![\"Le](\"\/dernier\/files\/2016\/07\/gavarnie_2.jpg\")
Le cirque de Gavarnie, dans les Hautes Pyr\u00e9n\u00e9es. Je sais, \u00e7a n’a aucun rapport, mais c’est l\u00e0 que je me trouvais hier, et c’est quand m\u00eame plus joli \u00e0 regarder que du mat\u00e9riel informatique.<\/p><\/div>\n
Habitant \u00e0 huit cent kilom\u00e8tres de l\u00e0, j’ai essay\u00e9 de donner deux ou trois conseils, sans grand r\u00e9sultat. Un r\u00e9parateur local a lui aussi tent\u00e9 d’arranger le probl\u00e8me, en installant notamment un antivirus, mais les sympt\u00f4mes n’ont pas disparu, et la tablette n’a plus servi qu’\u00e0 des parties de Sudoku, sans connexion \u00e0 Internet.<\/p>\n
Enfin sur place ces jours dernier, j’ai tent\u00e9 de corriger les probl\u00e8mes de la tablette, en v\u00e9rifiant si des applications ou des extensions malveillantes avaient \u00e9t\u00e9 install\u00e9es, mais je n’ai rien trouv\u00e9 d’\u00e9vident.
\nJ’ai r\u00e9install\u00e9 l’ensemble du syst\u00e8me, et j’y ai remis quelques applications suppl\u00e9mentaires a priori s\u00fbres : Facebook, Chrome, Skype. Et l\u00e0, premi\u00e8re bizarrerie, en me rendant sur Google, j’ai eu droit \u00e0 un message m’indiquant que la connexion n’\u00e9tait \u00ab\u00a0pas s\u00e9curis\u00e9e\u00a0\u00bb.\u00a0Avec un site tel Google, j’ai trouv\u00e9 \u00e7a \u00e9tonnant, mais j’ai pass\u00e9 outre, imaginant une cause b\u00e9nigne\u00a0quelconque. Quelques minutes plus tard, la tablette recommen\u00e7ait \u00e0 ouvrir des sites publicitaires intempestifs. J’aurais d\u00fb prendre en compte\u00a0ce qu’on me disait, mais h\u00e9, tout semblait si normal…<\/p>\n
![\"Le](\"\/dernier\/files\/2016\/07\/gavarnie_1.jpg\")
La grande cascade de\u00a0Gavarnie, plus haute chute d’eau de France M\u00e9tropolitaine, avec un d\u00e9nivel\u00e9 de\u00a0423 m\u00e8tres et un d\u00e9bit qui peut atteindre les 200 m\u00e8tres cubes \u00e0 la seconde en p\u00e9riode de crue. C’est la source du Gave de Pau, qui court entre Lourdes, Pau et Orthez notamment, avant de se jeter dans l’Adour.<\/p><\/div>\n
Plus surprenant encore : ma propre tablette s’est mise \u00e0 faire exactement la m\u00eame chose, c’est \u00e0 dire\u00a0\u00e0 ouvrir les m\u00eames sites, notamment un d\u00e9nomm\u00e9\u00a0tradeadexchange.com et un autre appel\u00e9\u00a0xttaff.com (n’y allez pas). En cherchant ces nom, on trouve sur Internet de nombreux services suspects\u00a0qui qualifient ces sites de virus et proposent gracieusement des logiciels pour les enlever. Ces \u00ab\u00a0services\u00a0\u00bb\u00a0sont \u00e0 mon avis la suite de l’escroquerie, et je parie qu’ils servent surtout \u00e0 installer de bonne foi un logiciel qui interrompra sans doute les ouvertures intempestives de pages ind\u00e9sirables, mais permettra \u00e0 des pirates de prendre le contr\u00f4le ou de surveiller l’ordinateur de l’utilisateur, par exemple pour\u00a0en transmettre le num\u00e9ro de carte bancaire, ou pour en faire une machine zombie d\u00e9di\u00e9e \u00e0 l’envoi d’e-mails de spam. Mon p\u00e8re, qui utilise un Macintosh, n’a pas souffert des m\u00eames sympt\u00f4mes, mais en utilisant mon PC Windows, l\u00e0 encore, j’ai vu appara\u00eetre\u00a0des messages parasites, dont\u00a0notamment un message vocal incompr\u00e9hensible qui m’enjoignait \u00e0 cliquer sur un bouton inexistant (que aurait\u00a0sans doute d\u00fb se trouver sur un pop-up bloqu\u00e9 par mon navigateur) pour le faire taire.
\nC’est clairement la connexion \u00e0 Internet qui avait un probl\u00e8me.
\nSur Twitter, Pierre Beyssac m’a fait une excellente suggestion :<\/p>\n
Pour ceux qui l’ignorent, le DNS (Domain Name Server) est le serveur qui se charge de transformer un nom de domaine (par exemple Google.com) en une adresse \u00ab\u00a0IP\u00a0\u00bb, qui est le v\u00e9ritable format des adresses des machines connect\u00e9es au r\u00e9seau, qu’il s’agisse d’un serveur ou du dispositif que vous \u00eates en train d’utiliser pour lire ces lignes. Par exemple :\u00a077.153.128.87. C’est une sorte d’annuaire, si on veut, et\u00a0un \u00e9l\u00e9ment vital du fonctionnement\u00a0de l’Internet actuel. Rien ne ressemble plus \u00e0 une adresse IP qu’une autre adresse IP, alors j’ai interrog\u00e9 la base\u00a0de donn\u00e9es RIPE<\/a>\u00a0pour en savoir plus sur cette adresse.<\/p>\n Ici, je comprends que le serveur DNS gr\u00e2ce auquel mes parents se connectent est inexplicablement situ\u00e9 dans un data center\u00a0g\u00e9r\u00e9 par une soci\u00e9t\u00e9 d’h\u00e9bergement web britannique\u00a0nomm\u00e9e\u00a0Redstation. Puisque le fournisseur d’acc\u00e8s de la ligne de mes parents est SFR, leurs adresses DNS devraient \u00eatre\u00a0109.0.66.10 et\u00a0109.0.66.20. Je me souvenais que mes parents avaient achet\u00e9 leur modem il y a moins d’un an, car l’ancien ne fonctionnait plus. Ils habitent au milieu de champs de ma\u00efs, \u00e0 une demi-heure de la premi\u00e8re boutique informatique, alors ils ne se sont pas montr\u00e9s tr\u00e8s difficiles et\u00a0ils ont achet\u00e9 \u2014 avec moi pour les conseiller \u2014\u00a0le premier modem\u00a0qu’ils ont trouv\u00e9, un TP-LINK ADSL2 mod\u00e8le TD-8817, version 3.2, qui \u00e9tait vendu pour\u00a0une trentaine d’euros. La boutique semble\u00a0avoir tout un stock de cet unique mod\u00e8le, sorti il y a d\u00e9j\u00e0 sept ans et dont le constructeur n’assure plus le support. Et puis une demi-heure plus tard, une page bizarre s’est ouverte sur mon ordinateur portable, et puis sur ma tablette : le probl\u00e8me \u00e9tait revenu ! Cette\u00a0adresse est g\u00e9olocalis\u00e9e \u00e0 deux pas de la place de la R\u00e9publique,\u00a0et appartient\u00a0\u00e0 la soci\u00e9t\u00e9 Aruba<\/a>, un h\u00e9bergeur web fran\u00e7ais. Cr\u00e9puscule sur les champs de ma\u00efs.<\/p><\/div>\n Le souci\u00a0a finalement \u00e9t\u00e9 r\u00e9gl\u00e9 par l’installation de la\u00a0\u00ab\u00a0box\u00a0\u00bb (un modem-routeur aussi, mais sur lequel seul le fournisseur d’acc\u00e8s \u00e0 Internet\u00a0a r\u00e9ellement la main)\u00a0fournie par\u00a0l’op\u00e9rateur qui, cette fois, pose des probl\u00e8mes de t\u00e9l\u00e9phonie.![\"suggestion_DNS_pb\"](\"\/dernier\/files\/2016\/07\/suggestion_DNS_pb.png\")
<\/a><\/p>\n
\nAujourd’hui, avec les \u00ab\u00a0box\u00a0\u00bb, le DNS est attribu\u00e9\u00a0par le fournisseur d’acc\u00e8s \u00e0 l’insu de la personne connect\u00e9e, mais avec\u00a0les modems \u00ab\u00a0\u00e0 l’ancienne\u00a0\u00bb, c’est\u00a0un param\u00e8tre que l’on peut (et parfois qu’il faut)\u00a0saisir manuellement pour configurer sa connexion.
\nEnfin bref, j’ai fait ce que Pierre m’a propos\u00e9, j’ai v\u00e9rifi\u00e9 quel DNS j’utilisais, gr\u00e2ce \u00e0 la commande ipconfig1<\/a><\/sup>.
\nVoici les serveurs DNS que j’utilisais :<\/p>\n Serveurs DNS. . . . . . . . . . . . . : 31.3.244.140\r\n 31.3.244.139<\/pre>\n
No abuse contact found.\r\n \r\ninetnum: 31.3.244.128 - 31.3.244.143\r\nnetname: RSDEDI-KOKIIKBK\r\ndescr: Dedicated Server Hosting\r\ncountry: GB\r\nadmin-c: DUMY-RIPE\r\ntech-c: DUMY-RIPE\r\nstatus: ASSIGNED PA\r\nremarks: ABUSE REPORTS: abuse@redstation.com\r\nmnt-by: REDSTATION-MNT\r\nmnt-domains: REDSTATION-MNT\r\nmnt-routes: REDSTATION-MNT (...)<\/pre>\n
\nSur un forum de Google, j’apprends que d’autres personnes souffrent des m\u00eames sympt\u00f4mes<\/a>, et utilisent eux aussi les serveurs DNS fautifs.
\nIl s’agit d’une attaque par \u00ab\u00a0man in the middle\u00a0\u00bb, o\u00f9 le serveur\u00a0d\u00e9tourne les requ\u00eates afin d’y r\u00e9pondre en ajoutant ce qu’il veut, \u00e0 savoir, ici, un petit bout de code qui ouvre des pages impromptues. Restait \u00e0 savoir comment on pirate un modem pour en modifier les adresses de serveurs DNS.<\/p>\n![\"tp_link_passoire\"](\"\/dernier\/files\/2016\/07\/tp_link_passoire.jpg\")
<\/p>\n
\nLe modem refusait mes demandes directes de connexion, alors pour le reconfigurer j’ai d\u00fb effectuer un \u00ab\u00a0factory reset\u00a0\u00bb qui le ram\u00e8ne \u00e0 l’\u00e9tat qu’il avait au sortir de l’usine. J’ai ensuite pass\u00e9 un petit temps\u00a0\u00e0 chercher\u00a0les param\u00e8tres de connexion \u00e0 saisir, pas vraiment aid\u00e9 par une employ\u00e9e de support en ligne\u00a0qui, de l’autre c\u00f4t\u00e9 de la M\u00e9diterran\u00e9e, n’a jamais r\u00e9ussi \u00e0 me croire lorsque je lui disais que l’appareil que j’utilisais n’\u00e9tait pas une boite blanche avec un carr\u00e9 rouge, et me jurait que mes identifiants et mots de passe \u00e9taient imprim\u00e9s sous le modem.
\nEnfin \u00e7a a march\u00e9, j’ai pu retrouver la connexion. Cette fois, les serveurs DNS \u00e9taient bien ceux de SFR, tout allait bien.<\/p>\n
\nEn faisant \u00e0 nouveau un \u00ab\u00a0ipconfig\u00a0\u00bb, j’ai d\u00e9couvert que le serveur DNS \u00e9tait\u00a0\u00e0 pr\u00e9sent\u00a089.38.150.18, sur lequel je me suis aussit\u00f4t renseign\u00e9 :<\/p>\ninetnum: 89.38.150.0 - 89.38.150.255\r\nnetname: ARUBACLOUD-FR\r\ndescr: Aruba Cloud\r\ncountry: FR\r\nadmin-c: DUMY-RIPE\r\ntech-c: DUMY-RIPE\r\nstatus: ASSIGNED PA\r\nmnt-by: ARUBA-MNT\r\ncreated: 2015-10-02T10:11:37Z\r\nlast-modified: 2015-10-02T10:11:37Z\r\nsource: RIPE-GRS\r\ngeoloc: 48.86832824998001 2.362060546875\r\nlanguage: FR (...)\r\n<\/pre>\n
\nQuelques dizaines de minutes plus tard, le param\u00e8tre DNS \u00e9tait \u00e0 nouveau chang\u00e9 et redevenait la paire britannique 31.3.244.140 et 31.3.244.139.
\n\u00c0 croire que des bots \u00e9taient en train de se battre pour prendre le contr\u00f4le du modem et en modifier les DNS \u00e0 leur guise. Et je pense que c’est exactement ce qui se passait. Quelques recherches sur Internet m’ont prouv\u00e9 que le mod\u00e8le de modem en question a une faille notoire, il est tr\u00e8s facile, \u00e0 distance et \u00e0 l’aveugle, de s’y connecter et d’en modifier les param\u00e8tres. J’ai m\u00eame trouv\u00e9 en vid\u00e9o un tutoriel de cracker<\/a> expliquant la marche \u00e0 suivre pour pirater l’engin. En continuant mes recherches, j’ai appris que de nombreux autres mod\u00e8les de modems (Netgear, Trendnet, Zyxel, Dlink,…) souffraient du m\u00eame genre de failles<\/a>, voire de la m\u00eame faille, car ces soci\u00e9t\u00e9s\u00a0diff\u00e9rentes embarquent souvent le m\u00eame logiciel d’administration. Peu d’entre ces marques se donnent la peine de produire des \u00ab\u00a0patchs\u00a0\u00bb correctifs, et aucune ne le fait pour les mod\u00e8les un peu anciens.<\/p>\n![\"champs_de_mais\"](\"\/dernier\/files\/2016\/07\/champs_de_mais.jpg\")
\nAvec le hacking de mon serveur<\/a>,\u00a0il y a quelques mois, ce nouvel \u00e9pisode me rappelle que les pr\u00e9cautions \u00e9l\u00e9mentaires d’hier ne suffisent\u00a0plus, et qu’on rencontre d\u00e9cid\u00e9ment beaucoup de malveillance sur Internet, et de malveillance grossi\u00e8re et destructrice.<\/p>\n