Archives de catégorie : Espionnae

APPLE AVERTIT LES ARMÉNIENS DE TENTATIVES DE PIRATAGE SOUTENUES PAR L’ÉTAT

27 novembre 2023 Damien Bancal

Récemment, Apple a envoyé des alertes à ses clients en Arménie, les informant que leurs téléphones sont ciblés par des pirates informatiques soutenus par un État.

Le logiciel d’espionnage Pegasus est-il caché derrière l’alerte lancée par Apple, au début du mois de novembre, à l’encontre de plusieurs personnalités Arméniennes ? CyberHUB, une organisation arménienne de droits numériques qui enquête sur ces incidents, a observé une augmentation constante des infections par logiciels espions dans le pays au cours des deux dernières années. De nombreuses infections seraient liées au gouvernement azerbaïdjanais, connu pour son histoire conflictuelle avec l’Arménie, en particulier concernant la région contestée du Haut-Karabakh.

« Dans le cas de l’Arménie, ces avertissements signifient que le téléphone a été infecté par le logiciel espion Pegasus« , a déclaré Samvel Martirosyan, co-fondateur de CyberHUB, faisant référence à l’outil de surveillance développé par la firme israélienne NSO Group et vendu à des gouvernements du monde entier. NSO Group qui a demandé, il y a quelques jours, une demande de réunion avec la Maison Blanche pour expliquer l’importance de son outil lors du conflit entre Israël et le Hamas. Une entrevue, demandée par l’avocat de l’entreprise, qui indique d’ailleurs un élément important : le gouvernement israélien semble cautionner et utiliser Pegasus.

Bien qu’Apple n’ait pas précisé le logiciel espion utilisé ni identifié les responsables du piratage, il existe certaines preuves que la dernière vague d’infections a utilisé Pegasus, selon Natalia Krapiva, conseillère juridique et technologique chez Access Now, une organisation à but non lucratif pour les droits numériques. Cependant, elle souligne qu’il est difficile de le savoir avec certitude tant que l’enquête est en cours. Martirosyan a indiqué que le logiciel espion a probablement été installé sur ordre du gouvernement azerbaïdjanais. Pendant la guerre entre l’Arménie et l’Azerbaïdjan en 2020, le logiciel espion Pegasus a été utilisé pour cibler des journalistes, des militants, des fonctionnaires gouvernementaux et des civils arméniens. Bien que l’identité des pirates derrière ces attaques reste floue, des chercheurs suggèrent que l’Azerbaïdjan est l’un des suspects potentiels.

Le Citizen Lab de l’Université de Toronto a identifié au moins deux opérateurs présumés de Pegasus en Azerbaïdjan qui ont ciblé des individus à l’intérieur comme à l’extérieur du pays. Krapiva est également d’avis que « le suspect probable est l’Azerbaïdjan », en raison de son histoire avec Pegasus et de ses liens étroits avec Israël. Les tensions entre l’Arménie et l’Azerbaïdjan sont élevées et ont atteint un point critique en septembre lorsque l’Azerbaïdjan a lancé une offensive militaire à grande échelle au Haut-Karabakh, violant ainsi un accord de cessez-le-feu de 2020.

CyberHUB, qui enquête sur les infections par Pegasus depuis deux ans, a signalé que le nombre de piratages augmente en Arménie. Cependant, l’étendue réelle de ces piratages est difficile à déterminer, car de nombreuses victimes préfèrent ne pas rendre leurs cas publics, selon Krapiva. Elle ajoute que les utilisateurs d’Android ne reçoivent pas du tout de telles notifications. La plupart des infections surviennent lors d’escalades entre l’Arménie et l’Azerbaïdjan. Les cibles en Arménie ont inclus des politiciens de haut rang, des représentants de la société civile, des militants, des journalistes et des rédacteurs.

En septembre, l’Assemblée parlementaire du Conseil de l’Europe a qualifié l’utilisation du logiciel espion Pegasus par plusieurs pays de la région de potentiellement illégale.

Précision : Une version précédente de cet article indiquait que Pegasus avait été utilisé pour cibler des militants en Russie — il a en fait été spécifiquement utilisé contre une journaliste russe lors de son voyage en Allemagne, et elle a reçu la notification en Lettonie.

Cybersécurité, Espionnae

Faille dans Google Chrome utilisée par un logiciel espion pour smartphone

28 juillet 2022 Damien Bancal

Une vulnérabilité de type « zero-day » dans Google Chrome (CVE-2022-2294) découverte lorsqu’elle a été exploitée à l’encontre de journaliste basé au Moyen-Orient.

Le logiciel espion Candiru, provenant d’une entreprise Israélienne, aurait été diffusé à partir d’une faille exploitant le navigateur de Google, Chrome. C’est l’équipe Cyber d’Avast Threat Intelligence qui a découvert la cyber attaque au Liban. Des journalistes figuraient parmi les parties visées, et que d’autres cibles en Turquie, au Yémen et en Palestine.

Google a corrigée la faille le 4 juillet 2022.

Selon le fonctionnement du malware et des tactiques utilisées pour mener l’attaque, les chercheurs l’ont attribué au fournisseur de logiciels espions Candiru, basé à Tel Aviv et connu pour vendre des logiciels d’espionnage à des clients gouvernementaux. Lors de cette attaque, un profil du navigateur de la victime, composé d’environ 50 points de données, est collecté et envoyé aux attaquants. Les informations recueillies comprennent la langue de la victime, le fuseau horaire, les informations inscrites sur l’écran, le type d’appareil, les plugins de navigateur, le référent, la mémoire de l’appareil, la fonctionnalité des cookies, etc.

Si les données collectées correspondent à ce que les attaquants recherchent, l’opération de type « zero-day » est transmise à l’appareil de la victime via un canal crypté. Une fois que les attaquants sont entrés sur la machine, une charge malveillante connue sous le nom de DevilsTongue est envoyée pour tenter d’augmenter la portée du malware afin d’obtenir un accès complet à l’appareil de la victime.

DevilsTongue est un logiciel espion avancé, capable d’enregistrer la webcam et le microphone de la victime, d’enregistrer les touches, d’exfiltrer la messagerie de la victime, son historique de navigation, ses mots de passe, sa géolocalisation, et bien plus encore.

Au Liban, les attaquants semblent avoir compromis un site web utilisé par les employés d’une agence de presse. Nous ne pouvons pas dire avec certitude ce que les attaquants ont pu chercher, mais souvent, la raison pour laquelle les attaquants s’en prennent aux journalistes est de les espionner eux ainsi que les dossiers sur lesquels ils travaillent directement, ou d’atteindre leurs sources et de recueillir des informations compromettantes et des données sensibles qu’ils ont partagées avec la presse. Une attaque comme celle-ci pourrait constituer une menace pour la liberté de la presse.

Google ayant rapidement corrigé la vulnérabilité le 4 juillet, les utilisateurs de Chrome doivent simplement cliquer sur le bouton lorsque le navigateur les invite à « redémarrer pour terminer l’application de la mise à jour. La même procédure doit être suivie par les utilisateurs de la plupart des autres navigateurs basés sur Chromium, y compris Avast Secure Browser. Les utilisateurs de Safari doivent passer à la version 15.6.

Espionnae, Particuliers, Téléphonie

Le stalking, la malveillance amoureuse du 21e siècle ?

5 juillet 2021 Damien Bancal

Une étude révèle que 61 % des adultes Français, âgés de 18 à 39 qui ont déjà été en couple, ont déjà stalké en ligne leur partenaire actuel ou leur ex.

Les résultats d’étude relative aux comportements d’harcèlement en ligne des consommateurs affiche des chiffres étonnant et inquiétant. Cette nouvelle étude met en lumière des différences générationnelles frappantes dans les tendances de cyberharcèlement des Français dans les relations amoureuses modernes. Plus de la moitié des Français de la génération Z et millienials (61 % des 18-39 ans) admettent avoir « stalké » en ligne leur ancien ou leur partenaire actuel, à leur insu, soit trois fois plus que les personnes de 40 ans et plus (18 %).

Traqueur né !

Près d’un tiers des Français (33 %) ayant déjà été en couple admet avoir « traquer » un ex ou un partenaire actuel en ligne en prenant de ses nouvelles à son insu et sans son consentement. Le plus alarmant ? 31 % des jeunes Français (18-39 ans) actuellement en couple estiment que leur partenaire est susceptible d’installer une application de stalking – autrement appelée « creepware » ou « stalkerware » – sur leur(s) appareil(s) pour surveiller ses activités numériques et passer en revue les textos, l’historique des appels téléphoniques, les messages directs, les e-mails et les photos. Ce chiffre est largement supérieur au pourcentage de Français âgés de 40 ans ou plus qui pensent la même chose (8 %). Parmi ceux qui ont admis avoir harcelé en ligne un partenaire actuel ou un ex , les principaux facteurs qui les auraient poussés à le faire, la curiosité (43 %) et le manque de confiance (30 %) se hissent en tête. 24% d’entre eux voulaient savoir avec qui ils étaient et 23% savoir ce qu’ils faisaient.

Les moins de 40, adepte du stalking ?

D’après Catherine Lejalle, chercheuse et sociologue sur les comportements des consommateurs en ligne « L’étude pointe des différences selon les âges et les genres. La pratique du stalking est plus forte chez les moins de quarante ans et chez les hommes. Or, elle s’inscrit dans un contexte sociétal où les valeurs phares sont la transparence et l’absence d’engagement. L’étude montre que les pratiques sont en dissonance avec les discours. Prôner la transparence et mettre en scène sa vie sur les réseaux sociaux permettent-ils de garder une part cachée en coulisses qui donne à l’autre le sentiment qu’on lui échappe ? Chanter la liberté et l’ouverture dans le couple est-il compatible avec le besoin ontologique de réassurance qui sommeille en chacun de nous ? L’étude suggère des réponses tranchées à ces deux interrogations. »

Ces nouvelles conclusions sont publiées dans le 2021 Norton Cyber Safety Insights Report (NCSIR). Réalisé en partenariat avec The Harris Poll, ce rapport a interrogé plus de 10 000 personnes dans 10 pays , dont 1 000 adultes Français, afin d’évaluer les habitudes en ligne des consommateurs et les domaines dans lesquels elles peuvent dévier vers le cyberharcèlement.

« Nous émettons des avertissements à l’intention de nos clients pour les prévenir de la présence d’applications de stalkerware potentielles sur leurs appareils. Notre dernière étude des menaces montre que l’utilisation de cette technologie invasive ne cesse de croître. Entre septembre 2020 et mai 2021, notre équipe de recherche a constaté́ une hausse de 63 % du nombre d’appareils infectés par des stalkerwares, soit l’équivalent de plus de 250 000 appareils compromis« , explique Kevin Roundy, directeur technique et spécialiste des stalkerwares au sein de la division de recherche de NortonLifeLock, Norton Labs.

Le stalkerware est une technologie disponible dans le commerce, qui peut être installée sur un appareil afin de surveiller l’activité à l’insu de l’utilisateur. Il faut généralement qu’une personne ait un accès physique à un appareil pour l’installer. Le stalkerware consomme la plupart du temps beaucoup d’énergie et de données et peut donc se faire remarquer en ralentissant les performances de l’appareil, en épuisant la batterie ou en augmentant la consommation de données. Si vous suspectez un stalkerware, il est indispensable de vérifier les paramètres et les autorisations de l’appareil pour vérifier si des applications inconnues ont accès à des éléments personnels tels que la localisation et le microphone, ou si des applications inconnues sont présentes sur l’appareil.

Inoffensif de stalker son partenaire ?

Les résultats du rapport démontrent qu’environ un tiers des Français âgés de 18 à 39 ans (31 %) estiment qu’il est inoffensif de stalker son partenaire actuel ou un ancien partenaire, soit deux fois plus que les Français de plus de 40 ans et plus qui sont de cet avis (15 %). Plus de la moitié des jeunes Français (52 %) cautionnent le stalking en ligne si l’un des partenaires ou les deux ont été infidèles ou sont soupçonnés de l’être et admettent qu’ils seraient plus susceptibles de stalker à leur tour un amant ou un ex s’ils savaient qu’ils ne se feraient pas prendre.(36 %). Il convient de noter que près de deux Français sur dix âgés de 18 à 39 ans et ayant déjà eu une relation amoureuse (17 %) admettent avoir utilisé les appareils ou les applications de santé de leur partenaire pour surveiller secrètement leur activité physique. On estime que 2,6 millions de personnes en France (5 % des adultes) ont utilisé un logiciel de harcèlement ou un logiciel de repérage, ce qui illustre l’ampleur du problème.

La familiarité avec le « stalkerware » ou « creepware » est faible. En France, 8 % en sont familiers, 23% en ont seulement entendu le nom et 68 % n’en ont jamais entendu parler, mais les jeunes adultes sont beaucoup plus susceptibles que leurs homologues plus âgés d’en être familiers (19 % chez les moins de 40 ans contre 3 % chez les 40 ans et plus). Consulter le téléphone de son partenaire (17%) et leur navigateur de recherche (15%) sont les formes les plus courantes de stalking en ligne chez les Français qui ont été en couple.

En France, les hommes sont presque deux fois plus susceptibles que les femmes d’utiliser des applications invasives pour espionner leur partenaire. 8 % des hommes qui ont été en couple ont utilisé un creepware ou un stalkerware pour surveiller le téléphone de leur ex ou de leur partenaire actuel, contre seulement 4 % des femmes. • À travers le monde2, le stalking en ligne est une pratique courante. 34 % des consommateurs ayant déjà vécus une relation amoureuse admettent avoir stalké leur ex ou leur partenaire actuel, et plus d’un tiers des Français (33 %) ont admis avoir adopté ce comportement.

Cybersécurité, Espionnae, Facebook, ID, Identité numérique, IOT, Logiciels, Particuliers, Securite informatique, Téléphonie

Facebook a payé 20 euros par mois pour espionner des utilisateurs

30 janvier 2019 Damien Bancal

Afin d’obtenir des données personnelles, Facebook a admis avoir payé secrètement des utilisateurs pour l’installation d’un VPN « Facebook Research » dans les appareils de volontaires. FR permet à la société de collecter et d’analyser l’ensemble des activités téléphoniques et en ligne d’un internaute.

Le plus surprenant dans cette histoire, c’est le prix payé pour les données les plus privées d’une personne. En effet, si un étranger vous abordait dans la rue et vous proposait de vous payer un montant symbolique chaque mois, en échange d’un accès inconditionnel à votre téléphone, et pour toujours, accepteriez-vous ?

Dans le cas de Facebook, les personnes se sont inscrites de leur plein gré pour fournir toutes leurs informations personnelles – données et activités – de manière extrêmement envahissante et pour seulement 20$ par mois. Il est assez remarquable de constater ce que les entreprises sont prêtes à faire pour accéder à des données personnelles, et en même temps, de réaliser la facilité avec laquelle les citoyens vont l’accepter.

4 internautes sur 10 estiment la vie privée comme un droit humain !

« Nos propres recherches montrent que moins de la moitié des personnes interrogées (47 %) considèrent la vie privée comme un droit humain. » explique Brad Poole, consumer privacy advocate chez HMA! Il existe donc une incompréhension des conséquences d’une vie privée non protégée, peut-être à cause d’une confiance non justifiée en la protection de leurs données.

Ce type « d’initiative » soulève également des questions plus alarmantes, quant à savoir si ce niveau d’accès n’est pas vendu ensuite à des tiers. Les utilisateurs doivent donc prendre conscience qu’en ligne, les choses ne sont peut-être pas toujours ce qu’elles semblent être.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, RGPD, Sauvegarde, Sécurité, Securite informatique, Smartphone, Téléphonie

Des millions de SMS retrouvés dans un cloud de la société Voxox

21 novembre 2018 Damien Bancal

Un chercheur en sécurité révèle que la société Voxox a exposé des dizaines de millions de SMS en le stockant sur un serveur cloud non protégé.

Voxox est une société de communication VoIP. Une sorte de Skype allemand. Voxox a oublié les bases de la sécurité du cloud. Bilan, ce fournisseur de services vocaux et SMS a exposé des données sensibles telles que les codes 2FA, les mots de passe en texte clair, les numéros de téléphone, les codes de réinitialisation de mot de passe, les notifications d’expédition et les codes de vérification à un accès public. C’est un chercheur en sécurité basé à Berlin, Sébastien Kaul, qui a découvert la faille via le moteur de recherche spécialisé dans la sécurité informatique, Shodan. La base de données de messages SMS identifiée par Kaul est facilement accessible. Elle offre une vue presque en temps réel des informations transitant par la passerelle SMS de Voxox. Comment est-ce possible ? La société américaine n’a pas protégé son serveur … avec un mot de passe. No comment !

Avant sa fermeture, plus de 26 millions de messages texte stockés dans la base de données. Cependant, il semble tout à fait probable que le chiffre soit plus important. Le volume de messages étant énorme, chaque minute. Il est à noter que chaque enregistrement a été étiqueté et détaillé avec précision. Il incluait le numéro de contact du destinataire, le client Voxox qui avait envoyé le message et le contenu du message. (TechCrunch)

Android, backdoor, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, Espionnae, ID, Identité numérique, Logiciels, Mise à jour, Particuliers, Patch, Phishing, Piratage, Securite informatique, Smartphone, Téléphonie, Vie privée

Les cyberattaques ciblant Android en hausse

8 novembre 2018 Damien Bancal

Les analystes de G DATA ont comptabilisé plus de 3,2 millions de nouvelles applications malveillantes à la fin du troisième trimestre 2018. Cela représente une augmentation de plus de 40 % par rapport à la même période en 2017. Les cybercriminels se concentrent sur les appareils mobiles, en particulier sous le système d’exploitation Android. La raison : huit personnes sur dix dans le monde utilisent un appareil Android.

À la fin du troisième trimestre, les analystes de G DATA ont recensé près de 3,2 millions de nouvelles applications malveillantes Android sur l’année, soit en moyenne 11 700 nouveaux dangers par jour. Il s’agit d’une augmentation de plus de 40 % par rapport à la même période de l’année précédente. En termes de sécurité, Android doit également lutter contre les équipements obsolètes. Dès 2017, Google a réagi avec le Project Treble, une fonctionnalité sous Android 8 qui permet une distribution plus rapide des mises à jour. Mais Android 8 est pour le moment dans un peu moins d’un appareil sur cinq – plus d’un an après son lancement en août 2017. Quant à la version actuelle 9, sa diffusion est inférieure à 0,1 % du parc.

Distribuer plus rapidement les mises à jour de sécurité

L’une des clés d’une meilleure protection réside dans la distribution rapide de mises à jour de sécurité. Selon « The Verge », depuis cet été Google oblige contractuellement les fabricants de smartphones sous Android à fournir des mises à jour de sécurité pour au moins deux ans. En détail, les appareils doivent recevoir au moins quatre mises à jour de sécurité Google au cours de la première année. Au cours de la deuxième année, les fabricants doivent assurer une fréquence de mise à jour qui permet de protéger les appareils des vulnérabilités datant de plus de 90 jours.

Un contrat qui comporte toutefois certaines limites. Seuls les smartphones de 100 000 utilisateurs concernés. En outre, l’accord ne s’applique qu’aux équipements mis sur le marché à partir de février 2018, avec une certaine tolérance admise jusqu’au 31 janvier 2019.

Le risque des logiciels espions

Les fonctionnalités étendues des logiciels espions ciblant le système Android sont une source d’incertitude. Ces codes malveillants rivalisent de techniques pour accéder au contenu des appareils. Dernièrement, les analystes de G DATA détaillaient le fonctionnement d’un trojan capable de lire les conversations WhatsApp. Les Smartphones contenant un nombre croissant d’informations sensibles, les attaquants ont bien compris l’intérêt de ces types de codes malveillants.

Virus Bulletin : Google parle d’Android

Lors de la conférence Virus Bulletin qui s’est tenue à Montréal en octobre, des chercheurs de Google ont fait deux présentations qui montrent que la sécurisation de la plateforme Android est un défi quotidien. L’analyste Maddie Stone a par exemple présenté une application malveillante qui déploie un niveau inhabituellement élevé de techniques pour ne pas être détecté par les systèmes automatisés de Google.

L’expert en sécurité Łukasz Siewierski a quant à lui présenté une campagne de logiciels malveillants préinstallés sur les smartphones Android. Selon son analyse, le malware était déjà installé pendant la phase de développement. G DATA a traité d’un sujet similaire lors du Virus Bulletin 2015 et pour la première fois en 2014.

Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, Propriété Industrielle, Securite informatique

Espionnage des conducteurs de voiture via leur autoradio

27 octobre 2018 Damien Bancal

Les habitudes d’écoute de milliers de conducteurs de voitures surveillées, sans consentement, durant 3 mois. But final, diffuser des publicités ciblées !

Environ 90 000 conducteurs de véhicules General Motors ont été surveillés par le constructeur de voitures. Les propriétaires et leurs passagers ont été surveillés durant 3 mois alors qu’ils voyageaient sur les routes de Chicago et de Los Angeles. C’est l’équipe Detroit Free Press qui a révélé cet espionnage qui s’est déroulé en 2017. General Motors a confirmé cette « écoute » qui aurait été mis en place dans le cadre de son programme de suivi de radio. La société a reconnu collecter des données afin de les utiliser manière intelligente. Bref, traduisez par la diffusion de publicités ciblées. Vous comprenez maintenant pourquoi le fait de savoir que Renault a choisi Google comme moteur de recherche peut inquiéter les utilisateurs. Google connaîtra l’ensemble des comportements des conducteurs de voiture de la marque française. Qwant aurait été parfait pour éviter ce ciblage.

Via le Wi-Fi des voitures

Pour général Motors, lors de son test de trois mois, l’espionnage a utilisé le Wi-Fi proposé dans les voitures pour suivre les habitudes de certains de ses conducteurs dans l’espoir de voir s’il existait un lien entre ce que les conducteurs écoutent et ce qu’ils achètent. GM, avec 10 millions de voitures en circulation, est l’un des premiers constructeurs à entreprendre une telle étude. A noter que les 90 000 conducteurs de Los Angeles et de Chicago impactés avaient accepté de participer à une « proof of concept » sans connaitre la finalité de cette preuve de concept. « Les données sont ensuite agrégées et anonymisées. Les résultats obtenus sur un très grand échantillon et n’incluent aucune information personnellement identifiable » indique General Motors.

Espionnage dans nos voitures

L’espionnage, via les automobiles, n’est pas une nouveauté. Je vous passe les contenus que sont capables de stocker les « clés » sans fil des voitures. En 2015, Chevrolet proposait aux parents un logiciel d’espionnage, Teen Driver, intégré dans ses voitures. Raison invoquée, permettre aux parents de suivre leurs enfants conducteur ! Mais aussi être averti si la vitesse est dépassée (vitesse choisie par les parents). Recevoir des rapports sur les véhicules. Limiter le volume audio de l’auto radio.

Android, backdoor, Cyber-attaque, Cybersécurité, Espionnae, ID, Identité numérique, Leak, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie, Vie privée

Triout, un espion dans votre smartphone

26 août 2018 Damien Bancal 3 commentaires

Triout, un nouveau logiciel espion s’attaque aux appareils sous Android.

Triout, l’espion 2.0 ! Aucun système d’exploitation n’est à l’abri des logiciels malveillants. Les cybercriminels voudront toujours voler, espionner ou manipuler vos données. La prolifération des appareils Android – des smartphones aux tablettes et aux téléviseurs intelligents – ouvrent des nouvelles « voix » aux développeurs de logiciels malveillants. Ces appareils contiennent des micros, des caméras et un gps.

Premièrement, les chercheurs de Bitdefender identifient un nouveau logiciel espion Android, baptisé Triout. Trouvé avec une application reconditionnée, les capacités de surveillance de ce logiciel espion consiste à masquer sa présence sur l’appareil. Il va ensuite enregistrer des appels téléphoniques. Copier les SMS. Recoder les vidéos. Prendre des photos. Recueillir des coordonnées GPS.

Ensuite, il est intéressant de noter que Triout apparaît pour la première fois en Russie. La plupart des analyses/rapports proviennent d’Israël. La première apparition de l’échantillon date du 15 mai 2018, sur VirusTotal.

Enfin, l’analyse du logiciel espion indique que Triout a la capacité d’enregistrer chaque appel téléphonique. La conversation se retrouve sous la forme de fichier multimédia. L’information est communiquée au C&C avec l’identifiant de l’appareil. L’espion enregistre chaque SMS entrant (corps SMS et expéditeur SMS). Il a la possibilité d’envoyer tous les journaux d’appels. Chaque photo prise par l’appareil piégé, caméra avant ou arrière, est envoyée au C&C.

Argent, Arnaque, Bitcoin, Cybersécurité, Entreprise, Espionnae, ID, Paiement en ligne, Particuliers, Securite informatique

Les stratagèmes d’ingénierie sociale liés aux cryptomonnaies ont rapporté aux cybercriminels près de 10 millions en 2017

19 juillet 2018 Damien Bancal 2 commentaires

Des experts ont mis à jour un type de fraude relativement nouveau : le développement des cryptomonnaies n’attire pas seulement les investisseurs mais aussi des cybercriminels poussés par l’appât du gain. Au cours du premier semestre 2018, les produits de la société ont bloqué plus de 100 000 événements déclencheurs liés à des cryptomonnaies, sur de faux sites et d’autres plateformes. Chacune de ces tentatives visait à leurrer un nombre croissant d’utilisateurs crédules par des stratagèmes frauduleux.

Le phénomène des cryptomonnaies et l’engouement qu’elles suscitent ne sont pas passés inaperçus des cybercriminels. Pour réaliser leurs noirs desseins, ceux-ci emploient généralement des techniques classiques de phishing mais vont souvent au-delà des scénarios « ordinaires » que nous connaissons. En s’inspirant des investissements ICO (Initial Coin Offering) et de la distribution gratuite de cryptomonnaies, les cybercriminels ont pu abuser aussi bien de l’avidité des détenteurs de monnaie virtuelle que de la naïveté des néophytes.

Certaines des cibles plus prisées sont les investisseurs ICO, qui cherchent à placer leur argent dans des start-ups dans l’espoir d’en tirer profit à l’avenir. A leur intention, des cybercriminels créent de fausses pages web imitant les sites de projets ICO officiels ou bien tentent d’accéder à leurs contacts de façon à pouvoir diffuser un message de phishing contenant le numéro d’un e-portefeuille et incitant les investisseurs à y envoyer leurs cryptomonnaies. Les attaques les plus fructueuses se servent de projets ICO bien connus. Par exemple, en exploitant l’ICO Switcheo au moyen d’une proposition de distribution gratuite de cryptomonnaies, des malfaiteurs ont dérobé l’équivalent de plus de 25 000 dollars après avoir propagé un lien via un faux compte Twitter.

Autre exemple, la création de sites de phishing pour le projet ICO OmaseGo a permis à des escrocs d’empocher plus de 1,1 million de dollars dans cette cryptomonnaie. Les cybercriminels ont été tout aussi intéressés par les rumeurs entourant l’ICO Telegram, ce qui a eu pour effet l’apparition de centaines de sites factices destinés à recueillir de prétendus « investissements ».

Une autre tendance répandue porte sur des escroqueries aux faux dons de cryptomonnaie. La méthode la plus courante consiste à demander aux victimes de faire cadeau d’une petite somme en monnaie virtuelle, en leur faisant miroiter un gain bien plus élevé dans cette même monnaie à l’avenir. Les malfrats vont même jusqu’à utiliser les comptes de personnalités réputées sur les réseaux sociaux, telles que l’homme d’affaires Elon Musk ou le fondateur de la messagerie Telegram, Pavel Durov. En créant de faux comptes et en s’en servant pour répondre aux tweets d’utilisateurs de bonne foi, les escrocs réussissent à tromper des internautes.

Selon les estimations approximatives de Kaspersky Lab, des cybercriminels seraient parvenus l’an dernier à engranger plus de 21 000 ETH (la cryptomonnaie Ether, qui utilise la blockchain générée par la plate-forme Ethereum), soit plus de 10 millions de dollars au cours actuel, grâce aux stratagèmes que nous venons de décrire. Cette somme ne tient même pas compte des attaques de phishing classiques ou des cas de génération d’une adresse individuelle pour chaque victime.

« Notre étude révèle que les cybercriminels sont passés maîtres dans l’art d’actualiser et de développer leurs ressources afin d’obtenir un maximum de résultats de leurs attaques de phishing liées aux cryptomonnaies. Ces nouveaux stratagèmes de fraude reposent sur des méthodes élémentaires d’ingénierie sociale mais se distinguent des attaques de phishing habituelles car ils peuvent rapporter des millions de dollars à leurs auteurs. Les succès obtenus par ces escrocs donnent à penser qu’ils savent comment exploiter le facteur humain, l’un des éternels maillons faibles de la cybersécurité, pour profiter du comportement des utilisateurs », commente Nadezhda Demidova, analyste en contenus web chez Kaspersky Lab.

Les chercheurs conseillent aux utilisateurs d’observer quelques règles élémentaires afin de protéger leurs avoirs en cryptomonnaie :
· Rappelez-vous que rien n’est jamais gratuit et que les offres qui paraissent trop belles pour être vraies doivent être traitées avec scepticisme.
· Vérifiez auprès de sources officielles les informations concernant la distribution gratuite de cryptomonnaies. Par exemple, si vous remarquez une distribution pour le compte de l’écosystème de blockchain Binance, piraté récemment, rendez-vous sur le site officiel pour y obtenir des éclaircissements.
· Vérifiez si des tiers sont liés au portefeuille vers lequel vous envisagez de transférer vos économies. L’une des solutions consiste à faire appel à des navigateurs de blockchain, tels que etherscan.io ou blockchain.info, qui permettent aux utilisateurs de visualiser des informations détaillées sur toute transaction en cryptomonnaie et de déterminer si le portefeuille risque d’être dangereux.
· Vérifiez toujours les liens et données affichés dans la barre d’adresse du navigateur, par exemple que vous y lisez bien « blockchain.info », et non « blackchaen.info ».
· Conservez l’adresse de votre e-portefeuille dans un onglet et accédez-y depuis ce dernier, ce qui évitera une erreur de saisie dans la barre d’adresse, susceptible de vous faire aboutir accidentellement à un site de phishing.

Android, Base de données, Chiffrement, Communiqué de presse, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, IOT, Particuliers, RGPD, santé, Sécurité, Securite informatique, Smartphone, Social engineering, Vie privée

Domotique : objets connectés sont-ils dangereux ? Test !

2 mars 2018 Damien Bancal

Les objets connectés et la domotique sont devenus omniprésents dans notre quotidien, au travail comme à la maison : téléphones, ampoules, enceintes, montres, caméras, voitures, etc. Pourtant, nous devrions nous préoccuper des informations que nous transmettons (mode de vie, habitudes, localisation, photos et vidéos, etc.) et les risques d’un tel partage. À cet effet, ESET reconstitue une maison connectée lors du Mobile World Congress, où différents appareils sont testés afin de mettre en évidence les vulnérabilités liées à ces objets qui nous entourent. Partage de données, virus, informations collectées… Que risque-t-on vraiment en partageant avec ces objets des informations nous concernant ? Nos experts ont testé 12 produits que nous retrouvons habituellement dans une maison connectée.

L’un de ces objets de domotique qui n’a pas été listé ici présentait de nombreuses vulnérabilités importantes. Nous avons averti le fabricant pour qu’il puisse y remédier. Cet appareil est une centrale de commande domotique qui peut gérer les détecteurs de mouvement, les commandes de chauffage, les moteurs de volets roulants, les capteurs d’environnements et les prises intelligentes.

Voici les principales vulnérabilités de cet appareil :

Le processus de connexion au réseau local n’est pas entièrement protégé par un système d’authentification. L’option par défaut autorise la connexion automatique, qui contourne le renseignement d’informations d’identification standard telles que l’identifiant et le mot de passe. Le fabricant mentionne ce problème dans une alerte de sécurité et recommande de désactiver cette option par défaut.
Comme avec presque tous les systèmes de maison connectée, un service Cloud permet de gérer les appareils connectés depuis un endroit X. Les communications vers le service cloud ne sont pas chiffrées.
Le service Cloud des fournisseurs a la possibilité d’établir une connexion VPN (Virtual Private Network – à distance) avec les périphériques distants. Une fois ce tunnel établi, il pourrait être possible de modifier la configuration du réseau distant. Cela pourrait entraîner l’accès au réseau local des utilisateurs sans leur consentement.
L’accès au service Cloud nécessite un enregistrement. Si les détails concernant l’utilisateur sont compromis, l’accès VPN au réseau distant peut présenter un risque considérable.

Les autres appareils que nous avons testés et détaillés dans ce rapport permettent de mettre en évidence certaines vulnérabilités qui doivent être prises en compte au moment de l’achat de l’appareil. Par exemple, les caméras D-Link et la connexion TP-Link présentent des problèmes de sécurité. La principale préoccupation de ces caméras est l’absence de chiffrement du flux vidéo, accessible depuis un système d’authentification faible.

La confidentialité de la domotique, un sujet qui nous concerne tous

La radio Internet Soundmaster, qui ne dispose pas entre autres de politique de confidentialité, a alerté nos chercheurs. Les préoccupations les plus importantes concernent les assistants intelligents à commande vocale – en l’occurrence Alexa. Il s’agit d’un service qui sert de conduit à tous les autres appareils et qui stocke ensuite les interactions avec eux. Ni la réputation de l’appareil ni les services d’Amazon ne sont en cause, mais un pirate intelligent qui tente de recueillir des données personnelles pour le vol d’identité pourrait créer une attaque par spear-phishing pour accéder au compte Amazon des victimes.

AMAZON ECHO

Les interactions que vous aurez avec cet appareil permettront d’informer Amazon des produits que vous souhaitez acheter, de ce que vous écoutez, des autres produits connectés que vous avez et ainsi de suite. Cette collecte de données permet de créer un profil qui contient potentiellement des détails très précis sur votre style de vie – le rêve d’un marketeur, et aussi celui d’un cybercriminel. Avec les violations de données fréquentes, tout assistant numérique activé par la voix doit nous préoccuper. Si, par exemple, quelqu’un accède à votre identifiant et votre mot de passe Amazon, il a la possibilité d’écouter vos interactions avec Alexa. Le stockage d’informations stockées constitue un problème de confidentialité.

D-LINK

Les mises à jour de micrologiciels sont au format http et non https (le -s- indique que le protocole est sécurisé), ce qui signifie qu’un pirate pourrait injecter des virus lors d’une mise à jour, car le flux de données n’est pas chiffré. Les caméras incluses dans notre test de maison connectée présentent des faiblesses. La caméra est contrôlée depuis l’application mydlink, qui est chiffrée. Mais si le flux vidéo lui-même est mal protégé, les problèmes de sécurité et de confidentialité se concentrent autour du contenu « capturé ».

NETAMTO

Si vous décidez de partager les données de votre appareil, sachez que votre emplacement est identifié. Jetez un œil ici. Vous comprendrez comment, en sélectionnant l’un des appareils. L’adresse de rue d’un propriétaire de NetAMTO est indiquée.

NOKIA HEALTH

Nous avons tenté d’accéder aux données qui circulent entre l’application Health Mate et le service Cloud affilié. Il était possible de lancer une attaque de type « MitM » entre l’application Android et le Cloud. Ceci signifie que les communications sont interceptées sans que l’utilisateur soit au courant.

Ici, l’attaque à distance n’est pas possible. Cependant, en cas de compromission, les données transmises deviennent lisibles. Ceci dit, pour NOKIA HEALTH, il est peu probable de trouver un scénario où un pirate peut accéder au téléphone, rooter l’appareil, intercepter le téléchargement du firmware, le réécrire, puis appuyer sur un bouton de configuration magique sur les balances réelles et installer le nouveau firmware.

Cependant, lorsque vous associez Nokia Scales à Amazon Echo, vous pouvez poser des questions à Alexa sur les données stockées dans votre compte Health Mate. Sur la page Internet d’Amazon qui détaille l’habileté et l’offre des compétences Nokia, il y a la déclaration suivante : Alexa et Amazon, Inc. ne stockent ni ne conservent vos données Nokia Health, mais les interactions vocales associées à votre compte Amazon peuvent contenir vos données Nokia Health Mate.

Lorsque vous liez Alexa et accordez à Amazon la permission d’accéder à votre compte Nokia Health Mate, vous accordez en réalité à Amazon Alexa l’accès aux données personnelles, y compris le poids, la distance parcourue, le sommeil et les objectifs. Ces informations sont stockées sous forme d’interactions vocales associées à votre compte Amazon.

SONOS

Si, par exemple, vous avez des enceintes dans les chambres de vos enfants, nommer les enceintes en utilisant leurs noms réels peut, par inadvertance, mener à partager des données avec Sonos au sujet des personnes de votre famille.

WOERLEIN

En l’absence de politique de confidentialité, nous devons nous fier à notre enquête pour comprendre la communication entre l’appareil et Internet. Tout d’abord, lors de la configuration de l’appareil pour se connecter au réseau Wi-Fi, le mot de passe n’est pas masqué. Si l’appareil est accessible, par exemple dans un lieu public tel qu’un bureau ou un établissement de vente au détail, les informations d’identification Wi-Fi seront accessibles en cliquant sur les paramètres.

Lors de la sélection d’une station de radio, une instruction est envoyée en clair à mediayou.net, qui semble être un portail d’accès au contenu radio en ligne. Mediayou connaîtra l’adresse IP de la radio qui s’y connecte, la station de radio demandée, ainsi que l’heure et la durée d’écoute.

Aucune politique de confidentialité n’est répertoriée sur le site Internet mediayou.net. Même lors de la création d’un compte sur le site, il n’y avait aucune offre de politique de confidentialité ou de conditions d’utilisation. Faire des recherches sur le domaine mediayou.net pour déterminer qui en est le propriétaire est futile, car les détails du domaine sont cachés derrière un bouclier de confidentialité, ce qui est ironique…

Si vous ne comprenez pas quelles données, le cas échéant, peuvent être collectées et conservées, vous devez envisager le pire : une entreprise pourrait collecter tout ce qu’elle peut et vendre ces données à qui elle veut et quel que soit son choix. À l’heure où les données personnelles ont une valeur et où le vol d’identité est un problème croissant, cette situation est inacceptable.

TP-LINK

Cet appareil présente des vulnérabilités qui incluent un chiffrement facilement réversible entre l’appareil et l’application TP-Link Kasa utilisée pour le contrôler, des problèmes de validation de certificat et des attaques potentielles de type man-in-the-middle.

CONCLUSION

Aucun appareil ou logiciel n’est garanti « totalement sécurisé » ou « sans vulnérabilités potentielles ». Chaque personne qui lit ce rapport aura une vision différente des informations personnelles qu’elle estime pouvoir partager avec une entreprise ou un fournisseur. Il est nécessaire de se renseigner sur le niveau de protection des appareils. Par exemple, est-ce que le fabricant envoie des notifications pour la mise à jour du firmware ? Les assistants personnels vocaux intelligents sont très pratiques. Ils sont également omniscients. Évaluez avec prudence les informations que vous souhaitez partager avec eux.

Les données collectées sur la maison, le style de vie, la santé et même les données de navigation Internet d’une personne ne devraient être autorisées qu’une fois les conséquences prises en compte. Alors que les entreprises découvrent de nouvelles façons de faire du profit avec les données collectées via les objets connectés, soit l’industrie doit s’autoréguler, soit les gouvernements devront renforcer la législation relative à la protection de la vie privée (de la même manière que l’UE a mis en place le RGPD).

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Leak, Logiciels, Particuliers, Piratage, ransomware, ransomware, Sauvegarde, Securite informatique, Vie privée

RGPD et Ransomware : des actions judiciaires à prévoir dès mai 2018 ?

28 janvier 2018 Damien Bancal

Votre société a été touchée par un ransomware ? En mai 2018, des actions judiciaires lancées par vos clients pourraient rajouter une couche d’ennuis à votre entreprise.

RGPD et actions judiciaires ! Le 18 janvier 2018, la société américaine Allscripts était touchée par un ransomware. Classique attaque qui chiffre les fichiers des ordinateurs infiltrés. Une cyberattaque possible via le clic malheureux d’un employé sur un mail piégé. Une attaque qui a perturbé l’entreprise, mais aussi directement ses clients. Ces derniers ne pouvaient accéder à leurs dossiers de patients ou de facturation.

Bilan, une plainte de recours collectif (Class action) a été déposée contre Allscripts. Le fournisseur de dossiers de santé électroniques (DSE) va se retrouver devant la justice. Un de ses prestataires, Surfside Non-Surgical Orthopedics, basé en Floride, spécialisé dans la médecine sportive, a déposé une plainte contre DSE.

Actions judiciaires, rançongiciel …

En en raison de l’attaque, Surfside indique qu’il « ne pouvait plus accéder aux dossiers de ses patients ou prescrire électroniquement des médicaments« . Bilan, rendez-vous annulé, pertes d’argent… Allscripts est l’un des fournisseurs de dossiers médicaux électroniques (DSE) les plus répandus dans le monde.

L’entreprise est toujours à travailler, plusieurs jours après cette « attaque », à restaurer certains de ses systèmes informatiques suite au rançongiciel.

Fait intéressant, le type de ransomware utilisé dans l’attaque [SamSam ransomware] était le même que celui utilisé dans une attaque contre Hancock Health, un autre système de santé basé dans l’Indiana, début janvier 2018. Dans ce cas, les responsables du système de santé ont fermé tout le réseau Hancock Health et ont finalement payé le pirate. Il aurait reçu 55 000 dollars en bitcoin.

SamSam a également été utilisé contre le système de santé intégré MedStar Health, en mars 2016. Bleeping Computer a noté que d’autres attaques ont signalées, impliquant SamSam, dans les machines de l’Adams Memorial Hospital (Indiana).

Les systèmes d’Allscripts desservent environ 180 000 médecins et 2 500 hôpitaux. Il n’est pas clair si la société a payé une rançon.

Android, Antivirus, APT, backdoor, Chiffrement, Cyber-attaque, Cybersécurité, Espionnae, ID, Leak, Logiciels, Mise à jour, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie, Vie privée

Skygofree : un puissant logiciel de surveillance pour Android

17 janvier 2018 Damien Bancal

Skygofree : des chercheurs ont découvert un implant mobile avancé, actif depuis 2014 et conçu pour une cybersurveillance ciblée, peut-être afin de constituer un produit de « sécurité offensive ». Cet implant, nommé Skygofree, comporte des fonctionnalités inédites, telles que l’enregistrement audio suivant la géolocalisation via des appareils infectés. Le spyware se propage à travers des pages web imitant celles de grands opérateurs mobiles.

Skygofree est un logiciel-espion élaboré, à plusieurs modules, qui permet à des pirates de prendre totalement le contrôle à distance d’un appareil infecté. N’ayant cessé d’évoluer depuis la création de sa première version fin 2014, il est désormais capable d’intercepter les conversations et les bruits ambiants lorsque l’appareil infecté se trouve à un endroit donné, une fonctionnalité jamais vue jusque-là. Parmi les autres capacités avancées et inédites figurent des services d’accessibilité permettant de pirater des messages WhatsApp ou encore la possibilité de connecter l’appareil infecté à des réseaux Wi-Fi contrôlés par des individus malveillants.

Un logiciel espion très élaboré qui prend totalement le contrôle de l’appareil infecté.

L’implant exploite diverses vulnérabilités pour obtenir un accès root. Il peut également prendre des photos et des vidéos. Capturer des appels. Voler des SMS. Lancer une géolocalisation de l’appareil, des événements de l’agenda voire des informations professionnelles stockées en mémoire. Une fonction spéciale permet de contourner une technique d’économie de la batterie employée par un grand fabricant : l’implant s’ajoute alors à la liste des « applications protégées » de façon à ne pas être désactivé automatiquement lorsque l’écran est éteint.

Les pirates paraissent également s’intéresser aux utilisateurs Windows et les chercheurs ont découvert un certain nombre de modules développés récemment et ciblant cette plate-forme.

La plupart des pages web factices servant à répandre l’implant ont été enregistrées en 2015 alors que, selon les données télémétriques de Kaspersky Lab, la campagne de diffusion était à son paroxysme. La campagne est toujours en cours et le domaine le plus récent a été enregistré en octobre 2017. Les données indiquent plusieurs victimes à ce jour, toutes en Italie.

« Un malware mobile avancé est très difficile à identifier et à bloquer, et les développeurs qui se cachent derrière Skygofree en ont clairement tiré profit, en créant et faisant évoluer un implant capable d’espionner largement ses cibles sans éveiller les soupçons. Les éléments que nous avons découverts dans le code malveillant et notre analyse de l’infrastructure nous portent à croire avec un haut degré de certitude que les auteurs des implants Skygofree travaillent par une société informatique italienne proposant des solutions de surveillance, à la manière de HackingTeam », commente Alexey Firsh, analyste en malware spécialisé dans l’étude des attaques ciblées chez Kaspersky Lab.

Pour s’en protéger, être attentifs aux emails entrants, et équipés de logiciels de sécurité.

Les chercheurs ont identifié 48 commandes différentes pouvant être mises en œuvre par les pirates, pour un maximum de souplesse d’utilisation.

Pour assurer la protection contre la menace des malwares mobiles avancés, Kaspersky Lab recommande vivement l’installation d’une solution de sécurité fiable, capable d’identifier et de bloquer ces menaces sur les appareils des utilisateurs. Les utilisateurs sont en outre invités à faire preuve de prudence lorsqu’ils reçoivent des e-mails provenant de personnes ou d’entreprises inconnues ou comportant des demandes ou pièces jointes inattendues et de toujours vérifier à deux fois l’intégrité et l’origine des sites web avant de cliquer sur des liens. En cas de doute, mieux vaut contacter l’exploitant du site pour en avoir le cœur net. Les administrateurs système, pour leur part, doivent activer le contrôle des applications dans leur solution de sécurité mobile afin de maîtriser les programmes potentiellement dangereux vulnérables à cette attaque.

Kaspersky Lab détecte les versions de Skygofree sur Android sous HEUR:Trojan.AndroidOS.Skygofree et HEUR:Trojan.AndroidOS.Skygofree.b, et les versions Windows sous UDS:DangerousObject.Multi.Generic.

De plus amples informations, notamment la liste des commandes de Skygofree, les indicateurs d’infection (IoC), les adresses des domaines et les modèles d’appareils ciblés par les modules de l’implant, consultez le site Securelist.com.

Notes

Skygofree est nommé ainsi parce que le mot a été utilisé dans l’un des domaines. Le malware n’a rien à voir avec Sky, Sky Go ou une quelconque filiale de Sky, et n’affecte pas le service ou l’application Sky Go.

Argent, backdoor, Base de données, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Justice, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Securite informatique

Jugement de la FTC : Lenovo doit demander l’accord de ses clients pour les espionner

3 janvier 2018 Damien Bancal

La Federal Trade Commission, la FTC, a donné son accord final à un règlement avec Lenovo Inc. Le constructeur d’ordinateurs avait été accusé de modifier les navigateurs. Des logiciels installés dans ses machines afin d’engranger les bénéficies des publicités qui s’y affichaient.

Dans sa plainte, la Federal Trade Commission ( FTC – Commission fédérale du commerce ) a déclaré qu’à partir d’août 2014, Lenovo a commencé à vendre aux États-Unis des ordinateurs portables grand public équipés d’un logiciel de publicité préinstallé. Appelé VisualDiscovery, cet outil interférait avec la façon dont le navigateur interagissait avec les sites Web. Il affichait de la publicité au profit de Lenovo. A cela s’est ajoutait de graves failles de sécurité. Dans le cadre du règlement avec la FTC, Lenovo à interdiction de modifier les fonctionnalités des logiciels préchargés sur ses ordinateurs portables.

Il est interdit à la marque d’injecter de la publicité dans les sessions de navigation Internet des consommateurs. Ensuite, interdit aussi de transmettre des informations sensibles des consommateurs à des tiers. Si la société préinstallé ce type de logiciel, la FTC exige que l’entreprise obtienne le consentement des consommateurs avant que le logiciel puisse fonctionner sur leurs ordinateurs portables. En outre, la société est tenue de mettre en œuvre un programme complet de sécurité. Sécurisation pour la plupart des logiciels grand public préchargés sur ses portables. Et cela durant les 20 prochaines années ! Enfin, ce programme de sécurité fera également l’objet d’audits par des tiers.

Pour conclure, VisualDiscovery est un adware développé par la société américaine Superfish, Inc. VisualDiscovery diffuse des annonces sous forme de pop-up dès qu’un internaute passait sa souris sur une image d’un produit vendu dans une boutique numérique.

Base de données, Cybersécurité, Entreprise, Espionnae, Facebook, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, Securite informatique, Social engineering

Facebook collecte-t-il des données étatiques ?

13 décembre 2017 Damien Bancal

Pour récupérer un compte Facebook, un espace Instagram piraté, le géant de l’Internet réclame une photo de votre visage et une copie de votre carte d’identité. Facebook collecte-t-il des données étatiques sous couvert de cybersécurité ?

Facebook serait-il en train de se constituer une base de données contenant des informations étatiques sous le couvert de ses opérations de cybersécurité ? Voilà la question qui est posée. De nombreux lecteurs de Data Security Breach ont reçu un message de Facebook après le blocage de leur compte sur le réseau social. un piratage, un message douteux, … Facebook exige la photographie du propriétaire et sa pièce d’identité. Un scan de la carte d’identité. Facebook explique qu’il s’agit de s’assurer que le propriétaire légitime pourra récupérer son espace. Cela démontre surtout que les algorithmes biométriques sont efficaces. Facebook compare avec les photos présentes sur le compte. Mais n’est-ce-pas aussi et surtout un moyen de fichier plus efficacement encore les utilisateurs.

Cette « récupération » de données (carte d’identité) permet de prouver aux actionnaires que les comptes sont bien associés à des personnes physiques.

Des majeures et solvables si possible.

Bref, voilà le questionnement sur cette « demande » d’informations. Facebook affirme ne rien sauvegarder sur ses serveurs : « Merci d’envoyer une photo de vous montrant clairement votre visage. Nous la vérifierons puis la supprimerons définitivement de nos serveurs ».

Valider son compte Facebook avec sa carte d’identité

Facebook a annoncé il y a peu vouloir utiliser cette méthode pour valider un nouveau compte ouvert sur sa plateforme. Le nouvel abonné, explique Wired, aura l’obligation de se prendre en photo pour ouvrir un profil. Facebook indique que ce projet de sécurisation sera opérationnel sous peu. Le système est testé depuis avril 2017. Facebook parle d’un système de sécurité. Système qui doit permettre de « détecter les activités suspectes » lors d’une demande d’ami ou pour créer une publicité.

Des algorithmes Facebook qui ne sont pas tous à mettre dans la case « espionnage » (quoique) ! A l’image de son détecteur de suicide. Un code qui apprend par lui même et qui serait capable d’alerter en cas de messages considérés comme « annonçant » un passage à l’acte suicidaire en cours. Un système de détection qui ne sera pas mis en place en Europe en raison des règles en matière de respect de la vie privée (RGPD). Une technologie testée depuis mars 2017.

Pour détecter ce genre de cri de détresse, Facebook a introduit en mars 2017 une technologie apprenant par elle-même.

Un algorithme autodidacte. Il a appris à identifier des modèles dans des données existantes : messages, photos … Il peut être utilisé pour détecter ces modèles dans de nouvelles données. Ces données peuvent être des messages inquiétants, des réactions soucieuses à ceux-ci, voire des appels à l’aide sous la forme de vidéos en direct. Plus l’algorithme de détection s’appliquera, plus il deviendra intelligent. « L’intelligence artificielle nous aidera à reconnaître également les nuances linguistiques plus subtiles et à identifier les tendances suicidaires, le harcèlement« , indique Mark Zuckerberg.

Android, Chiffrement, cryptage, Cybersécurité, Espionnae, ID, Identité numérique, ios, loi, Mise à jour, Particuliers, Sécurité, Securite informatique, Smartphone, Téléphonie, Vie privée, Windows phone

Interdit d’interdire ! La Chine bloque de nombreuses applications iPhone

27 novembre 2017 Damien Bancal

Le Ministère de la Santé Chinoise fait interdire de nombreuses applications après la modification de la législation locale. Skype résiste, mais pour combien de temps ?

La Chine fait interdire la VoIP ! Les utilisateurs Chinois d’iPhone sont de moins en moins à la fête après la modification de la loi Internet voté par le gouvernement. De nombreuses applications permettant de communiquer en mode VoIP ont été censurées. Le ministère de la santé publique a fait retirer plusieurs applications Voice-over-Internet-Protocol (VoIP). La loi ne les autorise plus sur le territoire Chinois.

Les boutiques d’Apple et Google souhaitant continuer à faire du business en Chine, les deux géants américains se plient donc à la censure Chinoise.

Skype fonctionne encore pour le moment, mais il n’est plus possible depuis fin octobre de payer les services Skype via Apple.

Skype est l’un des derniers outils non-chinois à fonctionner. Il y a six mois, Gmail, Twitter, Telegram ou encore Snapchat avaient été interdits. En septembre 2017, WhatsApp a été bloqué.

Des outils qui peuvent revenir batifoler avec le cyberespionnage Chinois à la condition ou le chiffrement des applications soit retiré. La Chine a aussi interdit l’utilisation des VPN. Amende et prison pour ceux qui tenteraient de jouer avec le yaomo, le diable.

Android, Apple, Chiffrement, cryptage, Cybersécurité, Espionnae, ID, Identité numérique, ios, Logiciels, Particuliers, Securite informatique, Smartphone, Téléphonie, Vie privée, Windows phone

Votre smartphone vous suit à la trace ?

27 novembre 2017 Damien Bancal

Même fermé, sans puce, les smartphones sont-ils capables de vous suivre à la trace ?

Trace or not trace ! Il ne se passe pas une journée ou je ne reçois par un courriel me demandant qu’elles sont les informations que collectent les téléphones portables. S’il fallait décortiquer l’ensemble des cas, vous jetteriez votre smartphone à la poubelle. Il faut savoir que les constructeurs indiquent ce qu’ils font avec nos appareils. Je vais prendre l’exemple de Google et de son système Android. Un OS qui équipe plusieurs centaines de millions d’appareils dans le monde.

Dans son espace Privacy, le géant américain indique que lorsque vous utilisez des services Google, ils sont susceptibles de collecter et traiter des données relatives à votre position exacte. Ils utilisent différentes technologies pour vous localiser : IP, signaux GPS. D’autres capteurs permettent d’identifier les appareils, les points WiFi, les antennes-relais à proximité.

https://twitter.com/fs0c131y/status/932249064208551936

Ce détail est intéressant car, par exemple, vous pouvez activer les services de localisation de Google pour optimiser les applications géo-dépendantes sur votre appareil. Si vous faites appel à ces services, votre appareil communique des informations concernant les points d’accès WiFi (telles que l’adresse MAC et la force du signal) et les antennes-relais qui se trouvent à proximité pour leur permettre de déterminer votre position. Vous pouvez utiliser les paramètres de votre appareil pour activer les services de localisation de Google.

Il s’avère que d’autres « capteurs » permettent de vous tracer avec une précision chirurgicale. Pour preuve, cet « espionnage » que Google orchestre depuis plusieurs mois via son outil Firebase Cloud Messaging. Une collecte d’information pas vraiment explicite de la part de l’américain. Son logiciel, qui ne peut être bloqué, fait une localisation de l’appareil. Une « option » usine qui doit disparaitre dans quelques semaines indique le journal Quartz.

Pour les autres appareils, Apple, Wiko, rassurez-vous, ils collectent aussi vos données, pour, parait-il, votre bien. (QZ)

Argent, Arnaque, backdoor, Chiffrement, Communiqué de presse, Cybersécurité, Espionnae, ID, Identité numérique, Mise à jour, Particuliers, Patch, Securite informatique

Joao : cyberattaque via un site dédié aux joueurs en ligne

25 août 2017 Damien Bancal

Des chercheurs ont découvert un nouveau malware baptisé Joao, qui se répand par le biais de jeux informatiques diffusés sur des sites non officiels. Joao est un malware modulaire, capable de télécharger et d’exécuter d’autres codes malveillants.

Joao, le malware joueur ! Pour diffuser leur malware, les attaquants cachés derrière Joao ont abusé de jeux de rôle en ligne massivement multi-joueurs. « Ils ont modifié les jeux pour les rendre capables de télécharger du malware additionnel” explique Tomáš Gardon, analyste de malware chez ESET.

Les recherches ont démontré que les criminels derrière cette campagne ont abusé de plusieurs titres de jeux d’Aeria Games et installé leurs versions modifiées sur des sites non officiels. Les jeux auxquels Joao a été rajouté, étaient capables de recueillir des informations concernant l’ordinateur infecté et ensuite de télécharger des composants supplémentaires offerts par le serveur Command&Control des malveillants. Les composants de Joao découvert disposaient de capacités backdoor (porte cachée), d’espionnage et de DDoS (blocage de serveur, ordinateur, …) par la diffusion de connexions malveillantes ayant pour mission de saturer la cible du Déni Distribué de Service. « Le processus d’infection est bien caché aux yeux des victimes et ces jeux modifiés fonctionnent comme on s’y attend. Lorsque des utilisateurs passionnés de jeux se lance dans le téléchargement du jeux usurpateur, rien ne peut éveiller leurs soupçons. Ceux qui ne sont pas protégés par une solutions de sécurité fiable se retrouvent avec leur ordinateur infecté ».

Amis gamers, le portail en capture écran est un faux site de @aeriagames – Les jeux sont TOUS piégés ! @zataz #cybersecurite @ShootandGame pic.twitter.com/oVtWOBi1AQ

— Damien Bancal o/ (@Damien_Bancal) August 23, 2017

Les experts en sécurité d’ESET conseillent de télécharger les jeux sur des sources officielles ; de faire les mises à jour proposées par les éditeurs ; utiliser une solution de sécurité fiable ; ne pas débrancher l’antivirus lors d’un jeu en ligne.

Android, backdoor, Cybersécurité, Espionnae, ID, Identité numérique, IOT, Leak, Particuliers, Piratage, Securite informatique, Smartphone, Téléphonie

Amazon retire de la vente des smartphones Chinois BLU

4 août 2017 Damien Bancal

La boutique en ligne Amazon vient de retirer de la vente des smartphones Chinois de la marque BLU. Un logiciel espion y était caché à l’insu du constructeur !

Les téléphones portables BLU ont le blues ! Les smartphones sont des cibles privilégiées dès que cela concerne l’interception de données. Des sociétés se sont spécialisées dans ce genre d’agissement, comme l’entreprise Chinoise Adups. Cette entreprise avait diffusé, il y a quelques mois, un spyware via des smartphones sortis d’usine. L’éditeur de solutions de sécurité informatique Kryptowire avait découvert en octobre 2016 qu’ADUPS avait équipé des téléphones portables à petit prix de son spyware et récupérait de nombreuses données personnelles via les téléphones infiltrés dont les messages, et les appels.

Dix mois plus tard, l’espion d’ADUPS a été modifié et de nouveau caché dans des smartphone low-cost dont ceux de la société BLU. Un spyware caché dans la chaîne d’assemblage des appareils. Le problème pour Adups est qu’une fois encore, son petit manège a été détecté par Kryptowire qui a expliqué le fonctionnement de cet espionnage lors du Black Hat de Las Vegas, l’avant DEF CON. Seulement, cette fois, un dommage collatéral vient d’apparaître.

L’un des fabricants de téléphone, lui même piégé cette infiltration, vient de voir ses téléphones interdits à la vente sur Amazon. La cyber boutique américaine a retiré de son référencement l’intégralité des produits de BLU.

Android, Communiqué de presse, Cybersécurité, Espionnae, ios, IOT, Particuliers, Sécurité, Securite informatique, Smartphone, Téléphonie, Vie privée

Safe WI-FI : protéger ses utilisateurs des attaques réseaux

2 août 2017 Damien Bancal

Lookout, spécialiste de la sécurisation de la mobilité, a annoncé l’ajout de la protection des attaques réseaux à son application Lookout Personal. Safe WI-FI permet de protéger les appareils mobiles des attaques réseaux de type Man-in-the-Middle (attaque de l’homme du milieu – MITM).

Cette nouvelle option ajoutée à l’offre premium de l’application de Lookout permet une veille constante des réseaux WI-FI accessibles, évalue le niveau de sécurité des réseaux gratuits et alerte ses utilisateurs en cas de risques ou d’attaque. Disponible sur IOS et Android, elle permet de protéger les données sensibles, confidentielles et financières contenues dans les appareils mobiles.

« On en entend parler depuis des années : se connecter sur des réseaux WI-FI inconnus peut causer des pertes de données importantes. Chaque jour, on rencontre quelqu’un assis à la terrasse d’un café qui envoie un message, qui répond à un mail de travail ou qui télécharge une photo sur un réseau social. On a besoin de savoir quand une connection internet prend plus qu’elle ne reçoit ! L’option Safe WI-FI de Lookout permet de sonner l’alerte quand vous vous connectez à un réseau dangereux ou faisant l’objet d’une attaque. » , explique Sibo Zhao, Principal Product Manager chez Lookout dans un article de blog.

L’ajout de la veille du niveau de sécurité des réseaux WI-FI à l’application Lookout Personal correspond à une demande plébiscitée par les utilisateurs de Lookout. Lookout Personal est la seule solution disponible sur le marché qui apporte à ses utilisateurs sécurité, protection de l’identité et prévention contre le vol en une seule et unique application ayant un niveau de protection transverse qui comprend les appareils mobiles, l’application, le réseau et les niveaux de navigation sur le Web. A ce jour des dizaines de millions d’individus qui utilisent leurs téléphones portables quotidiennement font appel à Lookout pour sécuriser de façon simple et facile leurs appareils portables et leurs données personnelles.

Apple, backdoor, Cyber-attaque, Cybersécurité, Espionnae, ios, Logiciels, OS X, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone

Fruitfly : code malveillant pour MAC

31 juillet 2017 Damien Bancal Un commentaire

Le malware, nommé Fruitfly, a été détecté en janvier 2017. Le chercheur en sécurité pour Synack, Patrick Wardle, a récemment détecté une variante du virus qui serait présente dans certains MAC depuis au moins cinq ans.

Fruitfly, le malveillant pour MAC ! Les capacités de ce logiciel-espion couvrent plusieurs fonctionnalités comme l’activation des webcams et micros, la modification d’un fichier ou l’enregistrement de la saisie clavier. L’espion peut alors surveiller les gestes de l’utilisateur mais aussi subtiliser ses données. Fruitfly a touché 400 appareils selon Mashable, principalement aux États-Unis, mais le chiffre pourrait être revu à la hausse selon le chercheur en sécurité.

Patrick Wardle voit dans ce virus une attaque sans but financier : Un pirate a conçu cet espiogiciel pour espionner des utilisateurs, en précisant que ce logiciel d’espionnage a été conçu pour de la surveillance de pointe. Le chercheur, qui a déjà travaillé pour la NSA, a déjà vu ce type de surveillance auparavant mais d’habitude, on voit ça dans des logiciels gouvernementaux ou d’État-nation selon lui.

Wardle estime que les créateurs de cette variante de Fruitfly avaient déjà abandonné leur malware. La menace est d’ailleurs en partie oubliée puisque les adresses des serveurs et les noms de domaines utilisés par le malware sont déjà désactivés.

La première version de FruitFly avait été détectée par Malwarebytes. La version cachée depuis 5 ans dans des centaines de MAC serait l’évolution de la souche découverte par MB. Jérôme Ségura, Expert en sécurité chez Malwarebytes nous livre les premiers éléments d’analyse sur ce nouveau malware : « Après la découverte de la première version du malware Mac FruitFly (détecté sous le nom de OSX.Backdoor.Quimitchin par Malwarebytes). FruitFly2 est lui aussi écrit avec du code assez rudimentaire. Ce genre de découverte nous rappelle que les Macs ne sont pas à l’abri des virus informatiques.«

Comme le montrait ZATAZ.COM, les logiciels espions pour MAC existent, certains sont mêmes offerts. 2017 a déjà battu le record de l’année ou le nombre de malwares ciblant Apple a été le plus important. La légende selon laquelle posséder un Mac met à l’abri des malwares doit être reconsidérée car nous constatons de plus en plus d’infections où l’utilisateur se fait duper et installe un programme malveillant sur un MAC.

Cyber-attaque, Cybersécurité, DDoS, Espionnae, ID, Identité numérique, IOT, Particuliers, Piratage

Hajime, un nouveau malware IoT aux 300 000 objets sous ses ordres

2 mai 2017 Damien Bancal

Hajime – un mystérieux malware IoT (Internet of Things) évolutif qui construit un botnet peer-to-peer géant. Récemment, le botnet s’est largement étendu, infectant des milliers d’appareils partout dans le monde. À date, le réseau compte près de 300 000 machines compromises et prêtes à travailler ensemble pour obéir aux consignes de leur donneur d’ordres. En attendant, la raison d’être de Hajime reste inconnue.

Hajime, qui veut dire « départ » ou « origine » en japonais, a montré ses premiers signes d’activité en octobre 2016. Depuis, il a évolué pour développer de nouvelles techniques de propagation. Le malware construit un gigantesque botnet peer-to-peer – un groupe décentralisé de machines compromises qui réalisent discrètement des attaques DDoS ou des campagnes de spam.

Cependant, Hajime n’est pas composé de code ou de fonctionnalités d’attaque – il contient uniquement un module de propagation. Hajime, une famille avancée et furtive, utilise différentes techniques – principalement des attaques par brute-force sur les mots de passe – pour infecter les machines. Ensuite, le malware prend des mesures variées pour se cacher des victimes. Et voici comment un appareil devient membre du botnet.

Hajime cible tous les types d’appareils. Cependant, les auteurs de ce malware se concentrent particulièrement sur les magnétoscopes numériques, suivis par les webcams et les routeurs.

Selon les chercheurs de Kaspersky Lab, Hajime évite plusieurs réseaux, y compris ceux de General Electric, Hewlett-Packard, des services postaux américains (US Postal Service), du Département de la Défense des États-Unis et un certain nombre de réseaux privés.

L’infection venait principalement du Vietnam (plus de 20%), puis Taiwan (près de 13%), le Brésil (approximativement 9%), au moment où la recherche de Kaspersky Lab a été effectuée.

La plupart des appareils compromis sont situés en Iran, au Vietnam et au Brésil.

Globalement, pendant la durée de ses recherches pas moins de 297 499 appareils uniques partageant la configuration de Hajime « Hajime intrigue particulièrement par sa raison d’être. Alors que son réseau d’objets compromise continue de grandir, son but reste inconnu. Nous n’avons trouvé de traces de sa présence dans aucune attaque ou autre activité malicieuse.. Cependant, nous conseillons aux propriétaires d’objets connectés de changer le mot de passe de leurs appareils au profit d’un mot de passe capable de supporter une attaque par brute-force, et de mettre à jour leur firmware lorsque c’est possible » précise Konstantin Zykov, Senior Security Researcher chez Kaspersky Lab.

Base de données, Chiffrement, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Leak, Piratage

Cyber-espionnage et ransomware en hausse

1 mai 2017 Damien Bancal

Le cyber-espionnage et les ransomwares sont en augmentation constante d’après le Data Breach Investigations Report 2017.

Le cyber-espionnage est désormais le type d’attaque le plus courant dont font l’objet l’industrie, le secteur public et même l’éducation, signale Verizon dans l’édition 2017 de son rapport Data Breach Investigations Report. Ceci s’explique surtout par la prolifération des recherches de propriété intellectuelle, des prototypes et des données personnelles confidentielles, qui attirent tout particulièrement les cybercriminels. Sur près de 2 000 compromissions analysées cette année, le rapport compte 300 cas de cyber-espionnage (21%), dont beaucoup n’étaient à l’origine que des e-mails de phishing.

De plus, les organisations criminelles intensifient leur utilisation des ransomwares pour extorquer l’argent des victimes : le rapport fait état d’une augmentation de 50% des attaques de ransomwares par rapport à l’année précédente. Malgré cette augmentation et la médiatisation autour de l’utilisation des ransomwares, de nombreuses entreprises utilisent toujours des solutions de sécurité qui ne sont plus au goût du jour et elles n’investissent pas suffisamment dans des précautions supplémentaires. Elles honorent les demandes de rançon plutôt que d’investir dans des services de sécurité qui pourraient les protéger d’une cyberattaque.

« Les éclairages qu’apporte le rapport DBIR uniformisent les règles du jeu de la cybersécurité », déclare George Fischer, président de Verizon Enterprise Solutions. « Nous apportons aux états et aux entreprises l’information dont ils ont besoin pour se protéger contre les cyberattaques et mieux gérer le cyber-risque. En analysant les données de notre propre équipe dédiée à la sécurité et celles d’autres grands professionnels de la sécurité et institutionnels du monde entier, nous mettons à disposition de précieuses informations de veille pour aider à transformer le profil de risque d’une organisation. »

Le rapport DBIR de cette année, qui en est à sa 10ème édition, propose une analyse des actuelles problématiques de cybersécurité et des informations sectorielles afin de sensibiliser les entreprises et administrations pour qu’elles fassent de la sécurité leur priorité. Voici quelques-unes des conclusions du rapport :

• L’importance croissante des malwares : 51% des cas de compromission de données analysés impliquaient des malwares. Le ransomware progresse à la cinquième place des malwares spécifiques les plus courants. Cette technologie d’extorsion de fonds aux victimes affiche une progression de 50% par rapport à l’édition précédente, et fait un énorme bond par rapport au rapport DBIR de 2014 où elle se classait à la 22ème place des types de malwares en circulation.

• Le phishing a toujours du succès : Dans l’édition 2016 du rapport DBIR, Verizon signalait l’utilisation croissante des techniques de phishing liées à l’installation d’un logiciel sur le terminal d’un utilisateur. Cette année, le processus se retrouve dans 95% des attaques de phishing. Une technique de phishing est présente dans 43% des cas de compromission de données et la méthode sert autant pour le cyber-espionnage que pour les attaques à but lucratif.

• Essor des tactiques de faux semblant (pretexting) : L’édition 2017 du rapport DBIR montre que la tactique en plein essor de pretexting cible de façon prédominante les salariés des services financiers, ceux qui détiennent les clés des procédures de transfert d’argent. L’e-mail est le premier vecteur de communication, utilisé dans 88% des cas de pretexting ayant un but lucratif, suivi en seconde position par les communications téléphoniques dans moins de 10% des cas.

• Les petites entreprises sont aussi visées : 61% des victimes analysées étaient des entreprises de moins de 1 000 salariés.

Cyber-espionnage

« Les cyber-attaques ciblant le facteur humain sont toujours un gros problème », déclare Bryan Sartin, directeur exécutif de la branche Global Security Services de Verizon Enterprise Solutions. « Les cybercriminels se concentrent sur quatre éléments moteurs du comportement humain pour encourager les individus à révéler des informations : l’empressement, la distraction, la curiosité et l’incertitude. Et ça marche, puisque notre rapport fait étatd’une forte augmentation des cas de phishing et de pretexting cette année. »

Le rapport de cette année apporte des éclairages concernant certains secteurs spécifiques, et révèle les problématiques spécifiques de différents secteurs verticaux, en plus de répondre systématiquement aux questions « qui ? quoi ? pourquoi ? et comment ? ».
Voici quelques-unes des conclusions sectorielles :

• Les trois secteurs d’industrie visés par les compromissions de données sont les services financiers (24%) ; la santé (15%) et le secteur public (12%).

• Les entreprises du secteur de l’industrie sont les cibles les plus fréquentes des malwares adressés par e-mail.

• 68% des menaces visant le secteur de la santé sont perpétrées depuis l’intérieur de l’organisation.

« Les données du cybercrime varient beaucoup d’un secteur à un autre », commente Bryan Sartin. « Ce n’est qu’en comprenant les mécanismes fondamentaux de chaque secteur vertical que l’on peut apprécier les défis de cybersécurité de chacun et recommander des mesures appropriées. »

Sachant que dans 81% des cas de compromission, on retrouve des mots de passe volés et/ou peu sécurisés ou faciles à deviner, il demeure très important de poser des bases solides. Voici quelques recommandations à l’attention des entreprises et des individus :
1.   Restez vigilants : les fichiers journaux et les systèmes de gestion du changement peuvent être des indicateurs d’alerte précoce d’une compromission.
2.   Utilisez vos salariés comme première ligne de défense : formez-les pour qu’ils sachent détecter les signes d’alerte.
3.   Appliquez le principe de la nécessité absolue : seuls les salariés ayant besoin d’avoir accès aux systèmes pour travailler sont effectivement autorisés.
4.   Installez les correctifs dans les meilleurs délais : c’est le meilleur moyen de se protéger de très nombreuses attaques.
5.   Chiffrez les données sensibles : rendez vos données inexploitables en cas de vol.
6.   Utilisez la double authentification : vous limiterez l’ampleur des dégâts en cas d’identifiants perdus ou volés.
7.   Ne négligez pas la sécurité physique : tous les vols de données ne se produisent pas en ligne.

Apple, backdoor, Cybersécurité, escroquerie, Espionnae, iOS, OS X, Particuliers, Téléphonie

Les utilisateurs Mac visés par une variante du malware Xagent

22 février 2017 Damien Bancal

Le malware Xagent s’attaque désormais aux utilisateurs Mac pour détourner des mots de passe et des sauvegardes iPhone.

Les pirates responsables de la menace APT28 ont renforcé leur arsenal – la charge utile du malware Xagent peut maintenant cibler des utilisateurs sous macOS dans le but de voler des mots de passe, faire des captures d’écran mais également voler des sauvegardes iPhone stockées sur le Mac. L’année dernière, nous avions publié une étude complète sur ce qui s’est révélé être l’une des plus grandes campagnes de cyber-espionnage, liée à la Russie.

L’échantillon auquel nous nous intéressons aujourd’hui, Bitdefender a pu mettre la main sur ce dernier lors d’un audit client, est lié à la version Mac du composant Xagent de Sofacy / APT28 / Sednit APT. Cette porte dérobée modulaire avec des capacités avancées de cyber-espionnage est probablement installée sur le système via le downloader Komplex.

Une fois installée avec succès, la porte dérobée vérifie si un débogueur est attaché au processus. S’il en détecte un, il s’arrête lui-même pour empêcher l’exécution. Sinon, il attend qu’une connexion Internet soit établie avant de lancer la communication avec les serveurs C&C. Une fois la communication établie, la charge utile démarre les modules.

L’analyse préliminaire montre que la plupart des URL des serveurs C&C prennent l’apparence de noms de domaines Apple. Une fois connecté au C&C, la charge utile envoie un “HelloMessage“, puis génère deux fils de communication s’exécutant en boucles infinies. Le premier utilise des requêtes POST pour envoyer des informations au C&C, tandis que le deuxième surveille les requêtes GET pour des commandes.

Où ces modules d’espionnage macOS s’installent-ils ?

L’analyse révèle la présence de modules capables de sonder les configurations matérielles et logicielles du système, d’obtenir la liste des processus en cours d’exécution, d’exécuter des fichiers supplémentaires, d’obtenir des captures d’écran et de récolter les mots de passe du navigateur. Mais le module le plus important, du point de vue de la collecte d’informations, est celui qui permet aux pirates d’exfiltrer les sauvegardes d’un l’iPhone stockées sur un Mac corrompu.
Tous ces modules sont en attente d’analyse (un document détaillé documentant toutes les fonctionnalités des modules sera disponible sous peu.)

Notre précédente analyse d’échantillons connus pour être liés au groupe APT28 montre un certain nombre de similitudes entre le composant Sofacy / APT28 / Sednit Xagent pour Windows / Linux, et le binaire macOS actuellement étudié par nos équipes. Pour une fois, la présence de modules similaires a été détectée, tels que FileSystem, KeyLogger et RemoteShell, ainsi qu’un module de réseau semblable appelé HttpChanel. D’autres indicateurs montrent que l’échantillon d’aujourd’hui utilise également une adresse URL d’un serveur C&C identique au cheval de Troie OSX Komplex de Sofacy / APT28 / Sednit, moins le TLD (apple – [*******] .net pour Komplex vs apple – [* ******]. Org pour Xagent).

L’expertise forensique du binaire révèle aussi des chaînes binaires identiques dans les clients Komplex et Xagent, comme : Chaîne binaire Komplex: « / Users / kazak / Desktop / Project / komplex » ; Chaîne binaire Xagent Mac: « / Users / kazak / Desktop / Project / XAgentOSX ».

Les équipes Bitdefender concluent donc cette première étape des analyses en supposant que c’est le composant Komplex découvert en septembre dernier qui a été utilisé afin de diffuser le malware Xagent sur macOS. L’enquête est en cours. Une étude complète sera bientôt mise à disposition par l’éditeur de solution de sécurité informatique. De manière générale, les utilisateurs Mac soucieux d’éviter les malwares tels que Xagent devraient toujours éviter les App store alternatifs, et ne se fier qu’au Store officiel et aux développeurs disposant d’une bonne renommée.

*Analyse fournie par Tiberius Axinte, Responsable Technique chez BitdefenderLabs

Antivirus, Apple, backdoor, Cyber-attaque, Cybersécurité, Espionnae, Fuite de données, Leak, Logiciels, Mise à jour, OS X, Particuliers, Patch, Piratage, Social engineering

MacDownloader, code malveillant made in Iran

8 février 2017 Damien Bancal

MacDownloader – Un groupe de pirates informatiques Iraniens utiliseraient un logiciel spécialisé dans le vol de données sauvegardées dans les appareils d’Apple.

Un groupe d’espions informatiques, il serait lié à l’Iran [Iran Cyber Security Group ?], utiliserait un logiciel nommé MacDownloader. Le programme malveillant réussirait à voler les informations d’identification et d’autres données sauvegardées dans les appareils Apple. Le malware a été analysé par Claudio Guarnieri et Collin Anderson, deux chercheurs spécialisés dans les campagnes iraniennes de surveillance et d’espionnage visant les droits de l’homme, la politique étrangère et les entités de la société civile.

MacDownloader a été déguisé par les attaquants comme une mise à jour de Flash Player et un outil de suppression d’adware de l’éditeur d’antivirus Bitdefender. L’outil aurait été créé vers la fin de 2016. Une grande partie du code a été copiée à partir d’autres sources et les experts pensent que cela pourrait être une première tentative mise en place par des développeurs amateurs.

Lorsque Guarnieri et Anderson ont effectué leur analyse, le logiciel malveillant était totalement inconnu par les antivirus [plus d’une trentaine, NDR] proposés sur VirusTotal. Depuis quelques jours, une douzaine de fournisseurs ont signalé les fausses applications Flash Player (15/53) et Bitdefender (11/53) comme étant malveillantes. MacDownloader a été découvert, la première fois, sur un faux site Web aux couleurs de la société aérospatiale United Technologies Corporation. Un espace connu pour avoir déjà diffusé, l’année dernière, des logiciels malveillants visant des ordinateurs sous Windows.

Ce malware macOS est lié à Charming Kitten, alias Newscaster et NewsBeef, une menace iranienne connu pour la création de faux comptes sur les réseaux sociaux. Son but, récolter des informations auprès de personnes ciblées aux États-Unis, Israël ou encore en Irak.

Une fois que MacDownloader infecte un périphérique, le malware récolte des informations sur le système, y compris les processus et les applications, et collecte les mots de passe stockés. Le malware Windows utilisé par le groupe est similaire, collectant les informations d’identification et l’historique du navigateur enregistrés depuis Chrome et Firefox. Bien que son code montre que les développeurs de MacDownloader ont tenté d’implémenter des fonctionnalités de mise à jour et de persistance à distance, ces mécanismes ne semblent pas être fonctionnels.

Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Justice, Particuliers, Sauvegarde, Social engineering

Fuite de données sensibles concernant des juges

29 décembre 2016 Damien Bancal

Un document papier retraçant les identités, les adresses et les numéros de téléphones de dizaines de juges découvert… par terre !

Le moins que l’on puisse dire est que les fuites de données peuvent prendre toutes les formes possibles et imaginables. 126 juges canadiens viennent de découvrir les joies du document ulta sécurisé, tellement qu’il n’existe qu’en version papier… mais qui se retrouve au sol, sur une place de parking. Un dossier comprenant les identités, les adresses postales privées, les numéros de téléphones de juges. Une tête en l’air l’a oublié ? la fait tomber ?

Comme l’indique nos cousins de « La Presse« , une copie a été retrouvée sur la place de stationnement d’un commerce des Laurentides. Un document qui n’existerait pas en mode numérique [ils l’ont tapé avec une vieille machine à écrire ?, NDR], sur aucun serveur et qu’il « est interdit de transmettre par voie électronique » [donc en numérique !, NDR].

Plus étonnant, cette liste, en plus des données professionnelles, comporte aussi les données privées, dont les identités des conjoints. Vue l’ambiance locale entre les nombreuses affaires de corruptions, de détournement d’argent, une telle liste pourrait être particulièrement préjudiciable pour le pays et ces hommes de loi.

backdoor, BYOD, Cybersécurité, Entreprise, Espionnae, Fuite de données, Mise à jour, Particuliers, Patch

Faille de sécurité : Netgear met à jour ses routeurs

26 décembre 2016 Damien Bancal

La firme Netgear, spécialiste dans le matériel informatique, vient de mettre à jour plusieurs de ses routeurs après la découverte d’une faille de sécurité.

Une faille de sécurité particulièrement gênante, elle permettait d’accéder à l’administration du matériel avec un simple URL, vient d’être corrigé par la société Netgear. L’entreprise a publié des mises à jour de firmware pour plusieurs de ses routeurs pour résoudre une vulnérabilité d’injection de commande critique qui peut être exploitée pour détourner à distance les périphériques concernés.

Cette fois, plusieurs routeurs Netgear ont été exposés à cette vulnérabilité permettant potentiellement aux pirates de prendre le contrôle de ces dispositifs. La faiblesse permet une injection de code qui permet d’obtenir des privilèges « root » dans les routeurs Netgear.

Initialement, seuls les routeurs Netgear R7000, R6400 et R8000 étaient considérés comme affectés, mais après analyse, les machines R6250, R6700, R7100LG, R7300DST et R7900 sont aussi impactés. Compte tenu de ce fait, Netgear a publié un firmware « bêta » pour chacun des périphériques affectés.

Netgear travaille sur la finalisation du firmware correcteur. Attention, le firmware bêta n’est qu’une solution temporaire et il peut ne pas fonctionner pour tous les périphériques. Il n’a pas été entièrement testé.

Banque, Cyber-attaque, Cybersécurité, Espionnae, Facebook, ID, Identité numérique, Leak, Particuliers, Piratage, Social engineering, Twitter, Vie privée

Des politiques Indiens attaqués par un mystérieux Legion Group

26 décembre 2016 Damien Bancal

Plusieurs politiques Indiens ont été victimes de piratages informatiques signés par un mystérieux collectif Anonymous prénommé Legion Group. Les pirates annoncent s’être aussi attaqués aux institutions bancaires du pays.

Au cours de ces derniers jours de décembre 2016, une dizaine de comptes Twitter d’hommes et de femmes politiques Indiens (Rahul Gandhi, Vijay Mallya, Ravish Kumar, Barkha Dutt) ont été piratés par un mystérieux collectif d’hacktivistes signant leurs actes sous le pseudonyme de Legion Group. Pour annoncer leurs actions, ils ont affiché plusieurs messages sur les comptes malmenés des politiques et de plusieurs journalistes de la télévision nationale : « Remember kids, e-mail us at legion_group@xxxxx.org if you have useful information or sp00lz.«

En novembre dernier, le vice-président du Congrés [Indian National Congress], Rahul Gandhi, avait été piraté par le même groupe. Des traces de Legion group ont été retrouvées à Bangalore, aux États-Unis, en Suède, au Canada, en Thaïlande et en Roumanie. Bref, les proxies tournent à plein. Le porte-parole, qui risque d’être l’unique membre de cette team, a indiqué agir sans aucun motif politique. « Notre prochaine cible, les banques du pays » affirme le pirate. Parmi les cibles annoncées : sansad.nic.in [Registar indien], et le système bancaire du pays. « Le système bancaire de l’Inde est profondément défectueux et a été piraté à plusieurs reprises » déclare Legion Group, sans apporter cependant la moindre preuve. Bref, peu importe le continent, les pirates sont tous les mêmes !

Arnaque, Base de données, Chiffrement, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, ID, Identité numérique, Leak, Mise à jour, Particuliers, Patch, Piratage, Social engineering, Vie privée

Nouveau piratage Yahoo : Des Français concernés

17 décembre 2016 Damien Bancal

Un nouveau piratage informatique de Yahoo! vient d’être confirmé par le géant de l’Internet Américain. Cette fois, 1 milliard de données clients sont concernées. Des Francophones sont visées par cette fuite de données massive.

Depuis quelques heures, Yahoo!, partout dans le monde, écrit aux clients de ses services (mails, …) concernés par une nouvelle fuite de données concernée par un nouveau piratage de données. Comme le confirmait ZATAZ.COM depuis le mois d’août 2016, les attaques et fuites d’informations sensibles appartenant au géant américain ne font que commencer tant les failles et « tuyaux percées » étaient nombreux.

En novembre 2016, les autorités policières ont fourni à Yahoo des fichiers de données qu’un tiers déclarait être des données d’utilisateurs Yahoo. « Nous avons analysé ces données avec l’aide de spécialistes externes et avons découvert qu’il s’agit de données d’utilisateurs Yahoo » indique le courriel envoyé aux internautes Francophones concernés. D’après les résultats de l’analyse plus approfondie qu’ont réalisé les spécialistes sur ces données, un tiers (1 seul ?) non autorisé a dérobé en août 2013 des données associées à un ensemble de comptes utilisateur « y compris le vôtre » annonce la missive. « Nous n’avons pas été en mesure d’identifier l’intrusion associée à ce vol. Nous avons des raisons de penser que cet incident est probablement distinct de celui que nous avons révélé le 22 septembre 2016« .

Il est possible que les informations dérobées dans les comptes utilisateur concernent des noms, des adresses mail, des numéros de téléphone, des dates de naissance, des mots de passe cryptés (au format MD5) et, dans certains cas, des questions/réponses chiffrées ou non chiffrées concernant la sécurité. Votre compte ne comporte peut-être pas toutes ces données. Les recherches indiquent que les informations dérobées n’incluent ni les mots de passe en texte clair, ni les données de carte de paiement, ni les informations concernant les comptes bancaires. Les données de carte de paiement et les informations relatives aux comptes bancaires ne sont pas stockées dans le système que nous pensons être concerné. Pour ce qui concerne le mot de passe, un « simple » hash MD5 qui se « crack » très rapidement si votre mot de passe est connu des bases de données.

Nous vous invitons à suivre ces recommandations concernant la sécurité :

Changez vos mots de passe et les questions/réponses de sécurité de vos autres comptes si vous avez repris des informations identiques ou semblables à celles que vous utilisez pour vous connecter à Yahoo.
Examinez vos comptes à la recherche de toute trace d’activité suspecte.
Faites preuve de la plus grande prudence si vous recevez des mails non sollicités vous demandant de fournir des informations personnelles ou qui vous envoient sur une page Web où vous devez indiquer des informations personnelles.
Évitez de cliquer sur des liens ou de télécharger des pièces jointes à des mails suspects.

Par ailleurs, pensez à utiliser une clé de compte Yahoo : cet outil d’authentification simple évite d’avoir à utiliser un mot de passe pour vos connexions avec Yahoo. Je vous conseille aussi, mais je ne suis pas le seul, à utiliser la double authentification, dont celle proposée par Yahoo! depuis peu ou encore Dailymotion, Google, Linkedin, Facebook, Twitter, Amazon ou encore votre propre site Internet.

Chiffrement, cryptage, Cybersécurité, Espionnae, Logiciels, Microsoft, Mise à jour, Particuliers, Patch

Microsoft diffuse des infos chiffrées via votre port 80

29 août 2016 Damien Bancal

Microsoft se fait envoyer, de votre ordinateur, des informations chiffrées. Toutes les 5 minutes des « trucs » passent par le port 80 de votre machine.

Âllo, le port 80 ? Voilà qui est « amusant ». Mike Patterson, patron de la société Plixer, spécialisée dans la sécurité informatique, découvre que les options de « confidentialité » proposées par Windows 10 ne servent à rien, mais qu’en plus, l’OS du géant américain communique toutes les 5 minutes des données chiffrées à un de ses serveurs.

Finesse de la chose, pour ne pas éveiller les soupçons, les données chiffrées communiquées à ssw.live.com le sont pas le port 80, via un bon gros HTTP. Il faut dire aussi que si les informations collectées, on ne sait pas lesquelles, passaient par un HTTPS (port 443), les soupçons auraient été plus rapide.

Lors de sa recherche, Mike Patterson a découverte que l’éditeur d’antivirus McAfee, ainsi que le fabriquant de casque Plantronics agissaient aussi de la sorte. [Techradar]

Cybersécurité, Espionnae, Justice, loi, Particuliers, Vie privée

Drones pirates : 352% de plaintes en plus en 1 an

10 août 2016 Damien Bancal

Les drones sont devenus des objets courants, aujourd’hui. A partir de quelques euros, il est possible d’acquérir un engin volant. Au Royaume-Uni, la crainte grimpe au sujet des drones pirates. 425 plaintes déposées en 2015.

Les drones pirates envahissent les commissariats. Les drones prennent de plus en plus de place dans le ciel. Amateurs de belles images, geek et autres amateurs d’objets high-tech se jettent sur ces objets volants. Il semble que les criminels aussi ! Il n’y a malheureusement pas de raison que ce genre d’engin ne soit pas utilisé, par exemple, pour filmer une zone à cambrioler.

Au Royaume-Uni, les autorités viennent de tirer la sonnette d’alarme. Une méthode pour attirer le regard bien veillant du législateur. Un rapport de la police britannique indique que les plaintes, concernant des drones, ont augmenté de 352 % en un an. En 2014, la police avait reçu 94 plaintes de particuliers et entreprises. En 2015, le chiffre est passé à 425. Pour 2016, semble-t-il, un chiffre encore plus élevé. Depuis mois de mai 2016, déjà 272 dossiers ont été enregistrés par les autorités. A noter que de nombreuses complaintes concernent aussi des drones appartenant à la police.

Des chiffres collectés par le journal The Independent. 21 postes de police du Royaume-Uni, sur 45, ont répondu. Autant dire que le chiffre global de 352% est très certainement en dessous de la réalité. Les chiffres comprennent également des drones ayant mis en danger des avions commerciaux, des transports de drogue vers des cellules de prison. 257 rapports ont été répertoriés comme étant une préoccupation sérieuse pour la sécurité publique… sept faisaient état de drones appartenant à de jeunes enfants.