uc8010.com, une attaque à ne pas prendre à la légère

Publié le 09-01-2008 dans le thème Virus - Antivirus

Pays : International - Auteur : Damien Bancal

Pub : Tous les antivirus en ligne pour désinfecter votre ordinateur

Note des lecteurs: 2.4/5

Pirate zataz ZATAZ.COM vous indiquait, en début de semaine, comment le site de Computer Associate avait été piraté, fin décembre. Une attaque qui cache en fait un cataclysme sur Internet que personne n'ose encore prendre au sérieux.

Vendredi, ZATAZ.COM était l'un des premiers sites à traiter de l'attaque que venait de subir le site Computer Associate (CA), l'une des références en matière de sécurité informatique. L'attaque de CA n'est qu'une goutte d'eau dans l'action lancée par des pirates informatiques. Nous pouvons l'annoncer clairement, vu le nombre de sites touchés par ce type d'attaque (Ambassades (1) - (2), Boutiques , ...), se sont des millions d'internautes qui ont été affectés, fragilisés et peut-être, dans le pire des cas, ont leur ordinateurs aux mains de cyber-pirates.

Les victimes ? Les premiers coupables !

La méthode de diffusion mise en place par les pirates serait, principalement, une attaque de masse sur les serveurs Microsoft SQL. Des serveurs qui n'ont pas été mis à jour et qui sont toujours touchées par la vulnérabilité notifiée par Microsoft MS06-014. Il faut noter que cette attaque exploite toutes autres vulnérabilités d'injection SQL existantes, et elles sont nombreuses ! Nous avons pu en recenser, grâce à Google, pas moins de 70.100 sites vulnérables.

L'attaque toujours en cours

Il est tout à fait possible de suite cette attaque en quasi temps réel. Toujours grâce à Google, il est possible de s'apercevoir que plusieurs sites web gouvernementaux américains ont été touchés, dont le site de Californie (1) - (2). Mais aussi le site officiel de l'Etat de Virginie "Governor's Office for Substance Abuse Prevention (GOSAP)" (http://www.gosap.virginia.gov). Le site web officiel de Cleveland (www.cleveland-oh.gov) ou encore le département des relations industrielles de Californie (http://www.dir.ca.gov). Des sites en cours de maintenance au moment de l'écriture de cet article. Même sanction pour quatre universités US. Et l'attaque continue. Le site "rebond" (uc8010.com), qui permet aux pirates d'injecter leurs codes malicieux est toujours en activité.

UC8010, votre meilleur ennemi

Le site uc8010.com, une fois que l'internaute est connecté dessus par le biais du piége mis en place sur les serveurs infiltrés, exécute un script XSS. Si l'internaute se connecte pour la première fois, le script sauvegarde un cookie sur l'ordinateur de la victime. Le cookie est nommé "Lin". Le surfeur est ensuite rediriger vers un autre script du site, un script nommé CIP.aspx. Il n'affiche à l'écran qu'un simple "Hello", mais il doit très certainement intercepter des paramètres de session. Si ce cookie est présent dans votre navigateur, nous vous conseillons de le supprimer.

Tant que ce cookie est présent dans votre ordinateur, et celui-ci à une durée de vie très, très longue, vous serez automatiquement redirigé vers la suite des évènements. Ce javascript continue son petit bonhomme de chemin en faisant appel à un site Chinois, s106.cnzz.com. Mission de cet espace, télécharger différents programmes (Trojan.Win32.Pakes.bx) et un javascript qui n'est rien d'autre que l'attaque 0Day dédié à Real Player. Cette nouvelle attaque a débuté le 31 décembre et ne semble pas vouloir se calmer. Tout semble être parti du site D-Link, à Taiwan et de pirates qui semblent Chinois, c'est du moins ce qu'indique les informations glanées. Le nom de domaine UC8010.COM a été enregistré en Chine, chez XIN NET TECHNOLOGY CORPORATION, le 28 décembre dernier. (Eric Romang)