SQLi et persistance : comment les PME détectent les intrusions avancées

SQLi et persistance : comment les PME détectent les intrusions avancées

Huntress a récemment documenté une attaque où des acteurs malveillants ont exploité une faille d’injection SQL pour s’infiltrer dans un environnement, puis ont modifié le système pour s’y maintenir. Pour les PME, ces tactiques post-compromission sont souvent plus difficiles à détecter que l’accès initial. Voici comment les identifier et y répondre.

L’injection SQL : une porte d’entrée discrète

Les attaques par injection SQL (SQLi) exploitent des vulnérabilités dans les applications web mal sécurisées, permettant aux attaquants d’exécuter des commandes arbitraires sur une base de données. Dans ce cas, l’accès initial a été obtenu via une page web vulnérable, puis utilisé pour télécharger des scripts PowerShell encodés en base64. Cette méthode contourne les protections classiques et permet d’installer des outils malveillants sans éveiller les soupçons.

Techniques MITRE ATT&CK concernées :

• T1190 (Exploit Public-Facing Application) : Exploitation d’une application exposée pour obtenir un accès initial.
• T1059.001 (Command and Scripting Interpreter: PowerShell) : Utilisation de PowerShell pour exécuter des commandes malveillantes.
• T1105 (Ingress Tool Transfer) : Téléchargement de scripts ou d’outils depuis un serveur externe.

Pour les PME, ces techniques sont particulièrement dangereuses car elles ciblent des failles courantes (applications web non mises à jour) et utilisent des outils légitimes (PowerShell) pour échapper aux détections.

Persistance : l’ennemi invisible

Une fois l’accès initial obtenu, les attaquants ont modifié l’environnement pour s’y maintenir. Parmi les actions observées :

• Création de comptes utilisateurs cachés (ex. : activation du compte Guest).
• Installation de modules IIS malveillants (BadIIS).
• Exécution de commandes de reconnaissance (ex. : tasklist /svc pour lister les processus).

Techniques MITRE ATT&CK concernées :

• T1078 (Valid Accounts) : Utilisation de comptes légitimes ou créés pour la persistance.
• T1505.003 (Server Software Component: Web Shell) : Installation de modules malveillants dans un serveur web.
• T1057 (Process Discovery) : Reconnaissance des processus en cours pour identifier des cibles.

Ces actions permettent aux attaquants de rester actifs même après une réinitialisation du système ou une mise à jour de sécurité. Pour les PME, la détection de ces comportements nécessite une surveillance continue des logs et des modifications système inhabituelles.

Détection et réponse : les bonnes pratiques pour les PME

1. Surveiller les logs SQL et IIS : Les requêtes SQL suspectes (ex. : commandes système via xp_cmdshell) ou les modifications de configuration IIS doivent déclencher des alertes.

2. Limiter les privilèges : Désactiver les comptes inutiles (comme Guest) et restreindre les droits d’administration pour réduire les risques de persistance.

3. Analyser les commandes PowerShell : Les scripts encodés en base64 ou les appels à des serveurs externes sont des indicateurs clés. Utiliser des outils de journalisation avancée pour les détecter.

4. Vérifier les processus et services : Les commandes comme tasklist /svc ou sc query peuvent révéler des activités de reconnaissance. Une surveillance automatisée des processus anormaux est essentielle.

Couverture ThreatClaw : Nos solutions détectent les techniques suivantes pour aider les PME à identifier ces attaques :

• T1190 (Exploit Public-Facing Application) : Surveillance des applications exposées et des tentatives d’exploitation.
• T1059.001 (PowerShell malveillant) : Analyse des commandes PowerShell suspectes.
• T1078 (Valid Accounts) : Détection des comptes créés ou modifiés de manière anormale.
• T1505.003 (Web Shell) : Surveillance des modifications dans les serveurs web.

Conclusion

Les attaques par injection SQL ne se limitent pas à l’accès initial : elles ouvrent la voie à des tactiques de persistance sophistiquées. Pour les PME, la clé réside dans une surveillance proactive des logs, une limitation des privilèges et une détection précoce des comportements anormaux. En combinant ces mesures avec des outils adaptés, il est possible de réduire significativement les risques.

Protégez votre entreprise dès aujourd’hui : Découvrez comment ThreatClaw peut vous aider à détecter et répondre à ces menaces avancées.