Cyberwarfare

[g4lly]

Quote

L'authentification par les veines de la main hackée

Un système pas sécurisé à sang pour sang

Deux chercheurs en sécurité allemands sont parvenus à tromper un système d'authentification par les veines à l'aide d'une fausse main en cire.

À Leipzig, dans le cadre du Chaos Communication Congress (un grand rassemblement sur le thème de la sécurité informatique), des chercheurs spécialisés ont exposé comment ils sont parvenus à déjouer un système d'authentification par les veines en utilisant une fausse main faite de cire. Cette méthode d'authentification biométrique fonctionne, comme son nom l'indique, grâce à un capteur qui numérise la forme, la taille et la position des veines présentes dans la main de l'utilisateur. “Constater que cette méthode, considérée comme hautement sécurisée, peut être aussi facilement contournée vous met forcément mal à l'aise”, explique Jan Krissler, l'un des deux chercheurs à l'origine de ces travaux. Et c'est d'autant plus dérangeant que certains bâtiments aux accès hautement sécurisés modifient leurs protocoles de sécurité pour intégrer ce genre de système. C'est notamment le cas des renseignements allemands (BND), selon Motherboard qui détaille ce hack.
 

Un reflex numérique modifié, un peu de cire et un mois de travail

Il est normalement plus compliqué pour des pirates de tromper un capteur d'authentification par les veines qu'un système fonctionnant sur la base d'empreintes digitales, ce qui peut potentiellement être fait en prélevant une empreinte ou en l'usurpant à l'aide d'une photographie ou d'un scan haute résolution. Dans le cas de l'authentification par les veines, il faut — avant de chercher à duper la machine — obtenir une cartographie des veines sous la peau. Pour ce faire, ces chercheurs en sécurité ont modifié un reflex numérique, retirant le filtre anti-infrarouge présent au niveau de son capteur. Une méthode imparfaite, mais suffisante pour prendre selon eux des clichés de mains exploitables à une distance inférieure à 5 m. Cela dit, il leur a fallu 30 jours et quelque 2 500 images pour améliorer le processus et parvenir à obtenir l'image utilisée dans le cadre de leur démonstration. Une image grâce à laquelle ils ont conçu une fausse main en cire, dans laquelle ils ont implanté une fausse cartographie imprimée des veines. 

Jan Krissler et Julian Albrecht expliquent avoir contacté Fujitsu et Hitachi, deux des principaux fabricants de ce genre de capteurs, pour leur présenter les résultats étonnants de leurs recherches. Ces deux fabricants ne leur ont pas répondu, pas plus qu'ils n'ont souhaité pour le moment répondre aux questions des journalistes de Motherboard. Il s'agit désormais de voir quand et comment ils répondront au risque sécuritaire que laissent potentiellement planer de tels systèmes d'authentification. “Les fabricants améliorent leurs systèmes, les hackers arrivent et cassent leur sécurité, et cela recommence”, conclut Jan Krissler.

 

https://www.lesnumeriques.com/vie-du-net/l-authentification-par-veines-main-hackee-n82051.html

[Rob1]

J'avais vu il y a des années un système biométrique qui avait en prime une vérification que l'organe concerné était bien vivant ('me souviens plus si c'était rétinien ou à empreinte digitale), histoire d'éviter le coup de la scène gore des films d'action...

Je suis surpris qu'un truc aussi évident ne soit pas généralisé sur les systèmes actuels.

[zx]

Un piratage informatique massif secoue le monde politique en Allemagne

http://www.lefigaro.fr/secteur/high-tech/2019/01/04/32001-20190104ARTFIG00248-un-piratage-informatique-massif-secoue-le-monde-politique-en-allemagne.php

Le 03/01/2019 à 18:10, Rob1 a dit :

J'avais vu il y a des années un système biométrique qui avait en prime une vérification que l'organe concerné était bien vivant ('me souviens plus si c'était rétinien ou à empreinte digitale), histoire d'éviter le coup de la scène gore des films d'action...

Je suis surpris qu'un truc aussi évident ne soit pas généralisé sur les systèmes actuels.

ca depend de l'application,  le finger print est déjà pris en considération,  ou la reconnaissance faciale, mais ce n'est pas encore généralisé,  la frappe du clavier est important,

exemple le mot de passe que tu tape peut être permettra de savoir si c'est toi qui tape ou moi, les data scientiste travaillent dessus en ce moment. quand tu tape une phrase ou code à 8 chiffres on peut identifier la personne à gràce aux deep learning et autre technique. si elle est générée par une machine ou par un intru, couic!

La contrainte et qu'il faut un apprentissage de la machine  et l'utilisateur doit taper une dizaine de fois une phrase ou un code. mais une fois que la machine te connait, y a bon. contraignant mais efficace.

Modifié le 5 janvier 2019 par zx

[rogue0]

La DGSE a publié une offre de stage inhabituelle.
Le sujet ?
Infiltrer et surveiller les discussions dans les derniers jeux online MMO à la mode (Fortnite, PUBG, LOL)

https://www.lemonde.fr/pixels/article/2019/01/07/fortnite-pubg-league-of-legends-la-dgse-s-interesse-aux-jeux-video-multijoueur_5405890_4408996.html

https://www.intelligenceonline.fr/renseignement-d-etat/2018/12/05/la-dgse-attire-les-millenials-en-leur-faisant-hacker-fortnite%2C108335171-art?utm_source=LMR&utm_medium=email&utm_campaign=PROS_EDIT_ART&did=108199059&eid=391891

https://www.developpez.com/actu/240175/-Fortnite-PUBG-League-of-Legends-La-DGSE-recrute-pour-hacker-les-jeux-video-multijoueurs-mais-dans-quel-but/

Commentaires:

0) ça sent plutôt l'offre de stage pour faire de la pub gratuite et attirer du talent vers la DGSE et la cyberdéfense.

1) Ce n'est pas la première fois que ça arrive, et c'est leur travail de préparer les outils de surveillance.
Il y a 15-20 ans, les SR US et le FBI avaient déjà mis sous surveillance World of Warcraft, Second Life, et les réseaux style Xbox Live.
Comme tout le monde joue (y compris les cibles d'espionnage, scientifiques, et criminels), cela a aidé au recueil d'information.

https://www.theguardian.com/world/2013/dec/09/nsa-spies-online-games-world-warcraft-second-life

https://www.independent.co.uk/life-style/gadgets-and-tech/nsa-and-gchq-agents-spied-on-online-gamers-using-world-of-warcraft-and-second-life-8993432.html

2) Autre leçon de l'expérience.
Ne pas gaspiller trop de ressources si la menace n'est pas avérée.
Toujours dans le même exemple, les SR US avaient assigné une équipe entière d'agent pour surveiller Second Life pendant des années. (ou comment se faire payer à jouer au travail...)
La justification officielle était la crainte que ce soit utilisé comme canal de communication pour terroriste, ou comme un havre pour activités criminelles.

In fine, il n'y a jamais eu aucune preuve d'un usage comme canal de communication secret (gmail , et les messageries cryptées suffisaient).
Par contre, il y a bien eu des casinos virtuels dans Second Life, rapidement bannis -> Mais les activités illégales se portent très bien, dans les paradis fiscaux, les serveurs du darknet, etc.

 

[Rob1]

Politico a sorti un article sur l'arrestation d'Harold Martin, un employé de la NSA en 2016.

Il a été dénoncé par... Kaspersky, à qui il avait envoyé des tweets bizarres. Ironie, à la même époque le gouvernement US disait publiquement qu'il fallait se méfier de Kaspersky.

https://www.politico.com/story/2019/01/09/russia-kaspersky-lab-nsa-cybersecurity-1089131

[g4lly]

Apres les bout de ruban adhésif sur les webcam ...

... un industriel a trouver le filon d'un "bouchon d'oreille" pour assistant vocal trop curieux!

https://www.lesnumeriques.com/objet-connecte/alias-brouille-l-ecoute-indiscrete-assistants-domestiques-n82899.html

Il s'agit d'un brouilleur actif d'assitant vocal ... le bidule intégre un circuit électronique produisant un bruit blanc "magique" qui neutraliserait les micro de l'Amazon Echo ou du Google Home, sauf quand vous vous adressez explicitement a votre Echo ... avec les mots clef que vous avez choisi. Le bidule détecte votre mot clef ... puis répete votre commande a Echo ... la solution est opensource hardware et software - base rasperry -, plan et explication sur instructables.

[g4lly]

Quote

Amazon Rekognition : de gros actionnaires réclament son retrait ...

... En attendant des garanties

 

Discutée d'un point de vue purement éthique, la technologie de reconnaissance faciale d'Amazon fait aussi craindre des répercussions économiques aux actionnaires dans le cas où elle entraverait les droits fondamentaux des individus.

Cinq actionnaires d'Amazon détenant au total quelque 1,32 milliard de dollars d'actions de l'entreprise ont publié un document dans lequel ils exigent du PDG Jeff Bezos qu'il arrête de vendre des technologies de reconnaissance faciale aux agences gouvernementales. Une décision qu'ils souhaitent temporaire, attendant qu'un audit poussé puisse être réalisé à l'initiative du conseil d'administration de l'entreprise. Une enquête dont ils attendent qu'elle clarifie la situation en apportant des réponses concrètes à leurs craintes : Rekognition viole-t-elle ou peut-elle amener au viol des droits de l'Homme ? 
Pour rappel, cette technologie de reconnaissance faciale — déjà utilisée par certains services de police américains — peut être utilisée pour mettre en place des systèmes de surveillance de masse, alimentés par les flux vidéo de zones vidéosurveillées. Selon Open Mic, une organisation qui soutient cette initiative — au même titre que de nombreuses associations de défense des droits fondamentaux et des salariés d'Amazon —, c'est la première fois que les actionnaires d'Amazon s'en prennent ainsi à Rekognition.

Fiabilité contestée et menace pour les droits de l'Homme

Amazon, qui vend cette technologie de reconnaissance faciale à de nombreuses entreprises et organisations, a expliqué à plusieurs reprises que ce n'est pas parce qu'elle peut donner lieu à quelques abus minoritaires qu'il faudrait s'en priver. L'entreprise dirigée par Jeff Bezos a notamment affirmé que, utilisée à bon escient, Rekognition pouvait aider à empêcher le trafic d'humains et l'exploitation des enfants. Pour autant, l'American Civil Liberties Union est catégorique : cette technologie est utilisée pour opérer de la surveillance de masse, et elle ne serait pas suffisamment fiable.

Elle avait notamment identifié comme étant d'anciens criminels quelque 28 élus du Congrès américain. Cette semaine encore, 85 activistes ont envoyé des courriers à Amazon mais aussi à Google et à Microsoft pour leur demander d'arrêter de vendre de telles solutions. "La vente de Rekognition au gouvernement fait peser un risque considérable sur l'entreprise et ses investisseurs. C'est pour cela qu'il est impératif que la commercialisation de cette solution soit arrêtée sur-le-champ", estime Michael Connor, directeur d'Open Mic, qui milite pour que les actionnaires des grandes entreprises américaines gagnent en influence dans les décisions de ces dernières.

À ce jour, toutes les initiatives prises au sujet de Rekognition se sont heurtées à une direction inflexible à son sujet. Reste à savoir si, pris à partie par des actionnaires importants, les responsables d'Amazon entendront ce nouveau cri d'alarme. 

https://www.lesnumeriques.com/vie-du-net/amazon-rekognition-gros-actionnaires-reclament-son-retrait-n82971.html

[rogue0]

Vote électronique en suisse.

Le gouvernement lance un défi aux hackers, avec (modeste) "bug bounty" pour ceux qui arriveront à le pirater.
http://www.lefigaro.fr/flash-actu/2019/02/07/97001-20190207FILWWW00191-la-suisse-defie-les-hackers-recompense-a-la-clef.php

En général, ce genre de défi finit mal pour le défenseur.
Mais la faiblesse des primes réduira peut être les dégâts...

[Rob1]

Dans le dernier Joint Force Quarterly, le magazine de l'état-major interarmées US, plusieurs articles liés au cyber. Une interview et un article du général Paul Nakasone, le directeur de la NSA / chef du CSS / commandant du CyberCom, un article sur l'utilisation des cryptomonnaies par des bad guys...

https://ndupress.ndu.edu/Portals/68/Documents/jfq/jfq-92/jfq-92.pdf

Je n'ai pas lu, si quelqu'un le fait et peut faire un résumé ou mentionner les points importants, je suis preneur.

[zx]

 

Mahjoubi confirme une attaque internet de grande ampleur

http://www.lefigaro.fr/flash-eco/2019/02/25/97002-20190225FILWWW00051-mahjoubi-confirme-une-attaque-internet-de-grande-ampleur.php

[collectionneur]

A signalez que l'Organisation Internationale de l'Aviation Civile s''est fait piraté par des hackers  a priorichinois  - bon, c'est banal - mais que l'organisation à dissimulé le fait pendant des mois et n'a pas tenté de les arrêté pendant les hackers agissait  - la, ce n'est pas de la négligence mais de la complicité -

https://www.europe1.fr/technologies/une-agence-de-lonu-a-dissimule-un-grave-piratage-informatique-3865244

[rogue0]

Le 25/02/2019 à 12:18, zx a dit :

Mahjoubi confirme une attaque internet de grande ampleur

http://www.lefigaro.fr/flash-eco/2019/02/25/97002-20190225FILWWW00051-mahjoubi-confirme-une-attaque-internet-de-grande-ampleur.php

Vérification faite, l'AFP et le Figaro ont dû corriger leur dépêche, initialement très alarmiste.
Nouveau titre plus juste : alerte sur des cyberattaques visant l'infrastructure d'Internet.

En gros, oui l'ICANN a alerté sur de l'espionnage via détournement de DNS (voire même de DNSSEC mal configuré).
La campagne dite "DNSpionage" a commencé depuis au moins 2017, et vise surtout le Moyen-orient (attribution probable : les iraniens* ).
Les particuliers ne peuvent pas faire grand-chose, ce sont les registrar et FAI qui doivent se blinder.

(* Les USA, la Chine et la Russie n'ont pas besoin de ces techniques, ils ont bien des techniques plus puissantes... )

Article de vulgarisation:

https://www.lemonde.fr/pixels/article/2019/02/25/non-une-attaque-massive-et-inedite-n-est-pas-en-cours-sur-l-internet-mondial_5427997_4408996.html

et pour les connaisseurs, voici les sources techniques (talos, fireeye, crowdstrike : la totale, donc assez solide)

https://krebsonsecurity.com/2019/02/a-deep-dive-on-the-recent-widespread-dns-hijacking-attacks/

https://blog.talosintelligence.com/2018/11/dnspionage-campaign-targets-middle-east.html

https://www.crowdstrike.com/blog/widespread-dns-hijacking-activity-targets-multiple-sectors/

https://www.fireeye.com/blog/threat-research/2019/01/global-dns-hijacking-campaign-dns-record-manipulation-at-scale.html

EDIT: et de l'ICANN qui alertait dès 2014 sur la nécessité du DNSSEC

Modifié le 28 février 2019 par rogue0

[rogue0]

Il y a 2 heures, collectionneur a dit :

A signalez que l'Organisation Internationale de l'Aviation Civile s''est fait piraté par des hackers  a priorichinois  - bon, c'est banal - mais que l'organisation à dissimulé le fait pendant des mois et n'a pas tenté de les arrêté pendant les hackers agissait  - la, ce n'est pas de la négligence mais de la complicité -

https://www.europe1.fr/technologies/une-agence-de-lonu-a-dissimule-un-grave-piratage-informatique-3865244

Merci

En remontant à la source, on trouve une enquête de la TV publique canadienne, avec plus de détails:

https://www.cbc.ca/news/canada/montreal/emissary-panda-chinese-hackers-cyberattack-icao-1.5034177

Je prend l'attribution avec des pincettes : étrangement, aucune boîte de sécurité sérieuse n'assume publiquement l'attribution de ce piratage à APT27 alias Bronze Union.
Mais vu les détails, on dirait plutôt un cas d'incompétence aggravée de l'IT interne, qui a tenté de dissimuler leur incompétence (et accessoirement les faits...)

Je suis assez d'accord avec CBC pour la motivation du piratage.
Ce serait juste un "watering hole", cad un maillon faible pour contaminer d'autres cibles plus intéressantes (comme les compagnies aériennes, les constructeurs aéronautiques, etc)
 

Quelques détails sur le groupe:
https://www.cyberscoop.com/apt27-chinese-secureworks-report/
https://www.secureworks.com/research/a-peek-into-bronze-unions-toolbox

[rogue0]

Le 07/02/2019 à 18:15, rogue0 a dit :

Vote électronique en suisse. Le gouvernement lance un défi aux hackers, avec (modeste) "bug bounty" pour ceux qui arriveront à le pirater.
http://www.lefigaro.fr/flash-actu/2019/02/07/97001-20190207FILWWW00191-la-suisse-defie-les-hackers-recompense-a-la-clef.php

En général, ce genre de défi finit mal pour le défenseur.
Mais la faiblesse des primes réduira peut être les dégâts...

Patatras!

Comme attendu, des chercheurs de sécurité ont trouvé plusieurs failles de sécurité critiques dans le système de e-vote Suisse, dont une permet à l'organisateur du vote de changer le résultat du vote, de façon indétectable.

Par ailleurs, le logiciel de e-vote semble être un bazar indescriptible, très difficile à auditer (d'ailleurs le code source n'est pas open source, grosse alerte), et peu robuste (en cas d'erreur de configuration des centaines de package Java...).
https://motherboard.vice.com/en_us/article/vbwz94/experts-find-serious-problems-with-switzerlands-online-voting-system-before-public-penetration-test-even-begins

Scytl, l'éditeur de ce système vote électronique n'en est pas à son coup d'essai en la matière.
Leurs solutions sont utilisées dans 42 pays (à divers points de la chaîne électorale)

Révélation

Although the issues around the code might be specific to Switzerland, they raise questions about other Scytl systems in use in elections. Scytl isn’t a small player in the elections industry. It has taken the lead in developing various internet and other voting solutions for national or regional elections in 42 countries, including at least 1,400 counties in the US. In the US, however, the Scytl system doesn’t collect votes over the internet as the Swiss system does; it just delivers ballots via the internet to U.S. military and other citizens overseas, who print them out and return them via fax or offline mail. Scytl has been the center of controversy in the past for alleged misuse of European Union funds and mishap with an election.

The way the Swiss system works is that voters authenticate themselves to the voting web site using their birthdate and an initialization code they receive from Swiss Post in the mail. When they make their selections on screen, the votes are encrypted before going to the Swiss Post servers, where they are processed through a so-called “mix network” that cryptographically shuffles the votes to separate them from anything that would match them to the voter. Once the votes are shuffled, they’re counted then decrypted.

So far more than 2,000 people have registered to participate in the public hacking test of the Swiss system, which runs from February 25 to March 24. The bug bounty program will pay 20,000 Swiss francs to anyone who can manipulate votes in the mock election or 30,000 to 50,000 francs if they manage to manipulate votes without being detected. As part of the test, the Swiss Post is making the source code for the software available to participants. But the code wasn’t supposed to be open to just anyone to examine.

Vulgarisation de la faille:

https://motherboard.vice.com/en_us/article/zmakk3/researchers-find-critical-backdoor-in-swiss-online-voting-system
EDIT: explication un peu plus détaillée:

Révélation

 

 

explication technique par l'un des chercheurs

https://decryptage.be/2019/03/svote/ (en français)

Fil twitter d'un autre chercheur d'un institut canadien (ex-GCHQ et ex sécurité Amazon)

Papiers de recherche (très technique)
https://people.eng.unimelb.edu.au/vjteague/UniversalVerifiabilitySwissPost.pdf
https://people.eng.unimelb.edu.au/vjteague/SwissVote

Droit de réponse de la poste suisse
https://www.post.ch/en/about-us/company/media/press-releases/2019/error-in-the-source-code-discovered-and-rectified

 

Modifié le 12 mars 2019 par rogue0

[hadriel]

Il y a 6 heures, rogue0 a dit :

Par ailleurs, le logiciel de e-vote semble être un bazar indescriptible, très difficile à auditer (d'ailleurs le code source n'est pas open source, grosse alerte), et peu robuste (en cas d'erreur de configuration des centaines de package Java...).

C'est un argument de principe qui devrait direct disqualifier le vote électronique: pour mon vote physique je peux assister au dépouillement, pour un vote électronique j'aurai beau avoir un code open source si je ne suis pas développeur je n'y biterai rien.

[Rob1]

Je ne savais pas trop où le placer... The Intercept licencie du personnel, y compris des personnes qui maintenaient les "archives Snowden", vu que les principaux médias n'ont rien écrit à ce sujet depuis plusieurs années, pour se focaliser sur d'autres priorités.

https://www.thedailybeast.com/the-intercept-shuts-down-access-to-snowden-trove?ref=scroll

Certains ont ressorti des tweets de l'année dernière notant que The Intercept avait payé Glenn Greenwald 518 000 $ en 2015 et 476 000 $ en 2016... A ce prix-là, ils auraient pu financer 10 vrais journalistes d'investigation développant de nouveaux sujets

 

[rogue0]

Les chercheurs de sécurité de Kaspersky ont grillé des failles 0-day utilisées par des groupes APT "Sandcat" et "Fruity Armor" (soupçonnés respectivement de bosser pour des pays du Moyen Orient, les UAE et l'Arabie Saoudite)

(ces failles ont été patchées dans les derniers patch windows)

https://www.cyberscoop.com/microsoft-zero-days-exploited-fruityarmor-sandcat/?category_news=technology

https://threatpost.com/sandcat-fruityarmor-exploiting-microsoft-win32k/142751/

pour les détails très techniques

https://securelist.com/cve-2019-0797-zero-day-vulnerability/89885/

Modifié le 20 mars 2019 par rogue0

[rogue0]

Nouvelle faille critique découverte dans le logiciel de vote électronique suisse...

https://www.cyberscoop.com/swiss-voting-system-second-flaw/

Sans commentaire

Le 12/03/2019 à 22:07, hadriel a dit :

C'est un argument de principe qui devrait direct disqualifier le vote électronique: pour mon vote physique je peux assister au dépouillement, pour un vote électronique j'aurai beau avoir un code open source si je ne suis pas développeur je n'y biterai rien.

On est d'accord.

Sauf que

1) le côté open source / auditable n'est pas suffisant.
Vu la complexité des interactions IT, il y a un gros risque que le système tombera un jour dans un cas non testé, et avec un comportement non garanti (sauf à faire une validation mathématique formelle, comme pour les logiciels de commandes de vol, de centrale nucléaire, etc).

2) Entre les maths, et un pot de vin des boîtes de vote électronique, les politiciens préfèrent toujours le second argument...

D'ailleurs, ça en est où le développement du vote électronique ? (pour moi à jeter aux poubelles de l'histoire, sauf à mettre systématiquement des reçus papier pour l'électeur et le bureau de vote...)

 

[rogue0]

Harold Martin, dit "l'archiviste de la NSA" va plaider coupable à son procès imminent.
En violation de toute règle de sécurité, il avait récupéré et gardé chez lui 50 To d'outils de hacking de la NSA.
C'est son stock qui est soupçonné d'être une source majeure pour les Shadow Brokers (même s'il n'est pas accusé d'en faire partie)

https://www.cyberscoop.com/harold-martin-guilty-plea-nsa-shadow-brokers/

Rappels des épisodes précédents

Le 27/10/2016 à 01:36, rogue0 a dit :

Ce consultant à la NSA avait copié illégalement la bagatelle de 50 ... Terabyte (!!!) de données.

Le FBI essaie de lui coller la paternité de plusieurs fuites récentes (dont les Shadow Brokers), mais pour l'instant, il semble être juste un collectionneur de données.

Révélation

Sources:

http://www.nextinpact.com/news/101854-nsa-ancien-sous-traitant-aurait-derobe-50-to-donnees-sensibles-sur-20-ans.htm#/page/6
http://www.nytimes.com/2016/10/20/us/harold-martin-nsa.html

 

 

Le 10/01/2019 à 19:22, Rob1 a dit :

Politico a sorti un article sur l'arrestation d'Harold Martin, un employé de la NSA en 2016.

Il a été dénoncé par... Kaspersky, à qui il avait envoyé des tweets bizarres. Ironie, à la même époque le gouvernement US disait publiquement qu'il fallait se méfier de Kaspersky.

https://www.politico.com/story/2019/01/09/russia-kaspersky-lab-nsa-cybersecurity-1089131

C'est étonnant :
vu que son PC était compromis, est-il possible que ce soit les hackers présumés russes qui aient envoyé les messages à sa place?
(après, son profil psychologique a l'air ... particulier disons)

[hadriel]

Ce qui m'intrigue c'est comment il a pu arriver à 50To. A ce niveau ça peut pas être du code, donc c'est quoi?

[Boule75]

Il y a 3 heures, hadriel a dit :

Ce qui m'intrigue c'est comment il a pu arriver à 50To. A ce niveau ça peut pas être du code, donc c'est quoi?

De la flûte ? Des dépôts de code avec tout l'historique des versions, des commits en fait ? (ça fait beaucoup quand même !) Des collections de binaires compilés dans toutes leurs versions successives ? Des... données d'interception de masse ? Le dépôt des films et musiques piratés de la NSA ?

Allez ! Je tente une synthèse : toutes les versions des star wars diffusés via bit-torrent et permettant d'exploiter les failles de VLC sous Windows Vista, en HD.

[rogue0]

Nouvelle attaque "watering hole", ciblant les fournisseurs de MAJ. (après CCleaner et NotPetya), découvert par KAspersky

Un groupe APT de hacker a piraté les serveurs de MAJ des ordinateurs ASUS, pour insérer un malware.
Il a été téléchargé par un bon million d'ordinateur, mais n'a rien fait ... sauf pour ... 660 PC (sur sa liste de frappe chirurgicale, une liste d'adresse MAC).

Asus a fini par reconnaître le piratage, mais ne parle que des 660 PC vérolés.
Kaspersky ne fait pas d'attribution ferme cette fois, mais les outils et la méthode ressemble au groupe Winnti, soupçonné de travailler pour les intérêts chinois.

https://securityaffairs.co/wordpress/72208/apt/analyzing-winnti-umbrella.html

https://www.lemonde.fr/pixels/article/2019/03/26/des-centaines-de-milliers-d-ordinateurs-asus-victimes-d-un-piratage-sophistique_5441444_4408996.html

https://securelist.com/operation-shadowhammer/89992/

https://motherboard.vice.com/en_us/article/pan9wn/hackers-hijacked-asus-software-updates-to-install-backdoors-on-thousands-of-computers

https://www.cyberscoop.com/asus-patch-shadowhammer-kaspersky/

[Rob1]

"L’Australie lève en partie le voile sur les cyber-offensives menées contre l’État islamique"

http://www.opex360.com/2019/03/31/laustralie-leve-en-partie-le-voile-sur-les-cyber-offensives-menees-contre-letat-islamique/

[hadriel]

On a enfin deux sondes souveraines de cybersécurité pour équiper les opérateurs d'importance vitale:

https://www.challenges.fr/entreprise/la-france-devoile-ses-boucliers-contre-les-cyberattaques_652132

[ARPA]

À priori, la France n'est pas complètement en retard pour la cyberdefense. Ou au moins dans le cadre de l'exercice de l'OTAN, on est moins mauvais que les autres. 

http://www.opex360.com/2019/04/13/otan-la-france-remporte-ledition-2019-de-lexercice-de-cyberdefense-locked-shields/