Bagle - de chiki a moe

Merci
;)

dis merci a olivier


sans prb !


> un grand bravo à Moe pour sa contribution sur l'outil ! ... =)


++

Nan Gen, pas son frère mais son fantôme :-)

Salut à tous !

Cédric, j'ai relu un peu toute les idées que tu as proposé au fil de ce post et je me suis dit que certaines sur lequel j'avais donné mon avis un peu trop rapidement pouvaient être sympa à tenter de réaliser, autant pour le défi que pour l'utilité.
Je pense surtout à celle ou tu souhaitais essayer de détecter les fichiers corrompus par Bagle, pas les 04 mais les fichiers AV par exemple, rendus invalides.
Donc cette semaine je me suis amusé à voir si je pouvais réaliser un truc qui tienne la route et qui permette la détection, voire la réparation de ces fichiers.
D'ici à ce we et si ça t'interesse, je te ferais passer un exe de test, pour que tu puisses me dire ce que tu en pense et s'il te semble tenir la route.

Je t'explique le principe :
On sait que Bagle pour neutraliser un exe d'antivirus par exemple, modifie 1 bit bien précis du PE header du fichier.
Le systeme qui utilise cette informations pour déterminer rapidement la façon de traiter le fichier se retrouve alors incapable de savoir pour quel type de machine l'exécutable a été codé !
Et du coup sans cette info le système arrête la lecture du fichier et renvois le fameux "*.exe n'est pas une application win32 valide"

La seule difficulté apparente pour détecter ces exe corrompus, consiste à savoir ou commence précisément le PE header dans le fichier scanné car l'adresse varie selon les exe, pour pouvoir ensuite vérifier le bit modifié.
Heureusement tous les exe mentionnent cette adresse à l'@offset 60 du fichier, et donc en théorie il n'y a qu'à lire l'@offset60, récupérer l'adresse du PE header, s'y positionner et vérifier s'il y a eu modif ou pas.
Je te fais passer un screenshot de ce que ça donne avec un fichier corrompu ouvert dans un éditeur hexa, ce sera surement plus parlant si tu veux t'amuser à faire la vérif avant/après chez toi.
Grosso modo c'est ce que l'exe que je vais te faire passer réalisera pour la détection.
Pour l'instant et pour ce test, j'ai limité le scan au dossier d'Antivir et à celui de firefox (le fichier du désinstalleur se faisant shooter lui aussi....) dans %programfiles%, avec tentative de réparation si la détection est positive, mais on peut de cette manière scanner tous les exe de tous les DD dans un timing tout à fait correct !
Eventuellement quitte à scanner tous les exe il est tout à fait possible en plus de vérifier la présence de "themida" et de faire d'une pierre deux coups :-)

Donc voilà, si ça t'amuse de voir ce que ça peut donner, fais moi le savoir et je t'enverrais çà des que possible, sinon direction la corbeille et idée suivante lol.

Bonne soirée à tous et bonne fin de semaine !

@++

Pas d'quoi ! :)

Les filtres de CCM ont une dent contre toi ! :p

Salut Cédric

Le site à l'air en travaux et donc impossible d'aller voir au delà du message 97...
En espérant que le fait de poster fasse apparaitre les autres messages pour que je puisse les lire...

@+ tard !

Salut Cédric, coucou Green day :-)

Perso je risque de pas trop être dispo malheureusement, désolé, mais j'ai pu terminer quand même pour aujourd'hui ce que je t'avais promis.
Tu verras qu'il y a deux fichiers dans le zip, l'un scanne tout les DD et ne fait seulement que détecter les fichiers corrompu + themida, l'autre est sensé faire la réparation de ceux d'antivir uniquement après neutralisation de l'infection.
Par contre pour vérifier le fonctionnement de l'av après réparation, j'ai rien prévu de particulier donc faudra surement que tu le relance manuellement ou que tu reboote pour voir si tout reviens à la normale.
Donc bon test en attendant ton avis après quelques essais :-)

@+ tard et encore vraiment désolé de pas pouvoir être plus présent ici sur ton post...

Ps pour Gen :

Une base de donnée c'est pas que se soit une mauvaise idée, mais surement que le temps que ça demande à mettre en place et à tenir à jour ensuite, bah ça prends énormément de temps libre...
Pour ta question sur l'offset, en fait pour réaliser ce petit prog de test j'ai utilisé AutoIt, c'est un langage de script free qui permet entre autre et de par ses fonctionalitées de pouvoir ouvrir un fichier en mode binaire par exemple et de lire tout son contenu ou juste de l'ouvrir jusqu'à un offset précis, ce qui est bien pratique vu ce que je voulais arriver à faire :-).
Ensuite un script peut être compilé en exe autonome et être utilisé seul ou "appelé" par un batch par exemple pour récupérer les infos et les traiter si c'est l'idée de départ du script.
Un exemple qui sera surement plus parlant de ce qu'il est possible de réaliser avec ce genre de scripts, c'est RSIT que tu dois connaître et qui à été codé avec AutoIt...