Courtiers d’accès initial et marché des zero-day, détecter en amont

Une attaque par rançongiciel est rarement l’œuvre d’un seul groupe : accès, exploitation, chiffrement et négociation sont des métiers distincts, vendus entre spécialistes. Comprendre qui vend quoi, à quel prix et pourquoi dit où et quand chercher les traces, bien avant la charge utile. La position défendue ici : la phase la plus rentable pour le défenseur est celle où l’accès a été vendu mais pas encore utilisé.

→ Lire l’explication complète de la marmotte

Courtiers d’accès initial : vendre la porte sans entrer

Le courtier d’accès initial (IAB, Initial Access Broker) obtient une entrée dans un réseau et la revend sans l’exploiter. Ses sources : identifiants volés par des logiciels voleurs d’informations (infostealers) et revendus en lots, VPN (Virtual Private Network) ou passerelles d’accès distant non corrigés, accès RDP (Remote Desktop Protocol) exposés et devinés, interfaces web compromises.

L’annonce type sur un forum criminel décrit la victime sans la nommer : pays, secteur, chiffre d’affaires estimé, type d’accès (utilisateur, administrateur local, administrateur de domaine), présence d’un EDR (Endpoint Detection and Response). Le prix suit ces critères : quelques centaines à quelques milliers de dollars pour la plupart des accès, davantage pour un administrateur de domaine chez une grande victime. L’acheteur typique est un affilié de rançongiciel en tant que service (RaaS, Ransomware as a Service), qui reverse une part de la rançon à l’opérateur de la plateforme.

Deux conséquences pour la détection :

Le courtier vérifie avant de vendre. Une annonce sans preuve se vend mal ; il se connecte brièvement, liste les droits et l’antivirus, puis se déconnecte. Cette session courte, réussie, sans activité métier, est le signal le plus précoce disponible.
Le délai joue pour le défenseur. Entre la vérification et l’exploitation par l’acheteur s’écoulent en général des jours ou des semaines. Un accès révoqué pendant cette fenêtre coûte au courtier sa vente, et à l’acheteur son investissement.

Le secteur vend depuis dix ans des tableaux de bord de renseignement garnis de cartes du monde animées ; la ligne qui compte tient souvent en une connexion VPN de quatre-vingt-quinze secondes à trois heures du matin.

Marché des zero-day : comment une vulnérabilité trouve son prix

Une vulnérabilité zero-day est inconnue de l’éditeur, donc sans correctif. Son prix se forme sur trois axes :

Portée : nombre de cibles atteignables. Un navigateur ou un système mobile majoritaire vaut plus qu’un logiciel de niche, et une exécution sans interaction (zéro clic) plus qu’une exploitation qui exige un clic.
Furtivité et fiabilité : une chaîne complète (exécution de code, élévation de privilèges, sortie de bac à sable) qui fonctionne à chaque essai sans faire planter la cible vaut un multiple d’un bogue isolé et capricieux.
Durée de vie : temps estimé avant correctif. Sur le marché gris, le paiement est souvent étalé en tranches qui s’arrêtent si l’éditeur corrige ; le vendeur porte ainsi le risque de découverte.

Le marché gris réunit des courtiers qui achètent aux chercheurs et revendent à des États ou agences, avec exclusivité. Zerodium a publié des grilles allant jusqu’à plusieurs millions de dollars pour une chaîne mobile complète sans clic. Ces ventes sont légales dans de nombreuses juridictions, sous contrôle à l’exportation. Le marché noir vend aux groupes criminels, qui paient un zero-day moins cher qu’un État parce que leur modèle repose sur le volume : une vulnérabilité déjà publiée (n-day) sur un équipement de bordure, exploitée en masse dans les jours qui suivent le correctif, rapporte davantage qu’une exclusivité coûteuse.

Conséquence pratique : l’adversaire probable de la plupart des organisations n’achète pas de zero-day ; il achète un accès ou exploite un n-day. Prioriser les correctifs par score CVSS (Common Vulnerability Scoring System) seul ignore cette réalité ; prioriser par exposition et par valeur marchande (équipements de bordure, VPN, passerelles de messagerie) la suit.

Détecter l’accès revendu plutôt que la charge utile

Le compromis central : une signature technique détecte un outil précis avec peu de faux positifs mais arrive tard ; un signal comportemental sur les accès arrive tôt mais bruite davantage. La recommandation : investir l’analyse sur les signaux d’accès (authentifications, sessions distantes, comptes) plutôt qu’empiler des règles sur les charges utiles, que l’EDR couvre déjà en partie.

Signaux exploitables, tous présents dans les journaux existants :

session VPN ou RDP réussie depuis un système autonome (ASN, Autonomous System Number) jamais vu pour ce compte, courte et sans volume ;
compte de service ou compte dormant qui se réauthentifie ;
identifiants de l’organisation apparus dans des journaux d’infostealers (flux de CTI, Cyber Threat Intelligence) ;
installation d’un outil d’accès distant commercial non référencé.

Ce que cette approche ne garantit pas : un acheteur patient, connecté depuis un fournisseur d’accès résidentiel du bon pays aux heures de bureau, échappe à ces règles. Une MFA (Multi-Factor Authentication) résistante à l’hameçonnage réduit la valeur marchande des identifiants volés bien plus que n’importe quelle règle de détection. Les rubriques Identités et Failles couvrent ces deux leviers.

Exemple reproductible : repérer une session de vérification

Le script suivant (Python 3, sans dépendance externe) signale dans un export de sessions VPN les connexions brèves depuis un ASN jamais vu pour l’utilisateur.

# Export de sessions VPN (format minimal, à adapter à la source réelle)
cat > vpn.csv <<'CSV'
utilisateur,debut,duree_s,asn,octets
alice,2026-09-01T08:02,28800,AS3215,5400000
alice,2026-09-02T08:05,27000,AS3215,4900000
bob,2026-09-01T09:00,30000,AS12322,6100000
bob,2026-09-14T02:47,95,AS9009,18000
bob,2026-09-15T09:02,29000,AS12322,5800000
alice,2026-09-20T08:10,26500,AS3215,5100000
CSV

# Détection : nouvel ASN pour ce compte ET session courte ET faible volume
python3 - <<'PY'
import csv
from collections import defaultdict

connus = defaultdict(set)          # ASN déjà vus, par utilisateur
DUREE_MAX, OCTETS_MAX = 300, 100_000

with open("vpn.csv") as f:
    lignes = sorted(csv.DictReader(f), key=lambda l: l["debut"])

for l in lignes:
    u, asn = l["utilisateur"], l["asn"]
    nouveau = connus[u] and asn not in connus[u]
    breve = int(l["duree_s"]) < DUREE_MAX and int(l["octets"]) < OCTETS_MAX
    if nouveau and breve:
        print(f"A examiner : {u} {l['debut']} depuis {asn} "
              f"({l['duree_s']} s, {l['octets']} octets)")
    connus[u].add(asn)
PY
# Sortie : A examiner : bob 2026-09-14T02:47 depuis AS9009 (95 s, 18000 octets)

En production, la même logique se transpose en requête SIEM (Security Information and Event Management), avec une base d’ASN connus sur trente à quatre-vingt-dix jours. Les seuils se calibrent sur l’historique réel : une règle qui sonne chaque matin n’est plus lue au bout d’une semaine.

Exploitation : journaux, rotation et reprise

Prérequis. Journaux d’authentification VPN, RDP et du fournisseur d’identité centralisés, enrichis de l’ASN, conservés au moins quatre-vingt-dix jours pour couvrir le délai entre vente et exploitation.

Rotation. Toute alerte confirmée entraîne la révocation des sessions actives et la réinitialisation des identifiants concernés, pas seulement le blocage de l’adresse source : ce qui a été vendu, c’est l’identifiant.

Reprise. Après un incident, l’enquête remonte jusqu’au vecteur d’entrée initial ; la rubrique Menaces situe cette démarche dans la réponse à incident.

🐝 Ce qui arrive si on s’en passe

Sans cette lecture économique, la détection reste calée sur l’exploitation finale : le chiffrement, l’exfiltration, la charge utile. Toute la phase amont devient invisible, alors qu’elle dure souvent des semaines. Une connexion VPN valide depuis une géographie inhabituelle, un compte de service réactivé, un accès RDP testé puis abandonné ne déclenchent rien, parce qu’aucune signature ne décrit un identifiant vendu mais pas encore utilisé. L’entrée, revendue, change de main sans laisser de trace technique nouvelle. Le défenseur perd aussi la capacité de hiérarchiser : faute de comprendre ce qui rend une cible rentable ou une vulnérabilité chère (portée, furtivité, durée de vie avant correctif), les correctifs sont priorisés par score générique plutôt que par valeur marchande réelle. À la reprise, l’analyse post-incident identifie l’exploitant, jamais le courtier, et la porte d’entrée d’origine reste ouverte pour la revente suivante.

🦫 Explication de la marmotte 🍫

Beaucoup d’attaques informatiques sont préparées par plusieurs groupes qui ne font pas le même travail. Un premier groupe obtient un moyen d’entrer dans le réseau d’une entreprise : un mot de passe volé par un logiciel espion, un accès à distance mal protégé, un équipement pas mis à jour. Il ne s’en sert pas lui-même. Il se connecte une seule fois, très vite, pour prouver que l’accès fonctionne, puis le met en vente sur un forum. Le prix dépend de la taille de l’entreprise et des droits obtenus. Un autre groupe achète l’accès, quelques jours ou semaines plus tard, et lance l’attaque finale, par exemple le blocage des fichiers contre une rançon. Les failles jamais publiées, elles, se vendent beaucoup plus cher, surtout si elles touchent beaucoup d’appareils, restent discrètes et risquent peu d’être corrigées vite ; ce sont surtout des États qui les achètent. Pour se défendre, une entreprise surveille donc ses connexions : une connexion très courte, depuis un réseau jamais vu pour ce compte, sans travail réel, peut être la vérification du vendeur. Si elle coupe cet accès et change le mot de passe avant la revente, l’attaque finale n’a jamais lieu.

Pages voisines

La citent

Courtiers d'accès initial et marché des zero-day, détecter en amont

Elle cite

: les deux pages se citent l’une l’autre.