Risque
- Exécution de code arbitraire à distance
Systèmes affectés
Microsoft Windows toutes versions.
Résumé
Un code malveillant exploitant une vulnérabilité dans Microsoft Windows permet à une personne distante malintentionnée d'exécuter du code arbitraire.
Description
Un code malveillant, généralement connu sous le nom de Stuxnet ou CplLnk, exploite activement une vulnérabilité de Microsoft Windows. Cette vulnérabilité réside dans la gestion des fichiers de raccourcis .lnk et permet l'exécution à distance de code arbitraire avec les droits de l'utilisateur connecté sur la machine.
Le code malveillant utilise les périphériques de stockage USB pour se propager.
Contournement provisoire
Microsoft a publié un contournement permettant de limiter l'exploitation de la vulnérabilité .lnk, voir l'alerte CERTA-2010-ALE-010.
En attendant la publication d'un correctif, le CERTA recommande les bonnes pratiques suivantes :
- se connecter avec un compte utilisateur aux droits limités ;
- maintenir à jour la solution antivirale ;
- porter une attention toute particulière à la présence inattendue de fichiers .lnk.
Moyens de détection
Une fois installé et à la rédaction de ce document, le code malveillant effectue les opérations suivantes :
-
il crée les fichiers ci-dessous :
%SYSTEM%\system32\drivers\mrxcls.sys;%SYSTEM%\system32\drivers\mrxnet.sys;C:\Windows\inf\mdmcpq3.pnf;C:\Windows\inf\mdmeric3.pnf;C:\Windows\inf\oem6c.pnf;C:\Windows\inf\oem7a.pnf.
-
il crée également les clés de registre suivantes :
HKLM\SYSTEM\CurrentControlSet\Services\MRxCls;HKLM\SYSTEM\CurrentControlSet\Services\MRxNet.
De plus, il tente des connexions vers les domaines ci-dessous :
Solution
Se référer au bulletin de sécurité Microsoft pour l'obtention du correctif de la vulnérabilité (cf. section Documentation).
Documentation
- Alerte CERTA-2010-ALE-010 du 19 juillet 2010 : http://www.certa.ssi.gouv.fr/site/CERTA-2010-ALE-010
- Avis CERTA-2010-AVI-353 du 3 août 2010 : http://www.certa.ssi.gouv.fr/site/CERTA-2010-AVI-353
- Bulletin de sécurité Microsoft MS10-046 du 03 août 2010 : http://www.microsoft.com/technet/security/Bulletin/MS10-046.mspx
- Bulletin de sécurité Microsoft MS10-046 du 03 août 2010 : http://www.microsoft.com/france/technet/security/Bulletin/MS10-046.mspx
- Description du code malveilant CplLnk par le Microsoft Malware Protection Center : http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Exploit%3aWin32%2fCplLnk.A
- Description du code malveilant Stuxnet par le Microsoft Malware Protection Center : http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=TrojanDropper%3aWin32%2fStuxnet.A
