L’année du RAT: Maintenez votre entreprise hors de sa portée

2020 est l’année du Rat pour l’horoscope Chinois, et pour commencer l’année, nous vous expliquons tout ce dont vous avez besoin de savoir à propos des RATs … Remote Access Trojans. Dans un premier article, nous avons présenté les RATs et les étapes nécessaires pour protéger votre infrastructure contre ce type de Cyber Attaque. Dans ce second volet, nous allons mettre en évidence la menace que représentent les RATs pour vos PC ou vos serveurs.

Soyons honnêtes, les systèmes d’information sont vulnérables par nature, avec des attaques de plus en plus élaborées, pouvant tromper vos employés les plus avertis, grâce à des fausses factures par exemple. Globalement, dès que vous possédez un équipement informatique, vous êtes exposé.

Heureusement, il existe des solutions : Il reste possible de maintenir la productivité de vos équipes tout en sécurisant votre environnement. Face à la diversité des menaces informatiques, il existe un certain nombre de technologies pour vous protéger contre ces menaces et vous assurer de la continuité de votre business.

Cela étant dit, il est absurde de croire qu’un RAT ne pénètrera jamais vos systèmes. Il est donc nécessaire de comprendre les causes et les conséquences de ces attaques afin de pouvoir les prévenir mais également de les mitiger. Comment agit un RAT ? Quelles sont les conséquences d’une infection pour votre entreprise ? Comment s’assurer de la continuité des opérations en cas d’intrusion ?

Comment un RAT niche-t-il dans vos systèmes ?

Une fois qu’un RAT a pénétré un de vos systèmes, sa première priorité est de rester indétecté et d’assurer de sa survie. A ces fins, il va essayer de modifier le système en question pour désactiver les contres mesure, et pour se camoufler. Ces actions ne sont possibles qu’avec des droits élevés sur le système. Le RAT va donc avoir deux objectifs : voler des identifiants et élever ses privilèges.

• Obtenir des identifiants locaux et distants est critique car il permet au malware de se propager et de survivre. De nombreuses techniques sont disponibles comme le scan du système local pour trouver des identifiants codés en dur, des attaques en force brute, l’enregistrement de l’écran ou des entrées clavier, ou des attaques plus sophistiquées comme l’interception de hash NTLM etc
• Une fois les identifiants volés, le malware est alors capable d’élever ses privilèges et d’obtenir les autorisations suffisantes pour accéder aux programmes et données critiques … pour les voler ou les modifier.
• Avec le bon niveau de privilèges, le RAT va pouvoir utiliser, voire installer, les bons outils pour se propager sur votre réseau.

Les risques opérationnels d’avoir un RAT en liberté dans votre environnement

Avec ses tout nouveaux privilèges, un RAT peut facilement faire dérailler vos opérations. Une fois qu’il s’est installé dans votre système, il va pouvoir démarrer ses activités malveillantes.

Dans un premier temps, il va collecter des renseignements sur votre réseau, afin de pouvoir s’y propager plus facilement. Mais cela ne s’arrête pas là. Il va également chercher à identifier vos données critiques pour les exfiltrer, afin que le hacker qui a déployé le RAT puisse les revendre sur le Dark Web, ou les chiffrer pour ensuite vous demander une rançon.

Un malware peut donc clairement nuire à votre entreprise, interrompre votre activité, atteindre votre réputation, vous exposer à des amendes pour non-conformité, et peut également exposer vos clients, vos partenaires et vos employés

Prévenez les risques et maintenez votre productivité

Une question reste cependant en suspens : comment se défendre contre cette vermine, sans impacter le rendement ni les process de votre société ?

Des solutions appropriées existent pour protéger votre SI. Ils établissent des protections à plusieurs niveaux afin d’empêcher les RATs de corrompre vos systèmes critiques :

• Gestion des utilisateurs à privilèges
• Gestion des process
• Gestion des identifiants de connexion

L’élimination des risques associés aux utilisateurs sur-privilégiés est la première étape. Les administrateurs locaux, comme les utilisateurs avec des privilèges administrateurs exposent le système local, et par extension, la totalité de votre réseau. Eliminer les droits locaux d’administration signifie que même si un RATs réussit à s’infiltrer sur un poste de travail, il ne pourra pas élever ses privilèges et donc il ne pourra lancer aucune action néfaste.

Cependant, vos utilisateurs ont eux aussi besoins de privilèges pour réaliser leurs taches. Les solutions qui implémentent le Principe du Moindre Privilège accordent le bon privilège au bon utilisateur, au bon moment, afin de s’assurer que votre équipe ne soit pas ralentie, tout en restant protégée.

De plus, une nouvelle génération de solutions permet d’accorder des autorisations aux applications plutôt qu’aux utilisateurs. Cela permet de garantir que les process et les applications critiques ne puissent être détournés pour endommager le système, ou pour voler des données.

Les logiciels qui proposent la gestion automatique des identifiants et des mots de passe sont une bonne solution pour prévenir les risques. Ils permettent de renforcer ces identifiants, notamment aux attaques en brut force, alors que leur rotation automatique limite leur fenêtre d’utilisation, si ils sont interceptés par un RATs.

La mise en œuvre de ce type de protections n’a pas à être complexe. Une solution de PAM par exemple offre de nombreux mécanismes de sécurité pour empêcher un RAT d’agir, dont les fonctions de Privilege Elevation and Delegation Management (PEDM). Les postes de travail peuvent également bénéficier de protection sur mesure grâce aux solutions de Enpoint Privilege Management (EPM). Ces deux solutions permettent :

• D’empêcher les RATS d’élever leurs privilèges grâce à la mise en œuvre du Principe de Moindre Privilège afin que les utilisateurs ne bénéficient que des droits nécessaires à leur activité.
• De rendre impossible le détournement des comptes locaux à privilèges grâce à la mise en œuvre de la politique de zéro administrateur local.
• De protéger les applications et les process d’utilisateurs sur-privilégiés grâce à des privilèges contextuels par application et par process au lieu de par utilisateur.
• De limiter l’utilisation de mots de passe volés grâce à la mise en œuvre de la rotation des mots de passe et la gestion automatique des identifiants pour créer des mots de passe complexes, résistants aux attaques

Comment aller plus loin dans votre lutte contre les RATs ? Notre prochain poste abordera la défense périmétrique et comment elle peut permettre d’empêcher la propagation des RATs dans votre environnement.