Malware et EDR

L'attaque : Malware

Malware est le nom de tous les logiciels malveillants : chevaux de Troie, vers, rançongiciels, keyloggers, rootkits, logiciels espions. Une fois lancé sur un ordinateur, il peut voler des données, chiffrer les fichiers pour exiger une rançon, ouvrir un accès caché ou se propager à d'autres machines. Il arrive souvent sous forme de pièce jointe ou de téléchargement d'apparence anodine, ou bien un attaquant l'installe après une première intrusion.

La défense : EDR

L'EDR (Endpoint Detection and Response) est l'évolution de l'antivirus : au lieu de chercher seulement les signatures des malwares connus, il observe le comportement des programmes sur chaque ordinateur et serveur (processus qui chiffrent des milliers de fichiers, connexions suspectes, modifications du système) et peut isoler la machine ou arrêter le processus. Avec l'antivirus et le travail d'un SOC, c'est la défense principale contre les malwares.

Qui arrête quoi

• EDR contre Malware : dégâts divisés par deux. Le malware doit s'exécuter sur un ordinateur, et c'est justement là que l'EDR observe son comportement et le bloque.
• Malware contre Formation : double dégâts. Une fois lancé, le malware agit et se propage tout seul : il ne demande plus la permission à personne.
• Malware contre Firewall : double dégâts. Le malware est déjà dans le réseau et communique par des ports autorisés, mêlé au trafic web normal.
• Scan contre EDR : double dégâts. L'EDR surveille les programmes sur les ordinateurs, alors que le scan vient de l'extérieur et interroge les services réseau.
• DDoS contre EDR : double dégâts. Une vague de trafic n'exécute aucun programme sur les ordinateurs : pour l'EDR, il n'y a rien à bloquer.

Dans toutes les autres combinaisons, les dégâts sont normaux.

Les combos avec Malware

• Livraison (Phishing → Malware, +2 dégâts): le message appât fait entrer le malware, comme dans la plupart des infections réelles.
• Escalade (Exploit → Malware, +2 dégâts): une faille exploitée ouvre la voie à l'installation du malware.
• Persistance (Malware → Malware, +1 dégâts): un malware déjà installé en télécharge et en cache d'autres.

Cartes d'attaque Malware (19)

Trojan

#007 · Attaque · Malware · ◆2 · puissance 3 · Commune · Arène 1 (Laboratoire)

Un programme qui a l'air inoffensif mais ouvre la porte à l'attaquant.

Keylogger

#018 · Attaque · Malware · ◆1 · puissance 1 · Commune · Arène 1 (Laboratoire)

Enregistre chaque touche frappée. Pendant 2 tours, l'adversaire perd 1 d'intégrité au début de son tour.

Worm

#009 · Attaque · Malware · ◆4 · puissance 5 · Rare · Arène 3 (Centre de données)

Un malware qui se propage tout seul de machine en machine. Tu pioches une carte.

Backdoor

#022 · Attaque · Malware · ◆3 · puissance 3 · Rare · Arène 3 (Centre de données)

Un accès caché laissé dans le système. Pendant 3 tours, l'adversaire perd 1 d'intégrité au début de son tour.

Cryptojacking

#031 · Attaque · Malware · ◆2 · puissance 2 · Commune · Arène 3 (Centre de données)

L'adversaire a 1 de bande passante en moins pendant 2 tours.

Rootkit

#032 · Attaque · Malware · ◆4 · puissance 4 · Rare · Arène 4 (SOC)

Pendant 4 tours, l'adversaire perd 1 d'intégrité au début de son tour.

Malware sans fichier

#097 · Attaque · Malware · ◆3 · puissance 4 · Rare · Arène 4 (SOC)

Il vit uniquement en mémoire, sans écrire de fichier sur le disque : les antivirus à signatures le voient mal. Les défenses adverses en jeu perdent toutes leurs capacités tant qu'elles restent en jeu.

Ransomware as a service

#100 · Attaque · Malware · ◆5 · puissance 6 · Épique · Arène 4 (SOC)

Un ransomware à louer : développeurs et affiliés se partagent la rançon. En plus, 2 dégâts directs au core ; pendant 3 tours, au début du tour, les défenses adverses perdent 1 de résistance.

Beaconing

#186 · Attaque · Malware · ◆2 · puissance 2 · Commune · Arène 4 (SOC)

Le malware appelle son serveur de commande à intervalles réguliers : cette régularité même le trahit dans les journaux. Pendant 2 tours, l'adversaire perd 1 d'intégrité au début de son tour.

Évasion de l'EDR

#191 · Attaque · Malware · ◆3 · puissance 3 · Rare · Arène 4 (SOC)

Des techniques pour échapper au capteur de l'endpoint : contre elles il faut un EDR qui surveille les comportements, pas seulement les signatures. La défense adverse la plus faible perd 2 de résistance.

Ransomware

#008 · Attaque · Malware · ◆5 · puissance 7 · Épique · Arène 6 (Dark web)

Chiffre les fichiers et exige une rançon. Frappe aussi directement le core.

Infostealer

#204 · Attaque · Malware · ◆2 · puissance 2 · Commune · Arène 6 (Dark web)

Un malware qui emporte les mots de passe et les cookies enregistrés dans le navigateur. On le contre avec la MFA, des sessions courtes et aucun mot de passe dans le navigateur. Tu pioches une carte.

Double extorsion

#209 · Attaque · Malware · ◆6 · puissance 8 · Épique · Arène 6 (Dark web)

En plus de chiffrer les données, on les copie et on menace de les publier. On s'y prépare avec des sauvegardes déconnectées et des données chiffrées au repos. En plus, 2 dégâts directs au core et l'adversaire défausse 1 carte au hasard.

Ver auto-propagé

#212 · Attaque · Malware · ◆6 · puissance 7 · Légendaire · Arène 6 (Dark web)

Il se répand tout seul dans tout le réseau interne en exploitant une faille non corrigée : segmentation et correctifs l'arrêtent. 2 dégâts à toutes les défenses adverses et 2 dégâts directs au core.

Sabotage SCADA

#220 · Attaque · Malware · ◆7 · puissance 8 · Légendaire · Arène 7 (Cyber range)

Un malware modifie les automates d'une installation pendant que les écrans affichent des valeurs normales. On l'évite avec des réseaux OT cloisonnés et un firmware vérifié. Ignore les contre-mesures et inflige 2 dégâts à toutes les défenses adverses.

Wiper

#033 · Attaque · Malware · ◆7 · puissance 9 · Épique · Arène 8 (Zero-day)

L'adversaire défausse 2 cartes au hasard.

Rootkit noyau

#171 · Attaque · Malware · ◆5 · puissance 5 · Épique · Arène 8 (Zero-day)

Un malware qui se niche au cœur du système d’exploitation et éteint ce qui devrait le surveiller. Dissout un sortilège de l’adversaire (le plus cher) et la défense adverse la plus forte perd 1 de résistance.

Dependency confusion

#227 · Attaque · Malware · ◆5 · puissance 5 · Épique · Arène 8 (Zero-day)

Un paquet public portant le même nom qu'un paquet interne est installé à sa place. On l'évite avec des registres privés prioritaires et des versions figées. Pendant 4 tours, l'adversaire perd 1 d'intégrité au début de son tour ; en plus, 1 dégât à toutes ses défenses.

Implant dans le firmware

#229 · Attaque · Malware · ◆7 · puissance 8 · Légendaire · Arène 8 (Zero-day)

Un programme caché dans le firmware survit aux réinstallations et aux changements de disque. On l'évite avec le démarrage sécurisé et un firmware signé et mesuré. Pendant 4 tours, l'adversaire perd 1 d'intégrité au début de son tour ; ses défenses en jeu perdent toutes leurs capacités.

Cartes de défense EDR (6)

Antivirus

#047 · Défense · EDR · ◆2 · résistance 4 · Commune · Arène 1 (Laboratoire)

Reconnaît les malwares connus grâce à leurs signatures.

Sandbox

#062 · Défense · EDR · ◆3 · résistance 4 · Rare · Arène 3 (Centre de données)

Régénère : +1 de résistance au début du tour.

Salle de sauvegarde

#102 · Défense · EDR · ◆2 · résistance 3 · Commune · Arène 3 (Centre de données)

Un local protégé où les copies des données attendent d'être restaurées. Soigne le core : +1 d'intégrité au début du tour.

Sauvegarde immuable

#183 · Défense · EDR · ◆3 · résistance 4 · Rare · Arène 3 (Centre de données)

Une copie que même un administrateur compromis ne peut ni effacer ni chiffrer : l'antidote au ransomware. Soigne le core : +1 d'intégrité au début du tour. Régénère : +1 de résistance au début du tour.

EDR

#048 · Défense · EDR · ◆4 · résistance 8 · Épique · Arène 4 (SOC)

Endpoint Detection & Response : observe les comportements et bloque même les nouveaux malwares.

XDR

#067 · Défense · EDR · ◆7 · résistance 11 · Légendaire · Arène 8 (Zero-day)

Régénère : +2 de résistance au début du tour.

Les autres groupes de cartes

• Phishing et Formation
• Exploit et Patch
• Brute force et MFA
• Scan et IDS
• DDoS et Firewall
• Cartes de soutien
• Terrains
• Pièges
• Sorts

Toutes les cartes et la table des types