Archives de catégorie : Patch

BYOD, Cloud, Cybersécurité, Emploi, Entreprise, IOT, Mise à jour, Patch, Propriété Industrielle, ransomware, Scada

BYOD au 0Day : sécurité, une année bissextile à l’autre

Vous avez peut-être remarqué que le 29 février figurait dans notre calendrier, cette année : 2016 est en effet une année bissextile ! En matière de cybersécurité, beaucoup de choses ont changé, comme l’arrivée du BYOD, au cours des quatre dernières années. Voici quatre évolutions majeures intervenues depuis 2012, soit une moyenne d’une par an.

Sécurité du cloud : de l’adoption à la redéfinition des frontières
2012 : les experts prévoyaient une hausse de l’adoption de solutions de sécurité des données dans le cloud ; cette hausse était censée affecter l’approche des entreprises en la matière, ainsi que les modes de fourniture des éditeurs. Le cloud hybride commençait à émerger en raison de ses avantages en matière d’agilité et de sécurité. En outre, suite à l’explosion en 2011 des APT (menaces persistantes avancées) à l’encontre de grandes sociétés ou d’administrations publiques, on s’attendait à une recrudescence de ces attaques ciblées en 2012.

2016 : entre l’invalidation de l’ancien cadre Safe Harbor et la création du nouveau cadre baptisé E.U.-U.S. Privacy Shield, les réglementations en matière de résidence et de souveraineté sur les données ont été des sujets de conversations majeurs. Et à la suite de la révélation au grand jour d’affaires de surveillance/d’espionnage, des législations de plus en plus rigoureuses sont à prévoir. En outre, avec le développement des nouvelles technologies et l’évolution des solutions de sécurisation des applications dans le CLOUD (CASB), les frontières entre les applications et processus opérationnels compatibles avec le cloud et les autres feront l’objet d’une nouvelle délimitation. Les entreprises utiliseront plus volontiers le cloud là où cela aurait été considéré comme inconcevable il y a quelques années.

Le débat sur la cybersécurité à Washington
2012 : le projet de loi Cybersecurity Act de 2012, soit la législation la plus complète en la matière à l’époque, est rejeté par le Sénat à l’issue d’un vote à 52 voix contre 46. À ce moment, nombreux sont ceux qui pensent que ce rejet empêchera l’adoption de la moindre législation en matière de cybersécurité pour le reste de l’année, voire pour les années à venir.

2016 : nous sommes maintenant en 2016, et l’atmosphère à Washington est clairement différente. En octobre 2015, le Sénat a adopté à 74 voix contre 21 le projet de loi sur le partage d’information de sécurité informatique. De plus, en 2016, la Maison Blanche a dévoilé un plan d’actions national en matière de cybersécurité (CNAP) afin de renforcer les systèmes de protection numérique des États-Unis.

Des failles de plus en plus grandes   
2012 : cette année-là, de très grandes entreprises ont été victimes de piratages affectant des millions de personnes. Des enseignes commerciales pour le grand public et de grandes sociétés de cartes de crédit ont connu des fuites de données qui ont donné le ton pour l’avenir. À cette époque, les pirates ciblaient principalement les informations relatives aux cartes de crédit, qu’ils obtenaient et revendaient ensuite sur le marché noir.

2016 : en quatre ans, les attaques ont considérablement évoluées. Les secteurs des services financiers et de santé sont désormais durement touchés. En outre, les types d’informations dérobées par les pirates ont également changé. Les données des dossiers médicaux ont une durée de vie largement supérieure et peuvent être utilisées pour des usurpations d’identité. Contrairement aux données financières, qui deviennent inexploitables une fois que la victime s’aperçoit de la fraude et fait opposition sur sa carte, un numéro de sécurité sociale peut difficilement être changé, tandis que des dossiers médicaux et pharmaceutiques sont permanents. Il existe également un marché important pour la fraude et l’arnaque à l’assurance santé, une opportunité bien cernée par les pirates.

Sécurité du BYOD vs. sécurité de l’IdO
2012 : il y a quatre ans, le BYOD devenait sans cesse plus populaire sur le lieu de travail et connaissait son plus bel essor. À l’époque, les acteurs du secteur étaient obsédés par les problèmes de compatibilité que provoquerait cette tendance croissante, ainsi que par les risques de sécurité liés au fait que des employés accèdent à des données professionnelles privées sur leurs appareils personnels.

2016 : bien que le BYOD suscite toujours plus d’inquiétudes sur le plan de la sécurité, les experts prêtent davantage attention à la recrudescence des attaques par des machines « zombies ». Le cabinet de recherche Gartner prévoit que 6,8 milliards d’appareils connectés seront utilisés en 2016, soit une hausse de 30 % par rapport à 2015. Le nombre important d’appareils connectés, ou le phénomène de l’« Internet des Objets », représente une opportunité sans précédent pour les pirates, et beaucoup pensent que le problème va s’aggraver en raison de l’exposition croissante des consommateurs.

Android, Chiffrement, Cybersécurité, Leak, Mise à jour, Patch, Piratage, Sécurité, Smartphone, Téléphonie

Puzzle Color Blend : histoire d’une application Android piégée

Une application dans le Play Store souscrivait automatiquement des connexions WAP payantes.

Parmi les 1,4 million d’applications dans le Google Play Store, certaines sont à manipuler avec précaution. Il s’agit là de la découverte de G DATA avec Puzzle Color Blend. Après son installation, l’application mettait en place des abonnements WAP payants vers une société néerlandaise. Une nouvelle technique à surveiller à l’avenir.

« Ce type d’attaque par abonnement automatique est nouveau », explique Ralf Benzmüller, directeur de G Data SecurityLabs. « Nous assistons ici à une escroquerie très pointue. La création des nombreux faux avis positifs sur le Play Store et la désactivation automatique des connexions de données au profit de connexions WAP payantes montrent que l’attaque est préparée et techniquement avancée.« 

L’application en question
L’application Puzzle Color Blend en cause est un jeu qui consiste à reconnaître et à sélectionner des bonnes nuances de couleur. Disponible dans le Google Play Store depuis le 3 novembre 2015, il avait été téléchargé plus de 50.000 fois jusqu’à son retrait fin janvier. La similitude avec le jeu Blendoku (téléchargé à 1 million d’exemplaires sur le PlayStore) pourrait expliquer le succès rapide de Color Blend. Les images de l’application affichées par l’éditeur dans le Play Store usurpaient par ailleurs l’interface de Blendoku.

Son action nuisible
Après avoir installé le jeu, les utilisateurs contractaient sans le savoir des abonnements à des services WAP payants. Cette méthode d’abonnement automatique est nouvelle. Les attaques détectées précédemment, utilisant la facturation WAP, résultaient d’une action de l’utilisateur, par l’ouverture d’une bannière web par exemple.

Antivirus, Cybersécurité, Logiciels, Mise à jour, Patch, Téléphonie

La Suite complète Avast Mobile Security accessible gratuitement

La nouvelle version pour Android propose une nouvelle interface et des fonctionnalités additionnelles pour encore plus de sécurité.

Avast Software, l’éditeur des solutions de sécurité pour PC et mobiles les plus populaires au monde, annonce aujourd’hui la disponibilité de la toute dernière version gratuite de sa solution Avast Mobile Security pour Android, incluant de nouvelles fonctionnalités pour surfer sur le web en toute sécurité ! En plus d’une protection anti-virus accrue grâce à la base de données utilisateur d’Avast, la nouvelle version garantie la sécurité des connexions – y compris sur les réseaux Wi-Fi publics, ainsi qu’un meilleur contrôle des applications en ce qui concerne la gestion des données personnelles.

Parmi les principales fonctionnalités, la nouvelle version Avast Mobile Security inclut :
·         Privacy Advisor – Les mobinautes ne mesurent pas toujours le niveau d’intrusion des applications qui se trouvent sur leurs appareils, ni la nature des données qui sont collectées. Grâce à la fonctionnalité « Privacy Advisor, » l’utilisateur s’informe en un clin d’œil sur les données recueillies par chaque application et peut ainsi contrôler le type d’information communiqué. En outre, l’application alerte l’utilisateur si la manière dont les données collectées par une application présente d’éventuels risques de sécurité.

·         Sécurité Wi-Fi – Grâce à cette fonctionnalité, l’utilisateur identifie rapidement le niveau de sécurité des bornes Wi-Fi. De cette façon, le mobinaute peut évaluer les risques et adapter sa navigation en fonction de ses besoins ou décider de se déconnecter pour ne prendre aucun risque !

·         Verrouillage illimité des applications — Les utilisateurs téléchargent de plus en plus d’applications dont certaines contiennent des données personnelles – comme les applis de messageries ou associées aux réseaux sociaux par exemple. Avec Avast Mobile Security, les utilisateurs peuvent protéger toutes les applications qu’ils souhaitent à l’aide d’un mot de passe, et profitent ainsi d’une protection supplémentaire contre des regards indiscrets, ou en cas de perte ou de vol de leur terminal mobile.

L’application Avast Mobile Security est disponible au téléchargement dès aujourd’hui sur tous les appareils Android via Google Play Store.

Dernier point, n’oubliez jamais que si le produit est gratuit, il y a de forte chance que ce soit vois le produit !

Base de données, Chiffrement, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch

Un bug sur Instagram trahit la vie privée des utilisateurs

La nouvelle mise à jour de l’outil de socialisation Instagram emporte avec lui un bug particulièrement gênant capable de révéler la vie privée des utilisateurs exploitant l’option multi comptes.

Partager son compte Instagram n’est pas une bonne idée, surtout si vous sélectionner l’option « Multicompte« . Une nouveauté qui permet de partager son espace avec un ami, collègue, … sauf que dans ce cas, l’ami en question recevra vos informations personnelles, et vous recevrez les siennes. Les utilisateurs partageurs recevront les notifications de compte personnel et du compte mis en commun par cette nouvelle possibilité. Selon Android Central, Instagram travaille sur la correction de cette petite fuite, qui pourrait devenir gênante, si vous partagez des informations avec l’Instagram de votre entreprise par exemple.

Cybersécurité, Emploi, Entreprise, Mise à jour, Patch

Quel enseignement pour la cyber-sécurité ?

Enseignement complexe et désormais stratégique, la sécurité informatique n’est pas une simple spécialisation des études d’ingénieur, mais une vaste culture qui requiert une pédagogie adaptée. Quels choix sont faits par les écoles qui forment les professionnels de demain ? (Par Richard Rey, Enseignant, Directeur-Adjoint et RSSI du Laboratoire Confiance Numérique et Sécurité – ESIEA).

Selon une étude Gartner, la moitié des entreprises mondiales serait dans l’obligation, à horizon 2018 de recourir aux services d’un professionnel pour gérer le risque informatique. La principale raison : l’avènement du Cloud et des objets connectés, dont il est, de l’avis des experts, trop facile d’exploiter les vulnérabilités. Dans ce contexte, les entreprises s’intéressent de très près aux étudiants des écoles possédant une expertise en Cyber-sécurité. La discipline est en effet sensible en raison de son double aspect ; car qui parle de sécurisation doit aussi évoquer son autre versant : l’attaque. Former des professionnels de la sécurité est une responsabilité pour les écoles d’ingénieurs et toutes ne s’y emploient pas de la même façon.

Comment enseigne-t-on aujourd’hui ?
Le véritable enseignement en sécurité informatique, c’est-à-dire doté d’intitulés spécifiques, n’existe généralement qu’en troisième année d’études d’ingénieur. À cela une raison simple : c’est à ce moment que de nombreux étudiants rejoignent les écoles après des formations bac+2, pour y poursuivre leurs études supérieures. Or, il est important de comprendre que la sécurité informatique n’est pas un enseignement comme les autres. Les écoles qui ont à cœur de former les experts de demain ne peuvent pas se contenter d’une spécialisation de fin de cursus et doivent au contraire, sensibiliser au plus tôt à ce domaine et participer à la diffusion des connaissances en matière de sécurité. Cela implique de former, non seulement des spécialistes, mais aussi des professionnels capables d’évoquer ce sujet en restant intelligibles à tous les publics.

Un enseignement indissociable d’autres enseignements informatiques
Certaines écoles choisissent, pour cela, d’aborder le sujet plus tôt, dès la première année post Bac via des exercices cryptographiques au sein de modules de mathématiques et avec des travaux pratiques orientés sécurité. En deuxième et troisième années, l’enseignement des systèmes et du réseau est là aussi, l’occasion d’évoquer des questions liées au risque : que ferait une personne malintentionnée, quels accès lui seraient possibles, etc. Pourquoi un tel choix ?
Ces exercices précoces qui incitent à adopter le point de vue d’un attaquant ou d’un adversaire, comme on le ferait dans un jeu d’échec, sont essentiels : ils font prendre conscience que la sécurité est une discipline qui concerne l’ensemble des autres enseignements. Il est en vérité difficile d’imaginer une formation pointue en sécurité informatique avant quatre années d’études supérieures. La culture qui la sous-tend est extrêmement large : maîtriser plusieurs langages de programmation, s’y connaître en architecture web, en technologies des réseaux, en systèmes (Linux, Windows, Android, MacOS), en virtualisation, en Big data, Cloud, etc. Ce qui s’avère impossible en un cycle court. Une étape essentielle consiste à démontrer aux étudiants que, parvenus à un certain niveau, 90% de ce qu’ils trouvent sur internet est souvent obsolète, incomplet, voire faux.

La sécurité informatique, une culture autant qu’une spécialisation
En troisième et quatrième année, les cours dédiés à la sécurité permettent aux étudiants, sans être encore des spécialistes, de disposer de solides connaissances, quelle que soit leur spécialisation ultérieure. Lorsqu’en cinquième année, les cours de spécialisation arrivent, on est ainsi assuré que tous les futurs ingénieurs (et pas seulement les futurs spécialistes) disposent de connaissances indispensables en matière de sécurité. À savoir que tous peuvent évoluer dans l’entreprise avec une conscience aigüe de ce qu’impliquent et signifient les risques ; lors de choix techniques, ils sauront avoir une vision d’ensemble propre à éviter les mauvaises décisions. Former à la sécurité tout au long des cinq années d’un cursus d’ingénieur, participe ainsi à une meilleure connaissance des enjeux de sécurité au sein de toutes les entreprises, et pas seulement des grands groupes.

Un enseignement soumis à confidentialité
Le cursus « sécurité » en cinquième année d’études d’ingénieur peu têtre très dense, (jusqu’à  60% d’un Mastère Spécialisé (Bac+6)) avec un tiers de cours et deux tiers de projets opérationnels, de cas concrets. Dans le cas des écoles bénéficiant de la proximité d’un laboratoire de recherche, il va de soi que les questions de confidentialité se posent très tôt. Les cas soumis par ses membres, des enseignants qui sont aussi des opérationnels, souvent mandatés par des entreprises, par l’État ou des organismes dits d’importance vitale (énergie, transports, etc.), sont confidentiels. Il arrive que l’on confie aux laboratoires et à leurs étudiants un PC, un téléphone portable, avec pour objectif de récupérer ses données, et de découvrir tout ce qui est exploitable. La sécurité réclame des profils de hackers responsables (aussi dénommés « white hats »). On comprendra que son enseignement ne peut se faire sans y adjoindre une solide formation humaine et éthique. Or il est difficile de parler d’éthique à de très jeunes gens dans de vastes promotions. Ce n’est possible qu’en petits effectifs. Plus tard dans leur cursus, des cours dédiés à ces questions les informeront du cadre juridique existant en France et en Europe, des aspects relatifs à l’organisation de la sécurité de l’État, aux agréments, réglementations, à leur histoire, etc. Comment aussi, ils peuvent être soumis, même pendant leurs études, à des enquêtes de moralité et ce que cela implique. Mais au-delà de ces informations, ce sont des valeurs et de l’intelligence qui doivent être transmises très tôt. Cela rend indispensable une formation humaine présente tout au long des études (tout l’inverse de la geek-attitude). C’est aussi une formation qui en leur « apprenant à apprendre » les prépare à l’exercice de leur métier et à une certaine humilité : tout ce que peut dire un expert en sécurité peut être remis en question du jour au lendemain. Ses connaissances demandent une constante mise à jour, (un poste d’expert en sécurité devra obligatoirement comporter 30% de temps consacré à la veille technologique). Les responsables hiérarchiques en ont bien conscience.

L’avenir de la sécurité au féminin ?
C’est aussi une des raisons pour lesquelles les écoles essaient autant d’attirer des jeunes femmes. On leur prête une plus grande maturité, et surtout, plus tôt. On remarque notamment que les entreprises, lorsqu’elles proposent des postes d’expert sécurité légèrement atypiques, qui impliquent entre autres une vision de l’orientation de la politique de sécurité, des rapports avec les fournisseurs, veulent en priorité des femmes dont elles considèrent qu’elles sont les seules à avoir la hauteur de vue nécessaire. Un autre sexisme, mais qui cette fois opère en faveur des jeunes femmes ! Est-ce dire qu’avec plus de jeunes filles, l’enseignement de la sécurité pourrait changer ? Oui.

On constate par exemple que face à une problématique technique, elles privilégient les premiers instants consacrés à la réflexion et à la construction intellectuelle. Ainsi, les solutions proposées sont plus abouties mieux « ficelées » (on parle d’élégance technologique). Il faut le reconnaître, aujourd’hui les filles sont « chouchoutées » dans les formations liées au numérique et plus spécifiquement à la cyber-sécurité ; tout est fait pour entretenir leur motivation et les convaincre que la discipline est passionnante. Seul hic : trop d’entre elles ignorent encore aujourd’hui qu’elles y sont attendues.

Adobe, Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch

Analyse Patch Tuesday Fevrier 2016

Retour à des valeurs normales pour ce Patch Tuesday. Après un démarrage en douceur avec 9 bulletins en janvier, 12 (dont 5 critiques) sont publiés en février, cela correspond à la moyenne de 12,25 bulletins par mois observée l’an dernier.

En fait, il y en aurait même 13, mais le dernier, MS16-022, s’apparente davantage à un changement de packaging. Il concerne un package logiciel pour Adobe Flash dont la mise à niveau est assurée par Microsoft depuis 3 ans et demi sous les versions 10 et 11 d’Internet Explorer. Cette mise à jour était auparavant prise en charge par le seul avis de sécurité KB2755801. Maintenant, elle bénéficie d’un véritable bulletin. Ce nouveau format garantit pour le moins un traitement et un suivi supérieurs. Aucune des vulnérabilités décrites n’est utilisée en aveugle, mais beaucoup sont classées comme facilement exploitables par Microsoft et Adobe si bien que vous devriez les résoudre sans délai. C’est donc le bulletin MS16-022 qui est en tête des priorités de Qualys ce mois-ci.

La mise à jour d’Adobe Flash (APSB16-04) contient des correctifs pour 22 vulnérabilités, toutes classées comme étant « critiques », c’est-à-dire pouvant fournir un contrôle complet de la machine cible à l’attaquant. Les scénarios d’attaque peuvent aussi bien mettre en scène des sites Web compromis mais innocents (certains problèmes récents avec WordPress par exemple) qui redirigent vers des domaines contrôlés par un attaquant malveillant, que du Flash embarqué dans d’autres fichiers (des documents Office notamment) qui cherche un accès via la messagerie électronique. En outre, les attaquants ayant démontré l’an dernier leur intérêt pour les attaques basées sur Flash, ce bulletin fait donc partie des priorités absolues.

Le bulletin MS16-015 arrive en deuxième position sur notre liste. Il résout 7 vulnérabilités Microsoft Office dans Word, Excel et Sharepoint. Les vulnérabilités CVE-2016-0022, CVE-2016-0052 et CVE-2016-0053 dans Word sont toutes au format RTF et peuvent être déclenchées sans interaction de l’utilisateur via le volet de visualisation dans Outlook. Elles sont classées « critiques ». Je suis pour ma part étonné que Microsoft ne propose pas de facteurs de mitigation pour ces dernières et j’en conclus que les changements de configuration spécifiés dans le bulletin MS14-017 continuent de s’appliquer : Lire les courriers électroniques en texte brut dans Outlook et désactiver les fichiers RTF dans Microsoft Word via la politique de blocage de fichiers.

Les autres vulnérabilités de notre liste sont résolues dans le bulletin MS16-009 pour Internet Explorer et dans MS16-011 en ce qui concerne Microsoft Edge. Ces deux publications résolvent respectivement 13 et 6 vulnérabilités dont 7 et 4 de niveau critique. L’exploitation de ces vulnérabilités s’appuierait sur la navigation Web avec redirection vers des sites Web malveillants soit directement, soit par empoisonnement du moteur de recherche qui attire vos utilisateurs vers un site Web piégé, soit via la compromission d’un site a priori légitime, ou encore par inclusion dans un réseau publicitaire. Ce vecteur d’attaque est l’un des plus sensibles pour l’entreprise et nous recommandons de corriger ces vulnérabilités dès que possible.

En janvier Microsoft a mis un terme au support des navigateurs Internet Explorer propriétaires sur chacun de ses systèmes d’exploitation en réservant désormais les mises à jour aux toutes dernières versions des navigateurs sur chaque plate-forme. Les règles exactes sont exposées dans le document sur le cycle de vie de Microsoft, mais pour la plupart des points d’extrémité (Windows 7, 8.1 et 10) cela revient à Internet Explorer 11. Rien d’autre n’est plus supporté et les utilisateurs sont exposés à un vecteur d’attaque qu’il sera difficile d’endiguer à moyen terme.

Le prochain bulletin critique de notre liste, MS16-013, s’intéresse au Journal Windows. Un fichier malveillant avec l’extension .JNL doit être ouvert par l’utilisateur pour déclencher la vulnérabilité. Sous Windows 7, l’extension du fichier peut être dissociée de l’application pour neutraliser l’attaque. Cela se défend en raison du flux constant de patches dans les bulletins MS15-114, MS15-098, MS15-045, etc. qui pourraient être déclassés en empêchant les utilisateurs d’ouvrir ces fichiers.

Le dernier bulletin critique concerne la visionneuse de fichiers Microsoft PDF Reader. Ce lecteur est uniquement disponible sous Windows 8.1, 10 et Server 2012 et le bulletin MS16-012 ne s’applique donc qu’aux versions les plus récentes. Il s’agit d’un premier patch pour ce logiciel et il sera intéressant de voir combien d’autres vulnérabilités les chercheurs en sécurité pourront découvrir. Vous vous souvenez lorsqu’en 2012 Google utilisait sa technologie aléatoire pour s’intéresser à Adobe Reader ? Utilisez-vous la visionneuse de fichiers PDF fournie par Windows ou avez-vous adopté Adobe Reader y compris sur ces plates-formes ?

Ce Patch Tuesday comprend d’autres patches importants. Le système d’exploitation Windows lui-même est corrigé à l’aide des bulletins MS16-014 et MS16-018 tandis que MS16-016 résout la faille liée à l’élévation de privilèges via le service WebDAV, si vous exposez le protocole RDP sur Internet. MS16-017 nécessite cependant d’authentifier l’attaquant au préalable, MS16- 020 comble une faille DoS dans Active Directory et MS16-021 comble une faille du même acabit dans Radius, parmi les autres bulletins intéressants.

Comme toujours, un annuaire précis des logiciels installés permettra de décider où il est utile d’intervenir en priorité. Des mises à jour automatiques, dans la mesure du possible et par exemple sur les machines génériques des utilisateurs qui peuvent également soulager la tâche de l’équipe chargée du déploiement des correctifs. (Qualys)

Argent, Cybersécurité, ID, Identité numérique, Mise à jour, Particuliers, Patch, Phishing, Social engineering

eBay : une inquiétante faille révélée

EBay alerté au sujet d’une vulnérabilité de sa plateforme de vente en ligne qui permet à des cybercriminels de diffuser des campagnes de phishing et des logiciels malveillants.

eBay, le géant de la vente aux enchères et du commerce électronique en ligne, possède des bureaux dans plus de 30 pays et plus de 150 millions d’utilisateurs actifs dans le monde. L’entreprise ayant une clientèle importante, il n’est donc pas surprenant qu’elle soit la cible de nombreuses cyberattaques.

Check Point, éditeur de solution de sécurité informatique, a découvert une grave vulnérabilité dans la plateforme de vente en ligne d’eBay. Cette vulnérabilité permet à un agresseur de contourner la validation de code d’eBay et de contrôler le code vulnérable à distance pour exécuter du code JavaScript malveillant auprès d’utilisateurs ciblés. Sans correction de cette faille, les clients d’eBay continueront d’être potentiellement exposés à des attaques de phishing et de vol de données.

Un agresseur pourrait cibler les utilisateurs d’eBay en leur envoyant une page légitime contenant du code malveillant. Lors de l’ouverture de la page, le code serait alors exécuté par le navigateur de l’utilisateur ou une application mobile, conduisant à plusieurs scénarios inquiétants allant du phishing jusqu’au téléchargement binaire.

Après avoir découvert la vulnérabilité, Check Point en a communiqué les détails à eBay le 15 décembre 2015. Cependant, le 16 janvier 2016, eBay a déclaré n’avoir prévu aucune correction de la vulnérabilité. La démonstration de la méthode d’exploitation est encore disponible en ligne.

Découverte de la vulnérabilité

Roman Zaikin, chercheur de Check Point, a récemment découvert une vulnérabilité qui permet à des pirates d’exécuter du code malveillant sur les appareils des utilisateurs d’eBay, à l’aide d’une technique non standard appelée « JSF**k ». Cette vulnérabilité permettrait à des cybercriminels d’utiliser eBay comme plateforme de phishing et de diffusion de logiciels malveillants.

Pour exploiter cette vulnérabilité, un agresseur a simplement besoin de créer une boutique eBay en ligne, et publier une description malveillante d’un article dans les détails de sa boutique. eBay empêche les utilisateurs d’inclure des scripts ou des iFrames en filtrant les balises HTML. Cependant, grâce à JSF**k, l’agresseur peut créer un code qui va charger du code JS supplémentaire depuis son serveur. Cela lui permet d’insérer du JavaScript qu’il peut contrôler et ajuster à distance, par exemple, pour adapter son attaque à un navigateur différent.

eBay n’effectue qu’une simple vérification, et ne supprime que les caractères alphanumériques des balises de script. La technique JSF**k permet aux agresseurs de contourner cette protection en utilisant un nombre très limité de caractères.

Comme on peut le voir, le message qui apparaît sur l’application eBay (plus précisément dans la boutique de l’agresseur sur le site eBay) incite l’utilisateur non averti à télécharger une nouvelle application mobile eBay en proposant une remise.

L’utilisateur qui appuie sur le bouton « Télécharger », téléchargera à son insu une application malveillante sur son appareil mobile.

« La méthode d’attaque fournit aux cybercriminels un moyen très facile de cibler les utilisateurs en leur envoyant un lien vers un produit très attrayant pour exécuter l’attaque. La principale menace est la diffusion de logiciels malveillants et le vol de données privées. Un agresseur pourrait également proposer une méthode de connexion alternative via Gmail ou Facebook pour détourner des comptes utilisateurs, » précise Oded Vanunu, responsable d’un groupe de recherche chez Check Point. « Check Point reste à l’affût des vulnérabilités dans les applications et les plateformes Internet courantes. En communiquant les menaces au fur et à mesure de leur découverte, nous protégeons l’avenir. »

BYOD, Chiffrement, Cybersécurité, Entreprise, Mise à jour, Patch

Le disque dur de votre imprimante HP peut cacher un logiciel malveillant

Un problème de sécurité informatique visant certaines imprimante HP permet à un pirate de cacher dans la machine des logiciels malveillants.

Chris Vickery, chercheur en sécurité informatique, a découvert un problème dans le fonctionnement de certaines imprimantes HP. La faille concerne les imprimantes HP LaserJet. Il a été révélé que les imprimantes HP LaserJet peuvent être facilement abusés par des pirates informatiques.

Vickery a indiqué que les disques durs de l’imprimante HP LaserJet peuvent être utilisés par des pirates informatiques comme une unité de stockage de données. En cause, le réglage par défaut de l’imprimante qui peut mettre en place un serveur FTP via le Port 9100. Bilan, via l’adresse http://l’ip de l’imprimante/hp/device/nom du fichier les actes malveillants peuvent débuter sans que personne ne puisse s’en rendre compte.

Autant dire qu’il est fortement conseillé de regarder du côté des paramétrages de la machine et du firewall qui protège votre infrastructure. Fermer le port 9100 ne fera pas de mal. Selon Shodan, 20 000 imprimantes sont ainsi exposées de part le monde.

Antivirus, Chiffrement, Cybersécurité, Logiciels, Mise à jour, Patch, Virus

L’outil de sécurité Malwarebytes corrige plusieurs failles de sécurité

Plusieurs failles de sécurité visant le logiciel anti malwares Malwarebytes en cours de correction. Un pirate aurait pu s’inviter entre un client et l’éditeur pour modifier les informations transmissent pour l’éditeur.

Tavis Ormandy est un chercheur en sécurité informatique, membre du Project Zero de Google. Mission, trouver des failles et les faire corriger. L’homme est spécialisé dans les antivirus et logiciels en charge de sécuriser les internautes. Après Avast, AVG, Eset, FireEye, Kaspersky et Trend Micro, Tavis Ormandy vient de secourir les utilisateurs de l’outil Malwarebytes.

Plusieurs failles avaient été découvertes et remontées à l’éditeur en novembre 2015. Malwarebytes vient de corriger une partie des problèmes. L’une des vulnérabilités était le fait que les mises à jour de l’anti codes malveillants se faisaient via un HTTP non chiffré.

A noter que l’entreprise a lancé son bug bounty permettant de payer les failles qui lui seront remontées. Prix maximum, 1.000 dollars. Autant dire qu’ils ne vont pas avoir beaucoup de participants. Un 0day pour un antivirus se commercialise plusieurs milliers de dollars dans le blackmarket !

Apache, Cybersécurité, Logiciels, Mise à jour, Patch, Tor

Quand un serveur Apache permet de surveiller un site TOR

Cacher un site Internet via TOR est simple. Au lieu d’un 92829.com, vous vous retrouvez avec un 92829.onion. Impossible, normalement, de trouver la moindre information sur l’hébergement, le propriétaire. Sauf si ce dernier les donne ou utilise un serveur Apache mal configuré.

Shaun, chercheur en sécurité informatique, vient d’expliquer sur son blog, comment il devient simple de remonter à un serveur caché sous TOR à partir d’un problème de configuration d’Apache. L’inventeur de la « faille » indique qu’il faut désactiver « mod_status » avec l’instruction: $ a2dismod status. Dans la plupart des distributions Apache proposées, « mod_status » est activé d’origine. Bilan, les informations sur le serveur s’affichent. Un outil accessible uniquement depuis localhost. Ca c’est pour la sécurité. Sauf que si le daemon Tor tourne en localhost, les sites, forums, blogs tournant en .onion affichent leurs statistiques, les liens exploités, … Il suffit de taper, dans le navigateur TOR http://your.onion/server-status pour savoir si votre site, blog, forum est en danger.