Persistence Mechanisms

Définition

Les mécanismes de persistance désignent l'ensemble des techniques utilisées par un attaquant pour maintenir un accès à un système compromis au-delà des redémarrages, des changements de credentials, ou des tentatives de nettoyage. Établir la persistance est une priorité après la compromission initiale pour éviter de perdre l'accès et assurer la continuité des opérations. Le référentiel MITRE ATT&CK répertorie des dizaines de techniques de persistance organisées par plateforme. Sur Windows, les mécanismes les plus courants incluent : les Run Keys du registre (HKCU/HKLM\Software\Microsoft\Windows\CurrentVersion\Run), les services Windows (sc create), les tâches planifiées (schtasks), les scripts de démarrage et d'ouverture de session via les GPO, les clés Winlogon (UserInit, Shell), les Browser Helper Objects (BHO), les COM object hijacking, le DLL side-loading dans des applications de démarrage, et les abonnements WMI Event Subscription. Sur Linux/Unix, les mécanismes incluent : les crontabs (utilisateur et système), les fichiers rc et profil de shell (~/.bashrc, ~/.profile, /etc/rc.local, /etc/profile.d/), les unités systemd malveillantes, les modules de noyau chargés automatiquement (rootkits kernel), les bibliothèques LD_PRELOAD, les at jobs, et les modifications de /etc/sudoers ou des fichiers authorized_keys SSH. Les techniques de persistance avancées visent à survivre à des contre-mesures plus agressives : la persistance firmware/UEFI (bootkits, Implants UEFI comme LoJax ou MosaicRegressor) résiste à la réinstallation complète du système d'exploitation ; les rootkits noyau (DKOM - Direct Kernel Object Manipulation) cachent les processus et connexions dans les outils de surveillance standard ; les implants BIOS/EC persistent même au flashage de l'UEFI. La détection des mécanismes de persistance repose sur des outils comme Autoruns (Sysinternals) sur Windows qui inventorie l'intégralité des points de démarrage, et sur des SIEM capables de corréler la création de nouvelles entrées dans les emplacements de persistance connus.