Proof of concept : Attaque sur les routeurs des internautes

[Malekal_morte]

Le "Drive-By Pharming" est un nouveau type d'attaque découvert par Zulfikar Ramzan de chez Symantec et qui touche les routeurs « familiaux » (PDF). Pour l'instant, ce n’est qu’un « proof of concept », mais l'idée est si simple qu'elle devrait faire rapidement des petits, au grand dam des utilisateurs.

De fait, explique le chercheur de Symantec, une attaque devient alors facilement envisageable : en visitant une page web piégée, un javascript est lancé, et donc exécuté sur votre machine. Sa mission première sera d’essayer d'accéder à l'interface web de votre routeur (via des IP privées connues) et tester les mots de passe administrateurs par défaut qu’on retrouve dans les documentations officielles.

Si la brèche est ouverte, l'attaque la plus simple consiste alors à modifier la configuration DNS du routeur pour qu'elle pointe sur un DNS pirate. À partir de là, le phising d’un site devient très délicat à détecter, car, même si dans la barre de votre navigateur l'adresse du site visé (votre banque, paypal, etc. par exemple) est bien correcte, tout le trafic sera redirigé vers l'IP du site pirate.

Source : http://www.pcinpact.com/actu/news/34765 ... Ramzan.htm

[Malekal_morte]

Trojan.DNS semble avoir ouvert le feu en premier : http://forum.malekal.com/trojan-win32-d ... 11987.html puisque certaines variantes modifieraient la configuration DNS au niveau du routeur.

[Cyborg]

Pour attaquer le routeur d'une boite, il faut forcément commencer par attaquer le PC du client puis remonter? Il n'y avait pas de moyen, jusque là, d'attaquer directement la boiboite?

Dans ce cas-là, il y a quoi comme moyen pour s'en rendre compte à partir de la page de configuration de ladite boiboite/routeur?

[Malekal_morte]

Les routeurs qui partagent la connexion internet ont un pied sur internet et l'autre sur le res local (bon après, peut y avoir une DMZ blalblalba)... enfin je parle dans le cas de monsieur tout le monde.
Les entreprises je m'en tape, elles ont les moyens de sécu leurs infrastructures.

Bref, la partie internet, on peut imaginer n'importe quoi...
Page Web du routeur accessible donc bruteforce sur username/password possible.
Failles de sécu sur le routeur
etc.

[Cyborg]

Tiens, c'est pas idiot, ça. On peut simplement profiter d'une faille de sécurité identifiée.
Néanmoins, j'avais oublié la partie réseau. La page de config des boites classiques (Free, Neuf, Orange, etc) est-elle accessible via le net? Ou seulement à partir du réseau local?

Car dans ce cas, on revient au départ du sujet : obligé d'attaquer le PC avant d'attauqer le routeur...

[Malekal_morte]

Free c'est sur le site WEB (je crois)... donc par internet oui.