Faille BBOX2... Info ou Intox? (Vendetta)

[Scheduler]

Matte ca et tu me diras si on surestime.

http://video.google.fr/videoplay?docid= ... q=echelon#

Je parle des compétences et non des moyens Mais bon, on peut faire le débat pendant des heures :p

Même niveau compétence je doute que le Belgique soit un référence dans la sécurité informatique face au states.
Et face à des hackers Russes j'en doute encore plus.

[coolcat]

Une enquête est en cours à la police fédérale (Computer crime unit) et nous ne pouvons malheureusement pas donner plus d'informations sur l'avancement des recherches mais il n'y a pas de raison de s'inquiéter.
Eva

Non on ne s'inquiète pas : partant du principe que l'auteur des faits doit forcément revenir "sur les lieux du crime" pour contempler les effets de ses actions et apprenant que la computer crime unit est sur le coup : messieurs, plus rien ne restera privé et secret ici.
Tout doit être scanné, enregistré, vérifié ... De quoi donner des boutons à ceux à qui cela pose problème toute forme d'atteinte à la vie privée ...

En même temps le computer crime c'est combien de gars?
Pas grand chose comparé aux armes que les autres possède.
C'est sûrement une unité qui ne possède pas les moyens dont elle a besoin.

C'est pas la NSA lol

http://www.polfed-fedpol.be/org/org_dgj_FCCU_RCCU_fr.php

C'est bien mais cela appartient à la police et je pense pas que la police possède les moyens dont elle a vraiment besoin.
Je doute que ce soit une équipe de 50 personnes, il me semble un jour avoir vu unr eportage et si je dis pas d'erreurs, ils étaient 4-5.

Ca me semble peu par rapport au flux de donnés et cyber délinquance qu'il y a tout les jours.
Mais ce n'est que mon avis

Extrait du site :

Le Federal Computer Crime Unit



BRUXELLES, 28/02/2007. – Le Federal Computer Crime Unit (FCCU) est un département de la Direction Criminalité Economique et Financière de la Police judiciaire fédérale.
Le FCCU compte actuellement 32 membres du personnel et gère un point de contact national et international accessible 24 heures sur 24.
A côté du FCCU , 22 Regional Computer Crime Units sont installés au sein des directions de Police judiciaire fédérale situées au niveau des arrondissements. Ils représentent 108 personnes.

Au niveau national, le « FCCU » est responsable :
- du développement de la stratégie
- de la formation des enquêteurs spécialisés
- de la recherche sur internet
- de la gestion du point de contact sur internet www.ecops.be
- de l'expertise du matériel saisi lors d'opération
- de l'appui lors de perquisitions
- de la lutte contre le crime ICT
- de la lutte contre la fraude sur internet

Les « RCCU » s'occupent principalement :
- d'assistance lors des perquisitions
- d'expertises techniques lors d'opérations
- d'auditions des personnes interpellées
- de recherches sur internet
- d'enquêtes criminelles ICT

An attendant le gars cours toujours et diffuse chaque semaine.

1) - Ce n'est pas (encore) l'histoire du siècle
2) - il diffuse chaque semaine : il a diffusé 2 fois en 1 semaine
3) - même avec des moyens puissants, s'il est futé, qu'il travaille au départ d'un hotspot, ou avec des proxy localisés sur une île déserte sans aucune loi, ca risque quand même d'être dur...

[mortis]

Quid de la faille ? personne n'en parle.

Pour ma part, je remarque que sur la bbox2 :

- même lorsque, dans l'interface de la bbox2, "Using Primary HTTP Port (80)" est désactivé dans "Allow Incoming Access to the Web-Management", je peux accéder à l'interface web de la bbox2 depuis l'extérieur (WAN), ca c'est quand même fort de café.

Amusant, chez moi c'est impossible, le port est filtré (bbox2)

- un serveur web (lighttpd) tourne sur le port 631 (LAN+WAN) avec webdav activé (rw), et possibilité de parcourir l'arborescence des dossiers, bien que document root pointe sur du vide (? "/mnt/usb/sda1", "/mnt/usb") La faille viendrait de là ? J'y reviens.

Port filtré aussi, tourne chez moi sur le port 8081 (j'ai une bbox2)

- pour en revenir au lighttpd, il est sans doute lié à l'acs (automatic configuration server) et un fichier "persist_crypt.txt", situé dans le même dossier que lighttpd contient peut-être toutes les informations nécessaires pour se connecter au server acs de belgacom, et de là sucer tous les mots de passe, en prétendant être chacune des bbox.

Le lighttpd te permet juste de télécharger des fichiers qui se trouvent par défault sur des clef usb connectées sur la bbox, tu ne peux pas parcourir l'arborescence de la box sauf en modifiant les fichiers cfg de lighttpd, mais pour ca il faut avoir un accès (via telnet par exemple).


Tu es sûr que tu te connectes de l'extérieur sur ta bbox ? (je veux dire tu ne met pas simplement ton ip Wan tout en étant connecté à ta bbox ?)

[Colombine]

Tu es sûr que tu te connectes de l'extérieur sur ta bbox ? (je veux dire tu ne met pas simplement ton ip Wan tout en étant connecté à ta bbox ?)

oui, je demande à un ami qui est chez VOO d'essayer de se connecter sur l'IP de ma bbox2

Ok pour lighttpd, mais que fait e fichier dans le même dossier alors ?

Code : Tout sélectionner

# cat persist_crypt.txt
ConnectionRequestPassword   XXXXXXX
PeriodicInformTime   45000
password   XXXXXXX
ACS_URL   http://acs.belgacom.be/
username   XXXXXXXXXXXXXXXX
PeriodicInformEnable   1
ConnectionRequestUsername   XXXXXXX


[mortis]

Ok pour lighttpd, mais que fait e fichier dans le même dossier alors ?

L'endroit ou il se trouve n'à pas d'importance, c'est un fichier qui reprends la config cpe/acs, celà n'à rien à voir avec lighttpd.

De toute facon, si tu me dis que les bbox sont accessibles à distance sur le port 80, beh ca sert à rien de chercher une faille quelconque, c'est du temps perdu

[Scheduler]

http://www.rtlinfo.be/info/belgique/fai ... r-belgacom

[Scheduler]

Lol y a même un site qui traite du sujet !!

http://www.vendetta-hack-belgacom.com/

[apn]

Tu es sûr que tu te connectes de l'extérieur sur ta bbox ? (je veux dire tu ne met pas simplement ton ip Wan tout en étant connecté à ta bbox ?)

oui, je demande à un ami qui est chez VOO d'essayer de se connecter sur l'IP de ma bbox2

Est-ce que d'autres clients peuvent confirmer cette affirmation?
Je pense que si d'autres personnes ont accès à ta Box de l'extérieur c'est lié à des paramètres modifiés de ton côté.
Si ce n'est pas le cas, ce serait grave car très peu de clients changent le password d'accès à la GUI de leur modem...

[Colombine]

De toute facon, si tu me dis que les bbox sont accessibles à distance sur le port 80, beh ca sert à rien de chercher une faille quelconque, c'est du temps perdu ;)

C'est le cas chez moi, ce qui ne veut pas dire que c'est le cas pour toutes les bbox.

Mais de toute façon, ce n'est pas par une faille dans la bbox qu'il a trouvé les mots de passe.

En demandant à l'acs avec un pseudo cpe, il est peut-être possible de récupérer les comptes/mdp. Je ne peux pas essayer, du moins de chez moi, mais de toute manière, je ne connais pas assez les mécanismes acs/cpe du dsl.

[Colombine]

Si ce n'est pas le cas, ce serait grave car très peu de clients changent le password d'accès à la GUI de leur modem...

Tu as un mot de passe sur ton GUI toi ? moi pas

Je pense que si d'autres personnes ont accès à ta Box de l'extérieur c'est lié à des paramètres modifiés de ton côté.

C'est en effet peut-être le cas, en tout cas, je peux t'assurer que le remote acces pour HTTP sur tous ports est pourtant bien désactivé dans mon GUI, ce qui pourtant - dans un soft bien écrit - devrait suffire à empêcher cela.

[apn]

Si ce n'est pas le cas, ce serait grave car très peu de clients changent le password d'accès à la GUI de leur modem...

Tu as un mot de passe sur ton GUI toi ? moi pas

Je pense que si d'autres personnes ont accès à ta Box de l'extérieur c'est lié à des paramètres modifiés de ton côté.

C'est en effet peut-être le cas, en tout cas, je peux t'assurer que le remote acces pour HTTP sur tous ports est pourtant bien désactivé dans mon GUI, ce qui pourtant - dans un soft bien écrit - devrait suffire à empêcher cela.

Oui j'ai bien un mot de passe pour accéder à ma GUI. Je l'ai configuré dans je ne sais plus quel menu. Par défaut il est vide.

Bizarre, bizarre, cet accès HTTP... Ca ne me rassure pas...

[mortis]

oui, je demande à un ami qui est chez VOO d'essayer de se connecter sur l'IP de ma bbox2

Ca donne quoi?

“En fait, ce Vendetta, il n’est pas plus pirate que moi. Ou, en voyant les choses autrement, je vous l’affirme : tout qui s’y connaît en informatique et qui sait ce qu’est une adresse I.P. peut jouer son Vendetta. D’ailleurs, il y en a plein qui utilisent le même procédé que lui…”

Qui consiste en ? “En fait, il y a une faille dans certains routeurs Belgacom, qui ne crypte pas suffisamment ses données. En quelques clics et au moyen d’un programme intitulé SuperScan, en étant à l’autre bout de la Belgique, il est possible, si le client Belgacom a eu le malheur de ne pas sécuriser l’accès à son routeur avec un mot de passe, d’avoir accès à l’interface du routeur qu’il y a chez lui… et de pouvoir commander à l’envi, après avoir usé les 25 Go du client, un nombre illimité de packs de 5 Go supplémentaires. Un ami à moi a utilisé ce procédé, pour augmenter son volume de téléchargement. Jusqu’au jour où Belgacom est venu toquer à sa porte, pour lui demander un euro par Giga dérobé. Il en avait accumulé 3.400…”

Estomaqués par l’info, nous cherchons à en savoir plus : “La technique, qui consiste à scanner les adresses I.P. des clients connectés, nécessite des connaissances informatiques et de réseautage que le commun des mortels n’a pas (qui sait que pour communiquer avec son routeur, il faut entrer dans son navigateur 192.168.x.x ?). Mais elle fonctionne. Pas à tous les coups, ni sur tous les routeurs, mais elle fonctionne.” Il va sans dire que le processus est illégal. “Oui, mais le hic, c’est que même en atterrissant sur cette interface, les données sont censées être cryptées, par de petites étoiles. Et elles le sont. Mais très furtivement : il suffit d’afficher la source pour voir les mots de passe apparents… Et ce couac-là, c’est à Belgacom qu’on le doit…” Si l’info doit évidemment être mise en balance avec la parole d’experts en informatique, elle a au moins le mérite d’amener une piste.

Dites moi que c'est une blague je vous en prie

[Scheduler]

Mouhahahaha ils se tirent une balle dans le pied tout seul !!!!

[mortis]

Ce serait trop gros. Je suis curieux de connaître le fin mot de l'histoire

[KiKi]

Ce qui me gène le plus dans cette histoire, c'est que si une personne met un mot de passe à lui et qu'il utilise le même mot de passe "partout", bah même si BGC lui change son mot de passe, bah il devra le changer sur beaucoup de site ...

Enfin, wait & see comme on dit !

[Lecter H]

Il suffirait d'un seul client dont le compte était dans une des listes de Vendetta et qui affirmerait ici : j'ai un modem Netgear, D-link, Us Robotics ou autre : et pouf, vos discussions seront vaines...

[Scheduler]

Sauf que pour le moment ni un client ni belgacom ne lance cette info.

[Lecter H]

Et oui justement , pas encore une seule victime connue sur 530 cibles potentielles !!!
Bizarre ?

[vax]

J'ai toujours un vieux Philips SNA6600 sur une ADSL 4Mb. Je suis content de ne pas avoir une BBox 2... même si on n'est pas certains que ce soit le problème.

[Scheduler]

Un record 270 personnes connécté en même temps, c'est pas toute la Belgique.

Encore faut il que le client ait été contacté par Belgacom, ce qui veut dire qu'ils n'ont peut-être jamais été contacté, que le password à été modif et que le bbox2 c'est directement adapté.

Ce qui prouverait que c'est bien une attaque ciblé bbox2