Qu'est-ce que Web Distributed Authoring and Versioning (WebDAV) ?

Comment fonctionne WebDAV

WebDAV fonctionne en ajoutant un ensemble de nouvelles méthodes, ou verbes, par-dessus les méthodes HTTP standard comme GET et POST. Là où HTTP ordinaire est conçu principalement pour récupérer du contenu, ces méthodes supplémentaires permettent à un client de manipuler des fichiers et des dossiers sur le serveur. Les métadonnées et les informations de répertoire transitent en XML dans les corps des requêtes et des réponses. Les méthodes WebDAV fondamentales sont les suivantes.

Un client, qui peut être une application ou le gestionnaire de fichiers intégré d'un système d'exploitation, envoie ces requêtes à un serveur compatible WebDAV. L'authentification HTTP standard, comme Basic ou Digest, contrôle qui peut utiliser les méthodes d'écriture comme MKCOL, PUT et DELETE, et faire tourner WebDAV sur HTTPS chiffre le contenu des fichiers, les métadonnées et les identifiants en transit. Parce que tout transite par les ports web normaux, 80 pour HTTP et 443 pour HTTPS, WebDAV passe généralement à travers les pare-feu, les proxies et la traduction d'adresses réseau (NAT) sans configuration spéciale. Cette commodité est également pertinente pour son profil de sécurité, comme expliqué ci-dessous.

À quoi sert WebDAV ?

WebDAV est une méthode à usage général pour gérer des fichiers distants sur le web, et il apparaît dans plus d'endroits que son nom ne le suggère :

• Accès aux fichiers à distance et collaboration. Les équipes modifient et gèrent des documents partagés sur un serveur sans outil de transfert de fichiers séparé, avec un verrouillage pour éviter les conflits d'édition.
• Montage comme lecteur réseau. Les systèmes d'exploitation peuvent se connecter à un serveur WebDAV et le présenter comme un dossier local, de sorte que les fichiers s'ouvrent et se sauvegardent comme s'ils étaient sur la machine.
• Stockage cloud et auto-hébergé. De nombreuses plateformes de synchronisation et de stockage de fichiers, notamment des options auto-hébergées comme Nextcloud et ownCloud, offrent un accès WebDAV à leurs fichiers.
• Calendriers et contacts. CalDAV et CardDAV, les standards à la base de la synchronisation des calendriers et des carnets d'adresses, sont des extensions de WebDAV.
• Publication de contenu. Les auteurs et les applications peuvent publier ou mettre à jour du contenu directement sur un serveur, un usage ancien et persistant du protocole.

WebDAV comparé à FTP et au stockage cloud

WebDAV est souvent mis en balance avec des méthodes de transfert de fichiers plus anciennes et des services cloud plus récents. Comparé à FTP et SFTP, WebDAV a l'avantage de fonctionner sur les ports web standard et HTTPS, ce qui le rend généralement plus facile à faire passer à travers les pare-feu et à sécuriser avec les mêmes certificats qu'un site web, tandis que FTP utilise des ports séparés et SFTP fonctionne sur SSH. Comparé aux API de stockage cloud modernes et aux clients de synchronisation, WebDAV est un standard plus ancien, plus simple et plus universel que de nombreuses plateformes prennent encore en charge, bien que les services cloud dédiés offrent souvent une expérience plus fluide et des fonctionnalités plus riches. WebDAV reste utile précisément parce qu'il est largement pris en charge et construit directement sur le web, mais c'est une option parmi plusieurs plutôt que le choix par défaut qu'il était autrefois.

WebDAV et sécurité : Comment les attaquants l'exploitent

WebDAV est un protocole légitime, pas une menace en soi. Dans un contexte de sécurité, il importe toutefois parce que les attaquants l'ont de plus en plus utilisé comme moyen de délivrer des malwares, et les défenseurs doivent comprendre pourquoi la technique fonctionne.

Le problème central est la confiance et la portée. Parce que WebDAV fonctionne sur HTTP et HTTPS ordinaires, une connexion à un partage WebDAV distant peut ressembler à du trafic web normal et passe souvent à travers les contrôles qui bloqueraient d'autres méthodes de transfert de fichiers. Dans des campagnes documentées à partir de 2024, les attaquants envoient un message de phishing contenant un fichier de raccourci, généralement un raccourci Internet Windows avec une extension .url ou un raccourci avec une extension .lnk. À l'ouverture, le raccourci se connecte à un partage WebDAV contrôlé par l'attaquant, y récupère un fichier supplémentaire, et la chaîne se poursuit via des scripts jusqu'à une charge utile finale, souvent un cheval de Troie d'accès à distance (RAT). Dans certains cas, le gestionnaire de protocole search-ms de Windows est utilisé pour présenter le fichier distant dans l'Explorateur de fichiers comme s'il s'agissait d'un résultat de recherche local, et des attaquants ont hébergé ces serveurs WebDAV sur des services de tunneling abusés pour éviter un retrait rapide.

Ce qui rend la technique efficace, c'est qu'elle met en scène la charge utile en dehors du navigateur, contournant ainsi de nombreuses protections de téléchargement basées sur le navigateur, et qu'elle utilise une capacité légitime et native du système d'exploitation plutôt qu'un exploit évident. Microsoft a déprécié la prise en charge native de WebDAV dans l'Explorateur de fichiers Windows fin 2023, mais la fonctionnalité fonctionne toujours sur la plupart des systèmes, de sorte que la tactique reste viable. Cela ne rend pas WebDAV malveillant. Cela fait de WebDAV une fonctionnalité légitime que les organisations doivent surveiller et, là où elles ne l'utilisent pas, envisager de désactiver ou de restreindre.

Les mesures défensives découlent de ce constat. Côté serveurs, WebDAV doit être désactivé là où il n'est pas nécessaire, ses méthodes d'écriture restreintes aux utilisateurs authentifiés et à des répertoires spécifiques, et il doit toujours fonctionner sur HTTPS. Côté terminaux et réseau, les équipes de sécurité peuvent surveiller la chaîne caractéristique d'un fichier de raccourci se connectant à un partage WebDAV externe, restreindre les connexions WebDAV sortantes vers des serveurs non approuvés, et désactiver le client WebDAV natif là où il ne répond à aucun besoin métier.

Avis d'expert : Un protocole légitime comme vecteur d'attaque

WebDAV est un bon exemple d'une vérité plus large en sécurité : de nombreuses intrusions ne reposent pas sur un malware exploitant une faille, mais sur le détournement de fonctionnalités qui fonctionnent exactement comme prévu. Un raccourci ouvrant un partage de fichiers distant, un script s'exécutant, un fichier se téléchargeant via HTTPS : chaque étape est individuellement légitime, ce qui est précisément pourquoi la chaîne peut passer à travers des contrôles qui cherchent des actions manifestement malveillantes. Le signal n'est pas un événement isolé mais la séquence : un document menant à une connexion WebDAV externe, menant à une exécution de script, menant à une connexion sortante inconnue.

C'est là que la corrélation entre les sources prend tout son sens. Sekoia est un éditeur européen de cybersécurité dont l'équipe interne Threat Detection & Research (TDR) traque les techniques de livraison comme l'exploitation de WebDAV et les familles de malwares qui les empruntent, et ce renseignement alimente la plateforme. Plutôt que de traiter une connexion WebDAV ou un lancement de script comme du bruit isolé, la plateforme SOC IA de Sekoia corrèle les signaux endpoint, réseau et web et les mappe sur le framework MITRE ATT&CK, de sorte que la chaîne de mise en scène derrière une charge utile délivrée via WebDAV peut être reconnue comme une seule intrusion. Pour être clair sur le périmètre, Sekoia ne décide pas si une organisation doit utiliser WebDAV, ce qui est un choix d'infrastructure et de politique ; ce qu'une plateforme pilotée par la CTI (Cyber Threat Intelligence) apporte, c'est la capacité de distinguer l'usage légitime du protocole de son exploitation, sur la base du comportement et du renseignement sur les menaces actuel.