Exfiltration ICMP

Définition

L'exfiltration via ICMP (Internet Control Message Protocol) est une technique d'exfiltration de données qui encode des informations dans les payloads des paquets ICMP Echo Request (ping), généralement autorisés sur de nombreux réseaux car ICMP est considéré comme un protocole de diagnostic réseau légitime. Des outils comme icmp-exfil et PingTunnel créent des tunnels de données bidirectionnels via ICMP. Le protocole ICMP Echo Request (type 8) et Echo Reply (type 0) incluent un champ payload optionnel dont la taille maximale dépend de la configuration réseau (typiquement 1472 octets dans un ping standard, mais potentiellement plus). L'attaquant encode les données à exfiltrer dans ce payload et les envoie vers un serveur contrôlé qui extrait et reconstitue les données. Des outils comme PingTunnel créent des tunnels TCP complets via ICMP : le trafic TCP (SSH, HTTP) est encapsulé dans des paquets ICMP, permettant de contourner des firewalls qui bloquent le TCP mais permettent ICMP. Cette technique est utilisée dans des environnements avec des restrictions réseau très strictes ou dans des réseaux industriels (OT) où seul le ICMP de monitoring est autorisé. L'exfiltration ICMP est plus lente que les canaux HTTP ou DNS (les paquets ICMP sont souvent rate-limités) mais reste effective pour des données de petite taille (credentials, clés de chiffrement, commandes C2). Elle est utilisée par des APT dans des environnements où d'autres canaux sont bloqués. Des IDS/IPS modernes analysent les payloads ICMP et détectent les patterns d'exfiltration (taille de payload anormale, fréquence élevée, entropie des données encodées). Des règles Suricata/Snort spécifiques détectent l'utilisation d'outils courants d'exfiltration ICMP.