Une grande partie des cyberattaques que l’on traite au quotidien dans la rubrique Cyberguerre repose sur une logique offensive directe : envoyer un mail de phishing, exploiter une vulnérabilité qui n’a pas été corrigée ou bien forcer une authentification.
Le watering hole inverse cette logique. Ici, l’attaquant ne va pas vers sa cible, il l’attend.
Cette attaque informatique s’inscrit dans une famille de techniques que l’on regroupe sous le terme d’attaques indirectes, ou attaques par rebond.
La supply chain attack en reste l’exemple le plus connu. Plutôt que de compromettre une grande organisation bien défendue, on passe par l’un de ses fournisseurs logiciels, souvent moins bien protégé.
Le watering hole applique le même raisonnement, mais à la couche web.
Concrètement, comment ça fonctionne une attaque par watering hole ?
Le nom vient de l’éthologie, l’étude du comportement animal : dans la savane, les prédateurs ne courent pas toujours après leur proie. Certains surveillent les points d’eau, sachant que les animaux y reviendront tôt ou tard pour s’abreuver.
Ici, le principe est le même. L’attaquant commence par identifier sa cible, une organisation gouvernementale, un secteur industriel, un groupe de chercheurs, puis cartographie les sites qu’elle visite régulièrement : forum professionnel, site d’une association du secteur, page d’une conférence spécialisée, portail d’un organisme de régulation. Des sites souvent moins bien maintenus, avec une surface d’attaque plus large.
L’objectif, une fois cette phase de repérage effectuée, est de compromettre l’un de ces sites en y injectant du code malveillant, généralement un script qui s’exécute silencieusement dans le navigateur des visiteurs. Ce code peut exploiter une faille du navigateur ou d’un plugin pour déposer un implant sur la machine, sans aucune interaction de l’utilisateur. C’est ce qu’on appelle un drive-by download.
La sophistication peut aller très loin. Certains pirates configurent le code malveillant pour ne se déclencher que sur certaines plages d’adresses IP, celles de l’organisation visée, afin de rester indétectables pour quiconque n’est pas la cible. Le site compromis continue alors de fonctionner normalement pour tout le monde, sauf pour les victimes choisies.
Et demain, avec les agents IA ?
Le watering hole est souvent associé aux groupes les plus avancés en cyber (APT), et pour cause : une telle approche demande du temps, une phase de reconnaissance préalable et une certaine maîtrise technique pour rester sous les radars.
La menace est scrutée de près par les spécialistes de la menace cyber, car la logique du watering hole prend une dimension nouvelle avec l’essor des agents pilotés par intelligence artificielle.
Le risque principal reste clairement l’injection de prompt indirecte : plutôt que d’attaquer l’agent directement, un assaillant empoisonne une page web ou un document que l’agent va consulter dans le cadre de sa tâche. Des études qualifient ce schéma de « watering hole pattern » : compromettre des ressources que les cibles visitent naturellement s’avère particulièrement efficace contre des systèmes IA conçus pour collecter de l’information de manière autonome.
La menace est structurelle : plus les agents IA auront accès à des outils puissants et à des données sensibles, plus un site web compromis pourra servir de point d’entrée. Le watering hole, pensé pour les humains, s’adapte à ses nouvelles proies.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !