L'enregistrement de frappe : surveillance et protection des données sensibles

L'enregistrement de frappe est une forme de surveillance et de vol de données. Il vise à 1) espionner les utilisateurs au moment où ils saisissent leurs identifiants de connexion et 2) dérober ces identifiants. Une fois les identifiants obtenus, l'enregistreur de frappe, l'outil employé pour cette activité malveillante, les transmet au système de l'acteur malveillant. Ce système prend habituellement la forme d'un serveur de commande et de contrôle (C2) distant.

Les attaques par enregistrement de frappe, qui compromettent au bout du compte les identifiants de connexion, représentent un grave danger pour les utilisateurs finaux comme pour des organisations entières. Lorsqu'un acteur malveillant réussit à voler les identifiants de connexion d'un utilisateur, il peut poser divers gestes au nom de celui-ci. Par exemple, si ces identifiants donnent accès à un compte bancaire personnel, il peut dérober les fonds de la victime.

Pire encore, si ces identifiants appartiennent à un compte à privilèges, comme celui d'un administrateur système principal ou d'un chef des finances, c'est votre organisation qui pourrait être mise en péril. L'acteur malveillant peut alors poser des gestes aux conséquences encore plus lourdes pour l'entreprise, comme installer une porte dérobée dans votre réseau ou siphonner les fonds de l'entreprise.

Dans le 2023 Data Breach Investigations Report, les « identifiants volés » sont désignés comme la principale voie empruntée par les attaquants pour s'introduire dans une organisation.

Source : Verizon 2023 Data Breach Investigations Report

Dans cet article, nous vous présenterons diverses notions liées à l'enregistrement de frappe. Nous aborderons les principales méthodes d'attaque, les façons de détecter et de prévenir les enregistreurs de frappe, la place de l'enregistrement de frappe dans la cybersécurité moderne, et plus encore.

Qu'est-ce que l'enregistrement de frappe ?

L'enregistrement de frappe n'est pas, en soi, une activité malveillante. Dans sa forme la plus pure, il s'agit simplement d'une façon d'enregistrer les saisies au clavier de manière discrète. Malheureusement, il a été largement détourné par les cybercriminels et s'est ainsi forgé une mauvaise réputation. Nous parlerons plus loin dans cet article des usages non malveillants de l'enregistrement de frappe, mais l'essentiel de notre propos portera sur le côté sombre de cette activité clandestine. Les enregistreurs de frappe se répartissent en deux catégories : ceux conçus sous forme logicielle et ceux conçus sous forme matérielle. Des deux, les enregistreurs logiciels sont les plus répandus, car ils sont plus faciles à créer et à déployer. Nous n'avons pas de statistiques précises comparant la prévalence des deux catégories, mais si vous cherchez « keyloggers », vous tomberez surtout sur des articles traitant d'enregistreurs logiciels. Dans cet article, nous nous concentrerons davantage sur les enregistreurs de frappe de type logiciel. Les acteurs malveillants qui propagent des enregistreurs de frappe ont un objectif immédiat : voler des identifiants de connexion. Le choix de leurs cibles dépend habituellement de ce qu'ils veulent accomplir et du degré de difficulté qu'ils sont prêts à affronter. Si leur motivation est le gain financier mais qu'ils préfèrent un niveau de difficulté moindre, ils s'en prendront aux utilisateurs finaux. En revanche, si leur motivation est un gain financier plus important (des millions de dollars plutôt que quelques centaines), l'accès à une vaste base de données de renseignements personnels ou l'accès à un serveur essentiel à la mission, ils viseront des comptes d'utilisateurs à privilèges. Le degré de difficulté sera probablement plus élevé, mais le rendement justifiera l'effort supplémentaire.

Les méthodes d'attaque par enregistrement de frappe

Les acteurs malveillants mènent des attaques par enregistrement de frappe de multiples façons. Ils peuvent injecter l'enregistreur en mémoire, infecter un navigateur, recourir à la capture de formulaires, et ainsi de suite. Dans cette section, nous aborderons trois méthodes d'attaque couramment utilisées. Comprendre comment les exploitants d'enregistreurs de frappe mènent leurs attaques peut vous aider à concevoir les bonnes défenses contre ces menaces.

Les enregistreurs de frappe à injection en mémoire

Cette méthode consiste à injecter du code malveillant dans des processus légitimes actifs au moyen de techniques comme l'accrochage en ligne (inline hooking), l'injection de DLL et le creusement de processus (process hollowing). Une fois en mémoire, les enregistreurs à injection commencent à consigner les frappes au clavier. Comme ce type d'enregistreur ne réside qu'en mémoire et est essentiellement sans fichier, il peut échapper aux antivirus traditionnels qui analysent votre système de fichiers à la recherche de fichiers malveillants.

Les enregistreurs de frappe de type « intercepteur dans le navigateur »

Les enregistreurs de type intercepteur dans le navigateur (man-in-the-browser, ou MitB) sont des extensions de navigateur malveillantes qui dérobent les identifiants de connexion. Ils parviennent à infecter votre navigateur lorsque vous téléchargez involontairement un cheval de Troie après avoir cliqué sur un lien dans un courriel d'hameçonnage ou sur un site Web compromis. Les enregistreurs MitB ne touchent que les navigateurs Web. Cependant, comme la plupart de nos activités se déroulent en ligne, les MitB constituent une menace sérieuse.

Les enregistreurs de frappe par capture de formulaires

Cette technique d'enregistrement capte les identifiants des utilisateurs une fois qu'ils ont été saisis dans des formulaires Web, mais avant qu'ils soient transmis au serveur Web. Comme la capture de formulaires ne dépend pas des frappes au clavier, elle est insensible aux solutions d'atténuation comme le remplissage automatique des gestionnaires de mots de passe et les claviers virtuels. Voyez notre discussion sur ces solutions plus loin dans l'article pour plus de contexte.

Certains types de maliciels sophistiqués combinent plusieurs techniques d'enregistrement de frappe. Par exemple, Zeus (voir le tableau ci-dessous) recourt à la fois à l'injection en mémoire et à la capture de formulaires.

Détecter et prévenir les attaques par enregistrement de frappe

Dès qu'un enregistreur de frappe a exfiltré des données vers un réseau ou un hôte contrôlé par un acteur malveillant, vos systèmes et vos comptes d'utilisateurs sont immédiatement exposés à un risque d'accès non autorisé. Il est donc impératif de mettre en place des mesures pour détecter ces attaques ou, mieux encore, les prévenir. Voici quelques conseils qui peuvent vous y aider.

Mesures pour détecter ou atténuer les attaques par enregistrement de frappe

Logiciels antivirus ou antimaliciels – Les enregistreurs de frappe logiciels sont toujours considérés comme des maliciels. Ils peuvent donc être détectés et supprimés par des outils antivirus ou antimaliciels performants. Si les techniques employées par certains enregistreurs — par exemple l'injection en mémoire — peuvent échapper aux antivirus traditionnels fondés sur les signatures, des techniques de détection plus évoluées comme l'analyse comportementale peuvent s'avérer efficaces contre ces menaces.

Pare-feu évolués et systèmes de détection et de prévention des intrusions (IDPS) – La plupart des enregistreurs de frappe, même ceux à injection en mémoire, doivent établir des connexions sortantes pour exfiltrer les données volées. Ces actions peuvent être repérées par des pare-feu évolués et des IDPS qui surveillent le trafic sortant. Bien entendu, ces solutions de sécurité ne sont efficaces que si elles parviennent à reconnaître les connexions vers des réseaux ou des hôtes malveillants. Une fois une connexion malveillante détectée, elles peuvent la bloquer et empêcher ainsi l'enregistreur de transmettre les données dérobées.

Gestionnaires de mots de passe – Les gestionnaires de mots de passe offrent généralement des fonctions de remplissage automatique qui suppriment la nécessité de saisir manuellement les noms d'utilisateur et les mots de passe dans les interfaces de connexion. Cela empêche les enregistreurs de frappe de capter quoi que ce soit lors de la connexion, puisqu'aucune frappe au clavier n'est en cause.

Claviers virtuels – Les claviers virtuels sont des outils logiciels qui imitent les claviers physiques. On interagit habituellement avec eux par des touchers sur écran tactile ou des clics de souris. Comme ces touchers et ces clics ne sont pas des frappes au clavier, les enregistreurs élémentaires ne peuvent pas consigner ces actions. Ils ne sont toutefois pas à l'abri des enregistreurs évolués qui captent des captures d'écran ou des enregistrements vidéo.

Authentification à deux facteurs (2FA)– Même si la 2FA n'empêche pas une attaque par enregistrement de frappe, elle peut bloquer l'accès non autorisé. La 2FA rendra difficile pour un acteur malveillant l'exploitation d'identifiants volés obtenus au moyen d'une telle attaque.

Mesures pour prévenir les attaques par enregistrement de frappe

Comme le dit l'adage, mieux vaut prévenir que guérir. Voici quelques mesures pour prévenir les attaques par enregistrement de frappe.

Application des correctifs – Les acteurs malveillants exploitent parfois des vulnérabilités de vos applications ou de vos systèmes d'exploitation pour installer un maliciel d'enregistrement de frappe. Une façon de prévenir ce type d'infection consiste donc à appliquer régulièrement les correctifs logiciels.

Formation et sensibilisation à la sécurité – Les maliciels d'enregistrement de frappe, comme à peu près tous les types de maliciels d'ailleurs, parviennent généralement à infecter les systèmes en raison de mauvaises pratiques de sécurité des utilisateurs finaux. Vous pouvez prévenir les infections en enseignant aux utilisateurs les dangers de cliquer sur des liens malveillants et la façon de reconnaître, par exemple, une pièce jointe potentiellement malveillante.

Les cas d'utilisation de l'enregistrement de frappe

Comme nous l'avons mentionné plus tôt, l'enregistrement de frappe n'est pas en soi une activité malveillante. Dans cette section, nous passerons en revue certains de ses usages légitimes. Cela vous donnera une autre perspective sur la question. Si ces cas d'utilisation peuvent sembler trop intrusifs pour la vie privée aux yeux de certains, ils sont tout à fait acceptables pour d'autres.

Surveillance des employés et évaluation de la productivité

Les outils de surveillance des employés et d'évaluation de la productivité comme Teramind et Veriato comportent des fonctions d'enregistrement des frappes des utilisateurs finaux. Ces outils sont habituellement installés sur les appareils appartenant à l'entreprise et servent à évaluer la productivité du personnel et à produire des données analytiques pertinentes sur les utilisateurs.

Contrôle parental et protection des enfants en ligne

Les outils de contrôle parental dotés d'un enregistreur de frappe, comme Aispyer et SentryPC, permettent aux parents de savoir ce que leurs enfants tapent sur leurs appareils. Ils sauront, par exemple, si ceux-ci visitent un site pour adultes, communiquent avec un inconnu ou sont mêlés à de la cyberintimidation.

Application de la loi et enquêtes judiciaires

Les enregistreurs de frappe ont aussi servi à des fins d'application de la loi et d'enquêtes judiciaires. En 1999, le FBI a déployé un enregistreur de frappe caché pour capter un mot de passe de déchiffrement appartenant à Nicodemo Scarfo, un mafieux notoire de l'époque. Puis, en 2007, le FBI a déployé un logiciel semblable pour coincer l'auteur insaisissable d'une alerte à la bombe.

Exemples récents d'attaques par enregistrement de frappe

Même ces dernières années, l'enregistrement de frappe n'a pas cessé de faire les manchettes pour des activités malveillantes. Les exemples suivants illustrent l'importance de redoubler d'efforts pour contrer cette menace persistante.

Plus tôt cette année, 750 victimes à Singapour ont perdu au total 10 M$ dans une escroquerie qui les a incitées à installer une application Android malveillante. Cette application se servait d'une fonction d'enregistrement de frappe pour dérober les identifiants de connexion aux comptes bancaires en ligne des victimes.

Le 4 septembre dernier, un maliciel hautement évasif doté d'une fonction d'enregistrement de frappe a été diffusé dans des forums clandestins. Connu sous le nom de BunnyLoader, ce maliciel sans fichier est conçu pour déjouer les tactiques de bac à sable des antivirus et fonctionner à partir de la mémoire de l'appareil de la victime.

L'enregistrement de frappe dans le contexte de la cybersécurité moderne

L'enregistrement de frappe est employé dans différents types de cyberattaques poursuivant des objectifs variés. Certains acteurs malveillants y recourent pour le vol de données et l'espionnage. D'autres s'en servent pour commettre des fraudes financières ou des vols d'identité. D'autres encore l'utilisent pour livrer des maliciels.

Bien que l'enregistrement de frappe puisse constituer une opération isolée aux visées simples, il s'inscrit souvent dans des cyberattaques à plusieurs étapes. Les menaces persistantes avancées (APT), par exemple, y ont recours pour obtenir un accès administrateur à des serveurs cibles, à des équipements réseau et à d'autres systèmes. Les identifiants ainsi obtenus permettent à l'APT de pénétrer plus profondément dans l'infrastructure informatique de l'organisation visée.

Les opérations d'enregistrement de frappe ouvrent souvent la voie à d'autres cyberattaques. Par exemple, elles précèdent normalement une prise de contrôle de compte. Cela dit, ces opérations dépendent elles aussi souvent d'autres cyberattaques pour se mettre en place. Puisque les enregistreurs de frappe sont fréquemment livrés au moyen de chevaux de Troie, une attaque préalable, comme une campagne d'hameçonnage ou de téléchargement furtif, est généralement nécessaire pour acheminer ce cheval de Troie.

Développements notables en matière d'enregistrement de frappe

Comme les autres types de maliciels, les enregistreurs de frappe continuent d'évoluer. La plupart des développements portent sur des techniques d'évasion visant à maintenir les enregistreurs une longueur d'avance sur les experts en cybersécurité.

Un développement notable est la montée des techniques de maliciels sans fichier. Ces techniques devraient forcer les équipes de cybersécurité à adopter de nouvelles façons de contrer les enregistreurs de frappe. Les méthodes fondées sur les signatures, qui reposent sur l'inspection des empreintes de fichiers, ne suffiront plus.

Un autre développement, peut-être encore plus inquiétant, est l'intégration des technologies d'intelligence artificielle et d'apprentissage automatique (IA/AA) aux logiciels malveillants. En juillet dernier, l'entreprise de cybersécurité HYAS Labs a publié un article sur BlackMamba, un maliciel à validation de principe propulsé par l'IA qui utilise ChatGPT pour synthétiser et resynthétiser sa fonction polymorphe d'enregistrement de frappe.

Ces nouveaux développements rendront encore plus difficiles la détection, la prévention et le traitement des attaques par enregistrement de frappe pour les experts et les fournisseurs en cybersécurité. Pour être efficaces, les professionnels du domaine doivent être disposés à migrer vers des solutions de détection des menaces, de prévention et de réponse aux incidents combinant des méthodes plus évoluées comme l'analyse comportementale, le renseignement sur les menaces et les technologies d'intelligence artificielle et d'apprentissage automatique (IA/AA).

Conclusion

L'enregistrement de frappe est une menace persistante qui peut compromettre tant les utilisateurs finaux que les comptes à privilèges et qui entraîne souvent des pertes financières et des pertes de données. Pour l'atténuer, il est essentiel de bien comprendre ses caractéristiques d'exploitation, de surveillance et d'exfiltration de données. Cela aidera les professionnels de la cybersécurité à élaborer de meilleures défenses.

Les experts et les fournisseurs en cybersécurité doivent être prêts à adopter des mesures proactives et à recourir aux technologies les plus récentes, notamment l'analyse comportementale, le renseignement sur les menaces et l'IA/AA, pour détecter et prévenir les attaques par enregistrement de frappe. De plus, les organisations devraient s'assurer que leurs systèmes sont protégés contre toute vulnérabilité connue, corriger régulièrement les failles de sécurité et élaborer des politiques d'authentification robustes. En prenant ces mesures, elles peuvent réduire le risque d'être victimes d'une attaque par enregistrement de frappe.

L'enregistrement de frappe est conçu pour exploiter l'authentification par mot de passe. Bien qu'elle soit utilisée depuis les débuts de l'informatique, elle demeure la méthode d'authentification que la plupart des organisations continuent d'employer. Une façon d'éliminer la menace de l'enregistrement de frappe consiste à adopter de nouvelles méthodes d'authentification. Multi-Pass de KZero Passwordless est conçu précisément à cette fin. Non seulement Multi-Pass élimine les mots de passe et les risques qui les accompagnent, mais il supprime aussi les processus de connexion à plusieurs étapes qui grugent du temps. Apprenez-en plus dès maintenant sur Multi-Pass de KZero Passwordless.

John Villanueva



John Carl Villanueva est un rédacteur technique chevronné qui s'est donné pour mission de démystifier les complexités du paysage de la cybersécurité. Il est animé par une passion profonde : donner aux lecteurs les connaissances dont ils ont besoin pour se protéger dans notre univers numérique en constante expansion.