Nous utilisons l'intelligence artificielle pour les traductions de sites et, bien que nous nous efforcions d'être précis, il se peut que les traductions ne soient pas toujours exactes à 100 %. Nous vous remercions de votre compréhension.
Accueil/
Blog
/
APT37, les fichiers LNK et le USB dans les environnements isolés…
APT37, les fichiers LNK et les USB dans les environnements isolés
Par
OPSWAT
Partager cet article
Des informations récentes concernant APT37 ont mis en évidence une réalité cruciale : de nombreuses organisations continuent de considérer les réseaux isolés comme impénétrables, malgré les preuves du contraire. Lorsque les attaquants se voient privés de points d'entrée réseau, ils se tournent vers des vecteurs physiques. Dans les environnements industriels, de défense et d'infrastructures critiques, ce vecteur prend presque toujours la forme de supports amovibles.
USB restent indispensables pour des tâches telles que les mises à jour de micrologiciels, l'extraction de journaux, la maintenance par les fournisseurs et le transfert de fichiers techniques. Le recours par APT37 à des fichiers de raccourcis LNK malveillants illustre parfaitement comment cette surface d'attaque est exploitée avec un minimum de complexité technique et un impact opérationnel maximal.
Pourquoi les fichiers LNK constituent une menace importante pour les environnements isolés
Un fichier LNK est un raccourci natif de Windows. Son apparence est impossible à distinguer de celle d'un dossier ou d'un document légitime, un détail qu'un pirate informatique exploiterait délibérément.
Derrière son apparence inoffensive, un fichier LNK compromis est capable de :
Lancement de PowerShell ou d'autres interpréteurs natifs du système
Exécution de scripts cachés stockés sur le périphérique amovible
Mise en place et déclenchement de charges utiles sans nécessiter de connexion externe
Exploiter des utilitaires fiables du système d'exploitation pour échapper à la détection
Aucun de ces modes d'exécution ne nécessite d'accès au réseau, de validation d'une macro par l'utilisateur ni de la présence d'un fichier binaire malveillant autonome. Le raccourci devient ainsi le vecteur de la menace, ce qui peut avoir un impact considérable dans un environnement isolé. Par exemple, un opérateur insère une USB , double-clique sur ce qui semble être un document technique ordinaire, et l'attaque se déclenche silencieusement au sein de l'environnement local, sans déclencher d'alerte immédiate.
La réalité opérationnelle des Media amovibles
Le problème fondamental ne réside pas dans l'existence de la technologie USB , mais dans l'absence de cadre réglementaire régissant son utilisation. Dans de nombreux environnements OT, la situation actuelle révèle une lacune importante en matière de contrôle :
Les supports amovibles sont insérés directement dans les postes de travail de production et d'ingénierie sans contrôle préalable
Les fichiers sont ouverts sans que leur contenu ne fasse l'objet d'aucune vérification
Il n'existe pas de vue d'ensemble centralisée permettant de savoir quelles données ont été transférées, quand et par qui
Les règles relatives aux types de fichiers exécutables, tels que les fichiers LNK, EXE ou les fichiers de script, sont soit inexistantes, soit appliquées de manière incohérente
Les cybercriminels sophistiqués n'ont pas besoin de contourner les mesures de sécurité techniques lorsque les pratiques opérationnelles leur ouvrent la voie sans entrave. C'est là que réside la différence entre APT37 et d'autres acteurs similaires qui exploitent activement ces failles.
L'hypothèse la plus dangereuse en matière de sécurité des réseaux opérationnels est que l'isolation physique équivaut à une protection. Dans tous les environnements d'infrastructures critiques avec lesquels j'ai travaillé, les supports amovibles sont indispensables sur le plan opérationnel, et c'est précisément sur cette nécessité que misent les cybercriminels. Lorsqu'un USB échappe au contrôle et parvient jusqu'à un poste de travail d'ingénierie, on n'est plus face à un problème de réseau. On en subit alors les conséquences.
Itay Glick
Directeur général, Hardware OT Security Hardware
Pourquoi un Kiosk USB Kiosk un élément de contrôle essentiel
Se fier à la détection au niveau des terminaux après l'insertion d'un USB dans un système de production revient à adopter une approche réactive. Dans les environnements OT, une telle approche rend toute mesure de confinement d'une intrusion trop tardive. La meilleure approche sur le plan opérationnel consiste à mettre en place une inspection du contenu avant que les supports amovibles n'atteignent un système de production.
Un kiosque USB est une solution qui met en place un point de contrôle obligatoire et sécurisé entre l'environnement externe et la périphérie du réseau OT/ICS. Les supports amovibles étant traités par une station d'inspection adaptée avant leur utilisation, chaque périphérique est soumis à :
Analyse antivirus à l'aide de plusieurs moteurs pour détecter les menaces connues
Désactivation et reconstruction du contenu des fichiers afin de neutraliser les éléments actifs qu'ils contiennent
Application d'une politique relative aux types de fichiers afin d'empêcher l'introduction de formats non approuvés dans l'environnement
Contrôle au niveau du support pour évaluer l'intégrité du support lui-même
Une journalisation complète des audits permettant d'assurer une traçabilité totale de chaque transfert
Cette architecture dissocie physiquement le processus d'inspection des systèmes de production, garantissant ainsi que les contenus à haut risque sont neutralisés avant qu'ils ne puissent atteindre les ressources opérationnelles.
Comment les bornes interactives permettent de contrer directement les chaînes d'attaques basées sur LNK
Un flux de travail de kiosque de numérisation correctement configuré considère par défaut les fichiers LNK et autres artefacts exécutables similaires comme des objets à haut risque. Concrètement, cela signifie :
Les fichiers de raccourcis et de scripts sont automatiquement bloqués lors de la phase de vérification
Le contenu exécutable est supprimé des types de fichiers autorisés
Les structures de commande suspectes intégrées dans les fichiers sont identifiées et neutralisées
Seuls les types de fichiers explicitement autorisés sont autorisés à être transférés dans l'environnement OT
Si un cybercriminel intègre une charge malveillante dans un fichier LNK, celle-ci est interceptée et neutralisée avant même que le USB n'atteigne un poste de travail d'ingénierie. Si la politique de l'entreprise interdit totalement les fichiers de raccourci, ceux-ci sont filtrés au niveau du kiosque, et la chaîne d'attaque est interrompue avant même qu'elle ne puisse être lancée.
Sécurisation du périmètre physique
Les barrières physiques offrent la meilleure garantie de sécurité lorsque les contrôles sont mis en œuvre au niveau de la couche physique. Une borne USB offre aux entreprises :
Application centralisée des politiques dans l'ensemble des installations et des sites opérationnels répartis
Une application cohérente des contrôles qui réduit la dépendance vis-à-vis du jugement individuel des utilisateurs
Une visibilité opérationnelle complète sur toutes les activités liées aux supports amovibles
Documentation prête pour un audit, garantissant la conformité aux cadres réglementaires et sectoriels
Réduction de l'exposition aux risques pour les postes de travail d'ingénierie, les systèmes de sécurité et autres actifs à haut risque
Cela revêt une importance cruciale, notamment dans les environnements où un seul terminal compromis peut se propager et nuire à la continuité des opérations, à la sécurité du personnel ou à la fiabilité du réseau.
L'inspection avant insertion n'est pas simplement la meilleure pratique. C'est la seule pratique qui permet de combler les lacunes.
Itay Glick
Directeur général, Hardware OT Security Hardware
Comment OPSWAT Secure infrastructures critiques
Les environnements isolés ne sont pas compromis parce qu'ils sont connectés. Ils le sont parce que les supports amovibles sont considérés comme fiables par défaut. Face à des campagnes sophistiquées et ciblées visant les infrastructures critiques, cette hypothèse par défaut constitue un risque que les organisations ne peuvent plus se permettre d'assumer. Lorsque les supports amovibles font partie de votre flux de travail opérationnel, les solutions Media des périphériques et Media amovibles OPSWAT offrent des contrôles multicouches qui comblent cette faille.
MetaDefender Kiosk™: Secure Media Secure dès leur point d'entrée
Pour se prémunir contre les vecteurs d'attaque USB, MetaDefender Kiosk agit comme une station de scan physique pour protéger les actifs des entreprises. Il s'intègre à des solutions et technologies éprouvées et leaders du secteur afin de nettoyer les données avant qu'elles n'entrent dans des environnements critiques. Associé à des solutions telles que MetaDefender File Transfer™ (MFT) et MetaDefender Media , MetaDefender Kiosk couches de défense supplémentaires qui peuvent être ajoutées pour garantir la sécurité des transferts de fichiers et appliquer les politiques de scan.
MetaDefender Endpoint™: protection avant exécution et contrôle des terminaux
MetaDefender Endpoint renforce la sécurité des terminaux et assure la protection des périphériques et des supports amovibles dans les environnements critiques. Il détecte et bloque activement les périphériques amovibles jusqu'à ce qu'ils aient été minutieusement analysés et vérifiés comme étant sains, avant de leur accorder l'accès au système.
La validation des Media , une couche de défense supplémentaire
OPSWAT des solutions complémentaires visant à soutenir une stratégie de défense en profondeur afin d'assurer une protection à plusieurs niveaux, grâce à la validation des supports et à l'application de politiques de scan et de nettoyage.
MetaDefender Media Firewall est une solution matérielle facile à utiliser qui protège les systèmes hôtes critiques contre les menaces véhiculées par les supports amovibles. Elle fonctionne en tandem avec MetaDefender Kiosk couche physique au sein des environnements OT afin de garantir qu'aucun support amovible non analysé ne puisse contourner les points d'entrée.
MetaDefender Validation est un outil léger qui s'installe sur les terminaux et sert de point de contrôle pour garantir que seuls les fichiers analysés par MetaDefender Kiosk être ouverts, copiés, sélectionnés et consultés par le terminal.
Des technologies de pointe
MetaDefender Kiosk MetaDefender Endpoint tous deuxEndpoint des technologies éprouvées et reconnues à l'échelle mondiale, telles que Metascan™ Multiscanning, qui atteint un taux de détection des logiciels malveillants de 99,2 % grâce à plus de 30 moteurs anti-malware. Ils intègrent également la technologie Deep CDR™ pour supprimer de manière proactive les contenus malveillants des fichiers sans en compromettre la fonctionnalité. En plus d'effectuer des évaluations de vulnérabilité pour identifier les failles logicielles connues sur les supports amovibles et d'offrir une protection robuste contre les fuites de données sensibles, ces deux solutions fournissent une défense approfondie et multicouche pour les réseaux IT/OT contre les menaces provenant des périphériques et des supports amovibles.
Points clés pour les dirigeants
APT37 n'a pas contourné l'isolation par « air gap » en contournant l'architecture de sécurité du réseau. Le groupe a exploité les fonctionnalités du système d'exploitation et les processus liés aux supports amovibles, qui relèvent entièrement du contrôle de l'organisation.
Pour relever ce défi, la prévention doit intervenir avant que l'exécution n'atteigne le terminal si les supports amovibles font partie de votre flux de travail opérationnel. C'est le cas dans la plupart des environnements OT/ICS. Par conséquent, ils doivent être strictement réglementés, à l'instar de tout contrôle du périmètre réseau :
Vérifier avant l'intégration : aucun composant ne doit être déployé sur un système de production sans avoir été préalablement contrôlé
Enregistrer avant le transfert : chaque interaction avec un support doit donner lieu à une trace vérifiable
Agir avant l'accès : le risque doit être neutralisé à la source, et non détecté a posteriori
Pour découvrir comment OPSWAT vous aider à neutraliser les menaces liées aux supports amovibles et aux périphériques avant qu'elles n'atteignent votre environnement critique, contactez un expert dès aujourd'hui.
Obtenez les dernières mises à jour de la société OPSWAT ainsi que des informations sur les événements et les nouvelles qui font avancer l'industrie OPSWAT
les nouvelles qui font avancer l'industrie.
Suivez OPSWAT sur LinkedIn, Facebook, Twitter et YouTube pour en savoir plus !
Restez à jour avec OPSWAT!
Inscrivez-vous dès aujourd'hui pour recevoir les dernières mises à jour de l'entreprise,
de l'entreprise, des histoires, des informations sur les événements, et plus encore.
