Concept Taplogger sous Android : une récupération de données frauduleuse mais originale

Android étant devenu le système d'exploitation ouvert pour smartphone le plus utilisé au monde, nombreux sont aussi les exploits ou les "preuves de concept" (PoC - Proof of Concept) accompagnant sa marche vers le succès.

Cette fois-ci, le concept d'attaque sort un peu des sentiers battus puisqu'il repose sur la capacité d'utiliser les données enregistrées des capteurs qui permettent d'interpréter les mouvements de changement de position de l'appareil dans l'espace ! Pour cela sont utilisées les faibles variations liées à la pression du doigt sur le clavier tactile. Un troyen permet de récupérer les informations des différents capteurs que sont les gyroscopes, l'accéléromètre ou les détecteurs d'orientation. Des algorithmes sont ensuite utilisés pour la corrélation des données utiles et permettent de reconstituer, en fonction du modèle de téléphone, le symbole ou le code PIN de déverrouillage du clavier, un numéro de téléphone composé, un numéro de carte bancaire saisi, etc.

C'est le travail d'une petite équipe de chercheurs qui a permis de valider ce concept appelé TapLogger et, pour plus de détails, on s'en référera à l'article de PCInpact. Ce qui a été moins commenté, c'est que l'équipe de chercheurs propose également des solutions pour empêcher (ou du moins limiter) la réussite de ce type d'attaque si elle venait à être utilisée. Au chapitre 7.3 intitulé "contre-mesures" se trouvent les préconisations.

En premier lieu, les chercheurs recommandent de s'intéresser aux systèmes de gestion de senseurs qui ne semblent pas exister. Un guide de bonnes pratiques (et plus tard pourquoi pas normatif) serait donc une première réponse intéressante. Il faudrait ensuite considérer les données des capteurs comme étant des données sensibles de même niveau que les données privées de l'utilisateur et les protéger en conséquence. Mais puisque malgré des permissions restrictives sur ces données rien n'empêchera un attaquant d'y accéder au bout d'un certain temps, l'amélioration de la gestion des UID est une piste sérieuse pour lui compliquer la tâche (reposant sur des travaux antérieurs). Enfin, des mesures "d'hygiène" standards comme un changement régulier du (ou des) mot de passe (de préférence robuste) ou l'augmentation du nombre de chiffres du code PIN sont aussi rappelés.

Sykipot, le troyen qui utilisait une smartcard comme monture

Nom : Sykipot

Type : code malveillant de type Troyen

Naissance : aux alentours de 2006, résurgence en 2010 et 2011

Origine : inconnue

Vecteur : mail avec fichier pdf attaché et piégé

Mode d'action :  ouverture de la pièce jointe par le destinataire

Cibles : Pentagone, DHS, Affaires Etrangères (State Department) et de nombreuses autres agences gouvernementales

Particularité : utilise comme complice un dispositif de sécurité !

L'affaire est tout simplement ÉNORME !

De nombreux ministères et agences gouvernementales américaines utilisent les cartes sécurisées dites smartcards d'ActivIdentity, l'un des leaders mondiaux de ce type de produits. Utilisés, soit dit en passant, à travers le monde y compris en France dans de grandes entreprises et administrations (je dis ça je dis rien !). Matériel (la carte) et logiciel (ses fonctionnalités), ce dispositif permet autant les accès physiques aux sites et bâtiments ainsi qu'au Système d'Information de l'entité  et sert de sésame à la PKI (fonctions d'identification forte de l'utilisateur, usage d'un mot de passe unique OTP, chiffrement des mails et des données, etc.).

Jusqu'à présent, le troyen Sykipot était considéré comme une menace de faible niveau, du moins sur ses variantes connues. Le problème ici, c'est que la variante découverte, apparemment originaire de Chine (restons prudent mais ça n'est pas surréaliste), n'était elle pas connue. Du point de vue principes de l'attaque, le code malveillant s'emparait du code PIN de la carte grâce à un module de type keylogger puis utilisait ce code pour s'authentifier à des ressources protégées, avec pour seule contrainte que la smartcard soint insérée. L'ensemble des opérations pouvait être piloté à distance depuis un serveur.

Il sera sans doute difficile de connaître l'étendue des dégâts, mais on peut supposer qu'ils existent, puisque la version compilée de cette variante date de mars 2011 tandis que sa découverte semble récente. Pour qui est intéressé, les détails de l'attaque sont mis à disposition par AlienVault (ici), un laboratoire spécialisé en sécurité, par qui l'affaire a été découverte.

Même si ce type de code malveillant utilisant une smartcard n'est pas nouveau, notons quand même le ciblage bien spécifique d'un dispositif de sécurité largement répandu au sein du Pentagone et de nombreuses autres agences, avec pour dernier ressort d'exfiltrer des informations évidemment sensibles et classifiées vers une zone géographique tiers. Si besoin était, cette affaire illustre gravement le cyber-espionnage intensif (voire extensif) qui a cours.

Cyber attaque sur Bercy : questions et réponses

Après quelques heures d'hésitations liées au fait que l'affaire de la Cyber attaque sur Bercy fait du bruit buzz (notez l'étrange anagramme !) et n'a pas besoin de mon relais comme combustible, essayons quand même de comprendre ce qui s'est passé.

S'agit-il d'une attaque délibérée ? 

En l'occurrence oui car la cible est l'une des 3 grandes directions de Bercy, pas n'importe laquelle justement : la Direction générale du Trésor.

L'attaque est-elle sophistiquée ?

Difficile à le déterminer pour le moment, les éléments techniques restent (et resteront probablement) soumis à une discrétion légitime. Pour autant, j'ai tendance à penser que l'attaque n'est pas forcément d'une grande complexité technique. Elle a nécessité une préparation discrète et importante (ingénierie sociale, peut-être aussi de la reconnaissance technique (balayage discret voire furtif de réseau[x],  d'hôtes, de ports, etc.). C'est en cela qu'il faut comprendre la phrase du patron de l'ANSSI : "Indéniablement, cette attaque est l'œuvre de professionnels qui ont agi avec des moyens importants nécessitant préparation et méthode".

 

Quel type d'attaque alors ?

On sait que le début de l'attaque a commencé de manière presque triviale (ce qui en soi peut prouver le défaut ou l'absence de sensibilisation aux risques informatiques malveillants de tout ou partie du personnel de Bercy)  : une personne reçoit un courriel probablement assez crédible qui lui fait cliquer sur la pièce jointe (Edit 8 mars : au format PDF, très difficile voire impossible à déceler). Le mal est fait car il s'agit d'un cheval de Troie qui va, probablement, chercher immédiatement à collecter les adresses électroniques des contacts  de l'ordinateur corrompu pour se propager rapidement (c'est une hypothèse. Edit : qui se confirme).

Autre hypothèse : le troyen a été spécialement conçu pour s'appuyer sur des faiblesses protocolaires ou logicielles relevées durant la phase préparatoire (l'absence de mise à jour des correctifs du système d'application, par exemple, est une plaie d'Égypte depuis presque deux décennies mais toujours d'actualité). 

L'attaque était-elle de grande ampleur ? 

Oui si l'on considère qu'une partie des machines compromises l'ont été durant plusieurs jours ou plusieurs semaines. Il faudrait ensuite savoir quelles informations ont été illégalement détournées et si leur exploitation est un réel préjudice.

Non car il est abusif de parler d'attaque de grande ampleur du point de vue quantitatif : rappelons qu'environs 150 ordinateurs ont été touchés sur les 170 000 que comptent Bercy. De plus, il semble qu'aucun autre ministère n'ait été touché, ce qui restreint drastiquement la portée de l'adjectif "grande".
Edit : d'autant plus quand on a l'exemple de la Corée du Sud qui, dans la nuit de jeudi à vendredi dernier, a vraiment subi des attaques de grande ampleur.

Le rôle de l'ANSSI.

Son expertise a permis d'empêcher une possible contagion au sein de Bercy en établissant un périmètre technique hermétique, en déverminant l'ensemble et en traitant de manière préventive une grande partie du S.I. de Bercy (Patch management probablement).

Quelles leçons tirer ?

Il est certainement présomptueux de tirer quelques conclusions pour le moment mais cette affaire met en lumière un certain nombre d'éléments encourageants mais aussi plus inquiétants.

Peu importe le ministère frappé, les réelles motivations ou l'origine de la menace, la France n'est pas la première nation ayant subi une attaque informatique (ciblée ou non). Ce qui est nouveau c'est sa médiatisation (notons d'ailleurs l'interview donnée par P. Pailloux dans...Paris Match, drôle de choix). Relevons également que l'attaque, bien préparée, a fonctionné mais qu'elle a pu être détectée, ce qui est heureux.
 

Enfin, l'ANSSI a mobilisé plusieurs dizaines de spécialistes durant quelques semaines mais son rôle renforcé d'acteur majeur de la cybersécurité demeure uniquement curatif. Illustration bien à propos de ce que j'en disais déjà la semaine dernière : "l'ANSSI aura un rôle de gestion de crise, ni plus ni moins [...]; au mieux elle coordonnera les quelques moyens mobilisables et tentera de limiter une attaque éventuelle".

C'est ce qui vient de se passer et il est plus que probable que l'actualité à venir n'a pas fini d'alimenter le sujet. Ici ou ailleurs...