De l'avertissement de la force brute à un système de ransomware: ainsi un RDP exposé a révélé une opération criminelle

Il faut très peu pour ce qui ressemble à une alerte de routine pour devenir la pointe d'un iceberg. Un avertissement de force brute contre un service Remoto Desktop (RDP) exposé à Internet est habituellement traité comme un événement quotidien : La PI est bloquée, les tentatives sont examinées et l'affaire est classée. Mais quand une équipe d'intervention décide de tirer le fil avec curiosité d'enquête, les liens apparaissent souvent qui tirent une opération criminelle beaucoup plus sophistiquée.

Dans l'incident d'aujourd'hui, une start-up réussie après une campagne de force brute a ouvert la porte à une visite médico-légale qui a révélé un comportement inhabituel : un acteur cherchant des références dans des fichiers, une infrastructure distribuée par des pays et des domaines qui ont fait référence à des services de type VPN avec des promesses de "pas de connexion". Tout cela s'inscrit dans un écosystème Ransomware comme un service et la logique de ceux qui vendent l'accès initial aux réseaux à des tiers.

L'exposition RDP reste l'un des vecteurs les plus utilisés. Bien que de nombreuses organisations ne puissent s'empêcher d'offrir un accès à distance pour des raisons opérationnelles, cette fenêtre vers le monde extérieur est un objectif constant. Microsoft et les spécialistes de la cybersécurité se souviennent des risques de publier des services RDP sans protection appropriée depuis des années; il est conseillé de consulter des guides officiels pour minimiser la surface d'attaque, comme la documentation technique de Microsoft sur l'accès à distance.

L'enquête médico-légale a commencé avec les enregistrements Windows: alors que dans de nombreux environnements les journaux sont écrasés par des tentatives d'authentification et perdent de la valeur, dans ce cas il y avait encore des traces utiles. Les analystes ont indiqué que, bien que plusieurs comptes aient été attaqués, un seul a été compromis. Ce qui a attiré l'attention, c'est que ce compte a été utilisé à partir de plusieurs adresses IP, mais avec des schémas de temps qui indiquent un seul acteur contrôlant différents serveurs, pas plusieurs attaquants indépendants.

Avec l'accès à l'hôte, l'attaquant a fait une liste du domaine et a cherché des identifiants. Une autre anomalie est apparue : au lieu de recourir immédiatement à des techniques automatiques pour l'extraction des identifiants - comme le renversement de LSASS avec des outils connus - l'intrus a ouvert des fichiers texte avec des noms de mots de passe et les a visualisés avec le Carnet. Les listes d'attente ont confirmé la présence de recherches manuelles dans le système, une procédure moins courante mais efficace s'il y a des secrets stockés dans des fichiers.

Ce comportement a mené à une deuxième phase de recherche : suivre les PI et les certificats TLS associés. Le transfrontalier des certificats et des données publiques a révélé des domaines et des adresses qui formaient un réseau avec une présence dans plusieurs pays, souvent sous le même nom convention. Ce type de cartographie est possible grâce à des pivots sur des empreintes cryptographiques et des recherches dans des dépôts publics tels que Maltrail, qui a catalogué l'infrastructure malveillante connue.

De ces pivots émergeaient des domaines et services suspects qui imitaient les fournisseurs légitimes de VPN - avec de petites différences d'orthographe - et d'autres qui offraient explicitement des politiques « sans documents », quelque chose de très attrayant pour les acteurs cherchant l'anonymat. Un domaine lié aux opérations était également lié aux familles Ransomware et aux rapports des agences de cybersécurité. En particulier, des organismes tels que CISA ont publié des avis qui relient des adresses et des campagnes avec des groupes de ransomware, ce qui aide à confirmer la gravité de la constatation.

L'ensemble de preuves - accès initial par RDP, recherche active d'identification de fichiers, infrastructure répliquée géographiquement et services VPN sans scrupules - s'adapte à ce qu'on appelle une chaîne de valeur de la cybercriminalité : les courtiers d'accès initial qui vendent l'accès, et les opérateurs de ransomware exploitant ces accès aux réseaux de cryptage. Pour comprendre les techniques et les procédures utilisées par les attaquants, il est utile de se référer à des cadres tels que MITRE ATT & CK, qui décrivent des tactiques telles que la collecte de lettres de créance et le dénombrement des domaines.

Au-delà de la description de l'attaque, il y a deux leçons opérationnelles claires. La première est que les équipes de défense gagnent beaucoup si elles ne téléchargent pas des alertes "communes" et appliquent une mentalité curieux: les petites données (un certificat, une IP, un fichier ouvert) peuvent devenir des itinéraires pour cartographier un réseau négatif complet. La seconde est que les attaquants ne suivent pas toujours le manuel : ils adoptent parfois des méthodes peu orthodoxes, comme l'inspection des fichiers texte, qui sont contre-intuitivement fructueux et doivent donc être considérés dans les livres de jeu défensifs.

En termes d'atténuation, des mesures concrètes et durables devraient être prises. Éviter l'exposition directe du PDR à Internet public, déployer l'authentification multifacteur pour l'accès à distance et tenir des registres des événements avec une conservation suffisante sont des piliers fondamentaux. Il est également essentiel de surveiller les connexions inhabituelles et de les corréler avec la recherche de certificats et de domaines associés à l'infrastructure malveillante; pour ceux qui gèrent la défense, des sources telles que CISA StopRansomware offrir des guides et des ressources pratiques à jour.

Enfin, l'affaire souligne l'importance de partager les renseignements et de maintenir la collaboration entre les équipes d'intervention, les fournisseurs de sécurité et les organismes. Lorsque les chercheurs ont pu pivoter d'une PI vers des domaines et des services qui imitaient les fournisseurs d'anonymat, cette visibilité collective a permis de placer l'incident dans une économie criminelle plus vaste, qui n'est pas réalisée avec un seul dossier isolé.

Si quelque chose est clair, les mécanismes financiers de la cybercriminalité sont basés sur des infrastructures et des services qui ressemblent à des anodes : certificats TLS, petits domaines typosquatants, et VPN offre « sans enregistrements ». Comprendre comment ces éléments sont assemblés et enseigner des équipes pour tirer n'importe quel fil suspect est, aujourd'hui, l'une des meilleures façons de rendre la vie difficile pour ceux qui échangent avec des organisations d'accès et d'extorsion.

Pour ceux qui veulent approfondir des techniques spécifiques et des cas similaires, en plus des guides des organismes gouvernementaux, il est utile de consulter des dépôts techniques et des analyses médico-légales publiés par des équipes spécialisées et des communautés d'intervention. Un point de départ pratique pour examiner les listes d'infrastructures malveillantes est le projet Maltrail, et pour explorer des exemples d'outils pour l'extraction des références, vous pouvez voir le dépôt de projets tels que Mimikatz. Il y a aussi de la documentation et des exemples que des chercheurs indépendants ont recueillis dans gistes publics qui montrent comment les pivots des certificats et des domaines révèlent des réseaux entiers.

Bref, ne sous-estimez pas une alerte de force brute : avec la bonne méthodologie et une certaine patience de recherche, elle peut devenir la clé pour découvrir un réseau pour soutenir des opérations à impact élevé. Et pour ceux qui défendent les systèmes, la recommandation ne change pas : la priorité est donnée à la réduction de l'exposition, à la détection proactive et à la collaboration entre les équipes.