Une backdoor chinoise en.net. Nicolas RUFF nicolas.ruff(à)eads.net

Transcription

1 Une backdoor chinoise en.net Nicolas RUFF nicolas.ruff(à)eads.net

2 Historique??? Attaques ciblées dans la nature 6 décembre 2011 Publication de l'avis de sécurité APSA décembre 2011 Publication du correctif Adobe Reader janvier 2012 Publication du correctif Adobe Reader

3 Historique

4 Principe général de l'attaque 2 Le shellcode extrait un fichier exécutable embarqué (en général chiffré par un XOR) 1 Un PDF malveillant est transmis par 4 Le shellcode "nettoie" le PDF et l'ouvre à nouveau 3 Le fichier exécutable s'installe en tant que résident (backdoor)

5 Backdoor(s) Poison Ivy: la plus courante Mais chaque "équipe" a ses techniques/outils C:\> file scvhost.exe scvhost.exe: PE32 executable (GUI) Intel Mono/.Net assembly, for MS Windows

6 Backdoor(s) Ca s'annonce long et pénible

7 Format.NET Format PE + métadonnées.net Logées dans l'ancienne "COM Directory" Très peu documentées pendant fort longtemps Encore très peu d'outils capables de les manipuler pefile, metasm, miasm CFF Explorer, Phoenix Framework?,

8 Format.NET

9 Format.NET

10 Format.NET

11 Format.NET

12 Protections en.net Techniques anti-analyse "statique" Renommage des méthodes / classes / variables de classe / Obfscuation des constantes / chaines de caractères / Obfuscation du flot de contrôle Code / objets sérialisés Techniques anti-analyse "dynamique" Vérification du contexte d'exécution Vérification de type Réflexion Signature

13 Protections en.net Techniques plus avancées Code natif Cryptographie Activation en ligne Cf. protecteurs commerciaux Xenocode, 9Rays, Un binaire.net reste plus difficile à protéger qu'un binaire natif Note: la compilation native est possible avec NGEN.EXE

14 Protection statique en.net Renommage Une table contient tous les noms en instance unique Cf. format DEX utilisé par Android Il serait possible de renommer "à la main" mais il est ardu de renommer si la taille des chaines change Rebel.NET est un "PoC" Il faut créer un ".H" qui contient tous les renommages Note: une fois le code importé dans Visual Studio, il est très simple de le "refactoriser" même s'il ne compile pas

15 Protection statique en.net Manipulation d'une assembly "System.Reflection" ne semble pas fait pour ça Difficulté à modifier du code existant Difficulté à sauvegarder le code modifié "Mono.Cecil" est beaucoup plus puissant pour cette tâche surtout lorsqu'il est combiné avec Reflexil

16 Protection statique en.net Cheat sheet pour Mono.Cecil + Reflexil ad = Mono.Cecil.AssemblyDefinition.ReadAssembly(...) md = Mono.Cecil.ModuleDefinition.ReadModule(...) foreach td in md.types foreach fd in td.fields foreach md in td.methods foreach pd in md.parameters mb = md.body foreach vd in mb.variables Note: Mono.Cecil n'a aucune documentation officielle Fonctionne bien avec: Classe, méthodes, variables de classe Mais beaucoup plus de plomberie pour: Manipuler les variables locales

17 Protection statique en.net La preuve qu'on peut faire partie du problème et de la solution

18 Protection statique en.net Obfuscation des constantes

19 Protection statique en.net Code masqué Se trouve dans une ressource "chiffrée" La clé est fournie par un "générateur de constantes" fortement obfusqué Dans ce cas, l'analyse dynamique est plus simple Stream manifestresourcestream = executingassembly.getmanifestresourcestream("resources.binary.resources");

20 Protection dynamique en.net Vérification de type dynamique if (Assembly.GetCallingAssembly() == typeof(protectedclass.c000016).assembly))...

21 Protection dynamique en.net Vérification que l'assembly n'est pas utilisée comme référence depuis un projet tiers Assembly executingassembly = Assembly.GetExecutingAssembly(); Assembly callingassembly = Assembly.GetCallingAssembly();...

22 Protection dynamique en.net Vérification de la hauteur de pile d'appel StackTrace trace = new StackTrace(skipFrames, false);... StackFrame frame = trace.getframe(skipframes); MethodBase base2 = (frame == null)? null : frame.getmethod(); Type type = (base2 == null)? null : base2.declaringtype;...

23 Protection dynamique en.net Utilisation de la clé de signature publickeytoken = assemblyname.getpublickeytoken();...

24 Protection dynamique en.net Aucun test booléen Trop facile à "patcher" Au contraire, les résultats sont intégrés dans le calcul d'une constante "magique"

25 Revue des outils Il existe 3 possibilités: System.Reflection Mono.Cecil Capable d'ouvrir une assembly sans l'exécuter Librairie "maison" En général non maintenu / non publique

26 Revue des outils Outil Analyse statique ILDASM / ILASM Spices.NET Reflector dotpeek JustDecompile ILSpy Avis Fourni avec Visual Studio - ultrabasique Commercial - peu adapté aux codes obfusqués Commercial - basé sur System.Reflection - peu adapté aux codes obfusqués Successeur de Reflector - à suivre Successeur de Reflector - à suivre Bien mais la 2.0 est encore mieux Phoenix Framework Statut du projet chez Microsoft? SAE de4dot Parfait pour les codes obfusqués Orienté "protections commerciales"

27 Revue des outils Analyse dynamique Outil mdbg Avis Basé sur ICorDbg* - PoC non maintenu Outils Foundstone & al. WinDbg + SOS.DLL ILSpy 2.0 Basé sur les API de performance - peut être intéressant dans certains cas - SAE offre globalement la même fonctionnalité Puissant mais inutilisable avec du code obfusqué Très prometteur PE Browse Dbg Logique de la GUI...? DILE.. Non maintenu

28 Conclusion Faire une backdoor en.net n'était pas une mauvaise idée Les compétences et les outils sont plus rares que dans le monde natif