Archives de catégorie : Menaces, attaques & vulnérabilités

Elections et ingérence (Sénat)

À quelques mois des prochaines échéances électorales, le Sénat s’est penché sur les ingérences numériques qui menacent la sincérité du vote. Réunies en salle Médicis, les commissions des lois et de la culture ont entendu Viginum, la CNIL, l’Arcom, la Fondation Descartes et le ministère de l’Intérieur. Tous ont dressé le même constat : la manipulation de l’information ne vise pas tant à fausser un scrutin qu’à en altérer la confiance, et elle ne va aller qu’en s’accentuant.

Continuer la lecture →

DOM XSS

A première vue, cela ressemble énormément à du reflected XSS (XSS non persistent). Pourtant il y a une différence de taille : l’action se déroule uniquement au niveau du navigateur, alors que pour du XSS réfléchi ou stocké la vulnérabilité se situe directement au niveau du serveur web.

Continuer la lecture →

Attaques (références)

Sources principales

Les principales attaques

Autres sources d’erreur et d’attaque

  • Envoi non sécurisé des informations de connexion (toujours via une requête POST via TLS)
  • De façon générale, il faut éviter de passer des informations critiques via l’URL (identifiants de connexion mais aussi de session) : tout cela peut se retrouver dans les logs, dans l’historique du navigateur, dans les en-têtes divers et variés, dans les proxies, etc.
  • Code de développement non supprimé (ou non désactivé), car il contient souvent des bypass pratiques mais dangeureux !
  • Enumération d’utilisateurs : les messages d’erreur des formulaires de connexion ou de réinitialisation de mot de passe peuvent révéler l’existence d’un utilisateur (via son identifiant ou son e-mail). Autant garder des messages génériques tels que :
    • Pour la connexion : « combinaison identifiant/mot de passe invalide » que l’erreur vienne du nom d’utilisateur ou du mot de passe.
    • Pour la réinitialisation de mot de passe : « un lien de réinitialisation sera envoyé si cet utilisateur existe dans la base » .

Reflected XSS

On dit aussi XSS réfléchi en français, mais la terminologie anglaise prévaut souvent en ce qui concerne la SSI. Une faille XSS non permanente consiste à faire utiliser une URL contenant du script malveillant. Pour cela, il faut communiquer à un utilisateur cette URL pour qu’il clique dessus, par exemple. Rien n’est stocké sur le site web ciblé, à l’inverse d’une stored XSS.

Les champs HTML de recherche sont de bons candidats pour ce genre de faille, car ils doivent souvent laisser passer des caractères variés (par exemple en langage naturel). Comme le contenu d’un tel champ doit être passé ensuite dans une requête GET ou POST, l’absence de contrôle approprié sera forcément dommageable.

Continuer la lecture →

Fixation de session

Un serveur web peut avoir un comportement étrange même si tout semble bien conçu. En effet, la gestion des sessions (qui n’est pas vraiment le point fort du protocole HTTP) peut s’avérer délicat et peut entraîner des problèmes de type fixation de session.

Marquons la session

Il est assez courant de voir qu’un identifiant unique et impossible à deviner soit associé à une session particulière d’un utilisateur. Pour se connecter, il faut en général que l’utilisateur s’authentifie avec ce numéro de session unique, attribué par le serveur web. Donc a priori aucune chance qu’un attaquant externe arrive connecter sans connaître les crédentités de l’utilisateur.

Continuer la lecture →

Anatomie d’un phishing (presque) ordinaire

Le phishing fait des ravages depuis longtemps, mais force est de constater qu’il évolue sans cesse afin de déjouer la vigilance des utilisateurs et des outils de sécurité en charge d’éradiquer les mails douteux. Une campagne récente (active en décembre 2020) visant le portefeuille Ledger constitue une excellente occasion de voir, par l’exemple, les techniques employées en ce moment.

Continuer la lecture →

Ransomware Task Force

Ça pète. Avec un nom pareil, les ransomwares n’ont qu’à bien se tenir. Trêve de plaisanterie, cette initiative est louable, et montre bien les préoccupations dans ces années 20 : autrefois on luttait joint contre les botnets, maintenant il faut ajouter une corde à l’arc de la SSI : la lutte contre le ransomware.

Continuer la lecture →

SolarWinds

L’attaque via SolarWinds, un éditeur de logiciels, restera dans les annales (avant de passer à la méga-attaque suivante). Une bourde de cet éditeur a conduit à une attaque à la fois sophistiquée, étendue, et particulièrement grave. Beaucoup de commentaires suivront, mais regardons les grandes lignes.

Continuer la lecture →

FireEye piratée

Arroseur arrosé ou cible particulièrement intéressante ? FireEye est une société réputée et performante dans le domaine de la sécurité informatique, notamment dans la réponse à incident (Madiant étant une des sociétés du groupe), mais aussi dans la protection contre les menaces même les plus avancées. Et pourtant, fin 2020, elle a été ciblée et l’attaque a abouti.

Continuer la lecture →

Compromission de mails

Les factures, les ordres de paiement, les contrats… Tous ces documents qui ne passionnent personne et que personne n’a envie de voir, sauf les comptables, on croit en effet que cela n’intéresse personne. Ben si. Surtout quand ils sont échangés par mail.

Continuer la lecture →

Types d’attaquants

Par grand type

  • Script kiddies
  • Hacktivistes
  • Opportunistes
  • Mafia
  • Etats (ou groupe soutenus par des états)

Par niveau d’habileté

  • Minimal/Faible : les script kiddies, les Anonymous, qui exécutent des bidules sans les comprendre, sans aucune connaissance de sécurité offensive (ou très peu) ;
  • Standard : du personnel compétent mais isolé (loup solitaire, petit groupe type hacktivistes) ;
  • Avancé : groupes organisés, avec du support technique et financier, profil typique dans le milieu de la cybercriminalité ;
  • Prédateurs/Hors catégorie : les groupes étatiques ou soutenus par des états, tels que des services de renseignements, l’armée.