Picus Security explique la technique T1497.002 de MITRE ATT&CK

L'entreprise de cybersécurité Picus Security a publié une analyse approfondie de la technique T1497.002 User Activity-Based Checks, qui fait partie du cadre MITRE ATT&CK. Cette technique permet aux logiciels malveillants de détecter s'ils s'exécutent dans un environnement utilisateur réel ou dans un outil d'analyse, tel qu'une sandbox ou une machine virtuelle.

Picus Security indique que les logiciels malveillants emploient diverses méthodes pour identifier les environnements d'analyse. Celles-ci comprennent l'inspection des répertoires utilisateur comme le Bureau ou les Documents pour y trouver des fichiers, la vérification de l'historique et du cache du navigateur, ainsi que la surveillance des interactions utilisateur en temps réel telles que les mouvements de souris et les clics. L'analyse du nombre de processus et de l'activité réseau peut également révéler la nature de l'environnement.

Bien que cette technique n'ait pas figuré parmi les dix principales auparavant, T1497.002 a refait surface dans le Red Report 2026 comme l'une des plus utilisées. Le rapport met en évidence un exemple avec le logiciel malveillant LummaC2, qui retarde l'activation de sa charge utile jusqu'à ce qu'il détecte un schéma spécifique d'activité utilisateur. Cela implique la détection et l'analyse des mouvements de souris à l'aide de la trigonométrie pour confirmer un comportement humain.

Lors de la détection d'une sandbox ou d'un environnement d'analyse, le logiciel malveillant reste inactif pour éviter d'être découvert. Cela permet aux attaquants de contourner les mesures de sécurité et d'augmenter la probabilité d'une exécution réussie dans un environnement réel. L'analyse de Picus Security souligne la nécessité de comprendre et de se défendre contre de telles tactiques d'évasion avancées.