Les documents malicieux se sont énormément développés depuis ces dernières années. Très largement déployés et sujets à de multiples vulnérabilités, ils sont devenus un vecteur d'attaque de choix pour un attaquant. Bien que Microsoft et Adobe aient manifestement fait des efforts pour durcir la sécurité de leurs produits (recherche de vulnérabilités en amont, sandboxing, désactivation des macros par défaut, …), de nombreux postes utilisateurs ne sont pas mis à jour régulièrement et continuent d'utiliser des versions vulnérables.
1. Introduction
Nous nous focaliserons sur deux cas d'étude : les documents de la famille Microsoft Office et les documents PDF. Ces deux formats sont très complexes et ont été sujets à de multiples vulnérabilités par le passé.
Du point de vue de l'analyste, deux problématiques se posent naturellement :
1. Le document à analyser possède-t-il une charge malicieuse ?
2. Si oui, quelle est-elle et comment s'abstraire du format du document pour l'analyser ?
Pour y répondre, l'analyste doit d'une part comprendre le format de fichier utilisé par le document, et d'autre part se doter des outils adéquats qui lui éviteront d'avoir à réinventer la roue. Lors d'une analyse, il est de plus recommandé de travailler dans un environnement virtualisé. Aucun lecteur PDF ou Office ne doit être installé dans la machine virtuelle, afin d'éviter tout risque d'infection, en particulier à cause des extensions Shell : le payload d'un document pourrait effectivement...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première