Forensics Windows par l’exemple – le remplacement de process

Magazine
Marque
MISC
Numéro
80
Mois de parution
juillet 2015
Domaines


Résumé
Windows et son API offrent de nombreuses fonctionnalités aux développeurs en général et, dans le cadre de cet article, aux développeurs de malwares en particulier. L'usage malveillant des fonctionnalités de l'OS Windows est bien établi et le présent article n'est qu'une introduction par l'exemple d'une des nombreuses mises à profit de l'API Windows pour réaliser ou masquer une activité malveillante.La technique de « remplacement de processus » n'est pas nouvelle, mais reste efficace pour masquer la présence d'un malware à un utilisateur non averti.L'idée de base du remplacement de processus est de démarrer un programme légitime et de remplacer son code en mémoire par le code malveillant. Cette technique est décrite (entre autres) dans le livre Practical Malware Analysis (practicalmalwareanalysis.com).Cet article a pour objectif de (re)présenter cette technique, de montrer comment il est possible de détecter des traces d'une telle activité et par ce biais de donner quelques informations de base sur le fonctionnement des binaires et processus Windows.

1. Windows, masque-moi un process

1.1 Théorie

Tout d'abord, un peu de théorie Windows (c'est l'objet de ce dossier).

Un processus est un objet qui fournit toutes les ressources nécessaires à l’exécution d’un programme. Un processus comprend entre autres : un espace mémoire, du code exécutable, des « handles » sur des objets système, un contexte de sécurité, un identifiant unique (PID), une priorité et au moins un « thread ». Un processus peut donc être vu comme un « espace d’exécution ».

Un thread est un objet interne d’un processus qui sert à l’exécution effective du code d’un programme. Tous les threads partagent l’espace mémoire du processus au sein duquel ils s’exécutent, mais peuvent avoir des contextes de sécurité propres.

Un « handle » est un moyen d’accéder à une ressource pour l’observer ou la manipuler. En effet, il n’est pas possible pour une application d’accéder directement aux objets. Les « handles » fournissent un...

Cet article est réservé aux abonnés. Il vous reste 96% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Cas pratique sur la sécurisation d'un cluster Kubernetes

Magazine
Marque
MISC
Numéro
112
Mois de parution
novembre 2020
Domaines
Résumé

Cet article présente trois exemples de problèmes de sécurité rencontrés sur des clusters Kubernetes, causés par un manque de maîtrise des applications déployées sur un cluster par ses administrateurs ou par les développeurs des applications s’y exécutant. Nous donnons ensuite des pistes afin de mieux maîtriser et sécuriser ces applications.

Recherchez efficacement des fichiers ou du texte avec find et grep

Magazine
Marque
Linux Pratique
HS n°
Numéro
49
Mois de parution
novembre 2020
Domaines
Résumé

Dans la vie de tous les jours, lorsque l'on perd un objet, on se retrouve la plupart du temps seul face à sa mémoire, sans personne pour vous indiquer où vous avez bien pu poser ces #$*!@& de clés ! Sous Linux, il existe des outils bien pratiques qui vous permettront de gagner un temps appréciable...

Installer et administrer un serveur d’impression CUPS

Magazine
Marque
Linux Pratique
Numéro
122
Mois de parution
novembre 2020
Domaines
Résumé

Lorsqu’on travaille sur un réseau ou en local, il est très pratique de pouvoir imprimer depuis son poste de travail en toute transparence. Qu’une imprimante soit directement connectée à un ordinateur ou bien soit partagée par un serveur dédié, l’utilisateur doit en effet être en mesure d’envoyer ses documents dans une file d’attente (spooler) qui sera en charge de traiter les impressions. Par le passé, c’était le serveur LPRng (via LPD) qui monopolisait l’impression sur les systèmes de type Unix. Mais l’arrivée de CUPS a changé la donne.

Sauvegardez vos données, centralisez vos logs et supervisez votre sécurité

Magazine
Marque
Linux Pratique
HS n°
Numéro
49
Mois de parution
novembre 2020
Domaines
Résumé

Nos serveurs présentent désormais une surface d’attaque réseau maîtrisée et une sécurisation système d’un niveau cohérent avec notre modèle de menaces. De même, le service SSH tournant sur ces serveurs est configuré de manière optimisée. Nous pouvons donc être relativement sereins si nos adversaires sont d’un niveau intermédiaire. Et si malgré toutes ces protections, une attaque comme un rançongiciel réussissait ? Et bien dans ce cas-là, pour l’instant, notre infrastructure serait particulièrement vulnérable. Aucune sauvegarde externalisée. Pas de centralisation des traces. Une supervision sécurité inexistante. Remédions à cette situation afin d’élever le niveau de maturité de la sécurité de notre infrastructure.