Dans un contexte de menace cyber plus tendu que jamais, le spécialiste de la cybersécurité et de la conformité, Proofpoint, dévoile aujourd’hui les conclusions de son rapport annuel Voice of the CISO, une enquête mondiale menée auprès de plus de 1 600 Responsables de la Sécurité des Systèmes d’Information (RSSI) dont 100 en France. Tribune Proofpoint – […]
Dans cet article, nous allons évoquer l'outil open source LaZagne dont l'objectif est de collecter les identifiants et mots de passe mémorisés sur un ordinateur local, en allant lire les informations stockées dans différentes applications.
LaZagne est un outil de sécurité offensive qui peut être utilisé dans le cadre d'une mission de test d'intrusion (pentest), lors de la phase de post-exploitation, ou sur son propre ordinateur personnel pour effectuer de la collecte d'identifiants (si vous avez oublié un identifiant et un mot de passe enregistré, par exemple). Vous l'aurez surement compris, compte tenu de ses fonctionnalités, il peut être utilisé également à des fins malveillantes.
L'objectif de cet article de sensibilisation est de mettre en lumière les risques associés à la mémorisation des identifiants au sein d'applications diverses et variées et qui ne sont pas des gestionnaires de mots de passe. Aujourd'hui, de nombreuses applications sont capables de mémoriser les noms d'utilisateur et les mots de passe pour nous faire gagner du temps.
En tant qu'administrateur système et réseau, technicien, DevOps, développeur ou simple utilisateur, vous pourriez être tenté d'enregistrer vos identifiants dans des applications telles que WinSCP, FileZilla, OpenVPN, etc... et même dans les navigateurs Web. Pourtant, elles ne sont pas conçues dans ce but et ne protègent pas suffisamment vos mots de passe. Espérons que l'outil LaZagne vous dissuade de le faire.
WinSCP - Option pour enregistrer le mot de passe
Attention - Disclaimer : si vous décidez d'utiliser cet outil, vous en prenez l'entière responsabilité. IT-Connect et l'ensemble de ses auteurs ne seront pas responsables des actions que vous effectuerez. Soyez vigilant à exploiter cet outil uniquement si vous y êtes autorisé. Pour rappel : Code pénal : Chapitre III : Des atteintes aux systèmes de traitement automatisé de données.
II. Les fonctionnalités de LaZagne
LaZagne est un outil open source codé en Python concocté par Alessandro Zanni, compatible avec Windows et Linux, mais aussi macOS, même si son champ d'action est plus limité. Dans cet article, LaZagne est pris comme exemple, car cet outil de sécurité est capable de collecter des identifiants, au même titre qu'un logiciel malveillant de type "infostealer" pourrait le faire sur votre machine. Néanmoins, LaZagne ne va pas exfiltrer les identifiants collectés vers un serveur contrôlé par un attaquant et il n'effectue pas de collecte de cookies.
Pour cette démonstration, une machine sous Windows 11 23H2 est utilisée. Il y a plusieurs applications installées sur cette machine, dont WinSCP et FileZilla au sein desquelles il y a plusieurs connexions enregistrées. À chaque fois, le mot de passe a été enregistré dans l'application (pour gagner du temps au quotidien, vous comprenez...). De plus, quelques mots de passe sont enregistrés dans le navigateur Microsoft Edge.
A. Télécharger l'outil
Pour Windows, il y a une version au format EXE de LaZagne, ce qui évite de devoir installer Python indépendamment. Pour télécharger cette version, rendez-vous sur le GitHub officiel :
Avant cela, sachez que le filtre SmartScreen et Microsoft Defender ne vont pas apprécier du tout ce téléchargement. Le premier essaiera de vous dissuader, tandis que le second va tout simplement bloquer le fichier, car il est considéré comme un virus ("Trojan"). C'est normal, compte tenu des fonctionnalités de l'outil. Mais, grâce à une intervention manuelle, vous pourrez débloquer l'exécutable dans Defender.
B. Exécuter une recherche d'identifiants
Nous devons ouvrir une console PowerShell ou une invite de commande afin d'exécuter l'outil. Il n'est pas nécessaire de l'installer, c'est un exécutable portable ! Sans les droits Administrateur, l'outil pourra collecter des identifiants, mais il sera plus limité (pour les mots de passe Wi-Fi, par exemple, il faut une élévation de privilèges).
Si l'outil est placé dans le répertoire "C:\tools", voici la commande à exécuter (en se positionnant en amont dans ce répertoire au niveau du shell) pour effectuer une recherche globale sur la machine locale :
PS C:\tools> .\LaZagne.exe all
Remarque : ici, le test est effectué avec un utilisateur nommé "Administrateur" mais avec une console PowerShell ouverte sans élévation de privilèges.
Quelques secondes plus tard, LaZagne nous retourne ce qu'il a trouvé. Ici, nous pouvons voir qu'il a collecté des identifiants dans FileZilla et WinSCP parce qu'il s'agit d'informations mémorisées dans les applications.
Pour WinSCP, cela correspond bien aux deux entrées présentes dans l'application. Le mot de passe n'est pas visible et accessible en clair à partir de l'interface graphique de l'application WinSCP, ce qui est plutôt trompeur au final.
Cela ne s'arrête pas là, car LaZagne est parvenu à collecter les identifiants mémorisés dans Microsoft Edge ! À l'inverse, il n'est pas parvenu à collecter le mot de passe enregistré dans le "Gestionnaire d'identification" de Windows.
Sachez qu'il existe un ensemble d'options pour personnaliser l'exécution de LaZagne. Voici un exemple pour générer deux fichiers de sortie avec les résultats (option "-oA"), dans le répertoire "C:\temp". Il y aura un premier fichier au format texte et un second fichier au format JSON. Utilisez l'option "-oN" pour un fichier texte seulement et l'option "-oJ" pour un fichier JSON uniquement.
.\LaZagne.exe all -oA -output C:\temp\
Ce fichier contient les informations visibles dans la console :
Vous pouvez également effectuer une recherche ciblée sur une catégorie précise d'applications.
Toutes les applications de la catégorie "sysadmin" :
.\LaZagne.exe sysadmin
Toutes les applications de la catégorie "navigateurs Web" :
.\LaZagne.exe browser
Pour obtenir la liste complète des possibilités, vous pouvez consulter l'aide :
.\LaZagne.exe --help
Finalement, tous les identifiants collectés par LaZagne sont bien ceux enregistrés dans de diverses applications installées sur cette machine de test.
IV. Que faut-il en tirer ?
L'utilisation de LaZagne met en lumière l'importance de ne pas enregistrer les mots de passe dans les navigateurs et dans d'autres applications que nous sommes susceptibles d'utiliser au quotidien. Pourtant, parfois, cela peut être tentant de le faire, car c'est plus pratique, et les applications peuvent nous le proposer.Malheureusement, la fuite des identifiants de connexion SSH d'un serveur peut être préjudiciable et lourd de conséquences pour une organisation.
Les identifiants doivent être stockés dans un gestionnaire de mots de passe digne de ce nom et ne pas être éparpillé en mémoire dans d'autres applications. Par ailleurs, c'est l'occasion de rappeler l'importance d'activer l'authentification multifacteurs (MFA) à chaque fois que cela est possible pour se protéger contre la fuite d'identifiants (à ne pas confondre avec le vol de cookies de sessions).
Voici quelques-uns de nos articles sur le sujet des gestionnaires de mots de passe :
Comme nous venons de le voir, LaZagne est un outil puissant et redoutable qui peut rendre bien des services aux professionnels de la cybersécurité dans le cadre d'une mission de pentest. Il est apprécié par la communauté et comptabilise plus de 9 000 Stars sur GitHub : maintenant, vous comprenez mieux pourquoi.
Des chercheurs en sécurité ont effectué un gros travail de recherche de vulnérabilités sur le système QTS utilisé par les NAS QNAP. Ils sont parvenus à identifier 15 failles de sécurité, plus ou moins sérieuse ! Faisons le point !
Les chercheurs en sécurité de WatchTowr Labs ont mis en ligne un rapport au sujet de 15 vulnérabilités qu'ils ont découvertes dans le système QTS de QNAP. Enfin, il ne s'agit pas du seul système analysé puisqu'ils ont également analysé les versions QTS Hero et QuTS Cloud.
Pour le moment, 11 vulnérabilités ne sont toujours pas corrigées, et certaines sont encore sous embargo, alors que QNAP a été averti entre le 8 décembre 2023 et le 8 janvier 2024. Voici la liste des CVE patchées par QNAP : CVE-2023-50361, CVE-2023-50362, CVE-2023-50363 et CVE-2023-50364.
La faille de sécurité CVE-2024-27130
L'une de ces failles de sécurité, associée à la référence CVE-2024-27130, mérite une attention particulière. Cette vulnérabilité de type "stack buffer overflow" présente dans la fonction "No_Support_ACL" du fichier "share.cgi" permet à un attaquant d'exécuter du code à distance sur le NAS QNAP. Néanmoins, l'exploitation n'est pas simple, car l'attaquant doit pouvoir se connecter au NAS QNAP, avec un compte lambda, de façon à manipuler la fonction de partage de fichiers.
À ce jour, cette faille de sécurité est connue publiquement et elle n'a pas été corrigée par QNAP alors qu'elle a été reportée au fabricant de NAS le 3 janvier 2024 : une belle faille de sécurité zero-day.
À chaque fois, QNAP a demandé un délai supplémentaire à WatchTowr Labs. Mais, désormais, le temps presse... Les chercheurs en sécurité de WatchTowr Labs quant à eux, ont mis en ligne un exploit PoC pour cette même vulnérabilité : il est disponible sur ce GitHub. Tous les détails techniques sont fournis pour indiquer comment l'exploiter, bien qu'elle ne soit pas corrigée.
En exploitant cette faille, les chercheurs de WatchTowr Labs sont parvenus à créer un compte nommé "watchtowr" sur le NAS et à l'ajouter au fichier "sudoers" pour lui permettre d'élever ses privilèges sur le NAS.
Désormais, le correctif de QNAP est attendu, que ce soit pour cette vulnérabilité ou toutes les autres non corrigées pour le moment.
Un gang de ransomware cible les professionnels de l'informatique sous Windows grâce à des résultats sponsorisés dans les moteurs de recherche utilisés pour promouvoir de faux sites pour télécharger PuTTY et WinSCP. Faisons le point.
Le client PuTTY (récemment affecté par une vulnérabilité) est une application très populaire sur Windows, notamment pour se connecter à des serveurs ou des équipements réseaux à distance via les protocoles SSH et Telnet. WinSCP quant à lui est une application de transfert de fichiers compatibles avec plusieurs protocoles dont le SFTP, le SCP et le FTP.
Cela en fait des logiciels appréciés par les professionnels de l'informatique, en particulier les administrateurs systèmes avec une machine sous Windows. Ces mêmes administrateurs systèmes, qui, bien souvent, ont des privilèges élevés sur l'infrastructure de l'organisation.
Pour les pirates, ils représentent une cible de choix, comme le montre le rapport mis en ligne par Rapid7 au sein duquel nous pouvons lire : "Début mars 2024, Rapid7 a observé la distribution d'installateurs trojanisés pour les utilitaires open source WinSCP et PuTTy."
D'une simple recherche Internet à l'exécution d'un ransomware
Tout commence par une recherche dans un moteur de recherche tel que Bing ou Google (même si ce dernier n'est pas précisé) avec les mots clés "download winscp" ou "download putty". La liste des résultats contient des résultats sponsorisés correspondants à des publicités malveillantes menant vers des copies des sites officiels de WinSCP ou PuTTY, ou de simples pages de téléchargement. "Dans les deux cas, un lien permettant de télécharger une archive zip contenant le cheval de Troie à partir d'un domaine secondaire était intégré à la page web.", précise Rapid7.
Comme le montre l'image ci-dessous, l'archive ZIP contient un fichier "setup.exe" correspondant à un exécutable Python ("pythonw.exe", renommé) qui va charger une bibliothèque DLL sur la machine dans le but de l'infecter ou d'exécuter une charge malveillante. Il est important de noter que l'application recherchée par l'utilisateur, à savoir PuTTY ou WinSCP, sera bien installée sur la machine.
Source : Rapid7
Lors d'un incident récent, Rapid7 a observé qu'un attaquant tentait d'exfiltrer des données à l'aide de l'utilitaire de sauvegarde Restic, puis de déployer un ransomware, une tentative qui a finalement été bloquée pendant l'exécution", peut-on lire.
Même si Rapid7 ne sait pas précisément quel est le gang de ransomware à l'origine de cette campagne malveillante, les techniques (TTP) utilisées rappellent les anciennes campagnes BlackCat/ALPHV.
Cet article a été réalisé en collaboration avec Bitdefender
Est-ce un message d'un véritable livreur ou une énième arnaque ? Une véritable amende ou un scam ? Si vous avez un doute, demandez donc au nouveau chatbot gratuit Scamio de Bitdefender ce qu’il en pense.
Cet article a été réalisé en collaboration avec Bitdefender
Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.
Cet article a été réalisé en collaboration avec Bitdefender
Est-ce un message d'un véritable livreur ou une énième arnaque ? Une véritable amende ou un scam ? Si vous avez un doute, demandez donc au nouveau chatbot gratuit Scamio de Bitdefender ce qu’il en pense.
Cet article a été réalisé en collaboration avec Bitdefender
Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.
La bibliothèque JavaScript de visualisation de PDF développée par Mozilla, connue sous le nom de PDF.js, est au centre d’une nouvelle découverte de sécurité assez préoccupante ! Une faille dans le code de rendu des polices permet à un attaquant d’exécuter du JavaScript arbitraire simplement en ouvrant un PDF malveillant. Et attention, cela affecte toutes les applications utilisant PDF.js, y compris Firefox, certains éditeurs de code et navigateurs de fichiers. Aïe aïe aïe !
En gros, lorsque PDF.js affiche une police spéciale, il convertit la description des glyphes en instructions pour dessiner ces glyphes. Cependant, un hacker mal intentionné peut injecter son propre code dans la description de la police, résultant en l’exécution de ce code par le navigateur.
La vulnérabilité, estampillée CVE-2024-4367, repose donc sur une manipulation des commandes de rendu de polices. La commande transform utilisant fontMatrix est exploitée pour insérer du code JavaScript puis PDF.js compile dynamiquement les descriptions de polices pour optimiser les performances. Normalement, ce tableau contient uniquement des nombres, toutefois, cette faille permet d’y injecter des chaînes de caractères. Et en insérant du code JavaScript dans ce tableau, il est possible de déclencher du code lors du rendu d’une police.
Un exploit bien forgé permettrait diverses attaques telles que l’exécution de code arbitraire, le vol de données, ou même la prise de contrôle complète du système via des attaques XSS ou l’exécution de code natif. La vulnérabilité touche actuellement les versions de PDF.js inférieures à 4.2.67.
Selon les chercheurs de Codean Labs, cette vulnérabilité affecte non seulement les utilisateurs de Firefox (<126), mais également de nombreuses applications web et basées sur Electron utilisant indirectement PDF.js pour la fonctionnalité d’aperçu. Ils soulignent également que cette faille exploite une partie spécifique du code de rendu de la police, un segment que les développeurs devraient vérifier attentivement.
Bref, pensez à mettre à jour PDF.js vers une version supérieure à la 4.2.67 et à mettre à jour vos outils vers des version égales ou supérieures à Firefox 126, Firefox ESR 115.11 et Thunderbird 115.11.
Imaginez télécharger un modèle d’IA apparemment inoffensif sur une plateforme de confiance comme Hugging Face et découvrir qu’il ouvre en fait une porte dérobée permettant à des attaquants de prendre le contrôle de votre système ! C’est le risque que pose la faille critique CVE-2024-34359, découverte récemment dans le célèbre package Python llama-cpp-python.
Ce package très utilisé permet d’intégrer facilement des modèles d’IA écrits en C++ dans des projets Python. Pour cela, il utilise la bibliothèque de templates Jinja2 qui est capable de faire un rendu dynamique du HTML à partir des données. Une lib surpuissante mais potentiellement risquée si c’est mal configuré !
Et c’est justement là que le bât blesse. Le package llama-cpp-python utilise Jinja2 pour traiter les métadonnées des modèles au format .gguf, mais sans activer les protections nécessaires comme le bac à sable. Du coup, en injectant un template malicieux dans les métadonnées d’un modèle, un pirate peut exécuter du code arbitraire sur le système hôte !
Les dégâts potentiels sont énormes : vol de données, prise de contrôle totale, interruption de services… Surtout que les systèmes IA manipulent souvent des données ultra sensibles. Et vu la popularité de llama-cpp-python, l’impact est massif : plus de 6000 modèles vulnérables rien que sur Hugging Face ! Selon un article détaillé de Checkmarx, cette faille permet des attaques de la chaîne d’approvisionnement, où un acteur malveillant peut injecter du code dans un modèle téléchargé et redistribuer ce modèle compromis pour attaquer les développeurs d’IA.
Découverte par Patrick Peng (alias retro0reg), cette vulnérabilité repose comme je vous l’expliquait sur une mauvaise implémentation du moteur de templates. Cette faille de score CVSS critique de 9.7, permet l’injection de template côté serveur, conduisant à une exécution de code à distance (RCE). Un proof-of-concept a même été publié sur Hugging Face, démontrant comment un modèle compromis peut exécuter du code arbitraire lorsqu’il est chargé ou lors d’une session de chat.
Cela met en lumière un problème plus large : la sécurité des systèmes d’IA est intimement liée à celle de leur chaîne logicielle. Une vulnérabilité dans une dépendance tierce peut compromettre tout un système. Il faut donc redoubler de vigilance à tous les niveaux. Les modèles d’IA étant souvent utilisés au sein de projets critiques et manipulant des volumes importants de données sensibles, la moindre faille peut avoir des conséquences catastrophiques.
Mais rassurez-vous, une solution existe ! La version 0.2.72 de llama-cpp-python corrige le tir en ajoutant une validation des entrées et un bac à sable robuste autour de Jinja2. Si vous utilisez une version antérieure, la mise à jour est plus que recommandée.
Comment savoir si vos modèles sont touchés ? Regardez s’ils utilisent :
Le package llama-cpp-python en version < 0.2.72
Le format de fichier .gguf
Des templates Jinja2 dans les métadonnées
Si c’est le cas, passez immédiatement à la 0.2.72 ! Vous pouvez aussi auditer le code de vos modèles et regarder les permissions avec vos yeux de lynx.
Bref, comme d’hab, une petite faille peut vite tourner au désastre
Vous utilisez probablement le GPS tous les jours sans y penser, que ce soit sur votre smartphone, dans votre voiture ou même dans un avion. Cette technologie de positionnement par satellites, et ses cousines comme GLONASS, Galileo et Beidou, sont devenues tellement courantes qu’on en oublierait presque qu’elles sont vulnérables. Et quand je dis vulnérables, je ne parle pas d’un bug ou d’un plantage logiciel, non. Je parle de menaces bien réelles qui peuvent rendre votre GPS complètement dingue !
Vous voyez, le GPS repose sur des signaux radio ultra faibles émis par des satellites à des milliers de kilomètres. Pour vous donner une idée, c’est un peu comme si vous essayiez d’entendre quelqu’un vous chuchoter quelque chose depuis l’autre bout d’un stade pendant un concert de rock ! Autant dire que c’est le bordel pour entendre quoi que ce soit.
Du coup, pas besoin d’être un génie pour comprendre qu’il est facile de noyer le signal GPS dans un gros brouhaha radio. C’est ce qu’on appelle le brouillage. Avec quelques watts seulement, on peut rendre le GPS inutilisable dans un rayon de plusieurs kilomètres ! Pas besoin d’un doctorat en électronique, un petit bricolage fait maison peut suffire. Évidemment, c’est complètement illégal, mais ça n’empêche pas certains de s’amuser à le faire.
Mais pourquoi brouiller le GPS ? Eh bien, en cas de conflit par exemple, c’est bien pratique pour empêcher l’ennemi de savoir où il est et où tirer ses missiles et ses drones. C’est d’ailleurs ce qui se passe en ce moment autour de l’Ukraine. Des zones de brouillage apparaissent régulièrement, rendant la navigation aérienne hasardeuse.
Mais le brouillage peut aussi servir à des fins moins guerrières. Tenez, en Chine, il paraît que des boîtes de pub brouillent le GPS des drones de leurs concurrents pendant des shows aériens pour leur faire perdre le contrôle et ruiner le spectacle ! De la concurrence de haut vol, sans mauvais jeu de mots.
Et les dégâts collatéraux dans tout ça ?
Parce que mine de rien, on ne dépend pas du GPS uniquement pour savoir si on doit tourner à gauche ou à droite au prochain croisement. Les réseaux de téléphonie mobile s’en servent également pour synchroniser leurs antennes relais. Ainsi, quand le GPS déconne, c’est toute la 4G/5G qui peut partir en vrille !
Mais si vous trouvez que le brouillage c’est déjà costaud, attendez de découvrir le leurrage ! Là, on passe au niveau supérieur. Le leurrage, c’est carrément une technique qui permet d’envoyer de faux signaux GPS pour faire croire à votre récepteur qu’il est ailleurs. Un peu comme si un petit rigolo changeait les panneaux sur la route pour vous faire croire que vous allez vers le sud de la France, alors que vous roulez vers le Nord.
Alors bien sûr, générer un faux signal GPS crédible, c’est autrement plus coton que simplement brouiller la fréquence. Il faut recréer toute une constellation de satellites virtuels avec les bons timings, les bonnes orbites, cohérents entre eux. Un vrai boulot d’orfèvre ! Mais une fois que c’est au point, imaginez le potentiel de nuisance ! Vous pourriez faire atterrir un avion de ligne à côté de la piste. Téléguidez un drone militaire en territoire ennemi ou envoyer un navire s’échouer sur des récifs. Ça fait froid dans le dos…
Heureusement, il existe des parades pour durcir les récepteurs GPS contre ces attaques : Utiliser des antennes directionnelles qui filtrent les signaux ne venant pas du ciel. Analyser en détail les signaux pour repérer les incohérences et les satellites suspects. Recouper avec d’autres capteurs comme les centrales inertielles. La version militaire du GPS dispose déjà de pas mal de protections dont du chiffrement.
Mais pour le GPS grand public dans nos smartphones et nos bagnoles, on est encore loin du compte. À part quelques modèles haut de gamme, la plupart gobent à peu près tout et n’importe quoi tant que ça ressemble à un signal GPS et il va falloir que ça change, et vite !
Scott Manley, un expert en la matière que vous connaissez peut-être pour ses vidéos sur les fusées, aborde en profondeur ces questions dans une vidéo bien documentée sur le sujet. Non seulement il analyse les risques de brouillage et de leurrage, mais il examine aussi les contre-mesures possibles, comme l’utilisation d’antennes directionnelles et l’analyse détaillée des signaux pour repérer d’éventuelles incohérences. Je vous mets la vidéo ici, ça vaut le coup d’œil :
On a beau être fan des nouvelles technos qui nous rendent la vie plus facile, faut quand même garder à l’esprit qu’elles ont leurs failles et leurs limites. Ça ne veut pas dire qu’il faut revenir à la bonne vieille carte Michelin et à la boussole, mais un petit cours de rattrapage en navigation à l’ancienne, ça ne ferait pas de mal !
Les chasseurs de bugs et les experts en sécurité web sont toujours à la recherche d’outils pour optimiser leur boulot et dénicher des vulnérabilités et justement, il y a un nouveau venu qui risque bien de faire parler de lui : WebCopilot !
Open source, cet outil d’automatisation combine les fonctionnalités de dizaines d’autres outils réputés comme Subfinder, Nuclei, Amass ou encore SQLMap histoire de vous faire gagner un temps précieux en prenant en charge de A à Z les tâches répétitives et chronophages de l’énumération des sous-domaines, du filtrage des paramètres à risque et du scan des vulnérabilités les plus critiques.
Pour cela, il suffit de lancer WebCopilot sur un domaine cible et il s’occupe de tout :
Énumération des sous-domaines via une batterie d’outils (Assetfinder, Sublist3r, Amass, Findomain…)
Crawl de tous les endpoints des sous-domaines identifiés
Filtrage des paramètres potentiellement vulnérables aux failles XSS, SQLi, LFI, SSRF, Open Redirect… grâce aux patterns de l’outil gf
Et enfin, scan des vulnérabilités via des outils comme Nuclei, Dalfox, kxss, SQLMap ou crlfuzz
Vous obtiendrez ensuite un rapport complet qui répertoriera tous les points d’entrée intéressants.
──────▄▀▄─────▄▀▄
─────▄█░░▀▀▀▀▀░░█▄
─▄▄──█░░░░░░░░░░░█──▄▄
█▄▄█─█░░▀░░┬░░▀░░█─█▄▄█
██╗░░░░░░░██╗███████╗██████╗░░█████╗░░█████╗░██████╗░██╗██╗░░░░░░█████╗░████████╗
░██║░░██╗░░██║██╔════╝██╔══██╗██╔══██╗██╔══██╗██╔══██╗██║██║░░░░░██╔══██╗╚══██╔══╝
░╚██╗████╗██╔╝█████╗░░██████╦╝██║░░╚═╝██║░░██║██████╔╝██║██║░░░░░██║░░██║░░░██║░░░
░░████╔═████║░██╔══╝░░██╔══██╗██║░░██╗██║░░██║██╔═══╝░██║██║░░░░░██║░░██║░░░██║░░░
░░╚██╔╝░╚██╔╝░███████╗██████╦╝╚█████╔╝╚█████╔╝██║░░░░░██║███████╗╚█████╔╝░░░██║░░░
░░░╚═╝░░░╚═╝░░╚══════╝╚═════╝░░╚════╝░░╚════╝░╚═╝░░░░░╚═╝╚══════╝░╚════╝░░░░╚═╝░░░
[●] @h4r5h1t.hrs | G!2m0
Usage:
webcopilot -d <target>
webcopilot -d <target> -s
webcopilot [-d target] [-o output destination] [-t threads] [-b blind server URL] [-x exclude domains]
Flags:
-d Add your target [Requried]
-o To save outputs in folder [Default: domain.com]
-t Number of threads [Default: 100]
-b Add your server for BXSS [Default: False]
-x Exclude out of scope domains [Default: False]
-s Run only Subdomain Enumeration [Default: False]
-h Show this help message
Example: webcopilot -d domain.com -o domain -t 333 -x exclude.txt -b testServer.xss
Use https://xsshunter.com/ or https://interact.projectdiscovery.io/ to get your server
Fini les heures passées à lancer des dizaines de commandes et à corréler les résultats comme ça, vous pourrez vous concentrer sur l’analyse des vulnérabilités.
Côté utilisation, c’est ultra simple. Il suffit de cloner le repo Github, d’installer les dépendances…
Vous pensiez que les vieux Windows étaient devenus inoffensifs avec le temps ? Détrompez-vous ! Le bidouilleur Eric Parker s’est récemment amusé à exposer directement sur Internet des machines tournant sous Windows XP, 2000 et 98, sans aucune protection… et le résultat est franchement flippant.
Parce que oui, même en 2024, quand on branche en direct un vieux Windows sur le net, sans pare-feu matériel pour filtrer les connexions non désirées, c’est le scénario catastrophe assuré. Votre antiquité numérique se retrouve à poil sur les réseaux, à la merci du premier script kiddie venu. Et ça ne fera pas long feu avant que votre bécane ne soit infestée de malwares !
Commençons par Windows 98. Lors de son test, Eric a eu beau patienter, rien ne s’est passé. Pas l’ombre d’un ver, backdoor ou cheval de Troie à l’horizon. Il semblerait que la vieille bécane bénéficie d’une forme de « sécurité par l’obscurité ». Avec si peu de Windows 98 encore connectés, les hackers ne prennent plus la peine d’écrire des exploits dédiés. Ouf !
Passons à Windows 2000. Là, c’est une tout autre histoire ! À peine connecté, les scans de ports ont révélé la présence de SMB, le protocole d’échange de fichiers, réputé pour ses failles béantes. Et quelques minutes plus tard, patatra ! Un bel écran bleu, suivi d’un redémarrage en boucle. En inspectant le système, Eric a découvert une backdoor signée « Shang Xen Smartphone Technology », des modifications de fichiers systèmes et même un mystérieux exécutable caché dans un dossier Temp. De quoi transformer la machine en parfait zombie à la solde des pirates !
Et Windows XP dans tout ça ? Pareil, 10 minutes chrono pour chopper un premier trojan « conhost.exe ». S’en sont suivis la création d’un compte administrateur, l’apparition d’un serveur FTP ouvert aux quatre vents, et tout un tas de saletés en provenance de Russie, le tout bien planqué dans le système. En bonus, un malware s’est même amusé à éjecter Malwarebytes, l’anti-virus qu’Eric avait installé. Bref, un joyeux bazar et une prise de contrôle totale de la machine, malgré un semblant de résistance du pare-feu intégré de XP.
Alors oui, ces expériences peuvent paraître un peu artificielles. Après tout, qui serait assez fou pour connecter directement un Windows préhistorique sur le net aujourd’hui ? Mais elles illustrent bien les progrès en matière de sécurité, et l’importance cruciale des protections réseau modernes (merci le NAT et les pare-feu !).
Et la morale de l’histoire ?
Primo, ne jamais sous-estimer les vieux Windows, ils sont toujours aussi vulnérables qu’à l’époque. Deuxio, faites tourner vos antiquités dans une VM ou un réseau isolé si vous y tenez. Tertio, soyez vigilants même sur les OS récents, les hackers affinent toujours leurs techniques pour exploiter la moindre faille.
Vous débarquez dans votre laverie automatique préférée, les bras chargés de linge sale, et là, magie magie, grâce à une petite bidouille bien sentie, vous pouvez lancer une lessive gratuite, sans débourser un centime. C’est le rêve, non ? Eh bien, figurez-vous que c’est exactement ce qu’ont réussi à faire des étudiants un peu hackers sur les bords.
Alexander Sherbrooke et Iakov Taranenko, 2 petits génies de l’université de Santa Cruz, ont découvert une faille de sécurité dans le système des laveries connectées de CSC ServiceWorks. Je vous parle quand même d’un réseau de plus d’un million de machines à laver installées un peu partout dans le monde, des campus universitaires aux hôtels en passant par les résidences. Bref, un sacré parc de machines qui tournent à plein régime.
Pour y arriver, ils ont bidouillél’API utilisée par l’appli mobile CSC Go. Pour ceux qui ne sont pas familiers avec le jargon technique, une API c’est un truc qui permet à des applis et des appareils de communiquer entre eux au travers du réseau. Dans le cas présent, l’appli CSC Go permet aux utilisateurs de recharger leur compte, de payer et de lancer un cycle de lavage sur une machine proche. Cependant, les serveurs de CSC ne vérifiaient pas correctement qui avait le droit de faire quoi. N’importe qui peut entrer et faire ce qu’il veut. Et c’est exactement ce qu’ont fait nos deux compères.
En analysant le trafic réseau pendant qu’ils utilisaient l’appli CSC Go, Alexander et Iakov ont réussi à court-circuiter les contrôles de sécurité pour envoyer des commandes directement aux serveurs de CSC. Résultat des courses : ils ont pu modifier leur solde, ajouter des millions de dollars virtuels pour le budget lessive, et même localiser et interagir avec toutes les machines du réseau CSC ServiceWorks.
Bien sûr, avoir la lessive gratuite, c’est cool. Mais Alexander et Iakov ont surtout voulu montrer les dangers d’avoir des appareils connectés à Internet sans une sécurité au top. Le pire dans l’histoire, c’est qu’ils ont prévenu CSC ServiceWorks de la faille à plusieurs reprises depuis janvier, mais la société n’a jamais répondu. Pourtant, un simple petit formulaire de contact pour signaler les problèmes de sécurité, ça ne coûte pas bien cher et ça peut éviter de gros dégâts… J’espère juste que ces derniers ne préparent pas une action en justice…
Évidemment, bidouiller des machines à laver pour avoir des lessives gratuites, ce n’est pas l’attaque du siècle mais cela montre qu’il y a encore du boulot côté sécurité pour tous ces objets connectés. Alors pour se protéger de telles vulnérabilités, il est crucial de sécuriser les API en effectuant la vérification des commandes côté serveur plutôt que côté client et en utilisant des tokens d’authentification sécurisés.
En attendant, si vous croisez Alexander et Iakov sur leur campus, vous pouvez leur donner vos slips sales, ils savent y faire pour vous les rendre plus blanc que blanc. ^^
Les codes PIN de quatre chiffres sont fréquents dans le quotidien des individus : pour leur carte bancaire, pour un coffre-fort, pour la carte SIM, pour déverrouiller un smartphone ou pour accéder à un service en ligne. Certaines séquences sont toutefois bien plus utilisées que d'autres.
Cet article a été réalisé en collaboration avec Bitdefender
Vous avez un doute sur la fiabilité d’un message ? Demandez donc au nouveau chatbot gratuit Scamio de Bitdefender ce qu’il en pense.
Cet article a été réalisé en collaboration avec Bitdefender
Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.
Les codes PIN de quatre chiffres sont fréquents dans le quotidien des individus : pour leur carte bancaire, pour un coffre-fort, pour la carte SIM, pour déverrouiller un smartphone ou pour accéder à un service en ligne. Certaines séquences sont toutefois bien plus utilisées que d'autres.
Cet article a été réalisé en collaboration avec Bitdefender
Vous avez un doute sur la fiabilité d’un message ? Demandez donc au nouveau chatbot gratuit Scamio de Bitdefender ce qu’il en pense.
Cet article a été réalisé en collaboration avec Bitdefender
Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.
Vous l’avez peut-être remarqué, mais ces derniers temps, les vulnérabilités dans les routeurs et autres équipements réseau se multiplient comme des petits pains. Et quand je dis petits pains, je parle plutôt du genre rassis et moisi qui traîne depuis des années dans un placard. C’est le cas de deux failles qui touchent les routeurs D-Link DIR-600 et DIR-605, qui viennent d’être ajoutées par la CISA à son catalogue des vulnérabilités activement exploitées par les pirates malveillants.
La première, CVE-2014-100005, permet à un attaquant de changer la configuration du routeur DIR-600 à distance, sans avoir besoin de se connecter. Comment ? Et bien grâce à une bonne vieille faille CSRF (Cross-Site Request Forgery), cette faille bien connue des années 2000 qui fait toujours des ravages en 2024. Il suffit que l’admin du routeur visite une page web piégée, et hop, l’attaquant peut faire ce qu’il veut de la config !
La deuxième, CVE-2021-40655, est une fuite d’informations dans l’interface web du DIR-605. En forgeant une requête HTTP POST vers la page « /getcfg.php », un petit malin peut récupérer en clair le nom d’utilisateur et le mot de passe de l’administrateur. Ça fait rêver, n’est-ce pas ?
La CISA précise que ces failles sont activement exploitées, mais ne donne pas plus de détails.
Le plus rigolo, c’est que la première faille date de 2014 et concerne un modèle qui n’est plus supporté depuis belle lurette. Donc si vous avez encore un DIR-600 qui traîne, il est plus que temps de le mettre à la retraite et de passer à un modèle plus récent. Pour la deuxième, pas de patch connu à ce jour, donc restez vigilants.
Mais ce n’est pas fini puisque d’autres chercheurs de SSD Secure Disclosure ont aussi trouvé des failles 0-day dans le routeur D-Link DIR-X4860. En combinant un contournement d’authentification et une injection de commande, un attaquant pourrait prendre le contrôle total de l’appareil, avec les privilèges root s’il vous plaît. Bref, le routeur est complètement compromis.
D-Link a été prévenu il y a un mois, mais n’a toujours pas réagi. Les détails techniques sont disponibles sur le blog de SSD, avec même un PoC prêt à l’emploi. La faille touche la version de firmware 1.04b03. Donc, si vous avez ce modèle, vérifiez votre version et espérez que D-Link réagisse rapidement et publie un correctif.
En attendant, la meilleure chose à faire est de garder son routeur à jour, de changer les mots de passe par défaut et de désactiver les fonctions dont on n’a pas besoin, comme l’accès à distance. Et pourquoi pas flasher son vieux routeur avec un firmware alternatif comme OpenWrt ou DD-WRT, qui sont généralement plus sûrs et plus à jour que les firmwares constructeurs ?
Comme vous le savez déjà, la sécurité en ligne est un océan qui subit assez souvent tempêtes et raz-de-marée. Il est donc essentiel de se munir d’outils efficaces pour naviguer en toute tranquillité. C’est là que Surfshark One se distingue, offrant une solution tout-en-un pour protéger votre présence numérique.
À la base reconnu comme l’un des meilleurs VPN sur le marché, Surfshark a élargi son horizon pour inclure une suite complète de sécurité depuis maintenant quelques années. Avec One, vous ne disposez pas seulement de l’option Surfshark VPN, mais d’un éventail complet d’outils pour garder votre vie en ligne le plus safe possible.
Au cœur de Surfshark One se trouve son antivirus, alimenté par le moteur reconnu d’Avira. Cette protection en temps réel garde un œil vigilant sur votre activité en ligne, détectant les virus, les logiciels malveillants et les menaces zero-day. Avec des mises à jour toutes les trois heures, ses définitions restent constamment au taquet pour faire face aux dernières menaces du cyberespace.
Et ça, c’est plutôt appréciable parce qu’en ce moment ça fuse de tous les côtés. Si vous me lisez régulièrement vous avez dû voir passer mes articles sur diverses failles ces dernières semaines. C’était encore le cas il y a quelques jours avec une campagne de malware et de phishing assez énorme qui a touché les utilisateurs de Docker Hub. Sur les 15 millions de dépôts existants, pas moins de 20% étaient contaminés par des logiciels foireux, allant du simple spam au malware (source). Et c’est d’autant plus flippant que cette faille existe depuis …. 2021, je vous laisse imaginer les dégâts au fil des années.
C’est là que Surfshark One va s’avérer assez utile puisqu’il vous empêchera de télécharger « par distraction » (je ménage les égos ^^) un fichier foireux sur votre machine. Il va pour cela utiliser une sorte de zone tampon entre le serveur d’origine et votre ordinateur. Si l’analyse ne lui convient pas, il bloquera simplement le fichier qui n’aura pas eu le temps de vous atteindre. Impossible de télécharger une bouse par inadvertance ou parce que vous faites confiance à un site qui ne le mérite pas.
Mais l’outil ne s’arrête pas là. La suite comprend également un moteur de recherche privé, qui fournit des résultats non biaisés et sans publicités. Contrairement aux grands moteurs de recherche qui pistent vos activités, Surfshark Search respecte votre vie privée en ne collectant pas vos données de recherche. Je ne vous détaille pas la fonction de création d’identité alternative, j’en ai déjà fait un article.
Un autre atout majeur de Surfshark One est son système d’alerte intégré. Ce système surveille en permanence les fuites de données sur Internet et vous avertit dès que vos informations personnelles sont compromises. Que ce soit votre adresse e-mail, vos identifiants de connexion ou vos informations de carte de crédit, il vous informe immédiatement pour que vous puissiez prendre les mesures nécessaires pour protéger vos comptes. Et pour vous empêcher de paniquer, l’outil vous guide sur les actions à entreprendre en priorité.
Ce côté monitoring est vraiment intéressant pour la plupart d’entre vous. Parce que la majorité n’a sans doute pas forcément le temps (ou l’envie) de surveiller l’actu cybersécurité au quotidien. De mon côté ça fait un peu partie de ma veille (et quand je rate un truc important on me le remonte sur Twitch lors de mes émissions), mais si ce n’est pas votre cas vous avez au moins une équipe qui bosse pour vous.
Autre bon point de cette suite c’est sa flexibilité. Disponible sur plusieurs OS et plateformes (Windows, Mac, ordinateur ou smartphone …), elle couvrira toutes vos machines (nombre illimité) et dispose d’une interface ultra simple à maitriser.
En termes de tarification, Surfshark propose une gamme d’options flexibles pour répondre à vos besoins spécifiques. Des abonnements à partir de 3,19 € par mois (TTC) pour un engagement de 26 mois sont disponibles (abonnement 1 an + 3 mois offerts). Avec toujours la possibilité d’essayer la suite avec 30 jours de garantie satisfait ou remboursé.
En résumé, si vous recherchez une solution complète pour sécuriser votre présence en ligne, l’outil offre une réponse robuste et efficace. Avec son antivirus puissant, son moteur de recherche privé et son système d’alerte contre les violations de données, Surfshark One vous donne la tranquillité d’esprit nécessaire pour naviguer en toute sécurité dans le monde numérique d’aujourd’hui. Et si vous voulez encore plus, vous avez l’option One+ qui intègre le service Incogni (dont j’ai aussi parlé de multiples fois).
Connexion
A votre avis, est-ce une bonne idée de se connecter à Internet avec un PC équipé d’un système d’exploitation obsolète ? La réponse est…
