War-nibbling 2007

Nous vous avions présenté, il y a un an, les résultats d’une enquête dans le cadre d’un article consacré à la technologie Bluetooth. Nous poursuivons ce thème avec la publication des résultats d’une autre enquête réalisée au début de l’année 2007 par Consantin Sapronov, l’un des experts du laboratoire Kaspersky Lab basé à Moscou.

Vous vous souvenez de votre premier téléphone portable ? En ce qui me concerne, mon premier téléphone portable a déjà sept ans et il fonctionne toujours. Bien entendu, il ne peut pas prendre de photos, son écran n’est pas en couleur et il n’est pas doté de la technologie sans fil Bluetooth.

Il est très difficile désormais d’acheter ce genre de téléphone. La technologie Bluetooth est intégrée aux modèles les plus élémentaires proposés par la majorité des fabricants. La situation est identique au niveau des ordinateurs portables. Il est tout à fait normal de nos jours d’avoir un ordinateur portable avec Bluetooth. La technologie Bluetooth est présente dans les chaînes haute-fidélité, dans les appareils électroménagers et même dans les voitures.

Le principal avantage de la technologie Bluetooth se situe au niveau de la simplicité de son utilisation, de son prix bon marché. Mais comme cela se produit souvent lors de la mise au point de nouvelles technologies, la problématique de la sécurité n’a pas été traitée comme il le fallait.

En 2007, la sécurité des appareils portables reste un problème d’actualité. Les programmes malveillants qui se propagent via Bluetooth ne sont pas des cas exceptionnels. Les célèbres vers comme Cabir, Lasco et Comwar développés pour les appareils nomades tournant sous Symbian se propagent via Bluetooth. Selon les données fournies par l’opérateur russe de téléphonie mobile Beeline. Le nombre annuel de messages MMS transmis via le réseau mobile s’élève à 43 204 473 dont 264 474 sont des messages infectés. Le virus Comwar cité ci-dessus, et toutes ses modifications, était présent dans 261 121 messages.

Etant donné que les utilisateurs d’appareils nomades ont tendance à se déplacer, la vitesse de propagation des programmes malveillants via Bluetooth est assez élevée bien que le rayon d’action de Bluetooth demeure réduit. La seule restriction est imposée par le fait que l’infection est uniquement possible entre des modèles identiques.

S’agissant des ordinateurs personnels, la question de la sécurité de la technologie Bluetooth se pose également : le ver de concept Worm.OSX.Inqtana pour Mac OS X se propage aussi via Bluetooth.
Nous avons abordé la technologie Bluetooth ainsi que les menaces et les types d’attaque envisageables contre les appareils équipés de Bluetooth dans un article publié il y a un an :

Nous en avions profité pour présenter les conclusions d’une petite enquête réalisée sur Bluetooth.

Afin de voir si les utilisateurs d’appareils nomades ont adopté depuis lors une attitude plus sérieuse face à la problématique de la sécurité des appareils dotés de Bluetooth, nous avons décidé de reproduire l’enquête de l’année dernière.

Préparatifs du matériel de l’enquête

Avant de « partir à la chasse », il a fallu préparer le matériel. L’année dernière, j’avais utilisé en guise d’appareil de balayage mon ancien ordinateur portable Sony Vaio fxa 53 tournant sous Linux SuSE 10.0 OSS avec un adaptateur Bluetooth PCMCIA et btscannner 2.1. Malheureusement, la batterie a rendu l’âme et cet ordinateur n’a plus qu’une autonomie de dix minutes environ lorsqu’il n’est pas branché sur le secteur. Cette autonomie fortement réduite ne permet pas de balayer le nombre indispensable d’appareils Bluetooth pour l’analyse. Il a donc fallu remplacer l’instrument utilisé pour le balayage (mais sans aucune conséquence sur les résultats).

Cette fois-ci, j’ai utilisé un ordinateur de poche avec Linux. Après avoir envisagé diverses distributions de Linux, j’ai décidé d’installer pdaxrom sur mon Zaurus 3200. Je dois dire qu’il s’agit simplement d’une préférence et que d’autres distributions auraient pu être installées. J’ai perdu pas mal de temps pour connecter l’adaptateur Bluetooth USB. Etant donné que l’entrée USB du Zaurus diffère quelque peu de ce qui se fait d’habitude, l’utilisation de l’adaptateur Bluetooth requiert un connecteur.

Le composant principal de l’ensemble demeure le programme chargé de balayer les appareils Bluetooth. J’ai utilisé cette fois-ci également btscanner 2.1.
Le dispositif de balayage Bluetooth permet d’identifier uniquement les appareils qui peuvent être vus, c.-à-d. les appareils qui fonctionnent en mode détectable. Il est possible également de balayer les appareils qui ne sont pas détectables, mais cela implique l’utilisation d’autres méthodes et d’un logiciel différent.

Il a fallu compter avec les difficultés liées au fait que la version de btscanner qui accompagne la distribution 1.0 ne permet pas d’enregistrer les résultats du balayage, ce qui ne convient pas pour réaliser une étude. J’ai donc du adapter le plan et me procurer la nouvelle version. Cette nouvelle version se compile sans problèmes mais plusieurs erreurs se produisent lors de la liaison. La première erreur fut rectifiée en ajoutant la bibliothèque sdp (Service discovery protocol) manquante dans Makefile. La deuxième erreur fut un peu plus compliquée à résoudre : vu que de nouvelles fonctions qui utilisaient btscanner 2.1 étaient apparues, il a fallu obtenir une version plus récente des bibliothèques Bluetooth.

Une fois tous ces problèmes résolus, j’ai pu me « mettre en route ». J’ai essayé de reproduire, dans la mesure du possible, les conditions dans lesquelles j’avais réalisé l’étude l’année dernière. J’ai choisi le même emplacement, à savoir un des plus grands centres commerciaux de Moscou. L’heure à laquelle le balayage a été réalisé correspondait également à l’heure de l’année dernière.

Résultats

Tous les efforts fournis pour préparer le nouvel outil ont été vite oubliés face à la facilité d’utilisation : j’avais un appareil nomade que je pouvais mettre en poche, ce qui me permit de me consacrer à d’autres activités qui n’avaient rien à voir avec l’enquête. Après quelques heures, la base de données contenait déjà des informations sur plus de 200 appareils. J’ai répété le scénario le lendemain. Mes deux journées de « chasse » m’ont permis d’obtenir une base de données contenant des informations sur environ 500 appareils.

Il fallait maintenant traiter les données recueillies. Etant donné que les données étaient reprises dans de simples fichiers texte, l’utilisation de la commande shell suffit pour le traitement.

Au total, j’ai identifié des appareils nomades de 32 fabricants différents. Malheureusement, la majorité des appareils n’a pas pu être identifiée, ce qui a constitué une petite déception. Il a fallu fournir des efforts supplémentaires pour identifier ces appareils. Le fichier http://standards.ieee.org/regauth/oui/oui.txt a permis d’identifier les appareils de type « unknown ».

Le fait est que chaque appareil Bluetooth possède un identificateur unique sous la forme d’une adresse BT_ADDR de 6 octets qui ressemble à une adresse MAC au format MM:MM:MM:XX:XX:XX. Les trois premiers octets indiqués par M contiennent les informations relatives au fabricant de la micropuce tandis que les trois octets suivants représentés par X fournissent des informations sur le modèle de l’appareil. L’analyse de l’identificateur unique permet d’identifier facilement le fabricant. Malheureusement, les choses ne sont pas aussi simples pour les trois derniers octets X et il est impossible d’identifier le modèle avec précision.

Dans la mesure où de nombreux fabricants n’ont été identifiés qu’à quelques reprises, ils ont été regroupés au sein de la catégorie « other ». Ce groupe contient les appareils qui ont été relevés 4 fois ou moins.

Je rappelle que, comme l’année dernière, le piège a capturé uniquement les appareils Bluetooth qui étaient en mode détectable (c’est la raison pour laquelle les appareils Motorola dont le mode détectable est activé pendant une durée limitée sont pratiquement absents de nos statistiques). Le mode détectable activé permet de trouver les appareils et d’en faire des cibles pour les individus mal intentionnés. Il est bien entendu possible de voir également les appareils dont le mode détectable est désactivé, mais uniquement via un changement de réglage qui demande beaucoup de temps.


Illustration1 Répartition des appareils nomades par fabricant
Source Kaspersky Lab 2007

Si nous comparons ces résultats à ceux de l’année dernière, nous remarquons deux choses. Tout d’abord, Nokia reste le leader. Samsung a décroché la deuxième place et relégué Sony Ericsson en troisième position. Il est intéressant de voir que les appareils reprennent également des accessoires Bluetooth, notamment des accessoires pour voiture, se tasse et que le nombre d’ordinateurs de poche et d’ordinateurs portables a également augmenté.

S’agissant de la sécurité, nous pouvons prendre comme indicateur le nombre d’appareils contenant la vulnérabilité Snarf.Snarf est peut-être l’attaque Bluetooth la plus célèbre. Ce type d’attaque permet à l’agresseur d’obtenir à distance un fichier de l’appareil attaqué : lorsque l’attaque a réussi, l’individu mal intentionné a accès à l’annuaire, aux notes, aux photos et à n’importe quel autre fichier sur le téléphone de la victime.

Le nombre d’appareils présentant la vulnérabilité Snarf est nettement inférieur en 2007, aussi bien en termes de pourcentage que d’unités, qu’en 2006 : alors que ces appareils représentaient 25% (48) de l’ensemble des appareils balayés, ils ne sont plus que 4% (21).

Le recul du pourcentage d’appareils touchés par Snarf peut s’expliquer en partie par le fait que les fabricants diffusent de nouvelles applications qui ne présentent pas ce problème ou qui n’ont pas été identifiées. Comme par le passé, nous voyons que les appareils les plus populaires sont les plus exposés.
Il semblerait que les utilisateurs se soucient peu des questions de sécurité. Ils continuent à laisser le mode Bluetooth activé. Autrement dit, les appareils sont toujours détectables, ce qui facilite leur identification par un individu mal intentionné.

Conclusions

  1. La popularité de la technologie Bluetooth ne cesse d’augmenter : le nombre d’utilisateurs de Bluetooth et le nombre de modèles et de types d’appareils compatibles avec la technologie Bluetooth a augmenté en un an.
  2. Le problème de la sécurité des appareils nomades qui exploitent la technologie Bluetooth demeure. Les individus mal intentionnés suivent de très près la popularité croissante de cette technologie : les programmes malveillants se propagent via Bluetooth en exploitant les vulnérabilités. Les individus mal intentionnés ont ainsi accès aux informations de l’utilisateur sur son appareil nomade et peuvent bloquer le fonctionnement de l’appareil.
  3. Les appareils les plus répandus sont les plus exposés aux vulnérabilités.
  4. Sur la base des résultats obtenus, on remarque que les fabricants accordent plus d’attention aux questions de sécurité.
  5. Le nombre croissant d’appareils balayés permet d’affirmer que les utilisateurs ne se soucient pas beaucoup de la sécurité et ne modifient pas la configuration initiale de leurs appareils même si le mode détectable et le code PIN par défaut ne garantissent pas vraiment la sécurité de l’appareil mobile.

Du point de vue de l’utilisation de Bluetooth, les recommandations que nous pouvons donner afin de renforcer la sécurité des appareils mobiles, outre l’utilisation d’un logiciel antivirus, consistent à désactiver le mode détectable et à activer l’authentification à l’aide d’un code PIN.

Posts similaires

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *