Alors que Microsoft a déjà dû réagir rapidement sur une faille touchant plusieurs produits, la firme fait face à une autre situation problématique avec plusieurs brèches dans Internet Explorer, déjà exploitées à grande échelle à l’heure actuelle. Même si le correctif sera déployé ce soir, les attaques ont déjà fait des dégâts.
Internet Explorer 11 dans Windows 8.1 n'est pas touché
Une faille critique pour plusieurs versions du navigateur
Les chercheurs de FireEye ont découvert plusieurs failles critiques déjà exploitées dans Internet Explorer. Les versions concernées vont de la 7 à la 10, affectant ainsi cinq systèmes d’exploitation : Windows XP, Vista, Windows 7, Windows 8 et Windows RT. Différentes de la faille déjà présente dans certains produits tels qu’Office, Lync et Vista, elles sont pourtant déjà exploitées activement.
Selon FireEye, ces failles sont associées pour permettre des attaques relativement élaborées. Une faille permet ainsi d’obtenir un certain contrôle sur la mémoire centrale tandis qu’une seconde autorise l’attaquant à obtenir des informations depuis cette mémoire. L’assemblage des deux brèches est effectif sur Windows XP à 7, ce qui signifie, puisque l’on parle d’Internet Explorer, que les protections mises en place dans Vista et accentuées dans Windows 7 sont contournées. En outre, bien que les attaques visent a priori la version anglaise du navigateur, FireEye estime qu’elles pourraient très facilement être adaptées pour prendre en compte d’autres langues.
Des attaques plus sophistiquées que prévu
Mais si les premières informations faisaient déjà état vendredi d’attaques relativement perfectionnées, de nouvelles publiées dimanche indiquent que le niveau de technicité est supérieur à ce qui avait été estimé. Ainsi, les auteurs ont intégré un code exploitant les failles au sein d’un site américain particulièrement fréquenté et attirant les internautes intéressés par les politiques de sécurité nationale et internationale.
Plusieurs points importants sont ainsi à souligner. Les attaques sont pilotées par plusieurs serveurs C&C (Command & Control) qui ont déjà été utilisés dans une campagne d’attaques connue sous le nom d’opération « DeputyDog ». Les malwares utilisés ne sont pas neufs non plus, mais des variantes de plusieurs ayant déjà été rencontrés ailleurs : Hydraq, McRat et Trojan.APT.9002. Elles ont d’ailleurs la particularité d’être uniquement résidants en mémoire et de ne jamais s’écrire sur le disque dur.
Les protections d'Internet Explorer et de Windows contournées
Pour FireEye, l’attaque est particulièrement « furtive » et est la preuve du talent de ses auteurs. La preuve ? Le fait que ces mêmes auteurs aient pu traverser certaines défenses. Pour la société de sécurité, il se pourrait bien que ces failles aient été découvertes depuis un certain temps car l’attaque montre qu’elle a soigneusement été préparée depuis longtemps. Les compétences des pirates sont élevées puisqu’ils ont été capables d’utiliser un réseau de plusieurs failles pour contourner des protections considérées comme fortes.
Microsoft est en fait nécessairement au courant de la situation depuis au moins plusieurs semaines. En effet, les failles utilisées par les attaquants dans Internet Explorer seront corrigées ce soir dans le lâché mensuel de correctifs via Windows Update. Elles correspondent au bulletin 3 publié mardi dernier (Microsoft publie certaines informations sur ses bulletins une semaine avant leur arrivée) et qui concerne de nombreux Windows, y compris Windows RT. On remarquera qu'Internet Explorer 11 n'est pas concerné, et ceux qui ont effectué la mise à jour Windows 8.1 ne sont donc pas touchés, ainsi que ceux qui ont déjà installé le nouveau navigateur sous Windows 7. En outre, bien que le correctif concerne Internet Explorer 10, aucune exploitation des failles sur cette version en particulier n'a été recensée.
FireEye note que l’installation du kit EMET (Enhanced Mitigation Experience Toolkit) de Microsoft permet effectivement de bloquer l’exploitation des failles. L’efficacité est totale si l’on modifie deux comportements d’Internet Explorer : les zones Internet et Intranet local doivent être placées en sécurité haute, et il faut activer la demande systématique avant d’exécuter tout contenu Active Scripting ou contrôle ActiveX.
Commentaires (98)
#1
bon bah je me mets un post it pour re vérifier WSUS demain (quand je pense que j’ai approuvé les dernières MàJ y a 15 minutes >.<
#2
Ainsi, les auteurs ont intégré un code exploitant les failles au sein d’un site américain particulièrement fréquenté et attirant les internautes intéressés par les politiques de sécurité nationale et internationale.
Bha oui, surveiller ceux qui s’intéressent de trop près à la sécurité du pays. Quel hasard.
#3
Question sûrement naïve:
Les entreprises sont-elles autant exposées que les particuliers par ce type de menaces ?
Fallait-il obligatoirement consulter le site en question pour être ciblé ?
#4
Sans être paranos ça pue le sniffer de la NSA tout ça… on laisse des back door et de temps en temps on corrige une faille “critique” quand elle est exposée au grand public… avant d’en laisser une autre.
" />
#5
Meilleur patch un autre navigateur web
#6
Du coup, Internet Explorer porte bien son nom : c’est internet qui explore ton PC !
" /> 
" />
#7
#8
#9
D’ailleurs je me posais une question : lorsqu’on active la protection avancée dans les options avancée du navigateur, IE ne se connecte plus du tout à aucun site sur Internet, du coup je me demandais à quoi pouvait bien servir cette option (contrairement à celle dans l’onglet Sécurité). Quelqu’un sait ?
#10
Normal que de mon côté, Windows m’aie proposé seulement l’install de IE 11 ce matin ??
" />
#11
#12
#13
#14
#15
#16
#17
#18
#19
#20
#21
#22
#23
#24
#25
#26
#27
#28
#29
Et puis bon, quand les users ont FF et que leur PC continue d’être une vraie poubelle, c’est aussi la faute d’IE ?
Les logiciels à la con installés à droite et à gauche et qui viennent avec des spywares n’ont pas besoin d’IE pour foutre la merde … c’est juste un pb chaise/clavier.
#30
#31
#32
#33
#34
#35
#36
#37
Microsoft corrigera ce soir plusieurs failles d’Internet Explorer déjà exploitées
Toute ? Non,une faille résiste toujours a l’administrateur système,elle se trouve dans un petit mégaoctet d’espace disque remplie d’irréductible backdoor.
Générique
#38
#39
#40
#41
#42
#43
#44
#45
#46
Les versions concernées vont de la 7 à la 10, affectant ainsi cinq systèmes d’exploitation : Windows XP, Vista, Windows 7, Windows 8 et Windows RT.
precision importante: la faille n’est exploitée que sous IE8 sous XP, et sous IE9 sous win7.
bien que la faille existe dans IE10, les hackers n’ont pas réussi à l’exploiter sur cette version, à priori. Lors de la dernière faille IE il y a deux mois c’était pareil, IE10 n’a pas pu être ciblé grâce à la protection mémoire ForceASLR qui empêche les méthodes classiques de contournement de ASLR de fonctionner.
#47
Et cette news te précise que la fameuse sandbox d’IE a été rendue inutile, tu pisse contre le vent, à force tu va être éclaboussé.
la firme qui a découvert cet exploit n’a pas parlé d’un contournement de sandbox. Je ne sais pas d’où PCI sort cette info.
pour rappel, la sandbox de vista/ie7 (utilisée jusqu’à win7) ne protège que contre les accès disque en écriture (la lecture reste autorisée). La sandbox intégrée à IE10 sous win8 empêche désormais aussi la lecture et l’accès au LAN.
le malware dont il est question ici reste en mémoire vive pour rester indétectable et disparait après fermeture de session. Il n’a donc pas besoin de sortir de la sandbox pour faire du vol d’information.
cela dit, la sandbox de vista a déjà été contournée, tout comme celle de chrome. Un contournement est possible en cas de faille, mais au moins ça rajoute de la difficulté pour les créateurs d’exploits.
#48
Et dire que je suis passé à IE11 hier soir grâce à Windows Update après plusieurs années sous IE8 sans pouvoir upgrader pour une raison inconnue
" />
#49
#50
bon ben j’ai mis à jour en IE11 sous 7. Ça changera rien je m’en sers jamais
" />
#51
#52
#53
#54
#55
#56
#57
#58
#59
#60
#61
Les années passent, et ça continue : Windows, Explorer, les failles…
Que de souvenirs sur PCiNpact !
Mais du passé personnellement, 100% libre, c’est le cas de le dire…
#62
toujours rien dans WU à cette heure-là
" />
#63
Tout les logiciels peuvent être faillibles.
Une bonne façon d’avoir un système à terme relativement mieux protégé, c’est que le marché soit divisé en plusieurs navigateurs (et plusieurs OS, aussi).
Ça permet aussi de tester de manière plus approfondie les éléments en phase de test du W3C, et permet d’éviter de tomber dans une appropriation du web (car aucun développeur n’a envie de faire des hacks spécifiques pour un navigateur à 10%).
Parmi les 3 plus grands éditeurs de navigateurs, seul Mozilla n’a pas une politique impérialiste sur les parts de marché.
#64
#65
Désolé de foutre allégrement les pieds dans le plat, mais si cette news a (encore) dévié sur une guéguerre entre navigateurs, c’est parti des posts de sniperdc et de ff0098. Je ne comprends pas que ce dernier ait même encore un compte ici, tant ses posts sont des (appels aux) trolls. Saoulant.
" />
#66
2 redémarrages avec cette fournée WU sur windows 8.1 Pro with media center
" />
#67
#68
Muahaha le Web et les utilisateurs ne sont pas prêts pour avoir un navigateur trop sécurisé
" />
" />
#69
Muahaha le Web et les utilisateurs ne sont pas prêts pour avoir un navigateur trop sécurisé
dommage que MS ait plié face au mécontentement de certaines entreprises (à cause de JAVA peut être? Vu qu’oracle n’a pas publié de version compatible EPM)
à ce train là on va se retrouver avec le user agent d’IE10 dans IE11 par défaut ^^
quoi qu’il en soit IE Metro reste encore le plus sécurisé (64bit, EPM, et interdiction des plugins sauf Flash).
pour rappel, MS avait déjà fait des sacrifices en n’activant l’EPM qu’en 32bit sur IE desktop sous win8.1 (le 64bit était activable dans les options).
#70
Au passage, la faille d’IE dont il est question dans cet article n’etait en réalité pas une faille d’IE, mais une faille de Cardspace.
la faille n’a pas été corrigée, Microsoft ayant décidé de “tuer” le contrôle activex de cardspace pour éviter son usage dans IE.
voila qui explique pourquoi MS a été si rapide a reagir (cardspace est déprécié et n’a jamais été massivement utilisé, c’était donc l’occasion de le tuer pour de bon).
en tout cas la faille n’aurait pas été exploitable avec IE Metro puisque ce type de contrôle activex ne peut pas fonctionner sur cette version.
#71
#72
#73
#74
#75
#76
#77
Fausse information. D’une part cette option n’a jamais été activée par défaut dans IE10/11+ (j’inclus les mises à jour récentes), parce qu’on perd toute connexion en HTTP ce qui aurait rendu le navigateur inutilisable par défaut à l’installation fraiche de Windows
tu confonds avec la sécurité active par défaut sous Windows server qui bloque javascript et les téléchargements.
rien à voir avec le mode protégé amélioré qui, lui, était actif par défaut sous win8.1 rtm.
il est désormais désactivé par défaut depuis l’update d’hier.
#78
#79
#80
Je viens juste(enfin, hier) de faire la mise à jour IE 10 –> IE 11, et IE est toujours le seul navigateur qui à la première ouverture de page, t’affiche un “sapin de noël” le truc qui te plonge en crise d’épilepsie dans la seconde
wow la mauvaise foi n’a aucune limite de nos jours! Maintenant c’est la faute à IE si ya de la pub sur internet!
t’es conscient que IE est le seul navigateur a être capable de bloquer les pubs sans plugin additionnel? (via des tracking protection lists).
et si ce n’etait pas assez, il existe adblockplus pour IE depuis quelques mois.
#81
#82
#83
Y a pas de Noscript pour IE, du moins à ma connaissance, et c’est de loin le plus important des deux, puis y a les autres extensions, et là aussi IE est à la bourre
quel est l’intérêt de noscript si tu dois mettre tous les sites que tu visites en liste blanche sous peine d’avoir un fonctionnement cassé?
au final s’il y a une faille dans Firefox, suffit qu’un site malveillant demande gentiment d’activer JS pour que l’utilisateur le mette en whitelist et se fasse exploiter. C’est exactement ce qui s’est passé avec la NSA qui a exploité une faille dans le Firefox intégré au package tor malgré la présence de noscript.
bref, mieux vaut miser sur des fonctionnalités de sécurité qui améliorent la sécurité sans casser les fonctionnalités JS comme les sandbox d’IE et chrome. Noscript c’est juste une illusion de sécurité.
cela dit, il existe un équivalent de noscript sous IE, suffit de mettre la zone internet en sécurité élevée, et lorsqu’on veut réactiver les scripts sur un site, faut le mettre dans la liste de la zone de confiance. C’est la config par défaut sous Windows server 2003 et +.
pas besoin de plugin additionnel pour ça.
concernant le manque d’extensions, c’est normal, les extensions sont une source d’instabilité, de ralentissements, et posent de graves problèmes de sécurité. Microsoft va à terme les supprimer totalement.
déjà sous Windows RT les applis tierces ne peuvent pas installer d’extension sur IE desktop, et sous win8 IE Metro ne supporte plus du tout les extensions.
c’est une bonne chose compte tenu du bordel que les extensions installées par les adwares foutent sur les PC/MAC des utilisateurs lambdas.
MS essaye de migrer les utilisateurs vers des systèmes 100% sandboxés, sans malware: WP et WindowsRT. Il est évident que sur ce modèle les extensions ne peuvent pas exister, sous peine d’offrir aux développeurs malveillant un moyen alternatif d’infecter les utilisateurs avec des trojan ou des injecteurs de pub.
#84
En effet, surtout de ta part
on est plus en maternelle mon gars!
si t’as une critique, developpe la.
#85
#86
L’intitulé est présent deux fois, une fois dans l’onglet Sécurité, et une fois dans l’onglet Avancé, mais ce sont deux options différentes. Dans l’onglet sécurité ça active la sandbox, dans l’onglet avancé ça n’autorise que le LAN.
Dans l’onglet avancé, l’activation de l’enhanced protected mode remplace le protected mode classique (celui introduit dans vista) par celui introduit dans windows 8.0.
il est actif par defaut dans windows 8.1 RTM.
mais il a ete desactivé par la maj publiée hier.
pour rappel, il etait desactivé par defaut dans win8.0, et il n’est pas supporté dans win7.
http://www.julien-manici.com/blog/important-compatibility-changes-in-IE11-on-Win…
quant à ta derniere phrase selon laquelle l’Enhanced Protected Mode ne supporte que le LAN, ça n’a aucun sens.
c’est exactement le contraire en fait, l’EPM empeche l’acces au LAN si ton reseau est en mode privé/bureau.
il n’empeche bien entendu pas l’acces à internet.
#87
@Emralegna
preuve que l’EPM etait actif par defaut et qu’il a ete desactivé:
http://support.microsoft.com/kb/2907803
#88
#89
#90
Humn, sauf que c’est plus fin que cela et tu le sait bien .
Tu peut choisir de n’autoriser que les script du site lui même (et pas ceux hébergés ailleurs). La plupart des sites hébergent encore la majorité des scripts donc pour le cassage..
je sais que c’est possible, mais je vois mal l’utilisateur (meme geek) faire ça.
c’est comme les protections par analyse des comportements des antivirus.
en theorie ça permet de mieux proteger, mais,en pratique c’est terriblement lourd d’autoriser à tout bout de champ des actions d’apparence inoffensives, et au final ça n’apporte aucune garantie.
dans le cas de noscript, si le script malceillant est hebergé sur le domaine d’un site de confiance qui vient de se faire hacker, au final la protection vole en eclat meme si tu t’es fait chier à n’autoriser que le strict minimum.
#91
#92
#93
#94
#95
Je t’ai cité parce que tu en parle, c’est tout :)
" />
" />
Au passage merci de l’info.
Les plugins c’est le mal.
Comme on entretient tous savamment la confusion extension/plugins j’avais compris que IE ne voulais plus des extensions moi
#96
#97
Bah IE n’a pas vraiment de plateforme pour les extensions … Des extensions existent comme Web Of Trust ou Adblock mais je sais pas doit y’en avoir une centaine face a des milliers chez Chrome/FF…
De plus IE Metro ne permet pas l’installation d’extension a ma connaissance … Donc au final ouais j’ai bien l’impression que IE veut bannir Plugin et Extension …
IE supporte les extensions, parfois appelées Browser Helper Object depuis au moins IE3.
ça implique de coder en natif, donc c’est pas la meme facilité que sur chrome/fx.
mais de toutes façons MS veut se débarrasser des plugins ET des extensions.
sur windows RT ça n’existe deja plus, et sur IE metro non plus.
j’ai du mal à comprendre pourquoi google bâtirait sa stratégie autour des extensions alors qu’ elles ont la capacité d’anéantir tout les efforts que google a fait en matière de securité.
en gros, quelqu’un pourrait tout à fait créer une extension malveillante sur chrome OS et contaminer par social engineering un certain nombres d’utilisateurs avant que google la bannisse.
c’est franchement pas dur quand on voit le nombre d’utilisateurs qui installent des soit disant “vlc plugins”…
#98