Que faire si, avec un seul e-mail, un hacker pouvait surveiller tout le trafic sur un réseau censé être protégé ? Des chercheurs du labo Project Zero de Google ont trouvé, et silencieusement signalé, un bug dans le logiciel de sécurité FireEye qui a permis aux hackers de faire exactement cela. Non, ce n’est pas une tentative de phishing. Personne ne devait ouvrir l’e-mail. Juste l’envoyer fut suffisant.
FireEye propose des dispositifs qui analysent tout le trafic circulant dans le réseau d’une entreprise. Si un malware est détecté pendant le transfert, le dispositif intercepte le fichier et supprime les logiciels malveillants.
L’équipe Project Zero a démontré qu’elle pouvait utiliser ce processus, en le détournant afin de surveiller tout le trafic Internet à l’intérieur d’une entreprise. Un employé de Google nommé Tavis Ormandy a décrit le processus dans un article de blog.
« Pour les réseaux ayant des appareils FireEye déployés, une vulnérabilité qui peut être exploitée par l’interface de surveillance passive serait un scénario cauchemardesque », a écrit Ormandy, ajoutant qu’un tel exploit pourrait permettre à des hackers de surveiller passivement tout le trafic sur le réseau d’une entreprise. Il a ensuite décrit un exploit qui fait exactement cela. Mais ne vous inquiétez pas, FireEye a été avisé du problème, en patchant la faille avant que l’exploit ne se répande dans le monde.
Patché avant l’annonce
Pour ceux qui l’ignorent, l’équipe Project Zero de Google étudie non seulement les potentiels problèmes de sécurité dans les services de Google, mais également pour tout logiciel utilisé par de nombreuses personnes.
Lorsque l’équipe découvre une faille dans le logiciel d’une autre société, elle le signale en silence afin que les correctifs puissent être développés et diffusés. C’est une fois que tout est corrigé qu’elle publie la faille au grand public – ou 90 jours, selon la première éventualité. L’équipe a provoqué la controverse en 2014, lorsque Microsoft n’a pas réussi à résoudre un exploit dans Windows 8 au sein de la fenêtre des 90 jours.
