CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2007-43
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-043.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-043/ 1 Exploitation d'une vulnérabilité d'Adobe ReaderCette vulnérabilité mentionnée dans le bulletin CERTA-2007-ACT-042 fait l'objet d'une exploitation très large. 1.1 HistoriqueLa vulnérabilité concernant les URI sous Windows XP avec Internet Explorer 7 n'est toujours pas corrigée par Microsoft. De son côté, l'éditeur Adobe a publié le 22 octobre 2007 une mise à jour corrigeant l'exploitation de cette faille sur ses applications Adobe Reader et Adobe Acrobat (voir CERTA-2007-AVI-455). Le correctif concerne seulement les versions 8 de ces logiciels. Une mise à jour pour Adobe Reader 7.09 et Adobe Acrobat 7.0 9 est en préparation mais n'est toujours pas disponible à la date de rédaction de ce bulletin. Les personnes utilisant cette version et ne pouvant pas migrer vers la version 8.1.1 peuvent toutefois appliquer le contournement provisoire disponible sur le site de l'éditeur. 1.2 ExploitationDes exploitations de cette vulnérabilité ont également été détectées sur l'Internet. Une campagne de spam est en cours. Elle se présente sous la forme d'une pièce jointe de courriel qui, à son ouverture, télécharge par FTP un fichier malveillant après avoir désactivé le pare-feu de Windows. La mise à jour d'Adobe Reader et/ou Adobe Acrobat arrive donc à point nommé. Son déploiement ne doit pas être retardé. Les sujets qui ont été signalés pour le moment sont en langue anglaise. Parmi eux :
Le nom des pièces jointes associées connues :
Attention, car l'ouverture des pièces jointes PDF sur un système vulnérable provoque l'exécution d'un fichier exécutable téléchargé à distance à l'insu de l'utilisateur. Documentation
2 Les incidents traités cette semaine2.1 Le suivi des correctifsLe CERTA a traité cette semaine une compromission de site web. Suite à la découverte d'un cas de filoutage (phishing), le CERTA a mis en évidence la présence d'un programme malveillant de type PHP Shell (C99Shell) hébergé sur le serveur web. Ce dernier permettait aux individus l'ayant déposé de se connecter et de prendre le contrôle du serveur, même une fois corrigée la vulnérabilité exploitée à l'origine. Le CERTA a alerté les responsables du site web afin de rapidement fermer l'accès à celui-ci : cette mesure permet d'éviter de nouvelles victimes du site de filoutage (site factice bancaire) (phishing) et d'empêcher les communications malveillantes en provenance ou à destination du serveur. Il s'avère que ce site web utilisait une version vulnérable du composant Joomla ExtCalendar que les attaquants ont exploitée. L'analyse des journaux des connexions et de la copie physique du disque ont permis de mettre en évidence les actions réalisées par les individus et les vulnérabilités exploitées. Afin d'éviter une nouvelle infection, le composant vulnérable a immédiatement été enlevé de la version hors-ligne du site hébergé sur un serveur de pré-production. Afin de repartir sur les meilleures bases, le site web de production va être entièrement supprimé (afin d'éliminer d'éventuels programmes malveillants non-identifiés) et réinstallé à partir de sources de confiance (système à jour installé, applications nettoyées et pages récupérées depuis le site web de pré-production). documentation
2.2 La sécurité des réseaux déconnectésCette semaine, lors d'une analyse sur un réseau isolé, le CERTA a constaté qu'une application gérant des informations personnelles sensibles était vulnérable. Théoriquement, l'accès à cette application nécessite de s'authentifier, or il est possible de contourner cette authentification en accédant directement aux fiches de toute personne inscrite sur l'application. Concernant les réseaux non-connectés, il est fréquent d'entendre : « Je ne peux pas avoir de problème de sécurité, mon réseau n'est pas connecté à l'extérieur ». Ce n'est pas tout à fait exact. Ces réseaux doivent eux-aussi être pris en compte dans la Politique de Sécurité des Systèmes d'Information (PSSI) car ils peuvent être sensibles :
Le fait que cette application vulnérable reste dans un environnement isolé (réseau local) ne suffit pas à la sécuriser. Dès lors qu'elle manipule ou donne accès à des informations personnelles, confidentielles ou sensibles, toutes les mesures de sécurité doivent être prises. 3 Fuite d'informations et réseaux sociaux3.1 PrésentationLes sites permettant de créer des réseaux sociaux sur l'Internet font légion. Il y a parmi eux LinkedIn, Facebook ou MySpace. Ce phénomène de mode n'est pas sans risque pour les utilisateurs et les entreprises. Le CERTA tient à faire le point sur ces nouveaux outils de référencement des personnes. Les sites Internet de réseaux sociaux sont nombreux et très connus. Ils affichent des dizaines de millions d'inscrits et permettent de se créer un réseau de « connaissances » et de contacts et cela dans plusieurs buts :
Ces sites peuvent être détournés par des personnes malveillantes afin de trouver des informations sur les entreprises ou sur les personnes et faire de l'ingénierie sociale. Les utilisateurs restent le maillon faible dans ces services en ligne et ils n'ont pas nécessairement conscience des risques d'indiscrétion liés à l'utilisation de ce genre de site. 3.2 Les risquesIl est important pour les entreprises et les particuliers de prendre la mesure des menaces que font courir ces sites et de noter la dangerosité de certaines de leurs fonctionnalités. En effet la nature des informations présentes dans le profil de l'utilisateur et dans sa liste de contacts peut permettre différents méfaits. Les contacts permettent de regrouper quelques informations. Ils peuvent être de différents types :
La question est donc bien : Cette liste doit-elle être publique ?
Les informations du profil de l'utilisateur peuvent être également exploitées. Toutes les informations mises en ligne par l'utilisateur et en libre consultation sur Internet et peuvent rendre bien des services aux personnes malintentionnées en recherche d'informations pour une future attaque. Voici un extrait des risques potentiels :
3.3 Les contre-mesuresTous ces risques peuvent être maîtrisés ou limités assez facilement. Ce qui peut être fait par les employeurs :
Ce que doivent faire les utilisateurs de tels services :
Il est important que tous les acteurs mis en jeu dans ces réseaux sociaux soient conscients que les informations sont en libre accès comme si elles avaient été publiées dans la presse. 4 Les imprimantes sans-filCertains constructeurs d'imprimantes ou de combinés « scanner - imprimante » proposent des solutions sans-fil pour relier leurs périphériques à un ordinateur. Dans certains cas, ces interfaces Wi-Fi ou Bluetooth peuvent d'ailleurs être activées par défaut. Par ailleurs, ces périphériques embarquent souvent de nombreux services comme un serveur HTTP, des fonctionnalités de gestions de partages réseau pour les impressions de fichiers distants, .... Il conviendra donc de prendre un certain nombre de précautions lors de l'intégration de ce type d'équipements dans un système d'information. En effet, il n'est pas forcement utile d'investir dans une solution offrant du « Wi-Fi » si celui-ci n'est pas utilisé in fine. Dans tous les cas, il faudra s'assurer que cette interface n'est pas activée par défaut ou configurée avec un niveau de sécurité insuffisant. Il faudra également vérifier que le contrôle d'accès ne permet aucune connexion extérieure vers le périphérique. Enfin, comme pour tout appareil, un intérêt tout particulier devra être porté sur les mises à jour à lui appliquer. 5 Mise à jour des serveurs racines DNSLe protocole actuellement utilisé pour organiser la
correspondance entre des noms de domaine et des adresses IP est
le DNS (Domain Name
System). Il fonctionne sous forme d'une base de
données distribuée. Sa structure ressemble
à celle des systèmes de fichiers Unix : un arbre,
avec un n Les serveurs de nom de la racine savent où se trouvent les serveurs de noms des zones de niveau supérieurs, et font même souvent autorité sur les domaines génériques supérieurs (les gTLDs, ou generic Top Level Domain). Les documents de référence décrivant ce protocole sont les RFC 1034 et 1035. L'ICANN (Internet Corporation for Assigned Names and Numbers est l'organisme international en charge de la gestion globale du DNS. Ils ont récemment annoncé que le serveur racine L changera d'adresse le 01 novembre 2007. Son ancienne adresse était : 198.32.64.12. Elle devient :
199.7.83.42
Il est bon de vérifier régulièrement, par exemple à chaque trimestre, la cohérence du fichier racine. Plusieurs solutions sont possibles pour faire cela :
Plusieurs clients de serveurs de noms, ou resolvers sont également interrogés localement par des applications. Ces resolvers gèrent l'interrogation des serveurs de noms, interprètent les réponses et retournent l'information au programme demandeur. Ils peuvent stocker localement les informations liées aux serveurs racines (fichiers hints). Ces derniers doivent donc être mis à jour si possible. 6 Communication massive par courriels6.1 Faire parvenir l'information à l'utilisateurPlusieurs courriels reçus dans sa boîte de messagerie ne sont malheureusement pas sollicités. Ils parviennent cependant à destination, du fait de la diversité des techniques utilisées pour contourner des filtres. Ces courriels peuvent être les vecteurs de propagation de codes malveillants (cf. l'article concernant les formats PDF et DOC dans le bulletin d'actualité CERTA-2007-ACT-042). Il peut aussi s'agir de courriels incitant l'utilisateur à se rendre sur un site malveillant, afin de télécharger un document malveillant, d'exploiter la vulnérabilité du navigateur ou de tromper l'utilisateur par de fausses pages Web (filoutage ou phishing). Enfin, dans d'autres cas, l'objectif principal est de véhiculer de l'information très largement :
Dans tous les cas précédents, l'objectif premier des auteurs des courriels consiste à faire parvenir de l'information à un très grand nombre de personnes. Cela implique a fortiori d'éviter les politiques de filtrage mises en place. Le paragraphe suivant décrit deux méthodes qui sont actuellement utilisées pour arriver à cette fin. 6.2 Les images GIFs animées et les sons audio MP3Pour mener à bien l'objectif précédemment décrit, deux méthodes parmi plusieurs autres, mais peu communes, sont, à la date de rédaction de cet article, utilisées.
6.2.1 Les images GIFs animésCette forme n'est pas toute récente, puisque certains sites en faisaient mention dès septembre 2006. Elle permet de contourner des techniques de filtrage d'images courantes. Les antivirus s'appuient par exemple sur la signature des informations en texte qui se trouvent dans le code de l'image. Le format GIF permet d'associer plusieurs images, et de les compresser ensemble. Chaque fichier GIF contient donc un ou plusieurs blocs correspondant à des images différentes. L'astuce actuellement utilisée consiste à afficher une lettre par image. L'utilisateur visualisant le GIF en animation verra le texte complet, par exemple "C", puis "E", puis "R", puis "T" et "A". Le CERTA avait mentionné dans le bulletin
d'actualité CERTA-2007-ACT-027 ce problème, avec
les courriers non sollicités au format PDF. Il
s'agit de la problématique duale des captchas
(Completely Automated Test To Tell
Computers and Humans Apart). Ces images ont pour
objectif de ne pouvoir être interprétables que par
un
6.2.2 Les fichiers de son MP3L'autre forme, moins commune, est l'envoi en pièce jointe de fichiers MP3. Le CERTA a récupéré cette semaine quelques échantillons de ces courriels. Les fichiers MP3 vus se caractérisent par :
6.3 Les recommandations du CERTAL'imagination est aux commandes dans ce domaine, et il est possible d'imaginer tout type de format. Cette année, le CERTA a donc cité entre autres des fichiers Excel, des images en PDF, des animations GIF, des fichiers MP3, mais la liste ne s'arrête pas là. Les antivirus ont régulièrement besoin d'un
temps d'adaptation entre la diffusion de ces nouvelles
stratégies et la mise en L'utilisateur, lui qui est destinataire de ces messages, n'a pas de moyen a priori de déterminer si la pièce jointe est de l'information diffusée en masse, ou une forme pernicieuse de code malveillant. La meilleure des protections consiste donc à ne pas ouvrir les pièces jointes, surtout si elles ne proviennent pas de sources de confiance. S'il y a le moindre doute, il est vivement recommandé de demander conseil à son responsable de sécurité ou au CERTA avant toute ouverture.
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
ud racine représenté par
le point (« . »). Chaque hôte d'un
réseau a ainsi un nom, et le nom de longueur nulle est
réservé à cette racine; ainsi, le nom
complet du serveur web du CERTA est
www.certa.ssi.gouv.fr.. Il s'agit du FQDN, ou 
il humain. Ces mêmes techniques
peuvent tout aussi bien être appliquées pour
tromper les mécanismes de filtrage des antivirus (non
humains...).
uvre de
leurs filtrages. Par ailleurs, comme il a été
précédemment mentionné, ce filtrage n'est
pas évident à réaliser, donc pas toujours
efficace et pertinent.