Sauvegarde face aux attaques par malware : comment se protéger contre ResolverRAT et les nouvelles menaces invisibles
Un nouveau malware vient de faire son apparition dans le paysage des cybermenaces : ResolverRAT. Ce Remote Access Trojan (RAT) se distingue par sa capacité à se cacher en mémoire, à s'adapter dynamiquement à son environnement, et à utiliser des techniques d’évasion jamais vues jusqu’alors.
ResolverRAT : un malware furtif et sophistiqué
Pourquoi cette menace est-elle à prendre au sérieux ?
- Exécution en mémoire uniquement : Le payload (charge utile injectée dans le système d'information et pouvant rester plusieurs mois en sommeil avant de déclencher une attaque) de ResolverRAT ne touche jamais le disque, rendant son déploiement extrêmement difficile à détecter
- Chiffrement et compression de son payload : Grâce à un cryptage AES-256 couplé à GZip, ce malware masque ses intentions tout en échappant à l’analyse statique
- Injection via .NET Resource Resolver : Cette technique innovante permet à ResolverRAT de contourner les solutions de sécurité qui surveillent les appels Win32 (API permettant la communication avec le système notamment) et les opérations de fichiers classiques. Un vrai coup de maître pour éviter la détection
Comment ce RAT se propage-t-il ?
Il commence par une campagne de phishing sophistiquée, exploitant des messages en plusieurs langues locales (hindi, italien, turc, etc.) pour inciter les victimes à télécharger un fichier malveillant.
En utilisant la technique de DLL side-loading (bibliothèque logicielle dynamique, chargeant les ressources en mémoire selon les besoins) avec un fichier légitime (hpreader.exe), il déclenche l’infection de manière furtive, contournant la sécurité traditionnelle.
Une persistance à toute épreuve
ResolverRAT ne se contente pas d’infecter le système : il met en place une persistance multiple via des clés de registre obfusquées (qui sont rendues ainsi plus difficiles à comprendre par des systèmes de détection), et s’installe dans des répertoires stratégiques comme AppData ou Program Files.
Le tout, avec des mécanismes de fallback (alternative en cas d'échec) pour garantir qu'il reste actif, même si certaines méthodes échouent.
Côté réseau, l'attaque est tout aussi sophistiquée
- Communication via protocoles personnalisés : Utilisation de ports standards mais avec un protocole de communication personnalisé pour se fondre dans le trafic légitime
- Validation de certificats embarqués : Le malware met en place un système de validation de certificats qui rend la surveillance du trafic SSL/TLS complètement inefficace
- Évasion via des connexions intermittentes : Des connexions aléatoires et des échanges de données en morceaux rendent toute détection par analyse de trafic quasiment impossible
Pourquoi est-ce inquiétant ?
ResolverRAT représente une évolution majeure dans la manière dont les attaquants contournent les solutions de sécurité classiques. Ce malware montre que la prévention et détection comportementale sont plus que jamais essentielles pour se défendre face à ces menaces invisibles.
Dans ce contexte, si les mesures détectives et préventives ont échoué, une mesure corrective comme la sauvegarde (et bien sûr la restauration) peut être le dernier rempart au désastre ...
La sauvegarde, essentielle face aux attaques de malware
Ainsi, dans cette optique où les attaques deviennent plus furtives et plus destructrices, la sauvegarde des données est un outil de résilience incontournable pour :
- Restaurer rapidement les données compromises en cas d'infection.
- Limiter l'impact économique d’une attaque (perte de données, arrêt d’activité, chantage).
- Se prémunir contre les rançongiciels (ransomwares) qui bloquent l’accès aux fichiers.
- Assurer la continuité d’activité sans céder aux cybercriminels.
En effet, en cas d’infection par un RAT comme ResolverRAT, il est souvent impossible de garantir l'intégrité des systèmes contaminés. Et souvent , seule une restauration depuis une sauvegarde saine permet de repartir sur des bases fiables.
Comment mettre en place une sauvegarde efficace contre les malwares
Pour qu’une sauvegarde soit vraiment utile face à des menaces sophistiquées, elle doit répondre à plusieurs critères :
- Externalisation : stocker les sauvegardes hors ligne ou dans un cloud sécurisé pour éviter qu'elles soient elles-mêmes chiffrées par un malware.
- Sauvegardes régulières et automatisées pour limiter la perte de données entre deux attaques.
- Multiplication des versions : conserver plusieurs versions historiques permet de restaurer avant la date de l’infection.
- Chiffrement des sauvegardes pour garantir leur confidentialité même en cas d'accès non autorisé.
- Tests réguliers de restauration pour vérifier que les sauvegardes sont réellement exploitables en cas de crise.
La stratégie 3-2-1 (3 copies, 2 supports différents, 1 hors site) reste une référence pour résister aux cybermenaces modernes.
Se protéger durablement contre les nouvelles menaces
Face à l’émergence de malwares comme ResolverRAT, miser uniquement sur la prévention n'est plus suffisant. La capacité à restaurer rapidement ses systèmes est devenue un pilier de la cybersécurité.
Investir dans des solutions de sauvegarde professionnelles certifiées et intégrer la sauvegarde dans votre plan de réponse aux incidents est aujourd’hui indispensable pour protéger la pérennité de votre activité.
