AT&T victime de la faille DNS

Mardi matin, les employés de BreakingPoint ont remarqué un problème lorsque des amis ou de la famille, utilisant également le serveur DNS de AT&T, leur ont annoncé que le logo de leur page Google.com ne leur semblait pas correct. En effet, en ce 29 juillet 2008, Google avait modifié son logo pour célébrer les cinquante ans de la NASA, détail que les pirates avaient oublié dans leur fausse page internet.


En tentant de visiter Google.com, H.D. Moore s'est aperçu que la fausse page qui l'accueillait était accompagnées de trois autres pages conçues pour cliquer automatiquement sur les publicités affichées. Le/les pirates cherchaient donc par ce moyen à gagner de l'argent facilement. La publicité au clic n'est pas forcément très bien rémunérée mais en détournant le trafic d'un gros fournisseur comme AT&T, ce sont quelques millions de clics qui doivent être générés en peu de temps.

La faille DNS qui affecte l'internet mondial a été découverte en début d'année par un expert de IOActive, Dan Kaminski. Ce dernier a travaillé en grand secret avec les grands groupes internet pour la mise au point de correctifs pemettant d'éviter le pire. Les éditeurs ont délivré ces patchs simultanément le 8 juillet dernier... sauf Apple qui a pris son temps et vient tout juste de mettre à disposition le sien au grand dam des Mac users.

En début de semaine dernière, malgré la demande de Dan Kaminski de garder secrète toute technique permettant d'exploiter la vulnérabilité, des fuites sur la façon d'exploiter la faille sont parues sur internet et H.D. Moore a publié le premier exploit de cette faille. On ne sait pas si le pirate d'AT&T a utilisé cet exploit ou un autre pour mener à bien son attaque, mais le résultat est le même.

Faisant partie des premières victimes d'une telle attaque via sa société, Moore plaisante : "C'est drôle, je me suis fait avoir". Il dit cependant être persuadé qu'il n'est pas la cible des pirates et qu'il s'agit juste d'une coïncidence.

Et il est vrai que cela pourrait être amusant si la situation n'est pas si ennuyeuse. En effet, la mésaventure d'AT&T révèle que les fournisseurs d'accès internet n'ont peut-être pas encore tous déployé les correctifs destinés à corriger la faille. Et il faudrait pourtant se dépêcher avant que ces attaques ne se généralisent. Selon les experts en sécurité, seuls les serveurs DNS qui conservent en mémoire les adresses requises sont touchés. Les serveurs racines de l'internet ne sont donc pas susceptibles d'être vulnérables à ces attaques. Il n'en reste pas moins que des attaques massives par phishing sont possibles contre les internautes dont les fournisseurs d'accès n'auront pas appliqué les correctifs.

Dan Kaminsky a déclaré qu'il avait entendu parler d'autres attaques sans toutefois vouloir donner plus de détails.