Un trou de sécurité dans Android...c’est à voir!

Vous avez tous entendu parlé de la possibilité d'installer une application Android malveillante (bug 8219321 et bug 9695860) en la signant avec une application bien officielle.

Pour plus de détails voir le blog de Jay Freeman (@saurik)

On trouve également sur le github de Fuzion24 quelques "apk" (comprendre applications Android) modifiés qui permettent d'installer une application malveillante signée en utilisant ces bugs.

Essayons les!

On copie d'abord l'"apk" sur notre téléphone puis on installe l'application.

On obtient alors un magnifique message en provenance du Google Play Store nous informant que cette application est malveillante car elle exploite un bug connu, et que l'installer c'est prendre un très gros risque!

Continuons tout de même!

On obtient alors un message nous informant que notre paramétrage interdit l'installation des applications en dehors du Google Play Store.

Conseil: vérifier le paramétrage de votre téléphone permettant d’interdire l’installation d’applications en dehors du Google Play Store

Quant on sait que Google affirme qu'il n'y a aucune application compromise dans le Google Play Store, le risque semble faible

Déception! Ou pas!

Maintenant toutes ces manipulations m'ont donné une idée!

Pré-requis: Imaginons que le paramètre "USB Debugging" que l'on peut trouver dans "Settings / Developer Options" soit activé. Vous avez par exemple eu besoin d'afficher l'écran de votre téléphone sur votre ordinateur (pour plus d'informations voir "Afficher l’écran de votre téléphone sur votre ordinateur") et vous n'avez pas désactivé l'option.

Dans ce cas, l'attaquant peut installer son environnement Android sur sa clef USB et lancer l'installation de l'"apk" à partir de sa clef. A condition bien sûr que la cible ait son téléphone connecté en USB sur son PC (pour recharger son téléphone ou bien transfèrer des données comme des photos par exemple). Alors si l'attaquant réussi à connecter sa clef USB sur le PC de la cible et à executer son programme, c'est gagné.

En effet si je lance la commande:

> adb install -r SecurityDemo.apk

alors l'installation réussie.

Une autre approche consiste à inciter votre cible à connecter son téléphone sur votre PC.

Référez vous au blog "La clef USB: le maillon faible ?" qui décrit quelques techniques permettant d'automatiser l'exécution de commande à partir d'une clef USB.

La charge utile pour installer et lancer l'application malveillante pourrait alors ressembler à:

> nircmd.exe execmd /Android/SDK/platform-tools/adb install -r /Android/Projects/SecurityDemo/bin/SecurityDemo.apk
> nircmd.exe execmd /Android/SDK/platform-tools/adb shell am start -n com.proxia.securitydemo/com.proxia.securitydemo.SecurityDemo

Il est aussi possible pour faire disparaître les traces de notre passage d'arrêter l'application et de la désinstaller avec les commandes suivantes:

> adb shell am force-stop com.proxia.securitydemo
> adb uninstall com.proxia.securitydemo

Et ca marche!

Démarrer votre application portable préférée sans “autorun”!

Lors d’un article précédent appelé Comment gérer les applications des clefs USB sur votre bureau?, je vous présentais une application gratuite développée par Prox-IA vous permettant de désactiver l’autorun de votre PC et de lancer la (les) application(s) de votre choix sur votre clef USB.

Et bien une nouvelle version d’’USB Grabber” est disponible. Cette version, rebaptisée “USB Starter”, propose moins de fonctionnalités que la version précédente (pas de saisie de mot de passe pour autoriser la modification et le lancement des applications portables, impossibilité de configurer plus d’une application) mais elle est beaucoup plus simple d’utilisation.

C’est d’ailleurs personnellement la version que j’utilise tous les jours sur mon PC professionnel.

Vous pouvez télécharger la nouvelle version à l’URL suivante: “USB Starter”.

Pour la configurer c’est très simple. Vous ouvrez le fichier de configuration “usbstarter.ini” et indiquer le nom de votre application portable préférée. Dans notre exemple “PStart” a été choisie car elle permet l’accès à toutes les autres applications portables de la clef USB

Puis vous devez permettre le lancement d’ ”USB Starter” au démarrage de votre PC. L’insertion d’une clef USB contenant l’application “PStart” permettra son lancement automatique.

Vos remarques et idées d’évolution sont les bienvenues!

Comment gérer les applications des clefs USB sur votre bureau?

English version

Cet article vous présente un petit outil gratuit appelé "USB Grabber" développé par Prox-IA.

Cet outil permet de faire apparaître sur le bureau de votre ordinateur les raccourcis de vos applications préférées se trouvant sur vos clefs USB. Lors de l'insertion d'une clef USB, "USB Grabber" crée un raccourci sur le bureau pour les applications que vous aurez configurées. "USB Grabber" permet également d'exécuter automatiquement cette application si vous le souhaitez. Il permet aussi de créer un raccourci vers n'importe quel autre type de fichier (.ppt, .pdf, .doc,...).

Lors du retrait de la clef USB, "USB Grabber" se charge d'enlever du bureau les raccourcis des applications se trouvant sur la clef USB retirée.

Cette outil a été developpé afin de faciliter l'accès aux applications "portables" des clefs USB dans des environnements où les "autorun" sont désactivés ou avec Windows 7 qui fait disparaître la fonctionnalité d' "autorun" (cf l'article du blog sur le sujet "Plus d'Autorun dans Windows 7...!").

"USB Grabber" a actuellement été testé sur Windows XP SP2, SP3 et Windows 7. Vos commentaires, remarques, suggestions pour améliorer cet outil sont les bienvenus. "USB Grabber" est actuellement en version anglaise. Si vous souhaitez une version dans une autre langue vous pouvez nous en faire part.

Pour installer "USB Grabber" vous pouvez télécharger le programme ICI. Puis vous pouvez extraire le contenu du fichier "rar" dans le répertoire de votre choix. Et enfin si vous le souhaitez vous pouvez créer un raccourci sur votre bureau pour "USB Grabber.exe" et configurer votre ordinateur pour lancer "USB Grabber" lors du "boot".

La première étape de l'utilisation de "USB Grabber" consiste à saisir un mot de passe de 8 caractères qui permet de protéger "USB Grabber" et ses données.

Pour des raisons de sécurité, le mot de passe est demandé au lancement de "USB Grabber" et lors de l'ajout, la suppression et la modification d'une application dans "USB Grabber".

Vous trouverez plus d'informations sur les applications que l'on peut installer sur une clef USB sur le site http://portableapps.com/

Plus d'AutoRun dans Windows 7...!

Devant l'augmentation des menaces liées à la fonctionnalité AutoRun, Microsoft a décidé de réagir par la suppression de la fonctionnalité AutoRun à partir de Windows 7 disponible en fin d'année.

Avant de détailler les changements de Windows 7 il est important de comprendre la différence entre l'AutoRun et l'AutoPlay:

L'AutoRun est une technologie utilisée pour démarrer des programmes automatiquement quand un CD ou un autre média est inséré dans l'ordinateur. L'objectif principal de l'AutoRun est de fournir une réponse logicielle à une action matérielle qu'un utilisateur déclenche sur un ordinateur.

L'AutoPlay est une fonctionnalité Windows qui permet à l'utilisateur de séléctionner quel programme démarrer quand un type spécifique de média est inséré e.g. CD ou DVD. Pendant l'AutoPlay le fichier Autorun.inf est aussi parcouru. Ce fichier (s'il est disponible) spécifie quelles commandes additionnelles seront affichées dans le menu de l'AutoPlay. De nombreux fournisseurs de logiciels utilisent cette fonctionnalité pour démarrer l'installation de leur logiciel.


Ceci étant dit, quels sont les changements apportés dans Windows 7?

Premier changement: l'AutoPlay ne supporte plus la fonctionnalité AutoRun. En d'autres termes, l'AutoPlay continuera à fonctionner pour les CD/DVDs mais il ne fonctionnera plus pour les clefs USB. Les images ci-dessous montre le changement: avec Windows 7, l'AutoPlay est sécurisé.

Avant le changement:

Après le changement:

Deuxième changement: la boîte de dialogue fait apparaître explicitement que le programme que l'on souhaite exécuter se trouve sur la clef USB.

Avant le changement:

Après le changement:

Ce changement devrait aussi être disponible sous Windows Vista et Windows XP.

Source: Microsoft

Bien qu'ancienne la faille de l'AutoRun reste d'actualité...!

On me fait parfois la remarque suivante: "L'utilisation de l'AutoRun sur une clef USB n'est pas nouveau, regardez Conficker!". Cette remarque est juste mais l'utilisation de cette faille fait toujours de nombreux ravages.
Vous trouverez ci-dessous quelques statistiques confirmant l'actualité de la menace.

La WLO (WildList Organization) produit chaque mois la liste des virus confirmés se répandant parmi les utilisateurs. Leur compte des virus identifiés comme étant des Worm:Win32/AutoRun montre une augmentation significative.

Le tableau ci-dessous montre le nombre de virus identifiés comme étant également des Worm:Win32/AutoRun dans les laboratoires de Microsoft. On constate un nombre considérable de virus de ce type à partir de 2008.

Le graphe ci-dessous nous montre l'augmentation de la détection par Microsoft des infections répandues via l'AutoRun.

On constate une augmentation très sensible en 2008 et une présence toujours très importante début 2009.

Source: Microsoft

Cracker un mot de passe avec Cain & Abel

Pour faire suite à l'article sur les clefs USB, imaginons que nous avons récupéré en suivant la méthode décrite dans l'article "La clef USB: le maillon faible?" du 02/04/2009 les fichiers suivants sur la machine de la victime

• C:\WINDOWS\repair\system
• C:\WINDOWS\repair\sam

A quoi servent ces fichiers?

Eh bien le fichier "sam" contient les noms d'utilisateurs et les mots de passe utilisés sur la machine (utilisateurs locaux). Mais le fichier "sam" est encrypté en utilisant une clef appelé SYSKEY que l'on retrouve par l'intermédiaire du fichier "system". Avec ces deux fichiers et l'outil approprié nous avons la possibilité de retrouver le nom et le mot de passe de la machine "cible".

Vous trouverez plus d'informations sur le rôle de ces fichiers à l'adresse suivante: http://en.wikipedia.org/wiki/Security_Accounts_Manager.

Cain & Abel: une autre vision de l'ancien testament!

L'objectif de cet article est de décrire l'utilisation de Cain & Abel pour retrouver le nom et le mot de passe de l'utilisateur.
L'outil peut être téléchargé à l'adresse suivante: http://www.oxid.it/cain.html.

L'utilisation de Cain & Abel permet de réaliser une attaque "brute-force" pour trouver le mot de passe. On note immédiatement que plus le mot de passe est complexe et plus le temps nécessaire à Cain & Abel pour retrouver le mot de passe sera important.

Action

Afin de limiter dans le temps la recherche du mot de passe, nous avons réduit l'ensemble des caractères utilisés pour l'attaque "brute force" aux minuscules et non avons fixé la longueur du mot de passe à 7 (ce qui correspond à la longueur du mot de passe que nous recherchons). Bien entendu ces contraintes permettent uniquement de limiter le temps de recherche qui peut être très (voir trop) élévé pour des mots de passe complexes.

Comme toujours vous trouverez la vidéo décrivant l'utilisation de Cain & Abel ICI.

En conclusion

On comprend alors mieux l'intérêt d'avoir des mots de passe qui suivent les règles de base suivantes:

• supérieur ou égal à 8 caractères
• incluant des chiffres
• incluant des lettres minuscules et majuscules
• incluant des caractères spéciaux

A bon entendeur...

La clef USB: le maillon faible ?

Dans cet article nous allons décrire comment préparer une clef USB pour récupérer des informations sur la machine de notre utilisateur "cible"


Première étape

La première étape consiste à créer le "malware".

Les fichiers qui composent le "malware" sont les suivants:
· autorun.inf
· nircmd.exe
· malware.bat
· folder.ico
· payload.exe

Quelques mots sur l'"autorun.inf". Ce fichier permet de lancer automatiquement une application lors de l'insertion de la clef USB. C'est ce comportement que nous allons utiliser pour exécuter notre "malware".

Cepandant, la fonctionnalité "autorun" peut être désactivé sur la machine "cible" pour des raisons de sécurité que l'on comprend aisément.

Dans ce cas l'"autorun.inf" est malgré tout exécuté lorsque l'utilisateur essaie d'explorer le contenu de la clef avec l'explorateur (double-click sur "My Computer", puis double-click sur la clef USB).

Notre fichier « autorun.inf » est configuré de telle façon que lors de l’insertion de la clef USB, l’utilisateur est averti et on lui demande de confirmer l’ouverture. Le message « Open folder to view files » est affiché et sélectionné par défaut.

Ce message est celui défini dans le fichier « autorun.inf ». L’icône associée est une icône qui représente un répertoire (c’est l’icône « Folder.ico ») définit dans le fichier « autorun.inf ».

Le comportement semble tout à fait normal pour l’utilisateur mais en réalité en choisissant d’ouvrir le contenu de sa clef USB, l’utilisateur choisit d’exécuter le « malware ». La commande exécutée est celle décrite dans le fichier « autorun.inf ».


La ligne de commande utilise un outil appelé « nircmd.exe » disponible à l’URL suivante : http://www.nirsoft.net/utils/nircmd.html . Cet outil permet d’exécuter quelques tâches sans afficher d’interface utilisateur. L’option « execmd » permet d’exécuter une commande Windows. C’est cet outil que nous utilisons pour exécuter notre commande « CALL malware .bat ».

Le fichier « malware.bat » lors de son exécution permet de faire 3 opérations essentielles. La première consiste à cacher les fichiers qui ont été copiés sur la clef USB par le pirate (attrib + H fichier).

La deuxième permet d’ouvrir le contenu de la clef ; c’est le comportement attendu par l’utilisateur (start .).

La troisième et dernière permet d’exécuter la charge utile (CALL payload.exe).

La charge utile correspond au fichier « payload.exe ». Cet exécutable n’est pas présenté dans cet article. Mais il pourrait réaliser les opérations suivantes :
- voler les mots de passe Internet Explorer de l’utilisateur « cible »
- copier des fichiers systèmes
- installer un malware (permettant de prendre le contrôle de la machine)
- transférer des données privées sur la clef USB pour une récupération ultérieure ou sur un serveur « pirate »

Nous allons nous intéresser dans ce qui suit à la récupération de données privées sur la clef USB à l’insu de l’utilisateur.

Deuxième étape

La deuxième étape consiste à infecter la clef USB avec un "malware".

Cette étape peut être facilement réalisée en développant un petit logiciel qui sur détection de l’insertion d’une clef USB copie les fichiers du « malware » sur la clef.

Troisième étape

La troisième étape est l'exécution du malware sur le poste "cible".
Comme nous l’avons vu précédemment lors de l’insertion de la clef sur le poste « cible », l’utilisateur voit apparaître la fenêtre suivante qui correspond au comportement habituel lié à l’insertion de sa clef.

Si l’utilisateur est prudent (et même les plus avertis d’entre eux le sont rarement ; nous l’avons testé pour vous…), il peut remarquer que l’option « Open folder to view files » se trouve à 2 endroits dans la liste. Un utilisateur paranoïaque peut également remarquer que la première option fait référence à un exécutable qui se trouve sur la clef USB (ce qui bien entendu ne devrait pas être le cas).

Quatrième étape

La dernière étape consiste à récupérer les données
Comme pour la corruption de la clef avec le « malware » la récupération des données fonctionne sur le même principe : lors de l’insertion de la clef sur le poste « pirate », le logiciel détecte l’insertion de la clef et la présence éventuelle des données piratées. Si les données sont présentes elles sont alors copiées sur le poste « pirate ».

Prox-IA est à votre entière disposition pour vous fournir des informations complémentaires sur ce thème.

Source: MISC