Dans cet article, je vais détailler l'analyse d'un sample d'Andromeda, étant donné qu'il existe peu de littérature à ce sujet. Ce bot a été vraisemblablement écrit en assembleur, et est capable de détecter les machines virtuelles, s'injecter dans d'autres processus comme nous le verrons dans cet article. Je me baserai ici sur le sample que m'a gentiment donné Horgh, en passant rapidement sur l'unpacking du sample.

Ce matin, en naviguant sur HackerzVoice, j'ai l'agréable surprise de tomber sur ce magnifique post (qui a été supprimé depuis):

Bref, on se rend bien compte que ce genre de trucs seem legit, du coup let's reverse it ;).
Après un petit coup d'oeil avec IDA, on se rend compte que le machin a été écrit en AutoIT (lol), so on télécharge myAutToExe pour récupérer le code de l'exécutable, code qui possède une obfuscation assez lame (gros blocs de variables useless en plein milieu du code). On va donc nettoyer le code (la partie ennuyeuse du truc).

Ceux qui me croisent sur IRC savent que je commence à me mettre (timidement) à la programmation ring0 sous Windows (the real life, je jouerai avec le kernel linux un peu plus tard peut-être, quand je serai réapprovisionné en chocapicz).
Cet article se veut être une initiation au monde merveilleux qu'est le noyau Windows et ses drivers, monde merveilleux où un BSOD arrive très vite cependant.

Devant l'enthousiasme général, je vous propose donc de me suivre dans cette longue quête du Graal.

Je sais déjà que le titre de cet article fera frémir certains, rire d'autres, ou choquera certains puristes. Certains se demanderont quelle quantité de chocapicz et autres stupéfiants j'ai pu absorber lors de l'écriture de cet article, et rassurez-vous, je suis parfaitement lucide pour écrire cet article.

Cet article a pour but (du moins je l'espère) de démystifier la scène "lamerz", et d'appréhender comment ceux-ci ont bien pu arriver là.

Après une longue période d'hibernation de ma part sur mon blog (étant principalement plus actif à glander sur IRC en ce moment), je me suis décidé à changer le thème de mon blog, qui comme vous pouvez le constater, est assez minimaliste.

En effet, je pense qu'il est bon de revenir à des interfaces simples, et facilement lisibles plûtot qu'un thème encombré, avec plein d'images partout et qui mets beaucoup de temps à charger pour les petites connexions (par exemple wifi public ou encore connexion G), étant donné que l'essentiel d'un blog et surtout son contenu, et non son contenant.