Ces derni\u00e8res ann\u00e9es, les fichiers cr\u00e9\u00e9s \u00e0 l\u2019aide de la technique polyglotte sont de plus en plus utilis\u00e9s dans les cyberattaques. Ils permettent aux pirates informatiques de faire passer des programmes malveillants \u00e0 travers les filtres de messagerie et les analyseurs de fichiers, de tromper leurs victimes lors d\u2019attaques de phishing et de compliquer les enqu\u00eates sur les incidents. Pour y parvenir, les pirates informatiques cr\u00e9ent d\u00e9lib\u00e9r\u00e9ment un fichier que le syst\u00e8me peut interpr\u00e9ter comme diff\u00e9rents formats selon l\u2019application qui l\u2019ouvre.\u00a0 Un exemple classique est celui d\u2019un fichier pouvant \u00eatre trait\u00e9 soit comme une image PNG, soit comme une archive ZIP. Il suffit de modifier l\u2019extension du fichier ou d\u2019utiliser simplement l\u2019une ou l\u2019autre application pour l\u2019ouvrir.<\/p>\n
Voyons pourquoi il est possible de cr\u00e9er des fichiers de ce type, quelles combinaisons de formats ont \u00e9t\u00e9 d\u00e9couvertes dans des attaques r\u00e9elles, et comment les entreprises peuvent se prot\u00e9ger contre cette menace.<\/p>\n
Les formats de donn\u00e9es sur lesquels ils reposent ont rarement quoi que ce soit d\u2019inhabituel. Tout tient \u00e0 une combinaison astucieuse de formats courants dont les structures sont compatibles. Les fichiers polyglottes exploitent au moins l\u2019une des particularit\u00e9s suivantes dans certains formats de fichiers\u00a0:<\/p>\n
Le d\u00e9p\u00f4t GitHub de Polydet<\/a> pr\u00e9sente de nombreux exemples de combinaisons de fichiers possibles pour cr\u00e9er un fichier polyglotte. Selon la classification MITRE, cette technique rel\u00e8ve de la cat\u00e9gorie \u00ab\u00a0Masquerading\u00a0\u00bb (T1036.008<\/a>, Masquerade File Type).<\/p>\n Les analyses de campagnes de programmes malveillants disponibles publiquement r\u00e9v\u00e8lent l\u2019existence de toutes sortes de fichiers polyglottes. Les pirates informatiques adaptent l\u2019ensemble du sc\u00e9nario d\u2019attaque \u00e0 une combinaison particuli\u00e8re de types de fichiers.<\/p>\n Le groupe Head Mare a diffus\u00e9 le programme malveillant PhantomPyramid<\/a> sous la forme d\u2019une pi\u00e8ce jointe au format ZIP. Le fichier \u00e9tait constitu\u00e9 d\u2019un code ex\u00e9cutable Windows (EXE) auquel \u00e9tait ajout\u00e9e, \u00e0 la fin, une petite archive ZIP. \u00c0 l\u2019ouverture de l\u2019archive par la victime, celle-ci contenait un fichier avec l\u2019extension PDF.LNK, qui lan\u00e7ait alors la m\u00eame pi\u00e8ce jointe polyglotte, cette fois sous la forme d\u2019un fichier ex\u00e9cutable.<\/p>\n Dans l\u2019attaque document\u00e9e par JPCERT<\/a>, les pirates informatiques ont cr\u00e9\u00e9 un fichier qui, \u00e0 premi\u00e8re vue, semblait \u00eatre un document PDF et \u00e9tait d\u00e9tect\u00e9 comme tel par la plupart des logiciels antivirus, mais qui portait en r\u00e9alit\u00e9 l\u2019extension .DOC et s\u2019ouvrait dans les logiciels Office comme un fichier DOC valide contenant des macros malveillantes.<\/p>\n Les attaques visant \u00e0 propager les chevaux de Troie StrRAT et Ratty<\/a> utilisaient un fichier polyglotte constitu\u00e9 d\u2019un paquet d\u2019installation Windows sign\u00e9 (MSI) auquel \u00e9tait ajout\u00e9, \u00e0 la fin, un code Java malveillant (JAR).<\/p>\n Les attaques StrelaStealer<\/a> utilisaient un fichier polyglotte portant une extension HTML\u00a0: une biblioth\u00e8que Windows (DLL) \u00e0 laquelle \u00e9tait ajout\u00e9, \u00e0 la fin, un document HTML servant de leurre. Un raccourci pr\u00e9sent dans l\u2019archive lan\u00e7ait le fichier deux fois\u00a0: une fois via la commande \u00ab\u00a0start\u00a0\u00bb (l\u2019\u00e9quivalent d\u2019un double-clic, qui ouvrait un navigateur affichant le document HTML), et une fois via rundll32 (qui lan\u00e7ait le fichier DLL malveillant).<\/p>\n Dans le cadre d\u2019une attaque simul\u00e9e mais ing\u00e9nieuse, des chercheurs ont fusionn\u00e9 deux fichiers ZIP ordinaires<\/a> et ont constat\u00e9 que diff\u00e9rents outils d\u2019archivage courants affichaient le fichier combin\u00e9 de mani\u00e8re diff\u00e9rente\u00a0: certains n\u2019affichaient que la premi\u00e8re archive, d\u2019autres uniquement la seconde, tandis que d\u2019autres encore affichaient les deux \u00e0 la fois, comme s\u2019il s\u2019agissait d\u2019une seule et m\u00eame archive au contenu partag\u00e9. Si le pirate informatique conna\u00eet bien l\u2019infrastructure de la victime et sait quels logiciels celle-ci a install\u00e9s, il peut profiter de cette situation pour pr\u00e9senter un fichier aux outils de s\u00e9curit\u00e9 tout en en montrant un autre \u00e0 la victime.<\/p>\nExemples de fichiers polyglottes utilis\u00e9s dans des cyberattaques connues<\/h2>\n