Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Apache, Cyber-attaque, Cybersécurité, Patch

Outil pirate pour compromettre le Framework Web Apache Struts

3 commentaires

Un outil pirate Chinois, datasecuritybreach.fr a appris qu’il était vendu dans le black market, permet d’automatiser une attaque à l’encontre du Framework Web Apache Struts. Les chercheurs de l’éditeur de solutions de sécurité informatique Trend Micro confirme que cet outil était capable de compromettre le Framework Web Apache Struts en exploitant une faille qui vient d’être bouchée par l’Apache Software Foundation. L’outil pirate contient un  Web Shell, un outil qui permet au pirate de se promener dans la machine piégée via cette porte cachée. Une sorte de Shell99 bien connu chez les pirates. Une version java de la bestiole (JspWebShell) permet d’utiliser les technologies JavaServer Pages (JSP) pour les faciliter les actions du pirate.

Un « couteau Suisse » gênant. Même si un rustine existe, peu de mises à jour semblent avoir été effectuées par les utilisateurs de l’outil de développement d’applications web Java. Il faut dire aussi qu’en pleine périodes de vacances, ça n’aide pas. Comme le précise Trend Micro, l’outil pirate exploite les récentes failles CVE-2013-2251 et CVE-2013-1966, ainsi que de vieilles dames, toujours actives, datant de 2010 et 2011 : CVE-2011-3923, et CVE-2010-1870.

Bref, la mise à jour vers la version 2.3.15.1 d’Apache Struts est plus que conseillée : http://struts.apache.org/download.cgi#struts23151. DataSecurityBreach.fr a pu constater sur le blog du groupe de hackers chinois que les premières infos sur la faille ont commencé à pointer le bout de leurs bits en mai 2013. Le 19 Juillet sortait l’exploit. Le 20 juillet, l’outil K-eight, signé par B.L.Brother, était diffusé. Soit trois jours après la diffusion du patch de sécurité d’Apache.

Chiffrement, cryptage, Cybersécurité, Justice, RFID

Le code de sécurité de Porsche piraté

4 commentaires

Flavio Garcia, maître de conférences en informatique à l’université de Birmingham, a découvert comment passer outre le système numérique permettant de faire démarrer les Porsches, Audis, Bentleys et autres Lamborghini. La faille se trouve dans l’algorithme qui permet la vérification de la clé de contact.

Le chercheur devait présenter sa trouvaille lors d’une conférence dédiée à la sécurité informatique, à Washington (Symposium Usenix Security – 14/15 août, ndlr). Une injonction de la justice britannique à interdit à l’universitaire de présenter son travail. Volkswagen, propriétaire des quatre marques de luxe citées, s’attaque aux travaux de Garcia et deux autres experts néerlandais en cryptographie de l’Université Raboud, Baris Ege et Roel Verdult.

La vulnérabilité se situerait dans le RFID de la puce Megamos Crypto, une « bestiole » qui n’a pas évolué depuis plus de 20 ans. Un algorithme trop léger et la clé devient aussi bavarde qu’une mouette.

La justice explique sa décision par le fait que cette publication pourrait permettre de cracker la sécurité des clés et voler les voitures. Le calcule mathématique complexe, qui a permis aux chercheurs de trouver la faille, est sur le web depuis… 2009. Les scientifiques ont utilisé une technique appelée « chip slicing » qui consiste à analyser une puce sous un microscope et lancer un processus d’analyse qui coûte plus de 50,000 euros. Dommage que le juge n’a pas imposé dans la foulée à VW de mettre de l’ordre dans ses bits.

Entreprise

Envoyez vos campagnes emailing tout simplement

Le logiciel Sarbacane est proposé en téléchargement gratuit : l’occasion pour vous de tester la diffusion facile et rapide de vos newsletters. Fidéliser vos lecteurs, clients, visiteurs sur Internet ? Et si vous tentiez l’emailing. Ici, pas question de parler de spam, de pourriel, mais bien d’une gestion efficace et rapide de votre base de données. Sarbacane est la solution d’emailing de référence.

Ce logiciel, en téléchargement gratuit pour tester ses capacités, permet de gérer vos campagnes d’emailing et de newsletter. Importez vos contacts, créez vos mails personnalisés en HTML, et envoyez vos mails à vos lecteurs, clients, visiteurs en toute facilité. Nous vous proposons de tester gratuitement ce logiciel d’emailing pour que vous puissiez découvrir sa simplicité d’utilisation et son efficacité.

Créé par une société du Nord de la France, située à quelques kilomètres de zataz.com, Sarbacane a reçu le label qualité d’Ekomi avec une note loin d’être négligeable : 4.4 sur 5. La Poste, Toshiba, Universal Music ou encore le CIC utilisent Sarbacane : testez gratuitement Sarbacane et laissez-vous convaincre par son utilité et son efficacité.

Sarbacane Téléchargement Gratuit

cryptage, Cybersécurité, Espionnae, Facebook, Fuite de données, Vie privée

Espionner via l’API d’un HTML5

2 commentaires

Une vulnérabilité découverte dans un API d’HTML5 permet de connaitre l’historique de navigation d’un internaute. Cette possibilité a été annoncée dans un document diffusé par le Context Information Security sous le titre de « Pixel Perfect Timing Attacks with HTML5« . Le problème se situe dans l’API requestAnimationFrame.

Cet API consulte l’historique de votre navigateur pour différencier un site web que vous avez visité et celui qui vous aller visiter. Seulement, il a été découvert qu’il était aussi possible, pour un site malveillant, de mettre la main sur l’historique de navigation de chaque visiteur. Si vous couplez requestAnimationFrame à une interception d’ip et quelques informations privées, vous voilà avec la vie privée numérique de l’internaute bien mal en point.  Côté conseil, utilisez le monde « Navigation privée » de votre navigateur.

Facebook, Twitter, Google, Linkedin, Bong, Amazon, Mozilla, Reddit, souffrent de cette potentialité malveillante. Cette technique s’est avérées très efficaces, permettant à un site malveillant de contrôler des milliers d’URL par seconde pour voir si un utilisateur a visité les principaux portails du web.  En 2010, David Baron a publié une proposition pour prévenir de telles attaques, en limitant les styles (css) qui peuvent être appliquées aux liens visités et veiller à ce que l’API JavaScript appelle que les styles des éléments à visiter. Les correctifs avaient été mis en œuvre dans tous les principaux navigateurs. Sauf que la faille découverte permet aussi de lire, à distance, les pixels et, avec un peu de malice, permettre à un pirate de lire ce qui s’affiche dans le navigateur. Le White paper de CIS.

Argent, Arnaque, Banque, Cybersécurité, escroquerie, Paiement en ligne

Piratage d’un compte bancaire, les indices qui mettent la puce à l’oreille

3 commentaires

La plupart des utilisateurs jugent important de protéger leurs informations personnelles stockées sur leurs ordinateurs. Et selon une récente enquête consultée par DataSecurityBreach.fr, réalisée pour Kaspersky Lab, aussi incroyable que cela puisse paraître un participant sur trois (33%) conserve ses coordonnées bancaires sur son ordinateur domestique. A noter que 62 % des utilisateurs considèrent la fuite de données financières comme la menace la plus dangereuse ; 47 % estiment que le vol d’informations bancaires lors d’achat en ligne est le problème le plus préoccupant lorsque l’on se rend sur internet. 57 % des français estiment qu’ils ne sont pas suffisamment outillés pour faire face aux menaces de sécurité sur internet.

Les cybercriminels multiplient les tentatives pour pirater les sites de banque et de commerce en ligne. C’est pourquoi, surveiller ses comptes de paiement en ligne (PayPal, Amazon, Google Checkout, etc.) de près peut éviter des mauvaises surprises à la fin du mois. Comme le rappelle ZATAZWeb.tv, s’informer, c’est déjà se sécuriser. Voici les six « alertes » qui doivent vous faire tendre l’oreille.

1.     Surveiller les activités non autorisées : savoir toujours quelles opérations sont prévues. Tout montant débité sans l’autorisation du détenteur du compte, aussi faible soit-il, doit constituer un signal d’alerte.

2.     Attention aux notifications : Le fait de recevoir un e-mail informant que les informations de son compte ont changé alors que rien n’a été modifié peut être un signe que le compte a été piraté.

3.    Attention aux faux appels : si un interlocuteur se présente comme travaillant pour un établissement bancaire ou prestataire de paiement au téléphone, ne pas hésiter à rappeler le service client pour vérifier l’authenticité de l’appel.

4.    Se méfier des textos : si l’utilisateur reçoit soudainement des SMS ou des appels provenant d’un numéro de mobile habituellement non utilisé par son prestataire, il faut être extrêmement prudent quant à son origine.

5.     Vérifier chaque e-mail : si un e-mail ou une autre forme de communication en ligne ne paraît pas authentique, ne pas y répondre sans avoir vérifié son authenticité auprès de son prestataire.

6.     Attention aux faux liens : si des activités inhabituelles sont observées sur son compte, il faut vérifier si aucun lien suspect dans un e-mail n’a été ouvert.

Ainsi, il est bien sûr recommandé aux utilisateurs d’adopter les bons réflexes de sécurité lors des achats en ligne. En outre, l’installation d’un logiciel efficace de sécurisation d’Internet, et notamment des fonctions de banque en ligne, permet d’éviter les attaques de type « man in the browser » qui interceptent les données normalement sécurisées transitant dans un navigateur Web. Dans ce type d’attaque, un malware implanté sur l’ordinateur infecté modifie de manière invisible des pages Web légitimes afin de prendre le contrôle des activités de banque en ligne. L’internaute est bien connecté au site Web authentique de la banque, l’adresse affichée (URL) est la bonne mais des cybercriminels peuvent intercepter la transaction pour dérober les informations financières et, plus grave, de l’argent.

Argent, Arnaque, escroquerie, Particuliers, Pinterest

La méthode miracle anti-cellulite… des pirates

Bitdefender, éditeur de solutions de sécurité, a informé DataSecurityBreach.fr que les utilisateurs de Pinterest étaient visés par la propagation d’une arnaque publicitaire sur ce réseau social qui permet d’épingler ses photos préférées. Ce scam publicitaire concerne une solution « miracle » pour se débarrasser de la cellulite et perdre du poids, une arnaque qui apparaît bien souvent en cette saison estivale. Les scammeurs voient en Pinterest l’endroit idéal pour diffuser ce type d’arnaque puisque parmi les 49 millions d’utilisateurs du réseau social, 80 % sont des femmes. Ce scam n’est pas malveillant mais vise à tirer profit des utilisatrices qui, tombées dans le piège, achèteront le ‘pack beauté’ ou ‘l’offre du jour’.

Cette arnaque, qui a envahi Pinterest en quelques semaines, utilise le tableau d’utilisatrices pour s’y afficher en tant que ‘pin’. Ainsi, de nombreuses femmes ont épinglé malgré elles, sur leur tableau, des dizaines de photos d’un corps exhibant de la cellulite et d’une personne « avant/après » le test de cette solution miraculeuse.

Scam anti-cellulite

L’interface de Pinterest se prête particulièrement à la mise en avant de ce genre de produits. Les images utilisées sont efficaces et le slogan optimiste, ce qui pousse les utilisatrices à cliquer afin de recevoir des « informations auxquelles seulement quelques personnes privilégiées ont accès ». En cliquant sur la photo, l’utilisatrice est redirigée vers plusieurs sites qui affichent tous la même vidéo : quelques exercices basiques qui permettraient de faire fondre les excès de graisse à vitesse grand V. Après ce teasing attrayant, la visiteuse est invitée à s’offrir le pack beauté, sans oublier l’offre du jour, elle aussi à ne pas manquer.

Certains noms de domaines de ces sites sont enregistrés anonymement afin de ne pas révéler l’identité de « l’entreprise » qui fournit les produits en question. Cependant, Pinterest et Google parviennent à bloquer quelques-uns de ces sites, signalés comme dangereux. Afin de se prémunir des arnaques en ligne, Bitdefender préconise aux internautes de toujours utiliser une solution de sécurité à jour et de vérifier sur Internet les informations relatives à la société qui commercialise les produits désirés. Les internautes peuvent aussi bénéficier d’éventuels avertissements ou de l’expérience d’autres acheteurs, grâce à de simples recherches sur le Web.

Virus, Wordpress

PlugIn de sécurité pour WordPress

3 commentaires

Kévin FALCOZ, alias 0pc0deFR, chercheur français en sécurité informatique propose un outil fort intéressant permettant de tester la sécurité des plugins WordPress que DataSecuritybreach.fr vous conseille fortement. L’outil disponible sous le repository Bulk Tools permet actuellement de chercher des vulnérabilités de type SQL ou CSRF. Un outil d’audit ingénieux. « Je travaille dessus, souligne à la rédaction de Data Security Breach 0pc0deFR. Je vais le rendre encore plus puissant dans le but de détecter plus de vulnérabilités ». Bref, un excellent projet qui mérite d’être suivi et encouragé. A noter quelques règles Yara, pour les amateurs d’analyses de malwares.

Cybersécurité, Patch

Faille pour le site du Ministère de la Défense du Koweït

Un commentaire

Le chercheur en sécurité informatique Ben Khlifa Fahmi a alerté la rédaction de Data Security Breach après la découverte d’une faille, de type XSS (Cross Site Scripting, ndlr datasecuritybreach.fr) visant le site Internet du Ministère de la Défense du Koweït. Ce type de faille, classé troisième par l’Owasp, permet d’intercepter les cookies générés par le site (gestion de l’accès à l’administration par exemple, ndlr datasecuritybreach.fr), afficher un faux espace d’accès (Phishing) ou diffuser un code malveillant dans la machine d’un visiteur. Le pirate doit générer un url particulier, à partir de l’adresse officielle du  Kuwait Ministry of Defense et l’envoyer à sa cible. Ben a alerté l’administrateur du site pour permettre sa correction.

Arnaque, Cyber-attaque, Entreprise, Fuite de données, Leak

Les menaces et la sécurité des centres d’assistance technique

Un commentaire

Le SANS Institute of Research a dévoilé les résultats d’une étude sponsorisée par RSA, la division sécurité de EMC, portant sur les menaces et la sécurité des centres d’assistance technique (Les help desks, ndlr datasecuritybreach.fr).

Les help desks sont le point d’entrée des employés pour la résolution des problèmes informatiques. Pourtant on constate que la sécurité informatique reste encore assez à améliorer ; les téléassistants étant mesurés à la rapidité de résolution des problèmes. Ainsi ces centres sont aujourd’hui une voie facile pour les hackers de mettre un pied dans l’entreprise. L’étude réalisée auprès de 900 professionnels de l’informatique dans le monde, tous secteurs confondus, souligne les menaces et le niveau de sécurité des centres d’assistance technique :

–          Pour 69% des répondants, l’ingénierie sociale est le premier moyen pour les hackers d’entrer dans les entreprises via les help desks.  L’ingénierie sociale étant une forme d’acquisition déloyale d’information : les informations basiques et accessibles à tous comme le nom, prénom et numéro d’employé sont souvent le seul moyen d’identifier les collaborateurs.

–          Un tiers des professionnels interrogés atteste que la sécurité de leur help desk reste très faible.

–          43% ne prennent pas en compte le paramètre sécurité lorsqu’ils calculent le budget de leur help desk.

Data Security Breach rappelle qu’afin de prévenir les attaques, les entreprises doivent protéger leurs données tout en répondant aux attentes des employés et ainsi revoir la sécurité de leur help desk. Pour cela RSA recommande :

–          L’automatisation et la mise en libre-service des options pour les questions courantes de l’utilisateur telles que la réinitialisation du mot de passe afin de réduire les erreurs et les vulnérabilités qui conduisent à des failles informatiques et le vol de données

–          Des formations solides et continues du personnel pour apprendre à repérer et réagir à d’éventuelles attaques

–          Des outils avancés qui permettent des méthodes d’authentification plus solides en utilisant des ressources de données dynamiques. (SANS Institut)

Android, ios, Sécurité, Smartphone

Les menaces sur Android se rapprochent des attaques sur PC

Les malwares Android passent du ‘simple’ Trojan par SMS au ransomware. DataSecurityBreach.fr a pu constater selon le rapport sur l’évolution des malwares Android publié par Bitdefender, que de nouvelles e-menaces plus sophistiquées qu’auparavant sont apparues au premier semestre 2013. En effet, si les précédents rapports faisaient état d’une augmentation des Trojans qui envoient des SMS surtaxés à l’insu des utilisateurs de Smartphones, le nombre de ransomwares pour Android a augmenté durant les six premiers mois de l’année, ciblant majoritairement l’Asie. Bien que le Trojan SMS, à l’instar de la famille de Trojans – Android.Trojan.FakeInst, représente 72,51% des malwares Android détectés au niveau mondial, ce rapport confirme une tendance de fond : les menaces sur mobiles se rapprochent de celles bien connues dans le monde des PC, à l’exemple du malware bancaire Zeus qui s’est répandu sous l’appellation ZitMo dans sa version mobile.

Le malware bancaire ZitMo sévit majoritairement en Chine Sur le premier semestre 2013, le rapport d’analyse de Bitdefender montre que les utilisateurs Android qui achètent régulièrement en ligne ont pu être touchés par le Trojan bancaire ZitMo. Si les utilisateurs chinois ont été majoritairement victimes de ce malware (44,65 %), l’Allemagne apparaît aussi comme une cible privilégiée en arrivant en tête des pays européens (14,47 %).

ZitMo Le malware bancaire a pour objectif principal de détourner les transactions réalisées en ligne. Sur Android, ces malwares sont installés sur l’appareil par l’utilisateur en se faisant passer soit pour une application sécurisée, soit pour une mise à jour du certificat de sécurité à télécharger à la suite d’un achat en ligne. DataSecurityBreach vous rappelle que ZitMo reçoit des instructions d’un serveur de commande et de contrôle (C&C) et peut transmettre tous les messages SMS reçus. Cela est particulièrement intéressant pour les hackers puisqu’ils peuvent ainsi recevoir le numéro d’authentification bancaire mTAN (mobile Transaction Authentification Number) aussitôt que l’utilisateur initie une transaction. Grâce au Trojan bancaire Zeus déployé sur le PC, et son équivalent sur mobiles ZitMo qui intercepte les SMS avec le code mTAN, les cybercriminels peuvent ainsi prendre le contrôle total sur la transaction bancaire. Le Trojan ZitMo est également exploité par les cybers escrocs pour dérober des données personnelles, au même titre que d’autres familles de malwares Android, et parfois même les adwares qui peuvent sembler plus inoffensifs de prime abord.

Augmentation du nombre de ransomware pour Android

Bitdefender a également analysé la propagation de la famille de malwares FakeAV qui comprend entre autres le nouveau ransomware Android. FakeAV.C. ainsi que le Trojan Android.FakeAV.B dont le but était de voler des données personnelles ou sensibles. L’analyse révèle que l’Inde (32,70 %) et l’Indonésie (15,90 %) sont les deux pays les plus ciblés par cette famille de ransomwares, devant la Malaisie (6,96 %) et la Thaïlande (4,68 %). L’Europe est encore relativement épargnée par ce type de ransomware pour Android pour le moment. Cela s’explique par le fait que les utilisateurs européens ne téléchargent pas encore autant d’applications à partir de plates-formes non officielles, autre que Google Play.

FakeAV

Découvert en Asie, le nouveau malware Android. FakeAV.C, se comporte à peu près de la même façon qu’un ransomware sur PC. Déguisé en solution antimalware, incitant l’utilisateur à le télécharger de son plein gré, il bloque la machine sur laquelle il est installé. L’utilisateur piégé est ensuite sommé de payer une somme d’argent s’il veut voir les fonctionnalités de son appareil de nouveau accessibles. Le niveau accru de sophistication et la similitude de ce Cheval de Troie avec un ransomware pour PC pourraient suggérer que les codeurs de malwares Android se lancent sur ce « marché » en pleine croissance. La reproduction des comportements de malwares PC sur Android n’est pas une nouveauté puisque déjà observée dans le passé avec les adwares, qui ont gagné en popularité et se sont développés sur les OS mobiles. A noter que la famille Android.Adware.Plankton, reste la famille d’adwares la plus active au niveau global avec 53,34 % de détections.

Adwares

Le manque de politique de sécurité encadrant le BYOD, qui permet aux salariés d’accéder aux données confidentielles de l’entreprise via leurs appareils personnels, et les risques pris par les utilisateurs peu attentifs et souvent ignorants des risques de sécurité, favorisent activement le travail des cybercriminels. Ces derniers ont alors toutes les cartes en main pour exploiter ces vulnérabilités et pouvoir s’infiltrer et prendre le contrôle de façon ciblée de nombreuses ressources dans une société. Au vu des ces nouveaux vecteurs d’attaques et de la prolifération de nouveaux types d’e-menaces, la sécurité mobile sur Android n’est plus facultative mais obligatoire.