"Le Guatemala a expulsé mercredi vers les Etats-Unis l'Américain John McAfee, mettant un terme à une cavale à rebondissements entamée il y a plus d'un mois par le pionnier des anti-virus informatiques, recherché par le Belize pour y être entendu dans le cadre d'une affaire de meurtre... ...M. McAfee était passé à la clandestinité en novembre, multipliant les fausses pistes, peu après le décès de Gregory Faull, retrouvé mort dans la piscine de son domicile sur l'île d'Ambergris Caye, au large du Belize, dans la mer des Caraïbes. Cet Américain avait été tué par balles. Il n'y avait aucun signe d'effraction mais son téléphone et son ordinateur portables avaient disparu.... "
texte intéressant sur ce "beau monde du logiciel" pour ceux qui savent lire l'anglais; lire aussi les commentaires.
Plus cette vidéo sur les copyrights ou plutôt sur l'intérêt des copylefts, conférence donnée par un professeur d'Harvard pour ceux qui savent comprendre l'anglais.
Dans l'article un extrait de la citation de Chris Dibona sur Google+ qui était déjà une star de l'Open Source avant de travailler pour Google: « Les fournisseurs d'antivirus jouent sur nos peurs pour essayer de nous vendre leur logiciel de protection pour Android, RIM et iOS. Ce sont des charlatans et des escrocs, » a t-il écrit dans un blog. « Si vous travaillez pour une entreprise qui vend des antivirus pour Android, RIM ou iOS, vous devriez avoir honte de vous. »
Celui-ci poursuit : « Aucun téléphone mobile de marque connu n'a de problème de « virus » dans le sens où on a pu le voir sur Windows et sur certains ordinateurs Mac. Il y a bien eu quelques petits problèmes, mais sans grandes conséquences, en raison de l'architecture sandbox et de la nature des noyaux sous-jacents. »
Rien à voir, mais cela interpelle aussi si vous lisez l'anglais: une petite réflexion sur le comportement des organismes de prêts aux US après le décès auprès des proches du défunt , réflexion écrite aussi par le même Chris Dibona.
Une attaque qui passionne les spécialistes de virus informatique
Très loin des scripts kiddies, il s'agit encore de guerre électronique par le biais de botnets, comme il en était déjà question avec le ver Stuxnet dont il avait [ déjà discuté ici!]
De façon classique, ce virus se transmet par courrier électronique dans un document Word infecté. Une fois l'ordinateur contaminé, les pirates peuvent prendre le contrôle de la machine à distance. Il aurait été créé par le même groupe à l'origine de Stuxnet [il possède des codes commun à Stuxnet, ce qui laisse présager d'une source commune] qui avait infecté une centrale nucléaire iranienne et aurait pour objectif de préparer des cyber-attaques contre des infrastructures cruciales (centrales électriques, raffineries de pétrole, etc.). [voir note *** plus bas] ... ... Microsoft avait publié un premier correctif, pour limiter les dégats de DuQu. Des ingénieurs de NSS Labs ont également publié un outil open source pour scanner sa machine et détecter le virus si celui-ci est présent. Le but de cet outil est également de découvrir d'autres éventuels fichiers utilisés par DuQu et qui n'auraient pas encore été repérés. ..."
Pratiquement le script de détection de NSS Labs est écrit en langage Python qui est disponible en open source à partir de Python.org. Pour que le script fonctionne sous Windows, il faut au préalable avoir installé ce langage et suivre les instructions données avec le script.
Si vous êtes débutant en informatique mais souhaitez néanmoins installer ou comprendre ce script python, je ne peux que vous conseillez de voir ces pythonneries sur YouTube
_____________________________________________
*** Notes:
Cette faille est une faille dite zero-day c'est à dire qui était inconnue jusqu'à présent.
L'analyse des polices True Types incorporées dans un document s'effectue à partie de la librairies système T2Embed.dll présente dans toutes les versions de Windows de Windows XP à Window server 2008.
Le correctif 2639658 se contente d'interdire l'accès à T2Embed.dll et ses services associés. Les possibilités qu'offraient cette dll qui fait partie de Windows sont donc désactivées temporairement jusqu'à l'arrivée d'un patch réel de Microsoft.
"...Selon l'entreprise de sécurité F-Secure, Duqu est un bot windows (et pas un ver), utilisé pour effectuer des attaques très ciblées contre un nombre limité d'organisations, dans un petit nombre de pays. ... ... Selon F-Secure, pas trop de raisons de s'inquiéter toutefois : en effet le document infecté n'est pas en circulation. Il est tellement ciblé que son transfert révélerait très certainement l'identité de la cible première, raison pour laquelle CrySyS Lab, qui a découvert Duqu, ne peut pas diffuser le document."
Les botnets travaillant beaucoup par l'écoute des flux HTTP, l'idée est de rendre l'écoute par ceux -ci impossible en insérant du bruit dans la communication (principe mathématique validé en 2007) , un court échange en HTTPS entre le client et le server permet d'informer le client de "comment supprimer ce bruit" grâce à des codes de correction d'erreur.
L'insertion de bruit permet de se débarrasser de certains problèmes légaux amenés par le chiffrement puisque la communication n'est pas chiffrée mais bruitée et que la méthode de nettoyage du bruit est passée via HTTPS qui est autorisé. Cela n'empêche pas que la communication soit rendue "illisible" et d'autre part cela permet en utilisant uniquement des codes de correction d'erreur de "débruiter" très rapidement ce qui permet de mettre cela en œuvre pour des flux audio, vidéo ou autres.
Un module client de "débruitage" existe pour Firefox. Évidemment le client ne suffit pas ;-) il faut mettre en œuvre la communication bruitée sur le serveur puis gérer l'échange avec le client.
Ci-dessous le résumé de cette technologie qui montre tout son intérêt: "PERSEUS est une technologie destinée à protéger les flux de toutes natures contre l'écoute abusive ou illégale et ainsi assurer, avec un un excellent niveau de sécurité, interdisant sauf à y consacrer des moyens très importants (plusieurs dizaines d'heures de supercalculateur) d'accéder aux données échangées. Cela permet de concilier les besoins et droits fondamentaux des utilisateurs en matière de vie privée et de confidentialité des données tout en maintenant la capacité opérationnelle des états contre les acteurs véritablement malfaisants (terroristes, pédophiles...) qui eux, utilisent de la cryptographie.
La technologie PERSEUS peut être utile dans de nombreux cas : # Protection contre l'activité d'espionnage de codes malveillants à grande échelle (ex. botnets qui pour éviter la détection préférent écouter sur les ports non standards plutôt que de hooker des ressources surveillées par les antivirus, enfin ceux qui le font réellement). # Protection contre les écoutes privées de type officine plus ou moins légale à des fins plus ou moins acceptables (études de consommation, intelligence économique, écoutes non administratives...). # Communications à partir de pays "non démocratiques" vers des pays démocratiques (journalistes par exemple); # Communications professionnelles discrètes dans des pays où le contrôle de la cryptographie est fort (VRP communiquant avec sa maison mère en i France par exemple). L'intérêt de la technologie PERSEUS est qu'elle fournit également une securité partielle de type TRANSEC (dissimulation du canal). Autrement dit un flux protégé par PERSEUS ressemble à un grand nombre de flux existants et anodins. De plus son profil statistique change régulièrement.
La technologie PERSEUS a été developpée par Eric Filiol et Eddy Deligne a implémenté la première application au flux HTTP sous la forme d'un module libre Firefox. La technologie PERSEUS est open source sous triple licence GPL/LGPL/MPL."
L'ensemble de la solution est expliqué sur le site de ESIEA RECHERCHE
Les alliés européens veulent se protéger contre des attaques comme celle qui a paralysé les sites Internet des banques et des ministères estoniens en 2007. Mais ils ne sont pas convaincus par le modèle américain de “frappes informatiques préventives” contre des pays ou des organisations hostiles.»
En toile de fond de ce débat, la suspicion qui plane autour des Etats-Unis, considérés par certains comme un auteur potentiel du ver informatique Stuxnet, qui a récemment visé l’infrastructure iranienne. Mais on n'en sait encore que très peu sur cette attaque, comme l'écrivait Olivier Tesquet sur Slate.
Stuxnet Un ver impressionnant capable de prendre les commandes de systèmes vitaux Il serait temps de s'inquiéter ....
Stuxnet n'est pas seulement impressionnant par ses cibles industrielles et/ou militaires, mais par le fait que pour les atteindre, il utilise 4 vulnérabilités inconnues jusqu'alors et ce dans des domaines différents. Sa sophistication laisse à penser que sa source ne devrait pas être autre qu'une agence d'état...
"Le code Stuxnet contiendrait ainsi un marqueur caché constitué de la suite de chiffres "19790509". Les chercheurs Nicolas Falliere, Liam O Murchú et Eric Chen pensent que cette suite agit comme un indicateur informant Stuxnet de ne pas infecter le PC ciblé dans le cas où il serait en présence d'un marqueur identique. ...
ils ont émis l'hypothèse que le marqueur pourrait correspondre au 9 mai 1979 date à laquelle Habib Elghanian, un éminent homme d'affaires juif iranien, accusé d'espionnage au profit d'Israël par le tout nouveau gouvernement révolutionnaire iranien, a été passé par les armes à Téhéran par un peloton d'exécution: ...Qualifié de malware parmi les plus sophistiqués jamais réalisé, par Liam O Murchú et d'autres,
Stuxnet vise les PC sous Windows chargés de superviser des systèmes d'acquisition et de contrôle des données appelés SCADA, lesquels gèrent et surveillent à peu près tout type d'installations, depuis les centrales électriques et les machines des usines jusqu'aux oléoducs et aux installations militaires.
Un ver sophistiqué... Trop sophistiqué
L'architecture complexe du ver et la nature de sa cible ont conduit certains à conclure que Stuxnet avait été conçu par un groupe de pirates avec le soutien d'un État. Les infections massives constatées dans les infrastructures iraniennes ont laissé entendre que le ver visait peut-être les installations nucléaires de ce pays.
Le week-end dernier, les autorités iraniennes ont confirmé que des dizaines de milliers de PC avaient été infectés par Stuxnet, dont certains utilisés dans une centrale nucléaire située dans le sud-ouest de l'Iran, et qui devait entrer en service le mois prochain...."
Noter que 60% des PC infectés sont en Iran et que le code de Stuxnet s'arrête de fonctionner de lui-même après le 24 juin 2012.
Noter aussi que les systèmes SCADA si employés dans l'industrie semblerait évidemment être un cible de choix en temps de guerre et qu'il serait temps de penser à la sécurisation de tels systèmes.
Noter enfin que StuxNet est peut-être à l'origine de la perte de contrôle du satellite indien Insat4B en juillet 2010 à cause de l'utilisation de contrôleurs Siemens S7-400 PLC et SIMATIC WinCC qui tout deux activent Stuxnet Un peu plus d'infos
a Windows rootkit to hide its Windows binary components,
and it signed its files with certificates stolen from other unrelated third-party companies.
All of these characteristics are noteworthy in their own right, however when they all converge within one threat it is clear that there is a special force at work.
Any threat that is capable of taking control of a real-life physical system is worthy of a closer look, and here we present our analysis of such a threat...."
---------------------------
Stuxnet virus targets only two models of the Siemens Programmable Logic Controllers with the following series numbers: S7 300 S7 400
The malware actually resides on a PC and then injects rootkit code into the PLC. The code will not infect the PLC unless it finds a specific network card, the series number CP 342-5
The Stuxnet virus uses a modified “Man in the Application” attack that intercepts the commands from a user HMI and executes them late or not at all.
The key to the virus comes in via a computer SCADA system, and infects the PLC. Both the PLC and computer systems need to be cleaned to make sure a re contamination does not occur.
If you have the above controller series and network card, it is time to upgrade the controller and change the network card to something other than the one listed to be on the safe side.
Le téléphone Samsung S8500 Wave distribué en Allemagne contenait sur sa carte mémoire microSD de 1 Go le malware Win32/Heur. Ce cheval de Troie (trojan) s'installe dès que la carte ou le téléphone est branché à un PC sous Windows sur lequel l'exécution automatique est activée....
une explication à lire en anglais sur le site de Symantec :On y comprendra que Symantec est tombé sur un site possédant une base de données de 44 millions de comptes (login / password) de sites de jeux en ligne, base de données possédant par exemple plus de 200000 comptes d'accès à World of Warcraft.
Il semble extrêmement probable que ces données aient été récoltées par un botnet travaillant sur des millions de machines piratées par un/des cheval/chevaux de Troie volant les identifiants des comptes du genre de celui-ci (lien chez Symantec ) mais plus récent évidemment.
De la fragilité du classement des liens dans les moteurs de recherche (ici Google )
"Ces gangs fonctionnent ainsi :
1. Quand les internautes font une recherche Google avec des mots clés ciblés, les résultats peuvent inclure environ 100 sites web légitimes mais piratés. Bien qu’ils aient l’air respectables, ils sont en réalité des façades, redirigeant les utilisateurs vers le réseau de logiciels malveillants dès qu’ils cliquent sur le lien Google. Avec l’optimisation pour moteurs de recherche (SEO) détournant les données, les résultats de recherche ont de fortes chances d’être déformés en leur faveur.
2. Le SEO (optimisation pour les moteurs de recherche) utilise un réseau distinct de sites légitimes mais piratés pour obtenir de meilleures positions dans les pages de référencement Google (PageRank). Les sites piratés disposent d’un contenu renvoyant vers des liens invisibles, chacun pouvant avoir plus de 500 liens en bundle avec des mots clés populaires. Ce contenu est visible seulement pour les bots informatiques du moteur de recherche et est caché des utilisateurs et de l’inspection de la page directrice source. « Nous avons détecté environ 70 sites de ce type lors de notre recherche initiale, mais je crois que le nombre total est bien plus grand »
3. Les intermédiaires connectent les demandes Google infectées avec des sites web offrant des produits frauduleux et soutenant des logiciels espions. Ces intermédiaires sont également des sites légitimes qui ont été piratés. « Avec ce réseau spécifique, nous en avons détecté trois : un site polonais, un club de football allemand et un autre additionnel qui a été retiré plus tard car nous l’avions activement bloqué».
4. La quatrième unité contrôle les sites web de logiciels espions et conserve les produits frauduleux. C’est de là que proviennent toutes ces alertes hautes en couleurs et, finalement, le téléchargement binaire de la fausse application anti-virus. Il est important de réaliser cependant que le logiciel espion dépend de l’objectif du gang de cybercriminels et peut être changé selon leurs objectifs économiques..."
Les hackers Whites Hats (Chapeaux blancs = défenseurs du bien) ont décidés de faire avancer sérieusement les choses aux USA dans le domaine de la défense contre le crime informatique.
Le principe étant que "pour battre un hacker il faut penser comme un hacker", une certification est prévue comme étant obligatoire pour travailler dans certains département de la défense américaine à partir de 2011.
Le Certified Ethical Hacker Training a un programme déjà complet et très chargé où vous apprendrez tout sur la détection d' intrusion, le Social engineering, les attaques DDoS, les buffer overflow, la création de virus etc
Les Botnets, réseaux de machines infectées par des chevaux de Troie commandés à distance, sont la cause d'un grand nombre de problèmes de sécurité sur Internet.
Un Botnet particulièrement sophistiqué et insidieux est Torpig (Wikipedia English) , un malware conçu pour collecter les renseignements sensibles de ses victimes comme ceux sur les comptes bancaires et les cartes de crédit. Torpig peut faire varier son comportement en fonction de la demande de ses "clients" ( mafieux, agence de renseignements etc)
Dans ce papier (PDF) publié en novembre 2009 , des chercheurs de l' Université de Californie de Santa Barbara montrent leurs efforts pour prendre le contrôle du botnet Torpig et ainsi étudier les opérations menées par Torpig pendant une période de 10 jours, cela tout en ne renvoyant aucune donnée au BotMaster
Pendant cette période, ils ont observé plus de 180 000 infections et ont enregistré presque 70 gigaoctets de données collectés par les malwares de Torpig.
Quoique d'autres botnets aient été "piratés" et étudiés auparavant, Torpig expose certaines propriétés qui rendent l'analyse de ses données particulièrement intéressantes:
Tout d'abord, il est possible (avec une précision raisonnable ) d'identifier des infections uniques dues au botnet et de rattacher celui-ci à plus de 1,2 millions d'adresses IP infectées contactant le serveur de contrôle et de commande des chercheurs.Après analyse ces 1,2 millions d'IP correspondaient à environ 180.000 machines uniques infectées.
Deuxièmement, Torpig botnet ratisse large, vise une grande variété d'applications et collecte un riche ensemble de données diverses sur les victimes infectées. L'analyse de ces données permet une meilleure compréhension de la quantité de renseignements personnels volés par les botnets.
Par exemple:
les machines infectés collectaient tous les messages qui passaient. Environ 10 % des messages parlaient de sécurité en étant envoyé par des utilisateurs qui pensait que leur machine était "maintenant" saine.
Le botnet dérouté par les chercheurs pendant dix jours a pu récolter:
415.206 comptes de messagerie entrantPOP
100.472 comptes de messagerie sortant SMTP
54.090 comptes de messageries (hors POP/SMTP)
1.258.862 messages de courrier
11.966,532 données issues de formulaires :
411.039 comptes HTTP
12.307 comptes FTP
1.235,122 mots de passe Windows
8310 comptes (credentials) de 410 institutions financières différentes dont 38% via les gestionnaire de mots de passe des navigateurs des machines infectées.
1660 numéros de Cartes de crédits
Pendant ces dix jours d'analyse, les bots de Torpig ont volés 297.962 identifiants uniques (credential c'est à dire utilisateur + mot de passe ) renvoyés par 52.540 machines. Environ 60.000 machines étaient connectées au botnet à n'importe quel instant.
L'analyse des chercheurs a montrée qu'environ 28% des victimes réutilisaient leurs identifiants (credentials) pour accéder à 368.501 sites web.
__________________________________
Techniquement Torpig est très sophistiqué et réalisé par des professionnels de l'informatique:
chaque machine infectée peut être source d'information (en envoyant les données propres à la machine), proxy ou serveur ( de contrôle ou de commande ou bien utilitaire (ex: phishing)).
toutes les données récoltées sont chiffrées
le botnet peut être mis à jour afin de modifier son comportement
L'algorithme pour calculer les noms de domaine des machines où trouver les prochaines commandes est dynamique.
Idem pour les machines serveurs sur lesquelles sont générées en dynamique des pages web de phishing. Ces pages web de phishing servent à collecter des informations financières et sont indétectables puisqu'une fois le fishing effectué, la machine infectée retrouve son état normal et que le serveur web de phishing peut disparaître en tant que tel.
Plus de 95% des machines étaient potentiellement utilisables pour faire du SPAM et non référencées pas la liste noire de Spamhaus
20% des machines infectées étaient utilisables en tant que serveur.
Le cheval de Troie ne prend qu'une partie de la bande passante réseau de la machine infectée afin de ne pas étouffer celle-ci et la puissance cumulée de Torpig pour 60.000 machines correspond à 17 Giga-octets/s de bande passante ce qui permet n'importe quelle attaque réseau du type déni de service distribué
Le code déchiffré par les chercheurs était évolutif, commenté, modulaire et réutilisable. Les professionnels apprécieront...
Définition courante d'un botnet : un botnet est un réseau d'ordinateurs commandés à distance de manière simultanée par un chef que l'on appellera dorénavant le botmaster.
Les principaux botmasters du moment sont probablement mafieux, militaires ou membres d'agence de renseignements et ont pris la main sur les PCs à l'insu de leur propriétaire grâce à des vers/virus/spyware informatiques.
Je laisse au passé la définition originelle de botnet qui avait été créé à partir de robot IRC sur les réseaux IRC car le principe est sorti hélas de ce cadre. Les derniers botnets utilisent toutes sortes de moyens autres qu'IRC pour se fédérer en réseau par exemple MSN messenger
Voila une vidéo en anglais de Symantec destinée à avertir le public et à lui faire peur à juste raison.
Les solutions contre les botnets sont les même que pour les virus : une machine mise à jour, un couple antivirus/firewall performant ainsi qu'un changement de mot de passe régulier, les botnets ayant souvent la fâcheuse habitude de les récolter. Voila un petit texte extrait de Is Your PC Part of a Botnet? - ReadWriteWeb que je vais vous traduire :
According to a report today (2009/15/03) from The Associated Press, Internet security company Prevx recently discovered a Web site that was being used as a storage facility for data stolen from 160K infected computers, and the discovery offers an interesting case study.
Selon un rapport reçu le dimanche 15 mars 2009 de l'Associated Press , la société de sécurité Prevx a récemment découvert à site web qui était utilisé comme zone de stockage pour des données volée à 160000 ordinateurs infectés. Cette découverte est un cas intéressant.
The storage site was hosted in the Ukraine and its contents showed that the botnet was harvesting data. Information found included passwords, social security numbers, credit card numbers, addresses, telephone numbers and other personal information; quite a treasure chest if you're into identity theft....
Le site de stockage était localisé en Ukraine et son contenu montrait que le botnet récoltait des données. Les informations trouvées incluaient mots de passe, numéros de sécurité sociale, numéros de cartes de crédit, adresses, numéros de téléphone et autres informations personnelle. Bref un trésor si vous êtes un voleur d'identité...
Dans ce même article, on découvre que les sessions étaient enregistrées ce qui laisse supposer que les protections et astuces offertes par les banques pour protéger les comptes ne servent pas à grand-chose puisque l'espion est DANS l'ordinateur.
Je précise que PrevX cité plus haut est le fournisseur d'un excellent antivirus payant et permet aussi de vérifier son PC via l'utilisation de son scanner gratuit Prevx CSI(tout ceux qui regardent Les Experts apprécieront le nom).
Les botnets sont-ils importants ? Pourquoi faut-il s'en préoccuper ?
Oui ils sont très importants car ils peuvent servir à plusieurs choses. Sans être exhaustif sur le sujet car le futur répondra mieux à la question, voici par exemple :
Collecter l'information contenue dans les ordinateurs zombies sur lesquels il est installé. Il s'agit du cas cité dans l'article précédent. Cela peut être au bénéfice d'une mafia comme d'une dictature. John Kenneth Schiefer est un exemple de pirate mafieux sous les verrous pour quatre ans , il avait 26 ans quand il s'est fait pincé, il risquait une peine maximale d'une soixantaine d'année.
Concentrer la puissance réseau des zombies pour éteindre n'importe quel site web par saturation réseau. Il s'agit là d'une arme de guerre qui peut être au bénéfice d'un lobby, d'une armée. C'est une attaque classique de type Denial of Service( DoS = impossibilité de service sur la machine attaquée)
permettre l'accès au réseau de la machine zombie. Si il y a suffisement de machines infectées, le botmaster peut pratiquement agir à partir de n'importe quel réseau
avoir une puissance de calcul énorme en parallélisant des centaines de milliers de machines sur un problème que seul les supercalculateurs peuvent résoudre. Cela peut intéresser les mafias comme les états pour casser des clés de chiffrement de sécurité (code d'accès). Cela peut aussi intéresser des entreprises qui ne peuvent s'offrir des supercalculateurs
avoir une puissance réseau énorme. Cela sert à tout et en particulier à faire du SPAM comme le montrait cet exemple fabriqué par la BBC (voir [aussi ici !]) qui est le cas le plus courant de la rencontre du grand public avec les botnets. Il est à noter que depuis que la BBC a utilisé un botnet (d'origine évidemment mafieuse) pour sa démonstration, la société de sécurité Sophos a dénoncé cette action comme hors-la-loi alors que la BBC a (1) avertit le public, (2) prévenu les propriétaires des machines zombies infectées en plaçant un message comme quoi leur PC avait été victime d'un virus.On peut parait-il acheter de la bande passante réseau obtenue à partir de la fédération des réseaux esclaves des botnet sur le Web. En clair ils revendent la bande passante qu'ils ont volé. Les mafias sont créatives...
Y-a-t-il eu des botnets qui servent à faire le bien ?
En principe non. Les botnets sont la partie sombre et cachée d'un type de réseau qui sert habituellement à faire le bien et qui fonctionne globalement suivant le même principe. Ce type de réseau s'appelle Grid en anglais, grille informatique en français et est formé à partir de réseaux de machines faiblement couplées et massivement distribuées.
Si vous ne comprenez pas ces derniers termes, cela signifie globalement la même architecture que pour un botnet sauf que les propriétaires sont au courant de ce à quoi leur machine sert . C'est donc officiel, souvent organisé par des scientifiques et en principe sans partie sombre. L'utilisation des Grids militaires n'est pas nécessairement transparente...
Plutôt que laisser inoccupé son ordinateur allumé, on peut décider de prêter sa machine à des causes nobles: La recherche des extraterrestres pilotée à partir de l'Université de Berkeley appelé SETI@home est un exemple connu de ce genre de travail que l'on peut confier en tâche de fond à son ordinateur.
Il y a beaucoup d'autres projets que votre ordinateur pourra servir lorsqu'il s'ennuiera à vos côté et que vous ne l'utilisez pas - la recherche sur le cancer à besoin de vous - votre ordinateur deviendra alors un petit élément d'un gigantesque "grid computer" scientifique.
On peut aussi participer à la chasse au botnet: il y a un piège à virus appelé Honeynet destiné à l'étude des botnets. C'est grace à ce genre de projet animés par des fabricants d'antivirus et des spécialistes de la sécurité que l'on peut surveiller les bots comme on le voit dans la video qui suit où l'on percoit la"respiration" d'un botnet.
Y-a-t-il d'autres architectures du type BotNet ?
Sûrement ! et les plus puissantes sont sûrement à inventer. Pour s'en convaincre il suffit de se plonger un peu dans la recherche sur les systèmes massivement distribués comme par exemple chez [IBM ici!].
C'est la guerre sur Internet ?
La guerre se porte partout et en particulier sur les moyens quels qu'ils soient. L'ordinateur avec Internet est LE moyen du 21ème siècle : on en est totalement dépendant comme nous sommes devenus dépendant d'autres technologies précédemment: de l'agriculture en passant par la voiture jusqu'au téléphone portable.
La présence de l'ordinateur comme média d'accès peut faire peur et doit faire peur à cause de cette dépendance dont nous sommes sujet. C'est la raison d'être en France de la CNIL
Par exemple la loi discutée en France actuellement appelée Création et Internet peut faire peur car il est débattu de peut-être laisser rentrer un espion chez soi au nom d'un contrôle généralisé sur le piratage et cela sans contrôle judiciaire. Cette simple disposition peut, si l'on n'y prend pas garde, donner à l'État (voire à d'autres) le rôle de botmaster des ordinateurs contrôlés. Cela éveille naturellement des inquiétudes comme on peut le lire dans ce blog. Parce qu'évidemment on ne voudrait pas que l'État devienne un État Big Brother en étant Botmaster d'un botnet qui s'appellerait France. Notez bien que nous n'en sommes pas encore là (voir l'appel de candidatures) et que cette loi en fait rire pour le moment plus d'un [comme ici !] - Merci pour ce lien Seb !
Une belle démonstration en vidéo de ce à quoi peuvent servir les spywares (logiciels espions) qui s'installent à notre insu sur nos ordinateurs.
Dans l'exemple de la BBC ci-dessous cela sert à des spammeurs à faire des envois de courriers massifs . Spammeurs qui utilisent alors des techniques mafieuses : En l'occurrence la manipulation à distance des PCs de pauvres individus qui ne sont même pas au courant de l'utilisation qui est faite de ceux-ci. On appelle les PCs utilisé ainsi à l'insu de leur propriétaire des PCs Zombies.
Peut-être que votre PC est un PC Zombi mais que vous n'êtes pas au courant ? Avez-vous confiance dans votre antivirus/antispyware ?
En masse ces PC Zombies forment des colonies appelés botnet (réseau de PCs robots) que l'on peut manipuler lorsqu'on est aux commandes. On est très loin des premiers virus...
Voila la démonstation faite par la BBC trouvée via Numérama: "Dans le cadre de son émission Click online sur les nouvelles technologies, la chaîne a loué un réseau botnet de 22.000 ordinateurs infectés par un vers contrôlé à distance.
L'objectif était de montrer la facilité avec laquelle des campagnes de spams et des attaques informatiques pouvaient être lancées depuis des dizaines de milliers d'ordinateurs d'individus totalement ignorants du problème (voir vidéo ci-dessous)."
Vous avez Windows, faites toujours vos mises à jour. Ayez votre antivirus et ne laissez pas votre ordinateur sur Internet sans un firewall effectif.
Vous ne pouvez plus faire vos mises à jour ? Si vous ne le pouvez plus, c'est que, peut-être, un virus a désactivé cette possibilité. C'est ce que fait typiquement ConFicker.
Ce virus passe ensuite discrètement de machine en machines par le biais des clefs USB et des partages réseaux.
Ce virus s'est suffisement étendu pour qu'on en parle dans des journaux comme Le Point [ici !] .
Les adresses avec lesquelles le virus veut communiquer pour recevoir ses ordres changent tout le temps mais les centres antivirus collectent ces adresses. Une solution pour le détecter à partir de l'administration d'un réseau d'entreprise a donc été proposée par le service OpenDNS qui propose de se servir de leur système de DNS comme d'un firewall géant en interdisant les communications vers les sites avec lesquels le virus veut communiquer tout en avertissant les administrateurs des machines infectées.
Ryan Sherstobitoff chez Panda a écrit en anglais un article à lire sur le "Crimeware ecosystem" qui peut expliquer l'existence d'un tel virus. Nous sommes loin des virus écrits pas les script kiddies mais plutôt d'un genre de ceux qu'une mafia commanderait, argent à l'appui.
Développeurs et enseignants en informatique cela vous concerne particulièrement car c'est un sujet qui n'est pas encore assez enseigné, on parle de l'étude qui a aboutit à cette liste [là!] et la liste est elle-même au cwe.mitre.org/top25/ [ICI !]
Pourquoi toujours chercher à éviter une liste (noire) infiniment fluctuante de virus et autres spywares alors que vous pourriez avoir une liste (blanche) d'applications auxquelles vous faites vraiment confiance ?
Warning : AVG & Avast! have free versions for home users. Don't be abused by crook websites like www.download-avast.com which "sells" free avast! version.
Attention : AVG et Avast! proposent des versions gratuites pour l'utilisation non-commerciales. Ne vous faites pas escroquer par des sites comme www.download-avast.com qui "vendait" la version gratuite d'Avast!
