Une faille de sécurité critique a été corrigée dans le firmware du routeur TP-Link Archer C5400X. En l'exploitant, un attaquant non authentifié peut compromettre l'équipement à distance. Faisons le point sur cette menace.

Le C5400X est un routeur Wi-Fi populaire appartenant à la gamme Archer de chez TP-Link. Il s'agit d'un modèle dans l'esprit gaming, avec un module Wi-Fi tri-bandes et des fonctionnalités avancées pour les jeux. Le problème, c'est qu'il est affecté par une faille de sécurité critique.

Cette vulnérabilité, associée à la référence CVE-2024-5035, hérite d'un score CVSSv4 de 10 sur 10, soit le score maximal. Et pour cause, les chercheurs en sécurité de chez OneKey ont fait la découverte de cette vulnérabilité pouvant permettre à un attaquant d'exécuter des commandes à distance sur le routeur, et ce, sans authentification.

"En exploitant avec succès cette faille, un attaquant distant non authentifié peut exécuter des commandes arbitraires sur l'appareil avec des privilèges élevés.", peut-on lire dans le rapport. Pour être plus précis, et toujours d'après le rapport de OneKey, l'élément en cause est le binaire "rftest" qui expose un service réseau vulnérable à l'injection de commandes sur les ports TCP 8888, 8889 et 8890.

Le routeur étant un équipement exposé sur Internet, cette faille de sécurité représente un risque élevé pour les utilisateurs. Néanmoins, voici ce que précisent les chercheurs en sécurité : "On ne sait pas si le binaire est toujours lancé et s'il est toujours exposé sur les interfaces LAN/WAN."

Comment se protéger ?

Pour éviter de prendre des risques, il est préférable de se protéger de cette faille de sécurité CVE-2024-5035. Le 25 mai 2024, TP-Link a mis en ligne un nouveau firmware intitulé "Archer C5400X(EU)_V1_1.1.7 Build 20240510" sur son site, dans le but de corriger cette vulnérabilité.

En fait, tous les routeurs Archer C5400X avec un firmware en version "1_1.1.6" ou antérieure sont potentiellement vulnérables. Si vous utilisez ce routeur, la mise à jour est plus que recommandée. Pour le moment, rien n'indique que cette faille de sécurité soit exploitée dans le cadre d'attaques.

Source

The post Routeur TP-Link Archer C5400X : protégez-vous de la faille de sécurité critique CVE-2024-5035 ! first appeared on IT-Connect.

Check Point a publié une alerte de sécurité pour avertir ses utilisateurs qu'une campagne de cyberattaques ciblait les accès VPN sur les firewalls Check Point, via la fonction de Remote Access. Faisons le point sur cette menace.

De part leur fonction, les accès VPN mis à disposition des organisations pour les salariés sont exposés sur Internet. Ceci en fait une cible de choix pour les cybercriminels, car ils peuvent l'utiliser comme porte d'entrée pour s'introduire sur le réseau des entreprises. Dans le cas de Check Point, c'est la fonction Remote Access intégrée à tous les firewalls Check Point qui est prise pour cible.

En effet, cette nouvelle campagne d'attaques révélée par Check Point ciblent directement les firewalls de la marque, mais pas uniquement. L'objectif des attaquants : parvenir à s'authentifier à l'aide de comptes locaux présents par défaut sur les firewalls et accessibles par un simple mot de passe.

"Le 24 mai 2024, nous avons identifié un petit nombre de tentatives de connexion à l'aide d'anciens comptes locaux VPN reposant sur une méthode d'authentification par mot de passe uniquement non recommandée.", peut-on lire sur le site de Check Point.

D'ailleurs, Check Point a surveillé de près les activités sur ses équipements après avoir constaté des compromissions d'accès VPN sur des firewalls Check Point mais aussi d'autres marques : "Nous avons récemment assisté à la compromission de solutions VPN, y compris de divers fournisseurs de cybersécurité.", précise le communiqué. Nous pensons notamment à Fortinet ainsi qu'aux accès VPN Cisco.

Dans le cas présent, les pirates ne semblent pas exploiter une vulnérabilité dans le système des firewalls Check Point. Ici, c'est plutôt l'erreur de configuration qui est recherchée.

Comment se protéger ?

Pour se protéger, il est recommandé de désactiver les comptes locaux inutilisés. Pour les comptes qui doivent rester actifs, Check Point recommande de renforcer leur sécurité : "Si vous disposez de comptes locaux que vous souhaitez utiliser et qui ne sont authentifiés que par mot de passe, ajoutez une autre couche d'authentification (comme des certificats) pour renforcer la sécurité informatique de votre environnement."

Par ailleurs, Check Point a publié un Hotfix à installer sur le firewall pour bloquer l'utilisation de comptes avec authentification par mot de passe sur les accès VPN Remote Access. Cette méthode est détaillée sur cette page dédiée aux recommandations.

Source

The post Les pirates ciblent les VPN Check Point pour compromettre les réseaux d’entreprises ! first appeared on IT-Connect.

Microsoft a ajouté une nouvelle fonctionnalité importante à son application Outlook Lite pour les smartphones Android : la prise en charge des SMS, directement dans l'application. Faisons le point sur cette annonce.

Sur Android, il y a deux applications Outlook : il y a l'application principale nommée "Microsoft Outlook", ainsi qu'une application secondaire, beaucoup plus légère, car elle ne pèse que 5 Mo, nommée "Microsoft Outlook Lite". Elle est avant tout destinée aux smartphones avec peu de ressources. Elle a été lancée en août 2022.

Par l'intermédiaire d'un nouvel article, Microsoft a fait l'annonce d'une nouveauté pour les utilisateurs d'Outlook Lite sur Android : "Avec SMS sur Outlook Lite, vous pouvez profiter de la commodité et de la sécurité de l'envoi et de la réception de messages SMS à partir de votre application Outlook Lite. Les SMS sont intégrés à votre courrier électronique, votre calendrier et vos contacts, ce qui vous permet de rester en contact avec vos interlocuteurs dans une seule application."

Autrement dit, avec Outlook Lite, vous pouvez envoyer et recevoir des e-mails et des SMS sur Android, grâce à cette expérience unifiée. Microsoft travaille depuis avril 2023 sur le développement de cette fonctionnalité, qui est désormais accessible à tous les utilisateurs : "Aujourd'hui, nous sommes ravis de proposer les SMS sur Outlook Lite aux utilisateurs du monde entier.", peut-on lire.

Cette nouveauté prend place dans l'application grâce à un bouton tout simplement nommé "SMS", comme le montre l'image ci-dessous. Elle est disponible dans la dernière version d'Outlook Lite disponible sur Google Play Store.

Enfin, l'entreprise américaine a évoqué quelques nouveautés à venir et en cours de développement pour Outlook Lite. Voici ce que l'on peut lire :

• Intégration plus étroite avec le courrier électronique, le calendrier et les contacts
• Sauvegarde des messages dans le Cloud
• Amélioration des fonctionnalités liées à la sécurité

Qu'en pensez-vous ? Utilisez-vous la version Lite d'Outlook ?

Source : Microsoft

The post Microsoft ajoute la prise en charge des SMS à l’application Outlook Lite pour Android first appeared on IT-Connect.

I. Présentation

Dans ce tutoriel, nous allons évoquer l'installation et la configuration de Sysmon sur Windows par l'intermédiaire d'une stratégie de groupe (GPO), en environnement Active Directory. Ceci va nous permettre d'automatiser le déploiement de Sysmon et de gérer sa configuration de façon centralisée.

Outil gratuit présent dans la suite SysInternals de Microsoft, Sysmon est un outil très intéressant pour enrichir les journaux Windows et tracer les activités suspectes sur un poste de travail ou un serveur.

Pour en savoir plus sur son fonctionnement et son utilisation, consultez notre précédent article :

• Tutoriel - Installation et configuration de Sysmon sur Windows

II. Méthodologie de déploiement

A. Sysmon et le fichier de configuration XML

Pour appliquer une nouvelle configuration à Sysmon, nous devons utiliser un fichier de configuration au format XML. Ce fichier de configuration contient un ensemble de règles permettant d'indiquer à Sysmon quelles sont les actions qu'il doit surveiller et journaliser. Ce fichier permet aussi de gérer les exceptions, de façon à éviter les faux positifs.

Lorsqu'une nouvelle configuration est chargée, le driver de Sysmon récupère les données du fichier XML afin de les stocker dans le Registre Windows, après avoir converti les données. Cela signifie qu'il n'y a aucune dépendance de Sysmon vis-à-vis de son fichier de configuration.

Notre premier réflexe pourrait-être d'héberger le fichier de configuration XML sur un partage puis de faire en sorte qu'il soit lu par nos "agents" Sysmon déployés sur les machines Windows. Effectivement, cela pourrait fonctionner. Le problème, c'est que ce fichier de configuration pourrait être accessible par un potentiel attaquant. Il pourrait prendre connaissance de notre configuration Sysmon, ce qui lui permettrait de savoir comment agir pour ne pas être détecté et il pourrait essayer de la contourner.

Comment faire alors ?

A. Injecter la configuration Sysmon dans le Registre

La réponse se trouve dans cette phrase de l'article : "Lorsqu'une nouvelle configuration est chargée, le driver de Sysmon récupère les données du fichier XML afin de les stocker dans le Registre Windows, après avoir converti les données." - Nous allons directement injecter la configuration dans le Registre ! Ceci va nécessiter quelques manipulations, mais l'avantage, c'est que la configuration sera difficilement accessible, lisible et interprétable par un attaquant.

Sachez que cette méthode, qui est celle que nous allons déployer, est également recommandée par l'ANSSI dans son guide "Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory".

Nous allons devoir procéder de la façon suivante :

1 - Créer une stratégie de groupe pour installer Sysmon, sans configuration personnalisée.

2 - Créer une configuration personnalisée à partir d'une machine de référence.

3 - Exporter la configuration Sysmon, à partir du Registre.

4 - Créer une stratégie de groupe pour injecter les valeurs de Registre sur les machines où Sysmon doit être configuré.

Désormais, nous allons voir comment mettre en œuvre cette méthode fondée sur 4 grandes étapes.

Si malgré tout, vous souhaitez utiliser un fichier XML pour gérer votre configuration Sysmon, je vous recommande de masquer le partage sur lequel le fichier est hébergé et de brider les droits autant que possible. Autorisez seulement les objets ordinateurs où Sysmon est déployé à venir lire la configuration.

III. GPO - Déploiement de Sysmon sur Windows

Intéressons-nous à l'installation de Sysmon sur Windows. Nous allons partir du principe que seule la version 64 bits est utilisée et notre script PowerShell va permettre déployer cette version. Une fois que le script sera prêt, il sera exécuté au travers d'une stratégie de groupe.

A. Script PowerShell pour installer Sysmon

Pour rappel, lorsque Sysmon est installé sur une machine, il crée différentes clés de Registre dont celles-ci (une seule selon la version) :

Sysmon - 32 bits
HKLM\SYSTEM\CurrentControlSet\Services\sysmon
Sysmon - 64 bits
HKLM\SYSTEM\CurrentControlSet\Services\sysmon64

Nous allons utiliser un script PowerShell pour réaliser l'installation de Sysmon64. Si l'application est déjà installée, le script ne cherchera pas à la réinstaller. Dans le script ci-dessous, vous devez adapter la valeur de la variable "$SysmonShare" car elle contient le chemin vers l'exécutable de Sysmon. Vous pouvez stocker cet exécutable dans le partage "SYSVOL" de votre domaine Active Directory ou dans un autre partage correctement configuré.

# Partage - Chemin réseau vers l'exécutable de SYSMON
$SysmonShare = "\\it-connect.local\SYSVOL\it-connect.local\scripts\Sysmon64.exe"

# Avant de poursuivre, on vérifie que le chemin vers l'exécutable est correct
if(Test-Path -Path $SysmonShare -PathType Leaf)
{
    # Chemin vers la clé de Registre de Sysmon (version 64 bits)
    $SysmonRegKey = "HKLM:\SYSTEM\CurrentControlSet\Services\Sysmon64"

    # Chemin vers le fichier exécutable de Sysmon64 via lecture du Registre
    $SysmonRegImagePath = (Get-ItemProperty -Path $SysmonRegKey -Name ImagePath -ErrorAction SilentlyContinue).ImagePath

    # Si $SysmonRegImagePath n'est pas nul, c'est que Sysmon est installé
    if ($SysmonRegImagePath)
    {
        Write-Output "Sysmon64 est déjà installé sur cette machine"

    }
    # Sinon, Sysmon doit être installé à partir de l'exécutable présent dans le partage
    else
    {
       Write-Output "Sysmon64 va être installé sur cette machine"
       & $SysmonShare -i -accepteula
    }
}

Si vous avez besoin d'un script PowerShell plus complet, vous pouvez utiliser celui de l'ANSSI accessible via le lien ci-dessous. Ce script est capable de gérer les versions 32 bits et 64 bits, mais aussi la mise à jour de Sysmon, ainsi que les configurations particulières basées sur un pilote Sysmon renommé (ce qui influence le nom de la clé de Registre liée au service).

• GitHub - ANSSI - Script de déploiement de Sysmon

Plutôt que d'utiliser un script PowerShell, nous pourrions utiliser un script Batch. En revanche, il n'existe pas de paquet MSI pour Sysmon.

B. Exécuter le script dans une GPO

Désormais, nous allons exécuter ce script PowerShell à l'aide d'une stratégie de groupe que l'on va créer avec la console "Gestion de stratégie de groupe". Dans cet exemple, la GPO est nommée "Installer Sysmon (PS1)" et elle est liée à l'OU "Serveurs" de l'annuaire Active Directory.

Modifiez la GPO et suivez la procédure suivante :

1 - Accédez à : Configuration ordinateur > Stratégies > Paramètres Windows > Scripts (démarrage / arrêt).

2 - Double-cliquez sur "Démarrage".

3 - Cliquez sur "Afficher les fichiers" pour accéder au répertoire des scripts de la GPO et collez le fichier PS1 à cet emplacement. Vous pouvez aussi stocker le script à la racine du SYSVOL.

4 - Cliquez sur "Ajouter" puis sur "Parcourir".

5 - Sélectionnez le script, ici, il s'appelle simplement "Sysmon.ps1".

6 - Cliquez sur "OK" à deux reprises.

Pour information, voici où est stocké le script sur mon environnement de démo :

Voilà, la GPO pour installer Sysmon est prête !

Il ne reste plus qu'à tester son bon fonctionnement sur une machine. Pour rappel, Sysmon sera déployé dans sa configuration par défaut, c'est-à-dire sans aucune règle personnalisée. Sur une machine où Sysmon a été installée, vous pouvez voir le service "Sysmon64", comme ceci :

Remarque : si vous utilisez un script PowerShell pour déployer Sysmon, il est recommandé de le signer à l'aide d'un certificat de signature de code. À ce sujet, vous pouvez lire les deux articles suivants :

• PowerShell - Signer un script avec un certificat (ADCS)
• PowerShell - Signer un script avec un certificat auto-signé

IV. Configuration centralisée de Sysmon

A. Créer un modèle de configuration de Sysmon

Vous allez devoir définir un modèle de configuration Sysmon correspondant à vos besoins et aux spécificités de votre infrastructure. Vous pouvez utiliser comme base la configuration Sysmon de SwiftOnSecurity déjà évoquée dans notre précédent tutoriel sur Sysmon.

Dans cet exemple, c'est ce fichier que nous allons utiliser. Voici le lien :

• Github - SwiftOnSecurity - sysmonconfig-export.xml

Vous devez utiliser une machine sur laquelle Sysmon est installé afin de mettre à jour la configuration. Je vous rappelle que l'objectif est d'utiliser cette machine comme "machine de référence" pour la configuration de Sysmon. Le fichier XML de Sysmon doit être présent uniquement sur cette machine.

Voici la commande à exécuter pour mettre à jour la configuration de Sysmon à partir d'un fichier XML :

.\Sysmon64.exe -c sysmonconfig-export.xml

Remarque : en modifiant les paramètres, vous pouvez aussi installer Sysmon et lui associer directement cette configuration.

La prise en compte de cette configuration est immédiate. Désormais, nous allons devoir l'exporter à partir des valeurs présentes dans le Registre Windows.

B. Exporter la configuration Sysmon à partir du Registre

La configuration Sysmon est stockée dans la clé de Registre correspondante au pilote Sysmon : "SysmonDrv" (nom par défaut). Ceci correspond à cet emplacement du Registre :

Nous allons devoir exporter les données des valeurs de Registre suivantes :

• DnsLookup
• HashingAlgorithm
• Options
• Rules

La configuration de notre fichier XML est stockée dans "Rules" mais nous devons également prendre en compte les autres valeurs. Certaines valeurs étant en binaire, il n'est pas possible d'exporter les données dans un format interprétable par l'éditeur de GPO à partir de "regedit.exe".

Nous avons deux options :

• Utiliser PowerShell pour lire les données et exporter les données de chaque valeur dans un fichier texte. Ensuite, nous pourrons copier-coller le contenu de chaque fichier texte dans notre GPO.
• Utiliser l'Assistant Registre de la console de Gestion des stratégies de groupe pour aller lire les données dans le Registre directement et les ajouter à la GPO. C'est sans aucun doute la façon la plus simple, mais cela implique d'avoir les outils RSAT sur le serveur de référence ou de pouvoir s'y connecter à distance via la console de Gestion des stratégies de groupe (connexion RPC).

Dans la suite de ce tutoriel, nous allons appliquer la méthode via l'Assistant Registre, mais voici des instructions pour effectuer la manipulation via PowerShell.

La commande ci-dessous permet d'exporter les données de la valeur "Rules" dans le fichier texte "C:\TEMP\Export_Sysmon_Rules.txt". Nous utilisons la méthode "ToString" associée au format "X2" pour que les données soient converties au format hexadécimal. Ce format est pris en charge par l'éditeur de GPO, ce qui nous permettra de préciser les valeurs dans un format accepté.

((Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\sysmonDrv\Parameters").Rules | ForEach-Object { $_.ToString("X2") }) -join '' > "C:\TEMP\Export_Sysmon_Rules.txt"

Ce qui donnera un fichier similaire à celui-ci :

L'opération doit être répétée pour chaque valeur du Registre.

Pour vous aider, voici un bout de code pour générer un fichier texte pour chaque valeur. Vous pouvez changer la valeur de la variable "$SysmonSvcOutput" pour modifier le chemin du dossier de sortie.

$SysmonSvcOutput = "C:\TEMP"
$SysmonSvcReg = "HKLM:\SYSTEM\CurrentControlSet\Services\SysmonDrv\Parameters"
$SysmonSvcRegValueBinary = @("DnsLookup","Rules")
$SysmonSvcRegValueDword = @("HashingAlgorithm","Options")

foreach($value in $SysmonSvcRegValueBinary){

    ((Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\sysmonDrv\Parameters").$value | ForEach-Object { $_.ToString("X2") }) -join '' > "$SysmonSvcOutput\Sysmon_Export_$value.txt"
}


foreach($value in $SysmonSvcRegValueDword){

    (Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\sysmonDrv\Parameters").$value > "$SysmonSvcOutput\Sysmon_Export_$value.txt"
}

Désormais, nous allons voir comment ajouter ces informations à une GPO.

C. Configurer Sysmon par GPO

Pour configurer Sysmon, nous allons créer une nouvelle GPO. Pour ma part, elle s'appelle "Configurer Sysmon (GPP)".

1 - Modifiez la GPO et accédez à l'emplacement suivant : Configuration ordinateur > Préférences > Paramètres Windows > Registre.

2 - Effectuez un clic droit puis sous "Nouveau", choisissez "Assistant Registre". Attention, si vous avez exporté les données via PowerShell, choisissez "Élément Registre" et configurez chaque valeur de Registre.

Un assistant s'exécute. Si votre machine de référence correspond à la machine locale, choisissez "Ordinateur local", sinon prenez la seconde option et recherchez votre machine.

Ensuite, parcourez l'arborescence du Registre jusqu'à pouvoir cocher les 4 valeurs que nous souhaitons importer. Cliquez sur "Terminer".

Voilà, les valeurs et les données associées sont immédiatement importées dans la GPO. Pratique.

Voici le résultat obtenu :

Si vous avez besoin de différencier Sysmon 32 bits et Sysmon 64, utilisez une règle de "Ciblage au niveau de l'élément" sur chaque règle de la GPO. Cette règle devra aller vérifier la présence de la clé de Registre "Sysmon" ou "Sysmon64" pour déterminer la version de l'application.

De plus, sachez que le schéma du fichier XML de Sysmon peut évoluer au fil des versions, donc nous devons en tenir compte. Sinon, la configuration peut devenir "illisible" par l'outil. C'est pour cette raison que nous allons ajouter une condition de ciblage sur chaque règle de la GPO. Pour connaître la version de Sysmon, il suffit de regarder dans les propriétés de l'exécutable Sysmon. Ici, il s'agit de la version "15.14.0.0".

Ensuite, nous allons créer une condition de cette façon :

1 - Modifiez une première valeur dans la GPO, cliquez sur "Commun", puis cochez "Ciblage au niveau de l'élément" et cliquez sur le bouton "Ciblage".

2 - Cliquez sur "Nouvel élément" et choisissez "Correspondance fichier".

3 - Choisissez le type de correspondance nommé "Faire correspondre la version de fichier".

4 - Indiquez le chemin d'accès en version 64 bits (si vous gérez les deux versions, vous devez créer plusieurs conditions et utiliser l'opérateur "OU").

%WinDir%\Sysmon64.exe

5 - Indiquez votre version comme valeur maximale, en indiquant la valeur complète (y compris les zéros). Choisissez l'opérateur "<=" à la place de "<" sinon la règle ne s'appliquera pas. Si besoin, nous pourrions aussi ajuster la version minimale (valeur de gauche).

Validez et répétez l'opération pour les autres règles de la GPO.

V. Tester la configuration

Désormais, il ne reste plus qu'à tester la GPO sur une machine ciblée par celle-ci. Voici l'état d'une machine sur laquelle Sysmon a été installé par GPO mais qui n'a pas appliqué de fichier de configuration. Nous voyons que la valeur "Rules" n'est même pas présente.

Après application de la GPO, les valeurs de Registre sont bien actualisées et nous pouvons le confirmer en regardant le Registre :

Il faut savoir qu'il n'y a pas besoin de redémarrer le service Sysmon. Il va détecter de lui-même la modification de la configuration (valeur "Rules") et l'appliquer immédiatement.

Nous venons de déployer une configuration de Sysmon par GPO sans l'exposer dans un fichier XML ! Ainsi, notre configuration est protégée des regards indiscrets.

VI. Conclusion

En suivant ce tutoriel sur Sysmon, vous devriez être en mesure de l'installer et de le configurer de façon automatique sur vos machines Windows ! La prochaine étape consistera à collecter ses événements dans le but de pouvoir les analyser.

The post Cybersécurité : installer et configurer Sysmon sur Windows avec une GPO first appeared on IT-Connect.

I. Présentation

Comment fusionner des PDF sous Linux ? Ce tutoriel répond à cette question à l'aide de l'utilisation de l'outil en ligne de commande PDFtk alias le PDF Toolkit.

Avec la dématérialisation, les fichiers PDF sont de plus en plus nombreux sur nos machines. Dans certains cas, il peut être intéressant de fusionner certains documents PDF en un seul fichier, pour mieux les trier ou tout simplement pour envoyer tout en une seule pièce jointe dans un message électronique. Sachez qu’il existe un moyen très simple de fusionner plusieurs PDF sous Linux en utilisant l’application « PDFtk ».

PDFtk est un outil en ligne de commande très utile pour manipuler des fichiers PDF sous Linux. Il vous permet d’effectuer diverses opérations sur les fichiers PDF, telles que la fusion, la division, la rotation, l’extraction de pages, la modification des métadonnées et bien plus encore. Lorsque l'on parle de fusion de PDF, on parle aussi de "concaténation de PDF" ou du fait de "combiner des PDF".

Nous allons voir dans ce tutoriel son installation et son utilisation au travers différents exemples pour fusionner deux fichiers PDF.

• Comment fusionner des PDF sous Windows ?

Version originale de l'article : 21 mars 2013.

II. Installation du paquet PDFtk

Après avoir vérifié avoir accès à internet sur votre machine, mettez à jour la liste des paquets et installez le paquet « pdftk » comme ceci :

sudo apt-get update
sudo apt-get install pdftk

L'installation de PDFTK est relativement rapide, bien que dépendante de la vitesse de votre connexion Internet.

III. Fusionner des PDF avec PDFtk

Maintenant, nous pouvons manipuler nos PDF puisque l’installation est terminée. Pour ma part, je vais fusionner 2 PDF nommés « PDF1.pdf » et « PDF2.pdf ». Chaque PDF contient 3 pages. La procédure est la même peu importe le nombre de pages.

Nous verrons plusieurs exemples afin que vous puissiez utiliser plus aisément cette fonctionnalité de pdftk après avoir terminé la lecture ce tutoriel. De manière générale, la syntaxe d’une commande de pdftk est la suivante :

pdftk <fichiers_sources> <opérande> output <fichier_destination>

L’opérande correspond à l’action qu’on souhaite effectuer, dans le cas d’une fusion de PDF l’opérande est « cat ». L’ordre des fichiers sources est important puisque pdftk prendra les fichiers dans l’ordre que vous les indiquez.

A. Fusionner deux fichiers PDF en un seul

Afin de fusionner deux fichiers PDF en un seul fichier PDF nommé « PDF1-2.pdf », la commande sera la suivante :

pdftk PDF1.pdf PDF2.pdf cat output PDF1-2.pdf

Le contenu du fichier "PDF1.pdf" sera ajouté en premier, et celui du fichier "PDF2.pdf" viendra à la suite. J'insiste sur le fait que l'ordre est important.

Note : Placez-vous dans le répertoire où sont stockés les PDF auparavant ou indiquez le chemin complet vers chaque fichier dans la commande.

B. Fusionner tous les PDF d’un répertoire en un seul

Pour fusionner tous les PDF situés dans le répertoire « /home/flo/pdf » vers un fichier « PDF-ALL-FLO.pdf » on utilisera ceci :

pdftk /home/flo/pdf/*.pdf cat output PDF-ALL-FLO.pdf

C. Fusionner la page 1 d’un PDF avec la page 3 d’un autre PDF

Nous allons voir un exemple un peu plus compliqué dans le sens où nous n'allons pas fusionner deux fichiers PDF complets. En effet, nous allons combiner uniquement la page 1 du "PDF1.pdf" et la page 3 du "PDF2.pdf" vers un fichier nommé « PDF-11-23.pdf ».

Pour cela, nous allons utiliser la méthode des alias où une lettre correspondra en fait à un nom de fichier PDF, par exemple : A=PDF1.pdf et B=PDF2.pdf. Un alias ne peut être constitué que d’une seule lettre. Ensuite, après l’opérande « cat » nous allons préciser les pages que nous souhaitons fusionner de cette façon :

<nom_alias><numero_page>

Ce qui donnera pour la page 1 du PDF1.pdf dont l’alias est « A » :

A1

La commande à saisir pour la fusion sera donc la suivante :

pdftk A=PDF1.pdf B=PDF2.pdf cat A1 B3 output PDF-11-23.pdf

Nous obtenons bien le résultat attendu :

Si l’on aurait souhaité fusionner les pages 2 et 3 du PDF2.pdf (alias B), on peut indiquer une plage de pages comme ceci :

B2-3

D. Protéger par un mot de passe le fichier PDF fusionné

Nous allons fusionner les fichiers PDF "PDF1.pdf" et "PDF2.pdf" en protégeant par un mot de passe le fichier de sortie. Pour cela, nous ajoutons l'option "user_pw" à la fin de la commande. Le fait d'indiquer "PROMPT" évite de préciser le mot de passe en clair dans la commande : il sera demandé de le saisir de façon interactive.

pdftk PDF1.pdf PDF2.pdf cat output PDF1-2Pwd.pdf user_pw PROMPT

Voici un exemple :

IV. Conclusion

Ce tutoriel touche à sa fin ! Nous venons d'apprendre à fusionner des PDF sous Linux à l'aide de l'application PDFtk. Elle propose d'autres fonctionnalités pour manipuler les fichiers PDF, notamment pour extraire les métadonnées, effectuer des rotations de pages, etc.

Si vous disposez d'une machine Linux avec une interface graphique, vous pouvez également utiliser l'outil PDFSam Basic. Il est disponible sous la forme d'un paquet ".deb" et d'une archive portable.

• Documentation officielle - PDFtk

The post Linux : comment fusionner des fichiers PDF avec PDFtk ? first appeared on IT-Connect.

I. Présentation

Dans ce tutoriel, nous allons voir comment fusionner des fichiers PDF sous Windows. La fusion de fichiers PDF est utile lorsque vous souhaitez combiner plusieurs documents au format PDF en un seul fichier.

Nous allons évoquer les différentes solutions à notre disposition avant de passer à l'utilisation des applications PDFSam Basic et PDF24.

• Comment résumer un PDF grâce à l'IA avec UPDF ?

II. Quel logiciel utiliser pour fusionner des PDF ?

Sur Windows, il existe de nombreuses applications capables de lire, modifier et manipuler des documents PDF. Le problème, c'est que la grande majorité de ces applications réservent leurs fonctions clés pour les versions payantes. Fort heureusement, il y a quelques exceptions.

Voici quelques exemples de solutions offertes :

• Adobe Acrobat Reader DC : la version gratuite de cette application ne permet pas de fusionner ou combiner des fichiers PDF. L'option est bien présente, mais lorsque nous cliquons dessus, nous sommes invités à passer sur la version "Pro".
• Microsoft Word : l'intégration de fichiers PDF dans un document Word en tant qu'objet PDF est une possibilité, mais ceci a tendance à altérer la mise en page des documents.
• PDFSam Basic : la version gratuite intègre plusieurs outils pour manipuler les fichiers PDF, dont la possibilité de combiner plusieurs fichiers.
• PDF24 : la boite à outils PDF24 est gratuite et elle intègre beaucoup de fonctions pour modifier et manipuler les documents PDF, y compris une fonction pour combiner des fichiers.

Nous allons voir comment fusionner des documents PDF avec PDFSam Basic et PDF24, deux solutions gratuites pour les utilisateurs de Windows. Que vous soyez sur Windows 10 ou Windows 11, ces applications fonctionneront de la même façon.

Avant de commencer : par précaution, veillez à toujours sauvegarder vos fichiers PDF avant de les modifier, combiner, diviser, etc.

III. Fusionner des PDF avec PDFSam Basic

PDFSam Basic est une boite à outils gratuite et open source pour manipuler des PDF sur Windows. Simple d'utilisation grâce à son interface épurée, PDFSam Basic vous permettra de fusionner des PDF en quelques clics. Personnellement, c'est une application que j'apprécie et que j'utilise depuis des années.

La première étape consiste à le télécharger et à l'installer. La version "Basic" est totalement gratuite, contrairement aux autres versions. Voici un lien pour accéder à la page de téléchargement :

• Télécharger PDFSam Basic

Au moment de l'installation, pensez à décocher l'option "Installez PDFSam Enhanced...." pour installer la version Basic.

Lancez l'application une fois qu'elle est installée. Un ensemble d'outils sont à votre disposition pour fusionner, découper, extraire, etc... pour jouer avec des documents PDF. Ici, nous allons nous intéresser aux outils de fusion, et plus particulièrement l'outil nommé "Fusion". Il va permettre de prendre X documents PDF et de les regrouper en un seul fichier.

La première étape consiste à sélectionner les fichiers PDF à fusionner. L'idée étant de les lister dans l'ordre où ils doivent être fusionnés. Pour gérer l'ordre, il suffit de cliquer sur un fichier puis de cliquer sur les boutons "Monter" et "Descendre".

Certaines options supplémentaires sont disponibles, notamment pour ajouter un pied de page, normaliser les pages (selon une largeur fixe, par exemple), pour générer une table des matières, ou encore pour indiquer s'il faut conserver les signets ou non.

La dernière étape consiste à indiquer le nom et l'emplacement du fichier de sortie, c'est-à-dire du PDF fusionné. Il est également possible de compresser le fichier créé et de choisir la version de PDF. Ensuite, il ne reste plus qu'à cliquer sur "Exécuter".

Voici le document PDF obtenu en sortie :

Il contient bien les deux documents PDF que je souhaitais fusionner ! Le fichier de sortie pèse 58 Ko.

IV. Fusionner des PDF avec PDF24

PDFSam Basic n'est pas la seule application gratuite pour fusionner des PDF sous Windows. Nous pouvons utiliser l'application PDF24 que nous pouvons installer sur Windows afin de bénéficier de toute la suite d'outils PDF24. Ceci évite d'utiliser la version en ligne et donc d'envoyer les fichiers sur les serveurs de PDF24. Grâce à l'application, le traitement est effectué en local.

Commencez par télécharger et installer PDF24 pour Windows :

• Télécharger PDF24

Lancez l'application "PDF24 Toolbox" une fois l'installation terminée. Dans la liste des outils, cliquez sur "Fusionner PDF". Comme vous pouvez le voir, il y a beaucoup d'autres outils disponibles.

Ensuite, ajoutez les fichiers PDF que vous souhaitez fusionner. Là encore, l'ordre est important, car les fichiers seront fusionnés "de la gauche vers la droite". Avec un glisser-déposer, vous pouvez changer l'ordre. Un affichage en mode liste est également proposé. En comparaison de PDFSam Basic, il y a moins d'options proposées pour la fusion de PDF : nous pouvons seulement ajouter la création de marque-pages.

Quand vous êtes prêt, cliquez sur le bouton "Créer un PDF".

Un fichier PDF correspondant aux documents PDF fusionnés a été généré. Il est possible de l'enregistrer et même de l'envoyer directement par e-mail.

Nous obtenons bien le résultat attendu. Le fichier de sortie pèse 66 Ko.

V. Conclusion

Vous connaissez maintenant plusieurs options pour fusionner des fichiers PDF sous Windows ! Choisissez celle qui vous convient le mieux entre PDFSam Basic et PDF24. Il est à noter que les fichiers sources ne sont pas supprimés par ces applications. Néanmoins, attention, si le fichier de sortie porte le nom d'un fichier source et qu'il est généré au même endroit, il l'écrasera.

The post Comment fusionner des PDF sous Windows ? first appeared on IT-Connect.

Au sein de Windows 11 24H2, Microsoft va faire du ménage puisque deux applications seront définitivement supprimées : WordPad et Cortana. Faisons le point.

Alors que Windows 11 24H2 commence à pointer le bout de son nez par l'intermédiaire d'une préversion disponible pour les membres du programme Windows Insiders, nous apprenons que Microsoft a prévu de supprimer deux applications : WordPad et Cortana.

• La préversion de Windows 11 24H2 est disponible !

Ce n'est pas une réellement une surprise, car Microsoft a déjà fait part de son intention de supprimer WordPad, un logiciel de traitement de texte historique présent dans Windows depuis 1995. Il s'agit d'une application basique pouvant être utilisée pour créer des documents, mais aussi pour ouvrir les fichiers .rtf, .docx, .odt et .txt, ce qui en fait aussi une liseuse pour les documents Microsoft Word.

Il en va de même pour Cortana, l'assistant vocal de Microsoft qui n'est jamais parvenu à s'imposer et qui se doit de laisser sa place à Microsoft Copilot. L'application Tips, intégrée à Windows et permettant d'obtenir des conseils, sera aussi supprimée.

Jusqu'ici, nous ne savions pas quand ces applications seront supprimées de Windows 11, mais maintenant, c'est plus clair. En effet, Microsoft a donné des précisions par l'intermédiaire de l'équipe du programme Windows Insider : "Veuillez noter que Cortana, Tips et WordPad sont supprimés après la mise à niveau vers Windows 11, version 24H2. Ces applications sont obsolètes."

Il y a quelques jours, la firme de Redmond a également fait part de son intention de supprimer Visual Basic Script (VBScript) de Windows 11. Néanmoins, Microsoft a conscience que ce changement est impactant pour de nombreuses organisations : ce sera effectué par étape, et sur plusieurs années. Dès Windows 11 24H2, il sera possible de supprimer VBScript en quelques scripts, car ce sera une fonctionnalité facultative (à la demande) de Windows.

Que pensez-vous de ces changements ?

Source

The post Les applications WordPad et Cortana seront supprimées dans Windows 11 24H2 first appeared on IT-Connect.

Un nouveau ransomware baptisé ShrinkLocker présente la particularité de s'appuyer sur BitLocker, un composant intégré par défaut à Windows, pour chiffrer les données d'un ordinateur. Faisons le point sur cette menace.

Le ransomware ShrinkLocker s'appuie sur BitLocker pour chiffrer les données et les disques des machines Windows compromises, après avoir effectué des modifications sur le disque afin de créer son propre volume d'amorçage. Il a été utilisé pour cibler des organisations dans le secteur du médical, des industries ainsi qu'une entité gouvernementale.

Les chercheurs en sécurité de Kaspersky ont mis en ligne un rapport détaillé au sujet du ransomware ShrinkLocker, que vous pouvez retrouver sur cette page.

• Comment configurer BitLocker sur Windows 11 ?
• Comment configurer BitLocker avec Intune ?

ShrinkLocker s'appuie sur VBScript, WMI et diskpart

Il est intéressant de noter que ShrinkLocker est écrit en VBScript (Visual Basic Scripting), un langage qui est en fin de vie et que Microsoft va supprimer de Windows d'ici quelques années. Mais, en attendant, VBScript est parfaitement utilisable sur Windows, même s'il devrait pouvoir être désinstallé facilement à partir de Windows 11 24H2.

• VBScript sera supprimé de Windows : voici la feuille de route de Microsoft

Par ailleurs, pour détecter la version de Windows exécutée sur la machine ciblée, le ransomware ShrinkLocker s'appuie WMI afin de solliciter la classe "Win32_OperatingSystem", bien connue des administrateurs systèmes. Ceci permet au ransomware d'effectuer quelques vérifications, notamment de s'assurer que le domaine de la machine correspond bien à la cible et que l'OS est plus récent que Windows Vista.

Si la cible répond à différents critères, l'attaque se poursuit grâce à l'utilisation de l'outil diskpart intégré à Windows. Il est utilisé pour réduire de 100 Mo toutes les partitions qui ne sont pas des partitions de démarrage. L'espace non alloué est utilisé pour créer de nouveaux volumes primaires sur le disque de la machine.

Enfin, le Registre Windows est modifié pour configurer le système afin de désactiver les connexions Bureau à distance et pour activer BitLocker sans utiliser de puce TPM. Les clés de Registre "EnableBDEWithNoTPM" et "fDenyTSConnections" sont évoquées.

Une machine piégée avec BitLocker

Le ransomware ShrinkLocker fait en sorte d'activer et de configurer BitLocker de façon à ce que la victime ne puisse plus lancer sa machine. Nous pourrions presque dire que la machine a été sabotée par l'intermédiaire de BitLocker.

La clé BitLocker générée est transmise aux cybercriminels, tandis qu'à la fin de l'opération, ShrinkLocker force le système à s'éteindre pour appliquer toutes les modifications. Ainsi, l'utilisateur se retrouve avec une machine avec des disques verrouillés et sans aucune option de récupération BitLocker...

"Après avoir supprimé les protecteurs BitLocker et configuré le chiffrement du disque, le script suit les étapes suivantes pour effacer ses traces.", précise Kaspersky. En effet, le ransomware effectue différentes actions de nettoyage sur la machine, telle que la suppression du journal "Microsoft-Windows-PowerShell/Operational".

Il pourrait s'agir d'attaques dont l'objectif est de détruire les données puisque le ransomware ne laisse aucune note de rançon. La seule information fournie est une adresse e-mail indiquée en tant que label sur la nouvelle partition créée par le logiciel malveillant.

Source

The post Le ransomware ShrinkLocker utilise BitLocker pour chiffrer les machines Windows first appeared on IT-Connect.

Les mises à jour de sécurité s'enchaînent pour Google Chrome : une nouvelle version a été publiée pour corriger une faille de sécurité zero-day. C'est la 8ème faille zero-day corrigée dans Google Chrome depuis le début de l'année 2024. Faisons le point.

Rien qu'au mois de mai 2024, Google a corrigé 4 failles de sécurité zero-day dans son navigateur Google Chrome. Nous avions évoqué certaines de ces vulnérabilités dans nos précédents articles :

• CVE-2024-4947 – Une troisième faille zero-day corrigée dans Google Chrome en une semaine !
• CVE-2024-4671 – La cinquième faille zero-day de 2024 corrigée dans Google Chrome !

Évoquons celle que Google vient de corriger par l'intermédiaire de nouvelles mises à jour.

Associée à la référence CVE-2024-5274, cette vulnérabilité signalée à Google par Clément Lecigne et Brendon Tiszka est présente dans le moteur JavaScript V8 de Google Chrome. Il est très fréquent que des failles de sécurité soient découvertes dans ce composant du navigateur de Google. Cette fois-ci, il s'agit d'une faiblesse de type "type confusion".

Dans le bulletin de sécurité de Google, voici ce que l'on peut lire au sujet de cette vulnérabilité déjà connue publiquement : "Google sait qu'il existe un programme d'exploitation pour CVE-2024-5274 dans la nature." - Comme à chaque fois, et dans le but de protéger ses utilisateurs, Google n'a pas donné de détails techniques supplémentaires.

Comment se protéger de la CVE-2024-5274 ?

Les utilisateurs de Google Chrome sur Windows, macOS et Linux sont affectés par cette vulnérabilité importante. Google a publié la version 125.0.6422.112 pour Linux et les versions 125.0.6422.112/.113 pour Mac et Windows. Cette mise à jour ne corrige pas d'autres vulnérabilités.

Pour effectuer la mise à jour du navigateur Google Chrome sur votre machine : rendez-vous dans le menu avec les trois points verticaux, puis sous "Aide", cliquez sur "À propos de Google Chrome". Le navigateur effectuera une recherche de mise à jour automatiquement.

À vos mises à jour !

The post CVE-2024-5274 – La 8ème faille zero-day de 2024 corrigée dans Google Chrome first appeared on IT-Connect.

GitLab a corrigé une faille de sécurité importante dans l'éditeur de code Web IDE présent dans GitLab Community Edition (CE) et Enterprise Edition (EE). Faisons le point sur cette menace.

La faille de sécurité 1-click "CVE-2024-4835" corrigée par les développeurs de GitLab pourrait permettre à un attaquant de voler des informations sensibles, et donc, de prendre le contrôle du compte d'un utilisateur.

"Prise de contrôle d'un compte en un clic via XSS en utilisant l'éditeur de code VS (Web IDE)", c'est ainsi qu'est décrite cette vulnérabilité sur le site de GitLab.

Pour atteindre son objectif et tirer profit de cette faiblesse de type XSS, l'attaquant doit attirer l'utilisateur pris pour cible vers une page malveillante. "En tirant parti de cette vulnérabilité, un attaquant peut créer une page malveillante pour exfiltrer des informations sensibles de l'utilisateur.", peut-on lire dans le bulletin de sécurité de GitLab.

La compromission d'un compte GitLab peut s'avérer très intéressant pour les attaquants afin d'accéder à du code source, voler des informations sensibles (secrets, clés d'API, etc.), et même, mettre en œuvre une attaque de la chaine d'approvisionnement (supply chain attack).

La CVE-2024-4835 n'est pas la seule vulnérabilité corrigée par GitLab dans les nouvelles versions de ses applications. Au total, ce sont pas moins de 7 failles de sécurité qui ont été corrigées, mais celle évoquée dans cet article est la plus dangereuse.

Comment se protéger ?

Pour vous protéger de ces vulnérabilités, vous devez installer l'une des versions publiées par GitLab, à savoir les versions 17.0.1, 16.11.3 et 16.10.6 de GitLab Community Edition (CE) et GitLab Enterprise Edition (EE). Autrement dit, les versions 15.11 avant 16.10.6, 16.11 avant 16.11.3, et 17.0 avant 17.0.1 sont affectées.

"Ces versions contiennent d'importantes corrections de bogues et de sécurité, et nous recommandons fortement que toutes les installations de GitLab soient mises à jour vers l'une de ces versions immédiatement. GitLab.com utilise déjà la version corrigée.", peut-on lire sur le site officiel.

En début d'année 2024, la faille de sécurité critique CVE-2023-7028 a également été corrigée dans GitLab.

Source

The post Cette faille de sécurité dans GitLab permet aux pirates de prendre le contrôle des comptes utilisateurs first appeared on IT-Connect.

Microsoft a publié une nouvelle mise à jour hors bande à destination des utilisateurs de Windows Server 2019 pour permettre l'installation de la mise à jour de mai 2024 (KB5037765) sans erreur. Faisons le point.

Il y a une semaine, nous avions publié un article au sujet de cette erreur 0x800f0982 rencontrée par les utilisateurs de Windows Server 2019. Voici le lien :

• KB5037765 - Sur Windows Server 2019, la mise à jour de mai 2024 ne s'installe pas : erreur 0x800f0982 !

L'installation de la mise à jour de mai 2024 sur Windows Server 2019 ne se déroule pas comme prévu, car elle génère une erreur et refuse de s'installer. Suite à de nombreux signalements, Microsoft a rapidement reconnu l'existence de ce problème, comme le montre ce message publié sur son site : "L'installation peut échouer avec un code d'erreur 0x800f0982. Ce problème est plus susceptible d'affecter les appareils qui n'ont pas le pack linguistique anglais (États-Unis)." - Ceci affecte effectivement les installations de Windows Server en français, en allemand et en espagnol, et peut-être même en d'autres langues.

Pour corriger ce problème et vous débarrasser de l'erreur 0x800f0982, Microsoft vous propose d'installer une mise à jour hors bande sur votre serveur : la KB5039705 publiée le jeudi 23 mai 2024.

Voici les indications de la firme de Redmond au sujet de cette mise à jour : "Cette mise à jour résout un problème connu lié au pack linguistique anglais (États-Unis). Si votre appareil ne l'a pas, l'installation de KB5037765 peut échouer. Le code d'erreur est 0x800f0982. Mais ce problème peut affecter les appareils qui disposent de ce pack linguistique."

L'installation de la mise à jour KB5039705

Vous devez installer la mise à jour KB5039705 et redémarrer votre serveur. La mise à jour KB5037765 ne sera plus proposée, car elle est remplacée par la nouvelle mise à jour.

Microsoft a mis à disposition cette mise à jour dans le Catalogue Microsoft Update, ainsi que pour WSUS, et directement dans Windows Update. Autrement dit, elle devrait être proposée sur les serveurs Windows Server 2019 via une recherche de mise à jour.

Si vous testez ce correctif, n'hésitez pas à nous faire un retour en commentaire.

Source

The post Windows Server 2019 : une mise à jour hors bande pour corriger l’erreur de la mise à jour de mai 2024 first appeared on IT-Connect.

Microsoft a mis en ligne une nouvelle version de sa suite d'outils PowerToys : 0.81.0. Elle apporte un nouvel outil baptisé "Advanced Paste" qui révolutionne l'utilisation du copier-coller sur Windows. Voici pourquoi.

• Améliorer la productivité des utilisateurs avec les PowerToys

L'outil Advanced Paste vient s'ajouter à la longue liste d'outils présents dans la suite PowerToys et disponible gratuitement pour tous les utilisateurs de Windows 11 et Windows 10. Il ajoute des fonctionnalités avancées au presse-papiers de Windows afin de le faire rentrer dans une autre dimension, grâce à l'IA. Encore et toujours des nouveautés basées sur l'IA, me direz-vous.

Qu'est-ce qui change avec Advanced Paste, que l'on peut traduire par le "Collage avancé" ? Et bien, cet outil est capable de convertir le contenu du presse-papiers dans un nouveau format, selon vos besoins. "PowerToys Advanced Paste est un outil amélioré par l’IA qui vous permet de coller intelligemment le texte de votre presse-papiers dans n’importe quel format souhaité.", peut-on lire dans la documentation de Microsoft.

Le menu contextuel intègre trois intéressantes : coller en tant que texte brut, coller en tant que JSON et coller en tant que Markdown. Appréciable pour formater automatiquement le texte copié dans le presse-papiers.

Au-delà de cette capacité de conversion, cet outil peut être utilisé pour résumer ou traduire le texte présent dans le presse-papiers. De plus, il est capable de réécrire le contenu en l'adaptant dans un autre style d'écriture, par exemple. Malheureusement, ces fonctionnalités avancées basées sur prompt pour solliciter l'IA sont payantes : vous devez disposer d'un abonnement pour indiquer vos clés d'API de chez OpenAI (ChatGPT) dans les paramètres de PowerToys (ceci va consommer vos jetons). D'ailleurs, c'est surprenant que ce ne soit pas plutôt associé à un abonnement Microsoft Copilot.

Si une clé d'API est utilisée alors qu'il n'y a pas d'abonnement, une erreur est retournée :

Pour télécharger les PowerToys, rendez-vous sur le Microsoft Store ou passez par le GitHub officiel :

• GitHub - PowerToys

The post Les PowerToys révolutionnent le copier-coller sous Windows avec l’outil Advanced Paste first appeared on IT-Connect.

Ce jeudi 23 mai 2024, Bing a été en panne pendant plusieurs heures. Un incident qui a eu également un impact sur d'autres services, dont d'autres moteurs de recherche ! Faisons le point sur cette panne !

Jeudi 23 mai 2024, aux alentours de 09:00, heure française, une panne a été largement détectée et signalée sur Bing.com, le moteur de recherche de Microsoft. La panne semble avoir affecté majoritairement les utilisateurs d'Asie et d'Europe. Il suffit de se rendre sur le site DownDetector pour constater qu'il y a eu des signalements de dysfonctionnement pour Bing, tout au long de la journée :

Cette panne a impacté le moteur de recherche Bing, ainsi que les services qui lui sont liés, et il y en a beaucoup. Du côté de Microsoft, nous pouvons citer l'IA Copilot que ce soit en mode Web ou sur mobile, et même à partir de Windows 10 ou Windows 11 directement.

Cette panne a également eu un impact sur le bon fonctionnement de ChatGPT, le chatbot d'OpenAI. En effet, ChatGPT s'appuie sur Bing pour effectuer les recherches sur Internet. La page de statut d'OpenAI indique : "De 07:10 à 15:50 (heure française), nous avons connu une panne partielle affectant les capacités de navigation web de ChatGPT en raison de l'indisponibilité de Bing. Le problème est maintenant résolu et tous les services fonctionnent normalement."

Une panne impactante pour DuckDuckGo, Qwant et Ecosia

Cette panne du moteur de recherche de Microsoft a également un impact sur... d'autres moteurs de recherche ! En effet, DuckDuckGo, Qwant et Ecosia sont dépendants de Bing, et donc finalement, ne sont pas si indépendants que cela.

Pour fonctionner, ces moteurs de recherche s'appuient sur une API donnant accès aux algorithmes de Bing. Certes, ce sont des alternatives à Google, mais elles s'appuient sur les technologies de Microsoft. Un bel effet domino dans le cas d'une panne.

Microsoft s'est exprimé sur cette panne.

We're investigating an issue where users may be unable to access the Microsoft Copilot service. We're working to isolate the cause of the issue. More information can be found in the admin center under CP795190.

— Microsoft 365 Status (@MSFT365Status) May 23, 2024

À 18:00, ce jeudi 23 mai, des perturbations étaient toujours visibles par certains utilisateurs : "Nous élargissons nos efforts d'atténuation à la suite de signes de rétablissement partiel pour http://copilot.microsoft.com et d'autres fonctionnalités. Nous suivons de près l'évolution de la situation afin de déterminer si d'autres actions sont nécessaires pour résoudre le problème. Plus de détails peuvent être trouvés dans le centre d'administration sous CP795190.", peut-on lire sur le compte X de Microsoft 365 Status.

Source

The post Une panne mondiale de Bing impacte Copilot, ChatGPT, DuckDuckGo mais aussi Qwant ! first appeared on IT-Connect.

I. Présentation

Dans ce tutoriel, nous allons voir comment calculer le hash d'un fichier avec PowerShell ! Depuis PowerShell 4.0, le cmdlet nommé "Get-FileHash" est présent et il permet de calculer le hash d'un ou de plusieurs fichiers selon plusieurs algorithmes.

PowerShell 4.0 est disponible nativement depuis Windows 8.1 et Windows Server 2012 R2, ce qui en fait une version très largement répandue aujourd'hui.

Le hash d'un fichier est souvent utilisé pour vérifier l'intégrité du fichier. Les algorithmes de hachage couramment utilisés comprennent MD5, SHA-1, SHA-256, etc. Chacun de ces algorithmes produit un hash de longueur différente.

Par exemple, si vous téléchargez un fichier à partir d'Internet, vous pouvez comparer le hash du fichier téléchargé avec le hash fourni par le site web pour vous assurer que le fichier n'a pas été altéré pendant le téléchargement. Si les deux valeurs sont égales, vous pouvez affirmer que le fichier est authentique (vis-à-vis de la version d'origine). Ceci peut s'avérer utile aussi pour de l'échange de données.

Vous pouvez calculer le hash des différents types de fichiers : images ISO, packages d'installation d'applications (EXE, MSI, etc.), et tout autre fichier selon vos besoins.

• Cours - Débuter avec le langage PowerShell

Version originale de l'article : 11 décembre 2013.

II. Utilisation de Get-FileHash

Intéressons-nous au cmdlet évoqué en introduction de cet article.

Voici la syntaxe à utiliser :

Get-FileHash -Algorithm <Nom-algorithme> -Path <Chemin-vers-fichier>

Concernant les algorithmes, voici ceux disponibles avec Windows PowerShell 5.1 :

• MAC Triple DES
• MD5
• RIPEMD160
• SHA1
• SHA256
• SHA384
• SHA512

Attention, avec PowerShell 7, le nombre d'algorithmes pris en charge est différent et plus limité : MD5, SHA1, SHA256, SHA384 et SHA512. Dans les deux cas, SHA256 est la valeur par défaut du paramètre "-Algorithm".

Ouvrez une console pour essayer la commande. Par exemple, pour calculer le hash SHA1 du fichier "it-connect.txt" situé dans "C:\files\" :

Get-FileHash -Algorithm SHA1 -Path "C:\files\it-connect.txt"

Cela donnera un résultat de ce type où l'on voit le hash :

Que faire de cette information ? La valeur du hash retournée ici peut être comparée avec la valeur de hash fournie sur le site depuis lequel vous avez téléchargé le fichier. Sinon, vous pouvez aussi calculer le hash et au moment de transmettre le fichier à quelqu'un, vous lui fournissez aussi le hash. Ceci lui permettra de vérifier l'authenticité du fichier reçu.

Vous pouvez aussi calculer le hash d'un ensemble de fichiers. Voici un exemple :

Get-FileHash -Algorithm SHA256 -Path *.* | Format-List Path,Hash

Ci-dessous, le résultat en image. Le résultat est identique à chaque fois, car il s'agit d'un même fichier dupliqué : d'ailleurs le hash identique permet de l'affirmer.

III. Conclusion

Vous êtes désormais en mesure de calculer un hash facilement sous Windows, avec une commande simplissime mais à connaître : Get-FileHash.

• Microsoft Learn - Get-FileHash

The post PowerShell : comment calculer le hash d’un fichier ? first appeared on IT-Connect.

Windows 11 24H2 se rapproche à grands pas : Microsoft a mis en ligne une préversion accessible aux membres de son programme Windows Insider. Voici ce qu'il faut savoir !

C'est l'heure des derniers préparatifs et des derniers tests pour Windows 11 24H2, la future version majeure de Windows 11 prévue pour le second semestre 2024. "Aujourd'hui, nous mettons la mise à jour annuelle des fonctionnalités de Windows 11, version 24H2 (Build 26100.712), à la disposition des clients dans le canal de prévisualisation des versions afin qu'ils puissent la tester avant qu'elle ne soit disponible plus tard dans l'année.", précise Microsoft.

Microsoft a prévu des nouveautés importantes pour Windows 11 24H2, ce qui devrait en faire une mise à jour significative, à la différence de Windows 11 23H2 qui ne contenait pas de grands changements.

Voici quelques-unes des nouveautés prévues pour Windows 11 24H2 :

• Prise en charge du HDR pour les fonds d'écran Windows
• Intégration de Rust au noyau Windows
• Prise en charge du Wi-Fi 7
• Intégration de Sudo for Windows
• Intégration d'un nouveau mode Économiseur d'énergie
• Création d'archives 7-Zip et TAR nativement

Microsoft continuera à donner des informations sur les nouveautés dans un futur proche. Nul doute qu'il y aura également des nouveautés liées à l'intelligence artificielle et notamment Copilot. D'ailleurs, en début de semaine, Microsoft a dévoilé son programme "PC Copilot+" ainsi que la fonctionnalité Recall pour Windows 11, qui sera l'une des nouveautés à venir.

Pour tester Windows 11 24H2 dès à présent, vous devez rejoindre le programme Windows Insider à partir de votre compte Microsoft. Vous devez sélectionner le canal "Release Preview" pour accéder à "Windows 11, version 24H2 (Build 26100.712)" et pouvoir tester la troisième version majeure de Windows 11.

"Les clients commerciaux inscrits au programme Windows Insider for Business peuvent commencer à valider Windows 11, version 24H2 sur les PC de leur entreprise.", précise Microsoft.

Voici deux liens utiles :

• Accéder au programme Windows Insider
• Annonce officielle sur la préversion de Windows 11 24H2

Qu'en pensez-vous ?

The post La préversion de Windows 11 24H2 est disponible ! first appeared on IT-Connect.

Microsoft compte bien supprimer VBScript de Windows ! L'entreprise américaine a publié sa feuille de route et donnée des informations sur les prochaines étapes. Faisons le point.

Introduit en 1996 par Microsoft, le langage de script VBScript associé aux fichiers avec l'extension ".vbs", a été très utilisé pour automatiser des tâches sur Windows. Mais, désormais, il y a mieux que VBScript, notamment le langage PowerShell qui est plus moderne et plus puissant. Les changements que s'apprêtent à opérer Microsoft pourront également affecter ceux qui utilisent le VBA dans les applications Microsoft Office.

Dans un nouvel article publié sur son site, Microsoft parle de la dépréciation de VBScript en redonnant sa définition de ce terme : "La dépréciation est une étape du cycle de vie d'un produit au cours de laquelle une caractéristique ou une fonctionnalité ne fait plus l'objet d'un développement actif et peut être supprimée dans les prochaines versions d'un produit ou d'un service en ligne. Il s'agit d'un processus progressif qui peut s'étaler sur quelques mois ou quelques années."

Pour Microsoft, VBScript doit être supprimé de Windows, mais ceci va prendre plusieurs années d'après la feuille de route publiée par l'entreprise américaine. D'ailleurs, nous ne savons pas encore quand VBScript sera définitivement supprimé de Windows, car il n'y a pas de date pour cette ultime étape.

Pour le moment, voici ce qui est prévu :

• Second semestre 2024 : dans Windows 11 version 24H2, VBScript sera intégré sous la forme d'une fonctionnalité à la demande (fonctionnalité facultative) qui sera activée par défaut. Ceci signifie que VBScript sera toujours là et toujours préinstallé, mais qu'il sera possible de le désinstaller facilement.
• Vers 2027 : le début de la phase 2 où VBScript sera toujours une fonctionnalité à la demande, mais désinstallé par défaut.
• La phase 3 sera la suppression de VBScript de Windows, mais Microsoft n'a pas communiqué de date.

En résumé :

La firme de Redmond encourage ses utilisateurs à migrer de VBScript vers JavaScript et/ou PowerShell, en fonction des scénarios. Le fait que l'on puisse supprimer VBScript dans un avenir proche, c'est une bonne chose pour renforcer la sécurité des machines.

Source

The post VBScript sera supprimé de Windows : voici la feuille de route de Microsoft first appeared on IT-Connect.

I. Présentation

Dans cet article, nous allons apprendre à utiliser l'outil ADTimeline proposé par l'ANSSI. Nous pouvons utiliser pour identifier les actions malveillantes effectuées au sein de l'Active Directory et effectuer un suivi des menaces.

Dans la première partie de cet article, nous allons évoquer les deux grandes méthodes pour accéder à la traçabilité des changements effectués dans l'Active Directory, puis nous verrons comment utiliser l'outil ADTimeline. Ceci nous amènera à utiliser Splunk pour effectuer l'analyse des données collectées par cet outil.

• Cliquez ici pour regarder la vidéo sur YouTube

En complément, je vous recommande la lecture de cet article :

• Zircolite - Investigation numérique sur les journaux Windows

II. Traçabilité des changements effectués dans l'Active Directory

A. Les journaux d'audit

Il y a plusieurs façons d'effectuer la traçabilité des changements opérés dans l'Active Directory. La bonne pratique consiste à configurer la stratégie d'audit des contrôleurs de domaine Active Directory afin de générer des événements de sécurité pertinent et de les collecter dans un SIEM ou un puits de logs, afin de les centraliser, de les sauvegarder et de les analyser plus facilement (corrélation entre les événements). Ces journaux peuvent aussi être analysés par des applications tierces spécialisées dans la surveillance de l'Active Directory.

• Centralisation des logs, un outil pour la sécurité

Les journaux d'audit sont visibles via le journal "Sécurité" que nous pouvons consulter par l'intermédiaire de l'Observateur d'événements de Windows.

Malheureusement, cette configuration recommandée est encore trop peu souvent mis en place dans les organisations. Dans ce cas, comment faire ?

B. Les métadonnées de réplication

Il y a une autre source sur laquelle nous pouvons nous appuyer pour tenter de retracer l'historique des changements apportés à l'Active Directory : les métadonnées de réplication.

Bien que ce ne soit pas aussi complet que le journal "Sécurité" de Windows, c'est une source d'informations précieuses comme nous le verrons dans la suite de cet article. Surtout, elles le sauront d'autant plus si les journaux d'audit ne sont pas actifs ou qu'ils ont été supprimés par un attaquant.

Remarque : les métadonnées de réplication seront générées sur un contrôleur de domaine Active Directory, même s'il s'agit d'un environnement avec un seul contrôleur de domaine.

À chaque fois qu'un objet de l'Active Directory est modifié, ceci modifie un ou plusieurs attributs, et engendre la création d'informations de réplication pour résumer l'opération effectuée.

• msDS-ReplAttributeMetaData pour les attributs non liés, ce qui permet d'avoir des informations sur la dernière modification de chacun des attributs. À chaque fois, plusieurs propriétés seront précisées, notamment "pszAttributeName" pour le nom de l'attribut modifié et "ftimeLastOriginatingChange" pour la date de la dernière modification de l'attribut.

À partir des cmdlets PowerShell permettant d'interroger l'Active Directory, notamment "Get-ADUser" et "Get-ADGroup", cet attribut peut être consulté. Voici un exemple pour obtenir les métadonnées de réplication associées à l'utilisateur "tech.t2" :

Get-ADUser -Identity "Tech.T2" -Properties msDS-ReplAttributeMetaData | Select -ExpandProperty msDS-ReplAttributeMetaData

Ce qui donne :

• msDS-ReplValueMetaData pour les attributs liés, dont la valeur dépend d'un calcul effectué à partir d'un autre attribut.

Par ailleurs, ces informations peuvent être consultées à l'aide de l'outil "repadmin" ou du cmdlet PowerShell nommé "Get-ADReplicationAttributeMetadata". L'exemple ci-dessous permet d'obtenir les métadonnées de réplication pour l'objet "CN=Technicien T2,OU=Utilisateurs,OU=T2,OU=Tiering,OU=IT,DC=it-connect,DC=local" (utilisateur nommé "Technicien T2"), à partir du DC nommé "SRV-ADDS-01.it-connect.local", en sélectionnant uniquement l'événement le plus récent.

Get-ADReplicationAttributeMetadata -Object "CN=Technicien T2,OU=Utilisateurs,OU=T2,OU=Tiering,OU=IT,DC=it-connect,DC=local" -Server "SRV-ADDS-01.it-connect.local" | Select -First 1

Voici le résultat retourné par cette commande :

Remarque : un attribut non lié correspond à un attribut dont la valeur est spécifique à l'objet (l'e-mail, le nom, etc...) alors qu'un attribut lié stocke une information qui met en relation deux objets (la liste des groupes dont est membre un utilisateur, par exemple).

III. Qu'est-ce que l'outil ADTimeline ?

ADTimeline est un outil de suivi des modifications apportées à l'Active Directory. Il peut être utilisé par les administrateurs systèmes, mais également les professionnels de la cybersécurité dans le cadre d'une investigation numérique ou d'une réponse à incident. Il permet de faciliter les opérations de threat hunting (recherche de menaces).

En effet, l'outil ADTimeline a été développé par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) dans le but de générer la chronologie des modifications apportées à Active Directory à partir des métadonnées de réplication. Autrement dit, il ne dépend pas directement du journal "Sécurité" de Windows puisque sa source de données est différente.

Cet outil gratuit est développé en PowerShell et il est disponible sur GitHub. Je vous invite à récupérer l'archive ZIP de ce projet si vous souhaitez l'utiliser.

• GitHub - ADTimeline

ADTimeline a été présenté pour la première fois à l'occasion de l'événement CoRI&IN 2019 (Conférence sur la réponse aux incidents et l’investigation numérique). Vous pouvez retrouver les slides de cette présentation sur cette page.

IV. Exécuter un audit avec ADTimeline

Désormais, nous allons commencer à manipuler ADTimeline : la première étape consiste à effectuer une analyse de l'Active Directory pour générer des fichiers d'audit.

ADTimeline peut analyser un Active Directory en ligne, ainsi qu'une base Active Directory hors ligne à partir du fichier "ntds.dit". Ici, nous allons analyser le domaine Active Directory "it-connect.local" qui contient 2 contrôleurs de domaine : "SRV-ADDS-01" et "SRV-ADDS-02".

Pour cela, téléchargez le ZIP du projet à partir du GitHub et décompressez-le sur votre serveur. Il convient d'être "Administrateur du domaine" pour effectuer l'analyse. À partir d'une console PowerShell, exécutez simplement la commande suivante (des paramètres sont disponibles pour cibler un DC spécifique, par exemple) :

.\ADTimeline.ps1

Patientez pendant l'analyse. ADTimeline va analyser les métadonnées de réplications de vos objets et générer un rapport.

Suite à l'analyse, ADTimeline va générer un ensemble de fichiers. Voici ce qui est précisé sur le GitHub officiel à ce sujet :

• timeline_%DOMAINFQDN%.csv : la chronologie générée avec les métadonnées de réplication AD des objets récupérés.
• logfile_%DOMAINFQDN%.log : fichier journal du script. Vous y trouverez également diverses informations sur le domaine.
• ADobjects_%DOMAINFQDN%.xml : objets d'intérêt récupérés via LDAP.
• gcADobjects_%DOMAINFQDN%.xml : objets d'intérêt récupérés via le catalogue global.

Pour ma part, j'ai obtenu les fichiers suivants :

Que fait-on de ces fichiers ? Ne vous attendez pas à trouver un rapport HTML ou un document prêt à l'emploi. Pour analyser ces données, nous allons devoir utiliser Splunk.

V. Analyser les données d'ADTimeline avec Splunk

La seconde étape consiste à exploiter les fichiers générés par ADTimeline avec la solution Splunk. Nous pouvons utiliser la version gratuite. Bien qu'elle soit limitée, elle conviendra pour l'utilisation d'ADTimeline.

A. Installer Splunk sur Windows Server

Splunk peut être installé sur Windows Server, sur Linux, mais aussi par l'intermédiaire d'un conteneur Docker. Pour cette démonstration, il sera installé sur un serveur Windows Server 2022 : l'exécutable permet de l'installer en quelques clics.

Vous pouvez télécharger Splunk en utilisant le lien ci-dessous. Ceci implique de créer un compte sur le site de Splunk. "Après l'installation, vous disposerez d'une licence d'essai pour l'entreprise pendant 60 jours. Vous pouvez passer à la licence gratuite à tout moment avant la fin de la période d'essai.", précise le site officiel de Splunk.

• Télécharger Splunk Enterprise

Pour effectuer l'installation, suivez l'assistant... La seule chose à effectuer, c'est de définir un nom d'utilisateur et un mot de passe pour le compte "Administrateur" de la plateforme.

Ensuite, vous pouvez vous connecter à l'interface Web de Splunk avec un navigateur et vous authentifier avec votre compte.

http://127.0.0.1:8000/
http://<Adresse IP du serveur>:8000/

Pour plus d'informations sur la version gratuite, consultez ce lien :

• Au sujet de Splunk Free

B. Ajouter l'application ADTimeline à Splunk

L'ANSSI a créé une application "ADTimeline" pour Splunk afin de permettre l'analyse des données à partir de cette plateforme. A partir de votre compte Splunk, vous pouvez télécharger cette archive sur la Splunkbase :

• Splunk - App ADTimeline

Pour installer l'application, suivez cette procédure :

1 - Cliquez sur "Apps" dans le menu puis sur "Manage Apps".

2 - Cliquez sur "Install App From File" en haut à droite.

3 - Cliquez sur le bouton "Choose File" pour sélectionner le fichier "adtimeline_12.tgz" et validez.

Patientez un instant pendant l'installation de l'application. Ceci va créer une nouvelle entrée dans le menu "Apps" :

Inutile de cliquer dessus pour le moment, car nous devons commencer par importer des données.

C. Importer les données dans Splunk

Nous allons devoir importer les données dans Splunk, c'est-à-dire les fichiers générés par ADTimeline (sauf le fichier "logfile"). Pour ma part, je dois importer les deux fichiers suivants :

timeline_it-connect.local.csv
ADobjects_it-connect.local.xml

A partir de la page d'accueil de Splunk, cliquez sur le bouton "Add data".

Puis, chargez un premier fichier, par exemple, le fichier "timeline_<domaine>.csv". Il faut charger un fichier à la fois.

À l'étape "Set Source Type", choisissez le type de source "adtimeline" pour ce fichier. Attention, le type de source à sélectionner dépend du fichier choisi à l'étape précédente.

• timeline_%DOMAINFQDN%.csv = adtimeline
• ADobjects_%DOMAINFQDN%.xml = adobjects
• gcADobjects_%DOMAINFQDN%.xml = gcobjects

À l'étape "Input Settings", sélectionnez "Constant value" et indiquez le nom de votre domaine.

Poursuivez jusqu'à la fin...

Répétez l'opération pour importer chaque fichier généré par ADTimeline.

D. Le tableau de bord ADTimeline

Il est temps de cliquer sur "ADTimeline" dans le menu "Apps" de Splunk pour explorer les données ! Plusieurs onglets sont accessibles :

• Search : exécuter des requêtes sur le jeu de données importé en s'appuyant sur le langage SPL (Search Processing Language) développé par Splunk.
• Getting started : documentation de l'outil ADTimeline, similaire à celle du GitHub.
• AD General Information : des informations sur votre infrastructure Active Directory et les comptes sensibles.
• AD Threat Hunting : des événements relatifs à vos objets Active Directory, de façon chronologique, ainsi que des métriques clés pour permettre d'identifier et de suivre les menaces (threat hunting).

Désormais, nous allons regarder d'un peu plus près les différents onglets, notamment ceux nommés "AD General Information" et "AD Threat hunting".

E. ADTimeline : AD General Information

Cet onglet donne accès à deux sous-sections : "Active Directory Infrastructure" et "Sensitive Accounts".

• Active Directory Infrastructure

Cette section va permettre d'obtenir des informations sur le niveau fonctionnel du domaine et de la forêt, la liste des contrôleurs de domaine Active Directory, la répartition des rôles FSMO, l'état de certaines fonctionnalités d'ADDS (corbeille, LAPS, silo d'authentification, groupe Protected Users, Service Connection Points, etc.), et il va aussi indiquer s'il y a un serveur de messagerie Exchange, un ADCS ou un ADFS.

• Sensitive Accounts

Cette section, comme son nom l'indique, va permettre d'obtenir la liste des comptes sensibles, à commencer par les comptes "Administrateurs". Il s'intéresse aussi à tous les comptes où l'attribut "adminCount" est égal à "1", tout en retraçant l'historique de modifications de ces comptes.

Active Directory et l'attribut adminCount

Mais ce n'est pas tout, l'outil va permettre de remonter les comptes sensibles vulnérables à l'attaque ASREPRoast. Il met aussi en évidence le ratio entre les comptes sensibles et les comptes non sensibles vulnérables à ASREPRoast. Ici, j'ai volontairement configuré un compte de mon annuaire Active Directory pour qu'il soit détecté par ADTimeline :

Pour en savoir plus sur l'attaque ASREPRoast, vous pouvez lire notre article complet sur le sujet :

Active Directory et l'attaque ASREPRoast

F. ADTimeline : AD Threat Hunting

Désormais, nous allons basculer sur les différentes sections sous "AD Threat Hunting", toujours à partir de Splunk.

• Investigate timeframe

La section "Investigate timeframe" liste toutes les modifications effectuées dans l'annuaire Active Directory, de façon chronologique, en s'appuyant sur les métadonnées de réplications. Il est possible d'appliquer des filtres pour cibler une période précise.

Par exemple, sur l'image ci-dessous, nous constatons qu'il y a eu un verrouillage sur le compte "Admin T0" et une modification de l'attribut "msD-SupportedEncryptionTypes" sur le compte "Technicien T2", ce qui a aussi eu un impact sur l'attribut "UserAccountControl". Nous savons également quel DC a été sollicité pour effectuer l'opération.

Active Directory et l'attribut UserAccountControl

Ce qui est puissant et pratique, c'est le fait de pouvoir cliquer sur les éléments des graphes. Par exemple, si nous cliquons sur "UserAccountControl", nous pouvons obtenir des informations sur tous les comptes où cet attribut a été altéré, avec une vue chronologique. Autrement dit, ceci permet de visualiser toutes les occurences d'un événement.

Cette section remonte également d'autres informations, dont des statistiques telles que la répartition par ObjectClass pour les modifications des objets, ainsi qu'une timeline avec le nombre de modifications par jour.

• Track suspicious activity

Pour effectuer un suivi des actions suspectes, rendez-vous dans l'entrée "Track suspicious activity" où ADTimeline va regrouper tous les événements importants pouvant être le signe d'une activité suspecte. Voici quelques indicateurs visibles sur cette page :

- Historique de verrouillage des comptes, par jour : s'il y a un pic avec de nombreux comptes verrouillés sur une même journée, c'est suspect !

- Modifications sur les ACL (permissions)

- Comptes ajoutés et retirés des groupes

- Modifications suspectes de l'attribut SIDHistory

- Modifications sur les GPO pour altérer la stratégie d'audit (ce qui va impacter le journal "Sécurité")

- Détection d'une attaque de type DCShadow

- Etc...

Je vous encourage à consulter la documentation d'ADTimeline pour avoir la liste complète. À chaque fois, vous remarquerez la présence de liens pour renvoyer vers les TTP correspondantes dans le framework MITRE ATT&CK.

En complément, l'entrée "Track suspicious activity" du menu sert à obtenir des informations sur les événements suspects relatifs à un serveur Exchange.

VI. Conclusion

ADTimeline est un outil très utile et facile à utiliser puisque la collecte des informations est simple, tout comme l'installation de Splunk et l'intégration des données. Néanmoins, l'analyse des résultats n'est pas à la portée de tout le monde. En effet, il faut avoir une bonne connaissance de l'Active Directory, notamment des attributs, ainsi que des attaques fréquentes, pour être capable d'identifier et de retracer une activité malveillante.

Qu'en pensez-vous ?

The post Suivi des menaces et investigation numérique dans l’Active Directory avec l’outil ADTimeline first appeared on IT-Connect.

Quick Assist, l'outil de contrôle à distance intégré à Windows, est exploité par les cybercriminels dans le cadre d'une campagne malveillante visant à déployer le ransomware Black Basta. Faisons le point.

Quick Assist, ou en français "Assistance rapide", est une fonctionnalité présente dans Windows 10 et Windows 11 permettant d'offrir un contrôle à distance à son ordinateur. Ceci peut être utile pour une intervention de support informatique, par exemple.

Depuis la mi-avril, les cybercriminels du groupe Storm-1811, un gang financé par le gang de ransomware Black Basta, ont lancé une campagne d'attaques par ingénierie sociale.

"Les cybercriminels abusent des fonctions d'assistance rapide pour mener des attaques d'ingénierie sociale en se faisant passer, par exemple, pour un contact de confiance comme le support technique de Microsoft ou un professionnel de l'informatique de l'entreprise de l'utilisateur cible afin d'obtenir un accès initial à un appareil cible.", peut-on lire sur le site de Microsoft.

Un mode opératoire élaboré sur fond de phishing vocal

Tout commence par l'identification des utilisateurs qui seront pris pour cible par l'intermédiaire de leur adresse e-mail. Les pirates vont inscrire ces adresses e-mails sur des listes d'abonnements afin que les utilisateurs reçoivent beaucoup de spams. Ensuite, les pirates vont contacter l'utilisateur en prétextant vouloir corriger ce problème de réception de nombreux spams.

C'est à partir de là qu'une prise de contact pourra être établie par l'intermédiaire d'un appel téléphonique. Pour piéger l'utilisateur, le pirate se fait passer pour un technicien de l'entreprise ou une personne du support de Microsoft.

Grâce à Quick Assist, ils obtiennent un accès distant à la machine et vont pouvoir demander à prendre le contrôle à distance, dans le but de résoudre ce fameux "problème" de spams.

"L'utilisateur cible n'a qu'à appuyer sur CTRL + Windows + Q et à saisir le code de sécurité fourni par le cybercriminel", précise Microsoft. En effet, ce raccourci lance immédiatement Quick Assist sur la machine. Mais, leur objectif est bel et bien de déployer un logiciel malveillant sur la machine. Un très bel exemple de phishing vocal.

Sur la machine compromise, plusieurs outils sont déployés, notamment ScreenConnect pour avoir la main à distance sur la machine (sans surveillance), Cobalt Strike, ainsi que QakBot, un Cheval de Troie bancaire très utile pour déployer d'autres logiciels malveillants. La dernière étape consiste à déployer le ransomware Black Basta sur le réseau de l'entreprise.

Microsoft vous recommande de désinstaller ou bloquer Quick Assist sur vos appareils si vous n'utilisez pas cette fonctionnalité. Bien entendu, il est également important de sensibiliser les utilisateurs et de les informer.

Source : Microsoft

The post Les pirates exploitent la fonction Quick Assist de Windows pour déployer le ransomware Black Basta first appeared on IT-Connect.

Geekom propose aux lecteurs d'IT-Connect deux codes promotions pour deux modèles de PC : le GEEKOM IT12 et le GEEKOM IT13. Grâce à ces codes promos, bénéficiez de 20% de réduction immédiate ! Faisons le point sur ces offres !

Chez Geekom, la série de mini PC "IT" correspond à des modèles avec un processeur Intel conçu pour être polyvalents et performants, car ils peuvent correspondre aux besoins des particuliers et des professionnels. L'avantage : ces boitiers permettent d'intégrer certaines cartes graphiques dédiées en comparaison des mini PC ultra-compacts.

20% de remise sur le Geekom IT13

Le Geekom Mini IT13 est équipé d'un processeur Intel Core i7-13900H (13 ème génération - 14 coeurs - 20 threads), de 32 Go de RAM (DDR4) et de 1 To de SSD NVMe. La RAM peut être augmentée jusqu'à 64 Go. Le stockage est évolutif également, car il y a deux emplacements disponibles : 1 emplacement pour SSD SATA au format M.2 (2242 - Jusqu'à 1 To) et 1 emplacement pour disque 2.5 pouces (2 To max.)

Par ailleurs, il est équipé du Wi-Fi 6E, du Bluetooth 5.2, et d'un port Ethernet RJ45 en 2.5 Gbit/s, ainsi que de nombreux ports USB et USB-C dont 2 ports USB4. Grâce à cette connectique, à laquelle s'ajoute 2 ports HDMI 2.0, ce modèle peut prendre en charge jusqu'à 4 écrans. Il est livré avec le système d'exploitation Windows 11 Pro, que vous pouvez remplacer bien entendu.

Voici un aperçu de ce boitier dont les dimensions sont les suivantes (L x W x H) : 117 mm x 112 mm x 49,2 mm.

L'offre spéciale : avec le code "ITPRIT3" obtenez 20 % de réduction immédiate ! Le prix passe de 699.00 € à 559.20 € ! Il est expédié directement depuis l'Europe (Allemagne) et la livraison est effectuée en quelques jours. Pour bénéficier de cette offre, vous pouvez utiliser notre lien d'affilié Geekom : cliquez ici pour en savoir plus et accéder à l'offre.

IT-Connect a eu l'occasion de tester le Geekom IT13 dans sa version avec un Intel Core i9. Voici le lien vers l'article :

• Test du Geekom IT13

20 % de remise sur le Geekom IT12

Le Geekom Mini IT12, c'est le modèle de la précédente génération. Lui aussi est équipé d'un processeur Intel Core i7 mais c'est un modèle de 12ème génération : Intel Core i7-12650H (10 cœurs - 16 threads). Pour le reste, il y a beaucoup de points communs avec l'autre modèle, notamment les 32 Go de RAM (DDR4), le stockage de 1 To avec un SSD NVMe. La RAM peut être augmentée jusqu'à 64 Go.

Il s'agit aussi de la même structure de boitier, donc il y a deux emplacements disponibles pour faire évoluer le stockage : 1 emplacement pour SSD SATA au format M.2 (2242 - Jusqu'à 1 To) et 1 emplacement pour disque 2.5 pouces (2 To max.). Il est également équipé du Wi-Fi 6E, du Bluetooth 5.2, d'un port Ethernet RJ45 en 2.5 Gbit/s, de ports USB et USB-C dont 2 ports USB4, ainsi 2 ports HDMI 2.0. Il est livré avec le système d'exploitation Windows 11 Pro.

Voici un aperçu de ce boitier dont les dimensions sont les suivantes (L x W x H) : 117 mm x 112 mm x 49,2 mm.

L'offre spéciale : avec le code "DB20off" obtenez 20 % de réduction immédiate ! Le prix passe de 629.00 € à 503.20 € ! Il est expédié directement depuis l'Europe (Allemagne) et la livraison est effectuée en quelques jours. Pour bénéficier de cette offre, vous pouvez utiliser notre lien d'affilié Geekom : cliquez ici pour en savoir plus et accéder à l'offre.

The post Bon plan – 20% de réduction sur deux mini PC Geekom avec un Intel Core i7 et 32 Go de RAM ! first appeared on IT-Connect.