![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2017\/10\/site-logo-300x300.png\"){kind=logo}
<\/p>\n[et_pb_section bb_built=\u00a0\u00bb1″][et_pb_row][et_pb_column type=\u00a0\u00bb4_4″][et_pb_text]<\/p>\n
<\/p>\n
Intrinsec \u00e9tait pr\u00e9sent cette ann\u00e9e pour la treizi\u00e8me \u00e9dition de Hack.lu, une conf\u00e9rence de s\u00e9curit\u00e9 se d\u00e9roulant au Luxembourg pendant trois jours (du 17 au 19 octobre 2017). Nous vous proposons avec cet article, une s\u00e9lection des conf\u00e9rences qui nous ont le plus int\u00e9ress\u00e9s. En effet, le programme de cette ann\u00e9e \u00e9tait relativement charg\u00e9 avec pas moins de 35 conf\u00e9rences en 3 jours. La quasi-totalit\u00e9 des conf\u00e9rences a \u00e9t\u00e9 film\u00e9e et peut \u00eatre retrouv\u00e9e sur une playlist YouTube d\u00e9di\u00e9e\u00a0: https:\/\/www.youtube.com\/playlist?list=PLCxOaebc_2yNlOGhuOjInlJvr0Ktb_FYz<\/a><\/p>\n S\u00e9bastien (blotus) Blot, Thibault (buixor) Koechlin, Julien (jvoisin) Voisin<\/em><\/p>\n Par d\u00e9faut, le langage PHP est relativement permissif, et peu de m\u00e9thodes existent pour en renforcer la s\u00e9curit\u00e9. Une solution comme Suhosin est \u00e0 proscrire, ce module n\u2019\u00e9tant pas \u00ab\u00a0PHP7 ready\u00a0\u00bb<\/em>. Outre les m\u00e9thodes classiques comme le renforcement du syst\u00e8me d\u2019exploitation ou la mise en place de WAF, les ing\u00e9nieurs de la soci\u00e9t\u00e9 NBS ont donc d\u00e9cid\u00e9 de d\u00e9velopper leur propre outil de virtual patching<\/em> pour PHP, \u00ab\u00a0Snuffleupagus\u00a0\u00bb.<\/em><\/p>\n Celui-ci se pr\u00e9sente sous la forme d’un module Apache qu’il est possible de configurer pour emp\u00eacher l\u2019acc\u00e8s \u00e0 certaines fonctions telles que system()<\/em> dans certaines parties de l’application ou interdire certains caract\u00e8res dans les arguments. Les pr\u00e9sentateurs ont \u00e9galement montr\u00e9 comment le module permettait de se prot\u00e9ger contre des vuln\u00e9rabilit\u00e9s d\u00e9couvertes dans des produits tels que Roundcube ou WordPress.<\/p>\n Lien YouTube\u00a0: https:\/\/www.youtube.com\/watch?v=RzaRiuJ6MkI<\/a><\/p>\n Paul Rascagn\u00e8res<\/em><\/p>\n Avec le d\u00e9veloppement de nombreuses applications bas\u00e9es sur le framework .NET, il n\u2019est pas \u00e9tonnant que de plus en plus de malwares reposent eux aussi sur ce framework, \u00e0 travers l\u2019utilisation du langage Powershell par exemple.<\/p>\n Paul Rascagn\u00e8res chercheur en s\u00e9curit\u00e9 chez Talos, nous a pr\u00e9sent\u00e9 comment utiliser le debugger WinDBG afin d\u2019analyser des applications reposant sur le framework .NET \u00e0 travers deux cas d\u2019usage\u00a0:<\/p>\n Gr\u00e2ce \u00e0 l\u2019utilisation de l\u2019extension SOS, Windbg supporte pleinement le framework .NET et est donc un outil de choix lorsqu\u2019il est n\u00e9cessaire d\u2019analyser des codes malveillants ou des scripts reposant sur ce framework. Paul a fini la pr\u00e9sentation par une d\u00e9monstration d’un script python permettant d’automatiser l’analyse de fichier PowerShell malveillant disponible sur GitHub : dotNET_WinDBG<\/a><\/p>\n Lien YouTube\u00a0: https:\/\/www.youtube.com\/watch?v=0mVaSm9WBRA<\/a><\/p>\n Maxime Clementz, Antoine Goichot<\/em><\/p>\n LAPS est la solution recommand\u00e9e par Microsoft pour la gestion des mots de passe des administrateurs locaux dans les parcs Windows. Nous vous l’avions d\u00e9j\u00e0 pr\u00e9sent\u00e9e sur ce blog : Microsoft LAPS : gestion des mots de passe des administrateurs locaux<\/a><\/p>\n Cette solution, bas\u00e9e sur le logiciel AdmPwd<\/em> utilise sur les postes une DLL appel\u00e9e par la GPO et charg\u00e9e du renouvellement. Les deux chercheurs de PwC ont pr\u00e9sent\u00e9 leur travail sur le d\u00e9tournement de la DLL afin d’\u00e9lever ses privil\u00e8ges sur le poste ou \u00e0 des fins de persistance.<\/p>\n En effet, aucune v\u00e9rification d’int\u00e9grit\u00e9 ou de signature n’est faite sur la DLL, un attaquant pourrait donc \u00eatre en mesure d’alt\u00e9rer le fonctionnement nominal de la DLL en la rempla\u00e7ant par une DLL malveillante. La d\u00e9monstration s’est ax\u00e9e autour de deux fonctionnalit\u00e9s, le changement du mot de passe \u00e0 volont\u00e9 et la capacit\u00e9 de sauvegarder le mot de passe \u00e0 chaque changement dans un fichier texte. Bien \u00e9videmment, par d\u00e9faut la DLL ne peut pas \u00eatre modifi\u00e9e par un utilisateur standard, il conviendra donc de v\u00e9rifier les droits que l’utilisateur poss\u00e8de sur le fichier, et que les mises \u00e0 jour sont bien appliqu\u00e9es sur le poste de travail.<\/p>\n Lien YouTube\u00a0: https:\/\/www.youtube.com\/watch?v=opSctm4L8kE<\/a><\/p>\n Sheila Ayelen Berta, Claudio Caracciolo<\/em><\/p>\n Sheila Ayelen Berta a fait une d\u00e9monstration des outils qu\u2019elle a pu d\u00e9velopper au cours de ses recherches sur les voitures \u00ab\u00a0non connect\u00e9es\u00a0\u00bb \u00e9quip\u00e9es d\u2019un bus CAN. L\u2019objectif \u00e9tant d\u2019identifier comment le bus CAN communique avec les \u00e9l\u00e9ments de la voiture, dans le but d\u2019ins\u00e9rer une backdoor au sein du v\u00e9hicule et d\u00e9clencher des actions \u00e0 distance.<\/p>\n Dans un premier temps, la pr\u00e9sentation s\u2019est concentr\u00e9e sur les m\u00e9thodes permettant d\u2019auditer les bus CAN des diff\u00e9rentes voitures dans le but d\u2019intercepter les messages transmis afin de le rejouer. Une fois les messages identifi\u00e9s, l\u2019outil Car Backdoor Maker<\/em> entre en sc\u00e8ne et permet de charger une liste d\u2019instructions sur un \u00e9quipement que l\u2019on branche ensuite sur la voiture victime.<\/p>\n Une fois la backdoor mise en place, il est possible de d\u00e9clencher des actions \u00e0 distance gr\u00e2ce \u00e0 l\u2019envoi d\u2019un simple SMS. Il est \u00e9galement possible de d\u00e9clencher des actions en fonction de la position GPS de la voiture.<\/p>\n Lien YouTube\u00a0: https:\/\/www.youtube.com\/watch?v=9UASD7CE4lY<\/a><\/p>\n Niels van Dijkhuizen<\/em><\/p>\n Les attaques utilisant l’\u00e9mulation de p\u00e9riph\u00e9riques USB ne sont pas nouvelles, cependant elles poss\u00e8dent toutes les m\u00eames faiblesses\u00a0: il est n\u00e9cessaire d’acc\u00e9der \u00e0 un poste non verrouill\u00e9 et les outils actuels ne sont pas capables d\u2019intercepter et d\u2019injecter en m\u00eame temps. De plus, il existe maintenant plusieurs protections permettant de se pr\u00e9munir contre ces attaques, on peut par exemple citer USG<\/em>, USBProxy<\/em> ou encore USBGuard<\/em>. Niels a ensuite pr\u00e9sent\u00e9 sa solution permettant d’intercepter et d’injecter du contenu par USB, tout en contournant les diverses contremesures existantes.<\/p>\n Son implant se compose d’un boitier USB qui se place en interception du clavier, et clonant les caract\u00e9ristiques USB de celui-ci (identifiant, voltage, \u2026) et d’un boitier compagnon. Afin de donner des ordres \u00e0 l’intercepteur, les deux boitiers communiquent en 433 MHz, le compagnon peut ensuite \u00eatre contact\u00e9 \u00e0 distance \u00e0 l’aide d’une connexion 4G. Il devient alors possible de g\u00e9rer le compagnon et l’intercepteur depuis son smartphone.<\/p>\n La pr\u00e9sentation s’est conclue sur une d\u00e9monstration du dispositif, tr\u00e8s int\u00e9ressant dans le cadre d’un red team.<\/p>\n Lien YouTube\u00a0: https:\/\/www.youtube.com\/watch?v=gHqIIU-Ys6M<\/a><\/p>\n Clement Rouault, Thomas Imbert<\/em><\/p>\n Dans la lign\u00e9e de leur conf\u00e9rence courte \u00e0 BeeRumP \u00ab\u00a0From ALPC to UAC Bypass\u00a0\u00bb<\/a> et dans le but d’obtenir un contournement de l’UAC (User Access Control)<\/em>, ils se sont int\u00e9ress\u00e9s au fonctionnement de ALPC (Advanced Local ProcedureCall)<\/em>. Ce m\u00e9canisme permet la communication entre plusieurs processus en mode client\/serveur. Ils se sont particuli\u00e8rement int\u00e9ress\u00e9s aux fonctions de RPC-over-ALPC<\/em>.<\/p>\n Apr\u00e8s avoir d\u00e9crit le fonctionnement d’ALPC, ils ont pr\u00e9sent\u00e9 les \u00e9tapes de reverse engineering<\/em> leur ayant permis de comprendre la structure des \u00e9changes ALPC. Cela leur a permis de cr\u00e9er une biblioth\u00e8que Python, PythonForWindows<\/a>, permettant de simplifier la mise en place d’\u00e9changes ALPC.<\/p>\n \u00c0 l’aide de ces messages ALPC et RPC ils ont \u00e9t\u00e9 en mesure de fuzzer le protocole et de trouver de nombreuses vuln\u00e9rabilit\u00e9s. Dont notamment un contournement de l’UAC, r\u00e9f\u00e9renc\u00e9 sous l\u2019identifiant CVE-2017-11783. La conf\u00e9rence a pr\u00e9sent\u00e9 l’ensemble des d\u00e9tails techniques permettant de recr\u00e9er le code d’exploitation.<\/p>\n Lien YouTube\u00a0: https:\/\/www.youtube.com\/watch?v=D-F5RxZ_yXc<\/a><\/p>\n Au cours de cette pr\u00e9sentation, deux Hackers ayant \u00e9t\u00e9 arr\u00eat\u00e9s pour des crimes informatiques sont venus t\u00e9moigner et faire part de leur histoire depuis leur arrestation, jusqu\u2019\u00e0 leur d\u00e9tention. \u00c0 travers ces t\u00e9moignages ils ont tent\u00e9 de transmettre au public les \u00ab\u00a0bonnes pratiques\u00a0\u00bb \u00e0 adopter en cas d\u2019arrestation, les comportements \u00e0 avoir une fois en prison, ainsi que la mani\u00e8re dont ils ont g\u00e9r\u00e9 \u00ab\u00a0l\u2019apr\u00e8s\u00a0\u00bb. Nous n\u2019entrerons pas plus dans les d\u00e9tails, aucun support de pr\u00e9sentation ou vid\u00e9o n\u2019\u00e9tant disponible, \u00e0 la demande des pr\u00e9sentateurs.<\/p>\n Ange Albertini<\/em><\/p>\n Au cours de cette keynote, Ange Albertini a d\u00e9cid\u00e9 de nous donner sa vision concernant les \u00ab\u00a0\u00e9checs\u00a0\u00bb dans le monde de la s\u00e9curit\u00e9 informatique. Il ne s\u2019agissait pas ici de pointer du doigt les diff\u00e9rents acteurs du milieu, mais plut\u00f4t d\u2019amener chacun \u00e0 r\u00e9fl\u00e9chir sur sa capacit\u00e9 \u00e0 accepter les \u00e9checs et pers\u00e9v\u00e9rer. Il est complexe de r\u00e9sumer en quelques phrases tous les messages qui ont pu \u00eatre d\u00e9livr\u00e9s au cours de cette pr\u00e9sentation, mais le discours a toujours \u00e9t\u00e9 bienveillant. Nous vous recommandons bien entendu de regarder la vid\u00e9o compl\u00e8te, qui fera \u00e9cho chez les d\u00e9butants comme les confirm\u00e9s.<\/p>\n Lien YouTube\u00a0: https:\/\/www.youtube.com\/watch?v=erZ2JlfTtcE<\/a><\/p>\n Thomas Patzke<\/em><\/p>\n Lorsqu\u2019il s\u2019agit d\u2019analyser des logs et d\u00e9tecter des attaques, aucun format standardis\u00e9 n\u2019existe actuellement, comme c\u2019est le cas pour Yara ou Snort au niveau r\u00e9seau. C\u2019est \u00e0 ce probl\u00e8me que SIGMA tente de r\u00e9pondre.<\/p>\n \u00c0 travers la cr\u00e9ation de r\u00e8gles au format YAML, SIGMA permet d\u2019analyser les logs et d\u00e9tecter des attaques qui pourraient survenir sur un syst\u00e8me ou une application web. \u00c0 titre d\u2019exemple, Thomas Patzke a pr\u00e9sent\u00e9 des exemples concrets d\u2019utilisation de SIGMA, tels que\u00a0:<\/p>\n La grande force de cet outil est qu\u2019il embarque un convertisseur permettant de g\u00e9n\u00e9rer des requ\u00eates pr\u00eates \u00e0 l\u2019emploi pour des outils comme Splunk ou ElasticSearch. Cet outil est open source et semble prometteur au vu des fonctionnalit\u00e9s qu\u2019il propose.<\/p>\nSnuffleupagus<\/h1>\n
WinDBG & Powershell<\/h1>\n
\n
Malicious use of Microsoft \u201cLocal Administrator Password Solution\u201d<\/h1>\n
The Bicho: An Advanced Car Backdoor Maker<\/h1>\n
Keynterceptor: Press any key to continue<\/h1>\n
A view into ALPC-RPC<\/h1>\n
The untold stories of Hackers in detention<\/h1>\n
Infosec and failures<\/h1>\n
SIGMA\u00a0: Generic signatures for log events<\/h1>\n
\n