Vulnérabilité XSS sur Twitter

Today XXS Tweet, 40000 Tweets en à peine 10 minutes ! C'est la découverte de Judofyr qui à, aujourd'hui, déstabilisé la plateforme social Twitter. En effet il est à l'origine de la découverte d'une faille XSS dans les Tweets. Quelques minutes après sa découverte, les effets de bord style : "Boule de feu" se sont emparés de l'exploit ! L'origine de sa découverte était simplement ceci :

http://judofyr.net/@"style="background:#000;color:#000;/

Ce qui donne :

Tweet à première vu rigolo ! Texte noir sur font noir, cependant il était loin de se douter que cette "découverte" allez prendre une si grande ampleur ! (oui je sais, ça fait un peu scénario catastrophe...). Il vient du fait que Twitter ne code pas les URL et tout ce qu'il y a après un simple @, ce qui implique donc que le CSS et Javascript peuvent être inclus et interprété ! Bien entendu les effets de bords ont été bien différents, prenant toutes sorte de forme, selon les esprits plus ou moins créhacktif ! Comme le témoigne ceci.

Bien entendu, il va de soit que les redirect, les onmouseover, ou les appels à une page internet avec un code malicieux vont aller de bon train ! Il est aussi possible d'imposer le RT de votre Tweet par la simple fonction "onmouseover" !

Des milliers de compte Twitter sont déjà infectés par cette faille, à l'image du compte de Sarah Brown, ancienne épouse du Premier Ministre Britannique, qui s'est vue rediriger ses visiteurs vers un site "porno-hardcore" basé au Japon.

Bref, il est vivement conseillé de vous déconnecter de Twitter, ou si vous êtes curieux de ce qu'il s'y passe, de désactiver le Javascript !

Un coup dur pour Twitter...

Si vous avez plus d'informations, n'hésitez pas à les communiquer !

Update
Twitter a corrigé la faille, pour plus d'information consulter leur blog

Read more

Jailbreak Be Careful

Depuis que le site JailbreakMe à ré ouvert ses portes, en proposant de Jailbreaker votre iPhone, iPod ou iPad, rien qu’en visitant le site, le nombre de Jailbreak à augmenté en masse ! Lançant d’ailleurs le phénomène de mode du moment : le Jailbreak d’iPhone 4 dans les Apple store…

Il s’avère que tout le monde trouve ça extrêmement cool de pouvoir Jailbreaker son iPhone en navigant simplement sur un site Internet ! Cependant si on y réfléchi bien, un site web est en mesure de prendre le contrôle complet sur votre gadget Apple ! Personnellement cela m’alerte !

Imaginez maintenant que cette faille de la visionneuse PDF de Safari ainsi que de la vulnérabilité du noyau, qui donne un accès root au périphérique Apple, soit utilisé par des hacker… Eh oui, ils prendraient tout simplement le contrôle d’une flotte de périphériques Apple, vous obligeant de le renvoyer au SAV (Service Après Vente). Bien entendu ils peuvent aussi abuser de ces vulnérabilités plus sobrement en plaçant des logiciels malveillants, comme des Trojan, Spyware, ou Keylogger sur votre appareil mobile Apple.

Le but n’est pas de tomber dans la paranoïa ! Ma démarche est simplement de vous faire prendre conscience des dangers de ces vulnérabilités !

Bien entendu Apple à un remède a ces failles, qui seront corrigées dans une prochaine mise à jour. Malheureusement, Apple n’a pas mentionné quand cette mise à jour sera disponible…

Je vous recommande donc, utilisateurs et propriétaires d’iPhone, iPod, ou iPad, de vous restreindre et de ne pas ouvrir les fichiers PDF avec vos appareils mobiles Apple !

Laissez vos réactions

Read more

Sensibilisation au Phishing

Tout d’abord il est important de définir ce qu’est le phishing :

C’est la contraction des mots anglais « fishing », en français pêche, et « phreaking », désignant le piratage de lignes téléphoniques, souvent traduit par « hameçonnage ». Le phishing est une technique frauduleuse utilisée par les pirates informatiques afin de récupérer des informations auprès d'internautes. La majorité des informations visées sont des données bancaires (ebay, paypal, banque en ligne…), ou des adresses mails (Gmail, Hotmail…)

La technique du phishing est une technique de Social Engineering, globalement, elle consiste à exploiter non pas une faille informatique mais une faille humaine, en dupant les internautes par le biais d'un courrier électronique semblant provenir d'une entité de confiance, typiquement une banque, un site de commerce, ou une messagerie électronique.

Les pirates envoient donc un mail usurpant l’identité d’une de ces entités, et les invite à se connecter en ligne par le biais d’un lien Hypertexte et de mettre à jour des informations concernant leur données d’identification, ou leur données bancaires, au sein d’un formulaire d’une page web factice. Cette page web est bien entendu une copie conforme de l’originale, ceci pour ne pas attirer les soupçons de l’internaute, et le mettre ainsi en confiance afin qu’il puisse récupérer les informations ciblées. Le pirate prétexte souvent une mise à jour du service de l’entité utilisée.

Ainsi grâce à cette usurpation de l’entité, du site Internet, et du formulaire, le pirate arrive à obtenir les informations qu’il souhaite et peut donc s’en servir à des fins malveillantes.

Vous vous demandez certainement, mais comment me protéger du Phishing ?!

Et bien, lorsque vous recevez un email provenant à priori d’une entité bancaire, commerce en ligne ou autre, il est nécessaire d’être un temps soit peut suspicieux, et de se fait de vous poser les questions suivantes :


Est-ce que j’ai un lien avec cette entité ? y ai-je un compte ?
Si oui, leur ai-je communiqué mon adresse de messagerie ?
Est-ce que le courrier possède des éléments personnalisés permettant d’authentifier et de valider la provenance (numéro de client, numéro de compte, ou autre informations personnelles)

Voici quelque bonne pratique afin de naviguer plus sûrement :

Ne cliquer pas directement sur les liens, il est préférable de retaper l’URL du lien hypertexte, permettant assez souvent de démasquer la supercherie ! Evitant aussi de la même manière d’exécuter un éventuel code malicieux au sein du mail.
Méfiez vous des formulaires demandant des informations bancaires, il est quasi impossible qu’une banque vous demande ces informations.
Vérifier que votre navigateur est en mode sécurisé (HTTPS) lorsque vous naviguez sur un site sensible et que vous renseignez des informations personnelles (numéro de client, mot de passe, numéro de compte).

En espérant que cette sensibilisation vous soit utile !

Read more

Le virus AUTORUN.INF

Qu’est ce que c’est ?
Les Symptomes ?
Comment ca marche ?
Comment s’en débarasser ?
Comment s’en vacciner ?

Qu’est ce que c’est ?

Se sont des infections qui, une fois présentes sur votre pc, agissent comme tout bon trojan classique. Elles permettent un accès à distance à votre système, télécharge du code sur le net, modifie des entrées dans le registre, etc. La finalité précise de chacune dépend évidemment de la variante rencontrée. Cette infection s’effectue par support amovible, c'est-à-dire clef USB, disque dur externe, MP3, téléphone et autres… L’infection s’effectue au moment où vous ouvrez le support amovible par double clic.

Les Symptômes ?

Un ralentissement considérable de votre surf et de votre machine, des tâches et des processus malveillant actifs, le double-clic pour ouvrir vos supports amovibles infectés ne fonctionne plus (clefs USB, partitions, disques dur externe), et enfin il devient impossible d’afficher les fichiers cachés et systèmes.

Comment ça marche ?

Explications :
En (1), vous branchez votre clé usb sur un pc infecté, où l'infection est active. Celle-ci va copier-coller (2) automatiquement sur votre clé USB des fichiers relatifs à l'infection, aux attributs "cachés" et "Système'. Ces infections désactivent en effet l'affichage des fichiers et dossiers cachés, dans le cas où vous auriez activé ces options d'affichage. Ainsi, vous ne verrez pas la présence de ces fichiers sur le pc infecté, et sur la clé. L'attribut "Système" permettra de vous affoler dans le cas où vous souhaiteriez les effacer manuellement en présentant un message d'avertissement windows.

Ce type d’attaque se propage généralement grâce au fichier « autorun.inf » et qui lui fera l'objet de toute notre attention. Car c'est lui qui va permettre cette propagation rapide et massive. Lorsque vous brancherez votre clé nouvellement infectée sur un pc sain (3), l'infection se propage à son tour sur le pc, qui ce dernier (4), devient lui même un vecteur de propagation pour tous les supports amovibles branchés dessus, en plus des fonctions natives de l'infection permettant notamment un contrôle à distance du pc. L’infection viens la plupart du temps d’un PC en libre service (école, cybercafé) ou alors d’un amis peu soucieux en matière de sécurité, de ce fait l’utilisateur infecte son PC personnel et tout ses lecteur amovible, ce qui génèrera par la suite de nouvelle infection, et la boucle est bouclée.

Pour ce qui est de l’infection par elle-même, tout viens de ce fichier « autorun.inf ». En effet ce fichier est à la racine du support amovible infecté, prenons l’exemple de la clef USB. Sur cette clef USB se trouve le fichier autorun.inf et les différents virus (AdobeR.exe, Win31.dll.vbs, winfile.exe etc…). A l’exécution de la clef USB, Windows par défaut va chercher un fichier « autorun.inf » qui est utilisé rappelons le pour lancer les CD DVD ou autre, automatiquement. Si un fichier de ce nom est trouvé, Windows va l’exécuter ! C’est ici que l’infection se fait, en effet le code malicieux se trouve dans ce fichier, et va donc copier ses amis virus qu’il à amené avec lui ! L’infection est alors faite sur l’ensemble des support amovible pluger sur le PC. Ceci s’effectue de nouveau à chaque fois qu’un support amovible est ouvert par double clic depuis le PC infecté.

Comment s’en débarrasser ?

Il n’y a pas vraiment de solution miracle à part quelques tools que l’on peut trouver sur le net, comme ComboFix, USBFix, ou encore FlashDesinfector. D’autres astuces comme l’utilisation de WinRar, d’une distribution LINUX, ou d’un MAC, sont aussi possible.

Vous pouvez trouver ces utilitaires ci-dessous :
Bosco ici
USBFix ici
FlashDesinfector ici

Attention Bosco est à manier avec précaution car il est relativement puissant et peut causer des dégâts considérables à juste titre.

Pour les autres il suffit de brancher tout vos support amovible et d’exécuter l’utilitaire. Pour ma part je recommande FlashDisinfector ou USBFix pour une utilisation simple et efficace pour un utilisateur Lambda.

Comment se vacciner ?

Les gestes à adopter pour se protéger de ce genre sont assez variés :

Suppression de l’exécution de l’autorun par défaut au niveau de la base de registre
Pour cela vous pouvez utiliser les .reg suivant :

autorun_off.reg

Pour revenir en arrière

autorun_on.reg

Ou encore pour palier à une éventuelle activation de l’autorun par un virus quelconque :

inifilemapping-autorun-protection-activee.reg

Pour revenir en arrière

inifilemapping-autorun-suppression-de-la-clef.reg

Éviter le double clic sur les lecteurs inconnu pour éviter une éventuelle infection, de ce fait adopter le clic droit explorer, ou le clic droit développer au niveau de l’arborescence de l’explorer, comme le montre les screenshot ci-dessous :

Empêcher la propagation en se vaccinant de l’autorun.inf et des virus les plus connus en créant des dossiers à leur nom en lecture seul, ceci manuellement ou en utilisant USBFix, qui vaccine les support amovible automatiquement du fichier autorun.inf

Read more