GootLoader et le ZIP mal formé: la technique qui évite l'analyse et ouvre la porte aux logiciels malveillants sur Windows

Le nom GootLoader a longtemps été autour des incidents malware les plus persistants: ce n'est pas un ransomware par lui-même, mais un chargeur - un chargeur - qui se spécialise dans l'ouverture de la porte pour des menaces plus dangereuses. Des enquêtes récentes ont révélé que leurs opérateurs ont affiné leurs astuces pour s'en sortir devant des détecteurs automatiques et des outils d'analyse réguliers. Au lieu de s'appuyer uniquement sur le code d'utilisation, ils exploitent les particularités du format ZIP et de l'écosystème Windows pour s'assurer que la victime finale peut exécuter la charge malveillante, tandis que les systèmes de défense sont confus.

La technique la plus frappante rapportée par la société de sécurité Expel est de créer intentionnellement des fichiers ZIP "malformés". Au lieu d'un fichier ZIP standard, les attaquants concaténent des centaines - entre 500 et 1 000 - de sous-arctiques et manipulent des champs de catalogue centraux et d'autres métadonnées pour causer des erreurs dans des décompresseurs réguliers comme 7-Zip ou WinRAR. Cependant, curieusement, l'extracteur intégré Windows est souvent capable d'ouvrir ces fichiers. Le résultat est pervers: la plupart des outils d'analyse automatique ne peuvent pas traiter le ZIP, mais un utilisateur non prévenu qui double-cliquez dessus sur un ordinateur Windows peut accéder à son contenu et exécuter des logiciels malveillants.

Pour comprendre pourquoi ce truc fonctionne, vous devez examiner deux aspects techniques. D'abord, les attaquants vont soit tronquer ou modifier l'enregistrement de fin de répertoire central (EOCD) de ZIP, une section essentielle pour les discompresseurs pour savoir où le fichier se termine et comment il est structuré - vous pouvez en savoir plus sur cet enregistrement dans la documentation de format ZIP dans Wikipédia. Deuxièmement, les champs non critiques, comme les numéros de disque, sont manipulés et des variations aléatoires sont introduites dans les métadonnées. Ces variations empêchent les signatures de hachage d'être utiles : chaque téléchargement produit une version unique du ZIP, une technique que les chercheurs décrivent comme « hashbusting ».

En outre, les auteurs de GootLoader ont combiné cette approche avec d'autres couches d'évasion. Une partie de la livraison de fichier ZIP peut venir comme un blob encodé XOR qui, dans le navigateur de la victime, est décodifié et concentré à une taille prédéfinie; cela empêche les contrôles de sécurité réseau de détecter directement une transmission ZIP. Des campagnes récentes ont également ajouté des sources WOFF2 personnalisées qui modifient la représentation des noms de fichiers pour camoufler leur but, et des mécanismes qui abusent du paramètre de commentaire WordPress ("/ wp-comments-post.php") pour retourner le fichier lorsque l'utilisateur appuie sur un bouton "Télécharger" sur une page compromise.

Les engrenages de l'infection sont simples et efficaces: l'utilisateur est à la recherche d'un modèle légal ou document - une méthode classique d'empoisonnement et de dérapage SEO - et finit sur un site compromis qui offre un ZIP. En l'ouvrant sur Windows par décompresseur par défaut, le contenu apparaît comme un dossier ZIP dans l'Explorateur de fichiers; si l'utilisateur double-clique sur un fichier JavaScript dans le ZIP, Windows exécute ce script directement via wscript. exe d'un dossier temporaire, sans que le fichier soit explicitement supprimé sur le disque. De là, le chargeur établit la persistance - par exemple en créant un accès direct (LNK) dans le dossier de démarrage - et lance un second script en utilisant cscript. exe qui invoque plus tard les commandes PowerShell pour télécharger et exécuter des charges utiles supplémentaires, comme les voleurs d'informations ou ransomware.

Ce mode de fonctionnement met en évidence une règle ancienne mais valide : les menaces modernes combinent l'ingénierie sociale avec des détails très techniques. Une caractéristique curieuse unique de la chaîne d'attaque - en profitant que l'extracteur Windows ouvre un ZIP que d'autres outils ne peuvent pas - fait passer de nombreuses mesures d'analyse automatisées. C'est pourquoi les équipes de sécurité devraient réfléchir à la façon dont les fichiers sont livrés et ce qui se passe quand un utilisateur interagit avec eux dans le paramètre.

Quelles mesures pratiques peuvent contribuer à réduire les risques? Du côté de l'entreprise, les contrôles sont recommandés pour limiter l'exécution automatique des scripts : bloquer ou restreindre l'exécution de wscript. exe et cscript. exe s'ils ne sont pas nécessaires pour des opérations légitimes, et appliquer des politiques qui modifient la façon dont le système traite les extensions .js à ouvrir dans un éditeur de texte plutôt que d'exécuter. Microsoft documents options de configuration d'association de fichiers et politiques système qui permettent de gérer comment des types spécifiques sont ouverts par des directives centralisées ( Documentation Microsoft sur les partenariats prédéterminés) et des outils comme AppLocker ou Windows Defender Application Control peuvent être utilisés pour empêcher l'exécution non autorisée d'interprètes de scripts ( Guide AppLocker).

La surface qui facilite la livraison ne devrait pas non plus être négligée : beaucoup de ces campagnes dépendent de sites WordPress engagés ou de pages gérées par SEO. Gardez CMS et plugins à jour, examinez les points d'entrée des formulaires et des commentaires, et surveillez les redirections suspectes et les ressources externes sont des mesures qui réduisent la probabilité qu'une victime atteigne le ZIP malveillant. Au niveau du réseau, les contrôles qui inspectent les transferts inhabituels ou les modèles de codage et la protection des paramètres avec des capacités de comportement qui ne dépendent pas seulement des signatures peuvent détecter un comportement malveillant lorsqu'un script essaie d'exécuter des commandes ou de persister dans le système.

L'histoire de GootLoader est également une leçon sur la raison pour laquelle la sécurité ne peut pas être basée uniquement sur des hachages ou des règles statiques : la combinaison de fichiers uniques par téléchargement mal formé et emballage rend la recherche d'un hachage connu inefficace. La détection doit donc intégrer une analyse dynamique, une réputation d'origine et des contrôles d'extrémité qui empêchent l'exécution automatique de contenus potentiellement dangereux. Expel, qui a publié l'analyse détaillée, offre un contexte plus technique sur la façon dont ces ZIP malformés sont construits et pourquoi ils sont problématiques pour de nombreux non-archivistes ( Rapport d'expiration).

En fin de compte, la défense est un mélange de bonne hygiène numérique, de configuration stricte de l'environnement et de formation des utilisateurs : enseigner à méfier les téléchargements à partir de résultats non vérifiés, vérifier la légitimité des sites offrant des modèles juridiques et, dans les environnements d'entreprise, mettre en œuvre des politiques qui empêchent l'exécution silencieuse des scripts. Les attaquants continueront à rechercher des fissures techniques et humaines; la réponse doit être à la fois technique et humaine, combinant des protections dans le réseau et le point d'arrêt avec une formation et des procédures qui minimisent la probabilité d'interaction dangereuse.