Un nouveau jailbreak pour les tracteurs John Deere, démontré lors de la conférence sur la sécurité Defcon à Las Vegas samedi dernier, a mis en lumière la force du mouvement du droit à la réparation alors qu’il continue de prendre de l’ampleur aux États-Unis. Pendant ce temps, les chercheurs développent des outils étendus pour détecter les logiciels espions sur les ordinateurs Windows, Mac et Linux alors que les logiciels malveillants continuent de proliférer.
WIRED a examiné en profondeur cette semaine la famille Posey qui a utilisé la loi sur la liberté d’information pour en savoir plus sur le département américain de la Défense et promouvoir la transparence – et gagner des millions dans le processus. Et les chercheurs ont découvert une faille potentiellement cruciale dans le système de dossiers médicaux électroniques VistA du ministère des Anciens Combattants qui n’a pas de solution facile.
Si vous avez besoin de projets de sécurité numérique et de confidentialité ce week-end pour votre propre protection, nous avons des conseils sur la façon de créer un dossier sécurisé sur votre téléphone, comment configurer et utiliser de la manière la plus sûre l’application de messagerie cryptée Signal et la confidentialité d’Android 13 conseils de configuration pour conserver vos données exactement là où vous les voulez et nulle part ailleurs.
Et il y a plus. Chaque semaine, nous mettons en lumière les actualités que nous n’avons pas couvertes en profondeur nous-mêmes. Cliquez sur les titres ci-dessous pour lire les histoires complètes. Et restez en sécurité là-bas.
Le classique de Janet Jackson “Rhythm Nation” date peut-être de 1989, mais il fait toujours exploser les charts et certains disques durs. Cette semaine, Microsoft a partagé les détails d’une vulnérabilité dans un disque dur d’ordinateur portable à 5400 tr/min largement utilisé vendu vers 2005. Rien qu’en jouant à “Rhythm Nation” sur ou à proximité d’un ordinateur portable vulnérable, le disque peut tomber en panne et entraîner son ordinateur portable avec lui. Les disques durs à disque rotatif ont été de plus en plus abandonnés au profit des disques SSD, mais ils persistent toujours dans une multitude d’appareils à travers le monde. La faille, qui a son propre numéro de suivi de vulnérabilité CVE, est due au fait que “Rhythm Nation” produit par inadvertance l’une des fréquences de résonance naturelles créées par le mouvement dans le disque dur. Qui ne vibrerait pas fort avec un jam aussi classique ? Microsoft affirme que le fabricant qui a fabriqué les disques a développé un filtre spécial pour le système de traitement audio afin de détecter et d’annuler la fréquence lors de la lecture de la chanson. Les hacks audio qui manipulent les haut-parleurs, récupèrent les informations divulguées dans les vibrations ou exploitent les vulnérabilités des fréquences de résonance ne sont pas souvent découverts dans la recherche, mais constituent un domaine intrigant.
Lorsque la société de services cloud Twilio a annoncé la semaine dernière qu’elle avait été piratée, l’un de ses clients qui a subi des répercussions a été le service de messagerie sécurisée Signal. Twilio sous-tend le service de vérification des appareils de Signal. Lorsqu’un utilisateur de Signal enregistre un nouvel appareil, Twilio est le fournisseur qui envoie le SMS avec un code que l’utilisateur doit mettre dans Signal. Une fois qu’ils avaient compromis Twilio, les attaquants pouvaient initier un échange d’appareil Signal, lire le code du SMS envoyé au véritable propriétaire du compte, puis prendre le contrôle du compte Signal. Le service de messagerie sécurisée a déclaré que les pirates avaient ciblé 1 900 de ses utilisateurs et en avaient explicitement recherché trois. Parmi ce petit sous-ensemble se trouvait le compte Signal du journaliste de sécurité Motherboard Lorenzo Franceschi-Bicchierai. Signal est conçu pour que les attaquants n’aient pas pu voir l’historique des messages ou les contacts de Franceschi-Bicchierai en compromettant son compte, mais ils se sont peut-être fait passer pour lui et ont envoyé de nouveaux messages depuis son compte.
TechCrunch a publié une enquête en février sur un groupe d’applications de logiciels espions qui partagent toutes l’infrastructure dorsale et exposent les données des cibles en raison d’une vulnérabilité partagée. Les applications, qui incluent TheTruthSpy, sont envahissantes pour commencer. Mais ils exposent également par inadvertance les données téléphoniques de centaines de milliers d’utilisateurs d’Android, a rapporté TechCrunch, en raison d’une vulnérabilité de l’infrastructure. Cette semaine, cependant, TechCrunch a publié un outil que les victimes peuvent utiliser pour vérifier si leurs appareils ont été compromis par le logiciel espion et reprendre le contrôle. “En juin, une source a fourni à TechCrunch un cache de fichiers extraits des serveurs du réseau interne de TheTruthSpy”, a écrit Zack Whittaker de TechCrunch. «Ce cache de fichiers comprenait une liste de tous les appareils Android qui ont été compromis par l’une des applications de logiciels espions du réseau de TheTruthSpy jusqu’en avril 2022, date à laquelle les données ont vraisemblablement été vidé. La liste divulguée ne contient pas suffisamment d’informations pour que TechCrunch puisse identifier ou notifier les propriétaires d’appareils compromis. C’est pourquoi TechCrunch a créé cet outil de recherche de logiciels espions.
Domain Logistics, une société de distribution qui travaille avec l’Ontario Cannabis Store (OCS) au Canada, a été piratée le 5 août, limitant la capacité d’OCS à traiter les commandes et à livrer des produits à base de cannabis aux magasins et aux clients de l’Ontario. OCS a déclaré qu’il n’y avait aucune preuve que les données des clients aient été compromises lors de l’attaque contre Domain Logistics. OCS indique également que des consultants en cybersécurité enquêtent sur l’incident. Les clients de l’Ontario peuvent commander en ligne auprès d’OCS, qui est soutenu par le gouvernement. L’entreprise distribue également aux quelque 1 330 magasins de cannabis agréés de la province. “Par excès de prudence pour protéger OCS et ses clients, la décision a été prise de fermer les opérations de Domain Logistics jusqu’à ce qu’une enquête médico-légale complète puisse être achevée”, a déclaré OCS dans un communiqué.
