Picus Security met en évidence une technique d'attaque pour contourner les défenses
L'analyse de Picus Security détaille la technique du "Redémarrage en mode sans échec", où les attaquants redémarrent les systèmes dans un état de diagnostic pour désactiver les logiciels de sécurité et exécuter des actions malveillantes sans être détectés.
La société de cybersécurité Picus Security a détaillé une technique de menace connue sous le nom de "Safe Mode Boot" (T1562.009 dans le cadre MITRE ATT&CK). Cette méthode permet aux attaquants de redémarrer un système compromis en Mode sans échec de Windows, un état de démarrage diagnostique qui ne charge que les services et pilotes essentiels. Ce faisant, les attaquants peuvent désactiver efficacement les logiciels de sécurité tiers, tels que les solutions antivirus et de détection et réponse des points d'extrémité (EDR), qui sont normalement inactives dans ce mode.
La technique du "Safe Mode Boot" exploite le but diagnostique prévu de cette fonctionnalité Windows. Alors que le Mode sans échec est conçu pour aider les utilisateurs à résoudre les problèmes système en isolant les causes, les attaquants tirent parti de cet environnement opérationnel réduit pour contourner les contrôles de sécurité qui détecteraient et bloqueraient normalement les activités malveillantes. Cela crée une fenêtre pour que les adversaires installent des logiciels malveillants ou mènent d'autres opérations illicites sans déclencher d'alertes immédiates.
L'analyse de Picus Security explique comment les attaquants emploient cette tactique, en fournissant des exemples concrets. Le rapport mentionne spécifiquement le ransomware RA World, qui en mars 2024 a été observé activant le Mode sans échec avec réseau en créant un service qui modifiait les clés de registre du système. Les attaquants peuvent également manipuler les "Données de configuration de démarrage" (BCD) du système pour s'assurer que le Mode sans échec avec réseau est invoqué au redémarrage.
Comprendre cette technique d'évasion des défenses est essentiel pour les organisations cherchant à améliorer leur posture de sécurité. En reconnaissant comment les attaquants pourraient exploiter le Mode sans échec, les équipes de sécurité peuvent mieux préparer leurs défenses et mettre en œuvre des stratégies de surveillance pour détecter de telles tentatives de contournement.