À la demande de la Direction des Systèmes d'Information de Meridian Finance, Odonia Cyber a conduit une campagne de threat hunting proactif "à l'aveugle" (sans indicateur de compromission fourni au préalable), sur une période analysée du 10 au 17 juin 2026. L'objectif était de répondre à une question simple posée par le DSI : "avons-nous été compromis, et si oui par où ?" Six sources de télémétrie ont été analysées (journaux Windows Security, Sysmon, PowerShell Script Block Logging, connexions Microsoft Entra ID, proxy sortant, inventaire des hôtes), couvrant un périmètre d'environ 120 postes de travail sur le domaine meridian-finance.lan, dont 7 hôtes disposaient d'une télémétrie exploitable.

Sysmon EID1 · 2026-06-13 10:42:11 UTC
ParentImage=WINWORD.EXE → Image=powershell.exe
CommandLine contient : -nop -w hidden -enc [payload base64]

Proxy : 950 requêtes CONNECT vers cdn-telemetry-sync.net:443
Intervalle moyen : 300 s · coefficient de variation : 0.057
Activité 24h/24 confirmée · dernière communication : 2026-06-16 17:56:47 UTC

Entra sign-in logs · 2026-06-14 06:50:00 à 06:51:20 UTC
9 x errorCode 500121 en 80 secondes, puis errorCode 0 (succès)
Baseline : 544 des 554 connexions proviennent de Rouen (FR)

Sysmon EID1 · 2026-06-14 09:17:36 UTC
Parent : powershell.exe · rundll32.exe exécuté hors C:\Windows\System32 (copie frauduleuse)

winsec EID 4769 x3 · 2026-06-14 09:40:00 à 09:40:06 UTC
TicketEncryptionType 0x17 (RC4) · 3 SPN distincts en 6 secondes

winsec · 2026-06-15 14:22:00 UTC
Seul logon NTLM cross-segment observé sur 21 logons de svc_sched depuis 10.20.4.14
(20 logons Kerberos légitimes, 1 logon NTLM anormal vers SRV-FILE02)

winsec EID 4720 · 2026-06-15 14:22:02 UTC (2 s après le pivot latéral H-10)

Sysmon EID1 · 2026-06-16 02:13:00 UTC
rar.exe a -hp C:\Temp\fin.rar \\srv-file02\Finance\*.xlsx
Proxy · 2026-06-16 02:17:00 UTC · CONNECT cdn-telemetry-sync.net:443 · sc_bytes=58 879 805

Les cinq chasses suivantes ont été menées jusqu'à leur terme et n'ont révélé aucune activité malveillante. Elles constituent le calibrage du bruit de fond légitime et ont permis, par contraste, de faire ressortir les anomalies retenues ci-dessus (voir Section 4.5 du rapport narratif pour le détail complet).

• H-13 · Brute force d'authentification locale : 65 échecs winsec EID 4625, LogonType 2, répartis uniformément sur 10 comptes distincts, sans rafale ni verrouillage - cohérent avec des erreurs de frappe ordinaires
• H-14 · Trafic proxy anormal : environ 2 449 requêtes vers des domaines Microsoft et SaaS légitimes, en heures ouvrées, sans beaconing nocturne
• H-15 · Connexions à risque géographique : 544 connexions Entra ID depuis Rouen (FR), MFA satisfait, baseline nominale
• H-16 · Lignées de processus suspectes : majorité des événements Sysmon EID1 sans arguments offensifs ni lignées anormales (explorer.exe, chrome.exe, WINWORD.EXE, svchost.exe)
• H-17 · Activité anormale des comptes de service : le compte svc_sched présente une activité strictement Kerberos et légitime entre le 10 et le 13 juin 2026, confirmant le caractère anormal du pivot des 15-16 juin

Les techniques détectées ont été mappées sur le référentiel MITRE ATT&CK Enterprise v14. Ce mapping permet d'identifier le profil de l'attaquant et les phases de l'attaque, de l'accès initial jusqu'à l'exfiltration.

Les TTPs identifiés (macro Office avec commande PowerShell encodée, MFA fatigue, dump LSASS via comsvcs, Kerberoasting en RC4, Pass-the-Hash, exfiltration compressée chiffrée vers un canal C2 HTTPS) correspondent au profil d'un attaquant de type cybercriminel opportuniste à intermédiaire, dont le mode opératoire est cohérent avec une chaîne de double extorsion : vol de données financières précédant potentiellement un déploiement de rançongiciel. Aucune attribution à un groupe APT spécifique n'est possible avec les seules données de télémétrie disponibles (aucun hash de fichier collecté, investigation menée à distance sans accès filesystem). Une analyse forensique complète des deux hôtes impactés (Action 10 du plan de remédiation) est nécessaire pour affiner cette attribution.

Treize règles Sigma ont été rédigées à partir des techniques observées lors de cette investigation (référence mf-2026-001-01 à mf-2026-001-13), prêtes à être déployées dans un SIEM compatible (Microsoft Sentinel, Elastic SIEM, Splunk). Le catalogue complet des 13 règles est livré séparément dans le livret Sigma dédié à cette mission. Les quatre règles couvrant les techniques les plus critiques sont reproduites ci-dessous à titre d'illustration.

title: Office Application Spawns PowerShell with Encoded Command
id: mf-2026-001-01
status: experimental
logsource:
  product: windows
  category: process_creation
detection:
  parent:
    ParentImage|endswith:
      - '\WINWORD.EXE'
      - '\EXCEL.EXE'
      - '\POWERPNT.EXE'
      - '\OUTLOOK.EXE'
  child:
    Image|endswith: '\powershell.exe'
  flags:
    CommandLine|contains|all:
      - '-enc'
      - '-w hidden'
  condition: parent and child and flags
level: high

title: LSASS Memory Dump via comsvcs MiniDump
id: mf-2026-001-04
status: experimental
logsource:
  product: windows
  category: process_creation
detection:
  sel:
    CommandLine|contains|all:
      - 'comsvcs.dll'
      - 'MiniDump'
  condition: sel
level: critical

title: MFA Fatigue - Repeated Denials Followed by Immediate Success
id: mf-2026-001-06
status: experimental
logsource:
  product: azure
  service: signinlogs
detection:
  fail:
    Status.errorCode: 500121
  success:
    Status.errorCode: 0
  timeframe: 10m
  condition: fail | count() by UserPrincipalName >= 5 and success
level: high

title: Lateral Movement - NTLM Network Logon from Workstation to Server (Pass-the-Hash Signature)
id: mf-2026-001-13
status: experimental
logsource:
  product: windows
  service: security
detection:
  sel:
    EventID: 4624
    LogonType: 3
    AuthenticationPackageName: 'NTLM'
    TargetUserName|startswith: 'svc_'
  src:
    IpAddress|startswith: '10.20.4.'
  dst:
    Computer|startswith:
      - 'SRV-'
      - 'DC0'
  condition: sel and src and dst
level: high

// KQL - Microsoft Sentinel - proxy CommonSecurityLog
CommonSecurityLog
| where DestinationHostName == "cdn-telemetry-sync.net"
| summarize count(), avg(TimeGenerated - prev(TimeGenerated)) by SourceIP, bin(TimeGenerated, 1h)
| where count_ > 20
| project SourceIP, RequestCount = count_, AvgIntervalSeconds = avg_TimeGenerated

// KQL - Microsoft Sentinel - SecurityEvent
SecurityEvent
| where EventID == 4624 and LogonType == 3
| where AuthenticationPackageName == "NTLM"
| where TargetUserName startswith "svc_"
| where IpAddress startswith "10.20.4."
| project TimeGenerated, TargetUserName, IpAddress, Computer

Dernière communication C2 observée : 2026-06-16 17:56:47 UTC. La compromission était toujours active en fin de fenêtre d'analyse.

Contact : odonia.fr · Normandie (Caen / Flers) · ODN-2026-007 / MF-2026-001