Classification de kits d'exploitation avec l'utilisation d'explorateurs de pages

Malgré l'avancement technologique des systèmes informatiques, la sécurité de ceux-ci demeure un problème récurrent. Plus spécifiquement, dans le cas des virus informatiques, les techniques de protection utilisées permettent seulement des détections a posteriori notamment grâce à l'utilisation de signatures des binaires. De plus, avec l'arrivée marquée des kits d'exploitation et du paradigme de logiciel malveillant en tant que service, un écosystème de collaborations s'est créé, rendant la tâche de compréhension des pirates encore plus difficile. Nous avons émis l'hypothèse qu'il existe beaucoup d'associations qui permettent de déterminer des groupes comportementaux distincts nous aidant à mieux comprendre l'environnement dans lequel les pirates travaillent. Pour ce faire, nous avons développé un système d'exploration de pages web qui permet de récupérer une multitude d'informations sur le site web, le contenu de la page, le binaire utilisé et bien d'autres informations lors d'une attaque. Nous avons réalisé trois expériences d'exploration qui se sont étendues sur une période de près de 3 semaines où plus de 10,000 explorations ont été réalisées sur près de 3000 URL durant lesquelles nous avons récolté près de 200 GO de données. Notre premier test tentait de déterminer si un mécanisme de géolocalisation permettait aux pirates d'infecter différemment leurs victimes en se basant sur l'emplacement de ceux-ci. L'expérience nous a permis de déterminer que certains mécanismes tel le flux rapide DNS ou la balance de charge modifient le comportement des pages en fonction d'où l'infection a lieu, par contre nous n'avons pu conclure que les infections diffèrent en fonction de la localité de la victime. Le second test voulait établir le temps de vie moyen des pages qui sont utilisées pour l'infection. Grâce à celui-ci, nous avons pu noter deux comportements distincts, soit les virus sont distribués sur des pages légitimes par l'entremise d'une campagne de logiciel malveillant, très souvent de la publicité, sinon les pages sont créées uniquement pour l'infection. Dans le premier cas, les pages restent en vie longtemps, puisqu'une fois l'infection nettoyée, les pages sont légitimes. Sinon, dans le deuxième cas, nous n'avons pu déterminer de temps exact puisque la plupart des pages étaient mortes à leur réception qui est au maximum une heure plus tard. Finalement, notre troisième test cherchait à comprendre si un système de liste noire était utilisé pour limiter les infections. L'expérience a été effectuée en octobre 2013 alors que le visage de la cybercriminalité semblait changer après l'arrestation du développeur du célèbre kit d'exploitation Blackhole. Notre expérience nous a permis de constater que notre flux d'URL avait beaucoup changé et ne semblait plus générer aucune infection. Malgré qu'il soit difficile d'attribuer ceci aux évènements, il n'en est pas moins intéressant. Somme toute, notre système nous a permis de déterminer certains comportements que les pirates utilisent qui ne nous semblaient pas nécessairement évidents. Par contre, le système nécessite encore beaucoup de travail pour augmenter son efficacité et l'amplitude des données recueillies. Certaines solutions à code source ouvert semblent être une excellente option pour faire évoluer le projet.