Archives de catégorie : Espionnae

Avast découvre un nouveau malware sur Google Play made in Turquie

Une nouvelle version de Porn Clicker vient d’apparaitre sur Google Play. Des pirates Turcs seraient derriére cette nouvelle version.

En avril 2015, l’éditeur de solutions de sécurité informatique Avast découvrait un code malveillant baptisé « porn clicker ». Un malware caché dans un logiciel propose sur Google Play. D’après l’éditeur, il a pu être téléchargé entre 100 000 et 500 000. Le code malveillant se faisait passer pour l’application populaire Dubsmash.

Une fois l’application installée, aucun indice particulier ne permettait à l’utilisateur d’identifier sur son appareil une application intitulée “Dubsmash 2” : en effet, l’application générait à la place une icône qui se présentait sous le nom de “Réglages IS”. Lorsque l’utilisateur ouvre cette application, le Google Play Store active la page de téléchargement de l’actuel “Dubsmash”. Par la même occasion, une liste de liens redirigeant vers divers sites pornographiques est téléchargée, conduisant au lancement d’un des liens de cette liste dans le navigateur. Après une dizaine de secondes, le code procède au clic d’autres liens au sein même du site pornographique.

« Nous serons de retour… »

Quatre mois plus tard, il a identifié une mutation de ce malware. intercepteur de données qui semble avoir été créé par la même équipe turque qui était à l’origine de ce logiciel malveillant. Google a une nouvelle fois réagi rapidement et l’a retirée du Play Store.

Une fois téléchargées, les applications ne présentent aucune activité importante lorsque l’utilisateur procède à l’ouverture de celles-ci, et affichent seulement une image fixe. Toutefois, lorsque l’utilisateur, qui ne se doute de rien, ouvre son navigateur ou d’autres applications, l’application malveillante parcourant l’arrière-plan du système renvoie directement vers des sites pornographiques. Les victimes ne comprennent pas forcément d’où proviennent ces redirections, car il n’est possible d’arrêter ce processus qu’en supprimant l’application.

Les chercheurs en sécurité de chez Eset ont rapporté peu de temps après que de nombreuses applications ayant subi cette mutation se trouvaient dans Google Play, et que la forme originelle du malware y a été téléchargée à plusieurs reprises en mai dernier. Les découvertes, combinées à celles d’Eset, prouvent que les auteurs de ces malwares persistent dans leur intention de faire de Google Play une résidence permanente pour leurs logiciels malveillants.

Quelques jours plus tard, le malware était déjà de retour sur Google Play. Le malware, identifié sous l’appellation « Clicker-AR », était présent dans les trois applications suivantes : Doganin Güzellikleri, Doganin Güzellikleri 2, Doganin Güzellikleri 3. Ce qui signifie littéralement « Beautés de la Nature ». Les pirates avaient en effet modifié les noms des développeurs afin que Google ne puisse pas les retrouver facilement. Avast a signalé à Google la présence de ces applications malveillantes et celles-ci ont été une nouvelle fois retirées.

Que peut faire l’utilisateur ?

Google a du pain sur la planche. En effet, la société a en charge à la fois le maintien du système d’exploitation pour mobiles le plus populaire au monde et un « app store » proposant environ 1,5 millions d’applications. Un antivirus n’est pas à négliger, la source du logiciel est à vérifier par les utilisateurs avant le moindre téléchargement. Faire attention aux demandes d’autorisations des applications. Si une application fait une demande d’autorisation que l’utilisateur ne juge pas nécessaire pour le bon fonctionnement de l’application, cela annonce probablement la présence d’une faille. Même si cela peut-être piégé, vérifier les avis d’utilisateurs.

Facebook ne corrige pas un problème de sécurité

Une vulnérabilité informatique vise le site Facebook, et ses utilisateurs. Un problème qui pourrait mal finir si le géant américain ne corrige pas rapidement.

En avril 2015, Reza Moaiandin, directeur technique pour Salt Agency, découvrait une faille de sécurité dans Facebook. La vulnérabilité pourrait permettre à un pirate de décrypter les identifiants des utilisateurs du portail communautaire. Pour que l’attaque fonctionne, Reza a utilisé des applications (API) proposées Facebook. Un problème qui semble sérieux. La fuite pourrait permettre de recueillir des millions de données personnelles d’utilisateurs (nom, numéro de téléphone, emplacement, images, …).

Facebook a été alerté en avril 2015, mais n’a toujours pas corrigé. Via cette faille, un malveillant peut alors communiquer avec le Facebook GraphQL et obtenir autant de détails que possible, en faisant passer l’ID de la cible, pourtant chiffrée, à la moulinette.

En utilisant un script maison, Reza a testé sa découverte. Bilan, la fuite de données est exponentielle et  risque de devenir un problème sérieux si aucune limite est mise en place par Facebook. « La communication avec ces API doit être pré-chiffrée, explique Reza, et d’autres mesures doivent être mises en place avant que cette faille ne soit découverte par quelqu’un de beaucoup plus dangereux. » Le chercheur indique avoir trouvé cette faille, par hasard !

Fuite de données dans les poubelles de Motel 6

Retrouver des photocopies de permis de conduire, des copies de plaques d’immatriculations, des signatures ou encore des identités à la sortie d’un Hôtel, voilà une fuite de données pas courante… ou presque.

La chaîne américaine d’hôtels, Motel 6, fait face à une fuite de données peu courante. Une cliente a découvert des centaines de dossiers aux pieds des poubelles d’une des structures hôtelière du groupe. En regardant les dossiers, des contenus privés et sensibles allant des photocopies de permis de conduire, des numéros de téléphones, des numéros de plaques d’immatriculation et même des signatures de clients.

A première vue l’Oncle Sam a du mal à faire comprendre à certaines entreprises comment bien détruire les données privées et sensibles qu’elles collectent. Comme ces confettis utilisés pour fêtes les championnes du monde de football qui n’étaient rien d’autre que des dossiers médicaux découpés en petites bandes de papier… pour faire la fête ! (Image KalTv)

Prendre la main sur un Mac OS X 10.10, aussi simple qu’un tweet

Une faille visant les utilisateurs de MAC permet à un pirate de prendre la main sur un ordinateur de la grosse pomme. Une faille triviale qui est déjà corrigée… pour les futurs MAC.

Prendre la main sur un mac, sous Mac OS X 10.10, aussi simplement que de cliquer sur une souris. Yosemite, la version 10.10 de l’OS de la grosse pomme, est la dernière version stable du système d’exploitation d’Apple. Bilan, de nombreuses personnes sont donc touchées par cette vulnérabilité. L’exploit est si trivial qu’il tient dans un tweet.

Pour devenir root, un pirate n’a pas grand chose à faire pour obtenir les privilèges de niveau administrateur sur un Mac OS X Yosemite. Un bug de sécurité qui peut être exploité par des logiciels malveillants. La faille a été découverte par Stefan Esser, un allemand spécialiste de la sécurité informatique pour MAC. Une attaque possible grâce à une variable d’environnement appelée DYLD_PRINT_TO_FILE qui a été ajouté dans le Yosemite. Un pirate n’a jouer avec la chose pour devenir calife à la place du calife.

Cette faille est présente dans la dernière version de Yosemite, OS X 10.10.4, et dans la version bêta (10.10.5). Il faut mettre à jour son MAC avec la version bêta El Capitan (OS X 10.11) pour ne plus être vulnérable. « Apple fournit des correctifs pour la sécurité des versions bêtas de ses futurs produits, mais ne résout pas les versions actuelles » termine Esser. Vous pouvez installer SUIDGuard, sur votre « vieux » Mac, en attendant de passer sous une version El Capitan propre et 100% terminée. (Merci à Metabaron)

Piratage pour l’UCLA : 4,5 millions de patients dans la nature

La semaine dernière, dans l’émission 25 (Saison 4) de ZATAZ Web TV, je poussais un petit coup de gueule sur nos informations mal menée par les entreprises qui nous les collectent et par les pirates qui louchent dessus. Nouvel exemple en date, aux USA, avec le piratage de 4,5 millions de patients de l’UCLA, l’Hôpital de l’University of California.

Des pirates informatiques se sont invités dans le réseau hospitalier de l’Université de Californie, Los Angeles. Ils ont pu accéder à de nombreux ordinateurs et collecter pas moins de 4,5 millions de dossiers sensibles de patients, élèves, enseignants, personnels administratifs. Parmi les informations volées : Noms, information médicale, numéros de sécurité sociale, numéros d’assurance-maladie, ID de plan de santé, les dates d’anniversaires et les adresses physiques. Des informations « potentiellement » volées, selon l’université. Cela pourrait toucher toutes les personnes ayant visité – ou travaillé – dans les services médicaux de l’université UCLA. Un vaste secteur qui comprend quatre hôpitaux et 150 bureaux à travers le sud de la Californie. UCLA Santé a alerté le département de la justice américaine. L’attaque aurait été découverte voilà 2 mois, le 5 mai 2015. (Fox)

Deux applications malveillantes dans 1 million de smartphones

Deux applications pour smartphone et tablette Android, Cowboy Adventure et Jump Chess, cachaient en leur sein un outil d’interception de données pour se connecter aux réseaux sociaux des joueurs piégés.

Des logiciels pour smartphone (ordiphone, NDR) et tablette, Google Play en propose des centaines de milliers. Dans le lot, des brebis galeuses à l’image des jeux proposés par l’éditeur Tinker Studio. L’entreprise, totalement inconnue et inexistante sur Internet, diffusait depuis avril 2015, un jeu de plateforme. Vous étiez représenté par un « Indiana Johns » et vous deviez récupérer des diamants à la sauce Mario Bros. Le jeu, pas vraiment original, offrait cependant de joli graphisme et une musique attrayante.

Le 16 mai 2015, Data Security Breach constatait que l’application était considérée comme « non dangereuse » par 56 antivirus. C’est du moins ce que tentait de faire croire les malveillants derrières cette application et les sites qu’ils utilisaient pour diffuser leurs microbes.

A noter que les mêmes créateurs avaient édité Jump Chess 1.1. Lui aussi, soit disant « safe », lui aussi diffusé par des dizaines de sites Internet spécialisé dans les applications Android. Sites qui ne vérifient en rien les contenus qu’ils diffusent. Jeu d’échec lui aussi piégé. C’est d’ailleurs l’éditeur ESET qui va tirer la sonnette d’alarme.

Les deux applications récupérées les informations permettant de se connecter à Facebook. 1.000.000 copies auraient été téléchargées selon l’éditeur d’antivirus. Des logiciels qui ont depuis été retirés du Google Play Store.

La méthode du pirate était simple. Une fausse page Facebook s’affichait dans le menu du jeu. L’internaute ainsi piégé rentrait ses identifiants de connexion. Autant dire que le « pirate » a pu engranger énormément de comptes Facebook.

Il est fortement conseillé, surtout si vous avez téléchargez le jeu de plateforme ou le jeu d’échec, d’effacer les programmes de votre téléphone, de votre tablette, mais aussi et surtout de changer votre mot de passe Facebook (Profitez-en pour utiliser la double authentification, NDR). A noter que l’escroc est un malin, il en a profité pour jouer avec un bug sur Google Play qui permet de mettre n’importe quelle information à l’écran. Bilan, facile d’afficher son appartenance aux éditeurs du Google Play aux yeux qui ne connaissent pas les finesses économiques et commerciales du géant de l’Internet. Voici l’exemple de Data Security Breach (sans danger) qui prouve une facilité de manipulation.

La Garde Nationale Américaine visée par une fuite de données

Les anciens et actuels membres de la Garde nationale de l’armée américaine pourraient être affectés par une violation de leurs renseignements personnels à la suite d’une fuite informatique de leurs données.

Cet incident n’a pas de rapport avec la violation des renseignements personnels de 19,7 millions d’employés « civils » du gouvernement fédéral américain (+ 1,8 millions de personnels extérieurs) à la suite de deux piratages de l’Office of Personnel Management (OPM). La nouvelle fuite du jour vise le centre de la Garde Nationale de l’armée américaine, le National Guard Bureau. « Tous les membres de la Garde nationale de l’armée, actuels et anciens, et cela depuis 2004, pourraient être affectés par cette violation » confirme un fonctionnaire américain. Les données ont été transférées par inadvertance à un centre de données qui n’était pas accrédité par le Département de la Défense. Earl Brown, porte-parole du National Guard Bureau, indique que les données concernées comprennent les noms des soldats, les numéros complets de sécurité sociale, les dates de naissance et les adresses physiques des militaires. Le Bureau de la Garde nationale a mis en place une page Web dédiée à cette fuite.

Pour l’OPM, se sont deux piratages qui ont été découverts. En Avril 2015, l’OPM découvrait que les données personnelles de 4,2 millions d’employés du gouvernement fédéral, anciens et actuels, avaient été volées. Lors de l’enquête, il était relevé un autre vol, en juin 2015 cette fois. Les données sensibles, dont le numéro de sécurité sociale US (qui peut permettre, par exemple, d’ouvrir un compte en banque, NDR), ont été subtilisées à 21,5 millions de personnes sauvegardées dans les bases de données de l’OPM.

La CNIL met Google en demeure d’élargir son Droit à l’oubli

Il y a un an, la Cour de Justice de l’Union européenne (CJUE) demandait aux moteurs de recherche de donner la possibilité à tout internaute de demander la désindexation d’informations le concernant, dans le cas où celles-ci seraient « inadéquates, pas ou plus pertinentes ou excessives ». Une procédure de droit à l’oubli jugée insuffisante par la CNIL.

La procédure de déréférencement a bien été lancée par Google, cependant les informations sont aujourd’hui désindexées uniquement sur les versions européennes du moteur de recherche. Elles restent donc accessibles à partir des autres versions de Google. La Commission nationale de l’informatique et des libertés (CNIL), considère que la mise en place du droit à l’oubli est donc aujourd’hui insuffisante. Elle a donc décidé de mettre en demeure Google afin qu’il procède à des déréférencements sur toutes les versions de son moteur.

Google dispose de quinze jours pour appliquer cette mise en demeure. Sans cela, la CNIL pourra amorcer une procédure de sanction, qui obligerait le moteur de recherche à payer une amende. Cette dernière ne pourra pas dépasser les 150 000 euros, soit 0.0000096% de son chiffre d’affaire publicitaire au premier trimestre 2015 (15,5 milliards de dollars). Autant dire que Google claque des dents !

Une mesure positive qui risque de ne pas aboutir selon Réputation VIP

Bertrand Girin, président de Réputation VIP, est tout à fait d’accord avec la CNIL : « Nous soutenons la CNIL dans sa démarche, en effet depuis nos débuts nous avions soulevé l’incohérence de la gestion de cette mesure par Google. Aujourd’hui, il suffit d’utiliser une version non européenne du moteur pour trouver les informations désindexées, la protection des internautes n’est donc absolument pas assurée comme le souhaitait le CJUE lorsqu’elle a pris sa décision. »

Cependant, on peut se demander quelle sera la réaction de Google face à cette mesure, selon Bertrand Girin « il faut s’inquiéter de la réaction de Google face à cette mise en demeure. Il n’est pas dans l’intérêt du moteur de se plier à la volonté de la CNIL« . Accepter le déréférencement sur les versions internationales du moteur pourrait conduire à de nombreuses questions d’autres pays. Si Google commence à désindexer des éléments sur la version américaine de son moteur, les résidents de ce pays seraient en droit de se demander pourquoi la mesure ne leur est pas applicable.

De plus, il faudrait que Google modifie son processus de réception des demandes, certaines personnes pourraient tenter de passer par le droit européen pour voir supprimer des informations dans leur pays de résidence, or Google ne demande aujourd’hui pas de justificatif de domicile mais seulement une pièce d’identité. Autant d’éléments qui pousseront Google, selon Bertrand Girin, à « se battre afin de préserver ses moteurs internationaux du droit à l’oubli européen ».

600 millions d’utilisateurs d’un téléphone Samsung en danger ?

Plus de 600 millions d’utilisateurs de téléphones portables Samsung ont été touchés par un risque de sécurité important. Samsung S3, S4, S5 et S6 touchés par une vulnérabilité dans un clavier pré-installé qui permet à un pirate d’exécuter du code à distance.

Intéressant ! Après la diffusion de faille et bug visant le téléphone portable d’Apple, l’iPhone, voici venir la faille pour le concurrent direct de la grosse pomme, la famille des Samsung S. Cette faille a été découverte par le chercheur Ryan Welton de la société américaine de NowSecure. Samsung a été alerté en décembre 2014.

Compte tenu de l’ampleur du problème, NowSecure a aussi notifié le CERT américain afin de faire corriger le problème rapidement (CVE-2015-2865). L’équipe de sécurité de Google Android a elle aussi été mise dans la boucle. L’attaque permet de récupérer la connexion GPS, brancher caméra et micro, installer en cachette des applications malveillantes, lire les messages (SMS, MMS, Mails, …). Bref, une petite cochonnerie.

Samsung n’a rien dit, mais propose depuis début de 2015 un correctif. Impossible de savoir si les opérateurs ont suivi la même mouvance sécuritaire… mais particulièrement pratique pour espionner une cible précise. A la lecture de la liste ci-dessous, qui ne concerne que des opérateurs américains, il y a de forte chance que votre téléphone soit toujours un espion en puissance dans votre poche.

Malheureusement, l’application du clavier défectueux ne peut pas être désinstallé. Côté solution : ne pas utiliser de wifi non sécurisé (utilisez un VPN, INDISPENSABLE NDLR)… ou changez de téléphone.

Galaxy S6      Verizon  Non corrigée
Galaxy S6       AT & T   Inconnu
Galaxy S6       Sprint   Non corrigée
Galaxy S6       T Mobile Inconnu
Galaxy S5       Verizon  Inc9nnu
Galaxy S5       AT & T   Inconnu
Galaxy S5       Sprint   Inconnu
Galaxy S5       T Mobile N8n c2rrigée
Galaxie S4       Verizon  Inconnu
Galaxie S4       AT & T   Inconnu
Galaxie S4       Sprint   Inconnu
Galaxie S4       T Mobile Inc8nnu
Galaxy S4 Mini  Verizon  Inconnu
Galaxy S4 Mini  AT & T   Non corrigée
Galaxy S4 Mini  Sprint   Inconnu
Galaxy S4 Mini  T Mobile Inc9nnu

Merci à @dodutils pour l’alerte.

Piratage confirmé pour LastPass

Le système de mot de passe LastPass piraté. L’éditeur confirme le passage malveillant de visiteurs qui ont mis la main sur les données des clients de l’entreprise.

LastPass est un coffre fort de mot de passe. Au lieu de retenir des dizaines de précieux sésames, l’excellent LastPass propose de les sauvegarder dans son service et de ne retenir que le password proposé par le service, le mot de passe principal, dit maître. Sauf que si un pirate met la main sur cet unique clé généraliste, le danger est réel. Autant dire que le malveillant n’a plus qu’à se servir. C’est ce qui semble se passer pour LastPass.

L’entreprise vient de confirmer une intrusion dans son serveur. Sur son blog, l’éditeur explique qu’une enquête est en cours et qu’elle a pour le moment « démontré que les adresses mails des comptes LastPass, ainsi que des informations dédiées aux mots de passe (mais pas les mots de passe directement, NLDR), le salage et le hachage d’authentification ont été piratés« .

Bref, pas besoin de vous faire un dessin. Changez votre mot de passe LastPast, comme le propose les ingénieurs de Lastpast. Les utilisateurs touchés ont/vont reçu/recevoir un courriel. On peut aussi conseiller de modifier l’ensemble des mots de passe sauvegardés dans l’outil, sait-on jamais… ou prenez des vitamines pour sauvegarder vos précieux uniquement dans votre cerveau. Les utilisateurs qui passeraient par un nouveau matériel doivent, de nouveau, se valider par mail.