Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Shadow Brokers : l'exploit BENIGNCERTAIN, qui était supposé n'affecter que les pare-feu Cisco PIX,
Fonctionne aussi sur des modèles plus récents

Le , par Stéphane le calme

43PARTAGES

7  0 
En août, un groupe de pirates qui se fait appeler « The Shadow Brokers » a affirmé être parvenu à mettre la main sur des exploits appartenant au groupe « Equation Group », que Kaspersky avait identifié comme étant le « dieu » du cyberespionnage. Sur son site web, The Shadow Brokers a publié un échantillon d’exploits qu’il a pu récupérer, afin de prouver qu’il avait effectivement réussi le piratage.

Parmi ces échantillons figuraient certains comme BENIGNCERTAIN, un outil pour extraire les clés VPN des pare-feu Cisco PIX, les modèles précédents le Cisco ASA. BENIGNCERTAIN exploite une vulnérabilité dans l'implémentation de Cisco de l'Internet Key Exchange (IKE), un protocole qui utilise des certificats numériques pour établir une connexion sécurisée entre deux parties. L'attaque envoie des paquets malveillants à un dispositif PIX vulnérable. Les paquets obligent le dispositif vulnérable à retourner une partie de la mémoire. Un outil d'analyse syntaxique inclus dans l'exploit est alors en mesure d'extraire des données de clés et d'autres configurations prépartagées du VPN sur la réponse.

Suite à cette divulgation, des chercheurs en sécurité se sont laissés aller à des tests pour vérifier que l’exploit fonctionne sur les équipements de Cisco. Mais ils ne se sont arrêtés qu’aux anciennes versions de Cisco PIX étant donné que des indices dans le code source de l’exploit laissaient penser qu’il ne fonctionnerait que sur ces dispositifs.

Pendant ce temps, Cisco a effectué des tests en interne de ce même exploit et a indiqué que certains modèles récents sont vulnérables.


« Une vulnérabilité dans le paquet Internet Key Exchange version 1 (IKEv1) traitant le code dans les logiciels Cisco IOS, Cisco IOS XE et Cisco IOS XR pourrait permettre à un attaquant distant non authentifié de récupérer le contenu de la mémoire, ce qui pourrait conduire à la divulgation d'informations confidentielles.

La vulnérabilité est due à l'insuffisance des vérifications de contrôles dans la partie du code qui gère les demandes de négociation de sécurité IKEv1. Un attaquant pourrait exploiter cette vulnérabilité en envoyant un paquet IKEv1 modifié à un périphérique affecté configuré pour accepter les demandes de négociation de sécurité IKEv1. Une exploitation réussie pourrait permettre à l'attaquant de récupérer le contenu de la mémoire, ce qui pourrait conduire à la divulgation d'informations confidentielles.

Cisco publiera des mises à jour de logiciels qui répondent à cette vulnérabilité. Il n'y a aucune solution de contournement qui traite de cette vulnérabilité », indiquait l’équipementier le 16 septembre dernier. Parmi les produits affectés figurent les branches 4.3.x, 5.0.x, 5.1.x et 5.2.x de Cisco iOS XR. Toutes les versions de Cisco iOS XE sont affectées. En attendant de proposer un correctif, l'équipementier invite les administrateurs à mettre en œuvre un système de prévention d'intrusion (IPS) ou un système de détection d'intrusion (IDS) pour aider à détecter et à prévenir les attaques qui tentent d'exploiter cette vulnérabilité. Cisco recommande aux administrateurs de surveiller les systèmes affectés.

Lorsque Shadow Brokers a publié les échantillons de code, Cisco était parmi les premiers équipementiers à fournir des correctifs notamment à des exploits comme EPICBANANA (un exploit pour une élévation de privilège sur Cisco ASA), JETPLOW (un implant Cisco ASA et PIX utilisé pour insérer BANANAGLEE dans le firmware du dispositif) et EXTRABACON (un exploit permettant une exécution à distance de code sur Cisco ASA). D’autres équipementiers ont également fourni des correctifs pour colmater les failles exploitées par les outils.

Mustapha Al-Bassam, l’un des chercheurs qui a participé à la vérification de l’authenticité des exploits publiés par Shadow Brokers, s’est indigné : « la NSA s’est servi d’un exploit zero day pour récupérer à distance les clés VPN de pare-feu Cisco pendant quatorze ans ». Et de réclamer par la suite que « pour changer, nous pouvons fonder un institut national de chercheurs qui trouvent et rapportent des vulnérabilités critiques, au lieu d’en profiter ».


Source : Cisco, tweet Mustapha Al-Bassam

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Matthieu Vergne
Expert éminent https://www.developpez.com
Le 26/09/2016 à 14:32
Ou comment fabriquer un ennemi pour justifier son salaire.
6  0 
Avatar de hotcryx
Membre extrêmement actif https://www.developpez.com
Le 26/09/2016 à 16:06
Ils espionnent le monde entier, ils laissent des codes sur des serveurs, la Clinton n'utlise pas des serveurs dédiés sécurisés mais c'est toujours la faute des hackers et plus précisement des hackers russes.

Ca va mal finir tout ça, mais ce n'est JAMAIS la faute des américains (le sauveur du monde auto proclamé).

Ne manquez pas ce soir la confrontation entre Trump & Hillary
4  0 
Avatar de marsupial
Membre expert https://www.developpez.com
Le 26/09/2016 à 16:55
Excusez nous d avoir laisse trainer une tete nucleaire. Mais on ne vous dit rien pour savoir qui va l utiliser pour savoir qui l a recuperee.
4  0 
Avatar de marsupial
Membre expert https://www.developpez.com
Le 18/04/2017 à 9:50
L'information en elle même ne réside pas dans les failles que MS annonce patchées pour l'essentiel mais bien que le secret bancaire a été violé. Surtout celui des banques centrales du monde entier donnant des informations primordiales aux US sur le cours des changes et les politiques monétaires. Je ne suis pas spécialiste financier, loin de là, par contre je pense que ces données valaient bien plus que leur pesant d'or sur le terrain de la guerre économique et financière comme celle que se livre américains et chinois.
1  0 
Avatar de ALT
Membre chevronné https://www.developpez.com
Le 29/09/2016 à 9:52
Euh...
Reuters est un quotidien, maintenant ?
Il y a quelques semaines, c'était encore une agence de presse, au même titre que Tass, AFP...
0  0 
Avatar de domi65
Membre confirmé https://www.developpez.com
Le 04/11/2016 à 18:27
les 10 pays les plus ciblés étant la Chine, le Japon, la Corée, l'Espagne, l'Allemagne, l'Inde, Taiwan, le Mexique, l'Italie et la Russie.
T'imagines l'importance de la France ? derrière l'Italie et l'Espagne. Et on se croit encore un grand pays !
0  0 
Avatar de SuperLow
Nouveau Candidat au Club https://www.developpez.com
Le 23/12/2016 à 7:23
Modifier les dates des dossiers, mais pas dans les fichiers, avoir les capacités technique pour utiliser un touch, Merci captain obvious.
C'est toujours interessant d'avoir l'avis de grand spécialiste.
0  0 
Avatar de Carhiboux
Expert éminent sénior https://www.developpez.com
Le 23/12/2016 à 15:24
Ça sent le pot de miel à plein nez cette affaire.

C'est pas con en un sens. Si tu es sur de pouvoir tracer tous les appels à ton outil, par exemple en sniffant 90% du réseau mondial (tiens, la NSA? :p ), mettre tes outils à disposition est une bonne manière :

1/ De savoir qui sera ciblé. Pour pouvoir protéger les intérêts américains et trouver les coupable.

2/ De profiter du travail des autres : plus besoin de faire soi-même, d'autres le feront pour vous, qui sauront surement où et comment chercher.

Bref, qu'un truc comme ça sorte comme ça, c'est gros, et dans le monde des espions, j'ai du mal à y croire.

En tout cas, si c'est vrai et que c'est vraiment une fuite, ça doit chier des bulles carrées dans les hautes sphères des renseignements US!
0  0 
Avatar de J@ckHerror
Membre expérimenté https://www.developpez.com
Le 18/04/2017 à 11:15
Bah après c'est pas nouveau, ça fait presque 20 ans maintenant que les US ont un accès illégitime à SWIFT !
Fallait être naif de croire qu'en signant un traité ils allaient couper l'accès...

J@ck.
0  0 
Avatar de marsupial
Membre expert https://www.developpez.com
Le 01/06/2017 à 13:17
Kryptos Logic dénombre à ce jour entre 14 et 16 millions de systèmes infectés par WannaCry. Aujourd'hui encore des millions de systèmes sont porteurs sains du ver grâce au kill switch. Cela veut dire que les admin sys n'ont pas pu faire leur travail pour x raisons : manque de temps, d'argent, impossibilité de patcher, etc..
Si Kryptos Logic ferme le nom de domaine, la situation serait pire que lors de la fin de semaine du 12 mai !
Dans ce cas, à quoi bon acheter des failles pour les fixer si derrière ça ne suit pas ?

On s'étonne que la cybercriminalité s'estime à 8 000 milliards pour les 5 prochaines années.

L'action est stoppée par décision légale. source lefigaro.fr
0  0