Cyberattaques sur le réseau

1. Préambule

La première phase d’une attaque correspond donc à la récolte d’informations. Cette récolte peut se faire de manière passive, c’est-à-dire sans aucune interaction avec le système cible ou de manière active. Le but étant d’énumérer les machines d’un réseau, les services disponibles, notamment par un scanner de ports, ainsi que les versions de ces services. Dans une récolte dite « active », l’attaquant lance une série d’outils ou de scripts qui vont agir sur le système cible et qui sont donc potentiellement détectables et visibles. La machine du pirate est alors potentiellement identifiable.

2. Énumération de machines d’un réseau

Qu’il se trouve sur Internet, un réseau MAN ou un LAN, la première démarche de l’attaquant est d’établir un listing des machines du réseau qui pourraient exécuter des services vulnérables. Plusieurs méthodes sont possibles en théorie, l’idée principale étant d’utiliser un protocole à destination d’une adresse IP potentielle du réseau et recueillir une éventuelle réponse qui ferait preuve de la présence de cette machine.

Le protocole ICMP via les requêtes ICMP Echo Request/Echo Reply (c’est-à-dire la commande ping) peut assurer ce travail. L’avantage est qu’il est possible d’interroger n’importe quelle machine, quelle que soit sa position dans le réseau : même vlan, autre réseau IP, réseau public ou Internet. Par contre, à partir du moment où la machine est derrière un firewall en périmétrie ou directement configuré sur la machine cible, la requête risque de ne pas aboutir, même si la machine existe. L’utilitaire libre fping permet d’utiliser ICMP dans le but de découverte :

Si la recherche de machine ne se limite qu’au vlan dans lequel se trouve le pirate, il est judicieux d’opter directement pour le protocole ARP (ou ND sur un réseau IPv6). Il ne peut être bloqué...

1. Informations par rapport à un nom de domaine

Le nom de domaine d’une cible est en général le premier point d’entrée privilégié par les pirates et les pentesteurs pour commencer à identifier la surface d’attaque et les premiers systèmes potentiellement vulnérables.

En effet, les bases de noms de domaine comme la base WHOIS permettent de récolter des informations sur le propriétaire du nom de domaine ainsi que sur les contacts techniques et administratifs. On va également identifier le registrar, c’est-à-dire la société qui a enregistré le nom de domaine. À partir des coordonnées des contacts identifiés, on pourrait imaginer ensuite un envoi d’e-mails usurpant l’identité du registrar à destination des contacts de la société, afin d’amener l’utilisateur à cliquer sur un lien malicieux sous prétexte de renouvellement du nom de domaine.

Résultat de l’interrogation de la base WHOIS sur le nom de domaine paris.fr à partir du site de l’Afnic (https://www.afnic.fr/noms-de-domaine/tout-savoir/whois-trouver-un-nom-de-domaine/)

À un nom de domaine correspond également plusieurs « entrées DNS » désignant notamment et entre autres les serveurs de noms qui gèrent le domaine, le serveur de messagerie "MX" ainsi que potentiellement une série de noms de machines comme le serveur web : entrées de type A, AAAA (ipv6) ou CNAME. Le pirate va donc tenter d’énumérer les entrées de la zone DNS par plusieurs moyens :

1. Vulnérabilités et exploits

1. Préambule

Cette dernière partie vise à illustrer le chapitre par la présentation concrète d’une attaque informatique visant l’intrusion sur un réseau d’entreprise via l’exploitation d’une passerelle VPN vulnérable. L’idée étant d’accéder aux identifiants d’un compte VPN existant en utilisant un exploit que nous analyserons, puis de se connecter alors au réseau d’entreprise via ce compte compromis. L’attaque est techniquement assez simple à comprendre et donc abordable pour le novice, car il s’agit d’une vulnérabilité web de type « traversée de répertoire ». C’est également l’occasion de présenter la plate-forme Metasploit. 

2. Contexte

Fin 2019, les experts en sécurité de ClearSky ont décrit, sous le nom de Fox Kitten, une campagne de cyber espionnage menée depuis trois ans par le groupe iranien APT34. Son principal vecteur d’attaque, pour pénétrer dans les réseaux de grandes entreprises dans le monde entier, exploite les vulnérabilités non corrigées de services VPN et RDP. Ont été visées de nombreuses plateformes de VPN nomade supportées par des constructeurs comme PALO ALTO ou FORTINET entre autres. Le 08/09/2021, Fortinet a communiqué sur l’existence d’une base de données contenant les comptes VPN SSL de plus de 87000 Firewalls Fortigate de ses clients attaqués, base...