Cyber Net

13/07/2014

حسب رايكم شكون بش يربح في نهائي كأس العالم؟

29/04/2014

Internet Explorer : Toutes les versions touchées par une faille critique 0-day

Une importante faille de 0-day a été découverte dans Internet Explorer. Affectant toutes les versions encore supportées du navigateur, elle se révèle particulièrement dangereuse sous Windows XP, dont le support technique est terminé. La solution la plus efficace est d’utiliser temporairement un autre navigateur, même si des mesures spéciales peuvent être mises en place.

Une faille fonctionnant sur les versions 6 à 11 d'Internet Explorer

Le monde de la sécurité s’active particulièrement depuis samedi "https://technet.microsoft.com/en-us/library/security/2963983", à la faveur de la découverte d’une faille de sécurité critique dans Internet Explorer. De type 0-day (déjà exploitée au moment de sa découverte), elle touche toutes les versions du navigateur de Microsoft depuis la 6, autrement dit toutes les moutures présentes dans les systèmes Windows depuis XP jusqu’à Windows 8.1, même avec la récente Update 1.

Cette vulnérabilité, portant officiellement la référence CVE-2014-1776 "http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-1776", concerne la manière dont Internet Explorer accède à un objet en mémoire qui a été précédemment supprimé ou dont l’espace mémoire n’a pas été alloué de la bonne manière. L’exploitation de la faille pourrait entrainer une corruption de cette zone mémoire, permettant alors à un attaquant d’y faire exécuter un code arbitraire de son propre cru.

Flash et VML pour contourner les protections du navigateur

Comme certains ne manqueraient pas de le souligner, l’exploitation d’une telle vulnérabilité limiterait le contexte d’exécution à Internet Explorer. Plusieurs mesures de protection empêchant en théorie ce genre d’attaque de sortir du périmètre du navigateur, notamment l’ASLR (Adress Space Layout Randomization) et la DEP (Data Ex*****on Prevention), sont en place depuis plusieurs années. Mais pour les contrer, des mesures spécifiques ont été prises.

Les pirates à l’origine de cette exploitation visent précisément les versions 9, 10 et 11 d’Internet Explorer, que l’on peut trouver sous Vista, Windows 7 et Windows 8. Pour contourner les protections, ils ont utilisé deux éléments extérieurs : le VML (Vector Markup Language) et Flash. L’attaque est donc particulièrement bien ficelée et s’adresse en fait, pour l'instant, à des cibles assez particulières. Toutefois, comme toute révélation publique dans ce genre de cas, l’exploitation de la brèche pourrait gagner en intensité.

Une attaque visant avant tout les grandes structures

Les attaquants eux-mêmes sont connus des entreprises de sécurité, notamment de FireEye qui fut l’une des premières à analyser la situation "http://www.fireeye.com/blog/uncategorized/2014/04/new-zero-day-exploit-targeting-internet-explorer-versions-9-through-11-identified-in-targeted-attacks.html". Elle indique ainsi que le groupe est célèbre pour ses attaques de type APT (advanced persistent threats), composées de lots de plusieurs failles et techniques, et dirigées contre des cibles relativement spécifiques telles que de grandes firmes ou des gouvernements. Pour FireEye, il s’agit du même groupe et du même mode opératoire. Ce qui les rend d’ailleurs difficile à détecter car les pirates ne réutilisent jamais la même infrastructure de contrôle pour deux attaques différentes (les fameux serveurs C&C, Command & Control).

L’attaque elle-même prend place, comme souvent dans ce genre de cas, via un ou plusieurs sites web spécialement conçus pour exploiter la brèche de sécurité. Si celle-ci est détectée dans Internet Explorer, elle provoque à terme le téléchargement d’un logiciel malveillant. Il y a de fortes chances pour que ces sites (les détails sont peu nombreux pour éviter une reproduction trop aisée) soient des copies très réussies de sites existants, sur lesquels les victimes arrivent depuis des campagnes de faux emails habituellement très soignés.

Changer de navigateur ou atténuer les risques

Les questions sont donc : doit-on et peut-on s’en prémunir ? Il faut bien entendu se préparer au cas où l’exploitation gagnerait en intensité. La solution la plus efficace est de changer temporairement de navigateur et d’utiliser un produit tiers tel que Firefox, Chrome ou Opera. Dans le cas où vous voudriez garder Internet Explorer, soit par convenance, soit par obligation, il existe également des actions à prendre pour limiter les risques "http://blogs.technet.com/b/srd/archive/2014/04/26/more-details-about-security-advisory-2963983-ie-0day.aspx".

Les premières mesures concernent évidemment les éléments tiers utilisés pour contourner les protections d’Internet Explorer : VML et Flash, qu’il faut donc désactiver. Si vous utilisez la version 10 ou 11 du navigateur, vous pouvez activer également la fonction « Enhanced Protected Mode » dans les Options internet, mais uniquement si vous possédez un Windows 7 ou 8 en 64 bits. Enfin, il est recommandé d’installer l’EMET "http://technet.microsoft.com/fr-fr/security/jj653751" (Enhanced Mitigation Experience Toolkit), une trousse à outils permettant de mettre en place des protections particulières, et d’en activer toutes les règles d’atténuation des risques, y compris les mesures « deephooks » et « antidetour ». Si vous utilisez la préversion d’EMET 5.0 "http://www.microsoft.com/en-us/download/details.aspx?id=41963", il faudra également activer les fonctions ASR (Attack Surface Reduction) et EAF+ (Expert Adress Table Filtering).

Microsoft a de son côté indiqué que ses équipes travaillaient à la création d'une mise à jour de sécurité. Cependant, on sait que le cas de Windows XP est déjà réglé et qu'aucun correctif ne sera proposé. Il s'agit de la première menace sérieuse à voir le jour contre le vieux système depuis la fin de son support technique.

21/04/2014

ساهمــوا معنــا فــي النشــر يرحمكــم الله

20/04/2014

20/04/2014

Bayers, you are next !!!

19/04/2014

Twitter : notifications en temps réel dans le navigateur

Les notifications Web arrivent pour les utilisateurs connectés à twitter.com.

La refonte des pages de profil montre que Twitter cherche à attirer de nouveaux utilisateurs et surtout les retenir. Un dernier point qui semble le plus problématique pour le service de microblogging.

Dans cette lignée, Twitter apporte les notifications en temps réel sur twitter.com "https://blog.twitter.com/2014/stay-connected-with-notifications-on-twittercom". Des notifications dans le navigateur Web... un peu comme Facebook en somme.

Pour les utilisateurs connectés à twitter.com, ils recevront des notifications lors d'une réponse à un tweet, lorsque leur message est marqué en favori ou pour un retweet de l'un de leurs tweets. Également, des notifications Web pour des messages privés ou l'arrivée de nouveaux abonnés à son compte.

Le déploiement des notifications Web est pour les "prochaines semaines". Clairement, Twitter cherche à stimuler l'engagement des utilisateurs et les garder captifs. Il sera possible de configurer de telles notifications dans les paramètres de Twitter.

Fin 2013, Twitter revendique 241 millions d'utilisateurs actifs par mois et 184 millions sur mobile.

19/04/2014

iPhone 6 : Apple chercherait à imposer une augmentation de 100 dollars

La firme à la pomme négocierait actuellement avec les opérateurs pour la distribution du prochain iPhone dont le prix nu pourrait largement flamber.

Si Apple a écoulé 500 millions d'iPhone depuis 2007, une concurrence de plus en féroce et un certain manque de nouveautés dans les derniers modèles pèsent sur la croissance f***e de la pomme.

On le sait, 2014 doit s'annoncer comme un nouveau départ avec un ou deux iPhone complètement revus et plus grands. Mais une chose est sûre, comme à son habitude, Apple ne jouera pas la carte du prix, pire, il entendrait rendre encore plus premium sa gamme.

Alors que la concurrence se concentre aujourd'hui sur l'entrée de gamme voire l'ultra-abordable, Apple considère au contraire que le haut de gamme, son pré-carré, est loin d'être saturé et négocierait avec les opérateurs une augmentation de 100 dollars sur le prix du smartphone !

Dépendance

On doit cette information au rapport repéré par Electron Libre "http://electronlibre.info/apple-va-augmenter-prix-ses-iphones-100-dollars/" de Peter Misek, analyste chez Jefferies, visiblement au courant des conversations entre les distributeurs et la firme.

Apple estimerait que la qualité optimale de son smartphone, en faisant une référence, justifierait cette inflation, qui sera répercutée par les opérateurs et donc sur le prix final. Mais les fans d'Apple ne sont-ils pas prêts à tout pour mettre la main sur leur Précieux ?

Il s'agirait également d'établir une nouvelle frontière avec le haut de gamme de la concurrence (Nokia Lumia 930, Sony Z2, LG G Pro II et bien sûr le Samsung Galaxy S5) en créant un segment encore plus exclusif. On le sait, Apple n'a jamais cherché à faire des volumes mais bien de la marge.

Reste qu'au cours de son dernier trimestre fiscal (le 4e trimestre 2013), environ 52% des revenus d’Apple provenaient de la vente d’iPhone, contre 10% fin 2008 et 1,89% fin 2007. Plus que jamais sa croissance dépend des ventes d'iPhone et Apple n'entend pas ternir sa corne d'abondance.

Le ou les nouveaux iPhone pourraient être présentés lors de la prochaine WWDC qui aura lieu au Moscone West de San Francisco du 2 au 6 juin prochains.

19/04/2014

LaCie piratée, identifiants et numéros de CB dans la nature

LaCie vient de publier une notification alarmante "http://www.lacie.com/fr/more/?id=10156" : pendant un an, une personne non autorisée utilisait des malwares afin d'accéder aux transactions des clients qui passaient par sa boutique en ligne. De nombreuses données personnelles ont ainsi été dérobées, dont des numéros de carte bancaire.

Triste mois pour la sécurité informatique. Alors que la faille Heartbleed d'OpenSSL n'a pas encore fini de faire parler d'elle, c'est LaCie qui annonce "http://www.lacie.com/fr/more/?id=10156" avoir été victime d'un piratage d'envergure. La société indique que, le 19 mars dernier, le FBI l'a contactée afin de l'informer qu'un pirate utilisait un malware pour récupérer des informations confidentielles. Elle a alors engagé un spécialiste de la sécurité sur internet afin de faire un état des lieux... et la situation n'est pas franchement reluisante.

En effet, les informations dérobées comprennent, entre autres, nom, prénom, adresse, email, identifiant, mot de passe associé, mais aussi et surtout des numéros de carte bancaire avec la date d'expiration. Mais pire encore, LaCie ajoute que cela a duré pendant... un an : « selon nos investigations, nous pensons que les transactions ayant eu lieu entre le 27 mars 2013 et le 10 mars 2014 sont concernées ».

LaCie précise que si vous avez remarqué une utilisation frauduleuse de votre carte de paiement, il faut immédiatement contacter votre banque. Bien évidemment, il est aussi plus que recommandé de changer de mot de passe au plus vite. Des mesures vont être prises afin de renforcer la sécurité et, en attendant qu'une solution jugée satisfaisante soit trouvée et mise en place, la boutique en ligne restera fermée, ce qui n'est pas le cas du reste du site qui continue de fonctionner normalement. Les clients impactés sont progressivement contactés depuis le 11 avril.

Quoi qu'il en soit, le retour de bâton risque d'être assez violent pour LaCie, alors que la société mise beaucoup sur la sécurité, notamment en ce qui concerne Wuala, son service stockage en ligne, qui est l'un des rares à proposer un chiffrement des données côté client.

19/04/2014

Xbox One : la mise à jour d'avril arrive aujourd'hui

Microsoft avait promis une mise à jour du logiciel interne de sa Xbox One pour le mois d'avril et cet engagement sera tenu. C'est en effet aujourd'hui que la console profitera de quelques améliorations, notamment du côté de la reconnaissance vocale et de la lecture des Blu-ray.

Cela en devient presque routinier. Chaque mois, Microsoft déploie une nouvelle mise à jour pour sa Xbox One, destinée à résoudre les quelques problèmes rencontrés par les joueurs, ou devant apporter de menues nouveautés ci et là. En ce mois d'avril, point d'exception et la console américaine va disposer de son patch dès aujourd'hui.

Au programme de cette mise à jour, quelques améliorations d'ordre pratique, avec notamment, l'apparition d'une barre de progression lorsqu'un jeu essaie de sauvegarder des données sur la console et l'apparition de messages lorsque vos « amis préférés » se connectent au Xbox Live. Il est également à noter qu'un nouveau firmware pour la manette sera également proposé, celui-ci devant permettre de réduire le volume des grésillements si vous y branchez un casque audio.

Côté multimédia, il sera désormais possible de lire des Blu-ray avec une sortie vidéo à 50 Hz, si le contenu a été enregistré avec cette fréquence de rafraichissement de l'image. De plus, l'application de lecture des Blu-ray profitera elle aussi de quelques améliorations via une mise à jour qui lui sera propre. Concernant Kinect, comme à chaque fois il est question d'une amélioration de la réactivité aux commandes vocales, ainsi qu'aux gestuelles. Un correctif limitera ainsi les faux-positifs lorsqu'un objet qui n'est pas un bras entre dans le champ du capteur.

Enfin, Microsoft a ajouté une fonction permettant à la console de faire ses mises à jour toute seule si elle est réglée en mode « allumage rapide ». Dès qu'un patch sera disponible, la console s'allumera et se chargera de l'appliquer avant de retourner en veille.

19/04/2014

Samsung Galaxy S5 : le lecteur d'empreintes déjà piraté

Vidéo à l'appui, des spécialistes allemands démontrent la faiblesse de la protection du dispositif biométrique.

C'est l'un des principaux arguments de Samsung pour son nouveau Galaxy S5 : la présence d'un capteur d'empreintes digitales afin de déverrouiller le terminal et même effectuer des paiements avec PayPal.

La fonction est également mis en avant dans le discours dédié aux entreprises afin de démontrer que le S5 est un terminal sécurisé. Mais comme chacun sait, la sécurité à 100% n'existe pas et le dispositif de Samsung n'a pas mis longtemps à être contourné.

L'exploit est du aux chercheurs allemands de SRlabs "https://srlabs.de/" qui ont utilisé un moule en plastique reproduisant l'empreinte enregistrée qui a été récupérée en photographiant l'écran du smartphone où les traces de doigt sont multiples.Vidéo à l'appui, les experts montrent que la manoeuvre n'est pas bien compliquée.

D'autant plus que le S5 n'intègre pas de système de blocage en cas d'essais répétés (et refusés) de déverrouillage par l'empreinte. On peut alors imaginer les conséquences de ce hack via PayPal par exemple...

Rappelons que TouchID d'Apple, présent sur l'iPhone 5s, n'a lui non plus pas résisté longtemps aux assauts des spécialistes. Le Chaos Computer Club (CCC) a d'ailleurs utilisé la même méthode de la photo et du moule. Ils ont d'abord pris une photographie de l’empreinte de l’utilisateur en 2400 ppp (la résolution utilisée par TouchID).

Cette image a ensuite été inversée puis imprimée en 1200 ppp (avec une imprimante laser grand public) sur une feuille transparente. Une sorte de moule 3D est ensuite réalisé dans lequel est versé du latex. Il suffit alors de décoller la copie 3D de l'empreinte, de l'humidifier et de l'utiliser pour leurrer TouchID.

Un autre membre du CCC souligne : "nous espérons que notre démonstration mettra fin à l’illusion que les gens ont au sujet de la biométrie par empreinte digitale. Il est stupide d’utiliser comme moyen de sécurité quelque chose qu’on ne peut pas changer et que vous laissez toute la journée partout derrière vous".

http://www.youtube.com/watch?feature=player_embedded&v=sfhLZZWBn5Q

19/04/2014

Nvidia : Pilotes Hotfix 337.61 bêta

Nvidia vient de publier un hotfix de ses pilotes 337.50 bêta. Baptisés 337.61 bêta, ces pilotes sont identiques aux 333.50 bêta à deux différences près. Ils corrigent en effet des bugs très spécifiques de compatibilité.

Le premier bug concerne un affichage non fonctionnel sur les écrans Dell 4K UP3214Q et UP2414Q. Le second (peut être plus gênant) concerne les utilisateurs d'Hyper-V, la technologie de virtualisation de Microsoft qui recevaient un code d'erreur 43 lors de l'installation.

Si vous n'êtes pas concernés par ces deux bugs, ces nouveaux pilotes n'apportent aucun autre changement par rapport aux 337.50 bêta. Pour éviter toute confusion, le constructeur les a mis en ligne sur une page spécifique de son site : http://nvidia.custhelp.com/app/answers/detail/a_id/3491

19/04/2014

Apple : iOS 7.1.1 en approche

Après iOS 7.1 qui a constitué une évolution pas si mineure, c'est iOS 7.1.1 qui approche en attendant d'avoir peut-être un aperçu de iOS 8 dans les prochaines semaines.

Le passage à iOS 7, avec l'arrivée des iPhone 5S et 5C, a constitué un tournant plus marqué que les autres années du fait de la révision du design de l'interface sous l'influence de Jony Ive, le monsieur "design industriel" d'Apple et adepte des formes épurées.

Le résultat a conduit à l'élimination des éléments qui donnaient l'illusion du volume dans l'interface, remplacés par des aplats de couleur et une simplification de l'interface, tandis que de nouvelles possibilités sont apparues comme le menu de contrôle des fonctionnalités sans fil accessible d'un glisser du doigt, sans avoir à passer par les réglages.

Comme souvent, quelques ajustements ont été nécessaires, occasionnant la mise à disposition de plusieurs petites mises à jour iOS 7.0.x. Ensuite est arrivée une mise à jour plus sérieuse avec iOS 7.1 qui a apporté son lot d'améliorations et de petites évolutions de l'OS mobile, six mois après le lancement de iOS 7.

Et il semblerait qu'une nouvelle mise à jour mineure iOS 7.1.1, corrigeant quelques bugs, soit sur le point d'être proposée. Elle a été reperée dans les logs du site 9to5Mac, et la fréquence croissante de son apparition indique qu'elle devrait être disponible très prochainement.

De la même façon, le site note que les visites d'appareils sous iOS 8 ont augmenté significativement, accréditant l'idée de la présentation d'une preview durant la conférence WWDC 2014 en juin prochain. Mac OS 10.10 est aussi de la partie et devrait être présenté durant le même événement.