🛡️Découvrez tous nos évènements et webinaires à venir !

Ne manquez pas nos prochains événements et webinaires : des moments d’échange, de partage et d’expertise à vivre ensemble ! 👥

Dans cet article, retrouvez toutes les dates à ne pas manquer : conférences, salons, webinaires. Que vous souhaitiez échanger avec nos experts, découvrir nos dernières actualités, ces rendez-vous sont faits pour vous !

Club Décision DSI :

• Déjeuner de l’@conomie - 13 février
• Université des DSI - 13 mars
• Consortium des DSI - 11 juin
• Gala - 27 novembre

Webinars :

• Webinar avec le Clusir - 13 mars (réservé aux membres du Clusir)

Les salons :

• IT MEETINGS

18 au 20 mars

Palais des Congrès de Cannes

Nous serons présents sur le stand I10

Cliquez ici pour réserver votre badge

• FIC INCYBER

1 au 3 avril

Grand Palais de Lille

Nous serons présents sur le stand G35

Cliquez ici pour réserver votre badge

Dans le paysage actuel de la cybersécurité, les attaquants ne cessent de diversifier leurs méthodes pour contourner les systèmes de défense et compromettre les infrastructures. Parmi les techniques de plus en plus utilisées, l'exploitation malveillante des fichiers .cab est une approche qui suscite une attention croissante. Ces fichiers, initialement conçus pour la compression et la distribution de données, sont souvent perçus comme inoffensifs par les utilisateurs et les solutions de sécurité. Cependant, leur potentiel de dissimulation de logiciels malveillants est aujourd'hui bien exploité par les cybercriminels.

Un exemple marquant de l'exploitation des fichiers CAB est une attaque impliquant le ransomware Loki en 2020 (source). Dans ce cas, le fichier CAB a été envoyé en pièce jointe dans des emails de phishing. Lors de l'extraction, le fichier déployait le ransomware Loki, qui chiffrait les données de la victime et exigeait une rançon.

Plus récemment, en 2024, une autre attaque déployant un malware bien connu, DarkGate, impliquait de nouveau un fichier CAB (source). Cela montre bien que les fichiers CAB continuent d’être un vecteur efficace pour contourner les solutions de sécurité et déployer des charges malveillantes. Il devient essentiel d'étudier et de comprendre ce vecteur d'attaque afin de mieux se préparer à l'évolution des techniques des cybercriminels.

Dans cet article, nous allons étudier ce qu'est un fichier CAB, son utilisation dans les cyberattaques et, enfin, comment il est possible d'analyser et de détecter ce vecteur d'attaque.

▪️ Mais qu'est-ce qu'un fichier CAB ?

Un fichier CAB (ou Cabinet) est un fichier d'archivage (similaire à un ZIP) qui porte l'extension .cab. Il permet de compresser des fichiers.

Un fichier CAB est spécifique à Microsoft, contrairement à un fichier ZIP qui peut être utilisé sur n'importe quel OS. Ce format d'archive est constitué :

• d'un en-tête (CFHeader)
• des fichiers (CFFile)
• de dossiers contenant les fichiers (CFFolder)
• de métadonnées (CFDATA)

Schéma de la structure d’un fichier .CAB

Ce format a été inventé pour compresser des fichiers d'installation qui seront ensuite utilisés sur le système de l'utilisateur, comme lors de l'installation de programmes ou de mises à jour. Pour être concret, Microsoft publie les mises à jour de sécurité et les correctifs au format CAB. C'est aussi sous ce format que votre ordinateur reçoit les mises à jour des serveurs depuis Microsoft Update Servers ou WSUS.

Le format CAB utilise souvent l'algorithme de compression LZX, qui permet de réduire la taille sans perte de données. Cette compression rend les installations plus rapides et plus efficaces, car les fichiers sont plus petits et plus faciles à transférer.

Un fichier CAB peut être divisé en plusieurs parties si les fichiers sont trop volumineux. Cette division permet de répartir les données sur plusieurs fichiers CAB, ce qui facilite la gestion des grandes mises à jour ou des installations complexes.

Il faut bien noté que les fichiers CAB ne sont pas les seuls a être détournés de leur utilisation primaire. En effet, d'autres fichiers connexes peuvent être exploités ou vulnérables, comme des fichiers de configurations (.ddf ...) ou l'algorithme de compression LZX. Seulement, il s'agit d'autres exploitation qui ne feront pas l'objet d'une analyse dans cet article.

▪️Pourquoi c'est utilisé dans des attaques ?

Les fichiers d'archive CAB peuvent être exploités lors de cyberattaques, notamment comme moyens d’évasion des systèmes de défense ou pendant la collecte de données volées. En soi, une archive CAB n'est pas malveillante, mais elle peut contenir un logiciel malveillant qui sera ensuite exécuté au moment de la décompression. Ce processus de compression permet de masquer la véritable nature d’un fichier malveillant, rendant sa détection difficile pour les solutions de protection. Cela constitue une technique d’évasion efficace. Concernant la collecte de données, il a été observé que les fichiers CAB sont parfois utilisés pour réduire la taille des informations volées, facilitant ainsi leur exfiltration.

Dans le cadre de la Kill Chain des cyberattaques, les fichiers CAB sont directement impliqués lors des étapes suivantes :

• Defense Evasion
• Collection

Étapes de la Unified Cyber Kill Chain où les fichiers .CAB peuvent être utilisés

Nous allons examiner des cas d’utilisation plus spécifiques et récurrents des fichiers CAB dans le cadre d’attaques.

Phishing

Les fichiers CAB peuvent être déposés lors de campagnes de phishing en pièce jointe. Leur utilisation, par rapport à des archives ZIP, permet de mieux contourner les filtres anti-spam car ce format est beaucoup moins souvent employé. De plus, en compressant le véritable fichier malveillant, les filtres anti-spam auront du mal à détecter la menace dans les emails.

Dropper

Les fichiers CAB ont souvent un rôle de Dropper. Après le dépôt du fichier CAB par mail de phishing (ou autre) la charge malveillante contenue est à son tour déposée sur le système victime, lors de l'extraction. Plusieurs, méthodes d'extractions existent :

• manuellement : clique droit > extraire
• avec des outils : extrac32, expand, cab-cli, cabextract etc.
• auto-extraction dans un fichier MSI

Path Traversal

Les attaquants peuvent exploiter des vulnérabilités de type Path Traversal lors de l'extraction d'un fichier CAB, permettant ainsi de déposer la charge malveillante dans un dossier accessible par l'attaquant.

Masquerading

La compression des fichiers à l’intérieur d’une archive CAB rend difficile la détection de fichiers malveillants, en cachant leur véritable nature aux yeux des différentes solution de protection.

Réduction d'espace

Les fichiers CAB peuvent être utilisés pour compresser les données volées, réduisant ainsi leur volume et facilitant leur exfiltration.

▪️ Qu'en est-il d'exemples concrets ?

Dans la Matrice MITRE ATT&CK

La Matrice MITRE ATT&CK a répertorié des utilisations concrètes des fichiers CAB par des groupes APT ou comme technique d'attaque TTP. Voici un tableau qui résume ces TTP et des logiciels impliquant des fichiers CAB ainsi que des groupes liés et connus pour les avoir utilisé.

Dans la nature

Les fichiers CAB ne sont pas encore couramment utilisés, bien que certains groupes d'attaquants commencent à les exploiter, notamment lors de la phase de déploiement des charges malveillantes. En effet, on observe un changement de comportement chez certains de ces groupes, qui privilégient de plus en plus les formats de fichiers CAB et MSI au détriment des formats plus classiques tels que ZIP, VBS ou LNK. Bien que leur utilisation reste minoritaire, ce phénomène mérite d’être signalé.

Comportements observés :

• Distribution : PJ de mail de phishing, lien URL dans un code malveillant ...
• Dropper : RAT, loader, .DLL, vers informatiques ...
• Extraction : outils natifs Windows

Sur Malware Bazaar, de nombreux échantillons de fichier CAB sont disponibles, la plupart contiennent des RAT ou des loader. Une large majorité ont été récupérés via des emails de phishing. Voici une liste des principaux malwares extraits (ordre alphabétique) :

• Agent Tesla
• AveMariaRAT
• Formbook
• GuLoader
• Loki
• NetWire
• RemcosRAT
• SnakeKeyLogger

Pour prendre des cas plus concrets voici plusieurs articles relayant des attaques impliquant l'utilisation de fichiers CAB pour déposer leurs charges malveillantes :

Nous allons entrer plus en détails sur l'attaque Festive Facade qui n'utilise pas une méthode de dépôt classique.

Ici, le fichier .cab n'est pas déposé via la première étape de l'attaque qui est le mail de phishing. Ce dernier va plutôt déposer une archive .zip qui contient un fichier .lnk déguisé en image qui va lui même exécuté un script JS.

Concentrons nous maintenant sur la zone rouge (ci-dessous). Ce script JS a pour but de télécharger un certificat malveillant qui, grâce à l'outil natif Windows Certutil.exe, est décodé et dépose le fameux fichier .cab qui nous intéresse.

Le fichier .cab malveillant est extrait pat l'outil Expand de Windows via un script de l'attaquant. Ce fichier .cab contenait l'exécutable malveillant qui va pouvoir finalement agir sur la machine victime.

Schéma de l'attaque Festive Facade impliquant un fichier CAB

Il est bien visible qu'il existe de nombreuses possibilités de méthode de dépôt de fichier .cab. Il suffit juste aux attaquants d'avoir de l'imagination.

▪️ Quels sont les outils d'analyse ?

Pour analyser des fichier CAB il est possible d'utiliser des outils en ligne classiques comme VirusTotal, JoeSandBox et autres outils d'analyses dynamiques.

Concernant les outils natifs ou utilisables en local via des lignes de commandes, voici une liste qui sera détaillée ci-dessous. Ces outils permettent d’analyser le contenu des fichiers CAB sans les décompresser automatiquement.

sur Linux :

• cabextract
• unshield

sur Windows :

• expand
• extrac32

CabExtract

cabextract

Il s’agit de l’outil surement le plus utilisé pour analyser les fichier CAB. Il est facile a installé et à utiliser.

• sudo apt install cabextract

• cabextract name_of_cabinet.cab # extrait dans le répertoire actuel
• cabextract name_of_cabinet.cab -f '*.docx' -d ~/temp # extrait uniquement les fichiers .docx (-f) et dans un dossier spécifié (-d)
• cabextract -l name_of_cabinet.cab # énumère le nom des fichiers sans extraire !
• cabextract -t name_of_cabinet.cab # test - fait le travail d'extraction sans enregistrer les fichiers + affiche le hash MD5 de chaque fichier

Plus d'options sont disponibles

Unshield

GitHub - twogood/unshield: Tool and library to extract CAB files from InstallShield installers

Attention : cet outil ne fonctionne que s'il s'agit d'un fichier CAB InstallShield (aka windows Installer)

• sudo apt install unshield
• unshield l name_of_cabinet.cab # liste les fichiers sans extraire
• unshield t name_of_cabinet.cab # teste les fichiers sans extraire
• unshield x name_of_cabinet.cab # extrait les fichiers

Plus d'options sont disponibles

Expand

expand

Il s'agit d'un outil natif sous Windows qui permet de manipuler les fichiers CAB sans forcément les décompresser.

• expand -d file.cab # liste les fichiers sans extraire
• expand file.cab # extrait les fichiers

Plus d'options sont disponibles peut ausi s'écrire c:\windows\system32\expand.exe ou expand.exe

Extrac32

extract

Attention : la méthode est vulnérable à du Path Traversal (CVE-2023-36756) via ParseCab() > OpenCabinetFile() voir l'article

• extrac32 /D file.cab <filename> # affiche le répertoire du fichier CAB (à utiliser avec <filename> pour éviter l’extraction)
• extrac32 file.cab # extrait les fichiers

Plus d'options sont disponibles peut ausi s'écrire c:\windows\system32\extrac32 ou extrac32.exe

D'autres méthodes d'extractions ont déjà été vu même si elles sont plus ou moins utilisées et que certaines nécessite une version de l'OS assez ancienne. Pour essayer d'être le plus exhaustif possible voici une liste de ces outils que vous rencontrerez ou utiliserez peut être lors d’investigations:

• makecab / diantz
• cabarc (too old)
• extract (depreciated)
• fonction fdi.h dans l'API FDICopy ( + vulnerabilité)
• projets Git : CabCompressExtract, CabParser
• ExtractInfFile() in urlmon.dll
• MSI auto-extracted file
• wusa.exe

▪️ Comment détecter ces fichiers ?

Pour détecter ce type d'attaque via les fichiers CAB, les outils anti-spam peuvent les détecter s'ils ont une politique adaptée. Un outil de protection comme un anti-virus ou un EPP/EDR peut détecter des fichiers CAB suspects. Il est aussi possible de mettre en place des signatures qui vont détecter un comportement spécifique comme l’exécution d'une ligne de commande typique de l'extraction d'un fichier CAB. Néanmoins, ces règles peuvent remonter de nombreux Faux Positifs car les fichiers CAB restent largement utilisé de façon légitime par Windows.

Voici quelques exemples de règles détection des outils mentionnés précédemment :

• Sigma: proc_creation_win_susp_alternate_data_streams.yml
• Requête Elastic: defense_evasion_misc_lolbin_connecting_to_the_internet.toml
• Sigma: proc_creation_win_lolbin_diantz_ads.yml
• Sigma: proc_creation_win_lolbin_diantz_remote_cab.yml
• Sigma : proc_creation_win_wusa_cab_files_extraction.yml

Il s'agit d'exemples, de nombreuses autres règles peuvent être créées de façon spécifique à chaque Système.

▪️ Sources

Cabinet File Functions - Windows drivers Fichiers CAB - Win32 apps https://www.cisa.gov/sites/default/files/2023-11/MAR-10478915.r1.v1.CLEAR_.pdf Inside DarkGate: Exploring the infection chain and capabilities Enter The Gates: An Analysis of the DarkGate AutoIt Loader | Splunk Beyond Memory Corruption Vulnerabilities – A Security Extinction and Future of Exploitation Zero Day Initiative — CVE-2020-1300: Remote Code Execution Through Microsoft Windows CAB Files Zero Day Initiative — Exploiting Exchange PowerShell After ProxyNotShell: Part 2 - ApprovedApplicationCollection Loki Delivered as CAB File Attachment

Attaque en sandbox impliquant un fichier CAB :

Malware analysis cw1.exe Malicious activity | ANY.RUN - Malware Sandbox Online

📝 Écrit par Neige Jumeau, Ingénieure Analyse et Forensics

🚀 Avec l'essor des menaces cyber et l'augmentation des cyberattaques, la sécurité numérique en Europe est devenue un enjeu prioritaire. Pour renforcer la protection des données et la cybersécurité, l'Union européenne a mis en place plusieurs régulations incontournables, parmi lesquelles le RGPD, le Cyber Resilience Act (CRA) et la Directive NIS2.

Ces régulations, bien que distinctes, visent à assurer une protection complète et durable pour les utilisateurs, les entreprises et les infrastructures critiques.

Découvrez les objectifs, le champ d'application et l'impact de ces trois piliers de la sécurité numérique en Europe.

🎯 Comparatif des Principales Régulations de la Sécurité Numérique

1. Objectifs principaux

• RGPD (Règlement général sur la protection des données) : Le RGPD protège la vie privée des citoyens en réglementant la collecte, le traitement et la conservation des données personnelles.

• CRA (Cyber Resilience Act) : Le CRA assure la sécurité des produits numériques en imposant des mesures de cybersécurité strictes aux fabricants et distributeurs, dès la conception et tout au long du cycle de vie des produits. On peut voir le CRA comme une certification de type « NF » en matière de cybersécurité.
• NIS2 (Network and Information Security) : La directive NIS2 renforce la résilience des infrastructures critiques et des secteurs essentiels en matière de cybersécurité, étendant les obligations pour les opérateurs de services essentiels et les fournisseurs de services numériques.

2. Champ d'application

• RGPD : S'applique à toute entité, publique ou privée, qui traite des données personnelles des citoyens de l'UE, même si l'organisation est située hors d'Europe.
• CRA : Couvre les fabricants, distributeurs et importateurs de produits numériques utilisés dans l'UE, incluant les appareils connectés et les logiciels.
• NIS2 : S'adresse aux opérateurs de services essentiels et importants (comme l'énergie, les transports, la santé, etc.), en élargissant la portée de la directive NIS d'origine.

3. Exigences principales

• RGPD : Exige un consentement explicite des utilisateurs, des droits à la portabilité et à l'oubli, une notification des violations de données sous 72 heures et une transparence dans le traitement des données.
• CRA : Impose des normes de sécurité obligatoires pour les produits numériques, qui doivent être conçus selon le principe de « Security by Design » avec des mises à jour régulières.
• NIS2 : Oblige les opérateurs à adopter des mesures de cybersécurité adaptées, à signaler les incidents significatifs aux autorités et à élaborer des stratégies de gestion des risques pour renforcer la résilience des infrastructures.

4. Sanctions et amendes

• RGPD : Les amendes peuvent atteindre jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

• CRA : En cas de non-conformité, les sanctions peuvent aller jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.
• NIS2 : Les sanctions varient selon les États membres, mais doivent être dissuasives et proportionnées, similaires à celles du RGPD.

5. Impacts sur les entreprises

• RGPD : Les entreprises ont dû revoir leur gestion des données, nommer des DPO (Délégués à la Protection des Données) et investir dans la sécurisation des systèmes.
• CRA : Oblige les entreprises à intégrer la cybersécurité dès la conception des produits et à maintenir un support de sécurité continu après la mise sur le marché.
• NIS2 : Les entreprises doivent mettre en place des stratégies de cybersécurité robustes, réaliser des audits réguliers et collaborer avec les autorités pour garantir la résilience de leurs infrastructures.

6. Complémentarité des régulations
Une protection à 360 degrés : Ces trois régulations se complètent pour renforcer la sécurité numérique en Europe :

• RGPD : protège les données personnelles des utilisateurs.
• CRA : garantit la sécurité des produits numériques contre les cybermenaces.
• NIS2 : La Directive NIS2 assure la résilience des infrastructures critiques et des services essentiels.
  Approches intégrées : Certaines entreprises, notamment dans les secteurs critiques, devront se conformer à ces trois régulations pour garantir une protection optimale de leurs données et infrastructures.

👉 Vers une Europe plus Résiliente et Sécurisée Numériquement
En combinant le RGPD, le Cyber Resilience Act et la Directive NIS2, l'Union européenne établit un cadre robuste et complet pour la sécurité numérique. Tandis que le RGPD place les individus au centre de la protection des données personnelles, le Cyber Resilience Act impose des normes de sécurité pour les produits numériques, et la Directive NIS2 assure la résilience des secteurs critiques. Ensemble, ces régulations font de l'UE un modèle en matière de cybersécurité et de protection des données.

🥷 Besoin de conseils sur la conformité ?

Nos experts en gouvernance sont là pour vous accompagner dans la mise en conformité avec ces régulations et renforcer la sécurité de votre entreprise.