Un pirate s'empare d'une base de données du forum du jeu populaire Clash of Kings

En exploitant une faille connue datant de 2013

Le forum du jeu mobile de stratégie populaire Clash of Kings, qui compte entre 50 et 100 millions d’installations sur la plateforme Android à elle toute seule, a été victime d’un piratage. Le pirate, qui a souhaité garder l’anonymat, a affirmé au moteur de recherche LeakedSource avoir pu être en mesure de mettre la main sur une base de données contenant des noms d’utilisateurs, des adresses mails et IP, des données Facebook et d’autres tokens de près de 1,6 million d’utilisateurs.

Pour y parvenir, le pirate a exploité une vulnérabilité du forum connue, qui tournait sur une ancienne version de vBulletin. Cette vulnérabilité est connue depuis 2013 comme l’explique Matthieu Dierick, Ingénieur avant-vente chez F5 Networks : vBulletin, un framework de forum très utilisé sur internet, a subi à plusieurs reprises des failles de sécurité. La dernière campagne de piratage officielle sur ce forum concerne la société Elex qui produit le jeu sur mobile "Clash of Kings". Ce jeu est utilisé par des millions de joueurs sur les plateformes mobiles. Ces joueurs s'enregistrent sur le forum du jeu afin d'échanger avec les autres joueurs.

Ce forum est hébergé sur un framework vBulletin. Le hackeur a profité d'une faille connue depuis 2013. L'ANSSI, en 2012, avait déjà alerté les autorités d'une faille sur vBulletin

Pour détecter si un serveur est vulnérable, il suffit de lancer une requête HTTP sur une liste de serveurs et d'attendre un code retour. Voici un exemple de requête utilisée pour détecter la vulnérabilité d'un serveur :

Code :

Sélectionner tout

http://[REMOVED]/ajax/api/hook/decodeArguments?arguments=O:12:"vB_dB_Result":2{s:5:"*db";O:11:"vB_Database":1:{s:9:"functions";a:1{s:11:"free_result";s:6:"assert";}}s:12:"*recordset";s:20:"print_r(md5(233333))";}

Si le code retour contenait le hash 233333, alors le serveur était vulnérable.

Les données volées concernent les identifiants avec mot de passe (hashé), l'adresse email, l'adresse IP et les tokens liés aux réseaux sociaux. Les utilisateurs du forum doivent donc changer leur mot de passe même si ceux-ci étaient hashés au niveau de la base de données. Un mot de passe trop simple peut en effet être "dé-hashé" très facilement.

Nous ne connaissons pas encore la vulnérabilité exploitée, mais lors des dernières campagnes de piratage sur vBulletin, les pirates ont réussi à envoyer leur SHELL sur le serveur et à exécuter des requêtes SQL en mode "root". Pour cela, ils passaient par des fonctions PHP, par exemple la fonction system() qui permet l'exécution de commande shell.

Cela rappelle que toute infrastructure de données doit être protégée par des mécanismes d'analyse de niveau 7 tels que les Firewall Applicatifs ou Web Application Firewall. Cela empêcherait tout hacker de lancer des commandes sur un serveur même si celui-ci est concerné par une faille de sécurité. La politique de WAF empêche l'exécution de scripts, de commandes shell et de commandes PHP non autorisées ».

Pour Travis Smith, chercheur en sécurité senior pour le compte de Tripwire, « exposer des applications vulnérables sur internet c’est comme marcher dans une salle avec un t-shirt où il y a marqué dans le dos “frappez-moi” ». Et de continuer en assurant que « les pirates peuvent rechercher rapidement sur internet des systèmes présentant une vulnérabilité connue, puis utiliser des outils facilement disponibles pour les exploiter et prendre le contrôle de ces systèmes ».

Source : IB Times, Clash of Kings (Google Play)

Une étude d'un code source de XKeyscore, l'outil de surveillance de la NSA, en dit plus sur son fonctionnement Et la façon dont il est implémenté

Des membres du projet Tor, en collaboration avec des spécialistes en sécurité des diffuseurs allemands NDR et WDR, ont analysé un fichier définissant des fonctions/variables dans le code source de XKeyscore. « Après une année de révélations sur la NSA basées sur des documents mettant l'accent sur les noms des programmes et des présentations PowerPoint de haut niveau, la NDR et la WDR révèlent le code source de la NSA qui montre le fonctionnement de ces programmes et la façon dont ils sont implémentés en Allemagne et dans le monde », ont avancé les chercheurs.

Pour rappel, XKeyscore désigne un programme de surveillance de la NSA, mais également l’ensemble des logiciels que l’agence a utilisés pour lancer cette surveillance de masse opérée conjointement avec les services de renseignements britanniques, canadiens, australiens et néo-zélandais, services dont la coopération historique en matière de partage de l'information a entraîné le surnom des « Five Eyes ». Il permettrait une « collecte quasi systématique des activités de tout utilisateur sur Internet », grâce à plus de 700 serveurs localisés dans plusieurs dizaines de pays.

Leur analyse a permis aux chercheurs d’identifier deux serveurs, à Berlin et à Nuremberg, qui sont surveillés par la NSA. L’une des adresses IP ciblées par la NSA est assignée à Sebastian Han, un étudiant en sciences informatiques à l'Université d'Erlangen. Durant son temps libre, Han est un volontaire du projet Tor : il est surtout un élément de confiance de la communauté Tor étant donné que son serveur n’est pas un simple nœud, mais un serveur faisant partie des Directory Authority, un relais à usage spécial qui maintient une liste de relais actuellement en cours d'exécution et publie périodiquement un consensus avec les autres Directory Authority. « Il y en a 9 de par le monde et ils sont essentiels au réseau Tor puisqu’ils contiennent un index de tous les nœuds Tor », précisent les chercheurs.

Son prédécesseur avait nommé ce serveur Gabelmoo, nom que Han a trouvé dans le code source définissant les fonctions/variables de XKeyscore. « Oui, j’ai reconnu l’adresse IP de mon serveur Tor appelé “Gabelmoo” », a indiqué Han. « Des millions de personnes s’en servent aujourd’hui pour rester protégées en ligne. Et, en espionnant le serveur et en collectant des métadonnées sur les utilisateurs, ces personnes se retrouvent en danger ». Dans le code source est définie une variable globale pour les Directory Autorities pour la recherche des potentiels clients se connectant à ces serveurs via les ports 80 et 443. Une variable globale est également définie pour les Directory Autorities localisées parmi les Five Eyes.

Mais il n’est pas question que de métadonnées. Les fournisseurs de services Internet dans les pays appliquant une forte censure comme la Chine ou l'Iran bloquent souvent les connexions aux relais connus de Tor. Pour éviter ce blocage, le projet Tor maintient une liste de relais non publics appelés « ponts » (bridge en anglais) pour permettre aux utilisateurs d'éviter ce type de blocage. Les ponts sont gérés par des bénévoles et ils partagent les détails avec le projet Tor pour aider les utilisateurs à contourner la censure pour délivrer leur message sur Internet.

Les utilisateurs peuvent demander l’accès à un pont par exemple via courriel. Dans le code source de XKeyscore, la NSA tente d’identifier les utilisateurs de ces ponts en se servant de deux méthodes :

• la première consiste à définir une empreinte des connexions aux serveurs bridges.torproject.org ;
• afin d’obtenir les adresses actuelles des ponts pour des besoins de surveillance, la seconde méthode consiste à extraire les données du corps des courriels que le projet Tor envoie à ses utilisateurs.

En réaction à ces découvertes, le projet Tor, par le biais de Roger Dingledine, s’est montré plutôt rassurant pour les utilisateurs : « pendant des années, nous avons envisagé la surveillance de l'État à cause de notre travail dans des endroits où les journalistes sont menacés. L’anonymat de Tor repose sur la confiance distribuée, aussi, observer le trafic à un seul endroit dans le réseau Tor, même d’une autorité directoire, ne suffit pas à le casser. Tor s’est répandu dans le grand public au cours des dernières années, et sa grande diversité d'utilisateurs - allant des individus animés par un esprit civique aux consommateurs ordinaires en passant par des militants, des forces de l’ordre, mais aussi des entreprises - fait partie de sa sécurité. Apprendre que quelqu’un a juste visité le site Tor ou Tails ne vous dit pas si cette personne est une source de journaliste, quelqu'un qui craint que son fournisseur de services Internet en apprenne davantage sur son état de santé, ou juste quelqu'un contrarié par le fait que les vidéos de chats soient bloquées dans son pays. Essayer de faire une liste des millions d’utilisateurs quotidiens de Tor compte certainement comme une collection à grande échelle. Leur attaque sur le service de distribution d'adresses de pont montre leur mentalité de “recueillir toutes choses" - ça vaut la peine de souligner que nous avons conçu des ponts pour les utilisateurs dans des pays comme la Chine et l'Iran, et ici nous découvrons des attaques lancées par notre propre pays. Est-ce que la lecture du contenu de ces mails viole la loi sur l’écoute électronique ? Maintenant, je comprends comment les ingénieurs de Google ont ressenti quand ils ont découvert les attaques sur leur infrastructure ».

La NDR et la WDR ont voulu savoir de la NSA comment elle justifie le fait d’attaquer un service financé par le gouvernement des États-Unis, en vertu de quelle autorité légale les utilisateurs du réseau Tor sont espionnés et si le gouvernement allemand a vent du ciblage des serveurs en Allemagne. Ce à quoi la NSA a répondu de ce commentaire : « dans le cadre de sa mission, la NSA ne recueille que ce qu'elle est autorisée à recueillir par la loi à des fins de renseignements étrangers valides - indépendamment des moyens techniques utilisés par les cibles. Les communications de personnes qui ne sont pas des cibles de renseignements étrangers ne sont d'aucune utilité à l'agence. En janvier, le président Obama a publié la directive politique présidentielle américaine 28, qui affirme que toute personne, indépendamment de sa nationalité, a des intérêts personnels légitimes dans le traitement de ses renseignements personnels, et que la vie privée et les libertés civiles devraient être des considérations intégrées dans la planification des activités des services de renseignements américains. La directive du président précise également que les États-Unis ne recueillent pas des renseignements dans l’optique de supprimer ou d'alourdir la critique ou la dissidence, ou pour défavoriser des personnes en fonction de leur appartenance ethnique, raciale, leur sexe, leur orientation sexuelle ou leur religion. XKeyscore est un outil d'analyse qui est utilisé comme une partie intégrée au système légal de collecte du renseignement de la NSA. De tels outils ont des mécanismes de surveillance conçus à plusieurs niveaux qui sont en conformité rigoureuse avec la loi. L'utilisation de XKeyscore permet à l'organisme d’aider à défendre la nation et de protéger les troupes américaines et ses alliés à l'étranger. Toutes les activités de la NSA sont effectuées en stricte conformité avec la loi, y compris la nouvelle directive du Président ».

Source : rapport de la NDR, la WDR et du projet Tor , code source XKeyscore ( fichier définissant des fonctions/variables)

CryptoDrop, une solution aux ransomwares ?

Des chercheurs de l'Université de Floride ont développé un logiciel qui pourrait stopper les ransomwares.

(CCM) — Les attaques de piratage par ransomware ( ou rançongiciels en français) sont des menaces informatiques qui visent à soutirer de l'argent à la victime.C'est une forme de racket numérique qui vise à prendre en otage des documents ou l'accès à l'ordinateur afin de faire payer une rançon.) sont en plein boom. Elles touchent aussi bien les ordinateurs que les téléphones, exploitant les failles de multiples systèmes d'exploitation. Ces virus bloquent l'accès au dossier et demandent une rançon pour les débloquer. Mais un groupe de chercheurs américains semble avoir trouvé un début de solution. Ils ont écrit un logiciel appelé CryptoDrop, capable de détecter si un virus commence à crypter des donnée à votre insu.

CryptoDrop a été programmé par Patrick Traynor, Nolen Scaife et Kevin Butler de l’Université de Floride et Henry Carter, doctorant de l'Université Villanova de Philadelphie. Interrogé par le journal de l'Université de Floride (lien en anglais), Nolen Scaife commente son projet : "Notre système est un système de première alerte. Il n'empêche pas le virus de commencer son travail, mais l'empêche de le terminer. Vous perdez quelques documents mais pas tout le contenu de votre disque dur, et vous n'avez donc pas à payer de rançon". A la différence d'un antivirus classique qui bloque les virus qu'il connait déjà, CryptoDrop pourra détecter une situation de cryptage frauduleuse et la bloquer.

Lors des tests, CryptoDrop a trouvé 100 % des malwares qu'on lui a soumis et les arrêtait après qu'ils aient cryptés en moyenne une dizaine de fichiers. Un score très encourageant qui pousse l'équipe à travailler sur leur prototype basé sur Windows. Ils cherchent d'ores et déjà des partenaires commerciaux.

Si CryptoDrop semble être une bonne solution, ce n'est pas le remède miracle : la popularité des ransomwares font que les hackers créent de nouveaux modèles tous les jours. En mai dernier, le FBI annonçait que le nombre d’extorsions par ransomware avait doublé en un an et que le montant total des rançons payées atteignait 24 millions de dollars.

Les smartphones Xiaomi piratés

Xiaomi a tout simplement oublié de sécuriser les mises à jour logicielles de ses smartphones.

Une fois de plus, les spécialistes de la sécurité informatique ont découvert une belle faille. Cette fois, l’alerte émane d’un groupe de recherche en sécurité d’IBM, la X-Force (lien en anglais). Il s’agit ici d’une attaque de type « man in the middle ». Elle permet au hacker d'intercepter et de modifier les échanges réseaux, pour pouvoir pirater n'importe quel smartphone depuis une simple connexion Wifi. Techniquement, les hackers se sont servis d’une faille d’un paquet logiciel utilisé dans certaines applications de Xiaomi. Le problème prend sa source dans l’absence de disposition de chiffrage et de vérification cryptographique lors des mises à jour. Une fois à l’intérieur, rien de plus simple pour le hacker que de remplacer le paquet logiciel et de s’octroyer les privilèges d'administration.

Pour les chercheurs d’IBM, la faille pourrait toucher des millions de portables. En effet, outre les 70 millions de smartphones Xiaomi vendus et potentiellement infectés, il faut ajouter les autres téléphones qui utilisent le système MIUI, disponible gratuitement sur internet. Xiaomi a officiellement réglé le problème sur la dernière version 7.2 du système MIUI.

Ces problèmes de chiffrage ne sont pas nouveaux. De nombreux éditeurs de logiciels antivirus sont régulièrement mis en cause pour leur faible protection des mises à jour. Les autorités compétentes leur rappellent que ces échanges doivent être systématiquement chiffrés, et que les paquets logiciels doivent être toujours signés. Une piqûre de rappel à priori nécessaire pour assurer aux utilisateurs une sécurité optimale.

Des hackers ont détourné des centaines de caméras de surveillance pour mener des attaques DDoS

En utilisant l'outil dédié LizardStresser

Le groupe Lizard Squad a encore fait parler de lui. Ce collectif de hackers a développé et commercialise un outil d’attaque DDoS (attaque par déni de service distribué) qui porte le nom de « LizardStresser ». Après le réseau Tor et des plateformes de jeux vidéo, le programme LizardStresser aurait été utilisé pour détourner des centaines de caméras de surveillance, dont la plupart sont localisées au Brésil. Les hackers ont pu ainsi créer un botnet pouvant faire des attaques de 400 Go de données par seconde. Pour information, un botnet est un réseau de programmes connectés à internet communiquant avec d’autres programmes similaires afin d’exécuter certaines tâches.

C’est Matthew Bing, un spécialiste en sécurité informatique travaillant pour le compte d’Arbor Networks, qui a découvert les séries d’attaques DDoS menées à partir de caméras de surveillance. Selon lui, les caméras de surveillance auraient envoyé des attaques de 400 Go de données par seconde. Elles auraient touché des sites appartenant à des organismes bancaires, des sociétés de télécommunication et des agences gouvernementales au Brésil. Des sociétés de jeux implantées aux États-Unis seraient aussi victimes de ces attaques DDoS.

Faisant partie des appareils IdO (Internet des Objets), les caméras de surveillance constituent une bonne cible pour les hackers. En effet, les systèmes d’exploitation qu’elles utilisent sont des versions simplifiées, certaines fonctions de sécurité sont ainsi manquantes. De plus, elles utilisent souvent des mots de passe par défaut qui peuvent être utilisés par plusieurs produits d’un même fabricant IdO. En effet, ces fabricants se servent souvent d’une même application ou d’un même composant électronique pour plusieurs produits. C’est justement cette faille que les hackers auraient exploitée pour contrôler les caméras de surveillance. Après analyse, Matthew Bing a affirmé que presque 90 % des caméras de surveillance sont gérées via l’outil NETSurveillance WEB, dont le mot de passe par défaut est disponible en ligne.

Dans cette série d’attaques DDoS, le spécialiste en sécurité informatique a remarqué que la plupart des caméras piratées se trouvaient au Brésil. Il évoque ainsi trois possibilités : soit l’outil DDoS LizardStresser a généré les adresses IP au hasard afin de mener une attaque par force brute, soit l’auteur des attaques DDoS a modifié le code source afin de cibler particulièrement le Brésil, soit la plupart des caméras de surveillance au Brésil sont accessibles via l’interface NETSurveillance WEB.

Le code LizardStresser a été utilisé pour réaliser des attaques de 400 Go par seconde sur de nombreux sites. Matthew Bing a remarqué qu’il n’y avait ni usurpation d’adresse IP ni utilisation de protocoles d’amplification UDP, comme le Network Time Protocol ou NTP. L’analyse d’une instance du code LizardStresser a aussi permis de mettre en avant le fait que les attaques DDoS évoluaient d’une minute à l’autre, passant d’une attaque de type HOLD flood, à une attaque UDP flooding puis à une attaque TCP flooding. Pour information, l’attaque UDP flooding entraîne une congestion du réseau et une saturation des ressources des deux hôtes victimes. Cela résulte du fait que le trafic UDP est prioritaire sur le trafic TCP. L’attaque TCP flooding, quant à elle, atteint les ressources par envoi massif d’accusés de réception.

Le code LizardStresser, développé par Lizard Squad, continue de faire des ravages et ces attaques DDoS mettent en avant la vulnérabilité des objets connectés. En effet, la plupart des utilisateurs ne prennent pas la peine de changer le mot de passe par défaut des dispositifs IoT, une faille qui a permis à l’outil LizardStresser de détourner des centaines de caméras de surveillance et d’en créer un grand botnet pour réaliser des attaques DDoS.

Source : Arbor Netwoks

Des pirates dérobent plus de 3 milliards de dollars à des entreprises

En recourant à la fraude au PDG

Le FBI a mis en garde contre des pertes liées à la généralisation de campagnes d’emails frauduleux en provenance de hackers qui se font passer pour des PDG et incitent les contrôleurs financiers à faire des virements de fonds vers leurs comptes fraudeurs. Les pertes liées à ces fraudes s’élèvent à 3,1 milliards de dollars depuis octobre 2013. Ce chiffre a été rendu public par l’Internet Complaint Crime Centre (IC3), qui est une équipe multiagence composée de personnels du Federal Bureau of Investigation (FBI), du National White Collar Crime Center (NW3C) et du Bureau of Justice Assistance (BJA).

La mission de l'IC3 est de servir de plaque tournante pour recevoir, traiter et attribuer les plaintes criminelles concernant le cybercrime. L'IC3 fournit aux plaignants de cybercrimes un mécanisme de déclaration pratique et simple pour alerter les autorités des violations civiles ou criminelles sur Internet. L'IC3 informe les différents organismes chargés de l'application de la loi au sujet des plaintes.

Le FBI révèle ces données après avoir lancé une campagne de sensibilisation du public sur les méthodes de défense contre ce type de fraudes. Cette pratique plus connue sous le nom de la fraude au PDG ou « compromission des adresses électroniques d'entreprise » constitue une menace surtout pour les entreprises et non pas les particuliers. En avril dernier, le FBI avait révélé que les pertes liées à cette escroquerie dans le monde entier s’estimaient à 2,3 milliards de dollars entre octobre 2013 et février 2016.

Le nombre de victimes américaines et étrangères de la compromission des adresses électroniques d’entreprise s’élève à 22 143 cas. Les fraudeurs auraient demandé le paiement de 3,1 milliards de dollars en virements frauduleux, ce qui constitue une augmentation significative par rapport aux anciennes estimations du FBI. Cela laisse présager que la fraude au PDG pourrait être un problème beaucoup plus alarmant qu’on le pensait jusque-là. Il faut savoir que ces chiffres ne proviennent pas seulement des réclamations reçues par l’IC3, mais aussi des banques et d’autres agences internationales chargées de l’application de la loi qui coopèrent aussi pour faire face à ces fraudes.

L’IC3 a indiqué que la somme de 3,1 milliards de dollars constitue les « pertes exposées en dollars » qui « inclut les pertes réelles et tentées en dollars américains ». Elle ajoute que 15 688 cas de fraudes lui ont été signalés aux États-Unis et à l’international, avec des pertes qui dépassent le milliard de dollars. Sur ces victimes, 14 032 sont américaines, « L'escroquerie a été signalée par des victimes dans les 50 États et dans 100 pays. Les signalements indiquent que des transferts frauduleux ont été envoyés vers 79 pays, majoritairement à destination de banques asiatiques basées en Chine et à Hong Kong », rapporte l'IC3.

Le FBI a demandé aux victimes de le notifier en cas de fraude, afin de collaborer avec les agences de sécurité étrangères et demander aux banques de geler les fonds avant qu’ils ne soient retirés par les fraudeurs. L’IC3 aussi a mis en place de nouvelles descriptions des différentes variantes de cette pratique criminelle et a prescrit des mesures de sécurité destinées à atténuer le risque d’exposition à cette fraude. Elle recommande de recourir à l’authentification à deux facteurs, de confirmer les transactions importantes par un appel téléphonique et de ne pas répondre directement aux messages, mais de les transférer pour s’assurer qu’ils sont adressés à un compte qui figure dans le carnet d’adresses du destinataire.

Source : IC3

Une faille de sécurité menace des millions de smartphones Android

Elle concerne les puces de Qualcomm et affecte les anciennes versions de l'OS

Android, le système d’exploitation mobile développé par Google n’en finit pas avec les menaces de sécurité. Tout au long de son évolution, l’OS mobile a été marqué par l’existence et la découverte de failles plus ou moins graves, capables de mettre à mal la sécurité de millions d’utilisateurs. Cette fois, c’est le fondeur américain Qualcomm qui est dans le collimateur. En effet, il a été victime d’une faille de sécurité qui réside au niveau de ses puces ARM. Dotés d'une architecture relativement plus simple que d'autres familles de processeurs, et bénéficiant d'une faible consommation, les processeurs ARM sont devenus dominants dans le domaine de l'informatique embarquée, en particulier la téléphonie mobile et les tablettes. Ces processeurs sont fabriqués sous licence par un grand nombre de constructeurs, dont Qualcomm.

L’introduction de la version 6 de l’architecture ARM a été l’occasion de la mise en place de certaines extensions de sécurité. Elle a permis de doter le terminal d’un espace protégé appelé TrustZone où peuvent se stocker des données sensibles, notamment des clés (KeyMaster) permettant de déchiffrer les données chiffrées des smartphones Android. Afin de renforcer la sécurité, ni le système d’exploitation ni le constructeur ne peuvent accéder à ces clés, seule la puce peut les manipuler.

La KeyMaster est enregistrée à part dans une zone sécurisée appelée TrustZone

Seulement il y a plus d’un an en avril 2015, un utilisateur a réussi à contourner ce mécanisme de chiffrement. Le chercheur en sécurité portant le pseudonyme « laginimaineb » a réussi à accéder à la zone protégée en recourant à la rétro-ingénierie. La rétro-ingénierie, ou ingénierie inverse ou inversée, est l'activité qui consiste à étudier un objet pour en déterminer le fonctionnement interne ou la méthode de fabrication. Le terme équivalent en anglais est reverse engineering.

Sur son blog « Bits, please », le chercheur indique avoir utilisé un téléphone Nexus 5. Il a pu ainsi observer le fonctionnement très bas niveau des puces Snapdragon et a pu découvrir une « chaine de vulnérabilités » permettant de se procurer des privilèges. À noter que les SnapDragon sont une famille de système sur puce (system-on-a-chip ou SoC) de la société Qualcomm utilisant le jeu d'instruction ARM. Ils sont destinés au marché des smartphones et tablettes tactiles et sont disponibles pour un large éventail de systèmes d’exploitation.

Grâce à cet exploit, le chercheur a pu mettre la main directement sur la clé KeyMaster enregistrée dans la TrustZone. Cette faille peut être bénéfique pour les bidouilleurs dans la mesure où elle rend beaucoup plus facile le déverrouillage du bootloader des terminaux équipés de ces puces. Mais elle permet aussi de récupérer des données sensibles et contourner leur chiffrement.

Android 5.0 a été doté de plusieurs fonctionnalités afin de renforcer la sécurité, parmi lesquelles figure le chiffrement intégral de disque dur (FDE). Il permet de générer une KeyMaster et un salage de 128 bits. Lorsqu’il est activé par l’utilisateur, la KeyMaster est enregistrée dans la TrustZone, elle-même chiffrée par la méthode de verrouillage du téléphone choisie par l’utilisateur. Si le hacker arrive à mettre la main sur cette clé, il pourra tenter de mener une attaque par force brute pour trouver le mot de passe, le code pin ou la combinaison de déverrouillage et ainsi accéder au contenu du smartphone.

Cette faille grave montre que les terminaux Android ne sont pas encore à l’abri des attaques. Le chiffrement actuel ne permet pas de barricader les données. Néanmoins, le chercheur estime que les efforts conjoints de toutes les parties concernées pourraient rendre les prochaines générations d’Android plus robustes. Pour le moment, seuls les appareils munis des dernières versions d’Android, à savoir 5.1.1 et 6.0 peuvent installer un correctif pour se prémunir de cette vulnérabilité. À savoir que seulement 27 % des utilisateurs utilisent ces deux versions dans tout le parc Android.

Source : Bits, please - source.android

Une banque ukrainienne se fait voler 10 millions de dollars

Les infrastructures de SWIFT sont encore mises en cause dans l'enquête préliminaire

La branche de Kiev d’ISACA (Information Systems Audit and Control Association), une association internationale spécialisée dans la gouvernance des systèmes d’informations et de l’audit informatique, a indiqué il y a quelques jours qu’une banque ukrainienne, dont elle s’est gardée de révéler le nom, a été victime d’un vol de 10 millions de dollars.

Comme pour le vol de la Banque Centrale du Bengladesh, des paiements frauduleux qui ont eu lieu via le réseau SWIFT (Society for worldwide interbank financial telecommunication), qui est chargé de la supervision des transactions entre des milliers d’institutions financières à travers le monde, ont été évoqués.

« En ce moment, des douzaines de banques (principalement en Ukraine et en Russie) ont été compromises. Des centaines de millions de dollars leur ont été volés », a assuré ISACA.

L'organisation a déclaré que, habituellement, réaliser des piratages de cette ampleur peut prendre des mois. Après s’être introduits dans les réseaux internes d’une institution financière, les pirates doivent prendre du temps pour étudier les processus et contrôles internes de la banque. Puis, en se basant sur les connaissances et les différents accès qu’ils ont pu collecter, les pirates vont commencer à émettre des instructions frauduleuses de virement bancaire à des sociétés offshore, ce qui leur permettra de siphonner des millions de dollars.

ISACA a déclaré que les pirates ont vraisemblablement utilisé des informations et outils disponibles publiquement pour commettre leur méfait. L'organisation a également ajouté que la même méthode avait probablement été utilisée contre d'autres banques dans le système financier ukrainien.

« Les banques ne partagent plus ces informations à tous et sont toutes effrayées par la publicité », a déclaré Aleksey Yankovsky, responsable de la branche ukrainienne d’ISACA. Il a spécifié que son commentaire émane d’une observation personnelle et qu’il ne parlait pas au nom de l’entreprise. Il a rajouté « dans ce cas particulier, des individus ont été engagés via leurs organisations d’audit. Certains étaient issus de la branche de Kiev d’ISACA, qui est l’une de nos 213 branches indépendantes dans le monde. L’histoire les a associés a leur appartenance à la branche au lieu de les associés à leurs organisations qui les a engagés pour faire le travail ».

De son côté, SWIFT, qui voit encore son réseau grandir notamment avec la venue des banques de l’Équateur et du Vietnam, a encore une fois prétendu que ses infrastructures n’ont rien à voir avec ces piratages : « SWIFT a récemment partagé de l’information avec sa communauté globale concernant un certain nombre de cas de paiement frauduleux qui ont eu lieu dans les environnements locaux des clients. Le réseau, le software et les services de SWIFT n’ont pas été compromis ; chaque cas a eu lieu après qu’un client avait souffert d’une série de brèches de sécurité au sein de son infrastructure gérée localement »

En outre, le directeur général de Swift, Gottfried Leibbrandt, a récemment averti que les banques devraient renforcer leur sécurité ou pourraient se voir exclues du réseau, dont la confiance apportée par les banques y figurant est mise à rude épreuve au fur et à mesure que les piratages sont dévoilés.

S’adressant au Financial Times, il avait déclaré « on pourrait dire que si la sécurité immédiate autour de Swift n’est pas en règle, nous pourrons vous expulser, vous ne devriez pas être sur le réseau [...] les jours où, pour cambrioler une banque, vous aviez besoin d’avoir des armes sont révolus. Vous pouvez désormais voler une banque depuis votre propre PC et cela change complètement la donne ».

Il faut rappeler que l’organisation a publié en fin mai dernier un nouveau guide de sécurité destiné aux banques appartenant à son réseau pour améliorer leurs lignes de défense. Grosso modo, les banques sont invitées à partager plus d’informations sur les cas de paiements frauduleux qui ont eu lieu dans les environnements locaux des clients avec le reste de la communauté, SWIFT envisage de renforcer les exigences de sécurité pour les logiciels gérés par les banques afin de mieux protéger l'environnement local. SWIFT compte également améliorer la sécurité et l'exploitation des lignes de base, mais aussi élaborer des normes de vérification connexes et des processus de certification pour la gestion sécurisée des messages SWIFT sur les sites des banques clients.

Source : SWIFT (Customer Security Program), Kyiv Post, Financial Times (interview avec Gottfried Leibbrandt)

Une faille dans le protocole RDP permet à un hacker de voler des centaines de milliers d'enregistrements de données De trois organismes de santé US

Les registres médicaux constituent une véritable mine d’informations, de quoi attirer les convoitises des hackers. Trois bases de données volées seraient justement en vente sur le darkweb. Elles auraient été volées par un hacker du nom de « thedarkoverlord » qui aurait profité d’une faille au niveau du protocole RDP, Remote Desktop Protocol. Pour information, il s’agit d’un protocole qui permet à un utilisateur de se connecter sur un serveur distant.

Les trois bases de données sont encore en vente sur le marché noir, pour des prix variant entre 151 et 607 bitcoins. Elles appartiennent toutes à des organismes de santé américains. Le premier registre contient des informations personnelles de 48 000 patients et provient d’un organisme de santé de Farmington, Missouri. Les données volées proviendraient d’une base de données Access. La deuxième base de données provient d’un organisme de santé situé dans l’État du Midwest. Elle contient des informations sur 210 000 patients. La troisième base de données contient des informations sur 397 000 patients habitant la Géorgie. Pour les trois registres, le hacker affirme que les données n’étaient pas chiffrées.

Source : Motherboard, Deepdotweb

Classement mondial des pays les plus vulnérables aux cyberattaques : la Belgique en tête

Les cyberattaques sont de plus en plus fréquentes et font désormais partie du quotidien de l’actualité informatique. On se souvient encore du piratage du réseau bancaire SWIFT qui a permis à des hackers de dérober des dizaines de milliers de dollars à la banque centrale du Bangladesh.

Malgré la mise en place de normes de sécurité sur internet, aucun pays ne peut se vanter d’avoir ses serveurs à l’abri des pirates informatiques, mais peut-être moins vulnérables que ceux des autres pays. La firme de sécurité Rapid7 vient de montrer cette réalité à travers son classement des pays les plus vulnérables aux cyberattaques.

La Belgique est le pays le plus exposé aux cyberattaques

Le rapport émis par la société Rapid7 met en avant le fait que généralement les serveurs sont sécurisés. Par contre, ce sont les services qu’ils proposent qui sont susceptibles d’être piratés par les hackers. Ce classement repose sur des données collectées, en analysant toutes les adresses IPv4 pour un service spécifique. Après analyse, c'est la Belgique qui arrive en tête des pays dont les serveurs sont les plus vulnérables.

La société de sécurité informatique a remarqué que 8 des 10 principaux services offerts ne sont pas sécurisés. En effet, les données qui y sont stockées ne sont pas chiffrées, de quoi les exposer aux menaces des hackers. Ainsi beaucoup de sites utilisent encore le protocole de courrier électronique POP3, dont les normes de sécurité ne sont plus adaptées au contexte actuel, et la méthode de transfert de fichiers FTP jugée obsolète en termes de sécurité. Cela dit, un port ouvert à un service non sécurisé ne constitue pas une réelle menace. Par contre, s’il a plusieurs services non sécurisés, le serveur s’expose à une menace importante de cyberattaques.

Ci-dessous le classement des 30 premiers pays les plus exposés aux cyberattaques :

1. Belgique
2. Tajikistan
3. Les îles Samoa
4. Australie
5. Chine
6. Hong Kong
7. République dominicaine
8. Afghanistan
9. Afrique du sud
10. Éthiopie
11. Kenya
12. Gabon
13. France
14. États-Unis
15. Mozambique
16. Japon
17. Qatar
18. Yémen
19. Russie
20. Argentine
21. Maldives
22. Azerbaïdjan
23. Royaume-Uni
24. Turkménistan
25. Algérie
26. Corée
27. Pérou
28. Nigéria
29. Turquie
30. Hongrie

Dans ce classement, on remarque que ce n’est pas forcément la taille de son réseau Internet qui rend un pays plus vulnérable aux cyberattaques. En effet, on retrouve des pays comme le Tajikistan (2e place) ou encore le Gabon (12e place).

Après la Belgique, on retrouve un autre pays de l’Union Européenne dans le top 15 des pays dont les serveurs sont les plus exposés au piratage informatique. Il s’agit de la France (13e place). La Russie et le Royaume-Uni se trouvent un peu plus bas dans le classement respectivement aux 19e et 23e places.

Hors de l’Europe, on retrouve les États-Unis à la 14e place, juste après la France dans le classement. En ce qui concerne la Chine, elle se trouve à la 5e place du classement réalisé par la société Rapid7. On pourrait alors se demander pourquoi les pays comme les États-Unis et la Chine, pour ne citer que ceux-là, qui sont censés avoir les moyens de sécuriser leurs services, se trouvent parmi les pays les plus vulnérables.

Aux États-Unis, on note la présence du programme de surveillance de masse de la NSA. En Chine, il est connu de tous que le gouvernement contrôle et intercepte le trafic Internet, entrant et sortant. Est-ce à dire que ces vulnérabilités sont observées à des fins d’exploitation par les propres gouvernements de ces pays ?

Source : The Guardian