Le blog sécurité de Philippe Vialle / Phil Vialle's blog

J'aurais cru, moi le premier, que les infolettres venant de gens comme PayPal seraient plutôt sérieuses...

En tout cas, au moins liées à leur activité de services bancaires en ligne...

Hé bien, voici la preuve que tout peut arriver : Paypal fait de la pub pour des sites de rencontres en ligne (ici Meetic...) !

Certains vont répondre tout de suite que l'émetteur Paypal a ici été usurpé... hé bien à priori non :

 Received: by 10.194.153.72 with SMTP id ve8csp2769wjb; Wed, 15 May 2013 01:53:17 -0700 (PDT) X-Received: by 10.220.52.201 with SMTP id j9mr24052064vcg.33.1368607997274; Wed, 15 May 2013 01:53:17 -0700 (PDT) Return-Path: <RPUMVFW-2O8T06-SUH4E9-BNCID5-SPN59L-H-M2-20130515-8f06e8b6227465@emea.e.paypal.com> Received: from outbound.emea.e.paypal.com (outbound.emea.e.paypal.com. [96.47.30.227]) by mx.google.com with ESMTP id os3si951902vcb.69.2013.05.15.01.53.16 for <XXXXX@gmail.com>; Wed, 15 May 2013 01:53:17 -0700 (PDT) Received-SPF: pass (google.com: domain of RPUMVFW-2O8T06-SUH4E9-BNCID5-SPN59L-H-M2-20130515-8f06e8b6227465@emea.e.paypal.com designates 96.47.30.227 as permitted sender) client-ip=96.47.30.227; Authentication-Results: mx.google.com; spf=pass (google.com: domain of RPUMVFW-2O8T06-SUH4E9-BNCID5-SPN59L-H-M2-20130515-8f06e8b6227465@emea.e.paypal.com designates 96.47.30.227 as permitted sender) smtp.mail=RPUMVFW-2O8T06-SUH4E9-BNCID5-SPN59L-H-M2-20130515-8f06e8b6227465@emea.e.paypal.com; dkim=pass header.i=@e.paypal.fr; dmarc=pass (p=REJECT dis=none) d=paypal.fr Return-Path: <RPUMVFW-2O8T06-SUH4E9-BNCID5-SPN59L-H-M2-20130515-8f06e8b6227465@emea.e.paypal.com> DKIM-Signature: v=1; a=rsa-sha1; d=e.paypal.fr; s=ED-DKIM-V3; c=simple/simple; q=dns/txt; i=@e.paypal.fr; t=1368607995; h=From; bh=lT6qneSqHLFrPLClv6MyVug2Iug=; b=FP21dpxcNnVVOM4p7KfRR4DMaGMGlxQ8Hv+zjXB2s46GH4EeAyWtgBM0mp9RKaRE BBA5Vpl07bVG4fEEl3WGyYS2Lh0yJ+2E/kfSi4TyJGhGtWLRv2Ni+XZaTdOsSc0H /joiX+e1/V1Hah3uFhZNxmX48bAxs/qIufcffNF/y2U=; Received: from [127.0.0.1] ([127.0.0.1:44281]) by bm1-08.bo3.e-dialog.com (envelope-from <RPUMVFW-2O8T06-SUH4E9-BNCID5-SPN59L-H-M2-20130515-8f06e8b6227465@emea.e.paypal.com>) (ecelerity 2.2.2.45 r(34222M)) with ECSTREAM id E9/EC-28505-BFC43915; Wed, 15 May 2013 04:53:15 -0400 Date: Wed, 15 May 2013 04:53:15 -0400 Content-Type: text/html; charset=UTF-8 Content-Transfer-Encoding: quoted-printable MIME-Version: 1.0 From: "PayPal" <paypal@e.paypal.fr> Reply-To: "PayPal" <noreply@e.paypal.fr> To: XXXXXXX@gmail.com Subject: =?UTF-8?B?RMOpY291dnJleiBNZWV0aWMgc3VyIHZvdHJlIG1vYmlsZQ==?= Message-Id: <17595-81-RPUMVFW-2O8T06-SUH4E9-BNCID5-SPN59L-H-M2-20130515-8f06e8b6227465@e-dialog.com> X-Mail-From: RPUMVFW-2O8T06-SUH4E9-BNCID5-SPN59L-H-M2-20130515-8f06e8b6227465@emea.e.paypal.com 

Un petit point pour les francophones, pour ceux qui ont maille à partir avec ZBot/ZeuS.

Quelques rappels :

- ZBot utilise dans beaucoup de variantes le %appdata%, là où tout utilisateur a le droit en écriture et lecture

- ZBot se propage par des failles de sécurité applicatives, notamment Oracle Java et Acrobat Reader.

- ZBot peut se propager via les services de Bureau à distance (RDS) : une machine cliente infectée peut infecter un serveur en s'y connectant en RDS

Plan d'action ?

- revoir vos inventaires logiciels : il vous faut savoir les versions de logiciels qui sont présents : navigateurs, mais aussi Oracle Java, et Acrobat Reader, etc.

- Déployer au maximum possible les mises à jour de sécurité, et pas uniquement celles de Microsoft. Un antivirus n'est pas là pour pallier à la non application des correctifs ! Cibler en priorité les postes d'administration du parc et les machines critiques. Pour rappel, Java 6 n'est plus supporté par Oracle depuis février 2013.

- S'assurer de la présence et de la mise à jour d'un antivirus sur tous les environnements Windows connectés au LAN

- Soumettre à votre éditeur antivirus tout échantillon trouvé et non détecté

- Lancer un nettoyeur sur le parc : au minimum le MSRT (Malicious Software Removal Tool) qui a d'ailleurs été mis à jour ce mois-ci pour ZBot d'après mes tests, voire si possible le MSERT (Safety Scanner, qui peut se scripter). Toutes les stations d'administration devraient être vérifiées avec un outil supplémentaire que l'antivirus déjà présent.

- Vérifier vos équipements proxies, sondes NIPS, pare-feux, pour toute détection pouvant s'apparenter à du trafic ZBot : infection initale, remontée au C&C, voire exfiltration des données volées.

- prendre connaissance des fiches descriptives de ZBot, telles que publiées par les éditeurs antiviraux, pour les souches détectées sur votre parc. Exemple : http://www.microsoft.com/security/portal/threat/encyclopedia/entry.aspx?Name=Win32%2fZbot . Ces caractéristiques techniques des variantes doivent impérativement être prises en compte pour affiner votre plan d'action de réponse à la menace virale. Il y est notamment dit que les codes d'exploitation suivants sont connus pour être utilisés afin d'implanter ZBot sur les machines : Exploit:Java/CVE-2012-0507, Exploit:Java/CVE-2012-1723, Exploit:Java/CVE-2013-0422, Exploit:Win32/Pdfjsc. Exploit:Win32/CplLnk.B. Je peux attester que c'est le cas !

- redémarrer les machines infectées après détection afin d'être sûr de l'éradication en mémoire.

- utiliser des doubles facteurs d'authentification pour les comptes administrateurs : ZBot intercepte les frappes au clavier, or la carte à puce protège contre ce type d'attaque (et non pas contre le pass the hash, par défaut...).

- renforcer la surveillance réseau en ajoutant des éléments caractéristiques à ZBot, en alerte voire en blocage : https://zeustracker.abuse.ch/blocklist.php   

Bon courage :)

Mise à jour du 23/07/13 :

Petit exemple de courriels indésirables reçus plus d'une fois, et contenant un ZBot en pièce jointe :

Et petite confirmation :

En tentant de télécharger des outils de développement WMI ("WMI administrative tools", pour faire des requêtes directement), j'ai eu un petit problème avec Immunet :

Un vrai "faux positif" W32.Spero.Cosmu... sur le setup.exe.

C'est l'un des effets de bord du nuage pour les antivirus, à ne pas oublier : l'analyse en dynamique des échantillons peut produire des faux positifs et je n'ai pas pu évaluer leur correction comparé au cas classique de faux positif par une signature nouvellement créée.

Dans la version gratuite de Immunet 2.0.17.31, je n'ai eu d'autre choix que de désactiver le service (dans services.msc) pour arriver à télécharger et utiliser l'outil WMI Admin Tools, pourtant récupéré directement sur la TechNet. Je ne pense pas que la TechNet héberge beaucoup de codes malveillants ;)

Avis donc pour ceux qui utilisent la technologie du Nuage pour certaines solutions antivirus : s'ils souhaitent faire une action automatique sur détection, je leur commande de ne pas supprimer ce qui est détecté, mais de mettre en quarantaine. Sinon, le mieux à mon sens est de se limiter à la détection, et de faire confirmer chaque échantillon manuellement.

While searching for virtualization back-up solutions for ESXi, I came accros the following website:

http://joealdeguer.com/backing-up-and-restoring-esxi-virtual-machines/index.php

But the proxy server that filters internet browsing, where I am at the moment, yelled a warning and blocked the page:

(Yes, the is a Squid proxy server powered, and antivirus engine is ClamAV).

As you can see, Clam says "PUA.Script.Packed-1.

Now, let's try VirusTotal for this same URL:

https://www.virustotal.com/en/url/9be98ad47adc382824285f27289bd20cc9f2b71ba1f5761a8c15ecb95b877a1b/analysis/1364141731/

Well... nothing found! even Clam...

And no, don't tell me it's because it's a PUA, and therefore it's not reported in the main view...!  The "additional information" tab says:

Websense ThreatSeeker URL category Uncategorized.

Quttera domain information See Quttera report

Sucuri SiteCheck domain information Full threat report

Webutation domain information Verdict..................: unsure Adult content............: no Safety score.............: 70 Take a look at the full Webutation review.

URL after redirects http://joealdeguer.com/backing-up-and-restoring-esxi-virtual-machines/

Network location to IP address resolution 108.56.209.3

Response code 200

Response headers via: HTTP/1.1 GWA x-powered-by: PHP/5.3.10-1ubuntu3.6 x-google-cache-control: remote-fetch vary: Accept-Encoding server: Apache/2.2.22 link: <http://wp.me/p2SbCr-cs>; rel=shortlink date: Sun, 24 Mar 2013 16:15:36 GMT content-type: text/html; charset=UTF-8 x-pingback: http://joealdeguer.com/xmlrpc.php

Response content SHA-256 82132433d7fe11cacada4b1a9573c9f2b292702ed7198b89e7078d9a35e1dcf5

Google trends for the term joealdeguer: See full report

Alexa daily reach Estimated percentage of global internet users who visit joealdeguer.com:

Here, OK the URL by itself is not categorized as "malicious", but at least one AV engine (Clam) should trigger a warning on VT, if it really matches the AV regular behavior.

In a nutshell, you may want to try VirusTotal for URL scan, but even if it does not give you any result, I do suggest you to manually download the content targetted by the URL, and then upload it to VirusTotal, to double check.

Small update:

if you download the webpage, save it as " web archive" in IE, and upload that to VT, here are the results:

https://www.virustotal.com/en/file/1d9df59ad8b58e5101361b45b2a4ae06fcea2f9e814acedcc3c335c7a178cc6c/analysis/1364142725/

Yes, there you see that Clam does detect a PUA (additional information tab).

Sous Ubuntu 11, vous pourriez rencontrer le problème ci-après, d'où mon article. De nuit, en production, juste en accès distant SSH, c'est toujours sympa...

Lors d'un classique apt-get update  puis apt-get upgrade, vous avez une erreur : un packetage de sources noyau semble mal installé.

Puis, en lançant apt-get -f install, vous obtenez des erreurs de type :

(Lecture de la base de données... 471398 fichiers et répertoires déjà  installés.)

Dépaquetage de linux-image-3.2.0-38-generic (à  partir de .../linux-image-3.2.0-38-generic_3.2.0-38.61_i386.deb) ...

Done.

dpkg : erreur de traitement de /var/cache/apt/archives/linux-image-3.2.0-38-generic_3.2.0-38.61_i386.deb (--unpack) :

 impossible de créer « /lib/modules/3.2.0-38-generic/kernel/net/netfilter/nf_tproxy_core.ko.dpkg-new » (pendant le traitement de « ./lib/modules/3.2.0-38-generic/kernel/net/netfilter/nf_tproxy_core.ko »): Aucun espace disponible sur le périphérique

dpkg-deb : erreur : le sous-processus coller a été tué par le signal (Relais brisé (pipe))

Examining /etc/kernel/postrm.d .

run-parts: executing /etc/kernel/postrm.d/initramfs-tools 3.2.0-38-generic /boot/vmlinuz-3.2.0-38-generic

run-parts: executing /etc/kernel/postrm.d/zz-update-grub 3.2.0-38-generic /boot/vmlinuz-3.2.0-38-generic

Dépaquetage de linux-headers-3.2.0-38 (à  partir de .../linux-headers-3.2.0-38_3.2.0-38.61_all.deb) ...

dpkg : erreur de traitement de /var/cache/apt/archives/linux-headers-3.2.0-38_3.2.0-38.61_all.deb (--unpack) :

 impossible de créer « /usr/src/linux-headers-3.2.0-38/include/net/caif/cfpkt.h.dpkg-new » (pendant le traitement de « ./usr/src/linux-headers-3.2.0-38/include/net/caif/cfpkt.h »): Aucun espace disponible sur le périphérique

dpkg-deb : erreur : le sous-processus coller a été tué par le signal (Relais brisé (pipe))

Dépaquetage de linux-headers-3.2.0-38-generic (à  partir de .../linux-headers-3.2.0-38-generic_3.2.0-38.61_i386.deb) ...

dpkg : erreur de traitement de /var/cache/apt/archives/linux-headers-3.2.0-38-generic_3.2.0-38.61_i386.deb (--unpack) : erreur pendant la création du répertoire « ./usr/src/linux-headers-3.2.0-38-generic/include/config/fb/pm2/fifo »: Aucun espace disponible sur le périphérique

dpkg-deb : erreur : le sous-processus coller a été tué par le signal (Relais brisé (pipe))

Des erreurs ont été rencontrées pendant l'exécution :

 /var/cache/apt/archives/linux-image-3.2.0-38-generic_3.2.0-38.61_i386.deb /var/cache/apt/archives/linux-headers-3.2.0-38_3.2.0-38.61_all.deb

 /var/cache/apt/archives/linux-headers-3.2.0-38-generic_3.2.0-38.61_i386.deb

Log ended: 2013-03-11  01:57:24

En fait, le disque n'est pas plein (même si la place dispo n'est pas chiffrée en Gigas!

df -h /dev/sda1

Sys. de fichiers Taille Utilisé Dispo Uti% Monté sur

/dev/sda1          7,4G    5,0G  2,1G  71% /

Ne pouvant facilement redémarrer le serveur pour raisons de prod (hé oui...), le e2fsck ne me semblait pas facile... D'autant plus que je suis en SSH et il me semble avoir décelé que dans /boot, l'installation de certaines images noyau serait partielle (il manque des fichiers correspondants selon certaines versions du noyau).

En fait, j'ai opté pour une ruse (et pour les fonctions d'auto-réparation d'erreurs d'APT) : le problème semble résider dans /usr/src : faisons le ménage !

Après avoir enlevé nombre de linux-headers-3.2.0-XX où XX remontait à 20, je relance l'installation, et là, miracle, APT aboutit.

Il y avait donc bien quelque part un problème avec l'accès dans /usr/src, par APT ou DPKG...

Si cela peut servir à d'autres...

PS : n'oubliez pas de "réparer" les fichiers source noyau, en réinstallant les paquetages des versions de noyau que vous utilisez, au cas où... (et en faisant le ménage avec apt-get remove linux-image-3xxxxx