Bienvenue sur le blog Vers et Virus

A l'occasion du Salon de la sécurité informatique (22-23 novembre à Paris), Yves Crespin, chef de la BEFTI (Brigade d'enquêtes sur les fraudes aux technologies de l'information) a dressé pour 01net un panorama de la délinquance sur Internet en France.

Les cinq questions qui lui ont été posées sont :

• Y a-t-il de véritables réseaux organisés de piratage en France ?
• Pouvez-vous nous donner un exemple d'affaire impliquant des mafias ?
• Sous quelles formes se développe la cybercriminalité en France ?
• Durant l'été 2005, la France a été à son tour touchée par des attaques de phishing visant des banques françaises. Ce genre d'opération a-t-il pris de l'ampleur ?
• En revanche, les spams continuent toujours à polluer les boîtes aux lettres des particuliers et des entreprises...

Pour lire les réponses :

« Les mafias de l'Est sont derrière certaines affaires de piratage en France »

John Heasman, chercheur travaillant pour Next-Generation Security Software, vient de diffuser une étude démontrant qu’il serait possible d’installer un code malicieux au sein de certaines cartes graphique ou réseau.
En utilisant les fonctionnalités ACPI (Advanced Configuration and Power Interface) disponibles sur de nombreuses cartes mères actuelles, il serait possible de cacher dans la mémoire interne des cartes PCI une fonctionnalité de type rootkit capable de se charger à chaque démarrage de la machine.
Selon l’auteur de l’étude, les seules protections efficaces sont l’utilisation de cartes contenant :

• un switch physique ; ce qui semble être de plus en plus rare, ou
• un module TPM (Trusted Platform Module)

Le TPM est une puce de stockage sécurisé pour les identifiants et les clés doubles d’infrastructure à clé publique.
L’étude de John Heasman est disponible ici (format PDF).
J’ai trouvé sur le site de Toshiba, un document qui, par le biais d’une pub pour un de leurs produits) explique ce qu’est un TPM.

Après 7 ans d'attente, le SANS Institute vient de mettre à jour son TOP 20 listant les principales cibles d’attaques sur Internet.
Cette mise à jour est importante car elle dissocie, pour un même fournisseur (Microsoft - pour ne pas le nommer), la multiplicité des versions de ses systèmes d’exploitation et de ses applications.
On notera aussi une entrée dédiée aux exploits « 0-days ».

Depuis plusieurs mois on parle de Google bombing, de faux sites Web, de faux blogs, de spamming, de liens sponsorisés Adwords, de cybersquatting...
Doit-on s'attendre à d'autres excès au cours de la campagne électorale 2007 ?

Pour remettre les pendules à l'heure, la CNIL et le Forum des Droits sur l'Internet ont chacun édité un guide avec une série de règles et de recommandations pour encadrer la « web-campagne ».

Ils sont téléchargeables ici :

• Recommandations du Forum
• Recommandations de la CNIL

Qui se cache derrière W32/Stration ?
Sur le blog de F-Secure, voici une intéressante étude sur l’usage mass-mailer Warezov (nom d’alias de Stration).

Attaque DDOS lors des élections américaines ?
Les Démocrates et les Républicains se lancent mutuellement des accusations de fraude après la journée électorale de mardi dernier dont l'enjeu principal était le contrôle du Congrès. Plusieurs blogs annoncent que dans le Michigan, le site du candidat républicain au Sénat, Mike Bouchard, a été paralysé par une attaque. Ces blogs reprennent une information qu'ils disent détenir de Detnews, mais leur lien vers ce site n'est pas correct. L'info est néanmoins disponible ici.

Un troisième virus sous Win64
Après W64.Rugrat et W64.Shruggle, un collègue d’Eugène Kaspersky annonce sur son blog la découverte d’un troisième virus de ce type, il le nomme Win64.Abul.a
Ecrit en langage C, sa taille est d’environ 3700 octets. Afin de mieux se cacher, il compresse une partie du code du programme qu’il infecte et peut ainsi s’implanter dans le fichier sans que celui-ci n’augmente en taille.

Sécurité des sites Internet et des systèmes d’informations : Quelles responsabilités ?
Sur le blog Droit-Tic, voici un article à connotation juridique très intéressant. Il traite des sanctions pénales et de l'étendue de la responsabilité des dirigeants d'entreprise en cas d’atteinte au traitement automatisé de données.

Et pour finir, citons encore le blog McAfee ou l’un de mes collègues revient sur la récente exploitation de Wikipédia par des pirates informatiques.

Bonne lecture !

Le 3 novembre, Microsoft publiait un bulletin de sécurité annonçant une vulnérabilité, dans Microsoft XML Core Services, pouvant être exploitée par des attaquants distants afin de compromettre un système vulnérable.

Dans un premier temps, les organismes spécialisés qui ont relayé cette annonce ont parlé de la présence d’un POC: une preuve par l’exemple. Il n’aura fallu qu’une journée pour que le POC soit suivi d’un exploit 0-day. En effet, l’Internet Storm Center a mis à jour son blog en annonçant que cette vulnérabilité était maintenant exploitée à des fins malveillantes.

Sous Windows XP, je viens d’aller visiter un site sur lequel l’exploit est actuellement (lundi 6 novembre, 16h) implanté. Il s’agit d’un site proposant un outil très particulier d’aide à la navigation sur Internet. Lorsque l’on visualise la page d’accueil, un fichier exécutable au nom de « tester.dat » est téléchargé sur le bureau, depuis un autre site US. Il implante une DLL et patche explorer.exe afin qu’il puisse la charger. Il crée aussi un fichier contenant un lien vers un troisième site qui semble être lié à des activités de spam. Tous ces fichiers portent des noms aléatoires. On voit apparaître pour quelques instants sur le bureau l’ensemble de ces fichiers sous leur nom d'origine tout comme ceux qui servent à les implanter : 1.cmd, c.txt, explo.exe, m.dll, n.exe, explo.ex_
Le fichier explorer.exe original est sauvé sous le nom de eee.tmp.

Sous Windows 2000 (sp4), j’ai constaté que le processus d’infection n’est pas mené à terme.

On notera que VirusScan 8 est capable de stopper cette attaque de par son module de protection en cas de débordement de la mémoire tampon.

17 personnes soupçonnées de vol d’identité viennent d’être interpellées en Europe et aux Etats-Unis à la suite d’une longue traque menée par le FBI et les services de police polonais et roumains. L’enquête portait le nom de code « Opération Cardkeeper ».

S’aidant d’une cinquantaine de serveurs compromis, le groupe aurait mené ses attaques entre août et octobre 2004. Ses membres subtilisaient des informations liées aux cartes bancaires selon des techniques de phishing et/ou de keylogging. Une dizaine de milliers de victimes ont été recensées dans le seul état de Virginie. Les informations collectées étaient revendues dans un « Internet bazaar » fréquenté par des professionnels du crime recherchant ce type de données afin de mener ensuite leurs propres attaques.

Le cerveau de cette affaire serait un Polonais (Mateusz Rymski) connu sous le pseudo de Blindroot. A ce jour, 4 arrestations ont eu lieu aux Etats-Unis et 13 en Pologne ; d’autres devraient suivre dans ces pays ainsi qu’en Roumanie ou 3 suspects sont actuellement interrogés.

Parmi les personnes soupçonnées aux US. L’une s’était affublée du surnom de « John Dillinger », célèbre gangster et voleur de banques américain des années 30, ses fans célèbre le jour de sa mort, le 22 juillet 1934.
Wired News, avait interviewé en juillet 2006 (Confessions of a Cybermule) une personne ayant repris le nom de ce légendaire chef de bande. A 44 ans, il se vantait d’avoir détourné $150 000 au cours de ces 2 dernières années et indiquait avoir des relations avec des phishers roumains.

Source :
http://www.theregister.co.uk/2006/11/03/operation_cardkeeper_phishing_arrests/
http://www.wired.com/news/technology/0,72064-0.html?tw=wn_index_1