Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

  1. #1
    Chroniqueur Actualités
    Avatar de Patrick Ruiz
    Homme Profil pro
    Rédacteur technique
    Inscrit en
    février 2017
    Messages
    650
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Cameroun

    Informations professionnelles :
    Activité : Rédacteur technique
    Secteur : Communication - Médias

    Informations forums :
    Inscription : février 2017
    Messages : 650
    Points : 22 654
    Points
    22 654

    Par défaut Que faire pour obtenir des exploits zero-day en tant que gouvernement ?

    Que faire en tant que gouvernement pour obtenir des exploits zero-day ?
    C’est simple, il suffit de suivre l'exemple d'Israël

    Il y a bientôt un mois que le cas Zerodium a une fois de plus été évoqué sur cette plateforme. Il s’agit d’une startup fondée en 2015 et basée à Washington. Elle intercepte les hackers grâce à des incitatifs financiers substantiels, récupère les exploits zero-day en leur possession et les revend à des agences gouvernementales. Bien évidemment, le carnet clients des entreprises spécialisées dans la filière est généralement classé secret défense. Une récente publication du magazine Vice vient apporter la lumière à ce sujet.

    Les enfants savent bien s’y prendre quand il s’agit d’obtenir quelque chose ; généralement, ils formulent leur demande sans détour. C’est exactement ce qu’Israël a fait en 2015 lorsque, par le biais d’un membre de sa mission diplomatique aux États-Unis, le pays a adressé une correspondance à des entreprises américaines spécialisées dans le développement d’exploits zero-day. Motherboard a obtenu copie de cette dernière ajoutée comme fichier joint à un courriel adressé aux firmes contactées.

    « Le ministère de la Défense du gouvernement d’Israël est intéressé par la recherche et le développement en matière de vulnérabilités, ainsi que par des exploits zero-day ciblant une large gamme de plateformes et technologies pour accompagner les forces de l’ordre dans leur travail », peut-on y lire.

    Nom : What-is-a-Zero-Day-How-Zero-Day-Vulnerability-differ-from-Zero-Day-Exploit..jpg
Affichages : 3953
Taille : 75,5 Ko

    « Il s’agit d’une demande d’information standard. J’en ai vu plusieurs dans le même genre émanant de différentes agences gouvernementales américaines », rapporte Motherboard des propos d’un hacker qui a requis l’anonymat (comme d’autres impliqués dans ces développements). Le membre de la mission diplomatique israélienne à l’origine du courriel s’est lui aussi refusé à aller à tout commentaire. Il semble donc bien que les gouvernements procèdent généralement ainsi pour obtenir des exploits zero-day grâce auxquels leurs services de renseignement peuvent espionner les possesseurs de téléviseurs, smartphones, etc.

    Nom : part of letter.jpg
Affichages : 2681
Taille : 59,0 Ko

    Israël est reconnu comme un des leaders mondiaux en matière de cyberespionnage. Le pays compte le fameux NSO Group - une entreprise israélienne spécialisée dans l’assistance technique aux gouvernements pour l’espionnage de terminaux mobiles et le développement d’armes numériques – dans son arsenal. Apple a dû corriger trois failles zero-day permettant d’espionner les utilisateurs d’iPhone en 2016. Le pot aux roses avait été découvert par les chercheurs en sécurité de Citizen Lab – une émanation de l’université de Toronto au Canada – qui ont pu lier les vulnérabilités au spyware Pegasus conçu par cette entreprise.

    L’épisode de la lettre vient confirmer que le pays garde les yeux sur les meilleurs talents mondiaux en matière de surveillance et de développement de logiciels espions et se positionne comme un pôle d’attraction pour ces derniers.

    Source

    Lettre

    Votre opinion

    Qu’en pensez-vous ?

    Voir aussi

    Des documents du NSO Group indiquent comment l'entreprise choisit les clients à qui elle vend son spyware, mais aussi le montant de la facture
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Expert éminent Avatar de BufferBob
    Profil pro
    responsable R&D vidage de truites
    Inscrit en
    novembre 2010
    Messages
    2 606
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Activité : responsable R&D vidage de truites

    Informations forums :
    Inscription : novembre 2010
    Messages : 2 606
    Points : 7 026
    Points
    7 026

    Par défaut

    ça fait des années que ça existe et que ça se sait, en France y'a Vupen par exemple qui fait exactement la même chose que Zerodium, depuis beaucoup plus longtemps (anciennement FrSIRT si je me souviens bien, ~2004/2005 par là)
    Avant donc que d'écrire, apprenez à penser.
    Selon que notre idée est plus ou moins obscure, l'expression la suit, ou moins nette, ou plus pure.
    Ce que l'on conçoit bien s'énonce clairement, et les mots pour le dire arrivent aisément.
                                                        - Nicolas Boileau, L'Art poétique

  3. #3
    Membre à l'essai
    Homme Profil pro
    Consultant informatique
    Inscrit en
    avril 2012
    Messages
    13
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Seine et Marne (Île de France)

    Informations professionnelles :
    Activité : Consultant informatique

    Informations forums :
    Inscription : avril 2012
    Messages : 13
    Points : 16
    Points
    16

    Par défaut

    lu sur wikipedia:

    "Vupen ceased trading in 2015, and the founders created a new company Zerodium."

  4. #4
    Membre à l'essai
    Homme Profil pro
    Développeur informatique
    Inscrit en
    février 2015
    Messages
    12
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Morbihan (Bretagne)

    Informations professionnelles :
    Activité : Développeur informatique

    Informations forums :
    Inscription : février 2015
    Messages : 12
    Points : 23
    Points
    23

    Par défaut Bekrar is Bekrar

    Vupen C'est Zerodium...

  5. #5
    Expert éminent Avatar de BufferBob
    Profil pro
    responsable R&D vidage de truites
    Inscrit en
    novembre 2010
    Messages
    2 606
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Activité : responsable R&D vidage de truites

    Informations forums :
    Inscription : novembre 2010
    Messages : 2 606
    Points : 7 026
    Points
    7 026

    Par défaut

    Citation Envoyé par NBC_93_mate Voir le message
    lu sur wikipedia:

    "Vupen ceased trading in 2015, and the founders created a new company Zerodium."
    Citation Envoyé par lpinformatique Voir le message
    Vupen C'est Zerodium...
    ah, ben du coup forcément preuve que ça fait vraiment longtemps que les gouv se ravitaillent là bas
    Avant donc que d'écrire, apprenez à penser.
    Selon que notre idée est plus ou moins obscure, l'expression la suit, ou moins nette, ou plus pure.
    Ce que l'on conçoit bien s'énonce clairement, et les mots pour le dire arrivent aisément.
                                                        - Nicolas Boileau, L'Art poétique

  6. #6
    Membre habitué Avatar de pascaldm
    Profil pro
    Expert sécurité informatique
    Inscrit en
    février 2013
    Messages
    36
    Détails du profil
    Informations personnelles :
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Expert sécurité informatique
    Secteur : High Tech - Opérateur de télécommunications

    Informations forums :
    Inscription : février 2013
    Messages : 36
    Points : 150
    Points
    150

    Par défaut

    Zerodium a été créé par ‎Chaouki Bekrar et Isabelle Gorius en 2015 à Washington DC pour être à moins de 40 Km de la NSA située à Fort Meade dans le Maryland.

    En fait, Bekrar a signé plusieurs contrats avec la NSA à partir de 2012 (au moins) pour fournir des 0 day, des reverses et des exploits clef en main via sa société VUPEN Security alors installée à Montpellier. Cette information avait fuité grâce à une requête pour la liberté de l'information de la loi FOIA (Freedom of Information Act).

    VUPEN avait ensuite déménagé en 2014 à Annapolis dans le Maryland (proche de la NSA son principal client) après qu'un amendement concernant l'arrangement Wassennar portant sur l'export d'arme informatique complique son fond de commerce. VUPEN a donc été liquidé en 2015 et Bekrar a créé avec Isabelle Gorius Zerodium en 2015 au US.

    J'ai croisé des anciens de VUPEN depuis 2014 qui participaient au concours Pown2Own gagné systématiquement par VUPEN de 2011 à 2014... Cette célébrité a permis la reconnaissance de VUPEN sur le marché du 0 day.

    Aujourd'hui, Zerodium est plus un revendeur d'exploits qu'un chercheur. C'est un marketplace du 0 day qui achètent des exploits aux chercheurs en sécurité pour les revendre aux services de renseignements (de tout pays ?) et peut être aussi à d'autres acteurs. Les services de renseignement (principalement NSA et CIA) achètent des vulnérabilités pour produire leur outils opérationnels dont wikileaks ou Snowden annoncent régulièrement des leaks. Les vulnérabilités étant patchées au fur et à mesure, ces outils nécessitent une alimentation continue en vulnérabilités inconnues ce qui développe le marché du 0 day.

Discussions similaires

  1. Réponses: 0
    Dernier message: 04/07/2011, 12h02
  2. [conseils]Que faire pour m'entraîner?
    Par nicolaskarp dans le forum Général Java
    Réponses: 8
    Dernier message: 21/07/2005, 00h36
  3. [DirectDraw] Que faire pour optimiser le rendu ???
    Par mat.M dans le forum DirectX
    Réponses: 8
    Dernier message: 12/12/2003, 19h02
  4. comment faire pour developper des prog en win32
    Par rhodan51 dans le forum Autres éditeurs
    Réponses: 11
    Dernier message: 09/11/2003, 20h39

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo