jeudi 28 octobre 2010

sniff sniff, ça sent le GSM!

C'est un fait connu, l'industrie de la sécurité se penche de plus en plus vers les smartphones (ordiphones selon l'académie) et les communications sans-fils. On entend parler que le GSM est broken, et qu'il ne faut plus l'utiliser. Est il réellement possible avec du matériel standard d'écouter des conversations GSM?

Tout d'abord, on trouve des sociétés commerciales comme par exemple celle-ci: http://www.cellularintercept.com/ Passons. En 2008, la blackhat indiquait une écoute à 900$US.

Les recherches mènent vite au logiciel airprobe:
AirProbe is the new home of the former GSM-Sniffer project. The goal is to build an air-interface analysis tool for the GSM (and possible later 3G) mobile phone standard. The prime motivation is to learn the details of the technology, help people who develop other open GSM technology (like OpenBTS, OpenMoko?, BS11/OpenBSC and others) and demonstrate the insecurity of the current standard.

La page de garde d'airprobe est bien faite et sépare le problème en trois phases:
1/ L'écoute des ondes radios. Basée entre autre sur le travail fait par GNURadio. Il s'agit bien évidemment d'une phase d'acquisition matérielle.
2/ La démodulation qui transforme ces ondes en paquets d'octets. Un PC de bureau devrait suffire, même s'il est conseillé d'utiliser des FPGA.
3/ Le déchiffrement de ces octets. Ce troisième point est donc l'information intéressante. Airprobe n'est pas intéressé par le déchiffrement real-time, seulement un déchiffrement en best effort pour montrer l'insécurité du GSM.

La seule board capable d'écouter les ondes GSM semble être l'USRP. Elle existe à deux tarifs: v1 pour 700$, v2 pour 1400$, le site d'airprobe est bien documenté la dessus. Pour la démodulation, c'est effectivement un peu flou. La page du wiki est vide... Et quant au déchiffrement, rien de bien probant non plus. La lecture du site montre que c'est en cours https://svn.berlin.ccc.de/projects/airprobe/wiki/DeCryption , sans plus; je cite:
"Our ultimate goal is to crack A5/1:
1. by only intercepting data (passiv)
2. require less than 4Terabyte HD.
3. able to decrypt short encrypted bursts (like SMS, last less than 0.1 seconds).
4. Cracking time less than 1 day. "

Donc un logiciel (libre) existe pour casser du GSM, mais il n'est pas encore terminé... Airprobe sera-t'il un jour au GSM ce que aircrack est au Wifi?

Un autre papier publié récemment, http://www.sans.edu/resources/student_projects/201004_30.pdf résume bien l'état de l'art: "There is published research that significantly reduces the level of effort to sniff on GSM cell calls. The attack is still non-trivial and does require some knowledge and resources." (ce papier a de nombreux autres liens très intéressants dans sa biblio). Pour le cassage d'A51 c'est par ici http://reflextor.com/trac/a51, avec un bon résumé.

Le résultat est donc mitigé:
Théoriquement c'est cassé, en pratique on y arrive pas encore de manière accessible...
En sécurité informatique, ce qui ne se voit pas est il inexistant? Faut il continuer de faire confiance au GSM?

vendredi 1 octobre 2010

High skillz obfuscator javascript !

En suivant un page web, je tombe sur du javascript qui est obscurci par une méthode proprement révolutionnaire :-)

C'est entre autre une variable de plus de 60000 (soixante mille !) caractères qui ressemble à ceci:Ami lecteur, trouveras tu toi aussi la méthode d'obfuscation?

Une fois dés-obscurcie et remise en ordre, ce javascript renvoie vers un packupdate107_2121.exe qui est peu reconnu par la liste des antivirus. Kaspersky:néant. Microsoft essential: néant. Clamav: néant. 9/34 l'indiquent comme malicieux.
Je joins le rapport virustotal.

Edit: 5 octobre 2010.
La sauce prend, ça se réveille doucement. Une analyse du 2 octobre,
VirusTotal indique 19 sur 41.
Avec une autre analyse aujourd'hui, le 5 octobre, virustotal indique 30 sur 42.
Encore un effort et il devrait être détecté de partout :-)