Re-: Décompression et execution d'un programme

> Si quelqu'un a du nouveau sur ce thème, je suis toujours intéressé ;-)
> Maître AMcD® svp ?

Lol. Et après, d'aucuns vont trouver que j'ai la grosse tête :-).

Bon, assez rigolé.

En fait, on peut tout faire concernant les divers problèmes évoqués dans vos
posts. Inutile de saliver d'avance, je ne vais pas tout vous dire non plus,
ça va, j'en ai marre de recevoir des mails du genre "t'es fou, faut pas
détailler ça !". En gros voici. Je parle de Win2K/XP hein.

A) Exécuter un programme depuis la mémoire

Oui, c'est faisable, sans passer par des fichiers temporaires.

B) Charger et mapper des DLLs depuis la mémoire

Oui, c'est faisable, là aussi sans fichier temporaraire.

A) et bien plus simple que B). B) c'est assez pénible, il faut reconstruire
l'IAT, mapper correctement les sections (c'est pas toujours facile, il y a
le problème des relocations), etc. Pour B), faut faire joujou avec
VirtualAlloc(). Pour A) il faut s'amuser en plus avec VirtualProtect() et
Write/ReadProcessMemory().

C) Self-Modifying code

Là aussi c'est possible. Et c'est pas dur. Il y a plusieurs types de
modification, au runtime, par maj, etc.

Notons que pour A), B) et C) il risque parfois d'y avoir des problèmes de
privilège. Un hacker correct saura comment obtenir les droits qu'il faut...

En fait, c'est un peu là que réside le problème. Il faut hacker pas mal et
si on divulgue un peu trop les techniques, il y aura toujours un neuneu qui
va s'en servir pour faire des bêtises. Et vu que les lois ont changées
depuis quelques années, je reste donc "évasif"...

Beaucoup de techniques sont issues du monde des malwares. Par exemple, quand
on écrit un cheval de Troie, il faut bien faire attention au problèmes de
détection, aux pare-feu, etc. La détection, c'est, par exemple, lors de
l'injection d'un processus. Un soft prudent pourra toujours scanner les DLLs
de son espace mémoire et deceler facilement une nouvelle DLL. Je ne
conseille d'ailleurs pas cette méthode d'injection. Plus rusé était
d'injecter un processus via CreateRemoteThread() et WriteProcessMemory(),
mais, là aussi, ça se detecte.

Le top, c'est quand même de tout faire en mémoire. Peu de softs scannent
leur mémoire en temps réel :-). Et puis, ce sont des techniques qui trompent
facilement les outils de detection. Je ne vais pas donner de mauvaises idées
ici, mais, par exemple, supposons un malware qui doit se mettre à jour de
temps en temps. Il n'est pas envisageable, pour un codeur sérieux,
d'utiliser des fichiers temporaires (ça, c'est du niveau des journaux de
hack français, c'est à dire que ça fait rire tous les pros...), ni même de
DLL (pas discret, il suffit de scanner les adresses de mapp de DLL, etc).
Une des techniques, parmi tant d'autres, est de modifier le code du malware
direct en mémoire. C'est vraiment furtif. Rien n'apparaît de nouveau dans
l'espace mémoire, pas de DLL, pas d'augmentation de taille (si si, on peut
:-) ), rien. Et il y a bien pire...

Sinon, si ça intéresse quelqu'un je peux poster un exemple de code
self-modifying. Simple hein.

--
AMcD®

http://arnold.mcdonald.free.fr/