Un hacker publie la présumée clé de déchiffrement du firmware de l'Apple Secure Enclave Le coprocesseur responsable de la sécurisation de Touch ID

Un hacker connu sous le pseudonyme Twitter de xerub vient de publier ce qu’il estime être la clé de déchiffrement du firmware de l’Apple Secure Enclave Processor (SEP). La fuite pourrait avoir un impact fort sur la sécurité d’iOS au vu du rôle que joue ce coprocesseur dans cet écosystème.

Dans son guide officiel sur la sécurité, Apple décrit le SEP comme un coprocesseur déployé avec les versions S2 et A7 de ses processeurs principaux. Ce dernier est chargé de protéger l’identifiant unique de l’appareil (UID) et de vérifier les transactions Touch ID entre autres. Pour ce faire, il tourne sous un système d’exploitation distinct, est doté de mémoire chiffrée et d’un mécanisme de mise à jour qui lui est propre et possède son propre générateur matériel de nombres aléatoires.

La publication du firmware devrait permettre aux chercheurs en sécurité de pénétrer les mystères de cette boîte noire qu’était le SEP jusqu’ici. Dans l’immédiat, les trouvailles devraient s’arrêter aux méandres du SEP. Les données personnelles des utilisateurs ne devraient pas être en danger pour le moment si l’on se réfère au schéma (ci-dessus) de l’architecture d’iOS qui montre une séparation importante avec la couche de protection des données.

Des exploits permettant de contourner l’authentification via Touch ID pourraient cependant être développés dans un futur proche, ce qui permettrait à des cybercriminels d’effectuer des transactions via des solutions de paiement comme Apple Pay ou d’autres à partir de l’iPhone d’une victime. 

Sources :developpez.com

Un expert en sécurité propose une liste de 320 millions de mots de passe à éviter Pour renforcer la sécurité sur le Web

Avec la multiplication des fuites de données, il est impératif de choisir des mots de passe capables de résister aux attaques de type force brute. 

Pour aider les internautes à trouver un bon mot de passe, les initiatives se sont multipliées : certains services proposent de générer des mots de passe, d’autres d’analyser un mot de passe avant son utilisation et d’en proposer un qui serait meilleur. Mais Troy Hunt, l'expert en sécurité derrière le site Web "Have I Been Pwned” a choisi une approche différente : faire une base de données des mots de passe qui ont été précédemment compromis.

Dans la première version, qui a été publiée le 3 août, cette base de données comprenait 306 millions de mots de passe pour un poids total de 5,3 Go. Le lendemain, lors d’une mise à jour, le chercheur en a rajouté 14 millions, pour un poids supplémentaire de 250 Mo. 

« Les mots de passe Pwned sont des centaines de millions de mots de passe du monde réel exposés aux violations de données. Cette exposition les rend impropres à une utilisation continue, car ils risquent beaucoup plus d'être utilisés pour prendre en charge d'autres comptes. Ils sont consultables en ligne ci-dessous et peuvent être téléchargés pour être utilisés dans un autre système en ligne », a expliqué Hunt. 

« La réutilisation de mots de passe est normale. Elle s’avère extrêmement risquée, mais elle est répandue parce qu’elle est facile et que les gens ne perçoivent pas l'impact potentiel. Les attaques telles que le remplissage des informations d'identification profitent des informations réutilisées en automatisant les tentatives de connexion contre les systèmes utilisant des paires courriels connus et mots de passe », a-t-il reconnu.

Aussi, dans un billet, il a déclaré « J'invite des gens plus compétents en technologie à utiliser ce service pour démontrer un argument à des amis, des parents et des collègues : “vous voyez, ce mot de passe a été violé auparavant, ne l'utilisez pas ! “ ». Et de continuer en disant que « S'il y a une chose que j'ai apprise au cours des années passées à faire tourner ce service, c'est que rien n'a autant d'effet que de voir ses propres données compromises. » 

D’où est-ce que ces mots de passe proviennent ? 

Hunt déclare que « J'ai regroupé ces mots de passe de différentes sources, en commençant par les énormes listes sur lesquelles j'ai écrit au mois de mai. Celles-ci contiennent toutes les sortes d’exemples de mots de passe terribles auxquels vous pouvez vous attendre dans le monde réel et vous pouvez lire une analyse dans la publication de BinaryEdge sur la façon dont les utilisateurs choisissent leurs mots de passe sur Internet. J'ai commencé avec la liste Exploit.in qui a 805 499 391 lignes d'adresse e-mail et des paires de mots de passe en texte brut. En fait, elle avait “seulement” 593 427 119 adresses électroniques uniques, alors, ce que nous voyons ici, c'est un tas de comptes de messagerie comportant plus d'un mot de passe. C'est la réalité de ces listes : elles fournissent souvent plusieurs mots de passe alternatifs différents qui pourraient être utilisés pour entrer dans le seul compte. 

« J'ai saisi les mots de passe de la liste Exploit.in qui m'a donné 197 602 390 valeurs uniques. Pensez-y un moment : 75 % des mots de passe dans un ensemble de données ont été utilisés plus d'une fois. Ceci est vraiment important, car cela commence à donner une forme sur l'ampleur du problème auquel nous sommes confrontés.

« Je suis passé à la liste Anti Public qui contenait 562 077 488 lignes avec 457 962 538 adresses électroniques uniques. Cela m'a donné encore 96 684 629 mots de passe uniques qui n’étaient pas dans les données Exploit.in. En y regardant d’une autre perspective, 83 % des mots de passe dans cet ensemble avaient déjà été vus auparavant. Ceci est tout à fait attendu : au fur et à mesure que d'autres données sont ajoutées, une plus petite proportion des mots de passe n'est précédemment pas visible.

« À partir de là, j’ai parcouru une variété d'autres sources de données ajoutant de plus en plus de mots de passe, mais avec un taux de diminution constante de nouveaux apparaissant. J'ajoutais des sources avec des dizaines de millions de mots de passe [...] Lorsque j'ai fini, il y avait 306 259 512 mots-clés Pwned uniques dans l'ensemble. » 

Source : developpez.com, haveibeenpwned.com (outil test)

WannaCry : une partie des bitcoins liés aux rançons convertis en Monero Une cryptomonnaie dont les transactions seraient non traçables

Le bot_Twitter de suivi des adresses Bitcoin utilisées par les auteurs du ransomware a récemment détecté une activité sur ces derniers. On sait que les cybercriminels ont procédé en multiples retraits pour un montant total en bitcoins équivalent à 140 000 $. De récents développements de Forbes à ce sujet indiquent qu’une partie de ces bitcoins a été convertie en Monero, une autre cryptomonnaie dont les montants des transactions ne seraient pas publiés sur la chaîne de blocs associée.

La communauté de la cybersécurité guette une éventuelle erreur des auteurs du ransomware WannaCry pour les démasquer. Sachant qu’ils sont attendus sur les failles du réseau Bitcoin permettant de remonter à eux, les cybercriminels ont opté pour l’exploitation d’un service de change de cryptomonnaies permettant de convertir les bitcoins en leur possession en Monero. Ils ont cependant agi avec prudence en procédant au change d’une partie seulement du montant en leur possession.

Forbes rapporte que 13,5 bitcoins, soit l’équivalent de 36 922 $, ont été convertis en Monero par le biais de Shapeshift.io, un service de change suisse. « Les transactions sur le réseau Monero sont entièrement anonymisées », a déclaré Giancarlo Russo, CEO de Neutrino, une firme de sécurité italienne. Ce dernier ajoute même qu’« il ne sera plus possible de tracer les futures transactions ». Les cybercriminels seraient donc, comme qui dirait, en train de réussir le pari de s’approprier cet argent sans se faire identifier.

Le service de change de la société suisse permet d’effectuer une transaction sans qu’il ne soit nécessaire de créer un compte. Cet état de choses a dû contribuer à faciliter la tâche des cybercriminels qui, selon la société en question, ont fait un usage frauduleux de son service. « À compter de ce jour, nous avons pris des mesures pour bannir toutes les adresses connues par notre équipe comme étant liées aux auteurs du ransomware WannaCry, ce, conformément à nos termes de service », a déclaré un porte-parole de ladite société.

« De plus, nous nous engageons à collaborer avec les forces de l’ordre impliquées dans ce cas et les assisterons dans leurs moindres requêtes pour appréhender les auteurs de ces actes », a-t-il conclu.

Difficile cependant de dire quelle est la direction que les bitcoins restants ont prise. Le fait que les cybercriminels aient procédé en plusieurs retraits suggère néanmoins qu’ils ont fait usage d'autres services de change pour positionner leurs avoirs sur un réseau plus sûr pour eux.

Source : developpez.com

De nombreuses distributions Linux affectées par une vulnérabilité dans le système init systemd Permettant l'exécution de code à distance

Chris Coulson, développeur de Canonical, a récemment découvert une faille dans systemd, le système init utilisé dans de nombreuses distributions Linux pour démarrer et gérer des processus. La vulnérabilité réside dans le daemon systemd-resolved. Et elle peut être exploitée à l'aide d'une requête DNS malveillante pour permettre à un attaquant de bloquer un système ou exécuter un code à distance.

D’après Chris Coulson, ce problème a été introduit dans le code de systemd en juin 2015, dans la version v223. Elle affecte donc la version v223 de systemd ainsi que les versions plus récentes. Les versions affectées permettent à un attaquant d'allouer une petite taille de tampon au traitement des paquets DNS. « Un serveur DNS malveillant peut l'exploiter en répondant avec une charge utile TCP spécialement conçue pour tromper Systemd-resolved en allouant un tampon trop petit et ensuite écrire des données arbitraires [en dehors de la zone de tampon allouée] », explique Coulson.

Certains fournisseurs de distributions Linux ont déjà commencé à réagir après cette alerte. C’est le cas par exemple de Canonical qui a publié des mises à jour pour Ubuntu 16.10 (Yakkety Yak) et 17.04 (Zesty Zapus) pour protéger ses utilisateurs. Red Hat a également fait savoir que la vulnérabilité n’affecte pas les versions de systemd utilisées avec Red Hat Enterprise Linux 7.

Pour sa part, l’équipe Debian a déclaré que sa dernière mouture (Debian 9 Stretch) embarque une version vulnérable de systemd, mais le service systemd-resolved où se trouve le bogue n'est pas activé par défaut. Ainsi, ses utilisateurs sont protégés à moins qu'ils aient manipulé les paramètres systemd. Debian doit donc encore publier un correctif pour Stretch. Les versions antérieures comme Jessie et Wheezy, quant à elles, ne contiennent pas le code vulnérable.

Sources : developpez.com

Un malware encore plus virulent que WannaCry frappe les réseaux du monde entier

Une nouvelle attaque de ransomware infecte les entreprises. Le ver s’appuie sur le même vecteur d’attaque que WannaCry, mais en version améliorée

A peine les multinationales ont-elles le temps de panser leurs plaies après le passage du terrible ransomware WannaCry qu’elles se voient frappées d’une seconde vague encore plus virulente. A l’instar de son prédécesseur, ce nouveau malware chiffre les disques durs des ordinateurs et affiche une demande de rançon (300 dollars).
Selon Kaspersky, les principaux pays touchés sont l’Ukraine et la Russie, suivi de la Pologne, de l’Italie et de l’Allemagne. Mais le malware se répand dans le monde entier, créant de nombreux dysfonctionnements. Le laboratoire pharmaceutique Merck est devenu la première victime connue aux Etats-Unis. Le géant pétrolier russe Rosneft a été contraint de passer sur un serveur de secours et la centrale nucléaire ukrainienne de Tchernobyl à revenir à des mesures manuelles du niveau de radioactivité.
Le code malveillant – qui semble être une variante du rançongiciel Petya et que certains ont appelé Petwrap – a également créé des pannes informatiques chez le transporteur maritime Maersk, coupé le courant chez le propriétaire des biscuits Lu et Oreo et contraint des salariés allemands de Nivea à rentrer chez eux plus tôt car « plus rien ne fonctionne ». A Kiev, les usagers du métro ne pouvaient plus acheter de tickets par carte bancaire tandis qu'à l'aéroport Borispil de Kiev, la plupart des panneaux d'affichage étaient éteints. En France, les sites officiels du groupe de matériaux de construction Saint-Gobain n'étaient pas accessibles, un porte-parole indiquant que les systèmes informatiques avaient été « isolés » par mesure de sécurité. Des employés de sa filiale Point P, dans le nord de la France, ont reçu un message leur demander de déconnecter leur ordinateur du réseau. 

Le CERT-FR, la centre de veille et d’alerte de l’ANSII, a publié un bulletin d’alerte en urgence, recommandant « l’application immédiate des mises à jour de sécurité » et de « limiter l’exposition du service SMB », qui est un service de partage de fichiers sous Windows et qui était déjà le principal vecteur de propagation de WannaCry. Ce n’est pas étonnant : d’après les premières analyses des chercheurs en sécurité, ce malware intègrerait lui aussi le fameux outil de piratage EternalBlue qui permet au code malveillant de se propager automatiquement par le réseau, au travers des connexions SMB (port 445). Selon le hacker Matt Suiche, ce code malveillant été remanié de telle manière à ce qu’il ne soit pas immédiatement reconnaissable par les logiciels antivirus.

Même des ordinateurs patchés succombent à l’attaque

Mais contrairement à WannaCry, Petwrap a plus d’une corde à son arc. Selon Mikko Hypponen, chercheur en sécurité chez F-Secure, le malware utilise deux autres vecteurs de diffusion, à savoir WMIC (Windows Management Instrumentation Command Line) et PSExec, des technologies d’administration de parcs d’ordinateurs qui permettent de se connecter à distance et d’exécuter des commandes.

C'est pourquoi – et c’est nouveau – Petwrap arrive à infecter des machines totalement patchés. « Il suffit qu’un ordinateur ne soit pas patché pour que le ransomware s’infiltre dans le réseau. Le malware peut alors obtenir des droits d’adminitrateurs et se propager sur d’autres ordinateurs », explique l’éditeur Eset dans une note de blog.  Une stratégie diabolique. La bonne nouvelle, c’est que les particuliers ne devraient pas être exposés à cette attaque, compte tenu des modes de propagation.

source: 01net.com

Xavier, un nouveau malware Android

Android et les malwares, c'est une longue histoire. A tel point qu'on pourrait presque trouver ça normal. Mais la dernière découverte de Trend Micro fait plutôt froid dans le dos. La firme de cybersécurité a identifié un malware baptisé Xavier, présent dans pas moins de 800 applications Android différentes, dont une vaste majorité est encore disponible sur le Play Store de Google, qui a cependant déjà commencé de faire le ménage. 

Comme l'indique Trend Micro sur son blog (lien en anglais), Xavier est en fait l'évolution d'un malware existant depuis 2015. Comme d'autres applications malveillantes, son but est de voler les données personnelles des smartphones où il est présent. Sa particularité est qu'il est caché dans de très nombreuses applications : jeux, éditeurs d'images, lecteur audio et même wallpapers et sonneries... 

En réalité, le malware utilise une API d'affichage publicitaire pour changer le code d'une application après son téléchargement. Une fois bien installé, Xavier va télécharger du code à partir d'un serveur distant puis l'exécuter. Il cherche ensuite à passer inaperçu en utilisant des méthodes telles que le cryptage des chaînes ou le chiffrement des données Internet. 

Si Xavier semble principalement toucher les pays d'Asie du Sud-Est, en particulier le Vietnam, Trend Micro a néanmoins recensé des téléchargements en Europe... Il faudra donc redoubler de prudence et éviter de télécharger des applications qui paraissent suspectes. Google de son côté devrait aussi agir, car ce n'est pas la première fois qu'un virus infecte une application de cette manière.

Source:commentcamarche.net

Un pourriciel chinois prend le contrôle de 250 millions de PC dans le monde

Baptisé Fireball, ce malware détourne les recherches effectuées sur le navigateur et collecte des données de navigation. C’est également une porte dérobée permettant d’exécuter n’importe quel autre logiciel.

Les spécialistes asiatiques du « marketing » ont de nouveau frappé. Les chercheurs en sécurité de Check Point ont détecté un nouveau malware baptisé « Fireball » qui est capable de prendre le contrôle d’un PC et qui a déjà infecté plus de 250 millions de machine dans le monde. Les zones géographiques les plus touchées sont l’Inde, le Brésil et l’Amérique, mais l’Europe et la France ne sont pas épargnées.

Ce logiciel a été développé par une société chinoise qui a pignon sur rue, à savoir Rafotech. Il est diffusé de façon pernicieuse dans des paquets logiciels téléchargeables gratuitement, tels que « FVP Imageviewer », « Deal Wifi » ou « SoSo Desktop ». Preuve, une fois de plus, qu’il faut se méfier des freewares comme de la peste.

Check Point - Diffusion mondiale de Fireball

Une fois installé, Fireball agit comme un adware :  il va changer la page d’accueil du navigateur pour afficher un faux moteur de recherche (« Trotux ») qui redirige les recherches vers des moteurs que l’utilisateur n’aura pas forcément choisis, comme google.com et yahoo.com. Il va également installer un pixel de traçage pour collecter des données de navigation. Enervant, mais rien de bien méchant pourrait-on dire.

Le problème, selon Check Point, c’est que cet adware est capable d’installer et exécuter n’importe quel autre logiciel sur la machine. C’est donc une magnifique porte dérobée, avec tous les risques que cela implique. Rafotech pourrait l’utiliser pour espionner encore davantage ses victimes. Les victimes de cet adware sont donc invités à le supprimer le plus rapidement possible.

Source: 01net.com