mars 8th, 2011
Les supports amovibles sont encore aujourd’hui un moyen d’infection largement utilisé par les programmes indésirables. Les menaces actuelles sont souvent polymorphes, et utilisent en effet tous les canaux de propagation. Ainsi, après utilisation d’une clé USB sur des postes publics ou mal entretenus, il n’est pas rare d’y découvrir quel-qu’exécutables supplémentaires. Que faire lorsque l’on est amené à utiliser régulièrement un poste infecté dont nous n’avons pas la tâche d’administration? A défaut de pouvoir intervenir sur le poste, il s’agit ici de protéger au mieux son périphérique. L’éditeur d’antivirus TrustPort a d’ailleurs ciblé ce besoin avec une solution payante (TrustPort Antivirus USB).
/!\ Les solutions suivantes ne sont pas en mesure de prévenir d’un éventuel vol de données. Ce qui peut être lu, peut être copié. Si des données importantes sont stockés sur le média, il convient de les chiffrer avec un logiciel tel que TrueCrypt (TrueCrypt Portable Mode).
I- Empécher l’écriture d’un fichier
Le fichier « autorun.inf », très utilisé par les virus, est aujourd’hui bloqué par la plupart des logiciels antivirus, et n’est plus automatiquement chargé sous Windows à partir de Windows Xp SP3 (KB971029). Empêcher sa création est tout de même conseillé.
Méthode:
- Création d’un répertoire nommé « autorun.inf » avec les attributs « caché », « système » et « lecture seule ». Ainsi nommé il empêchera l’existence d’un fichier homonyme.
- Création d’un fichier utilisant un nom réservés par Windows. Placé à l’intérieur du répertoire autorun.inf, il verrouille plus efficacement sa suppression.
Source
En admettant que F soit la lettre assignée au lecteur concerné
mkdir F:\autorun.inf
attrib.exe +r +s +h F:\autorun.inf (paramètre « r » pour lecture seule, « s » pour système, et « h » pour caché)
type nul > « \\?\f:\autorun.inf\nul.autorun »
La mesure ci-dessus empêche toute exécution automatique liée au lecteur, mais elle n’empêche pas l’installation des exécutables vérolés. Si l’on connait le type d’infection dont est sujet le poste, la même méthode permettra de s’en protéger. C’est ce que fait certains programmes de « vaccination de support amovible », en utilisant le nom des programmes infectieux les plus courants.
Exemple avec le cheval de Troie TR/PSW.Magania.dbwz:
Agissements à l’encontre d’un périphérique de masse connecté: Installation d’un fichier « autorun.inf » et d’un exécutable nommé « dqm.exe ».
En admettant que F soit la lettre assignée au lecteur concerné
mkdir F:\dqm.exe
attrib.exe +r +s +h F:\dqm.exe
type nul > « \\?\f:\dqm.exe\nul.psw.magania »
II- Programme d’auto-désinfection
Il serait lourd et même difficile de filtrer efficacement ce qui doit ou ne doit pas être écris sur la clé. La méthode ici proposée est donc de désinfecter puis démonter le système de fichier après utilisation faite. On utilisera pour cela un script automatisant les opérations
Logiciels utilisés:
- Sysclean de TrendMicro: Un scanneur antiviral utilisable en ligne de commande. Gratuit, il utilise les signatures à jour de l’éditeur.
- RemoveDrive 2.0: Un outil gratuit en ligne de commande permettant de « démonter » un périphérique amovible sous MS-DOS
a- Installation rapide:
- Télécharger et extraire l’archive Clean&Escape.zip à la racine du disque amovible
- Télécharger les dernières signatures en date et les placer dans le répertoire « usbin » du disque amovible.
Après utilisation sur un poste à risque, il suffira de lancer le script Clean&Escape.exe pour désinfecter puis démonter proprement la clé USB.
b- Installation manuelle:
Dans son fonctionnement normal, Sysclean s’auto-extrait par sécurité à chaque lancement. Pour une utilisation sur clé USB, ces fichiers seront extrait définitivement afin d’optimiser les temps d’exécution.
- Télécharger Sysclean et extraire le contenu de l’archive dans un répertoire temporaire
- Lancer Sysclean.com et récupérer les fichiers extraits lors de son fonctionnement
- Puis les copier dans un nouveau répertoire (nommé usbin dans cet exemple) à la racine de la clé
- Télécharger les signatures TrendMicro ainsi que RemoveDrive, et les placer également dans le répertoire « usbin » précédemment créé
- Créer un nouveau fichier texte (nommé Clean&Escape.bat dans cet exemple) à la racine de la clé et l’éditer de la manière suivante:
# Déclaration de la variable définissant la lettre assignée à la clé
set usbdrive=%cd%
# Lancement de l’analyse de la clé en mode console
usbin\sysclean.exe /NOGUI %usbdrive%
# Démontage propre du système de fichier. L’argument « . » est utilisé afin que le programme s’auto-duplique temporairement en évitant ainsi le problème de vérouillage du système de fichier.
usbin\RemoveDrive.exe .
2.
Notes Connexes:
Catégories: Procédures |
Mots-clefs :MS-DOS, Sécurité, Windows | Commentaires fermés
février 10th, 2011
Runas est un équivalent Windows de la commande Sudo sous Linux. Il permet de lancer une application sous une identité différente (en tant qu’administrateur par exemple). Avec le paramètre « savecred », le mot de passe de l’utilisateur défini est sauvegardé (dans le registre) à la première saisie, et il n’est donc plus necessaire de le renseigner par la suite. Cela permet par exemple d’éviter la notification UAC des programmes nécessitant des droits administrateur au démarrage de la session, ou encore d’executer des batchs depuis une session utilisateur standard.
Exemple:
runas /user=administrateur /savecred cmd.exe
/user=
—> Spécifie l’utilisateur devant executer le programme (domaine\utilisateur sur un domaine)
/savecred
—> Precise que le mot de passe doit être sauvegardé pour les prochaines exécutions
/no profil
—> Par défaut, le profil de l’utilisateur est chargé. Cette option permet d’empècher cela.
Manuel Technet
Notes Connexes:
Catégories: Notes |
Mots-clefs :Administration, MS-DOS, Sécurité, Windows | Commentaires fermés
janvier 7th, 2011
BitDefender for Unices, de la société roumaine éponyme, est un scanneur à la demande destiné aux systèmes d’exploitation basés sur UNIX (Linux/FreeBSD). Moins abouti que la solution commerciale « BitDefender Security for Samba« , il est cependant totalement gratuit (pour une utilisation personnelle), et dispose de la base de signatures ainsi que du moteur d’analyse heuristique de la marque. Enfin, BitDefender for Unices est entièrement utilisable en ligne de commande, ce qui rend son intégration aisée.
Documentations (PDF): BitDefender for Unices – BitDefender Security for Samba
Procédure de mise place de BitDefender for Unices sur Ubuntu Server 10.10
1 – Installation
- Télécharger le paquet correspondant à l’architecture (32/64 bits)
- Installer le paquet en l’exécutant avec l’outil sh:
sh BitDefender-Antivirus-Scanner-x.x-x.linux-gcc4x.x.deb.run
2 - Configuration
Editer le fichier /opt/BitDefender-scanner/etc/bdscan.conf et modifier les paramètres suivants:
Key = xxxxxxxxxxxxxxxxxxxx
Permet de renseigner la clé d’activation récupérable via cette page.
#Extensions = xxx:xxx:xxx…
Défini les critères d’analyse par extension de fichier. La liste par défaut recense déjà les principaux types de fichiers potentiellement infectieux. Ce paramètre est donc a dé-commenter dans l’optique d’optimiser les analyses.
QuarantinePath = chemin
Désigne le réperoire ou stocker les fichier envoyés en quarantaine, de préférence sur un montage indépendant de la racine.
3 - Commandes et planification des analyses
Mise a jour de la base: bdscan –update
Analyse à la demande: bdscan CIBLE –action=[disinfect|quarantine|delete|ignore]
Planification des analyses:
Editer le fichier /opt/BitDefender-scanner/share/doc/examples/update/bdscan-update et rajouter la lignes suivante en fin de script :
# Finally, let’s scan the world !
$BDSCAN –action=ignore –no-list –log –verbose CIBLE | mail -s « BitDefender: Rapport d’Analyse » destinataire@domaine
Effectue une analyse seulement du dossier cible et envoi le rapport par mail au destinataire.
Copier le fichier ainsi modifié dans le repertoire correspondant:
Planification hebdomadaire: /etc/cron.weekly
Planification mensuelle: /etc/cron.monthly
! Le processus d’analyse « bdscan » est très gourmand en ressources processeur.
Pour éviter le ralentissement des autres processus (voir le load average: uptime), rajouter nice -n 19 devant la commande bdscan.
Notes Connexes:
Catégories: Procédures |
Mots-clefs :Fichiers, Infections, Linux, Sécurité | Commentaires fermés
janvier 5th, 2011
Si l’installation d’une alimentation sans interruption (UPS: Uninterruptible Power Supply) est une mesure de sécurité parfaitement efficace contre les micro-coupures, le contrôle de son fonctionnement demeure inévitable pour anticiper des coupures plus importantes. Network UPS Tools (NUT) est une solution efficace de monitoring sous Linux. Il supporte un grand nombre de modèles d’onduleurs, et notamment ceux de la marque Eaton (anciennement MGE).
Monitoring via pfSense
La procédure suivante concerne l’environnement suivant, mais reste adaptable selon le cas.
Système d’exploitation: Ubuntu Server 10.10
UPS: Eaton Ellipse 600 ASR USB
Connectique: Cable USB
1- Installation de Network UPS Tools
apt-get install nut
Après avoir interconnecté l’UPS au serveur via le cable usb, passer la commande « lsusb » pour déterminer le bus utilisé
lsusb => Bus 002 Device 005: ID xxxx:xxxx MGE UPS Systems UPS
Puis affecter le periphérique au groupe « nut »
chgrp nut /dev/bus/usb/
La commande « ls -l /dev/bus/usb/002″ devrait ainsi afficher les droits correspondants
=> crw-rw-r– 1 root nut 189, 129 2011-xx-xx xx:xx 005
2- Configuration de Network UPS Tools
Editer /etc/nut/nut.conf et modifier la valeur du paramètre MODE:
MODE=netserver
NUT se compose de deux démons. Upsd est en charge de communiquer avec l’UPS connecté localement, et Upsmon permet d’interroger Upsd en local ou a distance, et de définir des alertes.
Configuration de Upsd:
- Editer /etc/nut/ups.conf et déclarer le materiel:
[myups] #Nom du périphérique déclaré
driver = usbhid-ups #Driver à utiliser (voir liste)
port = auto
desc = « EATON Ellipse ASR USBS 600″ #Description destinée au client Upsmon
- Editer /etc/nut/upsd.conf et ajouter les paramètrages suivants:
MAXAGE 15 #Durée maximale d’un état
LISTEN 192.168.X.X 3493 #IP et port d’écouté
MAXCONN 32 #Nombre maximal de connections simultanées
- Editer /etc/nut/upsd.users et créer les utilisateurs (administrateur et superviseur):
[admin]
password = xxx
actions = SET
instcmds = ALL
[monitor]
password = xxx
upsmon master
Configuration de Upsmon:
La configuration par défaut de /etc/nut/upsmon.conf se révèle satisfaisante pour le poste connecté a l’UPS. Elle se réfère donc au serveur Upsd local et automatise l’instinction du poste lorsque la batterie est détectée comme faible.
Pour les poste distants, il faudra configurer Upsmon selon les paramétrages suivants:
MONITOR myups@localhost 1 monitor xxx « master » #Machine et identifiants de monitoring
MINSUPPLIES 1 #Nombre minimal de périphérique
FINALDELAY 5 #Délai d’instinction aprés notification
HOSTSYNC 15 #Délai pour les client Upsd distants
SHUTDOWNCMD « /sbin/shutdown -h +0″ #Commande exécutée
POWERDOWNFLAG /etc/killpower #Fichier de sortie
POLLFREQ 5 #Délai de rafraichissement du statut de l’UPS
POLLFREQALERT 5 #Délai de rafraichissement du statut de l’UPS lorsqu’il est sur batterie
DEADTIME 15 #Delai avant lequel l’UPS est considéré comme HS
NOCOMMWARNTIME 300 #Délai de notification lorsque l’UPS est HS
RBWARNTIME 43200 #Fréquence des notification de changement de batterie
REDEMARRAGE de la machine
—————————————————–
Pour les machines sous Windows, il existe WinNUT. Il peut tourner en tant que service et se configure de la même manière, en éditant le fichier upsmon.conf. La version 2.0.0.3 prend en charge la mise en veille prolongée. Sous Windows 7, il faudra le lancer en mode compatibilité Vista.
Sources et Informations connexes:
Site Officiel NUT: http://www.networkupstools.org/
Fiche produit Ellipse 600: http://powerquality.eaton.com/66765.aspx?CX=80
Guide NUT sur Developpez.com: http://ovanhoof.developpez.com/upsusb/
EATON UPS Software (Windows/Linux32-64): http://download.mgeops.com/explore/eng/ptp/ptp_sol.htm
Modèle NUT pour graphiques Cacti: http://www.eric-a-hall.com/software/cacti-nut/
Notes Connexes:
Catégories: Procédures |
Mots-clefs :Linux, Materiel, Monitoring, Sécurité | Commentaires fermés
mai 16th, 2010
Non régi par la politique de sécurité du domaine Active Directory, les comptes locaux et en particulier les comptes administrateurs locaux font souvent figure de parents pauvres et représentent une faiblesse en matière de sécurité. Bulk Password Reset de NetWrix est un outil gratuit facilitant la modification à distance des comptes locaux d’une liste de machine.
Site de l’éditeur
Notes Connexes:
Catégories: Notes |
Mots-clefs :Administration, Sécurité, Windows | Commentaires fermés
février 17th, 2010
Le social engineering est résolument la technique de propagation de ces dernières années. En effet, nos amis néophytes de l’informatique, cliquant sur tout ce qui bouge sans douter de l’intégrité des informations, tomberont bien souvent dans les pièges tendus par les créateurs de programmes infectieux. Combinée à l’utilisation des messagerie instantanées comme moyen de diffusion, cette technique s’avère particulièrement sournoise.
Ainsi, il n’est pas rare de recevoir par MSN des messages envoyé à l’insu des contacts infectés, invitants à cliquer sur un lien menant vers une page vérolée.
Dernier en date, reçu en ce mois de Février 2010 (en milieu de conversation):
« et des photos de toi 
httq://www-viewpic.com/[email protected] »
Ce lien mène vers le téléchargement direct du fichier « IM88532.JPG-www.facebook.com.exe » qui infectera la machine qui l’exécute et utilisera le compte Live Messenger pour continuer sa propagation.
Le rapport VirusTotal de ce fichier prouve que cette nouvelle infection n’est à ce jour détectée que par peu d’antivirus.
Peu évoluée dans sa mécanique d’infection, ce programme se révèle plus particulièrement par sa capacité à tromper l’utilisateur, et à s’installer depuis un compte limité (sans droits administrateur). Utilisant les méthodes classiques et grossières de camouflage (à commencer par le nommage du fichier infectieux), il sera facilement supprimé par qui connait son système.
MAJ du 18/02/2010: l’antivirus Antivir détecte depuis ce jour cette infection comme étant un cheval de Troie de type TR/Buzus.dfdt. Avira se montre une fois encore des plus réactifs quant aux nouvelles menaces, lorsque d’autres solutions anti-virales n’y voient encore que du feu.
Bonne réctivité de la part de Avira, mais en l'espace de 24 h, l'infection aura déja fait beaucoup de victimes
Se protéger:
La méfiance reste la meilleur protection contre ce genre d’attaque.
- Utiliser un antivirus à jour avec scanner temps réel. (Antivir: gratuit et bénéficiant d’une bonne réactivité face aux nouvelles menaces).
- Spybot empêche l’ouverture des pages web infectieuses connues en patchant le fichier « hosts ».
Désinfection:
- Malwarebytes’ Anti-Malware bénéficie d’une bonne base de signatures et permet de se débarrasser de la plupart de ces infections.
- SuperAntiSpyware a également une bonne réputation dans la matière.
- ComboFix permet de nettoyer un grand nombre de vers et autres chevaux de Troie (nécessite une bonne connaissance de ces outils).
- CleanMSN a pour vocation de s’occuper des vers MSN. Dommage qu’il ne soit pas assez actualisé.
Désinfection manuelle:
Cette infection étant de type cheval de Troie, il sera judicieux de couper en premier lieu l’accès internet de la machine infectée.
Le programme établit en effet une connexion TCP sur le port 2345 d'un serveur distant
S’installant sur un système sans droit administrateurs, ce programme crée l’exécutable « Infocard.exe » sous le profil « Public » (à ne pas confondre avec le fichier légitime infocard.exe du répertoire Windows, appartenant au Framework .Net). Le processus sera lancé par le registre au démarrage de la machine.
1- Tuer le processus infocard.exe exécuté sur le compte courant
2- Supprimer le fichier Users/Public/Infocard.exe
3- Supprimer l’entrée « Firewall Administrating » se trouvant sous « HKCU\Software\Microsoft\CurrentVersion\Run »
4- Ne pas oublier de supprimer le fichier téléchargé qui est à l’origine de l’infection ainsi que de vider le cache du navigateur utilisé.
On remarquera la tentative de dissimulation, en se faisant passer pour une tache d'administration du firewall
Notes Connexes:
Catégories: Notes |
Mots-clefs :Infections, Sécurité | Commentaires fermés
