mai, 2011

Un ZDE Skype, découvert par Pure Hacking. Guère d’information, si ce n’est que Skype se fait tirer l’oreille pour colmater le trou découvert il y a un mois.

Carlos Castillo de l’Avert décortique en partie ce qui semblerait être la première infection multiplateforme Windows, OS X et IOS (linux donc possible) véhiculée via Java

Humour geek de Larry Zeltser : les pires conseils en sécurité jamais entendus. Parfois innovateurs, d’autres courus …

Oups, un trou de mémoire, ouf, Filezilla Password Decryptor

Découvert par le Danois CSIS, le « crimekit » baptisé Weyland-Yutani BOT est un générateur de malware visant précisément OS X et qui dépasserait, de loin affirment les spécialistes de CSIS, le simple stade de « preuve de faisabilité ». Ce serait donc le premier vecteur d’attaque de ce type visant les plateformes Apple. Parmi les caractéristiques importantes de cette usine à virus, il serait possible d’exploiter des fonctions de capture de formulaire sous Firefox et Chrome, Safari devant être prochainement intégré dans la liste. Ce qui, raconté d’une toute autre manière, veut dire qu’il est possible de piéger une page Web pour en extraire des crédences de connexion. Une vidéo de démonstration postée sur YouTube par Brian Krebs montrerait que tout ceci paraît fonctionner efficacement. Si c’est un « fake », c’est là un « fake » très bien monté. Le prix de l’application pour les apprentis bot-herders canal Mac historique est de 1000$ payable via Liberty Reserve ou Webmoney, précisent les chercheurs Danois.

L’affaire a immédiatement fait le tour des rédactions. Le papier le plus documenté et le plus précis est celui de Krebs. Le Sans publie coup sur coup deux billets, l’un sur la découverte du kit, l’autre sur le mode de diffusion de ses « œuvres » qui se propagent sous la forme d’un scareware, ou faux antivirus (finement baptisé MacDefender).

SearchSecurity reprend l’information, en débutant l’article par un argument pouvant légèrement prêter à confusion : la « visibilité » du Macintosh a grandi grâce au succès d’appareils tels que l’iPhone ou l’iPad, ce qui aurait incité les auteurs de malwares à s’intéresser aux utilisateurs de Mac. Si cela avait été le cas, le kit aurait plutôt ciblé les noyaux IOS. Reste que ces outils de mobilité sont plus difficiles à atteindre qu’un ordinateur constamment connecté à un réseau haut débit. De tous les appareils sous IOS, seul l’Apple TV pourrait à la rigueur correspondre à cette définition. Et l’ATV2 est un marché très « limité ».

Il est plus probable que le développement du Weyland-Yutani BOT ait été motivé précisément parce qu’Apple a dogmatiquement endoctriné une partie de sa clientèle en la persuadant qu’il n’existait aucun virus capable de s’attaquer à la plateforme OS X, rendant ainsi l’usage d’un antivirus totalement inutile. Paradoxalement, c’est via de faux-antivirus que se propagent les enfants de Weyland- Yutani. Depuis le temps que les cassandre de la sécurité prédisent une infection coordonnée d’OS X, elle a fini par arriver. Cela ne sonne ni la fin du monde, ni la fin du Mac.

Détail intéressant, selon Fabio Assolini (Kaspersky), ce sont parfois des serveurs situés sous un même domaine qui diffusent à la fois les faux Mac Defenders et les spam liés à la mort d’Ossama Ben Laden. Spam (via mail ou mini-url sur Facebook) conduisant l’internaute sur un site de phishing.

L’équipe Hassan Khan, Mobin Javed, Syed Ali Khayam et Fauzan Mirza (CSDU de Los Angeles et School of Electrical Engineering and Computer Sciences d’Islamabad) ont mis au point une technique de camouflage. La technique consiste à noyer les données à cacher dans le capharnaüm des données fractionnées lors de l’écriture de fichiers sur un disque dur. On se rapproche donc d’astuces relevant de la stéganographie ou plus exactement du palimpseste. Nouvelle approche d’une veille idée, mais nouvelle approche qui, expliquent les auteurs, permet de nier sans risque la présence de données « secrètes ». Ce principe de « plausible deniability » est d’autant plus important que certains pays entretenant un climat de suspicion permanente imposent aux frontières un filtrage pouvant aller jusqu’aux perquisitions du contenu d’un disque dur. Dans de telles situations, le recours à un outil de chiffrement ne suffit pas… et les astuces permettant de ranger lesdits fichiers chiffrés dans des espaces non-alloués d’un disque sont connues de ces mêmes services de police.

Le mémoire publié par les quatre universitaires est long, technique, et ne débouche pas encore sur une application utilisable par le grand public. Les chercheurs affirment qu’un analyste forensique examinant le disque dur cluster par cluster ne peut de prime abord soupçonner la présence des données ainsi camouflées, et leur extraction sans la clef permettant leur ré-ordonnancement relève de la plus haute improbabilité. Il doit être cependant possible de remettre en cause le principe « d’ignorance plausible » en extrayant toutes les données « officiellement visibles » et en calculant le delta des données « connues » et des « données restantes ». Pour peu que l’on soit à même de pouvoir distinguer dans chaque bout de cluster les informations appartenant au message secret des résidus de données appartenant à d’anciens enregistrements… ce qui n’est absolument pas certain.

Ndlc Note de la correctrice : dans un accès d’égotisme sournois, l’auteur a oublié de citer sa source d’information. Je cafte : François Lambel, un confrère de surcroît, spécialisé dans le domaine des infrastructures virtuelles.

Kevin Finisterre r00te le réseau vidéo des voitures de police de l’Etat de Géorgie. Lorsque les outils de flicage fliquent les flics eux-mêmes

Totalement inconnue il y a une semaine, l’entreprise Allemande Magix est parvenue en quelques heures à faire les gros titres de la presse spécialisée. Son secret ? Avoir répondu à la signalisation d’une faille par une injonction d’avocat et des menaces de procès alors bien entendu que l’inventeur avait clairement laissé entendre qu’il ne publierait rien avant émission du correctif. DarkReading détaille l’aventure, le Reg s’en fait également l’écho… Rarement entreprise a sabordé son image de marque avec une telle rapidité et aussi peu de frais. Histoire de confirmer cette position de champion, Attrition.org a immédiatement intégré Magix en tête de son classement des entreprises pratiquant la religion de la Sécurité par l’Obscurantisme renforcée par des menaces et mises à exécution.

Une collaboration intelligente avec des chercheurs en sécurité et une publication des détails sur les travaux d’assainissement du code débouche généralement par un renforcement de l’image de marque et une augmentation du niveau de confiance de la part des clients… et permet au passage de mieux contrôler l’expansivité volubile de certains chercheurs. La lecture de l’article « Coordinated Vulnerability Disclosure: From Philosophy to Practice » publié sur le blog du Microsoft Security Response Center est un parfait exemple de cette nouvelle forme de diplomatie, alors que cet éditeur a longtemps prôné la politique de la riposte musclée et le musellement des recherches.

Las,en Allemagne comme en France, des lois particulièrement répressives inculquent aux entreprises fautives l’instinct de la contre-attaque : la prétendue propriété intellectuelle devient alors plus importante que l’intérêt et la sécurité de l’usager. C’est là une attitude néfaste, une revendication de la victimisation à tout propos, que le législateur n’avait probablement pas prévu ou cherché à prévoir.

Une liste de vidéo YouTube a été postée, regroupant l’intégralité des conférences données à l’occasion de Hackito Ergo Sum 2011. L’occasion de revenir sur des présentations non commentées jusqu’à présent, et notamment celle de Rodrigo Rubira Branco (BSDaemon), dont la voix de stentor a réveillé les consciences des chercheurs en sécurité réunis à l’occasion. Branco s’est lancé dans un plaidoyer sur l’importance des conférences de sécurité, les HITB, les HES, les CanSecWest, lieux de rencontre et surtout d’échange qui sont absolument nécessaires pour que progressent les travaux de chacun. Sujet bateau ? En ces temps de restrictions budgétaires, les déplacements à Singapour ou à Kuala Lumpur sont souvent considérés comme de simples déplacements d’agrément par les entreprises possédant un « research team ».

A ne pas louper non plus, la présentation de Jon Larimer sur les AutoRun potentiellement mortels sous Linux. Larimer est un chercheur de la Xforce d’ISS/IBM. Ses travaux arrivent à point, quelques mois à peine après que les autorun empoisonnés aient été pris en compte dans la sphère Microsoft. A voir également la « prez » de Tarjei Mandt… à laquelle l’équipe de CNIS n’a pas assisté en « live »… mais c’est précisément aussi à çà que servent les after des conférences sécurité : expliquer aux journalistes ignares les arcanes du Kernel Pool.

Grands absents de cette conférence, les organisateurs eux-mêmes, et notamment Philippe Langlois (P1 Security) , Matthieu Suiche (Moonsol) et Jonathan Brossard, qui étaient intervenus l’an passé, et dont les travaux de recherche n’ont pourtant jamais connu de relâche durant l’année écoulée. Espérons que HES 2012 les verra revenir sous la casquette d’orateur, avec encore plus d’intervenants étrangers, encore plus de travaux « hors normes ».

NDLC Note de la Correctrice : un paparazzi local a publié une série de photos compromettantes de l’évènement.

ComputerWorld publie un article fort amusant, rédigé après une intervention publique de Janet Napolitano, patronne du Department of Homeland Security (DHS). Elle y dénonce notamment la lenteur avec laquelle le secteur privé a pu réagir au moment de l’attaque Stuxnet. Interrogé par nos confrères de ComputerWorld, un expert en sécurité -Bob Radvanovsky-, réagit à ces propos et rappelle que si Siemens a connu effectivement un certain « retard à l’allumage », le DHS lui-même, durant toute cette histoire, n’a pas particulièrement brillé pour sa célérité lorsqu’il s’est agi de bien « communiquer » et informer les industriels à propos de la menace. Les Cert, pour leurs parts, sont restés cois, imitant ainsi dans cet assourdissant silence les antivirus et autres firewall qui, lorsqu’ils étaient présents dans les infrastructures industrielles visées, n’ont ni bronché, ni désinfecté au passage dudit Stuxnet. Ou alors très tardivement. Et notre expert d’ajouter que les premières réactions et analyses, principalement celles de Ralf Langner, de Kaspersky et de Symantec, provenaient bien du secteur privé, n’en déplaise à Madame Napolitano.

Généralement, lorsqu’un Ministre ou équivalent de Ministre critique de manière générale un secteur particulier de la société –ici celui des industries privées impliquées dans la fourniture d’équipements destinés aux réseaux Scada-, c’est pour faire le lit d’une proposition de loi qui n’aurait aucune chance de passer en temps normal. Cette attitude s’est particulièrement vérifiée durant les périodes de campagne électorales et chaque fois que les sondages indiquaient une baisse de popularité des nombreux « Security Czars » qui se sont succédés à la Maison Blanche.