Une faille 0-day dans Internet Explorer, toutes versions confondues et Obad.a, un cheval de Troie qui se répand via des botnets mobile

Microsoft a publié une alerte de sécurité faisant état d'une faille 0-day dans Internet Explorer. Une faille 0-day est une faille qui est déjà exploitée, avant que le public ou l'éditeur du logiciel vulnérable en ait connaissance.

En l'occurrence, dans son alerte, Microsoft fait état d'attaques ciblant essentiellement IE 8 et IE 9. Cependant toutes les versions du navigateur de Redmond sont vulnérables, de IE 6 à IE 11. Sur les tous les systèmes d'exploitations de Windows XP à Windows 8.1

Bref tous les utilisateurs d'Internet Explorer peuvent être victimes de la faille s'ils visitent une page web malicieuse conçue pour l'exploiter.

Techniquement, la faille exploite le fait qu'Internet Explorer tente d'accéder à un objet qui a déjà été libéré en mémoire. L'exploit de la faille peut aboutir à l'exécution d'un code arbitraire à distance.

Il n'existe pour l'instant pas de correctif, Mais Microsoft a publié un fixit. Mais ce fixit n'est valable que pour les systèmes 32
bits.


Kaspersky Lab a étudié le mode de propagation du cheval de Troie Obad.a, une application malveillante détectée sur Android. Il apparaît que les criminels qui se cachent derrière ce cheval de Troie ont adopté une technique inédite pour répandre leur malware. En effet, celui-ci se propage par le biais de botnets contrôlés par d’autres groupes criminels, ce qui est, selon Kaspersky Lab, est une première dans l’histoire de la cybercriminalité visant les terminaux mobiles. Obad.a se retrouve principalement dans les pays de la CEI (ex-URSS). Au total, 83% des tentatives d’infections ont été enregistrées en Russie, tandis que d’autres ont également été détectées sur des équipements mobiles en Ukraine, au Bélarus, en Ouzbékistan et au Kazakhstan.

Le modèle de diffusion le plus intéressant consiste en la propagation de diverses versions de Obad.a avec SMS.AndroidOS.Opfake.a. Cette double tentative d’infection commence par l’envoi d’un texto demandant au destinataire de télécharger un message reçu récemment. Si la victime clique sur le lien fourni, un fichier contenant Opfake.a se télécharge automatiquement sur son smartphone ou sa tablette.

Le fichier malveillant ne peut s’installer seulement si l’utilisateur le lance : dans ce cas, le cheval de Troie envoie d’autres messages à tous les contacts figurant sur le terminal qu’il vient d’infecter. Le fait de cliquer sur le lien contenu dans ces messages déclenche le téléchargement de Obad.a. Le système est parfaitement organisé : un opérateur de réseau mobile russe a signalé plus de 600 messages de ce type en l’espace de cinq heures, à peine, ce qui révèle une diffusion de masse. Dans la plupart des cas, le malware s’est propagé à partir d’appareils déjà contaminés.

En dehors des botnets mobiles, ce cheval de Troie, d’une grande complexité, est également diffusé par l’intermédiaire de spams. Typiquement, un message avertissant le destinataire de l’existence d’une « dette » impayée incite celui-ci à suivre un lien qui va télécharger automatiquement Obad.a sur son mobile. Là encore, il faut que l’utilisateur ouvre le fichier téléchargé pour que le cheval de Troie s’installe.

De fausses boutiques d’applications propagent également Backdoor.AndroidOS.Obad.a. Elles imitent le contenu de pages Google Play, remplaçant les liens authentiques par d’autres, malveillants. Lorsque des sites légitimes sont piratés et leurs utilisateurs redirigés vers des sites dangereux, Obad.a cible exclusivement les mobiles : si les victimes potentielles arrivent sur le site à partir d’un ordinateur, rien ne se passe. En revanche, les smartphones et tablettes, quelle que soit leur plate-forme, sont en danger.

Obad.a, which uses a large number of unpublished vulnerabilities, is more like Windows malware than other Trojans for Android,” said Roman Unuchek, a leading antivirus expert at Kaspersky Lab.

« En trois mois, nous avons découvert 12 versions de Backdoor.AndroidOS.Obad.a. Toutes présentent le même jeu de fonctionnalités et un degré élevé de masquage du code. Aussi, chacune utilise une vulnérabilité d’Android OS qui confère au malware les droits DeviceAdministrator et le rend bien plus difficile à éliminer. Dès que nous avons fait cette découverte, nous en avons informé Google et la faille en question a été corrigée dans Android 4.3. Cependant, seuls quelques modèles récents de smartphones et de tablettes sont dotés de cette version et les appareils plus anciens restent menacés. Obad.a, qui exploite un grand nombre de vulnérabilités non publiées, se comporte davantage comme un malware Windows qu’à d’autres chevaux de Troie pour Android », explique encore Roman Unuchek, expert en antivirus chez Kaspersky Lab.