Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Cybersécurité, Mise à jour, Patch

Patch Tuesday d’octobre 2015

Le Patch Tuesday d’octobre 2015 s’avère une édition légère. En effet, il ne comprend que six bulletins, mais concernent tous les produits phares. Un bulletin critique pour Internet Explorer (mais pas pour Edge), un bulletin pour Office, victime de vulnérabilités à base d’exécution de code à distance (RCE), ainsi qu’un correctif pour remédier des vulnérabilités dans le noyau Windows qui autorisent une élévation des privilèges. En outre, ce Patch Tuesday résout un problème intéressant dans le shell Windows qui autorise aussi l’exécution de code à distance. Toutes les versions de Windows et Office, sont concernées sauf qu’aucun paquet logiciel supplémentaire avec des mises à jour (.NET, logiciel serveur, etc.) n’est disponible ce mois-ci.

    Commençons par Internet Explorer qui figure en tête de notre liste interne des priorités. Le bulletin MS15-106 fournit 15 correctifs pour des vulnérabilités dont neuf sont critiques car pouvant entraîner des exécutions de code à distance (RCE) si l’un de vos utilisateurs se rend sur un site Web malveillant. Déployez cette mise à jour de sécurité en priorité sur toutes les plates-formes affectées, depuis Vista et IE7 et jusqu’à Windows 10 et IE11.

    Les bulletins MS15-107 et MS15-108 sont associés au bulletin pour Internet Explorer. MS15-107 est une nouvelle version pour le nouveau navigateur Edge, mais ce bulletin de sécurité ne contient que 2 correctifs plutôt mineurs : une fuite d’information ainsi qu’une mise à jour pour le filtre XSS. MS15-108 reprend quatre des problèmes traités par le bulletin MS15-106 pour les machines qui exécutent une autre version de JavaScript, principalement Internet Explorer 7.

    Les bulletins MS15-109 et MS15-110 sont plus importants et méritent toute votre attention. Commençons par le MS15-110. Ce dernier résout six problèmes sévissant dans Office (essentiellement Excel), dont cinq entraînent une exécution de code à distance. L’utilisateur est invité à ouvrir une feuille de calcul Excel contenant un exploit pour l’une de ces vulnérabilités, ce qu’il fera sans trop hésiter si les feuilles de calcul présentent par exemple des informations produits pertinentes, des tarifs et encore des remises de fournisseurs concurrents (je reçois environ un e-mail par semaine avec ce type d’information). Le bulletin MS15-109 traite une vulnérabilité dans le shell Windows qui peut être déclenchée via un e-mail et une navigation Web et qui, en cas d’exploit réussi, fournira une exécution à distance RCE à l’attaquant.

    Quant à la mise à jour MS15-111, elle gère des vulnérabilités à base d’élévation locale de privilèges sous Windows, ce qui affecte une fois encore toutes les versions de Windows depuis Vista jusqu’à Windows 10. Les attaquants utiliseront ce type de vulnérabilité pour accéder au niveau système, une fois qu’ils auront pris le contrôle de la machine ciblée.

    En résumé : appliquez le patch MS15-106 pour Internet Explorer en priorité, puis MS15-110 pour Excel. Ensuite, le bulletin MS15-109 pour le shell Windows. Les autres bulletins sont moins critiques et peuvent être déployés dans le cadre de votre cycle de patch normal.

    Enfin, Adobe a également publié des mises à jour pour Adobe Reader et Flash : APSB15-24 pour le Reader et APSB15-25 pour Flash. Ces bulletins traitent plusieurs vulnérabilités critiques (plus de 50 pour le Reader) qui permettraient à un attaquant d’exécuter du code dans le contexte de l’utilisateur. Nous recommandons la correction immédiate du Flash. D’autre part, la sandbox d’Adobe renforce le durcissement de sa visionneuse PDF car depuis plus d’un an des fichiers PDF sont utilisés pour lancer des exploits à l’aveugle. Corrigez dans le cadre de votre cycle de patch normal. Quant à Oracle, il publiera sa mise à jour de patchs critiques (CPU) le 20 octobre.

backdoor, Cybersécurité, Social engineering

Du matériel d’espionnage découvert dans une école parisienne

Un commentaire

Découverte d’un matériel électronique d’espionnage dans les locaux d’une école du Nord-Est Parisien. Il visait des anarchistes locaux.

Le blog du groupe d’anarchistes La Discordia revient sur la découverte d’un étrange matériel d’espionnage qui semble avoir visé la bibliothèque de ce groupe politique parisien. Une caméra, une connexion GSM, du matos qui semble être une pirate box, un transmetteur GSM Jablotron (290€), un routeur de chez PEPLink et une puce GSM Orange. Le tout caché dans une boite « faite maison », raccordée à un chouette petit pc de la famille des Fit PC. Dans ce cas, un fit-PC2 à 400 euros, fabriqué en Israël. Bref, plus de 1.000€ de matos pour espionner cette bibliothèque qui est née en avril 2015 et qui s’est donnée comme mission de partager des informations sur l’actualité du mouvement révolutionnaire et anti-autoritaire à travers le monde.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle

Un circuit électronique capable de s’auto détruire en cas de piratage

Des chercheurs du Palo Alto Research Center mettent au point un système de protection des données en permettant à un circuit électronique de s’auto détruire en cas de piratage.

Des chercheurs étudiants du PARC, le Palo Alto Research Center, viennent de présenter ce qui semble être un avenir intéressant pour le matériel transportant des données sensibles. En cas de piratage par exemple, un des circuits électroniques gérant la machine sera capable de s’auto détruire.

Le projet est conduit par la Defense Advanced Research Projects Agency. La DARPA est cette fameuse agence de recherche de l’armée américaine à qui l’on doit, entre autres, la naissance d’Internet ou encore du High Productivity Computing Systems, des ordinateurs capables de traiter plusieurs pétaflops de données.

Les circuits, en silicium, explose à partir d’une impulsion électrique particulière, chauffant le circuit. Le chef de ce projet baptisé VAPR (Vanishing Programmable Resources), Gregory Withing, explique qu’une simple connexion sans fil Wi-Fi pourrait permettre de faire exploser le matos.

Une possibilité a double tranchant si de mauvaises mains peuvent actionner le système de sécurité. Les chercheurs avaient déjà proposé le circuit qui fondait à la demande. A suivre ! (Futura science)

Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Le pirate de JPMorgan Chase s’est attaqué à d’autres sociétés

Le pirate informatique qui s’est attaqué à la banque JPMorgan Chase a aussi visé, avec plus ou moins de succés, Citigroup, E*Trade Financial Corp, Automatic Data Processing et Regions Financial Corp.

Si certaines structures n’ont pas confirmé cette affirmation de plusieurs enquêteurs qui ont souhaité  rester anonyme, des entreprises comme E*Trade Financial Corp ont confirmé avoir été attaquées en 2013 par ce qui semble être le même pirate que la banque JPMorgan.

En 2014, ETCF avait indiqué ne pas savoir si des données clients avaient été impactées. Deux ans plus tard, voici la confirmation de cette infiltration. Au moins 31 000 clients de la structure bancaire ont été alertés d’une violation de leurs données. Les pirates ont pu avoir accès aux noms et e-mails des clients, ainsi que les adresses physiques de ces derniers. Il n’y a « aucune preuve que toutes les informations des comptes clients, y compris les mots de passe, numéros de sécurité sociale, ou des informations financières eurent été compromises » indique le communiqué de presse de la banque.

Un détail dés plus déroutant. Il est pourtant assez simple de savoir ce que les pirates ont pu lire, copier… Toutes les données contenues dans la base de données compromise ont été accessibles.

Base de données, Cybersécurité, Entreprise, Fuite de données, Justice, loi

Nouvelles lois sur les violations de données pour la Californie

Un commentaire

Le 6 octobre, le gouverneur de Californie a signé trois nouvelles lois qui tentent de clarifier les éléments liées aux violations de données.

Aux USA, dès qu’une entreprise se retrouve face à une fuite de données (piratage, ordinateur volé, clé usb perdue, documents transformés en confettis…), obligation lui est faite d’avertir les autorités, le Département de Justice et, par le biais du DoJ, les clients/utilisateurs potentiellement impactés.

Le 6 Octobre, le gouverneur de Californie, Jerry Brown, a signé trois nouvelles lois qui visent à clarifier les éléments clés des notifications alertant d’une fuite de données. Des lois qui sont censées fournir des conseils aux personnes, aux entreprises et aux organismes étatiques et locales qui stockent des informations personnelles. Des lois qui prendront effet le 1 Janvier 2016.

AB 964
Parmi ces trois lois, l’article AB 964 a fait tendre l’oreille et la souris de la rédaction de DataSecurityBreach.fr car elle vise la question du chiffrement. Les renseignements personnels sont maintenant considérés comme correctement « chiffrés » si elles sont « rendues inutilisables, illisibles ou indéchiffrables à une personne non autorisée à travers une technologie de sécurité ou de méthode généralement reconnue dans le domaine de la sécurité de l’information. » Malin, le législateur ne précise pas de son côté ce qu’est la meilleure méthode pour chiffrer efficacement.

Aujourd’hui, un mot de passe hashé (chiffré) en MD5, se cracke en quelques secondes. Ne parlons pas de l’utilisation de SSL, RC4 et TLS 1.0 (tous maintenant interdits par l’IETF). L’article SB 570 stipule que les alertes doivent être titrée « Avis de violation de données » et présenter des informations de notification pertinentes : ce qui est arrivé; quelle information impliquée; ce que le fuiteur a mis en place pour protéger les données. La dernière loi, la SB 34, élargit la définition du terme « renseignements personnels ».

Banque, Cybersécurité, Entreprise, Mise à jour, Paiement en ligne, Propriété Industrielle

Le FBI lance une alerte sur les cartes à puce… puis la retire

Les banques, plus fortes que le FBI ? L’agence fédérale américaine a lancé une alerte au sujet des cartes bancaires à puce. Un message retiré à la demande des institutions financières.

Le FBI de San Diego a fait fort, vendredi 9 octobre. Une alerte publique, comme l’agence en produit très souvent, indiquait que les cartes bancaires avec puces pouvaient encore être la cible des pirates. Dans son document intitulé « Les nouvelles cartes de crédit avec micropuces peuvent encore être vulnérables face aux fraudeurs » [New microchip-enabled credit cards may still be vulnerable to exploitation by fraudsters] Mulder et Scully expliquaient simplement que le fait d’avoir une puce et un mot de passe ne devait pas empêcher les utilisateurs des nouvelles cartes bancaires (avec une puce et un mot de passe) de faire attention à leur bout de plastique. Les banques n’ont pas aimé l’alerte. Bilan, le FBI a retiré son avertissement et a été invité à revoir sa copie.

backdoor, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle

Les installations nucléaires civiles ne demandent qu’à être piratées

Les infrastructures nucléaires civiles dans le monde entier seraient insuffisamment préparées à l’éventualité d’une cyberattaque.

Tout le petit monde du nucléaire c’est donné le mot, la semaine dernière, pour annoncer que les centrales nucléaires ne tiendraient pas face à une attaque informatique. C’est selon un nouveau rapport des chercheurs de la Chatham House, un think-tank basé à Londres, que l’on apprend que les pirates informatiques ne feraient qu’une bouchée des centrales nucléaires.

Les installations deviennent de plus et plus dépendantes des systèmes numériques et autres logiciels, et que la sensibilisation de haut niveau des menaces liées à la cybersécurité stagne, un événement grave semble s’écrire. « Les récentes attaques de grande envergure, y compris le déploiement du worm Stuxnet, ont soulevé de nouvelles inquiétudes concernant les failles de sécurité des cyber d’installations nucléaires, commente le rapport. Les cyber-criminels, les États et les groupes terroristes augmentent leurs activités en ligne, la crainte d’une cyber-attaque sérieuse est toujours présente.« 

D’ici là à penser que le survol de centrales françaises par des drones avaient pour mission de sniffer les connexions wifi des installations !

Base de données, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Particuliers, Sauvegarde

Police : gestion de la base de données des plaques d’immatriculation

Pendant des années, la police américaine a utilisé des scanners de plaques d’immatriculation installées dans les voitures de patrouille. Elle achète aussi, aujourd’hui, des BDD à des entreprises privées.

Aux USA, mais aussi en Europe, comme en France d’ailleurs avec les contrôle automatisé de données signalétiques des véhicules (radars automatiques), ou encore avec LAPI (lecture automatisée de plaques d’immatriculation), les plaques d’immatriculations des automobiles sont stockées. Chez l’Oncle Sam, la lecture automatisée, via des caméras embarquées sur les véhicules, permet de télécharger les images dans les bases de données qui sont utilisées pour identifier les suspects de crimes et délits.

Il s’avère que la base de données policière n’est pas suffisante. Bilan, des bases de données de plaques sont acquises dans le secteur privé, chez les dépanneurs automobiles par exemple qui photographient les plaques, et les documents des automobilistes.

Les associations en charge des libertés civiles, et certains législateurs, s’inquiètent de ces partenariats, estimant que des protections devaient être mises en place contre les abus. Autres problèmes, l’obsolescence des bases de données acquises et la durée de conservation des données. Certains voix réclament que la police devrait obtenir un mandat d’un juge pour accéder aux bases de données en question. (WTOP)

Chiffrement, cryptage, Cybersécurité, Espionnae, Particuliers

Un cache webcam de 0,75mm d’épaisseur

Kickstarter – Monkeywi lance un nouveau cache pour webcam de 0,75mm d’épaisseur.

L’équipe de Monkeywi propose des caches pour webcam. Cela permet ainsi de ne pas laisser l’œil incrusté dans les portables en mode « open ». Une nouvelle version est en cours de préparation.

La Monkeywi team lance ce 9 septembre un nouveau projet Kickstarter. Cette fois, le cache est d’une épaisseur étonnante, 0,75mm. Sa mission, éviter d’être espionner visuellement en cas d’infiltration de votre ordinateur par un cheval de Troie. A noter que si votre machine est infiltrée, inquiétez-vous. Si le pirate ne pourra plus vous regarder, il pourra encore vous écouter via le micro, intercepter vos frappes claviers, regarder votre écran, copier les fichiers de votre machine.

Le nouveau projet de la Monkeywi team réclame 1.200€.

backdoor, Cybersécurité, Logiciels, Tor, VPN

Le FBI utilise Flash d’Adobe pour infiltrer des pédophiles

Les enquêteurs du FBI ont utilisé un logiciel espion passant par de fausses publicités au format flash pour stopper des pédophiles.

Il y a quelques jours, un pédophile notoire était arrêté par le FBI. Luis Escobosa, a été incarcéré  pour s’être rendu sur un site pédophile. Il lui a été aussi reproché d’avoir utilisé et téléchargé des  photos et des vidéos à partir de différents sites web dédiés à la pornographie juvénile.

Le FBI a arrêté l’homme originaire de Staten Island, vendredi dernier. Le FBI a expliqué au tribunal son mode d’action. Le pédophile utilisait, entre autre, le site PlayPen. Un portail du blackmarket fort de 215.000 utilisateurs. Un site qui a été fermé, par le FBI, en Mars 2015. Seulement, avant sa fermeture définitive, les agents spéciaux avaient installé des spywares dans ce site, sous forme de publicités au format flash, un outil de la société Adobe. Durant quelques semaines, Mulder et Scully ont pu suivre à la trace les utilisateurs de PlayPen, dont Luis Escobosa.

Les Spywares ont été utilisés pendant un certain temps par le FBI. Un outil créé par un white hat du nom de HD Moore qui exploite Metasploit Decloak v2. Le processus fonctionne assez simplement. Un fichier, généralement un fichier flash, est hébergé par un site de pornographie juvénile saisis par les forces de l’ordre. Le fichier est envoyé naturellement et automatiquement (sauf si les navigateurs refusent de lire des documents de la société Adobe, NDR) dans les navigateurs Web des visiteurs. Ce fichier Flash était exécuté dans le plugin Adobe et établissait une connexion directe avec un serveur contrôlé par le FBI, sans que TOR ne puisse « cacher » l’ip des internautes pédophiles.