GetIntoPC est-il sûr ? Le vrai profil de sécurité, de logiciels malveillants et de risques juridiques

Pourquoi les ingénieurs en sécurité se demandent-ils si GetIntoPC est sûr ?

Si vous travaillez dans le domaine de la sécurité, du red teaming, de l'analyse de logiciels malveillants, de la recherche d'exploits ou des tests automatisés pilotés par l'IA, vous avez déjà entendu cette question dans Slack :

"J'ai juste besoin d'un outil X rapidement. GetIntoPC est-il sûr ou non ?"

GetIntoPC (et ses clones comme GetIntoPC.com / GetIntoPC[.]xyz / rehost mirrors) se positionne comme une archive unique de "logiciels libres". Les utilisateurs téléchargent des installateurs pour Windows, des outils de rétro-ingénierie, des éditeurs vidéo, des applications d'entreprise sous licence, et même des ISO complets de systèmes d'exploitation. L'argument est la rapidité, la commodité et l'absence de paywall.

Voici l'inconfortable réalité :

• Le site propose des logiciels commerciaux craqués, préactivés ou reconditionnés en dehors du circuit de licence du fournisseur. Il s'agit d'un piratage de logiciel, qui entraîne des responsabilités évidentes en matière de propriété intellectuelle et de conformité pour les entreprises en vertu de la législation des États-Unis et de l'Union européenne. (Bhetal)
• De nombreuses discussions sur la sécurité au sein de la communauté et des fournisseurs décrivent GetIntoPC comme présentant un risque élevé de logiciels malveillants intégrés, de charges utiles de vol d'informations d'identification, de keygens rétroactifs et d'installateurs trojanisés. Certains rapports établissent un lien explicite entre les téléchargements de GetIntoPC et la compromission de comptes, le vol d'informations d'identification et la reconstruction complète de machines. (Reddit)
• Les communautés de lutte contre les logiciels malveillants et de lutte contre le blanchiment d'argent considèrent que ces écosystèmes ne se distinguent pas de la distribution de logiciels malveillants, qui est historiquement un foyer de chevaux de Troie, de voleurs d'informations et de chargeurs. (Forum d'assistance Kaspersky)

Ainsi, lorsque vous demandez "GetIntoPC est-il sûr ?", vous ne vous interrogez pas vraiment sur la réputation de la marque d'un site. Vous demandez : "Est-ce que je veux importer des binaires non audités, non signés et potentiellement modifiés d'un distributeur anonyme dans mon environnement de travail (ordinateur portable, laboratoire, réseau client ou VM dans le nuage) et assumer la responsabilité légale de cette décision ?".

Pour la plupart des organisations, la bonne réponse est : absolument pas.

Ventilation du modèle de menace : ce que vous introduisez réellement dans votre environnement

Examinons la surface d'attaque réelle qui se cache derrière les téléchargements "gratuits et pré-activés". Nous la diviserons en quatre catégories : le risque de logiciels malveillants, la confiance dans la chaîne d'approvisionnement, l'exposition juridique et le rayon d'action opérationnel.

Logiciels malveillants intégrés et vol de données d'identification

Les utilisateurs finaux et les communautés AV affirment publiquement que les téléchargements de GetIntoPC sont livrés avec des chevaux de Troie, des voleurs d'informations d'identification et des scripts d'arrière-plan qui exfiltrent les sessions de navigation, les identifiants de compte Google ou les jetons de licence. Dans certains cas, les victimes déclarent avoir perdu l'accès à leurs comptes peu de temps après avoir installé des versions craquées de cet écosystème et avoir dû réinstaller complètement Windows pour en reprendre le contrôle. (Reddit)

Cela correspond à ce que les équipes de la DFIR savent déjà : les programmes d'installation piratés sont un vecteur de diffusion presque parfait car la victime accorde volontairement des privilèges d'administrateur et inscrit le binaire dans la liste blanche des "logiciels de productivité", et non des "logiciels malveillants". (Super utilisateur)

Installateurs modifiés ("préactivé", "pas d'installation nécessaire")

Lorsqu'un site indique que le téléchargement est "pré-activé", "pré-craqué" ou "portable sans installation", cela signifie généralement que.. :

• Les contrôles de licence sont corrigés.
• Les appels de télémétrie et de mise à jour sont bloqués ou réacheminés.
• Des binaires supplémentaires sont injectés (chargeurs, planificateurs d'exécution automatique, crochets de persistance).

Vous faites davantage confiance à un tiers inconnu qu'au vendeur initial. Il s'agit là d'un risque classique de compromission de la chaîne d'approvisionnement : vous exécutez un code non signé provenant d'un acteur dont vous ne pouvez pas vérifier les motivations. Les vendeurs d'antivirus et les forums de sécurité avertissent explicitement que les portails de téléchargement qui distribuent des logiciels malveillants fonctionnent selon le principe "utilisez-les à vos risques et périls", car les manipulations malveillantes sont courantes et la chaîne de possession est opaque. (Forum d'assistance Kaspersky)

Exposition au risque juridique et de conformité

Un logiciel commercial piraté est un logiciel sans licence. Aux États-Unis et dans l'Union européenne, le fait d'utiliser sciemment un logiciel piraté dans un cadre professionnel vous expose à des sanctions civiles, à une rupture de contrat, à des problèmes réglementaires potentiels (en particulier pour les entités cotées en bourse ou ayant fait l'objet d'un audit) et à des conflits en matière d'assurance. (Bhetal)

Du point de vue de la conformité :

• Si vous travaillez dans un environnement réglementé (finance, santé, défense, SaaS traitant des informations confidentielles), l'installation d'un logiciel illégal peut être découverte lors d'un audit ou d'une enquête électronique.
• Les équipes internes SOC / GRC devront expliquer au service juridique et potentiellement aux régulateurs (FTC aux États-Unis, FCA au Royaume-Uni, GDPR dans l'UE) pourquoi des exécutables non validés avec des licences peu claires ont été installés sur des systèmes aptes à la production. (keyonline24)
• Les cyber-assureurs peuvent - et le font - refuser leur couverture lorsque le vecteur de compromission est un "logiciel piraté non autorisé en dehors des circuits d'approvisionnement approuvés". (Crosstek)

Par conséquent, la formule "nous avons économisé des frais de licence" n'est pas aussi souple qu'on le pense.

Rayon d'explosion opérationnel

Les ingénieurs en sécurité créent souvent des boîtes d'analyse rapide, s'emparent d'outils hors marché et les exécutent sur des machines internes semi-connectées "juste pour essayer". C'est ainsi que les logiciels malveillants voleurs d'informations d'identification passent d'une machine virtuelle jetable à Slack, Jira, CI/CD, clés cloud, identifiants VPN, jetons GitHub internes, etc.

Une fois que cela se produit, vous n'êtes plus dans un "incident de laboratoire". Il s'agit d'un incident.

Tableau rapide : GetIntoPC vs sources légitimes

Cette comparaison reflète les thèmes récurrents des communautés de recherche sur les logiciels malveillants, des rapports de la DFIR et des messages des forums d'information sur la sécurité qui discutent de la question de savoir si getintopc est sûr, ainsi que des conseils en matière de piratage et de droit concernant les logiciels piratés. (Bhetal)

Comment valider (ou au moins contenir) si vous êtes obligé de le toucher ?

Soyons francs : les équipes chargées de la sécurité avoir pour ouvrir des binaires douteux afin d'analyser le comportement des logiciels malveillants, de confirmer les POC des exploits ou de reproduire la compromission d'un client. C'est un vrai travail. Mais vous pouvez au moins ne pas faire peser ce risque sur votre poste de travail qui dispose également d'Okta, de Slack, d'AWS creds et d'un kubeconfig de production.

Utiliser des infrastructures jetables et isolées

Ne testez pas les artefacts GetIntoPC sur votre ordinateur portable de développement principal ou sur une VM interne "d'ingénierie" avec des jetons SSO. Démarrez une VM d'analyse à air comprimé ou un environnement sandbox sans identifiants de production, avec une sortie de réseau segmentée et une capture complète des paquets. (Il s'agit d'une pratique standard de triage en matière de criminalistique numérique et de logiciels malveillants, approuvée par les communautés DFIR et les manuels de jeu de CISA et du NIST pour le traitement d'échantillons de logiciels malveillants présumés. Voir : https://www.cisa.gov/topics/cyber-threats-and-advisories et https://csrc.nist.gov/projects/malware-behavior-catalog)

Hacher tout, vérifier l'immutabilité

Avant d'exécuter quoi que ce soit, générez des hachages cryptographiques et stockez-les. Cela vous permettra de prouver ultérieurement quel binaire vous avez exécuté si le service juridique ou le service des relations extérieures vous le demande.

# PowerShell sur Windows
Get-FileHash .\installer.exe -Algorithm SHA256 | Format-List

# Exemple de sortie :
# Algorithme : SHA256
# Hash : 4C3F5E9D7B2B1AA9F6A4C9D8E37C0F1D8CF5D1B9A1E0B7D4C8F1A2B3C4D5E6F7
# Chemin d'accès : C:\Usersanalyst\Downloads\installer.exe

Conservez ce hash dans vos notes. Si le fichier mute d'un téléchargement à l'autre à partir de la "même" page, c'est un signal d'alarme pour des charges utiles tournantes ou des droppers organisés.

Scan avec services multimoteurs et outillage local

Passez le fichier dans un scanner multi-moteurs comme VirusTotal (https://www.virustotal.com/) à partir d'une machine non sensibleet effectuer une analyse statique/dynamique localement (ClamAV, triage statique, sandboxing comportemental). Les réponses de la communauté à la question "getintopc est-il sûr ?" mentionnent à plusieurs reprises que les EXE de patch/keygen de GetIntoPC sont signalés dans VirusTotal par des drapeaux de chevaux de Troie et d'enregistreurs de frappe. (Reddit)

Sous Linux :

# Premier passage rapide avec ClamAV
clamscan --infected --recursive ./suspicious_download/

# Surveillance du réseau
tcpdump -i eth0 -nn host not 127.0.0.1
# Recherche de balises de sortie après l'exécution

Si vous constatez une exfiltration de données d'identification (jetons de navigateur, cookies, sessions enregistrées), vous n'êtes pas en train d'analyser un "logiciel de productivité". Vous exécutez un voleur d'informations.

Ne jamais transférer de binaires piratés dans les ordinateurs portables de l'entreprise.

Ne dites pas "oh ça marche" et ne copiez pas ensuite cet outil sur votre voiture de tous les jours parce que "la version légale est chère". C'est ainsi que l'on se retrouve avec un rapport d'incident faisant état d'une violation d'initié et avec un litige avec l'assurance pour négligence délibérée. (Crosstek)

"Mais nous ne sommes qu'un laboratoire de recherche, une équipe rouge ou un atelier de sécurité informatique. Nous avons besoin d'outils aléatoires rapidement."

C'est le seul argument semi-légitime que les défenseurs soulèvent :

• Vous faites de la rétro-ingénierie de logiciels malveillants.
• Vous reproduisez le compromis d'un client.
• Vous validez la réalité d'une chaîne d'exploitation.
• Vous construisez un agent piloté par l'IA qui enchaîne automatiquement des outils externes et vous voulez voir comment l'agent se comporte avec les utilitaires hérités de la "zone grise".

À ce stade, la conversation passe de "GetIntoPC est-il sûr ?" à "comment tester des binaires hostiles en toute sécurité, de manière répétée et avec des preuves".

Il s'agit essentiellement de tests offensifs structurés. Aujourd'hui, une grande partie de ce travail est automatisée.

Tests offensifs automatisés et explicables (contexte pénligent)

Penligent (https://penligent.ai/) se présente comme une plateforme automatisée de test de pénétration et de validation qui se comporte comme une équipe rouge humaine reproductible. L'objectif de la plateforme n'est pas de vous remettre des binaires douteux. Il s'agit d'exécuter des actions de sécurité contrôlées (analyse, tentatives d'exploitation, vérification, rapports) dans un environnement confiné, puis de produire des preuves prêtes à être auditées de ce qui s'est passé, de la manière dont cela s'est passé et de la façon d'y remédier.

Ceci est important dans la conversation GetIntoPC pour deux raisons :

1. Environnement contrôlé ou téléchargement en aveugle.
   Au lieu de "prendre n'importe quelle version fissurée trouvée par Google et l'exécuter sur ma machine Windows", le modèle consiste à "laisser un environnement instrumenté et isolé effectuer la vérification, capturer le comportement et générer un rapport". Cela réduit le rayon d'action si le binaire est hostile.
2. Les preuves que vous pouvez montrer au service juridique et au service de la conformité.
   Lorsque votre RSSI, ou pire, votre assureur, vous demandera "Pourquoi cet EXE s'exécutait-il sur notre réseau ?", vous devrez répondre par :
   • voici le hash,
   • Voici la transcription du bac à sable,
   • Voici la preuve qu'il a essayé d'exfiltrer des informations d'identification,
   • Voici l'état de l'endiguement.
     Pas "euh, un stagiaire a téléchargé Photoshop quelque part parce que la licence était ennuyeuse". (AiPlex Antipiracy)

C'est la différence entre les essais contradictoires contrôlés et l'ingestion inconsidérée de warez.

Réalité juridique, de conformité et d'audit (en particulier pour les organisations américaines, britanniques et européennes)

Droits d'auteur et licences

Le téléchargement et l'utilisation de logiciels commerciaux piratés constituent une violation des droits d'auteur. Aux États-Unis, au Royaume-Uni, dans l'Union européenne et au Canada, cela peut exposer non seulement le téléchargeur, mais aussi l'entreprise si le logiciel est utilisé sur les actifs de l'entreprise. (Bhetal)
Les régulateurs tels que la FTC (États-Unis) et la FCA (Royaume-Uni) ne se soucient pas du fait que "le service informatique avait besoin d'une solution rapide". Elles s'intéressent au fait qu'un exécutable sans licence et de provenance inconnue a été autorisé à fonctionner dans un environnement qui traite des données de clients ou des flux financiers. Il s'agit là d'un élément d'audit immédiat.

Assurance cybernétique

Les assureurs classent de plus en plus les "codes malveillants introduits par le biais de logiciels piratés non autorisés" dans la catégorie des négligences évitables. Traduction : si un ransomware débarque par le biais d'un programme d'installation piraté, l'assureur peut refuser le remboursement parce que vous n'avez pas respecté les contrôles de base en matière d'acquisition de logiciels. (Crosstek)

Classification de la réponse aux incidents

Si un binaire compromis de GetIntoPC exfiltre des informations d'identification qui déverrouillent des systèmes de production ou financiers, il ne s'agit pas seulement d'un avertissement pour les ressources humaines. Il se peut que vous deviez notifier une brèche, transmettre un rapport d'incident aux autorités de régulation ou faire des déclarations de type SOX/SOC2.

TL;DR réponses à "GetIntoPC est-il sûr ?"

Pour une curiosité personnelle, utilisez votre boîte Windows quotidienne.

Non. Il s'agit d'un vecteur de logiciels malveillants à haut risque, et de nombreux utilisateurs signalent des vols de données d'identification, des chevaux de Troie et la compromission de comptes complets après l'installation de paquets piratés. (Reddit)

Pour les entreprises, la production et les environnements réglementés

Absolument pas. Vous importez des binaires modifiés sans licence dans des systèmes susceptibles de traiter des données réglementées. Il s'agit d'une infraction à la loi et à la conformité, et votre assureur dispose ainsi d'une excuse parfaite pour ne pas vous payer si vous êtes victime d'un accident. (Bhetal)

Pour une analyse contrôlée des logiciels malveillants/boîtes à sable par un personnel de sécurité qualifié

Cela reste dangereux, mais au moins défendable si vous le faites dans une infrastructure totalement isolée, si vous capturez les hachages, si vous enregistrez le comportement et si vous le traitez comme du code hostile dès la minute zéro. Ceci est plus proche de la pratique DFIR et de l'outillage de l'équipe rouge, et vous devriez être prêt à montrer des artefacts forensiques complets plus tard. Il s'agit d'une analyse ponctuelle en bac à sable, et non d'une analyse de type "nous avons transféré ceci en production". (AiPlex Antipiracy)

Position de clôture

La question "GetIntoPC est-il sûr ?" n'est pas la bonne.
La bonne question est la suivante : "Suis-je prêt à justifier, auprès des services juridiques, de conformité, d'assurance et d'inspection, pourquoi j'ai exécuté sur une machine en réseau un binaire modifié, sans licence, susceptible de voler des informations d'identification, provenant d'une source anonyme de logiciels malveillants ?

Si la réponse est non, GetIntoPC n'est pas "sûr" pour vous.

Si la réponse est oui, vous dirigez un laboratoire de lutte contre les logiciels malveillants - agissez en conséquence. Capturez les hachages. Contenir l'exécution. Enregistrez le comportement. Ne divulguez pas le rayon d'action dans Slack, Okta, Jira, prod kubeconfig ou les systèmes financiers. Et lorsque c'est possible, remplacez le "binaire craqué aléatoirement sur Internet" par des plateformes de test offensif contrôlées et basées sur des preuves qui peuvent générer des preuves défendables au lieu d'excuses.