Analyser les logiciels d'ingénierie inversée pour détecter les fonctionnalités cachées ou les portes arrière

Introduction : Le rôle essentiel de l'ingénierie inverse dans la cybersécurité

Dans le domaine de la cybersécurité, cette discipline est indispensable pour détecter les fonctionnalités cachées, les portes arrières et d'autres fonctionnalités malveillantes que les acteurs de la menace peuvent intentionnellement intégrer dans des applications apparemment légitimes. Des logiciels commerciaux aux bibliothèques open-source et aux plugins tiers, tout binaire entrant dans un environnement d'entreprise comporte un risque potentiel. Comprendre comment inverser systématiquement le logiciel d'ingénierie permet aux analystes de sécurité de découvrir des vulnérabilités sophistiquées que les scanners automatisés pourraient manquer, et de réagir efficacement aux attaques de chaîne d'approvisionnement, aux menaces d'initiés et aux menaces persistantes avancées.

Ce guide élargi vous permet de découvrir en profondeur les méthodologies, les outils et les techniques utilisés pour analyser les logiciels de conception inversée pour les fonctionnalités cachées et les portes arrière. Nous aborderons les principes fondamentaux de l'ingénierie inversée, les stratégies de détection des modèles de code obfusés, les archétypes communs, les environnements d'analyse avancés et les considérations juridiques.

Comprendre l'ingénierie inverse : concepts et approches de base

Désassemblage, décompilation et analyse binaire

L'ingénierie inverse commence par la conversion du code machine en formes lisibles par l'homme. ]Le démontage[ traduit les instructions binaires en langage de montage, tandis que ladecompilation tente de reconstruire le code de niveau supérieur, comme C ou C++. Ces deux techniques sont essentielles pour différents stades d'analyse.

Les plateformes d'analyse binaire avancées, telles que Ghidra (développées par la NSA) et IDA Pro[, intègrent le démontage avec la décompilation interactive, le renvoi croisé et les vues graphiques.Ces outils permettent aux analystes de naviguer sur les flux de contrôle complexes, d'identifier les fonctions importées et de renommer ou d'annoter les variables au fur et à mesure que la compréhension grandit. L'analyse statique – en examinant le binaire sans l'exécuter – est le premier passage, mais il est rarement suffisant de détecter des portes arrière bien cachées, qui intègrent souvent des astuces anti-analyse qui ne deviennent visibles que pendant l'exécution dynamique.

Analyse statique et dynamique

L'analyse statique consiste à analyser le code du binaire et les sections de données sans le faire fonctionner. Il est utile pour détecter les drapeaux rouges évidents : importations inhabituelles (p. ex., , , fonctions dans des contextes inattendus), adresses IP codées en dur ou identifiants, et références de chaînes suspectes.

L'analyse dynamique, inversement, exécute le logiciel dans un environnement contrôlé de bac à sable, permettant aux analystes d'observer les appels système réels, les connexions réseau, les modifications de fichiers et les allocations de mémoire.En exécutant le binaire et en surveillant son comportement avec des outils comme Process Monitor[, Wireshark[ et API Monitor[, des fonctionnalités cachées qui ne s'activent que sur des conditions spécifiques (p. ex., déclencheur de date, paquet réseau entrant, présence d'une clé de registre) peuvent être révélées.

Détecter la fonctionnalité cachée : modèles et indicateurs

Appels d'API inhabituels et interactions système

Les fonctionnalités cachées se manifestent souvent comme des appels inattendus vers des API système d'exploitation. Par exemple, un simple utilitaire comme un éditeur de texte ne devrait pas invoquer des fonctions telles que (manipulation du registre Windows), (injection de processus), ou (création de socket de base). Les analystes devraient compiler une base de référence de l'utilisation prévue de l'API pour les fins annoncées du logiciel.

Dans les binaires Linux ELF, les fonctionnalités cachées peuvent impliquer des instructions directes contournant les enveloppes standard libc, ou l'utilisation de à des fins anti-débogage. De même, l'utilisation de et dans des contextes inattendus peut indiquer des plugins ou des modules cachés chargés dynamiquement.

Code et chiffrement obfusés dans les sections de données

Les attaquants stockent rarement des charges utiles malveillantes en texte simple. Ils utilisent obfuscation[ pour cacher la véritable intention des segments de code. Les techniques communes comprennent:

Cryptage de la chaîne : Les URLs, commandes ou adresses IP sensibles sont stockées sous forme de tableaux d'octets chiffrés et décryptés uniquement à l'exécution. Un grand nombre d'appels à des routines de déchiffrement (par exemple, boucles XOR, algorithmes AES) est un indicateur fort.
Obfuscation de flux de contrôle: Le graphique de flux de contrôle du binaire est délibérément compliqué par des prédicats opaques (conditions qui évaluent toujours au même résultat mais apparaissent conditionnelles) et l'insertion de code mort.
Des logiciels malveillants avancés utilisent des machines virtuelles personnalisées pour interpréter les octécodes chiffrés, rendant l'analyse statique traditionnelle presque inutile. Des outils comme [Triton sont nécessaires pour émuler le VM personnalisé.
Les blocs de données chiffrés ou compressés:[ De grands blocs de données à forte entropie dans les sections ou contiennent souvent des charges utiles, des fichiers de configuration ou un code exécutable supplémentaire. Les outils d'analyse entropie peuvent rapidement mettre en évidence ces sections.

Les analystes devraient utiliser le calcul de l'entropie (p. ex., dans le script Entropy[ ou binwalk[ de Ghidra) pour identifier les régions de données suspectes.

Exécution conditionnelle et mécanismes de déclenchement

Les fonctionnalités cachées peuvent rester en sommeil jusqu'à ce qu'une condition spécifique soit remplie.

Conditions de date/heure:[ Code qui vérifie l'heure du système en cours et ne s'active qu'après une certaine date, ou pendant un mois précis.
Les clés ou fichiers d'enregistrement:[ Le logiciel vérifie la présence d'une clé de registre, d'un fichier ou d'une variable d'environnement.
Résolution spécifique du nom de domaine :[ Le binaire résout un domaine et ne se produit que si l'IP résultant correspond à une valeur prédéterminée (test de connexion C2).
Les menus cachés ou les modes de débogage qui deviennent disponibles lorsque l'utilisateur entre un mot de passe ou une séquence de frappes spécifiques.

Pour localiser ces déclencheurs, les analystes peuvent rechercher des instructions de comparaison (, ) qui renvoient des constantes codées en dur ou des appels vers des API liées au temps ([, ). L'analyse dynamique avec des débogueurs tels que x64dbg ou GDB[ permet de définir des points d'arrêt sur ces comparaisons et de modifier les drapeaux pour forcer l'activation.

Identification des portes arrière : Types, caractéristiques et techniques de détection

Titres de créance et contournement d'authentification codés en dur

L'un des types de porte arrière les plus simples est l'inclusion d'identifiants codés en dur – noms d'utilisateur, mots de passe ou clés cryptographiques – qui accordent un accès élevé. Ceux-ci peuvent être intégrés dans le binaire comme chaînes (plaintexte ou obfusqué) ou dérivés d'une valeur de graine. Par exemple, un binaire de service réseau peut contenir un mot de passe statique qui, lorsqu'il est entré, contourne l'authentification normale et fournit un contrôle administratif.

Des outils comme chaînes[ sont un point de départ, mais les attaquants divisent souvent des chaînes à plusieurs endroits ou les encodent avec des touches XOR simples. Des approches plus robustes impliquent le suivi du flux de données des tampons codés en dur aux fonctions de comparaison. Par exemple, une boucle de comparaison caractère par caractère qui compare l'entrée utilisateur à une valeur stockée encodée par hexagone est un signe classique d'un contrôle de la crédibilité cachée de la porte arrière.

Communication secrète et commande & contrôle (C2)

Les portes arrière établissent souvent des connexions sortantes aux serveurs contrôlés par l'attaquant pour recevoir des commandes ou exfiltrer des données. Ces communications sont généralement cachées dans des protocoles à l'aspect légitime (HTTP, HTTPS, DNS) ou utilisent des protocoles personnalisés sur des ports non standard. La détection implique la recherche de:

APIs liées au réseau:[ , , , ] dans des contextes où elles ne sont pas attendues (p. ex., dans un lecteur PDF).
Demandes DNS:[ Certaines portes arrières encodent les données dans les requêtes DNS, en particulier en utilisant DNS tunneling[. Cherchez des noms de domaine inhabituels avec des sous-domaines ou des motifs de requêtes entropie élevés.
HTTP GET/POST demande à des domaines inconnus:[ Le binaire peut construire une chaîne ou un cookie utilisateur-agent qui contient une balise codée.
Opérations de socket de la voie :[ Code qui construit manuellement des paquets IP contourne les bibliothèques de réseau de niveau supérieur.

Lors de l'analyse dynamique, des outils de simulation réseau comme INetSim ou FakeNet-NG[ peuvent intercepter ces connexions sortantes et répondre avec des données contrôlées, forçant la porte arrière à révéler son langage de commande.

Mécanismes d'injection et de persistance des processus

Une porte arrière qui fonctionne dans l'espace d'adresse d'un autre processus (injection de processus) est particulièrement furtive. Les techniques d'injection courantes comprennent CreateRemoteThread, SetWindowsHookEx, AppInit DLLs et DLL sideloading[. Les analystes devraient vérifier les appels à ces API et les recouper avec le comportement normal du module. Par exemple, une DLL légitime ne devrait pas se charger dans chaque nouveau processus créé.

Les mécanismes de persistance assurent la survie des reboots. Ils incluent la création de tâches programmées, les services Windows, les registres Exécuter des clés, les agents de lancement sur macOS ou les jobs cron sur Linux. La recherche d'APIs de modification de registre () ou la création de fichiers dans les répertoires de démarrage est critique. Des outils comme Autoruns (Windows) ou LaunchControl (macOS) peuvent aider, mais pour une ingénierie inverse profonde, le traçage du chemin d'exécution qui écrit à ces emplacements de persistance est nécessaire.

Logique de porte arrière obfusquée dans des interprètes virtuels ou personnalisés

Des portes arrière avancées, comme celles utilisées dans le malware XcodeGhost (qui a infecté des applications iOS via un installateur de Xcode falsifié) ou la boîte à outils Flame espionnage, utilisent des contrôles antivirtuels complexes et des interprètes personnalisés pour cacher leur logique de base. Dans ces cas, le binaire charge un petit interprète qui lit et exécute un octecode chiffré stocké ailleurs dans le fichier. L'analyse statique de l'interprète seul donne peu de résultats; la logique malveillante réelle n'est connue qu'une fois l'octecode déchiffré et exécuté dynamiquement.

Pour les analyser, les chercheurs en sécurité combinent souvent le débogage avec le dumping de mémoire. Les points de rupture sont définis après la routine de déchiffrement par octécode, et la région de mémoire décryptée est rejetée pour l'analyse statique. Des cadres d'émulation comme Unicorn Engine peuvent également être utilisés pour exécuter l'octécode étape par étape dans un environnement contrôlé, en enregistrant chaque opération pour reconstruire l'algorithme caché.

Outils et techniques pour l'analyse en profondeur

Décompresseurs et décompilateurs

Ghidra: Suite d'ingénierie inverse libre et open source de la NSA. Offre un décompilateur robuste pour x86, ARM, MIPS, et autres. Ses capacités de script (Python, Java) permettent une analyse automatisée des grands binaires.
IDA Pro: La norme de l'industrie pour l'analyse statique. Particulièrement utile pour identifier les fonctions de la bibliothèque et pour son puissant script IDC/IDAPython. Cependant, son coût élevé rend Ghidra plus accessible.
Binary Ninja: Connu pour son langage intermédiaire intuitif (BNIL) et son architecture moderne de plugin. Excellent pour l'analyse statique et dynamique de la lumière.

Analyse dynamique et débogage

x64dbg: Débogueur open-source pour Windows. Comprend des fonctionnalités avancées comme l'enregistrement de traces, les points de rupture conditionnels et ScyllaHide pour le contournement anti-débogue.
GDB / LLDB:[ Débogueurs standard pour Linux et macOS. Souvent combinés avec pwndbg ou peda[ pour améliorer les flux de travail.
Valgrind / Dr. Memory: Pour la détection et le profilage des erreurs de mémoire, qui peuvent révéler des portes arrières qui corrompent les structures de mémoire.
API Monitor:[ Capture tous les appels API effectués par un processus, filtrage par module ou catégorie. Utile pour identifier les comportements cachés liés à des fonctions système spécifiques.

Surveillance des réseaux et Sandboxing

INetSim: Simule des services de réseau communs (HTTP, DNS, SMTP) pour capturer et répondre aux tentatives de communication sortantes.
Cuckoo Sandbox: Plateforme automatisée d'analyse de malware qui peut exécuter une analyse dynamique avec des rapports comportementaux. Cependant, de nombreux backdoors détectent des environnements virtuels; ainsi une analyse manuelle est toujours nécessaire.
Wireshark / tcpdump: Pour une inspection de paquets de bas niveau. Une seule requête DNS vers un domaine suspect peut être le premier indice d'une porte arrière.

Outils d'analyse entropie, chaîne et structure

PEStudio: Analyse de fichiers Windows PE; affiche des indicateurs suspects comme les importations sur liste noire, les sections à forte entropie et les noms de sections bizarres.
Binwalk: Pour le firmware de numérisation ou tout blob binaire pour les systèmes de fichiers intégrés, les archives compressées et les signatures connues.
YARA: Moteur de couplage de motifs pour détecter les familles de malwares. Ecrire des règles YARA basées sur les chaînes uniques de la porte arrière ou des extraits de code peut aider à scanner les grands dépôts rapidement.
Le rideau rouge de Mandiant:[ analyse les fichiers PE pour les séquences d'octets entropes et suspectes.

Défis dans le logiciel d'ingénierie inverse pour la fonctionnalité cachée

Techniques d'ingénierie anti-rétroverse

Les auteurs de logiciels malveillants modernes utilisent une batterie de trucs pour entraver l'analyse:

Anti-débogage:[ Appels à , , ou vérification des points d'arrêt avec scans.
Anti-VM: Vérification des artefacts communs de bac à sable: , préfixes d'adresse MAC spécifiques, ou nombre de processeurs bas.
Checks de timing:[ La fonctionnalité cachée ne peut s'activer qu'après un certain nombre de minutes d'exécution, ou nécessiter des interactions utilisateur spécifiques pour frustrer l'analyse automatisée.
Binaries emballés et cryptés:[ L'exécutable est compressé ou chiffré avec un emballeur (UPX, Themida, VMProtect). Le code réel n'est révélé en mémoire qu'après l'exécution du stub déballage. L'analyse statique du binaire emballé ne montre rien de significatif.

Pour contourner ces paramètres, les analystes doivent combiner le déballage statique (en utilisant des outils comme unpac.me) avec le déballage dynamique (réglant un point d'arrêt après le point d'entrée original (OEP) atteint). Certains analystes utilisent des dumpers de mémoire comme Scylla pour reconstruire le PE non emballé sur le disque pour une analyse statique.

Considérations juridiques et éthiques

Les logiciels d'ingénierie inversée que vous ne possédez pas ou qui ont une autorisation explicite d'analyser peuvent violer les lois sur le droit d'auteur, les accords de licence d'utilisateur final (LAUE) ou les dispositions anticontournement. Les chercheurs en sécurité doivent opérer dans les limites légales : seulement analyser les logiciels pour lesquels vous avez un droit légitime, comme votre propre code, les binaires obtenus sous un audit autorisé, ou les logiciels open-source avec licences permisives.

Études de cas sur le monde réel : leçons tirées des portes de derrière

Orion solaire à vent (2020)

L'attaque de la chaîne d'approvisionnement SolarWinds a impliqué l'injection d'une porte de secours (dubbed SUNBURST[) dans le logiciel de surveillance Orion. Le code malveillant était caché dans une signature numérique légitime et comprenait des techniques d'évasion sophistiquées : il est resté en sommeil pendant deux semaines pour éviter l'analyse dans des boîtes de sable, utilisé des algorithmes de génération de domaines (DGA) pour C2, et codé du trafic avec un chiffrement personnalisé basé sur XOR.

XcodeGhost (2015)

Les attaquants chinois ont altéré l'environnement de développement de Xcode, en injectant du code malveillant dans des applications iOS compilées avec la version infectée. La logique malveillante était cachée dans le cadre et collectait des informations sur les périphériques, en l'envoyant aux serveurs C2 via HTTP crypté. L'analyse des binaires Mach-O infectés montrait des importations inattendues de classes et qui ne sont pas normalement utilisées par une bibliothèque graphique. L'ingénierie inverse a révélé un récepteur de commande caché qui pourrait être déclenché pour afficher des superpositions phishing ou exfiltrer des identifiants iCloud.

Meilleures pratiques pour un flux de travail d'ingénierie inverse systématique

Établir une base de référence:[ Comprendre ce que la fonctionnalité légitime du logiciel devrait être. Examiner la documentation, comparer avec les versions propres si disponibles, et noter tous les appels d'API attendus.
Triage statique initial:[ Exécuter PSEtudio, vérifier les sections emballées ou à forte entropie, examiner les importations et les exportations et extraire toutes les chaînes lisibles.
Analyse statique détaillée:[ Chargez le binaire dans Ghidra ou IDA. Identifier les points d'entrée, les fonctions de constructeur/destructeur et les chemins de code critiques. Recherchez des références croisées suspectes aux fonctions importées. Annoter les variables et les fonctions que vous comprenez.
Analyse dynamique dans la boîte à sable:[ Configurer un environnement isolé sûr (p. ex., un VM avec une capacité de retour).Utiliser le moniteur API et le moniteur réseau. Exécuter le binaire et simuler les déclencheurs si possible.
Débogage ciblé:[ Réglez des points d'arrêt sur les appels d'API suspects ou les branches conditionnelles. Contrôles anti-débogage par contournement à l'aide de simples correctifs (p. ex., NOP en dehors d'une instruction ).
Constatations de documents: Tenir un rapport détaillé avec des extraits de code, des graphiques d'appel et des COI. Ceci est essentiel pour la communication avec les équipes d'intervention en cas d'incident et pour les procédures judiciaires.

Conclusion : La compétence indispensable de l'ingénierie inverse

L'analyse des logiciels de conception inversée pour détecter les fonctionnalités cachées et les portes arrières est une compétence fondamentale dans la cybersécurité moderne. À mesure que les attaques de la chaîne d'approvisionnement se développent et que les adversaires intègrent des mécanismes furtifs, la capacité de disséquer les binaires au niveau de l'assemblage et de la représentation intermédiaire devient non négociable. La détection efficace nécessite une combinaison d'analyse statique et dynamique, une trousse d'outils solide, la persistance et une compréhension profonde du logiciel cible et de l'état d'esprit de l'agresseur.

Pour plus de détails, voir le [WOWASP Reverse Engineering Project pour les ressources communautaires, et le CWE Top 25 pour les faiblesses logicielles communes qui cachent souvent les portes arrière. De plus, le Mandiant Blog[ offre des analyses détaillées des récentes attaques de la chaîne d'approvisionnement qui mettent en évidence l'application pratique de ces techniques.