ATT&CK ICS - Execution (Exécution ICS)

Définition

La tactique "Execution" (TA0104) du framework MITRE ATT&CK for ICS regroupe les techniques permettant à un adversaire d'exécuter du code malveillant ou des commandes non autorisées dans les environnements de systèmes de contrôle industriel, après avoir obtenu un accès initial. L'Execution ICS est distincte de l'Execution IT car elle inclut des techniques spécifiques aux environnements industriels : exécution de logique de contrôle dans les automates PLC, envoi de commandes via des protocoles industriels, et exploitation de mécanismes d'automatisation légitimes des systèmes SCADA. Les techniques d'Execution ICS documentées dans ATT&CK for ICS incluent : Change Operating Mode (T0858) - modification du mode opératoire d'un équipement (passage en mode manuel/remote/local) pour prendre le contrôle direct, Command-Line Interface (T0807) - utilisation de l'interface en ligne de commande disponible sur certains équipements OT (RTU, HMI sous Linux/Windows) pour exécuter des commandes, Execution via API (T0871) - utilisation des APIs programmatiques des systèmes SCADA (WinCC OA Script API, Ignition Python scripting, OSIsoft PI APIs) pour exécuter du code, Graphical User Interface (T0823) - utilisation des interfaces graphiques HMI ou SCADA pour envoyer des commandes (un opérateur compromis ou un attaquant avec accès à l'interface graphique), Hooking (T0874) - interception de fonctions API pour rediriger les appels légitimes vers du code malveillant (comme Stuxnet interceptait les DLL Step7), Modify Controller Tasking (T0821) - modification du scheduling d'exécution du contrôleur, Native API (T0834) - exploitation des APIs natives des équipements industriels (API SNMP, protocoles de management propriétaires), Program Download (T0843) - téléchargement d'un programme malveillant dans un PLC via les protocoles de programmation, Scripting (T0853) - utilisation de scripts dans les environnements SCADA (VBScript dans WinCC, Python dans Ignition), et User Execution (T0863) - incitation d'un utilisateur légitime à exécuter une action malveillante. Les techniques d'Execution ICS les plus dangereuses (Program Download, Modification via API) nécessitent un accès aux interfaces d'ingénierie des équipements OT, ce qui souligne l'importance de protéger ces interfaces d'accès (Engineering Workstations, consoles d'administration SCADA) avec des contrôles d'accès stricts.