Attribution des menaces et suivi des campagnes

L’attribution des menaces tente d’identifier l’auteur d’une attaque : un acteur étatique précis, un groupe criminel ou un collectif hacktiviste. L’attribution éclaire les décisions stratégiques (réponse politique, intervention des autorités chargées de l’application de la loi), mais une attribution très fiable est difficile et reste souvent un renseignement classifié.

Les éléments probants d’attribution comprennent : les indicateurs techniques (similarité du code, infrastructure partagée, outils C2), les schémas opérationnels (cibles, calendrier, secteur d’activité visé), le contexte stratégique (motivation géopolitique), le renseignement humain (déclarations de l’acteur, activité sur les forums) et le renseignement d’origine électromagnétique provenant d’organismes gouvernementaux.

L’analyse du recouvrement de code compare les caractéristiques des fichiers binaires malveillants : la similarité au niveau des fonctions au moyen de BinDiff, les constantes de chaînes de caractères uniques, la langue des messages d’erreur, les artefacts du compilateur et la réutilisation de code provenant d’outils de génération partagés. Les APT réutilisent du code d’une campagne à l’autre, créant des empreintes permettant d’établir des liens, même entre différentes familles de logiciels malveillants.

Les attaquants réutilisent l’infrastructure : la même adresse IP de C2 pour héberger plusieurs campagnes, des certificats SSL réutilisés sur différents domaines, des préférences d’ASN et des schémas propres aux fournisseurs d’hébergement. Le DNS passif met en corrélation l’infrastructure au fil du temps : un domaine C2 d’une campagne qui se résout vers une adresse IP utilisée dans une autre permet d’établir un lien entre ces campagnes.

Les groupes MITRE ATT&CK documentent les TTP (tactiques, techniques et procédures) des acteurs connus. La comparaison des TTP observés lors d’un incident avec les profils de groupes ATT&CK permet d’identifier des acteurs possibles. Aucun TTP n’est unique : l’attribution exige des ensembles de techniques et d’outils qui se recoupent.

Les acteurs sophistiqués implantent délibérément de fausses preuves : des chaînes de code dans la mauvaise langue, une infrastructure qui se recoupe avec celle d’autres acteurs connus ou un calendrier correspondant à l’activité connue d’un autre groupe. Ne procédez jamais à une attribution fondée sur un seul indicateur : les fausses bannières visent précisément les méthodes d’attribution reposant sur un indicateur unique.

Les conventions de nommage des fournisseurs diffèrent : Mandiant utilise des numéros APT (APT28), Microsoft utilise des thèmes météorologiques (Midnight Blizzard) et CrowdStrike utilise des noms d’animaux (Fancy Bear). Le même acteur peut avoir plus de 10 noms. Les groupes MITRE ATT&CK regroupent les alias d’un même acteur dans les rapports des différents fournisseurs.

Le modèle en diamant décrit chaque intrusion au moyen de quatre caractéristiques : l’adversaire, la capacité (logiciel malveillant/TTP), l’infrastructure (adresses IP/domaines C2) et la victime. Les relations entre ces caractéristiques forment un graphe permettant de suivre les campagnes. En partant de n’importe quelle caractéristique, vous pouvez découvrir les incidents et l’activité des acteurs qui lui sont associés.

Les campagnes des APT s’étendent sur des mois ou des années. Suivez-les au moyen des éléments suivants : des schémas de ciblage cohérents (le même secteur d’activité), l’évolution des logiciels malveillants (nouvelles versions de la même famille), les schémas de rotation de l’infrastructure et la cohérence des TTP. La représentation chronologique des incidents révèle les phases des campagnes et l’évolution de leurs objectifs.

Niveaux de confiance du renseignement : faible (quelques indicateurs peu solides), moyen (plusieurs indicateurs techniques qui se corroborent), élevé (éléments probants techniques, opérationnels et contextuels, confirmés par des chercheurs indépendants). L’attribution gouvernementale peut inclure des renseignements classifiés absents des rapports publics, ce qui augmente le niveau de confiance déclaré au-delà de ce que l’analyse technique seule permet d’établir.

L’attribution publique influence les politiques, l’action des autorités chargées de l’application de la loi et la réponse du secteur. Une attribution prématurée ou incorrecte provoque des incidents diplomatiques et détourne les ressources de défense. Une attribution responsable exige des normes rigoureuses en matière d’éléments probants, la reconnaissance de l’incertitude et la mise à jour des conclusions lorsque de nouveaux éléments apparaissent.

Pourquoi la réutilisation de l’infrastructure est-elle utile pour attribuer une attaque à un acteur malveillant ?

L’attribution des menaces combine la similarité du code des logiciels malveillants, l’analyse de la réutilisation de l’infrastructure, la mise en correspondance des TTP avec les groupes ATT&CK et le modèle en diamant afin d’établir des profils d’acteurs fondés sur des éléments probants. Une attribution très fiable exige plusieurs sources indépendantes d’éléments probants, la prise en compte des opérations sous fausse bannière et un calibrage approprié du niveau de confiance.