Phase 5 - L'installation : persistance et contrôles

Après l'exploitation, l'attaquant tient un accès, mais cet accès est fragile : un redémarrage, une fin de session ou la correction de la faille d'entrée peut le lui retirer. L'installation consiste à rendre cet accès durable, en détournant des mécanismes ordinaires du système. Cette page explique comment un attaquant « s'enracine », quels indices le trahissent, et quels contrôles typés lui opposer. Elle s'adresse aux personnes qui découvrent l'analyse des attaques, sans prérequis autre que la vue d'ensemble de la kill chain.

Ce que vous allez apprendre

L'installation est le moment où une intrusion cesse d'être passagère pour devenir permanente. Concrètement, vous saurez :

• Expliquer pourquoi la persistance change la donne pour le défenseur, et ce que l'attaquant cherche à conserver.
• Reconnaître les grands mécanismes de persistance : services, tâches planifiées, points de démarrage, comptes et clés ajoutés, rootkits.
• Repérer les indices qui trahissent une installation dans vos journaux et vos fichiers.
• Classer les contrôles de cette phase (préventif, détectif, correctif) et leur associer une réponse de la matrice.
• Rattacher la phase à la tactique ATT&CK Persistance (Persistence, TA0003), décrite dans MITRE ATT&CK, et au domaine Runtime et exploitation du SOCLE.

Qu'est-ce que la phase d'installation ?

La phase d'installation est l'étape où l'attaquant dépose et configure ce qu'il faut pour conserver son accès dans la durée. L'exploitation lui a ouvert la porte ; l'installation lui en donne une clé. Sans elle, l'intrusion resterait éphémère : un simple redémarrage suffirait à tout effacer.

L'objectif est précis : survivre au redémarrage et à la correction de la faille d'entrée. L'attaquant s'assure donc un second chemin, indépendant du premier. C'est cette persistance qui transforme une intrusion ponctuelle en présence durable, et qui explique qu'un système « nettoyé » en surface soit réinfecté quelques heures après.

L'outil que l'attaquant installe ici est souvent un programme malveillant qui lui ouvre une porte cachée (une porte dérobée, ou backdoor) ou lui donne la main à distance. Ces familles, leurs variantes et leur détection par signature sont traitées dans la page sur les malwares ; cette page s'intéresse à ce qui les fait tenir dans le temps. Une fois l'implant (le programme que l'attaquant laisse sur la machine) en place, il a besoin d'un canal pour recevoir ses ordres : c'est la phase de commande et contrôle.

Quels mécanismes servent à rester en place ?

La persistance regroupe les techniques qui relancent le code malveillant sans intervention de l'attaquant. Le principe est toujours le même : détourner un mécanisme légitime du système pour qu'il exécute l'implant à sa place.

Les services (programmes lancés en arrière-plan au démarrage) et les tâches planifiées (exécutions programmées à intervalles réguliers) sont des cibles de choix : ils s'exécutent seuls, souvent avec des droits élevés. Sous Linux, une ligne ajoutée à une crontab ou une unité systemd au nom anodin joue ce rôle ; sous Windows, une tâche planifiée ou un service baptisé comme un composant système. Le nom rassurant est délibéré : il doit survivre à un coup d'oeil rapide.

Les points de démarrage s'exécutent à chaque ouverture de machine ou de session : clés de registre Run et RunOnce sous Windows, scripts d'initialisation sous Linux, LaunchAgents sous macOS. L'attaquant peut aussi corrompre l'authentification plutôt que cacher du code : créer un compte administrateur discret, ou ajouter une clé publique dans ~/.ssh/authorized_keys, ce qui rouvre l'accès à volonté et paraît parfaitement légitime au système.

Le rootkit est le degré le plus avancé : un ensemble d'outils qui s'intègre au système pour masquer la présence de l'attaquant (processus, fichiers, connexions). Il se range par niveau d'enracinement, du plus au moins accessible au défenseur : en espace utilisateur (bibliothèques modifiées), dans le noyau, ou dans le démarrage lui-même (bootkit). Plus il est profond, moins les outils du système compromis sont fiables pour le détecter.

Qu'est-ce que « vivre sur le terrain » ?

Le living off the land (« vivre sur le terrain ») désigne le fait d'utiliser les programmes déjà présents sur la machine plutôt que d'apporter les siens. Ces programmes sont signés par l'éditeur du système et autorisés : leur usage se noie dans l'activité normale, et un défenseur qui bloque les binaires inconnus ne les voit pas.

Sous Linux, on parle de GTFOBins : des binaires standards (interpréteurs, utilitaires réseau) qui, détournés, ouvrent un shell, lisent un fichier protégé ou installent de la persistance. Sous Windows, le projet LOLBAS recense les exécutables Microsoft détournables. Face à cette technique, on ne cherche pas un nom de fichier suspect mais un comportement inhabituel : un outil d'administration lancé à une heure ou par un compte qui n'en a pas l'usage.

Quels indices trahissent une installation ?

L'installation laisse des traces durables, justement parce qu'elle doit durer : ce sont des objets qui n'existaient pas hier. Aucun indice ne prouve seul une compromission, mais les chercher est la méthode la plus efficace pour détecter cette phase.

• Un service, une tâche planifiée ou une entrée de démarrage apparus sans changement planifié, surtout avec un nom qui imite un composant système.
• Une clé publique ou un compte ajoutés : nouvelle ligne dans authorized_keys, nouvel administrateur, création de compte hors de toute demande.
• Un processus au nom légitime lancé depuis un répertoire inhabituel (temporaire, profil utilisateur).
• Un fichier modifié dans une zone qui ne bouge jamais : /etc/passwd, fichiers de configuration de services, répertoires exposés d'un serveur web.
• Un comportement qui revient : une machine réinfectée après nettoyage prouve qu'un mécanisme de persistance a survécu.

Ces indices se comparent à un état de référence : la liste des services, tâches et clés autorisées relevée un jour où la machine était saine. Sans référence, l'ajout d'une ligne parmi des centaines passe inaperçu.

Quels contrôles opposer à l'installation ?

Cette phase se défend par un mélange de prévention (réduire les points d'ancrage possibles) et de détection (repérer ceux qui apparaissent malgré tout). La page Types de mesures donne le vocabulaire ; la matrice des six réponses de Lockheed Martin cite pour cette phase un HIDS (détection d'intrusion installée sur la machine) qui détecte, un environnement cloisonné (chroot jail) qui refuse, et un antivirus qui perturbe.

Contrôle	Type	Réponse de la matrice	Effet
Contrôle d'intégrité des fichiers et HIDS sur les zones de persistance	Détectif	Détecter (detect)	Révèle l'ajout ou la modification d'un point d'ancrage
EDR et journalisation centralisée (création de service, de tâche, de compte)	Détectif	Détecter	Alerte sur le comportement, pas sur un nom
Moindre privilège : seuls des comptes dédiés créent des services	Préventif	Refuser (deny)	Sans droits élevés, la plupart des ancrages échouent
Blocage de l'exécution depuis les répertoires temporaires	Préventif	Refuser	L'implant déposé ne se lance pas
Antivirus ou EDR qui bloque l'implant connu	Préventif	Perturber (disrupt)	Interrompt l'installation en cours
Reconstruction depuis une image saine, rotation des clés et mots de passe	Correctif	Perturber	Évince l'attaquant d'une machine déjà atteinte

Glissez pour voir

Le tableau montre un piège : supprimer l'implant visible ne suffit pas. Si la clé SSH ou le compte ajouté reste, l'accès revient. Le contrôle correctif sérieux est donc la reconstruction de la machine, accompagnée d'un changement de tous les identifiants qu'elle contenait. Le moindre privilège est le contrôle le plus rentable, parce qu'il retire à l'attaquant la capacité même de s'ancrer. Pour un exemple d'outil de détection de rootkits, voir rkhunter.

Un système compromis ne se juge pas depuis lui-même

Un rootkit peut mentir aux outils de la machine qu'il infecte : la liste des processus ou des fichiers affichée est alors filtrée. Un contrôle d'intégrité fiable compare les fichiers à une référence conservée ailleurs, ou observe la machine depuis l'extérieur (journaux centralisés, EDR).

À retenir

1. L'installation transforme un accès fragile en présence durable : l'attaquant se crée un second chemin, indépendant de la faille d'entrée.

2. La persistance détourne des mécanismes légitimes : services, tâches planifiées, points de démarrage, comptes et clés ajoutés, jusqu'aux rootkits qui masquent le tout.

3. Les outils déposés (porte dérobée, accès distant) relèvent des malwares ; la page se concentre sur ce qui les fait tenir.

4. Le living off the land réutilise des binaires signés : on surveille des comportements, pas des noms de fichiers.

5. Les indices sont des objets nouveaux : service, tâche, clé, compte, fichier modifié ; ils se repèrent en comparant à un état de référence.

6. Les contrôles se typent : l'intégrité et l'EDR détectent, le moindre privilège et le blocage d'exécution refusent, la reconstruction corrige.

7. Nettoyer en surface ne suffit pas : sans reconstruction et sans rotation des identifiants, l'accès revient.

8. Cette phase est la tactique ATT&CK Persistance (TA0003) ; le domaine Runtime et exploitation du SOCLE relie ces comportements aux contrôles de production.

Contrôle de connaissances

Six questions tirées sur huit : la persistance, ses indices sur un poste ou un serveur, et les contrôles qui la limitent ou la révèlent.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →