Sur le forum, dans les sujets de lenteurs de PC, on trouve souvent des utilisateurs qui ont plusieurs navigateurs internet tels Chrome, Firefox, Edge, Brave et parfois Opera. En fait, il existe de nombreuses bonnes raisons d’avoir deux navigateurs ou plus que vous utilisez régulièrement.
Dans ce guide, je vous donne les avantages mais aussi les désavantages d’installer plusieurs navigateurs internet.
Pourquoi installer plusieurs navigateurs internet
Multiplier les fonctionnalités
Même si les navigateurs internet on tendance à se copier entre eux pour proposer une forme de standard, il existe aussi beaucoup de différence en terme de fonctionnalités. Parfois ils ont leurs propres identités. Par exemple, Firefox et Brave sont très axés sur la protection de la vie privée. Chrome intègre les services Google de manière très poussé. Vivaldi propose le plus de personnalisation possible. Enfin Edge propose les services Microsoft et est réputé pour être le plus rapide.
De plus parfois, certaines extensions ne sont pas disponibles sur tous les navigateurs internet.
Séparer vos activités sur internet
Lorsque vous utilisez plusieurs navigateurs internet, les données du navigation (cookie, histoire de navigation, cache internet, …) sont séparés. C’est aussi le cas des comptes internet auxquels vous vous connectez. Ainsi, une autre raison qui peut vous pousser à installer différents navigateurs internet est la possibilité de compartimenter vos activités. Par exemple, vous pouvez avoir un navigateur internet pour surfer sur internet au quotidien avec des extensions de protection de la vie privée. Un autre navigateur internet avec des réglages plus permissifs pour se connecter à votre site de votre banque, effectuer des opérations administratives, …
Si vous avez une activité personnel et activité, utiliser deux navigateurs internet est aussi utile pour séparer vos activités. C’est particulièrement vrai si votre employeur vous donne une adresse électronique professionnelle et des identifiants de connexion à plusieurs services et outils. Si vous vous connectez à votre compte Gmail personnel et à votre compte Gmail professionnel dans le même navigateur, vous risquez de manquer des messages, d’envoyer des courriels à partir du mauvais compte ou de mélanger d’autres choses importantes parce que vous vous êtes connecté par inadvertance au mauvais compte Google. Cela est aussi vrai si vous utilisez YouTube à des fins personnels et professionnels, cela évite de mélanger votre historique de recherche.
Si vous n’utilisez qu’un seul navigateur pour stocker vos informations, vous risquez de rencontrer des difficultés pour supprimer certaines données lorsque cela est nécessaire. Vous devrez passer en revue chaque élément et supprimer les informations manuellement au lieu d’effacer toutes les données. En utilisant plusieurs navigateurs et en répartissant les activités entre eux, il est facile de supprimer certaines données d’un simple clic.
Améliorer votre vie privée
L’utilisation de plusieurs navigateurs permet de répartir tous ces traqueurs effrayants dans plusieurs endroits différents, ce qui réduit considérablement la marge de manœuvre des mineurs de données. De plus, si vous avez un pseudonyme en ligne pour des raisons de confidentialité, le fait d’avoir un navigateur à utiliser exclusivement pour ce personnage permet de réduire la quantité de données mélangées entre votre personnalité humaine réelle et votre identité en ligne. Toutefois, vous devriez envisager d’investir dans un VPN de qualité si vous souhaitez un masquage plus complet.
De plus, vous vous configurer un navigateur internet de manière très restrictives même si cela pose des problèmes d’affichages car vous ne l’utilisez que certains sites précis (banques, administratif, etc).
Pourquoi ne faut-il PAS installer plusieurs navigateurs internet
Le principal problème que pose la multiplications des navigateurs internet sont des lenteurs du PC. Lorsque vous installez un navigateur internet, ce dernier ajoute un service Windows de mise à jour qui consomme des ressources systèmes.. Ce dernier s’exécute en arrière-plan et les mises à jour peuvent intervenir à n’importe quel moment. Par exemple au démarrage de l’ordinateur ce qui peut ralentir le démarrage du PC. Ils peuvent aussi de déclencher pendant que vous jouez et poser des freez ou baisse des FPS.
Sur des ordinateurs qui commencent à vieillir, cela peut avoir un impact non négligeable.
Ainsi, si vous n’utilisez pas un navigateur internet, vous pouvez le désinstaller.
Mercredi 24 avril 2024, l'éditeur Teclib a publié une nouvelle version de la solution GLPI : 10.0.15. Au-delà de corriger quelques bugs, cette mise à jour corrige également deux failles de sécurité ! Faisons le point.
Deux vulnérabilités de type "injection SQL" ont été découvertes dans l'application GLPI. Elles sont toutes les deux considérées comme importantes :
CVE-2024-31456 : injection SQL à partir de la fonction de recherche dans la carte (nécessite d'être authentifié)
CVE-2024-29889 : prise de contrôle d'un compte via une injection SQL présente dans la fonction de recherche sauvegardée
Une injection SQL peut permettre à un attaquant d'exécuter des requêtes SQL arbitraires dans la base de données de l'application. Cela peut lui permettre de lire, modifier ou supprimer des données dans l'application, et donc, de compromettre l'application.
Les versions 10.0.0 à 10.0.14 de GLPI sont affectés par ces vulnérabilités. Vous pouvez récupérer cette nouvelle version sur le GitHub du projet GLPI, via cette page, et consulter l'article publié sur le site de Teclib pour en savoir plus sur cette nouvelle version.
Les dernières mises à jour de GLPI
Voici un historique des dernières versions mineures les plus récentes de GLPI 10, avec de nombreuses failles de sécurité découvertes et corrigées :
GLPI 10.0.14 - Sortie le 14 mars 2024 - Cette version corrige un bug gênant introduit par la version 10.0.13
GLPI 10.0.13- Sortie le 13 mars 2024 - Cette version corrige 6 failles de sécurité
GLPI 10.0.12 - Sortie le 1er février 2024 - Cette version corrige 2 failles de sécurité
GLPI 10.0.11 - Sortie le 11 décembre 2023 - Cette version corrige 3 failles de sécurité
GLPI 10.0.10 - Sortie le 25 septembre 2023 - Cette version corrige 10 failles de sécurité
Comment effectuer la mise à jour de GLPI ?
Si vous avez besoin d'aide pour mettre à jour GLPI, référez-vous à notre tutoriel via le lien ci-dessous :
IBM a profité de la présentation de ses résultats financiers pour annoncer un rachat important : celui d'HashiCorp pour un montant de 6,4 milliards de dollars. Faisons le point sur cette annonce !
Si vous ne connaissez pas HashiCorp, sachez que c'est une entreprise américaine à l'origine plusieurs produits très populaires, notamment Terraform, Packer, Vagrant, ainsi qu'une solution de gestion des secrets HashiCorp Vault. Les spécialistes et amateurs d'Infrastructure-as-Code ne diront pas le contraire. HashiCorp se félicite de ses résultats : "Nous sommes fiers de compter plus de 450 millions de téléchargements des produits communautaires gratuits de HashiCorp au cours de notre exercice fiscal 2023.", peut-on lire sur le site officiel.
À l'occasion de la présentation des résultats de son 1er trimestre fiscal 2024, le géant IBM a annoncé un accord pour l'acquisition d'HashiCorp pour un montant de 6,4 milliards de dollars. Il est important de préciser que cette acquisition a été validée par les conseils d'administration des deux sociétés. Cette opération reste soumise à la validation des actionnaires et d'autres étapes administratives sont encore à effectuer : l'opération devrait être finalisée d'ici fin 2024.
Concrètement, HashiCorp va devenir une division à part entière, sous IBM Software. Des produits et services continueront d'être développés sous le nom d'HashiCorp, comme c'est le cas actuellement. Mais, alors, qu'est-ce que ça change ?
Pour IBM Software, l'acquisition d'HashiCorp sera un atout stratégique et Red Hat devrait en profiter pour aller encore plus loin dans la gestion automatisée des infrastructures. Cela devrait aussi renforcer ses capacités en matière de Cloud hybride. Red Hat qui est d'ailleurs impliqué dans le développement d'un autre outil très populaire : Ansible.
D'après Arvind Krishna, le CEO d'IBM, avec cette acquisition, IBM espère créer "une plateforme cloud hybride complète conçue pour l'ère de l'IA" en alliant ses forces à celles d'HashiCorp. Il semblerait que l'IA soit l'une des raisons pour lesquelles IBM a pris la décision d'effectuer l'acquisition d'HashiCorp.
Dans cet article, nous allons découvrir les fonctionnalités gratuites de la CrowdSec Console, qui se présente comme une solution de Threat Intelligence complète et simple d'utilisation accessible avec un tableau de bord en ligne.
Cette solution va, d'une part, nous permettre d'en savoir plus sur la réputation des adresses IP grâce à la Threat Intelligence. D'autre part, elle offre une vue d'ensemble sur les activités malveillantes détectées et bloquées par vos éventuelles instances CrowdSec protégées par cet IDS/IPS. Lisez la suite de cet article pour en savoir plus et effectuer une prise en main complète de cette console !
Avant de commencer, voici nos précédents articles au sujet de CrowdSec :
II. Les fonctionnalités gratuites de la console CrowdSec
A. Créer un compte
La première étape consiste à créer un compte CrowdSec Console : vous avez seulement besoin d'une adresse e-mail valide. Pour accéder directement à la page d'inscription, suivez ce lien :
Après avoir indiqué une adresse e-mail et un mot de passe, cliquez sur "Sign up" afin de recevoir un e-mail avec un lien de validation.
Dès que c'est fait, vous avez accès à la console CrowdSec à partir de votre nouveau compte ! Lors de la première connexion, on vous posera deux questions : le type de votre organisation et le nombre de salariés. Rien de plus.
B. Les fonctionnalités principales
Avant de créer un compte sur la Console CrowdSec, vous souhaitez probablement en savoir plus sur les fonctionnalités offertes par cette console ! Nous allons évoquer les fonctionnalités gratuites et accessibles à tous. Au-delà d'avoir une vue d'ensemble sur vos serveurs où CrowdSec est déployé, ce compte vous donne accès à la Cyber Threat Intelligence de CrowdSec, ainsi qu'à diverses listes d'adresses IP malveillantes que vous pouvez pousser vers vos instances CrowdSec.
Voici un récapitulatif :
Surveiller les serveurs où CrowdSec est déployé et inscrits à la console
Vous pouvez obtenir l'état et la version du moteur CrowdSec sur le serveur, obtenir la liste des scénarios actifs, ainsi que la liste des bouncers actifs sur ce serveur. Vous avez également accès à différentes métriques telles que le nombre d'alertes.
Synthèse des alertes sur l'ensemble de vos instances CrowdSec
La Console CrowdSec indique le nombre d'alertes par instance et donne accès à un ensemble de statistiques et graphes. Il est possible de visualiser les informations pour une instance ou plusieurs instances, sur une période plus ou moins longue, grâce à un système de filtres. La version gratuite donne accès aux données sur les 7 derniers jours (et 500 alertes).
Ainsi, vous pouvez en apprendre davantage sur le profil des attaquants : adresses IP, pays d'origine, fournisseurs de service, niveau d'agressivité, type d'attaques, etc. Ceci étant lié à la Threat Intelligence évoquée ci-dessous.
CrowdSec Threat Intelligence
La Console CrowdSec donne accès aux informations de la Cyber Threat Intelligence (CTI) de CrowdSec, appelée judicieusement CrowdSec Threat Intelligence. Ceci permet d'en savoir beaucoup plus sur les adresses IP malveillantes, grâce aux signaux collectés à partir des serveurs de CrowdSec et des milliers d'instances déployées par la communauté.
Ces informations sont précieuses et elles permettent de répondre à différentes questions. Par exemple : si une adresse IP s'attaque à votre serveur depuis plusieurs heures ou jours, s'agit-il d'une attaque ciblée à l'encontre de mon organisation ou tout simplement une adresse IP agressive à la recherche d'une opportunité ? Il pourrait s'agir d'une adresse IP qui effectue un scan constant d'Internet à la recherche de serveurs exposés et pas suffisamment sécurisés. Dans la CTI, si l'adresse IP est déjà connue, elle sera catégorie et vous pourrez en savoir plus à son sujet.
Il y a deux manières d'accéder à ces informations : effectuer une recherche sur l'adresse IP de votre choix, grâce à une zone de recherche, ou cliquer sur l'adresse IP associée à une alerte sur votre instance CrowdSec.
Les blocklists d'adresses IP
Quand vous installez CrowdSec, vos instances bénéficient des listes noires d'adresses IP détectées par la communauté CrowdSec. Ceci protège vos serveurs équipés de CrowdSec, mais bien que continuellement mises à jour, ces listes ne sont pas exhaustives. Aucune liste n'est exhaustive de toute façon, d'où l'intérêt de combiner plusieurs sources. C'est là que les blocklists tierces proposées par CrowdSec interviennent en complément de quelques blocklists estampillées "CrowdSec Premium" (réservées aux utilisateurs de la version Enterprise).
Avec la version gratuite, vous pouvez vous abonner à trois blocklists et les affecter à vos instances CrowdSec.
C. Quels sont les plus de la version Enterprise ?
Sans surprise, la version Enterprise fait sauter un ensemble de brides associées à la version gratuite. Nous pouvons citer quelques exemples : elle donne accès à la rétention des données sur 1 an au lieu de 7 jours, autorise la création de plusieurs utilisateurs et organisations, et permet de s'abonner à un nombre illimité de blocklists. De plus, vous avez accès à un support professionnel, en direct, et n'êtes pas limité au serveur Discord de la communauté CrowdSec.
Autre avantage de cette version payante, c'est qu'elle vous permet de gérer les décisions de vos instances à partir de la console CrowdSec. Ainsi, vous pouvez ajouter une adresse IP à la console CrowdSec pour pousser vers vos instances afin qu'elle soit bloquée. À l'inverse, vous pouvez supprimer une décision (c'est-à-dire le ban sur une adresse IP, par exemple), à partir de la console CrowdSec.
Pour comparer les différentes offres de CrowdSec et en savoir plus sur les tarifs, consultez cette page :
III. Les avantages de connecter ses instances CrowdSec à la console
Dans cette partie de l'article, nous allons déployer CrowdSec sur une machine Windows Server 2022 puis nous allons inscrire cette instance dans la Console CrowdSec pour voir quels bénéfices nous pouvons en tirer.
A. Déployer CrowdSec sur Windows Server 2022
Si vous n'avez jamais déployé CrowdSec, la Console est un bon point de départ, car elle vous guide dans ce déploiement qui s'effectue en trois étapes :
1 - Installer CrowdSec "Security Engine" sur le serveur (composant principal).
2 - Installer le "Bouncer" pour permettre le blocage des adresses IP.
3 - Enregistrer l'instance CrowdSec dans la console.
La console CrowdSec contient différents liens pour vous orienter dans la documentation.
Sur le serveur Windows Server 2022, nous allons installer CrowdSec après l'avoir téléchargé à partir du GitHub officiel. L'installation s'effectue en quelques clics.
Suite à l'installation, la configuration de CrowdSec sera accessible dans le répertoire suivant :
C:\ProgramData\CrowdSec
Ensuite, nous devons installer le bouncer "Windows Firewall", ce qui va permettre de bloquer les adresses IP malveillantes grâce à des règles de refus créées dans le pare-feu Windows Defender. Il a besoin du Runtime .NET en version 6 pour fonctionner.
Nous allons télécharger le fichier "cs_windows_firewall_installer_bundle.exe" dans sa dernière version, pour ensuite effectuer l'installation. Ce fichier, qui contient le mot "bundle", englobe à la fois le bouncer et le Runtime .NET. L'installation s'effectue en quelques clics.
Deux nouveaux services sont désormais présents sur la machine Windows :
B. Inscrire l'hôte à la console CrowdSec
Pour enregistrer la nouvelle instance dans la console CrowdSec, nous devons exécuter la commande fournie sur l'interface de la console :
cscli console enroll clv3tfwqb001fjv083qftmaxd
Sachez que vous pouvez compléter cette commande, notamment en précisant le nom sous lequel vous souhaitez effectuer cet enregistrement. Sinon, elle va remonter avec un nom aléatoire, ce qui peut être gênant si vous envisagez d'inscrire plusieurs instances. Néanmoins, sachez que le nom peut être changé à tout moment, comme nous le verrons par la suite.
Une fois que c'est fait, relancez le service CrowdSec :
Restart-Service CrowdSec
Voici un exemple :
Du côté de la console CrowdSec, nous devons approuver cette demande d'inscription via le bouton "Accept enroll".
Désormais, l'instance CrowdSec déployée sur le serveur Windows Server est inscrite dans la console. Nous pourrions en ajouter d'autres sur le même principe.
Le nom de l'instance n'étant pas très évocateur, nous allons le modifier en choisissant "Edit name or tags" après avoir cliqué sur le widget de l'instance.
Ici, nous allons choisir le nom "WS-2022-IIS" car c'est le nom d'hôte du serveur. Puis, nous pouvons ajouter des tags. Cette fonctionnalité est pratique pour catégoriser vos instances selon différents critères : système d'exploitation, rôle, etc.... Vous pouvez nommer ces tags comme vous le souhaitez. Dans l'exemple ci-dessous, je crée 2 tags : "OS" et "Type".
Il ne reste plus qu'à cliquer sur "Update" pour valider. C'est plus propre, désormais :
C. S'abonner à une blocklist d'adresses IP malveillantes
La prochaine étape va consister à nous abonner à une blocklist supplémentaire afin de bloquer des adresses IP malveillantes connues, avant même qu'elles aient une chance de s'en prendre à notre serveur. Après avoir cliqué sur l'instance, nous cliquer sur "Browse available blocklists" pour accéder à la liste des blocklists.
Ici, nous retrouvons une liste de blocklists, avec une description associée à chacune d'elles. Il y a également des statistiques intéressantes : le nombre total d'adresses IP dans cette blocklist et le nombre actuel d'abonnés, ce qui indique la popularité de cette blocklist.
Nous allons cliquer sur le bouton "Subscribe" au niveau de la blocklist nommée "Firehol cybercrime tracker list". Elle contient des adresses IP malveillantes associées à des serveurs de Command and Control (C2) utilisés par des attaquants.
Le fait de cliquer sur "Subscribe" nous donne accès à différents insights très intéressants au sujet de cette blocklist !
False positives : la liste est fiable, car il n'y a eu aucun faux positif signalé.
Already reported IPs : le pourcentage d'adresses IP présentes dans cette blocklist et déjà identifiée par des utilisateurs de CrowdSec.
Exclusivity : le pourcentage d'exclusivité, c'est-à-dire le pourcentage d'adresses IP présentes uniquement dans cette blocklist. Ici, c'est très élevé, donc nous avons tout intérêt à l'utiliser pour renforcer la protection de notre serveur.
Top behaviors / Top classifications : le top des attaques effectuées par les adresses IP présentes dans cette liste, et dans quel but.
Ces indicateurs permettent d'évaluer la pertinence d'une blocklist vis-à-vis d'une autre et ajoutent de la transparence à la Console CrowdSec.
Tout en bas de la page, nous allons cliquer sur le bouton "Add Security Engine(s)" puis sélectionner notre instance. Nous devons également choisir un type d'action à appliquer à ces adresses IP : "Ban" permet de bannir les adresses IP de cette blocklist. Une fois que c'est fait, il ne reste plus qu'à valider.
Voilà, notre serveur "WS-2022-IIS" est désormais abonné à cette blocklist ! Au passage, l'image ci-dessous nous permet de voir quels sont les pays les plus ciblés par les adresses IP contenues dans cette liste.
IV. Analyser une adresse IP avec CrowdSec Threat Intelligence
Au quotidien, la Console CrowdSec vous permettra d'avoir un œil sur les attaques et les scans identifiés et bloqués par vos serveurs. La liste des décisions et des alertes est accessible en mode console (via le jeu de commandes "cscli") mais aussi via l'interface de la console.
Dans l'exemple ci-dessous, nous pouvons constater que l'adresse IP "52.186.17.219" a été bannie par CrowdSec, car elle a effectué des actions suspectes sur le service Web de mon serveur, en plus d'un brute force sur le service RDP.
Pour en savoir plus sur cette adresse IP et notamment savoir "A quoi elle correspond" et si elle est connue pour effectuer de nombreuses attaques, il suffit de cliquer dessus. Autrement dit, nous allons pouvoir en apprendre plus sur la réputation de cette adresse IP.
Nous sommes directement redirigés vers la Threat Intelligence de CrowdSec où nous pouvons visualiser un ensemble d'insights associés à cette adresse IP. Ici, l'adresse IP apparaît comme inconnue et nous n'apprenons pas grand-chose à son sujet : c'est normal, j'ai effectué ce scan du service web à partir d'un serveur que je contrôle et cette adresse IP n'est pas utilisée à des fins malveillantes, sauf pour cette démonstration.
Néanmoins, dans un cas réel, cela ne veut pas dire que ce n'est pas une adresse IP dangereuse : si l'adresse IP en question remonte souvent dans les alertes et qu'elle semble cibler votre serveur en particulier, il pourrait s'agir d'une attaque ciblée. Méfiance, donc.
Les choses ont évoluées au bout de plusieurs heures. Après avoir effectué plusieurs tests de scans de port et tentatives de brute force, depuis cette adresse IP et à destination de mon serveur "WS-2022-IIS". Comme le montre l'image ci-dessous, nous pouvons voir que la Threat Intelligence de CrowdSec commence à dresser le profil de cette adresse IP. Par exemple, l'adresse IP est désormais connue pour effectuer des attaques par brute force.
Sans parler des alertes et décisions de notre instance, nous pouvons solliciter la Threat Intelligence de CrowdSec pour obtenir des informations sur une adresse IP. Prenons l'exemple de l'adresse IP suivante : "193.142.146[.]226".
Nous allons cliquer sur "CrowdSec Threat Intelligence" dans le menu, saisir cette adresse IP et cliquer sur le bouton "Search" pour lancer une recherche à son sujet. Dans ce nouvel exemple, nous utilisons l'interface Web de la console CrowdSec, mais il y a également une API et des intégrations avec d'autres solutions (OpenCTI, Splunk SIEM, TheHive, etc.).
Sur le même principe que pour l'exemple précédent, nous obtenons un ensemble d'indicateurs. Sauf qu'ici, il s'agit d'une adresse IP malveillante avec une très mauvaise réputation. Nous avons des informations plus précises et un historique très complet sur les activités malveillantes initiées depuis cette adresse IP.
Nous pouvons constater que cette adresse IP est très active et agressive depuis plusieurs mois. De plus, nous pouvons constater qu'elle est déjà référencée dans la blocklist "Firehol cybercrime tracker list" à laquelle notre serveur est abonné ! C'est une bonne nouvelle, puisque cela veut dire que cette adresse IP est déjà bloquée sur notre serveur grâce au fait qu'il soit abonné à cette liste.
Sachez que même si vous ne déployez pas CrowdSec sur vos serveurs, vous pouvez tout de même créer un compte CrowdSec Console pour solliciter la "CrowdSec Threat Intelligence" afin d'obtenir des renseignements sur une adresse IP. Vous pouvez effectuer 10 requêtes par cycle de 2 heures.
V. Conclusion
Suite à la lecture de cet article, vous avez une vue d'ensemble des principales fonctionnalités offertes par la CrowdSec Console ! Grâce à la Threat Intelligence, elle a une réelle valeur ajoutée dans le suivi des menaces et sur l'activité associée à chaque adresse IP publique. Que vous soyez ou non utilisateur de la solution CrowdSec Security Engine, elle peut vous être utile !
Cet article contient une communication commerciale.
Apple travaillerait sur le développement de nouveaux processeurs destinés à équiper des serveurs et conçus pour répondre aux besoins du domaine de l'Intelligence Artificielle. Voici ce que l'on sait !
Apple pourrait être un futur concurrent de poids pour NVIDIA sur le marché des serveurs et de l'IA, même s'il y a encore beaucoup de chemins à parcourir. Sur le réseau social chinois Weibo, un leaker surnommé "Phone Chip Expert" a révélé qu'Apple travaille en interne sur le développement de puces destinées à ce marché en pleine expansion et particulièrement juteux pour les entreprises.
Cette première puce d'Apple serait basée sur une gravure en 3 nm de TSMC. Basé à Taïwan, le géant TSMC est la plus importante fonderie de semi-conducteurs et la gravure en 3 nm correspond au procédé le plus avancé à l'heure actuelle. D'ailleurs, Apple profite déjà de ce type de gravure pour ses puces A17 Pro et M3. La gravure en 2 nm est attendue pour 2025, tandis que TSMC envisage de passer à la gravure en 1,6 nm en 2026.
Pour le moment, et pour des raisons de confidentialité et sécurité, Apple effectue les calculs liés à l'IA en local sur ses appareils. La puissance est plus limitée qu'avec l'usage du Cloud, ce qui pourrait freiner Apple à un moment donné. En produisant ses propres puces pour serveurs, Apple pourrait avoir une meilleure maitrise du matériel, et surtout, optimiser le matériel vis-à-vis des besoins de ses logiciels et services.
Ainsi, Apple pourrait s'appuyer sur le Cloud pour ses services liés à l'Intelligence Artificielle, tout en tirant profit de ses propres puces. Toujours d'après "Phone Chip Expert", un début de production en masse est prévu pour le second semestre 2025. D'ici à un ou deux ans, Apple pourrait commencer à déployer ses propres serveurs.
Les informations du leaker "Phone Chip Expert", bien que généralement fiables, sont à prendre avec précautions, car Apple ne s'est pas exprimé officiellement sur le sujet.
With all the changes in VMware’s offerings, sysadmins and businesses are looking for alternatives to reduce expenditure or have more control over their infrastructure. Proxmox is a free enterprise-ready alternative to VMware ESXi with optional commercial hypervisor and backup support. Many organizations have refrained from migrating from VMware to Proxmox due to the high costs associated with migration. The new Proxmox import wizard simplifies the migration process.
Depuis novembre 2023, un groupe de pirates exploite 2 failles de sécurité zero-day présentes dans les firewalls Cisco pour compromettre des infrastructures gouvernementales dans le monde entier. Faisons le point sur cette menace.
Si vous utilisez un firewall Cisco ASA (Adaptive Security Appliance ou Cisco FTD (Firepower Threat Defense), vous devriez lire cette alerte de sécurité avec une attention particulière. Un groupe de pirates, traqués sous le nom UAT4356 par Cisco Talos, et STORM-1849 par Microsoft, a compromis des firewalls vulnérables au début du mois de novembre 2023, dans le cadre d'une campagne de cyberespionnage baptisée "ArcaneDoor".
Dans le cadre de ces attaques, le groupe de pirates a exploité deux vulnérabilités en tant que failles de sécurité zero-day :
CVE-2024-20353 : un attaquant distant non authentifié peut provoquer un déni de service sur l'appareil.
CVE-2024-20359: un attaquant local authentifié peut exécuter un code arbitraire avec les privilèges "root", ce qui implique de compromettre l'appareil au préalable.
Ce n'est qu'en janvier 2024 que Cisco a pris connaissance de la campagne ArcaneDoor. Mais, d'après les chercheurs en sécurité de chez Cisco, les attaquants ont développé et testé des exploits pour ces deux failles zero-day en juillet 2023. Le vecteur d'attaque initial reste inconnu à ce jour.
Sur les appareils Cisco compromis et sur lesquels ils avaient la main, les pirates ont déployé des logiciels malveillants inconnus jusqu'ici. Le premier implant se nomme "Line Dancer" et il permet d'exécuter du code en mémoire pour désactiver la journalisation, activer l'accès distant ou encore exfiltrer les paquets capturés.
Le second implant se nomme "Line Runner" et il s'agit d'une porte dérobée persistante permettant l'exécution de code Lua sur les équipements, tout en étant discret et difficilement détectable.
Dans le rapport de Cisco Talos, nous pouvons lire : "UAT4356 a déployé deux portes dérobées dans le cadre de cette campagne, "Line Runner" et "Line Dancer", qui ont été utilisées collectivement pour mener des actions malveillantes sur la cible, notamment la modification de la configuration, la reconnaissance, la capture/exfiltration du trafic réseau et, éventuellement, le déplacement latéral."
Cisco a publié des correctifs de sécurité
Cisco a mis en ligne des correctifs de sécurité pour permettre aux entreprises de se protéger de ces failles de sécurité importantes, déjà exploitées dans le cadre de la campagne de cyberespionnage menée par le groupe UAT4356.
"Cisco recommande vivement à tous ses clients d'effectuer une mise à niveau vers les versions logicielles patchées.", peut-on lire sur le site de Cisco.
En complément de l'installation du correctif de sécurité, Cisco vous recommande de surveiller les journaux de système à la recherche d'une activité suspecte. Il peut s'agir d'un redémarrage non programmé de l'appareil, d'un changement de configuration ou encore de connexions suspectes.
Pendant 5 ans, des pirates sponsorisés par l'État chinois ont espionné le groupe automobile Volkswagen ! Pendant cette période, ils ont dérobé des milliers de documents confidentiels au sujet des futurs véhicules électriques de la marque, mais pas seulement...
19 000, c'est le nombre de documents qu'est parvenu à dérober un groupe de pirates, entre 2010 et 2015. Cette information a été révélée il y a quelques jours grâce à des journalistes allemands parvenus à obtenir des documents internes évoquant cet espionnage important. Pour être plus précis, le 20 avril 2024, les médias allemands ZDF et Der Spiegel ont publié des articles à ce sujet.
Un groupe de pirates lié à la Chine ?
Même si la Chine n'est pas directement accusée de cet acte de cyberespionnage, tout porte à croire qu'elle en est à l'origine. En effet, il y a plusieurs indices qui vont dans ce sens, notamment la méthodologie employée par les pirates et le fait que les adresses IP utilisées par les pirates soient associées à la Chine. Bien qu'il n'y ait pas de preuve réelle, voici ce que l'on peut lire dans l'article du média ZDF : "Nous avons pu remonter l'adresse IP jusqu'à Pékin, et même jusqu'à l'Armée populaire de libération (APL)."
Par ailleurs, les pirates ont utilisé deux logiciels espions habituellement utilisés par les acteurs étatiques chinois : "China Chopper" et "PlugX". Par exemple, China Chopper est un web shell découvert pour la première fois en 2012 et utilisé pour obtenir la persistance sur un système compromis.
À quoi correspondent les documents volés ?
Au total, les pirates auraient volé environ 19 000 documents. Mais, alors, à quoi correspondent-ils ? Au-delà des informations au sujet des véhicules électriques de Volkswagen, les pirates ont mis la main sur d'autres documents, car ce n'était pas leur cible initiale. Parmi les objectifs identifiés des pirates, il y avait :
Le développement de moteurs à allumage commandé
Le développement de boîtes de vitesses
Les boîtes de vitesses à double embrayage
Par ailleurs, des documents relatifs aux boites de vitesses automatiques, aux travaux effectués sur les piles à combustibles ou encore l'e-Mobilité, ont été dérobés par les cybercriminels.
Cette affaire est clairement de l'espionnage industriel et les documents volés ont pu participer à donner un avantage concurrentiel à la Chine, si elle est bien à l'origine de cette attaque. Ceci est d'autant plus vrai que le groupe Volkswagen comprend également d'autres marques comme Audi, Lamborghini, MAN, Porsche, Skoda et Bentley.
Si vous aimez le matos vous allez être servi. Zebra Zone nous emmène visiter un car régie de AMP Visual TV, un prestataire de tournages télévisés multi-caméras :
Et on peut le dire, c'est du lourd ! On ne parle pas ici de quelques techniciens mais d'une véritable société au cœur des retransmissions TV qui arrivent jusqu'à votre écran.
Pour ceux qui en veulent encore :
Enfin, si vous aimé le contenu de Stéphane (Deus Ex Silicium) alors vous aimerez sûrement cette analyse de caméra pro :
Je ne sais pas vous, mais j'adore ce genre de contenu. La qualité des images de Zebra Zone est tellement chouette, on en prends plein les mirettes !
The instructions in this post outline how to execute arbitrary code with administrator privileges on the Windows logon screen before the user signs in.
Je vous propose dans cet article un writeup du Sherlocks Litter proposé par Hack The Box. Cette investigation nous permettra notamment de manipuler Wireshark pour explorer un cas de protocol tunneling via le DNS : une technique utilisée pour faire communiquer discrètement un système compromis avec le serveur de contrôle distant d'un attaquant.
Les Sherlocks sont des challenges d'investigation numérique/forensic mis à disposition par la plateforme Hack The Box. Dans cet article, nous allons détailler la démarche qui permet de résoudre le Sherlocks Litter, de difficulté "Facile". Cet article sera notamment l'occasion de comprendre comment peut se dérouler concrètement une cyberattaque, et quels sont les modes opératoires des attaquants et des analystes en cybersécurité.
Cette solution est publiée en accord avec les règles d'HackThebox et ne sera diffusée que lorsque le Sherlocks en question sera indiqué comme "Retired".
Technologies abordées
Windows, DNS, protocol tunneling
Outils utilisés
Wireshark, python
Retrouvez tous nos articles Hack The Box via ce lien :
Dans le cadre de l'investigation, un contexte et une archive sont mis à disposition :
D'après les éléments de contexte qui nous sont fournis, l'hôte ciblé semble être utilisé pour tout et n'importe quoi et par n'importe qui. Cela ne va certainement pas nous aider à comprendre ce qui est légitime de ce qui ne l'est pas. Également, nous apprenons que des données de l'entreprise y ont été volées.
Nous commençons donc par ouvrir l'archive à sur notre Kali Purple fraîchement installée. À l'intérieur, un fichier Wireshark, un célèbre outil d'analyse réseau :
III. Investigation numérique : le cas Litter
A. Tâche n°1: Identifier le protocole utilisé
Énoncé - Task 1 : At a glance, what protocol seems to be suspect in this attack?
La première tâche consiste à identifier le protocole qui semble avoir été utilisé pour la réalisation de l'attaque. Wireshark nous permet d'avoir des statistiques intéressantes concernant la volumétrie des protocoles au sein d'un même fichier ".pcap" :
Si l'on cherche les protocoles les plus utilisés, 4 candidats sont intéressants : les protocoles UDP "QUIC IETF" et "DNS", ainsi que les protocoles TCP "TLS" et "HTTP".
Après quelques recherches, je comprends que QUIC IETF est censé être un "nouveau" protocole de transport (comme UDP ou TCP) : QUIC: A UDP-Based Multiplexed and Secure Transport. Intéressant, mais un peu trop obscure pour un challenge "facile". Il semble également complexe d'investiguer sur des échanges chiffrés TLS. Ce qui nous oriente sur deux candidats : HTTP ou DNS.
Si l'on effectue un filtre sur le protocole HTTP avec la fonctionnalité "Conversations" de Wireshark, nous pouvons très rapidement isoler les hôtes avec lesquels des échanges HTTP ont eu lieu :
On peut noter que l'adresse IP avec laquelle le serveur compromis a le plus discuté est "13.107.4.50". Les autres échanges comportent trop peu de paquets pour nous intéresser. Renseignons-nous sur cette adresse IP à l'aide de la commande "whois" :
Notre hôte compromis à interrogé un point d'entrée "/msdownload/" sur une adresse IP appartenant à Microsoft. De toute évidence, il s'agit d'échanges en rapport avec les mises à jour Windows.
Attention : dans la réalité, les attaquants peuvent héberger ou utiliser des services Microsoft/Cloud pour leurs actions malveillantes, ils profitent alors du crédit et de la confiance accordés à ces services/IP/plateformes par les blues team et les solutions de sécurité. Je pense notamment à l'hébergement de service C&C (Command and Control) par Azure ou l'utilisation de machines Azure compromises comme intermédiaires.
Il ne nous reste donc plus que le protocole DNS comme candidat !
B. Tâche n°2 : Identifier l'IP suspecte
Énoncé - Task 2 : There seems to be a lot of traffic between our host and another, what is the IP address of the suspect host?
Maintenant que nous savons quel protocole a principalement été utilisé (DNS), et bien que ce dernier nous paraisse inoffensif au premier abord, tentons d'identifier quelle est l'adresse IP suspecte. Nous pouvons ici à nouveau utiliser la fonctionnalité "Conversations" de Wireshark après avoir effectué un filtre sur le protocole DNS :
Nous pouvons clairement voir que l'une des adresses IP a beaucoup plus discuté que les autres au travers le protocole DNS. Il est d'ailleurs suspect en soi qu'un tel volume de paquet DNS ait été échangé, il s'agit d'un protocole d'ordinaire plutôt "léger" dans la mesure où seuls quelques éléments textes sont échangés.
L'adresse IP "192.168.157.145" est donc celle de notre suspect.
C. Tâche n°3 : une commande via DNS ?
Énoncé - Task 3 : What is the first command the attacker sends to the client?
Il est maintenant temps de s'intéresser au contenu de ces échanges DNS. Commençons par isoler les paquets en appliquant un filtre sur ce protocole et l'IP suspecte :
DNS && (ip.addr==192.168.157.144 && ip.addr==192.168.157.145)
Ces échanges paraissent pour le moins inhabituels. Les noms DNS sont la plupart du temps intelligibles, et ils ne sont jamais aussi long. Ici, ils semblent être constitués uniquement des alphabets suivants avec aucun mot intelligible à part "microsofto365.com" :
1-9
a-f
Voilà qui nous rappelle quelque chose : de l'hexadécimal. Je récupère au hasard une requête TXT et copie le contenu de la requête via la fonction Copy Value de WIreshark (pensez à bien faire un clic droit sur le champ exact à copier dans le paquet ciblé) :
Je tente ensuite de décoder l'hexadécimal à l'aide de l'outil en ligne "CyberChef".
Cyberchef se présente comme "The Cyber Swiss Army Knife", c'est un outil très pratique proposé par le GCHQ (services de renseignement britannique) qui permet d'encoder/décoder ou chiffrer/déchiffrer des données au sein d'une application web intuitive. Cela permet de tenter rapidement tout un tas de format de conversions, d'encodage/decodage ou d'algorithme de chiffrement sur des données sans saisir la moindre ligne de commande : https://gchq.github.io/CyberChef/
Si vous souhaite l'utiliser dans un contexte professionnel, je vous recommande son installation sur un de vos serveurs déconnectés d'internet pour l’investigation : https://github.com/gchq/CyberChef
La conversion "hexadecimal -> ASCII" nous donne donc un bout de texte intelligible !
L'attaquant est parvenu à utiliser le protocole DNS en tant que protocole d’encapsulation en vue d'envoyer des commandes au serveur compromis, puis de recevoir en retour le résultat. Cette technique est connue sous le nom de DNS protocol Tunneling et est référencée sur le site du MITRE : T1071.004 - Application Layer Protocol: DNS
Un C2, C&C, ou centre de commandement et de contrôle (en anglais, Command and Control), est un élément crucial dans le contexte des cyberattaques. C'est une infrastructure utilisée par les cybercriminels pour gérer et contrôler des systèmes compromis à distance. Les attaquants utilisent de nombreuses infrastructures, techniques et protocoles pour que les agents déployés sur les systèmes compromis des entreprises communiquent avec leur C2, le MITRE ATT&CK en référence un certain nombre : TA0011 - Command and Control
Il est à noter que, contrairement à ce que l'on pourrait penser, le nom de domaine microsofto365.com n'appartient pas à Microsoft, dans la réalité, personne ne possède ce nom de domaine :
Pour comprendre l'intégralité de l'échange, il faut donc isoler le nom DNS exact dans les requêtes et les réponses des paquets déjà isolés, supprimer les éléments parasites (les "." et le "microsofto365.com"), concaténer le tout puis effectuer une conversation hexadécimal vers ASCII, je ne pense pas parvenir à faire cela avec Wireshark, je suis donc passé par le script Python suivant :
#!/usr/bin/python3
import argparse
from scapy.all import rdpcap, DNSQR, DNSRR
def main(args) -> None:
f = ""
last = ""
for p in rdpcap(args.file):
if p.haslayer(DNSQR) and not p.haslayer(DNSRR) :
if "microsofto365" in p[DNSQR].qname.decode('utf-8'):
qry = p[DNSQR].qname.decode('utf-8').replace(args.domain,"").strip().split(".")
qryStr = ''.join(qry)[4:]
if len(qryStr) > 1:
decoded_string = bytes.fromhex(qryStr).decode('utf-8', errors='replace')
if (len(decoded_string) > 20) and last != decoded_string:
f += decoded_string
last = decoded_string
print(f)
if __name__ == '__main__':
# create the top-level parser
parser = argparse.ArgumentParser(prog='PROG')
parser.add_argument("-f", '--file', help='.pcap filepath', required=True)
parser.add_argument("-d", '--domain', help='top domain to remove (eg. attacker.com)', required=True)
args = parser.parse_args()
main(args)
J'ai notamment utilisé "scapy" pour isoler les échanges DNS concernant le nom de domaine "microsofto365.com". Des recherches sur le décodage des échanges "dnscat2" m'ont également renseigné sur le besoin de retirer les 4 premiers octets de chaque échange DNS (Analysis on Popular DNS Tunneling Tools), qui correspond à un marqueur spécifique permettant le suivi des sessions "DNScat" : inutile dans le cadre d'une conversion en texte donc. Suite à l'exécution du script :
Le résultat n'est pas parfait, mais nous pouvons tout de même comprendre les échanges et exécution de commande qui on eut lieu. On obtient notamment la première commande exécutée par l'attaquant suite au déploiement de sa backdoor : whoami.
D. Tâche n°4 : dnscat2
Énoncé - Task 4 : What is the version of the DNS tunneling tool the attacker is using?
Maintenant que nous sommes parvenus à avoir l'échange client-serveur presque en clair, il nous est plus facile de comprendre les opérations réalisées par l'attaquant. Nous pouvons notamment identifier la version de dnscat utilisée dans le nom du binaire déposé par l'attaquant :
Nous savons donc que l'attaquant à utiliser "dnscat2" en version 0.07.
E. Tâche n°5 : un attaquant presque discret
Énoncé - Task 5 : The attackers attempts to rename the tool they accidentally left on the clients host. What do they name it to?
L'attaquant aurait tenté de renommer son outil une fois déposé sur le système compromis, nous pouvons de nouveau facilement repérer ses tentatives dans les échanges client-serveur "dnscat2" décodés :
L'attaquant a renommé son binaire "dnscat2" en "win_installer.exe".
Le fait de changer le nom d'un outil malveillant avant de le déposer sur un système surveillé par une solution de sécurité (antivirus, EPP, EDR, etc.) correspond au TTP T1036.005 - Masquerading: Match Legitimate Name or Location. Cela vise à contourner les règles de détections basées sur des mots ou des noms caractéristiques d'outils malveillants ou les analyses manuelles. Les attaquants optent souvent pour des noms communs et connus pour tenter de contourner ses règles, par exemple, en renommant leur malware "firefox.exe", "teams.exe", etc. EPP/EDR et humains peuvent facilement se faire berner par ce genre d'opérations.
Il est à noter que changer le nom du binaire après son dépôt sur le système est moins utile en termes de discrétion. En effet, une bonne partie des solutions de sécurité vont analyser celui-ciet lever une alerte dès sa création sur le système et pas seulement lors de son exécution.
Cependant, ce type de renommage peut être utile dans le cadre d'une persistance. En effet, un administrateur effectuant une analyse manuelle des processus en cours d'exécution ne prêtera pas attention à un processus win_installer.exe en cours d'exécution, alors qu'un processus "dns2cat.exe" l'interrogera un peu plus, le poussant à investiguer.
F. Tâche n°6 : Enumeration utilisateur
Énoncé - Task 6 : The attacker attempts to enumerate the users cloud storage. How many files do they locate in their cloud storage directory?
Il semblerait que l'attaquant ait tenté d'énumérer les fichiers Cloud depuis le système compromis. En effet, nous pouvons voir cette tentative :
Seulement le dossier "OneDrive" parcouru par l'attaquant ne contenait aucun fichier.
G. Tâches n°7 et 8 : fuite d'informations sensibles
Énoncé - Task 7 :What is the full location of the PII file that was stolen?
Énoncé - Task 8 :Exactly how many customer PII records were stolen?
Ces deux tâches peuvent être traitées en même temps. Il s'agit de retrouver le nom et le contenu du fichier sensible ayant été dérobé par l'attaquant. Il nous suffit de suivre le flux des échanges clients-serveur décodés jusqu'à trouver ceci :
Nous voyons que l'attaquant a consulté le fichier "C:\users\test\documents\client data optimisation\user details.csv" et que celui-ci contient des informations personnelles :
Ce fichier contient 721 lignes (le premier objet ayant l'identifiant 0), c'est donc le nombre de clients uniques contenu dans le fichier dérobé.
IV. Résumé de l'attaque
Au cours de cette investigation, nous avons découvert que suite une compromission du système "desktop-umncbe7" par un vecteur non connu, l'attaquant a déposé un binaire sur le système, puis a utilisé le protocole DNS pour établir une communication directe entre son C2 et le système compromis. L'attaquant a effectué une brève recherche de fichiers sensibles sur le système et a récupéré les informations personnelles de 721 clients, incluant noms, prénoms, mails, adresses, numéros de téléphone, date de naissance, etc.
Pour aller jusqu'au bout de la démarche, voici les TTP (Tactics, Techniques and Procedures) utilisés :
Affichage et exfiltration du fichier "user details.csv" contenant les informations personnelles
V. Notions abordées
Nous allons à présent mettre en avant les principales notions et les apprentissages de cet exercice, aussi bien pour l'attaquant que pour les défenseurs ou l'analyste. Il ne s'agit pas d'un point de vue complet, n'hésitez pas à améliorer ce contenu en donnant votre avis dans les commentaires :).
A. Côté analyste
Côté analyste, connaitre les outils et les méthodes des attaquants pour être discret et passer sous les radars est important. Ici, il est facile pour un analyste de passer à côté des flux DNS. La connaissance et le suivi actif des mises à jour des TTP du MITRE ATT&CK permet aux analystes de rester à jour sur les outils et techniques utilisés par les attaquants.
Il est à noter qu'en conditions réelles, le protocole DNS serait totalement noyé (en volume) par les autres protocoles, ce qui rendrait d'autant plus difficile cette investigation. Il serait peut-être intéressant de disposer d'un outil qui oriente les recherches de l'analyste, au moins sur les techniques connues et fréquemment utilisées et lors d'une analyse de formats connus et standardisés comme les fichiers PCAP. Une des fonctions de cet outil pourrait, par exemple, répondre à la question "est-ce qu'il existe des requêtes DNS portant sur des noms très long ?".
Nous avons également vu que la maitrise de Wireshark est importante et permet de gagner du temps sur les analyses de flux réseau. Notamment via les fonctions de statistique et les filtres.
Disposer d'une boite à outils pour se faciliter la vie est également important et c'est ce qu'apporte, entre autres, l'expérience et la formation. L'outil cyberchef est ici un incontournable, comme les outils capables d'identifier et d'extraire des informations concernant les noms de domaine. Il en va de même pour les méthodologies d'analyse. Je suis, par exemple, passé à côté du fait que le domaine microsofto365.com n'est pas un domaine officiel de Microsoft pendant toute l'analyse, car je n'ai pas fait la requête "whois" concernant ce nom de domaine immédiatement. Cela aurait pu m'induire en erreur (miser sur l'utilisation d'instances Cloud par l'attaquant par exemple).
B. Côté défense
Côté défense, il peut déjà être recommandé d'investiguer de façon plus approfondie sur les raisons de la compromission, élément qui est hors du périmètre de cette analyse.
Également, la mise en place de règles de détections basées sur un volume anormalement élevé de requête DNS ou la taille de noms de domaine peut être recommandé. Il faut savoir qu'un nom DNS a une taille maximale de 255 caractères :
Cependant, dans la réalité, il est très rare de croiser des noms de domaine dépassant 50 ou 60 caractères. J'ai d'ailleurs déjà croisé des solutions de sécurité basées sur l'analyse des flux réseau émettant une alerte de sécurité lorsqu'une requête ou réponse DNS concernant un nom de domaine trop long était identifiée.
La mise en place d'une solution de sécurité capable de détecter les outils malveillants que pourrait déposer un attaquant est également à recommander. Il est, par exemple, aisé de trouver des règles de détection SIGMA (utilisées par les EDR et IDS, entre autres) concernant le binaire ou les commandes PowerShell dnscat2 : Detection.fyi - Dnscat Execution
Il est difficile de proposer des améliorations concernant le nom de domaine utilisé par l'attaquant. Impossible de prévoir toutes les permutations DNS non enregistrées concernant Google, Microsoft ou autres Cloud provider. Si l'entreprise souhaite surveiller ses propres noms de domaine et être informé de l'enregistrement d'un nom de domaine ressemblant au sien par un attaquant, différents outils peuvent être utilisés :
Ici, nous sommes parvenus à décoder les échanges encapsulés dans le protocole DNS, car ceux-ci étaient simplement encodés en hexadécimal. Il faut savoir que dnscat2, l'outil utilisé par l'attaquant, possède une fonction permettant de chiffrer les échanges à l'aide d'une clé fixe avant transmission via le réseau. Il est alors plus complexe pour l'analyste de retrouver le contenu des échanges avec le C2.
Également, il pourrait être intéressant pour l'attaquant de renommer ses binaires malveillants avant dépôt sur le système, cela pour éviter qu'un éventuel antivirus, EPP ou EDR n'émette une alerte basée sur un terme surveillé dans les noms des fichiers ou des commandes.
V. Conclusion
J'espère que cet article vous a plu ! Au-delà de la résolution du challenge, il est toujours intéressant de savoir tirer parti de ces exercices pour s'améliorer et en extraire le maximum d'apprentissage. N'hésitez pas à utiliser les commentaires et le Discord pour partager votre avis !
Enfin, si vous voulez accéder à des cours et des modules dédiés aux techniques offensives ou défensives et améliorer vos compétences en cybersécurité, je vous oriente vers Hack The Box Academy, utilisez ce lien d'inscription (je gagnerai quelques points ) : Tester Hack the Box Academy
L'entreprise Hive Systems a mis en ligne la nouvelle version de son étude permettant de connaître le temps nécessaire pour "brute forcer" un mot de passe, c'est-à-dire le casser, le deviner quoi ! Alors vos mots de passe sont-ils en vert ? Réponse dans cet article !
L'algorithme bcrypt et le matériel utilisé pour les tests
Avant d'évoquer les résultats et cette fameuse matrice "Password Table", évoquons la méthodologie utilisée par les équipes de Hive Systems. Jusqu'ici, les tests étaient effectués sur des hashs de mots de passe chiffrés avec l'algorithme MD5 : ce qui n'était pas cohérent et représentatif, car il est obsolète. Mais, si Hive Systems se basait sur cet algorithme, c'est parce qu'il était encore massivement utilisé. Désormais, la "Password Table" indique le temps qu'il faut pour casser un mot de passe chiffré avec bcrypt, et non md5.
"MD5 a régné en maître pendant plusieurs années, mais bcrypt a pris la tête en 2020, 2021, 2023 et, jusqu'à présent, en 2024.", ce qui justifie le fait de basculer de md5 vers bcrypt.
Le matériel utilisé reste le même entre cette édition 2024 et l'édition 2023 : 12 cartes graphiques (GPU) RTX 4090, ce qui représente une puissance très élevée ! Hive Systems estime a fait le choix de ce matériel, car c'est "la meilleure configuration matérielle accessible au grand public." - En complément, des résultats sont donnés pour des configurations beaucoup plus musclées basées sur des GPU A100, notamment utilisées pour l'IA.
Oubliez les mots de passe de 8 caractères
À partir de différentes configurations matérielles, d'une simple RTX 2080 à une configuration monstrueuse de 10 000 GPU A100 (ChatGPT), Hive Systems a essayé de casser des mots de passe de 8 caractères plus ou moins complexes, aussi bien avec le md5 que le bcrypt. Ces résultats prouvent que le bcrypt est plus robuste que le md5, mais il montre aussi les limites des mots de passe de 8 caractères.
Voici le comparatif, avec md5 au-dessus, et bcrypt en dessous :
Source : Hive Systems
La matrice Password Table de 2024
Alors, en 2024, combien de temps faut-il pour casser un mot de passe ? Bien entendu, cela dépend de la longueur de ce mot de passe et du type de caractère.
Pour être "dans le vert", selon la matrice d'Hive Systems, le mot de passe doit être d'au moins 13 caractères et utiliser 4 types de caractère (nombres, majuscules, minuscules et symboles) car il faudra 11 milliards d'années pour le casser. Il faudra surement beaucoup moins de temps avec du matériel encore plus performant.
Au-delà des types de caractère, cette matrice met en avant l'importance de la longueur des mots de passe. Un mot de passe de 14 caractères, avec uniquement des lettres minuscules et majuscules, sera cassé en 766 000 années. Pour utiliser seulement ces deux types de caractère et "être dans le vert", comptez 17 caractères minimum : c'est facilement atteignable avec une passphrase.
Voici la fameuse matrice de 2024 :
Vous pouvez accéder à l'étude complète et au téléchargement en haute définition de cette Password Table en visitant cette page.
Une nouvelle fois, ce type d'étude m'encourage à vous recommander l'utilisation de passphrases plutôt que de mots de passe.
Le menu Démarrer de Windows 11 va accueillir des publicités pour mettre en avant des applications tierces. Ce changement est imminent, car il vient d'être ajouté par la mise à jour optionnelle d'avril 2024 : KB5036980. Faisons le point.
Après l'installation de la mise à jour KB5036980 sur Windows 11 23H2, le système passe sur la Build 22631.3527. Par ailleurs, si vous installez la même mise à jour sur Windows 11 22H2, le système passera sur la Build 22621.3527.
Le menu Démarrer de Windows 11 ne va pas lister uniquement vos documents et vos applications, il va aussi lister des applications tierces mises en avant par Microsoft. Il s'agit de publicités intégrées directement au menu Démarrer pour promouvoir les applications des entreprises ayant payé Microsoft pour cela. Par exemple, il y aura des publicités pour le navigateur Opera et 1Password Manager.
Source : WindowsLatest
Peut-on éviter ce changement ?
Si vous n'installez pas la mise à jour KB5036980 sur votre PC, vous ne verrez pas de publicités dans le menu Démarrer de Windows 11. Enfin, pour le moment, car cette mise à jour donne un aperçu des changements à venir le mardi 14 mai 2024. Date à laquelle Microsoft va dévoiler son nouveau Patch Tuesday et publier les nouvelles mises à jour cumulatives mensuelles, qui elles sont obligatoires (et recommandées).
Ce changement était attendu, car Microsoft l'a déjà évoqué, mais il semble être déployé plus tôt que prévu. En effet, Microsoft devait activer l'affichage des publicités sur Windows 11 à partir de la fin du mois de mai (avec une mise à jour optionnelle), afin de les activer pour tout le monde avec la mise à jour cumulative de juin 2024. Microsoft a visiblement pris un mois d'avance sur son planning initial.
Néanmoins, bien que cette fonctionnalité soit activée par défaut, elle peut être désactivée dans les paramètres du système. Il conviendra de désactiver l'option nommée "Afficher des recommandations pour les conseils, les raccourcis, les nouvelles applications, etc." présente dans : Paramètres, Personnalisation, Démarrer.
Le 23 avril 2024, Microsoft a publié plusieurs "Hotfix Updates" (HU) pour les serveurs de messagerie Microsoft Exchange. Elles permettent de corriger plusieurs problèmes rencontrés par les utilisateurs et ajoutent de nouvelles fonctionnalités. Voici ce qu'il faut savoir.
La firme de Redmond a publié de nouvelles mises à jour Hotfix pour Microsoft Exchange Server. Ils permettent d'ajouter deux fonctionnalités au serveur de messagerie et de sept problèmes connus.
Voici les deux fonctionnalités ajoutées :
Prise en charge des certificats ECC (Elliptic Curve Cryptography - Cryptographie à Courbe Elliptique) dans Exchange Server 2016 et 2019. Voir cette page de la documentation Microsoft, pour en savoir plus.
Prise en charge de l'authentification hybride moderne (HMA) pour Outlook Web (OWA) et ECP dans Exchange Server 2019 CU14 (uniquement à partir de cette version). Voir cette page de la documentation Microsoft, pour en savoir plus.
Microsoft a corrigé des bugs reportés par les utilisateurs d'Exchange suite à l'installation des mises à jour de sécurité de Mars 2024. Les bugs listés ci-dessous sont désormais corrigés :
Les calendriers publiés pourraient ne pas fonctionner avec une erreur "Ce calendrier n'est pas disponible"
Par ailleurs, Microsoft doit encore un bug connu, comme le précise l'article mis en ligne par l'entreprise américaine : "L'impression du calendrier dans OWA peut ne pas fonctionner si le raccourci clavier CTRL+P est utilisé. Nous corrigerons ce problème dans une prochaine mise à jour.".
Avril 2024 - Les mises à jour Hotfix d'Exchange Server
Voici la liste des mises à jour Hotfix publiées par Microsoft pour les serveurs de messagerie Exchange :
Avant d'installer ce Hotfix, vous devez utiliser l'une des Cumulative Update (CU) mentionnée dans la liste ci-dessus. Enfin, il est à noter que ces correctifs et fonctionnalités seront également inclus dans les futures mises à jour cumulatives pour Exchange Server 2019. Cela signifie que si vous n'êtes pas impacté par les bugs listés ci-dessus et que vous n'avez pas besoin des nouvelles fonctionnalités, vous pouvez patienter.
Lorsque vous installez un nouveau disque dur ou SSD, ou du jour au lendemain, il peut arrivé qu’un disque apparaisse comme non initialisé dans la gestion de disque de Windows. Ce dernier est donc inutilisable puisque les lettres de lecteurs ne sont pas non plus disponibles dans l‘Explorateur de fichiers. Un disque peut apparaître comme non initialisé dans Windows pour plusieurs raisons que ce soit logiciel ou matériel.
Dans ce tutoriel complet, je vous donne ces raisons mais surtout les solutions pour résoudre un disque dur/SSD non initialisé ou inconnu dans Windows.
Pourquoi le disque ou SSD est non initialisé ou inconnu dans Windows
Les raisons de ce problème sont logiciels ou matériels. Essentiellement, voici les principales sources :
Problèmes de connexion : Des problèmes de connexion physique, tels que des câbles mal branchés ou des ports endommagés, peuvent empêcher Windows de reconnaître le disque
Corruption du système de fichiers ou de la table de partition : Des erreurs dans le système de fichiers ou des dommages à la table de partition peuvent entraîner l’impossibilité pour Windows de reconnaître correctement le disque et de l’initialiser
Défaillance matérielle : Un disque dur endommagé ou défectueux peut ne pas être correctement détecté par Windows. Des problèmes tels que des secteurs défectueux ou des pannes matérielles peuvent entraîner le non-initialisation du disque
Pour déterminer la cause exacte du problème, il est souvent nécessaire d’effectuer des diagnostics supplémentaires, tels que l’inspection physique du disque, l’utilisation d’outils de diagnostic du disque dur, ou l’examen des journaux système pour détecter d’éventuelles erreurs. Une fois la cause identifiée, vous pouvez prendre des mesures pour résoudre le problème, que ce soit en initialisant le disque, en réparant le système de fichiers, en remplaçant des composants défectueux, ou en utilisant d’autres méthodes appropriées en fonction de la situation spécifique. Suivez les instructions du de ce guide complet pour trouver la solution.
Résoudre un disque dur/SSD non initialisé ou inconnu dans Windows
Vérifier les problèmes de connexion
Avant de rechercher d’autres causes, vérifiez s’il n’y a pas de problème de connexion entre le disque dur et votre ordinateur. Pour commencer, débranchez et rebranchez le disque dur sur votre ordinateur portable afin d’éliminer tout problème de connexion temporaire.
En outre, assurez-vous que le câble de connexion du disque dur est intact et qu’aucune partie n’est visiblement endommagée. Nettoyez également les deux extrémités du câble avec un chiffon pour vous assurer qu’aucune poussière ou débris n’est coincé à l’intérieur, ce qui empêcherait le disque de s’initialiser.
Si aucun des problèmes temporaires susmentionnés ne semble être à l’origine de la panne, recherchez d’éventuels problèmes de port.
Prenez en compte aussi les problèmes suivants dans le cas d’un disque externe :
Un port USB défectueux peut également empêcher votre système de détecter le disque dur, ce qui entraîne le problème en question. Il est donc impératif de s’assurer que le port USB fonctionne correctement. Pour le vérifier, il suffit de changer de port, c’est-à-dire de brancher le disque externe sur un port différent de celui sur lequel il était branché auparavant
Un câble défectueux ou vous n’utilisez pas le câble d’origine
Le boîtier USB est endommagé
Analyser et résoudre les problèmes de disque dur/SSD
S’il n’y a pas de problème de connexion et que votre port USB fonctionne correctement, vous devez analyser et résoudre les problèmes de système de fichiers de votre disque dur. Windows propose un utilitaire appelé CHKDSK, qui évalue la structure du système de fichiers, traite les problèmes de liens entre les noms de fichiers et recherche les mauvais clusters, entre autres opérations. En général, l’exécution de cet utilitaire permet de résoudre les problèmes de disque dur.
Avant d’exécuter l’analyse, ouvrez l’explorateur de fichiers et recherchez la lettre du lecteur marquée comme disque inconnu, non initialisé. Une fois cette étape franchie, procédez comme suit :
Dans la recherche Windows, saisissez “cmd”, cliquez avec le bouton droit de la souris sur l’application Invite de commande et sélectionnez Exécuter en tant qu’administrateur.
Tapez la commande suivante dans l’Invite de commandes et appuyez sur Entrée:
Chkdsk <lettre lecteur>: /r /f
Mettre à jour les pilotes du lecteur de disque
Des pilotes obsolètes peuvent également perturber le fonctionnement normal de votre lecteur de disque, rendant impossible son initialisation. Pour vous assurer que ce n’est pas la cause du problème, vous devez mettre à jour les pilotes du lecteur de disque. Voici la marche à suivre :
Cliquez avec le bouton droit de la souris sur le bouton Démarrer de Windows et ouvrez le Gestionnaire de périphériques.
Développez la catégorie Lecteurs de disque.
Cliquez avec le bouton droit de la souris sur le lecteur souhaité et cliquez sur Mettre à jour le pilote
Vérifier la santé de votre disque avec CrystalDiskInfo
Pour s’assurer que votre disque dur ou SSD ne rencontre pas une défaillance matérielle, vous pouvez vérifier son état avec le logiciel gratuit CrystalDiskInfo :
Téléchargez CrystalDiskInfo en suivant ce tutoriel :
Correct : tout va bien, votre disque dur ou SSD fonctionne correctement
Prudence : votre périphérique de stockage commence à rencontrer des problèmes de fonctionnement. Il faudra très certainement le remplacer dans les prochaines semaines
Mauvais : votre disque dur ou SSD est en panne, il faut le remplacer
Formater le disque et créer une nouvelle partition
Si le disque qui ne s’initialise pas est vide ou ne contient pas de données essentielles, vous devez le formater. Vous pouvez ensuite créer une nouvelle partition en convertissant son format en GPT et en attribuant le nouveau volume. Il s’agit de la méthode la plus recommandée pour résoudre ce problème et elle a fait ses preuves auprès de nombreux utilisateurs. Pour ce faire, procédez comme suit :
Tapez ensuite la commande suivante et appuyez sur Entrée. Vous verrez alors combien de disques vous avez sur votre appareil
list disk
Selon le disque qui vous pose problème, tapez “disk 0” ou “disk 1” pour sélectionner et travailler avec ce dernier. Puis appuyez sur Entrée
Une fois le disque sélectionné, utilisez la commande suivanteet appuyez sur Entréepour le formater
clean
Convertissez le disque au format GPT avec la commande suivante :
convert gpt
Pour créer une nouvelle partition sur un disque formaté, utilisez la commande suivante et appuyez sur Entrée
create partition primary
Ensuite, passez la commande suivante et appuyez sur Entréepour formater le volume
format quick fs=ntfs
Enfin, on termine par attribuer une lettre de lecteur. Remplacez la lettre de lecteur dans la commune suivante et appuyez sur Entrée
assign=<lettre de lecteur>
Si le disque externe présentant l’erreur en question contient des données essentielles, vous ne devez pas le formater, car vous perdrez des données de cette manière. Avant d’opter pour cette solution, gardez cela à l’esprit.
En dernière solution, vous pouvez tenter d’initialiser le disque depuis GParted. Il s’agit d’un outil de partitionnement de disque open source disponible depuis un Live USB.
Puis cliquez sur la coche verte pour effectuer les modifications de disque
Confirmez les modifications
Si tout va bien, Gparted va créer la partition de disque
Là aussi si des erreurs s’affichent, cela peut être révélateur d’un problème matériel sur le support de stockage. Malheureusement dans ce cas, vous allez devoir le remplacer.
Tarn: la Ville d'Albi est actuellement victime d'une cyberattaque qui est déroulée dans la nuit de dimanche à lundi ! Certains services sont inaccessibles suite à cet incident de sécurité. Voici ce que l'on sait !
La Ville d'Albi a été ciblée par une cyberattaque qui s'est déroulée dans la nuit du dimanche 21 avril au lundi 22 avril 2024. Sur ses réseaux sociaux, notamment sur Facebook, la Ville d'Albi précise : "La Ville d’Albi est victime depuis ce lundi 22 avril 2024 à 6h du matin d’une attaque informatique."
Sans surprise, cette cyberattaque perturbe les activités des services publics de la Ville d'Albi (Mairie, Police municipale, État civil, Urbanisme, etc.), et directement, les Albigeoises et les Albigeois. Le communiqué officiel donne quelques précisions à ce sujet : "Les numéros de téléphone habituels, les mails et les services informatiques du quotidien sont inaccessibles pour une durée indéterminée." - Ce qui n'est pas étonnant, car l'accès à Internet a probablement été désactivé volontairement suite à cette intrusion.
D'après des propos relayés par le site La Dépêche, un agent a évoqué un retour au papier et au stylo, en indiquant que "Tout a été crypté" pour reprendre les termes exacts qu'il a utilisés. S'il y a réellement eu un chiffrement des données, cela signifierait que la Ville d'Albi serait victime d'une attaque par ransomware. Il s'agit là que d'une hypothèse, car aucune information officielle n'a été publiée quant à l'origine de cette attaque.
De son côté, un syndicat a évoqué la paie des agents : s'il y a une perte de données, la paie sera identique au mois dernier et une régularisation sera effectuée plus tard. Un représentant du personnel a indiqué que cette décision avait été prise en accord avec le Trésor public.
En attendant, les équipes techniques doivent identifier l'origine de cette cyberattaque et restaurer les services afin qu'ils soient de nouveau en ligne. D'ailleurs, en réponse à cet incident de sécurité, la Ville d'Albi a sollicité l'aide de l'ANSSI (Agence nationale de la sécurité des systèmes d'information), habituée à gérer ce type d'événement.
Proton s'intéresse à la surveillance du Dark Web pour détecter les éventuelles fuites de données impliquant les utilisateurs de la solution Proton Mail. Faisons le point sur cette nouveauté !
La solution Proton Mail s'enrichit d'une nouvelle fonctionnalité permettant de protéger encore un peu plus ses utilisateurs grâce à la détection et l'analyse des fuites de données présentes sur le Dark Web.
Si par malheur, votre adresse e-mail Proton Mail est identifiée dans une fuite de données, vous recevrez une alerte dans le Centre de sécurité Proton Mail de votre compte. Celle-ci vous indiquera précisément quelles sont les informations personnelles compromises et la source de la fuite de données.
En complément, des recommandations sur la manière dont les utilisateurs peuvent se protéger seront intégrées. Autrement dit, cela vous permettra d'être réactif et de procéder à un changement immédiat de votre mot de passe sur le service impacté (et les éventuels autres services où vous utilisez le même mot de passe...).
"La détection de fuites d’identifiants vient compléter le chiffrement de bout en bout éprouvé de Proton Mail et avertit les utilisateurs en cas de brèche d'un service tiers pour lequel ils auraient utilisé leur adresse Proton Mail pour s'inscrire.", peut-on lire dans le communiqué de presse officiel. Par exemple, si vous utilisez votre adresse Proton Mail pour vous inscrire sur le service "XYZ" et que ce dernier est victime d'une fuite de données publiée sur le Dark Web, vous en serez informé.
Grâce à cette nouveauté, Proton Mail souhaite protéger ses utilisateurs et leurs données, mais aussi limiter les pertes financières : "En identifiant en informant rapidement les utilisateurs des informations d'identification compromises, Proton peut aider à prévenir les pertes financières résultant du vol d'identité et de la fraude.", peut-on lire.
Précision importante : cette nouvelle fonctionnalité sera accessible à tous les utilisateurs qui ont un abonnement payant à Proton Mail. Si vous utilisez la version gratuite de Proton Mail, vous ne pourrez pas en bénéficier. Pour en savoir plus, vous pouvez consulter cette page du blog de Proton Mail.
In a previous post, I covered Podman Desktop, an alternative to Docker Desktop. Today, I will look into Podman 5.0, the latest iteration of Red Hat's free open-source container engine. The new release brings significant enhancements, including revamped container engine code for Windows and macOS, native Apple Hypervisor support, and streamlined image building for Podman farms. Let's explore the new Podman 5.0 features and improvements.
Grâce à la boutique en ligne Apple Store et à une option d'achat bien précise, des cybercriminels sont parvenus à s'emparer de plus de 400 000 dollars en 2 ans. Mais, comment ont-ils fait ?
À l'occasion d'une conférence organisée à l'événement Black Hat Asia, Gyuyeon Kim et Hyunho Cho, deux chercheurs de l’Institut de sécurité financière de Corée du Sud, ont dévoilé une vaste opération menée par des cybercriminels. Cette présentation baptisée "Operation PoisonedApple" est le fruit de plusieurs mois d'enquête.
Tout d'abord, les chercheurs ont identifié une vague de piratages ciblant une cinquantaine de centres commerciaux en ligne, notamment au Japon, grâce à l'utilisation d'une technique bien connue : le phishing. Les pages mises en ligne sont des copies des sites officiels et sont utilisés par les cybercriminels pour voler des informations personnelles au sujet des victimes, ainsi que leurs coordonnées bancaires.
"Ces groupes de cybercriminels ont utilisé diverses stratégies d'évasion pour empêcher la détection de leurs pages d'hameçonnage par les administrateurs de sites et les utilisateurs, en utilisant de multiples vulnérabilités et outils.", précise le rapport des chercheurs.
Au fil des mois, les pirates sont parvenus à collecter de nombreux numéros de cartes bancaires. Ils se sont alors demandés comment les utiliser sans attirer l'attention des forces de l'ordre ? C'est là que l'Apple Store entre en jeu.
Utilisation de petites annonces et de l'Apple Store
Pour commencer, les pirates ont publié des annonces en ligne sur un site de vente de matériel d'occasion situé en Corée du Sud. Nous pouvons imaginer que c'est l'équivalent du site « Leboncoin ». Par l'intermédiaire de ces annonces, ils ont proposé des produits Apple à des prix réduits : iPhone, Apple Watch, AirPods, etc. Compte tenu de l'attractivité des offres, de nombreux internautes ont contacté les pirates, sans le savoir, par l'intermédiaire de ces annonces.
Dès qu'un internaute effectuait un achat, les cybercriminels se servaient d'un numéro de carte bancaire volé pour commander le produit en ligne directement sur l'Apple Store. Au moment de passer la commande, les pirates ont pris soin de cocher l’option « Someone-else pickup » pour permettre à un tiers de retirer la commande ! Et là, ce fameux tiers déclaré, c'est l'acheteur qui a utilisé le site de vente de matériel d'occasion !
Finalement, l'argent de la première victime est utilisée pour passer cette commande sur l'Apple Store tandis que les pirates empochent l'argent via le site de petites annonces grâce à la seconde victime. D'ailleurs, elle ne dira rien, car elle va récupérer du matériel flambant neuf à prix réduit, tout en ignorant que la commande a été réglée avec un numéro de cartes volé...
Ce stratagème a permis aux cybercriminels de voler 400 000 dollars en deux ans. D'après les chercheurs en sécurité, les attaques sont toujours en cours et les pirates cherchent de nouvelles cibles. De son côté, Apple, refuse de coopérer en raison de réglementations internes et toujours dans la volonté de protéger la vie privée de ses utilisateurs.
Connexion
