Remote Access Trojan : bloquer les outils d'accès distant

Un Remote Access Trojan (RAT, « cheval de Troie d'accès à distance ») est un logiciel qui donne à un attaquant le contrôle d'un poste comme s'il était devant : écran, clavier, fichiers, commandes, caméra, mots de passe. Mais dans la pratique, les attaquants n'ont plus besoin de fabriquer un logiciel malveillant : ils détournent des outils d'accès à distance parfaitement légitimes, comme TeamViewer, AnyDesk ou ScreenConnect.

Pour une entreprise, la réponse est claire : tout outil d'accès à distance qui n'est pas explicitement autorisé doit être inventorié, puis bloqué. Cet article explique la différence entre RAT et outils légitimes détournés, liste les outils les plus courants avec leurs indicateurs, et détaille comment les bloquer avec l'EDR, le proxy et les domaines.

Remote Access Trojan : malveillants et outils légitimes détournés

Il faut distinguer deux familles :

La seconde famille est décrite dans la technique T1219 (Remote Access Software) du référentiel MITRE ATT&CK, qui cite notamment AnyDesk, TeamViewer, ConnectWise Control, Atera, Splashtop, LogMeIn, N-able, MeshCentral, SimpleHelp et Chrome Remote Desktop. MITRE recommande de désactiver les fonctions de connexion distante inutiles, d'utiliser du contrôle d'application et de configurer correctement pare-feu et proxies.

Un exemple concret : l'avis de la CISA

Dans l'avis AA23-025A (janvier 2023), la CISA, la NSA et le MS-ISAC décrivent une campagne d'hameçonnage à thème « support technique ». Les victimes étaient dirigées vers des domaines malveillants, puis les attaquants téléchargeaient des versions portables de ScreenConnect et d'AnyDesk, qui s'exécutent dans le contexte de l'utilisateur sans installation ni droits d'administrateur, et contournent ainsi les contrôles de déploiement de logiciels. L'avis note que l'accès obtenu pourrait aussi être revendu à des groupes plus avancés.

Liste des outils d'accès à distance à inventorier

Le tableau suivant recense les outils les plus fréquents, avec leurs principaux noms de processus et domaines. Ces éléments proviennent du projet communautaire LOLRMM (dépôt GitHub), qui recense plus d'une centaine d'outils. Les domaines évoluent : vérifiez-les toujours dans la documentation de l'éditeur avant de bloquer.

À cette liste, ajoutez les outils que citent MITRE ou LOLRMM et que vous ne devez pas oublier dans votre inventaire : VNC (UltraVNC, TightVNC, RealVNC), PuTTY et autres clients SSH, tmate, eHorus, N-able, PDQ, ainsi que les tunnels comme Cloudflare Tunnel ou Microsoft Dev Tunnels, qui peuvent servir d'accès distant détourné. Sur Windows, pensez aussi aux fonctions natives comme Assistance rapide (Quick Assist) et le Bureau à distance (RDP), à restreindre si vous ne les utilisez pas.

Comment bloquer ces outils : stratégie en couches

Aucune mesure ne suffit seule. L'objectif est de combiner politique, contrôle applicatif, EDR et filtrage réseau.

1. Définir une politique et un inventaire

• Choisissez un seul outil autorisé (par exemple celui de votre prestataire d'infogérance) et interdisez tous les autres.
• Inventoriez les outils réellement présents : logiciels installés, exécutables portables, services, connexions sortantes.
• Documentez les exceptions (équipe support, prestataire) avec leurs comptes et postes autorisés.

2. Le contrôle applicatif (le plus efficace)

Le contrôle d'application (WDAC, AppLocker ou fonction équivalente de votre EDR) interdit l'exécution de programmes non approuvés. C'est la parade la plus directe contre les exécutables portables décrits par la CISA :

• n'autorisez que des éditeurs et des hachages approuvés ;
• bloquez l'exécution depuis les dossiers modifiables par l'utilisateur (Téléchargements, Bureau, %TEMP%, %APPDATA%) ;
• refusez les binaires non signés ou signés par des éditeurs non listés.

3. L'EDR : signatures, détections et comportement

L'EDR doit voir ces outils, même s'ils ne sont pas « malveillants ». Selon votre produit :

• activez les détections d'outils d'accès à distance et de logiciels potentiellement indésirables (PUA/RMM) et passez-les en blocage pour les outils non autorisés ;
• créez des règles personnalisées sur les noms de processus, les signataires et les chemins d'installation listés ci-dessus ;
• alertez sur les créations de services et les installations d'agents (voir Event ID 7045 dans le référentiel des Event IDs Windows) ;
• corrélez avec le processus parent (navigateur, client de messagerie, powershell.exe) : un outil lancé depuis un document ou un téléchargement est suspect ;
• surveillez les connexions sortantes de longue durée vers des relais d'accès à distance.

Voici un exemple de requête de chasse (KQL, Microsoft Defender) à adapter à votre environnement :

DeviceProcessEvents
| where FileName in~ ("AnyDesk.exe", "TeamViewer.exe", "rustdesk.exe",
    "ScreenConnect.ClientService.exe", "AteraAgent.exe", "SRService.exe",
    "MeshAgent.exe", "dwagent.exe", "HopToDesk.exe", "client32.exe")
| summarize Executions = count(), Devices = dcount(DeviceName) by FileName, FolderPath
| order by Executions desc

4. Le proxy, le DNS et le pare-feu

• Activez la catégorie d'URL « accès à distance » de votre proxy ou de votre passerelle web.
• Ajoutez une liste de blocage de domaines par outil (voir le tableau), en priorité pour les outils que vous n'utilisez pas.
• Filtrez le DNS (sinkhole) pour bloquer la résolution de ces domaines, y compris hors du proxy.
• Appliquez une politique de sortie par défaut refusée (egress filtering) : seuls les flux nécessaires sortent vers Internet. Consultez le référentiel des ports et protocoles pour les ports concernés (par exemple 21115 et 21116 pour RustDesk).
• Bloquez le téléchargement des installateurs et exécutables depuis ces domaines.

Attention aux faux positifs : certains outils utilisent des domaines partagés (googleapis.com, blob.core.windows.net, goto.com). Bloquez les noms d'hôte précis plutôt qu'un domaine entier, testez d'abord en mode « journalisation » et validez avec l'équipe support avant d'activer le blocage.

5. Réduire la surface sur les postes

• Retirez ou désactivez Assistance rapide si vous ne l'utilisez pas.
• Restreignez le RDP (passerelle, authentification multifacteur, liste d'adresses autorisées).
• Retirez les droits d'administrateur local : cela limite les installations d'agents et de services.

Que faire si vous en découvrez un ?

1. Vérifiez la légitimité : qui l'a installé, quand, avec quel compte ?
2. Isolez le poste si l'installation est inconnue et cherchez d'autres postes avec le même outil.
3. Recherchez la persistance (services, tâches planifiées, clés de démarrage) et les autres accès installés.
4. Réinitialisez les identifiants exposés sur le poste et révoquez les sessions.
5. Remontez le vecteur : très souvent, un e-mail de phishing. Notre guide pour analyser un e-mail de phishing vous aide à identifier le message d'origine.

Points clés

• Un Remote Access Trojan contrôle un poste à distance ; les attaquants détournent aussi des outils légitimes (TeamViewer, AnyDesk, ScreenConnect, RustDesk…).
• Les versions portables permettent d'agir sans installation ni droits d'administrateur : le contrôle applicatif est donc essentiel.
• Combinez politique, contrôle applicatif, EDR, proxy/DNS et filtrage de sortie.
• Bloquez des noms d'hôte précis, testez en mode journalisation et gardez un seul outil autorisé.
• Les listes de domaines évoluent : appuyez-vous sur LOLRMM et sur la documentation des éditeurs, et mettez-les à jour régulièrement.