S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

 République Française Paris, le 23 octobre 2009
No CERTA-2009-ACT-043

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2009-43

Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-043

Gestion du document

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-043.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-043/

1 MS08-067 : un an après

1.1 Rappel des faits

Une année s'est écoulée depuis la sortie hors cycle du correctif MS08-067 de Microsoft. Pour rappel, ce correctif comble une vulnérabilité du service Serveur de Microsoft Windows. Cette faille exploitable via RPC promettait l'apparition rapide de vers afin de compromettre tous les machines vulnérables.

En effet, moins d'un mois après l'édition du correctif, de nouveaux codes malveillants dénommés, en autre, Conficker font leurs apparitions. Conficker/Downadup/Kido obtient un très fort écho médiatique.

1.2 Constat et recommandations

Malheureusement, aujourd'hui encore, le CERTA et ses homologues relèvent de nombreuses compromissions de machines au travers de cette vulnérabilité. Cette date anniversaire est donc une occasion de rappeler les bonnes pratiques à mettre en \oeuvre pour éviter une infection par le ver Conficker ou tout autre code malveillant utilisant les mêmes méthodes de propagation :

Enfin, d'autres bonnes pratiques, comme utiliser des mots de passe fort ou consulter régulièrement les journaux d'événements des équipements comme le pare-feu ou le serveur proxy restent toujours applicables.

1.3 Documentation

2 Linux s'invite dans les téléviseurs

Après les équipements informatiques, les smartphones et autres assistants personnels, c'est au tour des téléviseurs d'avoir leur firmware basé sur le noyau Linux. Il est en effet possible aujourd'hui d'acheter ce type de téléviseur, et donc d'ajouter un nouvel équipement dans le système informatique domestique, sans forcément en être conscient.

Et il n'aura pas fallu longtemps avant de voir des méthodes de modification de ces firmwares apparaître. Ces derniers sont chiffrés à l'aide d'une méthode relativement simple (chiffrement XOR avec une clé évidente). Il est donc très facile de télécharger un exemplaire du firmware sur le site du constructeur, de le déchiffrer, d'y appliquer des modifications. Il suffit ensuite de chiffrer de nouveau en suivant la même méthode et en s'assurant que les mécanismes de contrôle (non sécurisés, par exemple CRC-32) soient validés.
Typiquement, la modification classique apportée au firmware est le démarrage automatique d'un démon permettant l'ouverture d'un shell.

On peut imaginer un très large éventail de modifications possibles du téléviseur lorsqu'un shell est à disposition : connexion au réseau WiFi domestique, lecture des partages NFS et CIFS, etc.

Du point de vue de la sécurité, l'ajout du téléviseur dans le parc informatique augmente la surface d'attaque. On peut prédire l'apparition prochaine de vulnérabilités sur ce type d'équipements, voire de codes malveillants d'autant plus qu'ils fonctionnent bien souvent avec des processeurs ARM. C'est-à-dire ceux que l'on retrouve dans plusieurs smartphones bien connus.

Il est donc important d'intégrer ce risque pour le système d'information lorsque ce type d'équipement se situe dans le système d'information, via un port réseau traditionnel. Ce type de téléviseur moderne intègre aussi maintenant des capacités de traitement de protocole multimédia comme UPnP ou DLNA. Il est, par exemple, facile de dissimuler à l'arrière de la télévision une clé USB WiFi et une clé de stockage afin de voler des informations accessibles par ce réseau sans fil.

3 De l'information utile ?

Un constat assez rapide de l'existant : les journaux applicatifs des serveurs de résolution de noms (DNS) sont rarement exploités, voire souvent ignorés. Pourtant, ces mêmes journaux fournissent nombre d'informations qui peuvent se révéler utiles pour réaliser de multiples tâches :

De petits scripts « maison » et des commandes standards (grep, cut, sed, perl, etc.) permettent bien souvent de mettre en place plusieurs vérifications et d'assurer assez simplement les tâches précédentes.

Il ne s'agit ici que d'illustrations de l'exploitation possible, à des fins de sécurité dans son réseau, des journaux des serveurs de résolution de noms. À cette fin, on notera l'importance que la politique de filtrage garantisse que tous les flux DNS transitent bien nécessairement par les serveurs dont les journaux sont analysés.

Il convient cependant de garder à l'esprit qu'il existe des contraintes juridiques fortes notamment en matière de surveillance du trafic réseau. Le CERTA recommande donc de respecter ces dernières et de se rapprocher d'un service juridique avant de mettre en place de telles mesures.


4 Rappel des avis émis

Dans la période du 16 au 22 octobre 2009, le CERTA a émis les avis suivants :

Pendant la même période, les avis suivants ont été mis à jour :

Gestion détaillée du document

23 octobre 2009
version initiale.


CERTA
2012-01-04