Faille de sécurité découverte chez FastBooking, filiale d’AccorHotels

Selon nos informations, une faille de sécurité a été découverte dans le système informatique de FastBooking, plateforme B2B de services e-commerce réservée aux hôteliers. Parmi les sociétés touchées par cette brèche, le groupe Barrière a déjà communiqué auprès de ses clients. Dans un mail dont nous avons pris connaissance, le groupe hôtelier prévient en effet ses clients d’une « possible atteinte à (leurs) données de réservation », conséquence de la vulnérabilité découverte chez leur prestataire FastBooking. Parmi les données potentiellement dérobées, Barrière liste nom, prénom, email, nationalité et parfois adresse, date d’arrivée et date de départ, montant et numéro de la réservation.

Plusieurs centaines d’hôtels potentiellement touchés dans le monde

L’information est également confirmée par le site spécialisé en sécurité informatique BleepingComputer. Ce dernier évoque des centaines d’hôtels touchés par l’intrusion malveillante. Selon les informations réunies par notre confrère, cette intrusion, qui date du 14 juin, a été découverte par FastBooking le 19 juin, et la brèche refermée dans la foulée. Dans certains cas, selon BleepingComputer, le hacker aurait également obtenu des détails sur les cartes de paiement, tels que le nom imprimé sur la carte, le numéro de la carte, et sa date d’expiration.

FastBooking n’a pas communiqué pour l’instant, à l’exception d’un communiqué de presse destiné au marché nippon, indiquant que « l’incident avait touché 380 hôtels japonais ». Prince Hotels a été le premier hôtel à communiquer lors d’une conférence de presse à Tokyo, pour s’excuser auprès de ses clients pour le vol des données de 124 000 personnes.

AccorHotels a racheté FastBooking en 2015. Au moment de son rachat, la plateforme de services digitaux réservée aux hôteliers, créée en 2000 à Paris, revendiquait 8 000 clients.

source: frenchweb.fr

Avast découvre des adwares pré-installés sur de nombreux smartphones Android d'entrée de gamme La France figure parmi les pays les plus touchés

Avast a constaté que de nombreux téléphones Android d’entrée de gamme, dont la majorité ne sont pas certifiés par Google, sont livrés avec une variété de logiciels malveillants déjà préinstallés qui peuvent inciter des utilisateurs à télécharger des applications auxquelles ils n'avaient pas l'intention d'accéder. Parmi les appareils concernés figurent des appareils conçus par ZTE, Archos et myPhone.

Avast explique que le logiciel malveillant, appelé Cosiloon, effectue une superposition afin d’afficher une publicité sur une page Web dans le navigateur des utilisateurs. Le logiciel publicitaire est actif depuis au moins trois ans et est difficile à supprimer car il est installé au niveau du firmware et utilise une obfuscation forte. Des milliers d'utilisateurs sont concernés et le mois dernier, Avast assure avoir vu la dernière version de l'adware sur environ 18 000 appareils appartenant à des utilisateurs Avast situés dans plus de 100 pays, dont la Russie, l'Italie, l'Allemagne, le Royaume-Uni et même aux Etats-Unis 

Le spécialiste a expliqué avoir des échantillons Android étranges qui arrivent dans sa base de données de temps en temps depuis quelques années déjà. Les échantillons semblaient être comme n'importe quel autre échantillon d'adware, à l'exception du fait que l'adware semblait n'avoir aucun point d'infection et disposait de plusieurs noms de paquets similaires, les plus communs étant:

• com.google.eMediaService
• com.google.eMusic1Service
• com.google.ePlay3Service
• com.google.eVideo2Service

« Récemment, un des échantillons s’est distingué dans nos statistiques de détection après que notre plateforme d'intelligence de menace d'apk.io l'ait marquée comme étant un malware. C’est alors que nous avons commencé à creuser. Il s'avère que ces paquets de logiciels publicitaires ne sont que des charges utiles supprimées d'une application système préinstallée par le fabricant sur une quantité surprenante de divers appareils. Ce qui est encore plus surprenant est que le premier échantillon de l’injecteur, qui est une application qui télécharge d'autres applications malveillantes, que nous avons à notre disposition date de janvier 2015 et a été préinstallé sur une tablette à faible coût vendue en Pologne. De plus, les dates sur les fichiers à l'intérieur du fichier APK le plus ancien dont nous disposons remontent à quelques années ; certaines sont datées du 1er janvier 2016 et d’autres du 7 mars 2013. Cette famille d'adware a également de nombreuses variantes de charge utile et de l’injecteur, indiquant un développement continu », explique l’entreprise. 

Analyse de l’application 

L’ensemble est composé de deux fichiers APK distincts; de l’injecteur et de la charge utile. 

L’injecteur est une petite application sans obfuscation, située sur la partition /system des périphériques affectés. L'application est complètement passive, visible uniquement par l'utilisateur dans la liste des applications système sous "Paramètres". Avast a observé des injecteurs avec deux noms différents, "CrashService" et "ImeMess". L’entreprise assure qu’il en existe plusieurs versions, toutes partageant le même comportement de base:

1. Ils téléchargent un manifeste à partir de http://www.cosiloon.com/version.xml lorsque l'appareil est connecté au Wi-Fi. Différents sous-domaines (abc, abd) et différents noms de fichiers (version_2.xml, version_3.xml, information.xml) sont également utilisés, vraisemblablement pour le débogage.
   Le manifeste XML contient des informations sur les éléments à télécharger, les services à démarrer et contient une liste blanche programmée pour exclure potentiellement des pays et des périphériques spécifiques de l'infection. Mais Avast n’a pas pu voir la liste blanche des pays qui a été utilisée, et seulement quelques périphériques ont été ajoutés à la liste blanche dans les premières versions.
2. Ensuite, l’injecteur installe une charge utile à partir d'une URL. L’injecteur télécharge un fichier APK d'un <url> trouvé dans le manifeste (il change de version en version) dans / sdcard / Download / <nom> puis installe l'APK via la commande pm install, la commande standard pour installer des applications sur Android dispositifs.
3. Enfin, l’injecteur démarre le service de charge utile. Les entrées <startupX> du manifeste sont utilisées pour démarrer les services de la charge utile. Cette étape est répétée chaque fois que le téléphone démarre.

Avast a trouvé au moins huit variations de code différentes de l’injecteur avec de nombreuses signatures différentes. Les fonctions de base de toutes les variantes sont les mêmes, avec quelques différences subtiles dans les URL codées en dur et la prise en charge de packages de logiciels malveillants pré-installés supplémentaires. Dans l'ensemble, il s'agit d'un injecteur simple et flexible qui fonctionne bien, tant que les auteurs ont le contrôle du domaine codé en dur, et peuvent garder l'URL opérationnelle

Utilisateurs concernés

Par pays

Selon les statistiques d’Avast, les utilisateurs dans plus de 90 pays sont touchés. Les dix pays qui ont été les plus touchés au cours du dernier mois sont la Russie, l'Italie, l'Allemagne, le Royaume-Uni, l'Ukraine, le Portugal, le Venezuela, la Grèce, la France et la Roumanie.

Par dispositifs

Plusieurs centaines de dispositifs différents sont affectés. Les appareils affectés portent généralement un chipset Mediatek et sont pour la plupart des tablettes à faible coût. Une liste des appareils vulnérables est disponible et comprend des appareils de marques Archos, ZTE, myPhone et Prestigio. Les appareils exécutent différentes versions d'Android allant de 4.2 à 6.0. 

Cependant, Avast assure que ce ne sont pas tous les dispositifs présents sur la liste qui sont affectés « car chaque modèle possède d'innombrables variantes de micrologiciel (par exemple pour différents pays et différents opérateurs) et seules quelques variations d'un périphérique peuvent être affectées, ou peut-être une version ROM personnalisée avait l’injecteur. Cette liste contient simplement des modèles d'appareils sur lesquels nous avons repéré la charge utile au moins une fois dans son chemin <downloads> / Temp, qui est le chemin vers lequel le système télécharge la charge avant de l'installer, et la charge utile a également été installée sur le même périphérique ». . 

Conclusion

Il ne s'agit malheureusement pas d'un cas isolé. En effet, l’équipe Check Point Mobile Security a découvert en mars un malware ciblant près de 5 millions d’utilisateurs qui était destiné à générer frauduleusement des revenus publicitaires pour le compte des pirates. Selon les chercheurs, le logiciel malveillant se fait passer pour une application Wi-Fi inoffensive. Découvert sur un smartphone Xiaomi Redmi, Rottensys serait introduit sur 5 millions de modèles depuis l’usine de Tian Pai, à Hangzhou, en Chine. Les smartphones des marques Honor, Huawei, Xiaomi, OPPO, Vivo, Samsung et GIONEE sont concernés. Et ce n'est qu'un exemple parmi plusieurs de smartphones infectés par un logiciel malveillant dès la sortie d'usine.

Un hacker éthique met en ligne un site parodique de Cambridge Analytica Pour sensibiliser les internautes sur la collecte des données sur les RS

Dans le sillage du scandale de Cambridge Analytica, qui est à l’origine du scandale de fuites de données qui a éclaboussé Facebook, Inti De Ceukelaire, un hacker éthique belge, a proposé le site Oilsjt Analytica, une pseudo-parodie de Cambridge Analytica qui se propose de deviner votre nom en 15 questions au maximum. 

Durant quelques jours, le site a proposé à des internautes de deviner leur nom en leur posant une série de questions comme « Quel fruit mangeriez-vous maintenant ? Pomme, banane ou orange », « Avez-vous déjà eu une fracture », « Où vous trouvez-vous à l’instant ? Au travail, à la maison, dehors, autre part » ou encore « Quel est votre sport favori ? Football, basketball, tennis, natation ». 

À trois reprises durant le questionnaire (après une série de cinq questions), l'application tente de deviner votre nom. 

Au total, plus de 200 000 internautes se sont prêtés au jeu.

Le Belge a choisi d’attendre le dimanche 1er avril pour révéler son tour de passe-passe. Vous l’aurez compris : à l’instar de David Copperfield, l’illusionniste improvisé se servait des questions pour détourner l’attention tandis que la vraie magie s’opérait ailleurs. Il a d’ailleurs précisé sur le site que « les utilisateurs se sont vu poser 15 questions personnelles non pertinentes et nous devions deviner leur nom. Même si leur nom a été deviné dans 80 % des cas, nous ne l'avons pas vraiment deviné. » 

En effet, il a expliqué que le site « a utilisé des plugins sociaux personnalisés (d'abord issus de Facebook, et désormais issus de Google) pour “deviner” votre nom (même si votre nom n'a jamais quitté aucune de ces plateformes, cela y ressemble juste). »

Sur son tweet, une petite vidéo permet de comprendre le pourquoi du comment ou le comment du pourquoi.

Le but était bel et bien de sensibiliser les internautes à la protection de leurs données sur les réseaux sociaux. En allant sur Oilsjt Analytica, un encadré explique que ce site « prouve combien il est facile de récolter des informations personnelles avec de faux quizz, tout comme Cambridge Analytica l’a fait. Heureusement, nous n’avons PAS stocké ces informations. »

source: developpez.com

Allemagne: des hackers russes infiltrent le réseau interne du gouvernement

Il pourrait s'agir de la plus grande cyberattaque jamais constatée en Allemagne. La cible n'était pas anodine puisqu'il s'agit du très protégé réseau interne du gouvernement. Des hackers ont réussi à s'y introduire. L'ampleur des dégâts en termes de données est encore inconnue. Un groupe russe est à nouveau suspecté d'être derrière cette opération.

Avec notre correspondant à Berlin, Pascal Thibaut

ATP28, le groupe russe de hackers, serait responsable des attaques informatiques contre le réseau interne du gouvernement allemand, d’après des sources proches des services de renseignement. Il pourrait s’agir de l’attaque la plus importante subie par l’Allemagne.

Découverte en décembre dernier, elle se serait étalée sur plusieurs mois, d’après l’agence de presse allemande. Les ministères de la Défense et des Affaires étrangères ont été ciblés d’après cette même source. On ignore pour l’instant à quelles données les hackers ont eu accès et si des copies en ont été faites.

Précédent en 2015

Le ministère de l’Intérieur a confirmé ce 28 février au soir que le réseau du gouvernement allemand avait été victime d’attaques et précisé que ces dernières avaient été depuis circonscrites et étaient désormais sous contrôle.

Cette affaire rappelle les cyberattaques dont avait été victime le Parlement allemand en 2015. Berlin avait redouté l’an passé que de nouvelles opérations soient lancées en amont des élections. Cela n’a finalement pas été le cas.

Après ces révélations, la commission en charge du dossier du Bundestag va siéger ce 1er mars. L’opposition réclame des informations supplémentaires au gouvernement pour connaître l’ampleur des attaques et le contenu des données auxquelles les hackers ont eu accès.

Source: rfi.fr

Quelles sont les cybermenaces qu'il faut le plus surveiller en 2018 ? Le MIT Technology Review nous donne ses prédictions

Quelles sont les cybermenaces qu'il faut le plus surveiller en 2018 ?

18 votants

MIT Technology Review est un magazine américain publié par Technology Review, Inc, une société de médias appartenant au Massachusetts Institute of Technology (MIT). Il se focalise sur les technologies émergentes. Alors que nous commençons une nouvelle année, le MIT Technlogy Review a publié ses prédictions en matière de cybermenaces, en se basant notamment sur les attaques qui se sont récemment produites dans l'espace cybernétique, mais aussi sur l'avis de certains experts en cybersécurité.

Au vu des évènements passés, on retient que les hackers recherchent constamment de nouvelles cibles et affinent les outils qu'ils utilisent pour casser les cyberdéfenses. Pour l'année 2018, il y a, d'après le magazine du MIT, six cybermenaces que nous devons vraiment prendre au sérieux et surveiller. Elles partent des piratages propulsés par l'intelligence artificielle à la falsification des systèmes de vote de certains pays.

Encore plus de violations massives de données

L'année 2017 a été marquée par la cyberattaque de grande envergure de la société d'évaluation de la cote de crédit Equifax. Cela a entraîné le vol de numéros de sécurité sociale, de dates de naissance et d'autres données sur près de la moitié de la population américaine. « Cela nous montre que les pirates informatiques réfléchissent beaucoup quand il s'agit de leurs cibles », explique Martin Giles, chef du bureau de San Francisco du MIT Technology Review. Ce genre d'attaques contre les courtiers de données est susceptible de se produire plus fréquemment en 2018. C'est d'ailleurs ce que pense Marc Goodman, expert en sécurité et auteur de Future Crimes. « Les courtiers en données qui détiennent des informations sur des choses telles que les habitudes personnelles de navigation des internautes seront des cibles particulièrement populaires », rapporte Martin Giles.

Ransomware dans le cloud

Les douze derniers mois ont aussi été marqués par une vague d'attaques de ransomware, avec des cibles comme le National Health Service (NHS) britannique, le réseau de tramway de San Francisco et de grandes entreprises telles que FedEx. 

Le ransomware est une forme de malware tellement répandue aujourd'hui qu'il n'est plus vraiment à présenter, du moins pour ceux qui s'intéressent un peu à l'actualité informatique. Après avoir infecté une machine, il verrouille les fichiers de sa victime en utilisant un chiffrement plus ou moins fort. Les hackers demandent ensuite de l'argent en échange de clés numériques pour déchiffrer les données. Les victimes paieront souvent, surtout si le contenu chiffré n'a pas été sauvegardé sur un autre dispositif. Cette forme de malware a de la cote auprès des pirates informatiques, qui exigent souvent des paiements dans des cryptomonnaies difficiles à retracer. Certains ransomwares comme WannaCry ont pu compromettre des centaines de milliers d'ordinateurs.

En 2018, la croissance des ransomwares est susceptible d'être plus forte, d'après le MIT Technology Review. Et l'une des grandes cibles cette année sera les entreprises de cloud computing, qui hébergent des quantités énormes de données pour les entreprises. Certaines d'entre elles gèrent également des services dédiés aux consommateurs tels que les photothèques et les emails.

Martin Giles estime que les plus grands opérateurs de cloud computing, tels que Google, Amazon, Microsoft et IBM, ont embauché certains des plus grands cerveaux en matière de sécurité informatique. Il sera donc très difficile de compromettre leurs plateformes. Mais les petites entreprises de cloud computing sont quant à elles susceptibles d'être plus vulnérables, et même une violation modeste pourrait générer des revenus importants pour les pirates impliqués.

Militarisation de l'IA

Cette année verra aussi l'émergence d'une course aux armements basée sur l'IA. Les entreprises de sécurité et les chercheurs utilisent depuis un certain temps des modèles d'apprentissage automatique, des réseaux de neurones et d'autres technologies de l'IA pour mieux anticiper les attaques et repérer celles qui sont déjà en cours. Mais il est fort probable que les pirates adoptent la même technologie pour riposter. « L'IA donne malheureusement aux attaquants les outils pour obtenir un retour sur investissement beaucoup plus important », explique Steve Grobman, directeur de la technologie chez McAfee.

Un exemple cité par le magazine du MIT est le spear phishing qui utilise des messages fortement personnalisés pour inciter les cibles à installer des logiciels malveillants ou à partager des données sensibles. Martin Gilles estime que les modèles d'apprentissage automatique peuvent maintenant désormais égaler les humains dans l'art d'élaborer des faux messages pour convaincre leurs cibles. Mieux encore, l'IA peut en produire beaucoup plus sans se fatiguer. Les pirates informatiques vont donc en profiter pour augmenter le nombre d'attaques de phishing.

Ils sont par ailleurs susceptibles d'utiliser l'intelligence artificielle pour concevoir des logiciels malveillants encore plus efficaces pour tromper les bacs à sable ou les programmes de sécurité qui tentent de repérer le code malveillant avant qu'il ne soit déployé dans les systèmes des entreprises.

Attaques « cyber-physiques »

Comme son nom pourrait l'indiquer, une attaque cyber-physique fait allusion à une cyberattaque qui peut cibler par exemple les réseaux électriques, les systèmes de transport et d'autres parties de l'infrastructure critique des pays. D'après le MIT Technology Review, il y aura plus d'attaques de ce type qui vont avoir lieu en 2018. Certaines seront conçues pour causer des perturbations immédiates, tandis que d'autres impliqueront des ransomwares qui détournent des systèmes vitaux et menacent de faire des ravages à moins que les propriétaires ne paient rapidement pour reprendre le contrôle de leurs systèmes. Au cours de l'année 2018, les chercheurs – et les pirates informatiques – sont susceptibles de découvrir davantage de failles dans les défenses des anciens avions, trains, navires et autres moyens de transport, et ces découvertes pourraient rendre ces systèmes plus vulnérables.

Minage de cryptomonnaies : détournement de puissance de calcul

Si en 2017, les hackers ont ciblé les détenteurs de bitcoins et d'autres monnaies numériques, le vol de cryptomonnaies n'est pas la plus grande menace dont il faut s'inquiéter en 2018, d’après le magazine du MIT. C'est plutôt le vol ou détournement de la puissance de traitement informatique.

Miner des cryptomonnaies nécessite en effet de grandes capacités de calcul pour résoudre des problèmes mathématiques complexes. Et comme nous avons pu le constater vers la fin de 2017, avec la forte croissance du cours du bitcoin, cela encourage les pirates informatiques à compromettre des millions d'ordinateurs afin de les utiliser pour le minage de cryptomonnaies. La tentation de pirater de nombreux réseaux d'ordinateurs est donc susceptible d'être plus forte en 2018. Et si les pirates ciblent les hôpitaux, les aéroports et d'autres lieux sensibles, le potentiel de dommages collatéraux sera très important et profondément inquiétant.

Piratage des élections

Les fake news ne sont pas la seule menace à laquelle est confronté un pays qui organise une élection. Il y a aussi le risque de cyberattaques contre le processus de vote lui-même. Des rapports ont déjà indiqué que les pirates informatiques russes ont ciblé les systèmes de vote dans de nombreux États américains avant l'élection présidentielle de 2016. Avec les élections US de mi-mandat qui auront lieu en novembre, les responsables ont travaillé dur pour éliminer les vulnérabilités. Mais d'après le MIT Technology Review, les attaquants déterminés ont encore beaucoup de cibles potentielles, allant des listes électorales électroniques aux machines de vote et les logiciels utilisés pour assembler et auditer les résultats.

Des cybermenaces… mais aussi le renforcement des sanctions et des règles de protection des données personnelles

Avec les risques de cybermenaces qui vont augmenter en 2018, les pénalités pour les entreprises qui ne parviendront pas à y faire face efficacement le seront également, d’après Martin Gilles. Il fait par exemple allusion au fait que le 25 mai, le règlement général sur la protection des données entrera en vigueur en Europe. Première grande révision des règles de protection des données en Europe depuis plus de deux décennies, le GDPR exigera des entreprises qu'elles signalent les violations de données aux régulateurs – et informent les clients que leurs données ont été volées – dans les 72 heures suivant la découverte d'une violation. Le non-respect pourrait entraîner des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires global d'une entreprise, en fonction du montant qui sera le plus élevé.

Source :developpez.com

Chiffrement : trop improbable la possibilité de l'existence de backdoors dans AES et autres ? Les travaux d'un chercheur tirent la sonnette d'alarme

Dites « affaiblissement du chiffrement » et vous risquez de vous attirer les foudres d’utilisateurs soucieux de la protection de leurs données. Flux de données Web, certificats électroniques, logiciels de gestion de disques, etc. la technique est omniprésente de nos jours. De récents développements d’Eric Filliol, directeur du laboratoire de cryptologie et virologie opérationnelles de l’ESIEA, ont mis en exergue le fait que ces technologies sur lesquelles on s’appuie tant au quotidien pour des raisons désormais évidentes sont à prendre avec des pincettes. 

Dans le cadre de la conférence Black Hat Europe 2017, le chercheur a en effet présenté l’algorithme BEA-1, un algorithme de chiffrement symétrique par bloc similaire à l’AES. Ce dernier passe avec brio les tests de résistance auxquels des solutions similaires ont été soumises jusqu’ici et est conforme au standard FIPS 140 du gouvernement américain. Seulement voilà, certaines propriétés mathématiques bien particulières de cet algorithme permettent de trouver la clé secrète en 10 secondes sur une machine munie d'un processeur Core i7 avec une probabilité de succès de 95 %. 

« L’algorithme n’est absolument pas indiqué pour assurer une sécurité véritable », conclut le chercheur. Et pour cause, il s’agit d’un algorithme de chiffrement qui intègre une porte dérobée mathématique. Tout le problème est ici : celui qui conçoit un algorithme de chiffrement peut y intégrer une faille au niveau du design ouvrant ainsi la voie au déchiffrage des données des utilisateurs. AES et compagnie pourraient donc bien être dans la même situation.

Si rien à date ne constitue une preuve de l’existence d’une backdoor au sein de l’algorithme AES supervisé par la NSA, il faut rappeler que l’agence a trempé par le passé. En excellent recueil d’histoire, la publication du chercheur de l’ESIEA souligne que Dan Shimow et Niels Ferguson ont démontré une faiblesse dans le générateur de nombres aléatoires « Dual EC DRBG », approuvé par l’Institut national des normes et de la technologie américain (NIST) et implémenté dans certains produits d’une entreprise américaine spécialisée en sécurité (RSA). Edward Snowden a contribué à ce propos en 2013 en soulignant qu’il s’agissait bien d’une porte dérobée de l’agence. L’entreprise spécialisée en sécurité a reçu un chèque de 10 millions de dollars de la part de la NSA pour l’intégrer.

Les travaux d’Eric Filliol sont de nature à tirer la sonnette d’alarme. La Russie utilise GOST, son propre algorithme de chiffrement pour les raisons précitées. Aussi amusant que cela puisse paraitre, les conclusions de ces travaux ne l’exemptent pas elle aussi. L’Europe gagnerait peut-être à suivre l’exemple du géant russe avec une solution personnalisée.

Source:developpez.com

Mozilla va s'attaquer au chargement des URI de données dans la barre de navigation de l'URL Pour combattre le phishing sur Firefox

Data-URI est un schéma d'URI (Uniform Resource Identifier, identifiants uniformes de ressources) contenant directement les données qu'il identifie, contrairement à la plupart des autres schémas. Data-URI est aujourd'hui utilisable en production, bien souvent appelé pour augmenter légèrement les performances de vos sites Web à l'aide de données embarquées via data: et encodées en base64.

Il ne faut pas faire l'amalgame entre un URI et une URL : une URL (Uniform Resource Locator) est seulement un sous-ensemble d'un URI. En effet, alors qu'une URL est un localisateur de ressource, un URI est plus largement un identifiant de ressource. Cela signifie qu'un URI sert à identifier une ressource, sans nécessairement indiquer l'emplacement de celle-ci. Ainsi, un URI ne pointe pas nécessairement vers une ressource à télécharger.

Le schéma data URI (RFC 2397) a été déployé en 1998 lorsque les développeurs cherchaient des moyens d'incorporer des fichiers dans d'autres fichiers. Ce qu'ils ont trouvé était le schéma data URI qui permet à un développeur de charger un fichier représenté sous la forme d'un flux d'octets codé en ASCII dans un autre document.

Depuis, le schéma URI est devenu très populaire auprès des développeurs de sites, car il leur permet d'intégrer des fichiers texte (CSS ou JS) ou des fichiers image (PNG, JPEG) dans des documents HTML au lieu de charger chaque ressource via une requête HTTP séparée.

Cette pratique est devenue extrêmement populaire parce que les moteurs de recherche ont commencé à classer les sites Web en fonction de la vitesse de chargement de leur page et plus les requêtes HTTP d'un site Web étaient longues, plus cela affectait la position SERP (Search Engine Result Page, page de résultats des moteurs de recherche) d'un site.

Cependant, vers la fin des années 2000, les chercheurs en sécurité se sont rendu compte que les URI de données pourraient également être utilisées pour des attaques de phishing et XSS (cross-site scripting), une technique plus tard perfectionnée et mieux expliquée en 2012 par un chercheur de l'Université d'Oslo.

Depuis lors, les campagnes de phishing qui s’appuient sur les URI de données sont devenues monnaie courante. D’ailleurs, comme l’expliquaient des chercheurs en sécurité d’Easy Solutions, ce type d’attaque est intéressant pour quelques raisons :

• les attaques d'URI de données sont relativement faciles à mettre à l'échelle avec l'utilisation de services gratuits de raccourcissement de lien ;
• les attaques d'URI de données sont relativement faciles à automatiser ;
• les attaques d'URI de données ne sont pas « hébergées » dans le sens typique, elles ne peuvent donc pas être mises sur liste noire.

Ces URI de données peuvent également être chargés dans la barre de navigation du navigateur pour rendre le fichier directement, puis utiliser un code malveillant supplémentaire pour masquer l'URL réelle.

Le schéma, qui avait été développé au départ pour « incorporer des fichiers dans d'autres fichiers », est alors devenu une « méthode de navigation » dans les navigateurs modernes.

Halte aux abus !

Des navigateurs comme Google Chrome et Microsoft Edge ont vu cet abus et ont agi en bloquant le chargement des URI de données dans la barre de navigation de l'URL. Mozilla a décidé à son tour de faire de même pour Firefox.

« Nous voulons seulement bloquer les navigations URI de données de haut niveau qui sont principalement utilisées pour le phishing », a précisé Christoph Kerschbaumer, l'un des ingénieurs de Mozilla qui ont travaillé sur cette nouvelle fonction de sécurité. « Je ne vois aucun cas d'utilisation réel pour ces navigations (en dehors des tentatives de phishing réelles). »

À partir de Firefox 59, les ingénieurs de Mozilla prévoient de déployer une série de fonctions de sécurité qui empêcheront le rendu d'URI de données HTML, JS et SVG dangereux dans certains cas:

• un lien URL de données sur une page est cliqué manuellement ou par programmation ;
• une page tente de charger une URL de données via des fonctions JavaScript telles que location.href, location.assign () ou location.replace () ;
• une page tente de charger une URL de données dans un nouvel onglet avec la fonction JavaScript window.open () ;
• le contenu interne d’un frame tente de charger une URL de données dans la fenêtre de niveau supérieur ou dans un nouvel onglet.

Les URI de données qui affichent des images non SVG, des fichiers PDF, JSON et des fichiers en texte brut ne seront pas affectés, car elles ne peuvent pas être utilisées pour des attaques de phishing.

Source : developpez.com