Mayhem, une preuve de concept pour des fraudes financières via Microsoft Dynamics GP

Par Rédaction, secuobs.com
Le 10/12/2012

---

Résumé : Des chercheurs ont présenté la semaine dernière un livre blanc et une preuve de concept démontrant la facilité avec laquelle des fraudes financières pouvaient être mises en place au sein des systèmes de type ERP et notamment au sein de la solution Microsoft Dynamics GP. - Lire l'article



Lors de la conférence Black Hat d’Abu Dhabi, les chercheurs Tom Eston et Breet Kimmel de la société SecureState ont présenté une preuve de concept et un livre blanc s’intitulant « Project Mayhem ». Le code en question démontrant la capacité des chercheurs à mettre en place des fraudes financières au sein du système ERP Microsoft Dynamics GP (Great Plains).

La « beauté » de cette technique étant qu’elle n’exploite aucune véritable vulnérabilité au sens stricte du terme, autorisant ainsi un attaquant à émettre des chèques émis en son nom depuis le compte de l’organisation ciblée. Sous la forme d’un script Python, cette preuve de concept démontre donc ici la facilité avec laquelle de telles fraudes peuvent ici être mises en place.

Bien que les efforts se soient concentrés sur la solution de Microsoft, les deux chercheurs de SecureState ont tout de même tenus à préciser lors de la présentation que Microsoft Dynamics GP était à l’heure actuelle loin d’être la seule solution du marché exploitable via cette technique. Ils ont notamment mentionné les solutions SAP et Oracle comme exploitables.

La technique pouvant d’après eux être comparée à ce que font habituellement les codes malicieux en matière d’injection et de « hooking ». Le script Mayhem va en fait détecter le fonctionnement du logiciel de Microsoft, puis créer une porte dérobée afin que l’attaquant puisse effectuer des requêtes SQL distantes et mener à bien ses fraudes financières par ce biais.

Source :

« Researchers show proof-of-concept Microsoft ERP hack » sur Network World on Security ( lien )