Le blog sécurité de Philippe Vialle / Phil Vialle's blog

b1ng.com

bang.com? bung.com?

bing.ws

bing.info

bing.org = > redirection

bing.cc

Conclusion, il n'est pas simple de réellement protéger un nom de domaine contre le parasitisme de nom de domaine (cyber/typo suatting).

 L'exemple, réel, m'a tellement plu que je n'ai pas pu m'empêcher de le publier :) (oui, ça faisait un moment que je n'avais pas publié, je sais...).

Tout commence par une mise en relation, via Internet... ami d'ami, sites d'événementiel, etc Bref, tout commence bien.

C'est alors qu'une demoiselle (je pense ! ) vous approche. Très vite, elle vous demande votre adresse MSN. Pourquoi pas. Bon, je passerai sur le niveau en Français, catastrophique pour ne pas dire honteux. Tellement que cela en deviendrait suspect...   Juste un petit exemple :

le chapeau je t'envoierais çela en france sa serrais un cadeau pour toi

La demoiselle donc pose des questions, et monte son scénario. Elle indique être actuellement en Afrique, pour "raisons personnelles", temporaires... et plus précisément en Côte d'Ivoire. Pour ceux qui traînent un peu dans la veille sécurité, le "tilt" du Scam 419 pourrait ne pas être loin, mais bon passons (pour le moment).

Bref, la demoiselle indique ne pas avoir de sous, mais par contre souhaiterait... qu'on lui paye le billet (aller-simple, mais bien sûr) pour Paris...! là ça commence à devenir louche.

Commençons donc les vérifications.

Déjà, petit rappel, MSN étant une forme de P2P, il est facile de renifler le trafic (avec Wireshark ou autre), et trouver l'IP de la personne avec qui l'on cause (hé oui, désolé si un mythe s'effondre...).

on voit bien du trafic MSN, pur, avec le serveur (l'IP appartenant à MSFT), et le trafic MSN qui l'encadre. Voici donc l'IP de la fameuse personne : 213.136.125.178

Bon, un petit tour sur RIPE pour voir ?

https://apps.db.ripe.net/search/query.html?searchtext=213.136.125.178&search%3AdoSearch=Search#resultsAnchor

Localisation : Côté d'Ivoire, ça semblerait cohérent...

Mais ce n'était qu'une première étape. Que disent nos chers moteurs de recherche ? oups....

Déjà, le même pseudo est pris, sur d'autres sites : http://www.jecontacte.com/profil/Florencebonheur  dont le thème est clairement affiché... (non, je ne me mettrai pas de capture d'écran :[ ) pas franchement discret de prendre le même pseudo entre sites différents. D'autant plus que Google, lui, indexe tout, et a de la mémoire !

Pour confirmer le tout, en 10 min à peine de parlotte, la "damoiselle" se laisse convaincre d'envoyer un email avec une "photo d'elle" (puisqu'elle tient absolument à faire une conversation vidéo... alors qu'elle n'a pas de webcam, elle...)

Bingo, merci les entêtes de messages dans tout bon client de messagerie standard. L'IP émettrice  est:

Qu'en dit-on sur le Net ? le couperet tombe assez vite : 

 https://apps.db.ripe.net/search/query.html?searchtext=213.136.125.178&search%3AdoSearch=Search#resultsAnchor

Un scam 419, dont l'IP émettrice est la même... et qui date de juin 2012... la coïncidence est troublante, non ?

Et encore un signalement, parmi d'autres :

http://www.projecthoneypot.org/ip_213.136.125.178

NB : Pas de commentaire sur la pub à gauche, je n'y suis pour rien :(

Bref, continuons !

J'avais oublié : mais qu'elle a l'air jolie la "damoiselle" en photo ! Voyons cela d'un peu plus près....

Déjà, sa photo MSN... utilisons une petite banque de données d'images !

 Hum... bon voyons maintenant les autres photos qu'elle envoie (très facilement) via MSN :

  Bon, je crois que tout est clair.

La photo est en plus utilisée sur plusieurs sites, encore moins discret (et malin).

De même, grâce à Google cette fois-ci, dans sa fonction de recherche par image, je suis tombé sur :

https://www.google.com/search?tbs=sbi:AMhZZiseBWnNUan0Bu33pd9jnJl89jrg0VmCdRgBftuz42b_1D_153Mw6naW9jnRqOxvvywJGI3e309JjfmqZA9tbQzDOp34vorFDy9jdfQyUWhSC9S9F9jvYG44WexqcFZ-uNci9gUAF0aekjoVMJfqoXiTC7cW0o-51EMdZABw3OJBmDPkTcDhealO6nx5W9QJNJz36iK7wzxnKoC3lifk72fSg5fK0wOVzi37_1fyyvlpkl-u0FvcQs29-1HPFImZSf7PDkM41Ya3FME_1NTKuuND0lIx8DhdOGe6Dh5nKqP0OKw6WHST5hvOO25u0OsOcd6uRUBv8Q2hYpIqRl-Dj2Rild3Iyy7zdmMUb5_1esOXssT6qwUf5gibiBDRa-KOoWRwCyK0M5sjLaxreoyit-B9TGeMBnupaQEmphLf02zHAmr-NHj8qVyVCDTlnZblWQdakDIAa2Y6FWKQrfAyCUHJahTZFwLTnO-CBBu0sOLE6fGSKsJ4LXcGcU8MNT50V950YjnFUr0sd8OaNxFRwC0l1hLFyKEluetDbX9Qg1z_1ylGiVUc2evMNyPB3Lc5v7o0SzZqQIkebznZ1B5NnPItxw4-rM6Qtazmjh3m6XG-EkdPsmtQOf89EuzT1fQx_1Q_1HNOf5-9fKZO3cHsdg9UDK-8bmfmFv14el6FhL4pwlO6L9sznKRwagrR59GZQH7BgfDO8T80AM9Ipxqa4aurpPFi1SzPVbXcN5_1w_1sURkwOP6WNjmIj6kc75sS85m0-hKHFz5UM4ztyt9ukdlfnR_127mIUQfsVx0EedHN10xbVMURNU3q81poniLgoDLCn_1AH2tznrKo7mbFXTl-RJJNmTBkqO6R31izNfWcNwxKScWCCKws09YYhP1lMiaxctWUbKAZU6L7I9k67vgfdw5qNjL5PkWw4_1klCtU8-uurt95uGcwysPV3_1VgGPED15Fyl1A_1eJVeh5Py1YsqsR5Kh2Ow_1g5eA6OA17w6IoJySnpUvhdF_1JMGlcKuNMHlFqEUu5jeeC_1G-rnsCVak_1HvaZ4JBJLI1s099wzbxpCIkLfRc0QCEfGzivyRJ_1L3NWuhGXbPjs-Ecr0WIwhVjmUV3N6smFDZ0NoDCgZpgJXXpr1HbEiR7nVtQFyr5OFYTDLfBR0HZo9B1b4vxWUKJAaI3w8vsnP64aq9rW4jxMiuXbpfvuF-bimidUVwysdsDmH-rRA7D6lVnB8bKfYQZgKTkR6gB3A5fIZy_1gUiCjlPgqTBzh5Cjy80MUtVEmER1ufIOubcxXj_1rv6HzkzkI1hgmLm996cUJ7gtH4po52dJcKQt0Mjhd1sfgH3HOcQQJDqSi8pffy8d8PlGfM&num=10&hl=en&bih=934&biw=1680

Petit échantillon de résultats:

http://www.romancescam.com/forum/viewtopic.php?p=5708

Bref, le phénomène ne serait pas nouveau (et j'ai même de nouvelles photos en prime :( ).

Qu'oubliais-je... ha oui, le fin du fin. Avec le même site (TinEye), et une autre photo, je suis remonté à... ça : http://gallerydbase.com/mm/mm-lakergame/pichunter.html

Et là, je n'ose même pas mettre de capture d'écran ! On notera au passage qu'il ne s'agit vraisemblablement pas de la même personne...

 Bref, internautes, vous voilà prévenus.

Plus sérieusement :

- encore une raison de réfléchir au contrôle de l'accès aux réseaux sociaux en entreprise

- encore une raison de pousser des campagnes de sensibilisation

- encore une raison de contribuer à la sécurité globale en signalant ce qui est suspect !

Mise à jour, 17/07/12:

Merci à la PLCC d'avoir bien voulu prendre en compte mon signalement.

The mobile malware (are we gonna call it mobalware someday?) fashion seems to copy the regular malware one... maybe somewhat a little bit faster.

Anyway, I was keen on an app aiming to improve standard Android  SMS reader/writer. The app is called ChompSMS. There is a free version, and a paid version. I'm going to talk here about the free one.

One day, recently, I noticed the add being displayed while browsing the SMS had changed.

 Here are a few examples of the banners I find interesting:

See the banner right in the bottom of the screen?

So, if I click on it, the real part begins.

Obviously, I will not have the choice here... only the orange button ("next"). This is what I'm here for: let's click on it!

The displayed instructions are worth reading :)  everything is done to convince the user to download, install, and activate whatever is gonna be downloaded... and by the way, they also recommend to enable "unknown sources" of software...!

What about the antivirus? well, not bad on that one.

Webroot will indeed detect and alert:

And DrWeb will do the same:

Note that even the file name is thoroughly defined: "battery_upgrade--tap_to_start", even with a reminder : "tap to start"!

Now, where does this come from?

Let's watch the network traffic that ChompSMS generates just after having opened/launched:

 Bingo, here is the real and complete ad URL:

http://www.mmnetwork.mobi/s.php?sig=5942e84d7db11dc54eda6157a3c2bc7a&adid=480&banner=320_50&cid=89&advid=846&e=c8&d=92888&f=m&ua=Mozilla%2F5.0+%28Linux%3B+U%3B+Android+2.3.3%3B+fr-fr%3B+GT-I9100+Build%2FGINGERBREAD%29+AppleWebKit%2F533.1+%28KHTML%2C+like+Gecko%29+Version%2F4.0+Mobile+Safari%2F533.1

It will return the exact banner we have seen at the bottom of the ChompSMS screen just above.

But having a look at the URL reveals something else:

- OS version, generic:  value here is "linux" 

- OS version, detailed: Android 2.3.3

- local language: fr-fr

- build version: Gingerbread

- browser rendering engine: AppleWebkit, 533.1?

- browser compatibility: KHTML like Gecko version 4.0

- browser internal name: Mobile Safari,  533.1?

All I can say so far, except that this is a real fingerprint of the device, is this will allow the ad (and the scareware) to target devices configurations, and be more efficient.

Same thing for this other URL:

http://ads.mojiva.com/ad?site=14717&ua=Mozilla%2F5.0+%28Linux%3B+U%3B+Android+2.3.3%3B+fr-fr%3B+GT-I9100+Build%2FGINGERBREAD%29+AppleWebKit%2F533.1+%28KHTML%2C+like+Gecko%29+Version%2F4.0+Mobile+Safari%2F533.1&ip=82.237.173.18&count=1&key=1&zone=19352&url=&premium=1&over_18=0&&udid=848053C87A05BDEB3EE36C8919CD4CD1&type=6  

Then when we click the ad system will display a first picture, as an ad:

http://admarvel.s3.amazonaws.com/ads/c46767/13307072869253_UNL_st2_480x600_FR_everything.gif

And even a second one!

http://admarvel.s3.amazonaws.com/ads/c48174/13317172538745_LYRICPLAY_FR_480X600.gif

Then the ad system will do something I guess to be a "call home":

http://107.22.117.140/fam/ck.php?p=__pid=ef8a30b841b36346__sid=14488__bid=352249__cb=0654201044__h=1333491475__uid=292b5557482687e4__s=7789be62e6c35a07fe085f54d7d9fe26

http://107.22.117.140/fam/view.php?p=__pid=ef8a30b841b36346__sid=14488__bid=352249__cb=c32f363568__h=1333491475__uid=292b5557482687e4__s=782405e716ee038035c5457a2cb05672

http://adserver.adtechus.com/addyn/3.0/5326.1/2335977/0/0/ADTECH;noperf=1;loc=100;ip=82.237.173.18;key=Samsung_Galaxy+S2;kvip=82.237.173.18;kvcarrier=;misc=1333492265028;target=_self;kvmedition=$edition;kvos=Android;sub1=99f50d6b93f7d3f36b56c4d082a57a135d92caf8;sub2=8ADD4216FF9A40854591929EB3BC02CC081EA2FE;sub3=6568cf499469dbc79707fba422cfd36f;sub4=848053C87A05BDEB3EE36C8919CD4CD1;
 

I can even see here the mobile IP address, and the model (Galaxy S2! 

Last, but not least, the download will start:

Url: https://s3.amazonaws.com/battery.supercharge/downloads/m--france--2012-03-28.a-en-9.apk?AWSAccessKeyId=AKIAIADYPOKA37DVGHGQ&Expires=1649026622&response-content-disposition=attachment;%20filename=Battery_Upgrade--Tap_to_Start.apk&response-content-type=application/vnd.android.package-archive&Signature=TZCWnCk5wbn%2BeoL1WCkcqfky3pw%3D FileName: /mnt/sdcard/.downloadTemp/Battery_Upgrade--Tap_to_Start.apk  

About the file?

VirusTotal says 7 AV our of 42 detect it...

SHA1: afdf9c78e0e1bc41192664ba3040908c18d72a3a
MD5: 1e67b070accd8d71024f240504b59140
File size: 529.3 KB ( 541956 bytes )
File name: Battery_Upgrade--Tap_to_Start.apk
File type: Android
Detection ratio: 7 / 42
Analysis date: 2012-04-03 23:28:47 UTC ( 3 minutes ago )

https://www.virustotal.com/file/6e129566f5139532c18779ae96c4f228a15d27032081d46f486ae029c4d6dce7/analysis/1333495727/

 More to come... 

Un antivirus est censé protéger contre un maximum de menaces, oui... surtout dans le nuage, avec toutes les problématiques de cela pose.

Hé bien là, non, dans le nuage, la protection ne joue pas...

Trève de plaisanterie... je me demande par contre comment est estimé le nombre de menaces contre lesquelles la solution antivirale protège, avec la problématique des détections heuristiques/génériques/etc.

An old-fashion IM bot, but this time over GTalk...

Here is the chat: