Pour certains les avantages de publier ce code “l’emportent sur les risques”
Github a déclenché une tempête de critiques après que le dépôt de partage de code appartenant à Microsoft a supprimé une preuve de concept d’exploit pour les vulnérabilités critiques de Microsoft Exchange qui ont conduit à près de 100 000 infections de serveurs au cours des dernières semaines. Micrososft avait déjà publié des mises à jour de sécurité d’urgence pour combler les quatre failles de sécurité dans les versions 2013 à 2019 d’Exchange Server et dans les plus anciennes qui ne sont plus prises en charge. Certains chercheurs sont toutefois d’accord avec cette suppression.
ProxyLogon est le nom que les chercheurs ont donné à l’une des quatre failles de Microsoft Exchange que Microsoft a corrigées dans une version hors bande le 2 mars. Selon les chercheurs, Hafnium, un groupe de pirates parrainé par l’État et basé en Chine, a commencé à exploiter ces vulnérabilités en janvier et, quelques semaines plus tard, cinq autres APT, pour “advanced persistent threat groups“, lui ont emboîté le pas. À ce jour, pas moins de 10 APT soutenus par l’État ont utilisé les vulnérabilités pour cibler des serveurs dans le monde entier, d’après l’éditeur de logiciels de sécurité ESET.
Bien que Microsoft ait publié des correctifs d’urgence, environ 125 000 serveurs Exchange ne les avaient pas encore installés, selon un avis publié mardi par la société de sécurité Palo Alto Networks. Le FBI et l’Agence américaine pour la cybersécurité et la sécurité des infrastructures ont averti que ProxyLogon et les autres failles dans Exchange constituent une menace sérieuse pour les entreprises, les organisations à but non lucratif et les agences gouvernementales qui restent vulnérables.
Mercredi, le chercheur Nguyen Jang a publié ce que l’on pense être le premier exploit de preuve de concept (PoC) largement opérationnel pour l’une des vulnérabilités. Le code PoC consistait en un fichier Python de 169 lignes. Il tirait parti du bug CVE-2021-26855 aussi appelé ProxyLogon, une faille de Microsoft Exchange Server qui permet à un attaquant de contourner l’authentification et d’agir avec des privilèges administratifs.
Basé au Vietnam, le chercheur a également publié un compte rendu de son travail décrivant le fonctionnement de l’exploit. Si le code PoC est fait pour le bug CVE-2021-26855, le framwork open source de piratage fournit tous les outils nécessaires qui pourraient permettre aux pirates informatiques, après quelques modifications, de lancer leurs propres RCE (remote code execution).
La publication d’exploits PoC pour les vulnérabilités corrigées est une pratique courante chez les chercheurs en sécurité. Cela les aide à comprendre comment les attaques fonctionnent afin de pouvoir construire de meilleures défenses. Dans son article, Jang avait inséré un lien vers le code PoC hébergé sur GitHub, mais quelques heures plus tard, le lien ne fonctionnait plus. Le dépôt de partage de code appartenant à Microsoft venait ainsi de supprimer le code d’exploit, laissant certains chercheurs très furieux contre Microsoft et sa plateforme.
Les critiques ont accusé Microsoft de censurer des contenus d’un intérêt vital pour la communauté de la sécurité parce qu’ils nuisaient à ses intérêts. Certains critiques se sont engagés à retirer une grande partie de leurs travaux sur Github en réponse.
« Wow, je suis complètement sans voix ici », a écrit sur Twitter Dave Kennedy, fondateur de la société de sécurité TrustedSec. « Microsoft a vraiment retiré le code PoC de Github. C’est énorme, retirer de GitHub le code d’un chercheur en sécurité contre leur propre produit et qui a déjà été patché ».
« Y a-t-il un avantage à Metasploit, ou est-ce que littéralement tout le monde qui l’utilise est un “script kiddie” ?, a déclaré sur Twitter Tavis Ormandy, membre du Project Zero de Google, un groupe de recherche sur les vulnérabilités qui publie régulièrement des PoC presque immédiatement après qu’un patch soit disponible. « Il est regrettable qu’il n’y ait aucun moyen de partager la recherche et les outils avec les professionnels sans les partager également avec les attaquants, mais beaucoup de gens (comme moi) pensent que les avantages l’emportent sur les risques ».
GitHub accusé d’avoir deux poids deux mesures
Certains chercheurs ont affirmé que Github avait deux poids deux mesures en autorisant le code PoC pour les vulnérabilités corrigées affectant les logiciels d’autres organisations, mais en les supprimant pour les produits Microsoft. Alors que le code PoC restait accessible dans des dépôts de code hébergés ailleurs, comme chez le concurrent GitLab, les chercheurs en sécurité ont rapidement condamné GitHub pour ses normes incohérentes et Microsoft pour sa supposée ingérence intéressée.
« Si la politique dès le début était “pas de PoC/metasploit/etc.” – ça craindrait, mais c’est leur service », a déclaré Ormandy via Twitter. « Au lieu de cela, ils ont dit OK, et maintenant que c’est devenu la norme pour les Pros de la sécurité de partager du code, ils se sont élus les arbitres de ce qui est “responsable”. Comme c’est pratique ».
Mais comme d’autres personnes discutant du retrait du code l’ont fait valoir, si un correctif a été publié, il n’a pas nécessairement été appliqué par toutes les entreprises exploitant des serveurs Exchange. En d’autres termes, étant donné le nombre de systèmes encore vulnérables et faisant l’objet d’attaques actives, peut-on vraiment reprocher à Microsoft d’essayer de limiter la diffusion du code d’exploit qui pourrait être utilisé pour mettre ces installations à genoux ?
C’est le point de vue de Marcus Hutchins, chercheur en sécurité chez Kryptos Logic, qui s’oppose à ceux qui critiquent Microsoft. Dans une déclaration, il a justifié la suppression de l’exploit Exchange par Github.
« J’ai déjà vu GitHub supprimer du code malveillant, et pas seulement du code visant les produits Microsoft », a-t-il dit. « Je doute fortement que Micrososft ait joué un rôle dans la suppression et qu’il ait tout simplement enfreint la politique de GitHub relative aux “logiciels malveillants ou exploits actifs” dans les [conditions de service], en raison du caractère extrêmement récent de l’exploit et du grand nombre de serveurs exposés à un risque imminent de ransomware ».
Répondant à Kennedy sur Twitter, Hutchins a ajouté : « “A déjà été corrigé”. Mec, il y a plus de 50 000 serveurs Exchange non corrigés dans le monde. Publier une chaîne RCE complète prête à l’emploi n’est pas de la recherche en sécurité, c’est de l’imprudence et de la stupidité ».
Dans une déclaration publiée sur Motherboard, GitHub a fourni une explication qui a confirmé la supposition de Hutchins que le PoC a été supprimé parce qu’il violait les conditions de service de GitHub. Voici ci-dessous un extrait de la déclaration :
« Nous comprenons que la publication et la distribution de code d’exploit de preuve de concept ont une valeur éducative et de recherche pour la communauté de la sécurité, et notre objectif est d’équilibrer cet avantage avec le maintien de la sécurité de l’écosystème plus large. Conformément à nos politiques d’utilisation acceptable, nous avons désactivé le gist suite à des rapports indiquant qu’il contient du code de preuve de concept pour une vulnérabilité récemment divulguée qui est activement exploitée ».
Des serveurs non corrigés toujours exposés à une nouvelle menace de ransomware
Microsoft a exhorté ses clients, le 2 mars , à installer immédiatement les correctifs en raison du risque que d’autres cybercriminels et pirates soutenus par l’État exploitent les failles dans les semaines et les mois à venir. Microsoft a émis une alerte selon laquelle les pirates utilisant une souche de ransomware connue sous le nom de DearCry ciblent désormais les serveurs Exchange non corrigés et toujours exposés aux quatre vulnérabilités exploitées par des pirates présumés du gouvernement chinois. La société a averti une nouvelle fois les clients d’Exchange, vendredi, d’appliquer ces correctifs d’urgence qu’elle a publiés pour les failles critiques.
Les cybercriminels cherchent à profiter des bugs d’Exchange. Selon Microsoft, les opérateurs de ransomware qui diffusent la souche DearCry tentent d’installer le malware après avoir compromis les serveurs Exchange.
« Nous avons détecté et bloqué une nouvelle famille de ransomware utilisée après une compromission initiale de serveurs Exchange sur site non corrigés. Microsoft protège contre cette menace connue sous le nom de Ransom:Win32/DoejoCrypt.A, et également sous le nom de DearCry », a averti Microsoft dans un tweet. Ransom:Win32/DoejoCrypt.A est le nom sous lequel l’antivirus Defender de Microsoft détectera la nouvelle menace.
Microsoft a ajouté que les clients utilisant l’antivirus Microsoft Defender qui ont recours aux mises à jour automatiques n’ont pas besoin de prendre des mesures supplémentaires après avoir appliqué les correctifs au serveur Exchange. Il faut noter que Microsoft semble traiter cet ensemble de bogues d’Exchange comme une urgence à corriger, et a fourni des mises à jour de sécurité supplémentaires pour corriger la faille dans les versions non prises en charge d’Exchange.
La semaine dernière, la CISA du ministère de la Sécurité intérieure a ordonné aux agences fédérales de corriger les failles d’Exchange ou de couper les serveurs vulnérables d’Internet. La CISA a ajouté qu’elle était « consciente que des acteurs de la menace utilisent des outils open source pour rechercher des serveurs Microsoft Exchange vulnérables, et conseille aux entités d’enquêter sur les signes de compromission à partir du 1er septembre 2020 au moins ».
Les chercheurs en sécurité indépendants derrière le compte MalwareHunterTeam sur Twitter disent avoir vu des attaques contre des entreprises au Canada, au Danemark, aux États-Unis, en Australie et en Autriche, les premières victimes ayant été observées le 9 mars – sept jours après que Microsoft a publié les correctifs et averti les clients d’Exchange de les mettre à jour immédiatement.
La CISA et Microsoft encouragent les administrateurs d’Exchange à exécuter un script que Microsoft a publié sur GitHub afin d’aider à déterminer si leurs systèmes sont compromis.
source : 01net
