Waledac a fait son apparition sur internet vers la fin de l'année 2008. Ce malware a d'abord attiré l'attention des chercheurs par sa ressemblance avec la célèbre famille « Storm », qui venait alors de s'éteindre. Au-delà de ce probable lien de filiation, Waledac est particulièrement intéressant en lui-même, ne serait-ce que parce que les machines du botnet qu'il constitue communiquent à l'aide d'un protocole peer-to-peer « maison », ou bien encore parce que ses techniques de protection logicielles s'avèrent particulièrement efficaces contre les antivirus. Dans cet article, nous commencerons par établir l'historique de Waledac, puis nous décrirons ses caractéristiques techniques et leur évolution dans le temps. Ensuite, nous étudierons la structure du botnet et l'algorithme de communication utilisé. Pour finir, des attaques avancées contre le botnet seront présentées et nous évoquerons les liens avec la famille « Storm » en conclusion.
1. Introduction
Les premières versions de Waledac sont apparues sur l'Internet en novembre 2008. Le mécanisme principal de propagation de ce malware était alors d'envoyer du spam pour convaincre un utilisateur de télécharger un binaire et de l'exécuter. Les thèmes d'ingénierie sociale utilisés dans ce but ont subi de nombreuses évolutions au cours des mois, chacun ne restant en place que quelques semaines au plus. Parmi ces nombreuses campagnes, citons :
- les cartes de souhaits pour la période de Noël ;
- les nouvelles reliées à l'élection de Barack Obama comme président américain (annonce de sa démission) ;
- les cartes pour la St-Valentin ;
- une fausse application d'espionnage de messages SMS ;
- une vidéo de feux d'artifice pour le jour de la fête de l'Indépendance américaine.