Vault 7 : WikiLeaks dévoile ELSA
Un malware de la CIA qui permet de géolocaliser des PC via des hotspot Wifi

Le , par Patrick Ruiz, Chroniqueur Actualités
WikiLeaks vient de publier un nouvel épisode de sa fameuse série Vault 7 qui détaille les activités de la Central Intelligence Agency (CIA) dans le domaine de la surveillance électronique. Cette fois, il s’agit d’un manuel utilisateur de 42 pages dédié à un outil dénommé ELSA.

ELSA est un outil de géolocalisation de PC qui se connectent à un réseau Wifi via un système d’exploitation Windows antérieur à la version 8.x. Le malware est conçu pour établir un modèle d’informations de localisation sur la base des détails tirés d’un point d’accès proche de la machine cible. Ces informations sont ensuite transmises soit à une base de données tierce, soit à l’ordinateur d’un agent à des fins de détermination de la latitude et de la longitude de l’appareil cible.


Le processus de géolocalisation débute bien évidemment avec l’injection du malware dans le PC de la victime. Après avoir généré la bibliothèque de liens dynamiques (Dll) nécessaire au pistage de l’ordinateur cible avec un outil dénommé PATCHER, l’agent doit la copier sur ladite machine. La bagatelle d’exploit dont dispose l’agence aide en principe à atteindre cet objectif aisément.

Une fois la Dll installée, elle assure la détection des hotspots Wifi environnant le PC infecté et entame l’enregistrement à intervalles réguliers de l’identifiant ESS – Extended Service Set – unique à chaque réseau. Il est à préciser que le malware est conçu pour que cette opération de collecte se fasse même en cas d’absence de réseau Wifi.

Présence de réseau Wifi ou pas, les informations nécessaires au pistage sont sauvegardées sur la machine cible dans un fichier chiffré avec l’algorithme AES-128. En cas de connexion de la victime à internet, le malware émet une requête vers un serveur de géolocalisation configuré d’avance par un agent.

Les informations obtenues de ce serveur – latitude, longitude de la machine cible et horodatage associé – sont à nouveau sauvegardées sur cette dernière. Par la suite, un agent se connecte à ladite machine et récupère le fichier de log créé par le malware. Il se sert ensuite d’un outil de déchiffrement pour obtenir les informations de géolocalisation ou mieux, interroger un autre serveur de géolocalisation pour avoir des informations plus précises.

Il faudrait préciser que le manuel a été rédigé pour le système d'exploitation Windows 7, ce qui laisse penser que l’agence pourrait disposer d’outils mis à jour pour Windows 10.

Source : Manuel

Et vous ?

Qu’en pensez-vous ?

Voir aussi :

Vault 7 : Wikileaks dévoile l'arsenal informatique de la CIA, l'agence est capable de contourner le chiffrement de WhatsApp
WikiLeaks : comment la CIA aurait piraté les smart TV de Samsung pour les transformer en dispositifs d'écoute des conversations privées
La CIA s'est servie de VLC et de plusieurs autres logiciels portés par la communauté du libre pour mener ses opérations d'espionnage


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de LapinGarou LapinGarou - Membre averti https://www.developpez.com
le 30/06/2017 à 14:35
Avec tous ces outils de la NSA, pourquoi tous ces hackeurs qui s'amusent a foutre le bor... partout sur les grandes entreprises ne s'en servent pas plutôt pour pister tous ces terroristes sur le web ? Avec tout leur savoir technique, quel gachis de ne se contenter que de bloquer telle ou telle entreprise pour lui montrer ses failles alors que pouvoir localiser abu truc-muche et ses congénère ça aidera à la chopper. Bref... Si il y avait une prime offerte là ils s'y mettraient je pense.
Avatar de TiranusKBX TiranusKBX - Expert confirmé https://www.developpez.com
le 30/06/2017 à 14:44
Tu à perdus le point de la bonne idée, les primes pour de telles cibles existent déjà
Avatar de Namica Namica - Membre expérimenté https://www.developpez.com
le 01/07/2017 à 3:49
Citation Envoyé par Patrick Ruiz Voir le message
...Il faudrait préciser que le manuel a été rédigé pour le système d'exploitation Windows 7, ce qui laisse penser que l’agence pourrait disposer d’outils mis à jour pour Windows 10...
Ben voyons...
Avatar de Patrick Ruiz Patrick Ruiz - Chroniqueur Actualités https://www.developpez.com
le 01/07/2017 à 11:35
Vault 7 : WikiLeaks dévoile le malware OutlawCountry
Utilisé par la CIA pour créer une table netfilter masquée sous Linux Red Hat Linux 6.x et dérivés

Après les récentes révélations sur le malware ELSA utilisé pour pister des PC Windows connectés à des réseaux Wifi, la série se poursuit avec la publication du manuel utilisateur d’un autre outil utilisé par les agents de la Central Intelligence Agency (CIA) contre des ordinateurs tournant sous Linux.

L’outil, utilisé par l’agence depuis 2015, est un module du noyau qui crée une table netfilter cachée sur une cible Linux. Au chargement du module, la table cachée se voit assigner un nom obscur. Dans cette version de l’outil, le nom assigné à cette dernière est « dpxvke8h18 ».

La connaissance de ce nom permet à un agent de créer de nouvelles règles de gestion des paquets IP prioritaires par rapport aux anciennes et hors d’atteinte de détection par l’administrateur système puisque masquées.

Ainsi, des paquets IP en provenance du réseau Ouest – WEST_2 – et transitant par le serveur Linux compromis (TARG_1) à destination d’un hôte précis – par exemple EAST_3 – peuvent ainsi être redirigés vers des postes de surveillance tenus par des agents de la CIA EAST_4 ou EAST_5.



L’installation du module sur la cible se fait via un accès shell à la cible. Le procédé requiert cependant que l’opérateur dispose de droits root sur le système cible, toutes choses que les agents réalisent sûrement au moins du nombre important d’exploits dont l’agence dispose.

Le module malveillant est conçu pour tourner sur les versions 64 bits des distributions CentOS et Red Hat 6.x. munies d’un kernel 2.6 au moins et d’une table de routage NAT.

Comme d’habitude, la recommandation donnée aux intervenants sur les systèmes visés est de les maintenir à jour. Le manuel laisse cependant entrevoir un moyen additionnel de mitiger ce type d’attaque.

Le fait pour un administrateur système de redémarrer le service de gestion de la table de routage aurait pour effet de placer le module dans un état dormant, ce qui obligerait l’agent à relancer la procédure d’installation.

Source : Manuel

Et vous ?

Que pensez-vous de cette nouvelle révélation de WikiLeaks ?

Voir aussi :

Vault 7 : Wikileaks dévoile l'arsenal informatique de la CIA, l'agence est capable de contourner le chiffrement de WhatsApp
WikiLeaks : comment la CIA aurait piraté les smart TV de Samsung pour les transformer en dispositifs d'écoute des conversations privées
La CIA s'est servie de VLC et de plusieurs autres logiciels portés par la communauté du libre pour mener ses opérations d'espionnage
Avatar de FatAgnus FatAgnus - Membre habitué https://www.developpez.com
le 01/07/2017 à 12:34
Cette faille cible uniquement Red Hat ou dérivé avec le noyau Linux 64 bits 2.6.32. Autant dire que cela ne court pas les rues. Ce noyau Linux 2.6.32 est sorti il y a bientôt huit ans.

De plus l'attaquant doit déjà avoir un accès shell à un système pour réaliser cet exploit. Les privilèges administrateurs sont également nécessaires pour charger un module noyau qui n'est pas déjà installé... Avec un shell ouvert sous l'utilisateur « root » beaucoup de systèmes sont vulnérables...

À lire : I'm concerned about the OutlawCountry exploit
Avatar de LittleWhite LittleWhite - Responsable 2D/3D/Jeux https://www.developpez.com
le 01/07/2017 à 12:42
Meme si le prerequis du noyau est vieux, il faut se rappeler de deux choses :
- les cibles sont precises (un SI precis) et l'objectif n'est pas de contaminer tout le monde, mais juste la ciblr (plus discret)
- ils peuvent avoir des exploits plus recents. La, il ne me semble pas reposer sur une faille quelconque, donc libre a eux de recompiler le module pour une version plus recente, si besoin est.
Avatar de Lcf.vs Lcf.vs - Membre averti https://www.developpez.com
le 01/07/2017 à 14:20
Perso, ce qui m'inquiète toujours, quand un exploit requiert un accès root, c'est de savoir comment ils l'obtiennent...

Je doute qu'ils misent sur le fait que leurs cibles soient forcément plus cons que d'autres, donc, est-ce que cette distrib a spécifiquement plus de failles que d'autres permettant cet accès?
Avatar de LittleWhite LittleWhite - Responsable 2D/3D/Jeux https://www.developpez.com
le 01/07/2017 à 17:46
Pourtant, ils ont le choix. Ces dernieres annees, on a vu pas mal de faille, avec des noms "amusants" (qui marque) et on peut citer la faille de sudo, d'il y a quelques semaines, ou encore le stack clash de la semaine derniere.
Avatar de Aiekick Aiekick - Membre chevronné https://www.developpez.com
le 02/07/2017 à 4:32
Pas trop pigé, et je connais pas bien linux.

j'ai compris, je pense que :
- ce malware est injecté en module dans le kernel.
- qu'une version de kernel est utilisé par plein de distrib

Du coup pourquoi est ce que ce malware n'impacte que 2 distribs ?
ou alors il s'agit d'un kernel customisé pour ces deux distribs ?

pour moi, les distribs personnalisait la surcouche applicative, ou faisait un choix des technologie connectée au kernel,
mais que tout l'interieur du kernel pour une version donnée était la meme pour toute les distribs.

j'aimerais comprendre.
Avatar de Patrick Ruiz Patrick Ruiz - Chroniqueur Actualités https://www.developpez.com
le 07/07/2017 à 7:46
Vault 7 : WikiLeaks dévoile les malwares BothanSpy et Gyrfalcon
Utilisés par la CIA pour pirater des clients SSH sous Windows et Linux

WikiLeaks vient de faire d’une pierre deux coups avec la publication des manuels de deux malwares par le biais de la même annonce. Comme dans le cas du précédent de la série – le malware OutlawCountry – nous avons encore affaire à des implants, c’est-à-dire à des logiciels malveillants que l’agence introduit dans les systèmes de ses cibles en tirant parti d’exploit dont elle seule a le secret.

Gyrfalcon, le plus ancien des deux malwares, est un ensemble de scripts Python conçus pour compromettre l’espace d’adressage réservé au client Linux OpenSSH sur les distributions Red Hat, Ubuntu, Suse, Debian et CentOS. Il aurait servi à des agents de la CIA pour intercepter, de façon furtive, le trafic SSH des postes ciblés.

Comme les logiciels malveillants OutlawCountry et ELSA, il est prévu que les données exfiltrées soient sauvegardées sur la machine cible dans des fichiers chiffrés et récupérées lors d’une session de travail dédiée à cet effet par un agent.

Identifiants, mots de passe et autres données sensibles ont ainsi pu tomber aux mains de l’agence depuis 2013 si l’on s’en tient à la date apparaissant sur la documentation liée.

BothanSpy pour sa part repose sur des bibliothèques de liaison dynamique et des scripts Python pour compromettre les sessions du client SSH Windows Xshell.

La particularité avec ce dernier est que l’exfiltration des données peut se faire sans écriture sur un disque de la machine cible, ce qui, logiquement, est la configuration à adopter par un agent qui veut espionner sans laisser de traces. Ce dernier aurait été utilisé par l’agence depuis 2015.

Ces révélations de WikiLeaks viennent démontrer chaque fois un peu plus à quel point les systèmes sur lesquels des personnes physiques et morales se reposent tant sont vulnérables.

Le plus inquiétant est que, si l’on se réfère aux dates sur les documents publiés, la CIA disposerait d’une expertise avérée pour contourner les mécanismes de « sécurité dès la conception » en principe plus renforcés sur Linux en comparaison à Windows.

Avec de récentes statistiques qui montrent qu’il y a une augmentation importante du nombre de logiciels malveillants développés contre les systèmes tournant sous Linux, nul doute que le futur s’annonce riche en révélations supplémentaires.

Sources : Gyrfalcon (PDF), BothanSpy (PDF)

Et vous ?

Que pensez-vous de ces nouvelles révélations de WikiLeaks ?

Voir aussi :

Vault 7 : Wikileaks dévoile l'arsenal informatique de la CIA, l'agence est capable de contourner le chiffrement de WhatsApp
WikiLeaks : comment la CIA aurait piraté les smart TV de Samsung pour les transformer en dispositifs d'écoute des conversations privées
Contacter le responsable de la rubrique Accueil