Vulnérabilités de l’interface Thunderbolt, ESET publie un guide

ESET a publié une présentation complète des risques découlant de Thunderspy, un ensemble de vulnérabilités dans la technologie Thunderbolt, et des méthodes de protection potentielles. Via Thunderspy, un pirate peut modifier, voire supprimer, les mesures de sécurité de l’interface Thunderbolt d’un ordinateur. Par conséquent, un pirate ayant un accès physique à l’ordinateur cible peut y voler des données, même si le chiffrement complet du disque est utilisé, et que la machine est verrouillée par un mot de passe ou en mode veille.

Thunderspy a été découvert en mai 2020 par Björn Ruytenberg, un chercheur en sécurité informatique.
« Bien que l’on ait beaucoup parlé des études de M. Ruytenberg en raison de ce nouveau vecteur d’attaque, on n’a pas dit grand-chose sur la manière de se protéger de Thunderspy, ni même de déterminer si l’on en a été victime, » souligne Aryeh Goretsky, Distinguished Researcher chez ESET. Dans son article « Thunderspy attacks : What they are, who’s at greatest risk and how to stay safe », M. Goretsky explique brièvement le contexte technique de Thunderspy mais se concentre principalement sur les méthodes pratiques pour s’en défendre.

Les attaques contre Thunderbolt sont très rares car elles sont, de par leur nature, très ciblées. « Le fait qu’un utilisateur type ne soit pas dans la ligne de mire d’un pirate ne signifie pas que tout le monde est sain et sauf. Pour beaucoup, suivre certaines des recommandations draconiennes que nous décrivons dans notre article peut s’avérer vraiment utile, » commente M. Goretsky.

Il existe deux types d’attaques contre la sécurité sur laquelle Thunderbolt s’appuie pour garantir l’intégrité d’un ordinateur. La première consiste à cloner l’identité des appareils Thunderbolt de confiance qui sont déjà autorisés par l’ordinateur. La seconde consiste à désactiver de façon permanente la sécurité de Thunderbolt afin qu’elle ne puisse pas être réactivée.

« L’attaque par clonage ressemble au vol d’une clé et à sa copie. La clé copiée peut ensuite être utilisée pour ouvrir la serrure de manière répétée. La seconde attaque ressemble au court-circuitage d’une puce. Dans ce cas, les niveaux de sécurité de Thunderbolt sont désactivés en permanence et cette modification est protégée en écriture afin qu’elle ne puisse être annulée, » explique M. Goretsky.

Aucun des deux types d’attaque ne se fait simplement, car il faut un accès physique à l’ordinateur cible, ainsi que les outils nécessaires pour démonter l’ordinateur, y connecter un programmeur logique, lire le microprogramme de la puce de la ROM flash SPI, le désassembler et modifier ses instructions, puis réécrire les nouvelles instructions sur la puce. De telles attaques sont de type « personnel de ménage malveillant », qui impliquent un scénario dans lequel un pirate entre dans une chambre d’hôtel pour mener l’attaque pendant que la victime s’est absentée.

La nécessité d’altérer physiquement l’ordinateur limite l’éventail des victimes potentielles à des cibles de grand intérêt. Certaines peuvent être visées par des services de renseignement ou des forces de police, et des cadres, des ingénieurs, du personnel administratif ou même d’autres salariés d’entreprises peuvent également être des cibles d’opportunité si le pirate a par exemple pour motif l’espionnage industriel. Sous des régimes oppressifs, les politiciens, les ONG et les journalistes sont également des cibles possibles de menaces avancées telles que Thunderspy.

Pour se défendre contre Thunderspy, comme contre toute autre attaque nécessitant un accès physique au système, il est important de décider si le but de la défense est de prouver qu’une attaque physique a eu lieu, ou de s’en protéger.

Les méthodes de protection contre Thunderspy peuvent être divisées en plusieurs catégories. « Premièrement, empêchez tout accès non autorisé à votre ordinateur. Deuxièmement, sécurisez toutes les interfaces et tous les ports pertinents de votre ordinateur, tels que les ports USB. Enfin, au-delà des mesures physiques, prenez également des mesures pour renforcer la sécurité des micrologiciels et des logiciels de votre ordinateur, » résume M. Goretsky.

L’article « Thunderspy attacks : What they are, who’s at greatest risk and how to stay safe » contient de nombreux conseils pratiques pour améliorer la sécurité contre le vol de données par Thunderspy. L’un d’entre eux se distingue par sa simplicité et son efficacité.
« Désactivez les modes veille, veille prolongée ou d’autres modes de veille hybride. Faites-en sorte que l’ordinateur soit complètement éteint lorsqu’il n’est pas utilisé. Cela peut empêcher les attaques contre la mémoire de l’ordinateur via Thunderspy, » recommande M. Goretsky.

ESET et la République Slovaque fournissent une aide humanitaire à la République du Kenya

 

Une cargaison de 50 000 kits de dépistage de COVID-19 mis au point par des scientifiques slovaques est arrivée le lundi 27 juillet à Nairobi, au Kenya.

SlovakAid, un programme d'aide humanitaire du Ministère Slovaque des Affaires Etrangères et Européennes, a envoyé dimanche de Bratislava un avion transportant des fournitures pour COVID-19. Les fournitures comprennent 50 000 tests de dépistage, un thermocycleur ACP pour effectuer des tests et 20 000 masques FFP2.

ESET a soutenu le développement du kit, approuvé par l'Institut d'État pour le contrôle des drogues de la République slovaque (ŠUKL) le 14 mai 2020 et enregistré dans EUDAMED le 26 mai 2020. Celui-ci peut être distribué en Europe en tant que test de dépistage in vitro marqué CE. Le kit, nommé vDetect COVID-19 RT-qPCR, a été développé grâce à des recherches collaboratives de scientifiques de la société slovaque MultiplexDX, du Centre de recherche biomédicale de l'Académie des sciences de Slovaquie, du Parc scientifique de l'Université Comenius à Bratislava, et d'experts de Lambda Life et de ProScience Tech.

« En tant qu'un des principaux contributeurs à la réalisation du kit de dépistage de COVID-19, ESET est ravi de constater que des pays ayant besoin d'aide, comme le Kenya, peuvent également bénéficier de nos efforts. Nous sommes prêts à fournir une assistance pour des cas similaires à l'avenir, » déclare Palo Luka, Chief Operating Officer d'ESET.

Pavol Čekan, fondateur de MultiplexDX, ajoute : « Nous avons rapidement développé un nouveau test ACP pour COVID-19 capable de diagnostiquer de manière fiable les patients à un stade précoce. Ayant fourni suffisamment de kits de test pour répondre aux besoins des laboratoires slovaques, nous avons tourné nos efforts vers l'intensification de la production pour d'autres pays, comme le Kenya, qui pourraient bénéficier de nos produits. »

Avec l'aide d'Ingrid Brocková, secrétaire d'état du Ministère des Affaires Etrangères de la République slovaque, et de Ján Lazar, secrétaire d'état du Ministère de l'Intérieur de la République slovaque, les fournitures de secours ont été présentées à un représentant de l'ambassade de la République du Kenya en Autriche le vendredi 24 juillet.

La secrétaire d'État Ingrid Brocková déclare : « Le Kenya est l'un des trois pays du programme de coopération au développement de la République slovaque et notre partenaire stratégique en Afrique subsaharienne. Il est donc compréhensible que nous voulions également aider sa population dans la lutte contre le nouveau coronavirus. Je suis ravie que l'envoi humanitaire comprenne également des tests de dépistage uniques, développés par une équipe de scientifiques slovaques. » Informations complémentaires sur les kits de dépistage :

Les principaux composants du kit de dépistage vDetect COVID-19 RT-qPCR ont été mis au point par MultiplexDX, une société qui se consacre au développement et à la fabrication de différents réactifs de diagnostic moléculaire innovants. Le test de dépistage quantitatif in vitro est conçu pour détecter la présence de l'information génétique du coronavirus SARS-CoV-2 par RT-qPCR dans des échantillons de fluides corporels prélevés principalement dans les voies respiratoires supérieures. Le kit vDetect COVID-19 est l'un des tests RT-qPCR les plus fiables, universels et sensibles du marché, et il est destiné à être utilisé uniquement dans des laboratoires de diagnostic. Il est certifié par l'Institut d'État pour le contrôle des drogues de la République slovaque. ESET continuera de superviser le développement du kit, qui est également disponible dans le commerce.

How much is your personal data worth on the dark web?

The going prices are lower than you probably think – your credit card details, for example, can sell for a few bucks

 

Amer Owaida

It’s no news that the dark web is rife with offers of stolen data that ranges from pilfered credit card information and hijacked payment services accounts to hacked social media accounts. Anyone interested can also hire a ne’er-do-well to launch a distributed denial of service (DDoS) attack, buy malware, or purchase forged documents and commit identity theft.

But have you ever wondered how much your personal information goes for on the dark web? Researchers at Privacy Affairs have sifted through the listings in the internet’s seedy underbelly and created an overview of the average price tags attached to your stolen personal data.

Called Dark Web Price Index 2020, the price breakdown of various kinds of stolen personal information shows that, for example, a cloned American Express card with PIN tops the payment card menu at US$35 a pop, while credit card details generally sell for as little as US$12-20. Meanwhile, stolen online banking credentials to accounts with a minimum balance of US$2,000 can go for US$65 on average.

As for payment processing services, PayPal accounts are by far the most commonly listed items. However, pilfered accounts go for lower prices than actual transfers from compromised accounts. Interestingly, a transfer within the US$1,000-3,000 range goes for an average price of some US$320 while transfers of over US$3,000 go for approximately half the price – US$156.

Offers to hack social media accounts aren’t, in fact, a commonly listed item, according to the report, which attributed this to bolstered security measures by social media platforms, as well as to low demand. Indeed, it’s safe to say that the price of your information on the underground marketplaces is governed by the age-old dictates of supply and demand. Once they are on offer, the prices are in the tens of dollars.

Meanwhile, Gmail accounts command a relatively high price at an average of US$156. This may be because a lot of people use single sign-on options, which would mean a compromised email account could open up a treasure trove of data and access to various other services.

Miscreants are also offering their services for hire. Potential buyers can shop around for DDoS attacks with prices depending on the size and duration of the onslaught, starting at a US$10 and topping out at over US$800. Hackers also offer various forms of malware for sale with prices starting from US$70 and going all the way up to US$6,000 depending on various factors.

While the bulk of the stolen sensitive information comes from large-scale data breaches that have hit countless businesses over the years, there are multiple simple steps you can take to protect yourself. For example, look out for phishing attacks that prey on your login credentials or credit card details. Instead of using easy-to-remember passwords, opt for a strong and unique passphrase for each account. Importantly, use two-factor authentication whenever it is available. Also, never use an unsecured Wi-Fi network to access accounts that are home to your sensitive data. Use data breach notification services to learn if your details have been stolen in a known data breach. Finally, never underestimate the value of a multilayered security solution and make sure it’s up-to-date.

 

FBI warns of surge in online shopping scams

In one scheme, shoppers ordering gadgets or gym equipment are in for a rude surprise – they receive disposable face masks instead

 Amer Owaida

 The FBI’s Internet Crime Complaint Center (IC3) has recorded a surge in complaints from victims who have been duped by fraudulent online marketplaces that never deliver the purchased items.

According to the FBI, victims are reporting that they came across these fraudulent websites either through ads posted on social media platforms or while looking for specific items using popular web search engines’ shopping pages. The wares offered by the scammy online stores range from gym equipment to small appliances and furniture.

Oddly, regardless of what the victims ordered they received disposable face masks – a sort of twist on COVID-19 related schemes that have been doing the rounds for months now. Once the vendors receive complaints about the ordered items not being delivered, they offered partial reimbursement and the face masks as compensation.

Alternatively, the sellers requested the items to be returned to China; this spells outsize expenses for the victims, leading them to settle for the partial reimbursement and not having to return the items. However, none of the victims were able to get a full refund out of the miscreants.

In an attempt to make their deceptions more plausible, the faux retailers provide valid United States’ based addresses and telephone numbers in their “Contact us” sections. “Many of the websites used content copied from legitimate sites; in addition, the same unassociated addresses and telephone numbers were listed for multiple retailers,” the Bureau said.

The FBI shared several telltale signs of the websites being fake:

·       e prices were too good to be true,

·       tcybercriminals registered the web addresses within the last six months using private domain rregistration domain services to prevent their private information from being published,

·       iiinstead of using top-level domains like “.com”, the fraudulent websites instead used “.club” and “.top”,

·       tone site was promoted on social media.

To avoid falling for similar ruses, always do your due diligence on the retailer you’re considering purchasing from. Look into the reviews of the vendor, especially on third-party reviewing services. Use the contacts listed on their page to see if the information checks out and does belong to them. And always be vigilant, if an offer seems too good to be true, it usually is. For further advise on protecting yourself from various flavors of online scams you can refer to advice on fraud prevention shared recently by ESET Chief Security Evangelist Tony Anscombe.

Amer Owaida