Des opérateurs malveillants ont mis au point une technique inédite baptisée SourTrade : assembler leur charge utile directement dans le navigateur de la victime, sans jamais faire transiter de fichier suspect sur le réseau. Pour Darren Guccione, CEO et co-fondateur de Keeper Security, cette évolution montre que la détection basée sur les fichiers ne suffit plus : c’est ce qu’un exécutable est autorisé à faire qui doit désormais être contrôlé.
Une charge utile construite sur place
« La véritable innovation de SourTrade ne réside pas dans l’appât, mais dans le processus de construction. En transmettant des instructions plutôt qu’un binaire fini, et en assemblant la charge utile au niveau du terminal, la technique contourne les signatures statiques et l’inspection des fichiers au niveau du réseau », explique Darren Guccione. Rien de suspect ne transiterait sur le réseau tant que le programme n’est pas déjà en cours d’exécution sur le terminal — et même alors, il présenterait un aspect légèrement différent sur chaque machine.
Repenser la détection autour du comportement
Pour Keeper Security, la détection basée sur la reconnaissance de fichiers sera toujours en retard sur des attaquants capables de modifier l’apparence de leurs fichiers à volonté. Les entreprises devraient donc se concentrer sur ce qu’un exécutable inconnu est autorisé à faire plutôt que sur son apparence.
Des contrôles des terminaux basés sur le principe du « privilège minimal » — empêchant les binaires non signés ou non reconnus d’écrire dans des chemins d’accès sensibles, d’élever leurs privilèges ou d’accéder aux magasins d’identifiants — neutraliseraient cette technique, quelle que soit la manière dont la charge utile a été assemblée.
Selon Keeper Security, il s’agirait avant tout d’une opération de collecte d’identifiants visant en particulier les traders et détenteurs de cryptomonnaies.