Persistance

Persistence : les moyens de revenir, laissés en place par l’attaquant

Rester coûte moins cher que revenir

Entrer demande un effort : un hameçonnage qui réussit, une faille à exploiter au bon moment. Une fois à l’intérieur, l’attaquant veut pouvoir revenir sans tout recommencer. MITRE ATT&CK, le catalogue des techniques d’attaque qui fait référence, résume cette tactique, numérotée TA0003, en une phrase : l’adversaire cherche à conserver son point d’appui. Il y recense vingt-deux techniques.

Des portes de service qui ressemblent à de l’administration

Une tâche planifiée qui relance un script chaque nuit, une entrée ajoutée aux programmes lancés au démarrage, un compte créé sous un nom banal, un compte existant dont il a gardé le mot de passe, un accès à distance légitime laissé ouvert, une commande cachée dans le registre de Windows. Pris un à un, ces éléments ressemblent au travail ordinaire de l’informatique : leur banalité est leur meilleure protection.

Pourquoi un nettoyage rapide ne suffit pas

Réinstaller le poste infecté et changer le mot de passe volé ferme la porte par laquelle l’attaquant est entré, pas celles qu’il a posées ailleurs. Une attaque que l’on croyait réglée peut ainsi reprendre des semaines plus tard, par un chemin que personne n’a vu, sans le moindre nouvel hameçonnage.

Comparer ce qui existe à ce qui a été voulu

Après un incident, seule une recherche méthodique dit si l’intrus est vraiment parti : l’inventaire de tout ce qui démarre seul, des comptes, des tâches planifiées et des accès à distance, confronté à ce que l’informatique a réellement mis en place. Ce qui ne figure dans aucune décision connue reste suspect tant que l’on n’a pas établi d’où il vient.

Mise à jour : 17 octobre 2026