L'IOS de Cisco à son tour piraté par « rootkit »
Un chercheur a développé un « rootkit » capable d'attaquer les routeurs Cisco. Il s'agit d'une montée en puissance dans les moyens existants pour les pirates afin de détourner l'IOS, le système d'exploitation des machines Cisco. On ne prête qu'aux riches. Après Windows, c'est au tour du système d'exploitation de Cisco, l'IOS, d'être la cible d'attaques évoluées. Sebatian Muniz, un chercheur chez Core Security Technologies, a développé un logiciel malveillant de type « rootkit » ciblant l'IOS qu'il présentera le 22 mai prochain à la conférence EuSecWest, à Londres. Une annonce d'autant plus inquiétante que les routeurs Cisco constituent une grande majorité de la base installée mondiale (les deux-tiers, selon IDC). C'est, à priori, la première fois qu'un rootkit cible l'IOS et « il peut exécuter les même tâches que ses homologues sur un PC », a indiqué Sebastien Muniz dans une interview par emails. Un rootkit qui fonctionne sur toutes les versions d'IOS Auparavant, des chercheurs avaient conçu des logiciels malveillants, des « IOS patching shellcode » afin d'attaquer un routeur Cisco. Mais ils n'agissaient que sur une version spécifique de l'IOS. La différence du rootkit de Sebastian Muniz, est « qu'il peut fonctionner sur différentes versions du système d'exploitation ». Ce rootkit, une fois installé dans la mémoire flash de l'équipement, qui contient les commandes du boot, peut discrètement superviser et contrôler l'équipement. Le chercheur n'entend pas révéler le code de son rootkit, mais combattre l'idée que les routeurs Cisco sont immunisés contre ces maux et faire en sorte que « des mesures appropriées soient prises ». Poursuivi pour avoir violé la licence utilisateur En 2005, lors d'une présentation controversée, Mike Lynn, chercheur en sécurité pour la X-Force d'ISS (depuis racheté par IBM), avait dévoilé ... ... un petit « shellcode » pour prendre la main sur un routeur Cisco. Son intervention avait été jugée « dérangeante parce jusqu'alors personne n'imaginait possible de pirater un routeur Cisco. Le rootkit constitue l'étape suivante , rappelle Dragos Ruiu, l'organisateur de la conférence EuSecWest. Cisco n'avait pas apprécié et avait poursuivi Mike Lynn qu'il accusa d'avoir trahi des secrets commerciaux en violation de la licence d'utilisateur. L'affaire fut rapidement réglée. Sebastian Muniz et son employeur n'ont pas oublié l'affaire Lynn et refusent de donner d'avance des détails sur la présentation. « Nous devons d'abord travailler avec Cisco et que tout soit clair avec eux, a déclaré un porte-parole de Core. La faiblesse vient surtout des mots de passe administrateur Cisco a décliné tout commentaire. Selon Jennifer Granick, avocate de l'Electronic Freedom Foundation, qui avait défendu Mike Lynn, Cisco pourrait ressortir à l'encontre de Sebastian Muniz l'accusation de violation de secrets commerciaux. Mais le constructeur n'y recourra peut-être pas du fait de la réaction très négative de l'industrie suite à sa plainte de 2005. « Cisco se veut amical avec les chercheurs. Il y regardera à deux fois avant toute action en justice. » Ceci dit, la principale vulnérabilité des routeurs Cisco provient de la possibilité de deviner les mots de passe des administrateurs, estime Joahannes Ullrich, directeur de recherche au SANS Institute. Mais il existe peu d'outils capables de détecter ces tentatives de piratage. « C'est là le gros problème. »
