{"id":25163,"date":"2024-09-12T09:07:21","date_gmt":"2024-09-12T17:07:21","guid":{"rendered":"http:\/\/www.palada.net\/index.php\/2024\/09\/12\/news-18893\/"},"modified":"2024-09-12T09:07:21","modified_gmt":"2024-09-12T17:07:21","slug":"news-18893","status":"publish","type":"post","link":"https:\/\/www.palada.net\/index.php\/2024\/09\/12\/news-18893\/","title":{"rendered":"Poortry et Stonestop : am\u00e9lioration d\u2019un outil d’attaque (EDR Killer) qui affecte les ordinateurs Windows"},"content":{"rendered":"

Credit to Author: Nicolas Pommier| Date: Thu, 29 Aug 2024 17:05:40 +0000<\/strong><\/p>\n

\n

En 2022 et 2023, Sophos X-Ops<\/a> a publi\u00e9 une \u00e9tude sur un ensemble d’outils permettant de saboter les fonctions des logiciels de protection endpoint<\/a>, d\u00e9velopp\u00e9s et utilis\u00e9s en collaboration avec plusieurs gangs de ransomware majeurs. Mandiant<\/em> avait pr\u00e9c\u00e9demment nomm\u00e9 cet outil Poortry<\/em> et son application de chargement Stonestop<\/em>.<\/p>\n

Les cr\u00e9ateurs de l\u2019outil Poortry<\/strong> ont r\u00e9ussi \u00e0 faire signer des pilotes au niveau du noyau, sp\u00e9cialement con\u00e7us et personnalis\u00e9s, via le processus de signature d\u2019attestation de Microsoft. Apr\u00e8s avoir publi\u00e9 nos recherches (et apr\u00e8s le traitement par Microsoft de cette faille qui permettait \u00e0 ces pilotes d\u2019\u00eatre sign\u00e9s), les cr\u00e9ateurs de l\u2019outil ne se sont pas arr\u00eat\u00e9s l\u00e0. Ils ont continu\u00e9 \u00e0 ajouter des fonctionnalit\u00e9s au pilote Poortry<\/em>, dans une tentative continue d’\u00e9chapper \u00e0 la d\u00e9tection et de trouver de nouvelles fa\u00e7ons de d\u00e9sactiver les logiciels EDR et de protection endpoint.<\/p>\n

Pour expliquer les nouvelles fonctionnalit\u00e9s de Poortry<\/em>, examinons comment les pilotes interagissent avec le syst\u00e8me d\u2019exploitation et comment les d\u00e9veloppeurs de cet EDR Killer ont fait \u00e9voluer leur outil au fil du temps.<\/p>\n

Comment les pilotes Windows peuvent saboter la protection ?<\/h2>\n

La plupart des EDR Killers s\u2019appuient sur un pilote de p\u00e9riph\u00e9rique charg\u00e9 dans le noyau du syst\u00e8me d\u2019exploitation, leur donnant ainsi acc\u00e8s \u00e0 des fonctionnalit\u00e9 de bas niveau qui permettent de d\u00e9sactiver et bloquer diff\u00e9rents types de logiciel de protection.<\/p>\n

Sous Windows, qui prend en charge une multitude de p\u00e9riph\u00e9riques et de composants connect\u00e9s, les pilotes en mode noyau b\u00e9n\u00e9ficient d’une grande latitude pour ces types de fonction de bas niveau. Dans des circonstances normales, ces pilotes n\u2019interagissent pas avec les logiciels ou le mat\u00e9riel d\u2019autres entreprises ou fabricants, mais ce type de comportement n\u2019est pas une obligation. Ainsi, si un pilote l\u00e9gitime sign\u00e9 ne valide pas correctement les processus interagissant avec lui, les EDR Killers peuvent exploiter certaines de ses fonctionnalit\u00e9s pour supprimer les mesures de protection.<\/p>\n

Microsoft a d\u00e9velopp\u00e9 plusieurs m\u00e9thodes permettant \u00e0 ses syst\u00e8mes d’exploitation de contr\u00f4ler si les pilotes sont charg\u00e9s ou non, comme le m\u00e9canisme DSE (Driver Signature Enforcement<\/em>) : les pilotes doivent \u00eatre sign\u00e9s num\u00e9riquement par un \u00e9diteur de logiciels auquel Microsoft fait confiance avant de pouvoir \u00eatre charg\u00e9s.<\/p>\n

Les d\u00e9veloppeurs d’EDR Killers exploitent les lacunes de ce mod\u00e8le de confiance : en effet, ils peuvent utiliser un pilote vuln\u00e9rable \u00e0 certains abus qui a d\u00e9j\u00e0 \u00e9t\u00e9 publi\u00e9 par une soci\u00e9t\u00e9 de logiciels l\u00e9gitime ; ils peuvent \u00e9galement signer leur propre pilote avec un certificat de signature de code l\u00e9gitime (et il existe de nombreuses fa\u00e7ons d’obtenir des certificats vol\u00e9s ou divulgu\u00e9s).<\/p>\n

En g\u00e9n\u00e9ral, il existe trois fa\u00e7ons, utilis\u00e9es par les d\u00e9veloppeurs d’EDR Killers, pour exploiter de mani\u00e8re malveillante des signatures de code :<\/p>\n

Abus de certificats divulgu\u00e9s<\/h2>\n

Voici la mani\u00e8re la plus simple de g\u00e9rer ce probl\u00e8me : recherchez un certificat de signature de code divulgu\u00e9, vol\u00e9 ou bien compromis aupr\u00e8s d’une entreprise l\u00e9gitime et utilisez-le pour signer votre pilote (ou pour tromper les RCA – Root Certificate Authorities<\/em> – afin qu’elles vous d\u00e9livrent un certificat).<\/p>\n

Pour toutes les versions de Windows post\u00e9rieures \u00e0 Windows 10 version 1607, Microsoft a exig\u00e9 que tous les d\u00e9veloppeurs tiers de pilotes en mode noyau soumettent leur pilote au portail des d\u00e9veloppeurs de Microsoft, pour qu’il soit soumis \u00e0 une signature crois\u00e9e de Microsoft. Cependant, les pilotes sign\u00e9s de mani\u00e8re crois\u00e9e et non sign\u00e9s par Microsoft peuvent toujours \u00eatre charg\u00e9s s’ils remplissent l’une des conditions suivantes :<\/p>\n