Pourquoi un logiciel malveillant ne s'active-t-il pas toujours dans un laboratoire de test de sécurité ?

Réponse courte : les attaquants conçoivent les logiciels malveillants pour qu'ils restent dormants tant qu'ils ne reçoivent pas un signal de validation provenant d'un serveur de commande et de contrôle (C2) actif qu'ils contrôlent. Au moment où un échantillon parvient à une base de données de logiciels malveillants, l'infrastructure C2 a généralement déjà été déplacée — les chercheurs testent donc souvent un échantillon orphelin qui n'accomplit rien.

Pourquoi les attaquants intègrent une dormance

• Minimiser le renseignement disponible : un logiciel malveillant dormant n'effectue aucune action malveillante observable, ce qui laisse moins d'éléments aux analystes pour documenter et moins de matière aux éditeurs pour élaborer des signatures.
• Empêcher le détournement : exiger une poignée de main secrète garantit qu'un concurrent ou un chercheur qui s'empare du serveur C2 ne peut pas simplement donner des instructions au logiciel malveillant ni récupérer les données volées.

Ce que cela signifie pour l'évaluation des outils de sécurité

Un test en laboratoire mené sur un échantillon déconnecté ne mesure que très peu de choses. La question pertinente n'est pas de savoir si un outil réagit à un logiciel malveillant dormant et inerte, mais s'il arrête les attaques réelles et rapides au moment où elles se produisent. Cyber Crucible est conçu pour ce second cas de figure : il surveille les points d'entrée liés au vol d'identité et de données que ciblent les attaques réelles, évalue l'intention en moins de 200 millisecondes et arrête le vol avant qu'il n'aboutisse.