Marc Blanchard Virus Docteur

Une technologie grand public est en train d'emmergée en France : Les NFC (Near Field Communications).

Ce nom barbare implique tout simplement le M-Commerce (Mobile Commerce)

Cette technologie nous arrivera avec les nouveaux téléphones portables, PDA, etc afin de remplacer MONEO pour du paiement rapide via nos GSMs.

Ce qu'il faut savoir est que dores et deja, nos téléphones portables sont équipés de puces électroniques pour le WIFI et le Bluetooth.

La fréquence des NFC est 13.56 MHZ....alors que les fréquences BlueTooth / Wifi sont à 2,45 Ghz et le wifi 802.11a est sur 5Ghz. Ces différences n'ont alors pas gèner les contructeurs de puces électroniques car selon eux, les NFC pourraient se trouver sur la même puce que celle qui gère le WIFI et le Bluetooth.

Les NFC seraient alors gérées par micro-logiciels intégrès dans les nouveaux modèles de téléphones portables, ou bien même en option, selon les contrats passés avec votre banque.

Cette étude traite donc de la taxinomie sur les NFC.

Définitions:

Taxinomie ou Taxonomie :

L’étude de rapprochement de classifications par famille, par utilité, par technologie, par sécurité, par contre-mesure, etc...

NFC : Near Field Communication :

La NFC est une technologie radio, mise en ouvre notamment par les industriels Philips (technologie MIFARE) et Sony (technologie FeliCa).

Elle permet d'établir des communications entre un terminal mobile et une borne préalablement équipée d'une micro-antenne.

La spécificité de la NFC est que la communication s'établit à une distance de l'ordre de 2-3 centimètres, voire au contact des deux objets...Mais des tests se sont avérés efficaces à quelques mètres ... avec du motériel spécifique, et notamment avec une excellente antenne !

Exemples d'utilisations :

La NFC est actuellement utilisée pour:

- les payements par téléphone portable, montre, etc

- du ticketing (transports)

- contrôle d’accès dans les entreprises

- déportation d’informations sur le téléphone (ex:plan de métro)

TAXINOMIE : Devices

On peut penser que les NFC ne seront utilisées qu’avec des téléphones portables, mais voici quelques exemples types de portabilité de cette technologie :

- Montres

- PDA

- Lecteurs MP3

- Péages d’autoroutes

- Nano computers, etc.

Tout équipement hébergeant dores et déjà la technologie bluetooth car le chipset est ou sera compatible avec l’utilisation des NFC

Fonctionnement d'un achat via NFC

Le téléphone NFC embarque un logiciel bancaire qui fait appel à la puce électronique du téléphone gérant la communication NFC.

Le client fait le choix de son achat, puis vient à la caisse ou se trouve un terminal NFC.

Ce terminal fera un pairing entre le téléphone du client et lui-même.

Une fois authentifié, le client doit composer son numéro confidentiel pour confirmer son achat

La transaction se fait dans ce cas entre la borne du marchand et sa banque...en général par le net via le réseau bancaire existant utilisé pour les cartes bancaires classiques. Et cette communication se fait via une connexion X25, IP (avec ou sans fil : GPRS) en utilisant le protocole CB2A (merci Scorpion).

TAXINOMIE NFC : Achats de demain

On peut imaginer que des entités marketing et commerciales peuvent, dores et déjà, proposer via les providers téléphoniques des options de convergences supplémentaires pour inciter l’utilisateur à consommer plus!

Dans ce cas, l’infrastructure change et se complique, mais pour l’utilisateur tout est transparent et aussi facile qu’un simple achat NFC !

TAXINOMIE NFC : Qui pour quelle fonction?

Fournisseurs téléphoniques :

- Payement directement sur les factures téléphoniques

- Nouveaux revenus / plus value des services

- Fidélisations de la clientèle

Banques:

- Relationnels clients NFC

- Nouvelles offres de services de crédits simplifiés aux utilisateurs

- Offres de transactions sécurisées auprès des boutiques

- Paiements pour tout produit/service

Client NFC :

Achats :

- rapides

- faciles

- sécurisés

- personnalisés

Avantages :

- Informations sur ses comptes en temps réel

- Meilleures gestions de consomation courante

TAXINOMIE NFC : Statistiques

Les estimations, de TelecomTrends.net représentant le nombre de transactions effectuées pour 2008, s’élèveraient à 554 B$ dans le monde....Transactions qui seraient effectuées via un téléphone portable en NFC.

Voici l’évolution du e-commerce vers le m-commerce :

Coté Sécurité

Les transferts de données :

Il existe deux types de transactions de pairing entre le device et la borne en NFC :

Le mode Actif :

1. Le pairing initialise la communication avec la borne et en assume les authentifications, les taux de transferts (même concepts que les modems RTC, fax, etc).

2. La transaction peut être effectuée.

Dans ce concept, il n'y a pas de sécurité et une attaque Man-in-the-Middle-Attack (MMA) peut se glisser en effectuant un deni de service sur le téléphone via des ondes juste après la phase 1, et effectuer la transaction à la place du propriétaire du téléphone.

Ce qui donne schématiquement :

Le mode Passif :

Le principe du mode passif est simple, l'authentification et la transaction se fait en une seule phase et il n'y a aucune coupure de communication, comme nous avons lors du transfert actif.

De plus, ce mode est le plus sécurisé car c’est un point à point direct.

Les projets en cours sont en discussion pour une transaction sécurisée.

Alors, quels sont les risques?

Les risques sont encore, et seront toujours sur les devices des téléphones portables, exactement au même titre que des attaques sur les ordinateurs des utilisateurs...par le biais d'attaques de virus, vers, chevaux de troie, etc

Schématiquement, cela donne :

Comme on peut le constater, les codes malicieux mobiles peuvent accèder à l'OS du téléphone, à partir de là, on pourra constater l'arrivée de Keyloggers afin d'enregistrer les codes confidentiels pour les transactions, des envois par SMS, MMS, e-mail, HTTP des codes confidentiels, bref, le code malicieux sur le téléphone a tous les droits

TAXINOMIE NFC : Sécurité du Téléphone

Les codes malicieux mobiles existent et fonctionnent

Les hackers possèdent déjà la technologie :

- Envoi de SMS (technologie malicieuse : RedBrowzer)

- Copie de fichiers sur d’autres tel (technologie malicieuse : CxOver)

- Propagations bluetooth et MMS (technologie malicieuse : StealWar)

- Propagation par mail (technologie malicieuse : Letum)

- Remplacement et hook d’applications système (technologie malicieuse : Mobler)

- Remplacement des fichiers de boot (technologie malicieuse : FlerProx)

- Concaténation de fichiers applicatifs (technologie malicieuse : HideMenu)

- La technologie malicieuse : Wesber : technologie de vol d’argent s’appuyant sur espionnage des données et transactions financières

- Etc..

Quelles sont les protections NFC/Téléphones

Coté NFC, ce système peut être fragilisé par :

- Le manque de cryptage de transfert entre les bornes et le device NFC

- Les transferts en mode PASSIF doivent être indispensable

Coté téléphone ou device NFC++

Ils peuvent être fragilisés par des noyaux systèmes intelligents tels que :

- Symbian

- WinCE

- Linux

MAIS, l’utilisation d’un antivirus équipé de parefeux réduit de façon significative les tentives de fuites et contaminations des données et applicatifs

CONLUSION : Vers quelles directions les hackers vont ?

Les hackers aujourd’hui n’étudient que des nouveaux systèmes pouvant générer du business.

Ils s’attaquent au e-commerce

Ils s’attaqueront demain au m-commerce

Toutes les technologies malicieuses existent aujourd’hui

Ce n’est, pour eux, qu’une question de temps...le temps que les NFC soient utilisées par nous tous...

...et les possibilités d'attaques sont les suivantes :

..A cours terme, la nécessité des antivirus, anti-threft, parefeux sur téléphones portables deviendront OBLIGATOIRE pour les systèmes M-Commerce

Les Téléphones d'aujourd'hui appelès PDA ou Smartphones ou le tout intégré utilisent des systèmes d'exploitations qui se rapprochent de nos ordinateurs. Certains smartphones embarqueront Symbian (en perte de vitesse) d'autres embarqueront Windows Mobile.

Ce compte-rendu s'appuie Windows Mobile, car aujourd'hui et demain Windows CE est et sera la base des tout nouveau device embarquant de l'informatique (avions, voitures, téléphones, télévisions, réfrigérateurs, lecteurs video à la demande, consoles de jeux, etc....)...tout ou presque est orienté maintenant Win CE avec XP(le petit frère) puis maintenant Vista...petit à petit MS fait son nid....On voit deja que Palm remplace son PalmOS par WinCE, que BlackBerry est en chute libre avec son push de mail, car Microsoft, de par les nouvelles versions de Exchange, rend le même service !!!

On sent que Microsoft rentre dans ce marché, car le business est très important !

Par conséquent, nous étudierons les téléphones d'aujourd"hui fonctionnant sous Windows Mobile qui ont une double gestion des devices embarqués (Bluetooth, Wifi, Téléphone, gestion GSM, Infrarouge, RAM, ROM, StorageCard).

En effet, afin de limiter les consommations batteries, une gestion intelligente des alimentations des devices a été étudiée, ce qui signifie qu’une zone de la mémoire est allouée aux applications chargées en veille tout en gardant au maximum leurs fonctionnalités.

C’est pourquoi, une gestion des applications est un peu différente des applications sur PC.

Gestion de la mémoire :

Voici un exemple concret qui permet à l’utilisateur de tuner sa mémoire en Windows Mobile 2003SE, qui est maintenant géré automatiquement par le système Windows 2005 Mobile :

En Windows 2005, la gestion de la mémoire est automatique. En effet, la gestion des applicatifs peut être mise en suspend, en arrêt total ou bien en lancement exclusif.

La gestion des mémoires sur le Smartphone Windows Mobile 2005 est divisée en 3 parties : La flash ROM, la flash persistante et la RAM.

La Flash ROM est l’emplacement mémoire ou les applications seront stockées mais pourront être réutilisées après un arrêt complet du Smartphone.

Par conséquent les données pourront être splittées entre la ROM et la flash.

Par contre, les données stockées dans la ROM seront dédoublées puisqu’il faut qu’ils soient exécutées à partir de la RAM flash et non la ROM qui est leurs stockages persistants. Sous Win2003SE, les données pouvaient être compressées, ce qui n’est plus possible avec 2005.

En Windows2005, la structure des répertoires et des fichiers sont fondues dans un et un seul format de catalogue, permettant à un utilisateur de ne plus confondre la ROM et la Flash persistante ou pas.

La RAM est alors utilisée a 100% pour les lancements des applications. Si une application est trop gourmande, l’OS fermera automatiquement alors une application suspendue, pour laisser maître l’application principale.

Mais cette gestion permet également de protéger le système de toute application dangereuse pour le Smartphone.

Par contre, la gestion intelligente des pages mémoires effectuée par Windows, permet une gestion optimale du mode multi-applications qu’offrent les nano-computers, se rapprochant ainsi du fonctionnement d’un ordinateur de bureau avec ROM/RAM/HD.

La limitation des programmes est limitée à 32 Mb.

En ce qui concerne le file system, la structure a été simplifiée mais ressemble à celle des répertoires et fichiers de Windows

On notera la présence dans le file system de Storage Card, qui est la Mémoire additionnelle.

Accés aux registres de Windows 2005 Mobile :

Il y a deux méthodes d’accès aux registres de Windows Mobile. Il est à noter que ces outils ne sont pas installés d’origine dans le système.

Les meilleurs (ceux qu’ils ne font pas trop de dégâts substantiels dans l’OS) sont ceux distribués par les hackers dans les sites undergrounds.

Attention, certains sites de freeware Pocket ne sont pas forcement des sites de référence, et il peut s’avérer dangereux pour le smartphone ou l’utilisateur non initié d’installer des outils très proche du système.

Il y a deux méthodes d’accès aux bases de registres du nano-computer :

a. Directement sur le SmartPhone avec un outil à installer soit même :

b. Avec ActiveSync connecté au PC :

Comme on peut le constater, on peut créer, effacer, visualiser, modifier les clefs a souhait. Il n’y a pas de notion de sécurité comme nous pouvons l’avoir sur XP.

STACK TCPIP :

Les configurations réseaux TCPIP de tous les supports sont stockées dans les Registres.

On retrouvera ainsi toutes les configurations de base des antériorités de connexions mais également celles qui sont actives.

Il est à noter que ces informations sont conservées même après un reboot du smartphone. Elles seront perdues lors d’un reset général du nano-computer.

La stack TCPIP de Windows 2005 mobile a été simplifiée.

Les vulnérabilités connues a ce jour ne sont pas exploitable sur la stack de Windows 2005 Mobile.

Ci-après un compte-rendu de NESSUS :

En conclusion, les vers actuels, hormis les modifications des heures et dates de réponse des requêtes IP avec l’ouverture des ICMP de la stack, ne peuvent pas spoofer la stack.

Contamination avec fichier EXE ou CAB contenant un virus développé spécifiquement pour Windows Mobile :

Comme toute application, il est demandé une confirmation pour son installation.

Une fois l’opération effectuée le fichier disparait en Windows Mobile 2005, mais s’exécute correctement en Windows Mobile 2003 :

Conclusion :

Contamination avec un virus inséré dans une page WEB HTML (les malwares et spywares download, dialers, keyloggers, adware fonctionnent sur ce principe) :

Sur http://tav.kaspersky.fr, il y a un certain nombre de tests a effectué.

Il s’avère que sur le lien ‘Le test EICAR’ la signature de EICAR est écrite au format HTML :

Conclusion :

Les trafics en temps réel sur les pages web sont traités en HTML et en FTP et interprètés par le navigateur

Les contaminations sous Office Mobile :

Afin de contrôler les possibilités éventuelles sur les codes malicieux sous office, il m'a été intéressant de vérifier les comportements d'Office Mobile en cas de contamination.

La procédure d'infection s'est faite de la façon suivante :

a. Vérification que le document office contient bel et bien le code du virus Melissa

b. Copie manuelle via activesync d'un document Word contenant le virus Melissa

c. Execution du document word afin de lancer le virus

++Conclusion: ++

On constate que MSOffice Mobile ne peut pas executer le code du virus Melissa

Regardons apres une sauvegarde de ce document sous MSOffice Mobile si le virus est transporté par MSOffice Mobile ou pas

Dump du fichier :

On s'appercoit que le virus ne suit pas l'activité du fichier contaminé.

Par conséquent, le document est vide de ses macros suite à des modifications par MSOffice Mobile. Donc, pas de création de fichier d'environnement Normal.dot et pas d'utilisation des APIs Outlook Mobile.

Même constats avec les dossiers Excel Mobiles :

a. Vérification que le virus Yohimbe est bien dans notre fichier hôte Excel contaminé :

b. Copie manuelle du hôte contaminé via activsync :

c. Lancement du fichier Excel avec MSOffice Mobile :

++Conclusion: ++

On constate que MSOffice Mobile Excel ne peut pas executer le code du virus Yohimbe

Regardons apres une sauvegarde de ce document sous MSOffice Mobile si le virus est transporté par MSOffice Mobile ou pas

Dump du fichier :

On s'appercoit que le virus ne suit pas l'activité du fichier contaminé.

Par conséquent, le document est vide de ses macros suite à des modifications par MSOffice Mobile. Donc, pas de création de fichier d'environnement personal.xla

On constate que les attaques sur les smartphones / PDA utilisent des supports différents :

- SMS

- MMS

- WIFI

- Bluetooth

Pour ce dernier, de nombreux scanners sont en libre sur le net, qui permettent, à partir d'un ordinateur portable ou d'un autre smartphone, de scanner les entités autour de le victime.

De nombreux services sont ainsi potentiellement exploitables pour utiliser les téléphones d'aujourd'hui

De nombreux codes malicieux arrivent sur nos smartphones par le biais du Bluetooth, mais également via SMS ou MMS....demain avec la VoIP sur Wifi, les attaques utiliseront ce canal de communication.

a. Demande de pairing avec le smartphone infecté

b. Réception du code malicieux via Bluetooth

c. Validation de l'intallation d'un jeux ou sonnerie, et le smartphone est infecté

Conclusion :

Ne sous-estimez pas la puissance des codes malicieux sur téléphones mobiles, ne pensez pas que cela n'arrive qu'aux autres, car c'est faux.

Voici une petite extraction des familles de codes malicieux s'attaquant aux smartphones et téléphones portables des bases de Kaspersky

Pour la petite annecdote, régulièrement, dans la salle d'attente de mon kiné, des attaques me parviennent sur mon smartphone... Eh oui, mon portable est en invisible sur bluetooth, mais j'ai besoin de mon oreillette bluetooth...c'est par là qu'arrivent les attaques

Le mot de passe des oreillettes est 0000 !!! Facile pour le code malicieux