PolySécure Podcast

Nicolas-Loïc Fortin et tous les collaborateurs

Technologies

Dernier épisode

Épisodes disponibles

5 sur 669

Teknik - Split-Second Side Doors - How Bot-Delegated TOCTOU Breaks The CI/CD Threat Model - Parce que... c'est l'épisode 0x670!
Parce que… c’est l’épisode 0x670! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Ce podcast réunit François Proulx, Alexis Maurer-Fortin et Sébastien Graveline, chercheurs chez BoostSecurity, une startup montréalaise spécialisée en sécurité applicative. L’épisode explore les coulisses de leur travail de recherche et développement, particulièrement leurs découvertes récentes sur les vulnérabilités de type “race condition” dans les pipelines CI/CD. Structure et méthodologie de recherche L’équipe de recherche de BoostSecurity fonctionne de manière structurée mais flexible. François Proulx définit les grandes orientations annuelles basées sur les tendances émergentes et les apprentissages de l’année précédente. Alexis apporte son expertise en développement backend et son approche défensive, tandis que Sébastien, joueur avide de CTF, contribue avec une perspective offensive de red team. Garance, absente lors de l’enregistrement, assure la rigueur académique en effectuant des revues approfondies de la littérature scientifique. Infrastructure de recherche massive L’équipe a développé une infrastructure impressionnante pour la détection de vulnérabilités à grande échelle. Au cœur de leur système se trouve Poutine, un outil open source développé en Go pour scanner les pipelines de build, particulièrement les GitHub Actions. Cette infrastructure analyse continuellement l’écosystème open source, accumulant plusieurs téraoctets de données sur des millions de projets. Leur système “Threat Hunter” ingère en quasi-temps réel tous les événements publics sur GitHub avec un délai d’environ cinq minutes, capturant même les dépôts éphémères qui n’existent que brièvement. Cette capacité leur permet de détecter des attaques en cours, comme l’attaque par “confused deputy” de Kong qu’ils ont pu capturer et analyser. Les données sont stockées dans Google Cloud BigQuery, permettant des analyses complexes qui auraient autrefois nécessité des semaines de travail. Découverte d’une nouvelle technique de malware François décrit une découverte récente concernant une technique d’obfuscation utilisant les “Private Use Areas” d’Unicode. Ces plages de caractères, réservées mais jamais attribuées officiellement, permettent d’encoder des données arbitraires dans des chaînes de caractères invisibles. Un malware peut ainsi être caché dans du code source JavaScript, Python ou Go sans être visible dans les éditeurs standards comme Visual Studio Code. En réponse, l’équipe a développé “Puant”, un outil open source capable de scanner efficacement des millions de fichiers en quelques secondes pour détecter l’utilisation de ces caractères suspects. L’outil peut s’intégrer facilement dans les pipelines CI/CD pour bloquer du code contenant ces caractères invisibles lors de la révision de pull requests. Vulnérabilités “Time of Check, Time of Use” dans les pipelines CI/CD La découverte majeure présentée concerne une classe de vulnérabilités de type “race condition” appliquée aux build pipelines. L’équipe a identifié six cas significatifs affectant des entreprises comme Nvidia, GitHub Copilot et Jupyter Notebook. Le premier cas découvert impliquait le “copy-pr-bot” de Nvidia. Ce bot copie le code d’une pull request dans une branche dédiée après qu’un mainteneur ait commenté “ok to test”. L’équipe a découvert une fenêtre d’environ cinq secondes entre la commande du mainteneur et l’exécution du bot, pendant laquelle un attaquant pouvait modifier le code malicieusement puis le rétablir, rendant l’attaque invisible. Pour GitHub Copilot, la vulnérabilité était encore plus exploitable manuellement. Lorsqu’un mainteneur assignait Copilot pour résoudre un bug décrit dans une issue, un attaquant pouvait modifier les instructions pendant la race condition, demandant au bot d’insérer une backdoor tout en affichant une tâche légitime à l’écran. Le cas de Jupyter Notebook était particulièrement ironique : la vulnérabilité résidait dans le code de mitigation d’une race condition précédemment rapportée. La correction initiale présentait une erreur typographique dans la référence temporelle utilisée, rendant la mitigation complètement inefficace. Recommandations et mitigations L’équipe propose plusieurs stratégies de mitigation. La plus importante consiste à utiliser des mécanismes atomiques qui lient l’approbation du mainteneur à un commit SHA spécifique. GitHub offre la fonctionnalité “Pull Request Review” qui garantit cette atomicité, contrairement aux simples commentaires ou labels qui restent vulnérables aux race conditions. Les environnements GitHub constituent une autre défense robuste. Ils permettent de définir des règles d’approbation liées à des commits précis et de limiter l’accès aux secrets sensibles. L’équipe recommande fortement de restreindre la permission “Workflow Write”, qui permet de modifier les workflows GitHub Actions, car elle amplifie considérablement l’impact potentiel d’une attaque. Finalement, l’adoption du principe “fail-close” plutôt que “fail-open” est essentielle : en cas d’erreur inattendue, le système doit arrêter l’exécution plutôt que de continuer. Des outils comme Poutine peuvent scanner automatiquement les workflows pour détecter ces vulnérabilités avant leur déploiement. D’ailleurs, une recherche académique récente a identifié Poutine comme l’un des meilleurs outils du domaine, particulièrement pour son excellent ratio signal/bruit. Impact de l’intelligence artificielle L’équipe observe que l’IA générative crée involontairement de nouvelles vulnérabilités. Certains pipelines vulnérables qu’ils ont découverts provenaient clairement de code généré automatiquement, créant ainsi de nouvelles chaînes d’attaque dans la supply chain logicielle. Cette conversation met en lumière l’importance croissante de la sécurité des pipelines CI/CD dans l’écosystème open source moderne, où l’automatisation accrue multiplie les vecteurs d’attaque potentiels. Notes Split-Second Side Doors: How Bot-Delegated TOCTOU Breaks The CI/CD Threat Model Collaborateurs Nicolas-Loïc Fortin Alexis-Maurer Fortin Sébastien Graveline François Proulx Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm
--------
54:15
--------
54:15
PME - DarkWeb - Parce que... c'est l'épisode 0x669!
Parce que… c’est l’épisode 0x669! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Le dark web fascine et inquiète en même temps. Pourtant, ce concept n’est pas aussi mystérieux qu’on pourrait le croire, bien qu’il joue un rôle crucial dans le paysage de la cybersécurité actuelle. Cyndie Feltz, Nicholas Milot et Dominique Derrier nous aident à mieux comprendre cet écosystème et son importance pour les petites et moyennes entreprises. Qu’est-ce que le dark web? Pour bien comprendre le dark web, il faut d’abord parler du deep web. Le deep web représente toute la partie non indexée d’internet. Lorsqu’on effectue une recherche sur Google, on ne consulte que la portion indexée du web. Mais internet contient beaucoup plus : les canaux Telegram, par exemple, font partie du deep web car ils ne sont pas indexés par les moteurs de recherche traditionnels. Le dark web constitue la partie la plus profonde du deep web, celle où se déroulent la plupart des activités criminelles en ligne. L’image de l’iceberg illustre bien cette structure : au-dessus de l’eau se trouve la partie indexée d’internet, tandis que tout ce qui est submergé représente le deep web. Au fond, là où se trouvent les créatures marines les plus imposantes, on retrouve le dark web. Il est important de noter qu’on n’accède pas au dark web par hasard. Il faut utiliser un navigateur spécialisé comme Tor pour y naviguer. De plus, contrairement au web traditionnel, il n’existe pas de Google du deep web. Il faut savoir où chercher pour trouver ce qu’on recherche. Des usages légitimes existent Bien que le dark web soit souvent associé aux activités criminelles, il possède également des usages légitimes. Les journalistes l’utilisent pour protéger leurs sources, et de nombreux gouvernements y ont recours pour des communications sécurisées. Cet espace permet des transactions sur internet qui ne sont pas indexées par Google, offrant ainsi un niveau de confidentialité supérieur. Pourquoi les PME doivent-elles s’y intéresser? Pour une PME, le dark web devient pertinent dans deux cas principaux. Le premier survient lors d’un incident de sécurité. Lorsqu’une entreprise subit une violation de données, l’assurance ou l’équipe de réponse à incident recommandera souvent d’investiguer le dark web pour tenter de récupérer les informations volées. Le deuxième cas relève de la prévention. Certaines organisations choisissent de surveiller le dark web pour anticiper les menaces. Cette surveillance permet de découvrir si des acteurs malveillants planifient une attaque ou s’ils possèdent déjà des informations compromettantes sur l’entreprise. Une véritable industrie criminelle Lorsqu’une entreprise se fait voler des données, celles-ci ont de la valeur. Les cybercriminels ne gardent pas ces informations pour eux : ils cherchent à les vendre sur des canaux Telegram ou des sites non indexés. Le dark web fonctionne comme une véritable chaîne d’approvisionnement. Des spécialistes collectent des identifiants de connexion fonctionnels, souvent par hameçonnage. Ces credentials sont ensuite vendus en lot à d’autres criminels qui les utiliseront pour déployer des rançongiciels ou des voleurs d’information. Cette division du travail crée un écosystème criminel professionnalisé, comparable à un modèle d’affaires SaaS (software as a service). Les limites de la surveillance du dark web Malgré son utilité, la surveillance du dark web comporte des limitations importantes. Par nature, cet espace n’est pas indexable comme Google. Il n’existe donc aucune garantie de retrouver toutes les informations recherchées. On peut passer des années à chercher quelque chose qui pourrait ne jamais être trouvé. Le dark web fonctionne comme un marché aux puces : les lieux où se commercent des biens illégaux apparaissent et disparaissent rapidement. Les données volées ont une durée de vie limitée. Comme on vérifie la fraîcheur des fruits à l’épicerie, les acheteurs vérifient la fraîcheur des credentials. Une fois le produit périmé, il disparaît du marché. Au-delà des mots de passe Le dark web ne contient pas que des mots de passe. Suite à une violation de données, des informations sur des centaines ou milliers de clients peuvent s’y retrouver. Ces données permettent aux attaquants de mener des campagnes d’harponnage hautement ciblées. Avec le bon contexte, leurs courriels frauduleux deviennent beaucoup plus crédibles et efficaces. Le piège des jetons de session Même avec l’authentification à deux facteurs activée, les entreprises ne sont pas totalement protégées. Les voleurs d’information peuvent extraire des jetons de session du navigateur. Ces jetons sont octroyés après qu’un utilisateur a complété son authentification complète, incluant le deuxième facteur. Si un attaquant met la main sur ce jeton et l’insère dans son propre navigateur, il peut se faire passer pour l’utilisateur légitime sans avoir besoin du deuxième facteur. Ce scénario devient particulièrement problématique lorsque les employés utilisent leur ordinateur personnel pour accéder aux ressources professionnelles. Un simple téléchargement malveillant peut compromettre une session d’entreprise et ouvrir la porte à une attaque par rançongiciel. L’hygiène de base avant tout La surveillance du dark web ne remplace pas les bonnes pratiques de sécurité. Les entreprises doivent d’abord mettre en place leur hygiène de base : authentification à deux facteurs, gestion rigoureuse des mots de passe, et autres mesures de protection accessibles aux PME. Ces éléments ne sont ni extrêmement coûteux ni particulièrement complexes à implémenter. La surveillance du dark web devrait être considérée comme une couche de protection supplémentaire, pas comme la solution principale. Elle ne fonctionne efficacement que lorsque les fondations de sécurité sont solides. Un investissement pour ne rien trouver Paradoxalement, la meilleure utilisation d’un service de surveillance du dark web est de ne jamais recevoir de notification. Si une entreprise paie pour ce service et n’est jamais alertée, cela signifie que son équipe fait du bon travail et que les mesures de sécurité fonctionnent. C’est un investissement qu’on espère ne jamais devoir utiliser, mais qui offre une tranquillité d’esprit précieuse. La nouvelle surveillance de crédit Le dark web devient le nouveau terrain de surveillance pour la protection des données personnelles. Autrefois, on surveillait son crédit pour détecter les fraudes. Aujourd’hui, avec la multiplication des violations de données, il devient plus pertinent de surveiller si nos informations se retrouvent sur le dark web. Cette évolution reflète les nouvelles réalités de la cybersécurité. Le dark web n’est finalement qu’un outil parmi d’autres dans l’arsenal de cybersécurité d’une PME. Comprendre son fonctionnement et ses limites permet de l’utiliser judicieusement, sans y investir des ressources démesurées ni négliger les fondamentaux qui demeurent la meilleure protection. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm
--------
19:46
--------
19:46
Spécial - Le rôle des conseils d'administration - Parce que... c'est l'épisode 0x668!
Parce que… c’est l’épisode 0x668! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Introduction Ce podcast spécial réunit trois experts pour discuter d’un enjeu crucial : les conseils d’administration comme engrenage raté de la cybersécurité. L’hypothèse centrale avancée est que l’absence de connaissances même basiques en cybersécurité au sein de ces instances de gouvernance explique en partie les problèmes actuels auxquels font face les organisations québécoises et canadiennes. Le problème de la composition des conseils d’administration Sylvie Guérin soulève un constat troublant : malgré la multiplication des fraudes touchant les institutions, écoles, hôpitaux et universités, les conseils d’administration demeurent largement dominés par des comptables et des avocats. Cette surreprésentation crée un manque flagrant de diversité, particulièrement en matière d’expertise technologique et de cybersécurité. Elle partage son expérience personnelle où, malgré son expertise, elle s’est vue écartée d’un poste au conseil d’administration d’un CHSLD privé au profit d’un autre comptable. Cette anecdote illustre bien le caractère consanguin de ces structures, où les membres ont tendance à reproduire les mêmes profils plutôt que d’ouvrir leurs rangs à de nouvelles compétences essentielles à l’ère numérique. L’aveuglement volontaire et la dénégation plausible Éric Parent expose un phénomène qu’il nomme “l’aveuglement volontaire”. Il raconte avoir été approché pour un poste de CSO (Chief Security Officer) dans une entreprise internationale, où il est rapidement devenu évident que l’organisation cherchait en réalité un bouc émissaire plutôt qu’un véritable responsable de la sécurité. Le poste offert devait se rapporter au directeur des technologies de l’information, créant ainsi une structure hiérarchique dysfonctionnelle. Une conversation révélatrice avec Ronald Brisois, ancien PDG de Cognos, illustre parfaitement ce problème. Interrogé sur où devrait se situer la sécurité dans l’organigramme, Brisois a répondu sans hésitation : au conseil d’administration. Pourtant, il admet que ce n’est jamais là qu’elle se trouve en pratique, les dirigeants préférant la cacher sous les technologies de l’information. Parent mentionne également le concept de “plausible deniability department” utilisé dans certaines grandes entreprises canadiennes pour désigner les départements légaux, véritables cimetières d’idées où les préoccupations sont écoutées mais jamais suivies d’actions concrètes. Le fossé du langage et de la communication Un obstacle majeur identifié concerne le langage. Les comptables et avocats ont appris à parler en termes de risques financiers, ce qui leur confère une certaine autorité auprès des conseils d’administration. En contraste, les professionnels de la cybersécurité peinent souvent à traduire leurs préoccupations techniques en risques d’affaires compréhensibles. Parent souligne l’importance de cette traduction. Au lieu de parler de bits, de réseaux et de technologies, il faut parler de l’arrêt potentiel des chaînes de montage, des pénalités contractuelles et des impacts financiers concrets. Il mentionne avoir enseigné pendant dix ans à Polytechnique avec cet objectif précis : former des technologues capables de communiquer en langage d’affaires. Les lacunes du système éducatif La discussion révèle des failles profondes dans le système éducatif, depuis les écoles primaires jusqu’aux universités. Les universités forment des enseignants compétents sur le plan pédagogique, mais largement démunis en matière de technologie et de cybersécurité. Cette lacune se répercute ensuite sur les élèves, créant un cercle vicieux d’incompétence numérique. Sylvie partage l’exemple d’une connaissance dont les stagiaires en enseignement étaient prometteurs comme futurs professeurs, mais quasi analphabètes technologiquement. Ironiquement, ce sont souvent les enfants qui doivent aider leurs enseignants avec les ordinateurs et les tableaux interactifs. Ce problème s’étend aux comptables et avocats qui siègent aux conseils d’administration. Décrits avec humour comme “une gang de vieux hommes blancs de 75 ans” incapables de reprogrammer leur magnétoscope, ils manquent cruellement de la formation minimale nécessaire pour comprendre les enjeux de cybersécurité. Des solutions possibles Plusieurs pistes sont explorées pour améliorer la situation. Sylvie suggère de créer un module de formation obligatoire d’environ deux heures pour tout nouveau membre d’un conseil d’administration, les sensibilisant aux risques concrets comme l’usurpation d’identité et les fraudes par courriel. Parent propose d’aller plus loin avec une approche réglementaire. Il cite l’exemple de la loi HIPAA aux États-Unis, qui établit une grille de pénalités graduées selon le niveau de négligence. Il imagine un système où les dirigeants seraient personnellement pénalisés financièrement en cas de brèche, créant ainsi un “four autonettoyant” où la cybersécurité deviendrait automatiquement une priorité. L’exemple récent de Qantas, qui a pénalisé ses cadres supérieurs suite à un incident, est cité comme un modèle encourageant. Les assureurs pourraient également jouer un rôle en exigeant non seulement la présence d’un responsable de la cybersécurité, mais aussi une gouvernance active du conseil d’administration sur ces questions. Conclusion Le consensus qui émerge de cette discussion est que le changement ne viendra probablement que par la contrainte : réglementation, pénalités personnelles pour les dirigeants, ou exigences des assureurs. Le bon sens seul ne suffit pas, et comme le souligne Parent, “le monde marche à claque à gueule puis au coup de pelle en pleine face”. Sans événements majeurs ou nouvelles lois, les conseils d’administration continueront probablement à négliger leur rôle crucial en matière de cybersécurité, perpétuant ainsi le cycle de vulnérabilité des organisations québécoises et canadiennes. Collaborateurs Nicolas-Loïc Fortin Sylvie Guérin Éric Parent Crédits Montage par Intrasecure inc Locaux réels par Bsides Montréal
--------
27:24
--------
27:24
Actu - 23 novembre 2025 - Parce que... c'est l'épisode 0x667!
Parce que… c’est l’épisode 0x667! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Notes IA MCP Hackers Use Rogue MCP Server to Inject Malicious Code and Control the Cursor’s Built-in Browser Obscure MCP API in Comet Browser Breaches User Trust, Enabling Full Device Control via AI Browsers Microsoft Microsoft Integrated Azure Firewall With AI-powered Security Copilot Microsoft’s New Windows AI Feature Comes With Warnings About Malware and Data Theft Le crime ne paie pas GenAI Makes it Easier for Cybercriminals to Successfully Lure Victims into Scams LLM-generated malware improving, but not operational (yet) anthropic’s paper smells like bullshit – djnn@localhost AI as Cyberattacker Ollama Vulnerabilities Let Attackers Execute Arbitrary Code by Parsing of Malicious Model Files Beyond IAM Silos: Why the Identity Security Fabric is Essential for Securing AI and Non-Human Identities La poésie est une arme… pour contourner la sécurité des LLMs AI-Based Obfuscated Malicious Apps Evading AV Detection to Deploy Malicious Payload Blue Why bcrypt Can Be Unsafe for Password Hashing ? Chasse aux hostiles Authorities Seized Thousands of Servers from Rogue Hosting Company Used to Fuel Cyberattacks Five Eyes just made life harder for bulletproof hosting providers NSA Issues Guidance for ISPs and Network Defenders to Combat Malicious Activity Microsoft Finally Makes Sysmon Native To Windows Microsoft Threat Intelligence Briefing Agent Now Integrated into the Defender Portal Security 101: Cyber Training Still Fails Miserably What Cybersecurity Can Learn From Car Racing Red Malicious ‘Free’ VPN Extension with 9 Million Installs Hijacks User Traffic and Steals Browsing Data Researchers discover security vulnerability in WhatsApp Browser Fingerprinting And Why VPNs Won’t Make You Anonymous Kevin Boone: The privacy nightmare of browser fingerprinting Multi-threat Android malware Sturnus steals Signal, WhatsApp messages Threat Actors Allegedly Selling Microsoft Office 0-Day RCE Vulnerability on Hacking Forums Salesforce flags another third-party security incident Stolen VPN Credentials Most Common Ransomware Attack Vector Ransomware Actors Primarily Targeting Retailers This Holiday Season to Deploy Malicious Payloads Dark Web Job Market Evolved - Prioritizes Practical Skills Over Formal Education Privacy Google Is Collecting Troves of Data From Downgraded Nest Thermostats Europe is scaling back its landmark privacy and AI laws Europe’s cookie nightmare is crumbling Canadian privacy regulators say schools share blame for PowerSchool hack The FBI spied on a Signal group chat of immigration activists, records reveal Random Cloud Sovereignty: How Berlin and Paris Are Trying to Draw a European Line Cloudflare broke the internet with a bad DB query The Cloudflare Outage May Be a Security Roadmap Legal Restrictions on Vulnerability Disclosure Can Chinese-Made Buses Be Hacked? Norway Drove One Down a Mine to Find Out Rogue techie pleads guilty in $862K employer attack La Quadrature du Net: “Deux articles du Parisien hier…” - Mamot - Le Mastodon de La Quadrature du Net GrapheneOS: “@Fritange France is taking sta…” - GrapheneOS Mastodon BrianKrebs: “Social engineering – the art …” - Infosec Exchange Canonical expands total coverage for Ubuntu LTS releases to 15 years with Legacy add-on Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc
--------
1:10:59
--------
1:10:59
Teknik - Phishing Campaigns “I Paid Twice” Targeting Booking.com Hotels and Customers - Parce que... c'est l'épisode 0x666!
Parce que… c’est l’épisode 0x666! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Ce podcast technique réunit Jérémy Scion et Quentin Bourgue, analystes en cybersécurité chez Sekoia, qui présentent leurs recherches sur une campagne sophistiquée de phishing baptisée “Double Paiement” (ou “I Paid Twice”). Un mode opératoire en deux phases Cette attaque se distingue par son approche méthodique en deux étapes distinctes. La première phase cible spécifiquement les hôtels et leurs administrateurs dans le but de compromettre leurs systèmes et d’accéder aux comptes de gestion sur des plateformes comme Booking.com, Expedia ou Airbnb. Une fois ces accès obtenus, la deuxième phase consiste à cibler les clients de ces hôtels pour leur extorquer de l’argent en les faisant payer une seconde fois leur réservation. La force de cette attaque réside dans le niveau de personnalisation rendu possible par l’accès aux informations de réservation. Les attaquants disposent de détails précis comme le nombre de nuits, les noms des clients, leurs coordonnées téléphoniques et les tarifs exacts, ce qui leur permet de créer des messages extrêmement convaincants. L’infection des systèmes hôteliers Pour compromettre les hôtels, les attaquants envoient des messages de phishing qui imitent le style de Booking.com ou d’autres plateformes de réservation. Ces messages prétendent provenir de clients avec des demandes d’information ou des besoins particuliers concernant leur séjour. Les hôteliers, soucieux de bien servir leur clientèle, sont naturellement enclins à répondre. La technique utilisée repose sur une méthode appelée “ClickFix”, particulièrement insidieuse. Contrairement au phishing classique où la charge malveillante est contenue dans le courriel, cette approche redirige vers une page qui reprend l’apparence de Booking.com et incite l’utilisateur à exécuter lui-même une commande PowerShell. Cette auto-infection permet de contourner de nombreuses mesures de sécurité, car le téléchargement de la charge malveillante ne se fait pas via les canaux habituellement surveillés comme la messagerie ou le navigateur web. La chaîne d’infection fait appel à des techniques avancées comme le DLL Side Loading et l’utilisation détournée d’outils légitimes pour charger le malware en mémoire. Dans le cas étudié, le malware utilisé était PureRAT, un logiciel malveillant proposé comme service, que l’attaquant loue plutôt que de développer lui-même. Spécialisation et professionnalisation Les attaquants démontrent une spécialisation claire dans le secteur hôtelier. Bien que leurs techniques restent relativement opportunistes, ils ont adapté leur approche à cet environnement spécifique. Fait intéressant, les chercheurs ont découvert que les attaquants ne développent de charges malveillantes que pour Windows, négligeant les systèmes Mac, ce qui suggère une approche coût-bénéfice calculée basée sur la prédominance de Windows dans ce secteur. Cette campagne illustre particulièrement bien la professionnalisation croissante de l’écosystème cybercriminel. On observe un véritable découpage des fonctions avec différents acteurs spécialisés : un développeur crée et loue PureRAT comme service, un opérateur utilise sa propre infrastructure de phishing et ce malware pour voler des accès, puis revend ces accès à d’autres criminels spécialisés dans la fraude bancaire. L’exploitation frauduleuse Une fois les accès aux comptes Booking.com obtenus, ils sont revendus sur des forums cybercriminels. Les acheteurs utilisent alors ces accès pour mener la deuxième phase de l’attaque. Ils récupèrent les listes de réservations à venir et contactent les clients, principalement par courriel ou WhatsApp, en se faisant passer pour l’hôtel. Le prétexte utilisé est généralement une vérification bancaire aléatoire ou un problème avec la validation de la carte de crédit. Les victimes sont rassurées qu’aucun prélèvement ne sera effectué, mais doivent simplement confirmer leurs informations. La légitimité apparente de ces messages, renforcée par les détails précis de la réservation, rend la fraude particulièrement efficace. Les victimes sont redirigées vers de fausses pages qui imitent parfaitement Booking.com ou d’autres plateformes. Ces pages professionnelles récupèrent les informations bancaires et initient directement des transactions correspondant au montant de la réservation. Comme il s’agit souvent de montants de plusieurs centaines, voire milliers d’euros, la fraude devient rapidement lucrative. Origine et évolution L’analyse des forums cybercriminels révèle que ces opérations proviennent principalement de l’écosystème russophone, avec des acteurs situés dans l’ex-URSS. L’écosystème s’est considérablement professionnalisé avec des services spécialisés : certains vendent des listes d’adresses courriel d’hôtels, d’autres proposent des accès compromis, et certains recrutent même des opérateurs pour mener ces campagnes. Jérémy Scion souligne l’évolution historique de cette menace. Il y a quelques années, il s’agissait d’opérations quasi artisanales menées par des groupes isolés. Aujourd’hui, attirés par les gains financiers substantiels, plusieurs groupes se sont lancés dans ce type d’activité. Cette professionnalisation s’accompagne d’une capacité d’adaptation remarquable : les attaquants modifient rapidement leurs chaînes d’infection pour rester discrets tout en maintenant une approche générique qui ne nécessite pas de personnalisation pour chaque victime. Indicateurs de compromission et détection Sekoia suit désormais plusieurs clusters utilisant ce mode opératoire, démontrant sa popularisation au sein de l’écosystème cybercriminel. Les chercheurs ont développé des méthodes automatiques et proactives pour suivre ces campagnes. Les indicateurs de compromission incluent principalement des noms de domaine imitant Booking.com ou utilisant des termes liés aux réservations et à l’hôtellerie, ainsi que les adresses IP hébergeant ces domaines. Cette recherche met en lumière la réalité concrète de la professionnalisation du cybercrime, qui n’est plus une simple prédiction mais une réalité observable opérant à échelle industrielle. Notes Phishing Campaigns “I Paid Twice” Targeting Booking.com Hotels and Customers Collaborateurs Nicolas-Loïc Fortin Quentin Bourgue Jérémy Scion Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm
--------
28:22
--------
28:22