## Solution

## Mesures préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes. Il convient en effet de ne pas cliquer sans vérification
préalable sur les liens de messages et les pièces jointes. Les
utilisateurs ne doivent pas ouvrir des messages électroniques de
provenance inconnue, d'apparence inhabituelle ou frauduleuse. Plus
généralement, il convient de mettre à jour les postes utilisateurs,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle.

Le CERT-FR recommande de configurer sur les postes de travail les
restrictions logicielles pour empêcher l'exécution de code à partir
d'une liste noire de répertoires :

-   Si la solution utilisée est AppLocker, les règles de blocage
    suivantes doivent être définies :
    -   OSDRIVE\\Users\\\*\\AppData\\
    -   OSDRIVE\\Windows\\Temp\\
-   Si les restrictions logicielles (SRP) sont utilisées, les règles de
    blocage suivantes doivent être définies :
    -   UserProfile\\AppData
    -   SystemRoot\\Temp

Il est important de vérifier que le service "Application Identity"
(AppIDSvc) est paramétré en démarrage automatique sur l'ensemble des
postes pour que les restrictions logicielles soient opérantes (ce mode
de démarrage peut être paramétré à travers une politique de groupe sur
le domaine Windows). Si des dysfonctionnements sont rencontrés suite au
déploiement de ces règles de blocage, il est nécessaire d'identifier les
applications légitimes situées dans ces répertoires, et de définir des
règles en liste blanche afin d'autoriser leur exécution.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateurs, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

## Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés. Le CERT-FR
recommande aussi d'alerter le responsable sécurité ou le service
informatique au plus tôt. Le temps de revenir à une situation normale,
le CERT-FR recommande également de positionner les permissions des
dossiers partagés en LECTURE SEULE afin d'empêcher la destruction des
fichiers sur les partages. Les personnels pourront continuer de
travailler localement et mettre à jour ultérieurement le partage. Aussi,
le CERT-FR recommande de prendre le temps de sauvegarder les fichiers
importants sur des supports de données isolés. Ces fichiers peuvent être
altérés ou encore être infectés. Il convient donc de les traiter comme
tels. De plus, les sauvegardes antérieures doivent être préservées
d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. En complément, le CERT-FR recommande de rechercher et supprimer
les messages malveillants similaires dans les boîtes de messagerie des
utilisateurs. Par ailleurs, le CERT-FR recommande la réinstallation
complète du poste et la restauration d'une sauvegarde réputée saine des
données de l'utilisateur. De plus, dans le cadre de l'utilisation de
profils itinérants, il convient de supprimer la copie serveur du profil
afin de prévenir la propagation des codes malveillants par ce biais.

Enfin, les fichiers chiffrés peuvent être conservés par la victime au
cas où dans le futur, un moyen de recouvrement des données originales
serait découvert.

Cette alerte sera maintenue tant que le volume de message électronique
constaté sera considéré significatif par le CERT-FR.

version initiale ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

ajout marqueurs supplémentaires ;

clôture de l'alerte ;

Installation d'un logiciel malveillant de type zepto/odin

Summary:
Marqueurs de téléchargement de charge mis à jour le 27/10/2016.

##### Mise à jour du 27/10/2016

Le CERT-FR constate une nouvelle campagne de courriels malveillants
contenant des pièces jointes au format ZIP. L'archive contient un
fichier de type JSE (Javascript Encode) ou WSF (Windows Script File)
visant à télécharger une variante de Locky. Cette variante chiffre les
fichiers de la machine et utilise l'extension .shit.

##### Mise à jour du 24/10/2016

Le CERTFR constate une nouvelle campagne de mails contenant des pièces
jointes .hta malveillantes en cours. Ces pièces jointes correspondent à
des fichiers html contenant du code Javascript téléchargeant le
rançongiciel.

##### Mise à jour du 30/09/2016

Le CERTFR constate une nouvelle vague de mails contenant des pièces
jointes malveillantes en cours. Ces pièces jointes sont des documents
office contenant une macro VBA téléchargeant le rançongiciel Zepto.
L'extension utilisée par le rançongiciel a changée depuis la dernière
vague pour devenir .odin. La liste des urls de téléchargement de charge
est mise à jour.

Depuis le début septembre 2016, le CERT-FR constate à l'échelle
nationale une vague de pourriels dont le taux de blocage par les
passerelles anti-pourriel est relativement faible. Ces pourriels ont
pour objectif la diffusion du rançongiciel Zepto.

Un rançongiciel est un programme malveillant qui chiffre les données du
poste compromis. Il va également cibler les partages de fichiers
accessibles depuis le compte utilisateur dont la session est compromise.
Celui-ci est exécuté, dans le cas présent, par une action de
l'utilisateur. La victime est ensuite invitée à verser de l'argent afin
que l'attaquant déchiffre les fichiers ciblés.

Dans le cadre de cette campagne, et d'après les échantillons que le
CERT-FR a observés, la diffusion de Zepto s'effectue par l'intermédiaire
d'un pourriel contenant une archive. Cette archive contient un script
Windows (extension .wsf) executant du Javascript. Le Javascript va
ensuite contacter un domaine pour récupérer le Rançongiciel Zepto.

À l'aide les échantillons remontés, le CERT-FR a constaté que les URLs
de téléchargement du binaire Zepto sont les suivantes :

##### Téléchargement de charge au 27/10/2016

URI de distribution de charge observée:

    /t67bg
    /t76f3g

Domaines distributeur de charge (point d'eau, site légitime compromis):

    pkastrologer.com_BAD_
    redsrev.com_BAD_
    lancasternewcity.com.ph_BAD_
    samspizzapasta.com_BAD_

Domaine distributeur de charge:

    duplespry.net_BAD_
    arzunyolk.com _BAD_

##### Téléchargement de charge au 24/10/2016

URI obbservée:

    /076wc

Domaines observés:

    3ainstrument.com._BAD_
    abulhoul.ae._BAD_
    bagnet.ir._BAD_
    beyondhorizon.net._BAD_
    castoncorporateadvisory.in._BAD_
    checkimage.comuf.com._BAD_
    cignitech.com._BAD_
    cygnatech.com._BAD_
    cynosurejobs.net._BAD_
    dolphinom.com._BAD_
    grupoecointerpreis.com._BAD_
    hotel.comxa.com._BAD_
    icclicks.com._BAD_
    jhandiecohut.com._BAD_
    ledenergythai.com._BAD_
    naacllc.com._BAD_
    nanrangy.net._BAD_
    olpharm.com._BAD_
    punjabipollywood.com._BAD_
    sowkinah.com._BAD_
    stock.comuf.com._BAD_
    thaitooling.net._BAD_
    wamasoftware.com._BAD_
    wkreation.com._BAD_
    www.jhandiecohut.com._BAD_
    www.pspgemencheh.edu.my._BAD_
    www.pspmrsmtumpat.com._BAD_
    www.rawahyl.com._BAD_

##### Téléchargement de charge au 12/10/2016

URI observée:

    /d5436gh

Domaines observés :

    eaglemouth.org_BAD_
    dabihfluky.com_BAD_

##### Téléchargement de charge au 03/10/2016

URIs observées :

    \jhg45s

Domaines observés :

    acaciainvest.ro_BAD_
    alraysa.com_BAD_
    anthonycarducci.lawyerpublicity.com_BAD_
    antiquescollectablesandjuststuff.com_BAD_
    atronis.com_BAD_
    bluewaterappco.com_BAD_
    boservice.info_BAD_
    catlong.com_BAD_
    cedrussauna.com_BAD_
    craftsreviews.com_BAD_
    crossroadspd.com_BAD_
    denvertracy.com_BAD_
    dickenshandchimes.com_BAD_
    dotcom-enterprises.com_BAD_
    eidshow.com_BAD_
    far-infraredsaunas.com_BAD_
    foe-2.com_BAD_
    gcandcbuilderssite.aaomg.com_BAD_
    golfnauvoo.com_BAD_
    hostmyimage.biz_BAD_
    icdsarch.com_BAD_
    ifsaiumumi.com_BAD_
    inmopromo.com_BAD_
    lesscellantshautegamme.ca_BAD_
    maxleather.aaomg.com_BAD_
    mmm2.aaomg.com_BAD_
    monkeysdragon.net_BAD_
    msurf.net_BAD_
    new2.aaomg.com_BAD_
    nonprofitbenefit.com_BAD_
    nutrahacks.com_BAD_
    orhangazitur.com_BAD_
    parkerneem.com_BAD_
    real-corp.info_BAD_
    saunacushions.com_BAD_
    slicktalk.net_BAD_
    test.cedrussauna.net_BAD_
    tsukasagiku.com_BAD_
    villadiana.lv_BAD_
    webhost911.com_BAD_

##### Téléchargement de charge au 30/09/2016

URIs observées :

    \021ygs7
    \bdb37
    \g76ub76

Domaines observés :

    0735home.com_BAD_
    1maximus.ru_BAD_
    368lx.com_BAD_
    81millstreet.nl_BAD_
    alliswelltour.com_BAD_
    americanfancies.com_BAD_
    amerikanservisi.com_BAD_
    ampconnect.com_BAD_
    anhsaodem.info_BAD_
    aquatixbottle.com_BAD_
    arbeit-von-zuhause.com_BAD_
    askmeproperties.com_BAD_
    atstory.com_BAD_
    badminton2008.com_BAD_
    bandbcreuse.com_BAD_
    bdfxb.com_BAD_
    beineinu.org_BAD_
    birthstory.com_BAD_
    brioconseils.com_BAD_
    cafe-bg.com_BAD_
    chchqq.com_BAD_
    cmcomunicacion.es_BAD_
    dedivan.ru_BAD_
    delphinph.com_BAD_
    demo.website.pl_BAD_
    dfl210.ru_BAD_
    ecoledesalsa.com_BAD_
    econopaginas.com_BAD_
    gadget24.ro_BAD_
    game6media.com_BAD_
    globalremoteservices.com_BAD_
    gomelnaushnik.com_BAD_
    hollywoodjesus.com_BAD_
    ingpors.sk_BAD_
    innogenap.com_BAD_
    juyinggroup.com_BAD_
    kashira.potolki.bz_BAD_
    kelownatownhomes.com_BAD_
    kolonker.com_BAD_
    mahboob-e-rehmani.com_BAD_
    nokianshop.com_BAD_
    opmsk.ru_BAD_
    parroquiansg.org_BAD_
    pecschool.com_BAD_
    purebanquet.com_BAD_
    rikuzentakata-mpf.org_BAD_
    rutlandhall.com_BAD_
    slaterarts.com_BAD_
    smokintech.com_BAD_
    sonajp.com_BAD_
    sotorentals.com_BAD_
    studiorif.ru_BAD_
    techsilicon.com_BAD_
    teothemes.com_BAD_
    travelinsider.com.au_BAD_
    travicoperu.com_BAD_
    undiaem.com_BAD_
    unionathletica.com_BAD_
    veganvet.net_BAD_
    victorcasino.com_BAD_
    w3hostingserver.com_BAD_
    werix.sk_BAD_
    www.sikharaprojects.com_BAD_
    zdiaran.sk_BAD_

##### Téléchargement de charge au 07/09/2016

    around4percent.web.fc2.com_BAD_/j8fn3rg3
    bostoncittyregenerww.com_BAD_/js/j8fn3rg3
    kreativmanagement.homepage.t-online.de_BAD_/j8fn3rg3
    marcotormento.de_BAD_/j8fn3rg3
    maxshoppppsr.biz_BAD_/js/vf3gt4b4
    michik.web.fc2.com_BAD_/j8fn3rg3
    news.oboyle.ro_BAD_/myeyuum
    sp-moto.ru_BAD_/j8fn3rg3
    unimet.tmhandel.com_BAD_/j8fn3rg3
    www.hestia-bewindvoering.nl_BAD_/j8fn3rg3
    www.montegelato.it_BAD_/j8fn3rg3
    www.termoalbiate.com_BAD_/uwmakrm
    www.vilastefania.go.ro_BAD_/j8fn3rg3

Serveurs de Commande et de Contrôle au 07/09/2016 Selon nos analyses,
les domaines sont générés aléatoirement. Aucun domaine pertinent n'est
pour l'instant disponible.

Les IPs suivantes sont susceptibles d'être contactées comme CnC et
peuvent être ajoutées en liste noire :

    212.109.192.235
    149.154.152.108

L'uri suivante semble stable. Elle peut servir de marqueur lors d'une
investigation mais ne doit pas être mise en liste noire au risque de
générer beaucoup de faux positifs.

    /data/info.php

Campagne de messages électroniques non sollicités de type Zepto/Odin


Cisco IOS, voir sur le site du constructeur pour vérifier si votre système est vulnérable (cf. section Documentation)

Cisco IOS XR versions 5.0.x

Cisco IOS XR versions 5.2.x

Cisco IOS XR versions 5.1.x

Cisco IOS XR versions 4.3.x

Cisco IOS XE toutes versions

## Contournement provisoire

Suite à la fuite de codes d'attaque attribués au groupe Equation le mois
dernier, Cisco a enquêté pour déterminer si d'autres de ses produits
sont vulnérables à des attaques similaires.
Il s'avère que plusieurs produits peuvent être exploités par une méthode
semblable à BENIGNCERTAIN, qui permet à un attaquant d'accéder à des
portions de mémoire, dans l'espoir de découvrir des secrets (clés
privées, mots de passe...)
Ici, une vulnérabilité dans le code de traitement des paquets IKEv1 de
Cisco IOS, IOS XE et IOS XR permet à un attaquant non authentifié de
récupérer des portions de mémoire, et ce à distance.
Cisco indique qu'il n'existe pour l'instant pas de mitigations et que
cette vulnérabilité est activement exploitée chez certains de ses
clients.
Cisco fourni des règles de détection, cependant celles-ci sont soumises
à abonnement.
Le CERT-FR recommande l'application des correctifs de sécurité dans les
cas où ceux-ci sont disponibles. Sinon, les tunnels IPsec établis sur
des systèmes affectés doivent être considérés comme non sécurisés.

version initiale.

Atteinte à la confidentialité des données

Summary:
Une vulnérabilité a été découverte dans Cisco
IOS, Cisco IOS XE et Cisco IOS XR. Elle permet à un attaquant de
provoquer une atteinte à la confidentialité des données.

Vulnérabilité dans Cisco IOS, IOS XE et IOS XR

Bulletin de sécurité Cisco cisco-sa-20160916-ikev1 du 16 septembre 2016


## Description

Le 31 octobre 2016, le groupe d'analyse de la menace de Google (Threat
Analysis Group) a annoncé publiquement l'existence d'une vulnérabilité
de type 0 jour permettant une élévation de privilèges dans le noyau de
Windows (cf. section Documentation).
Celle-ci est activement exploitée, dans le cadre d'attaques ciblées, de
manière conjointe avec la vulnérabilité CVE-2016-7855 affectant le Flash
Player d'Adobe (cf. section Documentation).
Microsoft a publié un correctif le 8 novembre 2016, à l'occasion de leur
mise à jour mensuelle.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

Avis CERT-FR CERTFR-2016-AVI-364 Adobe Flash Player

Avis CERT-FR CERTFR-2016-AVI-374 Microsoft Windows

Google Security Blog

Microsoft Device Guard

version initiale.

clôture de l'alerte.

Élévation de privilèges

Summary:
Une vulnérabilité a été découverte dans Microsoft
Windows. Elle permet à un attaquant de provoquer une élévation de
privilèges.

Vulnérabilité dans Microsoft Windows

Annonce Microsoft du 01 novembre 2016


De nombreux routeurs vulnérables ont été victimes de cette  attaque. Des systèmes vulnérables ont été rapportés outre en  Allemagne, en Irlande, au Royaume-Uni, au Brésil ou encore en  Finlande. Cette vulnérabilité dépend du matériel déployé par  l'opérateur assurant l'accès à internet et la configuration qu'il  a déployée sur celui-ci. L'attaque vise ici des routeurs dont la  configuration expose le protocole TR-064 sur Internet au travers  du port 7547.

Par ailleurs, plusieurs versions du binaire malveillant sont  en circulation. Ces versions sont compilées pour s'exécuter sur  différentes architectures (MIPS, ARM, SPARC). Cela montre la  volonté des auteurs de cette attaque de toucher un large éventail  d'équipements.

  Il n'existe pas à ce jour de liste précise de systèmes  affectés.

## Solution

Pour les opérateurs, il est recommandé de restreindre l'accès aux
interfaces d'administration depuis un réseau dédié, exclusivement
accessible par l'opérateur et authentifié.

Enfin, le code malveillant s'exécutant en mémoire, un redémarrage de
l'équipement permet d'éliminer le ver. Cependant tant que le ver
continue à se propager et que la vulnérabilité n'est pas corrigée par
l'opérateur, le routeur sera rapidement réinfecté.

Message sur le forum SANS ISC détaillant la vulnérabilité    sur le protocole TR-069

Communiqué de presse de Deutsche Telekom concernant    l'attaque sur leus équipements

Article original annonçant la vulnérabilité sur le    protocole TR-069

Article de Flashpoint sur les répercussions de l'attaque en    Allemagne

Article de Securelist sur la vulnérabilité exploité dans    l'attaque

Article de BadCyber sur la vulnérabilité exploité dans    l'attaque

version initiale.

correction sur les détails de la campagne.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Le CERT-FR a constaté une importante campagne d'attaque à l'encontre de
routeurs DSL. Ces routeurs mis à disposition par les fournisseurs
d'accès internet pour leurs clients permettent la connexion à internet.
Ils font l'objet d'une attaque d'une variante du ver Mirai visant à en
prendre le contrôle et à les incorporer dans un réseau de machine
zombie.

Cette vague d'attaque cible une vulnérabilité exploitable via le protocole TR-064 qui permet
l'autoconfiguration du LAN (DHCP, SSDP, etc.). Ce service de
configuration n'est en théorie accessible que depuis le réseau interne.
Le protocole TR-069 est utilisé par les opérateurs pour administrer les
routeurs à distance. Les équipements ciblés par cette attaque exposent
un seul et même démon pour les protocoles TR-069 et TR-064. Dû à un
défaut de cloisonnement réseau chez certains opérateurs, ces services
sont accessibles depuis internet sur le port 7547. Cela à pour
conséquence d'exposer le protocole TR-064 sur internet. Ce protocole
présente une faille de sécurité permettant l'exécution de code à
distance. Le code d'exploitation de la vulnérabilité a été publié dans
un article de blog le 7 novembre 2016, et a été intégré au cadriciel
d'exploitation publique Metasploit.

Une forte augmentation du trafic internet à destination du port 7547 a
été observée à partir du 27 novembre et traduit des tentatives
d'exploitation de la vulnérabilité.

La première phase de l'attaque consiste en l'envoi d'une requête SOAP
émise à destination du port 7547 de l'équipement ciblé. La charge utile
déclenche le téléchargement puis l'exécution d'un code malveillant
disponible sur un serveur distant contrôlé par l'attaquant.

Le binaire téléchargé est une variante du ver Mirai qui s'attaquera au
service d'administration du boitier accessible uniquement en local ou
depuis le réseau interne du client. Une des premières opérations
réalisées par Mirai consiste à supprimer le binaire du disque, il
restera donc uniquement en mémoire et ne dispose d'aucun mécanisme de
persistance. Le logiciel malveillant fermera également le port 7547
vulnérable. Il scannera ensuite internet à la recherche d'équipement
présentant le port 7547 ouvert pour les infecter. Le déroulement de
l'attaque des routeurs ne semble pas s'être déroulé correctement sur les
équipements de l'opérateur allemand Deutsche Telekom provoquant une
interruption de l'accès à internet de centaines de milliers de clients
entre dimanche 27 et lundi 28 novembre 2016.

Campagne d'attaque contre des routeurs DSL


## Description

Le 9 décembre 2016, Netgear a émis un avis de sécurité indiquant que
plusieurs de ses routeurs étaient vulnérables à une injection de
commande à distance.
Un attaquant non authentifié peut exploiter cette vulnérabilité à
distance si l'utilisateur se rend sur un site piégé.
Cela lui permet alors d'exécuter des commandes arbitraires avec les
privilèges les plus élevés (root).
A noter qu'un attaquant présent sur le réseau local peut directement
exploiter cette vulnérabilité.

Depuis le 24 décembre 2016, un correctif de sécurité est disponible pour
le micrologiciel de chaque modèle vulnérable.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation)

CERT Carnegie Mellon

Avis CERT-FR CERTFR-2016-AVI-430 Routeurs Netgear

version initiale.

mise à jour de la liste des systèmes affectés et clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans les
routeurs Netgear. Elle permet à un attaquant de provoquer une
exécution de code arbitraire à distance.

Vulnérabilité dans les routeurs Netgear

Bulletin de sécurité Netgear du 09 décembre 2016


le greffon Cisco WebEx pour Chrome Firefox et Internet  Explorer sur Windows

## Solution

La vulnérabilité CVE-2017-3823 peut être exploitée lorsqu'un utilisateur
se rend sur un site qui contient un motif particulier dans l'URL.
Comme ce motif peut être contenu dans une iframe qu'il est trivial de
cacher, l'exploitation à l'insu de l'utilisateur est tout à fait
possible.

Cisco annonce que seuls les systèmes Windows sont impactés par cette
vulnérabilité.
Le greffon Cisco WebEx pour Edge sur Windows 10 n'est pas vulnérable.
Un correctif est disponible pour le greffon Cisco WebEx pour Chrome dans
la version 1.0.5. Si celui-ci ne comble pas complètement la
vulnérabilité, il en limite l'impact. En effet, si le motif particulier
se trouve dans une URL associée à des domaines autres que \*.webex.com
ou \*.webex.com.cn, l'utilisateur doit accepter explicitement
l'exécution de code. Cependant, cela ne protège pas l'utilisateur si les
sites susnommés sont vulnérables à des failles de type injection de code
indirecte à distance (XSS).

Dans l'attente de correctifs de sécurité, le CERT-FR recommande la
désinstallation du greffon Cisco Webex sur les systèmes vulnérables.
Lorsque cela n'est pas possible, le CERT-FR recommande a minima
l'utilisation du greffon Cisco Webex par le biais d'un navigateur Chrome
à jour.

Depuis le 31 janvier 2017, Cisco a publié un correctif de sécurité
résolvant la vulnérabilité.

Bulletin de sécurité Cisco cisco-sa-20170124-webex du 24    janvier 2017

Avis CERT-FR CERTFR-2017-AVI-036 Cisco WebEx Browser    Extension

Google Project Zero

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Cisco
WebEx. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.

Vulnérabilité dans Cisco WebEx


Windows 10

Windows 7

Windows Vista

Windows 8.1

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2017-AVI-082 Multiples vulnérabilités    dans Microsoft Windows

Bulletin de sécurité Microsoft MS17-013 du 14 mars 2017

version initiale.

clôture de l'alerte

Summary:
Une vulnérabilité a été découverte dans Microsoft
Windows. Elle permet à un attaquant de provoquer une atteinte à
la confidentialité des données.

La vulnérabilité présente dans la bibliothèque Graphics Device Interface
(gdi32.dll) de Windows permet à un attaquant
de lire des portions de mémoire auquel il n'a pas normalement accès.
Cette faille provient d'un manque de vérification dans la gestion des
Device Independant Bitmaps (DIB) qui sont contenus dans les fichiers de
type Enhanced Metafiles (EMF).

L'attaque peut être déclenchée si un utilisateur se rend sur un site
internet contenant un fichier .emf piégé en
utilisant Internet Explorer.
Un fichier .emf peut également être inclus
dans d'autres documents (ex. .docx), ce qui
augmente la surface d'attaque. Le chercheur Mateusz Jurczyk dit avoir
réussi à exploiter la vulnérabilité à distance par le biais de Office Online.

L'impact de cette vulnérabilité dépend de l'emplacement où est chargé le
fichier malveillant en mémoire, et de ce qui est disponible dans les
adresses proches.

À l'occasion de la mise à jour de sécurité du mois de mars 2017, cette
vulnérabilité a été corrigée par Microsoft.

Vulnérabilité dans Microsoft Windows

Rapport de Bogue de Project Zero du 16 février 2017


Internet Explorer 11 pour Windows 7

Microsoft Edge pour Windows 10

Internet Explorer 11 pour Windows 10

Internet Explorer 11 pour Windows Server 2012 et 2016

Internet Explorer 11 pour Windows 8.1

Avis CERT-FR CERTFR-2017-AVI-080 Multiples vulnérabilités    dans Microsoft Edge

Avis CERT-FR CERTFR-2017-AVI-079 Multiples vulnérabilités    dans Microsoft Internet Explorer

Bulletin de sécurité Microsoft MS17-006 du 14 mars 2017

version initiale.

mise à jour des systèmes affectés.

clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans les
navigateurs Microsoft. Elle permet à un attaquant de provoquer
une exécution de code arbitraire à distance.

Cette vulnérabilité exploite une faille de type confusion de type et
peut être déclenchée en définissant des valeurs particulières pour les
propriétés d'un objet tableau dans une page Web spécialement conçue.

On notera que cette vulnérabilité est atténuée par l'utilisation de la
mesure de sécurité de Windows Control Flow
Guard (CFG) au sein de l'application. Un attaquant souhaitant
exploiter la vulnérabilité devra ainsi mettre en oeuvre un contournement
de la contre-mesure CFG.

À l'occasion de la mise à jour de sécurité du mois de mars 2017, cette
vulnérabilité a été corrigée par Microsoft.

Vulnérabilité dans les navigateurs Microsoft

Rapport de Bogue de Project Zero du 23 février 2017


Apache Struts versions 2.5.x antérieures à 2.5.10.1

Apache Struts versions 2.3.x antérieures à 2.3.32

## Description

Une vulnérabilité dans Struts permet une exécution de code arbitraire à
distance.
Le 06 mars 2017, Apache a publié le bulletin de sécurité S2-045 (cf.
section Documentation) afin de fournir un correctif de sécurité.
Depuis, cette vulnérabilité est activement exploitée.
Au vu de l'impact et du faible niveau de technicité nécessaire à
l'exploitation de cette vulnérabilité, le CERT-FR recommande donc le
déploiement du correctif dans les plus brefs délais.
Si les applications vulnérables contiennent des données sensibles, il
est également fortement conseillé de les désactiver tant que la mise à
jour n'a pas été appliquée.
Le 20 mars 2017, le CERT-FR a publié un article concernant cette
vulnérabilité dans son bulletin d'actualité hebdomadaire (cf. section
Documentation).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin d'actualité CERT-FR CERTFR-2017-ACT-012

Billet Trend Micro

Avis CERT-FR CERTFR-2017-AVI-071

version initiale.

passage du titre au singulier.

ajout de la référence au bulletin d'actualité CERT-FR CERTFR-2017-ACT-012.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Apache
Struts. Elle permet à un attaquant de provoquer une exécution de
code arbitraire à distance.

Vulnérabilité dans Apache Struts

Bulletin de sécurité Apache S2-045 du 10 mars 2017


## Description

Une vulnérabilité dans l'implémentation du Cisco Cluster Management
Protocol (CMP) permet une exécution de code à distance dans les
commutateurs Cisco exécutant Cisco IOS ou Cisco IOS XE.
Se référer au bulletin de l'éditeur pour une liste exhaustive des
produits impactés (cf. section Documentation).
Ce protocole utilise le service Telnet afin que les membres d'un groupe
puissent dialoguer entre eux.
Cette vulnérabilité est due à deux facteurs.
Le premier est que les communications Telnet sont traitées même si elles
proviennent d'en dehors du groupe.
Le deuxième est qu'une session Telnet spécifique à CMP peut provoquer un
débordement de tampon.
A noter que le seul fait de commuter une trame comportant une charge
malveillante ne suffit pas à déclencher la vulnérabilité, la
communication piégée doit être destinée à l'équipement vulnérable.
Cisco n'a pas annoncé de date de sortie d'un correctif de sécurité.
En attendant, le CERT-FR recommande dans un premier temps de suivre les
bonnes pratiques en matière de sécurité informatique en s'assurant que
l'accès aux interfaces d 'administration des équipements réseaux soit
restreint à un canal interne de confiance.
Ensuite, le CERT-FR recommande de privilégier le protocole SSH à
Telnet.
Enfin, si désactiver les communications Telnet n'est pas une option
viable, Cisco fournit des règles de détection réseau (cf. section
Documentation).
A noter que les règles de détection SNORT 41909 et 41910 sont
disponibles gratuitement à condition d'avoir créé un compte Snort.
Celles-ci sont contenues dans le fichier server-other.so et sont de type
TRUFFLEHUNTER, c'est à dire que leur contenu est dissimulé.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2017-AVI-143

Cisco IOS CMP Buffer Overflow

Bulletin de sécurité Cisco cisco-sa-20170317-cmp du 17 mars    2017

Snort

version initiale.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans les
commutateurs Cisco. Elle permet à un attaquant de provoquer une
exécution de code arbitraire à distance.

Vulnérabilité dans les commutateurs Cisco


## Contournement provisoire

Plusieurs vulnérabilités ont été reportées dans les équipements Siemens
RUGGEDCOM ROX I.

Parmi les vulnérabilités décrites par l'éditeur, la CVE-2017-2688 permet
à l'attaquant d'effectuer des actions avec les privilèges d'un
utilisateur. L'attaquant doit inciter un utilisateur authentifié à
visiter une page malveillante ou à cliquer sur un lien malveillant. La
vulnérabilité CVE-2017-2689 permet quant à elle un accès privilégié au
système de fichier et autorise la modification de la configuration.
L'exploitation de cette vulnérabilité nécessite un accès authentifié
préalable à l'interface web de l'équipement sur le port TCP 10000.
Dans l'attente d'un correctif, l'éditeur à publié des éléments
permettant d'atténuer les risques portant sur les systèmes Siemens
RUGGEDCOM ROX I.
Se référer au bulletin de l'éditeur pour une liste exhaustive des
mesures de prévention à mettre en œuvre (cf. section Documentation).

version initiale.

Injection de code indirecte à distance

Contournement de la politique de sécurité

Injection de requêtes illégitimes par rebond (CSRF)

Summary:
De multiples vulnérabilités ont été découvertes dans SCADA Siemens RUGGEDCOM ROX I. Certaines d'entre
elles permettent à un attaquant de provoquer injection de requêtes
illégitimes par rebond, un contournement de la politique de sécurité et
une atteinte à la confidentialité des données.

Multiples vulnérabilités dans SCADA Siemens RUGGEDCOM ROX I

Bulletin de sécurité Siemens SSA-327980 du 28 mars 2017


Bulletin de sécurité Microsoft du 11 avril 2017

Article de blogue FireEye du 8 avril 2017

Avis CERT-FR CERTFR-2017-AVI-108 Multiples vulnérabilités dans Microsoft Office

version initiale.

clôture de l'alerte.

Exécution de code arbitraire

Summary:
Une vulnérabilité a été découverte dans Microsoft
Office. Elle permet à un attaquant de provoquer une exécution de
code arbitraire.

La vulnérabilité exploitée est déclenchée lors de l'ouverture d'un
document Microsoft Word contenant un objet OLE2link. Le processus
winword.exe effectue alors une requête HTTP vers un serveur de
l'attaquant pour télécharger un fichier au format HTA contenant un
script malveillant qui sera ensuite exécuté. D'après les observations de
FireEye (cf. documentation), le script termine le processus winword.exe
et affiche un document Word factice à l'attention de l'utilisateur. Le
script semble aussi pouvoir télécharger des charges malveillantes
additionnelles.

On notera cependant que la protection Protected
View de Microsoft Office, activée par défaut pour les versions
2013 et 2016, permet d'empêcher l'exécution des fonctionnalités
malveillantes du document. Il convient alors de s'assurer que cette
fonctionnalité est bien active.

Le CERT-FR recommande une attention particulière à la réception de
courriel non sollicité et de ne pas ouvrir les documents attachées à de
tels messages. De façon générale, la plus grande prudence est conseillée
face à toutes pièces jointes suspectes.

À l'occasion de la mise à jour de sécurité du mois d'avril 2017, cette
vulnérabilité a été corrigée par Microsoft.

Vulnérabilité dans Microsoft Office

Article de blogue McAfee du 07 avril 2017


Microsoft Windows XP et Windows Server 2003, tous services  packs confondus

## Description

Le 14 avril 2017, le groupe d'attaquants Shadowbrokers a publié une
nouvelle archive contenant des outils offensifs.
Parmi ceux-ci se trouvent des codes permettant d'exploiter :

## Remote Desktop Protocol (RDP)

Un code permet l'exploitation d'une vulnérabilité accessible par le
service Remote Desktop Protocol.

Le composant affecté correspond au service d'authentification par carte
à puce, exposé via l'extension RDP Smart Card Virtual Channel. Quand les
machines sont membres d'un domaine Active Directory, ce composant est
activé par défaut et accessible via le protocole RDP (port TCP 3389).

La vulnérabilité est présente même si l'authentification par carte à
puce n'est pas utilisée. Le code d'attaque disponible publiquement
permet d'obtenir une exécution de code arbitraire à distance avec les
privilèges SYSTEM.

Le CERT-FR recommande de filtrer l'accès au service RDP (port TCP 3389),
que les machines soient accessibles ou non sur internet, afin que seules
des machines de confiance puissent s'y connecter. De manière plus
générale, le CERT-FR déconseille l'utilisation de systèmes en fin de vie
(cf. section Documentation).

Il existe toutefois une mesure de contournement efficace et simple à
implémenter. La clé de registre suivante est présente par défaut dans
toutes les versions de Windows XP et Windows Server 2003 :

-   \\HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Cryptography\\Defaults\\Provider\\Gemplus
    GemSAFE Card CSP v1.0.

Supprimer celle-ci rend l'exploitation de cette vulnérabilité
impossible. Elle implique cependant un effet de bord car la suppression
de cette clé de registre empêche l'utilisation de lecteurs de cartes
utilisant les pilotes Gemalto.

Le 13 juin 2017, Microsoft a publié un correctif pour cette
vulnérabilité exploitée par le code d'attaque ESTEEMAUDIT (cf. section
Documentation).

## Microsoft Server Message Block (SMB)

Plusieurs codes d'exploitation ciblent le serveur SMB de Windows et
permettent une exécution de code arbitraire à distance avec des
privilèges élevés (noyau).

Le 12 mai 2017, l'une des vulnérabilités SMB a été exploitée dans le
cadre d'une campagne de propagation de rançongiciels (cf. section
Documentation). Au vu de l'ampleur de la menace et à titre exceptionnel,
Microsoft a publié un correctif de sécurité (cf. section Documentation)
pour des systèmes qui ne sont plus maintenus depuis de nombreux mois,
voire plusieurs années.

L'exploitation avérée à grande échelle de cette vulnérabilité rend
d'autant plus critique l'installation des correctifs dans les plus brefs
délais et la migration des systèmes obsolètes.

## Microsoft Exchange

L'un des codes permet d'obtenir une exécution de code à distance sur les
versions de Microsoft Exchange 2007 et antérieures.

Le 13 juin 2017, Microsoft a publié un correctif pour cette
vulnérabilité exploitée par le code d'attaque ENGLISHMANDENTIST (cf.
section Documentation).

## Internet Information Services (IIS)

Le module WebDAV du serveur IIS est ciblé par l'un des codes
d'exploitation qui permet d'obtenir une exécution de code arbitraire à
distance avec les privilèges SYSTEM.

Le 13 juin 2017, Microsoft a publié un correctif pour cette
vulnérabilité exploitée par le code d'attaque EXPLODINGCAN (cf. section
Documentation).

## Recommandations

Bien que des systèmes comme Microsoft Windows XP et Windows Server 2003
ne sont plus maintenus depuis plusieurs années, force est de constater
que leur présence dans les parcs informatiques est toujours non
négligeable. Avec la mise à disposition publique de plus en plus de
codes d'exploitation ciblant ces systèmes obsolètes, les risques
augmentent en conséquence, en particulier pour les systèmes accessibles
sur internet.

Même s'il est possible de tenter de réduire la surface d'attaque en
filtrant les communications vers les services vulnérables ou en les
désactivant, il faut considérer que, d'une manière générale, les
systèmes en fin de vie donnent aux attaquants un moyen d'accès ou de
déplacement latéral à moindre coût.

Les mesures de sécurité compensatoires devront donc être évaluées et les
risques résiduels formellement acceptés.

Le CERT-FR insiste sur l'importance de migrer vers des versions
maintenues et à jour par les éditeurs (cf. section Documentation).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2017-AVI-181

Les systèmes et logiciels obsolètes

Avis CERT-FR CERTFR-2017-AVI-154

Alerte CERT-FR CERTFR-2017-ALE-010

version initiale.

extension de l'alerte à d'autres composants vulnérables.

mise à jour de l'alerte pour tenir compte de la campagne de propagation de rançongiciels via une vulnérabilité SMB.

ajout d'une mesure de contournement pour le code d'attaque ESTEEMAUDIT affectant le protocole RDP.

mise à jour de l'alerte pour tenir compte des correctifs publiés par Microsoft concernant les codes d'attaque ESTEEMAUDIT, EXPLODINGCAN et ENGLISHMANDENTIST.

clôture de l'alerte.

Exécution de code arbitraire à distance

Élévation de privilèges

Summary:
De multiples vulnérabilités ont été découvertes dans Windows XP et Windows Server 2003. Elles
permettent à un attaquant de provoquer une exécution de code arbitraire
à distance et une élévation de privilèges.

Multiples vulnérabilités dans Microsoft Windows XP et Windows Server 2003


Windows Defender pour Windows 10, Windows 10 1511, Windows 10 1607, Windows Server 2016, Windows 10 1703

Windows Defender pour Windows 8.1

Windows Defender pour Windows 7

Microsoft System Center Endpoint Protection

Microsoft Security Essentials

Microsoft Forefront Security pour SharePoint Service Pack 3

Windows Intune Endpoint Protection

Microsoft Forefront Endpoint Protection 2010

Windows Defender pour Windows RT 8.1

Microsoft Endpoint Protection

## Description

Les chercheurs Natalie Silvanovich et Tavis Ormandy de Google Project
Zero ont révélé l'existence d'une vulnérabilité dans le Malware
Protection Engine de Microsoft (cf. section Documentation). Celui-ci est
le moteur de nombreux produits de sécurité Microsoft.

Cette vulnérabilité est particulièrement critique car elle est présente
par défaut dans toutes les dernières versions de Windows et permet une
exécution de code à distance avec les privilèges System. De plus, cette
vulnérabilité est déclenchée dès qu'un fichier malveillant est balayé
par le Malware Protection Engine. Plus concrètement, il suffit
uniquement de recevoir un courriel piégé ou de se rendre sur un site
malveillant pour risquer une infection.

Toutefois, le 8 mai 2017, Microsoft a annoncé la sortie d'un correctif
de sécurité (cf. section Documentation) à l'occasion de sa mise à jour
mensuelle. De plus, les systèmes devraient se mettre à jour
automatiquement à partir du moment où cette option n'est pas désactivée.
Microsoft a également annoncé que cette mise à jour devrait être
intégralement déployée sous 48 heures.

Le CERT-FR recommande donc de vérifier que le correctif est bien
installé (cf. section Documentation), ou le cas échéant, de mettre ses
sytèmes à jour dans les plus brefs délais.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Support Microsoft

Google Project Zero

Avis CERT-FR CERTFR-2017-AVI-151

version initiale.

ajout du lien vers l'avis CERT-FR CERTFR-2017-AVI-151.

clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Microsoft
Malware Protection Engine. Elle permet à un attaquant de
provoquer une exécution de code arbitraire à distance.

Vulnérabilité dans Microsoft Malware Protection Engine

Bulletin de sécurité Microsoft 4022344 du 08 mai 2017


Sont affectés :

les sytèmes d'exploitation Windows vulnérables et en réseau    maintenus par l'éditeur sur lesquels le correctif MS17-010    n'aurait pas été installé ;

les sytèmes d'exploitation Windows vulnérables obsolètes et    en réseau (Windows XP, Windows Server 2003, Windows 8, Windows    Vista, Windows Server 2008, WES09 et POSReady 2009) sur    lesquels le correctif KB4012598 n'aurait pas été installé    ;

tous les sytèmes d'exploitation Windows sur lesquels un    utilisateur ouvrirait la pièce jointe malveillante.

## Vecteurs d'infection

Le vecteur d'infection initial pourrait être un courriel avec une pièce
jointe malveillante.

Le programme malveillant ensuite exécuté peut être vu comme constitué de
deux parties :

-   un composant chargé de la propagation via le réseau en exploitant
    une vulnérabilité SMB ;
-   un rançongiciel.

## Contournement provisoire

## Recommandations

Le CERT-FR recommande :

-   l'application immédiate des mises à jour de sécurité permettant de
    corriger les failles exploitées pour la propagation (MS17-010 pour
    les systèmes maintenus par l'éditeur) ;
-   le respect des recommandations génériques relatives aux
    rançongiciels ;
-   de limiter l'exposition du service SMB, en particulier sur internet.

Un correctif de l'éditeur est aussi disponible pour les systèmes
obsolètes suivants :

-   Windows XP SP2 pour processeurs x64 ;
-   Windows Server 2003 ;
-   Windows XP SP3 pour XPe ;
-   Windows XP SP3 ;
-   Windows Vista ;
-   Windows Server 2008 ;
-   WES09 et POSReady 2009 ;

Il peut être téléchargé depuis
<https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598>.

## Prévention

De manière préventive, s'il n'est pas possible de mettre à jour un
serveur, il est recommandé de l'isoler logiquement, voire de l'éteindre
le temps d'appliquer les mesures adaptées de protection.

La désactivation du protocole SMBv1 peut être un plus mais ne saurait
remplacer l'installation des correctifs.

## Récupération des données chiffrées par WannaCrypt

En cas d'infection par la version actuelle du rançongiciel WannaCrypt
sous Windows XP, Windows 2003 et Windows 7 dans ses versions x86, une
tentative de déchiffrement de vos données peut être effectuée à l'aide
des outils WanaKiwi, ou bien WannaKey accompagné de Wanafork. Ces outils
sont disponibles en source ouverte depuis
<https://github.com/gentilkiwi/wanakiwi/releases>,
<https://github.com/aguinet/wannakey> et
<https://github.com/odzhan/wanafork/>.

Cette opération n'est pas garantie de fonctionner mais n'altérera aucun
fichier en cas d'échec. Afin d'améliorer les chances de réussite de ces
outils, le CERT-FR recommande de suivre les procédures suivantes :

-   Le système ne doit pas avoir été redémarré après l'infection, auquel
    cas les outils cités ci-dessus ne fonctionneront pas;
-   Il est déconseillé de manipuler le système après infection, mis à
    part pour lancer les outils de récupération des données chiffrées.

En cas de réussite, les fichiers chiffrés (.WNCRY) sont gardés intacts
et les données déchiffrés sont enregistrées dans des fichiers séparés.

## Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés.

Le CERT-FR recommande aussi d'alerter le responsable sécurité ou le
service informatique au plus tôt.

Aussi, le CERT-FR recommande de prendre le temps de sauvegarder les
fichiers importants sur des supports de données isolés. Ces fichiers
peuvent être altérés ou encore être infectés. Il convient donc de les
traiter comme tels. De plus, les sauvegardes antérieures doivent être
préservées d'écrasement par des sauvegardes plus récentes.

Le bulletin d'actualité CERTFR-2015-ACT-004 précise de manière plus
complète les mesures à appliquer (cf. section Documentation).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

wanakiwi

CERTFR-2017-AVI-082

wannacrypt-ransomware-worm-targets-out-of-date-systems

disablesmb1

CERTFR-2015-ACT-004

wannakey

CERTFR-2017-ACT-019

technet.microsoft.com

CERTFR-2017-ACT-016

customer-guidance-for-wannacrypt-attacks

wanafork

Microsoft

version initiale ;

mise à jour ;

ajout de la sous-section "Récupération des données chiffrées par WannaCrypt" ;

clôture de l'alerte.

Non spécifié par l'éditeur

Summary:
Le CERT-FR constate l'apparition d'un nouveau rançongiciel qui exploite
des vulnérabilités d'exécution de code à distance pour se propager. Ces
vulnérabilités sont celles décrites dans le bulletin de sécurité
MS17-010 (cf. CERTFR-2017-AVI-082, section Documentation).

L'attention est attirée sur le fait que :

-   plusieurs variantes du rançongiciel ont pu être distribuées ;
-   le composant rançongiciel a pu être remplacé dans certains cas par
    un composant moins visible.

Propagation d'un rançongiciel exploitant les vulnérabilités MS17-010


Tous les systèmes d'exploitation  Windows peuvent être victimes de ce logiciel malveillant.

## Vecteurs d'infection

Le vecteur d'infection initial est un courriel avec une pièce jointe
malveillante de type PDF.

## Solution

## Mesures préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes. Il convient en effet de ne pas cliquer sans vérification
préalable sur les liens de messages et les pièces jointes. Les
utilisateurs ne doivent pas ouvrir des messages électroniques de
provenance inconnue, d'apparence inhabituelle ou frauduleuse. Plus
généralement, il convient de mettre à jour les postes utilisateurs,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle.

Le CERT-FR recommande de configurer sur les postes de travail les
restrictions logicielles pour empêcher l'exécution de code à partir
d'une liste noire de répertoires :

-   Si la solution utilisée est AppLocker, les règles de blocage
    suivantes doivent être définies :
    -   OSDRIVE\\Users\\\*\\AppData\\
    -   OSDRIVE\\Windows\\Temp\\
-   Si les restrictions logicielles (SRP) sont utilisées, les règles de
    blocage suivantes doivent être définies :
    -   UserProfile\\AppData
    -   SystemRoot\\Temp

Il est important de vérifier que le service "Application Identity"
(AppIDSvc) est paramétré en démarrage automatique sur l'ensemble des
postes pour que les restrictions logicielles soient opérantes (ce mode
de démarrage peut être paramétré à travers une politique de groupe sur
le domaine Windows). Si des dysfonctionnements sont rencontrés suite au
déploiement de ces règles de blocage, il est nécessaire d'identifier les
applications légitimes situées dans ces répertoires, et de définir des
règles en liste blanche afin d'autoriser leur exécution.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateurs, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

## Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés. Le CERT-FR
recommande aussi d'alerter le responsable sécurité ou le service
informatique au plus tôt. Le temps de revenir à une situation normale,
le CERT-FR recommande également de positionner les permissions des
dossiers partagés en LECTURE SEULE afin d'empêcher la destruction des
fichiers sur les partages. Les personnels pourront continuer de
travailler localement et mettre à jour ultérieurement le partage. Aussi,
le CERT-FR recommande de prendre le temps de sauvegarder les fichiers
importants sur des supports de données isolés. Ces fichiers peuvent être
altérés ou encore être infectés. Il convient donc de les traiter comme
tels. De plus, les sauvegardes antérieures doivent être préservées
d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. En complément, le CERT-FR recommande de rechercher et supprimer
les messages malveillants similaires dans les boîtes de messagerie des
utilisateurs. Par ailleurs, le CERT-FR recommande la réinstallation
complète du poste et la restauration d'une sauvegarde réputée saine des
données de l'utilisateur. De plus, dans le cadre de l'utilisation de
profils itinérants, il convient de supprimer la copie serveur du profil
afin de prévenir la propagation des codes malveillants par ce biais.

Enfin, les fichiers chiffrés peuvent être conservés par la victime au
cas où dans le futur, un moyen de recouvrement des données originales
serait découvert.

Cette alerte sera maintenue tant que le volume de message électronique
constaté sera considéré significatif par le CERT-FR.

Indicateurs de compromission identifiés par l'éditeur Talos  :

version initiale ;

cloture de l'alerte ;

Non spécifié par l'éditeur

Summary:
Depuis le 11 mai 2017, le CERT-FR constate une nouvelle campagne de
courriels malveillants contenant des pièces jointes au format PDF. Ce
PDF contient un document embarqué au format DOCM contenant lui-même une
macro malveillante lançant le téléchargement puis l'exécution du
rançongiciel Jaff. Dans le cadre de cette campagne, et d'après les
échantillons que le CERT-FR a observés, les URLs de téléchargement du
rançongiciel Jaff se terminent avec les motifs suivants :

-   /f87346b
-   /77g643

Ces motifs peuvent donc être utilisés comme méthode de détection et/ou
de blocage, dans la mesure des capacités techniques disponibles. Par
ailleurs, plusieurs éditeurs ont déjà publié des indicateurs de
compromission qui peuvent être utilisés afin de détecter Jaff.

Le CERT-FR attire l'attention sur le fait que cette campagne de
distribution du rançongiciel Jaff n'est pas liée à celle du rançongiciel
Wannacry dont le vecteur d'infection initial n'est toujours pas
confirmé.

Campagne de messages électroniques non sollicités de type Jaff


Toutes les versions de Windows semblent pouvoir être affectées dans la mesure où des outils d'administration classiques sont utilisés pour la latéralisation. Les serveurs ainsi que les postes de travail font donc partie du périmètre d'infection possible.

## Vecteurs du0027infection

L'ANSSI ne dispose pas à cette heure de preuves relatives au vecteur
initial d'infection.
L'usage envisagé de la vulnérabilité CVE-2017-0199 semble désormais
exclu. Microsoft indique que le logiciel de paiement de taxe MEDoc
pourrait être l'un des vecteurs initiaux d'infection via une mise à jour
automatique.

Lorsque le maliciel s'exécute, celui-ci commence par s'attribuer autant
de droits que son niveau de privilèges lui permet. Il vérifie ensuite si
certains logiciels anti-virus sont présents. S'il possède le privilège
SeDebugPrivilege, il cherche la présence d'un fichier avant de continuer
son exécution. Dans ce cas, celui-ci fait office de ce que l'on appelle
communément un killswitch. Le nom de ce fichier est déterminé à partir
du nom de l'exécutable malveillant pour lequel l'extension a été
retirée. Sur les souches identifiées actuellement, le nom constaté du
binaire est C:\\Windows\\perfc.dat. Par conséquent le fichier vérifié
avant exécution est C:\\Windows\\perfc. Sur ces souches, la présence de
ce fichier arrêtera l'exécution du maliciel avant toute action
destructrice.

Si ce fichier n'est pas présent, le maliciel va alors modifier le Master
Boot Record (MBR) afin d'effectuer des actions destructrices au prochain
démarrage de la machine. S'il rencontre une erreur lors de cette
opération, alors les dix premiers secteurs du disques seront réécrits
avec des zéros pour empêcher la machine de démarrer. Ceci est par
exemple le cas si le disque a une table de partition GPT (GUID Partition
Table) au lieu de MBR. L'effet généralement constaté est un écran noir à
la place du message de rançon. Dans ce cas, le système est récupérable à
condition de reconstruire la table de partition.

Ensuite, il tente de créer une tâche planifiée réalisant un redémarrage
de la machine.

Le maliciel va alors commencer à énumérer les équipements présents sur
le réseau interne afin de se propager.

Des droits élevés permettent au maliciel de voler les mots de passe
locaux soit en utilisant un outil de type Mimikatz en version 32 ou 64
bits, et en faisant appel à l'API CredEnumerateW. Le logiciel
malveillant dispose de plusieurs capacités pour se propager sur le
réseau :

-   en utilisant les identifiants récupérés sur la machine ainsi que
    l'outil légitime d'administration PSExec et du protocole WMI ;
-   en exploitant des vulnérabilités du protocole SMB (identifiées dans
    le bulletin MS17-010).

Après avoir tenté de se propager, le maliciel chiffre les fichiers
locaux de l'utilisateur en les ciblant en fonction de leur extension.
Cette étape est assez longue et dépend du volume de données présentes
sur le disque. Une fois le chiffrement terminé, le logiciel malveillant
cherche à redémarrer la machine. En fonction des versions de Windows,
cela se fera soit par le déclenchement de la tâche planifiée, soit en
provoquant une erreur qui débouchera sur un écran bleu dit "de la mort".

Selon le résultat des actions précédentes, la machine :

-   redémarrera normalement mais les fichiers seront inaccessibles ;
-   ne redémarrera pas ;
-   redémarrera avec un message affiché indiquant qu'une vérification de
    l'intégrité des disques est en cours.

Dans ce dernier cas, le maliciel chiffre la MFT (Master File Table). Il
s'agit d'un index des fichiers et répertoires présents sur le disque.
Cela a pour conséquence de rendre inaccessibles les fichiers présents
sur la machine. Enfin, le maliciel s'installe à la place du secteur de
démarrage de Windows afin d'afficher le message de rançon. La clé
utilisée pour chiffrer la MFT étant détruite dans le processus, il est
impossible d'obtenir son déchiffrement même en échange du paiement de la
rançon.

## Résumé des actions du maliciel

Les différentes actions entreprisent par le maliciel sont conditionnés
par plusieurs vérifications au cours de son éxecution. Le tableau
ci-après synthétise les événements en fonction du contexte d'éxecution
du logiciel malveillant, notamment les privilèges dont dispose le
processus, le type de secteur d'amorçage ou la présence de logiciel
antivirus.

**Tableau 2:** Résumé des actions du maliciel suivant ses privilèges, le
type de secteur d'amorçage, ou la présence de logiciel antivirus

|                                                                                |                                                          |                                        |                                           |                                    |                                    |                                          |                                                |                                                                                |
|:-------------------------------------------------------------------------------------------------------------------|:---------------------------------------------------------|:--------------------------------------:|:-----------------------------------------:|:----------------------------------:|:----------------------------------:|:----------------------------------------:|:----------------------------------------------:|:----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| **Action**                                                                              | **SeDebug**                   |  **SeTcb**  | **SeShutdown** | **MBR** | **GPT** | **Kaspersky** | **Symantec/Norton** | **Commentaires**                                                                                |
| Vérification du marqueur d'infection (MBR déjà infecté)                                 | requis                        |                                        |                                           |                                    |                                    |                                          |                                                | Nom du fichier depuis lequel s'exécute le code placé dans le dossier C:\\Windows\\. Il est souvent observé le fichier C:\\Windows\\perfc                                             |
| Infection du MBR                                                                        | requis                        |                                        |                                           | requis  |                                    |   Si Absent   |                                                |                                                                                |
| Ecrasement des dix premiers secteurs du disque dur                                      | requis                        |                                        |                                           |                                    |                                    |  Si Présent   |                                                | Seulement dans le cas ou l'infection du MBR échoue                                                                                |
| Planififation du redémarrage                                                            |                                                          |                                        |                                           |                                    |                                    |                                          |                                                | Réussite selon le retour de la commande, qui elle-même dépend de la version de Windows                                                                                |
| Reconnaissance réseau                                                                   |                                                          |                                        |                                           |                                    |                                    |                                          |                                                |                                                                                |
| Exécution du dérobeur de mot de passe de type Mimikatz déposé dans le répertoire %TEMP% | requis                        |                                        |                                           |                                    |                                    |                                          |                                                |                                                                                |
| Extraction de PsExec dans le répertoire %WINDIR%                                        | Un des deux                   | Un des deux |                                           |                                    |                                    |                                          |                                                |                                                                                |
| Extraction de PsExec dans le répertoire %APPDATA%                                       | Absent                        |   Absent    |                                           |                                    |                                    |                                          |                                                |                                                                                |
| Création d'un fil d'exécution d'envoi de commandes WMIC                                 |                                                          |                                        |                                           |                                    |                                    |                                          |                                                |                                                                                |
| Élévation locale de privilèges (technique identique que le mouvement latéral)           | Si absent et sous conditions  |                                        |                                           |                                    |                                    |                                          |                                                | Si le système d'exploitation est parmi : Windows versions 5.1, 5.2 -Windows XP et Windows Server 2003-, 6.0 (Vista, Windows Server 2008), ou 6.1 (Windows 7, Windows Server 2008 R2) |
| Exploitation des vulnérabilités EternalRomance/EternalBlue                              |                                                          |                                        |                                           |                                    |                                    |                                          |      Si absent      |                                                                                |
| Chiffrement des fichiers sur le disque local                                            |                                                          |                                        |                                           |                                    |                                    |                                          |                                                |                                                                                |
| Ecran bleu \`\`de la mort'' / Redémarrage forcé                                         |                                                          |                                        |     requis     |                                    |                                    |                                          |                                                |                                                                                |
| Effacement des événements windows (wevutil) et journal USN (fsutil)                     | Si présent ou sous conditions |                                        |                                           |                                    |                                    |                                          |                                                | Si le système est de type Windows 8 et postérieures ou si l'élévation locale de privilèges a réussie; Réussite de la commande selon le retour du processus lancé                     |

## Solution

## Recommandations

Pour empêcher la propagation du maliciel, même en cas d'infection
initiale, le CERT-FR recommande d'effectuer les actions suivantes :

-   Mettre le processus lsass.exe en PPL (protected process light) sur
    l'ensemble des postes de travail, des serveurs membres et des
    contrôleurs de domaine, mesure déployable par GPO via un modèle
    d'administration récupérable sur le site Web de Microsoft. Cette
    action rend plus difficile la récupération des empreintes en mémoire
    et n'est réellement efficace que depuis Windows 8.1 et 2012 R2 ;
-   Activer credential guard sur l'ensemble des postes de travail et des
    serveurs membres, ce qui rend impossible la récupération des
    empreintes en mémoire, sur Windows 10 et 2016 ;
-   Mettre les utilisateurs les plus privilégiés de l'AD dans le groupe
    protected users ce qui nécessite une extension de schéma AD en 2012
    R2. Cette mesure empêche le stockage des empreintes des mots de
    passe en mémoire, y compris sur les postes Windows 7 s'ils sont à
    jour (ayant notamment le correctif KB2871997 appliqué) ;
-   Ajouter le SID des utilisateurs locaux (S-1-5-114) dans le droit
    d'authentification interdire l'accès à cet ordinateur par le réseau.
    Cette mesure peut être déployée par GPO et empêche la réutilisation
    des mots de passe identiques des comptes locaux ;
-   Activer le contrôle de comptes utilisateur (UAC) pour le compte
    administrateur intégré (par GPO) sur les serveurs et les postes de
    travail ;
-   S'assurer que les utilisateurs n'aient pas de privilèges sur les
    postes de travail ou activer le contrôle de comptes utilisateur
    (UAC) en mode Demande de consentement sur le bureau sécurisé.

De manière plus générale, le CERT-FR recommande :

-   l'application immédiate des mises à jour de sécurité notamment la
    mise à jour de sécurité Microsoft MS17-010 (cf. section
    Documentation) ;
-   le respect des recommandations génériques relatives aux
    rançongiciels :
    <http://www.cert.ssi.gouv.fr/site/CERTFR-2017-INF-001/index.html> ;
-   de limiter l'exposition du service SMB, en particulier sur internet
    ;
-   respecter le principe de moindre privilège pour les utilisateurs,
    afin de limiter l'élévation de privilèges et la propagation latérale
    de l'attaquant ;
-   de ne pas payer la rançon.

## Prévention

De manière préventive, s'il n'est pas possible de mettre à jour une
machine, il est recommandé de l'isoler logiquement, voire de l'éteindre
le temps d'appliquer les mesures adaptées de protection.

La désactivation du protocole SMBv1 peut être un plus mais ne saurait
remplacer l'installation des correctifs.

## Détection

Les règles Yara suivantes sont fournies afin de permettre la détection
d'un logiciel malveillant relatif à la campagne en cours.

    rule MS17_010_RANSOMWARE_perfc_xor_strings {

meta:
author = "ANSSI"
version = "1.0"
description = "Rule to detect MS17_010 ransomware"

strings:
// PC NETWORK PROGRAM 1.0 xor 0x72
\$a = {70 22 31 52 3C 37 26 25 3D 20 39 52 22 20 3D 35 20 33 3F 52 43 5C
42
72 70 3E 33 3C 3F 33 3C 43 5C 42 72 70 25 1B 1C 16 1D 05 01 52 14}

// \\\\123.12.31.2\\IPC\$ xor 0x75
\$b = {75 29 75 29 75 44 75 47 75 46 75 5B 75 44 75 47 75 5B 75 46 75 44
75
5B 75 47 75 29 75 3C 75 25 75 36 75 51 75 75 75 4A 4A 4A 4A 4A 75}

// payload1 shellcode entrypoint xor 0x64
\$c = {2C ED 84 02 E7 80 94 25 33 25 32 25 31 25 30 37 35 36 31 33 32 34
34
8C D8 62 64 64 2C ED}

condition:
1 of them
}

    rule MS17_010_RANSOMWARE_Kaspersky_PetrWrap {
     meta:
     copyright = "Kaspersky Lab"
     description = "Rule to detect PetrWrap ransomware samples"
     last_modified = "2017-06-27"
     author = "Kaspersky Lab"
     hash = "71B6A493388E7D0B40C83CE903BC6B04"
     version = "1.0"

strings:
\$a1 =
"MIIBCgKCAQEAxP/VqKc0yLe9JhVqFMQGwUITO6WpXWnKSNQAYT0O65Cr8PjIQInTeHkXE
jfO2n2JmURWV/uHB0ZrlQ/wcYJBwLhQ9EqJ3iDqmN19Oo7NtyEUmbYmopcq+YLIBZzQ2ZTK0A2Dt
X4GRKxEEFLCy7vP12EYOPXknVy/+mf0JFWixz29QiTf5oLu15wVLONCuEibGaNNpgq+CXsPwfITD
bDDmdrRIiUEUw6o3pt5pNOskfOJbMan2TZu" fullword
wide
\$a2 =
".3ds.7z.accdb.ai.asp.aspx.avhd.back.bak.c.cfg.conf.cpp.cs.ctl.dbf.disk.
djvu.doc.docx.dwg.eml.fdb.gz.h.hdd.kdbx.mail.mdb.msg.nrg.ora.ost.ova.ovf.pdf.
php.pmf.ppt.pptx.pst.pvi.py.pyc.rar.rtf.sln.sql.tar.vbox.vbs.vcb.vdi.vfd.vmc.
vmdk.vmsd.vmx.vsdx.vsv.work.xls" fullword wide
\$a3 = "DESTROY ALL OF YOUR DATA! PLEASE ENSURE THAT YOUR POWER CABLE IS
PLUGGED"
fullword ascii
\$a4 = "1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX" fullword ascii
\$a5 = "wowsmith123456@posteo.net." fullword wide

condition:
uint16(0) == 0x5A4D and
filesize \< 1000000 and any of them
}

    rule MS17_010_RANSOMWARE_FireEye_perfc_clear_strings {
    meta:version="1.1"
     //filetype="PE"
     author="Ian.Ahl@fireeye.com @TekDefense, Nicholas.Carr@mandiant.com
     @ItsReallyNick"
     date="2017-06-27"
     description="Probable PETYA ransomware using ETERNALBLUE, WMIC, PsExec"
    strings:
     // DRIVE USAGE
     $dmap01 = "\\\\.\\PhysicalDrive" nocase ascii wide
     $dmap02 = "\\\\.\\PhysicalDrive0" nocase ascii wide
     $dmap03 = "\\\\.\\C:" nocase ascii wide
     $dmap04 = "TERMSRV" nocase ascii wide
     $dmap05 = "\\admin$" nocase ascii wide
     $dmap06 = "GetLogicalDrives" nocase ascii wide
     $dmap07 = "GetDriveTypeW" nocase ascii wide

// RANSOMNOTE
\$msg01 = "WARNING: DO NOT TURN OFF YOUR PC!" nocase ascii wide
\$msg02 = "IF YOU ABORT THIS PROCESS" nocase ascii wide
\$msg03 = "DESTROY ALL OF YOUR DATA!" nocase ascii wide
\$msg04 = "PLEASE ENSURE THAT YOUR POWER CABLE IS PLUGGED" nocase ascii
wide
\$msg05 = "your important files are encrypted" ascii wide
\$msg06 = "Your personal installation key" nocase ascii wide
\$msg07 = "worth of Bitcoin to following address" nocase ascii wide
\$msg08 = "CHKDSK is repairing sector" nocase ascii wide
\$msg09 = "Repairing file system on " nocase ascii wide
\$msg10 = "Bitcoin wallet ID" nocase ascii wide
\$msg11 = "wowsmith123456@posteo.net" nocase ascii wide
\$msg12 = "1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX" nocase ascii wide
\$msg_pcre = /(en\|de)crypt(ion\|ed\\.)/

// FUNCTIONALITY, APIS
\$functions01 = "need dictionary" nocase ascii wide
\$functions02 = "comspec" nocase ascii wide
\$functions03 = "OpenProcessToken" nocase ascii wide
\$functions04 = "CloseHandle" nocase ascii wide
\$functions05 = "EnterCriticalSection" nocase ascii wide
\$functions06 = "ExitProcess" nocase ascii wide
\$functions07 = "GetCurrentProcess" nocase ascii wide
\$functions08 = "GetProcAddress" nocase ascii wide
\$functions09 = "LeaveCriticalSection" nocase ascii wide
\$functions10 = "MultiByteToWideChar" nocase ascii wide
\$functions11 = "WideCharToMultiByte" nocase ascii wide
\$functions12 = "WriteFile" nocase ascii wide
\$functions13 = "CoTaskMemFree" nocase ascii wide
\$functions14 = "NamedPipe" nocase ascii wide
\$functions15 = "Sleep" nocase ascii wide // imported, not in strings

// COMMANDS
// -- Clearing event logs & USNJrnl
\$cmd01 = "wevtutil cl Setup" ascii wide nocase
\$cmd02 = "wevtutil cl System" ascii wide nocase
\$cmd03 = "wevtutil cl Security" ascii wide nocase
\$cmd04 = "wevtutil cl Application" ascii wide nocase
\$cmd05 = "fsutil usn deletejournal" ascii wide nocase
// -- Scheduled task
\$cmd06 = "schtasks " nocase ascii wide
\$cmd07 = "/Create /SC " nocase ascii wide
\$cmd08 = " /TN " nocase ascii wide
\$cmd09 = "at %02d:%02d %ws" nocase ascii wide
\$cmd10 = "shutdown.exe /r /f" nocase ascii wide
// -- Sysinternals/PsExec and WMIC
\$cmd11 = "-accepteula -s" nocase ascii wide
\$cmd12 = "wmic"
\$cmd13 = "/node:" nocase ascii wide
\$cmd14 = "process call create" nocase ascii wide

condition:
(uint16(0) == 0x5A4D)
and 3 of (\$dmap\*)
and 2 of (\$msg\*)
and 9 of (\$functions\*)
and 7 of (\$cmd\*)
}

## Marqueurs

Les éléments suivants sont identifiés en source ouverte comme étant de
possibles marqueurs de compromission.

    71b6a493388e7d0b40c83ce903bc6b04
    0df7179693755b810403a972f4466afb
    42b2ff216d14c2c8387c8eabfb1ab7d0
    e285b6ce047015943e685e6638bd837e
    e595c02185d8e12be347915865270cca
    3b7331b99da80dcb5a0f5c14d384b49c
    3d451bcaa800833115abf90c0954ac3b
    710bd936a07bd3b146bdb170c317438c
    8a241cfcc23dc740e1fadc7f2df3965e
    9ed3bdaeb95e1084db73f39414b4f2b9
    a92f13f3a1b3b39833d3cc336301b713
    af2379cc4d607a45ac44d62135fb7015
    b968c302c6fd56bbf7da3cc72bb31fa6
    d0a0e16f1f85db5dfac6969562923576
    e068ee33b5e9cb317c1af7cecc1bacb5
    f11998e3849632b67a45a7186523f682
    0487382a4daf8eb9660f1c67e30f8b25
    415fe69bf32634ca98fa07633f4118e1

L'ANSSI confirme que les empreintes md5 suivantes sont liées à la
campagne en cours :

    71b6a493388e7d0b40c83ce903bc6b04
    0df7179693755b810403a972f4466afb
    42b2ff216d14c2c8387c8eabfb1ab7d0
    e285b6ce047015943e685e6638bd837e

Le domaine et l'adresse IP suivante sont associés au serveur de mise à
jour du logiciel MeDoc identifié comme ayant distribué une version du
maliciel.

    upd.me-doc.com.ua
    92.60.184.55

## Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises, sans toutefois les éteindre. L'objectif
est de bloquer la poursuite du chiffrement et la destruction des
documents partagés.

Le CERT-FR recommande aussi d'alerter le responsable sécurité ou le
service informatique au plus tôt.

Aussi, le CERT-FR recommande de prendre le temps de sauvegarder les
fichiers importants sur des supports de données isolés. Ces fichiers
peuvent être altérés ou encore être infectés. Il convient donc de les
traiter comme tels. De plus, les sauvegardes antérieures doivent être
préservées d'écrasement par des sauvegardes plus récentes.

Comme le maliciel récupère les mots de passe, il est donc nécessaire de
changer les mots de passe des sauvegardes avant de les restaurer. Si
cela n'est pas possible, on peut aussi changer le mot de passe après la
réinstallation, mais impérativement avant de rebrancher la machine sur
le réseau.

disablesmb1

CERTFR-2015-ACT-004

new-ransomware-old-techniques-petya-adds-worm-capabilities

MS17-010

CERTFR-2017-ACT-019

CERTFR-2017-ACT-016

version initiale ;

mise à jour ;

mise à jour des informations sur le vecteur initial d'infection, ajout de marqueurs, modification des éléments limitant la propagation ;

mise à jour, ajouts de recommandations ;

mise à jour, ajouts de la chronologie de l'infection, retraits des marqueurs réseau ;

mise à jour, modification des mesures réactives, correction d'erreurs, confirmation de la destruction de la clé servant à chiffrer la MFT.

mise à jour, ajout d'un tableau récapitulant les actions du maliciel, ajout de marqueurs.

modifications mineures.

clôture de l'alerte.

correction du marqueur upd.me-doc.com.ua.

Non spécifié par l'éditeur

Summary:
Le CERT-FR constate une recrudescence d'activité de maliciel prenant
l'apparence d'un rançongiciel possédant une forte capacité de
réplication. En particulier, plusieurs échantillons possèdent la
capacité de se propager en utilisant aussi bien des codes d'exploitation
du protocole SMB que des identifiants légitimes volés sur la machine
compromise (à l'aide de PSExec et du protocole WMI).

Cette capacité de propagation multiple rend potentiellement vulnérables
certains réseaux qui, malgré l'application de mises à jour, ne
restreignent pas la latéralisation et l'abus d'identifiants.

Campagne de maliciels prenant l'apparence d'un rançongiciel à multiples capacités de propagation


CCleaner v5.33.6162 sur windows

CCleaner Cloud v1.07.3191 sur windows

## Contournement provisoire

Dans un billet de blogue (cf, section Documentation), Talos explique le
fonctionnement de l'attaque. Lorsque CCleaner.exe est exécuté, la
portion de code malveillante rajoutée par les attaquants est également
lancée. Après une dizaine de minutes, une tentative de connexion est
effectuée pour tenter de télécharger et exécuter une porte dérobée sur
le poste de l'utilisateur.

Afin de déterminer si une machine est infectée, il convient de vérifier
les éléments suivants :
Si une version affectée (cf. section Systèmes affectés) est installée
sur la machine, la présence de la clé de registre Windows
HKLM\\SOFTWARE\\Piriform peut être vérifiée sur le système.
En cas de compromission la machine aura communiqué vers l'adresse ip
216.126.225.148_BAD\_ ou vers l'un des domaines suivants :

-   ab6d54340c1a\[.\]com.\_BAD\_
-   aba9a949bc1d\[.\]com.\_BAD\_
-   ab2da3d400c20\[.\]com.\_BAD\_
-   ab3520430c23\[.\]com.\_BAD\_
-   ab1c403220c27\[.\]com.\_BAD\_
-   ab1abad1d0c2a\[.\]com.\_BAD\_
-   ab8cee60c2d\[.\]com.\_BAD\_
-   ab1145b758c30\[.\]com.\_BAD\_
-   ab890e964c34\[.\]com.\_BAD\_
-   ab3d685a0c37\[.\]com.\_BAD\_
-   ab70a139cc3a\[.\]com.\_BAD\_

Si tel est le cas, la machine doit être considérée comme potentiellement
compromise et restaurée à un état antérieur au 15 août 2017, ou de
préférence complètement ré-imagée.

Une autre preuve de compromission est la présence de la clé de registre
Windows HKLM\\SOFTWARE\\Piriform\\Agomo.

L'éditeur Piriform indique ne pas avoir constaté une exécution de la
porte dérobée et que l'infrastructure de contrôle du code malveillant a
été démantelée.

Toutefois, le code malveillant inclus avec CCleaner a été signé avec la
clé privée de l'éditeur. Cela indique une probable compromission interne
impactant leur chaîne de publication. Une confiance faible doit être
accordée au certificat utilisé par Piriform et tout élément signé par
celui-ci (sha1 : f4bda9efa31ef4a8fa3b6bb0be13862d7b8ed9b0).

Il est possible de placer ce dernier dans la liste des certificats non
autorisés de Windows (cf. section Documentation). Cette action n'est pas
bloquante, l'utilisateur pourra exécuter le programme mais il verra
s'afficher un message d'alerte.

De manière plus restrictive, on peut interdire l'utilisation de tout
programme signé avec un certificat jugé indigne de confiance avec
Applocker (cf. section Documentation).

Le 20 septembre 2017, Talos a publié un second billet (cf. section
Documentation) détaillant l'attaque du point de vue du serveur de
livraison de charge. Le code du serveur web récupéré montre un soucis de
validation des cibles. Cela est renforcé par l'analyse des bases de
données : sur les sept-cent-mille machines s'étant connectées au serveur
entre le 12 et le 16 septembre 2017, seulement une vingtaine
d'entre-elles auraient reçu et vraisemblablement exécuté la charge
secondaire.

Talos fournit les condensats de cette charge et des fichiers
malveillants déposés suite à son exécution :

-   GeeSetup_x86.dll :
    dc9b5e8aa6ec86db8af0a7aa897ca61db3e5f3d2e0942e319074db1aaccfdc83
-   EFACli64.dll :
    128aca58be325174f0220bd7ca6030e4e206b4378796e82da460055733bb6f4f
-   TSMSISrv.dll :
    07fb252d2e853a9b1b32f30ede411f2efbb9f01e4a7782db5eacf3f55cf34902
-   f0d1f88c59a005312faad902528d60acbf9cd5a7b36093db8ca811f763e1292a

Le dernier condensat correspond à une porte dérobée dont l'utilité est
de récupérer d'autres binaires malveillants. Celle-ci est stockée dans
la base de registre de Windows, de manière encodée, dans les clés
suivantes:

-   HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\WbemPerf\\001
-   HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\WbemPerf\\002
-   HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\WbemPerf\\003
-   HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\WbemPerf\\004

Les 21 et 25 septembre 2017, Avast a publié deux billets (cf. section
Documentation) dans lesquels sont détaillées les analyses des fichiers
trouvés sur le serveur de commande-et-contrôle. Avast annonce avoir
reconstitué presque entièrement la base de données des attaquants.

Selon eux, pendant la période du 18 août au 15 septembre 2017, les
attaquants ont enregistrés 5 686 677 connexions provenant de 1 646 536
machines distinctes. Toutefois, seulement une quarantaine de postes
auraient téléchargé et exécuté la charge secondaire.

La disproportion entre le vecteur massif de propagation et le nombre de
victimes potentielles renforce le caractère ciblé de l'attaque.
Avast fournit également d'autres indicateurs de compromission :

-   a414815b5898ee1aa67e5b2487a11c11378948fcd3c099198e0f9c6203120b15
-   7ac3c87e27b16f85618da876926b3b23151975af569c2c5e4b0ee13619ab2538
-   4ae8f4b41dcc5e8e931c432aa603eae3b39e9df36bf71c767edb630406566b17
-   b3badc7f2b89fe08fdee9b1ea78b3906c89338ed5f4033f21f7406e60b98709e
-   a6c36335e764b5aae0e56a79f5d438ca5c42421cae49672b79dbd111f884ecb5
-   216.126.225.163_BAD\_ (adresse ip du serveur secondaire de
    commande-et-contrôle)
-   get.adoble\[.\]com.\_BAD\_
-   https://github\[.\]com/search?q=joinlur&type=Users&u=✓.\_BAD\_
-   https://en.search.wordpress\[.\]com/?src=organic&q=keepost.\_BAD\_
-   ab8cee60c2d\[.\]com.\_BAD\_
-   ab1145b758c30\[.\]com.\_BAD\_
-   ab890e964c34\[.\]com.\_BAD\_
-   ab3d685a0c37\[.\]com.\_BAD\_
-   ab70a139cc3a\[.\]com.\_BAD\_
-   ab3c2b0d28ba6\[.\]com.\_BAD\_
-   ab99c24c0ba9\[.\]com.\_BAD\_
-   ab2e1b782bad\[.\]com.\_BAD\_
-   ab253af862bb0\[.\]com.\_BAD\_
-   ab2d02b02bb3\[.\]com.\_BAD\_
-   ab1b0eaa24bb6\[.\]com.\_BAD\_
-   abf09fc5abba\[.\]com.\_BAD\_
-   abce85a51bbd\[.\]com.\_BAD\_
-   abccc097dbc0\[.\]com.\_BAD\_
-   ab33b8aa69bc4\[.\]com.\_BAD\_
-   ab693f4c0bc7\[.\]com.\_BAD\_
-   ab23660730bca\[.\]com.\_BAD\_

Configurer des racines de confiance et des certificats non autorisés

Billet de blogue Morphisec

Billet de blogue Talos

Annonce Avast

Billet de blogue Avast

Billet de blogue Talos

note technique ANSSI Applocker

Billet de blogue Avast

Billet de blogue Intezer

version initiale.

ajout de liens et de recommandations sur le bloquage d'applications par certificat.

ajout de nouveaux liens et indicateurs de compromission.

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Le 18 septembre 2017, un représentant de Piriform
CCleaner a annoncé que depuis le 15 août 2017, CCleaner et
CCleaner Cloud contenaient une portion de code malveillant permettant de
télécharger une porte dérobée sur le poste des utilisateurs.

Présence de code malveillant dans Piriform CCleaner

Bulletin de sécurité Piriform du 18 septembre 2017


La vulnérabilité affectant le protocole de sécurisation des échanges utilisant le mécanisme Wi-Fi Protected Access (WPA), de nombreux systèmes sont impactés. Une liste exhaustive est disponible dans la section documentation de cette alerte.

La vulnérabilité touche entre autres les systèmes suivants :

Windows

Linux

Android

Apple

## Solution

Le CERT-FR recommande plusieurs mesures afin de limiter l'impact de
cette vulnérabilité :

-   mettre à jour régulièrement tout système se connectant au réseau
    Wi-Fi (Systèmes industriels, objets connectés, ordiphones, postes
    clients, répéteurs Wi-Fi), en s'appuyant sur la liste des systèmes
    affectés ci-dessous ;
    [https://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=2285](https://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=228519&SearchOrder=4)
-   privilégier les protections de type TLS ou VPN pour assurer
    l'intégrité et la confidentialité des données échangées sur les
    réseaux Wi-Fi ;
-   configurer les équipements Wi-Fi pour imposer l'utilisation de WPA2
    (et non pas WPA) et AES-CCMP (et non pas TKIP) ; cette
    recommandation ne permet pas de se prémunir contre une potentielle
    écoute d'une communication mais empêche le vol de la clé de session
    Wi-Fi ;
-   désactiver ou filtrer le trafic *multicast* ; ce type de trafic
    rendant les systèmes *Microsoft* et *Apple* vulnérables ;
-   faire un inventaire et une analyse de risque des systèmes utilisant
    un réseau Wi-Fi, notamment des systèmes cités plus haut, afin de
    désactiver si possible le service Wi-Fi.

Le CERT-FR, dans le cadre de cette alerte, rappelle les bonnes pratiques
suivantes :

-   assurer une veille des publication des correctifs de sécurité des
    composants cités *supra* ;
-   sensibiliser les utilisateurs, notamment ceux particulièrement
    ciblés et manipulant des informations sensibles, aux risques liés à
    l'utilisation du réseau Wi-Fi (public ou non)

Avis CERT-FR CERTFR-2017-AVI-357 Vulnérabilité dans Microsoft Windows sur le protocole WPA/WPA2

Avis CERT-FR CERTFR-2017-AVI-373 Multiples vulnérabilités dans RedHat wpa_supplicant

Liste des systèmes affectées par la vulnérabilité WPA2

Guide de l'ANSSI "sécuriser les accès WI-FI"

Avis CERT-FR CERTFR-2017-AVI-360 Multiples vulnérabilités dans les produits Fortinet utilisant le protocole WPA/WPA2

Avis CERT-FR CERTFR-2017-AVI-361 Multiples vulnérabilités dans les produits Juniper utilisant le protocole WPA/WPA2

Avis CERT-FR CERTFR-2017-AVI-358 Multiples vulnérabilités dans Debian sur le protocole WPA/WPA2

Avis CERT-FR CERTFR-2017-AVI-359 Multiples vulnérabilités dans Ubuntu wpa_supplicant et hostpad

Avis CERT-FR CERTFR-2017-AVI-363 Multiples vulnérabilités dans SUSE wpa_supplicant

Version initiale

Ajout de bulletins relatifs à la vulnérabilité WPA/WPA2

Atteinte à l'intégrité des données

Atteinte à la confidentialité des données

Summary:
Plusieurs vulnérabilités ont été découvertes dans WPA/WPA2. Il est
possible lors de l'établissement d'une session de communication
utilisant le protocole WPA/WPA2 d'interférer sur le mécanisme en quatre
temps visant à assurer la confidentialité des échanges. Lors de cette
phase d'initialisation, un utilisateur malveillant interceptant les
communications entre un client et un point d'accès Wi-fi, peut amener le
client à réutiliser des paramètres entrant en compte dans le chiffrement
des données échangées. Cela peut permettre à un attaquant de provoquer
une atteinte à la confidentialité ou à l'intégrité des données.

Par ailleurs, l'implémentation du protocole dans les logiciels
wpa_supplicant rend l'exploitation de la vulnérabilité particulièrement
aisée. Dans ces conditions il est notamment possible de rejouer des
paquets réseau, d'injecter du contenu vers un client connecté en Wi-Fi
et d'accéder à des communications confidentielles.

Si tous les clients utilisants WPA/WPA2 sont vulnérables à cette
attaque, les objets connectés, les appareils sous Linux et Android sont
particulièrement sensibles de par l'utilisation native de
wpa_supplicant.

On notera qu'afin de pouvoir réaliser ces attaques sur WPA/WPA2 un
attaquant doit nécessairement être à proximité du réseau Wi-Fi cible. De
plus, il est à noter que ces attaques ne compromettent pas la clé Wi-Fi
et qu'une modification de cette clé ne permet pas de se prémunir de
l'attaque.

Des informations complémentaires seront ajoutées à la présente page.

Vulnérabilité dans le protocole WPA/WPA2

Page internet décrivant l'attaque sur le protocole WPA/WPA2


Bibliothèque RSA Infineon version v1.02.013

Infineon TPM "Trusted Platform Module"

## Solution

Le CERT-FR recommande l'application des correctifs de sécurité pour les
TPM vulnérables ainsi que la génération de nouvelles clés
cryptographiques et la révocation des clés précédemment générées.

Les correctifs des micrologiciels des TPM doivent être récupérés auprès
du constructeur du système considéré. Un lien vers une liste
non-exhaustive de logiciels et matériels impactés est disponible à la
section Documentation.

L'ensemble des données chiffrées avec des clés faibles doivent être
déchiffrées puis rechiffrées avec de nouvelles clés. Le surchiffrement
des données peut être envisagé mais alourdira la manipulation de données
chiffrées.

Les données signées avec des clés faibles doivent être signées avec de
nouvelles clés.

Chaque infrastructure de gestion de clé doit faire l'objet d'une
attention spécifique, pour identifier si les certificats émis sont
vulnérables. Dans les environnements Microsoft, l'usage de clés faibles
dans un domaine *Active Directory* ou par *Bitlocker* conduit à une
niveau de sécurité particulièrement bas.

## Contournement provisoire

Les chercheurs ont publié sur le site internet github.com un outil
permettant de tester si une clé RSA est vulnérable (voir section
documentation). L'outil supporte plusieurs formats d'entrée (X509 DER ou
PEM, clés SSH, clés PGP...). Le test peut s'effectuer à partir d'une clé
privée ou d'une clé publique.

Le CERT-FR recommande de générer de nouvelles paires de clés RSA, de
taille minimum 3072 bits, en utilisant des bibliothèques non vulnérables
et de révoquer les clés qui auraient pu être générées par cette
bibliothèque. Cette taille de clé est recommandée dans l'annexe B1 du
RGS.

Plusieurs éditeurs de logiciels utilisant des TPM ont mis en place une
solution de contournement, disponible par mise à jour de ces logiciels.
De manière générale, ces solutions permettent la génération de clés de
manière logicielle à la place de l'utilisation du TPM. Ces solutions ne
permettent pas de corriger la faiblesse de clés déjà générées. Seule la
mise à jour du micrologiciel du TPM permettra le retour à une situation
normale. Dans le cas particulier de Windows, un des correctifs de
sécurité d'octobre ajoute une journalisation lors de l'usage d'un TPM
vulnérable. Cette possibilité facilite l'identification des matériels
vulnérables.

Article de presse d'Ars Technica du 16 octobre 2017

Liste des matériels et logiciels vulnérables

Annexe B1 du RGS

Cas d'usage dans les environnements Windows, contournements provisoires et définitifs

Outil permettant la détection de clés vulnérables

Version initiale

Complément d'information sur les correctifs

Atteinte à l'intégrité des données

Summary:
Le 16 octobre 2017, des chercheurs de l'université Masaryk (République
Tchèque), ont publié un article sur la découverte d'une vulnérabilité
dans la bibliothèque RSA développée par Infineon.

Leurs travaux seront présentés le 2 novembre 2017 à la conférence "ACM
Conference on Computer and Communcations Security". D'après les
chercheurs, un problème dans la génération du couple clé privée/publique
permet de retrouver la clé privée à partir de la clé publique
uniquement. Cette attaque est applicable en pratique et peu coûteuse
(76\$ pour une clé de 1024 bits et 40300\$ pour une clé de 2048 bits).
Les systèmes affectés sont nombreux et comptent notamment des TPMs, des
clés de chiffrement Bitlocker, des certificats TLS, des clés PGP ou SSH
ou encore des cartes à puce.

Vulnérabilités dans la bibliothèque Infineon RSA

Article du centre pour la recherche en cryptographie et sécurité (CRoCS)


Tous les systèmes d'exploitations Windows peuvent être victimes de ce logiciel malveillant.

Billet de blogue RiskIq

Billet de blogue Talos

Billet de blogue FireEye

Bulletin de sécurité Microsoft MS17-10

Annonce de Microsoft suite à la diffusion de codes d'attaques par le groupe Shadowbrokers

Bonnes pratiques

Billet de blogue EndGame

Billet de blogue Kaspersky

Billet de blogue ESET

Version initiale

Ajout d'éléments techniques

Installation du rançongiciel bad rabbit et chiffrement des données

Summary:
Le 24 octobre 2017, le CERT-FR a constaté une vague de distribution de
rançongiciel, *Bad Rabbit*, principalement localisée en Russie et dans
des pays d'Europe de l'Est.

*Bad Rabbit* partage des portions de code avec *Petya* et *NotPetya*.
Pour rappel, *NotPetya* a infecté de nombreuses machines en juin 2017.

Cependant, dans les cas constatés d'infection initiale, *Bad Rabbit*
n'exploite aucune vulnérabilité pour s'installer. Des sites légitimes
compromis ont servi un script javascript redirigeant les utilisateurs
vers un serveur contrôlé par l'attaquant. De là, l'attaquant a incité
les utilisateurs à installer le maliciel en se faisant passer pour une
mise à jour Adobe Flash Player. Si l'utilisateur a explicitement
accepté, le fichier *install_flash_player.exe* était téléchargé. Dans
les cas observés, l'utilisateur devait alors manuellement lancer
l'exécution de ce binaire. Ensuite, si l'utilisateur possédait les
privilèges administrateurs, la machine était considérée infectée.

*Install_flash_player.exe* dépose sur le disque
*C:\\Windows\\infpub.dat* et l'exécute par le biais de *rundll32.exe*
avec les arguments \#1 et 15. \#1 est l'ordinale de la table d'export
servant de point d'entrée et 15 le nombre de minutes avant de lancer la
procédure de chiffrement du disque.  *Infpub.dat* crée deux tâches
planifiées. La première est chargée de lancer *discpci.exe*, dont le
rôle est de modifier le *Master Boot Record* (MBR), afin de pouvoir
afficher la note de rançon au prochain démarrage. *Discpci.exe*
communique aussi avec le pilote de *DiskCryptor (*ici* cscc.dat*), un
logiciel de chiffrement disponible en source ouverte. La deuxième tâche
planifiée sert à redémarrer le système et effacer certains événements
des journaux. Après au plus dix-huit minutes (15 plus 3) , la procédure
de chiffrement des fichiers avec des extensions choisies se
lance. Contrairement à *NotPetya*, il semblerait techniquement possible
de pouvoir déchiffrer les fichiers une fois la clé AES récupérée. *Bad
Rabbit* tente également de récupérer des mots de passe administrateurs
en mémoire avec une variante de *Mimikatz.*

Pour se propager dans le réseau interne, *Bad Rabbit* envoie des
requêtes ARP et se fie aux réponses afin de se construire une liste des
hôtes présents. Pour chacune de ces adresses, des tentatives de
connexion sont effectuées par le biais de requêtes SMB en testant une
liste de noms d'utilisateurs/mots de passe couramment utilisés. Si ces
tentatives échouent, *Bad Rabbit* cherche à exploiter la vulnérabilité
*EternalRomance*, corrigée au mois de mars 2017 par Microsoft (cf.
section Documentation).

*Bad Rabbit* et *NotPetya* possèdent des similitudes au niveau du code
ainsi qu'au niveau de l'infrastructure de livraison. Toutefois, une
différence fondamentale peut expliquer la différence d'impact.
*NotPetya* était injecté dans le réseau interne par le biais d'une mise
à jour d'un logiciel dit de confiance. A l'inverse, *Bad Rabbit*
requiert une action utilisateur, sinon rien ne se passe. Au niveau de la
latéralisation, *Bad Rabbit* est également moins virulent.

Le respect des bonnes pratiques, notamment le guide d'hygiène
informatique de l'ANSSI (cf. section Documentation) permet de
neutraliser ces vecteurs d'infection.

A ce jour, le CERT-FR n'a pas connaissance de victimes françaises.

Liste de sites légitimes compromis :

-   hxxp://argumentiru\[.\]com
-   hxxp://www.fontanka\[.\]ru
-   hxxp://grupovo\[.\]bg
-   hxxp://www.sinematurk\[.\]com
-   hxxp://www.aica.co\[.\]jp
-   hxxp://spbvoditel\[.\]ru
-   hxxp://argumenti\[.\]ru
-   hxxp://www.mediaport\[.\]ua
-   hxxp://blog.fontanka\[.\]ru
-   hxxp://an-crimea\[.\]ru
-   hxxp://www.t.ks\[.\]ua
-   hxxp://most-dnepr\[.\]info
-   hxxp://osvitaportal.com\[.\]ua
-   hxxp://www.otbrana\[.\]com
-   hxxp://calendar.fontanka\[.\]ru
-   hxxp://www.grupovo\[.\]bg
-   hxxp://www.pensionhotel\[.\]cz
-   hxxp://www.online812\[.\]ru
-   hxxp://www.imer\[.\]ro
-   hxxp://novayagazeta.spb\[.\]ru
-   hxxp://i24.com\[.\]ua
-   hxxp://bg.pensionhotel\[.\]com
-   hxxp://ankerch-crimea\[.\]ru

Serveur de livraison de charge :

-   hxxp://1dnscontrol\[.\]com/flash_install.php_BAD.
-   hxxp://1dnscontrol\[.\]com/index.php_BAD.

Fichiers malveillants:

-   fbbdc39af1139aebba4da004475e8839 – install_flash_player.exe
-   1d724f95c61f1055f0d02c2154bbccd3 – C:\\Windows\\infpub.dat
-   b14d8faf7f0cbcfad051cefe5f39645f – C:\\Windows\\dispci.exe

Campagne de rançongiciel Bad Rabbit


Exim version 4.88

Exim version 4.89

## Contournement provisoire

Un contournement provisoire a été identifié par l'un des développeurs et
consiste à intégrer la variable suivante dans la section principale de
la configuration d'Exim :

    chunking_advertise_hosts =

Cette variable doit être vide, c'est à dire que rien ne doit suivre le
caractère "=" de cette ligne. L'extension ESMTP CHUNKING qui active
l'en-tête vulnérable est ainsi désactivée.

Il est nécessaire de recharger la configuration d'Exim une fois cette
modification réalisée.

Contournement provisoire

Rapport de bug

Version initiale

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Le 23 novembre 2017, un rapport de bogue a été publié sur le système de
suivi d'anomalies de fonctionnement du logiciel Exim. Ce rapport fait
état de la découverte d'une vulnérabilité de type *Use-After-Free.*
Cette vulnérabilité déclenchée lors de l'analyse d'entêtes de courriels
permettrait la prise de contrôle du système à distance.*
*

Une preuve de concept est attachée au rapport de bogue. Ce dernier,
minimaliste, permet de détourner le flux d'exécution du programme vers
une adresse spécifié par l'attaquant. Il se peut qu'un code
d'exploitation complet soit développé dans les jours à venir.

Un correctif a été developpé et la publication de la nouvelle version du
logiciel Exim incluant le correctif est imminente.

Vulnérabilité dans le serveur de messagerie Exim


MacOS High Sierra

## Solution

Le 29 novembre 2017, Apple a publié un correctif de sécurité adressant
cette vulnérabilité.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Apple a publié une fiche de support détaillant la procédure pour activer
le compte *root* sur Mac \[2\].

L'activation de cette utilisateur avec un mot de passe défini rend en
effet impossible l'exploitation de la vulnérabilité décrite
précédemment. Il est aussi possible de modifier le mot de passe du
compte *root* en utilisant la commande suivante:

\[pastacode lang="bash" manual="sudo%20passwd%20-u%20root" message=""
highlight="" provider="manual"/\]

Bulletin Apple HT204012 concernant l'activation de l'utilisateur root

Avis CERT-FR CERTFR-2017-AVI-435 Vulnérabilité dans Apple macOS High Sierra

Version initiale

Version initiale

Ajout d'un lien vers l'avis relatif au correctif de l'éditeur

Élévation de privilèges

Summary:
Le 28 novembre 2017, un *tweet* annonçant la découverte d'une
vulnérabilité dans MacOS High Sierra était publié par Lemi Orhan Ergin
\[1\].

Cette vulnérabilité permet à un utilisateur d'augmenter ses privilèges à
ceux de l'utilisateur *root*. Il est en effet possible sur un système
MacOS High Sierra vulnérable n'ayant pas activé le compte *root* de se
connecter en tant que cet utilisateur en fournissant un mot de passe
vide.

D'autre part, il semble possible d'exploiter cette vulnérabilité à
distance au travers d'une connexion VNC.

Vulnérabilité dans Apple MacOS High Sierra

Tweet de Lemi Orhan Ergin du 28 novembre annonçant la découverte de la vulnérabilité