Backdoor
| Fiche express | |
|---|---|
| Type | Malware — accès distant dissimulé et persistant |
| Objectif | Conserver l'accès après une compromission initiale |
| Distinction | Trojan (vecteur) · Rootkit (dissimulation) |
| Voir aussi | Rootkit · Trojan · Botnet · Netcat |
Une porte dérobée (backdoor) est un accès non autorisé, dissimulé et persistant à un système, permettant à un attaquant de revenir à volonté sans repasser par la vulnérabilité ou la ruse initiale ayant permis la première intrusion. Une backdoor peut aussi être installée volontairement par un développeur (accès de maintenance non documenté) — le terme couvre les deux cas, mais l'usage sécurité s'intéresse presque toujours au second : l'accès laissé par un attaquant après compromission.
Distinction avec trojan et rootkit
Ces trois notions sont souvent confondues car un même malware les combine fréquemment, mais elles répondent à des questions différentes :
- Trojan (cheval de Troie) : comment le malware arrive sur la machine — il se fait passer pour un programme légitime afin d'inciter la victime à l'exécuter.
- Backdoor : ce que le malware laisse en place — un canal d'accès distant réutilisable pour l'attaquant.
- Rootkit : comment cet accès (et le malware lui-même) reste invisible — dissimulation des processus, fichiers, connexions réseau associés à la backdoor.
Un RAT (Remote Access Trojan) est ainsi typiquement les trois à la fois : un trojan comme vecteur d'installation, une backdoor comme fonction, éventuellement associée à des techniques de rootkit pour rester furtive. Les agents (« bots ») d'un Botnet reposent eux aussi sur une backdoor pour recevoir les ordres du serveur de commande et de contrôle (C2).
Techniques courantes
- Compte utilisateur caché ou privilégié supplémentaire : création d'un compte local (parfois avec un UID 0 sous Unix, ou ajouté aux groupes d'administration sous Windows) discret, à réutiliser pour se reconnecter légitimement en apparence.
- Service ou processus factice : un binaire malveillant renommé à l'identique d'un service système légitime, ou un vrai service détourné pour ouvrir un accès (ex. un service SSH modifié acceptant une clé ou un mot de passe supplémentaire codé en dur).
- Tâche planifiée malveillante (cron sous Unix, tâches planifiées sous Windows) : réexécute périodiquement un implant ou rétablit l'accès si celui-ci est nettoyé partiellement.
- Backdoor réseau : un listener en écoute (par exemple via Netcat) ou, plus discret, un reverse shell initié depuis la machine compromise vers l'attaquant (contourne les règles de pare-feu filtrant les connexions entrantes) ; certaines variantes utilisent du port knocking pour ne s'activer qu'après une séquence de connexions spécifique.
- Web shell : backdoor applicative déposée sur un serveur web (script PHP/ASP/JSP minimal exécutant des commandes reçues en paramètre), voir Webshell.
- Backdoor firmware/bootloader : implant persistant au niveau du firmware ou de l'UEFI, survivant à une réinstallation complète du système d'exploitation — voir Lojax.
- Compromission de la chaîne d'approvisionnement (supply chain) : backdoor insérée directement dans le code source ou le binaire distribué d'un logiciel légitime, en amont de son installation par la victime.
Exemple simple
Backdoor réseau minimaliste avec Netcat (illustratif — trivialement détectable, à but pédagogique) :
# Sur la machine compromise : écoute et exécute un shell pour qui se connecte
nc -lvp 4444 -e /bin/bash
# Persistance par cron (Unix) : relance la backdoor toutes les 5 minutes si elle est coupée
*/5 * * * * nc -lvp 4444 -e /bin/bash
En pratique, les implants réels évitent ce genre de signature triviale (processus visible, port en clair) et privilégient le chiffrement du canal, le reverse shell plutôt que le bind shell, et une dissimulation de type rootkit.
Détection
- Intégrité des fichiers : comparaison de checksums face à une référence connue (binaires système, fichiers de configuration).
- Audit des comptes et des tâches planifiées : comptes inattendus, entrées cron/registre non documentées.
- Détection de rootkit associé : Chkrootkit, Rkhunter, RootkitRevealer.
- EDR / surveillance réseau : connexions sortantes inhabituelles (reverse shell), processus enfants anormaux d'un service.
- Renseignement sur la menace : recoupement d'indicateurs de compromission (IOC) connus via des plateformes comme MISP.
Points clés à retenir
- Une backdoor est l'accès persistant laissé après compromission — à distinguer du trojan (le vecteur d'installation) et du rootkit (la dissimulation).
- Techniques classiques : compte caché, service factice, tâche cron/planifiée, listener réseau ou reverse shell, web shell, implant firmware.
- Les bots d'un Botnet reposent sur une backdoor pour recevoir les ordres du C2.
- La détection combine intégrité de fichiers, audit de comptes/tâches planifiées, outils anti-rootkit et surveillance réseau.