Android: 2 applications de Google play vous hack a votre insus

Android : deux vraies-fausses apps de sécurité éjectées du Google Play

Sécurité : D'apparence parfaitement légitime SuperClean et DroidCleaner multiplient les attaques et peuvent également contaminer un ordinateur si un smartphone contaminé y est connecté.

Si la plupart des applications Android piégées pullulent dans les markets alternatifs, la boutique officielle Google Play(passoire a virus),semble être de moins en moins hermétique aux malwares.

Derniers exemples en date signalés par Kaspersky : SuperClean et DroidCleaner. D'apparence parfaitement légitime et proposant des outils de sécurité pour l'OS au robot vert (sic), ces deux applications sont en réalité de vraies plaies.

Une fois installées, elles sont capables de multiplier les attaques : données personnelles détournées vers un serveur distant, SMS surtaxés expédiés discrètement, suppression de contenus, ouverture de liens dans le navigateur...

Pire, si un smartphone infecté est relié en USB à un PC, ce dernier peut également être contaminé. Un malware permettant d'enregistrer les conversations vocales réalisées sur le PC peuvent alors être enregistrées et envoyées.

Les deux applications ont été éjectées du Google Play mais Kaspersky s'étonne de son degré de sophistication.

REF.:

Failles: Faut désactiver l'UPnP(c'est parce que mon imprimante fait pip pip )

Protocole UPnP : le Cert-US préconise sa désactivation

Sécurité : En raison de l’existence de failles de sécurité dans un protocole réseau, l’US-CERT recommande de désactiver l’UPnP (Universal Plug and Play). Près de 7 000 produits ont été identifiés comme vulnérables.

Ce n’est cette fois pas Java qui fait l’objet d’une alerte de sécurité de l’US-CERT et d’une mise en garde appelant les utilisateurs à désactiver le fautif sur leur ordinateur. Non, c’est un protocole réseau qui est en cause : UPnP (Universal Plug and Play).

Ce protocole qui permet de connecter facilement un appareil (imprimante, routeurs, etc.) comprend plusieurs vulnérabilités de sécurité. Ce sont des chercheurs en sécurité de Rapid7 qui l’ont révélé dans un livre blanc, estimant que 40 à 50 millions d’appareils sont vulnérables à une intrusion. Plus de 1.500 constructeurs sont concernés d'après Rapid7 (6.900 produits identifiés comme vulnérables).

6900 produits identifiés

Les informations de ces chercheurs ont été prises très au sérieux par l’US-CERT, rattaché à la sécurité intérieure américaine, qui a donc publié une alerte. Le CERT qui précise que libupnp, le SDK Open Source pour les terminaux UPnP et exploité par un grand nombre de constructeurs, comprend de multiples vulnérabilités.

L’US-CERT demande aux vendeurs et développeurs concernés de passer à la version 1.6.18 de libupnp qui remédie à ces failles de sécurité. Pour les utilisateurs, lorsque c’est possible, la désactivation du protocole UPnP est préconisée - et des restrictions d'accès pour les protocoles SSDP et SOAP.

REF.:

Hacker: La nouvelle arme d'injection massive est la

HACKER OUVERT

DEVENIR UN HACKER EN DEUX CLICS

De petits logiciels proposent de pirater un site web en quelques minutes et récupérer e-mails, mots de passe, voire numéros de cartes bleues, ouvrant la voie à une dangereuse démocratisation du "hack".

SUR LE MÊME SUJET

• » CyFi, hackeuse de génie de 10 ans
• » "Comment devenir un hacker ?"
• » Qui sont les hackers de 2011 ?

Pirater n'importe quel site en deux clics et dix minutes ? C'est déjà possible.

De plus en plus de petits logiciels permettent aux pirates du dimanche de jouer au "hacker" véritable. Une démocratisation du piratage qui n'est pas sans risque. Récemment, Orange ou Sony ont été les illustres victimes de ces apprentis hackers.

Dans la pratique, le hacker en herbe télécharge gratuitement un simple logiciel, renseigne l'adresse d'un site web et clique pour lancer l'attaque. Après une dizaine de minutes, il récupère l'intégralité des bases de données du site à savoir, en fonction du site, des noms et prénoms, adresses e-mails, numéros de téléphone, mots de passe, voire numéros de cartes bleues.

Aucune connaissance technique nécessaire

"Le Nouvel Observateur" a pu voir à l'œuvre l'un de ces logiciels, dont le nom ne sera pas donné. Après quelques minutes d'attaque contre un site d'abonnements, le logiciel affiche une imposante liste de clients avec noms, adresses, e-mails et mots de passe cryptés. Bluffant ! D'un clic supplémentaire, le logiciel casse le cryptage et révèle tous les mots de passe. Inquiétant...

En quelques clics et sans aucune connaissance technique, le logiciel a pu récupérer nombre de données confidentielles du site (voir ci-dessous).

Ce type de piratage repose sur les "injections SQL", exploitations d'une faille de sécurité dans la base de données du site via de fausses requêtes en langage informatique SQL. Si un pirate-expert est capable de coder ces injections SQL les yeux fermés, le novice préfère passer par un logiciel qui fera tout ce travail automatiquement en enchaînant les fausses requêtes.

Des tâtonnements successifs qui finissent par payer mais qui ne fonctionne pas sur tous les sites.

"Des armes à la portée de tous"

"Les logiciels de piratage ont toujours existé, mais aujourd'hui ils se multiplient et sont accessibles facilement et gratuitement", note Damien Bancal, rédacteur en chef du site spécialisé en sécurité Zataz. "Ces véritables couteaux suisses numériques permettent de récupérer tout ce qui se trouve sur une base de données, mais aussi décryptent les mots de passe et proposent un accès à l'administration du site. Ce sont des armes à la portée de tous", poursuit-il.

Des outils de piratages livrés clef en main et largement utilisés. Ces "kits d'attaques" représentent désormais deux tiers des activités malveillantes, note l'entreprise de sécurité Symantec. Les désormais célèbres Anonymous ou Lulz Security (dit "LulzSec") ont régulièrement usé de ces logiciels pour récupérer d'importantes bases de données.

Et si jamais l'internaute se sent perdu, aucune crainte, les tutoriels se multiplient surYouTube pour expliquer, pas à pas, les différentes étapes du piratage.

Damien Bancal prévient toutefois les éventuels utilisateurs : "ces logiciels laissent beaucoup de traces pour l'administrateur du site", rappelant que l'utilisation de ce type de logiciel est illégale.

Des kits d'attaques

Mais au-delà de ces "petits" logiciels de piratage, il existe des versions beaucoup plus abouties et plus puissantes qui sont vendues dans un marché souterrain. Les prix pratiqués sont flous et varient entre 40 et 4.000 dollars. L'expert en sécurité chez Symantec, Laurent Heslault, parle d'un prix "moyen" autour de 700 à 800 dollars, support technique compris.

"Il y a un véritable marché pour ce type de logiciel", affirme l'expert. Les pirates novices usent ensuite de ces logiciels pour récupérer puis revendre "au marché noir" nombre d'informations issues des bases de données.

"Ces 'kits d'attaques' sont une tendance lourde de l'année 2011", poursuit-il. "Il y a encore un problème de prise de conscience du côté des entreprises", ajoute-t-il.

Même constat chez Damien Bancal qui lance : "l'injection SQL est la clef du web en 2011".

Des failles "facilement corrigeables"

Pour les administrateurs, le piratage n'est toutefois pas une fatalité. "Les injections SQL s'appuient sur des vulnérabilités énormes, conséquences de développements bâclés, mais sont facilement corrigeables", souligne Laurent Heslault.

"Le problème c'est qu'il suffit d'une page oubliée, d'un mauvais code, pour laisser une porte ouverte...", note Damien Bancal, qui plaide pour "avoir des gens capables de mettre les mains dans le cambouis du code".

Pour se protéger, Laurent Heslault conseille : "faire un audit du code du site, faire une recherche complète des vulnérabilités, voire installer une couche de protection supplémentaire".

Boris Manenti - Le Nouvel Observateur

REF.:

Faille crétique Java,faut tout désactiver !

Avis aux Geeks ,.............pas le troupeau:
En dépit d'une mise à jour logicielle d'urgence publié hier par Oracle, le département américain de la Sécurité intérieure est toujours conseiller les utilisateurs d'ordinateurs de désactiver Java sur leurs navigateurs Web, craignant qu'une vulnérabilité non corrigée reste.
Oracle a publié une mise à jour logicielle, dimanche, pour corriger une vulnérabilité critique dans Oracle Java 7 après l'EDS «Readiness Team Computer Emergency publié une semaine dernier avis recommandant aux utilisateurs de désactiver le plugin multi-plateforme sur les systèmes où il a été installé. La faille pourrait permettre à un attaquant à distance non authentifié d'exécuter du code arbitraire quand un ordinateur vulnérable visite un site Web qui héberge le code malveillant conçu pour tirer parti du trou.
 Apple a pris les devants via une mise à jour de son filtre anti-malware XProtect en désactivant Java sur les versions Mountain Lion et Lion d’OS X.

Donc voici comment faire :

Étape 1 : Pour désactiver Java dans Windows

• Fermer les navigateurs
• Ouvrir C:\Program files (x86)\Java\jre7\bin
• Chercher le fichier javacpl.exe et exécuter ce fichier en tant administrateur
• Choisir Avancé>Java par défaut des navigateurs
• Décocher tous les navigateurs
• Si un navigateur est grisé, il est possible de désactiver cette ligne en cliquant en même temps sur la barre espace.
• Appliquer en cliquant sur OK(ou bien aller directement dans java par le panneau de configuration)

Étape 2 : Désactiver l’installation de Java dans chaque navigateur (Peu importe l'OS)

• Firefox (actuellement : 15) : Outils > Modules complémentaires > Plugins > Désactiver tous les Plugins en relation avec Java
• Internet Explorer (actuellement : 9.0.9) : Gérer les modules complémentaires>Barre d’outils et extensions>Désactiver toutes les extensions en relation avec Oracle America Inc.
• Google chrome (actuellement : le 21.0.1180.83) : Dans chrome: taper   //chrome/extensions/ > Désactiver tous les Plugins en relation avec des Java
• Safari pour Windows (actuellement 5.1.5) : Préférence > Sécurité > Décocher Java
• Opera -> taper opera:plugins dans la barre d'url -> désactiver le plugin Java

Sachez qu'un patch non officiel est disponible sur demande pour tous ceux qui ont des applications critiques sur Java et qui ne peuvent pas s'en passer. La méthode la plus sage reste quand même la désactivation avant la mise à jour. (Qui n'arrivera possiblement pas avant le 16 octobre !!!)

REF.: http://korben.info/comment-desactiver-java.html

Nouvelle faille zéro-day dans Internet Explorer

Le 31 Dec 2012,

Sécurité : Cette vulnérabilité critique touche les versions 6, 7 et 8 du navigateur de Microsoft et permet une prise à contrôle à distance du poste infecté.Internet Explorer termine l'année criblé de faille. Mi-décembre, un spécialiste des données analytiques découvrait une vulnérabilité permettant de suivre les mouvements de la souris d’un internaute.

Présente dans toutes les versions du navigateur depuis IE 6 jusqu’au tout nouveau IE 10, elle représente un danger potentiel en cela qu’elle pourrait servir à enregistrer les données tapées sur un clavier virtuel dont se servent, par exemple, certaines banques pour permettre à leurs clients de se connecter à leur compte.

Aujourd'hui, c'est Microsoft lui même qui, à travers un bulletin officiel de sécurité, alerte ses utilisateurs. Les versions 6, 7 et 8 du navigateur sont touchées par une vulnérabilité critique actuellement exploitée (0-day). Les versions 9 et 10 ne seraient pas concernées. 

Comme d'habitude, le trou de sécurité permet une prise de contrôle à distance du poste infecté. Le problème se situe au niveau de la gestion de la mémoire et peut être exploitée via une page web piégée. Une fois le malware installé, la faille génèrerait de nouveaux liens pour contaminer d'autres postes.

Les utilisateurs concernés doivent donc se méfier des liens hypertexte présents dans des courriels d’expéditeurs inconnus. En attendant qu’un correctif soit disponible, Microsoft conseille de modifier les paramètres de sécurité du navigateur en les passant en vigilance haute afin de bloquer d’exécution de scripts ActiveX

REF.:

L'outil natif promis par Google pour débusquer les applications malicieuses n'aura pas d'intérêt ?

Android : des chercheurs allemands trouvent une nouvelle fois des failles béantes

Sécurité - La sécurité du système d'exploitation mobile Android continue de faire parler. Cette fois, des chercheurs allemands ont pu exploiter des négligences dans le code d'applications populaires.

Android serait victime de nouvelles failles, si l'on en croit des chercheurs allemands. La source est fiable, puisqu'il s'agit de chercheurs des universités de Hanovre et de Marbourg, en Allemagne.

Selon eux, 1024 applications, sur 13500 étudiées, ne géreraient pas correctement l'implémentation des fonctionnalités de sécurité type SSL et TLS. Elles seraient ainsi vulnérables aux attaques HDM (homme du milieu).

Données confidentielles en fuite

En clair, les données qui transitent entre l'application et le serveur du service peuvent être interceptées au moment de la transmission. Les chercheurs expliquent qu'en se connectant via un réseau local, ils ont pu exploiter les failles de 41 de ces applications sur Ice Cream Sandwich.

Ils ont ainsi pu récupérer des données confidentielles, voire particulièrement sensibles. Noms, emails, messages instantanés, données de comptes sur les réseaux sociaux, mais aussi numéros de comptes bancaires, de carte bleue ou de comptes Paypal.

Les applications, dont les noms n'ont pas été dévoilés par les chercheurs, sont parmi les plus populaires : elles ont été téléchargées entre 39,5 et 185 millions de fois sur le marché applicatif de Google.

Outil d'analyse du code à venir 

Concrètement, les chercheurs ont développé un outil d'exploitation des failles SSL qui a été testé sur 100 applications. Il est parvenu à en compromettre 41, ainsi qu'à se débarrasser à distance de la protection d'un antivirus.

"En manipulant les signatures de virus téléchargées lors de la mise-à-jour automatique d'un antivirus, nous avons pu neutraliser la protection ou même supprimer des applications au choix, y compris l'antivirus lui-même."

Les chercheurs signalent qu'ils distribueront bientôt un outil pour analyser le code des applications et mettre au jour les failles éventuelles. C'est un nouveau coup dur pour l'image d'Android, épinglé la semaine dernière par le FBI sur sa sécurité.(Comme Loozfon et de FinFisher capables de voler des données ou de permettre une prise de contrôle à distance du terminal;ou d'éviter les points d'accès non sécurisés,ou l'accès au boutiques tierces )

Dans un cas comme aujourd'hui, même l'outil natif promis par Google pour débusquer les applications malicieuses n'aura pas d'intérêt. Seule une politique plus stricte pour les applications du Google Play Store permettrait d'améliorer la situation.

Rappelons que contrairement à Apple, Google ne valide pas les applications avant leur mise en ligne dans sa boutique d'applications.

REF.:

Enfin,Java est exclus définitivement du Mac OS-X

Photo Reuters / Mario Anzuoni

Mac OS X

Apple supprime définitivement Java de ses navigateurs

BOSTON - Les utilisateurs d'ordinateurs Apple verront leur navigateur internet privé du logiciel Java d'Oracle lorsqu'ils installeront la dernière mise à jour en date du système d'exploitation Mac OS X.Apple, qui incluait jusqu'à présent Java dans Mac OS, a annoncé sa suppression sur son site internet de support technique. Il explique que les clients qui ont besoin d'utiliser Java doivent désormais se le procurer directement auprès d'Oracle.
Le groupe californien ne précise pas la raison de ce changement de politique et les deux groupes ont refusé de commenter cette annonce.
Java est un langage informatique qui permet aux programmeurs d'écrire du code capable d'être lu par la quasi-totalité des ordinateurs. Il est largement utilisé sur internet car il permet aux sites d'être accessibles depuis de nombreux navigateurs, sur Mac comme sur les PC équipés du système Windows de Microsoft.
Il y a deux ans, Apple et Oracle avaient annoncé un accord prévoyant à terme qu'Apple cesserait d'inclure Java dans ses logiciels, cette responsabilité incombant dès lors à Oracle. Mais les deux groupes n'avaient pas précisé à quelle échéance aurait lieu ce basculement.
Depuis, Java a suscité des craintes en termes de sécurité qui ont conduit certains experts à recommander aux internautes de ne l'utiliser qu'en cas de nécessité.
Fin août, des experts européens ont identifié des failles de Java exploitées par des pirates pour lancer des attaques informatiques. Oracle a ensuite mis plusieurs jours à publier une mise à jour de Java afin de corriger ces défauts.
Adam Gowdiak, chercheur de la société de sécurité polonaise Security Solutions, a déclaré vendredi avoir décelé depuis deux nouvelles failles de Java qui rendent les ordinateurs vulnérables aux attaques. Il estime que la suppression de Java des navigateurs des Mac permet donc de réduire ces risques.


REF.:

Le plus GROS bug d'Android

Photo AFP / Ho / Samsung

Correctif disponible

Un correctif protège les téléphones Samsung de la faille de sécurité (MàJ)

Mise à jour: En attendant une action de Samsung, ce correctif Android est d'ores et déjà disponible sur Google Play: téléchargez TelStop. Le Sud-Coréen indique que la dernière mise à jour logicielle protège le Galaxy S3 de la faille de sécurité.

Plusieurs modèles de téléphones fonctionnant sous le système d'exploitation Android sont touchés par une importance faille de sécurité, permettant d'effacer à distance toutes les données des usagers.
La vulnérabilité a été révélée par le chercheur en sécurité Ravi Borgaonkar, lors de la conférence Ekoparty 2012, portant sur la sécurité. La faille est exploitée grâce à l'utilisation d'un code d'usine - permettant normalement d'effacer tout contenu mémorisé sur un appareil dans le but de le réinitialiser, comme s'il était neuf et qu'il sortait de l'usine.
Or, le code, habituellement tenu secret par les constructeurs, a fait l'objet d'une fuite sur Twitter et il a servi à révéler la faille de sécurité de plusieurs appareils.
En effet, ce code peut être transmis à l'insu de l'utilisateur et activé à distance de plusieurs façons:
- si l'usager clique sur une URL via le navigateur d'Android,
- s'il clique sur un lien intégré à un texto (en mode «Wap Push») redirigeant vers une page web,
- s'il lit un code QR malicieux, grâce à l'application QR Droid,
-par l'intermédiaire de la technologie NFC, dont le défaut est d'ouvrir automatiquement les URL dans le navigateur.
Le plus inquiétant dans cette histoire est que simplement après avoir cliqué sur un lien menant vers un site malveillant, l'usager perd automatiquement et définitivement toutes ses données en quelques secondes, et ce, sans qu'aucune demande de confirmation ne soit apparue.
Certains modèles de téléphones Samsung sont vulnérables, relate le site Tux Planet, dont le Galaxy S2 et S3 (très peu), Galaxy Beam, Galaxy S Advance et Galaxy Ace.
Le point en commun de ces derniers est qu'ils sont tous équipés de la surcouche TouchWiz du Sud-Coréen, mais la faille semble aussi dépendre de celle greffée par l'opérateur.
Des téléphones de HTC et d'autres constructeurs pourraient aussi être concernés.
En attendant la mise à jour protégeant les appareils, les usagers auraient avantage à mettre à jour le système exploitation animant leur téléphone. Les plus récentes versions d'Android ne seraient pas vulnérables à cette faille de sécurité.
En cas de doute, vous pouvez toujours désactiver l'application QR Droid et la NFC.


REF.:

Java SE est dans marde !

Oui,le Java SE (version 7 Update 7).

Sécurité - Malgré la publication de correctifs de sécurité par Oracle, certaines vulnérabilités de Java 7, signalées en avril par la société de sécurité Security Explorations, restent exploitables affirment des chercheurs de l'entreprise.

Il y a seulement quelques jours, Oracle est sorti de sa léthargie en publiant un bulletin de sécurité hors cycle corrigeant des vulnérabilités de sécurité de son logiciel Java 7. Des failles signalées en avril selon la société de sécurité Security Explorations.

Si les correctifs d’Oracle ont répondu efficacement à l’exploitation active de ces vulnérabilités logicielles, tout n’est cependant pas résolu affirme les mêmes experts en sécurité polonais.

Dans un message publié sur la liste Bugtraq, Adam Gowdiak affirme ainsi que toutes les failles signalées en avril à Oracle n’ont pas été corrigées. Security Explorations a donc signalé une nouvelle vulnérabilité critique à l’éditeur.

Cette alerte s’accompagne d’un « Proof of Concept », du code logiciel illustrant la possibilité de contourner la sanbox JVM dans la dernière version de Java SE (version 7 Update 7).

REF.: zdnet.fr,

Le "Trusted Execution Technology" d'Intel a été compromise

La plate-forme de sécurité TXT (Trusted Execution Technology) d'Intel a été compromise ce qui oblige le fondeur à fournir une mise à jour pour les processeurs et les chipsets qui utilisent cette technologie.

Intel a mis en oeuvre un processus complexe pour développer un patch destiné à corriger une faille découverte récemment dans les SINIT ACM, autrement appelés System INITialisation Authenticated Code Modules. Ces modules sont susceptibles de subir une attaque par dépassement de mémoire tampon et de laisser passer un malware capable de contourner la plate-forme TXT (Trusted Execution Technology) pour prendre le contrôle total de la machine infectée. La technologie TXT, propre aux processeurs et chipsets d'Intel (Core 2, Core i5 et i7 et enfin Xeon, voir liste compléte), combine des éléments matériels et logiciels. Elle a pour but de bloquer l'exécution de codes par un ensemble de signatures logicielles certifiées.
La mise en évidence de cette vulnérabilité par élévation de privilège revient à l'entreprise de sécurité Lab Invisible Things, dont les chercheurs avaient repéré une faille similaire dans les SINIT ACM il y a deux ans. En fait, selon Joanna Rutkowska, fondatrice et CEO de l'entreprise, le problème découvert en 2009 était un sous-ensemble de cette vulnérabilité nouvellement mise à jour. Si bien qu'elle se dit étonnée qu'Intel ait qualifié la gravité de cette vulnérabilité comme importante, alors qu'en 2009, le fondeur l'avait jugé comme critique. « Ce qui est vraiment intéressant dans cette attaque, ce sont les conséquences du mode de détournement de SINIT, notamment la capacité à contourner la TXT et le panneau de configuration LCP (Local Control Panel) d'Intel, mais aussi celle de compromettre le système de gestion de RAM (SMRAM), » a déclaré Joanna Rutkowska dans un blog.

Une vulnérabilité importante

Cette vulnérabilité est importante parce que la technologie Trusted Execution d'Intel sert d'extension matérielle aux microprocesseurs et aux chipsets du fondeur et son objectif est de fournir un mécanisme de protection contre les attaques logicielles. La TXT peut être utilisée par les entreprises pour contrôler la façon dont les informations sont stockées, traitées et échangées dans leurs systèmes. Intel a publié un avis ce lundi pour annoncer que la mise à jour des SINIT ACM et celle du microcode étaient disponibles afin de résoudre ce problème. Cependant, selon la CEO de Lab Invisible Things, le processus de correction a demandé un effort significatif à l'entreprise. « Intel a dû non seulement modifier les modules SINIT, mais aussi mettre à jour le microcode de tous les processeurs affectés. Le fondeur a dû également travailler avec les vendeurs de BIOS afin qu'ils livrent de nouveaux BIOS capables de charger inconditionnellement le microcode mis à jour (sans compter les mécanismes anti-rollback pour empêcher les BIOS et le microcode de revenir aux versions antérieures). Autant dire, un gros travail », explique le chercheur.

Pour ceux qui s'intéressent aux aspects techniques, Lab Invisible Things a publié un document de recherche qui décrit en détail le fonctionnement de la vulnérabilité et de l'exploit développé par les chercheurs pour contourner la TXT et le panneau de configuration LCP d'Intel. L'entreprise de sécurité conseille aux administrateurs système qui s'appuient sur cette technologie de demander les mises à jour du BIOS permettant de résoudre la vulnérabilité à leurs équipementiers respectifs et de les déployer dès que possible. Dans le cas où cette mise à jour ne serait pas encore disponible ou que la technologie n'est pas utilisée, Lab Invisible Things recommande tout bonnement de désactiver la TXT dans le BIOS.


REF.: