Vault 7 : WikiLeaks dévoile les outils utilisés par la CIA pour infecter les PC Windows
Et échapper à la détection des logiciels de sécurité

Le , par Michael Guilloux, Chroniqueur Actualités
Le 7 mars, WikiLeaks a lancé l’opération Vault 7 visant à divulguer les techniques et outils de piratage utilisés par la CIA. Les premiers fichiers divulgués par l’organisation non gouvernementale décrivaient des failles de sécurité exploitées pour compromettre des PC Windows, des Mac, des appareils Android et iOS, mais également les smart TV de Samsung, entre autres dispositifs.

Après cette première vague, ce sont d’autres documents qui montraient que la CIA avait installé des implants malveillants sur les iPhone depuis la chaîne d'approvisionnement, mais était également capable d'infecter les iPhone et Mac d'Apple de manière persistante. Il y a eu ensuite un nouvel épisode où près de 700 fichiers de code source d’un framework baptisé Marble ont été publiés. Il s’agit d’un outil utilisé par la CIA pour brouiller les pistes après une attaque de ses agents. Marble permet par exemple à la CIA de déguiser son code pour orienter les chercheurs en sécurité vers de fausses pistes, en particulier vers des attaquants russes, chinois et coréens, entre autres.

WikiLeaks vient de publier un nouveau lot de documents appartenant à la CIA ; et cette fois, ils décrivent des outils utilisés par l’agence d’espionnage pour infecter les PC Windows. Cette nouvelle fuite est baptisée Grasshopper, du nom d’un ensemble d'outils logiciels utilisés pour créer des logiciels malveillants personnalisés pour les ordinateurs Windows. « Grasshopper est un outil logiciel utilisé pour créer des installateurs personnalisés pour les ordinateurs cibles exécutant le système d'exploitation Microsoft Windows », est-il expliqué dans le guide utilisateur de la CIA.

Grasshopper est doté d'une variété de modules qui peuvent être utilisés par un opérateur de la CIA comme des blocs pour construire un implant personnalisé qui se comportera différemment en fonction de l’ordinateur ciblé. D’après les documents de la CIA, il serait possible pour un opérateur de personnaliser son malware de sorte que son installation dépende de l’évaluation de l’environnement cible. Les conditions cibles à vérifier sont décrites à l'aide d'un langage de règle personnalisé. D’après WikiLeaks, ce langage, qui serait d’ailleurs très flexible, permet de définir des règles qui sont utilisées pour faire une évaluation du terrain avant l’installation de la charge utile sur le périphérique. Cela « permet de s’assurer que la charge utile ne sera installée que si la cible a la bonne configuration », explique le lanceur d’alerte. « Grâce à ce langage, les opérateurs de la CIA sont capables […] de vérifier par exemple si le périphérique cible exécute une version spécifique de Microsoft Windows ou si un produit antivirus particulier est en cours d'exécution ou non », dit-il.

Grasshopper implémente des techniques pour éviter d’être détecté par les antivirus sur l'ordinateur spécifique ciblé. D’après WikiLeaks, il est en effet susceptible de ne pas être détecté par les produits de sécurité comme Kaspersky Internet Security Suite, Microsoft Security Essentials, Rising Internet Security et Symantec End Point Protection.

L’outil de la CIA utilise également divers mécanismes de persistance, y compris Stolen Goods 2.0. Les documents publiés par WikiLeaks le décrivent comme « un module de persistance pour Grasshopper, basé sur des composants d’un logiciel malveillant tiers ». Ce logiciel malveillant tiers en question n’est rien d’autre que Carberp, un trojan bancaire attribué aux Russes et dont le code source a été publié en ligne en 2013. La CIA a emprunté des composants de ce trojan qu’elle a ensuite modifiés pour ses propres opérations de piratage. « Les composants [de Stolen Goods 2.0] ont été prélevés sur un logiciel malveillant connu sous le nom de Carberp, un rootkit suspecté d'appartenir à des Russes », est-il indiqué dans les documents de la CIA. Et d’ajouter : « Le code source de Carberp a été publié en ligne et a permis [à nos équipes] d'emprunter facilement des composants du malware. » Cela confirme, comme le cas du botnet Mirai, que lorsque le code d’un malware est publié en ligne, cela peut-être très dangereux pour la sécurité des systèmes informatiques.

La CIA explique toutefois dans les documents publiés par WikiLeaks que la plupart des composants de Carberp n'étaient pas utilisés dans Stolen Goods 2.0. Seuls le module de persistance et les parties de l'installateur ont été pris et modifiés pour répondre à ses besoins. « Une grande majorité du code Carberp d'origine utilisé a été fortement modifiée. Très peu de morceaux du code original existent sous une forme non modifiée ». La CIA assure également qu’avant de les utiliser, « tous les composants pris en charge par Carberp ont été soigneusement analysés pour chercher des fonctionnalités cachées, backdoors, vulnérabilités, etc.

WikiLeaks explique que les 27 documents publiés dans cette nouvelle vague donnent un aperçu de la façon dont la CIA maintient la persistance sur les ordinateurs Windows infectés ; ce qui devrait, selon le lanceur d’alerte, donner des directives à ceux qui cherchent à défendre leurs systèmes, pour identifier tout compromis existant.

Sources : Communiqué de WikiLeaks, Grasshopper v2 (guide d’utilisateur), Stolen Goods 2.0 (manuel d’utilisateur)

Et vous ?

Qu’en pensez-vous ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de Pierre GIRARD Pierre GIRARD - Expert confirmé https://www.developpez.com
le 12/04/2017 à 17:29
Ça fait un argument de plus pour les Chinois et les Russes de fuir les produits "Made In USA". Pendant ce temps là l'Europe, dont la France, continue à investir massivement dans les PC à base de Windows.
Avatar de Bam92 Bam92 - Membre régulier https://www.developpez.com
le 14/04/2017 à 14:29
Je ne sais pas si j'ai bien lu, mais il me semble que GNU/Linux n'est pas la cible. Merci mon Debian.
Aux autres j'en appelle à l'adoption de la culture libre (vivre la transparance)
Avatar de Michael Guilloux Michael Guilloux - Chroniqueur Actualités https://www.developpez.com
le 24/04/2017 à 10:04
Weeping Angel : WikiLeaks publie le guide utilisateur de l'implant de la CIA
pour transformer les smart TV de Samsung en dispositifs d’écoute

Weeping Angel faisait partie de la première vague de documents de la CIA qui ont été publiés par WikiLeaks, dans son opération baptisée Vault 7. Développé en collaboration avec le MI5, le service de la sécurité intérieure britannique, l’outil aurait permis à la CIA de pirater des smart TV de Samsung et les transformer en dispositifs d’écoute des conversations privées des utilisateurs. Il s’agit en effet d’un implant conçu pour enregistrer les bruits aux alentours de la smart TV grâce à son microphone intégré. Les données audio sont ensuite exfiltrées ou stockées sur l’appareil pour une récupération ultérieure.

Dans le guide utilisateur publié ce weekend, WikiLeaks fournit des détails sur les principales fonctionnalités de l’implant. Le document décrit toutefois une des premières versions de l’outil, celle initialement développée par le MI5, avant que la CIA ne l’adapte pour ses propres besoins. Cette version baptisée « EXTENDING » dans le guide utilisateur a été conçue pour les téléviseurs intelligents Samsung F Series.

L’implant EXTENDING peut être installé à l'aide d'une méthode d'accès physique. Son programme d'installation est chargé sur une clé USB qui doit être ensuite insérée dans le téléviseur cible pour être exécuté. Le programme d'installation va déployer l'implant sur l’appareil avec un fichier de configuration qui sera utile pour diverses opérations, telles que l’exfiltration des enregistrements, l’écoute des enregistrements en direct ou encore la désinstallation du programme malveillant. Une fois installé sur le téléviseur, EXTENDING va attendre le prochain démarrage de l’appareil pour commencer à opérer.

Il y a deux manières possibles d’exfiltrer les données enregistrées. La première consiste à les récupérer en ayant un accès physique à la smart TV. Pour exfiltrer des fichiers par accès physique, une clé USB doit être insérée sur l’appareil. La clé USB contient un certain fichier avec une certaine chaine telle que définie dans le fichier de configuration, lui-même déjà copié sur le téléviseur pendant l’installation. Lorsqu’elle est insérée dans le téléviseur, les fichiers sont automatiquement copiés sur la clé USB.

Il est également possible de récupérer le fichier audio à distance, via un point d’accès WI-FI. Pour exfiltrer les fichiers sur un point d'accès Wi-Fi, le point d'accès doit être configuré dans la portée du téléviseur avec un SSID préconfiguré, tel que défini dans le fichier de configuration installé sur l’appareil. Les fichiers sont ensuite exfiltrés sur ce réseau Wi-Fi vers un serveur tel que configuré dans le fichier de configuration. Grâce à un outil baptisé Live Listening Tool, l’implant permet d’écouter l’enregistrement en direct, alors qu'il est exfiltré sur le point d’accès WI-FI.

L’une des fonctionnalités les plus importantes de l’outil est le mode « Fake-off » qui permet d’enregistrer les conversations, même quand les utilisateurs croient avoir éteint leur téléviseur. EXTENDING est capable d’intercepter la commande qui permet d’éteindre le téléviseur, et dès qu'il intercepte, il éteint plutôt l'écran du téléviseur en laissant son processeur en marche ; ce qui lui permet de continuer à enregistrer. L'implant peut également être désinstallé en insérant une clé USB avec un fichier contenant une certaine chaine telle que définie dans le fichier de configuration. Lorsque cette clé USB est insérée dans le téléviseur, l'implant se désinstalle. Il est aussi possible de définir dans le fichier de configuration une date et une heure à laquelle l’implant doit se désinstaller automatiquement.

L’installation de l’implant EXTENDING se faisant par un accès physique, la menace est donc très limitée et plutôt ciblée. On ne peut toutefois pas en dire autant pour Weeping Angel, qui est une version améliorée par la CIA pour répondre à des besoins plus exigeants. Lors de la première vague de documents de la série Vault 7, les documents publiés par WikiLeaks (datant de 2014) ont révélé encore que dans une version future, il serait prévu d’étendre les fonctionnalités de Weeping Angel, pour permettre l'enregistrement d'images et de vidéos, pour les smart TV avec une caméra intégrée.

Source : WikiLeaks, Guide utilisateur EXTENDING

Et vous ?

Qu’en pensez-vous ?
Offres d'emploi IT
Architecte et intégrateur scade/simulink H/F
Safran - Ile de France - Vélizy-Villacoublay (78140)
Responsable transverse - engagement métiers H/F
Safran - Ile de France - Corbeil-Essonnes (91100)
Expert décisionnel business intelligence H/F
Safran - Ile de France - Évry (91090)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil