SECURITE - L'AFFAIRE SCOB

[scott]

Affaire Scob: le CERT américain critique les vulnérabilités d'Internet Explorer

Par Robert Lemos et Paul Festa

CNET News.com

>> La récente attaque du programme troyen Scob est une des raisons qui

poussent les experts à préconiser l'usage d'un navigateur autre que celui

intégré par défaut dans Windows.

Le centre d'alerte officiel du gouvernement américain en fait partie.

SAN FRANCISCO – La faille de sécurité du logiciel Internet Explorer (IE) de

Microsoft, exploitée la semaine dernière par l'attaque du virus troyen

Scob, est une aubaine pour les navigateurs concurrents, tels que Mozilla et

Opera.

Les internautes qui les utilisent n’ont en effet pas compté parmi les

victimes.

Cette nouvelle attaque a semble-t-il été mise en échec, puisque le serveur

utilisé par les pirates a été désactivé.

Ils corrompaient des sites web pour les faire pointer vers ce serveur basé

en Russie.

Les internautes qui surfaient sur ces sites piratés recevaient un cadeau

empoisonné: la machine russe leur installait un cheval de Troie connu sous

les noms de Scob, JS.Scob.Trojan, Download.Ject ou encore JS.Toofeer.

De type keylogger, il enregistre tout ce que l’utilisateur tape sur son

clavier, et ouvre ensuite une porte dérobée sur son système.

Pour ne pas être victime de ce genre d’attaque, qui vise à récolter des

données confidentielles, des experts en sécurité préconisent deux mesures

d’urgence: «désactiver JavaScript dans Internet Explorer ou installer un

autre navigateur», indique notamment Johannes Ullrich, directeur

technologique du site de surveillance Internet Storm Center.

Car l’une des failles exploitées par les pirates n'a pas encore été corrigée

par Microsoft.

«J’espère que Microsoft fournira rapidement un patch», ajoute l'expert.

En attendant, la seconde solution plus radicale a les faveurs de l'US-CERT

(U.S. Computer Emergency Readiness Team), organisme chargé aux

États-Unis de la défense contre les menaces informatiques en provenance

de l'internet.

«Les technologies liées [au navigateur IE] comportent de nombreuses

vulnérabilités de taille», indique-t-il dans son bulletin de sécurité du 25

juin, dans lequel il dresse six conseils de base dont le dernier est le

suivant: «On peut limiter les risques d’exposition à ces vulnérabilités en

utilisant un autre navigateur, surtout lorsque l’on surfe sur des sites à la

fiabilité douteuse.»

Optimiser les paramètres de sécurité d'IE réduit les risques

Le bulletin ajoute qu’Internet Explorer a connu de nombreux problèmes de

sécurité au niveau de ses composants centraux, notamment les scripts

Active X, une technologie propriétaire de Microsoft.

La sécurité peut toutefois être améliorée en désactivant certaines

fonctionnalités d’IE, indique le CERT américain.

«Utiliser un navigateur tiers est une possibilité parmi d’autres», explique

Art Manion, analyste spécialiste de la sécurité de l'internet au centre de

coordination du CERT (CERT-CC), qui coordonne les différents organismes

de cette nature, dont l'US-CERT.

«Nous ne conseillons pas tel ou tel logiciel.

D’un autre côté, il serait naïf de dire que cela ne doit pas entrer en ligne

de compte dans votre stratégie de sécurité.»

Mais opter pour un concurrent d’IE ne suffit pas si l’on continue d’utiliser

Windows, note le CERT.

Les internautes courent toujours un risque car le code de l’OS est très

fortement imbriqué dans celui du navigateur de Microsoft.

Pour conserver Windows sans IE, Chris Hofmann, directeur de l’ingénierie

à la Mozilla Foundation, qui édite le navigateur concurrent Mozilla,

recommande d’augmenter le niveau de sécurité par défaut de Windows XP

dans les options internet.

Paramétrées par défaut sur "sécurité moyenne", Hofmann préconise de les

régler sur "haute sécurité".

Cela aurait suffi pour se prémunir de programmes troyens de type Scob,

indique-t-il.

Ensuite, mieux vaut ne plus créer de sites basés sur ActiveX, lance-t-il à

l’adresse des développeurs.

Les sites de jeux et de téléchargement de photos sont montrés du doigt.

«Nous invitons le public à ne plus utiliser ces technologies propriétaires

qui sont sujettes à des failles de sécurité», indique-t-il.

«C’est ActiveX qui a été le plus touché, et, à la lumière des dernières

attaques, on constate qu’exposer les utilisateurs et fournir cette

technologie présente vraiment des risques.

Les sites doivent réfléchir à ce qu’ils font pour protéger les internautes.»

scott