Page 2 – learn.hack.repeat

LockBit : le plus grand groupe de ransomwares démantelé lors d’une opération multinationale

On 21/02/2024

Dans le cadre d’une opération internationale conjointe, les forces de l’ordre ont saisi plusieurs domaines du darknet exploités par le groupe de ransomware LockBit, connu pour être l’un des plus prolifiques. L’opération, baptisée « Opération Cronos », a impliqué les autorités de 11 pays et a été menée en exploitant une vulnérabilité critique de PHP.

Le site web lié au groupe de ransomware LockBit est sous le contrôle des forces de l’ordre de 11 pays dans le cadre d’une opération internationale qui a permis de démanteler une partie de son infrastructure. La National Crime Agency (NCA) du Royaume-Uni a dirigé l’opération « Cronos » avec l’aide d’Europol et d’Eurojust. Bien que l’ampleur de l’opération soit inconnue, la visite du site .onion du groupe affiche une bannière de saisie avec le message suivant : « Le site est maintenant sous le contrôle des forces de l’ordre ».

Les autorités de 11 pays (Allemagne, Australie, Canada, États-Unis, Finlande, France, Japon, Pays-Bas, Royaume-Uni, Suède et Suisse, ainsi qu’Europol) ont participé à l’exercice conjoint.

Dans un message posté sur X (Twitter), le groupe de recherche sur les logiciels malveillants VX-Underground a déclaré que les sites ont été mis hors service par l’exploitation d’une vulnérabilité de sécurité critique affectant PHP (CVE-2023-3824, CVSS score : 9.8) qui pourrait entraîner l’exécution de code à distance.

Lockbit : groupe de ransomware

LockBit, apparu le 3 septembre 2019, a été l’un des groupes de de ransomwares les plus actifs et les plus notoires de l’histoire, faisant plus de 2000 victimes. On estime qu’il a extorqué au moins 91 millions de dollars à des organisations américaines uniquement. Selon les données communiquées par la société de cybersécurité ReliaQuest, LockBit a répertorié 275 victimes sur son portail de violation de données au cours du quatrième trimestre 2023, dépassant de loin tous ses concurrents. Il n’y a pas encore eu d’arrestations ou de sanctions. Toutefois, ce développement porte un coup définitif aux opérations à court terme de LockBit et intervient deux mois après que le gouvernement américain a démantelé l’opération de ransomware BlackCat.

Grâce à notre étroite collaboration, nous avons piraté les pirates, pris le contrôle de leur infrastructure, saisi leur code source et obtenu les clés qui aideront les victimes à décrypter leurs systèmes.
Graeme Biggar, directeur général de la NCA

À partir d’aujourd’hui, LockBit est bloqué. Nous avons porté atteinte aux capacités et, surtout, à la crédibilité d’un groupe qui s’appuyait sur le secret et l’anonymat. LockBit peut essayer de reconstruire son entreprise criminelle. Cependant, nous savons qui ils sont et comment ils opèrent.
Graeme Biggar, directeur général de la NCA

Ils ont laissé une note sur le panneau d’affiliation, indiquant qu’ils avaient « le code source, des détails sur les victimes que vous avez ciblées, la somme d’argent extorquée, les données volées, les chats et bien plus encore », ajoutant que cela avait été rendu possible grâce à « l’infrastructure défectueuse » de LockBit.

La NCA s’est engagée à contacter les victimes britanniques afin qu’elles puissent utiliser les clés pour lesquelles elles devraient être ajoutées à la page No More Ransom surveillée par Europol. Les victimes d’attaques pourront utiliser cette ressource pour découvrir les dernières clés de décryptage de LockBit. Les victimes de ce logiciel malveillant sont invitées à contacter le FBI à l’adresse https://lockbitvictims.ic3.gov/ afin de permettre aux autorités de déterminer si les systèmes affectés peuvent être décryptés avec succès.

Plus d’information:
https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group
https://en.wikipedia.org/wiki/Lockbit
https://twitter.com/vxunderground/status/1759732862335504773
https://nvd.nist.gov/vuln/detail/CVE-2023-3824

Et s’il s’agissait de la pire attaque DNS jamais découverte?

de jabot

On 17/02/2024

dans Chiffrement, CVE, Sécurité

KeyTrap est ~~probablement~~ peut-être la pire attaque DNS jamais découverte. Il s’agit d’un déni de service sur les serveurs DNSSEC (aujourd’hui utilisés dans 31 % des résolutions), précisément parce qu’ils traitent des clés chiffrées. Si un ou plusieurs domaines concernés étaient attaqués, des parties entières de l’internet disparaîtraient ou auraient des problèmes de connectivité.

Découverte par des universités allemandes et le Centre national allemand de recherche en cybersécurité appliquée, le rapport The KeyTrap Denial-of-Service Algorithmic Complexity Attacks on DNS (attaques de complexité algorithmique par déni de service sur le DNS) qui vient d’être publié, décrit comment un serveur DNSSEC vulnérable se verrait demander comment résoudre un domaine malveillant, qui à son tour renverrait à un serveur malveillant, lequel renverrait une réponse qui l’amènerait à effectuer des calculs si complexes qu’ils épuiseraient les ressources du serveur.

Selon la spécification DNSSEC elle-même, la réponse RRSet spécialement manipulée devrait contenir tout le matériel chiffré nécessaire pour valider avec succès l’intégrité de la résolution.

La création des correctifs a été coordonnée entre les principaux fournisseurs et BIND, le logiciel libre par excellence. Ils sont maintenant disponibles pour tous. Cela atténue le problème de la validation du matériel, mais pas le défaut de conception.

Ce défaut a été introduit en 1999 dans le RFC 2535, aujourd’hui obsolète, et reproduit dans les RFC 6781 et RFC 6840. Il est implémenté dans BIND depuis 2000.

DNSSEC, c’est quoi ?

Les serveurs DNS sont utilisés par les navigateurs web et d’autres logiciels pour transformer des noms de domaine conviviaux, tels que wikipedia.org, en adresses IP conviviales auxquelles se connecter. Les serveurs DNS sont gérés par toutes sortes d’organisations, depuis les services informatiques jusqu’aux fournisseurs d’accès à Internet. Le DNS n’est pas sûr parce qu’il envoie des requêtes et des réponses sur les réseaux en texte clair, ce qui permet à ces données d’être potentiellement modifiées par des fouineurs pour diriger les connexions des personnes vers des systèmes malveillants.

Le protocole DNSSEC (Domain Name System Security Extensions) constitue une amélioration du DNS en ce sens qu’il utilise le chiffrement pour garantir que les résultats des requêtes ne sont pas altérés par des personnes mal intentionnées. Un résolveur DNS validant DNSSEC utilise DNSSEC pour effectuer cette forme plus sûre de résolution DNS.

Exploitation de la vulnérabilité

Voyons les différentes étapes qui formeraient l’exploitation de la vulnérabilité KeyTrap, de l’identification au déni de service:

Identification de serveurs DNSSEC vulnérables : Les attaquants identifient les serveurs DNSSEC vulnérables qui sont susceptibles d’être exploités. Cela peut être réalisé en effectuant des scans de réseau ou en utilisant des outils de reconnaissance pour repérer les serveurs qui utilisent DNSSEC.
Sélection d’un domaine malveillant : Les attaquants sélectionnent un domaine malveillant qu’ils contrôlent. Ce domaine sera utilisé pour déclencher l’attaque et rediriger le trafic vers des serveurs malveillants contrôlés par les attaquants.
Manipulation des réponses DNS : Les attaquants manipulent les réponses DNS en modifiant les enregistrements RRSet (Resource Record Set) pour inclure des clés de chiffrement spécialement conçues. Ces clés manipulées sont ensuite retournées dans la réponse DNS aux requêtes légitimes des utilisateurs.
Déclenchement de l’attaque : Lorsque les utilisateurs légitimes effectuent des requêtes DNS vers les serveurs vulnérables, les réponses manipulées sont renvoyées par les serveurs vulnérables. Cela déclenche l’attaque, car le traitement de ces réponses manipulées exige des calculs complexes qui épuisent les ressources du serveur.
Épuisement des ressources du serveur : Les serveurs DNSSEC vulnérables sont submergés par des requêtes contenant des réponses manipulées, nécessitant des calculs complexes pour valider l’intégrité de la résolution DNS. Cela entraîne une surcharge des ressources du serveur, provoquant des dysfonctionnements majeurs voire une indisponibilité partielle du service DNS.
Impact sur la connectivité Internet : En raison de l’épuisement des ressources des serveurs DNSSEC vulnérables, des parties entières de l’internet peuvent subir des perturbations majeures voire une indisponibilité partielle de l’accès à Internet. Cela peut entraîner des problèmes de connectivité pour les utilisateurs légitimes et causer des perturbations dans les services en ligne.

En résumé, les attaquants exploitent la vulnérabilité KeyTrap en manipulant les réponses DNS pour inclure des clés de chiffrement spécialement conçues. Lorsque ces réponses manipulées sont traitées par des serveurs DNSSEC vulnérables, elles entraînent une surcharge des ressources du serveur, provoquant des dysfonctionnements majeurs voire une indisponibilité partielle des services DNS.

Plus d’information:
https://www.athene-center.de/fileadmin/content/PDF/Technical_Report_KeyTrap.pdf
https://datatracker.ietf.org/doc/rfc2535/
https://www.presseportal.de/pm/173495/5713546
https://stats.labs.apnic.net/dnssec/XA?hc=XA&hx=0&hv=1&hp=0&hr=0&w=30&r=1

N’oubliez pas votre brosse à dents!

de jabot

On 07/02/2024

dans Sécurité

Selon un rapport du portail d’information suisse Aargauer Zeitung, une entreprise suisse a subi une attaque par déni de service distribué (DDoS), qui a rendu ses serveurs inopérants pendant plusieurs heures. Cette situation n’est malheureusement pas rare. Ce qui est frappant, c’est que l’attaque a été menée à l’aide de trois millions de brosses à dents « intelligentes » connectées au réseau.

La connectivité atteint n’importe quel appareil, qu’il soit nécessaire ou non. Pour les fabricants, il s’agit d’une méthode de collecte de données télémétriques. Pour les attaquants, c’est l’occasion de récolter de la bande passante pour des attaques par déni de service.

C’est précisément l’excuse selon laquelle une simple brosse à dents n’a pas besoin d’être spécialement protégée dans son logiciel ou sa connectivité qui permet aux attaquants d’exploiter davantage et mieux ses failles.

Mise à jour 08.02.2024

Dans cet article, nous avons discuté des rumeurs sensationnalistes concernant une prétendue attaque DDoS orchestrée par trois millions de brosses à dents électriques connectées. Depuis lors, de nouvelles informations ont émergé, remettant en question la validité de cette histoire sensationnelle.

Initialement rapportée par Aargauer Zeitung et reprise par plusieurs médias technologiques, l’affirmation selon laquelle des brosses à dents électriques auraient été infectées par un logiciel malveillant pour mener une attaque DDoS reste non corroborée. Malgré les spéculations et la viralité de l’histoire, aucune preuve tangible n’a été présentée pour étayer ces allégations.

De plus, l’absence de communication de la part de Fortinet, la société de cybersécurité mentionnée dans l’article initial, ajoute à la suspicion entourant cette affaire. Sans confirmation ni détails supplémentaires de la part d’une source crédible, il est difficile de prendre au sérieux cette prétendue attaque.

Il est également important de rappeler que les brosses à dents électriques, tout comme de nombreux autres appareils IoT (Internet des objets), ne peuvent pas se connecter directement à Internet. Généralement, ces appareils se connectent via Bluetooth à des applications mobiles qui, à leur tour, se connectent aux serveurs en ligne pour télécharger des données. Cette architecture rend très improbable l’infection directe de millions de brosses à dents électriques pour mener une attaque DDoS.

En conclusion, bien que les menaces de sécurité dans le domaine de l’Internet des objets soient une réalité à prendre au sérieux, il est important de distinguer entre les véritables risques et les histoires sensationnalistes. Dans le cas présent, il semble que l’affaire des brosses à dents électriques orchestrant une attaque DDoS relève plus de la spéculation que de la réalité.

Restez informés, soyez sceptiques et recherchez toujours des sources fiables avant de croire et de partager des informations potentiellement trompeuses.

Plus d’information:
https://www.aargauerzeitung.ch/wirtschaft/kriminalitaet-die-zahnbuersten-greifen-an-das-sind-die-aktuellen-cybergefahren-und-so-koennen-sie-sich-schuetzen-ld.2569480
Non, 3 millions de brosses à dents électriques n’ont pas mené une attaque DDoS (tomsguide.fr)
https://www.bleepingcomputer.com/news/security/no-3-million-electric-toothbrushes-were-not-used-in-a-ddos-attack/

AnyDesk confirme une cyberattaque sur les serveurs de production, le code source et les clés volées

de jabot

On 05/02/2024

dans Data Leak, Sécurité

AnyDesk, logiciel de bureau à distance bien connu, a récemment reconnu une cyberattaque qui a entraîné un accès non autorisé à ses systèmes de production.

La faille de sécurité, détectée après une activité suspecte sur des serveurs, a conduit au vol du code source et des clés de signature du code privé. Le logiciel, populaire auprès d’entreprises telles que 7-Eleven, Comcast, Samsung et le MIT, attire également les attaquants pour qu’ils obtiennent un accès permanent aux appareils et aux réseaux compromis.

AnyDesk a réagi à l’incident en réalisant un audit de sécurité et en collaborant avec la société de cybersécurité CrowdStrike. Bien que l’entreprise ait rassuré les utilisateurs en affirmant qu’il n’y avait aucune preuve que les appareils des utilisateurs finaux aient été affectés, elle a confirmé la compromission du code source et des certifications de signature de code. AnyDesk, qui a alerté ses plus de 170 000 clients dans le monde, a pris des mesures rapides, révoquant les certificats liés à la sécurité, remplaçant les systèmes compromis et garantissant l’intégrité de la dernière version du logiciel.

Bien qu’AnyDesk ait affirmé qu’aucun jeton d’authentification n’avait été volé, elle a choisi de révoquer tous les mots de passe des portails web par mesure de précaution. L’entreprise a exhorté les utilisateurs à changer de mot de passe, en insistant sur la conception sécurisée de leurs jetons d’authentification. Le cyberincident a entraîné une panne de quatre jours, à partir du 29 janvier, au cours de laquelle les utilisateurs n’ont pas pu se connecter. AnyDesk a confirmé que la période de maintenance était liée à l’incident de cybersécurité.

En réponse à la violation, il est fortement conseillé aux utilisateurs d’AnyDesk de passer à la dernière version du logiciel, car l’ancien certificat de signature de code sera bientôt révoqué.

À ce jour, nous n’avons aucune preuve que les appareils des utilisateurs finaux ont été affectés. Nous pouvons confirmer que la situation est sous contrôle et qu’AnyDesk peut être utilisé en toute sécurité. Assurez-vous d’utiliser la dernière version, avec le nouveau certificat de signature de code.
AnyDesk

Bien que l’entreprise assure que les mots de passe n’ont pas été compromis, elle conseille aux utilisateurs de changer leurs mots de passe et de revoir les mesures de sécurité, en tenant compte de l’accès non autorisé aux systèmes de production. Cet incident vient s’ajouter à la liste croissante des cyberattaques contre des entreprises de premier plan, ce qui témoigne des défis permanents que pose le maintien de la sécurité numérique.

Cloudflare a déjà révélé qu’elle avait été piratée le jour de Thanksgiving en utilisant des clés d’authentification volées lors de la cyberattaque d’Okta l’année dernière.

Plus d’information:
https://anydesk.com/en/public-statement
https://blog.cloudflare.com/thanksgiving-2023-security-incident
https://www.bleepingcomputer.com/news/security/anydesk-says-hackers-breached-its-production-servers-reset-passwords/

Terrapin, la vulnérabilité qui compromet la sécurité des connexions SSH.

de jabot

On 10/01/2024

dans Chiffrement, CVE, Sécurité

Terrapin, avec un score CVSS de 5,9, représente la première attaque par troncature de préfixe qui est exploitable.

Les chercheurs en sécurité de l’Université de la Ruhr à Bochum Fabian Bäumer, Marcus Brinkmann et Jörg Schwenk ont découvert une vulnérabilité appelée Terrapin (CVE-2023-48795) dans le protocole réseau de chiffrement Secure Shell (SSH) qui pourrait permettre à un attaquant de dégrader la sécurité de la connexion en brisant l’intégrité du canal sécurisé.

SSH (Secure Shell) est une norme Internet qui fournit un accès sécurisé aux services réseau, en particulier pour la connexion à un terminal à distance et le transfert de fichiers au sein des réseaux d’entreprise et de plus de 15 millions de serveurs sur Internet. Cependant, cette récente vulnérabilité de Terrapin a été identifiée et compromet l’intégrité des connexions SSH.

Détails de la vulnérabilité : La vulnérabilité permet à un attaquant de dégrader la sécurité de la connexion SSH en manipulant les numéros de séquence pendant le handshake, en supprimant des messages au début du canal sécurisé sans être détecté par le client ou le serveur.

L’image montre une application pratique de l’attaque Terrapin. L’attaquant peut supprimer le message EXT_INFO, utilisé pour négocier diverses extensions de protocole, sans que le client ou le serveur s’en aperçoive. En général, le client détecte la suppression du paquet lorsqu’il reçoit le paquet binaire suivant envoyé par le serveur, car les numéros de séquence ne correspondent pas. Pour éviter cela, un attaquant injecte un paquet ignoré pendant le protocole de liaison afin de compenser les numéros de séquence en conséquence.

Conséquences possibles : Terrapin ne dégrade pas seulement la sécurité de la connexion, mais peut également permettre l’exploitation de failles de mise en œuvre. Par exemple, des faiblesses ont été trouvées dans le serveur AsyncSSH, permettant à un attaquant de se connecter au compte d’un utilisateur sans être détecté, ce qui facilite les attaques par hameçonnage et accorde des capacités de type Man-in-the-Middle (MitM) au sein de la session chiffrée.

Risques associés : SSH est une méthode permettant d’envoyer en toute sécurité des commandes à un ordinateur sur un réseau non sécurisé. Il s’appuie sur la cryptographie pour authentifier et chiffrer les connexions entre les appareils. Cependant, un acteur malveillant en position d’attaquant au milieu (AitM) ayant la capacité d’intercepter et de modifier le trafic de connexion au niveau de la couche TCP/IP peut dégrader la sécurité d’une connexion SSH en utilisant la négociation de l’extension SSH.

L’attaque peut être réalisée dans la pratique, permettant à un attaquant de dégrader la sécurité de la connexion en tronquant le message de négociation d’extension (RFC8308) de la transcription. La troncature peut conduire à l’utilisation d’algorithmes d’authentification du client moins sûrs et désactiver les mesures spécifiques contre les attaques de synchronisation des frappes dans OpenSSH 9.5
Fabian Bäumer, Marcus Brinkmann et Jörg Schwenk, chercheurs en sécurité de l’Université de la Ruhr à Bochum

Une autre condition essentielle à la réalisation de l’attaque est l’utilisation d’un mode de chiffrement vulnérable tel que ChaCha20-Poly1305 ou CBC avec Encrypt-then-MAC pour sécuriser la connexion.

Impact potentiel : dans un scénario réel, un attaquant pourrait intercepter des données sensibles ou prendre le contrôle de systèmes critiques avec des privilèges d’administrateur. La vulnérabilité affecte plusieurs implémentations de clients et de serveurs SSH, y compris OpenSSH, Paramiko, PuTTY, KiTTY, WinSCP, libssh, libssh2, AsyncSSH, FileZilla et Dropbear.

La vulnérabilité affecte la plupart des implémentations SSH actuelles qui utilisent le chiffrement ChaCha20-Poly1305 ou CBC avec Encrypt-then-MAC. Un outil d’analyse de la vulnérabilité est même fourni pour déterminer si un serveur ou un client SSH est vulnérable.

Réponse de la communauté de la sécurité : En réponse à cette menace, les responsables des implémentations concernées ont publié des correctifs pour atténuer les risques. Toutefois, il est essentiel que les entreprises prennent des mesures immédiates pour sécuriser leurs serveurs SSH, car même si les serveurs sont corrigés, les connexions vulnérables constituent toujours un risque potentiel.

Recommandations de sécurité : Yair Mizrahi, chercheur principal en sécurité chez JFrog, conseille aux entreprises d’identifier toutes les instances vulnérables de leur infrastructure et d’appliquer des mesures d’atténuation sans délai, même si le serveur a été corrigé.

Terrapin représente une nouvelle menace dans le domaine des protocoles de réseaux cryptographiques. La sensibilisation et l’action proactive sont essentielles pour atténuer les risques associés à cette vulnérabilité, car la menace devrait persister pendant de nombreuses années.

Plus d’information:
https://terrapin-attack.com/
https://terrapin-attack.com/patches.html
https://nvd.nist.gov/vuln/detail/CVE-2023-48795
https://www.digitalocean.com/community/tutorials/understanding-the-ssh-encryption-and-connection-process
https://blog.qualys.com/vulnerabilities-threat-research/2023/12/21/ssh-attack-surface-cve-2023-48795-find-and-patch-before-the-grinch-arrives-with-cybersecurity-asset-management
https://thehackernews.com/2024/01/new-terrapin-flaw-could-let-attackers.html
https://jfrog.com/blog/ssh-protocol-flaw-terrapin-attack-cve-2023-48795-all-you-need-to-know/