Le malware Trickbot est capable de détecter les analyses des chercheurs
Le malware Trickbot est présent sur le devant de la scène depuis plusieurs années, et il continue d'être amélioré par ses créateurs, notamment pour que les chercheurs en sécurité aient plus de mal à analyser son code, son comportement.
Pour rappel, Trickbot est un logiciel malveillant qui permet aux attaquants de réaliser divers types d'activités malveillantes, en fonction de la charge utile qui sera déployée. Par exemple, Trickbot peut être utilisé pour dérober des informations bancaires, mais il est aussi utilisé dans le cadre d'attaques par ransomware notamment par le groupe Conti. Bien souvent, Trickbot infecte une machine par l'intermédiaire d'un e-mail de phishing et d'une pièce jointe malveillante.
Suite à l'analyse d'échantillons de Trickbot, les chercheurs en sécurité d'IBM Trusteer ont publié un rapport qui contient des informations intéressantes. Le moins que l'on puisse dire, c'est que les développeurs de Trickbot souhaitent challenger les chercheurs en sécurité ! Autrement dit, les chercheurs en sécurité ne sont pas les bienvenus. 🙂
Tout d'abord, et c'est une méthode classique, Trickbot s'appuie sur différentes couches d'encodage en base64 et d'obfuscation pour rendre le code illisible. Cela passe par la minification du code (suppression de tous les espaces inutiles et sauts de lignes), suppression et remplacement de caractères, intégration de dead code (bout de code qui n'affecte pas le fonctionnement global du script mais qui complexifie sa compréhension), etc. Avec Trickbot, c'est la multitude de couches utilisées pour répéter ces actions qui rend la tâche difficile... Mais ce n'est pas tout.
Ensuite, lors de l'injection de scripts malveillants au sein de pages Web pour voler des informations d'identification, les ressources locales de la machine ne sont pas utilisées puisque tout repose sur les serveurs distants des attaquants. Des communications chiffrées par HTTPS sont utilisées pour ces communications. À cause de ce mode de fonctionnement, les chercheurs ne peuvent pas récupérer d'éléments en mémoire pour les analyser.
Enfin, Trickbot intègre un script anti-debug dans le code JavaScript. Qu'est-ce que cela signifie ? En se basant sur différents paramètres, notamment la résolution de l'écran, Trickbot peut déterminer si une analyse est en cours, et si c'est le cas, il fait planter le navigateur sur le poste. Il est capable de voir également s’il y a un embellissement du code, c'est-à-dire s'il y a eu un travail pour décoder le code afin de le rendre compréhensible par un humain. Là encore, s'il détecte ce type de manipulation, le navigateur plante afin de mettre fin à l'analyse.
