Planète Warez

Savoir faire ça et pas capable de pas laisser de trace 😅

Vous débarquez dans votre laverie automatique préférée, les bras chargés de linge sale, et là, magie magie, grâce à une petite bidouille bien sentie, vous pouvez lancer une lessive gratuite, sans débourser un centime. C’est le rêve, non ? Eh bien, figurez vous que c’est exactement ce qu’ont réussi à faire des étudiants un peu hackers sur les bords.

Alexander Sherbrooke et Iakov Taranenko, 2 petits génies de l’université de Santa Cruz, ont découvert une faille de sécurité dans le système des laveries connectées de CSC ServiceWorks. Je vous parle quand même d’un réseau de plus d’un million de machines à laver installées un peu partout dans le monde, des campus universitaires aux hôtels en passant par les résidences. Bref, un sacré parc de machines qui tournent à plein régime.

Pour y arriver, ils ont bidouillél’API utilisée par l’appli mobile CSC Go. Pour ceux qui ne sont pas familiers avec le jargon technique, une API c’est un truc qui permet à des applis et des appareils de communiquer entre eux au travers du réseau. Dans le cas présent, l’appli CSC Go permet aux utilisateurs de recharger leur compte, de payer et de lancer un cycle de lavage sur une machine proche. Cependant, les serveurs de CSC ne vérifiaient pas correctement qui avait le droit de faire quoi. N’importe qui peut entrer et faire ce qu’il veut. Et c’est exactement ce qu’ont fait nos deux compères.

En analysant le trafic réseau pendant qu’ils utilisaient l’appli CSC Go, Alexander et Iakov ont réussi à court-circuiter les contrôles de sécurité pour envoyer des commandes directement aux serveurs de CSC. Résultat des courses : ils ont pu modifier leur solde, ajouter des millions de dollars virtuels pour le budget lessive, et même localiser et interagir avec toutes les machines du réseau CSC ServiceWorks.

Bien sûr, avoir la lessive gratuite, c’est cool. Mais Alexander et Iakov ont surtout voulu montrer les dangers d’avoir des appareils connectés à Internet sans une sécurité au top. Le pire dans l’histoire, c’est qu’ils ont prévenu CSC ServiceWorks de la faille à plusieurs reprises depuis janvier, mais la société n’a jamais répondu. Pourtant, un simple petit formulaire de contact pour signaler les problèmes de sécurité, ça ne coûte pas bien cher et ça peut éviter de gros dégâts… J’espère juste que ces derniers ne préparent pas une action en justice…

Évidemment, bidouiller des machines à laver pour avoir des lessives gratuites, ce n’est pas l’attaque du siècle mais cela montre qu’il y a encore du boulot côté sécurité pour tous ces objets connectés. Alors pour se protéger de telles vulnérabilités, il est crucial de sécuriser les API en effectuant la vérification des commandes côté serveur plutôt que côté client et en utilisant des tokens d’authentification sécurisés.

En attendant, si vous croisez Alexander et Iakov sur leur campus, vous pouvez leur donner vos slips sales, ils savent y faire pour vous les rendre plus blanc que blanc. ^^

– Sources :

https://techcrunch.com/2024/05/17/csc-serviceworks-free-laundry-million-machines/?guccounter=2&guce_referrer=aHR0cHM6Ly9rb3JiZW4uaW5mby8&guce_referrer_sig=AQAAAJGgWjtlPRUY5eDuGbAGAwdlpdGfm2llGaEVyBgyapPG0GFMuSRGQnmVxjcU0x_EG5PnhV-tJ3Y4m07Dqp7AuH_bbsst2LVYzMBYTbJ3ZSvwrg3zKPc-5nhEUP3Z7nQOMcrCGe8CRmM2p9D9ux1ZGUgR_urZn0PU7UOWRcAtOtrx

https://korben.info/faille-securite-etudiants-piratent-million-machines-laver.html

@Ashura a dit dans L’Hôpital de Cannes victime d’une cyberattaque :

ceux qui s’en prennent à des hôpitaux cest vraiment des sous races

Pareil :angry:

Plutôt que de gâcher du pognon dans des conneries on feraient mieux de sécuriser notre territoire

Faire passer vos projets par une société n’est pas dénué de risque, vous êtes déjà copieusement espionnés par les gafa de toutes les manières possibles, alors que dire d’une I.A. google, par exemple.

Le plus beau de la chose, c’est que pour faire de l’espionnage industriel, il n’y a même plus besoin de former des espions et de les infiltrer, c’est vous qui leur offrez votre travail et que par dessus le marché, vous les payez pour ça. :lol:

Tant que l’I.A. n’est pas interne à une entreprise et soigneusement verrouillée, il vaut mieux s’en passer.

Et une de plus une

Bon pour le moment c’est IBM qui sait comment faire c’est pas dans la nature

Cyberattaque chez MongoDB ! Les pirates sont parvenus à compromettre le système informatique de MongoDB et à accéder à des informations de clients. Voici ce que l’on fait sur cet incident de sécurité.

MongoDB est un système de gestion de base de données, au même titre que MySQL et d’autres solutions, même si MongoDB est totalement différent, car il s’agit d’un système de bases de données NoSQL (bases de données sans tables relationnelles). D’ailleurs, MongoDB est probablement le système NoSQL le plus populaire aujourd’hui…

Lena Smart, la CISO de MongoDB, a envoyé un e-mail aux clients de MongoDB pour les informer qu’une intrusion a été détecté mercredi 13 décembre 2023, dans la soirée, au sein du système informatique de l’entreprise:

MongoDB enquête sur un incident de sécurité impliquant un accès non autorisé à certains systèmes de l’entreprise de MongoDB…

D’après MongoDB, les pirates sont parvenus à accéder aux métadonnées des comptes clients, ainsi qu’aux informations de contacts (numéros de téléphone, adresses électroniques, noms de clients). Les journaux système d’un seul client seraient également entre les mains des pirates.

Par ailleurs, il est précisé ce qui suit :

À ce jour, nous n’avons trouvé aucune preuve d’un accès non autorisé aux clusters MongoDB Atlas. […] Il est important de noter que l’accès au cluster MongoDB Atlas est authentifié via un système distinct des systèmes de l’entreprise MongoDB, et nous n’avons trouvé aucune preuve que le système d’authentification du cluster Atlas a été compromis.

MongoDB Atlas étant un service de base de données multicloud, si les pirates parvenaient à accéder aux données de ce service, cela pourrait être dramatique.

Pour le moment, les investigations sont toujours en cours afin de déterminer les conséquences exactes de cette cyberattaque. Pour suivre l’évolution de cet incident de sécurité, vous pouvez consulter cette page puisqu’elle est utilisée par MongoDB pour partager les dernières informations sur cet incident.

– Source:

https://www.it-connect.fr/cyberattaque-chez-mongodb-voici-ce-que-lon-sait/

Ba au delà de l’exploit, de faire chier le monde, de l’intelligence et la complexité mis en oeuvre, le but est quand même de se faire du pognon. Ils ne bossent pas pour rien à ce stade 😈😆

L’office de contrôle des avoirs étrangers (OFAC - Office of Foreign Assets Control) du Département du Trésor américain a sanctionné la ressortissante russe Ekaterina Zhdanova pour avoir blanchi des millions de dollars en cryptomonnaie pour le compte de diverses personnes, notamment des acteurs de ransomwares.

Zhdanova a utilisé son expertise dans les réseaux de crypto-monnaie et de blockchain pour transférer de l’argent via diverses plateformes telles que Garantex (sanctionné en avril 2022 pour avoir aidé le marché Hydra) afin d’échapper aux contrôles de « lutte contre le blanchiment d’argent et le financement du terrorisme » (AML/CFT).

Un rapport de la société d’analyse blockchain Chainalisys a fourni des informations supplémentaires sur les entreprises publiques de Zhdanova, qui peuvent ou non faire partie de ses stratagèmes complexes de blanchiment d’argent.

L’OFAC et Chainalysis notent que Zhdanova a également exploité ses connexions avec un vaste réseau mondial d’autres blanchisseurs d’argent pour masquer davantage ses activités financières et accéder à une clientèle plus traditionnelle.

– Activité de transfert d’argent de Zhdanova (Chainalysis)

Zhdanova aurait également blanchi plus de 2 300 000 $ de rançons présumées versées à une filiale de l’opération de ransomware Ryuk.

Le gang Ryuk a été actif entre 2018 et 2021 et s’est répandu en attaquant des organisations dans tous les secteurs, y compris les soins de santé pendant la pandémie, et en extorquant aux victimes le montant le plus élevé possible.

– Processus de blanchiment de rançon (Chainalysis)

Le système utilisé par Zhdanova pour dissimuler l’origine illégale de l’argent de la filiale Ryuk impliquait l’ouverture frauduleuse d’un compte d’investissement et la réalisation d’achats immobiliers.

Il est intéressant de noter qu’un autre citoyen russe qui a blanchi de l’argent pour le gang du ransomware Ryuk pendant trois ans a été extradé des Pays-Bas et a récemment plaidé coupable aux États-Unis.

Outre les ransomwares, Zhdanova a également aidé les oligarques russes à échapper aux sanctions imposées par le monde occidental en réponse à l’invasion de l’Ukraine par la Russie.

Dans un cas, elle a facilité le transfert de plus de 100 millions de dollars au nom d’un oligarque russe vers les Émirats arabes unis. Les autorités ont également confirmé plusieurs cas dans lesquels elle a fait en sorte que des clients russes obtiennent la résidence fiscale, des cartes d’identité et des comptes bancaires aux Émirats arabes unis.

À la suite des sanctions de l’OFAC, Ekaterina Zhdanova verra tous ses avoirs basés aux États-Unis gelés, tandis qu’il sera interdit aux personnes et entités américaines d’effectuer des transactions avec elle.

– Source

https://www.bleepingcomputer.com/news/security/us-sanctions-russian-who-laundered-money-for-ryuk-ransomware-affiliate/

Alors eux des traîtres ils vont passer un sale moment

https://www.silicon.fr/majorel-cl0p-moveit-fuite-donnees-pole-emploi-470755.html

@Violence oui je sais bien mais comme la news parlait de lui
Il a du mette en vente ailleurs du coup

@Violence a dit dans Plus de 100 000 pirates se sont fait voler leurs identifiants sur des forums de cybercriminels ! :

Pour moi tous les sites de ce genre ne sont pas français mais je n’ai pas la science infuse et je ne connais pas tt les sites du darkweb. Ça aurait pu être intéressant de savoir

C’est des sites us normalement

En effet, ça montre aussi qu’il n’y a plus de frontières concernant les virus et attaques. Toutes les plateformes sont touchés : Open source, propriétaires, toutes sans exceptions et il est nécessaire (même si ça ne fait pas tout) d’effectuer les mises à jour des OS & applications et d’utiliser des softs le + à jour possible.

t’imagine il font la même pour ygg :affole:

Interessant text alternatif

Si vous pratiquez cette merveilleuse discipline qu’est le Bug Bounty, vous avez surement déjà une boite à outils bien pratique. Mais si vous débutez, la bonne nouvelle c’est que le hacker éthique Kamil Vavra a compilé une « Awesome List » comme seul Github peut en héberger.

Cette liste contient tous les outils pour faire de la reconnaissance de sous domaines, de technologies, de ports…etc et également de l’exploitation type injection de commande, injection SQL, XSS, XXE, File Inclusion…etc.

f05c4b44-12c2-4a54-8186-8fdf27aeee7f-image.png

Vous en aurez pour des heures à regarder et tester tout ça et je pense qu’ensuite ça vous fera gagner un max de temps.

A découvrir ici.

SOURCE: Korben

Il a pris cher.
Son erreur c’est d’avoir fait payer son hack et l’eau qui a fait deborder le vase (pour Big N), c’était l’arrivée des puces alors que Nintendo essayait tant bien que mal, d’essayer de fixer les failles sur les nouvelles révision de Switch.

@violence a dit dans Crypto.com: Un casse à 31 millions de dollars :

D’après le communiqué, ce sont des comptes utilisateurs non protégés par l’authentification à deux facteurs (2FA) qui ont été touchés par les retraits illicites.

C’est la base, quand même, pour sécuriser en ligne les comptes bancaires et autres services financiers !

Pour en savoir plus sur l’authentification à deux facteurs (2FA), j’ai trouvé cette page web qui explique bien ce que c’est, je trouve : https://www.varonis.com/fr/blog/authentification-a-deux-facteurs

c’est plus ce que c’etait les H4x@r, on fait les malins avec des soft tout prêt trouver sur le darkweb mais on ne sait pas se protéger derriere

ou comme dit michmich certains sont tombés pour faire croire que …