Archives de catégorie : Logiciels

Actualités liées logiciels de sécurité informatique et protections numériques des entreprises et particuliers.

Argent, Arnaque, Bitcoin, Chiffrement, cryptage, cryptolocker, Cybersécurité, Entreprise, escroquerie, Logiciels, Paiement en ligne, Particuliers, ransomware, Social engineering

Citroni, le ransomware qui attaque les serveurs web

Les experts de Kaspersky Lab auraient découvert une nouvelle variante du ransomware CTB-Locker3 Baptisé Citroni / Onion, il s’attaque aussi aux serveurs web.

A l’origine, CTB-Locker est un malware de type ransomware qui chiffre des fichiers sur le disque dur de ses victimes avant de demander une rançon pour les déchiffrer. Il se démarque pour 3 raisons : Son taux d’infection très élevé ; son utilisation de Tor, des Bitcoins et de Elliptic Curve Cryptography et ses capacités multilingues.

Son objectif n’est plus d’encrypter le contenu des ordinateurs mais de s’attaquer aux serveurs web. Ici, les rançonneurs cherchent avant tout des sites web vulnérables, les attaquent pour y uploader du code et encryptent ensuite l’ensemble des fichiers qui y figurent. Ils modifient alors la page d’accueil de ces sites et y affichent des informations sur la façon de décrypter leur contenu. Ils incluent également des informations sur le montant de la rançon.

Les chercheurs ne savent pas encore comment CTB-Locker est déployé sur les serveurs web, mais il y a cependant un point commun sur plusieurs des serveurs attaqués : ils utilisent tous la plate-forme de blog WordPress. En pratique, les rançonneurs demandent moins de la moitié d’un bitcoin comme rançon, soit environ 150 $ US. Pour le moment, 70 serveurs encryptés dans 11 pays ont été repérés, avec une majorité de victimes aux États-Unis et en Russie. Pour le moment, aucun outil de désencryption n’est disponible, la seule façon de se débarrasser rapidement de cette menace étant de s’assurer de disposer d’une copie de sauvegarde des fichiers du serveur, le tout dans un endroit séparé.

Android, backdoor, Cybersécurité, Logiciels, Sécurité, Smartphone, Social engineering, Tor

Une attaque contre les smartphones Android via SMS

Durant plusieurs jours, de faux SMS ont tenté de piéger les utilisateurs de téléphones portables sous Android.

Étonnante attaque informatique découverte par une société belge. Un SMS annonçait la réception d’un fichier multimédia. Un message malveillant diffusé, ces derniers jours, à des milliers de propriétaires de téléphones portables sous Android. Les spécialistes de chez Heimdal n’indiquent pas si l’attaque a visé des populations particulières.

L’idée de cette tentative d’infiltration, inciter le lecteur du SMS à cliquer sur un lien. Le message « You have received a multimedia message from XXXXXX Follow the link XXXXX/mms.apk to view the message« . L’url renvoyait sur plusieurs serveurs piégés, comme mmsforyou. J’ai pu en découvrir plusieurs autres comme adobe-flash-player.

Derrière cette attaque, un fichier .apk, une application piégée. Elle installe une version de « TOR » sur le téléphone. Le code malveillant alerte ensuite son auteur, en Iran (sic!), via un simple message « Thank you« . D’après l’alerte, le pirate « peut alors le contrôler et faire ce qu’il veut.« 

Antivirus, Cybersécurité, Logiciels, Mise à jour, Patch, Téléphonie

La Suite complète Avast Mobile Security accessible gratuitement

La nouvelle version pour Android propose une nouvelle interface et des fonctionnalités additionnelles pour encore plus de sécurité.

Avast Software, l’éditeur des solutions de sécurité pour PC et mobiles les plus populaires au monde, annonce aujourd’hui la disponibilité de la toute dernière version gratuite de sa solution Avast Mobile Security pour Android, incluant de nouvelles fonctionnalités pour surfer sur le web en toute sécurité ! En plus d’une protection anti-virus accrue grâce à la base de données utilisateur d’Avast, la nouvelle version garantie la sécurité des connexions – y compris sur les réseaux Wi-Fi publics, ainsi qu’un meilleur contrôle des applications en ce qui concerne la gestion des données personnelles.

Parmi les principales fonctionnalités, la nouvelle version Avast Mobile Security inclut :
·         Privacy Advisor – Les mobinautes ne mesurent pas toujours le niveau d’intrusion des applications qui se trouvent sur leurs appareils, ni la nature des données qui sont collectées. Grâce à la fonctionnalité « Privacy Advisor, » l’utilisateur s’informe en un clin d’œil sur les données recueillies par chaque application et peut ainsi contrôler le type d’information communiqué. En outre, l’application alerte l’utilisateur si la manière dont les données collectées par une application présente d’éventuels risques de sécurité.

·         Sécurité Wi-Fi – Grâce à cette fonctionnalité, l’utilisateur identifie rapidement le niveau de sécurité des bornes Wi-Fi. De cette façon, le mobinaute peut évaluer les risques et adapter sa navigation en fonction de ses besoins ou décider de se déconnecter pour ne prendre aucun risque !

·         Verrouillage illimité des applications — Les utilisateurs téléchargent de plus en plus d’applications dont certaines contiennent des données personnelles – comme les applis de messageries ou associées aux réseaux sociaux par exemple. Avec Avast Mobile Security, les utilisateurs peuvent protéger toutes les applications qu’ils souhaitent à l’aide d’un mot de passe, et profitent ainsi d’une protection supplémentaire contre des regards indiscrets, ou en cas de perte ou de vol de leur terminal mobile.

L’application Avast Mobile Security est disponible au téléchargement dès aujourd’hui sur tous les appareils Android via Google Play Store.

Dernier point, n’oubliez jamais que si le produit est gratuit, il y a de forte chance que ce soit vois le produit !

Adobe, Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch

Analyse Patch Tuesday Fevrier 2016

Retour à des valeurs normales pour ce Patch Tuesday. Après un démarrage en douceur avec 9 bulletins en janvier, 12 (dont 5 critiques) sont publiés en février, cela correspond à la moyenne de 12,25 bulletins par mois observée l’an dernier.

En fait, il y en aurait même 13, mais le dernier, MS16-022, s’apparente davantage à un changement de packaging. Il concerne un package logiciel pour Adobe Flash dont la mise à niveau est assurée par Microsoft depuis 3 ans et demi sous les versions 10 et 11 d’Internet Explorer. Cette mise à jour était auparavant prise en charge par le seul avis de sécurité KB2755801. Maintenant, elle bénéficie d’un véritable bulletin. Ce nouveau format garantit pour le moins un traitement et un suivi supérieurs. Aucune des vulnérabilités décrites n’est utilisée en aveugle, mais beaucoup sont classées comme facilement exploitables par Microsoft et Adobe si bien que vous devriez les résoudre sans délai. C’est donc le bulletin MS16-022 qui est en tête des priorités de Qualys ce mois-ci.

La mise à jour d’Adobe Flash (APSB16-04) contient des correctifs pour 22 vulnérabilités, toutes classées comme étant « critiques », c’est-à-dire pouvant fournir un contrôle complet de la machine cible à l’attaquant. Les scénarios d’attaque peuvent aussi bien mettre en scène des sites Web compromis mais innocents (certains problèmes récents avec WordPress par exemple) qui redirigent vers des domaines contrôlés par un attaquant malveillant, que du Flash embarqué dans d’autres fichiers (des documents Office notamment) qui cherche un accès via la messagerie électronique. En outre, les attaquants ayant démontré l’an dernier leur intérêt pour les attaques basées sur Flash, ce bulletin fait donc partie des priorités absolues.

Le bulletin MS16-015 arrive en deuxième position sur notre liste. Il résout 7 vulnérabilités Microsoft Office dans Word, Excel et Sharepoint. Les vulnérabilités CVE-2016-0022, CVE-2016-0052 et CVE-2016-0053 dans Word sont toutes au format RTF et peuvent être déclenchées sans interaction de l’utilisateur via le volet de visualisation dans Outlook. Elles sont classées « critiques ». Je suis pour ma part étonné que Microsoft ne propose pas de facteurs de mitigation pour ces dernières et j’en conclus que les changements de configuration spécifiés dans le bulletin MS14-017 continuent de s’appliquer : Lire les courriers électroniques en texte brut dans Outlook et désactiver les fichiers RTF dans Microsoft Word via la politique de blocage de fichiers.

Les autres vulnérabilités de notre liste sont résolues dans le bulletin MS16-009 pour Internet Explorer et dans MS16-011 en ce qui concerne Microsoft Edge. Ces deux publications résolvent respectivement 13 et 6 vulnérabilités dont 7 et 4 de niveau critique. L’exploitation de ces vulnérabilités s’appuierait sur la navigation Web avec redirection vers des sites Web malveillants soit directement, soit par empoisonnement du moteur de recherche qui attire vos utilisateurs vers un site Web piégé, soit via la compromission d’un site a priori légitime, ou encore par inclusion dans un réseau publicitaire. Ce vecteur d’attaque est l’un des plus sensibles pour l’entreprise et nous recommandons de corriger ces vulnérabilités dès que possible.

En janvier Microsoft a mis un terme au support des navigateurs Internet Explorer propriétaires sur chacun de ses systèmes d’exploitation en réservant désormais les mises à jour aux toutes dernières versions des navigateurs sur chaque plate-forme. Les règles exactes sont exposées dans le document sur le cycle de vie de Microsoft, mais pour la plupart des points d’extrémité (Windows 7, 8.1 et 10) cela revient à Internet Explorer 11. Rien d’autre n’est plus supporté et les utilisateurs sont exposés à un vecteur d’attaque qu’il sera difficile d’endiguer à moyen terme.

Le prochain bulletin critique de notre liste, MS16-013, s’intéresse au Journal Windows. Un fichier malveillant avec l’extension .JNL doit être ouvert par l’utilisateur pour déclencher la vulnérabilité. Sous Windows 7, l’extension du fichier peut être dissociée de l’application pour neutraliser l’attaque. Cela se défend en raison du flux constant de patches dans les bulletins MS15-114, MS15-098, MS15-045, etc. qui pourraient être déclassés en empêchant les utilisateurs d’ouvrir ces fichiers.

Le dernier bulletin critique concerne la visionneuse de fichiers Microsoft PDF Reader. Ce lecteur est uniquement disponible sous Windows 8.1, 10 et Server 2012 et le bulletin MS16-012 ne s’applique donc qu’aux versions les plus récentes. Il s’agit d’un premier patch pour ce logiciel et il sera intéressant de voir combien d’autres vulnérabilités les chercheurs en sécurité pourront découvrir. Vous vous souvenez lorsqu’en 2012 Google utilisait sa technologie aléatoire pour s’intéresser à Adobe Reader ? Utilisez-vous la visionneuse de fichiers PDF fournie par Windows ou avez-vous adopté Adobe Reader y compris sur ces plates-formes ?

Ce Patch Tuesday comprend d’autres patches importants. Le système d’exploitation Windows lui-même est corrigé à l’aide des bulletins MS16-014 et MS16-018 tandis que MS16-016 résout la faille liée à l’élévation de privilèges via le service WebDAV, si vous exposez le protocole RDP sur Internet. MS16-017 nécessite cependant d’authentifier l’attaquant au préalable, MS16- 020 comble une faille DoS dans Active Directory et MS16-021 comble une faille du même acabit dans Radius, parmi les autres bulletins intéressants.

Comme toujours, un annuaire précis des logiciels installés permettra de décider où il est utile d’intervenir en priorité. Des mises à jour automatiques, dans la mesure du possible et par exemple sur les machines génériques des utilisateurs qui peuvent également soulager la tâche de l’équipe chargée du déploiement des correctifs. (Qualys)

Antivirus, Chiffrement, Cybersécurité, Logiciels, Mise à jour, Patch, Virus

L’outil de sécurité Malwarebytes corrige plusieurs failles de sécurité

Plusieurs failles de sécurité visant le logiciel anti malwares Malwarebytes en cours de correction. Un pirate aurait pu s’inviter entre un client et l’éditeur pour modifier les informations transmissent pour l’éditeur.

Tavis Ormandy est un chercheur en sécurité informatique, membre du Project Zero de Google. Mission, trouver des failles et les faire corriger. L’homme est spécialisé dans les antivirus et logiciels en charge de sécuriser les internautes. Après Avast, AVG, Eset, FireEye, Kaspersky et Trend Micro, Tavis Ormandy vient de secourir les utilisateurs de l’outil Malwarebytes.

Plusieurs failles avaient été découvertes et remontées à l’éditeur en novembre 2015. Malwarebytes vient de corriger une partie des problèmes. L’une des vulnérabilités était le fait que les mises à jour de l’anti codes malveillants se faisaient via un HTTP non chiffré.

A noter que l’entreprise a lancé son bug bounty permettant de payer les failles qui lui seront remontées. Prix maximum, 1.000 dollars. Autant dire qu’ils ne vont pas avoir beaucoup de participants. Un 0day pour un antivirus se commercialise plusieurs milliers de dollars dans le blackmarket !

Apache, Cybersécurité, Logiciels, Mise à jour, Patch, Tor

Quand un serveur Apache permet de surveiller un site TOR

Cacher un site Internet via TOR est simple. Au lieu d’un 92829.com, vous vous retrouvez avec un 92829.onion. Impossible, normalement, de trouver la moindre information sur l’hébergement, le propriétaire. Sauf si ce dernier les donne ou utilise un serveur Apache mal configuré.

Shaun, chercheur en sécurité informatique, vient d’expliquer sur son blog, comment il devient simple de remonter à un serveur caché sous TOR à partir d’un problème de configuration d’Apache. L’inventeur de la « faille » indique qu’il faut désactiver « mod_status » avec l’instruction: $ a2dismod status. Dans la plupart des distributions Apache proposées, « mod_status » est activé d’origine. Bilan, les informations sur le serveur s’affichent. Un outil accessible uniquement depuis localhost. Ca c’est pour la sécurité. Sauf que si le daemon Tor tourne en localhost, les sites, forums, blogs tournant en .onion affichent leurs statistiques, les liens exploités, … Il suffit de taper, dans le navigateur TOR http://your.onion/server-status pour savoir si votre site, blog, forum est en danger.

Apple, Cybersécurité, ID, Identité numérique, ios, iOS, Logiciels, Mise à jour, Particuliers, Smartphone, Téléphonie, Vie privée

Fuite de données via un iPhone 5

Un client de l’opérateur Telstra se retrouve avec les messages du répondeur de l’ancien propriétaire d’un iPhone 5.

Richard Thornton est Australien. Ce client de l’opérateur Telstra souhaitait changer d’iPhone. Bilan, il va effacer le contenu de son téléphone, réinitialiser « USINE » l’appareil, retirer sa carte sim. Bref, les actions logiques pour toutes personnes souhaitant revendre son matériel et ne pas laisser de traces dans l’ordiphone. Apple propose d’ailleurs une procédure à suivre avant de vendre ou de céder votre iPhone, iPad ou iPod touch.

Sauf que Richard Thornton a eu une très mauvaises surprises. Le nouveau propriétaire du téléphone de Richard reçoit les messages vocaux laissés sur le répondeur de l’ancien possesseur du smartphone. L’acheteur de l’iPhone d’occasion est aussi client de TelStra. Lorsque l’iPhone 5 a été mis hors tension, puis de nouveau branché, l’appareil d’Apple a téléchargé les messages vocaux de M. Thornton dans l’application de messagerie vocale visuelle du téléphone. Messages qu’il est possible d’écouter complétement.

La compagnie de téléphone n’a pas encore déterminé la cause du problème. « Ils connaissent les symptômes, mais ils ne savent pas la cause« , indique Thornton.

Procédure à suivre avant de vendre votre iPhone, iPad ou iPod touch

Si vous avez jumelé une Apple Watch avec votre iPhone, mettez fin au jumelage.
Sauvegardez les données de votre appareil iOS.
Touchez Réglages > iCloud. Faites défiler la page vers le bas et touchez Déconnexion. Sous iOS 7 ou version antérieure, touchez Supprimer le compte.
Touchez à nouveau Déconnexion, puis Supprimer de l’iPhone, et saisissez enfin votre mot de passe.
Rendez-vous à nouveau dans Réglages > Réinitialiser > Effacer contenu et réglages. Si vous avez activé la fonctionnalité Localiser mon iPhone, il peut être nécessaire de saisir votre identifiant Apple et votre mot de passe.
Si vous êtes invité à saisir le code d’accès de votre appareil, ou celui applicable aux restrictions, effectuez cette opération. Touchez ensuite Effacer [appareil].
Contactez votre opérateur pour connaître la procédure à suivre en cas de changement de propriétaire. Si vous n’utilisez pas de carte SIM avec votre appareil, adressez-vous également à lui pour savoir comment faire bénéficier le nouveau propriétaire de votre forfait. (SMH)

Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise

Ransomwares au ministère des Transports

Un commentaire

Le problème des ransomwares se développe à grande vitesse. Ces derniers sont de plus en plus utilisés par les pirates informatiques car ceux-ci ont besoin de plus en plus d’argent et cela de plus en plus souvent. Si ceux-ci ne bloquent souvent que certains postes, l’ampleur du phénomène et sa récurrence pourrait en faire une menace plus importante que prévue. Le ministère des Transports en a fait les frais.

Un ransomware cryptographique est un outil malveillant chiffrant une partie des donnés d’un poste de travail. Pour cela, les pirates utilisent des mécanismes de clés publiques et clés privées (générées et téléchargées au moment de l’installation du ransomware). La clé privées étant en possession du hacker, ce dernier exigera de la victime attaquée le paiement d’une rançon, généralement en Bitcoin, afin de disposer de cette clé privée.

Le ransomware cryptographique le plus connu s’appelait CryptoLocker. Il a été éradiqué suite à la dissolution du botnet Gameover Zeus en 2014. Mais un petit nouveau arrive sous le nom de Cryptowall (version 3.0). Il est très proche de CryptoLocker mais surtout apporte de nouveaux mécanisme de non-détection par les outils de protection.

Il est quasiment impossible pour une victime – particulier ou entreprise – de récupérer ses données une fois le ransomware installé – hormis payer et récupérer la clé privée. Toutefois, le paiement de la rançon ne garantit en aucun cas que les criminels fourniront à la victime la clé qui lui permettra de retrouver ses données. Il est donc très important de se protéger contre ce type d’outil malveillant.

Comme DataSecurityBreach.fr vous l’explique depuis des années, les régles pour se protéger sont simple. F5 Networks en rappelle les bases. Ne jamais ouvrir un document venant d’un émetteur inconnu. Vérifier l’émetteur et son adresse. Il est très facile de se faire passer pour quelqu’un lors de l’envoi d’un email. Faire des sauvegardes régulières de ses données. J’avoue que je propose aussi aux entreprises pour je travaille de ne pas hésiter à appeler l’interlocuteur « connu » qui a envoyé le courriel. Est-il l’émeteur ? Est-il l’auteur de la piéce jointe ? Ca prend certe 1 minute de plus dans le traitement de l’information, mais c’est mieux de pleurer des heures, voir des jours devant le compte à rebour du ransomware.

Dernier point, pour que le ransomware puisse récupérer ses binaires et les clés de chiffrement, il devra accéder à Internet pour joindre son serveur. Il est donc important de disposer d’outil de filtrage internet à jour (liste de domains, d’URL et d’IP frauduleuses). Très souvent, les ransomware passent par le réseau Tor pour accéder à leur serveurs. Des outils de filtrages tels que les Passerelles Internet et les pare-feu permettent de contrôler l’accès à ce type de réseaux. L’éducation reste la meilleur des défenses.

Adobe, backdoor, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Logiciels, Piratage, Virus

Angler Exploit Kit : 90.000 sites piratés, des millions d’internautes ciblés

Le code malveillant Angler aurait déjà infecté plus de 90.000 sites Internet dont 30 présents dans le top 100.000 d’Alexa.

AEK, connu aussi sous le nom d’Angler Exploit Kit, n’a pas fini son petit bonhomme de chemin. Comme l’indiquent les analyses de Palo Alto Networks, déjà 90.000 sites Internet ont été touchés par ce code pirate.

Dans cette liste, 30 serveurs web sont placés dans le top 100.000 d’Alexa, soit des millions de cibles potentielles pour le logiciel malveillant. Une opération parfaitement orchestrée. AEK se met à jour périodiquement, et cela sur l’ensemble des sites corrompus. Le script caché sur les sites se déclenche au bon vouloir des « contrôleurs », rendant sa détection très difficile.

Du 5 au Novembre 2015, 90 558 domaines Internet uniques étaient déjà infectés et utilisés par AEK. Le 14 décembre, seulement 2 850 sites étaient considérés comme dangereux pour les sondes de détections d’espaces malveillants.

L’attaque se fait par le biais d’Internet Explorer et d’une version flash non mise à jour (Ce qu’à fait Adobe, d’urgence, en décembre). La nouvelle version d’AEK s’attaque aussi à Firefox et Chrome.

Comme un grand nombre de kits pirate, Angler Exploit Kit vise les internautes selon une géolocalisation, par l’IP, décidée par le pirate. AEK se charge ensuite de télécharger une charge numérique dans le pc de sa victime. La plupart du temps, un ransomware.

Chiffrement, cryptage, Cybersécurité, Logiciels, Microsoft, Mise à jour, Smartphone, Windows phone

Les prochains ordinateurs fonctionneront uniquement sous Windows 10

Microsoft vient d’indiquer que les nouveaux ordinateurs ne fonctionneront que sous Windows 10. Les « vieux » Windows n’y auront plus y évoluer.

Microsoft vient d’annoncer que les prochaines machines ne tourneront plus que sous Windows 10. Adieu Windows 7, 8, 8.1. « En plus de nos partenaires OEM, tout au long de la conception de Windows 10, nous avons travaillé en étroite collaboration avec nos partenaires de silicium, y compris Intel, AMD, Nvidia et Qualcomm » indique la firme américaine.

L’Américain se félicite de son partenariat avec Intel et sa génération de processeurs Intel Core (Version 6, Skylake). Bilan, les machines qui sortiront dans le futur ne pourront faire tourner que la version 10 (et plus) de l’OS de Microsoft. Skylare sera le dernier a accepté autre chose. Une transition douce car ensuite, il ne sera plus possible de ne pas suivre le chemin tracé par la firme de Redmond.

Même son de cloche pour AMD, son « Bristol Ridge » ne pourra faire tourner que Windows 10. De même pour le 8996 de Qualcomm. Bref, Microsoft continue sa marche en avant de l’utilisateur forcé. Pour la bonne cause affirme Microsoft « Une meilleure intégration du software et du hardware« .

backdoor, Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch

Découverte d’un 0Day dans Silverlight

Un commentaire

Kaspersky Lab a découvert une vulnérabilité « Zero Day » dans Silverlight, une technologie web servant à visualiser des contenus multimédias. Cette faille offrirait à un pirate un accès total à un ordinateur infecté, lui permettant ainsi d’exécuter du code malveillant afin de dérober des informations confidentielles et de se livrer à d’autres activités illicites. La vulnérabilité (CVE-2016-0034) a été corrigée dans la dernière mise à jour de sécurité publiée par Microsoft ce mardi 12 janvier 2016. Sa découverte est le fruit de cinq mois d’enquête ayant fait suite à un article paru dans Ars Technica.

A l’été 2015, une cyberattaque lancée contre la société Hacking Team (connue pour le développement de « spyware légal ») a fait les gros titres. L’un des articles à ce sujet, publié dans Ars Technica, mentionnait une fuite dans des échanges supposés entre des représentants de Hacking Team et Vitaliy Toropov, un développeur indépendant de programmes exploitant des vulnérabilités. Entre autres choses, l’article citait une correspondance dans laquelle Toropov tentait de vendre à Hacking Team une faille Zero Day particulièrement intéressante : il s’agissait d’exploiter une vulnérabilité présente depuis quatre ans et toujours non corrigée dans la technologie Microsoft Silverlight. C’est cette information qui a mis la puce à l’oreille des chercheurs de Kaspersky Lab.

L’article en question ne fournissant aucune autre information sur la faille exploitée, les chercheurs ont entamé leur enquête en partant du nom du vendeur. Ils ont rapidement découvert qu’un utilisateur qui se nommait Vitaliy Toropov était un contributeur très actif de la base de données open source des vulnérabilités (OSVDB), où tout un chacun peut publier des informations dans ce domaine. En analysant son profil public sur le site OSVBD.org, les chercheurs de Kaspersky Lab se sont aperçu qu’en 2013, Toropov avait publié une preuve de concept (POC) décrivant un bogue dans la technologie Silverlight. Ce POC portait sur une ancienne vulnérabilité connue et aujourd’hui corrigée. Cependant, il donnait également des détails supplémentaires qui ont indiqué aux chercheurs de Kaspersky Lab comment l’auteur écrivait du code destiné à exploiter cette faille.

Au cours de l’analyse effectuée par les experts de Kaspersky Lab, certaines chaînes de code spécifiques se démarquaient véritablement. Grâce à ces informations, ils ont créé plusieurs règles de détection pour les technologies de protection de Kaspersky Lab : dès lors qu’un utilisateur, ayant accepté de communiquer des données sur les menaces à Kaspersky Security Network (KSN), rencontrait un logiciel malveillant qui présentait le comportement correspondant à ces règles de détection, le système marquait le fichier comme extrêmement suspect et adressait une notification à la société pour qu’il soit analysé. Cette tactique partait d’une hypothèse simple : si Toropov avait tenté de vendre l’exploitation d’une faille Zero Day à Hacking Team, il y avait de fortes chances pour qu’il ait fait de même auprès d’autres éditeurs de spyware. A la suite de cette activité, d’autres campagnes de cyber espionnage pouvaient s’en servir afin de cibler et d’infecter des victimes sans méfiance.

Cette hypothèse était fondée. Plusieurs mois après la mise en œuvre des règles spéciales de détection, un client de Kaspersky Lab a été la cible d’une attaque employant un fichier suspect présentant les caractéristiques recherchées. Quelques heures plus tard, quelqu’un (peut-être une victime des attaques) se trouvant au Laos a envoyé à un service multiscanner un fichier ayant les mêmes caractéristiques. Les experts de Kaspersky Lab, en analysant l’attaque, ont découvert que celle-ci exploitait en fait un bogue inconnu de la technologie Silverlight. Les informations concernant cette faille ont été communiquées sans délai à Microsoft pour validation.

« Bien que n’étant pas sûrs que la faille que nous avons découverte soit en fait celle évoquée dans l’article d’Ars Technica, nous avons de bonnes raisons de penser que c’est bien le cas. En comparant l’analyse de ce fichier aux travaux précédents de Vitaliy Toropov, nous sommes parvenus à la conclusion que l’auteur de l’exploitation de la vulnérabilité découverte récemment et l’auteur des POC publiés sur OSVDB sous le nom de Toropov était une seule et même personne. En même temps, il n’est pas impossible que nous ayons trouvé une autre faille Zero Day dans Silverlight. Globalement, ces recherches ont contribué à rendre le cyberespace un peu plus sûr en mettant au jour une nouvelle vulnérabilité Zero Day et en la révélant de manière responsable. Nous encourageons tous les utilisateurs des produits Microsoft à mettre à jour leurs systèmes dès que possible afin de corriger cette vulnérabilité », commente Costin Raiu, Directeur de l’équipe GReAT (Global Research & Analysis Team) de Kaspersky Lab.

Les produits Kaspersky Lab détectent la vulnérabilité CVE-2016-0034 sous le nom de  HEUR :Exploit.MSIL.Agent.gen.

Adobe, Apple, Cybersécurité, Firefox, IBM, iOS, Joomla, Linux, Linux, Logiciels, Microsoft, Mise à jour, Patch

L’OS d’Apple, le logiciel le plus vulnérable aux pirates en 2015

Les temps changent ! Apple OS X aurait été l’environnement informatique le le plus vulnérable en 2015, selon le CVE.

Le CVE détails est la référence dédiée aux alertes liées aux vulnérabilités visant les logiciels que nous utilisons. Les données CVE sont collectées à partir du National Vulnerability Database (NVD), projet par l’institut National des Standards et de la Technologie. D’autres sources telles que les éditeurs eux-mêmes, ou encore Exploit DB, viennent peaufiner les bulletins d’informations.

Comme chaque année, CVE propose son top 50. Cette année, 6 412 vulnérabilités ont été annoncées par CVE. DataSecurityBreach.fr a remarqué qu’il y avait eu 1 534 failles de moins qu’en 2014. Une année qui avait été la plus chargée en alertes, avec 7 946 cas.

En 2015, le grand vainqueur en a étonné plus d’un : l’OS d’Apple avec 384 vulnérabilités. Windows 10 se placent en 35ème position avec 53 alertes. Alors que nous aurions pu penser que Flash caracolerait en tête, le format media d’Adobe ne s’est contenté « que » de 314 alertes. De son côté, Android affiche, à la 20ème place, 130 failles. Internet Explorer 231 failles. Chrome, 187 et Firefox, 178.

backdoor, Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch, Social engineering

BadWinmail : Mail piégé via Outlook pour infiltrer un ordinateur

Un mail envoyé vers Outlook permettait de prendre la main sur le système informatique du récepteur de la missive.

Un chercheur en sécurité informatique, connu sous le nom de Li Haifei a découvert comment prendre la main sur la machine d’un utilisateur de Outlook. A la réception d’un courriel piégé, l’attaque pouvait être orchestrée. Baptisée BadWinmail, la vulnérabilité était très facile à exploiter et ne nécessitait pas beaucoup d’interaction avec le récepteur du courrier malveillant. Il suffisait, seulement, d’afficher le mail qui contenait le fichier Flash ouvrant la malveillance. Une fois de plus, le problème vient de Flash et de l’Object Linking and Embedding (OLE) qui permet l’intégration de quasiment n’importe quoi à l’intérieur de documents. L’infiltration par cette méthode permet ensuite au pirate d’injecter un logiciel espion, par exemple. Microsoft a déployé le patch correcteur début décembre.

Antivirus, Arnaque, Cybersécurité, Logiciels, Mise à jour, Particuliers, Patch, Vie privée

Effacer barres et publicités malveillantes

G DATA CLEAN UP s‘attaque aux barres d’outils, PUP et adwares L’outil de nettoyage anti PUP est disponible gratuitement.

Les adwares et autres logiciels indésirables (PUP) prolifèrent sur Internet. Généralement installés à l’insu de l’utilisateur, ces logiciels sont également difficiles à désinstaller. Avec CLEAN UP, G DATA offre un outil gratuit sans aucune installation, qui détecte et supprime les logiciels indésirables les plus courants. G DATA CLEAN UP est disponible gratuitement sur le site Internet de G DATA.

G DATA CLEAN UP peut être utilisé directement après le téléchargement et ne nécessite aucune installation. L’outil détecte actuellement 14 familles de programmes gênants ou potentiellement indésirables, et évoluera en fonction des risques. Après la localisation du programme malveillant, l’utilisateur décide si G DATA CLEAN UP le supprime ou non.

Que sont les adwares ?
Les adwares sont des logiciels qui s’installent en arrière-plan sans l’accord de l’utilisateur et qui sont difficiles à désinstaller. Ce programme n’est pas nuisible, mais il espionne le comportement de l’utilisateur pour placer des publicités ciblées et collecter des données.

Que sont des programmes potentiellement indésirables ?
En plus des adwares, il existe d’autres programmes indésirables, qui s’installent également en même temps que des programmes légitimes. Cela peut être des barres de navigation ou de prétendus outils pour optimiser le système. Des publicités agressives ou des promesses douteuses poussent l’utilisateur à l’achat. La plupart du temps, le logiciel agit pour soutirer de l’argent à l’utilisateur et a pour conséquence le ralentissement de l’ordinateur.

Configurations systèmes requises pour G DATA CLEAN UP ; PC avec Windows Vista (SP1 minimum), Windows 7/8.x/10.

G DATA CLEAN UP est indépendant de la solution de sécurité installée et compatible avec la plupart des antivirus du marché. Les fonctionnalités de l’outil évolueront en fonction des dangers par mises à jour régulières. G DATA CLEAN UP est disponible gratuitement en français.

Chiffrement, cryptage, Cybersécurité, iOS, Logiciels, Mise à jour, OS X, Patch

BackStab, le code malveillant qui s’attaque aux terminaux iOS

Dans un livre blanc, l’Unité 42 explique le mode opératoire des attaques BackStab qui visent des terminaux iOS à l’aide de malwares.

Palo Alto Networks, spécialiste des solutions de sécurité nouvelle génération, a révèle les détails d’une nouvelle attaque sournoise (« BackStab ») qui vise à dérober les informations privées de terminaux mobiles – informations contenues dans les fichiers de sauvegarde stockés sur l’ordinateur des victimes. Dans un livre blanc de l’Unité 42, l’équipe d’analyse des menaces de Palo Alto Networks explique le mode opératoire des cyber-malfaiteurs qui utilisent des malwares pour s’infiltrer à distance sur des ordinateurs afin de lancer leurs attaques BackStab d’une façon totalement inédite.

La méthode BackStab est utilisée par les forces de police comme par les cybermalfaiteurs pour recueillir messages texte, photos, données de géolocalisation et quasiment tout type d’information stockée sur un terminal mobile en leur possession. Mais au-delà du nouveau virage pris par les attaques BackStab pour opérer à distance à l’aide de malwares, le livre blanc de l’Unité 42 revient aussi sur les raisons qui font des terminaux Apple® iOS la principale cible de ces attaques : iTunes est configuré par défaut pour stocker les fichiers de sauvegarde à des emplacements fixes et dans un format non chiffré, et pour synchroniser automatiquement les terminaux dès qu’ils sont connectés à l’ordinateur de l’utilisateur. « Les équipes de cybersécurité doivent prendre conscience qu’une technique d’attaque reste dangereuse, même si elle est très connue. Lorsque nous nous sommes penchés sur les attaques BackStab, nous avons collecté dans une trentaine de pays plus de 600 exemples de malwares utilisés pour lancer des attaques BackStab à distance » , commente Ryan Olson, Directeur de la recherche sur les menaces au sein de l’Unité 42 de Palo Alto Networks

Recommandations
Les utilisateurs d’iOS sont invités à chiffrer leurs sauvegardes locales ou à utiliser le système de sauvegarde iCloud ; ils doivent également choisir un mot de passe sécurisé.
Il est recommandé de mettre à niveau les appareils iOS avec la dernière version du système d’exploitation car celui-ci crée des sauvegardes chiffrées par défaut.
Lorsqu’un utilisateur connecte un terminal iOS à un ordinateur ou à un chargeur non approuvé à l’aide d’un câble USB, il est déconseillé de cliquer sur le bouton « Trust » (Faire confiance) qui s’affiche dans la boîte de dialogue.

Adobe, Cybersécurité, Entreprise, Fuite de données, Logiciels, Microsoft, Mise à jour, Patch

Patch Tuesday – Décembre 2015

Un total de 12 bulletins de mises à jour, dont 8 critiques, en ce mois de décembre. Il est donc urgent d’appliquer les correctifs pour ses outils Adobe et Microsoft.

Le dernier Patch Tuesday de l’année 2015 est dans la moyenne avec cependant des bulletins un peu plus sévères que d’habitude. En effet, sur un total de 12 bullentins, 8 sont définis comme critiques, dont un qui résout une vulnérabilité 0-Day actuellement utilisée par des attaquants pour escalader des privilèges dans Windows. Auparavant très rares, les menaces 0-Day sont devenues légion en 2015. L’année avait d’ailleurs commencé par une vague de menaces 0-Day pour Adobe Flash puis un correctif a été publié chaque mois ou presque pour des vulnérabilités déjà victimes d’exploits. Il s’agit d’un signal fort, car les ressources techniques des attaquants vont crescendo et c’est aussi un rappel aux DSI qui ne devraient pas seulement corriger leurs systèmes sans délai, mais également renforcer leur sécurité.

Parmi les résolutions de 2016, il faudrait s’intéresser aux installations minimales de logiciels avec le moins possible de fonctionnalités activées, ainsi qu’à des logiciels supplémentaires tels qu’EMET pour améliorer la robustesse.

Au total, 135 bulletins ont été publiés par Microsoft en 2015, soit une augmentation sensible par rapport à la moyenne de ces dernières années. Les nouveaux produits Microsoft n’expliquent qu’en petite partie cette hausse, le nouveau navigateur Edge n’ayant fait l’objet que de cinq bulletins spécifiques cette année. Cette augmentation est liée pour l’essentiel aux nouveaux composants de l’écosystème Windows qui sont passés à la loupe pour la première fois, une tendance qui indique l’importance croissante de la sécurité informatique.

MS15-135 résout une vulnérabilité 0-Day au sein du noyau Windows. Pas plus de détails quant à l’ampleur de la diffusion de cette vulnérabilité et de son exploit, mais cela lui vaut une place de choix dans notre liste des priorités.

Les navigateurs étant souvent utilisés dans les scénarios d’attaque actuels, notamment les téléchargements involontaires ou les attaques par harponnage, ils doivent être mis à jour le plus rapidement possible. Les bulletins MS15-124 pour Internet Explorer (IE), MS15-125 pour Edge et MS15-126 pour les bibliothèques JavaScript sous Vista et Windows Server 2008 résolvent 30 vulnérabilités, nombre d’entre elles étant critiques car elles permettent l’exécution de code à distance (RCE). Edge ne présente « que » 15 problèmes, dont 11 proviennent d’IE et 4 sont propres à ce nouveau navigateur.

MS115-131 pour Microsoft Office est le bulletin suivant sur la liste. Il est classé comme critique par Microsoft, ce qui est rare pour un bulletin Office et indique qu’il existe un vecteur pour exploiter la vulnérabilité sans interaction de l’utilisateur. CVE-2015-6172 est une vulnérabilité critique sous Outlook déclenchée par un message électronique formaté dans un but malveillant. Il n’existe pas de solution de contournement raisonnable et Microsoft suggère de désactiver le volet d’aperçu, l’équivalent numérique de « Il suffit de ne pas le faire ». Corrigez cette vulnérabilité dès que possible. CVE-2015-6124 est actuellement exploitée à l’aveugle par des attaquants.

Place ensuite à une vulnérabilité sur le serveur Microsoft DNS, ce qui est plutôt rare. MS15-127 remplace MS12-017 depuis plus de 3 ans. Les attaquants qui exploitent la vulnérabilité identifiée dans MS15-127 sur le serveur DNS de Microsoft prendront là encore le contrôle du serveur et exécuteront du code dans le contexte du système. L’attaque est lancée à distance et n’exige aucune authentification et il n’existe aucune solution de contournement. Mettez vos serveurs DNS Microsoft à jour le plus vite possible, en respectant les phases de test et d’attente nécessaires pour un service aussi fondamental.

La vulnérabilité critique suivante se trouve dans le système graphique de Windows (bulletin MS15-128) qui pose un problème de gestion des polices. Ce bulletin remplace le bulletin MS15-097 depuis septembre, lequel remplaçait le MS15-077 depuis juillet. Il s’agit donc d’occurrences assez courantes. Les vecteurs d’attaques sont très larges dans la mesure où la navigation Web, la messagerie électronique, les documents et les médias riches jusqu’à Silverlight peuvent tous être utilisés pour lancer une attaque.

Les autres vulnérabilités critiques concernées par ce Patch Tuesday se trouvent dans Silverlight (MS15-129) et Uniscribe (MS15-130). Traitez-les en même temps que les vulnérabilités importantes résolues à l’aide des bulletins MS15-132, MS15-133 et MS15-134.

En plus des mises à jour Microsoft, Adobe a publié une nouvelle version de Flash. Le bulletin de sécurité APSB15-32 correspondant résout le nombre record de 78 vulnérabilités. Toutes les vulnérabilités, sauf trois, pouvaient être utilisées par un attaquant pour exécuter du code à distance depuis le navigateur à l’insu de son utilisateur. Il suffisait ensuite d’exploiter une deuxième vulnérabilité pour devenir système sur la machine (voir MS15-135 par exemple), ce qui aurait au final fourni un contrôle total à l’attaquant. Les attaques basées sur Flash ont été très prisées des pirates tout au long de l’année 2015 avec de nombreux kits fournissant des exploits tout à fait actualisés. Ajoutez cela à votre liste des points hautement prioritaires. (Analyse par Wolfgang Kandek, CTO , Qualys, Inc.)

Cybersécurité, Logiciels, Particuliers, Social engineering, Tor, Twitter

Piratage de comptes Twitter, une fuite que le petit oiseau prend au sérieux

Plusieurs centaines d’utilisateurs de Twitter alertés par le site de micro blogging suite à une attaque informatique qui aurait été fomentée par un gouvernement étranger.

Twitter a-t-il pris le chemin de la communication de Facebook ? Il faut dire aussi que le petit oiseau peine à prendre le pouvoir des réseaux de micro blogging dominé des pieds et de la tête par Facebook.

Comme pour Facebook en octobre, Twitter vient d’alerter plusieurs centaines de ses utilisateurs à la suite de la découverte d’une tentative de piratage de comptes. Comme pour Facebook, l’attaque aurait été signée par un gouvernement étranger. Une faille de sécurité informatique inconnue qui aurait été utilisée par des pirates « soutenus par un Etat » ? Twitter indique, dans les courriels envoyés lors du week-end du 12/13 décembre 2015, qu’il écrit à « titre de précaution« .

Bref, une base de données qui a dû être « tapée » par des pirates Russes, Chinois, Indiens… retrouvée dans le blackmarket par une société de sécurité informatique. Rien de nouveau sous le soleil tant les bases de données de ce type pullulent.

Pour le cas de Twitter, des adresses mail, des adresses IP et des numéros de téléphone ont été retrouvées. « Nous enquêtons activement sur cette question […] rien ne prouve à ce stade qu’ils aient obtenu des informations sur votre compte« . Twitter propose aux internautes d’utiliser TOR pour protéger leurs communications passant par Internet.

Avec 2,5 millions d’utilisateurs quotidiens, le réseau Tor est système le plus populaire au monde pour protéger l’anonymat des utilisateurs d’Internet.

Cybersécurité, Drupal, Joomla, Logiciels, Mise à jour, Patch, Wordpress, Wordpress

Sécuriser les sites web, quelque soit le niveau du propriétaire

Un informaticien Français lance le défit d’un système capable de sécuriser les sites web, quelque soit le niveau du propriétaire, face aux malveillances numériques.

Flavien Normand, a 22 ans. Développeur, il a une dizaine de langage de programmation à son actif. Cet étudiant a commencé le développement informatique à l’âge de 15 ans, d’abord sur des émulateurs de jeu en ligne développés en Java. Trois ans plus tard, après avoir été la cible d’une tentative de fraude via un site de vente en ligne, il va se pencher sur la sécurité informatique. White Hat dans l’âme, il a très vite compris que ce n’est pas parce qu’on sait fracturer une serrure que l’on va le faire pour son propre intérêt.

Son premier projet, Whys, a été réalisé en solo au cours de ses premières années d’études à Nantes, au sein de l’IMIE. Un scanner de vulnérabilité qui regroupe plusieurs outils afin de trouver les failles sur son propre site et les corriger soi même. A noter que le code source de Whys est disponible, en open source. Bilan, ce premier essai dans la sécurité informatique l’a motivé à lancer un nouveau projet autour d’un outil de sécurité informatique qui pourra protéger les sites Internet, quelque soit le niveau du propriétaire. DataSecurityBreach a rencontré l’inventeur, interview !

DataSecurityBreach – Présentation du projet
Flavien Normand – Aujourd’hui, de plus en plus de sites web sont attaqués par deface « à l’aveugle », en utilisant des DORKS ou autre outil, les hackers attaquent des sites en trouvant directement un élément faillible dans celui-ci, et exploitent cette faille avec un script afin d’installer sur le serveur distant une pharmacie illégale, un phishing, un deface pour représenter une cause qu’ils veulent défendre ou bien simplement un ver pour utiliser la machine plus tard.

Les cibles les plus touchées dans ce type d’attaque sont les TPE, les PME et les blogs car elles n’ont pas les moyens de maintenir la sécurité sur leur site web, ou n’y allouent pas assez de temps/budget pour la plus grande partie, et les solutions de maintenance informatique disponibles aujourd’hui sont très chères. On retrouve souvent des arguments comme « mais personne ne va nous attaquer, on ne fait que…. » le soucis, c’est que personne n’a besoin de vous attaquer pour vous voler des données, mais ils peuvent simplement vous attaquer pour le « fun » ou pour préparer un DDoS en utilisant votre serveur, ou encore pour installer un phishing, etc. Vous avez sûrement déjà pu voir beaucoup d’exemples.

Le projet, pour l’instant baptisé Flawless, est présent pour résoudre ce soucis. Un scanner de vulnérabilité qui vous tiens au courant régulièrement de l’état de sécurité de votre application web, et vous averti en cas de faille, avec un service disponible pour fixer les failles trouvées.

DataSecurityBreach – Le principe de votre outil ?
Flavien Normand – Le concept du projet est simple: Sécuriser les sites web, quelque soit le niveau du propriétaire de celui-ci.

Le projet est donc un scanner de sécurité automatisé, vous inscrivez votre site, confirmez que vous êtes bien le propriétaire, puis vous réglez la fréquence des scans et leur horaire (vous pouvez par exemple demander 1 scan par semaine, le mardi à 4h du matin pour éviter tout soucis au niveau des tests les plus stressants). Une fois le scan terminé, vous recevez un email de synthèse du résultat vous expliquant si il y a des failles, avec les informations que nous avons trouvé dessus.

Si vous savez corriger la faille, ou que vous avez du personnel compétent pour trouver un fix à celle-ci, vous pouvez la fixer de votre coté, la mettre en production et demander un scan hors prévision pour vérifier que la faille est bel et bien fixée ou simplement attendre le prochain scan planifié.

Si vous ne savez pas corriger la faille, vous pouvez demander une prestation au près de notre équipe, qui se fera un plaisir de corriger et sécuriser votre application web.

DataSecurityBreach – Important de protéger les bloggueurs ?
Flavien Normand – Oui, il est important de protéger les blogueurs car ce sont les plus vulnérables. Aujourd’hui, n’importe qui peut se créer un blog sur son serveur mutualisé, il télécharge wordpress sur le site officiel, ou demande même directement un site avec wordpress installé (certains hébergeur font ça). Il installe les plugins et thèmes dont il a besoin, et ce sans connaître le développement web, pas besoin car les CMS sont présents pour cela.

6 mois plus tard, on retrouve notre petit blogueur, qui a une petite communauté sur son blog et aime partager ses articles quotidiens sur ses sujets favoris. Sauf que son fournisseur d’accès le contacte et lui bloque son site car celui-ci émet un nombre trop important de requêtes sortantes d’un coup. Il se demande ce qu’il se passe, et est bloqué car son blog est hacké, et il ne sait absolument pas comment corriger cela.

Mieux vaut prévenir que guérir ! Ce vieil adage est adapté pour le cas de la sécurité informatique, et dans notre exemple avec Mr blogueur, encore plus. En effet, flawless étant présent pour surveiller la présence de failles sur le site donné, il aurait pu prévenir notre blogueur de la faille, et simplement lui dire que son plugin d’envoi d’images était faillible, et qu’il fallait soit le mettre à jour, soit en choisir un autre (suivant les informations recueillies).

DataSecurityBreach – L’automatisation de la sécurité informatique, pas dangereux ?
Flavien Normand – J’entends par cela le fait que l’internaute se sent rassuré, donc ne met plus les mains dans son code.

Le but de l’outil n’est pas de corriger les failles à votre place, mais de les signaler. Si vous souhaitez par la suite une prestation pour fixer les failles en question, c’est un humain qui sera chargé de la tâche si celle-ci est spécifique, sinon un script sera mis à votre disposition et vous aurez simplement à le lancer, et le script, une fois terminé, se supprimera lui même, afin d’éviter toute fausse manipulation.

DataSecurityBreach – Cela vise quelle plateforme ?
Flavien Normand – L’application sera disponible sous forme d’un site web, avec une interface de gestion et un dashboard pour se tenir au courant des nouveautés, et de l’état général de son site en se basant sur les résultats des derniers scans.

DataSecurityBreach – Quel avenir pour votre projet ?
Flavien Normand – L’avenir du projet, c’est de devenir le pilier d’une startup, et de sécuriser un maximum de personnes en France et dans le monde, mais avant tout ceux qui en ont besoin et qui n’en ont pas forcément les ressources/le temps.

DataSecurityBreach – Et si votre outil est piraté ? La base de données des utilisateurs pourra permettre aux malveillants d’accéder à leurs failles ?
Flavien Normand – Avant tout, l’application est bien sûr sécurisée au maximum, mais comme il est essentiel de prévoir l’imprévu. Nos données sont donc stockées de manière à ce que même nos développeurs sont incapables de les lire, les seules entités capables de lire les données sont le serveur, et la personne qui aura développé le système de stockage (moi même).

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, Patch, Piratage

PowerMemory, l’outil qui contre les faiblesses de Windows Active Directory

Un jeune Belge, aujourd’hui basé au Canada, a inventé PowerMemory, un outil qui a pour mission d’empêcher que Windows Active Directory diffuse vos identifiants de connexion aussi simplement qu’un clic de souris.

Pierre-Alexandre Braeken travaille dans l’ingénierie des systèmes depuis plus de 11 ans. Il est aujourd’hui architecte technologique. Cet informaticien  certifié MCITP SA, MCSA 2008/2012 ou encore MCSE 2012 a comme domaine de spécialité l’architecture des systèmes et les domaines d’entreprise Active Directory. A noter qu’il est open cfp pour la conférence infiltrate de Miami. Il a développé une expertise particulière autour de la sécurité de ces systèmes et développe des outils pour prouver les idées qu’il avance. J’ai rencontré l’auteur de PowerMemory lors du HackFest Canada 2015, l’outil qui a pour mission d’empêcher que Windows Active Directory diffuse vos identifiants de connexion. Interview !

DataSecurityBreach. Qu’est ce que PowerMemory ?  

Pierre-Alexandre Braeken. PowerMemory est un outil utilisé dans des audits de sécurité de domaine Windows Active Directory. PowerMemory permet de vérifier les faiblesses de ces domaines pour les corriger. Une de ses fonctionnalités phares est la révélation des mots de passe Windows directement depuis la mémoire. Son fonctionnement est totalement nouveau puisqu’il est indépendant de l’architecture ciblé et qu’il ne fait pas appels aux fonctions de Windows pour trouver les mots de passe et pour les déchiffrer. De plus il utilise le langage de script PowerShell qui fait partie intégrante du noyau de base depuis Windows 7. [Lire l’interview du chercheur enseignant Français Jérôme Ridet au sujet de la faille PowerShell capable de faire tomber la sécurité d’un système en 5 secondes]

DataSecurityBreach. Type de failles ?

Pierre-Alexandre Braeken. PowerMemory démontre à quel point il est désormais simple de récupérer les mots de passe de n’importe quel système Windows. Il peut récupérer les mots de passe stockés dans la mémoire locale d’un système, mais également à distance. La faille met en évidence que PowerMemory est capable de révéler des mots de passe sans être administrateur d’une machine. En effet, il peut révéler les mots de passe de machine virtuelle depuis le crash d’une machine (Blue Screen Of Death = BSOD) mais également à partir d’un snapshot de machine virtuelle. Ce qui veut dire qu’un simple opérateur d’un environnement virtualisé pourrait avoir plus de droit que l’administrateur même du domaine.

Ce type de faille pourrait mener à des scénarios d’attaque d’un domaine qui permettrait à une personne mal intentionnée, depuis l’extérieur, de récupérer d’abord des accès de plus faible niveau pour ensuite remonter toute la hiérarchie des systèmes et atteindre en bout de course le Saint-Graal représenté par un contrôleur de domaine. Dès ce moment, tout le système d’entreprise s’effondre en termes de sécurité et le réseau entier n’appartient plus aux administrateurs de l’entreprise mais bien au pirate informatique.

DataSecurityBreach. Comment est-ce possible qu’une telle possibilité n’ait pas été « pensée » par Microsoft ?  
Pierre-Alexandre Braeken. J’ai prévenu Microsoft du résultat de mes recherches. Ils ne considèrent pas ceci comme une faille de sécurité. Néanmoins, quelques jours après le report complet de mes travaux, l’outil RWMC (qui révèle les mots de passe) faisant partie de la suite d’audit PowerMemory a été catégorisé officiellement par Microsoft comme un « hacktool » de niveau d’alerte « medium ».

Le problème pour Microsoft est que la façon dont ils ont conçu leur système les empêche de donner une solution applicable pour les entreprises pour tous les systèmes d’exploitation jusqu’à windows 2012R2 compris. Pour Windows 10 (seulement dans sa version professionnelle) et 2016, les choses changent puisque Microsoft a créé un nouveau système pour protéger les mots de passe stockés en mémoire. On parle de Trustlets tournant dans un environnement isolé. Pourquoi Microsoft ne protège pas ses clients tournant sur des systèmes d’exploitation non supporté ? Je pense que ceci demande des changements si majeurs au système de fonctionnement du noyau que Microsoft n’est pas prêt à apporter de changements sur des systèmes qui risquent encore d’être présent dans 15 ans…

DataSecurityBreach. Comment s’en protéger ? 

Pierre-Alexandre Braeken. Il est nécessaire d’adopter de bonnes pratiques en matière de gestion de parc informatique. Le sujet est vaste et il n’est pas évident de se protéger de ce genre d’attaque. Des gens comme Sean Metcalf (Master Active Directory, moins de 100 dans le monde) abordent le sujet de façon régulière (dont Black Hat 2015). J’ai également rédigé plusieurs documents que je compte bientôt publier sur mon blog.  J’ai également créé l’outil PowerMemory dans le but de faciliter le travail de la sécurité. L’objectif est de détecter les failles afin d’apporter des solutions qu’une entreprise peut mettre en place.  De plus, j’ai également développé un outil qui détecte la méthode utilisée par PowerMemory pour révéler des mots de passe.

DataSecurityBreach. Vous présentez votre solution aux entreprises, comment réagissent-elles ?
Pierre-Alexandre Braeken. Elles ont d’abord beaucoup de mal à comprendre les implications. En effet, les enjeux sont extrêmement importants et les réactions en conséquence. Les mots ahurissant et impressionnant ressortent souvent.  Même avec l’évidence, il est difficile pour les grandes entreprises de modifier leurs processus afin de se protéger de ce genre d’attaque.  Mon rôle consiste à les avertir et à les aider à trouver des solutions pour se protéger sans pour cela casser son modèle.

BYOD, Cloud, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Leak, Logiciels, Microsoft, Particuliers, Piratage, Social engineering

Dropbox utilisé par des pirates Chinois

Des pirates Chinois utiliseraient DropBox dans leurs attaques informatiques. Loin d’être une nouveauté, Dropbox est apprécié par les malveillants pour sa simplicité « cloudesque » !

La société américaine FireEye a annoncé avoir découvert une nouvelle attaque phishing lancée par un groupe de pirates Chinois. Ces derniers, comme des pirates que zataz a pu vous indiquer provenant d’Afrique ou de plusieurs pays de l’Est, utilisent Dropbox dans leur attaque.

Ces pirates utilisent le service de stockage pour sauvegarder leurs outils malveillants. Ils diffusent ensuite les liens Dropbox à leurs cibles. FireEye explique que depuis Août, ce « phishing » exploitant Dropbox aurait visé des militants tibétains, ainsi que des dizaines d’organisations basées au Bangladesh, au Népal, et au Pakistan.

Les pirates utilisent, entre autres, le RAT (logiciel espion) Poison Ivy. Dropbox a fait disparaître, depuis, les logiciel incriminés.

Argent, Arnaque, cryptolocker, Cybersécurité, Entreprise, escroquerie, Logiciels, Particuliers, ransomware, Social engineering

Des mails « alerte terrorisme » pour infiltrer les entreprises

De faux courriels annonçant aux entreprises qu’elles sont de potentielles cibles de terroristes cachent un fichier malveillant.

Un mail inquiétant a été diffusé au Canada, Dubaï, Bahreïn ou encore en Turquie indiquant aux entreprises ciblées par la missive qu’elles étaient des cibles potentielles d’actes de terroristes. Les escrocs derrières ces courriels surfent sur les craintes de nouvelles attaques meurtrières des membres de la secte de Daesh. Des attaques de type phishing comme on a pu le connaitre lors de médiatiques catastrophes, comme ce fût le cas pour le Tsunami qui a touché des plages Thaïlandaises en 2004.

Dans ce nouveau cas, les pirates conseillent aux lecteurs d’alerter leurs collaborateurs et familles. Ils incitent aussi à cliquer sur les pièces jointes. L’un de ces fichiers n’est rien d’autre qu’un logiciel espion. Les escrocs ont, avant de lancer leur attaque, organisé un social engineering qui leur a permis de collecter suffisamment d’information sur leurs cibles pour crédibiliser le contenu de leurs faux messages d’alertes.

backdoor, Cybersécurité, Entreprise, Logiciels, Microsoft, Mise à jour, Patch, Propriété Industrielle, Sauvegarde, Sécurité, Smartphone

i-Guard, une solution Française de sécurité informatique

i-Guard s’annonce comme une solution innovante de protection de votre informatique fondée sur la nouvelle technologie Endpoint Detection and Response.

Pas un jour sans attaque et ce quelle que soit la taille de l’entreprise ou l’administration. La grande mutation des réseaux d’entreprise en termes d’accessibilité aux informations de ses utilisateurs salariés rend nécessaire la multiplication des points à partir desquelles les réseaux peuvent être consultés. Or, il s’agit d’autant de points d’accès potentiels pour un intrus malveillant. Les données sont partout, sur de multiples supports et toutes les machines doivent être protégées, qu’elles soient connectées au réseau d’entreprise ou non.

Les nouvelles menaces notamment les attaques personnalisées et ultra ciblées de logiciels malveillants sont conçues pour contourner les solutions antivirus traditionnelles. Ces dernières sont peu efficaces contre les pirates et autres hackers. Leur fonctionnement par signatures oblige à des mises à jour régulières qui sont autant de failles avouées.

Dans ce contexte, la détection précoce des menaces grâce à de nouveaux outils est devenue une composante essentielle de la sécurité des données et du réseau informatique de l’entreprise. En détectant, en analysant et en neutralisant les menaces avant qu’elles n’aient atteint leurs objectifs, i-Guard offre la solution la plus avancée aux problématiques de sécurité informatique actuelle. Une solution qui sera proposée, dans quelques jours, en mode bêta publique.

La solution i-Guard ?
i-Guard constitue, une solution unique sur le marché dont le moteur intelligent prend seul les décisions tout en laissant la possibilité à l’administrateur réseau ou au RSSI de modifier et d’améliorer la décision adoptée s’il l’estime nécessaire. Une console de management rend l’utilisation de i-Guard particulièrement simple.

i-Guard est la seule solution de sécurité Française Endpoint Detection and Response (ERD) multiplateforme et intelligente capable d’empêcher les menaces internes et externes de : bloquer, crypter, pirater et espionner votre réseau et vos PC. L’outil est auto-apprenant et n’a pas besoin d’un logiciel antivirus pour être fonctionnel. Il agit seul et apprend des comportements des logiciels en place.

Les capacités d’adaptation de ce logiciel 100% Français permettent également, grâce à son auto-apprentissage et à son intelligence artificielle, de faire évoluer, de façon autonome, les répliques aux menaces et de les adapter en fonction de la nature et de l’ampleur des attaques détectées. Une prévention proactive contre la perte de données (DLP), la gestion des événements de sécurité sur les machines, la protection contre les attaques « Zero-day » et la défense avancée contre les menaces (Advance Threat Defense – ATD).

i-Guard protégent tous les supports des serveurs, aux ordinateurs, ordinateurs portables, tablettes et smartphones (ordiphones). Une protection ultra fine machine par machine et une visibilité avancée de la sécurité via la console de managent permettant de détecter instantanément les menaces les plus avancées, bloquant la perte de données sensibles et le risque de destruction de données sur les machines.

i-Guard offre une console de management accessible simultanément depuis plusieurs machines : iPhone, tablette, smartphone, PC… Depuis la console de management, vous avez la possibilité de bloquer des applications malveillantes tant internes qu’externes à l’entreprise contre le cryptage, la copie, l’accès, ou la transmission de données sensibles. En outre, la technologie de sécurité extrême offre une visibilité sur une variété d’événements, y compris l’accès à l’activité des applications et du système d’exploitation.

L’installation et le fonctionnement de la solution i-Guard sont fort simples. Le logiciel recherche et identifie les machines sur le réseau. Il suffit ensuite, depuis la console d’administration, de procéder à une sélection des serveurs et terminaux à protéger. i-Guard va procéder à un profilage des logiciels installés et les valider ou non. Cette console fonctionne directement depuis un simple smartphone, tablette ou bien sûr un PC.

Deux modes de fonctionnement peuvent coexister sur le réseau en fonction des machines et du type de client. Le mode Normal et le mode Stricte.
– Le mode normal permet l’installation et la mise à jour de logiciels de confiance. L’administrateur réseau peut ajouter un logiciel en liste de confiance et i-Guard l’autorisera à s’exécuter, tout en le surveillant. Les logiciels non validés par i-Guard sont mis en liste noire et ne peuvent ni s’exécuter ni se mettre à jour. La seconde possibilité, le mode strict, bloque le/les postes dans l’état de sécurité qui a été établi par i-Guard et l’administrateur réseau. Il est ainsi impossible grâce à ce mode d’installer ou modifier une application, garantissant un très haut niveau de sécurité.

L’EDR définit une catégorie d’outils et de solutions qui mettent l’accent sur la détection d’activités suspectes directement sur les hôtes et les PC du réseau. L’ERD était initialement dénommée « Endpoint Threat Detection & Response » (EDTR).

D’ici quelques jours, une version béta stable sera proposée au public. Elle n’intègre pas encore toutes les fonctionnalités (notamment sur le déploiement en réseau et dans le support des OS). L’installation de i-Guard nécessite une double installation : la console de management et le client i-Guard. La console de management peut s’installer sur un PC du réseau (windows 10 seulement pour le moment) ou sur un iPhone/iPad. D’autres plateformes sont en développement. Dans cette bêta, depuis la console de management, il est possible de voir toute l’activité des machines protégées et interagir avec elles pour fixer le type de sécurité ou encore bloquer/débloquer des logiciels que i-Guard a stoppé.

Android, Chiffrement, cryptage, Cybersécurité, ID, Identité numérique, ios, Logiciels, Mise à jour, Particuliers, Patch, Sécurité, Smartphone, Windows phone, Wordpress, Wordpress

Double authentification pour votre site web

Un commentaire

Vous avez un site web ? En plus de votre mot de passe d’accès à votre espace d’administration utilisez la double authentification.

Après les modes d’emplois pour mettre en place la double authentification pour Youtube, gMail, Amazon, DropBox, Facebook, DataSecurityBreach.fr vous propose la même sécurité dédiée à votre site Internet. Ce mode d’emploi est à destination des utilisateurs de WordPress.

La validation en deux étapes contribue à protéger le compte d’un utilisateur contre les accès non autorisés au cas où un tiers parviendrait à obtenir son mot de passe. Même si une personne malveillante parvient à décrypter, deviner ou dérober un mot de passe, elle ne peut se connecter si elle ne dispose pas des informations de validation supplémentaires de l’utilisateur. Ces dernières se présentent sous la forme de codes que seul l’utilisateur peut obtenir via son mobile ou via une signature chiffrée contenue dans une clé de sécurité.

Mode d’emploi double authentification WordPress

Commençons par la base, télécharger l’application qu’il faudra installer dans votre smartphone. Plusieurs choix possibles : Google Authenticator ; Authy ; encore FreeOTP ou encore Duo Mobile Authentication. Ensuite, installer sur votre site Internet l’application dédiée. Une fois c’est deux actions réalisées, direction l’espace « utilisateurs » de votre espace web. Sélectionnez votre identité. Dans cette partie, apparait un espace baptisé « Code secret ».

Cliquez, soit sur « créer nouveau code secret » ou « Montrer le QR Code« . Il vous suffit de lancer l’application mobile. Ensuite, sélectionner le menu, en haut à droite du logiciel. De choisir « configurer un compte« . Plusieurs choix : de viser le QR Code avec votre ordiphone (le plus simple). Rentrer le code secret, la clé fournie, généré par l’application dans votre site web. Dorénavant, une seconde entrée de mot de passe apparaît dans votre ouverture d’administration. Il suffira d’y insérer le code fourni par votre téléphone portable.

Des hébergeur tels que OVH propose aussi la double authentification.
Chiffrement, cryptage, Cybersécurité, Facebook, ID, Identité numérique, Logiciels, Mise à jour, Particuliers, Patch, Phishing, Wordpress, Wordpress

Double authentification pour Facebook

Le site communautaire Facebook propose la double authentification. A utiliser sans modération !

Après les modes d’emplois pour mettre en place la double authentification pour Youtube, Google, Amazon, DropBox, voici venir la sécurité dédiée pour Facebook. La double authentification permet de créé un second mot de passe via votre téléphone portable, valable quelques secondes, en plus de votre identifiant de connexion de base. Bilan, si votre mot de passe est subtilisé, le pirate ne pourra pas l’utiliser. Il faut les deux identifiants pour accéder à votre compte.

Mode d’emploi double authentification Facebook

D’abord, connectez-vous à votre compte Facebook. Dans la partie « Paramètres« , option cachée dans le petit menu, en haut à droite, sur la droite du petit cadenas, cliquez sur « Générateur de code« . Votre téléphone vous fournira, via l’application Facebook, un second code à rentrer, en plus de votre mot de passe, lors de toutes connexions via un ordinateur ou appareil non connu. Par exemple, pour les joueurs et utilisateurs de PS4, Xbox One… Facebook vous communiquera un code, par SMS.

Il est possible d’utiliser l’application Authenticator de Google pour générer le précieux second mot de passe. Un code qui change toutes les 30 secondes. A noter que des sociétés Françaises telles que Gandi ou encore OVH utilisent aussi la double authentification pour protéger leurs clients.

Chiffrement, cryptage, Cybersécurité, Logiciels, Mise à jour, Patch, Wordpress, Wordpress

Double authentification pour Amazon

2 commentaires

Le site de vente en ligne Amazon propose une nouvelle sécurité, la double authentification. Explication !

Comme DataSecurityBreach.fr a déjà pu vous le proposer pour DropBox, gMail, Facebook, Youtube… la sécurité par double authentification est devenue une obligation aujourd’hui. « L’attaque est le secret de la défense, la défense permet de planifier une attaque. » comme le dit l’adage. La double authentification permet de créé un second mot de passe via votre téléphone portable, valable quelques secondes, en plus de votre identifiant de connexion de base. Bilan, si votre mot de passe est subtilisé, le pirate ne pourra pas l’utiliser. Il faut les deux identifiants pour accéder à votre compte. Amazon vient de rentrer dans cette grande famille. DataSecurityBreach.fr vous conseille fortement de l’utiliser.

Mode d’emploi double authentification Amazon

D’abord, connectez-vous à votre compte Amazon. Ensuite, dans « Your Account« , dirigez-vous vers les options de modification de votre compte « Change Account Settings« . Choisissez ensuite « Advanced Security Settings« . C’est dans cette option qu’il va vous être possible de créer la double authentification Amazon. Intéressant, Amazon propose deux sécurités. D’abord par le logiciel Authenticator, et par SMS. Bilan, dès que vous souhaitez vous connecter, Amazon vous contactera par l’un de ces deux moyens.

A noter qu’il est possible d’utiliser cette double authentification pour votre blog, site Internet, Steam, Cloudflare, Gandi ou encore OVH.

Chiffrement, cryptage, Cybersécurité, Justice, Logiciels, Tor

TOR a-t-il été piraté par le FBI ?

Des documents judiciaires utilisés par le gouvernement américain à l’encontre de réseaux de BlackMarket font référence à un groupe de recherche universitaire qui aurait aidé à trouver une faille dans TOR. Le FBI réfute les accusations.

Le service de chiffrement Tor a été conçu pour garder ses utilisateurs anonymes, mais l’année dernière, une faille aurait été découverte. Il y a quelques jours, les informaticiens derrières TOR ont annoncé que cette faille était plausible. Le groupe affirme que Tor a été « infiltré » par le FBI, avec l’aide de chercheurs de l’Université Carnegie Mellon. Ces derniers auraient été payée 1 million de dollars pour leur travail. Le FBI a réfuté ces accusations.

Dans son témoignage, le Projet Tor souligne que l’attaque ayant visé son service a débuté en février 2014. Plus d’une centaine de nouveaux relais sur le réseau Tor avaient été créés à la fin du mois de janvier, et avaient été utilisés jusqu’au 4 juillet 2014. Une infiltration qui aurait permis de collecter des informations. A l’époque, le Projet TOR ne connaissait pas encore le niveau de données collectables. Seule chose certaine pour l’équipe, c’était le Computer Emergency Response Team Carnegie Mellon (CERT) qui était derrière cette « visite ».

L’année dernière, lors du Black Hat de Las Vegas, des chercheurs du Carnegie Mellon devaient expliquer comment, avec du matériel n’ayant pas coûté plus de 3.000 dollars, ils avaient réussi à pirater le réseau TOR. Une conférence annulée au dernier moment. Le projet Tor dit que les chercheurs en question ont cessé de répondre à leurs mails.

TOR accuse le FBI, à la suite de la lecture des documents utilisés par le gouvernement, et le Département de la Justice US, à l’encontre de la boutique de blackmarket Silk Road 2.0. Son créateur, Brian Richard Farrell, aka DoctorClu, avait été arrêté en janvier 2015, et jugé. Le document indique que Farrell avait été identifié grâce à une information obtenue par « un institut de recherche universitaire. » Lors de la perquisition, le mandat judiciaire indiquait, dans les mots de l’agent spécial Michael Larson, que la source du FBI avaient permis de trouver « les adresses IP fiables Tor et des services cachés tels que Silk Road 2.0 ». Des adresses collectée entre Janvier 2014 et Juillet 2014, lors de l’opération Onymous.

L’opération Onymous a été lancée, en 2014, contre des boutiques du blackmarket par Europol, Eurojust, le FBI, le département américain de la Sécurité intérieure, et plusieurs autres services de police. 17 vendeurs et administrateurs de Silk Road 2.0 seront arrêtés, 1 million de dollars US, en Bitcoin, seront saisis.

Cybersécurité, Logiciels, Microsoft, Mise à jour, OS X, Patch

Patch Tuesday – Novembre 2015

Retour à la normale pour le Patch Tuesday de Novembre 2015. Douze bulletins concernent un large éventail de produits, depuis Internet Explorer (MS15-112) jusqu’à Skype (MS15-123). Les six petits bulletins du mois dernier étaient une anomalie probablement due aux vacances d’été. La différence marquée entre les patches pour Internet Explorer et pour Edge, en revanche, n’est pas une anomalie mais le fruit d’une ingénierie sérieuse de la sécurité.

Manifestement plus sécurisé qu’Internet Explorer, Edge s’avère être un puissant choix de navigateur Internet si vos utilisateurs peuvent s’en servir pour exécuter toutes leurs applications métier.

Pour le classement des patchs, le cru de ce mois comprend un correctif pour une vulnérabilité connue fournie dans le bulletin critique MS15-115 qui résout sept vulnérabilités dans Windows. Deux des vulnérabilités se trouvent dans le sous-ensemble de polices, ce qui les rend exploitables à distance via la navigation Web et la messagerie. Elles affectent toutes les versions de Windows, y compris Windows 10 et RT. Ce mois-ci, le bulletin MS15-115 figure en haut de la liste.

Vient ensuite MS15-112 pour Internet Explorer, avec 25 correctifs dont 23 pour des vulnérabilités critiques à base d’exécution de code à distance (RCE). Le vecteur d’attaque est une page Web, très courante, malveillante. Les cybercriminels lancent les attaques en exploitant des vulnérabilités au sein de pages Web par ailleurs anodines et en prenant le contrôle du contenu des pages dans lesquelles ils insèrent des liens invisibles qui pointent vers leurs pages d’attaque basées sur des kits d’exploits commerciaux. Ces kits concernent essentiellement des vulnérabilités récentes au sein de navigateurs et de plug-ins (Flash étant choisi dans 80% des cas selon une récente enquête de Recorded Future) et s’enrichissent de nouveaux exploits quelques jours seulement après la publication d’une vulnérabilité.

Les attaques via les navigateurs et la messagerie sont si fréquentes que le Centre pour la sécurité Internet (CIS) a revu sa liste des 20 contrôles de sécurité critiques et ajouté un contrôle dédié aux navigateurs/à la messagerie ayant une priorité de niveau 7, ce qui le positionne devant les défenses classiques contre les codes malveillants concernées par le contrôle 8.

Quoi qu’il en soit, le MS15-112 doit être déployé le plus vite possible.

Le suivant sur la liste est le bulletin de sécurité MS15-116 qui résout sept failles sous Microsoft Office. Cinq de ces vulnérabilités peuvent être exploitées pour prendre le contrôle du compte de l’utilisateur qui ouvre le document malveillant et permettre ainsi une exploitation à distance. Cet accès permet de contrôler suffisamment la machine pour lancer un certain nombre d’attaques, notamment de type Ransomware. Cependant, l’attaquant peut l’associer à une vulnérabilité locale dans le noyau Windows pour compromettre totalement la machine et en prendre pleinement le contrôle afin d’y installer de nombreuses backdoors.

Les deux autres bulletins critiques concernent Edge Browser (MS15-113) et le Journal Windows (MS15-114). Ils doivent être appliqués le plus vite possible, ne serait-ce que pour votre machine bénéficie de la toute dernière mise à niveau.

Tous classés comme importants, les autres bulletins doivent être déployés dans votre cycle de patch usuel:

  • MS15-118 concerne .NET et corrige trois vulnérabilités, dont une permettant d’exécuter du code pendant que l’utilisateur visite un site Web (Cross Site Scripting). Ces vulnérabilités sont souvent exploitées pour dérober les informations de la session de l’utilisateur et se substituer à ce dernier. Selon l’application concernée, les conséquences peuvent être lourdes. En effet, l’attaquant peut ainsi accéder à un compte de niveau Administrateur associé à votre application Web.

  • MS15-119 résout une vulnérabilité d’élévation de privilèges dans la bibliothèque de sockets Windows présente dans toutes les versions dont Windows 10.

  • Quant au bulletin MS15-117, il corrige une vulnérabilité au sein du composant réseau NDIS et qui affecte uniquement les systèmes plus anciens (Vista, Windows 7 et Server 2008).

  • MS15-120, MS15-121, MS15-122 et MS15-123 corrigent des failles uniques dans IPSEC, SChannel, Kerberos et Skype pouvant être exploitées par des dénis DoS, des attaques Man In The Middle ainsi que par des contournements de chiffrement.

Dernier point et non des moindres, Adobe a également publié une mise à jour pour Adobe Flash. APSB15-28 résout plusieurs vulnérabilités critiques permettant à un attaquant d’exécuter du code dans le contexte de l’utilisateur. Sachant que Flash est cette année une cible favorite des attaquants, n’oubliez pas de le mettre à jour sur vos machines clientes. (Analyse par Wolfgang Kandek, CTO , Qualys, Inc. (wkandek)

Chiffrement, cryptage, cryptolocker, Cybersécurité, Entreprise, Fuite de données, Logiciels, Paiement en ligne

1 spam sur 4 est européen

L’entreprise Proofpoint vient de publier son rapport trimestriel sur les menaces cyber (« Quarterly Threat Report ») qui étudie les attaques, tendances et transformation aperçues dans le paysage des risques informatiques sur la période de juillet à septembre 2015.

Dans ce rapport, on apprend que l’Union européenne génère le plus de spams à travers le monde (25,75 %) et, au sein de l’UE, l’Allemagne (3,2 %). Les Etats-Unis demeurent le pire pays globalement (11,46 % du total mondial). Les auteurs d’attaques très ciblées continuent de privilégier le courriel comme vecteur mais les réseaux sociaux ne cessent de gagner en importance. Par exemple, nous avons récemment vu des cybercriminels exploiter les demandes de service client des réseaux sociaux via Twitter.

Les campagnes diffusant le cheval de Troie bancaire Dridex ont éclipsé les autres malwares en volume et innovent constamment en matière de formats de pièces jointes, de modèles de documents ou encore de techniques de dissimulation et d’infection. Même si des efforts de lutte contre Dridex ont été signalés au trimestre précédent, cela n’a guère eu pour effet un recul de son activité sur le long terme. L’arrestation, début septembre, d’un membre du groupe à l’origine de Dridex a certes causé une pause dans cette activité mais celle-ci est repartie de plus belle, accompagnée rapidement de nouvelles formes de malware, illustrant de manière éclatante la résilience et la capacité d’adaptation des menaces.

« Angler » (Axpergle/Bedep) domine la scène des kits d’exploitation des vulnérabilités, où quatre autres acteurs (Neutrino, Nuclear, Magnitude et RIG) représentent l’essentiel du reste de ce type d’activité. Angler est connu, comme le montre notre capture écran, comme étant un grand acteur des vagues de ransomware de la planète web.

Cybersécurité, Firefox, Logiciels, Microsoft, Mise à jour, Patch

Firefox et la navigation privée encore plus avancée

Mozilla a dévoilé la protection contre le pistage au sein de la Navigation privée dans Firefox. Cette fonctionnalité a été développée afin d’offrir aux utilisateurs plus de choix et de contrôle sur leur expérience du Web.

Avec la protection contre le pistage au sein de la Navigation privée, Mozilla permet de garder le contrôle sur les données de navigation récoltées par les sites tiers. Aucun autre navigateur (Chrome, Safari, Microsoft Edge ou Internet Explorer) ne propose un mode de navigation privée permettant de limiter les données que les sites tiers récupèrent.

Navigation privée avec protection contre le pistage
Le mode de navigation privée a été ajouté au navigateur Firefox pour que les internautes gardent le contrôle sur leur confidentialité, en permettant de ne pas enregistrer de données de navigation à la fermeture. Cependant, lorsque vous naviguez en ligne, vous partagez souvent sans le savoir des informations vous concernant avec des sites tiers indépendants des sites que vous visitez, et ce même en utilisant la Navigation privée, quel que soit le navigateur utilisé. Jusqu’à aujourd’hui.

La navigation privée avec protection contre le pistage au sein de Firefox pour Windows, Mac, Android et Linux bloque les contenus tels que les publicités, les outils analytiques et autres boutons de partage sur les réseaux sociaux, pouvant enregistrer votre comportement en ligne à votre insu. Cette nouvelle version de Firefox inclut également un nouveau centre de contrôle rassemblant dans la barre d’adresse les paramètres de sécurité et de confidentialité. Étant donné que les pages web peuvent subir quelques dysfonctionnements lorsque vous bloquez des éléments de pistage, il est possible de désactiver facilement la protection contre le pistage dans la navigation privée pour un site particulier, en passant par le centre de contrôle.

Nouvelle version de Firefox Developer Edition
Mozilla a dévoilé également de nouvelles fonctionnalités au sein de Firefox Developer Edition, telles que des outils avancés pour l’édition d’animations. Mozilla présente DevTools Challengers, un tutoriel qui repose sur la pratique et qui aidera les designers à pleinement tirer parti de ces nouveaux outils d’édition. Grâce à ces outils, les développeurs auront moins l’impression d’écrire un script et plus de créer un film.

Apple, Cybersécurité, Logiciels, OS X, Patch, Virus

La moitié des malwares sous Mac OS X sont des adwares

Une analyse démontre que les adwares et PUA/PUP représentaient 55.1% des menaces sur Mac OS X en France, sur les six premiers mois de l’année.

Selon l’éditeur Bitdefender, éditeur de solution de sécurité informatique, les adwares intrusifs et les PUP/PUA comptaient pour près de la moitié des menaces sous Mac OS X , aux États-Unis (46%) et en Allemagne (45%), et atteignaient une large majorité au Danemark (61%), en Roumanie (58%) et en France (55.1% – 51 529 malwares Mac OS X détectés et analysés entre janvier et juin 2015.), sur le premier semestre 2015.

En effet, la moitié des utilisateurs sous Mac OS se plaignent régulièrement des adwares et autres PUA/PUP (applications/programmes potentiellement indésirables), qui détériorent l’expérience utilisateur et peuvent poser des problèmes de sécurité. Les adwares sont installés sur les machines le plus souvent à l’insu des utilisateurs, pendant qu’ils surfent sur Internet, ou lorsqu’ils installent un programme. Une fois installé, l’adware peut modifier les résultats de recherche de l’utilisateur et lancer de nombreuses fenêtres pop-up affichant de la publicité.

L’adware peut également ouvrir ou rediriger l’utilisateur vers des pages Web qu’il n’a pas souhaité visiter. Le but principal est de gagner de l’argent en affichant une quantité phénoménale de publicité, mais les adwares peuvent aussi être très curieux et s’insérer plus en profondeur dans la machine de l’utilisateur. Ainsi, ils peuvent agir en tant que keylogger (enregistreur de frappes au clavier) et intercepter le trafic en réalisant des attaques man-in-the-middle.

« Même pour un utilisateur doté de connaissances techniques, supprimer manuellement les adwares et PUA/PUP est un vrai casse-tête qui demande parfois de redémarrer jusqu’à cinq ou six fois la machine, cela malgré les efforts d’Apple pour intégrer les dernières mesures nécessaires dans sa FAQ, » explique à DataSecurityBreach.fr, Bülent Duagi, Chef de produits Bitdefender pour Mac et iOS.

Les adwares et autres PUA/PUP deviennent un problème important sur Mac. Certains acteurs en ont pleinement conscience, à l’instar d’AV-TEST qui inclura prochainement un test de reconnaissance des logiciels indésirables pour les solutions dédiées à Mac OS X, ou encore de Google qui a annoncé une amélioration de ses standards de sécurité pour supprimer de ses services les injecteurs de publicités indésirables.

Il est recommandé aux utilisateurs Mac, de vérifier chaque étape d’installation d’un logiciel tiers pour, le cas échéant, décocher certaines cases dissimulant des adwares, et de lire les Conditions Générales d’Utilisation (CGU) pour savoir, par exemple, si des données sont collectées ou partagées. Il est bien sûr conseillé de faire attention aux publicités malveillantes souvent tape-à-l’œil qui incitent l’internaute à cliquer et qui ont pour but d’infecter sa machine.