Dissimuler et ruser : voilà comment les nouveaux programmes malveillants attaquent les systèmes Windows

Bring a scripting interpreter : Les attaquants essaient souvent d’utiliser des interpréteurs de script tels que WScript ou PowerShell pour exécuter des scripts malveillants. Or, beaucoup de programmes de protection le savent et surveillent les interpréteurs en conséquence, ainsi que leurs entrées et leurs sorties. Nouvelle variante apparue : l’attaque avec des interpréteurs de logiciels inoffensifs tels que AutoHotkey (AHK). Un script installe l’interpréteur et exécute ensuite un script AHK qui introduit un ransomware ou un voleur de données dans le système Windows. C’est précisément cette variante d’attaque qui a été utilisée dans les scénarios du test.

Microsoft Software Installer : MSI (Microsoft Installer) est un programme Windows pour les processus d’installation qui fournit une application à installer avec les données et les commandes nécessaires dans un pack pour l’ordinateur de l’utilisateur final. Les cyberattaquants dissimulent des fichiers malveillants dans un fichier MSI et donnent des instructions de commande. Cela conduit à une multitude d’options permettant d’infecter les ordinateurs des victimes. La complexité des fichiers MSI peut rendre la détection des programmes d’installation malveillants plus difficile.

Dans nos exemples, les programmes d’installation MSI sont utilisés pour mettre plusieurs fichiers à disposition sur le disque dur, y compris des fichiers trompeurs et malveillants. Une fois les fichiers placés, une action définie par l’utilisateur est utilisée pour exécuter le code malveillant. La séquence d’installation proprement dite est ensuite tout simplement interrompue puisqu’elle n’était qu’un moyen de dissimulation.

Reflective code injection : L’injection de code réfléchie consiste à charger le code dans la mémoire d’un processus. De cette manière, le chargement réfléchissant peut contourner les détections basées sur les processus, car l’exécution du code dangereux est masquée au sein d’un processus légitime et inoffensif. Ce type d’injection de code est donc ainsi sans fichier, puisqu’il ne fait que transférer le code dans un processus.

Dans nos exemples, un script AutoHotkey charge et exécute la charge utile malveillante directement dans la mémoire vive en exécutant un programme de vol d’informations ou un ransomware.

Dans le cadre du test ATP, toutes les étapes de détection et de défense sont enregistrées dans une matrice suivant la norme MITRE ATT&CK. Dans le cas des ransomwares, il s’agit de reconnaître trois étapes essentielles, dans le cas des voleurs de données ou d’informations, quatre actions. Le laboratoire attribue un demi-point ou un point entier pour chaque étape ou action bloquée. Ainsi, un produit peut obtenir cinq fois 3 points pour chaque ransomware détecté et éliminé, et cinq fois 4 points pour les voleurs d’informations. Le meilleur score de protection est donc de 35 points.

Les 10 scénarios utilisés pour le test

Tous les scénarios d’attaque sont documentés selon la norme de la base de données MITRE ATT&CK. Les différentes sous-rubriques, par ex. « T1566.001 », correspondent dans la base de données Mitre à « Techniques » sous le point « Phishing: Spearphishing Attachment ». Ainsi, chaque étape du test est définie entre les spécialistes et peut être mieux retracée. De plus, toutes les techniques d’attaque sont expliquées, ainsi que la manière dont les logiciels malveillants opèrent.

Le test ATP et ses résultats : produits pour utilisateurs particuliers

Point intéressant dans ce test : tous les produits pour utilisateurs particuliers ont détecté les attaquants sans exception. Cependant, seuls 7 produits sur 11 sont parvenus à stopper le malware entier lors des premières étapes « Initial Access » ou « Exécution », et obtiennent le score de protection maximal de 35 points : Bitdefender, G DATA, McAfee, Microsoft, Microworld, Norton et PC Matic.

Les 4 autres suites ont rencontré quelques problèmes avec les ransomwares et les voleurs d’informations : ainsi, Avast et AVG ont bien détecté les attaquants sans toutefois pouvoir les bloquer totalement dans 4 cas. Seule l’intervention d’autres fonctions internes à des étapes ultérieures de l’attaque a permis de stopper le malware dans tous les cas, de sorte qu’aucun dommage n’a été causé. Toutefois, cela a coûté quelques points aux produits qui n’obtiennent donc que 30 points sur 35.

F-Secure a rencontré des problèmes similaires, mais dans 6 scénarios sur 10. Ici encore, les fonctions de protection internes sont intervenues à des étapes ultérieures de manière suffisamment sûre pour que le danger soit écarté et qu’aucun dommage ne soit causé. Toutefois, après déduction de points dans 6 scénarios, le score ne s’élève plus qu’à 28 points sur 35.

La suite antivirus d’ESET remporte certes 30 points sur 35, mais dans l’un des cas, malgré la détection de l’attaque, le ransomware a triomphé et les données ont été cryptées ! Dans un autre cas, un voleur de données a certes pu se propager, mais il a également été stoppé à des étapes ultérieures par une technique de protection interne.

Toutes les suites de sécurité ont obtenu le certificat « Advanced Protection ». Malgré une performance irréprochable, G DATA ne parvient pas à décrocher un certificat, car seuls les produits qui sont certifiés lors du test mensuel régulier et qui remplissent les critères ici obtiennent ce certificat.

Le test ATP et ses résultats : solutions pour entreprises

Les résultats des solutions pour entreprises au test ATP sont très satisfaisants pour la plupart des produits : 8 suites testées sur 10 ont réalisé des performances parfaites, affichant le score de protection maximal de 35 points : Bitdefender (avec 2 versions), ESET, HP Security, Kaspersky (avec 2 versions), Qualys et Symantec.

Le produit d’Avast a certes détecté les 10 attaques, mais dans deux cas, il n’a pas pu stopper le ransomware ni le voleur de données dès le départ. Les attaques n’ont été stoppées qu’à des étapes ultérieures par des techniques de protection internes, de sorte qu’aucun dommage n’a été causé. Pour avoir laissé franchir le mur de défense, le score de protection ne s’élève qu’à 30 points sur 35.

La solution de Check Point connaît le même sort que celle d’Avast, mais dans 6 cas. Là encore, la solution est parvenue à stopper les attaquants grâce à des techniques de protection avancées et aucun dommage n’est à déplorer. Bien entendu, dans ce cas, le laboratoire retire des points : le score de protection s’élève à 28 points sur 35.

Tous les produits se voient attribuer le certificat « Advanced Approved Endpoint Protection » puisqu’ils ont atteint au minimum 75 pour cent des 35 points (soit 26,5 points) comme score de protection.

Combats numériques acharnés et systèmes de défense victorieux

21 produits ont été testés dans 10 scénarios respectifs. Dans 209 cas sur 210, aucun dommage n’a été causé par un programme malveillant. Alors que la plupart des produits pour les utilisateurs particuliers détectent les attaquants, les bloquent et les éliminent immédiatement, certains produits entretiennent inutilement le suspense. Mais au moins, ces suites et ces solutions sont capables de corriger rapidement leurs erreurs et d’empêcher les attaquants de parvenir à leurs fins grâce à d’autres fonctions de protection internes. Seul ESET a échoué au 210e cas. À la fin, le système Windows était crypté.