Chasse au bug : Facebook a déjà offert 40 000 dollars de prime

La chasse au bug lancée à la fin du mois de juillet 2011 par Facebook a rencontré le succès auprès des développeurs et experts en sécurité. Le réseau social annonce avoir déjà versé 40 000 dollars de récompense. Un chasseur de bug a même touché plus de 7 000 dollars pour avoir signalé l’existence de six failles. En effet, si Facebook a fixé à 500 dollars la récompense versée pour la découverte d’un bug, il s’est dit prêt à augmenter la prime si l’importance de la trouvaille le méritait.

Facebook garde sous silence le nombre de personnes récompensées, ce qui rend impossible l'évaluation du nombre de failles détectées, mais le réseau indique que les chasseurs de bug sont issus de multiples pays, comme la Turquie ou la Pologne.

Source : www.01net.com

Google Chrome victime d’une faille critique sous Windows

Windows, une corruption de la mémoire a pu être constatée. Touchant les couches basses de l’application, elle permet de passer outre le bac à sable intégré à Chrome, de prendre potentiellement le contrôle de la machine de l’utilisateur à distance. La mise à jour du butineur est donc vivement recommandée. Fort heureusement, elle sera réalisée automatiquement. Notez qu’aucune des autres failles corrigées ne permet de passer au travers du bac à sable de Chrome.

Google a versé un total de 8837 dollars aux personnes ayant découvert ces différentes vulnérabilités. Une mise à jour dédiée aux Chromebooks (Acer AC700, Samsung Series 5 et le Cr-48) est également de la partie. Elle corrige exactement les mêmes failles. Enfin, si Google n’a pas communiqué à ce sujet, nous pouvons présumer que Chrome Frame (le module permettant d’installer le moteur de Chrome au sein d’Internet Explorer) a lui aussi été mis à jour.

Rappelons que le navigateur web Google Chrome est aujourd’hui utilisé par plus d’un internaute sur cinq

Source : www.silicon.fr

Un hacker de Facebook est jugé en Grande-Bretagne

Un hacker de 25 ans est actuellement entendu par la justice pour avoir réussi à se défaire des mesures de sécurité de Facebook. Glenn Steven Mangham aurait visité plusieurs fois les serveurs du réseau social.

En Grande-Bretagne, la Cour de Westminster juge le cas de Glenn Steven Mangham. Cet étudiant de 25 ans est accusé de s'être introduit de manière frauduleuse dans les serveurs de Facebook. Ces actes répétés ont été repérés par Scotland Yard et le hacker a ensuite été arrêté par les services de police.

Concrètement, le hacker était parvenu à pénétrer plusieurs serveurs de Facebook. Dans premier temps, le hacker s'était attelé à s'introduire sur le « puzzle server » du réseau ( un serveur spécial dédié aux développeurs pour tester leurs capacités). Par la suite, Mangham avait notamment concentré ses attaques sur le serveur utilisé pour la gestion de la messagerie interne de Facebook (Mailman).

Pour sa défense, cet anglais a tenu à préciser qu'aucune donnée personnelle n'a été compromise. Toujours est-il que pour éviter que le jeune homme ne puisse à nouveau répéter ses actes, la justice a décidé de le priver de ses appareils électroniques. Selon The Telegraph, Mangham s'est donc vu interdire tout accès à un ordinateur ou même un smartphone jusqu'à ce que son procès soit terminé...

De son côté, la justice va devoir décider dans les jours à venir si elle souhaite ou non infliger une sanction à ce hacker. Elle pourrait prendre en compte la politique de sécurité du réseau social qui a ouvert la possibilité de rapporter une éventuelle faille de sécurité auprès des responsables du site. Pour sa part, Facebook a confirmé qu'aucune donnée n'avait été volée lors de ces intrusions, toutefois, la firme n'a pas non plus indiqué si une éventuelle notification de sécurité lui avait été envoyée par Glenn Steven Mangham.

Source : www.clubic.com

96% des attaques informatiques peuvent être évitées

Si les solutions de sécurité se développent, les armes des cybercriminels aussi. Que ce soit par des moyens techniques (attaques massives, automatisées ou manuelles, ciblées ou non, nouvelles générations de malwares, vols et exploitations de données, etc.) ou par manipulation humaine (phishing, ingénierie sociale, etc.), les tentatives d’intrusion des systèmes d’information des entreprises ne cessent d’augmenter.

En témoigne le rapport Verizon Data Breach Investigations Report 2011 (DBIR), élaboré en collaboration avec les Services secrets américains et la Dutch national high tech crime unit (NHTCU), qui dresse l’état des lieux de la cybercriminalité dans le monde sur ces sept dernières années (soit quelques 1700 infractions étudiées représentant plus de 900 millions de fichiers compromis).

Pour échapper à ces attaques «peu sophistiquées», Verizon propose une série de recommandations simples et néanmoins fondamentales pour la sécurité des entreprises, quelle que soit leur taille, grands comptes comme PME :

• Se concentrer sur les contrôles essentiels : beaucoup d’entreprises font l’erreur de viser un très haut niveau de sécurité sur certains points tout en négligeant complètement les autres. On est bien mieux protégé lorsque les normes élémentaires sont appliquées dans l’ensemble de l’organisation, sans aucune exception.

• Ne conserver que les données utiles : si vous n’avez pas besoin de ces données, ne les conservez pas. En revanche, les données utiles doivent impérativement être identifiées, surveillées et stockées en lieu sûr.

• Sécuriser les services d’accès à distance : restreindre les autorisations à des réseaux et adresses IP prédéfinis, pour limiter les accès publics. Les entreprises ont aussi intérêt à restreindre l’accès aux informations sensibles au sein du réseau.

• Surveiller les comptes des employés ayant les droits les plus larges : la meilleure approche consiste à faire confiance à l’utilisateur après avoir vérifié sa probité lors de l’embauche, et en lui accordant des droits d’accès limités en fonction de son rôle ou de ses responsabilités. Les managers doivent fournir des consignes de sécurité claires et vérifier que les collaborateurs respectent effectivement les règles et procédures en place.

• Vérifier régulièrement les comptes utilisateurs : s’assurer que les comptes actifs sont valides, utiles, correctement configurés et que les droits d’accès correspondants sont adéquats (les moins permissifs possibles).

• Gérer et analyser les logs (fichiers-journaux) : il ne s’agit pas de les étudier par le menu, mais de s’intéresser aux principaux problèmes. L’important est d’abaisser le délai de détection des infractions à quelques jours seulement, contre des semaines, voire des mois. Pour protéger au mieux les données, privilégier les processus de surveillance et d’alerte les plus intelligents, efficaces et réactifs.

• Sensibiliser les employés aux méthodes d’ingénierie sociale et aux différents vecteurs d’attaques qu’elles représentent : leur apprendre à s’interroger avant de cliquer sur un lien et à se méfier des pièces jointes aux e-mails dont ils ne connaissent pas l’expéditeur.

Source : www.silicon.fr

Les achats avec son smartphone en toute sécurité

Aujourd’hui 7% des français utilisent leur téléphone portable de type smartphone pour effectuer des achats.

Comment acheter en ligne ?

Quelles sont les précautions à prendre pour s’assurer que ces transactions sont suffisamment sécurisées ? Comment acheter en ligne depuis son téléphone ?

Il existe trois manières d'acheter sur son mobile :

1 - Récupérer des sonneries et fonds d’écran en appelant un numéro ou en envoyant un SMS, généralement surtaxé, qui sera facturé directement sur la facture de l’opérateur.

2 - Accéder à un site marchand en utilisant le navigateur du téléphone et faire des achats comme avec un ordinateur. Certains sites proposent une version mobile pour améliorer le confort de lecture.

3 - Passer par le magasin d’applications (de type App Store ou Android Market). Le prix de l’application est alors payé au gestionnaire du magasin d’applications, comme par exemple l’App Store, mais les produits achetés sont payés directement au marchand en ligne (...).

Quelles sont les mesures de sécurité prises par les responsables de site pour protéger les informations fournies par les clients ?

Le responsable du site doit mettre en place des garanties pour assurer la confidentialité et la sécurité des informations enregistrées. Il peut s’agir d’utiliser des systèmes sécurisés, de crypter certaines informations, ou de mettre en place des habilitations afin que tout le monde n’accède pas aux informations fournies par les clients.

Concernant la sécurité : comment être sûr que son numéro de carte bleue ne sera pas intercepté?

De façon générale, la CNIL recommande de faire preuve de prudence et de ne fournir ses données bancaires qu’aux sites et applications dans lesquelles vous avez confiance.

Lorsque vous achetez en passant par le navigateur du téléphone, il faut vérifier que le site dispose d’une connexion sécurisée, c’est-à-dire que l’adresse du site commence par https (un cadenas apparaît généralement dans la fenêtre du navigateur).

En revanche, dans le cas d’achats via des applications, il n’est pas possible de vérifier si la connexion est sécurisée, car aucune barre d’adresse n’est affichée. Il faut donc se reporter aux conditions générales d'utilisation ou aux FAQs présentées sur le site mobile pour voir si l’application sécurise les transactions (on parle de HTTPS ou de SSL).

Que faire en cas de problème ?

Sachez que vous pouvez contacter votre banque pour annuler un paiement par carte pour lequel vous n’avez pas saisi de code secret. Vous pouvez également déposer une plainte à la CNIL si vous pensez qu’un marchand ne respecte pas son obligation de sécurité.

Source : www.cnil.fr

Mozilla lance une nouvelle version de Firefox

La fondation Mozilla a présenté, mardi 16 août, une nouvelle version de son navigateur Firefox. Cette version 6 est disponible sur Windows, Mac et Linux.

Pour l'usager, cette nouvelle mouture introduit quelques améliorations, comme un démarrage plus rapide du programme.

Quand l'utilisateur surfe sur le Web, le nom de domaine est également davantage mis en avant dans la barre d'adresse, afin de montrer à l'internaute qu'il est sur un site de confiance.

Cette version 6 fournit aussi plusieurs outils destinés aux développeurs. Outre sa version pour ordinateurs, Mozilla propose aussi une mise à jour pour Firefox sur les terminaux mobiles d'Android du navigateur.

Cette nouvelle version de Firefox est lancée huit semaines après Firefox 5. A l'image de Chrome, le navigateur Web conçu par Google, Mozilla propose désormais des mises à jour beaucoup plus régulières de son logiciel.

Source : www.lemonde.fr

NB : Firefox 6 est également disponible sous Android.

Emeutes : Blackberry visé par des hackers

Le groupe canadien Research in Motion (RIM) a été mardi la cible de hackers regroupés sous le nom de "Team Poison". Le constructeur du téléphone BlackBerry avait indiqué qu'il se tenait prêt à aider les autorités britanniques, après avoir été pointé du doigt suite aux émeutes qui frappent la Grande-Bretagne depuis samedi.

"Cher RIM, vous n'allez pas aider la police britannique", a écrit ce groupe jusqu'ici inconnu. "Parce que si vous le faites, les gens innocents qui étaient à la mauvaise place au mauvais moment et qui possèdent des BlackBerry seront accusés sans raison".

Les pirates ont menacé de dévoiler l'identité et les coordonnées des employés de RIM : "si vous aidez la police, nous allons rendre cette information publique et la communiquer aux émeutiers. Voulez-vous vraiment que des jeunes gens furieux attendent vos employés à leur porte ?"

Accusé d'avoir aidé les émeutiers

Des commentateurs britanniques avaient mis en cause le système à succès de messagerie du BlackBerry, BlackBerry Messenger, qui permet de transmettre des messages en circuit fermé et gratuitement à d'autres abonnés du service. Il aurait, selon eux, permis aux émeutiers d'organiser leurs déplacements sans que la police puisse intercepter leurs messages.

Source : SFR

Google++ : redoutable logiciel espion déguisé en application Android

Sous les traits d'une (fausse) application dédiée au réseau social Google+, ce logiciel malveillant peut dérober des données, enregistrer des conversations et même « écouter » ce qui se dit à proximité du terminal.

Un chercheur en sécurité travaillant pour le site Trend Micro a révélé l'existence d'un redoutable logiciel espion destiné à s'attaquer à Android : nommé "Google++", il se fait passer pour une application dédiée au nouveau réseau social de Google.

Une fois installé par l'utilisateur, le malware peut enregistrer des conversations et voler des données personnelles comme des numéros d'appels entrant, des SMS ou des données de géolocalisation. Les informations sont ensuite transmises à un serveur basé en Chine.

Capable d'écouter les conversations à proximité du smartphone

Pire, Google++ peut aussi espionner une personne en écoutant les conversations qui se tiennent à proximité du smartphone. Pour cela, le malware répond à un appel entrant d'un numéro spécial émis par le pirate après avoir au préalable mis le combiné en mode silencieux afin que la victime ne l'entende pas sonner. La ligne étant ouverte, il n'y a plus qu'à écouter ce qui se dit...

Ce piège spécifique fonctionne à partir des versions 2.2 et précédentes d'Android. Il faut cependant savoir que ce logiciel espion n'est pas diffusé sur l'Android Market officiel mais sur un app store indépendant dont Trend Micro n'a pas dévoilé le nom.

Source : www.businessmobile.fr

Vol de mots de passe par le biais d'une fausse mise à jour pour Firefox

L’éditeur Sophos alerte les internautes sur la diffusion d'e-mails invitant les utilisateurs à mettre à jour leur navigateur Firefox. C’est un piège.

L’éditeur Sophos alerte les internautes sur la diffusion d'emails invitant les utilisateurs à mettre à jour leur navigateur Firefox. C’est un piège.

La technique n’est pas nouvelle, mais elle inspire encore les pirates. Depuis ce week-end, un courrier électronique est diffusé pour prévenir les internautes de la disponibilité d’une mise à jour de Firefox visant à corriger des failles de sécurité. Le message, écrit en anglais, est signé Mozilla et propose un lien cliquable menant à une mise à jour du navigateur de la fondation. Il s’agit d’un faux, alerte l’éditeur de sécurité Sophos.

Ce lien permet bien de télécharger un installateur Firefox, mais il s’accompagne d’un programme malveillant, un cheval de Troie qui va s’installer sournoisement sur les machines de ses victimes afin de dérober des mots de passe. Le malware est référencé sous le nom TROJ/PWS-BSF par Sophos.
Ce dernier rappelle que la mise à jour de Firefox se fait depuis le navigateur lui-même et en aucun cas depuis un courrier électronique. Les dernières versions de Firefox sont également disponibles sur telecharger.com.

Source : www.01net.com

Le "roi du spam" devant la justice

Sanford Wallace, surnommé le roi du spam, est accusé d'avoir piraté près de 500 000 comptes Facebook dans le cadre de ses activités de spammeur. Plus de 27 millions de messages indésirables ont été envoyés entre 2008 et 2009. Condamné il y a deux ans à 711 millions de dollars de dommages et intérêts dans une affaire l'opposant au réseau social, il est désormais poursuivi au pénal et risque une peine de prison.

 L'étau judiciaire se resserre autour de Sanford Wallace. Celui qui est considéré comme le "roi du spam" aux États-Unis, au point d'être surnommé Spamford Wallace, pourrait bien passer les prochaines années de sa vie en prison. En effet, l'Américain de 43 ans est accusé (.pdf) d'avoir dérobé des renseignements personnels à près de 500 000 membres du réseau social Facebook afin de générer encore plus de courriers indésirables.

Pour cela, Sanford Wallace a utilisé une technique tout à fait classique, le hameçonnage (phishing en anglais) pour récupérer ces informations. Cela consiste à faire croire à un internaute qu'il se trouve sur un site de confiance pour l'inciter à communiquer des renseignements confidentiels, comme un mot de passe ou un numéro de carte de crédit. Le phishing cible essentiellement les sites bancaires, de paiement en ligne (PayPal) ou de jeux vidéo.

Un choix judicieux, puisque Sanford Wallace a pu diffuser plus de 27 millions de messages indésirables sur Facebook entre 2008 et 2009. Un méfait qui n'est pas resté impuni. Il y a deux ans, la justice américaine a condamné le roi du spam à verser 711 millions de dollars de dommages et intérêts à Facebook, dans le cadre d'une procédure civile. Cette fois, Sanford Wallace est poursuivi au pénal.

Une somme que n'avait jamais versée Sanford Wallace, se déclarant immédiatement en faillite personnelle. En 2007, l'homme avait également été condamné au civil contre un autre réseau social très connu aux Etats-Unis, MySpace. À l'époque, le juge avait fixé le montant des dommages et intérêts à 230 millions de dollars. La justice, dans les deux cas, lui avait ordonné de ne plus accéder à ces sites.

Peine perdue, puisque l'homme a cherché à se connecter à de multiples reprises, notamment au cours d'un entre Las Vegas et New York avec Virgin Airways. En début d'année, Sanford Wallace avait également créé un faux profil sous le nom de David Sinful-Saturdays Fredericks. Autant d'éléments qui ont fini par se transformer en chefs d'accusation contre le roi du spam.

Sanford Wallace a a versé mardi une caution de 100 000 dollars afin de regagner la liberté, en attendant le début de son procès. Celui-ci doit démarrer le 22 août.

Source : www.numerama.com