AISI renouvelle sa labellisation ExpertCyber

 Nous sommes fiers d'annoncer le renouvellement de notre labellisation ExpertCyber, délivrée par Cybermalveillance.gouv.fr à l'issue d'un audit réalisé par AFNOR Certification. AISI satisfait aux exigences du référentiel du Label ExpertCyber (version 3.1), pour son site de Saint-Mandé.

Labellisée ExpertCyber depuis 2021, AISI confirme, année après année, son engagement à maintenir le plus haut niveau d'expertise et de transparence dans l'accompagnement de ses clients en cybersécurité.

Qu'est-ce que le Label ExpertCyber ?

Le Label ExpertCyber est un dispositif national porté par Cybermalveillance.gouv.fr, en partenariat avec les principaux syndicats professionnels du secteur et avec le soutien d'AFNOR Certification. Il est destiné à valoriser les professionnels de la cybersécurité ayant démontré un niveau d'expertise technique et de transparence avéré dans l'accompagnement de leurs clients.

Pour l'obtenir, et le conserver, un prestataire doit répondre à un référentiel exigeant et se soumettre à un audit mené par des auditeurs AFNOR, qui évaluent en profondeur les pratiques, l'organisation et les compétences de l'entreprise.

Ce que ce renouvellement garantit à nos clients

Être labellisé ExpertCyber, et le rester, c'est offrir à nos clients — TPE, PME, ETI et collectivités — une garantie concrète :

Une reconnaissance qui s'inscrit dans notre démarche globale

Ce renouvellement vient s'ajouter aux engagements qu'AISI porte au quotidien à travers son SOC, ses activités de pentest et de réponse à incident : proposer à nos clients un accompagnement de confiance, exigeant et évalué en continu.

Nous remercions Cybermalveillance.gouv.fr et AFNOR Certification pour la qualité de ce processus d'audit, ainsi que nos équipes, dont le travail rigoureux au quotidien rend ce renouvellement possible.

Pour en savoir plus sur le Label ExpertCyber : cybermalveillance.gouv.fr

Partir en vacances l'esprit tranquille : la check-list cybersécurité du DSI/RSSI 

 L'été approche, et avec lui son lot d'effectifs réduits, de responsables injoignables et de vigilance en baisse. C'est précisément cette période que les attaquants affectionnent : moins de monde pour détecter un signal faible, moins de réactivité pour escalader un incident, plus de temps pour progresser discrètement dans un système d'information. 

Nos experts pentest, SOC, réponse à incident et gouvernance ont mis en commun leurs recommandations pour vous aider à préparer sereinement cette période. Voici la check-list à dérouler avant de partir. 

1. Sécuriser la continuité de la gouvernance 

 Le premier risque de l'été n'est pas technique : c'est l'absence de décision. Avant de partir : 

2. Vérifier que vos filets de sécurité tiennent la route 

En cas de coup dur, vos sauvegardes sont souvent le dernier rempart. C'est le moment de vous en assurer : 

3. Passer en revue la couverture et les réglages du SOC 

Une exclusion oubliée ou un actif non supervisé peut suffire à ouvrir une brèche pendant l'été : 

4. Renforcer la vigilance humaine, une dernière fois avant le départ 

Les équipes sont fatiguées en cette période de l'année, ce qui les rend plus vulnérables au phishing : 

  • Faites une dernière sensibilisation au phishing avant le départ en congés : usurpation d'identité, faux captcha ("ClickFix"), méthodes d'authentification détournées. 
  • Désactivez l'authentification par Device Code lorsque c'est possible : des campagnes de phishing exploitent actuellement ce mécanisme pour pirater des comptes sans même voler de mot de passe. 
  • Rappelez à tous d'éviter de publier des photos de vacances ou d'annoncer des dates d'absence sur les réseaux sociaux, y compris pour les responsables clés : ces informations facilitent le ciblage. 

5. Sécuriser la mobilité des collaborateurs et dirigeants 

Partir avec son matériel professionnel n'est pas neutre pour l'organisation : 

6. Profiter de l'accalmie pour préparer la rentrée 

Enfin, l'été est aussi l'occasion de finaliser ce qui traîne : 

Ce n'est pas qu'une impression : selon le 11ᵉ baromètre CESIN-OpinionWay (janvier 2026), 34 % des ETI françaises ont subi au moins une cyberattaque significative en 2025 — et parmi les organisations touchées, 81 % en ont subi un impact direct sur leur activité. Cette check-list n'a donc rien d'accessoire. 

Vous n'aurez peut-être pas eu le temps de tout dérouler avant de partir : rien n'est perdu pour autant. En cas de doute ou d'incident, nos équipes restent disponibles tout l'été. 

Pentest : les questions à se poser avant de s'engager 

Guide pratique à l'attention des DSI et RSSI 

Vous envisagez de faire un pentest ou test d’intrusion. 

Félicitations, c'est déjà une décision importante — et souvent le signe d'une vraie maturité sur les enjeux cyber.  

Seul un pentest bien réalisé vous permettra de combler les angles morts de votre cybersécurité et de mesurer votre risque d’exposition.  

Encore faut-il savoir choisir la bonne mission, le bon périmètre, le bon prestataire. 

Ce guide est là pour vous y aider : les bonnes questions à poser, les pièges à éviter, les critères qui font la différence. 

1. Tous les pentests ne se valent pas — et c'est là que tout commence 

La première erreur, et de loin la plus répandue, n'est pas de négliger le pentest. C'est de croire qu'ils se valent tous. 

La vraie question est "qu'est-ce que j'achète exactement, et qui va le faire ?" Un pentest qui ne détecte pas toutes les vulnérabilités ne vous protège pas — il vous donne une fausse assurance de sécurité. 

Quelques signaux qui distinguent un prestataire sérieux : il vous pose des questions avant de vous proposer une offre, il vous explique sa méthodologie sans que vous ayez à la demander, ses experts sont certifiés et ont une expérience terrain réelle, et son rapport comporte des preuves d'exploitation concrètes et reproductibles — pas une liste de CVE générée automatiquement. 

2. Avant de définir un périmètre, posez-vous ces quatre questions 

Avant de contacter le moindre prestataire, il y a un travail préalable à réaliser de votre part. 

Vous pouvez commencer par répondre à ces quatre questions :  

Où sont mes actifs critiques et mes données sensibles ? 

Toutes vos ressources ne méritent pas le même niveau d'attention. Ce qui compte, c'est d'identifier ce qui, s'il était compromis, mettrait vraiment votre activité en danger : vos bases clients, vos données financières, vos outils de production, vos accès fournisseurs. Sont-ils exposés sur Internet ? Accessibles depuis un SharePoint mal configuré ? Protégés par une authentification robuste ? Ces réponses conditionnent directement le périmètre à auditer. 

 Quel est mon niveau d'exposition sur Internet ? 

Une entreprise qui a externalisé une partie de son SI, ouvert des accès VPN pour le télétravail ou mis en ligne des applications métier a une surface d'attaque bien plus large qu'elle ne l'imagine souvent. Avant tout pentest, un inventaire honnête de vos actifs exposés est indispensable.  

Pourquoi ai-je besoin de ce pentest ? 

La réponse à cette question oriente tout le reste. S'agit-il de réduire un risque identifié ? De répondre à une exigence contractuelle ou réglementaire ? De rassurer un client stratégique ? De préparer une certification ISO 27001 ? Ou d'une démarche proactive pour tester votre résistance avant qu'un vrai attaquant ne s'en charge ?  

Cette clarté vous permettra non seulement de mieux vous approprier les résultats, mais aussi de les communiquer avec impact auprès de votre COMEX — et d'embarquer toute l'organisation dans la démarche. 

Suis-je au fait des comportements de mes utilisateurs ? 

Un pentest ne se limite pas à évaluer la robustesse de vos infrastructures : il révèle aussi les failles humaines, souvent invisibles mais tout aussi critiques. Même avec une sécurité technique irréprochable, des pratiques à risque (mots de passe faibles ou stockés en clair, clics sur des liens douteux, partage d’informations sensibles) peuvent offrir à un attaquant une porte dérobée vers le cœur de votre entreprise. Anticiper ces comportements, c’est se donner les moyens de combler les brèches avant qu’elles ne soient exploitées — et transformer vos collaborateurs en premier rempart contre les cybermenaces. 

3. Valider la méthodologie : ce que vous devez exiger de votre prestataire 

Une fois le périmètre posé, la question centrale est celle de la méthode. C'est souvent là que l'on distingue les prestataires entre eux — car un pentester sérieux est capable de vous expliquer précisément ce qu'il va faire, pourquoi, et ce que ça va produire. 

Pentest manuel ou automatisé : une différence qui compte 

Un scanner de vulnérabilités automatique peut identifier des failles connues. Il ne peut pas s'adapter à votre environnement spécifique, enchaîner des étapes d'exploitation, contourner vos mécanismes de défense ou simuler le comportement d'un attaquant humain. Le pentest manuel, conduit par un expert qui adapte son approche en fonction de ce qu'il découvre, est sans comparaison plus pertinent et plus réaliste. 

Exigez donc de savoir si la mission sera manuelle, qui la conduira, et si le prestataire cherchera à explorer l'ensemble des chemins de compromission — et non à s'arrêter à la première vulnérabilité trouvée. 

Boîte noire, boîte grise, boîte blanche : quel modèle choisir ? 

Ces trois approches ne sont pas interchangeables. Chacune répond à un objectif différent. 

La boîte noire simule un attaquant externe qui ne dispose d'aucune information sur votre système. Il part de zéro, agrège des informations publiques, sonde vos surfaces d'exposition et tente de s'introduire comme le ferait un vrai adversaire. C'est l'approche la plus réaliste d'un scénario d'attaque — et celle à privilégier si vous n'avez encore jamais fait de pentest ou si vous souhaitez mesurer votre exposition réelle. 

La boîte grise part d'un scénario dit "assume breach" : on suppose qu'un attaquant a déjà obtenu un accès initial — un compte utilisateur compromis, par exemple — et on évalue ce qu'il peut faire à partir de là. Cartographie du réseau, identification des vulnérabilités, élévation de privilèges, déplacement latéral jusqu'aux actifs critiques. Cette approche est particulièrement pertinente pour tester la résistance interne de votre SI. 

La boîte blanche donne au pentester une connaissance complète de votre architecture : code source, documentation, accès administrateur. Réservée aux organisations les plus matures, elle permet d'atteindre une exhaustivité maximale dans la détection des risques. C'est l'approche la plus complète — mais aussi la plus exigeante en termes de préparation. 

Notre recommandation : pour une première approche ou pour évaluer votre exposition réelle, la boîte noire est le choix le plus pertinent. La boîte grise vient utilement en complément si vous souhaitez tester votre résistance à une compromission interne. Une autre option est de commencer le test d’intrusion en boite noire puis de le poursuivre en mode boite grise pour avoir une vision globale de vos vulnérabilités, en fonction des connaissances de l’attaquant.

4. Le livrable et la suite : tirer le meilleur parti de votre pentest 

Un pentest ne se termine pas quand le pentester quitte vos locaux ou se déconnecte de votre environnement. Ce que vous avez acheté, c'est autant le rapport que les connaissances qu'il contient — et la capacité à agir sur ce qu'il révèle. 

Un rapport à trois niveaux de lecture 

Un bon rapport de pentest s'adresse à plusieurs audiences simultanément.  

Il doit comporter : 

Dans le rapport remis à l'issue de la mission, un point mérite une attention toute particulière : la possibilité de reproduire les attaques menées. C'est en effet cette capacité de rejeu qui vous permettra de comprendre précisément les vulnérabilités identifiées et de les corriger efficacement. Au-delà de l'aspect technique, cette transparence sur les scénarios de pentest joués constitue un véritable levier pour faire progresser votre démarche cyber dans la durée. Elle rend le risque concret, palpable, et facilite grandement les échanges avec l'ensemble des parties prenantes — direction, équipes métiers, partenaires — autour des enjeux de cybersécurité.

Avant de vous engager, prenez donc le temps d'interroger votre prestataire sur la nature précise du rapport et des livrables fournis : niveau de détail des scénarios, preuves techniques associées, recommandations de remédiation, restitution orale… Autant d'éléments qui feront la différence entre un simple audit et un véritable outil d'amélioration continue.

Impliquer le COMEX : le pentest comme outil de sensibilisation 

C'est un usage trop souvent négligé. La restitution des résultats d'un pentest est une occasion rare de sensibiliser votre direction générale aux enjeux cyber de manière concrète et factuelle — sans discours alarmiste, mais avec des preuves. Constater que quelqu'un a pu accéder au serveur de paie ou cartographier l'ensemble du réseau interne en quelques heures produit un effet que les présentations théoriques ne produisent pas. 

C'est aussi l'occasion de se situer : un bon prestataire est en mesure de vous comparer à des entreprises de taille et de secteur comparables, ce qui donne une perspective réelle sur votre niveau de maturité. 

Anticiper l'après : avez-vous les ressources pour remédier ? 

Un pentest qui produit un plan de remédiation que personne n'a la capacité de mettre en œuvre n'a qu'une valeur limitée. Avant de vous engager, posez-vous honnêtement la question : disposez-vous des compétences en interne pour traiter les vulnérabilités qui vont être identifiées ? Si ce n'est pas le cas, un prestataire sérieux doit pouvoir vous accompagner dans cette phase — et pas seulement vous remettre un rapport en vous souhaitant bonne chance. 

5. Conseil bonus : le pentest n'est pas un one-shot 

C'est peut-être la conviction la plus importante à emporter de cet article. Un pentest ponctuel est utile. Un pentest inscrit dans une démarche régulière est ce qui fait vraiment la différence. 

Les raisons sont simples. Les menaces évoluent très vite : les techniques d'attaque se renouvellent chaque année, de nouveaux vecteurs émergent en permanence — les infostealers et les faux captchas, par exemple, sont aujourd'hui des vecteurs d'intrusion redoutables qui représentent un business florissant pour les attaquants.  

Vos systèmes évoluent aussi : chaque migration, chaque nouveau projet, chaque intégration ouvre potentiellement de nouvelles surfaces d'exposition. Ce qui était sûr il y a dix-huit mois ne l'est peut-être plus aujourd'hui. 

Quelques bonnes pratiques pour maximiser la valeur de vos tests : 

Les équipes d’AISI vous accompagnent dans la mise en place de vos tests d’intrusion – selon votre contexte et selon vos besoins. 

Pour en savoir plus, contactez-nous ci-dessous !

5 raisons de sécuriser son Active Directory dès aujourd'hui

L’Active Directory (AD) est le cœur de l’identité et des accès dans les environnements Windows. S’il est compromis, c’est tout le système d’information qui devient vulnérable. C’est d’ailleurs précisément pour ces raisons qu’il est dans le viseur de près de 90% des ransomwares. Et dans la quasi-totalité des incidents majeurs, l’Active Directory est soit le point d’entrée, soit l’objectif final des cyberattaquants. 

Fort de son expertise en cybersécurité, AISI accompagne les organisations dans la remédiation, le durcissement et la sécurisation de leur AD, pour en faire un véritable pilier de résilience.  

Pour vous aider à y voir plus clair nous avons dressé une liste de 5 – bonnes - raisons concrètes de ne pas remettre à demain la sécurisation de votre Active Directory – et de passer à l’action dès aujourd’hui : 

1. L'Active Directory contrôle l'accès à tout le système

L’Active Directory centralise l’authentification des utilisateurs, des postes, des serveurs et des ressources critiques de l’entreprise. Lorsqu’il est compromis, c’est l’ensemble du système d’information qui peut être exposé à une prise de contrôle. 

➡️AISI aide ses clients à reprendre le contrôle : détection des vulnérabilités les plus critiques, remédiations et réduction durable de la surface d’exposition. 

2. Active Directory est une cible prioritaire des cyberattaques  

Parce qu’il centralise les identités et les privilèges, l’Active Directory reste impliqué dans une très grande majorité des compromissions des systèmes d’information. Selon plusieurs études du secteur, il intervient dans une part importante des missions de réponse à incident. 

➡️ AISI identifie les vulnérabilités Active Directory grâce à des outils d’audit spécialisés complète l’analyse par des scénarios d’attaque réalistes avec BloodHound afin de prioriser les corrections selon le risque réellement exploitable. 

3. Sans durcissement, l’escalade de privilèges est facilitée  

Lorsqu’un compte standard est compromis, des délégations excessives, des permissions mal maîtrisées ou des chemins d’attaque non identifiés peuvent permettre une élévation progressive jusqu’aux comptes les plus sensibles, y compris les comptes à privilèges élevés. 

➡️ AISI met en œuvre un modèle de privilèges maîtrisé, sécurise les comptes sensibles et réduit les chemins d’escalade afin de limiter les possibilités de compromission du domaine. 

4. Un Active Directory compromis permet des mouvements latéraux rapides 

Lorsqu’un attaquant compromet un premier compte dans le domaine, il peut exploiter les relations de confiance internes, réutiliser des comptes et progresser vers des comptes de plus en plus sensibles. 

Une compromission initialement limitée peut ainsi évoluer rapidement vers une prise de contrôle étendue de l’environnement, notamment lorsque les privilèges, les accès d’administration ou les délégations ne sont pas suffisamment maîtrisés. 

➡️ AISI agit en amont pour réduire ces risques : séparation des accès d’administration, réduction des privilèges excessifs et limitation des possibilités de propagation interne. 

5 . Un Active Directory sécurisé contribue à la conformité réglementaire 

Les exigences réglementaires telles que le General Data Protection Régulation ou la directive NIS2 Directive imposent une meilleure maîtrise des accès, des privilèges et de la traçabilité des actions sensibles. 

L’Active Directory constitue à ce titre un point central, car il concentre les mécanismes d’authentification, de délégation et de contrôle des accès. 

➡️ AISI aide à identifier les écarts de sécurité structurants sur l’Active Directory afin de renforcer durablement le niveau de maîtrise des accès et des privilèges. 

Sécuriser son Active Directory n’est pas une option : c’est une priorité stratégique. 

AISI propose une approche pragmatique et mesurable, adaptée au niveau de maturité de chaque client : 

Dans un contexte où les identités sont la principale cible des cyberattaques, AISI vous aide à sécuriser Active Directory avec une approche experte et pragmatique afin de devenir un levier majeur de résilience.  

Vous souhaitez en savoir plus, contactez-nous !

NIS2 : Comprendre la nouvelle réglementation européenne de cybersécurité  

La directive NIS 2 représente un tournant majeur dans la cybersécurité européenne. Adoptée en 2022 et en cours de transposition en France, elle concerne près de 50 000 organisations à travers l'Europe. Loin de se cantonner uniquement aux sujets informatiques et techniques, elle implique dorénavant autant les dirigeants, DSI, RSSI, Gestionnaires des achats et autres Responsables RH. Il est alors essentiel de comprendre ce que cette directive implique concrètement pour votre organisation.  

Malgré un retard certain de sa transposition dans le droit français, le texte est aujourd’hui entre les mains de l’Assemblée Nationale, après approbation du Sénat l’année passée. Alors oui, nous n’avons jamais été aussi proche de sa mise en application !  

Qu'est-ce que NIS2 ?  

NIS 2 est la deuxième version de la directive européenne sur la sécurité des réseaux et des systèmes d'information (Network and Information Security).

Son objectif ? Élever le niveau de protection contre les cybermenaces à l'échelle européenne.  

Contrairement à sa version précédente qui ne concernait qu'un nombre limité d'acteurs stratégiques, NIS 2 opère un véritable changement d'échelle. La directive part d'un constat simple : dans notre monde numérique et interconnecté, même une entreprise qui se pense à l’abri des menaces cyber peut, par sa position dans une chaîne de valeur, avoir un impact sur des services critiques. Le risque cyber est devenu systémique.  

Qui est concerné par NIS2 ?  

La première question à se poser est : « Mon organisation est-elle concernée ? » .

La réponse dépend de deux critères principaux :  

Pour savoir si vous êtes concerné :  

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) met à disposition un simulateur en ligne qui permet de vérifier rapidement son éligibilité :   

https://monespacenis2.cyber.gouv.fr/simulateur

🥷 Attention aux situations complexes : si votre organisation fait partie d'un groupe, compte plusieurs entités juridiques ou exerce plusieurs activités, l'analyse peut être plus délicate. Un principe clé s'applique : chaque entité juridique doit être évaluée indépendamment. Vous pourriez donc avoir des filiales concernées et d'autres non au sein d'un même groupe

Qu'est-ce qui change concrètement pour mon entreprise ?  

Si votre organisation est concernée par NIS 2, plusieurs changements majeurs vous attendent. La directive n'est pas une simple formalité administrative : elle impose des mesures concrètes qui vont impacter votre organisation à différents niveaux.  

1. Une responsabilité au plus haut niveau  

La directive est claire : le dirigeant est directement responsable de la mise en conformité. Ce n'est plus seulement une affaire de direction informatique ou de responsable sécurité. La direction générale doit s'impliquer, valider les mesures de sécurité et s'assurer de leur application effective.  

2. Des obligations de sécurité renforcées  

NIS 2 définit environ 20 objectifs clés de cybersécurité, qui couvrent l'ensemble de votre organisation :  

Continuité d'activité : plans de reprise et de maintien de l'activité en cas d'incident majeur  

🥷 Point important : NIS 2 ne vous impose pas de solutions techniques précises. La directive fixe des objectifs à atteindre, mais vous laisse le choix des moyens adaptés à votre contexte et à votre taille.  

3. Une obligation de notification des incidents  

En cas d'incident de sécurité significatif, vous devrez le signaler à l'ANSSI dans des délais stricts. Cette obligation de transparence vise à permettre une réponse coordonnée aux cyberattaques à l'échelle européenne.  

Les principaux chantiers à prévoir pour une mise en conformité à NIS2

Se mettre en conformité avec NIS 2 demande une approche structurée.

Voici les étapes clés :

 Étape 1 : Cartographier votre périmètre  

Avant toute chose, vous devez identifier précisément ce qui est concerné :  

  • Quelles sont vos activités couvertes par NIS 2 ?  
  • Quels systèmes informatiques permettent de réaliser ces activités ?  
  • Quels sont vos actifs critiques (données, applications, infrastructures) ?  

Cette cartographie est essentielle : elle vous permettra de prioriser vos efforts et d'allouer vos ressources là où elles sont le plus nécessaires.  

Étape 2 : Réaliser un diagnostic de votre situation actuelle  

Une fois votre périmètre identifié, évaluez où vous en êtes par rapport aux exigences de NIS 2. Quelles mesures de sécurité sont déjà en place ? Quels sont les écarts à combler ? Cette phase de diagnostic vous donnera une vision claire du chemin à parcourir.  

Étape 3 : Définir votre plan d'action  

Sur la base du diagnostic, construisez une feuille de route réaliste qui tient compte de vos contraintes (budget, ressources humaines, calendrier). Priorisez les actions selon leur criticité et leur complexité.  

Étape 4 : Mettre en place une gouvernance adaptée  

NIS 2 ne doit pas être traité comme un projet isolé. Intégrez-le à votre gouvernance des risques existante. Identifiez un sponsor au niveau de la direction, mettez en place un pilotage transverse (informatique, sécurité, juridique, métiers) et assurez-vous que les responsabilités sont clairement définies.  

Par où commencer ? Les priorités à retenir  

Tous les SOC ne font pas la même chose une fois une alerte détectée. 

Face à l'ampleur du chantier, il est normal de se sentir un peu dépassé. Voici quatre conseils pour aborder sereinement votre mise en conformité :  

1. Anticipez dès maintenant  

La transposition française de NIS 2 est en cours, mais n'attendez pas la dernière minute. Plus vous commencez tôt, plus vous aurez de temps pour déployer les mesures nécessaires sans précipitation. Prenez le temps de comprendre ce qui est attendu dans votre contexte spécifique.  

2. Priorisez intelligemment  

Commencez par réaliser un auto-diagnostic honnête et collecter dès maintenent un maximum de preuves pour appuyer vos constats. Sur quels sujets êtes-vous déjà en conformité ou proche de l'être ? Où se situent vos principales faiblesses ? Cette analyse vous aidera à concentrer vos efforts là où ils auront le plus d'impact.  

3. Capitalisez sur l'existant  

Bonne nouvelle : si vous avez déjà mis en place des standards de sécurité (ISO 27001, NIST, etc.), vous n'avez pas à tout recommencer de zéro. De nombreuses exigences de NIS 2 recoupent ces référentiels existants.  

L'Agence européenne pour la cybersécurité (ENISA) a publié un guide technique très utile :  

https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance

Ce document vous aidera à faire le lien entre vos pratiques actuelles et les exigences de NIS 2, à éviter les doublons et à identifier les véritables écarts à combler.  

4. Faites-en un projet d'entreprise  

Le succès de votre mise en conformité dépendra largement de votre capacité à mobiliser l'ensemble de votre organisation. NIS 2 ne concerne pas seulement le service informatique : c'est un enjeu stratégique pour toute l'entreprise. Communiquez sur les enjeux, expliquez les bénéfices (au-delà de la simple conformité), et impliquez tous les métiers concernés.  

NIS2 : Plus qu’une obligation, une opportunité de renforcer sa résilience  

Au-delà de l'obligation réglementaire, NIS 2 doit être vue comme une opportunité de renforcer durablement la sécurité et la résilience de votre organisation. Dans un contexte où les cybermenaces ne cessent de croître, investir dans la cybersécurité n'est plus une option mais une nécessité.  

La mise en conformité peut sembler complexe, mais en l'abordant de manière méthodique, en capitalisant sur l'existant et en vous faisant accompagner si nécessaire, vous transformerez cette contrainte réglementaire en véritable levier de performance et de protection pour votre entreprise.  

AISI au côté de ses clients pour les soutenir dans leur démarche de mise en conformité  

Au-delà de l'obligation réglementaire, NIS 2 doit être vue comme une opportunité de renforcer durablement la sécurité et la résilience de votre organisation. Dans un contexte où les cybermenaces ne cessent de croître, investir dans la cybersécurité n'est plus une option mais une nécessité.  Le Département Sécurité de l’Information de AISI accompagne ses clients depuis de nombreuses années pour renforcer leurs pratiques en Gouvernance, Gestion des Risques et Conformaité (GRC). Face aux difficultés que peuvent rencontrer les PME/ETI et collectivités, la séniorité de nos équipes fait souvent la différence.  

Notre expertise au service de votre conformité  

Spécialisés dans l'accompagnement à la mise en conformité aux exigences obligatoires en sécurité de l'information, nous avons adopteé une approche qui se distingue par :  

Une approche globale : nous intégrons NIS 2 dans votre stratégie cyber globale et créons des synergies avec vos autres démarches de conformité (ISO 27001, DORA, etc.).  

🥷🏻 Vous souhaitez échanger sur votre projet NIS 2 ?  
Que vous soyez en phase de questionnement, de diagnostic ou déjà engagé dans votre démarche de conformité, nos experts sont à votre disposition pour échanger sur vos enjeux et vous présenter notre approche. Contactez-nous pour un premier échange sans engagement. 

Panocrim 2026 - Quelles nouvelles menaces cyber en 2026 ?

Panocrim 2026, organisé par le CLUSIF au Campus Cyber de La Défense, a réuni le 15 janvier dernier les experts les plus influents du secteur pour décrypter les menaces émergentes en cybersécurité.    


Montée des ingérences étrangères, tensions géopolitiques, explosion des usages IA dans les cyberattaques, et professionnalisation accélérée des acteurs malveillants.… Quels sont les impacts pour les organisations françaises ?  

Retour sur cet événement cyber incontournable de ce début d’année pour comprendre ces évolutions et mieux vous accompagner dans l’anticipation de vos stratégies cyber.  

 1. Intelligence artificielle : accélérateur de menaces et d’opportunités  

L’Intelligence Artificielle a fait sa grande apparition du côté des attaquants en 2025 et se présente désormais comme un démultiplicateur d’attaques :    
- Un phishing généré par IA est 4,5 fois plus efficace.    
- Des agents comme COMET ou ATLAS peuvent être détournés à des fins malveillantes.    
- Nouvelles surfaces d’attaque via robots, navigateurs ou outils SaaS.  

Si l’IA est une formidable opportunité de gagner en productivité et en efficience, c’est aussi une arme redoutable dans une logique cyber. L’automatisation des attaques et la capacité à attaquer de façon autonome doivent être intégrées dans l’analyse des risques de vos organisations.   

2. Professionnalisation du métier d’attaquant : des organisations à part entière  

Si l’on a longtemps gardé l’image du hacker isolé qui teste de façon désorganisée les différents systèmes d’informations, force est de constater que ce paradigme a bien évolué.  

Les cybercriminels de 2025 opèrent désormais à une échelle quasi-industrielle :    
- Recomposition des groupes (fausse attribution de Cloudflare ou Naval Group).    
- Diffusion d’outils “as a service” (ransomware kits, phishing frameworks).    
- Chaînes d'approvisionnement SaaS ciblées comme portes d’entrée.  

Ces organisations criminelles fonctionnent avec des rôles définis, des processus éprouvés et une capacité d’innovation continue. Elles capitalisent sur chaque campagne, améliorent leurs tactiques et accélèrent leurs cycles d’attaque. Cette montée en maturité augmente mécaniquement la surface de risque pour les entreprises, en particulier en France, qui figure parmi les pays les plus exposés aux attaques cyber : en 2024, la France se classait au 6ᵉ rang mondial des attaques de ransomware détectées (144 attaques, soit 2,7 % des attaques mondiales).*

3. Exfiltration et fuite de données : l’arme centrale des attaquants  

L’exfiltration de données s’impose désormais comme un levier central des stratégies d’attaque. Selon le rapport Panorama de la cybermenace 2025 du Clusif, 2,6 milliards de données ont été compromises en France, illustrant une hausse significative des fuites à grande échelle.   

Cette dynamique traduit un changement profond : la donnée n’est plus seulement une cible collatérale, mais un actif stratégique au cœur des modèles économiques des cybercriminels. Revente sur les marchés clandestins, chantage à la divulgation, exploitation à des fins d’ingénierie sociale ou d’attaques ultérieures — chaque information exfiltrée alimente un cycle de menace durable. Dans un contexte de généralisation du cloud, de multiplication des interconnexions et de volumes de données toujours plus massifs, la capacité des organisations à détecter, tracer et contenir l’exfiltration devient un enjeu critique, bien au-delà de la seule prévention de l’intrusion.  

4. Sensibilisation et protection du débat public : pilier de la défense  

La sensibilisation constitue un axe incontournable de toute roadmap cyber mature. Les attaques ne ciblent plus uniquement les systèmes : elles ciblent les individus, leurs usages, leurs réflexes et leur capacité à distinguer le légitime du malveillant. Aucune organisation n’est épargnée — collaborateurs, dirigeants, partenaires et prestataires sont tous exposés, quels que soient leur secteur ou leur niveau de maturité technologique.  

Le facteur humain demeure en effet impliqué dans 94% des incidents cyber (selon Verizon DBIR 2024 et IBM Cost of a Data Breach 2024), qu’il s’agisse de phishing, d’ingénierie sociale ou de compromissions de comptes. Dans ce contexte, la sensibilisation ne doit plus être perçue comme une action ponctuelle ou purement pédagogique, mais comme un véritable mécanisme de défense, contribuant à la résilience globale des organisations et, plus largement, à la protection du débat public face aux manipulations numériques et aux campagnes d’influence.   

Conclusion : s’armer collectivement pour 2026  !

Panocrim 2026 confirme que la cybersécurité ne se limite plus à la technique : elle est géopolitique, cognitive et stratégique.  

Le rapport 2025 souligne également un point important : face à la hausse et l’organisation de la menace : nous sommes tous des cibles.  
Face à cette complexité croissante, AISI s’engage à accompagner les entreprises et organisations publiques dans la compréhension, la détection et la neutralisation des menaces émergentes. Nos ninjas sont disponibles pour vous accompagner à mieux évaluer vos risques et mettre en place les mesures de protection efficaces pour votre activité.  

➡️ Contactez AISI pour une évaluation sur mesure des risques associés à votre activité.  

* Source : Acronis Threat Research Unit. 

Comment choisir son SOC : les bonnes questions à se poser pour une stratégie cyber efficace  

Le Security Operations Center (SOC) est un maillon essentiel dans la stratégie cyber d’une organisation. Il représente le cœur opérationnel de la détection, de la surveillance et de la réponse face aux incidents de sécurité.

Mais toutes les DSI le savent : choisir un SOC n’est pas une simple question d’outillage, c’est une démarche stratégique. Avant de signer, il faut savoir ce qu’on attend réellement de son partenaire et où placer le curseur entre supervision, détection, qualification et réponse. 

Pour vous accompagner dans cette démarche, nous vous avons préparé une checklist de questions à vous poser au moment de définir vos besoins et de vous lancer à la recherche du SOC adapté à votre organisation. 

1. Définir ses attentes : qu’attendez-vous vraiment de votre SOC ? 

Le SOC ou « Security Operations Center » a pour rôle de détecter, évaluer et prévenir les incidents et les menaces de sécurité.  

La définition du NIST du SOC est la suivante : 

« Un centre d’opérations de sécurité (SOC) est le point central des opérations de sécurité et de la défense du réseau informatique d’une organisation. …

Le SOC est également chargé de détecter, d’analyser et de répondre rapidement aux incidents de cybersécurité. » 

Le SOC est donc la pierre angulaire de la sécurité de votre système d’information. 

La première question à se poser est donc la suivante : 

« Qu’est-ce que j’attends exactement de mon SOC ? » 

Supervision ou réponse à incident ? 

La confusion entre ces deux mondes est fréquente. Beaucoup de DSI pensent « SOC » alors qu’elles veulent en réalité un service complet de détection d’anomalies et de réponse à incident. 

Le bon réflexe : clarifier votre besoin de détection. Jusqu’où doit aller votre SOC ? Jusqu’à l’alerte ? Ou jusqu’à la qualification et la recommandation d’action ? 

🥷🏻 Chez AISI, notre SOC intègre la levée de doute et la réponse à incidents, pour une meilleure performance cyber. En cas de comportement anormal dans votre système d’informations, notre équipe d’analystes sera en mesure de lever le doute et définir s’il s’agit d’une tentative d’intrusion. 

2. Identifier le périmètre de détection 

Autre point-clé : le périmètre de détection.  

Ici, il s’agit de définir les systèmes, infrastructures, applications et données que vous souhaitez surveiller en continu. Il peut s’agir des terminaux, des serveurs, des bases de données, des connexions…Tout ce qui peut être surveillé car pouvant permettre à un attaquant d’atteindre le système d’information de votre organisation. 

Ce périmètre de détection doit être défini selon les risques métiers et technologiques propres à votre organisation. Il peut également être adapté au cours du temps.  

Ce point rejoint un autre critère essentiel dans le choix de votre SOC : les partenaires technologiques de votre prestataire. Chaque prestataire dispose d’une stack technique visant à répondre à l’ensemble des périmètres à surveiller. 

Une question essentielle pour la DSI à poser à votre prestataire peut être la suivante : 

« Quelles solutions et environnements savez-vous superviser ? » 

Cette question est centrale et vous permettra d’identifier les technologies supportées par le prestataire. 

🥷🏻 Chez AISI, nous travaillons avec les solutions à l’état de l’art en matière de cybersécurité – certains leaders mondiaux et des solutions européennes et souveraines reconnues dans l’écosystème.

Pour en savoir plus sur nos partenaires ➡️ https://www.aisi.fr/

3. Bien cadrer la détection : alerte, qualification et risque 

Un SOC efficace ne se juge pas au nombre d’alertes générées, mais à la pertinence des détections et à leur niveau de qualification. 

Trop d’alertes, c’est la surcharge d’information ; pas assez, c’est le risque de passer à côté d’une menace.  

Il est donc primordial de bien comprendre la méthode d’alertes du prestataire rencontré.  

Vous pouvez vous assurer de ce volet-là en lui posant ces quelques questions : 

C’est un point important à bien noter : en fonction de son environnement, le SOC peut remonter de nombreuses alertes, et il peut devenir complexe de détecter les signaux faibles. 

Souhaitez-vous recevoir toutes les alertes ? Ou simplement les alertes critiques pour votre sécurité ? 

Le SOC n’est d’ailleurs pas un produit figé : c’est une entité vivante qui apprend, s’ajuste et évolue avec votre SI. 

🥷🏻 Chez AISI, tous nos analystes SOC sont des analystes de niveau 3. Nous vous garantissons d’analyser et traiter tous les signaux faibles et de ne vous solliciter que pour les menaces réelles. Cela vous garantit un meilleur suivi au quotidien de votre périmètre de sécurité et vous permet de vous concentrer sur votre coeur de métier.

4. Comprendre le système de qualification et de réponse 

Tous les SOC ne font pas la même chose une fois une alerte détectée. 

Certaines structures se limitent à classifier les alertes (vrai/faux positif). D’autres vont plus loin dans la qualification (analyse du risque, origine, impact potentiel). 

Les plus avancées proposent une levée de doute ou une investigation complète. 

Questions à aborder : 

Un bon SOC doit offrir la capacité à revenir dans le temps pour reconstituer les événements, grâce à une rétention suffisante et une collecte de logs robuste. 

🥷🏻 Chez AISI, la qualification des incidents est fondamentale et est une composante « by design » de notre SOC. Il vous permet d’identifier les incidents de sécurité, d’être plus réactif en cas de menace avérée et de vous faire monter en compétence dans la sécurisation de tout votre parc informatique. 

5. L’accompagnement dans la durée : construire une stratégie de détection 

Choisir un SOC, c’est aussi s’engager dans une démarche de long terme. 
La première année est souvent une phase d’apprentissage : le SOC et la DSI apprennent à se connaître, les règles se précisent, les faux positifs se réduisent. 

Puis vient la phase de maturité, où l’on affine les détections, on intègre de nouvelles sources, on étend la couverture. 

Questions à prévoir dès le départ : 

L’objectif pour la DSI : être prévenue, comprendre, et agir. 

Un SOC performant doit permettre à la DSI d’avoir les bonnes informations au bon moment, sans être submergée. 

Le choix d’un SOC est un choix stratégique pour la sécurité de votre système d’information. 
C’est un partenariat opérationnel, où la clarté des attentes, la qualité du dialogue et la compréhension mutuelle priment sur la simple technologie. 

🥷🏻 Avec AISI, nous vous dédions un analyste qui sera votre interlocuteur privilégié pour toutes les questions relatives à votre SOC et votre sécurité. Pour vous, c’est l’assurance d’avoir un analyste référent, disponible et surtout joignable pour vous accompagner en cas de besoin. 

Vous cherchez à équiper votre organisation d’un SOC ?

Alerte Cybersécurité : Zero-Day sur SharePoint – CVE-2025-53770

Depuis le 18 juillet 2025, la société Eye Security a observé une exploitation à grande échelle de la vulnérabilité zero-day CVE-2025-53770, affectant les serveurs on-premise SharePoint. Cette faille permet l'exécution de code à distance (RCE) non authentifié via une chaîne d'exploitation sophistiquée, surnommée ToolShell.

⚠️ Ces vulnérabilités s’appliquent uniquement aux serveurs SharePoint on premise. SharePoint Online dans Microsoft 365 n’est pas impacté. ⚠️

Microsoft a confirmé l'exploitation active de cette vulnérabilité qui permet à un acteur de la menace de prendre le contrôle de serveurs sans authentification. Eye Security rapporte qu'environ 100 organisations ont déjà été compromises à l'échelle mondiale suite à l'exploitation de cette vulnérabilité.

Nos recommandations

  1. Générer la clé machine dans PowerShell Set-SPMachineKey -WebApplication <SPWebApplicationPipeBind>
  2. Déployer la clé machine à la ferme dans PowerShell Update-SPMachineKey -WebApplication <SPWebApplicationPipeBind>
    1. Redémarrer IIS sur tous les serveurs SharePoint avec iisreset.exe

Pour plus d'informations : 

Écrit par ELF

Analyse de l'attaque Kerberoasting

En 2023, Crowdstrike relève dans son rapport d'investigation sur les menaces que les attaques par Kerberoasting ont augmentées de 583%. Depuis, de nombreux organismes tentent de sonner le signal d'alarme sur cette attaque, comme Microsoft en octobre 2024 avec un article succinct sur leur blog. C'est à notre tour de vous présenter cette attaque et les impacts qu'elle peut avoir sur votre système d'information.

Dans les environnements modernes basés sur Active Directory, le protocole Kerberos est un pilier de l'authentification réseau. Il garantit des échanges sécurisés entre utilisateurs et services grâce à un système de tickets cryptographiques. Cependant, sa complexité et certaines de ses configurations peuvent être exploitées pour des attaques sophistiquées. Parmi elles, le Kerberoasting est particulièrement redoutable : il exploite les mécanismes internes de Kerberos pour compromettre des comptes de service. Cet article propose de démystifier le protocole Kerberos et d'expliquer les bases de cette attaque pour mieux comprendre ses enjeux et comment tenter de s'en protéger.

Protocole Kerberos - Métaphore du manège forrain

Afin d'expliquer de façon simple et claire le fonctionnement du protocole Kerberos, je vais utiliser une métaphore, celle du manège forain.

Pour accéder au manège, il faut d'abord aller acheter un ticket, cela correspond à la demande de TGT dans Kerberos. Après avoir payé on récupère le ticket et va dans la file d'attente. Quand on souhaite accéder au manège, une personne va récupérer notre ticket pour vérifier qu'on a le droit de monter sur le manège. Cela correspond à la demande de TGS. Quand le forain récupère notre ticket, il nous donne l'accès au manège et nous avons donc le droit de faire le tour de manège. Cela correspond au droit d'accéder et d'utiliser le service que nous souhaitons.

Attaque Kerberoasting

L'attaque Kerberoasting repose sur l'exploitation du protocole Kerberos. Elle consiste en un attaquant disposant d'un compte utilisateur valide dans le domaine qui demande un ticket Kerberos. Ce ticket contient des informations chiffrées avec le mot de passe du compte de service ciblé, et il permet d'accéder au service ciblé par l'attaquant. Ce dernier va ensuite chercher à récupérer le mot de passe du compte de service, en hors-ligne, afin de ne pas être détecté.

Il est possible de retrouver le mot de passe dans un cas particulier, celui où le compte de service est un compte utilisateur et non un compte machine. Ce dernier détail est important, car les comptes machine possèdent des mots de passe très complexes (120 caractères générés aléatoirement) alors que les comptes utilisateur sont créés manuellement et le mot de passe défini est beaucoup plus facile à retrouver.

Explication Technique du protocole Kerberos

Rentrons un petit plus dans les détails techniques de ce protocole et de cette attaque pour en avoir une meilleure compréhension afin de se protéger de façon efficace par la suite. Je vous promets qu'après deux trois relectures, vous finirez par être des experts 😉

Fonctionnement du protocole Kerberos

Le protocole Kerberos utilise des tickets pour permettre une authentification sécurisée sans transmettre de mots de passe en clair. Le processus d'authentification Kerberos comprend trois parties principales :

Authentification initiale et obtention du TGT

L'authentification commence lorsqu'un utilisateur tente de se connecter à un domaine Active Directory. Le client envoie une requête d'authentification au Service d'Authentification du KDC. Si l'utilisateur est authentifié avec succès (en utilisant par exemple un mot de passe), l'AS renvoie un Ticket Granting Ticket (TGT), qui est chiffré avec la clé secrète de l'utilisateur (généralement dérivée de son mot de passe).

Ce TGT est utilisé pour obtenir des tickets de service (TGS) auprès du Service de Délivrance de Tickets (TGS). Le TGT permet à l'utilisateur de demander un accès à des services spécifiques sans avoir à s'authentifier de nouveau avec son mot de passe.

Demande de Ticket de Service (TGS)

Une fois en possession du TGT, le client peut envoyer une demande au TGS pour obtenir un Ticket de Service (TGS) pour un service spécifique. Cette demande comprend :

Le TGS contient un ticket d'authentification pour le service cible chiffré avec un dérivé du mot de passe du compte de service et un algorithme de chiffrement, souvent le RC4 pour un compte utilisateur. Ce ticket peut être utilisé par le client pour accéder au service demandé.

Voici un schéma qui récapitule ce que je viens d'expliquer pour que cela soit plus clair.

Explication technique du Kerberoasting

Passons à l'attaque kerberoasting !

Prérequis

Listing des SPNs

L'attaquant peut lister les SPNs pour identifier des services susceptibles d'être attaqués. Cette étape peut être réalisée avec des outils comme Impacket ou Rubeus.

Exemple de commande pour lister les SPNs avec Impacket :

"python3 examples/GetUserSPNs.py domaine.local/utilisateur:motdepasse -dc-ip 192.168.1.1 -request > hash_spn.txt" Cette commande permet d'obtenir une liste des SPNs associés à un domaine et à un utilisateur, et de tenter une demande de TGT pour chaque SPN.

Récupérer un TGT

L'attaquant doit récupérer ensuite un TGT pour demander un TGS grâce au SPN identifié dans l'étape précédente.

Demander un TGS

Après avoir récupéré un TGT, l'attaquant peut utiliser ce dernier pour demander un TGS valide. Il va ensuite extraire le ticket de la mémoire pour l'utiliser hors-ligne.

Cracker les mots de passe récupérés dans le TGS

Une fois que l'attaquant dispose du TGS et de quelques informations comme le nom de service, il peut utiliser des outils comme John the Ripper ou Hashcat pour tenter de cracker en mode hors-ligne le mot de passe utilisé pour chiffrer le ticket. Et ensuite, il va se connecter au compte de service et avoir tous les accès qui lui sont associés.

Voici une petite liste des outils pouvant être utilisés pour mener à bien cette attaque :

Détection du Kerberoasting

Maintenant que nous avons plus d'éléments, voyons comment nous pouvons détecter le kerberoasting. Partons d'abord sur les stratégies à activer au sein de votre Active Directory.

Stratégies AD

Ensuite, voici un tableau des événements qui nous intéressent.

Événements Windows liés

ID de l'événementDescription
4103Détection de scripts Powershell/Module Logging.
4104Détection de scripts Powershell grâce au Script Block Logging.
4624Ouverture de session pour le compte utilisateur du domaine.
4634Fermeture de session pour le compte utilisateur du domaine.
4688Création de nouveaux processus pour exécuter des outils de cracking ou de collecte de SPNs (ex : Impacket).
4768Enregistrement des demandes de TGT.
4769Enregistrement des demandes de tickets de service (TGS). Une demande anormale pour plusieurs comptes peut signaler une attaque. De plus, le type de chiffrement du ticket (0x17 = RC4-HMAC) et le code d'échec (0x0 = réussite de la demande) sont des points importants.
4776Validation des informations d'identification lors de l'exécution des outils de récupération de tickets Kerberos.

Éléments à détecter

Les éléments suivants sont nécessaires pour détecter une attaque Kerberoasting :

Moyens de détection

Pour détecter ces événements liés au Kerberoasting dans l'environnement Active Directory, plusieurs moyens peuvent être mis en place :

  1. Surveiller l'installation d'outils d'attaque : Utiliser l'événement ID 4688 pour détecter des outils téléchargés comme Impacket.
  2. Surveiller la connexion de compte utilisateur de SPN : Utiliser l'ID 4624 et l'ID 4634 pour détecter des connexions réussies, souvent liées à la demande de TGT initiale si les événements ont lieu en même temps.
  3. Surveiller l'exécution de commandes Powershell : Utiliser les événements ID 4103 et 4104 pour détecter des scripts Powershell suspects.
  4. Surveiller les demandes de TGS : Utiliser l'événement ID 4769 pour détecter une demande anormale ou un volume élevé de TGS qui peut être un indicateur de l'attaque.

⚠️ Cependant, il faut faire attention car ces événements font beaucoup de bruits et peuvent provenir d'actions légitimes. ⚠️

Voici une liste non exhaustive de faux positifs potentiels.

Faux positifs possibles

Pour les réduire, le mieux serait de corréler les événements et de détecter un grand nombre sur une durée limitée.

Démonstration

Afin de vous donner plus de visibilité sur cette attaque, nous allons en simuler une.

Environnement

Pour pouvoir exécuter une attaque Kerberoasting, nous avons besoin de deux machines virtuelles :

Nous utilisons une machine Kali Linux pour l'attaquant car elle possède déjà des outils d'attaque Kerberoasting comme Impacket. Pour le serveur AD, nous avons activé les stratégies citées plus haut.

Exécution

Utilisation de l'outil GetUserSPNs d'Impacket : impacket-GetUserSPNs domain/user_ad -dc-ip IP_DC -request > hash_spn.txt

Dans ce cas-là, l'outil est utilisé pour obtenir un hash de mot de passe des comptes utilisateur qui possèdent un SPN (Service Principal Name). On ajoute la -request pour que le script récupère le hash à cracker. Sans cette option, le script va seulement afficher les comptes SPN vulnérables et ne va pas demander le TGS. Dans la capture, vous retrouvez le hash entre les crochets rouges et c'est celui-ci que l'attaquant tentera de cracker avec un outil comme John The Ripper afin de retrouver le mot de passe du compte svc_SQL.

Observations dans Event Viewer

Maintenant, nous allons dans le contrôleur de domaine et nous recherchons les événements qui résultent de l'exécution précédente. On retrouve bien les événements cités plus tôt et qui donnent des indications qui vous permettront de déterminer la légitimité de la demande de TGS.

Nos recommandations

Même si vous êtes maintenant des experts sur le Kerberoasting, nous avons quand même quelques recommandations pour vous 😉

Lexique

Ticket de Service (TGS)

Un ticket Kerberos généré par le TGS (Ticket Granting Service) pour accéder à un service particulier. Ce ticket est chiffré avec la clé du service cible.

Ticket Granting Ticket (TGT)

Un ticket délivré par le Service d'Authentification (AS) permettant de demander des TGS sans réauthentification.

Centre de distribution de clé (KDC)

Composant central de Kerberos qui authentifie les utilisateurs et délivre les tickets. Il inclut le Service d'Authentification (AS) et le Service de Délivrance de Tickets (TGS).

SPN

Nom unique identifiant un service spécifique dans un domaine, utilisé dans les demandes de TGS.

Authentification Service (AS)

Il s’agit du service sur lequel l’utilisateur s’authentifie. Il délivre un TGT (Ticket Granting Ticket) en cas d’authentification réussie. Ce ticket est en fait une demande d’accès au TGS.

Références

Écrit par Elise CHABENIUK

Analyse d'un kit de phishing AiTM (Adversary-In-The-Middle) : Tycoon 2FA

Au cours des dernières semaines, l'équipe de Réponse à Incident d'AISI a traité plusieurs cas similaires d'attaques de phishing AiTM (Adversary-In-The-Middle) liées à Storm1747. Les outils utilisés pour ce type d'attaque, disponibles à la vente en tant que PhaaS (Phishing-as-a-Service), continuent de se perfectionner. Nous avons choisi de partager nos recherches à cette belle communauté de la Cyber Sécurité afin de faciliter l'identification rapide de ces attaques et l'application de contre-mesures appropriées.

AiTM (Adversary-In-The-Middle)

L'attaque AiTM (Adversary-In-The-Middle) est une évolution de l'attaque connue (MitM) Man-in-the-Middle. Cette attaque consiste à intercepter la communication entre deux parties sans qu'aucune des deux puisse le savoir. L'attaque Adversary-In-The-Middle est plus spécialisée et plus moderne, on la retrouve généralement dans les attaques de phishing. Le fonctionnement est expliqué dans le schéma suivant :

Comme illustré sur le schéma, ce type d'attaque permet de contourner la sécurité rajoutée par une 2FA. Cette figure illustre un scénario classique de ce type d'attaque, mais l'imagination des attaquants ne manque pas (et oui, sinon ce serait trop facile winking face ) et les scénarios évoluent très vite.

Comprendre ce type d'attaque est important pour la suite de notre analyse. Nous allons commencer par donner une vue globale sur ce type d'attaque.

Résumé de l'attaque

Le schéma suivant donne un résumé du fonctionnement du kit de phishing Tycoon 2FA. Il est important de noter que ce genre d'outil ne cesse de s'améliorer, les autres cas d'attaque peuvent varier mais le fonctionnement général reste le même.

Groupe d'attaquant Storm1747

Nos différentes recherches en source ouverte ainsi que les IOCs et Observables nous ont permis de faire le lien entre le groupe d'attaquant Storm1747 et l'outil de kit de phishing Tycoon 2FA

Sources :

IOCs et Observables

Type d’indicateurIndicateurDescription
IP104.21.73.56IP contactée lors du parcours de phishing
IP104.21.75.128IP contactée lors du parcours de phishing
IP188.114.96.2IP contactée lors du parcours de phishing
IP172.67.158.68IP contactée lors du parcours de phishing
IP172.67.175.219IP contactée lors du parcours de phishing
IP172.67.139.11IP contactée lors du parcours de phishing
IP172.67.149.197IP contactée lors du parcours de phishing
IP89.185.80.20IP utilisé pour l'authentification
IP89.185.80.22IP utilisé pour l'authentification
Domaineapp.seesaw[.]meDomaine légitime détourné pour des actions malveillantes
Domainezxxdkgkv[.]ruNom de domaine aléatoirement généré contacté lors du parcours de phishing
Domainelpliwptf[.]ruNom de domaine aléatoirement généré contacté lors du parcours de phishing
Domainebirsbunh[.]ruNom de domaine aléatoirement généré contacté lors du parcours de phishing
Domainebfcgpixdwnw[.]ruNom de domaine aléatoirement généré contacté lors du parcours de phishing
Domaineezmbsgzm[.]ruNom de domaine aléatoirement généré contacté lors du parcours de phishing
Domainesxiftsolutions[.]ruNom de domaine aléatoirement généré contacté lors du parcours de phishing
Domainerdskystudio[.]comNom de domaine aléatoirement généré contacté lors du parcours de phishing
User AgentAxios/1.7.8User Agent utilisé par l’attaquant
Application AzureOfficeHome, Application ID 4765445b-32c6-49b0-83e6-1d93765276caUtilisée lors de l'authentificaiton


Nous allons maintenant voir tout cela dans les détails winking face .

Analyse du mail de phishing

L'attaquant récupère des emails précédemment reçus par la victime, ce qui renforce la crédibilité des emails de phishing envoyés ultérieurement aux futurs destinataires.

Ci après quelques exemples de mail de phishing reçu :

A première vue, il n'y a rien d'illégitime dans ces emails. Les emails sont envoyés depuis une boite email de l'entreprise (compte compromis de la victime), l'url redirige vers un site web connu et légitime app.seesaw[.]me. Ce dernier est une plateforme connue pour faire facilement de belle présentation.

En cliquant sur le lien, on arrive sur le site de app.seesaw[.]me avec une image de l'email.

Un clique sur l'image redirige vers un nom de domaine Russe généré aléatoirement. Là, l'analyse commence à être intéressante 😄!

Analyse des systèmes anti-détection

Nous continuons notre analyse en cliquant sur le lien généré aléatoirement 5rh.zxxdkgkv[.]ru/mkrif/. Ce dernier nous ramène sur une page où il y a la vérification anti-robot de Cloudfare.

Nous validons le test et rien ne se passe, nous sommes juste redirigés vers des pages aléatoires de Microsoft. Ce qui nous semblait étrange car lors de nos enquêtes les utilisateurs nous parlaient d'une page d'authenfication avec une demande 2FA.

Après plusieurs tests sur plusieurs environnements, certains de nos tests passent. Nous commençons alors par analyser plus en profondeur les différentes requêtes HTTPS.

L'image suivante nous montre l'enchaînement des requêtes quand il y a une redirection aléatoire vers des sites de Microsoft :

  1. Page app.seesaw[.]me
  2. 1ère vérification anti-robot de l'attaquant avec Cloudflare
  3. Différentes requêtes de vérification anti-robot de Cloudflare
  4. 2ème vérification de l'attaquant
  5. Redirection aléatoire vers des sites Microsoft après échec de la 2ème vérification

L'image suivante nous montre l'enchaînement des requêtes quand il y a une redirection vers la fausse page d'authentification :

  1. Page app.seesaw[.]me
  2. 1ère vérification anti-robot de l'attaquant avec Cloudflare
  3. Différents requêtes de vérification anti-robot de Cloudflare
  4. 2ème vérification de l'attaquant
  5. Redirection vers la fausse page d'authentification après validation de la 2ème vérification.

L'idée maintenant est de comprendre comment fonctionne cette 2ème vérification.

En analysant les différentes requêtes HTTP, on a remarqué du code javascript offusqué qui nous a semblé intéressant.

Pour avoir le code en clair, nous avons créé un petit script python (comme on les aime winking face ) pour nous aider :

Le code en clair nous montre que l'attaquant vérifie la présence de sandbox d'analyse automatique de lien ou l'utilisation de BURP.

De là, tout s'explique car nous avons utilisé l'outil BURP à chaque fois qu'on a été redirigé aléatoirement vers les sites de Microsoft.

Ensuite, l’attaquant vérifie si la victime utilise le mode développeur, l'inspection du navigateur, ou même juste un clic droit pour analyser les requêtes, dans ce cas, une redirection aléatoire vers les sites web de Microsoft est faite.

Après, l'attaquant vérifie la présence d'un debugger dans le navigateur, dans ce cas une redirection aléatoire est faite, vers Google pour notre exemple.

Une fois toutes ces vérifications faites, une requête poste est envoyée avec les paramètres d'URL de la page de Phishing. Cette requête retourne une réponse chiffrée avec l'algorithme AES, elle est ensuite déchiffrée et la victime est redirigée vers une url contenue dans la réponse déchiffrée. En cas d'erreur, la victime est redirigée aléatoirement, vers Microsoft Teams dans cet exemple.

On commence à voir plus clair maintenant sur les différentes redirections aléatoires que l'on a eu lors de nos tests winking face with tongue

En avançant dans le parcours de phishing, nous arrivons sur une page disant API has expired.

En analysant les différentes requêtes, il y en a une qui vérifie la date d'expiration du lien et retourne une donnée indiquant si la page a expiré ou non.

POST hxxps://uyyv.zxxdkgkv[.]ru/wrq1tUOE0wtcDZ2aVQE1XyBtVVVDtylAQAiuDAfGZI3uknNi524g

En modifiant la requête dans BURP, ou en la supprimant, on arrive à contourner cette vérification grinning face

Une fois toutes ces vérifications faites, des Cookies de Session sont rajoutés à la page de la victime, permettant ainsi l'accès à la fausse page d'authentification Microsoft. Un copier-coller de l'url ne permet pas d'afficher la fausse page d'authentification du phishing.

Maintenant que nous avons compris les différents mécanismes anti-détection dans le kit de phishing, nous allons analyser le parcours avec la fausse page de phishing.

Analyse du parcours de phishing

Comme pour les différents systèmes anti-détection utilisés par l'attaquant, le code source de la fausse page d'authentification Microsoft est offusqué dans le javascript avant d'être affiché à l'aide de la fonction document.write().

Cette méthode permet de conditionner l'affichage de la page et d'éviter la détection par les solutions de sécurité. La fausse page d'authentification est illustrée dans la figure ci-dessous.

Dès qu'un caractère est saisie dans le formulaire, les informations suivantes sont envoyées vers l'attaquant :

Nous avons choisi de tester 2 scénarios :

(Bien sur, il faut créer un compte Microsoft de test, jetable et qui n'est pas lié au tenant de votre entreprise)

Authentification avec un faux mot de passe

Nous nous authentifions sur la page de phishing en renseignant notre adresse email et puis un faux mot de passe.

Instantanément, nous avons une authentification en échec depuis une IP aux Etats-Unis dans les journaux d'activité du compte Microsoft. Je tiens à noter que nous n'étions pas aux Etats-Unis lors de nos tests.

Authentification avec les vrais identifiants

Maintenant, nous allons essayer avec les vrais identifiants et observer ce qui se passe. Nous réussissons la connexion et une demande d'authentification multifacteur 2FA est faite. Nous jouons le jeu et renseignons notre code 2FA.

Nous retrouvons dans les journaux d'activités du compte Microsoft une autre connexion depuis les Etats-Unis, cette fois-ci en réussie Successful sign-in.

Voilà, notre compte de test est compromis smiling face with tear

Recommandations

Si vous faites face à ce genre d'attaque, nous vous recommandons de :

Si vous souhaitez une investigation approfondie, pourquoi ne pas contacter l'équipe DFIR d'AISI (oups, pas de pub on a dit) zipper-mouth face

📝 Écrit par Maminiaina RABAKOSON Analyste DFIR et ELF