Le cheval de Troie Flame

[Vous devez être inscrit et connecté pour voir cette image]


Le cheval de Troie Flame
une pièce de puzzle dans la Cyberguerre des gouvernements ?

[Vous devez être inscrit et connecté pour voir cette image]

Flame (« flamme » en français) est un logiciel malveillant qui n'a fait la une dans tous les médias qu'en mai 2012 et mené à des vifs débâts. Ce qui est le pire : le logiciel espion, la flamme virtuelle, aura été active depuis plusieurs années et infecté des ordinateurs dans le Proche-Orient. La complexité et la fonctionnalité du logiciel malicieux nouvellement découvert sont extraordinaires; l'auteur est encore inconnu, mais de nombreuses personnes pensent qu'il s'agit d'une attaque organisée par un État. Dans le suivant, nous allons vous expliquer comment ce cheval de Troie a pu infecter quelques milliers d'ordinateurs sans être aperçu et quels sont les risques pour vous, l'utilisateur particulier.

Il se répand au travers une faille de Windows


Les auteurs de Flame ne se sont pas fiés d'une seule façon d'infection, mais ont doté le logiciel de plusieurs facultés. A part le fait de passer par de nouvelles failles (attaques jour 0 via exploits), le logiciel malveillant a surtout eu l'attention de tous car il a utilise des certificats Microsoft falsifiés. Ceci fait une entourloupe à une des fonctions les plus délicates du système d'exploitation : La mise à jour Windows.


Flame intercepte les demandes de mise à jour de Windows et les redirige vers un ordinateur infiltré. L'utilisateur innocent installe donc le logiciel malicieux de ses propres mains. Cette méthode d'attaque, qui est difficile à empêcher s'appelle "Man in the middle" (« homme du milieu »). La vulnérabilité : l'emploi d'un cryptage démodé par la part de Microsoft qui a été amélioré entre-temps et sera rendu encore plus sûr selon Microsoft.


Comme la procédure de mise à jour est très pareille pour toutes les récentes versions de Windows, Flame n'a pas seulement pu infecter un certain système d'exploitation de Microsoft, mais toutes les versions actuelles. La mise à jour elle-même prétend être une fonction falote qui est censé installer des gadgets sur le bureau. Il est douteux si Microsoft a pu empêcher que Flame ne se propage en fermant cette vulnérabilité.
Selon le date de la signature falsifiée, cette méthode s'emploie depuis déjà 2010/2011, et le cheval de Troie a plusieurs routines d'infection.


L'attaque à la flamme touche le Proche-Orient de manière ciblée


Les analyses de Flame viennent de commencer, il n'y a donc encore que peu de résultats.
Selon ce que l'on sait déjà, le logiciel malveillant est capable de lire des données et mots de passe, d'epier des conversations à l'aide des microphones installées et de détecter des appareils bluetooth proches. Dans un sens tout ce qu'un bon outil d'espionnange devrait être capable de faire.


Ce qui est intéressant, c'est que Flame n'a été découvert que sur quelques centaines d'ordinateurs d'entreprises importantes et d'organisations gouvernementales surtout en Iran et en Syrie. Ceci éveille les soupçons que le logiciel malveillant a été et est toujours développé sur ordre d'un gouvernement. Il y a quelques jours, le monde a su que les fichiers envoyés par les ordinateurs infectés étaient surtout des documents PDF et Office ainsi que des plans de construction. Voilà un autre preuve pour une action d'espionnage ciblé et à long terme.


Flame fait possiblement partie de l'arsenal de cyber-armes des États Unis d'Amérique


D'abord, c'était Israel que l'on accusait d'être responsbale pour le cheval de Troie, mais dans les derniers jours, il y a eu de plus en plus d'indices qui mènent dans une autre direction. Déjà en 2010, le ver Stuxnet a eu l'attention de tous lorsqu'il a infecté les systèmes de réglage de Siemens. Un but qui semble d'abord peu intéressant
– mais on changera vite d'avis en sachant quelle institution était le but primaire de Stuxnet.


Car, jusqu'en Septembre 2010, la plupart des ordinateurs infectés se trouvaient en Iran. Comme cela ne suffisait pas encore, il y a eu des incidents exceptionnels dans le programme nucléaire iranien, ce qui suggère que Stuxnet était censé attaquer les systèmes de réglage des installations d'enrichissement d'uranium à Natanz et de la plante nucléaire Bouchehr. La cyberguerre n'est donc plus qu'une chimére des auteurs de science-fiction, mais une menace tout à fait réelle.


L'auteur de Stuxnet reste également encore inconnu. David E. Sanger, correspondant à Washington du New York Times vient de publier un livre qui soutient l'idée que l'emploi de Stuxnet avait été commandé par le président des États-Unis, Barack Obama, lui-même. Selon Sanger, le Président américain actuel a continué le programme nommé "Olympic Games" (« Jeux Olympiques ») initié par son prédécesseur George W. Bush en tant qu'une de plusieurs cyberattaques sur l'Iran une fois qu'il était en place.


Ce n'est que le 10 juin 2012 que des experts de sécurité se sont rendu compte d'une similarité impressionnante entre deux modules qui ne s'emploient pas seulement pour Stuxnet, mais également pour Flame. Les deux logiciels malveillants étaient jusque-là considérés très différents, mais le module détecté pourrait prouver que les États-Unis sont les responsables pour les deux.


Logiciel malveillant muni d'une fonction d'autodestruction



En regardant quelques caractéristiques techniques de Flame, on se rend compte qu'il ne s'agit pas d'une logiciel malveillant censé causer une infection en masse. La majorité des logiciels malveillants sont conçus de manière compacte et efficace pour infecter tant d'ordinateurs que possible sans que personne ne s'en rende compte.
La structure de Flame est quand même modulaire, et les exemplaires déjà découverts étaient d'une taille de 20-25 Mo. C'est considérable pour un logiciel malveillant et, avant tout, difficile de cacher. Plus de code et plus de fonctions, plus il est probable qu'un scanner d'heuristique et une analyse de comportement le détecte.


Flame est quand même équipé pour une découverte éventuelle : Juste comme un vrai espion, les serveurs de contrôle de Flame ont envoyé une pillule toxique virtuelle aux ordinateurs infectés la semaine dernière. Flame était censé « se suicider» et se désinstaller des ordinateurs. C'était juste le moment où les nouvelles de l'attaque ont commencé à se répandre dans les médias comme une traînée de poudre. Le but était de ne laisser aucun témoin ni trace – ce qui n'est pas normal pour un logiciel malveillant conventionnel qui peut être enlevé par l'utilsateur au piredes cas.


Quels sont les risques pour l'utilisateur privé ?



La bonne nouvelle d'abord : Il semble que les utilisateurs d'ordinateurs normaux ne sont pas les victimes du cheval de Troie. Il n'y a pas encore eu d'infection en Euope ou aux États-Unis. Les attaques visaient de manière ciblée sur quelques pays du Proche-Orient et même là non sur des personnes privées. Vous pourrez donc désormais naviguer sur Internet pour vos fins privés et professionels sans vous préoccuper.


Il serait quand même préférable de réfléchir après ces incidents virtuels. En cas de doute, ce ne sont pas seulement les États-Unis qui auront recours des armes virtuelles.
L'Allegmagne, elle aussi, a eu l'attention de tous par le Cheval de Troie Fédéral, et il faut partir du principe que beaucoup d'autres pays opèrent des programmes pareils. Nous vous recommandons donc d'utiliser Emsisoft Anti-Malware, car il est capable de détecter et bloquer même des logiciels malveillants inconnus grâce à son scanneur à deux moteurs et surtout l'analyse de comportement. Nous ne connaissons pas encore une seule variante de Flame qui ait pu échapper à l'analyse de comportement d'Emsisoft.




Bonne navigation sans malware à vous !


D'après l'équipe Emsissoft
[Vous devez être inscrit et connecté pour voir ce lien]