Programmes malveillants
Particuliers et entreprisesCheval de Troie d’accès à distance
Remote Access Trojan — RAT
Un logiciel donne à un intrus un contrôle distant sur la machine.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Une application apparemment anodine installe un composant qui attend les instructions d’un tiers. Celui-ci peut ensuite consulter des fichiers, lancer des actions ou observer l’écran selon les droits obtenus. Aucune fenêtre de téléassistance évidente n’est nécessaire.
Comment cela fonctionne
Un RAT est un cheval de Troie qui donne le contrôle à distance d’un appareil. Un outil d’assistance installé avec votre accord peut offrir des fonctions proches, mais son usage est autorisé. Avec un RAT, l’attaquant peut installer d’autres programmes ou préparer un accès pour revenir plus tard. Il faut donc rechercher ce qu’il a fait, en plus de supprimer le premier fichier trouvé.
- Un faux programme entre
Il cache une fonction de contrôle.
- Le poste reçoit des ordres
Le tiers agit avec les droits obtenus.
- D’autres accès peuvent être créés
L’investigation dépasse le premier fichier.
Les signes qui doivent attirer l’attention
- Une application inconnue reste active au démarrage.
- Des connexions ou commandes surviennent sans usage attendu.
- Des fichiers, comptes ou outils apparaissent après une installation suspecte.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
N’installez pas d’outil de prise en main à la demande d’un inconnu. Si un tiers contrôle le poste, interrompez l’accès et demandez une vérification avant d’y saisir de nouveaux mots de passe.
Si vous êtes responsable du service ou de l’organisation
Inventoriez les outils distants autorisés et leurs opérateurs. Vérifiez les accès permanents, les comptes créés et les tâches de démarrage après une prise de contrôle.
Le programme peut avoir créé d’autres accès. Supprimer le fichier visible ne garantit pas leur disparition.
À vous de décider
Vous fermez la fenêtre de téléassistance. L’accès distant est-il nécessairement supprimé ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Non. L’accès peut rester actif grâce à un service sans fenêtre et permettre une reconnexion sans votre présence. Faites retirer cet accès et vérifier ce qui a changé.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Un outil de prise en main est configuré pour revenir sans l’utilisateur
L’outil de téléassistance est signé, mais a été téléchargé depuis le navigateur. Il permet un accès sans présence de l’utilisateur. La session R17 est utilisée par un opérateur externe sans demande d’assistance associée. La signature aide à vérifier l’origine du logiciel ; l’autorisation de cette intervention reste à établir.
L’enquête doit retrouver l’installation, le compte qui l’a effectuée, les paramètres d’accès permanent et les sessions ouvertes. Un outil de prise en main légitime peut être détourné après un faux appel de support. À l’inverse, un cheval de Troie peut fournir des fonctions similaires sans interface visible. Les capacités réellement exercées comptent davantage que le nom du produit.
Le journal indique un transfert de fichier de 82 Ko. Vérifier le fichier, le sens du transfert et la destination avant d’en déduire une fuite. Arrêter la session visible ne suffit pas si un service reste installé ou si un compte a été créé. Contrôler aussi les secrets saisis pendant la prise en main et les accès obtenus sur d’autres services.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Enregistrement de l’agent
Agent du poste vers Relais du produit
Trace tenant et installation
- Action
Ouverture de session R17
Opérateur distant vers Relais du produit
Trace identité opérateur
- Action
Connexion sans surveillance
Relais du produit vers Agent du poste
Trace mode unattended
- Action
Accès aux applications
Agent du poste vers Applications métier
Trace contexte utilisateur
- Action
Transfert de fichier
Agent du poste vers Relais du produit
Trace audit du produit
- Réponse
Données reçues
Relais du produit vers Opérateur distant
Trace référence de transfert
- Action sur place
Retrait des persistances
Agent du poste
Trace service et tâches
Comment repérer cette attaque
Indices à rechercher
Rechercher les installations et connexions d’outils distants hors du parc autorisé ou d’une intervention prévue, les accès sans surveillance, les transferts et les créations de comptes.
Quelles informations comparer
Relier installation → première exécution → session distante → actions connues. Comparer l’identité du partenaire et l’horaire au prestataire réellement mandaté, par un canal indépendant.
Ce que ces indices ne permettent pas de conclure
Un outil d’assistance légitime peut être détourné. Un logiciel malveillant sur mesure peut ne garder aucun journal de session local : l’absence de Connections_incoming.txt n’exclut donc pas un accès distant.
Comment réagir
Interrompre la session, isoler si nécessaire et préserver les traces du produit. Retirer l’accès sans surveillance, les agents et persistances non approuvés ; réviser les secrets et données accessibles pendant la session. Corriger le circuit de support pour authentifier l’intervenant par une voie indépendante.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Vérifier qu’une ancienne invitation ou un identifiant d’agent ne permet plus de reconnexion.
- Contrôler services et tâches après redémarrage du poste.
- Tester une intervention légitime avec ticket, consentement et traçabilité de l’opérateur.
À vous de raisonner
L’outil est signé par un éditeur connu, mais l’accès permanent ne correspond à aucun ticket. Que faut-il vérifier avant de le considérer légitime ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Retrouvez qui a autorisé l’installation, l’identité de l’opérateur et les sessions réellement ouvertes. La signature ne vaut pas autorisation de l’intervention. Si l’usage est abusif, fermer la session visible ne suffit pas : vérifiez la persistance et le refus d’une reconnexion.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
unattended- Paramètre d’accès sans présence dans la reconstitution, à confirmer dans la configuration de l’outil concerné.
file_transfer- Action du cas qui exige une trace dédiée ; la seule existence d’une connexion ne la prouve pas.
Installation et actions de la session
JournalTraces normalisées synthétiques ; les noms commerciaux ne servent pas de verdict.
host=PC7 install app=remote_agent signed=true installer=browser_download
host=PC7 service_created=RemoteHelper start=automatic
remote_audit session=R17 operator=external-9 unattended=true
remote_audit session=R17 file_transfer=client_export.csv bytes=82000
ticketing session=R17 approved_ticket=nonePréparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
Windows — Microsoft Sysmon
- Où les trouver
- Observateur d’événements → Journaux des applications et des services → Microsoft → Windows → Sysmon → Operational, ou leur copie dans le collecteur central.
- Quoi relever
- Retrouver la création et l’exécution de l’agent, son parent, son empreinte et les connexions observées. Une signature valide identifie un éditeur, pas l’autorisation donnée pour cette installation.
- Accès et prérequis
- Sysmon doit avoir été installé et configuré avant les faits. L’événement réseau 3 est désactivé par défaut ; les filtres peuvent exclure des événements. L’événement 11 décrit une création de fichier, pas sa lecture.
TeamViewer — connexions entrantes
- Où les trouver
- Si cet outil est impliqué : Connections_incoming.txt dans le dossier TeamViewer. Le journal applicatif détaillé peut compléter les heures et partenaires des connexions réussies.
- Quoi relever
- Si l’outil est TeamViewer, rapprocher la session entrante et son partenaire des tickets d’assistance. Pour un autre agent, demander son journal équivalent et vérifier les réglages d’accès sans présence.
- Accès et prérequis
- Accès au poste ou export autorisé par son administrateur. Un autre outil possède son propre format. L’existence d’une connexion ne fournit pas l’enregistrement de l’écran ni toutes les actions effectuées.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- CampagneTA571 et ClearFake
La fausse réparation devient le déclencheur
De faux messages d’erreur demandent à la personne d’effectuer une prétendue réparation. Proofpoint observe la méthode chez TA571 dès mars 2024, puis chez ClearFake en avril. Elle sert à livrer des logiciels malveillants et des outils de prise en main à distance.
Ce qu’établit la source. Deux ensembles d’activité distincts observés par Proofpoint. Le rapprochement porte sur la technique ClickFix et ne signifie pas qu’ils forment le même groupe.
Consulter le rapport Clipboard to Compromise: PowerShell Script Self-PwnProofpoint · Publié le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Faites isoler le poste et évitez d’y saisir de nouveaux secrets.
- Préservez les traces nécessaires avant nettoyage ou reconstruction.
- Révoquez les accès exposés et contrôlez les autres systèmes atteignables.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- MITRE ATT&CK — Application Layer Protocol — attack.mitre.org
- MITRE ATT&CK — Scheduled Task/Job — attack.mitre.org
- MITRE ATT&CK — Remote Access Software — attack.mitre.org
- CISA — Remote Monitoring and Management · PDF sur ECRAN — CISA / NSA / MS-ISAC7 pages · anglais · édition : 25 janvier 2023 · Provenance et copie
