgence. Les blocs de noms de fichiers sont rarement utilisés et peuvent plutôt être utilisés pour générer des listes de surveillance, un ensemble d'IOC/artefacts qui sont surveillés et qui, lorsqu'ils sont détectés, sont alertés aux analystes pour qu'ils étudient plus avant. Dans presque toutes les circonstances d'un fichier malveillant, des hachages de fichiers seront utilisés pour le bloquer.