IOC comportementaux : registre, réseau et artefacts de fichiers

Les indicateurs de compromission (IOC) sont des artefacts judiciaires indiquant qu’un système a été compromis. Ils comprennent les hachages de fichiers, les adresses IP, les noms de domaine, les clés de registre, les mutex et les schémas comportementaux qui apparaissent dans les échanges de renseignements sur les menaces.

Les IOC fondés sur les fichiers comprennent les hachages MD5/SHA-256 des logiciels malveillants, les chemins et noms des fichiers déposés ainsi que les signatures du contenu des fichiers (règles YARA). Les IOC fondés sur les hachages sont fragiles : une recompilation modifie les hachages. Concentrez-vous donc aussi sur le comportement et les hachages approximatifs.

Principaux emplacements de persistance : HKCU\Run, HKLM\Run, XML de tâches planifiées dans le registre, entrées de services et valeurs de DLL auxiliaires de Winlogon. Documentez le chemin complet de la clé, le nom de la valeur et les données pour chaque IOC du registre découvert.

Consignez les domaines C2, les adresses IP, les ports et les motifs d’URI. Incluez les chaînes d’agent utilisateur, les en-têtes HTTP et les empreintes de certificats pour le C2 HTTPS. Les domaines DGA nécessitent une détection fondée sur des motifs plutôt que sur des IOC fixes.

Les logiciels malveillants créent des mutex nommés pour empêcher une double infection. Le nom du mutex est un IOC unique. Vérifiez les mutex actifs avec Process Hacker ou Sysinternals Process Monitor afin de rechercher le nom précis utilisé par l’échantillon.

Pour détecter une injection de processus, surveillez les chaînes d’API OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread exécutées dans cet ordre depuis un processus parent inattendu. Cette séquence constitue un IOC comportemental fiable pour l’injection classique.

Les connexions SMB aux partages ADMIN$ ou IPC$, la création de services par PsExec, la création de processus WMI via WmiPrvSE.exe et les motifs d’exécution d’outils similaires à PsExec sont des IOC comportementaux de déplacement latéral.

Les objets Indicator de STIX encapsulent les IOC dans un format lisible par machine avec une syntaxe de motifs et les champs valid_from et confidence. Partagez-les via TAXII ou des plateformes de renseignement sur les menaces afin de rendre les IOC opérationnels dans toute l’organisation.

OpenIOC de Mandiant utilise XML pour combiner plusieurs IOC dans des arbres logiques (AND/OR). Un IOC peut exiger : un fichier avec un hachage précis AND une clé de registre présente AND une connexion réseau vers une IP précise, ce qui réduit les faux positifs.

Les IOC expirent. Les domaines sont redirigés vers des puits, les IP sont réattribuées et les hachages évoluent. Vérifiez chaque mois l’actualité des IOC. Retirez les IOC obsolètes, mettez à jour les compteurs de correspondances et élevez au rang de listes de blocage prioritaires les IOC observés dans plusieurs incidents.

Les IOC deviennent des hypothèses de recherche. Recherchez dans les journaux à l’aide de requêtes SPL/KQL de SIEM pour trouver des correspondances d’IOC dans les données historiques. Même une seule correspondance datant de plusieurs mois peut révéler le temps de présence, c’est-à-dire la durée pendant laquelle les attaquants sont restés indétectés.

Les IOC couvrent les fichiers, les entrées du registre, les artefacts réseau, les mutex et les schémas comportementaux. Une documentation rigoureuse des IOC, leur partage via STIX et la gestion de leur cycle de vie transforment les constats bruts d’un incident en renseignements défensifs réutilisables.