Bruno Kerouanton

Après avoir remis mon billet à 3 reprises (presque 4, je dois incessamment vous parler de Naymz, j’ai lancé ce matin une « expérience » à ce sujet auprès de 250 personnes un peu à leur insu, désolé pour ceux et celles qui ont reçu une invitation de ma part et ne la souhaitaient pas, il vous suffit de ne pas répondre ! Tout cela sera de toute manière l’objet de mon prochain post), je vous parle de… BOTNETS !

Pour les experts (coucou {CédricP;Denis} !) en la matière qui me lisent, je vais vous déçevoir car vous n’apprendrez probablement pas grand chose, mais bon on ne peut pas toujours faire plaisir à tout le monde ! En décembre dernier j’ai eu le plaisir de faire office d’expert pour le jury de l’Ecole d’Ingénieurs de Genève, et à cette occasion j’avais suivi un étudiant sur le sujet intéressant des botnets.

Javier Quintela a donc planché sur la mise en place d’un honeypot (Nepenthes) pour la collecte de malware, puis l’étude des binaires collectés.

Son travail de diplôme est téléchargeable ici (avec sa permission, bien entendu !).

Il a le mérite d’être assez clair dans la rédaction, et présente en synthèse les points les plus importants à retenir :

1. Les binaires collectés sont de plus en plus difficiles à reverser, et utilisent parfois des protections « violentes » du type Themida, qui sont très difficiles à casser (à ma connaissance).
2. Ce type de protections permet également de passer les antivirus, puisque la charge utile est souvent non reconnue à cause du polymorphisme apporté par Themida.
3. Les malware sont capables de détecter les environnements virtuels (VMware etc), Javier a alors eu l’idée de passer par une sandbox (sandboxie) pour limiter les effets secondaires indésirables. Avec les autres inconvénients que cela comporte.
4. Le trafic Internet utilisé par les cochonneries et malwares en tous genre représente un pourcentage non négligeable du trafic total, néanmoins les récents bots sont capables de se camoufler de mieux en mieux, trafic y compris.

En fait on se doute bien de tout cela, mais l’étude permet de reproduire l’environnement de test et de faire l’expérience par soi-même.
Si les botnets et la collecte de malware vous intéresse, je vous invite à approfondir par le biais de ces deux excellents sites :

• Shadowserver Foundation
• Malware Collect

Ah, oui, avant de finir je vous mets en garde… Tout comme avec les vrais virus biologiques, la collecte de malware est susceptible d’être dangereuse ! Pensez à isoler votre réseau, à prendre des ordinateurs dédiés à cela et non reliés au reste de vos parc de machines… faute de quoi vous risquez d’infecter tout le monde, et vous aurez probablement à expliquer tout cela à vos responsables A bon entendeur, salut !

PS : Et puisque l’on parle rootkits, j’en profite pour vous présenter mon outil fétiche du moment, faisant partie de ma fameuse collection « µTools » que je trimbale partout avec moi (et que les participants au concours Insomni’Hack (plus que quelques jours !) auront d’ailleurs le droit d’avoir en cadeau !). Il s’agit de Gmer. Simple à lancer (parfois obscur dans ses options, mais passons !), il a le mérite d’être un petit exécutable qui fait presque tout ce que l’on a besoin en cas de détresse : ligne de commande, explorateur de fichiers/registry/process/services, détection de rootkits ou de choses curieuses (drivers, hooks etc.), et bien d’autres options sacrément utiles, croyez-en mon expérience, lorsque l’on a des cochonneries à retirer d’un PC.

Attention, il faut savoir 2 choses avant de lancer Gmer :

• D’une part il installe un driver, semble t’il, il faut donc les droits d’admin pour le lancer et profiter convenablement de toutes ses options,
• Et d’autre part, j’ai déjà eu un écran bleu avec lui… lorsqu’il scannait. Soit il a bien trouvé un malware qui a mal réagi et a provoqué le plantage, soit c’est lui. Je ne le saurais jamais !

C’est tout pour ce soir !