Dispatcher un outil automatisé d'ingénierie inverse pour analyser les protocoles de communication non-documentés utilisés par les Botnets

Par Rédaction, secuobs.com
Le 15/11/2009

---

Résumé : Dispatcher permet d'analyser plus efficacement les protocoles de communication non-documentés via des techniques innovantes de rétro-ingénierie automatisée. Son mode opératoire lui permet de s'affranchir des contraintes conséquentes au chiffrement et à l'obfuscation des flux réseau. - Lire l'article



Pour infiltrer des Botnets ( lien ) distants, les chercheurs doivent être capables d'interagir avec les centres de commande et de contrôle. Cette interaction nécessite qu'ils puissent réécrire les messages reçus et envoyés par les clients infectés. Les activités malicieuses sont dès lors contenues localement tandis qu'un fonctionnement « normal » est simulé pour tromper les centres névralgiques et opérer furtivement. La compréhension préalable des protocoles de communication utilisés est donc ici impérative.

L'ingénierie inverse ( lien ) est habituellement utilisée pour extraire les spécifications de ces protocoles non-documentés. Elle facilite l'identification des structures internes à ces messages tout en permettant de cerner les objectifs que ces derniers cherchent à atteindre. Les techniques d'automatisation, pour ces opérations de rétro-ingénierie protocolaire, se focalisaient jusqu'à maintenant sur l'analyse des flux réseau ou sur l'observation des traitements consécutifs à la réception des messages.

Elles présentent cependant des inconvénients, considérés commes majeurs, puisque les premières se heurtent au chiffrement et à l'obfuscation des flux, alors que les secondes, ne prenant pas en compte les réponses, nécessitent dès lors un accès aux deux extrémités de la communication pour bénéficier d'une vision globale du fonctionnement. Lors de la conférence CCS2009 ( lien ), le mode opératoire d'un nouvel outil, Dispatcher, a été présenté comme une solution à ces différentes problématiques.

Dispatcher a été testé avec succès sur le protocole de communication de MegaD, un Botnet responsable de l'envoi d'un tiers des SPAMs début 2008. Cette analyse a permis aux chercheurs d'identifier quinze messages distincts, soit sept commandes et huit réponses respectivement envoyées par le serveur central et les clients infectés. A noter que Dispatcher prend également en charge les phases d'interaction de par ses fonctionnalités d'injection de données au sein de communications établies.

Le papier « Enabling Active Botnet Infiltration using Automatic Protocol Reverse-engineering » ( lien )

Source : Comptes Twitter @mosesrenegade et @arbornetworks ( lien )