Les jardiniers savent que les vers sont bons. Les professionnels de la cybers\u00e9curit\u00e9 savent que les vers sont mal<\/em>. Tr\u00e8s mauvais. En fait, les vers sont litt\u00e9ralement la force la plus d\u00e9vastatrice du mal connue dans le monde informatique. La MonDoom<\/a> le ver occupe la position douteuse des logiciels malveillants informatiques les plus co\u00fbteux d\u00e9j\u00e0<\/em> – responsable de certains 52 milliards de dollars<\/a> en d\u00e9g\u00e2ts. En deuxi\u00e8me position\u2026 Tellement gros<\/a>un autre ver.<\/p>\n Il s’av\u00e8re cependant qu’il existe des exceptions \u00e0 chaque r\u00e8gle. Certains vers biologiques sont en fait Pas les bienvenus<\/a> dans la plupart des jardins. Et certains cyber-vers, semble-t-il, peuvent utiliser leurs pouvoirs pour le bien\u2026 <\/p>\n Les outils de d\u00e9tection ne sont pas bons pour intercepter la propagation non bas\u00e9e sur l’exploitation<\/a>, ce que les vers font le mieux. La plupart des solutions de cybers\u00e9curit\u00e9 sont moins r\u00e9sistantes aux m\u00e9thodes d’attaque de vers telles que l’usurpation d’identit\u00e9 de jeton et d’autres qui tirent parti de configurations internes d\u00e9ficientes – PAM, segmentation, stockage d’informations d’identification non s\u00e9curis\u00e9, etc.<\/p>\n Alors, quelle meilleure fa\u00e7on de battre un ver furtif qu’avec\u2026 un autre ver furtif ?<\/p>\n Et c’est ainsi qu’est n\u00e9 Hopper ! Hopper est un v\u00e9ritable ver, avec commande et contr\u00f4le, \u00e9l\u00e9vation de privil\u00e8ges int\u00e9gr\u00e9e et bien d’autres capacit\u00e9s parmi les plus sournoises du genre ver. Mais contrairement \u00e0 la plupart des vers, Hopper a \u00e9t\u00e9 construit pour faire le bien<\/em>. Au lieu de causer du tort, Hopper raconte \u00e0 ses op\u00e9rateurs White Hat o\u00f9 et comment il a r\u00e9ussi \u00e0 infiltrer un r\u00e9seau. Il indique jusqu’o\u00f9 il est all\u00e9, ce qu’il a trouv\u00e9 en cours de route et comment am\u00e9liorer les d\u00e9fenses. <\/p>\n L’\u00e9quipe de d\u00e9veloppement de Cymulate a bas\u00e9 Hopper sur un programmeur de logiciels malveillants courant – un petit ex\u00e9cutable qui sert de charge utile initiale, son objectif principal \u00e9tant de pr\u00e9parer une charge utile plus importante. Notre stager sert \u00e9galement de packer PE, un programme qui charge et ex\u00e9cute des programmes indirectement, g\u00e9n\u00e9ralement \u00e0 partir d’un package.<\/p>\n Le stager de Hopper a \u00e9t\u00e9 \u00e9crit de mani\u00e8re \u00e0 ce que la charge utile initiale n’ait pas \u00e0 \u00eatre modifi\u00e9e si nous effectuons une mise \u00e0 jour de Hopper. Cela signifie que l’exclusion des hachages sur chaque mise \u00e0 jour s’est transform\u00e9e en historique, et les utilisateurs de Hopper n’ont besoin d’exclure qu’une seule fois le hachage du stager. L’\u00e9criture du stager de cette mani\u00e8re a \u00e9galement ouvert la voie \u00e0 l’ex\u00e9cution d’autres outils dont Hopper a besoin.<\/p>\n Pour maximiser la flexibilit\u00e9 de Hopper, notre \u00e9quipe a ajout\u00e9 diff\u00e9rentes m\u00e9thodes d’ex\u00e9cution initiales, des m\u00e9thodes de communication suppl\u00e9mentaires, diverses fa\u00e7ons de r\u00e9cup\u00e9rer la charge utile de la premi\u00e8re \u00e9tape, diff\u00e9rentes m\u00e9thodes d’injection, etc. Et, pour cr\u00e9er un ver tr\u00e8s furtif, nous devons permettre une personnalisation maximale des fonctionnalit\u00e9s furtives, nous avons donc fait des configurations presque enti\u00e8rement contr\u00f4l\u00e9es par l’op\u00e9rateur\u00a0: <\/p>\n L’ex\u00e9cution initiale de Hopper<\/a> est en m\u00e9moire et par \u00e9tapes. La premi\u00e8re \u00e9tape est un petit stub avec une capacit\u00e9 limit\u00e9e. Ce stub sait comment ex\u00e9cuter un morceau de code plus important au lieu de contenir le code en lui-m\u00eame, ce qui rend plus difficile de le signaler comme fichier malveillant. Pour l’\u00e9l\u00e9vation des privil\u00e8ges, nous avons choisi diff\u00e9rentes m\u00e9thodes de contournement UAC, exploitant des services vuln\u00e9rables tels que Spooler et utilisant des services ou des ex\u00e9cutions automatiques mal configur\u00e9s pour obtenir une \u00e9l\u00e9vation ou une persistance des privil\u00e8ges. L’id\u00e9e ici est que Hopper utilise les privil\u00e8ges minimaux n\u00e9cessaires pour atteindre ses objectifs. Par exemple, si une machine fournit un acc\u00e8s utilisateur \u00e0 notre machine cible, Hopper n’a peut-\u00eatre pas besoin d’\u00e9lever les privil\u00e8ges pour se propager \u00e0 cette machine cible. <\/p>\n Hopper propose une gestion centralis\u00e9e des informations d’identification, ce qui lui permet de distribuer les informations d’identification entre les instances de Hopper par n\u00e9cessit\u00e9, ce qui signifie que tous les Hoppers ont acc\u00e8s aux informations d’identification collect\u00e9es, \u00e9liminant ainsi le besoin de dupliquer la base de donn\u00e9es d’informations d’identification sensibles sur d’autres machines.<\/p>\n Pour se propager, Hopper pr\u00e9f\u00e8re les erreurs de configuration aux exploits. La raison? Les exploits peuvent potentiellement faire planter les syst\u00e8mes, ils se d\u00e9marquent davantage et sont facilement identifi\u00e9s par les produits de surveillance IPS\/r\u00e9seau et les produits EDR. Les erreurs de configuration, en revanche, ne sont pas facilement d\u00e9tect\u00e9es comme des activit\u00e9s malveillantes. Par exemple, des erreurs de configuration d’Active Directory peuvent conduire un utilisateur \u00e0 acc\u00e9der \u00e0 une ressource \u00e0 laquelle il n’aurait pas d\u00fb avoir acc\u00e8s, et donc conduire \u00e0 une propagation. De m\u00eame, des erreurs de configuration logicielle peuvent permettre \u00e0 un utilisateur d’ex\u00e9cuter du code \u00e0 distance et donc de se propager.<\/p>\n L’\u00e9quipe Cymulate a choisi l’ex\u00e9cution en m\u00e9moire pour Hopper, car le chiffrement du code malveillant en m\u00e9moire une fois qu’il n’est plus utilis\u00e9 peut perturber la capacit\u00e9 des produits EDR \u00e0 identifier le contenu en m\u00e9moire. De plus, l’ex\u00e9cution en m\u00e9moire utilise des appels syst\u00e8me directs au lieu d’appels d’API, qui peuvent \u00eatre surveill\u00e9s par des produits EDR. Si Hopper a besoin d’utiliser des fonctions API, il d\u00e9tecte et d\u00e9charge les crochets EDR avant de le faire.<\/p>\n Pour maintenir la discr\u00e9tion, Hopper communique avec Command and Control pendant les heures de travail en masquant l’activit\u00e9 avec l’activit\u00e9 normale des heures de travail dans des sch\u00e9mas de synchronisation al\u00e9atoires. Il communique \u00e9galement uniquement avec des serveurs autoris\u00e9s ou des serveurs qui ne sont pas consid\u00e9r\u00e9s comme malveillants, comme les cha\u00eenes Slack, Google Sheets ou d’autres services publics.<\/p>\n Pour pr\u00e9venir les attaques de vers, une tr\u00e9mie semblable \u00e0 un ver White Hat est une solution id\u00e9ale. En voyant le r\u00e9seau du point de vue d’un ver, pour ainsi dire, Hopper donne le plus grand avantage du ver au le plus grand avantage du d\u00e9fenseur<\/em>.<\/p>\n Remarque\u00a0: cet article a \u00e9t\u00e9 \u00e9crit et contribu\u00e9 par Yoni Oren, chef d’\u00e9quipe, chercheur principal en s\u00e9curit\u00e9 et d\u00e9veloppeur chez Cymuler<\/a>.<\/p>\n <\/p>\n<\/div>\nRencontrez Hopper, le bon ver<\/strong><\/h2>\n
De pr\u00e8s et personnel avec Hopper <\/strong><\/h2>\n
\n
Ex\u00e9cution, gestion des informations d’identification et diffusion<\/strong><\/h2>\n
Communications furtives et C&C<\/strong><\/h2>\n
L’essentiel<\/strong><\/h2>\n