Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

La CIA s'est servie de VLC et de plusieurs autres logiciels portés par la communauté du libre
Pour mener ses opérations d'espionnage

Le , par Coriolan

176PARTAGES

9  0 
La plateforme Wikileaks a publié des milliers de documents mettant au clair les agissements et les outils de piratage exploités par la célèbre et mystérieuse agence centrale de renseignements américaine. C’est, selon Wikileaks, « la plus importante publication de documents confidentiels de la CIA ». Plus riche encore que les révélations d’Edward Snowden, le site de Julian Assange a publié 8761 documents secrets, extraits d’un réseau sécurisé du Center for Cyber Intelligence, situé à Langlay, au QG de l’agence.

Dans cette collection impressionnante de documents dévoilés par Wikileaks, on apprend que la CIA se sert d'une ancienne version portable de VLC comme vecteur d'attaque pour obtenir des informations stockées dans un ordinateur. VLC Media Player (VLC) est un lecteur multimédia libre issu du projet VideoLAN. Ce logiciel est multiplateforme et distribué sous licence GNU GPL. Le logiciel est très populaire et utilisé par des centaines de millions de personnes partout dans le monde. C’est sûrement cette popularité de VLC et de plusieurs autres programmes portés par communauté du libre qui a poussé la CIA à les exploiter pour mener ses actions malveillantes et infecter des ordinateurs.


Dans un message publié sur Twitter, l’association VideoLAN qui supervise le développement du lecteur multimédia VLC Media Player, a expliqué « être au courant des révélations liées à la CIA venant de WikiLeaks à propos de l’utilisation de VLC comme vecteur d’attaque pour la diffusion de logiciels malveillants ». Il n’est pas clair encore comment la CIA opère ses attaques, toutefois, l’association a informé qu’elle va apporter les correctifs nécessaires après que la situation aura été tirée au clair. L'association invite également les volontaires qui voudraient donner un coup de main à se manifester pour trouver une solution à ce problème le plus vite possible.

« Le système d’attaque de la CIA Fine Dining fournit 24 applications de leurres que les espions des USA peuvent utiliser. Pour les victimes, l’espion semble exécuter un programme montrant des vidéos (par exemple VLC), présenter des diapositives (Prezi), exécuter un jeu PC (Breakout2, 2048) ou même lancer un faux scanner antivirus (Sophos, McAfee, Kaspersky). Mais alors que l’application de leurre est à l’écran, le système en sous-couche est automatiquement infecté et saccagé », a écrit Wikileaks.

Il apparaît que la CIA exploite une ancienne version de la version portable de VLC afin d’utiliser des injections de bibliothèques de liens dynamiques (DLL) en ayant modifié le Manifest de l’application. En gros, ce faux VLC permet d’exfiltrer des données alors que l’utilisateur regarde une vidéo ou écoute de la musique.

Si Vault 7 (nom choisi par WikiLeaks pour parler de la cascade de documents confidentiels provenant des archives de la CIA) a révélé une chose, c’est qu’aujourd’hui, aucun appareil électronique n'est à l'abri de l’agence d'espionnage américaine. La CIA dispose d’un arsenal gigantesque permettant de mener des attaques que la plupart des antivirus du marché ne peuvent pas stopper. VLC n’est pas le seul logiciel affecté, l’agence s’est servie de nombreux logiciels apparemment anodins, comme Firefox, Chrome, Opera, Thunderbird, Libre Office, Linux et 7-Zip. On trouve aussi Skype, Notepad++, Foxit Reader ou bien Opera Mail.

Source : Tweet de VideoLan - WikiLeaks

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

WikiLeaks : comment la CIA aurait piraté les smart TV de Samsung pour les transformer en dispositifs d'écoute des conversations privées
Vault 7 : Wikileaks dévoile l'arsenal informatique de la CIA, l'agence est capable de contourner le chiffrement de WhatsApp

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de pierre-y
Membre éprouvé https://www.developpez.com
Le 08/03/2017 à 20:44
Et ils viennent t'inventer des pseudo piratage russe alors qu'eux pirate comme des porc...
14  0 
Avatar de chrtophe
Responsable Systèmes https://www.developpez.com
Le 10/03/2017 à 10:20
Ce n est pas debil. Ca s apelle la pratique. Concretement tres peus de personnes ont les moyens et la capacite de le faire. Quelques un pense en etre capable c est tou
Mais encore moins de personnes sont capables d'analyser un code compilé propriétaire dont les sources sont indisponibles.
12  0 
Avatar de hotcryx
Membre extrêmement actif https://www.developpez.com
Le 24/03/2017 à 15:38
Il y aura toujours des gens qui n'y croieront pas, même avec la preuve sous le nez.
9  0 
Avatar de NSKis
En attente de confirmation mail https://www.developpez.com
Le 25/03/2017 à 15:48
Citation Envoyé par sbeex Voir le message
Haha si tel est le cas ils ont fait très fort !

Je possède un iphone et... je m'en fiche en fait tant qu'il marche pas moins bien qu'avant !
Et bien voilà la réponse typique de tous les "neuneu" de notre société de consommation: "Euh! Je m'en fiche d'être espionné, j'ai rien à cacher!"

C'est grâce à ce genre de réponse que la société actuelle se transforme en une immense prison à ciel ouvert où le moindre comportement du citoyen est scruté, analysé, enregistré...

Et est-ce que le "Euh! Je m'en fiche d'être espionné, j'ai rien à cacher!" imagine ce qu'il pourrait advenir de ses données dans les mains d'un gouvernement un "peu particulier", style Erdogan en Turquie (qui fait la chasse aux opposants), style Kim Jong-Un en Corée du Nord, style Khmers Rouge au Cambodge qui ont fait la chasse aux intellectuels allant jusqu'à tuer 21% de la population du pays en 4 ans???

Et est-ce que le "Euh! Je m'en fiche d'être espionné, j'ai rien à cacher!" se souvient qu'il y a moins de 80 ans un taré arrivé au pouvoir en Allemagne a éliminé physiquement 5 millions de personnes juste parce qu'elles étaient de confession juive, 300.000 personnes handicapées mentales ou physiques en Allemagne, entre 300'000 et 500'000 tziganes à travers l'Europe occupée, environ 10'000 homosexuels??? Quel aurait été le bilan si le gouvernement nazi avait disposé à l'époque d'internet et avait eu accès à toutes les données collectées auprès des "Euh! Je m'en fiche d'être espionné, j'ai rien à cacher!"???
9  0 
Avatar de CaptainDangeax
Membre éclairé https://www.developpez.com
Le 09/03/2017 à 11:43
J'aurais aimé de la part de "developpez" une analyse plus fine. Balancer des noms d'applications comme ça ne fait pas avancer le schmilblick, et quand on simplifie trop, on finit par tomber dans le fake et la désinformation. Par exemple VLC. Est-ce la version windows seule qui est touchée, ou toutes ? Est-ce que c'est la version "officielle" présente sur le site videolan.org, ou juste une version repackagée à la 01net ou softonic ? Idem pour Linux, qui n'est je le rappelle qu'un noyau. Est-ce que c'est le noyau lui-même qui est corrompu, ou un package logiciel accompagnant une distribution ? Est-ce que c'est le noyau présent sur kernel.org, ou une version trafiquée téléchargeable sur le darknet sous le nom linux-faster-kernel-++warez.gz ?
Tout ça pour dire que l'article est bien orienté auti logiciels libres (vu la liste citée) mais qu'il ne donne aucune information permettant de mieux se protéger autrement qu'en procédant par élimination: "thunderbird est corrompu ? achetons outlook". Je demande maintenant au rédacteur ce qu'il cherche : nous informer, ou juste propager du FUD ?
8  0 
Avatar de TallyHo
Membre éprouvé https://www.developpez.com
Le 10/03/2017 à 9:16
Citation Envoyé par Aeson Voir le message
L avantage de Linux n est qu il est open source mais qu il est tres bien fait et avec une architecture tres adaptee au serveurs. Contre l espionage et la CIA que se soit Linux Mac ou Windows.... ca ne change absolulent rien du tous. On en a ENCORE une fois la preuve ici.
Excuses moi mais ton raisonnement est aussi idiot que de dire que la ceinture de sécurité est inutile car les conducteurs ne la mettent pas... Tu peux vérifier et compiler, voila ce qui change. Ce n'est pas parce que les gens n'utilisent pas cette possibilité (d'après toi) que ça enlève l'avantage.
8  0 
Avatar de Ryu2000
Membre extrêmement actif https://www.developpez.com
Le 24/03/2017 à 14:24
Comme quoi les russes ont raison de se méfier des produits américains...
8  0 
Avatar de Capitaine_aizen
Membre régulier https://www.developpez.com
Le 10/03/2017 à 14:44
Citation Envoyé par Tartare2240 Voir le message
Ne serait-ce pas là un énorme coup de poing dans le ventre de notre multinationale préférée ?.
Oui et non. Pour nous, Oui Google va prendre un coup de poings dans le ventre. (D'ailleurs c'est la raison pour laquelle j'utilise Duckduckgo et Qwant, Google uniquement en dernier recours mais un oignon). Pour Mme.Michu, Non car Mme.Michu n'est pas assez "geek" pour comprendre les implications et se dira "Bah, il y a que les méchants qui ont quelque chose à cacher.".
Seulement voilà, la proportion de Mme.Michu est largement supérieur à la proportion de "geek" et donc ça ne changera rien pour Google. (On est dans le bruit de la mesure).

Tu as raison, il suffit d'une personne pour, parfois, changer le cours de l'Histoire. (effet papillon ?) . Mais à moins qu'un conseillé "geek et non vendu" à l'Union Européenne parvient à faire prendre conscience des dangers et autres à nos gouvernements, et qu'en réponse, ils tapent très fort du point sur la table, je vois pas comment ça peut changer.
Et d'ailleurs, même si une manifestation était organisé contre ça, je suis presque sûr que certains ministres (suivez mon regards) ne l'autoriserez même pas tant ça pourrait (peut-être) déranger.

Citation Envoyé par Aeson Voir le message
Serieusement... continue a coder et laisse les aspects de securité a ceux qui s'y connaissent
Entièrement d'accord avec toi. Sauf que si les aspects sécurité sont du genre hash de mot de passe à la MS datant du crétacée, j'ai le devoir d'émettre une réserve. Après comme dans le milieu scientifique, si j'ai tord démontre le moi et démontre moi que tu as raison. En l'occurence ici, il y a match nul entre les deux.

Si tu me permets de chercher la petite coccinelle derrière la feuille de chou. Si Airbus, Dassaut Systems ou autres, utilisent des routeurs Cisco (rien contre eux, c'est pour l'exemple), j'estime que l'inertie de Cisco et à sécuriser ses produits est un manque de sérieux de l'entreprise mettant en danger ces entreprises vis-à-vis de l'espionnage industriel.
En revanche pour un logiciel open-source comme OpenSSL, bah c'est leur risque et péril. Soit ils l'utilisent tel quel, soit il paye pour vérifier le code et accessoirement corrigé les failles. Combien d'entreprises participent à l'Open-Source est on apporté des corrections à des bugs ? D'ailleurs la NSA a développé le SELinux (https://en.wikipedia.org/wiki/Security-Enhanced_Linux). Doit-on y voir une backdoor ? Peut-être, mais au moins ici, je peux me dire que c'est ma faute aussi. Car je peux me former pour chercher une faille et la soumettre à l'équipe qui s'en charge. Alors qu'avec un code fermé, bah je suis sur que le service juridique va être content de me voir
7  0 
Avatar de Tartare2240
Membre averti https://www.developpez.com
Le 10/03/2017 à 16:10
Au bout d'un moment...

7  0 
Avatar de emutramp
Membre habitué https://www.developpez.com
Le 13/03/2017 à 5:35
Aeson

La majorite de tes propos sont denues de sens.

1) Backdoor cache dans du code opensource

https://www.theregister.co.uk/2015/0...romium_hubbub/
https://torrentfreak.com/new-utorren...-miner-150413/
(2 exemples parmis d’autres)

Est-il possible de cacher un backdoor dans un code 100*% open*? Oui mais c’est suicidaire, il sera forcement un jour ou l’autre déniché. Aucun intérêt a moins d’avoir le désire de ruiner sa réputation. utorrent est le parfait exemple (même si ce n’était pas un backdoor), une fois le miner découvert, le client n’est disponible dans le gestionnaire de paquet de Gentoo (ça doit être aussi le cas pour les autres distro). Résultat des courses, le software torrent le plus utilise se retrouve au fond des oubliettes.

2) Aucune preuve que Microsoft and co collabora avec la CIA

https://www.theguardian.com/world/20...tion-user-data

Avec la NSA en tout cas, c’est une certitude. Donc, Microsoft collabore avec la NSA mais pas la CIA ?

3) Code source ouvert plus sécurisé que le code ferme

Pour la securite IT, on applique la loi murphy

Code ferme*: Aucune possibilité d’étudier le nombre de faille. Le potentiel est donc que l’integralite des soft, lib… sont faillibles.

Code ouvert*: Possibilité pour quiconque d’étudier, corriger, alerter.

4 ) Personne ne compile ou examine l’intégralité des sources.

Vrai et Faux. L’intégralité du système jusqu’au compilateur peut-être compile, ainsi que les software, mise a jour… Ça s’appelle Gentoo. L’humain n’est pas parfait et ne peut examiner constamment chaque ligne de code, mais une vulnérabilité a au moins la chance de pouvoir être détecté et corrigé par un utilisateur d’où qu’il vienne a l’instar d’un code source fermé. L'opensource y gagne depuis quelques annees, au niveau investissement financier: permettant a nombre de dev de faire des audits sur les codes opensource et d'y déceler des problèmes de sécurité.

5) OS complètement sécurisé ça n’existe pas

Presque, quelqu’un l’a cite sur ce topic → openbsd | 2 failles en 20 ans
Pour comprendre pourquoi cet OS est sécurisé, tu peux consulter la FAQ

6) Faille kernel Linux

Je te redirige vers grsecurity

7) Le debat sans fin opensource vs closed source

La seule raison valable d’un code source fermé, serait pour une utilisation privé, d’une boite ou d’un secteur qui désire cacher le fonctionnement de leurs soft pour les raisons qui les encombres (militaire, secret...). Tant qu’un code source fermé reste dans le domaine du privé, aucun problème

Des lors qu’un code est disponible pour le public, il devrait être ouvert, nous n’avons et ne devons pas avoir confiance sur l’intégrité des dev derriere celui-ci mais exiger une transparence totale. Je vois arriver les arguments des jeux vidéos a ce que je réponds : Achetez-vous une console ou a la limite ou un PC spécialement utilisé pour les jeux.

Pour finir, Microsoft qui a tout au long de sa carrière essayer de mettre des battons dans les roues de Linux, pour le faire interdire / couler, qui désormais plonge vers sa perte, a bien retourné sa veste: Il essaye désormais de s’incruster dans l’opensource dans l’idée de le contrôler / survivre et/ou de ne pas finir la ou il devrait être : dans une poubelle. Un reproche que je fais a la fondation Linux qui a ouvert récemment les bras a Microsoft... Mais Linux reste le trademark de Linus and co et ils ont tellement apporté a la communauté que je ferais impasse sur ce point, tout en évitant au possible la moindre ligne made in Microchiotte sur mon système

Aucune preuve que Linus collabore avec la CIA*? Vrai, pour microsoft par contre, on le sait.

Microsoft : Security by obscurity
7  0