Mouvement latéral

Le mouvement latéral est la phase d'une intrusion au cours de laquelle l'attaquant utilise son accès à une machine pour en atteindre d'autres sur le même réseau, généralement avec des identifiants volés. MITRE ATT&CK en fait une tactique à part entière. Sous Windows, les techniques courantes sont le Bureau à distance, l'accès SMB aux partages administratifs, la création de services à distance à la manière de PsExec, WMI, WinRM et PowerShell Remoting, ainsi que la création à distance de tâches planifiées ou de services.

Les traces sont réparties entre deux machines, et une bonne investigation examine les deux. Sur l'hôte source, on trouve les traces de l'action sortante : les outils clients exécutés, l'historique du client RDP et les ouvertures de session avec identifiants explicites. Sur l'hôte de destination, on trouve le versant entrant : événements d'ouverture de session Security avec un type d'ouverture de session réseau ou interactif à distance, nouveaux services comme celui qu'installe PsExec, nouvelles tâches planifiées et processus lancés par WmiPrvSE.exe ou wsmprovhost.exe.

Les sources principales sont les journaux d'événements Windows, où une poignée d'ID d'événement (4624, 4648, 7045, 4698) portent l'essentiel, et les artefacts de connexion RDP. Corréler horodatages, noms de compte et adresses sources entre les hôtes permet de reconstituer le chemin suivi par l'attaquant. Comme les attaquants s'appuient souvent sur des outils d'administration intégrés, le mouvement latéral recoupe largement l'abus de LOLBins, et il précède fréquemment la mise en place d'une persistance sur l'hôte nouvellement atteint.