Une vulnérabilité zéro-day affectant tous les OS Windows en vente pour 90,000$

2 Juin 2016 , Rédigé par nicko Publié dans #informatique

Un pirate informatique a mis en vente une vulnérabilité zéro-day affectant toutes les versions de Windows, celle-ci peut permettre à un attaquant d'élever les privilèges pour les processus logiciels au plus haut niveau disponible dans Windows, connu sous le nom SYSTEM.

Une vulnérabilité zéro-day affectant tous les OS Windows en vente pour 90,000$

Le cabinet de sécurité Trustawave a découvert le bug en mai dernier, la vulnérabilité a été annoncé sur un forum de hacking underground russe pour 90.000 $. La dernière mise à jour du post sur le forum était le 23 mai, et le prix initial était de $ 95,000.

La vulnérabilité zéro-day qui touche toutes les version de Windows affects plus de 1.5 milliards d'utilisateurs

Le pirate (BuggiCorp est son nom sur le forum) a également publié deux vidéos (en bas de page) du zéro-day sur YouTube, une escalade des privilèges d'une application dans Windows 10 avec le dernier correctif de sécurité installé en mai 2016, et une autre vidéo montrant son exploit contournant toutes les fonctions de sécurité incluses dans la nouvelle version de Microsoft de la boîte à outils EMET.

L'escroc veut le paiement en Bitcoin et celui-ci est disposé à fournir l'engagement par l'intermédiaire de l'administrateur du forum si nécessaire.

Le pirate dit qu'il va vendre l'exploit à une seule personne, et que l'acheteur obtiendra le code source exploit, une démo entièrement fonctionnelle, le fichier de projet Visual Studi0 2005 Microsoft, et les mises à jour futures gratuites de l'exploit pour toute version de Windows .

Le vendeur a voulu être très clair sur le fait que l'exploit fonctionne sur toutes les versions de Windows, qui, selon les statistiques de Microsoft, peuvent affecter plus de 1,5 milliard d'utilisateurs.

Les détails techniques de la vulnérabilité zéro-day sont disponibles

Le pirate a aussi fourni quelques détails techniques sur son message sur le forum. Voici quelques sélections, traduit de Trustwave.

"La vulnérabilité existe dans le traitement incorrect d'objets de Windows, qui ont certaines propriétés, la vulnérabilité existe dans tout les OS quelque soit la version, à partir de Windows 2000."

 "L'exploit est mis en œuvre pour toutes les architectures OS (x86 et x64), à partir de Windows XP, y compris les versions de Windows Server et jusqu'aux variantes actuelles de Windows 10."

"La vulnérabilité "write-what-where" permet d'écrire une certaine valeur à n'importe quelle adresse [dans la mémoire], ce qui est suffisant pour un plein exploit. L'exploit s'échappe avec succès d'ILL/APPCONTAINER , contournant (plus précisément : n'est pas stopper par tous les mécanismes de protection existants comme ASLR, DEP, SMEP, etc...
L'exploit repose seulement sur le KERNEL32 et les bibliothèques USER32 [DLLs]."

« [Le projet de code source] de l'exploit et un exemple de démo sont écrits en C et assemblée avec MSVC 2005. La production est un lib-file qui peut être lié plus tard à n'importe quel autre code et [production supplémentaire du projet de code source] un dossier de la démo EXE qui lance CMD EXE et escalade les privilèges au compte de SYSTÈME.  »

Trustwave et d'autres experts "INFOSEC" pensent que le zéro-day est trop cher, mais ils croient que quelqu'un finira par payer.

Le zéro-day est trop cher par "rapport à" d'autres

Pour avoir une idée des prix des exploits et des outils de piratage, voici deux exemples, une liste de prix à partir d'un logiciel de gouvernement bien connu et exploiter, le fournisseur s'appelle Zerodium , et une liste à partir d'un rapport Dell de services de piratage sur les forums souterrains .

En outre, les experts croient également que le zéro-day ne vaut pas tant que ça, car il ne peut pas être utilisé pour infecter les ordinateurs, mais seulement effectuer une escalade d'accès, étant un exploit de seconde phase, généralement utilisé pour gagner la persistance au démarrage.

"Alors que le plus convoité zéro-day serait une exécution à distance de code (RCE), les vulnérabilités locale d'escalade de privilége sont susceptibles de monté en popularité," l'équipe Trustwave explique. "Bien qu'un tel exploit ne peut pas fournir le vecteur de l'infection initiale comme une exécution de code à distance (RCE) ,il serait un morceau nécessaire de puzzle dans le processus global d'infection."

Microsoft a été l'un des premières entreprises à mettre en place un programme de bug bounty et en dépit de la grande quantité de logiciels malveillants ciblant ses systèmes d'exploitation, la société est largement respectée dans le domaine de la sécurité. De nombreuses entreprises de sécurité indiquent que Microsoft est une société avec les meilleures approches sur la sécurité des produits sur le marché aujourd'hui.