Comment prévenir les menaces persistantes avancées (APT) ?

Une attaque par menace persistante avancée est une cyberattaque au cours de laquelle un attaquant accède sans autorisation à votre réseau. Il s’y infiltre et reste indétecté pendant une période prolongée. Une attaque APT vise à voler des données précieuses, à recueillir des renseignements sur sa cible et à perturber progressivement les activités de votre organisation. Les attaques APT sont soigneusement préparées et leur exécution peut prendre beaucoup de temps.

Elles sont menées par des groupes de hackers expérimentés, des acteurs étatiques et des organisations criminelles structurées. Ces groupes établissent une présence solide, puis se déplacent latéralement dans différentes parties du réseau pour recueillir des renseignements. Les attaques APT sont difficiles à contrer : elles restent bien dissimulées et leurs auteurs adaptent leurs tactiques au fil du temps pour contourner les défenses renforcées de l’organisation.

Qu'est-ce qu'une menace persistante avancée (APT) ? sont des cyberattaques furtives et secrètes. Elles restent cachées jusqu'à ce que l'attaquant ait recueilli suffisamment d'informations sur votre organisation. Le temps qu'un adversaire passe à étudier votre infrastructure est ahurissant, et vous ne vous en rendrez même pas compte. Vous savez qu'une attaque APT est réussie lorsque vous ne la voyez jamais venir.

Qu’est-ce qu’une menace persistante avancée (APT) ?

Les attaques APT sont dangereuses car elles sont persistantes, ce qui signifie que l'attaquant surveille la cible et tente de la compromettre par tous les moyens possibles. L'attaquant explorera également différents angles d'exploitation et verra si sa cible peut être davantage compromise. C'est ce qui différencie les attaques par menace persistante avancée des cyberattaques classiques.

donnent lieu à des cyberattaques furtives. Elles restent cachées jusqu’à ce que l’attaquant ait recueilli suffisamment de renseignements sur votre organisation. Le temps qu’un adversaire peut consacrer à l’étude de votre infrastructure est considérable, sans que vous le remarquiez. Une attaque APT réussie est une attaque que vous ne voyez pas venir.

Comment fonctionnent les APT ?

Les attaques APT sont dangereuses parce qu’elles persistent : l’attaquant surveille sa cible et cherche par tous les moyens à la compromettre. Il explore aussi différentes possibilités d’exploitation pour compromettre davantage sa cible. C’est ce qui distingue les menaces persistantes avancées des cyberattaques classiques.

Les attaques APT peuvent être stratifiées, ce qui les rend si uniques par rapport aux autres types de cyberattaques. L'attaquant adaptera ses tactiques pour collecter des informations sur ses cibles. Il consacrera beaucoup de temps et d'attention à la planification. Dans d'autres cyberattaques, l'adversaire peut se contenter d'implanter un malware générique et de le diffuser largement, dans l'espoir d'infecter autant de systèmes que possible. Mais une attaque APT peut être divisée en plusieurs couches et étapes.

Comment fonctionnent les APT ?

Il peut utiliser différentes techniques pour s'introduire dans votre réseau et se déplacer latéralement à l'intérieur. L'attaquant peut utiliser une combinaison de ingénierie sociale et d'e-mails de phishing pour inciter les utilisateurs à divulguer leurs informations sensibles. Ils peuvent exploiter les vulnérabilités des logiciels ou du matériel et accéder au réseau.

Les attaques APT peuvent comporter plusieurs couches, ce qui les distingue des autres cyberattaques. L’attaquant adapte ses tactiques pour recueillir des renseignements sur ses cibles. Il consacre beaucoup de temps et de soin à sa préparation. Dans d’autres cyberattaques, l’adversaire peut simplement diffuser largement un malware générique, dans l’espoir d’infecter le plus de systèmes possible. Une attaque APT, en revanche, peut se dérouler en plusieurs couches et étapes.

Les attaques APT sont difficiles à contrer car elles sont adaptatives, en constante évolution et peuvent prendre des formes différentes de celles attendues. Elles ne suivent aucun schéma prévisible, les organisations doivent donc mettre en œuvre une stratégie de cybersécurité solide et polyvalente. C'est la seule façon de maîtriser la prévention des attaques par menaces persistantes avancées et de se défendre.

Les attaquants peuvent employer différentes techniques pour pénétrer dans votre réseau et s’y déplacer latéralement. Ils peuvent combiner l’ingénierie sociale et les e-mails de phishing pour inciter les utilisateurs à divulguer leurs informations sensibles. Ils peuvent aussi exploiter des vulnérabilités logicielles ou matérielles pour accéder au réseau.

Comment détecter les menaces persistantes avancées ?

Les attaques APT sont difficiles à contrer, car elles s’adaptent, évoluent constamment et peuvent emprunter des voies inattendues. Elles ne suivent aucun schéma prévisible. Les organisations doivent donc adopter une stratégie de cybersécurité solide et polyvalente. C’est la seule façon de prévenir les attaques par menace persistante avancée et de s’en défendre.

Vous pouvez détecter et apprendre à prévenir les attaques par menaces persistantes avancées en étant attentif aux signes avant-coureurs. Voici quelques éléments auxquels vous devez prêter attention :

Comment détecter les menaces persistantes avancées ?

Des pics importants du volume de trafic ou des flux de données inhabituels provenant d'appareils internes vers des réseaux externes et autres peuvent être le signe que votre communication est compromise. Si vos comptes professionnels sont consultés en dehors des heures de travail normales et que vous remarquez des connexions suspectes, vous connaissez la réponse.

Les APT peuvent fonctionner de manière cachée en arrière-plan et continuer à collecter des informations précieuses.

Les infections récurrentes par des logiciels malveillants qui créent des portes dérobées sont un autre signe. Elles permettent aux acteurs APT d'exploiter ces failles à l'avenir. Recherchez les portes dérobées qui propagent des logiciels malveillants, en particulier celles qui reviennent sans cesse et infiltrent les réseaux.

L'apparition soudaine de paquets de données de plusieurs gigaoctets à des emplacements où ces données ne devraient pas se trouver est un indicateur clair d'une attaque APT imminente. Si les données sont compressées dans des formats archivés que l'organisation n'utilise normalement pas, vous savez qu'il faut commencer à vous pencher sur la question.

Si certains employés de votre organisation reçoivent des e-mails étranges, il est possible qu'ils soient pris pour cible. Les e-mails de spear phishing sont couramment utilisés par les auteurs d'attaques APT et constituent la phase d'intrusion initiale, qui est l'un des éléments les plus critiques de la chaîne d'attaque APT.

Les auteurs d'attaques passeront également beaucoup de temps à examiner vos terminaux et à les analyser. Ils peuvent également rechercher des vulnérabilités dans vos politiques de sécurité et chercher à exploiter toute faille ou faiblesse, par exemple en rendant vos systèmes non conformes.

Pour détecter et prévenir les attaques par menace persistante avancée, apprenez à reconnaître les signes avant-coureurs. Voici les points à surveiller :

Meilleures pratiques pour prévenir et atténuer les attaques APT

• Une forte hausse du trafic ou des flux de données inhabituels entre des appareils internes et des réseaux externes ou autres peuvent indiquer que vos communications sont compromises. Surveillez également les accès à vos comptes professionnels en dehors des heures de travail habituelles et les connexions suspectes.
• Les APT peuvent agir discrètement en arrière-plan et continuer à recueillir des informations précieuses.
• Des infections récurrentes par des malwares créant des portes dérobées constituent un autre signe. Ces portes dérobées offrent aux acteurs APT des possibilités d’exploitation ultérieure. Recherchez celles qui propagent des malwares, en particulier lorsqu’elles réapparaissent et s’infiltrent dans les réseaux.
• L’apparition soudaine de lots de plusieurs gigaoctets de données à des emplacements où elles ne devraient pas se trouver est un signe clair d’attaque APT imminente. Si ces données sont compressées dans des formats d’archive que votre organisation n’utilise pas habituellement, examinez-les sans attendre.
• Si certains collaborateurs de votre organisation reçoivent des e-mails étranges, ils sont peut-être ciblés. Les attaquants APT recourent souvent au spear phishing pour la phase initiale d’intrusion, l’une des étapes les plus importantes de leur chaîne d’attaque.
• Les attaquants consacrent aussi beaucoup de temps à examiner et à analyser vos endpoints. Ils peuvent rechercher des vulnérabilités dans vos politiques de sécurité et exploiter des failles ou des faiblesses, par exemple en rendant vos systèmes non conformes.

La première étape pour apprendre à stopper une attaque APT consiste à comprendre quelles catégories de données elle cible et comment elles peuvent être classées. Une attaque APT volera secrètement des informations sur votre propriété intellectuelle, causera des crimes financiers et des vols, et visera à détruire votre organisation.

Bonnes pratiques pour prévenir et atténuer les attaques APT

Les hacktivistes visent également à exposer votre entreprise et à divulguer des informations. Une attaque APT se déroule en trois étapes : infiltration, escalade et mouvement latéral, puis exfiltration. L'exfiltration de données est la dernière phase, au cours de laquelle ils extraient des informations à partir de documents et de données sans être détectés. Ils peuvent produire beaucoup de bruit blanc en utilisant des goulots d'étranglement et des tactiques de distraction pour détourner l'attention des victimes. Le tunneling DNS doit être filtré, ce qui le rend difficile à localiser.

Pour apprendre à stopper une attaque par menace persistante avancée, commencez par identifier les catégories de données qu’elle cible et la manière de les classer. Une attaque APT peut voler discrètement des informations sur votre propriété intellectuelle, entraîner des délits financiers et des vols, et chercher à détruire votre organisation.

Voici les meilleures pratiques pour prévenir et atténuer les attaques APT :

Les hacktivistes cherchent aussi à exposer votre entreprise et à divulguer des informations. Une attaque par menace persistante avancée comporte trois étapes : l’infiltration, l’escalade et le déplacement latéral, puis l’exfiltration. L’exfiltration de données est la dernière phase : les attaquants extraient des informations des documents et des données sans être détectés. Ils peuvent générer beaucoup de bruit en créant des goulots d’étranglement et en employant des tactiques de diversion pour détourner l’attention des victimes. Le tunneling DNS doit faire l’objet d’une surveillance, même s’il est difficile à repérer.

Commencez par surveiller les paramètres de votre réseau et utilisez les meilleures solutions de sécurité des terminaux. Vous devez analyser le trafic entrant et sortant afin d'empêcher la création de portes dérobées et de bloquer les tentatives d'extraction de données volées.

Installez les derniers pare-feu d'applications web, corrigez les systèmes et maintenez-les à jour. Ils vous aideront à protéger les surfaces d'attaque vulnérables et à minimiser la zone de couverture.

Face à ces menaces, les pare-feu peuvent isoler les attaques de la couche applicative et empêcher les tentatives d'injection RFI et SQL. Les outils de surveillance du trafic interne vous donneront une vue granulaire qui vous aidera à détecter les comportements anormaux du trafic.

Vous pouvez surveiller l'accès aux systèmes et empêcher le partage de fichiers sensibles. Supprimez les shells backdoor et détectez les faiblesses de votre infrastructure en empêchant les requêtes à distance des attaquants de passer.

Les listes d'autorisation peuvent vous aider à gérer vos domaines et à mettre sur liste blanche les applications que vos utilisateurs peuvent installer. Vous pouvez réduire le taux de réussite des attaques APT en limitant les installations d'applications et les autres surfaces d'attaque qui leur sont accessibles. Cependant, cette méthode peut ne pas toujours fonctionner, car même les domaines hautement fiables peuvent être compromis.

Les attaquants peuvent dissimuler des fichiers malveillants sous l'apparence de logiciels légitimes. Pour que la liste blanche fonctionne, vous devez appliquer des politiques de mise à jour strictes afin que vos utilisateurs sachent qu'ils utilisent la version la plus récente de toutes les applications figurant sur vos listes blanches.

Voici les bonnes pratiques pour prévenir et atténuer les attaques APT :

Exemples concrets d'attaques APT

• Commencez par surveiller les paramètres de votre réseau et utilisez des solutions de sécurité des endpoints adaptées. Analysez le trafic entrant et sortant pour empêcher la création de portes dérobées et bloquer les tentatives d’exfiltration de données volées.
• Installez les derniers pare-feu pour applications web, appliquez les correctifs à vos systèmes et maintenez-les à jour. Vous protégerez ainsi les surfaces d’attaque vulnérables et réduirez leur étendue.
• Face à ces menaces, les pare-feu peuvent isoler les attaques visant la couche applicative et bloquer les tentatives d’inclusion de fichiers distants (RFI) et d’injection SQL. Les outils de surveillance du trafic interne offrent une vue détaillée pour détecter les comportements anormaux.
• Surveillez les accès aux systèmes et empêchez le partage de fichiers sensibles. Supprimez les shells de porte dérobée et détectez les faiblesses de votre infrastructure en bloquant les requêtes distantes des attaquants.
• La mise en liste d’autorisation facilite la gestion de vos domaines et des applications que vos utilisateurs peuvent installer. En limitant ces installations et les autres surfaces d’attaque accessibles, vous réduisez les chances de réussite des attaques APT. Cette méthode ne fonctionne toutefois pas toujours : même des domaines très fiables peuvent être compromis.
• Les attaquants peuvent déguiser des fichiers malveillants en logiciels légitimes. Pour que les listes d’autorisation soient efficaces, appliquez des politiques de mise à jour strictes afin que vos utilisateurs emploient la version la plus récente de chaque application autorisée.

Voici quelques exemples concrets d'attaques APT :

Exemples concrets d’attaques APT

Un exemple classique d'attaque APT dans le monde réel est le cas de la violation de données de Target par l'attaque RAM Scraper. Elle s'est produite il y a dix ans, mais est devenue l'une des attaques APT les plus réussies de l'histoire. Le malfaiteur avait exploité un fournisseur compromis et obtenu un accès non autorisé à l'écosystème de la cible. Il s'était introduit dans les terminaux de paiement de la cible et était resté connecté à ses réseaux pendant environ trois semaines, volant suffisamment d'informations sur 40 milliards de cartes de crédit. Les auteurs de la menace ont discrètement transféré ce volume de données en une seule fois.

KasperSky a découvert de nouvelles attaques persistantes avancées lancées par un sous-groupe de Lazarus. Les attaquants ont modifié un logiciel malveillant bien connu appelé DTrack et ont utilisé un tout nouveau ransomware appelé Maui. Les cibles étaient des organisations de premier plan à travers le monde. Le groupe avait élargi sa zone d'attaque et avait touché des organismes publics et des établissements de santé avec son ransomware. Le logiciel malveillant a été déployé et exécuté sous forme de code shell intégré. Il a chargé une charge utile finale Windows In-Memory. DTrack a collecté les données système et l'historique du navigateur via une série de commandes Windows. Le temps de séjour dans les réseaux cibles a duré plusieurs mois avant que son activité ne soit détectée.

Le groupe LuckyMouse a utilisé une variante troyenne du service de messagerie Mimi pour obtenir un accès détourné aux organisations. Il a ciblé des appareils macOS, Windows et Linux, et a piraté au moins 13 entreprises à Taïwan et aux Philippines.

Un groupe soutenu par la Russie, connu sous le nom de SEABORGIUM, a également mené des activités d'espionnage en Europe pendant cinq ans. Il a utilisé une série d'e-mails de phishing pour infiltrer des comptes OneDrive et LinkedIn.

Voici quelques exemples concrets d’attaques APT :

Conclusion
• Un exemple concret d’attaque APT est la fuite de données chez Target provoquée par une attaque RAM Scraper. Elle remonte à dix ans, mais reste l’une des attaques APT les plus fructueuses de l’histoire. L’acteur malveillant a exploité la compromission d’un fournisseur pour accéder sans autorisation à l’écosystème de Target. Il s’est introduit dans les appareils POS de Target et est resté sur ses réseaux pendant environ trois semaines, dérobant des informations sur quelque 40 milliards de cartes de crédit. Les acteurs malveillants ont discrètement exfiltré ce volume de données en un seul transfert.
• KasperSky a découvert de nouvelles attaques de type APT lancées par un sous-groupe de Lazarus. Les attaquants ont modifié un malware bien connu, DTrack, et utilisé un nouveau ransomware, Maui. Leurs cibles étaient des organisations de premier plan dans le monde entier. Le groupe avait étendu ses attaques à de nouvelles régions et touché des organismes publics et de santé avec son ransomware. Le malware a été déployé et exécuté sous forme de shellcode intégré. Il a chargé en mémoire une charge utile finale pour Windows. DTrack a collecté des données système et l’historique de navigation au moyen d’une série de commandes Windows. Le groupe est resté plusieurs mois dans les réseaux ciblés avant que son activité ne soit détectée.
• Le groupe LuckyMouse a utilisé une variante cheval de Troie du service de messagerie Mimi pour accéder aux organisations par une porte dérobée. Il a ciblé des appareils macOS, Windows et Linux, et compromis au moins 13 entreprises à Taïwan et aux Philippines.
• Un groupe soutenu par la Russie, connu sous le nom de SEABORGIUM, a également mené des activités d’espionnage en Europe pendant cinq ans. Il a utilisé une série d’e-mails de phishing pour infiltrer des comptes OneDrive et LinkedIn.

Des contrôles d'accès rigoureux constitueront votre première ligne de défense contre les menaces persistantes avancées (APT). Vous devriez également utiliser des solutions de détection et de réponse au niveau des terminaux (EDR) et de détection et réponse étendues (XDR) pour lutter contre les menaces APT et obtenir une visibilité en temps réel sur votre infrastructure. Les tests de pénétration et la surveillance du trafic sont essentiels. En améliorant la capacité de votre organisation à détecter, réagir et se défendre contre les attaques APT, vous pouvez réduire le risque d'attaques futures. Considérez la sécurité dans son ensemble et assurez-vous également que les pratiques de cyberhygiène appropriées sont en place, afin que les attaquants ne puissent pas profiter de la crédulité de vos utilisateurs ni exploiter les failles et vulnérabilités potentielles du système, puisque vous les détectez vous-même à un stade précoce.

Conclusion

Des contrôles d’accès stricts constituent votre première ligne de défense contre les menaces persistantes avancées (APT). Utilisez également la détection et réponse sur les endpoints (EDR) et des solutions de détection et de réponse étendues (XDR) pour contrer les menaces APT et obtenir une visibilité en temps réel sur votre infrastructure. Les tests d’intrusion et la surveillance du trafic sont essentiels. En renforçant la capacité de votre organisation à détecter les attaques APT, à y répondre et à s’en défendre, vous réduisez le risque de nouvelles attaques. Adoptez une approche globale de la sécurité et veillez à appliquer les bonnes pratiques de cyberhygiène, afin que les attaquants ne puissent ni exploiter la crédulité de vos utilisateurs ni tirer parti des failles et vulnérabilités de vos systèmes, que vous aurez vous-même repérées en amont.