La Fibre

Télécom => Logiciels et systèmes d'exploitation => Linux Linux => Discussion démarrée par: renaud07 le 07 avril 2024 à 14:39:23

Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 07 avril 2024 à 14:39:23
Bonjour,

En allant voir mes mails aujourd'hui, j'ai reçu une alerte de sécu critique de google concernant mon compte. Apparemment ça concerne un de mes PC sous Ubuntu 20.04.

J'ai donc procédé à un changement de MDP et fait le tour de mon compte, mais je n'ai rien remarqué d'étrange. Le PC en question a été déconnecté  automatiquement par précaution.

Mais c'est vrai que j'ai remarqué ces temps-ci que amazon me demandait souvent de résoudre une image pour vérifier si je n'étais pas un bot, tout comme très souvent le soir, j'ai droit systématiquement à la page d'erreur "erreur interne décelée" qui ne se manifeste pas sur une VM au même moment par exemple.

Du coup, j'ai peut-être bien chopé une saloperie via le navigateur, mais je ne comprends pas comment. Je n'ai pas d'extensions douteuses installées, que du très connu.

Une idée sur comment savoir ? Car évidemment pas d'AV sur Linux en général. C'est la première fois en 15 ans de Linux qu'un truc pareil se produit.
Merci
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: basilix le 07 avril 2024 à 15:16:23
Les cybercriminels utilisent également GNU/Linux. Il suffit qu'ils soient compétents, persévérants et malins et le tour est joué.

Quand on me dit que « Linux » est sécurisé par défaut, je n'ai pas confiance. Trop facile comme schéma.

D'ailleurs, quand on entend des discours du genre « La sécurité en informatique est mauvaise » ou « La sécurité est un processus pas un produit » ou que
tel génie a réussi a infiltré les réseaux d'organisations telles que le Pentagone ou la NASA. Ou encore que les entreprises placent des portes dérobées dans
leur produit ou que les créateurs de Grsecurity reprochent que le noyau n'est pas sécurisé...
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: alain_p le 07 avril 2024 à 15:36:35
Il semble qu'il existe un Ubuntu rescue pack, pour créer une clé USB bootable pour scanner un Linux :
https://ualinux.com/en/ubuntu-rescuepack

Pas testé en ce qui me concerne...
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 07 avril 2024 à 15:47:07
Merci pour la clé USB. Je testerais ce soir voir ce que ça dit.

 Pour le moment j'ai déconnecté le réseau, mais vu que ça dure depuis plusieurs jours j'espère que ce n'est pas un virus qui se propage sur le LAN...
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: trekker92 le 07 avril 2024 à 15:52:27
Bonjour,

En allant voir mes mails aujourd'hui, j'ai reçu une alerte de sécu critique de google concernant mon compte. Apparemment ça concerne un de mes PC sous Ubuntu 20.04.

J'ai donc procédé à un changement de MDP et fait le tour de mon compte, mais je n'ai rien remarqué d'étrange. Le PC en question a été déconnecté  automatiquement par précaution.

Mais c'est vrai que j'ai remarqué ces temps-ci que amazon me demandait souvent de résoudre une image pour vérifier si je n'étais pas un bot, tout comme très souvent le soir, j'ai droit systématiquement à la page d'erreur "erreur interne décelée" qui ne se manifeste pas sur une VM au même moment par exemple.

Du coup, j'ai peut-être bien chopé une saloperie via le navigateur, mais je ne comprends pas comment. Je n'ai pas d'extensions douteuses installées, que du très connu.

Une idée sur comment savoir ? Car évidemment pas d'AV sur Linux en général. C'est la première fois en 15 ans de Linux qu'un truc pareil se produit.
Merci

reprenons :
1. t'as vu quoi/où/quand/comment une intrusion?

simple mail de google, "nouvelle activité de telle ip" ou "connexion suspecte de tel appareil"

et tu reconnais pas l'appareil?
alors c'est que quelqu'un a eu tes mdp de google
ca signifie pas du tout que ton ordi/navigateur est vérolé, c'est une notification de compte.
quelle localisation/ip est précisée? c'est le plus important (avec le navigateur bien entendu)

à première vue, ni l'ordi ni le navigo ne semblent concernés.

2. c'est juste une histoire de connexion IP? est ce que t'as pas laissé un compte google trainer dans un vieux tel refilé au voisin/cousin/autre?
j'en connais beaucoup qu'ont eu ca : compte google absolument pas piraté mais le compte hurle au loup en voyant l'ancien tel se connecter d'une box inconnue.. sans qu'aucun piratage n'ait été tenté !

sinon, un éventuel vpn? ou autre appli mobile testée? ou autre procédure un peu inhabituelle sur l'ordi?

dire "j'ai été piraté" c'est hyper vague :
-virus qu'a supprimé des fichiers?
-ransomware qu'a chiffré les documents?
-malware qui fait des choses bizarres sur ordi?
-publiciware qui affiche des filles en pettie tenue en notification chrome?

ya mille explications pour un "piratage", des éléments bien plus précis et concrets sont nécessaires pour apporter un début de réponse cohérente :)
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: basilix le 07 avril 2024 à 16:41:22
@trekker92 : C'est un vaste problème dont on ne maîtrise rien (en étant négatif et désolé).

Des mesures préconisées hasardeusement face à d'éventuelles contres-mesures prises par de fictifs pirates. Quelle est la profondeur du mal ?
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 07 avril 2024 à 16:43:12
Je n'ai remarqué aucune activité évocatrice d'un virus comme des popup ou des redirections bizarres. Pas de ransomware non plus. Juste amazon qui trouve à redire et pense que je suis un bot depuis plusieurs jours avec cette erreur du site tous les soirs et que je trouvais bizarre.

L'alerte google, n'est pas simplement une nouvelle connexion (j'ai déjà eu ce type de mail), mais une alerte critique, que je ne connaissais pas. L’appareil en question est mon PC portable, confirmé par la déconnexion du compte... à 6h40 du matin. À ce moment là le PC était en veille et non connecté au réseau. Y'a donc bien un truc.

Et voici ce que ça m'affiche, ça à l'air plus sérieux qu'une simple connexion... :
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: trekker92 le 07 avril 2024 à 16:53:05
Je n'ai remarqué aucune activité évocatrice d'un virus comme des popup ou des redirections bizarres. Pas de ransomware non plus. Juste amazon qui trouve à redire et pense que je suis un bot depuis plusieurs jours avec cette erreur du site tous les soirs et que je trouvais bizarre.

L'alerte google, n'est pas simplement une nouvelle connexion (j'ai déjà eu ce type de mail), mais une alerte critique, que je ne connaissais pas. L’appareil en question est mon PC portable, confirmé par la déconnexion du compte... à 6h40 du matin. À ce moment là le PC était en veille et non connecté au réseau. Y'a donc bien un truc.

Et voici ce que ça m'affiche, ça à l'air plus sérieux qu'une simple connexion... :

grand interrogation sur la distinction chez google d'une "nouvelle connexion" vs une "alerte critique".
bon courage avec mountain view, vu leur crémerie je passe volontiers la main.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 07 avril 2024 à 16:59:35
Le problème n'est pas vraiment google, mais le truc chopé si c'est bien le cas.

Pour le coup, j'ai eu de la chance que google prévienne d'un truc, sinon je crois que j'en aurais pas tenu compte.

Si le scan AV ne donne rien, je crois que je vais repartir sur une install fraîche pour être sûr vu que de toute façon, y'a la nouvelle LTS qui va sortir et que le support de la 20.04 se termine dans un an, ça ne pourra pas faire de mal.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: basilix le 07 avril 2024 à 17:11:59
Vous êtes en mode indécis.

Citation de: Mastering Linux Security and Hardening, Third Edition, Donald A. Tevault.
Now, understand that I'm showing you these programs because as a Linux administrator, you'll be expected to know about them. In reality, they're not very useful,
because there are a whole lot of rootkits that neither of them will detect. If you really want to prove that, just go to GitHub and do a keyword search for rootkit. Find
a rootkit that will run on Linux, download the source code to a virtual machine, and then follow the included directions for how to compile and install it. Once it's
installed, do a scan with either one of the rootkit scan programs. Most likely, the rootkit won't get detected. Also, don't expect AppArmor or SELinux to prevent
someone from installing a rootkit, because they won't.

Titre: Un virus sous Ubuntu/Firefox ?
Posté par: trekker92 le 07 avril 2024 à 17:53:46
Le problème n'est pas vraiment google, mais le truc chopé si c'est bien le cas.

Pour le coup, j'ai eu de la chance que google prévienne d'un truc, sinon je crois que j'en aurais pas tenu compte.

Si le scan AV ne donne rien, je crois que je vais repartir sur une install fraîche pour être sûr vu que de toute façon, y'a la nouvelle LTS qui va sortir et que le support de la 20.04 se termine dans un an, ça ne pourra pas faire de mal.

"suspect"
"logiciel malveillant"
"peuvent"

le mail de google est flou et ambigü au possible, il n'apporte rien concret à la suspiçion de menace.
rien du tout.
un rootkit sous linux? un autre type de malware?
ca existe : oui.
mais rien n'est indiqué ici..

"attention, logiciel potentiellement malveillant sur appareil linux!"

moi je pense que la renault r4 d'en face est malveillante pour la pollution.. du coup on les met toutes en quarantaine?

la seule piste possible, c'est le xz backdoor vu il y a peu, et si
google le   (https://forum-images.hardware.fr/images/perso/2/little-wolf.gif)considère(https://forum-images.hardware.fr/images/perso/2/little-wolf.gif)   
 (https://forum-images.hardware.fr/images/perso/2/little-wolf.gif)  potentiellement  (https://forum-images.hardware.fr/images/perso/2/little-wolf.gif)     
(https://forum-images.hardware.fr/images/perso/2/little-wolf.gif)  dangereux  (https://forum-images.hardware.fr/images/perso/2/little-wolf.gif)
sans apporter une once de détails à sa décision, alors c'est plus que problématique (comme avertissement, pas comme suspicion)

je pige meme pas qu'une boite aussi énorme apporte
un (https://forum-images.hardware.fr/images/perso/4/touzazimut.gif)avertissement(https://forum-images.hardware.fr/images/perso/4/touzazimut.gif)
aussi (https://forum-images.hardware.fr/images/perso/4/touzazimut.gif)critique(https://forum-images.hardware.fr/images/perso/4/touzazimut.gif)
sans étaler la moindre trace détaillée/raisonnement de décision.

désolé pour le bout de pavé illustré, mais il a au moins le mérite de davantage de clareté que l'avertissement de google, ya pas débat;

""google a voulu communiquer""

google, qui s'en étonne...
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: xp25 le 07 avril 2024 à 18:14:16
Ce serait pas lié à de l'IPv6 tournante qui affole les sites croyant a un hacker essayant de se connecter en changeant toutes les << x >> secondes/minutes son IP ? :P
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 07 avril 2024 à 18:30:08
Possible, mais ça ne change pas toutes les 5 min non plus... Ça fait un moment que l'ipv6 est en place sur mon LAN et ce n’est que ces jours-ci que j'ai ce comportement.

Faudrait que je le désactive pour voir.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: Catalyst le 07 avril 2024 à 18:42:22

Mais c'est vrai que j'ai remarqué ces temps-ci que amazon me demandait souvent de résoudre une image pour vérifier si je n'étais pas un bot, tout comme très souvent le soir, j'ai droit systématiquement à la page d'erreur "erreur interne décelée" qui ne se manifeste pas sur une VM au même moment par exemple.

J'ai le même problème depuis ces derniers jours, l'ipv6 du PC (sous Windows) ayant été changée : passage d'une adresse genre prefix::XXXX à une de type EUI-64. Pas d'autres symptômes.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: Hugues le 07 avril 2024 à 18:43:14
Un peu too much tous ces gif :)
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 07 avril 2024 à 19:02:02
J'ai le même problème depuis ces derniers jours, l'ipv6 du PC (sous Windows) ayant été changée : passage d'une adresse genre prefix::XXXX à une de type EUI-64. Pas d'autres symptômes.

Chez moi pas de changement, je suis toujours en SLAAC et ce depuis le début. Le plus bizarre c'est que la page d'erreur se manifeste le soir (pas vérifié l'heure précise, je dirais à partir de 22-23h), jamais la journée... Au début je pensais qu'ils mettaient à jour le site, mais quand ça le fait tous les soirs au point de ne plus pouvoir  faire de recherche produit (un lien direct vers un produit n'est pas affecté, ni l'espace client), c'est très emmerdant  :-\

J’essaierais de modifier le lifetime par défaut des adresses qui est à 86400s (24h). Ou de passer en DHCPv6 pendant quelques temps.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 08 avril 2024 à 00:41:54
J'ai scanné avec les différents AV. Ça me remonte 4 fichiers soit disant infectés, mais ce sont des fichiers windows. Rien en fichier Linux...

Je reteste quelques jours en désactivant le plus d’extensions qui ne me servent pas pour le moment dans Firefox, pour voir si ça ne viendrait pas de là. Je surveille amazon également.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: basilix le 08 avril 2024 à 10:24:29
Je crois que mon système d'exploitation Manjaro est aussi infecté par du logiciel malveillant.

Titre: Un virus sous Ubuntu/Firefox ?
Posté par: Denis M le 08 avril 2024 à 10:56:56
Ce serait pas lié à de l'IPv6 tournante qui affole les sites croyant a un hacker essayant de se connecter en changeant toutes les << x >> secondes/minutes son IP ? :P
Ça se pourrait bien que ce soit un truc comme ça, il y a quelques temps ça me le faisait sur certains sites avec Chrome, on me disait que je n'étais pas humain.
Je suis en Windows 24H2 insider depuis un moment, avec quasi un Windows tout neuf toutes les semaines, l'actuel datant de vendredi.
Pour l'instant ça ne le fait plus.

Il me semble que les sites étaient surtout des journaux... j'avais mis ça sur le compte de ma "fleur à la boutonnière (https://gitlab.com/magnolia1234/bypass-paywalls-chrome-clean)".
(https://gitlab.com/uploads/-/system/project/avatar/22623311/thailand-magnolia-emblem.jpg?width=96)
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: trekker92 le 08 avril 2024 à 12:13:49
Ça se pourrait bien que ce soit un truc comme ça, il y a quelques temps ça me le faisait sur certains sites avec Chrome, on me disait que je n'étais pas humain.
Je suis en Windows 24H2 insider depuis un moment, avec quasi un Windows tout neuf toutes les semaines, l'actuel datant de vendredi.
Pour l'instant ça ne le fait plus.

Il me semble que les sites étaient surtout des journaux... j'avais mis ça sur le compte de ma "fleur à la boutonnière (https://gitlab.com/magnolia1234/bypass-paywalls-chrome-clean)".
(https://gitlab.com/uploads/-/system/project/avatar/22623311/thailand-magnolia-emblem.jpg?width=96)

tiens, enfin le raisonnement arrive.
prennez un vpn gratuit chez proton ou autre, non hébergé en france : la moitié des sites web commerciaux, surtout francais (leboncoin, sites de vente etc) vous demandera le fameux captcha.
tous les sites hébergés chez cloudflare vous mettront également ce captcha.

je soupçonne le truc, c'est que google hurle au loup pour un simple changement d'IP vu qu'à priori l'utilisateur n'a rien modifié de son ordi et n'a eu aucune attaque.
paranoïa de google quand tu nous tiens : un simple ajout/changement d'IP, voire mieux : l'opérateur à qui l'ip appartient n'a pas correctement màj ses informations IP.

c'est arrivé il y a quelques années quand il y a eu une vente de gros blocs IP dont OVH était impliqué (vendeur ou acheteur je sais plus), suite à une faillite. Et donc un certain nombre d'abonnés FR se sont vus exclus du j au lendemain des offres streaming web de canal+ "ce contenu n'est pas dispo dans cette zone"
ya francetvinfo, tf1 qui font ca, et d'autres aussi : IP non francaise => dégage, sans autre forme de procès.

pareil pour les chaines de tv suisse : pas d'IP suisse? tu regardes pas.

je pense fortement qu'il s'agit d'un opérateur qui a fait un renouvellement de blocs IP, ou qui a mal rempli un formulaire, ou juste réutilisé un bloc sans changer ses propriétés.
ca arrive.
et derrière, tous les abonnés se voient avec une IP enregistrée dans tel pays pour soi disant piratage  (systématiquement basé sur l'ip chez google) => cause d'AVC.
un ingé réseau m'avait dit il y a quelques années qu'il s'était vu confier un bloc IP d'une petite entreprise chinoise, par ex. C'est le seul pays au monde ou les conditions d'utilisations pour les opérateurs, n'obligent pas l'usage des IP uniquement en étant situé/localisé dans le pays (bon depuis avec les VPN c'est un peu caduc mais..)

pour moi, ya 99% de chances que l'OP (posteur original) n'a jamais eu de problèmes sur ses équipements : soit c'est une brebis égarée (ancien appareil non formaté, récupéré ailleurs ou juste sur la mauvaise ip publique), soit c'est google qui le détecte sur un réseau dont les infos publiques ne correspondent pas à leur utilisation.

ce qui est une certaine incompétence (pas chez google) si c'est vriament une histoire d'IP
mais aussi chez google, vu le peu de précisions fournies. C'est clairement flou comme du jus de merde, pour un mastodonte de cette taille c'est une erreur de comm.
un peu comme si l'antivirus ralait : "ya pt'etre un virus kek'part, selon nos espions, on va checker un coup dans les process et on revient vous dire dans quelques jours, vous inquiétez pas"
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 09 avril 2024 à 02:05:55
De nouveau le captcha d'amazon, deux fois de suite à quelques minutes d'intervalle et le retour du message d'erreur en même temps (après vérification, le serveur me renvoi un 503)

Je colle l'url problématique dans chromium, nickel ça passe. Alors que c'est toujours la même machine et donc la même IP, j'ai pas pris une VM cette fois. C'est à devenir fou  :( Un passage en navigation privée ou un changement d'user agent, n'a aucun effet.

Je remets firefox à 0 et si ça fonctionne toujours pas, dézingage de l'install complète, j'en ai marre là  >:(
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: vivien le 09 avril 2024 à 07:14:05
Regarde du côté des extensions Firefox : désactive temporairement celles qui ne sont pas "Recommandée" (une petite coupe Orange apparait à côté de l'extension)

Vérifie (avec le moniteur système de Gnome) que le trafic est nul quand tu ne fais rien sur ton PC (firefox ouvert et firefox fermé)
Un trafic de quelques centaines d'octets toutes les 10 à 30 secondes est normal, plus c'est anormal et signifie qu'un logiciel peut utiliser ta connexion (pour du SPAM ?)
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: artemus24 le 09 avril 2024 à 12:07:04
Salut à tous.

L'alerte de sécurité, cela m'arrive quand je passe de Windows à Debian ou vice-versa.
Je ne sais pas trop pourquoi mais mes deux OS sont bien repertoriés coté sécurité.
Cela n'arrive pas tout le temps, et je n'arrive pas à comprende pourquoi cela arrive.
Pour Human Verification, cela m'arrive, le soir, voire la nuit, mais jamais dans la journée.

Mes adresses IPv4 & IPv6 sont fixes et ce sont les mêmes cotés Windows et coté Debian.
J'utilise Google Chrome ainsi que Mozilla Firefox. Ils sont bien identifiés coté sécurité.
A vrai dire, j'ai l'impression coté sécurité qu'il y a parfois un emballement qui n'est justifié par aucune faille de sécurité.

Gros mystère pour moi.

@+
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 09 avril 2024 à 13:28:34
Regarde du côté des extensions Firefox : désactive temporairement celles qui ne sont pas "Recommandée" (une petite coupe Orange apparait à côté de l'extension)

Vérifie (avec le moniteur système de Gnome) que le trafic est nul quand tu ne fais rien sur ton PC (firefox ouvert et firefox fermé)
Un trafic de quelques centaines d'octets toutes les 10 à 30 secondes est normal, plus c'est anormal et signifie qu'un logiciel peut utiliser ta connexion (pour du SPAM ?)

Merci Vivien.

Oui, c'est ce que j'ai fait. J'ai enlevé la plupart des extensions, pour le moment j'en ai 3 activées : ublock origin, tampermonkey (pour youtube), et user agent switcher (toujours pour YT). Les deux dernière n'ont pas la coupe orange, mais sont assez populaires quand même. Je vais tester sans pour voir (car je les ai sur mes autres PC depuis un bon moment et pas de soucis à priori).

Je surveille également le trafic avec wireshark et surtout les requêtes  dns voir si je vois passer des noms étranges.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: vivien le 09 avril 2024 à 13:48:34
Pour mon info, cela sert à quoi tampermonkey ?

ublock origin est suffisant pour retirer les pubs de YouTube.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: trekker92 le 09 avril 2024 à 13:50:48
Merci Vivien.

Oui, c'est ce que j'ai fait. J'ai enlevé la plupart des extensions, pour le moment j'en ai 3 activées : ublock origin, tampermonkey (pour youtube), et user agent switcher (toujours pour YT). Les deux dernière n'ont pas la coupe orange, mais sont assez populaires quand même. Je vais tester sans pour voir (car je les ai sur mes autres PC depuis un bon moment et pas de soucis à priori).

Je surveille également le trafic avec wireshark et surtout les requêtes  dns voir si je vois passer des noms étranges.

pour moi tu t'alarmes clairement.
enfin bref.. question, pourquoi un pluggin tampermonkey "dédié à youtube"?
pour moi firefox, sous linux, avec ublock/ghostery, évidemment tout en nav' privée (je fais tout uniquement en N/P depuis.. des années) passe très bien pour un yt sans pub.
pas besoin de plus, et si yavait, un bouquin suffirait ;)
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: artemus24 le 09 avril 2024 à 14:04:57
Pensez-vous que ce soit une ou plusieurs extensions dans les navigateurs qui mettent le bordel ?
J'ai ublock ainsi que ghostery, mais aussi adblock.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 09 avril 2024 à 14:43:37
Tampermonkey peut servir à n'importe quel site.

Dans mon cas, c'est un script pour débloquer les vidéos classées en -18 car il est hors de question de filer mes infos à google.

@artemus : tu peux garder seulement ublock, adblock a des pratiques douteuses (ils se font payer pour faire passer certaines pubs)
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: Gnubyte le 10 avril 2024 à 06:51:51
Ubuntu a bien des qualités, mais en distribution très courante elle peut être l'objet d'une attaque. Cela m'était arrivé sur un serveur il y a une douzaine d'années. Le serveur Dell était très récent, et le pilote réseau me posait problème sous Debian. J'ai installé une Ubuntu, jusqu'à un jour percevoir quelques comportements anormaux.
J'avais lancé un "who" pour y découvrir un root logué depuis une IP de ChinaTelecom.

C'était un exploit de ssh démoniaque, je n'ai rien pu faire, à part débrancher. Une chance que la machine en question était non centrale à l'activité d'administration.

J'ai déployé Gentoo par la suite, pour pouvoir lancer un "emerge -e @world" et recompiler l'intégralité du système en cas de doutes.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: vivien le 10 avril 2024 à 07:29:46
Il serait intéressant de savoir comment l'attaquant s'est connecté, force brutte ?

Je ne pense pas que cela soit différent quelle que soit la distribution installée, les composants sont les mêmes d'une distribution à l'autre et les vulnérabilités également.

Ubuntu es très rapide (plus rapide que d'autres distributions) à corriger les failles de sécurité et plusieurs point ont été changés pour améliorer la sécurité (plus de comte root par exemple, AppArmor,...).
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: ppn_sd le 10 avril 2024 à 08:47:52
J'ai déployé Gentoo par la suite, pour pouvoir lancer un "emerge -e @world" et recompiler l'intégralité du système en cas de doutes.

Comment un rebuild de tout le système aurait-il pu changer quelque chose ?

Des règles AppArmor ou SELinux qui quadrillent tout le système et pas juste deux services et le reste en unconfined comme on voit souvent est à mon avis une bonne base mais rarement appliquée.

@Vivien, les profils AppArmor d'Ubuntu couvrent strictement une bonne partie d'un système serveur standard aujourd'hui ?
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: vivien le 10 avril 2024 à 08:53:01
Cela évolue peu à peu en serveur et en desktop.

Tu peux voir quand dans les 4 bugs corrigés par Firefox, 124.0.2, il y en a un suite à l'évolution de la config AppArmor pour Ubuntu 24.04 : https://www.mozilla.org/en-US/firefox/124.0.2/releasenotes/
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: basilix le 10 avril 2024 à 14:21:52
J'ai déployé Gentoo par la suite, pour pouvoir lancer un "emerge -e @world" et recompiler l'intégralité du système en cas de doutes.

Gentoo est un système d'exploitation élitiste qui est finalement plutôt mal conçu. La documentation du système n'est pas entièrement élaborée et c'est trop sophistiqué.

Seule une poignée de personne maîtrise comment fonctionne Portage (son implémentation).
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 11 avril 2024 à 15:58:27
Ça fait 2 jours que j'ai MAJ Firefox, désactivé les extensions non indispensables et testé sans Ipv6 :  Plus de captcha amazon, les recherches fonctionnent et Google n'a pas re-crié au loup.

Du coup... extensions ? IPv6 ? Une faille dans le navigateur ?

Je vais réactiver l'ipv6 et on va voir.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: artemus24 le 11 avril 2024 à 17:16:14
Je ne pense pas que l'IPv6 soit en cause, mais par contre, une extension oui, pourquoi pas.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: basilix le 11 avril 2024 à 19:09:49
Savoir dans quel état se trouve l'environnement (https://guix.gnu.org/fr/blog/2024/identifying-software/). À mon avis ce qui est très problématique, de surcroît, ce sont les cas critiques comme les attaques informatiques.
La cible d'attaques évaluera éventuellement les choses à l'ampleur des dégâts suscités. Si une attaque est survenue, n'est-ce pas déjà trop tard ? Trop abstrait et
trop compliqué. On ne nous enseigne (la société) pratiquement rien là-dessus.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: artemus24 le 11 avril 2024 à 19:32:02
Je ne sais pas trop de quoi tu parles, Basilix, mais a priori, il ne s'agit pas d'une attaque, mais d'un problème erratique que j'ai parfois aussi avec mon Debian, et plus rarement avec mon windows. C'est déroutant la première fois, mais quand cela m'arrive, je vérifie la sécurité et je conclue qu'il y a un problème d'identification du navigateur et de l'OS qui est utilisé. Je ne fais pas plus attention que cela de ce problème.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: basilix le 12 avril 2024 à 07:18:35
@artemus : Qu'est-ce que j'en sais ??

Tchao !
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: renaud07 le 16 avril 2024 à 00:45:42
6 jours plus tard et l'IPv6 réactivé : toujours pas d'alerte de Google et Amazon ne me demande plus de captcha. Affaire qui roule ? En extension j'ai donc : ublock origin, tampermonkey, useragent switcher et video download helper.

Avant, j’avais en plus : I still don't care about cookies, auto tab discard, dark reader, tile tabs WE.

Ça serait donc potentiellement dans celles là qu'il y aurait eu un problème ?
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: trekker92 le 16 avril 2024 à 03:31:44
Je ne sais pas trop de quoi tu parles, Basilix, mais a priori, il ne s'agit pas d'une attaque, mais d'un problème erratique que j'ai parfois aussi avec mon Debian,
c'est pas comme si cette hypothèse n'était pas soulevée depuis.. le début :)

@artemus : Qu'est-ce que j'en sais ??

Tchao !

personne ne sait à part peut etre google, si le système de skynet admet qu'il sait (ou pas! :D )


6 jours plus tard et l'IPv6 réactivé : toujours pas d'alerte de Google et Amazon ne me demande plus de captcha. Affaire qui roule ? En extension j'ai donc : ublock origin, tampermonkey, useragent switcher et video download helper.

Avant, j’avais en plus : I still don't care about cookies, auto tab discard, dark reader, tile tabs WE.

Ça serait donc potentiellement dans celles là qu'il y aurait eu un problème ?

là franchement, vu le "flou" et l'imprécision de l'alerte, et qui te le fournit :
Citer
please contact your dealer
(https://rehost.diberie.com/Picture/Get/f/269293)

sans aucun complément d'info, c'est comme aller tout droit sans jamais connaitre de direction concrète..

==> google.
Titre: Un virus sous Ubuntu/Firefox ?
Posté par: artemus24 le 16 avril 2024 à 09:03:42
@ trekker92 : Je n'ai pas de virus car régulièrement je vérifie l'état de mon ordinateur.
Je ne clique pas sur toutes les pièces jointes que je reçois, surtout s'il s'agit de message d'un inconnu.

Je n'ai pas su pourquoi l'alerte google alors que mon ordinateur ainsi que mes navigateurs sont connus dans la sécurité.
Selon moi, c'est soit un cafouillage coté sécurité google, soit une extension qui met le bordel.
Mais depuis quelques temps, plus aucun problème.