Informatique légale · Linux

Reconstitution forensic des reverse shells – Mise en évidence forensic des accès à distance sortants des attaquants

Un « reverse shell » est une connexion établie activement depuis un système compromis vers un Server contrôlé par l'attaquant, qui lui permet de disposer d'une ligne de commande interactive sur le système concerné.

Demande sans engagement

Comme une telle connexion provient du système compromis lui-même, elle peut parfois contourner plus facilement les mesures de sécurité périmétriques, qui contrôlent principalement les connexions entrantes.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons les systèmes à la recherche d'indices laissant supposer l'utilisation de « reverse shells », reconstituons les connexions réseau et les activités des processus associées, et datons, dans la mesure du possible, les commandes exécutées.

Domaines d'application typiques

•Preuve de l'utilisation d'un « reverse shell »
•Reconstitution des commandes exécutées via un « reverse shell »
•Identification de l'infrastructure cible de l'attaquant
•Évaluation de l'étendue de l'accès obtenu via la connexion
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une enquête sur un « reverse shell »

Une fois la sauvegarde effectuée, les éléments du réseau et les artefacts de processus disponibles sont analysés afin de détecter d'éventuelles connexions sortantes atypiques. Les processus à l'origine de ces connexions ainsi que les outils utilisés sont identifiés, puis regroupés avec d'autres artefacts du système afin d'établir une chronologie.

Pourquoi l'analyse d'un « reverse shell » présente-t-elle un intérêt sur le plan de la criminalistique ?

Un « reverse shell » constitue souvent le moyen d'accès direct et interactif d'un attaquant ; c'est pourquoi sa reconstitution dans le cadre d'une enquête informatique peut fournir des informations essentielles sur l'étendue et la durée d'un accès.

La connaissance de l'infrastructure ciblée par l'attaquant peut en outre s'avérer importante pour la mise en œuvre de mesures supplémentaires ainsi que pour une éventuelle identification de l'incident.

Foire aux questions

En quoi un « reverse shell » diffère-t-il d'une connexion shell classique ?+
Dans le cas d'un « reverse shell », c'est le système compromis qui établit activement la connexion avec l'attaquant, et non l'attaquant qui se connecte activement au système.
Est-il encore possible de détecter une connexion « reverse shell » déjà interrompue ?+
Dans la mesure où les éléments correspondants (réseau, processus ou journaux) sont encore disponibles, cela est possible dans de nombreux cas.
Quels sont les outils fréquemment utilisés à des fins malveillantes pour créer des « reverse shells » ?+
Il s'agit notamment d'interpréteurs courants et d'outils réseau déjà présents sur de nombreux systèmes, qui sont utilisés à des fins autres que celles pour lesquelles ils ont été conçus.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle sur la „ reconstruction judiciaire des reverse shells " ? LanCologne vous aide à sécuriser les preuves numériques de manière à ce qu'elles soient recevables devant les tribunaux, ainsi qu'à analyser de manière transparente les artefacts Linux pertinents.

Nous contacter dès maintenant