Des pirates informatiques inconnus se vantent d'avoir pénétrés et volés des données de plusieurs agences gouvernementales et d'organisations. La NASA, agence spatiale américaine, et la ESA, son homologue européen, ont déjà admis qu'une attaque a bien eu lieu.

Début Mai, un groupe se référant comme The Unknowns, a annoncé qu'il avait piraté les systèmes de 10 organisations différentes et a publié les documents et autres données qui viendraient de ces serveurs.

La NASA a confirmé à ZDNet que l'attaque a bien eu lieu le 20 Avril, mais a noté "qu'aucune information sensible ou contrôlée" n'a été compromise. La ESA a également admis avoir subi une attaque qui, selon elle, a été faite via une injection SQL. En plus des deux agences spatiales, d'autres victimes présumées sont l'US Air Force, le ministère Français et l'Université de Harvard.

Quelques jours après l'attaque, The Unknowns a annoncé que les organisations concernées sont désormais largement protégées contre le type d'attaque qui a été utilisé, indiquant que cela avait été l'objectif de leurs attaques.

Bonjour à tous! J'ai le plaisir d'inaugurer cette nouvelle catégorie appelée Keep in Mind. Celle-ci recensera un petit résumé de pas mal d'actualités que j'ai l'occasion de dénicher et qui ne nécessitent pas forcément une news pour chacune mais aussi d'un peu de blabla autour ce que je fais en ce moment.

Voici le contenu de ce KiM #1 :

• X-Proxy : Gestionnaire de Proxy sur Windows.
• Interdiction des iPhone en Corée du Sud.
• Outils qui exploitent les vulnérabilités sur l'interface Firewire.
• Linux Triage Tools 1.0 : Classer les bugs d'applications selon leur gravité.

Lire la suite...

Le blog whitec0de.com rapporte que, pour 20 dollars, un membre d'un forum est prêt à pirater un compte hotmail en moins d'une minute (et il a tenu sa parole). Apparemment, le pirate a découvert une vulnérabilité critique dans le service e-mail de Microsoft sur un forum de sécurité, et la faille lui a permis de changer les mots de passe des utilisateurs de Hotmail de manière arbitraire.

Le blog affirme que les différents utilisateurs ont été affecté en utilisant par exemple leur compte Hotmail pour accéder à des services tels que Paypal. Apparemment, la vulnérabilité a été aussi exploitée pour changer l'adresse e-mail du compte en quelque chose de plus court comme ab@hotmail.com et xxx@hotmail.com.

Benjamin Kunz Mejri, un expert en sécurité a découvert la faille un petit moment après la découverte des incidents décrits juste au-dessus et a dévoilé les détails de la vulnérabilité dans un advisory. Selon l'expert, la faille était présente dans la fonctionnalité de "Reset du mot de passe" (au cours d'une étape de ce processus, le serveur Hotmail vérifie l'existence du jeton mais pas sa valeur).

L'advisory dit qu'en injectant un jeton du type "+++)-" dans certaines demandes, les pirates ont réussi à prendre le contrôle de tout le compte. Benjamin Kunz Mejri a ajouté qu'il a notifié Microsoft le 6 Avril et que la compagnie a réglé le problème le 21 Avril.

Les forums en ligne ont, pendant un certain temps, été la cible de pirates qui y ont injectés du code malveillant. Cependant ici, les pirates ne sont pas intéressés par la publication de slogans sympas ou de messages politiques. Ici ils cherchent un moyen de se faire de l'argent.

Comment? En volant le trafic Google à partir des forums et en exploitant ce trafic par l'intermédiaire d'annonces publicitaires. Leurs principales cibles semblent être des forums qui sont basés sur le célèbre vBulletin.

Contrairement aux pirates du type "Look how cool I am", ces pirates ont mis au point une méthode de travail assez discrète. Ils injectent leur code en profondeur dans le système et font en sorte que les redirections n'attirent pas beaucoup l'attention. Seuls les utilisateurs qui visitent les pages du forum pour la première fois par l'intermédiaire d'un moteur de recherche comme Google sont redirigés vers une url du type url123.info. Ce site affiche d'abord une alerte étrange de blocage (Access denied), suivi d'un texte arbitraire, puis charge des annonces sur toute la page via InfinityAds. Les annonces sont probablement une source directe de revenus pour les intrus, même si chaque annonce ne vaut que quelques centimes. Cependant, un ensemble de webmasters ont indiqué que le trafic sur leur site a chuté de plus de 70% et cela concernerait un nombre encore plus considérable de forums.

Les utilisateurs réguliers qui accèdent directement à un forum ne rencontreront jamais cette redirection. Pas plus que ceux qui tentent de reproduire le problème en cliquant plusieurs fois sur un lien vers le forum sur Google car un cookie existe déjà pour la page. Pour faire un test de façon fiable, essayez de naviguer en mode privé ou effacez simplement vos cookies.

Certains forums ont été touchés il y a quelques mois et la cause précise reste incertaine. Plusieurs intervenants ont soupçonné une connexion à vbSEO (une extension SEO pour vBulletin). Il semble que cette extension a été compromise d'une certaine manière qui a permis aux pirates d'installer des plugins malveillants avec le compte administrateur du forum.

Dans leur FAQ, les développeurs vbSEO ont fourni un outil pour tester son installation de vBulletin sur son serveur mais d'autres développeurs de vBulletin recommandent un test plus générique.

Des serveurs du ministère du pétrole Iranien ont été infecté par des malwares qui est, à ce jour, la seule information valable sur lequel les services des renseignements Iraniens se sont basés pour appeler ceci une "cyberattaque" sur l'industrie exportatrice de pétrole du pays...

Dans un premier temps, il y avait des rapports disant qu'un pirate avait attaqué le système de contrôle d'un terminal de chargement de pétrole brut sur l'île de Kharg (arrêtez de penser à BF3 ;p) qui ont été controversés le 22 Avril. Les serveurs web du ministère du pétrole sont devenus temporairement indisponibles suite à l'attaque.

Puis ça a changé de ton et maintenant l'attaque n'était plus du tout en rapport avec un pirate venant d'Internet mais d'une infection due à un malware sur place. Initialement, les serveurs auraient été paralysé par un ver et plus tard, les médias ont dit que l'incident a été causé par un virus appelé "Wiper". Selon les premiers rapports, les serveurs principaux ont été déconnectés des systèmes affectés pour empêcher le malware de se propager.

Quels que soient les faits réels, il apparaît que le malware a effacé des données. Un rapport a même prétendu qu'il a endommagé des cartes mère. Le ministère a fait remarquer que, dans tous les cas, aucune donnée pertinente était en danger parce que les sauvegardes de ces données sont réalisées de façon régulière. Les pertes potentielles de données ne toucheraient que des utilisateurs privés, a-t-il ajouté.

Suite à cela, le gouvernement est en train de former un "Conseil Suprême du Cyberespace" (Supreme Council of Cyberspace) pour contrecarrer les menaces venant d'Internet. Ils ont aussi récemment niés qu'il prévoyaient de complètement couper leurs citoyens d'Internet...

Les choses arrivent souvent au bon moment n'est-ce pas ?