Faille au sein du Bluetooth permettrait de pirater…

20minutes.fr – High-tech – « BLURtooth »: Une faille au sein du Bluetooth permettrait de pirater les appareils connectés. PIRATAGE : En exploitant cette faille, des hackers pourraient pirater des appareils connectés en contournant le système d’authentification.

Par Jennifer Mertens pour 20 Minutes – Publié le 17/09/20 à 15h48 — Mis à jour le 17/09/20 à 15h48

Une faille au sein du Bluetooth permet de pirater les communications — Geeko

Une importante faille de sécurité au sein du Bluetooth a été mise en évidence par des chercheurs de l’École Polytechnique Fédérale de Lausanne (EPFL) et de l’Université de Purdue. Une vulnérabilité qui pourrait permettre à des hackers de lancer toutes sortes de programmes vers des appareils connectés, et ce, à l’insu de leur propriétaire.

La faille se situe au niveau de « la dérivation de clé de transport croisé (CTKD) dans les implémentations prenant en charge le couplage et le cryptage avec Bluetooth BR/EDR et LE dans les spécifications Bluetooth 4.2 à 5.0 », précise Bluetooth SIG dans sa déclaration.

Dans les faits, un pirate informatique pourrait contourner l’authentification de produits connectés en se liant d’abord à un appareil Bluetooth non protégé ou qui n’exige pas d’authentification. Une fois connecté à ce dernier, l’hacker serait en mesure d’atteindre les appareils sécurisés qui lui sont liés via la faille au sein du Bluetooth. Il pourrait dès lors lancer des programmes sur ces appareils normalement sécurisés.

La faille devrait être corrigée avant de pouvoir être exploitée par les hackers : L’attaque qui est susceptible de permettre ce piratage a été baptisée « BLURtooth » et repose en effet sur la possibilité pour l’hacker de manipuler le CTKD (cross-transport key derivation), à savoir un système d’appairage à travers lequel deux appareils « négocient » le standard Bluetooth par lequel ils vont se connecter, mais aussi les clés d’authentification qu’ils vont utiliser. En exploitant la faille, un hacker pourrait modifier le CTKD pour réécrire les règles de communication d’un appareil afin de l’utiliser comme pont d’accès vers les autres qui lui sont liés.

La faille concerne autant les appareils sous Bluetooth 4.0 que 5.0, précise le Bluetooth Special Interest Group. La communauté indique tout de même qu’aucun piratage n’est à déplorer pour l’instant. Un patch correctif est en préparation et devrait être publié prochainement.

Lire la Source : https://www.20minutes.fr/high-tech/2862127-20200915-une-faille-au-sein-du-bluetooth-permet-de-pirater-les-communications

© Par Bernard TRITZ

E-commerce : + de 1.900 boutiques en ligne piratées

20minutes.fr – High-tech – E-commerce : Plus de 1.900 boutiques en ligne piratées en un week-end, un record ! CYBERSÉCURITÉ – Des spécialistes en cybercriminalité évaluent à plusieurs dizaines de milliers le nombre de clients de sites d’e-commerce dont les données personnelles ont été volées.

Par 20 Minutes avec agence – Publié le 16/09/20 à 14h34 — Mis à jour le 16/09/20 à 14h34

Illustration hacker pirate informatique. — A. GELEBART / 20 MINUTES

Des hackers ont établi ce week-end un nouveau record en attaquant 1.904 sites d’ e-commerce. Dix boutiques en ligne ont été visées ce vendredi, 1.058 sur la seule journée de samedi, 603 ce dimanche et 233 ce lundi, rapporte 01net.

Le spécialiste de la cybersécurité Sansec indique sur son site qu’il s’agit de « la plus importante campagne, et de loin » qu’il a identifié. L’entreprise a commencé sa mission de surveillance des failles de sécurité dans l’e-commerce en 2015. Le record précédent datait de juillet 2019, où 962 sites avaient été piratés en une journée.

Pas de correctif de sécurité prévu : Les attaques multiples du week-end dernier ont été menées grâce à un programme automatique. Selon les experts, les hackers auraient utilisé une vulnérabilité « zero day », vendue depuis quelque temps sur le darknet pour 5.000 euros. Grâce à ce dispositif, les pirates ont pu accéder à distance aux sites marchands utilisant la plateforme Magento v1.

Au total, les données personnelles de plusieurs dizaines de milliers d’internautes seraient entrées en possession des hackers, estime Santec. La plateforme Magento v1 n’étant plus mise à jour, son éditeur Adobe n’a pas officiellement prévu de mettre au point des patchs correctifs.

Lire la Source : https://www.20minutes.fr/high-tech/2863219-20200916-e-commerce-plus-1900-boutiques-ligne-piratees-week-end-record

© Par Bernard TRITZ

Razer : Les données de 100.000 clients exposées en ligne

20minutes.fr – High-tech – Razer : Les données de 100.000 clients exposées en ligne, la base de données n’était pas protégée. CYBERSÉCURITÉ : Razer a mis beaucoup de temps à colmater la faille, créant un réel risque pour la confidentialité des données.

Par 20 Minutes avec agence – Publié le 15/09/20 à 12h16 — Mis à jour le 15/09/20 à 12h16

Des données informatiques. Illustration. — S. Salom-Gomis – Sipa

Razer, constructeur de matériel pour jeux vidéo, a laissé une base de données contenant des données personnelles accessible sans protection pendant plusieurs semaines. Cent mille clients de son site Web sont concernés, rapporte Numerama.

Le prénom, le nom, le courriel, le numéro de téléphone, les numéros de commande, ainsi que les adresses de facturation et de paiement des clients étaient disponibles en ligne. La faille a été repérée par Bob Diachenko, un chercheur en cybersécurité, qui a prévenu l’entreprise le 18 août dernier.

Une faille colmatée tardivement : Mais Razer a mis beaucoup de temps à colmater la faille. C’est seulement le 9 septembre que le problème a été réglé. « Aucune donnée sensible telle que les numéros de carte de crédit ou les mots de passe n’a été exposée », précise l’entreprise dans un communiqué.

En effet, rien n’indique que quelqu’un ait prélevé des données de cette base. On estime cependant qu’il faut moins de 9 heures pour télécharger le contenu d’une base de données non protégée. En onze jours, c’est donc au moins 150 personnes qui auraient pu accéder aux données.

La faille est la conséquence d’une mauvaise configuration d’un serveur fonctionnant avec ElasticSearch, un outil très efficace, mais qui exige beaucoup d’attention pour le sécuriser. Les problèmes avec Elasticsearch sont courants. Ils ont déjà touché Microsoft, la plateforme du Service civique ou encore des forums de BDSM.

Lire la Source : https://www.20minutes.fr/high-tech/2862091-20200915-razer-donnees-100000-clients-exposees-ligne-base-donnees-protegee

© Par Bernard TRITZ

Des hackers tentent de se faire passer pour la Police Nationale

20minutes.fr – High-tech – Phishing : Des « hackers » tentent de se faire passer pour la police nationale… avec des fautes d’orthographe. PIRATAGE : Des pirates amateurs tentent de se faire passer pour la police nationale en utilisant une adresse mail Outlook et demandent 8.500 euros à leurs cibles.

Par 20 Minutes avec agence – Publié le 15/09/20 à 17h29 — Mis à jour le 15/09/20 à 17h29

Une tentative de phishing (illustration) — Geeko

Au début du mois de septembre, un jeune homme a reçu un mail avec pour objet et expéditeur : « Direction centrale de la police judiciaire nationale ». L’adresse était hébergée sur Outlook, alors que la police utilise des adresses en « gouv.fr ». Le contenu du message a suffi pour que cette personne reconnaisse une tentative phishing, rapporte Numerama.

Le corps du message contient le texte la mention « Voir document PDF », écrite en bleu, et une pièce jointe nommée « Direction centrale de la police judiciaire nationale-converti-compressé.pdf ». Sans trace de logiciel malveillant, le mail a réussi à passer sans difficulté le filtre antispam de l’adresse Wanadoo du jeune homme, se retrouvant donc directement dans sa boîte de réception.

8.500 euros « d’amende pénale » : En cliquant sur la pièce jointe, Numerama a pu découvrir un document estampillé aux couleurs de la police judiciaire mais truffé de fautes de grammaire et d’anachronismes. La lettre informe que la personne fait l’objet de « plusieurs Poursuites Judiciaires » dont « la pédopornographie », « l’exhibitionniste » ou encore le « trafic sexuelle » (sic) et qu’il faut contacter une adresse hébergée sur Gmail pour donner des justifications.

Après plusieurs échanges de mails, les malfaiteurs ont transmis un RIB et demandé la somme de 8.500 euros « d’amende pénale », payable en deux fois, sinon une procédure judiciaire serait lancée et l’affaire serait rendue publique. Il s’agissait d’une tentative de phishing, technique bien connue, mais pas vraiment maîtrisée par ces pirates amateurs qui se sont révélés inoffensifs.

Lire la Suite : https://www.20minutes.fr/high-tech/2862427-20200915-phishing-hackers-tentent-faire-passer-police-nationale-fautes-orthographe

© Par Bernard TRITZ

Google : 1 patch de sécurité pour corriger 52 failles

20minutes.fr – High-tech – Google publie un patch de sécurité pour corriger 52 failles au sein d’Android – ANDROID : Huit failles ont été qualifiées de critiques.

Par Jennifer Mertens pour 20 Minutes – Publié le 12/09/20 à 11h35 — Mis à jour le 12/09/20 à 11h35

Android : une faille expose les données bancaires et mots de passe des utilisateurs — Geeko

À l’image de Microsoft et de son Patch Tuesday, Google publie tous les mois un bulletin de sécurité pour corriger les failles identifiées au sein d’ Android. Une règle à laquelle la firme de Mountain View n’a pas dérogé en ce mois de septembre puisqu’elle vient de publier son patch de sécurité du mois. Un patch relativement important puisqu’il vient combler pas moins de 52 brèches de sécurité.

Un nombre relativement important de failles de sécurité, d’autant plus que huit d’entre elles ont été jugées critiques. Les 44 autres représentent également un risque élevé pour la sécurité des utilisateurs. L’exploitation de ces failles aurait donc pu potentiellement avoir de lourdes conséquences et le risque est encore présent tant que le patch n’a pas été installé sur l’ensemble des smartphones.

Une faille très préoccupante : L’une de ces failles est particulièrement inquiétante puisqu’elle permet d’installer des malwares sur des téléphones sous Android, et ce, sans la contrainte d’avoir le smartphone en main. « Le plus grave de ces problèmes est une vulnérabilité de sécurité critique dans le composant Media Framework qui pourrait permettre à un attaquant distant utilisant un fichier spécialement conçu d’exécuter du code arbitraire dans le contexte d’un processus privilégié », explique Google dans un billet sur son blog. Fort heureusement, aucun indice n’indique qu’elle a été exploitée.

À noter que Google prévient les constructeurs de smartphones de ses trouvailles bien avant de publier son rapport, afin que ces derniers puissent procéder aux corrections. Cependant, si le patch correctif d’Android est proposé au téléchargement, la disponibilité de la mise à jour est laissée à l’appréciation des constructeurs de smartphones. La tâche leur revient de proposer une mise à jour correctrice sur leurs appareils.

Pensez donc à vérifier les mises à jour de votre smartphone, depuis ses paramètres, options « A propos » de l’appareil, onglet « Mise à jour logicielle ».

Lire la Source : https://www.20minutes.fr/high-tech/2858935-20200910-google-publie-un-patch-de-securite-pour-corriger-52-failles-au-sein-d-android

© Par Bernard TRITZ

Covid-19 : une énorme faille découverte

msn.com – Actualité – Technologie – Digital – Covid-19 : une énorme faille découverte dans l’API de contact tracing conçue par Apple et Google.

Par Gilbert KALLENBORN – Vendredi 04 septembre 2020 à 19h19

Un manque de synchronisation dans le renouvellement des codes envoyés par Bluetooth permet de suivre une personne à la trace. C’est justement ce que voulaient éviter les deux géants de l’informatique.

© 01net.com Covid-19 : une énorme faille découverte dans l’API de contact tracing conçue par Apple et Google

Les chercheurs Serge Vaudenay et Martin Vuagnoux, de l’École polytechnique fédérale de Lausanne (EPFL) viennent de révéler une importante faille dans la technologie de contact tracing d’Apple et Google, à savoir l’interface de programmation « Exposure Notifications ». Cette vulnérabilité permet, par une simple collecte passive des messages Bluetooth dans une zone, de suivre une personne à la trace.

En théorie, ce risque ne devrait pas exister, car les trames diffusées par les smartphones au travers du système d’Apple et Google contiennent des pseudonymes et des adresses MAC Bluetooth qui sont générés de façon aléatoire et changés toutes les 15 minutes. Mais en réalité, ce renouvellement n’est pas toujours synchrone. Il arrive que l’adresse MAC soit modifiée avant le pseudonyme, ou inversement. Ce décalage trivial permet alors d’associer les nouvelles valeurs aux anciennes, et donc de réaliser un suivi.

© 01net.com Image

Les chercheurs ont baptisé cette attaque « Petit poucet ». En effet, les trames intermédiaires, qui contiennent à la fois une ancienne valeur et une nouvelle, jouent un peu le rôle des petits cailloux blancs dans ce conte d’enfant. En les collectant, elles permettent de ne jamais perdre le fil dans les renouvellements des identifiants.

Dans une vidéo de démonstration, les chercheurs expliquent avoir testé 8 smartphones compatibles avec l’application SwissCovid, qui utilise l’interface de programmation « Exposure Notifications ». Résultat : cinq d’entre eux étaient vulnérables.

Les chercheurs ont également pu exploiter cette faille dans d’autres applications utilisant cette même technologie, telle que Corona-Warn en Allemagne, StoppCorona en Autriche ou Immuni en Italie. Il est d’ailleurs probable que toutes les applications fondées sur « Exposure Notifications » soient vulnérables. L’application française StopCovid n’est évidemment pas concernée, car elle ne s’appuie pas sur le système d’Apple et Google.

La balle est maintenant dans le camp de ces deux géants informatiques qui doivent fournir un patch. Un travail que les chercheurs ne pouvaient pas faire, car l’API n’est pas entièrement open source. Ce qui est dommage.

Lire la Source : https://www.msn.com/fr-fr/actualite/technologie-digital/covid-19-une-%c3%a9norme-faille-d%c3%a9couverte-dans-lapi-de-contact-tracing-con%c3%a7ue-par-apple-et-google/ar-BB18IvIN

Par Bernard TRITZ

Pannes SFR et BOUYGUES

msn.com – Actualité – Cyber criminalité – Pannes SFR et BOUYGUES. Les pannes SFR et Bouygues dues à une attaque.

Par Alexandre Boero – Mercredi 02 septembre 2020 – Publié à 18h15.

© Fournis par Clubic DDOS attaque ©Pixabay

Les deux opérateurs font partie des FAI dont on pensait qu’ils subissaient une « simple » panne, mardi en fin de journée. En réalité, il s’agissait d’une attaque DDoS.

Les pannes subies par plusieurs opérateurs ces dernières heures ou ces derniers jours par des opérateurs français ou issus du Benelux ne relevaient donc pas d’une simple coïncidence, mais bien d’une attaque informatique. Mardi, en fin de journée, plusieurs milliers d’abonnés de SFR dans un premier temps puis de Bouygues Telecom un peu plus tard ont relayé les perturbations dont ils étaient victimes, que ce soit sur les réseaux sociaux ou des sites spécialisés comme Downdectector.

Lire aussi : Plus de 50 000 smartphones chinois infectés par des malwares ont été vendus dans des pays africains

Des FAI touchés en France et en Belgique : Les pannes sont évidemment fréquentes chez les opérateurs, mais en voir plusieurs être frappés simultanément ou presque et avec une certaine violence, voilà une chose bien rare. Alors que mardi soir, SFR évoquait « un incident technique » qui touchait bon nombre de ses abonnés fibre partout en France, Bouygues Telecom indiquait, ce mercredi matin, avoir subi « un incident technique » touchant également un certain nombre d’utilisateurs. D’autres FAI (Knet, Vialis, FDN) ont aussi été frappés dans le même temps.

L’incident technique n’en était pas vraiment un, et il s’agissait en réalité d’une attaque de type DDoS. Rappelons qu’une attaque par déni de service consiste en l’envoi d’un grand nombre de requêtes et peut causer un épuisement des ressources système d’une machine ou saturer la bande passante d’un serveur.

Certains utilisateurs actifs sur les forums et les réseaux sociaux avaient déjà tiqué et compris que les serveurs DNS étaient indisponibles. D’autres suggéraient aux utilisateurs de modifier l’adresse de serveur DNS depuis son ordinateur par celle de Google (8.8.8.8) pour avoir de nouveau accès à ses services.

Lire aussi : Torrent : l’un des plus grands réseaux de piratage au monde a été perquisitionné.

Des pics de trafic jusqu’à 300 Gbit/s ! : Il semble bien qu’il s’agisse d’attaques en cascade, qui ont désormais lieu depuis plusieurs jours désormais. Tout a commencé avec l’attaque DDoS subie par Edpnet, un opérateur télécoms belge, qui a été plus sévèrement frappé, avec des salves similaires subies pendant cinq jours.

De nombreux routeurs et serveurs de noms de domaine basés au Benelux ont été touchés, avec des attaques qui ont, pour certaines, duré plusieurs heures, avec des pics de trafic qui ont atteint près de 300 Gbit/s en volume, ce qui est conséquent, comme le confirme NaWas, l’organisme britannique qui détecte les attaques DDoS et y met fin en redirigeant le trafic vers son propre centre de nettoyage. Edpnet, pour son seul cas, évoque des pics à 200 Gbit/s.

Source : 01net, Global Security Mag

Lire la Source : https://www.msn.com/fr-fr/actualite/other/les-pannes-sfr-et-bouygues-dues-%c3%a0-une-attaque/ar-BB18DPIk

© Bernard TRITZ

EDF : Phishing, danger !

20minutes.fr – High-tech – Phishing : Des pirates se font passer pour EDF pour soutirer des données personnelles par SMS. ARNAQUE : La campagne de phishing promet aux clients d’EDF de leur rembourser un trop-perçu provenant d’un double prélèvement qui n’a en fait jamais eu lieu.

Par 20 Minutes avec agence – Publié le 26/08/20 à 17h33 — Mis à jour le 26/08/20 à 17h33

Le logo du groupe EDF, lors d’une conférence de presse à Londres, le 24 septembre 2008 — SHAUN CURRY AFP

Des pirates utilisent actuellement l’image d’EDF pour tenter de subtiliser les données personnelles des personnes qu’ils ciblent. L’opération de phishing(hameçonnage) débute par l’envoi d’un SMS reprenant l’identité visuelle du géant de l’électricité, explique Numerama.

Le message indique que le destinataire est éligible à un remboursement. Pour percevoir son dû, il faut communiquer des informations personnelles comme le nom, les coordonnées postales ou la date de naissance. Ces informations sont censées permettre à EDF de rembourser à son client un trop-perçu provenant d’un double prélèvement bancaire qui n’a en fait jamais eu lieu.

Faire opposition et contacter la police : L’utilisateur est ensuite redirigé vers un formulaire semblant lui aussi provenir d’EDF, où il doit indiquer ses coordonnées bancaires. Après validation, une page s’affiche, invitant à scanner la carte bancaire et la pièce d’identité. Outre le possible vol d’argent, les données récupérées permettent aux hackers de se livrer à du vol ou de l’usurpation d’identité.

La mise en page simpliste des formulaires et les fautes d’orthographe et de syntaxe dans les textes peuvent cependant mettre la puce à l’oreille. Il est recommandé aux victimes tombées dans le piège de faire opposition à leur carte bancaire et de prévenir les autorités du détournement de la pièce d’identité. Il peut également être utile d’informer EDF de la circulation du SMS frauduleux.

Lire la Source : https://www.20minutes.fr/high-tech/2847251-20200826-phishing-pirates-font-passer-edf-soutirer-donnees-personnelles-sms

© Bernard TRITZ

235 millions de profils en ligne

20minutes.fr – High-tech – Données personnelles : Les détails de 235 millions de profils Instagram, TikTok et YouTube étaient accessibles en ligne. CYBERSÉCURITÉ : L’adresse e-mail ou le numéro de téléphone d’un cinquième des profils était ainsi exposé en ligne sans aucune protection.

Par 20 Minutes avec agence – Publié le 21/08/20 à 18h30 — Mis à jour le 21/08/20 à 18h30

Réseaux sociaux (illustration) — Pixelkult / Pixabay

Les données personnelles de 235 millions de profils de réseaux sociaux exposés. C’est la découverte qu’a faite l’entreprise de cybersécurité Comparitech le 1er août dernier. Les informations étaient collectées par Social Data, une entreprise de conseil en stratégie marketing.

Les chercheurs ont découvert quatre bases de données, contenant chacune des millions de profils. Au total, 235 millions de profils Instagram, TikTok ou YouTube. Le nom d’utilisateur, nom réel, la photo, description, les partenariats publicitaires et les statistiques de chaque compte étaient accessibles. Pour un profil sur cinq, le numéro de téléphone ou l’adresse e-mail était indiqué, rapporte Numerama.

Une fuite résolue en trois heures : La collecte des données est formellement interdite par les règlements des réseaux sociaux visés. Selon les experts en cybersécurité, Social Data a en outre volontairement laissé ces profils sans protection, dans ce qu’ils considèrent comme une véritable fuite de données.

Social Data s’est défendu en expliquant que les données collectées étaient de toute façon accessibles en ligne. Or, « la taille et l’ampleur de la base de données agrégée rendent [les données] plus vulnérables aux attaques de masse », explique Comparitech. Social Data a finalement réparé la situation en retirant sa base de données, et cela seulement trois heures après le signalement de la fuite.

Lire la Source : https://www.20minutes.fr/high-tech/2844063-20200821-donnees-personnes-details-235-millions-profils-instagram-tiktok-youtube-accessibles-ligne

© Par Bernard TRITZ

Antivirus en question, pas sûrs…

20minutes.fr – High-tech – 1 antivirus sur 2 n’arrive pas à identifier tous les virus et attaques. VIRUS INFORMATIQUE : Microsoft Defender Antivirus ferait mieux que certains logiciels payants.

Par Jennifer Mertens pour 20 Minutes – Publié le 21/08/20 à 18h21 — Mis à jour le 21/08/20 à 18h21

Ryuk est devenu le ransomware le plus rentable de l’histoire de l’Internet — Geeko

La société britannique SE Labs, spécialisée dans la cybersécurité, s’est penchée sur les offres d’antivirus pour déterminer leur efficacité. Une étude qui a démontré que près de 50 % des antivirus étaient incapables de détecter et de bloquer l’ensemble des menaces virales.

Dans son rapport intitulé « New Home Anti-Malware Protection Report », la société britannique dresse un comparatif de 14 solutions antivirales parmi les plus populaires. Pour vérifier leur efficacité, SE Labs a soumis plusieurs malwares publics aux antivirus. Des tests qui ont démontré que près de la moitié des antivirus étaient inefficaces pour détecter et contrer l’ensemble des menaces virales. « Il est décevant de constater que les solutions de sécurité de grands éditeurs passent à côté de menaces pourtant bien connues », a souligné Simon Edwards, CEO de SE Labs.

En parallèle, seules les solutions Kaspersky Internet Security et Sophos Home Premium ont été en mesure de détecter et de bloquer l’ensemble des attaques virales. Microsoft Defender Antivirus et McAfee Internet Security se sont également démarqués puisqu’ils ont détecté 100 % des virus, mais ne sont pas parvenus à les bloquer totalement (99 %). Ils les ont tout de même neutralisés.

Le plus utilisé des antivirus n’est pas le plus efficace : Dans le classement de la société de cybersécurité, on peut voir que certains antivirus détectent bien l’ensemble des menaces, mais ne les bloquent pas à 100 %. Dans certains cas, même s’ils ont repéré la menace, ils ne parviennent pas à la neutraliser. Celle-ci peut alors compromettre la machine et faire plus ou moins de dégâts dessus.

Dans le cas d’Avast, l’un des antivirus les plus utilisés au monde, il détecte bien l’ensemble des menaces, mais n’en bloque que 92 %. Sept sont tout de même neutralisées, mais l’une des menaces est parvenue à passer à travers les mailles du filet.

Ce n’est pas la première fois que l’efficacité des antivirus en général est remise en question. Depuis longtemps déjà, la « légende » veut que la solution antivirale de Microsoft soit suffisante. Or, le rapport de SE Labs semble confirmer cette version. Plus encore, certains antivirus présenteraient même des failles de sécurité, les rendant perméables à des attaques pirates.

Lire la Source : https://www.20minutes.fr/high-tech/2843467-20200821-1-antivirus-sur-2-n-arrive-pas-a-identifier-tous-les-virus-et-attaques

© Par Bernard TRITZ