Ben Bernstein, Responsable des conseillers en cybersécurité chez Huntress – Série d’interviews

Ben Bernstein, Responsable des conseillers en cybersécurité chez Huntress, est un professionnel de la cybersécurité avec plus d’une décennie d’expérience couvrant le support technique, l’administration système, le succès client, la gestion de comptes techniques et le leadership en conseil en sécurité. Il a commencé sa carrière dans des rôles informatiques pratiques, passant du travail au service d’assistance à l’administration système avant de passer à la gestion de comptes et au succès client chez Integris. Bernstein a ensuite passé trois ans chez Red Canary, où il a géré les relations avec les clients d’entreprise en tant que Responsable de compte technique et Responsable principal de compte technique d’entreprise. Depuis son arrivée chez Huntress en 2024 en tant que premier Responsable de compte technique, il a progressé vers la direction de la gestion de comptes techniques et dirige désormais les Conseillers en cybersécurité de l’entreprise, s’appuyant sur sa combinaison d’expertise technique et d’expérience client pour aider les organisations à mieux comprendre et répondre aux menaces cybernétiques évolutives.

Huntress est une entreprise de cybersécurité qui propose une plateforme de sécurité entièrement gérée conçue pour protéger les organisations au niveau des points de terminaison, des identités, des journaux et des utilisateurs. Sa plateforme combine des technologies telles que la Détection et Réponse gérées sur les points de terminaison (EDR), la Détection et Réponse aux menaces d’identité (ITDR), la Gestion des informations et des événements de sécurité (SIEM), ainsi que la formation à la sensibilisation à la sécurité, le tout avec un centre d’opérations de sécurité (SOC) 24 h/24, centré sur l’IA et doté d’experts humains en sécurité. Huntress indique que sa technologie protège actuellement plus de 5 millions de points de terminaison et 15 millions d’identités dans plus de 277 000 entreprises, son équipe assurant la détection, l’enquête, la réponse et la remédiation des menaces au nom des clients.

Vous avez commencé votre carrière au service d’assistance et à l’administration système avant de passer par la gestion de comptes techniques pour finalement assumer la direction du conseil en cybersécurité chez Huntress. En quoi ce bagage informatique pratique a-t‑il influencé votre façon de concevoir la sécurité aujourd’hui, notamment lorsque les mêmes outils sur lesquels les administrateurs comptent peuvent également devenir le point d’entrée d’un attaquant ?

Je suis éternellement reconnaissant envers mon expérience en informatique chaque jour maintenant que je travaille du côté cyber dédié de l’entreprise. Elle m’offre une perspective pratique. Lorsque vous connaissez le fonctionnement des systèmes d’exploitation, des applications et des processus système en conditions normales, les anomalies et les menaces se démarquent nettement. Mon passage en informatique a également développé une mentalité de dépannage et d’analyse des causes profondes. On apprend rapidement qu’il faut suivre le fil pour s’assurer de bien cerner un problème ou une menace.

Je me souviens avoir dépendu fortement des mêmes outils, comme les RMM, qui sont aujourd’hui exploités par les acteurs malveillants. Les ayant déployés moi‑même, j’apprécie pleinement leur puissance entre les mains d’un administrateur informatique et d’un attaquant. Comme les RMM sont omniprésents, cela exerce une pression sur les équipes de sécurité pour qu’elles examinent toute l’activité entourant leur exécution. Le fait qu’un RMM s’exécute sur une machine n’est pas intrinsèquement mauvais. Mais si ce RMM commence soudainement à déposer des outils supplémentaires ou à lancer des scripts inconnus, cela oblige les défenseurs à cesser de se fier aux listes de logiciels de confiance et à se concentrer entièrement sur l’observation des comportements.

L’IA est souvent abordée en cybersécurité en termes d’attaquants autonomes sophistiqués, mais dans quelle mesure son impact immédiat consiste simplement à rendre les cybercriminels ordinaires plus rapides et plus capables ? Sommes‑nous en train d’atteindre un point où des attaquants relativement peu qualifiés peuvent mener des campagnes qui, auparavant, nécessitaient une expertise technique beaucoup plus approfondie ?

Il y a beaucoup de panique actuellement autour des systèmes de piratage autonomes basés sur l’IA, mais la réalité sur le terrain est que ce n’est pas une technique nouvelle. Ces modèles ne s’infiltrent pas dans les réseaux en utilisant des techniques hautement sophistiquées. Ils font exactement ce que les “script kiddies” humains font depuis des années en recherchant des actifs exposés à Internet, non corrigés et mal configurés. Cela fait les gros titres parce que l’expression “autonomous AI” sonne effrayante, voire séduisante selon les interlocuteurs, mais les mécanismes réels de ces attaques sont basiques.

Le véritable problème auquel nous sommes confrontés est que l’IA abaisse la barrière d’entrée pour les cybercriminels. Les attaquants peuvent automatiser les parties fastidieuses d’une exploitation et augmenter l’échelle de leurs opérations sans nécessiter une expertise technique approfondie. Cela permet aux attaquants peu qualifiés de mener des campagnes beaucoup plus rapidement, ce qui exerce une forte pression sur les entreprises. Vous ne pouvez plus installer un outil de sécurité et l’oublier. Les organisations doivent supposer que leurs réseaux sont constamment sondés.

Huntress a observé des attaquants utilisant des scripts d’infostealer générés par LLM lors d’intrusions RMM. Que nous indique‑t‑ce phénomène quant à la façon dont l’IA générative modifie l’économie et l’accessibilité de la cybercriminalité ?

Cela nous indique que l’IA générative rationalise la charge opérationnelle de la cybercriminalité. Rédiger un script d’infostealer n’est pas un travail technique inédit, mais il nécessitait traditionnellement beaucoup de temps de développeur ou l’achat d’outils spécialisés sur un forum clandestin. En utilisant un LLM au sein du réseau d’une victime, les attaquants peuvent générer à la demande des scripts fonctionnels et personnalisés au lieu de dépendre de logiciels malveillants pré‑construits.

Bien que l’accès à ces modèles entraîne encore un certain coût, la barrière à l’entrée est plus basse que jamais. Nous constatons souvent que des attaquants moyens utilisent ces outils pour travailler plus rapidement et éliminer les tâches de codage manuel. Cela modifie fondamentalement l’économie d’une attaque en rendant la phase d’exécution très accessible, permettant aux acteurs peu qualifiés de développer leurs opérations sans nécessiter une expertise technique approfondie.

Huntress a signalé une augmentation de 277 % d’une année sur l’autre des abus d’outils de surveillance et de gestion à distance. Pourquoi les plateformes RMM légitimes sont-elles devenues une alternative aussi attrayante aux logiciels malveillants personnalisés, et quels avantages offrent-elles aux attaquants une fois qu’ils ont obtenu un accès ?

Il n’y a rien d’intrinsèquement malveillant dans les outils RMM. Ils remplissent une fonction essentielle, aidant les administrateurs IT et les MSP à travailler efficacement et à soutenir les utilisateurs. Le problème est que les logiciels malveillants personnalisés sont détectés par les antivirus traditionnels, alors que les RMM sont signés, de confiance et contournent les contrôles de sécurité standards. Encore mieux pour un attaquant, les agents RMM s’exécutent naturellement avec des privilèges d’administrateur élevés et offrent une persistance intégrée, ce qui signifie qu’ils restent actifs après les redémarrages du système sans effort supplémentaire pour maintenir l’accès.

Lorsqu’un attaquant fait fonctionner son propre agent RMM sur une machine cible, il dispose essentiellement d’une console de contrôle à distance. Il peut transférer des fichiers aller‑retour sans problème, et il configure souvent son instance RMM à l’avance avec des scripts et outils malveillants prêts à être exécutés sur les points de terminaison d’un simple clic. Comme l’application elle‑même est légitime, les défenseurs ne peuvent pas simplement bloquer l’outil. Cela oblige les équipes de sécurité à ne plus se fier aux listes de logiciels de confiance et à se concentrer sur l’observation du comportement, ce qui rend la surveillance 24 h/24 indispensable si l’on veut déceler un attaquant qui abuse d’un logiciel administratif.

Une technique documentée par Huntress consiste à ce que les attaquants « enchaînent » plusieurs outils RMM pour fragmenter la télémétrie et créer un accès redondant. Pouvez‑vous nous expliquer comment une intrusion de ce type se déroule généralement et pourquoi il peut être si difficile pour les défenseurs de reconnaître ce qui se passe ?

Voici un exemple particulièrement intéressant que nous avons intercepté et sur lequel nous avons rédigé un blog . L’intrusion a commencé par un courriel de hameçonnage utilisant un leurre de document d’entreprise factice, tel qu’un « Network Solutions Agreement ». La victime a cliqué sur le lien du courriel, est arrivée sur une page protégée par un CAPTCHA factice, et a téléchargé ce qu’elle pensait être un PDF ou un document de service standard. En réalité, le téléchargement était un installateur exécutable. Lorsque l’utilisateur a double‑cliqué sur le fichier pour ouvrir l’accord, il a installé silencieusement un outil d’accès à distance légitime mais non autorisé appelé Tiflux RMM.

Une fois que l’acteur de la menace a fait fonctionner cet agent Tiflux initial, il a immédiatement utilisé ses capacités intégrées pour déployer et intégrer des outils supplémentaires tels que Splashtop, ScreenConnect et UltraVNC sur la même machine. Il est important de noter que ces outils sont eux‑même des RMM légitimes supplémentaires.

Les attaquants font cela pour instaurer une super persistance. Ils savent que si un administrateur IT détecte un outil d’accès à distance non autorisé et le désinstalle, l’attaquant dispose encore de deux ou trois autres portes dérobées actives en attente. Cette tactique fragmente la télémétrie. Les plateformes de sécurité ne voient que des applications administratives distinctes, signées, s’exécutant simultanément et appelant leurs serveurs fournisseurs légitimes. À moins qu’un défenseur ne surveille activement cette activité et ne se demande pourquoi un même point de terminaison a soudain besoin de plusieurs agents de gestion à distance distincts installés dans l’après‑midi, cela se fond simplement dans le bruit de la maintenance IT courante.

Au‑delà de la surveillance comportementale 24 h/24, un autre contrôle efficace ici est la gestion de la posture de sécurité des points de terminaison et le contrôle des applications. Si une organisation définit explicitement quelles variantes de RMM sont autorisées à s’exécuter sur ses machines, elle peut empêcher totalement l’exécution d’outils non approuvés, arrêtant ainsi la chaîne d’enchaînement avant même qu’elle ne commence.

Les modèles de sécurité traditionnels distinguent souvent les logiciels de confiance et ceux qui ne le sont pas, mais les attaques RMM exploitent des outils qui peuvent être légitimes, signés et déjà approuvés par l’IT. Cela signifie‑t‑il que les défenseurs doivent abandonner la question de la confiance d’une application et se concentrer plutôt sur la confiance de son comportement ?

Oui, absolument. Le modèle traditionnel de confiance binaire est rompu. La signature binaire a été conçue pour vérifier qu’une application provient d’un fournisseur légitime, pas pour garantir que ses actions sont sûres.

Si un attaquant utilise un binaire RMM signé ou un utilitaire « living‑off‑the‑land », l’exécutable lui‑même est propre, mais l’activité qui l’accompagne est malveillante. Les défenseurs doivent dépasser la question « Ce fichier est‑il fiable ? » et se concentrer sur la pertinence de son comportement dans le contexte. Le fait qu’un RMM s’exécute sur une machine n’est pas intrinsèquement mauvais. Mais si cet outil commence soudainement à déposer des utilitaires supplémentaires, à lancer des scripts inconnus ou à s’exécuter à 2 h du matin sous un compte de service, cela constitue un indicateur de compromission. Le contexte et le comportement ont toujours été importants, et avec des attaquants qui s’appuient autant sur des logiciels de confiance, ils le sont désormais plus que jamais.

Alors que l’IA réduit le délai entre la découverte d’une vulnérabilité ou d’une faille de configuration et son exploitation, comment cela modifie‑t‑il le rôle de la gestion de la posture de sécurité ? Quelles faiblesses d’identité, de point de terminaison et d’accès à distance les organisations devraient‑elles prioriser avant que les attaquants n’aient l’opportunité de les exploiter ?

La gestion de la posture de sécurité est plus importante que jamais car elle aide les organisations à combler de façon proactive les lacunes de sécurité courantes que les attaquants exploitent chaque jour. Elle complète la détection et la réponse en identifiant et en corrigeant en continu des problèmes tels que les mauvaises configurations, les permissions excessives, les applications non autorisées et d’autres faiblesses sur les points d’extrémité et les identités. Lorsque la fenêtre entre la divulgation d’une vulnérabilité et le scan automatisé se réduit à quelques heures, réduire ces lacunes avant qu’elles ne puissent être exploitées devient essentiel. Les organisations doivent maintenir une posture cohérente et renforcée à travers les environnements afin de diminuer le nombre d’incidents auxquels elles sont confrontées et de limiter ce qu’un attaquant peut atteindre s’il franchit la porte.

Alors que presque chaque fournisseur de cybersécurité se fera un plaisir d’« éduquer » (ou d’effrayer) le public sur la menace ou le domaine de sécurité pour lequel il propose des solutions, la véritable liste de priorités ne peut être définie que par chaque organisation individuellement. Chaque entreprise valorise différemment les composantes du triangle CIA, et chaque société possède des données sensibles stockées ou accessibles à des emplacements différents. Le vrai conseil que la plupart des entreprises doivent entendre est d’évaluer quelles données, quels actifs ou quels systèmes de production sont les plus critiques pour leurs opérations, puis de travailler à rebours à partir de là pour protéger ce qui compte le plus.

On constate une inquiétude croissante quant aux agents d’IA qui finiraient par exécuter d’importantes parties du cycle d’attaque de façon autonome. Quelles capacités devraient être améliorées avant que les cyber‑attaques autonomes ne deviennent nettement plus dangereuses que les attaques assistées par l’IA d’aujourd’hui, et les défenseurs se préparent‑ils suffisamment rapidement ?

L’inquiétude concernant les agents autonomes implique que cela relève d’un problème futur, mais nous les voyons déjà exécuter des attaques aujourd’hui. Cependant, ces attaques autonomes sont loin d’être parfaites. Prenez la récente campagne de ransomware JadePuffer. Elle a été menée entièrement par un agent d’IA, mais il a commis des erreurs flagrantes. Le modèle a halluciné des parties de l’opération, y compris en inventant une fausse adresse de portefeuille Bitcoin pour la note de rançon. Plus ridicule encore, l’IA a oublié d’enregistrer ou de transmettre la clé de chiffrement. Elle s’est contentée d’afficher la clé générée aléatoirement dans une sortie console temporaire puis a fermé la session, rendant mathématiquement impossible pour la victime de récupérer ses données même si elle payait.

La réalité concrète est que, du point de vue des tactiques, techniques et procédures, l’IA autonome, les scripts automatisés et les attaquants humains font exactement la même chose. Ils exploitent toujours les mêmes types d’actifs exposés à Internet, vulnérables et mal configurés. L’IA doit encore suivre la chaîne de destruction standard. Elle doit d’abord obtenir un accès initial, élever les privilèges, se déplacer latéralement et exécuter sa charge utile. Dans le cas de JadePuffer, elle s’est simplement servie d’une vulnérabilité connue et non corrigée pour mettre le pied à l’étrier, puis a tâtonné à travers le réseau.

Comme les mécanismes fondamentaux de l’attaque n’ont pas changé, les défenseurs n’ont pas besoin de jeter leur livret de jeu actuel. Il faut toujours une sécurité en couches, une hygiène informatique de base et une détection comportementale robuste. Ce qui change, c’est la pression et la vitesse à laquelle les défenseurs doivent traiter les événements et trier les alertes. Lorsqu’un agent d’IA commet une erreur, lit le journal d’erreurs et se corrige en quelques secondes pour poursuivre son avancée, les défenseurs doivent simplement s’adapter à la rapidité à laquelle les cyber‑attaques évoluent aujourd’hui.

Les attaquants adoptent l’IA, mais les défenseurs ont accès à bon nombre des mêmes technologies. Où voyez‑vous l’IA offrir le plus grand avantage défensif : détection de comportements inhabituels, analyse de télémétrie, priorisation des vulnérabilités, automatisation de la réponse, ou ailleurs ?

Premièrement, elle est très efficace pour la corrélation au sein des équipes bleues. Les équipes de sécurité n’ont pas un problème de données ; elles ont un problème de bruit. L’IA est incroyablement utile pour extraire les aiguilles du botte de foin, rassembler des événements disparates et apparemment sans lien, et les assembler afin de raconter l’histoire complète d’une intrusion.

Deuxièmement, l’IA fait pour les défenseurs exactement ce qu’elle fait pour les attaquants en comblant le fossé de compétences. Lorsqu’un analyste SOC junior est confronté à un script fortement obfusqué ou à une alerte complexe, il peut utiliser un LLM pour traduire instantanément ces données en anglais clair. Cela élimine le travail manuel fastidieux de rétro‑ingénierie et permet aux défenseurs de trier et de répondre beaucoup plus rapidement.

Enfin, au‑delà de la défense réactive, il existe une opportunité considérable pour les équipes rouges et violettes d’utiliser l’IA afin de tester et valider proactivement les défenses. Les tests d’intrusion entièrement définis et menés par des humains restent absolument indispensables. Mais l’IA abaisse la barrière technique pour réaliser des tests plus petits et atomiques afin de valider les différentes couches d’une pile de sécurité. Au lieu d’attendre un test d’intrusion annuel ou de croiser les doigts lorsqu’une vraie menace organique apparaît, les organisations peuvent utiliser l’IA pour tester leurs environnements de façon sûre et fréquente afin de voir ce qui se casse réellement.

En regardant vers l’avenir, pensez‑vous que le secteur de la cybersécurité entrera dans un environnement où les attaquants et les défenseurs opèrent de plus en plus via des agents autonomes ? Le cas échéant, qu’est‑ce qui déterminera en fin de compte qui aura l’avantage lorsque les machines des deux côtés pourront identifier et réagir aux menaces à la vitesse des machines ?

L’IA bouleverse définitivement l’économie souterraine. Le marché darknet du cybercrime-as-a-service a prospéré en vendant des logiciels malveillants et des scripts parce qu’ils nécessitaient traditionnellement des compétences de développeur spécialisées pour être créés. L’IA modifie l’accessibilité et l’économie de cet écosystème en permettant à des opérateurs moins qualifiés de générer leurs propres outils à la demande. Elle fermera probablement la porte à de nombreux fournisseurs de logiciels malveillants classiques, prêts à l’emploi. Pourquoi un acteur de la menace paierait-il pour un logiciel malveillant générique prêt à l’emploi sur un forum souterrain alors qu’il peut simplement demander à un LLM de générer un outil personnalisé à la demande ?

Lorsque les deux parties sont armées d’IA, l’avantage dépend de l’infrastructure, du réglage et de la supervision. Cela devient une lutte pour savoir qui dispose du budget de calcul (qui a le plus de jetons à brûler) et qui possède le modèle le mieux ajusté. Pour les acteurs de la menace, le test est de savoir si leur IA peut dépanner de façon itérative, lire les journaux d’erreurs et pivoter correctement lorsqu’une exploitation échoue. Pour les défenseurs, le test est de savoir si vos détecteurs sont réellement réglés et si vos pipelines de données sont correctement connectés pour fournir à l’IA la bonne télémétrie en temps réel. Mais surtout, cela dépend de la présence d’experts humains avec le contexte métier dans la boucle pour prendre les décisions critiques, comme lire l’interprétation d’un incident par l’IA et décider d’isoler une machine compromise ou de mettre hors ligne un système de production pour contenir une menace.

En fin de compte, l’IA ne change pas les fondamentaux de la sécurité. Les entreprises qui s’en sortiront le mieux seront celles qui continueront à bien faire les petites choses. Il s’agit de réduire votre surface d’attaque, de corriger les vulnérabilités, de renforcer les configurations, de surveiller 24 h/24, de supposer une compromission et de tester proactivement vos défenses régulièrement. L’IA n’est qu’un accélérateur. Celui qui exécute les bases plus rapidement et de façon plus constante est celui qui l’emporte.

Merci pour cette excellente interview, les lecteurs qui souhaitent en savoir plus devraient visiter Huntress.