\n
\n
\n
Top 3 – Coups de c\u0153ur
<\/strong><\/em><\/h1>\nParmi la programmation de qualit\u00e9 de cette \u00e9dition, trois pr\u00e9sentations ont particuli\u00e8rement attir\u00e9 mon attention, aussi bien par les sujets pr\u00e9sent\u00e9s que la mani\u00e8re de pr\u00e9senter. C’est un avis subjectif, et je vous invite \u00e0 regarder d’ores et d\u00e9j\u00e0 le replay<\/em> de ces pr\u00e9sentations.<\/p>\n\n
Deep Attack Surfaces, Shallow Bugs<\/strong><\/em><\/a><\/strong><\/em><\/h3>\n<\/h3>\n
Pr\u00e9sent\u00e9e par Valentina Palmiotti @Chompie1337<\/em>, cette conf\u00e9rence<\/a> fait \u00e9cho \u00e0 un tweet publi\u00e9 en d\u00e9cembre dernier \u00e0 propos d’une vuln\u00e9rabilit\u00e9 critique trouv\u00e9e au sein d’un protocole d’authentification Windows (https:\/\/twitter.com\/chompie1337\/status\/1602757336908660736<\/a>).<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2023\/06\/03.png\")
<\/p>\n
Une premi\u00e8re partie est d\u00e9di\u00e9e au chemin de d\u00e9couverte d’une vuln\u00e9rabilit\u00e9. Plusieurs \u00e9tapes sont syst\ufffd\ufffdmatiquement pr\u00e9sentes\u00a0:<\/p>\n
\n- \n
\n- Le choix de la cible<\/li>\n
- La d\u00e9couverte du bug<\/li>\n
- L’exploitation de celui-ci<\/li>\n
- La r\u00e9ussite ou l’\u00e9chec<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
L\u2019auteure met en avant la raret\u00e9 des publications de chercheurs qui racontent leurs \u00e9checs alors que c’est ce qui est obtenu la majorit\u00e9 du temps. Elle d\u00e9crit ces \u00e9checs comme \u00e9tant inh\u00e9rents au m\u00e9tier et \u00e9galement indispensables. C’est en suivant une approche m\u00e9thodique que les chercheurs trouvent des vuln\u00e9rabilit\u00e9s, et la complexit\u00e9 r\u00e9side principalement en l’identification de l\u2019endroit o\u00f9 se trouve un d\u00e9faut plut\u00f4t qu’en l’identification de la vuln\u00e9rabilit\u00e9 m\u00eame. Elle souligne \u00e9galement que la majorit\u00e9 des d\u00e9fauts retrouv\u00e9s sont souvent les m\u00eames, ce qui peut s’av\u00e9rer \u00eatre lassant.<\/p>\n
Elle distingue ainsi 2 approches de recherche. L’une pour un profil de chercheur \u00ab\u00a0monogame\u00a0\u00bb\u00a0: le chercheur se concentre sur un seul projet pour en ma\u00eetriser le code autant que possible, ce qui permet d’\u00e9viter de perdre du temps sur le changement de sujet. L’autre pour un chercheur moins loyal envers ses cibles, qui se lasse plus rapidement et qui change donc r\u00e9guli\u00e8rement de p\u00e9rim\u00e8tre. C\u2019est le cas de l’auteure qui a d\u00e9j\u00e0 obtenu des r\u00e9sultats pour diff\u00e9rents OS ou composants kernel par exemple. Le choix des cibles r\u00e9pond \u00e0 diff\u00e9rents crit\u00e8res comme son historique de d\u00e9veloppement, l’accessibilit\u00e9 au code source, l’architecture, etc.<\/p>\n
Dans un second temps, l’application de cette m\u00e9thode a permis d’illustrer le proc\u00e9d\u00e9 de recherche. L’objectif \u00e9tait de trouver une vuln\u00e9rabilit\u00e9 critique dans un composant sur lequel il y en avait peu ou pas de d\u00e9couvertes par le pass\u00e9. La surface d’attaque envisag\u00e9e devait donc satisfaire les crit\u00e8res suivants :<\/p>\n
\n- \u00ab\u00a0High Severity\u00a0\u00bb : Le bug trouv\u00e9 doit avoir un impact majeur au sens large<\/li>\n
- \u00ab Ubiquitous \u00bb : La surface d’attaque doit \u00eatre pr\u00e9sente sur de nombreux syst\u00e8mes avec une configuration par d\u00e9faut<\/li>\n
- \u00ab\u00a0Complex\u00a0\u00bb : La cible doit pr\u00e9senter des fonctionnalit\u00e9s complexes avec des entr\u00e9es utilisateur non fiables, avec des briques ajout\u00e9es au fil du temps<\/li>\n
- \u00ab\u00a0Unpopular\u00a0\u00bb (optionnel) : Le projet ne doit pas avoir \u00e9t\u00e9 trop audit\u00e9 par des chercheurs pour que les vuln\u00e9rabilit\u00e9s triviales ne soient pas encore perc\u00e9es \u00e0 jour<\/li>\n<\/ol>\n
Elle s’est donc pench\u00e9e sur l\u2019environnement Windows puis, apr\u00e8s avoir list\u00e9 les protocoles et serveurs qui pr\u00e9sentent un int\u00e9r\u00eat majeur en suivant les crit\u00e8res \u00e9nonc\u00e9s, SMB a \u00e9t\u00e9 \u00e9lu. Ensuite, elle a list\u00e9 et cat\u00e9goriser les diff\u00e9rentes briques de SMB afin de distinguer les briques suivantes : \u00ab\u00a0Netbios\u00a0\u00bb, \u00ab\u00a0Dialect\/Capability Negotiation\u00a0\u00bb, \u00ab\u00a0Session Setup \/ User authentication\u00a0\u00bb, \u00ab\u00a0Client File Ops\u00a0& other \u00bb. Apr\u00e8s avoir \u00e9valu\u00e9 chacune, l’authentification a \u00e9t\u00e9 s\u00e9lectionn\u00e9e. Voici la chronologie du processus de s\u00e9lection\u00a0:<\/p>\n
![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2023\/06\/04.png\")
<\/p>\n
Figure 1 – Processus de s\u00e9lection de la cible (Extrait de la pr\u00e9sentation du SSTIC slide 41)<\/em><\/p>\nL’authentification Windows se base sur la SSPI (Security Support Provider Interface) en employant des SSP (Security Support Providers) sous la forme de DLL. Les principaux SSP sont Keberos, NTLM, PKU2U, CredSSP, SPNEGO, NEGOEXTS. Ces deux derniers n’ayant que tr\u00e8s peu de vuln\u00e9rabilit\u00e9s \u00e0 leur actif (une pour SPNEGO et aucune pour NEGOEXTS) sont choix s’est naturellement port\u00e9 sur ces deux-l\u00e0.<\/p>\n
Une fois la cible d\u00e9termin\u00e9e, la phase d’analyse du code a pu d\u00e9buter en commen\u00e7ant par trouver l’impl\u00e9mentation de NEGOEXT (charg\u00e9 au d\u00e9marrage dans LSA) puis en effectuant du reverse engineering sur ce protocole. Apr\u00e8s avoir lu la documentation du protocole, le but \u00e9tait alors de trouver la fonction de parsing<\/em> de messages. Une fois identifi\u00e9e et apr\u00e8s plusieurs passes d’analyse : une race condition peut \u00eatre exploit\u00e9e suite \u00e0 l’envoi de multiples requ\u00eates Negoex Session Setup. Son exploitation peut permettre \u00e0 un attaquant d’ex\u00e9cuter du code arbitraire \u00e0 distance.<\/p>\nFinalement, \u00e0 la probl\u00e9matique de : \u00ab\u00a0Trouver un bug avec un impact majeur dans une technologie tr\u00e8s utilis\u00e9e et complexe\u00a0\u00bb, Chompie r\u00e9pond par la CVE-2022-37958, une vuln\u00e9rabilit\u00e9 dans SPNego NegoEx menant \u00e0 une RCE. Et pour le mot de la fin, la recherche de surface d’attaque est tout autant un art que la recherche de vuln\u00e9rabilit\u00e9s.<\/p>\n
\n
CERTA\/CERT-FR : Retour sur 20+ ans de CERT \u00e0 l’ANSSI<\/strong><\/em><\/h3>\n<\/strong><\/em><\/p>\nLe sous-directeur des op\u00e9rations de l’ANSSI, Mathieu Feuillet, est intervenu pour la pr\u00e9sentation de cl\u00f4ture<\/a> en revenant sur l’historique du CERT de l’ANSSI et ses principales activit\u00e9s.<\/p>\nDu CERT-A, cr\u00e9\u00e9 en pr\u00e9vision du bug de l’an 2000, au CERT-FR que l’on conna\u00eet maintenant, la structure a progressivement grandi en r\u00e9ponse aux menaces cyber et en suivant des \u00e9volutions aussi bien structurelles qu\u2019au niveau des moyens mis en \u0153uvre. En parall\u00e8le, le CERT-FR participe \u00e9galement au d\u00e9veloppement l\u2019\u00e9cosyst\u00e8me de CSIRTs en soutenant les diff\u00e9rents acteurs. Aujourd\u2019hui, les op\u00e9rations men\u00e9es au c\u0153ur de l\u2019agence r\u00e9pondent aux attaques d\u2019espionnage, de d\u00e9stabilisation et d\u2019irruption du cybercrime.<\/p>\n
La compromission de Bercy en 2011 a \u00e9t\u00e9 fondatrice de l\u2019activit\u00e9 op\u00e9rationnelle de l\u2019agence. En effet, la d\u00e9tection de cet incident, campagne \u00ab\u00a0li\u00e9e en sources ouvertes \u00e0 la Chine\u00a0\u00bb, correspond \u00e0 la premi\u00e8re op\u00e9ration de grande ampleur qui a permis de d\u00e9finir des principes appliqu\u00e9s de nombreuses fois par la suite. Cet \u00e9v\u00e9nement a \u00e9t\u00e9 le marqueur du d\u00e9but du ciblage constant de la France \u00e0 des fins politiques, diplomatiques, \u00e9conomiques et industrielles. Une timeline des attaques subies par un secteur r\u00e9galien a \u00e9t\u00e9 pr\u00e9sent\u00e9e, et souligne l\u2019omnipr\u00e9sence des attaques avec syst\u00e9matiquement au moins 4 activit\u00e9s malveillantes simultan\u00e9es\u00a0:<\/p>\n
![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2023\/06\/05.png\")
<\/p>\n
Figure 2 – P\u00e9riodes d’activit\u00e9 malveillante pour un secteur r\u00e9galien X (Extrait de la pr\u00e9sentation du SSTIC slide 21)<\/em><\/p>\nDurant les 3 ann\u00e9es suivantes, les attaques permanentes \u00e9taient frontales, de grande ampleur et ciblaient aussi bien l’administration que les organismes d’importance vitale. Ces derniers ont alors \u00e9t\u00e9 inclus au p\u00e9rim\u00e8tre d’intervention. Ensuite, \u00e0 partir de 2017, ces attaques sont revenues, plus discr\u00e8tes qu’auparavant et ont davantage cibl\u00e9 les ESN et autres structures en aval de leurs cibles pour rebondir sur celles-ci dans un second temps. Finalement, depuis 2021 et toujours dans la m\u00eame optique de rebond, les structures cibl\u00e9es sont de plus en plus petites et manquent g\u00e9n\u00e9ralement de moyens de s\u00e9curit\u00e9. En compl\u00e9ment des entit\u00e9s cibl\u00e9es \u00e9nonc\u00e9es, les \u00e9quipements embarqu\u00e9s comme des routeurs, pare-feu ou bornes Wi-Fi sont \u00e9galement vis\u00e9s.<\/p>\n
L’ann\u00e9e 2021 est celle \u00e0 ce jour qui compte le plus de campagnes de compromission massive. De nouvelles techniques ont \u00e9t\u00e9 d\u00e9ploy\u00e9es, notamment la publication de certains marqueurs et modes op\u00e9ratoires des attaquants pour freiner les attaques. 2021 est \u00e9galement l’ann\u00e9e de P\u00e9gasus, l’espionnage de certaines personnalit\u00e9s gr\u00e2ce \u00e0 la compromission de leurs t\u00e9l\u00e9phones, mais aussi de Solarwinds et Log4j pour lesquelles des op\u00e9rations d’anticipation ont \u00e9t\u00e9 d\u00e9velopp\u00e9es pour mieux pr\u00e9venir les potentielles victimes.<\/p>\n
Par ailleurs, au sujet de la d\u00e9stabilisation, l’agence a notamment d\u00fb lutter contre l’hacktivisme qui a largement \u00e9merg\u00e9 suite aux attentats de 2015 et \u00e0 la guerre en Ukraine en 2022. Ces actions malveillantes s’inscrivent dans un contexte politique et se traduisent principalement par des d\u00e9nis de service et de la d\u00e9figuration (par exemple l’op\u00e9ration de sabotage de TV5 Monde en 2015<\/a>, ou de Ka-Sat en 2022).<\/p>\nQuant au cybercrime, l’\u00e9mergence de ran\u00e7ongiciels a d\u00e9but\u00e9 en 2018 avec le ciblage de grosses entit\u00e9s (\u00ab\u00a0big game hunting\u00a0\u00bb), moins pr\u00e9cis et davantage opportuniste qu’auparavant. Les victimes sont g\u00e9n\u00e9ralement les entreprises les moins s\u00e9curis\u00e9es par rapport \u00e0 la moyenne (\u00ab\u00a0En mati\u00e8re de cybercrime c’est comme quand vous \u00eates cours\u00e9s par un lion, faut pas courir plus vite que le lion, faut courir plus vite que quelqu’un d’autre\u00a0\u00bb). Les impacts de ce type d’attaque varient, et se mat\u00e9rialisent de mani\u00e8re concr\u00e8te. Par exemple, pour les \u00e9tablissements de sant\u00e9, les cons\u00e9quences concernent directement les patients.<\/p>\n
En conclusion, les actions d\u00e9fensives sont indispensables et fonctionnent face \u00e0 l’augmentation de la menace.<\/p>\n
\n
Bug hunting in Steam: a journey into the Remote Play protocol<\/strong><\/em><\/h3>\n
\n
Deep Attack Surfaces, Shallow Bugs<\/strong><\/em><\/a><\/strong><\/em><\/h3>\n<\/h3>\n
Pr\u00e9sent\u00e9e par Valentina Palmiotti @Chompie1337<\/em>, cette conf\u00e9rence<\/a> fait \u00e9cho \u00e0 un tweet publi\u00e9 en d\u00e9cembre dernier \u00e0 propos d’une vuln\u00e9rabilit\u00e9 critique trouv\u00e9e au sein d’un protocole d’authentification Windows (https:\/\/twitter.com\/chompie1337\/status\/1602757336908660736<\/a>).<\/p>\n<\/p>\n
Une premi\u00e8re partie est d\u00e9di\u00e9e au chemin de d\u00e9couverte d’une vuln\u00e9rabilit\u00e9. Plusieurs \u00e9tapes sont syst\ufffd\ufffdmatiquement pr\u00e9sentes\u00a0:<\/p>\n
\n- \n
\n- Le choix de la cible<\/li>\n
- La d\u00e9couverte du bug<\/li>\n
- L’exploitation de celui-ci<\/li>\n
- La r\u00e9ussite ou l’\u00e9chec<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
L\u2019auteure met en avant la raret\u00e9 des publications de chercheurs qui racontent leurs \u00e9checs alors que c’est ce qui est obtenu la majorit\u00e9 du temps. Elle d\u00e9crit ces \u00e9checs comme \u00e9tant inh\u00e9rents au m\u00e9tier et \u00e9galement indispensables. C’est en suivant une approche m\u00e9thodique que les chercheurs trouvent des vuln\u00e9rabilit\u00e9s, et la complexit\u00e9 r\u00e9side principalement en l’identification de l\u2019endroit o\u00f9 se trouve un d\u00e9faut plut\u00f4t qu’en l’identification de la vuln\u00e9rabilit\u00e9 m\u00eame. Elle souligne \u00e9galement que la majorit\u00e9 des d\u00e9fauts retrouv\u00e9s sont souvent les m\u00eames, ce qui peut s’av\u00e9rer \u00eatre lassant.<\/p>\n
Elle distingue ainsi 2 approches de recherche. L’une pour un profil de chercheur \u00ab\u00a0monogame\u00a0\u00bb\u00a0: le chercheur se concentre sur un seul projet pour en ma\u00eetriser le code autant que possible, ce qui permet d’\u00e9viter de perdre du temps sur le changement de sujet. L’autre pour un chercheur moins loyal envers ses cibles, qui se lasse plus rapidement et qui change donc r\u00e9guli\u00e8rement de p\u00e9rim\u00e8tre. C\u2019est le cas de l’auteure qui a d\u00e9j\u00e0 obtenu des r\u00e9sultats pour diff\u00e9rents OS ou composants kernel par exemple. Le choix des cibles r\u00e9pond \u00e0 diff\u00e9rents crit\u00e8res comme son historique de d\u00e9veloppement, l’accessibilit\u00e9 au code source, l’architecture, etc.<\/p>\n
Dans un second temps, l’application de cette m\u00e9thode a permis d’illustrer le proc\u00e9d\u00e9 de recherche. L’objectif \u00e9tait de trouver une vuln\u00e9rabilit\u00e9 critique dans un composant sur lequel il y en avait peu ou pas de d\u00e9couvertes par le pass\u00e9. La surface d’attaque envisag\u00e9e devait donc satisfaire les crit\u00e8res suivants :<\/p>\n
\n- \u00ab\u00a0High Severity\u00a0\u00bb : Le bug trouv\u00e9 doit avoir un impact majeur au sens large<\/li>\n
- \u00ab Ubiquitous \u00bb : La surface d’attaque doit \u00eatre pr\u00e9sente sur de nombreux syst\u00e8mes avec une configuration par d\u00e9faut<\/li>\n
- \u00ab\u00a0Complex\u00a0\u00bb : La cible doit pr\u00e9senter des fonctionnalit\u00e9s complexes avec des entr\u00e9es utilisateur non fiables, avec des briques ajout\u00e9es au fil du temps<\/li>\n
- \u00ab\u00a0Unpopular\u00a0\u00bb (optionnel) : Le projet ne doit pas avoir \u00e9t\u00e9 trop audit\u00e9 par des chercheurs pour que les vuln\u00e9rabilit\u00e9s triviales ne soient pas encore perc\u00e9es \u00e0 jour<\/li>\n<\/ol>\n
Elle s’est donc pench\u00e9e sur l\u2019environnement Windows puis, apr\u00e8s avoir list\u00e9 les protocoles et serveurs qui pr\u00e9sentent un int\u00e9r\u00eat majeur en suivant les crit\u00e8res \u00e9nonc\u00e9s, SMB a \u00e9t\u00e9 \u00e9lu. Ensuite, elle a list\u00e9 et cat\u00e9goriser les diff\u00e9rentes briques de SMB afin de distinguer les briques suivantes : \u00ab\u00a0Netbios\u00a0\u00bb, \u00ab\u00a0Dialect\/Capability Negotiation\u00a0\u00bb, \u00ab\u00a0Session Setup \/ User authentication\u00a0\u00bb, \u00ab\u00a0Client File Ops\u00a0& other \u00bb. Apr\u00e8s avoir \u00e9valu\u00e9 chacune, l’authentification a \u00e9t\u00e9 s\u00e9lectionn\u00e9e. Voici la chronologie du processus de s\u00e9lection\u00a0:<\/p>\n
<\/p>\n
Figure 1 – Processus de s\u00e9lection de la cible (Extrait de la pr\u00e9sentation du SSTIC slide 41)<\/em><\/p>\nL’authentification Windows se base sur la SSPI (Security Support Provider Interface) en employant des SSP (Security Support Providers) sous la forme de DLL. Les principaux SSP sont Keberos, NTLM, PKU2U, CredSSP, SPNEGO, NEGOEXTS. Ces deux derniers n’ayant que tr\u00e8s peu de vuln\u00e9rabilit\u00e9s \u00e0 leur actif (une pour SPNEGO et aucune pour NEGOEXTS) sont choix s’est naturellement port\u00e9 sur ces deux-l\u00e0.<\/p>\n
Une fois la cible d\u00e9termin\u00e9e, la phase d’analyse du code a pu d\u00e9buter en commen\u00e7ant par trouver l’impl\u00e9mentation de NEGOEXT (charg\u00e9 au d\u00e9marrage dans LSA) puis en effectuant du reverse engineering sur ce protocole. Apr\u00e8s avoir lu la documentation du protocole, le but \u00e9tait alors de trouver la fonction de parsing<\/em> de messages. Une fois identifi\u00e9e et apr\u00e8s plusieurs passes d’analyse : une race condition peut \u00eatre exploit\u00e9e suite \u00e0 l’envoi de multiples requ\u00eates Negoex Session Setup. Son exploitation peut permettre \u00e0 un attaquant d’ex\u00e9cuter du code arbitraire \u00e0 distance.<\/p>\nFinalement, \u00e0 la probl\u00e9matique de : \u00ab\u00a0Trouver un bug avec un impact majeur dans une technologie tr\u00e8s utilis\u00e9e et complexe\u00a0\u00bb, Chompie r\u00e9pond par la CVE-2022-37958, une vuln\u00e9rabilit\u00e9 dans SPNego NegoEx menant \u00e0 une RCE. Et pour le mot de la fin, la recherche de surface d’attaque est tout autant un art que la recherche de vuln\u00e9rabilit\u00e9s.<\/p>\n
\n
CERTA\/CERT-FR : Retour sur 20+ ans de CERT \u00e0 l’ANSSI<\/strong><\/em><\/h3>\n<\/strong><\/em><\/p>\nLe sous-directeur des op\u00e9rations de l’ANSSI, Mathieu Feuillet, est intervenu pour la pr\u00e9sentation de cl\u00f4ture<\/a> en revenant sur l’historique du CERT de l’ANSSI et ses principales activit\u00e9s.<\/p>\nDu CERT-A, cr\u00e9\u00e9 en pr\u00e9vision du bug de l’an 2000, au CERT-FR que l’on conna\u00eet maintenant, la structure a progressivement grandi en r\u00e9ponse aux menaces cyber et en suivant des \u00e9volutions aussi bien structurelles qu\u2019au niveau des moyens mis en \u0153uvre. En parall\u00e8le, le CERT-FR participe \u00e9galement au d\u00e9veloppement l\u2019\u00e9cosyst\u00e8me de CSIRTs en soutenant les diff\u00e9rents acteurs. Aujourd\u2019hui, les op\u00e9rations men\u00e9es au c\u0153ur de l\u2019agence r\u00e9pondent aux attaques d\u2019espionnage, de d\u00e9stabilisation et d\u2019irruption du cybercrime.<\/p>\n
La compromission de Bercy en 2011 a \u00e9t\u00e9 fondatrice de l\u2019activit\u00e9 op\u00e9rationnelle de l\u2019agence. En effet, la d\u00e9tection de cet incident, campagne \u00ab\u00a0li\u00e9e en sources ouvertes \u00e0 la Chine\u00a0\u00bb, correspond \u00e0 la premi\u00e8re op\u00e9ration de grande ampleur qui a permis de d\u00e9finir des principes appliqu\u00e9s de nombreuses fois par la suite. Cet \u00e9v\u00e9nement a \u00e9t\u00e9 le marqueur du d\u00e9but du ciblage constant de la France \u00e0 des fins politiques, diplomatiques, \u00e9conomiques et industrielles. Une timeline des attaques subies par un secteur r\u00e9galien a \u00e9t\u00e9 pr\u00e9sent\u00e9e, et souligne l\u2019omnipr\u00e9sence des attaques avec syst\u00e9matiquement au moins 4 activit\u00e9s malveillantes simultan\u00e9es\u00a0:<\/p>\n
<\/p>\n
Figure 2 – P\u00e9riodes d’activit\u00e9 malveillante pour un secteur r\u00e9galien X (Extrait de la pr\u00e9sentation du SSTIC slide 21)<\/em><\/p>\nDurant les 3 ann\u00e9es suivantes, les attaques permanentes \u00e9taient frontales, de grande ampleur et ciblaient aussi bien l’administration que les organismes d’importance vitale. Ces derniers ont alors \u00e9t\u00e9 inclus au p\u00e9rim\u00e8tre d’intervention. Ensuite, \u00e0 partir de 2017, ces attaques sont revenues, plus discr\u00e8tes qu’auparavant et ont davantage cibl\u00e9 les ESN et autres structures en aval de leurs cibles pour rebondir sur celles-ci dans un second temps. Finalement, depuis 2021 et toujours dans la m\u00eame optique de rebond, les structures cibl\u00e9es sont de plus en plus petites et manquent g\u00e9n\u00e9ralement de moyens de s\u00e9curit\u00e9. En compl\u00e9ment des entit\u00e9s cibl\u00e9es \u00e9nonc\u00e9es, les \u00e9quipements embarqu\u00e9s comme des routeurs, pare-feu ou bornes Wi-Fi sont \u00e9galement vis\u00e9s.<\/p>\n
L’ann\u00e9e 2021 est celle \u00e0 ce jour qui compte le plus de campagnes de compromission massive. De nouvelles techniques ont \u00e9t\u00e9 d\u00e9ploy\u00e9es, notamment la publication de certains marqueurs et modes op\u00e9ratoires des attaquants pour freiner les attaques. 2021 est \u00e9galement l’ann\u00e9e de P\u00e9gasus, l’espionnage de certaines personnalit\u00e9s gr\u00e2ce \u00e0 la compromission de leurs t\u00e9l\u00e9phones, mais aussi de Solarwinds et Log4j pour lesquelles des op\u00e9rations d’anticipation ont \u00e9t\u00e9 d\u00e9velopp\u00e9es pour mieux pr\u00e9venir les potentielles victimes.<\/p>\n
Par ailleurs, au sujet de la d\u00e9stabilisation, l’agence a notamment d\u00fb lutter contre l’hacktivisme qui a largement \u00e9merg\u00e9 suite aux attentats de 2015 et \u00e0 la guerre en Ukraine en 2022. Ces actions malveillantes s’inscrivent dans un contexte politique et se traduisent principalement par des d\u00e9nis de service et de la d\u00e9figuration (par exemple l’op\u00e9ration de sabotage de TV5 Monde en 2015<\/a>, ou de Ka-Sat en 2022).<\/p>\nQuant au cybercrime, l’\u00e9mergence de ran\u00e7ongiciels a d\u00e9but\u00e9 en 2018 avec le ciblage de grosses entit\u00e9s (\u00ab\u00a0big game hunting\u00a0\u00bb), moins pr\u00e9cis et davantage opportuniste qu’auparavant. Les victimes sont g\u00e9n\u00e9ralement les entreprises les moins s\u00e9curis\u00e9es par rapport \u00e0 la moyenne (\u00ab\u00a0En mati\u00e8re de cybercrime c’est comme quand vous \u00eates cours\u00e9s par un lion, faut pas courir plus vite que le lion, faut courir plus vite que quelqu’un d’autre\u00a0\u00bb). Les impacts de ce type d’attaque varient, et se mat\u00e9rialisent de mani\u00e8re concr\u00e8te. Par exemple, pour les \u00e9tablissements de sant\u00e9, les cons\u00e9quences concernent directement les patients.<\/p>\n
En conclusion, les actions d\u00e9fensives sont indispensables et fonctionnent face \u00e0 l’augmentation de la menace.<\/p>\n
\n
Bug hunting in Steam: a journey into the Remote Play protocol<\/strong><\/em><\/h3>\n
<\/p>\n
Une premi\u00e8re partie est d\u00e9di\u00e9e au chemin de d\u00e9couverte d’une vuln\u00e9rabilit\u00e9. Plusieurs \u00e9tapes sont syst\ufffd\ufffdmatiquement pr\u00e9sentes\u00a0:<\/p>\n
- \n
- \n
- \n
- Le choix de la cible<\/li>\n
- La d\u00e9couverte du bug<\/li>\n
- L’exploitation de celui-ci<\/li>\n
- La r\u00e9ussite ou l’\u00e9chec<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
L\u2019auteure met en avant la raret\u00e9 des publications de chercheurs qui racontent leurs \u00e9checs alors que c’est ce qui est obtenu la majorit\u00e9 du temps. Elle d\u00e9crit ces \u00e9checs comme \u00e9tant inh\u00e9rents au m\u00e9tier et \u00e9galement indispensables. C’est en suivant une approche m\u00e9thodique que les chercheurs trouvent des vuln\u00e9rabilit\u00e9s, et la complexit\u00e9 r\u00e9side principalement en l’identification de l\u2019endroit o\u00f9 se trouve un d\u00e9faut plut\u00f4t qu’en l’identification de la vuln\u00e9rabilit\u00e9 m\u00eame. Elle souligne \u00e9galement que la majorit\u00e9 des d\u00e9fauts retrouv\u00e9s sont souvent les m\u00eames, ce qui peut s’av\u00e9rer \u00eatre lassant.<\/p>\n
Elle distingue ainsi 2 approches de recherche. L’une pour un profil de chercheur \u00ab\u00a0monogame\u00a0\u00bb\u00a0: le chercheur se concentre sur un seul projet pour en ma\u00eetriser le code autant que possible, ce qui permet d’\u00e9viter de perdre du temps sur le changement de sujet. L’autre pour un chercheur moins loyal envers ses cibles, qui se lasse plus rapidement et qui change donc r\u00e9guli\u00e8rement de p\u00e9rim\u00e8tre. C\u2019est le cas de l’auteure qui a d\u00e9j\u00e0 obtenu des r\u00e9sultats pour diff\u00e9rents OS ou composants kernel par exemple. Le choix des cibles r\u00e9pond \u00e0 diff\u00e9rents crit\u00e8res comme son historique de d\u00e9veloppement, l’accessibilit\u00e9 au code source, l’architecture, etc.<\/p>\n
Dans un second temps, l’application de cette m\u00e9thode a permis d’illustrer le proc\u00e9d\u00e9 de recherche. L’objectif \u00e9tait de trouver une vuln\u00e9rabilit\u00e9 critique dans un composant sur lequel il y en avait peu ou pas de d\u00e9couvertes par le pass\u00e9. La surface d’attaque envisag\u00e9e devait donc satisfaire les crit\u00e8res suivants :<\/p>\n
- \n
- \u00ab\u00a0High Severity\u00a0\u00bb : Le bug trouv\u00e9 doit avoir un impact majeur au sens large<\/li>\n
- \u00ab Ubiquitous \u00bb : La surface d’attaque doit \u00eatre pr\u00e9sente sur de nombreux syst\u00e8mes avec une configuration par d\u00e9faut<\/li>\n
- \u00ab\u00a0Complex\u00a0\u00bb : La cible doit pr\u00e9senter des fonctionnalit\u00e9s complexes avec des entr\u00e9es utilisateur non fiables, avec des briques ajout\u00e9es au fil du temps<\/li>\n
- \u00ab\u00a0Unpopular\u00a0\u00bb (optionnel) : Le projet ne doit pas avoir \u00e9t\u00e9 trop audit\u00e9 par des chercheurs pour que les vuln\u00e9rabilit\u00e9s triviales ne soient pas encore perc\u00e9es \u00e0 jour<\/li>\n<\/ol>\n
Elle s’est donc pench\u00e9e sur l\u2019environnement Windows puis, apr\u00e8s avoir list\u00e9 les protocoles et serveurs qui pr\u00e9sentent un int\u00e9r\u00eat majeur en suivant les crit\u00e8res \u00e9nonc\u00e9s, SMB a \u00e9t\u00e9 \u00e9lu. Ensuite, elle a list\u00e9 et cat\u00e9goriser les diff\u00e9rentes briques de SMB afin de distinguer les briques suivantes : \u00ab\u00a0Netbios\u00a0\u00bb, \u00ab\u00a0Dialect\/Capability Negotiation\u00a0\u00bb, \u00ab\u00a0Session Setup \/ User authentication\u00a0\u00bb, \u00ab\u00a0Client File Ops\u00a0& other \u00bb. Apr\u00e8s avoir \u00e9valu\u00e9 chacune, l’authentification a \u00e9t\u00e9 s\u00e9lectionn\u00e9e. Voici la chronologie du processus de s\u00e9lection\u00a0:<\/p>\n
<\/p>\nFigure 1 – Processus de s\u00e9lection de la cible (Extrait de la pr\u00e9sentation du SSTIC slide 41)<\/em><\/p>\n
L’authentification Windows se base sur la SSPI (Security Support Provider Interface) en employant des SSP (Security Support Providers) sous la forme de DLL. Les principaux SSP sont Keberos, NTLM, PKU2U, CredSSP, SPNEGO, NEGOEXTS. Ces deux derniers n’ayant que tr\u00e8s peu de vuln\u00e9rabilit\u00e9s \u00e0 leur actif (une pour SPNEGO et aucune pour NEGOEXTS) sont choix s’est naturellement port\u00e9 sur ces deux-l\u00e0.<\/p>\n
Une fois la cible d\u00e9termin\u00e9e, la phase d’analyse du code a pu d\u00e9buter en commen\u00e7ant par trouver l’impl\u00e9mentation de NEGOEXT (charg\u00e9 au d\u00e9marrage dans LSA) puis en effectuant du reverse engineering sur ce protocole. Apr\u00e8s avoir lu la documentation du protocole, le but \u00e9tait alors de trouver la fonction de parsing<\/em> de messages. Une fois identifi\u00e9e et apr\u00e8s plusieurs passes d’analyse : une race condition peut \u00eatre exploit\u00e9e suite \u00e0 l’envoi de multiples requ\u00eates Negoex Session Setup. Son exploitation peut permettre \u00e0 un attaquant d’ex\u00e9cuter du code arbitraire \u00e0 distance.<\/p>\n
Finalement, \u00e0 la probl\u00e9matique de : \u00ab\u00a0Trouver un bug avec un impact majeur dans une technologie tr\u00e8s utilis\u00e9e et complexe\u00a0\u00bb, Chompie r\u00e9pond par la CVE-2022-37958, une vuln\u00e9rabilit\u00e9 dans SPNego NegoEx menant \u00e0 une RCE. Et pour le mot de la fin, la recherche de surface d’attaque est tout autant un art que la recherche de vuln\u00e9rabilit\u00e9s.<\/p>\n
\n
CERTA\/CERT-FR : Retour sur 20+ ans de CERT \u00e0 l’ANSSI<\/strong><\/em><\/h3>\n
<\/strong><\/em><\/p>\n
Le sous-directeur des op\u00e9rations de l’ANSSI, Mathieu Feuillet, est intervenu pour la pr\u00e9sentation de cl\u00f4ture<\/a> en revenant sur l’historique du CERT de l’ANSSI et ses principales activit\u00e9s.<\/p>\n
Du CERT-A, cr\u00e9\u00e9 en pr\u00e9vision du bug de l’an 2000, au CERT-FR que l’on conna\u00eet maintenant, la structure a progressivement grandi en r\u00e9ponse aux menaces cyber et en suivant des \u00e9volutions aussi bien structurelles qu\u2019au niveau des moyens mis en \u0153uvre. En parall\u00e8le, le CERT-FR participe \u00e9galement au d\u00e9veloppement l\u2019\u00e9cosyst\u00e8me de CSIRTs en soutenant les diff\u00e9rents acteurs. Aujourd\u2019hui, les op\u00e9rations men\u00e9es au c\u0153ur de l\u2019agence r\u00e9pondent aux attaques d\u2019espionnage, de d\u00e9stabilisation et d\u2019irruption du cybercrime.<\/p>\n
La compromission de Bercy en 2011 a \u00e9t\u00e9 fondatrice de l\u2019activit\u00e9 op\u00e9rationnelle de l\u2019agence. En effet, la d\u00e9tection de cet incident, campagne \u00ab\u00a0li\u00e9e en sources ouvertes \u00e0 la Chine\u00a0\u00bb, correspond \u00e0 la premi\u00e8re op\u00e9ration de grande ampleur qui a permis de d\u00e9finir des principes appliqu\u00e9s de nombreuses fois par la suite. Cet \u00e9v\u00e9nement a \u00e9t\u00e9 le marqueur du d\u00e9but du ciblage constant de la France \u00e0 des fins politiques, diplomatiques, \u00e9conomiques et industrielles. Une timeline des attaques subies par un secteur r\u00e9galien a \u00e9t\u00e9 pr\u00e9sent\u00e9e, et souligne l\u2019omnipr\u00e9sence des attaques avec syst\u00e9matiquement au moins 4 activit\u00e9s malveillantes simultan\u00e9es\u00a0:<\/p>\n
<\/p>\nFigure 2 – P\u00e9riodes d’activit\u00e9 malveillante pour un secteur r\u00e9galien X (Extrait de la pr\u00e9sentation du SSTIC slide 21)<\/em><\/p>\n
Durant les 3 ann\u00e9es suivantes, les attaques permanentes \u00e9taient frontales, de grande ampleur et ciblaient aussi bien l’administration que les organismes d’importance vitale. Ces derniers ont alors \u00e9t\u00e9 inclus au p\u00e9rim\u00e8tre d’intervention. Ensuite, \u00e0 partir de 2017, ces attaques sont revenues, plus discr\u00e8tes qu’auparavant et ont davantage cibl\u00e9 les ESN et autres structures en aval de leurs cibles pour rebondir sur celles-ci dans un second temps. Finalement, depuis 2021 et toujours dans la m\u00eame optique de rebond, les structures cibl\u00e9es sont de plus en plus petites et manquent g\u00e9n\u00e9ralement de moyens de s\u00e9curit\u00e9. En compl\u00e9ment des entit\u00e9s cibl\u00e9es \u00e9nonc\u00e9es, les \u00e9quipements embarqu\u00e9s comme des routeurs, pare-feu ou bornes Wi-Fi sont \u00e9galement vis\u00e9s.<\/p>\n
L’ann\u00e9e 2021 est celle \u00e0 ce jour qui compte le plus de campagnes de compromission massive. De nouvelles techniques ont \u00e9t\u00e9 d\u00e9ploy\u00e9es, notamment la publication de certains marqueurs et modes op\u00e9ratoires des attaquants pour freiner les attaques. 2021 est \u00e9galement l’ann\u00e9e de P\u00e9gasus, l’espionnage de certaines personnalit\u00e9s gr\u00e2ce \u00e0 la compromission de leurs t\u00e9l\u00e9phones, mais aussi de Solarwinds et Log4j pour lesquelles des op\u00e9rations d’anticipation ont \u00e9t\u00e9 d\u00e9velopp\u00e9es pour mieux pr\u00e9venir les potentielles victimes.<\/p>\n
Par ailleurs, au sujet de la d\u00e9stabilisation, l’agence a notamment d\u00fb lutter contre l’hacktivisme qui a largement \u00e9merg\u00e9 suite aux attentats de 2015 et \u00e0 la guerre en Ukraine en 2022. Ces actions malveillantes s’inscrivent dans un contexte politique et se traduisent principalement par des d\u00e9nis de service et de la d\u00e9figuration (par exemple l’op\u00e9ration de sabotage de TV5 Monde en 2015<\/a>, ou de Ka-Sat en 2022).<\/p>\n
Quant au cybercrime, l’\u00e9mergence de ran\u00e7ongiciels a d\u00e9but\u00e9 en 2018 avec le ciblage de grosses entit\u00e9s (\u00ab\u00a0big game hunting\u00a0\u00bb), moins pr\u00e9cis et davantage opportuniste qu’auparavant. Les victimes sont g\u00e9n\u00e9ralement les entreprises les moins s\u00e9curis\u00e9es par rapport \u00e0 la moyenne (\u00ab\u00a0En mati\u00e8re de cybercrime c’est comme quand vous \u00eates cours\u00e9s par un lion, faut pas courir plus vite que le lion, faut courir plus vite que quelqu’un d’autre\u00a0\u00bb). Les impacts de ce type d’attaque varient, et se mat\u00e9rialisent de mani\u00e8re concr\u00e8te. Par exemple, pour les \u00e9tablissements de sant\u00e9, les cons\u00e9quences concernent directement les patients.<\/p>\n
En conclusion, les actions d\u00e9fensives sont indispensables et fonctionnent face \u00e0 l’augmentation de la menace.<\/p>\n
\n
Bug hunting in Steam: a journey into the Remote Play protocol<\/strong><\/em><\/h3>\n
![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2023\/06\/06.png\")
<\/p>\n![\"\"](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2023\/06\/07.png\")
<\/p>\n