Septembre / Octobre 2016

Misc 87

Social Engineering :
Découvrez les techniques de manipulation et apprenez à les déjouer !

1 - Quelles sont les méthodes de manipulation les plus efficaces ?

2 - Détecter et prévenir les attaques

3 - Mise en place d’une fausse campagne de phishing pour sensibiliser et évaluer son niveau de sécurité

4 - Business E-Mail Compromised : fraude aux faux ordres de virements internationaux

En savoir plus

8,72 € TTC

Anciens Numéros

LIVRAISON OFFERTE en France Métropolitaine à partir de 50€
Misc 136

Misc 136

Novembre / Décembre 2024
14,59 €
Misc HS 30

Misc HS 30

Octobre / Novembre 2024
14,59 €
Misc 135

Misc 135

Septembre / Octobre 2024
12,63 €
Misc 134

Misc 134

Juillet / Août 2024
12,63 €
Misc HS 29

Misc HS 29

Juin / Juillet 2024
14,59 €
Misc 133

Misc 133

Mai / Juin 2024
12,63 €
Misc 132

Misc 132

Mars / Avril 2024
12,63 €
Misc HS 28

Misc HS 28

Février / Mars 2024
14,59 €
SOMMAIRE :

Pentest Corner

p. 04 Contournement d’AppLocker via Powershell

Malware Corner

p. 08 Automatisation d'une obfuscation de code VBA avec VBad

Forensic Corner

p. 16 Arrêtez de grogner avec GRR Rapid Response !

Dossier

p. 24 Préambule
p. 25 Techniques de manipulation
p. 32 Business e-mail compromise
p. 38 L’hameçonnage au service de la sécurité
p. 44 Social engineering : identifier la menace

Code

p. 50 Pourquoi inclure la sécurité dans votre pipeline DevOps ?
p. 56 Sécurité des véhicules connectés et/ou autonomes

Cryptographie

p. 66 Les attaques sur RSA : de la théorie à la pratique

Système

p. 76 Analyse de la sécurité d'un bracelet sportif

EDITO :

Arrête de ramer, t’es sur le sable

L’été 2015 se terminait avec comme principale actualité à nous mettre sous la dent le piratage des données d’Ashley Madison et la mise en pâture d’une kyrielle de données nominatives d’utilisateurs réels (ou pas) qui se seraient bien passés d’apparaître dans ces listings. Durant l’été 2016, après la publication de milliers de courriels internes du parti démocrate américain, ce sont des exploits ciblant des 0days et affectant les principaux constructeurs d’équipements réseau qui auraient été volés à la NSA et qui se retrouvent dans la nature. Dans les deux cas, si une fuite interne n’est pas à exclure, des regards se sont tournés vers des groupes de pirates russes qui seraient liés aux services de renseignements du Kremlin. Autant dire que si l’une ou l’autre des intrusions est confirmée on franchit quelques marches quant à la technicité requise pour réussir à voler ces données.

Et puis, après la très médiatisée victoire de l’intelligence artificielle de Google au jeu de go et le concept de « Deep Learning » qui dépasse en matière de Hype celui de « Big Data », les ordinateurs commencent à se mesurer aux informaticiens pour la recherche de vulnérabilités. Début août à la DEF CON, dans le cadre du « Cyber Grand Challenge » du DARPA, des programmes informatiques se sont affrontés pour trouver des failles et les corriger avec à la clef une récompense de $2.000.000 [1]. Les résultats semblent des plus spectaculaires et les machines devraient pouvoir être utilisées prochainement pour trouver des failles de manière un peu plus subtile qu’en faisant du fuzzing sur des pétaoctets de données. Ceci démontre également à nouveau que la frontière devient de plus en plus floue entre ce qui était réalisable par des machines et ce qui semblait hier encore largement hors de leur portée : l’apanage unique de l’esprit humain.

Enfin, cet été a également été émaillé de nouvelles rodomontades du gouvernement sur le thème de la cryptographie et de la nécessité, pour les services étatiques, de pouvoir déchiffrer les communications [2]. En lisant entre les lignes, il s’agit ni plus ni moins d’imposer aux éditeurs de logiciels chiffrant des données (donc en 2016 à peu près tous les logiciels qu’ils soient libres ou propriétaires) d’intégrer une clef de recouvrement ou, plus trivialement, une backdoor. Je ne vais pas m’appesantir sur l’impossibilité technique de généraliser ce type de règlementation à des logiciels libres, la difficulté d’imposer une telle mesure à des éditeurs étrangers, la facilité avec laquelle les terroristes pourront contourner ces limitations en utilisant des logiciels maison, le risque encouru en cas de perte de la clef privée ou encore sur les difficultés que pourrait entraîner ce type de loi pour la vente de solutions souveraines en dehors de nos frontières. Notre ministre de l’intérieur aurait tout intérêt à écouter l’avis des services étatiques compétents en matière de cryptographie, et tout particulièrement l’ANSSI, dont le directeur écrivait en début d’année que l’« affaiblissement généralisé serait attentatoire à la sécurité numérique et aux libertés de l’immense majorité des utilisateurs respectueux des règles tout en étant rapidement inefficace vis-à-vis de la minorité ciblée ».

Finalement, il restera certainement un domaine pour lequel l’être humain gardera sa supériorité, c’est sa capacité à prendre des décisions irrationnelles en étant certain d’avoir raison contre tous sur un sujet qu’il ne maîtrise pas.

Bonne lecture !

La publication technique des experts de la sécurité offensive & défensive

Face à la transformation digitale de notre société et l’augmentation des cybermenaces, la cybersécurité doit être aujourd’hui une priorité pour bon nombre d’organisations. Après plus de 20 années de publications et de retours d’expérience, MISC apporte un vivier d’informations techniques incontournable pour mieux appréhender ce domaine. Précurseur sur ce terrain, MISC a été fondé dès 2002 et s’est peu à peu imposé dans la presse française comme la publication de référence technique en matière de sécurité informatique. Tous les deux mois, ses articles rédigés par des experts du milieu vous permettront de mieux cerner la complexité des systèmes d’information et les problèmes de sécurité qui l’accompagne.

Introduction au dossier : Entre la chaise et le clavier
MISC n°87

Il est bien connu des attaquants que la cible à privilégier pour réussir une attaque est le maillon le plus faible. Sans se montrer exagérément pessimiste quant à la nature humaine, il y a fort à parier que dans bien des cas ce maillon est l’humain, car, comme l’a écrit Bruce Schneier, « Given a choice between dancing pigs and security, users will pick dancing pigs every time ».

Techniques de manipulation
MISC n°87 Free

Au fil des années, les systèmes contribuant à la sécurité se multiplient et se complexifient : IDS/IPS, systèmes de supervision, d'agrégations et corrélations de logs… Les entreprises ont tendance à oublier que l'humain est à la base de l'entreprise, à la fois le principal potentiel problème de sécurité ainsi que sa meilleure solution.

Attaque d'un bracelet sportif
MISC n°87 Free

Lecteurs de MISC, êtes-vous sportifs ? Si oui, alors vous avez sûrement déjà entendu parler de ces bracelets connectés qui mesurent votre activité physique. Il en existe une multitude, pour ne citer que le Fitbit Flex ou Charge, Xiaomi MiBand, Misfit Flash... Et si vous n'êtes pas sportif, ne partez pas en courant : cet article vous demandera au plus un peu de gymnastique cérébrale afin de découvrir une attaque sur le Fitbit Flex.

Ce magazine est intégralement disponible sur Linux Magazine Connect
© 2024 - LES EDITIONS DIAMOND