Project

General

Profile

Alertes en provenance du CERTA CERT-Renater » History » Version 10

Herve Ballans, 27/08/2013 12:06

1 1 Herve Ballans
h1. Alertes en provenance du CERTA  CERT-Renater
2 1 Herve Ballans
3 10 Herve Ballans
h2. Envoi d'exécutables malveillants par courriel (Bulletin d'actualité CERTA du 23 août 2013)
4 9 Herve Ballans
5 9 Herve Ballans
De nombreux incidents traités par le CERTA ont pour origine des courriels malveillants. Souvent, de simples exécutables malveillants sont envoyés en pièce jointe et traversent pourtant l'ensemble des dispositifs de sécurité mis en place.
6 9 Herve Ballans
7 9 Herve Ballans
Si la malveillance de ces courriels est généralement assez facilement identifiable par leur contenu négligé (fautes d'orthographe, français approximatif, etc.), certains attaquants sont plus subtils. Récemment, le CERTA a eu affaire à une vague de messages où le nom et le prénom de l'utilisateur étaient inscrits dans le nom d'un exécutable malveillant en pièce jointe, faisant croire à ce dernier qu'il était directement concerné par le sujet pour l'inciter à l'ouvrir.
8 9 Herve Ballans
9 9 Herve Ballans
Outre la sensibilisation des utilisateurs à ce genre d'attaques, quelques mesures permettent de s'en prémunir :
10 9 Herve Ballans
11 9 Herve Ballans
    le blocage des fichiers de type exécutable, y compris lorsqu'ils sont compressés, au niveau du serveur de messagerie est la solution la plus simple à mettre en œuvre. Cette recommandation peut aussi s'appliquer aux serveurs mandataires HTTP ;
12 9 Herve Ballans
    la mise en place des stratégies de restriction logicielles (SRP), ou d'AppLocker à partir de Windows Vista, sur les postes de travail protège non seulement de ce type d'attaques, mais aussi de nombreux logiciels malveillants circulant sur Internet.
13 9 Herve Ballans
14 9 Herve Ballans
Documentation
15 9 Herve Ballans
16 9 Herve Ballans
    Guide de configuration des stratégies de restriction logicielles :
17 9 Herve Ballans
18 9 Herve Ballans
    http://technet.microsoft.com/library/cc163080.aspx
19 9 Herve Ballans
20 9 Herve Ballans
    Guide de configuration de AppLocker :
21 9 Herve Ballans
22 9 Herve Ballans
    http://technet.microsoft.com/library/dd723678.aspx
23 9 Herve Ballans
24 9 Herve Ballans
25 9 Herve Ballans
26 8 Herve Ballans
h2. Clés USB, encore et toujours un risque pour le SI (Bulletin d'actualité CERTA du 2 août 2013)
27 7 Herve Ballans
28 7 Herve Ballans
Comme mentionné par le passé, l'utilisation de clés USB non maitrisées présente un risque important pour la sécurité du SI.
29 7 Herve Ballans
30 7 Herve Ballans
Cette menace est aujourd'hui d'autant plus importante que depuis quelques semaines, certains constructeurs commercialisent des clés piégées prêtes à l'emploi, utilisant un mécanisme d'émulation d'un périphérique clavier plutôt que l'utilisation des fonctionnalités dîtes d'exécution automatique (Autorun).
31 7 Herve Ballans
32 7 Herve Ballans
Cette technique, bien que déjà connue dans le milieu de la recherche en sécurité, n'en reste pas moins efficace et permet d'exécuter une charge malveillante lors de la connexion de la clé à un poste Windows.
33 7 Herve Ballans
34 7 Herve Ballans
De plus, même si les modèles actuels semblent limités au système de Microsoft, des clés utilisant des principes similaires pourraient voir le jour sur d'autres systèmes.
35 7 Herve Ballans
36 7 Herve Ballans
D'un point de vue extérieur, rien ne permet aujourd'hui de différencier ce type de clé piégée d'une clé saine. Il est cependant possible d'observer les activités malveillantes car elle fait apparaitre une invite de commandes lors de son insertion.
37 7 Herve Ballans
38 7 Herve Ballans
Le CERTA recommande, une nouvelle fois, de prendre garde à ce type de périphériques aujourd'hui largement accessibles. Il est notamment nécessaire de sensibiliser les utilisateurs à ce type d'attaque afin qu'ils puissent prévenir rapidement la chaîne SSI en cas de comportements suspects.
39 7 Herve Ballans
Documentation
40 7 Herve Ballans
41 7 Herve Ballans
    Bulletin d'actualité CERTA-2013-ACT-029, périphériques USB promotionnels et cadeaux électroniques :
42 7 Herve Ballans
43 7 Herve Ballans
    http://www.certa.ssi.gouv.fr/site/CERTA-2013-ACT-029/index.html
44 7 Herve Ballans
45 5 Herve Ballans
h2. Protections dans les applications Adobe redaer et Adobe Acrobat (Avis CERTA du 18 février 2013)
46 1 Herve Ballans
47 5 Herve Ballans
L’ANSSI a publié une alerte sur une faille activement exploitée des produits Adobe Reader et Adobe Acrobat. L’ANSSI recommande d’utiliser la version XI (11) de ces produits qui offrent des fonctionnalités supplémentaires de sécurité (sandbox) permettant de contrer nombre d’attaques. Il faut noter que cette version XI n’est pas disponible sur tous les systèmes. Pour ces systèmes (Vista, Linux) où il n’est pas possible d’installer la version XI, il est vivement conseillé d’utiliser la dernière version disponible (X pour Vista, 9 pour Linux) qui est plus sécurisée que les précédentes.  Dans tous les cas il faut appliquer les derniers correctifs de sécurité. Le CERTA recommande aussi d’activer la « Vue protégée », cette fonctionnalité n’est disponible que pour la version XI :
48 1 Herve Ballans
49 5 Herve Ballans
(Edition à Préférences à Protection (renforcée) à cocher « Activer le mode protégée au démarrage » et sous « Vue protégée » « Tous les fichiers ».
50 5 Herve Ballans
51 5 Herve Ballans
Pour toutes les versions il est aussi recommandé d’activer la « Protection renforcée » ce qui en principe est la valeur par défaut à l’installation :
52 5 Herve Ballans
53 5 Herve Ballans
Edition à Préférences à Protection (renforcée) à cocher « Activer la protection renforcée ».
54 5 Herve Ballans
55 5 Herve Ballans
L’ANSSI recommande aussi de désactiver JavaScript :
56 5 Herve Ballans
57 5 Herve Ballans
Edition à Préférences à JavaScript à Ne pas cocher la case « Activer Acrobat JavaScript ».
58 5 Herve Ballans
59 5 Herve Ballans
L’ANSSI recommande aussi de désactiver (désinstaller) les logiciels Adobe Reader et Acrobat. Cette mesure, certes efficace, ne nous semble pas réaliste et nous préférons insister sur la vigilance nécessaires vis-à-vis de fichiers PDF téléchargés et le durcissement des configurations évoqué précédemment.
60 5 Herve Ballans
61 5 Herve Ballans
h2. Un code malveillant utilise GoogleDocs (Alerte CERTA du 21 décembre 2012)
62 5 Herve Ballans
63 2 Herve Ballans
Les cas d'utilisation malveillante des réseaux sociaux ou de l'informatique dans le nuage, voire de webmails, se multiplient.
64 2 Herve Ballans
65 2 Herve Ballans
Cette année le CERTA a également été amené à traiter plusieurs incidents en relation avec ces services. Symantec a récemment publié un article à propos d'un code malveillant dont les connexions aux serveurs de commande et contrôle passaient par Google Docs. Un tel détournement a été rendu possible par une fonctionnalité de visualisation de fichier, à laquelle on peut soumettre une URL, sans vérification de sa malveillance. Ce phénomène rend difficile la détection des flux illégitimes :
66 1 Herve Ballans
67 3 Herve Ballans
* les serveurs destinataires ne sont, par essence, pas malveillants ;
68 3 Herve Ballans
* les flux entre le poste infecté et le serveur sont généralement chiffrés.
69 2 Herve Ballans
70 2 Herve Ballans
Ce comportement confirme également que les botnets évoluent vers des alternatives plus discrètes qu'IRC, historiquement utilisé comme protocole de communication, et donc plus difficile à bloquer.
71 2 Herve Ballans
72 2 Herve Ballans
Le CERTA recommande donc de faire preuve de vigilance, voire de réserve, à l'égard de l'utilisation des réseaux sociaux, des services de stockage dans le nuage ou de messagerie en ligne, quelle que soit la réputation de l'hébergeur.
73 1 Herve Ballans
74 2 Herve Ballans
Il est également préconisé de surveiller de tels flux à des heures qui ne correspondent pas une activité classique de bureau.
75 2 Herve Ballans
Documentation
76 3 Herve Ballans
77 2 Herve Ballans
Symantec - Malware targeting Windows 8 Uses Google Docs
78 2 Herve Ballans
79 2 Herve Ballans
    www.symantec.com/connect/blogs/malware-targeting-windows-8-uses-google-docs
80 3 Herve Ballans
81 2 Herve Ballans
Bulletin d'actualité CERTA-2009-ACT-045 :
82 2 Herve Ballans
83 2 Herve Ballans
    http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-045/
84 2 Herve Ballans
85 1 Herve Ballans
86 2 Herve Ballans
87 6 Herve Ballans
h2. Vigilance vis à vis des rançongiciels ou ransomwares (annonce CERT-RENATER du 22 août 2012)
88 1 Herve Ballans
89 1 Herve Ballans
De : rssi-request@ml.recherche.gouv.fr [mailto:rssi-request@ml.recherche.gouv.fr] De la part de Dominique Launay
90 1 Herve Ballans
Envoyé : mercredi 22 août 2012 16:14
91 1 Herve Ballans
À : rssi@ml.recherche.gouv.fr
92 1 Herve Ballans
Objet : [rssi] Vigilance vis à vis des rançongiciels ou ransomwares
93 1 Herve Ballans
94 1 Herve Ballans
Bonjour à toutes et à tous,
95 1 Herve Ballans
96 1 Herve Ballans
Nous attirons votre attention sur l’augmentation de l’activité d'un type de malware appelé « ransomware » ou « rançongiciel ». 
97 1 Herve Ballans
Il s’agit de malware infectant l’ordinateur cible par différents biais, notamment des pages web piégés (streaming ou autre).
98 1 Herve Ballans
99 1 Herve Ballans
Le malware bloque alors tout accès à l’ordinateur (chiffrement de vos données par exemple) et, se faisant passer souvent pour un logiciel des autorités, demande le paiement d’une somme d’argent en échange du déblocage de la machine.
100 1 Herve Ballans
101 1 Herve Ballans
Cette somme est vue par l’utilisateur comme une amende car il croit avoir affaire aux autorités et, de plus, est souvent honteux du type de contenu qui l’a amené à cette situation (téléchargement illégal entre autre).
102 1 Herve Ballans
Les sommes demandées vont parfois jusqu’à 500€.
103 1 Herve Ballans
104 1 Herve Ballans
Le paiement de cette somme passe généralement par des systèmes type ukash ( http://www.ukash.com/fr/fr/home.aspx ) ou paysafecard ( http://www.paysafecard.com/fr/fr-paysafecard/ ) et on perd alors toute trace des commanditaires.
105 1 Herve Ballans
106 1 Herve Ballans
Le CERT polonais propose une page afin d’aider les personnes bloquées par ce type de logiciels : http://www.cert.pl/news/5707/langswitch_lang/en
107 1 Herve Ballans
108 1 Herve Ballans
Nous avons peu de cas pour le moment sur RENATER mais suffisamment pour se dire que la rentrée risque de compliquer les choses.
109 1 Herve Ballans
110 1 Herve Ballans
La sensibilisation des usagers est importante et un antivirus à jour est très efficace contre ces malware. Il est essentiel que les usagers ne paient pas.
111 1 Herve Ballans
112 1 Herve Ballans
Il ne faut pas hésiter à porter plainte pour escroquerie si un paiement a été effectué.
113 1 Herve Ballans
114 1 Herve Ballans
Quelques références sur le sujet :
115 1 Herve Ballans
- Abuse.ch : https://www.abuse.ch/?p=3718 
116 1 Herve Ballans
- ANSSI : http://www.ssi.gouv.fr/fr/menu/actualites/attention-arnaque-en-ligne-portant-le-logo-de-l-anssi.html
117 1 Herve Ballans
- à propos du malware citadelle : http://www.ic3.gov/media/2012/120809.aspx
118 1 Herve Ballans
- le virus « gendarmerie » : http://blog.crimenumerique.fr/2011/12/17/le-virus-gendarmerie-bilan-de-la-semaine/
119 1 Herve Ballans
- FBI (ransomware reveton): http://www.fbi.gov/news/stories/2012/august/new-internet-scam
120 1 Herve Ballans
- Article de l’ANSSI sur le site sécurité informatique : http://www.securite-informatique.gouv.fr/gp_article781.html
121 1 Herve Ballans
122 1 Herve Ballans
Si des cas apparaissent dans votre établissement, n’hésitez pas à le signaler au CERT RENATER : certsvp@renater.fr
123 1 Herve Ballans
124 1 Herve Ballans
-- 
125 1 Herve Ballans
Dominique Launay
126 1 Herve Ballans
RENATER