Attaques sur SMB

Pour tout pentesteur, Metasploit est incontournable. Grâce à ce framework, les professionnels comme les script-kiddies ont accès à une large base de données de codes d’exploitation relativement fiables, clef en main. Il suffit de quelques lignes de commandes, voire de quelques clics si on utilise Armitage, pour exploiter des vulnérabilités parfois critiques. Même pas besoin de comprendre ! Cet article ne se concentrera absolument pas sur cet aspect et tentera plutôt de vous démontrer qu’il s’agit surtout d’un merveilleux outil de gestion, bien plus efficace qu’Excel en test d’intrusion.

Issu du vocabulaire militaire, où « Red Team » et « Blue Team » s'affrontent lors des manœuvres d'exercice, ce terme est de plus en plus rencontré dans le monde de la sécurité informatique : intitulés de conférence, catalogues de formations et maintenant jusque dans les brochures commerciales des sociétés de conseil en sécurité. Une attaque « Red Team » vise donc à simuler une attaque ciblée, considérant l'entreprise « victime » comme un tout. Tous les moyens sont bons pour parvenir à ses fins, enfin, presque...

La récupération de hashes et la réalisation d'attaques Pass-The-Hash font partie des techniques les plus fréquemment mises en œuvre lors de tests d'intrusion en environnement Windows. 15 ans après la première publication sur l'attaque Pass-The-Hash, celle-ci est le B.A.-BA du pentester et une pléthore d'outils est à la disposition des attaquants. La pratique montre d'ailleurs que cette technique n'a rien perdu de son efficacité... Mais alors, comment s'en prémunir ? Quelles recommandations apporter une fois que l'on a démontré au client que son SI est vulnérable ?

Depuis quelques mois, on voit fleurir sur Internet des alertes de sécurité concernant des malwares, vulnérabilités et fuites d'informations personnelles touchant le système d'exploitation mobile de Google : Android. Il est donc légitime de se demander s'il est possible de sécuriser les données personnelles manipulées par ce système. L'objectif de cet article est de vous présenter la mise en place d'un mécanisme de chiffrement de vos données sur votre terminal Android.