CPLINK

Mise à jour 03/08/2010: Microsoft diffuse un modificatif de sécurité répondant à l’alerte. Plus d’information dans leur bulletin de sécurité MS10-046.

Aujourd’hui, Graham Cluley (Sophos) attire notre attention depuis son blog sur les mises à jour récentes de la page d’incident mise en place par Microsoft sur cette vulnérabilité:

Ainsi, il serait possible pour l’attaquant de mettre en place un site Web présentant ces raccourcis problématiques ou bien les insérer dans un document (notamment de la suite Microsoft Office).

Les vers Stuxnet

Les plus curieux d’entre vous liront l’article que Symantec a consacré au fonctionnement du ver Stuxnet lui-même.

Se protéger ?

A ce jour, les mesures de protection conseillées par Microsoft, si elles fonctionnent, ne sont pas forcément les plus pratiques car elles empêchent de distinguer les icônes auxquelles les usagers sont familiers. Rappelons que deux autres solutions sont proposées (sur le blog de Didier Stevens):

la mise en place de règles locales de sécurité qui empêchent l’exécution de fichiers extérieurs au disque système C:\;
l’utilisation de son logiciel Ariad qui permet de contrôler finement l’ouverture automatique de fichiers depuis les supports amovibles ou externes.

Par ailleurs, pour Windows 7 et Windows 2008 R2, Cert-Lexsi propose l’utilisation d’Applocker.

Enfin, assurez-vous de disposer d’un antivirus à jour, ceux-ci doivent pour la plupart aujourd’hui être en mesure de détecter aussi bien des raccourcis qui exploiteraient cette vulnérabilité que les différents vers qui ont été identifiés dans la famille Stuxnet.

Articles de référence:

Malicious shortcuts: now documents and webpages are risky too, Graham Cluley, Sophos, 21/07/2010;
W32.Stuxnet installation details, Liam O Murchu, Symantec, 20/07/2010;
Vulnerability in Windows shell could allow remote code execution, Microsoft security advisory (2286198), 16/07/2010-20/07/2010;
.lnk vulnerability: Microsoft fix causes icon chaos, H-Online, 21/07/2010.

VirusBlokAda - Découvreur du ver

L’exploitation de la faille de sécurité des raccourcis (fichiers .LNK) de Windows se poursuit, comme cela était prévisible. ESET nous avertit ainsi de l’apparition d’un nouveau fichier lié à Win32/Stuxnet (dont je parlais dans mon article de dimanche). Il est cette fois signé avec le certificat de la société JMicron Technology Corp. (encore un fabricant Taïwanais de composants électroniques, après Realtek ciblé précédemment…) et aurait été compilé le 14/07/2010.

Cette démarche paraît logique, puisque le certificat attribué à Realtek a été révoqué, et semble indiquer qu’il s’agisse de la même équipe à l’origine de la première propagation. 21/07/2010: Toutefois, comme l’indique Chet Wisniewski, la révocation des certificats n’a aucun effet sur la reconnaissance des virus signés avant celle-ci.

Enfin, il nous est signalé (Wired) que des mots de passe de bases de données des systèmes SCADA qui seraient la cible de ces attaques sont souvent codées en dur dans les distributions et qu’on retrouve notamment ces mots de passe sur des forums en langue allemande et russe, et c’est d’ailleurs ce mot de passe qui aurait mis la puce à l’oreille de Frank Boldewin:

20/07/2010: Après des rapports de sa présence dans plusieurs pays asiatiques (Iran, Indonésie, Inde), le ver est identifié pour la première fois chez un client industriel Européen de Siemens en Allemagne, selon IDG News.

A suivre toujours !

Comment se protéger (suite)

20/07/2010: Une nouvelle méthode de protection est expliquée par Didier Stevens sur son blog. Elle consiste à créer une règle locale restreignant le démarrage d’applications (exécutables .EXE ou .DLL) depuis d’autres localisations que le disque système (normalement C:\…). De son côté, CERT-LEXSI (via @razy84) explique comment sous Windows 7 et 2008 R2 on peut aller plus loin que ces règles SRP grâce à AppLocker.

20/07/2010: Sophos, enfin, présente une page de synthèse sur cette vulnérabilité.

Articles en rapport :

The Stuxnet sting, Tareq Saade, Microsoft Malware Protection Center, 16/07/2010;
Verisign revokes certificate used to sign Stuxnet malware, Dennis Fisher, Threatpost Kaspersky Lab, 17/07/2010;
Win32/Stuxnet signed binaries, Pierre-Marc Bureau, ESET Threat blog, 19/07/2010;
SCADA system’s hard-coded password circulated online for years, Kim Zetter, Wired, 19/07/2010;
20/07/2010: After worm, Siemens says don’t change passwords, Robert McMillan, IDGNews, 19/07/2010;
20/07/2010: 0-day LNK: AppLocker à la Rescousse, Sylvain Sarmejeanne, CERT-LEXSI, 20/07/2010;
20/07/2010: Siemens: German customer hit by industrial worm, Robert McMillan, IDGNews, 20/07/2010;
20/07/2010: The CPLINK vulnerability, what you need to know, Sophos, 20/07/2010;
21/07/2010: Certified uncertainty, Chester Wisniewski, Sophos, 20/07/2010.

Stuxnet / CPLink la situation ne s’arrange pas

Les vers Stuxnet

Se protéger ?

Articles de référence:

Faille de sécurité des raccourcis sous Windows (suite)

Comment se protéger (suite)