En contournant les correctifs, les logiciels malveillants ChatGPT, Bitwarden devient sans mot de passe

Fournisseurs contournant les correctifs de sécurité

La société de sécurité Sansec avertit que certains fournisseurs de commerce électronique ont commencé à contourner les correctifs de sécurité pour les modèles de courrier dans Adobe Commerce et Magento. Ces correctifs remontent à février, corrigeant un bogue activement exploité avec une mauvaise validation des entrées dans le processus de paiement qui ouvrait la porte à l’exécution de code arbitraire. Une partie du correctif a vu Adobe supprimer les modèles de courrier «intelligents». Il a également introduit un résolveur de variable de modèle de courrier pour empêcher les attaques par injection. Et cette dernière partie semble poser problème. Certains fournisseurs cherchent à réintroduire la fonctionnalité de l’ancien résolveur de modèles dans les magasins Magento de production, souvent en copiant l’ancien code. Sansec prévient que cela réintroduit effectivement la faille de sécurité.

(Semaine de la sécurité)

ChatGPT crée un malware polymorphe

Les implications de sécurité de l’IA générative continuent de se développer. Nous avons déjà couvert ChatGPT utilisé pour décrire une simple vulnérabilité de débordement de tampon, et que des forums en ligne illicites ont tenté de l’utiliser pour générer des logiciels malveillants. Les chercheurs de CyberArk ont ​​​​créé un nouveau stand de logiciels malveillants polymorphes à l’aide de l’outil. L’équipe a réussi à contourner les filtres de contenu d’OpenAI pour créer des logiciels malveillants en répétant simplement les demandes de création avec des contraintes plus spécifiques. L’équipe a également noté que l’API ChatGPT ne semble pas offrir de filtrage de contenu. Une fois qu’il a créé le code malveillant, ChatGPT a créé plusieurs variantes. Les chercheurs ont déclaré qu’il pouvait « modifier la sortie sur un coup de tête, la rendant unique à chaque fois ».

(Magazine InfoSécurité)

Bitwarden acquiert Passwordless.dev

Il s’agit de la première acquisition de la plate-forme de gestion de mots de passe open source, avec la startup suédoise PAsswordless.dev. La société est spécialisée dans les outils permettant aux développeurs d’intégrer l’authentification sans mot de passe. Bitwarden prend déjà en charge certaines authentifications sans mot de passe, y compris la biométrie et l’utilisation de clés de sécurité FIDO. Avec cette annonce, Bitwarden a lancé un nouveau service bêta pour permettre à un appareil tiers d’intégrer la technologie de connexion biométrique dans les applications. Aucun mot sur le coût de l’accord, mais Bitwarden a récemment levé son premier cycle de financement en septembre, obtenant 100 millions de dollars.

(Tech Crunch)

Le gouvernement fédéral saisit l’échange de crypto Bitzlato

Le ministère américain de la Justice a annoncé avoir arrêté le fondateur de la bourse, Anatoly Legkodymov (Leg-cody-mov), l’accusant de blanchiment d’argent. Le DOJ a arrêté le ressortissant russe à Miami et l’a traduit devant le tribunal de district américain du district sud de la Floride. Dans le cadre d’une opération avec Interpol, les autorités françaises ont démantelé l’infrastructure de Bitzlato. Le DOJ a déclaré qu’un manque de contrôle de la connaissance de votre client faisait de l’échange un refuge pour les fonds illégaux. Chainalysis estime que l’échange a reçu plus de 2 milliards de dollars de crypto-monnaie de 2019 à 2021, dont 48 % représentaient des transactions illicites ou risquées. Le darkweb Hydra Market a effectué le plus de transactions sur la plateforme.

(Ordinateur qui bipe)

Et maintenant un mot de notre sponsor, Cerby

Twitter parle de la panne des clients tiers

Twitter a finalement rompu le silence sur les raisons pour lesquelles les applications tierces ne fonctionnaient plus avec l’API de Twitter. Un message sur le compte Twitter de l’entreprise indique que « Twitter applique ses règles d’API de longue date. Cela peut entraîner le dysfonctionnement de certaines applications. » Cela explique pourquoi de nombreux clients Twitter tiers ont commencé à avoir des problèmes généralisés pour accéder à Twitter jeudi dernier. Ce qui n’a pas été spécifié, c’est quelles règles de « longue durée » ces applications ont violées pour justifier leur coupure. Certains ont émis l’hypothèse que puisque ces applications n’affichaient pas d’annonces graphiques, Twitter les a coupées afin de générer davantage de revenus publicitaires. Il convient de noter que certaines applications, comme Albatross et la version iOS de Fenix, continuent de fonctionner.

(Le bord)

Les dépenses informatiques mondiales ont chuté en 2022

Une nouvelle analyse de Gartner estime que les dépenses informatiques mondiales ont diminué de 0,2 % sur l’année en 2022 pour atteindre 4 380 milliards de dollars, après avoir initialement prévu une augmentation de 0,8 %. Il a également réduit sa projection de croissance des dépenses informatiques pour 2023 de plus de moitié à seulement 2,4 %. De cette estimation, Gartner prévoit la plus forte baisse des dépenses en appareils informatiques, en baisse de 5,1 % à 685 milliards de dollars, tandis que les services devraient augmenter de 6,7 % à 264 milliards de dollars. Avec des budgets potentiellement plus petits, de nombreuses organisations déclarent chercher à se concentrer sur les investissements informatiques autour de l’optimisation de la valeur commerciale, de la modernisation informatique et de l’embauche.

(WSJ)

Les dernières attaques MailChimp semblent familières

Le géant de la newsletter a révélé qu’une cyberattaque avait exposé des données sur des dizaines de clients le 11 janvier. L’attaquant a accédé à un outil interne utilisé par son équipe de support client via une campagne d’ingénierie sociale ciblée. Il s’agit de la deuxième violation au cours des six derniers mois pour l’entreprise. Plus troublant encore, les détails de la violation d’août semblent presque identiques, avec une campagne d’ingénierie sociale obtenant des informations d’identification pour accéder aux outils internes utilisés par son équipe de support client. Les clients concernés disent que l’attaque a exposé les noms des clients, les URL Web utilisées par les magasins et les adresses e-mail. La violation n’a pas révélé les mots de passe des clients.

(Tech Crunch)

Un aperçu de l’accès des forces de l’ordre à la base de données de transfert d’argent

Le Wall Street Journal a décrit comment des centaines d’agences américaines chargées de l’application de la loi dans les juridictions étatiques, locales et fédérales maintiennent l’accès à une base de données du centre d’analyse des enregistrements de transactions. Cette base de données montre le flux de fonds via des services de transfert d’argent tels que Western Union, MoneyGram, DolEx et Euronet. Le bureau du procureur général de l’État de l’Arizona a initialement créé la base de données en 2014, dans le cadre d’un accord avec Western Union pour lutter contre le trafic de drogue. Les données obtenues par l’ACLU montrent que tout organisme d’application de la loi autorisé peut interroger la base de données sans mandat, y compris les enregistrements de transactions en masse basés sur des critères nébuleux tels que les catégories « Moyen-Pâques/nom arabe ». Le sénateur américain Ron Wyden a ouvert une enquête sur l’utilisation de cette base de données par les agences fédérales.

(WSJ)