La CVE-2017-8225, ouvre-t-elle la voie à un nouveau IoT botnet ?

de | 30 octobre 2017

La CVE-2017-8225 est une vulnérabilité, datant de mars 2017, qui concerne plus de 1250 modèles de caméras de la gamme Wireless IP Camera (P2) WIFICAM fabriquée en Chine. La vulnérabilité est critique, car elle permet une exécution de code à distance (le pire des vulnérabilités) sur la caméra à travers le serveur web qui permet sa configuration en utilisant un navigateur web. Le site Shodan, qui référence les systèmes connectés à Internet, indique que prêt de 185 000 caméras connectées sont concernées par cette vulnérabilité.

L’histoire aurait pu s’arrêter là. Sauf qu’un chercheur en cyber sécurité a découvert, dans un forum, un échange intéressant qui traite de l’exploitation de cette vulnérabilité. L’échange démontre une collaboration entre plusieurs personnes pour développer des scripts (armement) qui utilisent Shodan pour identifier les cibles potentielles (découverte) ainsi que la compromission et enfin l’utilisation de Netcat pour prendre les commandes et le contrôle à distance (C2) des caméras compromises (cf. ma publication sur la Cyber Kill Chain pour comprendre les étapes d’une attaque qui s’applique à ce cas). Le niveau de collaboration est assez poussé puisqu’un des acteurs de l’échange a proposé de partager sa clé d’API qui permet d’utiliser la version premium de Shodan afin d’exporter la liste des IP vulnérable. L’export permet d’intégrer simplement aux scripts les cibles à attaquer.

… une nouvelle activité est née : le “MDLC” pour Malware Development Life Cycle.