TA0011 Commande et contrôle : le canal qui relie l’attaquant à sa victime

Treizième tactique de la matrice ATT&CK Enterprise. L’objectif, selon le MITRE : l’adversaire cherche à communiquer avec les systèmes compromis pour les contrôler. La définition ajoute l’observation qui commande toute la tactique : les adversaires imitent couramment le trafic normal pour éviter la détection.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Garder la main. Sans canal de commande, un accès obtenu ne vaut rien : il faut pouvoir envoyer des instructions, récupérer des résultats, et déposer des outils supplémentaires.

Toute la difficulté défensive tient en une phrase : ce canal doit ressembler à du trafic légitime, et le trafic légitime d’aujourd’hui est chiffré, sortant, et dirigé vers des services en nuage. Autrement dit, les propriétés qui rendaient un canal de commande détectable en 2010 (port exotique, protocole inhabituel, destination douteuse) ont disparu. On ne détecte plus le contenu ni la destination : on détecte le rythme et le contexte.

Les techniques, et ce qu’elles couvrent

Dix-huit techniques, en quatre familles.

Imiter le trafic normal. T1071 (protocole de couche applicative) est la technique dominante : le canal emprunte les protocoles du web, de la messagerie ou du service de noms. T1573 (canal chiffré) l’enveloppe, T1132 (encodage de données) et T1001 (obscurcissement de données) en masquent le contenu, T1572 (tunnel de protocole) encapsule un protocole dans un autre. T1095 (protocole hors couche applicative) et T1571 (port non standard) sont les variantes anciennes, aujourd’hui minoritaires parce que trop visibles.

Se faire héberger par des tiers de confiance. T1102 (service web) est la technique la plus efficace du lot : employer comme boîte aux lettres un service légitime et largement autorisé : hébergement de code, stockage de documents, messagerie d’équipe, réseau social. Le trafic part vers un domaine que personne ne bloquera, chiffré, parfaitement conforme. T1568 (résolution dynamique) fait varier la destination par le service de noms, T1090 (proxy) la masque derrière des relais, T1665 (cacher l’infrastructure) regroupe les moyens d’en dissimuler la propriété.

Rester joignable. T1008 (canaux de secours) et T1104 (canaux multi-étapes) organisent la redondance : si le premier canal tombe, un second prend le relais, souvent moins bavard et plus discret. T1205 (signalisation de trafic) permet au programme de rester muet jusqu’à réception d’un paquet déclencheur : ce qui le rend indétectable par analyse de trafic, puisqu’il n’en produit pas.

Faire entrer et sortir. T1105 (transfert d’outils entrant) décrit le téléchargement d’outils supplémentaires une fois la tête de pont établie. T1219 (outils d’accès à distance) emploie des logiciels d’assistance commerciaux, signés, souvent déjà présents dans l’entreprise : du point de vue du poste, ce n’est pas un maliciel, c’est un produit. T1659 (injection de contenu) et T1092 (communication par support amovible) couvrent les cas où le canal réseau n’existe pas : notamment les environnements isolés physiquement.

Ce qu’on peut détecter, et par quoi

Le chiffrement a retiré au défenseur l’inspection du contenu. Ce qui reste est plus robuste qu’on ne le croit, parce que cela ne dépend pas de ce qui est dit.

La régularité. Un canal de commande interroge son serveur à intervalles réguliers, parce qu’il faut bien qu’il demande s’il y a des ordres. Cette périodicité (même bruitée volontairement) produit un motif statistique que le trafic humain ne produit pas. C’est le signal le plus durable de la tactique : il survit au chiffrement, au changement de domaine et au changement de port.

Les relations nouvelles. Un serveur qui n’avait jamais émis de connexion sortante en émet une ; un poste bureautique contacte un service d’hébergement de code qu’aucun développeur n’utilise ici. Encore une fois, la détection suppose une référence du normal, pas une liste de méchants.

Le service de noms. Les requêtes de résolution restent l’une des meilleures sources, parce qu’un canal doit résoudre un nom avant de l’atteindre : volume anormal, noms récemment enregistrés, sous-domaines de longueur inhabituelle. Avec une réserve importante, que le site traite dans DNSSEC, DoH, DoT, ODoH et la perte de visibilité pour la défense : quand la résolution est chiffrée vers un service externe, cette source disparaît. Décider de forcer la résolution par ses propres résolveurs est donc une décision de détection, pas de performance.

Les outils d’accès à distance non prévus. L’inventaire des logiciels d’assistance autorisés, confronté à ce qui tourne réellement, trouve régulièrement des installations dont personne ne se souvient. C’est un contrôle de configuration, et il est plus efficace que n’importe quelle règle réseau.

Les listes d’indicateurs, avec leurs limites. Bloquer les adresses et domaines connus comme malveillants a une valeur réelle mais brève : la page sur les indicateurs de compromission et les TTP explique pourquoi les premiers périment en jours et les seconds en années. Le partage entre organisations, décrit dans ISAC et MISP, améliore la fraîcheur sans changer la nature du problème.

Ce que le défenseur peut faire

Filtrer le trafic sortant. C’est la mesure la plus efficace et la moins appliquée. Un serveur de production n’a aucune raison d’initier une connexion vers Internet ; un passage obligé par un relais explicite, avec une liste de destinations autorisées, transforme un canal de commande en échec journalisé. Le filtrage et la segmentation donnent le cadre.

Garder la maîtrise de la résolution de noms. Résolveurs internes obligatoires, blocage des résolutions chiffrées vers l’extérieur, journalisation des requêtes. On conserve ainsi la source la plus utile de la tactique.

Enregistrer les métadonnées de flux. Qui parle à qui, quand, combien de temps, dans quel volume. Ce n’est pas du contenu, cela ne coûte pas cher à conserver, et c’est ce qui permet, après coup, de dater le début de la compromission.

Inventorier les outils d’accès à distance, et interdire par politique ceux qui ne sont pas au catalogue.

Accepter que ce soit une tactique de métadonnées. Chercher à inspecter le contenu d’un canal chiffré moderne est une impasse coûteuse ; analyser son rythme et son contexte est accessible et porte des résultats. Calibrer les alertes reste le travail décisif, faute de quoi la régularité détectée sera surtout celle des mises à jour logicielles.

Sources

TA0011, Command and Control, MITRE ATT&CK Enterprise v20 : objectif et dix-huit techniques.
Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation qui filtre soigneusement ce qui entre et laisse sortir tout ce qui veut sortir offre à l’attaquant un canal gratuit. Le programme installé contacte un service d’hébergement légitime, en trafic chiffré, sur le port du web : aucune règle ne s’y oppose, aucun équipement ne le remarque, et la liaison peut durer des mois. Le coût se paie deux fois. D’abord par la durée : la médiane du temps de présence avant détection s’explique largement par cette absence de contrôle du trafic sortant. Ensuite par l’enquête : sans métadonnées de flux conservées, il est impossible de dater le début de la communication, donc de délimiter la période compromise, donc de déterminer ce qui a été touché. L’organisation se retrouve à devoir affirmer qu’elle ignore depuis quand elle est ouverte : ce qui, du point de vue d’un client ou d’une autorité, équivaut à l’aveu de ne rien contrôler.

🦫 Explication de la marmotte 🍫

Un programme installé par un attaquant sur une machine ne sert à rien s’il ne peut pas recevoir d’instructions. Il lui faut donc un canal de communication avec son opérateur : c’est l’étape appelée commande et contrôle.

Il y a vingt ans, ce canal était repérable : il employait des protocoles bizarres, des ports inhabituels, des destinations douteuses. Aujourd’hui, il ressemble en tout point au trafic ordinaire. Il utilise le protocole du web, il est chiffré comme l’est désormais la quasi-totalité des communications, et il se dirige vers des services parfaitement légitimes (un hébergement de code, un stockage de documents, une messagerie d’équipe) qu’aucune entreprise ne bloque.

Comment détecter, alors, puisqu’on ne peut lire ni le contenu ni juger la destination ? Par le rythme. Un tel programme doit demander régulièrement s’il y a des ordres pour lui : toutes les minutes, toutes les heures. Cette régularité ne ressemble pas à l’usage humain d’un ordinateur, et elle reste visible même quand tout le reste est chiffré. On détecte aussi par le contexte : un serveur qui n’avait jamais rien envoyé vers Internet se met à le faire.

La mesure la plus efficace est aussi la plus négligée : contrôler ce qui sort. Les entreprises filtrent avec soin ce qui entre, et laissent sortir à peu près n’importe quoi. Or un serveur de production n’a aucune raison d’aller sur Internet de sa propre initiative. L’obliger à passer par un relais qui n’autorise qu’une liste précise de destinations coupe le canal, et transforme chaque tentative en trace écrite.

Pages voisines

La citent

TA0010 Exfiltration : faire sortir les données

TA0011 Commande et contrôle : le canal qui relie l'attaquant à sa victime

Elle cite

: les deux pages se citent l’une l’autre.