Bonjour à tous,
elofius
:
Il faut noter que "récemment", il y avait un malware qui installait un
rootkit dans le bios, qui s'appelle
mebromi , et dans un loitin passé pour une durée informatique "
Tchernobyl"
Mais on parle plus d'un rooktit peut se lancer avant le démarrage de
Windows (avant le
bios ou un UEFI, ce n'est pas possible en théorie, enfin il y a maintenant des doutes) ou pendant les premières initialisations de Windows, c'est ce que l'on appelle des bootkits.
Pour des ordinateurs avec une table de partition MBR, cela se passe généralement par le MBR, on modifie se dernier ou on place un MBR infectieux ou une autre composante dans un autre secteur du disque qui va se charger auparavant.
On peut parler des infections ZeroAccess et Alureon:
ZeroAcess -->
Sirefef.B / Rootkit.Win32.ZAccess / MAX++ | malekal's site
alureon -->
Malekal's forum • Trojan.Alureon / Trojan.Tdss : Sécurité : Prévention, Désinfection autonome, virus & arnaques et dangers d'Internet
Bien que ces deux infections se ressemblent, la dernière est encore plus qu'une pure saloperie, parce que mieux pensée dans sa conception, et plus complète. Sur un système infecté, le but est de faire croire à Windows que les fichiers sont sains. Le meilleur moyen de le détecter est d'utiliser un liveCD afin d'établir un rapport de diagnostic.
Pour les ordinateurs UEFI, avec tables de partitions GpT les bootkits existent aussi, un peu plus compliqué, mais rendu possible par la prise en charge par la compatibilité Windows,mais je sais que cela existe aussi, même si on a un secureboot.
On peut très bien charger un container chiffré (volume chiffrée avec son propre système de fichiers, représenté au point de vue de l'utilisateur comme un simple fichier anodin), au démarrage de l'ordinateur.
Après, il y a le secureboot, en théorie, secureboot permet de se protéger contre les bootkits, mais en pratique c'est faux, parce que:
1) Microsoft a une API permettant d'ajouter ses propres certificats dans l'UEFI. Un attaquant distant ayant les droits administrateurs peut ajouter ses propres certificats pour outrepasser le problème de certificats. Dès lors, il peut signer un bootloader infectieux mais signé. Comme secureboot vérifie aussi les modules de Windows, il suffit simplement pour l'attaquant d'ajouter des certificats autosignés ou des certificats "légitimes" volés dans des entreprises gérant les certificats , et placer ou remplacer un module infectieux par un autre, mais signé donc considéré comme légitime, même reconnu comme sain par l'antivirus, tant qu'il n'a pas été détecté .
2)Et c'est là où on voit la limite d'un travail mal fait. Debian n'est pas compatible avec Secureboot, mais je peux te certifier que je peux rendre Debian compatible "secureboot" en utilisant le
chargeur de démarrage (grub2 d'ubuntu) qui lui est signé. En activant secureboot, je peux démarrer Debian sans problème, alors qu'avec le chargeur de démarrage de Debian, secureboot empêche de lancer Debian.
Néanmoins, c'est une chose que je déconseille, car en mettant à jour le noyau de Debian, ca plombe Debian à fond la caisse.
3) Microsoft indique qu'il n'existe pas de secteurs cachés dans un ordinateur utilisant des tables de partitions GpT. C'est vrai dans un sens, mais il omet de dire qu'il existe des espaces "RAW", des espaces du disque dur qui ne sont pas associées à un volume et une partition. Comme le diable se cache dans les détails, il peut se cacher dans ces zones (généralement, il existe à la fin du disque dur, et au début de disque dur des zones non allouées, généralement pour faire une backup de la table de partition à la fin du disque dur, et ceci aussi valable pour des distributions GNU\
Linux.
4) Enfin, il y a une multitude d'astuces pour cacher un rootkit, on peut faire croire au système d'exploitation que certains secteurs du disque sont inutilisables, alors que non, le rootkit se cache dans les secteurs dit "defectueux" par Windows.
Il ne faut pas oublier deux choses, concernant les KMS pico et les backdoor en général:
i
1) Avec une backdoor, un pirate astucieux pourra faire ce qu'il veut, par exemple, il peut modifier les DNS de ton routeur (si tu n'as pas changé le mot de passe par défaut de ton interface) et te rediriger sur des serveurs infectieux, c'est simple et pratique à la fois.
2) Pour rester discrets, les auteurs derrière les KMS pico (car il y a multitudes de variantes ) n'infectent pas automatiquement chaque ordinateur, pour maintenir la confusion, et d'autre part manipulent les commentaires ou leur page où ils proposent leurs joujoux afin de tromper l'utilisateur.
Les personnes derrière les KMS pico doivent utiliser des outils pour créer des scripts powershell encodés\obfusqués personnalisés, afin de satisfaire leurs objectifs d'une part, et d'autre part afin d'éviter la détection des antivirus et parefeu. Dès lors, l'antivirus et le parefeu ne sont d'aucune utilité.
Il faut donc se mettre une chose en tête, c'est quand quelqu'un à un accès à ton ordinateur, même distant, et en utilisant des techniques pour avoir les droits administrateurs, il peut faire ce qu'il veut, il sera limité juste par ses propres connaissances, et ceci est valable pour les ordinateurs avec des tables de partitions MBR ou des tables de partitions GpT avec Secureboot.
C'est comme si on manipule un système d'exploitation dans une machine virtuelle, en local ou à distance. A distance, tu peux bien avoir accès à ton ordinateur en mode graphique avec SSH.
Dès lors, dès que l'on ajoute des fichiers qui n'ont jamais été détectés auparavant, et dont leurs caractéristiques ne sont pas détectés par l'antivirus, c'est mort.
On le voit très bien avec Regin, qui a infecté Belgacom, 5 années miminum avant sa détection, à la base c'est une simple porte ouverte. Je te certifie qu'elle fonctionne sous Windows 8.1, compatible avec UEFI, malgré les dires de symantec. , et qui semble utiliser sous des Windows 8.1 avec secureboot une version plus complète d'alureon + zeroaccess.
Cordialement
Ne suivez pas ce lien ou vous tomberez dans un trou noir et vous serez banni du site.
