Après avoir compromis un hôte, un attaquant peut tenter de créer un shell inversé ou de faire transiter du trafic par le système via un tunnel. Ces techniques peuvent offrir un accès interactif, exposer des services internes ou aider à contourner les restrictions réseau.

La source définit une recherche multiplateforme axée sur les utilitaires de tunnellisation et d'administration à distance couramment utilisés.

Outils inclus dans la détection

Le composant de processus Windows inclut :

• ssh.exe ;

• plink.exe ;

• socat.exe ;

• nc.exe ;

• ncat.exe ;

• chisel.exe ;

• cloudflared.exe.

La requête recherche également des arguments de ligne de commande tels que -R, -L, reverse ou tunnel.

La télémétrie d'audit Linux est examinée pour le même ensemble général d'outils.

Requête de détection

(data.win.system.eventID:1 and data.win.eventdata.image:(*\ssh.exe or *\plink.exe or *\socat.exe or *\nc.exe or *\ncat.exe or *\chisel.exe or *\cloudflared.exe) and data.win.eventdata.commandLine:(*-R* or *-L* or *reverse* or *tunnel*)) or (rule.groups: audit and data.audit.command:(ssh or socat or nc or ncat or chisel or cloudflared))

La source a enregistré 11 événements correspondants au cours des 30 derniers jours.

Interprétation des résultats

Certains de ces outils sont légitimes. La redirection de ports SSH, par exemple, peut être utilisée par des administrateurs et des développeurs. Cloudflared peut faire partie d'une architecture applicative approuvée.

La question importante est de savoir si l'outil est attendu sur l'hôte et si la ligne de commande correspond à un cas d'usage approuvé.

Une utilisation inattendue sur un serveur de production ou un endpoint récemment compromis doit retenir davantage l'attention.

Priorités d'investigation

Examinez :

• arguments de ligne de commande ;

• nom d'hôte ou IP de destination ;

• ports locaux et distants ;

• compte utilisateur ;

• processus parent ;

• chemin du fichier et signataire ;

• horodatage de première observation ;

• autre activité du même hôte.

Un tunnel lancé par un processus de serveur web ou immédiatement après une activité RCE suspecte est particulièrement important.

Stratégie de réglage

Créez des bases de référence explicites pour la redirection SSH approuvée, les outils de support à distance et les déploiements Cloudflared connus.

Les exceptions doivent être limitées à :

• hôte connu ;

• compte approuvé ;

• destination attendue ;

• chemin binaire attendu ;

• structure de ligne de commande attendue.

Ainsi, la règle reste utile pour détecter des usages inattendus ailleurs.

Corrélation avec d'autres activités

Un shell inversé apparaît souvent avec de la reconnaissance, un accès aux identifiants ou de la persistance. Corréler ces événements peut renforcer la confiance.

Par exemple :

application web → shell → tunnel chisel → extraction d'identifiants

fournit un schéma d'attaque bien plus clair que n'importe quel événement isolé.

Valeur opérationnelle

La source n'a produit que 11 correspondances, ce qui fait de cette recherche une recherche relativement ciblée.

La surveillance des outils de tunnellisation courants peut aider les défenseurs à identifier les canaux d'administration externes qui apparaissent après une exploitation et offre une visibilité précieuse sur le comportement de commande et contrôle.