Adacis vous propose un condensé de l’actualité dans sa newsletter, nous avons un peu changé le format. On espère que ça vous plaira !

Toute la Team Adacis vous souhaite un bon weekend.

Au menu:

News

8/02/2019 https://www.lemondeinformatique… : 59 000 notifications RGPD en Europe depuis mai 2018.

2/02/2019 http://internetactu.blog.lemon… : Dans un graphique particulièrement parlant (à consulter en haute définition), la Fondation Panoptykon détaille les 3 couches d’information qui composent nos identités en ligne.

8/02/2019 https://www.clubic.com/raspber… : Pour les inconditionnels des RPIs, une boutique physique vient d’ouvrir à Cambridge.

5/02/2019 http://globbsecurity.fr/collec… : Deux semaines seulement après la découverte d’une énorme fuite de données personnelles baptisée Collection #1, un leak encore plus massif  vient d’être détecté par des chercheurs allemands. Cette seconde fuite nommée Collection #2-5, rassemblerait une base de 2,2 milliards d’identifiants, adresses e-mail et mots de passe.

9/02/2019 https://securityaffairs.co/wor… : GanCrab le malware qui chiffre vos fichiers et vous demande une rançon cible désormais l’Italie à travers de la Stéganographie.

8/02/2019 https://securityaffairs.co/wor… : Des ordinateurs du parlement Australien ont été infiltrés, aucun détail technique n’a encore été communiqué. Pour l’heure le parlement applique des mesures de sécurité renforcées pour protéger son réseau.

11/02/2019 https://www.generation-nt.com/… : Microsoft conseille désormais à chacun de ne plus utiliser son ancien navigateur Internet Explorer, peu importe sa version. Le navigateur abandonné en 2015 au profit du navigateur Edge doit ainsi être considéré comme un « outil de compatibilité et non plus comme un navigateur », son usage doit donc être strictement limité.

8/02/2019 https://techcrunch.com/2019/02… : Des réfrigérateurs industriels connectés, hébergés dans des restaurants, des hopitaux, supermarchés et épiceries, accessibles sur Internet avec login et mot de passe par défaut. La possibilité de déclencher le mode « defrost » à distance pourrait entraîner la perte des biens conservés et déclencher fuites d’eau chez les professionnels concernés.

12/02/2019 https://www.theregister.co.uk/… : Près de 620 millions de comptes utilisateurs concernant 16 sites web principalement américains ont été piratés et leurs identifiants mis en vente sur le Dark Web. Les comptes contiendraient des données personnelles mais a priori pas de données de moyens de paiement. Nous vous recommandons d’éviter au maximum d’enregistrer vos données bancaires sur vos comptes en ligne, de les sécuriser par des mots de passe robustes, si possible changés régulièrement et stockés de façon sécurisée, en utilisant un coffre-fort numérique (par exemple l’utilitaire Keepass : https://keepass.info/).

13/02/2019 https://www.zdnet.fr/actualite… : Un article du Canard Enchaîné informe ses lecteurs d’une fuite de données de la part du CLUSIF, le Club de la Sécurité de l’Information Français, dûe à une erreur de configuration. Des données confidentielles sur ses membres se sont ainsi retrouvées dans la nature, accessibles directement depuis un moteur de recherche.

18/02/2019 https://thehackernews.com/2019… : Nouvelle technique de phising sophistiquée pour piéger les utilisateurs les plus vigilants.
L’équipe de Vincent Jebara a découvert une nouvelle campagne de phising qui utilise des pop-up de connexion Facebook maquillées pour se faire passer pour une demande légitime. En temps normal l’utilisateur méfiant vérifiera à deux fois l’adresse référencée dans la pop-up, ou si HTTPS est en place. Sauf que cette fois ci la popup n’est pas une fenêtre classique du navigateur mais bel est bien une représentation fidèle « dessinée » en javascript et qui reflète toutes les caractéristiques attendues d’une vraie fenêtre de connexion. Méfiance donc !

19/02/2019 http://www.dsih.fr/article/325… : Le secteur de la santé : toujours une cible de choix pour les cybercriminels ?

25/02/2019 https://www.icann.org/news/ann… : L’ICANN publie un communiqué et recommande des bonnes pratiques de sécurité aux acteurs d’Internet en lien avec la gestion des DNS, notamment l’utilisation de DNSSEC, afin de réduire le risque élevé d’incident de sécurité.
La survenue d’une cyberattaque subie par l’ICANN pouvant être à l’origine de fuites de données massives à l’échelle mondiale a été relatée par la presse, information relayée par le secrétaire d’Etat au numérique français. Cependant, il n’en est fait mention nulle part dans le communiqué original.

25/02/2019 https://www.lemonde.fr/pixels/… : Intox sur une attaque massive qui serait en cours. En fait, les médias sociaux se sont emballés et il ne s’agit que d’un risque d’attaque.

26/02/2019 https://www.lemonde.fr/pixels/… : La Suisse a ouvert en open source son système de vote électronique pour que les hackers puissent tester les vulnérabilités. Ils se verront offrir en échange d’une rémunération en cas de découverte d’une faille. Un site web de test simulant un faux vote électronique a été mis en place pour permettre de simuler des attaques potentielles.

23/02/2019 https://www.lesechos.fr/tech-m… : Alerte sur une cyberattaque au cœur d’Internet.

Wi-Fi, USB

11/02/2019 https://www.bleepingcomputer.c… : Un câble USB avec un contrôleur WI-FI intégré, se fait passer pour un clavier et une souris et permet d’exécuter des commandes à distance sur le pc auquel il est branché.

Vulnérabilités

12/02/2019 https://csirt.cz/page/3939/ : Une vulnérabilité a été découverte dans Runc, permettant à un conteneur malveillant d’obtenir des droits root sur son serveur hôte. Runc est le composant faisant fonctionner les conteneurs dans les moteurs Docker, cri-o, containerd, Kubernetes.

7/02/2019 https://nakedsecurity.sophos.c… : Le développeur Linus Henze a développé un exploit permettant de consulter sans autorisation le Keychain de MacOS qui stocke l’ensemble des mots de passes et certificats enregistrés par l’utilisateur. Pour ce faire il a utilisé une faille 0-day qu’il a lui même trouvé et qu’il compte bien garder pour lui, jusqu’à que Apple se décide à mettre en place une offre de bug bounty pour ses systèmes phares. Ce dernier espère ainsi pouvoir exercer une pression sur le constructeur, mais rien ne dit que des acteurs bien moins intentionnés cherchent à obtenir ce 0-day en lui proposant de l’argent ou tout simplement en s’invitant chez lui.

6/02/2019 https://securityaffairs.co/wor… : De multiple vulnérabilités ont été découvertes dans le protocole RDP de Microsoft. Des chercheurs ont mis en évidence 19 failles qui pourrait provoquer des compromissions d’ordinateur utilisant ce protocole.

1/02/2019 http://globbsecurity.fr/le-bug… : Un bug a été repéré dans l’application FaceTime d’Apple qui permettait à chacun de pouvoir entendre la voix de son interlocuteur, avant même que celui-ci n’ait décroché, ou rejeté l’appel. Si une manipulation précise doit être effectuée pour être capable d’entendre la voix de son contact à son insu, il n’en demeure pas moins que ce bug intervient dans un contexte de défiance envers la sécurité des données personnelles.

19/02/2019 https://blog.ripstech.com/2019… : WordPress 5.0.0 – Combinaison d’un Path Traversal et d’une LFI (Local File Inclusion) permettant d’aboutir à une RCE (Remote Code Execution).

20/02/2019 https://research.checkpoint.co… : Check Point Software ont découvert une faille de sécurité vieille de 19 ans dans le logiciel WinRAR.

22/02/2019 https://www.securityevaluators… : Gestionnaires de mots de passe : sous le capot de la gestion de secrets.

22/02/2019 https://thehackernews.com/2019… : Une équipe de chercheurs de l’Université de New Haven a découvert comment s’immiscer dans l’application BigScreen VR et de prendre le contrôle de tous les participants. BigScreen VR permet a des participants de se retrouver dans des pièces de réalité virtuelle pour regarder des films comme au cinéma, échanger et interagir entre eux. Les chercheurs ont mis en évidence des failles dans l’application qui leur permettent de s’inviter dans une pièce virtuelle privée tout en restant invisible pour les autres participants, et ainsi écouter toutes les conversations et observer tout ce qui s’échange, un vrai homme invisible virtuel ! Les vulnérabilités identifiées permettent également de faire main basse sur les ordinateurs des participants en leur faisant exécuter des commandes à distance, et potentiellement les contaminer avec des malwares.

Outils

22/02/2019 https://github.com/Dliv3/Venom… : Venom, un outil pour les red-teamers facilitant l’utilisation de rebonds pour progresser lors d’un test d’intrusion.

8/02/2019 https://www.keylength.com/ : Ce site recense les différentes recommandations faites lors de diverses conférences de sécurité (orientées cryptographie) sur les algorithmes et les tailles de clés à utiliser avec Diffie-Hellman pour échanger des clés symétriques, en fonction de l’algorithme de chiffrement symétrique (e.g. AES) et de la taille de clé souhaitée.
Note : pour Diffie-Helmman, MODP = utilisation d’arithmétique modulaire avec un nombre premier en modulus (= RSA), EC = courbes elliptiques, plus robuste.
En règle général, privilégier ECDH (Diffie-Hellman avec courbes elliptiques) si possible, les tailles de clés associées sont beaucoup plus petites que celles de RSA pour un niveau de sécurité équivalent.

9/02/2019 https://www.tomsguide.fr/2019/… : Une extension de Google Chrome peut vous indiquer si votre mot de passe a été compromis par une attaque informatique. Reste à vérifier si les mots de passe comparé ne sont pas stockés sur un serveur tiers.

Malware

11/02/2019 https://www.netresec.com/video… : Analyse Forensic: Détail de la kill-chain de TrickBot, malware bancaire dérivé d’Emotet.

19/02/2019 https://www.nomoreransom.org/f… : GandCrab – Mise à jour de l’outil de déchiffrement développé par BitDefender. L’outil supporte désormais les versions v1, v4, v5 ainsi que les dernières versions v5.0.4 à v5.1.

Ingénierie sociale

11/02/2019 https://www.zataz.com/chantage… : Nouvelle campagne de sextorsion… Ne payez pas, ne répondez pas, et faites un signalement sur la plateforme PHAROS !

Guide

6/02/2019 https://github.com/trimstray/n… : Guide pratique de configuration pour nginx.

Android

11/02/2019 https://thehackernews.com/2019… : Faille critique Android 7.0 à 9.0: Exécution possible de code malveillant au travers d’images .PNG.

Vidéo

7/02/2019 https://www.youtube.com/playli… : Cours sur les Buffer Overflows sur Windows 32 bits.

Phishing

12/02/2019 https://www.zataz.com/nouveau-… : Attention, un faux mail d’alerte aux impôts circule sur internet. Ne vous faites pas avoir !

Pentest

19/02/2019 https://github.com/adamyordan/… : Jenkins – PoC Jenkins aboutissant à une RCE via l’exploitation des vulnérabiltiés CVE-2019-1003000 (Script Security), CVE-2019-1003001 (Pipeline: Groovy) et CVE-2019-1003002 (Pipeline: Declarative).