Ajouter à une liste de lectureLes keyloggers sont très intéressants pour des attaquants, ou des conjoints peu confiants. Ils permettaient à l'origine de sauvegarder tout ce que l'utilisateur saisissait sur son clavier ; de nos jours, ils sont beaucoup plus complets et permettent par exemple de faire des captures d'écran. Ces informations peuvent aller du mot de passe à l'écriture de documents complets. Les keyloggers utilisent des techniques particulières pour rester le plus discret possible et ne pas être repérés. Dans cet article, nous allons analyser le fonctionnement de Powered Keylogger développé par la société Eltima Software.
1. Présentation
1.1. Powered keylogger
Pour tous les tests et travaux présentés dans cet article, il est préférable d'utiliser une machine virtuelle afin de ne pas infecter notre machine de travail. Dans notre cas, nous utiliserons VirtualBox. Le mode de fonctionnement de Powered keylogger est assez simple. Lors de l'exécution du binaire d'installation, un mot de passe est demandé à l'utilisateur après quoi le produit s'installe sans rien demander d'autre. Dès lors que le mot de passe est saisi sur la machine infectée (peu importe où), l'interface d'administration s'exécute et s'affiche à l'utilisateur :
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
Par le(s) même(s) auteur(s)
Instrumentation de machines virtuelles avec PyREBox
Qui n’a jamais rêvé de réaliser une analyse dynamique ou une session de debugging depuis l’extérieur du système cible (via l’hyperviseur ou l’émulateur) ? Qui n’a jamais rêvé de le faire en python ? Si vous vous reconnaissez dans ces deux phrases, PyREBox est fait pour vous. Cet article présente cet outil open source ainsi que son API python et comment il est possible de créer des extensions python afin d’automatiser des tâches.
Analyse du rançongiciel TeslaCrypt
Début 2015, un nouveau rançongiciel a vu le jour : TeslaCrypt. Ce malware a tout d'abord ciblé des machines avec certains jeux vidéo spécifiques installés pour aujourd'hui cibler tout type de machine sous Windows. En mai 2015, des chercheurs (http://blogs.cisco.com/security/talos/teslacrypt) ont trouvé une faiblesse dans l'implémentation du déchiffrement des fichiers. Peu après cette découverte, les développeurs du malware ont implémenté une version 2.0 du rançongiciel corrigeant leur erreur. Aujourd'hui, nous sommes à la version 3.0 de ce code.
Introduction à Immunity Debugger et IDA Pro.
Que ce soit lors de recherche de vulnérabilités ou lors d'analyse de malwares, il est fréquent d'avoir recours à la rétro-ingénierie. C'est-à-dire l'analyse du code assembleur de l'objet à étudier. Cet article présente deux outils : Immunity Debugger et IDA Pro permettant respectivement de faire des analyses dynamiques et statiques. Afin de faciliter la compréhension, le malware Babar va être utilisé pour illustrer les explications.
Quand les dessins animés se « Rebelle »... Éléments de « Raiponce »...
Ces mois de février et mars ont vu la médiatisation de trois malwares vraisemblablement développés par la même équipe. Un des éléments qui a fait beaucoup couler beaucoup d'encre est leurs noms : Bunny, Babar et Casper. Ces noms ont été choisis par les développeurs eux-mêmes. Je présume qu'ils doivent être fans de dessins animés ;). Cet article a pour but de décrire quelques fonctionnalités présentes dans chacun de ces trois malwares. Note : aucune attribution n’est évoquée dans l’article. Ce n'est pas le but de l’analyse. Cet article reste strictement dans le domaine technique.