TA0009 Collecte : rassembler ce qui sera volé

TA0009 Collecte : rassembler ce qui sera volé

Douzième tactique de la matrice ATT&CK Enterprise. L’objectif, selon le MITRE : l’adversaire cherche à rassembler les données qui servent son objectif. La tactique couvre à la fois les informations collectées et les sources dont elles proviennent.

Explication de la marmotte

Avant de repartir, le visiteur entasse près de la porte de service ce qu’il a trouvé : les dossiers du quatrième, l’argenterie, le contenu du coffre. Il les met dans deux sacs fermés, pour n’avoir qu’un aller-retour à faire. Ce tas près de la porte est le dernier moment où l’on peut encore tout récupérer. TA0009 est ce tas.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Rassembler. La distinction avec l’exfiltration, tactique suivante, est précisément celle du tas et du camion : on collecte d’abord, on sort ensuite. Cette séparation en deux tactiques n’est pas une subtilité de catalogue, c’est une fenêtre d’intervention : entre le moment où les données sont regroupées et celui où elles quittent le réseau, il reste du temps, parfois des jours, et il reste surtout un signal, un volume anormal de lecture, puis une archive là où il n’y en avait pas.

C’est la raison pour laquelle le MITRE a fait de T1074 (données regroupées) une technique à part entière : l’étape de constitution du tas est détectable, alors que les lectures individuelles qui l’alimentent ne le sont pas.

Les techniques, et ce qu’elles couvrent

Dix-sept techniques, selon la source visée.

Les fichiers, là où ils sont. T1005 (données du système local), T1039 (lecteur réseau partagé), T1025 (support amovible), T1530 (stockage en nuage) et T1602 (dépôt de configuration : la configuration d’équipements réseau, qui contient les secrets de ces équipements). La première question défensive découle de cette liste : sait-on où sont les données qui comptent ? C’est l’objet de classifier les données avant de les protéger, et le défaut inverse est documenté par la gouvernance d’un data lake et la copie générale : des copies partout, sans propriétaire.

Les dépôts d’information. T1213 (données issues des dépôts d’information) vise les wikis internes, les gestionnaires de tickets, les espaces de documentation partagée. C’est la source la plus rentable pour un attaquant, parce que ces outils contiennent les procédures, les schémas d’architecture et, régulièrement, des mots de passe « temporaires » laissés dans un ticket de 2019.

La messagerie. T1114 (collecte de courriels) couvre la lecture d’une boîte, l’export complet d’une archive et l’installation d’une règle de transfert automatique. Cette dernière variante est redoutable : elle transforme la collecte en flux permanent, survit au changement de mot de passe, et n’apparaît dans aucun journal de connexion.

Ce qui passe par l’écran et le clavier. T1056 (capture d’entrée), T1113 (capture d’écran), T1115 (presse-papiers), T1123 (capture audio), T1125 (capture vidéo) et T1185 (détournement de session de navigateur), qui permet d’agir dans les applications web au nom de l’utilisateur, après son authentification : sujet voisin de la politique de sécurité des extensions de navigateur.

L’interception. T1557 (attaque de l’intercepteur), partagée avec l’accès aux identifiants : le même positionnement sert à voler des secrets et à lire les données en transit, voir l’attaque de l’intercepteur.

L’industrialisation. T1119 (collecte automatisée) et T1560 (archiver les données collectées). Ce sont les deux techniques qui font la différence entre une curiosité et un vol de masse : un script qui parcourt les partages selon des motifs de noms de fichiers, puis une archive compressée et chiffrée pour réduire le volume et échapper à l’inspection de contenu.

Ce qu’on peut détecter, et par quoi

C’est la dernière fenêtre avant la sortie des données, et elle offre quatre signaux.

Le volume de lecture anormal. Un compte qui lit en une heure plus de fichiers qu’en six mois, un accès séquentiel à des milliers d’objets de stockage, une requête qui extrait une table entière : ces motifs se détectent dans les journaux d’accès, et c’est le signal le plus fiable de la tactique. Que révèle un journal d’accès après une fuite montre ce qu’on peut en tirer, et à quelle condition : qu’il existe, et qu’il soit conservé.

L’archive qui apparaît. Un fichier compressé volumineux dans un répertoire temporaire, protégé par mot de passe, sur un serveur qui n’archive jamais rien : c’est le tas près de la porte. La règle est simple à écrire et rarement présente.

Les règles de transfert de courriels. La création d’une règle de redirection automatique vers une adresse externe est un événement rare, journalisé par toutes les plateformes de messagerie modernes, et presque toujours malveillante quand elle concerne un compte à responsabilité. C’est l’une des meilleures alertes qu’on puisse configurer en une demi-journée.

Le moissonnage applicatif. Lorsque la collecte passe par l’application elle-même (requête après requête, dans les limites de ce que le compte est autorisé à voir), la détection relève de l’analyse de comportement décrite dans repérer un moissonnage applicatif. C’est le cas le plus difficile, parce que chaque accès est légitime, et c’est exactement ce qui s’est produit dans l’affaire DGFiP de 2026 : six cent mille dossiers consultés avec des identifiants valides, sans aucune effraction technique.

Les limites de la prévention de perte de données. Un outil de DLP voit passer les fichiers qui sortent par les canaux qu’il surveille ; une archive chiffrée ne lui dit rien, et un canal qu’il ne surveille pas ne lui dit rien non plus. La page sur le DLP est claire sur ce point, et il faut la lire avant d’en attendre une protection.

Ce que le défenseur peut faire

Savoir où sont les données. Aucune détection n’est possible sans savoir ce qui mérite d’être surveillé. La classification est le préalable, et le fait que personne n’aime la faire ne la rend pas facultative.

Journaliser les accès aux données, pas seulement aux systèmes. Les journaux d’authentification disent qui est entré ; les journaux d’accès disent ce qui a été lu. Les seconds sont volumineux et ce sont les seuls utiles le jour où il faut répondre à « qu’est-ce qui est sorti ? ».

Réduire ce qui est accessible par défaut. Un compte qui ne peut lire que ce dont il a besoin limite la collecte à son périmètre. C’est la minimisation appliquée aux accès, et elle vaut aussi pour les dépôts d’information : un wiki interne lisible par tous est un wiki collecté en entier.

Surveiller les règles de messagerie et les sessions de navigateur, qui sont les deux canaux de collecte continue les moins journalisés.

Chercher les archives. Une recherche périodique de fichiers compressés volumineux et récents dans les répertoires temporaires des serveurs est un exercice de chasse rudimentaire, et il trouve.

Sources

• TA0009, Collection, MITRE ATT&CK Enterprise v20 : objectif et dix-sept techniques.
• Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation qui surveille les connexions mais pas les accès aux données ne saura jamais ce qui est sorti. C’est la situation la plus coûteuse de toute la matrice, non pas techniquement mais juridiquement et commercialement : après la découverte d’une intrusion, l’obligation de notifier impose de décrire la nature des données concernées et le nombre de personnes touchées. Sans journaux d’accès, cette description est impossible, et l’organisation doit alors notifier au pire : c’est-à-dire déclarer que l’ensemble des données a potentiellement été consulté, avec les conséquences correspondantes auprès des clients, des partenaires et de l’autorité. Le second coût est la fenêtre ratée : entre la collecte et la sortie, il y avait un tas de fichiers, une archive inhabituelle et un volume de lecture aberrant. Trois signaux, tous disponibles, aucun regardé.

🦫 Explication de la marmotte 🍫

Avant de voler des données, un attaquant doit les rassembler. C’est une étape distincte, appelée collecte, et le catalogue ATT&CK la sépare volontairement de l’étape suivante, qui consiste à les faire sortir.

Les sources sont variées : les fichiers des machines et des partages réseau, les espaces de stockage en nuage, les boîtes de messagerie, et surtout les outils de documentation interne (wikis, gestionnaires de tickets), qui contiennent les procédures, les schémas du réseau et parfois des mots de passe oubliés dans une vieille demande. D’autres techniques capturent ce qui passe par la machine : les frappes au clavier, le contenu de l’écran, le presse-papiers.

Deux gestes industrialisent l’opération. Le premier est un programme qui parcourt automatiquement les dossiers à la recherche de noms de fichiers intéressants. Le second consiste à tout regrouper dans une archive compressée, souvent protégée par un mot de passe : ce qui réduit le volume à faire sortir et empêche les logiciels de surveillance d’en examiner le contenu.

C’est précisément cette archive qui constitue la dernière occasion d’intervenir. Un gros fichier compressé, récent, dans un répertoire temporaire d’un serveur qui n’archive jamais rien, est un signal franc, facile à rechercher, et presque jamais surveillé.

Il faut enfin savoir que la collecte ne suppose pas toujours une effraction : elle peut se faire par l’application elle-même, en consultant des dossiers les uns après les autres avec un compte valide. Chaque consultation est autorisée ; c’est leur nombre qui ne l’est pas. Détecter cela demande de surveiller non pas les connexions, mais ce qui est lu, ce qui exige de conserver des journaux d’accès, seul moyen de répondre un jour à la question que tout le monde posera : qu’est-ce qui est parti ?

À lire aussi

• TA0043 Reconnaissance : ce que l'attaquant apprend avant d'entrerLa tactique ATT&CK TA0043 : rassembler de l'information pour préparer l'opération. Les douze techniques, ce qui est détectable et ce qui ne l'est pas, et ce que le défenseur peut réduire.
• TA0011 Commande et contrôle : le canal qui relie l'attaquant à sa victimeLa tactique ATT&CK TA0011 : communiquer avec les systèmes compromis. Dix-huit techniques, du protocole applicatif imité au service web légitime détourné, et ce que le chiffrement généralisé a changé pour la détection.
• TA0007 Découverte : l'attaquant cherche où il est tombéLa tactique ATT&CK TA0007 : s'orienter dans l'environnement compromis. Trente-quatre techniques, pourquoi c'est la tactique la plus bruyante de la matrice, et comment en faire la meilleure fenêtre de détection.
• TA0040 Impact : manipuler, interrompre, détruireLa tactique ATT&CK TA0040 : atteindre la disponibilité ou l'intégrité des systèmes et des données. Quinze techniques, du chiffrement pour extorsion au vol financier, et ce qui se prépare avant plutôt qu'après.

Pages voisines

TA0009 Collecte : rassembler ce qui sera volé

Elle cite

• ⇄Lien dans les deux sens :TA0010 Exfiltration : faire sortir les données
• ⇄Lien dans les deux sens :MITRE ATT&CK : les quinze tactiques de l'attaquant
• TA0006 Accès aux identifiants : voler plutôt que forcer
• Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS
• Classifier les données avant de les protéger
• Comment minimiser les données collectées
• DGFiP 2026 : six cent mille dossiers exfiltrés avec des mots de passe volés ailleurs
• DLP prévention des pertes de données : détection et limites
• Gouvernance d'un data lake et copie des données
• Politique de sécurité des extensions navigateur en entreprise
• Que révèle un journal d’accès après une fuite
• Repérer un moissonnage applicatif : volumétrie, cadence, origine

⇄ : les deux pages se citent l’une l’autre.