Menaces sur le réseau -Securité informatique

[sentenza]

Profitez de l'expérience de 150.000 administrateurs pour la surveillance de votre réseau.

Vous voulez surveiller un réseau avec 10, 250 ou 5000 périphériques. Vous cherchez un logiciel de surveillance réseau fiable et simple à installer et qui s'adapte à chaque budget et s'accroît selon vos besoins.

Avec PRTG, vous aurez en moins de 5 minutes une solution de surveillance réseau professionnelle !

Téléchargement

**Contenu caché: Cliquez sur Thanks pour afficher. **

1. Installer PRTG Network Monitor



Inscrivez votre email lorsque demandé



Nom

**Contenu caché: Cliquez sur Thanks pour afficher. **

Serial:

**Contenu caché: Cliquez sur Thanks pour afficher. **

Sujet déplacé et fusionné.

[Solopeda]

Rombertik enlevé en utilisant

**Contenu caché: Cliquez sur Thanks pour afficher. **

[intervox]

Rombertik enlevé en utilisant ***Hidden content cannot be quoted.***

Bonjour, je remarque que c'est ton premier post merci de respecter la charte du forum et de passer par Présentations des Membres
et lire ceci afin de te familiariser avec le forum Débuter sur votre forum

A+

[ironman]

Vol de données bancaires : le malware Dridex cible la France

Spécialisé dans le vol de données bancaires, Dridex est toujours actif malgré l’opération du FBI, mi-octobre. Il cible maintenant la France, avertit le CERT-FR et une société de sécurité.

Le botnet Dridex, que les autorités expliquaient avoir démantelé il y a deux semaines, serait toujours actif… et ciblerait en particulier la France. La société américaine, spécialiste de la sécurité des points d’accès, Invincea explique en effet avoir détecté 60 instances du botnet ciblant des utilisateurs français avec le malware Dridex, spécialisé dans le vol de données bancaires. « Au moins certains de ses serveurs de commande et contrôle ont été remis sur pied », écrit Invincea. Selon la société, qui explique que ses observations portant sur le retour du botnet remontent au 22 octobre, le malware envoyé par les cybercriminels est signé avec un certificat émis par l’entreprise de sécurité Comodo, « ce qui signifie que les technologies de sécurité qui font confiance aux exécutables signés échoueront à stopper ces attaques », note Invincea. Ceci concerne notamment les entreprises ayant placé en liste blanche de telles applications.
La menace est confirmée par le CERT-FR, qui a émis une alerte au sujet de Dridex le 23 octobre. « Depuis la mi-octobre 2015, le CERT-FR constate à l’échelle nationale une vague de pourriels (de type Dridex, NDLR) dont le taux de blocage par les passerelles anti-pourriel est relativement faible », écrit l’organisme officiel de réponse aux menaces, qui dépend de l’Anssi (Agence Nationale de la Sécurité des Systèmes d’information). Le centre note que ces courriels sont souvent écrits dans un français sans faute.
Radical : désactiver les macros

image: http://www.silicon.fr/wp-content/upl...ex-370x220.jpg
Une capture d’écran fournie montrant le nom des fichiers et fournie par Invincea.L’attaque prend en effet la forme d’une campagne de phishing, des mails renfermant des documents Microsoft Office qui semblent renfermer des factures émanant de magasins, d’hôtels ou d’organismes divers (la fourrière de Grenoble, la DGA…). Si l’utilisateur ouvre ces documents, une macro VBScript ou Visual Basic est employée pour assembler le malware PIDARAS.exe, via une technique dite Just-in-Time, qui consiste à construire la souche infectieuse directement sur le poste de la cible, afin d’échapper aux défenses basées sur le monitoring de réseau ou les bacs à sable. Selon le CERT-FR, les téléchargements s’effectuent via le port HTTP « non standard 8080 », une caractéristique qui « permet de détecter pour cette variante les postes ayant exécuté la macro ».
Une fois le malware en place, il communique avec des serveurs basés au Japon, via le port 473. Si Dridex est susceptible d’échapper à la vigilance de certains antivirus, une désactivation de la fonction d’exécution automatique des macros Office permet de lui couper les ailes, rappelle le centre de réponse aux incidents de l’administration française.
Suite à l’arrestation d’individus soupçonnés de liens avec le cybercrime l’été dernier, le FBI américain, en partenariat avec les autorités britanniques, a annoncé mi-octobre le démantèlement des infrastructures de commande et contrôle de Dridex. Repéré en novembre 2014, le malware a infecté des entreprises dans plus de 26 pays, engendrant de grosses pertes financières : 10 millions de dollars détournés aux Etats-Unis, 20 millions de livres sterling au Royaume-Uni.



www.silicon.fr

[Mimiche]

Des portes dérobées découvertes dans presque 3 000 applis iOS

Enregistrement audio, prise de captures d'écran, géolocalisation, accès aux mots de passe… Une curieuse librairie publicitaire rend les applis de l'App Store vulnérables au cyberespionnage.

Pas de répit pour Apple. Après XCodeGhost, le malware qui infecté plus de 4.000 applis sur l'App Store, voici venu iBackDoor, une curieuse porte dérobée que les analystes de FireEye ont découvert dans 2.846 applis iOS. Elle se situe au niveau d'une librairie baptisée mobiSage SDK, éditée par la société chinoise adSage. Elle permet de contacter des serveurs publicitaires et récupérer des pubs pour les applis. Jusque-là, rien d'anormal.


Mais en regardant de plus près, FireEye a découvert des fonctionnalités très intrusives dans cette librairie: enregistrement audio, prise de captures d'écran, géolocalisation, accès aux mots de passe applicatifs, etc. De telles fonctionnalités peuvent être légitimes, à condition que l'utilisateur soit prévenu et donne son accord. Mais dans le cas de mobiSage, elles peuvent être activées en douce, sans que l'utilisateur ne le remarque, au travers d'un simple code Javascript que l'appli télécharge depuis l'un des serveurs contactés. Bref, cette librairie est potentiellement un superbe outil d'espionnage.

XCodeGhost bouge toujours

Toutefois, FireEye n'a pas remarqué, à ce jour, une quelconque exploitation de ces fonctionnalités. La société spécialisée ne sait pas non plus si cette porte dérobée a été intégrée par adSage directement ou par un tiers. Elle remarque, néanmoins, qu'elle ne figure plus dans la dernière version de cette librairie. Par ailleurs, la page web qui présente ce SDK n'est actuellement plus disponible (erreur 404).


Contacté par FireEye le 21 octobre dernier, Apple a supprimé depuis une grande partie des applis concernées. Hier, selon SC Magazine, il en restait encore 400. Comme dans le cas de XCodeGhost, cette histoire montre les limites du contrôle effectué par Apple avant la publication d'une appli. Le cas XCodeGhost, d'ailleurs, n'est pas encore terminé. Il y a quelques jours, FireEye a détecté une nouvelle variante capable de contourner un dispositif de sécurité que la firme de Cupertino a ajouté dans sa dernière version d'iOS. Et le botnet lié à ce malware est toujours actif en partie.

Source : Des portes dérobées découvertes dans presque 3 000 applis iOS

[Mimiche]

Les gestionnaires de mots de passe sont-ils trop faciles à pirater ?

Créé par un hacker, le logiciel KeeFarce est capable d’extraire en douce tous les mots de passe du logiciel KeePass sur une machine. Mais ce n’est qu'une demi-surprise.

Le hacker néozélandais Denis Andzakovic vient de créer un logiciel plutôt dangereux : un extracteur de mots de passe pour KeePass 2.x, célèbre logiciel de gestion de sésames open source. Une fois installé sur une machine, cet « outil » baptisé KeeFarce attend que l’utilisateur déverrouille son gestionnaire de mots de passe pour siphonner tous les identifiants et les exfiltrer au travers d’un simple fichier .CSV.


Pour y arriver, le logiciel s’appuie sur une technique dite d’ « injection DLL ». Elle lui permet de s’insérer dans l’environnement d’exécution du gestionnaire de mots de passe et de lancer - ni vu ni connu - sa fonction d’exportation. Et le tour est joué.
L’un des cas d’usage, pour un pirate, serait de combiner KeeFarce – qui est disponible sur GitHub - avec une autre technique pour pouvoir l’installer à distance, sans avoir à accéder à la machine. Par exemple, au travers d’un envoi de phishing. Les possibilités sont nombreuses.


Vulnérable par design

Faut-il, par conséquent, ne plus toucher à KeePass ? Non, car, sur le principe, le développement du hacker néozélandais n’apporte rien de foncièrement nouveau. La sécurité d’un gestionnaire de mots de passe est directement liée à celle du système d’exploitation. Un pirate qui arrive à y prendre pied aura, tôt ou tard, accès à la base de mots de passe. Les développeurs de KeePass, d’ailleurs, le disent depuis longtemps. Face à un logiciel espion ciblé, « la meilleure fonction de sécurité sera vouée à l’échec », expliquent-ils sur

**Contenu caché: Cliquez sur Thanks pour afficher. **

Interrogé par Ars Technica, Denis Andzakovic explique que les boîtes à outils de hacker tels que Metasploit permettaient d’ores et déjà d’extraire une base de données KeePass sur une machine compromise. Mais c’est un peu laborieux. La nouveauté, avec KeeFarce, est d’automatiser cette extraction.

Au final, KeeFarce ne met pas réellement à mal KeePass. Ce code nous rappelle simplement qu’un gestionnaire de mots de passe n’est pas un outil magique capable de lutter contre tout et n’importe quoi. C’est vrai pour KeePass, mais aussi pour ses concurrents tels quel LastPass ou1Password. Même quand la base est stockée dans le cloud, il faudra bien - à un moment donné – la rapatrier sur un ordinateur et la déchiffrer pour pouvoir l’utiliser. Mais c’est toujours mieux que de créer une liste de mots de passe sous Excel, de noter ses identifiants sur des Post-it ou d’utiliser le même mot de passe pour tous ses accès.

[ironman]

Et si je vous disais qu'il y a dans votre ordinateur un mouchard que vous ne pouvez pas enlever, qui a été mis en place par le constructeur, qui est sur les listes blanches de la plupart des antivirus et dont vous n'avez jamais entendu parler ?

La société Kaspersky, spécialisée dans la détection et l'élimination de malware a débusqué il y a quelques mois un logiciel installé sur plus de 2 millions d'ordinateurs de par le monde qui est commercialisé par la société Absolute et qui permet OFFICIELLEMENT :

De sécuriser les données d'un parc de postes à distance

De déployer toujours à distance des mises à jour, des licences ou de lancer des audits

De géolocaliser des ordinateurs volés

De produire des rapports concernant les machines

De récupérer des fichiers

D'effacer à distance des documents ou tout le disque dur

Et qui est OFFICIEUSEMENT un trou béant dans la sécurité de votre ordinateur, car il peut être utilisé par un attaquant pour faire ce qu'il veut sur votre PC.

Le plus flippant là dedans, c'est qu'après les révélations de Kaspersky, personne ou presque n'en a parlé dans la presse ou sur les sites spécialisés. Bouuuh !

L'histoire de cette découverte n'est pas banale. La femme d'un des chercheurs de Kaspersky a constaté des plantages et des ralentissements sur son ordinateur. Elle l'a donc confié à son mari qui a commencé à analyser la bestiole, pensant y trouver un virus connu. Il est alors tombé sur des dll et des processus appartenant au logiciel Absolute Computrace.

Jusque là, rien de vraiment anormal puisque Absolute Computrace et son équivalent grand public LoJack sont vendus à des tas de sociétés pour que les administrateurs puissent suivre à la trace les machines, lancer des audits, faire des mises à jour...etc., le tout à distance.

Seulement, l'employeur de la dame n'avait jamais entendu parler de ce logiciel. Les chercheurs de Kaspersky ont alors commencé à regarder autour d'eux et se sont rendu compte qu'il y avait exactement le même logiciel installé sur leurs ordinateurs du boulot et leurs ordinateurs personnels.

Angoisse !

Ils ont alors mené une enquête plus approfondie et voici ce qu'ils ont découvert. Computrace se divise en 3 modules présents dans l'option ROM PCI qui est chargée ensuite par le BIOS de la machine.

Computrace Loader Module : Module de chargement lu par le BIOS et capable d'appeler le module d'installation.

Agent Installation Module : Module qui installe l'agent sur Windows.

Agent : L'agent en lui-même qui est ensuite présent et fonctionnel sous Windows.

Cette "option" Computrace est normalement visible dans le BIOS des machines et est mise en place par le fabricant de l'ordinateur. Absolute est fière de compter parmi ses clients des constructeurs comme Acer, Apple, ASUS, Dell, Fujitsu, Gateway, HP, Lenovo, Microsoft, Panasonic, Samsung, Sony et Toshiba. Ah oui, j'oubliais... Même si Kaspersky ne s'est penché que sur la version PC Windows, Computrace / LoJack existe aussi en version smartphone / tablette (Android) et Mac OSX.

En ce qui concerne Computrace sur PC, il est normalement désactivable dans le BIOS mais pas dans tous, puisque certains des ordinateurs analysés par Kaspersky n'avaient même pas cette option visible dans le BIOS et contenaient pourtant l'agent Computrace.

absolutecomputrace_01s27

Computrace Loader Module : Module de chargement lu par le BIOS et capable d'appeler le module d'installation.

Agent Installation Module : Module qui installe l'agent sur Windows.

Agent : L'agent en lui-même qui est ensuite présent et fonctionnel sous Windows.

absolutecomputrace_02s27

Cette "option" Computrace est normalement visible dans le BIOS des machines et est mise en place par le fabricant de l'ordinateur. Absolute est fière de compter parmi ses clients des constructeurs comme Acer, Apple, ASUS, Dell, Fujitsu, Gateway, HP, Lenovo, Microsoft, Panasonic, Samsung, Sony et Toshiba. Ah oui, j'oubliais... Même si Kaspersky ne s'est penché que sur la version PC Windows, Computrace / LoJack existe aussi en version smartphone / tablette (Android) et Mac OSX.

Edit: Il semble que cette dernière phrase n'ait pas été comprise par tous. Je vais tenter de mieux l'expliquer. L'agent Computrace est un logiciel qui peut s'installer volontairement. Cet agent est dispo sous Linux, Windows, Android et MacOSX. Seulement pour le moment et jusqu'à preuve du contraire, seuls certains PC Windows sont équipés d'un Computrace par défaut logé dans le bios et capable de déployer son agent sous Windows. Pour MacOSX ça ne semble pas être le cas. En tout cas, personne n'a encore creusé dans cette direction. Et pour Android, aucune preuve n'a été apportée non plus, même si certains téléphones et tablettes sont marqués par Absolute (voir liste ci-dessous) comme équipé d'un Computrace. Bref, pour les PC Windows on est sûr car Kaspersky a bien analysé tout le bordel mais pour OSX et Android, c'est non-prouvé.

En ce qui concerne Computrace sur PC, il est normalement désactivable dans le BIOS mais pas dans tous, puisque certains des ordinateurs analysés par Kaspersky n'avaient même pas cette option visible dans le BIOS et contenaient pourtant l'agent Computrace.

absolutecomputrace_04s27

L'intérêt d'une telle présence dans le BIOS de la machine, c'est la persistance du programme. Que vous réinstalliez, formatez ou changiez de disque dur, le tracker sera toujours présent. N'espérez pas pouvoir l'effacer en mettant à jour votre BIOS. Non, car il est présent dans une partie non modifiable et si vous flashez votre BIOS avec un nouveau firmware, il ne sera pas dégagé.

Voici comment il fonctionne.

Dès l'initialisation du BIOS, le module Computrace scanne les partitions FAT/FAT32/NTFS de la machine à la recherche du répertoire Windows. Il fait une copie de sauvegarde du logiciel autochk.exe et le remplace par sa propre version modifiée.

Autochk.exe ayant un accès complet aux fichiers et à la base de registre de Windows, cela permet à Computrace d'installer son agent rpcnetp.exe dans le répertoire System32 puis de l'enregistrer comme un service à lancer automatiquement à chaque démarrage.

Une fois que c'est fait, il restaure la sauvegarde de autochk.exe.

Rpcnetp.exe enregistre alors sa DLL rcpnetp.dll et l'injecte en mémoire. Un processus masqué utilisant iexplore.exe (Internet Explorer) est alors lancé et permet de communiquer avec le serveur de gestion de Computrace via des URL classiques (avec des POST et des GET). Passer par Internet Explorer permet d'utiliser les mêmes proxys et la même config que ceux de l'internaute. Des données sont envoyées et reçues entre cet agent et les serveurs d'Absolute, ce qui peut provoquer des ralentissements sur la machine.

.

absolutecomputrace_03s

Voici comment il fonctionne.

Dès l'initialisation du BIOS, le module Computrace scanne les partitions FAT/FAT32/NTFS de la machine à la recherche du répertoire Windows. Il fait une copie de sauvegarde du logiciel autochk.exe et le remplace par sa propre version modifiée.

Autochk.exe ayant un accès complet aux fichiers et à la base de registre de Windows, cela permet à Computrace d'installer son agent rpcnetp.exe dans le répertoire System32 puis de l'enregistrer comme un service à lancer automatiquement à chaque démarrage.

Une fois que c'est fait, il restaure la sauvegarde de autochk.exe.

Rpcnetp.exe enregistre alors sa DLL rcpnetp.dll et l'injecte en mémoire. Un processus masqué utilisant iexplore.exe (Internet Explorer) est alors lancé et permet de communiquer avec le serveur de gestion de Computrace via des URL classiques (avec des POST et des GET). Passer par Internet Explorer permet d'utiliser les mêmes proxys et la même config que ceux de l'internaute. Des données sont envoyées et reçues entre cet agent et les serveurs d'Absolute, ce qui peut provoquer des ralentissements sur la machine.

absolutecomputrace_06s

Ce module télécharge alors un autre agent baptisé rpcnet.exe qui est un peu plus gros, mais qui se comporte sensiblement de la même manière que rpcnetp.exe. Il s’immisce dans le système et d'après Kaspersky, permet de donner un accès distant et complet à la machine sur laquelle il tourne. En gros, il s'agit d'un logiciel de tracking et de prise de contrôle à distance.

Computrace utilise les mêmes techniques de filou que les logiciels malveillants et cherche délibérément à se cacher de l'utilisateur. La raison est d'éviter qu'un voleur de portable le remarque, et puisse masquer sa localisation ou bloquer Computrace.

Computrace marque aussi avec un ID unique la machine, ce qui permet de l'identifier de manière sûre.

En analysant les trames réseau échangées entre les agents et le serveur de gestion, Kaspersky a remarqué qu'il était possible à n'importe qui d'injecter à distance n'importe quel code afin de l'exécuter sur la machine. Le protocole utilisé n'étant pas chiffré, n'exigeant pas d'authentification de la part du serveur gestionnaire et les serveurs appelés l'étant via de simples URL, il est possible de faire croire à l'agent Computrace qu'il discute avec son serveur de gestion alors qu'il s'agit d'un attaquant qui a détourné quelques DNS. L'attaquant peut alors lancer du code sur la machine, accéder aux fichiers, récupérer les trames réseau..etc.

Potentiellement, tous les ordinateurs infectés par Computrace sont des botnets en puissance. Kaspersky a aussi remarqué à plusieurs reprises que Computrace s'activait immédiatement sur des PC neufs.

Kaspersky a aussi contacté la société Absolute et leur a fourni des numéros de série de matériels qui contenaient l'agent Computrace. Absolute n'a aucune trace de ces appareils dans sa base de données. Cela signifie que Computrace a été activé sur ces machines par un autre canal que celui "officiel" d'Absolute. Jusqu'à aujourd'hui, ça reste un mystère.

D'après les sondes de Kaspersky, voici la répartition dans le monde des ordinateurs équipés de Computrace / LoJack.

Alors, maintenant que faire ?

Tout d'abord, si votre ordinateur fait partie de cette liste, vous êtes susceptible d'être l'heureux propriétaire d'un agent Computrace (Edit : Ce n'est pas systématique. Il s'agit là du matos compatible avec Computrace). Félicitations !

acer

Notebooks & Tablets Models

Aspire 3830T, 4741, 7741, M5-481T

Iconia W701

TravelMate All Models

asus

Notebooks & Tablets Models

B43 Series B43F, B43J

B53 Series B53F, B53J

Eee Pad Eee Slate B121

F52 Series F52Q

F6 Series F6Ve

F80 Series F80Q

G51 Series G51Jg

G53 Series G53Jq, G53Jw

G73 Series G73Jh, G73Jw

M51 Series M51A

N10 Series N10Jb, N10Jh

N20 Series N20A

N43 Series N43Jf

N53 Series N53Jf, N53Jn, N53Jq

N71 Series N71Ja, N71Jq, N71Jv

N73 Series N73Jf, N73Jn, N73Jq

N81 Series N81Vg, N81Vp

N82 Series N82Jg, N82Jq, N82Jv

P42 Series P42F, P42Jc

P50 Series P50Ij

P52 Series P52F, P52Jc

U Series Other U31, U41

UL Series Other UL21, UL31

UL30 Series UL30A, UL30Jt, UL30Vt

UL80 Series UL80Jt

UX Series UX21, UX31

dell

Desktops & Workstations Models

Optiplex Desktop 3010, 3011, 3020, 330, 360, 380, 380S, 390, 580, 580S, 7010, 745, 745c, 755, 760, 760S, 760U, 780, 780S, 780U, 790, 9010, 9010 AIO, 9020, 9020 AIO, 960, 960S, 980, 980S, 990, FX100, FX130, FX170, XE D, XE S, XE2

Precision R5400 Workstation, R5500 Workstation, R7610, T1600, T1650, T20, T3400, T3500, T3600, T3610, T5400, T5500, T5600, T5610, T7400, T7500, T7600, T7610

Notebooks & Tablets Models

Alienware M11xR2, M11xR3, M14x, M15x, M17x, M18x

Inspiron 1110, 1120, 1121, 11z, 1200, 13, 1300, 130B, 1318, 13z, 14 N4050, 1420, 1440, 1464, 1470, 14R, 14z Ultrabook, 15, 1501, 1520, 1521, 1525, 1526, 1545, 1546, 1564, 1570, 15R, 15z Ultrabook, 17, 1720, 1721, 1745, 1764, 17R, 2200, 3421, 3437, 3521, 3537, 3721, 3737, 5323, 5420, 5421, 5425, 5435, 5437, 5520, 5521, 5525, 5535, 5537, 5720, 5721, 5735, 5737, 6000, 630, 6400, 640M, 7000 Series, 700M, 710M, 7420, 7437, 7520, 7537, 7720, 7737, 9300, 9400, B120, B130, Duo Tablet, E1405, E1505, E1705, M101z, M102z 1122, M5010, M5030, N4010, N4020, N4030, N4110, N5010, N5030, N7010

Latitude 10 Tablet, 110L, 120L, 13, 131L, 2100, 2110, 2120, 3330, 3340, 3440, 3540, 4310, 5410, 5510, 6410, 6410 ATG, 6510, D410, D420, D430, D510, D520, D530, D531, D610, D620, D630, D630 XFR, D631, D810, D820, D830, E4200, E4300, E4310, E5000, E5400, E5410, E5420, E5430, E5440, E5500, E5510, E5520, E5530, E5540, E6000, E6220, E6230, E6320, E6330, E6400, E6400 ATG, E6400 XFR, E6410, E6410 ATG, E6420, E6420 ATG, E6430, E6430 ATG, E6430S, E6430u, E6440, E6500, E6510, E6520, E6530, E6540, E7240, E7440, ST Tablet, X1, XT, XT2, XT2 XFR, XT3 Tablet, Z, Z600

Netbook UMPC Inspiron Duo Convertible, Inspiron Mini 10, Inspiron Mini 1010, Inspiron Mini 1011, Inspiron Mini 1012, Inspiron Mini 1018, Inspiron Mini 12, Inspiron Mini 9, Inspiron Mini 910, Latitude 2100, Latitude 2120

Precision 390, 490, 690, M20, M2300, M2400, M4300, M4400, M4500, M4600, M4700, M4800, M6300, M6400, M65, M6500, M6600, M6700, M6800, M70, M90

Studio 15, 16, 17

Venue Tablets Venue 11 Pro Tablet, Venue 8 Pro Tablet

Vostro 1000, 1200, 1310, 1320, 1400, 1440, 1500, 1510, 1520, 1540, 1700, 1710, 1720, 2420, 2520, 3300, 3350, 3360, 3400, 3450, 3460, 3500, 3550, 3555, 3560, 3700, 3750, 5560, V130, V131

XPS 11 Ultrabook, 12 Ultrabook, 13 Ultrabook, 14 Ultrabook, 14z, 15, 15z, 720, M1210, M1330, M140, M1530, M170, M1710, M1730, M2010, XPS 12, XPS 15, XPS 17, XPS 17 3D, XPS 18

fujitsu

Notebooks & Tablets Models

CELSUIS series H710, H720, H730, H910, H920

LIFEBOOK A-series A1120, A1130, A3120, A3130, A3210, A530, A531, A532, A6010, A6025, A6110, A6120, A6210, A6220, A6230, AH530, AH531, AH532, AH550, AH552

LIFEBOOK B-series B6220, B6230, BH531

LIFEBOOK C-series C1410

LIFEBOOK E-series E733, E734, E743, E744, E751, E752, E753, E754, E780, E781, E782, E8310, E8410, E8420

LIFEBOOK L-series LH531, LH532, LH772

LIFEBOOK M-series M702, MH380

LIFEBOOK N-series N532, N6460, N6470, NH532, NH570, NH751

LIFEBOOK P-series P1610, P1620, P1630, P701, P702, P7230, P731, P770, P771, P772, P8010, P8020, PH521, PH701, PH702

LIFEBOOK S-series S2210, S561, S6510, S6520, S710, S7110, S7210, S7211, S7220, S751, S752, S760, S761, S762, S781, S782, S792, S904, SH531, SH572, SH761, SH762, SH771, SH772, SH792

LIFEBOOK T-series T1010, T2010, T4210, T4215, T4220, T4310, T4410, T5010, T580, T730, T731, T732, T734, T900, T901, T902, T904, TH700, TH701

LIFEBOOK U-series U554, U574, U772, U810, U820, U904, UH552, UH572, UH900

LIFEBOOK V-series V1010, V1020, V1030, V1040

STYLISTIC series M532, MH350, Q550, Q552, Q572, Q584, Q702, Q704, ST5111, ST5112, ST6012

gammatech

Notebooks & Tablets Models

Durabook D13RY, D14RY, D15RP, D15TS

gateway

Notebooks & Tablets Models

100s C-140, E100m, E100mg, E155c, E155cg

200s E-265M, E-295c, M250es, M250gs, M255e, M255g, M280e, M280g, M285e, M285g

400s E 475M, M460es, M460gs, M465e, M465g

600s M680es, M680gs, M685e, M685g

CX CX2700

Desktops E4610, E6610

MP MP6900, MP8700

MX MX1000, MX3300, MX3400, MX6300, MX6400, MX6900, MX8700

gd-itronix

Notebooks & Tablets Models

Duo-Touch II Tablet T8Y

GoBook VR-2, XR-1

Vehicle Rugged Notebook GD6000, GD8000

getac

Notebooks & Tablets Models

Rugged Notebook A790, B300, M230N, S400

Rugged Tablet E100, V100

hp

Desktops & Workstations Models

Compaq Elite Desktops 8000, 8000f USDT, 8100, 8200

HP Compaq All-in-Ones (AiO's) Elite 8200 AiO, Elite 8300 AiO, Pro 4300 AiO, Pro 4300 AiO, Pro 4300 AiO, Pro 6000 AiO, Pro 6300 AiO

HP Compaq dc & Pro Desktops 4000, 4300SFF, 5800, 5850, 7700, 7800, 7900, Elite 8000, Elite 8100, Elite 8200, Elite 8300 - all form factors, Pro 6000, Pro 6005, Pro 6005 USDT, Pro 6200, Pro 6300 - all form factors, Pro 6305 - all form factors

HP EliteDesk Series Business PC 600 G1, 800 G1

HP EliteOne All-in-One Business PC 800 G1

HP ProDesk Business Series Desktops 400 G1, 600 G1

HP ProOne All-in-One Business PC 400 G1, 600 G1

HP Workstations xw4600, xw6600, xw8600, Z1, Z1 G2, Z200, Z200 SFF, Z210, Z210 SFF, Z230 SFF, Z230 Tower, Z400, Z420, Z600, Z620, Z800, Z820

Notebooks & Tablets Models

Compaq nc Series Notebook 2400, 4200, 4400, 6320, 6340, 6400, 8240, 8430

Compaq nw Series Mobile Workstation 8440, 9440

Compaq nx Series Notebook 6310, 6315, 6325, 7300, 7400, 9420

Compaq Presario Series C7, CQ32, CQ35, CQ36, CQ40, CQ41, CQ42, CQ43, CQ45, CQ57, CQ60, CQ60Z, CQ61, CQ62, CQ70, CQ71, CQ72, F7, V6

Envy Series All Models

HDX Series 16t, 18t

HP Compaq 2000 Series Notebooks 2510p, 2710p

HP Compaq 6000 Series Notebooks 6510b, 6515b, 6520s, 6530b, 6530s, 6535b, 6535s, 6710b, 6710s, 6715b, 6715s, 6720s, 6730b, 6730s, 6735b, 6735s, 6820s, 6830s, 6835s, 6910p, 6930b, 6930p

HP Compaq 8000 Series 8510p, 8510w, 8710p, 8710w, 8740w

HP Compaq Tablet PC TC1100, TC4200, TC4400

HP Elite Series (EliteBook and ElitePad) 1040 G1, 2170p, 2530p, 2540p, 2560p, 2570p, 2730p, 2740p, 2760p, 6930p, 820 G1, 840 G1, 8440p, 8440w, 8460p, 8460w, 8470p, 8470w, 850 G1, 8530p, 8530w, 8540p, 8540w, 8560p, 8560w, 8570p, 8570w, 8730w, 8740w, 8760w, 8770w, 9470m, ElitePad 900, Revolve 210 G2, Revolve 810 G1

HP Folio Series (Ultrabook) 13

HP Laptop g4, G42, g6, G60, G61, G62, g7, G70, G71, G72, HP 2000, HP 430, HP 630, HP/Compaq 435

HP Notebook PC 240, 240 G2, 242, 245, 245 G2, 250, 250 G2, 255, 255 G2, 3115m, 3125, 450, 455, 650, 655

HP Slate Tablet PC HP Slate 2, HP Slate 500

HP Spectre Series 13 X2, XT Pro

HP ZBook Mobile Workstation 14, 15, 17

Mini 1103, 1104, 2102, 2133, 2140, 5101, 5102, 5103

Pavilion dm Series dm1, dm3, dm4

Pavilion dv Series dv2, dv3, dv4, dv5, dv6, dv7, dv8, dv9, tx1, tx2

ProBook 4230s, 430, 4310s, 4320s, 4330s, 4331s, 4340s, 4341s, 440, 440 G1, 4415s, 4425s, 4430s, 4431s, 4435s, 4436s, 4440s, 4441s, 4445s, 4446s, 445 G1, 450 G1, 4510s, 4520s, 4525s, 4530s, 4535s, 4540s, 4545s, 455, 455 G1, 470, 470 G1, 4710s, 4720s, 4730s, 4740s, 5310m, 5320m, 5330m, 6360b, 640 G1, 6440b, 6445b, 645 G1, 6450b, 6455b, 6460b, 6465b, 6470b, 6475b, 650 G1, 6540b, 6545b, 655 G1, 6550b, 6555b, 6560b, 6565b, 6570b

Other Models

Compaq Media Player MP8000 Elite, MP8200 Elite

HP Compaq Multi-Seat MS6000 Pro, MS6200 Pro, MS6200 SFF

Mobile Thin Client HP MT 40 Mobile Thin Client

RPOS HP RP3 3100, HP RP7 Retail System, Model 7800, rp3000, rp5700, rp5800

lenovo

Desktop Workstations Models

ThinkStation E20, E30, E31

Desktops & All In One Models

ThinkCentre A Series 58, 61, 61e, 70, 70z

ThinkCentre M Series 57, 57e, 57p, 58, 58e, 58p, 70e, 71e, 71z, 72e, 73, 77, 78, 81, 82, 90p, 90z, 91p, 92p tiny, 92z, 93, 93p

Notebooks & Tablets Models

Essentials B430, B4450s, B480, B490, B560, B580, B590, E49, K49, K490s, M4400, M490, M490s, M495, V480, V490, V490u, V580, V580c

IdeaPad 3000, Flex 14, N580, P580, P585, S10, S10e, S300, S400, S9e, U260, U300(s), U310, U330 Touch, U400, U410, U430 Touch, U510, U530 Touch, Y480, Y510p, Yoga 11, Yoga 13, Yoga 2 Pro, Z565

ThinkPad Edge Series 11, 13, 14, 15, E10, E120, E125, E130, E220s, E30, E31, E320, E325, E335, E40, E420, E420s, E425, E430, E430c, E431, E49, E50, E520, E525, E530(c), E531, E535, S230u, S430, Twist

ThinkPad G Series G470, G480, G50, G550, G560, G570, G580, G780

ThinkPad L Series 410, 412, 420, 421, 430, 440, 510, 512, 520, 530, 540

ThinkPad R Series 400, 500, 51e, 52, 60, 60e, 61, 61e, 61i

ThinkPad SL Series 300, 400, 400c, 410, 500, 500c, 510

ThinkPad T Series 400, 400s, 410, 410i, 410s, 410si, 420, 420i, 420s, 420si, 43, 430, 430s, 430u, 431s, 43p, 440, 440p, 440s, 500, 510, 510i, 520, 520i, 530, 540p, 60, 60p, 61, 61p

ThinkPad Tablet & Hybrid Helix, Tablet 2, Tablet (Android), ThinkPad Yoga

ThinkPad W Series Mobile Workstation 500, 510, 520, 530, 540, 700, 700ds, 701, 701ds

ThinkPad X Series 100e, 11e, 120e, 121e, 130e, 200, 200 Tablet, 200s, 201, 201 Tablet, 201i, 201s, 201si, 220, 220 Tablet, 220i, 220i Tablet, 230, 230 Tablet, 240, 300, 301, 41, 41 Tablet, 60, 60 Tablet, 60s, 61, 61 Tablet, 61s, X1, X1 Carbon, X1 Carbon Touch, X131e, X141e

motion

Notebooks & Tablets Models

Tablet PC C5t, C5te, C5v, CL900, CL910, F5t, F5te, F5v, J3500, J3600, R12

panasonic

Notebooks & Tablets Models

Toughbook Business-Rugged C1, F8, F9, S10, SX2, T5, T7, T8, W5, W7, W8, Y5, Y7

Toughbook Fully-Rugged 19, 30, 31

Toughbook Semi-Rugged 52, 53, 74, 74-E or higher, C2

Toughbook Ultra-Mobile-Rugged H1, H2, U1

Toughbook Vehicle-Mounted PDRC

Toughpad 4K, FZ-G1, FZ-M1

samsung

Smartphones, Notebooks & Tablets Models

ATIV Book 2 Notebooks NP200

ATIV Book 3 Notebooks NP300, NP305, NP350

ATIV Book 4 Notebooks NP400

ATIV Book 5 Notebooks NP500, NP530, NP535, NP550

ATIV Book 6 Notebooks NP600

ATIV Book 7 Notebooks NP700

ATIV Book 9 Notebooks NP900

Galaxy & ATIV Tablets ATIV XE700 T1C Pro, Galaxy Note 2014 Edition (10.1), Galaxy Note Pro (12.2), Galaxy Tab 3 (10.1), Galaxy Tab 3 (7.0) (AT&T, Sprint, T-Mobile), Galaxy Tab 4 (10.1, 8.0), Galaxy Tab 4 Education, Tab Pro (12.2, 10.1, 8.4)

Galaxy Smartphones Mega 6.3 (AT&T, Sprint, US Cellular), Note 3, S4, S4 Active, S4 Mini, S5

toshiba

Notebooks & Tablets Models

Portege R830, R835, R930, R935, Z830, Z835, Z930, Z935

Qosmio F750, F755, X770, X775, X870, X875

Satellite C650, C840, C850, C855, C870, L730, L740, L750, L770, L830, L840, L850, L855, L870, L875, P750, P770, P840, P850, P855, P870, P875, R845, R945, S850, S855, S870, U840

Satellite Pro C660, C665, C850, C870, L750, L770, L830, L850, L870, R850

Tecra A11, R840, R850, R940, R950

xplore

Notebooks & Tablets Models

IXC104C4 All models except IXC104M Military version

Déjà, pour vérifier si Computrace est présent sur votre ordinateur, vous pouvez lancer HijackThis et vérifier si l'un des processus suivants est lancé :

rpcnet.exe

rpcnetp.exe

32 bitsvchost.exe (tournant sur un OS en 64 bits)

Si les fichiers sont présents sur votre disque dur :

%Windir%\system32\rpcnet.exe

%Windir%\system32\rpcnetp.exe

%Windir%\system32\wceprv.dll

%Windir%\system32\identprv.dll

%Windir%\system32\Upgrd.exe

%Windir%\system32\autochk.exe.bak (FAT)

%Windir%\system32\autochk.exe.bak (NTFS)

Si vous voyez passer des requêtes DNS vers ces adresses :

search.namequery.com

search.us.namequery.com

search64.namequery.com

bh.namequery.com

namequery.nettrace.co.za

search2.namequery.com

m229.absolute.com ou toute m *. absolute.com

Si votre système se connecte à l'adresse IP suivante : 209.53.113.223

Si les clés suivantes sont présentes en base de registre :

HKLM\System\CurrentControlSet\Services\rpcnet

HKLM\System\CurrentControlSet\Services\rpcnetp

Mais alors ? Comment s'en débarrasser ?

Et bien malheureusement, il n'y a pas de solution miracle. Le plus sain est de changer de carte mère avec si possible un BIOS libre non signé comme Coreboot. Autrement, une autre solution qui ne dégage pas Computrace, mais qui permet de bloquer les connexions de l'agent, c'est d'entrer les URL ci-dessus dans votre fichier Hosts en les faisant pointer vers votre adresse localhost (127.0.0.1).

Autrement, je n'ai pas de solution pour le moment, mais si vous avez d'autres infos, je suis preneur.

L'avenir est sombre avec ce genre de choses surtout qu'Absolute n'est pas le seul sur ce marché. Des technologies similaires existent sous le nom de FailSafe dans les BIOS de Phoenix Technologies (en mode SMM avec tous les privilèges) et sous le nom de VPro sur les puces Intel.

Elles fonctionnent de manière totalement indépendante, sont persistantes, peu importe l'OS présent sur la machine et surtout elles sont capables d'exploiter le matos directement (carte WiFi, GPS...etc.). Le pire là-dedans, c'est que même si votre ordinateur est éteint, ça peut fonctionner. Vous ne me croyez pas ? Allez lire la doc d'Intel.

Il est scandaleux que les constructeurs intègrent ce genre de choses dans leurs ordinateurs surtout sans en informer leurs clients et pour le moment, on ne connait pas encore l'étendue des dégâts. Mis à part les PC, Computrace est aussi présent sur les appareils mobiles et les Mac, donc j'imagine le pire. Malheureusement, aucune étude sur Android ou iOs n'a été réalisée à ce jour pour savoir si Computrace y était implanté par défaut comme c'est le cas sur les PC.

Même chose avec Linux même si on sait que l'agent est dispo sous Linux et tourne sur RedHat 6, Ubuntu 10, Mint 9, openSuse 11, CentOS 5, Fedora 13 et Debian 5. On ne sait pas, par contre si le module présent dans le BIOS est capable de détecter la présence d'un Linux et d'installer le binaire équivalent à rpcnet.exe qui va bien.

Computrace travaille-t-il avec des agences de renseignement et des gouvernements ? Des attaques exploitant Computrace ont-elles déjà eu lieu ? Impossible à savoir pour le moment.

La seule réponse possible pour le moment, face à ce genre de chose est d'aller gueuler dans les oreilles de votre constructeur et d'opter pour du matériel libre. Mais malheureusement, cela doit représenter 0,0001% du parc de machines, tous types confondus et c'est encore très difficile à trouver pour les utilisateurs lambda. Il est aussi probable qu'installer Linux bloque le fonctionnement de Computrace même si celui-ci est présent dans le BIOS mais ce n'est qu'une supposition.

Comment faire pour supprimer Computrace De BIOS

sécurité informatique vol a parcouru un long chemin depuis l'époque des cadenas et des fils de sécurité. Computrace est un module informatique installé sur la carte mère de l'ordinateur. Il fonctionne indépendamment de l'ordinateur pour envoyer un signal GPS qui montre son emplacement. Activer ou l'activation de cette fonction est une option permanente pour ajouter encore plus de sécurité pour vos appareils informatiques . Non chaque ordinateur est livré avec Computrace , mais ceux qui ne viennent avec la fonction désactivée en entrée de base de l'ordinateur et du système de production . De l'intérieur du menu BIOS de l'ordinateur, activer ou désactiver Computrace en permanence - mais notez que vous ne pouvez pas le changer en arrière lorsque vous modifiez le paramètre juste une fois. Instructions

1

Éteignez votre ordinateur en maintenant le bouton "Power " sur la tour de l' ordinateur ou de la lunette haut du clavier si vous utilisez un ordinateur portable.

2

Mettez l'ordinateur arrière et attendre le logo du fabricant de votre ordinateur pour apparaître sur l'écran. Quand il apparaît , appuyez sur la touche d'accès BIOS comme on le voit sur ​​l'écran immédiatement d'entrer dans le menu du BIOS . Touches du BIOS varient entre les fabricants d'ordinateurs , mais en appuyant sur la touche " F2" "DEL" ou active généralement le menu du BIOS (voir Ressources) .

3

Sélectionnez l'onglet "Sécurité" sur le BIOS menu principal à l'aide des touches fléchées , comme vous ne pouvez pas utiliser la souris de l' ordinateur. Ici, vous verrez trois options pour Computrace . L'option « Désactivé » sera plus que probablement être déjà sélectionné.

4

Sélectionnez l'option "Désactiver" et appuyez sur "Entrée " du clavier pour désactiver Computrace sur l'ordinateur de façon permanente. Vous ne serez pas en mesure de réactiver le module Computrace une fois qu'il est désactivée. Appuyez sur la touche "Entrée" une fois de plus pour vérifier la sélection "Désactiver" .

5

Appuyez sur la touche "F10" pour enregistrer les nouveaux paramètres du BIOS et l'ordinateur va redémarrer dans le système d' exploitation de l'ordinateur .

Sujet déplacé et fusionné.

[ironman]

Lorsqu’un événement tragique comme celui de ce weekend nous frappe de plein fouet, la méfiance est généralement une des attitudes adoptée machinalement. C’est d’ailleurs celle à adopter si vous recevez un e-mail intitulé « On est tous Paris » reprenant l’email malicieux « On est tous Charlie » de cet hiver.

Hoaxbuster mail On est tous Charlie

Des quotidiens comme Le Monde et MetroNews ont d’ailleurs commencé à établir une liste de fausses rumeurs voire informations erronées et tout de même publiées sur les réseaux sociaux par exemple. Aux dernières nouvelles, un hoax, autrement dit une fausse histoire, envoyée en e-mail invite à la plus haute des vigilances en reprenant exactement les traits d’un même hoax celui ayant circulé après les attentats de Charlie Hebdo et de l’Hyper Casher en janvier dernier.
Vous risquez de recevoir un mail nommé « on est tous Paris » qui est diffusé à grande échelle depuis ce WEEKEND. Dans ce message une photo de bébé avec un bracelet de naissance où il est écrit « on est tous PARIS » vous invitant à cliquer sur la photo. NE CLIQUER PAS!!! ce message contient un malware (virus) qui permet de prendre le contrôle à distance de votre téléphone ou ordinateur et de récupérer toutes vos données et mots de passe. [Source : service de cyber criminalité du ministère francais de la défense]. Donc, envoyez ce message à vos contacts. C’est urgent et ca va très vite, ca circule depuis dimanche. La confirmation de cette info a été diffusée sur EUROPE 1 ce matin (sic) »
Premièrement, il est annoncé que l’information colportée a été « diffusée sur Europe 1 », c’est un mensonge, aucune trace à son sujet ne se retrouve aujourd’hui sur le site officiel ou sur les réseaux sociaux rattachés au groupe. Deuxièmement, le « service de cyber criminalité du ministère de la défense » mentionné n’existe pas du tout contrairement à l’Agence nationale de la sécurité des systèmes d’informations (ANSSI)
Sur le site de ce dernier, là encore aucune information n’apparaît traitant de la « menace » présentée au sein de l’e-mail. Ainsi, si les faits énoncés étaient avérés, l’Agence se serait chargée de diffuser l’information par ses propres moyens.
Autre remarque mettant la puce à l’oreille et probablement la plus évidente : les fautes d’orthographe. Si elles peuvent échapper à l’attention de temps à autre, un communiqué officiel de cette importance serait en temps normal lu et relu avant d’être approuvé. Côté mise en forme, c’est la même chose, faire insistance sur certains mots en les mettant en lettres capitales n’est pas un procédé respectant la convention typographique.
Le Monde qui a donc publié un guide afin de se repérer parmi les informations à retenir ou à jeter, résume en quelques mots simples ce dont il faut se méfier pour la sécurité de ses données personnelles :
Méfiez-vous aussi des informations anxiogènes (type ‘ne prenez pas le métro, un ami a dit à un autre ami que la police s’attendait à d’autres attentats’, un message qui tourne apparemment depuis samedi matin) que vous pouvez recevoir via SMS, messages de proches, etc, et qui s’avèrent fréquemment être des rumeurs relayées de proche en proche, sans réelle source – Le Monde
Un malware pourrait être compris dans le contenu et se télécharger sur votre ordinateur si vous vous décidiez à cliquer sur un lien conduisant sur une page invitant à accepter quelque chose pour lancer une vidéo. En résumé, si vous recevez cet e-mail se faisant étrangement discret (aucune capture d’écran atteste encore de son existence), supprimez-le directement.

**Contenu caché: Cliquez sur Thanks pour afficher. **

Sujet déplacé et fusionné.

[ironman]

Des chercheurs en sécurité ont testé plusieurs services. Plus de la moitié étaient vulnérables. En cas de doute, il est conseillé de contacter son fournisseur.


Beaucoup d’internautes utilisent des services VPN tels que HideMyAss ou PrivacyInternetAccess pour cacher leur véritable adresse IP et -notamment- télécharger des fichiers multimédias, en s’estimant ainsi à l’abri des ayants-droits. Grave erreur ! Les ingénieurs de Perfect Privacy - un autre service VPN - ont découvert une faille baptisée « Port Fail » chez un bon nombre de leurs concurrents, qui permet de dévoiler facilement l’adresse IP d’un utilisateur.


L’attaque repose sur un mécanisme classique : le « port forwarding » (ou translation de port). Il permet de rendre accessible depuis l’internet certains services que l’on héberge, sans pour autant révéler son adresse IP. Un utilisateur A peut par exemple définir un certain port sur le serveur de son VPN pour rediriger automatiquement le trafic entrant vers son serveur FTP. Le problème : si un utilisateur B de ce même serveur VPN veut accéder à ce service FTP, il ne pourra pas bénéficier en même temps d’une protection de son adresse. La fonctionnalité de proxy est dans ce cas court-circuitée : l’utilisateur A verra l’adresse IP de l’utilisateur B.
[COLOR=#999999 !important]
Exemple d’attaque

Comme le souligne le hacker David Davidson dans une note de blog, cette faille est très pratique pour un ayant-droit souhaiterait faire la chasse aux pirates. Il suffit qu’il se connecte sur des réseaux peer-to-peer et qu’il collecte les adresses IP des participants. Evidemment, il ne s’agit pas de leurs véritables adresses IP mais de celle de leurs serveurs VPN.
Ensuite, il identifie les services VPN correspondants et ouvre un compte pour pouvoir utiliser les mêmes serveurs. Il retourne dans les réseaux peer-to-peer et propose le téléchargement d’une œuvre multimédia après avoir activé le « port forwarding ». Il pourra alors siphonner les adresses IP de tous ceux qui s’y connecteront.
Perfect Privacy a testé neuf services VPN concurrents. Cinq d’entre étaient vulnérables et ont, depuis, colmaté la faille. Parmi eux : Private Internet Access, Ovpn.to et nVPN. Mais d’autres services VPN sont peut-être vulnérables. Si vous avez un doute sur votre fournisseur, contactez-le et posez lui la question.

**Contenu caché: Cliquez sur Thanks pour afficher. **

Sujet fusionné.

[ironman]

Des chercheurs en sécurité ont identifié un groupe de pirates probablement à la solde d’acteurs privés. Il pénètre en douce dans les réseaux de grandes entreprises pour voler des informations confidentielles.

Ils ont piraté Twitter, Facebook, Apple et Microsoft et une quarantaine d’autres grandes entreprises durant ces trois dernières années. Ils ont un très bon niveau technique, et ils gagnent beaucoup d’argent. Bienvenue dans le monde de Butterfly, un groupe de pirates qui s’est spécialisé dans l’espionnage économique, des mercenaires probablement employés par des investisseurs ou des concurrents qui sont à la recherche d’informations confidentielles. C’est en tous les cas la conclusion à laquelle est venu Gavin O’Gorman. Cet analyste de Symantec a présenté aujourd’hui les détails techniques des attaques de Butterfly à l’occasion de la conférence de sécurité Botconf 2015, à Paris.


La piste du vol d’informations confidentielles a été particulièrement flagrante pour une compagnie aérienne nord-américaine et une société pharmaceutique. Dans les deux cas, le piratage a été exécuté peu de temps après la parution d’un article de presse qui annonçait un changement important pouvant influer sur le cours de bourse. « Ils pénètrent le réseau, volent les informations et les revendent à des brokers. Pour ces derniers, c’est finalement une façon très efficace de faire de l’argent, car l’opération est très difficile à pister », explique le chercheur.




Symantec - Victimes de Butterfly


En tous les cas, les affaires marchent visiblement très bien pour ces pirates, car ils utilisent des failles zero-day qu’ils achètent très probablement à la demande sur le marché noir. Compte tenu de la rapidité d’exécution de leurs campagnes, ils ne pourraient pas attendre que l’un d’entre eux mette la main sur une telle vulnérabilité. Ainsi, en février 2013, lorsqu’ils ont attaqué les sociétés high-tech, ils se sont appuyé sur une faille zero-day Java. En 2014, ils ont utilisé une faille zero-day dans Internet Explorer 10. « Une telle faille dans Internet Explorer coûte au moins 100.000 dollars, voire même plusieurs centaines de milliers de dollars », souligne Gavin O’Gorman.


Le niveau technique des pirates « n’est pas démentiel », mais suffisamment élevé pour susciter l’étonnement chez l’analyste de Symantec. Il a pu récupérer l’image d’un des serveurs de commande et contrôle (C&C). Celui-ci ne comportait rien, mise à part un gros fichier de 400 Go intitulé « HD-porn-corrupted_tofix.rar ». Evidemment, il ne s’agit pas réellement d’un fichier X, mais du fichier d’une machine virtuelle VirtualBox chiffrée en TrueCrypt. Les opérations de piratage étaient réalisées au travers de cette machine. Une fois terminées, rien d’exploitable ne pouvait être récupéré sur la machine physique, même en cas de perquisition. « C’est la première fois que je vois un telle niveau de sécurité opérationnelle dans un serveur C&C », ajoute Gavin O’Gorman qui, en revanche, a remarqué certaines lacunes au niveau de la détection de moteurs antivirus et ou du camouflage de processus en mémoire. C’est une raison de plus pourquoi Symantec ne pense pas qu’il s’agit là d’un service secret, car les agences de renseignement maitrisent plutôt bien ces sujets.



Peut-être basé aux Etats-Unis

Au niveau de l’équipe, plusieurs indices relatifs à la langue et aux horaires d’activité semblent indiquer qu’il s’agit d’un petit groupe dispersé aux quatre coins du monde, mais basé aux Etats-Unis. Par ailleurs, son niveau de dangerosité semble également plus élevé que pour d’autres groupes d’espionnage similaires. « Dans un cas, ils ont réussi à accéder physiquement à l’ordinateur d’une victime dans son domicile pour installer un malware », relate Gavin O’Gorman. Un mode opératoire qui fait penser au contre-espionnage et qui explique pourquoi l’analyste n’a pas voulu être filmé pendant sa présentation.


Symantec a publié un livre blanc en juillet dernier sur Butterfly, avec la clé de nombreux détails techniques. « Depuis, nous ne percevons plus aucune activité sur ce groupe. Il est probable qu’il soit en train de renouveler tous ses outils », ajoute l’analyste. Mais une chose est certaine, Butterfly frappera à nouveau.