Adobe Acrobat 9.4.6 et versions 9.x antérieures pour systèmes Windows et Macintosh.

Adobe Acrobat X (10.1.1) et versions 10.x antérieures pour systèmes Windows et Macintosh ;

Adobe Reader 9.4.6 et versions 9.x antérieures pour systèmes Windows, Macintosh et UNIX ;

Adobe Reader X (10.1.1) et versions 10.x antérieures pour systèmes Windows et Macintosh ;

## Description

Les logiciels Adobe Acrobat et Adobe Reader sont vulnérables à une
faille permettant à une personne malintentionnée d'exécuter du code
arbitraire à distance. Elle est actuellement exploitée sur l'Internet au
moyen de document PDF spécialement conçus.

## Contournement provisoire

Il est possible, dans les versions 10.n (ou X.n) de ces produits,
d'activer des modes de protection (Protected Mode pour Adobe Reader et
Protected View pour Adobe Acrobat ) pour rendre plus difficile
l'exploitation de cette vulnérabilité. Adobe annonce qu'un correctif
pour ces versions sera publié le 10 janvier 2012.

Le CERTA recommande l'utilisation d'un logiciel alternatif tant qu'un
correctif n'est pas disponible.

Mise à jour du 19 décembre 2011 : la version 9.4.7 de chacun des deux
produits corrige le problème. Mise à jour du 10 janvier 2012 : les
versions 9.5 et 10.1.2 de chacun des deux produits corrigent le
problème.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis du CERTA CERTA-2011-AVI-705 du 19 décembre 2011 :

Avis du CERTA CERTA-2012-AVI-014 du 10 janvier 2012 :

Bulletin de sécurité Adobe APSB12-01 du 10 janvier 2012 :

Bulletin de sécurité Adobe APSB11-30 du 16 décembre 2011 :

version initiale.

publication d'un correctif pour les versions 9.

publication d'un correctif pour les versions 10.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité permettant l'exécution de code arbitraire à distance
affecte les produits Adobe Acrobat et Adobe Reader. Celle-ci est
actuellement exploitée.

Un correctif est publié pour la version 9 des deux produits.

Vulnérabilité dans Adobe Reader et Acrobat

Alerte de sécurité Adobe APSA11-04 du 16 décembre 2011


Cisco IronPort Email Security Appliance, C-series et M-Series, versions antérieures à la version 7.6.0 ;

Cisco IronPort Security Management Appliance, M-Series, versions antérieures à la version 7.8.0.

## Description

Certains boîtiers Cisco IronPort utilisent une version vulnérable du
démon telnetd. Ce démon est actif par défaut sur l'interface
d'administration. Cette vulnérabilité permet à un attaquant d'exécuter
du code arbitraire à distance.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Cisco 20120126-ironport du 26 janvier    2012 :

version initiale ;

fermeture de l'alerte, suite à la correction par l'éditeur.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité sur certains boîtiers Cisco IronPort permet à un
attaquant d'exécuter du code arbitraire à distance.

Vulnérabilité dans Cisco IronPort


Windows Server 2003 édition x64 Service Pack 2 ;

Windows 7 pour systèmes 32 et 64 bits Service Pack 1 ;

Windows 7 pour systèmes 32 et 64 bits ;

Windows XP Professional édition x64 Service Pack 2 ;

Windows Server 2003 SP2 pour systèmes Itanium ;

Windows Server 2008 R2 Service Pack 1 ;

Windows Vista édition x64 Service Pack 2 ;

Windows XP SP3 ;

Windows Server 2008 R2 pour systèmes Itanium Service Pack 1.

Windows Server 2008 R2 pour systèmes Itanium ;

Windows Server 2008 R2 ;

Windows Server 2003 Service Pack 2 ;

Windows Server 2008 pour systèmes 32 bits Service Pack 2 ;

Windows Server 2008 pour systèmes x64 Service Pack 2 ;

Windows Server 2008 pour systèmes Itanium Service Pack 2 ;

Windows Vista Service Pack 2 ;

## Description

Le CERTA n'a pas connaissance à ce jour d'exploitation massive de cette
vulnérabilité. Néanmoins, le CERTA alerte sur le caractère exceptionnel
de sa criticité :

-   le service RDP est très souvent activé comme moyen d'accès et
    d'administration de postes et de serveurs Windows à distance ;
-   la vulnérabilité permet à un attaquant distant et anonyme d'exécuter
    du code arbitraire à distance.
-   force est de constater que les services RDP sont largement exposés
    (et donc vulnérables) sur un réseau interne d'entreprise.

Les bonnes pratiques interdisent l'ouverture de ce service sur
l'Internet, mais des listes publiques de serveurs RDP montrent que ces
pratiques ne sont pas toujours respectées.

Il est donc primordial d'appliquer sans délai le correctif fourni par
Microsoft, et de s'assurer que les services RDP ne sont accessibles que
depuis des postes bien identifiés.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bloc-notes Microsoft Security Research & Defense    CVE-2012-0002 :

version initiale.

explicitation du correctif éditeur comme solution.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité affectant l'implémentation du protocole RDP sur la
plupart des versions de Microsoft Windows a été corrigée. Elle permet à
un attaquant distant d'exécuter du code arbitraire à distance.

Vulnérabilité dans Windows RDP

Bulletin de sécurité Microsoft MS12-020 du 13 mars 2012


Microsoft XML Core Services versions 3.0, 4.0 et 6.0 pour toutes les versions maintenues de Microsoft Windows ;

Microsoft XML Core Services version 5.0 pour toutes les éditions maintenues de Microsoft Office 2003 et Microsoft Office 2007.

## Solution

Appliquer le correctif de Microsoft MS12-043 (cf. section
Documentation). La mise à jour corrige les versions 3.0, 4.0, 6.0 et,
depuis le 14 août 2012, la version 5.0 de XML Core.

Bulletin de sécurité Microsoft MS12-043 du 10 juillet    2012 :

Article de bloc-notes (blog) de Microsoft du 10 juillet    2012 :

version initiale.

ajout du correctif éditeur, suppression du contournement temporaire.

mise à jour de l'alerte concernant XML Core 5.0

ajout de la solution

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Microsoft XML Core Services. Son
exploitation permet l'exécution de code arbitraire à distance si un
utilisateur visite une page Web spécialement conçue.

Selon Microsoft, cette vulnérabilité est activement exploitée, il est
donc important d'appliquer le correctif de sécurité.

Vulnérabilité dans Microsoft XML Core Services

Avis de sécurité Microsoft 2719615 du 12 juin 2012


Microsoft Exchange Server 2010 Service Pack 1 ;

FAST Search Server 2010 pour SharePoint.

Microsoft Exchange Server 2010 Service Pack 2 ;

Microsoft SharePoint Server 2010 Service Pack 1 ;

Microsoft Exchange Server 2007 Service Pack 3 ;

## Contournement provisoire

Se référer à l'avis de sécurité de sécurité Microsoft 2737111 (cf.
section Documentation).

## Solution

Appliquer le correctif de Microsoft MS12-058 (cf. section
Documentation).

Bulletin de sécurité Oracle juillet 2012 :

Bulletin de sécurité Microsoft MS12-058 :

Avis du CERTA CERTA-2012-AVI-441 :

version initiale.

ajout de la solution.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans les bibliothèques « Oracle
Outside In » utilisées par le service de transcodage de documents. Dans
le cas le plus grave, un attaquant peut alors prendre le contrôle d'un
serveur au moyen d'un fichier ou d'un message spécialement conçu.

Vulnérabilité dans Microsoft Exchange et Fast Search Server 2010

Avis de sécurité Microsoft 2737111 du 24 juillet 2012


## Solution

Oracle fournit une mise à jour des versions 1.6 et 1.7 de Java. Cette
mise à jour corrige cette vulnérabilité dans la version 1.7.

Se référer à l'alerte de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Alerte de sécurité Oracle pour CVE-2012-4681 du 30 aout    2012 :

version initiale ;

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Java. Elle permet à un attaquant de contourner le
schéma de permission mis en place par le gestionnaire de sécurité
intégré à Java. Son exploitation permet
l'exécution de code arbitraire à distance, par exemple au moyen d'un
applet Java spécialement conçu et intégré
dans une page Web.

Cette vulnérabilité est activement exploitée et largement diffusée.

Vulnérabilité dans Oracle Java


Microsoft Internet Explorer 8

Microsoft Internet Explorer 7

Microsoft Internet Explorer 9

Microsoft Internet Explorer 6

## Solution

Appliquer le correctif de Microsoft MS12-063 (cf. section
Documentation).

Correctif provisoire Microsoft 2757760 du 19 septembre 2012    :

Bulletin de sécurité Microsoft 2757760 :

Avis de sécurité CERTA-2012-AVI-516 du 21 septembre 2012 :

Bulletin de sécurité Microsoft MS12-063 du 21 septembre    2012 :

Outil de réduction des risques liés aux exploitations EMET    :

version initiale ;

ajout d'un contournement provisoire, ajout et modification des documentations ;

ajout d'un contournement provisoire, ajout et modification des documentations.

fermeture de l'alerte, suite à la diffusion du correctif par l'éditeur.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Microsoft
Internet Explorer. Elle permet une exécution de code arbitraire à
distance au moyen d'une page Web spécialement conçue. Cette
vulnérabilité est activement exploitée et largement diffusée.

Vulnérabilité dans Internet Explorer

Bulletin de sécurité Microsoft 2757760 du 17 septembre 2012


Toutes les versions MySQL supportées par Oracle.

## Solution

Installer la dernière version stable de Oracle MySQL ( \>= version
5.5.29 ).

MySQL (Linux) Stack Based buffer overrun PoC Zeroday :

version initiale.

fermeture de l'alerte, suite à la correction silencieuse par l'éditeur.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Oracle
MySQL. Elle permet une exécution de code arbitraire à distance au
moyen d'une requête SQL spécialement conçue. Il est possible de
provoquer un débordement de mémoire tampon dans la pile et de contrôler
le flux d'exécution pour exécuter du code malveillant. L'attaque
nécessite un compte sur le serveur MySQL.
Les hébergeurs mutualisés de base de données sont donc particulièrement
impactés.

Vulnérabilité dans MySQL

Bulletin de sécurité CVE-2012-5611 du 03 decembre 2012


Samsung Galaxy Note ;

Samsung Galaxy Note 2 ;

Samsung Galaxy S3 ;

Samsung Galaxy S2 ;

Samsung Galaxy Note 10.1.

## Solution

Le CERTA recommande l'installation de la version 4.1.2 (compilation
JZO54K) du système Android corrigeant cette vulnérabilité.

version initiale.

Élévation de privilèges

Summary:
Une vulnérabilité a été découverte sur des terminaux équipés du
composant «Exynos 4» (Exynos 4210 ou Exynos 4412) de Samsung. Le pilote de ce composant
permet à une application d'élever ses privilèges sur le système et
d'exécuter du code en tant qu'administrateur (root).

La liste des systèmes affectés pourrait potentiellement être étendue à
des terminaux d'autres marques équipés du composant «Exynos 4» et du
pilote Samsung correspondant.

Vulnérabilité dans certains terminaux Samsung


Pilote NVidia version 310.70 pour Microsoft Windows 7 64bit. D'autres systèmes et  versions sont probablement vulnérables.

## Solution

NVidia a fourni une mise à jour vers la version 310.90 qui corrige la
vulnérabilité.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Téléchargement des pilotes GeForce 310.90 :

Bulletin de sécurité NVidia du 05 janvier 2013 :

version initiale ;

ajout du correctif éditeur, suppression du contournement provisoire.

Élévation de privilèges

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans le service NVidia Driver Helper Service installé par les
pilotes de carte graphique NVidia. Elle
concerne un débordement de mémoire tampon pouvant mener un utilisateur
malintentionné à exécuter du code arbitraire à distance.
Cette vulnérabilité peut être exploitée à distance au moyen du canal
nommé \\pipe\\nvsr. Un exploit fonctionnel
est largement diffusé sur Internet. Pour pouvoir être exploitée, cette
vulnérabilité nécessite de posséder un compte disposant d'un accès
légitime à la machine ; ce qui est généralement le cas des comptes
utilisateurs d'un domaine.
Cette vulnérabilité peut être également utilisée pour réaliser une
élévation de privilèges en local.

Vulnérabilité dans les pilotes NVidia


Microsoft Internet Explorer 8.

Microsoft Internet Explorer 7 ;

Microsoft Internet Explorer 6 ;

## Solution

Appliquer le correctif de Microsoft MS13-008 (cf. section
Documentation).

Bulletin d'actualité CERTA-2012-ACT-038 du 21 septembre    2012 « Navigateurs Internet : prévention des attaques 0day » :

Bulletin de sécurité Microsoft MS13-008 du 14 janvier 2013    :

Correctif provisoire Microsoft 2794220 du 31 décembre 2012    :

version initiale ;

ajout du « Fix it » publié par Microsoft dans les contournements provisoires, ajout du lien dans les documentations ;

ajout d'une précision sur le « Fix it » dans les contournements provisoires ;

Exécution de code arbitraire à distance

Vulnérabilité dans Internet Explorer

Bulletin de sécurité Microsoft 2794220 du 29 décembre 2012


Oracle Java version 7 (première vulnérabilité)

Versions antérieures à Oracle Java version 7 mise à jour 11 (deuxième vulnérabilité)

## Solution

Installer la dernière version stable de Oracle Java :

-   Oracle Java version 1.7.11

Bulletin de sécurité Oracle Java version 1.7 du 13 janvier    2013 :

version initiale.

ajout du correctif éditeur

mise à jour systèmes affectés

Exécution de code arbitraire à distance

Summary:
Deux vulnérabilités ont été découvertes dans Oracle
Java. La première vulnérabilité concerne la méthode "findClass"
de la classe MBeanInstantiator. Cette vulnérabilité est présente dans
Oracle Java version 7.
La deuxième vulnérabilité se trouve dans la nouvelle API Reflection de Oracle
Java. Cette nouvelle API est disponible à partir de la branche
1.7 du produit. Cette vulnérabilité est donc présente dans les versions
antérieures à Oracle Java version 7 mise à
jour 11.
L'association des deux vulnérabilités permet à un attaquant d'exécuter
du code arbitraire à distance au moyen d'une page Web spécialement
conçue sur les postes possédant une version de Oracle Java antérieure à 1.7.11.
Ces vulnérabilités sont activement exploitées et largement diffusées.

Vulnérabilités dans Oracle Java


Adobe Reader X ( versions 10.1.5 et antérieures ) pour Windows et Macintosh

Adobe Reader versions 9.5.3 et antérieures pour Windows et Macintosh

Adobe Acrobat X ( versions 10.1.5 et antérieures ) pour Windows et Macintosh

Adobe Acrobat versions 9.5.3 et antérieures pour Windows et Macintosh

Adobe Reader XI ( versions 11.0.01 et antérieures ) pour Windows et Macintosh

Adobe Acrobat XI ( versions 11.0.01 et antérieures ) pour Windows et Macintosh

## Contournement provisoire

Dans le cas où Adobe Reader ou Acrobat ne sont pas nécessaires, il est
recommandé de désactiver ces logiciels le temps qu'un correctif soit
disponible. L'éditeur prévoie la diffusion d'un correctif de sécurité.

Adobe recommande d'activer le mode de protection Protected View pour
rendre plus difficile l'exploitation de ces vulnérabilités.

En plus de la solution de l'éditeur, le CERTA préconise de désactiver
JavaScript dans le lecteur PDF et d'utiliser la version « XI » d'Adobe
Reader ou Acrobat.

Nous recommandons également de ne pas ouvrir de documents PDF qui ne
sont pas de confiance :

-   issu d'un site Web inconnu ;
-   en pièce jointe d'un courriel dont l'expéditeur n'est pas connu.

## Solution

Installer la dernière version stable de Adobe Reader et Acrobat :

-   Adobe Reader XI version 11.0.02 pour la branche 11.x
-   Adobe Reader X version 10.1.6 pour la branche 10.x
-   Adobe Reader version 9.5.4 pour la branche 9.x
-   Adobe Acrobat XI version 11.0.02 pour la branche 11.x
-   Adobe Acrobat X version 10.1.6 pour la branche 10.x
-   Adobe Acrobat version 9.5.4 pour la branche 9.x

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Adobe apsb13-07 du 20 février 2013 :

Bulletin d'alerte Adobe apsa13-02 du 13 février 2013 :

version initiale.

ajout recommandations du CERTA.

ajout du correctif et fermeture alerte.

Exécution de code arbitraire à distance

Summary:
Des vulnérabilités affectent les produits Adobe
Acrobat et Adobe Reader. Elles
permettent à un attaquant de provoquer une exécution de code arbitraire
à distance au moyen d'un fichier PDF
spécialement conçu. Elles sont activement exploitées.

Vulnérabilités dans Adobe Reader et Acrobat

Alerte de sécurité Adobe APSA13-02 du 13 février 2013


Internet Explorer 8.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin d'actualité CERTA-2012-ACT-038

Avis de sécurité CERTA-2013-AVI-300

Bulletin de sécurité Microsoft MS13-038 du 14 mai 2013

Correctif provisoire Microsoft 2847140 du 08 mai 2013 :

Outil de réduction des risques liés aux exploitations EMET    :

version initiale ;

ajout du correctif publié par Microsoft dans les mesures de contournement provisoire, ajout du lien dans les documentations ;

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Microsoft
Internet Explorer 8. Elle permet une exécution de code arbitraire
à distance au moyen d'une page Web spécialement conçue.

Les versions 6, 7, 9 et 10 de Microsoft Internet
Explorer ne sont pas affectées par cette vulnérabilité.

Vulnérabilité dans Microsoft Internet Explorer 8

Bulletin de sécurité Microsoft Security Advisory (2847140)


ColdFusion 10

ColdFusion 9.0.2

ColdFusion 9.0

ColdFusion 9.0.1

Avis de sécurité CERTA-2013-AVI-312

Guide de durcissement Adobe ColdFusion 10:

Guide de durcissement Adobe ColdFusion 9:

Bulletin de sécurité Adobe APSB13-13 du 14 mai 2013

version initiale ;

Atteinte à la confidentialité des données

Summary:
Une vulnérabilité a été découverte dans Adobe
ColdFusion. Elle permet à un attaquant de provoquer une atteinte
à la confidentialité des données.

Cette vulnérabilité est activement exploitée.

Vulnérabilité dans Adobe ColdFusion

Bulletin de sécurité Adobe APSA13-03


Noyau Linux de la version 2.6.37 à la version 3.8.8 ;

Debian version stable (Wheezy) ;

CentOS version stable (6.4) avec un noyau 2.6.32 qui    intègre la fonctionnalité ;

Toutes les autres distributions sont probablement    vulnérables si elles utilisent un noyau concerné.

Les noyaux Linux versions supérieures à 3.8.8 et inférieures à  2.6.37 ne semblent pas être affectés, ainsi que les dernières  versions stables supportées par le noyau Linux :

Noyau Linux version 3.4.45

Noyau Linux version 3.2.45

Noyau Linux version 3.0.78

## Contournement provisoire

En attendant que votre distribution intègre le correctif, il est
possible de contourner le code d'exploitation en utilisant un noyau
durci tel que grsecurity ou les fonctionnalités processeurs :

-   Supervisor Mode Access Prevention ;
-   Supervisor Mode Execution Protection.

Il est aussi possible de :

-   recompiler son noyau avec le correctif du noyau Linux ;
-   recompiler son noyau en désactivant la fonctionnalité
    CONFIG_PERF_EVENTS ;
-   d'utiliser un noyau vanilla stable corrigé.

## Solution

Installer les derniers correctifs de votre distribution Linux :

-   Debian : DSA-2669-1
-   Ubuntu LTS : USN-1825-1, USN-1828-1
-   Red Hat : RHSA-2013-0830, RHSA-2013-0832, RHSA-2013-0829,
    RHSA-2013-0840, RHSA-2013-0841
-   SUSE Linux Enterprise : SUSE-SU-2013:0819-1

Mandriva n'a pas encore corrigé la vulnérabilité.

Bulletin de sécurité Red Hat RHSA-2013-0832 du 17 mai 2013    :

Bulletin de sécurité SUSE SUSE-SU-2013:0819-1 du 22 mai    2013 :

Bulletin de sécurité Red Hat RHSA-2013-0840 du 20 mai 2013    :

Bulletin de sécurité Ubuntu USN-1825-1 du 15 mai 2013 :

Bulletin de sécurité Red Hat RHSA-2013-0830 du 16 mai 2013    :

Bulletin de sécurité Ubuntu USN-1828-1 du 15 mai 2013 :

Bulletin de sécurité Red Hat RHSA-2013-0829 du 20 mai 2013    :

Bulletin de sécurité Debian DSA-2669-1 du 15 mai 2013 :

Bulletin de sécurité Red Hat RHSA-2013-0841 du 20 mai 2013    :

version initiale.

ajout correctifs éditeurs.

ajout correctif SUSE.

Élévation de privilèges

Summary:
Une vulnérabilité a été corrigée dans le noyau
Linux. Elle permet à un attaquant de provoquer une élévation de
privilèges. Un code d'exploitation est disponible publiquement et
activement utilisé.

Vulnérabilité dans le noyau Linux

Correctif de sécurité du noyau Linux du 13 avril 2013


Internet Explorer 9

Internet Explorer 8

Internet Explorer 6

Internet Explorer 10

Internet Explorer 7

Internet Explorer 11

Bulletin d'actualité CERTA-2012-ACT-038

Bulletin d'explication du fix de sécurité Microsoft du 17    septembre 2013

Avis de sécurité CERTA-2013-AVI-559

Bulletin de sécurité Microsoft Security Advisory (2887505)    du 17 septembre 2013

Outil de réduction des risques liés aux exploitations EMET    :

Bulletin de sécurité Microsoft MS13-080 du 08 octobre 2013

version initiale ;

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été corrigée dans Microsoft
Internet Explorer. Elle permet à un attaquant de provoquer une
exécution de code arbitraire à distance au moyen d'une page Web
spécialement conçue.

Vulnérabilité dans Microsoft Internet Explorer


Microsoft Office 2003

Microsoft Windows Server 2008

Microsoft Office 2010

Microsoft Office 2007

Microsoft Lync 2010 Attendee

Microsoft Lync 2010

Microsoft Lync 2013

Microsoft Office Compatibility Pack

Microsoft Windows Vista

Microsoft Lync Basic 2013

Bulletin de sécurité Microsoft MS13-096 du 10 décembre 2013

EMET 4.0

Article blog Microsoft Security Research and Defense    CVE-2013-3906

version initiale.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans un composant graphique de Microsoft. Elle permet à un attaquant de provoquer
une exécution de code arbitraire à distance au moyen d'un fichier
embarquant une image au format TIFF
spécialement conçue. Ce fichier peut être intégré dans un document
Microsoft Office, une page Web ou un message electronique.

Vulnérabilité dans un composant graphique de Microsoft

Bulletin de sécurité Microsoft 2896666 du 05 novembre 2013


Windows Server 2003 x64 Edition Service Pack 2

Windows Server 2003 Service Pack 2

Windows XP Service Pack 3

Windows Server 2003 avec SP2 pour les systèmes basés sur Itanium

Windows XP Professional x64 Edition Service Pack 2

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

Bulletin de sécurité Microsoft MS14-002 du 14 janvier 2014

version initiale.

fermeture de l'alerte, suite à la diffusion du correctif par l'éditeur.

Élévation de privilèges

Summary:
Une vulnérabilité a été découverte dans le noyau de Microsoft Windows. Elle permet à un attaquant de
provoquer une élévation de privilèges. La vulnérabilité concerne le
driver NDPROXY qui permet l'interface entre les drivers NDISWAN et CoNDIS WAN
avec les services TAPI.
Seuls Windows XP et Windows Server 2003 sont impactés par cette
vulnérabilité. Microsoft a planifié l'arrêt
du support de Microsoft Windows XP en avril
2014, le CERTA encourage donc l'utilisation des dernières versions
supportées des produits Microsoft.

Vulnérabilité critique dans le noyau de Microsoft Windows

Bulletin de sécurité Microsoft 2914486 du 27 novembre 2013


Internet Explorer version 9

Internet Explorer version 10

Blog de FireEye - Operation Snowman: DeputyDog Actor    Compromises US Veterans of Foreign Wars Website

Bulletin de sécurité Microsoft MS14-012 du 11 mars 2014

ajout du correctif provisoire.

version initiale ;

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée a été découverte dans Microsoft Internet Explorer. Elle permet à un
attaquant de provoquer une exécution de code arbitraire à distance.

Bulletin de sécurité Microsoft 2934088 du 19 février 2014


Microsoft Word 2003 Service Pack 3

Word Automation Services on Microsoft SharePoint Server 2013

Microsoft Office Compatibility Pack Service Pack 3

Microsoft Word 2007 Service Pack 3

Microsoft Office Web Apps 2010 Service Pack 2 et antérieurs

Microsoft Word Viewer

Microsoft Word 2013

Microsoft Office Web Apps Server 2013

Microsoft Office pour Mac 2011

Word Automation Services sur Microsoft SharePoint Server 2010 Service Pack 2 et antérieurs

Microsoft Word 2010 Service Pack 2 et antérieurs

(1) Analyse de la vulnérabilité

(3) Bulletin de sécurité Microsoft MS14-017 du 8 avril 2014

version initiale.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été corrigée dans Microsoft
Word. Elle avait été largement exploitée avant la mise à
disposition du correctif. L'ouverture d'un fichier RTF spécialement
conçu dans une version vulnérable de Word engendre une corruption
mémoire qui permet à un attaquant de provoquer une exécution de code
arbitraire.

Vulnérabilité dans Microsoft Word

Bulletin de sécurité Microsoft 2953095 du 24 mars 2014


OpenSSL 1.0.1, version 1.0.1f et antérieures

OpenSSL 1.0.2-beta1

Avis du CERT-FR

Bulletin d'actualité CERTFR-2014-ACT-015

Description de la vulnérabilité

version initiale ;

mise à jour de l'alerte ;

fermeture de l'alerte.

Contournement de la politique de sécurité

Summary:
Une vulnérabilité a été découverte dans OpenSSL. Elle permet à un attaquant de provoquer
un contournement de la politique de sécurité et une atteinte à la
confidentialité des données.

Vulnérabilité dans OpenSSL

Bulletin de sécurité OpenSSL du 07 avril 2014


Apache Struts versions 2.3.16.1 et antérieures

## Description

Cette vulnérabilité est issue d'une méthode de contournement de la
solution proposée par Apache Struts afin de remédier à la vulnérabilité
CVE-2014-0094 décrite dans l'annonce de sécurité S2-020 du 07 mars 2014
(cf. section Documentation).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Apache S2-020 du 07 mars 2014

Avis du CERT-FR

Bulletin de sécurité Apache S2-021 du 24 avril 2014

version initiale ;

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été corrigée dans Apache
Struts. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.

Vulnérabilité dans Apache Struts

Bulletin de sécurité S2-021 Apache Struts

Bulletin de sécurité Apache Struts


Internet Explorer 9

Internet Explorer 8

Internet Explorer 6

Internet Explorer 10

Internet Explorer 7

Internet Explorer 11

Bulletin de sécurité Microsoft MS14-021 du 02 mai 2014

version initiale ;

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée a été découverte dans Microsoft Internet Explorer. Elle permet à un
attaquant de provoquer une exécution de code arbitraire à distance au
moyen d'une page Web spécialement conçue.

Vulnérabilité dans Microsoft Internet Explorer

Informations complémentaires de Microsoft

Bulletin de sécurité Microsoft 2963983


GNU Bash 4.1 versions antérieures à 4.1.12

GNU Bash 4.0 versions antérieures à 4.0.39

GNU Bash 3.0 versions antérieures à 3.0.17

GNU Bash 3.2 versions antérieures à 3.2.52

Bash versions antérieures au 25 septembre 2014

GNU Bash 4.2 versions antérieures à 4.2.48

GNU Bash 3.1 versions antérieures à 3.1.18

GNU Bash 4.3 versions antérieures à 4.3.25

Bash Red Hat Enterprise Linux 6 versions antérieures à bash-4.1.2-15.el6_5.2, bash-4.1.2-15.el6_5.1.sjis.1, bash-4.1.2-9.el6_2.1, bash-4.1.2-15.el6_4.1

Bash Red Hat Enterprise Linux 5 versions antérieures à bash-3.2-33.el5_11.4, bash-3.2-33.el5_11.1.sjis.1, bash-3.2-24.el5_6.1, bash-3.2-32.el5_9.2

Bash Red Hat Enterprise Linux 4 versions antérieures à bash-3.0-27.el4.2

Bash Red Hat Enterprise Linux 7 versions antérieures à bash-4.2.45-5.el7_0.4

Bash Ubuntu 14.04 LTS versions antérieures à 4.3-7ubuntu1.3

Bash Ubuntu 10.04 LTS versions antérieures à 4.1-2ubuntu3.2

Bash Ubuntu 12.04 LTS versions antérieures à 4.2-2ubuntu2.3

Bash Debian Squeeze versions antérieures à 4.1-3+deb6u2

Bash Debian Wheezy versions antérieures à 4.2+dfsg-0.1+deb7u3

## Solution

La vulnérabilité CVE-2014-6271 consiste en une injection de commande
suivant la définition d'une fonction dans une variable d'environnement.
Dans certains cas, un processus peut hériter de variables
d'environnement provenant d'une machine distante, ce qui rend cette
vulnérabilité exploitable à distance. C'est notamment le cas de serveurs
Web employant des scripts bash comme CGI-bin, de certains serveurs SSH
et des clients DHCP.

Il est possible de vérifier si la version de bash est vulnérable avec la
commande:

`$ env VAR='() { 0; }; echo danger' bash -c "echo  bonjour"`

A l'heure actuelle, certains correctifs sont incomplets en raison d'une
vulnérabilité résiduelle (CVE-2014-7169). Néanmoins le CERT-FR
recommande d'appliquer les correctifs pour réduire la facilité
d'exploitation. Les derniers correctifs des distributions Debian, Ubuntu
et RedHat corrigent aussi CVE-2014-7169.

version initiale.

mise à jour.

mise à jour.

mise à jour.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans GNU
bash. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.

Vulnérabilité dans GNU bash

Bulletin de sécurité RedHat du 24 septembre 2014

Bulletin de sécurité RedHat du 26 septembre 2014

Bulletin de sécurité Ubuntu USN-2362-1 du 24 septembre 2014

Bulletin de sécurité Debian DSA-3032-1 du 24 septembre 2014

Bulletin de sécurité Debian DSA-3035-1 du 25 septembre 2014

Bulletin de sécurité Ubuntu USN-2364-1 du 27 septembre 2014

Bulletin de sécurité Ubuntu USN-2363-1 du 25 septembre 2014

Bulletin de sécurité Ubuntu USN-2363-2 du 25 septembre 2014


Navigateurs Web employant SSLv3, dont Internet Explorer, Firefox et Chrome.

Toutes les implémentations du protocole SSLv3 ;

## Solution

L'exploitation de la vulnérabilité est basée sur la négociation
protocolaire entre le client et le serveur. Le client force le serveur à
utiliser SSLv3 qui est une ancienne version du protocole SSL/TLS.
L'attaquant sera en mesure de déchiffrer une partie du trafic réseau
vers des sites sécurisés et de récupérer des cookies de session HTTPS.

Le CERTFR recommande la désactivation du support du protocole SSLv3 au
sein de tout logiciel l'implémentant.

Il est possible de configurer les navigateurs afin de les empêcher
d'utiliser cette version du protocole :

-   pour Internet Explorer, aller dans les "options internet" puis dans
    l'onglet "Avancé", dans la liste déroulante, décocher la case "SSL
    3.0" ;
-   pour Firefox (fonctionne aussi pour Thunderbird), dans la barre
    d'adresse, taper "about:config" puis rechercher
    "security.tls.version.min" et changer sa valeur à 1 ;

Pour les applications basées sur l'API Cryptographique de Windows
(CAPI), il est possible de modifier la clé de registre suivante :

     [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\
    Protocols\SSL 3.0\Client] "Enabled"=dword:00000000

version initiale.

Atteinte à la confidentialité des données

Summary:
Une vulnérabilité a été découverte dans la version 3 du protocole SSL permettant de sécuriser les connexions entre
clients et serveurs. Elle permet à un attaquant de provoquer une
atteinte à la confidentialité des données, par exemple de récupérer un
cookie de session HTTPS.

Vulnérabilité dans SSLv3

Bulletin de sécurité du 14 octobre 2014


Drupal core, versions 7.x antérieures à 7.32

version initiale ;

fermeture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Drupal. Elle permet à un attaquant de provoquer
une exécution de code arbitraire à distance sans authentification
préalable.

Vulnérabilité dans Drupal

Bulletin de sécurité Drupal du 15 octobre 2014


Windows 8.1 32 bits

Windows Server 2008 32 bits SP2

Windows Vista SP 2

Windows 8 64 bits

Windows 7 64 bits SP1

Windows Server 2008 64 bits SP2

Windows 7 32 bits SP1

Windows Vista 64 bits SP2

Windows 8.1 64 bits

Windows Server 2008 R2 Itanium SP1

Windows Server 2008 R2 64 bits SP1

Windows 8 32 bits

Windows Server 2008 Itanium SP2

Windows RT

Windows Server 2012

Windows Server 2012 R2

Windows RT 8.1

Contre-mesures provisoires (Fix    It) fournies par Microsoft

version initiale ;

fermeture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Microsoft
OLE. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance lors de l'ouverture d'un document Office
contenant un objet OLE spécialement forgé.

L'éditeur indique que cette vulnérabilité semble être utilisée dans le
cadre d'attaques ciblées.

Vulnérabilité dans Microsoft OLE

Bulletin de sécurité Microsoft MS14-064 du 11 novembre 2014

Bulletin de sécurité Microsoft 3010060 du 21 octobre 2014


Windows Server 2012

Windows Server 2012 R2

Windows Server 2008 R2

Windows RT and Windows RT 8.1

Windows Server 2008

Windows 7

Windows Server 2003

Windows Vista

Windows 8

Windows 8.1

version initiale ;

fermeture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans le composant qui permet
l'établissement des sessions SSL/TLS sur la plateforme Microsoft Windows. Une attaque réussie permet à un
attaquant de provoquer une exécution de code arbitraire à distance.

Vulnérabilité de l'implémentation des protocoles SSL/TLS dans Microsoft Windows

Bulletin de sécurité Microsoft MS14-066 du 11 novembre 2014


Windows Server 2012

Windows Server 2008 R2

Windows 8 et Windows 8.1

Windows Server 2008

Windows 7

Windows Server 2003

Windows Vista

version initiale ;

fermeture de l'alerte.

Élévation de privilèges

Summary:
Une vulnérabilité a été découverte dans l'implémentation du KDC Kerberos
de Microsoft Windows. Elle permet à un
attaquant d'altérer certaines propriétés d'un ticket de service sans que
ces modifications soient détectées. L'attaquant peut ainsi éléver ses
privilèges au niveau administrateur de domaine. Microsoft a indiqué
avoir connaissance d'attaques limitées et ciblées exploitant cette
vulnérabilité.

Vulnérabilité de l'implémentation Kerberos dans Microsoft Windows

Bulletin de sécurité Microsoft MS14-068 du 18 novembre 2014


Adobe Flash Player versions inférieures ou égales à  16.0.0.287

version initiale ;

fermeture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Adobe Flash
Player. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe APSB15-02 du 22 janvier 2015


Adobe Flash Player 13 jusqu'à 13.0.0.264

Adobe Flash Player 16.0.0.296 et versions antérieures pour Windows et Macintosh

EMET 5.1

CERTFR-2015-AVI-055 Vulnérabilité dans Adobe Flash Player

version initiale ;

fermeture de l'alerte suite à la publication d'un correctif par l'éditeur.

Exécution de code arbitraire à distance

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe APSA15-02 du 02 février 2015


Tous les systèmes d'exploitations Windows peuvent être  victimes de ce rançongiciel.

## Solution

## Mesures préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes de type SCR, CAB ou EXE. Il convient en effet de ne pas cliquer
sans vérification préalable sur les liens de messages et les pièces
jointes. Les utilisateurs ne doivent pas ouvrir de messages
électroniques de provenance inconnue, d'apparence inhabituelle ou
frauduleuse.

Le CERT-FR recommande également de filtrer les fichiers portant
l'extension SCR, EXE et CAB en pièce jointe des messages électroniques.
Si l'échange de tels fichiers est indispensable dans certains contextes
fonctionnels, il convient de bloquer ces fichiers globalement et de ne
les autoriser que pour les boites de messageries qui le nécessitent
absolument. Par ailleurs, si la passerelle de messagerie le permet, il
est recommandé de réaliser ce filtrage également dans les fichiers des
archives ZIP.

Plus généralement, il convient de mettre à jour les postes utilisateur,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle

Le CERT-FR recommande de configurer sur les postes de travail les
restrictions logicielles pour empêcher l'exécution de code à partir
d'une liste noire de répertoires :

-   Si la solution utilisée est AppLocker, les règles de blocage
    suivantes doivent être définies :
    -   `%OSDRIVE%\Users\*\AppData\`
    -   `%OSDRIVE%\Windows\Temp\`
-   Si les restrictions logicielles (SRP) sont utilisées, les règles de
    blocage suivantes doivent être définies :
    -   `%UserProfile%\AppData`
    -   `%SystemRoot%\Temp`

(cf les recommandations de l'ANSSI à ce sujet dans la partie
"Documentation")

Il est important de vérifier que le service "Application Identity"
(AppIDSvc) est paramétré en démarrage automatique sur l'ensemble des
postes pour que les restrictions logicielles soient opérantes (ce mode
de démarrage peut être paramétré à travers une politique de groupe sur
le domaine Windows).

Si des dysfonctionnements sont rencontrés suite au déploiement de ces
règles de blocage, il est nécessaire d'identifier les applications
légitimes situées dans ces répertoires, et de définir des règles en
liste blanche afin d'autoriser leur exécution.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateur, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

## Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés.

Le CERT-FR recommande aussi d'alerter le responsable sécurité ou le
service informatique au plus tôt.

Le temps de revenir à une situation normale, le CERT-FR recommande
également de positionner les permissions des dossiers partagés en
LECTURE SEULE afin d'empêcher la destruction des fichiers sur les
partages. Les personnels pourront continuer de travailler localement et
mettre à jour ultérieurement le partage.

Aussi, le CERT-FR recommande de prendre le temps de sauvegarder les
fichiers importants sur des supports de données isolés. Ces fichiers
peuvent être altérés ou encore être infectés. Il convient donc de les
traiter comme tels. De plus, les sauvegardes antérieures doivent être
préservées d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. Une liste d'URL connues du CERT-FR est fournie en annexe,
toutefois il est bien précisé qu'elle n'est pas exhaustive.

En complément, le CERT-FR recommande de rechercher et supprimer les
messages malveillants similaires dans les boîtes de messagerie des
utilisateurs

Enfin, le CERT-FR recommande la réinstallation complète du poste et la
restauration d'une sauvegarde réputée saine des données de
l'utilisateur.

De plus, dans le cadre de l'utilisation de profils itinérants, il
convient de supprimer la copie serveur du profil afin de prévenir la
propagation des codes malveillants par ce biais.

Néanmoins, le CERT-FR souhaite faire remarquer que des fichiers chiffrés
peuvent être conservés par la victime au cas où dans le futur, un moyen
de recouvrement des données originales serait découvert.

## Annexes : marqueurs de CTB-Locker

Cette liste de marqueurs n'est pas exhaustive et susceptible d'être mise
à jour ultérieurement.

### Champs "Objet" de messages malveillants

    [Fax server] +07909 546940
    copy from +07540040842
    Message H4H2LC68B7167E4F4
    New incoming fax message, S8F8E423F9285C5
    Incoming fax from +07843-982843
    [Fax server]:+07725-855368
    Fax ZC9257943991110
    New fax message from +07862-678057

### Liens utilisés pour le téléchargement du logiciel malveillant

    hxxp://agatecom.fr/voeux/doom.tar.gz
    hxxp://aspiroflash.fr/cai/abc.tar.gz
    hxxp://baselineproduction.fr/Modules/doom.tar.gz
    hxxp://bikeceuta.com/templates/nero.tar.gz
    hxxp://breteau-photographe.com/tmp/pack.tar.gz
    hxxp://cargol.cat/IESABP/nero.tar.gz
    hxxp://cds-chartreuse.fr/locales/sancho.tar.gz
    hxxp://cognacbrown.co.uk/ChromeSetup.exe
    hxxp://collection-opus.fr/_gfx/cario.tar.gz
    hxxp://compassfx.com/OLD/cario.tar.gz
    hxxp://dariocasati.it/logs/dostanes_do_drzky.tar.gz
    hxxp://dequinnzangersborne.nl/language/upupup.tar.gz
    hxxp://dieideenwerkstatt.at/css/abc.tar.gz
    hxxp://evalero.com/img/cario.tar.gz
    hxxp://fbrugues.com/language/hiser.tar.gz
    hxxp://firststepbahamas.com/PDF/abc.tar.gz
    hxxp://fotocb.de/php/upupup.tar.gz
    hxxp://funnydeando.com/pdthm0/moon1.exe
    hxxp://hotel-mas-saint-joseph.com/css/pack.tar.gz
    hxxp://Icedjungle.com/pdthm0/dan2.exe
    hxxp://integritysites.net/files/nero.tar.gz
    hxxp://jbmsystem.fr/jb/pack.tar.gz
    hxxp://joefel.com/easyscripts/sancho.tar.gz
    hxxp://krzysztofkarpinski.pl/log/hiser.tar.gz
    hxxp://locamat-antilles.com/memo/sancho.tar.gz
    hxxp://maisondessources.com/assets/pack.tar.gz
    hxxp://m-a-metare.fr/media/sancho.tar.gz
    hxxp://masterbranditalia.com/downloader/cario.tar.gz
    hxxp://microneedle.com/menu_files/pack.tar.gz
    hxxp://mmadolec.ipower.com/me/cario.tar.gz
    hxxp://n23.fr/asstempo/doom.tar.gz
    hxxp://necaps.org/pagestyles/mine.tar.gz
    hxxp://ohayons.com/dostanes_do_drzky.tar.gz
    hxxp://ourtrainingacademy.com/LeadingRE/sancho.tar.gz
    hxxp://peche-sportive-martinique.com/wp-includes/pack.tar.gz
    hxxp://pinballpassion.fr/images/mine.tar.gz
    hxxp://pleiade.asso.fr/piwigotest/pack.tar.gz
    hxxp://ppc.cba.pl/cache/nero.tar.gz
    hxxp://prevencionprl.com/im/hiser.tar.gz
    hxxp://pubbliemme.com/plugins/doom.tar.gz
    hxxp://scolapedia.org/histoiredesarts/pack.tar.gz
    hxxp://shop-oye.it/XXXinstallXXX/abc.tar.gz
    hxxp://siestahealthtrack.com/media/pack.tar.gz
    hxxp://smartoptionsinc.com/data-test/nero.tar.gz
    hxxp://sp107.home.pl/logs/dostanes_do_drzky.tar.gz
    hxxp://springtree.cba.pl/modules/cario.tar.gz
    hxxp://stevenblood.com/ChromeSetup.exe
    hxxp://stmarys-andover.org.uk/audio_files/upupup.tar.gz
    hxxp://telasramacrisna.com.br/ramacrisna/mine.tar.gz
    hxxp://telasramacrisna.com.br/site/lightbox/hiser.tar.gz
    hxxp://thelastxmas.com/ChromeSetup.exe
    hxxp://thehollow.co/ChromeSetup.exe
    hxxp://thinkonthis.net/style/dostanes_do_drzky.tar.gz
    hxxp://thomasottogalli.com/webtest/sancho.tar.gz
    hxxp://voigt-its.de/fit/pack.tar.gz
    hxxp://wcicinc.org/flv/dostanes_do_drzky.tar.gz
    hxxp://wireandwoods.ru/pdthm0/042.exe
    hxxp://www.baddadclub.com/ChromeSetup.exe
    hxxp://www.cpeconsultores.com/tmp/pack.tar.gz
    hxxp://www.geordie.land/ChromeSetup.exe
    hxxp://www.goodtobeloved.com/ChromeSetup.exe
    hxxp://www.lamas.si/picture_library/upupup.tar.gz
    hxxp://www.sazlar.de/sazlar/mine.tar.gz
    hxxp://www.thelatxma.com/ChromeSetup.exe
    hxxp://wymiana-wsb.cba.pl/pp/abc.tar.gz
    hxxp://zysztofkarpinski.pl/log/hiser.tar.gz

(remplacer hxxp par http)

Article de Bleeping Computer sur CTB Locker

Article de 2-viruses sur CTB Locker

Article du CERT Société Générale sur CTB Locker

Recommandations de l'ANSSI pour la mise en oeuvre d'une    politique de restrictions

Note d'information du CERTA sur les bons réflexes en cas    d'intrusion sur un système d'information

Article de McAfee sur CTB Locker

version initiale ;

mise à jour des recommandations.

fermeture de l'alerte.

Atteinte à la disponibilité des fichiers après chiffrement

Summary:
Depuis le début du mois de février 2015, le CERT-FR constate une
nouvelle vague importante de compromissions de type rançongiciel, qui
utilise cette fois principalement le programme malveillant appelé
CTB-Locker.

Un rançongiciel est un code malveillant qui
chiffre les données du poste compromis. Il va également cibler les
partages de fichiers accessibles en écriture à l'utilisateur dont la
session est compromise. À travers une boîte de dialogue, la victime est
ensuite invitée à verser de l'argent afin de récupérer la clé qui
permettra de déchiffrer les documents ciblés (Bitcoin, Paypal, carte
bleue). Il n'existe pas de moyens fiables pour récupérer la clé utilisée
par le code malveillant.

Attention, le CERT-FR tient à souligner que le recouvrement des données
après paiement n'est en aucun cas garanti. Au-delà du fait que cela
encourage ce type d'attaque, le recours à un moyen de paiement par carte
bleue expose la victime à des utilisations frauduleuses de celle-ci.

## Méthode d'attaque:

Dans le cas présent, la propagation constatée repose sur une campagne
d'hameçonnage. Les messages malveillants reçus prétendent être
accompagnés d'un fax en pièce jointe, qui en réalité est un programme
malveillant.

Ce code s'installe localement sur le poste par différents moyens :

-   fichier avec l'extension SCR ;
-   fichier avec l'extension SCR compressé dans un fichier au format zip
    (parfois il s'agit de compressions imbriquées) ;
-   fichier avec l'extension CAB ;
-   fichiers exécutables classiques (.EXE).

Le fichier avec l'extension SCR est un fichier exécutable : ce dernier
télécharge ensuite le code malveillant réalisant le chiffrement des
fichiers.

Nouvelle campagne d'hameçonnage de type rançongiciel


Internet Explorer version 10

Internet Explorer version 11

Note d'information : vulnérabilité de type Cross Site    Scripting (XSS)

Recommandations pour le déploiement sécurisé du navigateur    Google Chrome sous Windows

Recommandations pour le déploiement sécurisé du navigateur    Mozilla Firefox sous Windows

Mitigating Cross-site Scripting With HTTP-only Cookies

Mitigating framesniffing with the X-Frame-Options header

Bulletin de sécurité Microsoft MS15-018 du 10 Mars 2015

Universal XSS vulnerability discovered in Microsoft    Internet Explorer

version initiale ;

Contournement de la politique de sécurité

Injection de code indirecte à distance

Summary:
Une vulnérabilité référencée par l'identifiant CVE-2015-0072, a été
découverte dans Microsoft Internet Explorer.
Elle permet à un attaquant de contourner la politique dite Same Origin Policy et d'exécuter du code JavaScript malveillant via le chargement d'une
page HTML.

## 3 -.1 Fonctionnement de l'attaque

La politique SOP (Same
Origin Policy) est mise en place pour éviter que des scripts
malveillants puissent accéder aux données présentes sur d'autres
domaines, notamment aux cookies HTTP permettant de maintenir les
sessions authentifiées.

L'exploitation de cette vulnérabilité permet de contourner cette
protection et donc d'exécuter du code JavaScript dans le contexte d'une page tierce
telle qu'une application métier, un site bancaire, ou tout autre
application sensible.

## 3 -.2 Scénarios possibles d'attaque

Cette vulnérabilité est susceptible d'être mise en oeuvre lors de
tentatives d'hameçonnage ou lors d'attaques par point d'eau.

## 3 -.3 Risques encourus

Les risques encourus sont similaires à ceux liés aux attaques de type
injection de code indirecte (XSS). En particulier, l'exploitation de
cette vulnérabilité peut permettre de récupérer les cookies envoyés par
le navigateur pour usurper une session authentifiée.

Se référer à la note d'information CERTA-2002-INF-001-001 pour plus de
détails.

Vulnérabilité dans Microsoft Internet Explorer


Adobe Flash Player 11.2.202.468 et versions antérieures pour Linux

Adobe Flash Player 18.0.0.194 et versions antérieures

Adobe Flash Player Extended Support versions 13.0.0.296 et antérieures

Analyse de Trend Micro

version initiale.

Exécution de code arbitraire à distance

Summary:
Suite à l'exfiltration des données provenant de l'entreprise italienne
"Hacking Team", une vulnérabilité de type 0 day dans Adobe Flash Player a été dévoilée. Elle permet à
un attaquant de provoquer une exécution de code arbitraire à distance.
Plusieurs kits d'exploitation ont intégré cette vulnérabilité qui est
activement exploitée.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe Flash Player du 08 juillet 2015


Adobe Flash Extended Support Release 13.0.0.302 et les versions 13.x antérieures pour Windows et Macintosh

Adobe Flash Player 18.0.0.204 et versions antérieures pour Linux installées avec Google Chrome

Adobe Flash Player 18.0.0.203 et versions antérieures pour Windows et Macintosh

Adobe Flash Player Extended Support Release 11.2.202.481 et les versions 11.x antérieures pour Linux

Bulletin de sécurité Adobe du 10 juillet 2015

CVE-2015-5122 - Second Adobe Flash Zero-Day in HackingTeam    Leak

Bulletin de sécurité Adobe du 14 juillet 2015

version initiale.

rajout de la vulnérabilité CVE-2015-5123.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Suite à l'exfiltration des données provenant de l'entreprise italienne
Hacking Team, une seconde vulnérabilité de type 0-day dans Adobe Flash Player a été découverte, suivie d'une
troisième plus récemment.

Ces vulnérabilités sont critiques et peuvent permettre à un attaquant de
provoquer une exécution de code arbitraire à distance.

De façon similaire à la vulnérabilité couverte par l'alerte
CERTFR-2015-ALE-005, ces nouvelles vulnérabilités risquent d'être
rapidement intégrées dans différents kits d'exploitations et d'être
utilisées dans le cadre d'attaques.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe APSA15-04 du 10 juillet 2015

Bulletin de sécurité Adobe APSB15-18 du 14 juillet 2015


Oracle Java SE version 1.8.0.45 et antérieures

Pawn Storm Update: Trend Micro Discovers New Java Zero-Day    Exploit

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Oracle Java
SE par l'éditeur Trend Micro. Elle permet à un attaquant de
provoquer une exécution de code arbitraire à distance.

Cette vulnérabilité est actuellement exploitée et susceptible d'être
largement diffusée.

Vulnérabilité dans Oracle Java SE

Bulletin de sécurité Oracle du 14 juillet 2015


Windows Server 2012

Windows Server 2012 R2

Windows Server 2008 R2

Windows RT 8.1

Windows Server 2008

Windows 7

Windows Vista

Windows RT

Windows 8

Windows 8.1

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans le pilote de gestion des polices
de caractères de Microsoft Windows. Elle
permet à un attaquant de provoquer une exécution de code arbitraire à
distance.

Vulnérabilité dans le pilote de gestion des polices de caractères de Microsoft Windows

Bulletin de sécurité Microsoft MS15-078 du 20 juillet 2015


## Solution

L'exploitation de cette vulnérabilité se base sur la surcharge d'une
variable d'environnement dans Mac OS 10.10.x. En effet, la variable
d'environnement incriminée permet d'indiquer au système un fichier dans
lequel journaliser des erreurs.

L'exploitation de cette vulnérabilité permet donc une écriture
arbitraire de fichier avec des privilèges élevés et peut donc conduire à
une élévation de privilèges.

Cette fonctionnalité n'est disponible qu'à partir de la version 10.10 de
Mac OS X, les versions inférieures ne sont donc pas concernées.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité de l'éditeur

Extension de noyau SUIDGuard

OS X 10.10 DYLD_PRINT_TO_FILE Local Privilege Escalation    Vulnerability

version initiale.

clôture de l'alerte.

Élévation de privilèges

Summary:
Une vulnérabilité a été découverte dans Apple Mac
OS X. Elle permet à un attaquant de provoquer une élévation de
privilèges.

Vulnérabilité dans Apple Mac OS X


Google Android versions 2.2 et supérieures

## Solution

Le bulletin de sécurité de Google Nexus du 13 août 2015 a annoncé la
publication de correctifs de sécurité au sein de la forge Android Open
Source Project (AOSP). Les autres éditeurs ont pu intégrer ces
correctifs au sein de leur version personnalisée du système Android. Se
référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Google Nexus du 13 août 2015

version initiale.

fermeture de l'alerte.

Exécution de code arbitraire à distance

Summary:
De multiples vulnérabilités ont été découvertes dans Google Android. Elles permettent à un attaquant de
provoquer une exécution de code arbitraire à distance.

Multiples vulnérabilités dans Google Android

Annonce ZIMPERIUM du 27 juillet 2015


Adobe Flash Player 11.2.202.535 et versions antérieures pour Linux

Adobe Flash Player ESR 18.0.0.252 et versions antérieures

Adobe Flash Player 19.0.0.207 et versions antérieures pour Windows et Macintosh

Bulletin de sécurité Adobe APSA15-05 du 14 octobre 2015

Bulletin de sécurité Adobe du 16 octobre 2015

EMET 5.2

Déploiement et configuration centralisés d'EMET pour le    durcissement des postes de travail et des serveurs Microsoft    Windows

version initiale ;

ajout d'informations complémentaires issues du bulletin publié par Adobe.

clotûre de l'alerte

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Adobe Flash
Player. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.
Cette vulnérabilité est activement exploitée dans le cadre d'attaques
ciblées.

Vulnérabilité dans Adobe Flash Player

Article de Trend Micro du 13 octobre 2015


Tous les systèmes d'exploitations Windows peuvent être  victimes de ce logiciel malveillant.

## Solution

Afin de se protéger contre ce type de menace, les préconisations
habituelles sont rappelées :

-   ne pas ouvrir les documents en pièces jointes d'un message
    électronique non sollicités ;
-   désactiver l'exécution automatique des macros dans les suites
    bureautiques ;
-   maintenir le système d'exploitation et l'antivirus du poste de
    travail à jour.

La désactivation de l'exécution automatique des macros Office se
paramètre dans le menu suivant :

Fichier / Options / Centre de gestion de la confidentialité / Paramètre
du Centre de gestion de la confidentialité / Paramètres des macros /
Désactiver toutes les macros avec notifications

version initiale ;

ajout de marqueurs supplémentaires ;

ajout de marqueurs supplémentaires ;

ajout de marqueurs supplémentaires ;

clôture de l'alerte.

Installation d'un logiciel malveillant de type dridex

Summary:
Depuis la mi-octobre 2015, le CERT-FR constate à l'échelle nationale une
vague de pourriels dont le taux de blocage par les passerelles
anti-pourriel est relativement faible. Cette vague est similaire à ce
qui a déjà pu être observé au mois de juin de cette même année et décrit
dans le bulletin d'actualité CERTFR-2015-ACT-024 (

    http://www.cert.ssi.gouv.fr/site/CERTFR-2015-ACT-024/index.html

).

Ces pourriels embarquent des documents Microsoft Office contenant des
macros VBA malveillantes. Elles ont pour but d'infecter la victime avec
un logiciel malveillant connu initialement sous le nom de Dridex.

Ces pourriels sont très souvent rédigés dans un français sans faute. Le
sujet et le contenu du pourriel mentionnent des problèmes de
facturation, dans la plupart des cas, pour inciter la victime à ouvrir
la pièce jointe. Dans certains cas il est aussi fait référence à un
document scanné.

Nous avons également pu constater la présence de pourriels rédigés en
langue anglaise embarquant des documents Microsoft Excel.

D'après les échantillons que le CERT-FR a observés, le téléchargement de
Dridex s'effectue par l'intermédiaire d'une macro VBA ayant pour
objectif le téléchargement du binaire à partir d'un serveur malveillant.
Il est intéressant de noter que sur la plupart des échantillons
aujourd'hui analysés, le téléchargement du binaire s'effectue sur un
port HTTP non standard. Cette caractéristique réseau permet de détecter
pour cette variante les postes ayant exécuté la macro citée
précédemment.

À l'aide les échantillons remontés, le CERT-FR a constaté que les URLs
de téléchargement du binaire Dridex sont les suivantes (toutes les URLs
suivantes ont été démilitarisées par l'adjonction du suffixe .\_BAD\_
aux noms de domaines et adresses IP) :

-   http://5.2.199.30_BAD\_:8080/uniq/load.php
-   http://84.200.52.52_BAD\_:8080/uniq/load.php
-   http://93.170.104.168_BAD\_:8080/uniq/load.php
-   http://113.30.152.165_BAD\_:8080/uniq/load.php
-   http://113.30.152.167_BAD\_:8080/uniq/load.php
-   http://168.243.33.195_BAD\_:8080/uniq/load.php
-   http://178.62.7.183_BAD\_:8080/uniq/load.php
-   http://195.37.231.2_BAD\_:8080/uniq/load.php
-   http://199.175.55.116_BAD\_:8080/uniq/load.php
-   http://webmatique.info_BAD\_/35436/5324676645.exe
-   http://www.tokushu.co.uk_BAD\_/56475865/ih76dfr.exe
-   http://113.30.152.170_BAD\_:8180/uniq/load.php
-   http://186.47.80.90_BAD\_:8080/images/getimg.php
-   http://117.239.73.244_BAD\_:8880/images/getimg.php
-   http://178.33.167.120_BAD\_:8880/images/getimg.php
-   http://landprosystems.com_BAD\_/34g3f3g/68k7jh65g.exe
-   http://103.252.100.44_BAD\_:8880/Citrix/applet.php
-   http://68.169.59.208_BAD\_:8880/Citrix/applet.php
-   http://117.239.73.244_BAD\_:8880/Citrix/applet.php
-   http://86.34.133.90_BAD\_:8180/Citrix/applet.php
-   http://78.129.133.249_BAD\_:8880/Citrix/applet.php
-   http://103.252.100.44_BAD\_:8880/benzin/ai76.php
-   http://178.32.136.167_BAD\_:8880/benzin/ai76.php
-   http://68.169.59.208_BAD\_:8880/benzin/ai76.php
-   http://skredman.webz.cz_BAD\_/334g5j76/897i7uxqe.exe
-   http://novyzeland2013.webzdarma.cz_BAD\_/334g5j76/897i7uxqe.exe
-   http://187.5.6.136_BAD\_:8008/sezamstreet/ziliboba.php
-   http://203.172.180.195_BAD\_:8008/sezamstreet/ziliboba.php
-   http://1.179.170.7_BAD\_:8008/sezamstreet/ziliboba.php
-   http://mgming.rs_BAD\_/87yte55/6t45eyv.exe
-   http://www.davidcaballero.com_BAD\_/87yte55/6t45eyv.exe
-   http://bbofilinc.com_BAD\_/ builder2012/87yte55/6t45eyv.exe
-   http://www.clemenciaortiz.com_BAD\_/87yte55/6t45eyv.exe
-   http://sanoko.jp_BAD\_/5t546523/lhf3f334f.exe
-   http://aniretak.wz.cz_BAD\_/5t546523/lhf3f334f.exe
-   http://piotrektest.cba.pl_BAD\_/45yfqfwg/6ugesgsg.exe
-   http://wmdrewniana8.cba.pl_BAD\_/45yfqfwg/6ugesgsg.exe
-   http://williamcannady.com_BAD\_/345u754/433fd.exe
-   http://hardware-software.xf.cz_BAD\_/345u754/433fd.exe

Enfin, les échantillons Dridex ainsi récupérés tentent de communiquer
avec les serveurs suivants :

-   5.63.88.100:4403
-   5.187.4.183:473
-   31.29.106.75:443
-   37.128.132.96:443
-   41.38.18.230:443
-   45.55.136.31:473
-   46.31.43.57:443
-   67.211.95.228:5445
-   68.169.54.179:6446
-   74.208.12.150:444
-   75.99.13.123:8443
-   78.243.156.115:444
-   89.32.145.12:4483
-   89.189.174.19:444
-   93.185.75.21:443
-   103.251.90.43:5445
-   106.187.38.36:473
-   107.170.237.112:473
-   118.174.31.57:444
-   119.47.112.227:473
-   124.219.79.244:443
-   128.199.122.196:6446
-   130.185.189.81:443
-   157.252.245.49:473
-   158.85.92.20:443
-   162.13.137.236:444
-   168.187.96.115:443
-   183.81.166.5:443
-   185.48.144.4:443
-   188.21.18.226:443
-   192.130.75.146:444
-   193.251.76.63:443
-   195.154.251.123:473
-   195.251.250.37:448
-   198.50.205.130:443
-   198.74.58.153:5445
-   200.29.90.162:443
-   202.129.57.130:443
-   202.157.171.198:444
-   217.160.110.232:444
-   221.132.35.56:8843

Campagne de messages électroniques non sollicités de type Dridex


Entrée de blog de la société Sucuri

version initiale.

mise à jour des adresses IP.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Joomla!. Elle permet à un attaquant de provoquer
une exécution de code arbitraire à distance.

Une mise à jour de sécurité a été publiée aujourd'hui sur le site
officiel de Joomla!.

Cependant, une société de sécurité informatique précise qu'une vague
d'attaques provenant des adresses IP 146.0.72.83, 74.3.170.33,
93.179.68.167, 199.182.234.132, 185.15.185.17, 37.61.232.173 et
194.28.174.106 avait débuté avant la mise en ligne du correctif. En plus
de ces adresses IP, des marqueurs de détection dans les fichiers de log
sont fournis : la présence de la chaîne "JDatabaseDriverMysqli" ou de la
chaîne "O:" dans l'entête HTTP User-Agent.

Le CERT-FR recommande, pour les utilisateurs de Joomla!, la mise à jour immédiate vers la version
3.4.6 ainsi que la recherche de la chaîne "JDatabaseDriverMysqli" dans
le fichier de log ainsi que des connexions depuis les adresses IP
146.0.72.83, 74.3.170.33, 93.179.68.167, 199.182.234.132, 185.15.185.17,
37.61.232.173 ou 194.28.174.106.

Vulnérabilité dans Joomla!

Bulletin de sécurité Joomla! du 14 décembre 2015


Juniper ScreenOS versions 6.3.0r12 à 6.3.0r20

Juniper ScreenOS versions 6.2.0r15 à 6.2.0r18

## Solution

Une mise à jour de sécurité a été publiée hier sur le site officiel de
Juniper.

Cette mise à jour corrige plusieurs failles de sécurité critiques au
niveau du système ScreenOS, identifiées à la suite d'un audit de code
interne réalisé par Juniper.

La première vulnérabilité corrigée permettait à un attaquant de se
connecter, via les protocoles SSH ou telnet, à tout équipement réseau
Juniper utilisant une version vulnérable du système d'exploitation
ScreenOS (versions antérieures à 6.2.0r18 ou 6.3.0r20).

De plus, le mot de passe de la porte dérobée a été identifié et a été
rendu public sur Internet.

Cette compromission peut être détectée par la présence dans les journaux
de notifications de connexions "anormales" pendant lesquelles le passage
en mode administrateur (system) s'effectue depuis un compte utilisateur
"standard" (username2) :

        2015-12-17 09:00:00 system warn 00515 Admin user system has logged on
            via SSH from [...]
        2015-12-17 09:00:00 system warn 00528 SSH: Password authentication
            successful for admin user 'username2' at host [...]

Cependant la société Juniper souligne le fait qu'unattaquant, ayant le
niveau requis pour exploiter cettevulnérabilité, aura vraisemblablement
effacé toute trace de sesconnexions dans les journaux.

La société Fox-It propose des signatures au format Snort afin
d'identifer toute tentative de connexion à un équipement Juniper
vulnérable via la porte dérobée.

La seconde vulnérabilité permettait à un attaquant, en capacité
d'écouter le trafic VPN émis depuis un équipement concerné, de
déchiffrer ce trafic.

Le CERT-FR recommande donc aux utilisateur de Juniper ScreenOS de
procéder à une mise à jour immédiate du système d'exploitation. De plus,
le CERT-FR insiste sur l'importance d'isoler l'accès aux interfaces
d'administration des équipements réseaux afin de n'autoriser que les
connexions depuis des systèmes de confiance.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

ScreenOS 6.3.0r22

Annonce Juniper

Règles Snort de détection d'exploitation

CERTFR-2016-AVI-117

version initiale.

ajout de règles Snort dans les contournements provisoires.

clôture de l'alerte

Contournement de la politique de sécurité

Summary:
Une vulnérabilité a été découverte dans Juniper
ScreenOS. Elle permet à un attaquant de provoquer un
contournement de la politique de sécurité.

Vulnérabilité dans Juniper ScreenOS

Bulletin de sécurité Juniper SA10713 du 17 décembre 2015


## Solution

## Solutions préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes. Il convient en effet de ne pas cliquer sans vérification
préalable sur les liens de messages et les pièces jointes. Les
utilisateurs ne doivent pas ouvrir des messages électroniques de
provenance inconnue, d'apparence inhabituelle ou frauduleuse. Plus
généralement, il convient de mettre à jour les postes utilisateurs,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle.

Le CERT-FR recommande de configurer sur les postes de travail les
restrictions logicielles pour empêcher l'exécution de code à partir
d'une liste noire de répertoires :

-   Si la solution utilisée est AppLocker, les règles de blocage
    suivantes doivent être définies :
    -   OSDRIVE\\Users\\\*\\AppData\\
    -   OSDRIVE\\Windows\\Temp\\
-   Si les restrictions logicielles (SRP) sont utilisées, les règles de
    blocage suivantes doivent être définies :
    -   UserProfile\\AppData
    -   SystemRoot\\Temp

Il est important de vérifier que le service "Application Identity"
(AppIDSvc) est paramétré en démarrage automatique sur l'ensemble des
postes pour que les restrictions logicielles soient opérantes (ce mode
de démarrage peut être paramétré à travers une politique de groupe sur
le domaine Windows). Si des dysfonctionnements sont rencontrés suite au
déploiement de ces règles de blocage, il est nécessaire d'identifier les
applications légitimes situées dans ces répertoires, et de définir des
règles en liste blanche afin d'autoriser leur exécution.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateurs, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

## Solutions réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés. Le CERT-FR
recommande aussi d'alerter le responsable sécurité ou le service
informatique au plus tôt. Le temps de revenir à une situation normale,
le CERT-FR recommande également de positionner les permissions des
dossiers partagés en LECTURE SEULE afin d'empêcher la destruction des
fichiers sur les partages. Les personnels pourront continuer de
travailler localement et mettre à jour ultérieurement le partage. Aussi,
le CERT-FR recommande de prendre le temps de sauvegarder les fichiers
importants sur des supports de données isolés. Ces fichiers peuvent être
altérés ou encore être infectés. Il convient donc de les traiter comme
tels. De plus, les sauvegardes antérieures doivent être préservées
d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. En complément, le CERT-FR recommande de rechercher et supprimer
les messages malveillants similaires dans les boîtes de messagerie des
utilisateurs. Par ailleurs, le CERT-FR recommande la réinstallation
complète du poste et la restauration d'une sauvegarde réputée saine des
données de l'utilisateur. De plus, dans le cadre de l'utilisation de
profils itinérants, il convient de supprimer la copie serveur du profil
afin de prévenir la propagation des codes malveillants par ce biais.

Enfin, les fichiers chiffrés peuvent être conservés par la victime au
cas où dans le futur, un moyen de recouvrement des données originales
serait découvert. Sur ce point, il est intéressant de noter que le
déchiffrement des fichiers impactés par la version de TeslaCrypt
utilisée lors de cette campagne semble, dans certains, cas envisageable.
En effet, un projet comme TeslaCrack peut s'avèrer efficace mais
nécessite plusieurs étapes de mise en oeuvre (récupération de
dépendances, compilations, ...) mais aussi obligatoirement une étape
d'initialisation (factorisation) qui peut être très coûteuse en temps
d'exécution.

Cette alerte sera maintenue tant que le volume de message électronique
constaté sera considéré significatif par le CERT-FR.

Projet TeslaCrack

version initiale ;

ajout de marqueurs supplémentaires ;

mise à jour des mesures réactives ;

clôture de l'alerte ;

Installation d'un logiciel malveillant de type teslacrypt

Summary:
Depuis le début du mois de décembre 2015, et plus massivement depuis la
mi-décembre 2015, le CERT-FR constate à l'échelle nationale une vague de
pourriels dont le taux de blocage par les passerelles anti-pourriel est
relativement faible. Ces pourriels ont pour objectif la diffusion du
rançongiciel TeslaCrypt.

Un rançongiciel est un programme malveillant qui chiffre les données du
poste compromis. Il va également cibler les partages de fichiers
accessibles depuis le compte utilisateur dont la session est compromise.
Celui-ci est exécuté, dans le cas présent, par une action de
l'utilisateur. La victime est ensuite invitée à verser de l'argent afin
que l'attaquant déchiffre les fichiers ciblés.

Dans le cadre de cette campagne, et d'après les échantillons que le
CERT-FR a observés, la diffusion de TeslaCrypt s'effectue par
l'intermédiaire d'un pourriel dans lequel se trouve une pièce jointe au
format zip. Cette archive contient un fichier offusqué au format js
(javascript) dont l'objectif est la récupération puis l'exécution du
malware. L'exécution de ce dernier entraine le chiffrement des données
et les fichiers sont renommés avec l'extension ".vvv".

Il est intéressant de noter que le binaire est jusqu'à présent composé
de deux chiffres et de l'extension ".exe". Cette caractéristique peut
permettre le blocage ou la mise en place d'alertes via les serveurs
mandataires.

À l'aide les échantillons remontés, le CERT-FR a constaté que les URLs
de téléchargement du binaire TeslaCrypt sont les suivantes (toutes les
URLs suivantes ont été démilitarisées par l'adjonction du suffixe
.\_BAD\_ aux noms de domaines et adresses IP) :

-   http://5.39.222.193_BAD\_/73.exe
-   http://46.151.52.196_BAD\_/80.exe
-   http://46.151.52.196_BAD\_/86.exe
-   http://46.151.52.197_BAD\_/73.exe
-   http://46.151.52.197_BAD\_/80.exe
-   http://46.151.52.197_BAD\_/85.exe
-   http://46.151.52.197_BAD\_/86.exe
-   http://46.151.52.231_BAD\_/87.exe
-   http://74.117.183.84_BAD\_/73.exe
-   http://777advisors.com_BAD\_/85.exe
-   http://aawraa.com_BAD\_/wp-includes/theme-compat/73.exe
-   http://avtimespg.com_BAD\_/73.exe
-   http://abortoptions.com_BAD\_/wp-includes/images/smilies/85.exe
-   http://aboutacquisitions.com_BAD\_/wp-includes/theme-compat/85.exe
-   http://acabadosintegrales.com_BAD\_/wp-includes/js/mediaelement/73.exe
-   http://achesoncorner.com_BAD\_/wp-includes/fonts/73.exe
-   http://acsbrokerage.com_BAD\_/css/fonts/\_\_pages_sources/85.exe
-   http://actuvillage.com_BAD\_/images/thumbs/73.exe
-   http://areyouwevenlisten.com_BAD\_/73.exe
-   http://artskorat.com_BAD\_/html/images/80.exe
-   http://auctorit.com_BAD\_/beta/js/73.exe
-   http://aycenergy.com_BAD\_/wp/wp-includes/fonts/80.exe
-   http://autocraftmedia.com_BAD\_/mappalachian/tmp/73.exe
-   http://babykucomel.com_BAD\_/wp-admin/js/73.exe
-   http://balwindersingh.in_BAD\_/bsdemo/js/73.exe
-   http://baneyconstruction.com_BAD\_/kldf/cachec50da2243ebb9d634cfad3427cafcc61/73.exe
-   http://bareknucklebabes.com_BAD\_/wp-admin/maint/73.exe
-   http://bauelementeberater.info_BAD\_/73.exe
-   http://beandbecomeadvising.com_BAD\_/wp-admin/maint/73.exe
-   http://beatifulgdf9dr.com_BAD\_/73.exe
-   http://bellychef.com_BAD\_/wp-includes/theme-compat/73.exe
-   http://bereanbibledenver.com_BAD\_/wp-admin/js/73.exe
-   http://bestsurfinglessons.com_BAD\_/wp-includes/theme-compat/73.exe
-   http://betterhealth4us.com_BAD\_/wp-includes/fonts/73.exe
-   http://bfcaterers.com_BAD\_/wp-includes/certificates/73.exe
-   http://fernytowd.com_BAD\_/73.exe
-   http://fernytowd.com_BAD\_/80.exe
-   http://firstwetakemanhat.com_BAD\_/80.exe
-   http://firstwetakemanhat.com_BAD\_/91.exe
-   http://gammus.com_BAD\_/69.exe
-   http://gammus.com_BAD\_/73.exe
-   http://goonricerwiththat.com_BAD\_/69.exe
-   http://goonricerwiththat.com_BAD\_/80.exe
-   http://hopemillsglassco.com_BAD\_/wp-includes/fonts/85.exe
-   http://iamthewinnerhere.com_BAD\_/73.exe
-   http://iamthewinnerhere.com_BAD\_/80.exe
-   http://iamthewinnerhere.com_BAD\_/97.exe
-   http://ifyougowegotoo.com_BAD\_/90.exe
-   http://ifyougowegotoo.com_BAD\_/94.exe
-   http://igonnafuckyougood.com_BAD\_/73.exe
-   http://igonnafuckyougood.com_BAD\_/80.exe
-   http://miracleworld1.com_BAD\_/80.exe
-   http://miracleworld1.com_BAD\_/91.exe
-   http://prestakitchen.com_BAD\_/wp-includes/pomo/85.exe
-   http://soft2webextrain.com_BAD\_/87.exe
-   http://softextrain64.com_BAD\_/80.exe
-   http://softextrain64.com_BAD\_/86.exe
-   http://soughreneg.com_BAD\_/93.exe
-   http://soughreneg.com_BAD\_/94.exe
-   http://washawaydesctrucion.com_BAD\_/90.exe
-   http://whatdidyaysay.com_BAD\_/73.exe
-   http://whatdidyaysay.com_BAD\_/80.exe
-   http://whatdidyaysay.com_BAD\_/97.exe

Campagne de messages électroniques non sollicités de type TeslaCrypt


Tous les systèmes d'exploitations Windows peuvent être victimes de ce logiciel malveillant.

## Solution

### Mesures préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes. Il convient en effet de ne pas cliquer sans vérification
préalable sur les liens de messages et les pièces jointes. Les
utilisateurs ne doivent pas ouvrir des messages électroniques de
provenance inconnue, d'apparence inhabituelle ou frauduleuse. Plus
généralement, il convient de mettre à jour les postes utilisateurs,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle.

Le CERT-FR recommande de configurer sur les postes de travail les
restrictions logicielles pour empêcher l'exécution de code à partir
d'une liste noire de répertoires :

-   Si la solution utilisée est AppLocker, les règles de blocage
    suivantes doivent être définies :
    -   OSDRIVE\\Users\\\*\\AppData\\
    -   OSDRIVE\\Windows\\Temp\\
-   Si les restrictions logicielles (SRP) sont utilisées, les règles de
    blocage suivantes doivent être définies :
    -   UserProfile\\AppData
    -   SystemRoot\\Temp

Il est important de vérifier que le service "Application Identity"
(AppIDSvc) est paramétré en démarrage automatique sur l'ensemble des
postes pour que les restrictions logicielles soient opérantes (ce mode
de démarrage peut être paramétré à travers une politique de groupe sur
le domaine Windows). Si des dysfonctionnements sont rencontrés suite au
déploiement de ces règles de blocage, il est nécessaire d'identifier les
applications légitimes situées dans ces répertoires, et de définir des
règles en liste blanche afin d'autoriser leur exécution.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateurs, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

### Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés. Le CERT-FR
recommande aussi d'alerter le responsable sécurité ou le service
informatique au plus tôt. Le temps de revenir à une situation normale,
le CERT-FR recommande également de positionner les permissions des
dossiers partagés en LECTURE SEULE afin d'empêcher la destruction des
fichiers sur les partages. Les personnels pourront continuer de
travailler localement et mettre à jour ultérieurement le partage. Aussi,
le CERT-FR recommande de prendre le temps de sauvegarder les fichiers
importants sur des supports de données isolés. Ces fichiers peuvent être
altérés ou encore être infectés. Il convient donc de les traiter comme
tels. De plus, les sauvegardes antérieures doivent être préservées
d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. En complément, le CERT-FR recommande de rechercher et supprimer
les messages malveillants similaires dans les boîtes de messagerie des
utilisateurs. Par ailleurs, le CERT-FR recommande la réinstallation
complète du poste et la restauration d'une sauvegarde réputée saine des
données de l'utilisateur. De plus, dans le cadre de l'utilisation de
profils itinérants, il convient de supprimer la copie serveur du profil
afin de prévenir la propagation des codes malveillants par ce biais.

Enfin, les fichiers chiffrés peuvent être conservés par la victime au
cas où dans le futur, un moyen de recouvrement des données originales
serait découvert.

Cette alerte sera maintenue tant que le volume de message électronique
constaté sera considéré significatif par le CERT-FR.

version initiale ;

ajout des serveurs de Commande et Contrôle ;

Clôture de l'alerte.

Installation d'un logiciel malveillant de type locky

Summary:
Depuis la mi-février 2016, le CERT-FR constate à l'échelle nationale une
vague de pourriels dont le taux de blocage par les passerelles
anti-pourriel est relativement faible. Ces pourriels ont pour objectif
la diffusion du rançongiciel Locky.

Un rançongiciel est un programme malveillant qui chiffre les données du
poste compromis. Il va également cibler les partages de fichiers
accessibles depuis le compte utilisateur dont la session est compromise.
Celui-ci est exécuté, dans le cas présent, par une action de
l'utilisateur. La victime est ensuite invitée à verser de l'argent afin
que l'attaquant déchiffre les fichiers ciblés.

Dans le cadre de cette campagne, et d'après les échantillons que le
CERT-FR a observés, la diffusion de Locky s'effectue par l'intermédiaire
d'un pourriel dans lequel se trouve une pièce jointe au format doc. Ce
document Microsoft Office contient un texte illisible ainsi qu'un
message indiquant la nécessité d'activer les macros pour l'affichage
correct du message. Macro dont l'objectif est la récupération puis
l'exécution du malware. L'exécution de ce dernier entraine le
chiffrement des données et les fichiers sont renommés avec l'extension
".locky".

Il est intéressant de noter que le message eléctronique a pour sujet
"ATTN: Invoice J-\<8 chiffres\>" et la pièce jointe pour nom
"invoice_J-\<8 mêmes chiffres\>". Cette caractéristique peut permettre
le blocage ou la mise en place d'alertes via les serveurs mandataires.

À l'aide les échantillons remontés, le CERT-FR a constaté que les URLs
de téléchargement du binaire Locky sont les suivantes :

    http://avp-mech.ru_BAD_/7/7.exe
    http://bebikiask.bc00.info_BAD_/5/5.exe
    http://bnfoviesrdtnslo.uk_BAD_
    http://cscrrxyiyc.be_BAD_
    http://dkoipg.pw_BAD_
    http://drhxvktlaprrhl.be_BAD_
    http://dulichando.org_BAD_
    http://fnarsipfqe.pw_BAD_
    http://gahal.cz_BAD_
    http://193.124.181.169_BAD_/main.php
    http://195.154.241.208_BAD_/main.php
    http://91.195.12.185_BAD_/main.php
    http://91.234.33.206_BAD_/main.php
    https://103.23.154.184_BAD_:443
    https://103.245.153.70_BAD_:343
    https://129.15.240.105_BAD_:443
    https://140.78.60.4_BAD_:443
    https://144.76.73.3_BAD_:1743
    https://148.202.223.222_BAD_:443
    https://174.70.100.90_BAD_:443
    https://176.53.0.103_BAD_:443
    https://181.177.231.245_BAD_:443
    https://181.53.255.145_BAD_:444
    https://185.24.92.236_BAD_:1743
    https://185.47.108.92_BAD_:443
    https://188.126.116.26_BAD_:443
    https://193.17.184.250_BAD_:443
    https://194.126.100.220_BAD_:443
    https://200.57.183.176_BAD_:443
    https://209.239.86.10_BAD_:443
    https://217.35.78.204_BAD_:443
    https://41.38.18.230_BAD_:443
    https://41.86.46.245_BAD_:443
    https://46.183.66.210_BAD_:443
    https://62.109.133.248_BAD_:444
    https://85.143.166.200_BAD_:1743
    http://iamnickrobinson.com_BAD_
    http://iynus.net_BAD_
    http://jaomjlyvwxgdt.fr_BAD_
    http://jbdog.it_BAD_
    http://killerjeff.free.fr_BAD_/2/2.exe
    http://kpybuhnosdrm.in_BAD_
    http://luvenxj.uk_BAD_
    http://vmanipalecom.net_BAD_
    http://vodcxeeg.tf_BAD_
    http://ofhhoowfmnuihyd.ru_BAD_
    http://onigirigohan.web.fc2.com_BAD_/1/1.exe
    http://premium34.tmweb.ru_BAD_/4/4.exe
    http://qheksr.de_BAD_
    http://sdwempsovemtr.yt_BAD_
    http://seaclocks.co.uk_BAD_
    http://tirohbvok.in_BAD_
    http://uponor.otistores.com_BAD_/3/3.exe
    http://vkrdbsrqpi.de_BAD_
    http://vldxhdofpmcos.uk_BAD_
    http://wpogw.it_BAD_
    http://www.iglobali.com_BAD_
    http://www.jesusdenazaret.com.ve_BAD_
    http://www.southlife.church_BAD_
    http://www.villaggio.airwave.at_BAD_

##### Mise à jour

Ajout de nouveaux marqueurs suite à une publication de McAfee
(2016/02/22):

    http://95.181.171.58_BAD_
    http://185.14.30.97_BAD_
    http://195.22.28.196_BAD_
    http://195.22.28.198_BAD_
    http://pvwinlrmwvccuo.eu_BAD_
    http://cgavqeodnop.it_BAD_
    http://kqlxtqptsmys.in_BAD_
    http://wblejsfob.pw_BAD_

##### Mise à jour

Depuis le 29 févier 2016, le CERT-FR constate à l'échelle nationale une
vague de pourriel sous la forme d'un message électronique provenant de
l'opérateur de téléphonie mobile Free Mobile du type suivant :

    Subject: Facture mobile du 29-02-2016
    From: "Free Mobile" <freemobile@free-mobile.fr>
    Date: 29/02/2016 12:01
    To: <xxx@yyy.zzz>

Cher(e) abonne(e),

Veuillez trouver en piece jointe votre facture mobile du 01-02-2016,
d'un montant de 19.99E.

Vous pouvez a tout moment desactiver la reception de votre facture par
email dans votre espace abonne : http://mobile.free.fr

Sinceres salutations.

L'equipe Free

--
Free Mobile - SAS au capital de 365.138.779 Euros - RCS PARIS 499 247
138 -
Siege social : 16 rue de la Ville l'eveque 75008 Paris

Attachments:
Freemobile_0782884641_29-02-2016.pdf 1,7 KB

La pièce jointe est en fait une archive ZIP contenant un fichier
javascript nommé EPSON000\<nombre à 10 chiffres\>.js. Ce script va
ensuite télécharger la charge malveillante. Parmi les échantillons
analysés, les URLS suivantes sont utilisées pour ce téléchargement :

    http://baiya_BAD_.org/image/templates/7ygvtyvb7niim.exe
    http://bindulin_BAD_.by/system/logs/7ygvtyvb7niim.exe
    http://english-well_BAD_.ru/assets/js/7ygvtyvb7niim.exe
    http://kokliko_BAD_.com.ua/admin/swfupload/7ygvtyvb7niim.exe
    http://liquor1.slvtechnologies_BAD_.com/system/logs/7ygvtyvb7niim.exe
    http://mansolution_BAD_.in.th/system/logs/7ygvtyvb7niim.exe
    http://u1847.netangels_BAD_.ru/system/smsgate/7ygvtyvb7niim.exe
    http://www.notebooktable_BAD_.ru/system/logs/7ygvtyvb7niim.exe

##### Mise à jour

Nouveaux marqueurs (03/03/2016):

    http://sm1_BAD_.by/vqmod/xml/76tr5rguinml.exe
    http://dohoatrang.vn._BAD_/system/logs/23f3rf33.exe

##### Mise à jour

Nouveaux marqueurs (15/03/2016):

Téléchargement de la charge :

    http://tech-cart.com._BAD_/system/logs/lkj87h.exe
    http://mutlulukhayali.com._BAD_/system/logs/lkj87h.exe

##### Mise à jour

Nouveaux marqueurs (29/03/2016):

    store.brugomug.co.uk._BAD_/765f46vb.exe
    ggbongs.com._BAD_/765f46vb.exe
    dragonex.com._BAD_/765f46vb.exe
    homedesire.co.uk._BAD_/765f46vb.exe
    scorpena.com._BAD_/765f46vb.exe
    pockettypewriter.co.uk._BAD_/765f46vb.exe
    enduro.si._BAD_/pdf/765f46vb.exe
    185.130.7.22._BAD_/files/qFBC5Y.exe

#### Serveurs de Commande et Contrôle (CnC)

Sur la base des différentes sources ouvertes sur Internet ainsi que
d'éléments transmis par des partenaires du CERT-FR, voici une liste
d'URLs suspectées d'abriter des services de commande et contrôle. La
mise en liste noire de ces adresses est à considérer dans le cadre d'une
protection contre le rançongiciel Locky.

    http://193.124.181.169_BAD_/main.php
    http://195.154.241.208_BAD_/main.php
    http://91.195.12.185_BAD_/main.php
    http://91.234.33.206_BAD_/main.php
    http://109.234.38.35_BAD_/main.php
    http://lneqqkvxxogomu.eu_BAD_/main.php
    http://qpdar.pw_BAD_/main.php
    http://ydbayd.de_BAD_/main.php
    http://ssojravpf.be_BAD_/main.php
    http://gioaqjklhoxf.eu_BAD_/main.php
    http://txlmnqnunppnpuq.ru_BAD_/main.php
    http://jbdog.IT_BAD_/main.php
    http://kpybuhnosdrm.in_BAD_/main.php
    http://luvenxj.uk_BAD_/main.php
    http://dkoipg.pw_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://91.219.29.55_BAD_/main.php
    http://46.4.239.76_BAD_/main.php
    http://94.242.57.45_BAD_/main.php
    http://80.86.91.232_BAD_/main.php
    http://wblejsfob.pw_BAD_/main.php
    http://kqlxtqptsmys.in_BAD_/main.php
    http://cgavqeodnop.it_BAD_/main.php
    http://vpvwinlrmwvccuo.eu_BAD_/main.php
    http://dltvwp.it_BAD_/main.php
    http://uxvvm.us_BAD_/main.php
    http://195.154.241.208_BAD_/main.php
    http://kqlxtqptsmys.in_BAD_/main.php
    http://cgavqeodnop.it_BAD_/main.php
    http://pvwinlrmwvccuo.eu_BAD_/main.php
    http://dltvwp.it_BAD_/main.php
    http://uxvvm.us_BAD_/main.php
    http://wblejsfob.pw_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://91.219.29.55_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://188.138.88.184_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://88.138.88.184_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://185.46.11.239_BAD_/main.php
    http://185.22.67.27_BAD_/main.php
    http://31.184.233.106_BAD_/main.php
    http://pccibcjncnhjn.yt_BAD_/main.php
    http://qtysmobytagnrv.it_BAD_/main.php
    http://rddipikmrap.us_BAD_/main.php
    http://suhpqiumpjsv.ru_BAD_/main.php
    http://vkcims.pm_BAD_/main.php
    http://5.34.183.136_BAD_/main.php
    http://91.121.97.170_BAD_/main.php
    http://188.138.88.184_BAD_/main.php
    http://31.41.47.37_BAD_/main.php
    http://kcdxkbsk.tf_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://91.219.29.55_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://kxsvgrpytxfar.tf_BAD_/main.php
    http://nuhiqgn.yt_BAD_/main.php
    http://qkcehlnkcuts.fr_BAD_/main.php
    http://slkyatnnaq.eu_BAD_/main.php
    http://tdhlnatbwyc.pm_BAD_/main.php
    http://195.154.241.208_BAD_/main.php
    http://46.4.239.76_BAD_/main.php
    http://94.242.57.45_BAD_/main.php
    http://kqlxtqptsmys.in_BAD_/main.php
    http://cgavqeodnop.it_BAD_/main.php
    http://pvwinlrmwvccuo.eu_BAD_/main.php
    http://dltvwp.it_BAD_/main.php
    http://uxvvm.us_BAD_/main.php
    http://wblejsfob.pw_BAD_/main.php
    http://91.121.97.170_BAD_/main.php
    http://46.4.239.76_BAD_/main.php
    http://31.184.233.106_BAD_/main.php
    http://185.46.11.239_BAD_/main.php
    http://69.195.129.70_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://91.219.29.55_BAD_/main.php
    http://wblejsfob.pw_BAD_/main.php
    http://dkoipg.pw_BAD_/main.php
    http://85.25.149.246_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://192.71.213.69_BAD_/main.php
    http://95.213.184.10_BAD_/main.php
    http://192.121.16.196_BAD_/main.php

##### Mise à jour

Nouveaux marqueurs (15/03/2016). Liste de CnC pouvant être contactés :

    149.154.157.14
    37.235.53.18
    89.108.85.163
    212.47.223.19
    192.121.16.196

##### Mise à jour

Nouveaux marqueurs (29/03/2016):

    176.31.47.100._BAD_/submit.php
    185.117.72.94._BAD_/submit.php
    185.141.25.150._BAD_/submit.php
    78.46.170.79._BAD_/submit.php
    83.217.8.127._BAD_/submit.php
    84.19.170.249._BAD_/submit.php
    91.200.14.73._BAD_/submit.php
    92.63.87.134._BAD_/submit.php

Campagne de messages électroniques non sollicités de type Locky


Adobe Flash Player versions 21.0.0.197 et antérieures sur  Windows, Macintosh, Linux, et Chrome OS

CERTFR-2016-AVI-116 Multiples vulnérabilités dans Adobe    Flash Player

Bulletin de sécurité Adobe APSB16-10 du 07 avril 2016

EMET 5.5

version initiale.

Adobe indique avoir constaté des attaques ciblant toutes les versions de Windows (et non plus uniquement Windows 7 et Windows XP).

clôture de l'alerte, ajout des liens vers le bulletin de sécurité de l'éditeur et l'avis CERTFR-2016-AVI-116.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Adobe Flash
Player. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.
Cette vulnérabilité est activement exploitée dans le cadre d'attaques
ciblant toutes les versions de Windows exécutant Adobe Flash Player
versions 20.0.0.306 et antérieures.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe APSA16-01 du 05 avril 2016


Adobe Flash Player toutes versions contenues dans Internet Explorer 10, Internet Explorer 11 et Microsoft Edge sur Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1 et Windows 10

Adobe Flash Player versions 21.0.0.226 et antérieures pour Windows, Macintosh, Linux, et Chrome OS

EMET 5.5

Bulletin de sécurité Adobe APSB16-15 du 12 mai 2016

Avis CERTFR-2016-AVI-170

version initiale.

Clotûre de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Adobe Flash
Player. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.
Dans son bulletin d'alerte APSA16-02 (cf. Section Documentation), Adobe
annonce qu'une vulnérabilité critique affecte les versions 21.0.0.226 et
antérieures de son Flash Player.
Celle-ci peut permettre à un attaquant d'éxécuter du code arbitraire à
distance.
Adobe note également que cette vulnérabilité est activement exploitée.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Microsoft MS16-064 du 10 mai 2016

Bulletin de sécurité Adobe APSA16-02 du 10 mai 2016


Adobe Flash Player versions 21.0.0.242 et antérieures sur  Windows, Macintosh, Linux, et Chrome OS

Avis CERTFR-2016-AVI-213

Bulletin de sécurité Adobe apsb16-18 du 16 juin 2016

EMET 5.5

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Adobe Flash
Player. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance. Dans son bulletin d'alerte APSA16-03 (cf.
Section Documentation), Adobe annonce qu'une vulnérabilité jugée
critique affecte les versions 21.0.0.242 et antérieures de son Flash
Player, et ce sur toutes les plateformes.
Adobe prévient également que cette vulnérabilité est activement
exploitée dans le cadre d'attaques ciblées.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe apsa16-03 du 14 juin 2016


Cisco Firewall Services Module (FWSM)

Cisco ASA Services Module pour Cisco Catalyst 6500 Series Switches et Cisco 7600 Series Routers

Cisco ASA 1000V Cloud Firewall

Cisco Adaptive Security Virtual Appliance (ASAv)

Cisco ASA 5500 Series Adaptive Security Appliances

Cisco ASA 5500-X Series Next-Generation Firewalls

Cisco Firepower 4100 Series

Cisco Firepower 9300 ASA Security Module

Cisco Industrial Security Appliance 3000

Cisco Firepower Threat Defense Software

Cisco PIX Firewalls

## Description

Le samedi 13 août, des attaquants se faisant appeler les Shadow Brokers
ont publiquement révélé des outils offensifs, qu'ils affirment provenir
d'Equation, un groupe d'élite lié à la NSA.
Parmi ces outils se trouve du code malveillant dont la fonction est
d'exploiter des vulnérabilités dans les pare-feux Cisco afin d'en
prendre le contrôle.
Dans ses bulletins de sécurité cisco-sa-20160817-asa-snmp et
cisco-sa-20160817-asa-cli (cf. Section Documentation), l'équipementier
énumère la liste de produits pour lesquels un correctif est
disponible.
Le CERT-FR recommande de durcir ses équipements tout en respectant les
bonnes pratiques (cf. Section Documentation).
Des règles de détection réseau sont également disponibles, soit de
manière payante (Cisco, cf. Section Documentation), soit à titre gratuit
(Emerging Threats, cf. Section Documentation).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

Avis CERTFR-2016-AVI-295

Règle de détection réseau Emerging Threats 2

Guide de durcissement des pare-feux Cisco ASA

Blog Cisco : Analyse de l'intégrité d'une image IOS

Guide de vérification d'intégrité ASA

Bulletin de sécurité cisco-sa-20160817-asa-cli Cisco du 17    août 2016

Guide de durcissement des équipements Cisco

Blog Cisco : The Shadow Brokers

Bulletin de sécurité cisco-sa-20160817-asa-snmp Cisco du 17    août 2016

Règle de détection réseau Emerging Threats 1

Annonce de fin de vie des Cisco Firewall Services Modules    (FWSM)

Annonce de fin de vie des Cisco PIX Firewalls

Change logs des règles Snort soumises à abonnement

version initiale.

ajout de produits sur la liste des systèmes affectés ainsi que les annonces de fin de vie des produits Cisco Firewall Services Module et Cisco PIX Firewalls.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
De multiples vulnérabilités ont été découvertes dans les pare-feux Cisco. Elles permettent à un
attaquant de provoquer une exécution de code arbitraire à distance.

Multiples vulnérabilités dans les pare-feux Cisco