D\u00e9codage<\/h1>\n
Le script \u00e9tant un fichier \u00ab\u00a0.jse\u00a0\u00bb, il est encod\u00e9 par une m\u00e9thode mise au point par Microsoft, mais dont les algorithmes d’encodage et de d\u00e9codage ont \u00e9t\u00e9 d\u00e9couverts en 2013. Le code pr\u00e9sent sur le github suivant : \u00ab\u00a0https:\/\/gist.github.com\/bcse\/1834878<\/a> \u00bb, nous a par exemple permis de le d\u00e9coder.<\/p>\n Le script comprenait plus de 300\u00a0000 lignes de code. Un bref coup d\u2019\u0153il nous a permis de d\u00e9terminer qu\u2019il \u00e9tait obfusqu\u00e9 et que certaines lignes de codes \u00e9taient r\u00e9guli\u00e8rement r\u00e9p\u00e9t\u00e9es. Il devenait donc int\u00e9ressant de se concentrer sur celles-ci afin de r\u00e9duire la taille du script.<\/p>\n Ainsi nous avons identifi\u00e9 8 parties du code diff\u00e9rentes qui pouvaient \u00eatre modifi\u00e9es afin d’inverser l’obfuscation.<\/p>\n 1.<\/p>\n Ces lignes de code apparaissent pr\u00e8s de 4\u00a0000 fois et sont en r\u00e9alit\u00e9 \u00e9quivalentes \u00e0 la premi\u00e8re lettre de la d\u00e9claration de fonction. Ici, le terme \u00ab\u00a0function(pika666)\u00a0\u00bb devient ‘f’.<\/p>\n 2.<\/p>\n 3.<\/p>\n 4.<\/p>\n 5.<\/p>\n Ici la lettre retourn\u00e9e est la lettre ‘p’ (la 6\u00e8me lettre de la concat\u00e9nation de \u00ab\u00a0true\u00a0\u00bb et \u00ab\u00a0Ap\u00a0\u00bb) .<\/p>\n 6.<\/p>\n Comme pour le cas pr\u00e9c\u00e8dent c’est la 4\u00e8me lettre du terme \u00ab\u00a0false\u00a0\u00bb qui est retourn\u00e9e, soit ‘s’.<\/p>\n 7.<\/p>\n Les noms de variable sont aussi obfusqu\u00e9s gr\u00e2ce \u00e0 l’utilisation des caract\u00e8res Unicode. Par exemple, la variable \u00ab\u00a0hashhere\u00a0\u00bb vaudra la valeur suivante : \u00ab\u00a0\\u0068\\u0061\\u0073\\u0068\\u0068\\u0065\\u0072\\u0065\u00a0\u00bb.<\/p>\n Pour conclure, le code d\u00e9sobfusqu\u00e9 comprend moins de 300 lignes et devient donc plus facilement analysable.<\/p>\n L’analyse du script d\u00e9sobfusqu\u00e9 montre rapidement que les 19 premi\u00e8res lignes sont des d\u00e9clarations de variables qui ne seront pas utilis\u00e9es.<\/p>\n Parmi les autres variables int\u00e9ressantes on remarque principalement les suivantes :<\/p>\n Si le nom du script est diff\u00e9rent d’\u00ab adobeupd.jse \u00bb et s’il ne figure pas dans le dossier \u00ab\u00a0d\u00e9marrage\u00a0\u00bb de l’utilisateur courant, le script affichera une popup<\/span> affirmant que le script est endommag\u00e9 et ne peux pas \u00eatre r\u00e9par\u00e9.<\/p>\n En effet, la variable \u00ab\u00a0zoUowhich43\u00a0\u00bb sert \u00e0 r\u00e9cup\u00e9rer le dossier ‘d\u00e9marrage’ de l’utilisateur courant comme nous l’explique la documentation de Microsoft (cf. lien [2]<\/a>\u00a0et [3]<\/a> pour plus de pr\u00e9cisions).<\/p>\n Apr\u00e8s remplacement des variables int\u00e9ressantes, le code devient le suivant :<\/p>\n La variable \u00ab\u00a0pills\u00a0\u00bb n’existant pas, une exception sera lev\u00e9e et captur\u00e9e par le bloc \u00ab\u00a0catch\u00a0\u00bb. Le code du script est sauvegard\u00e9 dans une variable qui servira plus tard afin de tenter une propagation lat\u00e9rale.<\/p>\n <\/p>\n Le script bouclera ensuite 4 millions de fois avant de v\u00e9rifier la pr\u00e9sence ou non d’une liste de processus ou de noms d’utilisateur pr\u00e9sents sur le poste infect\u00e9.<\/p>\n Cette liste est la suivante :<\/p>\n Dans le cas o\u00f9 l’une de ces entr\u00e9es est d\u00e9tect\u00e9e, le script fera appel \u00e0 une variable non d\u00e9finie, provoquant son arr\u00eat. Ce comportement a donc pour objectif de limiter les capacit\u00e9s des environnements d’analyse.<\/p>\n Une fois ces v\u00e9rifications effectu\u00e9es, le script se copiera dans le fichier ‘adobeupd.jse’ du dossier ‘d\u00e9marrage’ de l’utilisateur, lui permettant d’assurer sa persistance.<\/p>\n Il r\u00e9cup\u00e9rera par la suite la charge active (ici un ex\u00e9cutable) depuis l’URL \u00ab\u00a0hxxps:\/\/185.130.104[.]178:4444\u00a0\u00bb. On remarquera le port 4444 qui est, entre autre, le port du framework Metasploit, mais aussi de nombreux chevaux de Troie. La charge active est plac\u00e9e dans le dossier temporaire et a pour nom un nombre al\u00e9atoire suivi de l’extension \u00ab\u00a0.exe\u00a0\u00bb. La charge active pourra aussi \u00eatre plac\u00e9e dans le m\u00eame dossier, avec l’extension ‘.ioi’ et encod\u00e9e en base64.<\/p>\n Si la cr\u00e9ation du fichier \u00ab\u00a0.exe\u00a0\u00bb a \u00e9chou\u00e9, le script va tenter de se propager dans le but de trouver une machine vuln\u00e9rable. Pour ce faire, il va chercher les fichiers dont l’extension fait partie de la liste contenue\u00a0dans la variable \u00ab\u00a0ext789\u00a0\u00bb et se trouvant sur\u00a0les lecteurs amovibles et les lecteurs r\u00e9seaux (\u00ab\u00a0DriveType\u00a0\u00bb 3 ou 1). Les extensions recherch\u00e9es sont les suivantes :<\/p>\n La liste compl\u00e8te des fichiers trouv\u00e9s sera enregistr\u00e9e dans le\u00a0fichier \u00ab\u00a0%TEMP%\\yaper.txt\u00a0\u00bb. Le script se r\u00e9pliquera ensuite en rempla\u00e7ant tous ces fichiers par le contenu du script et en rempla\u00e7ant l’extension par\u00a0\u00ab\u00a0.jse\u00a0\u00bb. Il supprimera\u00a0ensuite \u00ab\u00a0yaper.txt\u00a0\u00bb.<\/p>\n Finalement le script ex\u00e9cutera la charge active pr\u00e9c\u00e9demment t\u00e9l\u00e9charg\u00e9e et tentera de nettoyer ces traces en supprimant tous les fichiers du dossier temporaire et ayant pour extension \u00ab\u00a0.exe\u00a0\u00bb, \u00ab\u00a0.ioi\u00a0\u00bb et \u00ab\u00a0.txt\u00a0\u00bb.<\/p>\n Une infection par ce programme pourrait entra\u00eener deux cons\u00e9quences : soit l’infection par la charge active, que nous sommes en train d’analyser, soit la suppression de tous les fichiers pr\u00e9sents sur les lecteurs r\u00e9seaux et amovibles accessibles depuis l’ordinateur infect\u00e9.<\/p>\n Une possibilit\u00e9 de mitigation est de surveiller le trafic sortant vers 185.130.104[.]178. Il est par ailleurs conseill\u00e9 de bloquer les communications sortantes vers le port 4444 de fa\u00e7on g\u00e9n\u00e9rale ainsi que de mettre son utilisation sous surveillance, ce port \u00e9tant tr\u00e8s r\u00e9guli\u00e8rement utilis\u00e9 pour des communications ill\u00e9gitimes.<\/p>\n De plus il est possible de modifier le programme ex\u00e9cutant par d\u00e9faut les scripts \u00ab\u00a0jse\u00a0\u00bb pour le remplacer par le bloc-notes par exemple. Ainsi si un utilisateur double-clic sur un script \u00ab\u00a0jse\u00a0\u00bb malveillant il ne sera pas ex\u00e9cut\u00e9 mais ouvert dans le bloc-notes. Plus d’informations sur cette m\u00e9thode dans notre guide de lutte contre les ransomwares [ici]<\/a>.<\/p>\n [1]\u00a0https:\/\/gist.github.com\/bcse\/1834878<\/a><\/p>\n [2]\u00a0https:\/\/technet.microsoft.com\/fr-fr\/library\/bb774085.aspx<\/a><\/p>\n [3]\u00a0https:\/\/technet.microsoft.com\/fr-fr\/library\/bb774096.aspx<\/a><\/p>\nD\u00e9sobfuscation<\/h1>\n
![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/1.png\" "\\"Exemple")
<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/2.png\")
De m\u00eame, ces lignes retournent la lettre ‘F’, ici en majuscule gr\u00e2ce \u00e0 la fonction \u00ab\u00a0toUpperCase()\u00a0\u00bb.<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/3.png\")
Ces lignes de code apparaissent plus de 36 000 fois et retournent syst\u00e9matiquement la valeur de \u00ab\u00a0po9_0\u00a0\u00bb (i.e. ‘i’). Le nom des variables est al\u00e9atoire, ce qui rend plus difficile le remplacement automatique de ces lignes.<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/4.png\")
La quatri\u00e8me partie \u00e9quivaut \u00e0 \u00ab\u00a0String[‘fromCharCode’](114)\u00a0\u00bb, soit la lettre ‘r’.<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/5.png\")
<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/6.png\")
<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/7.png\")
<\/p>\nAnalyse comportementale<\/h1>\n
\n
![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/error.png\")
<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/after.png\")
<\/p>\n\n
![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/process.png\")
<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/05\/extensions.png\")
<\/p>\nImpact et mitigation<\/h1>\n
Extraction des IOCs<\/h1>\n
\n
Sources<\/h1>\n