Les smartphones Xiaomi piratés

Xiaomi a tout simplement oublié de sécuriser les mises à jour logicielles de ses smartphones.

Une fois de plus, les spécialistes de la sécurité informatique ont découvert une belle faille. Cette fois, l’alerte émane d’un groupe de recherche en sécurité d’IBM, la X-Force (lien en anglais). Il s’agit ici d’une attaque de type « man in the middle ». Elle permet au hacker d'intercepter et de modifier les échanges réseaux, pour pouvoir pirater n'importe quel smartphone depuis une simple connexion Wifi. Techniquement, les hackers se sont servis d’une faille d’un paquet logiciel utilisé dans certaines applications de Xiaomi. Le problème prend sa source dans l’absence de disposition de chiffrage et de vérification cryptographique lors des mises à jour. Une fois à l’intérieur, rien de plus simple pour le hacker que de remplacer le paquet logiciel et de s’octroyer les privilèges d'administration.

Pour les chercheurs d’IBM, la faille pourrait toucher des millions de portables. En effet, outre les 70 millions de smartphones Xiaomi vendus et potentiellement infectés, il faut ajouter les autres téléphones qui utilisent le système MIUI, disponible gratuitement sur internet. Xiaomi a officiellement réglé le problème sur la dernière version 7.2 du système MIUI.

Ces problèmes de chiffrage ne sont pas nouveaux. De nombreux éditeurs de logiciels antivirus sont régulièrement mis en cause pour leur faible protection des mises à jour. Les autorités compétentes leur rappellent que ces échanges doivent être systématiquement chiffrés, et que les paquets logiciels doivent être toujours signés. Une piqûre de rappel à priori nécessaire pour assurer aux utilisateurs une sécurité optimale.

Des hackers ont détourné des centaines de caméras de surveillance pour mener des attaques DDoS

En utilisant l'outil dédié LizardStresser

Le groupe Lizard Squad a encore fait parler de lui. Ce collectif de hackers a développé et commercialise un outil d’attaque DDoS (attaque par déni de service distribué) qui porte le nom de « LizardStresser ». Après le réseau Tor et des plateformes de jeux vidéo, le programme LizardStresser aurait été utilisé pour détourner des centaines de caméras de surveillance, dont la plupart sont localisées au Brésil. Les hackers ont pu ainsi créer un botnet pouvant faire des attaques de 400 Go de données par seconde. Pour information, un botnet est un réseau de programmes connectés à internet communiquant avec d’autres programmes similaires afin d’exécuter certaines tâches.

C’est Matthew Bing, un spécialiste en sécurité informatique travaillant pour le compte d’Arbor Networks, qui a découvert les séries d’attaques DDoS menées à partir de caméras de surveillance. Selon lui, les caméras de surveillance auraient envoyé des attaques de 400 Go de données par seconde. Elles auraient touché des sites appartenant à des organismes bancaires, des sociétés de télécommunication et des agences gouvernementales au Brésil. Des sociétés de jeux implantées aux États-Unis seraient aussi victimes de ces attaques DDoS.

Faisant partie des appareils IdO (Internet des Objets), les caméras de surveillance constituent une bonne cible pour les hackers. En effet, les systèmes d’exploitation qu’elles utilisent sont des versions simplifiées, certaines fonctions de sécurité sont ainsi manquantes. De plus, elles utilisent souvent des mots de passe par défaut qui peuvent être utilisés par plusieurs produits d’un même fabricant IdO. En effet, ces fabricants se servent souvent d’une même application ou d’un même composant électronique pour plusieurs produits. C’est justement cette faille que les hackers auraient exploitée pour contrôler les caméras de surveillance. Après analyse, Matthew Bing a affirmé que presque 90 % des caméras de surveillance sont gérées via l’outil NETSurveillance WEB, dont le mot de passe par défaut est disponible en ligne.

Dans cette série d’attaques DDoS, le spécialiste en sécurité informatique a remarqué que la plupart des caméras piratées se trouvaient au Brésil. Il évoque ainsi trois possibilités : soit l’outil DDoS LizardStresser a généré les adresses IP au hasard afin de mener une attaque par force brute, soit l’auteur des attaques DDoS a modifié le code source afin de cibler particulièrement le Brésil, soit la plupart des caméras de surveillance au Brésil sont accessibles via l’interface NETSurveillance WEB.

Le code LizardStresser a été utilisé pour réaliser des attaques de 400 Go par seconde sur de nombreux sites. Matthew Bing a remarqué qu’il n’y avait ni usurpation d’adresse IP ni utilisation de protocoles d’amplification UDP, comme le Network Time Protocol ou NTP. L’analyse d’une instance du code LizardStresser a aussi permis de mettre en avant le fait que les attaques DDoS évoluaient d’une minute à l’autre, passant d’une attaque de type HOLD flood, à une attaque UDP flooding puis à une attaque TCP flooding. Pour information, l’attaque UDP flooding entraîne une congestion du réseau et une saturation des ressources des deux hôtes victimes. Cela résulte du fait que le trafic UDP est prioritaire sur le trafic TCP. L’attaque TCP flooding, quant à elle, atteint les ressources par envoi massif d’accusés de réception.

Le code LizardStresser, développé par Lizard Squad, continue de faire des ravages et ces attaques DDoS mettent en avant la vulnérabilité des objets connectés. En effet, la plupart des utilisateurs ne prennent pas la peine de changer le mot de passe par défaut des dispositifs IoT, une faille qui a permis à l’outil LizardStresser de détourner des centaines de caméras de surveillance et d’en créer un grand botnet pour réaliser des attaques DDoS.

Source : Arbor Netwoks

Des pirates dérobent plus de 3 milliards de dollars à des entreprises

En recourant à la fraude au PDG

Le FBI a mis en garde contre des pertes liées à la généralisation de campagnes d’emails frauduleux en provenance de hackers qui se font passer pour des PDG et incitent les contrôleurs financiers à faire des virements de fonds vers leurs comptes fraudeurs. Les pertes liées à ces fraudes s’élèvent à 3,1 milliards de dollars depuis octobre 2013. Ce chiffre a été rendu public par l’Internet Complaint Crime Centre (IC3), qui est une équipe multiagence composée de personnels du Federal Bureau of Investigation (FBI), du National White Collar Crime Center (NW3C) et du Bureau of Justice Assistance (BJA).

La mission de l'IC3 est de servir de plaque tournante pour recevoir, traiter et attribuer les plaintes criminelles concernant le cybercrime. L'IC3 fournit aux plaignants de cybercrimes un mécanisme de déclaration pratique et simple pour alerter les autorités des violations civiles ou criminelles sur Internet. L'IC3 informe les différents organismes chargés de l'application de la loi au sujet des plaintes.

Le FBI révèle ces données après avoir lancé une campagne de sensibilisation du public sur les méthodes de défense contre ce type de fraudes. Cette pratique plus connue sous le nom de la fraude au PDG ou « compromission des adresses électroniques d'entreprise » constitue une menace surtout pour les entreprises et non pas les particuliers. En avril dernier, le FBI avait révélé que les pertes liées à cette escroquerie dans le monde entier s’estimaient à 2,3 milliards de dollars entre octobre 2013 et février 2016.

Le nombre de victimes américaines et étrangères de la compromission des adresses électroniques d’entreprise s’élève à 22 143 cas. Les fraudeurs auraient demandé le paiement de 3,1 milliards de dollars en virements frauduleux, ce qui constitue une augmentation significative par rapport aux anciennes estimations du FBI. Cela laisse présager que la fraude au PDG pourrait être un problème beaucoup plus alarmant qu’on le pensait jusque-là. Il faut savoir que ces chiffres ne proviennent pas seulement des réclamations reçues par l’IC3, mais aussi des banques et d’autres agences internationales chargées de l’application de la loi qui coopèrent aussi pour faire face à ces fraudes.

L’IC3 a indiqué que la somme de 3,1 milliards de dollars constitue les « pertes exposées en dollars » qui « inclut les pertes réelles et tentées en dollars américains ». Elle ajoute que 15 688 cas de fraudes lui ont été signalés aux États-Unis et à l’international, avec des pertes qui dépassent le milliard de dollars. Sur ces victimes, 14 032 sont américaines, « L'escroquerie a été signalée par des victimes dans les 50 États et dans 100 pays. Les signalements indiquent que des transferts frauduleux ont été envoyés vers 79 pays, majoritairement à destination de banques asiatiques basées en Chine et à Hong Kong », rapporte l'IC3.

Le FBI a demandé aux victimes de le notifier en cas de fraude, afin de collaborer avec les agences de sécurité étrangères et demander aux banques de geler les fonds avant qu’ils ne soient retirés par les fraudeurs. L’IC3 aussi a mis en place de nouvelles descriptions des différentes variantes de cette pratique criminelle et a prescrit des mesures de sécurité destinées à atténuer le risque d’exposition à cette fraude. Elle recommande de recourir à l’authentification à deux facteurs, de confirmer les transactions importantes par un appel téléphonique et de ne pas répondre directement aux messages, mais de les transférer pour s’assurer qu’ils sont adressés à un compte qui figure dans le carnet d’adresses du destinataire.

Source : IC3

Une faille de sécurité menace des millions de smartphones Android

Elle concerne les puces de Qualcomm et affecte les anciennes versions de l'OS

Android, le système d’exploitation mobile développé par Google n’en finit pas avec les menaces de sécurité. Tout au long de son évolution, l’OS mobile a été marqué par l’existence et la découverte de failles plus ou moins graves, capables de mettre à mal la sécurité de millions d’utilisateurs. Cette fois, c’est le fondeur américain Qualcomm qui est dans le collimateur. En effet, il a été victime d’une faille de sécurité qui réside au niveau de ses puces ARM. Dotés d'une architecture relativement plus simple que d'autres familles de processeurs, et bénéficiant d'une faible consommation, les processeurs ARM sont devenus dominants dans le domaine de l'informatique embarquée, en particulier la téléphonie mobile et les tablettes. Ces processeurs sont fabriqués sous licence par un grand nombre de constructeurs, dont Qualcomm.

L’introduction de la version 6 de l’architecture ARM a été l’occasion de la mise en place de certaines extensions de sécurité. Elle a permis de doter le terminal d’un espace protégé appelé TrustZone où peuvent se stocker des données sensibles, notamment des clés (KeyMaster) permettant de déchiffrer les données chiffrées des smartphones Android. Afin de renforcer la sécurité, ni le système d’exploitation ni le constructeur ne peuvent accéder à ces clés, seule la puce peut les manipuler.

La KeyMaster est enregistrée à part dans une zone sécurisée appelée TrustZone

Seulement il y a plus d’un an en avril 2015, un utilisateur a réussi à contourner ce mécanisme de chiffrement. Le chercheur en sécurité portant le pseudonyme « laginimaineb » a réussi à accéder à la zone protégée en recourant à la rétro-ingénierie. La rétro-ingénierie, ou ingénierie inverse ou inversée, est l'activité qui consiste à étudier un objet pour en déterminer le fonctionnement interne ou la méthode de fabrication. Le terme équivalent en anglais est reverse engineering.

Sur son blog « Bits, please », le chercheur indique avoir utilisé un téléphone Nexus 5. Il a pu ainsi observer le fonctionnement très bas niveau des puces Snapdragon et a pu découvrir une « chaine de vulnérabilités » permettant de se procurer des privilèges. À noter que les SnapDragon sont une famille de système sur puce (system-on-a-chip ou SoC) de la société Qualcomm utilisant le jeu d'instruction ARM. Ils sont destinés au marché des smartphones et tablettes tactiles et sont disponibles pour un large éventail de systèmes d’exploitation.

Grâce à cet exploit, le chercheur a pu mettre la main directement sur la clé KeyMaster enregistrée dans la TrustZone. Cette faille peut être bénéfique pour les bidouilleurs dans la mesure où elle rend beaucoup plus facile le déverrouillage du bootloader des terminaux équipés de ces puces. Mais elle permet aussi de récupérer des données sensibles et contourner leur chiffrement.

Android 5.0 a été doté de plusieurs fonctionnalités afin de renforcer la sécurité, parmi lesquelles figure le chiffrement intégral de disque dur (FDE). Il permet de générer une KeyMaster et un salage de 128 bits. Lorsqu’il est activé par l’utilisateur, la KeyMaster est enregistrée dans la TrustZone, elle-même chiffrée par la méthode de verrouillage du téléphone choisie par l’utilisateur. Si le hacker arrive à mettre la main sur cette clé, il pourra tenter de mener une attaque par force brute pour trouver le mot de passe, le code pin ou la combinaison de déverrouillage et ainsi accéder au contenu du smartphone.

Cette faille grave montre que les terminaux Android ne sont pas encore à l’abri des attaques. Le chiffrement actuel ne permet pas de barricader les données. Néanmoins, le chercheur estime que les efforts conjoints de toutes les parties concernées pourraient rendre les prochaines générations d’Android plus robustes. Pour le moment, seuls les appareils munis des dernières versions d’Android, à savoir 5.1.1 et 6.0 peuvent installer un correctif pour se prémunir de cette vulnérabilité. À savoir que seulement 27 % des utilisateurs utilisent ces deux versions dans tout le parc Android.

Source : Bits, please - source.android

Une banque ukrainienne se fait voler 10 millions de dollars

Les infrastructures de SWIFT sont encore mises en cause dans l'enquête préliminaire

La branche de Kiev d’ISACA (Information Systems Audit and Control Association), une association internationale spécialisée dans la gouvernance des systèmes d’informations et de l’audit informatique, a indiqué il y a quelques jours qu’une banque ukrainienne, dont elle s’est gardée de révéler le nom, a été victime d’un vol de 10 millions de dollars.

Comme pour le vol de la Banque Centrale du Bengladesh, des paiements frauduleux qui ont eu lieu via le réseau SWIFT (Society for worldwide interbank financial telecommunication), qui est chargé de la supervision des transactions entre des milliers d’institutions financières à travers le monde, ont été évoqués.

« En ce moment, des douzaines de banques (principalement en Ukraine et en Russie) ont été compromises. Des centaines de millions de dollars leur ont été volés », a assuré ISACA.

L'organisation a déclaré que, habituellement, réaliser des piratages de cette ampleur peut prendre des mois. Après s’être introduits dans les réseaux internes d’une institution financière, les pirates doivent prendre du temps pour étudier les processus et contrôles internes de la banque. Puis, en se basant sur les connaissances et les différents accès qu’ils ont pu collecter, les pirates vont commencer à émettre des instructions frauduleuses de virement bancaire à des sociétés offshore, ce qui leur permettra de siphonner des millions de dollars.

ISACA a déclaré que les pirates ont vraisemblablement utilisé des informations et outils disponibles publiquement pour commettre leur méfait. L'organisation a également ajouté que la même méthode avait probablement été utilisée contre d'autres banques dans le système financier ukrainien.

« Les banques ne partagent plus ces informations à tous et sont toutes effrayées par la publicité », a déclaré Aleksey Yankovsky, responsable de la branche ukrainienne d’ISACA. Il a spécifié que son commentaire émane d’une observation personnelle et qu’il ne parlait pas au nom de l’entreprise. Il a rajouté « dans ce cas particulier, des individus ont été engagés via leurs organisations d’audit. Certains étaient issus de la branche de Kiev d’ISACA, qui est l’une de nos 213 branches indépendantes dans le monde. L’histoire les a associés a leur appartenance à la branche au lieu de les associés à leurs organisations qui les a engagés pour faire le travail ».

De son côté, SWIFT, qui voit encore son réseau grandir notamment avec la venue des banques de l’Équateur et du Vietnam, a encore une fois prétendu que ses infrastructures n’ont rien à voir avec ces piratages : « SWIFT a récemment partagé de l’information avec sa communauté globale concernant un certain nombre de cas de paiement frauduleux qui ont eu lieu dans les environnements locaux des clients. Le réseau, le software et les services de SWIFT n’ont pas été compromis ; chaque cas a eu lieu après qu’un client avait souffert d’une série de brèches de sécurité au sein de son infrastructure gérée localement »

En outre, le directeur général de Swift, Gottfried Leibbrandt, a récemment averti que les banques devraient renforcer leur sécurité ou pourraient se voir exclues du réseau, dont la confiance apportée par les banques y figurant est mise à rude épreuve au fur et à mesure que les piratages sont dévoilés.

S’adressant au Financial Times, il avait déclaré « on pourrait dire que si la sécurité immédiate autour de Swift n’est pas en règle, nous pourrons vous expulser, vous ne devriez pas être sur le réseau [...] les jours où, pour cambrioler une banque, vous aviez besoin d’avoir des armes sont révolus. Vous pouvez désormais voler une banque depuis votre propre PC et cela change complètement la donne ».

Il faut rappeler que l’organisation a publié en fin mai dernier un nouveau guide de sécurité destiné aux banques appartenant à son réseau pour améliorer leurs lignes de défense. Grosso modo, les banques sont invitées à partager plus d’informations sur les cas de paiements frauduleux qui ont eu lieu dans les environnements locaux des clients avec le reste de la communauté, SWIFT envisage de renforcer les exigences de sécurité pour les logiciels gérés par les banques afin de mieux protéger l'environnement local. SWIFT compte également améliorer la sécurité et l'exploitation des lignes de base, mais aussi élaborer des normes de vérification connexes et des processus de certification pour la gestion sécurisée des messages SWIFT sur les sites des banques clients.

Source : SWIFT (Customer Security Program), Kyiv Post, Financial Times (interview avec Gottfried Leibbrandt)

Une faille dans le protocole RDP permet à un hacker de voler des centaines de milliers d'enregistrements de données De trois organismes de santé US

Les registres médicaux constituent une véritable mine d’informations, de quoi attirer les convoitises des hackers. Trois bases de données volées seraient justement en vente sur le darkweb. Elles auraient été volées par un hacker du nom de « thedarkoverlord » qui aurait profité d’une faille au niveau du protocole RDP, Remote Desktop Protocol. Pour information, il s’agit d’un protocole qui permet à un utilisateur de se connecter sur un serveur distant.

Les trois bases de données sont encore en vente sur le marché noir, pour des prix variant entre 151 et 607 bitcoins. Elles appartiennent toutes à des organismes de santé américains. Le premier registre contient des informations personnelles de 48 000 patients et provient d’un organisme de santé de Farmington, Missouri. Les données volées proviendraient d’une base de données Access. La deuxième base de données provient d’un organisme de santé situé dans l’État du Midwest. Elle contient des informations sur 210 000 patients. La troisième base de données contient des informations sur 397 000 patients habitant la Géorgie. Pour les trois registres, le hacker affirme que les données n’étaient pas chiffrées.

Source : Motherboard, Deepdotweb

Classement mondial des pays les plus vulnérables aux cyberattaques : la Belgique en tête

Les cyberattaques sont de plus en plus fréquentes et font désormais partie du quotidien de l’actualité informatique. On se souvient encore du piratage du réseau bancaire SWIFT qui a permis à des hackers de dérober des dizaines de milliers de dollars à la banque centrale du Bangladesh.

Malgré la mise en place de normes de sécurité sur internet, aucun pays ne peut se vanter d’avoir ses serveurs à l’abri des pirates informatiques, mais peut-être moins vulnérables que ceux des autres pays. La firme de sécurité Rapid7 vient de montrer cette réalité à travers son classement des pays les plus vulnérables aux cyberattaques.

La Belgique est le pays le plus exposé aux cyberattaques

Le rapport émis par la société Rapid7 met en avant le fait que généralement les serveurs sont sécurisés. Par contre, ce sont les services qu’ils proposent qui sont susceptibles d’être piratés par les hackers. Ce classement repose sur des données collectées, en analysant toutes les adresses IPv4 pour un service spécifique. Après analyse, c'est la Belgique qui arrive en tête des pays dont les serveurs sont les plus vulnérables.

La société de sécurité informatique a remarqué que 8 des 10 principaux services offerts ne sont pas sécurisés. En effet, les données qui y sont stockées ne sont pas chiffrées, de quoi les exposer aux menaces des hackers. Ainsi beaucoup de sites utilisent encore le protocole de courrier électronique POP3, dont les normes de sécurité ne sont plus adaptées au contexte actuel, et la méthode de transfert de fichiers FTP jugée obsolète en termes de sécurité. Cela dit, un port ouvert à un service non sécurisé ne constitue pas une réelle menace. Par contre, s’il a plusieurs services non sécurisés, le serveur s’expose à une menace importante de cyberattaques.

Ci-dessous le classement des 30 premiers pays les plus exposés aux cyberattaques :

1. Belgique
2. Tajikistan
3. Les îles Samoa
4. Australie
5. Chine
6. Hong Kong
7. République dominicaine
8. Afghanistan
9. Afrique du sud
10. Éthiopie
11. Kenya
12. Gabon
13. France
14. États-Unis
15. Mozambique
16. Japon
17. Qatar
18. Yémen
19. Russie
20. Argentine
21. Maldives
22. Azerbaïdjan
23. Royaume-Uni
24. Turkménistan
25. Algérie
26. Corée
27. Pérou
28. Nigéria
29. Turquie
30. Hongrie

Dans ce classement, on remarque que ce n’est pas forcément la taille de son réseau Internet qui rend un pays plus vulnérable aux cyberattaques. En effet, on retrouve des pays comme le Tajikistan (2e place) ou encore le Gabon (12e place).

Après la Belgique, on retrouve un autre pays de l’Union Européenne dans le top 15 des pays dont les serveurs sont les plus exposés au piratage informatique. Il s’agit de la France (13e place). La Russie et le Royaume-Uni se trouvent un peu plus bas dans le classement respectivement aux 19e et 23e places.

Hors de l’Europe, on retrouve les États-Unis à la 14e place, juste après la France dans le classement. En ce qui concerne la Chine, elle se trouve à la 5e place du classement réalisé par la société Rapid7. On pourrait alors se demander pourquoi les pays comme les États-Unis et la Chine, pour ne citer que ceux-là, qui sont censés avoir les moyens de sécuriser leurs services, se trouvent parmi les pays les plus vulnérables.

Aux États-Unis, on note la présence du programme de surveillance de masse de la NSA. En Chine, il est connu de tous que le gouvernement contrôle et intercepte le trafic Internet, entrant et sortant. Est-ce à dire que ces vulnérabilités sont observées à des fins d’exploitation par les propres gouvernements de ces pays ?

Source : The Guardian