Virus, vers et chevaux de Troie

Un logiciel malveillant (malware) est tout logiciel conçu pour perturber des systèmes, les endommager, y obtenir un accès non autorisé ou en exfiltrer des données. Ce terme englobe de nombreuses catégories distinctes, qui diffèrent par leur mode de propagation, leurs actions et les techniques de détection auxquelles elles échappent. Security+ évalue votre capacité à distinguer les types de logiciels malveillants selon leur mécanisme de propagation (la manière dont ils se propagent), leur charge utile (les dommages ou l’action qu’ils provoquent) et leur mécanisme de persistance (la manière dont ils survivent aux redémarrages). Les trois catégories fondamentales sont les virus, les vers et les chevaux de Troie.

Un virus est un logiciel malveillant qui s’attache à un fichier hôte légitime et nécessite une action humaine (l’exécution du fichier infecté) pour se propager. Lorsque le fichier infecté s’exécute, le virus se réplique en injectant son code dans d’autres exécutables, documents ou secteurs d’amorçage. Les types de virus comprennent les virus infecteurs de fichiers (qui s’attachent aux fichiers .exe), les macrovirus (qui s’intègrent dans les documents Office et s’exécutent lorsque les macros sont lancées), les virus de secteur d’amorçage (qui infectent le MBR et se chargent avant l’OS) et les virus polymorphes (qui modifient leur signature de code à chaque infection pour échapper à la détection basée sur les signatures).

Un ver est un logiciel malveillant autoréplicatif qui se propage indépendamment sur les réseaux, sans nécessiter de fichier hôte ni d’action humaine. Les vers exploitent les vulnérabilités du réseau ou des identifiants faibles pour se copier sur d’autres systèmes. En 2003, le ver SQL Slammer a infecté 75 000 systèmes en 10 minutes à l’aide d’un seul paquet UDP. En 2017, le rançongiciel WannaCry s’est propagé comme un ver au moyen de l’exploit EternalBlue ciblant SMBv1. Les vers causent des dommages considérables en saturant les réseaux et en distribuant leur charge utile à grande échelle. L’application des correctifs et la segmentation du réseau constituent les principales défenses.

Un cheval de Troie (ou Trojan) est un logiciel malveillant déguisé en logiciel légitime. Contrairement aux virus et aux vers, les Trojan ne s’autorépliquent pas : ils comptent sur l’utilisateur pour les installer, en lui faisant croire qu’il s’agit de quelque chose d’utile : un jeu gratuit, une application piratée, un utilitaire pratique, un faux antivirus ou une mise à jour logicielle. Une fois installé, le Trojan exécute sa charge utile malveillante, qui peut notamment installer une porte dérobée, servir de RAT (Remote Access Trojan), enregistrer les frappes au clavier ou télécharger d’autres logiciels malveillants. Les Trojan sont fréquemment utilisés pour obtenir un accès initial avant de déployer des charges utiles plus dommageables.

L’examen Security+ évalue fréquemment les différences entre ces trois catégories. Les éléments déterminants sont les suivants : les virus nécessitent un fichier hôte et une action humaine pour se propager ; ils infectent des fichiers légitimes. Les vers sont autonomes et autoréplicatifs : ils se propagent automatiquement sur les réseaux, sans s’attacher à d’autres fichiers ni nécessiter d’interaction de l’utilisateur. Les Trojan ne s’autorépliquent pas et reposent sur la tromperie : l’utilisateur doit être incité à les installer. Un logiciel malveillant peut combiner plusieurs caractéristiques (un ver qui dépose une charge utile de type Trojan) ; concentrez-vous donc sur le mécanisme de propagation dominant pour effectuer la classification.

De nombreux Trojan et vers établissent une communication avec un serveur de commande et de contrôle (C2) : un serveur distant qu’un attaquant utilise pour envoyer des instructions aux hôtes infectés. Un grand nombre d’hôtes connectés à une infrastructure C2 constitue un réseau de zombies. Les réseaux de zombies servent aux attaques DDoS, aux campagnes de spam, au minage de cryptomonnaies et au vol d’identifiants. Les communications C2 peuvent utiliser HTTP/HTTPS pour se fondre dans le trafic web normal, le tunneling DNS pour se dissimuler dans les requêtes DNS, ou des protocoles pair à pair qui ne disposent d’aucun serveur central à neutraliser. La détection du trafic C2 nécessite la surveillance DNS, les journaux du proxy et l’analyse des flux réseau afin d’identifier des schémas de Beaconing anormaux.

Les antivirus traditionnels reposent sur la détection basée sur les signatures : ils comparent les fichiers à une base de données de signatures de logiciels malveillants connus (hachages ou motifs de code). Les signatures sont rapides, mais échouent face aux logiciels malveillants nouveaux ou modifiés. La détection comportementale (utilisée par les plateformes EDR) surveille en temps réel le comportement des programmes : création de processus enfants, modification de clés de registre, injection de code dans d’autres processus ou contact avec des IPs connues comme malveillantes. L’analyse heuristique analyse statiquement le code à la recherche de motifs similaires à ceux de logiciels malveillants, sans nécessiter de correspondance exacte avec une signature. La Sandbox exécute les fichiers suspects dans un environnement isolé afin d’observer leur comportement en toute sécurité.

Un virus multipartite utilise simultanément plusieurs vecteurs d’infection : il infecte par exemple à la fois les fichiers exécutables et le secteur d’amorçage. Sa suppression complète est ainsi plus difficile, car le nettoyage d’un seul vecteur laisse l’autre actif et permet une nouvelle infection. Les macrovirus infectent les fichiers de documents en intégrant des macros VBA (Visual Basic for Applications) malveillantes dans les documents Microsoft Office. Lorsque le document est ouvert et que les macros sont activées, le virus s’exécute. Les macrovirus se propagent facilement par le biais de pièces jointes d’email. La principale défense consiste à désactiver les macros par défaut et à n’autoriser que les macros signées numériquement provenant d’éditeurs de confiance.

La prévention de la propagation des logiciels malveillants nécessite des défenses en profondeur. Pour les virus : désactivez l’exécution des macros, analysez tous les transferts de fichiers (passerelle d’email, proxy web, analyse des USB) et maintenez la protection des terminaux à jour. Pour les vers : appliquez rapidement les correctifs (la plupart des exploits de vers ciblent des CVE connues), désactivez les protocoles réseau inutiles (désactivez SMBv1), segmentez les réseaux afin de limiter la portée latérale et imposez une authentification forte sur tous les services en réseau. Pour les Trojan : imposez une liste d’autorisation des applications, apprenez aux utilisateurs à ne pas installer de logiciels non autorisés et vérifiez les hachages des logiciels avant leur installation. La défense en profondeur détecte ce que chaque contrôle individuel ne peut pas détecter.

Les téléchargements furtifs se produisent lorsqu’un site web malveillant ou compromis installe silencieusement un logiciel malveillant lors de sa visite, sans autre action de l’utilisateur que le chargement de la page. Les attaquants exploitent les vulnérabilités des navigateurs ou des modules d’extension (anciennes versions de Flash, Java ou d’un lecteur PDF) pour exécuter du code malveillant. Les attaques par point d’eau consistent à compromettre des sites web légitimes fréquemment visités par la population ciblée, puis à y installer du code de téléchargement furtif afin d’infecter les visiteurs. Au lieu de s’en prendre directement à la cible, l’attaquant « empoisonne le point d’eau » et attend que les victimes s’y rendent. Les défenses comprennent la mise à jour des navigateurs et des modules d’extension, l’utilisation de la lecture à la demande pour les modules et le déploiement d’un proxy web qui bloque les sites malveillants connus.

Lorsqu’un logiciel malveillant est détecté, la réponse suit le cycle de vie IR du NIST. Containment : isolez immédiatement l’hôte infecté (retirez-le du réseau ou appliquez des règles de pare-feu basées sur l’hôte) afin d’empêcher sa propagation. Eradication : recréer l’image système est plus sûr que de tenter un nettoyage en cas d’infection grave ; le nettoyage laisse subsister le risque que des mécanismes de persistance survivent. Préservation des preuves : créez une image de la Memory et une image du Disk avant de recréer l’image système si une analyse criminalistique est nécessaire. Recovery : restaurez à partir de sauvegardes saines, vérifiez leur intégrité et surveillez étroitement les signes de réinfection. Documentez les indicateurs de compromission (IoCs) afin d’améliorer les futures détections.

Testez votre compréhension des concepts CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que les virus s’attachent aux fichiers hôtes et nécessitent une action de l’utilisateur pour se propager, en utilisant notamment le polymorphisme pour échapper à la détection par signature ; que les vers se propagent d’eux-mêmes sur les réseaux sans action de l’utilisateur en exploitant des vulnérabilités, provoquant des infections rapides et de grande ampleur ; et que les Trojan se déguisent en logiciels légitimes pour inciter les utilisateurs à les installer, en établissant souvent des portes dérobées et des communications C2. Nous allons maintenant étudier en détail les rançongiciels et les cryptolockers.