IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Java.Tomdep : le nouveau malware cible les serveurs Apache Tomcat
Les administrateurs invités à renforcer le niveau de sécurité

Le , par Cedric Chevalier

5PARTAGES

3  1 
Certains serveurs Apache Tomcat ont été récemment victimes d’un nouveau malware baptisé « Java.Tomdep », identifié pour la première fois par le cabinet de sécurité Symantec.

Le nouveau malware a un comportement atypique. En effet, au lieu de cibler les ordinateurs des utilisateurs comme on s’y attendrait certainement, Java.Tomdep cible principalement les serveurs.

Pour quel but ? Ce pourrait bien être un point de départ pour des attaques de types DDOS, selon Symantec. Rien n’est moins sûr.

Concrètement, l’infection se propage à partir d’un serveur déjà sous le contrôle du malware. Le mode opératoire est simple : en essayant les combinaisons élémentaires de noms d’utilisateur et mots de passe faibles (admin:admin, tomcat:tomcat, root:root), le malware infecte les autres serveurs et le cycle recommence.


Pour l’instant, le nombre de serveurs répertoriés n’est pas important. Cependant, rien n’exclut le fait qu’il soit plus significatif. En effet, la plupart des serveurs n’utilisent pas des solutions antivirus. « À notre connaissance, très peu de serveurs sont infectés par Java.Tomdep. Toutefois, les chiffres peuvent être réellement plus importants, puisque la plupart des serveurs n’utilisent pas de solutions antivirus. Espérons que le faible taux de victimes ne soit pas dû à cela. », peut-on lire sur la page officielle du projet.

Comme contre mesure, Symantec recommande vivement d’appliquer les correctifs récents pour Tomcat, de mettre à jour les solutions antivirus, et surtout d’utiliser une combinaison de nom d’utilisateur et mot de passe fort pour les administrateurs.

Source : Symantec

Et vous ?

Est-il concevable que des administrateurs utilisent des combinaisons de mots de passe et noms d'utilisateur aussi prévisibles ?

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de Traroth2
Membre émérite https://www.developpez.com
Le 25/11/2013 à 11:10
En même temps, si on part du principe que le compte admin est protégé par un mot de passe très faible, presque n'importe quel système serveur est vulnérable. Ca tient plus du problème humain que de la vulnérabilité technique. En fait, je ne vois pas tellement en quoi appliquer les derniers correctifs à Tomcat va changer quoi que ce soit. Si on pouvait donner un conseil aux administrateurs, ça serait plutôt de mettre un mot de passe un peu costaud à toutes les machines accessibles reliées à Internet, y compris les serveurs de développement, de recette, etc.
4  0 
Avatar de benratti
Membre confirmé https://www.developpez.com
Le 25/11/2013 à 17:26
Citation Envoyé par Cedric Chevalier Voir le message

Pour l’instant, le nombre de serveurs répertoriés n’est pas important. Cependant, rien n’exclut le fait qu’il soit plus significatif. En effet, la plupart des serveurs n’utilisent pas des solutions antivirus. « À notre connaissance, très peu de serveurs sont infectés par Java.Tomdep. Toutefois, les chiffres peuvent être réellement plus importants, puisque la plupart des serveurs n’utilisent pas de solutions antivirus. Espérons que le faible taux de victimes ne soit pas dû à cela. », peut-on lire sur la page officielle du projet.
Perso, je n'ai jamais vu de serveur tomcat en prod avec l'application manager déployé voir même exposé. Je pense que c'est plutot ça qui fait que peu de serveurs touchés par ce malware sont répertoriés...

Ca me gène toujours le type de discours de Symantec ou autre éditeur de solution anti-virus... Leur job, c'est de vendre des licences d'anti-virus, donc quelle crédibilité peut on apporter à ce type de déclaration ? C'est un peu comme si prenait les paroles des commerciaux que je connais pour parole d'évangile.

Citation Envoyé par Cedric Chevalier Voir le message

Est-il concevable que des administrateurs utilisent des combinaisons de mots de passe et noms d'utilisateur aussi prévisibles ?
oui, c'est du déjà vu en ce qui me concerne.
0  0 
Avatar de Traroth2
Membre émérite https://www.developpez.com
Le 25/11/2013 à 17:50
Citation Envoyé par abriotde Voir le message
Le virus ne fait certainement pas que tester les mot de passe, il va aussi exploiter les failles de sécurités facile. Et un mot de passe fort doit aussi exister au sein d'un réseau sécurisé. Il n'est souvent pas vraiment difficile de compromettre un réseau sécurisé grâce a un utilisateur... Si le réseau est sécurisé c'est pour ajouter une couche de protection pas seulement pour avoir une seul couche de sécurité.
C'est quand même un peu de la spéculation, ça, "ne fait certainement pas que"...
0  0 
Avatar de amaillere
Membre du Club https://www.developpez.com
Le 29/11/2013 à 10:14
Sur les dernières version de Tomcat, la webapp d'admin n'est plus déployée par défaut, ce qui tue dans l'oeuf cette brèche.
Il faut quand même être un peu négligent pour être menacé. Soit apache httpd en frontal ne monte que les URIs des applis métiers, soit on supprime la webapp d'admin.
Le mot de passe "fort" n'est en l'occurrence pas une vraie solution.
0  0 
Avatar de abriotde
Membre chevronné https://www.developpez.com
Le 25/11/2013 à 14:33
Le virus ne fait certainement pas que tester les mot de passe, il va aussi exploiter les failles de sécurités facile. Et un mot de passe fort doit aussi exister au sein d'un réseau sécurisé. Il n'est souvent pas vraiment difficile de compromettre un réseau sécurisé grâce a un utilisateur... Si le réseau est sécurisé c'est pour ajouter une couche de protection pas seulement pour avoir une seul couche de sécurité.
0  1