Fichiers dangereux
[!toc] Table of Contents
Note : pour une meilleure expérience de lecture, nous donnons ici la « réponse » dès le début. Voir plus bas pour une explication plus détaillée de cette menace.
Quels types de fichiers peuvent être dangereux
Même si aucun des types de fichiers listés n’est malveillant en soi, ils sont souvent utilisés par des attaquant·es pour « cacher » des malwares. Le plus souvent :
- LibreOffice :
.odt: documents texte (Writer).ods: feuilles de calcul (Calc).odp: présentations (Impress).odg: dessins (Draw).odb: bases de données (Base)
- Microsoft Office :
.docx: documents Word.xlsx: feuilles de calcul Excel.pptx: présentations PowerPoint
.pdf: PDF- même des formats d’image comme
.gifauraient déjà été exploités, y compris sur des appareils mobiles.
[!tip]
Il est recommandé d’éviter les types de fichiers « complexes » ci-dessus s’ils ne sont pas nécessaires. Si tu dois malgré tout ouvrir un tel fichier provenant d’une source non fiable, nous recommandons d’utiliser Dangerzone.
Utilise plutôt des fichiers texte et des langages de balisage comme markdown si possible.
Pourquoi c’est important
[!note] It is a matter of security culture to reconsider if it’s really necessary to send an invitation text as a PDF or a draft of a press release as Word document. If it is enough to use the possibilities, that safe markup languages like markdown give you, them use just them.
Markdown est même compatible avec des outils collaboratifs comme Nextcloud.
Dans de nombreux contextes, des camarades privilégient l’envoi de messages (comme des invitations) fortement travaillés sur la forme plutôt que du simple texte. Même si l’intention est louable car elle témoigne d’un soin apporté aux relations, ce comportement entraîne des problématiques qui méritent l’adoption de nouvelles habitudes.
Qu’est-ce qu’un type de fichier
Différents programmes s’attendent à ce que leurs fichiers aient un format spécifique. Ils s’attendent à ce que les fichiers suivent un modèle que le programme reconnaît pour fonctionner correctement.
Chaque type de fichier est généralement identifié par une extension spécifique (comme .odf, .pdf, .jpg), qui indique au système d’exploitation quel programme doit l’ouvrir et comment il doit se comporter. Par exemple, si tu cliques sur un fichier qui se termine par .pdf, le système d’exploitation sait qu’il doit ouvrir le fichier avec un lecteur PDF et non avec ton lecteur de musique.
Comment des fichiers peuvent être dangereux
Prenons un simple fichier texte (pas un document Word, mais un simple fichier texte brut !). Un fichier texte normal contient, sans surprise, du texte, qui n’est rien d’autre que des caractères comme « A », « a », « ; », « / », etc. Ces fichiers texte peuvent être lus et affichés par des programmes simples comme « gedit » de Gnome, le Bloc-notes Windows, etc. Ils ne sont pas capables de fonctionnalités avancées, comme calculer des tableaux à la manière d’Excel ou LibreCalc.
Des programmes plus avancés comme Excel, PowerPoint ou les lecteurs PDF modernes sont capables de fonctionnalités beaucoup plus complexes. Les lecteurs PDF, par exemple, peuvent afficher des formulaires interactifs que tu peux directement remplir dans le lecteur PDF. Ils peuvent contenir des menus déroulants et plus encore.
[!caution] This means, that your PDF viewer, PowerPoint, Excel etc. are able to execute additional code, that is delivered inside the file they are processing.
Même si cela est nécessaire pour utiliser toutes les fonctionnalités du programme, la capacité à exécuter du code supplémentaire peut conduire à de graves risques de sécurité.
Tu as probablement déjà entendu parler de virus distribués via des PDF. C’est exactement ce qui est exploité ici :
[!note] An attacker can smuggle some malicious code inside the PDF. You open the PDF with your PDF viewer. The PDF viewer detects some code and thinks: “Ah, I have to execute this, so that the user has the full functionality of this file” and executes the code, which can then perform malicious actions such as stealing your data and sending it to the attacker.