Planète Warez

regarde ya la video pour spotify perso m’en fou 🙂 mais merci pour la news

Merde du coup, ils ont enregistré quand je leur ai demandé un poème sur Hitler :ahah:

si les mecs commencent à récupérer des signatures officielles ça va être un beau bordel

@Jean-François 😕 racheté par Avast… ce n’est pas une bonne nouvelle. J’espère que des forks vont vite voir le jour.

@Violence il était temps ! Ca fait au moins 2 ans que Microsoft avait désactivé la possibilité de faire une GPO pour changer le mot de passe admin local d’un poste, car il était diffusé en clair sur le réseau, sans réellement proposé d’alternative si ce n’est d’installer et de déployer LAPS.

j’utilise toujours le site tool de microsoft en exe 🙂

et la 4.5.2 ne me pose aucun souci …

BlackLotus représente une étape majeure dans l’évolution continue des bootkits UEFI.

Les chercheurs ont annoncé mercredi une découverte majeure en matière de cybersécurité : la première instance connue au monde de malwares réels capables de détourner le processus de démarrage d’un ordinateur même lorsque Secure Boot et d’autres protections avancées sont activés et exécutés sur des versions entièrement mises à jour de Windows.

Surnommé BlackLotus, le malware est ce qu’on appelle un bootkit UEFI. Ces logiciels malveillants sophistiqués ciblent l’UEFI, abréviation de Unified Extensible Firmware Interface , la chaîne de microprogrammes de bas niveau et complexe responsable du démarrage de pratiquement tous les ordinateurs modernes. En tant que mécanisme qui relie le micrologiciel d’un périphérique PC à son système d’exploitation, l’UEFI est un système d’exploitation à part entière. Il est situé dans une SPI et soudée sur la carte mère de l’ordinateur, ce qui le rend difficile à inspecter ou à corriger. Les bootkits précédemment découverts tels que CosmicStrand , MosaicRegressor et MoonBounce fonctionnent en ciblant le micrologiciel UEFI stocké dans la puce de stockage flash. D’autres, dont BlackLotus, ciblent les logiciels stockés dans la partition système EFI .

Étant donné que l’UEFI est la première chose à exécuter lorsqu’un ordinateur est allumé, il influence le système d’exploitation, les applications de sécurité et tous les autres logiciels qui suivent. Ces caractéristiques font de l’UEFI l’endroit idéal pour lancer des logiciels malveillants. En cas de succès, les bootkits UEFI désactivent les mécanismes de sécurité du système d’exploitation et garantissent qu’un ordinateur reste infecté par des logiciels malveillants furtifs qui s’exécutent en mode noyau ou en mode utilisateur, même après la réinstallation du système d’exploitation ou le remplacement d’un disque dur.

Aussi attrayant que cela puisse être pour les acteurs de la menace d’installer des logiciels malveillants presque invisibles qui ont un accès au niveau du noyau, il y a quelques obstacles redoutables qui se dressent sur leur chemin. L’une est l’exigence qu’ils piratent d’abord l’appareil et obtiennent les droits d’administrateur du système, soit en exploitant une ou plusieurs vulnérabilités du système d’exploitation ou des applications, soit en incitant un utilisateur à installer un logiciel cheval de Troie. Ce n’est qu’après que cet obstacle est franchi que l’auteur de la menace peut tenter une installation du bootkit.

La deuxième chose qui fait obstacle aux attaques UEFI est UEFI Secure Boot , une norme à l’échelle de l’industrie qui utilise des signatures cryptographiques pour garantir que chaque logiciel utilisé lors du démarrage est approuvé par le fabricant d’un ordinateur. Secure Boot est conçu pour créer une chaîne de confiance qui empêchera les attaquants de remplacer le micrologiciel de démarrage prévu par un micrologiciel malveillant. Si un seul lien de micrologiciel dans cette chaîne n’est pas reconnu, Secure Boot empêchera le démarrage de l’appareil.

Alors que les chercheurs ont trouvé des vulnérabilités de Secure Boot dans le passé, rien n’indique que les acteurs de la menace aient jamais été en mesure de contourner la protection au cours des 12 années d’existence. Jusqu’ici.

Mercredi, des chercheurs de la société de sécurité ESET ont présenté une analyse approfondie du premier kit de démarrage UEFI sauvage au monde qui contourne le démarrage sécurisé sur des systèmes UEFI entièrement mis à jour exécutant des versions entièrement mises à jour de Windows 10 et 11. Bien qu’il n’y ait pas de chaînes ou d’autres indicateurs montrant directement le nom des créateurs ou le bootkit, les chercheurs d’ESET ont conclu qu’il correspond presque certainement à un bootkit, connu sous le nom de BlackLotus, qui a été annoncé dans les forums de cybercriminalité clandestins depuis l’année dernière. Le prix : 5 000 $, et 200 $ par la suite pour les mises à jour.

c31a5de6-81cd-4940-8cff-c90437ff1a1d-image.png

Pour vaincre Secure Boot, le bootkit exploite CVE-2022-21894 , une vulnérabilité dans toutes les versions prises en charge de Windows que Microsoft a corrigée en janvier 2022. La faille logique, appelée Baton Drop par le chercheur qui l’a découverte, peut être exploitée pour supprimer Secure Boot fonctionne à partir de la séquence de démarrage lors du démarrage. Les attaquants peuvent également abuser de la faille pour obtenir des clés pour BitLocker, une fonctionnalité Windows permettant de chiffrer les disques durs.

CVE-2022-21894 s’est avéré particulièrement précieux pour les créateurs de BlackLotus. Bien que Microsoft publie de nouveaux logiciels corrigés, les fichiers binaires signés vulnérables n’ont pas encore été ajoutés à la liste de révocation UEFI qui signale les fichiers de démarrage auxquels il ne faut plus faire confiance. Microsoft n’a pas expliqué la raison, mais cela a probablement à voir avec des centaines de chargeurs de démarrage vulnérables qui sont encore utilisés aujourd’hui. Si ces binaires signés sont révoqués, des millions d’appareils ne fonctionneront plus. Par conséquent, les appareils entièrement mis à jour restent vulnérables car les attaquants peuvent simplement remplacer les logiciels corrigés par des logiciels plus anciens et vulnérables.

Dans un e-mail, Jean-Ian Boutin, directeur de la recherche sur les menaces chez ESET, a écrit :

Le dernier point à retenir est que le kit de démarrage UEFI BlackLotus est capable de s’installer sur des systèmes à jour en utilisant la dernière version de Windows avec le démarrage sécurisé activé. Même si la vulnérabilité est ancienne, il est toujours possible de l’exploiter pour contourner toutes les mesures de sécurité et compromettre le processus de démarrage d’un système, donnant à l’attaquant le contrôle de la première phase du démarrage du système. Cela illustre également une tendance où les attaquants se concentrent sur la partition système EFI (ESP) par opposition au micrologiciel pour leurs implants, sacrifiant la furtivité pour un déploiement plus facile, mais permettant un niveau similaire de capacités.

BlackLotus est écrit dans les langages d’assemblage et de programmation C, permettant aux développeurs de regrouper une suite complète de fonctionnalités puissantes dans un fichier qui ne prend que 80 Ko d’espace de stockage. Il peut désactiver de manière fiable non seulement Secure Boot, mais plusieurs autres mécanismes de sécurité du système d’exploitation, notamment Bitlocker, Hypervisor-protected Code Integrity (HVCI) et Windows Defender. Une fois BlackLotus entièrement installé, le bootkit déploie un pilote de noyau personnalisé qui, entre autres, empêche le bootkit d’être supprimé de l’ESP. Il installe également un téléchargeur HTTP qui communique avec un serveur de commande et de contrôle exploité par l’attaquant et peut charger des charges utiles supplémentaires en mode utilisateur ou en mode noyau.

Comme Boutin d’ESET l’a mentionné ci-dessus, plutôt que de s’enliser dans les complexités du micrologiciel UEFI et d’avoir à vaincre diverses détections de mémoire intégrées dans la puce flash connectée SPI qui le stocke, les développeurs de BlackLotus déploient des fichiers binaires standard sur la partition système EFI . L’ESP, comme il est abrégé, est une partition de disque traditionnelle beaucoup plus facile d’accès. Contrairement à la puce flash, l’ESP ne dispose pas de protections telles que BIOS Write Enable, BIOS Lock Enable et SPI Protected Ranges, ce qui rend difficile l’écriture ou la modification des données stockées.

Dans Wednesday’s deep dive de mercredi, le chercheur d’ESET, Martin Smolár, a écrit :

L’exécution en tant que bootloader leur donne presque les mêmes capacités que les implants de micrologiciels, mais sans avoir à surmonter les défenses flash SPI à plusieurs niveaux, telles que les bits de protection BWE, BLE et PRx, ou les protections fournies par le matériel (comme Intel Boot Guard). Bien sûr, UEFI Secure Boot fait obstacle aux bootkits UEFI, mais il existe un nombre non négligeable de vulnérabilités connues qui permettent de contourner ce mécanisme de sécurité essentiel. Et le pire, c’est que certains d’entre eux sont encore facilement exploitables sur des systèmes à jour, même au moment d’écrire ces lignes, y compris celui exploité par BlackLotus.

Le graphique suivant illustre une vue d’ensemble simplifiée de la chaîne d’exécution BlackLotus:

5ea429f8-d703-4fe0-a0f5-46a5dc92b9eb-image.png

Il y a trois sections principales dans la chaîne :

Un programme d’installation déploie des fichiers sur l’ESP , comme illustré à l’étape 1 de la figure ci-dessus. Le programme d’installation désactive ensuite HVCI et BitLocker et redémarre l’appareil. Le programme d’installation semble avoir deux versions : une avec des binaires vulnérables intégrés et une autre qui les télécharge directement depuis Microsoft. Cette dernière version du programme d’installation télécharge des fichiers binaires, notamment :

https://msdl.microsoft.com/download/symbols/bootmgfw.efi/7144BCD31C0000/bootmgfw.efi
https://msdl.microsoft.com/download/symbols/bootmgr.efi/98B063A61BC000/bootmgr.efi
https://msdl.microsoft.com/download/symbols/hvloader.efi/559F396411D000/hvloader.efi

Si le programme d’installation ne dispose pas déjà d’autorisations système d’administrateur, il essaie d’élever ses autorisations actuelles en utilisant cette méthode pour contourner le contrôle de compte d’utilisateur Microsoft, une protection de sécurité conçue pour empêcher les modifications non autorisées du système d’exploitation à moins qu’elles ne soient approuvées par un compte. avec des droits administratifs.

Le programme d’installation désactive HVCI en définissant la valeur de registre enabled sous la clé de registre HypervisorEnforcedCodeIntegrity sur zéro, comme décrit ici . Le HVCI garantit que tous les pilotes et binaires en mode noyau sont signés avant de pouvoir s’exécuter. Le programme d’installation le désactive afin que le noyau non signé personnalisé mentionné précédemment puisse être installé ultérieurement dans la chaîne d’exécution.

Le programme d’installation doit également désactiver BitLocker car il peut être utilisé en combinaison avec un module de plateforme sécurisée pour garantir que le démarrage sécurisé n’a pas été altéré. Pour ce faire, le programme d’installation appelle la méthode DisableKeyProtectors, avec le paramètre DisableCount défini sur zéro.

1636c36c-7624-499e-a0aa-46f090550bc9-image.png

Une fois l’appareil redémarré, BlackLotus gagne en persistance , ce qui signifie qu’il s’exécutera à chaque démarrage de l’appareil. Pour ce faire, le logiciel malveillant exploite CVE-2022-21894 et, lorsque le démarrage sécurisé est activé, enregistre une clé de propriétaire de machine (MOK). Un MOK permet aux propriétaires d’appareils exécutant des systèmes d’exploitation non Windows de générer des clés qui signent des composants non Microsoft pendant le processus de démarrage. Le MOK est utilisé en combinaison avec ce qu’on appelle un chargeur de shim, qui est signé par divers distributeurs Linux. Ce processus MOK est illustré dans l’image de droite.

Les étapes 2 à 4 de la figure ci-dessus montrent que cela s’intègre dans la chaîne d’exécution globale de BlackLotus. L’image ci-dessous montre le certificat auto-signé correspondant au MOK.

fffe6b79-547a-42e5-89fb-0c16d1297ebf-image.png
Un certificat auto-signé pour le malware BlackLotus. Notez l’émetteur NM “When they Cry CA”, une référence à la Higurashi When They Cry série animée

Smolar d’ESET a expliqué :

En bref, ce processus se compose de deux étapes clés :

1 Exploitation de CVE-2022-21894 pour contourner la fonction Secure Boot et installer le bootkit. Cela permet l’exécution de code arbitraire dans les premières phases de démarrage, où la plate-forme appartient toujours au micrologiciel et les fonctions des services de démarrage UEFI sont toujours disponibles. Cela permet aux attaquants de faire de nombreuses choses qu’ils ne devraient pas pouvoir faire sur une machine avec UEFI Secure Boot activé sans y avoir physiquement accès, comme modifier les variables NVRAM des services de démarrage uniquement. Et c’est ce dont les attaquants profitent pour configurer la persistance du bootkit à l’étape suivante.

2 Définir la persistance en écrivant son propre MOK dans MokList , [dans la] variable NVRAM des services de démarrage uniquement. Ce faisant, il peut utiliser un shim légitime signé par Microsoft pour charger son kit de démarrage UEFI auto-signé (signé par la clé privée appartenant à la clé écrite dans MokList ) au lieu d’exploiter la vulnérabilité à chaque démarrage.

Le message ESET fournit des descriptions plus détaillées de l’exploitation de CVE-2022-21894 et gagne en persistance ici et ici.

Dès lors, à chaque démarrage de l’appareil, le bootkit auto-signé de l’attaquant est exécuté. Comme expliqué précédemment, le bootkit s’assure que le pilote du noyau empêchant la suppression des fichiers et le téléchargeur HTTP sont installés (étapes 5 à 9). Depuis le poste :

Le pilote du noyau est responsable de :

Déploiement du composant suivant de la chaîne : un téléchargeur HTTP
Garder le chargeur en vie en cas de résiliation
Protection des fichiers de bootkit contre la suppression d’ESP
Exécuter des charges utiles de noyau supplémentaires, si cela est demandé par le téléchargeur HTTP
Désinstallation du bootkit, si cela est demandé par le téléchargeur HTTP

Le téléchargeur HTTP est responsable de :

Communiquer avec son C&C
Exécuter les commandes reçues du C&C
Téléchargement et exécution des charges utiles reçues du C&C (prend en charge les charges utiles du noyau et les charges utiles du mode utilisateur)

b8d216a7-81da-4742-aaab-1c252bc4590d-image.png

On ne sait pas qui est derrière BlackLotus. Un indice, cependant, peut être dans les restrictions trouvées dans certains des exemples qui empêchent l’exécution si un périphérique est situé dans :

Moldavie (roumain), ro-MD Moldavie (russe), ru-MD Russie (russe), ru-RU Ukraine (ukrainien), uk-UA Biélorussie (biélorusse), be-BY Arménie (arménien), hy-AM Kazakhstan (Kazakh), kk-KZ

Souvent, les attaquants dans l’un de ces pays s’efforcent de ne pas infecter les appareils là-bas pour éviter d’être arrêtés et poursuivis, car ces endroits ont des traités autorisant l’extradition, bien qu’ils n’aient généralement pas de traités d’extradition avec les États-Unis et d’autres pays occidentaux.

On ne sait pas non plus combien d’appareils ont été infectés par BlackLotus ni comment il est installé. Comme mentionné précédemment, le programme d’installation doit obtenir des autorisations d’administrateur pour s’exécuter. C’est une barre haute qui signifie qu’un ordinateur est déjà complètement compromis. Dans un communiqué, les responsables de Microsoft ont écrit : « Cette technique [pour exploiter CVE-2022-21894] nécessite un accès administratif pour les attaques à distance ou un accès physique pour les attaques locales. Nous enquêtons plus avant et ferons le nécessaire pour assurer la sécurité et la protection de nos clients. »

Pour l’instant, le seul moyen d’empêcher les infections par BlackLotus est de s’assurer que tous les correctifs de système d’exploitation et d’application disponibles ont été installés. Cela n’empêchera pas le bootkit de s’exécuter, mais il sera plus difficile pour le programme d’installation d’obtenir les privilèges administratifs dont il a besoin. Les produits antivirus qui surveillent les micrologiciels à la recherche de falsifications malveillantes peuvent également fournir un certain niveau de protection.

Malgré la barre haute, BlackLotus pourrait s’avérer utile comme alternative aux formes plus traditionnelles de logiciels malveillants de porte dérobée, qui nécessitent également des autorisations d’administrateur. BlackLotus est plus difficile à détecter que de nombreux logiciels malveillants traditionnels. Heureusement, contrairement à de nombreux bootkits UEFI, il peut être supprimé en réinstallant le système d’exploitation, Boutin.

La poignée de bootkits découverts précédemment dans la nature, y compris FinSpy et ESPecter , offrent les mêmes avantages, mais ils ont été facilement vaincus en activant Secure Boot. BlackLotus représente une étape majeure dans l’évolution continue des bootkits UEFI et signale la sensibilité continue du monde à leur égard.

Source: https://arstechnica.com/information-technology/2023/03/unkillable-uefi-malware-bypassing-secure-boot-enabled-by-unpatchable-windows-flaw/

La future activation obligatoire de secure boot sous windows 11 pourrait bien avoir pris un coup dans l’aile…

Non @Violence. T’es bien plus compétant et aux faits que ma pomme sur ces sujets là. J’apprends souvent plein de trucs en lisant tes posts.

… et met en place des règles strictes pour encadrer leurs actions

Les autorités belges se disent prêtes à ne pas poursuivre en justice les pirates informatiques locaux qui tentent de protéger les entreprises nationales par leurs actions. Le pays a adopté une nouvelle loi qui légalise le piratage éthique, ce qui signifie que les hackeurs éthiques peuvent désormais fouiner dans les systèmes informatiques de n’importe quelle entreprise belge pour vérifier la sécurité. Ils peuvent le faire sans demander l’autorisation à une quelconque entité, à condition qu’ils signalent par la suite tout faille ou bogue qu’ils trouvent à l’entreprise concernée ou à l’autorité compétente. La France offre également une protection minimale aux hackeurs éthiques.

Avec les hackeurs, on imagine souvent des groupes criminels à la recherche de vulnérabilités pour extorquer des entreprises. Pourtant, rien n’est plus faux : un grand nombre de hackeurs exercent cette profession précisément pour détecter les failles des logiciels des entreprises, sans avoir des intentions malveillantes. Cette profession est souvent qualifiée de “hackeurs éthiques”. Des hackeurs qui agissent donc sur la base de normes et de valeurs partagées. Jusqu’à récemment, les hackeurs éthiques étaient punissables en Belgique s’ils fouillaient les logiciels d’entreprises belges sans mission officielle clairement définie ou sans une autorisation d’une autorité.

Plusieurs hackeurs ont déjà été poursuivis pour avoir signalé des fuites dans le cadre d’une divulgation responsable. Mais mercredi, une nouvelle loi belge est entrée en vigueur dans le but d’assouplir les règles du jeu pour les hackeurs éthiques. Ainsi, ils ne peuvent plus désormais simplement être poursuivis par les entreprises s’ils détectent des vulnérabilités dans leurs systèmes. Avec l’entrée en vigueur de cette loi, les entreprises ne doivent plus leur donner l’ordre de procéder à des piratages. Cela signifie que les hackeurs éthiques peuvent fouiner dans n’importe quelle entreprise pour vérifier la sécurité. Il y a cependant des règles strictes à respecter.

Le nouveau cadre juridique, qui est placé sous le contrôle du Centre pour la cybersécurité en Belgique (CCB), prévoit un système de signalement des vulnérabilités qui, s’il répond à des critères spécifiques, protège les hackeurs éthiques contre toute poursuite judiciaire. Conformément à la politique de divulgation des vulnérabilités (PDV) du CCB, les hackeurs éthiques doivent répondre aux critères suivants :

les hackeurs doivent informer le propriétaire du système vulnérable dès que possible (idéalement dans les 72 heures) ; les hackeurs doivent soumettre un rapport de vulnérabilité au CCB dès que possible, mais pas avant d’avoir notifié le propriétaire du système vulnérable : les hackeurs ne sont pas tenus d’informer le CCB si l’organisation dispose déjà d’une politique de divulgation des vulnérabilités. Ils seront tout de même tenus d’informer la CCB si des difficultés surviennent ou si des entreprises ne disposant pas d’un PDV sont touchées. les hackeurs doivent agir sans intention malveillante ou frauduleuse ; les hackeurs ne doivent agir que de manière nécessaire et proportionnée : la plupart des politiques de divulgation des vulnérabilités déclarent que les attaques par force brute, l’ingénierie sociale et le phishing sont inutiles et disproportionnés ; les hackeurs ne doivent jamais mettre à la disposition du public les informations acquises lors d’un piratage éthique sans l’approbation du CCB.

Les hackeurs éthiques belges se réjouissent de l’entrée en vigueur de cette loi.

« Jusqu’à présent, nous avions besoin de l’autorisation d’une entreprise pour commencer à pirater. On devait nous demander de tester la sécurité de leurs systèmes. Cela fait une dizaine d’années que j’attends cela avec impatience, mais je n’ai pas de liste d’entreprises à qui je veux donner une leçon ! Je vais pouvoir vérifier la sécurité des systèmes exploités par des entreprises dont je suis le client »

a déclaré le hackeur éthique Inti De Ceukelaire. Le pirate a également déclaré qu’il ne pense pas que les hackeurs éthiques abuseront du nouveau cadre juridique belge.

Au contraire, il pense qu’il devrait devenir plus clair quelles entreprises belges ont une bonne cybersécurité et lesquelles ne l’ont pas.

« En Belgique, il existe quelque 3 000 hackeurs éthiques. Ils seront désormais en mesure de découvrir si les données des citoyens ordinaires sont correctement sécurisées. Si le gouvernement présente une nouvelle application Corona, les hackeurs éthiques pourront la tester légalement. Plusieurs entreprises ignorent la question. Tant qu’il n’y a pas de problème, elles pensent qu’elles n’ont pas à résoudre quoi que ce soit et qu’elles n’ont pas besoin de mettre des fonds de côté pour le payer »

En outre, la loi belge insiste sur le fait que les personnes qui se définissent comme étant des hackeurs éthiques ne sont pas autorisées à identifier des vulnérabilités et à envoyer ensuite une facture pour leur travail.

« C’est clair dans la loi. Vous n’êtes pas autorisé à demander une récompense. Cela reviendrait à demander une rançon »

De plus, les pirates sont également invités à garder un œil sur la législation RGPD de l’UE. Chaque fois qu’ils découvrent une vulnérabilité, ils doivent veiller au respect de la vie privée des utilisateurs de cette entreprise. L’utilisation de comptes de test est déjà recommandée par le hackeur éthique Inti.

Si la Belgique n’est pas le premier pays de l’UE à offrir des formes de protection aux hackeurs éthiques, les analystes estiment que le nouveau cadre juridique du CCB est celui qui se rapproche le plus d’une protection complète. Selon le responsable juridique du CCB, Valéry Vander Geeten, d’autres pays, comme la Lituanie, n’offrent une protection qu’en ce qui concerne les infrastructures critiques, tandis que la France et la Slovaquie n’offrent pas de “protection juridique complète”. La loi française, qui date de 2014, permet à un hackeur éthique d’éviter une poursuite s’il signale de bonne foi à l’Anssi une faille qu’il a découverte dans un système donné.

Le ministère américain de la Justice a annoncé l’année dernière qu’il ne poursuivrait plus les hackeurs éthiques, revenant sur une décision prise en 2014 qui a modifié la loi sur la fraude informatique et les abus (CFAA). En Australie, alors qu’il n’existe pas de cadre juridique ou d’organisme spécifique pour protéger les hackeurs éthiques des poursuites judiciaires, il existe un certain nombre de conditions spécifiques dans la législation qui permettent aux hackeurs éthiques d’opérer. En outre, la Nouvelle-Galles du Sud a annoncé l’année dernière qu’il envisageait de modifier la législation pénale afin de promouvoir et de protéger le piratage éthique.

– Source : Centre pour la cybersécurité en Belgique

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous du cadre juridique belge pour les hackeurs éthiques ?
Selon vous, en quoi cette nouvelle loi pourrait-elle impacter sur les entreprises belges ?
Selon vous, les hackeurs éthiques belges vont-ils abuser de cette loi ?
Comment prévenir une telle chose ?
Que pensez-vous du cadre juridique français qui n’offre qu’une protection minimale aux hackeurs éthiques contre les poursuites ?

– Source

Toujours dans un délire de chiffrement, , aujourd’hui, j’aimerais vous présenter un outil de chiffrement simple d’utilisation, sécurisé avec des clés « explicites » et sans configuration.

Son nom c’est Age et il est également disponible sous la forme d’une lib Go.

– Pour l’installer sous macOS :

brew install age

– Pour l’installer sous Ubuntu :

apt install age

– Pour l’installer sous Windows avec scoop :

scoop bucket add extras; scoop install age

Des binaires pour Windows, Linux, macOS et FreeBSD sont également disponibles sur la page Github. Pour générer une nouvelle clé de chiffrement, vous pouvez procéder comme ceci :

age-keygen -o key.txt

Celle-ci sera stockée dans key.txt. Ensuite, vous pourrez l’utiliser pour chiffrer un fichier comme ceci :

age --encrypt -i key.txt -o fichier.age fichier.txt

Ou directement avec la clé avec le paramètre -r . Dans l’exemple ci-dessous, je vous montre également qu’on peut chiffrer des fichiers qui seraient le résultat d’une commande (ici une création d’archive tar) :

tar cvz ~/data | age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p > data.tar.gz.age

Et pour déchiffrer ce fichier :

age --decrypt -i key.txt fichier.age > fichier.txt

Et vous pouvez également spécifier plusieurs clés pour tous vos destinataires.

age -o example.jpg.age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p \ -r age1lggyhqrw2nlhcxprm67z43rta597azn8gknawjehu9d9dl0jq3yqqvfafg example.jpg

Vous pouvez également demander la création d’une phrase de passe avec le paramètre -p.

age -p fichier.txt > fichier.txt.age

L’outil vous demandera alors de saisir une phrase de passe ou la générera pour vous.

Vous l’aurez compris, pas de clé privée. Juste une grosse clé (publique) qui sert à la fois pour le chiffrement et le déchiffrement.

Rassurez vous, Age prend également en charge le chiffrement à partir de clés publiques SSH ssh-rsa et ssh-ed25519, et le déchiffrement se fait avec la clé privée correspondante. Pour chiffrer :

age -R ~/.ssh/id_ed25519.pub exemple.jpg > exemple.jpg.age

Pour déchiffrer :

age -d -i ~/.ssh/id_ed25519 exemple.jpg.age > exemple.jpg

Attention cela dit, la prise en charge des clés SSH utilise une cryptographie plus complexe et incorpore une balise de clé publique dans le fichier chiffré, ce qui permet de suivre les fichiers chiffrés avec cette clé spécifique.

Et si ça vous intéresse, une implémentation en Rust est également disponible ici.

De plus, il existe un plugin pour ceux qui veulent utiliser leur Yubikey avec ce truc 🙂

–> À découvrir ici.

https://github.com/FiloSottile/age

– Source

J’opte pour la seconde proposition :hihi:

Il suffit de tester avec 2 navigateurs différents.

Le premier user peut partager sa clé soit par le QR Code soit par le lien

4336bdbb-446a-48f4-bded-28d0c9753757-image.png

L’autre user utilise ce lien et ajoute la clé du premier user :

0ddc7a04-469d-4215-8a83-8531fb158d90-image.png

2c09aa13-5ced-47a9-8c71-a79debbc8833-image.png

005ced53-4446-4429-8702-8ecd8dfaf910-image.png

Rien de plus simple 😉

cb8b844b-b591-4e57-86eb-c1935a82f48f-image.png

Voici une clé à ajouter pour tester :

https://cryptboard.io/add-key?uid=9b1947a8-79e6-4cf8-825d-e6d1cd079449&key=MIGeMA0GCSqGSIb3DQEBAQUAA4GMADCBiAKBgE5gdchDAih3T1ser9fHsxyPn3EWiYA3AOS2vrfGZ0XV5gomv9hy2vYbZBWbpLW3TKksE5BnZqb9UEtgh7rUTlL2amae2DXe2TkIdCszhmE17awPq08RrA7IsDH%2BkFKjTub2K8HsfLILlAbnc7pUSJu8xAqmo%2BC%2BI0i%2Bcxv1P8xxAgMBAAE%3D

Nouvelles versions qui apportent leur lot de nouveautés :

https://safing.io/blog/2023/08/08/portmaster-v1.3/#disabled?source=Portmaster

https://safing.io/blog/2023/08/21/portmaster-v1.4/

7 mois que je le fais tourner. Ça marche vraiment bien

@Tristan-0 a dit dans Parution de la 6ᵉ édition du guide d’autodéfense numérique :

Ceci dit, quand on se rappelle qu’il y a quelques mois, la majorité de la population a accepté sans broncher de se faire QRCoder/contact-tracer pour pouvoir aller au cinoche ou boire un café

Face à une pandémie qui a fait 160 000 morts en France (sérieux, à côté de ça, les attentats qu’on utilise pour faire passer des tas de lois sécuritaires, c’est une vaste blague), c’était justifiable (et c’est resté temporaire ; je parle du QR code, le contact tracing lui est mort-né, personne n’en voulait ; j’ai même signé une pétition contre en tant que chercheur en informatique, comme beaucoup de mes pairs). Je n’en dirais pas autant de la soumission aux GAFAM juste pour des services “gratuits” à l’utilité discutable.

Si vous travaillez dans la sécurité, que vous pratiquez le pentest, le Bug Bounty ou tout simplement si vous avez un site et que vous êtes curieux, voici un super script nommé All In One Recon Tool – AORT.

Ce script permet de faire de la reconnaissance autour d’un nom de domaine. Ainsi, si vous voulez savoir ce qu’un éventuel attaquant peut apprendre sur votre site web, simplement en fouillant un peu, vous n’allez pas être déçu.

AORT permet ainsi de débusquer tous les sous-domaines, mais également tout un tas d’infos concernant les DNS, la possibilité d’un transfert de nom de domaine, le type de WAF en place (firewall application), les informations Whois, les ports ouverts, ainsi que divers endpoints ou boite mail.

Le mieux c’est encore de l’essayer. Pour installer AORT à partir des sources, faites :

git clone https://github.com/D3Ext/AORT cd AORT pip3 install -r requirements.txt

Puis lancez le script avec le paramètre --all pour dégainer toute l’artillerie.

python3 AORT.py -d exemple.com --all

Très simple à utiliser et super pratique !

– Source

Mimecast (solution de cybersécurité cloud opérant pour les mails, les données et le web) dévoile son étude sur le coût total des ransomwares et leurs impacts sur les responsables informatiques en France.

87% des répondants déclarent que le nombre de cyberattaques contre leur entreprise a augmenté depuis l’année dernière ou est resté le même 40% de responsables informatiques estiment que les attaques par ransomware ont un impact négatif sur leur santé mentale. 51% des attaques subies engendrent plus de 100k$ de frais

Au cours de l’année écoulée, 31 % des entreprises ont subi plus de trois attaques par ransomware et 53% des attaques étaient par le biais du phishing comprenant une pièce jointe vérolée.

Néanmoins, les entreprises françaises restent optimistes et ils sont 20% à penser qu’il leur faudrait moins de 24h pour se remettre d’une cyberattaque quand 27% estiment cette durée à 2 jours. En parallèle à ça, on constate toujours un manque de compétences et de moyens dans les entreprises puisque 40% des répondants déclarent ne pas pouvoir recruter le personnel essentiel dont ils ont besoin dans leur équipe pour garder l’entreprise sécurisée.

16% des entreprises dépensent déjà plus de 850 000$ par an pour assurer leur cybersécurité.

Et alors même que les entreprises commencent à prendre conscience qu’il faut allouer un véritable budget pour prévenir les attaques par ransomware et y faire face, il est également important de se concentrer sur l’impact qu’ils peuvent avoir sur les responsables informatiques (comment ça va @Violence ?). Ainsi, on apprend que 64% des répondants sont préoccupés par l’impact et les dégâts que peuvent avoir les attaques par ransomware sur les vies humaines.

Les ransomware, ainsi que toutes les formes de cybercriminalité, ne resteront pas inactifs dans les années à venir et Il est essentiel que les équipes de cybersécurité puissent faire le meilleur usage de leurs ressources afin de réduire le coût total des attaques pour les entreprises et les particuliers, tout en veillant à ce que la cybersécurité soit une carrière durable et épanouissante.

Source: https://www.undernews.fr/malwares-virus-antivirus/etude-mimecast-le-cout-total-des-ransomwares-et-leurs-impacts-sur-les-dsi-en-france.html

Voir aussi: https://planete-warez.net/topic/2356/les-snapshots-dernier-rempart-contre-les-ransomwares?_=1666702788462

Grâce à notre liste de blocage dynamique, les utilisateurs bénéficient d’une réduction instantanée de plus de 90 % du nombre de cyberattaques entrantes », a expliqué Philippe Humeau, président de Crowdsec.

Spécialisée dans la reconnaissance automatisée et communautaire d’IP malveillantes, la start-up Crowdsec annonce une levée de fonds Serie A de 14 millions d’euros. Mené par Supernova Invest, ce tour de table bénéficie aussi toujours du soutien de l’investisseur historique Breega.

Les levées de fonds des start-ups françaises en cybersécurité dépassent rarement la dizaine de millions d’euros. C’est pourtant la performance que vient de réaliser Crowdsec, fondée en décembre 2019 par Philippe Humeau, Thibault Koechlin et Laurent Soubrevilla. La jeune pousse se distingue avec une solution de pare-feu open source basé sur le comportement et la réputation via de la reconnaissance d’adresses IP malveillantes par sa communauté d’utilisateurs, a en effet réussi un tour de table Serie A de 14 millions d’euros.

Cette levée a été emmenée par Supernova Invest, avec le soutien de l’actionnaire historique Breega. Elle fait suite à un précédent tour d’1,5 millions d’euros en octobre 2020. Avec ce financement, la société a plusieurs ambitions dont une croissance des effectifs qui passeront de 20 à 45. Il servira également à développer sa pile technique et à s’étendre aux Etat-Unis. Relever le défi outre-Atlantique n’est pas une mince affaire, on se rappelle par exemple l’exemple du spécialiste hexagonal du PAM Wallix qui a rouvert une filiale à Boston après une première initiative à New-York qui a tourné court.

16 millions de signaux d’attaque remontés quotidiennement par la communauté d’utilisateurs

Grâce à cette levée, Crowdsec espère développer davantage son réseau mondial de machines protégées et collaboratives de plusieurs centaines de milliers aujourd’hui à plusieurs millions demain. « En moyenne, la communauté fait remonter plus de 16 millions de signaux d’attaque par jour et a déjà signalé 8 millions d’adresses IP malveillantes. Grâce à notre liste de blocage dynamique, les utilisateurs bénéficient d’une réduction instantanée de plus de 90 % du nombre de cyberattaques entrantes », a expliqué Philippe Humeau, président de Crowdsec, qui avait par ailleurs eu l’occasion d’intervenir sur la dernière conférence Cybermatinée Sécurité 2022 du Monde Informatique à Nantes le 21 juin dernier.

SOURCE

Pour information @Philippe Humeau nous avais fait l’honneur d’ouvrir un compte ici suite à mon tutoriel d’installation que j’avais créé :amen: .

👇 Ce tutoriel d’installation a été mis à jour et est disponible sur le wiki en suivant le lien ci-dessous :

https://wiki.planete-warez.net/fr/informatique/sécurité/crowdsec

fier

@duJambon a dit dans Tella : Pour documenter et protéger son travail quand on est journaliste ou activiste :

Très pratique pour stocker des documents, tels permis de conduire, carte d’identité, billets, etc…, qui ne seront pas pompés par le backup auto de google ou google drive et autres saletés.

Adopté.

Par contre je me demande quelle confiance on peut avoir envers la solidité du cryptage…

Bonjour !

Exactement, moi je pourrais pas stocker de telle donnée importante et contenant ma vie privée, je pense pas qu’il existe une confiance ou une sécurité, cela dépend de la personne derrière, tout le monde promet sécurité etc… on sait tous que la sécurité n’existe pas, si quelqu’un de très compétent a envie de faire tout pété il le fera sans problème. Donc une réelle sécurité plus sûre, est de ne rien stocker sur l’internet en ce qui concerne paperasse ou autres privé.

Non :lol:

La foire aux gogols est ouverte: https://planete-warez.net/topic/2282/le-monde-est-fou/

Un dernier rapport de Sysdig montre que chaque dollar gagné par les cryptojackers représente un coût de 53 dollars pour les victimes. Les attaques basées sur du cryptojacking et du déni de service distribué visant les environnements conteneurisés dans le cloud se multiplient.

D’après un rapport publié hier par l’entreprise de cybersécurité Sysdig, le cryptojacking est la modalité d’attaque la plus courante utilisée contre les systèmes basés sur des conteneurs fonctionnant dans le cloud. De plus, les attaques par déni de service distribué (DDoS) ont été multipliées par quatre cette année, motivées en grande partie par des objectifs géopolitiques liés principalement à la guerre de la Russie contre l’Ukraine. Selon l’étude « 2022 Sysdig Cloud Native Threat Report » issue des travaux de l’équipe de recherche sur les menaces Threat Research Team de Systig (Sysdig TRT), l’usage de plus en plus fréquent des conteneurs dans les systèmes basés sur le cloud, les a élevés au rang de vecteur de menace important pour les attaques de la chaîne d’approvisionnement.

« La portabilité des images de conteneurs a grandement facilité le partage de conteneurs entre développeurs », indique le rapport. « De multiples projets open source fournissent le code source pour déployer un registre de conteneurs ou des registres de conteneurs en libre accès et permettent aux développeurs de partager des images de conteneurs », précise encore le rapport.

« Dans les dépôts publics comme Docker Hub, on trouve de plus en plus d’images de conteneurs malveillantes contenant des mineurs de cryptomonnaies, des portes dérobées et d’autres vecteurs de la menace qui se font passer pour des applications logicielles légitimes », fait remarquer le spécialiste des produits de sécurité des conteneurs et du cloud.

« Le cryptojacking, c’est-à-dire l’usage non autorisé d’une infrastructure informatique pour extraire de la cryptomonnaie, reste la principale motivation des attaquants qui cherchent à exploiter les vulnérabilités critiques et les configurations système vulnérables », pointe le rapport.

« Lors de l’analyse de Docker Hub, le nombre total d’images malveillantes uniques dans l’ensemble de données rapportées était de 1 777. Parmi celles-ci, 608, soit 34 %, contenaient des mineurs de cryptomonnaies », a déclaré Michael Clark, directeur de la recherche sur les menaces chez Sysdig. La forte prévalence de l’activité de cryptojacking s’explique par le faible risque et la forte récompense qu’elle peut apporter aux auteurs.

Les attaques DDoS attisées par le conflit Russie-Ukraine

Selon Sysdig, les cryptojackers gagnent un dollar pour chaque tranche de 53 dollars de ressources IT facturées à la victime. L’entreprise de cybersécurité a basé ce calcul sur une analyse des activités menées par un acteur de la menace appelé TeamTNT, et sur le coût du cryptomining. Sysdig TRT a pu suivre l’activité de cryptojacking de TeamTNT en utilisant un réseau mondial de honeypots. Selon l’équipe de recherche de Sysdig, TeamTNT a réussi à voler plus de 8 100 dollars de crypto-monnaie en exploitant illégalement des ressources d’infrastructure cloud, pour un coût de plus de 430 000 dollars pour les victimes.

« Pour effectuer ce calcul, nous avons déterminé le coût de minage d’une crypto-monnaie sur une instance AWS et nous l’avons comparé à la valeur en dollars de cette monnaie », a expliqué Michael Clark.
« Le coût pour l’attaquant est effectivement nul, tandis que la victime doit payer la facture onéreuse de l’infrastructure cloud », a déclaré le directeur de la recherche sur les menaces de Sysdig.

Le rapport de Sysdig fait également remarquer que depuis le début de l’invasion russe en Ukraine, les attaques DDoS utilisant des conteneurs ont beaucoup augmenté. « Entre le 4T21 et le 1T22, la volonté de perturber des infrastructures informatiques et des services publics s’est traduite par une multiplication par quatre des attaques DDoS », selon le rapport.

« Plus de 150 000 volontaires ont rejoint les campagnes DDoS anti-russes en utilisant des images de conteneurs provenant de Docker Hub. Les acteurs de la menace frappent toute personne qu’ils identifient comme sympathisant avec leur adversaire, et toute infrastructure non sécurisée est ciblée pour servir de levier dans l’intensification des attaques », indique encore le rapport.

Côté russe, un groupe de hacktiviste pro-russe, appelé Killnet, a lancé plusieurs attaques DDoS contre des pays de l’OTAN, ciblant notamment des sites web en Italie, en Pologne, en Estonie, en Ukraine et aux États-Unis, mais pas seulement. « Comme de nombreux sites sont désormais hébergés dans le cloud, les protections DDoS sont plus courantes, mais elles ne sont pas encore omniprésentes et peuvent parfois être contournées par des adversaires habiles », a déclaré Sysdig. « Les conteneurs préchargés avec des logiciels DDoS permettent aux meneurs de fournir un moyen d’action rapide à leurs volontaires », peut-on lire dans le rapport.

Prévenir les attaques contre les systèmes cloud

Selon l’éditeur, la meilleure façon de prévenir ces attaques sur les systèmes basés sur le cloud est de mettre en place une défense à plusieurs niveaux. « Les équipes chargées de la sécurité du cloud doivent mettre en œuvre des contrôles préventifs comme la gestion des vulnérabilités et des autorisations afin de rendre la compromission de leur infrastructure par les attaquants plus difficile », a déclaré M. Clark. Ce dernier recommande aussi l’usage de techniques de détection des cryptomineurs basée sur l’apprentissage machine pour alerter les équipes de sécurité et bloquer les attaques qui parviennent à passer.

« Pour les attaques de cryptomineurs, les contrôles préventifs à l’aide de technologies de gestion des identités et des accès (IAM pour identity access management) et de gestion des droits de l’infrastructure cloud (CIEM pour cloud infrastructure entitlements manager) peuvent rendre très difficile pour un attaquant le provisionnement des instances au nom d’un utilisateur légitime », a encore expliqué M. Clark.

Source