Persistence Techniques

Définition

Les techniques de persistance permettent à un attaquant de maintenir l'accès à un système compromis après un redémarrage, une déconnexion de session, ou d'autres interruptions. La persistance est une phase clé de la kill chain d'intrusion (T1547-T1556 dans MITRE ATT&CK) visant à éviter la perte d'accès et à garantir la continuité de l'opération offensive. Les mécanismes de persistance Windows les plus courants incluent : les clés de registre Run/RunOnce (HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run — exécutent un programme à chaque connexion utilisateur), les tâches planifiées (schtasks, Task Scheduler — exécutent des actions périodiquement ou à des événements système), les services Windows (créer un service qui s'exécute au démarrage du système), les DLL Hijacking (placer une DLL malveillante dans un répertoire recherché avant les DLL légitimes), et les BITS Jobs (Background Intelligent Transfer Service — peut s'exécuter comme persistence fileless). Des techniques plus avancées et furtives incluent : WMI Subscriptions (créer des abonnements WMI qui s'exécutent en réponse à des événements système — très difficile à détecter et survivent à de nombreux scans de sécurité), COM Object Hijacking (enregistrer un objet COM dans HKCU qui override une entrée HKLM pour un objet COM légitime utilisé par des applications), DLL Side-Loading (placer une DLL malveillante à côté d'un binaire légitime qui la charge par son nom sans path complet), et Bootkit/Rootkit (persistance au niveau boot, au-dessous du système d'exploitation). Sur Linux, les mécanismes de persistance incluent : les cronjobs (cron, at), les scripts init.d/systemd, les ~/.bashrc et ~/.profile modifications, les modules kernel (rootkits), les authorized_keys SSH, et les SUID binaries.