Un nouveau rapport met en lumière les activités malveillantes sur Discord, notamment autour des abonnements Discord Nitro qui représente une véritable opportunité pour les cybercriminels.

Pour rappel, Discord est un service en ligne très populaire pour échanger par chat ou par audio et il existe de nombreuses communautés sur des thématiques diverses et variées. Même si à ses débuts il était utilisé surtout par les gamers, ce n'est plus du tout le cas depuis plusieurs années. D'ailleurs, il y a le serveur Discord de la communauté IT-Connect ! Discord compte plus de 300 millions d'utilisateurs actifs. Forcément, s'il y autant d'utilisateurs sur cette plateforme, cela va attirer les cybercriminels.

Justement, un chercheur en sécurité de chez CyberArk Labs a fait la découverte d'un nouveau malware nommé Vare qui présente la particularité d'être distribué par l'intermédiaire de Discord. Il est associé à un groupe de pirates nommé Kurdistan 4455 basé au sud de la Turquie.

Discord Nitro, l'élément déclencheur

D'après ce chercheur, c'est depuis qu'il y a l'offre payante Discord Nitro qu'il y a des malwares sur Discord. Pourquoi ? Et bien, parce qu'en échange d'un abonnement payé mensuellement, l'utilisateur accède à des fonctions supplémentaires comme le chargement de fichiers plus lourds ou une qualité plus élevée pour le streaming.

De ce fait, il y a des utilisateurs qui essaient d'obtenir des clés d'activation Discord Nitro de manière gratuite et qui se font piéger. Certains d'entre eux s'essaient aussi au brute force ou au social engineering pour mettre la main sur les avantages Discord Nitro gratuitement. C'est pour cette raison qu'avec un malware, les pirates peuvent piéger les utilisateurs et leur voler des informations, notamment les coordonnées de cartes bancaires dans le but d'acheter des clés Discord Nitro : "Ces clés peuvent être échangées pour obtenir Discord Nitro, et des acteurs malveillants les vendent à des fins lucratives.", précise l'étude CyberArk.

Le malware Vare

Dans le cas présent, le malware Vare utilisé par les pirates informatiques est codé en Python puis converti en exécutable avec pyInstaller. Il agit uniquement sur Discord, que ce soit pour stocker les données exfiltrées ou pour trouver de nouvelles cibles. 

Une fois la machine infectée, le malware Vare va être capable de voler des informations notamment dans Discord : jetons d'authentification, informations de paiement, statut du Nitro, ainsi que le numéro de téléphone associé au compte. Cela ne s'arrête pas là, car il va aussi se servir dans les navigateurs pour voler les mots de passe enregistrés et récupérer des informations sur la machine en elle-même (CPU, RAM, clés WiFi enregistrées, etc.). Ces fonctions correspondent à celles que l'on retrouve dans le malware Empyrean.

Cette recherche est intéressante, car elle montre que ce n'est pas simplement une guerre entre les cybercriminels d'un côté et les utilisateurs de l'autre. En effet, ici le groupe de cybercriminels Kurdistan 4455 va chercher à piéger d'autres personnes malveillantes : ce qui prouve que personne n'est à l'abri et que ce n'est pas qu'une question de positionnement !

Le rapport complet de CyberArk est disponible à cette adresse.

The post Le malware Vare circule sur Discord pour voler vos données bancaires ! first appeared on IT-Connect.

I. Présentation

Dans ce tutoriel, nous allons apprendre à configurer un serveur DHCP de façon à pouvoir faire du boot PXE à la fois en mode BIOS et en mode UEFI, sur le même réseau. Un serveur WDS sous Windows Server 2022 sera utilisé pour tester le bon fonctionnement.

Lorsque l'on effectue un boot PXE sur une machine en mode BIOS (ou Legacy), il faut configurer les options DHCP 66 et 67. Dans le même temps, quand on utilise le mode UEFI (avec ou sans Secure Boot), il faut configurer les options DHCP 60, 66 et 67, mais avec une valeur différente pour l'option 67 qui est commune aux deux modes.

Si l'on a besoin de déployer les deux types de machines et que l'on utilise le même réseau local pour le déploiement (ce qui est généralement le cas), on se retrouve dans l'obligation d'ajuster la configuration de l'étendue DHCP en fonction de la configuration de la machine à déployer (BIOS ou UEFI). Même si l'UEFI devient le mode par défaut et se généralise, la problématique existe toujours. Pour répondre à cette problématique et gérer les deux modes en même temps, nous allons pouvoir créer des stratégies DHCP. C'est ce que nous allons voir.

En ce qui concerne l'environnement utilisé pour cette démo :

• Un serveur virtuel WDS
  • Nom de machine : SRV-WDS
  • Adresse IP : 192.168.14.11
  • Intégré au domaine Active Directory (facultatif)
• Un serveur virtuel contrôleur de domaine et DHCP
  • Nom de machine : SRV-ADDS-01
  • Adresse IP : 192.168.14.10
  • Nom de domaine : it-connect.local
• Une machine virtuelle vierge pour tester le boot PXE

Si vous avez besoin d'aide pour mettre en place le serveur WDS, suivez la vidéo complète puisqu'elle intègre cette partie.

II. VMware Workstation : basculer du mode BIOS au mode UEFI

Le firmware d'une machine virtuelle VMware Workstation Pro peut être configuré en mode "BIOS ou "UEFI". Avec Windows 10, on peut utiliser l'un de ces deux modes, tandis qu'avec Windows 11, il faut utiliser impérativement le mode UEFI pour respecter le prérequis de la puce TPM (vTPM).

Pour basculer d'un mode à l'autre, voici la marche à suivre. Accédez aux paramètres de la machine virtuelle, cliquez sur l'onglet "Options", choisissez "Advanced" dans la liste et sur la droite ajustez le paramètre "Firmware type".

Si vous souhaitez vous exercer sur une machine virtuelle, comme je le fais dans cette démonstration, conservez le mode "BIOS" pour le moment.

III. WDS : boot PXE en mode BIOS

Avant de gérer les deux modes, voyons comment utiliser le mode BIOS seul. Pour cela, nous allons configurer l'étendue "Deploiement" déjà présente sur le serveur DHCP et qui distribue des adresses IP sur le réseau "192.168.14.0/24".

• Installer et configurer un serveur DHCP sous Windows Server

Commencez par ouvrir la console DHCP, sélectionnez l'étendue DHCP utilisée pour le déploiement et effectuez un clic droit sur "Options d'étendue" pour cliquer sur "Configurer les options".

Dans l'onglet "Général", activez les options 066 et 067 en cochant la case située sur la gauche. Renseignez les deux options de cette façon :

• Option 66 : l'adresse IP du serveur PXE, ici c'est le serveur WDS
• Option 67 : le nom du fichier de démarrage, indiquez la valeur générique "boot\x64\wdsnbp.com".

Validez, vous devez obtenir ceci :

C'est suffisant pour faire du boot PXE en mode BIOS !

Pour tester, rien de plus simple : on démarre une machine virtuelle en "boot réseau" et si elle est bien sur le même segment réseau que les serveurs, elle va obtenir une adresse IP et se connecter au serveur WDS. Sur l'exemple ci-dessous, on voit bien qu'elle a pu obtenir une adresse IP et qu'il faut appuyer sur F12 pour démarrer sur le réseau.

C'est tout bon pour le mode BIOS.

IV. WDS : Boot PXE en mode UEFI (et BIOS)

Pour configurer le DHCP avec les options spécifiques au mode UEFI, le principe est le même avec des options et valeurs différentes.

Maintenant, nous allons voir comment configurer le serveur DHCP pour qu'il gère les deux modes : UEFI et BIOS.

Je vous propose de réaliser cette configuration en PowerShell. Voici les étapes à réaliser :

• Activer la prise en charge de l'option 60 dans le serveur DHCP
• Déclarer des classes de fournisseurs pour différencier les machines BIOS et UEFI
• Créer une stratégie pour gérer les machines en mode BIOS
• Créer une stratégie pour gérer les machines en mode UEFI

A. DHCP : ajouter la prise en charge de l'option 60

Dans la liste des options DHCP, l'option 60 n'est pas disponible dans la liste. À l'aide de PowerShell (ou de netsh), nous allons pouvoir remédier à cela.

Sur le serveur DHCP, en l'occurrence SRV-ADDS-01 dans mon exemple, ouvrez une console PowerShell en tant qu'administrateur et exécutez cette commande :

Add-DhcpServerv4OptionDefinition -ComputerName SRV-ADDS-01 -Name PXEClient -Description "PXE Support" -OptionId 060 -Type String

Après avoir actualisé la console DHCP, on peut voir que cette option est accessible :

Passons à la suite.

B. DHCP : déclarer les classes de fournisseurs

Pour la suite, je vous recommande d'utiliser PowerShell ISE ou Visual Studio Code pour écrire les commandes au fur et à mesure.

Commençons par définir trois variables que l'on va appeler tout au long de la procédure :

# Nom d'hôte du serveur DHCP
$DhcpServerName = "SRV-ADDS-01"
# Adresse IP du serveur WDS (PXE)
$PxeServerIp = "192.168.14.11"
# Adresse réseau de l'étendue DHCP ciblée
$Scope = "192.168.14.0"

Puis, grâce aux commandes ci-dessous, nous allons définir trois classes de fournisseurs DHCP correspondantes à des architectures différentes. Par exemple, la valeur "PXEClient:Arch:00007" correspond à du boot PXE pour l'UEFI en x64.

Exécutez les trois commandes suivantes :

Add-DhcpServerv4Class -ComputerName $DhcpServerName -Name "PXEClient - UEFI x64" -Type Vendor -Data "PXEClient:Arch:00007" -Description "PXEClient:Arch:00007"
Add-DhcpServerv4Class -ComputerName $DhcpServerName -Name "PXEClient - UEFI x86" -Type Vendor -Data "PXEClient:Arch:00006" -Description "PXEClient:Arch:00006"
Add-DhcpServerv4Class -ComputerName $DhcpServerName -Name "PXEClient - BIOS x86 et x64" -Type Vendor -Data "PXEClient:Arch:00000" -Description "PXEClient:Arch:00000"

Les modifications effectuées par ces commandes sont visibles dans :

Passons à la suite.

C. Créer les stratégies DHCP pour le BIOS et l'UEFI

Désormais, il faut créer les stratégies DHCP. Dans l'ordre suivant (même si l'ordre n'a pas d'importance) :

• Une première stratégie pour le mode BIOS x86 et x64.
• Une seconde stratégie pour le mode UEFI x86
• Une troisième stratégie pour le mode UEFI x64.

Ces stratégies vont s'appliquer sur l'étendue ciblée (variable définie précédemment) sur le serveur DHCP.

Pour créer la première stratégie :

$PolicyNameBIOS = "PXEClient - BIOS x86 et x64"
Add-DhcpServerv4Policy -Computername $DhcpServerName -ScopeId $Scope -Name $PolicyNameBIOS -Description "Options DHCP pour boot BIOS x86 et x64" -Condition Or -VendorClass EQ, "PXEClient - BIOS x86 et x64*"
Set-DhcpServerv4OptionValue -ComputerName $DhcpServerName -ScopeId $Scope -OptionId 066 -Value $PxeServerIp -PolicyName $PolicyNameBIOS
Set-DhcpServerv4OptionValue -ComputerName $DhcpServerName -ScopeId $Scope -OptionId 067 -Value boot\x64\wdsnbp.com -PolicyName $PolicyNameBIOS

Pour créer la seconde stratégie :

$PolicyNameUEFIx86 = "PXEClient - UEFI x86"
Add-DhcpServerv4Policy -Computername $DhcpServerName -ScopeId $Scope -Name $PolicyNameUEFIx86 -Description "Options DHCP pour boot UEFI x86" -Condition Or -VendorClass EQ, "PXEClient - UEFI x86*"
Set-DhcpServerv4OptionValue -ComputerName $DhcpServerName -ScopeId $Scope -OptionId 060 -Value PXEClient -PolicyName $PolicyNameUEFIx86
Set-DhcpServerv4OptionValue -ComputerName $DhcpServerName -ScopeId $Scope -OptionId 066 -Value $PxeServerIp -PolicyName $PolicyNameUEFIx86
Set-DhcpServerv4OptionValue -ComputerName $DhcpServerName -ScopeId $Scope -OptionId 067 -Value boot\x86\wdsmgfw.efi -PolicyName $PolicyNameUEFIx86

Pour créer la troisième stratégie :

$PolicyNameUEFIx64 = "PXEClient - UEFI x64"
Add-DhcpServerv4Policy -Computername $DhcpServerName -ScopeId $Scope -Name $PolicyNameUEFIx64 -Description "Options DHCP pour boot UEFI x64" -Condition Or -VendorClass EQ, "PXEClient - UEFI x64*"
Set-DhcpServerv4OptionValue -ComputerName $DhcpServerName -ScopeId $Scope -OptionId 060 -Value PXEClient -PolicyName $PolicyNameUEFIx64
Set-DhcpServerv4OptionValue -ComputerName $DhcpServerName -ScopeId $Scope -OptionId 066 -Value $PxeServerIp -PolicyName $PolicyNameUEFIx64
Set-DhcpServerv4OptionValue -ComputerName $DhcpServerName -ScopeId $Scope -OptionId 067 -Value boot\x64\wdsmgfw.efi -PolicyName $PolicyNameUEFIx64

Une nouvelle fois, cette configuration est visible dans la console DHCP. Ici, il faut accéder à la partie "Stratégies" de l'étendue DHCP ciblée. Voici le résultat :

Si l'on regarde les options de notre étendue DHCP, on peut voir qu'il y a beaucoup de valeurs. Effectivement, nous avons plusieurs fois les mêmes options, mais avec des valeurs différentes, et la bonne valeur sera appliquée en fonction de la machine qui initie la connexion.

Le serveur DHCP est correctement configuré !

D. Tester le boot PXE en UEFI

Pour tester cette configuration, il convient de basculer la machine virtuelle en mode UEFI (avec le Secure Boot actif tant qu'à faire) et de tester un boot sur le réseau. Si le serveur DHCP est correctement configuré, la machine virtuelle doit parvenir à contacter le PXE et il suffira d'appuyer sur Entrée pour initier le boot réseau et charger l'image de démarrage.

V. Conclusion

Nous venons de voir comment configurer un serveur DHCP pour prendre en charge le boot PXE en mode BIOS et en mode UEFI. Dans cet exemple, le serveur PXE est représenté par un serveur WDS mais il pourrait s'agir d'une autre solution.

Si vos serveurs sont dans un réseau différent des machines à déployer (VLANs différents, par exemple), vous devez déclarer l'adresse IP du serveur DHCP et du serveur WDS dans les options de relais DHCP de votre passerelle (routeur/pare-feu).

The post Serveurs WDS et DHCP – Comment faire du boot PXE BIOS et UEFI sur le même réseau ? first appeared on IT-Connect.

L'entreprise suisse Proton vient de lancer en version bêta son propre gestionnaire de mots de passe : Proton Pass. Il est l'heure de faire le point sur cette nouveauté !

Au fil des années, Proton continue d'étoffer son catalogue de services alors qu'initialement il s'agissait seulement d'un service de messagerie en ligne. Pas n'importe quel service, car il s'agit d'une solution de messagerie basée sur du chiffrement de bout en bout : la sécurité et la confidentialité sont au cœur des préoccupations chez Proton. Au-delà des e-mails, Proton propose un service de gestion de calendriers, de stockage en ligne ou encore de navigation sécurisée avec le service Proton VPN.

Désormais, le gestionnaire de mots de passe Proton Pass vient s'ajouter au catalogue de service de l'entreprise suisse ! Un marché sur lequel la concurrence est forte. On peut citer quelques solutions très connues comme Bitwarden, LastPass, 1Password ou encore KeePass dans un style un peu différent. D'ailleurs, Proton n'hésite pas à évoquer le dernier incident de sécurité qui a touché LastPass.

Pour cette première version, Proton a inclus des fonctions inévitables dans un gestionnaire de mots de passe :

• Remplissage automatique des formulaires de connexion (le nom d'utilisateur et le mot de passe) y compris lorsqu'il y a le MFA
  • Tout dépend du type de second facteur, et cela ne plaira pas forcément à tout le monde, car on met tous ses œufs dans le même panier comme on dit...
• Enregistrement automatique des identifiants dans votre coffre-fort de mots de passe s'il s'agit de nouvelles informations
• Génération de mots de passe à la demande (mots de passe robustes, bien sûr)

Au-delà de stocker le nom d'utilisateur et le mot de passe, Proton Pass intègre une zone de saisie supplémentaire dans chaque entrée pour permettre l'ajout de notes. Fonction utile pour conserver les codes de récupération correspondants à un site spécifique, par exemple.

À l'instar de Proton Mail et des autres services, Proton Pass bénéficie du chiffrement de bout en bout : "Proton Pass ne se contente pas de chiffrer le champ du mot de passe, mais applique un chiffrement de bout en bout à tous les champs, y compris les noms d'utilisateur, les adresses web et toutes les données contenues dans la section des notes chiffrées."

Pour le moment, Proton Pass est accessible en version bêta, que ce soit en mode web (extensions pour Chrome et Brave pour le moment) ou à partir d'applications mobiles pour iOS et Android. Une version gratuite est accessible à tout le monde. Le modèle de sécurité de Proton Pass est décrit sur cette page.

Source

The post Proton lance Proton Pass, son gestionnaire de mots de passe ! first appeared on IT-Connect.

Google a corrigé une nouvelle faille de sécurité zero-day dans son navigateur Google Chrome ! Puisqu'elle serait exploitée par les cybercriminels, il est recommandé d'effectuer la mise à jour vers la nouvelle version dès maintenant !

Il y a quelques jours, Google a mis en ligne Google Chrome 112.0.5615.121 dans le but de corriger plusieurs failles de sécurité dont la faille zero-day CVE-2023-2033, exploitée dans le cadre d'attaques. Sauf que cette version est déjà obsolète puisque l'entreprise américaine a mis en ligne une nouvelle version de Chrome pour corriger une autre faille zero-day : Google Chrome  112.0.5615.137. C'est donc cette version que vous devez utiliser pour être protégé.

La faille de sécurité zero-day faisant l'objet de cette alerte est associée à la référence CVE-2023-2136. Il s'agit d'une vulnérabilité de type "integer overflow" dans la bibliothèque graphique 2D Skia. Il s'agit d'une bibliothèque open source maintenue par Google et écrite en C++ qui joue un rôle clé dans la gestion de l'affichage du navigateur Google Chrome.

Une fois encore, c'est Clément Lecigne de l'équipe Google Threat Analysis qui a découvert cette faille de sécurité ! En exploitant cette vulnérabilité, un attaquant pourrait corrompre la mémoire de la machine et effectuer une exécution de code arbitraire sur le système de la machine ciblée. Comme à son habitude, la firme de Mountain View n'a pas donné de précisions sur les incidents de sécurité observés ou sur l'exploitation technique de cette faille de sécurité.

Google Chrome 112.0.5615.137 est disponible pour tous les utilisateurs sous Windows et macOS, tandis que pour Linux elle devrait être disponible prochainement d'après Google. Au total, cette nouvelle version corrige 8 failles de sécurité dans Chrome !

Pour mettre à jour Google Chrome : cliquez sur les trois points en haut à droite, puis sous "Aide" cliquez sur "À propos de Google Chrome". Le navigateur va rechercher immédiatement la présence d'une mise à jour et l'installer.

À vos mises à jour !

Source

The post Google Chrome – CVE-2023-2136 : une seconde faille zero-day corrigée dans le navigateur ! first appeared on IT-Connect.

L'éditeur de la solution PaperCut a émis une alerte à destination de ses utilisateurs : de nombreuses attaques sont en cours sur les serveurs PaperCut ! Les pirates exploitent une faille de sécurité permettant une exécution de code à distance, pourtant déjà corrigée par l'éditeur.

En entreprise, lorsque l'on cherche une solution de gestion des impressions compatible avec une grande majorité de marques et modèles, il est difficile de passer à côté de PaperCut. Même s'il existe d'autres solutions sur le marché, celle-ci est très présente en France et ailleurs dans le monde. D'ailleurs le site officiel précise : "Un logiciel de gestion d’impression qui aide des centaines de millions de personnes dans le monde à limiter le gâchis tout en bénéficiant d’une expérience d’impression simple et sécurisée."

Pour être plus précis :

• CVE-2023–27350 : faille d'exécution de code à distance, sans être authentifié, impactant toutes les versions 8.0 ou ultérieures de PaperCut MF ou NG sur tous les OS, à la fois pour les serveurs d'application et de site.
•  CVE-2023–27351 : faille de divulgation d'informations, sans être authentifié, impactant toutes les versions 15.0 ou ultérieures de PaperCut MF ou NG sur tous les OS, pour les serveurs d'application.

La faille de sécurité qui est activement exploitée par les cybercriminels, c'est bien celle-ci : CVE-2023-27350. Par précaution, et pour laisser le temps aux entreprises d'appliquer le correctif, PaperCut ne dévoile pas d'informations précises à ce sujet. Toutefois, Trend Micro divulguera plus d'informations sur ces vulnérabilités le 10 mai 2023.

PaperCut : comment se protéger de la CVE-2023–27350 ?

Pour se protéger, il est recommandé aux utilisateurs des versions concernées d'effectuer une mise à niveau vers les versions 20.1.7, 21.2.11 et 22.0.9 de PaperCut MF et PaperCut NG. Ces versions (et les prochaines) permettent d'être protégé contre les attaques en cours.

Pour les entreprises qui utilisent une version plus ancienne que la version 19 de PaperCut, sachez qu'il n'y aura pas de correctif puisque ce sont des versions en fin de vie. De ce fait, il va falloir passer par l'achat d'une nouvelle licence PaperCut ou d'une mise à niveau de la licence actuelle.

Le bulletin de sécurité apporte des précisions sur les indicateurs de compromissions, ainsi qu'une mesure de protection contre la CVE-2023-27351 qui n'est pas celle exploitée par les pirates.

Source

The post Les serveurs PaperCut pris pour cible ! Les pirates exploitent une faille critique ! first appeared on IT-Connect.

Une fois de plus, les serveurs SQL Server exposés sur Internet sont pris pour cible par les cybercriminels. Cette fois-ci, l'objectif est de déployer le ransomware Trigona et de chiffrer tous les fichiers de la machine compromise. Faisons le point.

D'après les chercheurs en sécurité de l'entreprise AhnLab qui ont mis en lumière cette campagne d'attaques, les cybercriminels du gang de ransomware Trigona scannent Internet à la recherche de serveurs SQL Server accessible à distance. Sur les serveurs identifiés, ils peuvent ensuite effectuer une attaque par brute force (notamment à l'aide d'un dictionnaire de mots de passe). Si l'administrateur n'a pas défini un mot de passe suffisamment complexe et que son serveur n'est pas correctement protégé (avec une instance CrowdSec, par exemple), il peut être compromis par les pirates.

Lorsque les pirates obtiennent un accès sur le serveur SQL Server, il déploie un malware surnommé CLR Shell par l'entreprise AhnLab. Ce malware est utilisé pour effectuer une élévation de privilèges sur le serveur, notamment en exploitant une faille de sécurité dans Windows Secondary Logon Service (CVE-2016-0099). Lorsque le malware dispose des droits SYSTEM sur le serveur, il télécharge et exécute le ransomware en tant que processus svchost.exe. Le chiffrement des données est effectué (extension  ._locked) et certaines données sont exfiltrées.

Pour rendre l'opération de récupération plus difficile, le logiciel malveillant supprime les points de restauration et les éventuels clichés instantanés du serveur. Bien entendu, une note de rançon est déposée par le ransomware Trigona pour donner les instructions à la victime. Actif depuis au moins octobre 2022, ce gang accepte uniquement les paiements via la cryptomonnaie Monero.

Bien que cette menace soit réelle, pour en être victime, il faut disposer d'un serveur SQL Server exposé sur Internet, avec un compte pas suffisamment protégé et un serveur qui n'est pas à jour. Quoi qu'il en soit, le ransomware Trigona est très actif puisqu'il y a eu au moins 190 soumissions à la plateforme ID Ransomware depuis le début de l'année 2023.

Source

The post Des instances SQL Server compromises pour déployer le ransomware Trigona first appeared on IT-Connect.

L'entreprise Barco propose à la vente une gamme complète de produits destinés aux entreprises adeptes de visioconférences et de travail collaboratif, en connexion sans-fil. Gamme surnommée ClickShare Conferences dans laquelle on retrouve les modèles ClickShare CX-20 et CX-30 présentés dans cet article.

Depuis plusieurs années, Barco cherche à élaborer des systèmes sans-fil intuitif et simple d'utilisation. Un critère très important, car l'utilisateur appréciera s'il n'a pas besoin de lire une notice de 10 pages avant de pouvoir utiliser le matériel d'une salle de réunion... C'est une problématique réelle qui, sans aucun doute, parlera à de nombreuses personnes.

D'ailleurs, les systèmes de partage d'écran Barco ClickShare CX-20 et CX-30 s'adressent respectivement aux petites salles de réunion et aux salles de réunion de taille moyenne (la distance de transmission est de 30 mètres). Le modèle CX-50 intègre aussi cette gamme, pour les grandes salles. Même si le modèle CX-20 représente l'entrée de gamme, il offre les deux fonctions suivantes, comme le reste de la gamme ClickShare Conference :

• Partager son écran via une connexion sans-fil (pas besoin de câble HDMI ou autre)
• Participer à une visioconférence en ligne, sans-fil

Le kit ClickShare CX-20 est livré avec une base et un accessoire ClickShare Button qui se connecte à l'ordinateur depuis lequel on souhaite partager son écran. Ce qui permet de partager l'écran d'un ordinateur à la fois, tandis que le modèle CX-30 supporte le partage de deux ordinateurs en même temps (écran de diffusion scindé en deux parties).

Toutefois, on peut connecter jusqu'à 32 personnes en même temps, c'est bien le partage en simultané qui est limité.

Dans les faits, et si l'on prend l'exemple d'un ordinateur Windows, l'utilisation s'effectue de cette façon : on branche le ClickShare Button en USB à son ordinateur et on appuie sur le bouton sur le dessus du boitier de manière à établir la connexion.

Pour les entreprises qui recherchent une solution pour le partage d'écran sans-fil, il y a aussi un modèle moins onéreux et qui se concentre sur ce besoin : C-5 clickshare.

Compatibilité avec les principaux systèmes du marché

Lorsque vous déciderez de rejoindre une visioconférence avec le système Barco, sachez qu'il y a une compatibilité avec les solutions de visioconférences phares, à savoir Microsoft Teams, Zoom, Google Meet et Cisco Webex (liste non exhaustive).

Barco supporte officiellement Windows, macOS, Android et iOS. De ce fait, on peut utiliser un PC, une tablette ou un smartphone, grâce à la compatibilité avec Apple AirPlay, Google Cast et le Miracast. Ceci signifie également que la connexion ne passe pas que par le boitier ClickShare Button. Un bon point.

Côté du matériel de diffusion, à savoir les caméras, les micros, etc... Barco a également établi des partenariats avec de grandes marques pour assurer la compatibilité. On peut citer Poly, Bose, Yamaha, Jabra, Logitech ou encore Vaddio.

Dans le cas où vous envisagez d'équiper plusieurs salles avec du matériel Barco ClickShare, sachez qu'une plateforme de gestion Cloud nommée XMS Cloud Management est accessible pour une gestion centralisée de votre parc Barco.

Vous utilisez déjà ces solutions et souhaitez partager un retour d'expérience ? Vous pouvez publier un commentaire sur cet article !

The post Partage d’écran et visioconférence sans-fil avec la gamme ClickShare de Barco first appeared on IT-Connect.

Très utilisée par les logiciels, la librairie VM2 contient une faille de sécurité critique qui permet à l'attaquant d'exécuter du code malveillant sur la machine hôte. Faisons le point sur cette vulnérabilité.

La première question que l'on peut se poser, c'est : "qu'est-ce que la librairie VM2 ?". Il s'agit d'un système de sandbox codé en JavaScript qui est utilisé par certains logiciels, notamment des éditeurs de code, des outils de sécurité et des frameworks de pentesting.

SeungHyun Lee , un chercheur en sécurité coréen, a publié un exploit PoC qui permet d'exécuter du code (malveillant ou non) sur un hôte utilisant le système de sandbox VM2. Autrement dit, on échappe au système de sandbox. Sur le GitHub de ce chercheur, on peut consulter le code de l'exploit PoC qui lui a permis de créer un fichier nommé "pwned" sur la machine hôte.

Avant cela, au cours des deux dernières semaines, plusieurs chercheurs en sécurité ont divulgué des failles dans VM2, avec à chaque fois la possibilité de contourner le système de bac à sable pour exécuter du code malveillant. D'ailleurs, il y a plusieurs références CVE associées à ces vulnérabilités : CVE-2023-29017, CVE-2023-29199 et CVE-2023-30547.

Cet article fait surtout référence à la faille de sécurité critique associée à la référence CVE-2023-30547 et qui hérite d'un méchant score CVSS de 9.8 sur 10. À cause d'elle, la fonction de protection handleException() de VM2 échoue, ce qui offre la possibilité à l'attaquant d'exécuter du code sur la machine hôte.

Dès à présent, il est recommandé à tous les utilisateurs de passer sur la version 3.9.17 de VM2 puisqu'elle corrige cette faille de sécurité. Pour les développeurs qui utilisent la librairie VM2, il convient aussi de mettre à jour leur application avec cette nouvelle version.

Cela est d'autant plus important qu'il existe un exploit PoC.... Ce qui va surement faciliter le travail des cybercriminels qui aimeraient exploiter cette vulnérabilité.

Si vous avez des noms d'applications qui utilisent cette librairie, je suis preneur !

Source

The post Une faille critique dans la librairie VM2 permet de s’échapper de la sandbox first appeared on IT-Connect.

Des chercheurs en sécurité ont fait la découverte d'une nouvelle campagne qui s'appuie sur des vidéos YouTube pour diffuser des liens malveillants menant au malware Aurora, dans le but de voler des informations sur la machine infectée. Faisons le point.

Ce n'est que depuis la fin de l'année 2022 que l'on entend parler du malware Aurora. Codé en Go, l'objectif de ce logiciel malveillant est de voler des informations sur votre machine, notamment les identifiants enregistrés dans les navigateurs, dans le système, mais aussi le contenu d'un portefeuille de cryptomonnaie. Dans le même esprit que la menace RedLine.

L'entreprise de cybersécurité Morphisec a mis en ligne un rapport au sujet d'un nouveau loader nommé "in2al5d p3in4er" qu'il faut lire "invalid printer", dont l'objectif est de déployer le malware Aurora. Pour tenter de piéger des utilisateurs, les cybercriminels utilisent :

• Des vidéos YouTube 
• Des sites web pour faire la promotion de logiciels crackés

Si l'on s'intéresse à la partie YouTube, on constate que si l'utilisateur clique sur un lien présent dans la description de la vidéo, il est redirigé vers un site malveillant où il est invité à télécharger un utilitaire (comme le promet la vidéo) sauf qu'il s'agit en fait du loader pour Aurora.

Les pirates s'appuient sur plusieurs chaînes YouTube pour distribuer les vidéos malveillants, notamment la chaine ci-dessous qui a été compromise. On peut voir une vidéo récente pour obtenir "Adobe Audition" ou "Adobe Animate" en version crackée. On voit aussi qu'il y a déjà eu plusieurs centaines de vues en quelques heures.

Il y a un réel effort fait sur les vidéos : vignettes de qualité et utilisation d'une IA pour générer les vidéos.

Il est à noter que l'exécutable malveillant (loader) a été compilé avec l'application Embarcadero RAD Studio, ce qui lui permettrait d'être plus difficilement détectable, avec une capacité à échapper aux bacs à sable et aux machines virtuelles.. À ce sujet, voici les précisions de l'entreprise Morphisec : "Ceux qui ont le taux de détection le plus bas sur VirusTotal sont compilés à l'aide de 'BCC64.exe', un nouveau compilateur C++ d'Embarcadero basé sur Clang".

Une nouvelle fois, la thématique des "logiciels crackés" est utilisée par les pirates informatiques. Un utilisateur qui cherchera à obtenir une version crackée d'un logiciel, pourra tomber sur une vidéo YouTube ou un site web malveillant, et finir par télécharger et exécuter le malware !

Comme le montre l'image ci-dessous, issue du rapport de Morphisec, des logiciels populaires sont utilisés comme leurre.

Source

The post Des vidéos YouTube utilisées pour distribuer le malware Aurora first appeared on IT-Connect.

I. Présentation

Dans ce tutoriel, nous allons apprendre à utiliser les snapshots avec VMware Workstation Pro ! Que ce soit avec cet hyperviseur ou un autre, un snapshot permet de capturer l'état d'une machine virtuelle à un instant t, ce qui permet de revenir sur cet état ultérieurement en cas de besoin.

Il est important de préciser qu'un snapshot n'est pas là pour remplacer les sauvegardes traditionnelles, même si l'on peut restaurer un snapshot pour revenir à un état antérieur. Plusieurs cas concrets sont adaptés pour l'utilisation des snapshots :

• On s'apprête à effectuer une installation, une modification de la configuration
  • Le snapshot avant l'opération va permettre de revenir en arrière en quelques secondes si cela se passe mal.
• On a mis en place une machine virtuelle propre (fresh install) avec tous ses outils
  • Quand on a besoin, on peut utiliser cette VM pour faire des tests, et à la fin, on restaure le snapshot pour retrouver la base saine
• On veut essayer plusieurs versions différentes d'un même logiciel
  • On peut créer plusieurs snapshots en parallèle et basculer d'un état à un autre
• Etc...

Sur un lab avec VMware Workstation Pro, les snapshots c'est super pratique !

La vidéo complète est disponible sur la chaîne YouTube :

Précédemment, nous avons vu comment débuter avec VMware Workstation Pro et le fonctionnement des réseaux virtuels :

• Tutoriel - Bien débuter avec VMware Workstation Pro
• Tutoriel - Les réseaux virtuels avec VMware Workstation Pro
• Ressource - Télécharger VMware Workstation Pro

II. Créer son premier snapshot

Pour créer son premier snapshot dans VMware Workstation Pro, on a deux choix :

• Utiliser la barre d'outils en haut de l'interface : le premier icône à gauche sert à créer un snapshot, tandis que le second sert à restaurer un snapshot et le troisième sert à ouvrir le gestionnaire de snapshots.
• Effectuer un clic droit sur la machine virtuelle : le menu "Snapshot" contient une entrée "Take Snapshot..." qui sert à créer un snapshot.

En image, cela donne :

Le moyen le plus rapide, c'est de cliquer sur le bouton "Take Snapshot" (1). Ensuite, il faut nommer le snapshot comme ici "Fresh install OK" (2) et cliquer sur "Take Snapshot" (3). C'est important de renseigner un nom parlant et une description ne sera pas de trop...

On peut prendre un snapshot lorsque la VM est allumée ou éteinte.

Une photo de la machine virtuelle est prise. On peut revenir à cet état à tout moment, tout le temps que le snapshot n'est pas supprimé. Si l'on ouvre le snapshot manager, on peut voir la chronologie : "Fresh install OK", à savoir notre snapshot, et "You Are Here" qui représente l'état actuel.

Après avoir effectué des manipulations sur la machine virtuelle, on peut revenir à l'état antérieur en restaurant le snapshot. Ainsi, on retrouve la machine virtuelle dans l'état telle qu'elle était au moment du snapshot.

À partir du "Snapshot Manager", on sélectionne le snapshot "Fresh install OK" (2), on clique sur "Go To" (équivalent de "Restaurer") (2) et on valide avec "Yes". Quand on revient sur un état antérieur, on perd l'état actuel.

Voilà, nous venons de voir comment créer et un restaurer notre premier snapshot.

III. Créer plusieurs snapshots en parallèle

Avec VMware Workstation Pro, le système de snapshots évolués (et le Snapshot Manager très pratique) va permettre de créer plusieurs snapshots en parallèle. Je m'explique. On va créer notre premier snapshot "Fresh install OK", comme précédemment avec une machine vierge et propre.

Ensuite, on souhaite tester sur cette machine différentes versions de Microsoft Office : Microsoft Office 2021 et Microsoft 365 Apps. Grâce aux snapshots, on va pouvoir installer les deux versions, sur la même VM, dans deux états différents.

Après avoir effectué le snapshot "Fresh install OK", on va installer l'application Office 2021 sur la VM et prendre un nouveau snapshot nommé "Office 2021".

Puis, on va faire un "Go To" sur le snapshot "Fresh Install OK" : on revient sur l'état initial, sans pour autant supprimer le snapshot Office 2021 (on perd un état initial, mais pas un snapshot).

Dans le gestionnaire de snapshots, on constate que l'état actuel se positionne en parallèle du snapshot "Office 2021". Dans ce nouvel état actuel, on va pouvoir installer la version Microsoft 365 Apps et créer un nouveau snapshot "M365 Apps".

Ainsi, on se retrouve avec deux snapshots en parallèle, sur la même VM : Office 2021 et M365 Apps.

En sélectionnant le snapshot "Office 2021" et en cliquant sur "Go To", on peut basculer sur l'état de ce snapshot. Puis, basculer de nouveau sur le snapshot "M365 Apps", en quelques secondes à chaque fois. De ce fait, on peut tester plusieurs versions d'une même application, sur une même VM, sans qu'une version puisse interagir avec l'autre. Quand on aura terminé ses tests (ou fait son choix), il suffira de supprimer les snapshots que l'on utilise plus.

Dans le cas où l'on souhaite accéder aux deux versions en même temps, il y a toujours la possibilité de cliquer sur le bouton "Clone" du "Snapshot Manager" pour créer un clone de cette VM basé sur le snapshot.

IV. Conclusion

Voilà, nous venons de voir comment utiliser les snapshots avec VMware Workstation Pro !

Il est important de savoir que les snapshots consomment de l'espace disque, car l'hyperviseur doit séparer les données des snapshots de l'état initial de la VM, ce qui implique d'avoir des fichiers différents. D'où l'importance de faire du tri dans les snapshots que l'on utilise plus.

Je vous encourage à regarder la vidéo, c'est beaucoup plus explicite et parlant pour démontrer le fonctionnement des snapshots.

The post Comment utiliser les snapshots avec VMware Workstation Pro ? first appeared on IT-Connect.

Les cybercriminels associés au gang du ransomware Vice Society s'appuient sur un outil codé en PowerShell pour exfiltrer des données sur les machines compromises. Grâce à cette méthode, l'action malveillante est plus difficile à détecter.

L'Unit 42 de chez Palo Alto Networks a mis en ligne un nouveau rapport au sujet de cette nouvelle méthode d'exfiltration utilisée par le ransomware Vice Society.

Ce groupe qui a émergé en mai 2021 utilise un script PowerShell nommé w1.ps1 qui va effectuer les actions suivantes sur la machine virtuelle :

• Lister l'ensemble des lecteurs de la machine
• Parcourir le contenu des lecteurs de la machine (Get-ChildItem)
• Exfiltrer les données vers un serveur externe via des requêtes POST en HTTP

Pour exfiltrer uniquement des données intéressantes, le script PowerShell effectue des exclusions sur certains fichiers, notamment les fichiers du système, les fichiers relatifs à des sauvegardes ainsi que les fichiers de la solution de sécurité présente sur la machine (Symantec, ESET, Sophos sont mentionnés).

Ce système de filtrage va même plus loin comme le précise le rapport : "Cependant, le fait que le script se concentre sur les fichiers de plus de 10 Ko avec des extensions de fichiers et dans des répertoires qui correspondent à sa liste d'inclusion signifie que le script n'exfiltrera pas de données qui ne correspondent pas à cette description."

Pour éviter de consommer trop de ressources sur la machine sur lesquelles les données sont exfiltrées, le script utilise un système de file d'attente pour envoyer les données progressivement vers le serveur distant.

Ce script PowerShell est un très bon exemple du principe de la double extorsion. En plus de chiffrer les données, les ransomwares ont tendance à exfiltrer les données des entreprises afin de les divulguer sur le Dark Web si la victime ne paie pas la rançon.

Une fois de plus, on voit que la menace ransomware est bien présente et active, tout en étant en perpétuelle évolution.

Source

The post Le ransomware Vice Society exfiltre les données avec un script PowerShell first appeared on IT-Connect.

Une nouvelle campagne de phishing est en cours, dans le but d'infecter les machines avec le malware Qbot. Cette fois-ci, les pirates utilisent des fichiers PDF et WSF pour infecter les machines Windows. Faisons le point.

Le malware Qbot, alias QakBot, revient régulièrement sur le devant de la scène lorsque de nouvelles campagnes d'attaques sont lancées. Par exemple, en 2022, il s'appuyait sur une archive ZIP contenant un fichier MSI malveillant pour infecter les machines.

À la base, Qbot est un trojan bancaire mais il a évolué pour permettre le déploiement d'autres logiciels malveillants (notamment des ransomwares) et offrir aux cybercriminels un accès à la machine infectée.

Qbot a été utilisé par des groupes de cybercriminels pour obtenir un accès initial au réseau d'une entreprise. On peut citer plusieurs gangs de ransomwares : BlackBasta, REvil, PwndLocker ou encore ProLock.

Nouvelle méthode d'infection basée sur un fichier PDF

D'après le groupe Cryptolaemus et le chercheur en sécurité ProxyLife qui a l'habitude de suivre Qbot, le logiciel malveillant est distribué par l'intermédiaire d'une nouvelle campagne de phishing. Ce qui change cette fois-ci, c'est le type de fichiers utilisés.

En effet, les pirates utilisent un fichier PDF malveillant, ajouté en pièce jointe de l'e-mail, et qui va exécuter un script malveillant au format WSF (Windows Script File) pour infecter l'ordinateur avec Qbot. Ce type de script peut contenir du code JScript et VBScript.

L'e-mail en question contient une pièce jointe nommée "CancelationLetter-[nombre].pdf". Voici un aperçu du document :

Lorsque l'utilisateur ouvre cette pièce jointe, il se retrouve avec une page qui lui indique de cliquer sur le bouton "Open" pour ouvrir le document, ce dernier étant protégé. Ce qui, bien sûr, et un moyen de faire télécharger le script malveillant pour infecter la machine.

Si le script WSF malveillant est exécuté, il va lui-même exécuter un script PowerShell qui aura pour objectif de télécharger une DLL à partir d'Internet. Si besoin, plusieurs tentatives via différents domaines sont effectuées, jusqu'à ce que le téléchargement fonctionne.

Une fois la machine compromise, le malware sera injecté dans un processus légitime de Windows nommé wermgr.exe. Ceci lui permet de rester actif en arrière-plan, en étant discret. C'est là qu'il pourra commencer à effectuer des actions malveillantes (évoquées ci-dessus).

Une fois de plus, vos utilisateurs devront se montrer méfiants face à cette menace !

Source

The post Phishing : Qbot est de retour et il infecte les PC avec des fichiers PDF et WSF ! first appeared on IT-Connect.

Des chercheurs ont fait la découverte d'un nouveau malware Android, surnommé Goldoson et distribué au travers d'environ 60 applications. Au total, le nombre de téléchargements est important : 100 millions !

100 millions d'installations, ce n'est pas rien, et c'est pourtant un chiffre réel si l'on se réfère au nombre de téléchargements cumulés de l'ensemble des applications concernées par cette affaire.

C'est d'autant plus inquiétant que, d'après les chercheurs de McAfee, à l'origine de la découverte de Goldoson, ces applications sont infectées par ce malware à cause d'une bibliothèque tierce infectée initialement. Cela n'est pas sans rappeler l'attaque supply chain qui a touché l'application 3CX pour Windows.

Que fait le malware Goldoson ?

Sur un appareil infecté, le malware Goldoson va collecter des données dans les applications installées, les appareils Bluetooth et WiFi (notamment les adresses MAC), ainsi que votre position GPS. Par ailleurs, il peut aussi cliquer sur des publicités à votre insu, en tâche de fond.

D'après l'analyse effectuée de ce logiciel malveillant, il se synchronise au serveur C2 des attaquants tous les deux jours. La première connexion au serveur C2 lui permet de récupérer sa configuration.

En fonction de l'application installée sur votre appareil et infectée par Goldoson, le malware a plus ou moins accès aux données de votre appareil : tout dépend des permissions demandées par l'application en question et de la version d'Android utilisée.

Depuis Android 11, il est plus difficile pour les applications de collecter des données de façon "illégale". Toutefois, d'après les chercheurs de McAfee, sur les versions plus récentes d'Android il reste efficace pour récupérer des données sensibles dans 10% des applications installées sur l'appareil.

Quelles sont les applications infectées ?

Certaines applications comptent très peu d'installations (moins de 10 000). Voici la liste des applications les plus téléchargées et infectées par Goldoson :

• L.POINT with L.PAY - 10 millions de téléchargements
• Swipe Brick Breaker - 10 millions de téléchargements
• Money Manager Expense & Budget - 10 millions de téléchargements
• GOM Player - 5 millions de téléchargements
• LIVE Score, Real-Time Score - 5 millions de téléchargements
• Pikicast - 5 millions de téléchargements
• Compass 9: Smart Compass - 1 million de téléchargements
• GOM Audio - Music, Sync lyrics - 1 million de téléchargements
• LOTTE WORLD Magicpass - 1 million de téléchargements
• Bounce Brick Breaker - 1 million de téléchargements
• Infinite Slice - 1 million de téléchargements
• SomNote - Beautiful note app - 1 million de téléchargements
• Korea Subway Info: Metroid - 1 million de téléchargements

McAfee a pu signaler ce logiciel malveillant et ces applications à Google. Les développeurs, qui ont fait le choix de supprimer la librairie pour que leur application soit de nouveau saine, peuvent continuer à diffuser leur application sur le Play Store. Pour les autres, les applications sont supprimées du Play Store car elles ne sont pas conformes au règlement du magasin d'applications.

Si vous utilisez l'une de ces applications, vous devez effectuer la mise à jour immédiatement.

Source

The post 100 millions de téléchargements pour ces apps infectées par le malware Goldoson first appeared on IT-Connect.

Le ransomware LockBit dispose d'un module de chiffrement spécifique pour cibler les machines sous macOS. Même si c'est en phase de tests, les utilisateurs de Mac doivent se méfier : LockBit est redoutable et cette campagne pourrait faire de nombreuses victimes.

Les chercheurs en sécurité de l'équipe Malware Hunter ont fait la découverte de cet échantillon destiné à macOS sur le site VirusTotal. Jusqu'à présent, le ransomware LockBit, dans ses différentes versions, ciblait plusieurs plateformes, dont les machines sous Windows, Linux et les hyperviseurs VMware ESXi. Désormais, les utilisateurs de macOS ne sont plus épargnés par cette menace.

Le ransomware LockBit serait capable de chiffrer les machines Apple avec une puce Apple Silicon (et probablement les modèles sous Intel). En effet, les chercheurs ont repéré un module de chiffrement nommé "locker_Apple_M1_64" (voir ici) qui cible les puces Apple.

Même si cette information est évoquée aujourd'hui, ce module de chiffrement ne semble pas nouveau. D'après le chercheur en cybersécurité Florian Roth, un module de chiffrement LockBit compatible Apple M1 a été téléchargé sur VirusTotal en décembre 2022 !

Toutefois, d'après le site BleepingComputer, dont les auteurs ont pris le temps d'analyser ce module de chiffrement pour Apple M1, il s'agit d'une phase de tests. Par exemple, il y a des exclusions sur les extensions ".exe" ou ".dll" qui sont propres au fonctionnement de Windows, et non à macOS.

Information confirmée par LockBitSupp, un porte-parole de LockBit, qui a clairement indiqué que le module de chiffrement pour Mac était "en cours de développement". Bien sûr, ces informations sont à prendre avec des pincettes, mais il est clair que la menace LockBit se rapproche de macOS.

Dans les semaines et mois à venir, il y a de fortes chances pour que LockBit fasse des ravages sur macOS si les développeurs du gang LockBit parviennent à développer un module pleinement opérationnel. Ce qui n’est surement qu'une question de temps...!

Il va être indispensable de protéger votre macOS, au même titre qu'il faut protéger une machine sous Windows.

Source

The post Ransomware LockBit : découverte d’un module de chiffrement pour macOS first appeared on IT-Connect.

Google a mis en ligne une nouvelle version de son navigateur Google Chrome dans le but de corriger une faille de sécurité zero-day : CVE-2023-2033. La première de l'année 2023 !

Dans le bulletin de sécurité mis en ligne par l'entreprise américaine, on peut lire que cette nouvelle version corrige deux failles de sécurité, dont la vulnérabilité CVE-2023-2033 découverte par Clément Lecigne de l'équipe Google Threat Analysis. Le travail de cette équipe de chez Google est très important, car il permet régulièrement de découvrir de nouvelles failles de sécurité dans Chrome.

Associée à une sévérité élevée, cette vulnérabilité zero-day se situe dans le moteur JavaScript V8 de Chrome. Elle est exploitée dans le cadre d'attaques et d'ailleurs il existe un exploit : "Google sait qu'il existe un programme d'exploitation pour la CVE-2023-2033 dans la nature."

Toutefois, Google n'a pas donné de précisions sur les incidents de sécurité observés et associés à cette vulnérabilité, ni même sur le fonctionnement de cet exploit en lui-même.

Ce qui est logique compte tenu de la politique appliquée par l'entreprise de Mountain View : "L'accès aux détails des bugs et aux liens peut être restreint jusqu'à ce qu'une majorité d'utilisateurs aient reçu un correctif." - D'autres informations devraient fuiter par la suite.

Il s'agit de la première faille zero-day corrigée dans Chrome en 2023. L'année dernière, Google avait corrigé près de 10 failles de ce type dans ce navigateur.

Google Chrome 112.0.5615.121

Utilisateurs de Google Chrome, que ce soit sur Windows, macOS ou Linux, vous devez mettre à jour le navigateur sur votre machine dès que possible. La version 112.0.5615.121 de Google Chrome intègre le correctif.

Pour mettre à jour Google Chrome : cliquez sur les trois points en haut à droite, puis sous "Aide" cliquez sur "À propos de Google Chrome". Le navigateur va rechercher immédiatement la présence d'une mise à jour et l'installer.

Bon début de semaine !

Source

The post CVE-2023-2033 : la première faille zero-day de 2023 corrigée dans Google Chrome first appeared on IT-Connect.

I. Présentation

Dans ce tutoriel, nous allons apprendre à installer ONLYOFFICE Docs Community sur un serveur Windows Server 2022 pour l'intégrer sur une instance Nextcloud (hébergée sur un serveur Debian 11, dans cet exemple).

Grâce à l'intégration d'ONLYOFFICE Docs dans Nextcloud, il devient possible de créer des documents en ligne (document texte, présentation, feuille de calcul) à partir de l'interface Nextcloud en profitant de la richesse des éditeurs ONLYOFFICE. Le tout en gardant la maîtrise de ses données puisque tout est hébergé sur nos propres serveurs. La connexion à Nextcloud va aussi permettre d'utiliser ONLYOFFICE Editors directement depuis un poste de travail, en l'occurrence Windows 11 dans mon cas.

Pour en savoir plus sur ONLYOFFICE Docs et les nombreuses intégrations possibles, consultez le site officiel :

• ONLYOFFICE Docs

II. Prérequis : PostgreSQL, Erlang, RabbitMQ

Avant même de parler de l'installation d'ONLYOFFICE Docs, il convient de préparer le serveur en installant certains prérequis.

A. Installation de PostgreSQL

Nous allons commencer par installer PostgreSQL pour créer une base de données dédiée à ONLYOFFICE. Sur Windows, l'installeur est accessible sur cette page :

• Télécharger PostgreSQL pour Windows

Cliquez sur "Download the installer" puis sur la page suivante cliquez sur le bouton de téléchargement pour Windows, au niveau de la version la plus récente.

Démarrez l'installation... Cliquez sur "Suivant".

Prenez connaissance du chemin d'installation et poursuivez. Les données seront stockées dans : C:\Program Files\PostgreSQL\15\data.

Ici, je vous recommande d'installer à minima "PostgreSQL Server" et "Command Line Tools". Le Stack Builder n'est pas indispensable et le pgAdmin 4 est utile pour avoir une console d'administration de PostgreSQL en mode graphique.

À l'étape suivante, définissez un mot de passe robuste pour le compte "postgre" principal de PostgreSQL.

En ce qui concerne le port d'écoute, vérifiez que c'est bien "5432" qui soit indiqué (et non 5433). N'utilisez pas un port différent, car si vous mettez autre chose, j'ai constaté que c'était source de problème avec ONLYOFFICE.

Choisissez la locale "French, France" et poursuivez.

Patientez pendant l'installation...

Cliquez sur "Terminer".

Voilà, PostgreSQL est en place ! Maintenant, nous allons créer une base de données pour ONLYOFFICE.

Ouvrez une console PowerShell et accédez au répertoire de PostgreSQL qui contient les binaires :

cd "C:\Program Files\PostgreSQL\15\bin"

Ici, on va établir une connexion à l'instance PostgreSQL en utilisant le compte "postgres" :

.\psql.exe -U postgres -p 5432

Ensuite, on va créer un nouvel utilisateur nommé "useroo" avec le mot de passe "OoOo8563" (que vous devez personnaliser !) :

CREATE USER useroo WITH PASSWORD 'OoOo8563';

Puis, créer une base de données nommée "dboo" avec cet utilisateur comme propriétaire (il aura les droits dessus) :

CREATE DATABASE dboo OWNER useroo;

Une fois que c'est fait, on peut quitter ce prompt puisque la base de données est prête. Elle doit être visible avec PgAdmin, si vous souhaitez vérifier. Sinon, en ligne de commande pour lister les bases de données PostgreSQL (une fois connecté via psql.exe) :

\l

B. Installation d'Erlang

La seconde étape de préparation du serveur consiste à installer Erlang, pour prendre en compte ce langage de programmation sur notre serveur. À partir du site officiel, cliquez sur "Download Windows Installer".

• Télécharger Erlang pour Windows

Exécutez l'installeur... Au moment de choisir les composants à installer, ne cochez pas "Microsoft DLL's" si c'est précisé "present" comme sur l'image ci-dessous.

Poursuivez afin de réaliser l'installation.

C. Installation de RabbitMQ

Troisième composant à installer sur notre serveur Windows Server : RabbitMQ. Il est développé en Erlang (d'où l'installation précédente) et il s'agit d'un message broker utile au fonctionnement d'ONLYOFFICE Docs. Téléchargez la dernière version stable de RabbitMQ depuis le GitHub officiel (sous Assets) :

• Télécharger RabbitMQ pour Windows

Effectuez l'installation à partir de l'assistant. Installez "RabbitMQ Server" et "RabbitMQ Service" pour avoir un service sur Windows.

Poursuivez... Jusqu'à la fin de l'installation, et cliquez sur "Finish".

Le serveur RabbitMQ est installé dans "C:\Program Files\RabbitMQ Server". À partir d'une console PowerShell, il faut que l'on se positionne dans le répertoire qui contient les scripts de configuration :

cd "C:\Program Files\RabbitMQ Server\rabbitmq_server-3.9.29\sbin"

Ici, on va pouvoir créer un nouvel utilisateur :

.\rabbitmqctl.bat add_user 'useroo' 'IT-Connect-2023'

Si comme moi vous obtenez l'erreur suivante : "Error: unable to perform an operation on node 'rabbit@SRV-APPS'. Please see diagnostics information and suggestions below', il y a une manipulation à effectuer (voir cette page).

Vous devez copier le fichier "C:\Windows\system32\config\systemprofile\.erlang.cookie" vers votre profil utilisateur, à savoir "C:\Users\%USERNAME%\.erlang.cookie". Ensuite, relancez la commande précédente et cela fonctionnera.

On donne des permissions à notre utilisateur sur le VirtualHost de base de RabbitMQ :

.\rabbitmqctl set_permissions -p "/" "useroo" ".*" ".*" ".*"

Puis, on supprime le compte guest :

.\rabbitmqctl delete_user guest

Enfin, on liste les utilisateurs et seul "useroo" doit apparaître :

.\rabbitmqctl list_users

Facultatif - Pour ceux qui voudraient aller plus loin, sachez qu'il existe une Management Console pour RabbitMQ mais qu'il faut activer le plugin.

Définir la variable d'environnement ERLANG_HOME :

$env:ERLANG_HOME = "$env:ProgramFiles\Erlang OTP\erts-13.2"

Activer le plugin RabbitMQ Management :

PS C:\Program Files\RabbitMQ Server\rabbitmq_server-3.9.29\sbin> .\rabbitmq-plugins.bat enable rabbitmq_management

Redémarrer le service RabbitMQ :

Restart-Service RabbitMQ

III. Installation d'ONLYOFFICE DocumentServer sur Windows

Voilà, nous venons d'installer tous les prérequis nécessaires à la mise en place du serveur ONLYOFFICE DocumentServer. Désormais, il faut télécharger ONLYOFFICE Docs depuis le site officiel. Voici deux liens utiles :

• ONLYOFFICE Docs - Ressources nécessaires
• ONLYOFFICE Docs - Téléchargement

À partir du deuxième lien ci-dessus, téléchargez l'installeur pour Windows qui fait près de 600 Mo.

Une fois qu'il est téléchargé, démarrez l'installation.

Prenez connaissance du répertoire d'installation d'ONLYOFFICE DocumentServer. Poursuivez.

Effectuez une installation complète, ce qui va inclure Certbot (utile pour passer le service en HTTPS par la suite, via Let's Encrypt).

Poursuivez.

Les informations de connexion à PostgreSQL doivent être précisées. Ici, on réutilise les informations de connexion à notre base de données PostgreSQL "dboo" : souvenez-vous des informations définies précédemment.

Dans le même esprit, on va préciser les informations de connexion à notre serveur RabbitMQ. Là encore, on réutilise l'identifiant et le mot de passe défini à la création.

Poursuivez... L'installation va être effectuée.

L'assistant nous informe que JWT est actif par défaut et qu'un secret a été généré. Nous pourrons le récupérer dans le fichier "local.json" situé dans le répertoire d'installation d'ONLYOFFICE DocumentServer. Il sera utile pour configurer Nextcloud par la suite.

Pour finaliser l'installation, redémarrez le serveur Windows Server.

Une fois que le serveur est redémarré, patientez une ou deux minutes (les services démarrent en différé) et ouvrez un navigateur. Accédez à cette adresse :

http://localhost
# ou
http://ip-du-serveur
# ou
http://nom-DNS-du-serveur

Vous devriez obtenir cette page :

C'est un bon début. Autre test à effectuer, l'accès à la page Health Check qui doit renvoyer "true" comme ci-dessous.

http://localhost/healthcheck

Le serveur ONLYOFFICE est en place, mais nous devons l'interfacer avec une autre solution pour permettre la création de documents.

Il y a seulement la possibilité d'activer un serveur de test en amont de l'intégration, via cette commande :

net start DsExampleSvc

Puis, à partir du navigateur on peut accéder à cet environnement qui ne doit pas être utilisé en production :

http://localhost/example/

Maintenant que c'est bon, parlons de l'intégration avec Nextcloud (mais la base de l'installation reste la même pour une autre intégration).

Si vous ne parvenez pas à accéder aux différentes pages évoquées ci-dessus, regardez dans ces fichiers de logs :

C:\Program Files\ONLYOFFICE\DocumentServer\nginx\logs\nginx.error.log
C:\Program Files\ONLYOFFICE\DocumentServer\Log\docservice\out.log

IV. Intégrer ONLYOFFICE Docs à Nextcloud

Dans ce tutoriel, nous partons du principe que le serveur Nextcloud est déjà en ligne. Utilisez le lien ci-dessous si vous avez besoin de procéder à son installation.

• Installation rapide de Nextcloud sur Debian 11

Nous devons activer l'application ONLYOFFICE. Cliquez sur votre avatar en haut à droite, puis sur "Applications". Dans la section "Bureautique & texte", vous pouvez trouver l'application ONLYOFFICE. Cliquez dessus puis sur "Télécharger et activer".

Avant de pouvoir connecter les deux applications, il va falloir ajuster la configuration pour utiliser les jetons JWT (JSON).

• Sur le serveur ONLYOFFICE

Ouvrez le fichier suivant :

C:\Program Files\ONLYOFFICE\DocumentServer\config\local.json

Modifiez son contenu de façon à remplacer la valeur "Authorization" par "AuthorizationJwt" sur ces deux lignes :

Après avoir fait ça, redémarrez les services ONLYOFFICE via la console "Services" de Windows.

• Configurer Nextcloud

Le fichier de configuration de Nextcloud doit être édité. Sur mon serveur Nextcloud, il se situe à cet emplacement :

/var/www/html/nextcloud/config/config.php

Dans ce fichier il faut ajouter ces lignes pour autoriser les connexions via JWT avec notre serveur ONLYOFFICE :

'allow_local_remote_servers' => true,
'onlyoffice' => array (
    'verify_peer_off' => true,
    'jwt_header' => "AuthorizationJwt"
)

Comme ceci :

Enregistrez et fermez ce fichier.

• Configurer l'application sur Nextcloud

Une fois que c'est fait, accédez aux "Paramètres d'administration" de Nextcloud. Dans le menu latéral, une entrée nommée "ONLYOFFICE" doit s'y trouver.

Il va falloir définir l'adresse du serveur ONLYOFFICE Docs (avec le nom DNS de préférence, sinon avec l'adresse IP) et la clé secrète. L'adresse du serveur, vous la connaissez déjà et la clé secrète doit être récupérée sur le serveur ONLYOFFICE à cet emplacement :

C:\Program Files\ONLYOFFICE\DocumentServer\config\local.json

Renseignez ces informations sur l'interface Nextcloud et cliquez sur "Enregistrer".

Si la connexion est effectuée avec succès, une interface avec un ensemble de paramètres est proposée. L'intégration d'ONLYOFFICE à Nextcloud est réussie !

À partir de là, si vous créez un nouveau document sur Nextcloud, vous avez des choix supplémentaires :

• Nouveau document
• Nouvelle feuille de calcul
• Nouvelle présentation

Si l'on crée un document, l'éditeur ONLYOFFICE s'affiche dans Nextcloud et on peut rédiger notre document en profitant de la puissance de cet éditeur ! Le fichier sera stocké sur notre instance Nextcloud.

Si l'on écrit du texte sur ce fichier, on pourra retrouver ce même contenu si l'on édite le document depuis un autre poste.

V. Installation d'ONLYOFFICE Desktop Editors

Sur un poste de travail (Windows 11 ou autre), vous pouvez installer l'application ONLYOFFICE Desktop Editors qui va permettre de profiter des éditeurs ONLYOFFICE depuis le bureau en se connectant à Nextcloud (ou une autre intégration).

• Télécharger ONLYOFFICE Desktop Editors pour Windows

Laissez-vous guider par l'assistant...

Prenez connaissance du chemin d'installation.

Lorsque l'application se lance, cliquez sur "Connecter à Cloud".

Choisissez "Nextcloud" et indiquez l'adresse de votre serveur Nextcloud avant de cliquer sur "Se connecter". Par exemple :

http://192.168.99.11/nextcloud

Depuis Windows 11, je peux créer et éditer des documents avec les éditeurs ONLYOFFICE, en allant chercher les données sur le serveur Nextcloud.

VI. Conclusion

Ce tutoriel touche à sa fin ! La mise en place combinée d'ONLYOFFICE Docs et de Nextcloud permet d'avoir une solution moderne pour faire de la bureautique en ligne, tout en centralisant et maîtrisant ses données, et sans utiliser un Cloud public. Une alternative très intéressante, d'autant plus qu'ONLYOFFICE supporte de nombreuses intégrations. Vous pouvez aussi installer les deux outils sur le même serveur, et utiliser uniquement des serveurs Linux ou Windows Server.

The post Installer ONLYOFFICE Docs sur Windows Server 2022 et l’intégrer à Nextcloud first appeared on IT-Connect.

I. Présentation

Dans ce tutoriel, nous allons apprendre à installer Nextcloud sur Debian 11 pour créer sa propre plateforme d'hébergements de fichiers et de collaboration. Un projet très intéressant pour ceux qui souhaitent garder la maîtrise de leurs données et éviter de payer pour une solution propriétaire ! Grâce à un système d'applications (plugins), les fonctionnalités de Nextcloud peuvent être étendues, ce qui permet de couvrir un maximum de besoin.

• Site officiel de Nextcloud

Dans cet article, on se concentrera sur l'installation de la solution Nextcloud (et on s'appuiera sur cette installation dans un autre tutoriel qui sortira prochainement). Pour le serveur Web sous Debian 11, Apache2 sera utilisé avec PHP 8.1 et MariaDB. Vous pouvez utiliser PHP 8.2 si vous le souhaitez, mais cette version est sortie récemment (décembre 2022).

Note : Nextcloud nécessite à minima PHP 8.0.

II. Installation pas à pas de Nextcloud

A. Installation des paquets

Nous devons commencer par installer les paquets nécessaires au bon fonctionnement du serveur Web. Mettons à jour le cache des paquets et les paquets de la machine :

apt-get update
apt-get upgrade

Puis, nous allons installer Apache2, MariaDB Server et PHP 8.1 ainsi qu'un lot d'extensions PHP utiles :

apt-get install apache2 mariadb-server php8.1 php8.1-common php8.1-curl php8.1-gd php8.1-intl php8.1-mbstring php8.1-xmlrpc php8.1-mysql php8.1-xml php8.1-cli php8.1-zip

En fonction des applications et fonctions que vous envisagez d'utiliser, il pourra être nécessaire d'installer d'autres extensions PHP par la suite.

Pour être sûr que l'extension PHP 8.1 soit bien actif dans Apache2, exécutez cette commande :

a2enmod php8.1

Nous allons aussi installer les paquets "wget" et "unzip" utiles pour télécharger les sources de Nextcloud et décompresser l'archive ZIP.

apt-get install wget unzip

B. Préparer les sources de Nextcloud

Nous devons récupérer les sources d'installation de Nextcloud et les positionner à la racine du serveur Web, à savoir dans "/var/www/html". Ici, on aura le dossier "nextcloud", ce qui implique que pour accéder à l'application il faudra utiliser cette URL :

http://<IP du serveur>/nextcloud/

Toujours sur le serveur Debian, positionnez-vous dans le répertoire "/tmp" pour télécharger la dernière version de Nextcloud avec wget :

cd /tmp
wget https://download.nextcloud.com/server/releases/latest.zip

On décompresse l'archive ZIP téléchargée :

unzip latest.zip

Ce qui donne lieu à un dossier "nextcloud" dans "/tmp" que nous allons déplacer dans son intégralité vers "/var/ww/html/".

mv nextcloud/ /var/www/html/

Il ne reste plus qu'à changer le propriétaire des données de Nextcloud pour que ce soit l'utilisateur d'Apache2 :

chown -R www-data:www-data /var/www/html/nextcloud

Les sources d'installation sont en place. Passons à la suite.

C. Créer une base de données pour Nextcloud

L'instance MariaDB doit être configurée : nous devons créer une base de données dédiée à Nextcloud et un utilisateur spécifique qui aura des droits uniquement sur cette base de données. Mais, avant cela, nous allons exécuter le script de sécurisation de MariaDB, ce qui permettra notamment de changer le mot de passe root.

Exécutez la commande ci-dessous et laissez-vous guider. Si vous avez besoin d'aide, regardez dans cet article.

mysql_secure_installation

Une fois que c'est fait, connectez-vous à votre instance MariaDB avec le compte root et le mot de passe que vous venez de définir.

mysql -u root -p

Après authentification, vous avez accès au prompt MariaDB. Nous devons commencer par créer une base de données que nous appellerons "db23nextcloud".

CREATE DATABASE db23nextcloud;

Puis, on va créer un utilisateur nommé "usr23nextcloud" qui aura le mot de passe "Password14" et qui aura tous les droits sur la base de données "db23nextcloud". Personnalisez ces informations, bien entendu.

GRANT ALL ON db23nextcloud.* TO 'usr23nextcloud'@'localhost' IDENTIFIED BY 'Password14';

On met à jour les autorisations :

FLUSH PRIVILEGES;

Puis, on se déconnecte de l'instance MariaDB :

EXIT;

D. Installation de Nextcloud

Tout est prêt, nous allons pouvoir finaliser l'installation de Nextcloud à l'aide d'un navigateur. Avec votre navigateur préféré, accédez à l'adresse suivante :

http://<IP du serveur>/nextcloud/

Vous devriez arriver sur une page comme celle ci-dessous. Ici, il va falloir définir un nom d'utilisateur et un mot de passe pour le compte Administrateur principal de Nextcloud.

Puis, un peu plus bas dans la base, il faut indiquer les informations de connexion au serveur MariaDB. Ici, on réutilise les informations définies précédemment, comme sur l'image ci-dessous. Cliquez sur "Installer" quand c'est fait.

Quelques secondes plus tard, l'installation est finalisée, bienvenue sur votre serveur Nextcloud !

Dès à présent vous pouvez créer de nouveaux fichiers, ou charger des fichiers existants. Il existe aussi des clients de synchronisations pour les postes de travail, ainsi que des applications mobiles.

IV. Conclusion

Voilà, l'installation de base de Nextcloud est effectuée ! Toutefois, il vous reste encore du travail si c'est un serveur qui doit être mis en place en production : sécurisation Apache2, passage du site en HTTPS, mise en place d'un nom de domaine, installation de CrowdSec pour détecter et bloquer les attaques, etc...

The post Installer Nextcloud sur Debian 11 first appeared on IT-Connect.

Le FBI est formel : vous devez arrêter d'utiliser les prises USB en libre-service dans les lieux publics ! Parfois, elles sont modifiées dans le but de voler les données sur votre smartphone lorsqu'il est mis en charge ! Cette technique a un nom : juice jacking.

Au cas où vous l'ignoriez, les stations de recharge publiques que l'on retrouve dans les gares, les aéroports, les centres commerciaux et j'en passe.... Représente un véritable danger pour les données de votre smartphone ou de votre tablette. Certains cybercriminels ont pris l'habitude d'apporter des modifications aux stations de charge afin d'intégrer un logiciel malveillant capable capable de voler les données de votre appareil. La simple connexion de votre appareil est suffisante : il se rechargera, même si vos données sont aspirées.

Sur son compte Twitter, le FBI a émis une alerte à ce sujet : "Évitez d'utiliser les stations de recharge gratuites dans les aéroports, les hôtels ou les centres commerciaux. Des acteurs malveillants ont trouvé des moyens d'utiliser les ports USB publics pour introduire des logiciels malveillants et des logiciels de surveillance sur les appareils. Emportez votre propre chargeur et cordon USB et utilisez plutôt une prise électrique." - Cette technique s'appelle le juice jacking.

En résumé, utilisez votre propre batterie externe ou votre propre chargeur (câble + bloc secteur) afin d'utiliser une prise électrique. Et oui, on n'est jamais mieux servi que par soi-même.

L'autre alternative consiste à s'équiper d'un bloqueur de données. Cet accessoire prend la forme d'un adaptateur USB qui va se positionner entre la prise murale et votre câble USB de manière à empêcher la transition des données. Ainsi, il n'y a que la fonction de recharge qui est assurée. Par exemple, sur la boutique Hak5, on peut trouver cet accessoire pour 39.99$ (utile pour détecter un câble O.MG disponible sur la même boutique). Sinon, sur Amazon, on en trouve aussi... Notamment un modèle de chez StarTech.com à 12,11€.

Source

The post Juice jacking : le vol de données grâce aux prises USB des stations de recharge publiques ! first appeared on IT-Connect.

Au sein des mises à jour Windows déployées à l'occasion du Patch Tuesday d'avril 2023, Microsoft a introduit Windows LAPS, le successeur de l'application LAPS. Sauf que certains utilisateurs ont connu des mésaventures à ce sujet...!

Pour rappel, LAPS pour Local Administrator Password Solution est une solution permettant de sécuriser les comptes "Administrateur" locaux de vos postes de travail et serveurs en générant un mot de passe unique sur chaque machine. Jusqu'ici, LAPS devait être déployé sur les machines alors que son successeur, Windows LAPS, est intégré à Windows grâce à la mise à jour d'avril 2023 qui le déploie sur les machines.

Ainsi, Windows LAPS devient natif sur Windows Server 2019, Windows Server 2022, Windows 10 et Windows 11.

Pour en savoir plus sur les nouveautés de Windows LAPS : Windows LAPS

Un problème entre Windows LAPS et la GPO du LAPS Legacy

Suite à la sortie de cette nouvelle version, de premiers retours ont émergé sur le web, notamment sur Reddit avec ce premier commentaire alarmant.

En effet, tout ne se passe pas comme prévu pour les utilisateurs qui utilisaient déjà LAPS. D'ailleurs, Microsoft a rapidement mis à jour sa documentation afin d'inclure un avertissement : "La mise à jour du 11 avril 2023 susmentionnée comporte un bug d'interopérabilité avec le système LAPS Legacy. Si vous installez la GPO CSE LAPS sur une machine patchée avec la mise à jour de sécurité du 11 avril 2023 et une stratégie LAPS appliquée, Windows LAPS et LAPS seront tous deux hors services." - La firme de Redmond précise également que des logs seront générés dans le journal des événements de Windows LAPS avec les ID 10031 et 10032.

Il y a eu quelques échanges sur notre serveur Discord à ce sujet (merci !). D'après les tests effectués, l'installation de LAPS Legacy et de l'application de la GPO associée sur une machine qui est à jour (et donc qui contient Windows LAPS) n'a pas posé de problème spécifique. Ce qui est un peu contradictoire avec l'affirmation de Microsoft. On ne sait pas tout sur ce bug, peut-être que les deux LAPS sont cassés dans certaines conditions....

En attendant qu'une solution définitive soit trouvée, Microsoft a mis en ligne une solution temporaire pour rendre LAPS de nouveau opérationnel. Cette solution consiste à supprimer toutes les valeurs de Registre sous "HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\State". Microsoft indique aussi qu'il est possible de supprimer le LAPS Legacy de la machine, ce qui implique de passer sur la nouvelle version en urgence...!

Espérons que Microsoft s'exprime pour apporter des précisions dans les prochaines heures ou prochains jours.

The post Microsoft : des problèmes de compatibilité entre LAPS et Windows LAPS first appeared on IT-Connect.