S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

 République Française Paris, le 02 septembre 2011
No CERTA-2011-ACT-035

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2011-35

Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-035

Gestion du document

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-035.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-035/

1 Apparition du ver Morto

Le ver Morto est récemment apparu sur les plates-formes Microsoft Windows. Il se propage en utilisant le protocole RDP (Remote Desktop Protocol). Afin d'infecter un poste, ce ver n'exploite pas de vulnérabilité du protocole RDP, il essaie de s'authentifier avec des comptes disposant de mot de passe faible. Le code va en effet tester une liste de noms d'utilisateur communs (adm, admin, backup, owner...) avec un dictionnaire restreint de mot de passe.

La présence des fichiers suivants peut indiquer une infection par le ver :

Une augmentation importante du trafic RDP peut également être un signe de la présence du code malveillant. Le ver dispose de fonctionnalités lui permettant d'arrêter les processus liés à des applications de sécurité. Une description complète des symptômes associés à ce ver peut être trouvée sur la base de connaissances de logiciels malveillants de Microsoft (cf section documentation). Les postes infectés peuvent notamment être utilisés pour réaliser des attaques en déni de service.

Face à cette menace, le CERTA rappelle l'importance de l'utilisation de mots de passe forts. Dans une démarche de défense en profondeur, le CERTA recommande également de faire preuve de prudence lors de l'ouverture de service RDP sur l'extérieur, en mettant en place un mécanisme d'authentification forte, ainsi que des règles de filtrage sur adresses IP des machines autorisées à se connecter au service.

2.1 Documentation

2 Certificats SSL émis frauduleusement

Cette semaine la presse a relaté la découverte par un internaute d'un faux certificat SSL de serveur, signé par l'autorité de certification néerlandaise DigiNotar.

Cette découverte a été faite alors que l'internaute était victime d'une attaque par interposition (MITM ou man-in-the-middle) alors qu'il consultait un serveur Google. En effet le faux certificat de serveur était valable pour les serveurs du domaine google.com.

DigiNotar a confirmé l'émission frauduleuse du certificat et indiqué que d'autres certificats avaient également été émis.

En réponse à cet incident, certains éditeurs (Debian, Microsoft, Mozilla) ont supprimé le certificat de l'autorité DigiNotar de la liste des certificats préinstallés ou l'ont desactivé.

2.1 Documentation

3 Compromission de kernel.org

Le 28 août dernier, une compromission a été détectée sur le site kernel.org, hébergeant le code source du noyau Linux. L'intrusion aurait eu lieu un peu plus tôt dans le mois.

Les attaquants ont pu obtenir les droits d'administration du serveur (root) mais la méthode utilisée pour l'élévation de privilèges n'est pour l'instant pas connue. L'accès au serveur aurait été effectué au moyen d'un compte utilisateur compromis et un cheval de Troie a été déposé. Celui-ci a été découvert suite à l'apparition de traces suspectes. Celles-ci concernaient un message d'erreur de Xnest alors que ce logiciel n'était pas installé sur le serveur.

Une réinstallation complète du serveur est prévue ainsi qu'un audit du code hébergé afin de vérifier l'intégrité de celui-ci. L'ensemble des 448 comptes utilisateurs vont être réinitialisés.

Le CERTA rappelle que la mise en place d'un processus de surveillance des journaux permet dans de nombreux cas de détecter au plus tôt des signes d'intrusion, ce qui a été le cas pour ce serveur.

Documentation

4 Liens utiles


5 Rappel des avis émis

Dans la période du 25 août au 01 septembre 2011, le CERTA a émis les publications suivantes :

Durant la même période, les publications suivantes ont été mises à jour :

Gestion détaillée du document

02 septembre 2011
version initiale.


CERTA
2012-12-10