TA0002 Exécution : faire tourner son code chez quelqu’un d’autre

Quatrième tactique de la matrice ATT&CK Enterprise. L’objectif, selon le MITRE : l’adversaire cherche à faire tourner du code ou des instructions malveillants sur un système. C’est la tactique charnière : l’accès initial ouvre la porte, celle-ci met quelque chose en marche derrière.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Obtenir qu’un code qu’il contrôle s’exécute, localement ou à distance. Le MITRE souligne que cette tactique est presque toujours appariée à d’autres : on n’exécute pas pour exécuter, on exécute pour installer une persistance, voler des identifiants ou prendre la main sur un service.

Une propriété domine la tactique et commande toute la défense : l’attaquant préfère ne pas apporter d’outil. Les vingt-deux techniques de la liste décrivent, pour la plupart, l’usage détourné de mécanismes parfaitement légitimes du système. C’est ce qu’on appelle vivre sur le terrain, et c’est la raison pour laquelle la détection par signature de fichier malveillant a cessé d’être suffisante.

Les techniques, et ce qu’elles couvrent

Les interpréteurs. T1059 (interpréteur de commandes et de scripts) est la technique la plus employée de toute la matrice, et elle couvre les interpréteurs de tous les systèmes. Son durcissement est un sujet à part entière, traité par journaliser et durcir PowerShell sur un parc Windows côté Windows et par écrire des scripts Bash système fiables et sûrs côté Unix. S’y ajoutent T1106 (interface de programmation native), qui contourne l’interpréteur en appelant directement le système, et T1559 (communication entre processus).

Les mécanismes d’administration. T1047 (instrumentation de gestion Windows), T1569 (services système), T1053 (tâches planifiées : qui sert aussi à la persistance), T1072 (outils de déploiement logiciel) et T1651 (commande d’administration en nuage). Tous sont des outils d’exploitation normale, ce qui explique leur succès : les employer ne déclenche rien, et les interdire casse l’informatique.

Le détournement du flux d’exécution. T1574 couvre les cas où un programme légitime charge le code de l’attaquant en croyant charger le sien. Le site documente les deux versions : le DLL hijacking Windows et l’ordre de recherche des bibliothèques et le détournement de bibliothèque partagée Linux. T1129 (modules partagés) et T1127 (exécution par proxy via des utilitaires de développement signés) relèvent de la même idée : se faire porter par un binaire de confiance.

L’exploitation et l’utilisateur. T1203 (exploitation pour exécution côté client) vise le lecteur de documents, le navigateur ou le client de messagerie ; T1204 (exécution par l’utilisateur) est le cas où la victime lance elle-même le fichier. T1674 (injection d’entrée), plus rare, simule des frappes clavier pour agir au nom de l’utilisateur.

Les conteneurs et le nuage. T1609 (commande d’administration de conteneur), T1610 (déployer un conteneur), T1648 (exécution sans serveur) et T1675 (commande d’administration ESXi) décrivent l’exécution dans les plateformes modernes, où il n’est plus besoin de poser un fichier sur un disque : il suffit de demander à l’orchestrateur de lancer une image. C’est le sujet de réduire RBAC Kubernetes et bloquer les pods dangereux.

La chaîne de construction. T1677 (exécution par empoisonnement de la chaîne d’intégration) consiste à faire exécuter son code par le système de construction logicielle, qui a généralement accès aux secrets de production : sécuriser les secrets et permissions CI/CD traite exactement ce périmètre.

Les modèles de langage, nouveauté de la version 20. La matrice a ajouté T1699 (injection directe de prompt) et T1698 (injection indirecte de prompt), cette dernière décrivant le cas où l’instruction est dissimulée dans un contenu que l’attaquant sait qu’un modèle va traiter. Leur rangement sous la tactique d’exécution est un choix fort : le MITRE considère qu’obtenir d’un modèle qu’il agisse selon des instructions étrangères est une exécution de code, pas une curiosité conversationnelle. Le site traite le mécanisme dans le Top 10 OWASP des applications à modèle de langage, ses conséquences agentiques dans l’exécution de code inattendue d’un agent et le détournement d’objectif. Ces deux techniques sont absentes du jeu de données 19.2 : elles datent d’octobre 2026.

Ce qu’on peut détecter, et par quoi

C’est la tactique où la détection comportementale prend tout son sens, car il n’y a souvent aucun fichier à reconnaître.

La filiation des processus. Un serveur web qui lance un interpréteur de commandes, un lecteur de documents qui lance un gestionnaire de scripts, un service de base de données qui lance un utilitaire réseau : ce ne sont pas des programmes malveillants, ce sont des relations anormales entre programmes légitimes. C’est le signal le plus fiable de la tactique, et c’est ce que collecte la centralisation des journaux Sysmon des postes Windows.

Les lignes de commande, en entier. La valeur n’est pas dans le nom de l’exécutable mais dans ses arguments : encodage, téléchargement, contournement de politique d’exécution. Sans journalisation de la ligne de commande complète, la tactique est invisible ; avec elle, elle est bavarde.

Les journaux d’interpréteur. La journalisation de blocs de scripts enregistre ce qui a été exécuté même lorsque le code n’a jamais touché le disque : cas majoritaire aujourd’hui. C’est le propos de la page sur le durcissement de PowerShell.

Côté terminaux, l’EDR est l’outil de cette tactique, et sa page dit aussi ce qu’il ne voit pas. Côté modèles de langage, la détection ne passe pas par les journaux système mais par la trace des appels d’outils du modèle, sujet de valider le function calling d’un LLM.

Ce que le défenseur peut faire

Restreindre ce qui peut s’exécuter. Liste d’applications autorisées sur les postes sensibles, blocage des macros venues d’Internet, interdiction d’exécution depuis les répertoires temporaires et les profils utilisateur. C’est contraignant, et c’est la seule mesure qui attaque la tactique de front : les GPO Active Directory en donnent les leviers sur un parc Windows.

Journaliser l’exécution avant d’en avoir besoin. La ligne de commande, la filiation des processus et les blocs de scripts ne se reconstituent pas après coup. Une organisation qui active cette journalisation le jour de l’incident découvre qu’elle n’a rien sur les trois semaines précédentes.

Réduire les droits d’exécution des services. Un serveur web qui ne peut pas lancer d’interpréteur, un service de base de données sans accès au réseau sortant : ces restrictions transforment une exploitation réussie en échec silencieux.

Traiter la chaîne de construction comme un système de production. Elle exécute du code venu de l’extérieur, par conception, et détient les secrets du déploiement.

Pour les modèles de langage, limiter les conséquences plutôt que filtrer les entrées. Puisqu’aucune séparation fiable n’existe entre instruction et donnée, la défense se place sur ce que le système fera de la sortie : validation de chaque appel d’outil, approbation humaine pour l’irréversible, droits minimaux, l’approche que décrit l’architecture des guardrails programmatiques.

Sources

TA0002, Execution, MITRE ATT&CK Enterprise v20 : objectif et vingt-deux techniques.
Jeu de données STIX Enterprise ATT&CK 19.2 pour les techniques antérieures ; jeu v20 pour T1698 et T1699, ajoutées en octobre 2026.

🐝 Ce qui arrive si on s’en passe

Une organisation qui cherche des programmes malveillants plutôt que des comportements ne voit pas cette tactique. Son antivirus est à jour, ses journaux enregistrent le nom des exécutables lancés : et pas leurs arguments, ni qui les a lancés. L’attaquant n’a alors aucun besoin d’apporter un outil : il emploie l’interpréteur de commandes du système, les mécanismes d’administration et les utilitaires signés par l’éditeur, qui ne déclenchent rien. Le coût apparaît à l’enquête : impossible d’établir ce qui a été exécuté, donc impossible de savoir ce qui a été installé, donc impossible de décider entre nettoyer la machine et la reconstruire, arbitrage que le site traite dans décider d’assainir ou de reconstruire. Faute d’information, on reconstruit tout, ce qui coûte cher, ou on nettoie au jugé, ce qui coûte plus cher la fois suivante.

🦫 Explication de la marmotte 🍫

Une fois entré dans un système, l’attaquant doit y faire fonctionner quelque chose : un programme qui lui obéit. C’est l’étape appelée exécution.

L’idée répandue veut qu’il installe pour cela un virus, c’est-à-dire un fichier qu’un antivirus pourrait reconnaître. C’est de moins en moins le cas. La plupart des techniques recensées consistent à se servir des outils déjà présents : les interpréteurs de commandes, qui existent sur tous les systèmes pour administrer les machines ; les mécanismes de tâches planifiées ; les outils de déploiement de logiciels ; les commandes d’administration des plateformes en nuage. Tous sont légitimes, utilisés quotidiennement par les équipes informatiques, et impossibles à interdire sans arrêter le travail.

C’est pourquoi la détection a changé de nature. On ne cherche plus un fichier connu, on cherche une relation anormale : un serveur web qui lance une invite de commandes, un logiciel de traitement de texte qui démarre un outil réseau. Chacun des deux programmes est normal ; c’est leur enchaînement qui ne l’est pas. Encore faut-il enregistrer ces enchaînements, ce qui se décide avant l’incident et jamais après.

La version d’octobre 2026 du catalogue a ajouté deux techniques qui concernent les assistants d’intelligence artificielle : glisser des instructions dans un document qu’un assistant va lire, ou les lui donner directement, afin qu’il agisse pour le compte de l’attaquant. Le catalogue les a rangées ici, parmi les techniques d’exécution, et le classement est juste : obtenir d’un programme qu’il fasse ce qu’on veut est une exécution de code, même quand le programme en question répond en français.

Pages voisines

La citent

TA0002 Exécution : faire tourner son code chez quelqu'un d'autre

Elle cite

: les deux pages se citent l’une l’autre.