IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Des Malwares originaux et sophistiqués

Le , par ram-0000

0PARTAGES

1  0 
Des Malwares originaux et sophistiqués

Deux malwares découverts ce mois-ci ont retenu notre attention de part leur degré de sophistication et l'originalité des équipements qu'ils ciblent.
Ces deux malwares représentent des dangers limités mais ils nous ont paru révélateurs de l'inventivité et de la professionnalisation des cybercriminels.

Le cheval de Troie Skimer
Sophos a découvert un cheval de Troie ciblant les distributeurs automatiques de billets (DAB).

Ce cheval de Troie, baptisé Skimer et qualifié de sophistiqué par plusieurs sources, infecte les DAB du constructeur Diebold qui utilisent le système d'exploitation Microsoft Windows.

Il enregistre les données des cartes de crédit insérées dans les appareils infectés ainsi que les codes PIN entrés lors de l'authentification du propriétaire de la carte. Ces informations peuvent ensuite être utilisées pour fabriquer un duplicata illégal de la carte originale.

Les DAB n'étant généralement pas connectés à Internet, ce malware doit donc être installé par une personne ayant accès au réseau bancaire ou à la machine elle-même (compagnie de maintenance par exemple).
Pour récupérer les données dérobées, un attaquant doit ensuite utiliser le clavier du distributeur infecté pour provoquer leur impression sur un récépissé.

Ce mode de propagation explique que la diffusion de Skimer semble très restreinte, voire confidentielle. En effet, seuls quelques rares spécimens de ce malware ont été trouvés sur des DAB en Russie.

La découverte de ce cheval de Troie apporte les enseignements suivants :

les distributeurs automatiques de billets ne sont pas à l'abri d'attaques par du code malveillant,
ces attaques nécessitent cependant un accès physique ou privilégié aux machines ciblées, ce qui limite fortement leur diffusion,
le développement du code malveillant découvert a nécessité une connaissance précise du matériel et du logiciel des DAB attaqués, ce qui limite sa diffusion à une seule marque de machine. Cette information nous laisse à penser que les attaquants auraient tout aussi bien pu concevoir un malware contre des machines utilisant un système d'exploitation plus exotique que Microsoft Windows. Elle nous permet de tirer la conclusion que si les DAB utilisant Microsoft Windows sont plus vulnérables aux attaques, l'utilisation d'un autre système n'est pas une protection absolue contre les malwares.
Après analyse, la menace liée à l'émergence du cheval de Troie Skimer est moins élevée que son aspect spectaculaire aurait pu laisser croire. En effet, de nombreux obstacles freinent sa diffusion et ce genre d'attaque présente pour des personnes malveillantes un retour d'investissement bien léger par rapport à des méthodes plus traditionnelles s'appuyant sur une propagation par Internet (Phishing, compromission de serveurs hébergeant des données personnelles etc.).

Le ver Psybot

Le ver Psybot découvert par la société DroneBL (spécialisée dans la surveillance des réseaux) et signalé par Symantec cible, quant à lui, certains routeurs.

Il se propage via des attaques par force brute (identifiants/mots de passe) sur les interfaces web de routeurs basés sur une architecture MIPSel et utilisant le système d'exploitation Linux.

Une fois l'identification par force brute réussie, Psybot se réplique sur le routeur via les commandes wget ou ftpget puis il bloque les ports TCP 22 (ssh), 23 (telnet) et 80 (interface web) afin d'interdire l'accès à cet équipement par les administrateurs.
Puis il ouvre une porte dérobée sur le système infecté via un canal IRC, et se met en attente de commandes malveillantes de la part d'un serveur distant (déni de service distribué, téléchargement de code malveillant, scan de ports TCP, …).

Ce ver est intéressant vis-à-vis du type d'équipements qu'il attaque (routeurs personnels). Sa dangerosité est toutefois atténuée par la spécificité de ces équipements (architecture, système d'exploitation, interface web rarement accessible sur Internet) et surtout parce que sa propagation (attaque par force brute) est uniquement possible sur des équipements protégés par des mots de passe faibles.

Pour en savoir plus :
Skimer

Psybot


Source : Cert-IST (relayé avec autorisation du Cert-IST)

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de julien_iz
Membre actif https://www.developpez.com
Le 19/09/2009 à 16:26
Cette information nous laisse à penser que
Serait-il possible de savoir qui se cache derrière ce "nous"?
1  0 
Avatar de ram-0000
Rédacteur https://www.developpez.com
Le 19/09/2009 à 16:31
Citation Envoyé par julien_iz Voir le message
Serait-il possible de savoir qui se cache derrière ce "nous"?
La source : Cert-IST ?
1  0 
Avatar de julien_iz
Membre actif https://www.developpez.com
Le 19/09/2009 à 16:36
Citation Envoyé par ram-0000 Voir le message
La source : Cert-IST ?
Il n'y a pourtant pas de quote dans l'article

EDIT:

Ok, c'est un copie/colle d'article ....
1  0 
Avatar de ram-0000
Rédacteur https://www.developpez.com
Le 19/09/2009 à 16:51
Citation Envoyé par julien_iz Voir le message
Ok, c'est un copie/colle d'article ....
Tu as raison mais je préfère le mot "relayage d'article" dans ce cas précis
1  0 
Avatar de Djug
Expert éminent sénior https://www.developpez.com
Le 20/09/2009 à 18:08
Deux malwares découverts ce mois-ci
pour le troajn Skimer , la date de la découverte selon Symentec et Sophos date depuis plusieurs mois (17 mars 2009),

tandis que le worm Psybot date depuis 24 du même mois
1  0