Élévation de privilèges

L'escalade verticale des privilèges

Cela se produit lorsqu'un attaquant disposant de droits d'accès limités, comme un utilisateur normal, exploite des vulnérabilités pour obtenir des privilèges de niveau supérieur, comme un accès administratif ou un accès racine. Il s'agit de la forme la plus courante d'escalade des privilèges, qui peut entraîner des risques importants pour la sécurité.

‍

‍

L'escalade horizontale des privilèges

‍Dansce cas, un attaquant se déplace latéralement dans un système, obtenant l'accès aux ressources ou aux comptes d'autres utilisateurs qui ont des droits d'accès similaires. Bien que l'escalade horizontale n'implique pas l'obtention de privilèges plus élevés, elle permet aux attaquants d'exploiter d'autres comptes ou données.

‍

‍

Comment les attaquants procèdent-ils à l'escalade des privilèges ?

1. Acquisition de l'accès initial

Les attaquants commencent par s'introduire dans un système avec des privilèges d'utilisateur de base. Ils y parviennent par des méthodes telles que phishing, où des communications trompeuses incitent les utilisateurs à révéler leurs informations d'identification, en exploitant les vulnérabilités des logiciels ou des systèmes qui n'ont pas été correctement sécurisés, ou en utilisant des informations d'identification par défaut qui n'ont jamais été modifiées après l'installation. L'objectif principal à ce stade est d'établir un pied dans le système, en créant une plateforme à partir de laquelle ils peuvent lancer d'autres attaques.

2. Recensement et reconnaissance des systèmes

Une fois à l'intérieur du système, les attaquants procèdent à l'énumération et à la reconnaissance du système afin de recueillir des informations détaillées sur l'environnement. Ils recueillent des données sur l'architecture du système, les versions du système d'exploitation, les applications installées, les services en cours d'exécution et les comptes d'utilisateurs existants. Cette collecte d'informations est facilitée par des outils tels que des utilitaires de ligne de commande, des scripts système et des outils d'analyse du réseau, qui permettent de cartographier la structure du système et d'identifier les cibles potentielles à exploiter.

3. Identification des vulnérabilités

Après avoir acquis une connaissance approfondie du système, les attaquants procèdent à l'identification des vulnérabilités qui peuvent être exploitées pour élever leurs privilèges. Ils recherchent des vulnérabilités logicielles, telles que des bogues non corrigés ou des failles dont l'exploitation est connue. Les faiblesses de configuration sont également recherchées, notamment les services mal configurés, les autorisations de fichiers non sécurisées qui permettent un accès non autorisé, ou les paramètres par défaut qui n'ont pas été correctement sécurisés. En outre, ils évaluent les problèmes liés aux informations d'identification, tels que les mots de passe faibles faciles à deviner ou à craquer, les informations d'identification réutilisées sur plusieurs systèmes ou les jetons d'authentification exposés qui peuvent être interceptés.

4. Techniques d'exploitation

Pour tirer parti des vulnérabilités identifiées, les attaquants utilisent diverses techniques d'exploitation. Lorsqu'ils exploitent des vulnérabilités logicielles, ils peuvent effectuer des débordements de mémoire tampon en injectant du code dans un programme en dépassant la limite d'une mémoire tampon, ou procéder à des injections de code en insérant du code malveillant dans des applications fiables. Les attaquants peuvent exploiter des autorisations de fichiers non sécurisées pour accéder à des fichiers ou les modifier en raison de paramètres d'autorisation incorrects, ou tirer parti de l'abus de SUID/SGID sur les systèmes Unix/Linux en exploitant des fichiers qui s'exécutent avec des privilèges plus élevés.

Le vol de données d'identification est une méthode critique utilisée pour obtenir un accès non autorisé. Les attaquants peuvent se livrer à l'extraction de hachages de mots de passe à partir de la mémoire du système ou de fichiers afin de les craquer hors ligne. Une autre technique consiste à enregistrer les frappes au clavier afin de capturer les mots de passe et d'autres informations sensibles. Pour contourner les contrôles de sécurité, les attaquants peuvent manipuler des jetons, en utilisant des jetons volés pour se faire passer pour des utilisateurs privilégiés. Sur les systèmes Windows, ils peuvent détourner des DLL en remplaçant des fichiers de bibliothèques de liens dynamiques (DLL) légitimes par des fichiers malveillants afin d'exécuter du code avec des privilèges élevés. L'exploitation des faiblesses du contrôle des comptes d'utilisateurs (UAC) leur permet d'effectuer des tâches administratives sans demander l'avis de l'utilisateur, contournant ainsi un dispositif de sécurité essentiel.

5. Obtention de privilèges élevés

Armés de ces techniques, les attaquants cherchent à obtenir des privilèges élevés dans le système. Ils exécutent des exploits en lançant des scripts ou des outils spécialisés conçus pour tirer parti des vulnérabilités identifiées. Le déploiement de charges utiles d'escalade des privilèges implique l'introduction de malware spécialement conçu pour escalader les privilèges lors de l'exécution. L'exploitation des services est une autre voie, où les attaquants ciblent les services qui fonctionnent avec des privilèges plus élevés, en les manipulant pour exécuter un code arbitraire qui leur accorde des droits d'accès accrus.

6. Activités post-exploitation

Après avoir réussi à élever leurs privilèges, les attaquants se livrent à des activités de post-exploitation pour consolider leur contrôle et se préparer à d'autres opérations. Pour conserver l'accès, ils peuvent créer des portes dérobées en installant des méthodes persistantes qui leur permettent de pénétrer à nouveau dans le système, même après un redémarrage ou une mise à jour de sécurité. L'ajout de nouveaux comptes d'utilisateurs dotés de privilèges administratifs leur assure un accès permanent sans dépendre de l'exploit initial.

Il est essentiel de brouiller les pistes pour éviter d'être détecté. Les attaquants manipulent les journaux en supprimant ou en modifiant les enregistrements d'événements afin de dissimuler les preuves de leurs activités. Ils peuvent également modifier l'horodatage des fichiers afin d'empêcher les analystes d'identifier des anomalies au cours de leurs investigations. Avec des privilèges élevés, les attaquants peuvent effectuer des mouvements latéraux au sein du réseau. La propagation du réseau implique l'utilisation de leur accès pour infiltrer d'autres systèmes connectés au réseau, élargissant ainsi leur portée et leur impact potentiel. Ils utilisent les informations d'identification obtenues pour infiltrer d'autres ressources, un processus connu sous le nom de réutilisation des informations d'identification, qui leur permet de compromettre davantage de comptes et de systèmes sans éveiller de soupçons immédiats.

‍