Blog de la société JS-GROUPE

Sony Ericsson piraté

Société JS-GROUPE — Tue, 24 May 2011 19:10:35 +0000

Info ZATAZ – Un pirate libanais met la main sur une base de données appartenant à Sony Ericsson.

Décidement, les sites de SONY vont finir par être les plus sécurisés du web.

Surtout après le passage incéssant des tous les piratins du web. Un jeune pirate libanais, connu sous le pseudonyme d’Idahc Ewleh, vient d’annoncer à ZATAZ.COM qu’il venait de mettre la main sur des données appartenant à la boutique sonyericsson.com.

Une injection sql découverte dans le « shop » du site a permis au pirate d’extraire une base de données avec logins, mots de passe (Md5) et emails. Le pirate a diffusé sur PastBin plus de 900 comptes clients avec noms, prénoms, emails et passwords.

Article de notre partenaire ZATAZ.COM

La nouvelle protection du PSN ne sert à rien

Société JS-GROUPE — Sat, 21 May 2011 20:56:25 +0000

SONY vient de modifier la sécurité de son service Playstation Network et a fait changer le mot de passe de ses clients. ZATAZ.COM peut révéler que les comptes membres PSN sont toujours en danger ! Voilà qui laisse songeur. Comme l’indique Attila, du site PS3 Info « Nous pouvons nous interroger sur la qualité des développeurs de chez Sony« . ZATAZ.COM confirme la découverte d’une nouvelle vulnérabilité visant les clients utilisateurs du Playstation Network. Une méthode aussi bête… qu’efficace diffusée par un inconnu, sur le web, dans la soirée du 17 mai.

ZATAZ.COM n’expliquera pas la méthode afin d’éviter des blagounettes qui ne feront pas rire les victimes potentielles. Nous pouvons affirmer cependant qu’il suffit de posséder l’email d’un utilisateur du PSN, ainsi que sa date de naissance (plus quelques petits « trucs », NDR), pour prendre la main sur le compte du membre ciblé.

Cette vulnérablité permet de modifier le mot de passe du joueur ! Autant dire que si vous avez laissé trainer ces informations personnelles et privées sur votre site, ou autres portails communaitaires comme Facebook, un conseil, effacez !

ZATAZ.COM a contacté le service presse dédié à la PS3 de chez SONY France, via le protocole d’alerte ZATAZ, afin de faire corriger cette faille.

Mise à jour : Le service presse semble avoir reçu notre courriel, mais n’a pas dit merci : http://www.zataz.com/news/21223/mot-de-passe–psn–playstation-network.html

Une fuite, une faille, … contactez ZATAZ.COM afin de vous aider à faire corriger votre découverte.

Article de notre partenaire ZATAZ.COM

Supermarché de la carte bancaire volée

Société JS-GROUPE — Thu, 12 May 2011 17:50:49 +0000

INFO ZATAZ – Découverte d´un supermarché numérique qui propose d´acheter des cartes bancaires volées comme un kilo de carottes. Peut-être des données volées sur le Playstation Network. Le business lié au piratage de cartes bancaires (black market) via Internet semble être très juteux. Un exemple qui tente de prouver ce fait.

ZATAZ.COM a pu constater l’existence de plusieurs sites Internet proposant l’achat de données bancaires volées via une méthode qui a le mérite, à défaut d’être légale, d’être originale. Nous connaissions les forums sur lesquels des pirates et autres voleurs s’échangent ou se revendent leurs larcins, comme par exemples les données bancaires volées sur le Playstation Network ou encore le Sony Sony Online Enterntainement, voici venir la « criée », comme pour le poisson, de la CB (CC leak) volées.

Les e-voleurs indiquent ce qu’ils ont en leur possession et combien ils veulent en toucher. A Rungis, c’est le poulet, le poisson et les fleurs, dans les boutiques que ZATAZ.COM a visité, c’est les cartes bleues.

Les boutiques, qui sont tenues par le même webmasteur, affiche le type de la carte bancaire, le nom de la banque, le nombre de compte disponible et le prix demandé par carte. Les acheteurs n’ont plus qu’à remplir leur « caddie © ». A noter qu’un pack de cartes Amex, Visa, Master Cards est commercialisé 1.300$. 1.000 cartes bancaires « certifiées, ce qui veut dire qu’elles ont été testées, 8.000 $.

Parmi les propositions que ZATAZ.COM a pu croiser : de l’American Express, des comptes Wells Fargo, JPMorgan Chase, Bank of America, Barclays mais aussi des comptes appartenant aux Motorola Employees Credit.

Nous n’avons pas repéré, dans les centaines de milliers de propositions, de comptes Français. Le site, comme son gérant, sont basés en Ukraine. Au 12 mai, ZATAZ.COM a pu constater plus de 601.120 propositions de ventes, soit plus de 15 millions de CB volées. Pour le test des cartes bancaires, les pirates font, par exemple, des minis dons (0.01 euros) sur des sites d’ONG pour s’assurer du bon fonctionnement des « credits cards ».

Article de notre partenaire ZATAZ.COM

Des traces d´Anonymous dans les serveurs de Sony

Société JS-GROUPE — Thu, 05 May 2011 15:48:11 +0000

Au cours de son enquête sur le piratage du Sony Online Entertainement, la firme japonaise aurait découvert un fichier qui fait clairement référence au Anonymous. Voilà qui devient intéressant. Dans une lettre envoyée à la Chambre des représentants américaine, mercredi, le géant japonais Sony a déclaré avoir retrouvé un fichier baptisé « Anonymous », contenant les mots «We Are Legion», laissé par les intrus dans le serveur gérant le Sony Online Entertainment (SOE).

Pour rappel, le slogan «Nous sommes Légion» est celui régulièrement utilisé par Anonymous. D’après le japonais, le SOE aurait été piraté et au moins 20.000 données bancaires se seraient retrouvés dans les mains de vilain.

En gros, si je prends une calculatrice cela donne comme équation à la sauce Sony : Anonymous + vol de données bancaires = Anonymous simple voleur d’argent !

Sony a annoncé qu’il allait faire un geste de bonne volonté à ses clients en leur offrant 30 jours gratuit au PlayStation Plus, ainsi que plusieurs téléchargements gratuits. (AT)

Article de notre partenaire ZATAZ.COM

Nouveau piratage pour SONY

Société JS-GROUPE — Tue, 03 May 2011 15:46:05 +0000

Dans la famille serveur sensible visité par des pirates, après le Playstation Network, voici les données bancaires du Sony Online Enterntainement.

Voilà le feuilleton du Printemps qui continue. Sony a confirmé, après bien du temps, le piratage de son Playstation Network. Des « présomptions » de preuves font état que les pirates ont commencé à utiliser des données bancaires volées sur le PSN.

Lors de « l’audit » XXL vécu par les serveurs de la firme japonaise, il a été découvert que d’autres bases de données ont été « tapées ». Preuve que les injections SQL étaient/sont légions.

Cette fois, c’est le Sony Online Entertainement qui a été visité. Bilan, 24 millions de comptes supplémentaires dans les poches des e.voleurs. Parmi les informations très certainement volées, plus de 12.000 données bancaires (sur 24 millions de comptes ? (sic!) datant de 2007. Les cartes bancaires des joueurs autrichiens, allemand, néerlandais et espagnols sont concernés.

Vous aurez remarqué que la France n’est étonnamment pas citée. Pendant ce temps, le XSS qui vise l’une des sites SONY, vulnérabilité que ZATAZ.COM vous a révélé la semaine dernière, n’est toujours pas corrigé.

Article de notre partenaire ZATAZ.COM

Nouvelle faille pour Sony

Société JS-GROUPE — Mon, 02 May 2011 13:37:46 +0000

INFO ZATAZ – Un des sites Internet du géant japonais souffre d´une nouvelle vulnérabilité informatique. Sony, qui annonce une réouverture très prochaine de son Playstation Network, à la suite du piratage de son système informatique, a fait corriger, voir modifier une grande partie de son infrastructure informatique. C’est du moins ce que laisse entendre le service presse Britannique, en charge de causer « pirate » et « intrusion » avec la presse.

Seulement, ZATAZ.COM peut confirmer une vulnérabilité dans l’un des serveurs web de la firme japonaise. Une faille de type XSS (Cross Site Scripting) qui permet, entre autres, d’intercepter le cookie de connexion. Autant dire que des actions bien plus malveillantes sont possibles.

SONY a été contacté par le biais du protocole d’alerte de ZATAZ.COM. En attendant une correction qui ne devrait pas tarder, nous vous déconseillons fortement de cliquer sur le moindre lien provenant d’une source autre que vos doigts (emails, forums, IRC, …). Il est préférable de taper l’url de SONY directement dans la barre dédiée de son navigateur favoris.

Article de notre partenaire ZATAZ.COM

Piratage de Sony… le CVV en clair ?

Société JS-GROUPE — Mon, 02 May 2011 09:01:40 +0000

INFO ZATAZ – Plusieurs lecteurs Français nous ont fait part du piratage de leurs données bancaires. Ils sont clients du Playstation Network. Trois lecteurs, et une lectrice de ZATAZ.COM, nous ont contacté, ces dernières heures, à la suite d’une ponction financière sur leurs comptes bancaires.

L’un des internaute, Jérémy, est un expert en sécurité informatique. C’est d’ailleurs son métier. Autant dire que le piratage de sa carte bleue, ou tomber dans un phishing, n’est pas dans son cursus. Et pourtant !

Un pirate informatique vient de lui voler 115 euros, via un achat sur le site Thisipod. « On m’a pris 115 euro sur ma carte bancaire. Je suis abonné au Playstation Network« , explique-t-il par courriel à ZATAZ.COM. Une preuve que les CCV étaient en clairs ?

A suivre d’autant plus que le site néerlandais n’est pas à son premier « contact » avec des pirates de cartes bancaires. En juin 2010, Thisipod avait été utilisé par des soldats israéliens. Ces derniers avaient utilisé des cartes bancaires saisies à des pacifistes grecs lors de l’arraisonnement de la « flottille de la liberté« .

Article de notre partenaire ZATAZ.COM

Faille pour Gmail: mot de passe révélé

Société JS-GROUPE — Fri, 29 Apr 2011 17:37:41 +0000

INFO ZATAZ – Un 0day permet d´intercepter le mot de passe d´un utilisateur de Gmail. Le service de courrier électronique de Google, Gmail, souffre d’une vulnérabilité qui pourrait permettre, à un pirate, de mettre la main sur le mot de passe d’un utilisateur du webmail du géant américain.

ZATAZ.COM a pu constater et tester la faille. Il s’agit d’une simple injection d’un code malicieux écrit en JavaScript. Le code communique la requête au(x) serveur(s) de Gmail qui communique ensuite au pirate le mot de passe de la victime.

Au niveau de l’exploitation, l’utilisation de cette vulnérabilité de « Bypass Password » en local ou sur un réseaux local est très simple à mettre en place. « A distance, l’attaque est plus complexe, mais loin d’être impossible » confirme Casi, l’auteur de la découverte. Dans ce cas, il faut pouvoir exploiter le cookie de la victime (Key HTTP, Cookie Stealer, Phishing) couplé au code malveillant. Bref, prudence.

Nous vous déconseillons de cliquer sur le moindre lien vous offrant la possibilité de vous rendre sur Gmail. Il est préférable de taper l’url dans votre navigateur. Google a été notifié de la faille via notre protocole d’alerte ZATAZ.

Des traces des militaires américains dans les serveurs de Sony

Société JS-GROUPE — Fri, 29 Apr 2011 08:12:38 +0000

INFO ZATAZ – Etrange logs découverts dans l´un des serveurs de Sony. Un scanner de vulnérabilités est passé par là, en mars, sous la signature du Département de la Défense Us. Cela n’a peut-être rien à voir avec l’attaque du Playstation Network qui touche plusieurs dizaines de millions de clients Sony (plus de 70 millions pour la PS3, et autant pour les télévisions connectées de la firme japonaise, NDR) mais l’information a de quoi faire tendre l’oreille. Des traces (IP) appartenant à des requêtes d’un scanner de vulnérabilité ont été découvertes dans le serveur media.q-np.ac.playstation.net/access-navigator-media (site HS). La premiére trace, voir capture écran ci-dessous, montre une « visite » datée du 3 mars dernier et du 15 avril, soit quelques jours avant le grand merdier. L’ip 214.1.211.251 envoie des requêtes. Une adresse électronique qui débarque directement du DoD Network Information Center. Alors soit y a un bidasse qui a cru jouer à Call of Duty 12, soit un pirate est passé par là, en exploitant l’ip comme un proxy. (AT)

Article de notre Partenaire ZATAZ.COM

Sony poursuivi pour violation de données

Société JS-GROUPE — Fri, 29 Apr 2011 08:02:14 +0000

INFO ZATAZ – Le piratage du PlayStation Network entraîne une série de plaintes en justice à l´encontre de Sony.

Le printemps s’annonce chaud, très chaud pour la firme nippone. Après le piratage du Playstation Network et des services commerciaux online de Sony, dont ZATAZ.COM vous a fait suivre l’affaire dès la semaine dernière, voici que la justice américaine vient s’inviter à la fête. Non pas contre le pirate mais contre Sony.

Une plainte a été déposée ce jeudi au nom de Kristopher Johns, 36 ans, de Birmingham, en Alabama. C’est l’US District Court de Californie qui a été saisie. Johns accuse Sony de ne pas prendre « des mesures raisonnables pour protéger, chiffrer et sécuriser les données privées et sensibles de ses utilisateurs. » Kristopher reproche aussi à la firme japonaise d’avoir mis trop de temps pour informer les clients. La poursuite demande une compensation monétaire, la surveillance des cartes de crédit sans frais, le statut d’un recours collectif (class action complaint). Autant dire que SONY risque de sentir passer la douloureuse. (AT)

Article de notre partenaire ZATAZ.COM