Bagle - de chiki a moe

Hello mOe,
C'est vrai que le contact avec des forums dits 'spécialisés' est tendancieux.

Mais ce MD5 est tout de même (et de loin) dépassé; il est fait à toutes les sauces.`
Je me demande si cette voie MD5 n'est pas capable de nous rendre tous chauves. ;)

L'algorithme MD5, utilisé par de nombreux sites, n'est pas fiable ==> en effet, une modification d'une seule lettre du texte crypté modifie complètement le MD5 (donc, même pour une simple correction d'orthographe) ---> à partir de là, en tirer des conclusions est hasardeux.
C'est le terrain béni des hackers (les vrais).

En témoigne un extrait de presse publié le 02 Janvier 2009 par Catherine Vincent dans LE MONDE
Extrait :
QUAND vous visitez un site Web dont l'adresse commence par « https », un petit cadenas s'affiche.
En théorie, cela signifie que le site est sécurisé par un certificat électronique.
En pratique, tous les risques sont possibles.
Surtout si ce certificat utilise l'algorithme MD5, encore employé par plusieurs autorités de certification des échanges électroniques.
Lors d'une réunion de hackers du "Chaos Computer Club" ( https://fr.wikipedia.org/wiki/Chaos_Computer_Club ) qui vient de s'achever à Berlin, des résultats présentés mardi 30 décembre ne laissent plus place au doute : cette pièce maîtresse de l'infrastructure Internet n'est pas fiable, et permet à des pirates informatiques de créer des certificats reconnus comme valides par tous les navigateurs courants.

C'est pourquoi aussi VirusTotal nous donne d'autres références au bas de son rapport ( et pas depuis si longtemps que cela !).

Al.

Salut Afideg

en effet, une modification d'une seule lettre du texte crypté modifie complètement le MD5 (donc, même pour une simple correction d'orthographe) ---> à partir de là, en tirer des conclusions est hasardeux.

Bah effectivement Afideg à partir de là, tirer des conclusions est hasardeux :-), surtout lorsque le principe du MD5 et de tous les autres algo que tu as pu voir sur VT sert justement à pouvoir différencier deux fichiers différents...
Différents dans le sens ou le contenu d'un fichier peut être totalement identique à celui d'un autre à une majuscule près et qui donc, ne génèreront pas les même empreintes.
Fais toi même le test avec un fichier texte, tapes-y un contenu, enregistres-le.
Ensuite RDV sur virustotal et note le résultat.
Réouvre le fichier et passe une seule lettre en majuscule par exemple et enregistre.
Revirustotal et dis moi si les références autres que le MD5 sont identiques pour les deux analyses ?
Non ? bah c'est normal puisque les fichiers sont différents.

Pour ma part Al, je teste la comparaison md5 depuis l'année dernière, entre le fichier infecté de reférence (winupgro/hldrrr/winfilse) dont on sait qu'il se copie lui même en place et nom d'un fichier sain, et je peux t'assurer que je n'ai jamais constaté la moindre erreur de fiabilité lié au md5 lors de comparaisons.
Pour que le md5 d'un fichier change il faut que le contenu de ce fichier le soit aussi, et d'ailleurs en ce sens, les créateurs du ver entre deux variantes bien distinctes, diffusent fréquement sur le p2p la même version du ver mais modifié, ce qui logiquement engendre un md5, SHA etc... différent à chaque nouvelles diffusions afin de rendre beaucoup plus difficile la détection d'une même variante, surtout si on s'appuie sur une base de données d'empreintes.

Maintenant faut pas oublier non plus de préciser que l'utilisation du md5 pour findykill n'est pas à la base de la détection des fichiers bagle "connus" mais viens en bonus d'une détection themida, pour retrouver les 04 infectées ainsi que les faux crack qui auraient pu ne pas avoir été supprimés après avoir été dezippés.
Je veux dire par là que ça permet juste d'apporter un plus au niveau de la fiabilité tout en étant un point de repère supplémentaire.
Donc voilà...maintenant passer du MD5 au SHA-256/512 ne pose pas de problèmes s'il jamais il y avait le moindre soucis...

Je me demande si cette voie MD5 n'est pas capable de nous rendre tous chauves. ;)

Lol , à qui tu l'dit ! J'ai déjà pratiquement la boule à zéro... :-)
Plus sérieusement je ne vois pas du tout quel intérêt aurait Bagle d'avoir à générer un fichier qui plus est différent de lui même et ayant le même md5 !
Puisque ce qui est reproché avec le md5, c'est de pouvoir en théorie arriver à créer deux fichiers différents ayant la même empreinte md5 !
Dans le but de falsifier l'autenticité d'un document numérique je comprends, mais bagle lui aurait au contraire plutôt besoin de générer une copie de lui même avec un md5 différent pour brouiller les pistes lors d'une comparaison :-) !

Bonne fin de soirée Afideg.
@++

Salut mOe,

Cit: « Plus sérieusement je ne vois pas du tout quel intérêt aurait Bagle d'avoir à générer un fichier qui plus est différent de lui même et ayant le même md5 !
...
Dans le but de falsifier l'autenticité d'un document numérique je comprends, mais bagle lui aurait au contraire plutôt besoin de générer une copie de lui même avec un md5 différent pour brouiller les pistes lors d'une comparaison :-) ! »

Bien raisonné.
C'est la logique sur base de ce qui serait illogique.
Presque la définition du paradoxe (inséparable de la "théorie des limites" cependant).
En justice, on dirait "Nemo auditur propriam turpitudinem allegans" = Nul ne peut alléguer sa propre turpitude comme moyen de défense.
Encore merci pour ton dévoûment et ta collaboration avec Cédric.
Al.