TA0040 Impact : manipuler, interrompre, détruire

TA0040 Impact : manipuler, interrompre, détruire

Quinzième et dernière tactique de la matrice ATT&CK Enterprise. L’objectif, selon le MITRE : l’adversaire cherche à manipuler, interrompre ou détruire vos systèmes et vos données. La tactique regroupe les techniques qui perturbent la disponibilité ou compromettent l’intégrité en manipulant les processus métier et opérationnels.

Explication de la marmotte

Il y a trois façons de quitter les lieux. La première est de partir avec les dossiers et de refermer la porte : personne ne s’en apercevra avant des mois. La deuxième est de partir avec les dossiers et d’incendier l’immeuble. La troisième, plus retorse, est de ne rien emporter du tout et de modifier discrètement trois chiffres dans la comptabilité. TA0040 décrit les deux dernières.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Produire un effet. Jusqu’ici, toutes les tactiques servaient à obtenir et à conserver une position ; celle-ci est la seule qui consomme cette position pour en tirer un résultat visible : extorsion, sabotage, fraude, perturbation.

Une remarque qui change la lecture de toute la matrice : l’impact n’est pas la fin obligée d’une intrusion. L’espionnage se garde bien d’en produire, puisque son intérêt est de durer. Quand l’impact survient, il signale donc soit un modèle économique (le rançongiciel, la fraude), soit une intention de destruction, soit la fin d’une opération dont on accepte la découverte.

Et une conséquence pratique : à ce stade, la détection n’a plus d’intérêt. La victime détecte l’impact par définition, puisque c’est son objet. Ce qui compte ici est ce qui a été préparé avant : sauvegardes hors d’atteinte, capacité de restauration éprouvée, plan de continuité, et chaîne de décision.

Les techniques, et ce qu’elles couvrent

Quinze techniques, en quatre familles.

Rendre indisponible par chiffrement ou destruction. T1486 (données chiffrées pour impact) est le rançongiciel. T1485 (destruction de données) et T1561 (effacement de disque) sont les variantes sans rançon, où rien n’est à récupérer. T1490 (empêcher la récupération du système) est la technique décisive de cette famille, et celle qu’on oublie : avant de chiffrer, l’attaquant supprime les clichés instantanés, les points de restauration et, s’il y accède, les sauvegardes elles-mêmes. C’est ce qui transforme un incident en catastrophe, et c’est aussi pourquoi la sauvegarde immuable et le verrouillage WORM et une sauvegarde résistante au rançongiciel sont les deux pages à lire avant celle-ci. T1495 (corruption du micrologiciel) va plus loin encore : le matériel ne redémarre plus, et les contrôles correspondants sont décrits dans sécuriser le micrologiciel UEFI, réseau et BMC.

Interrompre. T1489 (arrêt de service), T1529 (extinction ou redémarrage du système), T1531 (suppression de l’accès aux comptes : l’attaquant verrouille les administrateurs hors de leurs propres systèmes), T1498 (déni de service réseau) et T1499 (déni de service sur le terminal). Les deux derniers sont traités par défendre un DDoS volumétrique et applicatif, et T1667 (bombardement de messagerie) y ajoute une variante employée pour noyer les alertes pendant qu’autre chose se produit.

Altérer sans détruire. T1565 (manipulation de données) est la technique la plus redoutable de la liste, et la moins spectaculaire : modifier des données en place, dans une base ou en transit, sans rien chiffrer ni effacer. Aucune alerte, aucune rançon, et une perte de confiance dans l’information qui peut coûter plus cher qu’une indisponibilité : c’est l’enjeu des transactions bancaires contre rejeu et falsification et, plus largement, de la qualité des données et des erreurs silencieuses. T1491 (défiguration) en est la version visible et le plus souvent politique.

Monétiser. T1496 (détournement de ressources) emploie la puissance de calcul de la victime (minage, relais, désormais inférence de modèles), ce qui se traduit d’abord par une facture, sujet de gouverner les coûts cloud contre un compte compromis. T1657 (vol financier) couvre la fraude proprement dite : détournement de virement, modification de coordonnées bancaires, fausse facture, opérations que la voix clonée a rendues plus crédibles, et dont la seule parade est procédurale.

Ce qu’on peut détecter, et par quoi

Paradoxalement, il reste des signaux, mais ils précèdent l’impact de quelques minutes à quelques heures. Les surveiller est l’un des meilleurs investissements de détection qui soient, parce qu’ils sont rares et sans ambiguïté.

La suppression des mécanismes de récupération. Un ordre de suppression de clichés instantanés, une désactivation du service de sauvegarde, une connexion au serveur de sauvegarde depuis une machine inhabituelle : ce sont les derniers gestes avant le chiffrement, ils sont journalisés, et ils ne correspondent à aucune opération d’exploitation normale.

Les modifications massives de fichiers. Un processus qui ouvre, lit et réécrit des milliers de fichiers en quelques minutes produit un motif que les outils de détection sur terminaux reconnaissent bien : la page sur l’EDR précise ce qu’ils arrêtent et ce qu’ils laissent passer.

L’arrêt de services en série. Les opérateurs arrêtent les bases de données et les services applicatifs avant de chiffrer, pour que les fichiers ne soient pas verrouillés. Une série d’arrêts de services sur plusieurs machines est un signal d’urgence absolue.

Les écarts de cohérence, pour la manipulation de données. Celle-ci ne se détecte pas par la supervision mais par les contrôles métier : rapprochements, totaux de contrôle, journaux applicatifs immuables. Sans eux, une altération peut rester invisible pendant des années.

La facture et la consommation, pour le détournement de ressources : une alerte de budget est, dans ce cas précis, une alerte de sécurité.

Ce que le défenseur peut faire

Rendre les sauvegardes inatteignables depuis le réseau compromis. Copie hors ligne ou immuable, compte distinct, pas d’authentification unique partagée avec le domaine. C’est la mesure qui décide de l’issue, et elle se vérifie non pas à l’existence des sauvegardes mais à l’épreuve de la restauration : une sauvegarde jamais restaurée est une hypothèse, pas une sauvegarde.

Préparer la décision autant que la technique. Décider d’assainir ou de reconstruire pose le bon arbitrage, le cycle complet de réponse à incident l’ordonnance, tenir une main courante permet d’en rendre compte, et la communication de crise évite que la gestion de l’incident ne devienne un second incident.

Protéger l’intégrité, pas seulement la disponibilité. C’est le point faible le plus répandu : les organisations sont préparées à perdre l’accès à leurs données, pas à ne plus pouvoir s’y fier. Journaux applicatifs inaltérables, contrôles de cohérence réguliers, signature des échanges critiques.

Exiger un second canal pour l’irréversible. Contre le vol financier, aucune mesure technique ne vaut la règle qui impose, pour tout changement de coordonnées bancaires ou tout virement exceptionnel, une confirmation par un canal indépendant et un numéro connu d’avance.

Plafonner et surveiller la consommation, pour que le détournement de ressources se heurte à une limite avant de se voir sur une facture trimestrielle.

Sources

• TA0040, Impact, MITRE ATT&CK Enterprise v20 : objectif et quinze techniques.
• Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation qui n’a pas préparé cette tactique découvre au plus mauvais moment que ses sauvegardes étaient sur le même domaine que ses serveurs, accessibles avec les mêmes comptes d’administration, et qu’elles ont donc été supprimées avant le chiffrement. Elle découvre aussi qu’elle n’a jamais restauré pour de bon : la procédure existe, personne ne l’a jouée, et il apparaît le jour J qu’il manque une base, une clé de chiffrement ou la documentation du remontage. Le coût n’est alors plus informatique mais existentiel, et le calendrier n’appartient plus à l’organisation. Dans le cas moins spectaculaire de la manipulation de données, le coût est différent et parfois pire : l’activité continue sur des informations fausses (des stocks, des soldes, des mesures), et quand l’altération est enfin découverte, il faut déterminer à quelle date elle a commencé pour savoir lesquelles des décisions prises depuis reposaient sur du faux.

🦫 Explication de la marmotte 🍫

L’impact est la dernière étape du catalogue ATT&CK : celle où l’attaquant produit un effet visible. Il peut chiffrer les fichiers et demander une rançon, les détruire, arrêter les services, verrouiller les administrateurs hors de leurs propres machines, ou utiliser la puissance de calcul de l’entreprise à son profit.

Un geste précède presque toujours les autres, et il mérite d’être connu : avant de chiffrer, l’attaquant supprime les moyens de récupération (les copies automatiques du système, les points de restauration) et surtout les sauvegardes, s’il peut les atteindre. C’est ce qui fait la différence entre une mauvaise semaine et une catastrophe. D’où une règle qui vaut tous les logiciels de sécurité : les sauvegardes doivent être hors d’atteinte du réseau (déconnectées, ou enregistrées sur un support qu’on ne peut pas réécrire), et avec des comptes différents de ceux de l’informatique courante. Et elles doivent avoir été restaurées pour de vrai, au moins une fois : une sauvegarde qu’on n’a jamais essayé de remettre en service n’est qu’une supposition.

Une autre technique de cette étape fait moins de bruit et peut coûter davantage : la modification discrète des données. Rien n’est chiffré, rien n’est détruit, mais des informations sont changées en place : un stock, un solde, une mesure. L’entreprise continue de travailler avec des chiffres faux, sans s’en apercevoir, parfois pendant des mois. Contre cela, les sauvegardes ne servent à rien : il faut des contrôles de cohérence réguliers et des journaux qu’on ne peut pas réécrire.

Enfin, cette étape comprend la fraude pure : faire modifier des coordonnées bancaires, obtenir un virement exceptionnel. Les voix et les visages se fabriquant désormais sans difficulté, la seule protection fiable est une procédure : rappeler soi-même un numéro connu d’avance avant toute opération irréversible.

À lire aussi

• TA0009 Collecte : rassembler ce qui sera voléLa tactique ATT&CK TA0009 : rassembler les données visées avant de les sortir. Dix-sept techniques, l'étape de regroupement qui précède l'exfiltration, et pourquoi c'est la dernière occasion d'intervenir.
• TA0010 Exfiltration : faire sortir les donnéesLa tactique ATT&CK TA0010 : sortir les données du réseau. Dix techniques, dont l'exfiltration assistée par IA ajoutée en v20, et pourquoi la détection arrive presque toujours trop tard.
• TA0011 Commande et contrôle : le canal qui relie l'attaquant à sa victimeLa tactique ATT&CK TA0011 : communiquer avec les systèmes compromis. Dix-huit techniques, du protocole applicatif imité au service web légitime détourné, et ce que le chiffrement généralisé a changé pour la détection.
• TA0042 Développement de ressources : les moyens que l'attaquant se donneLa tactique ATT&CK TA0042 : acquérir, compromettre ou fabriquer l'infrastructure, les comptes et les outils de l'opération. Neuf techniques, ce que la surveillance externe permet de voir, et ce qu'on en fait.

Pages voisines

La citent

• TA0010 Exfiltration : faire sortir les données
• Ransomware-as-a-Service et double extorsion

TA0040 Impact : manipuler, interrompre, détruire

Elle cite

• ⇄Lien dans les deux sens :MITRE ATT&CK : les quinze tactiques de l'attaquant
• Assainir ou reconstruire : la décision qui engage toute une remédiation
• Comment gouverner les coûts cloud contre un compte compromis
• Comment sécuriser firmware UEFI, réseau et BMC
• Communiquer pendant un incident et mener un retex
• Configurer une sauvegarde restic résistante au ransomware
• Défendre un DDoS volumétrique et applicatif
• EDR : fonctionnement, angles morts et contournements
• Fraude au président par voix clonée et visio truquée
• Qualité des données et erreurs silencieuses

⇄ : les deux pages se citent l’une l’autre.