Mise à jour de fausses fenêtres

J'ai entendu dire que les pirates peuvent vous faire télécharger leurs logiciels malveillants en vous disant qu'ils sont une mise à jour du système d'exploitation via Windows Update. Est-ce vrai? Si oui, comment puis-je me protéger?

Il est presque impossible pour un pirate ordinaire de vous envoyer quelque chose via le système Windows Update.

Ce que vous avez entendu est cependant différent. C'est un logiciel espion qui ressemble à Windows Update et vous dit de l'installer. Si vous cliquez ensuite sur installer, une invite UAC s'affiche et vous demande des privilèges administratifs. Si vous l'acceptez, il peut installer des logiciels espions. Notez que Windows Update ne vous obligera JAMAIS à passer un test d'élévation UAC. Cela n'est pas nécessaire car le service Windows Update s'exécute en tant que SYSTEM, qui dispose des privilèges les plus élevés. La seule invite que vous obtiendrez lors des installations de Windows Update est l'approbation d'un accord de licence.

EDIT: apporté des modifications au poste parce que le gouvernement peut être en mesure de retirer cela, mais je doute qu'en tant que citoyen normal, vous pouvez de toute façon vous protéger contre le gouvernement.

Oui c'est vrai.

Le malware Flame a attaqué l'utilisateur via une faille dans le processus de mise à jour de Windows. Ses créateurs ont trouvé une faille de sécurité dans le système de mise à jour de Windows qui leur a permis de tromper les victimes en leur faisant croire que leur patch contenant des logiciels malveillants est une authentique mise à jour de Windows.

Que pourraient faire les cibles du malware pour se défendre? Pas tant. La flamme a passé des années sans être détectée.

Cependant, Microsoft a maintenant corrigé le trou de sécurité qui permettait à Flame de se cacher en tant que mise à jour Windows. Cela signifie que les pirates doivent soit trouver une nouvelle faille de sécurité, soudoyer Microsoft pour leur donner la possibilité de signer des mises à jour, soit simplement voler la clé de signature de Microsoft.

Un attaquant doit en outre être en position dans le réseau pour exécuter une attaque d'homme au milieu.

Cela signifie que dans la pratique, ce n'est qu'un problème dont vous devez vous soucier si vous pensez à vous défendre contre les attaquants des États-nations comme la NSA.

N'utilisez que le panneau de configuration de Windows Update pour mettre à jour le logiciel Windows. Ne cliquez jamais sur un site auquel vous ne pouvez pas entièrement faire confiance.

De nombreuses réponses ont correctement indiqué qu'une faille dans le processus de mise à jour de Windows a été utilisée par le logiciel malveillant Flame, mais certains des détails importants ont été généralisés.

Cet article sur un technet de Microsoft «Blog de recherche et de défense sur la sécurité» intitulé: Attaque par collision Flame Malware expliquée

... par défaut, le certificat de l'attaquant ne fonctionnerait pas sur Windows Vista ou les versions plus récentes de Windows. Ils ont dû effectuer une attaque par collision pour forger un certificat qui serait valide pour la signature de code sur Windows Vista ou des versions plus récentes de Windows. Sur les systèmes antérieurs à Windows Vista, une attaque est possible sans collision de hachage MD5.

"MD5 Collision Attack" = magie cryptographique hautement technique - que je ne prétends certainement pas comprendre.

Lorsque Flame a été découverte et divulguée publiquement par Kaspersky le 28 mai 2012, les chercheurs ont découvert qu'elle opérait dans la nature depuis au moins mars 2010 avec la base de code en cours de développement depuis 2007. Bien que Flame ait eu plusieurs autres vecteurs d'infection, le résultat est que cette vulnérabilité existait depuis plusieurs années avant d'être découverte et corrigée.

Mais Flame était une opération de niveau "État-nation", et comme nous l'avons déjà souligné - il n'y a pas grand-chose qu'un utilisateur ordinaire puisse faire pour se protéger des agences de trois lettres.

Evilgrade

Evilgrade est un cadre modulaire qui permet à l'utilisateur de tirer parti des implémentations de mise à niveau médiocres en injectant de fausses mises à jour. Il est livré avec des fichiers binaires (agents) prédéfinis, une configuration par défaut fonctionnelle pour les pentests rapides, et possède ses propres modules WebServer et DNSServer. Facile à configurer de nouveaux paramètres et dispose d'une configuration automatique lorsque de nouveaux agents binaires sont définis.

Le projet est hébergé sur Github . C'est gratuit et open source.

Pour citer l'utilisation prévue:

Ce framework entre en jeu lorsque l'attaquant est capable de faire des redirections de nom d'hôte (manipulation du trafic DNS de la victime) ...

Traduction: potentiellement toute personne sur le même réseau (LAN) que vous ou quelqu'un qui peut manipuler votre DNS ... toujours en utilisant le nom d'utilisateur par défaut et transmettre votre routeur linksys ...?

Il dispose actuellement de 63 "modules" différents ou de mises à jour logicielles potentielles qu'il attaque, avec des noms comme itunes, vmware, virtualbox, skype, notepad ++, ccleaner, Teamviewer, etc., etc. aucune n'est pour les versions "actuelles", mais bon - qui fait quand même des mises à jour ...

Démonstration dans cette vidéo