Aller au contenu
Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Vous connaissez la dernière ?

Des petits malins ont eu l’idée de distribuer des logiciels de triche pour Call of Duty et d’autres jeux sur Battle.net. Sauf que… surprise ! En réalité, ces soi-disant « cheats » étaient bourrés de malwares qui aspirent les Bitcoins des joueurs ! Un coup de maître digne d’un scénario de Mr Robot.

D’après les experts en cybersécurité de VX Underground, cette attaque d’hameçonnage ciblée aurait potentiellement compromis près de 5 millions de comptes, rien que ça ! Une fois installé sur l’ordi de la victime, le malware s’attaque direct au portefeuille Bitcoin Electrum pour siphonner les précieuses crypto. On parle de presque 3,7 millions de comptes Battle.net, plus de 560 000 comptes Activision et environ 117 000 comptes ElitePVPers. Autant dire que les cybercriminels se sont fait plaisir.

Bon, Activision affirme que ses serveurs n’ont pas été directement compromis. Mais quand même, ça la fout mal. La boîte conseille à tous les joueurs qui auraient pu cliquer sur un lien louche de changer rapidement leur mot de passe et d’activer l’authentification à deux facteurs ce qui est un minimum.

Bref, méfiez-vous comme de la peste des logiciels de triche. Comme dirait l’autre, si c’est trop beau pour être vrai, c’est que ça cache sûrement une entourloupe !

Puis où est passé le plaisir de jouer à la loyale, de progresser à la sueur de son front et de laminer ses adversaires à la régulière ?



Ça y est les amis, on y est ! Apple va enfin adopter le standard RCS sur iPhone à partir de fin 2024 ! C’est une excellente nouvelle qui va changer la donne dans le petit monde de la messagerie mobile. Il sera bientôt fini le temps où envoyer un message à un ami sous Android c’était l’enfer, avec une qualité dégueu des photos, des fonctionnalités limitées et zéro sécurité.

Maintenant, grâce à RCS, on va enfin pouvoir tchatcher avec tout le monde de la même façon, que ce soit sur iOS ou Android.

Alors c’est quoi RCS ? En gros c’est un protocole de messagerie nouvelle génération qui offre plein d’avantages par rapport aux bons vieux SMS/MMS d’il y a 20 ans. Déjà, ça permet d’envoyer des photos et vidéos en haute définition sans compression dégueulasse. Ensuite, y’as des trucs cools comme les indicateurs de frappe, les accusés de lecture, les messages via le WiFi, et surtout le chiffrement de bout en bout pour protéger vos conversations. En fait c’est un peu comme iMessage, mais en version universelle et interopérable.

Depuis des années, Google et les autres acteurs poussaient comme des malades pour que RCS devienne le nouveau standard sur Android. Mais il manquait toujours le dernier morceau du puzzle : Qu’Apple daigne enfin l’adopter sur iPhone ! Les mecs ont résisté longtemps, soi-disant pour garder leur avantage compétitif avec iMessage et continuer d’enfermer les gens dans leur écosystème. Résultat, quand on textait un pote sur Android depuis un iPhone, on était obligé de passer par ce bon vieux SMS tout pourri. La loose…

Mais sous la pression des régulateurs européens (comme d’hab ^^) qui exigent l’interopérabilité des messageries, Apple a fini par céder. Comme l’a subtilement révélé Google sur son site, la firme de Cupertino prévoit donc bien d’intégrer RCS dans une future mise à jour d’iOS, probablement iOS 18 en septembre 2024. Autant dire que c’est une sacrée bonne nouvelle pour nous, les utilisateurs !

Déjà, ça va permettre de communiquer de façon fluide avec tous nos contacts, quelle que soit leur religion (euh pardon leur smartphone). Photos, vidéos, réactions, indicateurs de frappe… On aura enfin droit aux mêmes fonctionnalités sympa et ergonomiques pour tchatcher avec tout le monde. Ensuite, on n’aura plus à se soucier de la sécurité et confidentialité de nos échanges. Avec le chiffrement de bout en bout de RCS, nos messages seront protégés des regards indiscrets, exactement comme sur iMessage ou WhatsApp. Et ça c’est crucial à l’heure où les scandales de surveillance de masse et de fuite de données s’enchaînent !

Après attention, connaissant Apple, faut pas s’attendre non plus à une implémentation parfaite de RCS qui effacerait complètement les frontières avec iMessage. Ils vont sûrement trouver des moyens de garder une petite spécificité à leur bébé, genre en conservant les bulles vertes, qui stigmatisent les pauvres, pour bien différencier les conversations Android. Ou alors en bridant certaines fonctionnalités un peu trop hypes d’iMessage dans les chats RCS. Mais bon, l’essentiel c’est qu’on puisse enfin s’envoyer des messages riches, sécurisés et fiables entre iPhone et Android. C’est déjà un énorme pas en avant !

Rendez-vous en septembre de cette année pour voir si ce rêve se réalise !

Source


Alerte rouge dans la galaxie des navigateurs web ! Microsoft vient d’annonce qu’une faille critique 0-day a été découverte dans Edge et corrigée en urgence. Mais attention, cette vulnérabilité ne se limite pas au navigateur de Microsoft puisque c’est toute la famille Chromium qui est touchée !

Google a bien tenté de faire profil bas en publiant discrètement un correctif pour Chrome le 26 mars, sans trop s’étendre sur les détails. Mais c’était sans compter sur la perspicacité de Microsoft qui a mis les pieds dans le plat en confirmant que l’exploit était activement utilisé par des cybercriminels. Aïe !

Baptisée CVE-2024-2883, cette vilaine faille se cache dans le moteur graphique ANGLE (Almost Native Graphics Layer Engine) utilisé par les navigateurs Chromium pour faire tourner le WebGL. En gros, c’est la porte d’entrée parfaite pour exécuter du code malveillant sur votre machine.

Heureusement, Microsoft a réagi au quart de tour en sortant illico presto la version 123.0.2420.65 d’Edge qui colmate la brèche. Mais attention, si vous utilisez un autre navigateur basé sur Chromium comme Chrome, Brave, Vivaldi ou Opera, vous êtes aussi concernés. Alors, foncez vérifier que vous avez bien la dernière version à jour !

Pour ce faire, rien de plus simple : tapez « chrome://settings/help » (ou l’équivalent pour votre navigateur) dans la barre d’adresse et laissez la magie opérer. Si une mise à jour est disponible, elle sera téléchargée et installée automatiquement. Ensuite, relancez le navigateur et le tour est joué !

Ce n’est pas la première fois qu’une faille 0-day fait trembler le monde des navigateurs. En 2021, une vulnérabilité similaire avait été découverte dans Chrome et avait été activement exploitée pendant des semaines avant d’être corrigée. Un vrai cauchemar pour les utilisateurs et les éditeurs !

Source


Si vous êtes un développeur à la recherche d’un nouvel éditeur de code, vous allez être content avec Lapce dispo pour Windows, Linux et macOS. Encore en version pré-alpha, Lapce n’a d’autres ambitions que de venir chatouiller les orteils de Visual Studio Code.

Pour le moment, on en est loin, mais cet éditeur a quand même quelques atouts dans sa manche. Tout d’abord, son interface graphique et ses performances sont au top du top de l’optimisation grâce au langage dans lequel il est codé, à savoir Rust.

En effet, grâce à l’accélération GPU intégrée à l’interface graphique native, les lags au lancement de l’éditeur et lors de la saisie sont totalement éliminés. Pour les développeurs de Lapce, tout ralentissement lors de la frappe est considéré comme un bug et sera donc résolu.

L’une des fonctionnalités les plus intéressantes de Lapce est la possibilité de se connecter à une machine distante en toute transparence via SSH, pour bénéficier d’une expérience « locale ». Cela vous permet de profiter d’un environnement identique à votre serveur de production ou d’exploiter toutes les performances de la machine distante. Idéal pour les développeurs travaillant en équipe ou en télétravail.

Côté mise en forme du code, Lapce utilise Tree-sitter pour la coloration syntaxique, ce qui est une solution bien plus rapide et efficace que les techniques à l’ancienne basées sur les expressions régulières (regex). De plus, la prise en charge intégrée du protocole LSP (Language Server Protocol) permet à Lapce de proposer de la complétion de code, des diagnostics ainsi que des actions éventuelles sur le code analysé en temps réel.

Si vous êtes un utilisateur de Vim, bah déjà bon courage. Mais surtout, ne vous inquiétez pas, Lapce intègre nativement une expérience d’édition similaire à Vim, sans avoir besoin d’installer de plugin. Vous n’avez qu’à activer l’option d’édition modale dans les paramètres de l’IDE et vous pourrez utiliser tous vos raccourcis Vim comme un bon tröll velu.

Pour encore plus de personnalisation, vous pouvez aussi écrire vos propres plugins pour Lapce en utilisant n’importe quel langage de programmation capable d’être compilé pour produire du WASI (WebAssembly System Interface). Ainsi, vous pouvez choisir un langage de programmation que vous aimez pour créer des plugins rapidement sans apprendre un truc spécifique.

Enfin, Lapce vous permet de lancer un terminal directement dans le répertoire de votre espace de travail, sans quitter l’éditeur. Cette fonction simplifie la gestion des fichiers et des dossiers, rendant votre workflow encore plus fluide.

Bref, bien que Lapce soit encore en phase pré-alpha, et loiiiin d’égaler Visual Studio Code, cet éditeur open source écrit en Rust, est promis à un bel avenir chez tous ceux pour qui les perfs sont très importantes (tout le monde quoi…).

Rendez-vous sur lapce.dev pour en savoir plus ! Et la doc est ici.

Merci à Lorenper


Saviez-vous qu’une faille de sécurité plus vicieuse qu’un boss de fin de niveau est tapie dans les entrailles de notre cher Linux depuis plus d’une décennie ? Et attention, on ne parle pas d’un vulgaire bug qui fait planter votre distrib’ préférée, non non. Cette saleté, baptisée « WallEscape » par Skyler Ferrante, un chercheur en sécurité un peu barré (on y reviendra), permet ni plus ni moins à un petit malin de vous subtiliser votre précieux mot de passe Admin !

Tout commence avec une commande anodine appelée « wall« , présente dans le package util-linux. Son petit boulot à elle, c’est d’envoyer des messages à tous les utilisateurs connectés sur une même machine. Jusque-là, rien de bien méchant, vous me direz.

Sauf que voilà, un beau jour, ou plutôt un sale jour de 2013, un commit un peu foireux est venu s’immiscer dans le code de wall tel un cheveu sur la soupe. Depuis, cette brebis galeuse s’est gentiment propagée dans toutes les versions de util-linux, tel un virus informatique qui s’ignore.

Mais qu’est-ce qu’il y avait de si terrible dans ce ce commit ? Eh bien, pour faire simple, le dev qui l’a poussé, a tout bonnement oublié de filtrer correctement les fameuses « escape sequences » dans les arguments de la ligne de commande. Résultat des courses : un petit malin un peu bricoleur peut maintenant s’amuser à injecter tout un tas de caractères de contrôle pour faire des trucs pas très catholiques sur votre terminal.

Et c’est là que notre ami chercheur en sécurité dont je vous parlais au début de l’article, entre en scène. Armé de sa curiosité légendaire et de son sens de l’humour douteux, il a flairé le potentiel de la faille et s’est amusé à monter un scénario d’attaque digne d’un film de ma saga préférée : « Die Hard ». L’idée, diaboliquement géniale, est d’utiliser ces fameuses « escape sequences » non filtrées pour créer de fausses invites sudo sur le terminal de la victime. Ainsi, tel un loup déguisé en agneau, l’attaquant peut vous inciter à gentiment taper votre mot de passe administrateur, pensant avoir affaire à une véritable demande d’authentification système.

Bon, je vous rassure tout de suite, il y a quand même quelques conditions à remplir pour que l’attaque fonctionne. Déjà, il faut que l’option « mesg » soit activée sur votre machine et que la commande wall ait les permissions setgid.

Bien sûr, en tant que vrai geek qui se respecte, vous avez probablement déjà mis à jour votre système avec la dernière version de util-linux qui colmate la brèche. Sinon, vous pouvez toujours vérifier que les permissions setgid ne sont pas activées sur wall ou carrément désactiver cette fonctionnalité de messages avec « mesg« .

En attendant, je ne peux que vous encourager à jeter un coup d’œil au PoC de notre ami chercheur, histoire de voir à quoi peut ressembler une fausse invite sudo des familles. C’est toujours ça de pris pour briller en société.

Allez, amusez-vous bien et n’oubliez pas : sudo rm -rf /*, c’est le mal !

Source