Bienvenue sur le blog Vers et Virus

France : seconde position derrière les US comme pays accueillant des sites de phishing

C'est surprenant, et personne n'a encore relevé cette étrange statistique disponible dans le dernier rapport de l’Anti-Phishing-Working-Group : en avril, la France se retrouve en seconde position (avec 26,9% de sites miroirs) comme pays hébergeant des sites de phishing alors qu’elle est habituellement en queue du TOP-10 avec moins de 4% des sites.
Je vous avais déjà indiqué ce chiffre surprenant le 11 juin en vous signalant attendre une confirmation de la part de l’organisme. En effet la statistique écrite ne correspondait pas au « camembert » également disponible dans le rapport.
J’ai reçu aujourd’hui la réponse de Websense ; les chiffres sont exacts et les voici :

• USA : 28,44%
• France : 26,9%
• République de Corée : 21,05%
• Roumanie : 2,04%
• Chine :1,9%
• Allemagne : 1,9%
• Russie : 1,75%
• Grande-Bretagne : 1,46%
• Turquie : 1,46%
• Netherlands : 1,17%

Il n’y a pas que les cybercriminels qui s’intéressent aux « 0-day »

Charlie Miller a récemment publié une étude décrivant les rouages liés à la vente légale de vulnérabilités (The Legitimate Vulnerability Market: Inside the Secretive World of 0-day Exploit Sales). Il y explique la difficulté à trouver un bon interlocuteur, à négocier un prix raisonnable, à prouver la validité de la vulnérabilité, et à conclure l'affaire sans qu’aucune des parties ne se sente lésée. Beaucoup de chercheurs qui se sont frottés au problème choisissent la diffusion publique (donc la renommée) plutôt que de la fortune.

La principale motivation qui pousse un individu à la vente de vulnérabilité est – bien entendu - une motivation financière. Les primes vont de quelques centaines de dollars, pour Mozilla, à plusieurs milliers de dollars s’il s’agit de Verisign iDefence, 3com TippingPoint, Digital Armaments, et plus récemment Netragard’s Snosoft. Plus surprenant, des sommes faramineuses sont parfois proposées par des agences gouvernementales ou des sociétés privées en contact avec elles.

Quel est donc l’intérêt d’acheter une vulnérabilité dite « 0-day » ?  Il est facile de comprendre que les organismes de recherche qui ont créé ces programmes de primes souhaitent protéger leurs clients, partager l’information avec eux, l’utiliser à des fins de marketing et, nous l’espérons, informer le fournisseur mis en cause pour qu’il solutionne le problème.
La réponse est plus incertaine lorsqu’il s’agit d’organismes gouvernementaux ou privés. Ils n’ont pas de clients et ne recherchent pas la notoriété. Il n’est donc pas interdit d’imaginer qu’ils souhaitent eux même utiliser ces failles inconnues ou les refiler à d’autres entités préférant rester dans l’ombre. Alors que tout le monde parle de cyber-guerre et que certains services d’État cherchent des collaborations en ce domaine (voir ici et là), il n’est pas inimaginable de penser que des gouvernements veuillent acheter des exploits « zero-day » pour éliminer la menace ou l’utiliser selon leurs propres besoins.

Spam Spike

Dans son édition de mai 2007, MessageLabs relate l’existence de campagnes de spam que l’on pourrait assimiler à des attaques en DDoS (Distributed Denial of Service). Elles prennent le nom de « spam spikes ».
Pour l'une de ces attaques, le 27 avril, un seul domaine en Grande Bretagne a reçu plus de 10 000 messages en 11 heures de temps. Durant cette période, les spams ont représenté 75% de tout le trafic de messagerie sur le domaine.

Ce type d’attaque peut s’avérer extrêmement dangereux. Elle montre une nouvelle fois que nous entrons dans l’époque des attaques ciblées.

La géolocalisation : nouvelle arme des pirates

Pour mieux tirer partie des informations collectées par les keyloggers ou les password stealers, les cyber-criminels cherchent à localiser géographiquement leurs victimes. Cette nouvelle technique est sans doute liée à l’emploi d’intermédiaires locaux (les mules) recrutées pour faciliter la récupération des fonds accessibles à la suite d’un piratage. Les mules sont, en effet, choisies pour leur proximité géographique (même pays, même état) d’avec la victime. 

A l’occasion d’une récente attaque découverte par ma collègue Élodie Grandjean, et décrite sur le blog McAfee nous avons pu comprendre comment pouvait se dérouler le processus d’identification. Sur chaque ordinateur infecté, une routine avait la charge de récupérer des informations sur la localisation de la machine infectée en fonction de son adresse IP. Ceci se faisait par l’intermédiaire d’une requête javascript sur l'un des sites des pirates.
Les informations obtenues étaient ensuite stockées dans la base de registre locale :

• HKLM\System\CurrentControlSet\Control\InitRegKey\geoinfo
  - iso
  - country
  - region
  - city
  - latitude
  - longitude
  - ip

Certains fichiers au format texte, contenant les informations détournées et envoyées vers le site collecteur, contenaient alors une retranscription des coordonnées géographiques.

PC Name = JOHN-3GR6524FRHN
PC IP = 82.22.97.32
PC Country/ISO/Region/City = france/fr/a3/paris
PC Location longitude/latitude = 2.3333/48.8667
Log Creation = 2007/05/21 13:22:05

Vous saviez déjà qu’un ordinateur vulnérable était un livre ouvert pour les pirates: ils peuvent intercepter toute sorte d’informations confidentielles qui y transitent. Sachez maintenant qu’ils peuvent vous localiser. Si vous envoyez un e-mail à un ami lui disant « la clé est sous le paillasson », méfiez vous, la maison au paillasson est visible depuis Google Earth. Les images suivantes ont été réalisées à l’aide des coordonnées géographiques capturées par les pirates et interceptées par nous.

Les phishers aiment à multiplier les liens

En Avril 2007, le nombre de sites factices repéré par l’Anti Phishing Working Group (APWG) a atteint le chiffre faramineux de 55 634 unités. Dans son étude, l’association annonce une augmentation de 1 66% par rapport au mois précédent et un bond de 48% par rapport au précédent pic d’alertes d’octobre 2006.

La tendance est effectivement à la hausse. Elle ne suit pas le nombre d’attaques recensées chaque mois par l’association. En effet, cette dernière courbe  reste stable, et l’on se retrouve bien étrangement avec un plus grand nombre de sites miroirs que d’attaques distinctes.

Dans le rapport de l’APWG, Laura Mather (Ph.D., Senior Scientist chez MarkMonitor) nous explique la raison de ce chiffre étonnant : Tout comme ils l’ont fait au dernier trimestre 2006, les phishers s’appliquent à créer une multitude de sites miroirs distincts sur un même domaine. Dans certains cas ce chiffre peut dépasser le millier.

La technique de multiplication d’URLs s’aide d’automates dédiés à la création de sous-domaines (xxx.fakedomain.com) ou de répertoires multiples au sein d’un même domaine (w ww.fakedomain.com). Ils accueilleront ensuite les sites miroirs des phishers qui pourront les utiliser moins longtemps et, pour chacun d’entre eux, sur des victimes potentielles moins nombreuses. C’est donc, là aussi le désir de discrétion qui prime.

Les criminels font aussi cela pour perturber les systèmes de blocage de sites qu’Internet Explorer 7.0 et Firefox 2 utilisent pour tenter de protéger les internautes et plus particulièrement les particuliers, victimes privilégiées des malfrats.

On notera aussi un chiffre bien étrange dans ce rapport.  La France se retrouve en seconde position dans le Top-10 des pays hébergeant des sites pirates (page 5). Ce chiffre semble surprenant, tout comme le graphique qui s’y rapporte. J’attend une réponse de l’APWG sur cette curieuse seconde place. Je vous tiendrai au courant dès réception de leur réponse.

Le dernier rapport de l’APWG est disponible à l’adresse :
http://www.antiphishing.org/reports/apwg_report_april_2007.pdf

Une tentative de scam bien imaginée

J’ai déjà eu l’occasion de vous parler du scam africain en décembre 2006.

Une de mes relations vient de recevoir un mail de ce type. L’ayant trouvé particulièrement bien conçu, je vous en livre ici une copie. Pour préserver l’anonymat des personnes j’ai changé les noms et prénoms des intervenants. Nous admettrons donc que mon amie s’appelle Dominique MARTINEAU.

-----Message d'origine-----
De : Francois Tippo [mailto:francois.tippo_at_hotmail.com]
Envoyé : vendredi 8 juin 2007 14:37
À : dominique_at_businessandphone.fr
Objet : Bonjour


                                    Bonjour Mme Dominique ,

Je suis M. Francois TIPPO , auditeur comptable de  banque en C. I. Abidjan
Durant le controle comptable d'une banque j'ai decouvert un compte qui a été ouvert depuis 1998 et depuis 2001 aucune opération n'a été effectuée sur le compte en question jusqu'à ce jour , apres quelques recherches j'ai decouvert que le client en question est decedé et personne ne s'est presenté
ici pour une reclamation quleconque  et même personne pour gerer ces avoir avec la banque. le client était  feu M. Jean-Marc Martineau qui était le directeur d'une  societe .

Depuis lors j'ai mené plusieurs enquêtes  pour localiser un des parents du defunt client mais en vain. Après plusieurs tentatives échouées, j'ai décidé de tracer son nom de famille sur l'Internet, pour pouvoir localiser un membre de sa famille et c'est comme ça que je suis entré en contact avec
vous. Ce qui importe c'est que ce monsieur  possède une somme dans la banque qui s'élève à 1.780.000€ Euro

Mon supérieur hiérarchique ma demandé  de leur fournir les coordonnées de l'ayant droit/bénéficiaire de cette somme sinon la banque  enverra ainsi les fonds au trésor publique. N'ayant pas trouvé des parents au cours de 2 dernières années, je voudrais votre consentement pour vous introduire comme
un parent proche du défunt puisque vous êtes homonymes, pour que les revenus de ce compte puissent vous être payés et ensuite vous et ensuite le partage se fera entre vous et moi .

Tout ce que j'exige est votre entière et honnête coopération pour nous permettre de réaliser cette affaire ,Je reste en attente de votre reponse urgente a cette proposition.

Cordialement.

M. Francois TIPPO