Le malware Trickbot est capable de détecter les analyses des chercheurs

Le malware Trickbot est présent sur le devant de la scène depuis plusieurs années, et il continue d'être amélioré par ses créateurs, notamment pour que les chercheurs en sécurité aient plus de mal à analyser son code, son comportement.

Pour rappel, Trickbot est un logiciel malveillant qui permet aux attaquants de réaliser divers types d'activités malveillantes, en fonction de la charge utile qui sera déployée. Par exemple, Trickbot peut être utilisé pour dérober des informations bancaires, mais il est aussi utilisé dans le cadre d'attaques par ransomware notamment par le groupe Conti. Bien souvent, Trickbot infecte une machine par l'intermédiaire d'un e-mail de phishing et d'une pièce jointe malveillante.

Suite à l'analyse d'échantillons de Trickbot, les chercheurs en sécurité d'IBM Trusteer ont publié un rapport qui contient des informations intéressantes. Le moins que l'on puisse dire, c'est que les développeurs de Trickbot souhaitent challenger les chercheurs en sécurité ! Autrement dit, les chercheurs en sécurité ne sont pas les bienvenus. 🙂

Tout d'abord, et c'est une méthode classique, Trickbot s'appuie sur différentes couches d'encodage en base64 et d'obfuscation pour rendre le code illisible. Cela passe par la minification du code (suppression de tous les espaces inutiles et sauts de lignes), suppression et remplacement de caractères, intégration de dead code (bout de code qui n'affecte pas le fonctionnement global du script mais qui complexifie sa compréhension), etc. Avec Trickbot, c'est la multitude de couches utilisées pour répéter ces actions qui rend la tâche difficile... Mais ce n'est pas tout.

Ensuite, lors de l'injection de scripts malveillants au sein de pages Web pour voler des informations d'identification, les ressources locales de la machine ne sont pas utilisées puisque tout repose sur les serveurs distants des attaquants. Des communications chiffrées par HTTPS sont utilisées pour ces communications. À cause de ce mode de fonctionnement, les chercheurs ne peuvent pas récupérer d'éléments en mémoire pour les analyser.

Enfin, Trickbot intègre un script anti-debug dans le code JavaScript. Qu'est-ce que cela signifie ? En se basant sur différents paramètres, notamment la résolution de l'écran, Trickbot peut déterminer si une analyse est en cours, et si c'est le cas, il fait planter le navigateur sur le poste. Il est capable de voir également s’il y a un embellissement du code, c'est-à-dire s'il y a eu un travail pour décoder le code afin de le rendre compréhensible par un humain. Là encore, s'il détecte ce type de manipulation, le navigateur plante afin de mettre fin à l'analyse.

Source

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Florian Burnel

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

florian has 4091 posts and counting.See all posts by florian

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée.

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.