Ingénierie sociale sur Internet : quand le Web devient un outil d'influence et de leurre

La veille d'un week-end ensoleillé d'août dernier fut subitement publié un outil exploitant une vulnérabilité de déni de service visant toutes les versions du serveur web Apache.Une exploitation réussie de cette faille est inhabituellement dévastatrice : il est possible de rendre indisponible un serveur web vulnérable en envoyant simplement quelques dizaines de requêtes malveillantes.Cet article décrit les principes de fonctionnement de cette vulnérabilité ainsi que les différentes solutions pour s'en prémunir. Enfin, il rappellera que les attaques de déni de service peuvent également servir à d'autres finalités que la « simple » rupture de service.

Les empreintes des mots de passe des comptes utilisateurs sous Windows sont stockées à deux endroits, dans la base de données SAM (Security Accounts Manager), locale pour un système Windows ou dans les structures Active Directory sur un contrôleur de domaine.Cet article propose de fournir les clés afin de pouvoir extraire de manière fiable (la stabilité du système cible ne devant pas être affectée) et sur un maximum de systèmes Windows, aussi bien en 32 bits qu'en 64 bits, les empreintes des comptes locaux d'une part et les empreintes des comptes de domaine d'autre part.

En entreprise, l’analyse d’un malware lié à un incident de sécurité est une activité pouvant être réalisée à divers niveaux, en fonction de plusieurs paramètres : degré d’urgence, sensibilité de l’incident, but poursuivi, … Il peut être intéressant dans tous les cas d’obtenir en quelques minutes une première estimation des capacités du malware et de ses communications avec l’extérieur, ou encore de savoir rapidement quels fichiers il crée sur le système. C’est dans ce cadre qu’a été développé Cuckoo Sandbox, un bac à sable automatisé d’analyse de malware en environnement virtuel.

Internet s’est révélé assez rapidement comme le média incontournable pour diffuser de l’information, qu’elle soit vraie ou fausse, au plus large public possible. Mais c’est entre 2009 et 2010 que nous avons pu prendre pleinement conscience de la portée de ce vecteur de rumeurs et de malveillances capable de faire une star d’une inconnue en moins d’une semaine (la vidéo de la chanteuse anglaise Susan Boyle a été vue par cent millions d’internautes en moins d’une semaine et a fait d’elle une star mondiale pendant quelque temps). Mais aussi de nuire, voire de pousser au suicide des personnes fragiles ou encore de déstabiliser des multinationales et d’ébranler des gouvernements.

L’ingénierie sociale regroupe une classe d’actions dont le but de l’émetteur est d'obtenir ce qu’il veut du récepteur. Autrement dit, le premier exerce une influence sur le second. Dans un contexte de sécurité informatique, ces actions constituent des attaques, éthiquement répréhensibles, menées soit oralement, soit par mail, soit directement sur l’Internet (les réseaux sociaux en premier lieu mais aussi les forums de discussion voire les messageries instantanées). Dans un contexte économique, ces actions s’inscrivent dans une démarche légale et de surcroît nécessaire aux entreprises dès lors que leur marché s’internationalise. Ces deux contextes d’influence ont un média en commun : l’Internet. Ainsi, l’Internet peut être vu comme un moyen d’influer pour les entreprises aussi bien dans un contexte de sécurité informatique que dans un contexte économique. Mais ce moyen est contournable, manipulable : c’est ce dernier aspect qui nous intéresse dans cet article.

L’ingénierie sociale à but économique (ou competitive social engineering) est une catégorie bien particulière de social engineering qui a pour objectif de ne recueillir que des informations dont l’analyse et le traitement peuvent conduire à des renseignements de nature à obtenir un avantage concurrentiel. Elle intéresse donc les entreprises mais aussi les États, notamment pour les secteurs stratégiques que sont l’énergie, la défense, l’innovation dans les nouvelles technologies ou pour investir via des fonds souverains. Toutes les actions d’ingénierie sociale s’effectuant à partir de renseignements préalables de nature humaine ou électronique, l’objectif de cet article est de créer intentionnellement des leurres sur l’Internet pour influencer la concurrence, la désinformer et la déstabiliser. Dans cet article, nous allons détailler ces concepts qui reposent tous sur une déclinaison des pots de miel informatiques.

Depuis quelques années, les imprimantes multifonctions (Multi Function Printer) ont beaucoup évolué en intégrant de nouvelles fonctionnalités : fax, stockage des données sur disque dur, serveurs FTP, serveur mail, serveur web, partages réseau, etc.La plupart des entreprises considèrent encore ces MFP comme un simple périphérique d’impression ou de reprographie, parfois dotés d’un media de stockage pouvant exposer des informations sensibles. Mais beaucoup ignorent qu’en réalité ils connectent un serveur, une boîte noire, souvent laissée dans sa configuration par défaut, à leurs réseaux et par lesquels transitent des informations souvent très sensibles.L’audit de MFP est, de par la nature de ces périphériques, un sujet à la fois abondamment traité et à la fois mal connu. Toute la difficulté d’auditer et de sécuriser ce type de système vient de la dualité entre un système standard - un périphérique IP muni d’un disque dur interagissant via des protocoles standards - et l’aspect boîte noire, chaque modèle étant très spécifique.Cet article est articulé en deux parties, la première traitant de l'audit et la deuxième partie de la sécurisation des MFP ; en gardant une approche duale, présentant à la fois les grands principes et des exemples précis.

Pendant votre sommeil, votre iPhone raconte parfois à Apple où vous avez passé votre journée. C'est l'intéressante découverte que nous avons faite en étudiant les mécanismes de géolocalisation de ce smartphone. Mais pour en arriver là, il a d'abord fallu déchiffrer les communications SSL de notre téléphone cobaye et en analyser le contenu. Une enquête détaillée pas à pas dans cet article.

La prise d'empreinte d'un appareil réseau consiste en la mesure de son trafic afin d'identifier l'appareil lui-même ou certaines de ses caractéristiques techniques.La prise d'empreinte est une technique bien connue lorsqu'elle est appliquée à la reconnaissance des systèmes d'exploitation, avec des outils populaires comme NMAP ou SinFP. Cette technique est moins connue lorsqu'elle est appliquée à la reconnaissance d'appareils 802.11. Pourtant, depuis 2005, environ trente articles consacrés à ce sujet ont été publiés. Plusieurs outils ont vu le jour, comme BAFFLE [3] ou WiFinger [9].Dans cet article, nous décrivons diverses méthodes de prise d’empreinte 802.11 : test actif d’implémentation [4], test passif d’implémentation [7], mesure de dérive d’horloge [10, 12]. Nous illustrons le fonctionnement pratique de ces méthodes à l’aide de scripts et nous indiquons les possibilités d’évasion connues.

Cet article décrit comment les configurations des équipements réseau sont devenues dynamiques grâce à la possibilité d’embarquer de véritables programmes pouvant les modifier à la volée. De plus, il décrit aussi les dangers de sécurité associés et donne quelques recommandations.

Du fait de l'apparition de l'infogérance, de l'externalisation dans les années 1980, puis de l'accessibilité de l'informatique dans les années 1990, et durant la dernière décennie, de la généralisation de l'Internet ; nous assistons aujourd’hui à l’explosion du cloud computing. Ce concept fait référence à l’utilisation des capacités de mémoire et de calcul des ordinateurs et des serveurs répartis dans le monde entier et liés par un réseau. L’accès aux données et aux applications peut ainsi se faire à partir de n’importe quel périphérique connecté. En d’autres termes, le cloud computing permet de s’affranchir des contraintes traditionnelles et d’avoir une approche modulaire selon le besoin. Dans ce contexte international mutualisé, ces services nécessitent donc la rédaction de contrats afin d'appréhender les responsabilités de chacun des intervenants ainsi que la prise en compte des formalités imposées par la CNIL.