{"id":220553,"date":"2020-03-20T10:07:04","date_gmt":"2020-03-20T09:07:04","guid":{"rendered":"https:\/\/www.intrinsec.com\/?p=220553"},"modified":"2020-03-20T10:07:04","modified_gmt":"2020-03-20T09:07:04","slug":"fausse-attestation-deplacement","status":"publish","type":"post","link":"https:\/\/www.intrinsec.com\/en\/fausse-attestation-deplacement\/","title":{"rendered":"Analysis of a fake travel certificate"},"content":{"rendered":"[et_pb_section fb_built=\u00a0\u00bb1″ admin_label=\u00a0\u00bbsection\u00a0\u00bb _builder_version=\u00a0\u00bb3.22″][et_pb_row admin_label=\u00a0\u00bbrow\u00a0\u00bb _builder_version=\u00a0\u00bb3.25″ background_size=\u00a0\u00bbinitial\u00a0\u00bb background_position=\u00a0\u00bbtop_left\u00a0\u00bb background_repeat=\u00a0\u00bbrepeat\u00a0\u00bb custom_margin=\u00a0\u00bb-9px|auto||auto||\u00a0\u00bb][et_pb_column type=\u00a0\u00bb4_4″ _builder_version=\u00a0\u00bb3.25″ custom_padding=\u00a0\u00bb|||\u00a0\u00bb custom_padding__hover=\u00a0\u00bb|||\u00a0\u00bb][et_pb_text admin_label=\u00a0\u00bbText\u00a0\u00bb _builder_version=\u00a0\u00bb4.4.1″ text_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb text_font_size=\u00a0\u00bb17px\u00a0\u00bb header_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb header_text_color=\u00a0\u00bb#e02b20″ header_2_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb header_2_text_color=\u00a0\u00bb#c91f1c\u00a0\u00bb header_2_font_size=\u00a0\u00bb29px\u00a0\u00bb background_size=\u00a0\u00bbinitial\u00a0\u00bb background_position=\u00a0\u00bbtop_left\u00a0\u00bb background_repeat=\u00a0\u00bbrepeat\u00a0\u00bb min_height=\u00a0\u00bb159px\u00a0\u00bb custom_padding=\u00a0\u00bb||0px|||\u00a0\u00bb]

En cette p\u00e9riode de pand\u00e9mie, une adaptation du travail a \u00e9t\u00e9 n\u00e9cessaire dans le cadre des mesures prises par le<\/strong>
gouvernement<\/strong>, s\u2019accompagnant de documents administratifs de toutes natures. De fausses versions de certains documents sont utilis\u00e9s par des acteurs malveillants pour mener des attaques. Cet article pr\u00e9sente un exemple de document malveillant<\/strong> (en l\u2019occurrence un mod\u00e8le d\u2019attestation de d\u00e9placement professionnel).<\/p>\n

<\/p>\n

Ce mod\u00e8le de document a \u00e9t\u00e9 trouv\u00e9 sur un faux forum apr\u00e8s une simple recherche Google<\/em> <\/strong>sur \u00ab\u00a0mod\u00e8le attestation d\u00e9placement\u00a0\u00bb. En cliquant sur le lien du \u00a0faux forum, un zip, h\u00e9berg\u00e9 sur un autre site, contenant le fichier malveillant (mod\u00e8le_attestation_d\u00e9placement_professionnel.js<\/em>) est t\u00e9l\u00e9charg\u00e9, comme vous pouvez le voir sur la Figure 1.<\/p>\n

<\/p>\n

<\/p>\n

<\/p>[\/et_pb_text][et_pb_image src=\u00a0\u00bbhttps:\/\/www.intrinsec.com\/wp-content\/uploads\/2020\/03\/figure1-3.png\u00a0\u00bb _builder_version=\u00a0\u00bb4.4.1″ hover_enabled=\u00a0\u00bb0″][\/et_pb_image][et_pb_text _builder_version=\u00a0\u00bb4.4.1″ text_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb text_font_size=\u00a0\u00bb16px\u00a0\u00bb]

Figure 1\u00a0: Faux forum dont provient le document malveillant<\/em><\/span><\/p>\n

Nous allons pr\u00e9senter l\u2019analyse du code Javascript obfusqu\u00e9.<\/p>[\/et_pb_text][et_pb_text admin_label=\u00a0\u00bbText\u00a0\u00bb _builder_version=\u00a0\u00bb4.4.1″ text_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb text_font_size=\u00a0\u00bb17px\u00a0\u00bb header_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb header_text_color=\u00a0\u00bb#e02b20″ header_2_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb header_2_text_color=\u00a0\u00bb#c91f1c\u00a0\u00bb header_2_font_size=\u00a0\u00bb29px\u00a0\u00bb background_size=\u00a0\u00bbinitial\u00a0\u00bb background_position=\u00a0\u00bbtop_left\u00a0\u00bb background_repeat=\u00a0\u00bbrepeat\u00a0\u00bb]

<\/span><\/p>\n

Analyse statique<\/span><\/p>\n

<\/p>\n

Fonction de d\u00e9sobfuscation\u00a0:<\/em><\/strong> les cha\u00eenes de caract\u00e8res obfusqu\u00e9es (QX95<\/em>sur la figure 2) vont \u00eatre d\u00e9sobfusqu\u00e9es, \u00e0 l\u2019aide d\u2019une des fonctions du code, de la mani\u00e8re suivante\u00a0: chacun de leurs caract\u00e8res est concat\u00e9n\u00e9 \u00e0 la variable constituant la cha\u00eene d\u00e9sobfusqu\u00e9e (WB37<\/em>) suivant la parit\u00e9 de l\u2019indice de la boucle while <\/em>(vI4880<\/em>).<\/p>\n

<\/p>\n

<\/p>\n

\n
\"\"<\/em>\n

 <\/p>\n

 <\/p>\n

Figure 2\u00a0: Fonction de d\u00e9sobfuscation<\/em><\/span><\/figcaption>\n<\/figure>\n<\/div>\n

<\/p>\n

<\/p>\n

\n
\"\"\n

 <\/p>\n

 <\/p>\n

Figure 3 : Premi\u00e8re cha\u00eene obfusqu\u00e9e<\/em><\/span><\/figcaption>\n<\/figure>\n<\/div>\n

<\/p>\n

Le programme fait appel \u00e0 la fonction (JO58<\/em>) pr\u00e9sent\u00e9e pr\u00e9c\u00e9demment pour d\u00e9sobfusquer la cha\u00eene.<\/p>\n

<\/p>\n

<\/p>\n

\n
\"\"\n

 <\/p>\n

 <\/p>\n

Figure 4 : Premi\u00e8re cha\u00eene d\u00e9sobfusqu\u00e9e<\/em><\/span><\/figcaption>\n<\/figure>\n<\/div>\n

<\/p>\n

Le programme cr\u00e9e un objet permettant d\u2019acc\u00e9der au syst\u00e8me de fichiers. Il va ensuite, si celui-ci n\u2019existe pas d\u00e9j\u00e0, cr\u00e9er le fichier XS594362.tmp dans le r\u00e9pertoire temporaire de la victime (ce r\u00e9pertoire est donn\u00e9 par la variable d\u2019environnement temp). On constate la pr\u00e9sence d\u2019une seconde cha\u00eene de caract\u00e8res obfusqu\u00e9e.<\/p>\n

<\/p>\n

<\/p>\n

\"\"\n

 <\/p>\n

 <\/p>\n

Figure 5 : Seconde cha\u00eene obfusqu\u00e9e<\/em><\/span><\/figcaption>\n<\/figure>\n

<\/p>\n

Le programme fait de nouveau appel \u00e0 la fonction (JO58<\/em>) pour d\u00e9sobfusquer.<\/p>\n

<\/p>\n

<\/p>\n

\n
\"\"\n

 <\/p>\n

 <\/p>\n

Figure 6 : Seconde cha\u00eene d\u00e9sobfusqu\u00e9e<\/em><\/span><\/figcaption>\n<\/figure>\n<\/div>\n

<\/p>\n

On trouve au d\u00e9but de ce code une liste de trois URLs. Les instructions pr\u00e9sent\u00e9es ci-dessous seront effectu\u00e9es pour les 3 URLs (boucle while<\/em>).<\/p>\n

Le programme cr\u00e9e un objet permettant les communications entre serveurs<\/strong>. Il va ensuite g\u00e9n\u00e9rer un nombre al\u00e9atoire et proc\u00e9der \u00e0 une requ\u00eate GET sur la premi\u00e8re URL en demandant la ressource forum.php <\/em>et en passant en param\u00e8tre le nombre al\u00e9atoire. Lors de la r\u00e9ception de la r\u00e9ponse, si le status code <\/em>est diff\u00e9rent de 200, le programme suspend temporairement l\u2019ex\u00e9cution du script. Dans le cas contraire, il recherche le nombre al\u00e9atoire, g\u00e9n\u00e9r\u00e9 pr\u00e9c\u00e9demment, dans la r\u00e9ponse. Si il le trouve, il calcule la variable Yp13<\/em> et ex\u00e9cute l\u2019instruction VU11[3](Yp13)()<\/em>.<\/p>\n

Ces deux instructions ne peuvent pas \u00eatre analys\u00e9es statiquement en l\u2019\u00e9tat car elles d\u00e9pendent de la r\u00e9ponse du serveur.<\/p>\n

<\/p>\n

<\/p>\n

Analyse dynamique<\/h2>\n

<\/p>\n

Lors de l\u2019ex\u00e9cution du script en environnement contr\u00f4l\u00e9, on constate la cr\u00e9ation du fichier XS594362.tmp<\/em>, dans le r\u00e9pertoire temporaire de l\u2019utilisateur et dans les donn\u00e9es captur\u00e9es par procmon<\/em>
(figure 7).<\/p>\n

<\/p>\n

On observe les r\u00e9solutions de domaines, les requ\u00eates et les r\u00e9ponses http en effectuant une capture des flux r\u00e9seaux \u00e0 l\u2019ex\u00e9cution du script (Figures 8 et 10). On sch\u00e9matise les communications \u00e0 l\u2019aide de procdot (corr\u00e9lation sortie de procmon <\/em>et capture Wireshark<\/em> simultan\u00e9e, Figure 9).<\/p>\n

<\/p>\n

<\/p>\n

\"\"\n

 <\/p>\n

 <\/p>\n

Figure 7 : Traces d\u2019ex\u00e9cution (procmon)<\/em><\/span><\/figcaption>\n<\/figure>\n

<\/p>\n

<\/p>\n

\"\"\n

 <\/p>\n

 <\/p>\n

Figure 8 : Traces r\u00e9seau (Wireshark)<\/em><\/span><\/figcaption>\n<\/figure>\n

<\/p>\n

<\/p>\n

\"\"\n

 <\/p>\n

 <\/p>\n

Figure 9 : Communication du javascript malveillant (downloader) avec les 3 URLs<\/em><\/span><\/figcaption>\n<\/figure>\n

<\/p>\n

Malheureusement, les r\u00e9ponses aux requ\u00eates GET du script ne contiennent pas de charge utile (comme vous pouvez le voir sur la Figure 10), m\u00eame si leur status code<\/em> est 200. Nous ne pouvons donc pas aller plus loin dans cette analyse. En revanche, le CERT Intrinsec a rencontr\u00e9 le m\u00eame acteur et le m\u00eame proc\u00e9d\u00e9 en 2019 avec la distribution du ran\u00e7ongiciel Gandcrab <\/em>[1] et en 2020 avec la distribution du malware Gootkit<\/em>.<\/p>\n

<\/p>\n

<\/p>\n

\"\"<\/figure>\n

<\/p>\n

<\/p>\n

<\/p>[\/et_pb_text][et_pb_text _builder_version=\u00a0\u00bb4.4.1″ text_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb text_font_size=\u00a0\u00bb16px\u00a0\u00bb header_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb header_text_color=\u00a0\u00bb#e02b20″ header_2_font=\u00a0\u00bbNunito Sans||||||||\u00a0\u00bb header_2_text_color=\u00a0\u00bb#c91f1c\u00a0\u00bb header_2_font_size=\u00a0\u00bb29px\u00a0\u00bb]

Indicateurs<\/h2>\n

<\/p>\n

<\/p>\n