On est dans la merde...

Bon je vais devancer les medias Francais pour annoncer ici meme la catastrophe du jour, bouleversement mondial dans l'equilibre ordinateurial, et probablement source de futures multiples interrogations sur le devenir la securite informaticienne galactique, et nul doute de compromissions franchissant toutes les barrieres.

Bon voila, la Chine vient de s'offrir 3Com pour 2 milliards de $ (cash).

C'est grave. Tres grave. Deja chez moi j'ai un routeur/firewall/wifi 3com, et maintenant j'ai peur de le mettre a jour car son firmware sera probablement backdoore par l'armee Chinoise pour me voler mes informations. Moins egoistement, je suppute qu'il y a aussi des 3coms dans l'administration Francaise, petits ou moyen routeurs, IPS/IDS Tipping Point ou autre. Ouhlala, je percois d'ici les migraines des sysadmins charges de ca, parce que si on laisse ca en place ca va en franchir des barrieres... Ca va meme gagner le 110m haies haut la main.

Autre aspect cocace, la branche ZDI finit donc chez ces memes messieurs. Leur chiee de nohdayz, les soumissions des contributeurs, etc. Ca en fait de l'information. Ca sent encore le franchissement de barriere. Pauvre Pedram qui se retrouve a bosser pour l'armee Chinoise, ca en serait presque scandaleux.

La je suis en train d'essayer de reprimer un rire nerveux, quand je pense a toutes ces pseudo-cogitations sur le sujet, les articles, les reactions des gens bien pensants a responsibilites.
J'attends avec impatience la reaction du SGDN sur le sujet (ou son absence).

Changement de sujet.

Si ce blog s'appelle Expert:Miami, c'est 1) parce que j'aime beaucoup CSI (Miami specialement avant qu'Horacio me se transforme en super heros, maintenant c'est Vegas et NY mes favoris) 2) parceque j'habite South Beach depuis bientot un an maintenant.

Donc la bonne nouvelle c'est que cette semaine, les 3 CSI on recommence aux US. J'ai pu aussi voir les premiers episodes de Reaper, Bionic Woman, Journeyman, je vais tenter d'ecrire quelque chose dessus.

Deception (enfin pas totale)

Voila c'est fait.

Passe le generique de debut, le petit discours sur les images de la precedente saison et la melodie hummee enivrante si representative de la serie, l'episode est vide. Ca redemarre de la meme facon que cela s'est termine et c'est bien dommage. Quelques Heroes supplementaires, des vieux heroes qui auraient besoin d'une psychotherapie, de nouveaux complots qui sentent le rechauffe. Bof bof.

Et oui, il est vivant, mega surprise hein?
Ah merde il a perdu la memoire... Epic Lulz

Sur ce, Chuck, Journeyman, nouveau CSI: Miami, nouvelle saison de Cold Case (Lilly je t'aime!), Simpsons, j'ai du boulot - je serai couche avant d'avoir tout depile... Demain soir sur NBC, on recycle du vieux avec la reincarnation de Jaime Sommers dans le pilote de Bionic Woman. Autre trailer que j'ai pu voir au cinema sur une serie: Cane avec Jimmy Smits qui nous fait vivre le quotidien d'une famille sud americaine (cartel?), magnas de la canne a sucre (oui du rhum aussi). Ah oui ya des publicites pour les nouveaux South Park aussi.

Note pour plus tard: ecrire quelque chose sur Cold Case.

Update: Alors Chuck c'est marrant. Comme prevu ca ne casse pas la baraque, mais j'ai bien aime. Les americanophiles identifieront le "Buy More" comme etant "Best Buy" et le "Nerd Herd" comme le "Geek Squad" (avec des petites references supplementaires), puis on va eviter de s'attarder sur l'aspect securite informatique pourtant omnipresent ("DoS overwrite"?), pour apprecier cela pour ce que c'est, un moment de detente. Un pseudo-looser devenant le centre d'interet, une espionne ma foi fort agreable a regarder, des agences de renseignement sur le qui-vive, ca ne brille pas d'originalite :)

De la virtualisation

Ces derniers jours j'ai pu bosser sur l'overflow du serveur DHCP de VMware, l'exploit est disponible dans le programme CANVAS Early Update d'Immunity (c'est pas gratuit je sais). Je n'avais pas eu l'occasion de regarder attentivement vmnetdhcp.exe auparavant, j'y avais jete un oeil lors de la sortie du heap overflow du daemoin de NAT, pour m'apercevoir qu'il etait base sur le DHCPd d'ISC, et penser dans la foulee "Pas la peine de m'attarder dessus, le serveur d'ISC a deja ete largement audite".

Grossiere erreur de ma part. Ca m'apprendra. Ce qu'il faut remarquer c'est que que le vmnetdhcp.exe n'est lie a aucun port UDP standard, comme on pourrait l'attendre d'un serveur DHCP. Il utilise une raw socket pour capturer le trafic sur les interfaces vmnet* (ou autres si vous l'avez active dessus), l'analyser et eventuellement repondre aux requetes qui l'interessent. Ce que ne fait pas le dhcpd d'ISC a ma connaissance. La ou le bas blesse, c'est que les developpeurs ont justement rate cette nouvelle portion de code. En se debrouillant convenablement, il est possible de declencher un Integer Underflow (on va dire que c'est A-B avec B>A, A>0, B>0, donc un resultat negatif) sur une variable qui finit en parametre taille d'un memcpy().

L'operation de copie a lieu de la pile vers la pile, la destination etant plus proche du haut de la pile (ou le bas dans ImmDbg). Marrant. On aboutit bien evidemment a une violation d'acces lors d'une tentative d'ecriture au dela de la limite de la pile - enfin si une page w est mappee apres, ca sera declenche apres cette page. Heureusement sous Windows, le gestionnaire d'exception est aussi dans la pile, avec un peu de mojo on l'a ecrase avec des donnees sous notre controle, et le tour est joue! C'est la version simplifiee :)

Maintenant le reel probleme: quand on developpe des exploits et que l'on cherche des vulnerabilites a longueur de journee, il faut de nombreux OS, dans differentes versions et differents langages. C'est la que la virtualisation aide beaucoup, plein d'OS sur une seule machine. On peut alors avoir suffisamment de cibles pour tester les exploits, etre sur que tout marche bien, etc. Mais quand la faille est dans le logiciel de virtualisation? Et bien la c'est plus complique. Apres avoir fait le tour des VMwares installes a Immunity, il s'avere que tous sont des VMware Server sur des Windows XP SP2 ou bien des Linux - et Linux c'est pas mon dada. Donc une seule version a cibler... Et bien evidemment VMware refuse de s'installer dans une machine virtuelle. Grmbl.

Bon a Miami il fait moche (et oui ca arrive), il pleut, ca va me donner une excuse pour depiler les series qui s'accumulent et lire mes Dexter (le 3e opus vient de sortir, je l'ai recu hier!)., la serie reprenant le 30 septembre. Mes activites noctures d'hier ne m'ont pas permi de voir Chuck, Heroes et Journeyman, je commente des que j'en ai l'occasion.

White(hat) Noise

Comme l'a si bien souligne Cedric dans son blog, le bruit est certainement l'une des principales nuisances de notre temps. Mais le bruit qui m'agace le plus en ce moment n'est pas sonore.

Pour percer dans le milieu, il faut a un moment ou un autre se faire connaitre, faire en sorte que l'on parle de soi et de ses travaux. L'alternative etant d'etre ultra competent, de la fermer, et de frequenter des personnes qui feront circuler votre nom par le bouche a oreille. Le probleme est que la competence est rare, contrairement aux personnes desirant "fortune et gloire". C'est ici qu'interviennent les listes de diffusion non moderees, portes ouvertes a l'expression populaire, tremplins vers la renommee internationale. Et bien evidemment, certaines personnes aux competences douteuses voire inexistantes en profitent amplement.

Bete noire du jour, ou du mois, et peut etre meme davantage: Aditya K. Sood. Credite du titre courru de "Lame Ass of the Month", a juste titre je pense, cet individu semble trouver son bonheur a publier des papiers profondement idiots, plagiant des documents existant, qu'il nomme pompeusement ses "projets" ou "etudes". Il en pond un ou deux par semaine, ce qui laisse presager de la profondeur des recherches menees, ecrits dans un anglais affligeant, et ratant completement le coeur du probleme. Ce monsieur n'arrete jamais de l'ouvrir, toujours pour sortir une connerie plus grosse que lui, et au final il parle a X-Con, conference chinoise organisee par ces messieurs de X-Focus, que je pensais capables de discerner la competence du "bullshit". Je pense que ce genre de personnes est assez symbolique de ce qui se trame dans la securite informatique, et de l'importance qu'ont les personnes qui font le plus de bruit.

J'ai regarde de nouveau Transformers ce week end, et chose a laquelle je n'avais pas prete attention, le Pentagon se fait hacker par un "son". Ne me demandez pas comment ca marche, il faut le demander aux analystes de la NSA, toujours est-il qu'une fois de plus le bruit gagne!

Allez, j'arrete de medire 42 secondes sur les cons, ce soir c'est le NBC season premiere! Avec en nouveaute Chuck, Journeyman et en nouvelle saison Heroes saison 2:

• Chuck bosse pour l'equipe de support informatique d'une grande surface, le "Nerd Herd" equivalent du "Geek Squad" de Best Buy, et il se retrouve embarque dans une affaire d'espions qui le depasse un chouilla. Je n'ai vu que le trailer et quelques commentaires, ca ne va pas casser la baraque mais ca devrait etre marrant;
• Journeyman nous invite dans la vie de Dan Vassar, a San Francisco (de ce que j'ai reconnu dans le trailer), qui a la mauvaise habitude de voyager dans le temps - a priori sans son controle - et modifier la vie des gens. Ca a l'air pas mal, plus de news prochainement.

Sur ce, Monday Morning, bonne semaine a tous.

Heureux les simples d'esprit

Le sieur Valgasu, que vous connaissez certainement tous, a recu le message suivant hier:

Nous recevons actuellement des plaintes se reportant à du contenu illicite et/ou activités illégales sur votre espace web.

D'après ces plaintes, il y aurait un logiciel malveillant, maliciel ou malware sur votre présence. Ces logiciels sont développés dans le but de nuire à un système informatique, comme les virus et les vers. Ils s'installent à l'insu du visiteur d'un site dès que la page inféctée s'affiche (http://fr.wikipedia.org/wiki/Logiciel_malveillant).

Nous vous demandons de supprimer ce contenu dans les 24 heures, faute de quoi nous serions forcés de bloquer temporairement votre compte.

Les fichiers concernés sont :
***Veuillez impérativement installer un antivirus mis à jour avant de cliquer sur le/s lien/s suivant/s, afin de ne pas infecter votre système.***

http://www.valgasu.org/tools/casper.zip

Decidement, la France fait fort. Probablement un coup de la D*T encore! Quelle horreur, un ressortissant national qui comprend quelque chose a la problematique insecuritaire ordinateuriale, il faut l'empecher de nuire. Il travaille problablement pour ces fameux chinois qui franchissent toutes les defenses.

Messieurs, Mesdames, ayant le pouvoir en France (le Mesdames, c'est pour la forme, il est de notoriete nationale qu'il n'y en a pas), il serait dommage que vous cherchiez a progresser dans ce domaine fort intriguant qu'est l'offensif, continuez donc a barboter dans votre mediocrite, et surtout, faites taire ceux qui l'ouvrent.

J'apprecie enormement le fait que les academiques .fr aient enfin decouvert le fuzzing en 2006-2007 (cf. bugs VoIP du Loria), et decouverts quelques denis de service SIP avec les "outils" implementes [Blague: Combien faut-il de Ph.D pour trouver un DoS dans un telephone Cisco? 3! LoLoL]. A ce rythme la, le monde academique devrait decouvrir des stack overflows d'ici 2010, et bon pour le reste, je pense que je serai mort avant.

Sur ce je m'en vais tacher de servir a quelque chose pour des personnes qui comprennent comment le merdier fonctionne.

HACK MOAR

Et voila, les medias, politiques et academiques tiennent une nouvelle histoire, et ils ne vont pas la lacher avant un moment. Le Monde nous reparle donc des Hackers Chinois. Et le probleme prend de l'ampleur puisqu'on - enfin quand je dis "on" je parle de la France ici - devrait bientot subir des cyber attaques massives (ca, ca releve de la "competence" de Gadi Evron - LoLoL).

Tres chers tous, je suis extremement navre de vous decevoir, mais il n'y a pas grand chose qui a change depuis ces dernieres annees, et lorsque je lis qu'une chercheuse "tire la sonnette d'alarme", ca me donne envie de pleurer.

Retour en arriere, 2001 - 2002. Annees fastes en compromissions puisque l'on assistait a la naissance de Code Red ('Hacked by Chinese' ca vous rappelle quelque chose? Visiblement tout le monde a la memoire courte dans ces milieux), Nimda. Ca c'etait la partie visible de l'iceberg. Au dessous, exploits CVS, sadmind pour Solaris, exploits CRC32 pour le daemon SSH, et autres apache-nosejob, apache-scalp et exploits Unix de ces messieurs de TESO, Gobbles et consorts. Certes toutes ces failles ont fini dans le "domaine public" mais pendant quelques mois voire annees, elles ont permi a certaines personnes de s'introduire dans les machines les plus importantes de la planete, et accessoirement de backdoorer les sources d'un grand nombre de daemons Unix.

Quelle difference avec aujourd'hui? Aucune. Seulement aujourd'hui le bruit ambiant est moindre, il n'y a plus de gros vers tels que Blaster ou Sasser compromettant 90% des machines d'un reseau en une journee. On peut donc s'apercevoir plus aisement qu'une machine s'est fait compromettre par un biais annexe. Les 0days ont toujours existe, et existeront encore un bon moment, que leur usage releve d'une organisation gouvernementale ou d'un "petit genie" ne change pas grand chose, la portee de l'exploit reste la meme et ses consequences identiques. Le "C'est extrêmement sophistiqué, cela a franchi toutes les protections", ca existait aussi en 2001, et les protections ne sont pas meilleures en 2007...

Il est dommage que la France soit aussi "au fond" dans ce domaine. Rien a change depuis mon passage au CERT RENATER (passage de 4 ans quand meme), seule une minuscule minorite de personnes comprennent ce qui se passe reellement et les enjeux associes, et curieusement (ou pas), il n'y a ni politique, ni journaliste dans le lot.

Allez, autre exemple de "c'est extremement sophistique, cela a franchi toutes les protections", l'affaire Media Defender, dont les details figurent ICI. Ou comment annihiler tout le business model d'une boite en publiant 6 mois de mails. Dans le jargon de la securite informatique, ca s'appelle "avoir acces a un compte de messagerie" (je reviendrais sur l'aspect VoIP une autre fois). C'est tellement 1992AD tout cela...

I IS BACK

Ca y est, je suis rentre de mon mini tour du monde de 3 semaines, de retour a Miami, et ca fait du bien. Ce qu'il ressort de ces quelques jours a l'etranger (dont 15% passes dans les aeroports et les avions):

• Tokyo et le Japon, j'adore, j'attends avec impatience la prochaine occasion qui m'y conduira;
• New-York, une de mes villes favorites. J'espere avoir l'opportunite de m'y installer un jour;
• Oslo, c'est gris. Les Norvegiennes sont exceptionnelles pour la plupart, cependant le coin dans lequel j'ai sejourne (la gare centrale) etait extremement douteux.

Pas de photos de la Norvege, pas bien grave la capitale est moche. Meme les novegiens s'accordent pour dire qu'il vaut mieux aller a l'ouest pour voir de jolis paysages et villages, le centre ville etant principalement frequente par des filles de joies, des dealers et autres personnages peu recommandables. La vie nocture semble etre assez limitee, alors apres deux semaines dans un univers bourdonnant d'activite, ca decoit.

Quelques nouvelles annexes:

La France, cible de Hackers Chinois: Article
Alors la, epic lulz, comme diraient les autres. Les Etats-Unis annoncent que le Pentagone s'est fait pirater par les militaires chinois, puis l'Allemagne et quelques jours apres c'est au tour de la France de faire croire qu'elle joue dans la cour des grands. Pitoyable. Pour avoir vu comment ca marche ailleurs, la France a des annees de retard en securite informatique, surtout au niveau gouvernemental. C'est sans nul doute une des raisons qui m'ont pousse a aller voir ailleurs, quand on se fait plus embeter (pour rester semi poli) qu'autre chose lorsque l'on se demerde mieux que la moyenne. Alors bon, quand le SGDN l'ouvre sur le sujet du hack gouvernemental, ca me fait mal au cul. Et en plus j'ai fait partie de l'equipe qui a aide a rediger le rapport du depute cite dans l'article, belle perte de temps. Allez, bon courage.

US TV shows:
Les nouvelles saisons des series americaines sont sur le point de debuter. Les trailers sont diffuses a droite et a gauche, notamment Heroes saison 2, Dexter, CSI, et du cote de nos amis Grands Bretons, The IT Crowd saison 2! Pour les nouveautes, on verra ce que ca donne mais je n'ai pas vu grand chose d'excitant.

Musique:
Lorsque j'etais en Norvege, sur une des chaines etaient diffusees les bandes annonce des series et autres de la rentree, le tout avec une playlist que j'ai adore. J'ai cherche les titres des musiques en me fondant sur les paroles, une du lot ci dessous: Johnny Cash (oui celui-la meme) chantant 'Hurt' (chanson des Nine Inch Nails).

Perdu dans la traduction

(Oui je sais, titre ridicule)Pagotte a 5 etages au zoo de Ueno

Et voila, le Japon, c'est fini! Semaine bien remplie, boulot, sorties, tourisme. Le Japon c'est definitivement different quand on le vit a la japonaise. Je ne regrette pas mon voyage de 2005, mais la c'etait autre chose. Costume cravate, boulot jusqu'a tard, soiree bieres & sake pendant la semaine (ou les collegues tout calme pendant la journee se lachent completement), vraie nourriture japonaise (sushi, donburi, shabu-shabu, ramen, yakitori). L'inconvenient etant l'hotel, assez occidental.

J'etais du cote de Aoyama, pas loin de Roppongi et Shibuya. J'ai pu allez jeter un oeil le soir aux arrondissements reputes de Tokyo (mais bon vu que boulot le lendemain je ne me suis pas attarde). Et Samedi j'ai pousse un peu plus loin du cote de Ueno - son park et son Zoo, Asakuza - son temple, Akihabara - ses magasins et salles de jeux videos. Coup de bol, Samedi temps tres gris, donc j'ai pu echapper aux 35degres ecrasants de l'ete Japonais. Au passage, les seules blondes plantureuses que l'on croise du cote de Roppongi bossent en fait dans des 'gentlemen's club'! Enfin bon j'avoue avoir bien accroche sur les japonaises aussi.

Les photos de nuit sont tres moyennes, je fais avec ce que j'ai!

Demain aeroport, depart pour Oslo via Munich (Tokyo - Munich = 15h) . Je suis parti pour au moins 24h de transit... Prochaine entree en direct de la Norvege!