Emploi, Entreprise

Ingésup propose une formation pour lutter efficacement contre les attaques des pirates

Données personnelles de 800 000 clients d’Orange dérobées, piratage de Skype par l’armée électronique syrienne, 4,6 millions de comptes Snapchat hackés,… Selon une étude menée en avril 2013 par B2B International, neuf entreprises sur dix ont connu un incident de sécurité externe au cours des douze derniers mois. Parallèlement à cela, le Norton Report de 2013 indique que 41% des français utilisateurs de smartphones ont déjà été victimes d’actes de cybercriminalité. Ainsi, les délits commis sur les systèmes d’information et les réseaux informatiques et téléphoniques ne cessent de s’amplifier chaque année.

Ingésup vient de placer la sécurité des systèmes d’information au centre de son programme pédagogique. En partenariat avec l’EC-Council (International Council of E-Commerce), organisme spécialisé dans la cyber sécurité, l’école dispense des cours sur la sécurité. Un laboratoire « Réseau et sécurité » est aussi mis en place et géré par des étudiants pour approfondir leurs connaissances. A travers des projets et des conférences techniques sur lesquels ils travaillent, ils mettent en pratique des techniques de prévention et de protection s’adaptant aux problématiques de hacking actuelles. Outre cela, ils bénéficient de la formation et de l’accès à la certification « Cyber-Sécurité » CEH (Certified Ethical Hacker). Le passage de cette certification phare est proposé aux étudiants de 3ème année (ING 1), et les frais de passage sont entièrement pris en charge par l’école.

A noter que l’école organise la St’Hack (le 14 mars prochain) avec conférences et concours CTF (« Capture the Flag »). A noter que l’université de Valencienne, et son antenne de Maubeuge propose une Licence CDAISI, et dans quelques mois une maîtrise, dédiée à cette problématique informatique.

 

Mise à jour, Patch

Patch tuesday de février

Le contenu du Patch Tuesday de février, publié mardi dernier ne propose que cinq bulletins d’alertes. Deux des quatre bulletins de février sont classés comme « critiques », les deux autres ayant le statut « importants ». Le bulletin #1 résout directement une faille dans le système d’exploitation Windows et s’applique à la fois aux clients et aux serveurs sous Windows 7, 2008, 8 et RT. Windows XP et Vista ne sont pas concernés. Le bulletin #2 s’intéresse uniquement à l’aspect serveur de Microsoft Forefront Security, un outil anti-spam et anti-malware pour Microsoft Exchange Server.

Les bulletins #3 et #4 corrigent des vulnérabilités locales pour toutes les versions de Windows. Respectivement, une élévation de privilège et une vulnérabilité entraînant une divulgation d’information. Quant au bulletin #5, il résout un déni de service dans Windows 8. En plus de Microsoft, Adobe et Mozilla ont diffusé de nouvelles versions cette semaine.

Adobe a résolu une vulnérabilité Zero-Day dans Adobe Flash avec une mise à jour en mode console (APSB14-04). Cette dernière permet de résoudre une vulnérabilité (CVE-2014-0497) exploitée de manière aveugle. Les versions 12 et 11 de Flash sont touchées à la fois sur Windows et Mac OS X tandis que la version 11 de Flash est affectée sur la plate-forme Linux. Les utilisateurs de Google Chrome et de Microsoft Internet Explorer 10 et 11 ont automatiquement bénéficié de ces mises à jour via leurs navigateurs Web. Quant à ceux qui utilisent d’autres navigateurs tels que Safari sur Mac OS X, Firefox ou des versions antérieures d’IE, ils doivent mettre Flash à jour sur le système d’exploitation lui-même. Adobe remercie Kaspersky d’avoir découvert le problème et publié une analyse technique détaillée sur son blog.

Nous vous invitons à installer cette mise à jour aussi vite que possible. Adobe Flash est massivement installé et utilisé sur la plupart des pages Web pour fournir du contenu actif pour les vidéos et les jeux. Il est difficile de restreindre son utilisation et inutile d’imaginer que les utilisateurs puissent empêcher une attaque intégrée à une page Web bien connue et de confiance.

Mozilla a publié la version 27 de Firefox, un navigateur Web très populaire qui représente environ 23% de parts de marché d’après les statistiques collectées par BrowserCheck, notre outil gratuit de sécurisation des navigateurs Web. Mozilla a corrigé treize vulnérabilités. Cinq d’entre elles étaient considérées comme « critiques », c’est-à-dire qu’un pirate pouvait les utiliser pour prendre le contrôle de la machine ciblée. En règle générale, ce type d’attaque se produit via un site Web contrôlé par le pirate. Le site en question est soit lui-même victime de l’attaquant qui a tendu un piège aux visiteurs lambda du site, soit spécifiquement configuré pour utiliser la technique de l’empoisonnement des moteurs de recherche (SEO) qui attire les internautes sur le site compromis. Le bulletin MFSA2014-08 qui corrige l’une des cinq vulnérabilités dont le statut est critique décrit le modus operandi. Pour exploiter la faille, le pirate doit envoyer des images au navigateur Web avec certaines violations de format pour générer une erreur de traitement et exécuter ainsi le code dans le navigateur. Ce patch a permis de corriger le traitement de l’image au sein de Firefox.

Là encore, si vous utilisez ce navigateur, nous vous recommandons d’installer la toute dernière version de Firefox aussi vite que possible. (Par Qualys)

Entreprise, Justice

Discrète décision de justice sur Google France

Voilà une décision judiciaire qui n’aura pas fait grand bruit. Le Conseil d’Etat a imposé à Google la décision de justice lui indiquant l’obligation d’afficher sa condamnation à 150.000 euros d’amende après une délibération de la CNIL. Un affichage qui aura profité d’un discret week-end. Le texte a été installé sous la barre de recherche durant le week-end du 8/9 février.

Pour voir l’information judiciaire, il fallait taper Google.fr dans son navigateur. Un texte qui n’apparaissait plus si vous utilisiez une application pour navigateurs, ou lanciez une recherche sans passer au préalable via la page blanche Google.fr.

Le 7 février, une ordonnance de référé a imposé cet affichage à Google. Par chance pour le géant américain, le communiqué a été diffusé le week-end, sans que personne ne puisse véritablement sans rendre compte : « La formation restreinte de la Commission nationale de l’informatique et des libertés a condamné Google Inc. à 150 000 € pour manquement à la loi « Informatique et libertés »… ». Comme le rappel Legalis, le Conseil d’Etat a estimé que la société américaine n’avait apporté « aucun élément de nature à établir qu’un tel préjudice irréparable pourrait résulter de l’atteinte qui, selon elle, serait portée à sa réputation ».

Le 3 janvier dernier, la Cnil avait condamné Google Inc. à 150 000 € d’amende en reprochant au géant américain  d’avoir fusionné en une seule politique les différentes règles de confidentialité applicables à Google Search, YouTube, Gmail, Picasa, Google Drive, Google Docs, Google Maps, etc. Pendant ce temps, Google fait la chasse aux images que ses robots considèrent comme « pornographiques ».

Plusieurs exemples viennent de nous être rapportés, comme ce blog d’un photographe Lillois dont un champignon avait, aux yeux de Google, une forme un peu trop phallique. Bilan, Google a coupé les annonces publicitaires.

A noter, que le site de la CNIL est tombé en carafe, le temps de cet affichage. Trop de visiteurs ! Un DoS judiciaire légal. Malin ce Google !

 

 

Propriété Industrielle

Les fins d’Internet

Fiscalité des géants du web, non-respect de la loi informatique et libertés, vols de données, loi jugée liberticide en Turquie, privatisation, nationalisation ou fragmentation d’Internet : les questions de données personnelles, de régulation ou de gouvernance de l’internet ne cessent de faire l’actualité ces derniers mois. Le célèbre magazine américain dédié à l’innovation titre d’ailleurs en Une du mois de mars 2014 : « Le web est menacé. Il est temps de reconquérir ».

Cet ouvrage explique en détail toutes les raisons pour lesquelles Internet, qui a à peine plus de trente ans, est sur le point de disparaître, détruit par des revendications contradictoires. Construit très largement autour de valeurs nord-américaines, Internet doit aujourd’hui être à la hauteur de son ambition et s’adapter à un environnement d’une complexité considérable : le Monde.

Boris Beaude analyse les perspectives des grands enjeux sociétaux et politiques d’Internet et nous fait comprendre que les fondements d’Internet se trouvent désormais confrontés à de nombreux défis dont la diversité et la puissance sont susceptibles de mettre un terme à ce qui s’apparente de plus en plus à une utopie. Des acteurs très puissants et de plus en plus organisés tentent par ailleurs de se l’approprier en remplaçant la plupart des standards ouverts et documentés par des normes fermées et propriétaires.

Créé comme un espace de liberté, Internet est devenu le plus vaste panoptique du Monde et la liberté d’expression est soumise à un contrôle et à une surveillance d’une ampleur inédite. Les nobles présupposés de l’intelligence collective sont ébranlés par leur exploitation commerciale croissante. L’essentiel des communications se concentre au sein de quelques centres de données et quelques entreprises qui se partagent la majeure partie des pratiques numériques. Enfin, la robustesse d’Internet est de plus en plus affectée. Les failles se multiplient et de nombreuses entreprises, gouvernements et individus sont exposés à des attaques informatiques qui visent à obtenir des informations confidentielles et compromettre des infrastructures stratégiques.

Ce livre apporte un éclairage essentiel sur l’actualité d’Internet et de ses enjeux. Il démontre de manière claire, synthétique et non partisane qu’Internet n’est pas un support figé et neutre. Il fournit des clés pour qu’Internet survive aux intérêts particuliers et reste un espace mondial.

Boris Beaude est chercheur au sein du laboratoire Chôros de l’École polytechnique fédérale de Lausanne. Il mène des recherches sur les modalités pratiques de l’interaction sociale et sur Internet comme espace contemporain d’information, de production, de collaboration et de transaction.

Les fins d’Internet de Boris Beaude.

Prix public TTC : 9,90 euros
Broché : 96 pages
Éditeur : FYP Editions
Collection : Stimulo
ISBN : 9782364051058
Parution : février 2014

 

Smartphone

DaVFI devient Uhuru

La solution de sécurité français baptisée DAVFI change de nom. C’est ce que nous apprend le communiqué de presse de Nov’IT, reçu à la rédaction. Le projet DAVFI, le démonstrateur d’Antivirus Français vient d’être rebaptisé UHURU. Uhuru est un mot Swahili qui signifie Liberté et Indépendance. D’après Nov’IT, cela correspondrait à l’ouverture de sa solution informatique. Le logo, un singe.

DAVFI reste le nom du projet de R&D financé pour partie par le Fonds national pour la Société Numérique (FSN). La version pour smartphones et tablettes sont baptisées Uhuru Mobile. Uhuru Mobile fonctionne sur les smartphones de dernière génération basés sur le système Android comme, Nexus, Samsung, Sony … Uhuru Mobile comporte un système d’exploitation sécurisé pour smartphones, tablettes et PC (sous Android) ; des modules de détection dynamique et comportementale de codes malveillants ; un magasin d’applications certifiées et donc installables sur les équipements ; des outils de validations des applications à intégrer au magasin ; une console centralisée de gestion de la flotte de terminaux. Uhuru Mobile, doit sécuriser les smartphones via du chiffrement des données, des conversations et des sms, ainsi que la protection contre les codes malveillants et l’exploitation de vulnérabilités.

Son modèle est notamment basé sur le contrôle d’intégrité de chaque application, il s’accompagne d’une librairie d’applications préalablement certifiées. La librairie dispose à ce jour plus de 450 applications. Toute entité pourra par ailleurs disposer de sa propre librairie ainsi que des outils de test et certification. Des efforts soutenus de R&D ont été réalisé pour l’évaluation des applications tierces, en vue de pouvoir proposer aux utilisateurs des applications de confiance. Certaines applications utilisent la géolocalisation sans réelle légitimité. Plutôt que de les exclure, Nov’IT a choisi d’intégrer un système envoyant de fausses informations de géolocalisation afin que l’utilisateur de soit pas tracé à son insu.

Uhuru Mobile sera présenté au salon Mobile World Congress 2014. Le consortium DAFVI va recevoir 5,5 millions d’euros de budget pour la R&D. Le consortium DAFVI regroupe : Nov’IT, L’école ESIEA, Qosmos, Teclib et DCNS Research.

Uhuru sera commercialisé à partir d’avril 2014. Nov’IT, à travers ses partenaires intégrateurs, proposera aussi une offre complète comprenant les téléphones avec l’OS installé, le magasin d’applications et les outils de gestion de la flotte mobile.

Linux, Virus

Java Bot, un code malveillant pour Windows, Mac et Linux

Un commentaire

Un code malveillant Java multiplateforme découvert. Il fonctionne sur Windows, Mac et Linux. Les chercheurs en sécurité de chez Kaspersky sont tombés nez-à-nez sur un malware multi-plateforme qui est capable de fonctionner sur Windows, Mac et Linux. Plutôt facheux. Le malware est entièrement écrit en Java. L’exploit utilisé pour ré-installer le code pirate est connu comme étant un Java exploit (CVE-2013-2465) qui rend la campagne malveillante complètement multi-plateforme. Une fois que le bot a infecté un système, il se copie dans le répertoire personnel de l’utilisateur. Il ajoute des programmes de maniére à ce qu’il démarre automatique au lancement de l’ordinateur. Une fois sa configuration automatisée terminée, le logiciel génère un identifiant unique et en informe son « propriétaire » de pirate. La machine se transforme en zombie. Bilan, le pirate n’a plus qu’à revendre son accès ou l’utiliser plus tard, en communiquant avec son robot, via IRC. Ce bot java sert avant tout dans des attaques de Dénis Distribuées de Services (DDoS). Toutes les machines fonctionnant sous Java 7.21, ainsi que les versions antérieures sont susceptibles d’être vulnérables à cette attaque. (Securlist)

Argent, Arnaque, Cyber-attaque, escroquerie, Piratage, Social engineering, Twitter, Vie privée

Piratage d’une compte Twitter estimé à 50.000 euros

Un internaute, propriétaire du compte Twitter N piraté via un social engineering bien préparé. Nous vous en parlons très souvent, le social engineering est la base du piratage informatique. Connaitre sa cible, son environnement, avant de s’attaquer à son informatique. C’est ce que vient de vivre l’ancien propriétaire du compte Twitter @N, Naoki Hiroshima. Son espace de micro blogging a été, d’après ses dires, très souvent sollicités pour être racheté. Des marketeurs lui auraient même proposé 50.000 dollars. Bref, une cible pour les pirates. L’un d’eux a pris la main sur la vie numérique de cet ancien de chez Google. L’idée, lui voler son compte @N. La méthode d’attaque : compromettre le Paypal, Facebook et GoDaddy du créateur de l’application Cocoyon et développeur d’Echofon. Le pirate a expliqué s’être fait passer pour un employé de Paypal pour récupérer les données bancaires de Naoki et récupérer quatre chiffres qui auraient donné l’occasion, ensuite, de valider son identité chez GoDaddy. « C’est difficile de dire ce qui est le plus choquant, le fait que PayPal donne les quatre derniers chiffres du numéro de ma carte de crédit par téléphone au pirate ou que GoDaddy l’accepte comme moyen de vérification ». Naoki a du fournir son compte Twitter @N au pirate afin de récupérer son compte, et ses sites web, gérés par GoDaddy. Depuis, Naoki a ouvert un nouveau Twitter baptisé @N_is_stolen, qui se traduit par N a été volé. (The Verge)

Justice, Virus

L’auteur de SpyEye jugé aux USA

L’auteur du code malveillant SpyEye jugé par l’Oncle Sam. Il connaitre son sort fin avril. SpyEye, un virus informatique qui avait infecté depuis 2009 pas moins de 1,4 millions de pc dans le monde. L’auteur, Aleksander Adreevich Panin, un russe connu sous le pseudonyme de « Gribodemon » et « Haderman » vient de plaider coupable devant un tribunal de Géorgie. Il est accusé d’avoir créé et diffusé SpyEye. Arrêté en juillet 2013, il a été invité aux USA par un faux « acheteur ». Il sera arrêté à l’aeroport d’Atlanta. Il faut dire aussi que l’Oncle Sam veut lui faire la peau. Sa création ayant volé des millions de données bancaires. Aleksander Adreevich Panin vendait sa création entre 1.000 et 8.500 dollars, selon les options. Le « SpyEye Daddy » connaitra son sort, soit plusieurs années de prison et une amende de plusieurs millions de dollars le 29 avril prochain. Dans le collimateur, aussi, un pirate algérien, Hamza Bendelladj, aka « Bx1 ». Son procés doit avoir lieu cette année.

Cyber-attaque, Leak, Piratage

Bell canada piraté

Un commentaire

Le groupe de pirates informatiques NullCrew revient sur le devant de la scène en mettant la main sur une base de données de Bell Canada. L’équipe Nullcrew est de retour ! Après plusieurs mois d’un étonnant silence, le groupe de pirates informatiques revient avec un piratage étonnant, celui de l’opérateur Bell Canada. D’après la NullCrew, une fuite de la base de données via le site bell.ca. Le fichier, diffusé sur un site qui a été fermé depuis l’annonce des hacktivistes, comporte des milliers de noms d’utilisateurs, adresses électroniques et mots de passe. DataSecurityBreach.fr qui a pu consulter le document des pirates confirme que les mots de passe en question n’étaient pas chiffrés… tout comme les données de cartes de crédit. « Allez comprendre, indiquent les pirates, les gens qui sont supposés offrir une connexion sécurisée à Internet ne peuvent pas eux-mêmes se sécuriser« .

 

Cyber-attaque, Fuite de données, Hacking, Leak

Nouvelle fuite de données bancaires aux USA

Un commentaire

La chaîne de magasins Michaels alerte ses clients sur une potentielle fuite de données à la suite d’un piratage. Les américains, il y a déjà plusieurs années, ont réfléchit à une loi obligeant les entreprises à alerter leurs clients d’une perte ou d’un piratage informatique ayant donné lieu à une fuite de données. Après Target, ZATAZ.COM vous en révélait le piratage début décembre de 70 millions de comptes clients, ou encore le spécialiste du luxe Neiman Marcus, voici le tour de la chaîne de magasins Michaels. Cette marque propose des produits pour les loisirs créatifs.

La direction vient d’annoncer qu’elle avait très certainement été visitée par un vilain pirate informatique. C’est, ici aussi, le système de paiement par carte bancaire qui a été visé. Les services secrets enquêtent. « Nous craignons que le système de protection des données de Michaels ait été attaqué, de telle manière que cela pourrait concerner les informations relatives aux cartes bancaires de nos clients, et nous avons entrepris une action énergique pour déterminer la nature et l’ampleur du problème« , déclare le directeur général de la chaîne, Chuck Rubin, dans un communiqué de presse.

 

Petites entreprises, grandes menaces : restez informés, restez protégés

Quitter la version mobile