Les abus de permissions des applications mobiles

Les utilisateurs octroient sans le savoir un accès aux fraudeurs en échange d’applications gratuites. Comme avez pu vous le montrer Data Security Breach et zataz.com lors du Forum International de la Cyber Sécurité 2013 (Fic20133 à Lille), les applications mobiles, surtout sous Android, peuvent cacher de véritable piège. McAfee a fait parvenir à la rédaction de datasecuritybreach.fr les résultats de son étude « Mobile Security: McAfee Consumer Trends Report – June 2013 ».

Celle-ci révèle les nouveaux moyens que les cybercriminels utilisent pour leurs méfaits et, notamment, comment ils détournent les permissions accordées aux applications mobiles pour commettre des fraudes et installer des logiciels malveillants. Le rapport de McAfee montre également que les jeux sont la forme la plus courante d’applications infectées par des malwares.

Datasecuritybreach.fr a constaté que, sous le camouflage d’applications « libres », les criminels sont en mesure d’amener les consommateurs à accepter des autorisations invasives qui permettent aux fraudeurs de déployer des logiciels malveillants. Les autorisations des applications gratuites, financées par les adwares, diffusent les informations personnelles des utilisateurs qui, par la suite sont utilisées par les réseaux publicitaires en vue de diffuser des annonces ciblées. Toutefois, McAfee a constaté que 26 % des applications sont probablement plus qu’un simple publiciel. Les arnaques par SMS et les exploits de rooting ont été parmi les types de menaces les plus populaires recensés à travers une variété d’applications.

Les escroqueries aux SMS surtaxés : un problème coûteux Le rapport a examiné Fake Installer, un morceau de malware SMS dissimulé dans une application gratuite qui peut envoyer jusqu’à sept messages. Avec un prix significatif de 4 $ US par message, cette application « libre » peut coûter jusqu’à 28 $ US lorsque le malware demande au mobile du consommateur d’envoyer ou de recevoir des messages à partir d’un numéro de SMS surtaxé.

Les fausses notes des applications : lire entre les étoiles Le logiciel malveillant Fake Installer a trompé les utilisateurs des Etats-Unis, d’Inde et de 64 autres pays, dont la France, en obtenant la note de 5 étoiles sur Google Play. A partir du moment où un développeur d’application est hautement noté, les autres applications qu’il publiera seront approuvées, créant ainsi beaucoup plus d’opportunités pour les criminels de publier et de diffuser des applications porteuses de logiciels malveillants.

Des applications malveillantes par catégorie : les jeux en tête de liste Le rapport de McAfee a également identifié les applications les plus populaires contenant des logiciels malveillants. Sur les 20 premiers téléchargements d’applications de programmes malveillants, les jeux ont remporté le concours de popularité, suivis par les applications de personnalisation. Viennent ensuite, à égalité, les outils applicatifs, les applications musicales, de style de vie (une catégorie de couverture pour les contenus pour adultes) et de télévision.

L’éditeur AVG a publié, début juillet, un outil qui permet de suivre les données diffusées par les applications, et éradiquer des mobiles les intrus.

CryptoCat mal sécurisé durant 1 an

L’outil de chiffrement de conversation en temps réel, CryptoCat, fonctionne sous Firefox. Une application que nous vous présentions, il y a peu, sur DataSecurtyBreach.fr. Depuis quelques jours, l’outil est « enfin » sécurisé de manière efficace. Il faut dire aussi que depuis le 17 octobre 2011, l’outil d’anonymisation des conversations avaient des problèmes dans ses clés de chiffrement.

L’information vient de Steve Thomas. Le codeur a découvert comment Cryptocat sécurisait mal les conversations, laissant des potentialités d’interceptions non négligeables. Jusqu’au 15 juin dernier, ou les sécurités et clés de chiffrement ont été renforcées de manière efficace, il était possible, avec plus ou moins de moyen, de cracker les conversations. « Le bug aura duré 347 jours, a pu lire dataSecuritybreach.fr de la main de Steve Thomas. Cela a rendu les clés privées ECC ridiculement petites. Le système de clé publique de Cryptocat est maintenant sécurisé… après avoir été mauvais depuis quasiment le début. » L’auteur de l’analyse suggère tout de même de ne pas utiliser Cryptocat « On ne sait pas combien de temps le système de chiffrement va résister« . Dommage que Steve Thomas n’ait pas apporté son savoir pour aider ce projet open source et gratuit.

VPN Persona non grata pour Visa et MasterCard

Le fondateur d’iPredator, un service de VPN qui permet de sécuriser et anonymiser ses connexions sur la toile, Data Security Breach vous vantait dernièrement l’intérêt des VPN, vient d’annoncer sur son blog que Visa et MasterCard interdisait toutes utilisation d’iPredator. Peter Sunde, propriétaire d’iPredator, et cofondateur de Pirate Bay, explique que les internautes qui souhaitent payer via ses deux solutions de paiement ne peuvent plus le faire. La société PaySon, qui se charge des transactions bancaires lui aurait indiqué que Visa et MasterCard interdisaient dorénavant les paiements pour des services VPN et autres systèmes d’anonymisation.

Le site Torrent freak, qui diffuse le courriel reçu par Payson, montre que les deux sociétés de paiement se sont aussi attaqués aux revenus des sociétés Anonine, Mullvad, VPNTunnel et Privatvpn. Bref, les deux entreprises américaines refont le coup de Wikileaks en bloquant les possibilités d’achats par leur biais. Un moyen pour le FBI et les services de renseignements américains de contrer, encore un peu plus, les fraudes et le black market ; ou est-ce une nouvelle méthode des majors de combattre les contrefacteurs de films, logiciels, albums de musique en les empêchant d’exploiter des moyens de rendre anonymes leurs actions.

C’est malheureusement mal connaitre ce milieu qui peut utiliser d’autres moyens de paiement comme PaySafeCard, des services téléphoniques surtaxés ou encore BitCoin.

Trois français sur 10 ont perdu des données stockées dans le cloud en 2012

Aujourd’hui, de nombreuses entreprises migrent vers des plates-formes de cloud computing pour bénéficier des avantages concurrentiels inhérents aux gains qui en découlent en matière de vitesse, d’agilité et de flexibilité. Selon l’enquête Avoiding the Hidden Costs of the Cloud – 2013 publiée en janvier 2013 par Symantec, Datasecuritybreach.fr vous en parlait à l’époque, 86 % des entreprises françaises en sont au moins à discuter de cloud computing, 79 % pour les PME.

Une mauvaise utilisation du cloud computing peut en revanche se révéler désastreuse pour les entreprises qui peuvent voir leurs coûts augmenter ou observer des pertes d’informations ou de données. En France, 33 % des entreprises ont perdu des données stockées dans des clouds et 70 % ont été confrontées à des échecs de restauration. C’est du moins ce qu’indique ce rapport. 70 % des entreprises françaises ont expérimenté des déploiements non-autorisés et non-gérés d’applications de cloud computing ; parmi elles, 40 % ont été confrontées à des problèmes de divulgation d’informations confidentielles et plus d’un quart à des problèmes de prise de contrôle de comptes, de dégradation de ressources Web ou de vols de produits ou de services.

Des données diffusées au sujet de Vinci construction

Un pirate informatique du nom de Lewis, du groupe SamouraiZ, a diffusé il y a quelques jours un document reprenant ce qui semble être un Pentest, une analyse de faille, sur le site de Vinci Construction. Des informations techniques (certificats, clés de chiffrement, XSS) et l’annonce de failles dans des espaces web du géant français de la construction. Au moment ou la planète se penche sur l’espionnage des entreprises, cette diffusion « underground » est assez étonnante. Le bidouilleur n’a cependant pas fourni (sauf via des captures écrans, ndlr datasecuritybreach.fr) les méthodes d’actions.

Pas de doute, cependant, que des entités de veilles (guerres) économiques seront capables de reproduire les découvertes du bidouilleur. Pour rappel, la loi Française considère les « pentests » sauvages comme des attaques informatiques. Les risques judiciaires sont importants : de 3 à 7 ans de prison ; jusqu’à 350.000 euros d’amende.

La banque européene du don de sperm piratée

Data Security Breach vient d’apprendre que la base de données de la banque européenne du don de sperme avait été piratée. Plusieurs milliers d’utilisateurs diffusés sur la toile. L’European Sperm Bank, une banque dédiée à la collecte de spermatozoïde vient d’être piratée par deux internautes connus sous les pseudonymes de Dz-PARO et AngryBird de la Phenomenal Crew. Une injection SQL qui a permis aux deux bidouilleurs de mettre la main sur une base de données impressionnantes contenant les identifiants de connexion des utilisateurs (emails, mots de passe en md5, téléphones et pseudonymes). Les deux bidouilleurs ont communiqué à la rédaction de zataz.com l’exploit qui a ouvert l’accès à la base de données de la BSB. La rédaction de zataz.com a alerté cette entreprise. Dommage que les deux grey hats aient diffusé les données dans un espace web que nous ne fournirons pas ici. Data Security Breach, qui a pu consulter les données diffusées par les pirates a pu constater une dizaine de français dans le fichier mis en ligne par les deux « visiteurs ».

Watch dogs : Ubi Soft attaqué par de vrais pirates

Des pirates informatiques ont mis la main, voilà quelques semaines, sur une faille de type injection SQL qui leur aurait permis de consulter la base de données de comptes d’utilisateurs de l’éditeur de jeu. Ubisoft recommande à ses utilisateurs de changer leur mot de passe par sécurité.

Le créateur de « Assassin’s » ou encore du très attendu Watch dogs affirme que la sécurité d’un de ses sites internet (Uplay) avait été compromise. Un audit a permis de démonter que des données de la base de données avaient été consultées. Data Security Breach ne sait pas si les informations (noms d’utilisateurs, adresses courriel et mots de passe [MD5]) ont été copiées et diffusées par le pirate.

Voici le courriel envoyé par UBI Soft. « Cher Membre, Nous avons récemment découvert que la sécurité d’un de nos sites Internet avait été compromise, permettant d’accéder à certains de nos systèmes en ligne sans autorisation. Nous avons immédiatement pris les mesures nécessaires pour supprimer cet accès, enquêter sur cet incident et restaurer la sécurité des systèmes touchés. Pendant cette procédure, nous avons appris que des données avaient été illégalement consultées depuis notre base de données de comptes. Ces données incluent des noms d’utilisateurs, des adresses e-mail ainsi que des mots de passe cryptés. Sachez qu’aucune information de paiement n’est stockée chez Ubisoft : vos informations bancaires ne sont donc pas concernées par cette intrusion. En conséquence, nous vous recommandons de changer le mot de passe de votre compte : datasecuritybreach.fr. Par mesure de précaution, nous vous recommandons aussi de changer vos mots de passe sur les autres sites Internet ou services où vous utilisez un mot de passe identique ou proche. Veuillez accepter nos sincères excuses pour cet incident. Soyez assurés que votre sécurité reste notre priorité. »

HackNowledgeContest Lille

Vous avez pu suivre, en direct, le HackNowLedge Contest Lille. Conférences et concours de Hacking Ethique au sein d’Euratechnologie. En voici les meilleurs moments.

C’est au cœur de la métropole Lilloise, à Euratechnologie, futur berceau de la recherche IBM (700 emplois annoncés), que le HackNowLedge Europe/Africa a déposé ses machines pour son édition Française. Après la Côte d’Ivoire, le Maroc, la Belgique, et avant la Tunisie, l’Espagne, l’Algérie, le Congo et la grande finale, en décembre en France, le HNE fait étape dans la capitale Flamande. Conférences, cours (Forensic, …) et concours d’Ethical Hacking. Suivez, en temps réel avec ZATAZ.COM, DataSecurityBreach.fr et sur Twitter, jusqu’à 22 heures, ce grand rendez-vous mis en place par l’association ACISSI.

12 Heures – Une centaine de concurrents face à 72 épreuves.

15 Heures – Belle ambiance. Les conférences et les cours attirent du monde

16 Heures – Il reste 6 heures de compétition. Pour le moment, les meilleurs ont 4510 points.

18 Heures – D’excellentes conférences, dont celle de Juan Ricardo, étudiant mexicain à la CDAISI.

Le chercheur est revenu sur le réseau GSM et  la confiance au BTS de votre opérateur téléphonique ?

21 Heures – H – 1 avant la fin du concours.

22 Heures – Fin du concours. Les vainqueurs, la team Tontons Fappeurs (Impressionnante d’efficacité).

Opération Pangea VI

L’opération internationale « PANGEA VI », destinée à lutter contre la vente illicite de médicaments sur Internet, a impliqué cette année 99 pays dont la France. Cette opération s’est déroulée du 18 au 25 juin 2013 et a donné lieu à des arrestations dans le monde entier ainsi qu’à la saisie de milliers de médicaments potentiellement dangereux.

812 349 médicaments de contrebande et de contrefaçon ainsi que 138,7 litres et 641,5 kg de produits pharmaceutiques divers saisis par la Douane. – 114 sites illégaux de mise en ligne de médicaments identifiés par l’ OCLAESP, l’ OCLCTIC et le STRJD, dont 29 rattachés à la France qui ont fait ou font l’objet de procédures judiciaires. 85 sites hébergés à l’étranger ont été communiqués aux pays concernés pour enquête. Les analyses réalisées par Cyberdouane ont permis d’identifier 89 cibles potentielles d’investigations (sites internet illégaux, réseaux sociaux, blogs).

29 procédures judiciaires réalisées par les gendarmes et les policiers conduisant à 29 auditions de suspects, perquisitions et saisies de matériels informatiques aux fins d’analyses et poursuites d’enquêtes. 17 enquêtes sont encore en cours et 12 ont entraîné des décisions de justice et des peines allant du rappel à la loi à 12 mois de prison avec sursis. Le Service National de Douane Judiciaire (SNDJ) a été chargé de 10 enquêtes judiciaires dont une en co-saisine avec l’OCLAESP. Ces ouvertures d’enquêtes portent notamment sur des filières de produits dopants, des produits cosmétiques interdits et des anabolisants. Une enquête judiciaire a été ouverte concernant un détournement de Subutex destiné à l’Italie.

Les enquêteurs du groupement de gendarmerie départemental du Rhône et le Service National de Douane Judiciaire (SNDJ) ont collaboré pour démanteler un trafic de produits dopants opérant sur le territoire français et mettant en cause 25 personnes. Au cours des interpellations et des perquisitions, 150 flacons de marchandises prohibées et plus de 3000 comprimés ont été saisis.

Les infractions principalement visées sont d’une part l’exercice illégal de la profession de pharmacien (sanctionné de 2 ans d’emprisonnement et 30 000 € d’amende) et l’exercice illégal de la profession de médecin via Internet, (infraction visée par l’article L.6316-1 du code de la santé publique encadrant les actes de la télémédecine) et d’autre part la fabrication, l’offre à la vente, la vente et la détention de médicaments falsifiés (sanctionnées de 3 à 7 ans d’emprisonnement et d’amendes d’un montant allant jusqu’à 750 000 €).

En achetant sur Internet, les consommateurs s’exposent à recevoir des médicaments dont la qualité n’est pas garantie, dont la provenance et les circuits empruntés sont inconnus et dont le rapport bénéfice/risque n’est pas évalué. Les médicaments proposés sur Internet peuvent contenir des substances actives non mentionnées sur l’étiquetage ou à des teneurs déficitaires, être périmés ou altérés par des conditions de stockage ou de transports inadaptées. Selon l’OMS, environ 50% des médicaments vendus sur Internet seraient des contrefaçons.

Outre les contrefaçons de médicaments, un grand nombre de produits falsifiés circule sur le web : pseudo médicaments génériques non autorisés en Europe, pseudo compléments alimentaires répondant à la définition du médicament de par leur composition ou leur indication (tels certains produits du dysfonctionnement érectile ou à visée amaigrissante), ou pseudo médicaments à base de plantes médicinales.

L’ANSM rappelle que l’achat de médicaments sur Internet hors du circuit légal comporte de nombreux risques pour la santé des consommateurs et peut favoriser le mauvais usage des médicaments. Seul le circuit des pharmacies d’officine est régulièrement contrôlé par les autorités sanitaires.

Citadel, WinSpy, Zeus … La fuite du code source de Citadel annonce des jours sombres sur Internet ?

Citadel, WinSpy, Zeus … La fuite du code source de Citadel annonce des jours sombres sur Internet ? Il nous aura fallu pas moins de 4 jours pour décortiquer le contenu d’un fichier zip dédié au code malveillant Citadel. 1.9 Go de données diffusées sur certains espaces underground russes.

Un fichier zip comprenant le code source de l’outil pirate Citadel mais aussi des dizaines d’autres outils pirates et malveillants. Nous ne parlons pas de l’analyse technique, qui demande beaucoup trop de ressources, mais uniquement de chaque code source, images, textes, exécutables.

Deux gros dossiers. Le premier avec les codes source de Citadel (source builder plugins). Un seconde dossier, comportant 57 répertoires (ayant eux mêmes des centaines de codes, outils, …) et 53 fichiers rar ou bruts de décoffrage avec autant de la malveillance numérique à revendre.

Un monstre informatique proposant Loader Hook (un keylogguer) ; Zeus 2.0.8.9 ; WinSpy 17 sans parler de mystérieux fichiers textes traitant d’un certain Igor. Sans parler de cet outil qui permet d’envoyer des SMS via Skype, sans parler de ces outils d’OCR capable de retranscrire les textes vues à l’écran ou dans de simples images ; un pack dédié à BitCoin ou encore des exploits pour Windows Seven. A noter aussi une série de ver, des worms (comme Blacj JW, ndlr zataz.com) avec code source et exécutables.

Citadel, WinSpy, Zeus … La fuite du code source de Citadel annonce des jours sombres sur Internet ? L’augmentation des attaques constatées ces derniers jours n’annonce rien de bon cet été !

Petites entreprises, grandes menaces : restez informés, restez protégés

Quitter la version mobile