Vault 7 : WikiLeaks dévoile le malware OutlawCountry
Utilisé par la CIA pour créer une table netfilter masquée sous Linux Red Hat 6.x et dérivés
Le 2017-07-01 11:35:48, par Patrick Ruiz, Chroniqueur Actualités
Après les récentes révélations sur le malware ELSA utilisé pour pister des PC Windows connectés à des réseaux Wifi, la série se poursuit avec la publication du manuel utilisateur d’un autre outil utilisé par les agents de la Central Intelligence Agency (CIA) contre des ordinateurs tournant sous Linux.
L’outil, utilisé par l’agence depuis 2015, est un module du noyau qui crée une table netfilter cachée sur une cible Linux. Au chargement du module, la table cachée se voit assigner un nom obscur. Dans cette version de l’outil, le nom assigné à cette dernière est « dpxvke8h18 ».
La connaissance de ce nom permet à un agent de créer de nouvelles règles de gestion des paquets IP prioritaires par rapport aux anciennes et hors d’atteinte de détection par l’administrateur système puisque masquées.
Ainsi, des paquets IP en provenance du réseau Ouest – WEST_2 – et transitant par le serveur Linux compromis (TARG_1) à destination d’un hôte précis – par exemple EAST_3 – peuvent ainsi être redirigés vers des postes de surveillance tenus par des agents de la CIA EAST_4 ou EAST_5.
L’installation du module sur la cible se fait via un accès shell à la cible. Le procédé requiert cependant que l’opérateur dispose de droits root sur le système cible, toutes choses que les agents réalisent sûrement au moins du nombre important d’exploits dont l’agence dispose.
Le module malveillant est conçu pour tourner sur les versions 64 bits des distributions CentOS et Red Hat 6.x. munies d’un kernel 2.6 au moins et d’une table de routage NAT.
Comme d’habitude, la recommandation donnée aux intervenants sur les systèmes visés est de les maintenir à jour. Le manuel laisse cependant entrevoir un moyen additionnel de mitiger ce type d’attaque.
Le fait pour un administrateur système de redémarrer le service de gestion de la table de routage aurait pour effet de placer le module dans un état dormant, ce qui obligerait l’agent à relancer la procédure d’installation.
Source : Manuel
Et vous ?
Voir aussi :
L’outil, utilisé par l’agence depuis 2015, est un module du noyau qui crée une table netfilter cachée sur une cible Linux. Au chargement du module, la table cachée se voit assigner un nom obscur. Dans cette version de l’outil, le nom assigné à cette dernière est « dpxvke8h18 ».
La connaissance de ce nom permet à un agent de créer de nouvelles règles de gestion des paquets IP prioritaires par rapport aux anciennes et hors d’atteinte de détection par l’administrateur système puisque masquées.
Ainsi, des paquets IP en provenance du réseau Ouest – WEST_2 – et transitant par le serveur Linux compromis (TARG_1) à destination d’un hôte précis – par exemple EAST_3 – peuvent ainsi être redirigés vers des postes de surveillance tenus par des agents de la CIA EAST_4 ou EAST_5.
L’installation du module sur la cible se fait via un accès shell à la cible. Le procédé requiert cependant que l’opérateur dispose de droits root sur le système cible, toutes choses que les agents réalisent sûrement au moins du nombre important d’exploits dont l’agence dispose.
Le module malveillant est conçu pour tourner sur les versions 64 bits des distributions CentOS et Red Hat 6.x. munies d’un kernel 2.6 au moins et d’une table de routage NAT.
Comme d’habitude, la recommandation donnée aux intervenants sur les systèmes visés est de les maintenir à jour. Le manuel laisse cependant entrevoir un moyen additionnel de mitiger ce type d’attaque.
Le fait pour un administrateur système de redémarrer le service de gestion de la table de routage aurait pour effet de placer le module dans un état dormant, ce qui obligerait l’agent à relancer la procédure d’installation.
Source : Manuel
Et vous ?
Voir aussi :
-
GrogroMembre extrêmement actifCe qui ne me laissera pas d'étonner, à chaque épisode du feuilleton Vault 7, c'est l'assourdissant silence médiatique de la part de la totalités des médias non spécialisés dans l'IT quand on voit le ramdam habituel autour des "leaks".
La sécurité de l'information n'intéresse donc personne ? Ou wikileaks est devenu tabou car politiquement incorrect ?le 05/09/2017 à 14:43 -
marsupialExpert éminentCes révélations de wikileaks accompagnées de celles des shadow brokers ne sont que la partie émergée de l'iceberg des outils des five eyes en opération depuis le 11 septembre sous couvert de lutte anti terrorisme. Que ce soit tombé entre les mains des russes est déjà fort facheux. Qu'ils le répandent sur le net devient un problème non pas de sécurité nationale mais de sureté mondiale, on le voit avec NotPetya.
Commercial en solutions de sécurité est l'occasion de devenir multi-millionaire par les temps qui courent. Ou investir dans le Bitcoin pourrait être pas mal.
Admin sys & réseaux demandez une sévère augmentation ainsi que des primes substantielles de résolution d'incidents.
Très chers Etat, administrations, organisations en tout genre, attendez vous à du gros temps.le 09/07/2017 à 0:02 -
Tartare2240Membre avertiDonc, si j'ai bien compris, la CIA, donc agence gouvernementale américaine, espionne le FBI, autre agence gouvernementale américaine...
...ces idiots sévères n'ont pas assez d'ennemis à l'extérieur pour devoir espionner leurs propres agences !??le 24/08/2017 à 16:29 -
fenkysMembre éprouvéLa NSA espionnée ? Il n'y a que moi que cette information amuse ?le 28/08/2017 à 11:53
-
Pierre GIRARDExpert éminentIl y a aussi moi, mais je suis bien persuadé que la NSA, de son côté, a tout ce qu'il faut pour espionner le FBI et la CIA. Ne somment nous pas dans le pays des libertés, celui dans lequel n'importe quel fou peut acheter n'importe quelle arme pour faire n'importe quoi n'importe quand ?le 28/08/2017 à 12:18
-
LittleWhiteResponsable 2D/3D/JeuxMeme si le prerequis du noyau est vieux, il faut se rappeler de deux choses :
- les cibles sont precises (un SI precis) et l'objectif n'est pas de contaminer tout le monde, mais juste la ciblr (plus discret)
- ils peuvent avoir des exploits plus recents. La, il ne me semble pas reposer sur une faille quelconque, donc libre a eux de recompiler le module pour une version plus recente, si besoin est.le 01/07/2017 à 12:42 -
earhaterMembre éprouvéOuais enfin faut qu'un mec de la CIA vous prenne le téléphone portable et installe une application qui se trouve sur votre page d'accueil sans que vous ne vous en aperceviez ?le 17/07/2017 à 18:04
-
TiranusKBXExpert confirmé@Tartare2240
Les intérêts de la CIA ne sont pas les même que ceux des autres agences vus que une partie de leurs opérations vont à l'encontre du bien commun en infiltrant des organisation mafieuses pour engranger du fricle 25/08/2017 à 7:41 -
Ryu2000Membre extrêmement actifLes lanceurs d'alerte prennent cher.
C'est très dissuasif.
Il est extremement dangereux de donner des preuves de crimes réalisés par ton pays (surtout si t'es étasunien).le 02/02/2024 à 15:19 -
Prox_13Membre éprouvé
Une honte internationale. Si les Russes n'avaient explosé leur réputation, cette décision de "justice" aurait été leur meilleur coup de pub.
Mais quelle honte, franchement ! 40 ans de prison !!!
Dispositif qui a couté plus de 100.000.000$ à mettre en place, aux frais du contribuable américain !!!
En somme, ils ont volé 100 millions de dollars pour espionner les citoyens et si y'a un qui moufte, il prend le reste de sa vie en taule ! Non mais ce scandale !
Non mais vous voulez qu'on parle des crimes d'espionnage les plus effrontés de l'histoire américaine ?! Comme le programme PRISM qui consistait a laisser l'Europe drainer les données américaines pour que les services secret américains puissent accéder aux informations sans être légalement responsable de les avoir espionnés !?! Non parce ce viol a ciel ouvert de la vie privée de millions de personnes n'a été révélé que GRACE à un effronté odieux qui les a leaké ! Et de surcroit, il les a leaké 6 ans après !
(Ah, je suis vert) le 02/02/2024 à 16:11