TA0005 Furtivité : se fondre dans l’activité normale

Septième tactique de la matrice ATT&CK Enterprise, et la plus fournie de toutes avec trente et une techniques. C’est aussi l’une des deux nouveautés de la version 19, née en avril 2026 de la scission de l’ancienne tactique Defense Evasion. L’objectif, selon le MITRE : l’adversaire cherche à se cacher et à dissimuler ses actions, en paraissant normal.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant, et la frontière avec TA0112

La définition du MITRE est, pour une fois, d’une précision chirurgicale, parce qu’elle doit tracer une frontière nouvelle. La furtivité regroupe les techniques qui réduisent la probabilité de détection en se mêlant à l’activité légitime ou en minimisant les signaux observables. Elles se caractérisent par des comportements de dissimulation (éviter, obscurcir, imiter les opérations normales) sans modifier les contrôles de sécurité ni compromettre les flux de collecte et de supervision.

Cette dernière proposition est le critère de partage. Toucher aux défenses relève de la dégradation des défenses, TA0112 ; ne pas y toucher et passer quand même relève de celle-ci. La distinction est utile parce que les deux ne se détectent pas du tout de la même façon : la dégradation produit un événement (un service arrêté, une règle modifiée), la furtivité ne produit rien, par définition.

Rappel de lecture : jusqu’à la version 18, ces trente et une techniques et les dix-huit de TA0112 formaient une seule tactique, et la plupart des documents antérieurs à avril 2026 la présentent encore ainsi.

Les techniques, et ce qu’elles couvrent

Paraître légitime. T1036 (mascarade) couvre le fait de donner à son programme le nom, l’emplacement ou les attributs d’un composant du système. T1078 (comptes valides) est la furtivité ultime, puisque l’activité est légitime. T1564 (cacher des artefacts) regroupe les fichiers cachés, les comptes masqués, les flux alternatifs. T1684 (ingénierie sociale) apparaît ici dans son rôle de dissimulation : faire valider l’action par un humain plutôt que la cacher d’un outil.

Se faire porter par un binaire de confiance. T1218 (exécution par proxy via un binaire système), T1216 (via un script système), T1127 (via un utilitaire de développement signé), T1220 (traitement de script XSL) et T1202 (exécution de commande indirecte). L’idée est constante : si le programme qui agit est signé par l’éditeur du système, aucune liste d’applications autorisées ne le refusera. T1574 (détournement du flux d’exécution) poursuit la même logique : le site en décrit les deux versions, sous Windows et sous Linux.

Rendre illisible. T1027 (fichiers ou information obscurcis) et son pendant T1140 (désobscurcir à l’exécution), T1620 (chargement réflexif de code, qui ne touche jamais le disque), T1221 (injection de modèle) et T1006 (accès direct au volume, qui contourne les interfaces de fichiers surveillées).

Éviter d’être analysé. T1497 (évasion de virtualisation et de bac à sable), T1622 (évasion de débogueur), T1480 (garde-fous d’exécution : le code ne s’active que sur la cible prévue), T1678 (retarder l’exécution) et T1696 (évasion des contrôles anti-automatisation, ajoutée en v20). Ces techniques expliquent un phénomène déroutant pour les équipes : l’échantillon récupéré ne fait rien en laboratoire, parce qu’il sait qu’il y est.

Effacer ses traces sans toucher aux outils. T1070 (suppression d’indicateurs) couvre la suppression de journaux, de fichiers et d’historiques, et T1679 (exclusion sélective) le fait de se placer hors du périmètre collecté, nuance importante : on ne désactive pas la supervision, on sort de son champ. T1535 (régions de nuage inutilisées) applique la même idée à la géographie : opérer dans une région que personne ne surveille parce que personne ne s’en sert.

Les cas lourds. T1014 (rootkit), T1542 (démarrage pré-système), T1211 (exploitation pour furtivité), T1612 (construire l’image sur l’hôte), T1205 (signalisation de trafic) et T1197 (tâches de transfert en arrière-plan). Deux techniques partagées avec l’élévation de privilèges complètent la liste : T1055 (injection de processus) et T1134 (manipulation de jeton d’accès), qui procurent les droits et la couverture.

Ce qu’on peut détecter, et par quoi

C’est la tactique la plus difficile de la matrice, et il faut l’admettre avant de choisir ses outils.

Les incohérences, pas les signatures. Un exécutable portant le nom d’un composant système mais situé dans un répertoire temporaire ; un binaire signé par l’éditeur lançant une connexion sortante qu’il n’émet jamais ; un processus dont le nom et le chemin ne correspondent pas. Ce sont des contradictions, et elles se détectent par comparaison avec une référence, non par reconnaissance de code malveillant. La page sur les indicateurs de compromission et les TTP explique pourquoi les premiers vieillissent vite et les seconds non.

Les trous dans les journaux. La suppression d’indicateurs produit un signal particulier : une absence. Un intervalle sans aucun événement sur une machine active, un journal vidé, un historique de commandes tronqué. Encore faut-il que les journaux ne soient pas restés sur la machine : l’architecture de journalisation d’audit immuable centralisée est le contrôle qui transforme cette technique en échec, puisque l’attaquant ne peut plus effacer ce qui est déjà parti.

Les artefacts résiduels. L’effacement est rarement complet, et la reconstitution se fait sur ce qui reste : AmCache, ShimCache et leurs pièges pour l’exécution passée, la reconstruction d’une chronologie d’attaque pour la méthode d’ensemble, et la chaîne de conservation en investigation pour que ces éléments restent exploitables.

La chasse, plutôt que l’alerte. Cette tactique ne se détecte pas par règle mais par hypothèse : supposer une technique, chercher ses traces, conclure. C’est exactement la démarche de formuler une hypothèse de threat hunting, et c’est la seule qui donne des résultats ici.

Ce que le défenseur peut faire

Sortir les journaux de la machine, immédiatement. C’est la mesure de plus fort rendement contre toute la famille de l’effacement de traces : un journal expédié en continu vers un stockage inaltérable n’est plus à la portée de l’attaquant.

Connaître sa normale. La furtivité consiste à ressembler à l’ordinaire ; sans référence de l’ordinaire, il n’y a rien à comparer. Inventaire des binaires attendus, des connexions sortantes habituelles par type de serveur, des horaires d’activité : ces références banales sont ce qui rend la détection possible.

Couvrir ce qui n’est pas couvert. L’exclusion sélective et les régions de nuage inutilisées exploitent les angles morts de la supervision. L’exercice utile consiste à lister ce qui n’est pas collecté, et à décider si c’est volontaire.

Ne pas confondre absence d’alerte et absence d’activité. Une tactique dont la définition est « ne pas produire de signal observable » ne se mesure pas par le nombre d’alertes. Elle se mesure par des campagnes de recherche, menées régulièrement, sur hypothèse.

Sources

TA0005, Stealth, MITRE ATT&CK Enterprise v20 : objectif, critère de distinction avec TA0112 et trente et une techniques.
ATT&CK Updates, v19, MITRE, 28 avril 2026 : scission de Defense Evasion.
Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation qui mesure sa sécurité au nombre d’alertes traitées conclut de leur absence qu’il ne se passe rien, ce qui est exactement l’effet recherché par cette tactique. Ses journaux restent sur les machines, où ils sont effaçables ; sa supervision couvre les serveurs de production et pas l’environnement de recette ni la région de nuage ouverte il y a deux ans pour un essai ; et elle ne possède aucune référence de ce qui est normal, de sorte qu’un processus portant le nom d’un composant système passe inaperçu. Le coût apparaît lors de l’enquête, quand il faut établir depuis quand l’attaquant est présent : sans journaux centralisés ni référence de configuration, la réponse honnête est « nous ne savons pas », et cette réponse a des conséquences réglementaires, contractuelles et commerciales bien plus lourdes que l’incident lui-même.

🦫 Explication de la marmotte 🍫

Une fois installé dans un système, un attaquant cherche à ne pas être repéré. Le catalogue ATT&CK distingue depuis avril 2026 deux manières de s’y prendre, et cette distinction est utile.

La première, décrite ici, consiste à se fondre dans l’activité normale sans toucher aux dispositifs de surveillance. On donne à son programme le nom d’un composant du système. On se fait exécuter par un logiciel signé par l’éditeur, que les protections laissent passer par principe. On chiffre son code pour qu’il soit illisible, et on ne le déchiffre qu’en mémoire. On fait en sorte que le programme ne s’active pas s’il détecte qu’il tourne dans un laboratoire d’analyse : ce qui explique pourquoi un échantillon récupéré par une équipe de sécurité semble parfois inoffensif. Et on efface derrière soi les journaux et les historiques.

La seconde manière consiste à casser ou désactiver les protections elles-mêmes. Elle porte désormais un numéro distinct, parce qu’elle se détecte tout autrement : casser quelque chose produit un événement, alors que se dissimuler ne produit rien.

C’est pourquoi cette étape est la plus difficile à détecter de toutes. Le principe utile n’est pas de chercher des programmes malveillants, mais des contradictions : un fichier qui porte le nom d’un composant du système mais se trouve au mauvais endroit, un logiciel de confiance qui se met à communiquer vers l’extérieur, une période entière sans aucune trace sur une machine qui fonctionnait.

Une mesure simple a plus d’effet que tous les outils : envoyer les journaux hors de la machine, en continu, vers un stockage que l’on ne peut pas réécrire. L’attaquant peut effacer ce qui est sur place ; il ne peut pas rattraper ce qui est déjà parti.

Pages voisines

La citent

TA0005 Furtivité : se fondre dans l'activité normale

Elle cite

: les deux pages se citent l’une l’autre.