Dans le cadre d’une réponse à incident, les traces laissées sur Internet peuvent constituer une source précieuse d’informations. L’OSINT (Open Source Intelligence) permet notamment de recouper des données issues de sources ouvertes afin de mieux comprendre une infrastructure malveillante, d’identifier des liens entre différents éléments et de contribuer à l’attribution d’une campagne.

Une compromission difficile à détecter

Lors d’une réponse à incident, des analystes SOC identifient une connexion suspecte vers un domaine inconnu sur plusieurs postes.

En remontant la chaîne d’infection, ils découvrent que le vecteur initial est un site internet légitime appartenant à une avocate française.

Le site ne déclenche aucune alerte et est considéré comme sain par les solutions de sécurité en place. Pourtant, une ligne de code JavaScript malveillante y a été injectée. Celle-ci redirige les visiteurs vers une fausse mise à jour de navigateur.

Cette compromission aura conduit à l’infection de 6 machines en l’espace de 30 jours.

L’OSINT pour élargir l’investigation

L’analyse se poursuit alors en s’appuyant sur différentes techniques et sources ouvertes.

À l’aide notamment de Maltego, d’informations issues du passive DNS et de l’analyse des relations entre différentes infrastructures, les analystes identifient un second site compromis.

Ce site correspond à une véritable entreprise étrangère, dont l’infrastructure a été détournée à l’insu de ses propriétaires pour servir de façade aux attaquants.

L’enquête permet également de mettre en évidence une adresse physique présentée comme celle de l’entreprise. Celle-ci fait l’objet de vérifications à partir de plusieurs sources ouvertes : annonces immobilières, cartographie en ligne et autres informations disponibles publiquement.

Les recherches montrent alors que les locaux sont vides et proposés à la location, et que l’entreprise n’y a jamais été installée. Les photographies utilisées sur le faux site sont elles-mêmes générées par intelligence artificielle et ne correspondent pas à la réalité du lieu.

Une façade numérique construite de toutes pièces.

Croiser les indices pour identifier les acteurs

L’investigation ne s’arrête pas à l’identification des infrastructures.

L’analyse statique des scripts présents sur les sites compromis permet de mettre en évidence des caractéristiques communes : conventions de nommage, structure des fonctions ou encore commentaires rédigés dans une langue donnée.

Ces éléments sont ensuite croisés avec des TTP (Tactiques, Techniques et Procédures) déjà documentés.

Le recoupement de ces différents indices permet d’attribuer l’infrastructure à un groupe d’acteurs identifié : Mustard Tempest.

Selon les éléments présentés dans l’investigation, le mode opératoire de ce groupe consiste notamment à compromettre des sites légitimes afin d’infecter les visiteurs, puis à revendre les accès obtenus.

Le groupe Indrik Spider, également connu sous le nom d’Evil Corp, figure parmi les clients mentionnés. Ce groupe cybercriminel, décrit comme lié au FSB, fait l’objet de sanctions de la part des États-Unis, du Royaume-Uni et de l’Australie.

De l’investigation à la protection des organisations

L’intérêt de ce type d’investigation ne se limite pas à comprendre une attaque passée.

À l’issue de l’analyse, un signalement est transmis à l’hébergeur et les IOC (Indicateurs de compromission) identifiés sont intégrés dans MISP et OpenCTI, afin de pouvoir être exploités dans le cadre des activités de veille et de détection.

Ces informations peuvent ainsi être directement valorisées par les équipes SOC et contribuer à renforcer la capacité de détection face à des menaces similaires.

Cette investigation illustre l’importance du croisement des sources et des traces numériques : prises individuellement, certaines informations peuvent sembler anodines ; mises en relation, elles peuvent permettre de reconstituer une chaîne d’attaque et d’identifier les infrastructures utilisées par les cyberattaquants.

Les traces numériques ne mentent pas — encore faut-il savoir les lire.

À retenir

L’OSINT constitue un véritable outil d’investigation en cybersécurité. En complément des données issues des systèmes de sécurité, l’exploitation de sources ouvertes peut permettre de :

• identifier des infrastructures compromises ;
• établir des liens entre différents domaines et serveurs ;
• vérifier des informations présentées par un site ou une organisation ;
• recouper des indices techniques et contextuels ;
• contribuer à l’identification des modes opératoires d’un groupe d’attaquants ;
• enrichir les indicateurs de compromission utilisés par les équipes de cybersécurité.