S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 29 avril 2011
N° CERTA-2011-ACT-017
Affaire suivie par: CERT-FR
le 29 avril 2011

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité 2011-17

Gestion du document

Référence CERTA-2011-ACT-017
Titre Bulletin d’actualité 2011-17
Date de la première version 29 avril 2011
Date de la dernière version 29 avril 2011
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Les réseaux sociaux vecteurs de contenu malveillant

Ces quelques dernières années ont vu l’émergence et la démocratisation sur l’Internet des sites de réseaux sociaux.

Ces plateformes d’échange sont d’ores et déjà connues pour poser différents problèmes d’atteinte à la vie privée, mais représentent également des cibles privilégiées pour la diffusion à grande échelle de contenu malveillant.

Ces codes malveillants profitent largement des liens sociaux entre différents utilisateurs. Par exemple, un message provenant d’un « ami » paraîtra toujours plus légitime que s’il provenait d’un compte inconnu. La technique n’est pas nouvelle, certains logiciels malveillants se propageant par courrier électronique vont chercher leurs cibles dans le carnet d’adresse de la victime initiale afin de gagner en légitimité. Cette technique est amplifiée par le fait que le cercle d’« amis » sur les réseaux sociaux est beaucoup plus étendu que celui d’un carnet d’adresses utilisé pour contacter sa famille et ses collègues de travail par exemple.

La plupart de ces sites invitent chaque utilisateur à apporter sa contribution telle que l’ajout de commentaires, d’images, ou encore inciter d’autres utilisateurs à se rendre sur certaines pages, à s’enregistrer auprès de nouveaux services, à utiliser de nouveaux jeux, etc.

Pour toutes ces raisons, et en prenant en compte le développement très rapide de ces réseaux, beaucoup d’attaquants peuvent être attirés par ce terrain fertile pour diffuser de contenu malveillant au plus grand nombre.

C’est pourquoi, depuis quelques mois, plusieurs vulnérabilités affectant les plus gros réseaux sont découvertes puis corrigées. La technique qui semble être la plus employée est l’injection de code indirecte à distance (ou XSS), qui permet entre autre d’exécuter du code arbitraire dans le contexte de la session d’un utilisateur. Le code peut alors se répliquer par commentaires sur les pages des contacts « amis », propager des messages diffamatoires, collecter des informations sur le profil de la victime ou encore la rediriger vers d’autres sites malveillants.

D’autres méthodes de compromission se développent. Certains liens sur des sites se font passer pour le bouton « J’aime » du site Facebook et utilisent des méthodes de détournement de clic (ou clickjacking). La victime ayant effectivement cliqué sur ce lien pourra voir son poste compromis, et propagera en même temps ce lien vers ses contacts via le mécanisme classique des notifications « J’aime ».

Enfin, ces sites peuvent aussi être utilisés comme canaux de commande et de contrôle pour certains botnets, comme le CERTA l’a présenté dans le bulletin d’actualité CERTA-2009-ACT-045.

Pour toutes ces raisons, le CERTA recommande que les responsables des systèmes d’information s’interrogent sur les politiques d’accès à ces sites.

Documentation

2 Infection par un ransomware

Récemment, le CERTA a reçu une demande d’analyse concernant une machine ayant été infectée par un ransomware.

Ce type de code n’est pas nouveau. Il parcourt les documents accessibles et les chiffre. Ensuite, il demande une rançon à l’utilisateur pour qu’il puisse récupérer ses fichiers dans leur état original.

Afin de procéder à une analyse, il est important de conserver l’état de la machine et de réaliser une copie de la mémoire vive et du disque dur. En effet, ces éléments peuvent aider à trouver une méthode de décryptage lorsque le programme présente un défaut dans l’implémentation ou l’utilisation de l’algorithme de chiffrement. De plus, dans un cadre judiciaire, la possible identification de l’attaquant peut également être un moyen de retrouver les éléments permettant de déchiffrer et retrouver ses documents.

Enfin, le CERTA rappelle que l’utilisation régulière de sauvegardes stockées sur des serveurs physiquement séparés reste le meilleur moyen de récupérer ses fichiers.

Rappel des avis émis

Dans la période du 18 au 24 avril 2011, le CERT-FR a émis les publications suivantes :


Durant la même période, les publications suivantes ont été mises à jour :

Gestion détaillée du document

    le 29 avril 2011
    version initiale.