Java.Tomdep : le nouveau malware cible les serveurs Apache Tomcat
Les administrateurs invités à renforcer le niveau de sécurité
Le 2013-11-22 13:24:50, par Cedric Chevalier, Expert éminent sénior
Certains serveurs Apache Tomcat ont été récemment victimes d’un nouveau malware baptisé « Java.Tomdep », identifié pour la première fois par le cabinet de sécurité Symantec.
Le nouveau malware a un comportement atypique. En effet, au lieu de cibler les ordinateurs des utilisateurs comme on s’y attendrait certainement, Java.Tomdep cible principalement les serveurs.
Pour quel but ? Ce pourrait bien être un point de départ pour des attaques de types DDOS, selon Symantec. Rien n’est moins sûr.
Concrètement, l’infection se propage à partir d’un serveur déjà sous le contrôle du malware. Le mode opératoire est simple : en essayant les combinaisons élémentaires de noms d’utilisateur et mots de passe faibles (admin:admin, tomcat:tomcat, root:root), le malware infecte les autres serveurs et le cycle recommence.
Pour l’instant, le nombre de serveurs répertoriés n’est pas important. Cependant, rien n’exclut le fait qu’il soit plus significatif. En effet, la plupart des serveurs n’utilisent pas des solutions antivirus. « À notre connaissance, très peu de serveurs sont infectés par Java.Tomdep. Toutefois, les chiffres peuvent être réellement plus importants, puisque la plupart des serveurs n’utilisent pas de solutions antivirus. Espérons que le faible taux de victimes ne soit pas dû à cela. », peut-on lire sur la page officielle du projet.
Comme contre mesure, Symantec recommande vivement d’appliquer les correctifs récents pour Tomcat, de mettre à jour les solutions antivirus, et surtout d’utiliser une combinaison de nom d’utilisateur et mot de passe fort pour les administrateurs.
Source : Symantec
Et vous ?
Le nouveau malware a un comportement atypique. En effet, au lieu de cibler les ordinateurs des utilisateurs comme on s’y attendrait certainement, Java.Tomdep cible principalement les serveurs.
Pour quel but ? Ce pourrait bien être un point de départ pour des attaques de types DDOS, selon Symantec. Rien n’est moins sûr.
Concrètement, l’infection se propage à partir d’un serveur déjà sous le contrôle du malware. Le mode opératoire est simple : en essayant les combinaisons élémentaires de noms d’utilisateur et mots de passe faibles (admin:admin, tomcat:tomcat, root:root), le malware infecte les autres serveurs et le cycle recommence.
Pour l’instant, le nombre de serveurs répertoriés n’est pas important. Cependant, rien n’exclut le fait qu’il soit plus significatif. En effet, la plupart des serveurs n’utilisent pas des solutions antivirus. « À notre connaissance, très peu de serveurs sont infectés par Java.Tomdep. Toutefois, les chiffres peuvent être réellement plus importants, puisque la plupart des serveurs n’utilisent pas de solutions antivirus. Espérons que le faible taux de victimes ne soit pas dû à cela. », peut-on lire sur la page officielle du projet.
Comme contre mesure, Symantec recommande vivement d’appliquer les correctifs récents pour Tomcat, de mettre à jour les solutions antivirus, et surtout d’utiliser une combinaison de nom d’utilisateur et mot de passe fort pour les administrateurs.
Source : Symantec
Et vous ?
-
Traroth2Membre émériteEn même temps, si on part du principe que le compte admin est protégé par un mot de passe très faible, presque n'importe quel système serveur est vulnérable. Ca tient plus du problème humain que de la vulnérabilité technique. En fait, je ne vois pas tellement en quoi appliquer les derniers correctifs à Tomcat va changer quoi que ce soit. Si on pouvait donner un conseil aux administrateurs, ça serait plutôt de mettre un mot de passe un peu costaud à toutes les machines accessibles reliées à Internet, y compris les serveurs de développement, de recette, etc.le 25/11/2013 à 11:10
-
benrattiMembre confirméPerso, je n'ai jamais vu de serveur tomcat en prod avec l'application manager déployé voir même exposé. Je pense que c'est plutot ça qui fait que peu de serveurs touchés par ce malware sont répertoriés...
Ca me gène toujours le type de discours de Symantec ou autre éditeur de solution anti-virus... Leur job, c'est de vendre des licences d'anti-virus, donc quelle crédibilité peut on apporter à ce type de déclaration ? C'est un peu comme si prenait les paroles des commerciaux que je connais pour parole d'évangile.
oui, c'est du déjà vu en ce qui me concerne.le 25/11/2013 à 17:26 -
Traroth2Membre émériteC'est quand même un peu de la spéculation, ça, "ne fait certainement pas que"...le 25/11/2013 à 17:50
-
amaillereMembre du ClubSur les dernières version de Tomcat, la webapp d'admin n'est plus déployée par défaut, ce qui tue dans l'oeuf cette brèche.
Il faut quand même être un peu négligent pour être menacé. Soit apache httpd en frontal ne monte que les URIs des applis métiers, soit on supprime la webapp d'admin.
Le mot de passe "fort" n'est en l'occurrence pas une vraie solution.le 29/11/2013 à 10:14 -
abriotdeMembre chevronnéLe virus ne fait certainement pas que tester les mot de passe, il va aussi exploiter les failles de sécurités facile. Et un mot de passe fort doit aussi exister au sein d'un réseau sécurisé. Il n'est souvent pas vraiment difficile de compromettre un réseau sécurisé grâce a un utilisateur... Si le réseau est sécurisé c'est pour ajouter une couche de protection pas seulement pour avoir une seul couche de sécurité.le 25/11/2013 à 14:33