Stremler – Rambourg – Thomas - Carayon Bardou - Annota 1

« Le malheur des uns fait les bonheur des autres »

Voltaire

Attaque de la société Candide SA

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 2

Sommaire de la présentation

Gestion de projet Collecte d’informations Attaques intrusives Dénis de services Attaques « gratuites » Conclusion

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 3Stremler – Rambourg – Thomas - Carayon Bardou - Annota 3

Gestion de projet

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 4Stremler – Rambourg – Thomas - Carayon Bardou - Annota 4

Gestion de projet Communication

Par mail pour les échanges ‘écrits’ Par site de partage pour les données

Identification Archives protégées par mot de passe

Une réunion et un compte rendu par semaine Échange d’informations Avancement des recherches,

développements d’outils, projet

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 5Stremler – Rambourg – Thomas - Carayon Bardou - Annota 5

Gestion de projet

Déroulement des attaques. Collecte d’informations Planification ( scénarii,…) Maquettage Attaque Exploitation des résultats

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 6

Sommaire

Gestion de projet Collecte d’informations Attaques intrusives Dénis de services Attaques « gratuites » Conclusion

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 7

Collecte d’informations

Base de connaissances sur la cible nécessaire à toute attaque efficace

But : obtenir le plus d’informations, les plus précises possibles

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 8

Keylogger

Principe : récupérer les touches frappées au clavier

Idée originale : Comment utiliser les comptes de l’U3 ? Comment récupérer les mots de passe

des comptes mail ? Contexte de l’U3 particulier : droits

utilisateurs

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 9

Keylogger

KL existants non adaptés => développement de notre propre KL

Efficacité totale : Jamais détecté 9 mots de passes mails récupérés (6

défense, 3 audit)

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 10

Surveillance Mail

Principe : utiliser les mots de passe des mails pour récupérer les informations échangées

Surveillance manuelle et régulière Discrétion nécessaire (compte Gmail

avec chat intégré, mails non lus,…)

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 11

Surveillance Mail

Informations récupérées : Architectures Politiques de sécurité Détails de configuration Rapports de l’audit …

Ne manquait que les mots de passe !!

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 12

MITM

Principe : être une passerelle illégitime pour un hôte / réseau.

Utilisation d'outils réseau : ettercap pour effectuer le Man In The

Middle et récupérer les mots de passe en clair

tcpdump pour pouvoir analyser l'ensemble du trafic ultérieurement

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 13

MITM

Informations récupérées (login / mot de passe) : compte admin du site de la défense (stri2007)

compte local, suite à une erreur (avasam7!)

compte admin du phpmyadmin de l'audit (su#!r2ot@SQLDB?)

Configuration d'ettercap incomplète (seulement HTTP), d'où perte d'informations ?

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 14

Sommaire

Gestion de projet Collecte d’informations Attaques intrusives Dénis de services Attaques « gratuites » Conclusion

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 15

Attaques Intrusives Définition :

Ensemble des attaques n'ayant pas pour but (dans un premier temps) de porter atteinte au bon fonctionnement du serveur

But : obtenir un shell prendre le statut root cacher sa présence nettoyer les logs

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 16

Faille Include

Pourquoi cette faille ? Serveur Apache avec PHP

Résultat attendu ? backdoor active pour pouvoir revenir

n'importe quand Vol d'informations sensibles Informations techniques sur le serveur

(logiciels, versions installées, ...)

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 17

Faille Include

Résultats obtenus : liste des logiciels installés + version (dpkg) code source du site (audit hors ligne)

Echec de la mise en place de la backdoor à cause du filtrage en entrée

Solution possible : « reverse Shell »

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 18

Accès SSH

Utilisation des acquis (erreur de la défense)

Résultat attendu : être calife à la place du calife

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 19

Accès SSH

Résultats : étude approfondie du système (configurations

du réseau, des services, des logiciels, du stockage,...)

lancement d'un serveur irc lancement d'une backdoor

Mais toujours pas calife échec de la récupération du mot de passe root échec du rootkit

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 20

Accès Local

La console root était restée ouverte Création d’accès pour notre équipe Désactivation des accès de la défense Mise en place d’une bombe logique Résultat : accès total à la machine,

plus d’accès pour ses propriétaires et utilisateurs légitimes

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 21

Internet Explorer

But : obtenir un shell sur un poste client non à jour

Scénario: l’utilisateur visite une page contenant un

exploit d’une faille d’IE Le trojan (codé maison pour cette

architecture) est téléchargé et donne une console à l’attaquant

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 22

Internet Explorer

Points réussis de l’attaque: Exploit de la faille Obtention d’un shell

Échecs: Écriture du trojan et des outils sur le

disque Exploitation du shell

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 23

Sommaire

Gestion de projet Collecte d’informations Attaques intrusives Dénis de services Attaques « gratuites » Conclusion

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 24

Déni de service

Paralyser tant que possible la cible

Ou également pour couvrir d’autres attaques

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 25

Destruction BD de L’audit

But: détruire la BD de snort pour camoufler nos attaques

Moyen : Mot de passe PhpMyAdmin récupéré par MITM Récupéré par analyse des logs

TCPDump échangés par mail

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 26

Destruction BD de L’audit

Scénario: Se connecter sur PhpMyAdmin Drop table …

Efficacité: BD totalement détruite Snort HS Autres fonctions de la sonde toujours OK

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 27

Bruit de fond But :

Faire diversion Noyer nos actions dans la masse

Démarche: Avalanche de Ping

intervalles courts gros paquets

Scan en tout genre Script sh utilisant IDSwakeup

Résultats : Attaque IE DoS sur l’audit de quelques secondes

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 28

Mail Bombing

But : Saturer le serveur WebMail

Boite Mail Utilisateur Bande passante Espace disque Charge du CPU

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 29

Mail Bombing

Besoins : Attaque rapide

=> Quelques PC sur un Lan (3)

Serveur DNS et nom de Domaine attaqué requêtes DNS avec l’outil dig

Compte de messagerie à attaquer Postfix serveur mal configuré : root actif

Un mail exchanger pour l’envoi de mails Postfix (relais Smtp)

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 30

Mail Bombing

Résultats : Bande passante

Site web opérationnel pendant l’attaque Routeur : 1connection /sources/s

=> plus de PC (≈10)

Remplissage du disque 3Mo/s /var pleine en 15min

Charge CPU indice >20 durant toute l’attaque, maximum 55 2 à 3 fois plus élevé que pendant les autres types

d’attaques

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 31

Remplissage de la BD

Fausses requêtes d’inscription

Serveur HS

Destruction des bases

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 32

Défacage du site

Création rapide d’un site Web

Mise en ligne à la place de l’original

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 33

Destruction du serveur

Bombe logique : script détruisant les fichiers de la machine à une heure préprogrammée

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 34

Sommaire

Gestion de projet Collecte d’informations Attaques intrusives Dénis de services Attaques « gratuites » Conclusion

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 35

Attaques gratuites

Pourquoi des attaques gratuites? Tester nos scénarii Exploiter de nouvelles failles Récupérer de nouvelles informations

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 36

Livre D’or IVAN

Contexte : Architecture du groupe Défense 2 n’était

pas en place But :

Remplir une base de données en quelques minutes

Méthode: Utilisation d’un script et de l’outil WGET

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 37

Attaque d’un ordinateur perso

Contexte : Collecte d’informations

But : Récupérer le plus d’informations possible sur la

structure de l’entreprise Méthode :

Intrusion dans un poste client personnel de l’équipe défense

Utilisation de mail et …

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 38

Conclusion

Il existe de nombreuses manières d’attaquer une entreprise.

Pour s’en prémunir le mieux ce serait de :

1 Ne pas générer du trafic dans l’entreprise

2 Garder les postes clients de l’entreprise au domicile des employées

Et enfin ………

BARRICADER L’ENTREE DE LA SOCIETE

Stremler – Rambourg – Thomas - Carayon Bardou - Annota 39

On vous remercie, et

Reprendriez vous un peu de sucre Candide ?

Avez-vous des questions ??