Attaques par point d'eau : quand des sites Web de confiance servent d'intrusion

L'attaque par point d'eau est une forme d'intrusion informatique particulièrement rusée qui consiste à compromettre des sites Web de confiance pour livrer des charges malveillantes à leurs visiteurs. Elle s'inspire des points d'eau du monde animal, où les prédateurs attendent patiemment leurs proies aux abords des sources partagées.

Une fois qu'un acteur malveillant a compromis un site de confiance, celui-ci devient une rampe de lancement pour livrer des charges malveillantes aux visiteurs qui ne se doutent de rien. Le concept d'attaque par point d'eau met en lumière une réalité troublante du paysage numérique actuel : même les territoires familiers abritent des menaces cachées.

Cet article plonge au cœur des attaques par point d'eau : leur fonctionnement, des exemples concrets révélateurs et des stratégies applicables pour les atténuer et éviter qu'elles ne touchent votre entreprise ou vos employés.

Qu'est-ce qu'une attaque par point d'eau ?

Une attaque par point d'eau est une cyberattaque ciblée au cours de laquelle l'attaquant détermine quels sites Web une organisation ou un groupe de personnes fréquente, puis tente de compromettre un ou plusieurs de ces sites afin d'exploiter leurs visiteurs. L'objectif consiste à livrer un maliciel aux personnes qui utilisent le site compromis, plutôt que de tenter de le transmettre directement par pièce jointe ou par d'autres méthodes. Ces attaques sont souvent efficaces parce qu'elles contournent les défenses de sécurité des cibles en frappant des victimes situées à l'extérieur de la cible ultime.

Le fonctionnement des attaques par point d'eau

La description qui précède n'effleure que la surface de ce qui se produit lors de tels incidents. Voici un découpage plus détaillé du déroulement d'une attaque par point d'eau :

1. Reconnaissance

D'abord, le ou les acteurs malveillants arrêtent leur choix sur une organisation ou un groupe de personnes à cibler. L'instigateur cherche ensuite à savoir quels sites Web la personne ou le groupe visé fréquente. L'analyse du trafic Web, voire l'infiltration de l'organisation pour déterminer quelles ressources internes ou externes les employés consultent couramment, sont deux stratégies utiles à cette étape.

1. Compromettre le site Web

Une fois les sites fréquentés par les cibles identifiés, l'étape suivante consiste à en compromettre un ou plusieurs. La méthode la plus courante consiste à trouver et à exploiter des vulnérabilités dans le code du site, dans son serveur ou dans d'autres composantes de son infrastructure. Une autre avenue possible : l'attaquant obtient les identifiants de connexion du site (par hameçonnage ou par enregistrement de frappe, par exemple).

1. Injection de code malveillant

Après avoir compromis le site choisi, l'attaquant injecte généralement du code malveillant dans son contenu. Cette étape tend un piège aux visiteurs qui croient interagir normalement avec le site.

Les pirates intègrent souvent des kits d'exploitation dans les pages Web afin de tirer parti des vulnérabilités présentes sur les systèmes des visiteurs. Lorsqu'un utilisateur consulte le site compromis, le kit d'exploitation exécute une série de tests pour déterminer quelles failles existent sur sa machine, puis livre une charge conçue sur mesure pour les exploiter. Des scripts et des cadres en ligne (iframes) malveillants peuvent s'exécuter automatiquement chaque fois qu'un visiteur charge une page précise du site.

1. Téléchargements furtifs

Les téléchargements furtifs (drive-by downloads) sont une technique prisée dans les attaques par point d'eau. Elle consiste à télécharger automatiquement un logiciel malveillant sur le système d'un utilisateur lorsqu'il visite une page Web donnée.

Ces téléchargements se produisent sans le consentement de l'utilisateur, et souvent à son insu. Outre ces infections dites silencieuses, le code malveillant peut déclencher des fenêtres contextuelles ou de fausses alertes invitant l'utilisateur à télécharger des mises à jour ou d'autres outils d'apparence légitime. En acceptant, celui-ci télécharge et installe un maliciel sans s'en rendre compte.

1. Exploitation

Après l'infection d'un système ou d'un groupe de systèmes, la véritable exploitation commence. Le maliciel communique avec le serveur de l'attaquant, ce qui permet à ce dernier de contrôler ou d'espionner la machine infectée à distance. L'attaquant peut voler des données sensibles : identifiants de connexion, renseignements financiers ou informations exclusives. Si la machine infectée fait partie d'un réseau plus vaste (comme le réseau interne d'une entreprise), l'attaquant peut tenter un déplacement latéral, exploiter d'autres systèmes et prendre de nouveaux points d'appui. Ces attaques permettent aussi aux pirates de constituer des réseaux d'ordinateurs zombies qu'ils contrôlent à distance au sein d'un réseau de zombies (botnet); ces réseaux servent fréquemment à inonder des sites ou des applications de volumes massifs de trafic dans le cadre d'une attaque par déni de service distribué..

Une attaque par point d'eau peut s'arrêter à la phase d'exploitation, ou donner lieu à d'autres tentatives visant à maintenir l'accès au système compromis pour des activités futures. L'installation de maliciels particuliers appelés portes dérobées permet à l'acteur malveillant de retrouver l'accès même si les outils de sécurité des terminaux détectent et suppriment le maliciel initial.

Exemples récents d'attaques par point d'eau

Pour mieux cerner la menace que représentent les attaques par point d'eau, voici quelques exemples récents et leurs conséquences.

• Une attaque par point d'eau perfectionnée menée en 2021 visait les visiteurs de divers sites Web hongkongais et exploitait des failles de type jour zéro sur des machines fonctionnant sous macOS.
• Le groupe de menace persistante avancée Earth Kitsune a compromis un site Web nord-coréen en 2023 et s'en est servi pour distribuer un maliciel à chaque visiteur qui tentait de regarder une vidéo hébergée sur le site.
• En 2022, des pirates iraniens ont visé des entreprises de transport maritime, de logistique et de services financiers en Israël en compromettant le site Web d'une société de transport israélienne légitime et en servant du code JavaScript malveillant à ses visiteurs.

Cas d'utilisation des attaques par point d'eau

Si les exemples concrets n'ont pas suffi à illustrer l'éventail des possibilités, voici trois cas de figure qui montrent d'autres façons dont les pirates peuvent exploiter cette cybermenace.

1. Exploiter des sites fréquentés par des fonctionnaires pour obtenir un accès

Un acteur étatique cherche à recueillir des renseignements auprès des organismes gouvernementaux d'un pays rival. Après une recherche préliminaire, il repère un portail interne très fréquenté que les fonctionnaires utilisent souvent pour télécharger des formulaires officiels et consulter les nouvelles internes. Ce portail devient sa cible principale. Il compromet le portail et y intègre du code malveillant. Lorsque les employés de l'organisme visitent le portail, leurs ordinateurs sont infectés, ce qui permet à l'attaquant de récolter des identifiants, de consulter des documents classifiés et de s'implanter plus profondément dans le réseau de l'organisme.

1. Cibler des sites consultés par des professionnels en quête d'information sectorielle

Les professionnels du secteur pétrolier et gazier consultent régulièrement le site Web d'une association pour se tenir au fait de la réglementation, des recherches sectorielles et des pratiques exemplaires. Un attaquant qui s'intéresse à ce secteur cherche à manipuler les prix du marché ou à s'approprier des techniques de forage exclusives.

L'acteur malveillant vise le site de cette association, le compromet à l'aide de techniques d'ingénierie sociale et y intègre un kit d'exploitation. Lorsque les professionnels du secteur consultent le site, ils téléchargent à leur insu un maliciel conçu pour repérer des données exclusives et les transmettre à l'attaquant. Cela peut provoquer d'importantes perturbations dans l'industrie ou conférer des avantages concurrentiels déloyaux.

1. Accéder aux sites de concurrents ou de partenaires pour recueillir des renseignements

L'entreprise A et l'entreprise B sont les principales rivales d'un marché hyperconcurrentiel. L'entreprise A veut prendre les devants et décide de se livrer à de l'espionnage industriel. Elle apprend que l'équipe de R-D de l'entreprise B collabore fréquemment au moyen d'une plateforme logicielle spécialisée accessible par un portail Web.

Un pirate malveillant embauché par l'entreprise A sur une place de marché du Web clandestin compromet ce portail et y insère un script malveillant. À mesure que les membres de l'équipe de R-D de l'entreprise B s'y connectent, leurs systèmes sont infectés, et les données de projets clés, les plans et les communications internes sont acheminés à l'entreprise A, qui en tire un avantage stratégique sur le marché.

Stratégies d'atténuation des attaques par point d'eau

Impossible de le nier : les attaques par point d'eau sont difficiles à contrer. Comme elles visent un intermédiaire plutôt que l'entreprise elle-même, il est délicat de mettre en place des défenses de sécurité précises.

Certaines mesures permettent néanmoins de les déjouer. La meilleure défense passe par la surveillance du trafic réseau vers les sites externes et les partenaires de confiance. Il est également utile de définir clairement des zones au sein de votre infrastructure réseau afin de compliquer les déplacements latéraux et de restreindre les systèmes qui ont accès à Internet.

Voici trois grandes stratégies d'atténuation à envisager sans hésiter :

1. Audits de sécurité réguliers

Qu'il s'agisse de tests d'intrusion, d'analyses de vulnérabilité ou de simulations de cyberattaques, des audits de sécurité réguliers permettent de corriger les faiblesses courantes qui rendent votre entreprise plus vulnérable aux attaques par point d'eau.

1. Formation des employés

Formez les employés à reconnaître les sites Web sécurisés et à se méfier des fenêtres contextuelles ou des redirections inattendues. Des employés bien informés constituent la première ligne de défense contre de nombreuses cybermenaces, y compris les attaques par point d'eau, qui exploitent la confiance qu'ils accordent à certains sites.

1. Utiliser des logiciels de sécurité

Diverses solutions logicielles vous aident à détecter, à prévenir et à contrer automatiquement les activités malveillantes propres aux attaques par point d'eau. Cela suppose de veiller à ce que tous les systèmes des employés soient dotés d'un antivirus et d'un antimaliciel à jour capables de détecter et de supprimer les fichiers malveillants, de surveiller le trafic réseau et de sécuriser les terminaux — postes de travail, appareils mobiles et serveurs — au moyen d'outils centralisés.

1. Segmenter le réseau

En divisant le réseau interne en zones distinctes, vous faites en sorte que la compromission d'une portion du réseau n'ouvre pas la porte à des déplacements latéraux faciles vers les autres. Cette segmentation limite les dommages potentiels d'une attaque par point d'eau et peut empêcher les systèmes les plus critiques d'accéder directement aux sites compromis, en restreignant leur accès à Internet.

Les répercussions concrètes des attaques par point d'eau

Lorsqu'une attaque par point d'eau survient, il est souvent difficile pour les équipes de sécurité ou les forces de l'ordre d'en identifier la source et les auteurs. Cette difficulté à remonter à l'origine des incidents s'explique par des facteurs comme :

• Les attaquants aguerris emploient des techniques avancées pour masquer leur identité et leurs activités. Le passage par plusieurs serveurs mandataires, le recours à Tor ou l'exploitation de réseaux de zombies compliquent la recherche de l'origine des activités.
• Les attaques par point d'eau peuvent exploiter des vulnérabilités de type jour zéro (des failles encore inconnues de l'éditeur du logiciel et du public). Comme il n'existe ni correctif ni méthode de détection pour ces failles, l'attaque peut passer inaperçue pendant une longue période.
• Les attaquants les plus habiles laissent parfois volontairement des « preuves » qui pointent vers une autre entité, afin d'égarer les enquêteurs.

Au-delà des conséquences directes sur les systèmes des utilisateurs finaux, voici des répercussions plus larges à considérer.

Perte de confiance—Les professionnels peuvent perdre confiance envers un site Web sectoriel ou des sites semblables, ce qui nuit à la communication et à la collaboration dans l'industrie.

Répercussions économiques—Une attaque réussie peut mener au vol d'informations exclusives et aux pertes financières qui en découlent, liées à un avantage concurrentiel faussé ou à des fluctuations du cours de l'action.

Perturbation des opérations—Lorsque l'attaque par point d'eau mène à une infiltration plus profonde du réseau, les activités de l'entreprise touchée peuvent subir des perturbations importantes.

Coût de la remédiation—Détecter une attaque par point d'eau, y remédier et s'en remettre coûte généralement cher. Les entreprises touchées doivent corriger les vulnérabilités, supprimer les logiciels malveillants, parfois mettre à niveau ou remplacer du matériel compromis, et souvent améliorer l'ensemble de leur infrastructure de sécurité.

Atteinte à la réputation—La nouvelle d'une attaque, surtout lorsqu'elle touche des données sensibles, peut gravement nuire à la réputation de l'organisation visée ou du secteur tout entier.

Conséquences juridiques et réglementaires—Selon la nature des données compromises et la juridiction, l'organisation touchée peut faire face à des conséquences juridiques et réglementaires, notamment des amendes ou des sanctions.

Mécanismes de prévention et de défense

Vous avez déjà un aperçu des grandes stratégies qui aident à atténuer ces attaques; voici maintenant quelques précisions sur les mécanismes de prévention et de défense les plus utiles.

Pare-feu d'applications Web (WAF)

Un pare-feu d'applications Web (WAF) est un système de sécurité spécialisé qui filtre, surveille et bloque le trafic entre les sites ou les applications Web et Internet. Comme les WAF sont conçus pour les applications Web, ils offrent une inspection plus fine que les pare-feu traditionnels. Ils repèrent dans le trafic Web des charges malveillantes qui échapperaient à d'autres mesures de sécurité. Enfin, les WAF protègent les sites présentant des vulnérabilités connues non corrigées en bloquant les tentatives d'exploitation de ces failles.

Garder les logiciels à jour

On ne saurait minimiser l'incidence considérable d'une gestion efficace des correctifs sur la prévention des attaques par point d'eau et la défense contre celles-ci. Les propriétaires de sites populaires qui ne veulent pas voir leur plateforme servir de rampe de lancement à ce type d'attaque doivent rester à jour dans leur gestion des correctifs, afin que les cybercriminels ne puissent pas exploiter des vulnérabilités courantes pour compromettre leur propriété Web. De leur côté, les postes des employés sont moins vulnérables aux kits d'exploitation malveillants si les logiciels et le système d'exploitation reçoivent les plus récents correctifs de sécurité.

Plans d'intervention en cas d'incident

Un plan d'intervention en cas d'incident (PII) est une démarche bien définie qui précise les processus à suivre lorsqu'un incident de cybersécurité, comme une attaque par point d'eau, se produit. Autrement dit, il aide votre entreprise à gérer une telle attaque de manière à limiter les dommages tout en réduisant le temps et les coûts de rétablissement. Le PII garantit la présence d'outils de surveillance robustes capables de détecter les activités inhabituelles sur votre réseau. Si un attaquant compromet un site Web et tente d'y insérer du code ou des outils malveillants pour piéger les visiteurs, ces outils de surveillance peuvent alerter les équipes de sécurité, qui interviennent rapidement.

Une fois l'attaque par point d'eau détectée, le PII énonce les mesures immédiates à prendre pour contenir la menace. Il peut s'agir de bloquer temporairement l'accès au site compromis dans l'ensemble de votre environnement informatique ou d'isoler du reste du réseau les systèmes des utilisateurs touchés.

Conclusion

Les attaques par point d'eau comptent parmi les cybermenaces les plus insidieuses et les plus rusées : les adversaires y exploitent avec habileté des espaces numériques de confiance pour piéger des victimes qui ne se doutent de rien. Il est essentiel que les organisations comme les particuliers adoptent une posture proactive pour contrer cette menace.

Au-delà des stratégies et des mécanismes de défense présentés ici, songez aussi à la valeur d'une authentification renforcée. Les propriétaires et les administrateurs de sites Web peuvent protéger leurs comptes et éviter que leurs sites servent à de telles attaques en utilisant l'authentification multifacteur pour les connexions. Ce geste tout simple protège du même coup les visiteurs qui ne se doutent de rien.

Chez KZero Passwordless, nous concevons des solutions d'authentification et de confiance de nouvelle génération dans cette optique précise. Avec notre solution phare, Multi-Pass, nous remplaçons les mots de passe par une authentification multifacteur sans mot de passe, résistante à l'hameçonnage et de calibre entreprise, afin que les organisations critiques gardent une longueur d'avance sur leurs attaquants.

Réservez une démonstration dès aujourd'hui pour en savoir plus sur Multi-Pass et sur la façon dont KZero Passwordless peut aider votre organisation à intégrer la confiance dans l'ensemble de ses opérations.

Ronan Mahony



Ronan Mahony est un rédacteur chevronné spécialisé en cybersécurité. Doué pour vulgariser des sujets complexes dans des billets de blogue et des articles captivants et instructifs, il s'emploie à rendre la cybersécurité accessible à un plus large public.