Pernet Cédric

Les malwares modernes sont en constante évolution. Parmi ces malwares, la catégorie la plus distribuée actuellement est celle des chevaux de Troie (également appelés « troyens » ou « trojans »), qui constituent probablement le plus grand risque pour les internautes. Ces malwares ont pour but de dérober certaines informations sur un système qu’ils ont infecté. Ils peuvent être utilisés pour obtenir des documents sensibles et/ou confidentiels d’entreprises, mais également pour dérober diverses informations sur des ordinateurs d’internautes lambda. Les chevaux de Troie évoluent en termes de technicité pour poursuivre leur but : infecter le système quelle que soit sa configuration, obtenir l’information recherchée, et se maintenir si nécessaire sur le système, le plus longtemps possible.

En entreprise, l’analyse d’un malware lié à un incident de sécurité est une activité pouvant être réalisée à divers niveaux, en fonction de plusieurs paramètres : degré d’urgence, sensibilité de l’incident, but poursuivi, … Il peut être intéressant dans tous les cas d’obtenir en quelques minutes une première estimation des capacités du malware et de ses communications avec l’extérieur, ou encore de savoir rapidement quels fichiers il crée sur le système. C’est dans ce cadre qu’a été développé Cuckoo Sandbox, un bac à sable automatisé d’analyse de malware en environnement virtuel.

Le présent article a pour but de fournir des clés et bonnes pratiques pour mener à bien une recherche de malware dans le cadre d’une investigation inforensique « à froid ».

Lundi matin, au siège d'une grande multinationale. La cellule de réponse à incidents est sur le pied de guerre : les membres du comité de direction ont reçu un malware par courriel. À première vue, rien de bien nouveau ni de méchant : recevoir un virus par mail est d'une banalité à pleurer et les logiciels antivirus installés sur les postes des destinataires ont bien fait leur boulot en interdisant l'infection. Seulement voilà, Aurora [1], GhostNet [2] et autres opérations Night Dragon [3] sont passées par là et ont mis les nerfs du RSSI à rude épreuve. Qui sait si derrière cet IRC-Bot/W32.BL-G38 ne se cache pas une version modifiée d'un password stealer destinée à voler les mots de passe des dirigeants de l'entreprise ? Le banker ZeuS n'a t-il pas servi à de tels agissements [4] ? Pour en avoir le cœur net, une analyse du malware est nécessaire.

La cybercriminalité dans l’ensemble de ses matières génère chaque année des sommes colossales. Ces montants sont de l’ordre de 100 milliards de dollars par an, avec une croissance annuelle de 40% [1].