Archives mensuelles : mai 2015

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Mise à jour, Patch, Piratage, Wordpress, Wordpress

Possibilité de piratage via WordPress 4.2

Voilà une attaque informatique possible qui tombe en pleine période de vacances et autres ponts de ce début mai. Une faille permet de jouer de bien mauvaise façon avec les sites sous WordPress 4.2.

WordPress vient de combler une nouvelle faille. Cette dernière touche la nouvelle monture de ce CMS en version 4.2. Bilan, il est plus que conseillé de mettre à jour votre outil web (Laissez WP se mettre à jour automatiquement, NDR). Cette fois, l’exploit permettait de modifier le mot de passe de l’administrateur du site. Autant dire que cela fait désordre. La faille permettait aussi de créer des comptes avec les droits administrateur, de modifier ensuite les contenus du site. Vérifiez bien, d’ailleurs, qu’aucun pirate ne se soit amusé à installer une application malveillante dans vos pages.

Via un XSS et un bourrage d’informatique à la sauce Buffer Overflow (BoF), il était possible d’exécuter un code malveillant à partir de l’espace commentaire d’un WordPress. Jouko Pynnönen, qui a révélé la chose, indique que la faille touche WordPress 4.2, 4.1.2, 4.1.1, 3.9.3. et MySQL 5.1.53 et 5.5.41.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données

Des passwords du contrôle ferroviaire de la gare de Londres à la TV

Un documentaire de la BBC révèle dans ses images les mots de passe utilisés dans le centre de contrôle ferroviaire de la gare de Londres Waterloo. ZATAZ se demande s’il faut rire des images ou pleurer de la faiblesse des mots de passe ?

Dans le documentaire « Nick and Margaret: The Trouble with Our Trains » de cette fin avril, la BBC propose de visiter les petits secrets des transports ferroviaires du Royaume de sa Gracieuse Majesté. Vers la 43ème minute du reportage, le Centre de contrôle intégré du Wessex. Une zone sensible de la SNCF britannique située au-dessus de la plateforme de la gare de Londres Waterloo. Une « base » ouverte 24 heures sur 24 qui permet de contrôler les trains et les embranchements ferroviaires. ZATAZ.COM montre que des mots de passe sont collés sur les écrans. Au moins 3 sont parfaitement visibles à l’écran ! Des « Password » très faibles ne comportant que des lettres et quelques chiffres. Comme l’indique zataz, les leçons de TV5, de la Coupe du Monde de Football 2014 ; de TF1 et de beaucoup d’autres ne semblent pas encore bien intégrées par les utilisateurs !

Android, Argent, Arnaque, Cyber-attaque, Cybersécurité, escroquerie, Facebook, Identité numérique, Leak, Particuliers, Piratage, Sécurité, Smartphone, Vie privée

Un malware se glisse sur Google Play sous les traits de l’appli Dubsmash

Jan Piskacek, analyste spécialiste des malwares sur mobile chez Avast Software, a récemment découvert une application malveillante sur Google Play appelée « Dubsmash 2 », un « porn clicker » qui circule en arrière-plan des systèmes infectés, favorisant l’ouverture de sites pornographiques et de leurs annonces publicitaires. En outre, l’application lancerait YouTube – s’il est installé sur le mobile de l’utilisateur – et lirait les vidéos.

L’éditeur a averti Google qui a immédiatement supprimé l’application. Toutefois, avant son retrait de Google Play, l’application a pu être téléchargée entre 100 000 et 500 000 fois. Il est donc probable qu’elle soit encore présente sur le système de certains utilisateurs. L’analyste spécialiste des malwares sur mobile, Jan Piskacek, explique à DataSecurityBreach.fr que « De Lena Dunham à Hugh Jackman, toutes les vedettes utilisent Dubsmash, septième application la plus populaire disponible sur Google Play selon le classement actuel et déjà téléchargée plus de 10 millions de fois. Elle permet aux utilisateurs de choisir un son parmi une sélection proposée, d’enregistrer une vidéo d’eux en train de doubler le son choisi et de la partager avec leurs amis via les réseaux sociaux. Cette application, largement adoptée par les adolescents et les célébrités, a également suscité l’intérêt des développeurs de programmes malveillants« .

Une fois l’application « Dubsmash 2 » installée par les utilisateurs persuadés de télécharger la version 2.0 de leur application préférée, aucun indice ne permet de confirmer sa présence sur le terminal. Elle génère en effet à la place une icône intitulée « Réglages IS » très semblable à la véritable icône des réglages sur Android. Il s’agit là d’une ruse courante utilisée par les auteurs de malwares, afin de rendre plus difficile l’accès à l’application à l’origine des problèmes causés. Les activités malveillantes peuvent alors être déclenchées de deux manières différentes : soit via le lancement de « Réglages IS », soit via une interface qui détecte la connectivité du terminal à internet et lance l’application automatiquement si l’utilisateur ne l’a pas fait lui-même.

En s’infiltrant insidieusement, le hacker peut également désactiver le démarrage des services à distance et agir sans que l’utilisateur ne s’aperçoive qu’une action malveillante est en cours sur son terminal. Le pirate peut ainsi télécharger une liste de liens renvoyant vers des sites pornographiques divers à partir d’un lien URL crypté et stocké dans l’application ; ce dernier lance ensuite une vidéo via l’application YouTube installée sur le terminal.

Cette technique aurait permis au pirate de gagner de l’argent via un système de clics sur plusieurs publicités présentes sur les sites pornographiques. Il est probablement passé par un faux système de rémunération au clic contracté avec les annonceurs pensant que leurs publicités étaient diffusées sur de vrais sites. L’application « Dubsmash 2 » est sans danger pour l’utilisateur et moins sophistiquée que les autres familles de malwares tels que Fobus ou Simplocker. Toutefois, elle rappelle que malgré les mesures de protection mises en place par Google pour éviter cela, on trouve encore sur Google Play des applications indésirables qui s’installent insidieusement sur les systèmes, à l’insu des utilisateurs.

Argent, Banque, Cybersécurité, Entreprise, Identité numérique, Paiement en ligne, Particuliers

PayPal étend son service de Protection des Achats

Musique, livres numériques, jeux, et encore bien d’autres produits et services immatériels achetés en ligne via PayPal sont dorénavant couverts par la Protection des Achats !

La sécurité et la confiance des consommateurs sont des priorités pour PayPal. Avec pour volonté première de leur proposer toujours plus d’avantages, PayPal optimise son service de Protection des Achats et entend ainsi renforcer la confiance de ses utilisateurs dans l’achat en ligne. Dès le 1er Juillet 2015, la Protection des Achats PayPal déjà offerte aux utilisateurs pour les biens matériels, sera étendue aux services, contenus numériques tels que la musique, les jeux, les livres, billets de voyages et encore bien d’autres produits immatériels.

PayPal s’engage ainsi à rembourser les consommateurs français s’ils ne reçoivent pas leur commande ou si celle-ci ne correspond pas à la description de l’annonce. Dans un souci d’impartialité entre les acheteurs et les vendeurs, PayPal examinera au cas par cas l’ensemble des réclamations reçues. Conscient que ses utilisateurs ne consomment pas seulement sur des sites locaux, la Protection des Achats PayPal s’applique aussi bien pour les achats effectués en France que sur des sites étrangers… Une raison de plus de faire confiance à l’achat en ligne !

Android, Biométrie, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Particuliers, Patch, Piratage, Smartphone, Téléphonie, Vie privée

Samsung s5 : biométrie piratée !

Des chercheurs de la société FireEye viennent de mettre à jour une faille importante dans la sécurité des Samsung Galaxy S5. Un hacker se connectant au téléphone (même avec le niveau d’accès le plus faible) sera capable d’en extraire les données biométriques, soit une copie de l’empreinte digitale de l’utilisateur.

Cette révélation démontre une nouvelle fois que les systèmes d’identification biométriques grand public peuvent être piratés. En janvier, les hackers Chaos Computer Club avaient réussi à reconstituer l’empreinte digitale du ministre de la défense allemand. Sur le papier, la biométrie est un bon moyen de prévenir l’usurpation d’identité et les fraudes associées. On peut vous voler vos mots de passe mais pas vos empreintes digitales ou votre œil. Soit. Mais on constate bien que l’authentification biométrique est aussi piratable.

Ce qui pose problème, c’est qu’une fois piratées, les données biométriques ne peuvent être modifiées. Vous ne pouvez pas changer votre empreinte digitale ou rétinienne comme un mot de passe, et vous n’avez pas envie que n’importe qui en prenne possession. Une fois que vos empreintes digitales seront dans la nature (sans forcément que vous soyez prévenu), vous serez en risque si votre empreinte digitale est la porte d’entrée vers vos données personnelles ou professionnelles.

On a beau nous annoncer la mort du mot de passe chaque semaine dans la presse technologique, il a encore de beaux jours devant lui !

Ce n’est en réalité pas tout à fait un hasard si le mot de passe s’est imposé depuis des décennies comme un « standard de fait ». Un peu comme le clavier AZERTY que beaucoup ont cherché à remplacer, il a survécu pour l’instant aux nombreuses innovations qui ont cherché à le remplacer. C’est en effet une technologie peu coûteuse, non brevetée, qui peut être utilisée de manière anonyme et qui permet de gérer la grande majorité des connexions sécurisées sur le web. Surtout lorsqu’une faille de sécurité est découverte, vous pouvez changer vos mots de passe pour vous assurer que vos données sont en sécurité. Ca n’est pas le cas avec la biométrie !

Employés correctement, les mots de passe sont sécurisés. Ils doivent être différents pour chaque site et composés de caractères alphanumériques choisis aléatoirement. Il est par ailleurs nécessaires de les changer régulièrement. Si vous respectez ces règles et stockez vos mots de passe sous forme cryptée, vous êtes en sécurité. Le vrai sujet ce sont moins les mots de passe que la manière dont nous les gérons. Le cerveau humain n’en est pas capable et c’est pourquoi il doit être suppléé par un outil comme Dashlane.

Les récents développements dans l’authentification en ligne sont très intéressants, notamment pour améliorer les méthodes d’authentification fortes combinant différents facteurs et utilisées pour des données très sensibles. Le mot de passe est cependant le standard de fait de l’authentification en ligne. Pour être en sécurité sur le web dès aujourd’hui, et non pas demain, la seule solution est de renforcer la sécurité de ses mots de passe. (Guillaume Desnoes, responsable des marchés européens de Dashlane / Forbes)

 

Android, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Hacking, Leak, Mise à jour, Piratage, Rendez-Vous, RFID, Smartphone, Téléphonie

Une puce dans la main pour pirater des smartphones

Nous avions la puce dans le bras pour rentrer en boîte de nuit, voici venir la puce NFC dans la main pour pirater des téléphones portables.

Seth Wahle est un chercheur en sécurité informatique et technologie sans fil qui a de la suite dans les idées. Il vient de se lancer dans un projet qui demande quelques connaissances en couture et charcuterie.

Il s’est implanté une puce NFC sous la peau de sa main afin de tester son système d’interception de données. Dans sa main gauche, entre le pouce et l’index, du matos acheté sur le site chinois AliBaba. Pour 40 dollars, le voilà avec un outil de 888 bytes de mémoire. Dorénavant, sa main n’a qu’à effleurer un téléphone dont le NFC est branché. Un contact qui lance une page web qui exécute le téléchargement d’un programme comme il l’a expliqué au journal Forbes. Il faut cependant que le téléphone ne soit pas trop protégé pour accepter le téléchargement et l’installation de l’outil pirate.

Il présentera son projet à Miami, du 15 au 17 mai prochains, lors d’un hackfest local.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Justice, Leak, loi, Paiement en ligne, Particuliers, Piratage, Vie privée

25 pirates arrêtés dans une opération internationale

Les autorités roumaines ont arrêté vingt-cinq cybercriminels qui s’apprêtaient à s’attaquer aux données bancaires de millions de personnes.

Les pirates présumés agissaient en Roumanie, mais aussi en Belgique, Canada,  Colombie, République dominicaine, Égypte, Estonie, Allemagne, Indonésie, Italie, Lettonie, Malaisie, Mexique, Pakistan, Russie, Espagne, Sri Lanka, Thaïlande, Ukraine, Émirats arabes unis, Royaume-Uni, Etats-Unis. Data Security Breach a appris que la France a été concernée par ce « gang », sans en avoir pour le moment, la confirmation officielle.

Les présumés pirates s’attaquaient aux banques et fabriquaient des clones de cartes bancaires. Ils auraient retiré plus de 15 millions de dollars via des transactions frauduleuses effectués dans 24 pays différents. Si 25 membres de cette équipe ont été arrêtés, il en resterait 27 dans la nature. C’est la Direction des enquêtes sur la criminalité organisée et le terrorisme (DIICOT), le FBI roumain. Pour éviter la détection, les pirates accéléraient le processus en faisant plusieurs petites transactions sur une courte période, généralement le week-end.

En 2013, par exemple, les pirates ont pu retirer 9 millions de dollars via des guichets automatiques situés dans tout l’archipel du Japon. Le 2 décembre 2013, 42000 transactions, via des Distributeurs de billets automatiques, dans 15 villes roumaines différentes, pour un montant de 5 millions de dollars en espèces.

Dimanche 26 avril, les autorités roumaines ont exécuté 42 mandats de perquisition à travers six villes, saisissant des ordinateurs portables, des téléphones mobiles, et 150,000€ en en espèces, des lingots d’or et des peintures. Une opération qui fait suite à l’annonce des services secrets américains à l’encontre de la campagne CyberHeist qui avait permis à des pirates de mettre la main sur 45 millions de dollars en janvier 2013. En mai 2013, 8 pirates (qui semblent liés à gang roumain) se retrouvaient dans les mains de la justice américaine. Ils avaient retiré 2,8 millions de dollars en quelques heures, via des distributeurs de billets de New-York.