Tous les systèmes d'exploitations Windows peuvent être  victimes de ce rançongiciel.

## Solution

## Mesures préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes de type SCR, CAB ou EXE. Il convient en effet de ne pas cliquer
sans vérification préalable sur les liens de messages et les pièces
jointes. Les utilisateurs ne doivent pas ouvrir de messages
électroniques de provenance inconnue, d'apparence inhabituelle ou
frauduleuse.

Le CERT-FR recommande également de filtrer les fichiers portant
l'extension SCR, EXE et CAB en pièce jointe des messages électroniques.
Si l'échange de tels fichiers est indispensable dans certains contextes
fonctionnels, il convient de bloquer ces fichiers globalement et de ne
les autoriser que pour les boites de messageries qui le nécessitent
absolument. Par ailleurs, si la passerelle de messagerie le permet, il
est recommandé de réaliser ce filtrage également dans les fichiers des
archives ZIP.

Plus généralement, il convient de mettre à jour les postes utilisateur,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle

Le CERT-FR recommande de configurer sur les postes de travail les
restrictions logicielles pour empêcher l'exécution de code à partir
d'une liste noire de répertoires :

-   Si la solution utilisée est AppLocker, les règles de blocage
    suivantes doivent être définies :
    -   `%OSDRIVE%\Users\*\AppData\`
    -   `%OSDRIVE%\Windows\Temp\`
-   Si les restrictions logicielles (SRP) sont utilisées, les règles de
    blocage suivantes doivent être définies :
    -   `%UserProfile%\AppData`
    -   `%SystemRoot%\Temp`

(cf les recommandations de l'ANSSI à ce sujet dans la partie
"Documentation")

Il est important de vérifier que le service "Application Identity"
(AppIDSvc) est paramétré en démarrage automatique sur l'ensemble des
postes pour que les restrictions logicielles soient opérantes (ce mode
de démarrage peut être paramétré à travers une politique de groupe sur
le domaine Windows).

Si des dysfonctionnements sont rencontrés suite au déploiement de ces
règles de blocage, il est nécessaire d'identifier les applications
légitimes situées dans ces répertoires, et de définir des règles en
liste blanche afin d'autoriser leur exécution.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateur, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

## Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés.

Le CERT-FR recommande aussi d'alerter le responsable sécurité ou le
service informatique au plus tôt.

Le temps de revenir à une situation normale, le CERT-FR recommande
également de positionner les permissions des dossiers partagés en
LECTURE SEULE afin d'empêcher la destruction des fichiers sur les
partages. Les personnels pourront continuer de travailler localement et
mettre à jour ultérieurement le partage.

Aussi, le CERT-FR recommande de prendre le temps de sauvegarder les
fichiers importants sur des supports de données isolés. Ces fichiers
peuvent être altérés ou encore être infectés. Il convient donc de les
traiter comme tels. De plus, les sauvegardes antérieures doivent être
préservées d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. Une liste d'URL connues du CERT-FR est fournie en annexe,
toutefois il est bien précisé qu'elle n'est pas exhaustive.

En complément, le CERT-FR recommande de rechercher et supprimer les
messages malveillants similaires dans les boîtes de messagerie des
utilisateurs

Enfin, le CERT-FR recommande la réinstallation complète du poste et la
restauration d'une sauvegarde réputée saine des données de
l'utilisateur.

De plus, dans le cadre de l'utilisation de profils itinérants, il
convient de supprimer la copie serveur du profil afin de prévenir la
propagation des codes malveillants par ce biais.

Néanmoins, le CERT-FR souhaite faire remarquer que des fichiers chiffrés
peuvent être conservés par la victime au cas où dans le futur, un moyen
de recouvrement des données originales serait découvert.

## Annexes : marqueurs de CTB-Locker

Cette liste de marqueurs n'est pas exhaustive et susceptible d'être mise
à jour ultérieurement.

### Champs "Objet" de messages malveillants

    [Fax server] +07909 546940
    copy from +07540040842
    Message H4H2LC68B7167E4F4
    New incoming fax message, S8F8E423F9285C5
    Incoming fax from +07843-982843
    [Fax server]:+07725-855368
    Fax ZC9257943991110
    New fax message from +07862-678057

### Liens utilisés pour le téléchargement du logiciel malveillant

    hxxp://agatecom.fr/voeux/doom.tar.gz
    hxxp://aspiroflash.fr/cai/abc.tar.gz
    hxxp://baselineproduction.fr/Modules/doom.tar.gz
    hxxp://bikeceuta.com/templates/nero.tar.gz
    hxxp://breteau-photographe.com/tmp/pack.tar.gz
    hxxp://cargol.cat/IESABP/nero.tar.gz
    hxxp://cds-chartreuse.fr/locales/sancho.tar.gz
    hxxp://cognacbrown.co.uk/ChromeSetup.exe
    hxxp://collection-opus.fr/_gfx/cario.tar.gz
    hxxp://compassfx.com/OLD/cario.tar.gz
    hxxp://dariocasati.it/logs/dostanes_do_drzky.tar.gz
    hxxp://dequinnzangersborne.nl/language/upupup.tar.gz
    hxxp://dieideenwerkstatt.at/css/abc.tar.gz
    hxxp://evalero.com/img/cario.tar.gz
    hxxp://fbrugues.com/language/hiser.tar.gz
    hxxp://firststepbahamas.com/PDF/abc.tar.gz
    hxxp://fotocb.de/php/upupup.tar.gz
    hxxp://funnydeando.com/pdthm0/moon1.exe
    hxxp://hotel-mas-saint-joseph.com/css/pack.tar.gz
    hxxp://Icedjungle.com/pdthm0/dan2.exe
    hxxp://integritysites.net/files/nero.tar.gz
    hxxp://jbmsystem.fr/jb/pack.tar.gz
    hxxp://joefel.com/easyscripts/sancho.tar.gz
    hxxp://krzysztofkarpinski.pl/log/hiser.tar.gz
    hxxp://locamat-antilles.com/memo/sancho.tar.gz
    hxxp://maisondessources.com/assets/pack.tar.gz
    hxxp://m-a-metare.fr/media/sancho.tar.gz
    hxxp://masterbranditalia.com/downloader/cario.tar.gz
    hxxp://microneedle.com/menu_files/pack.tar.gz
    hxxp://mmadolec.ipower.com/me/cario.tar.gz
    hxxp://n23.fr/asstempo/doom.tar.gz
    hxxp://necaps.org/pagestyles/mine.tar.gz
    hxxp://ohayons.com/dostanes_do_drzky.tar.gz
    hxxp://ourtrainingacademy.com/LeadingRE/sancho.tar.gz
    hxxp://peche-sportive-martinique.com/wp-includes/pack.tar.gz
    hxxp://pinballpassion.fr/images/mine.tar.gz
    hxxp://pleiade.asso.fr/piwigotest/pack.tar.gz
    hxxp://ppc.cba.pl/cache/nero.tar.gz
    hxxp://prevencionprl.com/im/hiser.tar.gz
    hxxp://pubbliemme.com/plugins/doom.tar.gz
    hxxp://scolapedia.org/histoiredesarts/pack.tar.gz
    hxxp://shop-oye.it/XXXinstallXXX/abc.tar.gz
    hxxp://siestahealthtrack.com/media/pack.tar.gz
    hxxp://smartoptionsinc.com/data-test/nero.tar.gz
    hxxp://sp107.home.pl/logs/dostanes_do_drzky.tar.gz
    hxxp://springtree.cba.pl/modules/cario.tar.gz
    hxxp://stevenblood.com/ChromeSetup.exe
    hxxp://stmarys-andover.org.uk/audio_files/upupup.tar.gz
    hxxp://telasramacrisna.com.br/ramacrisna/mine.tar.gz
    hxxp://telasramacrisna.com.br/site/lightbox/hiser.tar.gz
    hxxp://thelastxmas.com/ChromeSetup.exe
    hxxp://thehollow.co/ChromeSetup.exe
    hxxp://thinkonthis.net/style/dostanes_do_drzky.tar.gz
    hxxp://thomasottogalli.com/webtest/sancho.tar.gz
    hxxp://voigt-its.de/fit/pack.tar.gz
    hxxp://wcicinc.org/flv/dostanes_do_drzky.tar.gz
    hxxp://wireandwoods.ru/pdthm0/042.exe
    hxxp://www.baddadclub.com/ChromeSetup.exe
    hxxp://www.cpeconsultores.com/tmp/pack.tar.gz
    hxxp://www.geordie.land/ChromeSetup.exe
    hxxp://www.goodtobeloved.com/ChromeSetup.exe
    hxxp://www.lamas.si/picture_library/upupup.tar.gz
    hxxp://www.sazlar.de/sazlar/mine.tar.gz
    hxxp://www.thelatxma.com/ChromeSetup.exe
    hxxp://wymiana-wsb.cba.pl/pp/abc.tar.gz
    hxxp://zysztofkarpinski.pl/log/hiser.tar.gz

(remplacer hxxp par http)

Article de Bleeping Computer sur CTB Locker

Article de 2-viruses sur CTB Locker

Article du CERT Société Générale sur CTB Locker

Recommandations de l'ANSSI pour la mise en oeuvre d'une    politique de restrictions

Note d'information du CERTA sur les bons réflexes en cas    d'intrusion sur un système d'information

Article de McAfee sur CTB Locker

version initiale ;

mise à jour des recommandations.

fermeture de l'alerte.

Atteinte à la disponibilité des fichiers après chiffrement

Summary:
Depuis le début du mois de février 2015, le CERT-FR constate une
nouvelle vague importante de compromissions de type rançongiciel, qui
utilise cette fois principalement le programme malveillant appelé
CTB-Locker.

Un rançongiciel est un code malveillant qui
chiffre les données du poste compromis. Il va également cibler les
partages de fichiers accessibles en écriture à l'utilisateur dont la
session est compromise. À travers une boîte de dialogue, la victime est
ensuite invitée à verser de l'argent afin de récupérer la clé qui
permettra de déchiffrer les documents ciblés (Bitcoin, Paypal, carte
bleue). Il n'existe pas de moyens fiables pour récupérer la clé utilisée
par le code malveillant.

Attention, le CERT-FR tient à souligner que le recouvrement des données
après paiement n'est en aucun cas garanti. Au-delà du fait que cela
encourage ce type d'attaque, le recours à un moyen de paiement par carte
bleue expose la victime à des utilisations frauduleuses de celle-ci.

## Méthode d'attaque:

Dans le cas présent, la propagation constatée repose sur une campagne
d'hameçonnage. Les messages malveillants reçus prétendent être
accompagnés d'un fax en pièce jointe, qui en réalité est un programme
malveillant.

Ce code s'installe localement sur le poste par différents moyens :

-   fichier avec l'extension SCR ;
-   fichier avec l'extension SCR compressé dans un fichier au format zip
    (parfois il s'agit de compressions imbriquées) ;
-   fichier avec l'extension CAB ;
-   fichiers exécutables classiques (.EXE).

Le fichier avec l'extension SCR est un fichier exécutable : ce dernier
télécharge ensuite le code malveillant réalisant le chiffrement des
fichiers.

Nouvelle campagne d'hameçonnage de type rançongiciel


Internet Explorer version 10

Internet Explorer version 11

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Note d'information : vulnérabilité de type Cross Site    Scripting (XSS)

Recommandations pour le déploiement sécurisé du navigateur    Google Chrome sous Windows

Recommandations pour le déploiement sécurisé du navigateur    Mozilla Firefox sous Windows

Mitigating Cross-site Scripting With HTTP-only Cookies

Mitigating framesniffing with the X-Frame-Options header

Bulletin de sécurité Microsoft MS15-018 du 10 Mars 2015

Universal XSS vulnerability discovered in Microsoft    Internet Explorer

version initiale ;

fermeture de l'alerte suite à la publication d'un correctif par l'éditeur.

Contournement de la politique de sécurité

Injection de code indirecte à distance

Summary:
Une vulnérabilité référencée par l'identifiant CVE-2015-0072, a été
découverte dans Microsoft Internet Explorer.
Elle permet à un attaquant de contourner la politique dite Same Origin Policy et d'exécuter du code JavaScript malveillant via le chargement d'une
page HTML.

## 3 -.1 Fonctionnement de l'attaque

La politique SOP (Same
Origin Policy) est mise en place pour éviter que des scripts
malveillants puissent accéder aux données présentes sur d'autres
domaines, notamment aux cookies HTTP permettant de maintenir les
sessions authentifiées.

L'exploitation de cette vulnérabilité permet de contourner cette
protection et donc d'exécuter du code JavaScript dans le contexte d'une page tierce
telle qu'une application métier, un site bancaire, ou tout autre
application sensible.

## 3 -.2 Scénarios possibles d'attaque

Cette vulnérabilité est susceptible d'être mise en oeuvre lors de
tentatives d'hameçonnage ou lors d'attaques par point d'eau.

## 3 -.3 Risques encourus

Les risques encourus sont similaires à ceux liés aux attaques de type
injection de code indirecte (XSS). En particulier, l'exploitation de
cette vulnérabilité peut permettre de récupérer les cookies envoyés par
le navigateur pour usurper une session authentifiée.

Se référer à la note d'information CERTA-2002-INF-001-001 pour plus de
détails.

Vulnérabilité dans Microsoft Internet Explorer


Adobe Flash Player 11.2.202.468 et versions antérieures pour Linux

Adobe Flash Player 18.0.0.194 et versions antérieures

Adobe Flash Player Extended Support versions 13.0.0.296 et antérieures

Analyse de Trend Micro

version initiale.

Exécution de code arbitraire à distance

Summary:
Suite à l'exfiltration des données provenant de l'entreprise italienne
"Hacking Team", une vulnérabilité de type 0 day dans Adobe Flash Player a été dévoilée. Elle permet à
un attaquant de provoquer une exécution de code arbitraire à distance.
Plusieurs kits d'exploitation ont intégré cette vulnérabilité qui est
activement exploitée.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe Flash Player du 08 juillet 2015


Adobe Flash Extended Support Release 13.0.0.302 et les versions 13.x antérieures pour Windows et Macintosh

Adobe Flash Player 18.0.0.204 et versions antérieures pour Linux installées avec Google Chrome

Adobe Flash Player 18.0.0.203 et versions antérieures pour Windows et Macintosh

Adobe Flash Player Extended Support Release 11.2.202.481 et les versions 11.x antérieures pour Linux

Bulletin de sécurité Adobe du 10 juillet 2015

CVE-2015-5122 - Second Adobe Flash Zero-Day in HackingTeam    Leak

Bulletin de sécurité Adobe du 14 juillet 2015

version initiale.

rajout de la vulnérabilité CVE-2015-5123.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Suite à l'exfiltration des données provenant de l'entreprise italienne
Hacking Team, une seconde vulnérabilité de type 0-day dans Adobe Flash Player a été découverte, suivie d'une
troisième plus récemment.

Ces vulnérabilités sont critiques et peuvent permettre à un attaquant de
provoquer une exécution de code arbitraire à distance.

De façon similaire à la vulnérabilité couverte par l'alerte
CERTFR-2015-ALE-005, ces nouvelles vulnérabilités risquent d'être
rapidement intégrées dans différents kits d'exploitations et d'être
utilisées dans le cadre d'attaques.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe APSA15-04 du 10 juillet 2015

Bulletin de sécurité Adobe APSB15-18 du 14 juillet 2015


Oracle Java SE version 1.8.0.45 et antérieures

Pawn Storm Update: Trend Micro Discovers New Java Zero-Day    Exploit

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Oracle Java
SE par l'éditeur Trend Micro. Elle permet à un attaquant de
provoquer une exécution de code arbitraire à distance.

Cette vulnérabilité est actuellement exploitée et susceptible d'être
largement diffusée.

Vulnérabilité dans Oracle Java SE

Bulletin de sécurité Oracle du 14 juillet 2015


Windows Server 2012

Windows Server 2012 R2

Windows Server 2008 R2

Windows RT 8.1

Windows Server 2008

Windows 7

Windows Vista

Windows RT

Windows 8

Windows 8.1

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans le pilote de gestion des polices
de caractères de Microsoft Windows. Elle
permet à un attaquant de provoquer une exécution de code arbitraire à
distance.

Vulnérabilité dans le pilote de gestion des polices de caractères de Microsoft Windows

Bulletin de sécurité Microsoft MS15-078 du 20 juillet 2015


## Solution

L'exploitation de cette vulnérabilité se base sur la surcharge d'une
variable d'environnement dans Mac OS 10.10.x. En effet, la variable
d'environnement incriminée permet d'indiquer au système un fichier dans
lequel journaliser des erreurs.

L'exploitation de cette vulnérabilité permet donc une écriture
arbitraire de fichier avec des privilèges élevés et peut donc conduire à
une élévation de privilèges.

Cette fonctionnalité n'est disponible qu'à partir de la version 10.10 de
Mac OS X, les versions inférieures ne sont donc pas concernées.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité de l'éditeur

Extension de noyau SUIDGuard

OS X 10.10 DYLD_PRINT_TO_FILE Local Privilege Escalation    Vulnerability

version initiale.

clôture de l'alerte.

Élévation de privilèges

Summary:
Une vulnérabilité a été découverte dans Apple Mac
OS X. Elle permet à un attaquant de provoquer une élévation de
privilèges.

Vulnérabilité dans Apple Mac OS X


Google Android versions 2.2 et supérieures

## Solution

Le bulletin de sécurité de Google Nexus du 13 août 2015 a annoncé la
publication de correctifs de sécurité au sein de la forge Android Open
Source Project (AOSP). Les autres éditeurs ont pu intégrer ces
correctifs au sein de leur version personnalisée du système Android. Se
référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Google Nexus du 13 août 2015

version initiale.

fermeture de l'alerte.

Exécution de code arbitraire à distance

Summary:
De multiples vulnérabilités ont été découvertes dans Google Android. Elles permettent à un attaquant de
provoquer une exécution de code arbitraire à distance.

Multiples vulnérabilités dans Google Android

Annonce ZIMPERIUM du 27 juillet 2015


Adobe Flash Player 11.2.202.535 et versions antérieures pour Linux

Adobe Flash Player ESR 18.0.0.252 et versions antérieures

Adobe Flash Player 19.0.0.207 et versions antérieures pour Windows et Macintosh

Bulletin de sécurité Adobe APSA15-05 du 14 octobre 2015

Bulletin de sécurité Adobe du 16 octobre 2015

EMET 5.2

Déploiement et configuration centralisés d'EMET pour le    durcissement des postes de travail et des serveurs Microsoft    Windows

version initiale ;

ajout d'informations complémentaires issues du bulletin publié par Adobe.

clotûre de l'alerte

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Adobe Flash
Player. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.
Cette vulnérabilité est activement exploitée dans le cadre d'attaques
ciblées.

Vulnérabilité dans Adobe Flash Player

Article de Trend Micro du 13 octobre 2015


Tous les systèmes d'exploitations Windows peuvent être  victimes de ce logiciel malveillant.

## Solution

Afin de se protéger contre ce type de menace, les préconisations
habituelles sont rappelées :

-   ne pas ouvrir les documents en pièces jointes d'un message
    électronique non sollicités ;
-   désactiver l'exécution automatique des macros dans les suites
    bureautiques ;
-   maintenir le système d'exploitation et l'antivirus du poste de
    travail à jour.

La désactivation de l'exécution automatique des macros Office se
paramètre dans le menu suivant :

Fichier / Options / Centre de gestion de la confidentialité / Paramètre
du Centre de gestion de la confidentialité / Paramètres des macros /
Désactiver toutes les macros avec notifications

version initiale ;

ajout de marqueurs supplémentaires ;

ajout de marqueurs supplémentaires ;

ajout de marqueurs supplémentaires ;

clôture de l'alerte.

Installation d'un logiciel malveillant de type dridex

Summary:
Depuis la mi-octobre 2015, le CERT-FR constate à l'échelle nationale une
vague de pourriels dont le taux de blocage par les passerelles
anti-pourriel est relativement faible. Cette vague est similaire à ce
qui a déjà pu être observé au mois de juin de cette même année et décrit
dans le bulletin d'actualité CERTFR-2015-ACT-024 (

    http://www.cert.ssi.gouv.fr/site/CERTFR-2015-ACT-024/index.html

).

Ces pourriels embarquent des documents Microsoft Office contenant des
macros VBA malveillantes. Elles ont pour but d'infecter la victime avec
un logiciel malveillant connu initialement sous le nom de Dridex.

Ces pourriels sont très souvent rédigés dans un français sans faute. Le
sujet et le contenu du pourriel mentionnent des problèmes de
facturation, dans la plupart des cas, pour inciter la victime à ouvrir
la pièce jointe. Dans certains cas il est aussi fait référence à un
document scanné.

Nous avons également pu constater la présence de pourriels rédigés en
langue anglaise embarquant des documents Microsoft Excel.

D'après les échantillons que le CERT-FR a observés, le téléchargement de
Dridex s'effectue par l'intermédiaire d'une macro VBA ayant pour
objectif le téléchargement du binaire à partir d'un serveur malveillant.
Il est intéressant de noter que sur la plupart des échantillons
aujourd'hui analysés, le téléchargement du binaire s'effectue sur un
port HTTP non standard. Cette caractéristique réseau permet de détecter
pour cette variante les postes ayant exécuté la macro citée
précédemment.

À l'aide les échantillons remontés, le CERT-FR a constaté que les URLs
de téléchargement du binaire Dridex sont les suivantes (toutes les URLs
suivantes ont été démilitarisées par l'adjonction du suffixe .\_BAD\_
aux noms de domaines et adresses IP) :

-   http://5.2.199.30_BAD\_:8080/uniq/load.php
-   http://84.200.52.52_BAD\_:8080/uniq/load.php
-   http://93.170.104.168_BAD\_:8080/uniq/load.php
-   http://113.30.152.165_BAD\_:8080/uniq/load.php
-   http://113.30.152.167_BAD\_:8080/uniq/load.php
-   http://168.243.33.195_BAD\_:8080/uniq/load.php
-   http://178.62.7.183_BAD\_:8080/uniq/load.php
-   http://195.37.231.2_BAD\_:8080/uniq/load.php
-   http://199.175.55.116_BAD\_:8080/uniq/load.php
-   http://webmatique.info_BAD\_/35436/5324676645.exe
-   http://www.tokushu.co.uk_BAD\_/56475865/ih76dfr.exe
-   http://113.30.152.170_BAD\_:8180/uniq/load.php
-   http://186.47.80.90_BAD\_:8080/images/getimg.php
-   http://117.239.73.244_BAD\_:8880/images/getimg.php
-   http://178.33.167.120_BAD\_:8880/images/getimg.php
-   http://landprosystems.com_BAD\_/34g3f3g/68k7jh65g.exe
-   http://103.252.100.44_BAD\_:8880/Citrix/applet.php
-   http://68.169.59.208_BAD\_:8880/Citrix/applet.php
-   http://117.239.73.244_BAD\_:8880/Citrix/applet.php
-   http://86.34.133.90_BAD\_:8180/Citrix/applet.php
-   http://78.129.133.249_BAD\_:8880/Citrix/applet.php
-   http://103.252.100.44_BAD\_:8880/benzin/ai76.php
-   http://178.32.136.167_BAD\_:8880/benzin/ai76.php
-   http://68.169.59.208_BAD\_:8880/benzin/ai76.php
-   http://skredman.webz.cz_BAD\_/334g5j76/897i7uxqe.exe
-   http://novyzeland2013.webzdarma.cz_BAD\_/334g5j76/897i7uxqe.exe
-   http://187.5.6.136_BAD\_:8008/sezamstreet/ziliboba.php
-   http://203.172.180.195_BAD\_:8008/sezamstreet/ziliboba.php
-   http://1.179.170.7_BAD\_:8008/sezamstreet/ziliboba.php
-   http://mgming.rs_BAD\_/87yte55/6t45eyv.exe
-   http://www.davidcaballero.com_BAD\_/87yte55/6t45eyv.exe
-   http://bbofilinc.com_BAD\_/ builder2012/87yte55/6t45eyv.exe
-   http://www.clemenciaortiz.com_BAD\_/87yte55/6t45eyv.exe
-   http://sanoko.jp_BAD\_/5t546523/lhf3f334f.exe
-   http://aniretak.wz.cz_BAD\_/5t546523/lhf3f334f.exe
-   http://piotrektest.cba.pl_BAD\_/45yfqfwg/6ugesgsg.exe
-   http://wmdrewniana8.cba.pl_BAD\_/45yfqfwg/6ugesgsg.exe
-   http://williamcannady.com_BAD\_/345u754/433fd.exe
-   http://hardware-software.xf.cz_BAD\_/345u754/433fd.exe

Enfin, les échantillons Dridex ainsi récupérés tentent de communiquer
avec les serveurs suivants :

-   5.63.88.100:4403
-   5.187.4.183:473
-   31.29.106.75:443
-   37.128.132.96:443
-   41.38.18.230:443
-   45.55.136.31:473
-   46.31.43.57:443
-   67.211.95.228:5445
-   68.169.54.179:6446
-   74.208.12.150:444
-   75.99.13.123:8443
-   78.243.156.115:444
-   89.32.145.12:4483
-   89.189.174.19:444
-   93.185.75.21:443
-   103.251.90.43:5445
-   106.187.38.36:473
-   107.170.237.112:473
-   118.174.31.57:444
-   119.47.112.227:473
-   124.219.79.244:443
-   128.199.122.196:6446
-   130.185.189.81:443
-   157.252.245.49:473
-   158.85.92.20:443
-   162.13.137.236:444
-   168.187.96.115:443
-   183.81.166.5:443
-   185.48.144.4:443
-   188.21.18.226:443
-   192.130.75.146:444
-   193.251.76.63:443
-   195.154.251.123:473
-   195.251.250.37:448
-   198.50.205.130:443
-   198.74.58.153:5445
-   200.29.90.162:443
-   202.129.57.130:443
-   202.157.171.198:444
-   217.160.110.232:444
-   221.132.35.56:8843

Campagne de messages électroniques non sollicités de type Dridex


Entrée de blog de la société Sucuri

version initiale.

mise à jour des adresses IP.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Joomla!. Elle permet à un attaquant de provoquer
une exécution de code arbitraire à distance.

Une mise à jour de sécurité a été publiée aujourd'hui sur le site
officiel de Joomla!.

Cependant, une société de sécurité informatique précise qu'une vague
d'attaques provenant des adresses IP 146.0.72.83, 74.3.170.33,
93.179.68.167, 199.182.234.132, 185.15.185.17, 37.61.232.173 et
194.28.174.106 avait débuté avant la mise en ligne du correctif. En plus
de ces adresses IP, des marqueurs de détection dans les fichiers de log
sont fournis : la présence de la chaîne "JDatabaseDriverMysqli" ou de la
chaîne "O:" dans l'entête HTTP User-Agent.

Le CERT-FR recommande, pour les utilisateurs de Joomla!, la mise à jour immédiate vers la version
3.4.6 ainsi que la recherche de la chaîne "JDatabaseDriverMysqli" dans
le fichier de log ainsi que des connexions depuis les adresses IP
146.0.72.83, 74.3.170.33, 93.179.68.167, 199.182.234.132, 185.15.185.17,
37.61.232.173 ou 194.28.174.106.

Vulnérabilité dans Joomla!

Bulletin de sécurité Joomla! du 14 décembre 2015


Juniper ScreenOS versions 6.3.0r12 à 6.3.0r20

Juniper ScreenOS versions 6.2.0r15 à 6.2.0r18

## Solution

Une mise à jour de sécurité a été publiée hier sur le site officiel de
Juniper.

Cette mise à jour corrige plusieurs failles de sécurité critiques au
niveau du système ScreenOS, identifiées à la suite d'un audit de code
interne réalisé par Juniper.

La première vulnérabilité corrigée permettait à un attaquant de se
connecter, via les protocoles SSH ou telnet, à tout équipement réseau
Juniper utilisant une version vulnérable du système d'exploitation
ScreenOS (versions antérieures à 6.2.0r18 ou 6.3.0r20).

De plus, le mot de passe de la porte dérobée a été identifié et a été
rendu public sur Internet.

Cette compromission peut être détectée par la présence dans les journaux
de notifications de connexions "anormales" pendant lesquelles le passage
en mode administrateur (system) s'effectue depuis un compte utilisateur
"standard" (username2) :

        2015-12-17 09:00:00 system warn 00515 Admin user system has logged on
            via SSH from [...]
        2015-12-17 09:00:00 system warn 00528 SSH: Password authentication
            successful for admin user 'username2' at host [...]

Cependant la société Juniper souligne le fait qu'unattaquant, ayant le
niveau requis pour exploiter cettevulnérabilité, aura vraisemblablement
effacé toute trace de sesconnexions dans les journaux.

La société Fox-It propose des signatures au format Snort afin
d'identifer toute tentative de connexion à un équipement Juniper
vulnérable via la porte dérobée.

La seconde vulnérabilité permettait à un attaquant, en capacité
d'écouter le trafic VPN émis depuis un équipement concerné, de
déchiffrer ce trafic.

Le CERT-FR recommande donc aux utilisateur de Juniper ScreenOS de
procéder à une mise à jour immédiate du système d'exploitation. De plus,
le CERT-FR insiste sur l'importance d'isoler l'accès aux interfaces
d'administration des équipements réseaux afin de n'autoriser que les
connexions depuis des systèmes de confiance.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

ScreenOS 6.3.0r22

Annonce Juniper

Règles Snort de détection d'exploitation

CERTFR-2016-AVI-117

version initiale.

ajout de règles Snort dans les contournements provisoires.

clôture de l'alerte

Contournement de la politique de sécurité

Summary:
Une vulnérabilité a été découverte dans Juniper
ScreenOS. Elle permet à un attaquant de provoquer un
contournement de la politique de sécurité.

Vulnérabilité dans Juniper ScreenOS

Bulletin de sécurité Juniper SA10713 du 17 décembre 2015


## Solution

## Solutions préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes. Il convient en effet de ne pas cliquer sans vérification
préalable sur les liens de messages et les pièces jointes. Les
utilisateurs ne doivent pas ouvrir des messages électroniques de
provenance inconnue, d'apparence inhabituelle ou frauduleuse. Plus
généralement, il convient de mettre à jour les postes utilisateurs,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle.

Le CERT-FR recommande de configurer sur les postes de travail les
restrictions logicielles pour empêcher l'exécution de code à partir
d'une liste noire de répertoires :

-   Si la solution utilisée est AppLocker, les règles de blocage
    suivantes doivent être définies :
    -   OSDRIVE\\Users\\\*\\AppData\\
    -   OSDRIVE\\Windows\\Temp\\
-   Si les restrictions logicielles (SRP) sont utilisées, les règles de
    blocage suivantes doivent être définies :
    -   UserProfile\\AppData
    -   SystemRoot\\Temp

Il est important de vérifier que le service "Application Identity"
(AppIDSvc) est paramétré en démarrage automatique sur l'ensemble des
postes pour que les restrictions logicielles soient opérantes (ce mode
de démarrage peut être paramétré à travers une politique de groupe sur
le domaine Windows). Si des dysfonctionnements sont rencontrés suite au
déploiement de ces règles de blocage, il est nécessaire d'identifier les
applications légitimes situées dans ces répertoires, et de définir des
règles en liste blanche afin d'autoriser leur exécution.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateurs, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

## Solutions réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés. Le CERT-FR
recommande aussi d'alerter le responsable sécurité ou le service
informatique au plus tôt. Le temps de revenir à une situation normale,
le CERT-FR recommande également de positionner les permissions des
dossiers partagés en LECTURE SEULE afin d'empêcher la destruction des
fichiers sur les partages. Les personnels pourront continuer de
travailler localement et mettre à jour ultérieurement le partage. Aussi,
le CERT-FR recommande de prendre le temps de sauvegarder les fichiers
importants sur des supports de données isolés. Ces fichiers peuvent être
altérés ou encore être infectés. Il convient donc de les traiter comme
tels. De plus, les sauvegardes antérieures doivent être préservées
d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. En complément, le CERT-FR recommande de rechercher et supprimer
les messages malveillants similaires dans les boîtes de messagerie des
utilisateurs. Par ailleurs, le CERT-FR recommande la réinstallation
complète du poste et la restauration d'une sauvegarde réputée saine des
données de l'utilisateur. De plus, dans le cadre de l'utilisation de
profils itinérants, il convient de supprimer la copie serveur du profil
afin de prévenir la propagation des codes malveillants par ce biais.

Enfin, les fichiers chiffrés peuvent être conservés par la victime au
cas où dans le futur, un moyen de recouvrement des données originales
serait découvert. Sur ce point, il est intéressant de noter que le
déchiffrement des fichiers impactés par la version de TeslaCrypt
utilisée lors de cette campagne semble, dans certains, cas envisageable.
En effet, un projet comme TeslaCrack peut s'avèrer efficace mais
nécessite plusieurs étapes de mise en oeuvre (récupération de
dépendances, compilations, ...) mais aussi obligatoirement une étape
d'initialisation (factorisation) qui peut être très coûteuse en temps
d'exécution.

Cette alerte sera maintenue tant que le volume de message électronique
constaté sera considéré significatif par le CERT-FR.

Projet TeslaCrack

version initiale ;

ajout de marqueurs supplémentaires ;

mise à jour des mesures réactives ;

clôture de l'alerte ;

Installation d'un logiciel malveillant de type teslacrypt

Summary:
Depuis le début du mois de décembre 2015, et plus massivement depuis la
mi-décembre 2015, le CERT-FR constate à l'échelle nationale une vague de
pourriels dont le taux de blocage par les passerelles anti-pourriel est
relativement faible. Ces pourriels ont pour objectif la diffusion du
rançongiciel TeslaCrypt.

Un rançongiciel est un programme malveillant qui chiffre les données du
poste compromis. Il va également cibler les partages de fichiers
accessibles depuis le compte utilisateur dont la session est compromise.
Celui-ci est exécuté, dans le cas présent, par une action de
l'utilisateur. La victime est ensuite invitée à verser de l'argent afin
que l'attaquant déchiffre les fichiers ciblés.

Dans le cadre de cette campagne, et d'après les échantillons que le
CERT-FR a observés, la diffusion de TeslaCrypt s'effectue par
l'intermédiaire d'un pourriel dans lequel se trouve une pièce jointe au
format zip. Cette archive contient un fichier offusqué au format js
(javascript) dont l'objectif est la récupération puis l'exécution du
malware. L'exécution de ce dernier entraine le chiffrement des données
et les fichiers sont renommés avec l'extension ".vvv".

Il est intéressant de noter que le binaire est jusqu'à présent composé
de deux chiffres et de l'extension ".exe". Cette caractéristique peut
permettre le blocage ou la mise en place d'alertes via les serveurs
mandataires.

À l'aide les échantillons remontés, le CERT-FR a constaté que les URLs
de téléchargement du binaire TeslaCrypt sont les suivantes (toutes les
URLs suivantes ont été démilitarisées par l'adjonction du suffixe
.\_BAD\_ aux noms de domaines et adresses IP) :

-   http://5.39.222.193_BAD\_/73.exe
-   http://46.151.52.196_BAD\_/80.exe
-   http://46.151.52.196_BAD\_/86.exe
-   http://46.151.52.197_BAD\_/73.exe
-   http://46.151.52.197_BAD\_/80.exe
-   http://46.151.52.197_BAD\_/85.exe
-   http://46.151.52.197_BAD\_/86.exe
-   http://46.151.52.231_BAD\_/87.exe
-   http://74.117.183.84_BAD\_/73.exe
-   http://777advisors.com_BAD\_/85.exe
-   http://aawraa.com_BAD\_/wp-includes/theme-compat/73.exe
-   http://avtimespg.com_BAD\_/73.exe
-   http://abortoptions.com_BAD\_/wp-includes/images/smilies/85.exe
-   http://aboutacquisitions.com_BAD\_/wp-includes/theme-compat/85.exe
-   http://acabadosintegrales.com_BAD\_/wp-includes/js/mediaelement/73.exe
-   http://achesoncorner.com_BAD\_/wp-includes/fonts/73.exe
-   http://acsbrokerage.com_BAD\_/css/fonts/\_\_pages_sources/85.exe
-   http://actuvillage.com_BAD\_/images/thumbs/73.exe
-   http://areyouwevenlisten.com_BAD\_/73.exe
-   http://artskorat.com_BAD\_/html/images/80.exe
-   http://auctorit.com_BAD\_/beta/js/73.exe
-   http://aycenergy.com_BAD\_/wp/wp-includes/fonts/80.exe
-   http://autocraftmedia.com_BAD\_/mappalachian/tmp/73.exe
-   http://babykucomel.com_BAD\_/wp-admin/js/73.exe
-   http://balwindersingh.in_BAD\_/bsdemo/js/73.exe
-   http://baneyconstruction.com_BAD\_/kldf/cachec50da2243ebb9d634cfad3427cafcc61/73.exe
-   http://bareknucklebabes.com_BAD\_/wp-admin/maint/73.exe
-   http://bauelementeberater.info_BAD\_/73.exe
-   http://beandbecomeadvising.com_BAD\_/wp-admin/maint/73.exe
-   http://beatifulgdf9dr.com_BAD\_/73.exe
-   http://bellychef.com_BAD\_/wp-includes/theme-compat/73.exe
-   http://bereanbibledenver.com_BAD\_/wp-admin/js/73.exe
-   http://bestsurfinglessons.com_BAD\_/wp-includes/theme-compat/73.exe
-   http://betterhealth4us.com_BAD\_/wp-includes/fonts/73.exe
-   http://bfcaterers.com_BAD\_/wp-includes/certificates/73.exe
-   http://fernytowd.com_BAD\_/73.exe
-   http://fernytowd.com_BAD\_/80.exe
-   http://firstwetakemanhat.com_BAD\_/80.exe
-   http://firstwetakemanhat.com_BAD\_/91.exe
-   http://gammus.com_BAD\_/69.exe
-   http://gammus.com_BAD\_/73.exe
-   http://goonricerwiththat.com_BAD\_/69.exe
-   http://goonricerwiththat.com_BAD\_/80.exe
-   http://hopemillsglassco.com_BAD\_/wp-includes/fonts/85.exe
-   http://iamthewinnerhere.com_BAD\_/73.exe
-   http://iamthewinnerhere.com_BAD\_/80.exe
-   http://iamthewinnerhere.com_BAD\_/97.exe
-   http://ifyougowegotoo.com_BAD\_/90.exe
-   http://ifyougowegotoo.com_BAD\_/94.exe
-   http://igonnafuckyougood.com_BAD\_/73.exe
-   http://igonnafuckyougood.com_BAD\_/80.exe
-   http://miracleworld1.com_BAD\_/80.exe
-   http://miracleworld1.com_BAD\_/91.exe
-   http://prestakitchen.com_BAD\_/wp-includes/pomo/85.exe
-   http://soft2webextrain.com_BAD\_/87.exe
-   http://softextrain64.com_BAD\_/80.exe
-   http://softextrain64.com_BAD\_/86.exe
-   http://soughreneg.com_BAD\_/93.exe
-   http://soughreneg.com_BAD\_/94.exe
-   http://washawaydesctrucion.com_BAD\_/90.exe
-   http://whatdidyaysay.com_BAD\_/73.exe
-   http://whatdidyaysay.com_BAD\_/80.exe
-   http://whatdidyaysay.com_BAD\_/97.exe

Campagne de messages électroniques non sollicités de type TeslaCrypt


Tous les systèmes d'exploitations Windows peuvent être victimes de ce logiciel malveillant.

## Solution

### Mesures préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes. Il convient en effet de ne pas cliquer sans vérification
préalable sur les liens de messages et les pièces jointes. Les
utilisateurs ne doivent pas ouvrir des messages électroniques de
provenance inconnue, d'apparence inhabituelle ou frauduleuse. Plus
généralement, il convient de mettre à jour les postes utilisateurs,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle.

Le CERT-FR recommande de configurer sur les postes de travail les
restrictions logicielles pour empêcher l'exécution de code à partir
d'une liste noire de répertoires :

-   Si la solution utilisée est AppLocker, les règles de blocage
    suivantes doivent être définies :
    -   OSDRIVE\\Users\\\*\\AppData\\
    -   OSDRIVE\\Windows\\Temp\\
-   Si les restrictions logicielles (SRP) sont utilisées, les règles de
    blocage suivantes doivent être définies :
    -   UserProfile\\AppData
    -   SystemRoot\\Temp

Il est important de vérifier que le service "Application Identity"
(AppIDSvc) est paramétré en démarrage automatique sur l'ensemble des
postes pour que les restrictions logicielles soient opérantes (ce mode
de démarrage peut être paramétré à travers une politique de groupe sur
le domaine Windows). Si des dysfonctionnements sont rencontrés suite au
déploiement de ces règles de blocage, il est nécessaire d'identifier les
applications légitimes situées dans ces répertoires, et de définir des
règles en liste blanche afin d'autoriser leur exécution.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateurs, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

### Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés. Le CERT-FR
recommande aussi d'alerter le responsable sécurité ou le service
informatique au plus tôt. Le temps de revenir à une situation normale,
le CERT-FR recommande également de positionner les permissions des
dossiers partagés en LECTURE SEULE afin d'empêcher la destruction des
fichiers sur les partages. Les personnels pourront continuer de
travailler localement et mettre à jour ultérieurement le partage. Aussi,
le CERT-FR recommande de prendre le temps de sauvegarder les fichiers
importants sur des supports de données isolés. Ces fichiers peuvent être
altérés ou encore être infectés. Il convient donc de les traiter comme
tels. De plus, les sauvegardes antérieures doivent être préservées
d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. En complément, le CERT-FR recommande de rechercher et supprimer
les messages malveillants similaires dans les boîtes de messagerie des
utilisateurs. Par ailleurs, le CERT-FR recommande la réinstallation
complète du poste et la restauration d'une sauvegarde réputée saine des
données de l'utilisateur. De plus, dans le cadre de l'utilisation de
profils itinérants, il convient de supprimer la copie serveur du profil
afin de prévenir la propagation des codes malveillants par ce biais.

Enfin, les fichiers chiffrés peuvent être conservés par la victime au
cas où dans le futur, un moyen de recouvrement des données originales
serait découvert.

Cette alerte sera maintenue tant que le volume de message électronique
constaté sera considéré significatif par le CERT-FR.

version initiale ;

ajout des serveurs de Commande et Contrôle ;

Clôture de l'alerte.

Installation d'un logiciel malveillant de type locky

Summary:
Depuis la mi-février 2016, le CERT-FR constate à l'échelle nationale une
vague de pourriels dont le taux de blocage par les passerelles
anti-pourriel est relativement faible. Ces pourriels ont pour objectif
la diffusion du rançongiciel Locky.

Un rançongiciel est un programme malveillant qui chiffre les données du
poste compromis. Il va également cibler les partages de fichiers
accessibles depuis le compte utilisateur dont la session est compromise.
Celui-ci est exécuté, dans le cas présent, par une action de
l'utilisateur. La victime est ensuite invitée à verser de l'argent afin
que l'attaquant déchiffre les fichiers ciblés.

Dans le cadre de cette campagne, et d'après les échantillons que le
CERT-FR a observés, la diffusion de Locky s'effectue par l'intermédiaire
d'un pourriel dans lequel se trouve une pièce jointe au format doc. Ce
document Microsoft Office contient un texte illisible ainsi qu'un
message indiquant la nécessité d'activer les macros pour l'affichage
correct du message. Macro dont l'objectif est la récupération puis
l'exécution du malware. L'exécution de ce dernier entraine le
chiffrement des données et les fichiers sont renommés avec l'extension
".locky".

Il est intéressant de noter que le message eléctronique a pour sujet
"ATTN: Invoice J-\<8 chiffres\>" et la pièce jointe pour nom
"invoice_J-\<8 mêmes chiffres\>". Cette caractéristique peut permettre
le blocage ou la mise en place d'alertes via les serveurs mandataires.

À l'aide les échantillons remontés, le CERT-FR a constaté que les URLs
de téléchargement du binaire Locky sont les suivantes :

    http://avp-mech.ru_BAD_/7/7.exe
    http://bebikiask.bc00.info_BAD_/5/5.exe
    http://bnfoviesrdtnslo.uk_BAD_
    http://cscrrxyiyc.be_BAD_
    http://dkoipg.pw_BAD_
    http://drhxvktlaprrhl.be_BAD_
    http://dulichando.org_BAD_
    http://fnarsipfqe.pw_BAD_
    http://gahal.cz_BAD_
    http://193.124.181.169_BAD_/main.php
    http://195.154.241.208_BAD_/main.php
    http://91.195.12.185_BAD_/main.php
    http://91.234.33.206_BAD_/main.php
    https://103.23.154.184_BAD_:443
    https://103.245.153.70_BAD_:343
    https://129.15.240.105_BAD_:443
    https://140.78.60.4_BAD_:443
    https://144.76.73.3_BAD_:1743
    https://148.202.223.222_BAD_:443
    https://174.70.100.90_BAD_:443
    https://176.53.0.103_BAD_:443
    https://181.177.231.245_BAD_:443
    https://181.53.255.145_BAD_:444
    https://185.24.92.236_BAD_:1743
    https://185.47.108.92_BAD_:443
    https://188.126.116.26_BAD_:443
    https://193.17.184.250_BAD_:443
    https://194.126.100.220_BAD_:443
    https://200.57.183.176_BAD_:443
    https://209.239.86.10_BAD_:443
    https://217.35.78.204_BAD_:443
    https://41.38.18.230_BAD_:443
    https://41.86.46.245_BAD_:443
    https://46.183.66.210_BAD_:443
    https://62.109.133.248_BAD_:444
    https://85.143.166.200_BAD_:1743
    http://iamnickrobinson.com_BAD_
    http://iynus.net_BAD_
    http://jaomjlyvwxgdt.fr_BAD_
    http://jbdog.it_BAD_
    http://killerjeff.free.fr_BAD_/2/2.exe
    http://kpybuhnosdrm.in_BAD_
    http://luvenxj.uk_BAD_
    http://vmanipalecom.net_BAD_
    http://vodcxeeg.tf_BAD_
    http://ofhhoowfmnuihyd.ru_BAD_
    http://onigirigohan.web.fc2.com_BAD_/1/1.exe
    http://premium34.tmweb.ru_BAD_/4/4.exe
    http://qheksr.de_BAD_
    http://sdwempsovemtr.yt_BAD_
    http://seaclocks.co.uk_BAD_
    http://tirohbvok.in_BAD_
    http://uponor.otistores.com_BAD_/3/3.exe
    http://vkrdbsrqpi.de_BAD_
    http://vldxhdofpmcos.uk_BAD_
    http://wpogw.it_BAD_
    http://www.iglobali.com_BAD_
    http://www.jesusdenazaret.com.ve_BAD_
    http://www.southlife.church_BAD_
    http://www.villaggio.airwave.at_BAD_

##### Mise à jour

Ajout de nouveaux marqueurs suite à une publication de McAfee
(2016/02/22):

    http://95.181.171.58_BAD_
    http://185.14.30.97_BAD_
    http://195.22.28.196_BAD_
    http://195.22.28.198_BAD_
    http://pvwinlrmwvccuo.eu_BAD_
    http://cgavqeodnop.it_BAD_
    http://kqlxtqptsmys.in_BAD_
    http://wblejsfob.pw_BAD_

##### Mise à jour

Depuis le 29 févier 2016, le CERT-FR constate à l'échelle nationale une
vague de pourriel sous la forme d'un message électronique provenant de
l'opérateur de téléphonie mobile Free Mobile du type suivant :

    Subject: Facture mobile du 29-02-2016
    From: "Free Mobile" <freemobile@free-mobile.fr>
    Date: 29/02/2016 12:01
    To: <xxx@yyy.zzz>

Cher(e) abonne(e),

Veuillez trouver en piece jointe votre facture mobile du 01-02-2016,
d'un montant de 19.99E.

Vous pouvez a tout moment desactiver la reception de votre facture par
email dans votre espace abonne : http://mobile.free.fr

Sinceres salutations.

L'equipe Free

--
Free Mobile - SAS au capital de 365.138.779 Euros - RCS PARIS 499 247
138 -
Siege social : 16 rue de la Ville l'eveque 75008 Paris

Attachments:
Freemobile_0782884641_29-02-2016.pdf 1,7 KB

La pièce jointe est en fait une archive ZIP contenant un fichier
javascript nommé EPSON000\<nombre à 10 chiffres\>.js. Ce script va
ensuite télécharger la charge malveillante. Parmi les échantillons
analysés, les URLS suivantes sont utilisées pour ce téléchargement :

    http://baiya_BAD_.org/image/templates/7ygvtyvb7niim.exe
    http://bindulin_BAD_.by/system/logs/7ygvtyvb7niim.exe
    http://english-well_BAD_.ru/assets/js/7ygvtyvb7niim.exe
    http://kokliko_BAD_.com.ua/admin/swfupload/7ygvtyvb7niim.exe
    http://liquor1.slvtechnologies_BAD_.com/system/logs/7ygvtyvb7niim.exe
    http://mansolution_BAD_.in.th/system/logs/7ygvtyvb7niim.exe
    http://u1847.netangels_BAD_.ru/system/smsgate/7ygvtyvb7niim.exe
    http://www.notebooktable_BAD_.ru/system/logs/7ygvtyvb7niim.exe

##### Mise à jour

Nouveaux marqueurs (03/03/2016):

    http://sm1_BAD_.by/vqmod/xml/76tr5rguinml.exe
    http://dohoatrang.vn._BAD_/system/logs/23f3rf33.exe

##### Mise à jour

Nouveaux marqueurs (15/03/2016):

Téléchargement de la charge :

    http://tech-cart.com._BAD_/system/logs/lkj87h.exe
    http://mutlulukhayali.com._BAD_/system/logs/lkj87h.exe

##### Mise à jour

Nouveaux marqueurs (29/03/2016):

    store.brugomug.co.uk._BAD_/765f46vb.exe
    ggbongs.com._BAD_/765f46vb.exe
    dragonex.com._BAD_/765f46vb.exe
    homedesire.co.uk._BAD_/765f46vb.exe
    scorpena.com._BAD_/765f46vb.exe
    pockettypewriter.co.uk._BAD_/765f46vb.exe
    enduro.si._BAD_/pdf/765f46vb.exe
    185.130.7.22._BAD_/files/qFBC5Y.exe

#### Serveurs de Commande et Contrôle (CnC)

Sur la base des différentes sources ouvertes sur Internet ainsi que
d'éléments transmis par des partenaires du CERT-FR, voici une liste
d'URLs suspectées d'abriter des services de commande et contrôle. La
mise en liste noire de ces adresses est à considérer dans le cadre d'une
protection contre le rançongiciel Locky.

    http://193.124.181.169_BAD_/main.php
    http://195.154.241.208_BAD_/main.php
    http://91.195.12.185_BAD_/main.php
    http://91.234.33.206_BAD_/main.php
    http://109.234.38.35_BAD_/main.php
    http://lneqqkvxxogomu.eu_BAD_/main.php
    http://qpdar.pw_BAD_/main.php
    http://ydbayd.de_BAD_/main.php
    http://ssojravpf.be_BAD_/main.php
    http://gioaqjklhoxf.eu_BAD_/main.php
    http://txlmnqnunppnpuq.ru_BAD_/main.php
    http://jbdog.IT_BAD_/main.php
    http://kpybuhnosdrm.in_BAD_/main.php
    http://luvenxj.uk_BAD_/main.php
    http://dkoipg.pw_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://91.219.29.55_BAD_/main.php
    http://46.4.239.76_BAD_/main.php
    http://94.242.57.45_BAD_/main.php
    http://80.86.91.232_BAD_/main.php
    http://wblejsfob.pw_BAD_/main.php
    http://kqlxtqptsmys.in_BAD_/main.php
    http://cgavqeodnop.it_BAD_/main.php
    http://vpvwinlrmwvccuo.eu_BAD_/main.php
    http://dltvwp.it_BAD_/main.php
    http://uxvvm.us_BAD_/main.php
    http://195.154.241.208_BAD_/main.php
    http://kqlxtqptsmys.in_BAD_/main.php
    http://cgavqeodnop.it_BAD_/main.php
    http://pvwinlrmwvccuo.eu_BAD_/main.php
    http://dltvwp.it_BAD_/main.php
    http://uxvvm.us_BAD_/main.php
    http://wblejsfob.pw_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://91.219.29.55_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://188.138.88.184_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://88.138.88.184_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://185.46.11.239_BAD_/main.php
    http://185.22.67.27_BAD_/main.php
    http://31.184.233.106_BAD_/main.php
    http://pccibcjncnhjn.yt_BAD_/main.php
    http://qtysmobytagnrv.it_BAD_/main.php
    http://rddipikmrap.us_BAD_/main.php
    http://suhpqiumpjsv.ru_BAD_/main.php
    http://vkcims.pm_BAD_/main.php
    http://5.34.183.136_BAD_/main.php
    http://91.121.97.170_BAD_/main.php
    http://188.138.88.184_BAD_/main.php
    http://31.41.47.37_BAD_/main.php
    http://kcdxkbsk.tf_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://91.219.29.55_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://kxsvgrpytxfar.tf_BAD_/main.php
    http://nuhiqgn.yt_BAD_/main.php
    http://qkcehlnkcuts.fr_BAD_/main.php
    http://slkyatnnaq.eu_BAD_/main.php
    http://tdhlnatbwyc.pm_BAD_/main.php
    http://195.154.241.208_BAD_/main.php
    http://46.4.239.76_BAD_/main.php
    http://94.242.57.45_BAD_/main.php
    http://kqlxtqptsmys.in_BAD_/main.php
    http://cgavqeodnop.it_BAD_/main.php
    http://pvwinlrmwvccuo.eu_BAD_/main.php
    http://dltvwp.it_BAD_/main.php
    http://uxvvm.us_BAD_/main.php
    http://wblejsfob.pw_BAD_/main.php
    http://91.121.97.170_BAD_/main.php
    http://46.4.239.76_BAD_/main.php
    http://31.184.233.106_BAD_/main.php
    http://185.46.11.239_BAD_/main.php
    http://69.195.129.70_BAD_/main.php
    http://5.34.183.195_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://91.219.29.55_BAD_/main.php
    http://wblejsfob.pw_BAD_/main.php
    http://dkoipg.pw_BAD_/main.php
    http://85.25.149.246_BAD_/main.php
    http://31.184.197.119_BAD_/main.php
    http://51.254.19.227_BAD_/main.php
    http://185.14.29.188_BAD_/main.php
    http://192.71.213.69_BAD_/main.php
    http://95.213.184.10_BAD_/main.php
    http://192.121.16.196_BAD_/main.php

##### Mise à jour

Nouveaux marqueurs (15/03/2016). Liste de CnC pouvant être contactés :

    149.154.157.14
    37.235.53.18
    89.108.85.163
    212.47.223.19
    192.121.16.196

##### Mise à jour

Nouveaux marqueurs (29/03/2016):

    176.31.47.100._BAD_/submit.php
    185.117.72.94._BAD_/submit.php
    185.141.25.150._BAD_/submit.php
    78.46.170.79._BAD_/submit.php
    83.217.8.127._BAD_/submit.php
    84.19.170.249._BAD_/submit.php
    91.200.14.73._BAD_/submit.php
    92.63.87.134._BAD_/submit.php

Campagne de messages électroniques non sollicités de type Locky


Adobe Flash Player versions 21.0.0.197 et antérieures sur  Windows, Macintosh, Linux, et Chrome OS

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

CERTFR-2016-AVI-116 Multiples vulnérabilités dans Adobe    Flash Player

Bulletin de sécurité Adobe APSB16-10 du 07 avril 2016

EMET 5.5

version initiale.

Adobe indique avoir constaté des attaques ciblant toutes les versions de Windows (et non plus uniquement Windows 7 et Windows XP).

clôture de l'alerte, ajout des liens vers le bulletin de sécurité de l'éditeur et l'avis CERTFR-2016-AVI-116.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Adobe Flash
Player. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.
Cette vulnérabilité est activement exploitée dans le cadre d'attaques
ciblant toutes les versions de Windows exécutant Adobe Flash Player
versions 20.0.0.306 et antérieures.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe APSA16-01 du 05 avril 2016


Adobe Flash Player toutes versions contenues dans Internet Explorer 10, Internet Explorer 11 et Microsoft Edge sur Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1 et Windows 10

Adobe Flash Player versions 21.0.0.226 et antérieures pour Windows, Macintosh, Linux, et Chrome OS

EMET 5.5

Bulletin de sécurité Adobe APSB16-15 du 12 mai 2016

Avis CERTFR-2016-AVI-170

version initiale.

Clotûre de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Adobe Flash
Player. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.
Dans son bulletin d'alerte APSA16-02 (cf. Section Documentation), Adobe
annonce qu'une vulnérabilité critique affecte les versions 21.0.0.226 et
antérieures de son Flash Player.
Celle-ci peut permettre à un attaquant d'éxécuter du code arbitraire à
distance.
Adobe note également que cette vulnérabilité est activement exploitée.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Microsoft MS16-064 du 10 mai 2016

Bulletin de sécurité Adobe APSA16-02 du 10 mai 2016


Adobe Flash Player versions 21.0.0.242 et antérieures sur  Windows, Macintosh, Linux, et Chrome OS

Avis CERTFR-2016-AVI-213

Bulletin de sécurité Adobe apsb16-18 du 16 juin 2016

EMET 5.5

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Adobe Flash
Player. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance. Dans son bulletin d'alerte APSA16-03 (cf.
Section Documentation), Adobe annonce qu'une vulnérabilité jugée
critique affecte les versions 21.0.0.242 et antérieures de son Flash
Player, et ce sur toutes les plateformes.
Adobe prévient également que cette vulnérabilité est activement
exploitée dans le cadre d'attaques ciblées.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe apsa16-03 du 14 juin 2016


Cisco Firewall Services Module (FWSM)

Cisco ASA Services Module pour Cisco Catalyst 6500 Series Switches et Cisco 7600 Series Routers

Cisco ASA 1000V Cloud Firewall

Cisco Adaptive Security Virtual Appliance (ASAv)

Cisco ASA 5500 Series Adaptive Security Appliances

Cisco ASA 5500-X Series Next-Generation Firewalls

Cisco Firepower 4100 Series

Cisco Firepower 9300 ASA Security Module

Cisco Industrial Security Appliance 3000

Cisco Firepower Threat Defense Software

Cisco PIX Firewalls

## Description

Le samedi 13 août, des attaquants se faisant appeler les Shadow Brokers
ont publiquement révélé des outils offensifs, qu'ils affirment provenir
d'Equation, un groupe d'élite lié à la NSA.
Parmi ces outils se trouve du code malveillant dont la fonction est
d'exploiter des vulnérabilités dans les pare-feux Cisco afin d'en
prendre le contrôle.
Dans ses bulletins de sécurité cisco-sa-20160817-asa-snmp et
cisco-sa-20160817-asa-cli (cf. Section Documentation), l'équipementier
énumère la liste de produits pour lesquels un correctif est
disponible.
Le CERT-FR recommande de durcir ses équipements tout en respectant les
bonnes pratiques (cf. Section Documentation).
Des règles de détection réseau sont également disponibles, soit de
manière payante (Cisco, cf. Section Documentation), soit à titre gratuit
(Emerging Threats, cf. Section Documentation).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

Avis CERTFR-2016-AVI-295

Règle de détection réseau Emerging Threats 2

Guide de durcissement des pare-feux Cisco ASA

Blog Cisco : Analyse de l'intégrité d'une image IOS

Guide de vérification d'intégrité ASA

Bulletin de sécurité cisco-sa-20160817-asa-cli Cisco du 17    août 2016

Guide de durcissement des équipements Cisco

Blog Cisco : The Shadow Brokers

Bulletin de sécurité cisco-sa-20160817-asa-snmp Cisco du 17    août 2016

Règle de détection réseau Emerging Threats 1

Annonce de fin de vie des Cisco Firewall Services Modules    (FWSM)

Annonce de fin de vie des Cisco PIX Firewalls

Change logs des règles Snort soumises à abonnement

version initiale.

ajout de produits sur la liste des systèmes affectés ainsi que les annonces de fin de vie des produits Cisco Firewall Services Module et Cisco PIX Firewalls.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
De multiples vulnérabilités ont été découvertes dans les pare-feux Cisco. Elles permettent à un
attaquant de provoquer une exécution de code arbitraire à distance.

Multiples vulnérabilités dans les pare-feux Cisco


## Solution

## Mesures préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes. Il convient en effet de ne pas cliquer sans vérification
préalable sur les liens de messages et les pièces jointes. Les
utilisateurs ne doivent pas ouvrir des messages électroniques de
provenance inconnue, d'apparence inhabituelle ou frauduleuse. Plus
généralement, il convient de mettre à jour les postes utilisateurs,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle.

Le CERT-FR recommande de configurer sur les postes de travail les
restrictions logicielles pour empêcher l'exécution de code à partir
d'une liste noire de répertoires :

-   Si la solution utilisée est AppLocker, les règles de blocage
    suivantes doivent être définies :
    -   OSDRIVE\\Users\\\*\\AppData\\
    -   OSDRIVE\\Windows\\Temp\\
-   Si les restrictions logicielles (SRP) sont utilisées, les règles de
    blocage suivantes doivent être définies :
    -   UserProfile\\AppData
    -   SystemRoot\\Temp

Il est important de vérifier que le service "Application Identity"
(AppIDSvc) est paramétré en démarrage automatique sur l'ensemble des
postes pour que les restrictions logicielles soient opérantes (ce mode
de démarrage peut être paramétré à travers une politique de groupe sur
le domaine Windows). Si des dysfonctionnements sont rencontrés suite au
déploiement de ces règles de blocage, il est nécessaire d'identifier les
applications légitimes situées dans ces répertoires, et de définir des
règles en liste blanche afin d'autoriser leur exécution.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateurs, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

## Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés. Le CERT-FR
recommande aussi d'alerter le responsable sécurité ou le service
informatique au plus tôt. Le temps de revenir à une situation normale,
le CERT-FR recommande également de positionner les permissions des
dossiers partagés en LECTURE SEULE afin d'empêcher la destruction des
fichiers sur les partages. Les personnels pourront continuer de
travailler localement et mettre à jour ultérieurement le partage. Aussi,
le CERT-FR recommande de prendre le temps de sauvegarder les fichiers
importants sur des supports de données isolés. Ces fichiers peuvent être
altérés ou encore être infectés. Il convient donc de les traiter comme
tels. De plus, les sauvegardes antérieures doivent être préservées
d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. En complément, le CERT-FR recommande de rechercher et supprimer
les messages malveillants similaires dans les boîtes de messagerie des
utilisateurs. Par ailleurs, le CERT-FR recommande la réinstallation
complète du poste et la restauration d'une sauvegarde réputée saine des
données de l'utilisateur. De plus, dans le cadre de l'utilisation de
profils itinérants, il convient de supprimer la copie serveur du profil
afin de prévenir la propagation des codes malveillants par ce biais.

Enfin, les fichiers chiffrés peuvent être conservés par la victime au
cas où dans le futur, un moyen de recouvrement des données originales
serait découvert.

Cette alerte sera maintenue tant que le volume de message électronique
constaté sera considéré significatif par le CERT-FR.

version initiale ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

clôture de l'alerte ;

Installation d'un logiciel malveillant de type zepto/odin

Summary:
Marqueurs de téléchargement de charge mis à jour le 27/10/2016.

##### Mise à jour du 27/10/2016

Le CERT-FR constate une nouvelle campagne de courriels malveillants
contenant des pièces jointes au format ZIP. L'archive contient un
fichier de type JSE (Javascript Encode) ou WSF (Windows Script File)
visant à télécharger une variante de Locky. Cette variante chiffre les
fichiers de la machine et utilise l'extension .shit.

##### Mise à jour du 24/10/2016

Le CERTFR constate une nouvelle campagne de mails contenant des pièces
jointes .hta malveillantes en cours. Ces pièces jointes correspondent à
des fichiers html contenant du code Javascript téléchargeant le
rançongiciel.

##### Mise à jour du 30/09/2016

Le CERTFR constate une nouvelle vague de mails contenant des pièces
jointes malveillantes en cours. Ces pièces jointes sont des documents
office contenant une macro VBA téléchargeant le rançongiciel Zepto.
L'extension utilisée par le rançongiciel a changée depuis la dernière
vague pour devenir .odin. La liste des urls de téléchargement de charge
est mise à jour.

Depuis le début septembre 2016, le CERT-FR constate à l'échelle
nationale une vague de pourriels dont le taux de blocage par les
passerelles anti-pourriel est relativement faible. Ces pourriels ont
pour objectif la diffusion du rançongiciel Zepto.

Un rançongiciel est un programme malveillant qui chiffre les données du
poste compromis. Il va également cibler les partages de fichiers
accessibles depuis le compte utilisateur dont la session est compromise.
Celui-ci est exécuté, dans le cas présent, par une action de
l'utilisateur. La victime est ensuite invitée à verser de l'argent afin
que l'attaquant déchiffre les fichiers ciblés.

Dans le cadre de cette campagne, et d'après les échantillons que le
CERT-FR a observés, la diffusion de Zepto s'effectue par l'intermédiaire
d'un pourriel contenant une archive. Cette archive contient un script
Windows (extension .wsf) executant du Javascript. Le Javascript va
ensuite contacter un domaine pour récupérer le Rançongiciel Zepto.

À l'aide les échantillons remontés, le CERT-FR a constaté que les URLs
de téléchargement du binaire Zepto sont les suivantes :

##### Téléchargement de charge au 27/10/2016

URI de distribution de charge observée:

    /t67bg
    /t76f3g

Domaines distributeur de charge (point d'eau, site légitime compromis):

    pkastrologer.com_BAD_
    redsrev.com_BAD_
    lancasternewcity.com.ph_BAD_
    samspizzapasta.com_BAD_

Domaine distributeur de charge:

    duplespry.net_BAD_
    arzunyolk.com _BAD_

##### Téléchargement de charge au 24/10/2016

URI obbservée:

    /076wc

Domaines observés:

    3ainstrument.com._BAD_
    abulhoul.ae._BAD_
    bagnet.ir._BAD_
    beyondhorizon.net._BAD_
    castoncorporateadvisory.in._BAD_
    checkimage.comuf.com._BAD_
    cignitech.com._BAD_
    cygnatech.com._BAD_
    cynosurejobs.net._BAD_
    dolphinom.com._BAD_
    grupoecointerpreis.com._BAD_
    hotel.comxa.com._BAD_
    icclicks.com._BAD_
    jhandiecohut.com._BAD_
    ledenergythai.com._BAD_
    naacllc.com._BAD_
    nanrangy.net._BAD_
    olpharm.com._BAD_
    punjabipollywood.com._BAD_
    sowkinah.com._BAD_
    stock.comuf.com._BAD_
    thaitooling.net._BAD_
    wamasoftware.com._BAD_
    wkreation.com._BAD_
    www.jhandiecohut.com._BAD_
    www.pspgemencheh.edu.my._BAD_
    www.pspmrsmtumpat.com._BAD_
    www.rawahyl.com._BAD_

##### Téléchargement de charge au 12/10/2016

URI observée:

    /d5436gh

Domaines observés :

    eaglemouth.org_BAD_
    dabihfluky.com_BAD_

##### Téléchargement de charge au 03/10/2016

URIs observées :

    \jhg45s

Domaines observés :

    acaciainvest.ro_BAD_
    alraysa.com_BAD_
    anthonycarducci.lawyerpublicity.com_BAD_
    antiquescollectablesandjuststuff.com_BAD_
    atronis.com_BAD_
    bluewaterappco.com_BAD_
    boservice.info_BAD_
    catlong.com_BAD_
    cedrussauna.com_BAD_
    craftsreviews.com_BAD_
    crossroadspd.com_BAD_
    denvertracy.com_BAD_
    dickenshandchimes.com_BAD_
    dotcom-enterprises.com_BAD_
    eidshow.com_BAD_
    far-infraredsaunas.com_BAD_
    foe-2.com_BAD_
    gcandcbuilderssite.aaomg.com_BAD_
    golfnauvoo.com_BAD_
    hostmyimage.biz_BAD_
    icdsarch.com_BAD_
    ifsaiumumi.com_BAD_
    inmopromo.com_BAD_
    lesscellantshautegamme.ca_BAD_
    maxleather.aaomg.com_BAD_
    mmm2.aaomg.com_BAD_
    monkeysdragon.net_BAD_
    msurf.net_BAD_
    new2.aaomg.com_BAD_
    nonprofitbenefit.com_BAD_
    nutrahacks.com_BAD_
    orhangazitur.com_BAD_
    parkerneem.com_BAD_
    real-corp.info_BAD_
    saunacushions.com_BAD_
    slicktalk.net_BAD_
    test.cedrussauna.net_BAD_
    tsukasagiku.com_BAD_
    villadiana.lv_BAD_
    webhost911.com_BAD_

##### Téléchargement de charge au 30/09/2016

URIs observées :

    \021ygs7
    \bdb37
    \g76ub76

Domaines observés :

    0735home.com_BAD_
    1maximus.ru_BAD_
    368lx.com_BAD_
    81millstreet.nl_BAD_
    alliswelltour.com_BAD_
    americanfancies.com_BAD_
    amerikanservisi.com_BAD_
    ampconnect.com_BAD_
    anhsaodem.info_BAD_
    aquatixbottle.com_BAD_
    arbeit-von-zuhause.com_BAD_
    askmeproperties.com_BAD_
    atstory.com_BAD_
    badminton2008.com_BAD_
    bandbcreuse.com_BAD_
    bdfxb.com_BAD_
    beineinu.org_BAD_
    birthstory.com_BAD_
    brioconseils.com_BAD_
    cafe-bg.com_BAD_
    chchqq.com_BAD_
    cmcomunicacion.es_BAD_
    dedivan.ru_BAD_
    delphinph.com_BAD_
    demo.website.pl_BAD_
    dfl210.ru_BAD_
    ecoledesalsa.com_BAD_
    econopaginas.com_BAD_
    gadget24.ro_BAD_
    game6media.com_BAD_
    globalremoteservices.com_BAD_
    gomelnaushnik.com_BAD_
    hollywoodjesus.com_BAD_
    ingpors.sk_BAD_
    innogenap.com_BAD_
    juyinggroup.com_BAD_
    kashira.potolki.bz_BAD_
    kelownatownhomes.com_BAD_
    kolonker.com_BAD_
    mahboob-e-rehmani.com_BAD_
    nokianshop.com_BAD_
    opmsk.ru_BAD_
    parroquiansg.org_BAD_
    pecschool.com_BAD_
    purebanquet.com_BAD_
    rikuzentakata-mpf.org_BAD_
    rutlandhall.com_BAD_
    slaterarts.com_BAD_
    smokintech.com_BAD_
    sonajp.com_BAD_
    sotorentals.com_BAD_
    studiorif.ru_BAD_
    techsilicon.com_BAD_
    teothemes.com_BAD_
    travelinsider.com.au_BAD_
    travicoperu.com_BAD_
    undiaem.com_BAD_
    unionathletica.com_BAD_
    veganvet.net_BAD_
    victorcasino.com_BAD_
    w3hostingserver.com_BAD_
    werix.sk_BAD_
    www.sikharaprojects.com_BAD_
    zdiaran.sk_BAD_

##### Téléchargement de charge au 07/09/2016

    around4percent.web.fc2.com_BAD_/j8fn3rg3
    bostoncittyregenerww.com_BAD_/js/j8fn3rg3
    kreativmanagement.homepage.t-online.de_BAD_/j8fn3rg3
    marcotormento.de_BAD_/j8fn3rg3
    maxshoppppsr.biz_BAD_/js/vf3gt4b4
    michik.web.fc2.com_BAD_/j8fn3rg3
    news.oboyle.ro_BAD_/myeyuum
    sp-moto.ru_BAD_/j8fn3rg3
    unimet.tmhandel.com_BAD_/j8fn3rg3
    www.hestia-bewindvoering.nl_BAD_/j8fn3rg3
    www.montegelato.it_BAD_/j8fn3rg3
    www.termoalbiate.com_BAD_/uwmakrm
    www.vilastefania.go.ro_BAD_/j8fn3rg3

Serveurs de Commande et de Contrôle au 07/09/2016 Selon nos analyses,
les domaines sont générés aléatoirement. Aucun domaine pertinent n'est
pour l'instant disponible.

Les IPs suivantes sont susceptibles d'être contactées comme CnC et
peuvent être ajoutées en liste noire :

    212.109.192.235
    149.154.152.108

L'uri suivante semble stable. Elle peut servir de marqueur lors d'une
investigation mais ne doit pas être mise en liste noire au risque de
générer beaucoup de faux positifs.

    /data/info.php

Campagne de messages électroniques non sollicités de type Zepto/Odin


Cisco IOS, voir sur le site du constructeur pour vérifier si votre système est vulnérable (cf. section Documentation)

Cisco IOS XR versions 5.0.x

Cisco IOS XR versions 5.2.x

Cisco IOS XR versions 5.1.x

Cisco IOS XR versions 4.3.x

Cisco IOS XE toutes versions

## Contournement provisoire

Suite à la fuite de codes d'attaque attribués au groupe Equation le mois
dernier, Cisco a enquêté pour déterminer si d'autres de ses produits
sont vulnérables à des attaques similaires.
Il s'avère que plusieurs produits peuvent être exploités par une méthode
semblable à BENIGNCERTAIN, qui permet à un attaquant d'accéder à des
portions de mémoire, dans l'espoir de découvrir des secrets (clés
privées, mots de passe...)
Ici, une vulnérabilité dans le code de traitement des paquets IKEv1 de
Cisco IOS, IOS XE et IOS XR permet à un attaquant non authentifié de
récupérer des portions de mémoire, et ce à distance.
Cisco indique qu'il n'existe pour l'instant pas de mitigations et que
cette vulnérabilité est activement exploitée chez certains de ses
clients.
Cisco fourni des règles de détection, cependant celles-ci sont soumises
à abonnement.
Le CERT-FR recommande l'application des correctifs de sécurité dans les
cas où ceux-ci sont disponibles. Sinon, les tunnels IPsec établis sur
des systèmes affectés doivent être considérés comme non sécurisés.

version initiale.

Atteinte à la confidentialité des données

Summary:
Une vulnérabilité a été découverte dans Cisco
IOS, Cisco IOS XE et Cisco IOS XR. Elle permet à un attaquant de
provoquer une atteinte à la confidentialité des données.

Vulnérabilité dans Cisco IOS, IOS XE et IOS XR

Bulletin de sécurité Cisco cisco-sa-20160916-ikev1 du 16 septembre 2016


## Description

Le 31 octobre 2016, le groupe d'analyse de la menace de Google (Threat
Analysis Group) a annoncé publiquement l'existence d'une vulnérabilité
de type 0 jour permettant une élévation de privilèges dans le noyau de
Windows (cf. section Documentation).
Celle-ci est activement exploitée, dans le cadre d'attaques ciblées, de
manière conjointe avec la vulnérabilité CVE-2016-7855 affectant le Flash
Player d'Adobe (cf. section Documentation).
Microsoft a publié un correctif le 8 novembre 2016, à l'occasion de leur
mise à jour mensuelle.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

Avis CERT-FR CERTFR-2016-AVI-364 Adobe Flash Player

Avis CERT-FR CERTFR-2016-AVI-374 Microsoft Windows

Google Security Blog

Microsoft Device Guard

version initiale.

clôture de l'alerte.

Élévation de privilèges

Summary:
Une vulnérabilité a été découverte dans Microsoft
Windows. Elle permet à un attaquant de provoquer une élévation de
privilèges.

Vulnérabilité dans Microsoft Windows

Annonce Microsoft du 01 novembre 2016


De nombreux routeurs vulnérables ont été victimes de cette  attaque. Des systèmes vulnérables ont été rapportés outre en  Allemagne, en Irlande, au Royaume-Uni, au Brésil ou encore en  Finlande. Cette vulnérabilité dépend du matériel déployé par  l'opérateur assurant l'accès à internet et la configuration qu'il  a déployée sur celui-ci. L'attaque vise ici des routeurs dont la  configuration expose le protocole TR-064 sur Internet au travers  du port 7547.

Par ailleurs, plusieurs versions du binaire malveillant sont  en circulation. Ces versions sont compilées pour s'exécuter sur  différentes architectures (MIPS, ARM, SPARC). Cela montre la  volonté des auteurs de cette attaque de toucher un large éventail  d'équipements.

  Il n'existe pas à ce jour de liste précise de systèmes  affectés.

## Solution

Pour les opérateurs, il est recommandé de restreindre l'accès aux
interfaces d'administration depuis un réseau dédié, exclusivement
accessible par l'opérateur et authentifié.

Enfin, le code malveillant s'exécutant en mémoire, un redémarrage de
l'équipement permet d'éliminer le ver. Cependant tant que le ver
continue à se propager et que la vulnérabilité n'est pas corrigée par
l'opérateur, le routeur sera rapidement réinfecté.

Message sur le forum SANS ISC détaillant la vulnérabilité    sur le protocole TR-069

Communiqué de presse de Deutsche Telekom concernant    l'attaque sur leus équipements

Article original annonçant la vulnérabilité sur le    protocole TR-069

Article de Flashpoint sur les répercussions de l'attaque en    Allemagne

Article de Securelist sur la vulnérabilité exploité dans    l'attaque

Article de BadCyber sur la vulnérabilité exploité dans    l'attaque

version initiale.

correction sur les détails de la campagne.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Le CERT-FR a constaté une importante campagne d'attaque à l'encontre de
routeurs DSL. Ces routeurs mis à disposition par les fournisseurs
d'accès internet pour leurs clients permettent la connexion à internet.
Ils font l'objet d'une attaque d'une variante du ver Mirai visant à en
prendre le contrôle et à les incorporer dans un réseau de machine
zombie.

Cette vague d'attaque cible une vulnérabilité exploitable via le protocole TR-064 qui permet
l'autoconfiguration du LAN (DHCP, SSDP, etc.). Ce service de
configuration n'est en théorie accessible que depuis le réseau interne.
Le protocole TR-069 est utilisé par les opérateurs pour administrer les
routeurs à distance. Les équipements ciblés par cette attaque exposent
un seul et même démon pour les protocoles TR-069 et TR-064. Dû à un
défaut de cloisonnement réseau chez certains opérateurs, ces services
sont accessibles depuis internet sur le port 7547. Cela à pour
conséquence d'exposer le protocole TR-064 sur internet. Ce protocole
présente une faille de sécurité permettant l'exécution de code à
distance. Le code d'exploitation de la vulnérabilité a été publié dans
un article de blog le 7 novembre 2016, et a été intégré au cadriciel
d'exploitation publique Metasploit.

Une forte augmentation du trafic internet à destination du port 7547 a
été observée à partir du 27 novembre et traduit des tentatives
d'exploitation de la vulnérabilité.

La première phase de l'attaque consiste en l'envoi d'une requête SOAP
émise à destination du port 7547 de l'équipement ciblé. La charge utile
déclenche le téléchargement puis l'exécution d'un code malveillant
disponible sur un serveur distant contrôlé par l'attaquant.

Le binaire téléchargé est une variante du ver Mirai qui s'attaquera au
service d'administration du boitier accessible uniquement en local ou
depuis le réseau interne du client. Une des premières opérations
réalisées par Mirai consiste à supprimer le binaire du disque, il
restera donc uniquement en mémoire et ne dispose d'aucun mécanisme de
persistance. Le logiciel malveillant fermera également le port 7547
vulnérable. Il scannera ensuite internet à la recherche d'équipement
présentant le port 7547 ouvert pour les infecter. Le déroulement de
l'attaque des routeurs ne semble pas s'être déroulé correctement sur les
équipements de l'opérateur allemand Deutsche Telekom provoquant une
interruption de l'accès à internet de centaines de milliers de clients
entre dimanche 27 et lundi 28 novembre 2016.

Campagne d'attaque contre des routeurs DSL


## Description

Le 9 décembre 2016, Netgear a émis un avis de sécurité indiquant que
plusieurs de ses routeurs étaient vulnérables à une injection de
commande à distance.
Un attaquant non authentifié peut exploiter cette vulnérabilité à
distance si l'utilisateur se rend sur un site piégé.
Cela lui permet alors d'exécuter des commandes arbitraires avec les
privilèges les plus élevés (root).
A noter qu'un attaquant présent sur le réseau local peut directement
exploiter cette vulnérabilité.

Depuis le 24 décembre 2016, un correctif de sécurité est disponible pour
le micrologiciel de chaque modèle vulnérable.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

CERT Carnegie Mellon

Avis CERT-FR CERTFR-2016-AVI-430 Routeurs Netgear

version initiale.

mise à jour de la liste des systèmes affectés et clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans les
routeurs Netgear. Elle permet à un attaquant de provoquer une
exécution de code arbitraire à distance.

Vulnérabilité dans les routeurs Netgear

Bulletin de sécurité Netgear du 09 décembre 2016


le greffon Cisco WebEx pour Chrome Firefox et Internet  Explorer sur Windows

## Solution

La vulnérabilité CVE-2017-3823 peut être exploitée lorsqu'un utilisateur
se rend sur un site qui contient un motif particulier dans l'URL.
Comme ce motif peut être contenu dans une iframe qu'il est trivial de
cacher, l'exploitation à l'insu de l'utilisateur est tout à fait
possible.

Cisco annonce que seuls les systèmes Windows sont impactés par cette
vulnérabilité.
Le greffon Cisco WebEx pour Edge sur Windows 10 n'est pas vulnérable.
Un correctif est disponible pour le greffon Cisco WebEx pour Chrome dans
la version 1.0.5. Si celui-ci ne comble pas complètement la
vulnérabilité, il en limite l'impact. En effet, si le motif particulier
se trouve dans une URL associée à des domaines autres que \*.webex.com
ou \*.webex.com.cn, l'utilisateur doit accepter explicitement
l'exécution de code. Cependant, cela ne protège pas l'utilisateur si les
sites susnommés sont vulnérables à des failles de type injection de code
indirecte à distance (XSS).

Dans l'attente de correctifs de sécurité, le CERT-FR recommande la
désinstallation du greffon Cisco Webex sur les systèmes vulnérables.
Lorsque cela n'est pas possible, le CERT-FR recommande a minima
l'utilisation du greffon Cisco Webex par le biais d'un navigateur Chrome
à jour.

Depuis le 31 janvier 2017, Cisco a publié un correctif de sécurité
résolvant la vulnérabilité.

Bulletin de sécurité Cisco cisco-sa-20170124-webex du 24    janvier 2017

Avis CERT-FR CERTFR-2017-AVI-036 Cisco WebEx Browser    Extension

Google Project Zero

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Cisco
WebEx. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.

Vulnérabilité dans Cisco WebEx


Windows 10

Windows 7

Windows Vista

Windows 8.1

Avis CERT-FR CERTFR-2017-AVI-082 Multiples vulnérabilités    dans Microsoft Windows

Bulletin de sécurité Microsoft MS17-013 du 14 mars 2017

version initiale.

clôture de l'alerte

Summary:
Une vulnérabilité a été découverte dans Microsoft
Windows. Elle permet à un attaquant de provoquer une atteinte à
la confidentialité des données.

La vulnérabilité présente dans la bibliothèque Graphics Device Interface
(gdi32.dll) de Windows permet à un attaquant
de lire des portions de mémoire auquel il n'a pas normalement accès.
Cette faille provient d'un manque de vérification dans la gestion des
Device Independant Bitmaps (DIB) qui sont contenus dans les fichiers de
type Enhanced Metafiles (EMF).

L'attaque peut être déclenchée si un utilisateur se rend sur un site
internet contenant un fichier .emf piégé en
utilisant Internet Explorer.
Un fichier .emf peut également être inclus
dans d'autres documents (ex. .docx), ce qui
augmente la surface d'attaque. Le chercheur Mateusz Jurczyk dit avoir
réussi à exploiter la vulnérabilité à distance par le biais de Office Online.

L'impact de cette vulnérabilité dépend de l'emplacement où est chargé le
fichier malveillant en mémoire, et de ce qui est disponible dans les
adresses proches.

À l'occasion de la mise à jour de sécurité du mois de mars 2017, cette
vulnérabilité a été corrigée par Microsoft.

Vulnérabilité dans Microsoft Windows

Rapport de Bogue de Project Zero du 16 février 2017


Internet Explorer 11 pour Windows 7

Microsoft Edge pour Windows 10

Internet Explorer 11 pour Windows 10

Internet Explorer 11 pour Windows Server 2012 et 2016

Internet Explorer 11 pour Windows 8.1

Avis CERT-FR CERTFR-2017-AVI-080 Multiples vulnérabilités    dans Microsoft Edge

Avis CERT-FR CERTFR-2017-AVI-079 Multiples vulnérabilités    dans Microsoft Internet Explorer

Bulletin de sécurité Microsoft MS17-006 du 14 mars 2017

version initiale.

mise à jour des systèmes affectés.

clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans les
navigateurs Microsoft. Elle permet à un attaquant de provoquer
une exécution de code arbitraire à distance.

Cette vulnérabilité exploite une faille de type confusion de type et
peut être déclenchée en définissant des valeurs particulières pour les
propriétés d'un objet tableau dans une page Web spécialement conçue.

On notera que cette vulnérabilité est atténuée par l'utilisation de la
mesure de sécurité de Windows Control Flow
Guard (CFG) au sein de l'application. Un attaquant souhaitant
exploiter la vulnérabilité devra ainsi mettre en oeuvre un contournement
de la contre-mesure CFG.

À l'occasion de la mise à jour de sécurité du mois de mars 2017, cette
vulnérabilité a été corrigée par Microsoft.

Vulnérabilité dans les navigateurs Microsoft

Rapport de Bogue de Project Zero du 23 février 2017


Apache Struts versions 2.5.x antérieures à 2.5.10.1

Apache Struts versions 2.3.x antérieures à 2.3.32

## Description

Une vulnérabilité dans Struts permet une exécution de code arbitraire à
distance.
Le 06 mars 2017, Apache a publié le bulletin de sécurité S2-045 (cf.
section Documentation) afin de fournir un correctif de sécurité.
Depuis, cette vulnérabilité est activement exploitée.
Au vu de l'impact et du faible niveau de technicité nécessaire à
l'exploitation de cette vulnérabilité, le CERT-FR recommande donc le
déploiement du correctif dans les plus brefs délais.
Si les applications vulnérables contiennent des données sensibles, il
est également fortement conseillé de les désactiver tant que la mise à
jour n'a pas été appliquée.
Le 20 mars 2017, le CERT-FR a publié un article concernant cette
vulnérabilité dans son bulletin d'actualité hebdomadaire (cf. section
Documentation).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin d'actualité CERT-FR CERTFR-2017-ACT-012

Billet Trend Micro

Avis CERT-FR CERTFR-2017-AVI-071

version initiale.

passage du titre au singulier.

ajout de la référence au bulletin d'actualité CERT-FR CERTFR-2017-ACT-012.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Apache
Struts. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.

Vulnérabilité dans Apache Struts

Bulletin de sécurité Apache S2-045 du 10 mars 2017


## Description

Une vulnérabilité dans l'implémentation du Cisco Cluster Management
Protocol (CMP) permet une exécution de code à distance dans les
commutateurs Cisco exécutant Cisco IOS ou Cisco IOS XE.
Se référer au bulletin de l'éditeur pour une liste exhaustive des
produits impactés (cf. section Documentation).
Ce protocole utilise le service Telnet afin que les membres d'un groupe
puissent dialoguer entre eux.
Cette vulnérabilité est due à deux facteurs.
Le premier est que les communications Telnet sont traitées même si elles
proviennent d'en dehors du groupe.
Le deuxième est qu'une session Telnet spécifique à CMP peut provoquer un
débordement de tampon.
A noter que le seul fait de commuter une trame comportant une charge
malveillante ne suffit pas à déclencher la vulnérabilité, la
communication piégée doit être destinée à l'équipement vulnérable.
Cisco n'a pas annoncé de date de sortie d'un correctif de sécurité.
En attendant, le CERT-FR recommande dans un premier temps de suivre les
bonnes pratiques en matière de sécurité informatique en s'assurant que
l'accès aux interfaces d 'administration des équipements réseaux soit
restreint à un canal interne de confiance.
Ensuite, le CERT-FR recommande de privilégier le protocole SSH à
Telnet.
Enfin, si désactiver les communications Telnet n'est pas une option
viable, Cisco fournit des règles de détection réseau (cf. section
Documentation).
A noter que les règles de détection SNORT 41909 et 41910 sont
disponibles gratuitement à condition d'avoir créé un compte Snort.
Celles-ci sont contenues dans le fichier server-other.so et sont de type
TRUFFLEHUNTER, c'est à dire que leur contenu est dissimulé.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2017-AVI-143

Cisco IOS CMP Buffer Overflow

Bulletin de sécurité Cisco cisco-sa-20170317-cmp du 17 mars    2017

Snort

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans les
commutateurs Cisco. Elle permet à un attaquant de provoquer une
exécution de code arbitraire à distance.

Vulnérabilité dans les commutateurs Cisco


## Contournement provisoire

Plusieurs vulnérabilités ont été reportées dans les équipements Siemens
RUGGEDCOM ROX I.

Parmi les vulnérabilités décrites par l'éditeur, la CVE-2017-2688 permet
à l'attaquant d'effectuer des actions avec les privilèges d'un
utilisateur. L'attaquant doit inciter un utilisateur authentifié à
visiter une page malveillante ou à cliquer sur un lien malveillant. La
vulnérabilité CVE-2017-2689 permet quant à elle un accès privilégié au
système de fichier et autorise la modification de la configuration.
L'exploitation de cette vulnérabilité nécessite un accès authentifié
préalable à l'interface web de l'équipement sur le port TCP 10000.
Dans l'attente d'un correctif, l'éditeur à publié des éléments
permettant d'atténuer les risques portant sur les systèmes Siemens
RUGGEDCOM ROX I.
Se référer au bulletin de l'éditeur pour une liste exhaustive des
mesures de prévention à mettre en œuvre (cf. section Documentation).

version initiale.

Injection de code indirecte à distance

Contournement de la politique de sécurité

Injection de requêtes illégitimes par rebond (CSRF)

Summary:
De multiples vulnérabilités ont été découvertes dans SCADA Siemens RUGGEDCOM ROX I. Certaines d'entre
elles permettent à un attaquant de provoquer injection de requêtes
illégitimes par rebond, un contournement de la politique de sécurité et
une atteinte à la confidentialité des données.

Multiples vulnérabilités dans SCADA Siemens RUGGEDCOM ROX I

Bulletin de sécurité Siemens SSA-327980 du 28 mars 2017


## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft du 11 avril 2017

Article de blogue FireEye du 8 avril 2017

Avis CERT-FR CERTFR-2017-AVI-108 Multiples vulnérabilités dans Microsoft Office

version initiale.

clôture de l'alerte.

Exécution de code arbitraire

Summary:
Une vulnérabilité a été découverte dans Microsoft
Office. Elle permet à un attaquant de provoquer une exécution de
code arbitraire.

La vulnérabilité exploitée est déclenchée lors de l'ouverture d'un
document Microsoft Word contenant un objet OLE2link. Le processus
winword.exe effectue alors une requête HTTP vers un serveur de
l'attaquant pour télécharger un fichier au format HTA contenant un
script malveillant qui sera ensuite exécuté. D'après les observations de
FireEye (cf. documentation), le script termine le processus winword.exe
et affiche un document Word factice à l'attention de l'utilisateur. Le
script semble aussi pouvoir télécharger des charges malveillantes
additionnelles.

On notera cependant que la protection Protected
View de Microsoft Office, activée par défaut pour les versions
2013 et 2016, permet d'empêcher l'exécution des fonctionnalités
malveillantes du document. Il convient alors de s'assurer que cette
fonctionnalité est bien active.

Le CERT-FR recommande une attention particulière à la réception de
courriel non sollicité et de ne pas ouvrir les documents attachées à de
tels messages. De façon générale, la plus grande prudence est conseillée
face à toutes pièces jointes suspectes.

À l'occasion de la mise à jour de sécurité du mois d'avril 2017, cette
vulnérabilité a été corrigée par Microsoft.

Vulnérabilité dans Microsoft Office

Article de blogue McAfee du 07 avril 2017