Les articles de Paul Rascagnères

Analyse du rançongiciel TeslaCrypt

MISC n° 085 | mai 2016 | Paul Rascagnères
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Début 2015, un nouveau rançongiciel a vu le jour : TeslaCrypt. Ce malware a tout d'abord ciblé des machines avec certains jeux vidéo spécifiques installés pour aujourd'hui cibler tout type de machine sous Windows. En mai 2015, des chercheurs (http://blogs.cisco.com/security/talos/teslacrypt) ont trouvé une faiblesse dans l'implémentation du...

Lire l'extrait

Introduction à Immunity Debugger et IDA Pro.

MISC n° 080 | juillet 2015 | Paul Rascagnères
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Que ce soit lors de recherche de vulnérabilités ou lors d'analyse de malwares, il est fréquent d'avoir recours à la rétro-ingénierie. C'est-à-dire l'analyse du code assembleur de l'objet à étudier. Cet article présente deux outils : Immunity Debugger et IDA Pro permettant respectivement de faire des analyses dynamiques et statiques. Afin de...

Lire l'extrait

Quand les dessins animés se « Rebelle »... Éléments de « Raiponce »...

MISC n° 079 | mai 2015 | Paul Rascagnères
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Ces mois de février et mars ont vu la médiatisation de trois malwares vraisemblablement développés par la même équipe. Un des éléments qui a fait beaucoup couler beaucoup d'encre est leurs noms : Bunny, Babar et Casper. Ces noms ont été choisis par les développeurs eux-mêmes. Je présume qu'ils doivent être fans de dessins animés ;). Cet...

Lire l'extrait

Malware et UAC

MISC n° 078 | mars 2015 | Paul Rascagnères
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Lors de l'exécution d'un malware sur une machine cible, il est généralement intéressant d'obtenir les droits administrateur. Dans le cas de machines utilisées par des particuliers, l'utilisateur est très fréquemment déjà administrateur, mais ses processus sont exécutés avec des droits limités. C'est à ce moment que l'UAC (User Account...

Lire l'extrait

Analyse du malware Blame

MISC n° 076 | novembre 2014 | Paul Rascagnères
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Cet article décrit le malware Blame. Ce malware est un Remote Administration Tool (RAT) qui permet de prendre la main sur les systèmes infectés. La plus ancienne version identifiée dans la nature date de 2012, et la plus récente de cette année. Ce malware est donc utilisé depuis plus deux ans. Cet article décrit le dropper, ainsi que l’astuce...

Lire l'extrait

Analyse du malware Tuscas

MISC n° 075 | septembre 2014 | Paul Rascagnères
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Cet article décrit le malware Tuscas, du dropper utilisé à la méthode d'injection, en passant par les « hooks ». Ses « hooks » ne sont pas sans rappeler ceux des malwares bancaires. Cette nouvelle menace fait partie de la catégorie des RAT/Stealers (prise de contrôle à distance et vol de données) datant de février 2014. Nous verrons...

Lire l'extrait

Analyse d'un keylogger

MISC n° 065 | janvier 2013 | Paul Rascagnères - Julien Maladrie
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Les keyloggers sont très intéressants pour des attaquants, ou des conjoints peu confiants. Ils permettaient à l'origine de sauvegarder tout ce que l'utilisateur saisissait sur son clavier ; de nos jours, ils sont beaucoup plus complets et permettent par exemple de faire des captures d'écran. Ces informations peuvent aller du mot de passe à...

Lire l'extrait

Petits malwares entre amis

MISC n° 065 | janvier 2013 | Paul Rascagnères
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Le monde de l'analyse de malware est un monde complexe. Il y a beaucoup de secrets, de non-dits et d'agressivité au sein du même côté : les gentils. Cet article va porter sur le partage d'échantillon de malware et sur la légitime défense numérique suivie d'exemples concrets. Je ne suis pas juriste, cet article a été écrit avec le clavier d'un...

Lire l'extrait

Élévation de privilèges et exécution de commandes sous Oracle

MISC n° 061 | mai 2012 | Paul Rascagnères
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Les bases de données Oracle sont fréquentes lors d'un test d'intrusion. Cet article présente des techniques permettant de récupérer un maximum d'informations sur une base de données, tenter d'élever ses privilèges manuellement et automatiquement via Metasploit. Pour finir, nous verrons qu'il est possible d’exécuter du code grâce à des...

Lire l'extrait

Instrumentation de machines virtuelles avec PyREBox

MISC n° 094 | octobre 2017 | Paul Rascagnères
  • Actuellement 0 sur 5 étoiles
  • 1
  • 2
  • 3
  • 4
  • 5

Qui n’a jamais rêvé de réaliser une analyse dynamique ou une session de debugging depuis l’extérieur du système cible (via l’hyperviseur ou l’émulateur) ? Qui n’a jamais rêvé de le faire en python ? Si vous vous reconnaissez dans ces deux phrases, PyREBox est fait pour vous. Cet article présente cet outil open source ainsi que son API...

Lire l'extrait