Tous les systèmes Windows (NT, 2000 et 9x) sont concernés.

## Origine

-   Source du ver donnée par un de nos partenaire.
-   groupe de news fr.comp.securite.
-   Avis du CERT IST.
-   Avis SYMANTEC
    http://www.symantec.com/avcenter/venc/data/vbs.loveletter.a.html.

## Symptomes

## 5.1 E-mail

Arrivée d'un e-mail aux caractéristiques suivantes :

**Objet :**
:   ILOVEYOU

**Corps du message**
:   kindly check the attached LOVELETTER coming from me.

**Fichier attaché**
:   LOVE-LETTER-FOR-YOU.TXT.vbs.

## 5.2 IRC

Réception d'une page HTML LOVE-LETTER-FOR-YOU.HTM ayant pour titre «
LOVELETTER - HTML» dès que l'on se connecte à un canal IRC sur lequel
une personne infectée est présente.

## 5.3 Fichiers infectés

###  5.3.1 Faux fichiers systèmes

Les fichiers suivants sont créés

-   Dans le répertoire de windows (WINDOW ou WINNT): Win32DLL.vbs
-   Dans le répertoire système de Windows : MSKernel32.vbs et
    LOVE-LETTER-FOR-YOU.TXT.vbs (c'est ce dernier qui sert d'attachement
    aux e-mail), LOVE-LETTER-FOR-YOU.HTM (servant pour l'infection sur
    IRC) et WinFAT32.exe.

### 5.3.2 Configuration

#### 5.3.2.1 Internet Explorer

Modification de la page de démarrage d'Internet Explorer de manière à
télécharger un exécutable WIN-BUGSFIX.exe au prochain lancement du
navigateur. L'exécutable est rangé dans le répertoire de téléchargement
d'Internet Explorer.

#### 5.3.2.2 mIRC

Écrasement du fichier de configuration script.ini qui s'exécute à chaque
fois qu'un interlocuteur entre sur le canal IRC où vous êtes connectés.

###  5.3.3 La base de registre

Elle est modifiée pour relancer le ver (et WIN-BUGSFIX.exe) à chaque
démarrage :

-   dans le chemin `HKLM\Software\Microsoft\Windows\CurrentVersion\Run`
    création des clefs MSKernel32 et WIN-BUGSFIX ;
-   dans le chemin
    `HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices`
    création d'une clef Win32DLL.

### 5.3.4 Fichiers écrasés

Tous les fichiers aux extensions suivantes situés sur des disques fixes
locaux ou sur des disques réseaux sont potentiellement infectés :

-   \*.vbs, \*.vbe : contenu écrasé par le code du ver ;
-   \*.js, \*.jse, \*.css, \*.wsh, \*.sct, \*.hta : le contenu est
    écrasé par le code du ver et l'extension est remplacée par .vbs. Par
    exemple toto.css devient toto.vbs.
-   \*.jpg, \*.jpeg : le contenu est écrasé par le code du ver et
    l'extension .vbs est ajoutée à la fin.
-   \*.mp2, \*.mp3 : sont cachés (attribut caché) et des fichiers
    \*.mp2.vbs ou \*.mp3.vbs sont créés avec le contenu du ver. Par
    exemple : toto.mp3 devient caché et un fichier visible toto.mp3.vbs
    est créé.

## Solution

## 6.1 Antivirus

Mettre à jour l'antivirus.

## 6.2 Firewall

Le temps de l'alerte bloquer les chargements http depuis le site
`www.skyinet.net/~young1s/` ou `~angelcat/` ou `~chu/` ou `~koichi/`.

## 6.3 Configuration d'Internet Explorer

Dans les paramètres de sécurité, il faut demander au moins l'avis de
l'utilisateur avant d'exécuter du code dans une page HTML.

## 6.4 Configuration de mIRC

Décocher « Autoaccept DCC send request » dans les paramètres de votre
connexion/profil, afin de ne plus accepter automatiquement les fichiers
envoyés par dcc send.

Ne JAMAIS accepter les fichiers que l'on
vous envoie.

## 6.5 E-mail

Ne JAMAIS exécuter une pièce jointe.

## 6.6 Option de l'explorateur de Windows

Désactiver le lien entre les fichiers \*.vbs et l'interpréteur WSH
(wscript.exe).

## 6.7 Faire le ménage

### 6.7.1 Nettoyer la base de registre

Supprimer les Entrée citées précédemment au paragraphe [5.3.3](#bdr).

## 6.8 mIRC

Détruire le fichier script.ini s'il contient la chaîne
LOVE-LETTER-FOR-YOU.HTM.

## 6.9 Internet Explorer

Vérifier dans le panneau de configuration que la page de garde ne pointe
pas sur l'un des sites www.skyinet.net.

## 6.10 Nettoyer les fichiers systèmes

Supprimer les fichiers .vbs et .htm cités précédemment au
paragraphe [5.3.1](#ffs). Vérifier l'origine du fichier WinFAT32.exe.

## 6.11 Nettoyer le répertoire de téléchargement d'internet explorer

Supprimer le fichier WIN-BUGSFIX.exe.

## 6.12 Analyser tous les fichiers .vbs et .vbe

Détruire tous les fichiers à l'extension \*.vbs et \*.vbe contenant le
ver. Par exemple, tous les fichiers .vbs ou .vbe contenant la chaîne
ispyder@mail.com.

version initiale.

modifications de mise en page.

Risque élevé

Écrasement de fichiers

Le mode de propagation peut entraîner une grande surchage des réseaux

Faille officielle

Probablement un cheval de troie (reste à confirmer)

Summary:
Un ver se répend actuellement très vite sur le réseau internet par le
biais de la messagerie et de l'IRC. Il infecte de nombreux fichiers
qu'il détruit.

Ce ver écrit en VISUAL BASIC est déjà recensé chez des partenaires du
CERTA.

Alerte de virus LOVE-LETTER-FOR-YOU

code source du virus


## Origine

-   Nous ne disposons pas encore des sources du ver.
-   Informations obtenues sur les groupes de news.
-   Informations donn�es par un de nos partenaire.
-   Lu sur les sites de NAI (Macfee) et Symantec (Norton).

## Principe

## 4.1 Propagation

Quand le ver est lanc�, il se recopie dans le
dossier Windows en prenant un nom de l'un des documents r�cemment
ouvert, avec une extension prise alatoirement dans la liste : Doc, Xls,
Mdb, Bmp, Mp3, Txt, Jpg, Gif, Mov, Url, Htm, Txt et en y ajoutant
l'extension .vbs.

Il s'auto-modifie en ajoutant des commentaires alatoires � son code
apr�s chaque infection afin de troubler sa d�tection.

Ensuite, le programme cherche � se propager en exploitant le carnet
d'adresses d'Outlook de la victime (de la m�me fa�on qu'ILOVEYOU).

## 4.2 Syst�mes impact�s

Comme pour ILOVEYOU tous les syst�mes Windows sont concern�s.

## Fichiers infect�s

1.  Il modifie les entr�es suivantes dans la base de registres:
    -   HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\
    -   HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunServices\\
2.  NEWLOVE s'attaque � tous les fichiers
    qui ne sont pas en cours d'utilisation, en les rempla�ant par lui
    m�me.

version initiale.

Ecrasement des fichiers non utilis�s

Le risque est �lev� si les utisateurs ne sont pas sensibilis�s

Le virus n�cessite une m�moire importante ce qui ralentie sa propagation

Mode de propagation par messagerie

Summary:
Un nouveau virus appell� \`\`NewLove'' mutant de \`\`ILOVEYO'' est en
train de se propager sur le r�seau. Comme ce dernier il est �crit en
VBScript et se propage par e-mail, dont l'objet commence par \`\`FW'' et
comportant une pi�ce jointe portant l'extension .vbs. Cette pi�ce jointe
porte un nom al�atoire � chaque envoi.

Si l'utilisateur double-clique sur la pi�ce-jointe, le ver va s'excuter
� l'aide de WSH.

Alerte de virus NEWLOVE


## Description

Une jeune pousse voulant mesurer les performances de l'Internet réalise
actuellement des « tests » sur certains sites. L'exécution des « mesures
» par cette société perturbe le fonctionnement du site testé en
augmentant sa charge et, à ce titre, peut être assimilé à un déni de
service.

Un site WEB de l'administration a été victime de ces « mesures ».
Lorsque le responsable de ce site a exigé que cesse cette activité, la
société lui a demandé ses journaux de garde barrière pour justifier le
trouble subi.

Les journaux des gardes barrières contiennent de nombreuses informations
sur ce que votre site accepte ou rejette. De ce fait, vous publiez une
partie de vos vulnérabilités en divulguant vos journaux.

L'exploitation qui sera faite des informations recueillies concernant
votre site n'est pas connue.

L'éthique d'Internet suppose que l'on demande l'autorisation avant de
faire une consommation anormale des ressources offertes par un site. Par
ailleurs, Le nouveau code pénal reprenant les termes de la loi Godfrain
punit le fait d'entraver le fonctionnement d'un système automatisé de
données ou même de tenter de le faire.

De telles « mesures » ne peuvent être entreprises sur votre site sans
l'accord écrit du responsable de la sécurité du site.

## Solution

Les « mesures » que le CERTA a pu observer laissent des traces très
caractéristiques dans les gardes barrières. Vous trouverez ci-joint un
extrait de journal d'un garde barrière dans lequel les adresses IP ont
été cachées :

    000001  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6663  x.x.x.x  w.w.w.w  6663  nameserver   len 28
    000002  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6664  x.x.x.x  w.w.w.w  6664  nameserver   len 28
    000003  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6665  x.x.x.x  w.w.w.w  6665  nameserver   len 28
    000004  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6666  x.x.x.x  w.w.w.w  6666  nameserver   len 28
    000005  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6667  x.x.x.x  w.w.w.w  6667  nameserver   len 28
    000006  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6668  x.x.x.x  w.w.w.w  6668  nameserver   len 28
    000007  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6669  x.x.x.x  w.w.w.w  6669  nameserver   len 28
    000008  25May2000   6:17:05  y.y.y.y  drop    x.x.x.x  z.z.z.z  icmp  35    x.x.x.x  w.w.w.w       icmp-type 8 icmp-code 0
    000009  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6649           message SYN -> SYN-ACK -> RST
    000010  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6648           message SYN -> SYN-ACK -> RST
    000011  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6647           message SYN -> SYN-ACK -> RST
    000012  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6646           message SYN -> SYN-ACK -> RST
    000013  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6645           message SYN -> SYN-ACK -> RST
    000014  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6644           message SYN -> SYN-ACK -> RST
    000015  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8193  x.x.x.x  w.w.w.w  8193  nameserver   len 28
    000016  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8194  x.x.x.x  w.w.w.w  8194  nameserver   len 28
    000017  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8195  x.x.x.x  w.w.w.w  8195  nameserver   len 28
    000018  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8196  x.x.x.x  w.w.w.w  8196  nameserver   len 28
    000019  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8197  x.x.x.x  w.w.w.w  8197  nameserver   len 28
    000020  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8198  x.x.x.x  w.w.w.w  8198  nameserver   len 28
    000021  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8199  x.x.x.x  w.w.w.w  8199  nameserver   len 28
    000022  25May2000   20:23:53  y.y.y.y  drop    x.x.x.x  z.z.z.z  icmp  35    x.x.x.x  w.w.w.w       icmp-type 8 icmp-code 0
    000023  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8179           message SYN -> SYN-ACK -> RST
    000024  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8178           message SYN -> SYN-ACK -> RST
    000025  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8177           message SYN -> SYN-ACK -> RST
    000026  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8176           message SYN -> SYN-ACK -> RST
    000027  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8175           message SYN -> SYN-ACK -> RST
    000028  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8174           message SYN -> SYN-ACK -> RST

Les requêtes DNS sont effectuées sur toute machine y compris celle qui
ne possède pas de serveur de DNS.

Une telle signature peut être le signe d'une « mesure » de votre site.
Dans ce cas, nous vous demandons de bien vouloir en informer le CERTA.

Ne transmettez jamais les journaux de vos gardes barrières à des tiers.
Les journaux ne doivent être communiqués qu'à des organismes de
confiance comme votre CERT de tutelle. En France, il s'agit des
CERT-RENATER, du CERT-IST et, pour l'administration, du CERTA.

version initiale.

Divulgation d'information concernant votre site

Déni de service qui s'apparente au type synflood

« Mesures de performances » de l'Internet

Réseau de confiance du CERTA


## Description

Cybernet-A est un virus macro situé dans un document Word ou Excel se
trouvant en pièce jointe d'un mèl. Il se propage grâce au carnet
d'adresse d'outlook.

Ce virus se déclenchera un 17 août ou un 25 décembre en tentant
d'effacer les documents Word et Excel situés dans les répertoires de
démarrage de ces logiciels.

Il modifie également les fichiers autoexec.bat et config.sys sous
Windows 95 et 98 afin d'effectuer un formatage du disque dur lors du
prochain redémarrage.

Message type de propagation du virus :

            Sujet :"You've GOT Mail !!!"
            Texte : "Please, saved the document after you read and don't show to
                     anyone else. The document is also VIRUS FREE...so DISREGARD the
                     Virus protection warning !!!"
          Pi�ce jointe : Document Word ou excel

## Solution

-   Mettre à jour votre anti-virus ;
-   Suivre les conseils de la note d'information CERTA-2000-INF-002 du
    16 mai 2000 Chapitre 1-1 Généralités : « Méfiez-vous des choses
    bizarres ! ».

version initiale.

Destruction de données

Propagation de virus

Formatage du disque dur

Virus Macro OF97/Cybernet-A

Sophos


## Description

Message type de propagation du virus :

            Sujet : "Resume - Janet Simons "

            Texte : "To: Director of Sales/Marketing,
            Attached is my resume with a list of
            references contained within. Please
            feel free to call or email me if you
            have any further questions regarding
            my experience. I am looking forward
            to hearing from you.
            Sincerely,
            Janet Simons."

    Pi�ce jointe : RESUME1.DOC ou Explorer.doc ou NORMAL.DOT

## Solution

Activer la protection contre les virus macros de Word : Outils -\>
Options -\> Général -\> Cocher "Protection contre les virus contenus
dans les macros"

Mettre à jour votre anti-virus ;

Suivre les conseils de la note d'information CERTA-2000-INF-002 du 16
mai 2000 Notamment chapitre 1-1 Généralités : " Méfiez-vous des choses
bizarres ! ".

version initiale.

Perte de données

Summary:
Virus macro (type Melissa) situé dans un document Word ou Excel se
trouvant en pièce jointe d'un mèl. Il se propage grâce au carnet
d'adresse d'outlook.

Virus macro V97M/Resume.A

Symantec

CERT-IST


## Description

L'attaque consiste à envoyer des paquets fragmentés illégaux (par
exemple des paquets ICMP du type \`\`ping of death''), de façon à
saturer la journalisation de ce type d'attaque. L'activité du CPU est
alors entièrement dédiée à ce travail de trace.

Notons que la règle par défaut la plus restrictive (interdire tout) ne
vous met pas à l'abri de ce type d'attaque. De plus Firewall-1 n'est pas
en mesure de tracer ce type d'attaque.

## Détection d'attaque

En consultant le fichier /var/log/messages sous Unix ou le NTEvent
Viewer sous NT, on constate une grande quantité de messages du type :

packet size too big (65529) from 0x0g013c5f, ip_p=1

Ces messages et une utilisation hors norme du temps CPU sont le signe
que vous êtes sous une attaque du type déni de service par
fragmentation.

## Solution

Une solution temporaire consiste à supprimer la journalisation des
événements liés au noyau de Firewall-1. Cette action ne touche en
principe pas à la journalisation des règles standards de filtrage. En
revanche certains messages relatifs à la translation d'adresse risquent
d'être perdus.

\$FWDIR/bin/fw ctl debug -buf

Cette commande peut être ajoutée à la commande de démarage de Firewall-1
(FWDIR/bin/fw/fwstart) afin de la prendre en compte lorsque le garde
barrière est relancé.

Il est également possible d'utiliser un système de détection d'intrusion
qui bloquera la source émettant des paquets fragmentés illégaux (cette
solution ne fonctionnant pas si l'adresse source est usurpée).

## Références

-   Check Point IP Fragment-diven DoS Alert :

```{=html}
<!-- -->
```
    http://www.checkpoint.com/techsupport/alerts/ipfrag_dos.html

-   FW-1 IP Fragmentation Vulnerability :

```{=html}
<!-- -->
```
    http://www.entract.com/~lspitz/fwtable.html

-   Site de securityfocus :

```{=html}
<!-- -->
```
    http://securityfocus.com/vdb/

-   Avis du CERT IST.
-   Institute for security Technology Studies :

```{=html}
<!-- -->
```
    http://www.phoneboy.com/fw1

version initiale.

Deni de service sous Firewall-1

voir section 4


Windows nt

Windows 9x

## Description

Message type de présentation du virus

**Sujet**
:   « US PRESIDENT AND FBI SECRETS =PLEASE VISIT=\>
    (http://WWW.2600.COM)\<= »

**Texte**
:   « VERY JOKE..! SEE PRESIDENT AND FBY TOP SECRET PICTURE.. » ou une
    chaîne aléatoire de 10 caractères.

Ce virus affiche, le 17 septembre, un message d'avertissement :

« Dedicated to my best brother =\>Christiam Julian(C.J.G.S) Att », suivi
de 5 lettres aléatoires et de « (M.H.M. Team ».

Il essaie de démonter les lecteur Z: à E:

Il essaie de télécharger les fichiers MACROMEDIA32.ZIP, LINUX321.ZIP et
LINUX322.ZIP via Internet Explorer.

Ces fichiers ne sont pas des fichers compressés mais un fichier texte et
deux fichiers d'images.

MACROMEDIA32.ZIP est copié dans le répertoire Windows, sous le nom
important_note.txt et le met en mode RUN dans la base de registre.

Les deux autres fichiers sont également copiés dans le répertoire
Windows sous les noms respectifs de logos.sys et logw.sys.

Le virus se duplique sous deux noms différents : LINUX32.VBS et
reload.vbs et les rends exécutables au démarrage.

Il se duplique également dans le répertoire system avec un nom
commençant par 5 à 8 caractère choisi au hazard suivi des extensions
.GIF.VBS ou .JPG.VBS.

C'est ce fichier qui est envoyé à toutes les adresses du carnet
d'adresses d'outlook.

## Solution

-   Mettre à jour votre antivirus
-   Suivre les conseils de la notre d'information CERTA-2000-INF-002

version initiale.

Virus

Summary:
VBS/LoveLet-AS est un virus VBS de type Loveletter situé dans un pièce
jointe et se propageant par le carnet d'adresses d'Outlook.

Virus VBS/LoveLet-AS

Sophos


Windows 98

Windows 95

## Description

Ce cheval de Troie a été proposé sur des forums pour adultes sous la
forme d'un fichier Quickflick.mpg.exe ou Mysissy.mpg.exe se faisant
ainsi passer pour un fichier vidéo (.mpg).

Une fois ce fichier exécuté sur la machine, il installe discrétement un
cheval de Troie téléchargé depuis un autre site (dont l'adresse semble
actuellement inaccesible), qui permet à un utilisateur distant de
prendre le contrôle de la machine et de l'impliquer dans un éventuel
Déni de Service par Outils Répartis. Il utilise également des ports de
communications dont certains correspondent à ceux utilisés lors de
connexions IRC.

## Solution

-   Détection :

    Lister les ports ouverts via la commande netstat -a et s'assurer que
    les ports 2221, 2222, 6669 et 7000 ne sont pas utilisés.

    Le cheval de troie ajoute les lignes de commandes suivantes :

    -   system.ini : shell=Explorer «trojan.exe»
    -   win.ini : run=«trojan.exe»

    Il ajoute également une entrée dans la base de registre à
    l'emplacement :

    `HKEY_USERS\Microsoft\Windows\CurrentVersion\Explorer`

-   Solution :
    -   Filtrer les ports 2221, 2222, 6669 et 7000 sur le firewall;
    -   Mettre à jour votre anti-virus;
    -   Suivre les recommandations de la note d'information
        CERTA-2000-INF-002 concernant les pièces jointes.

version initiale.

Cheval de troie

Summary:
Serbian.trojan (également nommé Troj/Downloader ou W95/Loader Trojan)
est un cheval de Troie qui s'est propagé par l'intermédiaire d'un
fichier téléchargé depuis certains forums.

The Serbian Badman Trojan (TSB)


Windows 95 et 98.

Windows 2000;

Windows NT;

## Description

Stages-A est transmis par une pièce jointe de type LIFE_STAGES.TXT.SHS.
Le ver s'active à l'ouverture de ce fichier et montre un texte contenant
des plaisanteries sur les étapes de la vie des hommes et des femmes.
Parallèlement le ver s'installe sur la machine puis se propage via le
carnet d'adresse d'Outlook et les logiciels Mirc ou Pirch. Enfin il
détruit le fichier REGEDIT.EXE en le déplacant vers la poubelle du
système.

Le fait d'utiliser l'extension SHS risque de rendre moins méfiant les
utilisateurs par rapport à une extension VBS.

Principe d'un fichier SHS : le contenu du presse-papier peut être
sauvegarder par « cliquer-déposer » dans un fichier de type SHS (Shell
Scrap Objet). Ce fichier peut contenir des données Word, Excel mais
également un fichier exécutable. L'exécution du fichier SHS entraîne
automatiquement l'ouverture des applications correspondantes (Word,
Excel...) ou le lancement du fichier exécutable.

## Contournement provisoire

Détection du ver : présentation du message reçu

-   Objet : « Funny » , « Funny » , « Funny test » , « Life stages text
    »
-   Corps du message : « The male and female stages of life »
-   Pièce jointe : LIFE_STAGES.TXT.SHS

## Solution

-   Mettre à jour votre anti-virus;
-   Suivre les recommandantions de la note CERTA-2000-INF-002.

version initiale.

Perte de données

Propagation de virus

Summary:
Stages-A est un ver contenu dans un fichier SHS (Shell Scrap Objet) qui
se propage par e-mail (Carnet d'adresses Outlook), par IRC (Logiciels
Mirc ou Pirch) et par partage de volume sur le réseau.

Ver VBS/Stages-A, Mirc/stages-a, pIRC/Stages-A

Sophos


Les systèmes affectés par ces vulnérabilités sont les serveurs  ftp <TT>wu-ftpd</TT> ou issus du code source de  <TT>wu-ftpd</TT>.

## Description

wu-ftpd est un logiciel qui met en œuvre les services du protocole de
transfert de fichiers (File Transfer Protocol ou FTP).

Depuis début 1999 un certain nombres de vulnérabilités ont été publiées
sur ce logiciel ainsi que des programmes d'exploitation de ces
vulnérabilités.

Certaines des compromissions décrites ci-après concernent non-seulement
le logiciel wu-ftpd mais aussi les logiciels qui offrent le service ftp
et qui sont basés sur le code source de wu-ftpd.

Les vulnérabilités sont les suivantes :

##   4.1 Débordement de pile dans MAPPING_CHDIR

Des utilisateurs distants et locaux peuvent exploiter cette
vulnérabilité pour exécuter n'importe quel code avec les privilèges de
l'utilisateur qui lance le serveur wu-ftpd (le plus souvent, le
superutilisateur root).

Pour exploiter cette vulnérabilité, l'intrus doit être capable de créer
des répertoires dans les systèmes vulnérables accessibles via FTP. Alors
que les utilisateurs distants ne sont susceptibles d'avoir ce privilège
qu'au travers d'un accès FTP anonyme, il se peut que les utilisateurs
locaux aient la possibilité de créer les répertoires nécessaires dans
leur répertoire personnel.

##   4.2 Débordement de pile dans le fichier message

Des utilisateurs distants et locaux peuvent exploiter cette
vulnérabilité pour exécuter n'importe quel code avec les priviliège de
l'utilisateur qui lance le serveur wu-ftpd (le plus souvent, le
superutilisateur root).

Si les intrus sont capable de modifier le contenu d'un fichier .message,
ils peuvent alors exploiter avec succès cette vulnérabilité. Cet accès
est fréquemment accordé aux utilisateurs locaux dans leur répertoire
personnel, mais il se peut que cette possibilité soit restreinte dans le
cas de l'accès FTP anonyme, selon votre configuration.

En outre, dans certaines circonstances, il se peut que des utilisateurs
distants soient capables de profiter de fichier .message contenant des
macros fournis par l'administrateur du site en faisant en sorte que le
client FTP fournissent des valeurs convenablement choisies qui seront
exploitées par lesdites macros.

##   4.3 Fuite de mémoire dans SITE NEWER

Des intrus locaux ou distants qui peuvent se connecter au serveur FTP
peuvent faire consommer une quantité de mémoire excessive, empêchant le
fonctionnement normal du système. Si les intrus peuvent créer des
fichiers sur le système, ils peuvent exploiter cette vulnérabilité pour
exécuter n'importe quel code avec les privilège de l'utilisateur qui
lance le serveur ftp, généralement le superutilisateur root.

##   4.4 Débordement de variable dans le programme ftpshut

Un débordement de variable est exploitable dans le programme ftpshut si
celui est configuré avec les privilège suid-root. Ce peut utilisé par un
utilisateur local pour obtenir un accès avec les privilège de root.

## Solution

Des mises à jours de wu-ftpd sont fournies pour certaines distributions
de systèmes d'exploitation. Il est souvent plus aisé pour la maintenance
d'un site d'utiliser les mises à jours fournies par le vendeur plutôt
que d'installer soit même à partir des sources. Cependant, on trouvera
dans la section [5.1](#sec:manuelle) des avertissement sur certains
aspects de la configuration qu'on ne retrouve pas dans les autres
sections.

Si votre distribution n'est pas citée reportez vous à la
section [5.1](#sec:manuelle).

##   5.1 Correction manuelle

Charger la dernière version des sources du logiciel wu-ftpd à l'adresse

    ftp://ftp.wu-ftpd.org/pub/wu-ftpd/wu-ftpd-2.6.0.tar.gz

.

Appliquez le correctif suivant aux sources :

    ftp://ftp.wu-ftpd.org/pub/wu-ftpd/quickfixes/apply_to_2.6.0/lreply-buffer-overflow.patch

.

Il faut maintenant configurer le serveur avant de le compiler.

Attention ! il se peut que la version 2.6.0 pose des problèmes
d'interopérabilité avec certains clients FTP bogués. En effet, la
version 2.6.0 a été corrigée pour accroître sa conformité à la RFC
spécifiant le protocole FTP. En conséquence il se peut que certains
clients qui ne respectent pas totalement la RFC cesse d'interopérer avec
le serveur. Nous vous encourageons à bien lire la documentation de
wu-ftp avant de faire la mise à jour.

Si la compatibilité de votre serveur avec des logiciels clients non
conformes à la RFC est un soucis pour le service FTP que vous rendez, il
y a lieu de configurer avec les options suivantes :

    ./configure --enable-badclients

Il se peut que dans des versions futures de wu-ftpd cette option de
configuration ne soit plus disponible.

Compilez et installez.

Par défaut ftpshut n'est pas installé avec les privilège suid-root.

Il peut s'avérer nécessaire de prendre les mesures suivantes :

-   désactiver ou limiter les zones du serveur où on l'on peut déposer
    des fichiers.

    De nombreux sites offre le service FTP à une communauté. Par
    exemple, une communauté de développeur de logiciels libres peut
    mettre en place un serveur FTP ou chacun peut déposer ses logiciels
    dans un répertoire (généralement appelé Incomming). Ce répertoire,
    quoique peu sûr, permet une gestion souple du serveur qui se conçoit
    dans une communauté informelle.

    Une telle approche peut permettre à des intrus d'abuser du service
    offert en offrant des fichiers qui ne sont pas dans l'esprit que
    vous souhaitez donner à votre site. Par exemple, un intrus pourrait,
    à votre insu, créer chez vous un serveur de fichiers au caractère
    douteux qui :

    1.  consomme à vos frais des ressources.

        Les intrus occupent en général les serveurs FTP d'autrui pour y
        placer des fichiers que l'on trouve difficilement mais qui pour
        autant peuvent être très demandés. Un fort volume de fichiers
        déposés dans votre serveur se fera au détriment de la place que
        vous pourrez accorder aux fichiers pour lesquels vous avez monté
        votre service FTP. Par ailleurs, une forte demande peut
        engendrer une forte charge sur vos serveurs au point qu'ils ne
        rendent pas le service pour lequel ils ont été créés avec la
        diligence nécessaire.

    2.  pose un problème d'image.

        Votre organisme n'aurait peut-être pas publié ou toléré la
        publication de fichiers tels que ceux qu'a déposé l'intrus. Par
        exemple, il est peu probable qu'une administration publie des
        documents qui incitent à la haine, ou qu'un site prônant la
        francophonie soit inondés de textes dans une langue étrangère.

    3.  engage votre responsabilité.

        On constate de plus en plus la réaction violente des éditeurs de
        logiciel, de musique voire d'œuvres littéraires face à ce qu'ils
        considèrent comme du pillage. Il arrive moins souvent que des
        artistes ou des particuliers réagisse ainsi lorsqu'ils estiment
        bafoués leur droit (relatif à leur image par exemple).
        Indépendemment du bien fondé de leur démarche dans le cas précis
        des fichiers qui pourraient être placés à votre insu sur vos
        serveurs de fichiers, il se peut que vous fassiez l'objet d'une
        plainte.

Configurez par conséquent votre serveur FTP pour limiter la possibilité
de déposer des fichiers au minimum nécessaire pour rendre le service que
vous souhaitez. Une documentation en anglais est disponible sur à
l'adresse :

    ftp://ftp.wu-ftpd.org/pub/wu-ftpd/upload.configuration.HOWTO

##   5.2 Debian

### 5.2.1 Debian 2.1 (slink)

**Source**
:
    -   http://security.debian.org/dists/slink/updates/source/wu-ftpd-academ_2.4.2.16-13.1.diff.gz

    -   http://security.debian.org/dists/slink/updates/source/wu-ftpd-academ_2.4.2.16-13.1.dsc

    -   http://security.debian.org/dists/slink/updates/source/wu-ftpd-academ_2.4.2.16.orig.tar.gz

**alpha**

:   http://security.debian.org/dists/slink/updates/binary-alpha/wu-ftpd-academ_2.4.2.16-13.1_alpha.deb

**i386**

:   http://security.debian.org/dists/slink/updates/binary-i386/wu-ftpd-academ_2.4.2.16-13.1_i386.deb

**m68k**

:   http://security.debian.org/dists/slink/updates/binary-m68k/wu-ftpd-academ_2.4.2.16-13.1_m68k.deb

**sparc**

:   http://security.debian.org/dists/slink/updates/binary-sparc/wu-ftpd-academ_2.4.2.16-13.1_sparc.deb

### 5.2.2 Debian 2.2 (potato)

**Source**
:
    -   http://security.debian.org/dists/potato/updates/main/source/wu-ftpd_2.6.0-5.1.diff.gz

    -   http://security.debian.org/dists/potato/updates/main/source/wu-ftpd_2.6.0-5.1.dsc

    -   http://security.debian.org/dists/slink/updates/source/wu-ftpd-academ_2.4.2.16.orig.tar.gz

**alpha**

:   http://security.debian.org/dists/potato/updates/main/binary-alpha/wu-ftpd_2.6.0-5.1_alpha.deb

**arm**

:   http://security.debian.org/dists/potato/updates/main/binary-arm/wu-ftpd_2.6.0-5.1_arm.deb

**i386**

:   http://security.debian.org/dists/potato/updates/main/binary-i386/wu-ftpd_2.6.0-5.1_i386.deb

**m68k**

:   http://security.debian.org/dists/potato/updates/main/binary-m68k/wu-ftpd_2.6.0-5.1_m68k.deb

**powerpc**

:   http://security.debian.org/dists/potato/updates/main/binary-powerpc/wu-ftpd_2.6.0-5.1_powerpc.deb

**sparc**

:   http://security.debian.org/dists/potato/updates/main/binary-sparc/wu-ftpd_2.6.0-5.1_sparc.deb

##   5.3 Redhat linux

Installez les extensions au travers des fichiers rpm suivants (pour
chaque fichier rpm correspondant à votre architecture matérielle, lancez
: rpm -Fvh \[fichier\] où fichier est le nom du fichier rpm) :

### 5.3.1 Red Hat Linux 5.2

**i386**

:   ftp://updates.redhat.com/5.2/i386/wu-ftpd-2.6.0-2.5.x.i386.rpm

**alpha**

:   ftp://updates.redhat.com/5.2/alpha/wu-ftpd-2.6.0-2.5.x.alpha.rpm

**sparc**

:   ftp://updates.redhat.com/5.2/sparc/wu-ftpd-2.6.0-2.5.x.sparc.rpm

**sources**

:   ftp://updates.redhat.com/5.2/SRPMS/wu-ftpd-2.6.0-2.5.x.src.rpm

### 5.3.2 Red Hat Linux 6.2

**i386**

:   ftp://updates.redhat.com/6.2/i386/wu-ftpd-2.6.0-14.6x.i386.rpm

**alpha**

:   ftp://updates.redhat.com/6.2/alpha/wu-ftpd-2.6.0-14.6x.alpha.rpm

**sparc**

:   ftp://updates.redhat.com/6.2/sparc/wu-ftpd-2.6.0-14.6x.sparc.rpm

**sources**

:   ftp://updates.redhat.com/6.2/SRPMS/wu-ftpd-2.6.0-14.6x.src.rpm

De plus amples informations sur les sites :

version initiale.

Des utilisateurs locaux, distants ou anonymes peuvent engendrer une charge de travail important sur le serveur, le rendant ainsi inapte à réaliser le service que l'on en attend

Des utilisateurs locaux, distants ou anonymes peuvent usurper les privilèges du superutilisateur root sur la machine accueillant les serveurs

Des utilisateurs locaux, distants ou anonymes peuvent créer des répertoires et des fichiers dans le serveur ftp, permettant par exemple d'accueillir dans votre serveur ftp des sites au contenu au mieux illégitime au pire illégal

Summary:
Certaines versions de wu-ftp sont vulnérables à une compromission à
distance du compte root voire à une exploitation locale.

Vulnérabilités dans le serveur de fichier wu-ftpd

Avis Debian du 22 juin 2000

Serveur WEB du projet WU-FTP


## Description

Ce cheval de Troie proposé sous forme de fichier exécutable contient
deux fichiers SIMPSONS.BAT et SIMPSONS.BMP.

Lorsque le fichier SIMPSONS.EXE est lancé il extrait les fichiers et
exécute automatiquement SIMPSONS.BAT.

SIMPSONS.BAT utilise la commande DELTREE.EXE pour effacer les disques de
A: à D:.

Ce cheval de Troie n'affecte pas Windows NT ni Windows 2000 car la
commande Deltree n'existe plus sur ces versions.

## Solution

Mettre à jour votre anti-virus

version initiale.

Cheval de troie

Summary:
Simpson est un cheval de Troie qui se propage par un fichier compressé
(zip) auto-extractible nommé SIMPSONS.EXE

Trojan Simpsons

Sophos

Symantec


Windows NT et 2000 utilisant le système de fichiers NTFS.

## Description

L'ensemble du système de fichier NTFS est géré comme une base de données
relationnelle composée uniquement de fichiers. Chaque fichier a une
liste d'attributs (nom de fichier, descripteur de sécurité, données,...)
de longueur variable. Tout fichier accepte de nouveaux attributs
caractérisés par leur nom. Un attribut est divisé en 2 parties :
l'entête et le contenu, ce dernier étant composé du nom de l'attribut et
d'un flux de données.

Un flux de données addtionnel peut donc être créé par la simple ligne de
commande echo \`\`Test de flux de données addtionnel'' \>
fichier_existant:flux1.txt, où fichier_existant est un fichier présent
dans le répertoire courant (on ajoute un nouvel attribut de nom
flux1.txt au fichier fichier_existant). Ni la commande dir ni
l'explorateur de fichiers ne révèlent son existence. Il peut en revanche
être ouvert par la commande notepad fichier_existant:flux1.txt. D'autres
flux additionnels peuvent évidemment être ajoutés. La commande del,
incompatible, n'est pas en mesure de les supprimer. Cependant un tel
flux est inerte, il ne peut être directement exécuté.

Dans l'optique d'une utilisation malicieuse, cette restriction peut être
facilement contournée : l'essentiel du code du virus est masqué dans un
flux additionnel, et il est simplement appelé par un code minimal depuis
le flux \`\`normal'' (script vba sous Word, scriptlet vbs, modification
d'un exécutable,...). Le peu de code qui estalors visible par les
antivirus ne permet pas de générer une signature : il est trop peu
caractéristique pour ne pas générer de nombreuses fausses alarmes.

## Solution

Depuis la publication du bulletin du \`\`SANS Institute'' et
l'apparition du virus Stream, il est impératif que les éditeurs
d'antivirus rendent les moteurs d'analyse compatibles avec les flux de
données additionnels.

Il est donc essentiel de mettre à jour les bases de signature de vos
antivirus (détection de Stream), de prendre contact avec vos éditeurs
pour connaître les modalités d'évolution des moteurs d'analyse (achat,
mise à jour,...) et de prendre en compte dès aujourd'hui le déploiement.

Copie du bulletin d'alerte du ``SANS Institute'' :

Analyse de Stream par Symantec :

version initiale.

Prolifération de virus non détectés par les analyseurs antivirus

Summary:
Le système de fichier NTFS permet de créer des Flux de Données
Additionnels (Alternate Data Streams) associés ou non à un fichier. Il a
été relevé dès 1998 que cela permettait de dissimuler de l'information
pour 2 raisons essentielles :

-   Cette fonctionnalité est très mal documentée par Microsoft et peu
    d'administrateurs la connaisse,
-   Beaucoup d'outils de Windows n'ont même pas la capacité de gérer ces
    flux.

C'est ainsi que la commande dir ou l'explorateur de Windows ne sont pas capables de les
afficher, ni même d'indiquer le changement de taille d'un fichier auquel
on aurait adjoint un flux additionnel.

Les analyseurs antivirus n'échappaient jusqu'alors pas à la règle, et ne
recherchaient donc pas de signatures caractéristiques dissimulées dans
un flux additionnel.

Un premier virus est apparu sous Windows 2000 : Win2K.Stream, Win2k_Stream ou simplement Stream. Ce n'est qu'une version expérimentale qui
n'est pas nocive aujourd'hui. Cependant il faut noter qu'il est apparu
seulement quelques jours après une alerte du \`\`SANS Institute''
expliquant le danger potentiel des flux additionnels pour les antivirus.

Mauvaise compatibilité des scanners de virus avec NTFS

F-Secure

Sophos

NAI

Avis du CERT-IST


Windows 9x ;

Windows 2000.

Windows NT ;

## Description

VBS/Quatro-A est du type Visual Basic Script (VBS) et arrive sous forme
d'un courrier électronique proposant une mise à jour de Microsoft
Internet explorer.

Message type de présentation de ce virus :

**Sujet**
:   UPDATE IEXPLORE 5.5

**Corps du message**
:   La toute nouvelle version de Microsoft Internet Explorer offre de
    nombreux avantages aux utilisateurs et aux développeurs. Vous
    apprecierez en particulier la nouvelle fonction d'apercu avant
    impression qui permet d'afficher les pages telles qu'elles se
    presenteront a l'impression. Grace a la prise en charge ameliorée
    des langages DHTML et CSS, les concepteurs de sites Web seront en
    outre plus a même de contrôler l'apparence des pages et le
    fonctionnement du navigateur. Téléchargez tous ces éléments
    aujourd'hui a partir des mises a jour de produits.

**Pièce jointe**
:   UPDATE.vbs

En cas de lancement de la pièce jointe, le virus cherche des adresses
mèl dans les documents TXT, WAB, HTM et HTML de la machine cible et
utilise Outlook pour se transmettre à ces adresses.

Il supprime également les fichiers de la machine cible si le fichier «
`c:\13A0` » n'existe pas sur cette machine.

## Solution

-   Mettre à jour votre antivirus ;
-   Suivre les recommandations de la note CERTA-2000-INF-002 concernant
    les pièces jointes.

Alerte SOPHOS :

version initiale.

Perte de données

Propagation de virus

Summary:
VBS/Quatro-A est un virus VBS, situé dans une pièce jointe, se
propageant par le carnet d'adresse d'Outlook.

Virus VBS Quatro-A

Réseau de confiance

Sophos


## Description

Un utilisateur mal intentionné peut, à l'aide de débordements de piles
dans les programmes ayant le bit suid activé, obtenir des droits qu'il
n'a pas (en général root), en faisant appel à une faille dans la
bibliothèque glibc. Ces programmes sont entre autres :

-   /bin/su
-   /bin/mount
-   /bin/umount
-   /usr/bin/
-   /usr/bin/lpq
-   /usr/bin/passwd
-   /usr/bin/at
-   /usr/bin/suidperl
-   /usr/sbin/usernetcl
-   /usr/sbin/userhelper

Ces utilitaires sont pour la plupart nécessaires aux fonctionnement du
système.

## Solution

Appliquer les correctifs obtenus par les adresses suivantes :

-   Debian :
    -   http://security.debian.org/dists/stable/updates/main/source/glibc_2.1.3-13.diff.gz

    -   http://security.debian.org/dists/stable/updates/main/source/glibc_2.1.3-13.dsc

    -   http://security.debian.org/dists/stable/updates/main/source/glibc_2.1.3.orig.tar.gz

    -   http://security.debian.org/dists/stable/updates/main/binary-all/glibc-doc_2.1.3-13_all.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-all/i18ndata_2.1.3-13_all.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-dbg_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-dev_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-pic_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-prof_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libnss1-compat_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/locales_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/nscd_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-dbg_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-dev_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-pic_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-prof_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/locales_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/nscd_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-dbg_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-dev_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-pic_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-prof_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libnss1-compat_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/locales_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/nscd_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-dbg_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-dev_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-pic_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-prof_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/locales_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/nscd_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-dbg_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-dev_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-pic_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-prof_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6_2.1.3-13_sparc.deb:

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/locales_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/nscd_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/slink/updates/source/glibc_2.0.7.19981211-6.3.diff.gz

    -   http://security.debian.org/dists/slink/updates/source/glibc_2.0.7.19981211-6.3.dsc

    -   http://security.debian.org/dists/slink/updates/source/glibc_2.0.7.19981211.orig.tar.gz

    -   http://security.debian.org/dists/slink/updates/binary-i386/libc6-dbg_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/libc6-dev_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/libc6-pic_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/libc6_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/locales_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/timezones_2.0.7.19981211-6.3_i386.deb
-   Conectiva :
    -   ftp://atualizacoes.conectiva.com.br/4.0/SRPMS/glibc-2.1.2-14cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0/i386/glibc-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0/i386/glibc-devel-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0/i386/glibc-profile-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0/i386/nscd-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/SRPMS/glibc-2.1.2-14cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/i386/glibc-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/i386/glibc-devel-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/i386/glibc-profile-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/i386/nscd-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/SRPMS/glibc-2.1.2-14cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/i386/glibc-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/i386/glibc-devel-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/i386/glibc-profile-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/i386/nscd-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/SRPMS/glibc-2.1.2-14cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/i386/glibc-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/i386/glibc-devel-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/i386/glibc-profile-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/i386/nscd-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/SRPMS/glibc-2.1.3-10cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/i386/glibc-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/i386/glibc-devel-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/i386/glibc-profile-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/i386/nscd-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/SRPMS/glibc-2.1.3-10cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/i386/glibc-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/i386/glibc-devel-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/i386/glibc-profile-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/i386/nscd-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/SRPMS/glibc-2.1.3-10cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/i386/glibc-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/i386/glibc-devel-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/i386/glibc-profile-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/i386/nscd-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/SRPMS/glibc-2.1.3-10cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/i386/glibc-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/i386/glibc-devel-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/i386/glibc-profile-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/i386/nscd-2.1.3-10cl.i386.rpm
-   Caldera :
    -   OpenLinux Desktop 2.3 :
        -   ftp://ftp.calderasystems.com/pub/updates/OpenLinux/2.3/current/RPMS/

        -   ftp://ftp.calderasystems.com/pub/updates/OpenLinux/2.3/current/SRPMS

            -   RPMS/glibc-2.1.1-3.i386.rpm
            -   RPMS/glibc-devel-2.1.1-3.i386.rpm
            -   RPMS/glibc-devel-static-2.1.1-3.i386.rpm
            -   RPMS/glibc-localedata-2.1.1-3.i386.rpm
            -   SRPMS/glibc-2.1.1-3.src.rpm
    -   OpenLinux eServer 2.3 et OpenLinux eBuilder pour ECential 3.0 :
        -   ftp://ftp.calderasystems.com/pub/updates/eServer/2.3/current/RPMS/

        -   ftp://ftp.calderasystems.com/pub/updates/eServer/2.3/current/SRPMS

            -   RPMS/glibc-2.1.3-4S.i386.rpm
            -   RPMS/glibc-devel-2.1.3-4S.i386.rpm
            -   RPMS/glibc-devel-static-2.1.3-4S.i386.rpm
            -   RPMS/glibc-localedata-2.1.3-4S.i386.rpm
            -   SRPMS/glibc-2.1.3-4S.src.rpm
    -   OpenLinux eDesktop 2.4 :
        -   ftp://ftp.calderasystems.com/pub/updates/eDesktop/2.4/current/RPMS/

        -   ftp://ftp.calderasystems.com/pub/updates/eDesktop/2.4/current/SRPMS

            -   RPMS/glibc-2.1.2-7.i386.rpm
            -   RPMS/glibc-devel-2.1.2-7.i386.rpm
            -   RPMS/glibc-devel-static-2.1.2-7.i386.rpm
            -   RPMS/glibc-localedata-2.1.2-7.i386.rpm
            -   SRPMS/glibc-2.1.2-7.src.rpm
-   Slackware:
    -   ftp://ftp.slackware.com/pub/slackware/slackware-current/slakware/a1/glibcso.tgz

    -   ftp://ftp.slackware.com/pub/slackware/slackware-current/slakware/d1/glibc.tgz

    -   ftp://ftp.slackware.com/pub/slackware/slackware-current/slakware/des1/descrypt.tgz
-   SuSE Linux:
    -   ftp://ftp.suse.com/pub/suse/i386/update/7.0/a1/shlibs-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/7.0/d1/libc-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/7.0/d2/libd-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/7.0/zq1/libc-2.1.3-154.src.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.4/a1/shlibs-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.4/d1/libc-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.4/d2/libd-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.4/zq1/libc-2.1.3-154.src.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.3/a1/shlibs-2.1.2-47.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.3/d1/libc-2.1.2-47.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.3/d2/libd-2.1.2-47.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.3/zq1/libc-2.1.2-47.src.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.2/a1/shlibs-2.1.1-29.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.2/d1/libc-2.1.1-29.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.2/d2/libd-2.1.1-29.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.2/zq1/libc-2.1.1-29.src.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.1/a1/shlibs-2000.9.5-0.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.1/d1/libc-2000.9.5-0.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.1/d2/libd-2000.9.5-0.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.1/zq1/libc-2000.9.5-0.src.rpm

    -   ftp://ftp.suse.com/pub/suse/sparc/update/7.0/a1/shlibs-2.1.3-154.sparc.rpm

    -   ftp://ftp.suse.com/pub/suse/sparc/update/7.0/d1/libc-2.1.3-154.sparc.rpm

    -   ftp://ftp.suse.com/pub/suse/sparc/update/7.0/d2/libd-2.1.3-154.sparc.rpm

    -   ftp://ftp.suse.com/pub/suse/sparc/update/7.0/zq1/libc-2.1.3-154.src.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.4/a1/shlibs-2.1.3-154.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.4/d1/libc-2.1.3-154.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.4/d2/libd-2.1.3-154.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.4/zq1/libc-2.1.3-154.src.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.3/a1/shlibs-2.1.2-47.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.3/d1/libc-2.1.2-47.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.3/d2/libd-2.1.2-47.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.3/zq1/libc-2.1.2-47.src.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.1/a1/shlibs-2000.9.5-0.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.1/d1/libc-2000.9.5-0.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.1/d2/libd-2000.9.5-0.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.1/zq1/libc-2000.9.5-0.src.rpm

    -   ftp://ftp.suse.com/pub/suse/ppc/update/6.4/a1/shlibs-2.1.3-154.ppc.rpm

    -   ftp://ftp.suse.com/pub/suse/ppc/update/6.4/d1/libc-2.1.3-154.ppc.rpm

    -   ftp://ftp.suse.com/pub/suse/ppc/update/6.4/d2/libd-2.1.3-154.ppc.rpm

    -   ftp://ftp.suse.com/pub/suse/ppc/update/6.4/zq1/libc-2.1.3-154.src.rpm
-   Linux-Mandrake 7.0 et 7.1:
    -   7.0/RPMS/glibc-2.1.3-16mdk.i586.rpm
    -   7.0/RPMS/glibc-devel-2.1.3-16mdk.i586.rpm
    -   7.0/RPMS/glibc-profile-2.1.3-16mdk.i586.rpm
    -   7.0/SRPMS/glibc-2.1.3-16mdk.src.rpm
    -   7.1/RPMS/glibc-2.1.3-17mdk.i586.rpm
    -   7.1/RPMS/glibc-devel-2.1.3-17mdk.i586.rpm
    -   7.1/RPMS/glibc-profile-2.1.3-17mdk.i586.rpm
    -   7.1/SRPMS/glibc-2.1.3-17mdk.src.rpm
-   Red Hat:
    -   ftp://updates.redhat.com/5.2/sparc/glibc-2.0.7-29.4.sparc.rpm

    -   ftp://updates.redhat.com/5.2/sparc/glibc-debug-2.0.7-29.4.sparc.rpm

    -   ftp://updates.redhat.com/5.2/sparc/glibc-devel-2.0.7-29.4.sparc.rpm

    -   ftp://updates.redhat.com/5.2/sparc/glibc-profile-2.0.7-29.4.sparc.rpm

    -   ftp://updates.redhat.com/5.2/alpha/glibc-2.0.7-29.4.alpha.rpm

    -   ftp://updates.redhat.com/5.2/alpha/glibc-debug-2.0.7-29.4.alpha.rpm

    -   ftp://updates.redhat.com/5.2/alpha/glibc-devel-2.0.7-29.4.alpha.rpm

    -   ftp://updates.redhat.com/5.2/alpha/glibc-profile-2.0.7-29.4.alpha.rpm

    -   ftp://updates.redhat.com/5.2/i386/glibc-2.0.7-29.4.i386.rpm

    -   ftp://updates.redhat.com/5.2/i386/glibc-debug-2.0.7-29.4.i386.rpm

    -   ftp://updates.redhat.com/5.2/i386/glibc-devel-2.0.7-29.4.i386.rpm

    -   ftp://updates.redhat.com/5.2/i386/glibc-profile-2.0.7-29.4.i386.rpm

    -   ftp://updates.redhat.com/5.2/SRPMS/glibc-2.0.7-29.4.src.rpm

    -   ftp://updates.redhat.com/6.2/sparc/glibc-2.1.3-21.sparc.rpm

    -   ftp://updates.redhat.com/6.2/sparc/glibc-devel-2.1.3-21.sparc.rpm

    -   ftp://updates.redhat.com/6.2/sparc/glibc-profile-2.1.3-21.sparc.rpm

    -   ftp://updates.redhat.com/6.2/sparc/nscd-2.1.3-21.sparc.rpm

    -   ftp://updates.redhat.com/6.2/i386/glibc-2.1.3-21.i386.rpm

    -   ftp://updates.redhat.com/6.2/i386/glibc-devel-2.1.3-21.i386.rpm

    -   ftp://updates.redhat.com/6.2/i386/glibc-profile-2.1.3-21.i386.rpm

    -   ftp://updates.redhat.com/6.2/i386/nscd-2.1.3-21.i386.rpm

    -   ftp://updates.redhat.com/6.2/alpha/glibc-2.1.3-21.alpha.rpm

    -   ftp://updates.redhat.com/6.2/alpha/glibc-devel-2.1.3-21.alpha.rpm

    -   ftp://updates.redhat.com/6.2/alpha/glibc-profile-2.1.3-21.alpha.rpm

    -   ftp://updates.redhat.com/6.2/alpha/nscd-2.1.3-21.alpha.rpm

    -   ftp://updates.redhat.com/6.2/sparcv9/glibc-2.1.3-21.sparcv9.rpm

    -   ftp://updates.redhat.com/6.2/SRPMS/glibc-2.1.3-21.src.rpm
-   TurboLinux:
    -   ftp://ftp.turbolinux.com/pub/updates/6.0/glibc-2.1.2-17S.i386.rpm

    -   ftp://ftp.turbolinux.com/pub/updates/6.0/glibc-2.1.2-15S.i386.rpm

    -   ftp://ftp.turbolinux.com/pub/updates/6.0/SRPMS/glibc-2.1.2-17S.src.rpm

    -   ftp://ftp.turbolinux.com/pub/updates/6.0/SRPMS/glibc-2.1.2-15S.src.rpm

Si votre version d'unix n'est pas citée, veuillez consulter le CERTA.

Bulletin de sécurité Debian :

Bulletin de sécurité RedHat :

version initiale.

Accès root en local grâce à un débordement de pile

Summary:
La bibliothèque glibc permet à un utilisateur local d'exécuter du code
arbitraire avec les privilèges de root.

Vulnérabilité dans la bibliothèque glibc sous Unix

Avis de sécurité Debian et RedHat

Avis Security Bugware


## Description

Les certificats sont utilisés pour créer une relation de confiance entre
un client et un serveur. Ils sont par exemple vérifiés lors d'une
connexion sécurisée (HTTPS) à un site, du téléchargement d'un fichier de
mise à jour, ou de l'exécution d'une appliquette java signée.

Un des serveurs de certificat de Sun ayant été compromis, il y a des
risques que ses certificats soient réutilisés par des utilisateurs mal
intentionnés, ou que les machines clientes de ce serveur soient
compromises lors d'échanges avec celui-ci.

Les numéros de séries de ces certificats sont les suivants :

-   3181 B12D C422 SDAC A340 CF86 2710 ABE6 pour internet explorer,
-   17:05:FB:13:A2:2F:9A:F3:C1:30:F5:62:6E:12:50:4C pour Netscape
    Communicator (sauf Netscape6),
-   1705FB13A22F9AF3C130F5626E12504C pour Netscape6.

## Contournement provisoire

Afin d'éviter d'exécuter des appliquettes java signées avec un
certificat volé ou provenant de la machine compromise, désactiver les
java, javascripts, et ActiveX comme indiqué dans les bulletins
CERTA-2000-AVI-002, CERTA-2000-ALE-001 et CERTA-2000-ALE-002,
CERTA-2000-INF-002.

## Solution

Sun recommande de supprimer de votre navigateur le certificat dont les
numéros de séries correspondent à ceux des certificats délivrés par ce
serveur, et de vérifier les numéros de séries des éventuels certificats
lors de leur installation.

Voici quelques exemples de navigateurs :

-   Pour les utilisateurs d'Internet Explorer :

    Dans le menu « Outils », choisir « Options ». sélectionner l'onglet
    « Contenu » cliquer sur le bouton « Certificats » retrouver, dans la
    fenêtre qui apparaît alors, un certificat nommé : « Sun Microsystems
    Inc. ». Cliquer sur le bouton « Voir ». Si le numéro de série est le
    suivant, il faut détruire l'entrée :

    3181 B12D C422 SDAC A340 CF86 2710 ABE6

    S'il vous est proposé d'installer un certificat :

    Une fenêtre apparaît demandant si vous désirez installer le
    certificat en question. Pour obtenir des détails sur le certificat,
    cliquer sur le lien hyper-texte « Sun Microsystems Inc. » Dans la
    nouvelle fenêtre, choisir l'onglet « détails » et y sélectionner «
    l'entrée Numéro de série ». Refuser le certificat si le numéro est
    celui indiqué ci-dessus.

-   Pour les utilisateurs de Netscape Communicator :

    Dans le menu « Communicator », « Outils », « Options de sécurité ».
    Sélectionner l'option « java/javascripts » dans la fenêtre qui
    apparaît. Retrouver, dans le cadre content la liste des certificats,
    un certificat nommé : « Sun Microsystems Inc. ». Cliquer sur le
    bouton « Voir le Certificat ». Si le numéro de série est le suivant,
    il faut détruire l'entrée :

    17:05:FB:13:A2:2F:9A:F3:C1:30:F5:62:6E:12:50:4C

    S'il vous est proposé d'installer le certificat :

    Une boite d'alerte apparaît, vous demandant si vous désirez
    installer le certificat. Pour obtenir des détails sur le certificat,
    cliquer sur le bouton « certificat ». Vérifier le numéro de série
    indiqué dans la fenêtre qui apparaît alors. Refuser le certificat si
    le numéro est celui indiqué ci-dessus.

-   Pour les utilisateurs de Netscape6 :

    Dans le menu « tâches », « Sécurité et propriété », « Gestionnaire
    de sécurité », dans la fenêtre qui apparaît, onglet « certificats »,
    retrouver un certificat nommé : « Sun Microsystems Inc. ». Si le
    numéro de série est le suivant, il faut détruire le certificat :

    1705FB13A22F9AF3C130F5626E12504C

    S'il vous est proposé de l'installer :

    Une boîte d'alerte apparaît demandant si vous désirez installer le
    certificat. Pour en savoir plus sur le certificat, cliquer sur «
    Plus d'informations ». Dans la fenêtre nommé « propriétés du
    certificat », sélectionner « numéro de série », et vérifier ce
    numéro. S'il correspond à celui indiqué au dessus, le refuser.

L'aide du bulletin d'alert Sun Microsystems :

version initiale.

Usurpation d'identité

Summary:
Sun Microsystems a annoncé que l'un de leur serveur a été compromis, on
ne peut donc plus faire confiance aux certificats gérés par ce serveur.

Risque d'usurpation de l'identité de Sun Microsystems

Bulletin de sécurité Sun Microsystems


Ordinateurs fonctionnant sous l'un des systèmes d'exploitation  Windows pour assurer la connexion aux services <TT>Wanadoo</TT>  ou <TT>Wanadoo Plus</TT>.

## Description

Wanadoo change le 30 novembre le numéro de téléphone de connexion à
l'Internet.

Le service clientèle de Wanadoo invite ses usagers à changer leur
configuration Internet afin de prendre en compte ce nouveau numéro.

Un utilitaire est proposé en téléchargement sur un site Web pour les
utilisateurs qui se connectent à Internet à l'aide d'une machine
fonctionnant sous l'un des systèmes d'exploitation Windows.

L'utilitaire fourni par Wanadoo n'est pas en question.

Le téléchargement de cet utilitaire (simple connexion HTTP) n'offre pas
de garantie sur la qualité du fichier téléchargé. En particulier un
pirate aguerri pourrait, en détournant le serveur de nom, se faire
passer pour Wanadoo et proposer un autre utilitaire que celui fourni par
Wanadoo. C'est la porte ouverte aux chevaux de Troie.

En particulier, il existe des chevaux de Troie qui fonctionnent sur le
même principe mais qui changent les paramètres de configuration de sorte
que vos accès Internet se fasse non pas au travers du numéro de
téléphone de votre fournisseur d'accès mais par celui d'un fournisseur
d'accès à l'étranger. Ceci a plusieurs inconvénients pour l'abonné :

1.  le plus flagrant est l'augmentation considérable de la facture
    téléphonique pour un trafic Internet équivalent ;
2.  le second est le risque d'interception chez le fournisseur d'accès
    pirate, qui a le loisir de faire toutes les analyses de vos
    communications dans un pays qui n'offre pas les mêmes protections
    juridiques qu'en France (loi « informatique et liberté » notamment).

A la date de rédaction de ce document le problème est du domaine du
risque. Aucun incident de ce type n'a été rapporté concernant l'outil
proposé en téléchargement par Wanadoo. Cependant, le danger réside dans
le fait qu'un mode d'accès non sûr à un logiciel critique est proposé
par une source fiable (un fournisseur d'accès reconnu). Cela pourrait
conduire des administrateurs systèmes à être moins vigilants en
acceptant de tels logiciels de sources non fiables (serveurs ftp
publics, ...).

## Contournement provisoire

Le service sécurité de Wanadoo propose aux utilisateurs de Windows la
procédure suivante pour changer manuellement la configuration de l'accès
à Internet :

1.  ouvrir le « Poste de travail », puis l'« Accès Réseau à Distance » ;
2.  Pour toutes les fichiers de configuration des connections « Wanadoo
    », « Wanadoo Plus », etc. :
    -   ouvrir ce fichier et vérifier si le numéro est le « 08 36 01 93
        01 »
    -   si oui, le remplacer par « 08 60 00 84 84 »
    -   valider et refermer.

## Solution

La solution consiste à insister auprès de son fournisseur d'accès (quel
qu'il soit) afin d'obtenir des moyens sûrs de mettre à jour les
paramètres de connexions :

-   une procédure manuelle ;
-   un site de téléchargement sécurisé (HTTPS par exemple).

version initiale.

Surfacturation des connexions à internet

Interception des communications sur internet

Tous les risques liés aux exécutables inconnus : virus et chevaux de troie par exemple

Summary:
Le mode de diffusion d'un outil de modification de la configuration
d'accès à Internet peut faciliter la diffusion de chevaux de Troie.

Connexion à Wanadoo

Service sécurité de Wanadoo


Une modification du ver n'est pas impossible, tout système n'étant pas à jour est susceptible d'être corrompu.

Linux RedHat 6.2 et 7.0, Mandrake 6.0 à 7.1 à priori (liste non-exhaustive).

Mais, toute autre machine (actuellement ayant une architecture i386) sur laquelle n'ont pas été appliqués les correctifs concernant Wu-FTPd (cf. CERTA-2000-ALE-010), rpc.statd (cf. CERTA-2000-AVI-039) et LPRng (cf. CERTA-2000-AVI-087) est susceptible d'être attaquée.

## Description

Le ver Ramen est basé sur des scripts shells accompagnés de fichiers
binaires qui utilisent les vulnérabilités de Wu-FTPd (cf.
CERTA-2000-ALE-010), rpc.statd (cf. CERTA-2000-AVI-039) et LPRng (cf.
CERTA-2000-AVI-087) pour se propager.

Lorsqu'il a obtenu les privilèges root sur la machine victime, il va
télécharger, depuis une machine déjà compromise, le toolkit lui
permettant de compromettre d'autres machines après avoir fait les
actions qui suivent :

-   modifie certains fichiers de configuration
    (/etc/hosts.deny,/etc/rc.d/rc.sysinit,...),

-   crée un répertoire contenant un fichier (/usr/src/.poop/myip) ainsi
    qu'un programme (un serveur nommé /usr/sbin/asp),

-   détruit des fichiers (/usr/sbin/rpc.statd et /sbin/rpc.statd

-   et remplace la page index.html du serveur web hebergé par son hôte
    (si il existe) par sa propre version de index.html. Il s'agit d'une
    image d'un sachet de pâtes accompagnée du message : « Hackers
    loooooooooooooove noodles. ».

    -   Pour les systèmes utilisant le fichier /etc/inetd.conf, le ver y
        ajoute le service /usr/sbin/asp et redémarre le démon inetd.
    -   Pour les systèmes ne possédant pas de fichier /etc/inetd.conf,
        le même service est ajouté dans le fichier /etc/xinetd.conf et
        le démon xinetd et redémarré.

    Ceci permet au ver d'écouter sur le port 27374.

-   Enfin, le toolkit (/usr/src/.poop/ramen.tgz) installé, il lance un
    scan sur le réseau pour compromettre d'autres victimes.

## Contournement provisoire

Un garde-barrière refusant l'accès entrant ou sortant sur le port
27374/TCP empêchera le téléchargement, dans un sens comme dans l'autre,
du toolkit et donc la propagation du ver.

## Solution

Appliquer tous les correctifs fournis par l'éditeur des systèmes,
notamment (dans l'immédiat) ceux indiqués dans les documents émis par le
CERTA concernant Wu-FTPd (cf. CERTA-2000-ALE-010), rpc.statd (cf.
CERTA-2000-AVI-039) et LPRng (cf. CERTA-2000-AVI-087).

Avis du CERT/CC :

version initiale.

Défiguration de sites web

Propagation de ver

Compromission

Destruction de fichiers de configuration

Dénis de service

Summary:
Le ver nommé Ramen se propage via les vulnérabilités citées ci-dessus,
détériore les configurations des systèmes et défigure les sites web
hébergés par les machines qu'il a compromises.

Propagation du ver Ramen sous Linux.

Avis IN-2001-01 du CERT/CC


## Description

Netbios est un protocole utilisé essentiellement sur les systèmes
Windows. Il permet de partager des ressources (répertoires, imprimantes,
etc.). La compatibilité est offerte à d'autres systèmes grâce à des
outils comme SAMBA.

NetBios est conçu à l'origine pour s'appuyer sur la couche réseau
NetBEUI qui n'est pas routable. Windows permet d'offrir le protocole
NetBios sur la couche IP ou IPX. Dès lors, une ressource NetBios sur une
machine connectée à Internet est visible du monde entier.

Quelques outils permettent de balayer (scanner) des adresses IP pour
découvrir quelles sont les ressources NetBios offertes. Ces outils sont
déjà dangereux.

Dans le cas du logiciel ShareSniffer, les résultats de ces scans sont
postés automatiquement sur un forum à la fin de chaque session. Les
ressources partagées ainsi détectées sont connues par un grand public,
et peuvent alors être exploitées facilement.

Le danger lié à la publication de vos ressources est déjà grand. Mais la
société ShareSniffer va plus loin en propageant l'idée qu'utiliser les
ressources partagées d'ordinateurs mal configurés est légitime.

Il est probable que de nombreux naïfs ou faux naïfs vont se laisser
abuser par ce type de discours.

En particulier un répertoire partagé sur vos machines pourrait être
exploité pour faire un serveur de fichiers (MP3 par exemple). Les
risques inhérents sont une augmentation phénoménale des coûts de
connexion et une diminution sensible de la bande passante de votre
réseau dues au trafic engendré par cette exploitation de vos ressources
(et d'attirer les foudres des ayants droits) et un accroissement
sensible du trafic montant.

## Solution

-   Bloquer les ports concernant Netbios sur le garde-barrière : 135,
    137, 138, 139 TCP et UDP.
-   Mettre à niveau les règles de sécurité sur les fichiers et
    principalement les ressources partagées :
    -   Supprimer les partages non authentifiés ;
    -   mettre des mots de passe sur tout partage Windows 9x ;
    -   renforcer les mots de passe existants ;
    -   resserrer les permissions sur les partages de Windows NT/2000.

version initiale.

Publication de la liste des ressources partagées de vos réseaux

Accès en lecture ou en écriture à vos ressources

Summary:
Un utilitaire téléchargeable sur un site commercial scanne les ressources partagées des machines
connectées à Internet et les publie dans un groupe de discussion (newsgroups).

Risque d'exploitation des ressources partagées sous Windows


## Description

Le 29 janvier 2001, une nouvelle vulnérabilité de Bind, appelée
«vulnérabilité TSIG» était annoncée (Référence CERTA-2001-AVI-010).

Cette vulnérabilité est aujourd'hui exploitée par un ver appelé Li0n.
Lorsqu'une machine est compromise par ce ver, un grand nombre de
fichiers est installé. Parmi eux se trouvent :

-   Le rootkit t0rnkit (reprogrammation de du, find, ifconfig, login,
    ls, ps, netstat, top, in.telnetd, in.fingerd, pstree);
-   Le fichier /etc/ttyhash qui contient un mot de passe chiffré ;
-   Le fichier /usr/sbin/nscd qui est en fait une version modifiée de
    sshd ;
-   Le fichier randb qui scanne l'équivalent d'une classe B à la
    recherche de versions de Bind vulnérables ;
-   Des outils de compromission automatique des machines trouvées
    vulnérables par rand ;
-   Le fichier mjy qui efface les traces dans les fichiers de logs.

De plus, le fichier /etc/host.deny est effacé, les fichiers /etc/passwd
et /etc/shadow sont envoyés par mèl à une adresse en Chine.

Enfin, Li0n installe quelques portes dérobées (typiquement sur les ports
60008/tcp, 33567/tcp et 33568/tcp, mais ces ports peuvent être
facilement modifiés).

## Contournement provisoire

Filtrer au niveau du garde barrière les ports supérieurs à 1024 non
explicitement autorisés sur les machines de votre réseau.

Sans Institute propose sur son site un utilitaire permettant de déceler
la présence de Li0n :

    http://www.sans.org/y2k/lionfind-01.1.tar.gz

## Solution

Au cas où votre mise à jour de Bind n'ai pas encore été faite, reportez
vous à l'avis CERTA-2001-AVI-010 afin d'avoir la liste des correctifs.

Bulletin SANS :

version initiale.

Compromission du serveur de noms (dns)

Summary:
Un nouveau ver, très proche du ver Ramen (CERTA-2001-ALE-001) , appelé
Li0n, exploite la dernière vulnérabilité de Bind pour compromettre les
machines Linux.

Prolifération du ver Li0n

Bulletin du SANS Institute


Sun Solaris 2.6, 2.7 et 2.8 avec le daemon snmpXdmid.

## Description

Le démon snmpXdmid est un service RPC effectuant la traduction des
standards d'administration à distance SNMP (Simple Network Management
Protocol) et DMI (Desktop Management Protocol). Il est installé par
défaut sur Sun Solaris. La version sur Sun Solaris contient une
vulnérabilité qui permet à une personne mal intentionnée de prendre le
contrôle d'une machine.

Lorsqu'une machine est compromise par cette faille, des fichiers sont
installés par le pirate.

Parmi ceux-ci se trouvent :

-   Un "rootkit" pour Sun Solaris (reprogrammation de du, find, ls,
    netstat, passwd, ping, psr, su) ;
-   Un renifleur de mots de passe ;
-   Un nettoyeur de fichiers journaux ;
-   Des outils pour installer des portes dérobées (l'une d'entre elles
    se dissimule sous le démon identd).

## Contournement provisoire

-   Filtrer les ports :
    -   111/tcp (sunrpc - portmapper) ;
    -   6500/udp ;
    -   113/tcp (identd).
-   Arrêter le service smpdXdmid en renommant le fichier
    /etc/rc?.d/S??dmi en /etc/rc?.d/K07dmi (où ? correspond au niveau de
    lancement) et en lançant la commande '/etc/init.d/init.dmi stop'. Il
    est également recommandé de changer les droits d'accès du binaire en
    utilisant la commande : 'chmod 000 /usr/lib/dmi/snmpXdmid'.

## Solution

Appliquer le patch correctif de Sun sur snmpXdmid lorsque celui-ci sera
rendu publique.

version initiale.

Compromission des machines sun solaris

Summary:
Une faille dans le démon snmpXdmid a été récemment découverte. Celle-ci
permet à une personne mal intentionnée de prendre le contrôle de la
machine. Cette faille est actuellement massivement exploitée par les
pirates.

Vulnérabilité dans le démon snmpXdmid sous Sun Solaris

Bugtraq


Il a été établi que les modems ADSL suivants sont concernés  :

Alcatel Speed TouchTM Home

Alcatel A 1000

## Description

## 4.1 Accès TFTP

Les 2 modèles sont accessibles par le protocole tftp (69/udp), sans
aucune authentification, depuis le réseau LAN. Il est possible par ce
biais de modifier la configuration ou le logiciel du modem. Ce risque
peut s'étendre à un individu malveillant connecté via internet si il
parvient à compromettre ou à utiliser comme rebond (envois de paquets
sur le port echo - 7udp -,... ) une machine présente sur le LAN.

## 4.2 Mots de passe par défaut

Les services http et ftp, ainsi que telnet pour le seul modèle Speed
Touch, sont accessibles sans aucun mot de passe par défaut. Ce défaut ne
peut être corrigé sur le modèle A 1000, et doit l'être par l'utilisateur
dans l'autre cas. Cependant, il arrive que le FAI prenne la précaution
d'en rajouter un.

## 4.3 Compte d'administration expert

Malgré l'éventuelle mise en place d'un mot de passe utilisateur, il
existe un compte privilégié, dénommé \`\`expert'' . Son mot de passe
n'est pas modifiable, mais dépend uniquement de l'adresse MAC du
matériel et de la version logicielle du modem via un principe de
challenge/réponse. Il existe, en libre accès sur le net, un générateur
de mot de passe à partir du challenge qui a démontré son efficacité pour
de nombreuses configurations.

## Solution

-   Pour la version Speed Touch, il est recommandé de mettre un mot de
    passe d'accès dès la mise en service si le fournisseur d'accès ne
    l'a pas fait (pour le le modèle A 1000 aucun mot de passe ne peut
    être imposé pour les services ftp et http, et telnet est restreint à
    l'utilisateur \`\`expert''). Cependant, les vulnérabilités sur le
    compte \`\`expert'' et l'accès tftp ne sont pas pour autant levées.
-   Restreindre l'accès aux services (tftp, telnet, ftp et http) du
    modem depuis le LAN à une ou quelques machines d'administration à
    l'aide d'un garde-barrière ou d'un routeur filtrant entre le modem
    et le réseau LAN.
-   Mettre en place un filtre (routeur, garde-barrière) entre l'internet
    et le réseau local pour éviter les rebonds (utiliser un
    garde-barrière \`\`personnel'' pour une machine unique) :
    -   pas d'adresse IP source appartenant au LAN arrivant sur
        l'interface externe,
    -   pas d'adresse IP source avec une adresse de \`\`broadcast'',
    -   bloquer l'accès au port udp echo (7/udp) vers le réseau interne.

Communiqué d'Alcatel :

Avis du CERT/CC :

version initiale.

Modification et accès à la configuration courante (y compris les mots de passe)

Destruction ou implantation de code malicieux dans le logiciel du modem

Déni de service, avec un éventuel retour constructeur nécessaire

Summary:
Les modems Alcatel sont couramment loués ou vendus dans le cadre des
offres de connexion ADSL des FAIs. Ces modems possèdent un système
d'exploitation aux fonctionnalités semblables aux systèmes Unix
classiques. Ils offrent entre autres un certain nombre de services IP
(http, telnet, ftp, tftp) permettant la mise à jour et l'administration
du modem.

Une mauvaise protection de l'accès à ces services permet à un
utilisateur mal intentionné de prendre le contrôle du modem depuis le
réseau local désservi par le modem (LAN).

Vulnérabilités dans les modems ADSL d'Alcatel

Avis du San Diego Supercomputer Center

Avis CA-2001-08 du CERT/CC


Systèmes Windows utilisant la messagerie Outlook.

## Description

HomePage est un virus qui utilise le carnet d'adresse d'Outlook pour se
répandre sur Internet.

Il modifie la base de registres en modifiant la clé :
HKEY_LOCAL_MACHINE\\Software\\An\\Mailed\\

Il modifie également les paramètres du navigateur afin de faire afficher
un site « pour adultes » lors de l'ouverture de ce dernier.

Le message contenant le virus se compose comme suit :

-   Objet : Homepage

-   Texte :

    Hi !

    You've got to see this page! It's really cool ;O)

-   Pièce jointe : homepage.HTML.vbs

## Contournement provisoire

Les mesures de précaution décrites dans la note d'information
CERTA-2000-INF-002 permettent de se protèger et de ne pas faciliter la
transmission de ce genre de virus.

## Solution

Contacter votre éditeur d'anti-virus afin de connaître la marche à
suivre.

Documentation Sophos :

version initiale.

Mode de propagation par messagerie

Propagation de virus

Le risque est élevé si les utisateurs ne sont pas sensibilisés

Summary: Un nouveau virus écrit en VBS se répand actuellement sur l'Europe.

Prolifération en Europe du virus HOMEPAGE

Réseau de correspondants


Tous les systèmes Solaris de 2.3 à 7 non mis à jour.

Tous les systèmes avec les versions 4.0 et 5.0 non mises à jour de Internet Information Server (IIS) ;

## Description

Ce nouveau ver exploite deux failles assez connues pour se propager.

Il se propage sur les systèmes Solaris par la vulnérabilité de sadmind
connue depuis décembre 1999.

Après avoir piraté le système Solaris, le ver ajoute la ligne « + + »
dans le fichier .rhosts qui se trouve dans le répertoire de
l'utilisateur root.

Il installe ensuite des outils pour exploiter la vulnérabilité d'IIS
connue depuis octobre 2000 (sous le nom "Web Server Folder Traversal").

Il modifie ensuite le fichier index.html du système sur lequel il se
trouve après avoir piraté 2000 serveurs IIS.

Un système Solaris compromis par ce ver contient normalement :

-   Une fenetre de commande avec les privilèges administrateur en écoute
    sur le port 600/tcp ;
-   le répertoire /dev/cub qui contient des logs de machines piratées ;
-   le répertoire /dev/cuc qui contient les outils d'attaque.

## Contournement provisoire

Veiller à bloquer le trafic à destination du port 111/tcp (sunrpc -
portmapper, nécessaire à l'exploitation de la faille sadmind).

## Solution

Appliquer les patches correctifs qui se trouvent sur les liens :

-   Pour IIS 4.0 :

        http://www.microsoft.com/ntserver/nts/downloads/critical/q269862/default.asp

-   Pour IIS 5.0 :

        http://www.microsoft.com/windows2000/downloads/critical/q269862/default.asp

-   Pour sadmind :

        http://www.sunsolve.com/pub-cgi/retrieve.pl?doctype=coll&doc=secbull/191&type=0&nav=sec.sba

-   Si la machine est compromise, prendre contact avec le CERTA.

version initiale.

Compromission des machines solaris avec sadmind et windows avec iis

Summary:
Un nouveau ver se propage en exploitant des vulnérabilités assez
anciennes de Sun Solaris et de IIS. Celui-ci permet l'obtention de
privilèges administrateur à distance.

Propagation d'un ver affectant sadmind et IIS

CERT-CC


Certains routeurs Cisco ou serveurs WEB subissent des effets de bord dû au balayage agressif exécuté par le ver.

Tous les matériels qui embarquent le logiciel ci-dessus, en particulier : Cisco CallManager, Cisco Unity Server, Cisco uOne, Cisco ICS7750, voire d'autre produits Cisco (cf. l'avis Cisco mentionné dans le paragraphe consacré à la documentation concernant cette alerte.).

Tous les systèmes avec Microsoft Index Server 2.0 ou Indexing Service dans Microsoft Windows 2000 sur lesquels les correctifs indiqués dans l'avis CERTA-2001-AVI-064 n'ont pas été appliqués.

## Description

Un ver se propage en exploitant une faille dans le serveur d'indexation
de Windows découverte en juin 2001. Cette faille permet à un utilisateur
malveillant d'exécuter à distance des commandes sur un serveur IIS
(Internet Information Server) vulnérable.

Lorsqu'une machine est compromise par ce ver, la page d'accueil du site
web peut être remplacée par le texte « Welcome to http://www.worm.com !
Hacked By Chinese! » écrit en rouge. L'absence de ce texte n'est pas une
garantie de ne pas être compromis.

De plus, ce ver parcourt des adresses IP à la recherche de serveurs IIS
vulnérables afin de les compromettre. Pour cela, le ver balaie des
adresses IP choisies au hasard.

L'implémentation du tirage aléatoire des adresses IP dans la première
version du ver contient une légère erreur. Il en résulte que chaque
machine va effectuer exactement le même tirage, et par conséquent,
toutes les machines compromises vont attaquer les mêmes cibles, ce qui
peut entraîner un déni de service. Ainsi, une machine qui serait
compromise et réinstallée sans mise à jour du serveur IIS serait piratée
de nouveau assez rapidement.

Une nouvelle version du ver aurait corrigé cette erreur. Ainsi tout
serveur IIS qui n'a pas appliqué le correctif, quelque soit son adresse
IP, pourrait être vulnérable aux nouvelles versions du ver.

La compromission d'un serveur IIS se passe par le biais d'un URL
astucieusement construit qui ressemble à :

    GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
    NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
    NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
    NNNNNNNNNNNNNNNNNNNNNNNNNNNN[divers caract�res en unicode]=a  HTTP/1.0

Certains sites français qui analysent leur journaux de connexions ont
constaté en juillet plusieurs milliers de tentatives de piratages de ce
type sur leurs serveurs. Ceci laisse entendre qu'un nombre très
important de serveurs IIS ont été contaminés dans le monde, ce que
semble confirmer l'avis CA-2001-23 du CERT/CC. Des serveurs français ont
été contaminés.

De plus, il arrive parfois que le ver entraîne l'arrêt de la machine
compromise après avoir consommé toutes les ressources du système.

Les versions du ver en circulation déjà identifiées ont des phases
d'infection qui commencent le premier jour du mois d'août.

Le fonctionnement et l'administration des produits Cisco peuvent être
compromis par le ver.

Depuis le samedi 04 août, on peut observer une nouvelle version du ver
"Code Red". Ce ver utilise la même faille que la version initiale, mais
installe en plus une porte dérobée sur le serveur. Il est alors possible
d'exécuter du code à distance sur la machine, et d'accéder aux disques
C: et D: de l'ordinateur.

En effet, ce ver fait tourner un faux processus "explorer.exe", qui
permet à un pirate de prendre la main sur la machine à distance. Deux
fichiers "explorer.exe" sont créés, ainsi que 4 fichiers "Root.exe".

De plus, le ver modifie la valeurs de certaines clés dans la base de
registres.

Cette nouvelle version utilise un URL très proche de l'URL ci-dessus,
utilisé dans la version initale, où les "N" sont remplacés par des "X" :

    GET /default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
    XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
    XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
    XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX[divers caract�res en unicode]=a  HTTP/1.0

Contrairement à la première version, l'infection par ce ver résiste au
simple redémarrage de l'ordinateur.

A mesure que le ver se propage, de nombreuses machines compromises
peuvent tenter de contaminer un serveur WEB. Quelque soit le logiciel
derrière le serveur WEB, IIS ou non, il peut y avoir des effets de bords
associés à la charge engendrée par le traitement des URL correspondant à
Code Red. Par exemple, les sites qui font un traitement particulier sur
toutes les erreurs 404, peuvent être victime d'un déni de service dû à
la fréquence de ce traitement.

## Solution

Une nouvelle vague d'attaque pourrait avoir lieu dès le premier jour du
mois d'août. Son ampleur dépendra notamment du nombre de machines déjà
contaminées qui n'ont pas été corrigées et du nombre de machines encore
vulnérables. Cependant, la virulence constatée lors du mois de juillet
invite à être extrêmement prudent et à appliquer immédiatement les
mesures décrites ci-dessous.

## 5.1 Protégez-vous

Appliquez les correctifs indiqués dans l'avis CERTA-2001-AVI-064 et dans
l'avis Cisco. Les patchs pour les versions françaises sont maintenant
accessibles.

Si vous vous connectez à Internet par un modem, le cable ou l'ADSL dans
le but unique de consulter votre mél, de lire les forums, de naviguer,
etc. mais que vous n'offrez pas un site WEB, il se peut néanmoins que le
logiciel IIS soit lancé sur votre ordinateur (configuration par défaut
par exemple), il est prudent dans ce cas de couper IIS le temps de la
connexion afin de ne pas être compromis.

## 5.2 Nettoyez

Le seul moyen vraiment sûr pour se débarasser de ce ver est de
réinstaller complétement le système.

Si cela n'est pas possible, il existe une procédure de nettoyage décrite
par Symantec :

    http://www.sarc.com/avcenter/venc/data/codered.v3.html

Mais si votre serveur a été compromis, il se peut qu'une personne ait
déjà installé des fichiers sur la machine, ou modifié des clés de la
base de registres, que la procédure de nettoyage laissera en état.

## 5.3 Alertez

Afin de nettoyer le parc de machines infectées, il est important de
pouvoir prévenir les administrateurs de chacunes des machines infectées.
Si vous avez un serveur WEB, le journal des connexions peut aider à
découvrir ces machines compromises.

On peut rechercher des traces de ce type d'attaques dans les journaux de
connexions d'un serveur WEB mis en œuvre par le logiciel Apache grâce à
la commande : `grep -E "GET  /[^.]*.id(a|q)\?" access_log`.

Un détecteur de tentatives d'intrusion (IDS) peut aussi aider à
découvrir les (tentatives d')attaques. Les IDS peuvent aider à détecter
les attaques faites par le ver Code Red ou des attaques similaires.
L'IDS ne vous protégera pas contre l'attaque, seul l'application du
correctif peut vous protéger. Le site ArachNIDS, donne des signatures
d'agressions pour quelques IDS.

Si vous constatez de tels URL dans vos journaux, veuillez prendre
contact, sans délai, avec le CERTA.

En particulier les liens suivants :

correction de la référence à l'avis.

ajout de la vulnérabilité sous CISCO.

mise à jour.

apparition d'une nouvelle version du ver "Code Red".

mise à jour de la procédure de nettoyage.

effets de bord sur d'autres serveurs WEB, le correctif de Microsoft pour NT 4.0 n'existe pas en Français, couper IIS lorsqu'on se connecte à Internet uniquement pour naviguer.

le correctif de Microsoft pour NT 4.0 est accessible en français.

Compromission des serveurs et risque de déni de service

Summary:
Un nouveau ver se propage en exploitant une faille du serveur
d'indexation de Windows.

Propagation du ver « Code Red »

Bugtraq


Toutes les plateformes Windows 9x et dans certains cas les  autres plateformes Windows 32 bits.

## Description

Le virus SirCam-A aussi appelé W32/SirCam@mm, Backdoor.Sircam ou encore
W32.Sircam.Worm@mm est un ver utilisant pour se propager les pièces
jointes dans un mél ainsi que les fichiers partagés et non protégés sous
Windows.

Il se présente actuellement sous la forme d'un mél écrit en anglais ou
espagnol invitant l'utilisateur à exécuter une pièce jointe à ce
courrier.

Les pièces jointes sont des fichiers de la machine contaminée de
l'émetteur du message possèdant une double extension en .jpg.com,
.mpg.pif par exemple, afin de tromper la vigilance des usagers.

Si le fichier attaché est ouvert, le ver installe les fichiers suivants
:

`C:\RECYCLED\SirC32.exe` ainsi que SCam32.exe dans le repertoire
`Windows\System`.

Plusieurs clés de la base des registres sont aussi créées ou modifiées :

`HKCR\exefile\shell\open\command\Default="C:\recycled\SirC32.exe"  "%1" %*`

`HKLM\Software\Microsoft\Windows\CurrentVersion\`
`RunServices\Driver32=C:\WINDOWS\SYSTEM\SCam32.exe`

`HKLM\Software\Sircam`

En plus de s'installer, et de se propager sous cette forme, le virus
peut avoir d'autres effets :

-   diffusion par mél de fichiers trouvés sur le disque dur de la
    machine contaminée puis infectés ;
-   suppression aléatoire de fichiers du disque dur voire effacement
    complet ;
-   remplissage de l'espace restant sur le disque dur par ajout de texte
    au fichier `\Recycled\sircam.sys`.

L'effet nuisible principal de ce virus, est certainement la diffusion
non contrôlée de documents.

Ce ver a la particularité de possèder son propre service SMTP de façon à
envoyer ses messages aux correspondants du carnet d'adresses Outlook
ainsi qu'aux adresses trouvées dans les fichiers temporaires d'Internet
Explorer.

Il recherche aussi les répertoires partagés sans protection sur le
réseau.

Lorsqu'il en trouve, il tente de s'installer dans le répertoire Recycled
sous le nom SirC32.exe et de renommer rundll32.exe en run32.exe pour s'y
substituer dans le répertoire Windows du disque partagé s'il existe.

En cas de succès, le fichier autoexec.bat est modifié de façon à
exécuter Rundll32.exe au démarrage.

## Solution de prévention

Suivre les recommandations de la note CERTA-2000-INF-002 concernant les
pièces jointes :

-   mettre à jour son antivirus ;
-   ne pas exécuter les pièces jointes sans vérification de leur
    bien-fondé. En particulier le fait de recevoir une pièce jointe
    d'une personne connue n'est pas une garantie de l'inocuité de
    l'attachement.

Suivre les recommandations de l'avis CERTA-2001-ALE-002 concernant les
partages de fichiers :

-   Bloquer les ports concernant Netbios sur le garde-barrière : 135,
    137, 138, 139 TCP et UDP ;
-   mettre à niveau les règles de sécurité sur les fichiers et
    principalement les ressources partagées :
    -   supprimer les partages non authentifiés ;
    -   mettre des mots de passe sur tout partage Windows 9x ;
    -   renforcer les mots de passe existants ;
    -   renforcer les permissions sur les partages de Windows NT/2000.

## Solution en cas de contamination

Après avoir déconnecté la machine infectée du réseau, mis à jour votre
antivirus et vérifié que votre système affiche tous les fichiers et ne
masque aucune extension suivez ces instructions dans l'ordre :

1.  Supprimer tous les fichiers `\windows\SIrC32.exe` et Scam32.exe
    s'ils existent ;

2.  Sirun32.exe existe, alors supprimer rundll32.exe et renommer
    run32.exe en rundll32.exe ;

3.  modifier les clés de la base des registres comme suit :
    -   supprimer les clés

        `\HKEY_LOCAL_MACHINE\Software\Sircam` ;

        `\HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesirCam`
        ;

    -   et changer la valeur de la clé (Ne surtout pas supprimer cette
        clé !)

        `\HKEY_CLASSES_ROOT\exefile\shell\open\command`

        en y remettant la valeur `"%1" %*"`.

4.  Supprimer, si elle existe, la ligne

    `@Win \recycled\sirc32.exe`

    du fichier autoexec.bat ;

5.  supprimer le fichier Sircam.sys s'il existe ;

6.  parcourir tout le système avec l'antivirus et supprimer tous les
    fichiers détectés par ce dernier.

## Solution

Mettre à jour les bases de signatures des logiciels anti-virus.

Avis de Fsecure :

Encyclopédie des virus de Symantec :

version initiale.

seconde version : dans les solutions, la supression de la clé
HKCR\exefile\shell\open\command\Default="C:\recycled\SirC32.exe" "%1" %*

engendre un disfonctionnement des systèmes traités.

Propagation de ver

Divulgation de documents et perte de confidentialité

Summary:
Des remontées d'informations, nous apprennent que le ver SirCam se
propage à très grande vitesse sur les réseaux français.

Propagation importante du virus SirCam

Sophos


Tous les systèmes avec des versions 4.0 et 5.0 de IIS sur  lesquels les correctifs indiqués dans l'avis CERTA-2000-AVI-028  n'ont pas été appliqués.

## Description

Le ver Code Blue s'attaque aux serveurs sous Windows NT et 2000. Il
utilise plusieurs vulnérabilités d'IIS, dont les bugs « unicode ».

Il installe un fichier nommé « SvcHost.EXE » qui est relancé à chaque
démarrage grâce à une entrée dans la base de registre : «

     HKLM\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

».

Le ver génère de nombreux « threads » provoquant ainsi un ralentissement
de la machine voire un épuisement des ressources pouvant aller jusqu'au
blocage.

Il crée un script VBS « C:.vbs » qui, une fois lancé, stoppe tous les
services « .ida, .idq et .printer » d'IIS.

Il tente également de recopier ou télécharger le fichier « httpext.dll »
vers les répertoires : « c: » ou «

     c:\inetpub\scripts\

».

Il provoque un déni de service en visitant régulièrement l'adresse IP «
211.99.196.135 ».

## Contournement provisoire

Nettoyer l'entrée dans la base de registre.

Rechercher la DLL « httpext.dll » et la renommer en « httpext.dll.old »
par exemple.

Filtrer en bordure de domaine les connexions vers l'adresse «
211.99.196.135 ».

## Solution

Télécharger le correctif concernant votre version d'IIS :

-   IIS version 4.0 :

        http://www.microsoft.com/Downloads/release.asp?ReleaseID=23667

-   IIS version 5.0 :

        http://www.microsoft.com/Downloads/release.asp?ReleaseID=23665

Avis du CERTA (CERTA-2000-AVI-028 du 16 août 2000):

version initiale.

Compromission des serveurs iis et risque de déni de service

Summary:
Un nouveau ver se propage en exploitant des vulnérabilités connues du
serveur IIS.

Propagation du ver "Code Blue"

FIRST


## Description

    http://www.virus-research.org

a mis à disposition un outil appelé antivirus2001censé être capable de
détecter et nettoyer CodeRed,msnVirus (virus non référencé par les
éditeursd'antivirus) et SubSeven. Ce faux antivirus esttéléchargeable
sous le nom du fichier exécutable`vscan2001.exe`.

Lorsque l'on lance cet outil pour la première fois sur une machine
Windows NT ou 2000, il prétend systématiquement avoir détecté CodeRed et
msnVirus, même si ceux-ci ne sont pas présents sur la machine, puis
prétend les nettoyer. Aucune utilisation ultérieure de ce produit ne
détectera la présence de virus. Sur une machine Windows 98, il prétend
systématiquement ne rien détecter.

Cet outil est en fait un cheval de Troie qui contient un robot irc
(programme assurant la gestion des canaux irc) et une porte dérobée.

Le programme vscan2001.exe crée, lors de son exécution, le répertoire
`C:\Program  Files\Accessories\BACKUP\SYSTEM\Critical`. Dans ce
répertoire sont créés les fichiers expl32.exe (un bot irc utilisé pour
lancer des dénis de service) et explorer2.exe (un programme servant à
cacher des fenêtres), ainsi que des fichiers avec extension .dll
(fichiers de configuration du robot). Le fichier
`C:\WINNT\DskLoader.exe` (`C:\windows\DskLoader.exe` pour Windows 98)
est également créé et appelé à chaque démarrage, mais celui-ci ne
fonctionne que sous Windows 98. Enfin, le fichier `C:\WINNT\prun.exe`
(`C:\windows\prun.exe` pour Windows 98) apparaît et est un outil de déni
de service. La porte dérobée est le cheval de Troie SubSeven. Elle est
cachée dans le fichier suivant `C:\WINNT\sys.exe`
(`C:\windows\sys.exe`). L'exécution de ce fichier provoque l'ouverture
du port 20823/tcp ainsi que la création du fichier `syskeys.exe` dans le
répertoire de Windows, et un fichier exécutable dont le nom est
aléatoire dans le sous-répertoire `system` de Windows. De plus, sont
créés dans le sous-répertoire `system` de Windows les fichiers suivants
:

-   c60htwht.dll
-   c60rlwot.dll
-   clauth1.dll
-   clauth2.dll
-   lsprst7.dll
-   ssprs.dll
-   sysprs7.dll
-   winos.dll

Des clés sont ajoutées dans la base de registre sous :

-   `HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer`
-   `HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer`
-   `HKLM\Software\Microsoft\Active Setup\Installed    Components\KeyName`
-   `HKLM\Software\Microsoft\Windows\CurrentVersion\Run`
-   `HKLR\ChatFile\DefaultIcon`
-   `HKLR\ChatFile\Shell\open\command`
-   `HCR\irc\DefaultIcon`
-   `HCR\irc\Shell\open\command`
-   `HKLM\Software\CLASSES\ChatFile\DefaultIcon`
-   `HKLM\Software\CLASSES\ChatFile\Shell\open\command`
-   `HKLM\Software\CLASSES\irc\DefaultIcon`
-   `HKLM\Software\CLASSES\irc\Shell\open\command`
-   `HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\mIRC`
-   `HKCU\Software\Microsoft\Windows    NT\CurrentVersion\Windows`

Si le fichier `sys.exe` a été exécuté, alors une clé supplémentaire est
ajoutée à la base de registre sous :

-   `HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices`
-   `HKLM\Software\Microsoft\Windows\CurrentVersion\Run`

Celles-ci font appel au fichier exécutable créé dans le sous-répertoire
`system` à chaque redémarrage de Windows.

Le lancement du programme expl32.exe provoque l'ouverture en écoute du
port 113/tcp, puis une tentative de connexion à un serveur irc. Le robot
peut ensuite être utilisé pour lancer des attaques en déni de service.

## Solution

Ne pas télécharger ce produit. S'il a été installé, réinstaller la
machine. Si la réinstallation n'est pas possible, détruire tous les
fichiers ainsi que les clés de la base de registres créés par ce
produit. Ne pas réinstaller la machine peut néanmoins être dangereux car
d'autres fichiers peuvent avoir été installés. Sous Windows 98, vous
pouvez restaurer la base de registre depuis une sauvegarde antérieure
grâce à la commande scanreg /restore.

version initiale.

seconde version : ajout d'informations complémentaires.

Compromission du système sur lequel est installé le faux antivirus et déni de service

Summary:
Un faux antivirus a été mis à disposition sur une page web. Cet outil
n'est pas un antivirus, mais son installation entraîne une compromission
du système.

<TT>antivirus2001</TT> est un cheval de Troie