How FIN6 Exfiltrates Files Over FTP
Comment FIN6 exfiltre les fichiers via FTP
Mots-clés
Résumé
218 mots
Évaluation critique
Valeur des informations & solidité de l’argumentation
La valeur pédagogique du contenu est élevée : chaque étape est exécutée en direct, avec les commandes visibles, les erreurs rencontrées et leur résolution. L’auteur ne se contente pas de dérouler un script, il explique le pourquoi de chaque choix technique, notamment l’intérêt d’une copie shadow pour accéder à des fichiers verrouillés par le système en fonctionnement, ou la nécessité de conserver un préfixe commun aux fichiers pour faciliter l’archivage ultérieur. L’argumentation est structurée autour du plan d’émulation de FIN6, ce qui donne une cohérence d’ensemble et permet de relier chaque action à une phase identifiée de la chaîne d’attaque. L’auteur assume explicitement un écart avec le plan d’origine sur l’élévation de privilèges, jugeant le vecteur proposé peu réaliste, et choisit une alternative plus crédible ; cette transparence renforce la solidité du raisonnement. La démonstration de la modification du module Metasploit est particulièrement instructive, car elle expose un problème concret rencontré avec les modules anciens et montre comment le corriger. On peut toutefois relever que certaines simplifications, comme des identifiants FTP triviaux, sont signalées mais pas compensées par une discussion des contre-mesures défensives correspondantes. L’argumentation reste avant tout procédurale : elle décrit comment faire, sans développer en profondeur l’analyse des variantes de TTP observées chez FIN6 ni les indicateurs de compromission associés.
Rigueur scientifique, qualité des sources, adéquation du titre
La rigueur scientifique s’appuie ici sur un référentiel public et reconnu, la bibliothèque d’émulation d’adversaire du Center for Threat-Informed Defense, dont le lien est fourni, et sur un environnement de laboratoire structuré de la plateforme Cyber Ranges. Les techniques présentées correspondent à des procédures documentées et reproductibles, et l’auteur prend soin de distinguer ce qui relève du plan d’émulation de ce qui relève de son initiative personnelle. La qualité des sources reste cependant limitée : aucune publication primaire, aucun rapport de threat intelligence nominatif ni aucune référence académique n’est cité pour étayer les affirmations sur les modes opératoires de FIN6. Les liens de la description renvoient majoritairement à des ressources de la chaîne, à des laboratoires et à des liens d’affiliation, ce qui réduit la portée documentaire. L’adéquation entre le titre et le contenu est excellente, la vidéo traitant précisément de l’exfiltration via FTP annoncée.
372 mots
Adéquation titre / contenu
Le titre est parfaitement respecté : la vidéo montre effectivement l'exfiltration d'une archive via FTP, après les étapes de collecte et d'archivage.
Qualité & fiabilité
7/10
Le contenu est un tutoriel technique reproductible, appuyé sur un plan d'émulation d'adversaire public (CTID Adversary Emulation Library) et sur un environnement de laboratoire dédié (Cyber Ranges). Les commandes, chemins et procédures sont montrés en direct et cohérents avec les techniques MITRE ATT&CK connues de FIN6. La démonstration est honnête sur ses limites (écart assumé par rapport au plan d'origine sur l'élévation de privilèges, simplification des identifiants FTP, absence de la phase 2 de l'acteur). En revanche, aucune source académique ou rapport de threat intelligence primaire n'est cité directement, et certaines affirmations sur les TTP de FIN6 restent générales.
Moments clés
Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.
- Rappel du contexte de la série et présentation du laboratoire FIN6 sur Cyber Ranges.
- Constat de l'échec de get system et choix d'un vecteur d'élévation de privilèges alternatif.
- Modification du module Metasploit bypass UAC COM hijack pour supporter un payload 64 bits.
- Obtention d'un shell élevé sur le contrôleur de domaine cible.
- Création d'une copie shadow du volume C avec vssadmin.
- Extraction de NTDS.dit et de la ruche de registre SYSTEM depuis la copie shadow.
- Sauvegarde de la ruche de registre par reg save et suppression de la copie shadow.
- Archivage des fichiers préfixés AD avec 7-Zip en compression maximale.
- Mise en place du serveur FTP sur Kali Linux avec pyftpdlib.
- Exfiltration de l'archive via le client FTP natif de Windows piloté par fichier de commandes.
Sources citées
- CTID Adversary Emulation Library — Bibliothèque de plans d'émulation d'adversaires du Center for Threat-Informed Defense, base du plan FIN6 suivi dans la vidéo.
- Cyber Ranges — Plateforme de laboratoires hébergeant l'environnement d'émulation FIN6 utilisé pour la démonstration.
- Formulaire de suggestions de vidéos — Lien de la chaîne permettant de proposer des idées de sujets.
- CyberTalk Podcast (Spotify) — Podcast associé à la chaîne, mentionné dans les ressources.
- CyberTalk Podcast (Apple Podcasts) — Podcast associé à la chaîne, mentionné dans les ressources.
Sources concordantes
- MITRE ATT&CK — FIN6 — La fiche du groupe confirme l'usage de l'archivage et de l'exfiltration de données, cohérent avec la démonstration.
- CTID Adversary Emulation Library — Les plans d'émulation publics décrivent des étapes de collecte, d'archivage et d'exfiltration similaires à celles présentées.
Apport & nouveautés
La vidéo apporte une valeur originale en documentant l’intégralité d’une chaîne d’exfiltration, de la collecte à la sortie des données, dans un cadre d’émulation d’adversaire reproductible. Elle se distingue par la résolution d’un problème concret de compatibilité de module Metasploit, montrant comment adapter un module ancien pour un payload 64 bits, ce qui constitue un savoir-faire rarement détaillé. Elle illustre également une technique d’exfiltration par FTP pilotée par fichier de commandes, alternative aux canaux web habituellement décrits, et détaille l’usage de la copie shadow pour extraire NTDS.dit sans interrompre le service. L’auteur explicite enfin ses écarts assumés par rapport au plan d’origine, ce qui rend la démarche transparente et reproductible.
Pour aller plus loin :
- MITRE ATT&CK — FIN6 — Fiche de référence du groupe, utile pour replacer les TTP montrées dans la matrice ATT&CK.
- MITRE ATT&CK — Exfiltration Over Alternative Protocol (T1048) — Technique correspondant à l’exfiltration FTP démontrée.
- MITRE ATT&CK — OS Credential Dumping: NTDS (T1003.003) — Contexte sur l’extraction de NTDS.dit via copie shadow.
- Volume Shadow Copy Service (VSS), sans URL — mécanisme Windows sous-jacent à la création de la copie shadow utilisée pour accéder aux fichiers verrouillés.
- 7-Zip, sans URL — outil de compression dont la version en ligne de commande renommée est attribuée à FIN6 pour l’archivage des données collectées.
215 mots
Profil radar
Le profil est celui d'un tutoriel technique dense et bien documenté : quantité et qualité d'information élevées, niveau technique soutenu, fiabilité solide grâce à un référentiel public et à une démonstration reproductible. La fiabilité est légèrement en retrait car les affirmations sur les TTP de FIN6 reposent sur des sources secondaires plutôt que sur des rapports primaires.