Jean-Michel Hennebert Alors que Microsoft a confirmé la présence d'une faille critique de sécurité au sein de son navigateur Internet, l...
Alors que Microsoft a confirmé la présence d'une faille critique de sécurité au sein de son navigateur Internet, l'homme à l'origine de cette découverte témoigne.
Eric Romang, chercheur en sécurité informatique au Luxembourg, a découvertla faille de sécurité dans Internet Explorer 6, 7, 8 et 9. Il s'exprime dans une interview accordée à «L'essentiel Online»:
Comment avez-vous mis à jour la faille de sécurité au sein d'Internet Explorer?
Éric Romang: Tout est parti de l'attaque qui a vu le jour à la fin du mois d'août qui concernait Java. Étant chercheur en sécurité informatique au Luxembourg, j'ai voulu savoir comment cette attaque, qui visait des organisations non gouvernementales, avait pu être mise au point. Pour cela, j'ai découvert plusieurs serveurs d'où partaient les attaques. Tous ont depuis été désactivés, sauf un, en Italie. Depuis le mois de septembre, j'ai donc, à titre personnel et depuis chez moi, placé ce serveur encore actif sous surveillance. Et ce n'est que vendredi que je me suis aperçu que des modifications avaient été apportées.
C'est-à-dire?
Le serveur en question contenait quatre nouveaux fichiers accessibles par Internet. Je les ai donc téléchargés pour les mettre dans mon «laboratoire» (NDLR: un ordinateur de test équipé des dernières mises à jour, aussi bien au niveau de l'antivirus que de son système d'exploitation) afin de les analyser. Je me suis ainsi rendu compte qu'ils permettaient de prendre entièrement le contrôle sur des ordinateurs à distance sans que les utilisateurs et l'antivirus ne s'en rendent compte.
Une méthode classique pour les hackers...
Oui, mais la nouveauté tenait au fait que ni Windows ni l'antivirus n'aient rien détecté. J'ai donc cherché à comprendre cette anomalie en prenant contact, via Twitter, avec des experts aux États-Unis et en Chine. Il nous a fallu attendre jusqu'au dimanche 12h, pour cerner l'origine de la vulnérabilité. Pendant ces deux jours, les «méchants» ont supprimé les fameux fichiers et ont laissé un mot avec mon nom de famille sur le serveur, histoire de dire: «Tu nous a attrapés cette fois-ci, mais nous savons qui tu es»...
Cette menace claire vous fait-elle peur?
Non, pas du tout. Je ne crains rien au Luxembourg, mais je pourrais changer d'avis si je vais un jour en Chine... (rires)
En quoi êtes-vous une menace pour les auteurs de cette attaque?
Il faut savoir que profiter d'une vulnérabilité nécessite des gens extrêmement compétents avec des savoir-faire très spécifiques. Cela peut donc se monnayer entre 50 000 et 100 000 euros. Depuis le mois d'août, ces hackers ont donc perdu entre 100 000 et 200 000 euros...
Concrètement, quels sont les risques pour les utilisateurs d'Internet Explorer?
Depuis dimanche, la vulnérabilité est de plus en plus grand public, ce qui signifie que tant que Microsoft n'aura pas publié un patch de sécurité officiel, n'importe quel pirate peut l'exploiter et infecter de plus en plus de monde. Plus le temps passe, plus ce sera dangereux pour les utilisateurs lambda. Cette attaque, au final, peut toucher 80% du parc informatique mondial, soit quelques milliards d'ordinateurs.
Existe-t-il une solution?
Il faut soit installer le logiciel EMET recommandé par Microsoft, soit changer de navigateur le temps que la faille de sécurité soit réparée.
Cela ressemble à une course sans fin entre le chat et la souris...
Tout à fait, car c'est une histoire sans fin. Il n'y a clairement pas d'espoir de venir à bout de ce genre d'attaque car les hackers ont toujours un train d'avance sur les experts en sécurité et les enjeux financiers sont tellement énormes que ces dernières devraient même se multiplier dans les années à venir. Il faut juste apprendre à relativiser, mettre à jour le plus souvent possible ses logiciels et admettre qu'on n'y peut pas grand-chose. 20minutes.ch
COMMENTAIRES