L’administration Biden rallie les gouverneurs du pays pour sécuriser leurs installations.

5d77276b-aa33-4e59-9683-885d5d4cbaf0-image.png
Vue aérienne d’une station d’épuration.

L’administration Biden a averti mardi les gouverneurs du pays que les services d’eau potable et de traitement des eaux usées de leurs États étaient confrontés à des « cyberattaques invalidantes » de la part de pays étrangers hostiles qui ciblent les opérations des usines critiques.

Jake Sullivan, assistant du président chargé des affaires de sécurité nationale, et Michael S. Regan, administrateur de l’Environmental Protection Agency “Des cyberattaques invalidantes frappent les systèmes d’eau et de traitement des eaux usées partout aux États-Unis”, ont écrit dans une lettre . « Ces attaques sont susceptibles de perturber la bouée de sauvetage essentielle qu’est l’eau potable et d’imposer des coûts importants aux communautés touchées. »

La lettre citait deux récentes menaces de piratage auxquelles les services d’eau ont été confrontés de la part de groupes soutenus par des pays étrangers hostiles. Un incident s’est produit lorsque des pirates informatiques soutenus par le gouvernement iranien ont désactivé les équipements opérationnels utilisés dans les installations d’eau qui utilisaient encore un mot de passe administrateur par défaut connu du public. La lettre n’identifiait pas l’installation par son nom, mais les détails inclus dans un avis lié liaient le piratage à celui qui a frappé l’autorité municipale des eaux d’Aliquippa, dans l’ouest de la Pennsylvanie, en novembre dernier. Dans ce cas, les pirates ont compromis un contrôleur logique programmable fabriqué par Unitronics et ont fait afficher sur l’écran de l’appareil un message anti-israélien. Les responsables des services publics ont réagi en fermant temporairement une pompe qui fournissait de l’eau potable aux municipalités locales.

La deuxième menace a été révélée publiquement le mois dernier par la Cybersecurity and Infrastructure Security Agency. Les responsables ont déclaré qu’un groupe de piratage soutenu par le gouvernement chinois et suivi sous le nom de Volt Typhoon maintenait un pied dans les réseaux de plusieurs organisations d’infrastructures critiques, notamment celles des secteurs des communications, de l’énergie, des transports, de l’eau et des eaux usées. L’avis indique que les pirates se prépositionnaient au sein des environnements informatiques pour permettre des opérations de perturbation dans plusieurs secteurs d’infrastructures critiques en cas de crise ou de conflit avec les États-Unis. Les pirates, ont indiqué les responsables, étaient présents sur certains réseaux depuis cinq ans.

“Les systèmes d’eau potable et d’assainissement sont une cible attrayante pour les cyberattaques car ils constituent un secteur d’infrastructure vital, mais manquent souvent de ressources et de capacités techniques pour adopter des pratiques de cybersécurité rigoureuses”, ont écrit Sullivan et Regan dans la lettre de mardi. Ils ont ensuite exhorté toutes les installations d’eau à suivre des mesures de sécurité de base telles que la réinitialisation des mots de passe par défaut et la mise à jour des logiciels. Ils ont établi un lien avec cette liste d’actions supplémentaires, publiée par la CISA, ainsi que des conseils et des outils fournis conjointement par la CISA et l’EPA. Ils ont ensuite fourni une liste de ressources en matière de cybersécurité disponibles auprès des entreprises du secteur privé.

La lettre invitait les secrétaires des gouverneurs de chaque État à assister à une réunion pour discuter d’une meilleure sécurisation des infrastructures critiques du secteur de l’eau. Il a également annoncé que l’EPA formait un groupe de travail sur la cybersécurité du secteur de l’eau pour identifier les vulnérabilités des systèmes d’eau. La réunion virtuelle aura lieu jeudi.

“L’EPA et le NSC prennent ces menaces très au sérieux et continueront de collaborer avec les dirigeants des États en matière d’environnement, de santé et de sécurité intérieure pour faire face au risque omniprésent et difficile de cyberattaques contre les systèmes d’eau”, a déclaré Regan dans un communiqué distinct .

Source: https://arstechnica.com/security/2024/03/critical-us-water-systems-face-disabling-cyberattacks-white-house-warns/

Un chercheur en sécurité a identifié un nouveau logiciel malveillant destructeur de données, nommé AcidPour, et qui cible les équipements réseau ainsi que des appareils avec un système Linux. Voici ce que l’on sait sur cette menace.

AcidPour, qui est considéré comme une variante du malware AcidRain, est, ce que l’on appelle un “data wiper”, c’est-à-dire un malware dont l’unique but est de détruire les données présentes sur l’appareil infecté. Autrement dit, le malware AcidPour est destiné à effectuer des actes de sabotages. D’ailleurs, AcidRain a été utilisé dans le cadre d’une cyberattaque contre le fournisseur de communications par satellite Viasat, ce qui avait eu un impact important sur la disponibilité des services en Ukraine et en Europe.

Le malware AcidPour quant à lui, a été identifié par Tom Hegel, chercheur en sécurité chez SentinelLabs, et il a été téléchargé depuis l’Ukraine le 16 mars 2024. Il présente plusieurs similitudes avec AcidRain, notamment au sein des chemins pris pour cible sur les machines infectées. Néanmoins, les deux malwares ont uniquement 30% de code source en commun. AcidPour pourrait être une variante beaucoup plus évoluée et puissante qu’AcidRain, grâce à la “prise en charge” de la destruction de données sur une plus grande variété d’appareils.

AcidPour est un malware destructeur de données capable de s’attaquer à des équipements réseau, notamment des routeurs, mais aussi des appareils avec une distribution Linux embarquée (Linux x86). Par exemple, il pourrait s’agir de cibler des NAS dont le système est basé sur Linux, car le malware s’intéresse aux chemins de type "/dev/dm-XX.

Sur X (ex-Twitter), Rob Joyce, directeur de la cybersécurité de la NSA, affiche une certaine inquiétude vis-à-vis de ce logiciel malveillant :

Il s’agit d’une menace à surveiller. Mon inquiétude est d’autant plus grande que cette variante est plus puissante que la variante AcidRain et qu’elle couvre davantage de types de matériel et de systèmes d’exploitation.

Enfin, sachez que SentinelLabs a partagé un échantillon de ce malware sur VirusTotal, et vous pouvez le retrouver sur cette page publique.

– Sources :

https://www.bleepingcomputer.com/news/security/new-acidpour-data-wiper-targets-linux-x86-network-devices/

https://www.it-connect.fr/acidpour-un-malware-destructeur-de-donnees-qui-cible-linux-et-les-equipements-reseau/

Petite précision supplémentaire cette app (Proton Mail) est extrêmement gourmande en Mo. Si vous avez une connection Internet moyenne oubliez, elle met des plombes à se charger !

b25441b0-6a58-416e-b611-24a81b6ebb87-Live Long & Prosper.jpg

Et une de plus une

Bon pour le moment c’est IBM qui sait comment faire c’est pas dans la nature

Faire passer vos projets par une société n’est pas dénué de risque, vous êtes déjà copieusement espionnés par les gafa de toutes les manières possibles, alors que dire d’une I.A. google, par exemple.

Le plus beau de la chose, c’est que pour faire de l’espionnage industriel, il n’y a même plus besoin de former des espions et de les infiltrer, c’est vous qui leur offrez votre travail et que par dessus le marché, vous les payez pour ça. :lol:

Tant que l’I.A. n’est pas interne à une entreprise et soigneusement verrouillée, il vaut mieux s’en passer.

C’est clair! Et pour ceux qui les font tourner en bourrique !

@duJambon wait and see

Manque de testo ? Trop de soja ?

C’est le contraire qui faut faire, ils ont rien compris 😂

En fait, pour cette histoire de son… C’est assez fou parce que on entendait rien dans les dernières courses que j’ai zieuté. En gros, t’entendais les dérapages des skieuses, les divers sons des gens autour de la piste et parfois, un de ces “Bzzzzz” caractéristique de ces drones pendant quelques femtosecondes.
Cette technique d’isoler le son de la bête et de l’enlever est assez barge. ça doit être pour les athlètes pour qui ces frelons doivent être pénibles.

Sinon, oui… il doit y avoir quelques batteries qui se rechargent vite et quelques drones de réserve.

moi, cette histoire me fait penser à la chanson de Talk Talk - Such a Shame

un de mes clips préférés, soit dit en passant ^^

Bravo même Microsoft qui se font pirater des comme des bleus

Ça fait un moment qu’on peut utiliser simple login ou c’est juste le fait que ça soit intégré direct à ProtonMail ?

@Raccoon OpenBSD ? :ahah:

La 2G n’est pas encore morte, mais les services à distance des premières voitures électriques de Nissan tirent leur révérence. Il ne sera plus possible de contrôler certaines de leurs fonctions depuis l’application mobile du constructeur à partir du 1er avril 2024.

Mauvaise nouvelle pour les propriétaires de Nissan Leaf et e-NV200 produits avant 2016, les services à distance qui permettaient de contrôler certaines de leurs fonctions depuis l’application NissanConnect EV ne seront plus supportés à partir du 1er avril 2024.

L’information a d’abord été communiquée à la BBC pour le marché britannique, et Nissan nous a confirmé que cette date était aussi valable en France.

La possibilité de programmer la charge de sa voiture et de préchauffer l’habitacle à distance étaient des arguments de taille des premières voitures électriques de Nissan, que l’on retrouve aujourd’hui chez presque tous les constructeurs.

Nissan précise qu’il sera toujours possible d’accéder à ces fonctions de programmation depuis l’écran central de la voiture, mais plus depuis son smartphone.

Vers des fins de support en cascade chez les premières voitures connectées ?

Avec la fin du support des services à distance de ses premières voitures électriques, Nissan anticipe l’arrêt du réseau 2G. Il s’agit donc d’un problème plus global touchant entre autres l’automobile ; secteur qui n’a jamais été connu pour être particulièrement à la pointe en matière de connectivité. Les premières voitures connectées, comme les Nissan électriques d’avant 2016, s’appuyaient ainsi pour la plupart sur une connexion 2G seulement. C’était aussi le cas des premières Renault Zoe, par exemple, pour leurs services à distance Z.E. Connect.

On risque donc d’assister à une vague d’arrêts du support de ces fonctions dans l’automobile, parmi de nombreux autres objets connectés mis à l’écart. Les voitures connectées équipées de connexion 3G ont encore quelques années de répit, comme les premières Tesla Model S et BMW i3. Tesla propose par ailleurs de mettre à niveau ses voitures avec un modem LTE.

Pour rappel, la 2G sera entièrement abandonnée en France d’ici à la fin de l’année 2025. La 3G fera ensuite ses adieux en 2028.

Source: https://www.lesnumeriques.com/voiture-electrique/nissan-coupera-les-services-connectes-de-ses-premieres-voitures-electriques-le-1er-avril-n219259.html

Ça aura pas duré longtemps

@duJambon attendons de voir les prix, et vu la taille yaura pas besoin d’en acheter plein

Bonjour, je pense plus à des actualités catastrophe, remarque que si c’est poutine qui prend l’avion, si c’est vraiment une IA, elle le ferait crashée

Il y a pas plus urgent que la commission européenne devrait régler? Et qu’en est il de l’encaissement de ces dites amendes? Et surtout ce quelles financent.

Willison : “Aucun modèle n’a battu GPT-4 sur une gamme de tests largement utilisés comme celui-ci.”

3a657437-6eed-46f3-8412-26503619b590-image.png
Le logo Anthropic Claude 3.

Lundi, Anthropic a publié Claude 3, une famille de trois modèles de langage d’IA similaires à ceux qui alimentent ChatGPT . Anthropic affirme que les modèles établissent de nouvelles références industrielles pour une gamme de tâches cognitives, se rapprochant même des capacités « quasi humaines » dans certains cas. Il est disponible dès maintenant sur le site Web d’Anthropic, le modèle le plus puissant étant uniquement disponible sur abonnement. Il est également disponible via API pour les développeurs.

Les trois modèles de Claude 3 représentent une complexité et un nombre de paramètres croissants : Claude 3 Haiku, Claude 3 Sonnet et Claude 3 Opus. Sonnet alimente désormais gratuitement le chatbot Claude.ai avec une connexion par e-mail. Mais comme mentionné ci-dessus, Opus n’est disponible via l’interface de chat Web d’Anthropic que si vous payez 20 $ par mois pour « Claude Pro », un service d’abonnement proposé via le site Web d’Anthropic. Tous les trois disposent d’une fenêtre contextuelle de 200 000 jetons. (La fenêtre contextuelle correspond au nombre de jetons (fragments d’un mot) qu’un modèle de langage d’IA peut traiter à la fois.)

Nous avons couvert le lancement de Claude en mars 2023 et de Claude 2 en juillet de la même année. À chaque fois, Anthropic s’est retrouvé légèrement en retrait des meilleurs modèles d’OpenAI en termes de capacités tout en les surpassant en termes de longueur de fenêtre contextuelle. Avec Claude 3, Anthropic a peut-être enfin rattrapé les modèles publiés par OpenAI en termes de performances, même s’il n’y a pas encore de consensus parmi les experts - et la présentation des benchmarks d’IA est notoirement encline à la sélection.

a2255192-3531-4e51-94f4-d389b0efdb36-image.png
Un tableau de référence Claude 3 fourni par Anthropic.

Claude 3 aurait démontré des performances avancées dans diverses tâches cognitives, notamment le raisonnement, les connaissances spécialisées, les mathématiques et la maîtrise du langage. (Malgré l’absence de consensus sur la question de savoir si les grands modèles de langage « savent » ou « raisonnent », la communauté des chercheurs en IA utilise couramment ces termes.) La société affirme que le modèle Opus, le plus performant des trois, présente des « niveaux quasi-humains ». de compréhension et d’aisance sur des tâches complexes.

C’est une affirmation assez entêtante et qui mérite d’être analysée avec plus d’attention. Il est probablement vrai qu’Opus est « quasi-humain » selon certains critères spécifiques, mais cela ne signifie pas qu’Opus est une intelligence générale comme un humain (considérez que les calculatrices de poche sont surhumaines en mathématiques). Il s’agit donc d’une affirmation volontairement accrocheuse qui peut être édulcorée par des réserves.

Selon Anthropic, Claude 3 Opus bat GPT-4 sur 10 tests d’IA, dont MMLU (connaissances de premier cycle), GSM8K (mathématiques à l’école primaire), HumanEval (codage) et HellaSwag (connaissance commune), au nom coloré. Plusieurs des victoires sont très étroites, comme 86,8 pour cent pour Opus contre 86,4 pour cent sur un essai en cinq coups de MMLU, et certains écarts sont importants, comme 90,7 pour cent sur HumanEval par rapport aux 67,0 pour cent de GPT-4. Mais il est difficile de dire ce que cela pourrait signifier exactement pour vous en tant que client.

“Comme toujours, les benchmarks LLM doivent être traités avec un peu de suspicion”, déclare le chercheur en IA Simon Willison , qui a parlé avec Ars à propos de Claude 3. "Les performances d’un modèle par rapport aux benchmarks ne vous disent pas grand-chose sur la façon dont le modèle ’ se sent "à utiliser. Mais cela reste une affaire énorme : aucun autre modèle n’a battu GPT-4 sur une gamme de tests de référence largement utilisés comme celui-ci. "

Une large gamme de prix et de performances

Par rapport à son prédécesseur, les modèles Claude 3 présentent des améliorations par rapport à Claude 2 dans des domaines tels que l’analyse, la prévision, la création de contenu, la génération de code et la conversation multilingue. Les modèles auraient également des capacités de vision améliorées, leur permettant de traiter des formats visuels tels que des photos, des graphiques et des diagrammes, similaires à GPT-4V (dans les versions d’abonnement de ChatGPT) et à Gemini de Google.

6f4fa20c-b2af-4106-a68f-c4456a6af460-image.png
Un tableau de référence Claude 3 des capacités de vision multimodale fourni par Anthropic.

Anthropic souligne la vitesse et la rentabilité accrues des trois modèles par rapport aux générations précédentes et aux modèles concurrents. Opus (le plus grand modèle) coûte 15 $ par million de jetons d’entrée et 75 $ par million de jetons de sortie, Sonnet (le modèle intermédiaire) coûte 3 $ par million de jetons d’entrée et 15 $ par million de jetons de sortie, et Haiku (le modèle le plus petit et le plus rapide) coûte 0,25 $ par million de jetons d’entrée. million de jetons d’entrée et 1,25 $ par million de jetons de sortie. d’OpenAI En comparaison, le GPT-4 Turbo via API coûte 10 $ par million de jetons d’entrée et 30 $ par million de jetons de sortie. GPT-3.5 Turbo coûte 0,50 $ par million de jetons d’entrée et 1,50 $ par million de jetons de sortie.

Lorsque nous avons interrogé Willison sur ses impressions sur les performances de Claude 3, il a répondu qu’il n’en avait pas encore eu une idée, mais que le prix API de chaque modèle avait immédiatement attiré son attention. “Le moins cher inédit semble radicalement compétitif”, déclare Willison. “La meilleure qualité est très chère.”

Dans d’autres notes diverses, les modèles Claude 3 pourraient gérer jusqu’à 1 million de jetons pour certains clients (similaires à Gemini Pro 1.5 ), et Anthropic affirme que le modèle Opus a atteint un rappel presque parfait lors d’un test de référence sur cette taille de contexte massive, dépassant 99 pour cent de précision. En outre, la société affirme que les modèles Claude 3 sont moins susceptibles de refuser des invites inoffensives et font preuve d’une plus grande précision tout en réduisant les réponses incorrectes.

Selon une fiche modèle publiée avec les modèles, Anthropic a obtenu les gains de capacités de Claude 3 en partie grâce à l’utilisation de données synthétiques dans le processus de formation. Les données synthétiques désignent les données générées en interne à l’aide d’un autre modèle de langage d’IA, et la technique peut servir à élargir la profondeur des données de formation pour représenter des scénarios qui pourraient manquer dans un ensemble de données récupérées. “La question des données synthétiques est un gros problème”, déclare Willison.

a6786cf3-cb83-4fef-b117-cd8059771a5c-image.png
Un tableau de référence Claude 3 fourni par Anthropic.

Anthropic prévoit de publier des mises à jour fréquentes de la famille de modèles Claude 3 dans les mois à venir, ainsi que de nouvelles fonctionnalités telles que l’utilisation d’outils, le codage interactif et les « capacités agentiques avancées ». L’entreprise affirme qu’elle reste déterminée à garantir que les mesures de sécurité suivent le rythme des progrès en matière de performances de l’IA et que les modèles Claude 3 “présentent actuellement un potentiel négligeable de risque catastrophique”.

Les modèles Opus et Sonnet sont désormais disponibles via l’API d’Anthropic, et Haiku suivra bientôt. Sonnet est également accessible via Amazon Bedrock et en avant-première privée sur Vertex AI Model Garden de Google Cloud.

Un mot sur les benchmarks LLM

Nous nous sommes inscrits à Claude Pro pour essayer Opus par nous-mêmes avec quelques tests informels. Opus semble similaire en termes de capacités à ChatGPT-4. Il ne peut pas écrire des blagues originales sur les papas (toutes semblent avoir été récupérées sur le Web), il est plutôt bon pour résumer des informations et composer du texte dans différents styles, il s’en sort plutôt bien dans l’analyse logique des problèmes de mots, et les confabulations semblent en effet relativement faibles. (mais nous en avons vu quelques-uns se glisser en posant des questions sur des sujets plus obscurs).

Rien de tout cela n’est une réussite ou un échec définitif, et cela peut être frustrant dans un monde où les produits informatiques produisent généralement des chiffres précis et des références quantifiables. “Encore un autre cas de” vibrations “en tant que concept clé de l’IA moderne”, nous a expliqué Willison.

6a172ffa-3e7b-4358-9a17-7ee0aecdc4c0-image.png

0dee9b8b-8be5-4eec-bc5f-4350c3b96095-image.png

Les benchmarks d’IA sont délicats car l’efficacité de tout assistant d’IA est très variable en fonction des invites utilisées et du conditionnement du modèle d’IA sous-jacent. Les modèles d’IA peuvent donner de bons résultats « au test » (pour ainsi dire), mais ne parviennent pas à généraliser ces capacités à de nouvelles situations.

De plus, l’efficacité de l’assistant IA est très subjective (d’où les « vibrations » de Willison). En effet, il est difficile de quantifier (par exemple, dans une mesure de référence) qu’un modèle d’IA réussisse à faire ce que vous voulez faire, alors que la tâche que vous lui confiez peut être littéralement n’importe quelle tâche dans n’importe quel domaine intellectuel sur terre. Certains modèles fonctionnent bien pour certaines tâches et pas pour d’autres, et cela peut varier d’une personne à l’autre en fonction de la tâche et du style d’incitation.

Cela vaut pour chaque grand modèle de langage proposé par des fournisseurs tels que Google, OpenAI et Meta, et pas seulement pour Claude 3. Au fil du temps, les gens ont découvert que chaque modèle avait ses propres particularités, et que les forces et les faiblesses de chaque modèle pouvaient être adoptées ou contournées en utilisant certaines techniques d’incitation. À l’heure actuelle, il semble que les principaux assistants d’IA s’installent dans une suite de fonctionnalités très similaires.

Et donc, le point de tout cela est que quand Anthropic dit que Claude 3 peut surpasser GPT-4 Turbo, qui est actuellement encore largement considéré comme le leader du marché en termes de capacité générale et de faibles hallucinations, il faut prendre cela avec un peu de prudence. de sel ou une dose de vibrations. Si vous envisagez différents modèles, il est essentiel de tester personnellement chaque modèle pour voir s’il correspond à votre application, car il est probable que personne d’autre ne puisse reproduire l’ensemble exact des circonstances dans lesquelles vous l’utiliseriez.

Cela vaut pour chaque grand modèle de langage proposé par des fournisseurs tels que Google, OpenAI et Meta, et pas seulement pour Claude 3. Au fil du temps, les gens ont découvert que chaque modèle avait ses propres particularités, et que les forces et les faiblesses de chaque modèle pouvaient être adoptées ou contournées en utilisant certaines techniques d’incitation. À l’heure actuelle, il semble que les principaux assistants d’IA s’installent dans une suite de fonctionnalités très similaires.

Et donc, le point de tout cela est que quand Anthropic dit que Claude 3 peut surpasser GPT-4 Turbo, qui est actuellement encore largement considéré comme le leader du marché en termes de capacité générale et de faibles hallucinations, il faut prendre cela avec un peu de prudence. de sel ou une dose de vibrations. Si vous envisagez différents modèles, il est essentiel de tester personnellement chaque modèle pour voir s’il correspond à votre application, car il est probable que personne d’autre ne puisse reproduire l’ensemble exact des circonstances dans lesquelles vous l’utiliseriez.

Source: https://arstechnica.com/information-technology/2024/03/the-ai-wars-heat-up-with-claude-3-claimed-to-have-near-human-abilities/

Le terme Intelligence artificielle devrait être définitivement banni pour les modèles prédictifs.

Les pirates informatiques soutenus par le gouvernement nord-coréen ont remporté une victoire majeure lorsque Microsoft a laissé un logiciel Windows Zero Day sans correctif pendant six mois après avoir appris qu’il était activement exploité.

Même après que Microsoft ait corrigé la vulnérabilité le mois dernier, la société n’a pas mentionné que le groupe nord-coréen Lazarus utilisait cette vulnérabilité depuis au moins août pour installer un rootkit furtif sur des ordinateurs vulnérables. Cette vulnérabilité offrait un moyen simple et furtif aux logiciels malveillants qui avaient déjà obtenu les droits d’administration du système d’interagir avec le noyau Windows. Lazarus a utilisé cette vulnérabilité précisément pour cela. Malgré cela, Microsoft affirme depuis longtemps que de telles élévations de l’administrateur au noyau ne représentent pas le franchissement d’une frontière de sécurité, une explication possible du temps mis par Microsoft pour corriger la vulnérabilité.

Un rootkit « Saint Graal »

“En matière de sécurité Windows, la frontière est mince entre l’administrateur et le noyau”, a expliqué la semaine dernière Jan Vojtěšek, chercheur de la société de sécurité Avast. de Microsoft « Les critères de sécurité affirment depuis longtemps que « [l]'administrateur vers le noyau ne constitue pas une limite de sécurité », ce qui signifie que Microsoft se réserve le droit de corriger les vulnérabilités de l’administrateur vers le noyau à sa propre discrétion. Par conséquent, le modèle de sécurité de Windows ne garantit pas qu’il empêchera un attaquant de niveau administrateur d’accéder directement au noyau.

La politique de Microsoft s’est avérée être une aubaine pour Lazarus en installant « FudModule », un rootkit personnalisé qui, selon Avast, était exceptionnellement furtif et avancé. Les rootkits sont des logiciels malveillants qui ont la capacité de cacher leurs fichiers, processus et autres fonctionnements internes au système d’exploitation lui-même tout en contrôlant les niveaux les plus profonds du système d’exploitation. Pour fonctionner, ils doivent d’abord obtenir des privilèges administratifs, une réussite majeure pour tout malware infectant un système d’exploitation moderne. Ensuite, ils doivent franchir un autre obstacle : interagir directement avec le noyau, le recoin le plus profond d’un OS réservé aux fonctions les plus sensibles.

Au cours des années passées, Lazarus et d’autres groupes malveillants ont atteint ce dernier seuil principalement en exploitant des pilotes système tiers, qui, par définition, ont déjà accès au noyau. Pour fonctionner avec les versions prises en charge de Windows, les pilotes tiers doivent d’abord être signés numériquement par Microsoft pour certifier qu’ils sont dignes de confiance et répondent aux exigences de sécurité. Dans le cas où Lazarus ou un autre acteur malveillant a déjà surmonté l’obstacle de l’administration et identifié une vulnérabilité dans un pilote approuvé, ils peuvent l’installer et exploiter la vulnérabilité pour accéder au noyau Windows. Cette technique, connue sous le nom de BYOVD (apportez votre propre pilote vulnérable), a cependant un coût, car elle offre aux défenseurs de nombreuses possibilités de détecter une attaque en cours.

La vulnérabilité exploitée par Lazarus, identifiée comme CVE-2024-21338, offrait beaucoup plus de furtivité que BYOVD car elle exploitait appid.sys, un pilote activant le service Windows AppLocker, préinstallé dans le système d’exploitation Microsoft. Avast a déclaré que de telles vulnérabilités représentaient le « Saint Graal », par rapport au BYOVD.

En août, les chercheurs d’Avast ont envoyé à Microsoft une description de la faille, ainsi qu’un code de validation démontrant ce qu’il faisait lorsqu’il était exploité. Microsoft n’a corrigé la vulnérabilité que le mois dernier. Même alors, la divulgation de l’exploitation active du CVE-2024-21338 et des détails du rootkit Lazarus n’est pas venue de Microsoft en février mais d’Avast 15 jours plus tard. Un jour plus tard, Microsoft a mis à jour son bulletin de correctif pour noter l’exploitation.

On ne sait pas exactement ce qui a causé le retard ou l’absence initiale de divulgation. Microsoft n’a pas immédiatement reçu de réponses aux questions envoyées par courrier électronique.

Quelle que soit la raison, l’attente de six mois a donné à Lazarus un moyen beaucoup plus efficace et furtif d’installer FudModule. Une fois en place, le rootkit a permis à Lazarus de contourner les défenses clés de Windows telles que Endpoint Detection and Response , Protected Process Light (conçu pour empêcher la falsification des processus de protection des points finaux) et la prévention de la lecture de la mémoire et de l’injection de code par des processus non protégés. Vojtěšek d’Avast a expliqué :

Du point de vue de l’attaquant, passer de l’administrateur au noyau ouvre un tout nouveau domaine de possibilités . Avec un accès au niveau du noyau, un attaquant peut perturber les logiciels de sécurité, dissimuler les indicateurs d’infection (notamment les fichiers, l’activité réseau, les processus, etc.), désactiver la télémétrie en mode noyau, désactiver les atténuations, etc. De plus, comme la sécurité de PPL (Protected Process Light) repose sur la frontière entre l’administrateur et le noyau, notre attaquant hypothétique a également la possibilité de falsifier les processus protégés ou d’ajouter une protection à un processus arbitraire. Cela peut être particulièrement puissant si lsass est protégé par RunAsPPL , car le contournement de PPL pourrait permettre à l’attaquant de supprimer des informations d’identification autrement inaccessibles.

Le chercheur a ensuite écrit :

Si un attaquant, malgré tous ces obstacles, parvient à exploiter une vulnérabilité zero-day dans un pilote intégré, il sera récompensé par un niveau de furtivité qui ne peut être égalé par une exploitation BYOVD standard. En exploitant une telle vulnérabilité, l’attaquant vit en quelque sorte de la terre sans avoir besoin d’apporter, de supprimer ou de charger des pilotes personnalisés, ce qui permet à une attaque du noyau d’être véritablement sans fichier. Cela évite non seulement la plupart des mécanismes de détection, mais permet également d’attaquer les systèmes sur lesquels la liste blanche des pilotes est en place (ce qui peut sembler un peu ironique, étant donné que CVE-2024-21338 concerne un pilote AppLocker).

Bien que nous ne puissions que spéculer sur la motivation de Lazarus pour choisir cette troisième approche pour franchir la frontière entre l’administrateur et le noyau, nous pensons que la furtivité était leur principale motivation. Compte tenu de leur niveau de notoriété, ils devraient échanger leurs vulnérabilités chaque fois que quelqu’un brûlait leur technique BYOVD actuellement utilisée. Peut-être ont-ils également pensé qu’en allant au-delà du BYOVD, ils pourraient minimiser le besoin d’échange en restant indétectés plus longtemps.

Vulnérabilité ou non, patchez dès que possible

Le chercheur indépendant Kevin Beaumont a qualifié la gestion de la vulnérabilité par l’entreprise de « autre problème de la part de Microsoft ».

Source: https://arstechnica.com/security/2024/03/hackers-exploited-windows-0-day-for-6-months-after-microsoft-knew-of-it/