Marianne ANSSI

CERT-FR

Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques

logo ANSSI
Informations utiles

Que faire en cas d'intrusion ?

Les systèmes obsolètes

Liens utiles

 

L'ANSSI recrute

 

 

Les documents du CERT-FR

Publications récentes

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours Archive

 

Les Flux RSS du CERT-FR

Flux RSS complet

RSS

Flux RSS des alertes

RSS

Flux RSS SCADA

RSS

 

CERTA-2000-REC-001

Imprimer ce document

Version PDF

À propos du CERT-FR

Le CERT-FR

Nous contacter

Contact us ( Drapeau anglais )

A propos du site

Communauté CSIRT

Les CSIRT

Le FIRST

L'EGC

 
Archives du CERT-FR

Année 2017 Archive

Année 2016 Archive

Année 2015 Archive

Année 2014 Archive

Année 2013 Archive

Année 2012 Archive

Année 2011 Archive

Année 2010 Archive

Année 2009 Archive

Année 2008 Archive

Année 2007 Archive

Année 2006 Archive

Année 2005 Archive

Année 2004 Archive

Année 2003 Archive

Année 2002 Archive

Année 2001 Archive

Année 2000 Archive

 

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 16 mai 2000
No CERTA-2000-REC-001

Affaire suivie par :

CERTA

NOTE D'INFORMATION DU CERTA

Objet : Retour d'expérience du ver ILOVEYOU


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2000-REC-001

Gestion du document


Tableau 1: gestion du document
Référence CERTA-2000-REC-001
Titre Retour d'expérience du ver ILOVEYOU
Date de la première version 16 mai 2000
Date de la dernière version -
Source(s)  
Pièce(s) jointe(s) Aucune
   

Une gestion de version détaillée se trouve à la fin de ce document.

Résumé
Les récents dégâts provoqués par le virus ILOVEYOU, ont montré une nouvelle fois que la sécurité reposait en grande partie sur le comportement des utilisateurs et en particulier sur leur capacité à respecter les règles élémentaires de protection.

1 Généralités

Les dégâts provoqués par le ver ILOVEYOU ont entraîné une prise de conscience plus aigue, du risque de nuisance des virus. Selon de nombreux observateurs, le risque de propagation dans les prochains mois, de ver encore plus virulents qu'ILOVEYOU ou encore d'attaques classiques (déni de service par exemple), est élevée. Cette analyse de la situation sur Internet est la conséquence des phénomènes suivants :

  1. Les technologies d'attaque les plus performantes sont disponibles et utilisées simultanément.

    Par exemple dans le cas d'ILOVEYOU le pirate a utilisé à la fois :

    • un langage de script Microsoft ;
    • la contamination par carnet d'adresses ;
    • la contamination par IRC.
  2. La quantité de machines connectées sur le réseau a augmenté. Celles-ci sont souvent peu ou mal protégées et offrent donc des cibles d'attaque de plus en plus nombreuses.

    Le nombre de machines disposant d'un accès permanent à Internet et à forte bande passante (câble, ADSL, LS) explose. Ces dernières sont utilisables pour des attaques par déni de service distribué de façon d'autant plus efficace que la sécurité n'est pas ou peu prise en compte.

  3. La période d'été a toujours été propice aux attaques.

    La vie étudiante et scolaire ralentie en fin d'année, les techniques sont aussi mieux maîtrisées et les groupes s'animent !

Cette analyse nous engage à réagir :

  1. Revoir le paramétrage des barrières de sécurité (« firewall ») et en particulier la règle classique qui consiste à ne pas filtrer les flux de l'intérieur vers l'extérieur (par exemple pour l'IRC). Dans le même domaine d'action la règle par défaut d'une barrière de sécurité doit-être : « tout ce qui n'est pas autorisé est interdit » (ce qui n'est pas l'option par défaut de certains produits commerciaux).
  2. Revoir ou prévoir des plans de parade et de réaction : conduite à tenir, personnes à prévenir, diffusion de l'alerte, etc.
  3. Mise à jour des logiciels (navigateur, anti-virus, application du type bureautique).
  4. Sauvegarde régulière des données et stockage de ces dernières dans des lieux isolés.
  5. Exploitation et sauvegarde des journaux de log.

2 Aspects techniques

  • Il est nécessaire de définir, dans votre entité, une configuration type des logiciels de navigation et de messagerie. A titre d'exemple il ne semble pas indispensable que tous les postes de travail aient besoin de pouvoir exécuter des script en Visual basic ou encore que les ActiveX ou mIRC soient disponibles pour tous :
    1. Supprimer WScript.
    2. Supprimer l'exécution automatique des fichiers htm :
      1. dans l'explorateur Windows ;
      2. menu « Affichage » ;
      3. sous-menu « Options » (ou « Options des dossiers » selon la version de Windows) ;
      4. onglet « Type des fichiers ».
      Supprimer la ligne associée à l'extension hta.
    3. Supprimer tous les ActiveX :
      1. menu « Démarrer » ;
      2. menu « Paramètres » ;
      3. menu « Panneau de configuration » ;
      4. icone « Options Internet » ;
      5. onglet « Sécurité » ;
      6. sélectionner l'icone « Internet » ;
      7. bouton « personnaliser le niveau » ;
      8. options « contrôles ActiveX et plugins ».
      Désactiver tous les ActiveX.

      Manipulation identique pour les applets java avec l'option « script » dans l'étape ( 3h).

    4. Désinstaller mIRC (logiciel de relais chats).
  • Le ver ILOVEYOU a mis en évidence l'exploitation des carnets d'adresses. Il est ainsi apparu que des services partageaient des carnets d'adresses Outlook pour faire leur annuaire interne. Dans ces carnets partagés apparaissent toutes les informations souhaitables pour un pirate (nom, e-mail, téléphone, etc.). Ce partage d'adresse est évidement un outil indispensable mais il est préférable, sur le plan de la sécurité, de l'installer dans une page web de votre Intranet. Il est ainsi présent à une adresse donné ce qui sera plus difficile à retrouver pour un pirate.
  • La contamination par carnet d'adresses avait été démontrée par MELISSA et exploitée par ILOVEYOU. Il peut être judicieux d'inscrire d'office dans le carnet d'adresses de chaque poste de travail le mél du responsable sécurité : ainsi dans ce type d'attaque, ce dernier sera immédiatement et massivement alerté.

3 Conclusion

Il est aujourd'hui impératif de sensibiliser les utilisateurs sur la faiblesse des paramétrages par défaut, de ne pas leur livrer des postes de travail sur lesquels des exécutables dont ils n'ont pas besoin sont disponibles et de vérifier les choix de filtrage des barrières de sécurité. Enfin, il faut vérifier que les règles relatives aux sauvegardes et à leur stockage sont bien appliquées.

Gestion détaillée du document

16 mai 2000
version initiale.


CERTA
2014-01-17
Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information webmestre Dernière mise à jour : le 2017-05-24