Forensics Windows par l’exemple – le remplacement de process

Magazine
Marque
MISC
Numéro
80
|
Mois de parution
juillet 2015
|
Domaines


Résumé
Windows et son API offrent de nombreuses fonctionnalités aux développeurs en général et, dans le cadre de cet article, aux développeurs de malwares en particulier. L'usage malveillant des fonctionnalités de l'OS Windows est bien établi et le présent article n'est qu'une introduction par l'exemple d'une des nombreuses mises à profit de l'API Windows pour réaliser ou masquer une activité malveillante.La technique de « remplacement de processus » n'est pas nouvelle, mais reste efficace pour masquer la présence d'un malware à un utilisateur non averti.L'idée de base du remplacement de processus est de démarrer un programme légitime et de remplacer son code en mémoire par le code malveillant. Cette technique est décrite (entre autres) dans le livre Practical Malware Analysis (practicalmalwareanalysis.com).Cet article a pour objectif de (re)présenter cette technique, de montrer comment il est possible de détecter des traces d'une telle activité et par ce biais de donner quelques informations de base sur le fonctionnement des binaires et processus Windows.

La suite est réservée aux abonnés. Déjà abonné ? Se connecter

Sur le même sujet

Un poste de travail sous OpenBSD : installation et configuration

Magazine
Marque
Linux Pratique
Numéro
116
|
Mois de parution
novembre 2019
|
Domaines
Résumé

Dans le monde des systèmes d’exploitation libres, le projet OpenBSD a toujours été reconnu comme étant le plus sécurisé. Outre ce point important, ce système d’exploitation est un logiciel dont il faut relever l’exemplarité du développement notamment concernant la qualité du code, élaboré par une communauté de développeurs.

Auditer la sécurité d'une application iOS

Magazine
Marque
MISC
Numéro
106
|
Mois de parution
novembre 2019
|
Domaines
Résumé

Auditer la sécurité d'une application iOS n'est toujours pas une tâche aisée. Force est de constater que la plupart des auditeurs, amateurs de bug bounty ou autres curieux préfèrent travailler sur les applications Android malgré les récentes protections ajoutées au système d'exploitation de Google. Nous allons malgré tout essayer de présenter une méthodologie qui rend possible l'analyse orientée sécurité d'une application iOS, même sans jailbreak. Un bref rappel sera effectué pour ensuite introduire quelques outils et documentations apparues ces derniers mois.

Sondes de détection : performances, évaluations et biais

Magazine
Marque
MISC
Numéro
106
|
Mois de parution
novembre 2019
|
Domaines
Résumé

En avril 2019, l’ANSSI a qualifié les premières sondes pour assurer la supervision de sécurité de réseaux. Les opérateurs d’importance vitale (OIV), les opérateurs de services essentiels (OSE) et, d’une manière générale, les organismes opérant des fonctions sensibles disposent ainsi de produits français de confiance : Cybels Sensor de Thales et Trackwatch Full Edition de Gatewatcher.La méthodologie d’évaluation des sondes n’est, hélas, pas publique. Les ingénieurs sécurité et réseau devant intégrer ces sondes ne disposent donc pas de guides pour effectuer la recette de leur efficacité en production. Cet article propose un retour d’expérience sur l’évaluation des sondes, notamment sous l’angle de la performance. Cet aspect est, en effet, particulièrement significatif puisque le taux de détection d’une sonde diminue si elle est submergée, quand bien même elle serait équipée des meilleurs signatures et moteurs d’analyse.

Découvrir SQL avec SQLite

Magazine
Marque
Linux Pratique
Numéro
116
|
Mois de parution
novembre 2019
|
Domaines
Résumé

Grâce au langage SQL (Structured Query Language), il est aisé de rédiger des requêtes pour définir la structure d’une base de données et manipuler son contenu. Partons à la découverte de ces sujets à l’aide de SQLite, un moteur de base de données au nom trompeur, car s’il fait preuve de modestie, il constitue un produit performant et polyvalent.

Par le même auteur

Introduction au framework ATT&CK du MITRE

Magazine
Marque
MISC
HS n°
Numéro
19
|
Mois de parution
février 2019
|
Domaines
Résumé

Le framework ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) du MITRE fait de plus en plus parler de lui dans le monde des modèles de description d'attaques. Focalisé sur la description des tactiques et techniques « post compromission », il offre des clés pour monter ou faire évoluer des programmes de protection, de détection et de réaction. Cet article se propose de présenter ATT&CK ainsi que ses applications possibles dans des contextes opérationnels type CERT/SOC/CSIRT.

À la découverte de Mirai

Magazine
Marque
MISC
Numéro
90
|
Mois de parution
mars 2017
|
Domaines
Résumé
Le malware Mirai a fait beaucoup parler de lui durant le second semestre 2016. Outre son utilisation dans des attaques DDoS « massives », c’est aussi parce que c’est un exemple de l’usage d’équipements tels que des routeurs, des caméras IP ou des enregistreurs vidéos qu’il a défrayé la chronique.

Attaque ciblée contre SIEM : du fantasme aux règles de bon usage

Magazine
Marque
MISC
Numéro
84
|
Mois de parution
mars 2016
|
Domaines
Résumé
Un SIEM (Security Information and Event Management) dans sa simple définition est un collecteur d’informations et un outil de gestion d’événements de sécurité avec des fonctions d'analyse intelligente. Les efforts marketing des vendeurs de SIEM proposent de (re)prendre le contrôle du réseau pour en améliorer la sécurité avec des fonctions aussi alléchantes que la «surveillance proactive» ou bien  « la protection contre les failles Zero-Day ».Cet article tente de présenter ce qu'il est possible de faire en terme de surveillance de sécurité et les axes d'amélioration de l'utilisation de votre SIEM. Nous allons utiliser les attaques ciblées pour structurer notre analyse.

Introduction à l'analyse de malwares Android : le cas d'un ransomware

Magazine
Marque
MISC
Numéro
82
|
Mois de parution
novembre 2015
|
Domaines
Résumé
D'après Wikipédia, « un ransomware, ou rançongiciel, est un logiciel malveillant qui prend en otage des données personnelles. Pour ce faire, un rançongiciel chiffre des données personnelles puis demande à leur propriétaire d'envoyer de l'argent en échange de la clé qui permettra de les déchiffrer. Un ransomware peut aussi bloquer l'accès de tout utilisateur à une machine jusqu'à ce qu'une clé ou un outil de débridage soit envoyé à la victime en échange d'une somme d'argent ».

Forensics Windows par l’exemple – le remplacement de process

Magazine
Marque
MISC
Numéro
80
|
Mois de parution
juillet 2015
|
Domaines
Résumé
Windows et son API offrent de nombreuses fonctionnalités aux développeurs en général et, dans le cadre de cet article, aux développeurs de malwares en particulier. L'usage malveillant des fonctionnalités de l'OS Windows est bien établi et le présent article n'est qu'une introduction par l'exemple d'une des nombreuses mises à profit de l'API Windows pour réaliser ou masquer une activité malveillante.La technique de « remplacement de processus » n'est pas nouvelle, mais reste efficace pour masquer la présence d'un malware à un utilisateur non averti.L'idée de base du remplacement de processus est de démarrer un programme légitime et de remplacer son code en mémoire par le code malveillant. Cette technique est décrite (entre autres) dans le livre Practical Malware Analysis (practicalmalwareanalysis.com).Cet article a pour objectif de (re)présenter cette technique, de montrer comment il est possible de détecter des traces d'une telle activité et par ce biais de donner quelques informations de base sur le fonctionnement des binaires et processus Windows.