Chapitre 6 — Acteurs de Menaces & Motivations

Comprendre qui attaque et pourquoi est fondamental pour concevoir des défenses adaptées. Ce module couvre les types d'acteurs de menaces, leurs attributs, motivations, et les concepts d'OSINT.

Types d'Acteurs de Menaces

Mémorisez ! Les acteurs diffèrent en sophistication, ressources et motivations. Un État-nation = APT (très sophistiqué, patient, ressources illimitées). Un script kiddie = peu sophistiqué, utilise des outils existants. Un initié = risque particulier car il a déjà accès.

Acteur	Sophistication	Motivation principale	Caractéristiques
Script Kiddie	Très faible	Notoriété, curiosité	Utilise des outils préexistants sans comprendre. Attaques opportunistes.
Hacktiviste	Moyenne	Idéologie, cause politique/sociale	Anonymous, DDoS, defacement. Motivés par conviction.
Cybercriminel organisé	Élevée	Gain financier	Ransomware-as-a-Service, fraude BEC, vol de données revendu.
Initié (Insider Threat)	Variable	Vengeance, gain financier, erreur	Accès légitime déjà en place. Peut être malveillant ou accidentel.
État-nation / APT	Très élevée	Espionnage, sabotage, géopolitique	Ressources illimitées, patient (peut rester des mois sans être détecté), cibles spécifiques.
Concurrent commercial	Variable	Avantage concurrentiel	Espionnage industriel, vol de propriété intellectuelle.
Shadow IT	Faible (inadvertant)	Commodité	Utilisateurs qui contournent l'IT pour utiliser des services non autorisés. Risque accidentel.

APT — Advanced Persistent Threat

Une APT est une attaque sophistiquée et prolongée menée généralement par un État ou une organisation bien financée.

Advanced : utilise des zero-days, outils personnalisés, techniques d'évasion avancées.
Persistent : l'attaquant maintient l'accès pendant des mois ou années sans être détecté.
Threat : cible des organisations ou individus spécifiques avec des objectifs définis.
Cycle APT : reconnaissance → compromission initiale → établissement de persistance → mouvement latéral → exfiltration → couverture des traces.
Exemples réels : Stuxnet (Iran, sabotage centrifugeuses nucléaires), APT29 (Cozy Bear, Russia), APT41 (Chine, espionnage + ransomware).

OSINT — Open Source Intelligence

L'OSINT consiste à collecter des informations publiquement disponibles sur une cible. Les attaquants l'utilisent pour la reconnaissance. Les défenseurs l'utilisent aussi (threat intelligence).

Sources OSINT : réseaux sociaux (LinkedIn — organigramme, technologies), WHOIS, Shodan (appareils exposés sur internet), Google Dorks, archives DNS, offres d'emploi (révèlent les technologies utilisées), GitHub (code et secrets accidentellement publiés).
Shodan : moteur de recherche pour les appareils connectés à internet. Un attaquant peut trouver tous les serveurs IIS 6.0 vulnérables en quelques secondes.
Google Dorks : requêtes Google avancées pour trouver des informations sensibles indexées. Ex: site:example.com filetype:pdf "confidentiel".

Astuce Examen

Initié malveillant (malicious insider) vs initié inadvertant (negligent insider) : l'un agit intentionnellement, l'autre par erreur. Dans les deux cas, les contrôles d'accès et la surveillance sont les défenses. La formation réduit le risque de l'inadvertant.

Quiz — Acteurs de Menaces

1. Un groupe d'attaquants sponsorisé par un gouvernement reste dans le réseau d'une entreprise d'armement pendant 18 mois sans être détecté, collectant des données de conception de missiles. Quel type d'acteur décrit-on ?

Script kiddie Hacktiviste Cybercriminel organisé APT (Advanced Persistent Threat) / État-nation

Les caractéristiques APT sont présentes : sponsorisé par État, persistance longue (18 mois), cible spécifique (propriété intellectuelle militaire), sophistication (non détecté). Un script kiddie ou cybercriminel n'aurait pas cette patience et ces capacités.

2. Un employé mécontent qui copie les données clients de son employeur avant de démissionner représente quel type de menace ?

APT externe Initié malveillant (Malicious Insider) Script kiddie Hacktiviste

Initié malveillant = employé (ou ex-employé) qui utilise son accès légitime de manière malveillante. C'est particulièrement dangereux car il a déjà les accès — pas besoin de contourner les contrôles d'accès externes. Surveillance et déprovisionnement immédiat sont clés.

3. Le groupe "Anonymous" qui lance des attaques DDoS contre des entreprises en protestation contre leurs politiques est quel type d'acteur ?

Cybercriminel organisé Initié Hacktiviste État-nation

Hacktiviste = hacker + activiste. Motivés par des convictions politiques, sociales ou environnementales. Anonymous est l'exemple le plus connu. Leur but est de faire passer un message ou causer des dommages à une organisation qu'ils considèrent comme moralement mauvaise.

4. Un attaquant utilise Shodan pour trouver tous les routeurs Cisco avec des vulnérabilités connues exposés sur internet. Quelle phase de l'attaque est-ce ?

Reconnaissance / OSINT Exploitation Post-exploitation Couverture des traces

Shodan est un outil OSINT de reconnaissance. L'attaquant collecte des informations sur les cibles potentielles avant de passer à l'exploitation. La reconnaissance peut être active (scanning direct) ou passive (OSINT sans contact avec la cible).

5. Quelle caractéristique distingue principalement un "script kiddie" d'un cybercriminel organisé ?

Le script kiddie est plus difficile à tracer Le cybercriminel n'utilise pas de malwares Le script kiddie a plus de ressources financières Le script kiddie a peu de connaissances techniques et utilise des outils préfabriqués sans les comprendre

Script kiddie = utilise des outils d'attaque créés par d'autres sans comprendre leur fonctionnement. Motivé par notoriété ou curiosité, pas financièrement. Cybercriminel organisé = sophistiqué, infrastructure professionnelle, objectifs financiers clairs.

6. Le "Shadow IT" représente un risque de sécurité car :

Ce sont des attaques lancées depuis l'ombre (la nuit) Les employés utilisent des services cloud non approuvés, hors des politiques et contrôles de sécurité IT Les systèmes de nuit (shadow) ne sont pas monitorés Ce sont des comptes de service non documentés

Shadow IT = employés qui utilisent des outils SaaS non approuvés (Dropbox personnel, WhatsApp pour des données d'entreprise). Ces services échappent aux politiques DLP, aux contrôles de chiffrement, aux audits. Risque de fuite de données involontaire.

7. Un concurrent utilise LinkedIn pour identifier les technologies utilisées par votre équipe IT, puis cibler des failles dans ces technologies spécifiques. Quelle technique utilisent-ils ?

Phishing ciblé (spear phishing) War driving OSINT (Open Source Intelligence) Ingénierie sociale par téléphone

LinkedIn, les offres d'emploi, les présentations de conférences et GitHub révèlent souvent les technologies d'une organisation. Un attaquant peut identifier "ils utilisent Apache 2.2.15 sur CentOS 6" et chercher les CVEs correspondants — tout ça via OSINT sans aucun contact direct.

8. La phase "Persistence" dans le cycle d'une APT consiste à : Maintenir l'accès même après redémarrage ou changement de mot de passe (backdoors, rootkits, scheduled tasks) Recueillir des informations sur la cible avant l'attaque Exfiltrer les données collectées vers un serveur externe Effacer les traces de l'attaque dans les journaux

La persistance assure que l'attaquant maintient l'accès à long terme. Techniques : création de backdoors (RAT), tâches planifiées malveillantes (scheduled tasks), modification du registre Windows (Run keys), rootkits. Même si le mot de passe est changé, l'accès est maintenu.

9. Stuxnet est un exemple célèbre de : Ransomware déployé par des cybercriminels organisés DDoS lancé par des hacktivistes Campagne de phishing massif par des script kiddies Cyberarme développée par un État-nation pour saboter des centrifugeuses nucléaires

Stuxnet (découvert 2010) = premier malware clairement conçu pour cibler des systèmes industriels physiques (PLCs Siemens). Attribué aux USA et Israël, il a endommagé ~20% des centrifugeuses nucléaires iraniennes à Natanz — sabotage physique via malware.

10. Un attaquant utilise Google Dorks pour trouver des fichiers Excel contenant des mots de passe stockés par inadvertance sur des sites web publics. Quel type d'activité est-ce ? Exploitation active d'une vulnérabilité Reconnaissance passive OSINT Attaque Man-in-the-Middle Credential stuffing

Google Dorks = reconnaissance passive OSINT. L'attaquant n'interagit pas avec la cible — il utilise Google comme intermédiaire pour trouver des informations publiquement indexées. Exemple: site:example.com filetype:xlsx password.