Table Of ContentSécurité informatique et Malwares
Analyse et contremesures (2e édition)
Ce livre décrit les techniques et la méthodologie utilisées par les professionnels de l'analyse de malwares(ou logiciels
malveillants). Il s'adresse à des informaticiens passionnés de sécurité, à des professionnels dans le domaine de la
sécurité informatique, qui souhaitent une approche opérationnelle et hautement technique.
L'auteur commence parl'identification et la classification des malwares, il décrit ensuite les collectes rapportées par
des investigations numériques légales (inforensiques) puis les analyse. Ces collectes comportent des images disque,
des journaux d'évènements, mais aussi des images mémoire. Les outils et techniques permettant d'analyser ces
données sont décritsavec de nombreux exemples.
Après avoir identifié le malware, il convient de l'analyser. L'auteur explique le fonctionnement desoutils de
sandboxes et décrit des formats de fichier comme les documents pdf, Microsoft Office ou encore les binaires Windows.
Afin de réaliser des analyses extrêmement techniques, le livre contient un chapitre entier sur le reverse engineering
(ou rétroingénierie), l'auteur y explique lesbases de l'assembleur (x86 et x64)et l'utilisation d'outils d'analyse
statique tel que IDA Pro et Radare2 ou de debuggers tel que Immunity Debugger et WinDBG. En complément sur ce
sujet du reverse engineering, un chapitre explique les techniquesd'obfuscation utilisées par les malwares, telles
que l'obfuscation de chaînes de caractères ou l'utilisation de packers. L'auteur détaille les techniques permettant de
dépacker des binaires packés. La dernière partie de ce livre parcourt les méthodes permettant d'éradiquer les
malwaresprécédemment identifiés et analysés.
Le livre est illustré d'exemples d'analyses de véritables malwares et les techniques présentées ont toutes été validées
sur des cas réels. Tous les codes sources du livre sont en téléchargement sur cette page.
Les chapitres du livre :
Avantpropos – Identification d'un malware – Analyse de base – Reverse engineering – Techniques d'obfuscation –
Détection, confinement et éradication
Paul RASCAGNERES
Paul RASCAGNERES, tout au long de sa carrière, a créé en Europe diverses équipes de réponses à incidents, il a
également réalisé de nombreuses analyses de codes malveillants complexes pour un éditeur d’antivirus. Il travaille
aujourd’hui au CERT SEKOIA, où il a pour mission l’analyse de malwares lors d’incidents de sécurité ou lors de projets
de recherches. Il participe également activement à la communauté antimalware et est l’auteur de nombreuses
publications. Au fil des années, il a créé des bases de données de malwares à disposition des chercheurs. Conférencier
à l'international (Europe, Asie, Amérique) sur l'analyse de malwares, il partage dans ce livre ses connaissances dans ce
domaine de la sécurité.
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGORiXv5qrnWiAsA-enidentnumber
© Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose - 1 -
Introduction
Ce livre s’adresse aux passionnés de sécurité informatique, mais également aux professionnels du secteur souhaitant
acquérir les compétences nécessaires pour gérer un incident de sécurité lié à une infection virale ou encore
comprendre le fonctionnement d’un malware.
Pour suivre le déroulement de ce livre, il est préférable d’avoir des notions sur les systèmes d’exploitation Windows,
sur les réseaux, et également des notions en développement.
L’objectif de ce livre est de pouvoir analyser une machine et identifier si elle est infectée par un malware ou non. Une
fois l’infection confirmée, il est nécessaire de pouvoir analyser ce malware avec différentes techniques pour en
comprendre le fonctionnement et créer des signatures permettant de l’identifier sur tout le parc informatique.
De nos jours, les attaques informatiques et l’utilisation de malwares sont de plus en plus fréquentes. Les médias
s’empressent d’exposer toujours plus de cas d’attaques avec des malwares tels que Stuxnet, Turla ou encore Regin.
Les cibles sont aussi variées que des États, des entreprises cotées en bourse ou des journalistes. L’analyse de
malwares n’est plus uniquement réservée aux sociétés d’antivirus. Afin de pouvoir gérer ces cas toujours plus
fréquents et évolués, les sociétés doivent, avec l’aide de leurs employés, être capables de comprendre les techniques
et la méthodologie utilisées par les spécialistes de l’analyse de malwares.
Ce livre est né d’un besoin exprimé lors de nombreuses interventions auprès de sociétés après des attaques réussies
ou des découvertes de réseaux infectés depuis des mois. Une demande de formation existe dans l’analyse de
malwares ; cet ouvrage peut parfaitement servir de support de cours.
Ce livre est décomposé en cinq chapitres. Chaque chapitre est illustré d’exemples réels, étudiés lors d’interventions
suite à un incident de sécurité ou lors d’analyses réalisées pour différents projets de recherches.
Le chapitre Identification d’un malware commence par une présentation des différentes familles de malwares. Il
présente ensuite plusieurs scénarios d’infection ainsi que les techniques utilisées par les malwares pour contacter
leurs serveurs d’administration. Après ces présentations, ce chapitre évoque les collectes nécessaires à une
investigation ainsi que le mode opératoire des attaquants en cas d’attaques ciblées avancées (dites APT).
Le chapitre Analyse de base explique la création d’un laboratoire d’analyse de malwares. Puis, il présente différents
formats de fichiers tels que les formats PE, PDF, JAR, Office ou encore Flash. Ensuite, le chapitre présente des
techniques pour suivre le flux d’exécution d’un binaire sous Windows et l’utilisation de l’outil libre Cuckoo Sandbox. Il
se termine par une présentation des ressources disponibles sur Internet concernant l’analyse de malwares.
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGN7FJv+qrnWiAsA-enidentnumber Le chapitre Reverse engineering est le plus complexe de ce livre. Ce chapitre présente l’assembleur x86 nécessaire
pour ce type de travail. Ensuite, les outils liés à l’analyse statique et dynamique sont présentés. Une présentation de
l’API Windows est également faite afin de comprendre les actions d’un malware.
Le chapitre Techniques d’obfuscation est la continuité naturelle du chapitre Reverse engineering. En effet, pour
compliquer les analyses, les attaquants utilisent des techniques qui sont présentées dans ce chapitre. L’obfuscation
des chaînes de caractères et de l’API Windows est expliquée avec des exemples concrets. La plus importante partie
de ce chapitre est consacrée aux packers et comment dépacker un malware. Une description complète du packer
utilisé par Hacking Team sera présenté.
Le chapitre Détection, confinement et éradication d’un malware commence par présenter les indicateurs de
compromission ainsi que les outils liés à ce domaine. Ensuite, il est expliqué comment créer des signatures des
malwares analysés. L’antivirus libre ClamAV sera présenté.
À l’heure où cet avantpropos est écrit, il n’existe aucun ouvrage francophone sur ce sujet. Le but de ce livre est de
pallier ce manque en espérant qu’il permettra que des attaques ou des infections soient correctement et rapidement
gérées.
© Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose - 1 -
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGN7FJv+qrnWiAsA-enidentnumber
- 2 - © Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose
Présentation des malwares par familles
1. Introduction
Pour commencer, il est nécessaire de définir ce qu’est un malware (ou logiciel malveillant). Un malware est un logiciel
créé dans le but de compromettre un système informatique sans l’accord du propriétaire de ce système.
Les premiers malwares sont nés dans les années 1970. Le premier malware, nommé Creeper, pouvait se connecter
à un système distant en utilisant un modem et afficher le message d’erreur suivant : « I’M THE CREEPER: CATCH ME
IF YOU CAN ». Depuis, les malwares ont évolué, ils sont capables à présent de modifier la vitesse de rotation d’une
centrifugeuse comme l’a fait en 2010 le malware Stuxnet dans une centrale nucléaire iranienne, de voler des
informations sensibles comme Flamer en 2012, ou, encore plus récemment en 2015, d’utiliser des liaisons satellites
pour communiquer avec l’attaquant, comme ce fut le cas pour Turla.
Il existe des millions de malwares différents. Ces malwares ont des fonctionnalités différentes, ils peuvent être
classés par familles. Il est important de pouvoir classer un malware en fonction de son impact et son but.
2. Backdoor
Les backdoors sont des malwares permettant à un attaquant de prendre la main sur le système infecté. Au début,
ces malwares ouvraient un port en écoute sur la machine infectée. Grâce à ce port ouvert, l’attaquant pouvait se
connecter à la machine afin de l’administrer à distance. Cette technique impose une connexion à chaque machine et
l’administration d’un parc de machines infectées est alors des plus laborieuses. On comprend que cette approche
limite le nombre de machines humainement gérables par un seul attaquant. Pour pallier cette limitation, ces
backdoors ont évolué en botnet. Un botnet est un ensemble de machines infectées reliées entre elles par un serveur
central qui diffuse les ordres au travers du botnet. Ce serveur central est communément appelé C&C ou C2
(Command and Control). Ces serveurs peuvent être des serveurs IRC (Internet Relay Chat) ou encore des serveurs
web. De cette manière, l’attaquant peut administrer des milliers de machines depuis un point central. Cette
architecture client/serveur est parfois édulcorée par un modèle pair à pair : quelques collecteurs obtiennent les
ordres depuis le C&C, ensuite les ordres sont diffusés dans le voisinage du collecteur. De proche en proche les
ordres sont ainsi diffusés dans tout le botnet. Waledac est un bon exemple d’une telle architecture.
Des frameworks ont été créés pour faciliter l’administration de ces machines infectées. Ces frameworks, appelés RAT
(Remote Administration Tool), permettent de prendre la main sur les machines infectées, mais également
d’automatiser la capture d’écran, le transfert de fichiers entre l’attaquant et la machine infectée, de gérer la base de
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGOhY/QBq7nWiAsA-enidentnumber registre Windows... Les fonctionnalités de ces RAT sont seulement limitées par l’imagination des développeurs. Ces
frameworks sont parfois appelés des chevaux de Troie, en référence à la mythologie grecque.
Pour saisir l’impact de ce type de malware, de nombreux exemples d’utilisation existent. Par exemple, lors des
révolutions arabes de 2011, un RAT nommé DarkComet a été utilisé par les autorités syriennes pour contrôler les
ordinateurs des opposants au régime.
Pour ce type de malware, le premier travail de l’analyste de malwares consiste à trouver le C&C afin de bloquer tout
accès à ce serveur. Certes ce blocage ne nettoie pas les machines infectées par le malware mais l’attaquant sera
neutralisé, en effet il ne pourra plus donner d’ordre au botnet. Cette approche permet de gagner du temps pour
continuer les analyses. La seconde étape consiste alors à comprendre comment éradiquer le malware, c’estàdire
désinfecter la machine. Dans un troisième temps, on s’attachera à cerner les fonctionnalités du malware pour en
cerner l’impact ainsi que son protocole de communication avec le C&C par exemple pour définir une détection
générique de son trafic réseau. Cette dernière détection générique peut alors permettre la détection de nouveaux
C&C...
© Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose - 1 -
3. Ransomware et locker
Les ransomwares sont des malwares créés pour que l’utilisateur infecté ne puisse plus utiliser son système
d’information ou consulter ses documents sans payer une rançon à l’attaquant.
Dans le cas où ce sont les données qui ne peuvent plus être consultées, le ransomware chiffre les fichiers et
l’attaquant ne donnera la clé de déchiffrement qu’après avoir reçu la rançon. Ce type de malware est appelé un
locker.
Dans le cas où le système d’information est visé, la machine est limitée dans son utilisation. Par exemple, il est
impossible de se connecter sur Internet. Dans ce cas, l’attaquant fournit un logiciel de déblocage après avoir reçu la
rançon.
Pour ce type de malware, l’analyste devra comprendre l’algorithme de chiffrement ou les mécanismes de blocage de
la machine mis en place par l’attaquant. En effet, des erreurs d’implémentation ou des algorithmes faibles
permettent souvent de restaurer les fichiers de la victime sans payer aucune rançon.
Il existe de nombreux ransomwares, parmi ceuxci Matsnu (ou Rannoh) est particulièrement intéressant. Une des
caractéristiques de ce malware est sa grande vitesse de propagation ainsi que le nombre important de machines
bloquées. Ce ransomware était interfacé avec plusieurs serveurs d’administration. De plus, pour rendre l’analyse
encore plus complexe, le malware générait des clés de chiffrement uniques pour chaque fichier chiffré. Le chiffrement
utilisé était le RC4 qui est considéré comme un algorithme de chiffrement fort.
4. Stealer
Les stealers (voleurs) sont des malwares créés dans le but de voler des informations ou des données sur la machine
infectée. Comme dans le cas des backdoors, ces malwares se connectent à des serveurs centraux pour envoyer les
données volées. Ces données peuvent être de tout type : des emails, des plans, des numéros de carte de crédit,
des bitcoins (monnaie virtuelle)...
Tout comme pour les backdoors, le but de l’analyste de malwares est de trouver le C&C afin de bloquer toutes les
communications avec celuici. La seconde étape est d’analyser quels types de données ont été exfiltrées par ce
malware afin d’évaluer l’impact.
Il existe de nombreuses manières pour faire sortir les données d’un système : l’attaquant peut utiliser de nombreux
canaux de communication tels que l’envoi d’emails, les salons IRC, ou encore le web en envoyant par exemple les
informations sur PasteBin, un outil permettant de copier un texte pour le rendre disponible aux autres internautes.
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGOhY/QBq7nWiAsA-enidentnumber
Ce type de malware peut être illustré par le cas de Duqu, découvert en 2011 dans le laboratoire de cryptophragie et
de sécurité système de l’université polytechnique et économique de Budapest. Ce malware a été conçu pour
capturer les frappes du clavier de la machine infectée et également pour récupérer des informations sur le système
infecté. Les cibles de ce malware étaient peu nombreuses et concernaient essentiellement des systèmes de
contrôle industriel. Les malwares permettant de capturer ce qui est saisi au clavier sont appelés des keyloggers.
5. Rootkit
Les rootkits sont des malwares servant à dissimuler l’activité de l’attaquant sur la machine infectée. Les premiers
rootkits sont nés en 1994 sur Linux, en 1998 sous Windows et en 2004 sous Mac OS X.
Le premier but d’un rootkit est de se dissimuler, pour cela le rootkit va supprimer sa trace dans les journaux
système. Il va également cacher son existence au niveau de la base de registre, mais aussi au niveau du système
de fichiers via des mécanismes de hook.
- 2 - © Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose
Un hook consiste à remplacer un appel système du système d’exploitation par un autre appel. Dans notre cas, le
malware peut par exemple remplacer l’appel système permettant d’afficher les fichiers présents dans un répertoire
par un appel modifié listant seulement les fichiers non liés au rootkit. Ainsi les fichiers nécessaires au
fonctionnement du malware restent cachés.
Un rootkit cachera par exemple son activité de processus ou son activité réseau. De cette manière, l’utilisateur de la
machine infectée sera incapable de voir qu’un logiciel non voulu est en cours de fonctionnement sur sa machine. De
plus, les rootkits peuvent également stopper les antivirus ou firewalls pour ne pas être interrompus pendant que
l’attaquant se connecte à la machine infectée. À la manière d’une backdoor, les rootkits laissent généralement une
porte dérobée pour permettre à l’attaquant d’utiliser la machine infectée.
Les rootkits ont besoin de privilèges élevés pour pouvoir fonctionner. Il est donc fréquent que ces rootkits soient
des drivers du noyau chargés automatiquement au démarrage de la machine. Ces dernières années, de nouveaux
types de rootkit apparaissent agissant au niveau firmware ou au niveau du BIOS de la machine. Ces rootkits sont
très compliqués à identifier, car le systèmed’exploitation n’est pas capable de les analyser. En 2010, un chercheur a
publié une méthode permettant de remplacer le firmware d’une carte réseau. Ce nouveau firmware permettait une
prise de main à distance de la machine infectée sans rien modifier au système d’exploitation.
Ce type de malware est le plus compliqué à analyser. Les fonctionnalités sont multiples, la taille de ce type de
malware est généralement grande et leur dissimulation rend l’analyse encore plus ardue.
TDL4 est un malware ayant utilisé un rootkit. Ce rootkit s’installait sur le MBR (Master Boot Record) du disque dur. Le
MBR est le secteur de boot d’un disque dur, il permet au système d’exploitation de démarrer. Le fait de se trouver
sur cette section de disque rend la détection par les antivirus beaucoup plus difficile. Il y aurait en juin 2011 plus de
4 millions de machines infectées par ce rootkit.
Plus récemment, en 2014, le rootkit Turla (également connu sous le nom Uroburos et Snake) a été révélé. Celuici a
pour particularité de contourner certainesprotections mises en place par Microsoft pour limiter l’utilisation des
rootkits sur les systèmes d’exploitation Windows. Ces protections et leurs contournements seront évoqués plus loin
dans cet ouvrage.
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGOhY/QBq7nWiAsA-enidentnumber
© Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose - 3 -
Scénario d’infection
1. Introduction
Il est important de comprendre comment un malware peut être installé sur une machine. Il existe une multitude de
scénarios d’injection, et les attaquants ne manquent pas de créativité pour infecter le plus de machines possible.
Certains botnets, comme Cutwall, contiennent plus de deux millions de machines à la disposition des
administrateurs.
2. Scénario 1 : l’exécution d’une pièce jointe
Ce scénario est le plus simple et le plus courant, il joue sur la crédulité des utilisateurs d’ordinateurs. Le principe est
d’inciter l’utilisateur à infecter sa propre machine. Le malware au format exécutable peut être diffusé par email ou
encore par des liens sur les réseaux sociaux. Il est accompagné d’un message visant à tromper la victime par
l’intermédiaire des techniques d’arnaque usuelles comme l’appât du gain. Ces malwares sont parfois même envoyés
par des proches de confiance dont l’identité a été usurpée.
Ainsi, il est recommandé de ne pas ouvrir les pièces jointes exécutables envoyées par email si cellesci ne sont pas
attendues, ou si l’email est écrit d’une manière inhabituelle.
Certains sites proposent également des vidéos ou des photos pour pousser les utilisateurs à télécharger des
applications et à les installer. Beaucoup de sites pour adultes sont spécialisés dans la distribution de fichiers
binaires permettant d’accéder à des services privilégiés du site en question. Souvent ces exécutables sont en réalité
des malwares que l’utilisateur curieux installera luimême sur la machine.
3. Scénario 2 : le clic malencontreux
Le deuxième scénario est plus complexe que le premier et l’infection n’est pas réalisée directement par l’utilisateur.
Les attaquants utilisent des vulnérabilités dans le navigateur (ou ses extensions) pour déployer automatiquement
leurs malwares. Cette méthode exploite le fait que beaucoup d’utilisateurs ne mettent pas à jour leur système
d’exploitation ou leur navigateur ou encore les extensions utilisées par le navigateur telles que Flash ou Java.
En août 2015, une vulnérabilité majeure dans Flash a été rendue publique suite à la compromission de la société
Hacking Team. Cette vulnérabilité permettait d’exécuter des commandes sur la machine d’un utilisateur. Pour cela,
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGMFzAAIq7nWiAsA-enidentnumber l’utilisateur de la machine devait simplement se rendre sur la page malveillante. Rien ne laissait voir qu’une infection
était en cours en étant simplement connecté à cette page web. Des développeurs de malwares ont très largement
utilisé cette vulnérabilité pour infecter un grand nombre de machines.
Dans ce scénario, une action de l’utilisateur est tout de même nécessaire, mais cette action est limitée à un simple
clic. Avec les services de raccourcissement d’URL utilisés par les réseaux sociaux, il est de plus en plus fréquent de
cliquer sur des liens sans savoir vers quels sites ils pointent.
Depuis quelques années, l’écosystème des cybercriminels a vu une croissance fulgurante des exploitkits. Ceuxci
sont des frameworks vendus sur le marché noir permettant d’exploiter plusieurs vulnérabilités sur une cible pour
augmenter les chances de compromission. Par exemple, certains exploitkits détectent les versions du navigateur
des cibles, ainsi que les versions des extensions (Flash, Java, Silverlight...) et ils déclencheront un exploit en fonction
des résultats pour exécuter le malware sur la machine cible.
4. Scénario 3 : l’ouverture d’un document infecté
© Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose - 1 -
Ce scénario est un mélange des deux premiers. En effet, de plus en plus d’utilisateurs sont méfiants visàvis des
binaires inconnus. Les attaquants envoient donc des documents médias qui eux sont trop souvent considérés sans
risque.
Les fichiers de type PDF ou encore les fichiers liés à la bureautique tels les DOC, XLS ou PPT (de la suite Office de
Microsoft) ne sont en effet pas des exécutables, ils ne modifient en rien la configuration de la machine qui ouvre ce
type de document. Mais comme tout logiciel, les applications permettant de lire ces documents peuvent comporter
des vulnérabilités. Ainsi, certains attaquants utilisent ces documents pour déployer du code malveillant sans que
l’utilisateur ne se doute de quoi que ce soit.
C’est par cette méthode que le malware Duqu a été installé, il a utilisé une vulnérabilité dans la gestion des polices
sous Windows.
5. Scénario 4 : les attaques informatiques
Ce scénario concerne davantage les entreprises que les particuliers. Les attaquants peuvent chercher et trouver
des vulnérabilités sur les systèmes ouverts sur Internet. Les serveurs web ou les serveurs mail sont des exemples
de systèmes frontières faisant office d’interface entre Internet et le réseau interne.
Une fois qu’un attaquant découvre une vulnérabilité permettant d’exécuter des commandes, il est en mesure de
déployer un malware. Sur de tels serveurs, la suite de l’attaque consiste à pouvoir progresser depuis cette frontière
vers le réseau interne de l’entreprise pour atteindre les machines qui intéressent les attaquants tels que les
contrôleurs de domaines, les serveurs de boîtes email ou les serveurs de fichiers.
6. Scénario 5 : les attaques physiques : infection par clé USB
Ce dernier scénario, pour être réalisé, nécessite un accès physique à la machine à compromettre. Il existe des clés
USB (par exemple l’USB Rubber Ducky) pouvant se faire passer pour un clavier. Il est possible de configurer cette clé
pour que, une fois connectée sur une machine, elle saisisse ce que l’attaquant a préalablement configuré. La
machine pourra alors télécharger un logiciel malveillant et l’exécuter.
Cette technique peut sembler complexe à mettre en place, cependant il existe de nombreuses bornes multimédias à
libre disposition dans les lieux publics et dont les ports USB sont parfaitement accessibles.
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGMFzAAIq7nWiAsA-enidentnumber
- 2 - © Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose
Techniques de communication avec le C&C
1. Introduction
Les canaux de communication entre le malware et son C&C (Command and Control) sont souvent un point faible de
l’infection. Afin de pérenniser leur travail, les développeurs de malwares renforcent ces canaux de communication
afin de les rendre toujours plus discrets, plus difficiles à couper. La plupart des malwares interrogent les C&C via un
nom de domaine, ce nom pointant vers une adresse IP. Il existe plusieurs solutions permettant de couper les
canaux de communication : rendre indisponible l’adresse IP ou faire pointer le nom de domaine dans le vide. De
telles mesures peuvent stopper l’activité du malware.
Cette partie va traiter des techniques de protection utilisées par les malwares pour rendre leurs canaux de
communication plus résistants à de telles contremesures. Dans certains cas, beaucoup plus rares, le malware ne
contacte pas directement un C&C ; il reste passif et attend les ordres. Ce type d’approche est très discret et donc
difficile à identifier. Il est cependant plus complexe à mettre en place et à maintenir.
2. Mise à jour de la liste des noms de domaine
Cette technique consiste à mettre à jour la liste d’adresses des C&C. Une telle commande est d’ailleurs souvent
opérée à distance par le C&C luimême ou via un C&C de secours. Les malwares ont généralement plusieurs
adresses où ils peuvent joindre un C&C. Si une de ces adresses est inaccessible, un des C&C encore actifs prévient
la machine infectée en lui communiquant une ou plusieurs nouvelles adresses de C&C. Cette méthode fonctionne
correctement si tous les C&C ne sont pas coupés simultanément.
3. Communication via HTTP/HTTPS/FTP/IRC
De nos jours, les malwares ont tendance à utiliser des protocoles de communication connus. Il y a plusieurs raisons
à ce choix :
1. Il est beaucoup plus discret pour un malware de communiquer via un protocole utilisé chez la cible. Il sera
alors noyé dans la masse et cela n’éveillera pas les soupçons.
2. Il existe des API pour tous les protocoles standards, ce qui facilite le développement du malware.
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGMTOY4Kq7nWiAsA-enidentnumber Le protocole IRC était utilisé au début des années 2000. Aujourd’hui, la plupart des malwares et des botnets
utilisent les protocoles HTTP ou HTTPS. Le protocole HTTPS est plus compliqué à analyser du fait qu’il est chiffré.
Il n’est pas rare de croiser le protocole FTP. Celuici est utilisé pour le transfert de fichiers (par exemple, pour
récupérer les fichiers volés ou des captures d’écran de la machine infectée).
L’utilisation des protocoles HTTP et HTTPS est facilitée sous Windows par les objets COM. Ces objets permettent de
manipuler les systèmes Windows. Dans le cas présent, ces objets peuvent manipuler le navigateur Internet Explorer
afin de se connecter au C&C. Les objets COM seront décrits plus tard dans ce livre.
4. Communication via email
Il est possible pour un malware d’utiliser le client mail de l’utilisateur infecté pour communiquer vers l’extérieur (par
exemple, en utilisant les pièces jointes). Cette technique de communication est également facilitée par les
objets COM de Microsoft Windows. Dans ce cas précis, les objets COM peuvent être utilisés afin de manipuler
Microsoft Outlook et donc les emails de l’utilisateur, de les lire ou même d’en envoyer.
© Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose - 1 -
5. Communication via un réseau point à point
Afin de se protéger et de rendre un botnet plus difficile à couper, des auteurs de malwares ont pensé à implémenter
des méthodes d’exploitation des liaisons de proche en proche (ou point à point) dans leurs malwares. Dans ce cas,
les machines infectées ne communiquent pas directement à un C&C mais elles communiquent entre elles afin de
s’échanger des informations (telles que leur configuration, etc.). Ce fut le cas du malware bancaire Gameover Zeus.
6. Communication via des protocoles propriétaires
Il existe des malwares dans lesquels les auteurs ont mis en place un protocole propriétaire de communications vers
Internet. C’est le cas du très connu PoisonIvy. Ce type d’approche est de moins en moins fréquent car il est facile de
détecter ce flux non conventionnel au milieu du flux de données légitimes.
7. Communication passive
L’une des approches les plus intéressantes afin de communiquer avec une machine infectée est la communication
passive. Cette technique n’est efficace que pour des machines directement connectées à Internet. La machine va
être en attente d’une sollicitation de l’attaquant et, une fois celleci effectuée, une connexion avec celuici sera mise
en place. Un second avantage de cette technique est que le malware n’a pas besoin de connaître de serveur de
commande.
C’est le cas dans la version serveur du malware Derusbi. Celuici crée un filtre réseau sur la machine infectée et
attend une séquence réseau particulière. Si cette séquence est envoyée à la machine infectée, alors un flux de
communication entre l’émetteur de la séquence et le malware installé sur la machine sera mis en place afin
d’administrer cette machine.
8. Fast flux et DGA (Domain Generation Algorithms)
Le fast flux est une technique utilisant des caractéristiques du protocole DNS (Domain Name System) gérant les
noms de domaine. Cette technique permet d’attribuer à un nom de domaine plusieurs adresses IP. Voici un exemple
où l’adresse des C&C est noyée dans la masse :
enidentnumber-AAEAAAD/////AQAAAAAAAAAMAgAAAE1FbmkuRWRpdGlvbnMuTWVkaWFwbHVzLCBWZXJzaW9uPTEuMC4wLjAsIEN1bHR1cmU9bmV1dHJhbCwgUHVibGljS2V5VG9rZW49bnVsbAUBAAAAJ0VuaS5FZGl0aW9ucy5NZWRpYXBsdXMuQ29tbW9uLldhdGVybWFyawIAAAAHcGlzVGV4dAlwaWR0ZURhdGUBAA0CAAAABgMAAAAyYWpvc2UgYWpvc2UgLSBkNzVmMzU0Zi01NDg3LTRkNTktYTAxYi03YmFhMTEyM2ZiOGMTOY4Kq7nWiAsA-enidentnumber
rootbsd@lab:~$ nslookup dummy.com
Server: 127.0.0.1
Address: 127.0.0.1#53
Non-authoritative answer:
Name: dummy.com
Address: 192.168.34.10
Name: dummy.com
Address: 192.168.34.11
Name: dummy.com
Address: 192.168.34.102
rootbsd@lab:~$ nslookup dummy.com
Server: 127.0.0.1
Address: 127.0.0.1#53
Non-authoritative answer:
- 2 - © Editions ENI – Tous droits réservés – Copie personnelle de ajose ajose
