Commentaires sur : oSpy – Espionnez les trames (même chiffrées) qui sortent de vos logiciels Windows

Par : corrector

corrector — Thu, 09 Dec 2010 18:43:01 +0000

« entre IE et la couche OpenSSL »

Tu es sûr qu’IE utilise OpenSSL???

Par : corrector

corrector — Thu, 24 Jun 2010 05:10:37 +0000

« Sous Linux il y a l’excellent strace »

Ah, et tu en fais quoi???

« Y a-t-il la même chose sous linux ? Pour ssh, ssl/tls, firefox, etc ? »

ltrace? Un bon LD_PRELOAD des familles?

J’imagine que oSpy EST ltrace tout simplement.

Sinon, il faut fouiller dans l’exécutable (beurk).

Par : Vouze

Vouze — Mon, 15 Mar 2010 12:51:41 +0000

@Anto-rex: le reverse-engenering est autorisé en France, surtout dans le cas de l’interopérabilité (on est en plein dedans). Par contre les ricains n’ont pas le droit.

Et les closes de non-reverse-engenering sont tout simplement abusives, et donc peuvent être ignorées quand ont veut rendre interopérable un programme.

Et n’oubliez pas que l’outil ne fait pas le crime. Notion juridique de base : un couteau n’est pas illégale, c’est l’usage qui en fait une arme.

Par : Vouze

Vouze — Mon, 15 Mar 2010 12:45:36 +0000

Y a-t-il la même chose sous linux ? Pour ssh, ssl/tls, firefox, etc ?

Par : dert

dert — Fri, 12 Mar 2010 14:05:15 +0000

Je ne suis pas Anglais encore moins Américain c’est dommage que ce genre de soft n’ait pas de tuto frenchy , snirf , merci pour l’article quand même .

Par : sebsauvage

sebsauvage — Fri, 12 Mar 2010 13:42:53 +0000

@Gourmet:
Ah oui, Tamper Data, excellent.
Il permet même de voir les requêtes HTTP lancées par les plugins (par exemple Flash) et les requêtes envoyées par tout composant Ajax.
Très instructif.

Par : LanFeusT

LanFeusT — Fri, 12 Mar 2010 12:40:25 +0000

ce n’est pas ce que faisait tcp viewer ?

Par : Feelou

Feelou — Fri, 12 Mar 2010 12:30:08 +0000

Merci sebs

Par : Gourmet

Gourmet — Fri, 12 Mar 2010 12:08:55 +0000

1. Je plussois sebsauvage.
Dans la mesure où le source de ce logiciel et où aucun reverse-engineering n’a été fait dessus, je penche, par défaut, pour un troyen (qui troyanne le temps de son exécution).
2. S’il s’agit de surveiller ce qu’expédie et reçoit son navigateur il suffit d’installer une extension Tamper Data sous Firefox qui permet de suivre (et de modifer) les requêtes GET/POST/etc et de voir les réponses à ces mêmes requêtes.
C’est plus sain tout de même et c’est multiplateforme.
3. Pour les logiciels navigateur, je n’utiliserai ce genre d’outil clos qu’avec parcimonie.
4. Ca n’existe pas sous Unix ce genre de truc à ma connaissance. On pourrait pourtant détourner les appels aux fonctions de la lib openSSL.

Par : sebsauvage

sebsauvage — Fri, 12 Mar 2010 10:48:17 +0000

@Feelou:
Sous Linux il y a l’excellent strace, qui a déjà permis de voir des trucs louches dans certains logiciels à sources fermés comme Skype:
http://philpep.free.fr/blog/index.php?post/2008/12/20/Skype-%3A-un-logiciel-qui-vous-veut-du-bien

Et voir aussi:
http://systembash.com/content/command-line-packet-sniffing-existing-running-process-in-linux/

Par : krg

krg — Fri, 12 Mar 2010 10:26:27 +0000

meme si c un peu HS, SEEM ne fonctionne pas sous 2k8 r2, et a bcp de mal voir ce lance pas sur le seven 64bit, rootkit revealer moin performant que gmer je trouve :p
Sinon oui a la mano livecd huhu

Par : MikeZ

MikeZ — Fri, 12 Mar 2010 10:22:47 +0000

Moi oui. Linux ! nan je déconne (Quoi que ..)

Pardon seb je repond hein, tu me corrige si je dit une connerie.

ya aussi SEEM, Unhackme, Rootkit revealer…

L’artillerie lourde pour enlever ces vilains spy (si on est pas arrivé à se prémunir) c’est un OS « live » (boot sur un media externe) pour accéder au disque de la machine et faire le ménage

Par : Feelou

Feelou — Fri, 12 Mar 2010 10:19:21 +0000

Interessant, il est donc si simple de voir ce que fait un logiciel !
Avant je sniffais avec ethereal mais c’etait difficile de savoir de quel processus le paquet etrange venais.
Avec ça je vais pouvoir eliminer tous mes logiciels suspects uns par uns
Domage que c’est que sous Windows, en plus il y a pas mal de processus qui font des choses bizares et qu’on ne peut pas killer parce qu’en fait… ils sont Windows… Windows est un precessus bizare lol

Mais comme je possède certains logiciels proprio sur Linux, j’avoue que ce genre de logiciel m’interesserai, quelqu’un connais-t-il une commande magique faisant grossomodo la meme chose ?
C’est très bon aussi pour les plugin Firefox en effet
Je vais déjà aller observer ceux-ci sur une machine virtuelle MS.

Par : krg

krg — Fri, 12 Mar 2010 10:10:18 +0000

et tu en connais des plus performants ?

Par : sebsauvage

sebsauvage — Fri, 12 Mar 2010 10:06:33 +0000

@krg:
« Pour éviter ce genre de truk, imaginons que l’on installe un sorte de plugin sous firefox et envoi un sorte de clef a la PGP et le site l’interprète etc »

On revient au même problème: le troyen pourrait intercepter le fonctionnement du plugin.

On pourrait même imaginer un troyen qui se substitue à la couche OpenSSL (en imitant son API) et qui substitue silencieusement les certificats et masque les alertes.
Ou même plus simple: un virus qui installe un certificat racine pirate supplémentaire dans votre navigateur (c’est pas sorcier), et fait une redirection DNS: votre navigateur recevra un certificats bidon imitant celui de la banque, mais signé avec le certificats racine pirate: Votre navigateur ne geulera pas.

Les possibilités sont illimitées: A partir du moment où le troyen est sur votre machine, c’est game over. Aucun logiciel de sécurité au monde ne pourra garantir qu’il la contré.

« Sinon lorsque tu parle de antiroot-kit que pense tu de gmer ? »

oui gmer et autres.
Ils vérifie la cohérence entre l’état réel disque/registry et ce qui est retourné par les API. Toute différence est suspecte.
Mais pour le reste des API, c’est le néant.

Par : krg

krg — Fri, 12 Mar 2010 09:47:18 +0000

@sebsauvage: huuu ca fait peur et dire que avec hadopi ont est responsable de notre sécurité c’est de notre faute si on ce fait pirater…
Pour éviter ce genre de truk, imaginons que l’on installe un sorte de plugin sous firefox et envoi un sorte de clef a la PGP et le site l’interprète etc
Enfin c’est vite dit, j’ai pas vraiment réfléchit

Sinon lorsque tu parle de antiroot-kit que pense tu de gmer ?

Et pour Ospy c’est dommage qu’il l’ont lier qu’a IDA et pas ollydbg aussi

Par : Ano Nymous

Ano Nymous — Fri, 12 Mar 2010 09:31:33 +0000

EchoMirage fait la même chose, mais offre en plus la possibilité d’intercepter et de modifier les données, en interactif ou automatique :

http://www.bindshell.net/entry/31

(en version 2.0, conseillée mais la stabilité dépend des programmes audités)
(version 1.2 a été rendue publique le 22 octobre 2006)

Par : sebsauvage

sebsauvage — Fri, 12 Mar 2010 08:35:52 +0000

@billy boy:
En fait (pour avoir bossé sur le système de paiement en ligne d’une banque), on a déjà vu des troyen s’insérer entre IE et la couche OpenSSL.

Résultat: Le troyen peut voir, intercepter et modifier à la volée toutes les pages (y compris les pages de logins), HTTPS ou pas, et le navigateur n’affiche pas la moindre alerte de certificats puisque c’est bien le certificat original de la banque qui est utilisé.

Et cette saloperie:
- connaît les pages de login de 200 banques.
- se met à jour quotidiennement par internet (vers des sites russes) pour s’adapter aux changement des sites des banques.
- envoie les infos de login en temps réel (donc même si vous utilisez un token RSA, leur système peut se loguer sur votre compte dans la même minute que le token reste valide).
- en prime, le cheval de troie est capable de masquer des lignes d’opération dans votre relevé de compte en ligne.

Tout ceci sert à utiliser les comptes d’internautes comme « mules » pour le blanchiment d’argent.

Je ne suis pas en train de vous pipoter, c’est exactement ce qu’on a constaté.

Donc oui, HTTPS/SSL n’est pas une arme absolue, il y a divers moyens de l’abuser. L’interception des appels aux API est un danger majeur, et pas évident à contrer.
D’ailleurs ça m’étonnerait que les antivirus vérifie que les API ne sont pas détournées. Il y a juste quelques anti-rootkit qui vérifie le détournement des API base de registre et fichiers, mais guère plus.

Par : MikeZ

MikeZ — Fri, 12 Mar 2010 07:55:25 +0000

*pour pas que l’on sniffe leur login* pardon

Par : MikeZ

MikeZ — Fri, 12 Mar 2010 07:54:22 +0000

Ca va aider l’étude de malware ca !

Notamment contre les kevin qui chiffrent leur exécutables .NET (à debugger c’est la loose le dotnet,) pour pas que leur infos de compte Gmail (et donc PAR SSL ) où sont renvoyées les informations volées..

Euh, ca marche avec des exécutables .net ce truc?? Si comme je le suspecte ca hooke des api windows, on ne va pas tarder à le voir détecter par les antivirus tous débiles souvent dans ce cas !

Par : 3psyl0n

3psyl0n — Thu, 11 Mar 2010 20:30:29 +0000

Je ne connaissais pas, Super News !

@korben :
- « Comprenez bien que vous ne pourrez rien pirater avec cet outil. »
- « @billy boy: Si mais pas pire qu’un keylogger qui enregistre le mot de passe que tu tapes sur ton clavier »

Sauf qu’a priori oSpy, n’est pas censé être recenser par un antiMalware.

Par : Emralegna

Emralegna — Thu, 11 Mar 2010 19:53:41 +0000

Ce serait intéressant de l’utiliser sur les processus utilisé par Windows Update et certains jeux solo qui font quand même des requêtes IP à un serveur distant (et pas que Assassin’s Creed 2) alors qu’ils n’ont pas lieu d’être.

Par : Amaury

Amaury — Thu, 11 Mar 2010 19:52:44 +0000

Ya pas besoin de le télécharger, Hadopi nous l’imposera bientôt ce truc, sauf qu’on en aura pas le controle et que les données seront envoyé au gouvernement :p

Par : ILP

ILP — Thu, 11 Mar 2010 17:05:30 +0000

En gros, pour faire un programme sécurisé, vaux mieux pas communiquer avec les API de cryptage du système et sécuriser les données à transmettre en interne.
Et en obfuscant bien la partie de cryptage pour compliquer la tâche si le cracker utilise un debuguer pour voir ce que le programme fait.

Par : cedni

cedni — Thu, 11 Mar 2010 16:24:19 +0000

Et pour assassin creed 2 , lol ?
C est pas une incitation au piratage mais juste voir quel serveur ( regulierement en rade ) est contacté et blablabla

çà peut etre interessant aussi pour voir ce que font les extensions firefox

J aime bien ce genre de petit soft , en plus il te file le composant utilisé
Tu couples çà à winspy++ et c est du tout bon pour faire un peu de reverse

Par : GNU

GNU — Thu, 11 Mar 2010 16:18:50 +0000

si vous avez la clé du (de votre) serveur :
http://wiki.wireshark.org/SSL?highlight=%28ssl%29

Par : Vivelestouristes

Vivelestouristes — Thu, 11 Mar 2010 15:59:43 +0000

Ben moi ce qui ma choqué dans cette news c’est :
« (là je l’ai branché sur iexplore.exe , c’est à dire Internet Explorer) »

Par : Korben

Korben — Thu, 11 Mar 2010 15:53:56 +0000

@billy boy: Si mais pas pire qu'un keylogger qui enregistre le mot de passe que tu tapes sur ton clavier

Par : Galork

Galork — Thu, 11 Mar 2010 15:52:03 +0000

Ah ouais c’est clairement sympa comme prog :p

Je me rappelle de wireshark que j’utilisais pdt mes études, mais avec celui là on peut encore plus faire mumuse ^^

Par : billy boy

billy boy — Thu, 11 Mar 2010 15:50:15 +0000

et si ce programme (moddé) tourne en arrière plan, on risque pas de se faire piquer nos info ?