Après avoir sauté la revue de la semaine dernière, ce n’est donc pas une semaine mais deux semaines en sécu qu’on va passer en revue.

Prise de contrôle de votre smartphone par le son

Des chercheurs se sont amusés à envoyer des commandes vocales cachées dans des vidéos à des smartphones. C’est un très bel exemple d’attaque par canaux cachés, ainsi en regardant une vidéo vous pouvez être victime d’actions malveillantes. Mais pas d’inquiétude, si vous n’utilisez pas la fonction de commande vocale il y a de grandes chances qu’elle soit désactivée. De plus, si l’attaque réussit, elle ne sera pas des plus discrètes et vous pourrez rapidement vous apercevoir d’un problème.

Source : http://www.pcworld.com/article/3092493/security/heres-how-secret-voice-commands-could-hijack-your-smarthphone.html

Pokémon Go

La soudaine popularité du jeu Pokémon Go a été fulgurante. Peut-être un peu trop. Des fichiers APK (le format d’exécutable Android) contenant des malwares ont été découverts et le jeu est déjà utilisé par des personnes malveillantes pour appâter des victimes dans la rue.

Source : http://www.globalsecuritymag.fr/Pokemon-GO-attrapez-les-tous-oui,20160719,63850.html

Le compte de l’ex-patron de Twitter piraté

Un collectif de hackers qui fait souvent entendre parler de lui récemment, OurMine, a pu poster des Tweets sur le fil Twitter de Dick Costolo. Seulement poster et pas réellement compromettre le compte car ils ont utilisé un moyen détourné en obtenant un compte du PDG sur une application étrangère à Twitter qui avait l’autorisation de poster sur son compte Twitter.

Comme quoi, toujours se méfier de ses vieux comptes…

Source : http://www.numerama.com/tech/176446-lex-pdg-de-twitter-se-fait-pirater-son-compte.html

Le FBI estime que ses malwares ne sont pas des malwares

Dans certaines affaires, le FBI a déjà eu recours à des malwares pour repérer notamment des pédophiles. Son principal argument est que le FBI serait de bonne foi (mais oublions toutes ses déboires des dernières décennies…) et n’utiliserait ces logiciels que pour faire le bien. Big Brother n’est plus si loin… Heureusement, il semblerait que les principaux éditeurs d’antivirus ne comptent pas se laisser faire.

Source : http://www.developpez.com/actu/101258/Le-FBI-estime-que-ses-malwares-ne-doivent-pas-etre-consideres-comme-des-malwares-parce-que-les-intentions-de-l-agence-ne-sont-pas-malveillantes/

Un malware qui vous filme pour vous rançonner

Le fonctionnement de Delilah est original. Il se propage via des sites pour adultes et une fois l’ordinateur de sa victime infecté, il active la webcam pour prendre des photos compromettantes et permet ainsi à ses auteurs de faire chanter ses victimes en demandant une rançon élevée.

Source : http://www.developpez.com/actu/101425/Un-malware-prend-des-photos-compromettantes-et-fait-du-chantage-a-la-victime-pour-lui-soutirer-des-informations-sensibles-sur-son-entreprise/

Conclusion

Ces deux dernières semaines ont bien illustré la créativité dont font preuve les attaquants pour gagner de l’argent et les chercheurs pour trouver de nouveaux canaux d’attaque. On observe aussi que souvent les canaux d’attaque ne sont pas directs (on ne va pas chercher à attaquer la cible directement) mais détournés via d’autres applications ou services. Or ceci est courant dans les tests d’intrusions, c’est souvent un vieux service oublié qui permet de compromettre l’ensemble d’un réseau. Il ne faut pas oublier que la sécurité de l’ensemble d’un système d’information repose très souvent sur la sécurité de son maillon le plus faible…

Je vous dis donc à la semaine prochaine en espérant reprendre un rythme de publication plus régulier.