FIC 2013 : Scada, Internet, cyberguerre, la découverte de vieux dangers

Sécurité des banques : Le second facteur se fait sonner deux fois

Les authentifications à double facteur ne sont pas (contrairement à certaines croyances) totalement inviolables. Paul Ducklin, sur le blog Nacked Security (Sophos) nous explique comment deux escrocs natifs de Bombay et de Dehli sont parvenus à battre en brèche le système à double facteur cryptogramme/SMS qualifié d’ « authentification forte complémentaire » par les banques de notre pays.

La technique utilisée était simple : après une enquête portant sur l’environnement et les habitudes de la victime (données généralement achetées auprès de filières mafieuses Nigérianes), les escrocs usurpaient son identité pour pouvoir demander à son opérateur de téléphonie un double de sa carte SIM, en prétextant une perte involontaire. Carte, on s’en doute, interceptée dans la boîte à lettre du légitime propriétaire.

Une fois en possession de ce sésame, les deux truands ouvraient un faux compte en banque au nom de la victime (récupérant au passage un nouveau cryptogramme) et se lançaient dans une course aux achats avant que le légitime propriétaire du téléphone ne s’aperçoive du blocage de sa carte Sim prétendument perdue.

Et encore, précise Ducklin, à condition que l’opérateur télécom accepte d’intervenir. L’une des victimes s’est vue accuser d’escroquerie pas son épicier de la minute de communication pour avoir demandé un nouveau changement de SIM à un intervalle trop rapproché du précédent, changement qu’il aurait « lui-même » autorisé. 

Ce schéma de fonctionnement, relativement simple, a permis aux deux escrocs de voler l’équivalent de 30 000 euros… « seulement » pourrait-on ajouter. Il est fort probable que de telles pratiques soient en usage en Europe, puisque des faits semblent remonter à plusieurs années et que l’enseignement de ces techniques passe généralement très rapidement les frontières.

Hacktivisme : Fail de Faux faffiots facilement fabriqués

François Paget (Avert Lab) revient sur l’un des volets de l’étude prospective 2013 sur les cybermenaces publiée par McAfee. Un volet qui aborde l’influence probablement déclinante du mouvement Anonymous, principalement en raison de la dégradation et du délitement de l’image de marque du mouvement. Un délitement relativement facile à prévoir, comparable, d’un point de vue historique, au mouvement anarchiste Prudhomien : sans ligne de parti ni dieu, ni maître (et par conséquent sans organisation politique structurée, porte-parole officiel et comité directeur), il est impossible de juguler les dérives extrémistes et les abus de certains profiteurs dont les excès viennent faisander la pureté originelle du mouvement (ou prétendue telle). 

Et François Paget de citer à titre d’exemple un « Anonymous » ayant ouvert boutique spécialisée dans les faux papiers « compatibles administration Française » : permis de conduire, quittances de loyer, carte d’identité, carte grise, on est véritablement là au cœur d’un commerce mafieux et le fait qu’il se pratique sur Internet ne lui permet pas d’échapper à l’article 441-1 et suivants du Code Pénal. 

On notera au passage une légère érosion des prix pratiqués sur le créneau du « faux faff ». Il y a trois ans, notre confrère Damien Bancal écrivait un article sur cette industrie naissante et mentionnait quelques tarifs : carte d’identité à 700 euros, permis de conduire à 500 euros, quittance EDF à 60 euros. L’Anonymous-truand que dénonce François Paget propose la carte d’identité et le permis à 340 euros et la quittance EDF à 50.

On ne peut que constater une certaine érosion sur les articles de luxe. En 1962, Michel Audiard écrivait «Le faux talbin, Messieurs, est un travail qui se fait dans le feutré». Le faux faff également. Les archers de la taille douce en patatogravure et de la Marianne en linoléum guilloché n’étaient connus que des hommes du mitan.

Avec l’arrivée d’Internet, des imprimantes à sublimation, des hologrammes en bandes prédécoupées et des plastifieuses de supermarché, le métier se perd, la tradition fout le camp et le respect dû aux vieux travailleurs et aux artistes du cousu-main s’évanouit.

Backdoor Baracuda : G.a.*

Une porte dérobée (accès ssh) a été découverte dans certains équipements Baracuda par les chercheurs de Sec Consult. « Several undocumented operating system user accounts exist » précise l’alerte du laboratoire Autrichien. Comptes burinés dans les entrailles les plus profondes du silicium et qui « ne pourraient être désactivés ».

Baracuda, pour sa part, éclaire la chose d’une manière très différente et parle de « mots de passe liés aux configurations par défaut ». Un fichier correctif colmate en grande partie les risques liés à cet état. Le Sans a immédiatement répercuté l’alerte, tandis que Brian Krebs s’est intéressé à la persistance de cette mauvaise configuration.

Tout laisse à penser, estime Krebs, que ces vulnérabilités existent au moins depuis 2003. Outre ces trous dont on ne sait s’ils ont été prévus à des fins de télémaintenance, de contrôle de parc ou de barbouzerie, les chercheurs Autrichiens ont relevé plusieurs plages de ports réservés, certains d’entre eux étant situés dans des segments « privés non routables », d’autres, entre 205.158.110.0 et 216.129.105.0, ouvrant vers le réseau public.

* NDLC Note de la correctrice : De Voltaire à Frédéric le Grand, se prononce «G grand, A petit»… voir NDLC de l’article sur les backdoor Skype

Backdoor Skype : 6/100 *

Douche écossaise pour Skype qui, en moins d’une semaine, essuie deux revers. L’un purement viral, l’autre essentiellement politique.

Le revers viral est notamment révélé par Trend Labs, qui décortique deux virus-vers capables d’être véhiculés par Skype. L’un de ces malwares fait partie intégrante du tristement célèbre Shylock, l’un des « trojan banker » voleur de crédences le plus répandu dans le cyberespace ces jours-ci. Une vulnérabilité et une exploitation active qui tombent fort mal, puisque ces derniers jours, Microsoft lance une campagne pressant les usagers de Messenger d’abandonner leur ancien IM et de migrer sous Skype.

Certes, Messenger n’est pas un parangon de sécurité et nombreux sont les malwares capables de propager des url faisandées via cet outil de communication. Mais abandonner un vieux navire dont on connaît le moindre défaut pour s’embarquer sur une embarcation que l’on sait activement exploitée par des infections n’est pas franchement rassurant.

Mais plus que ces considérations infectieuses, c’est, une fois encore, le soupçon de l’existence de multiples backdoors qui turlupine un groupe de personnalités de la presse ainsi que diverses associations de défense des libertés individuelles. Lesquels ont formé une sorte de comité de salut public et écrit une lettre ouverte aux principaux responsables de Microsoft en général et de la division Skype en particulier. Lettre qui demande instamment des clarifications sur les soupçons de portes dérobées pouvant se trouver dans le code de ce programme utilisé par plus de 600 millions de personnes de par le monde.

Et de citer en exemple les politiques de transparence pratiquées notamment par Google, Twitter ou Sonic.net. Les promesses n’engageant que ceux qui font l’erreur d’y croire, on peut se demander à quoi peut bien servir un tel Dazi Bao. Probablement n’est-ce là qu’une manière comme une autre de prévenir les usagers qu’un risque existe et que, quel que soient les réponses que Microsoft daignera apporter, la confidentialité des propos tenus via Skype n’est en aucun cas meilleure que celle garantie par une liaison GSM.Le nombre de services officiels et de « plombiers officieux » susceptibles de fliquer les conversations est simplement légèrement plus élevé dans l’un des deux cas.

*NDLC Note de la correctrice : lire «cent sous six». Rébus de Frédéric le Grand à Voltaire (venez souper à Sans Soucis) auquel François Marie Arouet répondit par un «j’ai grand appétit».