Signed Binary Proxy Execution

Définition

La Signed Binary Proxy Execution est une technique d'évasion qui consiste à utiliser des fichiers binaires légitimement signés numériquement (par Microsoft, Apple, des éditeurs de logiciels) pour exécuter du code malveillant via proxy, contournant les contrôles basés sur la signature numérique et les listes blanches d'applications. Elle est documentée dans MITRE ATT&CK sous T1218. Le principe est d'exploiter des binaires signés qui acceptent en paramètre des fichiers ou des commandes et les exécutent. Ces binaires sont dans les listes blanches car leur signature numérique est valide, mais le code qu'ils exécutent (les fichiers passés en paramètre) peut être arbitraire. La signature du binaire proxy ne garantit pas la légitimité de ce qu'il exécute. Des exemples de binaires utilisés comme proxy d'exécution : mshta.exe (exécute des fichiers HTA - HTML Applications), regsvr32.exe (enregistre des DLL et exécute des scriptlets COM), rundll32.exe (exécute des fonctions exportées depuis des DLL), cscript.exe/wscript.exe (interpréteurs de scripts VBScript/JScript), powershell.exe (interpréteur PowerShell - partiellement contré par AMSI/CLM), odbcconf.exe (configure des sources de données ODBC, peut exécuter des DLLs), et mavinject.exe (injection de DLL dans des processus). Des sous-techniques plus avancées incluent l'utilisation de PubPrn.vbs (script signé Microsoft permettant l'exécution via Windows Script Host), Control Panel Items (.cpl files exécutés par control.exe), et des installers signés (msiexec.exe avec des MSI malveillants). La défense contre la Signed Binary Proxy Execution requiert une approche comportementale : surveiller les arguments inhabituels des binaires signés, les relations parent-enfant de processus anormales, et les connexions réseau depuis des processus qui ne devraient pas en établir (mshta.exe, regsvr32.exe avec des URL distantes).