Tous les articles par Damien Bancal

Banque, Cybersécurité

L’augmentation de la fraude bancaire électronique au Nigeria : Plus de 11 millions d’euros volés en 2023

Le Nigeria est aux prises avec une épidémie persistante de fraude bancaire électronique qui sévit dans le pays depuis plusieurs années. Selon un récent rapport, les banques nigérianes ont été victimes de vols totalisant environ 11 millions d’euros au cours des huit premiers mois de 2023.

Ce fléau de la fraude électronique a été alimenté par des activités frauduleuses liées aux applications mobiles et aux sites web de sociétés de paris sportifs. Il est intéressant de noter que plus de la moitié de ces pertes massives ont été causées par ce type de fraudes, indiquent les représentants du Système nigérian de compensation interbancaire (NIBBS). Une autre méthode employée par les escrocs consiste à utiliser des terminaux de point de vente (POS) pour mener à bien leurs actes criminels.

Les autorités nigérianes ont pris des mesures strictes en faveur des paiements électroniques sans espèces, ce qui aurait pu influencer directement la recrudescence de ces fraudes. Les experts qualifient ces deux méthodes de « trous noirs » en raison de la difficulté à récupérer les fonds détournés des banques.

Bien que le montant total de l’argent perdu par le système bancaire continue d’augmenter depuis cinq ans, le nombre d’opérations frauduleuses diminue trimestre après trimestre. Cela suggère que les cybercriminels nigérians ont opté pour des fraudes plus importantes et plus lucratives, augmentant ainsi considérablement leurs revenus. (Legit)

Android, Cybersécurité, Sécurité, Téléphonie

Prince au persia hacker

L’auteur des chevaux de Troie Android CypherRAT et CraxsRAT s’est révélé être un pirate syrien nommé EVLF.

Selon un rapport publié récemment par Cyfirma, CypherRAT et CraxsRAT sont des chevaux de Troie conçus pour attaquer les utilisateurs Android, permettant à l’opérateur d’accéder à distance à l’appareil mobile de la victime. Des logiciels malveillants permettant à l’attaquant de contrôler la caméra du smartphone, de suivre la localisation de l’utilisateur et d’écouter à l’aide du microphone.

L’auteur de CypherRAT et CraxsRAT propose ces malwares à d’autres cybercriminels selon le modèle « malware-as-a-service » (MaaS). Environ une centaine de malfaiteurs ont acquis une licence à vie pour utiliser ces chevaux de Troie au cours des trois dernières années.

Le pirate syrien EVLF, suspecté d’être le créateur de ces chevaux de Troie, gère une boutique en ligne où les deux malwares sont disponibles depuis septembre 2022.

CraxsRAT, par exemple, est conçu pour que l’opérateur puisse contrôler l’appareil mobile infecté depuis un ordinateur Windows. De plus, l’auteur continue d’améliorer le cheval de Troie en fonction des demandes des clients. Des options permettent de personnaliser et d’obscurcir [cacher] la charge utile, à choisir l’icône, le nom de l’application et les fonctionnalités. Il est même possible de définir des autorisations individuelles que le malware demandera au système d’exploitation. (Cyfirma)

Cybersécurité, Entreprise

Grande braderie chez les pirates d’accés aux entreprises

Ventes massives d’accès à des entreprises par des pirates informatiques proposant leurs infiltrations entre 100 et 150 000 euros.

Sur un forum Russe particulièrement connu dans la communauté des malveillants numériques, les ventes d’accès à des entreprises Américaines, Britanniques, Australiennes, Etc. se sont accélérés ces derniéres semaines. En cause ? Le besoin de liquidité par les pirates, la hausse des failles et des fuites orchestrées grâce au social engineering, le phishing en tête.

Sur une centaine de « messages » publicitaires mis en ligne dans ce forum, ces commerçants pas comme les autres proposent l’accès à une centaine d’entreprises d’une vingtaine de secteurs différents. Parmi ces secteurs, on retrouve la défense, les télécommunications, la santé, les médias et les services financiers, allant de la banque, en passant par des cabinets de comptables ou d’assurances.

Le blog ZATAZ, une référence en la matière d’actualité liée à la lutte contre cyber criminalité, expliquait, il y a peu, comment un pirate informatique commercialisait, pour 130 000€ l’accès à une entreprise japonaise spécialisée dans le high tech santé.

Un pirate commercialise l’accès à un groupe d’agences immobilières américaines. Une vente aux enchères.

Accéder à une radio pour diffuser des informations malveillantes

À titre d’exemple, acheter l’accès à un média peut permettre à un malveillant politique, mais il peut aussi s’agir de blackmarket comme j’ai pu vous le montre ici, de diffuser n’importe quel message de son choix, à l’antenne.

L’accès proposé dans ce forum pirate russophone parle « d’un accès privilégié à une station de radio américaine« . Si le pirate peut accéder à la programmation, aux fichiers MP3 des publicités, des jingles, des musiques, il pourrait y rajouter n’importe quel message de son choix.

Certaines ventes aux enchères, comme ici un accès « militaire », débutent à 800 $

Le prix varient de 100 à 150 000 euros, moins d’un tiers des offres sont proposées moins de 1 000 euros. L’accès le plus coûteux (soit 120 000 dollars) est lié à un réseau d’une grande maison de vente aux enchères mondialement connue. Selon le vendeur, l’acheteur de ce lot obtiendra un accès privilégié en tant qu’administrateur aux enchères d’articles de collection, notamment des violons Stradivarius et des voitures de collection.

Toujours dans les ventes « étonnantes », un important « shop » européen avec plus de 20 000 cartes de crédit piratées en stock a été mis en vente, avec un prix de départ de 60 000 dollars ou encore 6 000 numéros de cartes de crédit de canadiens, avec une validation de 50 %, sont proposés à la vente pour 10 000 dollars américains.

APT, Cybersécurité

Un groupe d’espionnage aligné avec les intérêts chinois usurpant Signal et Telegram

Des chercheurs identifient deux campagnes actives ciblant les utilisateurs d’Android. L’acteur opérant ces outils d’espionnage pour Telegram et Signal sont attribués au groupe APT GREF, aligné sur les intérêts de la Chine. 

Très probablement actives depuis juillet 2020 et depuis juillet 2022, respectivement pour chaque application malveillante, les campagnes ont distribué le code d’espionnage Android BadBazaar via le Google Play Store, le Samsung Galaxy Store et des sites Web dédiés se faisant passer pour des applications de chat légitimes – les applications malveillantes sont FlyGram et Signal Plus Messenger.

Les fausses applications Signal et Telegram sont obtenues en ajoutant aux applications open source Signal et Telegram pour Android du code malveillant. Signal Plus Messenger est le premier cas documenté d’espionnage des communications Signal; Des milliers d’utilisateurs ont téléchargé les applications d’espionnage.

ESET a signalé des détections sur des appareils Android dans plusieurs pays de l’UE, aux États-Unis, en Ukraine et dans d’autres endroits du monde. Les deux applications ont ensuite été supprimées de Google Play.

« Le code malveillant de la famille BadBazaar était caché dans les applications Signal et Telegram troyenisées. Les victimes installent une d’application fonctionnelle, mais avec des moyens d’espionnage en arrière-plan, explique Lukáš Štefanko, chercheur à ESET, qui a fait la découverte. « L’objectif principal de BadBazaar est d’exfiltrer les informations de l’appareil, la liste de contacts, les journaux d’appels et la liste des applications installées. En plus, l’application espionne les messages Signal en reliant secrètement l’application Signal Plus Messenger de la victime à l’appareil de l’attaquant« .

ESET signale les détections de l’Australie, du Brésil, du Danemark, de la République démocratique du Congo, de l’Allemagne, de Hong Kong, de la Hongrie, de la Lituanie, des Pays-Bas, de la Pologne, du Portugal, de Singapour, de l’Espagne, de l’Ukraine, des États-Unis et du Yémen.

En outre, un lien vers FlyGram dans le Google Play Store a également été partagé dans un groupe Telegram ouïghour. Les applications de la famille de logiciels malveillants BadBazaar ont déjà été utilisées contre les Ouïghours et d’autres minorités ethniques turques en dehors de la Chine.

Les deux applications ont été créées par le même développeur et partagent les mêmes fonctionnalités malveillantes, et les descriptions d’applications sur les deux magasins font référence au même site Web de développeur.

Signal Plus Messenger peut espionner les messages Signal en utilisant à mauvais escient la fonction « périphérique connecté ». Pour ce faire, il associe automatiquement l’appareil compromis au dispositif Signal de l’attaquant. Cette méthode d’espionnage est unique : les chercheurs n’ont jamais vu cette fonctionnalité utilisée à mauvais escient par d’autres logiciels malveillants, et c’est la seule méthode par laquelle l’attaquant peut obtenir le contenu des messages Signal.

En ce qui concerne la fausse application Telegram, FlyGram, la victime doit se connecter via sa fonctionnalité Telegram légitime, comme l’exige l’application officielle Telegram. Avant la fin de la connexion, FlyGram communique avec le serveur C & C et BadBazaar et obtient la possibilité d’exfiltrer des informations sensibles de l’appareil.

FlyGram peut accéder aux sauvegardes Telegram si l’utilisateur a activé cette fonctionnalité spécifique; La fonctionnalité a été activée par au moins 13 953 comptes d’utilisateurs. Le serveur proxy de l’attaquant peut être en mesure d’enregistrer certaines métadonnées, mais il ne peut pas déchiffrer les données et les messages réels échangés dans Telegram lui-même.

Contrairement au Signal Plus Messenger, FlyGram n’a pas la capacité de lier un compte Telegram à l’attaquant ou d’intercepter les communications chifrées de ses victimes.

Cybersécurité, Mise à jour, Patch

Les réseaux VMware Aria menacés par des cyber attaques à distance

VMware publie des mises à jour pour corriger deux vulnérabilités de sécurité dans Aria Operations for Networks qui pourraient être potentiellement exploitées par des pirates. L’une d’elle est CRITIQUE !

La plus grave des failles est la CVE-2023-34039, elle est notée 9,8 sur 10 (Sic!), qui concerne un cas de contournement d’authentification résultant d’un manque de génération de clé cryptographique unique. Cette vulnérabilité a été découverte par deux chercheurs de chez ProjectDiscovery, Harsh Jaiswal et Rahul Maini. « Un acteur malveillant disposant d’un accès réseau à Aria Operations for Networks pourrait contourner l’authentification SSH pour accéder à la CLI d’Aria Operations for Networks » informe l’alerte. La seconde « faiblesse« , la CVE-2023-20890 (7,2/10), est une vulnérabilité d’écriture de fichier qui pourrait être exploitée par un pirate disposant d’un accès administratif pour écrire des fichiers et lancer l’exécution de code à distance. A noter que des pirates ont activement exploité d’autres failles, corrigées aujourd’hui, en juin 2023 (CVE-2023-20887). Les patchs sont disponibles ici.

cyberattaque, Cybersécurité

Aprés une cyber attaque, une entreprise débourse plus de 10 millions pour réparer !

Le fournisseur de cloud Rackspace Technology Inc. a dépensé 10,8 millions de dollars pour corriger les conséquences d’une cyberattaque à grande échelle survenue en décembre 2022.

Décembre 2022, les pirates informatiques du groupe spécialisé dans le chantage numérique Play s’attaquent à la société Rackspace Technology Inc., un spécialiste du cloud. L’entreprise a dépensé 10,8 millions de dollars pour corriger les conséquences de cette malveillance numérique.

Selon l’entreprise, la plupart des fonds ont été utilisés pour payer les services d’une société internationale de cybersécurité. En outre, l’argent a aussi été consacré au soutien juridique et aux salaires du personnel en charge d’aider les victimes impactés par ce ransomware.

A noter que des entreprises continuent de porter plainte contre les pirates et Rackstage à San Antonio, Los Angeles et New York. Le rapport fournit par Rackspace à la Securities and Exchange Administration des États-Unis (le gendarme de la bourse US) indique que malgré des poursuites judiciaires, l’entreprise ne subira pas de dommages financiers graves.

Cependant, il est actuellement impossible d’estimer avec précision les pertes potentielles. Les propriétaires s’attendent à ce qu’une part importante des coûts liés à l’incident soit couverte par une assurance cyber-risques.

En mai 2023, un tribunal s’est prononcé en faveur de Rackspace, rejetant un recours collectif intenté par 37 payeurs de divers États américains qui avaient perdu l’accès à leurs données lors de cette cyber attaque. Les pirates de Play ont utilisé une nouvelle méthode pour pénétrer dans le réseau Hosted Exchange. En exploitant la vulnérabilité sous l’identifiant CVE-2022-41080, ils ont eu accès à la correspondance électronique, aux calendriers, aux planificateurs, aux listes de tâches, au carnet d’adresses et à d’autres données dans les fichiers PST (Personal Storage Table) de leurs cibles.

À la suite de l’incident, la valeur boursière de Rackspace a chuté, signe d’une perte de confiance des investisseurs. Les prévisions financières à long terme sont devenues beaucoup moins optimistes.

Cybersécurité, Securite informatique

Prise de contrôle silencieuse : découvrir votre adresse IP via Skype

Une vulnérabilité a été découverte dans l’application mobile Skype qui permet aux pirates d’obtenir l’adresse IP de l’utilisateur lors de l’ouverture d’un message avec un lien spécifique.

Trouver votre adresse IP, via un simple message sur Skype, possible. Ce défaut a été identifié par un chercheur indépendant en sécurité nommé Yossi. Le chercheur a découvert qu’n pirate informatique peut déterminer l’emplacement général d’un utilisateur en lui demandant d’ouvrir un message contenant un lien. Yossi a signalé le problème à Microsoft début du mois d’août. Pour démontrer la vulnérabilité, Yossi a réalisé une démonstration avec l’adresse IP d’un journaliste de 404 Media.

Un pirate pourrait faire de même et récupérer l’IP originale, même si cette adresse est cachée derrière un réseau privé virtuel (VPN). Lorsque Yossi a contacté Microsoft le 12 août, on lui a répondu que « la divulgation d’une adresse IP en soi n’est pas considérée comme une faille de sécurité ». À la suite d’un appel de 404 Media, Microsoft a déclaré qu’il résoudrait le problème dans une « future mise à jour du produit« , sans préciser de date. Rappelons que des pirates chinois ont récemment eu accès au courrier électronique du gouvernement américain via Microsoft Azure, ce qui a suscité des critiques à l’encontre de l’entreprise pour son approche des failles de sécurité.

Plus tôt cet été, le PDG de la société de cybersécurité Tenable, Amit Göran, a accusé Microsoft de « négligence grave » en citant le retard de l’entreprise à corriger une vulnérabilité critique.

cyberattaque, Cybersécurité

Une attaque utilisant le caractère RLO dans le nom de fichier

Les autorités États-Uniennes ont signalé une nouvelle réincarnation d’attaques utilisant le caractère Unicode RLO (Right-to-Left Override), qui permet de basculer l’écriture des noms de fichiers du mode standard de gauche à droite à l’écriture de droite à gauche.

Grâce à ce caractère Unicode illisible, l’extension du fichier peut être masquée de manière à ce que l’utilisateur, lisant de gauche à droite, pense avoir affaire à un certain type de fichier, mais si on le lit de droite à gauche, comme c’est le cas dans certaines langues arabes ou en hébreu, l’extension est fondamentalement différente. Dans l’histoire partagée par le chercheur Krebs, le fichier s’appelait lme.pdf et incitait le destinataire à résoudre des problèmes liés à ses déclarations fiscales. Cependant, en réalité, le nom du fichier contenait ce fameux caractère RLO, ce qui faisait que le fichier devait être lu de droite à gauche – fdp.eml.

Ainsi, la victime de l’attaque de phishing ne recevait pas un document électronique, mais un fichier de messagerie électronique se faisant passer pour un PDF. « L’e-mail est arrivé via Microsoft Office 365 avec tous les filtres anti-spam et anti-phishing activés, mais il n’a pas été intercepté », s’est plaint une victime potentielle de l’attaque auprès de Krebs. « Cependant, si vous envoyez cet e-mail via Mimecast, le programme est suffisamment intelligent pour reconnaître le caractère RLO et renommer le fichier en « ___fdp.eml« . Honnêtement, Microsoft a eu suffisamment de temps pour résoudre ce problème. »

Lorsque le fichier .eml est ouvert, une page Web s’affiche, imitant un avertissement de Microsoft concernant des messages indésirables en attente de récupération dans la boîte de réception de la victime. En cliquant sur le lien « Récupérer les messages », l’utilisateur est redirigé vers un lien marketing de LinkedIn (également propriété de Microsoft), qui est lui-même une redirection vers une ressource de phishing.

Justice

Le fondateur de Group-IB, Ilya Sachkov, a été condamné à 14 ans de prison pour trahison d’État

Le tribunal de Moscou a condamné le fondateur de l’entreprise Group-IB, Ilya Sachkov, à 14 ans de prison. Il purgera sa peine dans une colonie pénitentiaire à régime strict.

Il est précisé que le temps qu’il a passé en détention provisoire a été pris en compte dans sa peine, chaque jour de détention étant équivalent à un jour en colonie. Sachkov est en détention depuis le 21 septembre 2021, après avoir été arrêté à Moscou le même jour et transféré à Lefortovo. En plus de sa peine de prison, Sachkov a été condamné à un an de privation de liberté et à une amende de 500 000 roubles. Le procureur avait réclamé une peine de 18 ans.

La situation a été commentée par l’entreprise F.A.C.C.T. (c’est le nom de la marque Group-IB en Russie). Ils ont déclaré que la défense de Sachkov avait l’intention de faire appel du verdict et prévoyait de s’adresser au président russe. « C’est un moment difficile pour nous tous et un jour sombre pour le marché de la cybersécurité. Ilya Sachkov, mon ami, mon collègue, fondateur de l’une des entreprises les plus prospères dans le domaine de la cybersécurité, a été envoyé en colonie à la suite d’un procès expéditif. » a déclaré Valery Baulin, directeur général de F.A.C.C.T.

Sachkov a été accusé de Trahison d’État. Toutes les audiences ont eu lieu à huis clos, les documents de l’affaire criminelle ont été classés secrets. Selon certaines sources, les témoignages contre lui ont été fournis par l’ancien chef de la 2e division du Centre de sécurité de l’information du FSB, Sergei Mikhailov, qui purge, lui aussi, une peine de prison pour la même accusation. Mikhailov a affirmé que Sachkov aurait transmis au FBI des informations sur des cybercriminels russes et d’autres données constituant un secret d’État.

Cybersécurité, Justice

Un avocat veut savoir quel est le pays Européen a aidé le FBI à mettre le monde sur écoute

Au cours de l’opération spéciale Trojan Shield, le Federal Bureau of Investigation (FBI) des États-Unis contrôlait secrètement les téléphones cryptés Anom. Les avocats de plusieurs criminels arrêtés demandent que soit nommé le pays qui a aidé les agents à intercepter les messages.

Voilà une affaire étonnante. Une plainte a été déposée contre le FBI par des avocats de criminels arrêtés lors de l’opération Trojan Shield. La plainte déposée contre le FBI est la première et la plus importante en son genre concernant les départements technologiques du Bureau fédéral.

Elle pourrait remettre en question les réalisations « numériques » des enquêteurs. Pour rappel, Trojan Shield a permis d’arrêter plus d’un millier de présumés criminels, saisi des tonnes de drogues et des centaines d’armes grâce à une smartphone chiffré, l’Anom. Derrière cette entreprise, les limiers du FBI. « La réalité est que notre gouvernement savait que l’introduction et la diffusion de téléphones espions étaient anticonstitutionnelles. C’est pourquoi il a secrètement inclus un pays européen parmi les participants de l’opération, essayant de contourner les lois sur la confidentialité en vigueur aux États-Unis. Maintenant, le gouvernement refuse de nommer ce pays« , a déclaré Patrick Griffin, l’un des avocats à l’origine de la plainte.

Le journal américain Vice indique que la législation américaine garantit à tous les accusés un procès équitable. En conséquence, Griffin est convaincu que le nom du pays sera révélé, permettant ainsi à la défense de mieux planifier sa stratégie lors des audiences judiciaires. « Sans l’information demandée, les parties au procès ne peuvent pas commencer à enquêter sur la légalité de la mise sur écoute des accusés, ni vérifier la fiabilité et l’authenticité des preuves présentées, y compris celles qui forment la base de cette affaire. De plus, la défense ne peut pas demander des documents supplémentaires d’un pays qu’elle ne connaît pas, chercher à obtenir des témoignages de certains acteurs étrangers ou embaucher des enquêteurs étrangers », est-il mentionné dans la déclaration, qui note également que le gouvernement a refusé de fournir les informations demandées hors procédure judiciaire.

De 2018 à 2021, le FBI a secrètement contrôlé le réseau de téléphones cryptés Anom. Avec le temps, ce téléphone est devenu une partie intégrante du monde criminel. Des criminels le distribuant sans savoir qu’il s’agissait d’un cheval de Troie. La légende d’un soi-disant chiffrement de bout en bout a permis aux enquêteurs de suivre en temps réel les communications des figures clés des leaders du crime mondial.

En juin dernier, on apprenait que le FBI offrait 5 millions d’euros pour arrêter un administrateur d’Anom, un Suédois de 40 ans.

Cybersécurité, Mise à jour, Patch

Versioning : une méthode pirate qui a fait ses preuves

Les logiciels malveillants Android utilisent la technique de « versioning » pour contourner les scanners du Play Store.

Les cybercriminels utilisent la technique de « versioning » pour contourner les mécanismes de détection des applications malveillantes dans la boutique officielle Google Play Store. C’est ainsi que les malfaiteurs introduisent des chevaux de Troie bancaires et d’autres malwares sur les appareils Android. Même les experts de Google Cybersecurity Action Team (GCAT) ont reconnu ce problème dans leur rapport d’août (PDF). La technique de « versioning » n’est pas nouvelle, mais elle n’en demeure pas moins dangereuse.

Ces logiciels malveillants sont difficiles à détecter parce qu’une application tout à fait sûre est soumise à la vérification du Google Play Store. Puis, lors d’une mise à jour ultérieure, l’auteur ajoute simplement son code malveillant. Pour ce faire, ils utilisent une méthode appelée « dynamic code loading » (DCL), qui transforme essentiellement un logiciel inoffensif en porte dérobée, un outil d’espionnage installé, directement, dans notre poche.

À titre d’exemple de ce comportement, citons l’application iRecorder – Screen Recorder. Un autre exemple est le cheval de Troie bancaire SharkBot. Les auteurs peuvent publier plusieurs applications simultanément sous différents comptes de développeurs. Seule l’une de ces applications sera malveillante, les autres étant des réserves que les criminels activeront en cas d’échec du premier logiciel. « Cette tactique permet aux cybercriminels de mener des campagnes assez longues et de réduire au maximum le temps nécessaire pour publier un nouveau chargeur. » confirment les chercheurs.

Cybersécurité, Justice, loi

Blocage de Telegram en Irak, Xiaomi bloque la messagerie en Chine

Les autorités occidentales souhaitent se rapprocher de Telegram pour traquer les cyber criminels, en Iraq et en Chine, la méthode est plus expéditive.

Telegram, la messagerie Russe dont l’auteur a délocalisé son business à Dubaï, fait couler beaucoup d’encre. Il faut dire aussi que les malveillants 2.0 et la guerre Russo-Ukrainienne ont fait migrer des millions de personnes sur cette message qui se veut sécurisée. Le blog spécialisé ZATAZ expliquait dans cet article comment les autorités occidentales tentent de se rapprocher de Telegram pour nouer des partenariats afin de bloquer et traquer les cyber criminels.

En Iraq, le ministère des Communications a annoncé le blocage de Telegram par le gouvernement pour des raisons « liées à la sécurité nationale« . Le Service Veille ZATAZ nous a fourni des captures écrans de vente de BDD irakiennes qui ont pu motiver le blocage de Telegram dans le pays.

Le message indique que le gouvernement a tenté à plusieurs reprises de contacter l’équipe de Telegram dans le but d’établir une coopération, mais n’a jamais reçu de réponse. Un fait que de nombreux pays reprochent à Telegram. « Nous respectons les droits des citoyens à la liberté d’expression et de communication sans porter atteinte à la sécurité de l’État, et nous sommes convaincus que les citoyens comprennent cette mesure [le blocage de Telegram] », ajoute le ministère des Communications d’Irak.

Telegram gagne rapidement en popularité, évinçant les produits de Facebook (WhatsApp, Messenger, Instagram Direct). A noter que Telegram abrite des représentations officielles d’organismes gouvernementaux irakiens qui continuent de publier des actualités sur la plateforme… malgré le blocage. Un blocage qui est facilement contourné par des VPN et des proxies.

A noter que des internautes Turcs et Géogiens se sont étonnés d’être, eux aussi, bloqués. Il est tout à fait possible que les réseaux des fournisseurs d’accès à Internet des pays voisins soient étroitement liés et que le blocage dans un pays ait des répercussions sur les autres.

L’une des principales raisons présumées du blocage de Telegram est la fuite de nombreuses données personnelles des citoyens irakiens à partir des bases de données gouvernementales. Le Service Veille ZATAZ a repéré de nombreuses fuites de données concernant le pays, comme celle visant l’université de technologie spatiale et l’université technique du Nord de l’Irak, ou encore la diffusion, il y a peu, des données des électeurs iraquiens ou d’une base de données baptisée : Sécurité Nationale Iraq. « Elles ont été volées à partir des dispositifs du ministère et n’ont pas été obtenues par des méthodes via le web, souligne le voleur. Les données contiennent toutes les informations sur les citoyens irakiens. »

Pendant ce temps, en Chine, le fabriquant de téléphone Xiaomi désactive Telegram pour les Chinois. Les résidents de Chine ne peuvent plus installer l’application de messagerie Telegram sur leurs smartphones. Selon Bleeping Computer, le système d’exploitation MIUI du géant technologique classe l’application comme dangereuse et la bloque. L’interface maison MIUI en est à sa quatorzième version (Android 13).

« Cette application est frauduleuse et son utilisation peut comporter le risque de devenir une victime d’escroquerie. Par mesure de sécurité, il est recommandé de prendre des mesures de protection pour éliminer la menace des applications dangereuses« , indique le message affiché pour les résidents de Chine lorsqu’ils essaient de lancer le programme. L’article établit un lien direct entre cet événement et l’ajout d’une fonctionnalité à MIUI 13 en 2022, qui permet de marquer les applications malveillantes et de les bloquer.

Suite à cela, l’entreprise a été soupçonnée de surveillance potentielle des utilisateurs et de préparation à des actes de censure. Ces soupçons se sont renforcés après que MIUI ait commencé à bloquer les applications qui permettaient aux utilisateurs de modifier les paramètres réseau en dehors des valeurs par défaut. Dans de tels cas, le système d’exploitation, comme c’est le cas actuellement avec Telegram, bloquait les applications qui ne lui plaisaient pas et essayait même de les supprimer de l’appareil.

backdoor, Cybersécurité

Emotet revient, Lokibot persiste, DarkGate exploite

Un rapport dévoile les méthodes d’infection des familles de logiciels malveillants DarkGate, Emotet et LokiBot. En plus des méthodes de chiffrement unique en leur genre de DarkGate et le retour en force d’Emotet, les exploits de LokiBot se poursuivent, illustrant l’évolution constante du paysage des menaces cyber.

En juin 2023, des chercheurs ont découvert un nouveau loader baptisé DarkGate, doté d’un éventail de fonctionnalités dépassant les capacités habituelles des loaders. Parmi elles, on retrouve un VNC caché, un proxy inverse et des capacités de blocage de Windows Defender, de piratage de l’historique du navigateur infecté, de gestion des fichiers et de vol de jetons Discord.

Le fonctionnement de DarkGate implique une chaîne d’infection en quatre étapes, conçues de manière sophistiquée pour aboutir au chargement de DarkGate. Ce chargeur se distingue par sa façon unique de chiffrer les chaînes de caractères avec des clés personnalisées et une version originale de l’encodage Base64, utilisant un jeu de caractères spécial.

Dans son rapport, la société Kaspersky s’est penchée sur l’activité d’Emotet, un botnet notoire qui a récemment refait surface après avoir été démantelé en 2021. Dans cette nouvelle campagne, les victimes sont amenées à ouvrir, involontairement, un fichier OneNote malveillant qui déclenche l’exécution d’un VBScript caché et déguisé. Le script tente ensuite de télécharger la charge utile malveillante à partir de différents sites web jusqu’à ce qu’il réussisse à s’infiltrer dans le système. Une fois à l’intérieur, Emotet place une bibliothèque de liens dynamiques (DLL) dans le répertoire temporaire, puis l’exécute.

Cette DLL contient des instructions cachées (shellcode), ainsi que des fonctions d’importation chiffrées. En déchiffrant habilement un fichier spécifique à partir de sa section de ressources, Emotet prend le dessus sur le système et parvient à exécuter sa charge utile malveillante.

Une campagne d’hameçonnage ciblant des compagnies de cargos a tenté d’infiltrer les entreprises avec le malware LokiBot. LokiBot est un infostealer identifié pour la première fois en 2016 et conçu pour dérober des identifiants à partir de diverses applications, notamment via des navigateurs et des clients FTP. Les mails de hameçonnage utilisés dans la campagne contenaient un document Excel en pièce jointe invitant les utilisateurs à autoriser les macros.

Les attaquants ont exploité une vulnérabilité connue (CVE-2017-0199) de Microsoft Office, conduisant au téléchargement d’un document RTF. Ce document RTF exploite ensuite une autre vulnérabilité (CVE-2017-11882) pour distribuer et exécuter le logiciel malveillant LokiBot.

Cybersécurité, Securite informatique

Attaques Acoustiques : comment des frappes de clavier deviennent une menace pour vos données

Dans le monde numérique d’aujourd’hui, où les pirates informatiques sont constamment à la recherche de nouvelles méthodes pour accéder à des données sensibles, une menace revient sur le devant de la scéne : les attaques acoustiques.

Des chercheurs d’universités britanniques ont développé un modèle d’apprentissage qui peut voler des données à partir de frappes de clavier enregistrées via un microphone, avec une précision étonnante de 95 %.

L’impact de cette nouvelle attaque a la capacité de compromettre les données les plus sensibles des utilisateurs, allant des mots de passe aux discussions confidentielles. Du moins sur le papier. Contrairement à d’autres attaques nécessitant des conditions spécifiques, les attaques acoustiques sont rendues plus accessibles en raison de la prolifération d’appareils équipés de microphones capables d’enregistrer des sons de haute qualité. Cette situation, conjuguée aux avancées rapides en matière d’apprentissage automatique, rend ces attaques sonores plus dangereuses et accessibles que jamais.

L’évolution des menaces et la nécessité d’une sécurité renforcée

Cette attaque met en évidence la nécessité d’adopter des mesures de sécurité renforcées. Les méthodes traditionnelles de protection, telles que les mots de passe, ne suffisent plus à garantir la sécurité des données. L’authentification multifactorielle, les clés physiques et les systèmes d’entrée sans mot de passe deviennent essentiels pour contrer ces menaces émergentes. Alors que les pirates continuent de rechercher des failles, les entreprises et les individus doivent prendre des mesures proactives pour sécuriser leurs données.

Bien que ce type d’attaque ne soit pas entièrement nouveau, son taux de réussite élevé, atteignant 95 %, est préoccupant. L’idée de capturer les frappes de clavier à partir du son est similaire à la prise d’empreintes digitales via la frappe, incluant la vitesse de frappe, les erreurs et les intervalles entre les touches. Tout cela peut être accompli simplement en écoutant une communication vocale, comme une conversation téléphonique. Cette menace a conduit à l’exploration de concepts tels que l’outil « keytap » développé par Georgi Gerganov en 2018, qui se concentrait sur le son spécifique des claviers mécaniques.

cyberattaque, Cybersécurité, loi

Cyberattaque contre la Commission électorale britannique : Une menace prévisible pour les démocraties modernes

La fragilité croissante des systèmes d’information dans les démocraties modernes a été mise en évidence une fois de plus alors que la Commission électorale britannique a récemment divulgué avoir été victime d’une cyberattaque complexe.

Cette intrusion compromettant les données de millions d’électeurs souligne l’importance de renforcer la cybersécurité pour préserver l’intégrité des processus démocratiques.

Le mardi 8 août, la Commission électorale britannique a révélé être victime d’une cyberattaque sophistiquée qui aurait compromis la sécurité des données de millions d’électeurs. Selon l’organisme de surveillance des élections au Royaume-Uni, des acteurs hostiles non spécifiés ont réussi à accéder aux copies des listes électorales, contenant des informations sensibles telles que les noms, adresses et statuts d’inscription des électeurs entre 2014 et 2022. Cette intrusion a également touché les e-mails et les systèmes de contrôle de la commission, demeurant indétectée jusqu’en octobre de l’année précédente.

Impact potentiel sur la démocratie

La gravité de cette violation de cybersécurité ne peut être sous-estimée. Bien que la Commission électorale affirme qu’aucune élection ni inscription n’a été directement impactée, les conséquences à plus long terme pourraient être préoccupantes. Les cybercriminels ayant désormais accès à une masse d’informations sur les électeurs, ils pourraient propager de la désinformation subtile auprès des 40 millions de citoyens concernés. Cette désinformation pourrait servir à renforcer certaines visions du monde et à semer la discorde. En altérant les données des électeurs ou même les votes eux-mêmes, ils pourraient potentiellement remettre en question l’authenticité et l’exactitude des processus démocratiques.

Cybersécurité, ID, Téléphonie

Comment bloquer n’importe quel compte WhatsApp !

WhatsApp, le géant des messageries, est devenu le terrain d’une nouvelle vulnérabilité qui a touché pas moins de 2 milliards d’utilisateurs.

Une attaque de type Déni de Service (DoS) a été découverte dans le fonctionnement de WhatsApp, permettant à des personnes mal intentionnées de désactiver un compte de la messagerie appartenant à META (Facebook) en envoyant simplement une lettre au support technique. Cette faille, qui a déjà été exploitée, a généré des blocages de comptes intempestifs.

La vulnérabilité de désactivation de compte sur WhatsApp

Contrairement à ce que l’on pourrait penser, la désactivation d’un compte WhatsApp n’était pas limitée au seul propriétaire du compte. Toute personne ayant le numéro de téléphone enregistré dans le compte pouvait également envoyer une demande de désactivation au support technique. Cette demande pouvait être répétée à partir de différentes adresses e-mail, entraînant ainsi un déni de service d’une durée d’un mois. Initialement, la désactivation de compte était prévue pour les situations où un téléphone était perdu ou volé. L’utilisateur pouvait alors envoyer un e-mail au support technique avec la phrase clé « perte/vol, veuillez désactiver le compte » et le numéro de téléphone associé, ce qui bloquait l’accès pour une période de 30 jours. Cependant, pendant cette période, les contacts pouvaient toujours voir le profil du propriétaire et lui envoyer des messages, qui seraient accessibles une fois le compte réactivé sur un autre appareil.

Une faille exploitable pour les attaques DoS

La simplicité de cette procédure de désactivation a suscité des inquiétudes quant à sa vulnérabilité. Jake Moore, expert médico-légal et consultant en cybersécurité chez ESET, a mis en évidence cette faille en montrant comment un individu malveillant, connaissant simplement le numéro de téléphone de la victime, pouvait envoyer de multiples demandes de désactivation. En automatisant ce processus, une attaque DoS de 30 jours pouvait être mise en place, entraînant une interruption prolongée du compte de la victime.

Réaction de WhatsApp face à l’attaque

Suite à la révélation de cette vulnérabilité, WhatsApp a réagi rapidement pour contrer les attaques DoS. Dans un premier temps, l’option de désactivation via le support technique a été désactivée. Ensuite, toutes les demandes de désactivation ont commencé à renvoyer une confirmation de réception. Actuellement, WhatsApp exige en plus un document de confirmation du droit au numéro de téléphone spécifié avant de procéder à la désactivation. Ces mesures ont été mises en place pour réduire le risque de manipulations malveillantes.

Mesures de sécurité recommandées

Bien que WhatsApp ait pris des mesures pour résoudre cette vulnérabilité, certains utilisateurs pourraient toujours être confrontés au besoin de désactiver leur compte en cas de perte ou de vol de leur téléphone. Pour se prémunir contre de telles attaques, je vous recommande d’activer l’authentification à deux facteurs (2FA) sur WhatsApp. Cette option, qui est désactivée par défaut, ne permettra la désactivation du compte que si la demande provient de l’adresse e-mail associée au compte.

Cybersécurité, Microsoft, Mise à jour, Patch

Une vulnérabilité bien connue de Microsoft Office a été exploitée six fois plus au cours deuxième trimestre de 2023

Des chercheurs ont constaté qu’une ancienne vulnérabilité de Microsoft Office gagne en popularité auprès des attaquants, qui l’exploitent pour cibler à la fois les particuliers et les entreprises.

Depuis le début de l’année 2023, la vulnérabilité CVE-2017-11882 a été exploitée près de 500 % plus souvent, affectant des milliers de personnes. Une autre vulnérabilité connue, CVE-2018-0802, semble être devenue « l’arme » la plus en vogue chez les cybercriminels, ayant été utilisée pour cibler plus de 130 000 utilisateurs. Étant donné que les anciennes versions des programmes Microsoft sont aujourd’hui encore utilisées et qu’elles constituent une cible très attrayante pour les attaquants, il est crucial d’installer une solution de sécurité fiable et d’effectuer les mises à jour régulièrement.

Tout au long du deuxième trimestre 2023, des chercheurs de Kaspersky ont détecté que plus de 11 000 utilisateurs ont été visés par des attaques exploitant une ancienne vulnérabilité du logiciel Microsoft Office, connue sous le nom de CVE-2017-11882. Cette vulnérabilité permet aux attaquants d’exploiter l’éditeur d’équation dans les documents Microsoft Office, pour exécuter un code malveillant sur l’appareil ciblé. Ce procédé leur permet d’installer des logiciels malveillants ou indésirables sur la machine affectée à l’insu de l’utilisateur. Pour exploiter la vulnérabilité, les attaquants peuvent procéder de plusieurs manières: soit en envoyant un fichier malveillant à une victime potentielle, soit en créant un site web avec le même type de fichier pour inciter les gens à l’ouvrir en utilisant des techniques d’ingénierie sociale.

Bien que la vulnérabilité ait été identifiée et corrigée depuis longtemps, les exploits ont augmenté de 483 % au cours du deuxième trimestre par rapport au premier trimestre de cette année. Cette tendance alarmante indique que même les anciennes vulnérabilités restent des points d’entrée efficaces pour attaquer à la fois les appareils des particuliers et les infrastructures informatiques des organisations.

Nombre d’utilisateurs attaqués via la vulnérabilité CVE-2017-11882 en 2023

« Les attaquants ont effectivement recommencé à utiliser cet exploit. Il est très probable qu’ils tentent de mettre en œuvre de nouvelles techniques d’obscurcissement afin d’échapper à la détection. Par exemple, ils pourraient essayer d’insérer de nouveaux types de données malveillantes dans les documents Microsoft Office. Toutefois, des solutions de sécurité éprouvées, conçues pour détecter les tentatives d’attaque de manière systématique, permettent de prévenir de telles attaques et de protéger les utilisateurs. Il est également essentiel d’installer les mises à jour et les correctifs des logiciels à temps« , commentent les experts.

Cette tendance a persisté au cours de cette période, les cybercriminels ayant continué à s’appuyer sur d’anciennes vulnérabilités des logiciels Microsoft comme vecteurs d’attaque. La vulnérabilité qu’ils ont le plus exploitée est CVE-2018-0802, avec laquelle ils ont ciblé plus de 130 000 personnes. L’exploitation de cette vulnérabilité suit généralement le même schéma que la CVE-2017-11882 susmentionnée, impliquant une corruption de la mémoire pouvant permettre à l’attaquant de contrôler le système à l’aide d’un fichier spécialement conçu à cet effet.

Les vulnérabilités CVE-2010-2568, CVE-2017-0199 et CVE-2011-0105 figurent également sur la liste des exploits les plus fréquemment détectés au cours du deuxième trimestre. La première implique l’exécution de code via un fichier LNK spécifiquement développé pour ces opérations, tandis que les deux dernières sont liées à la suite Microsoft Office.

Cybersécurité, Securite informatique

Comment Google renforce la sécurité de ses collaborateurs en expérimentant l’exclusion d’Internet

Récemment, Google a annoncé une initiative audacieuse visant à réduire le nombre d’attaques sur ses collaborateurs en expérimentant une approche de sécurité innovante. L’entreprise souhaite exclure temporairement certains de ses employés d’Internet.

L’idée centrale derrière cette démarche est basée sur le concept bien connu de l »air gap’ (séparation physique). Ce concept a déjà fait ses preuves dans les milieux de la sécurité informatique en rendant les serveurs de sauvegarde moins vulnérables aux attaques. Lorsqu’un serveur est déconnecté d’Internet, il devient beaucoup plus difficile pour les agresseurs d’y accéder à distance, obligeant ainsi les pirates à se trouver physiquement près de l’ordinateur pour essayer de le compromettre. Mais comment cela se traduit-il lorsqu’il s’agit de collaborateurs travaillant au sein de la plus grande entreprise Internet au monde ?

Selon des documents internes relayés par le site d’information américain CNBC, Google est actuellement en train de mener une expérience ambitieuse impliquant environ 2 % de ses collaborateurs. Ces volontaires ont été choisis pour être exclus d’Internet pendant la durée de l’expérience. Cela signifie qu’ils ne peuvent pas accéder au World Wide Web et n’ont pas les privilèges root sur leurs ordinateurs. Le but ultime de cette démarche est de renforcer considérablement la sécurité des collaborateurs participants.

Des collaborateurs pas complètement déconnectés

Néanmoins, cette exclusion d’Internet ne signifie pas que les collaborateurs sont complètement déconnectés de tout support numérique. Google a pris soin de permettre l’utilisation de ses propres outils basés dans le nuage, ce qui permet aux employés de continuer à travailler de manière productive malgré l’absence d’accès à Internet. De plus, des exceptions ont été mises en place pour les collaborateurs qui ont un besoin impératif d’accéder à Internet dans le cadre de leurs tâches professionnelles.

Il est important de noter que Google a rapidement souligné sur Twitter que cette expérimentation ne deviendra pas une politique générale. Autrement dit, l’entreprise n’a pas l’intention de désactiver Internet pour l’ensemble de ses employés à l’avenir. Cependant, cette démarche est un exemple de l’approche proactive adoptée par Google pour renforcer la sécurité de ses infrastructures et de ses collaborateurs face à un paysage de cyber-menaces en constante évolution.

IOT, Mise à jour, Patch

ChatGPT devient idiot avec le temps

Une étude menée par des analystes de Stanford et de l’Université de Californie a révélé que les dernières versions des chatbots ChatGPT ont montré une détérioration de leurs performances au fil du temps.

Les chercheurs de les universités de Stanford et de Californie n’ont pas pu expliquer la raison de cette dégradation des capacités du réseau de neurones, mais il s’avère que ChatGPT devient idiot, avec le temps. L’expérience impliquait de demander à ChatGPT-3.5 et ChatGPT-4 de résoudre des problèmes mathématiques, de répondre à des questions sensibles, de rédiger du code informatique et de démontrer des compétences de raisonnement spatial avec des conseils.

En mars, la version la plus récente de l’IA pouvait identifier les nombres premiers avec une précision de 97,6 %, mais en juin, ce chiffre est tombé à 2,4 %. Pendant la même période, pourtant, le modèle de réseau neuronal antérieur avait amélioré ses performances. De même, lors de la génération de lignes de code identiques, les capacités des deux versions de ChatGPT se sont détériorées après quelques mois. En mars, l’ancien modèle fournissait des explications détaillées sur les raisons pour lesquelles il ne pouvait pas répondre à certaines questions sensibles, comme l’appartenance ethnique des personnes. Cependant, en juin, les deux versions du réseau de neurones se sont simplement excusées sans fournir d’explications.

Les experts ont recommandé aux utilisateurs et aux entreprises qui dépendent des services de chatbots basés sur des réseaux de neurones d’effectuer des analyses régulières pour s’assurer que les chatbots sont toujours à jour et ne racontent pas de bêtises.

Par ailleurs, en juillet, les développeurs de ChatGPT ont publié un nouveau plugin pour la version payante, permettant au chatbot d’analyser des données, de créer du code Python, de construire des graphiques et de résoudre des problèmes mathématiques.

Le chatbot a également été capable de réfuter scientifiquement la théorie de la « terre plate. (Etude)

Banque, Cybersécurité

Forge, filiale de Société Générale, obtient la licence de DASP

La filiale de la Société Générale, Forge, a obtenu une licence de fournisseur de services d’actifs numériques (DASP) de la part de l’Autorité des marchés financiers (AMF). L’obtention de cette licence place Forge en position avantageuse sur le marché des crypto-monnaies, offrant ainsi une nouvelle dimension à l’activité du conglomérat.

La licence permet à Forge de mener plusieurs activités essentielles sur le marché des crypto-monnaies, y compris la négociation, la détention, l’échange, la vente et l’achat de crypto-monnaies comme monnaie légale. L’approbation de cette nouvelle activité par l’AMF est une nouvelle majeure, non seulement pour Forge mais aussi pour ses clients institutionnels.

En effet, l’annonce de cette approbation arrive à un moment particulièrement opportun. Forge est en effet un acteur majeur dans le lancement d’un stablecoin Ethereum régulé et basé sur l’euro qui a vu le jour en avril 2023. Cette approbation par l’AMF est un jalon important dans le parcours de cette initiative.

Depuis l’introduction de nouvelles réglementations sur l’octroi de licences et l’enregistrement des entreprises de crypto-monnaie par les autorités françaises en mars 2023, 87 organisations se sont enregistrées auprès de l’AMF. Parmi ces organisations figurent des filiales de poids lourds de l’industrie tels que Binance, Bitstamp, Luno et Bitpanda. Forge est le premier à obtenir une licence de DASP.

Ces nouvelles règles, plus souples que celles précédemment proposées, établissent néanmoins des normes réglementaires plus élevées pour les fournisseurs de services cryptographiques. Par exemple, les entreprises sont tenues de fournir des informations claires sur les risques et de mettre en place une politique sur les conflits d’intérêts. Les entreprises déjà agréées par l’AMF pourront continuer à opérer jusqu’à la fin de la période de transition prévue jusqu’en 2026.

Il est important de rappeler qu’en décembre 2022, la Commission européenne a annoncé son intention d’obliger les fournisseurs d’actifs virtuels à transférer les données des clients aux autorités fiscales locales. Par ailleurs, en avril, l’AMF a commencé à accélérer l’examen des demandes des entreprises de cryptographie pour se conformer aux nouvelles règles paneuropéennes prévues par la loi MiCA.

Enfin, il convient de noter que d’autres acteurs importants du secteur ont également déposé une demande de statut DASP auprès de l’AMF. C’est le cas de Circle, co-émetteur de l’USDC, en mars, et de la bourse OKX en mai. La route vers une régulation accrue et une adoption plus large des crypto-monnaies est donc clairement en marche.

Cybersécurité, Téléphonie

Les logiciels espions Cytrox et Intellexa blacklistés par les USA

Le département du commerce US met sur liste noire les logiciels espions commercialisés par les entreprises Cytrox et Intellexa. Les utilisateurs sont dorénavant considérés comme étant dans l’illégalité.

L’une des méthodes du département du commerce américain, mais aussi de l’administration fiscale de l’Oncle Sam, est de mettre sur liste noire les entreprises et/ou leurs dirigeants. Bilan, les entreprises ne peuvent plus faire du business sur le sol des USA, mais aussi avec la moindre société américaine ou ayant des appointances avec les Etats-Unis d’Amérique. Par exemple, une banque travaillant avec une société blacklistée, et travaillant avec les USA, doit stopper son interaction avec le mouton noir au risque d’être poursuivi par les autorités étasuniennes.

Dans le nouveau cas repéré, la mise sur liste noire des sociétés Cytrox et Intellexa. Ces actions constituent la première initiative majeure sur les logiciels espions depuis que Biden a publié un décret exécutif restreignant l’utilisation par le gouvernement des logiciels de surveillance. Le département américain du Commerce a ajouté à sa liste noire commerciale les fournisseurs de logiciels espions Cytrox et Intellexa. Deux entreprises liées à des opérations d’espionnage de journalistes, d’hommes politiques et d’un dirigeant de Meta en Grèce. La raison invoquée pour l’inclusion sur la liste noire est « pour le trafic de cyber-exploits utilisés pour accéder aux systèmes d’information, menaçant ainsi la vie privée et la sécurité des individus et des organisations dans le monde entier« .

La liste complète des entités incluses est Intellexa SA basée en Grèce, Cytrox Holdings Zrt. en Hongrie, Intellexa Limited en Irlande et Cytrox AD en Macédoine du Nord.

Intellexa est connu pour son logiciel espion Android Predator qui a été décrit par les chercheurs comme l’un des logiciels espions les plus répandus après Pegasus de la société israélienne NSO. Cytrox a également été précédemment interdit par Meta pour des opérations de surveillance sur la plate-forme. Dans le cas de Meta [Facebook] 300 comptes liés à la société Black Cube, basée en Israël, ont été supprimés. Ils fonctionnaient comme des personnages fictifs pour établir des contacts avec des cibles. La société a supprimé des centaines de comptes appartenant à des sociétés connues sous le nom de Israel Cobwebs Technologies, Cognyte, Black Cube, Bluehawk CI, BellTroX (basée en Inde), Cytrox et une entité inconnue en Chine.

Pendant ce temps, sur Twitter

Trois comptes Twitter semblant être liés au gouvernement chinois ont été identifiés pour diffuser de la propagande auprès du public en Amérique latine. Les chercheurs de la société de cybersécurité Nisos ont publié une analys, indiquant que malgré les efforts précédents abandonnés par la société de médias sociaux pour étiqueter les médias d’État, ces comptes ont réussi à échapper à cette mesure.

Ces comptes Twitter transmettent des messages pro-Pékin au Paraguay, au Costa Rica, au Chili et au Brésil, et ils sont probablement liés au China News Service, une branche de propagande gouvernementale active dans le monde entier. Le réseau de comptes Twitter identifié fait partie d’un réseau plus large comprenant des comptes gouvernementaux chinois, des groupes de réflexion sino-latino-américains, des journalistes autoproclamés et d’autres acteurs diffusant des messages pro-chinois similaires.

Ces trois comptes Twitter ont été créés en juillet 2021 pour le plus ancien et en novembre 2021 pour les deux autres, à une époque où Twitter étiquetait encore les comptes affiliés à des États. Cependant, en avril 2023, Twitter a suspendu l’étiquetage de ces comptes suite à des critiques concernant la manière dont elle avait qualifié la National Public Radio de « média affilié à l’État« .

L’un des comptes connectés à ces trois comptes Twitter propose un lien vers une application qui, une fois téléchargée, recueille des informations personnellement identifiables auprès des utilisateurs. Ce compte demande également des autorisations à Twitter qui pourraient donner accès aux comptes des utilisateurs ainsi qu’aux comptes de médias sociaux chinois, Weibo et Weixin (WeChat).

Les chercheurs ont averti que cela pourrait permettre au gouvernement chinois de surveiller potentiellement les récits et d’obtenir des informations sur les dissidents résidant à l’étranger, une activité déjà signalée par des acteurs liés au gouvernement chinois par d’autres moyens.

Les chercheurs ont souligné que bien qu’ils ne puissent pas établir définitivement le lien entre ces comptes Twitter et le gouvernement chinois, les comptes identifiés font des efforts pour éviter de lier directement les utilisateurs au China News Service, qui est l’organisation médiatique chinoise liée à l’État d’où provient la majorité de leur contenu lié à la Chine.

Selon un rapport de juin 2020 d’Alex Joske, un chercheur du renseignement sino-australien, le China News Service est l’un des plus grands réseaux médiatiques du Parti communiste chinois, disposant de nombreux bureaux à l’étranger.

Ces opérations en Amérique latine font partie de l’avancée majeure de la Chine dans cette région au cours des deux dernières décennies, tant sur le plan économique que technologique. Le rapport indique que la Chine a renforcé ses liens militaires avec des pays comme le Venezuela, l’Argentine, la Bolivie, l’Équateur et le Pérou, tandis que Cuba a également cherché à renforcer ses liens militaires avec la Chine, comme en témoigne la présence présumée d’une base d’espionnage chinoise sur l’île.

La Chine chercherait à influencer les perceptions politiques et culturelles dans cette zone géographique, en particulier pour contrer les perceptions défavorables suite à la pandémie de COVID-19 présumée originaire de Chine.

Bien que les comptes Twitter identifiés (« hoy_paraguay », « hoy_chile » et « hoyCosta ») aient un nombre limité d’abonnés, le réseau implique également des diplomates et des ambassades chinois. De plus, ils sont suivis par un compte en portugais (« NmqbChinaNews ») qui se concentre sur les relations sino-brésiliennes.

Cyber-attaque, Cybersécurité, DDoS

Augmentation alarmante des cyber attaques DDoS

Cloudflare signale une « augmentation alarmante » de la sophistication DDoS, une escalade ces derniers mois. La guerre RussoUkrainienne n’y serait pas pour rien !

Les attaques utilisées pour rendre les sites Web et les services Web inaccessibles évoluent et deviennent de plus en plus préoccupantes, a déclaré la société Cloudflare. Le deuxième trimestre de 2023 a vu « une escalade alarmante dans la sophistication » des attaques par déni de service distribuées DDoS, affirme le fournisseur de solution web, soulignant une prolifération d’attaques numériques plus ciblées conçues pour perturber des sites Web et d’autres services connectés.

La société a déclaré dans son rapport sur les menaces du deuxième trimestre qu’elle avait suivi des milliers d’attaques lancées par un consortium de groupes hacktivistes pro-russes, une augmentation des attaques ciblées sur le système de noms de domaine et un 600 % d’augmentation des attaques DDoS sur les sites Web de crypto-monnaie.

Bien que les attaques DDoS soient parfois considérées comme peu sophistiquées et plus gênantes qu’autre chose, elles peuvent être très perturbatrices. « La récupération d’une attaque DDoS peut durer beaucoup plus longtemps que l’attaque elle-même – tout comme un boxeur peut avoir besoin d’un certain temps pour se remettre d’un coup de poing au visage qui ne dure qu’une fraction de seconde« , ont écrit Omer Yoachimik et Jorge Pacheco. Une intensité, en particulier concernant les menaces dans le contexte de la guerre russe contre l’Ukraine.

Les machines virtuelles basées sur le cloud et les serveurs privés virtuels permettent des attaques plus importantes dans le cadre d’une « nouvelle génération de botnets« . Ces nouveaux botnets sont capables de fournir des milliers de fois plus de trafic que les réseaux traditionnels. Pour rappel, en février, une telle attaque a produit la plus grande attaque DDoS jamais enregistrée.

Parmi les développements préoccupants au cours des trois derniers mois, figure l’augmentation de 15 % des attaques HTTP DDoS , qui ciblent les sites Web et les passerelles tierces vers ces sites, alors même que ce type d’attaque a diminué d’année en année.

« Il semble que les acteurs de la menace derrière ces attaques aient délibérément conçu les attaques pour essayer de surmonter les systèmes d’atténuation en imitant habilement le comportement du navigateur de manière très précise, dans certains cas, en introduisant un degré élevé de randomisation sur diverses propriétés telles que les agents utilisateurs et JA3 empreintes digitales pour n’en nommer que quelques-unes, ont écrit les auteurs. Dans bon nombre de ces attaques, il semble que les acteurs de la menace essaient de maintenir leur taux d’attaque par seconde relativement bas pour essayer d’éviter la détection et de se cacher parmi le trafic légitime.« 

Microsoft a subi une telle attaque début juin dans le cadre d’un assaut plus large contre l’entreprise attribué à un groupe qu’il appelle Storm-1359, ou plus largement Anonymous Sudan. Le groupe est affilié à plusieurs réseaux d’hacktivistes pro-russes, dont Killnet, UserSec, et pourrait lui-même être un produit direct ou un groupe travaillant en collaboration avec les intérêts du gouvernement russe.

Cybersécurité, Mise à jour

Des pirates Chinois font faire des économies aux clients de Microsoft Cloud

Microsoft a annoncé qu’il étendrait l’accès à un ensemble élargi de journaux de sécurité à davantage de clients sans frais supplémentaires. Cette décision fait suite aux révélations selon lesquelles des pirates basés en Chine ont exploité les vulnérabilités de l’infrastructure cloud de Microsoft pour accéder aux données de messagerie de plusieurs agences gouvernementales et fonctionnaires américains.

Les membres du personnel de sécurité du département d’État américain ont découvert une opération d’espionnage chinoise à la mi-juin 2023 en utilisant des journaux de données anormales disponibles uniquement dans le niveau premium du service Cloud de Microsoft. Une option « payante » qui a suscité des critiques sévères à l’égard de Microsoft de la part de responsables américains et d’experts en cybersécurité. La société facturait des frais supplémentaires pour ces fonctions de sécurité essentielles.

Pour remédier à cette situation, Microsoft a décidé de modifier ses prix et de fournir « l’accès à des journaux de sécurité cloud plus étendus pour tous nos clients dans le monde sans frais supplémentaires » à partir de septembre 2023. De plus, la durée de conservation des journaux par défaut sera désormais de 180 jours, contre 90 jours auparavant.

Bien que la Cybersecurity and Infrastructure Security Agency ait qualifié cette initiative de « pas en avant significatif vers l’avancement des principes de sécurité par la conception« , certaines critiques persistent. Le sénateur Ron Wyden a déclaré que le changement de prix n’était pas suffisant pour remédier aux violations passées, soulignant que Microsoft semblait privilégier la monétisation des produits complémentaires de cybersécurité plutôt que de fournir des systèmes sécurisés de base.

Malgré cela, Microsoft a souligné qu’il était en étroite collaboration avec la CISA (2)pour répondre aux besoins de sécurité en constante évolution du monde moderne. L’enquête sur l’opération de piratage en Chine se poursuit, alors que les autorités cherchent à comprendre comment une telle attaque sophistiquée a pu se produire.

Cybersécurité, Securite informatique

Une fuite de données inattendue pour VirusTotal

Une fuite de données inattendue a secoué le monde de la cybersécurité en juin dernier. Un fichier de clients VirusTotal s’est retrouvé accidentellement sur Internet, exposant une liste de 5 600 noms, parmi lesquels figuraient des employés des services secrets américains de la NSA et des services de renseignement allemands.

VirusTotal est essentiellement une immense base de données de logiciels malveillants. Les utilisateurs peuvent soumettre des fichiers suspects ou des liens vers des sites Web douteux, qui sont ensuite comparés aux bases de données de 70 fabricants d’antivirus pour détecter toute activité suspecte. Cela a permis la création d’une archive mondiale d’outils d’attaque numérique, une précieuse bibliothèque de codes malveillants. Cependant, cette plateforme n’est pas exempte de critiques, car elle peut potentiellement exposer involontairement des données confidentielles, comme l’a averti l’Office fédéral de la sécurité de l’information (BSI) l’année dernière.

Révélations troublantes sur la liste divulguée

La liste, 5 600 clients de VirusTotal, comprend des organismes gouvernementaux de premier plan tels que le Cyber Command américain, le FBI, le département américain de la Justice, la NSA ou encore le service de renseignement allemand MAD. De nombreuses entreprises allemandes sont également concernées, notamment la Deutsche Bahn, la Bundesbank, Allianz, BMW, Mercedes-Benz et Deutsche Telekom. Cette fuite suscite des inquiétudes quant à l’utilisation abusive des données pour l’ingénierie sociale et les attaques de phishing ciblées. Alertés, pas de doute que les « clients » concernés ont changé d’adresse électronique et redoublé de prudence.

Les implications de la fuite de données

Bien que les mots de passe ne soient pas affectés par cette fuite, la liste divulguée permet d’identifier les personnes en charge de la sécurité informatique et de la lutte contre les logiciels malveillants au sein des organisations concernées. Cela pourrait ouvrir la voie à des tentatives d’attaques ciblées contre ces individus. Ce qui rend cette fuite encore plus folle, c’est que VirusTotal appartient à Google. Cette situation soulève des questions sur la sécurité et le contrôle des données chez Google.

Google a rapidement supprimé la liste de la plateforme dès qu’ils ont été informés de la fuite. Ils se sont également engagés à améliorer leurs processus internes et leurs contrôles techniques pour éviter de tels incidents à l’avenir. Le BSI, tout en utilisant VirusTotal comme source d’informations, conseille aux autorités fédérales de ne pas télécharger de fichiers sur cette plateforme. Un courriel de 2022, temporairement retrouvé sur la plateforme de sécurité, montre l’importance de VirusTotal en termes de sécurité informatique et quelles informations critiques peuvent s’y retrouver. Dans ce mail, l’Association allemande pour l’ingénierie des machines et des installations (VDMA) a envoyé un lien vers un portail Web du ministère de l’Intérieur de Rhénanie-Palatinat en tant que service pour ses membres – avec le mot de passe associé.

D’autres entreprises touchées par la fuite, telles que Deutsche Telekom, ont également pris des mesures pour informer leurs employés et prévenir les éventuelles attaques.

backdoor, Cybersécurité, ID, Identité numérique

Threads : fausse application aux couleurs du Twitter de META

Le 5 juillet 2023, l’application Threads, concurrente directe de Twitter développée par Meta, a été lancée aux Etats-Unis et a atteint en quatre jours plus de 100 millions d’utilisateurs, dépassant de loin les précédents records établis par ChatGPT et TikTok. Son indisponibilité actuelle en Europe a encouragé des développeurs malveillants à créer une application jumelle portant quasiment le même nom « Threads for Insta » sur l’Apple Store.

Créée par l’entreprise SocialKit LTD, qui avait déjà créé une fausse application ChatGPT, l’application Threads for Insta reprend les codes graphiques d’Instagram, réseau social auquel la vraie application Threads est liée. Son logo ressemble fortement à celui d’Instagram et incite l’utilisateur à penser qu’il s’agit de l’application légitime. Cette application jumelle est déjà classée à la 5ème place en nombre de téléchargements sur l’Apple Store, et numéro 1 dans la rubrique des réseaux sociaux !

Autre information clé, l’application Threads for Insta indique utiliser de l’intelligence artificielle pour émettre des « threads » alors que l’application officielle ne propose pas cette fonctionnalité.

Quel danger pour les utilisateurs ?

Contrairement à la véritable application Threads, cette supercherie n’est pas gratuite : seule la période d’essai l’est et son utilisation, une fois celle-ci expirée, est payante. Si l’utilisateur n’annule pas son inscription, il sera facturé 2,99 euros par semaine, ou 29,99 euros par mois, ou bien 89,99 euros par an. Pour l’instant, aucune cyberattaque n’a été reportée suite à l’utilisation de cette application. Cependant, les utilisateurs doivent rester vigilants pour ne pas tomber dans le piège d’un hackeur.

Comment être sûr de télécharger la véritable application Threads ?

L’application n’est pour l’instant pas disponible en Europe et aucune date de sortie n’a été annoncée. Toute application dont le lancement a eu un fort impact médiatique est sujette à des tentatives d’usurpation à des fins commerciales (comme c’est le cas ici de Threads for Insta), de collection de données personnelles (revendues par la suite sur le darknet), ou dans le pire des cas, de vol de coordonnées bancaires ou d’informations permettant de lancer une campagne de phishing (ou hameçonnage, technique utilisée par des fraudeurs pour obtenir des renseignements personnels dans le but de perpétrer une usurpation d’identité).

« Afin de ne pas se faire piéger, l’utilisateur devra tout d’abord rechercher le site officiel de l’entreprise qui, lui, comportera un lien vers l’Apple Store pour effectuer le téléchargement de l’application. confirme à DataSecurityBreach.fr Cassie Leroux, Directrice Produit chez Mailinblack. Il pourra également vérifier assidûment le logo de l’application, les captures d’écran disponibles sur l’Apple Store, ainsi que les conditions générales de vente et d’utilisation.« 

Cybersécurité, Microsoft, Mise à jour, Patch

130 failles corrigées en juillet pour Microsoft

Le Patch Tuesday de ce mois de juillet comprend des correctifs pour 130 CVE, ce qui en fait le plus vaste Patch Tuesday de l’année 2023 jusqu’à présent. Sur les 130 CVE corrigées ce mois-ci, neuf sont jugées critiques et 121 importantes. Ce mois-ci, cinq vulnérabilités ont été exploitées par des hackers sous forme de zero days et Microsoft a publié une alerte concernant l’utilisation malveillante de Microsoft Signed Drivers. »

« Deux vulnérabilités zero-day de contournement des fonctionnalités de sécurité dans Microsoft Outlook (CVE-2023-35311) et Windows SmartScreen (CVE-2023-32049) ont été exploitées dans la nature par des attaquants. Les détails de l’exploitation n’étaient pas disponibles au moment de la publication des mises à jour du Patch Tuesday, mais il semble que les attaquants aient pu avoir recours à l’ingénierie sociale pour convaincre une cible de cliquer sur une URL malveillante. Dans les deux cas, les messages d’avertissement de sécurité conçus pour protéger les utilisateurs ont été contournés. » indique à DataSecurityBreach.fr Satnam Narang, Senior Staff Research Engineer chez Tenable.

Des chercheurs du Threat Analysis Group (TAG) de Google ont révélé un zero day dans le Windows Error Reporting de Microsoft (CVE-2023-36874) qui pourrait permettre à un attaquant de bénéficier de privilèges administratifs. En outre, le Microsoft Threat Intelligence Center (MSTIC) a révélé un zero day dans Windows MSHTML Platform (CVE-2023-32046). Pour exploiter cette faille, il faut convaincre un utilisateur d’ouvrir un fichier spécialement conçu, soit par mail, soit par l’intermédiaire d’un vecteur d’attaque en ligne. Il est également intéressant de noter la présence de mises à jour cumulatives pour Internet Explorer. Malgré l’abandon d’Internet Explorer 11, certains de ses composants, dont MSHTML et EdgeHTML, sont toujours pris en charge par plusieurs versions de Windows Server, ce qui explique pourquoi des correctifs ont été publiés pour ces produits.

Microsoft a également corrigé la CVE-2023-36884, une faille d’exécution de code à distance dans Microsoft Windows et Office qui a été exploitée dans la nature en tant que zero day, et qui a été utilisée dans des attaques ciblées via des documents Microsoft Office corrompus. Ces attaques ont été attribuées à un acteur malveillant connu sous le nom de Storm-0978 ou DEV-0978, qui serait basé en Russie. Storm-0978 est connu pour mener des attaques de ransomware et d’extorsion uniquement, y compris des campagnes de vol d’informations d’identification, contre des cibles en Ukraine, en Amérique du Nord et en Europe.

Enfin, Microsoft a également publié des conseils concernant l’utilisation malveillante de pilotes signés dans le cadre de son programme Microsoft Windows Hardware Developer Program (MWHDP). Il est apparu que certains comptes de développeurs du Microsoft Partner Center soumettaient des pilotes malveillants afin d’obtenir une signature Microsoft. L’utilisation abusive de ces pilotes signés a été découverte dans le cadre d’une activité de post-exploitation, qui exigeait qu’un attaquant obtienne d’abord des privilèges administratifs sur le système ciblé avant d’exécuter les pilotes signés malveillants. Ces comptes de développeurs ont été suspendus et, grâce aux récentes mises à jour de sécurité de Windows, les pilotes malveillants sont désormais considérés comme non fiables.

backdoor, Cybersécurité

Le cheval de Troie WISE REMOTE : un infostealer, RAT, bot DDoS et ransomware réunis

Le monde de la cybercriminalité ne cesse d’évoluer avec l’apparition de nouveaux malwares sophistiqués. Le dernier en date, WISE REMOTE, a été récemment mis en lumière par les experts en cybersécurité de CYFIRMA. Conçu comme un service malveillant (MaaS, Malware-as-a-Service) disponible sur le darknet, il se distingue par sa capacité à se transformer en infostealer, RAT, bot DDoS et ransomware. En quelques semaines seulement, plus de 1000 victimes ont été touchées. Cette menace multifonctionnelle, particulièrement visée sur les systèmes Windows, suscite une préoccupation majeure dans le monde de la cybersécurité.

Aussi sinistre que polyvalent, WISE REMOTE est un malware particulièrement pernicieux découvert récemment sur des forums de pirates informatiques [preuve qu’ils ne sont pas si pro que ça, NDR]. Il est constamment amélioré par ses développeurs qui en assurent la promotion à travers des preuves d’efficacité diffusées sur Discord et Telegram.

Cet infostealer, dont le code est écrit en Go, est également compatible avec les langages de programmation C++, C# et Python, ce qui démontre son niveau d’adaptabilité.

Il s’attaque principalement aux systèmes d’exploitation Windows, notamment les versions 8, 10 et 11. Pour se soustraire aux systèmes de détection d’antivirus, WISE REMOTE utilise une panoplie d’astuces ingénieuses, et chiffré toutes les communications avec son serveur C2 basé en Suisse.

Couteau Suisse de la malveillance

Il s’agit d’un véritable ‘couteau suisse’ du malware, qui sait à la fois collecter des informations système, créer un shell inversé, télécharger et exécuter des fichiers supplémentaires, extraire des informations sensibles des navigateurs, voler des données de portefeuilles de cryptomonnaie, interagir avec des sites web sans consentement, capturer des écrans, et même modifier des journaux système pour masquer son activité malveillante.

Grâce à son tableau de bord sophistiqué, l’opérateur de WISE REMOTE peut surveiller jusqu’à 10 000 ordinateurs infectés simultanément et donner des instructions générales, notamment pour déclencher une attaque DDoS.

À l’heure actuelle, WISE REMOTE Stealer dispose des fonctionnalités suivantes :

Collecte d’informations système et création d’un shell inversé ;
Téléchargement et exécution de fichiers supplémentaires ;
Extraction d’informations à partir des navigateurs (mots de passe enregistrés, cookies, données de cartes bancaires, favoris, historique de navigation, liste des extensions) ;
Vol de données à partir de portefeuilles de cryptomonnaie ;
Ouverture de sites web et interaction avec eux sans le consentement de la victime ;
Capture d’écran ;
Téléchargement de fichiers dans le dossier AppData ;
Création et personnalisation d’agents malveillants ou de modules pour mener des attaques ciblées ;
Modification des journaux système, suppression d’enregistrements pour masquer l’activité malveillante.
Le tableau de bord permet de surveiller jusqu’à 10 000 ordinateurs infectés. L’opérateur a également la possibilité de donner des instructions générales, par exemple, pour effectuer une attaque DDoS ou d’autres actions malveillantes.

Le malware est écrit en Go, bien que les développeurs utilisent également C++, C# et Python. WISE REMOTE vise principalement les systèmes Windows (versions 8, 10 et 11). Diverses astuces sont utilisées pour contourner les antivirus, et les communications avec le serveur C2 (basé en Suisse) sont chiffrées.

Les modules côté client sont importés via le cloud, les données volées sont enregistrées sur le disque (dans le dossier /temp) et effacées après l’envoi. Le builder fourni aux abonnés permet de personnaliser les icônes (adaptées aux méthodes de distribution du malware choisies et à la chaîne d’infection) ; les versions finales pèsent généralement moins de 100 Ko.

backdoor, Cybersécurité

LetCall : un logiciel pirate qui dirige vers un centre d’appel malveillant !

Le code malveillant LetCall intercepte les appels téléphoniques des clients de banques afin de les diriger vers des centres d’appels pirates !

Les experts de ThreatFabric ont étudié la boîte à outils Letscall, qui est utilisée pour le phishing vocal en Corée du Sud. Une caractéristique intéressante de ces attaques est que si la victime essaie d’appeler la banque, le logiciel malveillant intercepte son appel et redirige la victime vers un centre d’appels pirate. En 2022, une attaque similaire avait été detectée. Elle avait été baptisée FakeCalls. Une fois installé, LetCal redirige les appels des victimes vers un centre d’appel contrôlé par des pirates. Là, des opérateurs spécialement formés, se faisant passer pour de vrais employés de banque, peuvent récupérer, sans mal, des informations confidentielles de victimes sans méfiance.

Le groupe derrière Letscall comprend des développeurs Android, des concepteurs, des développeurs d’interface et de backend, et des opérateurs de centres d’appels spécialisés dans les attaques vocales et l’ingénierie sociale. Les experts décrivent Letscall comme un logiciel espion multifonctionnel ou RAT (cheval de Troie d’accès à distance, « cheval de Troie d’accès à distance »). Les victimes téléchargent LetsCall via un site qui imitait la page officielle Google Play Store. L’une des applications a des messages vocaux pré-enregistrés permettant de « discuter » avec le client qui essaie d’appeler sa banque ! (TF)

Cybersécurité, Mise à jour, Patch

Zimbra demande de corriger manuellement une vulnérabilité

Les développeurs de Zimbra demandent aux administrateurs de corriger manuellement une vulnérabilité zero-day qui est déjà activement exploitée par des pirates pour compromettre les serveurs de messagerie Zimbra Collaboration Suite (ZCS).

Comme il n’y a pas encore de correctif, les administrateurs sont priés de se protéger temporairement manuellement. Actuellement, la vulnérabilité n’a pas encore reçu d’identifiant CVE, mais on sait qu’il s’agit d’un bogue XSS découvert par des spécialistes du Google Threat Analysis Group. Bien que Zimbra ne signale pas que le problème est déjà utilisé dans des attaques, Maddie Stone de Google TAG met en garde à ce sujet. Selon elle, la vulnérabilité XSS a été découverte par des spécialistes lors de l’étude d’une cyberattaque ciblée.

Cybersécurité, Microsoft, Mise à jour

Windows Update Restored : mettre à jour votre Windows 95

Un projet indépendant, Windows Update Restored vise à faciliter la mise à jour des anciennes versions de Windows, notamment Win95, 98 et NT 4.0. Attention, danger en cas de connexion web d’OS obsolètes !

Voilà qui est original. Le site Windows Update Restored, mis en place par des amateurs d’ordinateurs rétro, donne accès aux pages Windows Update perdues. Mission, permettre la mise à jour de vieux, trés vieux Windows. L’équipe du projet espère aider ceux qui installent et mettent à niveau les systèmes Windows 95, NT 4.0, 98, Me, 2000 et XP. Le fait est que les anciennes versions de Windows reposaient principalement sur le travail de l’application Web Windows Update, et non sur les outils de mise à jour intégrés, comme c’est le cas actuellement. Et vers la mi-2011, Microsoft a fermé la version du site qui pouvait analyser et mettre à jour Windows 95 et 98.

Le site Windows Update Restored est une version légèrement modifiée du site de Microsoft, un clone du site Windows Update v3.1 (datant de 1997) qui couvre Windows 95, NT 4.0 et Windows 98 (et SE). Le site n’utilise pas SSL ou TLS, donc les anciennes versions d’Internet Explorer peuvent toujours y accéder. Pour accéder aux mises à jour, vous aurez besoin d’au moins Internet Explorer 5.

Étant donné que ce navigateur ne peut plus être téléchargé directement depuis Microsoft, le site Windows Update Restored propose des liens de téléchargement pour IE5 et IE5.5 dans toutes les langues prises en charge.

Pour rappel, à utiliser à vos risques et périls. Les mises à jour pour Windows 95 ont été stoppées il y a 22 ans, et que Windows 98 et ME ont cessé de recevoir des mises à jour en 2006.