Cette chronologie repose sur une simulation APT réelle et anonymisée dans une entreprise de taille moyenne : environ 1 500 objets dans Active Directory, un EDR déployé sur tous les postes, un SOC en journée seulement. L'objectif de mission était étroit : exfiltration démontrée depuis le serveur de fichiers RH. Pas de zero-day, pas d'outillage exotique – 36 heures du premier mail d'hameçonnage à la mainmise sur le domaine.
-
Heure 0
Accès initial (T1566, T1078)
Un mail d'hameçonnage déguisé en notification interne mène à une page d'authentification clonée. L'utilisateur saisit des identifiants valides ; la MFA est traversée au lieu de se déclencher, car la connexion provient d'un appareil reconnu comme géré. Pour le SOC, une connexion banale.
-
Heure 2
Ancrage (T1059, T1105)
Sur le portable, un implant léger lancé depuis la mémoire établit la session sans rien écrire sur le disque. L'agent EDR tourne en mode passe-plats sur cet hôte – il figurait sur une liste d'exceptions lors de son intégration. Première possibilité d'arrêter l'opération, non saisie.
-
Heure 6
Découverte (T1069, T1087)
Repérage presque entièrement via les utilitaires intégrés : sessions, partages, listes d'hôtes. Plus un unique binaire d'énumération signé déposé localement. Aucune alerte.
-
Heure 12
Kerberoasting (T1558.003)
Les tickets des comptes de service sont extraits et cassés hors ligne. L'un cède en quelques minutes : 22 caractères, mais composés du nom de l'entreprise et de l'année. Les mots de passe des comptes de service sont les moins bien renouvelés d'un AD.
-
Heure 18
Déplacement latéral (T1021.001)
Le compte de service est administrateur local de deux serveurs applicatifs. Le déplacement s'effectue via RDP. De là : des tickets en mémoire, un partage de fichiers de configuration, une tâche de sauvegarde livrant un candidat de mot de passe de service. La segmentation entre couches client, applicative et d'administration n'existe que sur le papier.
-
Heure 26
Escalade (T1098, T1003.006)
Une délégation oubliée permet au compte de gérer les groupes d'une OU. Le compte machine de l'implant est ajouté à un groupe opérationnel privilégié ; après réplication, DCSync via le nouveau compte. Administrateur de domaine.
-
Heure 36
Mission (T1041)
Depuis la position d'administrateur de domaine, le chemin vers le serveur RH est droit : 1,4 Go mis en scène puis exfiltrés en HTTPS sur une fenêtre nocturne de 90 minutes, déguisés en trafic de sauvegarde.
Relue avec l'équipe bleue, la chronologie est claire : cinq des sept étapes étaient alertables avec l'outillage déjà en place – consommation Kerberos anormale, nouveaux membres dans les groupes privilégiés, droits DCSync apparus dans la nuit, l'exception EDR, le comportement de session en mémoire. Ce n'était ni un zero-day ni un exploit exotique, mais des chemins d'identité et de configuration combinés à une détection absente.
Le rapport contenait la chronologie complète avec tous les indicateurs de compromission et des recommandations priorisées de logging, de durcissement et de detection engineering. La leçon rime avec tout ce que nous écrivons : le contrôle ne s'arrête pas à l'accès, il s'arrête à la détection.
Boutique professionnelle de sécurité européenne pour le pentesting de pointe, le Red Teaming et le développement d'exploits.