janvier 19th, 2010

Le fait qu’une faille Internet Explorer ait permis de lancer une importante cyberattaque Chinoise passe presque inaperçu au regard des déboires de Google. Et l’impressionnante opération médiatique qui entoure l’annonce du « retrait possible » de l’entreprise du marché Chinois commence à tonner trop fort pour sonner juste. Rsnake, au fil des commentaires liés à l’un de ses articles traitant du sujet, est l’un des premiers à penser que ce mouvement ne serait que l’exploitation d’un prétexte pour se sortir d’une aventure économiquement défavorable. Le NY Times, de son côté, rappelle les résultats plus que moyens obtenus par Google dans l’Empire du Milieu. Résultats pourtant obtenus après forces concessions et compromissions en matière de censure et dont l’impact sur l’image de marque ne pouvait être nul. Oxblood Ruffin, un membre du CDC, dresse dans les colonnes de TechRadar un bilan peu reluisant. A cela s’ajoute l’impossibilité de battre le concurrent local, Baidu, sur son propre terrain et l’opportunité de faire diversion à un moment où les accusations de bigbrotherisme s’accumulent au dessus de la tête d’Eric Schmidt. Quelques activistes comme Oxblood Ruffin ou Naomi Klein du journal Rolling Stones en profitent pour rappeler combien la machine à surveiller Chinoise doit à l’industrie High Tech américaine toute entière.

Réaction d’autant plus remarquable que seul Google s’offusque de cette « indélicatesse » des prétendus « hackers indépendants » Chinois. Car les autres victimes –notamment, dixit le Washington Post, Yahoo, Symantec, Adobe, Northrop Grumman, Dow Chemical et Juniper- n’ont pas pipé mot. Tout juste se souvient-on de la dénégation d’Adobe, qui refuse officiellement d’être associé à cette opération de piratage stakhanoviste. Ironie de l’histoire, rappelons que cette série de pénétrations aurait été rendue possible grâce notamment à une faille d’Internet Explorer, et non d’un défaut de Flash Player ou d’Acrobat. Quoi que… Si I.E. est incontestablement reconnu comme le vecteur principal de l’opération « Aurora » (ainsi serait baptisée cette cyber-escarmouche), d’autres exploits et techniques de pénétrations ont été combinés en fonction de la cible à attaquer. Un blitz unique, des cibles multiples, des armes adaptées à chaque situation… on est indiscutablement là face à une opération orchestrée par des militaires, même si les diplomates de Pékin répètent inlassablement que ces actes ne sont le fait que d’éléments isolés et incontrôlés. Personne n’est dupe, surtout pas les entreprises américaines qui ont-elles-mêmes mis en place toute l’infrastructure de flicage et de traçage de l’Internet Chinois. Un filet entre les mailles duquel nul « pirate isolé et incontrôlé » ne devrait pouvoir passer… et à plus forte raison un groupe de pirates aussi bien structuré et organisé. Qui veut hurler avec Google ? Qui souhaite avouer haut et fort n’avoir pu assurer une défense périmétrique de ses propres systèmes d’information ? Qui risquerait d’élever la voix au risque de compromettre d’éventuels marchés à l’exportation ?

Quicktime, et par extension plusieurs outils et programmes destinés à interpréter des fichiers vidéo .MOV, seraient susceptibles de succomber à une attaque distante. La liste des programmes affectés (dont iTune, GarageBand, Safari, Firefox, Excel, Word, MPC…) ainsi que le lien de l’exploit sont publiés sur exploit-db.com. Aucun correctif ne semble pour l’heure avoir été proposé par Apple. La disponibilité de l’exploit devrait inciter les RSSI à renforcer momentanément leur politique de filtrage.

Arrêté pour avoir Twitté : après avoir vu l’un de ses vols annulés en raison des conditions météo qui ont perturbé la Grande Bretagne, Paul Chambers s’est fendu d’un « Twitt » humoristico-énervé à propos du fonctionnement de l’aéroport Robin Hood. Intercepté par la police, le message a valu à son auteur une arrestation immédiate et 7 heures d’interrogatoire sous prétexte de « lutte antirerroriste » (source : Forth )

Les fraudes à la carte de crédit se seraient élevées à près de 8,6 milliards de dollars en 2008 aux USA, révèle une étude de Aite Group LLC pour le compte des professionnels US de l’industrie du payement. Ce taux de fraude ne représente que 0,4% des 2 100 milliards de $ de transactions effectuées sur l’année. Rappelons que c’est également en 2008 qu’a été révélée l’affaire Heartland Payment Systems.