1.3 CVE-2015-5464

Un adversaire exploite la capacité d'exécuter son propre script en l'intégrant à d'autres scripts que le logiciel cible est susceptible d'exécuter en raison des vulnérabilités des programmes qui sont provoquées par l'autorisation donnée à des hôtes distants d'exécuter des scripts. [À l'aide d'un navigateur ou d'un outil automatisé, un adversaire enregistre tous les points d'entrée des données qui se reflètent dans un élément de script côté client. Ces éléments de script peuvent être situés dans le contenu HTML (en-tête, corps, commentaires), dans une balise HTML, XML, CSS, etc. [L'adversaire utilise les points d'entrée recueillis lors de la phase "Explore" comme une liste de cibles et injecte diverses charges utiles de script courantes pour déterminer si un point d'entrée représente réellement une vulnérabilité et pour caractériser l'étendue de l'exploitation de la vulnérabilité. [Si l'adversaire réussit à exploiter la vulnérabilité, il peut choisir de voler les informations d'identification de l'utilisateur afin de les réutiliser ou de les analyser ultérieurement. [Navigation forcée] Lorsque l'adversaire cible l'application en cours ou une autre (par le biais de vulnérabilités CSRF), l'utilisateur est alors celui qui effectue les attaques sans s'en rendre compte. Ces attaques visent principalement les failles de la logique applicative, mais elles peuvent également être utilisées pour créer une attaque généralisée contre un site web particulier sur le réseau actuel de l'utilisateur (Internet ou non). [L'usurpation de contenu] En manipulant le contenu, l'adversaire cible les informations que l'utilisateur souhaite obtenir du site web.

Un adversaire installe ou ajoute une logique malveillante (également appelée malware) dans un composant apparemment bénin d'un système en service. Cette logique est souvent cachée à l'utilisateur du système et fonctionne en coulisses pour obtenir des effets négatifs. Avec la prolifération du stockage numérique de masse et des appareils multimédia peu coûteux, la prise en charge du Bluetooth et du 802.11, de nouveaux vecteurs d'attaque pour la diffusion de logiciels malveillants apparaissent pour des choses que nous pensions autrefois inoffensives comme des cartes de vœux, des cadres photo ou des projecteurs numériques. Ce type d'attaque se concentre sur les systèmes déjà en service et utilisés en opération, par opposition aux systèmes et à leurs composants qui sont encore en cours de développement et font partie de la chaîne d'approvisionnement.

Un adversaire exploite une faiblesse dans le contrôle d'accès pour modifier les paramètres d'exécution d'un service Windows. L'objectif de cette attaque est d'exécuter un binaire malveillant à la place d'un service existant. [Déterminer le système cible] L'adversaire doit d'abord déterminer le système dont il souhaite modifier le registre. Il doit s'agir d'une machine Windows car cette attaque ne fonctionne que sur le registre Windows. [Accéder au système] L'adversaire doit accéder au système d'une manière ou d'une autre afin de pouvoir modifier le registre de Windows. [Modifier le registre de Windows] L'adversaire va modifier le registre de Windows en changeant les paramètres de configuration d'un service. Plus précisément, l'adversaire modifie les paramètres du chemin d'accès pour définir un chemin d'accès à un binaire malveillant à exécuter.

Un adversaire exploite une faiblesse dans l'autorisation et installe un nouveau certificat racine sur un système compromis. Les certificats sont couramment utilisés pour établir des communications TLS/SSL sécurisées dans un navigateur web. Lorsqu'un utilisateur tente de naviguer sur un site web qui présente un certificat qui n'est pas de confiance, un message d'erreur s'affiche pour avertir l'utilisateur du risque de sécurité. Selon les paramètres de sécurité, le navigateur peut ne pas permettre à l'utilisateur d'établir une connexion au site web. Les adversaires ont utilisé cette technique pour éviter que des avertissements de sécurité n'incitent les utilisateurs, lorsque des systèmes compromis se connectent via HTTPS à des serveurs web contrôlés par des adversaires qui usurpent des sites web légitimes afin de collecter des identifiants de connexion.

Un adversaire, par le biais d'une application malveillante installée au préalable, émet une intention dirigée vers un composant spécifique d'une application de confiance dans le but d'atteindre une variété d'objectifs différents, notamment la modification de données, la divulgation d'informations et l'injection de données. Les composants qui ont été involontairement exportés et rendus publics sont sujets à ce type d'attaque. Si le composant fait confiance à l'action de l'intention sans vérification, alors l'application cible exécute la fonctionnalité à la demande de l'adversaire, l'aidant ainsi à obtenir l'impact technique négatif souhaité.

Un adversaire, par l'intermédiaire d'une page web malveillante, accède à une fonctionnalité spécifique de l'application en exploitant les interfaces enregistrées par l'API addJavascriptInterface de WebView. Une fois qu'une interface est enregistrée dans WebView via addJavascriptInterface, elle devient globale et toutes les pages chargées dans WebView peuvent appeler cette interface.

Un attaquant ayant accès aux fichiers de données et aux processus du système d'une victime injecte des données malveillantes dans les données opérationnelles critiques pendant la configuration ou le recalibrage, ce qui fait que le système de la victime fonctionne d'une manière sous-optimale qui profite à l'adversaire. [Détermination du processus de configuration] L'adversaire, par le biais d'un système préalablement compromis, à distance ou physiquement, détermine quel est le processus de configuration. Il examine les fichiers de configuration, les fichiers de données et les processus en cours d'exécution sur le système pour identifier les zones où il pourrait injecter des données malveillantes. [Déterminer le moment de la configuration] L'adversaire doit ensuite déterminer le moment de la configuration ou du recalibrage d'un système pour savoir quand injecter des données malveillantes. [Déterminer les données malveillantes à injecter] En examinant le processus de configuration, l'adversaire doit déterminer quelles données malveillantes il souhaite insérer et où les insérer. [Injection des données malveillantes] Juste avant ou pendant la configuration du système, l'adversaire injecte les données malveillantes. Le système se comporte alors d'une manière avantageuse pour l'adversaire et est souvent suivi d'autres attaques.

Un adversaire obtient des informations non autorisées en raison de la suppression non sécurisée ou incomplète de données dans un environnement à plusieurs locataires. Si un fournisseur de cloud ne parvient pas à supprimer complètement le stockage et les données des systèmes/ressources des anciens locataires du cloud, une fois que ces ressources sont allouées à de nouveaux locataires potentiellement malveillants, ces derniers peuvent sonder les ressources fournies pour y trouver des informations sensibles encore présentes.

Lorsqu'un système d'exploitation démarre, il lance également des programmes appelés services ou démons. Les adversaires peuvent installer un nouveau service qui sera exécuté au démarrage (sur un système Windows, en modifiant le registre). Le nom du service peut être déguisé en utilisant un nom provenant d'un système d'exploitation connexe ou d'un logiciel bénin. Les services sont généralement gérés avec des privilèges élevés.

Lorsqu'un système d'exploitation démarre, il lance également des programmes appelés services ou démons. La modification de services existants peut entraîner la rupture de services existants ou permettre des services qui sont handicapés/non utilisés couramment.

Un adversaire exploite une faiblesse de l'authentification pour installer un logiciel malveillant qui altère les fonctionnalités et les informations fournies par les appels ciblés de l'API du système d'exploitation. Souvent appelés "rootkits", ils sont souvent utilisés pour masquer la présence de programmes, de fichiers, de connexions réseau, de services, de pilotes et d'autres composants du système.

Lorsqu'un fichier est ouvert, son gestionnaire de fichiers est vérifié pour déterminer quel programme ouvre le fichier. Les gestionnaires de fichiers sont des propriétés de configuration de nombreux systèmes d'exploitation. Les applications peuvent modifier le gestionnaire de fichiers pour une extension de fichier donnée afin d'appeler un programme arbitraire lorsqu'un fichier avec l'extension donnée est ouvert.

Un adversaire exploite les faiblesses de la gestion des privilèges ou du contrôle d'accès pour remplacer un exécutable de confiance par une version malveillante et permettre l'exécution de logiciels malveillants lorsque cet exécutable de confiance est appelé.

Un adversaire manipule les fichiers dans un emplacement partagé en ajoutant des programmes malveillants, des scripts ou du code d'exploitation au contenu valide. Une fois qu'un utilisateur ouvre le contenu partagé, le contenu contaminé est exécuté.

Un adversaire peut ajouter du contenu malveillant à un site web par le biais du partage de fichiers ouverts et ensuite naviguer vers ce contenu avec un navigateur web pour que le serveur exécute le contenu. Le contenu malveillant s'exécutera généralement dans le contexte et avec les autorisations du processus du serveur web, ce qui se traduit souvent par des privilèges système ou administratifs locaux selon la configuration du serveur web.

Le système d'exploitation permet d'exécuter des scripts de connexion chaque fois qu'un ou plusieurs utilisateurs spécifiques se connectent à un système. Si les adversaires peuvent accéder à ces scripts, ils peuvent insérer un code supplémentaire dans le script de connexion. Ce code peut leur permettre de maintenir la persistance ou de se déplacer latéralement dans une enclave car il est exécuté chaque fois que le ou les utilisateurs concernés se connectent à un ordinateur. La modification des scripts de connexion permet de contourner efficacement les pare-feu des postes de travail et des enclaves. Selon la configuration d'accès des scripts de connexion, il peut être nécessaire de disposer d'une accréditation locale ou d'un compte administratif à distance.

Un adversaire exploite une faiblesse dans le contrôle d'accès pour désactiver les outils de sécurité afin d'éviter la détection. Cela peut prendre la forme de processus de destruction, de suppression des clés de registre afin que les outils ne démarrent pas au moment de l'exécution, de suppression des fichiers journaux, ou d'autres méthodes.