Comment les attaquants obtiennent un accès initial à partir d'un journal

Les journaux d'infostealers dérobés fournissent aux attaquants tout ce dont ils ont besoin pour usurper l'identité d'utilisateurs réels sans avoir à se connecter, sans déclencher l'authentification multifacteur (MFA) ni générer d'alertes. Ces méthodes d'accès varient sur le plan technique, mais elles exploitent toutes une confiance existante :

• Détournement de session : les attaquants prennent le contrôle de sessions actives à l'aide de cookies volés, contournant ainsi l'authentification.

• Attaques par rejeu de jeton : les jetons volés sont réutilisés pour initier de nouvelles sessions via une API ou une injection de navigateur.

• Connexions par mot de passe : de nombreux journaux contiennent des identifiants pour des systèmes dépourvus de MFA ou disposant de connexions de secours.

Ce qu'il se passe après l'accès initial

Une fois à l'intérieur, les attaquants procèdent souvent ainsi :

• Abus de confiance pour l'escalade de privilèges : envoi de messages ou de requêtes internes pour tromper d'autres utilisateurs, réinitialiser des identifiants ou obtenir un accès plus approfondi.

• Déplacement latéral : utilisation d'intégrations internes ou de l'authentification unique (SSO) pour naviguer entre les systèmes.

Malgré l'utilisation de sessions ou d'identifiants valides par les attaquants, l'accès semble légitime et échappe souvent complètement à la détection. C'est pourquoi la surveillance des sessions volées avant leur utilisation s'avère plus importante que la tentative de capture de l'attaquant une fois qu'il s'est déjà introduit.

Passguard surveille les marchés criminels à la recherche de sessions liées à votre organisation, vous permettant ainsi de révoquer l'accès avant qu'un attaquant n'ait la possibilité de procéder à une escalade de privilèges ou à un déplacement latéral.