Qu’est-ce que l’exécution de code à distance (RCE) ?

On parle d’exécution de code à distance (RCE, Remote Code Execution) lorsqu’un attaquant exécute du code malveillant sur votre infrastructure informatique. Les objectifs de la RCE sont variés : s’infiltrer plus profondément dans votre réseau, voler des informations, ou encore vous nuire, vous extorquer ou vous dérober des biens, à vous ou à votre entreprise. Il est donc essentiel de protéger vos ordinateurs et votre réseau contre les attaques RCE.

Cet article explique ce qu’est l’exécution de code à distance et quelles en sont les conséquences pour votre entreprise. Il détaille également les mécanismes utilisés pour exploiter votre infrastructure, les risques encourus et les stratégies de prévention de la RCE que vous devriez mettre en place.

Découvrez « Qu’est-ce que l’exécution de code à distance (RCE) ? » en pratique. Regardez ce court guide vidéo.

Qu’est-ce que l’exécution de code à distance (RCE) ?

La RCE désigne les attaques menées à distance à l’aide d’un code malveillant qui s’infiltre dans votre infrastructure informatique. Le principe fondamental de la RCE est qu’aucun niveau d’accès préalable n’est nécessaire pour réussir un exploit, contrairement aux attaques par exécution de code local (LCE, Local Code Execution), où l’attaquant dispose déjà d’un certain niveau de privilèges utilisateur sur le système.

Remarque : les attaques par exécution de code RCE et LCE sont toutes deux regroupées sous le terme d’exécution de code arbitraire (ACE, Arbitrary Code Execution).

Le fonctionnement des attaques par exécution de code à distance (RCE)

Les attaques RCE exploitent des vulnérabilités présentes dans votre infrastructure réseau, vos systèmes informatiques ou vos applications web afin d’exécuter du code malveillant sur des machines connectées au réseau. Dès qu’une vulnérabilité permettant l’exécution de code à distance est identifiée, elle peut servir à mener des actions malveillantes et à exposer davantage votre réseau à des attaques informatiques.

Les types de vulnérabilités exploitables par la RCE

Plusieurs vulnérabilités et techniques d’exploitation sont couramment utilisées par les attaquants pour mener à bien une attaque RCE contre votre infrastructure :

• Attaques par injection : également appelées injection de commandes et de code, ce type d’attaque peut aboutir à une exécution de code à distance lorsque les données saisies ne sont pas correctement filtrées (par exemple, des données issues de formulaires web utilisées pour exécuter des commandes shell ou des instructions SQL).
• Dépassement de mémoire tampon ou écriture hors limites : un dépassement de mémoire tampon se produit lorsque la quantité de données écrites dans une mémoire tampon (un emplacement de la mémoire de l’ordinateur destiné au stockage temporaire de données) dépasse sa capacité, ce qui écrase les données existantes de l’application en cours d’exécution. Si ces nouvelles données contiennent du code malveillant, le système distant est susceptible de l’exécuter.
• Désérialisation : la sérialisation/désérialisation est le processus de conversion de données en chaînes de caractères en vue de leur transmission. Si les données transmises au programme qui effectue la désérialisation contiennent du code malveillant, le programme peut l’exécuter faute de validation ou de filtrage appropriés.
• Gestion des fichiers : certaines applications web permettent aux utilisateurs d’envoyer des fichiers sur un serveur. Les attaquants peuvent accéder à ce serveur et y déposer des fichiers malveillants que l’application risque ensuite d’exécuter.
• Injection de commandes et de code : l’injection de commandes et de code peut aboutir à une exécution de code à distance lorsque les données saisies ne sont pas correctement filtrées (par exemple, des données issues de formulaires web utilisées pour exécuter des commandes shell ou des instructions SQL).

Tout logiciel connecté à un réseau est vulnérable à la RCE. C’est pourquoi il est important de mettre en place des mesures de sécurité informatique solides afin de vous protéger, vous et votre entreprise, contre les incidents de cybersécurité.

Comment les attaquants exploitent la RCE

La RCE permet aux pirates d’amplifier les cybermenaces courantes. Voici quelques façons dont les attaquants peuvent utiliser la RCE pour rendre les cyberattaques encore plus dangereuses :

• Accès à distance non autorisé : la RCE permet aux attaquants d’obtenir un premier point d’appui dans un réseau d’entreprise. Une fois à l’intérieur, ils peuvent étendre leur portée à distance. Ils peuvent par exemple collecter des identifiants de connexion pour s’infiltrer dans les systèmes internes via un VPN ou d’autres points d’accès.
• Déploiement de malwares : si les exploits RCE permettent d’exécuter du code, la portée de ce qui peut être lancé reste souvent limitée. Pour contourner ces restrictions, les cybercriminels se servent fréquemment de la RCE comme vecteur de diffusion de charges utiles plus sophistiquées et destructrices (en déployant par exemple un ransomware directement sur un système compromis).
• Vol de données : en exécutant des commandes au sein d’une application vulnérable, les attaquants peuvent accéder sans autorisation aux systèmes de fichiers, aux bases de données et à d’autres référentiels contenant des informations sensibles sur l’entreprise et ses clients.
• Destruction de données : la RCE peut accorder aux attaquants le même niveau d’accès au système qu’un utilisateur légitime, ce qui leur permet d’effacer des fichiers, d’exécuter des commandes destructrices dans le terminal ou d’envoyer des instructions de base de données qui suppriment définitivement des enregistrements critiques.
• Attaques par déni de service (DoS) : les vulnérabilités d’écriture hors limites peuvent être exploitées pour écraser du code essentiel et provoquer le plantage des applications. Plus largement, la RCE peut servir à interrompre de force des processus ou à supprimer des données vitales, perturbant ou paralysant ainsi l’activité de l’entreprise.

Stratégies de détection et de prévention des vulnérabilités RCE

Pour protéger efficacement votre infrastructure informatique et vos données tout en assurant la continuité de votre activité, vous devez prendre des mesures actives contre les attaques RCE : déployer un EDR (détection et réponse sur les terminaux) ainsi que des protections au niveau du réseau, comme des pare-feu, afin d’empêcher un attaquant d’aller plus loin en cas d’exploit RCE réussi.

Vous devriez régulièrement évaluer vos vulnérabilités potentielles en matière de cybersécurité et veiller à ce que vos logiciels soient toujours à jour, afin de vous prémunir contre les exploits RCE connus dans les logiciels dont vous dépendez. Si vous utilisez des logiciels obsolètes ou non mis à jour, assurez-vous de restreindre leur accès au réseau pour qu’ils ne puissent pas servir de point d’entrée dans vos systèmes. Déployez également une solution de surveillance réseau qui alerte votre équipe informatique en cas d’activité suspecte, afin de mieux vous protéger contre les attaques zero-day.

Si vous développez vos propres logiciels en interne, examinez régulièrement votre code et ses dépendances à la recherche de vulnérabilités RCE. Les outils d’analyse statique de code vous aident à localiser les problèmes dans vos logiciels en identifiant le code potentiellement dangereux (par exemple, les fonctions qui autorisent la transmission de code non filtré au shell). Les outils d’analyse dynamique permettent aussi d’examiner vos applications compilées et en cours d’exécution pour repérer des vulnérabilités que l’analyse statique pourrait laisser passer.

Des tests d’intrusion devraient être réalisés régulièrement afin de simuler des attaques et de mettre au jour d’éventuelles vulnérabilités d’exécution de code à distance exploitables ainsi que d’autres faiblesses de cybersécurité. Ils permettent aussi de vérifier que vos solutions de surveillance et de journalisation sont capables de détecter une attaque en cours.

Risques et conséquences potentiels de la RCE

L’exécution de code à distance ne nécessite aucun accès physique et, en l’absence de surveillance et de mesures de sécurité adaptées, elle peut passer inaperçue. Voici les risques liés à une attaque RCE réussie contre l’infrastructure informatique de votre entreprise :

• Une infiltration plus profonde de vos systèmes : une fois un point d’appui établi, les acteurs malveillants peuvent obtenir un accès plus large à vos systèmes. Par exemple, un serveur web exposé sur Internet et compromis peut servir à atteindre des ressources informatiques internes auxquelles il est connecté, même si celles-ci sont protégées par des pare-feu et ne sont pas accessibles publiquement.
• L’accès à des données sensibles ou protégées : vos informations commerciales confidentielles, ainsi que les données que vous traitez et stockez sur vos utilisateurs, y compris les données à caractère personnel (DCP), peuvent avoir une valeur considérable pour les attaquants et servir à extorquer votre entreprise ou vos clients. Les fuites de DCP nuisent à la réputation de votre entreprise et peuvent également entraîner des conséquences juridiques au titre de lois sur la confidentialité comme le RGPD (règlement général sur la protection des données) et le CCPA.
• Le déploiement de malwares (y compris des rootkits) : dès lors que du code peut être exécuté sur un système distant, il peut servir à installer des malwares : des rootkits pour maintenir un accès persistant et des portes dérobées, des chevaux de Troie pour exfiltrer des données, ou encore un ransomware qui vous prive de l’accès à vos fichiers (et peut même en divulguer publiquement le contenu) à moins que vous ne payiez l’attaquant.

Les perturbations causées par les attaques informatiques peuvent compromettre la survie d’une entreprise. La perte de données opérationnelles ou la mise en cause de la responsabilité pour un usage abusif de données réglementées ont contraint de nombreuses entreprises à mettre la clé sous la porte.

Exemples concrets d’attaques RCE

Plusieurs cas marquants illustrent ce qui peut arriver lorsqu’une entreprise ne prend pas de mesures suffisantes pour se protéger des cybermenaces. La fuite de données Equifax de 2017 a été provoquée par un exploit RCE visant le framework web Apache Struts, ce qui a compromis les informations personnelles de plus de 140 millions de personnes. Cet incident a coûté 1,4 milliard de dollars à Equifax, a entraîné la dégradation de sa note financière et s’est soldé par un accord à 1,38 milliard de dollars avec les utilisateurs concernés.

En 2021, plusieurs exploits zero-day ont permis une exécution de code à distance dans Microsoft Exchange Server, donnant aux pirates la possibilité de voler des données et d’installer des portes dérobées dans les systèmes. Il en a résulté des milliers de fuites de données dans le monde entier pour les entreprises utilisant cette plateforme d’e-mail (dont l’ampleur réelle ne sera peut-être jamais connue), ainsi que d’importants dommages de réputation.

Une vulnérabilité RCE célèbre, qui a touché de nombreux logiciels et plateformes et a été largement exploitée, est la faille Log4shell de Log4j. Ce logiciel est utilisé sur des millions de systèmes et, compte tenu de la facilité avec laquelle il était exploitable, la faille a donné lieu à des attaques RCE contre les logiciels d’un très grand nombre de fournisseurs qui s’appuyaient sur l’utilitaire de journalisation Log4j dans leurs logiciels commerciaux et leurs outils internes.

Réponse et mitigation face à une attaque RCE

Vous devez disposer de politiques et de mécanismes pour faire face à une attaque RCE réussie contre votre entreprise. Cela inclut la formation des collaborateurs à reconnaître les incidents de cybersécurité et à y réagir, ainsi que la surveillance et les alertes (y compris les systèmes de détection d’intrusion), afin qu’une attaque puisse être traitée immédiatement si elle survient.

Une fois l’attaque confinée, il convient d’évaluer son impact, d’examiner vos systèmes et d’éliminer toutes les menaces restantes. Cela implique d’annuler les modifications effectuées par le code malveillant, notamment de supprimer les malwares et de revenir sur les changements de configuration qui auraient pu créer une porte dérobée dans vos systèmes.

La sauvegarde et la reprise d’activité après incident sont déterminantes ici : vous pouvez éventuellement revenir à un état sain antérieur à l’attaque, ce qui accélère considérablement le temps de rétablissement. Si ce n’est pas possible, les configurations et les fichiers peuvent être comparés pour aider à déterminer ce que l’attaquant a réussi à faire. En cas d’attaque par ransomware consécutive à une RCE, la restauration depuis une sauvegarde est parfois le seul moyen d’assurer la continuité des activités.

Une fois l’attaque stoppée et corrigée, une analyse post-incident approfondie doit être menée : le vecteur d’attaque doit être identifié, et la vulnérabilité exploitée doit être corrigée ou protégée. Le temps de réponse et l’impact de l’attaque doivent être analysés, et les politiques et procédures employées pour atténuer l’attaque doivent être révisées si nécessaire.

Découvrez « Qu’est-ce que l’exécution de code à distance (RCE) ? » en pratique. Regardez ce court guide vidéo.

Se protéger de l’exécution de code à distance à l’échelle des grandes entreprises

Une attaque RCE réussie, ou toute autre attaque informatique visant l’infrastructure informatique de votre entreprise, peut être catastrophique et entraîner des coûts imprévus et des conséquences juridiques dont il est difficile de se relever. Avec la complexité croissante des infrastructures informatiques, qui comptent de multiples plateformes logicielles hébergées sur un ensemble hybride d’infrastructures sur site et cloud, il est important d’avoir une visibilité complète sur votre surface d’exposition aux attaques.

NinjaOne propose une solution de surveillance et gestion à distance (RMM) qui vous permet de gérer l’ensemble de vos terminaux et de votre infrastructure informatique, où qu’ils se trouvent. Vous pouvez ainsi prendre des mesures proactives pour vous protéger des attaques par exécution de code à distance et repérer les comportements suspects susceptibles de signaler une attaque en cours.