Vault 7 : Apple affirme que les documents de la CIA sont dépassés
Vault 7 : Apple affirme que les documents de la CIA sont dépassés
et que les vulnérabilités censées affecter ses produits ont déjà été corrigées
Juste avant le weekend, WikiLeaks a publié une nouvelle série de documents dans le cadre de son opération Vault 7 visant à révéler les techniques et outils de piratage de la CIA. Dans cette nouvelle vague baptisée DarkMatter, ce sont les produits d’Apple qui étaient concernés. Il s’agissait en effet d’une dizaine de documents mettant en évidence les techniques de la CIA pour pirater les produits d’Apple, Mac et iPhone.
Des projets de la CIA permettaient par exemple de compromettre le firmware des Mac, de sorte que les infections persistent même si le système d’exploitation est réinstallé. Un autre document daté de 2008 montrait également que la CIA avait mis au point un implant malveillant pour l'iPhone ; lequel implant aurait pu physiquement être installé sur de nouveaux iPhone depuis la chaîne d’approvisionnement.
Comme lors de la première vague de documents publiés, il a fallu juste quelques heures à Apple pour réagir. Et encore une nouvelle fois, la firme de Cupertino assure que ses utilisateurs sont déjà protégés de ces vulnérabilités. Dans un communiqué, Apple a en effet fait savoir que les documents de la CIA publiés par WikiLeaks sont vieux et que les failles décrites dans ses produits ont été corrigées depuis bien longtemps : depuis 2009 pour la vulnérabilité affectant les iPhone et à partir de 2013 pour les Mac. Dans chacun des cas, il faut cependant passer aux produits plus récents d’Apple pour être protégé.
« D'après notre première analyse [des révélations de WikiLeaks], la prétendue vulnérabilité de l'iPhone n'a affecté que l'iPhone 3G et a été corrigée en 2009 lorsque l'iPhone 3GS a été lancé. Notre analyse préliminaire montre encore que les prétendues vulnérabilités affectant les Mac ont été corrigées dans tous les Mac lancés après 2013 », affirme Apple. Cela sous-entend que les utilisateurs des Mac lancés jusqu’en 2013 ne seraient pas protégés. Vu que les produits d’Apple sont associés à des consommateurs nantis, doit-on donc espérer qu’en 2017, la plupart ont abandonné les Mac datant d’avant 2013 ?
Quoi qu’il en soit, Apple ne semble pas apprécier la manière dont WikiLeaks coordonne la divulgation des documents de la CIA. L’organisation non gouvernementale avait promis de partager les documents et le code de la CIA avec les grandes entreprises de l’IT, afin de leur permettre de corriger les problèmes dans les produits avant que les détails ne soient portés à la connaissance du public. Certaines entreprises avaient salué cette initiative. C’est le cas de Microsoft qui a également indiqué que sa « méthode préférée pour toute personne connaissant des problèmes de sécurité, y compris la CIA ou WikiLeaks, est de soumettre des détails à secure@microsoft.com » afin que la firme puisse examiner les informations et prendre toutes les mesures nécessaires pour protéger ses clients. Mais, à entendre Apple, il semble que WikiLeaks s’attende à une collaboration spéciale avec les entreprises dans cette affaire, plutôt que de soumettre ces informations via le processus normal.
« Nous n'avons pas négocié d'information avec WikiLeaks. Nous leur avons donné des instructions pour soumettre toutes les informations qu'ils souhaitent à travers notre processus normal selon nos termes standards. Jusqu'à présent, nous n'avons reçu aucune information de leur part qui ne soit pas du domaine public », a déclaré Apple. Pour sa part, le fabricant d’iPhone ne semble pas non plus ouvert à entamer une collaboration spéciale avec WikiLeaks, en dehors de son processus standard. « Nous sommes des défenseurs infatigables de la sécurité et de la confidentialité de nos utilisateurs, mais nous ne tolérons pas le vol et ne collaborons pas avec ceux qui menacent de nuire à nos utilisateurs », a ajouté Apple.
Rappelons qu’après la publication des premiers documents de la CIA, Mozilla s’était également plaint de WikiLeaks en l’accusant de mettre en péril la sécurité de l’Internet : « Si les informations publiées dans les rapports sont exactes, alors cela prouve que la CIA porte atteinte à la sécurité de l'internet - et WikiLeaks aussi », avait affirmé Heather West, Senior Policy Manager chez Mozilla. Il accusait WikiLeaks de ne pas divulguer ces vulnérabilités aux entreprises affectées pour leur permettre de les corriger et protéger les utilisateurs, avant de les mettre à la disposition du public.
Source : Mac Rumors
Et vous ?
:fleche: Que pensez-vous du communiqué d’Apple ?
:fleche: Que pensez-vous de la manière dont WikiLeaks divulgue ces informations ?
Vault 7 : la CIA a développé un outil pour orienter les chercheurs en sécurité vers de fausses pistes
Vault 7 : la CIA a développé un outil pour masquer ses traces
et orienter les chercheurs en sécurité vers des attaquants chinois ou russes
WikiLeaks publie une troisième vague de documents dans le cadre de son opération Vault 7, visant à divulguer les techniques et outils de piratage utilisés par la CIA. L’opération a été lancée le 7 mars avec de nombreux fichiers décrivant des failles de sécurité exploitées pour compromettre des PC Windows, des Mac, des appareils Android et iOS, mais également les smart TV de Samsung, entre autres dispositifs. Deux semaines plus tard, de nouveaux documents ont été publiés. Ces dernières révélations montraient que la CIA avait installé des implants malveillants sur les iPhone depuis la chaîne d'approvisionnement, mais était également capable d'infecter les iPhone et Mac d'Apple de manière persistante.
Dans ce nouvel épisode de l’opération de WikiLeaks, ce sont près de 700 fichiers de code source d’un framework baptisé Marble qui ont été publiés. Il s’agit d’un outil utilisé par la CIA pour brouiller les pistes après une attaque de ses agents. D’après WikiLeaks, Marble est en effet « utilisé pour empêcher les enquêteurs et les sociétés d’antivirus d'attribuer des virus, des chevaux de Troie et des attaques à la CIA. » Marble fait cela en appliquant des techniques d’obscurcissement sur les fragments de texte utilisés dans les logiciels malveillants de la CIA. Marble a été développé pour « permettre un obscurcissement flexible et facile à utiliser », car « les algorithmes d’obscurcissement de chaîne (en particulier ceux qui sont uniques) sont souvent utilisés pour lier des logiciels malveillants à un développeur ou une société de développement spécifique ».
L’une des particularités de cet outil est qu’il pourrait permettre à la CIA de déguiser son code pour faire croire aux chercheurs en sécurité qu’il provient d’un autre pays. Le code source fourni par WikiLeaks contient des exemples en chinois, russe, coréen, arabe et farsi (principale langue parlée en Iran). « Cela peut amener les enquêteurs à attribuer le code à d'autres [attaquants], par exemple en considérant que la langue du créateur du logiciel malveillant n'est pas l'anglais, mais le chinois », affirme WikiLeaks.
L’existence d’un tel outil devrait amener les chercheurs en sécurité à rouvrir certains dossiers pour une analyse plus éclairée prenant en compte les nouvelles données. C’est d’ailleurs ce que souhaite WikiLeaks. La version 1.0 de Marble a en effet été sortie en 2015 et l’outil a été utilisé l’an dernier. Il est donc possible que certaines enquêtes sur des attaques ayant utilisé Marble n’aient pas pu être résolues et aient débouché sur de fausses pistes.
Pour aider les enquêteurs, WikiLeaks a donc publié un outil inclus dans les fichiers de la CIA. L'outil a été conçu par les espions américains pour inverser l’obscurcissement dans leurs logiciels malveillants. Combiné avec les techniques d’obscurcissement de la CIA qui ont été révélées, WikiLeaks pense qu’un modèle ou une signature pourrait émerger, ce qui peut aider les enquêteurs à attribuer des attaques et des logiciels malveillants découverts précédemment à la CIA.
Source : WikiLeaks
Et vous ?
:fleche: Que pensez-vous de ces nouvelles révélations de WikiLeaks ?
Vault 7 : WikiLeaks dévoile les outils utilisés par la CIA pour infecter les PC Windows
Vault 7 : WikiLeaks dévoile les outils utilisés par la CIA pour infecter les PC Windows
et échapper à la détection des logiciels de sécurité
Le 7 mars, WikiLeaks a lancé l’opération Vault 7 visant à divulguer les techniques et outils de piratage utilisés par la CIA. Les premiers fichiers divulgués par l’organisation non gouvernementale décrivaient des failles de sécurité exploitées pour compromettre des PC Windows, des Mac, des appareils Android et iOS, mais également les smart TV de Samsung, entre autres dispositifs.
Après cette première vague, ce sont d’autres documents qui montraient que la CIA avait installé des implants malveillants sur les iPhone depuis la chaîne d'approvisionnement, mais était également capable d'infecter les iPhone et Mac d'Apple de manière persistante. Il y a eu ensuite un nouvel épisode où près de 700 fichiers de code source d’un framework baptisé Marble ont été publiés. Il s’agit d’un outil utilisé par la CIA pour brouiller les pistes après une attaque de ses agents. Marble permet par exemple à la CIA de déguiser son code pour orienter les chercheurs en sécurité vers de fausses pistes, en particulier vers des attaquants russes, chinois et coréens, entre autres.
WikiLeaks vient de publier un nouveau lot de documents appartenant à la CIA ; et cette fois, ils décrivent des outils utilisés par l’agence d’espionnage pour infecter les PC Windows. Cette nouvelle fuite est baptisée Grasshopper, du nom d’un ensemble d'outils logiciels utilisés pour créer des logiciels malveillants personnalisés pour les ordinateurs Windows. « Grasshopper est un outil logiciel utilisé pour créer des installateurs personnalisés pour les ordinateurs cibles exécutant le système d'exploitation Microsoft Windows », est-il expliqué dans le guide utilisateur de la CIA.
Grasshopper est doté d'une variété de modules qui peuvent être utilisés par un opérateur de la CIA comme des blocs pour construire un implant personnalisé qui se comportera différemment en fonction de l’ordinateur ciblé. D’après les documents de la CIA, il serait possible pour un opérateur de personnaliser son malware de sorte que son installation dépende de l’évaluation de l’environnement cible. Les conditions cibles à vérifier sont décrites à l'aide d'un langage de règle personnalisé. D’après WikiLeaks, ce langage, qui serait d’ailleurs très flexible, permet de définir des règles qui sont utilisées pour faire une évaluation du terrain avant l’installation de la charge utile sur le périphérique. Cela « permet de s’assurer que la charge utile ne sera installée que si la cible a la bonne configuration », explique le lanceur d’alerte. « Grâce à ce langage, les opérateurs de la CIA sont capables […] de vérifier par exemple si le périphérique cible exécute une version spécifique de Microsoft Windows ou si un produit antivirus particulier est en cours d'exécution ou non », dit-il.
Grasshopper implémente des techniques pour éviter d’être détecté par les antivirus sur l'ordinateur spécifique ciblé. D’après WikiLeaks, il est en effet susceptible de ne pas être détecté par les produits de sécurité comme Kaspersky Internet Security Suite, Microsoft Security Essentials, Rising Internet Security et Symantec End Point Protection.
L’outil de la CIA utilise également divers mécanismes de persistance, y compris Stolen Goods 2.0. Les documents publiés par WikiLeaks le décrivent comme « un module de persistance pour Grasshopper, basé sur des composants d’un logiciel malveillant tiers ». Ce logiciel malveillant tiers en question n’est rien d’autre que Carberp, un trojan bancaire attribué aux Russes et dont le code source a été publié en ligne en 2013. La CIA a emprunté des composants de ce trojan qu’elle a ensuite modifiés pour ses propres opérations de piratage. « Les composants [de Stolen Goods 2.0] ont été prélevés sur un logiciel malveillant connu sous le nom de Carberp, un rootkit suspecté d'appartenir à des Russes », est-il indiqué dans les documents de la CIA. Et d’ajouter : « Le code source de Carberp a été publié en ligne et a permis [à nos équipes] d'emprunter facilement des composants du malware. » Cela confirme, comme le cas du botnet Mirai, que lorsque le code d’un malware est publié en ligne, cela peut-être très dangereux pour la sécurité des systèmes informatiques.
La CIA explique toutefois dans les documents publiés par WikiLeaks que la plupart des composants de Carberp n'étaient pas utilisés dans Stolen Goods 2.0. Seuls le module de persistance et les parties de l'installateur ont été pris et modifiés pour répondre à ses besoins. « Une grande majorité du code Carberp d'origine utilisé a été fortement modifiée. Très peu de morceaux du code original existent sous une forme non modifiée ». La CIA assure également qu’avant de les utiliser, « tous les composants pris en charge par Carberp ont été soigneusement analysés pour chercher des fonctionnalités cachées, backdoors, vulnérabilités, etc.
WikiLeaks explique que les 27 documents publiés dans cette nouvelle vague donnent un aperçu de la façon dont la CIA maintient la persistance sur les ordinateurs Windows infectés ; ce qui devrait, selon le lanceur d’alerte, donner des directives à ceux qui cherchent à défendre leurs systèmes, pour identifier tout compromis existant.
Sources : Communiqué de WikiLeaks, Grasshopper v2 (guide d’utilisateur), Stolen Goods 2.0 (manuel d’utilisateur)
Et vous ?
:fleche: Qu’en pensez-vous ?
Weeping Angel : WikiLeaks publie le guide utilisateur de l'implant de la CIA
Weeping Angel : WikiLeaks publie le guide utilisateur de l'implant de la CIA
pour transformer les smart TV de Samsung en dispositifs d’écoute
Weeping Angel faisait partie de la première vague de documents de la CIA qui ont été publiés par WikiLeaks, dans son opération baptisée Vault 7. Développé en collaboration avec le MI5, le service de la sécurité intérieure britannique, l’outil aurait permis à la CIA de pirater des smart TV de Samsung et les transformer en dispositifs d’écoute des conversations privées des utilisateurs. Il s’agit en effet d’un implant conçu pour enregistrer les bruits aux alentours de la smart TV grâce à son microphone intégré. Les données audio sont ensuite exfiltrées ou stockées sur l’appareil pour une récupération ultérieure.
Dans le guide utilisateur publié ce weekend, WikiLeaks fournit des détails sur les principales fonctionnalités de l’implant. Le document décrit toutefois une des premières versions de l’outil, celle initialement développée par le MI5, avant que la CIA ne l’adapte pour ses propres besoins. Cette version baptisée « EXTENDING » dans le guide utilisateur a été conçue pour les téléviseurs intelligents Samsung F Series.
L’implant EXTENDING peut être installé à l'aide d'une méthode d'accès physique. Son programme d'installation est chargé sur une clé USB qui doit être ensuite insérée dans le téléviseur cible pour être exécuté. Le programme d'installation va déployer l'implant sur l’appareil avec un fichier de configuration qui sera utile pour diverses opérations, telles que l’exfiltration des enregistrements, l’écoute des enregistrements en direct ou encore la désinstallation du programme malveillant. Une fois installé sur le téléviseur, EXTENDING va attendre le prochain démarrage de l’appareil pour commencer à opérer.
Il y a deux manières possibles d’exfiltrer les données enregistrées. La première consiste à les récupérer en ayant un accès physique à la smart TV. Pour exfiltrer des fichiers par accès physique, une clé USB doit être insérée sur l’appareil. La clé USB contient un certain fichier avec une certaine chaine telle que définie dans le fichier de configuration, lui-même déjà copié sur le téléviseur pendant l’installation. Lorsqu’elle est insérée dans le téléviseur, les fichiers sont automatiquement copiés sur la clé USB.
Il est également possible de récupérer le fichier audio à distance, via un point d’accès WI-FI. Pour exfiltrer les fichiers sur un point d'accès Wi-Fi, le point d'accès doit être configuré dans la portée du téléviseur avec un SSID préconfiguré, tel que défini dans le fichier de configuration installé sur l’appareil. Les fichiers sont ensuite exfiltrés sur ce réseau Wi-Fi vers un serveur tel que configuré dans le fichier de configuration. Grâce à un outil baptisé Live Listening Tool, l’implant permet d’écouter l’enregistrement en direct, alors qu'il est exfiltré sur le point d’accès WI-FI.
L’une des fonctionnalités les plus importantes de l’outil est le mode « Fake-off » qui permet d’enregistrer les conversations, même quand les utilisateurs croient avoir éteint leur téléviseur. EXTENDING est capable d’intercepter la commande qui permet d’éteindre le téléviseur, et dès qu'il intercepte, il éteint plutôt l'écran du téléviseur en laissant son processeur en marche ; ce qui lui permet de continuer à enregistrer. L'implant peut également être désinstallé en insérant une clé USB avec un fichier contenant une certaine chaine telle que définie dans le fichier de configuration. Lorsque cette clé USB est insérée dans le téléviseur, l'implant se désinstalle. Il est aussi possible de définir dans le fichier de configuration une date et une heure à laquelle l’implant doit se désinstaller automatiquement.
L’installation de l’implant EXTENDING se faisant par un accès physique, la menace est donc très limitée et plutôt ciblée. On ne peut toutefois pas en dire autant pour Weeping Angel, qui est une version améliorée par la CIA pour répondre à des besoins plus exigeants. Lors de la première vague de documents de la série Vault 7, les documents publiés par WikiLeaks (datant de 2014) ont révélé encore que dans une version future, il serait prévu d’étendre les fonctionnalités de Weeping Angel, pour permettre l'enregistrement d'images et de vidéos, pour les smart TV avec une caméra intégrée.
Source : WikiLeaks, Guide utilisateur EXTENDING
Et vous ?
:fleche: Qu’en pensez-vous ?
Archimedes : un outil de la CIA pour mener des attaques man-in-the-middle au sein des réseaux LAN
Archimedes : WikiLeaks publie un outil de la CIA pour mener des attaques man-in-the-middle
au sein des réseaux locaux d'entreprise
WikiLeaks continue de déballer le lot de documents et outils de piratage de la CIA qui est en sa possession ; lequel a commencé à être publié le 7 mars à travers l’opération baptisée Vault 7. Pratiquement chaque semaine, le lanceur d’alertes a mis en ligne, vague après vague, de nombreux manuels utilisateur et des bouts de code de certains outils de l’arsenal de l’agence américaine. La liste est longue et l'on peut citer l’outil Weeping Angel, un implant pour transformer les smart TV de Samsung en dispositifs d’écoute, ou encore Marble, qui permet à la CIA de masquer ses traces après ses attaques et orienter les chercheurs en sécurité sur des pistes de hackers chinois ou russes. L’un des derniers que nous avons signalés était Grasshopper, un outil pour développer des malwares personnalisés ciblant les PC Windows, mais également échapper à la détection des antivirus.
Ce weekend, WikiLeaks a révélé l’existence d’un autre outil baptisé Archimedes, qui lui-même était une mise à jour d’un autre outil de la CIA, baptisé Fulcrum. Ce dernier vise à attaquer un réseau LAN distant et d'après le guide utilisateur publié par WikiLeaks, Fulcrum « facilite l'utilisation d'une machine contrôlée [par la CIA] pour pivoter vers une autre machine cible non compromise qui se trouve sur le même LAN. L'application effectuera une attaque man-in-the-middle sur l'ordinateur cible. L'application va surveiller ensuite le trafic HTTP de la machine cible et rediriger la cible vers l'URL fournie lorsque les conditions appropriées sont respectées. »
Avant d’aller plus loin, rappelons qu’un réseau local ou LAN (Local Area Network) est un réseau informatique à travers lequel les terminaux qui y participent s'envoient des trames au niveau de la couche de liaison sans utiliser d’accès à internet, ce qui permet notamment de limiter les risques d’attaques informatiques. L’attaque de la CIA repose donc sur une « machine pivot », une machine contrôlée sur laquelle Fulcrum est exécutée.
« Fulcrum n'est pas un exploit ou un ver », est-il précisé dans le guide utilisateur. « Il ne fera pas d'exécution de code arbitraire sur une machine distante et ne créera pas d'escalade de privilège sur la machine pivot. Il n'affectera pas les applications ou les systèmes d'exploitation sur les machines pivots ou cibles. Fulcrum ne va pas se répliquer ou cibler automatiquement les machines sur un réseau local ... Fulcrum dirigera le trafic HTTP d'une machine cible vers l'URL de choix de l'attaquant ».
L’attaque de la CIA est une attaque main-in-the-middle basée sur l’ARP spoofing. Pour information, l’Address Resolution Protocol (ARP, protocole de résolution d’adresse) est un protocole effectuant la traduction d’une adresse de protocole de couche réseau (typiquement une adresse IPv4) en une adresse MAC (typiquement une adresse Éthernet), ou même de tout matériel de couche de liaison. Il se situe à l’interface entre la couche réseau et la couche de liaison. Fulcrum se concentre uniquement sur l'environnement IPv4 et Ethernet ; la combinaison d'IPv4 et Ethernet représentant l'écrasante majorité des réseaux locaux (LAN), est-il indiqué dans le manuel utilisateur.
La technique ARP Spoofing est utilisée sur un réseau local pour permettre à une machine contrôlée par un attaquant d'intercepter des trames de données de machines du réseau, allant vers d'autres destinations. Cela place la machine de l'attaquant au milieu de tout trafic de la machine de la cible vers une autre destination.
La CIA explique dans son manuel que « l'ARP Spoofing compromet la traduction d'adresse IPv4 des machines cibles en adresses MAC en envoyant des paquets ARP falsifiés qui associent l'adresse MAC de l'attaquant à l'adresse IP d'un autre hôte (par exemple, la passerelle par défaut). Tout le trafic destiné à cette adresse IP serait donc envoyé par erreur à l'attaquant », comme vous pouvez le voir sur la figure suivante.
Fulcrum utilise l'ARP spoofing pour se placer entre la machine cible et la passerelle par défaut sur le réseau local afin qu'il puisse surveiller tout le trafic quittant la machine cible. Une fois que tout le trafic réseau de la machine cible est acheminé vers la machine pivot, Fulcrum surveille des messages HTTP spécifiques. Connaissant l'activité de la machine cible, la CIA peut créer une fausse page Web identique à un site visité par la machine cible. Et quand la victime tentera d’accéder à ce site, Archimedes va la piéger en ouvrant la copie, par exemple pour récupérer des informations, des identifiants, etc. Ce logiciel a été spécialement conçu pour les environnements Windows XP, Vista et Seven.
Sources : Communiqué de WikiLeaks, Guide utilisateur Archimedes, Guide utilisateur Fulcrum