diff --git a/thesis/chapters/chap2.tex b/thesis/chapters/chap2.tex index 362f442bf8cc0429889423b04fbeb0fbc5b585db..d45e8640043175a6a6f5184fe00f7e01b5a68128 100644 --- a/thesis/chapters/chap2.tex +++ b/thesis/chapters/chap2.tex @@ -156,8 +156,8 @@ existent cependant ceux-ci peuvent être regrouper en deux grandes familles : Au tournant des années 2000, une approche avant-gardiste d'implémentation de \textit{rootkit}s a émergé. Celle-ci se base sur l'utilisation d'un hyperviseur dans le but de \textbf{subvertir} l'\acrshort{os} hôte du système. De ce fait, -le système d'exploitation \say{natif} se retrouvait cantonner dans une machine -virtuelle et par conséquent se voyait retirer son niveau de privilège maximale +le système d'exploitation \say{natif} se retrouve cantonner dans une machine +virtuelle et par conséquent se voit retirer son niveau de privilège maximal sur la machine physique. La section présente aura donc pour but de dresser l'état de l'art des @@ -167,25 +167,25 @@ de virtualisation afin de compromettre un système physique. \subsection{SubVirt} La première implémentation connue de \acrshort{vmbr} est prénommée \textbf{SubVirt}. -Ce virus fut présenté au grand public dans le papier \textit{\say{SubVirt: Implementing malware with virtual machines}}\cite{king_subvirt_2006}, -publié en 2006 par par des chercheurs de l'université du Michigan ainsi que +Ce virus fut présenté au grand public dans le papier \textit{\say{SubVirt: Implementing malware with virtual machines}} \cite{king_subvirt_2006}, +publié en 2006 par des chercheurs de l'université du Michigan ainsi que ceux de Microsoft. Le \acrshort{poc} de SubVirt fut implémenté pour l'architecture x86 au moyen des hyperviseurs Virtual PC et VMWare Workstation. L'attaque nécessite un accès privilégié au système physique du fait que la -compromission de la cible se fera à travers la modification de la la séquence de +compromission de la cible se fera à travers la modification de la séquence de démarrage de celle-ci. Ayant obtenu cet accès, la première chose dont l'attaquant doit s'occuper est d'installer l'état du \acrshort{vmbr} sur un stockage pérenne. Dans le papier, les auteurs prennent l'exemple de l'hôte exécutant Windows XP comme \acrshort{os} natif. Pour cet hôte, ils installent l'état du \acrshort{vmbr} au début de la première partition utilisée et relogent -les données contenus à cet endroit vers d'autres blocs inutilisés sur le disque. +les données contenues à cet endroit vers d'autres blocs inutilisés sur le disque. L'étape suivante du virus consiste à modifier la séquence de démarrage du système hôte. Les auteurs du papier mettent en avant le fait que les antivirus, même ceux de l'époque, peuvent détecter des modifications effectuées au -\acrshort{mbr} \footnote{Enregistrement d'amorçage maître}. Afin de ne pas +\gls{mbr} \footnote{Enregistrement d'amorçage maître}. Afin de ne pas être détecté par ces logiciels préventifs, la manipulation des blocs liés à la -zone d'amorçage se fait lors des ultimes phases de l'extinction du système +zone d'amorçage se fait lors des phases ultimes de l'extinction du système lorsque la majorité des sous-systèmes du noyau, notamment les antivirus, ont terminé leur exécution. Toujours dans le cas de Windows XP, dans leur \say{module noyau} les auteurs enregistrent une routine de gestion d'événements @@ -200,7 +200,7 @@ conséquence de lancer le \textit{malware} au prochain démarrage. \begin{center} \includegraphics[width=0.8\textwidth]{figures/diagrams/subvirt_repr} \end{center} - \caption{Diagramme comparant l'état sain et infectée d'une machine infectée + \caption{Diagramme comparant l'état sain et corrompu d'une machine infectée par SubVirt, les parties grises représentent les composantes du \acrshort{vmbr}. Source : papier scientifique de SubVirt, p.5 \cite{king_subvirt_2006}}\label{fig:subvirt_repr} \end{figure}