Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Archimedes : WikiLeaks publie un outil de la CIA pour mener des attaques man-in-the-middle
Au sein des réseaux locaux d'entreprise

Le , par Michael Guilloux

70PARTAGES

11  0 
WikiLeaks continue de déballer le lot de documents et outils de piratage de la CIA qui est en sa possession ; lequel a commencé à être publié le 7 mars à travers l’opération baptisée Vault 7. Pratiquement chaque semaine, le lanceur d’alertes a mis en ligne, vague après vague, de nombreux manuels utilisateur et des bouts de code de certains outils de l’arsenal de l’agence américaine. La liste est longue et l'on peut citer l’outil Weeping Angel, un implant pour transformer les smart TV de Samsung en dispositifs d’écoute, ou encore Marble, qui permet à la CIA de masquer ses traces après ses attaques et orienter les chercheurs en sécurité sur des pistes de hackers chinois ou russes. L’un des derniers que nous avons signalés était Grasshopper, un outil pour développer des malwares personnalisés ciblant les PC Windows, mais également échapper à la détection des antivirus.

Ce weekend, WikiLeaks a révélé l’existence d’un autre outil baptisé Archimedes, qui lui-même était une mise à jour d’un autre outil de la CIA, baptisé Fulcrum. Ce dernier vise à attaquer un réseau LAN distant et d'après le guide utilisateur publié par WikiLeaks, Fulcrum « facilite l'utilisation d'une machine contrôlée [par la CIA] pour pivoter vers une autre machine cible non compromise qui se trouve sur le même LAN. L'application effectuera une attaque man-in-the-middle sur l'ordinateur cible. L'application va surveiller ensuite le trafic HTTP de la machine cible et rediriger la cible vers l'URL fournie lorsque les conditions appropriées sont respectées. »

Avant d’aller plus loin, rappelons qu’un réseau local ou LAN (Local Area Network) est un réseau informatique à travers lequel les terminaux qui y participent s'envoient des trames au niveau de la couche de liaison sans utiliser d’accès à internet, ce qui permet notamment de limiter les risques d’attaques informatiques. L’attaque de la CIA repose donc sur une « machine pivot », une machine contrôlée sur laquelle Fulcrum est exécutée.

« Fulcrum n'est pas un exploit ou un ver », est-il précisé dans le guide utilisateur. « Il ne fera pas d'exécution de code arbitraire sur une machine distante et ne créera pas d'escalade de privilège sur la machine pivot. Il n'affectera pas les applications ou les systèmes d'exploitation sur les machines pivots ou cibles. Fulcrum ne va pas se répliquer ou cibler automatiquement les machines sur un réseau local ... Fulcrum dirigera le trafic HTTP d'une machine cible vers l'URL de choix de l'attaquant ».

L’attaque de la CIA est une attaque main-in-the-middle basée sur l’ARP spoofing. Pour information, l’Address Resolution Protocol (ARP, protocole de résolution d’adresse) est un protocole effectuant la traduction d’une adresse de protocole de couche réseau (typiquement une adresse IPv4) en une adresse MAC (typiquement une adresse Éthernet), ou même de tout matériel de couche de liaison. Il se situe à l’interface entre la couche réseau et la couche de liaison. Fulcrum se concentre uniquement sur l'environnement IPv4 et Ethernet ; la combinaison d'IPv4 et Ethernet représentant l'écrasante majorité des réseaux locaux (LAN), est-il indiqué dans le manuel utilisateur.

La technique ARP Spoofing est utilisée sur un réseau local pour permettre à une machine contrôlée par un attaquant d'intercepter des trames de données de machines du réseau, allant vers d'autres destinations. Cela place la machine de l'attaquant au milieu de tout trafic de la machine de la cible vers une autre destination.

La CIA explique dans son manuel que « l'ARP Spoofing compromet la traduction d'adresse IPv4 des machines cibles en adresses MAC en envoyant des paquets ARP falsifiés qui associent l'adresse MAC de l'attaquant à l'adresse IP d'un autre hôte (par exemple, la passerelle par défaut). Tout le trafic destiné à cette adresse IP serait donc envoyé par erreur à l'attaquant », comme vous pouvez le voir sur la figure suivante.


Fulcrum utilise l'ARP spoofing pour se placer entre la machine cible et la passerelle par défaut sur le réseau local afin qu'il puisse surveiller tout le trafic quittant la machine cible. Une fois que tout le trafic réseau de la machine cible est acheminé vers la machine pivot, Fulcrum surveille des messages HTTP spécifiques. Connaissant l'activité de la machine cible, la CIA peut créer une fausse page Web identique à un site visité par la machine cible. Et quand la victime tentera d’accéder à ce site, Archimedes va la piéger en ouvrant la copie, par exemple pour récupérer des informations, des identifiants, etc. Ce logiciel a été spécialement conçu pour les environnements Windows XP, Vista et Seven.

Sources : Communiqué de WikiLeaks, Guide utilisateur Archimedes, Guide utilisateur Fulcrum

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Grogro
Membre extrêmement actif https://www.developpez.com
Le 05/09/2017 à 14:43
Ce qui ne me laissera pas d'étonner, à chaque épisode du feuilleton Vault 7, c'est l'assourdissant silence médiatique de la part de la totalités des médias non spécialisés dans l'IT quand on voit le ramdam habituel autour des "leaks".
La sécurité de l'information n'intéresse donc personne ? Ou wikileaks est devenu tabou car politiquement incorrect ?
6  0 
Avatar de marsupial
Membre expert https://www.developpez.com
Le 09/07/2017 à 0:02
Ces révélations de wikileaks accompagnées de celles des shadow brokers ne sont que la partie émergée de l'iceberg des outils des five eyes en opération depuis le 11 septembre sous couvert de lutte anti terrorisme. Que ce soit tombé entre les mains des russes est déjà fort facheux. Qu'ils le répandent sur le net devient un problème non pas de sécurité nationale mais de sureté mondiale, on le voit avec NotPetya.
Commercial en solutions de sécurité est l'occasion de devenir multi-millionaire par les temps qui courent. Ou investir dans le Bitcoin pourrait être pas mal.
Admin sys & réseaux demandez une sévère augmentation ainsi que des primes substantielles de résolution d'incidents.

Très chers Etat, administrations, organisations en tout genre, attendez vous à du gros temps.
4  0 
Avatar de Tartare2240
Membre averti https://www.developpez.com
Le 24/08/2017 à 16:29
Donc, si j'ai bien compris, la CIA, donc agence gouvernementale américaine, espionne le FBI, autre agence gouvernementale américaine...

...ces idiots sévères n'ont pas assez d'ennemis à l'extérieur pour devoir espionner leurs propres agences !??
4  0 
Avatar de fenkys
Membre éprouvé https://www.developpez.com
Le 28/08/2017 à 11:53
La NSA espionnée ? Il n'y a que moi que cette information amuse ?
5  1 
Avatar de Pierre GIRARD
Expert éminent https://www.developpez.com
Le 28/08/2017 à 12:18
Il y a aussi moi, mais je suis bien persuadé que la NSA, de son côté, a tout ce qu'il faut pour espionner le FBI et la CIA. Ne somment nous pas dans le pays des libertés, celui dans lequel n'importe quel fou peut acheter n'importe quelle arme pour faire n'importe quoi n'importe quand ?
4  0 
Avatar de domi65
Membre confirmé https://www.developpez.com
Le 12/05/2017 à 11:20
Marble, qui permet à la CIA de masquer ses traces après ses attaques et orienter les chercheurs en sécurité sur des pistes de hackers chinois ou russes.
Je me disais aussi, « sont cons ces hackers russes, supposés ultra performants, à se laisser gauler aussi facilement !»
3  0 
Avatar de LittleWhite
Responsable 2D/3D/Jeux https://www.developpez.com
Le 01/07/2017 à 12:42
Meme si le prerequis du noyau est vieux, il faut se rappeler de deux choses :
- les cibles sont precises (un SI precis) et l'objectif n'est pas de contaminer tout le monde, mais juste la ciblr (plus discret)
- ils peuvent avoir des exploits plus recents. La, il ne me semble pas reposer sur une faille quelconque, donc libre a eux de recompiler le module pour une version plus recente, si besoin est.
3  0 
Avatar de earhater
Membre éclairé https://www.developpez.com
Le 17/07/2017 à 18:04
Ouais enfin faut qu'un mec de la CIA vous prenne le téléphone portable et installe une application qui se trouve sur votre page d'accueil sans que vous ne vous en aperceviez ?
3  0 
Avatar de TiranusKBX
Expert confirmé https://www.developpez.com
Le 25/08/2017 à 7:41
@Tartare2240
Les intérêts de la CIA ne sont pas les même que ceux des autres agences vus que une partie de leurs opérations vont à l'encontre du bien commun en infiltrant des organisation mafieuses pour engranger du fric
3  0 
Avatar de Lyons
Membre éclairé https://www.developpez.com
Le 08/05/2017 à 17:20
Mouais c'est pas la révélation du siècle non plus. L'ARP spoofing est vraiment une technique de base, y'a pléthore d'outil gratuits et opensource pour faire des ARP spoofing et tout ce qui s'en suit (spying, DNS spoofing, DoS...).
2  0