1 pièce(s) jointe(s)
Microsoft prévient qu'un bogue Windows "wormable" pourrait conduire à un autre WannaCry
Microsoft prévient qu'un bogue Windows "wormable" pourrait conduire à un autre WannaCry,
les utilisateurs d'anciennes versions doivent appliquer le patch de toute urgence
Microsoft invite les utilisateurs d'anciennes versions de Windows à appliquer de toute urgence une mise à jour Windows aujourd'hui afin de se protéger contre une éventuelle attaque généralisée. L’éditeur a corrigé une vulnérabilité critique d'exécution de code à distance dans les Remote Desktop Services (une architecture centralisée qui permet à un utilisateur de se connecter sur un ordinateur distant utilisant Microsoft Terminal Services. Il utilise Remote Desktop Protocol pour l'affichage sur leTerminal Léger ainsi que la communication des périphériques) existants dans Windows XP, Windows 7 et des versions de serveur telles que Windows Server 2003, Windows Server 2008 R2 et Windows Server 2008.
Microsoft adopte l'approche très inhabituelle de la publication de correctifs pour Windows XP et Windows Server 2003, même si les deux systèmes d'exploitation ne sont plus pris en charge. Les utilisateurs de Windows XP devront télécharger manuellement la mise à jour à partir du catalogue de mises à jour de Microsoft.
Microsoft a avancé :
« Aujourd'hui, Microsoft a publié des correctifs pour une vulnérabilité critique d'exécution de code à distance, CVE-2019-0708, dans les Remote Desktop Services (anciennement connus sous le nom de Terminal Services) affectant certaines versions antérieures de Windows. Le protocole RDP (Remote Desktop Protocol) lui-même n'est pas vulnérable. Cette vulnérabilité est une pré-authentification et ne nécessite aucune interaction de l'utilisateur. En d'autres termes, la vulnérabilité est 'wormable', ce qui signifie que tout futur logiciel malveillant exploitant cette vulnérabilité pourrait se propager d'un ordinateur vulnérable à un ordinateur vulnérable de la même manière que le programme malveillant WannaCry répandu dans le monde entier en 2017. Nous n'avons observé aucune exploitation de cette vulnérabilité, il est fort probable que des acteurs malveillants écrivent un exploit pour cette vulnérabilité et l’intègrent dans leur logiciel malveillant ».
Microsoft affirme ne pas avoir observé d'exploits de cette vulnérabilité, mais maintenant que les correctifs sont publiés, ce n’est plus qu'une question de temps avant que les attaquants ne procèdent à l'ingénierie inverse des correctifs de Microsoft et créent des logiciels malveillants. Heureusement, les ordinateurs Windows 8 et Windows 10 ne sont pas concernés par cette vulnérabilité. Bien que Windows 10 soit maintenant plus populaire que Windows 7, il existe encore des millions de machines exécutant Windows 7, donc une éventuelle attaque pourrait prendre de grosses proportions.
CVE-2019-0708 nécessite une attaque à faible complexité pour être exploitée
CVE-2019-0708 nécessite une attaque à faible complexité pour être exploitée. Le calculateur de système de notation commun de vulnérabilité de Microsoft évalue cette complexité à 3,9 sur 10. Pour vous donner plus d’éclaircissements, les développeurs de WannaCry possédaient un puissant code d'exploitation qui a été développé par la National Security Agency - et qui lui a été volé - afin d'exploiter les “wormable” CVE-2017-0144 et CVE-2017-0145, où la complexité des exploitations était qualifiée "d’élevée". Il faut donc comprendre que développer un code d’exploitation fiable pour cette dernière vulnérabilité Windows nécessitera relativement peu de travail.
« L'exploitation de la vulnérabilité, décrite dans l'avis, nécessiterait simplement que quelqu'un envoie des paquets spécifiques sur le réseau à un système vulnérable disposant du service RDP », a déclaré Brian Bartholomew, chercheur en sécurité dans l'équipe mondiale d'analyse et de recherche de Kaspersky Lab. « Dans le passé, les exploits pour ce service étaient assez faciles à concevoir une fois le correctif inversé. Je suppose que quelqu'un publiera un exploit pour cela dans les prochains jours ».
Le chercheur indépendant Kevin Beaumont, citant des requêtes sur le moteur de recherche Shodan des ordinateurs connectés à Internet, a déclaré qu'environ 3 millions de terminaux RDP étaient directement exposés.
Tod Beardsley, directeur de la recherche à la firme de sécurité Rapid7, a déclaré qu'un autre scanner Internet, BinaryEdge, indique qu'il y aurait environ 16 millions de terminaux exposés à Internet sur les ports TCP 3389 et 3388, généralement réservés à RDP.
« Un RCE de pré-authentification dans RDP est une très grosse affaire », a estimé Beardsley. « Bien que nous donnions souvent le conseil de ne pas exposer RDP à Internet, beaucoup le font toujours (généralement par accident). Une grande partie du trafic d'attaque que nous voyons contre RDP semble être dirigée spécifiquement vers les systèmes de point de vente, alors je m’attend à ce qu’il y ait un nombre non négligeable de caisses enregistreuses en panne avec RDP exposées à Internet ».
Une autre société de sécurité, CyberX, a analysé le trafic de 850 systèmes de technologie opérationnelle, utilisés pour gérer les lignes de production en usine, la surveillance du gaz et d’autres types d’activités industrielles. Les chercheurs ont découvert que 53% d’entre eux exécutent des versions non prises en charge de Windows, dont beaucoup sont probablement affectées par la vulnérabilité récemment corrigée. L'absence de mise à niveau provient de la difficulté de mettre les ordinateurs hors ligne dans des environnements critiques fonctionnant en permanence.
Microsoft a rompu avec sa tradition de ne pas fournir de correctifs pour les systèmes d'exploitation Windows qui n'étaient plus pris en charge lorsque des milliers d'ordinateurs dans plus de 100 pays étaient affectés par un programme malveillant connu sous le nom de WannaCry. Le logiciel malveillant utilisait des failles dans les anciennes versions de Windows pour chiffrer des ordinateurs et exiger une rançon de 300 USD avant de le déverrouiller. Microsoft souhaite clairement éviter un autre serveur WannaCry, même s'il précise que « le meilleur moyen de remédier à cette vulnérabilité est de procéder à la mise à niveau vers la dernière version de Windows ».
:fleche: lien pour télécharger le correctif sur Windows 7, Windows 2008 R2 et Windows 2008
:fleche: lien pour télécharger le correctif sur Windows 2003 et Windows XP
Source : Microsoft
Et vous ?
:fleche: Êtes-vous sur Windows sur votre machine privée et/ou professionnelle ? Quelle version utilisez-vous ?
:fleche: Si vous n'êtes pas passé à Windows 10, quelles en sont les raisons ?
:fleche: Allez-vous appliquer le correctif immédiatement ?
Voir aussi :
:fleche: Comment les autorités américaines ont-elles traqué l'un des hackers nord-coréens derrière le virus WannaCry, en partant d'un CV comme indice ?
:fleche: WannaCry : les États-Unis incriminent officiellement la Corée du Nord, « avec un très haut niveau de certitude »
:fleche: WannaCry : une partie des bitcoins liés aux rançons convertis en Monero, une cryptomonnaie dont les transactions seraient « non traçables »
:fleche: Le chercheur britannique qui a arrêté WannaCry est accusé d'avoir créé et distribué le malware Kronos, un cheval de Troie qui a touché les USA
2 pièce(s) jointe(s)
Près d'un million d'ordinateurs sont encore vulnérables à BlueKeep malgré la disponibilité d'un patch
Près d'un million d'ordinateurs sont encore vulnérables à BlueKeep malgré la disponibilité d'un patch,
exploiter la faille pourrait être aussi dévastateur que WannaCry
Les responsables de la sécurité de Microsoft se disent confiants dans l’existence d’un exploit pour BlueKeep, la vulnérabilité récemment corrigée qui pourrait potentiellement déclencher des attaques à réplication automatique aussi destructrices que l’attaque WannaCry de 2017, cette dernière ayant arrêté des ordinateurs dans le monde entier.
Dans un billet de blog, des membres du Microsoft Security Response Center ont cité les conclusions publiées mardi par le PDG d'Errata Security, Rob Graham, selon lesquelles près d'un million d'ordinateurs connectés à Internet restent vulnérables aux attaques. Cela indique que ces machines doivent encore installer une mise à jour publiée par Microsoft il y a deux semaines, corrigeant la vulnérabilité dite BlueKeep, qui fait officiellement l'objet d'un suivi en tant que CVE-2019-0708. Les exploits peuvent exécuter de manière fiable du code malveillant sans interaction de la part d'un utilisateur final. La gravité de la situation a incité Microsoft à émettre des correctifs inhabituels pour Windows 2003, XP et Vista, qui n’étaient plus pris en charge depuis quatre, cinq et deux ans, respectivement.
Le message de jeudi annonçait une nouvelle fois que l'inaction pourrait déclencher un autre ver de l'ampleur de WannaCry, ce qui a poussé les hôpitaux à renvoyer des patients et paralysé des banques, des quais d'expédition et des centres de transport dans le monde entier.
« Le 14 mai, Microsoft a publié des correctifs pour une vulnérabilité critique d'exécution de code à distance, CVE-2019-0708, dans les services de bureau à distance (anciennement connus sous le nom de services de terminal) affectant certaines versions plus anciennes de Windows. Dans notre précédent billet de blog sur ce sujet, nous avions averti que la vulnérabilité était “wormable” et que les futurs logiciels malveillants qui exploiteraient cette vulnérabilité pourraient se propager d’ordinateur vulnérable à ordinateur vulnérable de la même manière que le programme malveillant WannaCry répandu dans le monde en 2017.
« Microsoft est convaincu qu'il existe un exploit pour cette vulnérabilité et, si les rapports récents sont exacts, près d'un million d'ordinateurs connectés directement à Internet sont toujours vulnérables à CVE-2019-0708. Beaucoup d'autres au sein des réseaux d'entreprise peuvent également être vulnérables. Un seul ordinateur vulnérable connecté à Internet suffit pour créer une passerelle vers ces réseaux d'entreprise, où des programmes malveillants avancés pourraient se propager et infecter les ordinateurs de l'entreprise. Ce scénario pourrait être encore pire pour ceux qui n'ont pas gardé leurs systèmes internes à jour avec les derniers correctifs, car tout logiciel malveillant futur pourrait également tenter d'exploiter davantage les vulnérabilités qui ont déjà été corrigées.
« Cela fait seulement deux semaines que le correctif a été publié et il n'y a encore aucun signe de ver. Cela ne signifie pas que nous sommes sortis de l’auberge. Si nous examinons les événements qui ont précédé le début des attaques WannaCry, ils servent à indiquer les risques de ne pas appliquer les correctifs de cette vulnérabilité en temps voulu.
« Notre recommandation reste la même. Nous recommandons fortement que tous les systèmes affectés soient mis à jour le plus rapidement possible ».
CVE-2019-0708 nécessite une attaque à faible complexité pour être exploitée
CVE-2019-0708 nécessite une attaque à faible complexité pour être exploitée. Le calculateur de système de notation commun de vulnérabilité de Microsoft évalue cette complexité à 3,9 sur 10. Pour vous donner plus d’éclaircissements, les développeurs de WannaCry possédaient un puissant code d'exploitation qui a été développé par la National Security Agency - et qui lui a été volé - afin d'exploiter les “wormable” CVE-2017-0144 et CVE-2017-0145, où la complexité des exploitations était qualifiée "d’élevée". Il faut donc comprendre que développer un code d’exploitation fiable pour cette dernière vulnérabilité Windows nécessitera relativement peu de travail.
« L'exploitation de la vulnérabilité, décrite dans l'avis, nécessiterait simplement que quelqu'un envoie des paquets spécifiques sur le réseau à un système vulnérable disposant du service RDP », a déclaré Brian Bartholomew, chercheur en sécurité dans l'équipe mondiale d'analyse et de recherche de Kaspersky Lab. « Dans le passé, les exploits pour ce service étaient assez faciles à concevoir une fois le correctif inversé. Je suppose que quelqu'un publiera un exploit pour cela dans les prochains jours ».
L’éditeur souligne l’urgence de la situation
Microsoft a rappelé aux utilisateurs que WannaCry n’a été diffusé que deux mois après la publication de MS17-010, la mise à jour qui corrigeait la vulnérabilité exploitée par WannaCry. Elle résidait dans SMBv1, une version ancienne du protocole de bloc de message du serveur qui permet à un ordinateur de partager des fichiers et des répertoires avec d'autres ordinateurs. Les experts en sécurité utilisent le terme « wormable » pour décrire la vulnérabilité en raison de sa capacité à déclencher des vers, qui sont des logiciels malveillants se reproduisant sur plusieurs ordinateurs en utilisant un réseau informatique comme Internet. Ils ont la capacité de se dupliquer une fois qu'ils ont été exécuté. Contrairement au virus, le ver se propage sans avoir besoin de se lier à d'autres programmes exécutables
La faille wormable BlueKeep, quant à elle, provient en revanche d’un bogue de type « dangling pointers » dans les services Bureau à distance, qui fournit une interface graphique pour la connexion à un autre ordinateur via Internet. Les « dangling pointers » sont des pointeurs qui ne pointent pas vers un objet valide du type approprié. Ce sont des cas spéciaux de violations de la sécurité de la mémoire.
Pour ne rien arranger, la firme de sécurité GreyNoise a observé des balayages de réseau opéré depuis Tor qui laissent penser à un recensement des ordinateurs exposés sur la toile. Ces derniers seraient selon eux effectués par une seule et même personne, en vue d’une attaque. Il est ainsi fortement conseillé de mettre les systèmes d’exploitation Windows XP et Windows 7 à jour si vous possédez un OS déprécié.
Bien sûr, la grande différence c’est qu’il y a deux ans, l’exploit Eternal Blue, qui a été développé par la National Security Agency, puis volée à cette dernière, a été rendu publique par un groupe de pirate appelé Shadow Brokers. Cette publication offrait un moyen simple de forcer de manière fiable les ordinateurs vulnérables à exécuter le code de leur choix même aux hackers inexpérimentés. Un mois plus tard, le ver WannaCry a réutilisé Eternal Blue et a fini par infecter les ordinateurs du monde entier en quelques heures.
Cette fois-ci, il n'y a pas eu de publication de code exploitant BlueKeep. Néanmoins, une poignée de hackers white hat ont rapporté que des exploits en développement indépendants se sont révélés être “wormable” comme Microsoft avait indiqué.
Microsoft a demandé à toute personne utilisant un ordinateur vulnérable de se mettre à jour immédiatement. La faille affecte les versions de Windows XP à Server 2008 R2. Toute personne utilisant l'une de ces versions doit s'assurer qu'un correctif est en place. I faut également vérifier que RDP (Remote Desktop Protocol) n'est pas exposé à Internet, sauf en cas de nécessité absolue. L’activation de l’authentification au niveau du réseau pour les services de postes de travail distants est une mesure utile, mais elle est inefficace contre les attaquants possédant des mots de passe réseau, ce qui est fréquent dans les infections par ransomware. Windows 8 et 10 ne sont pas affectés.
:fleche: lien pour télécharger le correctif sur Windows 7, Windows 2008 R2 et Windows 2008
:fleche: lien pour télécharger le correctif sur Windows 2003 et Windows XP
Source : Microsoft, GreyNoise Intelligence
Et vous ?
:fleche: Êtes-vous sur Windows sur votre machine privée et/ou professionnelle ? Quelle version utilisez-vous ?
:fleche: Si vous n'êtes pas passé à Windows 10, quelles en sont les raisons ?
:fleche: Allez-vous appliquer le correctif immédiatement ?
Voir aussi :
:fleche: Comment les autorités américaines ont-elles traqué l'un des hackers nord-coréens derrière le virus WannaCry, en partant d'un CV comme indice ?
:fleche: WannaCry : les États-Unis incriminent officiellement la Corée du Nord, « avec un très haut niveau de certitude »
:fleche: WannaCry : une partie des bitcoins liés aux rançons convertis en Monero, une cryptomonnaie dont les transactions seraient « non traçables »
:fleche: Le chercheur britannique qui a arrêté WannaCry est accusé d'avoir créé et distribué le malware Kronos, un cheval de Troie qui a touché les USA
1 pièce(s) jointe(s)
La vulnérabilité BlueKeep est si sérieuse que même la NSA recommande l’application d’un patch à Windows
La vulnérabilité BlueKeep est si sérieuse que même la NSA recommande l’application d’un patch à votre système d’exploitation
Windows
Cela fait environ trois semaines que Microsoft a demandé pour la première fois aux utilisateurs de Windows de patcher leurs systèmes contre la vulnérabilité BlueKeep référencée CVE-2019-0708. Préoccupée par le fait qu'il n'y avait pas assez de monde pour prêter une oreille attentive et appliquer le correctif, l'entreprise a alors procédé à l’émission d’un autre avertissement soulignant l'importance de le faire. L’Agence Nationale de la Sécurité américaine (NSA) vient d’entrer dans la danse et se joint aux efforts de Microsoft pour amener les utilisateurs à sécuriser leurs ordinateurs qui tournent encore sous Windows XP et Windows 7.
La NSA tient à attirer l’attention des utilisateurs de ces systèmes d’exploitation sur le fait que « des acteurs malveillants peuvent faire usage de cette vulnérabilité pour monter des attaques au rançongiciel ou s’en servir en même temps que d’autres exploits connus disponibles au sein de kits pour accroître la vulnérabilité de systèmes sur lesquels les correctifs n’ont pas été appliqués. »
« BlueKeep est une vulnérabilité au sein des Remote Desktop Services. Elle affecte Windows XP, Windows 7, Windows Server 2003, Windows Server 2008 et bien qu’un correctif de Microsoft soit disponible des millions d’ordinateurs demeurent vulnérables du fait de sa non application. C'est le type de vulnérabilité que les acteurs malveillants exploitent fréquemment en utilisant un code logiciel qui la cible de façon spécifique. Par exemple, elle pourrait être exploitée pour mener des attaques par déni de service. Ce n'est probablement qu'une question de temps avant que le code nécessaire à son exploitation à distance ne soit largement disponible », a rappelé la NSA. La probabilité pour qu’un code d’exploitation à distance soit disponible est élevée puisque les retours initiaux d’experts en cybersécurité font état de ce que l’utilisation du correctif de Microsoft à cette fin est assez aisée. « Dans le passé, les exploits pour ce service étaient assez faciles à concevoir une fois le correctif inversé. Je suppose que quelqu'un publiera un exploit pour cela dans les prochains jours », a souligné Brian Bartholomew – chercheur en sécurité dans l'équipe mondiale d'analyse et de recherche de Kaspersky Lab. De plus, la vulnérabilité nécessite une attaque à faible complexité pour être exploitée. « L'exploitation de la vulnérabilité nécessite simplement qu’un tiers malveillant envoie des paquets spécifiques via le réseau à un système vulnérable disposant du service RDP », a-t-il ajouté. Enfin, la vulnérabilité sur laquelle les avis de sécurité de la NSA et de Microsoft attirent l’attention n’est pas sans faire penser à WannaCry. En effet, son exploitation judicieuse peut aider à la mise sur pied d’attaques à réplication automatique, c’est-à-dire qui se propagent d’ordinateurs en ordinateurs sans intervention humaine.
D’après de récentes informations à ce sujet, les grosses organisations qui ont la charge de systèmes affectés se sont appuyées sur Microsoft et l’Agence Nationale de la Sécurité américaine pour les mises à jour. À défaut de migrer vers des versions du système d’exploitation de Microsoft comme Windows 10, les particuliers pourront procéder à la mise en œuvre des recommandations de la NSA : bloquer le port TCP 3389, activer l’authentification réseau ou désactiver les Remote Desktop Services s’ils sont inutilisés.
Il est rare que la NSA se prononce sur une vulnérabilité, bien qu'elle ait émis deux autres avis de sécurité cette année. En effet, l'agence d'espionnage américaine a joué un rôle indirect dans l'apparition d'un autre ver informatique en 2017 – le célèbre WannaCry. L'attaque a pu se propager à des centaines de milliers de machines grâce à une fuite d'une arme cybernétique de la NSA qui exploitait également une vulnérabilité des anciens systèmes Windows. La NSA aurait été au courant de la faille au moins cinq ans avant que l’apocalypse numérique ne survienne, mais elle ne l'a pas révélé à la firme de Redmond.
:fleche: Lien pour télécharger le correctif sur Windows 7, Windows 2008 R2 et Windows 2008
:fleche: Lien pour télécharger le correctif sur Windows 2003 et Windows XP
Sources : NSA, Business Insider
Et vous ?
:fleche: Qu’en pensez-vous ?
Voir aussi :
:fleche: Comment les autorités américaines ont-elles traqué l'un des hackers nord-coréens derrière le virus WannaCry, en partant d'un CV comme indice ?
:fleche: WannaCry : les États-Unis incriminent officiellement la Corée du Nord, « avec un très haut niveau de certitude »
:fleche: WannaCry : une partie des bitcoins liés aux rançons convertis en Monero, une cryptomonnaie dont les transactions seraient « non traçables »
:fleche: Le chercheur britannique qui a arrêté WannaCry est accusé d'avoir créé et distribué le malware Kronos, un cheval de Troie qui a touché les USA
