Backdoor

Définition

Une Backdoor, ou porte dérobée, est un mécanisme dissimulé permettant de contourner les contrôles d'authentification normaux d'un système afin d'y accéder ultérieurement sans être détecté. Elle peut être installée par un attaquant après une compromission initiale, pour garantir un accès persistant même si la vulnérabilité d'entrée initiale est corrigée, ou intégrée volontairement dans du code par un développeur malveillant, un fournisseur sous contrainte étatique, ou insérée via une attaque de la chaîne d'approvisionnement logicielle comme dans le cas SolarWinds où l'implant Sunburst avait été injecté directement dans le processus de build officiel. Techniquement, une backdoor peut prendre la forme d'un compte utilisateur caché avec des identifiants codés en dur, d'un webshell déposé sur un serveur compromis, d'un service en écoute sur un port non standard, ou d'une modification du firmware d'un équipement réseau. Des familles connues incluent les RAT (Remote Access Trojan) comme Cobalt Strike Beacon utilisé légitimement en red team mais largement détourné par des groupes malveillants. La détection repose sur l'analyse comportementale, l'audit des comptes et tâches planifiées, la surveillance des connexions sortantes anormales et l'intégrité des binaires via des sommes de contrôle. La différence avec une vulnérabilité classique tient à l'intentionnalité : la backdoor est conçue dès l'origine pour offrir un accès caché.