1.D�finition de "Back Orifice"

"Back Orifice" est une application client/serveur qui permet au logiciel client de surveiller, administrer, et effectuer � distance n'importe quelle action (r�seau, multim�dia, red�marrage, fichiers,�) sur la machine ex�cutant le serveur.

Actuellement (09/98 : version 4.00.1), le serveur ne peut s'ex�cuter que sous Windows 95/98.
Par contre, l'application cliente (en mode console ou en mode graphique) peut �tre lanc�e sous Windows 95/98 ou Windows NT, et m�me sous UNIX (interface console seulement).

On a coutume de remplacer "Back Orifice" par ses initiales ("BO"), mais cet usage est � �viter, car "BO" d�signe avant tout le produit "Business Objects", outil servant � acc�der, analyser et partager les informations contenues dans des bases de donn�es, ce qui n'a �videmmment rien de commun avec "Back Orifice".

2.Origine et buts de "Back Orifice"

Cette application a �t� d�velopp�e en 1998 par un groupe de "hackers" nomm� "Cult of the Dead Cow" (cDc) et diffus�e sur Internet tr�s rapidement, dans le but (d'apr�s leurs auteurs) de mettre en �vidence les trous de s�curit� existant dans Windows� 95/98 (et donc de d�valoriser ce syst�me. L'intention "anti-MicroSoft" est clairement affich�e, comme en t�moigne le nom m�me de "Back Orifice", �voquant la suite bureautique de Microsoft "Back Office").
Ce groupe n'est pas clandestin :

• adresse postale : cDc communications, PO Box 53011, Lubbock, TX, 79453, USA
• adresse Web : http://www.cultdeadcow.com

Il a �t� cr�� en 1984 et a adopt� ce nom pour le moins �trange de "Culte de la Vache morte" par r�f�rence � une expression utilis�e par Li Peng pour d�signer (avec un certain m�pris) le respect des Droits de l'Homme (Les hackers du cDc n'ont pas appr�ci� la rencontre de Bill Gates avec le pr�sident chinois en 1996).

Remarque importante : ce logiciel n'est pas un virus !

Au cours des tests d�crits ici, Back Orifice a �t� soumis aux 2 principaux logiciels anti-virus :

• McAfee VirusScan (3.1.4) dot� de la base de signatures du 15/10/98 :d�tection (mais non d�tect� avec les versions ant�rieures)
• Norton AntiVirus (4.0) dot� de la base de signatures du 01/09/98 : d�tection. "NAV" pr�cise que ce n'est pas r�ellement un virus, mais un "cheval de Troie". En particulier, Back Orifice ne se duplique pas automatiquement comme le fait un virus.

3.Composition de Back Orifice

Il peut �tre obtenu depuis diff�rents sites Internet :
Pour l'application client et serveur Windows (ex�cutables - le fichier compress� a une taille de 278 ko) :

• http://www.l0pht.com/bo/bo120.zip
• http://backorifice.int0rnet.net/bo120.zip
• http://orifice.rotten.com/cDc/bo120.zip
• http://www.ennui.net/~crioux/bo.zip
• http://www.mut3x.com/cdc/bo120.zip
• http://www.toxyn.org/bo.zip

Pour l'application cliente UNIX (source + makefile - le fichier compress� a une taille de 27 ko) :

• http://www.ennui.net/~crioux/bo121unix.tar.gz
• http://orifice.rotten.com/cDc/bo121unix.tar.gz
• http://www.cultdeadcow.com/tools/bo121unix.tar.gz

Back Orifice a �t� t�l�charg� 35 000 fois dans les 4 premi�res heures et 100 000 fois apr�s 21 jours (� l'heure actuelle plus de 200 000 fois)!
Une fois d�compress� (version Windows) , "Back Orifice" se compose des fichiers suivants :
�

4.Installation de Back Orifice

• 4.1.Serveur
• 4.2 Client
• 4.3 Principe de communication client/serveur
• 4.4 Plates-formes des tests effectu�s ici

4.1.Serveur

Il suffit d'ex�cuter le fichier ex�cutable BOSERVE.EXE

Cette ex�cution peut �tre effectu�e :

• Volontairement par l'utilisateur de la station Windows 95/98. En effet, malgr� sa r�putation "sulfureuse", Back Orifice peut �tre un EXCELLENT outil de t�l�maintenance, au m�me titre que des produits commerciaux comme "PCAnyWhere".
• Involontairement, � la suite de l'installation d'un autre logiciel dans lequel BOSERVE aura �t� ajout�, ou encore plus simplement en ex�cutant BOSERVE qui aura �t� renomm� sous un nom quelconque et plus ou moins familier � l'utilisateur. Par exemple, on veut envisager le sc�nario suivant :

  Un serveur FTP, HTTP, Notes,� met � la dispositionde tout le monde un utilitaire de conversion de fichier (Word, PDF, ..), nomm� (par exemple) "wordconf.exe".
  En r�alit�, cet ex�cutable n'est autre que "boserve.exe" renomm�.
  Une fois ce fichier t�l�charg�, il est vu comme un ex�cutable tout � fait inoffensif par n'importe quel antivirus. En effet, il ne poss�de aucune signature de r�plication, et son ex�cution n'alt�re aucun secteur disque vital tel que le MBR (Master Boot Record, qui contient la table de partitions) ou un secteur de d�marrage.
  Son ex�cution, qui est totalement silencieuse, ne va g�n�rer aucun message. L'utilisateur n'y pr�tera pas une attention particuli�re (dans le cas d'un filtre de conversion, il n'y a rien de "visible" qui doive se produire).

Lors de sa premi�re ex�cution, BOSERVE.EXE va proc�der aux 2 op�rations suivantes :

• auto-renommage de "BOSERVE.EXE" en " .EXE".

  Le nom du fichier se r�duit � un espace, suivi de l'extension habituelle "exe" des ex�cutables!) Cela lui permet de passer presque inaper�u � l'utilisateur. En, effet, une commande DOS telle que "dir *.exe" va afficher le nom court de ce fichier, qui est alors "exe~1" (sans extension)

• modification de la cl� suivante de la base de registres :

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
  La valeur par d�faut de cette cl�, vide en temps normal, se voit affecter la cha�ne " .exe"

Cons�quences :
La cl� d�sign�e ci-dessus contient la liste de toutes les applications lanc�es au d�marrage de Windows, avant m�me l'ouverture d'une session utilisateur. Or l'�diteur de strat�gies syst�me "PolEdit" (fourni avec Windows) ne trouve aucune trace de Back Orifice (rubrique "Registre /Ordinateur local/ Syst�me/ Programmes � ex�cuter/ Ex�cuter services" qui sert � afficher et/ou �diter la listes des services).
Cette anomalie s'explique simplement par le fait que Back Orifice, renomm� en " .exe", est un service sans nom puisque inscrit dans la valeur par d�faut de la cl� de la BDR.
Seul un examen approfondi de la BDR � l'aide de regedit peut rep�rer Back Orifice (et � la condition de conna�tre son nouveau nom " .exe")

Ce que "voit" Poledit (6 entr�es) :

Ce qu'il y a dans la BDR (7 entr�es) :

L'analyse approfondie du module ex�cutable BOSERVE.EXE (� l'aide du logiciel SCANBIN con�u par l'auteur de ce rapport) a donn� les r�sultats suivants :

Informations g�n�rales
======================
Derni�re mise � jour : 03/08/98
Taille fichier : 124 928 octet(s)
Type de module : ex�cutable WINDOWS (32 bits) : Windows Graphic User Interface
Description Fichier :
Version logiciel : 4, 0, 0, 1
Nom Compagnie :
Copyright : Copyright � 1998
Nom interne :
Nom de fichier initial :
Nom de produit :
Version de produit : 4, 0, 0, 1
Langues : Ind�pendant de la langue
Module utilis� : 0 fois
ATTENTION !
Ce fichier fait appel aux API des librairies suivantes :
KERNEL32: LoadLibrarya
KERNEL32: GetProcAddress
=> Les listes des DLL et Imports peuvent donc �tre incompl�tes

DLL utilis�es
=============
Appels directs
--------------------------------------------------------------
dll-32 advapi32.dll 27/05/97 247 056 octet(s) (API avanc�es Windows 32)
dll-32 avicap32.dll 11/08/96 71 440 octet(s) (Classe de fen�tre de capture AVI Microsoft)
dll-32 gdi32.dll 27/05/97 165 648 octet(s) (DLL client de GDI)
dll-32 kernel32.dll 27/05/97 381 200 octet(s) (DLL cliente pour API Windows)
dll-32 mpr.dll 27/05/97 59 152 octet(s) (DLL de routeur de fournisseurs multiples)
dll-32 user32.dll 27/05/97 331 024 octet(s) (DLL client de l'API USER de Windows)
dll-32 winmm.dll 11/08/96 152 848 octet(s) (DLL API MCI)
dll-32 wsock32.dll 11/08/96 21 264 octet(s) (DLL Socket 32-bits Windows)
dll-32 svrapi.dll 14/03/98 32 768 octet(s) (32-bit common Server API library)

Ressources
==========
1 ressource type "DLL" ID= 102
1 ressource type "Ic�ne" (code=0003)ID= 1
1 ressource type "Groupe d'ic�nes" (code=000E) ID= 101

Fonctions import�es (extrait)
=============================
ADVAPI32 86 GetUserNameA
ADVAPI32 201 RegDeleteKeyA
ADVAPI32 225 RegQueryValueExA
ADVAPI32 236 RegSetValueExA
...
KERNEL32 98 ExitProcess
KERNEL32 99 ExitThread
KERNEL32 204 GetDiskFreeSpaceA
KERNEL32 376 LoadLibraryA
KERNEL32 381 LoadResource
KERNEL32 396 MapViewOfFile
KERNEL32 398 MoveFileA
KERNEL32 591 WriteFile
...
MPR 27 WNetAddConnectionA
MPR 32 WNetCancelConnectionA
MPR 41 WNetEnumCachedPasswords
...
SVRAPI 13 NetSessionEnum
SVRAPI 15 NetShareAdd
SVRAPI 16 NetShareDel
SVRAPI 17 NetShareEnum
...
USER32 16 CallNextHookEx
USER32 196 ExitWindowsEx
USER32 526 SetWindowsHookExA
USER32 558 UnhookWindowsHookEx
...
WSOCK32 2247 GetDeviceCaps

On notera les points particuliers suivants :

• Back Orifice contient une ressource de type tr�s particulier, � savoir "DLL" (ID=102). Cela signifie qu'une librairie est encapsul�e dans le programme lui-m�me. Apr�s extraction � l'aide d'une �diteur de ressources, il s'av�re qu'elle poss�de bien une structure de librairie 32 bits (Portable Executable Format). Cette ressource est situ�e � l'offset 1A83C du fichier, et a une taille de 8 ko. Afin de pouvoir l'analyser plus en d�tail, on l'a copi� dans un fichier nomm� (arbitrairement) "DLL102.DLL"

Informations g�n�rales : DLL102.DLL
===================================
Derni�re mise � jour : 12/09/98
Taille fichier : 8 192 octet(s)
Type de module : Librairie de liens dynamiques WINDOWS (32 bits)

DLL utilis�es
=============
Appels directs
--------------------------------------------------------------
dll-32 kernel32.dll 27/05/97 381 200 octet(s) (DLL cliente pour API Windows)
dll-32 msvcrt40.dll 11/08/96 65 024 octet(s) (DLL forwarder de librairie runtime Microsoft)
dll-32 user32.dll 27/05/97 331 024 octet(s) (DLL client de l'API USER de Windows)

Fonctions export�es
===================
0 _ConsoleHookProc@12
1 _KeyHookProc@12

Back Orifice fait appel � des API tr�s importantes de Windows. Par exemple on d�note :

• acc�s et modification de la BDR
• gestion de processus
• gestion r�seau
• terminaison de Windows
• gestion de "hook" (d�tournement de messages Windows)

4.2�Client

Il suffit d'ex�cuter (sous Windows) l'un des deux programmes BOCLIENT.EXE (mode console) ou BOGUI.EXE (mode graphique).

�
4.3�Principe de communication client/serveur

Le client et le serveur �changent des paquets crypt�s en UDP/IP (donc un mode non connect�) et utilisent par d�faut le port n� 31337 .
Ce n� peut �tre modifi� � l'aide d'un utilitaire (boconfig.exe) appliqu� sur le module serveur avant t�l�chargement vers le serveur. Il suffit ensuite que l'application cliente connaisse le hostname ou adresse IP du serveur, ainsi que le n� de port retenu.
Dans le cas o� le serveur n'a pas d'adresse IP statique (adresse dynamique attribu�e par un serveur DHCP), il a �t� pr�vu dans l'application cliente une proc�dure de balayage de plages d'adresses IP, effectuant alors une s�rie de "ping" jusqu'� ce que le serveur r�ponde.
Un nombre tr�s important de commandes est disponible. Certaines sont des commandes TCP/IP encapsul�es. On a recens� et test� ici seulement les principales.
Pour plus de d�tails sur le protocole utilis�, veuillez consulter le site consacr� � "NOBO"

4.4�Plates-formes des tests effectu�s ici

Plate-forme cliente :
PC sous Windows NT4 server (Pentium II 333 � 256 Mo de RAM)
L'interface graphique BOGUI.EXE (278 ko) a �t� utilis�e (tr�s ergonomique au demeurant)

Plate-forme serveur :
PC sous Windows 98 (Pentium 133 � 32 Mo de RAM)

5.Tests

Les autres commandes existantes sont :

• transfert de fichiers via FTP
• arr�t puis red�marrage de Windows
• ex�cution d'un programme
• cr�ation / suppression de r�pertoires
• copie / suppression de fichiers
• compression / d�compression de fichiers
• op�rations "multim�dia" (ex�cution d'un fichier son, clip vid�o,..)
• connexion / d�connexion r�seau (montage / d�montage de ressources)
• cr�ation / suppression de cl�s dans la BDR

6.Cons�quences

Elles sont �videntes : Si le serveur Back Orifice a �t� introduit sur une station Windows 95/98 dans un but malintentionn�, toute station dot�e du client Back Orifice pourra TOUT faire � distance sur cette machine (suppression de fichier, capture de mot de passe, ex�cution de n'importe quel programme,�)

Donc les cons�quences peuvent �tre tr�s graves !

Mais il faut noter que l'utilisation d'outils de t�l�maintenance tout � fait "officiels" comme "PCAnyWhere", "Carbon Copy", "LapLink", � peuvent de la m�me fa�on perturber le fonctionnement d'une machine s'ils sont mal utilis�s.

Cette situation est due au fait qu'il n'y a aucune s�curit� r�elle dans Windows 95/98 , � l'oppos� de Windows NT et de tout syst�me UNIX. Une fois que l'on a pu acc�der par exemple au "menu d�marrer", il n'y a pas de contr�le d'ex�cution par rapport � l'utilisateur en cours (Par exemple, sous Windows NT, l'acc�s � la base de registre est r�serv�e aux administrateurs, de m�me, sous UNIX, seul le compte "root"' peut modifier les fichiers de configuration situ�s dans le r�pertoire /etc)

7.Les parades

• 7.1.Pr�ventives
• 7.2 Curatives
• 7.3 Outils d'�radication ou de surveillance

Elles sont assez simples � mettre en �uvre, comme on va le voir.

7.1.Pr�ventives

• S'assurer au maximum de la provenance des fichiers t�l�charg�s depuis un serveur Internet.
• Travailler sous un syst�me d'exploitation s�curis� : Windows NT, UNIX (Linux)

7.2 Curatives

Comme on a pu le voir pr�c�demment, Back Orifice serveur est constitu� d'un seul fichier (BOSERVER.EXE, renomm� en " .exe"), et d'une cl� dans la Base de Registres. Donc pour enlever Back Orifice de sa machine, il suffit de :

• supprimer le fichier " .exe" (situ� dans le r�pertoire \windows\systeme)
• supprimer la cha�ne " .exe" de la valeur par d�faut de la cl�

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

• red�marrer la machine

7.3�Outils d'�radication ou de surveillance

Ind�pendamment des anti-virus habituels, diff�rents outils (offciiels ou non) ont �t� d�velopp�s soit pour �radiquer Back Orifice, soit pour averir l'utilisateur qu'il est "espionn�" par Back Orifice (liste non exhaustive!) :

Antigen

Cet utilitaire gratuit sert � d�tecter, nettoyer et d�truire Back Orifice. Il utilise une interface graphique pour guider l'utilisateur dans cette t�che. C'est un produit de Fresh Software.
Il est disponible � l'adresse suivante :
http://www.arez.com/fs/antigen/

Back Orifix

Ce logiciel est diffus� gratuitement sur Internet depuis le 1^er septembre 1998. Il� �mane de l'entreprise canadienne "GroupAxion". Son but est de supprimer Back Orifice. Back Orifix effectue une recherche compl�te de Back Orifice, affiche le fichier le concernant puis le supprime. Par contre, il ne restaure pas la Base de registres, ce qui est un oubli important.
Il est disponible � l'adresse suivante :
http://www.groupaxion.com/BOrifix/telechargement.html
Remarque : dans un document intitul� "GroupaXion - Back OrifiX - Communiqu�", GroupAxion a eu tendance a dramatiser un peu la situation. Par exemple, on a pu relever les passages suivants :
"Jusqu'� la mise au point du logiciel de protection Back OrifiX, la mani�re la plus rapide et la plus simple de se d�barrasser de [Back Orifice] �tait de r�installer Windows ".
On peut heureusement se dispenser de cette op�ration, pour le moins radicale, par une simple suppression de fichier et modification d'une cl� de la BDR
"Il reste �galement invisible lorsque vous acc�dez aux commandes " Control-alt-delete" qui fournit la liste des programmes en cours d'utilisation"
Il est exact que le pseudo-gestionnaire de processus de Windows 95/98 ne "voit" pas Back Orifice, par contre n'importe quel outil s�rieux donnant la liste des processus l'affichera.
Exemple obtenu avec "SCANBIN" (extrait)

Liste des modules actifs (12/09/1998 16:32:45)
Modules exe-32
...
1 c:\fisc\flash\flshstat.exe
1 c:\program files\mcafee\virusscan\vshwin32.exe
1 c:\windows\explorer.exe
1 c:\windows\flexicd.exe
1 c:\windows\system\ .exe
1 c:\windows\system\inetsrv\inetinfo.exe
1 c:\windows\system\mprexe.exe
...

BOFreeze

Cet utilitaire gratuit a un r�le d�fensif. Il ne pr�munit pas contre l'infiltration de Back Orifice et ne le supprime pas, par contre il peut avertir l'utilisateur d'une "attaque" de Back Orifice. Il� identifie les paquets UDP arrivant sur le PC, les d�crypte et d�tecte la cha�ne caract�ristique de Back Orifice qui est�� *!*QWTY? .
Ensuite il retourne au client Back Orifice des paquets volontairement malform�s afin de le bloquer compl�tement.
Il est disponible � l'adresse suivante :
http://members.xoom.com/wzc/bof/main.html

NOBO

Cet utilitaire gratuit sert � d�tecter une attaque de Back Orifice. Il ne pr�munit pas contre l'infiltration de Back Orifice et ne le supprime pas.Il engistre les paquets UDP arrivant sur le PC et les stocke dans un fichier journal.
Il est disponible � l'adresse suivante :
http://web.cip.com.br/nobo/nobo_en.html

8.La rumeur...

Il circule depuis quelque temps sur Internet une rumeur comme quoi un poste (Windows 95/98) infect� par Back Orifice (=serveur) et/ou un poste client se connecterai(en)t � l'insu des utilisateurs vers le serveur http://www.netninja.com (qui existe r�ellement d'ailleurs).

Cela me semble de la plus haute fantaisie, et donc relever effectivement de la rumeur comme on a trop tendance � en voir circuler sur Internet..

Pour �tayer cela, les test suivants ont �t� effectu�s� :

1. Analyse dans le d�tail des ex�cutables "boserve.exe" (le serveur = le cheval de Troie), "bogui.exe" (le client), ainsi que de la DLL int�gr�e dans une ressource de boserve.exe. Les vidages hexad�cimaux complets des fichiers (122 ko et 278 ko) ont �t� �tudi�s. Toutes les ressources (stringtable, data,..) ont �t� analys�es.

Rien qui puisse ressembler � une adresse IPn'a �t� d�tect� (encore que cela soit hautement improbable, car rien n'est plus mouvant qu'une adresse IP), ni � un hostname. Cela n'est cependant pas une preuve absolue, le hostname pouvant �ventuellement �tre crypt�.

De plus, en ce qui concerne le client, l'analyse est beaucoup plus simple et claire, puisque les sources (UNIX) sont disponibles. M�me l'algorithme de cryptage de la magic string "*!*QWTY?" y figure ! Et on peut affirmer que rien ne fait r�f�rence � une quelconque connexion occulte.

2. (R�)installation de BOSERVE sur une machine sous Windows 98 (= d�lib�r�ment infect�e par Back Orifice), ainsi que BOGUI sur une autre machine sous Windows NT 4. Pour �tre s�r que ces deux ex�cutables ne fassent pas appel � des DLL "non r�f�renc�es", ils ont �t� lanc�s en "ex�cution contr�l�e" (� l'aide de Scanbin)

A l'aide d'un analyseur de trafic r�seau install� sur une 3�me machine appartenant au m�me sous-r�seau, on a captur�� l'int�gralit� des datagrammesIP entrants et sortants des 2 machines concern�es par Back Orifice .On a pu ainsi reconna�tre les datagrammes UDP sur le port 31337, transitant entre client et serveur, mais � aucun moment il n'y a eu de connexion vers d'autres machines.

3. Le seul lien que l'on ait pu trouver entre Back Orifice et NetNinja est un plugin ("SpeakEasy"), disponible sur le site Netninja.
   Ce plug-in permet de se connecter sur un serveur IRC, canal #BO_OWNED, avec un nom al�atoire. A partir de l�, il annonce p�riodiquement l'adresse IP du serveur Back Orifice.

C'est peut-�tre l� l'origine de cette rumeur !

L'information :
"Sur NetNinja, on trouve un outil pour Back Orifice permettant de communiquer son adresse IP"
a du �tre peu � peu d�form�e en :
"Back Orifice communique son adresse IP � NetNinja"

9.Conclusion

"Back Orifice" est un logiciel REMARQUABLE, de par ses possibilit�s et sa compacit�. Il est totalement excessif de qualifier le cDc de "cybercriminels" (ne pas confondre "hacker" et "cracker"). Il peut avoir des cons�quences tr�s graves s'il est utilis� � des fins malsaines, toutefois il ne faut pas c�der � la panique. Et cela pour deux raisons principalement :

1. Back Orifice n'est pas un virus (il ne se multiplie pas insidieusement en infectant d'autres fichiers)
2. Back Orifice peut s'enlever facilement

Mais inversement, il ne faut pas non plus n�gliger ce danger potentiel, comme a pu le faire Microsoft, qui a fait preuve d'une d�sinvolture certaine :

• Microsoft : " �BackOrifice does not compromise the security of a Windows network�",
• CDc : " � cDc would like to know where exactly Microsoft is getting its definition of 'compromise the security'."

D'autre part, Microsoft a object� que "�computers running Windows 95 and Windows 98 are not vulnerable if the computer is not connected to the outside world �". Or on peut tr�s bien envisager le cas, (au sein d'une entreprise, d'une universit�,...) d'un employ�, �tudiant,... malintentionn� "espionnant" les machines de ses coll�gues ou condisciples !

On peut esp�rer que cette mise en d�faut JUSTIFIEE de la s�curit� de Windows95/98 incitera donc MicroSoft � r�agir, et � fournir aupr�s des utilisateurs de son syst�me les outils correctifs qui s'imposent. En particulier, le syst�me utilis� par Windows 95/98 de cache des mots de passe en clair est � revoir le plus rapidement possible !

Par ailleurs, il est urgent que TOUS les �diteurs de logiciels anti-virus actualisent rapidement leurs bases de signatures (si cela n'est pas d�j� fait bien s�r). (p.ex. McAfee a �t� en retard sur Norton)

Retour

Derni�re mise � jour�: