Archives pour l'étiquette pirater

Les objets connectés Alexa, Siri et l’assistant Google peuvent entendre des commandes que l’oreille humaine ne peut pas entendre.

Cela peut vous sembler un bruit blanc, mais cette astuce peut être manipulée pour contenir les messages qu’Alexa, Siri et Google Assistant comprennent.

Des chercheurs de plusieurs universités des États-Unis et de Chine ont mis au point une méthode de piratage du bruit blanc pour hacker les assistants numériques dans l’exécution de commandes.

Appelé « audio contradictoire », l’astuce consiste à créer « une fonction de perte » basée sur CTC [connectionist temporal classification] perte qui prend une transcription désirée et un fichier audio en entrée et renvoie un nombre réel en sortie, explique U.C. Candidat au doctorat à Berkeley Nicholas Carlini.

L’enregistrement du piratage est exécuté à travers un processus appelé descente de gradient jusqu’à ce que la distorsion soit minimisée mais toujours efficace pour déclencher une réponse d’assistants numériques comme Siri, Alexa et l’Assistant Google.

Des expériences comme celles-ci font ressortir un problème qui ne fera que grandir au fur et à mesure que les assistants numériques deviendront plus omniprésents : ils peuvent être piratés de façon nouvelle et différente puisqu’ils s’appuient sur des commandes vocales.

Comme le souligne Sheng Shen de l’Université de l’Illinois à Urbana-Champaign, les commandes n’ont même pas besoin d’être audibles, elles peuvent être ultrasoniques. Shen s’est penché sur la possibilité de commandes en dehors de la gamme des ouvertures d’audition humaine, en passant des commandes en ligne et en faisant d’autres choses malveillantes sans que le propriétaire de l’appareil entende une seule chose.

Les entreprises avec des assistants numériques ou des enceintes intelligentes devraient-elles être inquiètes ?

Les assistants numériques connaissent une popularité croissante, mais ils sont encore une technologie relativement nouvelle. Je me souviens quand la reconnaissance de la parole était si pauvre que c’était comique, et maintenant seulement une dizaine d’années plus tard, les machines peuvent reconnaître la parole aussi bien, sinon mieux, que les humains.

La reconnaissance vocale de l’IA est encore à ses balbutiements, ce qui signifie que les gens trouveront des façons intéressantes de la hacker. Comme utiliser un sifflet Cap’n Crunch d’une boîte de céréales pour tromper les téléphones payants en donnant des appels gratuits, cette dernière attaque est simplement l’évolution de l’utilisation d’un système contre lui-même, et rendra les assistants numériques (comme avec les téléphones) plus sûrs. le long terme.

Ceux qui utilisent des assistants numériques devraient-ils être concernés en ce moment ? Pas nécessairement. Les exploits actuels ont une portée relativement étroite et leur utilisation répandue est peu probable à ce stade.

L’équipe de Carlini a créé des enregistrements conçus pour tromper Google Assistant, mais en réalité, ils ne réussissent que contre DeepSpeech de Mozilla. 100 % de réussite, mais seulement avec succès contre un moteur de synthèse vocale qui est peu utilisé par rapport à Google Assistant, Siri et Alexa.

Il est peu probable qu’un pirate qui se cache dans les buissons puisse pirater votre Amazon Echo en utilisant son smartphone de sitôt. Espérons que Google, Amazon et Apple feront leurs propres recherches et corrigeront les exploits de reconnaissance de la parole avant qu’ils ne deviennent monnaie courante.

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage

Lorsque les appareils médicaux sont piratés, la plupart du temps les hôpitaux ne le savent pas.

La menace pour les dispositifs médicaux est réelle et se produit maintenant et c’est un problème de sécurité des patients, beaucoup plus que celui de la conformité HIPAA.

Les trois derniers mois ont vu un record de rappels de dispositifs médicaux, en hausse de 126 % au premier trimestre de 2018 par rapport à l’année dernière, selon l’indice Stericycle Recall. Le plus gros coupable était le logiciel, ce qui n’est pas surprenant compte tenu de l’augmentation des appareils de haute technologie qui fonctionnent souvent sur les systèmes existants.

Alors que de nombreux systèmes de santé ont des plates-formes héritées sur certains aspects de son réseau – pensons aux IRM et aux appareils à rayons X, les dispositifs médicaux sont un outil qui peut directement mettre en danger les patients en cas de défaillance.

« La sécurité sur les appareils n’a pas seulement un impact sur HIPAA, elle affecte la sécurité des patients », a déclaré Christian Dameff, MD, un médecin de salle d’urgence à l’Université de Californie à San Diego.

« Non seulement la sécurité des patients est-elle un réel problème avec une violation d’appareil médical, mais ces piratages sont déjà en cours », a expliqué Jeff Tully, anesthésiste et pédiatre à UC Davis. « WannaCry a paralysé les systèmes hérités du National Health Service du Royaume-Uni et ils n’étaient pas la cible initiale. »

Tully et Dameff ont pris des médecins sans méfiance et les ont placés dans des simulateurs de dispositifs médicaux simulés et ont ensuite demandé s’ils pensaient qu’une pompe avait été piratée.

« Et tous ont dit non » indique Tully. « Ils ont une confiance implicite et ils n’ont pas l’infrastructure. C’est une configuration parfaite pour que [les dispositifs médicaux] soient piratés. »

Le problème est suranné, les systèmes hérités avec des mots de passe codés en dur qui peuvent être trouvés avec une simple recherche Google, a expliqué Tully. Les gens ne cherchent pas ce genre de violation.

Selon la cible, il peut être assez simple d’entrer, a expliqué Dameff. Même si un grand réseau hospitalier est moins susceptible de réussir dans cette zone avec une architecture élaborée et éprouvée, les petits fournisseurs disposant de moins de ressources risquent de ne pas être aussi chanceux.

« La pénurie de sécurité, couplée à l’architecture de ces réseaux, les dispositifs hérités, les systèmes obsolètes – et les surfaces d’attaque énormes – ce sont des dégâts que nous allons nettoyer », a déclaré Dameff.

La paire a étudié les hacks sur les stimulateurs cardiaques, les appareils d’éclairage, les pompes à insuline et similaires, et Tully a déclaré qu’ils démontrent l’impact sur les soins aux patients si un pirate était capable de pénétrer dans l’appareil. Comme les deux sont des médecins actifs, leur mission est personnelle.

« Notre objectif principal est de traduire aux personnes qui ne comprennent pas l’impact sur ceux dans le cadre de soins », a déclaré Dameff. « Ce que nous devons faire est de changer le paradigme pour créer une stratégie pour sécuriser ces appareils. »

L’espoir est de remettre en question les hypothèses et de sensibiliser les OPCC à prendre en compte ces éléments, et de voir les scénarios cliniques qui peuvent se produire lorsqu’un dispositif médical est compromis, explique Tully.

Il s’agit de « reconnaître que ça va arriver, que vais-je faire pour me préparer maintenant ? », A-t-il ajouté.

Tully et Dameff montreront des simulations réelles de l’anatomie d’un hack de dispositif médical au forum HIMSS Healthcare Security à San Francisco.

Longue peine de prison pour un homme qui a piraté un système informatique de prison pour libérer un ami.

Un juge a condamné un homme du Michigan à 87 mois de prison, soit 7 ans et 3 mois, pour avoir piraté le système informatique d’une prison de comté et modifié les dossiers des prisonniers pour tenter de faire libérer un détenu plus tôt.

L’homme, Konrads Voits, 27 ans, d’Ypsilanti, aura également trois ans de liberté surveillée et devra payer 235 488 $ en restitution au comté de Washtenaw, le coût de l’enquête et de l’adresse du piratage.

Le piratage a été effectué de plusieurs façons. Au départ, il s’est lancé dans une campagne de hameçonnage. Il a envoyé des emails aux employés de la prison du comté, les attirant sur le domaine « ewashtenavv.org », une copie du site officiel du comté de « ewashtenaw.org ».

La campagne par email a échoué, mais Voits a réussi lorsqu’il a appelé des employés de la prison de comté, se faisant passer pour des membres du personnel informatique de la prison et incitant les travailleurs à installer une fausse mise à jour pour l’application.

En réalité, le fichier de mise à jour comportait des logiciels malveillants, que Voits utilisait pour accéder au système informatique de la prison. Voits a admis avoir utilisé le logiciel malveillant pour collecter et pirater des mots de passe, des noms d’utilisateur, des emails et d’autres informations personnelles de plus de 1600 employés du comté.

Son intrusion a été détectée lorsqu’il a accédé à XJail, l’application de gestion des détenus du comté et modifié l’entrée d’au moins un prisonnier dans le but de le faire libérer plus tôt.

Les documents de la cour ne vont pas dans les détails techniques, mais ils disent que l’intrusion de Voits a été détectée tout de suite, que l’entrée a été corrigée et que le FBI a été appelé pour aider à traquer l’intrus.

Les autorités ont arrêté Voits l’été dernier et il a plaidé coupable en décembre 2017.

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage

Google et Microsoft demandent au gouverneur de la Géorgie d’opposer son veto au projet de loi « hack back ».

Google et Microsoft demandent au gouverneur de la Géorgie, Nathan Deal, d’opposer son veto à un projet de loi controversé qui criminaliserait « l’accès non autorisé à un ordinateur » et permettrait aux entreprises de mener des opérations de piratage offensives.

L’Assemblée générale de la Géorgie a adopté le projet de loi fin mars et l’a envoyé à Deal, qui a 40 jours pour le signer. La législation a été accueillie avec des cris de la part de la communauté des chercheurs en sécurité. Les critiques disent que cela aurait un effet dissuasif sur la recherche légitime sur la cybersécurité, dans laquelle les pirates éthiques trouvent et signalent des vulnérabilités dans les réseaux des organisations.

Mais dans une lettre datée du 16 avril, des représentants de Microsoft et de Google se concentrent sur l’une des dispositions du projet de loi exemptant les « mesures de défense active conçues pour empêcher ou détecter l’accès non autorisé aux ordinateurs ». « Hack back » si le piratage est réputé être dans l’intérêt de la cybersécurité.

« À première vue, cette disposition autorise largement le piratage d’autres réseaux et systèmes sous le couvert indéfini de la cybersécurité », indique la lettre.

Les géants de la technologie affirment que cette exemption va bien au-delà du simple fait de donner aux organisations l’autorité de se défendre contre une attaque extérieure. Ils disent que le projet de loi pourrait donner aux entreprises la liberté de mener des opérations offensives à des fins concurrentielles.

« Avant que la Géorgie approuve l’autorité de » défense « en » défense « ou même l’anticipation d’une attaque potentielle sans critères statutaires, elle devrait avoir une compréhension beaucoup plus approfondie des ramifications d’une telle politique », écrivent les compagnies. « Des dispositions comme celle-ci pourraient facilement mener à des abus et être utilisées à des fins anticoncurrentielles et non protectrices ».

D’autres défenseurs de la sécurité ont écrit à Deal pour lui demander d’opposer son veto au projet de loi parce qu’ils disaient qu’une autre exception – accéder à un ordinateur ou à un réseau pour une activité commerciale légitime – était trop vague et menaçait d’inculpation pour un accès non autorisé.

Dans leur lettre, Google et Microsoft ne répondent pas à ces préoccupations, soulignant plutôt le problème du « hack back ».

« Nous croyons que le projet de loi 315 du Sénat fera de la Géorgie un laboratoire pour les pratiques offensives de cybersécurité qui peuvent avoir des conséquences imprévues et qui n’ont pas été autorisées dans d’autres juridictions », indique la lettre.

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage

Le site web du Undergraduate Council a été piraté

Le site Web du Undergraduate Council a été brièvement piraté par un groupe qui s’appelait « Iran Cyber ​​Security Group », jeudi soir. Vendredi matin, le vice-président de l’UC, Nicholas D. Boucher19, a rétabli la page Web du Conseil à son état normal.

Pendant le piratage qui a duré au moins une demi-heure, les visiteurs du site ont vu un dessin du président Donald Trump frappé au menton par un individu dont le visage n’était pas représenté mais qui portait un bracelet rayé aux couleurs du drapeau iranien : vert, blanc et rouge.

« DOWN WITH USA », lisez un message en haut. Des lettres dans une langue étrangère ont défilé à travers le dessin animé. En naviguant sur le site Web, les visiteurs ont été accueillis par de fortes souches de musique dans une langue étrangère.

« Persian Gulf Forever », la page a lu près du fond. La page a également listé les hashtags « #DownWithUSA » et « #DownWithEsraeil ». « Le piratage a été fait au nom de Dieu », selon le texte plâtré en haut de la page.

Le piratage n’affectait que la page d’accueil du Conseil, hébergée sur un domaine de la Faculté des arts et des sciences, selon son URL.

Un porte-parole de HUIT n’a pas pu être joint pour commenter tôt vendredi matin.

Boucher a écrit dans un texte tôt vendredi matin que, avant d’être averti par The Crimson, il n’était pas au courant du piratage.

Environ 10 minutes plus tard, Boucher a écrit qu’il avait « contré leur attaque » et qu’il « travaillerait avec HUIT pour voir comment ils pénétraient le réseau de Harvard ».

Le piratage survient quelques semaines après que le Conseil a rassemblé des centaines d’informations sur les étudiants dans le cadre de la législation visant à accorder des subventions à certains étudiants éligibles au SEF pour le transport et le stockage. L’information n’a pas été soumise sur le site Web de l’UC.

Boucher et la Présidente de l’UC, Catherine L. Zhang, ont promis, lors de la campagne présidentielle de l’automne dernier, de réorganiser le site web du Conseil. M. Boucher a déclaré lors de la réunion UC de dimanche dernier que le nouveau site Web sera probablement lancé dans les prochaines semaines.

Boucher a écrit dans le texte que le Conseil est sur le point de remplacer son site Web actuel par « quelque chose de beaucoup mieux » et « plus sûr ».

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage