Informatique légale · Linux

Détecter de manière forensic les manipulations de LD_PRELOAD – Mettre au jour les manipulations de bibliothèques dynamiques

La variable d'environnement LD_PRELOAD permet de charger ses propres bibliothèques dynamiques avant les bibliothèques par défaut d'un programme et, de cette manière, de remplacer ou de manipuler de manière ciblée les appels de fonction de ce dernier.

Demande sans engagement

Cette fonctionnalité, initialement destinée au débogage et au développement, est régulièrement détournée pour manipuler les outils système de manière à masquer de manière ciblée certains processus, fichiers ou connexions réseau.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons les configurations LD_PRELOAD au niveau du système et de l'utilisateur, ainsi que les bibliothèques suspectes et non standard, afin de détecter tout signe de manipulation ciblée des fonctions et de tentatives de dissimulation.

Domaines d'application typiques

•Détection d'outils système ayant fait l'objet de manipulations
•Enquête sur les activités de processus et de réseau dissimulées
•Analyse des techniques utilisées par les rootkits « userland »
•Évaluation des bibliothèques installées a posteriori
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse LD_PRELOAD

Une fois la sauvegarde effectuée, les configurations LD_PRELOAD au niveau du système et spécifiques à l'utilisateur, ainsi que les bibliothèques référencées, sont répertoriées. Les bibliothèques suspectes sont analysées afin de détecter d'éventuelles redéfinitions de fonctions, dans le but d'identifier d'éventuelles manipulations d'outils standard tels que les listes de processus ou de répertoires.

Pourquoi l'analyse LD_PRELOAD présente-t-elle un intérêt sur le plan de la criminalistique ?

Une manipulation réussie de LD_PRELOAD peut avoir pour conséquence que les outils système habituels ne fournissent plus de résultats fiables sur le système compromis lui-même, par exemple en supprimant certains processus des listes.

C'est pourquoi une telle analyse est en principe effectuée sur une copie légale indépendante, plutôt que de se fier aux résultats fournis par les outils du système potentiellement compromis lui-même.

Foire aux questions

À quoi servait à l'origine LD_PRELOAD ?+
À des fins légitimes telles que le débogage, le profilage ou la redéfinition ciblée de certaines fonctions de bibliothèque pendant le développement.
Comment reconnaître un abus ?+
En vérifiant les configurations LD_PRELOAD existantes et en analysant les bibliothèques référencées à la recherche de remplacements de fonctions atypiques.
Pourquoi l'analyse du système actuel ne suffit-elle souvent pas ?+
Car une manipulation réussie peut concerner précisément les outils qui seraient utilisés pour l'analyse, ce qui pourrait fausser les résultats.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle sur la „ détection judiciaire des manipulations de LD_PRELOAD " ? LanCologne vous aide à sécuriser les preuves numériques de manière juridiquement valable et à analyser de manière traçable les artefacts Linux pertinents.

Nous contacter dès maintenant