Threat Actors Don’t Want Better Attacks. They Want Repeatable Ones

La standardisation : le nouveau moteur de la cybercriminalité

La cybercriminalité moderne ne cherche plus l’innovation technologique, mais la répétabilité. Les groupes d’attaquants fonctionnent désormais comme des entreprises industrielles : ils privilégient des méthodes standardisées, peu coûteuses et facilement déployables à grande échelle plutôt que des exploits complexes ou des outils personnalisés.

Points clés

• Priorité à la répétabilité : Les attaquants ciblent des procédures éprouvées (playbooks) qui fonctionnent de manière identique chez n’importe quelle victime, permettant un passage à l’échelle rapide.
• Le succès du “ClickFix” : Cette technique d’ingénierie sociale (inciter l’utilisateur à copier-coller une commande dans un terminal) est devenue le vecteur d’accès initial le plus courant, car elle ne repose sur aucune vulnérabilité logicielle à patcher.
• “Living off the Land” (LotL) : Dans 84 % des incidents graves, les attaquants utilisent les outils d’administration déjà présents sur les machines (scripts, utilitaires de gestion à distance) pour éviter d’introduire des fichiers malveillants détectables.
• Économie de volume : La baisse des revenus moyens par rançon pousse les groupes à multiplier les attaques plutôt qu’à les sophistiquer. L’usage de l’IA reste limité, car elle n’est pas encore assez rentable par rapport aux méthodes actuelles.

Vulnérabilités ciblées

• Exploitation des dispositifs périmétriques : Les attaquants privilégient les vulnérabilités de type RCE (Remote Code Execution) sur les périphériques exposés à Internet ne nécessitant aucune authentification.
• Facteur humain : La vulnérabilité principale exploitée par le ClickFix reste la confiance des utilisateurs dans les instructions affichées à l’écran.

Recommandations stratégiques

• Gestion intelligente des correctifs : Prioriser le patching sur les dispositifs exposés à Internet (RCE sans authentification) dès la publication d’une preuve de concept (PoC) sur GitHub.
• Durcissement des systèmes : Restreindre l’exécution de scripts et l’utilisation d’outils d’administration aux seuls utilisateurs/processus légitimes.
• Gestion des identités : Sécuriser rigoureusement les comptes à hauts privilèges et les accès administrateurs, souvent utilisés pour le mouvement latéral.
• Corrélation d’événements : Ne pas se contenter d’analyser des alertes isolées. Détecter des séquences d’actions légitimes (ex: ouverture de terminal + accès cloud + modification de script) qui, mises bout à bout, indiquent une compromission.
• Supervision active : Déployer des solutions de détection (EDR/MDR) et s’assurer qu’elles sont réellement surveillées par des équipes capables d’intervenir en temps réel.

Source