|
|
Rustock.C, un rootkit robuste
Par Rédaction,
secuobs.com
Le 05/11/2008
Résumé : Une présentation qui a eu lieu a Hack.lu revient sur le rootkit russe connu sous le nom de Rustock.C. Un malware robuste qui utilise des techniques avancées d'anti-debugging. - Lire l'article
Frank Boldewin, à qui l’on doit les premières analyses du fameux rootkit ( lien ) russe connu sous le nom de Rustock.C, ou encore Ntldrbot, a présenté lors de la dernière édition de la conférence Hack.lu ( lien ) le fonctionnement de ce malware dont la réputation n’est plus à faire depuis maintenant plus d’un an.
Cette réputation, Rustock.c la doit tout autant à sa robustesse technique qu’aux millions de mails de type spam qu’il est capable d’envoyer chaque jour pour inonder le réseau internet. Lors de sa présentation, Frank a expliqué en détail le fonctionnement des différentes techniques de sécurisation inclues dans ce rootkit qui font sa robustesse.
Parmi ces techniques on retrouve notamment l’anti-debugging ( lien ) avec la détection des debuggers qui opèrent au niveau du noyau du système d’exploitation comme RR0D aussi connu sous le nom de Rasta Ring 0 Debugger ( lien ), WinDbg ( lien ) ou bien encore Syser ( lien ).
On retrouve également de l’obfuscation de code, de la compression ainsi que des moteurs polymorphiques et métamorphiques ( lien ) permettant de déjouer les antivirus basés sur les signatures de code.
Frank a également expliqué que l’analyse de ce rootkit via des snapshots de mémoire dit classiques, comme les crashdumps ( lien ) générés par un BSoD (Blue Screen of the Death - lien ) s’avèrent impossibles de par le fait que la mémoire est régulièrement nettoyée à l’aide de l’interface de programmation d’application (API) du noyau nommée KeRegisterBugCheckCallback() ( lien ).
Le reste de la présentation était consacrée à l’explication du fonctionnement du botnet ( voir notre annuaire des vidéos - lien ) au niveau user-land. Vous pouvez retrouver l’ensemble de ces informations dans les slides de l'exposé de Frank Boldewin, disponibles sur son site ( lien )
- Article suivant : Crapto1 GPL ou les faiblesses des tags RIFD crypto1 MIFARE
- Article précédent : Collecte d’informations et social engineering via les réseaux sociaux
- Article suivant dans la catégorie Reportages : Une journée à l’intérieur de la mémoire des systèmes d’exploitation Microsoft Windows
- Article précédent dans la catégorie Reportages : Collecte d’informations et social engineering via les réseaux sociaux
| Mini-Tagwall des articles publiés sur SecuObs : | | | | sécurité, exploit, windows, microsoft, attaque, réseau, metasploit, outil, vulnérabilité, système, audit, virus, internet, usbsploit, données, linux, présentation, source, bluetooth, protocol, réseaux, reverse, vista, scanner, shell, meterpreter, engineering, conférence, rootkit, wishmaster, trames, téléphone, paquet, mobile, sysun, noyau, libre, botnet, rapport, accès, intel, https, snort, mémoire, téléphones |
| Mini-Tagwall de l'annuaire video : | | | | security, metasploit, biomet, biometric, windows, botnet, defcon, password, vmware, tutorial, exploit, conference, crypt, virus, lockpicking, attack, network, linux, rootkit, conficker, shmoocon, wireshark, server, meterpreter, ettercap, source, iphone, openvpn, openbsd, iptables, backtrack, openssh, deepsec, systm, hnncast, securitytube, brucon, shell, access, secconf, engineering, internet, fingerprint, virtual, firewall |
| Mini-Tagwall des articles de la revue de presse : | | | | security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone, server, inject, patch, apple, twitter, mobile, virus, ebook, facebook, vulnérabilité, crypt, source, linux, password, intel, research, virtual, phish, access, tutorial, trojan, social, privacy, firefox, adobe, overflow, office, cisco, conficker, botnet, pirate, sécurité |
| Mini-Tagwall des Tweets de la revue Twitter : | | | | security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall, network, twitter, vmware, windows, microsoft, compliance, vulnerability, python, engineering, source, kernel, crypt, social, overflow, nessus, crack, hacker, virus, iphone, patch, virtual, javascript, malware, conficker, pentest, research, email, password, adobe, apache, proxy, backtrack |
|
|
|
|
|
