S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 02 septembre 2011
N° CERTA-2011-ACT-035
Affaire suivie par: CERT-FR
le 02 septembre 2011

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité 2011-35

Gestion du document

Référence CERTA-2011-ACT-035
Titre Bulletin d’actualité 2011-35
Date de la première version 02 septembre 2011
Date de la dernière version 02 septembre 2011
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Apparition du ver Morto

Le ver Morto est récemment apparu sur les plates-formes Microsoft Windows. Il se propage en utilisant le protocole RDP (Remote Desktop Protocol). Afin d’infecter un poste, ce ver n’exploite pas de vulnérabilité du protocole RDP, il essaie de s’authentifier avec des comptes disposant de mot de passe faible. Le code va en effet tester une liste de noms d’utilisateur communs (adm, admin, backup, owner…) avec un dictionnaire restreint de mot de passe.

La présence des fichiers suivants peut indiquer une infection par le ver :

  • %windir%/clb.dll ;
  • %windir%/clb.dll.bak ;
  • %system%/sens32.dll ;
  • %windir%/temp/nthsrui.dll ;
  • %windir%/offline web pages/cache.txt.

Une augmentation importante du trafic RDP peut également être un signe de la présence du code malveillant. Le ver dispose de fonctionnalités lui permettant d’arrêter les processus liés à des applications de sécurité. Une description complète des symptômes associés à ce ver peut être trouvée sur la base de connaissances de logiciels malveillants de Microsoft (cf section documentation). Les postes infectés peuvent notamment être utilisés pour réaliser des attaques en déni de service.

Face à cette menace, le CERTA rappelle l’importance de l’utilisation de mots de passe forts. Dans une démarche de défense en profondeur, le CERTA recommande également de faire preuve de prudence lors de l’ouverture de service RDP sur l’extérieur, en mettant en place un mécanisme d’authentification forte, ainsi que des règles de filtrage sur adresses IP des machines autorisées à se connecter au service.

2.1 Documentation

2 Certificats SSL émis frauduleusement

Cette semaine la presse a relaté la découverte par un internaute d’un faux certificat SSL de serveur, signé par l’autorité de certification néerlandaise DigiNotar.

Cette découverte a été faite alors que l’internaute était victime d’une attaque par interposition (MITM ou man-in-the-middle) alors qu’il consultait un serveur Google. En effet le faux certificat de serveur était valable pour les serveurs du domaine google.com.

DigiNotar a confirmé l’émission frauduleuse du certificat et indiqué que d’autres certificats avaient également été émis.

En réponse à cet incident, certains éditeurs (Debian, Microsoft, Mozilla) ont supprimé le certificat de l’autorité DigiNotar de la liste des certificats préinstallés ou l’ont desactivé.

2.1 Documentation

3 Compromission de kernel.org

Le 28 août dernier, une compromission a été détectée sur le site kernel.org, hébergeant le code source du noyau Linux. L’intrusion aurait eu lieu un peu plus tôt dans le mois.

Les attaquants ont pu obtenir les droits d’administration du serveur (root) mais la méthode utilisée pour l’élévation de privilèges n’est pour l’instant pas connue. L’accès au serveur aurait été effectué au moyen d’un compte utilisateur compromis et un cheval de Troie a été déposé. Celui-ci a été découvert suite à l’apparition de traces suspectes. Celles-ci concernaient un message d’erreur de Xnest alors que ce logiciel n’était pas installé sur le serveur.

Une réinstallation complète du serveur est prévue ainsi qu’un audit du code hébergé afin de vérifier l’intégrité de celui-ci. L’ensemble des 448 comptes utilisateurs vont être réinitialisés.

Le CERTA rappelle que la mise en place d’un processus de surveillance des journaux permet dans de nombreux cas de détecter au plus tôt des signes d’intrusion, ce qui a été le cas pour ce serveur.

Documentation

4 Liens utiles

Rappel des avis émis

Dans la période du 22 au 28 août 2011, le CERT-FR a émis les publications suivantes :


Durant la même période, les publications suivantes ont été mises à jour :

Gestion détaillée du document

    le 02 septembre 2011
    version initiale.