Qu'est-ce qu'une menace persistante avancée (APT) ?

Comprendre les trois composantes d'une APT

La façon la plus claire de comprendre une APT est de décomposer le terme en ses trois parties, car chacune décrit quelque chose d'essentiel sur la façon dont ces attaques diffèrent de la cybercriminalité ordinaire.

• Avancée (Advanced) : Les attaquants utilisent des outils et des tactiques spécialisés, souvent sur mesure, conçus pour passer outre les contrôles traditionnels, y compris les vulnérabilités zero-day, les malware personnalisés et les opérations multi-étapes.
• Persistante (Persistent) : Une APT n'est pas un événement ponctuel. Un système de command-and-control externe surveille et extrait continuellement des données de la cible, et les attaquants s'efforcent de maintenir l'accès et de le rétablir en cas d'interruption.
• Menace (Threat) : Derrière les outils se trouve un élément humain : une personne ou un groupe poursuivant activement un objectif et s'adaptant à tout ce que le défenseur fait pour résister. Ces adversaires sont qualifiés, bien financés et souvent soutenus par des États.

Quels sont les objectifs d'une attaque APT ?

Les campagnes APT sont stratégiques plutôt qu'opportunistes, et leurs objectifs se répartissent généralement en quelques catégories. Comprendre le motif aide les défenseurs à anticiper le comportement.

• Le cyber espionnage, y compris le vol de propriété intellectuelle, de secrets commerciaux ou de secrets d'État.
• Le gain financier, comme le vol de données financières ou de crypto-monnaies.
• L'hacktivisme, en défense d'un agenda politique ou idéologique.
• La perturbation ou la destruction, sabotant des systèmes ou des infrastructures critiques pour causer des dommages opérationnels.

Comment fonctionne une attaque APT ? Les étapes

La plupart des APT suivent un cycle de vie reconnaissable : entrer, s'étendre discrètement et atteindre l'objectif. Reconnaître ces étapes est la première façon de les détecter et de les arrêter.

Reconnaissance et planification

Avant de frapper, le groupe étudie la cible en profondeur, collectant des informations sur les systèmes, le personnel, les prestataires et les vulnérabilités via des outils de renseignement en sources ouvertes et de scanning. C'est cette recherche qui rend les étapes ultérieures si précisément adaptées à l'organisation spécifique.

Compromission initiale

Les attaquants s'introduisent, le plus souvent via des e-mails de harponnage ciblant des cadres dirigeants ou des responsables techniques, parfois en utilisant des informations provenant de collègues déjà compromis. D'autres points d'entrée incluent l'exploitation d'une vulnérabilité zero-day dans une application web, l'utilisation d'identifiants dérobés ou l'installation de malware sur un site web fréquenté par les collaborateurs.

Établissement d'un point d'ancrage et élévation des privilèges

Une fois à l'intérieur, les attaquants déploient des malware personnalisés, installent des portes dérobées et créent de nouveaux comptes pour sécuriser un accès permanent, afin de pouvoir revenir même si un point d'entrée est fermé. Ils élèvent ensuite leurs privilèges en exploitant des mauvaises configurations ou en dérobant des identifiants administratifs pour accéder aux systèmes sensibles.

Déplacements latéraux et expansion

Les attaquants cartographient le réseau et se déplacent de système en système, collectant des identifiants et identifiant des actifs précieux tout en contournant les défenses internes. Ils ouvrent également une connexion vers un serveur de command-and-control externe pour la gestion à distance des systèmes compromis.

Exfiltration

Le groupe accumule généralement les données dérobées dans un emplacement interne sécurisé, souvent compressées et chiffrées, jusqu'à en avoir collecté suffisamment. Il les extrait ensuite, parfois en lançant une distraction comme une attaque par déni de service distribué (DDoS) pour occuper l'équipe de sécurité pendant que les données quittent le réseau.

Maintien de la persistance

Une APT peut rester dans le réseau longtemps après le premier vol, attendant de nouvelles opportunités. Les attaquants dissimulent des malware, installent des rootkits, font tourner les serveurs de command-and-control et utilisent des communications chiffrées pour rester cachés, effaçant parfois les preuves et ne partant qu'une fois leurs objectifs atteints.

Techniques APT courantes

Les groupes APT s'appuient sur une boîte à outils étendue et l'adaptent continuellement à chaque cible. Les techniques les plus fréquemment observées comprennent :

• Ingénierie sociale et harponnage : Amener des individus spécifiques à cliquer sur des liens malveillants ou à divulguer des identifiants d'accès.
• Attaques zero-day : Exploiter des vulnérabilités logicielles non corrigées avant que les défenseurs puissent réagir.
• Attaques de la chaîne d'approvisionnement : Compromettre un prestataire de confiance ou une mise à jour logicielle pour atteindre la vraie cible.
• Rootkits et portes dérobées : Fournir un accès caché et persistant pour les opérations à distance.
• Serveurs de command-and-control : Permettre aux attaquants de gérer l'intrusion à distance et d'exfiltrer des données.
• Techniques « living off the land » : Utiliser des outils légitimes déjà présents dans l'environnement pour laisser le moins de traces possible aux outils basés sur les signatures.

Comment détecter une attaque APT

Parce que les APT sont conçues pour se fondre dans l'activité réseau normale, elles sont difficiles à repérer avec des outils standard. Les équipes de sécurité doivent surveiller ces signaux d'alerte :

• Activité de compte inhabituelle : Une augmentation des connexions à haut niveau, particulièrement la nuit, car les groupes APT opèrent souvent dans des fuseaux horaires différents et ciblent les comptes privilégiés.
• Présence étendue de chevaux de Troie backdoor : Sur lesquels les attaquants s'appuient pour retourner dans le système après une compromission.
• Transferts de données inhabituels : Comme une augmentation soudaine des opérations de base de données ou d'importants flux sortants.
• Regroupements de données inattendus : De grandes agrégations de données dans un emplacement inhabituel, souvent compressées, en préparation d'une exfiltration.
• Harponnage ciblé des dirigeants : Notamment des e-mails faisant référence à de vrais projets ou utilisant des pièces jointes pour lancer des malware.

Détecter ces signaux tôt dépend de la bonne combinaison de technologie et de processus : détection d'anomalies par rapport à des lignes de base établies, Cyber Threat Intelligence (CTI) à jour, surveillance des endpoints et du réseau via des outils comme l'Endpoint Detection and Response (EDR), le User and Entity Behavior Analytics (UEBA), le Security Information and Event Management (SIEM) et le Network Detection and Response (NDR), et un threat hunting proactif qui recherche les menaces cachées même en l'absence d'alerte.

APT vs. cyberattaque traditionnelle : quelle différence ?

Les APT se situent à l'opposé du spectre par rapport aux attaques opportunistes que la plupart des organisations rencontrent au quotidien. La comparaison ci-dessous montre pourquoi elles nécessitent une posture défensive différente.

Exemples de groupes APT et d'attaques

Les APT ne sont pas abstraites. Les chercheurs en sécurité suivent un nombre croissant de groupes nommés, la plupart identifiés par un numéro APT et un surnom. Les exemples les plus connus incluent :

• APT28 (également connu sous le nom de Fancy Bear) : Lié aux services de renseignement militaire russes, connu pour le harponnage et les sites web usurpés ciblant des organisations gouvernementales et militaires.
• APT29 (également connu sous le nom de Cozy Bear) : Associé aux services de renseignement russes, axé sur les entités diplomatiques et gouvernementales via des campagnes de phishing furtives à grand volume.
• APT34 (également connu sous le nom de Helix Kitten) : Un groupe lié à l'Iran utilisant du harponnage documenté contre des cibles dans l'aérospatiale, l'énergie, la finance et les télécommunications.
• APT41 (également connu sous le nom de Wicked Panda) : Un groupe prolifique basé en Chine qui mêle espionnage dirigé par l'État et cybercriminalité lucrative, y compris des attaques contre la santé et la biotechnologie.
• Lazarus Group : Attribué à la Corée du Nord et lié au vol massif de données financières et de crypto-monnaies.
• Stuxnet : Un ver informatique découvert en 2010 qui a ciblé des systèmes de contrôle industriel pour endommager physiquement les centrifugeuses nucléaires iraniennes, largement attribué à un effort américano-israélien.

Il convient de noter comment le paysage a évolué. Les APT étaient autrefois presque synonymes d'États-nations, mais la large disponibilité des outils offensifs avancés a brouillé la frontière. Certains chercheurs décrivent cela comme un passage des TTP des APT « de la gastronomie à la restauration rapide », avec des techniques sophistiquées désormais à la portée de groupes indépendants et de cybercriminels organisés. Cette même tendance, ainsi que les fausses bannières délibérées, rend l'attribution fiable plus difficile que jamais.

Qui les APT ciblent-ils ?

Les acteurs APT poursuivent les organisations dont les données ou la perturbation offrent une valeur stratégique. Les cibles les plus courantes sont les organismes gouvernementaux et de défense à la recherche de renseignements, les institutions financières détenant des données sensibles, les prestataires de santé avec des informations personnelles et de recherche, les entreprises technologiques avec une propriété intellectuelle précieuse, et les secteurs d'infrastructures critiques comme l'énergie, les transports et les télécommunications, où une interruption peut avoir un large impact. Ces dernières années ont vu ces attaques toucher des assureurs, des secteurs énergétiques nationaux et des prestataires IT de santé, affectant dans certains cas bien plus de cent millions de personnes via une seule compromission.

Comment se protéger contre les APT et y répondre

Aucun produit unique ne stoppe une APT. Parce que ces groupes attaquent sur les personnes, les processus et la technologie, la défense doit être stratifiée. L'objectif est moins d'éliminer tous les risques que d'augmenter le coût pour les attaquants et de les détecter tôt.

• Corriger et mettre à jour en continu : Combler les vulnérabilités connues et inconnues que les APT exploitent.
• Former les collaborateurs : Les aider à reconnaître le harponnage et l'ingénierie sociale, le point d'entrée le plus courant.
• Segmenter les réseaux et appliquer le principe du moindre privilège : S'assurer qu'un point d'ancrage ne se transforme pas en libre circulation dans l'environnement.
• Surveiller en continu et chasser proactivement : Utiliser une visibilité complète sur les endpoints, le réseau et le cloud pour révéler une attaque comme un tout connecté plutôt que comme des événements isolés.
• Utiliser le renseignement sur les menaces : Comprendre le cycle de vie des APT, profiler les adversaires probables et planifier une réponse efficace.

Il existe un modèle mental utile du côté des défenseurs. Une attaque sophistiquée est comme un château de cartes : une structure élaborée de nombreuses étapes connectées, chacune nécessaire pour éviter la détection. Identifier un seul composant, une tentative de harponnage ou un callback de command-and-control, et un analyste peut commencer à reconstituer et à démanteler l'ensemble de l'opération. L'attaquant doit réussir à chaque étape ; le défenseur n'a besoin d'en attraper qu'une. Si une APT est détectée, la réponse suit une séquence claire : contenir les systèmes affectés, investiguer pour comprendre les mouvements et les objectifs de l'attaquant, remédier en supprimant les outils et en corrigeant ce qui a été exploité, puis se rétablir et revoir les défenses pour se prémunir d'une récurrence.

Tendances émergentes dans les attaques APT

Les groupes APT évoluent aussi vite que les défenses déployées contre eux, et plusieurs tendances redessinent la menace. Les leurres de phishing deviennent plus convaincants à mesure que les attaquants intègrent des données personnelles et organisationnelles détaillées. Les techniques « living off the land », qui utilisent des outils légitimes déjà présents dans l'environnement, sont de plus en plus privilégiées car elles laissent peu de traces pour les outils basés sur les signatures. Les compromissions de la chaîne d'approvisionnement sont en hausse, transformant un prestataire ou une mise à jour logicielle de confiance en vecteur d'accès initial. Et la surface d'attaque ne cesse de s'élargir : les appareils Internet des objets (IoT), souvent livrés avec une sécurité insuffisante, constituent des points d'entrée faciles, tandis que la migration vers les services cloud a poussé les acteurs APT à développer de nouvelles méthodes pour compromettre les identités cloud, les ressources mal configurées et les plateformes Software as a Service (SaaS).

La technologie transforme les deux camps. L'IA et le machine learning renforcent déjà la détection des APT en identifiant des patterns et des anomalies subtils plus rapidement que les humains, mais ils confèrent également aux attaquants de nouvelles capacités, de l'automatisation de certaines phases de campagne à la génération de contenu de phishing plus convaincant. Plus loin, l'informatique quantique a le potentiel de perturber les standards de chiffrement actuels, ce qui pourrait finalement transformer l'approche des adversaires en matière de vol de données. Tout au long de ces évolutions, l'élément humain reste central : les équipes de sécurité qui restent informées, adaptables et pilotées par le renseignement sont les mieux positionnées pour rester à la hauteur.

Regard d'expert : pourquoi la détection CTI-led attrape les APT

La difficulté majeure avec une APT est qu'elle ressemble à une activité légitime, ce qui explique pourquoi les défenses génériques basées sur les signatures peinent à la détecter. Les organisations qui repèrent ces groupes tôt sont celles qui ont une connaissance approfondie et à jour de la façon dont des adversaires spécifiques opèrent réellement. C'est là que l'approche de Sekoia se distingue. Sekoia est un éditeur européen de cybersécurité dont l'équipe interne de Threat Detection & Research (TDR) suit activement des groupes APT nommés, y compris Turla, Calisto, LuckyMouse, APT28, APT29, APT31, Roaming Mantis et Vice Society, et transforme cette recherche de première main en détection.

Ce renseignement alimente directement la plateforme SOC Sekoia, où la détection CTI-led via Sekoia Intelligence et des règles comportementales mappées sur le référentiel MITRE ATT&CK font remonter les tactiques, techniques et procédures sur lesquelles s'appuie une APT, plutôt que d'attendre une signature connue. Parce que la détection, la CTI native et la réponse cohabitent dans une seule plateforme avec une visibilité complète sur la surface d'attaque, les défenseurs peuvent identifier les composants individuels d'une intrusion et les relier pour reconstituer l'ensemble de la campagne. En tant qu'éditeur européen, Sekoia associe également cela à une posture de souveraineté des données qui importe aux organisations soucieuses de l'endroit où leurs données d'incidents les plus sensibles sont traitées, un avantage que les grands généralistes américains offrent rarement.

‍

Questions fréquentes