13 novembre 2025
La cybersécurité pourrait tout aussi bien avoir son propre langage. Il y a tellement d’acronymes, de termes et de dictons que les professionnels de la cybersécurité et les acteurs de la menace utilisent, qu’à moins d’avoir des connaissances approfondies, une expérience dans le domaine de la sécurité ou un vif intérêt, on ne le sait peut-être pas. Comprendre la signification de ces acronymes et termes est la première étape pour développer une compréhension approfondie de la cybersécurité et, par conséquent, mieux vous protéger, ainsi que vos clients et vos employés.
Dans cette série de blogs, nous visons à expliquer et à simplifier certains des termes les plus couramment utilisés. Auparavant, nous avons abordé l’hébergement à toute épreuve, les CVE, les API, les attaques par force brute, les exploits zero-day, le doxing et la collecte de données, indicateurs de compromission. Dans cette édition, nous nous penchons sur les indicateurs d’attaque.
Indicateurs d’attaque (IoAs) 101
Un indicateur d’attaque (IoA) est un modèle de comportement ou une activité qui révèle qu’une cyberattaque est en cours ou sur le point de se produire. Les IoA se concentrent sur la détection de l’intention et des méthodes d’un attaquant en temps réel, permettant aux organisations d’identifier et d’arrêter les actions malveillantes avant qu’elles ne causent des dommages majeurs.
Plutôt que de s’appuyer sur des preuves de violations passées, les IoA mettent en évidence les tactiques, techniques et procédures (TTP) de l’attaquant au fur et à mesure de leur déploiement, fournissant ainsi une alerte précoce en cas de menaces actives ou émergentes.
IoA contre IoC
Il est important de distinguer les IoA des indicateurs de compromission (IoC). Les IoA se concentrent sur les comportements et les tactiques qui suggèrent qu’une attaque est actuellement en cours ou sur le point de se produire, tandis que les indicateurs de compromission vous indiquent qu’une compromission a déjà eu lieu. Ces deux éléments sont cruciaux pour une stratégie globale de cybersécurité.
Illicit Trade FR et IoAs
Exemples d’IoA dans le Darknet surveillés par Illicit Trade FR
- Malwares et kits d’exploitation : Publicités ou discussions sur des logiciels malveillants de haute qualité conçus pour échapper à la détection ou aux exploits pouvant être utilisés dans une attaque.
- Outils pour les activités malveillantes : Preuve de groupes utilisant des outils spécifiques pour désactiver les logiciels de sécurité, comme un tueur EDR (endpoint Detection and Response), afin de faciliter une attaque.
- TTP : Discussion et partage de techniques d’attaque sur les forums darknet, ce qui indique le développement actif et l’utilisation de nouvelles méthodes.
Comment Illicit Trade FR aide à identifier les IoA
- API d’entité : Cet outil permet d’identifier et de contextualiser des entités telles que les adresses IP et les domaines au sein des données darknet collectées, ce qui est crucial pour corréler les indicateurs et évaluer les menaces en temps réel. Avec Entity API, les utilisateurs peuvent identifier, surveiller et cibler rapidement et efficacement des menaces particulières sur le darknet qui correspondent à leurs besoins et cas d’utilisation particuliers.
- Plateforme Vision : Cette plateforme collecte et indexe de grandes quantités de données du darknet, permettant d’identifier les attaques potentielles en cours en recherchant des mots-clés et des modèles pertinents. Vision UI est la plateforme leader du secteur permettant aux analystes de rechercher des données sur le darknet de manière simple, sûre et complète.
- Renseignements sur les menaces : En surveillant les forums, les marchés et d’autres sources, Illicit Trade FR peut identifier les dernières menaces et méthodes d’attaque discutées et vendues sur le darknet. Avec 227 500 pages de contenu darknet récupérées et indexées toutes les heures, la base de données de collection de Illicit Trade FR ne cesse de s’étendre.
Illicit Trade FR aide à détecter les deux grâce à ses renseignements sur le darknet en identifiant les tactiques, techniques et procédures (TTP) des attaquants. Les exemples incluent des publicités pour des logiciels malveillants ou des kits d’exploitation, des discussions sur des attaques sur des forums darknet ou l’utilisation d’outils, qui indiquent tous une attaque potentielle ou en cours.
Produit phare : Explorer l’acteur
Dans le monde numérique d’aujourd’hui, le paysage des cybermenaces est en constante évolution et de plus en plus sophistiqué. Alors que les entreprises et les particuliers deviennent de plus en plus dépendants de la technologie, la nécessité de protéger les données sensibles et les infrastructures critiques contre les cyberattaques n’a jamais été aussi critique.
Une approche efficace pour renforcer la cybersécurité consiste à suivre et à surveiller les auteurs de cybermenaces. Les acteurs responsables de la conduite des attaques ; individus ou groupes ayant des intentions malveillantes, ciblant souvent des organisations, des gouvernements ou des individus. Comprendre pourquoi ils opèrent, ce qu’ils espèrent réaliser et quelles méthodologies ils utilisent peut aider les analystes à protéger les infrastructures et à prévoir les activités futures. L’identification et la surveillance des tactiques, techniques et procédures (TTP) des acteurs de la cybermenace constituent également une étape importante pour mieux comprendre les stratégies des acteurs. Ces informations peuvent s’avérer inestimables pour comprendre comment les attaques sont exécutées et identifier les vulnérabilités potentielles dans la défense d’une organisation.
Avec Actor Explore de Illicit Trade FR, les utilisateurs peuvent consulter les informations sélectionnées par les analystes sur les groupes d’acteurs menaçants actifs sur le darknet et au-delà. Nous explorons les motivations derrière les groupes, les outils qu’ils ont utilisés et les attributs consultables sur lesquels s’appuyer dans Illicit Trade FR Vision. Le suivi des informations disponibles sur les acteurs de la menace, telles que leurs motivations, les TTP, les victimes et leurs activités, peut fournir des informations précieuses qui permettent aux analystes de prédire leur comportement et de prendre des mesures proactives pour protéger leur organisation.
Point culminant du produit : API DarkSonar
Alors que les cyberattaques sont de plus en plus nombreuses, les organisations ont besoin de meilleures informations pour se protéger, ainsi que leurs employés et leurs clients, contre des incidents tels que les violations de données et les attaques de ransomwares. Cette augmentation des cyberactivités illicites ne fait qu’accroître la nécessité de se protéger contre ces attaques et de déterminer leur probabilité. Le darknet contient des données essentielles à la compréhension des comportements criminels et des risques de sécurité, et les entreprises doivent comprendre leur exposition sur le darknet pour déterminer les risques et prendre des mesures d’atténuation.
DarkSonar, une évaluation du risque relatif basée sur les renseignements sur le darknet, mesure l’exposition des informations d’identification d’une organisation sur le darknet. DarkSonar permet aux entreprises de modéliser les risques, de comprendre leurs faiblesses et d’anticiper les cyber-incidents potentiels. À leur tour, les organisations sont en mesure de prendre des mesures d’atténuation pour se protéger contre la perte de données, de bénéfices et de réputation de marque.
DarkSonar dans la nature
Moteurs généraux
En avril 2022, General Motors a révélé avoir subi une attaque de « credential stuffing ». Les attaquants ont accédé aux informations personnelles identifiables (PII) des clients et échangé des points de récompense contre des cartes cadeaux.
À retenir : le signal d’exposition des e-mails de DarkSonar a détecté une augmentation anormale du texte en clair et des informations d’identification hachées au cours des mois précédant l’attaque.
Pipeline colonial
Fin avril 2021, des pirates informatiques ont réussi à pénétrer dans les réseaux de Colonial Pipeline Co. Le piratage a détruit le plus grand pipeline de carburant des États-Unis et a entraîné des pénuries sur la côte Est, selon un consultant en cybersécurité qui a répondu à l’attaque. Le compte du réseau privé virtuel n’était plus utilisé au moment de l’attaque mais pouvait toujours être utilisé pour accéder au réseau de Colonial, a-t-il déclaré.
À retenir : DarkSonar détecte les informations d’identification en texte brut disponibles sur le darknet.
FujiFilm
Début juin 2021, les serveurs de l’entreprise Fujifilm ont été infectés par un Ransomware. Bien qu’ils n’aient jamais divulgué de détails spécifiques, il s’agirait du Ransomware Qbot. Qbot est généralement initié par phishing.
À retenir : DarkSonar a détecté une augmentation de l’exposition des e-mails qui peut être utilisée dans le cadre d’une attaque de phishing.
