{"id":706893,"date":"2023-04-27T14:52:24","date_gmt":"2023-04-27T16:52:24","guid":{"rendered":"https:\/\/teknomers.com\/fr\/analyse-des-logiciels-malveillants-limerat-extraction-de-la-configuration\/"},"modified":"2023-04-27T14:52:27","modified_gmt":"2023-04-27T16:52:27","slug":"analyse-des-logiciels-malveillants-limerat-extraction-de-la-configuration","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/analyse-des-logiciels-malveillants-limerat-extraction-de-la-configuration\/","title":{"rendered":"Analyse des logiciels malveillants LimeRAT\u00a0: extraction de la configuration"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>27 avril 2023<\/span>\ue804<\/i>Les nouvelles des pirates<\/span><\/span>Analyse des logiciels malveillants \/ cybermenace<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Les chevaux de Troie d’acc\u00e8s \u00e0 distance (RAT) ont pris la troisi\u00e8me place dans ANY. RUN Rapport T1 2023<\/a> sur les types de logiciels malveillants les plus r\u00e9pandus, ce qui rend tr\u00e8s probable que votre organisation soit confront\u00e9e \u00e0 cette menace.<\/p>\n

Bien que LimeRAT ne soit peut-\u00eatre pas la famille RAT la plus connue, sa polyvalence est ce qui la distingue. Capable d’effectuer un large \u00e9ventail d’activit\u00e9s malveillantes, il excelle non seulement dans l’exfiltration de donn\u00e9es, mais aussi dans la cr\u00e9ation de botnets DDoS et dans la facilitation de l’extraction de crypto. Son empreinte compacte lui permet d’\u00e9chapper aux syst\u00e8mes de d\u00e9tection des terminaux, ce qui en fait un adversaire furtif. Fait int\u00e9ressant, LimeRAT partage des similitudes avec njRAT, que ANY.RUN classe comme la troisi\u00e8me famille de logiciels malveillants la plus populaire en termes de t\u00e9l\u00e9chargements au cours du premier trimestre 2023.<\/p>\n

ANY.RUN<\/a> des chercheurs ont r\u00e9cemment effectu\u00e9 une analyse approfondie d’un \u00e9chantillon de LimeRAT et extrait avec succ\u00e8s sa configuration. Dans cet article, nous allons donner un bref aper\u00e7u de cette analyse.<\/p>\n

Artefacts collect\u00e9s<\/h2>\n\n\n\n\n\n\n
\n

SHA1\n<\/td>\n

\n

14836dd608efb4a0c552a4f370e5aafb340e2a5d\n<\/td>\n<\/tr>\n

\n

SHA256\n<\/td>\n

\n

6d08ed6acac230f41d9d6fe2a26245eeaf08c84bc7a66fddc764d82d6786d334\n<\/td>\n<\/tr>\n

\n

MD5\n<\/td>\n

\n

d36f15bef276fd447e91af6ee9e38b28\n<\/td>\n<\/tr>\n

\n

SSDEEP\n<\/td>\n

\n

3072:DDiv2GSyn88sH888wQ2wmVgMk\/211h36vEcIyNTY4WZd\/w1UwIwEoTqPMinXHx+i:XOayy\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

IPv4\u00a0:<\/strong><\/p>\n\n\n\n\n
\nCIO<\/strong>\n<\/td>\n\nDescription<\/strong>\n<\/td>\n<\/tr>\n
\n

20[.]199.13.167:8080\n<\/td>\n

\n

Serveur de commande et de contr\u00f4le de LimeRAT\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Domaines:<\/strong><\/p>\n\n\n\n\n
\nCIO<\/strong>\n<\/td>\n\nDescription<\/strong>\n<\/td>\n<\/tr>\n
\n

https:\/\/pastebin[.]com\/raw\/sxNJt2ek\n<\/td>\n

\n

PasteBin utilis\u00e9 par LimeRAT pour masquer son serveur de commande et de contr\u00f4le d’origine\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

MITRE ATT&CK\u00ae<\/strong><\/p>\n\n\n\n\n\n\n
\nTactique<\/strong>\n<\/td>\n\nTechnique<\/strong>\n<\/td>\n\nDescription<\/strong>\n<\/td>\n<\/tr>\n
\n

TA0005\u00a0: \u00e9vasion de la d\u00e9fense\n<\/td>\n

\n

T1027\u00a0: Fichiers ou informations obscurcis\n<\/td>\n

\n

Les logiciels malveillants utilisent l’obfuscator pour supprimer ses noms de m\u00e9thode, ses noms de classe, etc.\n<\/td>\n<\/tr>\n

\n

TA0005\u00a0: \u00e9vasion de la d\u00e9fense <\/td>\n

\n

T1027\u00a0: Fichiers ou informations obscurcis\n<\/td>\n

\n

Les logiciels malveillants utilisent l’algorithme Base64 pour encoder et d\u00e9coder les donn\u00e9es\n<\/td>\n<\/tr>\n

\n

TA0005\u00a0: \u00e9vasion de la d\u00e9fense\n<\/td>\n

\n

T1027\u00a0: Fichiers ou informations obscurcis\n<\/td>\n

\n

Les logiciels malveillants utilisent l’algorithme AES pour chiffrer et d\u00e9chiffrer les donn\u00e9es\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

ANY.RUN propose une offre \u00e0 dur\u00e9e limit\u00e9e, c\u00e9l\u00e9brant le 7e Cyberbirthdsay<\/h2>\n

ANY.RUN est un bac \u00e0 sable de logiciels malveillants interactif dans le cloud qui peut extraire automatiquement les configurations de logiciels malveillants pour de nombreuses familles, ce qui permet aux chercheurs d’\u00e9conomiser des heures d’efforts. <\/p>\n

Le service f\u00eate ses 7 ans et invitant tous les chercheurs \u00e0 essayer des fonctionnalit\u00e9s d’analyse avanc\u00e9es g\u00e9n\u00e9ralement r\u00e9serv\u00e9es aux plans pro, enti\u00e8rement gratuites jusqu’au 5 mai<\/strong>. Cela inclut la configuration de l’environnement d’ex\u00e9cution avec Windows 8, 10 ou 11.<\/p>\n

Si vous d\u00e9couvrez que ANY.RUN am\u00e9liore votre flux de travail d’analyse des logiciels malveillants, ils offrent \u00e9galement un promotion limit\u00e9e<\/strong><\/a>disponible jusqu’au 5 mai : b\u00e9n\u00e9ficiez de 6 ou 12 mois d’utilisation gratuite lorsque vous souscrivez \u00e0 un abonnement annuel ou de deux ans<\/strong>respectivement. <\/p>\n

\"Logiciel<\/a><\/div>\n

D\u00e9composer l’algorithme de d\u00e9cryptage de LimeRAT<\/h2>\n

Nous partagerons une version condens\u00e9e de l’article ici. Pour une pr\u00e9sentation compl\u00e8te et une analyse approfondie, rendez-vous sur ANY. Le blog de RUN si vous souhaitez en savoir plus sur le flux de travail qu’ils ont utilis\u00e9.<\/p>\n

\u00c9tant donn\u00e9 que l’\u00e9chantillon \u00e0 l’\u00e9tude a \u00e9t\u00e9 \u00e9crit en .NET, les chercheurs ont utilis\u00e9 DnSpy pour examiner le code. Imm\u00e9diatement, il \u00e9tait \u00e9vident que des techniques d’obscurcissement \u00e9taient employ\u00e9es\u00a0:<\/p>\n\n\n\n\n
\"Logiciel<\/td>\n<\/tr>\n
Aper\u00e7u de l’\u00e9chantillon dans DnSpy\u00a0; noter que l’utilisation de techniques d’obscurcissement<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Un examen plus approfondi du code a r\u00e9v\u00e9l\u00e9 une classe ressemblant \u00e0 la configuration du logiciel malveillant. Dans cette classe, se trouvait un champ contenant une cha\u00eene qui \u00e9tait \u00e0 la fois encod\u00e9e en base64 et chiffr\u00e9e.<\/p>\n\n\n\n\n
\"Logiciel<\/td>\n<\/tr>\n
\u00c9ventuellement, classe de configuration de logiciels malveillants<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Poursuivant l’inspection du code, les chercheurs d’ANY.RUN ont identifi\u00e9 une fonction responsable du d\u00e9cryptage de la cha\u00eene. En utilisant le filtre “Lire par” dans DnSpy, ils ont retrouv\u00e9 les m\u00e9thodes o\u00f9 la cha\u00eene \u00e9tait lue, ce qui a conduit \u00e0 un total de deux m\u00e9thodes. La premi\u00e8re m\u00e9thode s’est av\u00e9r\u00e9e infructueuse, mais la seconde a sembl\u00e9 int\u00e9ressante :<\/p>\n\n\n\n\n
\"Logiciel<\/td>\n<\/tr>\n
La deuxi\u00e8me x-ref est plus int\u00e9ressante. Il semble qu’il utilise notre cha\u00eene dans la m\u00e9thode WebClient.DownloadString<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Cette m\u00e9thode s’est av\u00e9r\u00e9e responsable du d\u00e9cryptage. En l’examinant de pr\u00e8s, il a \u00e9t\u00e9 possible de reconstituer le processus par lequel LimeRAT d\u00e9crypte sa configuration :<\/p>\n

    \n
  1. Exemples de RijndaelG\u00e9r\u00e9 <\/strong>et MD5CryptoServiceProvider <\/strong>les classes sont instanci\u00e9es. Selon MSDN, RijndaelG\u00e9r\u00e9 <\/strong>est une impl\u00e9mentation obsol\u00e8te de l’algorithme de chiffrement AES (MITRE T1027<\/strong>), alors que MD5CryptoServiceProvider <\/strong>calcule les hachages MD5.<\/li>\n
  2. Un tableau de 32 octets, initialis\u00e9 avec des z\u00e9ros, est g\u00e9n\u00e9r\u00e9 pour stocker la cl\u00e9 AES.<\/li>\n
  3. La cl\u00e9 est cr\u00e9\u00e9e en calculant d’abord le hachage MD5 d’une cha\u00eene distincte dans la classe de configuration (dans notre analyse, la cha\u00eene est “20[.]199.13.167”).<\/li>\n
  4. Les 15 octets initiaux, suivis des 16 premiers octets du hachage calcul\u00e9, sont copi\u00e9s dans le tableau pr\u00e9c\u00e9demment \u00e9tabli. Le dernier \u00e9l\u00e9ment du tableau reste z\u00e9ro.<\/li>\n
  5. La cl\u00e9 d\u00e9riv\u00e9e est affect\u00e9e \u00e0 la propri\u00e9t\u00e9 key du RijndaelG\u00e9r\u00e9 <\/strong>instance, alors que la propri\u00e9t\u00e9 Mode est configur\u00e9e comme CipherMode.ECB<\/strong>.<\/li>\n
  6. En fin de compte, la cha\u00eene primaire subit un d\u00e9codage via le Base64 <\/strong>algorithme et d\u00e9chiffrement \u00e0 l’aide de AES256-ECB <\/strong>algorithme.<\/li>\n<\/ol>\n

    Le d\u00e9cryptage de la cha\u00eene a r\u00e9v\u00e9l\u00e9 un lien vers une note PasteBin\u00a0: https:\/\/pastebin[.]com\/raw\/sxNJt2ek<\/strong>. Dans cette note, se trouvait le serveur de commande et de contr\u00f4le (C2) de LimeRAT\u00a0:<\/p>\n\n\n\n\n
    \"Logiciel<\/td>\n<\/tr>\n
    LimeRATs C2 d\u00e9couvert avec des donn\u00e9es d\u00e9crypt\u00e9es<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Envelopper<\/h2>\n

    Nous esp\u00e9rons que vous avez trouv\u00e9 ce bref aper\u00e7u de notre processus de d\u00e9chiffrement de configuration LimeRAT perspicace. Pour un examen plus complet, rendez-vous sur article complet sur le blog de ANY.RUN,<\/a> pour obtenir un contexte suppl\u00e9mentaire sur les \u00e9tapes et v\u00e9rifier le processus de d\u00e9cryptage \u00e0 l’aide de CyberChef.<\/p>\n

    Aussi, rappelez-vous que N’IMPORTE QUEL. RUN propose actuellement des offres \u00e0 dur\u00e9e limit\u00e9e, avec des remises sur les abonnements et un ensemble de fonctionnalit\u00e9s \u00e9tendu pour les plans gratuits, y compris la possibilit\u00e9 de configurer des environnements d’ex\u00e9cution avec les syst\u00e8mes d’exploitation Windows 8, 10 et 11. Cette offre expire le 5 mai.<\/p>\n

    C’est l’occasion id\u00e9ale de tester ANY.RUN et de d\u00e9terminer s’il rationalise votre flux de travail, ou de s\u00e9curiser un abonnement \u00e0 un prix imbattable et de b\u00e9n\u00e9ficier d’un gain de temps significatif gr\u00e2ce \u00e0 l’analyse statique et comportementale.<\/p>\n

    Pour en savoir plus sur cette offre, visitez Plans ANY.RUN.<\/a><\/p>\n

    <\/p>\n

    Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n