Nouvelles tendances

1

Plan� Nouvelles tendances� Médias numériques� Téléphones intelligents� Réseaux sociaux� Conclusion

2

Et si «Branché » = « vulnérable »?

TéléphonesIntelligents TéléphonesIntelligents

RéseauxsociauxRéseauxsociaux

Médias numériques

Médias numériques

3

Médias numériques

Contenu adapté de “Exploiting the media for fun and profit. Analysis of a new type of web application attacks through media files”. OWASP AppSec 2010 Nov 8-11,OWASP Foundation.https://www.owasp.org/index.php/Exploiting_the_media_for_fun_and_profit._Analysis_of_a_new_type_of_web_application_attacks_through_media_files

4

Médias numériques� Les médias sont partout!

�Vidéos visionnés sur Internet: 14,3 milliards en Décembre : seulement aux USA (CNN, 06.02.09).

�Téléchargement illégal de musique: au moins 7 millions de personnes en Grande-Bretagne (The Guardian, 29/05/09).

�Média illégal/malveillant :

� 24 millions Brad Pitt sur Google images! (29 janvier 2012)

� Combien d’images malveillantes parmi ces 24 millions?!!

5

Médias numériques

98% 10%

50% 0%

6

�Les médias peuvent répandre des virus!� 500 professionnels

TI interrogés

Médias numériques� Tendances:

� Généralement, les attaques ne sont pas ciblées.� Ingénierie sociale pour inciter la victime à visualiser le

contenu malveillant.� Répartition ad hoc : 50% vidéos, 30% musique, 20%

images.� Propagation: sites sociaux, imitations de sites des

nouvelles, sites P2P.

7

Médias numériques� Menace grandissanteTaux de réussite d’infection: 10% par réseaux sociauxvs 1% par email

Nombre des malwares ciblant les réseaux sociaux

8

9

Médias numériques� Menace grandissanteTaux de réussite d’infection: 10% par réseaux sociauxvs 1% par email

Médias numériques� Vidéos d’actualités:

� 1er trimestre 2010: les pirates ont profité de chaque événement majeur pour attirer les visiteurs dans des sites infectés:

o Annonce du IPAD, Avatar, tremblement de terre en Haïti, attentats terroristes à Moscou [Rapport Kaspersky]

� En analysant 100 millions blogs, l’équipe eSoft a découvert 700 000 fausses pages (malicieuses) YouTube (0,7%) [SC Magazine, US, 09/06/10].

10

Médias numériques� Video/Audio P2P

� Analyse de toutes les vidéos torrent du film Ghost Writer(2010) trouvées par le moteur de recherche isoHunt:

o Avant la sortie en DVD: seulement 10 des 570 vidéos (1,75%) étaient inoffensives

o Après la sortie en DVD: 550 sur 1220 (45%) étaient inoffensives.

11

Médias numériques� Fichiers d’images

� Attaques d'image malformées représentent 10% des attaques Web en 2009.

� Souvent hébergés sur des sites légitimes.� Vulnérabilités buffer overflow des JPEG GDI.

12

Médias numériquesVecteurs d’attaques

MS Vidéo/Musique Images “Youtube” Vidéos

Masquer les commandes PHP dans les commentaires

Débordement des JPEG GDI

Astuces de renommage : Brad.jpg.exe

Commande URLANDEXIT

Abus des fonctionnalités DRM

Astuces de renommage :Movie.avi.exe

commandes Flash getURL

vulnérabilités Adobe

13

Médias numériquesVecteurs d’attaques

� Musique/vidéo: ingénierie sociale:o Télécharger un codec pour pouvoir visualiser une vidéo.o Cliquer sur une fenêtre popup “accepter les termes de la

licence” ou "Télécharger la clé de la licence".

� Images: souvent aucune interaction avec l’utilisateur n’est requise.

14

15

Médias numériques : malware

� Fausses pages Youtube� Youtube utilise Adobe Flash plug-in.� Flash a eu le pire bilan de sécurité en 2009.� Cependant, Youtube est « sécuritaire »: o Beaucoup de restrictions : mise à jour des correctifs,

commandes script désactivés, …� Peut-on dire la même chose au sujet d'un blog donné?� Est-il possible de concevoir un blogue vidéo qu’on peut

le confondre avec Youtube?

16

Médias numériques : malware� Fausses pages Youtube

� En fait, vous n'avez même pas besoin d'être un bon concepteur web.

� L’outil YTFakeCreator vous permet de créer de fausse pages Youtube sosies, et de leur attacher du code malveillant.

� L’utilisateur est invité à télécharger un «codec» (qui est un logiciel malveillant).

17

Médias numériques : malware� Fausses pages Youtube

18

Médias numériques : malware� Koobface Virus

� Similaires aux Fake Youtube� Messages envoyés aux amis d’une victime Facebook.� Dirigent les destinataires sur un site où on leur demande

de télécharger ce qui est présenté comme une version actualisée du Flash Player d'Adobe.

� Après infection, dirige les utilisateurs sur des sites contaminés lorsqu'ils tentent d'utiliser des moteurs de recherche tels que Google, Yahoo!, MSN et Live.com.

19

Médias numériques : malware� Fausses pages de site connu: Cas

réel � Une personnalité publique a été

secrètement filmée dans un hôtel.� Peu après, un site vidéo hébergeant la

bande est apparu.

LIVE VIDEO PLAYER BLOCKED

Your popup blocker has blocked access to the Video Player. To view

your video, please launch the Live Video

Player below.

20

Médias numériques : malware� Fausses pages de site connu: Cas réel

� La plupart du site est embarqué dans des IFRAMES du site CNN (aka clickjacking), mais le malware est servi à partir de mediaplayer.4upd.com.

� Le malware a deux idées « géniales ». Après avoir cliqué sur le lien:� La vidéo joue réellement pour atténuer les soupçons� Différents logiciels malveillants sont servis pour les différents OS (MAC

sont infectés par le cheval de Troie OSX / Jahlav-C. Windows sont infectés par un faux antivirus Mal / EncPK-FI ou Mal / FakeAV-AY).

•!-- LARGE PLAYER HTML CODE --> <div id="cnnVPFlashLarge" style="position: relative;"> <div style="border-style: solid; border-color: rgb(230, 230, 230); border-width: 1px 1px 0px; width: 574px; height: 372px;" id="cnnVPFlashLargeContainer"> <object height="372" width="574"> <param name="movie" value="http://mediaplayer.4upd.com/Products/update_seven_win/-6478-332-34-en-hq-/mediatube.swf?clip=blabla bla Video"> <param name="allowScriptAccess" value="always"> <embed src="http://mediaplayer.4upd.com/Products/update_seven_win/-6478-332-34-en-hq-/mediatube.swf?clip=bla bla bla Video" allowscriptaccess="always" height="372" width="574"></embed> </object> </div> <div id="cnnVPInfoLMy"> <div id="cnnVPInfoLeftCol"> <div style="padding: 8px 10px 0px;" id="cont

21

Médias numériques : malware� Fausses pages de site connu : Cas réel

� Autres sites créés par le même pirate!o sexe, actualités, jeux en ligne, …

22

Médias numériques� Vecteurs d’attaques

MS Vidéo/Musique Images “Youtube” Vidéos

Masquer les commandes PHP dans les commentaires

Débordement des JPEG GDI

Astuces de renommage : Brad.jpg.exe

Commande URLANDEXIT

Abus des fonctionnalités DRM

Astuces de renommage :Movie.avi.exe

commandes Flash getURL

Diverses vulnérabilités d'Adobe

23

Médias numériques : malware�Abus de fonctionnalités

DRM� DRM permet aux distributeurs des

médias audio / vidéo de contrôler la façon dont ces médias sont utilisées.

� Un client (via Media Player) peut demander (requête) une licence à un serveur de licences afin de pouvoir lire le fichier (protégé par DRM).

� La requête est envoyée via HTTP et le serveur de licences retourne une réponse au client!

24

Médias numériques : malware� Abus de fonctionnalités DRM

� De nombreux exemples d'abus : WmvDownloader-A,-B WmvDownloader.

� Le malware se présente comme un installateur de licence DRM et son code est brouillé.

� Il peut demander à l'utilisateur d'installer un codec ou téléchargez une licence « légitime ».

25

Médias numériques : malware� Abus de fonctionnalités DRM : demander ☺

26

Médias numériques : malware� Abus de fonctionnalités DRM : ou menacer �

27

Médias numériques� Vecteurs d’attaques

MS Vidéo/Musique Images “Youtube” Vidéos

Masquer les commandes PHP dans les commentaires

Débordement des JPEG GDI

Astuces de renommage : Brad.jpg.exe

Commande URLANDEXIT

Abus des fonctionnalités DRM

Astuces de renommage :Movie.avi.exe

commandes Flash getURL

Diverses vulnérabilités d'Adobe

28

Médias numériques : malware� Débordement des JPEG GDI

�En 2004, Microsoft a annoncé une vulnérabilité Buffer overflow dans leur pilote GDI qui gère la façon avec laquelle les images JPEG sont affichées.

�Étonnamment, de nombreux ordinateurs ne sont toujours pas patchés!

� Il y a un exploit similaire affectant des images PNG dans plusieurs navigateurs (Mozilla, Firefox, Camino)

29

Médias numériques : malware� Débordement des JPEG GDI

� Premier exploit JPEG est apparu sur plusieurs forums de discussion Usenet qui contenaient des images érotiques, des images de stars de cinémas, etc.

� Dès la lecture d'un fichier JPEG, un buffer overflow écrit un code shell sur l’ordinateur de l'utilisateur.

� Le shell permet à l’attaquant d’interagir à distance avec le système de l'utilisateur comme s'ils étaient assis à la console locale!

30

Médias numériques : malware� Débordement des JPEG GDI: exploits

disponibles et prêts à être utilisés!!!

31

Médias numériques : malware� Conclusions

� Ne pas pirater pour ne pas devenir cible de pirate� Bien choisir vos sources de médias.� Rien n’est gratuit dans la vie, il y a toujours un prix à

payer!� Vos conclusions?

32

Smartphones� Smartphone = téléphone intelligent = appareil tout-en-un

� Accès au réseau cellulaire (GSM/CDMA et UMTS)� Accès à d’autres réseaux (Bluetooth, WiFi)� Traitement multitâche� Synchronisation de données avec des ordinateurs� APIs disponibles pour le développement d’applications

� Mais aussi…� Navigation, localisation, assistance personnes

âgées/malades� Télécommande pour divers appareils� Système de paiement� Jeton d’identification

33Source : Sébastien Nicot (2011) Maîtrise ÉTS

Smartphones : Sécurité� Implémentation d’une sécurité de base

� Environnementale (langage de programmation utilisé)� Issue du noyau� Propre à la plateforme

� Ces mécanismes ne sont pas suffisants…� Autres mécanismes, attention aux contraintes matérielles :

� Traitement (CPU)� Mémoire (vive ou de stockage)� Batterie

� Priorité aux applications de l’utilisateur plutôt qu’à la sécurité

34Source : Sébastien Nicot (2011) Maîtrise ÉTS

Smartphones et malwares� � popularité entraîne � des attaques� Evolution très rapide des malwares :

� 20 ans d’évolution pour ordinateur = 2 ans pour smartphones

� Signatures manquantes� Apparition à haute fréquence

� Actions réalisées à l’insu de l’utilisateur� Envoi de SMS/MMS� Récolte de données

35Source : Sébastien Nicot (2011) Maîtrise ÉTS

Malwares mobiles : historique� 2004 : premier malware mobile « Cabir » (ver/SymbOS)

� Se propageait par Bluetooth seulement

� Aucune action destructrice

� 2005 : « CommWarrior » (ver/SymbOS)� Se propageait par MMS/SMS/Bluetooth

� Coûts supplémentaires pour l’utilisateur

� Après les vers, les chevaux de Troie (Trojans) : « Doomboot »� Empêchait l’appareil infecté de démarrer correctement

� Déposait les vers « Cabir » et « CommWarrior »

36Source : Sébastien Nicot (2011) Maîtrise ÉTS

Malwares mobiles : historique� 2004 à aujourd’hui : évolution des vecteurs d’infection

� Bluetooth � n’est presque plus utilisé

� SMS/MMS � encore très utilisé

� Internet � le plus utilisé (applications tierce-parties)

� Applications tierce-parties téléchargeables� sur l’« App Store »

� sur des sites Internet (sauf pour iOS non trafiqué)

� Confiance des utilisateurs mise à l’épreuve envers les apps

37Source : Sébastien Nicot (2011) Maîtrise ÉTS

Utilisateurs accueillants

Figure : Exemple d’autorisation à l’installation de l’application

FakePlayer.A

Figure : Exemple d’autorisation à l’installation de l’application

Tapsnake.A 38

Malwares récents!

39

Malwares mobiles : Étude� A Survey of Mobile Malware in the Wild

Adrienne Porter Felt, Matthew Finifter, Erika Chin, Steve Hanna, and David Wagner. ACM Workshop on Security and Privacy in Mobile Devices (SPSM) 2011

� Janvier 2009- Juin 2011

http://www.cs.berkeley.edu/~daw/malware.html

40

iOS 4

Symbian 9.x 24

Android 18

Total 46

Malwares mobiles : Étude

IOS

41

Calendrier du moment où chaque morceau des 46 malwares est devenu connu.

Malwares mobiles : Étude

42

Activité malveillante Pourcentage

Vol des informations personnelles 60%

SMS ou Appels Premium 53%

Envoie d’SMS et de spams 18%

Amusement! 13%

Vol des informations d'identification (credentials) 9%

Optimisation des moteurs de recherche 2%

Rançon 2%

Classification des malware par activité malveillante

Malwares mobiles : Étude

43

Mieux encore:

http://www.mobile-spy.com/

44

� “Because there is no patch for human stupidity” Swiss Cyberstorm 2011

� “L’humain est le maillon faible dans n’importe quel système"

� “Un pirate peut passer des heures, des semaines ou des mois à essayer par « force brutale » de deviner un mot de passe ... Alors qu’un appel téléphonique avec le bon prétexte et les parfaites questions peut identifier le même mot de passe ou même plus en seulement quelques minutes!”

Réseaux sociaux

45

Les nouvelles cibles?

�Voitures: http://gizmodo.com/5781966/now-cars-are-vulnerable-to-malware

�…

46

Conclusion

• Continuelle évolution des malwares • Nouvelles cibles: médias, Smartphone, voitures, ..• L’humain est le maillon faible • Éviter toute source douteuse de média• Et si acheter � avoir l’esprit tranquille

47