Cheval de Troie d'accès à distance (RAT).

Un cheval de Troie d'accès à distance (RAT) installe une porte dérobée discrète permettant à un opérateur de visualiser l'écran, d'exécuter des commandes, de manipuler des fichiers, d'enregistrer les frappes, de capturer audio ou vidéo et de rebondir vers d'autres systèmes. Contrairement aux logiciels standard d'administration à distance, un RAT est installé sans consentement et cherche à échapper à la détection.

Diffusion et contrôle. Les RATs sont couramment diffusés via des pièces jointes de phishing, des logiciels craqués, des publicités malveillantes, des drive-by downloads ou comme charge utile secondaire après une compromission initiale. Une fois en cours d'exécution, l'implant établit un canal de commande et de contrôle (C2) — souvent via HTTPS, DNS ou un protocole propriétaire — et émet des balises vers l'opérateur, qui envoie des commandes interactives. Comme la connexion est initiée depuis l'intérieur du réseau, elle traverse le NAT et de nombreux pare-feu permissifs en sortie.

Familles connues. Gh0st RAT, dont le code source a fuité et reste en circulation, a alimenté l'opération d'espionnage GhostNet dévoilée en 2009, qui a compromis des cibles politiques et diplomatiques dans 103 pays. Poison Ivy (repéré pour la première fois en 2005) a été utilisé lors de la compromission en 2011 des données de graine SecurID de RSA et de la campagne Nitro qui a suivi, visant des entreprises de la chimie et de la défense. Des RATs grand public comme njRAT, DarkComet, AsyncRAT et PlugX sont largement échangés et réutilisés aussi bien par des acteurs criminels que par des groupes liés à des États.

Les défenses comprennent la détection et réponse sur les postes (EDR), l'allow-listing applicatif, le filtrage sortant avec inspection DNS et TLS, le blocage des infrastructures C2 connues, la surveillance des sessions sortantes anormales et de longue durée, et des comptes utilisateurs à privilèges minimaux.

flowchart LR
  A[Phishing / logiciel<br/>craqué / drive-by] --> B[L'implant RAT s'exécute]
  B --> C[Balise vers le C2<br/>via HTTPS / DNS]
  C --> D[L'opérateur envoie des commandes]
  D --> E[Keylog, capture d'écran,<br/>vol de fichiers, webcam]
  D --> F[Déplacement latéral /<br/>dépôt de nouveaux malwares]
  E --> C