C'est « COZY » chez toi, Barack

Magazine
Marque
MISC
Numéro
81
Mois de parution
septembre 2015
Domaines


Résumé
Cet article présente le malware COZYDUKE (Cozybear/OfficeMonkey) analysé fin avril 2015 par les sociétés KASPERSKY et FSECURE. Il est notamment connu pour avoir visé des structures gouvernementales telles que la Maison-Blanche et le département d’État des USA. Dans la suite de l'article, nous verrons les principales interactions du dropper et du malware sur le système infecté.

1. Présentation

Les attaquants ont effectué des campagnes de « spearphishing » pour inciter leurs cibles à cliquer sur un lien vers un fichier ZIP. Cette archive ZIP contient une archive RAR auto-extractible (SFX).

Lors de l’exécution, deux fichiers sont extraits : le Dropper de Cozyduke et un fichier leurre.

Ce fichier leurre est souvent un fichier PDF, mais peut être aussi une vidéo Flash [MONKEY].

Cozyduke est une « boite à outils », c'est-à-dire un malware composé d'une partie principale et de différents modules. Les premières versions dateraient de début 2012 [FSECURE].

L'échantillon 91aaf47843a34a9d8d1bb715a6d4acec est intéressant, car il est l'une des versions les plus évoluées [FSECURE]et contient : un système d'obfuscation des chaînes de caractères, du chiffrement RC4, une technique de détection d'antivirus et plusieurs méthodes de persistance.

2. Le dropper

Le dropper est un composant essentiel dans le scénario d'infection de Cozyduke. En effet, il...

Cet article est réservé aux abonnés. Il vous reste 94% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Covid-19, télétravail : mise en œuvre d’accès distants sécurisés pour se rapprocher du SI

Magazine
Marque
MISC
Numéro
111
Mois de parution
septembre 2020
Domaines
Résumé

Les mesures de confinement prises par le gouvernement mi-mars 2020 pour contrer la propagation du Covid-19 ont poussé les entreprises et administrations de toutes tailles à promouvoir le télétravail. Cet article présente le retour d’expérience d’une partie de l’équipe EDF en charge des « accès distants sécurisés » pendant cette période.

Retour d’expérience : investigation numérique dans un environnement Windows

Magazine
Marque
MISC
Numéro
111
Mois de parution
septembre 2020
Domaines
Résumé

L’investigation numérique d’un système d’information (SI) consiste à comprendre d’un point de vue temporel et factuel les évènements ayant conduit à l’incident. Bien que les SI présentent une architecture bien souvent commune, les interventions sont toutes différentes et mettent en lumière l’ingéniosité des attaquants afin d’œuvrer de la manière la plus discrète possible. Nous allons présenter au cours de cet article, notre retour d’expérience relatif à une intervention auprès d’un client début 2020.

Zéro SQLi malgré les développeurs

Magazine
Marque
MISC
Numéro
111
Mois de parution
septembre 2020
Domaines
Résumé

Nous proposons une méthode pour effectuer des requêtes SQL qui garantit l'invulnérabilité aux injections SQL, y compris lorsqu'elle est utilisée par un développeur pressé ou incompétent, contrairement aux requêtes paramétrées. Basée sur l'utilisation d'arbres de syntaxe abstraite, elle permet facilement de construire des requêtes dynamiques et est plus facile à mettre en œuvre qu'un ORM. Nous proposons une bibliothèque Java implémentant nos idées, mais la méthode peut s'appliquer à d'autres langages de programmation et d'autres types de requêtes.