Menaces sur le réseau -Securité informatique

[ironman]

Applis malveillantes sur Smart TV sous Android, dongles de streaming media bardés de failles… les téléviseurs connectés sont une cible facile.

Les télés connectées ont de plus en plus de succès, mais pas seulement chez les consommateurs. Les pirates aussi s’y intéressent beaucoup, et cela d’autant plus que les systèmes proposés ne respectent pas forcément les bonnes pratiques en matière de sécurité. Deux sociétés spécialisées en sécurité viennent de révéler presque concomitamment des failles majeures dans ce domaine.


La première, Trend Micro, a détecté des applications malveillantes pour Smart TV sous Android. Diffusées par des sites web tiers, elles proposent à l’utilisateur de regarder des chaînes internationales, par exemple asiatiques. Mais en réalité, elles installent une porte dérobée qui permet au pirate d’installer n’importe quelle application sur le téléviseur. Il pourra donc, à partir de là, mettre la main sur des données personnelles et infecter d’autres appareils connectés au réseau domestique.


Trend Micro - Un site de malwares pour Smart TV






Le code malveillant s’appuie sur une faille plutôt ancienne (CVE-2014-7911) qui n’existe que dans les versions d’Android antérieures à Lollipop (5.0). Mais malheureusement « la plupart des smart TV utilisent des versions anciennes d’Android où cette faille est présente », explique Trend Micro. Par ailleurs, une mise à niveau du système n’est pas toujours possible car ces télés « sont limitées au niveau du hardware ». Le principal conseil que l’on peut donc donner est de ne pas télécharger des applications sur des boutiques applicatives inconnues et de se limiter à Google Play.


Un hotspot wifi bien peu sécurisé

La société Check Point, de son côté, s’est penché sur le dongle EzCast fabriqué par Action Micro. A l’instar du Google Chromecast (dont elle copie d’ailleurs le design matériel), cet objet connecté permet d’afficher le contenu d’un ordinateur sur un écran télé. Il serait utilisé par plusieurs millions de personnes dans le monde, d’après le fournisseur. Les experts de Check Point y ont détecté d’emblée deux vulnérabilités permettant aux pirates d’en prendre le contrôle à distance. Il suffit, pour cela, d’envoyer un email avec un lien HTML piégé.


EzCast - Si le pirate se trouve à proximité de sa victime, il peut également s’attaquer directement à l’EzCast, car celui-ci crée en permanence son propre hotspot wifi, sécurisé uniquement par un mot de passe constitué de huit chiffres. « Une telle combinatoire est trop limitée. Un hacker peut le casser par force brute en l’espace de vingt minutes », explique Thierry Karsenti, vice-président technique Check Point Europe. Contacté par l’éditeur en juillet dernier, le fabricant n’a jusqu’à présent donné aucune réaction. Les utilisateurs n’ont donc, à ce jour, aucun moyen pour se protéger. Mieux vaut donc opter pour une solution alternative.

[ironman]

Il a fallu exactement 30 secondes aux chercheurs en sécurité de Google pour détecter une faille qui permet d’exécuter du code arbitraire à distance et voler tous les mots de passe des utilisateurs. Heureusement, un patch est disponible.

Ce n’est pas l’arroseur arrosé, c’est l’arroseur trempé jusqu’au cou en train de se noyer. Il y a quelques jours, le chercheur en sécurité Tavis Ormandy de Google a mis la main sur une énorme faille de sécurité dans l’antivirus Trend Micro, permettant de pirater à distance l’ordinateur sur lequel il était installé.


Depuis un site web, un pirate pouvait faire exécuter n’importe quel code sans que cela nécessite une interaction de la part de l’utilisateur. Par exemple : installer un malware, désinstaller l’antivirus, effacer le disque dur, etc. Il pouvait également récupérer en clair tous les identifiants web stockés par le gestionnaire de mots de passe de Trend Micro. Pour réaliser ces attaques, il suffisait que l’utilisateur clique sur un lien web piégé. C’est tout.






Le pire, c’est que cette faille n’était pas difficile à trouver. Tavis Ormandy explique avoir mis « exactement 30 secondes » pour réaliser une exécution de code arbitraire à distance. Le problème se trouve dans le gestionnaire de mots de passe de Trend Micro. Celui-ci est écrit en Javascript et acceptait librement tout un tas de requêtes au travers d’une interface de programmation (API) remarquablement mal écrite. Selon Tavis Ormandy, « près de 70 API »étaient accessibles depuis le web. Parmi elles figuraient, entre autres, la copie de la base de mots de passe ainsi que son déchiffrement à distance. Rarement un piratage n’aura été aussi simple !


Et ce n’est pas tout. Au passage, Tavis Ormandy découvre que le navigateur embarqué de Trend Micro, baptisé « Secure Browser », est en réalité une vieille version de Chromium (41) dans lequel le bac à sable – une fonction de sécurité de base dans les navigateurs - a été désactivé par défaut. « C’est la chose la plus ridicule que je n’ai jamais vue », souligne le chercheur en sécurité. Très poli dans ses répliques, l’éditeur Trend Micro a bien évidemment reconnu ses erreurs. Il vient de publier un patch qu’il est vivement conseillé de télécharger.

[ironman]

Selon un classement établi parSplashdata, et basé sur deux millions de données en Europe et aux Etats-Unis, les mots de passe les plus utilisés sur Internet sont toujours les plus simples à trouver.
Depuis 4 ans, « 123456 » et « Password » occupent les deux premières places du podium. Entre la déclinaison à 4 chiffres ( « 1234 ») et celle à 9 chiffres (« 123456789 »), la série de chiffres toute bête occupe six places parmi les dix premières, c’est dire si le danger est grand de se voir piraté !
Du côté des mots de passe avec du sens, « Football » (7e) et « baseball » (10e) font leur entrée dans le top 25 cette année et sont les plus prisés côté sports. « Welcome » arrive 11e.
« Dragon », « Master » et « Monkey » sont des classiques du genre tandis qu’ont débarqué en force cette année les mots de passe inspirés par Star Wars : « Princess », « Solo » et Starwars » se font une place dans le top 25.
Top 25 des mots de passe les plus utilisés en 2015 :


1. 123456
2. password
3. 12345678
4. qwerty
5. 12345
6. 123456789
7. football
8. 1234
9. 1234567
10. baseball
11. welcome
12. 1234567890
13. abc123
14. 111111
15. 1qaz2wsx
16. dragon
17. master
18. monkey
19. letmein
20. login
21. princess
22. qwertyuiop
23. solo
24. passw0rd
25. starwars

**Contenu caché: Cliquez sur Thanks pour afficher. **

La lutte incessante contre les botnets soulève de nouvelles questions et Microsoft s'interroge sur la prise de contrôle à distance des PC.

Ces dernières années, la division de sécurité de Microsoft renforce ses efforts pour lutter contre le spam. Outre les travaux effectués sur les filtres de ses logiciels, Microsoft s'attaque directement aux botnets en partenariat avec les forces de l'ordre, Interpol et divers spécialistes de la sécurité.

Microsoft a ainsi pris part aux enquêtes et mené à bien la fermeture de plusieurs réseaux d'ordinateurs zombis comme Waledac, Kelihos, Rustock, Nitol ou encore Simba. Ce dernier, par exemple, avait infecté 770 000 machines en six mois en téléchargeant des malwares pour la prise de contrôle à distance des PC.

Selon le magazine The Register, John Frank, vice-président des affaires gouvernementales chez Microsoft Europe, explique : « Nous pouvons détecter jusqu'à quatre fois par heure lorsque votre PC est infecté et renvoie des informations à un tiers ». L'homme affirme que la lutte pourrait être plus efficace avec une meilleure coordination entre les sociétés technologiques et les différentes autres autorités.



M. Frank soulève quelques questions qui pourraient redessiner la sécurité informatique dans sa globalité. « Dans votre voiture, vous seriez immédiatement arrêtés si quelque chose ne fonctionnait pas », affirme-t-il. Et d'ajouter que si les voitures non sécurisées n'ont pas le droit de circuler librement, pourquoi un PC infecté pourrait-il se connecter sur Internet, surtout s'il est indirectement utilisé pour commettre un crime ?

La position de Microsoft est donc assez ambiguë. D'une part, John Frank est précisément chargé de veiller à ce qu'aucun backdoor ne soit mis en place permettant aux autorités d'accéder aux données non chiffrées des utilisateurs européens sans leur consentement, mais d'autre part il suggère pouvoir accéder aux PC des internautes pour en couper leur accès à Internet lorsqu'ils sont infectés.












LastPass : attention, vos mots de passe ne sont pas en sécurité








Un site Web piégé suffit pour compromettre les données d’un utilisateur du service de gestion de mots de passe multi-plates-formes LastPass pour peu qu'il ne soit pas très attentif. Explications.

Si vous êtes utilisateur de LastPass, vérifiez bien où vous mettez votre mot de passe maître lors de votre prochaine connexion. Car il pourrait s’agir d’une tentative de phishing.


A l’occasion de la conférence Shmoocon 2016, le chercheur en sécurité Sean Cassidy a expliqué qu’une telle attaque n’était pas très compliquée à réaliser sur un navigateur Web et il en a fait la démonstration sur Google Chrome.
Intitulée « LostPass », son attaque s’appuie tout d’abord sur une faille de type « Cross-site-request-forgery » (CSRF) dans l’interface de programmation de LastPass. Désormais corrigée, elle permettait à n’importe quel site Web de déconnecter un utilisateur de ce gestionnaire de mot de passe. Un attaquant pouvait donc créer un site Web doté de cette fonctionnalité, puis afficher dans la fenêtre du navigateur le bandeau de notification correspondant (« Votre session LastPass a expiré. Reconnectez-vous. »).








Si l’utilisateur tombe dans le panneau, l’attaquant lui présente une copie parfaite de l’écran d’authentification, pour récupérer les identifiants et se connecter dans la foulée à LastPass. Si ce dernier demande un deuxième facteur d’authentification, pas de problème : l’attaquant peut proposer là aussi le bon écran pour récupérer ce deuxième code secret. Et bingo, il a accès à toute la base de données de mots de passe.


Durant ces dernières étapes, bien que cela soit difficile à découvrir, un utilisateur attentif pourrait remarquer le pot aux roses, car l’URL n’est pas correcte.


Sur Firefox, l’attaque est plus compliquée à mener. Les notifications et les écrans de connexion n’apparaissent pas dans une page HTML du navigateur, mais dans des fenêtres séparées dont l’allure dépend du système d’exploitation. Toutefois, il n’est pas impossible de réaliser un leurre plus ou moins convaincant. « J’ai réalisé une version expérimentale [de l’attaque] pour Firefox sur OS X et Windows 8 », souligne le chercheur en sécurité dans une note de blog.
Une série de contremesures

Contacté par Sean Cassidy, LastPass a depuis corrigé la faille CSRF. Toutefois, cela n’aurait pas été suffisant, car un utilisateur pourrait très bien ne pas remarquer qu’il est toujours connecté et se laisser berner quand même. L’éditeur a donc mis en place un dispositif qui alerte automatiquement l’utilisateur s’il insère son mot de passe maître dans une page web qui n’appartient pas à LastPass. Il a également généralisé sa procédure de vérification par email à toute tentative de connexion venant d’une adresse IP ou d’un terminal inconnu, que l’utilisateur dispose d’une authentification en deux étapes ou non. « Cela atténue l’attaque de manière considérable, mais ne l’élimine pas », estime pour sa part Sean Cassidy, sans donner davantage de précisions.

[ironman]

Les BIOS et autres UEFI sont de plus en plus la cible de logiciels malveillants particulièrement pernicieux. Un service en ligne permet désormais de les ausculter.

Parmi les infections informatiques les plus redoutables figurent sans nul doute celles qui visent le logiciel qui permet de démarrer le système d’exploitation. Le pirate qui arrive à se loger dans cette partie de l’ordinateur est particulièrement bien à l’abri, car les antivirus sont incapables de le détecter. Autre avantage : le code malveillant reste sur l’ordinateur même si le système est totalement réinstallé. Ce type de malware est donc idéal pour l’espionnage et très vogue chez les agences de renseignement et autres officines privées.


Pour lutter contre ce fléau, le site de détection de malware VirusTotal propose désormais un service d’analyse des BIOS. Celui-ci va, par exemple, comparer le code exécutable du firmware aux codes diffusés par les fournisseurs, ce qui permet de détecter son origine. S’il n’y a aucune différence entre les deux codes, c’est évidemment un bon signe.

Le service d’analyse va également décortiquer le logiciel en ses différents constituants applicatifs pour détecter, le cas échéant, une anomalie. Une rubrique particulièrement intéressante est celle des « exécutables Windows ». En théorie, un BIOS ne devrait pas en avoir. S’il y en a, deux solutions : soit le fournisseur s’appuie sur le BIOS pour injecter des applications faites maison dans Windows, soit c’est un malware.



Dans certains cas rares, l’application faite maison est en même temps un malware. VirusTotal référence, à titre d’exemple, le cas de Lenovo et de soninjecteur de pourriciels, désigné ici par « NovoSecEngine2 ».



Dans une note de blog, VirusTotal fournit une liste d’outils permettant de réaliser une copie de son propre BIOS. Il suffit ensuite de le téléverser auprès de la société pour qu’elle puisse en faire l’analyse. Il y a néanmoins un bémol : certains malwares de BIOS sont tellement sophistiqués qu’ils reconnaissent la présence d’un tel outil et arrivent à gommer les anomalies au moment de la copie. Selon VirusTotal, le moyen le plus sûr est encore « de se connecter physiquement à la puce du BIOS et de faire un dump de façon électronique ». Ce qui n’est pas forcément à la portée de tout le monde.

**Contenu caché: Cliquez sur Thanks pour afficher. **

[ironman]

Une librairie open source permet aux développeurs de diffuser des mises à jour d’applications mobiles en court-circuitant le processus de vérification d’Apple. Une bonne idée, mais une pratique plutôt risquée.

La réputation d'Apple et de son App Store en matière de sécurité n'est plus à faire. Pourtant, les analystes de FireEye viennent de sonner l’alerte sur une technique qui permet de contourner les procédures de vérification draconiennes de la firme de Cupertino et de télécharger du code arbitraire dans une application. L'idée est de s'appuyer sur JSPatch, une librairie tierce qui permet à une application iOS de télécharger du code JavaScript depuis le Web, de le transformer un code Objective-C – le langage de programmation historique d'Apple – puis de l'injecter à la volée dans l'application en question.

Le code de JSPatch est disponible en open source sur GitHub. Il a été créé par un informaticien chinois qui se fait appeler « band590 » et dont la motivation est assez légitime. Sa librairie permet en effet d’apporter des mises à jour urgentes aux applications sans passer par la procédure de vérification d’Apple qui nécessite souvent plus d’une semaine. Le problème, évidemment, c’est que JSPatch peut être utilisé de façon malveillante.

Un pirate pourrait ainsi créer une application en apparence inoffensive qui, une fois installée sur un terminal, téléchargerait un malware directement depuis Internet. L’utilisateur n'y verrait que du feu. Autre méthode d’attaque : un pirate pourrait intercepter un code JavaScript inoffensif et le remplacer par une version malveillante, sans que l’utilisateur ou le développeur n'aient le moindre doute.



FireEye -FireEye donne quelques exemples d’exploitation malicieuse, comme l’accès au répertoire des photos, au presse-papier (très utile pour siphonner les mots de passe) ou encore aux paramètres systèmes de bas niveau.
Dans ce dernier cas, FireEye utilise en effet les interfaces de programmation dites « privées » réservées à Apple. Une application qui en ferait usage serait automatiquement bloquée au niveau de l’App Store… sauf évidemment si le code n’est injecté que par la suite avec JSPatch.
Mais il ne faut pas dramatiser non plus cette trouvaille. Selon FireEye, il n’existe pour l’instant que 1220 applications qui utilisent cette librairie. C’est une goutte d’eau dans l’océan de l’App Store et cela concerne avant tout avec des applications chinoises. Pour l’instant, le problème est donc marginal, mais il pourrait faire tache d’huile.

**Contenu caché: Cliquez sur Thanks pour afficher. **

[ironman]

Ce malware Java renaît de ses cendres et frappe encore plus fort qu’avant. Tous les secteurs économiques sont touchés. Et pourtant, ce n'est l'oeuvre que d'une seule personne.

Plus de 68 000 personnes ou organisations infectées ces six derniers mois, plus de 1 800 utilisateurs décomptés dans les forums pour cybercriminels. Il n’y a pas de doute : Adwind est la nouvelle « killer app » du cybercrime.


Disponible clé en main sous la forme de malware-as-a-service, ce logiciel d’espionnage forme - avec toutes ses variantes - l’une des plus importantes plates-formes malicieuses en activité à ce jour. C’est la conclusion à laquelle sont arrivés les chercheurs en sécurité de Kaspersky, qui viennent de présenter une étude complète sur ce malware, à l’occasion de la conférence Security Analyst Summit.


Ce succès a mis des années à se construire. Adwind existe depuis 2012 et a connu de nombreuses modifications et de changements de noms. On le retrouve notamment sous les appellations Frutas, Unrecom ou AlienSpy, qui était la dernière version avant qu’elle soit épinglée par la société Fidelis en avril 2015, infligeant un sérieux coup à ce business illégal.


Mais le reflux n’a été que de courte durée. Fin 2015, les chercheurs de Kaspersky détectent une nouvelle variante encore plus virulente, en bloquant un email piégé envoyé à une banque singapourienne. En menant l’enquête, les limiers de Kaspersky découvrent rapidement deux cent autres courriels piégés de la même façon. Pas de de doute : Adwind est de retour, cette fois sous encore un autre nom: « JSocket ». Et selon l’éditeur, la vague d’attaques actuelle est sans précédent.


Kaspersky -

Ce qui rend ce logiciel si attirant, c’est qu’il est écrit en Java. Il est donc parfaitement « cross platform » et fonctionne aussi bien sur Windows, OS X, Linux que sur Android. Plutôt pratique pour un pirate qui cherche à rentabiliser au mieux son action. Côté fonctionnalités, c’est également l’opulence : keylogger, capture d’écrans à distance, enregistrement audio/photo/vidéo, transfert de fichiers, collecte d’informations techniques, vol d’adresses Bitcoin, vol de certificats VPN, etc.


Pour l’utiliser, il suffit de s’inscrire et de payer. Le logiciel est commercialisé sous forme de service. Les développeurs opèrent à découvert. Leur site est accessible sur Internet, pas besoin de passer par Tor. Il existe même une chaine YouTube. Plusieurs formules d’abonnement sont disponibles, allant de 25 dollars pour 15 jours d’utilisation (« Basic ») à 300 dollars pour un an (« Ultimate »). Quand l’abonnement est écoulé, le pirate n’a plus aucun contrôle sur les machines infectées.

même d’un scanner antivirus embarquant 23 moteurs différents, permettant au pirate de savoir si sa version est détectable ou non.
On pourrait se dire que pour se protéger, il suffit de désinstaller Java de sa machine. Erreur: parmi les nombreuses options proposées figure également un « downloader » capable d’installer Java et même de façon persistante. Bref, Adwind est un véritable couteau suisse pour l’espionnage et le vol de données, c’est pourquoi on le rencontre dans presque tous les secteurs économiques et dans beaucoup de pays de la planète. Au total, plus de 400 000 personnes ou organisations ont été infectées entre 2013 et début 2016 par Adwind et ses différentes variantes.


Kaspersky -

Facile à utiliser, Adwind attire des criminels d’horizons assez divers : petits cyberescrocs qui veulent monter en compétence, compétiteurs peu scrupuleux, cybermercenaires, particuliers indélicats qui espionnent leurs voisins, etc. « Le criminel qui a attaqué la banque singapourienne était loin d’être un hacker professionnel, et nous pensons que c’est le cas pour la plupart des clients d’Adwind », souligne Aleksandr Gostev, expert sécurité en chef chez Kaspersky. Une forme de démocratisation du cybercrime qui est plutôt inquiétante. « Beaucoup de clients se trouvent, en particulier, au Nigeria qui cherchent à renouveler leur méthodes d'arnaques », ajoute M. Gostev.


Mais le plus surprenant: selon Kaspersky, cette plateforme de malware est l’oeuvre d’une seule personne, très probablement un développeur mexicain âgé entre 22 et 30 ans. C’est en tous les cas ce que révèle les éléments de langages et les dates de compilation trouvés dans les exemplaires de ce malware. « Cet homme est un très bon développeur. Il a créé un business profitable qui génère environ 200000 dollars par an », estime M. Gostev. Et visiblement, il n’est pas du tout gêné par les forces de l’ordre de son pays