Persistance par tâche planifiée
Qu'est-ce que Persistance par tâche planifiée ?
Persistance par tâche planifiéeTechnique de persistance et d'exécution où l'attaquant crée ou modifie une tâche planifiée Windows pour lancer son code lors d'un déclencheur (logon, démarrage, minuterie).
La persistance par tâche planifiée (MITRE ATT&CK T1053.005) détourne le Planificateur de tâches Windows. Les attaquants utilisent schtasks.exe, l'interface COM ITaskService ou déposent directement un XML dans %SystemRoot%\System32\Tasks pour enregistrer des tâches qui s'exécutent au boot, à l'ouverture de session, en inactivité, sur calendrier ou sur événements. Les tâches sous SYSTEM, NETWORK SERVICE ou un compte de service privilégié procurent persistance et privilèges. Des variantes modernes masquent les tâches en supprimant la valeur SD ou en utilisant un principal vide, imposant une détection au-delà de la GUI. Défenses : événements 4698/4702, Sysmon 1 pour schtasks.exe, baseline des tâches attendues, restriction du droit de création de tâche.
● Exemples
- 01
Tâche horaire nommée "GoogleUpdaterTaskUser" lançant un binaire non signé dans %APPDATA%.
- 02
Tâche à déclencheur d'ouverture de session exécutant un loader PowerShell sous SYSTEM.
● Questions fréquentes
Qu'est-ce que Persistance par tâche planifiée ?
Technique de persistance et d'exécution où l'attaquant crée ou modifie une tâche planifiée Windows pour lancer son code lors d'un déclencheur (logon, démarrage, minuterie). Cette notion relève de la catégorie Attaques et menaces en cybersécurité.
Que signifie Persistance par tâche planifiée ?
Technique de persistance et d'exécution où l'attaquant crée ou modifie une tâche planifiée Windows pour lancer son code lors d'un déclencheur (logon, démarrage, minuterie).
Comment fonctionne Persistance par tâche planifiée ?
La persistance par tâche planifiée (MITRE ATT&CK T1053.005) détourne le Planificateur de tâches Windows. Les attaquants utilisent schtasks.exe, l'interface COM ITaskService ou déposent directement un XML dans %SystemRoot%\System32\Tasks pour enregistrer des tâches qui s'exécutent au boot, à l'ouverture de session, en inactivité, sur calendrier ou sur événements. Les tâches sous SYSTEM, NETWORK SERVICE ou un compte de service privilégié procurent persistance et privilèges. Des variantes modernes masquent les tâches en supprimant la valeur SD ou en utilisant un principal vide, imposant une détection au-delà de la GUI. Défenses : événements 4698/4702, Sysmon 1 pour schtasks.exe, baseline des tâches attendues, restriction du droit de création de tâche.
Comment se défendre contre Persistance par tâche planifiée ?
Les défenses contre Persistance par tâche planifiée combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Persistance par tâche planifiée ?
Noms alternatifs courants : Persistance schtasks, Abus du Planificateur de tâches.
● Termes liés
- attacks№ 1246
Persistance par souscription d'événement WMI
Technique de persistance qui enregistre un filtre et un consommateur d'événements WMI permanents pour exécuter du code attaquant lors d'un événement système choisi.
- attacks№ 914
Persistance par clé Run du registre
Technique classique de persistance Windows qui ajoute une entrée sous une clé Run ou RunOnce afin d'exécuter un binaire ou un script à chaque ouverture de session.
- attacks№ 200
Détournement COM
Technique de persistance qui redirige la résolution d'un CLSID Windows Component Object Model vers du code attaquant, exécuté à chaque instanciation de l'objet.
- attacks№ 515
Injection IFEO
Technique de persistance et d'élévation de privilèges qui abuse de la clé Image File Execution Options de Windows pour exécuter du code attaquant à chaque lancement d'un exécutable cible.
- attacks№ 238
Persistance via cron
Technique de persistance Linux/Unix utilisant cron, anacron ou les timers systemd pour réexécuter du code attaquant à un intervalle ou un événement choisi.
- attacks№ 608
Persistance launchd
Technique de persistance macOS qui installe un plist LaunchDaemon ou LaunchAgent pour faire exécuter du code par launchd au démarrage, à l'ouverture de session ou sur un déclencheur.