‘il y a toujours un idiot qui ne pense pas à la clé usb entre ses mains’

Stuxnet, le ver créé par les Etats-Unis et l’Israël pour détruire l’usine nucléaire iranienne Natanz a échappé leur contrôle

Un article publié aujourd’hui dans le New York Times montre que le ver Stuxnet-écrit et déployé par les gouvernements des Etats-Unis et de l’Israël- ayant comme cible l’usine nucléaire Natanz s’est répandu sans contrôle. Il semble que le but du code était de ralentir le programme de recherche nucléaire iranien en commandant le matériel qui contrôle le taux de tournoiement de l’équipement centrifuge. Ce qui est à noter est le fait que le ver ciblait uniquement cette usine nucléaire spécifique, il n’a pas été désigné pour se répandre sur l’Internet.

Le réseau de Natanz est très sécurisé, ce qui a rendu très difficile pour les gens qui ont fait le plan d’introduire le code dans le réseau. Ils avaient besoin de quelqu’un qui avait accès physique au site pour y introduire le code sur une clé usb (c’est aussi la manière dont les premières versions du ver ont été distribuées). Pour citer un des architectes du plan : ‘Il semble qu’il y a toujours un idiot qui ne pense pas à la clé usb entre ses mains’.

La manière dont Stuxnet s’est répandu hors du réseau Natanz c’est le plus probable sur un laptop. Heureusement, les chercheurs en sécurité ont réussi à l’annihiler.

Le fils du ver Stuxnet identifié sur quelques systèmes en Europe

Les chercheurs en sécurité de la compagnie Symantec déclarent avoir identifié un nouveau malware sur des systèmes en Europe. Ce virus semble avoir été écrit par les auteurs de StuxNet et utilise les memes techniques. On l’a nommé Duqu.

Selon l’analyse, ce virus ne s’auto-reproduit pas et il n’est pas nuisible pour le matériel comme StuxNet. Ce qu’il fait, il ramasse des informations sur les systèmes industriels qui sont ultérieurement utilisées pour une attaque ciblée.

Pour opérer, Duqu cache ses composantes dans la mémoire de la machine (pas sur le disque dur) et fait que le système charge les fichiers qui se trouvent dans la mémoire. Le virus s’exécute pour 36 jours, puis il est automatiquement supprimé de la machine.

Les chercheurs no savent encore comment on a inséré le virus sur les machines infectées.

Pour plus de détails sur Duqu, veuillez consulter http://www.wired.com/threatlevel/2011/10/son-of-stuxnet-in-the-wild/

Des variations du ver Stuxnet prevues pour 2011

Le  ver Stuxnet, identifié seulement il y a quelques mois (en juillet 2010) a eu une expansion immense. Selon une étude de Symantec publiée en aout 2010 (un mois après la découverte du ver), Stuxnet avait infecté 62,867 ordinateurs en Iran, 13,336 à l’Indonésie, 6,552 à l’Inde, 2,913 aux Etats-Unis, 2,436 en Australie et 1,038 au Royaume-Uni.

Un autre ‘succès’ attribué au Stuxnet est relentir le program nucléaire de l’Iran et d’autres systèmes industriels dans le monde.

Ces faites conduisent à un réel souci parmi les chercheurs en sécurité informatique du monde. Ils soupçonnent que les versions du ver qui peuvent apparaitre dans le futur peuvent concerner d’autres types de systèmes électroniques qu’on utilise au quotidien (par exemple une cafetière branchée au réseau peut répandre le ver sur les ordinateurs).

Adam Bosnian, un vice-président de sécurité de l’information de la compagnie Cyber-Ark a déclaré pour eWeek : ‘Nous devons penser au-delà des cibles attendues, qui ne sont pas des serveurs et des routeurs’.

Plus d’info sur le blog de sécurité des ports.

27% des infections virus sont causées par les périphériques USB

La compagnie Panda Labs a publié les résultats de son étude de sécurité dans les PME. Cette étude a été menée sur 10470 entreprises en 20 pays. Voilà ce qu’elle relève:
-30% des infections malware se diffusent par les appareils qui se connectent aux ports USB
-25% des nouveaux virus apparus en 2010 ont été optimisés pour la propagation par USB
-48% des entreprises ont eu au moins un cas d’infection avec des logiciels malveillants en 2009

Si jusqu’ici les infections avec des virus transmis par e-mail etaient plus nombreuses que les infections par USB, les rechercheurs constantent que les dernières se sont fortement multipliées et qu’en court temps elles vont dépasser les premieres.

Les plus connus vers répandus par USB sont Stuxnet, Conficker et Downadup.

La difussion par USB de ces vers est favorisée par la fonctionnalité AutoRun des périphériques, qui permet de lancer le code malveillant sans que l’utilisateur s’en rende compte. Les éditeurs de sécurité se sont vite apperçu du danger représenté par l’AutoRun et ils ont développé des outils pour désactiver l’exécution automatique des codes sur les périphériques. Un de ces outils est AutoRun Disable par Endpoint Protector, qui permet de désactiver l’AutoRun selon le type de périphérique (USB et d’autres dispositifs amovibles, CD/DVD, dispositifs internes ou réseau) ou selon les lettres spécifiques des disques. Un logiciel de ce type vous protège contre les virus cachés dans le fichier AutoRun.inf et de plus, il est gratuit. À télécharger ici.

La conclusion qu’on peut tirer de cette étude est que les hackers ont commencé à exploiter les ports de communication et les appareils high-tech, et donc les entreprises doivent commencer à prendre des mésures pour se protèger contre ces attaques.

Comment arrêter Conficker / Stuxnet en quatre étapes – Consultatif par CoSoSys

Comme certains d’entre vous le savez, le ver Stuxnet (et Conficker) a causé la folie sur les réseaux privés et corporatifs. Les logiciels malveillants qui se répandent via des périphériques USB sont toujours la source de nouvelles menaces. Le dernier développement de Stuxnet exploite les vulnérabilités zero-day pour cibler les systèmes de contrôle de surveillance et d’acquisition de données (SCADA) et d’autres systèmes industriels. Ces systèmes sont utilisés pour contrôler la pression des oléoducs ou le fonctionnement des moteurs dans les usines industrielles. Les environnements typiques peuvent être oléoducs et centrales énergétiques, usines, etc

Conficker / Stuxnet détecte les plates-formes avec les systèmes SCADA installés et utilise les vulnérabilités de Windows pour accéder et se répandre dans le réseau (http://bits.blogs.nytimes.com/2010/09/24/malware-hits-computerized-industrial-equipment). À la lumière des événements actuels et la propagation continue du ver par les ports USB et les périphériques USB portables, le développeur de solutions de sécurité des terminaux et prévention des pertes des données CoSoSys a créé une stratégie en quatre étapes contre Stuxnet qui est extrêmement facile à mettre en œuvre:

1. Désactivez la fonction Autorun pour tous les dispositifs de stockage portables
Pour le faire, il vous suffit d’utiliser l’AutoRun Disable par Endpoint Protector, un logiciel gratuit disponible ici:
http://download.cnet.com/AutoRun-Disable-by-Endpoint-Protector/3000-2239_4-75300368.html

2. Bloquez tous les ports USB et toutes les autres interfaces de connexion pour tous les ordinateurs de votre réseau. Il existe quelques solutions de sécurité des terminaux que vous pouvez utiliser pour atteindre cet objectif: Secure it Easy, Endpoint Protector, ou la solution Software as a Service My Endpoint Protector qui est gratuite pour les utilisateurs à domicile. Plus de détails sur les solutions mentionnées ci-dessus peuvent être trouvés ici – http://www.endpointprotector.com/en/index.php/products/product_overview

3. Assurez-vous que votre antivirus est mis à jour

4. Assurez-vous d’effectuer toutes les mises à jour de Windows disponibles

Si vous avez d’autres questions concernant le ver Stuxnet, comment il se propage et comment il peut être arrêté (ou d’autres logiciels malveillants similaires) vous pouvez contacter l’équipe Endpoint Protector à tout moment.

Le ver Stuxnet cible les entreprises industrielles

Un nouveau type de malware a été decouvert: le ver Stuxnet, qui se répand par des dispositifs USB, et qui exploite une vulnérabilité dite “zero-day” du Windows pour troubler les systèmes industriels Scada (supervisory control and data acquisition).
Apparu en juillet, ce ver est le premier à cibler spécifiquement les systèmes industriels Scada. Ces systèmes sont utilisés surtout dans les usines d’électricité et les oléoducs.
Comment est-ce que Stuxnet fonctionne?
Tout d’abord, il exploite une vulnérabilité zero-day du Windows pour pénétrer le réseau, puis il exploite une seconde vulnérabilité pour se repandre à l’intérieur du réseau. Il va de poste en poste pour trouver une machine ayant le système Scada installé, il annonce l’attaquer à l’aide d’un mécanisme “command-and-control” et il exploite encore deux vulnérabilités du Windows pour obtenir des privilèges réseau.
Ce type d’attaque est très sophistiqué et extrêmement dangereux.
Selon les recherches conduites jusqu’ici, le plus grand nombre de systèmes déjà infectés se trouvent en Iran.