Rapport 2023 d'Elastic sur les menaces mondiales : principales recommandations et prévisions en matière de cybersécurité

Les utilisateurs malveillants se reposeront de plus en plus sur les communautés open source pour les implants, les outils et les infrastructures.

Les cybercriminels utilisent davantage les outils open source et commerciaux afin de compromettre les systèmes sur différentes plateformes. Les groupes de menaces exploitent souvent des outils, comme Metasploit, Cobalt Strike et le framework Sliver, afin de cibler les appareils Windows, Linux et macOS. Les campagnes de ransomwares et de malwares en tant que service qui utilisent ces outils pour lancer des attaques constituent une tendance croissante. Les utilisateurs malveillants peuvent avoir recours aux outils open source pour réduire leurs frais de fonctionnement.

L'exposition des identifiants du cloud deviendra une source principale des incidents exposant des données.

Souvent, les utilisateurs malveillants utilisent des techniques d'accès aux identifiants afin de pénétrer des systèmes ou d'obtenir des données. L'expression "accès aux identifiants" est vaste et comprend les mots de passe, les tokens, mais aussi d'autres méthodes d'authentification. Selon nos observations, environ 7 % de l'ensemble des signaux relatifs aux comportements des points de terminaison concernaient cette tactique et 79 % d'entre eux impliquaient la récupération d'identifiants à partir du système d'exploitation grâce à des fonctionnalités ou à des outils intégrés.

Pour les prestataires de services cloud, l'accès aux identifiants représentait environ 45 % de l'ensemble des signaux de détection. Pour AWS, ces signaux impliquaient principalement des tentatives inhabituelles d'accès à des secrets à partir de Secrets Manager, des variables d'environnements provenant d'hôtes EC2 locaux et des fichiers d'identifiants. En outre, les identifiants peuvent faire l'objet de fuites via les référentiels de code, comme GitHub, si le code n'est pas correctement révisé ou nettoyé.

L'évasion par la défense va rester l'investissement principal, tandis que la falsification va supplanter le masquage.

Comme le suggère la forte prévalence des techniques d'évasion par la défense, les utilisateurs malveillants savent très bien que des outils de monitoring et des solutions de sécurité sont mis en œuvre. Par conséquent, ils développent des stratégies pour le contourner. Cette situation indique clairement que les utilisateurs malveillants s'adaptent aux environnements hostiles, mais aussi qu'ils investissent du temps et des ressources pour s'assurer que leurs activités malveillantes ne soient pas détectées.