TA0042 Développement de ressources : les moyens que l’attaquant se donne

Deuxième tactique de la matrice ATT&CK Enterprise, et la seconde (avec la reconnaissance) à se dérouler entièrement hors du réseau visé. L’objectif, selon le MITRE : l’adversaire cherche à établir les ressources qui lui serviront à soutenir ses opérations.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Se doter de ce qu’il faut pour agir : des serveurs, des noms de domaine, des comptes, des outils, des documents d’apparence crédible. Le MITRE classe ces ressources selon leur mode d’obtention (créées, achetées, ou compromises/volées), et cette distinction a une conséquence défensive directe : une ressource achetée se paie et s’enregistre quelque part, une ressource compromise appartient à quelqu’un qui pourrait s’en apercevoir.

C’est aussi la tactique où se joue une partie de la question de l’attribution : un attaquant qui réutilise son infrastructure d’une campagne à l’autre devient traçable, et c’est souvent là que les équipes de renseignement sur la menace trouvent le fil à tirer.

Les techniques, et ce qu’elles couvrent

Neuf techniques, qui se lisent en quatre familles.

L’infrastructure. T1583 (acquérir une infrastructure) couvre l’achat ou la location de serveurs, de noms de domaine, de services d’hébergement et de comptes en nuage. T1584 (compromettre une infrastructure) décrit la variante qui laisse moins de traces administratives : employer les serveurs, sites ou routeurs de quelqu’un d’autre. Le choix entre les deux est un calcul de risque : la première se paie, la seconde se découvre.

Les comptes. T1585 (établir des comptes) consiste à fabriquer des identités crédibles : profils professionnels, adresses de messagerie, présence en ligne vieillie de plusieurs mois ; T1586 (compromettre des comptes) emploie ceux d’autrui, ce qui fournit d’emblée l’historique et les relations que le compte fabriqué n’a pas. Ces comptes servent ensuite au contact initial, décrit dans contrer le spear phishing et la fraude au président.

Les capacités. T1587 (développer des capacités) et T1588 (obtenir des capacités) distinguent l’outil fabriqué de l’outil acquis : maliciel, exploitation, certificat de signature de code, outil d’administration légitime détourné. Le marché qui alimente cette technique est documenté dans courtiers d’accès initial et marché des vulnérabilités, et son industrialisation dans le ransomware comme service : l’opérateur n’écrit plus son chiffreur, il le loue. T1608 (mettre en place les capacités) couvre le dépôt de ces outils là où ils seront récupérés : un site compromis, un dépôt public, une page piégée.

L’accès acheté. T1650 (acquérir un accès) mérite d’être connue des directions : l’attaquant n’entre pas lui-même, il achète un accès déjà établi par un autre. Identifiants valides, session active, implant déjà posé : c’est le métier des courtiers d’accès initial, et c’est ce qui explique le délai parfois long entre une compromission initiale et son exploitation visible.

Le contenu fabriqué. T1683 (générer du contenu) est l’entrée la plus récente de la tactique, et elle enregistre un changement réel : produire des textes, des images, des voix et des vidéos crédibles ne demande plus de compétence particulière. Le site traite le cas le plus coûteux sous la fraude au président par voix clonée ; le cadre réglementaire applicable aux contenus générés est celui de l’article 50 de l’AI Act, dont on notera qu’il n’oblige que les fournisseurs honnêtes.

Ce qu’on peut détecter, et par quoi

Comme pour la reconnaissance, le défenseur n’a aucune visibilité directe. Il a en revanche trois fenêtres, et elles sont plus utiles qu’on ne le croit.

Les certificats émis pour des domaines qui ressemblent aux vôtres. Tout certificat public est journalisé dans les registres de transparence, et surveiller ces registres pour son propre nom révèle les domaines sosies au moment où ils sont préparés, c’est-à-dire avant la campagne. C’est l’une des rares détections précoces disponibles, et le site en décrit la mise en œuvre dans surveiller Certificate Transparency pour son domaine.

Les enregistrements de domaines voisins. Variations typographiques, extensions différentes, préfixes de service ajoutés. La surveillance se fait par service spécialisé ou par veille sur les registres, et elle permet de préparer le blocage avant le premier message.

Le renseignement partagé. Les infrastructures d’attaque sont réutilisées, et les indicateurs circulent entre organisations : c’est tout l’objet des cercles de confiance et des plateformes décrits dans partage de renseignement, ISAC et MISP. Un défenseur isolé ne voit rien de cette tactique ; un défenseur qui participe voit l’infrastructure qui a servi contre son voisin.

À l’inverse, deux illusions à écarter. Le blocage préventif de « l’infrastructure malveillante connue » protège de la campagne précédente, rarement de la suivante : l’attaquant change de serveur plus vite que les listes ne se mettent à jour. Et la détection de comptes fabriqués sur les réseaux professionnels est hors de portée d’une organisation ordinaire : le signal utile est le comportement du compte lors du contact, pas son existence.

Ce que le défenseur peut faire

Surveiller son nom. Registres de transparence des certificats, enregistrements de domaines voisins, mentions de l’organisation dans les fuites publiées. C’est peu coûteux et c’est la seule anticipation possible.

Traiter l’accès comme une marchandise périssable. Puisque des accès valides s’achètent, il faut que les identifiants volés perdent rapidement leur valeur : authentification résistante à l’hameçonnage sur les comptes à privilèges (sujet de déployer FIDO2 pour les comptes à privilèges), sessions courtes, et révocation effective des accès des partants, comme le rappelle auditer les comptes orphelins après un départ.

Vérifier l’identité par le canal, non par le contenu. Contre le contenu fabriqué, aucun indice interne au message ne tient : une voix se clone, un document se génère, une vidéo se truque. La seule parade robuste est procédurale : rappeler sur un numéro connu, exiger une validation par un second canal pour tout ordre de paiement ou de changement de coordonnées bancaires.

Préparer le blocage plutôt que le subir. Quand un domaine sosie est repéré, savoir en moins d’une heure qui le signale, qui bloque en messagerie et qui prévient les utilisateurs est un exercice qui se répète à froid, pas qui s’improvise.

Sources

TA0042, Resource Development, MITRE ATT&CK Enterprise v20 : objectif et neuf techniques.
Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation qui ignore cette tactique ne surveille pas son propre nom, et découvre les domaines sosies par les plaintes de ses clients. Le délai est le problème : un domaine enregistré, muni d’un certificat et d’une page de connexion recopiée, a généralement servi plusieurs jours avant que quiconque le signale, et chaque jour vaut un lot d’identifiants. Le second coût concerne la fraude au virement : faute d’avoir admis qu’une voix et un visage se fabriquent, les procédures de validation reposent encore sur la reconnaissance d’une personne au téléphone, de sorte que la décision de payer dépend d’un indice que l’attaquant produit à volonté. Le troisième est plus insidieux : en n’imaginant pas que des accès s’achètent, on raisonne comme si toute intrusion commençait par une intrusion, et on cherche un exploit là où il n’y a eu qu’une transaction.

🦫 Explication de la marmotte 🍫

Entre le moment où quelqu’un décide d’attaquer une organisation et celui où il entre dans ses systèmes, il doit se procurer des moyens. C’est la deuxième étape du catalogue ATT&CK, appelée développement de ressources.

Ces moyens sont de quatre sortes. Des machines et des adresses Internet, qu’il loue ou qu’il vole à quelqu’un d’autre. Des comptes d’apparence normale (profils professionnels, adresses de messagerie) créés de toutes pièces ou volés à leur propriétaire. Des outils : programmes malveillants qu’il écrit, achète ou loue, car il existe un véritable marché de ces services. Et désormais du contenu fabriqué : textes convaincants, voix clonées, vidéos truquées, que les outils d’intelligence artificielle mettent à la portée de n’importe qui.

Une pratique mérite d’être connue, car elle surprend : les accès s’achètent. Des intermédiaires spécialisés compromettent des entreprises au hasard, puis revendent l’accès obtenu à qui veut l’exploiter. Une attaque ne commence donc pas toujours par une intrusion : elle commence parfois par un paiement.

Comme l’étape précédente, celle-ci se déroule loin du réseau de la victime, qui n’y voit rien. Elle laisse cependant une trace exploitable : pour fabriquer un faux site de connexion crédible, il faut un nom de domaine ressemblant au vrai et un certificat de sécurité. Or tous les certificats émis dans le monde sont inscrits dans des registres publics. Une organisation qui surveille ces registres pour son propre nom voit donc arriver les faux sites avant qu’ils ne servent : c’est l’une des rares alertes vraiment précoces que l’on puisse obtenir, et elle ne coûte presque rien.

Enfin, une conséquence pratique du contenu fabriqué : on ne peut plus juger de l’authenticité d’une demande à la voix de celui qui la formule. La seule protection consiste à vérifier par un autre canal (rappeler soi-même un numéro connu) avant toute action irréversible.

Pages voisines

La citent

IoC ou TTP pour détecter une compromission

TA0042 Développement de ressources : les moyens que l'attaquant se donne

Elle cite

: les deux pages se citent l’une l’autre.