Archives par mot-clé : hack

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, Patch, Piratage

PowerMemory, l’outil qui contre les faiblesses de Windows Active Directory

Un jeune Belge, aujourd’hui basé au Canada, a inventé PowerMemory, un outil qui a pour mission d’empêcher que Windows Active Directory diffuse vos identifiants de connexion aussi simplement qu’un clic de souris.

Pierre-Alexandre Braeken travaille dans l’ingénierie des systèmes depuis plus de 11 ans. Il est aujourd’hui architecte technologique. Cet informaticien  certifié MCITP SA, MCSA 2008/2012 ou encore MCSE 2012 a comme domaine de spécialité l’architecture des systèmes et les domaines d’entreprise Active Directory. A noter qu’il est open cfp pour la conférence infiltrate de Miami. Il a développé une expertise particulière autour de la sécurité de ces systèmes et développe des outils pour prouver les idées qu’il avance. J’ai rencontré l’auteur de PowerMemory lors du HackFest Canada 2015, l’outil qui a pour mission d’empêcher que Windows Active Directory diffuse vos identifiants de connexion. Interview !

DataSecurityBreach. Qu’est ce que PowerMemory ?  

Pierre-Alexandre Braeken. PowerMemory est un outil utilisé dans des audits de sécurité de domaine Windows Active Directory. PowerMemory permet de vérifier les faiblesses de ces domaines pour les corriger. Une de ses fonctionnalités phares est la révélation des mots de passe Windows directement depuis la mémoire. Son fonctionnement est totalement nouveau puisqu’il est indépendant de l’architecture ciblé et qu’il ne fait pas appels aux fonctions de Windows pour trouver les mots de passe et pour les déchiffrer. De plus il utilise le langage de script PowerShell qui fait partie intégrante du noyau de base depuis Windows 7. [Lire l’interview du chercheur enseignant Français Jérôme Ridet au sujet de la faille PowerShell capable de faire tomber la sécurité d’un système en 5 secondes]

DataSecurityBreach. Type de failles ?

Pierre-Alexandre Braeken. PowerMemory démontre à quel point il est désormais simple de récupérer les mots de passe de n’importe quel système Windows. Il peut récupérer les mots de passe stockés dans la mémoire locale d’un système, mais également à distance. La faille met en évidence que PowerMemory est capable de révéler des mots de passe sans être administrateur d’une machine. En effet, il peut révéler les mots de passe de machine virtuelle depuis le crash d’une machine (Blue Screen Of Death = BSOD) mais également à partir d’un snapshot de machine virtuelle. Ce qui veut dire qu’un simple opérateur d’un environnement virtualisé pourrait avoir plus de droit que l’administrateur même du domaine.

Ce type de faille pourrait mener à des scénarios d’attaque d’un domaine qui permettrait à une personne mal intentionnée, depuis l’extérieur, de récupérer d’abord des accès de plus faible niveau pour ensuite remonter toute la hiérarchie des systèmes et atteindre en bout de course le Saint-Graal représenté par un contrôleur de domaine. Dès ce moment, tout le système d’entreprise s’effondre en termes de sécurité et le réseau entier n’appartient plus aux administrateurs de l’entreprise mais bien au pirate informatique.

DataSecurityBreach. Comment est-ce possible qu’une telle possibilité n’ait pas été « pensée » par Microsoft ?  
Pierre-Alexandre Braeken. J’ai prévenu Microsoft du résultat de mes recherches. Ils ne considèrent pas ceci comme une faille de sécurité. Néanmoins, quelques jours après le report complet de mes travaux, l’outil RWMC (qui révèle les mots de passe) faisant partie de la suite d’audit PowerMemory a été catégorisé officiellement par Microsoft comme un « hacktool » de niveau d’alerte « medium ».

Le problème pour Microsoft est que la façon dont ils ont conçu leur système les empêche de donner une solution applicable pour les entreprises pour tous les systèmes d’exploitation jusqu’à windows 2012R2 compris. Pour Windows 10 (seulement dans sa version professionnelle) et 2016, les choses changent puisque Microsoft a créé un nouveau système pour protéger les mots de passe stockés en mémoire. On parle de Trustlets tournant dans un environnement isolé. Pourquoi Microsoft ne protège pas ses clients tournant sur des systèmes d’exploitation non supporté ? Je pense que ceci demande des changements si majeurs au système de fonctionnement du noyau que Microsoft n’est pas prêt à apporter de changements sur des systèmes qui risquent encore d’être présent dans 15 ans…

DataSecurityBreach. Comment s’en protéger ? 

Pierre-Alexandre Braeken. Il est nécessaire d’adopter de bonnes pratiques en matière de gestion de parc informatique. Le sujet est vaste et il n’est pas évident de se protéger de ce genre d’attaque. Des gens comme Sean Metcalf (Master Active Directory, moins de 100 dans le monde) abordent le sujet de façon régulière (dont Black Hat 2015). J’ai également rédigé plusieurs documents que je compte bientôt publier sur mon blog.  J’ai également créé l’outil PowerMemory dans le but de faciliter le travail de la sécurité. L’objectif est de détecter les failles afin d’apporter des solutions qu’une entreprise peut mettre en place.  De plus, j’ai également développé un outil qui détecte la méthode utilisée par PowerMemory pour révéler des mots de passe.

DataSecurityBreach. Vous présentez votre solution aux entreprises, comment réagissent-elles ?
Pierre-Alexandre Braeken. Elles ont d’abord beaucoup de mal à comprendre les implications. En effet, les enjeux sont extrêmement importants et les réactions en conséquence. Les mots ahurissant et impressionnant ressortent souvent.  Même avec l’évidence, il est difficile pour les grandes entreprises de modifier leurs processus afin de se protéger de ce genre d’attaque.  Mon rôle consiste à les avertir et à les aider à trouver des solutions pour se protéger sans pour cela casser son modèle.

Argent, Arnaque, Cyber-attaque, Cybersécurité, escroquerie, Espionnae, Mise à jour, Particuliers, Patch, Piratage

Les internautes allemands confrontés à des publicités malveillantes

Les clients du Fournisseur T-Online et du site eBay visés par des publicités malveillantes. Un cheval de Troie était installé dans les ordinateurs des victimes.

Sale ambiance, fin de semaine dernière, pour des milliers d’internautes allemands. Des pirates informatiques ont réussi l’infiltration d’une importante régie publicitaire locale, MP NewMedia. Lors de cette intrusion, les malveillants ont fait de manière à afficher de fausses annonces sur d’importants sites web (boutique, presse, …).

Parmi les diffuseurs involontaires d’un cheval de Troie, le fournisseur d’accès à Internet T-Online ou encore eBay. Dans le cas du FAI, dès qu’un visiteur souhaitait se rendre sur son compte mail, une message lui proposait de télécharger un logiciel. Derrière le programme, un code malveillant d’espionnage ! Tous les clients ayant visité T-Online, du vendredi 16 octobre au dimanche 18 octobre ont pu être compromis.

Prudence, il y a de forte chance que les pirates se soient attaqués à d’autres régies publicitaires. (MalwareBytes)

Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Le pirate de JPMorgan Chase s’est attaqué à d’autres sociétés

Le pirate informatique qui s’est attaqué à la banque JPMorgan Chase a aussi visé, avec plus ou moins de succés, Citigroup, E*Trade Financial Corp, Automatic Data Processing et Regions Financial Corp.

Si certaines structures n’ont pas confirmé cette affirmation de plusieurs enquêteurs qui ont souhaité  rester anonyme, des entreprises comme E*Trade Financial Corp ont confirmé avoir été attaquées en 2013 par ce qui semble être le même pirate que la banque JPMorgan.

En 2014, ETCF avait indiqué ne pas savoir si des données clients avaient été impactées. Deux ans plus tard, voici la confirmation de cette infiltration. Au moins 31 000 clients de la structure bancaire ont été alertés d’une violation de leurs données. Les pirates ont pu avoir accès aux noms et e-mails des clients, ainsi que les adresses physiques de ces derniers. Il n’y a « aucune preuve que toutes les informations des comptes clients, y compris les mots de passe, numéros de sécurité sociale, ou des informations financières eurent été compromises » indique le communiqué de presse de la banque.

Un détail dés plus déroutant. Il est pourtant assez simple de savoir ce que les pirates ont pu lire, copier… Toutes les données contenues dans la base de données compromise ont été accessibles.

Android, Cybersécurité, Logiciels, Mise à jour, Patch, Smartphone, Social engineering

Mp3 et Mp4 dangereux pour Android

Deux nouvelles failles découvertes dans Android pourraient malmener téléphones et tablettes via la lecture de Mp3 et Mp4 modifiés.

La société Zimperium mobile Threat Protection avait découvert, en avril 2015, un problème de sécurité dans la bibliothèque Stagefright sous Android. Joshua J. Drake, responsable des recherches a poursuivi son étude sur le traitement des médias par Android. Son enquête sur les attaques à distance l’a conduit à une nouvelle découverte.

Stagefright 2.0 est un ensemble de deux vulnérabilités qui se manifestent lors du traitement de fichiers MP3, ou de fichier vidéo MP4. La première vulnérabilité impacte presque chaque appareil Android depuis la version 1.0 sortie en 2008. Des méthodes pour déclencher la 1ére vulnérabilité avaient été découvertes pour Android version 5.0 en exploitant la seconde faille.

Google a notifié la faille CVE-2015-6602 et a indiqué qu’elle serait corrigée la semaine prochaine. « Nous prévoyons de partager des informations pour cette deuxième vulnérabilité dès que possible » souligne Zimperium.

La faille touche le traitement des fichiers MP3 et/ou MP4 spécialement conçus par un pirate, pouvant entraîner l’exécution d’un code arbitraire, comme le téléchargement d’un logiciel espion…

Argent, Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Piratage, Social engineering

Nouveau piratage chez un important courtier

Le courtier américain FXCM vient d’avouer le piratage de son informatique. Le pirate aurait orchestré des transferts d’argent appartenant à des clients.

FXCM, un spécialiste des opérations de changes a confirmé jeudi le piratage informatique de ses serveurs. Le pirate en a profité pour faire des transactions avec l’argent de certains clients du courtier américain. « FXCM a identifié un petit nombre de transferts non autorisés depuis les comptes de ses clients » indique le courrier envoyé au département de la justice américaine.

Tout a débuté par un chantage numérique. Le pirate a écrit à FXCM indiquant avoir eu accès à des informations sensibles appartenant à ses clients. Il a été conseillé à ces derniers de changer leur mot de passe.

L’OCDE, l’Organisation de Coopération et de Développement Economiques, a appelé ce jeudi les patrons d’entreprises à traiter les risques liés à la sécurité informatique comme un risque économique. Pour preuve, FXCM a perdu le quart de sa valeur après l’annonce de ce piratage. (WSJ)

Apple, Cybersécurité, Espionnae, ID, Identité numérique, ios, Logiciels, Mise à jour, OS X, Particuliers, Patch, Smartphone

Contourner iOS 9 LockScreen en 30 secondes

Utiliser SIRI pour contourner l’écran de verrouillage des nouveaux appareils d’Apple fonctionnant sous iOS9.

Une faille de sécurité a été découverte dans le nouvel OS d’Apple, iOS 9, sorti en septembre. Il permet d’exploiter Siri afin de contourner l’écran de verrouillage des téléphones et autres tablettes de la grosse pomme. Le « truc » permet d’accéder aux contacts et aux photos stockées dans l’appareil en 30 secondes. La faille n’est toujours pas corrigée dans la mise à jour 9.1.

La firme de Cupertino a annoncé que plus de 50% des appareils ont été mis à jour

La faille est d’une simplicité enfantine. Il est même étonnant qu’aucun test interne n’eut été réalisé face à ce genre de « bug ». Comment cela marche ? D’abord faire 4 erreurs lors de la demande de votre mot de passe. Attention, au bout de 5 tentatives, votre téléphone sera bloqué. Une protection classique. Dans cette 5ème tentative, tapez trois chiffres et laissez le dernier espace vide. Cliquez sur le bouton « Home » et fournissez un 4ème chiffre aléatoire. L’appareil sera bloqué, mais SIRI sera lancé. Demandez l’heure à Siri et cliquez sur l’îcone « Horloge ». Rajoutez une nouvelle horloge en cliquant sur +. Enregistrez cette horloge avec le nom de votre choix. Sélectionnez l’option « Partagez », ouvrez un nouveau message. Dans le champ « À », ouvrez la page info… et vous voilà avec un accès complet aux contacts et photos stockées dans le téléphone !

Pour éviter ce désagrément à la sauce « Big Brother », allez dans « paramètres », puis « code d’accès », sélectionnez l’option « Autoriser lors du verrouillage ». Bloquez l’accès à Siri quand l’accès à votre téléphone est bloqué par un mot de passe.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering

600.000 fans des sœurs Kardashian piratables

Les starlettes américaines Kardashian ont lancé une série de nouveaux sites web et applications mobiles afin de suivre « leur vie ». Seulement, comme le botox, le site web s’est tendu et a laissé fuir 600.000 informations privées de fans.

Parallèlement au lancement des applications mobiles, des logiciels qui trônent dans les premières places de l’App Store (des centaines de milliers de téléchargements), les sœurs Kardashian, des « célébrités » de la TV réalité américaine, ont également mis en ligne de nouveaux sites Web conçus pour les aider à mieux communiquer avec leurs fans.

Seulement, les sites avaient des bugs. L’un d’eux permettait de mettre la main sur les noms, prénoms et adresses mails de plus de 600.000 utilisateurs. C’est un jeune internaute de 19 ans, Alaxic Smith, qui a découvert le problème de configuration qui visait l’ensemble des sites Internet des starlettes. Le problème était dans l’API qui communiquait avec les smartphones des « fans » et les sites web des Kardashian. Des informations qui transitaient en claires.

Le responsable « technique » de ce barnum informatique a confirmé la faille et la correction de cette dernière. « Nos journaux indiquent que personne d’autre a eu accès aux informations des utilisateurs, les mots de passe, et les données de paiement n’ont pas été impactés« .

Cybersécurité

Piratage : +197% pour le Brésil

Le Brésil, un nid à pirates depuis plusieurs années. En 2014, les attaques ont augmenté de 197%.

Depuis plusieurs années, le Brésil est devenu l’un des pays à pirates le plus couru du web. Défaceurs, phishing, cartes bancaires, piratage de consoles de jeux, bref, il y en a pour tous les goûts. Le pays se classe au deuxième rang mondial de la fraude bancaire en ligne et des logiciels malveillants. Il faut rappeler les nombreux « camps » d’entrainements numériques ou encore le départ de l’attaque ayant visé TV5 Monde, il y a quelques mois.

Il semble que ce piratage ne fasse qu’empirer. Selon des sources officielles, le nombre de cyberattaques dans le pays a augmenté de 197% en 2014, et la fraude bancaire en ligne, +40%. Le coût de la cybercriminalité sur l’économie brésilienne est clair. Un rapport affirme que le vol de données au Brésil a représenté 4,1 milliards $ à 4,7 $ de pertes en 2013. Selon RSA, l’équivalent de 3,75 milliards $ aurait été piraté de la Boleto Bancario, une méthode de paiement géré par la Fédération brésilienne des banques. Cela équivaut à environ 495.000 transactions impliquant 30 banques et affectant plus de 192.000 victimes. Bref, comme un peu partout, les banques restent muettes et le public est laissé dans un silence criminel.

Le document que le Cert Brésil montre que 0,95% des attaques ayant visé le pays provenait de France. La Chine et les USA se partagent quasiment 14% des malveillances. 75,38% des attaques sont internes au pays. Cependant, rien n’empêche un Français de passer par la Chine pour infiltrer un ordinateur Brésilien pour attaquer une banque locale.

L’Union Internationale des Télécommunication (ITU) classe le Brésil en 5ème place des pays ayant le plus conscience des problèmes liés au cyber crime. On ne doute pas une seconde de la capacité du gouvernement à comprendre les enjeux du cyber crime, pour preuve, il était eux même client de l’entreprise Hacking Team, commerçant de logiciels d’espionnages. (FA)

Chiffrement, cryptage, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, ID, Identité numérique, Justice, Leak, Particuliers, Phishing, Piratage, santé, Social engineering, Vie privée

Piratage pour l’UCLA : 4,5 millions de patients dans la nature

La semaine dernière, dans l’émission 25 (Saison 4) de ZATAZ Web TV, je poussais un petit coup de gueule sur nos informations mal menée par les entreprises qui nous les collectent et par les pirates qui louchent dessus. Nouvel exemple en date, aux USA, avec le piratage de 4,5 millions de patients de l’UCLA, l’Hôpital de l’University of California.

Des pirates informatiques se sont invités dans le réseau hospitalier de l’Université de Californie, Los Angeles. Ils ont pu accéder à de nombreux ordinateurs et collecter pas moins de 4,5 millions de dossiers sensibles de patients, élèves, enseignants, personnels administratifs. Parmi les informations volées : Noms, information médicale, numéros de sécurité sociale, numéros d’assurance-maladie, ID de plan de santé, les dates d’anniversaires et les adresses physiques. Des informations « potentiellement » volées, selon l’université. Cela pourrait toucher toutes les personnes ayant visité – ou travaillé – dans les services médicaux de l’université UCLA. Un vaste secteur qui comprend quatre hôpitaux et 150 bureaux à travers le sud de la Californie. UCLA Santé a alerté le département de la justice américaine. L’attaque aurait été découverte voilà 2 mois, le 5 mai 2015. (Fox)

backdoor, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage

Confirmation du piratage du Bundestag

L’assemblée parlementaire Allemande, le Bundestag, piratée. Un cheval de Troie infiltré dans des machines.

Un porte-parole de la chambre basse du Parlement allemand, le Bundestag, a confirmé que des pirates avaient réussi à s’infiltrer et à voler des données après le piratage d’ordinateurs appartenant à l’assemblée parlementaire Allemande. Une attaque qui aurait débuté en mai. L’infiltration n’a été détectée que deux semaines plus tard.

Les détails ne sont pas claires quant aux services touchés par ce piratage. Un cheval de Troie a été découvert. Il aurait permis les actions malveillantes (vols de données ? rebond pour DDoS sur d’autres sites ? Espionnage ?).

Autant dire qu’un employé a très bien pu cliquer sur un lien en visitant un site pour adultes, télécharger un torrent moisi ou reçu un courriel piégé.  (DW)