Il faut maintenant redoubler de méfiance sur Whatsapp. Les données de 3,2 millions d'utilisateurs de l'application en Belgique sont en vente sur le dark web. Son achat par des cybercriminels pourrait signifier la multiplication des tentatives d'attaques par phishing.
L’article « Cette fuite me fait peur » : 3,2 millions d’utilisateurs de WhatsApp compromis sur le dark web est apparu en premier sur Toms Guide.
Toyota a subi une nouvelle brèche dans ses systèmes informatiques : une fuite de données contenant notamment des informations sur sa clientèle est maintenant disponible librement sur le dark web. L'entreprise se veut rassurante dans ses déclarations à la presse.
L’article Toyota confirme une fuite massive de données clients sur un forum du dark web est apparu en premier sur Toms Guide.
Une faille de sécurité majeure vient d'être découverte sur les smartphones Pixel. Des millions d'utilisateurs se trouvent à la merci des pirates informatiques à cause de cette vulnérabilité que Google promet de faire disparaître rapidement.
L’article Google Pixel : une faille de sécurité découverte sur des millions d’appareils, vous êtes à la merci des pirates est apparu en premier sur Toms Guide.
Vous en avez marre de galérer avec la configuration de VPN pour sécuriser votre navigation web et vous cherchez une solution simple et efficace pour protéger votre vie privée en ligne sans vous prendre la tête ?
Avez vous pensé à WireProxy ?
Ce petit logiciel open-source est un client qui se présente sous la forme d’un proxy SOCKS5 ou HTTP et qui permet de se connecter à un serveur WireGuard et d’exposer un proxy sur votre machine. Ça peut être super pratique si vous avez besoin d’accéder à certains sites via VPN mais que vous n’avez pas envie de vous embêter à configurer une nouvelle interface réseau. Une fois que c’est en place chez vous, y’a plus qu’à configurer votre navigateur pour qu’il passe par le proxy. Et pas besoin des droits root pour le configurer.
En plus de ça, y’a tout un tas de fonctionnalités bien cool :
Alors pour l’installer :
git clone https://github.com/pufferffish/wireproxy cd wireproxymake./wireproxy -c chemin/vers/config.confLe fichier de configuration utilise une syntaxe similaire à celle de WireGuard, donc si vous êtes déjà familier avec WireGuard, vous ne serez pas dépaysé.
Vous pouvez y définir l’interface et le ou les serveurs (les pairs), mais aussi configurer des tunnels TCP et UDP ainsi que le proxy SOCKS5 ou HTTP. L’outil supporte même l’authentification pour le proxy, il suffit de préciser un nom d’utilisateur et un mot de passe dans la section [Socks5] ou [http].
Et voilà, vous êtes prêt à surfer en toute sécurité !
Autre point fort de WireProxy : il supporte la connexion à plusieurs pairs ! Il suffit de spécifier les AllowedIPs pour chaque pair pour qu’il sache vers quel pairs rediriger le trafic. Et si vous voulez que les pairs puissent se connecter à votre instance WireProxy, c’est possible aussi en précisant le port d’écoute avec ListenPort.
Amusez vous bien !
Vous cherchez un moyen simple et efficace de sécuriser vos fichiers ?
Ça tombe bien, je vous ai déniché un petit outil bien pratique nommé File-Encryptor qui est un programme développé en Rust vous permettant de chiffrer et déchiffrer vos fichiers en un clin d’œil.
Ce programme utilise l’algorithme de chiffrement AES-GCM (Advanced Encryption Standard-Galois/Counter Mode), connu pour être très robuste, avec une clé de 256 bits. Le gros avantage de File-Encryptor, c’est qu’il supporte le chiffrement basé sur un mot de passe. Comme ça, pas besoin de vous trimballer une clé USB avec votre précieuse clé de chiffrement. Il vous suffit de choisir une phrase secrète, et hop, vos fichiers sont chiffrés en un rien de temps. Et si vous voulez rajouter une couche de sécurité supplémentaire, vous pouvez même ajouter des données d’authentification en bonus (comme votre mail par exemple).
Bref, si vous avez des documents sensibles à envoyer par email ou via une clé USB ou si vous voulez faire une sauvegarde bien sécurisée de vos précieux fichiers sur un cloud ou un disque dur externe, et bien un petit tour avec notre ami File-Encryptor et vous pouvez dormir sur vos deux oreilles.
Allez, assez parlé, je vous fais une petite démo pour que vous compreniez comment ça marche.
Première étape : générer une clé de chiffrement.
Ouvrez un terminal et tapez :
file-encryptor keygen > mykey.key
Vous pouvez aussi utiliser l’option -p ou --password pour générer une clé à partir d’un mot de passe de votre choix. Par exemple :
file-encryptor keygen -p "motdepasse123" > mykey.key
Notez bien que la clé AES256 générée est obtenue en hashant votre mot de passe avec l’algorithme SHA256. Bon à savoir !
Maintenant, passons au chiffrement proprement dit. Mettons que vous ayez un fichier texte nommé « secret.txt » à chiffrer. Rien de plus simple :
file-encryptor seal secret.txt < mykey.key > secret.encrypted
Et si vous voulez ajouter des données d’authentification, rajoutez l’option -a suivie d’une chaîne de caractères. Par exemple votre email :
file-encryptor seal secret.txt -a "james@bond.mi6" < mykey.key > secret.encrypted
Pour déchiffrer votre fichier, c’est tout aussi facile. Il vous suffit de taper :
file-encryptor open secret.encrypted < mykey.key > secret.decrypted.txt
Et n’oubliez pas de préciser les données d’authentification si vous en aviez utilisé lors du chiffrement :
file-encryptor open secret.encrypted -a "james@bond.mi6" < mykey.key > secret.decrypted.txt
Et voilà, le tour est joué ! Vous savez désormais comment chiffrer et déchiffrer des fichiers comme un pro avec File-Encryptor. Franchement, c’est pas sorcier et ça peut dépanner dans un tas de situations.
Cliquez ici pour mettre la main sur ce petit outil bien pratique. Et n’oubliez pas : la paranoïa est votre meilleure amie dans ce monde de brute (force) !
Chiens et batteries font mauvais ménage : des pompiers alertent sur les risques d'incendie que posent les batteries lithium-ion de nos appareils électroniques, surtout lorsque le meilleur ami de l'homme se met à les mâchouiller.
L’article Les pompiers vous le demandent : ne laissez pas votre chien mâchouiller des batteries est apparu en premier sur Toms Guide.
Samsung met la tête à prix des bugs dans ses logiciels. Pour ceux qui réussiront à mettre au jour une faille de sécurité critique, la récompense peut désormais aller jusqu'à un million de dollars. Le géant sud-coréen craint en particulier les menaces liées à l'intelligence artificielle.
L’article Envie d’un million de dollars ? Trouvez un bug dans les logiciels de Samsung ! est apparu en premier sur Toms Guide.
Vous pensiez être à l'abri en mettant à jour vos logiciels ? Détrompez-vous. Une nouvelle cyberattaque vient de révéler une faille critique dans nos systèmes de sécurité. Des pirates ont réussi à infiltrer des mises à jour légitimes pour distribuer des logiciels malveillants à grande échelle.
L’article Alerte sécurité : un FAI compromis met en danger des millions d’usagers sur Mac et Windows est apparu en premier sur Toms Guide.
Vous en avez ras le bol que vos données personnelles se baladent à poil sur Internet, scrutées par les GAFAM et aspirées par la NSA ?
Alors PrivateBin est fait pour vous ! Cette alternative open source et respectueuse de la vie privée à Pastebin permet de partager du texte et des fichiers de façon ultra sécurisée. Lors de la création d’un paste, le contenu est chiffré directement dans votre navigateur en utilisant AES-256 et même les petits gars de PrivateBin ne peuvent pas mettre leur nez dans vos affaires. C’est ça qu’on appelle le « zero knowledge« , mes amis !
La clé de chiffrement est générée à partir du contenu lui-même et n’est jamais transmise au serveur. Seul le contenu chiffré est stocké. Ainsi, lorsqu’un utilisateur souhaite accéder au paste, il récupère le contenu chiffré et le déchiffre dans son navigateur.
Et l’outil ne fait pas les choses à moitié question sécurité. Il embarque des fonctionnalités de ouf comme le chiffrement des discussions, la protection par mot de passe, des options d’expiration du contenu, et même la possibilité de « burn after reading« . Côté utilisateur, rien de plus simple. Une interface toute bête, tu colles ton texte ou tes fichiers, tu personnalises les options de sécurité et de confidentialité, et bam, t’as un lien à partager. On peut même faire son 007 en scannant un QR code pour transférer direct le lien sur notre smartphone.
De plus, PrivateBin s’installe en deux coups de cuillère à pot grâce à son script d’installation et sa configuration sécurisée par défaut. Pas besoin de sortir de Saint-Cyr pour mettre en place son propre serveur privé et si vous êtes encore plus parano, vous pouvez même l’installer sur un serveur onion (Tor).
D’un point de vue plus technique, c’est écrit en PHP mais pas de panique, les développeurs ont optimisé le bouzin pour le rendre plus rapide et efficace. Ils ont même intégré un système de cache pour améliorer les performances. Et grâce à l’utilisation de bibliothèques éprouvées comme GnuPG pour le chiffrement et Twig pour le templating, le code est propre et maintenable.
Les pastes sont automatiquement supprimés après 30 jours par défaut (mais vous pouvez choisir une durée plus courte) et pour l’utiliser au mieux, il y a même un client CLI (en ligne de commande), qui vous permettra de créer et récupérer de la donnée via PrivateBin sans quitter votre terminal.
Alors, prêt à tester PrivateBin ?
Sortez le pop-corn.
Qui est donc responsable de la panne géante de nombreux terminaux et services Microsoft liée à une mise à jour de CrowdStrike ? La panne est intervenue suite à une mise à jour de l'antivirus. Puis ce fut l'effet domino avec plus de 8 millions de PC en panne !
L'outil de CrowdStrike en cause possède les droits bas niveau pour accéder au noyau du système. Le logiciel tiers joue le rôle de Windows Defender. Depuis 2009, Microsoft permet des éditeurs tiers de jouer ce rôle critique. Avec l'Europe, un accord fut trouvé pour permettre ces accès tiers et ne pas fermer strictement le noyau.
Rappelons que Microsoft n'est pas responsable de la panne car il s'agit d'un éditeur tiers qui en est la cause. Cependant, très vite, le géant fut mis en cause. Mais cela met tout de même en avant un point essentiel : une mauvaise mise à jour au niveau noyau peut faire crasher les PC !
Apple avait décidé de fermer les accès bas niveau pour des questions de sécurité. Microsoft a précisé il y a quelques jours que cette fermeture à la Apple du noyau n'était pas possible... une conséquence de l'accord avec l'Europe.
Faut-il pour autant accuser Microsoft et lui faire porter la faute de la mise à jour : CrowdStrike a certes fait un mauvais patch mais n'est-ce à Windows de contrôler et de vérifier pour éviter un blocage ?
L'accès bas niveau, avec les mêmes droits et API, a été demandé par l'Europe et c'est documenté depuis 2009 même si comme le rappelle nos confrères Next INpact, l'accès direct au noyau n'était pas demandé mais d'avoir les mêmes fonctionnalités et accès que les logiciels Microsoft.
Microsoft cherche-t-il par ce biais de dire qu'il ne peut sécuriser le noyau et l'architecture de bas niveau à cause de cet accord avec l'Europe ? L'espace noyau est un élément d'architecture sensible car cela permet d'accéder au coeur de l'OS ce qui peut être potentiellement dangereux si une extension ou un pilote est mal codé ou possède des failles.
Apple, pour des raisons de sécurité et de robustesse de l'OS, avait fini par interdire l'espace noyau (extension kernel). Les éditeurs se sont adaptés. Cela explique pourquoi les machines Apple n'ont été impactées par la panne. Sur les OS Windows et Linux, l'éditeur utilise le niveau noyau.
Plusieurs questions se posent :
Cette panne pourrait avoir un bénéfice : revoir la sécurité noyau de Windows, fermer son accès tiers et imposer un accès moins critique pour éviter des kernel panics.
L'affaire ne fait que commencer.
En partenariat avec Qbyte magazine.
Cryptr, c’est un script bash bien pratique qui va vous permettre de chiffrer et déchiffrer vos fichiers sensibles en deux temps trois mouvements, le tout proprement et avec une sécurité au top grâce à OpenSSL AES-256.
Si comme moi, vous avez tendance à stocker tout un tas de données confidentielles sur votre ordi (mots de passe, documents perso, photos compromettantes de votre dernière soirée déguisée…), vous savez à quel point c’est important de les protéger des regards indiscrets. Bon ok, on n’est pas tous paranos au point d’avoir peur que la NSA ou Gérald vienne fouiller dans nos fichiers, mais on n’est jamais trop prudent !
Avec ce truc, fini de vous prendre la tête avec des solutions de chiffrement compliquées à mettre en place. Il vous suffit de cloner le projet depuis le dépôt GitHub :
git clone https://github.com/nodesocket/cryptr.git
Ensuite, créez un lien symbolique vers le script cryptr.bash pour pouvoir l’utiliser facilement depuis n’importe où :
ln -s "$PWD"/cryptr/cryptr.bash /usr/local/bin/cryptr
Et voilà, vous êtes parés pour chiffrer vos petits secrets comme un pro ! La commande encrypt vous permet de chiffrer un fichier en lui ajoutant l’extension .aes, tandis que decrypt fait l’opération inverse.
➜ cryptr encrypt ./secret-file
enter aes-256-cbc encryption password:
Verifying - enter aes-256-cbc encryption password:
➜ ls -alh
-rw-r--r-- 1 user group 1.0G Oct 1 13:33 secret-file
-rw-r--r-- 1 user group 1.0G Oct 1 13:34 secret-file.aes
Vous pouvez même définir le mot de passe à utiliser via la variable d’environnement CRYPTR_PASSWORD pour automatiser le processus :
➜ CRYPTR_PASSWORD=motdepasse007 cryptr encrypt ./secret-file
Franchement, c’est tellement simple et efficace que même James Bond Raymonde peut en faire son outil préféré. Bref, si vous cherchez une solution de chiffrement simple et efficace pour protéger vos données sensibles, je vous recommande vraiment de tester Cryptr.
2FAGuard est une application moderne, gratuite et open source qui va vous permettre de centraliser et bien gérer vos codes de double authentification pour ensuite y accéder en un clin d’œil.
Comme ça, vous importez vos tokens 2FA existants depuis d’autres applis (Google Authenticator, Bitwarden et Authenticator Pro) en deux temps trois mouvements et c’est immédiatement utilisable. Vous pouvez même ajouter de nouveaux codes simplement en scannant le QR Code qu’un site vous donner. Et si vous êtes du genre parano (et vous avez bien raison), vous pouvez aussi exporter vos données quand vous voulez pour les mettre à l’abri ailleurs.
Côté sécurité, les gars derrière 2FAGuard n’ont pas fait les choses à moitié puisque les données sont chiffrées en AEGIS-256 et restent bien au chaud sur votre appareil. Et cerise sur le gâteau, l’appli est compatible avec Windows Hello comme ça vous pouvez vous authentifiez avec votre empreinte digitale, votre visage ou une clé de sécurité..
Comme vous le voyez, l’interface de 2FAGuard est plutôt minimaliste, mais c’est voulu. On a accès rapidement à tout ce dont on a besoin : la liste de nos tokens, un bouton pour en ajouter de nouveaux, un autre pour les paramètres, et c’est tout. Simple et efficace. Sachez également que vous pouvez choisir de verrouiller l’appli au démarrage ou après une certaine période d’inactivité. Vous pouvez même activer un mode « incognito » qui masque les codes à l’écran. Pratique si vous utilisez votre PC dans des lieux publics.
Côté téléchargement, vous avez le choix entre deux versions : une app Windows 10 / 11 du Microsoft Store qui se met à jour automatiquement en arrière-plan, et une version classique « desktop » qui a l’avantage d’être portable, pratique pour l’utiliser depuis une clé USB.
ps : Et si vous n’utilisez pas de code 2FA pour vos comptes en ligne, vous feriez mieux de vous y mettre.
Les équipes de Qualys viennent de dévoiler une faille importante dans OpenSSH : regreSSHion. Elle permet un accès distant non autorisé pour exécuter du code. Cette découverte est numéoritée CVE-2024-6387. Elle concerne les serveurs OpenSSH sur les systèmes Linux utilisant glibc. "La vulnérabilité est une condition concurrente critique dans les serveurs OpenSSH permettant un accès distant non authorisé pour exécuter du code distant en qualité de root sur les systèmes Linux basés sur glibc. Cela représente une faille importante de sécurité. Cette faille affecte les serveur OpenSSH et leurs configurations par défaut." précise l'annonce.
Qualys estime à 14 millions les serveurs concernés. Les versions d'OpenSSH touchées sont les versions antérieures à la 4.4p1 et les versions 8.5p1 et +. Les systèmes OpenBSD ne sont pas concernés.
Pour plus de détails : https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server
Plusieurs failles ont touché GitLab ces derniers mois. La plus critique est la CVE-2024-5655 donnant la possibilité d'exécuter des pipelines dans l'environnement par un autre utilisateur que le propriétaire du pipeline. L'éditeur l'a corrigé le 26 juin dernier. Le patch critique de sécurité est numéroté 16.11.5, 17.0.3 ou 17.1.1, selon la version de GitLab utilisée. Cela concerne les éditions communautaire et entreprise.
En tout, 14 failles sont corrigées dont 1 faille critique, 3 failles sévères, 9 failles moyennes et une peu critique.
Pour en savoir plus : https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/
OpenCanary, c’est le pot de miel nouvelle génération pour attraper tous ces satanés cybercriminels. Ce petit logiciel va simuler plein de services réseau, comme un serveur web, un partage Windows, un serveur SSH…etc Bref, un vrai buffet à appâts numériques et dès qu’un hacker tombe dans le panneau et interagit avec, paf, vous recevez une alerte !
L’outil est hyper léger et s’installe facilement, même sur un Raspberry Pi ou un VM. Et comme c’est du logiciel libre, vous pouvez l’adapter à vos besoins et surtout vous éviter une solution proprio payante.
Alors comment ça fonctionne ? Et bien c’est simple comme bonjour :
C’est pas beau ça ?
En plus, vous pouvez même envoyer les alertes par mail, SMS ou même les agréger dans un outil de monitoring. Bon, je vous cache pas qu’il faut quand même un minimum de connaissances techniques pour faire tourner le bouzin. Mais si vous n’avez pas peur de mettre les mains dans le cambouis et de jouer avec la ligne de commande, c’est à la portée de n’importe quel barbu un peu motivé.
Et puis c’est quand même super fun de tendre des pièges aux méchants hackers et de les voir se faire avoir comme des bleus. Mais attention hein, faut pas non plus tomber dans la paranoïa et transformer son réseau en véritable champ de mines. Faudra doser pour que ça reste digeste sinon, vous allez avoir beaucoup de bruit dans vos alertes.
En tout cas, moi je dis bravo aux petits gars de Thinkst qui nous ont pondu cet outil. Pour les plus motivés, voici le lien Github du projet : https://github.com/thinkst/opencanary.
Amusez-vous bien et happy hacking !
Elastic Security Labs annonce avoir découvert une nouvelle méthode pour exécuter du code non autorisé : Grimresource. Elle peut permettre d'exécuter du code dans la console Microsoft (mmc.exe) via un fichier MSC.
Quelques détails donnés par l'équipe d'Elastic :
Aujourd'hui, de multiples vecteurs sont utilisés par les hackers pour exécuter du code même si Microsoft a désactivé les macros Office dans les documents provenant du Web. Une des clés de GrimResource est de s'appuyer sur le XSS présent dans la librairie apds.dll.
Pour tous les détails techniques : https://www.elastic.co/security-labs/grimresource
Tracecat est une nouvelle plateforme d’automatisation open source qui propose une alternative à des solutions propriétaires genre Tines ou Splunk SOAR !
Avec cet outil libre et gratuit, vous pourrez créer des workflows d’automatisation complexes, gérer vos incidents comme un chef et garder un œil sur tous vos logs. Tracecat est basé sur des technos open source robustes comme Apache Flink pour l’orchestration et Quickwit pour le stockage des logs et ça a surtout été conçu par des pro de la sécu, qui en ont eu marre de se taper des usines à gaz hors de prix et pas adaptées à leurs besoins. Du coup, ils ont développé leur propre outil, simple mais puissant, avec une UX aux petits oignons pour que même votre grand-mère puisse automatiser la chasse aux menaces. Bon ok, j’exagère un peu, mamie est plutôt experte en chasse aux mauvaises herbes…
Trêve de plaisanterie, si vous voulez voir Tracecat en action, je vous invite à tester ce tutoriel. Vous apprendrez à automatiser une investigation d’email de phishing en un clin d’œil, en extrayant les URLs avec ChatGPT, en analysant leur réputation, en labellisant le niveau de menace, et en générant un joli rapport dans un cas.
Autre bon point (parce que je sais que vous aimez ça) : Tracecat est entièrement auto hébergeable. Vous pouvez l’installer en local sur votre laptop, dans le cloud ou dans un datacenter, bref où vous voulez. Vous gardez ainsi le contrôle total de vos données et de votre infra. Et si un jour vous avez besoin de plus de puissance, pas de panique, l’éditeur propose une version distribuée payante qui scale à l’infini et au-delà.
Alors oui, Tracecat n’est pas (encore) un SIEM à part entière. Mais justement, c’est sa force ! Il se concentre sur l’automatisation et l’orchestration, ce qui lui permet d’être beaucoup plus flexible et facile à intégrer, que vous ayez un SIEM, plusieurs, ou même aucun. C’est vous qui voyez !
Bref, si vous en avez marre de vous coltiner des tâches répétitives et de courir après les incidents dans tous les sens, je vous conseille vraiment de creuser Tracecat.
Vous êtes passionné de cybersécurité ?
Si vous cherchez à approfondir vos connaissances en pentesting, ces 5 ressources incontournables vous fourniront des outils, des techniques, et des perspectives d'experts. Écrites et maintenues par des communautés d'experts en cybersécurité, elles constituent une véritable mine d'or pour ceux qui souhaitent développer des compétences avancées dans l'univers sans fin et impitoyable du pentesting.
Ce site offre des tutoriels détaillés et des guides pratiques sur diverses techniques de pentesting. Grâce à son approche structurée, il est idéal pour les apprenants de tous niveaux désireux de maîtriser les recettes du hacking.
Un espace dédié aux notes détaillées sur les exploits spécifiques. Ce site est une ressource précieuse pour comprendre les vulnérabilités courantes et les méthodes pour les exploiter efficacement.
Suivez les aventures de Swissky dans le monde de la sécurité de l'information. Le blog propose des articles passionnants et des études de cas qui dévoilent des stratégies de pentesting utilisées par un expert en la matière.
HackTricks se distingue par sa collection exhaustive de techniques de hacking et de pentesting. Organisé de manière claire, il est continuellement mis à jour pour refléter les dernières tendances et outils utilisés par les professionnels.
Hack-with-GithubCe dépôt GitHub est une collection de listes impressionnantes qui regroupent des ressources, des outils, et des articles éducatifs sur le hacking. C’est un point de départ idéal pour ceux qui cherchent à accéder à un large éventail de connaissances en cybersécurité.
Vous connaissez d'autres ressources intéressantes ? N'hésitez pas à les partager dans le canal #Cybersécurité de notre serveur Discord Geeek.org.
Une vulnérabilité critique de PHP sur Windows a été découverte sur toutes les versions de PHP de 5.x à 8.x. Sur Windows signifie qu'un server Web IIS avec le module php-cgi est vulnérable. Mais cela signifie aussi que les utilisateurs de XAMPP sont vulnérables. De plus il est important de savoir que si cette vulnérabilité est liée à php-cgi elle peut malgré tout être exploitée en dehors su mode cgi si les exécutables php.exe ou php-cgi.exe sont accessibles au serveur web.
Cette vulnérabilité est estampillée CVE-2024-4577. Elle existe sur Windows car si le système est configuré pour utiliser certaines pages de codes, il peut utiliser le comportement « Best-Fit » pour remplacer les caractères dans la ligne de commande donnée aux fonctions de l'API Win32. Le module PHP CGI peut alors interpréter à tort ces caractères comme des options PHP, ce qui peut permettre à un utilisateur malveillant de transmettre des options au binaire PHP en cours d'exécution, et ainsi de révéler le code source des scripts, d'exécuter du code PHP arbitraire sur le serveur, etc.
Cette vulnérabilité est exploitable via la simple insertion d’un caractère « Soft Hyphen » dans les paramètres d’une URL. Ce caractère est converti automatiquement en trait d’union classique via la fonctionnalité « Best-Fit » de Windows. Ce qui permet de contourner un mécanisme de vérification de PHP, et ainsi lui faire exécuter du code via l’exécutable « php.exe ».
Une URL attaquante peut-être repérée par la présence d’un caractère « Soft-Hyphen » dedans, caracère dont l'encodage est %ad.
Le site beaglesecurity.com précise qu'à l'heure actuelle, il a été confirmé qu'un attaquant non autorisé peut exécuter du code arbitraire sur des serveurs distants exécutant Windows dans les paramètres régionaux suivants :
Pour Windows exécuté dans d'autres langues telles que l'anglais, le coréen et l'Europe occidentale, la diversité des scénarios d'utilisation de PHP rend difficile l'énumération et l'élimination de toutes les voies d'exploitation potentielles.
Pour se protéger de cette vulnérabilité, les administrateurs doivent mettre leur PHP à jour sur leurs systèmes. Mais s'ils ne peuvent pas le faire, par exemple en étant obligés de travailler avec un PHP 5.x qui n'est plus maintenu, beaglesecurity.com suggère une réécriture d'URL comme mesure d'atténuation :
RewriteEngine On
RewriteCond %{QUERY_STRING} ^%ad [NC]
RewriteRule .? - [F,L]
Reko est une boîte à outils complète qui va vous permettre de décortiquer les binaires et de les traduire en langages de plus haut niveau, que vous soyez sur Windows, Linux ou Mac (c’est codé en .NET).
Ses développeurs ont pensé à tout puisque vous avez le choix entre une interface graphique super intuitive pour les novices, et une interface en ligne de commande pour les pros du terminal qui aiment se la jouer old school.
Reko embarque aussi une bibliothèque qui gère un tas d’architectures processeur (x86, 68k, PowerPC, ARM, MIPS, Z80…), de formats de fichiers binaires (MZ, ELF, AmigaOS Hunk, Classic MacOS…) et de systèmes d’exploitation. Il peut même lancer automatiquement des scripts de décompression écrits en OllyScript.
Génial pour comprendre comment fonctionne un programme et faire un peu de reverse engineering pour se détendre.
Les ransomwares, ces programmes nuisibles qui prennent vos précieux fichiers en otage contre une rançon, font trembler pas mal de monde, même les plus expérimentés. Mais c’était sans compter sur RansomLord qui pourrait peut-être bien vous sauver la mise si vous avez été infecté.
Cet outil open source, conçu par John Page (alias hyp3rlinx), a pour mission de mettre des bâtons dans les roues des cybercriminels en exploitant les failles de sécurité présentes dans le code de ces virus modernes. Et on parle quand même de ransomwares assez balaises comme Conti, REvil ou LockBit, mais aussi de nouveaux venus comme StopCrypt, RisePro, RuRansom, MoneyMessage, CryptoFortress et Onyx.
Pour réussir cet exploit (sans mauvais jeu de mot), RansomLord génère des fichiers « DLL » qui se font passer pour des fichiers légitimes dont les rançongiciels ont besoin. En réalité, ces DLL sont remplis de code malicieux qui court-circuite le processus de chiffrement et met fin à la carrière du malware avant même qu’il n’ait pu crier « Bitcoin » !
Le plus impressionnant, c’est que RansomLord est capable de cibler spécifiquement les rançongiciels qui menacent votre entreprise ou votre secteur d’activité grâce à sa base de données de plus de 49 familles de ransomwares. Comme ça, il vous concocte le DLL parfait pour mettre hors d’état de nuire ces logiciels du démon.
Cette dernière version 3 de RansomLord intègre également une fonction de journalisation qui enregistre le hash SHA256 et le chemin d’accès complet du malware intercepté. Comme ça, vous pouvez garder une trace de l’attaque et communiquer ces détails à des experts cyber qui viendraient mener l’enquête ensuite.
Respect à hyp3rlinx pour cette trouvaille ingénieuse ! Et pour télécharger RansomLord v3 c’est par ici.
Vous pensiez être tranquille chez vous, à l’abri des regards indiscrets et bien désolé de casser l’ambiance, mais j’ai une mauvaise nouvelle pour vous : votre box Wi-Fi vous espionne ! Enfin, pas directement, hein, mais figurez-vous que des chercheurs en sécurité ont trouvé le moyen de vous géolocaliser en douce, simplement en capturant l’identifiant unique de votre routeur appelé également BSSID (Basic Service Set Identifier).
En effet, il existe des systèmes de géolocalisation par Wi-Fi (WPS – Wi-Fi Positioning System), comme celui d’Apple, qui utilisent les BSSID comme balises pour vous localiser. En gros, dès qu’un iPhone ou un Mac capte votre réseau WiFi, le BSSID de celui-ci et votre position sont envoyés directement dans la base de données d’Apple. Et après, n’importe qui peut interroger ce WPS pour savoir où vous êtes sans avoir besoin d’être un hacker professionnel… il suffit juste de connaître l’astuce.
Cette équipe de chercheur a donc démontré la vulnérabilité principale de ce système en développant une attaque permettant de collecter des millions de BSSID géolocalisés sans avoir besoin d’autorisation. Leur méthode est simple : ils bombardent le WPS d’Apple avec des BSSID générés au hasard, en se basant sur des plages d’adresses MAC officielles et le système répond en donnant la localisation du BSSID et, très souvent, les coordonnées d’environ 400 autres BSSID à proximité.
En un an, ils ont ainsi réussi à constituer une base de données impressionnante : plus de 2 milliards de BSSID, répartis partout dans le monde ! Même en Antarctique ou sur l’île isolée de Tristan da Cunha, il n’y a pas moyen d’y échapper. Le seul endroit qui résiste encore est la Chine continentale. On suppose que le gouvernement là bas a mis en place des restrictions légales pour éviter cela.
Mais le pire, c’est que lorsqu’ils ont suivi les routeurs Wi-Fi nomades, ils ont découvert que 76% de ces appareils pouvaient être traqués sur des distances considérables, soit en moyenne 100 kilomètres ! Ça permet comme ça de suivre les déplacement des utilisateurs qui se promènent avec leur routeur portable.
Alors pourquoi quelqu’un s’intéresserait à votre position ? Hé bien cette technique pourrait être utilisé par un harceleur pour vous suivre à distance ou par les gouvernements pour connaitre vos aller-retours. Mais ça permet aussi de suivre les mouvements dans des zones de conflit.
Alors que faire pour empêcher ça ?? Premièrement, il faudrait qu’Apple et les autres entreprises cessent de distribuer nos BSSID si librement. Une limitation du nombre de requêtes et un meilleur filtrage seraient un bon point de départ. Le top serait que les fabricants de routeurs implémentent une randomisation des BSSID, comme c’est déjà le cas sur les appareils Apple quand ils sont en mode hotspot. SpaceX a d’ailleurs déjà montré l’exemple avec ses derniers modèles Starlink. Ce serait bien que les autres suivent le mouvement maintenant.
En attendant, si vous tenez à votre vie privée, le seul truc à faire est de changer régulièrement de matériel, surtout quand vous vous déplacez et d’éviter de transporter le même routeur du travail à la maison ou de l’appartement au camping-car. Et si vous êtes un peu bricoleur et que vous avez un accès root à votre routeur, sachez qu’il est possible de forcer le changement de BSSID à chaque redémarrage en modifiant la configuration de hostapd.
Mais bon, il est clair qu’il y a un sacré risque et des questions éthiques qui se posent sur ces divulguation de nos localisations sans notre consentement.
Pour plus de détails, vous pouvez consulter l’étude complète sur arXiv.
Mauvaise nouvelle, les derniers modèles de Tesla ne sont pas épargnés par les voleurs.
Comment ça ? Et bien ces derniers utilisent une technique d’attaque relais pour duper votre voiture en captant le signal de votre clé ou de votre smartphone (si vous utilisez l’app Tesla) et cela même si vous êtes à des dizaines de mètres. Ensuite, ils relaient ce signal jusqu’à votre caisse garée gentiment devant chez vous et là, surprise, la voiture croit que vous êtes à côté avec la clé et hop, elle se déverrouille en moins de deux.
Alors ce genre d’attaques, c’est pas nouveau et la techno Ultra-Wideband, ça devait justement empêcher ça… Mais c’était sans compter sur les chercheurs chinois de GoGoByte ont réussi à pirater une Tesla Model 3 flambant neuve avec du matos radio à moins de 100 balles. Ils ont ainsi pu déverrouiller la voiture et même la démarrer en quelques secondes, et ce jusqu’à une distance de 5 mètres. Une démo de l’attaque est visible en vidéo dans l’article de Wired.
Pourtant, Tesla avait vanté les mérites de l’Ultra-Wideband, censée empêcher ces attaques relais grâce à une mesure ultra-précise de la distance entre la clé et la voiture, mais visiblement, c’est pas encore au point… Et quand les chercheurs ont signalé la faille, Tesla leur a répondu un truc du genre « Ouais, on bosse encore dessus pour améliorer la fiabilité. Pour l’instant c’est normal que ça marche pas« . C’est pas sérieux.
La seule parade pour vous protéger de ça, c’est soit d’avoir une caisse pourrie que personne ne veut voler, soit c’est d’activer le code PIN (désactivé par défaut) pour autoriser le démarrage. Pour l’activer, appuyez sur « Contrôles » > « Sécurité » > « Code PIN pour la conduite ». Vous serez alors invité à créer votre code de vérification à 4 chiffres. Validez, et ne l’oubliez pas !
Bien sûr, Tesla n’est pas le seul constructeur à s’être planté car d’autres marques ont également adopté l’Ultra-Wideband et sont donc tout aussi vulnérables aux attaques relais. Après faut pas oublier que grâce GPS intégré, les Tesla sont statistiquement moins volées que les autres bagnoles même si certains réseaux mafieux les ciblent quand même pour les pièces détachées.
En attendant, soyez vigilants, et le soir, emmenez votre clé le plus loin possible de votre véhicule au lieu de les laisser trainer dans l’entrée de la maison. Vous pouvez même opter pour une petite boite qui fera office de cage de faraday (lien affilié), histoire de bloquer les ondes de la clé.
La bibliothèque PDF.js est une bibliothèque écrite en JavaScript, développée par Mozilla, qui permet de visualiser des fichiers PDF. Une faille vient d'y être découverte qui permet l'exécution de code arbitraire. Comme quoi il n'y a pas que C et C++ pour créer ce genre de souci. La vulnérabilité est estampillée CVE-2024-476 et est décrite ainsi : Une vérification de type manquait lors de la gestion des polices dans PDF.js, ce qui permettrait l'exécution arbitraire de JavaScript dans le contexte PDF.js.
La bibliothèque PDF.js est très largement utilisée. Tout d'abord elle l'est dans Firefox et Thunderbird. Ce qui veut dire qu'un utlisateur peut-être attaqué simplement en visualisant un PDF malveillant dans son navigateur ou dans Thinderbird après l'avoir reçu en fichier attaché à un mail. PDF.js se trouve aussi intégrée dans de nombreuses application Web, dans le framework Electron, dans un module Node appelé pdfjs-dist, avec environ 2,7 millions de téléchargements hebdomadaires, pour ne donner que ces exemples.
Pour se protéger de cette vulnérabilité, il faut utiliser une version de PDF.js égale ou supérieure à 4.2.67. C'est-à-dire Firefox 126 au moins et Thunderbird 115.11 au moins. Les développeurs, quant à eux, compte tenu du fait que PDF.js est très utilisée dans moult bibliothèques et frameworks, doivent être particulièrement attentifs à ne pas intégrer à leurs applications, involontairement ou indirectement, une version vulnérable de la bibliothèque.
Ce sont des chercheurs en sécurité de Codean Labs qui ont découvert cette vulnérabilité. Ils l'expliquent techniquement en détail dans un billet très intéressant. En résumé, lorsqu'un document PDF embarque une police de caractères spéciale, PDF.js ne peut pas la rendre directement. Au lieu de cela, la bibliothèque convertit la description des caractères de la police en instructions pour les dessiner. C'est dans cette description de la police qu'un attaquant peut placer du code arbitraire et ainsi forger un document PDF malveillant.
Le billet des chercheurs de Codean Labs contient un lien vers un tel document PDF, à titre de preuve de concept.
La bibliothèque JavaScript de visualisation de PDF développée par Mozilla, connue sous le nom de PDF.js, est au centre d’une nouvelle découverte de sécurité assez préoccupante ! Une faille dans le code de rendu des polices permet à un attaquant d’exécuter du JavaScript arbitraire simplement en ouvrant un PDF malveillant. Et attention, cela affecte toutes les applications utilisant PDF.js, y compris Firefox, certains éditeurs de code et navigateurs de fichiers. Aïe aïe aïe !
En gros, lorsque PDF.js affiche une police spéciale, il convertit la description des glyphes en instructions pour dessiner ces glyphes. Cependant, un hacker mal intentionné peut injecter son propre code dans la description de la police, résultant en l’exécution de ce code par le navigateur.
La vulnérabilité, estampillée CVE-2024-4367, repose donc sur une manipulation des commandes de rendu de polices. La commande transform utilisant fontMatrix est exploitée pour insérer du code JavaScript puis PDF.js compile dynamiquement les descriptions de polices pour optimiser les performances. Normalement, ce tableau contient uniquement des nombres, toutefois, cette faille permet d’y injecter des chaînes de caractères. Et en insérant du code JavaScript dans ce tableau, il est possible de déclencher du code lors du rendu d’une police.
Un exploit bien forgé permettrait diverses attaques telles que l’exécution de code arbitraire, le vol de données, ou même la prise de contrôle complète du système via des attaques XSS ou l’exécution de code natif. La vulnérabilité touche actuellement les versions de PDF.js inférieures à 4.2.67.
Selon les chercheurs de Codean Labs, cette vulnérabilité affecte non seulement les utilisateurs de Firefox (<126), mais également de nombreuses applications web et basées sur Electron utilisant indirectement PDF.js pour la fonctionnalité d’aperçu. Ils soulignent également que cette faille exploite une partie spécifique du code de rendu de la police, un segment que les développeurs devraient vérifier attentivement.
Bref, pensez à mettre à jour PDF.js vers une version supérieure à la 4.2.67 et à mettre à jour vos outils vers des version égales ou supérieures à Firefox 126, Firefox ESR 115.11 et Thunderbird 115.11.
Imaginez télécharger un modèle d’IA apparemment inoffensif sur une plateforme de confiance comme Hugging Face et découvrir qu’il ouvre en fait une porte dérobée permettant à des attaquants de prendre le contrôle de votre système ! C’est le risque que pose la faille critique CVE-2024-34359, découverte récemment dans le célèbre package Python llama-cpp-python.
Ce package très utilisé permet d’intégrer facilement des modèles d’IA écrits en C++ dans des projets Python. Pour cela, il utilise la bibliothèque de templates Jinja2 qui est capable de faire un rendu dynamique du HTML à partir des données. Une lib surpuissante mais potentiellement risquée si c’est mal configuré !
Et c’est justement là que le bât blesse. Le package llama-cpp-python utilise Jinja2 pour traiter les métadonnées des modèles au format .gguf, mais sans activer les protections nécessaires comme le bac à sable. Du coup, en injectant un template malicieux dans les métadonnées d’un modèle, un pirate peut exécuter du code arbitraire sur le système hôte !
Les dégâts potentiels sont énormes : vol de données, prise de contrôle totale, interruption de services… Surtout que les systèmes IA manipulent souvent des données ultra sensibles. Et vu la popularité de llama-cpp-python, l’impact est massif : plus de 6000 modèles vulnérables rien que sur Hugging Face ! Selon un article détaillé de Checkmarx, cette faille permet des attaques de la chaîne d’approvisionnement, où un acteur malveillant peut injecter du code dans un modèle téléchargé et redistribuer ce modèle compromis pour attaquer les développeurs d’IA.
Découverte par Patrick Peng (alias retro0reg), cette vulnérabilité repose comme je vous l’expliquait sur une mauvaise implémentation du moteur de templates. Cette faille de score CVSS critique de 9.7, permet l’injection de template côté serveur, conduisant à une exécution de code à distance (RCE). Un proof-of-concept a même été publié sur Hugging Face, démontrant comment un modèle compromis peut exécuter du code arbitraire lorsqu’il est chargé ou lors d’une session de chat.
Cela met en lumière un problème plus large : la sécurité des systèmes d’IA est intimement liée à celle de leur chaîne logicielle. Une vulnérabilité dans une dépendance tierce peut compromettre tout un système. Il faut donc redoubler de vigilance à tous les niveaux. Les modèles d’IA étant souvent utilisés au sein de projets critiques et manipulant des volumes importants de données sensibles, la moindre faille peut avoir des conséquences catastrophiques.
Mais rassurez-vous, une solution existe ! La version 0.2.72 de llama-cpp-python corrige le tir en ajoutant une validation des entrées et un bac à sable robuste autour de Jinja2. Si vous utilisez une version antérieure, la mise à jour est plus que recommandée.
Comment savoir si vos modèles sont touchés ? Regardez s’ils utilisent :
Si c’est le cas, passez immédiatement à la 0.2.72 ! Vous pouvez aussi auditer le code de vos modèles et regarder les permissions avec vos yeux de lynx.
Bref, comme d’hab, une petite faille peut vite tourner au désastre
Vous utilisez probablement le GPS tous les jours sans y penser, que ce soit sur votre smartphone, dans votre voiture ou même dans un avion. Cette technologie de positionnement par satellites, et ses cousines comme GLONASS, Galileo et Beidou, sont devenues tellement courantes qu’on en oublierait presque qu’elles sont vulnérables. Et quand je dis vulnérables, je ne parle pas d’un bug ou d’un plantage logiciel, non. Je parle de menaces bien réelles qui peuvent rendre votre GPS complètement dingue !
Vous voyez, le GPS repose sur des signaux radio ultra faibles émis par des satellites à des milliers de kilomètres. Pour vous donner une idée, c’est un peu comme si vous essayiez d’entendre quelqu’un vous chuchoter quelque chose depuis l’autre bout d’un stade pendant un concert de rock ! Autant dire que c’est le bordel pour entendre quoi que ce soit.
Du coup, pas besoin d’être un génie pour comprendre qu’il est facile de noyer le signal GPS dans un gros brouhaha radio. C’est ce qu’on appelle le brouillage. Avec quelques watts seulement, on peut rendre le GPS inutilisable dans un rayon de plusieurs kilomètres ! Pas besoin d’un doctorat en électronique, un petit bricolage fait maison peut suffire. Évidemment, c’est complètement illégal, mais ça n’empêche pas certains de s’amuser à le faire.
Mais pourquoi brouiller le GPS ? Eh bien, en cas de conflit par exemple, c’est bien pratique pour empêcher l’ennemi de savoir où il est et où tirer ses missiles et ses drones. C’est d’ailleurs ce qui se passe en ce moment autour de l’Ukraine. Des zones de brouillage apparaissent régulièrement, rendant la navigation aérienne hasardeuse.
Mais le brouillage peut aussi servir à des fins moins guerrières. Tenez, en Chine, il paraît que des boîtes de pub brouillent le GPS des drones de leurs concurrents pendant des shows aériens pour leur faire perdre le contrôle et ruiner le spectacle ! De la concurrence de haut vol, sans mauvais jeu de mots.
Et les dégâts collatéraux dans tout ça ?
Parce que mine de rien, on ne dépend pas du GPS uniquement pour savoir si on doit tourner à gauche ou à droite au prochain croisement. Les réseaux de téléphonie mobile s’en servent également pour synchroniser leurs antennes relais. Ainsi, quand le GPS déconne, c’est toute la 4G/5G qui peut partir en vrille !
Mais si vous trouvez que le brouillage c’est déjà costaud, attendez de découvrir le leurrage ! Là, on passe au niveau supérieur. Le leurrage, c’est carrément une technique qui permet d’envoyer de faux signaux GPS pour faire croire à votre récepteur qu’il est ailleurs. Un peu comme si un petit rigolo changeait les panneaux sur la route pour vous faire croire que vous allez vers le sud de la France, alors que vous roulez vers le Nord.
Alors bien sûr, générer un faux signal GPS crédible, c’est autrement plus coton que simplement brouiller la fréquence. Il faut recréer toute une constellation de satellites virtuels avec les bons timings, les bonnes orbites, cohérents entre eux. Un vrai boulot d’orfèvre ! Mais une fois que c’est au point, imaginez le potentiel de nuisance ! Vous pourriez faire atterrir un avion de ligne à côté de la piste. Téléguidez un drone militaire en territoire ennemi ou envoyer un navire s’échouer sur des récifs. Ça fait froid dans le dos…
Heureusement, il existe des parades pour durcir les récepteurs GPS contre ces attaques : Utiliser des antennes directionnelles qui filtrent les signaux ne venant pas du ciel. Analyser en détail les signaux pour repérer les incohérences et les satellites suspects. Recouper avec d’autres capteurs comme les centrales inertielles. La version militaire du GPS dispose déjà de pas mal de protections dont du chiffrement.
Mais pour le GPS grand public dans nos smartphones et nos bagnoles, on est encore loin du compte. À part quelques modèles haut de gamme, la plupart gobent à peu près tout et n’importe quoi tant que ça ressemble à un signal GPS et il va falloir que ça change, et vite !
Scott Manley, un expert en la matière que vous connaissez peut-être pour ses vidéos sur les fusées, aborde en profondeur ces questions dans une vidéo bien documentée sur le sujet. Non seulement il analyse les risques de brouillage et de leurrage, mais il examine aussi les contre-mesures possibles, comme l’utilisation d’antennes directionnelles et l’analyse détaillée des signaux pour repérer d’éventuelles incohérences. Je vous mets la vidéo ici, ça vaut le coup d’œil :
On a beau être fan des nouvelles technos qui nous rendent la vie plus facile, faut quand même garder à l’esprit qu’elles ont leurs failles et leurs limites. Ça ne veut pas dire qu’il faut revenir à la bonne vieille carte Michelin et à la boussole, mais un petit cours de rattrapage en navigation à l’ancienne, ça ne ferait pas de mal !
Perso, la prochaine fois que mon appli Waze me dira de tourner à gauche direct un lac, je me méfierai…
Les chasseurs de bugs et les experts en sécurité web sont toujours à la recherche d’outils pour optimiser leur boulot et dénicher des vulnérabilités et justement, il y a un nouveau venu qui risque bien de faire parler de lui : WebCopilot !
Open source, cet outil d’automatisation combine les fonctionnalités de dizaines d’autres outils réputés comme Subfinder, Nuclei, Amass ou encore SQLMap histoire de vous faire gagner un temps précieux en prenant en charge de A à Z les tâches répétitives et chronophages de l’énumération des sous-domaines, du filtrage des paramètres à risque et du scan des vulnérabilités les plus critiques.
Pour cela, il suffit de lancer WebCopilot sur un domaine cible et il s’occupe de tout :
Vous obtiendrez ensuite un rapport complet qui répertoriera tous les points d’entrée intéressants.
──────▄▀▄─────▄▀▄
─────▄█░░▀▀▀▀▀░░█▄
─▄▄──█░░░░░░░░░░░█──▄▄
█▄▄█─█░░▀░░┬░░▀░░█─█▄▄█
██╗░░░░░░░██╗███████╗██████╗░░█████╗░░█████╗░██████╗░██╗██╗░░░░░░█████╗░████████╗
░██║░░██╗░░██║██╔════╝██╔══██╗██╔══██╗██╔══██╗██╔══██╗██║██║░░░░░██╔══██╗╚══██╔══╝
░╚██╗████╗██╔╝█████╗░░██████╦╝██║░░╚═╝██║░░██║██████╔╝██║██║░░░░░██║░░██║░░░██║░░░
░░████╔═████║░██╔══╝░░██╔══██╗██║░░██╗██║░░██║██╔═══╝░██║██║░░░░░██║░░██║░░░██║░░░
░░╚██╔╝░╚██╔╝░███████╗██████╦╝╚█████╔╝╚█████╔╝██║░░░░░██║███████╗╚█████╔╝░░░██║░░░
░░░╚═╝░░░╚═╝░░╚══════╝╚═════╝░░╚════╝░░╚════╝░╚═╝░░░░░╚═╝╚══════╝░╚════╝░░░░╚═╝░░░
[●] @h4r5h1t.hrs | G!2m0
Usage:
webcopilot -d <target>
webcopilot -d <target> -s
webcopilot [-d target] [-o output destination] [-t threads] [-b blind server URL] [-x exclude domains]
Flags:
-d Add your target [Requried]
-o To save outputs in folder [Default: domain.com]
-t Number of threads [Default: 100]
-b Add your server for BXSS [Default: False]
-x Exclude out of scope domains [Default: False]
-s Run only Subdomain Enumeration [Default: False]
-h Show this help message
Example: webcopilot -d domain.com -o domain -t 333 -x exclude.txt -b testServer.xss
Use https://xsshunter.com/ or https://interact.projectdiscovery.io/ to get your serverFini les heures passées à lancer des dizaines de commandes et à corréler les résultats comme ça, vous pourrez vous concentrer sur l’analyse des vulnérabilités.
Côté utilisation, c’est ultra simple. Il suffit de cloner le repo Github, d’installer les dépendances…
git clone https://github.com/h4r5h1t/webcopilot && cd webcopilot/ && chmod +x webcopilot install.sh && mv webcopilot /usr/bin/ && ./install.sh…et vous pouvez lancer des scans en une seule commande :
webcopilot -d domain.com -o rapport
Et si vous voulez pousser la configuration plus loin, pas de problème ! WebCopilot propose tout un tas d’options bien pratiques comme :
-s pour ne faire que de l’énumération de sous-domaines -x pour exclure certains domaines du scan -b pour spécifier un serveur « blind XSS » externe -t pour régler le nombre de threads et accélérer les scansBref, c’est l’outil pratique pour industrialiser encore un peu plus votre processus de bug bounty.
Vous pensiez que les vieux Windows étaient devenus inoffensifs avec le temps ? Détrompez-vous ! Le bidouilleur Eric Parker s’est récemment amusé à exposer directement sur Internet des machines tournant sous Windows XP, 2000 et 98, sans aucune protection… et le résultat est franchement flippant.
Parce que oui, même en 2024, quand on branche en direct un vieux Windows sur le net, sans pare-feu matériel pour filtrer les connexions non désirées, c’est le scénario catastrophe assuré. Votre antiquité numérique se retrouve à poil sur les réseaux, à la merci du premier script kiddie venu. Et ça ne fera pas long feu avant que votre bécane ne soit infestée de malwares !
Commençons par Windows 98. Lors de son test, Eric a eu beau patienter, rien ne s’est passé. Pas l’ombre d’un ver, backdoor ou cheval de Troie à l’horizon. Il semblerait que la vieille bécane bénéficie d’une forme de « sécurité par l’obscurité ». Avec si peu de Windows 98 encore connectés, les hackers ne prennent plus la peine d’écrire des exploits dédiés. Ouf !
Passons à Windows 2000. Là, c’est une tout autre histoire ! À peine connecté, les scans de ports ont révélé la présence de SMB, le protocole d’échange de fichiers, réputé pour ses failles béantes. Et quelques minutes plus tard, patatra ! Un bel écran bleu, suivi d’un redémarrage en boucle. En inspectant le système, Eric a découvert une backdoor signée « Shang Xen Smartphone Technology », des modifications de fichiers systèmes et même un mystérieux exécutable caché dans un dossier Temp. De quoi transformer la machine en parfait zombie à la solde des pirates !
Et Windows XP dans tout ça ? Pareil, 10 minutes chrono pour chopper un premier trojan « conhost.exe ». S’en sont suivis la création d’un compte administrateur, l’apparition d’un serveur FTP ouvert aux quatre vents, et tout un tas de saletés en provenance de Russie, le tout bien planqué dans le système. En bonus, un malware s’est même amusé à éjecter Malwarebytes, l’anti-virus qu’Eric avait installé. Bref, un joyeux bazar et une prise de contrôle totale de la machine, malgré un semblant de résistance du pare-feu intégré de XP.
Alors oui, ces expériences peuvent paraître un peu artificielles. Après tout, qui serait assez fou pour connecter directement un Windows préhistorique sur le net aujourd’hui ? Mais elles illustrent bien les progrès en matière de sécurité, et l’importance cruciale des protections réseau modernes (merci le NAT et les pare-feu !).
Et la morale de l’histoire ?
Primo, ne jamais sous-estimer les vieux Windows, ils sont toujours aussi vulnérables qu’à l’époque. Deuxio, faites tourner vos antiquités dans une VM ou un réseau isolé si vous y tenez. Tertio, soyez vigilants même sur les OS récents, les hackers affinent toujours leurs techniques pour exploiter la moindre faille.
Prenez soin de vos ordi, et à demain 🙂
Vous débarquez dans votre laverie automatique préférée, les bras chargés de linge sale, et là, magie magie, grâce à une petite bidouille bien sentie, vous pouvez lancer une lessive gratuite, sans débourser un centime. C’est le rêve, non ? Eh bien, figurez-vous que c’est exactement ce qu’ont réussi à faire des étudiants un peu hackers sur les bords.
Alexander Sherbrooke et Iakov Taranenko, 2 petits génies de l’université de Santa Cruz, ont découvert une faille de sécurité dans le système des laveries connectées de CSC ServiceWorks. Je vous parle quand même d’un réseau de plus d’un million de machines à laver installées un peu partout dans le monde, des campus universitaires aux hôtels en passant par les résidences. Bref, un sacré parc de machines qui tournent à plein régime.
Pour y arriver, ils ont bidouillél’API utilisée par l’appli mobile CSC Go. Pour ceux qui ne sont pas familiers avec le jargon technique, une API c’est un truc qui permet à des applis et des appareils de communiquer entre eux au travers du réseau. Dans le cas présent, l’appli CSC Go permet aux utilisateurs de recharger leur compte, de payer et de lancer un cycle de lavage sur une machine proche. Cependant, les serveurs de CSC ne vérifiaient pas correctement qui avait le droit de faire quoi. N’importe qui peut entrer et faire ce qu’il veut. Et c’est exactement ce qu’ont fait nos deux compères.
En analysant le trafic réseau pendant qu’ils utilisaient l’appli CSC Go, Alexander et Iakov ont réussi à court-circuiter les contrôles de sécurité pour envoyer des commandes directement aux serveurs de CSC. Résultat des courses : ils ont pu modifier leur solde, ajouter des millions de dollars virtuels pour le budget lessive, et même localiser et interagir avec toutes les machines du réseau CSC ServiceWorks.
Bien sûr, avoir la lessive gratuite, c’est cool. Mais Alexander et Iakov ont surtout voulu montrer les dangers d’avoir des appareils connectés à Internet sans une sécurité au top. Le pire dans l’histoire, c’est qu’ils ont prévenu CSC ServiceWorks de la faille à plusieurs reprises depuis janvier, mais la société n’a jamais répondu. Pourtant, un simple petit formulaire de contact pour signaler les problèmes de sécurité, ça ne coûte pas bien cher et ça peut éviter de gros dégâts… J’espère juste que ces derniers ne préparent pas une action en justice…
Évidemment, bidouiller des machines à laver pour avoir des lessives gratuites, ce n’est pas l’attaque du siècle mais cela montre qu’il y a encore du boulot côté sécurité pour tous ces objets connectés. Alors pour se protéger de telles vulnérabilités, il est crucial de sécuriser les API en effectuant la vérification des commandes côté serveur plutôt que côté client et en utilisant des tokens d’authentification sécurisés.
En attendant, si vous croisez Alexander et Iakov sur leur campus, vous pouvez leur donner vos slips sales, ils savent y faire pour vous les rendre plus blanc que blanc. ^^