Publié le 02-10-2008 à 00:43:11 dans le thème Réseau - Sécurité

Pays : International - Auteur : Thibaut L.

Pub : CD + DVD vierges - TV + Hifi. Cartouches d'encre - Console de jeux

Exclusif - une faille de redirection peut permettre à un pirate de voler n'importe quel accès à Facebook.

Un internaute français a découvert une vulnérabilité sur le site communautaire international Facebook. La faille est toute bête mais d'une efficacité assez redoutable pour le pirate informatique qui souhaiterait l'exploiter.

A noter que l'espace social a été contacté par courrier électronique. L'équipe de Facebook a répondu très rapidement en indiquant à la rédaction de ZATAZ.COM qu'une enquête était en cours et que Facebook allait prendre les mesures appropriées "Thank you for bringing this to our attention. We will investigate this matter and take the appropriate action. Rachel - User Operations".

La faille
Un 0day efficace et assez simple d'utilisation. Tout débute avec une redirection exploitant un bug dans l'url officiel de Facebook. Nous n'expliquerons pas la méthode, du moins tant que cette porte d'accès ne sera pas corrigée. La faille se situe dans une redirection rendue possible via une adresse officielle de Facebook de type facebook.com/x/.

Il suffit à un escroc de rajouter l'adresse d'un espace piégé dans la continuité de cette adresse officielle [ex: facebook.com/x/adresseexterieurepiégée.fr].

L'espace piégé peut prendre plusieurs formes: fausse page de type hameçonnage (phishing), en passant par l'intercepteur de données (ip, cookies, ...) ou l'installation d'un code malicieux de type cheval de Troie. [Voir notre démonstration en vidéo]

Plusieurs tests ont été effectués avec des camarades de jeu de ZATAZ.COM dont un confrère de Vnunet.

Bref, vous l'aurez compris, le mot de passe et le login Facebook de l'internaute visé ne sont plus assurés dans la condition ou cette cible a cliqué sur un lien qui lui sera fourni par Email, IRC, ICQ, MSN.

Nous vous déconseillons de cliquer sur le moindre lien vous dirigeant vers Facebook. Préférez l'adresse officielle en la tapant directement dans votre navigateur.

Projet de loi contre le phishing

La sénatrice Jacqueline Panis propose de punir d´un an de prison et de 15.000 euros d´amende le français qui aurait l´idée de se lancer dans le phishing.

Un faux plugin Firefox pour voler les mots de passe

Détection d´une nouvelle méthode de vol des mots de passe sur Internet. Une application de détournement de mot de passe, masquée en plugin pour Firefox, filtre les informations de connexion des utilisateurs.

L´académie de Nancy-Metz ne protége pas ses adresses électroniques

Plusieurs centaines d´adresses électroniques en accès libre sur le site de l´académie de Nancy-Metz.

Pour une vraie rémunération des artistes interprètes

La Commission Culture du Parlement européen à adopté le projet de directive sur l'allongement de la durée de protection des droits d´auteur et droits voisins.

Poker en ligne : piratage et escroquerie depuis 4 ans

Une vaste escroquerie Internet a visé plusieurs casinos en ligne. Une fraude qui aurait rapporté aux pirates plus de 20 millions de dollars.

États généraux : les masques tombent

Le syndicat national des journalistes communique : Les patrons de presse piaffent de plus en plus devant la cheminée où ils ont déposé leurs gros sabots.

Wizzgo vs NouvelObs : Deux poids deux mesures

L´application stricte de la loi DADVSI à l´encontre de Wizzgo. Le Nouvel Observateur va t il être aussi condamné à 480.000 euros d'amende ?

Alliance du mouvement de la jeunesse sur Internet

Les réseaux internet dédiés aux adolescents vont être utilisés pour combattre le crime et le terrorisme.

L´académie de Nancy-Metz ne protége pas ses adresses électroniques

Plusieurs centaines d´adresses électroniques en accès libre sur le site de l´académie de Nancy-Metz.

Poker en ligne : piratage et escroquerie depuis 4 ans

Une vaste escroquerie Internet a visé plusieurs casinos en ligne. Une fraude qui aurait rapporté aux pirates plus de 20 millions de dollars.

Clés USB: le Père-Noël est une ordure ?

Méfiez-vous des clés USB que vous allez acquérir pour Noël. Même le Pentagone Américain conseille de ne pas introduire ce genre de matériel dans son ordinateur.

Une page de CBS.COM diffuse un code malicieux

Amateur de la chaîne de télévision américaine CBS prudence. Une des pages du site officiel a été compromise par un pirate informatique.

Chasseur de backdoor : découverte de l´outil ultime ?

Exclusif : 10.000 sites piégés par une porte cachée. Voilà la découverte, en 20 minutes chronos, faite par ZATAZ.COM via un logiciel dédié à la chasse aux backdoors.

Faille pour Gmail: détournement de clics

A l´occasion de la derniere conférence Blue hat de Microsoft qui a eut lieue du 16 au 17 Octobre dernier Gareth Heyes et deux amis à lui ont démontré l´impact des attaques css sur le navigateur.

Cyber crime au rapport

Le quatrième rapport mondial annuel d´Arbor Networks sur la sécurité des infrastructures montre l´importance et la sophistication croissantes des attaques contre les réseaux.

Le Youtube de l´US Army interdit de parler de guerre

Pour palier les fuites d´informations, le Pentagone lance Trooptube.tv, le Youtube du GI´s en terre hostile.

Réagissez à ce contenu