TP – Détecter un malware, lire une alerte et durcir le démarrage d'un poste

BTS SIO SISR 1re année – Bloc 3 – S02

Note

But. Situation : Comment un logiciel malveillant arrive sur un poste, et par quelles couches de protection l'arrêter ?

Comment ce TP fonctionne. Avant de manipuler, tu écris ce que tu anticipes (« J'anticipe »). Puis tu testes et tu notes ce que tu constates. Tu comprends ce que fait chaque commande (« Je comprends »). Un bilan de compétences clôt la séance. Les manipulations se font sur des machines virtuelles de laboratoire, isolées du réseau de l'établissement. Les identifiants communs d'un TP sont des identifiants de laboratoire : ils ne se réutilisent jamais ailleurs.

Objectif

Provoquer et lire une détection d'antivirus sur un fichier de test inoffensif, consulter une base de réputation à partir d'une empreinte, lire une fiche CVE, vérifier l'état du démarrage sécurisé d'un poste et proposer une politique de correctifs.

Contraintes

Binôme, durée : 2 h 30, sur la VM Windows de laboratoire, PowerShell ouvert en administrateur.
On n'arrête pas l'antivirus et on n'installe aucun vrai malware.
On n'envoie aucun fichier sur un service en ligne : on y cherche seulement des empreintes (voir partie B).

Partie A. Fichier de test EICAR et journal de l'antivirus (50 min)

Le fichier EICAR est une courte chaîne de caractères, inoffensive, que tous les antivirus reconnaissent comme un faux virus : on s'en sert pour vérifier qu'une protection fonctionne.

J'anticipe. Si j'écris cette chaîne dans un fichier texte, que va faire Microsoft Defender, et à quel moment (à l'écriture, à l'ouverture, jamais) ? ______________________

Éléments de réponse

La protection en temps réel analyse un fichier dès qu'il est écrit ou ouvert : il est en général détecté et mis en quarantaine immédiatement, avant même qu'on l'ouvre.

Set-Content -Path "$env:USERPROFILE\Documents\test-eicar.txt" -Value 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*'
Start-Sleep -Seconds 5
Test-Path "$env:USERPROFILE\Documents\test-eicar.txt"
Get-MpThreatDetection | Select-Object InitialDetectionTime, ThreatID, Resources

Je comprends.

Commande	Ce qu'elle fait
`Set-Content -Path ... -Value '...'`	Écrit la chaîne EICAR dans un fichier (guillemets simples : les `$` ne sont pas interprétés)
`Start-Sleep -Seconds 5`	Laisse le temps à l'antivirus d'analyser
`Test-Path`	Indique si le fichier existe encore (réponse `False` si mis en quarantaine)
`Get-MpThreatDetection`	Liste les détections récentes de Defender

Ouvre aussi l'application Sécurité Windows : Protection contre les virus et menaces, puis Historique de protection.

Questions.

Le fichier existe-t-il encore ? Où a-t-il été déplacé ? ______________________
Quelle action l'antivirus a-t-il choisie, et qu'est-ce qu'un administrateur peut faire d'un fichier en quarantaine ? ______________________
Cette détection est-elle fondée sur une signature ou sur un comportement ? Pourquoi ? ______________________

Éléments de réponse

Il a disparu du dossier : il est en quarantaine, rendu inactif.
Action : mise en quarantaine ou suppression. L'administrateur peut le restaurer (faux positif), le supprimer définitivement ou créer une exclusion (à manier avec prudence).
Signature : EICAR n'a aucun comportement dangereux ; l'antivirus le reconnaît parce que sa chaîne figure dans ses signatures.

Partie B. Empreinte, réputation et fiche CVE (45 min)

Une empreinte (hash) est un résultat de calcul à partir du contenu d'un fichier : deux fichiers identiques donnent la même empreinte, et le moindre octet de différence change tout (voir S10). Les services de réputation (par exemple VirusTotal) permettent de chercher une empreinte pour savoir si elle est connue comme malveillante, sans envoyer le fichier.

Warning

N'envoie jamais un fichier de l'entreprise sur un service public d'analyse : il peut devenir consultable par d'autres. On cherche l'empreinte, on n'envoie pas le fichier.

Get-FileHash C:\Windows\System32\notepad.exe -Algorithm SHA256

Copie l'empreinte SHA-256 de notepad.exe, puis cherche-la sur virustotal.com (zone de recherche, sans téléverser). Note le nombre de moteurs qui le jugent malveillant.
Sur le site eicar.org, relève l'empreinte SHA-256 officielle du fichier de test, puis cherche-la sur VirusTotal. Note le résultat.
Ouvre la fiche CVE-2017-0144 (cve.org ou NVD) : relève la note CVSS et sa gravité, le produit concerné et la date de publication de la fiche.

J'anticipe. Si je change un seul caractère dans un fichier malveillant connu, son empreinte sera-t-elle toujours reconnue ? Que cela dit-il de la détection par signature ? ______________________

Éléments de réponse

Non : l'empreinte est entièrement différente. Les attaquants modifient leur code pour échapper aux signatures ; c'est pourquoi les protections récentes ajoutent une analyse du comportement (EDR) et pourquoi les signatures doivent être mises à jour très souvent.

Élément relevé	Valeur
Moteurs détectant `notepad.exe`
Moteurs détectant le fichier EICAR
CVE-2017-0144 : note CVSS et gravité
Produit concerné

Question. Pour une entreprise, qu'est-ce qui rend une faille de gravité « élevée » plus urgente à corriger encore : ______________________

Éléments de réponse

Une exploitation déjà observée sur internet, un service exposé (accessible depuis l'extérieur), des machines qui portent des données sensibles, l'absence d'autres protections (segmentation, filtrage). C'est le contexte qui fait l'urgence, pas seulement la note.

Partie C. Démarrage sécurisé et politique de correctifs (45 min)

Lecture de l'état du démarrage. Dans PowerShell (administrateur) :

Confirm-SecureBootUEFI
Get-Tpm
manage-bde -status C:

Ouvre aussi msinfo32 et lis les lignes Mode BIOS et État du démarrage sécurisé.

Je comprends.

Commande	Réponse possible	Signification
`Confirm-SecureBootUEFI`	`True` / `False` / erreur « non pris en charge »	Secure Boot actif, inactif, ou machine en BIOS classique
`Get-Tpm`	`TpmPresent : True/False`	Présence d'un module de plateforme sécurisée
`manage-bde -status C:`	« Chiffrement » ou « Entièrement déchiffré »	Le disque est-il chiffré par BitLocker ?

Note

Sur une machine virtuelle, la réponse dépend de la configuration (EFI activé, TPM virtuel). Une réponse « non pris en charge » est un résultat valable : l'important est de l'expliquer (« la VM démarre en BIOS classique, donc Secure Boot n'existe pas ici »).

Questions.

Quel est l'état de ta VM pour chacun des trois contrôles ? ______________________
Pour un portable d'itinérant commercial, quelle combinaison recommandes-tu (UEFI, Secure Boot, TPM, BitLocker, mot de passe du micrologiciel) et pourquoi ? ______________________

Éléments de réponse

Tout activer : Secure Boot (chaîne de confiance), TPM (clé de chiffrement liée à l'état du démarrage), BitLocker (un vol de portable ne donne pas accès aux données), mot de passe du micrologiciel (impossible de démarrer sur une clé externe pour contourner). Le portable quitte les locaux : le risque de vol ou de perte est le principal.

Rédiger une politique de correctifs pour l'entreprise fictive Aubry (40 postes Windows, 2 serveurs de fichiers, 1 serveur web exposé). Complète le tableau :

Catégorie de correctif	Délai maximal	Test préalable	Qui valide	Remarque
Critique, machine exposée à internet
Critique, machine interne
Importante
Faible
Système en fin de support	Plan de migration

Je comprends. Les délais sont des engagements de l'entreprise : ils sont choisis selon le risque, les moyens et l'impact d'un redémarrage. Il n'y a pas de bon chiffre universel, il y a un chiffre justifié.

Retour en entreprise

Si ta situation le permet : observe comment ton entreprise traite ce sujet, note en quelques lignes l'écart avec le TP, et, avec l'accord de ton tuteur, réalise une partie sur une situation réelle. Anonymise tes captures. Voir Transfert en entreprise.

Bilan de la séance

Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation) ; Non évalué si tu n'as pas travaillé la compétence aujourd'hui.

Compétence du référentiel	Ce que j'ai fait dans cette séance	Niveau
B3.3 – Sécuriser les équipements et les usages des utilisateurs
B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service

Note

Les codes sont ceux du référentiel (l'arrêté numérote des activités : les codes « B… » sont un usage courant).

Je sais faire, sans aide :

Classer un logiciel malveillant d'après sa description ;
Déclencher et lire une détection de l'antivirus sur un fichier de test inoffensif ;
Calculer une empreinte et consulter une base de réputation sans transmettre le fichier ;
Lire un identifiant CVE et un score CVSS ;
Vérifier le démarrage sécurisé d'un poste et expliquer son rôle ;
Proposer une politique de correctifs par étapes.

Ce que je dois reprendre : ______________________

Ma question à poser à l'enseignant : ______________________