Publié le 08-08-2008 dans le thème Virus - Antivirus

Pays : International - Auteur : Damien Bancal

Pub : Jouez à Seafight sur Bigpoint.fr et devenez le roi de l´océan!

Retour sur la seconde attaque subit par Reporters Sans Frontières. Nous pouvons l'affirmer, une attaque qui sent bon l'ambiance olympique pékinoise.

Nous vous indiquions, jeudi, l'existence d'un code malicieux caché dans les pages du site officiel de Reporters Sans Frontières [lire]. Une seconde attaque d'un pirate informatique qui avait pour mission, très clairement, d'infiltrer les ordinateurs des visiteurs de RSF.ORG.

La méthode, assez simple, mais terriblement efficace, a eu pour mission de télécharger un code espion caché sur un serveur basé à Taiwan, puis en Chine. Pour cela, il fallait que les visiteurs de RSF.org n'aient pas mis à jour le player Flash d'Adobe. En cas ou les surfeurs possédaient encore une version faillible du player, le flash piégé allait chercher un executable. Un petit programme qui, une fois installé dans les pc des visiteurs, installait trois autres fichiers : 00057b80.sys, xjgsci.dll et a~NSISu_.exe.

00057b80.sys avait pour mission de connecter en permanence le processus légitime svchost.exe a l adresse 61.149.230.112:80 (nous reviendrons plus tard sur cette adresse, NDR). xjgsci.dll, dont la date de création correspond a la date de création des fichiers Windows installés, et enfin xjgsci.key. Ce dernier renfermait tous les identifiants et mot de passe tapés par l'internaute infecté. Un keyloggueur, un intercepteur de frappe clavier.

L'adresse IP est interressante. Plusieurs internautes, ou peut-être le même personnage, se cachent derriére cet immatriculation Internet gérée par CNCGROUP Beijing province network. Les pseudos et mels des internautes exploitant cette ip : Wau004 (vws934@gmail.com), sns332 (wvj550@gmail.com), wdm484 (hzd121@gmail.com), efw960 (kou500@gmail.com) et ryd715 (pfb375@gmail.com). Il y en a encore beaucoup d'autres. Très certainement mis en place par un bot publicitaire. Là ou cette adresse commence à devenir intéressante est que la rédaction de ZATAZ.COM l'a retrouvé sur plusieurs serveurs appartenant au gouvernement chinois [voir]: wsj.wuxi.gov.cn, book.ybkj.gov.cn, www.jjkjj.gov.cn, www.sdsx.gov.cn, www.jnsmw.gov.cn, www.lxxf.gov.cn, design.szpt.edu.cn. A noter que pour www.jjkjj.gov.cn, nous avons retrouvé la trace d'un des flashs piégé (jjkjj.gov.cn/jssc/topad.swf). Un fichier truqué en ligne sur ce site du gouvernement Chinois depuis le 18 juin dernier comme le prouve notre capture écran du serveur en question.

Alors, piratage politique, contre manifestation ou simple opportunisme économique d'un groupe de pirate ? La question se pose. L'un des pseudonymes exploitant l'ip en question proposait, sur un forum, de visiter un site de commerce de pièces et objets pour des jeux comme World of Warcraft, wowgold-2008.cn.

Pendant ce temps, à Pékin, RSF piraté une fréquence FM pour rappeler la liberté d'expression. A 08h08 précises, une voix masculine a déclaré, en Français et en Anglais : "Peu importe les mesures que vous prendrez, vous ne pourrez jamais abolir le droit à la liberté d'expression". (merci à Eric)

Qui vol un film, vol un boeuf

La justice canadienne vient de condamner un pirate présumé de film. Il lui est reproché d'agir comme un voleur de bétail.

XBMC Atlantis version finale

Le media center XBMC Atlantis vient de sortir en version définitive. Un logiciel complet et gratuit d'une efficacité redoutable.

Wikipédia fermé en Allemagne durant trois jours

Un ancien correspondant des services secrets Est Allemand, aujourd'hui député, fait fermer le site Allemand Wikipédia.

La SPPF veut faire interdire le P2P

La Société Civile des Producteurs de Phonogrammes en France s´attaque à SourceForge, Shareaza, Vuze, Limewire et Morpheus.

Des services informatiques en flagrant délit de mascarade écologique

La première enquête annuelle sur l´informatique écologique menée par Extreme Networks et Data Integration révèle que seules 20 entreprises sur 100 évaluent la consommation électrique de leurs équipements informatiques.

IronKey permet la destruction de ses clés USB à distance

Le nouveau service d´administration IronKey bloque voire détruit les clés perdues, volées ou tout simplement entre de mauvaises mains.

Un important spammeur stoppé

L´hébergeur McColo fermé. Les publicités non sollicitées ont bizarrement baissé d´intensité depuis.

Le site Amoureux.com laissait en accès libre plus de 400.000 emails

Exclusif : L´amour rend aveugle. Des centaines de milliers d´adresses électroniques étaient en accès libre sur le site Amoureux.com.

AVG defonce un programme indispensable à Windows

Comment mettre en boule des utilisateurs d´un ordinateur. Faites de manière à ce que leur antivirus efface une composant indispensable à leur OS. Une mesaventure qui a touché les AVGistes.

F-Secure Mobile Security

F-Secure lance la nouvelle version de sa solution de sécurité innovante pour Smartphones en intégrant une fonction avancée d’antivol comprenant le verrouillage et la suppression à distance des données, en cas de perte ou de vol du mobile.

8ème certification pour Bitdefender

BitDefender Total Security reçoit la prestigieuse certification Checkmark Integrated Threat Management de West Coast Labs.

BitDefender lance un blog pour les utilisateurs Unix

Le blog propose des informations techniques, des articles et des conseils pour les utilisateurs Unix.

Le site Internet Paris Nord 2 visé par un microbe informatique ?

Exclusif : Le leader du pôle économique de Roissy, Paris Nord 2, interdit de connexion pour Firefox et Google. Un code malicieux semble être passé par là.

Et voilà je me suis fait HADOPIER

Exclusif : La réponse graduée vient de débuter sur Internet. La loi Hadopi semble attirer un grand nombre de père fouettard. Gare à vos connexions.

Des pirates exploitent l´élection du Président Obama

A peine élu est déjà le nouveau Président des États-Unis d´Amérique tente d´infiltrer les ordinateurs des internautes.

Threatscape: Analyse sur les menaces les plus répandues sur Internet

Un nouveau rapport mensuel présente les activités malveillantes par type, par volume, par région et par tendances.