Discussion :

[Cpt Anderson]

1984, le télécran.

[Lcf.vs]

Perso, que ce soit sur les smartphones ou smart TV, il y a tout de même un point qui m'interpelle: Dans quel but les constructeurs implémentent-ils ce Fake-off? Est-ce dans le but, d'eux-mêmes, espionner leurs clients ou est-ce une complicité de leur part, genre introduction de backdoor?

[Coriolan]

La CIA s'est servie de VLC et de plusieurs autres logiciels portés par la communauté du libre
Pour mener ses opérations d'espionnage

La plateforme Wikileaks a publié des milliers de documents mettant au clair les agissements et les outils de piratage exploités par la célèbre et mystérieuse agence centrale de renseignements américaine. C’est, selon Wikileaks, « la plus importante publication de documents confidentiels de la CIA ». Plus riche encore que les révélations d’Edward Snowden, le site de Julian Assange a publié 8761 documents secrets, extraits d’un réseau sécurisé du Center for Cyber Intelligence, situé à Langlay, au QG de l’agence.

Dans cette collection impressionnante de documents dévoilés par Wikileaks, on apprend que la CIA se sert d'une ancienne version portable de VLC comme vecteur d'attaque pour obtenir des informations stockées dans un ordinateur. VLC Media Player (VLC) est un lecteur multimédia libre issu du projet VideoLAN. Ce logiciel est multiplateforme et distribué sous licence GNU GPL. Le logiciel est très populaire et utilisé par des centaines de millions de personnes partout dans le monde. C’est sûrement cette popularité de VLC et de plusieurs autres programmes portés par communauté du libre qui a poussé la CIA à les exploiter pour mener ses actions malveillantes et infecter des ordinateurs.

Dans un message publié sur Twitter, l’association VideoLAN qui supervise le développement du lecteur multimédia VLC Media Player, a expliqué « être au courant des révélations liées à la CIA venant de WikiLeaks à propos de l’utilisation de VLC comme vecteur d’attaque pour la diffusion de logiciels malveillants ». Il n’est pas clair encore comment la CIA opère ses attaques, toutefois, l’association a informé qu’elle va apporter les correctifs nécessaires après que la situation aura été tirée au clair. L'association invite également les volontaires qui voudraient donner un coup de main à se manifester pour trouver une solution à ce problème le plus vite possible.

« Le système d’attaque de la CIA Fine Dining fournit 24 applications de leurres que les espions des USA peuvent utiliser. Pour les victimes, l’espion semble exécuter un programme montrant des vidéos (par exemple VLC), présenter des diapositives (Prezi), exécuter un jeu PC (Breakout2, 2048) ou même lancer un faux scanner antivirus (Sophos, McAfee, Kaspersky). Mais alors que l’application de leurre est à l’écran, le système en sous-couche est automatiquement infecté et saccagé », a écrit Wikileaks.

Il apparaît que la CIA exploite une ancienne version de la version portable de VLC afin d’utiliser des injections de bibliothèques de liens dynamiques (DLL) en ayant modifié le Manifest de l’application. En gros, ce faux VLC permet d’exfiltrer des données alors que l’utilisateur regarde une vidéo ou écoute de la musique.

Si Vault 7 (nom choisi par WikiLeaks pour parler de la cascade de documents confidentiels provenant des archives de la CIA) a révélé une chose, c’est qu’aujourd’hui, aucun appareil électronique n'est à l'abri de l’agence d'espionnage américaine. La CIA dispose d’un arsenal gigantesque permettant de mener des attaques que la plupart des antivirus du marché ne peuvent pas stopper. VLC n’est pas le seul logiciel affecté, l’agence s’est servie de nombreux logiciels apparemment anodins, comme Firefox, Chrome, Opera, Thunderbird, Libre Office, Linux et 7-Zip. On trouve aussi Skype, Notepad++, Foxit Reader ou bien Opera Mail.

Source : Tweet de VideoLan - WikiLeaks

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

WikiLeaks : comment la CIA aurait piraté les smart TV de Samsung pour les transformer en dispositifs d'écoute des conversations privées
Vault 7 : Wikileaks dévoile l'arsenal informatique de la CIA, l'agence est capable de contourner le chiffrement de WhatsApp

[RyzenOC]

ce genre de news m'ammene plusieurs question dans ma tète.

je me demande si la cia ou le gouv français on mis des backdoor dans mon vieu minitel alcatel
(c'est une question sérieuse)

on savait déja que les routeurs cisco et les cpu Intel (en particulier les xeons) avait des backdoor riquains, les cpu Ryzen ont ils des backdoors riquains ou chinois ou pas du tous ?


et enfin la plus importante de tous, comment protéger les données que je produits dans mon entreprise sachant qu'on utilise déjà que du hardware riquains (xeons et routeur cisco) ?
Le plus grave c'est quand je bossait chez AWE, malgré nos sécurités (on avait notre propre distrib linux à base de debian qu'on développait en interne, avec nos propre carte mère faite maison et notre propre connecteur BXI, on fabriquait malheureusement pas nos cpu, nos gpu et nos routeur pour le rj45.

La solution viable me semble de forcer les fabricants à nous donner les moyens de voir et modifier les firmware et micro code de leurs outils. Pour le grand publique je pense pas que les entreprises accepterais, mais pour des entreprise travaillant dans des secteurs sensible sa me semble très important. Je pense que l'armée française à d’ailleurs ce privilège d'avoir accès au code source de Windows (enfin de l’espère...)

L'open source ne suffit pas, faut mettre derrière des personnes compétentes pour analyser le code et externe au projet pour avoir suffisamment de recul.
quand aux apps android no comment je préfère voir l'armée française sous windows que sous android cette os est une grosse blague et sont système de diffusion des maj c'est le Cirque Phénix

[psychadelic]

A ben c'est cool, la confiance au technologies du numérique risque pas de s'améliorer de sitôt

[Lcf.vs]

La solution viable me semble de forcer les fabricants à nous donner les moyens de voir et modifier les firmware et micro code de leurs outils. Pour le grand publique je pense pas que les entreprises accepterais, mais pour des entreprise travaillant dans des secteurs sensible sa me semble très important.

Quelle bonne blague... plus ton secteur est sensible, plus il a de valeur et donc d'intérêt à être piraté... donc, ils en profiteraient sans doute pour ajouter des backdoors, trojans & Co dans tes outils de contrôle, ce qui leur permettrait de cibler plus spécifiquement ceux qui ont ce genre de besoins ^^'

[RyzenOC]

Quelle bonne blague... plus ton secteur est sensible, plus il a de valeur et donc d'intérêt à être piraté... donc, ils en profiteraient sans doute pour ajouter des backdoors, trojans & Co dans tes outils de contrôle, ce qui leur permettrait de cibler plus spécifiquement ceux qui ont ce genre de besoins ^^'

A part tous construire soit même sa vas devenir compliqué...
On peut toujours concevoir ces propre architecture cpu ARM, mais sa me semble difficile d'avoir une license x86 ou de faire des gpu à partir de zéro.
Pour les routeurs c'est pas encore trop compliqué, les algo utilisés ont les connais tous, cisco à peut être 2-3 variantes qui permet de léger gains mais un routeur c'est comme les cartes réseau : de l’électronique encore assez simple.

y'a aussi tous les périphériques, souris, clavier, clé USB, lecteur cd/dvd, les écrans... tous peut quasiment contenir des backdoors.


Ou alors autre solution faire un retour dans les années 90 avec windows 3.1 et un pentium 1, je ne pense pas que y'avait encore des backdoor à cette époque.
MS à d'ailleur donner le code source de windows 1.0, dans quelques années on pourra compiler sa propre version de windows 3.1

ou encore Hollande pourrait montrer qu'il en as entre les jambes avant de partir et faire un embargo sur les produits US comme ils l'ont fait avec cuba.

[hotcryx]

Confiance?

On va sécuriser tout ça et on ne saura même plus qu'on est espionné

[Lcf.vs]

C'est tout à fait cela...

Je pense que la vraie question est plutôt de savoir si, de nos jours, il est encore raisonnable, quelles que soient les dispositions que l'on prend, de prétendre/croire qu'il est encore possible d'avoir un système non infecté par une crasse ou l'autre.

[RyzenOC]

C'est tout à fait cela...

Je pense que la vraie question est plutôt de savoir si, de nos jours, il est encore raisonnable, quelles que soient les dispositions que l'on prend, de prétendre/croire qu'il est encore possible d'avoir un système non infecté par une crasse ou l'autre.

Je pense pas que la question ici c'est pas de savoir si on as un système fiable ou pas mais si ton système à une backdoor installé par la CIA.
Un système safe à 100% c'est impossible, un système sans backdoor de la CIA c'est possible par contre, pour la partie software c'est pas tres copliqué dans le sens ou y'a pas besoin d'investir dans des infrastructures, mais pour la partie hardware sa nécessiterais de gros investissements européen je pense.

[Lcf.vs]

Non mais j'parlais pas du fait d'avoir un système inviolable ou non... mais bien du fait d'avoir un système qui ne soit déjà infecté, de base... que ce soit par la CIA ou d'autres.

[pierre-y]

Et ils viennent t'inventer des pseudo piratage russe alors qu'eux pirate comme des porc...

[Aeson]

L'OpenSource EST la solution contre le securite et l'espionage qu'on nous disait;.. On sait voir le code et on a communautee est tres efficace et verifie toute les lignes de code....

desole..

VLC n’est pas le seul logiciel affecté, l’agence s’est servie de nombreux logiciels apparemment anodins, comme Firefox, Chrome, Opera, Thunderbird, Libre Office, Linux et 7-Zip. On trouve aussi Skype, Notepad++, Foxit Reader ou bien Opera Mail.

et Linus n a rien vu ?

no comment.... ca doit etre difficile a encaisser.....

[Volgaan]

Non, je crois que tu n'as pas compris. Il ne s'agit pas de modifications dans les projets officiels, mais plutôt de forks "pirates". Il suffit de voir le nombre de sites suspects proposant de télécharger VLC, par exemple, mais une version vérolée de celui-ci. Je ne serais d'ailleurs pas étonné d'apprendre qu'une partie de ces sites appartiennent à la CIA justement...

Ou alors il s'agit plus simplement d'un "repackage" des exécutables dans un installateur ou un launcher spécialement conçu (et infecté). Pour exemple, 01net ou Softonic qui distribuent (distribuaient ?) des versions repackagés de logiciels connus en y intégrant des adwares

D'autant que l'article précise que d'autres logiciels sont touchés, et pas forcément des libres (Chrome, Opera, Skype, ...).

[commandantFred]

Souhaitons une excellente journée à tous les personnels des services secrets de tous ces pays qui ont travaillé si dur pour décompiler tous ces logiciels.
Ressortons nos Amiga's et Atari's ST à disquettes. Avec un peu de chance, ils auront perdu leurs anciens virus dans des backups zippés, tarés, arkés, planqués sur de vielles cartouches de sauvegarde dont les lecteurs ne sont plus fabriqués... Ou bien contentons-nous de nous protéger contre les simples hackers crapuleux, supposés moins bien équipés.

Penser qu'on peut cacher des données sur un PC connecté 24/7 est un peu absurde.

[Volgaan]

Il ne faut pas oublier qu'en cas de fuite (comme ici), les outils des services secrets finissent dans la nature, à la portée des "simples hackeurs crapuleux", justement...

[Ryu2000]

La CIA n'est pas contente après WikiLeaks...
La CIA accuse WikiLeaks d'aider les ennemis des Etats-Unis
Washington (AFP) - La CIA a accusé mercredi WikiLeaks d'aider les adversaires des Etats-Unis en révélant les méthodes qu'elle utiliserait pour transformer l'iPhone d'Apple ou des téléviseurs Samsung en outils d'espionnage.

Après Snowden qui embête la NSA, c'est WikiLeaks qui s'en prend à la CIA, les pauvres chéris

C'est marrant, parce qu'avant un type qui aurait dit : "nos téléphones peuvent être utilisé pour nous espionner" serait passé pour un fou et aujourd'hui c'est la réalité ^^

[Invité]

La TV qui te surveille ça fait bien science fiction dystopique.

1984, le télécran.

Welcome in "1984" !

[Lcf.vs]

C'est marrant, parce qu'avant un type qui aurait dit : "nos téléphones peuvent être utilisé pour nous espionner" serait passé pour un fou et aujourd'hui c'est la réalité ^^

C'est marrant, en effet... ça fait des années que j'dis, et notamment sur DVP, combien je suis étonné de la mouvance, dans notre secteur: la "confiance par défaut", envers nos OS, logiciels et bibliothèques utilisées pour le développement... et de voir à quel point on me prenait pour un fou parano.

"Sur les milliers/millions d'intervenants de tout ce qu'on utilise, il n'y aurait pas une personne mal intentionnée ou cherchant à corrompre le système au nom de la sécurité d'un état? c'est juste risible.

[Lcf.vs]

Autre fait assez inquiétant, aussi, c'est la dédramatisation faite par certains, sous couvert d'opérations ciblées, plutôt que de surveillance de masse (http://www.lalibre.be/actu/internati...708ea6c1136f68).

Car le réel problème, c'est la propagation, à notre insu, de ces éléments vérolés... parce qu'on ne me fera pas croire que la CIA et consorts ont des scrupules et se disent que dès lors qu'un système d'espionnage bien enfoui dans un package redistribué par un développeur, sortant de ce contexte ciblé, n'est pas, lui aussi, utilisé à de telles fins... juste parce que cela ne touche plus uniquement la personne ou l'organisation ciblée.