Cedric PERNET - Forensics, Malware & Cybercrime

Autant vous prévenir, si vous ne connaissez pas le fonctionnement de Twitter, vous pouvez éviter de lire ce billet... Ce warning étant écrit, je peux démarrer.

Il y a deux jours a été publié un billet en anglais sur l'excellent blog de Sucuri, qui fait partie des centaines de blogs de sécurité informatique que je lis régulièrement.

Pour résumer très rapidement, le chercheur nous indique qu'il est hébergé chez GoDaddy aux USA (l'un des plus gros ISP là-bas), qu'il n'a qu'un honeypot SSH derrière son port 22, et qu'il utilise un/des autres ports pour accéder à ses serveurs en SSH. Alors qu'il farfouillait en bon paranoïaque dans ses journaux de connexion, il découvre avec stupéfaction et horreur qu'une adresse IP inconnue a accédé à son honeypot en utilisant le véritable mot de passe qu'il utilise pour son vrai serveur SSH. Pire, deux mots de passe sont utilisés : ses deux derniers mots de passe.

Les pensées du chercheur à ce moment précis doivent être à peu près : "Panique à bord, mon dieu mon dieu on m'a rooté je suis foutu, les carottes sont /quit (elle est de moi, je la revendique celle-là!), c'est la fin du monde !" (hello au passage à ericvo)

Après quelques recherches, il se rend compte que l'adresse IP attaquante provient de chez GoDaddy, et reçoit à peu près au même moment un mail de GoDaddy l'informant que son serveur web est peut-être infecté par du malware. Et là, en toute quiétude, l'ISP lui dit que les mots de passe dont il dispose dans ses fichiers n'est plus bon et qu'il a besoin de l'accès root (administrateur) pour vérifier ça, sous peine de suspension de compte.

Plutôt inquiétant de voir que (propos de l'auteur)

• GoDaddy a essayé d'accéder à son SSH sans lui en parler.
• GoDaddy voulait son accès root.
• GoDaddy disposait de ses deux derniers mots de passe en clair.

L'histoire ne se finit pas ici. Le chercheur a eu un contact par téléphone avec le CSO (Chief Security Officer) de GoDaddy, qui lui a expliqué un certain nombre de choses :

• GoDaddy prend les problèmes de malware très au sérieux et intervient lorsque nécessaire sur les serveurs, en mode 24/7.
• GoDaddy essaye de régler le problème en se loggant sur le serveur.
• Les mots de passe sont stockés chez eux sous forme chiffrée. Les process internes GoDaddy font que le mot de passe ne peut être récupéré qu'après ouverture d'un ticket d'incident, motivé et écrit, uniquement par l'équipe sécurité de GoDaddy.
• Ce mode de fonctionnement est apprécié de la plupart des clients (comprendre ceux qui n'ont pas de notion de sécurité)

Au final, pas de malware, l'activité suspecte était dûe au honeypot du chercheur, et il a pu s'expliquer et régler le problème avec GoDaddy sans avoir à communiquer son accès root. L'ISP s'est excusé, et informera ce user de toute prochaine intervention *avant* de faire quoi que ce soit.

Je n'apporterais que très peu de commentaires à propos de ce "fait divers" de sécu :

• Il est hors de question de donner son accès root à son fournisseur
• Il peut être bon de signaler à son hébergeur qu'on fait tourner un honeypot, pour peu de pouvoir remonter cette information aux personnes compétentes (gros doute ici quand même...)

Mais ce n'est pas la fin de l'histoire, et le plus amusant reste à venir. Car ce chercheur n'a pas été mis en contact avec un CSO tout puissant suite à un contact avec le support : il a été contacté directement par le CSO. Pourquoi ? Comment ? La réponse est présente sur Twitter.

Le lendemain, je lisais l'update sur le blog. Il est dit : "it reached the ears of the GoDaddy people".

En fait, GoDaddy, comme beaucoup d'entreprises conscientes de la nécessité de surveiller leur image, exerce une surveillance sur Twitter. Et le post blog de sucuri, qui a été largement retweeté, a été rapidement détecté par GoDaddy, qui ont décidé de contacter l'auteur du blog. Je faisais partie de ces gens qui ont retweeté l'article le jour même, et j'ai eu la surprise le lendemain de découvrir un message sur Twitter qui m'était adressé et qui venait du compte officiel Twitter de GoDaddy, je cite:

-- @cedricpernet Just FYI, the author posted an update to his blog. It clarifies a lot. We hope you'll read that too. http://fwd4.me/GxT --

Je me suis empressé de faire quelques recherches, et me suis rendu compte que l'article initial de sucuri avait été retweeté par 130 autres personnes, et que le même message que j'avais reçu avait été tweeté à ces 130 personnes.

Du beau boulot, en termes de communication. GoDaddy non seulement surveille les tweets qui parlent d'eux, mais en plus ils réagissent lorsqu'un incident d'image les impacte, et de façon plutôt pro et efficace. Les réactions ne se sont pas faites attendre sur Twitter : tout le monde a twitté le lien vers l'update, souvent avec un petit commentaire du genre "bravo GoDaddy pour la transparence" ...

Voilà un bel exemple de contre-attaque d'image basé sur un incident de sécurité informatique, ou comment renverser la vapeur et se faire mousser gratuitement sur une base initialement négative.

Chapeau bas, GoPapa ! :-)

Et enfin, je dédie ce post blog à un ami très GUMOristique, sans qui ma vie professionnelle ne serait pas ce qu'elle est :-p

Bonjour à tous,

Tout d'abord, merci à Cédric de me laisser quelques pages sur son blog.

Je travaille actuellement dans une structure CERT d'un établissement bancaire français. Nous nous occupons entre autres de réponse à incidents de sécurité informatique et de lutte contre la cybercriminalité. Dans le cadre de ma mission, j'ai eu l'occasion d'assister à l'édition 2009 du SSTIC.

Ceci est le compte-rendu de ma première participation à cette manifestation. L'impression générale que j'ai eue de cet évènement est très positive. L'ambiance était très bonne, et j'ai eu l'occasion de pouvoir échanger avec des gens venant d'industries différentes. J'ai notamment beaucoup apprécié le social event.

Evoluant d'habitude dans un environnement peu technique (en tout cas beaucoup moins que la plupart des participants de ce Symposium), je ne pense pas pouvoir faire aussi bien que d'autres blogueurs bien connus, à moins de reprendre le contenu des actes. Pour cette raison, la suite de cet article présentera les conférences qui m'ont le plus marqué au cours de l'édition 2009 du SSTIC.

Merci de votre indulgence et bonne lecture.

La conférence d'ouverture a été présentée par M. Pascal Andrei, directeur de la sûreté aérienne chez Airbus. Elle a été l'occasion de découvrir une vue métier sur la sécurité informatique dans un environnement aérien. Notamment, la différence entre la sécurité (safety) et la sûreté (security) a été évoquée. La sécurité concerne la conception d'appareils, le développement de composants. En résumé, il s'agit de s'assurer de la fiabilité des appareils, démarche en cours depuis plus de 30 ans chez Airbus. La Sûreté (security) est quand à elle plus récente. Elle distingue la sécurité physique (bombes, passagers clandestins, etc.) et la sécurité informatique. Cette dernière a été un sujet de préoccupation plus récent, qui à coïncidé avec l'entré de composants logiciels dans les systèmes embarqués ainsi que l'informatique de divertissement. Au passage, des connexions à Internet ont été mises à disposition dans l'A380. Les équipements connectés sont bien entendu isolés du reste de l'infrastructure critique. Cette conférence a aussi été l'occasion d'évoquer l'évolution des contraintes de sécurité informatique imposées aux compagnies aériennes en général et à Airbus en particulier. Ainsi, il n'y avait que peu de contraintes sur les appareils conçus avant l'A380. Puis des pentests ont étés mis en place, ainsi que la création d'un CERT interne, dont le but est de surveiller les vulnérabilités pouvant impacter l'infrastructure informatique. Il est aussi question de l'adoption de normes telles que ISO 27000. De manière générale, Les problématiques de sécurité semblent être prises très au sérieux chez Airbus.

Data tainting

Cette conférence, présentée par Florent Marceau du CERT LEXSI, a évoqué une technique d'automatisation d'analyse de code malveillant mettant en œuvre du data tainting. Le principe est de marquer et tracer les données manipulées par un code malveillant lors de son exécution sur une machine victime. Ce traçage s'applique également aux données chargées d'un serveur éventuellement contacté dans le cadre de l'attaque. On peut ainsi contourner les techniques de chiffrements employées par la plupart des malware modernes. En pratique, le code malveillant est soumis à une machine virtuelle pour être analysé. En moyenne, une analyse prend une dizaine de minutes (dans le cas où aucun système de détection de machine virtuelle n'est mis en œuvre par le code malveillant). LEXSI peut ainsi parvenir à analyser entre 2000 et 2500 binaires suspicieux par jour. Un autre challenge à l'analyse est les stimuli qui déclenchent l'activation d'actions malveillantes.

Projet WOMBAT

Symantec a ensuite présenté son projet WOMBAT. Le but est d'obtenir une meilleure compréhension des menaces qui pèsent sur Internet. L'implémentation de WOMBAT consiste en une multitude de senseurs qui ont 2 fonctionnalités principales: identifier les attaques connues dont ils sont la cible et identifier les nouvelles attaques. Les données ainsi collectées sont transmises à un serveur qui procède à l'analyse. Une fois qu'un chemin d'attaque est identifié, il est diffusé à toutes les sondes WOMBAT du réseau. La présentation était émaillée de nombreux graphes et données statistiques.

ACPI et routine de traitement SMI

La démonstration de l'exploitation de failles ACPI et SMI a été très visuelle. Nous avons vu M. Loïc Duflot de la DCSSI obtenir un accès root à une machine en débranchant et rebranchant plusieurs fois le câble d'alimentation de son laptop. Le but était de mettre en évidence deux types de failles. La faille ACPI qui permet à un attaquant de modifier les routines de gestion de la batterie en réécrivant les tables ACPI. La deuxième exploitation présentée était un accès à la routine SMI. L'attaque se produit par une compromission du BIOS.

Questions sur l'utilité de ISO 27001

Alexandre Fernandez-Toro de HSC a dressé un bilan de l'implémentation de la norme ISO 27001. ISO 27001 ne constitue pas un nouveau "nirvana" de la sécurité mais a eu le mérite d'établir un référentiel des bonnes pratiques de sécurité. Ce qui est certifié n'est pas un niveau de sécurité, mais un processus d'amélioration continue de la sécurité. Chercher la certification "pour la certification" n'est pas utile. Il est plus intéressant de voir ISO 27001 comme un modèle vers lequel tendre et de se faire certifier sur opportunité. Présentation intéressante et vivante.

Traçage des traitres en multimédia

Sujet d'actualité évoquant le watermarking (tatouage digital). Le but est d'identifier le ou les utilisateurs à l'origine de la dissémination de copies pirates d'un fichier multimédia. Un fichier multimédia est tatoué différemment pour chaque utilisateur. Le tatouage permet d'identifier quel utilisateur est à l'origine de la fuite. Dans le cas où plusieurs fraudeurs entrent en jeu, il est possible d'identifier les fraudeurs avec un certain degré de probabilité.

Le vol d'information n'existe pas

Il n'est pas reconnu juridiquement. En revanche, la divulgation peut faire l'objet de sanctions. Pour l'entreprise, il est possible de se protéger par le contrat de travail (obligation de loyauté), une politique de classification des documents, une charte utilisateur et une politique de gestion des tiers.

Pourquoi la sécurité est un échec

D'après Nicolas Ruff, la sécurité est un échec. La faute à de mauvaises décisions techniques et organisationnelles, des marchés captifs et un buzz non mérité sur certaines applis de sécurité. La présentation était conviviale et mettait en relief certaines opinions assez partagées dans le monde de la sécurité.

Macaron, une porte dérobée pour toutes les applications JavaEE

Une présentation d'Atos a démontré l'installation d'une backdoor dans une application J2EE via l'insertion d'un jar malveillant dans une Web Archive. Le but était de mettre en évidence un trou dans les procédures d'audit standard. Si la vérification du code est effectuée, il n'y a en général pas de vérification des binaires compilés. Cela met aussi le doigt le champ beaucoup plus large de la sécurité des applications J2EE en général.

Émanation compromettantes électromagnétiques des claviers filaires et sans-fil

La conférence sur la détection des émanations électromagnétiques des claviers a mis en évidence qu'il est possible de détecter les entrées tapées sur un clavier en se basant sur les interférences électromagnétiques produites lors de l'utilisation des touches. Cette technique pourrait permettre d'espionner les entrées clavier à l'aide d'une antenne dans un périmètre de 20 mètres autour de la source. Des recherches sont toujours en cours pour tenter d'étendre le périmètre.

A noter les présentations rumps de Philippe Lagadec de l’OTAN sur la cybersécurité et de Bruno Kerouanton sur la communication.
Pour conclure, ce SSTIC 2009 a été pour moi une très bonne expérience. J’espère la renouveler en 2010.
Vincent Ferran-Lacome

I decided to translate a post from my colleague Fabien Perigaud, from french to english. The original post in french is here.

I wanted to share this great post with foreign readers, because this topic is always of high interest for me, as I am a heavy virtual machine user... Please apologize for the bad translation, I'm dead tired and will not re-read it I guess :-p

There it goes :

"In the world of malware, the race between malware author and anti-virus companies is famous, the first ones trying to make their creation the most invisible against the second one's solutions.
Before the so-called malware can be detected as malicious by an anti-virus product, he undergoes a strong analysis, so that his behaviour is understood. That way, a signature can be extracted of it, to allow detection, and to have a way of cleaning the infected machines.
Malware developers have got to counter the analysis tools, the first one being the virtual machine, which allows to launch the malware without any fear, because the system can be restored in its previous state in few seconds.
A new caught malware, spreading via a malicious Flash banner found on many web sites, has shown us a new method of virtual machine detection, impacting QEmu (and probably Virtual PC, and VMware without hardware acceleration).
The packer used by the malware, not identified at the time of writing, executes the "asin" function after having decrypted a part of itself. This function is part of the msvcrt library. This function will return in EAX register a different value according to the value of the Control Word register from the FPU (Typically, a 0 value will be given to EAX if FCW is not equal to 0x27F).
The FCW register undergoes some operations equivalent to a logical AND with a 0x23F mask, at the loading of the msvcrt.dll library (FPU register init). According to Intel's specs, the 6th bit of the FCW register is marked as reserved, and it has been discovered it was fixed to 1 on physical machines.



On a physical machine, FCW will therefore have the value 0x27F after the loading of the library. Unfortunately, QEmu's full emulation mode (without using kqemu) doesn't set the 6th bit to 1 ; the register takes the value of 0x23F, provoking a different result to EAX after it gets out of the asin function.
According to this value of EAX, the malware will initialise or not the variable of its decrypting loop, provoking its own crash if not set properly (writing on an unauthorized memory zone), preventing any analysis.



We can expect more and more malware use this kind of detection method, preventing this way automated analysis based on virtual machines. So the race goes on..."

Years ago, when a geek (usually a researcher or hacker) was discovering a vulnerability in the security of an OS or on some major application, his first move was to claim loud he had found it.
He was doing so by posting a lot on dedicated newsgroups, on some forum, and sometimes even in some newspaper.
He was therefore making his reputation (ans usually ego) grow higher. One time out of two, he was then mailing the owner of the product (or OS) about that new vulnerability.

By the way, a newly found vulnerability which is not yet patched or corrected is called a "0-day".

Things have changed nowadays, and the discovery of a new 0-day brings the inventor to some choices:

- Claiming the discovery, as it had always been done.
- Keeping it for himself, and often coding exploits to use it in some ways (usually malicious), until some other people finds it and patches it.
- Spreading it to a small community exchanging 0-days. (even more malicious)
- Selling it.

Of course, why should these countless hours not be paid ?
Selling it on auction websites is generally a bad idea, but an interesting vulnerability can also be sold to criminal organizations, who would exploit it quickly to spread new malware, or to the government.

I won't develop more, because there's an amazing paper around, written by Charles Miller.

Believe me, it is very very interesting. Have a good time reading it ;-)

Well, I'm the kind of dude to admire a lot of people ... People like Gordon Matthew Sumner, Mark Knopfler, Anathema, Matthieu Chedid, and so many others...

But not only am I an admirer of many musicians, I also have a fetish for Amiga demo coders like Dan (hi mate), Azathoth, Celebrandil, Mr Gurk, Promax, Slayer, Blacky (plop), Revolution (hi), Tec, Metallion, Chaos, Mahoney & Kaktus, Unknown, and also for PC demo coders like Ryg, Chaos (again), Keops (plop), Navis, BoyC ...
Not to mention my kink for good Amiga and PC musicians like Frederic Motte (hi), Clawz, Audiomonster, Heatbeat, XTD, Monty (hi old mate), Romeo Knight, and so many others...

Now concerning IT security, I also feel some big respect for some people, like Jose Nazario, when I read his excellent paper about Reverse Engineering Malicious Javascript, and when I see everything he does for the IT security community...

And by the way, thanks a lot to Sid for his french report about Cansecwest 2007 ...

There has recently been a huge amount of "friendly networking systems" as I call them ...
You all know about them, when you get mails from old-forgotten friends who found traces of you on the net, and are inviting you to join www.ohmygodhowdidwelivewithoutkeepingtouchforsuchalongtime.com or such...
Either you refuse the invitation, smiling nastily as you immediately forget about this old guy you were hating in your student years, or you are a good pal and accepting the invitation, you connect yourself to the site and start filling personnal infos about you.

Now how much of your private life do you want to share with perfect unknown people on Internet ? Most of these networking sites are showing your profile, including the picture of your face, your current job, your interests, your friends, and whatever you can think of, completely freely.
And most can be accessed with Google searches...
Most adult people are taking care and complaining about the "MySpace" kiddies community. Most parents are asking their kids not to say too much about themselves on Internet, and not to reveal all their lives there. To give such lesson to a kid is great, but what should we think about those parents when they are filling all forms they find and give such a lot fo details about themselves on a networking site ?

Now the danger is there.I can pretend to be an old friend of yours. I can do it easily just by reading your details, seeing your picture, and having good social engineering skills.

Now if you're a nice woman, I could get a date with you, you would probably accept an invitation "to remember good old past"...
If you're a person I have reasons to dislike or hate, I could make you fall into any kind of traps.
Now if you're a person not interested at all in computer security, I could probably make you click anywhere, or lead you to any malicious site, maybe already knowing what anti-virus/firewall you run at home...See what I mean ?

Danger is everywhere... You just have to be aware of it.

And here is an article from Symantec about facebooks that you could also read ;-)

There's been quite a lot of talks during the last months about "Search Engine Poisoning" ... This topic is quite hot, since it can impact quite any Internet user who's got an unprotected or not up to date system...

Here is a good article about Search Engine Poisoning, from Patrick Comiotto and Nicolas Brulez (Websense)

Its reading is very interesting, and quite funny at some points. ("dead code")

Do you think this kind of article could get some people paranoïd ? ;-)

Voici un article de SecuObs qui nous explique que notre Firewire pourrait bien nous balancer un méchant retour de flammes en pleine face... En effet, sous certaines configurations, du code malveillant pourrait bien arriver sur vos machines par ce biais, selon l'article de Ludovic Blin.
Et un grand bravo à Adam Boileau pour son ingéniosité...

Here is a real nice article from Bojan Zdrnja I've just read, about some kind of new traps against javascript reversers.

I guess everyone reading this blog knows how to deobfuscate most of the actual used JS, but the article shows the malware coders are starting to take care of not being so easily reversed.
Personnaly (usually in hacking challenges) I'm mainly using the alert() méthod to deobfuscate parts of JS code, but it's true that it can become quite boring and tiringsometimes...
And to be honest, I didn't know Rhino, which I immediately apt-get'ed after reading this article ;-)

Here's an article I've just read ...

This article is about the old known technic of "trashing" to get crucial informations about companies, or about their users, or network, or security... Anything you can think of that could be found in your trash.
This technic has often proven to be efficient in the years of 90, used widely by malicious hackers to get user names and passwords from companies.
Well I was smiling seeing this article, because I am still naïve enough to think almost all companies actually *are* recycling their trash in secure ways.
I might change my mind ;-)