Faille pour un espace web de la LCL

Publié le 30-04-2012 à 02:29:51 dans le thème Banque

Pays : France - Auteur : Damien Bancal

Pub : Logiciels de sécurité et de protection Internet

Note des lecteurs: 2.5/5

INFO ZATAZ - Une possibilité malveillante vise un espace numérique de la banque LCL. Une possibilité malveillante a été découverte dans l'un espace numérique de la banque Français LCL. Une vulnérabilité de type XSS (Cross-Site Scipting) qui est à prendre très au sérieux. Cette faille permet d'afficher n'importe quel message dans l'espace numérique visé. Un pirate peut aussi d'injecter un logiciel dans la machine d'un visiteur ou de lancer un XSS backdoor. Il faut cependant que le pirate rédige un url particulier, et qu'il diffuse l'adresse modifiée à ses cibles. C’est pour cela que ZATAZ.COM a envoyé un protocole d'alerte à la banque, et vous déconseille fortement de cliquer sur le moindre lien provenant d'une source autre que la LCL. [HaideD 1457]

XSS Backdoor
Le cross-site Scripting est un type de faille de sécurité très commun. Il se trouve typiquement dans les applications Web. Mission de cette "attaque", provoquer un comportement du site Web différent de celui désiré par le webmaster (redirection vers un site tiers, vol de cookies ...). Une attaque qui peut aussi permettre d'exploiter une XSS de manière à ce que le cross-site Scripting offre la possibilité d'installer un Shell (comme une injection SQL). Bilan, d'un simple XSS, le pirate se retrouve avec une puissante backdoor (porte cachée, NDLR ZATAZ.COM) et autre gestionnaire de zombie. Ce premier concept a été présenté par XSS-Proxy. Normalement, les attaques XSS ne se font qu'en un coup, avec l'outil XSS+Shell, le pirate peut envoyer une demande interactive. Il obtient ainsi des réponses de la victime. La page exploitée se transforme en backdoor. Le pirate peut voler les authentifications, contourner les restrictions d'IP's dans les panneaux d'administration, lancer des DDoS (Dénis de Services Distribués, NDRL ZATAZ.COM) sur certains systèmes avec une vulnérabilité XSS permanente. Les possibilités d'attaques sont quasiment illimitées.

Avec un XSS 'normal', une fois l'utilisateur hors des champs d'actions de la page "modifiée", le pirate ne peut plus agir. La principale caractéristique de XSS+Shell est la 'Page Régénération'. Bilan, la victime se retrouve dans un environnement 'Virtuel Backdoor'. Ainsi, même si l'utilisateur clique sur les liens dans la page infectée, il sera toujours sous le contrôle du pirate via ce XSS Tunneling !

Mise à jour : Efficace et rapide, les équipes de la LCL ont pris l'alerte et corrigé la faille.