Discussion :

[Cedric Chevalier]

Sécurité : un nouveau malware cible principalement les serveurs Tomcat
les administrateurs sont invités à renforcer le niveau de sécurité

Certains serveurs Apache Tomcat ont été récemment victimes d’un nouveau malware baptisé « Java.Tomdep », identifié pour la première fois par le cabinet de sécurité Symantec.

Le nouveau malware a un comportement atypique. En effet, au lieu de cibler les ordinateurs des utilisateurs comme on s’y attendrait certainement, Java.Tomdep cible principalement les serveurs.

Pour quel but ? Ce pourrait bien être un point de départ pour des attaques de types DDOS, selon Symantec. Rien n’est moins sûr.

Concrètement, l’infection se propage à partir d’un serveur déjà sous le contrôle du malware. Le mode opératoire est simple : en essayant les combinaisons élémentaires de noms d’utilisateur et mots de passe faibles (admin:admin, tomcat:tomcat, root:root), le malware infecte les autres serveurs et le cycle recommence.

Pour l’instant, le nombre de serveurs répertoriés n’est pas important. Cependant, rien n’exclut le fait qu’il soit plus significatif. En effet, la plupart des serveurs n’utilisent pas des solutions antivirus. « À notre connaissance, très peu de serveurs sont infectés par Java.Tomdep. Toutefois, les chiffres peuvent être réellement plus importants, puisque la plupart des serveurs n’utilisent pas de solutions antivirus. Espérons que le faible taux de victimes ne soit pas dû à cela. », peut-on lire sur la page officielle du projet.

Comme contre mesure, Symantec recommande vivement d’appliquer les correctifs récents pour Tomcat, de mettre à jour les solutions antivirus, et surtout d’utiliser une combinaison de nom d’utilisateur et mot de passe fort pour les administrateurs.

Source : Symantec

Et vous ?

Est-il concevable que des administrateurs utilisent des combinaisons de mots de passe et noms d'utilisateur aussi prévisibles ?

[Traroth2]

En même temps, si on part du principe que le compte admin est protégé par un mot de passe très faible, presque n'importe quel système serveur est vulnérable. Ca tient plus du problème humain que de la vulnérabilité technique. En fait, je ne vois pas tellement en quoi appliquer les derniers correctifs à Tomcat va changer quoi que ce soit. Si on pouvait donner un conseil aux administrateurs, ça serait plutôt de mettre un mot de passe un peu costaud à toutes les machines accessibles reliées à Internet, y compris les serveurs de développement, de recette, etc.

[abriotde]

Le virus ne fait certainement pas que tester les mot de passe, il va aussi exploiter les failles de sécurités facile. Et un mot de passe fort doit aussi exister au sein d'un réseau sécurisé. Il n'est souvent pas vraiment difficile de compromettre un réseau sécurisé grâce a un utilisateur... Si le réseau est sécurisé c'est pour ajouter une couche de protection pas seulement pour avoir une seul couche de sécurité.

[benratti]

Pour l’instant, le nombre de serveurs répertoriés n’est pas important. Cependant, rien n’exclut le fait qu’il soit plus significatif. En effet, la plupart des serveurs n’utilisent pas des solutions antivirus. « À notre connaissance, très peu de serveurs sont infectés par Java.Tomdep. Toutefois, les chiffres peuvent être réellement plus importants, puisque la plupart des serveurs n’utilisent pas de solutions antivirus. Espérons que le faible taux de victimes ne soit pas dû à cela. », peut-on lire sur la page officielle du projet.

Perso, je n'ai jamais vu de serveur tomcat en prod avec l'application manager déployé voir même exposé. Je pense que c'est plutot ça qui fait que peu de serveurs touchés par ce malware sont répertoriés...

Ca me gène toujours le type de discours de Symantec ou autre éditeur de solution anti-virus... Leur job, c'est de vendre des licences d'anti-virus, donc quelle crédibilité peut on apporter à ce type de déclaration ? C'est un peu comme si prenait les paroles des commerciaux que je connais pour parole d'évangile.

Est-il concevable que des administrateurs utilisent des combinaisons de mots de passe et noms d'utilisateur aussi prévisibles ?

oui, c'est du déjà vu en ce qui me concerne.

[Traroth2]

Le virus ne fait certainement pas que tester les mot de passe, il va aussi exploiter les failles de sécurités facile. Et un mot de passe fort doit aussi exister au sein d'un réseau sécurisé. Il n'est souvent pas vraiment difficile de compromettre un réseau sécurisé grâce a un utilisateur... Si le réseau est sécurisé c'est pour ajouter une couche de protection pas seulement pour avoir une seul couche de sécurité.

C'est quand même un peu de la spéculation, ça, "ne fait certainement pas que"...

[amaillere]

Sur les dernières version de Tomcat, la webapp d'admin n'est plus déployée par défaut, ce qui tue dans l'oeuf cette brèche.
Il faut quand même être un peu négligent pour être menacé. Soit apache httpd en frontal ne monte que les URIs des applis métiers, soit on supprime la webapp d'admin.
Le mot de passe "fort" n'est en l'occurrence pas une vraie solution.