Élévation de privilèges

L'escalade verticale des privilèges

Cela se produit lorsqu'un attaquant disposant de droits d'accès limités, comme un utilisateur normal, exploite des vulnérabilités pour obtenir des privilèges de niveau supérieur, comme un accès administratif ou un accès racine. Il s'agit de la forme la plus courante d'escalade des privilèges, qui peut entraîner des risques importants pour la sécurité.

‍

‍

L'escalade horizontale des privilèges

‍Dansce cas, un attaquant se déplace latéralement dans un système, obtenant l'accès aux ressources ou aux comptes d'autres utilisateurs qui ont des droits d'accès similaires. Bien que l'escalade horizontale n'implique pas l'obtention de privilèges plus élevés, elle permet aux attaquants d'exploiter d'autres comptes ou données.

‍

‍

Comment les attaquants procèdent-ils à l'escalade des privilèges ?

1. Acquisition de l'accès initial

Les attaquants commencent par s'introduire dans un système avec des privilèges d'utilisateur de base. Ils y parviennent par des méthodes telles que phishing, où des communications trompeuses incitent les utilisateurs à révéler leurs informations d'identification, en exploitant les vulnérabilités des logiciels ou des systèmes qui n'ont pas été correctement sécurisés, ou en utilisant des informations d'identification par défaut qui n'ont jamais été modifiées après l'installation. L'objectif principal à ce stade est d'établir un pied dans le système, en créant une plateforme à partir de laquelle ils peuvent lancer d'autres attaques.

2. Recensement et reconnaissance des systèmes

Une fois à l'intérieur du système, les attaquants procèdent à l'énumération et à la reconnaissance du système afin de recueillir des informations détaillées sur l'environnement. Ils recueillent des données sur l'architecture du système, les versions du système d'exploitation, les applications installées, les services en cours d'exécution et les comptes d'utilisateurs existants. Cette collecte d'informations est facilitée par des outils tels que des utilitaires de ligne de commande, des scripts système et des outils d'analyse du réseau, qui permettent de cartographier la structure du système et d'identifier les cibles potentielles à exploiter.

3. Identification des vulnérabilités

Après avoir acquis une connaissance approfondie du système, les attaquants procèdent à l'identification des vulnérabilités qui peuvent être exploitées pour élever leurs privilèges. Ils recherchent des vulnérabilités logicielles, telles que des bogues non corrigés ou des failles dont l'exploitation est connue. Les faiblesses de configuration sont également recherchées, notamment les services mal configurés, les autorisations de fichiers non sécurisées qui permettent un accès non autorisé, ou les paramètres par défaut qui n'ont pas été correctement sécurisés. En outre, ils évaluent les problèmes liés aux informations d'identification, tels que les mots de passe faibles faciles à deviner ou à craquer, les informations d'identification réutilisées sur plusieurs systèmes ou les jetons d'authentification exposés qui peuvent être interceptés.

4. Techniques d'exploitation

Pour tirer parti des vulnérabilités identifiées, les attaquants ont recours à diverses techniques d'exploitation. Lorsqu'ils exploitent des vulnérabilités logicielles, ils peuvent provoquer des débordements de tampon en injectant du code dans un programme en dépassant les limites d'un tampon, ou procéder à une injection de code en insérant du code malveillant dans des applications de confiance. L'exploitation des erreurs de configuration est une autre tactique ; les attaquants peuvent exploiter des permissions de fichiers non sécurisées pour accéder à des fichiers ou les modifier en raison de paramètres de permissions inappropriés, ou tirer parti d'une utilisation abusive des droits SUID/SGID sur les systèmes Unix/Linux en exploitant des fichiers s'exécutant avec des privilèges élevés.

Le vol d'identifiants est une méthode couramment utilisée pour obtenir un accès non autorisé. Les attaquants peuvent recourir au « password hash dumping », c'est-à-dire extraire les hachages de mots de passe de la mémoire système ou de fichiers afin de les déchiffrer hors ligne. L'enregistrement des frappes clavier (keylogging) est une autre technique qui consiste à enregistrer les frappes pour capturer les mots de passe et autres informations sensibles. Pour contourner les contrôles de sécurité, les attaquants peuvent manipuler des jetons, en utilisant des jetons volés pour usurper l'identité d'utilisateurs disposant de privilèges plus élevés. Sur les systèmes Windows, ils peuvent procéder à un détournement de DLL en remplaçant des fichiers DLL (Dynamic Link Library) légitimes par des fichiers malveillants afin d'exécuter du code avec des privilèges élevés. L'exploitation des failles du Contrôle des comptes d'utilisateurs (UAC) leur permet d'effectuer des tâches administratives sans demander l'autorisation de l'utilisateur, contournant ainsi efficacement une fonctionnalité de sécurité essentielle.

5. Obtention de privilèges élevés

Forts de ces techniques, les attaquants cherchent à obtenir des privilèges élevés au sein du système. Ils mettent en œuvre des exploits en exécutant des scripts ou des outils spécialisés conçus pour exploiter les vulnérabilités identifiées. Le déploiement de charges utiles d'élévation de privilèges implique l'introduction malware conçus pour élever les privilèges lors de leur exécution. L'exploitation des services constitue une autre voie d'attaque : les attaquants ciblent les services fonctionnant avec des privilèges élevés et les manipulent afin d'exécuter du code arbitraire qui leur confère des droits d'accès accrus.

6. Activités post-exploitation

Après avoir réussi à élever leurs privilèges, les attaquants se livrent à des activités de post-exploitation pour consolider leur contrôle et se préparer à d'autres opérations. Pour conserver l'accès, ils peuvent créer des portes dérobées en installant des méthodes persistantes qui leur permettent de pénétrer à nouveau dans le système, même après un redémarrage ou une mise à jour de sécurité. L'ajout de nouveaux comptes d'utilisateurs dotés de privilèges administratifs leur assure un accès permanent sans dépendre de l'exploit initial.

Il est essentiel pour eux d'effacer leurs traces afin d'éviter d'être détectés. Les attaquants manipulent les journaux en supprimant ou en modifiant les enregistrements d'événements afin de dissimuler les preuves de leurs activités. Ils peuvent également modifier les horodatages des fichiers pour empêcher les analystes en criminalistique informatique d'identifier des anomalies lors des enquêtes. Grâce à des privilèges élevés, les attaquants peuvent effectuer des mouvements latéraux au sein du réseau. La propagation au sein du réseau consiste à utiliser leur accès pour infiltrer d'autres systèmes connectés au réseau, élargissant ainsi leur portée et leur impact potentiel. Ils exploitent les identifiants obtenus pour infiltrer d'autres ressources, un processus appelé « réutilisation d'identifiants », qui leur permet de compromettre davantage de comptes et de systèmes sans éveiller immédiatement les soupçons.

‍