Microsoft lance un service gratuit de détection des logiciels malveillants Linux Forensics et Rootkit

Microsoft a annoncé une nouvelle initiative gratuite visant à découvrir des preuves médico-légales de sabotage sur les systèmes Linux, y compris des rootkits et des logiciels malveillants intrusifs qui pourraient autrement ne pas être détectés.

L’offre cloud, baptisée Projet Freta, est un mécanisme d’analyse judiciaire de la mémoire basé sur des instantanés qui vise à fournir une inspection automatisée de la mémoire volatile du système complet des instantanés de machines virtuelles (VM), avec des capacités pour détecter les logiciels malveillants, rootkits du noyau, et d’autres techniques malveillantes furtives telles que masquage de processus.

Le projet porte le nom de Varsovie Rue Freta, berceau de Marie Curie, la célèbre physicienne franco-polonaise qui a apporté Imagerie médicale par rayons X sur le champ de bataille pendant la Première Guerre mondiale.

«Les logiciels malveillants modernes sont complexes, sophistiqués et conçus avec la non-découvrabilité comme principe de base», a déclaré Mike Walker, directeur principal de Microsoft pour New Security Ventures. «Project Freta a l’intention d’automatiser et de démocratiser la criminalistique des VM à un point où chaque utilisateur et chaque entreprise peuvent balayer la mémoire volatile pour détecter des logiciels malveillants inconnus en appuyant simplement sur un bouton – aucune configuration requise.

L’objectif est de déduire la présence de logiciels malveillants à partir de la mémoire, tout en prenant le dessus dans la lutte contre les acteurs de la menace qui déploient et réutilisent des logiciels malveillants furtifs sur les systèmes cibles pour des arrière-pensées et, plus important encore, rendent l’évasion impossible et augmentent le développement. coût des logiciels malveillants cloud non détectables.

À cet effet, le «système de détection fiable» fonctionne en s’attaquant à quatre aspects différents qui rendraient les systèmes immunisés contre de telles attaques en premier lieu en empêchant tout programme de:

• Détecter la présence d’un capteur de sécurité avant de s’installer
• Résider dans une zone hors de vue du capteur
• Détecter le fonctionnement du capteur et en conséquence s’effacer ou se modifier pour échapper à la détection, et
• Altération des fonctions du capteur pour provoquer un sabotage

«Lorsque les attaquants et les défenseurs partagent une microarchitecture, chaque mouvement de détection effectué par un défenseur perturbe l’environnement d’une manière qui peut éventuellement être découverte par un attaquant investi dans le secret», a noté Walker. « La seule façon de découvrir de tels attaquants est de supprimer leur vision de la défense. »

Ouvert à toute personne possédant un compte Microsoft (MSA) ou un compte Azure Active Directory (AAD), Project Freta permet aux utilisateurs de soumettre des images mémoire (fichiers .vmrs, .lime, .core ou .raw) via un portail en ligne ou une API, publiez un rapport détaillé généré qui explore différentes sections (modules du noyau, fichiers en mémoire, rootkits potentiels, processus, etc.) qui peuvent être exportés via le format JSON.

Microsoft a déclaré qu’il se concentrait sur Linux en raison du besoin d’empreintes digitales des systèmes d’exploitation dans le cloud d’une manière indépendante de la plate-forme à partir d’une image mémoire brouillée. Il a également cité la complexité accrue du projet, étant donné le grand nombre de noyaux disponibles publiquement pour Linux.

Cette version initiale de Project Freta prend en charge plus de 4 000 noyaux Linux, avec la prise en charge de Windows en préparation.

Il est également en train d’ajouter une capacité de capteur qui permet aux utilisateurs de migrer la mémoire volatile des VM en direct vers un environnement hors ligne pour une analyse plus approfondie et davantage d’outils de prise de décision basés sur l’IA pour la détection des menaces.

« Le but de cet effort de démocratisation est d’augmenter le coût de développement des logiciels malveillants infonuagiques non détectables vers son maximum théorique », a déclaré Walker. « Les producteurs de logiciels malveillants furtifs seraient alors enfermés dans un cycle coûteux de réinvention complète, faisant d’un tel cloud un endroit impropre aux cyberattaques. »

Le portail d’analyse en ligne peut être accédé ici. La documentation complète du projet Freta est disponible ici.