Posté le septembre 14, 2020 à 14:06

L’ATTAQUE ZEROLOGON DONNE AUX HACKERS L’ACCÈS AUX RÉSEAUX DES ENTREPRISES

Certains chercheurs ont récemment découvert et protégé Microsoft Windows contre les doubles exploits, même si Microsoft n’avait jamais publié de correctifs.

A l’insu de la plupart des gens, Microsoft avait, le mois dernier, corrigé l’un des failles les plus dangereuses qu’il ait jamais signalées. Cette faille aurait permis aux hackers de prendre rapidement le contrôle des serveurs d’exploitation de Windows en tant que contrôleurs de domaine des réseaux d’entreprise.

Microsoft a signalé la vulnérabilité sous le nom de CVE-2020-1472 et l’a fait corriger le mois dernier. La faille a été qualifiée d’élévation du niveau de privilège de l’utilisateur dans Netlogon. Il s’agit d’un protocole qui authentifie les utilisateurs pour pouvoir accéder aux contrôleurs de domaine.

Cette faille a été classée avec une note de gravité maximum de 10. Cependant, les détails n’ont jamais été divulgués au public. Cette absence de divulgation publique totale signifie que les administrateurs informatiques et les utilisateurs n’ont pas su apprécier sa gravité.

Prise de contrôle du domaine d’un système utilisant plusieurs zéros

Cependant, dans un rapport récemment publié, la société de sécurité basée aux Pays-Bas, Secura BV, a finalement présenté un rapport approfondi sur cette vulnérabilité insaisissable. Elle a depuis rendu public un rapport détaillé qui explique en profondeur le fonctionnement du CVE-2020-1472.

Et d’après le rapport, la vulnérabilité atteint la note de gravité de 10.

Basé sur un rapport des experts de Secura, cette vulnérabilité, appelée Zerologon, exploite des algorithmes cryptographiques faibles appliqués dans le processus d’authentification pour Netlogon.

La vulnérabilité réside dans la manipulation des procédures d’authentification pour Netlogon et dans la falsification de l’identité de tout ordinateur connecté au réseau pendant le processus d’authentification par rapport au contrôleur de domaine d’un système.

Désactivez les dispositifs de sécurité utilisés pour protéger le processus d’authentification pour Netlogon. Changer le mot de passe d’un ordinateur sur l’Active Directory (une base de données réseau de tous les ordinateurs et de leurs mots de passe connectés à un domaine) du contrôleur de domaine.

L’une des raisons pour lesquelles les experts ont nommé la vulnérabilité Zerologon est que les attaques du système consistent à ajouter plusieurs caractères zéro dans les paramètres d’authentification spécifiques de Netlogon.

La particularité de cette attaque est qu’elle peut se produire assez rapidement et peut prendre un maximum de trois secondes. Lorsque des attaquants piratent des systèmes de réseau avec Zerologon, les dégâts peuvent être considérables.

Par exemple, l’attaquant peut également imiter l’identité du contrôleur de domaine et modifier son mot de passe. Cela lui donnera alors accès à l’ensemble du réseau d’une entreprise.

Prise de contrôle de l’ensemble du réseau d’une entreprise en trois secondes

Toutefois, l’attaque Zerologon présente certaines limites. Pour commencer, le hacker ne peut jamais utiliser cet outil pour prendre le contrôle d’un serveur Windows lorsque vous n’êtes pas dans le réseau. Avant de pouvoir exécuter l’attaque avec succès, le hacker doit d’abord pénétrer dans le réseau d’une entreprise.

Si cette condition est finalement remplie, l’entreprise peut être piratée.

En outre, la vulnérabilité est une aubaine pour les groupes qui utilisent des rançongiciels et des logiciels malveillants. Ces outils de piratage fonctionnent généralement en infectant un ordinateur à l’intérieur du réseau d’une entreprise et en se propageant ensuite à d’autres ordinateurs.

D’autres patchs sont à venir

Cependant, il n’a jamais été facile pour Microsoft de colmater la faille. La correction de la faille a obligé l’organisation à modifier la façon dont des milliards d’ordinateurs étaient utilisés pour se connecter aux entreprises. Cela signifiait qu’elle devait perturber efficacement les opérations de nombreuses entreprises.

En outre, le processus de rectification du correctif est exécuté en deux phases. La première phase s’est achevée le mois dernier, lorsque l’entreprise a mis au point une solution temporaire pour l’attaque Zerologon.

Cette solution temporaire a permis de mettre en place les dispositifs de sécurité de Netlogon (qui est désactivé par Zerologon), indispensables pour toutes les authentifications impliquant Netlogon. Cette solution est effectivement utilisée pour briser les attaques Zerologon.

Toutefois, Microsoft devrait lancer une solution plus permanente en février 2021, si les attaquants peuvent contourner les correctifs sortis en août. Malheureusement, Microsoft s’attend à ce que cette solution plus récente brise le processus d’authentification de certains appareils.