Attaques r

1
Attaques réseauxLionel Brunie Institut
National des Sciences AppliquéesLyon, France
2
Types dattaques réseaux simples (sur échange C/S)
3
Petite cartographie (I)

• Lécoute (sniffing)
• Les chevaux de Troie ( trojans) et les bombes
  logiques
• Pour vivre heureux, vivons cachés !
• Installation (furtive) dans le système
• Evénement déclenchant. Ex vendredi 13, accès à
  un site bancaire, activation à distance
• Contrôle du système, traçage/capture de données
• Les attaques applicatives, exploits
• Trous de sécurité, erreurs de programmation,
  mauvaises configurations...
• Ex dépassement de tampon (cf. nop), violation
  de protocole
• Ex attaques applicatives (clients et serveurs
  Web notamment)
• Ex injection de code (ex injection SQL)
• Les vers
• Propagation via le réseau (messagerie, IRC)
• Utilisation de failles au niveau applicatif

4
Petite cartographie (II)

• Key loggers monitoring à distance
• Rootkits détournement de commandes systèmes
• Bots et botnets réseaux dormants
  despions/chevaux de Troie
• Attaques DNS
• Fast Flux, Double Fast Flux, Triple Fast Flux !
• Bombardement de courriels répéter un même
  message à une adresse.
• Spamming diffusion de messages à large échelle
• Adware/spyware collecte dinformations à linsu
  de lutilisateur
• Phishing simulation décrans de saisie

5
Petite cartographie (III)

• Déni de service
• Déni de service en général envoi en très grand
  nombre de requêtes autorisées en vue de saturer
  le système
• Attaque mono-source ou multi-sources (Distributed
  DoS, DDoS)
• Ex inondation de commandes SYN (SYN flooding)
• Envoi en grand nombre de paquets TCP SYN avec des
  adresses aléatoires (IP spoofing) ou à partir de
  plusieurs machines (DDoS)
• Le serveur renvoie des SYN ACK et maintient les
  connexions ouvertes (en attente des ACK) gt
  saturation si débit denvoi lt temps de
  demi-connexion
• Plus basique PING flooding
• Ex applicatif attaques de serveurs Web
• Cf. Anonymous, LOIC

6
Petite cartographie (IV)

• Un peu dhistoire ping de la mort (Ping of
  Death) (av. 1998)
• Envoi dune requête echo du protocole ICMP
• Utilisation dune taille de données supérieure à
  la capacité dun paquet IP gt fragmentation
• Lors du réassemblage des données, débordement de
  tampon interne car la taille totale du paquet est
  supérieure à la taille max autorisée par IP
  (65535 octets) gt blocage/redémarrage
• Successeur INVITE of death (protocole SIP,
  2009) pour la VoIP envoi dune requête INVITE
  mal formée gt buffer overflow gt état chaotique
  du serveur (délai, accès non autorisé, déni de
  service)

7
Petite cartographie (V)

• Historique aussi Smurf ( attaque par
  rebond )
• Utilisation dun serveur de diffusion
• Mascarade ( spoofing ) dune adresse IP
• Envoi dune commande type ping ou echo au serveur
  de diffusion avec comme adresse expéditrice
  ladresse falsifiée
• Chaque machine du réseau de diffusion envoie une
  requête réponse à ladresse falsifiée gt
  saturation de la machine

8
Petite cartographie (VI)

• Historique toujours Teardrop
• Envoi du 1er paquet dune fragmentation
• Envoi dun 2ème paquet dont le bit de décalage et
  la longueur impliquent quil est inclus dans le
  1er paquet
• Le système ne sait pas gérer cette exception et
  se bloque
• Dans le même genre, voir lattaque Land (paquets
  SYN avec source destination (machine attaquée
  répond donc à elle-même))

9
Petite cartographie (VII-1)

• Mascarade TCP/IP (TCP/IP Spoofing)
• Construction de paquets IP avec une fausse
  adresse source
• Condition identification dun client de
  confiance du serveur quon paralyse par une
  attaque type DoS identification de la méthode
  de génération du numéro de séquence (ISN numéro
  de séquence initiale (gt envoi de requêtes test))
• Le pirate répond au serveur en lieu et place du
  client de confiance
• Objectif attaques DoS ou créations de backdoors
• Condition rendre impossible lidentification de
  la véritable source
• Variantes mascarades dadresses courriel, DNS,
  NFS...

10
Spoofing dune session TCP (VII-2)
1/ Connexions TCP
5/ ACK
3/ SYN spoofing xxx.xxx.xxx.xxx en source
4/ SYN ACK
2/ DoS
xxx.xxx.xxx.xxx
From Arkoon Inc.
11
Petite cartographie (VIII)

• Man in the Middle
• Ecoute se placer entre le serveur et le client
  (entre les deux pairs) et écouter le réseau
• Substitution se placer entre le serveur et le
  client, se faire passer pour le serveur modifier
  les informations transmises par le client

12
Petite cartographie (IX)

• Attaques systèmes, 0-day, Exploit
• Exploitation des failles des systèmes
  dexploitation
• Windows loin devant !
• Patcher/Tracer/Filtrer

13
Petite cartographie (X) état des lieux

• Panoramas de la cybercriminalité (CLUSIF)
• 2002 spam, attaque DNS, WiFi
• 1/3 du courriel spam (aujourdhui 90) !
• attaque DDOS sur les serveurs racines DNS par
  ping flooding
• le cyber-terrorisme est envisageable !
• il faut sécuriser le WiFi
• 2003 cyber-criminalité virus, spam, phishing
• SOBIG, BUGBEAR, NIMAIL ciblent échanges
  banquaire
• apparition du phishing
• recherche de gain, cyber-mafia
• 2004 professionnalisation, botnets
• virus (dont JPEG)
• robots et botnets
• 2005 professionnalisation, botnets, rootkits
• keylogger matériel
• kernel/application rootkits

14
(No Transcript)
15
(No Transcript)
16
Petite cartographie (XI) état des lieux

• Panoramas de la cybercriminalité (CLUSIF) (suite)
• 2006 attaques 0-day 50 0-day pour MS-Windows,
  5700 avis sur la base Secunia pour Unix (489
  Apple), temps moyen sans protection 22 jours
  émergence dun marché des attaques (20-30 k)
• 2007 mondes virtuels, botnets, réseaux mafieux,
  cyber-guerre
• argent virtuel argent !
• MPACK et P2P botnets
• fast flux, double fast-flux
• réseaux mafieux RBN
• premiers exemples de cyber-guerre Estonie
• 2008 routage DNS, attaques matérielles
• cold boot
• routage BGP
• 2009 ANSSI, vie privée et réseaux sociaux,
  piratage DAB

17
(No Transcript)
18
(No Transcript)
19
(No Transcript)
20
(No Transcript)
21
(No Transcript)
22
(No Transcript)
23
(No Transcript)
24
(No Transcript)
25
Petite cartographie (XII) état des lieux

• Panoramas de la cybercriminalité (CLUSIF) (suite)
• 2010 Stuxnet, hacktivisme, botnets portables
• Stuxnet piratage SCADA, cyber-guerre
• hacktivisme
• botnets de téléphones mobiles !
• 2011 fuite dinformation, argent virtuel,
  botnets mobiles, faille des AC, vie privée,
  cyber-armées, SCADA
• fuite dinformation
• Carrier IQ, HTCLogger vous êtes surveillés ou
  espionnés ?
• bitcoin
• attaques téléphones portables
• faille des AC (attaque de DigiNotar par un hacker
  iranien)
• cyber-armées
• attaques des systèmes SCADA

26
Petite cartographie (XIII) état des lieux

• Panoramas de la cybercriminalité (CLUSIF) (suite)
• 2012
• attaque stimulateur cardiaque !
• SCADA, SCADA, SCADA !
• le droit des conflits armés sapplique à la
  cyber-guerre, écoles de cyber-guerre,
  recrutements de soldats-hackers
• cyber-surveillance
• attaques ciblées (NASA, 13 fois Verisign)
• contre-attaques statistiques
• Objectifs variés sabotage industriel (Stuxnet),
  destruction de systèmes (Shamoon), vol
  dinformations classifiées/bancaire/industrielles
  (Flame, Gauss, Duqu), surveillance
• marché du hack (html injection, 60), marché du
  DDoS (1h 5, 1 mois 900), Hack-as-a-Service,
  plates-formes dexploits
• attaques smartphones
• Ransonwware

27
Petite cartographie (XIV) état des lieux

• Panoramas de la cybercriminalité (CLUSIF) (suite)
• 2013
• PRiSM
• waterholing
• attaques destructives définitives (sabotage) ou
  temporaires (demande de rançon)
• attaques métier (DAB) (réseau Target 110
  millions comptes touchés)
• ransomware
• coût cyber-attaques 300 Mds
• bitcoin

28
Petite cartographie (XV) état des lieux

• Autres liens intéressants
• Zeustracker et Spyeyetracker
•  carte dépidémie 
• carte CUSCO des menaces
• RIPE Network Coordination Centre
• MAcAfee Threats Prediction attaques mobile,
  rootkits, APT, Citadel, html5, botnets,
  crimeware, hacktivisme (2012 SCADA/industries,
  embarqué, hacktivisme, monnaie virtuelle,
  cyber-guerre, mobile (et banque sur mobile),
  certificats, DNSSEC, Windows 8,  ransomware 

29
Conclusion

• Pas tant de finesse que ça un monde de
  brutes...
• Pas si difficile de parer la plupart des attaques
• Difficile de parer les attaques (réalisée avec
  complicité de) de lintérieur (ainsi que les APT)
• Plasticité /Adaptabilité des attaques et
  nouveaux enjeux
• Une industrie sest créée
• Nouvelle composante stratégique
• Equilibre ouverture/sécurité