https://cyberveille.ch/tags/lua-implant/ Recent content in Lua Implant on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 24 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-24-fast16-sabotage-logiciel-de-haute-precision-decouvert-5-ans-avant-stuxnet/ Fri, 24 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-24-fast16-sabotage-logiciel-de-haute-precision-decouvert-5-ans-avant-stuxnet/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 23 avril 2026 par SentinelLabs (Vitaly Kamluk &amp; Juan Andrés Guerrero-Saade), cet article présente l&rsquo;analyse technique approfondie d&rsquo;un implant APT inédit nommé <strong>fast16</strong>, découvert dans les archives de la fuite ShadowBrokers. L&rsquo;artefact daterait d&rsquo;environ <strong>2005</strong>, soit cinq ans avant la découverte publique de Stuxnet.</p> <h2 id="-composants-de-limplant">🧩 Composants de l&rsquo;implant</h2> <p>L&rsquo;implant fast16 est constitué de deux éléments principaux :</p> <ul> <li><strong><code>svcmgmt.exe</code></strong> : binaire porteur (carrier) écrit en C++, embarquant un <strong>payload Lua bytecode</strong> (magic bytes <code>1B 4C 75 61</code>). Il gère la propagation via des « wormlets », vérifie la présence de firewalls personnels, et communique via un <strong>named pipe <code>\.pipep577</code></strong>.</li> <li><strong><code>fast16.sys</code></strong> : driver de système de fichiers Windows (type <code>Start=0 Type=2</code>), enregistré via <code>IoRegisterFsRegistrationChange</code>, interceptant les IRP (<code>IRP_MJ_CREATE</code>, <code>IRP_MJ_READ</code>, <code>IRP_MJ_CLOSE</code>, etc.) pour <strong>patcher à la volée des données en virgule flottante</strong> dans des fichiers ciblés.</li> </ul> <h2 id="-mécanismes-techniques">⚙️ Mécanismes techniques</h2> <ul> <li>Le carrier vérifie la présence de <strong>18 solutions de sécurité</strong> (Symantec, Kaspersky, ZoneLabs, McAfee, F-Secure, etc.) via des clés de registre avant propagation.</li> <li>Le driver implémente un <strong>moteur de patching basé sur des règles</strong> : il recherche des patterns binaires spécifiques dans des fichiers <code>.EXE</code> et corrompt des calculs flottants de manière chirurgicale.</li> <li>Les artefacts compilateur (<strong>Intel Compiler</strong>, sections <code>.xdata</code>/<code>.pdata</code>) et les chaînes de version <code>@(#)par.h $Revision: 1.3 $</code> permettent d&rsquo;établir une <strong>filiation avec des projets internes</strong>.</li> <li>Le chemin PDB <code>C:\buildy\driver\fd\i386\fast16.pdb</code> confirme un environnement de build dédié.</li> </ul> <h2 id="-cibles-identifiées">🎯 Cibles identifiées</h2> <p>L&rsquo;analyse des patterns de patching identifie trois candidats logiciels cibles :</p>