Fast16

Fast16
Fast16

Informations
Type Rootkit, Ver informatique
Auteur Equation Group ( NSA)
Système(s) d'exploitation affecté(s) Windows
Écrit en Lua, C, C++

modifier - modifier le code - voir Wikidata (aide)

Fast16 est un ver informatique et rootkit découvert en 2026 qui aurait été conçu par Equation Group (NSA). Ses composants principaux semblent remonter à 2005, ce qui en fait l'un des premiers exemples connus de sabotage industriel de précision, plus jeune de cinq ans que la découverte publique du ver Stuxnet. Ce logiciel malveillant est identifié par des chercheurs de SentinelOne en , qui l'associent aux signatures trouvées dans la fuite des Shadow Brokers de 2017 qui révélait des outils qui appartiendrait à la NSA[1],[2],[3],[4].

Ce logiciel malveillant se différencie tout particulièrement par l'utilisation d'une machine virtuelle Lua embarquée, lui donnant de la modularité, et d'un pilote de système de fichiers au niveau du noyau conçu pour les attaques de type « adversaire dans la simulation ». Contrairement aux logiciels malveillants traditionnels conçus pour l'exfiltration de données ou la destruction de systèmes, fast16 cible des logiciel de simulation de haute précision en intégrité. Il utilise un moteur basé sur une centaine de règles pour intercepter les fichiers exécutables en mémoire et modifier subtilement les routines arithmétiques à virgule flottante. Ces manipulations systématiques visent à changer les résultats mathématiques, afin de les rendre légèrement inexacts, dans des logiciels de modélisation physique, ce qui permettrait alors d'entraîner des défaillances techniques inexplicables ou à saboter de recherches sensibles, telles que des simulations d'armes nucléaires[5].

Mode d'attaque

La Cyber Kill Chain de Fast16 est particulièrement avancée pour l'époque où il a été écrit, en 2005. Il n'a été téléversé pour la première fois sur le site de détection VirusTotal qu'en 2016, et n'était détecté comme malveillant par pratiquement aucun anti-virus en Avril 2026 pendant l'analyse de SentinelOne.

Propagation

Fast16 utilise des petits modules appelés "Wormlet" pour se propager. Le logiciel malveillant cherche des serveurs sur le réseau local, se copie automatiquement sur des disques réseaux de partage de fichier Windows (SMB), puis lance le service à distance. Si besoin, le wormlet tente une Attaque par force brute sur les lecteurs réseaux afin d'obtenir les Identifiants de connexion, exploitant ainsi des faiblesses natives à Windows 2000 et XP. Le ver n'essaye pas de se connecter à un serveur de contrôle (C2) et est entièrement autonome [1].

Escalade de privilège

Une fois un système infecté par le réseau, le pilote fast16.sys est installé. Ce pilote s'exécute au niveau du noyau Windows et s'exécute au démarrage, et se présente comme un composant du système de fichier, ainsi il peut intercepter et modifier les executables au moment où ils sont lus sur le disque, avant d'être chargé en memoire[1].

Évasion de la défense

Les années 2000 ont vu un très grand nombre de vers qui étaient écrits et propagés par des amateurs. Celui-ci se différencie tout particulièrement. C'est le premier ver connu à utiliser une machine virtuelle Lua pour se propager. De plus, le bytecode exécuté dans la machine virtuelle Lua est chiffré afin d'évader la detection et peut être facilement modifier sans recompiler le binaire. Les fonctions d'appels systèmes (API) sont évalué dynamiquement afin de déjouer les analyses statiques.

Impact

Par rapport à la triade "CIA" (Confidentialité, Intégrité, Disponibilité), le ver a seulement pour but d'impacter l'intégrité de certains systèmes cibles très précis. Ni la confidentialité, ni la disponibilité ne sont visées. La méthode utilisé est plutôt unique et consiste en un "Aversaire dans la Simulation", en modifiant en memoire les routines de calcul en virgule flottante (FPU). Les conditions d'exécution sont très spécifiques, en particulier quand la densité du matériau simulé est supérieure à 30g/cm³, ce qui correspond à de l'uranium compressé lors d'une explosion nucléaire. La modification d'intégrité est très subtile, en ne modifiant qu'au delà de la 5eme décimale. Fast16 cible les logiciels d'ingénierie spécialisés et de simulation de haute précision, notamment des suites logicielles telles que LS-DYNA, AUTODYN, PKPM et MOHID[1].

Références

(en) Cet article est partiellement ou en totalité issu de l’article de Wikipédia en anglais intitulé « Fast16 » (voir la liste des auteurs).
  1. ↑ a b c et d Kamluk et Guerrero-Saade, « fast16 | Mystery Shadow Brokers Reference Reveals High-Precision Software Sabotage 5 Years Before Stuxnet », SentinelOne,
  2. ↑ Schneier, « Fast16 Malware », Schneier on Security,
  3. ↑ Greenberg, « Newly Deciphered Sabotage Malware May Have Targeted Iran’s Nuclear Program—and Predates Stuxnet », Wired,
  4. ↑ Tyson, « Decades-old pre-Stuxnet cyber sabotage tool breaks cover, NSA listed it as 'nothing to see here' — fast16 targeted nuclear reactors, dam design, and other high-precision civil engineering software years before Stuxnet broke cover », Tom's Hardware,
  5. ↑ (zh) « Une « guerre psychologique » mettant en valeur les capacités cybernétiques : une analyse complète de la révélation par SentinelOne du fast16. », antiy.cn
v · m
Attaques, menaces et programmes informatiques malveillants
Vers
Chevaux de Troie
Virus
Autres
v · m
Incidents
Groupes
Hackers individuels
Vulnérabilités découvertes
Logiciels malveillants

Content Disclaimer

Informasi ini disarikan dari Wikipedia dan disajikan kembali untuk tujuan edukasi. Konten tersedia di bawah lisensi CC BY-SA 3.0. Kami tidak bertanggung jawab atas ketidakakuratan data yang bersumber dari kontribusi publik tersebut.

  1. The information displayed on this website is sourced in part or in whole from Wikipedia and has been adapted for the purpose of restating it. We strive to provide accurate and relevant information, however:
  2. There is no guarantee of absolute accuracy. Wikipedia is an open, collaborative project that can be edited by anyone, so information is subject to change.
  3. It is not intended to constitute professional advice. The content displayed is for informational and educational purposes only. For important decisions (e.g., medical, legal, or financial), please consult a professional.
  4. Content copyright. Wikipedia is licensed under the Creative Commons Attribution-ShareAlike License (CC BY-SA). This means that content may be reused with appropriate attribution and shared under a similar license.
  5. Responsible use. Any risk arising from the use of information from this website is entirely the responsibility of the user.