Persistance via tâche planifiée

Définition

La persistance via tâche planifiée désigne une technique de maintien d'accès consistant à créer ou modifier une tâche automatisée exécutée à intervalles réguliers ou à des déclencheurs spécifiques par le planificateur de tâches d'un système d'exploitation, Task Scheduler sous Windows ou cron sous Linux, pour relancer automatiquement un implant ou une charge malveillante même après un redémarrage du système ou la fermeture d'une session initiale, garantissant ainsi à l'attaquant un accès renouvelé sans nécessiter une nouvelle exploitation. Cette technique est répertoriée sous l'identifiant T1053 du référentiel MITRE ATT&CK et reste l'une des méthodes de persistance les plus utilisées en raison de sa simplicité de mise en œuvre et de sa capacité à se fondre dans le grand nombre de tâches planifiées légitimes existant nativement sur un système d'exploitation moderne. Une tâche malveillante peut être configurée pour s'exécuter avec des privilèges élevés si le compte utilisé pour sa création en dispose, et peut être déclenchée par des événements variés au-delà d'un simple horaire fixe, comme l'ouverture de session d'un utilisateur ou la connexion réseau. Pour les équipes défensives, la détection repose sur la surveillance des événements de création et de modification de tâches planifiées, en particulier l'identifiant d'événement Windows 4698, couplée à une analyse comportementale des tâches nouvellement créées exécutant des commandes ou des scripts inhabituels par rapport à la ligne de base de l'environnement surveillé.