Back Orifice
1.Définition de "Back Orifice"
"Back Orifice" est une application client/serveur qui permet au logiciel
client de surveiller, administrer, et effectuer à distance n'importe
quelle action (réseau, multimédia, redémarrage, fichiers,…)
sur la machine exécutant le serveur.
Actuellement (09/98 : version 4.00.1),
le serveur ne peut s'exécuter que sous Windows 95/98.
Par contre, l'application cliente (en mode console ou en mode graphique) peut
être lancée sous Windows 95/98 ou Windows NT, et même sous
UNIX (interface console seulement).
On a coutume de remplacer "Back Orifice" par ses initiales ("BO"), mais cet usage est à éviter, car "BO" désigne avant tout le produit "Business Objects", outil servant à accéder, analyser et partager les informations contenues dans des bases de données, ce qui n'a évidemmment rien de commun avec "Back Orifice".
--------------------------------------------------------------------------------
2.Origine et buts de "Back Orifice"
Cette application a été développée en 1998 par un
groupe de "hackers" nommé "Cult of the Dead Cow"
(cDc) et diffusée sur Internet très rapidement, dans le but (d'après
leurs auteurs) de mettre en évidence les trous de sécurité
existant dans Windows 95/98 (et donc de dévaloriser ce système.
L'intention "anti-MicroSoft" est clairement affichée, comme
en témoigne le nom même de "Back Orifice", évoquant
la suite bureautique de Microsoft "Back Office").
Ce groupe n'est pas clandestin :
adresse postale : cDc communications,
PO Box 53011, Lubbock, TX, 79453, USA
adresse Web : http://www.cultdeadcow.com/
Il a été créé en 1984 et a adopté ce nom
pour le moins étrange de "Culte de la Vache morte" par référence
à une expression utilisée par Li Peng pour désigner (avec
un certain mépris) le respect des Droits de l'Homme (Les hackers du cDc
n'ont pas apprécié la rencontre de Bill Gates avec le président
chinois en 1996).
Remarque importante : ce logiciel n'est pas un virus !
Au cours des tests décrits ici, Back Orifice a été soumis aux 2 principaux logiciels anti-virus :
McAfee VirusScan (3.1.4) doté
de la base de signatures du 15/10/98 :détection (mais non détecté
avec les versions antérieures)
Norton AntiVirus (4.0) doté de la base de signatures du 01/09/98 : détection.
"NAV" précise que ce n'est pas réellement un virus,
mais un "cheval de Troie". En particulier, Back Orifice ne se duplique
pas automatiquement comme le fait un virus.
--------------------------------------------------------------------------------
3.Composition de Back Orifice
Il peut être obtenu depuis différents sites Internet :
Pour l'application client et serveur Windows (exécutables - le fichier
compressé a une taille de 278 ko) :
http://www.l0pht.com/bo/bo120.zip
http://backorifice.int0rnet.net/bo120.zip
http://orifice.rotten.com/cDc/bo120.zip
http://www.ennui.net/~crioux/bo.zip
http://www.mut3x.com/cdc/bo120.zip
http://www.toxyn.org/bo.zip
Pour l'application cliente UNIX (source + makefile - le fichier compressé
a une taille de 27 ko) :
http://www.ennui.net/~crioux/bo121unix.tar.gz
http://orifice.rotten.com/cDc/bo121unix.tar.gz
http://www.cultdeadcow.com/tools/bo121unix.tar.gz
Back Orifice a été téléchargé 35 000 fois
dans les 4 premières heures et 100 000 fois après 21 jours (à
l'heure actuelle plus de 200 000 fois)!
Une fois décompressé (version Windows) , "Back Orifice"
se compose des fichiers suivants :
--------------------------------------------------------------------------------
4.Installation de Back Orifice
Il suffit d'exécuter le fichier exécutable BOSERVE.EXE
Cette exécution peut être effectuée :
Volontairement par l'utilisateur
de la station Windows 95/98. En effet, malgré sa réputation "sulfureuse",
Back Orifice peut être un EXCELLENT outil de télémaintenance,
au même titre que des produits commerciaux comme "PCAnyWhere".
Involontairement, à la suite de l'installation d'un autre logiciel dans
lequel BOSERVE aura été ajouté, ou encore plus simplement
en exécutant BOSERVE qui aura été renommé sous un
nom quelconque et plus ou moins familier à l'utilisateur. Par exemple,
on veut envisager le scénario suivant :
Un serveur FTP, HTTP, Notes,… met à la disposition de tout le monde
un utilitaire de conversion de fichier (Word, PDF, ..), nommé (par exemple)
"wordconf.exe".
En réalité, cet exécutable n'est autre que "boserve.exe"
renommé.
Une fois ce fichier téléchargé, il est vu comme un exécutable
tout à fait inoffensif par n'importe quel antivirus. En effet, il ne
possède aucune signature de réplication, et son exécution
n'altère aucun secteur disque vital tel que le MBR (Master Boot Record,
qui contient la table de partitions) ou un secteur de démarrage.
Son exécution, qui est totalement silencieuse, ne va générer
aucun message. L'utilisateur n'y prêtera pas une attention particulière
(dans le cas d'un filtre de conversion, il n'y a rien de "visible"
qui doive se produire).
Lors de sa première exécution, BOSERVE.EXE va procéder aux 2 opérations suivantes :
auto-renommage de "BOSERVE.EXE"
en " .EXE".
Le nom du fichier se réduit à un espace, suivi de l'extension
habituelle "exe" des exécutables!) Cela lui permet de passer
presque inaperçu à l'utilisateur. En, effet, une commande DOS
telle que "dir *.exe" va afficher le nom court de ce fichier, qui
est alors "exe~1" (sans extension)
modification de la clef suivante
de la base de registres :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
La valeur par défaut de cette clef, vide en temps normal, se voit affecter
la chaîne " .exe"
Conséquences :
La clef désignée ci-dessus contient la liste de toutes les applications
lancées au démarrage de Windows, avant même l'ouverture
d'une session utilisateur. Or l'éditeur de stratégies système
"PolEdit" (fourni avec Windows) ne trouve aucune trace de Back Orifice
(rubrique "Registre /Ordinateur local/ Système/ Programmes à
exécuter/ Exécuter services" qui sert à afficher et/ou
éditer la listes des services).
Cette anomalie s'explique simplement par le fait que Back Orifice, renommé
en " .exe", est un service sans nom puisque inscrit dans la valeur
par défaut de la clef de la BDR.
Seul un examen approfondi de la BDR à l'aide de regedit peut repérer
Back Orifice (et à la condition de connaître son nouveau nom "
.exe")
Ce que "voit" Poledit (6 entrées) :
Ce qu'il y a dans la BDR (7 entrées) :
Back Orifice fait appel à des API très importantes de Windows. Par exemple on dénote :
accès et modification de la
BDR
gestion de processus
gestion réseau
terminaison de Windows
gestion de "hook" (détournement de messages Windows)
4.2 Client
Il suffit d'exécuter (sous Windows) l'un des deux programmes BOCLIENT.EXE
(mode console) ou BOGUI.EXE (mode graphique).
4.3 Principe de communication client/serveur
Le client et le serveur échangent des paquets cryptés en UDP/IP
(donc un mode non connecté) et utilisent par défaut le port n°
31337 .
Ce n° peut être modifié à l'aide d'un utilitaire (boconfig.exe)
appliqué sur le module serveur avant téléchargement vers
le serveur. Il suffit ensuite que l'application cliente connaisse le hostname
ou adresse IP du serveur, ainsi que le n° de port retenu.
Dans le cas où le serveur n'a pas d'adresse IP statique (adresse dynamique
attribuée par un serveur DHCP), il a été prévu dans
l'application cliente une procédure de balayage de plages d'adresses
IP, effectuant alors une série de "ping" jusqu'à ce
que le serveur réponde.
Un nombre très important de commandes est disponible. Certaines sont
des commandes TCP/IP encapsulées. On a recensé et testé
ici seulement les principales.
Pour plus de détails sur le protocole utilisé, veuillez consulter
le site consacré à "NOBO"
4.4 Plates-formes des tests effectués ici
Plate-forme cliente :
PC sous Windows NT4 server (Pentium II 333 – 256 Mo de RAM)
L'interface graphique BOGUI.EXE (278 ko) a été utilisée
(très ergonomique au demeurant)
Plate-forme serveur :
PC sous Windows 98 (Pentium 133 – 32 Mo de RAM)
--------------------------------------------------------------------------------
5.Tests
les adresses IP apparaissant dans les captures d'écran suivantes appartiennent
à un réseau local protégé par un coupe-feu et ne
sont donc pas accessibles depuis Internet !
"System Info"
Affiche les caractéristiques principales du serveur :
Processeur
Système d'exploitation
Mémoire vive
Disques durs
"File view"
Affiche le contenu de n'importe quel fichier texte (dans l'exemple ci-contre,
le fichier "notes.ini")
"HTTP Enable"
Back Orifice serveur contient un serveur HTTP, dont on peut choisir le n°
de port. Ici, on a retenu 8181.
Il est alors possible d'explorer les répertoires depuis n'importe quel navigateur Web par l'URL http://cli53gl:8181/
"Process list"
Affiche la liste de tous les processus actifs sur le serveur.
"Reg list values"
Affiche la liste des valeurs contenues dans une clef de la base de registres.
Dans l'exemple ci-contre, on affiche la liste des services.
"System dialogbox"
Permet d'afficher sur le serveur une boite de dialogue avec le titre et le message
que l'on veut.
"System Passwords"
Une des fonctionnalités les plus étonnantes (et dangereuses) :
Back Orifice affiche en clair TOUS les mots de passe réseau mémorisés
par le système !
(ces mots de passe ont été
masqués dans l'exemple ci-contre!)
Les autres commandes existantes sont :
transfert de fichiers via FTP
arrêt puis redémarrage de Windows
exécution d'un programme
création / suppression de répertoires
copie / suppression de fichiers
compression / décompression de fichiers
opérations "multimédia" (exécution d'un fichier
son, clip vidéo,..)
connexion / déconnexion réseau (montage / démontage de
ressources)
création / suppression de clefs dans la BDR
--------------------------------------------------------------------------------
6.Conséquences
Elles sont évidentes : Si le serveur Back Orifice a été
introduit sur une station Windows 95/98 dans un but malintentionné, toute
station dotée du client Back Orifice pourra TOUT faire à distance
sur cette machine (suppression de fichier, capture de mot de passe, exécution
de n'importe quel programme,…)
Donc les conséquences peuvent être très graves !
Mais il faut noter que l'utilisation d'outils de télémaintenance tout à fait "officiels" comme "PCAnyWhere", "Carbon Copy", "LapLink", … peuvent de la même façon perturber le fonctionnement d'une machine s'ils sont mal utilisés.
Cette situation est due au fait qu'il n'y a aucune sécurité réelle dans Windows 95/98 , à l'opposé de Windows NT et de tout système UNIX. Une fois que l'on a pu accéder par exemple au "menu démarrer", il n'y a pas de contrôle d'exécution par rapport à l'utilisateur en cours (Par exemple, sous Windows NT, l'accès à la base de registre est réservée aux administrateurs, de même, sous UNIX, seul le compte "root"' peut modifier les fichiers de configuration situés dans le répertoire /etc)
--------------------------------------------------------------------------------
7.Les parades
Elles sont assez simples à mettre en œuvre, comme on va le voir.
7.1.Préventives
S'assurer au maximum de la provenance des fichiers téléchargés
depuis un serveur Internet.
Travailler sous un système d'exploitation sécurisé : Windows
NT, UNIX (Linux)
7.2 Curatives
Comme on a pu le voir précédemment, Back Orifice serveur est constitué
d'un seul fichier (BOSERVER.EXE, renommé en " .exe"), et d'une
clef dans la Base de Registres. Donc pour enlever Back Orifice de sa machine,
il suffit de :
supprimer le fichier " .exe"
(situé dans le répertoire \windows\systeme)
supprimer la chaîne " .exe" de la valeur par défaut de
la clef
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
redémarrer la machine
7.3 Outils d'éradication ou de surveillance
Indépendamment des anti-virus habituels, différents outils (offciiels ou non) ont été développés soit pour éradiquer Back Orifice, soit pour averir l'utilisateur qu'il est "espionné" par Back Orifice (liste non exhaustive!) :
Antigen
Cet utilitaire gratuit sert à détecter, nettoyer et détruire
Back Orifice. Il utilise une interface graphique pour guider l'utilisateur dans
cette tâche. C'est un produit de Fresh Software.
Il est disponible à l'adresse suivante :
http://www.arez.com/fs/antigen/
Back Orifix
Ce logiciel est diffusé gratuitement sur Internet depuis le 1er septembre
1998. Il émane de l'entreprise canadienne "GroupAxion". Son
but est de supprimer Back Orifice. Back Orifix effectue une recherche complète
de Back Orifice, affiche le fichier le concernant puis le supprime. Par contre,
il ne restaure pas la Base de registres, ce qui est un oubli important.
Il est disponible à l'adresse suivante :
http://www.groupaxion.com/BOrifix/telechargement.html
Remarque : dans un document intitulé "GroupaXion - Back OrifiX -
Communiqué", GroupAxion a eu tendance a dramatiser un peu la situation.
Par exemple, on a pu relever les passages suivants :
"Jusqu'à la mise au point du logiciel de protection Back OrifiX,
la manière la plus rapide et la plus simple de se débarrasser
de [Back Orifice] était de réinstaller Windows ".
On peut heureusement se dispenser de cette opération, pour le moins radicale,
par une simple suppression de fichier et modification d'une clef de la BDR
"Il reste également invisible lorsque vous accédez aux commandes
" Control-alt-delete" qui fournit la liste des programmes en cours
d'utilisation"
Il est exact que le pseudo-gestionnaire de processus de Windows 95/98 ne "voit"
pas Back Orifice, par contre n'importe quel outil sérieux donnant la
liste des processus l'affichera.
Exemple obtenu avec "SCANBIN"
(extrait)
Liste des modules actifs (12/09/1998
16:32:45)
Modules exe-32
...
1 c:\fisc\flash\flshstat.exe
1 c:\program files\mcafee\virusscan\vshwin32.exe
1 c:\windows\explorer.exe
1 c:\windows\flexicd.exe
1 c:\windows\system\ .exe
1 c:\windows\system\inetsrv\inetinfo.exe
1 c:\windows\system\mprexe.exe
...
BOFreeze
Cet utilitaire gratuit a un rôle défensif. Il ne prémunit
pas contre l'infiltration de Back Orifice et ne le supprime pas, par contre
il peut avertir l'utilisateur d'une "attaque" de Back Orifice. Il
identifie les paquets UDP arrivant sur le PC, les décrypte et détecte
la chaîne caractéristique de Back Orifice qui est *!*QWTY? .
Ensuite il retourne au client Back Orifice des paquets volontairement malformés
afin de le bloquer complètement.
Il est disponible à l'adresse suivante :
http://members.xoom.com/wzc/bof/main.html
NOBO
Cet utilitaire gratuit sert à détecter une attaque de Back Orifice.
Il ne prémunit pas contre l'infiltration de Back Orifice et ne le supprime
pas.Il engistre les paquets UDP arrivant sur le PC et les stocke dans un fichier
journal.
Il est disponible à l'adresse suivante :
http://web.cip.com.br/nobo/nobo_en.html
--------------------------------------------------------------------------------
8.La rumeur...
Il circule depuis quelque temps sur Internet une rumeur comme quoi un poste
(Windows 95/98) infecté par Back Orifice (=serveur) et/ou un poste client
se connecterai(en)t à l'insu des utilisateurs vers le serveur http://www.netninja.com/
(qui existe réellement d'ailleurs).
Cela me semble de la plus haute fantaisie, et donc relever effectivement de la rumeur comme on a trop tendance à en voir circuler sur Internet..
Pour étayer cela, les test suivants ont été effectués :
Analyse dans le détail des
exécutables "boserve.exe" (le serveur = le cheval de Troie),
"bogui.exe" (le client), ainsi que de la DLL intégrée
dans une ressource de boserve.exe. Les vidages hexadécimaux complets
des fichiers (122 ko et 278 ko) ont été étudiés.
Toutes les ressources (stringtable, data,..) ont été analysées.
Rien qui puisse ressembler à une adresse IP n'a été détecté
(encore que cela soit hautement improbable, car rien n'est plus mouvant qu'une
adresse IP), ni à un hostname. Cela n'est cependant pas une preuve absolue,
le hostname pouvant éventuellement être crypté.
De plus, en ce qui concerne le client, l'analyse est beaucoup plus simple et claire, puisque les sources (UNIX) sont disponibles. Même l'algorithme de cryptage de la magic string "*!*QWTY?" y figure ! Et on peut affirmer que rien ne fait référence à une quelconque connexion occulte.
(Ré)installation de BOSERVE
sur une machine sous Windows 98 (= délibérément infectée
par Back Orifice), ainsi que BOGUI sur une autre machine sous Windows NT 4.
Pour être sûr que ces deux exécutables ne fassent pas appel
à des DLL "non référencées", ils ont été
lancés en "exécution contrôlée" (à
l'aide de Scanbin)
A l'aide d'un analyseur de trafic réseau installé sur une 3ème
machine appartenant au même sous-réseau, on a capturé l'intégralité
des datagrammes IP entrants et sortants des 2 machines concernées par
Back Orifice .On a pu ainsi reconnaître les datagrammes UDP sur le port
31337, transitant entre client et serveur, mais à aucun moment il n'y
a eu de connexion vers d'autres machines.
Le seul lien que l'on
ait pu trouver entre Back Orifice et NetNinja est un plugin ("SpeakEasy"),
disponible sur le site Netninja.
Ce plug-in permet de se connecter sur un serveur IRC, canal #BO_OWNED, avec
un nom aléatoire. A partir de là, il annonce périodiquement
l'adresse IP du serveur Back Orifice.
C'est peut-être
là l'origine de cette rumeur !
L'information :
"Sur NetNinja, on trouve un outil pour Back Orifice permettant de communiquer
son adresse IP"
a du être peu à peu déformée en :
"Back Orifice communique son adresse IP à NetNinja"
--------------------------------------------------------------------------------
9.Conclusion
"Back Orifice" est un logiciel REMARQUABLE, de par ses possibilités
et sa compacité. Il est totalement excessif de qualifier le cDc de "cybercriminels"
(ne pas confondre "hacker" et "cracker"). Il peut avoir
des conséquences très graves s'il est utilisé à
des fins malsaines, toutefois il ne faut pas céder à la panique.
Et cela pour deux raisons principalement :
Back Orifice n'est pas un virus (il
ne se multiplie pas insidieusement en infectant d'autres fichiers)
Back Orifice peut s'enlever facilement
Mais inversement, il ne faut pas non plus négliger ce danger potentiel,
comme a pu le faire Microsoft, qui a fait preuve d'une désinvolture certaine
:
Microsoft : " …BackOrifice
does not compromise the security of a Windows network…",
CDc : " … cDc would like to know where exactly Microsoft is getting
its definition of 'compromise the security'."
D'autre part, Microsoft a objecté que "…computers running Windows
95 and Windows 98 are not vulnerable if the computer is not connected to the
outside world …". Or on peut très bien envisager le cas, (au
sein d'une entreprise, d'une université,...) d'un employé, étudiant,...
malintentionné "espionnant" les machines de ses collègues
ou condisciples !
On peut espérer que cette mise en défaut JUSTIFIEE de la sécurité de Windows 95/98 incitera donc MicroSoft à réagir, et à fournir auprès des utilisateurs de son système les outils correctifs qui s'imposent. En particulier, le système utilisé par Windows 95/98 de cache des mots de passe en clair est à revoir le plus rapidement possible !
Par ailleurs, il est urgent que TOUS les éditeurs de logiciels anti-virus actualisent rapidement leurs bases de signatures (si cela n'est pas déjà fait bien sûr). (p.ex. McAfee a été en retard sur Norton)
©
Allthings.com, 2001