L’éditeur de logiciels Citrix vient d’annoncer une intrusion dans son réseau interne. Les pirates auraient volé des documents professionnels mais ses produits et services n’auraient pas été affectés par cette attaque. Citrix aurait découvert l’intrusion après avoir été informé par le FBI le 6 mars 2019 dernier.
La NSA a publié Ghidra, une solution de reverse engineering multi-plateforme pouvant, par exemple, être utilisée pour détecter des vulnérabilités et des failles de sécurité dans les applications. Cette solution avait été mentionnée pour la première fois dans le « Vault 7 » de la CIA divulgué en 2017.
Et voici toutes actualités intéressantes sélectionnées cette semaine :
Vol / perte de données
Insecure Database Leads to Over 800 Million Records Data Breach
An unprotected 140+ GB MongoDB database led to the discovery of a huge collection of 808,539,939 email records, with many of them also containing detailed personally identifiable information (PII).
German police storing bodycam footage on Amazon servers
The choice of the German police of storing bodycam footage on Amazon cloud storage has raised privacy and security concerns. The news was first reported by the Neue Osnabrücker Zeitung newspaper on Saturday,- According to the newspaper, Federal Police are using a cloud service from Amazon to store bodycam videos because the tech giant is the only company in Germany that was certificated by the Federal Office for Information Security.
Cyber-attaques / fraudes
NSA released Ghidra, its multi-platform reverse engineering framework
In January 2019, the National Security Agency (NSA) announced the release at the RSA Conference of the free reverse engineering framework GHIDRA. GHIDRA is a multi-platform reverse engineering framework that runs on major OSs (Windows, macOS, and Linux). The framework was first mentioned in the CIA Vault 7 dump that was leaked in 2017.
Des hackers chinois à nouveau épinglés parce qu’ils espionnent… l’Asie, l’Europe et l’Afrique
Forcer le destin, c’est mieux que de le subir. Depuis quelques années, la Chine s’évertue à construire une nouvelle » route de la soie « , c’est-à-dire un réseau de routes et d’infrastructures commerciales reliant les pays d’Europe, d’Asie et d’Afrique. Baptisé » Belt and Road Initiative « , ce projet titanesque pourrait coûter plus de mille milliards de dollars.
Un camion contre les cyberattaques
Un semi-remorque a été présenté à Zurich comme étant le premier simulateur de cyberattaque mobile. A la fois centrale d’engagement, simulateur et centre d’entraînement: IBM a présenté mardi à Rüschlikon (ZH) une installation mobile de cybersécurité chargée sur un semi-remorque. Elle vise à prévenir les cyberattaques lors de grosses manifestations, par exemple.
Failles / vulnérabilités
Des failles de sécurité ont exposé 3 millions de voitures | WeLiveSecurity
Des failles de sécurité importantes faciles ont été décelées dans applications de smartphones liées les systèmes d’alarme intelligents de voitures. Ces vulnérabilitées étaient heureusement facile à corriger. Deux systèmes d’alarme intelligents pour les voitures ont comblé des failles de sécurité critiques qui mettent trois millions de voitures intelligentes dans le monde en danger d’être détournés, selon une étude réalisée par Pen Test Partners.
Facebook criticised for misuse of phone numbers provided for security
Facebook’s under fire – again. This time, it’s for using phone numbers provided for security reasons, for other things. Users are once again accusing Facebook of playing fast and loose with their privacy, allowing users to look up their profiles using the phone number they thought they were only providing for 2FA (two-factor authentication).
Spoiler, une nouvelle faille de sécurité dans les processeurs Intel
Une nouvelle faille de sécurité a été dénichée dans les processeurs Intel. Nommée Spoiler par l’équipe de chercheurs qui l’a découverte, elle repose sur des défauts de l’exécution spéculative, exactement comme les failles Meltdown et Spectre dévoilées l’an dernier : Meltdown et Spectre : tout savoir sur les failles historiques des processeurs ; Récit de la découverte effarante des failles Spectre et Meltdown.
Les certificats TLS, cœur de la sécurité du Web, se vendent désormais sur le Dark Web
Pierre angulaire de la sécurité informatique sur le Web, les certificats TLS font partie de l’offre standard dans les services de fraude disponibles sur le Dark Web. On peut même acheter des certificats à validation étendue, censés être le niveau de sécurité le plus élevé.
Chrome : des pirates exploitent de manière active une faille critique
Un bug dans le module FileReader du navigateur Chrome permet de contourner le bac à sable et exécuter du code au niveau du système d’exploitation. Il faut immédiatement patcher le logiciel.
Des hackers piratent des iPhone grâce à des prototypes volés à Apple
Dans une récente enquête, Motherboard révèle l’existence d’un marché noir discret qui permet de se procurer des prototypes d’iPhone appartenant à Apple. Ces derniers sont appelés les Dev-fused Devices, un terme qui décrit des appareils qui ne disposent pas des sécurités habituelles, contrairement aux Prod-fused Devices, qui sont les produits vendus sur le marché.
Réglementaire / juridique
UK says prison facial recognition tech, iris scanners deter smugglers | ZDNet
The UK has a serious problem when it comes to the jail system, and contraband including drugs, weaponry, and mobile phones only make the issue worse.
Google monte au créneau contre la réforme européenne du droit d’auteur
Google a exhorté lundi les eurodéputés à voter contre la réforme européenne du droit d’auteur qui, selon le géant américain de l’internet, » serait néfaste aux créateurs européens pour les décennies à venir ». Le Parlement européen doit se prononcer probablement en mars, peut-être même dès la semaine prochaine, sur une adoption définitive de ce projet de directive révisée, présenté par la Commission européenne en septembre 2016.
Divers
Le Web se dote d’un standard pour éliminer les mots de passe
C’est peut-être un pas de plus vers un monde sans mots de passe, du moins sur le Web. Le consortium W3C vient d’annoncer que la spécification Web Authentication (WebAuthn) est désormais un standard officiel du Web. Cette annonce n’est pas vraiment une surprise.
En prison, le recours à la reconnaissance faciale contre le trafic de drogue
Le Royaume-Uni passe à l’étape suivante dans sa gestion de la criminalité. On sait déjà que l’objectif est de suivre les détenus en liberté surveillée, quand ils sont en dehors de la prison avec des bracelets GPS.
Trop facile d’acheter des votes électroniques
Le scénario imaginé par l’Institut d’informatique de l’EPFZ n’est guère rassurant. Surtout, il tombe au plus mauvais moment pour le vote électronique en Suisse, souligne la « SonntagsZeitung ». En effet, c’est cette année que Berne voulait tenter de l’introduire dans la loi. Une consultation fédérale sur le sujet est du reste en cours, jusqu’à fin avril.
