Dans l’actualit\u00e9 cette semaine, nous continuons de parler de OpenSSL et de sa c\u00e9l\u00e8bre vuln\u00e9rabilit\u00e9, Heartbleed, Apple r\u00e9sout un probl\u00e8me de chiffrement aussi bien sur iOS, son syst\u00e8me d’exploitation mobile, que sur OSX, son syst\u00e8me d’exploitation standard; AOL et ses clients souffrent d’un s\u00e9rieux incident de s\u00e9curit\u00e9 et l’universit\u00e9 Iowa State est pirat\u00e9 par des hackers cherchant \u00e0 utiliser les ressources informatiques de l’universit\u00e9 pour miner des Bitcoins.<\/p>\n
La saga continue <\/b><\/p>\n
Les d\u00e9bats sur l’\u00e9tendue et la gravit\u00e9 du bug de OpenSSL, Heartbleed, ont continu\u00e9. La plupart d’entre eux concernait les perspectives \u00e0 long terme pour le syst\u00e8me de certificats num\u00e9riques qui est \u00e0 la base de la fiabilit\u00e9 d’Internet\u00a0 ainsi qu’\u00e0 l’origine de l’efficacit\u00e9 et des d\u00e9fauts du chiffrement.<\/p>\n
N\u00e9anmoins, cette semaine fut quelque peu diff\u00e9rente car pour la premi\u00e8re fois, les entreprises ont commenc\u00e9 \u00e0 chercher des mani\u00e8res d’\u00e9viter ces bugs de revenir.<\/p>\n
Un nouveau groupe, la Core Infrastructure Initiative, est en train de rassembler des ressources afin de cr\u00e9er un fond de plusieurs millions de dollars pour supporter les projets \u00e0 source ouverte vitaux pour la s\u00e9curit\u00e9 du Web. OpenSSL est le premier projet a \u00eatre concern\u00e9 par cette donation de fonds qui sont principalement fournis par la Linux Foundation, Microsoft, Facebook, Amazon, Dell, Google et bien d’autres g\u00e9ants des technologies. La Mozilla Corporation est \u00e9galement en train de r\u00e9agir avec un nouveau programme sp\u00e9cial contre les bugs offrant 10 000 dollars \u00e0 n’importe quel chercheur qui d\u00e9tectera une s\u00e9rieuse vuln\u00e9rabilit\u00e9 dans la nouvelle librairie de v\u00e9rification de certificats qu’ils ont l’intention d’ajouter \u00e0 la version 31 de leur navigateur Firefox cet \u00e9t\u00e9.<\/p>\n
Apple r\u00e9pare son syst\u00e8me de chiffrement SSL dans iOS et OSX<\/b><\/p>\n
Toujours sur le m\u00eame th\u00e8me, Apple a corrig\u00e9 une s\u00e9rieuse faille qui \u00e9tait pr\u00e9sente dans de nombreuses versions de iOS et OSX. La vuln\u00e9rabilit\u00e9 pourrait donner \u00e0 un pirate la capacit\u00e9 d’intercepter les donn\u00e9es transf\u00e9r\u00e9es sur des connexions SSL chiffr\u00e9es. En d’autres termes, le bug pourrait permettre \u00e0 un pirate de lire les contenus de nos messages – qu’il s’agisse de communications ou d’autres donn\u00e9es sensibles.<\/p>\n
Le bug fait partie des nombreux bugs que la soci\u00e9t\u00e9, originaire de Cupertino en Californie, a corrig\u00e9 mardi dernier, sur ses deux principaux syst\u00e8mes d’exploitation. Bien que moins graves, les failles de chiffrement ne sont qu’une cons\u00e9quence parmi d’autres. Si vous travaillez (ou jouez) avec un produit Mac, rendez-vous dans l’App Store et installez les mises \u00e0 jour de syst\u00e8me d’exploitation aussi vite que possible.<\/p>\n
Normalement discret, AOL fait des vagues<\/b><\/p>\n
Je ne suis pas certain de la part de march\u00e9 qu’occupe le service de messagerie de nos jours (et croyez-moi, j’ai cherch\u00e9), mais un nombre inconnu d’utilisateurs de AOL Mail se sont fait usurper leur compte cette semaine. Une fois infiltr\u00e9s, les pirates ou le botnet responsable commen\u00e7aient \u00e0 inonder de courriers ind\u00e9sirables les contacts des comptes compromis. AOL a confirm\u00e9 qu’ils \u00e9taient conscients du piratage (bien qu’ils n’utilisent pas le terme « piratage ») mais le nombre d’utilisateurs affect\u00e9s et le nombre de courriers ind\u00e9sirables envoy\u00e9s restent inconnus. Curieusement, AOL affirme qu’il y a peu de chances que les comptes e-mails aient \u00e9t\u00e9 compromis, d\u00e9clarant ensuite qu’ils avaient certainement \u00e9t\u00e9 usurp\u00e9s.<\/p>\n
Curieusement, AOL affirme qu’il y a peu de chances que les comptes e-mails aient \u00e9t\u00e9 compromis, d\u00e9clarant ensuite qu’ils avaient certainement \u00e9t\u00e9 usurp\u00e9s.<\/p>\n
Comme AOL le souligne, le « spoofing » (ou « usurpation » en fran\u00e7ais) consiste \u00e0 envoyer des courrier ind\u00e9sirables paraissant provenir du compte d’une victime mais qui viennent en fait du compte des pirates et qui sont envoy\u00e9s via les serveurs de ces derniers. En d’autres termes, AOL d\u00e9clare qu’aucun compte n’a \u00e9t\u00e9 pirat\u00e9 mais que les pirates ont juste copi\u00e9 les comptes de leurs victimes. Cette explication n’explique en aucun cas comment les pirates ont obtenu la liste de contacts de leurs victimes, ce qui signifie que nous pourrions bien en d\u00e9couvrir davantage dans les semaines \u00e0 venir.<\/p>\n
Un cheval de Troie qui envoie des SMS aux \u00c9tats-Unis<\/b><\/p>\n
Les chevaux de Troie qui envoie des SMS \u00e0 des num\u00e9ros surtax\u00e9s ne sont pas nouveaux. L’arnaque fonctionne ainsi : les pirates encouragent leurs victimes \u00e0 t\u00e9l\u00e9charger un cheval de Troie sur leurs appareils mobiles. Ce cheval de Troie acquiert l’habilit\u00e9 d’envoyer des SMS avec l’appareil infect\u00e9. Le cheval de Troie envoie des SMS \u00e0 un num\u00e9ro surtax\u00e9, qui est soit contr\u00f4l\u00e9 par le pirate soit contr\u00f4l\u00e9 par quelqu’un qui paie le pirate. Le co\u00fbt de ces messages est ensuite factur\u00e9 aux propri\u00e9taires des appareils infect\u00e9s.<\/p>\n
Comme je l’ai dit, ce syst\u00e8me existe depuis longtemps. Mais curieusement, pour une raison inconnue, ce type de cheval de Troie n’avait jamais vraiment envahi les \u00c9tats-Unis. Cela a chang\u00e9 plus t\u00f4t cette semaine quand nos amis de Securelist ont d\u00e9tect\u00e9 un cheval de Troie Android le faisant.<\/p>\n
En plus d’\u00eatre le premier cheval de Troie de ce type aux \u00c9tats-Unis, le cheval de Troie Android connu sous le nom de Fakeinst cible \u00e9galement les utilisateurs Android dans 65 autres pays. Fakeinst est d’ailleurs connu pour avoir cibl\u00e9 des utilisateurs en Allemagne, en France, en Finlande, \u00e0 Hong Kong, en Ukraine, au Royaume-Uni, en Suisse, en Argentine, en Espagne, en Pologne, au Canada, en Chine et dans bien d’autres pays.<\/p>\n
L’universit\u00e9 Iowa State pirat\u00e9e pour… des Bitcoins ?<\/b><\/p>\n
C’est bien vrai. La c\u00e9l\u00e8bre universit\u00e9 am\u00e9ricaine a \u00e9t\u00e9 pirat\u00e9e et sa puissance de calcul a \u00e9t\u00e9 utilis\u00e9e pour g\u00e9n\u00e9rer des Bitcoins. Bitcoin est une monnaie \u00e9lectronique qui, depuis un an, connait des hauts et des bas. Si vous disposez d’une puissance de calcul suffisante, vous pouvez utiliser cette puissance pour r\u00e9soudre des probl\u00e8mes algorithmiques et cr\u00e9er de nouveaux Bitcoins. Ce proc\u00e9d\u00e9 est connu sous le nom de minage de Bitcoins et il peut rapporter beaucoup d’argent. Comme dans tous les cybercrimes, les criminels suivent l’argent. Le minage de Bitcoins malveillant n’a rien de nouveau mais cet incident est une premi\u00e8re car il implique l’utilisation de la puissance de calcul d’une c\u00e9l\u00e8bre institution universitaire. Et ce n’est pas tout, il semblerait que l’attaque aurait \u00e9galement expos\u00e9 les num\u00e9ros de S\u00e9curit\u00e9 Sociale de pr\u00e8s de 30 000 anciens \u00e9l\u00e8ves de l’universit\u00e9 Iowa State.<\/p>\n","protected":false},"excerpt":{"rendered":"
Le premier cheval de Troie envoy\u00e9 par SMS aux \u00c9tats-Unis, des nouvelles de la faille Heartbleed au sein de OpenSSL, Apple corrige une vuln\u00e9rabilit\u00e9 SSL dans iOS et OSX, AOL pirat\u00e9 et le minage de Bitcoin \u00e0 Iowa State<\/p>\n","protected":false},"author":42,"featured_media":2980,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6],"tags":[],"class_list":{"0":"post-2979","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-news"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/resume-de-lactualite-de-la-semaine-derniere\/2979\/"}],"acf":[],"banners":"","maintag":[],"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/2979","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/42"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=2979"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/2979\/revisions"}],"predecessor-version":[{"id":13315,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/2979\/revisions\/13315"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/2980"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=2979"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=2979"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=2979"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}