.:[ d4 n3wS ]:.

Via le NY Times, CNN Money et PCINpact :

Les piratages de société bancaires et en particulier de traitement/fabrication de cartes prépayées se sont multipliées ces dernières années et la somme maximale volée par ces cyber-braqueurs était jusque à présent de 9 millions de dollars en une journée avec le piratage de RBS Worldpay.

Dans cette nouvelle attaque qui a commencé au mois de décembre 2012, les criminels ont d’abord réalisé un coup d’essai à hauteur… de 5 millions de dollars.
Ils ont pour cela pénétré le système informatique d’une société indienne qui a un contrat avec Visa et MasterCard pour la fabrication de cartes prépayées (en Inde, les ordinateurs c’est comme des moulins).
Ils se sont ensuite débrouillés pour augmenter la limite de retrait autorisé sur ces cartes pré-payées.
Il ne restait plus qu’à produire les cartes avec les numéros de compte liés et organiser des retraits sur un intervalle de temps très court à travers le monde (ici 4500 retraits à des DABs) comme ça a déjà était fait par le passé.
L’argent était finalement blanchit via l’achat d’objets de luxe (voitures, montres etc)

Au mois de février, l’équipe reprend du service en piratant cette fois une société aux USA.
Au final 40 millions de dollars volés sur un intervalle de 10 heures soit 36000 transactions.
Rien qu’à New York, les “cashers” (l’équipe chargée des retraits) à pu retirer 2.4 millions de dollars en 2904 fois.

Les ramifications de ce gang semblent être assez obscures et la personne suspectée de mener l’équipe de retrait de NY a été retrouvée morte en République Dominicaine…

Des arrestations ont déjà eu lieu en rapport avec cette affaire mais les détails n’ont pas été révélés puisque l’enquête est toujours en cours.

A lire sur Bitcoin Talk, un utilisateur indique comment il s’est fait social-engineeré pour se rendre sur une page web qui contenait un exploit pour une faille Java.

Un keylogger conçu spécialement pour les utilisateurs de MtGox était alors lancé dans l’objectif de voler les Bitcoins. Ça devait arriver !

Via Wired :

Ça faisait un moment qu’il n’y avait pas eu un hack destiné à voler des Bitcoins et alors que la monnaie reprenait du poil de la bête, c’est le site Bitinstant qui s’est fait piraté.

Les attaquants savaient que l’admin de BitInstant avait un compte sur le site d’échange VirWox.
Ils ont d’abord contacté le registrar de BitInstant et, avec un peu de social-engineering, sont parvenus à détourner le DNS de BitInstant sur lequel ils ont placer un serveur mail.
Ils ont ensuite fait une demande de reset de mot de passe chez VirWox pour recevoir le mail sur le serveur détourné et sont ainsi reparti avec l’équivalent de 12.000$.

Via PacketStorm :

La police de Bangkok a arrêté un pirate algérien de 24 ans alors qu’il était en halte à l’aéroport pour un trajet retour Malaisie – Égypte avec sa famille.
Hamza Bendelladj est suspecté par le FBI d’avoir récupéré le pactole de plusieurs centaines de millions de dollars ^_^ en piratant des comptes sur 217 banques.

Le FBI est semble-t-il à sa recherche depuis 3 ans. Son matériel informatique a été saisi. Il sera extradé aux USA dans l’état de Géorgie.
L’article n’indique pas s’il a exploité des failles sur les sites des banques ou utilisé un botnet avec un banking-trojan.

Voir aussi l’article du Bangkok Post

Coka-Cola piraté. Les intrus cherchaient visiblement des documents sensibles concernant la tentative de rachat du groupe chinois Huiyuan Juice.
Techniques utilisées : spear-fishing et documents PDF piégés.
Bientôt un Gangnam-Cola ?

Une faille sur Facebook permettait d’avoir accès à certains comptes sans passer par une phase d’authentification.
Plus d’un million de liens donnant chacun accès à un compte ont ainsi été postés sur Hacker News.
La faille a été rapidement corrigée.

Le retour de GhostShell : la team leake ce qu’elle affirme être 2.5 millions de comptes du gov russe, principalement des comptes de messagerie.

Cyber-attaque sur un casino : les 14 personnes arrêtés avaient trouvé une faille dans le protocole de sécurité des transactions électroniques de Citibank.
L’attaque nécessitait de retirer du cash simultanément sur des kiosques dans une intervalle d’une minute (d’où le nombre de personnes arrêtées).
1 millions de $ pour 60 secondes retirés avant que le système ne fasse ses comptes…

Adobe a eu connaissance de l’utilisation de certificats leur appartenant et qui ont servi à signer un exécutable pwdump7 ainsi qu’un filtre ISAPI malicieux (peut-être un passlogger ou un injecteur de code html ?) pour IIS.

Adobe a commencé ses investigations et a déjà découvert que l’un de ses serveurs avait été compromis.

Il n’y a pas que Internet Explorer qu’il ne faut pas sortir en ce moment : Il y a aussi les BMW.

En effet, le vol de voitures de la marque BMW via la génération de clés électroniques valides par le système On-Board Diagnostic est en plein boum cette année notamment en Australie et en Europe.

La faille est pourtant connue depuis septembre 2011 d’après le constructeur et on trouve même des vidéos de voleurs à l’œuvre…
Le “kit” d’exploitation est acheté pour la modique somme de 30$ environ en provenance de la Chine ou de l’Europe de l’Est. C’est sûr qu’à ce prix là, même une Série 1 c’est donné !

 
24.000 BTC, l’équivalent de 250.000$… c’est la somme qui a été volée dans ce nouveau hack qui a ciblé cette fois ci la plateforme d’échange Bitfloor, la quatrième plus importante.

Le ou les pirates qui ont obtenu un accès au serveur ont semble-t-il attendu que l’administrateur fasse une erreur.
C’est quand il a fait un sauvegarde non chiffrée des clés de son portefeuille numérique dans le cadre d’un upgrade système que les intrus en ont profité.

Un nouveau coup dur pour la majorité des utilisateurs BitCoin mais pas pour les pirates qui ne seront probablement jamais rattrapés… comme les précédents.

Drôle d’histoire que celle de cet américain et son collègue qui se sont fait voler leur ordinateurs suite à l’effraction de leur voiture dans les rues de Détroit.

Le narrateur avait installé sur sa machine, non pas un système anti-vol, mais un simple système de backup dont il a eu la présence d’esprit de se souvenir au bon moment.
Le service en question permet aussi de connaître l’emplacement de la machine via GPS.

Un petit coup de Google Maps et il trouve la zone où doit se trouver son voleur. Malheureusement ça ne suffit pas à la police qui a besoin d’une adresse exacte.

Plus tard le voleur prend des photos de son pickup avec un panneau “à vendre”. Ces photos sont copiées en ligne par le système de backup et la victime a désormais la plaque d’immatriculation du voleur.

Mais il ne s’arrête pas là : une petite recherche sur Craiglist l’amène rapidement sur une annonce où il retrouve les photos du pickup avec l’adresse exacte + le numéro de téléphone du voleur.

La police obtient alors un mandat pour le domicile et découvre un vrai trafic de marie-jane :p Le criminel n’y était pas mais sa probation tombe à l’eau.

La police devrait peut-être semer des pc portables un peu partout

Via ZDNet :

Un ancien joueur de baseball a eu connaissance par d’autres joueurs de l’existence de comptes Nike Elite qui permettent de se faire livrer du matos à virgule sans rien débourser (comptes qui doivent lier des athlètes à la célèbre marque).
En trifouillant sur le site de Nike il est parvenu à accéder à certains de ces comptes et à récupérer pour plus de 80.000$ de marchandise Nike.

Arrêté, les services secrets ont trouvé moins de 20.000$ de marchandise chez lui. Il aurait donné le reste et en a vendu une partie sur eBay.