Les groupes de ransomware ne cessent d’innover dans leurs méthodes d’attaque, et une tendance particulièrement inquiétante émerge : l’utilisation d’outils légitimes de cybersécurité comme armes offensives. Cette approche, connue sous le nom de Living off the Land, atteint un nouveau palier de sophistication.
Les outils de forensique détournés
Des chercheurs ont récemment documenté comment le groupe Interlock Ransomware utilise Volatility, un outil de forensique mémoire largement utilisé par les équipes de réponse à incident, pour extraire des hachages NTLM et des identifiants mis en cache directement depuis la RAM des machines compromises. L’ironie est frappante : un outil conçu pour analyser les compromissions est désormais utilisé pour les perpétrer.
54 tueurs d’EDR identifiés
Parallèlement, une analyse révèle que 54 outils de désactivation d’EDR exploitent la technique BYOVD (Bring Your Own Vulnerable Driver), abusant de 34 pilotes signés légitimes pour neutraliser les solutions de sécurité. Cette tactique permet aux attaquants de désactiver les défenses avant de déployer leur charge utile, rendant les solutions endpoint classiques insuffisantes lorsqu’elles sont utilisées seules.
La chaîne d’approvisionnement, vecteur privilégié
Les attaques par la chaîne d’approvisionnement logicielle se multiplient également. Le cas récent du jeu Duet Night Abyss, dont une mise à jour légitime installait un malware baptisé SEA BLOB, illustre comment les attaquants ciblent des canaux de distribution de confiance pour maximiser leur impact.
Recommandations pour les PME et ETI
- Surveiller les outils légitimes : détecter l’exécution de Volatility, Mimikatz ou ProcDump en dehors des fenêtres d’intervention planifiées
- Durcir les pilotes : appliquer des politiques de contrôle d’intégrité du code (WDAC/HVCI) pour bloquer les pilotes vulnérables connus
- Segmenter les accès : limiter les privilèges administrateurs et implémenter le principe du moindre privilège
- Vérifier la chaîne d’approvisionnement : valider les signatures et hachages des mises à jour logicielles avant déploiement
- Stratégie de défense en profondeur : ne pas s’appuyer uniquement sur l’EDR, mais combiner NDR, SIEM et segmentation réseau
Face à des attaquants qui maîtrisent nos propres outils, la posture défensive doit évoluer vers une surveillance comportementale fine et une architecture zero-trust. Les PME et ETI qui n’anticipent pas ces tactiques s’exposent à des compromissions d’autant plus dévastatrices qu’elles exploitent des angles morts de confiance.