Le DRM était un malware : le récap de l'actu du 20 février

Bienvenue dans l’Expresso. C’est ici que vous retrouverez un petit condensé de l’actualité de la journée, rédigé par un rédacteur différent à chaque fois. Le rédacteur du jour choisit jusqu’à 5 news qui l’ont marqué et vous donne son avis sur chacune d’entre elles. Aujourd’hui : laissez moi vous conter l’histoire merveilleuse du développeur qui pensait que mettre un virus en guise de DRM était une bonne idée.

Le DRM qui pompait les mots de passe

Dans le long, et souvent perdu d’avance, combat des développeurs contre le piratage, on connaissait les mots de passes cachés dans la notice des jeux (dans les 90s), les clés CD, les mobs imbattables sur les versions piratées et finalement Denuvo, le top de la crème du meilleur, qui tient parfois plusieurs mois avant d’être cracké. Eh bien nous pouvons aujourd’hui ajouter le malware pompeur de mots de passe.

Tout commence sur Reddit, comme souvent, lorsque l’utilisateur crankyrecursion a découvert un mystérieux exécutable dans le code d’un avion (l’A320 pour les plus curieux) pour Flight Simulator X vendu par FlightSimLabs. « test.exe » semblait tout simplement pomper les mots de passe Chrome de l’utilisateur avant de les envoyer vers les serveurs de l’entreprise. Là où ça devient encore plus grave c’est que, loin de se dédouaner, FlightSimLabs assume pleinement en appelant le malware DRM.

Je ne peux pas résister à l’envie de citer pratiquement in extenso leur réponse que voici : « Il existe une méthode précise utilisée contre des numéros de série spécifiques qui ont été identifiés comme étant des copies pirates et qui ont été utilisés sur ThePirateBay, RuTracker et d’autres sites malveillants.

Si un tel numéro de série spécifique est utilisé par un pirate (une personne qui a obtenu illégalement notre logiciel) et que l’installeur le vérifie contre les numéros de série stockés dans notre serveur, il prend des mesures spécifiques pour nous alerter. Test.exe fait partie du DRM et n’est utilisé que contre les copies pirates de logiciels protégés par le droit d’auteur obtenus illégalement. Ce programme n’est extrait que temporairement et n’est en aucun cas utilisé dans des copies légitimes du produit. La seule raison pour laquelle ce fichier serait détecté à la fin de l’installation n’est que s’il était utilisé avec un numéro de série pirate (et non pas des numéros de liste noire).

Cette méthode a déjà fourni avec succès des informations que nous allons utiliser dans nos luttes juridiques contre de tels criminels. »

Bon déjà, je suis pas juriste, mais je doute de la recevabilité de preuves obtenues illégalement. Car il s’agit bien d’un malware, considérant que l’entreprise demandait de désactiver l’antivirus à leurs clients pour installer, sous peine de se voir reconnu comme faux positif (enfin du coup vrai positif). Car test.exe est bien extrait, même lors d’une installation légale, il n’est juste pas utilisé et supprimé une fois la clé vérifiée sur leurs serveurs.

Dans un autre communiqué l’entreprise s’enfonce un peu plus en expliquant leur démarche. Frustrés de se battre contre des moulins à vent dans leur combat contre les pirates, ils ont fini par remarquer qu’un pirate régulier utilisait Chrome, en observant les adresses IP liées à des connexions de copies piratées. Dans un effort pour attraper CE pirate ils ont donc rajouté ce malware pour l’attraper LUI et ses informations personnelles : ses mots de passe de sites de partage. Je vous donne le lien du post sur le forum, c’est assez délicieux.

Cerise sur le gâteau Fidus Infosec a décortiqué le code de test.exe et il s’avère qu’en effet test.exe est seulement utilisé lorsqu’une clé illégale est utilisée, mais surtout que les informations sont envoyées dans un format à peine encodé, et via HTTP. Autant dire que les mots de passe pompés sont quasiment envoyés par la Poste avec un timbre vert dans une enveloppe craft avec écrit « 1000€ pour ma grand mère » dessus.

Morale de l’histoire ? Dans votre chasse aux pirates, évitez d’utiliser une bombe atomique, il y a des moyens plus simples (par exemple : ne pas vendre vos addons 100$).

via GIPHY

Ailleurs dans l’actu

• Elite Dangerous : Beyond – Chapter 1 sortira le 27 février, Noodles vous en parlait ici.
• Vous pouvez désormais posséder cette statue de Geralt dans son bain, mentez pas, vous la voulez
• Cities Skyline sur Xbox supporte désormais les mods !