Tweet
L'actualité infosec de la semaine - 20ème numéro (8er au 14 août)
Comme chaque semaine voilà l'actu infosec by Hackademics, un condensé rapide et pragmatique hebdomadaire des news infosecs de la semaine écoulée.
Bonne lecture et n'hésitez pas à aller creuser les sujets (via les sources proposées).
Hacking de Samsung Pay
Salvador Mendoza chercheur en sécurité a présenté une méthode pour hacker le système de paiement mobile Samsung Pay avec le téléphone Galaxy S7 et S7 Edge.
Lors des conférences Def Con 24 et Black Hat à Las Vegas, Salvador Mendoza a contourné le système de token (système de jetons d’identification uniques et sécurisés utilisé pour faire des transactions) et ainsi pu faire un paiement sur un distributeur de friandises.
Le hacker précise que pour réaliser cet attaque, il faut récupérer le token d'un smartphone en captant le signal NFC émis par le smartphone lors d’un achat avec Samsung Pay, donc s’approcher le plus près possible de la victime, mais rien n’est impossible pour tout avoir gratuitement.
Source: silicon
Méthode : Présentation à la Defcon
Video :
Le malware ProjectSauron : l’œil qui voit tout les systèmes gouvernementaux
Les sociétés en sécurité Symantec et Kapersky viennent de découvrir un malware qui se cachait dans plusieurs réseaux gouvernementaux de différents pays depuis 5 ans dont la Belgique, Iran, Russie, Chine etc…
Ce malware, connu sous les noms de Remsec, Strider ou ProjectSauron, serait extrêmement avancé techniquement. La possibilité qu'il ait été développé avec le soutien d'un état est fortement envisagée du fait des compétences techniques de ses auteurs, du budget nécessaire et des similarités avec d'autres malwares affiliés à des états (Flame, Regin).
Ce logiciel espion possède de nombreuses caractérisques intéressantes :
- infection de machines isolées d'Internet via des clés USB spécialement préparées (contenant un système de fichier virtuel non détectable par Windows pour stocker les données de la machine infectée)
- serveur de commande et de contrôle (C&C) différents pour chaque cible
- composé d'au moins 50 modules (développés en LUA) combinables (keylogging, vol de fichiers, analyse du trafic réseau)
- aucune activité des modules principaux tant qu'aucune commande ne leur a été envoyée
- ne laisse pas de traces sur le disque dur (les données sont placées en RAM)
- utilisation de blogs exécutables permettant de contrer les scans antivirus
- possibilité d'utilisation de failles de type « 0day » (celles-ci restent à établir)
- reporting en temps réel de l'avancée des opérations
Depuis 2011, il y a eu 36 infections dont 7 organisations gouvernementaux dans les 4 pays cités ci-dessus.
L'objectif post-infection serait d'obtenir des informations liées aux communications chiffrées des agences gouvernementales (clés de chiffrement, adresses et fichiers de configuration de serveurs liés à des logiciels de chiffrement).
Source:
https://securelist.com/analysis/publ...ectsauron-apt/
http://www.theregister.co.uk/2016/08...sauron_trojan/
http://www.symantec.com/connect/blog...sauron-targets
DRM Denuvo : il est enfin tombé ... deux fois
Denuvo est une société dont l'un des produits est utilisé depuis des années afin de protéger les jeux vidéos.
Ainsi, si vous n'avez pas récupéré le jeu de manière légale, vous ne pouvez accéder à celui-ci (à cause de son système de chiffrement en sur-couche des habituels DRMs).
Ce produit était réputé inviolable. En effet, de nombreuses teams de crackers s'étaient penchées dessus sans arriver à en venir à bout.
Et bien c'est maintenant chose faite.
En effet, il y a quelques jours un jeune pirate de 19 ans a réussi à contourner la protection permettant ainsi à quelques 600.000 utilisateurs d'obtenir des jeux craqués gratuitement.
Denuvo a donc sorti un patch de son produit permettant de régler ce problème mais trop tard, une seconde équipe de cracker a trouvé une nouvelle solution durable.
Source : https://www.undernews.fr/hacking-hac...nviolable.html
Au États Unis, vos SMS ne sont pas privés
C'est du moins ce qu'à déclaré un juge dans un procès concernant des personnes qui avaient dans l'idée d'acheter des armes illégalement et qui en ont parlé par SMS.
Ainsi, si les appels téléphoniques sont considérés comme privés. Les sms ne le seraient apparement.
Voilà donc deux règles différentes de confidentialité pour le même appareil.
Cependant, même si tous les juges n'ont pas la même opinion, il est trop tard pour ce cas et la personne a bel et bien été condamnée.
Pensez donc à utiliser telegram !
Source : https://nakedsecurity.sophos.com/201...e-judge-rules/
Une vulnérabilité dans certaine carte-mère intel
Intel sonne la sonnette d'alarme et signale que certaine de ses cartes mères possèdent une faille de sécurité.
Une trentaine de types de cartes serait concernés et même si la failles nécessite un accès physique à la machine, sa dangerosité n'est pas à négliger puisqu'elle peut conduire à un contrôle total de l'ordinateur.
Rendez vous donc sur le site d'intel pour voir si votre machine pourrait être concernée.
Dans tous les cas, Intel s'engage à corriger ce problème sur tout les modèles et ce, au plus vite.
Source : http://www.zataz.com/faille-carte-me...#axzz4HK907Bz2
L’ANSSI publie le guide de nettoyage d’une politique de filtrage réseau d’un pare-feu
L’ANSSI publie ses recommandations et sa méthodologie permettant de nettoyer la politique de filtrage d’une organisation dont la maitrise n’est plus garantie.
Selon l'AINSI la perte de contrôle de la politique de filtrage peut être due à plusieurs facteurs tels que :
- La complexité de la politique de filtrage, qui provient d’un très grand nombre de règles
- L’absence de procédure de mise en place des règles
- Le changement fréquent des responsables d’exploitation des pare-feux
- Le manque de connaissance de la cartographie du réseau
Le document est disponible à l’adresse suivante : http://www.ssi.gouv.fr/uploads/2016/...e-pare-feu.pdf
La 100 million de véhicules Volkswagen potentiellement vulnérables
Une équipe de chercheurs de l'université de Birmingham se dit prête à révéler une faille permettant de déverrouiller la majorité des véhicules vendus par Volkswagen depuis 1995, soit environ 100 millions de véhicules.
Afin de créer un clone de la clé (physique) du propriétaire, il suffit d'intercepter deux valeurs.
La première : une seule clé de chiffrement serait partagée par un grand nombre des véhicules de la marque.
Cependant, la clé extraite d'un véhicule ne serait utilisable que pour les véhicules du même modèle produits à une période où la clé était identique (chacune de ces clés serait tout de même commune à plusieurs dizaines de millions de véhicules).
Seulement 4 valeurs différentes de cette clé seraient utilisées par 100 millions de véhicules vendus depuis 1995.
La seconde : l'interception d'une seconde clé, émise pas la télécommande du propriétaire afin de dévérouiller le véhicule, s'est faite via un équipement qualifié de "trivial" et de "peu onéreux".
Le modèle 7 de la Golf et les véhicules disposant du même système de déverrouillage et utilisant des clés uniques ne seraient pas affectées par cette faille.
De plus, les chercheurs ont aussi découvert une seconde faille permettant de déverrouiller des véhicules d'autres constructeurs.
Cette autre faille est d'autant simple à exploiter : il suffit d'intercepter 8 codes émis par la télécommande du propriétaire du véhicule.
Les modèles récents incluent un code qui change "aléatoirement" à chaque utilisation Néanmoins, une faille dans le système de déverrouillage HiTag2 permettrait de cracker le code d'ouverture grâce aux 8 codes interceptés, et ce en moins d'une minute.
Source :
https://www.wired.com/2016/08/oh-goo...n-volkswagens/
Une backdoor involontaire permet de contourner le Secure Boot de Windows
Deux chercheurs en sécurité ont découvert une vulnérabilité permettant à un attaquant de contourner la protection "Secure Boot" des systèmes Windows. Le Secure Boot est une partie du standard UEFI permettant notamment à un constructeur de s’assurer que son matériel est bien utilisé avec un certain OS. Cette sécurité a également été créée pour lutter contre les malwares (bootkits) qui modifient le processus de démarrage d’une machine.
Les chercheurs ont découvert que Microsoft a publié par erreur une nouvelle politique au sein du Secure Boot baptisé « supplemental ». Celle-ci a donc été signée avec un certificat Microsoft et autorise l’installation de n’importe quel OS sur la machine désirée.
La mise à jour vulnérable de Secure Boot a été publiée sur Internet et fait sauter les verrous mis en place sur les machines. Plusieurs correctifs ont été publiés par Microsoft, mais ceux-ci ne sont pas parvenus à corriger complètement la vulnérabilité. Un nouveau correctif serait attendu pour le mois de septembre.
Source :
http://thehackernews.com/2016/08/uef...boot-hack.html
Des vulnérabilités dans les chipsets Qualcomm permettent la prise de contrôle de millions de téléphones Android
4 vulnérabilités, regroupées sous le nom "quadrooter", ont été découvertes dans le module noyau et le driver GPU des chipsets Qualcomm équipant les téléphones Android des constructeurs Samsung, Sony, Google, HTC, LG, Motorola et Blackberry Priv (liste non exhaustive).
L'exploitationse fait via une simple application malveillante, et permet l'accès complet au matériel de l'appareil ("root"), tel que la caméra, le microphone, et l'intégralité des fichiers présents dans la mémoire de l'appareil.
Google a déjà corrigé 3 de ces vulnérabilités dans ses appareils, mais pour les autres vendeurs, les mises à jour sont plus lentes en raison d’une chaîne de fonctionnement plus complexe. Les vulnérabilités seront complètement corrigées dans la mise à jour de septembre.
Source :
https://www.hotforsecurity.com/blog/...tet-16273.html
1 milliard de dollars volés par le piratage du portail des terminaux de paiement Oracle Micros
Le groupe de pirates russes Carbanak aurait réussi à infiltrer plusieurs centaines de machines appartenant à Oracle. Parmi ces machines figurerait le portail de support des terminaux de paiement par carte bancaire Micros. Le groupe est suspecté d'avoir volé plus d'un milliard de dollars à diverses organisations (banques, commerces).
Micros est un des 3 plus importants vendeurs de terminaux de paiement dans le monde. Ces systèmes sont utilisés dans plus de 330 000 commerces (magasins, restauration, hôtels) répartis dans 180 pays.
L'infection à été confirmée par Oracle, qui a indiqué avoir détecté et nettoyé du code malveillant dans des systèmes liés à Micros. L'entreprise aurait forcé une réinitialisation des mots de passe Micros, qui seraient ciblés par le groupe de cybercriminels.
En effet, ces comptes permettent d'administrer les systèmes de paiement. Leur compromission pourrait permettre aux attaquants d'infecter ces systèmes de paiement avec un malware conçu pour voler les informations liées aux cartes bancaires.
Oracle conseille à ses clients de modifier les mots de passe des comptes utilisés par ses représentants pour accéder aux systèmes de paiement.
Des mesures de renforcement de la sécurité auraient d'ores et déjà été implémentées. De plus, la sécurité des données de cartes bancaires ne serait pas compromise d'après Oracle, ces données étant cryptées de bout en bout dans l'environnement Micros.
Il n'est pour le moment pas établi que l'infection ait été suivie d'actions sur les terminaux de paiement. Quant à la méthode d'infection, elle n'a pas encore été précisément déterminée.
Source :
https://threatpost.com/breach-forces...tomers/119754/
La plateforme Bitfinex compromise (63 millions de dollars) répartit la perte parmi ses utilisateurs
Après Mt. Gox en 2014, la plateforme Bitfinex, une bourse d'échange de la monnaie cryptographique Bitcoin, a été compromise et a perdu 119,756 Bitcoins, soit environ 63 millions de dollars.
La société a annoncé répartir les pertes entre tous ses utilisateurs. Ainsi, chacun d'eux aura perdu 36% des bitcoins déposés sur son compte.
Certains utilisateurs mécontents ont suggéré que les pertes soient compensées par une vente des actions de la société, mais les actionnaires pourraient s'opposer à cette mesure illégale.
Depuis la découverte de l'intrusion, le site n'a pas encore été restauré et est accessible en lecture seule uniquement.
Source :
http://www.csoonline.com/article/310...tml#tk.twt_cso
By Anonyme77, Gohy, Bioshock, & _47
