S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 09 septembre 2011
N° CERTA-2011-ACT-036
Affaire suivie par: CERT-FR

Bulletin d'actualité du CERT-FR

Objet: Bulletin d'actualité 2011-36

Gestion du document

Référence CERTA-2011-ACT-036
Titre Bulletin d'actualité 2011-36
Date de la première version 09 septembre 2011
Date de la dernière version 09 septembre 2011
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Compromissions furtives de sites Web

Le CERTA a récemment traité une vague de compromissions de sites Web assez furtives. Celles-ci sont discrètes parce qu'elles ne peuvent se constater que dans des circonstances particulières. En effet, le piratage de la machine ne se manifeste que sous la forme d'une redirection conditionnelle. Celle-ci ne s'effectue que lorsque le referrer contient des mots-clefs particuliers. Par exemple, en provenant du site de Google après avoir recherché un produit pharmaceutique particulier, la visite sur le site Web compromis provoquera la redirection.

Pour forcer les redirections, les attaquants déploient des fichiers .htaccess dans l'arborescence des sites Web. Ils ne se contentent d'ailleurs pas de cette modification, puisqu'ils ajoutent également des portes dérobées. La compromission doit donc être traitée avec le plus grand sérieux.

Les administrateurs ont deux moyens pour détecter les incidents de ce genre :

  • lire les journaux d'événements, ce qui a pour avantage de dévoiler d'autres problèmes ;
  • faire des recherches sur leurs propres sites Web, pour voir ce qu'affiche le moteur de Google (ou autre).
En cas d'incident, l'analyse complète du système est préconisée.

2 Mise à jour des autorités de certification

Comme détaillé dans le précédent bulletin d'actualité du CERTA (cf. CERTA-2011-ACT-035), suite à la compromission de l'autorité de certification DigiNotar, de nombreux éditeurs de logiciel ont publié des mises à jour afin de supprimer tout ou partie des certificats émis par cette autorité.

Une liste, non exhaustive, des mises à jour disponibles se trouve dans l'avis CERTA-2011-AVI-493. Adobe fournit également une procédure détaillée (cf. la section Documentation) afin de supprimer manuellement cette autorité de certification de ces programmes via sa solution Adobe Approved Trust List.

Le CERTA encourage vivement le déploiement rapide de ces correctifs afin d'empêcher au plus vite des attaques de type man-in-the-middle sur les services ciblés par les faux certificats créés pendant la compromission.

Documentation

Rappel des publications émises

Dans la période du 29 août 2011 au 04 septembre 2011, le CERT-FR a émis les publications suivantes :


Gestion détaillée du document

    le 09 septembre 2011
    version initiale.