Impossible de passer à côté des CAPTCHA, ces outils de sécurité qui visent à évincer les bots et autres programmes d’accéder à certaines parties de sites internet ou services. L’idée est simple : proposer à un intervenant humain de réaliser une opération pour vérifier qu’il n’est pas un robot… Mais sous cette apparente sécurité peut désormais se cacher un vecteur redoutable de malwares.

Le captcha détourné de sa fonction

La fonction première d’un CAPTCHA est de bloquer les bots automatisés tout en laissant passer les utilisateurs légitimes. Cette fonction de barrière de sécurité inspire confiance. C’est précisément cette confiance que les pirates exploitent : en présentant un test qui ressemble à un vrai CAPTCHA, ils endorment la méfiance de l’utilisateur. Des experts en sécurité de HP ont ainsi repéré de faux CAPTCHA utilisés dans des campagnes de piratage.

Comment fonctionne l’arnaque ?

L’utilisateur est confronté à une imitation de test « Je ne suis pas un robot » ou à une sélection d’images. Croyant effectuer une vérification de sécurité standard, il interagit avec le faux module (en cochant une case, en cliquant sur des images). C’est cette interaction qui déclenche l’action malveillante : le téléchargement et/ou l’installation d’un malware sur son appareil.

Une arme redoutable pour les hackers

Cette technique baptisée « tolérance au clic » par HP se révèle être un vecteur d’infection particulièrement efficace, d’autant que peu d’utilisateurs sont en capacité de suspecter son réel but. En se faisant passer pour une étape légitime, les hackers augmentent considérablement les chances que l’utilisateur interagisse et compromette ainsi sa propre machine. Le type de virus distribué peut varier allant des chevaux de Troie à accès distant (RAT), keylogger, infostealers et bien d’autres… Le panel à disposition des hackers est conséquent, et la menace d’autant plus importante pour les victimes potentielles.

L’objectif est toujours le même : subtiliser des comptes utilisateurs, informations personnelles, données bancaires pour directement les exploiter dans des opérations d’usurpation d’identité ou la revente de données sur le Dark Web.

Les experts mettent en avant l’utilisation de cette attaque pour la propagation du cheval de Troie XenoRAT, un outil de contrôle à distance particulièrement avancé et disposant de nombreux outils aux actions variées.

Restez vigilant face aux faux captcha

Il devient donc nécessaire d’être vigilant même face à ces tests anti-robots. Sur des sites web inconnus ou suspects, un CAPTCHA doit inciter à la prudence. Bien qu’il soit difficile de distinguer un faux d’un vrai au premier coup d’œil sans analyse technique, la présence d’un CAPTCHA sur une page au contenu douteux doit renforcer la méfiance et dissuader de toute interaction.

S’appuyant sur l’historique des positions, la fonctionnalité Vos trajets (Timeline) de Google Maps permet de remonter dans le temps et de se souvenir des déplacements. Une carte personnelle des lieux fréquentés et des itinéraires empruntés est ainsi créée.

Après des signalements d’utilisateurs, Google confirme un problème technique avec pour conséquence la suppression des données Timeline.

« Nous avons brièvement rencontré un problème technique qui a entraîné la suppression des données Timeline pour certains utilisateurs. Presque toutes les personnes disposant de sauvegardes chiffrées de Timeline pourront restaurer leurs données. Malheureusement, celles qui n’avaient pas activé les sauvegardes ne pourront pas récupérer leurs données perdues. »

Stockage cloud ou non ?

Par e-mail, Google a alerté des utilisateurs touchés par le bug et a fourni des instructions pour récupérer les données, dans la mesure où la sauvegarde dans le cloud était activée.

Afin de vérifier l’activation de la sauvegarde cloud, il suffit de se rendre dans l’application Google Maps pour Android ou pour iOS, puis d’appuyer sur la photo du profil. Dans « Vos trajets », une icône en forme de nuage est associée à une flèche à l’intérieur si la sauvegarde cloud est activée.

Dans le cas contraire, l’icône en forme de nuage est barrée et les trajets ne sont ainsi enregistrés qu’en local. Un simple appui sur l’icône permet de modifier les paramètres de sauvegarde.

Dans le contexte d’une évolution pour Timeline

Depuis plusieurs mois, Google a prévenu d’un changement concernant Timeline et dont le déploiement est encore en cours. Si ce n’est pas encore le cas, des dispositions doivent être prises dans les prochaines semaines ou même les prochains jours désormais.

Pour le stockage des historiques de localisation, c’est la gestion en local sur l’appareil qui est privilégiée. De fait, les trajets ne sont plus systématiquement stockés sur les serveurs de Google, à moins d’avoir activé la sauvegarde cloud.

Dans le cadre d’une mesure de confidentialité, l’intérêt est que les données ne sont plus liées aux comptes Google, mais aux appareils utilisés. Il est possible de choisir de conserver les données de Timeline sur l’appareil jusqu’à leur suppression manuelle ou d’opter pour une suppression automatique après 3, 18 ou 36 mois.

Un bug qui raisonne comme un avertissement

Google Maps autorise l’exportation des données de l’historique des localisations vers un fichier, mais The Verge note que les instructions de Google pour récupérer les données Timeline ne comprennent aucun moyen évident d’importer à nouveau les données sans passer par les serveurs de sauvegarde cloud.

Le problème technique est un rappel involontaire de l’importance des sauvegardes et pourrait aussi inciter à ne pas se passer du cloud au final.

Les puces ESP32, omniprésentes dans le monde des appareils connectés, font face à une situation inquiétante : une faille critique a été découverte, mettant potentiellement en danger plus d’un milliard d’appareils IoT. Cette vulnérabilité repose sur l’existence de 29 commandes non documentées qui permettent à des attaquants de manipuler la mémoire ou encore d’usurper l’identité des appareils. Alors que ces microcontrôleurs sont largement utilisés pour leur connectivité Bluetooth et Wi-Fi, cette faille soulève de graves questions sur la sécurité des dispositifs connectés.

Qu’est-ce que la faille ESP32 ?

La faille repose sur l’existence de commandes cachées dans le firmware Bluetooth des puces ESP32. Ces commandes, non documentées par le fabricant Espressif, permettent :

• La manipulation de la mémoire RAM et Flash.
• L’usurpation d’adresse MAC pour imiter un appareil légitime.
• L’injection de paquets malveillants via Bluetooth.

Ces fonctions ne sont pas accessibles par les utilisateurs ou développeurs classiques et ont probablement été laissées dans le firmware à des fins internes ou par erreur. Cependant, elles peuvent être exploitées par des acteurs malveillants pour compromettre la sécurité des appareils connectés.

Quels appareils sont concernés ?

Les puces ESP32 sont utilisées dans une vaste gamme d’appareils IoT grâce à leur faible coût et leur double connectivité Wi-Fi et Bluetooth. Parmi les dispositifs vulnérables figurent :

• Les objets connectés domestiques (ampoules intelligentes, thermostats).
• Les appareils médicaux équipés de Bluetooth.
• Les serrures intelligentes et autres dispositifs de sécurité.
• Les smartphones et ordinateurs utilisant ces puces pour leurs accessoires connectés.

En 2023, Espressif a annoncé avoir vendu plus d’un milliard de ces microcontrôleurs, soulignant leur omniprésence dans l’écosystème technologique mondial.

Quels sont les risques associés ?

Les conséquences potentielles de cette faille sont multiples et préoccupantes :

• Usurpation d’identité : un attaquant peut se faire passer pour un appareil légitime afin d’accéder à des données sensibles ou à un réseau sécurisé.
• Piratage à distance : bien que nécessitant un accès physique initial ou une compromission préalable du firmware, ces commandes peuvent être utilisées pour installer des logiciels malveillants persistants.
• Sécurité compromise : les dispositifs médicaux ou de sécurité utilisant ces puces pourraient être manipulés pour causer des interruptions ou collecter des informations confidentielles.
• 

Comment se protéger face à cette menace ?

Face à cette faille critique, plusieurs mesures peuvent être prises pour limiter les risques :

• Mises à jour logicielles : Espressif travaille sur un correctif logiciel destiné à désactiver ou sécuriser ces commandes non documentées, sans donner de date de déploiement précise toutefois.
• Sécurisation physique : limiter l’accès physique aux appareils vulnérables réduit considérablement les possibilités d’exploitation.
• Audit régulier : les entreprises utilisant ces puces devraient effectuer des audits de sécurité pour identifier toute activité suspecte liée aux commandes cachées.
• Systèmes alternatifs : envisager l’utilisation de microcontrôleurs dotés de meilleures garanties en matière de sécurité.

La découverte de cette faille dans les puces ESP32 rappelle aux professionnels et particuliers les défis croissants liés à la sécurité des appareils IoT. Il devient ainsi plus qu’essentiel que les fabricants et utilisateurs adoptent une approche proactive pour prévenir les risques.