Archives par mot-clé : espionnage

Une nouvelle forme de cybercriminalité nord-coréenne inquiète les entreprises américaines et britanniques : l’infiltration d’agents nord-coréens sous couvert de travailleurs informatiques. Grâce à des identités volées ou falsifiées, ces individus accèdent à des informations sensibles et, une fois découverts, extorquent des rançons à leurs employeurs.

L’arnaque des faux travailleurs informatiques n’est pas nouvelle, mais ce qui est inédit, c’est la tactique d’extorsion qui s’est développée au sein de ces opérations. Les agents, souvent employés comme sous-traitants informatiques dans de grandes entreprises, commencent par voler des données sensibles dès leur embauche. Lorsqu’ils sont licenciés pour des performances insuffisantes ou démasqués, ces agents menacent de rendre publiques les informations volées à moins de recevoir une rançon.

Par exemple, un sous-traitant a commencé à exfiltrer des données dès les premiers jours de son contrat en 2024. Après son licenciement, l’entreprise a reçu des demandes de rançon à six chiffres en cryptomonnaie. L’agent a envoyé des preuves du vol de données à travers des e-mails provenant de plusieurs adresses anonymes.

Un programme massif et organisé

Ces extorsions sont la partie émergée d’un vaste programme d’infiltration mené par le gouvernement nord-coréen. Depuis plusieurs années, les États-Unis et d’autres pays occidentaux mettent en garde les entreprises contre le recrutement de faux travailleurs informatiques, souvent opérant depuis la Chine ou la Russie, mais se faisant passer pour des résidents locaux grâce à des infrastructures de fermes d’ordinateurs portables. Le programme, qui ciblait initialement les entreprises de cryptomonnaie, s’est élargi aux entreprises du Fortune 100 et à des secteurs variés comme les technologies de l’information, les systèmes de chaîne d’approvisionnement, ou encore la production de puces électroniques.

Selon James Silver, directeur de la sécurité de Secureworks, ces agents ne se contentent pas d’extorquer de l’argent. Ils sont également intéressés par des informations sensibles, allant de la propriété intellectuelle aux données militaires et financières. Cela permet à la Corée du Nord de financer ses programmes militaires tout en profitant d’un flux de revenus via les rançons demandées aux entreprises.

Cependant, certaines de ces infiltrations semblent cibler des données qui ne sont pas traditionnellement d’intérêt pour Pyongyang, ce qui laisse penser qu’il pourrait y avoir une collaboration avec d’autres acteurs, comme la Chine. Stephen Schmidt, directeur de la sécurité chez Amazon, a mentionné lors d’une conférence que certaines informations exfiltrées semblaient plus utiles à Pékin qu’à Pyongyang, suggérant une éventuelle relation d’échange d’informations entre les deux nations.

Techniques utilisées par les agents nord-coréens

Les faux travailleurs nord-coréens utilisent plusieurs méthodes pour éviter d’être démasqués. Ils masquent souvent leur adresse IP et dirigent leurs ordinateurs portables professionnels vers des centres de calcul situés à l’étranger. Ils exploitent des outils tels que Chrome Remote Desktop ou AnyDesk pour accéder à distance aux systèmes de leurs employeurs.

Un autre indice de leur activité frauduleuse réside dans leur réticence à participer à des appels vidéo, souvent demandés par les entreprises pour vérifier l’identité des employés. Pour contourner ce problème, ces agents ont commencé à utiliser des outils comme SplitCam, qui permet de gérer plusieurs conversations vidéo en même temps à partir d’une seule webcam, brouillant ainsi davantage leur identité.

Les recherches menées ont révélé une tendance au partage d’identités parmi les agents nord-coréens. Dans certains cas, plusieurs individus semblent utiliser la même adresse e-mail ou CV pour postuler à différents postes. Lorsqu’un agent est démasqué ou licencié, il est parfois remplacé par un autre individu du même réseau, ce qui complique la tâche des entreprises pour identifier les véritables responsables.

Les défis de la détection et les risques pour les entreprises

Les entreprises touchées par ces infiltrations se trouvent confrontées à des défis majeurs. L’utilisation de faux profils, combinée à des méthodes de travail à distance, rend la détection des agents malveillants particulièrement difficile. Il a été observé que les agents nord-coréens mettent à jour fréquemment leurs informations bancaires et utilisent des services comme Payoneer pour éviter les systèmes de contrôle traditionnels. Cela permet de masquer les flux financiers et de rendre plus difficile l’identification des transactions suspectes.

De plus, ces agents travaillent souvent en réseau, se recommandant les uns les autres auprès des entreprises et partageant des identités et des outils pour faciliter l’infiltration. Dans certains cas, une seule personne peut adopter plusieurs identités ou utiliser différents styles de communication pour tromper ses employeurs.

Le risque pour les entreprises ne se limite plus à la perte de données ou à l’extorsion financière. Le vol de propriété intellectuelle, en particulier dans les secteurs technologiques et militaires, peut avoir des conséquences graves sur la sécurité nationale, en plus des pertes économiques. Les entreprises qui embauchent par inadvertance ces agents nord-coréens se retrouvent souvent dans des situations délicates, où elles doivent non seulement gérer les répercussions internes mais aussi les risques de réputation et de responsabilité légale.

La combinaison de cybercriminalité, d’espionnage industriel, et d’extorsion à grande échelle fait de ce phénomène un défi croissant pour les entreprises à travers le monde. Avec des méthodes de plus en plus sophistiquées et une expansion rapide de leurs cibles, les acteurs nord-coréens posent une menace sérieuse que les forces de l’ordre internationales peinent à contenir.

Avez-vous embauché un agent nord-coréen sans le savoir ?

Parmi les comportements suspects observés, si un employé insiste pour utiliser ses propres appareils, évite de se présenter à la webcam, et modifie fréquemment ses services de paiement, il pourrait s’agir d’un agent nord-coréen infiltré. Ces tactiques sont utilisées par Nickel Tapestry, un groupe soutenu par l’État nord-coréen, pour placer de faux travailleurs dans des entreprises commerciales basées aux États-Unis, au Royaume-Uni, et en Australie.

Utilisation d’équipements personnels : Les faux employés demandent souvent à utiliser leur propre ordinateur portable ou une infrastructure de bureau virtuel pour éviter de se connecter avec l’équipement de l’entreprise, ce qui complique la surveillance de leurs activités.
Camouflage de leur emplacement : Certains employés font envoyer leur équipement de travail à des adresses anonymes ou utilisent des fermes d’ordinateurs portables masquées par des adresses IP américaines.
Évitement des appels vidéo : Lorsqu’ils sont contraints d’utiliser les appareils de l’entreprise, ces agents invoquent des « problèmes techniques » pour éviter de se présenter lors des réunions en visioconférence. Dans certains cas, ils utilisent même des logiciels de clonage vidéo pour simuler leur présence.

Une infiltration bien orchestrée

Les agents de Nickel Tapestry ne se contentent pas de travailler seuls. Ils créent des réseaux entiers de faux employés et de fausses entreprises, fournissant des références professionnelles crédibles et gérant les paiements. Si un agent est découvert ou licencié, il est rapidement remplacé par un autre, permettant ainsi au système de continuer à fonctionner sans interruption. Les documents et CV utilisés par ces agents présentent souvent des similitudes dans leur style d’écriture, laissant supposer que plusieurs personnages sont contrôlés par une seule et même personne, ou par un groupe coordonné. Pour éviter d’être repérés par les banques, ces agents mettent à jour leurs comptes bancaires de manière régulière ou utilisent des services de paiement numérique comme Payoneer, qui a indiqué travailler de manière proactive pour lutter contre cette menace.

Le programme de cybercriminalité nord-coréen : une source de revenus vitale

L’infiltration des entreprises étrangères est devenue une source de revenus essentielle pour la Corée du Nord, qui est soumise à de sévères sanctions internationales limitant ses débouchés économiques. En 2022, le FBI, le département du Trésor et le département d’État des États-Unis ont publié un avertissement public, qualifiant le programme d’infiltration des travailleurs informatiques nord-coréens de « source de revenus cruciale » pour le régime de Pyongyang.

Les agents nord-coréens placés dans des entreprises occidentales, mais opérant en réalité depuis la Chine ou la Russie, peuvent gagner jusqu’à 300 000 dollars par an, ce qui représente un revenu dix fois supérieur à celui d’un ouvrier moyen en Corée du Nord.

Ces fonds servent à financer les projets militaires du pays, notamment son programme d’armement nucléaire. Le dirigeant nord-coréen, Kim Jong Un, a investi massivement dans les infrastructures informatiques et la formation des informaticiens du pays. De nombreux Nord-Coréens reçoivent des diplômes en informatique via des programmes rigoureux mis en place dans des centres de recherche régionaux, tant en Corée du Nord qu’à l’étranger. (treasury.gov)

backdoor, Cybersécurité, Espionnae

APPLE AVERTIT LES ARMÉNIENS DE TENTATIVES DE PIRATAGE SOUTENUES PAR L’ÉTAT

27 novembre 2023 Damien Bancal

Récemment, Apple a envoyé des alertes à ses clients en Arménie, les informant que leurs téléphones sont ciblés par des pirates informatiques soutenus par un État.

Le logiciel d’espionnage Pegasus est-il caché derrière l’alerte lancée par Apple, au début du mois de novembre, à l’encontre de plusieurs personnalités Arméniennes ? CyberHUB, une organisation arménienne de droits numériques qui enquête sur ces incidents, a observé une augmentation constante des infections par logiciels espions dans le pays au cours des deux dernières années. De nombreuses infections seraient liées au gouvernement azerbaïdjanais, connu pour son histoire conflictuelle avec l’Arménie, en particulier concernant la région contestée du Haut-Karabakh.

« Dans le cas de l’Arménie, ces avertissements signifient que le téléphone a été infecté par le logiciel espion Pegasus« , a déclaré Samvel Martirosyan, co-fondateur de CyberHUB, faisant référence à l’outil de surveillance développé par la firme israélienne NSO Group et vendu à des gouvernements du monde entier. NSO Group qui a demandé, il y a quelques jours, une demande de réunion avec la Maison Blanche pour expliquer l’importance de son outil lors du conflit entre Israël et le Hamas. Une entrevue, demandée par l’avocat de l’entreprise, qui indique d’ailleurs un élément important : le gouvernement israélien semble cautionner et utiliser Pegasus.

Bien qu’Apple n’ait pas précisé le logiciel espion utilisé ni identifié les responsables du piratage, il existe certaines preuves que la dernière vague d’infections a utilisé Pegasus, selon Natalia Krapiva, conseillère juridique et technologique chez Access Now, une organisation à but non lucratif pour les droits numériques. Cependant, elle souligne qu’il est difficile de le savoir avec certitude tant que l’enquête est en cours. Martirosyan a indiqué que le logiciel espion a probablement été installé sur ordre du gouvernement azerbaïdjanais. Pendant la guerre entre l’Arménie et l’Azerbaïdjan en 2020, le logiciel espion Pegasus a été utilisé pour cibler des journalistes, des militants, des fonctionnaires gouvernementaux et des civils arméniens. Bien que l’identité des pirates derrière ces attaques reste floue, des chercheurs suggèrent que l’Azerbaïdjan est l’un des suspects potentiels.

Le Citizen Lab de l’Université de Toronto a identifié au moins deux opérateurs présumés de Pegasus en Azerbaïdjan qui ont ciblé des individus à l’intérieur comme à l’extérieur du pays. Krapiva est également d’avis que « le suspect probable est l’Azerbaïdjan », en raison de son histoire avec Pegasus et de ses liens étroits avec Israël. Les tensions entre l’Arménie et l’Azerbaïdjan sont élevées et ont atteint un point critique en septembre lorsque l’Azerbaïdjan a lancé une offensive militaire à grande échelle au Haut-Karabakh, violant ainsi un accord de cessez-le-feu de 2020.

CyberHUB, qui enquête sur les infections par Pegasus depuis deux ans, a signalé que le nombre de piratages augmente en Arménie. Cependant, l’étendue réelle de ces piratages est difficile à déterminer, car de nombreuses victimes préfèrent ne pas rendre leurs cas publics, selon Krapiva. Elle ajoute que les utilisateurs d’Android ne reçoivent pas du tout de telles notifications. La plupart des infections surviennent lors d’escalades entre l’Arménie et l’Azerbaïdjan. Les cibles en Arménie ont inclus des politiciens de haut rang, des représentants de la société civile, des militants, des journalistes et des rédacteurs.

En septembre, l’Assemblée parlementaire du Conseil de l’Europe a qualifié l’utilisation du logiciel espion Pegasus par plusieurs pays de la région de potentiellement illégale.

Précision : Une version précédente de cet article indiquait que Pegasus avait été utilisé pour cibler des militants en Russie — il a en fait été spécifiquement utilisé contre une journaliste russe lors de son voyage en Allemagne, et elle a reçu la notification en Lettonie.

Android, ios, Smartphone, Téléphonie

Espionnage : nouvelle méthode pour écouter sur Android

9 janvier 2023 Damien Bancal

Un groupe de chercheurs a développé une attaque d’écoute pour les appareils Android qui peut reconnaître le sexe et l’identité d’un appelant, et même faire la distinction entre des propos privés.

L’attaque par canal latéral, baptisée EarSpy, vise à explorer de nouvelles possibilités d’écoute clandestine en capturant les lectures des capteurs de mouvement causées par la réverbération des haut-parleurs dans les appareils mobiles. Des chercheurs en sécurité de cinq universités américaines ont démontré comment des applications malveillantes peuvent également écouter sans avoir accès au microphone.

Comment ? Les smartphones modernes utilisent de puissants haut-parleurs stéréo qui produisent une bien meilleure qualité sonore et des vibrations plus fortes. De même, les appareils modernes utilisent des capteurs de mouvement et des gyroscopes plus sensibles, capables d’enregistrer même les plus petites résonances des haut-parleurs.

Identification à l’oreille !

L’identification du sexe de l’appelant sur le OnePlus 7T variait de 77,7 % à 98,7 %, la classification de l’identification de l’appelant variait de 63,0 % à 91,2 % et la reconnaissance vocale variait de 51,8 % à 56,4 %. Une chose qui peut réduire l’efficacité d’une attaque EarSpy est le volume que les utilisateurs choisissent pour leurs haut-parleurs. Un volume plus faible peut empêcher l’écoute clandestine par cette attaque de canal latéral.

La reconnaissance vocale – c’est-à-dire l’évaluation de ce qui a été dit – est encore trop imprécise à 56,42 % pour enregistrer complètement les conversations. Cependant, les chercheurs en sécurité supposent que cette tâche pourrait également être maîtrisée avec l’utilisation de meilleurs algorithmes – jusqu’à présent, ce sujet n’a fait qu’effleurer la surface.

APT, cyberattaque

Echapper aux espions : comment éviter de devenir une victime ?

12 février 2022 Damien Bancal

Nous pensons de manière générale qu’il est impossible de se protéger complètement des logiciels de surveillance professionnels. Les utilisateurs peuvent néanmoins prendre certaines mesures pour que les attaquants ne puissent pas les cibler aisément.

Pegasus, Chrysaor, Phantom et bien d’autres sont des logiciels dits de « surveillance légale », développés par des entreprises privées et largement déployés par le biais de divers exploits, dont plusieurs zero-days zero-click sur iOS. La version la plus ancienne de Pegasus a été identifiée par des chercheurs en 2016. Depuis lors, plus de 30 000 militants des droits de l’homme, journalistes et avocats à travers le monde pourraient avoir été ciblés à l’aide de Pegasus.

Conseils

Tout d’abord, il est important de redémarrer quotidiennement les appareils mobiles. Les redémarrages aident à « nettoyer » l’appareil, pour ainsi dire, ce qui signifie que les attaquants devront continuellement réinstaller Pegasus sur l’appareil, ce qui rend beaucoup plus probable la détection de l’infection par les solutions de sécurité.

Maintenez l’appareil mobile à jour et installez les derniers correctifs dès qu’ils sont disponibles. En fait, de nombreux kits d’exploitation ciblent des vulnérabilités déjà corrigées, mais ils restent dangereux pour les personnes qui utilisent des téléphones plus anciens et reportent les mises à jour.

Ne cliquez jamais sur les liens reçus par messages. Il s’agit d’un conseil simple mais efficace. Certains clients de Pegasus comptent davantage sur les exploits à 1 clic que sur ceux à zéro clic. Ceux-ci arrivent sous la forme d’un message, parfois par SMS, mais peuvent aussi se propager via d’autres messageries ou même par e-mail. Si vous recevez un SMS intéressant (ou par tout autre biais) avec un lien, ouvrez-le sur un ordinateur de bureau, de préférence en utilisant TOR Browser, ou mieux encore en utilisant un système d’exploitation non persistant sécurisé tel que Tails.

En outre, n’oubliez pas d’utiliser un autre navigateur web pour la recherche sur Internet. Certains exploits ne fonctionnent pas aussi bien sur les navigateurs alternatifs comme Firefox Focus par rapport aux navigateurs plus traditionnels comme Safari ou Google Chrome.

Utilisez systématiquement un VPN ; il est ainsi plus difficile pour les attaquants de cibler les utilisateurs en fonction de leur trafic internet. Lorsque vous souscrivez à un abonnement VPN, il y a quelques éléments à prendre en compte : recherchez des services établis qui existent depuis un certain temps, qui peuvent accepter le paiement avec des crypto-monnaies et qui ne vous demandent pas de fournir des informations d’enregistrement.

Installez une application de sécurité qui vérifie et prévient si l’appareil est soumis à un « jailbreak ». L’espionnage de votre téléphone peut débuter ainsi. Pour persister sur un appareil, les attaquants utilisant Pegasus auront souvent recours au jailbreak de l’appareil ciblé. Si un utilisateur a installé une solution de sécurité, il peut alors être alerté de l’attaque.

Si vous êtes un utilisateur iOS, déclenchez souvent des sysdiagnose et enregistrez-les dans des sauvegardes externes. Des analyses approfondies de l’objet malveillant peuvent vous aider à déterminer ultérieurement si vous avez été ciblé. Les experts de Kaspersky recommandent également aux utilisateurs iOS à risque de désactiver FaceTime et iMessage. Comme ils sont activés par défaut, il s’agit d’un mécanisme d’infection de premier plan pour les chaînes de zéro-clics et ce, depuis de nombreuses années.

En général, les attaques Pegasus sont très ciblées – ce qui signifie qu’elles n’infectent pas les gens en masse mais plutôt des catégories spécifiques. De nombreux journalistes, avocats et militants des droits de l’homme ont été identifiés comme des cibles de ces cyberattaques sophistiquées, mais ils ne sont pas toujours les plus équipés pour se défendre. C’est pourquoi, nous faisons de notre mieux pour fournir les meilleures techniques de protection contre les logiciels malveillants, les hackeurs et les menaces sophistiquées telles que celles-ci, afin de continuer à construire un monde plus sûr.

Troubler les assaillants

Changez d’appareil – si vous étiez sur iOS, essayez de passer à Android pendant un certain temps. Si vous étiez sur Android, passez à iOS. Cela pourrait dérouter les attaquants pendant un certain temps ; par exemple, certains acteurs malveillants sont connus pour avoir acheté des systèmes d’exploitation qui ne fonctionnent que sur certaines marques de téléphone et d’OS.

Procurez-vous un appareil secondaire, fonctionnant de préférence sous GrapheneOS, pour les communications sécurisées. Utilisez une carte SIM prépayée dans celui-ci, ou, ne vous connectez que par Wi-Fi et TOR en mode avion.

Évitez les messageries où vous devez fournir votre numéro de téléphone à vos contacts. Une fois qu’un attaquant a votre numéro de téléphone, il peut facilement vous cibler à travers plusieurs messageries différentes par ce biais – iMessage, WhatsApp, Signal, Telegram, ils sont tous liés à votre numéro de téléphone. Une nouvelle alternative pourrait être Session, qui achemine automatiquement vos messages à travers un réseau de type Onion et ne repose pas sur les numéros de téléphone.

« La sécurité n’est jamais une solution instantanée unique devenant une preuve fiable à 100 % ; considérez-la comme un cours d’eau qui coule et où vous devez ajuster votre navigation en fonction de la vitesse, des courants et des obstacles. » confirme Costin Raiu, responsable de l’équipe de recherche et d’analyse mondiale (GReAT) de Kaspersky.

Cybersécurité, Justice

Comment le Parti communiste chinois vole les travaux scientifiques

20 août 2020 Contributeur Partenaire

Des chercheurs de la société Avago, basée aux États-Unis et à Singapour, ont mis plus de 20 ans à développer une technologie capable d’améliorer les communications sans fil. Mais un employé a volé le fruit de leurs travaux au profit du gouvernement chinois. Les responsables américains voient dans ce vol un exemple de « l’approche extensive » du Parti communiste chinois qui consiste à voler des technologies et de la propriété intellectuelle. Son but ? Accroître sa puissance militaire et économique, et asseoir sa domination scientifique dans le monde.

La « fusion militaro-civile » s’inscrit dans cette logique. La FMC fait intervenir l’ensemble de la société : toutes les entreprises, toutes les personnes sont amenées à participer à la modernisation de l’armée chinoise, que ce soit en leur offrant des incitations, en les recrutant ou en leur forçant la main.

Voilà qui pose des problèmes considérables à tous ceux — universités, entreprises privées et pays — qui seraient prêts à travailler en collaboration avec leurs homologues chinois.

En mai, le président Trump a publié une proclamation visant à limiter la capacité du PCC à faire un usage abusif des visas d’étudiant pour acquérir indûment des technologies émergentes à l’appui de la FMC. En outre, les organes fédéraux d’application de la loi mènent plus d’un millier d’enquêtes sur le vol possible de technologies américaines, y compris pour les besoins de la FMC.

Le PCC a plusieurs cordes à son arc pour s’approprier les travaux de recherche d’autres pays. Il recrute des ressortissants chinois, paie secrètement des scientifiques étrangers pour qu’ils recréent leurs recherches en Chine et envoie des militaires à l’étranger en les faisant passer pour des civils. Le but est toujours le même : voler des technologies et des informations afin de faire progresser les objectifs militaires et de développement économique de la RPC.

Christopher Wray, le patron du FBI, a déclaré le 7 juillet que le PCC faisait « tout son possible pour exploiter l’ouverture » des démocraties afin de voler des données scientifiques.

Voici, par exemple, comment il s’y prend :

Le piratage d’entreprises étrangères

Dans un cas récent, deux pirates informatiques, en lien avec le ministère chinois de la Sécurité de l’État, ont ciblé des industries de haute technologie* dans 11 pays. Certaines développent des vaccins et des traitements contre la COVID-19.

Leur campagne de piratage, qui a duré plus de dix ans, a notamment ciblé les secteurs de la fabrication de haute technologie et de la défense ainsi que l’industrie pharmaceutique aux États-Unis, en Australie, en Allemagne, au Japon, en Espagne, en Corée du Sud, en Suède et au Royaume-Uni.

Le recrutement de citoyens chinois

En outre, pour faire avancer les objectifs militaires et de développement économique de la RPC, le PCC dispose de nombreux programmes de recrutement et de motivation de ressortissants chinois à l’étranger qui ont accès à des technologies et des informations sensibles.

Hongjin Tan, citoyen chinois et résident légal aux États-Unis, a postulé au programme de recrutement du PCC, le Plan des Mille Talents, et s’est engagé à « compiler » et à « absorber » la technologie américaine, a déclaré M. Wray.

Lorsqu’il a quitté son emploi dans une société pétrolière basée dans l’Oklahoma en décembre 2018, il a emporté des secrets industriels d’une valeur de plus d’un milliard de dollars. M. Tan a plaidé coupable de vol* et de transmission de secrets industriels, et a été condamné à 24 mois de prison.

En juin, Hao Zhang, un citoyen chinois de 41 ans, a été reconnu coupable d’espionnage économique* et de complot avec un ancien employé d’Avago, Wei Pang, en vue du vol de secrets industriels.

Les offres aux experts étrangers

Dans certains cas, Beijing a encouragé des scientifiques étrangers à recréer leurs recherches en Chine — alors qu’ils étaient financés simultanément par le gouvernement américain pour les mêmes travaux.

Selon des procureurs fédéraux, le programme des Mille talents du PCC s’est engagé à verser 50 000 dollars par mois à Charles Lieber, un chercheur à Harvard, et lui a accordé 1,5 million de dollars* pour établir un laboratoire de recherche à l’université de technologie de Wuhan. M. Lieber a accepté ce financement du gouvernement chinois sans les divulguer à Harvard ni à son bailleur de fonds, le département de la Défense, ce qui constitue une infraction aux règles et à la loi américaine.

M. Lieber est accusé d’avoir fait une déclaration fausse, fictive et frauduleuse.

Une enquête récente des Instituts nationaux de la santé (NIH) a révélé que 54 scientifiques ont été licenciés ou ont démissionné parce qu’ils n’avaient pas divulgué leurs liens financiers avec des gouvernements étrangers. Sur les 189 scientifiques visés par l’enquête, 93 % avaient des liens avec la RPC.

La dissimulation des affiliations militaires

Yanqing Ye, lieutenante dans l’Armée de libération du peuple, a envoyé des documents en Chine pendant qu’elle faisait des études dans la section de physique, chimie et génie biomédical de l’Université de Boston (BU), affirment des procureurs.

Elle s’est fait passer pour une étudiante sur sa demande de visa et a caché son affiliation militaire. L’un des chefs d’accusation retenus contre elle est d’être une agente d’un gouvernement étranger.

APT, backdoor, Communiqué de presse, Cybersécurité, Securite informatique

SneakyPastes : une opération basique mais efficace du cybergang Gaza frappe des cibles liées au Moyen-Orient dans 39 pays

22 avril 2019 Damien Bancal

En 2018, le cybergang Gaza, dont nous savons désormais qu’il comprend plusieurs groupes plus ou moins sophistiqués, a lancé une opération de cyberespionnage ciblant des personnes et des institutions ayant un intérêt politique en lien avec le Moyen-Orient. La campagne, nommée SneakyPastes, utilisent des adresses e-mail jetables pour propager l’infection par phishing, avant de télécharger le malware par étapes successives depuis divers sites gratuits. Cette méthode peu coûteuse mais efficace a permis au groupe de frapper environ 240 victimes d’envergure dans 39 pays à travers le monde, notamment des responsables politiques, des diplomates, des activistes ou des médias.

Le cybergang Gaza est un collectif arabophone à motivations politiques, rassemblant des groupes malveillants étroitement liés qui ciblent activement le Moyen-Orient et l’Afrique du Nord, en particulier les Territoires palestiniens. Kaspersky Lab a identifié au moins trois de ces groupes ayant des objectifs et des cibles similaires – pour du cyberespionnage lié à des intérêts politiques dans la région – mais présentant des outils, techniques et niveaux de sophistication très différents. Il existe cependant des éléments communs à chacun d’entre eux.

Le cybergang Gaza

Parmi ces groupes, les plus avancés sont Operation Parliament et Desert Falcons, identifiés respectivement depuis 2018 et 2015, aux côtés d’un groupe sous-jacent moins complexe, également connu sous le nom de MoleRats, actif depuis au moins 2012. Au printemps 2018, ce groupe de base a lancé l’opération SneakyPastes.

SneakyPastes a commencé par des attaques de phishing autour de thèmes politiques, propagées à l’aide d’adresses e-mail et de domaines « jetables » (à usage unique). Les liens ou fichiers joints malveillants sur lesquels les destinataires cliquaient ou où qu’ils téléchargeaient installaient ensuite l’infection sur leur machine.

SneakyPastes

Afin d’échapper aux systèmes de détection et de masquer la localisation du serveur de commande et de contrôle (C&C), un malware supplémentaire était téléchargé sur les machines des victimes par étapes successives depuis divers sites gratuits, notamment Pastebin et Github. Les différents implants malveillants utilisaient PowerShell, VBS, JS et dotnet pour assurer leur résilience et leur persistance à l’intérieur des systèmes infectés. La dernière étape de l’intrusion était un cheval de Troie à accès distant (RAT), qui contactait le serveur C&C puis collectait, compressait, cryptait et transférait vers celui-ci un large éventail de documents volés (tableaux de chiffres, par exemple). L’opération SneakyPastes tire son nom de l’utilisation massive, par les auteurs de l’attaque, de sites de collage (paste) pour infiltrer progressivement le RAT dans les systèmes des victimes.

Les chercheurs ont collaboré avec les autorités afin de mettre au jour le cycle complet d’attaque et d’intrusion de l’opération SneakyPastes. Ces efforts ont permis d’aboutir, non seulement à une connaissance détaillée des outils, techniques, cibles, etc., mais aussi au démantèlement effectif d’une grande partie de l’infrastructure.

Territoires palestiniens, en Jordanie, en Israël et au Liban

L’opération SneakyPastes a connu son pic d’activité entre avril et mi-novembre 2018, se concentrant sur une liste restreinte de cibles constituées d’entités diplomatiques et gouvernementales, d’ONG et de médias. D’après les données télémétriques, il semble exister environ 240 victimes d’envergure – individus ou institutions – dans 39 pays à travers le monde, dont la majorité se trouve dans les Territoires palestiniens, en Jordanie, en Israël et au Liban. Il s’agit notamment d’ambassades, d’administrations, de médias et de journalistes, d’activistes, de partis politique ou de particuliers, ainsi que d’établissements dans les secteurs de l’éducation, de la banque et de la santé ou encore des organisations contractantes.

« La découverte de Desert Falcons en 2015 a marqué un tournant dans le paysage des menaces car il s’agissait alors de la première APT connue qui soit entièrement arabophone. Nous savons à présent que ses auteurs, le cybergang Gaza, ciblent activement des intérêts moyen-orientaux depuis 2012. Celui-ci s’appuyait au départ sur les activités d’une équipe assez peu sophistiquée mais acharnée, à l’origine de l’opération SneakyPastes en 2018. SneakyPastes montre que le manque d’infrastructures et d’outils avancés n’est pas un obstacle au succès. Nous nous attendons à voir les dommages causés par les trois groupes du cybergang Gaza s’intensifier et leurs attaques s’étendre à d’autres régions du monde qui sont également liées à la question palestinienne », commente Amin Hasbini, responsable du centre de recherche pour le Moyen-Orient au sein de l’équipe GReAT (Global Research & Analysis Team).

Cybersécurité, Espionnae, Facebook, ID, Identité numérique, IOT, Logiciels, Particuliers, Securite informatique, Téléphonie

Facebook a payé 20 euros par mois pour espionner des utilisateurs

30 janvier 2019 Damien Bancal

Afin d’obtenir des données personnelles, Facebook a admis avoir payé secrètement des utilisateurs pour l’installation d’un VPN « Facebook Research » dans les appareils de volontaires. FR permet à la société de collecter et d’analyser l’ensemble des activités téléphoniques et en ligne d’un internaute.

Le plus surprenant dans cette histoire, c’est le prix payé pour les données les plus privées d’une personne. En effet, si un étranger vous abordait dans la rue et vous proposait de vous payer un montant symbolique chaque mois, en échange d’un accès inconditionnel à votre téléphone, et pour toujours, accepteriez-vous ?

Dans le cas de Facebook, les personnes se sont inscrites de leur plein gré pour fournir toutes leurs informations personnelles – données et activités – de manière extrêmement envahissante et pour seulement 20$ par mois. Il est assez remarquable de constater ce que les entreprises sont prêtes à faire pour accéder à des données personnelles, et en même temps, de réaliser la facilité avec laquelle les citoyens vont l’accepter.

4 internautes sur 10 estiment la vie privée comme un droit humain !

« Nos propres recherches montrent que moins de la moitié des personnes interrogées (47 %) considèrent la vie privée comme un droit humain. » explique Brad Poole, consumer privacy advocate chez HMA! Il existe donc une incompréhension des conséquences d’une vie privée non protégée, peut-être à cause d’une confiance non justifiée en la protection de leurs données.

Ce type « d’initiative » soulève également des questions plus alarmantes, quant à savoir si ce niveau d’accès n’est pas vendu ensuite à des tiers. Les utilisateurs doivent donc prendre conscience qu’en ligne, les choses ne sont peut-être pas toujours ce qu’elles semblent être.

backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Mise à jour, Patch, Propriété Industrielle, RGPD, Securite informatique, Téléphonie

Espionnage des vidéos des sonnettes de porte d’entrée Ring

13 janvier 2019 Damien Bancal

Les employés de la filiale d’Amazon, Ring, pouvaient consulter les vidéos et photos prises par les sonnettes de portes connectées installées partout dans le monde.

Ambiance espionnage pour la société Ring, filiale d’Amazon. Cette société, créée en Ukraine et racheté en 2018 par le géant de la vente en ligne américain (environ 1 milliard de dollars), commercialise des objets connectés, dont une sonnette pour porte d’entrée. L’objet permet de recevoir sur son smartphone des photos et vidéos des personnes pouvant sonner à l’entrée de votre domicile. Ring indique que sa mission est de « diminuer la criminalité dans les voisinages du monde entier« .

Les développeurs pouvaient accéder aux vidéos. Un espionnage des visiteurs sans véritable intérêt. Mais une fuite de données, reste une fuite de données d’autant plus pour les clients qui versent une abonnement de quelques euros par mois pour un stockage de 6 mois des documents créés par les sonnettes. The Information explique que les employés de l’ex-bureau de Ring en Ukraine accédait aux serveurs de stockage 3S d’Amazon.

Ensuite, les vidéos n’étaient pas chiffrées. Lisibles par tous, et cela depuis 2016. Il suffisait de taper le mail d’un client et utilisateur de Ring pour accéder aux clichés. Les employés se servaient des images pour « se taquiner ». La filiale d’Amazon a diffusé un communiqué de presse stipulant qu’elle prenait « très au sérieux la confidentialité et la sécurité des informations personnelles de ses clients. »

Pour conclure, le communiqué indique que les employés et son intelligence artificielle continuent de visionner les images prises par son matériel « afin d’améliorer ses services« . Des vidéos partagées publiquement. Les clients de Ring peuvent aussi donner leur accord de visionnage.

Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, Propriété Industrielle, Securite informatique

Espionnage des conducteurs de voiture via leur autoradio

27 octobre 2018 Damien Bancal

Les habitudes d’écoute de milliers de conducteurs de voitures surveillées, sans consentement, durant 3 mois. But final, diffuser des publicités ciblées !

Environ 90 000 conducteurs de véhicules General Motors ont été surveillés par le constructeur de voitures. Les propriétaires et leurs passagers ont été surveillés durant 3 mois alors qu’ils voyageaient sur les routes de Chicago et de Los Angeles. C’est l’équipe Detroit Free Press qui a révélé cet espionnage qui s’est déroulé en 2017. General Motors a confirmé cette « écoute » qui aurait été mis en place dans le cadre de son programme de suivi de radio. La société a reconnu collecter des données afin de les utiliser manière intelligente. Bref, traduisez par la diffusion de publicités ciblées. Vous comprenez maintenant pourquoi le fait de savoir que Renault a choisi Google comme moteur de recherche peut inquiéter les utilisateurs. Google connaîtra l’ensemble des comportements des conducteurs de voiture de la marque française. Qwant aurait été parfait pour éviter ce ciblage.

Via le Wi-Fi des voitures

Pour général Motors, lors de son test de trois mois, l’espionnage a utilisé le Wi-Fi proposé dans les voitures pour suivre les habitudes de certains de ses conducteurs dans l’espoir de voir s’il existait un lien entre ce que les conducteurs écoutent et ce qu’ils achètent. GM, avec 10 millions de voitures en circulation, est l’un des premiers constructeurs à entreprendre une telle étude. A noter que les 90 000 conducteurs de Los Angeles et de Chicago impactés avaient accepté de participer à une « proof of concept » sans connaitre la finalité de cette preuve de concept. « Les données sont ensuite agrégées et anonymisées. Les résultats obtenus sur un très grand échantillon et n’incluent aucune information personnellement identifiable » indique General Motors.

Espionnage dans nos voitures

L’espionnage, via les automobiles, n’est pas une nouveauté. Je vous passe les contenus que sont capables de stocker les « clés » sans fil des voitures. En 2015, Chevrolet proposait aux parents un logiciel d’espionnage, Teen Driver, intégré dans ses voitures. Raison invoquée, permettre aux parents de suivre leurs enfants conducteur ! Mais aussi être averti si la vitesse est dépassée (vitesse choisie par les parents). Recevoir des rapports sur les véhicules. Limiter le volume audio de l’auto radio.

Android, Antivirus, APT, backdoor, Chiffrement, Cyber-attaque, Cybersécurité, Espionnae, ID, Leak, Logiciels, Mise à jour, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie, Vie privée

Skygofree : un puissant logiciel de surveillance pour Android

17 janvier 2018 Damien Bancal

Skygofree : des chercheurs ont découvert un implant mobile avancé, actif depuis 2014 et conçu pour une cybersurveillance ciblée, peut-être afin de constituer un produit de « sécurité offensive ». Cet implant, nommé Skygofree, comporte des fonctionnalités inédites, telles que l’enregistrement audio suivant la géolocalisation via des appareils infectés. Le spyware se propage à travers des pages web imitant celles de grands opérateurs mobiles.

Skygofree est un logiciel-espion élaboré, à plusieurs modules, qui permet à des pirates de prendre totalement le contrôle à distance d’un appareil infecté. N’ayant cessé d’évoluer depuis la création de sa première version fin 2014, il est désormais capable d’intercepter les conversations et les bruits ambiants lorsque l’appareil infecté se trouve à un endroit donné, une fonctionnalité jamais vue jusque-là. Parmi les autres capacités avancées et inédites figurent des services d’accessibilité permettant de pirater des messages WhatsApp ou encore la possibilité de connecter l’appareil infecté à des réseaux Wi-Fi contrôlés par des individus malveillants.

Un logiciel espion très élaboré qui prend totalement le contrôle de l’appareil infecté.

L’implant exploite diverses vulnérabilités pour obtenir un accès root. Il peut également prendre des photos et des vidéos. Capturer des appels. Voler des SMS. Lancer une géolocalisation de l’appareil, des événements de l’agenda voire des informations professionnelles stockées en mémoire. Une fonction spéciale permet de contourner une technique d’économie de la batterie employée par un grand fabricant : l’implant s’ajoute alors à la liste des « applications protégées » de façon à ne pas être désactivé automatiquement lorsque l’écran est éteint.

Les pirates paraissent également s’intéresser aux utilisateurs Windows et les chercheurs ont découvert un certain nombre de modules développés récemment et ciblant cette plate-forme.

La plupart des pages web factices servant à répandre l’implant ont été enregistrées en 2015 alors que, selon les données télémétriques de Kaspersky Lab, la campagne de diffusion était à son paroxysme. La campagne est toujours en cours et le domaine le plus récent a été enregistré en octobre 2017. Les données indiquent plusieurs victimes à ce jour, toutes en Italie.

« Un malware mobile avancé est très difficile à identifier et à bloquer, et les développeurs qui se cachent derrière Skygofree en ont clairement tiré profit, en créant et faisant évoluer un implant capable d’espionner largement ses cibles sans éveiller les soupçons. Les éléments que nous avons découverts dans le code malveillant et notre analyse de l’infrastructure nous portent à croire avec un haut degré de certitude que les auteurs des implants Skygofree travaillent par une société informatique italienne proposant des solutions de surveillance, à la manière de HackingTeam », commente Alexey Firsh, analyste en malware spécialisé dans l’étude des attaques ciblées chez Kaspersky Lab.

Pour s’en protéger, être attentifs aux emails entrants, et équipés de logiciels de sécurité.

Les chercheurs ont identifié 48 commandes différentes pouvant être mises en œuvre par les pirates, pour un maximum de souplesse d’utilisation.

Pour assurer la protection contre la menace des malwares mobiles avancés, Kaspersky Lab recommande vivement l’installation d’une solution de sécurité fiable, capable d’identifier et de bloquer ces menaces sur les appareils des utilisateurs. Les utilisateurs sont en outre invités à faire preuve de prudence lorsqu’ils reçoivent des e-mails provenant de personnes ou d’entreprises inconnues ou comportant des demandes ou pièces jointes inattendues et de toujours vérifier à deux fois l’intégrité et l’origine des sites web avant de cliquer sur des liens. En cas de doute, mieux vaut contacter l’exploitant du site pour en avoir le cœur net. Les administrateurs système, pour leur part, doivent activer le contrôle des applications dans leur solution de sécurité mobile afin de maîtriser les programmes potentiellement dangereux vulnérables à cette attaque.

Kaspersky Lab détecte les versions de Skygofree sur Android sous HEUR:Trojan.AndroidOS.Skygofree et HEUR:Trojan.AndroidOS.Skygofree.b, et les versions Windows sous UDS:DangerousObject.Multi.Generic.

De plus amples informations, notamment la liste des commandes de Skygofree, les indicateurs d’infection (IoC), les adresses des domaines et les modèles d’appareils ciblés par les modules de l’implant, consultez le site Securelist.com.

Notes

Skygofree est nommé ainsi parce que le mot a été utilisé dans l’un des domaines. Le malware n’a rien à voir avec Sky, Sky Go ou une quelconque filiale de Sky, et n’affecte pas le service ou l’application Sky Go.

backdoor, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Piratage

Backdoor : fichiers Publisher peuvent entrainer des vols de données

13 septembre 2016 Damien Bancal

Une vague de spams ciblés infecte actuellement les ordinateurs Windows via une backdoor, permettant aux cybercriminels de dérober des informations sensibles d’entreprises.

Backdoor dans vos mails ? Les chercheurs antispam des Bitdefender Labs ont identifié quelques milliers d’e-mails contenant des pièces jointes ayant .pub, comme extension, et se faisant passer pour des commandes ou factures de produits. Les expéditeurs de ces courriers électroniques usurpent l’identité d’employés travaillant le plus souvent dans des petites et moyennes entreprises au Royaume-Uni ou en Chine, mais pas seulement, d’autres entreprises plus importantes sont également ciblées.

Les destinataires sont invités à ouvrir les fichiers joints avec Microsoft Publisher, un logiciel de Publication Assistée par Ordinateur (PAO), intégré à Microsoft Office 365. Publisher est communément utilisé pour éditer et mettre en page des textes, ou encore créer des flyers, newsletters, des e-mailings, etc.

« .pub n’est pas une extension de fichier souvent utilisée pour diffuser des logiciels malveillants », déclare Adrian Miron, Chef de la division Antispam des Bitdefender Labs. « Les spammeurs ont choisi ce type de fichiers, car, en général, les gens ne se doutent pas qu’il puisse être un vecteur d’infection ».

Backdoor : porte cachée 2.0

L’extension .pub infectée contient un script (VBScript) qui intègre une URL agissant comme un hôte distant. De là, le malware télécharge un dossier auto-extractible contenant un script AutoIt, outil qui sert à exécuter le script et un fichier chiffré en AES-256. Les chercheurs ont remarqué que ce fichier chiffré peut être déchiffré en utilisant une clé dérivée de l’algorithme MD5 (Message Digest 5), d’un texte écrit à l’intérieur du fichier AutoIt.

Une fois que le fichier est déchiffré et installé, les attaquants ont alors accès au système via une backdoor et peuvent contrôler les ressources sur l’ordinateur compromis. Le malware peut mémoriser des séquences de touches pour enregistrer les mots de passe et noms d’utilisateurs, dérober des informations de connexion à partir des navigateurs Web ou des e-mails, afficher les données du système et réaliser d’autres actions intrusives. « Nous avons des raisons de croire que ce type d’attaque provient de l’Arabie Saoudite et de la République tchèque », ajoute Adrian Miron.

Le code malveillant est détecté sous le nom de W97M.Downloader.EGF, ainsi que la charge utile de la backdoor comme Generic.Malware.SFLl.545292C0. [MD5 : 8bcaf480f97eb43d3bed8fcc7bc129a4]. Pour rester protégé contre ce type de menaces, il est conseillé aux entreprises d’installer un filtre antispam fiable. Les utilisateurs doivent éviter d’ouvrir et de télécharger des pièces jointes suspectes provenant de sources inconnues.

Cyber-attaque, Cybersécurité, Espionnae, Mise à jour, Particuliers, Piratage, Social engineering, Virus

Scarlet Mimic : Campagne d’espionnage politique

31 janvier 2016 Damien Bancal

Depuis quatre ans, une attaque informatique baptisée Scarlet Mimic vise des ONG protectrices de minorités Chinoises.

La Chine, c’est 56 « ethnies ». Le Han représentent 92% de la population. Les revendications indépendantistes existent. Le plus connu étant celui du Tibet et les Ouïghours. Mais on y trouve aussi la Mongolie Intérieure avec les Dariangs, Ordos, Khalkhas ou encore les Zhuang. Bref, ça fait du monde.

Au cours des sept derniers mois, l’Unité 42 de PaloAlto a repéré une série d’attaques attribuées à un groupe de pirates informatiques baptisés « Scarlet Mimic. » Les piratages ont débuté il y a plus de quatre ans et leur modèle de ciblage suggère que la mission principale de cet adversaire est de recueillir des informations sur des militants en charge des droits des minorités Chinoises. Il n’y a pas de preuves reliant directement ces attaques à une source gouvernementale. Les cibles font cependant pencher les regards vers le gouvernement chinois.

Les attaques de Scarlet Mimic ont visé les Ouïghours et des militants Tibétains, ainsi que des internautes intéressés par leurs causes. La minorité musulmane turcophone résidant principalement dans au nord-ouest de la Chine a été la cible de plusieurs attaques sophistiquées ces derniers mois.

backdoor, Cybersécurité, Facebook, ID, Identité numérique, Mise à jour, Particuliers, Patch

Addiction : Facebook a testé une application secrète

6 janvier 2016 Damien Bancal

Facebook a testé, en secret, une application Android dédiée à l’addiction de ses utilisateurs au réseau social.

Facebook a mené des tests secrets pour déterminer l’ampleur de la dépendance de ses utilisateurs sous Android. Comme des mannequins dédiés aux crashs tests automobiles, les utilisateurs de l’application Facebook pour Android étaient sous la surveillance du géant américain sans avoir été informés des tests.

Des « analyses » menées de manière à ce que Facebook fût capable de déterminer le niveau d’addiction de l’utilisateur de la dite application. Facebook voulait savoir si l’internaute venait via un navigateur, via Google Play. Bref, du marketing au parfum « Big brother ». Avec un milliard d’utilisateurs Android, il y a une forte motivation pour Facebook de tester ce genre de chose. La société de Mark Zuckerberg aurait aussi testé cette méthode pour sa propre boutique (app store).

Android, Cybersécurité, Espionnae, ios, Particuliers, Sécurité, Smartphone, Social engineering, Vie privée, Windows phone

NSA : l’espionnage toujours en cours

4 janvier 2016 Damien Bancal

Le Wall Street Journal a rapporté que la NSA a espionné le Premier ministre israélien Benjamin Netanyahu et ses principaux collaborateurs.

Le président Obama et son administration continuent l’espionnage des alliés et alliés « pour du semblant ». Le Wall Street Journal a confirmé l’espionnage numérique du Premier ministre israélien Benjamin Netanyahu et de ses principaux collaborateurs. Comme le rapporte le WSJ, une mise sur écoute « de certaines conversations privées avec les législateurs américains et des groupes américano-juif». La NSA voulait clairement emmagasiner de l’information sur les tentatives de sabotage des accords avec l’Iran.

Ce qui est « marrant » dans cette histoire, c’est de lire les propos de toutes sortes d’internautes, tel que le politique Pete Hoekstra. Ce dernier a passé de nombreuses années à défendre les programmes de surveillance de la NSA. Aujourd’hui, il s’indigne de cette mise sur écoute massive de dirigeants israéliens. En 2014, Pete Hoekstra se moquait du Brésil et de l’Allemagne. Deux nations qui montraient du doigt l’espionnage de ses dirigeants par la National Security Agency.

Cybersécurité, Logiciels, Particuliers, Social engineering, Tor, Twitter

Piratage de comptes Twitter, une fuite que le petit oiseau prend au sérieux

18 décembre 2015 Damien Bancal

Plusieurs centaines d’utilisateurs de Twitter alertés par le site de micro blogging suite à une attaque informatique qui aurait été fomentée par un gouvernement étranger.

Twitter a-t-il pris le chemin de la communication de Facebook ? Il faut dire aussi que le petit oiseau peine à prendre le pouvoir des réseaux de micro blogging dominé des pieds et de la tête par Facebook.

Comme pour Facebook en octobre, Twitter vient d’alerter plusieurs centaines de ses utilisateurs à la suite de la découverte d’une tentative de piratage de comptes. Comme pour Facebook, l’attaque aurait été signée par un gouvernement étranger. Une faille de sécurité informatique inconnue qui aurait été utilisée par des pirates « soutenus par un Etat » ? Twitter indique, dans les courriels envoyés lors du week-end du 12/13 décembre 2015, qu’il écrit à « titre de précaution« .

We received a warning from @twitter today stating we may be "targeted by state-sponsored actors" pic.twitter.com/oZm83eVFC5

— coldhak (@coldhakca) December 11, 2015

Bref, une base de données qui a dû être « tapée » par des pirates Russes, Chinois, Indiens… retrouvée dans le blackmarket par une société de sécurité informatique. Rien de nouveau sous le soleil tant les bases de données de ce type pullulent.

Just received this email from Twitter suggesting my account may have been targeted by state-sponsored actors. pic.twitter.com/QLcCzsHphw

— Runa Sandvik (@runasand) December 11, 2015

Pour le cas de Twitter, des adresses mail, des adresses IP et des numéros de téléphone ont été retrouvées. « Nous enquêtons activement sur cette question […] rien ne prouve à ce stade qu’ils aient obtenu des informations sur votre compte« . Twitter propose aux internautes d’utiliser TOR pour protéger leurs communications passant par Internet.

Avec 2,5 millions d’utilisateurs quotidiens, le réseau Tor est système le plus populaire au monde pour protéger l’anonymat des utilisateurs d’Internet.

Base de données, Contrefaçon, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Social engineering

Les Services de Renseignements Danois se penchent sur la sécurité informatique

17 décembre 2015 Damien Bancal

Dans son rapport baptisé « Intelligence Risk Assessment 2015 – An assessment of developments abroad impacting on Danish security« , le Danish Defense Intelligence Service, revient sur les problématiques rencontrés par les services secrets Danois.

Dans son dernier rapport en date, baptisé « Intelligence Risk Assessment 2015« , les Services de Renseignements Danois (DDIS) reviennent sur une année 2015 chargée. Le Danish Defense Intelligence Service s’inquiète de l’évolution des risques d’espionnage contre les institutions publiques et les entreprises privées danoises. « Le cybercrime constitue la plus grave des menaces au Danemark et pour les intérêts Danois » souligne le FE. « Ce type d’espionnage est principalement mené par des Etats et des groupes parrainés par des États« .

Au cours des dernières années, le cyber espionnage contre le Danemark a considérablement augmenté, et les méthodes et techniques employées par les auteurs sont devenues de plus en plus sophistiquée. « L’espionnage cybernétique contre les autorités danoises et les entreprises est très élevée » confirme DDIS. Pour le Danish Defense, il est fort probable que plusieurs États vont exploiter l’Internet à des fins offensives. DDIS cite d’ailleurs l’État islamique en Irak et le Levant (ISIL) et ses filiales régionales.

Le Service de Renseignement Danois termine son rapport sur le danger que peuvent être les prestataires de services. Un exemple, celui vécu par certains services de la police locale dont les serveurs avaient été attaqués par le biais d’un fournisseur de services. « Des dispositifs de faibles qualités constituent un risque que des acteurs malveillants savent exploiter, comme par exemple les routeurs qui sont exploités pour mener espionnage ou sabotage« .

backdoor, Cybersécurité, Espionnae, ID, Identité numérique, IOT, Mise à jour, Particuliers, Patch

Des ondes non audibles capables de lancer votre micro

23 novembre 2015 Damien Bancal

Méfiez-vous des annonces publicitaires qui peuvent utiliser le son de vos enceintes pour permettre d’écouter votre téléphone, TV, tablette, et PC.

Supposez que votre navigateur Internet ouvre un site web avec une pub, et que celle-ci actionne par ondes acoustiques non-audibles le micro de votre smartphone. De la science-fiction ? Le Centre pour la démocratie et de la technologie (Center for Democracy and Technology) vient d’alerter la Commission Fédérale Américaine, la FTC, que cette possibilité était loin d’être à négliger.

Des entreprises (SilverPush, Drawbridge, Flurry) travaillent sur les moyens de suivre un utilisateur via les dispositifs informatiques qu’il utilise. Adobe développe également des technologies de suivi multi-appareils. A la vue du nombre de failles exploitées par les malveillantes dans les produits Adobe tels que Flash ou PDF, voilà qui a de quoi inquiéter.

La société Californienne SilverPush travaille sur des balises exploitant des ultrasons qu’un homme ne peut pas entendre. « SilverPush intègre également des signaux dans des publicités télévisées » confirme le document du CDT. L’idée de ce traçage, savoir quand le téléspectateur à vue la publicité. A-t-il zappé ? Est-il resté devant ? Cette idée semble être tirée de BadBIOS, un malware découvert par le chercheur Dragos Ruiu, qui utilise, lui aussi, les ultrasons dans ses basses besognes. (ArtTechnica)

backdoor, Cybersécurité, Social engineering

Du matériel d’espionnage découvert dans une école parisienne

13 octobre 2015 Damien Bancal Un commentaire

Découverte d’un matériel électronique d’espionnage dans les locaux d’une école du Nord-Est Parisien. Il visait des anarchistes locaux.

Le blog du groupe d’anarchistes La Discordia revient sur la découverte d’un étrange matériel d’espionnage qui semble avoir visé la bibliothèque de ce groupe politique parisien. Une caméra, une connexion GSM, du matos qui semble être une pirate box, un transmetteur GSM Jablotron (290€), un routeur de chez PEPLink et une puce GSM Orange. Le tout caché dans une boite « faite maison », raccordée à un chouette petit pc de la famille des Fit PC. Dans ce cas, un fit-PC2 à 400 euros, fabriqué en Israël. Bref, plus de 1.000€ de matos pour espionner cette bibliothèque qui est née en avril 2015 et qui s’est donnée comme mission de partager des informations sur l’actualité du mouvement révolutionnaire et anti-autoritaire à travers le monde.

backdoor, Chiffrement, cryptage, Cybersécurité, Téléphonie

Une opération d’espionnage de la NSA cause la mort d’un employé Grec

30 septembre 2015 Damien Bancal

Un document sorti des données volées par Edward Snowden explique comment une opération de la NSA a causé la mort d’un employé des télécoms grecs.

En 2005, Costas, un employé des télécoms Grec trouve la mort d’une manière mystérieuse. L’affaire s’est déroulée dans un vieux quartier d’Athènes, à proximité du parc archéologique d’Akadimia Platonos. Le technicien de 38 ans n’aurait jamais imaginer mourir sur les terres de Platon, pendu dans une salle de bain. En cause, selon un document diffusé par Edward Snowden via le site The intercept, la NSA.

Le patron de cet employé, Vodafone, avait découvert une écoute téléphonique sophistiquée visant une centaine de politiques grecs, y compris le Premier ministre Kostas Karamanlis et son épouse, Natassa; le maire d’Athènes; membres du cabinet ministériel; ainsi que des journalistes. Un Watergate Grec qui après les Jeux Olympiques d’Athènes, en 2004.

Dix ans plus tard, la mort de Costas revient sur le devant de la scène via une enquête gouvernementale qui annonce clairement travailler sur ce qui semble avoir été une opération secrète américaine, en Grèce. Une coopération Grèce/NSA pour contrer de potentiels actes de terrorismes lors des JO et du matériel d’écoute qui ne sera pas retiré après les Olympiades, mais utilisé ensuite contre le gouvernement Grec.

Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers

Les espions britanniques… espionnent des ressortissants américains

27 septembre 2015 Damien Bancal

Le site Cryptome annonce que les espions britanniques du GCHQ ont surveillé les américains qui venaient consulter l’ancêtre de wikileaks.

Pour faire simple, Cryptome est le papa de wikileaks. Depuis plus de 15 ans, Cryptome diffuse des informations qui lui sont transmissent et qui relatent des documents du FBI, CIA, Services secrets de la planéte et autres documentations liées aux droits de l’homme. Cryptome vient s’expliquer, dans un article baptisé « GCHQ Illegal Spying in US » que les grandes oreilles britanniques ont espionné les internautes américains venus se renseigner sur l’espionnage dans le monde, et plus précisément celui mis en place par l’Oncle Sam. Une attaque MITM, Man-In-The-Middle, qui semble avoir permis au GCHQ de tracer les internautes venus se renseigner.

Cette opération de surveillance de masse – baptisée Karma Police – a été lancée par des espions britanniques il y a environ sept ans. Un espionnage sans aucun débat public, ni examen politique. Un espionnage de l’Internet mondial mis en place par l’agence des écoutes électroniques du Royaume-Uni, le Government Communications Headquarters (GCHQ). De nouveaux documents tirés des fichiers volés par Edward Snowden, ancien analyste de la NSA, ont été diffusés par The Intercept.

Cybersécurité, Entreprise, Fraude au président, Fuite de données, pourriel, Propriété Industrielle, Social engineering

Campagnes de phishing ciblant les experts sécurité sur Linkedin

14 septembre 2015 Damien Bancal

La société F-Secure a mis à jour la semaine dernière des campagnes de phishing/engineering social sur Linkedin, menées par des cybercriminels visant particulièrement des experts sécurité. Afin de recueillir un maximum d’informations sur des experts ciblés, les attaquants ont créé des faux comptes Linkedin invitant des experts sécurité à rejoindre leur réseaux.

Cette attaque d’ingénierie sociale mise en lumière par F-Secure nous rappelle que les réseaux sociaux sont une mine d’informations pour les cybercriminels. Le réseau Linkedin est particulièrement ciblé dans le cadre de social engineering car il permet aux cybercriminels de collecter et corréler un maximum d’informations professionnelles : qui sont les personnes en charge de la sécurité, en charge des finances, quels sont les outils IT et les applications métiers, les outils utilisés par l’entreprise, etc…

Les cybercriminels mènent des attaques de plus en plus ciblées pour franchir les systèmes de détection et investissent du temps dans le social engineering car cela leur permet de cibler très précisément les bonnes personnes dans le cadre d’attaques de spear phishing notamment, en leur envoyant des emails frauduleux très crédibles avec des pièces jointes vérolées, etc…

Au delà de Linkedin, ce sont évidemment tous les réseaux sociaux qui sont aujourd’hui ciblés. Sébastien Goutal, Chief Science Officer pour la société Vade Retro, spécialiste de la lutte anti-phishing, livre ci-dessous une analyse un peu plus détaillée sur les abus liés aux réseaux sociaux, les moyens à mettre en place et notamment une vraie coopération des grands acteurs internationaux comme c’est le cas avec le projet ThreatExchange de Facebook.

Surveiller en permanence les abus

La gestion des abus au sein des réseaux sociaux présente de nombreux défis. En effet, la capacité d’un réseau social à pouvoir diffuser rapidement de l’information à un grand nombre d’utilisateurs joue en faveur de l’attaquant. Il suffit de considérer les chiffres pour appréhender l’aspect potentiellement hautement viral d’une attaque, dans le cas par exemple d’un compte utilisateur compromis – vecteur classique d’une attaque. Facebook c’est 1.4 milliard d’utilisateurs actifs, plus de 200 friends en moyenne et une très grande réactivité de la communauté, en particulier via l’application mobile. En outre, la quantité considérable de données à traiter en temps réel pour détecter les menaces pose un véritable défi à tous les niveaux. Les infrastructures techniques sont très fortement sollicitées et de nombreux éléments statistiques sont calculés au fil de l’eau pour permettre une analyse pertinente et rapide du flux d’information. A ce titre, on se rappellera que les réseaux sociaux ont été à l’origine – et restent au cœur – de la révolution Big data.

Les réseaux sociaux sont encore jeunes

Un autre élément majeur concerne la jeunesse des réseaux sociaux, et le fait que ce soient des produits en évolution permanente: rien n’est pour l’instant gravé dans le marbre, ce qui donne une certaine marge de manœuvre. Par exemple, des évolutions produits mineures ont permis de réduire de manière importante les menaces: l’obligation de posséder un téléphone portable pour créer un compte est une solution simple et très efficace pour limiter la création de comptes frauduleux, car elle implique un coût économique important pour l’attaquant, alors que la gène pour l’utilisateur légitime est négligeable. La communication entre les équipes produits et sécurité est un élément capital dans la lutte contre les abus.

L’union fait la force

En matière de sécurité, l’union fait la force. La coopération entre les grands acteurs du monde numérique est donc cruciale pour lutter contre les abus. A ce titre mentionnons une initiative lancée par Facebook, le projet ThreatExchange: une plateforme permettant aux différents acteurs de l’écosystème numérique d’échanger des informations relatives aux menaces – telles que des URL ou des adresses IP suspectes. Un des points importants de cette plateforme est que chaque participant peut sélectionner qui sera destinataire de ces informations sensibles. En effet, qui souhaiterait partager des informations sensibles avec un concurrent? De nombreux acteurs importants tels que Bitly, Yahoo!, LinkedIn ou Twitter participent dores et déjà à cette excellente initiative.

Les menaces numériques sont en évolution constante. On les retrouve sous plusieurs formes, de l’email au sms, elles tentent désormais de tirer partie des réseaux sociaux. La lutte s’annonce acharnée, et les acteurs du monde numérique ont les moyens de réduire significativement ces menaces, en particulier en coopérant. L’avenir nous dira si ces mesures ont été efficaces.

A noter que l’équipe de Data Security Breach propose des ateliers de sensibilisations à la sécurité informatique en entreprise, associations, territoriales, … n’hésitez pas à nous contacter.

Cybersécurité, Espionnae, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering, Vie privée

Activity Update de Windows 10 surveille les enfants

31 août 2015 Damien Bancal

De nombreux parents américains hurlent à l’espionnage de leurs enfants via l’option Activity Update de Windows 10.

Activity Update est l’une des nombreuses, très nombreuses options de Windows 10 permettant de collecter des informations pour « une meilleure utilisation client » indique Microsoft. Sauf que « la mise à jour de l’activité » permet aussi aux parents de recevoir la vie numérique de leur progéniture sur la toile.

Cette mise à jour d’activité est présente dans les Windows 10 de base. L’idée, permettre aux parents de recevoir les informations de connexion des enfants, ou des utilisateurs de la machine en question. Des parents ont découvert la chose en recevant la liste des sites web visités, le temps passé sur le web. Une option activée par défaut, comme l’ensemble des « bonus » de Windows 10. Autant dire que pas mal d’adolescents risquent de devoir expliquer pourquoi ils disent merci à cette Jacquie et à ce Michel. [independent]

Chiffrement, cryptage, Cybersécurité, Espionnae, ID, Identité numérique, Logiciels, Particuliers, Social engineering, Vie privée

L’opérateur Comcast accusé de surveiller ses clients, utilisateurs de TOR

22 août 2015 Damien Bancal

Plusieurs clients de l’opérateur Comcast se sont étonnés d’un appel téléphonique de leur FAI. Ce dernier leur a reproché d’utiliser le système d’anonymisation TOR.

L’excellent logiciel TOR permet de surfer anonymement. Il utilise des milliers d’ordinateurs dans le monde, des nœuds TOR, pour permettre de ne pas diffuser son IP sur le site, le forum, l’espace numérique que l’on souhaite visiter. L’ip d’un des nœuds apparaîtra en lieu et place de votre identifiant. TOR, et son option « Internet » Onion, offre la possibilité de créer un site anonyme et, surtout, non référencé. Bilan, vous souhaitez partager vos photos de vacances avec vos ami(e)s intimes, Onion offre cette possibilité. Mais ne nous voilons pas la face derrière de jolis discours libertaires, de protection de la vie privée. TOR et ONION sont malheureusement utilisés par des malveillants, des commerçants peu scrupuleux, pouvant offrir drogue, arme, faux papiers, et biens d’autres contenus plus monstrueux encore [Lire le cas de ce croundfowdind du darknet dédié aux pédophiles, NDR]. Il semble que l’opérateur américain Comcast a décidé de mettre tous les utilisateurs de TOR dans le même panier. Si vous utilisez TOR c’est que vous avez des choses à cacher, donc cessez sinon, l’opérateur coupe la connexion des clients récalcitrants. Comcast trace donc ses clients, et décortique ceux qui utilisent le navigateur Tor. Le FAI pense que si vous devez utiliser TOR, c’est obligatoirement pour faire quelque chose d’illicite. Un des clients indique que les employés de Comcast vont jusqu’à stipuler que TOR est illégal !

Dans un mail diffusé sur Reddit, un interlocuteur de Comcast explique que « Les utilisateurs qui essaient d’utiliser l’anonymat, où se cacher sur Internet, le font généralement pour ne pas avoir d’ennuis avec la justice. Nous avons le droit de résilier ou de suspendre votre compte à tout moment en raison du fait que vous violez les règles. Avez-vous d’autres questions ? Merci d’avoir contacté Comcast« . Hérésie, surtout que TOR… a été conçu, en partie, par l’armée américaine.

Bref, les utilisateurs de TOR, les « gentils » et les « méchants » utilisent, en plus de TOR, une nouvelle couche d’anonymisation, un Virtual Private Network (VPN). Le VPN cache l’utilisation de TOR, et TOR cache l’utilisateur ! Comcast est revenu sur ce courrier en indiquant qu’il n’y avait aucune surveillance de ses clients ! Pour rappel, Comcast a déjà été classé par le projet TOR comment étant un « Bad FAI« .

Android, backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers, Patch, Sécurité, Smartphone, Téléphonie, Vie privée, VPN

600 millions d’utilisateurs d’un téléphone Samsung en danger ?

16 juin 2015 Damien Bancal Un commentaire

Plus de 600 millions d’utilisateurs de téléphones portables Samsung ont été touchés par un risque de sécurité important. Samsung S3, S4, S5 et S6 touchés par une vulnérabilité dans un clavier pré-installé qui permet à un pirate d’exécuter du code à distance.

Intéressant ! Après la diffusion de faille et bug visant le téléphone portable d’Apple, l’iPhone, voici venir la faille pour le concurrent direct de la grosse pomme, la famille des Samsung S. Cette faille a été découverte par le chercheur Ryan Welton de la société américaine de NowSecure. Samsung a été alerté en décembre 2014.

Compte tenu de l’ampleur du problème, NowSecure a aussi notifié le CERT américain afin de faire corriger le problème rapidement (CVE-2015-2865). L’équipe de sécurité de Google Android a elle aussi été mise dans la boucle. L’attaque permet de récupérer la connexion GPS, brancher caméra et micro, installer en cachette des applications malveillantes, lire les messages (SMS, MMS, Mails, …). Bref, une petite cochonnerie.

Samsung n’a rien dit, mais propose depuis début de 2015 un correctif. Impossible de savoir si les opérateurs ont suivi la même mouvance sécuritaire… mais particulièrement pratique pour espionner une cible précise. A la lecture de la liste ci-dessous, qui ne concerne que des opérateurs américains, il y a de forte chance que votre téléphone soit toujours un espion en puissance dans votre poche.

Malheureusement, l’application du clavier défectueux ne peut pas être désinstallé. Côté solution : ne pas utiliser de wifi non sécurisé (utilisez un VPN, INDISPENSABLE NDLR)… ou changez de téléphone.

Galaxy S6     Verizon Non corrigée
Galaxy S6     AT & T   Inconnu
Galaxy S6     Sprint   Non corrigée
Galaxy S6     T Mobile Inconnu
Galaxy S5     Verizon Inc9nnu
Galaxy S5     AT & T   Inconnu
Galaxy S5     Sprint   Inconnu
Galaxy S5     T Mobile N8n c2rrigée
Galaxie S4     Verizon Inconnu
Galaxie S4     AT & T   Inconnu
Galaxie S4     Sprint   Inconnu
Galaxie S4     T Mobile Inc8nnu
Galaxy S4 Mini Verizon Inconnu
Galaxy S4 Mini AT & T   Non corrigée
Galaxy S4 Mini Sprint   Inconnu
Galaxy S4 Mini T Mobile Inc9nnu

Merci à @dodutils pour l’alerte.

Android, backdoor, Cybersécurité, Espionnae, Fuite de données, Mise à jour, Particuliers, Patch, Sécurité, Smartphone, Vie privée

Logiciels espions dans la derniere mise à jour Galaxy Note de Samsung

7 décembre 2014 Damien Bancal Un commentaire

Mais que viennent donc faire là Cookie Jam, Drippler et RetailMeNot dans la nouvelle mise à jour de T-Mobile concernant les Galaxy Note 4 de chez Samsung. Les applications sont avides d’informations… sans que les propriétaires des smartphones soient alertés.

Voilà qui commence à faire beaucoup. Après la disparation de musique non acquise sur iTunes dans des iPod, Apple ayant décidé de faire le ménage sans que les utilisateurs ne puissent rien dire, voici le débarquement de logiciels « sniffeurs » d’informations dans les Galaxy Note 4 Samsung commercialisés par T-Mobile.

Une mise à jour, imposée par l’opérateur, en a profité pour installer sans que personne ne puisse dire « non », trois applications avec des autorisations incroyables… sans que le propriétaire du téléphone ne le sache. Cookie Jam, Drippler et RetailMeNot se sont retrouvés dans les smartphones. Les utilisateurs peuvent pas les effacer, ils se réinstallent dans la foulée.

Les logiciels malveillants ont été installés automatiquement après la mise à jour de T-Mobile. Parmi les autorisations autorisées, mais non validées par les clients : lire l’état du téléphone, l’identité, modifier, lire et supprimer le contenu de votre périphérique de stockage USB, modifier les paramètres de sécurité du système, télécharger des fichiers sans notification, voir toutes sortes de connexions et avoir accès complet au réseau… (Rick Farrow)

Android, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Leak, Logiciels, Microsoft, Particuliers, Piratage, Propriété Industrielle, Smartphone, Virus

Detekt, le logiciel anti espion

20 novembre 2014 Damien Bancal 3 commentaires

Amnesty International a diffusé, ce 20 novembre, un outil permettant aux victimes d’espionnage de détecter les manœuvres de surveillance gouvernementales. L’utilisation et le commerce de technologies de surveillance des télécommunications se sont développés de manière exponentielle ces dernières années.

La Coalition contre l’exportation illégale de technologies de surveillance, dont Amnesty International est membre, estime que le commerce mondial des technologies de surveillance représente 4 milliards d’euros par an, et qu’il est en expansion. Detekt propose donc de voir si votre ordinateur, votre smartphone ou votre tablette sont surveillés. Le fonctionnement est assez simple. Plusieurs versions sont téléchargeables sur le site officiel de l’opération resistsurveillance.org. La version PC, par exemple, demande d’être exécutée en mode Administrateur, connexion web coupée. Attention, nous avons remarqué que les PC sous Windows 8.1 se retrouvaient avec un message d’alerte leur indiquant l’impossibilité d’utiliser Detekt.

1 – Télécharger Detekt
2 – Exécuter le logiciel en mode « Administrateur ».
3 – Choisissez la langue (le Français n’est pas présent).
4 – Cliquez sur le bouton « Scan ».
5 – Attendre entre 30 et 45 minutes.
6 – Découvrez si vous avez un espion dans votre machine.

Si un espion est découvert dans votre PC, dites vous qu’il est malheureusement trop tard. Nous ne pouvons que vous conseiller de changer d’ordinateur très rapidement. Ensuite, réfléchissez à comment le piège s’est installé dans votre machine (mail, liens, Facebook, Twitter clé USB, smartphone, baladeur mp3, …). Ne reconnectez plus cette machine au web. Bloquez son wifi/Bluetooth. Analysez les documents contenus dans la machine en question. Qu’est ce que le pirate/espion a pu intercepter, lire, copier, modifier. Alertez vos contacts. Il est préférable à ce niveau de crier au feu que d’attendre que tout le monde soit bruler pour s’inquiéter. N’hésitez surtout jamais à déposer plainte et alerter les autorités compétentes, surtout si vous êtes dans une entreprise.

backdoor, Cybersécurité, Espionnae, Fuite de données, Identité numérique, Logiciels, Microsoft, Propriété Industrielle, Sécurité, Vie privée

La version Bêta de Windows 10 communique vos frappes clavier à Microsoft

8 octobre 2014 Damien Bancal

Alors que vous testez la nouvelle version de Windows, sous forme de bêta, Microsoft intercepte vos frappes clavier… pour votre bien.

Les internautes qui ont téléchargé la version bêta de Windows 10, la technical preview, n’ont pas intérêt à taper trop d’informations personnelles et sensibles au risque d’avoir une mauvaise surprise. Comme l’explique le « Privacy Statements for Windows Technical Preview » de WIN10, bref la notice d’utilisation du nouveau bébé de Microsoft, la voix, mais aussi les frappes claviers sont communiqués à Microsoft.

Microsoft collects information about you, your devices, applications and networks, and your use of those devices, applications and networks. Examples of data we collect include your name, email address, preferences and interests; browsing, search and file history; phone call and SMS data; device configuration and sensor data; and application usage.

Un espionnage qui a pour mission d’enrichir le fonctionnement des futures options de Win10. Microsoft indique à WinBeta que cette « absorption » d’information ne sera activée que dans cette version de « démonstration », Windows 10 définitif n’aura pas cette big brother attitude.

Il ne faut cependant pas se voiler la face. Une commande clavier ou manipulation extérieure pourrait réactiver la « fonction » magique dans la condition ou cette dernière est implantée d’origine dans Windows 10. A moins que Microsoft le retire du code source, mais ça, personne ne pourra le vérifier.

Android, ios, Sécurité, Smartphone

Protection contre les applis mobiles qui exploitent nos infos personnelles

24 mai 2014 Damien Bancal 2 commentaires

McAfee, la nouvelle filiale d’Intel Security, vient d’annoncer la version 4.1 de McAfee Mobile Security (MMS). L’outil dédié aux smartphones et tablettes permet d’exécuter instantanément des contrôles de confidentialité.

Grâce à ces analyses, l’utilisateur est en mesure d’identifier les applications partageant ses informations personnelles à outrance. MMS 4.1 détecte et supprime les malwares et recherche également d’autres menaces à la sécurité. Une fois le produit installé, McAfee simplifie la réalisation de ces analyses pour l’utilisateur. Cette nouvelle version de McAfee Mobile Security permet aussi aux utilisateurs de supprimer les applications présentant d’importants risques viraux. A noter que l’ensemble des éditeurs d’antivirus propose ce genre d’outil : Gdata, … Très vite, vous allez vous rendre compte que plus de la moitié de vos applications installées, ou non, collectent des informations.

80 % des applications mobiles sont en mesure de localiser leur utilisateur

D’après le ‘Consumer Mobile Security Report’, 80 % des applications mobiles sont en mesure de localiser leur utilisateur, 82 % connaissent l’ID code de l’appareil et 57 % les traquent lors de l’utilisation de leur téléphone. De plus, les applications qui collectent agressivement et sans nécessité des données démultiplient la dangerosité des banques de données, 35 % d’entre elles contiennent des logiciels malveillants.

« Les données personnelles collectées par les applications peuvent être bénéfiques à l’amélioration de l’expérience du mobile de l’utilisateur. Cependant, nombre d’entre elles collectent davantage d’informations que nécessaire, menaçant ainsi la vie privée et la sécurité des informations relatives à l’utilisateur », précise David Grout, Directeur Europe du Sud chez McAfee. « McAfee Mobile Security responsabilise l’utilisateur en lui précisant les informations auxquelles les applications ont accès et en les aidant à protéger leur identité et leurs informations personnelles. »

Le contrôle de la confidentialité proposé fournit des renseignements à l’utilisateur quant aux applications qu’il a installées sur son smartphone ou sa tablette. L’analyse applicative détermine la quantité d’informations à laquelle chaque application peut accéder et qu’elle peut partager, les répertorie ensuite par niveau de sensibilité et compare également les associations d’URL à risque. Quand une application se comporte sensiblement différemment des applications de même catégorie, le niveau de risque est relevé et pris en compte dans son niveau de dangerosité. Grâce à cette option, l’utilisateur peut en un seul clic désinstaller les applications suspectes.

Les autorisations applicatives les plus inquiétantes sont celles qui identifient les ID des smartphones et des tablettes, qui permettent de localiser précisément l’utilisateur (grâce au réseau Wi-Fi ou aux tours relais) et celles qui lisent ou suivent les SMS pouvant contenir des messages privés ou des informations sensibles de type autorisation de transactions bancaires.

Cyber-attaque, Leak

Intrusion massive de la DGSE dans les communications des clients d’Orange : libertés en danger !

27 avril 2014 Damien Bancal

Dans un dossier publié le 20 mars dernier, Le Monde a révélé – sur la base d’un document de 2010 du GCHQ britannique (Government Communications Headquarters) – que la DGSE avait accès « libre et total » aux réseaux d’Orange et flux de données qui y transitent. L’article « Espionnage : comment Orange et les services secrets coopèrent » [2] montre par ailleurs que les agents de la DGSE et d’Orange coopèrent à casser le chiffrement des flux de données correspondants. Ces activités ont lieu hors de tout cadre légal et judiciaire. Il est sidérant que ces informations n’aient donné lieu à aucune réponse du gouvernement. L’Observatoire des libertés et du numérique (OLN) exige que des réponses politiques, légales et pénales soient apportées à ces agissements.

L’échelle exacte de recueil des informations n’est pas connue mais le fait que « la DGSE dispose, à l’insu de tout contrôle, d’un accès libre et total [aux] réseaux [d’Orange] et aux flux de données qui y transitent » dépasse toutes les craintes précédemment exprimées sur le développement de la surveillance généralisée dans le cadre français. Cet accès porte aussi bien sur les citoyens français qu’étrangers, et la collaboration avec le GCHQ en aggrave les conséquences.

Les révélations du Monde, non démenties, n’ont donné lieu à aucune déclaration du (précédent) gouvernement, mais uniquement à une réponse dilatoire de Stéphane Richard, Président d’Orange, selon lequel « des personnes habilitées secret-défense peuvent avoir à gérer, au sein de l’entreprise, la relation avec les services de l’État et notamment leur accès aux réseaux, mais elles n’ont pas à m’en référer. Tout ceci se fait sous la responsabilité des pouvoirs publics dans un cadre légal » (extrait de l’article du Monde). On aimerait savoir quel cadre légal.

En réalité, il semble bien que ce soit une véritable opération de surveillance généralisée conjointe conduite par des agents de la DGSE et d’Orange, issus des mêmes corps d’État, et passant de l’une des organisations à l’autre qui ait été mise en place. L’existence de ce type de dispositif renforce toutes les inquiétudes dont nous avions déjà fait état à propos des dispositions de l’article 20 de la Loi de programmation militaire. Que vaut la soi-disant protection résultant de ce que l’accès au réseau passe par des demandes à l’égard des opérateurs, dans un contexte où certains de leurs agents travaillent main dans la main avec les services de renseignement en vue d’une surveillance de masse hors de tout cadre légal ?

À la lumière de ces révélations, le recours à des partenariats public-privé pour la mise en place d’une plateforme centralisée pour les interceptions sur mandat judiciaire, la PNIJ (Plateforme Nationale des Interceptions Judiciaires), soulève elle aussi de graves inquiétudes. L’Observatoire des libertés et du numérique (OLN) alerte les citoyens et interpelle avec force le gouvernement et les parlementaires sur ces révélations. C’est l’État de droit et la démocratie qui sont menacées lorsque tout citoyen voit ses communications et ses expressions personnelles surveillées hors de toute cadre légal. Le gouvernement a une obligation immédiate de faire toute la lumière sur ces dérives, de dire comment il entend y mettre un terme, et d’indiquer quelles procédures pénales seront engagées.

* Références *
1. L’Observatoire des libertés et du numérique regroupe le Cecil, Creis-Terminal, la Ligue des droits de l’Homme, le Syndicat de la magistrature, le Syndicat des Avocats de France et La Quadrature du Net.
2. http://www.lemonde.fr/international/article/2014/03/20/dgse-orange-des-liaisons-incestueuses_4386264_3210.html
3. https://www.laquadrature.net/fr/intrusion-massive-de-la-dgse-dans-les-communications-des-clients-dorange-libertes-en-danger

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données, Justice

Affaire Orange: Le gouvernement (enfin) à l’écoute des Français

20 mars 2014 Damien Bancal

Suite aux révélations des services secrets techniques britanniques (GCHQ) sur la collaboration d’Orange avec la DGSE dans la collecte de données, l’eurodéputée Françoise Castex réagit: « Vu de Bruxelles, ces révélations ne sont malheureusement qu’une demi-surprise! Le Parlement européen a pointé du doigt, la semaine dernière, dans son rapport sur le programme d’espionnage massif de la NSA, certains États membres, à commencer par la France. »

Le rapport Moraes, voté mercredi 12 mars à Strasbourg, demandait en effet à la France et cinq autres pays européens de clarifier les allégations de surveillance massive, et notamment les éventuels accords entre services de renseignement et entreprises de télécommunications sur l’accès et l’échange de données personnelles – et leur compatibilité avec la législation européenne.

Pour Françoise Castex « à la lumière de ces révélations, on comprend mieux le manque d’empressement du gouvernement français à dénoncer le scandale de la NSA, et qu’il ait mis plus d’un an et demi à transmettre aux eurodéputés français un semblant de position sur le paquet données personnelles en cours de négociation au niveau européen. »

Pour l’eurodéputée Nouvelle Donne: « La France doit revoir sa législation nationale afin de garantir que la DGSE soit soumise à une vraie surveillance publique par le biais d’un contrôle parlementaire et judiciaire effectif. »

« Au lieu d’écouter les Français, le gouvernement ferait mieux d’entendre leurs préoccupations réelles, à commencer par le respect de leurs droits fondamentaux! » conclut l’élue du Gers.