La CIA aurait-elle installé des implants malveillants sur les iPhone depuis la chaîne d'approvisionnement ?
C'est ce qu'indique WikiLeaks

Le , par Michael Guilloux, Chroniqueur Actualités
Il y a deux semaines, WikiLeaks a publié des documents relatifs aux techniques et exploits utilisés par la CIA pour pirater les produits des entreprises de technologie. Dans les heures suivant la divulgation des secrets de piratage de l’agence américaine, plusieurs fournisseurs ont réagi pour tenter de rassurer leurs utilisateurs. Apple a pour sa part déclaré que son analyse des documents de la CIA lui permet de dire que la plupart des failles de sécurité dans son système d’exploitation mobile ont déjà été corrigées dans la dernière version d’iOS. Mais, Julian Assange, le fondateur de WikiLeaks, a averti que les fichiers publiés ne représentaient qu’une petite fraction des documents de la CIA qu’il a en sa possession, en promettant que les autres seront divulgués progressivement.

La deuxième vague de documents vient d’être publiée. Il s’agit juste d’une dizaine de documents, la plupart, montrant comment la CIA aurait piraté les produits d’Apple, Mac et iPhone. Les documents mettent en évidence des techniques utilisées par la CIA pour infecter de manière persistante les appareils d’Apple.

Des projets de la CIA permettent par exemple de compromettre le firmware des Mac, de sorte que les infections persistent même si le système d’exploitation est réinstallé. C’est le cas par exemple du projet « Sonic Screwdriver » qui, comme l'explique la CIA, est un « mécanisme d'exécution de code sur des périphériques pendant qu'un ordinateur portable ou un ordinateur de bureau Mac démarre ». Il permet à un attaquant de démarrer son logiciel d'attaque à partir d'une clé USB par exemple, « même lorsqu'un mot de passe est activé sur le firmware ». Bien d’autres attaques ciblent également le firmware des appareils d’Apple.

Un autre document daté de 2008 montre également que la CIA avait mis au point un implant malveillant pour l'iPhone qui aurait pu être physiquement installé sur des iPhone neufs depuis la chaîne d’approvisionnement, explique WikiLeaks dans un communiqué de presse.

L'outil baptisé NightSkies (NS) fonctionne en arrière-plan et est doté de capacités qui permettent de télécharger des fichiers depuis l'appareil, mais également d'installer et d'exécuter des fichiers sur le dispositif. « NightSkies est installé via un accès physique à l'appareil », indiquent les documents de la CIA. NS restera ensuite « endormi » jusqu'à ce qu'une activité soit détectée sur l’appareil.

Lorsque l'activité de l'utilisateur est détectée, NS tentera d'interroger un « Listenning Post » préconfiguré pour récupérer certaines tâches et exécuter des instructions. Précisons que le Listenning Post est une station d’interception de communications électroniques. Les documents de la CIA révèlent que l'activité de l'utilisateur est détectée en surveillant des répertoires spécifiques sur le téléphone, tels que le fichier d'historique du navigateur, le cache vidéo YouTube, le cache de fichiers cartographiques ou les métadonnées des fichiers de messagerie.

Parmi les fonctionnalités de NS, on peut citer entre autres la possibilité de récupérer des fichiers depuis l'iPhone, y compris le carnet d'adresses, les SMS, les journaux d'appels (lorsqu'ils sont disponibles), etc. NS télécharge également des fichiers et des binaires, comme de futurs outils, sur l'iPhone. Il exécute des commandes arbitraires sur le dispositif et donne à la CIA un contrôle total de l'appareil à distance. Le tout est détaillé dans un guide utilisateur qui fournit des instructions pour configurer et installer NS sur un nouveau périphérique d'usine. Le guide comprend également des instructions sur la façon de créer et de maintenir le Listenning Post.

D'après WikiLeaks, il est probable que de nombreuses attaques d'accès physique de la CIA aient infecté la chaîne d'approvisionnement de la société. « Notons que NightSkies a atteint sa version 1.2 en 2008, et est expressément conçu pour être physiquement installé sur les iPhone neufs d'usine », souligne WikiLeaks, qui ajoute que « cela signifie que la CIA infecte la chaîne d'approvisionnement en iPhone de ses cibles depuis au moins 2008 ».

Ce qui est intéressant à noter, c’est que la plupart des documents de la CIA datent de près d’une décennie, à part deux de 2012 et 2013. Sachant par exemple qu’Apple a lancé son iPhone en 2007, la CIA a-t-elle une longueur d'avance dans la mise en place de certaines attaques contre les produits d’Apple ? C’est ce que suggère en effet cette nouvelle vague de documents. C’est également ce que pense Pedro Vilaca, un chercheur de sécurité qui étudie les ordinateurs Apple depuis des années.

D’après Vilaca, les documents montrent que la CIA était peut-être en avance dans la recherche de nouvelles façons de pirater et compromettre les Macs. « Il est intéressant de voir le décalage [temporel] entre le développement des outils de la CIA et la publication de recherches » sur des outils similaires, dit-il. À titre d’exemple, il explique que le Sonic Screwdriver de la CIA semble être la même attaque qu’une autre présentée à la fin de l’année 2014, et surnommée Thunderstrike. L’attaque de la CIA date toutefois de l’année 2012 au moins, d’après sa documentation divulguée par WikiLeaks.

Vilaca ne semble toutefois pas surpris par l’intérêt apparent de la CIA pour les produits d’Apple. Cela se justifie selon lui par la catégorie d’utilisateurs des produits d’Apple. « On dirait que la CIA est très intéressée par les cibles Mac / iOS, ce qui est logique puisque des cibles de grande valeur aiment les utiliser », explique Vilaca.

Sources : WikiLeaks, Vice

Et vous ?

Qu’en pensez-vous ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de sbeex sbeex - Membre habitué https://www.developpez.com
le 24/03/2017 à 14:14
Haha si tel est le cas ils ont fait très fort !

Je possède un iphone et... je m'en fiche en fait tant qu'il marche pas moins bien qu'avant !
Avatar de Ryu2000 Ryu2000 - Membre expert https://www.developpez.com
le 24/03/2017 à 14:24
Comme quoi les russes ont raison de se méfier des produits américains...
Avatar de nirgal76 nirgal76 - Membre expérimenté https://www.developpez.com
le 24/03/2017 à 14:37
Que ces activités soient vraies ou fausses, c'est en tout cas un article bourré de conditionnel, d'incertitude et de supputation (et ça date en plus). Du coup, ça rends pas crédibles des faits qui le sont sûrement.
Avatar de hotcryx hotcryx - Membre expérimenté https://www.developpez.com
le 24/03/2017 à 15:38
Il y aura toujours des gens qui n'y croieront pas, même avec la preuve sous le nez.
Avatar de Beanux Beanux - Membre éclairé https://www.developpez.com
le 24/03/2017 à 16:10
Citation Envoyé par nirgal76 Voir le message
Que ces activités soient vraies ou fausses, c'est en tout cas un article bourré de conditionnel, d'incertitude et de supputation (et ça date en plus). Du coup, ça rends pas crédibles des faits qui le sont sûrement.
C'est une question d’éthique.
La 2eme diffusion de wikileaks n'a ni été infirmé ni confirmé. Elle date d'hier. Donc difficile d'avoir déjà une confirmation des données fournies. Donc conditionnel.
A supposer que l'information n'eusse pas été aussi récente, les informations n'auraient peut être pas été confirmé (toujours vulnérable par exemple), donc l'emploi du conditionnel est nécessaire.

Je crois en la véracité de ces infos, mais le conditionnel est nécessaire.
Avatar de DonQuiche DonQuiche - Expert confirmé https://www.developpez.com
le 24/03/2017 à 17:50
Citation Envoyé par Beanux Voir le message
A supposer que l'information n'eusse pas été aussi récente
Je ne te reprends là-dessus que parce que tu sembles prêter attention à ces questions et pourrais donc accueillir ma remarque d'un bon oeil. Tu as commis deux fautes :
* Tu as utilisé la conjugaison à la première personne (eusse été) au lieu de la troisième (eût été).
* Tu as utilisé le plus-que-parfait du subjonctif alors qu'il fallait ici utiliser le passé (ait été) puisque tu débats de faits passés par rapport au contexte présent.

Concordance des temps :
* Contexte présent -> subjonctif présent (il soit), ou subjonctif passé pour une action antérieure (il ait été).
* Contexte passé -> subjonctif imparfait (il fût), ou subjonctif plus-que-parfait pour une action antérieure (il eût été).

Que cela ne te freine pas dans ton effort d'usage du subjonctif, que je salue.
Avatar de NSKis NSKis - Membre émérite https://www.developpez.com
le 25/03/2017 à 15:48
Citation Envoyé par sbeex Voir le message
Haha si tel est le cas ils ont fait très fort !

Je possède un iphone et... je m'en fiche en fait tant qu'il marche pas moins bien qu'avant !
Et bien voilà la réponse typique de tous les "neuneu" de notre société de consommation: "Euh! Je m'en fiche d'être espionné, j'ai rien à cacher!"

C'est grâce à ce genre de réponse que la société actuelle se transforme en une immense prison à ciel ouvert où le moindre comportement du citoyen est scruté, analysé, enregistré...

Et est-ce que le "Euh! Je m'en fiche d'être espionné, j'ai rien à cacher!" imagine ce qu'il pourrait advenir de ses données dans les mains d'un gouvernement un "peu particulier", style Erdogan en Turquie (qui fait la chasse aux opposants), style Kim Jong-Un en Corée du Nord, style Khmers Rouge au Cambodge qui ont fait la chasse aux intellectuels allant jusqu'à tuer 21% de la population du pays en 4 ans???

Et est-ce que le "Euh! Je m'en fiche d'être espionné, j'ai rien à cacher!" se souvient qu'il y a moins de 80 ans un taré arrivé au pouvoir en Allemagne a éliminé physiquement 5 millions de personnes juste parce qu'elles étaient de confession juive, 300.000 personnes handicapées mentales ou physiques en Allemagne, entre 300'000 et 500'000 tziganes à travers l'Europe occupée, environ 10'000 homosexuels??? Quel aurait été le bilan si le gouvernement nazi avait disposé à l'époque d'internet et avait eu accès à toutes les données collectées auprès des "Euh! Je m'en fiche d'être espionné, j'ai rien à cacher!"???
Avatar de nirgal76 nirgal76 - Membre expérimenté https://www.developpez.com
le 27/03/2017 à 10:20
Point godwin pour toi. Bravo !

Citation Envoyé par Beanux Voir le message
C'est une question d’éthique.
La 2eme diffusion de wikileaks n'a ni été infirmé ni confirmé. Elle date d'hier. Donc difficile d'avoir déjà une confirmation des données fournies. Donc conditionnel.
A supposer que l'information n'eusse pas été aussi récente, les informations n'auraient peut être pas été confirmé (toujours vulnérable par exemple), donc l'emploi du conditionnel est nécessaire.

Je crois en la véracité de ces infos, mais le conditionnel est nécessaire.
Une informations non vérifiée n'est pas une information, c'est une rumeur.
(même si je crois aussi à ces révélations moi aussi)
Avatar de Ryu2000 Ryu2000 - Membre expert https://www.developpez.com
le 27/03/2017 à 10:38
Citation Envoyé par NSKis Voir le message
Quel aurait été le bilan si le gouvernement nazi avait disposé à l'époque d'internet et avait eu accès à toutes les données collectées
Aucun régime au monde n'a jamais autant surveillé son propre peuple que les USA dans la période actuelle.
C'est même pire que la plus dystopique des œuvres de science fictions.

D'abord on a accepté qu'il y ait une webcam et un micro dans les pc portables (beaucoup de gens cachent la webcam, c'est obligatoire dans plein d'entreprises).
Mais c'est devenu pire avec les smartphones qui sont équipé d'un micro, 2 caméras, un capteur GPS et son en permanence connecté à internet.
Les gens étalent leur vie sur les réseaux sociaux.
On fait tout pour rendre facile la récolte de nos données.



Sauf qu'on est dans l'idéologie du bien, les gens se disent "nous sommes en état d'urgence", "c'est pour lutter contre le terrorisme", etc.
Alors que c'est pour récolter le plus d'informations personnelles pour les revendre à des entreprises.

Si n'importe quel pays au monde avait fait le millième de ce que font les USA, ça ne passerait pas si facilement...
Avatar de Michael Guilloux Michael Guilloux - Chroniqueur Actualités https://www.developpez.com
le 27/03/2017 à 12:01
Vault 7 : Apple affirme que les documents de la CIA sont dépassés
et que les vulnérabilités censées affecter ses produits ont déjà été corrigées

Juste avant le weekend, WikiLeaks a publié une nouvelle série de documents dans le cadre de son opération Vault 7 visant à révéler les techniques et outils de piratage de la CIA. Dans cette nouvelle vague baptisée DarkMatter, ce sont les produits d’Apple qui étaient concernés. Il s’agissait en effet d’une dizaine de documents mettant en évidence les techniques de la CIA pour pirater les produits d’Apple, Mac et iPhone.

Des projets de la CIA permettaient par exemple de compromettre le firmware des Mac, de sorte que les infections persistent même si le système d’exploitation est réinstallé. Un autre document daté de 2008 montrait également que la CIA avait mis au point un implant malveillant pour l'iPhone ; lequel implant aurait pu physiquement être installé sur de nouveaux iPhone depuis la chaîne d’approvisionnement.

Comme lors de la première vague de documents publiés, il a fallu juste quelques heures à Apple pour réagir. Et encore une nouvelle fois, la firme de Cupertino assure que ses utilisateurs sont déjà protégés de ces vulnérabilités. Dans un communiqué, Apple a en effet fait savoir que les documents de la CIA publiés par WikiLeaks sont vieux et que les failles décrites dans ses produits ont été corrigées depuis bien longtemps : depuis 2009 pour la vulnérabilité affectant les iPhone et à partir de 2013 pour les Mac. Dans chacun des cas, il faut cependant passer aux produits plus récents d’Apple pour être protégé.

« D'après notre première analyse [des révélations de WikiLeaks], la prétendue vulnérabilité de l'iPhone n'a affecté que l'iPhone 3G et a été corrigée en 2009 lorsque l'iPhone 3GS a été lancé. Notre analyse préliminaire montre encore que les prétendues vulnérabilités affectant les Mac ont été corrigées dans tous les Mac lancés après 2013 », affirme Apple. Cela sous-entend que les utilisateurs des Mac lancés jusqu’en 2013 ne seraient pas protégés. Vu que les produits d’Apple sont associés à des consommateurs nantis, doit-on donc espérer qu’en 2017, la plupart ont abandonné les Mac datant d’avant 2013 ?

Quoi qu’il en soit, Apple ne semble pas apprécier la manière dont WikiLeaks coordonne la divulgation des documents de la CIA. L’organisation non gouvernementale avait promis de partager les documents et le code de la CIA avec les grandes entreprises de l’IT, afin de leur permettre de corriger les problèmes dans les produits avant que les détails ne soient portés à la connaissance du public. Certaines entreprises avaient salué cette initiative. C’est le cas de Microsoft qui a également indiqué que sa « méthode préférée pour toute personne connaissant des problèmes de sécurité, y compris la CIA ou WikiLeaks, est de soumettre des détails à secure@microsoft.com » afin que la firme puisse examiner les informations et prendre toutes les mesures nécessaires pour protéger ses clients. Mais, à entendre Apple, il semble que WikiLeaks s’attende à une collaboration spéciale avec les entreprises dans cette affaire, plutôt que de soumettre ces informations via le processus normal.

« Nous n'avons pas négocié d'information avec WikiLeaks. Nous leur avons donné des instructions pour soumettre toutes les informations qu'ils souhaitent à travers notre processus normal selon nos termes standards. Jusqu'à présent, nous n'avons reçu aucune information de leur part qui ne soit pas du domaine public », a déclaré Apple. Pour sa part, le fabricant d’iPhone ne semble pas non plus ouvert à entamer une collaboration spéciale avec WikiLeaks, en dehors de son processus standard. « Nous sommes des défenseurs infatigables de la sécurité et de la confidentialité de nos utilisateurs, mais nous ne tolérons pas le vol et ne collaborons pas avec ceux qui menacent de nuire à nos utilisateurs », a ajouté Apple.

Rappelons qu’après la publication des premiers documents de la CIA, Mozilla s’était également plaint de WikiLeaks en l’accusant de mettre en péril la sécurité de l’Internet : « Si les informations publiées dans les rapports sont exactes, alors cela prouve que la CIA porte atteinte à la sécurité de l'internet - et WikiLeaks aussi », avait affirmé Heather West, Senior Policy Manager chez Mozilla. Il accusait WikiLeaks de ne pas divulguer ces vulnérabilités aux entreprises affectées pour leur permettre de les corriger et protéger les utilisateurs, avant de les mettre à la disposition du public.

Source : Mac Rumors

Et vous ?

Que pensez-vous du communiqué d’Apple ?
Que pensez-vous de la manière dont WikiLeaks divulgue ces informations ?
Avatar de SkyZoThreaD SkyZoThreaD - Membre expérimenté https://www.developpez.com
le 27/03/2017 à 12:46
Comment ils sont mad Apple qu'on dévoile leurs failles
Surtout qu'ils se ventent dans leurs pubs aux US d'avoir des produits sécurisés contrairement à la concurence.

WikiLeaks
Avatar de Lcf.vs Lcf.vs - Membre éprouvé https://www.developpez.com
le 27/03/2017 à 14:21
Pub déguisée, basée sur la peur, de la part d'Apple? culpabilisation des gens n'ayant pas changé d'appareil depuis 2013?
Avatar de Beanux Beanux - Membre éclairé https://www.developpez.com
le 27/03/2017 à 14:36
Citation Envoyé par nirgal76 Voir le message
Une informations non vérifiée n'est pas une information, c'est une rumeur.
(même si je crois aussi à ces révélations moi aussi)
Elle est vérifié dans le sens ou elle a été déclarée par le biais de documents et autre. Mais non corroboré, et c’est la que la nuance doit se faire
Avatar de Felykanku Felykanku - Membre régulier https://www.developpez.com
le 29/03/2017 à 0:27
Ils sont champion en piratage, ça du moins c'est une évidence. Mais que dire de la presidentielle passée ? Un pirate piraté ?
Avatar de Michael Guilloux Michael Guilloux - Chroniqueur Actualités https://www.developpez.com
le 01/04/2017 à 17:35
Vault 7 : la CIA a développé un outil pour masquer ses traces
et orienter les chercheurs en sécurité vers des attaquants chinois ou russes

WikiLeaks publie une troisième vague de documents dans le cadre de son opération Vault 7, visant à divulguer les techniques et outils de piratage utilisés par la CIA. L’opération a été lancée le 7 mars avec de nombreux fichiers décrivant des failles de sécurité exploitées pour compromettre des PC Windows, des Mac, des appareils Android et iOS, mais également les smart TV de Samsung, entre autres dispositifs. Deux semaines plus tard, de nouveaux documents ont été publiés. Ces dernières révélations montraient que la CIA avait installé des implants malveillants sur les iPhone depuis la chaîne d'approvisionnement, mais était également capable d'infecter les iPhone et Mac d'Apple de manière persistante.

Dans ce nouvel épisode de l’opération de WikiLeaks, ce sont près de 700 fichiers de code source d’un framework baptisé Marble qui ont été publiés. Il s’agit d’un outil utilisé par la CIA pour brouiller les pistes après une attaque de ses agents. D’après WikiLeaks, Marble est en effet « utilisé pour empêcher les enquêteurs et les sociétés d’antivirus d'attribuer des virus, des chevaux de Troie et des attaques à la CIA. » Marble fait cela en appliquant des techniques d’obscurcissement sur les fragments de texte utilisés dans les logiciels malveillants de la CIA. Marble a été développé pour « permettre un obscurcissement flexible et facile à utiliser », car « les algorithmes d’obscurcissement de chaîne (en particulier ceux qui sont uniques) sont souvent utilisés pour lier des logiciels malveillants à un développeur ou une société de développement spécifique ».

L’une des particularités de cet outil est qu’il pourrait permettre à la CIA de déguiser son code pour faire croire aux chercheurs en sécurité qu’il provient d’un autre pays. Le code source fourni par WikiLeaks contient des exemples en chinois, russe, coréen, arabe et farsi (principale langue parlée en Iran). « Cela peut amener les enquêteurs à attribuer le code à d'autres [attaquants], par exemple en considérant que la langue du créateur du logiciel malveillant n'est pas l'anglais, mais le chinois », affirme WikiLeaks.


L’existence d’un tel outil devrait amener les chercheurs en sécurité à rouvrir certains dossiers pour une analyse plus éclairée prenant en compte les nouvelles données. C’est d’ailleurs ce que souhaite WikiLeaks. La version 1.0 de Marble a en effet été sortie en 2015 et l’outil a été utilisé l’an dernier. Il est donc possible que certaines enquêtes sur des attaques ayant utilisé Marble n’aient pas pu être résolues et aient débouché sur de fausses pistes.

Pour aider les enquêteurs, WikiLeaks a donc publié un outil inclus dans les fichiers de la CIA. L'outil a été conçu par les espions américains pour inverser l’obscurcissement dans leurs logiciels malveillants. Combiné avec les techniques d’obscurcissement de la CIA qui ont été révélées, WikiLeaks pense qu’un modèle ou une signature pourrait émerger, ce qui peut aider les enquêteurs à attribuer des attaques et des logiciels malveillants découverts précédemment à la CIA.

Source : WikiLeaks

Et vous ?

Que pensez-vous de ces nouvelles révélations de WikiLeaks ?
Avatar de TiranusKBX TiranusKBX - Expert confirmé https://www.developpez.com
le 01/04/2017 à 18:25
Je paris que l'on vas aussi découvrir plus tard que certaines attaques sur des sociétés aux USA on été faites par la CIA, le tout couvert par ce merveilleux Framework!
Avatar de Aiekick Aiekick - Membre expérimenté https://www.developpez.com
le 01/04/2017 à 21:06
drole d'idée mais ca ne prouve pas grande chose.

mettre des commentaire dans du code c’est aberrant pour un virus qui doit être discret, donc des charactere chinois qui prenne une place folle, c'est débile.

moi je met tout mes com en anglais pourtant je code tout seul, et suis francais.. donc bon faut etre bete pour penser que le com indique l'origine du soft
Avatar de Ryu2000 Ryu2000 - Membre expert https://www.developpez.com
le 03/04/2017 à 8:52
Citation Envoyé par Aiekick Voir le message
faut etre bete pour penser que le com indique l'origine du soft
C'est triste mais certaines personne pense que c'est une preuve suffisante.
Alors qu'à chaque fois c'est une attaque sous faux drapeau...
Les personnes qui développent ce genre d'outils font en sorte de ne pas être retracé, par conséquent ils écrivent tout en anglais...

Aujourd'hui on nous fait croire que les ennemis sont la Russie, la Chine, l'Iran, la Corée du Nord, la Syrie, etc.
Alors que l'ennemi c'est les USA.
C'est eux qui espionnent le monde entier.

Si des enquêteurs trouve du texte en Russe dans un programme malveillant, ils vont tout de suite croire que ça vient de Russie, alors que ça vient de la CIA.
Les médias nous conditionnent à avoir une pensée manichéenne : Les USA sont nos gentils copains, la Russie, la Chine, sont nos méchant ennemis.
Du coup dès qu'il y a le moindre truc en rapport avec ces pays soit disant ennemi, ça suffit, on ne cherche pas plus.
Une entreprise américaine qui se fait pirater aura plus de faciliter à croire que le piratage vient de Russie plutôt qu'il ne vient de la CIA...
Avatar de emutramp emutramp - Membre régulier https://www.developpez.com
le 03/04/2017 à 21:45
Même sans la moindre preuve, répéter une information fausse ou invérifiable devient après un savant mélange des médias traditionnels voir spécialisé IT grand publique par devenir dans la tête du français (ou pays aux ordres des US), une vérité. Un agent du FBI l’a d’ailleurs très bien résume en assumant récemment «*Le piratage du parti démocrate pendant l’élection US est d’origine russe, ce n’est même plus a démontrer*» alors que jusqu’ici, aucune preuve vérifiable par le publique n’est disponible.

C’est comme Yahoo et ses 500 millions de comptes compromis*:

http://www.lemonde.fr/pixels/article...7_4408996.html (ou autres media traditionnel, voir même oriente IT tech)

Alors que, précisément*:

http://thehackernews.com/2017/03/yah...each-hack.html

En résumé*: Vérifiez l’information donné par n’importe quel media, via plusieurs sources et ne jamais considéré comme vrai ce qui est relate dans les médias a première lecture ou sans approfondir le sujet et connaître exactement les détails qui ne sont pas relaté.
Avatar de Michael Guilloux Michael Guilloux - Chroniqueur Actualités https://www.developpez.com
le 09/04/2017 à 1:25
Vault 7 : WikiLeaks dévoile les outils utilisés par la CIA pour infecter les PC Windows
et échapper à la détection des logiciels de sécurité

Le 7 mars, WikiLeaks a lancé l’opération Vault 7 visant à divulguer les techniques et outils de piratage utilisés par la CIA. Les premiers fichiers divulgués par l’organisation non gouvernementale décrivaient des failles de sécurité exploitées pour compromettre des PC Windows, des Mac, des appareils Android et iOS, mais également les smart TV de Samsung, entre autres dispositifs.

Après cette première vague, ce sont d’autres documents qui montraient que la CIA avait installé des implants malveillants sur les iPhone depuis la chaîne d'approvisionnement, mais était également capable d'infecter les iPhone et Mac d'Apple de manière persistante. Il y a eu ensuite un nouvel épisode où près de 700 fichiers de code source d’un framework baptisé Marble ont été publiés. Il s’agit d’un outil utilisé par la CIA pour brouiller les pistes après une attaque de ses agents. Marble permet par exemple à la CIA de déguiser son code pour orienter les chercheurs en sécurité vers de fausses pistes, en particulier vers des attaquants russes, chinois et coréens, entre autres.

WikiLeaks vient de publier un nouveau lot de documents appartenant à la CIA ; et cette fois, ils décrivent des outils utilisés par l’agence d’espionnage pour infecter les PC Windows. Cette nouvelle fuite est baptisée Grasshopper, du nom d’un ensemble d'outils logiciels utilisés pour créer des logiciels malveillants personnalisés pour les ordinateurs Windows. « Grasshopper est un outil logiciel utilisé pour créer des installateurs personnalisés pour les ordinateurs cibles exécutant le système d'exploitation Microsoft Windows », est-il expliqué dans le guide utilisateur de la CIA.

Grasshopper est doté d'une variété de modules qui peuvent être utilisés par un opérateur de la CIA comme des blocs pour construire un implant personnalisé qui se comportera différemment en fonction de l’ordinateur ciblé. D’après les documents de la CIA, il serait possible pour un opérateur de personnaliser son malware de sorte que son installation dépende de l’évaluation de l’environnement cible. Les conditions cibles à vérifier sont décrites à l'aide d'un langage de règle personnalisé. D’après WikiLeaks, ce langage, qui serait d’ailleurs très flexible, permet de définir des règles qui sont utilisées pour faire une évaluation du terrain avant l’installation de la charge utile sur le périphérique. Cela « permet de s’assurer que la charge utile ne sera installée que si la cible a la bonne configuration », explique le lanceur d’alerte. « Grâce à ce langage, les opérateurs de la CIA sont capables […] de vérifier par exemple si le périphérique cible exécute une version spécifique de Microsoft Windows ou si un produit antivirus particulier est en cours d'exécution ou non », dit-il.

Grasshopper implémente des techniques pour éviter d’être détecté par les antivirus sur l'ordinateur spécifique ciblé. D’après WikiLeaks, il est en effet susceptible de ne pas être détecté par les produits de sécurité comme Kaspersky Internet Security Suite, Microsoft Security Essentials, Rising Internet Security et Symantec End Point Protection.

L’outil de la CIA utilise également divers mécanismes de persistance, y compris Stolen Goods 2.0. Les documents publiés par WikiLeaks le décrivent comme « un module de persistance pour Grasshopper, basé sur des composants d’un logiciel malveillant tiers ». Ce logiciel malveillant tiers en question n’est rien d’autre que Carberp, un trojan bancaire attribué aux Russes et dont le code source a été publié en ligne en 2013. La CIA a emprunté des composants de ce trojan qu’elle a ensuite modifiés pour ses propres opérations de piratage. « Les composants [de Stolen Goods 2.0] ont été prélevés sur un logiciel malveillant connu sous le nom de Carberp, un rootkit suspecté d'appartenir à des Russes », est-il indiqué dans les documents de la CIA. Et d’ajouter : « Le code source de Carberp a été publié en ligne et a permis [à nos équipes] d'emprunter facilement des composants du malware. » Cela confirme, comme le cas du botnet Mirai, que lorsque le code d’un malware est publié en ligne, cela peut-être très dangereux pour la sécurité des systèmes informatiques.

La CIA explique toutefois dans les documents publiés par WikiLeaks que la plupart des composants de Carberp n'étaient pas utilisés dans Stolen Goods 2.0. Seuls le module de persistance et les parties de l'installateur ont été pris et modifiés pour répondre à ses besoins. « Une grande majorité du code Carberp d'origine utilisé a été fortement modifiée. Très peu de morceaux du code original existent sous une forme non modifiée ». La CIA assure également qu’avant de les utiliser, « tous les composants pris en charge par Carberp ont été soigneusement analysés pour chercher des fonctionnalités cachées, backdoors, vulnérabilités, etc.

WikiLeaks explique que les 27 documents publiés dans cette nouvelle vague donnent un aperçu de la façon dont la CIA maintient la persistance sur les ordinateurs Windows infectés ; ce qui devrait, selon le lanceur d’alerte, donner des directives à ceux qui cherchent à défendre leurs systèmes, pour identifier tout compromis existant.

Sources : Communiqué de WikiLeaks, Grasshopper v2 (guide d’utilisateur), Stolen Goods 2.0 (manuel d’utilisateur)

Et vous ?

Qu’en pensez-vous ?
Avatar de Pierre GIRARD Pierre GIRARD - Expert confirmé https://www.developpez.com
le 12/04/2017 à 17:29
Ça fait un argument de plus pour les Chinois et les Russes de fuir les produits "Made In USA". Pendant ce temps là l'Europe, dont la France, continue à investir massivement dans les PC à base de Windows.
Avatar de Bam92 Bam92 - Membre régulier https://www.developpez.com
le 14/04/2017 à 14:29
Je ne sais pas si j'ai bien lu, mais il me semble que GNU/Linux n'est pas la cible. Merci mon Debian.
Aux autres j'en appelle à l'adoption de la culture libre (vivre la transparance)
Avatar de Michael Guilloux Michael Guilloux - Chroniqueur Actualités https://www.developpez.com
le 24/04/2017 à 10:04
Weeping Angel : WikiLeaks publie le guide utilisateur de l'implant de la CIA
pour transformer les smart TV de Samsung en dispositifs d’écoute

Weeping Angel faisait partie de la première vague de documents de la CIA qui ont été publiés par WikiLeaks, dans son opération baptisée Vault 7. Développé en collaboration avec le MI5, le service de la sécurité intérieure britannique, l’outil aurait permis à la CIA de pirater des smart TV de Samsung et les transformer en dispositifs d’écoute des conversations privées des utilisateurs. Il s’agit en effet d’un implant conçu pour enregistrer les bruits aux alentours de la smart TV grâce à son microphone intégré. Les données audio sont ensuite exfiltrées ou stockées sur l’appareil pour une récupération ultérieure.

Dans le guide utilisateur publié ce weekend, WikiLeaks fournit des détails sur les principales fonctionnalités de l’implant. Le document décrit toutefois une des premières versions de l’outil, celle initialement développée par le MI5, avant que la CIA ne l’adapte pour ses propres besoins. Cette version baptisée « EXTENDING » dans le guide utilisateur a été conçue pour les téléviseurs intelligents Samsung F Series.

L’implant EXTENDING peut être installé à l'aide d'une méthode d'accès physique. Son programme d'installation est chargé sur une clé USB qui doit être ensuite insérée dans le téléviseur cible pour être exécuté. Le programme d'installation va déployer l'implant sur l’appareil avec un fichier de configuration qui sera utile pour diverses opérations, telles que l’exfiltration des enregistrements, l’écoute des enregistrements en direct ou encore la désinstallation du programme malveillant. Une fois installé sur le téléviseur, EXTENDING va attendre le prochain démarrage de l’appareil pour commencer à opérer.

Il y a deux manières possibles d’exfiltrer les données enregistrées. La première consiste à les récupérer en ayant un accès physique à la smart TV. Pour exfiltrer des fichiers par accès physique, une clé USB doit être insérée sur l’appareil. La clé USB contient un certain fichier avec une certaine chaine telle que définie dans le fichier de configuration, lui-même déjà copié sur le téléviseur pendant l’installation. Lorsqu’elle est insérée dans le téléviseur, les fichiers sont automatiquement copiés sur la clé USB.

Il est également possible de récupérer le fichier audio à distance, via un point d’accès WI-FI. Pour exfiltrer les fichiers sur un point d'accès Wi-Fi, le point d'accès doit être configuré dans la portée du téléviseur avec un SSID préconfiguré, tel que défini dans le fichier de configuration installé sur l’appareil. Les fichiers sont ensuite exfiltrés sur ce réseau Wi-Fi vers un serveur tel que configuré dans le fichier de configuration. Grâce à un outil baptisé Live Listening Tool, l’implant permet d’écouter l’enregistrement en direct, alors qu'il est exfiltré sur le point d’accès WI-FI.

L’une des fonctionnalités les plus importantes de l’outil est le mode « Fake-off » qui permet d’enregistrer les conversations, même quand les utilisateurs croient avoir éteint leur téléviseur. EXTENDING est capable d’intercepter la commande qui permet d’éteindre le téléviseur, et dès qu'il intercepte, il éteint plutôt l'écran du téléviseur en laissant son processeur en marche ; ce qui lui permet de continuer à enregistrer. L'implant peut également être désinstallé en insérant une clé USB avec un fichier contenant une certaine chaine telle que définie dans le fichier de configuration. Lorsque cette clé USB est insérée dans le téléviseur, l'implant se désinstalle. Il est aussi possible de définir dans le fichier de configuration une date et une heure à laquelle l’implant doit se désinstaller automatiquement.

L’installation de l’implant EXTENDING se faisant par un accès physique, la menace est donc très limitée et plutôt ciblée. On ne peut toutefois pas en dire autant pour Weeping Angel, qui est une version améliorée par la CIA pour répondre à des besoins plus exigeants. Lors de la première vague de documents de la série Vault 7, les documents publiés par WikiLeaks (datant de 2014) ont révélé encore que dans une version future, il serait prévu d’étendre les fonctionnalités de Weeping Angel, pour permettre l'enregistrement d'images et de vidéos, pour les smart TV avec une caméra intégrée.

Source : WikiLeaks, Guide utilisateur EXTENDING

Et vous ?

Qu’en pensez-vous ?
Offres d'emploi IT
Architecte électronique de puissance expérimenté H/F
Safran - Ile de France - Villaroche - Réau
Architecte systèmes études & scientifiques H/F
Safran - Ile de France - Vélizy-Villacoublay (78140)
Architecte et intégrateur scade/simulink H/F
Safran - Ile de France - Vélizy-Villacoublay (78140)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil