GRATUIT

Vos offres d'emploi informatique

Développeurs, chefs de projets, ingénieurs, informaticiens
Postez gratuitement vos offres d'emploi ici visibles par 4 000 000 de visiteurs uniques par mois

emploi.developpez.com

Java.Tomdep : le nouveau malware cible les serveurs Apache Tomcat
Les administrateurs invités à renforcer le niveau de sécurité

Le , par Cedric Chevalier, Expert éminent sénior
Certains serveurs Apache Tomcat ont été récemment victimes d’un nouveau malware baptisé « Java.Tomdep », identifié pour la première fois par le cabinet de sécurité Symantec.

Le nouveau malware a un comportement atypique. En effet, au lieu de cibler les ordinateurs des utilisateurs comme on s’y attendrait certainement, Java.Tomdep cible principalement les serveurs.

Pour quel but ? Ce pourrait bien être un point de départ pour des attaques de types DDOS, selon Symantec. Rien n’est moins sûr.

Concrètement, l’infection se propage à partir d’un serveur déjà sous le contrôle du malware. Le mode opératoire est simple : en essayant les combinaisons élémentaires de noms d’utilisateur et mots de passe faibles (admin:admin, tomcat:tomcat, root:root), le malware infecte les autres serveurs et le cycle recommence.


Pour l’instant, le nombre de serveurs répertoriés n’est pas important. Cependant, rien n’exclut le fait qu’il soit plus significatif. En effet, la plupart des serveurs n’utilisent pas des solutions antivirus. « À notre connaissance, très peu de serveurs sont infectés par Java.Tomdep. Toutefois, les chiffres peuvent être réellement plus importants, puisque la plupart des serveurs n’utilisent pas de solutions antivirus. Espérons que le faible taux de victimes ne soit pas dû à cela. », peut-on lire sur la page officielle du projet.

Comme contre mesure, Symantec recommande vivement d’appliquer les correctifs récents pour Tomcat, de mettre à jour les solutions antivirus, et surtout d’utiliser une combinaison de nom d’utilisateur et mot de passe fort pour les administrateurs.

Source : Symantec

Et vous ?

Est-il concevable que des administrateurs utilisent des combinaisons de mots de passe et noms d'utilisateur aussi prévisibles ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de Traroth2 Traroth2 - Expert éminent sénior https://www.developpez.com
le 25/11/2013 à 11:10
En même temps, si on part du principe que le compte admin est protégé par un mot de passe très faible, presque n'importe quel système serveur est vulnérable. Ca tient plus du problème humain que de la vulnérabilité technique. En fait, je ne vois pas tellement en quoi appliquer les derniers correctifs à Tomcat va changer quoi que ce soit. Si on pouvait donner un conseil aux administrateurs, ça serait plutôt de mettre un mot de passe un peu costaud à toutes les machines accessibles reliées à Internet, y compris les serveurs de développement, de recette, etc.
Avatar de abriotde abriotde - Membre éclairé https://www.developpez.com
le 25/11/2013 à 14:33
Le virus ne fait certainement pas que tester les mot de passe, il va aussi exploiter les failles de sécurités facile. Et un mot de passe fort doit aussi exister au sein d'un réseau sécurisé. Il n'est souvent pas vraiment difficile de compromettre un réseau sécurisé grâce a un utilisateur... Si le réseau est sécurisé c'est pour ajouter une couche de protection pas seulement pour avoir une seul couche de sécurité.
Avatar de benratti benratti - Membre confirmé https://www.developpez.com
le 25/11/2013 à 17:26
Citation Envoyé par Cedric Chevalier  Voir le message
Pour l’instant, le nombre de serveurs répertoriés n’est pas important. Cependant, rien n’exclut le fait qu’il soit plus significatif. En effet, la plupart des serveurs n’utilisent pas des solutions antivirus. « À notre connaissance, très peu de serveurs sont infectés par Java.Tomdep. Toutefois, les chiffres peuvent être réellement plus importants, puisque la plupart des serveurs n’utilisent pas de solutions antivirus. Espérons que le faible taux de victimes ne soit pas dû à cela. », peut-on lire sur la page officielle du projet.

Perso, je n'ai jamais vu de serveur tomcat en prod avec l'application manager déployé voir même exposé. Je pense que c'est plutot ça qui fait que peu de serveurs touchés par ce malware sont répertoriés...

Ca me gène toujours le type de discours de Symantec ou autre éditeur de solution anti-virus... Leur job, c'est de vendre des licences d'anti-virus, donc quelle crédibilité peut on apporter à ce type de déclaration ? C'est un peu comme si prenait les paroles des commerciaux que je connais pour parole d'évangile.

Citation Envoyé par Cedric Chevalier  Voir le message
Est-il concevable que des administrateurs utilisent des combinaisons de mots de passe et noms d'utilisateur aussi prévisibles ?

oui, c'est du déjà vu en ce qui me concerne.
Avatar de Traroth2 Traroth2 - Expert éminent sénior https://www.developpez.com
le 25/11/2013 à 17:50
Citation Envoyé par abriotde  Voir le message
Le virus ne fait certainement pas que tester les mot de passe, il va aussi exploiter les failles de sécurités facile. Et un mot de passe fort doit aussi exister au sein d'un réseau sécurisé. Il n'est souvent pas vraiment difficile de compromettre un réseau sécurisé grâce a un utilisateur... Si le réseau est sécurisé c'est pour ajouter une couche de protection pas seulement pour avoir une seul couche de sécurité.

C'est quand même un peu de la spéculation, ça, "ne fait certainement pas que"...
Avatar de amaillere amaillere - Membre du Club https://www.developpez.com
le 29/11/2013 à 10:14
Sur les dernières version de Tomcat, la webapp d'admin n'est plus déployée par défaut, ce qui tue dans l'oeuf cette brèche.
Il faut quand même être un peu négligent pour être menacé. Soit apache httpd en frontal ne monte que les URIs des applis métiers, soit on supprime la webapp d'admin.
Le mot de passe "fort" n'est en l'occurrence pas une vraie solution.
Offres d'emploi IT
Responsable transverse - engagement métiers H/F
Safran - Ile de France - Corbeil-Essonnes (91100)
Ingénieur développement fpga (traitement vidéo) H/F
Safran - Ile de France - 100 rue de Paris 91300 MASSY
Architecte technique des systèmes d'information H/F
Safran - Ile de France - Évry (91090)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil