Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Mise à jour, Patch, Piratage, Wordpress, Wordpress

Possibilité de piratage via WordPress 4.2

Voilà une attaque informatique possible qui tombe en pleine période de vacances et autres ponts de ce début mai. Une faille permet de jouer de bien mauvaise façon avec les sites sous WordPress 4.2.

WordPress vient de combler une nouvelle faille. Cette dernière touche la nouvelle monture de ce CMS en version 4.2. Bilan, il est plus que conseillé de mettre à jour votre outil web (Laissez WP se mettre à jour automatiquement, NDR). Cette fois, l’exploit permettait de modifier le mot de passe de l’administrateur du site. Autant dire que cela fait désordre. La faille permettait aussi de créer des comptes avec les droits administrateur, de modifier ensuite les contenus du site. Vérifiez bien, d’ailleurs, qu’aucun pirate ne se soit amusé à installer une application malveillante dans vos pages.

Via un XSS et un bourrage d’informatique à la sauce Buffer Overflow (BoF), il était possible d’exécuter un code malveillant à partir de l’espace commentaire d’un WordPress. Jouko Pynnönen, qui a révélé la chose, indique que la faille touche WordPress 4.2, 4.1.2, 4.1.1, 3.9.3. et MySQL 5.1.53 et 5.5.41.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données

Des passwords du contrôle ferroviaire de la gare de Londres à la TV

Un documentaire de la BBC révèle dans ses images les mots de passe utilisés dans le centre de contrôle ferroviaire de la gare de Londres Waterloo. ZATAZ se demande s’il faut rire des images ou pleurer de la faiblesse des mots de passe ?

Dans le documentaire « Nick and Margaret: The Trouble with Our Trains » de cette fin avril, la BBC propose de visiter les petits secrets des transports ferroviaires du Royaume de sa Gracieuse Majesté. Vers la 43ème minute du reportage, le Centre de contrôle intégré du Wessex. Une zone sensible de la SNCF britannique située au-dessus de la plateforme de la gare de Londres Waterloo. Une « base » ouverte 24 heures sur 24 qui permet de contrôler les trains et les embranchements ferroviaires. ZATAZ.COM montre que des mots de passe sont collés sur les écrans. Au moins 3 sont parfaitement visibles à l’écran ! Des « Password » très faibles ne comportant que des lettres et quelques chiffres. Comme l’indique zataz, les leçons de TV5, de la Coupe du Monde de Football 2014 ; de TF1 et de beaucoup d’autres ne semblent pas encore bien intégrées par les utilisateurs !

Android, Argent, Arnaque, Cyber-attaque, Cybersécurité, escroquerie, Facebook, Identité numérique, Leak, Particuliers, Piratage, Sécurité, Smartphone, Vie privée

Un malware se glisse sur Google Play sous les traits de l’appli Dubsmash

Jan Piskacek, analyste spécialiste des malwares sur mobile chez Avast Software, a récemment découvert une application malveillante sur Google Play appelée « Dubsmash 2 », un « porn clicker » qui circule en arrière-plan des systèmes infectés, favorisant l’ouverture de sites pornographiques et de leurs annonces publicitaires. En outre, l’application lancerait YouTube – s’il est installé sur le mobile de l’utilisateur – et lirait les vidéos.

L’éditeur a averti Google qui a immédiatement supprimé l’application. Toutefois, avant son retrait de Google Play, l’application a pu être téléchargée entre 100 000 et 500 000 fois. Il est donc probable qu’elle soit encore présente sur le système de certains utilisateurs. L’analyste spécialiste des malwares sur mobile, Jan Piskacek, explique à DataSecurityBreach.fr que « De Lena Dunham à Hugh Jackman, toutes les vedettes utilisent Dubsmash, septième application la plus populaire disponible sur Google Play selon le classement actuel et déjà téléchargée plus de 10 millions de fois. Elle permet aux utilisateurs de choisir un son parmi une sélection proposée, d’enregistrer une vidéo d’eux en train de doubler le son choisi et de la partager avec leurs amis via les réseaux sociaux. Cette application, largement adoptée par les adolescents et les célébrités, a également suscité l’intérêt des développeurs de programmes malveillants« .

Une fois l’application « Dubsmash 2 » installée par les utilisateurs persuadés de télécharger la version 2.0 de leur application préférée, aucun indice ne permet de confirmer sa présence sur le terminal. Elle génère en effet à la place une icône intitulée « Réglages IS » très semblable à la véritable icône des réglages sur Android. Il s’agit là d’une ruse courante utilisée par les auteurs de malwares, afin de rendre plus difficile l’accès à l’application à l’origine des problèmes causés. Les activités malveillantes peuvent alors être déclenchées de deux manières différentes : soit via le lancement de « Réglages IS », soit via une interface qui détecte la connectivité du terminal à internet et lance l’application automatiquement si l’utilisateur ne l’a pas fait lui-même.

En s’infiltrant insidieusement, le hacker peut également désactiver le démarrage des services à distance et agir sans que l’utilisateur ne s’aperçoive qu’une action malveillante est en cours sur son terminal. Le pirate peut ainsi télécharger une liste de liens renvoyant vers des sites pornographiques divers à partir d’un lien URL crypté et stocké dans l’application ; ce dernier lance ensuite une vidéo via l’application YouTube installée sur le terminal.

Cette technique aurait permis au pirate de gagner de l’argent via un système de clics sur plusieurs publicités présentes sur les sites pornographiques. Il est probablement passé par un faux système de rémunération au clic contracté avec les annonceurs pensant que leurs publicités étaient diffusées sur de vrais sites. L’application « Dubsmash 2 » est sans danger pour l’utilisateur et moins sophistiquée que les autres familles de malwares tels que Fobus ou Simplocker. Toutefois, elle rappelle que malgré les mesures de protection mises en place par Google pour éviter cela, on trouve encore sur Google Play des applications indésirables qui s’installent insidieusement sur les systèmes, à l’insu des utilisateurs.

Argent, Banque, Cybersécurité, Entreprise, Identité numérique, Paiement en ligne, Particuliers

PayPal étend son service de Protection des Achats

Musique, livres numériques, jeux, et encore bien d’autres produits et services immatériels achetés en ligne via PayPal sont dorénavant couverts par la Protection des Achats !

La sécurité et la confiance des consommateurs sont des priorités pour PayPal. Avec pour volonté première de leur proposer toujours plus d’avantages, PayPal optimise son service de Protection des Achats et entend ainsi renforcer la confiance de ses utilisateurs dans l’achat en ligne. Dès le 1er Juillet 2015, la Protection des Achats PayPal déjà offerte aux utilisateurs pour les biens matériels, sera étendue aux services, contenus numériques tels que la musique, les jeux, les livres, billets de voyages et encore bien d’autres produits immatériels.

PayPal s’engage ainsi à rembourser les consommateurs français s’ils ne reçoivent pas leur commande ou si celle-ci ne correspond pas à la description de l’annonce. Dans un souci d’impartialité entre les acheteurs et les vendeurs, PayPal examinera au cas par cas l’ensemble des réclamations reçues. Conscient que ses utilisateurs ne consomment pas seulement sur des sites locaux, la Protection des Achats PayPal s’applique aussi bien pour les achats effectués en France que sur des sites étrangers… Une raison de plus de faire confiance à l’achat en ligne !

Android, Biométrie, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Particuliers, Patch, Piratage, Smartphone, Téléphonie, Vie privée

Samsung s5 : biométrie piratée !

Des chercheurs de la société FireEye viennent de mettre à jour une faille importante dans la sécurité des Samsung Galaxy S5. Un hacker se connectant au téléphone (même avec le niveau d’accès le plus faible) sera capable d’en extraire les données biométriques, soit une copie de l’empreinte digitale de l’utilisateur.

Cette révélation démontre une nouvelle fois que les systèmes d’identification biométriques grand public peuvent être piratés. En janvier, les hackers Chaos Computer Club avaient réussi à reconstituer l’empreinte digitale du ministre de la défense allemand. Sur le papier, la biométrie est un bon moyen de prévenir l’usurpation d’identité et les fraudes associées. On peut vous voler vos mots de passe mais pas vos empreintes digitales ou votre œil. Soit. Mais on constate bien que l’authentification biométrique est aussi piratable.

Ce qui pose problème, c’est qu’une fois piratées, les données biométriques ne peuvent être modifiées. Vous ne pouvez pas changer votre empreinte digitale ou rétinienne comme un mot de passe, et vous n’avez pas envie que n’importe qui en prenne possession. Une fois que vos empreintes digitales seront dans la nature (sans forcément que vous soyez prévenu), vous serez en risque si votre empreinte digitale est la porte d’entrée vers vos données personnelles ou professionnelles.

On a beau nous annoncer la mort du mot de passe chaque semaine dans la presse technologique, il a encore de beaux jours devant lui !

Ce n’est en réalité pas tout à fait un hasard si le mot de passe s’est imposé depuis des décennies comme un « standard de fait ». Un peu comme le clavier AZERTY que beaucoup ont cherché à remplacer, il a survécu pour l’instant aux nombreuses innovations qui ont cherché à le remplacer. C’est en effet une technologie peu coûteuse, non brevetée, qui peut être utilisée de manière anonyme et qui permet de gérer la grande majorité des connexions sécurisées sur le web. Surtout lorsqu’une faille de sécurité est découverte, vous pouvez changer vos mots de passe pour vous assurer que vos données sont en sécurité. Ca n’est pas le cas avec la biométrie !

Employés correctement, les mots de passe sont sécurisés. Ils doivent être différents pour chaque site et composés de caractères alphanumériques choisis aléatoirement. Il est par ailleurs nécessaires de les changer régulièrement. Si vous respectez ces règles et stockez vos mots de passe sous forme cryptée, vous êtes en sécurité. Le vrai sujet ce sont moins les mots de passe que la manière dont nous les gérons. Le cerveau humain n’en est pas capable et c’est pourquoi il doit être suppléé par un outil comme Dashlane.

Les récents développements dans l’authentification en ligne sont très intéressants, notamment pour améliorer les méthodes d’authentification fortes combinant différents facteurs et utilisées pour des données très sensibles. Le mot de passe est cependant le standard de fait de l’authentification en ligne. Pour être en sécurité sur le web dès aujourd’hui, et non pas demain, la seule solution est de renforcer la sécurité de ses mots de passe. (Guillaume Desnoes, responsable des marchés européens de Dashlane / Forbes)

 

Android, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Hacking, Leak, Mise à jour, Piratage, Rendez-Vous, RFID, Smartphone, Téléphonie

Une puce dans la main pour pirater des smartphones

Nous avions la puce dans le bras pour rentrer en boîte de nuit, voici venir la puce NFC dans la main pour pirater des téléphones portables.

Seth Wahle est un chercheur en sécurité informatique et technologie sans fil qui a de la suite dans les idées. Il vient de se lancer dans un projet qui demande quelques connaissances en couture et charcuterie.

Il s’est implanté une puce NFC sous la peau de sa main afin de tester son système d’interception de données. Dans sa main gauche, entre le pouce et l’index, du matos acheté sur le site chinois AliBaba. Pour 40 dollars, le voilà avec un outil de 888 bytes de mémoire. Dorénavant, sa main n’a qu’à effleurer un téléphone dont le NFC est branché. Un contact qui lance une page web qui exécute le téléchargement d’un programme comme il l’a expliqué au journal Forbes. Il faut cependant que le téléphone ne soit pas trop protégé pour accepter le téléchargement et l’installation de l’outil pirate.

Il présentera son projet à Miami, du 15 au 17 mai prochains, lors d’un hackfest local.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Justice, Leak, loi, Paiement en ligne, Particuliers, Piratage, Vie privée

25 pirates arrêtés dans une opération internationale

Les autorités roumaines ont arrêté vingt-cinq cybercriminels qui s’apprêtaient à s’attaquer aux données bancaires de millions de personnes.

Les pirates présumés agissaient en Roumanie, mais aussi en Belgique, Canada,  Colombie, République dominicaine, Égypte, Estonie, Allemagne, Indonésie, Italie, Lettonie, Malaisie, Mexique, Pakistan, Russie, Espagne, Sri Lanka, Thaïlande, Ukraine, Émirats arabes unis, Royaume-Uni, Etats-Unis. Data Security Breach a appris que la France a été concernée par ce « gang », sans en avoir pour le moment, la confirmation officielle.

Les présumés pirates s’attaquaient aux banques et fabriquaient des clones de cartes bancaires. Ils auraient retiré plus de 15 millions de dollars via des transactions frauduleuses effectués dans 24 pays différents. Si 25 membres de cette équipe ont été arrêtés, il en resterait 27 dans la nature. C’est la Direction des enquêtes sur la criminalité organisée et le terrorisme (DIICOT), le FBI roumain. Pour éviter la détection, les pirates accéléraient le processus en faisant plusieurs petites transactions sur une courte période, généralement le week-end.

En 2013, par exemple, les pirates ont pu retirer 9 millions de dollars via des guichets automatiques situés dans tout l’archipel du Japon. Le 2 décembre 2013, 42000 transactions, via des Distributeurs de billets automatiques, dans 15 villes roumaines différentes, pour un montant de 5 millions de dollars en espèces.

Dimanche 26 avril, les autorités roumaines ont exécuté 42 mandats de perquisition à travers six villes, saisissant des ordinateurs portables, des téléphones mobiles, et 150,000€ en en espèces, des lingots d’or et des peintures. Une opération qui fait suite à l’annonce des services secrets américains à l’encontre de la campagne CyberHeist qui avait permis à des pirates de mettre la main sur 45 millions de dollars en janvier 2013. En mai 2013, 8 pirates (qui semblent liés à gang roumain) se retrouvaient dans les mains de la justice américaine. Ils avaient retiré 2,8 millions de dollars en quelques heures, via des distributeurs de billets de New-York.

Microsoft, Patch

PowerShell : faire tomber la sécurité en 5 secondes

3 commentaires

Lors du White Hat Camp de Marrakech (20 au 26 avril 2015), Jérôme Ridet, chercheur en informatique et membre de l’association ACISSI, a démontré que l’outil PowerShell de Microsoft laissait passer les mots de passe en quelques clics de souris.

La commune de Marrakech (Maroc) reçoit la première édition du White Hat Camp, une semaine de conférences (20 au 26 avril 2015), formations et challenge informatique sur le thème du hacking éthique et de la sécurité informatique. L’occasion pour de nombreux chercheurs et vrais professionnels de la sécurité informatique de venir échanger sur leurs découvertes. Parmi les intervenants, le chercheur français, ingénieur réseau, Jérôme Ridet. Ce jeune nordiste est venu expliquer la faiblesse de PowerShell. Une faiblesse qui pourrait faire penser (ce n’est que l’avis de l’auteur de cet article, Ndr) à une porte cachée (backdoor). Certes facilement exploitable avec un peu de curiosité et la lecture complète du mode d’emploi de PowerShell.

PowerShell est un logiciel Microsoft. Il permet aux administrateurs réseau de gérer leurs systèmes. Un outil indispensable qui automatise les taches informatiques comme les créations d’utilisateurs, les gestions des événements, la mise en place des droits utilisateurs… Jérôme Ridet a découvert comment « bypasser » les droits qui peuvent être proposés par un administrateur. Bilan, le « maître des clés » qu’est l’administrateur se retrouve avec un sérieux problème : en quelques commandes, les n’importe quel mot de passe devient accessible. Ils ont beau être chiffrés, les trois commandes (indiquées dans le mode d’emploi, NDR) couplées permettent de mettre la main sur le précieux sésame. « Quand j’ai découvert le truc, explique cet administrateur réseau au site Internet ZATAZ.COM, je n’étais pas sûr de ce que je voyais. Je me suis dit, ce n’est pas possible.« 

Une découverte étonnante, d’autant plus dangereuses que les commandes peuvent être automatisées. Si vous rajoutez un petit détail dans les commandes, un intrus peut même faire disparaître la moindre trace de son action. Des commandes qui peuvent être cachées dans une macro (Excel, Word, Access, …). ZATAZ.COM explique que pour se protéger de ce genre de malveillance, il faut refuser la moindre macro dans les documents que vous pouvez recevoir. Ne jamais saisir son mot de passe, même si l’environnement semble sécurisé. Pour l’administrateur, il est vivement conseillé de bloquer l’invite de commande comme par exemple en supprimant ou en renommant CMD.

backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Social engineering

Spy in the sandbox : espionner un ordinateur en quelques clics

Décidément, espionner les ordinateurs serait un véritable jeu d’enfant. Aujourd’hui, il suffit d’un navigateur compatible HTML5 pour espionner huit ordinateurs sur 10 de par le monde.

Prenez un ordinateur récent, fonctionnant avec un processeur Intel. A cela rajoutez un navigateur Internet compatible html5, une page malveillante et un peu de Javascript et vous voilà la technique du Spy in the sandbox.

Des chercheurs en sécurité de l’université américaine de Cornell (Yossef Oren , Vasileios P. Kemerlis , Simha Sethumadhavan , Angelos D. Keromytis) ont annoncé avoir découvert comment il était (trop, ndr) simple d’espionner huit ordinateurs sur dix de par le Monde. L’ordinateur n’a besoin que d’être motivé par une puce Intel. Une page d’hameçonnage piégée permet d’actionner un ensemble d’actions malveillantes que les chercheurs ont baptisé exploit « micro architectural« .

Un code Javascript dans la page pirate va ensuite collecter les données qui passent (entrantes et sortantes, ndr). La mémoire « tampon » du processeur est trop rapide. Bilan, les informations en caches peuvent être aspirées. Le processeur est rapide, la mémoire vive beaucoup moins. « Se défendre contre cette attaque est possible, mais les contre-mesures nécessaires peuvent exiger un coût loin d’être négligeable » précise les chercheurs dans le document qu’ils ont diffusé.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Leak, Paiement en ligne, Particuliers, Piratage, Social engineering

Piratage de données bancaires dans un cinéma

Du matériel d’interception de données de cartes bancaires découvert dans un cinéma de Toulouse. Le skimmeur a pu toucher des centaines de cinéphile.

Le skimming, depuis plusieurs années, fait de gros dégâts dans les rangs des utilisateurs de cartes bancaires. Il est important de rappeler les dangers de ce genre de matériel, un skimmeur permet d’intercepter les informations contenues sur la bande magnétique de votre carte bancaire. Des données qui seront recopiées sur une carte vierge. Pour le mot de passe, une mini caméra, un faux clavier, ou le simple fait que le malveillant regarde les 4 chiffres taper par sa victime suffisent à finir l’attaque. Le pirate possède un clone parfait de votre CB. Il n’a plus qu’à la réutiliser ou revendre le clone sur le marché noir 2.0, le Black Market.

C’est cette attaque qui a été découverte à Toulouse, dans le cinéma Gaumont Wilson. Trois individus ont été interpellés. Trois hommes d’origines roumaines (les skimmers de cette région sont malheureusement très répandus, NDR). D’après les autorités locales (SRPJ), c’est le second cas en France visant un Guichet Automatique de Billets installés dans un cinéma. Prudence, un skimmer peut s’installer sur le lecteur d’une pompe à essence, d’un parking, d’un péage…

Si placer votre main au-dessus du code que vous allez rentrer est une bonne solution, assurez-vous tout de même que rien ne bouge sur le Distributeur Automatique de Billets. Boitier de réception de votre carte ; plaque des mots de passe ; Au moindre doute, ne tapez rien. (La Dépêche)