# articles

feed_id: https://www.it-connect.fr/?p=48886
title: Le ransomware Conti exploite Log4Shell pour attaquer VMware vCenter
uri: Le-ransomware-Conti-exploite-Log4Shell-pour-attaquer-VMware-vCenter
url: https://www.it-connect.fr/le-ransomware-conti-exploite-log4shell-pour-attaquer-vmware-vcenter/
content:
<p><strong>Le ransomware Conti est très actif et il compte bien profiter de l'apparition de la faille de sécurité Log4Shell pour faire de nouvelles victimes. Son objectif : compromettre une instance VMware vCenter afin de chiffrer les machines virtuelles.</strong></p>
<p>La faille de sécurité dans la <a href="https://www.it-connect.fr/log4shell-la-faille-de-securite-qui-secoue-internet/" target="_blank" rel="noopener">bibliothèque Log4j</a> représente un nouveau vecteur d'attaque très intéressant pour les pirates informatiques. En effet, cette faille peut-être exploitée à distance sans nécessiter d'authentification au préalable.</p>
<p>Après l'apparition d'<a title="Log4Shell : une attaque sur un serveur Minecraft pourrait infecter les joueurs !" href="https://www.it-connect.fr/log4shell-une-attaque-sur-un-serveur-minecraft-pourrait-infecter-les-joueurs/" target="_blank" rel="noopener">un nouveau ransomware nommé Khonsari</a> et qui pourrait s'en prendre aux serveurs Minecraft dans les prochains jours, c'est Conti, un ransomware bien connu, qui cherche à tirer profit de cette vulnérabilité. Malheureusement, la liste des groupes de pirates qui exploitent la faille Log4Shell devrait s'agrandir jour après jour.</p>
<p>De nombreux services et produits sont vulnérables à cette faille de sécurité, dont <strong>VMware avec plusieurs dizaines de produits différents estampillés comme étant vulnérables</strong>. Pour information, VMware vSphere ESXi n'est pas vulnérable, ce qui n'est pas le cas de VMware vCenter Server.</p>
<p>Je ne vais pas vous dire de patcher votre serveur vCenter de toute urgence, car pour le moment <strong>le correctif n'est pas encore disponible.</strong> D'ailleurs, vous pouvez suivre l'évolution de la situation sur le site de VMware au sein du bulletin de sécurité <a href="https://www.vmware.com/security/advisories/VMSA-2021-0028.html" target="_blank" rel="nofollow noopener">VMSA-2021-0028</a>.</p>
<p>Normalement, les serveurs VMware vCenter ne sont pas exposés directement sur Internet. De ce fait, ce ne sera pas le point d'entrée d'origine de l'attaque. Par contre, <strong>si l'attaquant a déjà pris le contrôle d'un autre équipement, il peut se déplacer sur le réseau pour compromettre le serveur VMware vCenter</strong> (ou un autre produit VMware concerné par cette faille de sécurité). Après avoir pris le contrôle du serveur vCenter, l'attaquant peut déployer la charge finale :<strong> le ransomware Conti afin de chiffrer les machines virtuelles</strong>.</p>
<p>La vulnérabilité Log4Shell est idéale pour réaliser des mouvements latéraux sur un réseau afin de passer d'un hôte à un autre, et de progresser.</p>
<p>En complément, vous pouvez <a href="https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement" target="_blank" rel="nofollow noopener">consulter l'analyse d'AdvIntel</a> sur l'utilisation de la faille Log4j par le gang Conti. Pour rappel, ce gang est à l'origine de plusieurs centaines d'attaques, avec une liste de victimes qui compte plus de 600 entreprises n'ayant pas payé la rançon.</p>
<p><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-uses-log4j-bug-to-hack-vmware-vcenter-servers/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/le-ransomware-conti-exploite-log4shell-pour-attaquer-vmware-vcenter/">Le ransomware Conti exploite Log4Shell pour attaquer VMware vCenter</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48907
title: Attention : Log4j 2.17 corrige une faille de type déni de service (DoS) !
uri: Attention-Log4j-2-17-corrige-une-faille-de-type-déni-de-service-(Do
url: https://www.it-connect.fr/attention-log4j-2-17-corrige-une-faille-de-type-deni-de-service-dos/
content:
<p><strong>Suite à la découverte de la vulnérabilité Log4Shell au sein de la bibliothèque Log4j, la version 2.16 est sortie afin de corriger cette faille critique. Le problème, c'est que Log4j 2.17 est sortie quelques jours plus tard et cette version corrige une faille de type "déni de service".</strong></p>
<p>Les problèmes continuent pour la bibliothèque Log4j ! Alors que tout le monde encourage les entreprises à passer sur la version 2.16 suite à la découverte de la faille Log4Shell (présente jusqu'à la version 2.15), il s'avère qu'une autre faille vient de voir le jour : la <strong>CVE-2021-45105</strong>.</p>
<p>Pour corriger cette faille de type "déni de service", une nouvelle version de Log4j a été publiée et s'apparente à une mise à jour mineure : <strong>Log4j 2.17</strong>. Néanmoins, elle apporte un correctif important pour se protéger contre la vulnérabilité <strong>CVE-2021-45105</strong>, qui hérite d'<strong>un score CVSS de 7,5</strong>.</p>
<p>Puisqu'il s'agit d'une faille de type déni de service, <strong>il s'avère qu'elle permet de faire planter l'application en exécutant la requête suivante</strong> :</p>
<pre>${${::-${::-$${::-j}}}}</pre>
<p>Cette requête permet de remplacer une chaîne de caractères et elle va créer une boucle infinie qui va permettre de faire planter l'application. Au sein du changelog de Log4j 2.17, on peut lire "<em>Fix string substitution recursion</em>".</p>
<blockquote class="twitter-tweet">
<p dir="ltr" lang="en">New exploit on Friday, as is tradition: Researchers have discovered Log4J version 2.16 is vulnerable to DoS via "${${::-${::-$${::-j}}}}"</p>
<p>More info: <a href="https://t.co/pzeWiQEa68">https://t.co/pzeWiQEa68</a></p>
<p>— vx-underground (@vxunderground) <a href="https://twitter.com/vxunderground/status/1471943986705281029?ref_src=twsrc%5Etfw">December 17, 2021</a></p></blockquote>
<p><script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></p>
<p>Si vous venez de passer sur Log4j 2.16, je crois que vous venez de gagner le droit d'<strong>installer une nouvelle mise à jour suite à la sortie de Log4j 2.17</strong>. Vous pouvez retrouver le changelog de Log4j 2.17 sur cette page : <a href="https://logging.apache.org/log4j/2.x/changes-report.html#a2.17.0" target="_blank" rel="nofollow noopener">Log4j 2.17</a>.</p>The post <a href="https://www.it-connect.fr/attention-log4j-2-17-corrige-une-faille-de-type-deni-de-service-dos/">Attention : Log4j 2.17 corrige une faille de type déni de service (DoS) !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48645
title: Comment agrandir une image sans perte de qualité ?
uri: Comment-agrandir-une-image-sans-perte-de-qualité
url: https://www.it-connect.fr/comment-agrandir-une-image-sans-perte-de-qualite/
content:
<h2>I. Présentation</h2>
<p><strong>Agrandir une image sans perte de qualité, voilà la promesse de l'outil AI Upscaler Tool proposé par DepositPhotos.</strong> Cet outil est gratuit, si ce n'est qu'il soit nécessaire de créer un compte, et il fait quelque chose de très simple : vous chargez une image et il double sa taille, et vous permet de télécharger la version agrandie.</p>
<p>Vous allez me dire, on peut redimensionner une image avec de nombreux logiciels d'édition de photos... Alors, quel est l'intérêt d'utiliser un outil en ligne ? Ce qui s'annonce intéressant, <strong>c'est l'agrandissement d'une image sans perte de qualité en s'appuyant sur l'intelligence artificielle.</strong> Nous allons voir l'utilisation de cet outil au travers d'un exemple, même si je pense que le résultat final peut varier d'une image à une autre.</p>
<p>Cet outil peut s'avérer utile pour redimensionner une image récupérée sur Internet et qui n'est pas forcément dans la dimension souhaitée.</p>
<p>Au-delà de l'outil AI Upscaler Tool, la création du compte sur DepositPhotos donne accès à un autre outil gratuit pour supprimer le fond d'une image. Pour ceux qui ne connaissent pas DepositPhotos, il s'agit d'une entreprise créée en 2009 et qui propose une bibliothèque de médias en ligne : photos, vecteurs, vidéos, musiques et sons, pour un total de plus de 225 millions de fichiers.</p>
<p>Quant à l'outil AI Upscaler Tool, tout se déroule sur ce site : <a href="https://fr.depositphotos.com/upscaler.html">AI Upscaler Tool</a></p>
<h2>II. Découverte d'AI Upscaler Tool</h2>
<p>Ci-dessous l'image que je vais tenter de redimensionner. Ses dimensions sont les suivantes : 400 px de largeur sur 301 pixels de hauteur. Après redimensionnement avec AI Upscaler Tool, je vais obtenir une image de 800 x 602 px.</p>
<p><img class="aligncenter size-full wp-image-48646" src="media/7ff23b48.ai-upscaler-tool-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-03.jpg" alt="" width="400" height="301" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-03.jpg 400w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-03-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-03-50x38.jpg 50w" sizes="(max-width: 400px) 100vw, 400px" /></p>
<p>Sur le site de l'outil, il suffit de cliquer sur le bouton "<em>Transférer une image</em>" et après traitement vous obtenez un aperçu du résultat et l'accès à un bouton "<em>Télécharger l'image</em>". Grâce à une loupe, il est possible de comparer la qualité de l'image entre l'original et la version X2.</p>
<p><img class="aligncenter size-full wp-image-48647" src="media/689ee279.ai-upscaler-tool-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-02.jpg" alt="" width="800" height="512" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-02.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-02-550x352.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-02-150x96.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-02-768x492.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-02-50x32.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Il faudrait être menteur pour dire qu'il n'y a pas de perte de qualité, car ce n'est pas le cas sur cet essai. <strong>Il y a bien une petite perte de qualité, mais elle est moindre en comparaison du redimensionnement avec d'autres outils sans IA</strong>.</p>
<p>Sur l'exemple ci-dessous, à gauche vous avez l'image redimensionnée avec AI Upscaler Tool, tandis qu'à droite c'est avec Photofiltre. On obtient un résultat assez satisfaisant. Dans certains cas, l'agrandissement d'une image de faible qualité pourra permettre d'améliorer le rendu final grâce à cet algorithme.</p>
<p><img class="aligncenter size-large wp-image-48649" src="media/f2722937.ai-upscaler-tool-04-800x263.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-04-800x263.jpg" alt="" width="800" height="263" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-04-800x263.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-04-550x181.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-04-150x49.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-04-768x253.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-04-1536x505.jpg 1536w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-04-50x16.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/ai-upscaler-tool-04.jpg 1648w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>&nbsp;</p>
<p>Vous pouvez ajouter plusieurs images, mais sachez que les fichiers chargés seront automatiquement supprimés au bout de 3 heures. Ce qui est appréciable avec cet outil en ligne c'est qu'<strong>il ne nécessite aucune connaissance technique : il suffit de charger le fichier</strong>. Même si redimensionner une image est une action très simple, ce n'est pas forcément accessible à tout le monde.</p>
<p>Pour obtenir ce résultat satisfaisant, DepositPhotos doit s'appuyer sur son énorme base de photos et les millions d'éléments pour entraîner son intelligence artificielle à la reconnaissance des objets et des couleurs. L'éditeur a trouvé une autre façon de tirer profit de sa base d'éléments qui est l'une des plus importantes. AI Upscaler Tool est un outil à ajouter à vos boîtes à outils Web !</p>The post <a href="https://www.it-connect.fr/comment-agrandir-une-image-sans-perte-de-qualite/">Comment agrandir une image sans perte de qualité ?</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=47032
title: Comment protéger son site WordPress avec CrowdSec ?
uri: Comment-protéger-son-site-WordPress-avec-CrowdSec
url: https://www.it-connect.fr/comment-proteger-son-site-wordpress-avec-crowdsec/
content:
<h2>I. Présentation</h2>
<p><strong>Dans ce tutoriel, nous allons voir comment protéger un site WordPress avec l'outil CrowdSec afin de bannir les adresses IP malveillantes.</strong></p>
<p><iframe class="iframe_youtube" title="YouTube video player" src="https://www.youtube.com/embed/kRTyEiLVnz8" frameborder="0" allowfullscreen="allowfullscreen"><span data-mce-type="bookmark" style="display: inline-block; width: 0px; overflow: hidden; line-height: 0;" class="mce_SELRES_start">﻿</span></iframe></p>
<p>Grâce à CrowdSec, on va pouvoir protéger notre site WordPress contre toutes les attaques courantes, notamment les scans avec des outils de sécurité, mais aussi les attaques par brute force sur le formulaire de connexion de WordPress.</p>
<p>Afin de pousser un peu plus loin la configuration de l'extension CrowdSec, je vais utiliser un site WordPress derrière un reverse proxy HAProxy. Si vous n'utilisez pas de reverse proxy et que votre site Web est publié directement sur Internet (ou via un NAT), vous pouvez aussi utiliser l'extension CrowdSec (et ce sera encore plus rapide).</p>
<p>Le site WordPress "<em>it-connect.tech</em>" sera mon cobaye pour cette démonstration. Je vais manipuler le serveur Web où est déployé le site WordPress afin de mettre en place CrowdSec et le "PC de l'attaquant" présent sur le schéma ci-dessous.</p>
<p><img class="aligncenter size-large wp-image-48540" src="media/ffc282a1.tuto-crowdsec-wordpress-01-800x551.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-01-800x551.png" alt="" width="800" height="551" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-01-800x551.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-01-550x379.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-01-150x103.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-01-768x529.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-01-50x34.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-01-130x90.png 130w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-01.png 919w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Je ne vais pas détailler l'installation de mon serveur Web (LAMP - Linux Apache MariaDB PHP) ni l'installation de WordPress dans ce tutoriel. Si besoin, je vous oriente vers ces deux tutoriels existants :</p>
<ul>
<li><a href="https://www.it-connect.fr/installer-un-serveur-lamp-linux-apache-mariadb-php-sous-debian-11/" target="_blank" rel="noopener">Tutoriel - Installation d'un serveur LAMP sous Debian 11</a></li>
<li><a href="https://www.it-connect.fr/installation-de-wordpress-sous-linux/" target="_blank" rel="noopener">Tutoriel - Installation de WordPress</a></li>
</ul>
<h2>II. Installation de CrowdSec sur le serveur</h2>
<p>Sur mon serveur web sous Debian 11, je vais installer CrowdSec directement à partir des dépôts officiels.</p>
<pre>sudo apt-get update
sudo apt-get install -y crowdsec</pre>
<p>Le cas échéant, si le paquet n'est pas disponible (sur une version Linux plus ancienne, par exemple), vous devez utiliser cette méthode pour réaliser l'installation :</p>
<pre>curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash 
sudo apt install crowdsec</pre>
<p>Lors de l'installation, <strong>CrowdSec va analyser votre machine afin de détecter les services présents et de télécharger les collections associées.</strong> Ces composants vont permettre à CrowdSec de détecter les attaques (sans les bloquer).</p>
<p>On peut lister les collections avec la commande suivante :</p>
<pre>sudo cscli collections list</pre>
<p>On peut voir que <strong>la collection "WordPress" est automatiquement installée</strong> : CrowdSec a détecté la présence du CMS. En complément, on retrouve d'autres collections, dont "<em>base-http-scenarios</em>", ce qui va nous permettre d'être protégé contre les attaques Web courantes, y compris sur notre site WordPress.</p>
<p><img class="aligncenter size-large wp-image-48545" src="media/e7b80125.tuto-crowdsec-wordpress-13-800x250.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-13-800x250.png" alt="" width="800" height="250" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-13-800x250.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-13-550x172.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-13-150x47.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-13-768x240.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-13-50x16.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-13.png 917w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Suite à l'installation, il est préférable d'effectuer une mise à jour des collections pour être certain de bénéficier des dernières versions et de tous les scénarios de détection. Voici les deux commandes à saisir :</p>
<pre>sudo cscli hub update
sudo cscli hub upgrade</pre>
<h2>III. Mise en place du Bouncer CrowdSec dans WordPress</h2>
<h3>A. Installation et configuration de l'extension CrowdSec</h3>
<p>À partir de l'interface d'administration de WordPress, cliquez sur le lien "<strong>Ajouter</strong>" du menu "<strong>Extensions</strong>".</p>
<p><img class="aligncenter size-full wp-image-48539" src="media/66c98e34.tuto-crowdsec-wordpress-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-02.png" alt="" width="606" height="107" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-02.png 606w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-02-550x97.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-02-150x26.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-02-50x9.png 50w" sizes="(max-width: 606px) 100vw, 606px" /></p>
<p>Grâce à la zone de recherche, vous pouvez trouver facilement l'extension "<strong>CrowdSec</strong>". Ensuite, il suffit de cliquer sur le bouton "<strong>Installer maintenant</strong>".</p>
<p><img class="aligncenter size-full wp-image-48538" src="media/da5f7aac.tuto-crowdsec-wordpress-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-03.png" alt="" width="800" height="415" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-03.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-03-550x285.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-03-150x78.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-03-768x398.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-03-50x26.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Dans la foulée de l'installation, cliquez sur le bouton "<strong>Activer</strong>" pour activer l'extension. Cela n'aura pas d'impact sur votre site, car il faut lier le Bouncer CrowdSec à notre instance locale CrowdSec pour que cela fonctionne.</p>
<p><img class="aligncenter size-full wp-image-48537" src="media/c9725692.tuto-crowdsec-wordpress-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-04.png" alt="" width="585" height="266" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-04.png 585w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-04-550x250.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-04-150x68.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-04-50x23.png 50w" sizes="(max-width: 585px) 100vw, 585px" /></p>
<p>À ce sujet, accédez à la console de votre serveur Web et saisissez la commande ci-dessous pour<strong> générer une clé d'API pour notre Bouncer</strong>. Il faudra copier cette valeur.</p>
<pre>sudo cscli bouncers add wordpress-bouncer</pre>
<p><img class="aligncenter size-full wp-image-48536" src="media/1017dab0.tuto-crowdsec-wordpress-05.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-05.png" alt="" width="800" height="116" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-05.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-05-550x80.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-05-150x22.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-05-768x111.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-05-50x7.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Ensuite, retournez sur WordPress et cliquez à gauche sur "<strong>CrowdSec</strong>" dans le menu afin d'accéder à la configuration de l'extension. Il va falloir renseigner plusieurs options :</p>
<ul>
<li><strong>LAPI URL</strong> : indiquez "<strong>http://localhost:8080</strong>", car CrowdSec est installé sur le même serveur que WordPress.</li>
<li><strong>Bouncer API Key</strong> : collez la clé d'API générée précédemment</li>
<li><strong>Bouncing level</strong> : en mode "<strong>Normal bouncing</strong>", CrowdSec va bannir ou présenter le Captcha aux clients malveillants selon la configuration, tandis qu'en mode "<strong>Flex bouncing</strong>", le blocage sera toujours effectué via un Captcha. Enfin, le mode "<strong>Bouncing disabled</strong>" permet à CrowdSec d'être transparent donc il ne bloquera plus personne, y compris les pirates. Prenons le mode "<strong>Normal bouncing</strong>" pour le moment.</li>
<li><strong>Public website only</strong> : désactivez cette option afin de protéger la partie publique du site, mais aussi l'espace d'administration (<em>wp-admin</em>). Si cette option est active, CrowdSec protège seulement la partie publique du site (<em>front office</em>).</li>
</ul>
<p>Validez en cliquant sur le bouton "<strong>Enregistrer les modifications</strong>".</p>
<p><img class="aligncenter size-large wp-image-48535" src="media/f3e11b99.tuto-crowdsec-wordpress-06-800x532.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-06-800x532.png" alt="" width="800" height="532" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-06-800x532.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-06-550x366.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-06-150x100.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-06-768x511.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-06-50x33.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-06.png 1261w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>À partir de la ligne de commande de votre serveur, exécutez la commande suivante pour lister les bouncers actifs :</p>
<pre>cscli bouncers list</pre>
<p>On constate que le bouncer WordPress est bien présent et valide ! Bonne nouvelle !</p>
<p><img class="aligncenter size-large wp-image-48534" src="media/a3f4c020.tuto-crowdsec-wordpress-07-800x91.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-07-800x91.png" alt="" width="800" height="91" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-07-800x91.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-07-550x63.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-07-150x17.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-07-768x88.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-07-50x6.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-07.png 822w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<h3>B. Un reverse proxy ? Configurez le module remoteip</h3>
<p>Pour fonctionner, le bouncer WordPress va s'appuyer sur les journaux du serveur Web notamment pour identifier le client source par son adresse IP.</p>
<p>Dans le cas où vous utilisez un reverse proxy ou un CDN comme CloudFlare, c'est l'adresse IP du proxy qui est visible dans les journaux puisque c'est lui qui communique en direct avec le serveur Web. Cela ne joue pas en notre faveur, mais heureusement on peut<strong> ajuster la configuration d'Apache pour récupérer l'adresse IP d'origine du client</strong>.</p>
<blockquote><p><strong>Note</strong> : en amont, il faut configurer le reverse proxy pour qu'il ajoute le champ "<em>X-Forwarded-For</em>" à l'en-tête des requêtes HTTP afin de transmettre l'adresse IP du client au serveur Web.</p></blockquote>
<p>Pour configurer Apache, il faut activer le module "<em>remoteip</em>" (normalement installé par défaut) :</p>
<pre>a2enmod remoteip</pre>
<p>Ensuite, il faut modifier le fichier de configuration d'Apache :</p>
<pre>nano /etc/apache2/apache2.conf</pre>
<p>Il faut modifier le format des logs et plus particulièrement la ligne qui termine par "<em>combined</em>". <strong>Il faut remplacer "%h" par "%a"</strong> pour spécifier dans les logs l'adresse IP du client d'origine plutôt que l'adresse IP de l'hôte qui contact le serveur Web directement.</p>
<p>Ce qui donne :</p>
<p><img class="aligncenter size-full wp-image-48543" src="media/049a9743.tuto-crowdsec-wordpress-12.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-12.png" alt="" width="800" height="149" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-12.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-12-550x102.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-12-150x28.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-12-768x143.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-12-50x9.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Enfin, on va ajouter à Apache que le champ "<em>X-Forwarded-For</em>" contiendra l'adresse IP du client d'origine au sein de l'en-tête HTTP. Pour cela, on utilise l'option <strong>RemoteIPHeader</strong> du module remoteip. Ajoutez la ligne suivante au fichier apache2.conf :</p>
<pre>RemoteIPHeader X-Forwarded-For</pre>
<p>Il ne reste plus qu'à sauvegarder le fichier et redémarrer Apache :</p>
<pre>systemctl restart apache2</pre>
<p>Nous verrons dans la suite de ce tutoriel l'impact de cette modification sur les logs d'Apache. <strong>La configuration de CrowdSec étant prête, nous allons pouvoir attaquer notre site WordPress.</strong></p>
<h2>IV. Tester le bon fonctionnement</h2>
<p>Pour simuler une attaque contre un site Web, en l'occurrence ici un site WordPress, il y a plusieurs façons de faire. On peut utiliser <strong>Nikto</strong>, <strong>Wapiti</strong>, <strong>WPScan</strong> ou tout simplement <strong>Curl</strong> avec un<strong> user-agent suspect</strong>.</p>
<p>C'est d'ailleurs Curl que je vais utiliser, car ce que j'aime bien quand il s'agit de faire une démo, c'est que l'on voit en direct le code de retour HTTP : <strong>200</strong> quand la page se charge correctement, et il passe à <strong>403</strong> ou <strong>401</strong> une fois que CrowdSec est intervenu (le code dépend de la décision : bannir ou captcha).</p>
<p>On va contacter notre site en utilisant le user-agent OpenVAS (un outil de sécurité), ce qui ne devrait pas plaire à CrowdSec, car il est dans la liste des "<em>bad user agent</em>". Ce qui donne la commande :</p>
<pre>curl -I <span style="color: #00ffff;">https://it-connect.tech</span> -H "User-Agent: OpenVAS"</pre>
<p>Sur la copie d'écran ci-dessous, on peut voir qu'au début le serveur Web me répond bien, avec <strong>un code HTTP 200 donc j'accède au sit</strong>e. Ensuite, <strong>j'obtiens une réponse "403 Forbidden", ce qui correspond à un accès refusé.</strong> On va aller voir avec un navigateur ce qu'il se passe...</p>
<p><img class="aligncenter size-full wp-image-48533" src="media/24633176.tuto-crowdsec-wordpress-08.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-08.png" alt="" width="800" height="416" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-08.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-08-550x286.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-08-150x78.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-08-768x399.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-08-50x26.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>À partir du navigateur, si je tente d'accéder à l'espace d'administration de mon site WordPress ou au site en lui-même, j'obtiens<strong> un message qui m'indique je suis actuellement banni par le système</strong> ! Nous verrons dans la suite de ce tutoriel <strong>comment personnaliser cette page</strong>.</p>
<p><img class="aligncenter size-large wp-image-48532" src="media/147954f6.tuto-crowdsec-wordpress-09-800x361.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-09-800x361.png" alt="" width="800" height="361" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-09-800x361.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-09-550x249.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-09-150x68.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-09-768x347.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-09-50x23.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-09.png 1038w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>À partir de la ligne de commande, on peut<strong> lister les décisions actives dans CrowdSec</strong> et on peut voir la présence de notre adresse IP publique. L'action "<strong>BAN</strong>" montre bien que<strong> l'adresse IP est bannie</strong> pour une raison claire "<em>http-bad-user-agent</em>", ce qui montre clairement que <strong>CrowdSec n'a pas aimé que je me présente avec le user-agent OpenVAS</strong>.</p>
<pre>sudo cscli decisions list</pre>
<p><img class="aligncenter size-large wp-image-48541" src="media/3bf59008.tuto-crowdsec-wordpress-10-800x67.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-10-800x67.png" alt="" width="800" height="67" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-10-800x67.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-10-550x46.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-10-150x13.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-10-768x65.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-10-50x4.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-10.png 1103w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Si l'on regarde les journaux d'Apache, on peut voir <strong>la ligne avec le code HTTP 403</strong>, et <strong>cette même ligne commence bien par l'adresse IP publique utilisée par le PC de l'attaquant.</strong> Toutes les autres lignes visibles sur l'image ci-dessous correspondent aux différents "check alive" effectué par le reverse proxy pour vérifier si le serveur Web est opérationnel (d'où l'adresse IP du reverse proxy qui apparaît toutes les secondes).</p>
<p><img class="aligncenter size-large wp-image-48542" src="media/0e0e44a8.tuto-crowdsec-wordpress-11-800x126.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-11-800x126.png" alt="" width="800" height="126" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-11-800x126.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-11-550x86.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-11-150x24.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-11-768x121.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-11-50x8.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-11.png 1139w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>J'ai l'avantage d'être à la fois l'attaquant et l'admin du site WordPress alors je vais débloquer mon adresse IP (via un autre accès sur le serveur) :</p>
<pre>sudo cscli decisions delete --ip X.X.X.X</pre>
<p>On va tester d'une seconde façon l'efficacité de CrowdSec : en s'attaquant au <strong>formulaire de connexion de WordPress, accessible via la page wp-login.php.</strong></p>
<figure id="attachment_48550" aria-describedby="caption-attachment-48550" style="width: 800px" class="wp-caption aligncenter"><img class="wp-image-48550 size-full" src="media/5b8bd9a9.tuto-crowdsec-wordpress-17.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-17.png" alt="Brute force WordPress : comment va réagir CrowdSec ?" width="800" height="589" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-17.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-17-550x405.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-17-150x110.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-17-768x565.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-17-50x37.png 50w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption id="caption-attachment-48550" class="wp-caption-text">Brute force WordPress : comment va réagir CrowdSec ?</figcaption></figure>
<p>Si on liste les décisions actives, comme nous avons fait précédemment, on peut voir que cette fois-ci la raison du blocage est différente : <strong>http-fb-wordpress_bf</strong>. CrowdSec a bien détecté que j'étais en train d'<strong>effectuer un brute force sur la page de connexion !</strong></p>
<p><img class="aligncenter size-full wp-image-48549" src="media/74b43d26.tuto-crowdsec-wordpress-18.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-18.png" alt="" width="800" height="96" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-18.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-18-550x66.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-18-150x18.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-18-768x92.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-18-50x6.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p><strong>Notre site WordPress est protégé par CrowdSec</strong>, mais pour finir je vous propose de voir quelques options supplémentaires du Bouncer WordPress.</p>
<h2>V. Optimiser la configuration du Bouncer WordPress</h2>
<h3>A. Les options avancées du Bouncer WordPress</h3>
<p>Dans l'interface d'administration de WordPress, à gauche sous le menu CrowdSec cliquez sur "<strong>Advanced</strong>".</p>
<p>Cette partie permet d'accéder à quelques options supplémentaires, dont l'option "<strong>Trust these CDN IPs (or Load Balancer, HTTP Proxy)</strong>". Cette option va permettre de préciser les adresses IP correspondantes au CDN que vous utilisez, par exemple CloudFlare, ou alors l'adresse IP de votre reverse proxy, comme dans mon cas. C'est pour cette raison que je spécifie l'adresse IP "<strong>192.168.100.1</strong>".</p>
<p>Ensuite, vous pouvez activer l'option "<strong>Hide CrowdSec mentions</strong>", cela va permettre d'éviter d'afficher sur la page de blocage que c'est CrowdSec qui sécurise le site. Même si CrowdSec c'est génial, ce n'est pas la peine d'afficher le nom de l'outil publiquement. <img src="media/14cb941f.1f609.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f609.png" alt="😉" class="wp-smiley" style="height: 1em; max-height: 1em;" /></p>
<p><img class="aligncenter size-large wp-image-48552" src="media/355eec1a.tuto-crowdsec-wordpress-16-800x310.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-16-800x310.png" alt="" width="800" height="310" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-16-800x310.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-16-550x213.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-16-150x58.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-16-768x298.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-16-50x19.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-16.png 990w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Vous pouvez sauvegarder les changements.</p>
<p>Au sein de la section de configuration globale de CrowdSec, nous avons choisi le mode "<strong>Normal bouncing</strong>" pour bannir les adresses IP lorsque c'est utile. Si vous choisissez le mode "<strong>Flex bouncing</strong>", un captcha sera présenté. À titre d'information, voici ce que ça donne côté utilisateur via le navigateur :</p>
<p><img class="aligncenter size-full wp-image-48548" src="media/58e49c16.tuto-crowdsec-wordpress-19.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-19.png" alt="" width="507" height="494" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-19.png 507w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-19-150x146.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-19-50x50.png 50w" sizes="(max-width: 507px) 100vw, 507px" /></p>
<h3>B. Personnaliser la page de blocage CrowdSec</h3>
<p>La page de blocage qui s'affiche lorsque l'on est banni ou la page du captcha sont toutes les deux en anglais. Sachez qu'il est possible de les configurer totalement via l'extension CrowdSec de WordPress. Cette fois-ci, sous le menu "<strong>CrowdSec</strong>", choisissez "<strong>Theme customization</strong>".</p>
<p>Vous allez pouvoir modifier le texte des deux pages, mais aussi jouer sur les couleurs, ainsi que sur le style CSS de la page ! De cette façon, la page de blocage présentée par CrowdSec pourra respecter la charte graphique de votre site.</p>
<p>Voici un exemple :</p>
<p><img class="aligncenter size-large wp-image-48553" src="media/836ee5d2.tuto-crowdsec-wordpress-14-800x347.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-14-800x347.png" alt="" width="800" height="347" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-14-800x347.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-14-550x239.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-14-150x65.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-14-768x333.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-14-50x22.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-14.png 986w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Ce qui donne en production :</p>
<p><img class="aligncenter size-large wp-image-48551" src="media/49b397c9.tuto-crowdsec-wordpress-15-800x251.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-15-800x251.png" alt="" width="800" height="251" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-15-800x251.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-15-550x172.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-15-150x47.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-15-768x241.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-15-50x16.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-15.png 1053w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<h3>C. Brute force WordPress : modifier le seuil de blocage</h3>
<p>En listant les scénarios via la ligne de commande (<em>cscli scenarios list</em>), on peut voir que le fichier de configuration du scénario "<em>http-bf-wordpress_bf</em>" est situé à cet emplacement :</p>
<pre>/etc/crowdsec/scenarios/http-bf-wordpress_bf.yaml</pre>
<p>Pour ajuster le comportement de ce scénario, notamment le seuil de blocage, il faut modifier ce fichier. On obtient le contenu suivant :</p>
<p><img class="aligncenter size-large wp-image-48699" src="media/1037727b.tuto-crowdsec-wordpress-20-800x181.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-20-800x181.png" alt="" width="800" height="181" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-20-800x181.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-20-550x125.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-20-150x34.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-20-768x174.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-20-50x11.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-crowdsec-wordpress-20.png 1067w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Il y a deux paramètres ajustables :</p>
<ul>
<li><strong>capacity</strong>: 5</li>
<li><strong>leakspeed</strong>: "10s"</li>
</ul>
<p>Il faut interpréter cette configuration par défaut de cette façon : nous avons un sceau (bucket) d'<strong>une capacité de 5 unités au maximum</strong> (<em>capacity: 5</em>) et <strong>une unité de ce sceau est retirée toutes les 10 secondes</strong> (<em>leakspeed: "10s"</em>). À chaque fois que j’effectue une tentative en erreur sur la page de login, une unité est ajoutée dans le sceau et à la 6<sup>ème</sup> unité, le sceau déborde donc je dois être banni (ou avoir un captcha). Vous pouvez ajuster ces deux valeurs en fonction de vos besoins.</p>
<blockquote><p><strong>Note</strong> : à cause de la mise en cache des informations via PHP, il peut y avoir une certaine latence entre le moment où l'action se produit et le moment où la décision est appliquée.</p></blockquote>
<p>Avec toutes ces informations, vous êtes désormais en mesure de<strong> déployer CrowdSec sur votre serveur Web afin de protéger votre site WordPress des attaques informatiques</strong>.</p>
<h2>VI. CrowdSec : les autres épisodes</h2>
<p>Avant de vous laisser, je tenais à vous rappeler que j'ai déjà publié deux épisodes sur l'installation et la configuration de CrowdSec correspondant à deux autres cas de figure. Voici les liens :</p>
<ul>
<li><a href="https://www.it-connect.fr/comment-proteger-son-serveur-linux-des-attaques-avec-crowdsec/" target="_blank" rel="noopener">CrowdSec - Cas n°1 - NginX</a></li>
<li><a href="https://www.it-connect.fr/bloquer-les-attaques-sur-son-serveur-web-apache-php-avec-crowdsec/" target="_blank" rel="noopener">CrowdSec - Cas n°2 - Apache + PHP</a></li>
</ul>
<p>Je profite de cet article et de l'actualité du moment liée à la faille de sécurité critique "<strong>Log4Shell</strong>" pour vous informer que <a href="https://hub.crowdsec.net/author/crowdsecurity/configurations/apache_log4j2_cve-2021-44228" target="_blank" rel="noopener"><strong>CrowdSec a publié un scénario afin de détecter et bloquer cette attaque</strong></a>. Grâce aux différentes instances de la communauté CrowdSec, plus de 1 100 adresses IP ont déjà été bloquées pour avoir tenté d'exploiter la vulnérabilité Log4Shell. <a href="https://gist.github.com/blotus/f87ed46718bfdc634c9081110d243166" target="_blank" rel="nofollow noopener">Vous pouvez accéder à cette liste d'IP gratuitement ici</a>.</p>
<p>En complément, vous pouvez accéder à une carte qui permet de voir en temps réel les adresses IP à l'origine d'attaques cherchant à exploiter cette faille de sécurité : <a href="https://crowdsec.net/log4j-tracker/" target="_blank" rel="noopener">Log4j - Carte temps réel CrowdSec</a>.</p>The post <a href="https://www.it-connect.fr/comment-proteger-son-site-wordpress-avec-crowdsec/">Comment protéger son site WordPress avec CrowdSec ?</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48655
title: Test Konyks Termo – Un détecteur de température et d’humidité connecté
uri: Test-Konyks-Termo-Un-détecteur-de-température-et-d-humidité-c
url: https://www.it-connect.fr/test-konyks-termo-un-detecteur-de-temperature-et-dhumidite-connecte/
content:
<h2>I. Présentation</h2>
<p>Dans cet article, je vous propose de découvrir le<strong> Konyks Termo</strong>, le premier <strong>détecteur de température et d'humidité connecté</strong> de chez Konyks, qui s'annonce particulièrement intéressant pour les utilisateurs d'autres produits Konyks, notamment l'<a href="https://amzn.to/3GKFuMu" target="_blank" rel="nofollow noopener">eCosy</a> (contrôleur connecté pour radiateur). En effet, grâce aux données récoltées par ce détecteur, on peut imaginer toute sorte de scénarios et rendre sa maison toujours un peu plus connectée et intelligente.</p>
<p>Ci-dessous les caractéristiques du Konyks Termo :</p>
<ul>
<li>Détecteur de température et d'humidité</li>
<li>Connectivité Wi-Fi</li>
<li>Autonomie entre 4 et 6 mois (fonctionne avec des piles LR6)</li>
<li>Appareil d'intérieur</li>
<li>Compatible avec Google Assistant et Amazon Alexa</li>
<li>Intégration à l'écosystème Konyks (scénarios et automatisation)</li>
<li>Dimensions : 64 x 64 x 28 mm</li>
<li>Prix : 34,90 euros</li>
</ul>
<h2>II. Package et design</h2>
<p>Le package donne un aperçu du produit et contient les principales caractéristiques techniques, ce qui est une habitude chez Konyks. A l'intérieur, nous avons le Termo, une notice rapide et une vis. Vous l'aurez compris : les piles ne sont pas incluses, et c'est bien dommage.</p>

<a href="media/33cf8f80.test-konyks-termo-package-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-01.jpg"><img width="800" height="602" src="media/33cf8f80.test-konyks-termo-package-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-01.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-01.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-01-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-01-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-01-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-01-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a>
<a href="media/76e7b3ef.test-konyks-termo-package-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-02.jpg"><img width="800" height="602" src="media/76e7b3ef.test-konyks-termo-package-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-02.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-02.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-02-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-02-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-02-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-package-02-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a>

<p>D'un point de vue esthétique, je dirais que le Termo est passe-partout : il a un design moderne et il est blanc, donc en général ça passe bien. <strong>L'écran est grand donc on peut lire facilement les informations : la température en haut et le taux d'humidité en dessous. </strong>En complément, le niveau d'autonomie de la batterie est affiché, ainsi que l'état du Wi-Fi une fois qu'il est connecté à votre réseau sans-fil.</p>
<p>Il est à noter que le Termo tient tout seul et qu'il n'est pas nécessaire de le fixer pour qu'il reste droit. Il est un peu incliné vers le haut, grâce au "pied" sous le Termo qui lui permet d'avoir une légère inclinaison. Si vous souhaitez le fixer, c'est possible, car au dos on peut qu'il y a un emplacement permettant de le fixer au mur.</p>
<p>Le Konyks Termo est assez large, mais cela s'explique par la présence de trois piles LR6 (AA), et elles sont assez imposantes. Konyks promet une autonomie pouvant aller jusqu'à 5 mois, ce qui me semble peu compte tenu du nombre important de piles.</p>
<p>Sur le modèle Xiaomi, il y a simplement une seule pile AAA et il tient au moins 5 mois. <strong>Je pense que cette différence marquante s'explique par la présence du Wi-Fi au sein du modèle Konyks, tandis que les modèles Xiaomi travaillent en BLE </strong>(Bluetooth Low Energy) et nécessitent une passerelle Xiaomi en guise de relais. Le Konyks Termo est autonome, car il se connecte tout seul à votre box.</p>

<a href="media/1af118db.test-konyks-termo-photo-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-03.jpg"><img width="1000" height="752" src="media/1af118db.test-konyks-termo-photo-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-03.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-03.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-03-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-03-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-03-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-03-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-03-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/28c8c7a8.test-konyks-termo-photo-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-01.jpg"><img width="1000" height="752" src="media/28c8c7a8.test-konyks-termo-photo-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-01.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-01.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-01-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-01-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-01-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-01-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-01-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/722c2c64.test-konyks-termo-photo-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-02.jpg"><img width="1000" height="750" src="media/722c2c64.test-konyks-termo-photo-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-02.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-02.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-02-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-02-800x600.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-02-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-02-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-02-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/cb428e56.test-konyks-termo-photo-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-04.jpg"><img width="1000" height="752" src="media/cb428e56.test-konyks-termo-photo-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-04.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-04.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-04-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-04-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-04-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-04-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-04-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/8250a90d.test-konyks-termo-photo-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-05.jpg"><img width="1000" height="752" src="media/8250a90d.test-konyks-termo-photo-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-05.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-05.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-05-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-05-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-05-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-05-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-05-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/75d43f9c.test-konyks-termo-photo-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-06.jpg"><img width="1000" height="752" src="media/75d43f9c.test-konyks-termo-photo-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-06.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-06.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-06-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-06-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-06-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-06-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-06-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/4e31b454.test-konyks-termo-photo-07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-07.jpg"><img width="1000" height="750" src="media/4e31b454.test-konyks-termo-photo-07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-07.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-07.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-07-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-07-800x600.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-07-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-07-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-07-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/1303acdf.test-konyks-termo-photo-08.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-08.jpg"><img width="1000" height="752" src="media/1303acdf.test-konyks-termo-photo-08.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-08.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-08.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-08-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-08-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-08-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-08-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-08-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>

<p>Comme à la maison j'ai également des capteurs de température de chez Xiaomi, j'en ai profité pour réaliser une petite photo des différents modèles. Sur la photo ci-dessous, le modèle Konyks Termo est au centre.</p>
<p><strong>Remarque</strong> : l'écart de température entre les différents thermomètres est normal, car je revenais de l'extérieur pour prendre quelques photos, donc il faut un peu de temps pour que le capteur actualise la température.</p>
<p><img class="aligncenter size-large wp-image-48662" src="media/3145ddb2.test-konyks-termo-photo-09-800x398.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-09-800x398.jpg" alt="" width="800" height="398" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-09-800x398.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-09-550x273.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-09-150x75.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-09-768x382.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-09-50x25.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-photo-09.jpg 1000w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Les présentations sont faites, nous pouvons passer à l'installation et l'utilisation du Konyks Termo.</p>
<h2>III. Installation et application</h2>
<p>À partir de l'application Konyks, l'initialisation est assez simple. Comme d'habitude, l'application est là pour nous guider pas à pas et dans le cas du Termo, c'est le bouton sur le dessus de l'appareil qui permet de le réinitialiser. Quelques étapes plus tard, le détecteur est connecté à votre compte et au Wi-Fi de votre domicile.</p>

<a href="media/f4477dfa.test-konyks-termo-app-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-01.jpg"><img width="300" height="593" src="media/f4477dfa.test-konyks-termo-app-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-01.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-01.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-01-76x150.jpg 76w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-01-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>
<a href="media/de96be26.test-konyks-termo-app-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-02.jpg"><img width="300" height="596" src="media/de96be26.test-konyks-termo-app-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-02.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-02.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-02-76x150.jpg 76w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-02-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>
<a href="media/927bc6e7.test-konyks-termo-app-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-03.jpg"><img width="300" height="590" src="media/927bc6e7.test-konyks-termo-app-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-03.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-03.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-03-76x150.jpg 76w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-03-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>
<a href="media/fa0edcbb.test-konyks-termo-app-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-04.jpg"><img width="300" height="590" src="media/fa0edcbb.test-konyks-termo-app-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-04.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-04.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-04-76x150.jpg 76w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-04-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>

<p>Toujours avec l'application Konyks, on peut visualiser l'état de la batterie, mais on peut également relever la température et le taux d'humidité à distance avec son smartphone, que ce soit à partir d'une connexion Wi-Fi ou d'une connexion 4G/5G.</p>

<a href="media/614b8d7f.test-konyks-termo-app-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-05.jpg"><img width="300" height="598" src="media/614b8d7f.test-konyks-termo-app-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-05.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-05.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-05-75x150.jpg 75w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-05-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>
<a href="media/e064258e.test-konyks-termo-app-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-06.jpg"><img width="300" height="598" src="media/e064258e.test-konyks-termo-app-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-06.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-06.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-06-75x150.jpg 75w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/test-konyks-termo-app-06-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>

<p>En bas de la fenêtre de l'application, on a un aperçu de l'historique des températures. En appuyant sur le bouton "<strong>Historique</strong>", on peut consulter l'historique de la température ou du taux d'humidité.<strong> Le graphique permet d'afficher l'historique du jour, de la semaine, du mois ou de l'année.</strong> Par contre, l'affichage de la date en haut de l'application est un peu étonnant, mais cela devrait être corrigé par une mise à jour.</p>

<a href="media/58ddd9f6.konyks-termo-app-historique-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-01.jpg"><img width="300" height="595" src="media/58ddd9f6.konyks-termo-app-historique-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-01.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-01.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-01-76x150.jpg 76w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-01-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>
<a href="media/3cba9f7a.konyks-termo-app-historique-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-02.jpg"><img width="300" height="597" src="media/3cba9f7a.konyks-termo-app-historique-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-02.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-02.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-02-75x150.jpg 75w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-historique-02-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>

<p>Obtenir la température et le taux d'humidité à distance avec son smartphone, c'est plutôt cool, mais ce qui est encore mieux c'est de pouvoir exploiter le détecteur Termo au sein de scénarios. Si vous avez d'autres appareils Konyks à la maison, vous allez pouvoir vous amuser à créer des scénarios tels que :</p>
<ul>
<li>Si la température est inférieure à 20°C, allumer le chauffage via Konyks eCosy</li>
<li>Si la température est supérieure à 26°C, allumer la prise connectée Konyks où est branché le ventilateur</li>
<li>Si la température est supérieure à 24°C, fermer les volets des pièces exposées au soleil via les interrupteurs Konyks Vollo</li>
<li>Etc...</li>
</ul>
<p>On peut aussi recevoir une alerte sur son smartphone si la température est trop haute ou trop basse, par rapport à un seuil que vous déterminez, par exemple.</p>

<a href="media/df528304.konyks-termo-app-automatisation-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-01.jpg"><img width="300" height="598" src="media/df528304.konyks-termo-app-automatisation-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-01.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-01.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-01-75x150.jpg 75w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-01-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>
<a href="media/23ec13c2.konyks-termo-app-automatisation-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-02.jpg"><img width="300" height="595" src="media/23ec13c2.konyks-termo-app-automatisation-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-02.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-02.jpg 300w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-02-76x150.jpg 76w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/konyks-termo-app-automatisation-02-25x50.jpg 25w" sizes="(max-width: 300px) 100vw, 300px" /></a>

<h2>IV. Conclusion</h2>
<p>Vous l'avez probablement compris à la lecture de cet article, le Konyks Termo ouvre de nouvelles possibilités en termes d'automatisation pour rendre la maison plus intelligente ! C'est une très bonne chose que Konyks ait ajouté ce produit à son écosystème.</p>
<p>Il n'y a pas grand-chose à lui reprocher, si ce n'est qu'on peut le trouver un peu cher et que ça va vite faire un budget si on veut en acheter plusieurs. En effet, avec un seul détecteur, cela me semble un peu juste pour contrôler le chauffage dans une habitation complète, par exemple.</p>The post <a href="https://www.it-connect.fr/test-konyks-termo-un-detecteur-de-temperature-et-dhumidite-connecte/">Test Konyks Termo – Un détecteur de température et d’humidité connecté</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48706
title: Linux : comment tester son débit Internet en ligne de commande ?
uri: Linux-comment-tester-son-débit-Internet-en-ligne-de-commande
url: https://www.it-connect.fr/linux-comment-tester-son-debit-internet-en-ligne-de-commande/
content:
<h2>I. Présentation</h2>
<p><strong>Dans ce tutoriel, nous allons voir comment tester son débit Internet en ligne de commande sur une machine Linux avec les outils Speedtest et Speedtest-cli.</strong></p>
<p>Lorsqu'il s'agit de tester son débit Internet, que ce soit le <strong>débit descendant</strong> (download), le <strong>débit montant</strong> (upload) ou encore la <strong>latence</strong>, on a tous l'habitude d'utiliser un site en ligne. D'ailleurs, on peut en lister quelques-uns sans trop réfléchir : <strong>Speedtest</strong>, <strong>nPerf</strong> et <strong>Fast</strong>.</p>
<p>C'est facile sur Windows, car on a une interface graphique (dans une très grande majorité des cas) donc il suffit de dégainer un navigateur, d'accéder au site et le tour est joué. Sous Linux par contre, s'il n'y a pas d'interface graphique, on se retrouve coincé ! Comment faire ? Nous allons voir qu'il existe plusieurs outils, avec plus ou moins d'options, pour <strong>tester sa connexion Internet en ligne de commande</strong> !</p>
<p>Pour la suite de ce tutoriel, je vais utiliser une machine sous Debian 11, mais les outils sont multiplateformes (se référer aux liens).</p>
<h2>II. Speedtest CLI sous Linux</h2>
<p>Le site Speedtest.net propulsé par Ookla dispose d'une version accessible en ligne de commande nommée "<strong>Speedtest CLI</strong>". Compatible avec macOS, Windows (exécutable à télécharger) et plusieurs distributions Linux (Debian, Ubuntu, CentOS, Red Hat, Fedora, FreeBSD). Son installation est expliquée sur le site officiel de Speedtest : <a href="https://www.speedtest.net/fr/apps/cli" target="_blank" rel="nofollow noopener">Speedtest CLI</a>.</p>
<p>Sur Debian, il suffit d'exécuter ces commandes (cela nécessite d'avoir <em>curl</em> sur la machine) :</p>
<pre>curl -s https://install.speedtest.net/app/cli/install.deb.sh | sudo bash
sudo apt-get install speedtest</pre>
<p><img class="aligncenter wp-image-48708 size-full" src="media/22360a37.speedtest-cli-linux-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-01.png" alt="speedtest-cli sous Linux" width="800" height="532" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-01.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-01-550x366.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-01-150x100.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-01-768x511.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-01-50x33.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Ensuite, pour réaliser un test de débit, il suffit d'exécuter la commande suivante :</p>
<pre>speedtest</pre>
<p>Lors de la première exécution, il faudra accepter les différentes licences d'utilisation. Ensuite, ce ne sera plus nécessaire. Le test de débit va s'exécuter et vous allez obtenir 4 informations :</p>
<ul>
<li><strong>Latence</strong> via le champ "<em>Latency</em>"</li>
<li><strong>Débit descendant</strong> via le champ "<em>Download</em>"</li>
<li><strong>Débit montant</strong> via le champ "<em>Upload</em>"</li>
<li><strong>Pourcentage de paquets perdus</strong> via le champ "<em>Packet Loss</em>"</li>
</ul>
<p>Voici un exemple :</p>
<p><img class="aligncenter wp-image-48707 size-full" src="media/dd8dbb49.speedtest-cli-linux-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-02.png" alt="Tester son débit Internet en ligne de commande" width="568" height="145" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-02.png 568w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-02-550x140.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-02-150x38.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-02-50x13.png 50w" sizes="(max-width: 568px) 100vw, 568px" /></p>
<p>En regardant l'aide de l'outil Speedtest, on peut voir qu'il y a quelques options à notre disposition :</p>
<p><img class="aligncenter size-large wp-image-48715" src="media/55fa0757.speedtest-cli-linux-08-800x518.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-08-800x518.png" alt="" width="800" height="518" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-08-800x518.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-08-550x356.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-08-150x97.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-08-768x497.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-08-50x32.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-08.png 976w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Vous pouvez obtenir la liste des serveurs Speedtest disponibles :</p>
<pre>speedtest -L</pre>
<p><img class="aligncenter size-full wp-image-48716" src="media/ac91737b.speedtest-cli-linux-09.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-09.png" alt="" width="800" height="242" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-09.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-09-550x166.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-09-150x45.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-09-768x232.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-09-50x15.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Repérez l'ID du serveur que vous souhaitez utiliser et spécifiez cet ID au moment de relancer le test de débit :</p>
<pre>speedtest -s 12746</pre>
<p>Lorsque l'on effectue un test sans préciser de serveur, on ne sait pas trop quel serveur va être utilisé. En fait, <strong>c'est le serveur avec la latence la plus faible à l'instant <em>t</em> qui sera utilisé</strong>. Pour en savoir un peu plus sur le processus de sélection du serveur, il faut ajouter l'option "<strong>--selection-details</strong>" et on peut voir que le serveur avec la plus faible latence sera utilisé :</p>
<pre>speedtest --selection-details</pre>
<p><img class="aligncenter size-full wp-image-48717" src="media/393ddac4.speedtest-cli-linux-10.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-10.png" alt="" width="800" height="321" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-10.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-10-550x221.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-10-150x60.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-10-768x308.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-10-50x20.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Nous venons de voir l'outil officiel du site Speedtest. Désormais, nous allons voir un second outil qui permet d'avoir quelques options supplémentaires.</p>
<h2>III. Speedtest-cli : l'alternative avec plus d'options</h2>
<p>L'outil <strong>Speedtest-CLI</strong> s'appuie toujours sur le site Speedtest, mais à la différence de l'outil officiel que nous venons de voir, il intègre des options pour effectuer seulement un test de download ou d'upload, par exemple. Voici le lien vers ce projet : <a href="https://github.com/sivel/speedtest-cli" target="_blank" rel="nofollow noopener">Speedtest-CLI</a></p>
<p>Il est écrit en Python, donc vous devez installer Python sur votre machine avant toute chose :</p>
<pre>sudo apt-get update
sudo apt-get install python</pre>
<p>Ensuite, on peut télécharger <strong>Speedtest-cli</strong> à partir de GitHub via wget :</p>
<pre>wget -O speedtest-cli https://raw.githubusercontent.com/sivel/speedtest-cli/master/speedtest.py</pre>
<p><img class="aligncenter size-large wp-image-48711" src="media/b12c7e9f.speedtest-cli-linux-03-800x204.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-03-800x204.png" alt="" width="800" height="204" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-03-800x204.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-03-550x140.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-03-150x38.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-03-768x196.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-03-50x13.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-03.png 899w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Nous devons ajouter les droits d'exécution au fichier "<em>speedtest-cli</em>" que l'on vient de télécharger :</p>
<pre>chmod +x speedtest-cli</pre>
<p>A partir de là, on peut exécuter l'outil et consulter son aide afin de visualiser toutes les options disponibles :</p>
<pre>./speedtest-cli -h</pre>
<p><img class="aligncenter wp-image-48710 size-full" src="media/8e42e99c.speedtest-cli-linux-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-04.png" alt="speedtest-cli" width="800" height="801" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-04.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-04-550x551.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-04-150x150.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-04-768x769.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-04-50x50.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Par exemple, pour tester uniquement le débit descendant (download), on utilisera la commande suivante :</p>
<pre>./speedtest-cli --no-upload</pre>
<p>Il est également possible de choisir le serveur distant que vous souhaitez utiliser pour ce test de débit. Il faut commencer par lister les serveurs disponibles (sur le même principe que "-L" de l'outil précédent) :</p>
<pre>./speedtest-cli --list</pre>
<p><img class="aligncenter size-full wp-image-48713" src="media/0eb8d302.speedtest-cli-linux-05.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-05.png" alt="" width="800" height="191" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-05.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-05-550x131.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-05-150x36.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-05-768x183.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-05-50x12.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Ensuite, on repère l'ID du serveur que l'on veut utiliser en regardant la première valeur au début de chaque ligne. Voici un exemple pour s'appuyer sur le serveur SFR avec l'ID "12746".</p>
<pre>./speedtest-cli --server 12746</pre>
<p><img class="aligncenter size-full wp-image-48714" src="media/14c865eb.speedtest-cli-linux-07.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-07.png" alt="" width="800" height="159" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-07.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-07-550x109.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-07-150x30.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-07-768x153.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/speedtest-cli-linux-07-50x10.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>En complément, le mode CSV peut-être assez cool pour obtenir des données formatées :</p>
<pre>./speedtest-cli --csv</pre>
<p>Tout en sachant que les en-têtes sont :</p>
<pre>Server ID,Sponsor,Server Name,Timestamp,Distance,Ping,Download,Upload,Share,IP Address</pre>
<p>Comme promis, <strong>speedtest-cli est un outil qui propose quelques options pour affiner la requête même si l'outil officiel est déjà très complet</strong>. Personnellement, je préfère utiliser l'outil officiel, mais il est intéressant de connaître l'existence de cette alternative.</p>
<p><strong>Connaissez-vous d'autres alternatives en ligne de commande ?</strong></p>The post <a href="https://www.it-connect.fr/linux-comment-tester-son-debit-internet-en-ligne-de-commande/">Linux : comment tester son débit Internet en ligne de commande ?</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48601
title: Forensic – FloatingCredentials : analyse d’une capture WireShark
uri: Forensic-FloatingCredentials-analyse-d-une-capture-WireShark
url: https://www.it-connect.fr/forensic-floatingcredentials-analyser-une-capture-wireshark/
content:
<h2>I. Présentation</h2>
<p>Nous continuons notre suite d'articles sur le CTF du FIC 2021 proposé par l'école EPITA afin de découvrir<strong> certains outils et méthodes de forensic</strong> (investigation numérique). Dans cet article nous allons nous pencher sur l'<strong>analyse de traces réseau afin de déterminer les actions menées par un attaquant</strong>.</p>
<p>Nous allons notamment utiliser le logiciel <strong>Wireshark</strong> et explorer quelques-unes de ses nombreuses fonctionnalités, notamment celles permettant de <strong>comprendre et d'analyser une trace réseau</strong> comprenant un grand nombre de<strong> paquets et d'échanges différents</strong>.</p>
<h2>II. Contexte : Panic on board - FloatingCredentials</h2>
<p>Le <strong>contexte de l'incident</strong> sur lequel nous intervenons est le suivant : <strong>Un bateau de croisière de la compagnie maritime ArMor, a subi une panne et se retrouve bloqué en pleine mer.</strong></p>
<p>Nous avons, dans le premier article de cette série, identifié que l'attaquant <strong>a envoyé un mail de <em>phishing</em></strong> contenant une pièce jointe malveillante. Le contexte de cette seconde étape de l'analyse est le suivant :</p>
<p><em>M.Deloin affirme avoir cliqué sur la pièce jointe malveillante dès sa lecture, soit le lundi <strong>03/08 à 9h00</strong>. Aussi, selon Armor, la seule<strong> connexion à leur VPN</strong> depuis le poste de Christian Deloin pendant le mois d’août a eu lieu le <strong>05/08 à 13h</strong>. Récoltez des preuves permettant d’affirmer que l’attaquant s’est servi de la machine de M.Deloin pour se connecter au VPN d’Armor.</em></p>
<p>Comme dans toute analyse forensic, les<strong> éléments de contexte sont importants</strong> à prendre en compte et permettent d'orienter nos recherches. Ici, deux traces réseau nous sont fournies :</p>
<ul>
<li><em>deloin_03_08_09_00.pcapng</em> : date d'ouverture de la pièce jointe malveillante par l'utilisateur</li>
<li><em>deloin_05_08_13_00.pcapng</em> : date d'une connexion VPN établie depuis le poste de Mr Deloin.</li>
</ul>
<p>Ces deux traces réseau correspondent aux éléments de contexte indiqué.  Nous devons fournir les éléments suivants pour compléter cette deuxième étape de l'analyse :</p>
<ul>
<li>IP de l'attaquant</li>
<li>Identifiants du VPN</li>
<li>IP du VPN</li>
<li>Commande complète utilisée pour se connecter chez Armor</li>
</ul>
<p>N'oublions pas de vérifier l'intégrité des éléments récupérés (le hash BLAKE2 est fourni avec les fichiers sur le site du challenge) :</p>
<pre>$<span style="color: #00ffff;"> b2sum deloin_03_08_09_00.pcapng</span> <br />72891fe777ccc13f29ab0b4a62ddaa644d68ab7a82ee52b3e29025de971504257c04578f27c3a9cd2aee3145fa35c21df7f59e8df898b64ed17e11d264f0163c deloin_03_08_09_00.pcapng<br /><br />$ <span style="color: #00ffff;">b2sum deloin_05_08_13_00.pcapng</span> <br />f1af4b121e62f9137f571b00023501530bf8c6f12aa797d858a39d5afe9dd7d15bad86092f5152175ff8fbd7c3b6d711e7071313d5a456ac89caf5b69d24fcb3 deloin_05_08_13_00.pcapng</pre>
<h2>III. Analyse d'une trace réseau avec WireShark</h2>
<p>Les traces réseau reçues contiennent un grand nombre de paquets, l'analyse manuelle des paquets <strong>un à un n'est donc pas une méthodologie viable</strong> dans notre cas. Heureusement, <strong>Wireshark propose de nombreuses fonctionnalités</strong> de filtre, de tri, de statistique et de catégorisation des échanges qui vont nous être utiles.</p>
<h3>A. Identifier l'adresse IP du poste d'écoute</h3>
<p>Commençons par l'analyse du fichier <em>deloin_03_08_09_00.pcapng </em>qui contient plus de 90 000 paquets.  Pour rappel, la pièce jointe malveillante analysée dans la première étape était un <strong>PDF exécutant des commandes système dès son ouverture</strong> (voir cet article <a title="Forensic – PhishingBoat : analyse de fichiers Mbox et PDF" href="https://www.it-connect.fr/forensic-phishingboat-analyse-de-fichiers-mbox-et-pdf/" target="_blank" rel="noopener">Forensic – PhishingBoat : analyse de fichiers Mbox et PDF</a>). On peut donc penser que <strong>cette activité a laissé une trace réseau</strong>.</p>
<p>Afin d'avoir une bonne compréhension des échanges, il nous faut <b>déterminer l'adresse IP du poste ayant été utilisé pour l'enregistrement</b> des traces réseau, nous pourrons ainsi plus facilement mettre un sens sur les paquets analysés.</p>
<p>Dans Wireshark,<strong> il n'existe pas de moyen fiable à 100%</strong> de déterminer cette information : mettre une interface en mode <em>promiscious </em>et réaliser l'écoute réseau depuis un actif réseau en mode <em>mirroring</em> font partie des cas de figure qu'il nous sera difficile de caractériser.</p>
<p>Nous pouvons simplement tenter de<strong> déduire cette information à partir de différentes sources</strong>. L'utilisation de la fonction <em>Conversations</em> dans le menu <em>Statistiques</em> est une source possible : </p>
<figure id="attachment_48627" aria-describedby="caption-attachment-48627" style="width: 488px" class="wp-caption aligncenter"><a href="media/84a29882.ic-panicOnBoard-FloatingCredentials-wireshark-conversation01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversation01.png"><img class="size-full wp-image-48627" src="media/84a29882.ic-panicOnBoard-FloatingCredentials-wireshark-conversation01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversation01.png" alt="Accès au menu statistiques - conversations de Wireshark" width="488" height="127" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversation01.png 488w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversation01-150x39.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversation01-50x13.png 50w" sizes="(max-width: 488px) 100vw, 488px" /></a><figcaption id="caption-attachment-48627" class="wp-caption-text">Accès au menu statistiques - conversations de Wireshark</figcaption></figure>
<p>Dans Wireshark, une conversation réseau est un trafic entre deux points de terminaison spécifiques qui peuvent être caractérisés par adresses Ethernet (MAC), IPv4, IPv6, UDP ou TCP. Ce que l'on remarque rapidement dans les onglets <em>IPv4</em> et <em>TCP,</em> c'est que l'adresse <strong>192.168.0.12</strong> est la plus présente en adresse source et destination :</p>
<figure id="attachment_48628" aria-describedby="caption-attachment-48628" style="width: 800px" class="wp-caption aligncenter"><a href="media/ddcfa9a3.c-panicOnBoard-FloatingCredentials-wireshark-conversations02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversations02.png"><img class="size-large wp-image-48628" src="media/5e03ec0d.nBoard-FloatingCredentials-wireshark-conversations02-800x385.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversations02-800x385.png" alt="Identification de l'adresse IP potentielle du poste d'écoute" width="800" height="385" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversations02-800x385.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversations02-550x265.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversations02-150x72.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversations02-768x370.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversations02-1536x739.png 1536w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversations02-50x24.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-conversations02.png 1750w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48628" class="wp-caption-text">Identification de l'adresse IP potentielle du poste d'écoute</figcaption></figure>
<p>C'est un indicateur intéressant, car si la capture réseau a été faite sur le poste lui-même, la grande majorité des paquets auront pour adresse source ou destination celle du poste en question, hormis les paquets <em>multicast</em> et <em>broacast</em> (et les paquets non IP).</p>
<p>Nous pouvons à présent <strong>utiliser les filtres Wireshark</strong> pour faire un filtre sur l'adresse IP 192.168.0.12 : </p>
<pre>ip.src==192.168.0.12 || ip.dst ==192.168.0.12</pre>
<p>Nous utilisons ici l'opérateur <strong><em>||</em> </strong>qui permet d'indiquer un <em>OU</em> : soit l'adresse IP source est 192.168.0.12 , soit l'adresse IP destination est 192.168.0.12. Information intéressante, lorsque nous utilisons un filtre sur Wireshark, celui-ci nous indique (discrètement) le<strong> pourcentage de paquets affichés à la suite de l'application de ce filtre</strong> :</p>
<figure id="attachment_48629" aria-describedby="caption-attachment-48629" style="width: 675px" class="wp-caption aligncenter"><a href="media/51c4191b.Forensic-panicOnBoard-FloatingCredentials-wireshark-filtre.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-filtre.png"><img class=" wp-image-48629" src="media/51c4191b.Forensic-panicOnBoard-FloatingCredentials-wireshark-filtre.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-filtre.png" alt="Affichage du pourcentage de paquet affichés à la suite de l'application du filtre." width="675" height="524" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-filtre.png 757w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-filtre-550x427.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-filtre-150x117.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-filtre-50x39.png 50w" sizes="(max-width: 675px) 100vw, 675px" /></a><figcaption id="caption-attachment-48629" class="wp-caption-text">Affichage du pourcentage de paquet affiché à la suite de l'application du filtre.</figcaption></figure>
<p>Nous savons donc que<strong> 99,9% des paquets ont pour adresse source ou destination l'adresse IP ciblée par le filtre</strong>, un autre indicateur qui confirme notre choix. Enfin, nous pouvons utiliser la fonction <em>Endpoint</em> du menu <em>Statistiques</em> de Wireshark : </p>
<figure id="attachment_48677" aria-describedby="caption-attachment-48677" style="width: 498px" class="wp-caption aligncenter"><a href="media/bcf1dc1d.Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoint.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoint.png"><img class="size-full wp-image-48677" src="media/bcf1dc1d.Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoint.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoint.png" alt="Accès àa la fonction Endpoints de Wireshark" width="498" height="195" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoint.png 498w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoint-150x59.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoint-50x20.png 50w" sizes="(max-width: 498px) 100vw, 498px" /></a><figcaption id="caption-attachment-48677" class="wp-caption-text">Accès à la fonction Endpoints de Wireshark</figcaption></figure>
<p>Cette fonctionnalité va <strong>lister de manière unitaire les points de terminaison présents</strong> dans la capture réseau, l'équivalent d'un <em>sort -u</em> pour les Linuxiens. À nouveau, différents onglets sont proposés : Ethernet, <em>IPv4, IPv6, TCP</em> et <em>UDP.</em> En se rendant sur <em>IPv4,</em> on remarque à nouveau que <strong>les valeurs des colonnes <em>Tx packets (Transmitter)</em> et <em>Rx Packets(Receiver) </em>pour la ligne de l'adresse 192.168.0.12 sont les plus élevées</strong>, ce qui va dans le même sens que nos constats précédents :</p>
<figure id="attachment_48678" aria-describedby="caption-attachment-48678" style="width: 757px" class="wp-caption aligncenter"><a href="media/5e441148.ensic-panicOnBoard-FloatingCredentials-wireshark-endpoints01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints01.png"><img class="wp-image-48678 size-full" src="media/5e441148.ensic-panicOnBoard-FloatingCredentials-wireshark-endpoints01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints01.png" alt="Visualisation des endpoints IPv4 dans Wireshark" width="757" height="285" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints01.png 757w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints01-550x207.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints01-150x56.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints01-50x19.png 50w" sizes="(max-width: 757px) 100vw, 757px" /></a><figcaption id="caption-attachment-48678" class="wp-caption-text">Visualisation des endpoints IPv4 dans Wireshark</figcaption></figure>
<p>Nous venons de voir dans cette section comment utiliser certaines fonctionnalités de Wireshark pour identifier une adresse IP pouvant correspondre à celle du poste sur laquelle a été réalisée la capture réseau. Ces fonctions peuvent également servir à <strong>identifier des exceptions</strong> et des comportements qui sortent de l'ordinaire.</p>
<h3>B. Identifier un trafic anormal</h3>
<p>Pour rappeler notre mission principale, nous devons<b> identifier un trafic anormal au sein de cette capture ainsi que l'adresse IP de l'attaquant</b>. Nous allons ici lister les différents ports TCP présents dans la capture réseau à l'aide de la fonction <em>Endpoints</em>, plus précisément dans l'onglet <em>TCP</em> :</p>
<figure id="attachment_48682" aria-describedby="caption-attachment-48682" style="width: 637px" class="wp-caption aligncenter"><a href="media/d666a793.ensic-panicOnBoard-FloatingCredentials-wireshark-endpoints02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints02.png"><img class=" wp-image-48682" src="media/d666a793.ensic-panicOnBoard-FloatingCredentials-wireshark-endpoints02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints02.png" alt="Liste des échanges par port TCP via la focntion Endpoint" width="637" height="456" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints02.png 765w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints02-550x394.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints02-150x107.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints02-50x36.png 50w" sizes="(max-width: 637px) 100vw, 637px" /></a><figcaption id="caption-attachment-48682" class="wp-caption-text">Liste des échanges par port TCP via la fonction Endpoint</figcaption></figure>
<p>Pour l'instant, rien de très parlant. Nous voyons des échanges sur les ports HTTP et HTTPS classiques. Nous cherchons dans un premier temps des comportements anormaux concernant l'adresse IP 192.168.0.12. Nous pouvons utiliser un filtre pour inclure ou exclure certains paquets, par exemple :</p>
<pre> (ip.dst == 192.168.0.12 || ip.src==192.168.0.12) &amp;&amp; (!tcp.port==80 &amp;&amp; !tcp.port == 443)</pre>
<p>Ainsi, nous excluons les paquets qui ne concernent pas l'adresse 192.168.0.12 et qui sont des échanges sur les ports 80 ou 443. Nous pouvons ensuite retourner dans la fonction <em>Endpoint</em>. une petite astuce ici consiste à<strong> appliquer le filtre Wireshark sur les données présentées</strong> par cette fonction :</p>
<figure id="attachment_48683" aria-describedby="caption-attachment-48683" style="width: 667px" class="wp-caption aligncenter"><a href="media/34e7d377.ensic-panicOnBoard-FloatingCredentials-wireshark-endpoints03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints03.png"><img class=" wp-image-48683" src="media/34e7d377.ensic-panicOnBoard-FloatingCredentials-wireshark-endpoints03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints03.png" alt="Application du filtre sur les résultats de la fonction Endpoints" width="667" height="357" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints03.png 701w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints03-550x294.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints03-150x80.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-endpoints03-50x27.png 50w" sizes="(max-width: 667px) 100vw, 667px" /></a><figcaption id="caption-attachment-48683" class="wp-caption-text">Application du filtre sur les résultats de la fonction Endpoints</figcaption></figure>
<p>Voilà qui est un peu plus clair. Nous nous retrouvons avec une liste plus réduite de cas "anormaux" et pouvons maintenant investiguer sur ces cas un à un. Notamment en utilisant un filtre comme celui-ci pour le port 1723 (première ligne sur l'image ci-dessus) :  </p>
<pre>(ip.dst == 192.168.0.12 || ip.src==192.168.0.12) &amp;&amp; tcp.port==1723</pre>
<h3>C. Suivre une connexion TCP</h3>
<p>Pour chaque filtre appliqué, nous nous retrouvons à nouveau avec une dizaine ou une centaine de paquets à analyser, nous pouvons ici utiliser la fonction <em>Suivre </em>de Wireshark en faisant un clic droit sur l'un des paquets :</p>
<figure id="attachment_48684" aria-describedby="caption-attachment-48684" style="width: 634px" class="wp-caption aligncenter"><a href="media/d7f22778.Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre.png"><img class=" wp-image-48684" src="media/d7f22778.Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre.png" alt="Sélection de l'option &quot;Suivre&quot; sur un paquet " width="634" height="373" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre-550x324.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre-150x88.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre-50x29.png 50w" sizes="(max-width: 634px) 100vw, 634px" /></a><figcaption id="caption-attachment-48684" class="wp-caption-text">Sélection de l'option "Suivre" sur un paquet</figcaption></figure>
<p>Ici, rien de très parlant, mais cette fonction peut être très utile pour certains protocoles puisqu'elle permet de <strong>visualiser, dans une seule fenêtre, les échanges entre le serveur (en bleu) et le client (en rouge),</strong> c'est notamment le cas pour les protocoles non chiffrés. Faisons la même opération pour le port TCP/5000 :</p>
<figure id="attachment_48686" aria-describedby="caption-attachment-48686" style="width: 800px" class="wp-caption aligncenter"><a href="media/36468daa.Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre01.png"><img class="size-large wp-image-48686" src="media/297a0337.-panicOnBoard-FloatingCredentials-wireshark-suivre01-800x405.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre01-800x405.png" alt="Suivi d'échanges TCP sur un protocole en clair" width="800" height="405" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre01-800x405.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre01-550x279.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre01-150x76.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre01-768x389.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre01-50x25.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre01.png 1332w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48686" class="wp-caption-text">Suivi d'échanges TCP sur un protocole en clair</figcaption></figure>
<p>Voilà qui est plus intéressant, cela ressemble fortement à <strong>un shell PowerShell distant</strong>, typiquement le type d'outils et de méthodes utilisés dans le cadre d'un accès distant par un attaquant. Nous pouvons donc <strong>obtenir, grâce à ce filtre, l'adresse IP de notre attaquant</strong> : 93.29.253.182.</p>
<p>Nous pouvons donc affirmer ici que l'attaquant a utilisé la technique <a title="T1059.003 Command and Scripting Interpreter: Windows Command Shell" href="https://attack.mitre.org/techniques/T1059/003/" target="_blank" rel="noopener">T1059.003 Command and Scripting Interpreter: Windows Command Shell</a> référencée dans le framework MITRE ATT&amp;CK :</p>
<figure id="attachment_48914" aria-describedby="caption-attachment-48914" style="width: 800px" class="wp-caption aligncenter"><a href="media/d1443038.forensic-floatingcredentials-T1059.003.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1059.003.png"><img class="size-large wp-image-48914" src="media/3742c2d3.forensic-floatingcredentials-T1059.003-800x244.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1059.003-800x244.png" alt="Description de la technique T1059.003 dans le framework MITRE ATT&amp;CK" width="800" height="244" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1059.003-800x244.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1059.003-550x167.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1059.003-150x46.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1059.003-768x234.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1059.003-50x15.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1059.003.png 1366w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48914" class="wp-caption-text">Description de la technique T1059.003 dans le framework MITRE ATT&amp;CK</figcaption></figure>
<p>Un peu plus bas dans cette même conversation, nous remarquons que<strong> l'attaquant était à la recherche d'identifiants VPN</strong>, qu'il a fini par trouver :</p>
<figure id="attachment_48687" aria-describedby="caption-attachment-48687" style="width: 707px" class="wp-caption aligncenter"><a href="media/da693071.Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre02.png"><img class=" wp-image-48687" src="media/da693071.Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre02.png" alt="Affichage des identifiants VPN par l'attaquant" width="707" height="291" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre02.png 773w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre02-550x226.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre02-150x62.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre02-768x316.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre02-50x21.png 50w" sizes="(max-width: 707px) 100vw, 707px" /></a><figcaption id="caption-attachment-48687" class="wp-caption-text">Affichage des identifiants VPN par l'attaquant</figcaption></figure>
<p>Nous sommes donc en mesure de dire, grâce à ces éléments, que<strong> l'attaquant a bien mis la main sur ces identifiants</strong>. Cela nous amène à notre deuxième capture réseau, qui concerne une connexion VPN établie avec le compte de Mr Deloin peu après cette première capture réseau.</p>
<p>Le vol d'éléments d'identification sur un système compromis est décrit dans la technique <a title="T1552.001 Unsecured Credentials: Credentials In Files" href="https://attack.mitre.org/techniques/T1552/001/" target="_blank" rel="noopener">T1552.001 Unsecured Credentials: Credentials In Files</a> du framework MITRE ATT&amp;CK.</p>
<div class="row card-data">
<figure id="attachment_48915" aria-describedby="caption-attachment-48915" style="width: 800px" class="wp-caption aligncenter"><a href="media/678e1caa.forensic-floatingcredentials-T1552.001.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1552.001.png"><img class="wp-image-48915 size-large" src="media/e78d18de.forensic-floatingcredentials-T1552.001-800x374.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1552.001-800x374.png" alt="Description de la technique T1552.001 dans le framework MITRE ATT&amp;CK" width="800" height="374" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1552.001-800x374.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1552.001-550x257.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1552.001-150x70.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1552.001-768x359.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1552.001-50x23.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1552.001.png 1394w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48915" class="wp-caption-text">Description de la technique T1552.001 dans le framework MITRE ATT&amp;CK</figcaption></figure>
</div>
<p>Nous ouvrons donc la capture réseau<em> deloin_05_08_13_00.pcapng</em> et appliquons dans un premier temps le même filtre que précédemment :</p>
<pre>(ip.dst == 192.168.0.12 || ip.src==192.168.0.12) &amp;&amp; tcp.port==5000</pre>
<p>À nouveau en faisant un suivi de connexion TCP sur ces échanges, nous obtenons une vue en clair des commandes exécutées par l'attaquant et des réponses obtenues :</p>
<figure id="attachment_48688" aria-describedby="caption-attachment-48688" style="width: 800px" class="wp-caption aligncenter"><a href="media/6c6207b6.Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre03.png"><img class="wp-image-48688 size-large" title="Affichage des commandes saisies et de leurs résultats" src="media/555fc143.-panicOnBoard-FloatingCredentials-wireshark-suivre03-800x344.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre03-800x344.png" alt="Affichage des commandes saisies et de leurs résultats" width="800" height="344" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre03-800x344.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre03-550x237.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre03-150x65.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre03-768x330.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre03-50x22.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-FloatingCredentials-wireshark-suivre03.png 1339w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48688" class="wp-caption-text">Affichage des commandes saisies et de leurs résultats</figcaption></figure>
<p>Ce qui nous permet de répondre aux deux dernières questions :</p>
<ul>
<li>IP du VPN : <em>90.70.74.155</em></li>
<li>Commande complète utilisée pour se connecter chez Armor : <em>Invoke-Expression "rasdial.exe RH-ARMOR christian.deloin Chr123delo!"</em></li>
</ul>
<p>L'attaquant a donc utilisé les identifiants volés afin d'obtenir un accès VPN valide au SI ciblé, cette technique <a title="T1078 Valid Accounts" href="https://attack.mitre.org/techniques/T1078/" target="_blank" rel="noopener">T1078 Valid Accounts</a> est également décrite dans le framework MITRE ATT&amp;CK. Cette action peut être vue comme un moyen d'accès initial ou de persistance.</p>
<figure id="attachment_48917" aria-describedby="caption-attachment-48917" style="width: 800px" class="wp-caption aligncenter"><a href="media/beb0b6fc.forensic-floatingcredentials-T1078.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1078.png"><img class="size-large wp-image-48917" src="media/5d6feeec.forensic-floatingcredentials-T1078-800x432.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1078-800x432.png" alt="Description de la technique T1078 dans le framework MITRE ATT&amp;CK" width="800" height="432" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1078-800x432.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1078-550x297.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1078-150x81.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1078-768x415.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1078-50x27.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-floatingcredentials-T1078.png 1416w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48917" class="wp-caption-text">Description de la technique T1078 dans le framework MITRE ATT&amp;CK</figcaption></figure>
<p>Les choses auraient bien sûr été plus complexes si l'attaquant avait <strong>utilisé un protocole chiffré</strong> ainsi qu'un <strong>échange sur un port commun</strong> (80 ou 443). Gardons à l'esprit qu'il s'agit d'un exercice et non d'un cas 100% réel :). Cela nous a cependant permis de nous familiariser avec différentes fonctionnalités de Wireshark et d'avoir un aperçu de l'état d'esprit qu'il faut avoir en matière d'investigation. Nous avons également vu dans cet article que nous sommes en capacité d'<strong>associer une technique du framework MITRE ATT&amp;CK à chaque action de l'attaquant</strong>. Cela nous permettra par la suite de tenter d'en <strong>savoir plus sur ses intentions</strong>, sur les <strong>recommandations et moyens de détection</strong> à mettre en place à la suite de cette attaque, et trés éventuellement pas de tenter d'<strong>assigner cette attaque à une entitée connue (APT)</strong>.</p>
<p>Le prochain article de cette série portera sur une <strong>analyse réseau</strong> également, nous étudierons quelques <strong>fonctions de filtre supplémentaires</strong> ainsi que l'<strong>analyse d'un protocole industriel</strong>.</p>The post <a href="https://www.it-connect.fr/forensic-floatingcredentials-analyser-une-capture-wireshark/">Forensic – FloatingCredentials : analyse d’une capture WireShark</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48934
title: Dell : une mise à jour du BIOS empêche les PC de démarrer !
uri: Dell-une-mise-à-jour-du-BIOS-empêche-les-PC-de-démarrer
url: https://www.it-connect.fr/dell-une-mise-a-jour-du-bios-empeche-les-pc-de-demarrer/
content:
<p><strong>Visiblement, certains ordinateurs Dell ont du mal à digérer la dernière mise à jour du BIOS publiée par le fabricant américain. Suite à l'installation de cette mise à jour, certains PC n'arrivent plus à démarrer et redémarrent en permanence.</strong></p>
<p>Depuis plusieurs jours, de très nombreux utilisateurs se plaignent sur le forum de Dell mais aussi sur Reddit, car suite à l'installation d'une mise à jour du BIOS, leur machine ne veut plus démarrer. Par exemple, voici ce que rapporte un utilisateur sur le forum de Dell : « <em>Après avoir fait la mise à jour du BIOS de mon 5320 vers la version 1.14.3 aujourd’hui, mon ordinateur portable ne démarre pas</em> ».</p>
<p>Ce problème n'affecte pas toutes les machines de chez Dell, mais différentes gammes, notamment les ordinateurs portables <strong>Dell Latitude 5320/5520</strong> et la mise à jour du BIOS version 1.14.3. Par ailleurs, le <strong>Dell Inspiron 5680</strong> est également concerné avec la mise à jour version 2.8, tout comme l'<strong>Alienware Aurora R8</strong> et le BIOS en version 1.0.18.</p>
<p>La meilleure solution pour contourner ce problème, c'est de réinstaller une version antérieure du BIOS afin de retrouver une machine opérationnelle. Néanmoins, cela semble assez difficile, car <strong>suite à l'installation du BIOS défectueux, les machines sont instables</strong> ! Sur son site, Dell propose une procédure afin d'installer une version antérieure du BIOS sur une machine : <a href="https://www.dell.com/support/kbdoc/fr-fr/000130652/downgrading-the-system-bios-on-a-dell-system-mise-%C3%A0-niveau-vers-une-version-ant%C3%A9rieure-du-bios-du-syst%C3%A8me-sur-un-syst%C3%A8me-dell" target="_blank" rel="nofollow noopener">Dell - Downgrade BIOS</a>.</p>
<p>Vous pouvez aussi <a href="https://www.dell.com/community/Latitude/Latitude-5320-System-BIOS-Update-1-14-3-Blue-Screen-amp-Booting/m-p/8108256/highlight/true#M38621" target="_blank" rel="nofollow noopener">lire ce témoignage sur le site de Dell</a> où un utilisateur explique comment il est parvenu à downgrader le BIOS d'un Latitude 5320. Concrètement, cela n'a pas été simple puisque même après avoir mis à jour le BIOS, il a du débrancher le chargeur, retirer la batterie, appuyer sur le bouton d'alimentation pendant 15 secondes avant de réinstaller la batterie dans le PC et réussir à le démarrer.</p>
<p>Le pire c'est que pour le moment Dell ne s'est pas exprimé à ce sujet, mais par contre les fameuses mises à jour ne sont plus disponibles au téléchargement, ce qui prouve qu'il y a bien quelque chose qui coince...</p>
<p><em>J'imagine le coup de pression si certains ont tenté de mettre à jour le BIOS sur le PC du patron juste avant de partir en congé ! <img src="media/7d7d5e26.1f642.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /></em></p>
<p><strong>Je vous souhaite d'excellentes fêtes de fin d'année !</strong> Le rythme de publication sera réduit d'ici la fin de l'année (comme c'est le cas depuis plusieurs jours d'ailleurs).</p>
<p><a href="https://www.bleepingcomputer.com/news/technology/new-dell-bios-updates-cause-laptops-and-desktops-not-to-boot/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/dell-une-mise-a-jour-du-bios-empeche-les-pc-de-demarrer/">Dell : une mise à jour du BIOS empêche les PC de démarrer !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48938
title: WordPress : un célèbre plugin SEO contient deux failles de sécurité !
uri: 2021-12-24-
url: https://www.it-connect.fr/wordpress-un-celebre-plugin-seo-contient-deux-failles-de-securite/
content:
<p><strong>Le très célèbre plugin "All In One SEO" de WordPress contient deux failles de sécurité critiques, désormais corrigées au sein de la dernière mise à jour de l'extension. Ce plugin est utilisé par des millions de sites Internet.</strong></p>
<p>Lorsque l'on administre un site Internet sous WordPress, on a forcément recours à l'utilisation à une extension pour optimiser son référencement sur les moteurs de recherche (SEO). Pour cela, on a le choix entre deux plugins qui sortent du lot : Yoast SEO et All In One SEO. D'ailleurs, sur la page de l'extension All In One SEO on peut voir qu'il y a plus de <strong>3 millions d'installations actives</strong>.</p>
<p>Marc Montpas, un chercheur en sécurité de chez Automattic, a trouvé <strong>deux failles de sécurité au sein du plugin All In One SEO</strong>. La vulnérabilité "<strong>CVE-2021-25036</strong>" correspond à une élévation de privilèges (en étant préalablement authentifié) tandis que la vulnérabilité "<strong>CVE-2021-25036</strong>" est une injection SQL (en étant authentifié également).</p>
<p>Bien qu'il soit nécessaire d'être authentifié pour exploiter les vulnérabilités,<strong> cela est particulièrement dangereux et accessible, car de nombreux sites autorisent l'inscription des utilisateurs</strong>. Même si le rôle "Abonné" est attribué aux nouveaux inscrits, ce qui correspond au rôle avec le moins de privilèges, c'est suffisant pour qu'un attaquant soit en mesure d'exploiter ces failles de sécurité.</p>
<p><strong>Depuis le 7 décembre 2021</strong>, une mise à jour du plugin All In One SEO est disponible afin de corriger ces deux failles de sécurité. La version à installer pour être protégé est <strong>All In One SEO 4.1.5.3</strong>. Le changelog du plugin précise : "<em>Updated: Security hardening for REST API endpoints</em>". Toutes les versions du plugin entre la 4.0.0 et la 4.1.5.2 sont vulnérables.</p>
<p>Si vous avez un site WordPress et que vous utilisez ce plugin, <strong>la mise à jour doit être réalisée sans attendre</strong>, mais c'est peut-être déjà fait, dans ce cas c'est tant mieux. Compte tenu du nombre d'installations actives de ce plugin, c'est certain que des milliers de sites sont actuellement vulnérables même si la mise à jour est sortie il y a environ 2 semaines. Cette popularité pourrait intéresser les pirates également.</p>
<p><a href="https://www.bleepingcomputer.com/news/security/800k-wordpress-sites-still-impacted-by-critical-seo-plugin-flaw/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/wordpress-un-celebre-plugin-seo-contient-deux-failles-de-securite/">WordPress : un célèbre plugin SEO contient deux failles de sécurité !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48866
title: mRemoteNG : comment récupérer un mot de passe en clair ?
uri: mRemoteNG-comment-récupérer-un-mot-de-passe-en-clair
url: https://www.it-connect.fr/mremoteng-comment-recuperer-un-mot-de-passe-en-clair/
content:
<h2>I. Présentation</h2>
<p><strong>Dans ce tutoriel, nous allons voir comment récupérer les mots de passe en clair au sein du logiciel mRemoteNG, en exploitant une fonction interne du logiciel.</strong></p>
<p>Le logiciel <a href="https://mremoteng.org/" target="_blank" rel="nofollow noopener">mRemoteNG</a> est un - très bon - fork open source du logiciel mRemote qui permet de centraliser les connexions distantes vers vos équipements et serveurs. Il supporte de nombreuses méthodes de connexion : SSH, Web, RDP, VNC, etc... Et comme tous les gestionnaires de connexion de ce type, il offre la possibilité de <strong>mémoriser les mots de passe</strong>.</p>
<p>Si l'on souhaite récupérer un mot de passe enregistrer, on ne peut pas tout simplement faire un copier-coller de la valeur, car c'est bloqué par le logiciel. Néanmoins, en exploitant la fonctionnalité "<strong>Outils externes</strong>" de mRemoteNG, on peut récupérer un mot de passe en clair assez facilement, c'est ce que nous allons voir.</p>
<h2>II. mRemoteNG : récupérer les mots de passe</h2>
<p>Ouvrez mRemoteNG et cliquez sur le menu "<strong>Outils</strong>" puis "<strong>Outils externes</strong>".</p>
<p><img class="aligncenter size-full wp-image-48870" src="media/0e6bdc01.mremoteng-voir-mot-de-passe-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-01.png" alt="" width="367" height="164" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-01.png 367w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-01-150x67.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-01-50x22.png 50w" sizes="(max-width: 367px) 100vw, 367px" /></p>
<p>Vous avez peut-être déjà déclaré des outils externes. Peu importe. Cliquez sur "<strong>Nouveau</strong>" pour ajouter une entrée.</p>
<p><img class="aligncenter size-full wp-image-48869" src="media/2f76342f.mremoteng-voir-mot-de-passe-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-02.png" alt="" width="800" height="121" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-02.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-02-550x83.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-02-150x23.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-02-768x116.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-02-50x8.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Donnez un nom à cet outil externe, par exemple "<strong>Voir mdp</strong>", et remplissez les deux champs suivants :</p>
<ul>
<li><strong>Nom du fichier</strong> : "<em>cmd</em>", pour appeler l'Invite de commandes</li>
<li><strong>Arguments</strong> : "<em>/k echo %password%</em>" pour afficher le mot de passe dans la console</li>
</ul>
<p>En fait, en regardant dans la documentation de mRemoteNG, <strong>on peut voir qu'il y a plusieurs variables que l'on peut utiliser au sein des outils externes</strong> (%password%, %hostname%, %macaddress%, etc...) donc il suffit de détourner l'utilisation de la variable <em>%password%</em> pour l'afficher à l'écran ! En temps normal, cela permet de passer la variable <em>%password%</em> comme argument pour un autre outil.</p>
<p><img class="aligncenter size-full wp-image-48868" src="media/9df34046.mremoteng-voir-mot-de-passe-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-03.png" alt="" width="800" height="212" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-03.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-03-550x146.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-03-150x40.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-03-768x204.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-03-50x13.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Désormais, l'outil externe est prêt. Effectuez un clic droit sur une entrée où vous avez enregistré un mot de passe, puis sous "<strong>Outils externes</strong>", cliquez sur "<strong>Voir mdp</strong>".</p>
<p><img class="aligncenter wp-image-48867 size-full" src="media/81eb8b04.mremoteng-voir-mot-de-passe-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-04.png" alt="mRemoteNG voir mot de passe en clair" width="800" height="213" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-04.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-04-550x146.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-04-150x40.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-04-768x204.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/mremoteng-voir-mot-de-passe-04-50x13.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p><strong>Une console avec le mot de passe en clair va s'ouvrir à l'écran !</strong> Voilà, vous n'avez plus qu'à récupérer la valeur et à répéter l'opération sur d'autres entrées si nécessaires. Si vous le souhaitez, vous pouvez supprimer l'outil que l'on vient de créer à partir de la section "<strong>Outils externes</strong>" de mRemoteNG.</p>
<p>Je pense que cette petite astuce sera utile à tous les utilisateurs de mRemoteNG !</p>The post <a href="https://www.it-connect.fr/mremoteng-comment-recuperer-un-mot-de-passe-en-clair/">mRemoteNG : comment récupérer un mot de passe en clair ?</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49000
title: DuckDuckGo développe son propre navigateur pour desktop
uri: DuckDuckGo-développe-son-propre-navigateur-pour-desktop
url: https://www.it-connect.fr/duckduckgo-developpe-son-propre-navigateur-pour-desktop/
content:
<p><strong>La popularité du moteur de recherche DuckDuckGo continue d'augmenter et un navigateur pour les systèmes d'exploitation Desktop sera proposé courant 2022.</strong></p>
<p>DuckDuckGo est un moteur de recherche qui se veut respectueux de votre vie privée. Le principe est simple : lorsque vous effectuez une recherche, il ne la mémorise pas et aucune information n'est conservée. Accessible sur ordinateur à partir de n'importe quel navigateur Internet, DuckDuckGo existe sur mobile sous la forme d'une application et d'un navigateur Internet dédié.</p>
<p>Ce navigateur <strong>DuckDuckGo pour mobile est disponible pour Android et iOS</strong>, et il fait tout pour protéger votre vie privée lorsque vous l'utilisez pour naviguer depuis votre smartphone ou votre tablette. Par exemple, il intègre une fonction qui permet d'effacer toutes les données et tout l'<span style="text-decoration: underline;">historique local</span> très facilement.</p>
<p>Pour aller plus loin, <strong>DuckDuckGo souhaite propose un navigateur pour desktop</strong>, et ce dernier devrait voir le jour sur macOS dans un premier temps, puis ensuite probablement sur Linux et Windows. L'objectif est de proposer <strong>un navigateur léger, simple et qui bloquera les différents trackers</strong> lorsque vous naviguez sur Internet. Contrairement à beaucoup d'autres navigateurs,<strong> ce ne sera pas un fork de Chromium</strong>. En effet, le navigateur DuckDuckGo devrait plutôt s'appuyer sur le moteur de rendu propre à chaque système d'exploitation, par exemple sur macOS il s'agit de WebKit.</p>
<p>Si vous avez un Mac et que vous souhaitez devenir bêta-testeur pour DuckDuckGo, vous pouvez contacter Beah Burger-Lenehan, cheffe produit DuckDuckGo, via Twitter.</p>
<blockquote class="twitter-tweet">
<p dir="ltr" lang="en">Want to be one of the very first people to try DuckDuckGo's macOS desktop app? I could use a few more beta users this week. DM me. <a href="https://t.co/aXoidvJNed">https://t.co/aXoidvJNed</a></p>
<p>— beah burger-lenehan (@beahbl) <a href="https://twitter.com/beahbl/status/1473275775868669952?ref_src=twsrc%5Etfw">December 21, 2021</a></p></blockquote>
<p><script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></p>
<p>Au sein d'<a href="https://spreadprivacy.com/duckduckgo-2021-review/" target="_blank" rel="nofollow noopener">un article de blog officiel</a>, DuckDuckGo précise que d'après les premiers essais, leur navigateur est beaucoup plus rapide que Chrome, tout en étant aussi plus propre et plus respectueux de la vie privée. L'occasion de glisser un petit tacle à Google et son navigateur Chrome. Quoi qu'il en soit, ce navigateur DuckDuckGo s'annonce prometteur : à voir ce que cela peut donner dans la pratique.</p>The post <a href="https://www.it-connect.fr/duckduckgo-developpe-son-propre-navigateur-pour-desktop/">DuckDuckGo développe son propre navigateur pour desktop</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48795
title: Recherchez tous les comptes correspondants à un pseudo avec Sherlock
uri: Recherchez-tous-les-comptes-correspondants-à-un-pseudo-avec-Sherlock
url: https://www.it-connect.fr/recherchez-tous-les-comptes-correspondants-a-un-pseudo-avec-sherlock/
content:
<h2>I. Présentation</h2>
<p>Si je vous dis "<em>Sherlock</em>", vous allez me répondre "<em>Holmes</em>". Et bien, on pourrait dire que l'outil "<strong>Sherlock</strong>" aurait pu servir au célèbre détective privé Sherlock Holmes si ses histoires avaient eu lieu à l'époque d'Internet et des réseaux sociaux.</p>
<p><strong>Sherlock est un outil développé en Python qui va analyser de nombreux sites Internet à la recherche d'un pseudonyme spécifique.</strong> Autrement dit, vous précisez un pseudonyme et il va trouver tous les comptes correspondants à ce pseudo sur un ensemble de sites (<strong>323 sites à l'heure actuelle</strong>) : GitHub, Spotify, Twitter, Pinterest, Gravatar, Facebook, Reddit, Mastodon, WordPress.org, JeuxVideo.com, Bitwarden Forum, Flickr, Nextcloud Forum, TikTok, VirusTotal, Wikipédia, Steam, etc.</p>
<p>C'est un outil à classer directement dans la catégorie "<strong>OSINT</strong>" (<em>Open Source Intelligence</em>) puisqu'il s'appuie uniquement sur des informations accessibles publiquement.</p>
<p>Pourquoi utiliser Sherlock ou un outil similaire ? Je vois deux raisons pour lesquelles on peut souhaiter utiliser cet outil :</p>
<ul>
<li><strong>Surveiller l'utilisation d'une marque, de son nom, de son pseudo</strong></li>
</ul>
<p>En recherchant le nom de votre site Web, de votre marque, votre pseudo ou encore votre nom, vous pouvez identifier les faux comptes éventuels qui utilisent vos informations. On parlera alors de <strong>cybersquattage</strong>. Même si vous n'êtes peut-être pas le seul à utiliser votre pseudonyme et qu'il y a peut-être d'autres personnes qui ont le même nom et le même prénom que vous, cette recherche automatisée avec Sherlock est intéressante.</p>
<ul>
<li><strong>Préparer une attaque informatique ciblée</strong></li>
</ul>
<p>Afin de préparer une cyberattaque, un attaquant peut avoir besoin de Sherlock dans sa trousse d'outils notamment pour se renseigner sur sa cible. Cela peut également donner des indications sur les solutions utilisées au sein de l'entreprise de la cible : si l'on sait que l'utilisateur avec le pseudo "<em>hello123</em>" est l'administrateur système de l'entreprise XYZ et que l'on voit qu'il a un compte sur le forum de NextCloud, cela peut vouloir dire qu'il utilise NextCloud dans son entreprise (ou sur son NAS à la maison). Une information qui peut avoir de l'importance.</p>
<p>Avec Sherlock, <strong>on se rend compte assez rapidement que pour rester furtif sur Internet et essayer de respecter au maximum sa vie privée, il vaut mieux diversifier les pseudos utilisés sur les différents sites.</strong> Sinon, on peut réussir à collecter des informations au sujet d'un individu à partir de différentes sources.</p>
<p>Le projet Sherlock est sous licence MIT et il est disponible sur GitHub à cette adresse : <a href="https://github.com/sherlock-project/sherlock" target="_blank" rel="nofollow noopener">GitHub - Sherlock</a></p>
<p><strong>Note</strong> : pour la suite de ce tutoriel, je vais utiliser <strong>Kali Linux</strong> 2021.4 mais vous pouvez utiliser une autre distribution.</p>
<h2>II. Installation de Sherlock</h2>
<p>Afin d'utiliser Sherlock sur notre machine, nous allons cloner le projet avec Git. Si besoin, vous pouvez installer Git avec la commande suivante :</p>
<pre>sudo apt-get update
sudo apt-get install -y <span style="color: #00ffff;">git</span></pre>
<p>Une fois que c'est fait, je vous invite à cloner Sherlock :</p>
<pre><span class="pl-s1">git clone https://github.com/sherlock-project/sherlock.git</span></pre>
<figure id="attachment_48805" aria-describedby="caption-attachment-48805" style="width: 800px" class="wp-caption aligncenter"><img class="wp-image-48805 size-full" src="media/29e88303.tuto-sherlock-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-02.png" alt="Cloner le projet Sherlock depuis Git" width="800" height="160" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-02.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-02-550x110.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-02-150x30.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-02-768x154.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-02-50x10.png 50w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption id="caption-attachment-48805" class="wp-caption-text">Cloner le projet Sherlock depuis Git</figcaption></figure>
<p>Vous allez obtenir un répertoire nommé "sherlock" au sein de votre dossier actuel. Nous allons nous déplacer dans ce dossier :</p>
<pre>cd sherlock/</pre>
<p>À l'aide de Python et du gestionnaire de paquets Pip, nous allons installer Sherlock (et ses prérequis). Avant cela, vous devez installer Python 3 et Pip sur votre machine, si ce n'est pas déjà fait. Voici les commandes à exécuter :</p>
<pre>sudo apt-get install -y python3 pip</pre>
<p>Une fois que c'est fait, on va déclencher l'installation avec cette commande :</p>
<pre><span class="pl-s1">python3 -m pip install -r requirements.txt</span></pre>
<figure id="attachment_48804" aria-describedby="caption-attachment-48804" style="width: 800px" class="wp-caption aligncenter"><img class="size-full wp-image-48804" src="media/71738a1d.tuto-sherlock-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-03.png" alt="Installation de Sherlock" width="800" height="383" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-03.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-03-550x263.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-03-150x72.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-03-768x368.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-03-50x24.png 50w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption id="caption-attachment-48804" class="wp-caption-text">Installation de Sherlock</figcaption></figure>
<p>Voilà, nous pouvons passer à l'utilisation de Sherlock.</p>
<h2>III. Utilisation de Sherlock</h2>
<p>Commençons par afficher l'aide de Sherlock. Pour cela, il suffit d'exécuter la commande suivante :</p>
<pre>python3 sherlock --help</pre>
<figure id="attachment_48806" aria-describedby="caption-attachment-48806" style="width: 800px" class="wp-caption aligncenter"><img class="size-large wp-image-48806" src="media/4ee58b97.tuto-sherlock-01-800x359.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-01-800x359.jpg" alt="Afficher l'aide de l'outil Sherlock" width="800" height="359" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-01-800x359.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-01-550x247.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-01-150x67.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-01-768x345.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-01-50x22.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-01.jpg 1000w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption id="caption-attachment-48806" class="wp-caption-text">Afficher l'aide de l'outil Sherlock</figcaption></figure>
<p>Pour utiliser Sherlock de façon simple, il n'y a pas trop à chercher puisqu'il suffit de préciser le pseudo à rechercher. Par exemple, si l'on imagine que l'on souhaite rechercher le pseudo "florian", on exécute :</p>
<pre>python3 sherlock <span style="color: #00ffff;">florian</span></pre>
<p>Le script va travailler pour nous et l'analyse va durer plusieurs minutes. Soyez patient si vous désirez un résultat complet. Voici un exemple pour le pseudo "florian" qui est bien trop générique pour être précis mais c'est un exemple (ce n'est pas mon pseudo, je tiens à le préciser, ahah).</p>
<blockquote><p><strong>Note</strong> : l'option<strong> --tor</strong> vous permet d'effectuer la recherche en utilisant le réseau Tor mais cela nécessite que Tor soit installé sur votre machine.</p></blockquote>
<p>Au final, <strong>on obtient une liste des sites pour lesquels Sherlock a trouvé une correspondance</strong> et à chaque fois il y a le lien vers le profil.</p>
<figure id="attachment_48807" aria-describedby="caption-attachment-48807" style="width: 800px" class="wp-caption aligncenter"><img class="size-full wp-image-48807" src="media/7f23e541.tuto-sherlock-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-04.png" alt="Recherche d'un pseudo avec Sherlock" width="800" height="486" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-04.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-04-550x334.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-04-150x91.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-04-768x467.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/tuto-sherlock-04-50x30.png 50w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption id="caption-attachment-48807" class="wp-caption-text">Recherche d'un pseudo avec Sherlock</figcaption></figure>
<p>Si vous souhaitez rechercher plusieurs pseudos, vous pouvez les ajouter les uns à la suite des autres, par exemple :</p>
<pre>python3 sherlock <span style="color: #00ffff;">florian1 florian2</span></pre>
<p>Sachez qu'en plus de la sortie dans la console, un fichier TXT par pseudo sera créé dans le dossier de "Sherlock", ce qui vous permet de consulter les résultats ultérieurement.</p>
<p>Pour finir, nous allons voir quelques options de l'outil Sherlock. Pour réaliser un export CSV plutôt qu'au format TXT, il faut ajouter cette option :</p>
<pre>python3 sherlock florian <span style="color: #00ffff;">--csv</span></pre>
<p>Vous allez obtenir un fichier CSV avec le format suivant :</p>
<pre>username,name,url_main,url_user,exists,http_status,response_time_s
florian,WordPress,https://wordpress.com,https://florian.wordpress.com/,Claimed,200,0.363991595000698</pre>
<p>Si vous souhaitez afficher toute la liste des sites sur lesquels Sherlock a effectué la recherche, y compris les sites où il n'a rien trouvé, vous devez ajouter l'option suivante :</p>
<pre>python3 sherlock florian <span style="color: #00ffff;">--print-all</span></pre>
<p>Enfin, pour effectuer une recherche uniquement sur un site, vous pouvez utiliser l'option "<strong>--site</strong>" de cette façon :</p>
<pre>python3 sherlock florian --site WordPress</pre>
<p>Le résultat retourné correspondra uniquement à ce site, de quoi faire une requête ciblée rapidement. La liste des sites est accessible dans le fichier "<strong>sites.md</strong>" situé dans le répertoire de Sherlock.</p>
<p><strong>Alors, dites-moi tout, qui va effectuer une recherche sur son pseudo ou son nom ?</strong></p>The post <a href="https://www.it-connect.fr/recherchez-tous-les-comptes-correspondants-a-un-pseudo-avec-sherlock/">Recherchez tous les comptes correspondants à un pseudo avec Sherlock</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48625
title: Forensic – EngineX : scan réseau et protocole industriel
uri: Forensic-EngineX-scan-réseau-et-protocole-industriel
url: https://www.it-connect.fr/forensic-enginex-scan-reseau-et-protocole-industriel/
content:
<h2>I. Présentation</h2>
<p>Nous continuons notre suite d'articles sur le CTF du FIC 2021 proposé par l'école EPITA afin de découvrir<strong> certains outils et méthodes de forensic</strong> (investigation numérique). Dans cet article, nous allons nous pencher sur l'<strong>analyse de traces réseau contenant un protocole propriétaire permettant de gérer des automates industriels.</strong></p>
<p>Nous allons à nouveau utiliser logiciel <strong>Wireshark</strong> et quelques-unes de ses fonctionnalités.</p>
<h2>II. Contexte : Panic on board - EngineX</h2>
<p>Le <strong>contexte de l'incident</strong> sur lequel nous intervenons est le suivant : <strong>Un bateau de croisière de la compagnie maritime ArMor, a subi une panne et se retrouve bloqué en pleine mer.</strong></p>
<p>Dans la phase précédente, nous avons identifié dans différentes traces réseau le fait que l'attaquant ait mis la main sur les éléments d'authentification VPN d'un utilisateur légitime. Le contexte de cette troisième étape de l'analyse est le suivant : </p>
<p><em>Bienvenue à bord à vous et à votre équipe ! Pour déterminer la cause de l’arrêt soudain des moteurs, vous disposez à présent d’une capture réseau réalisée sur le SeaCastle. À vous de trouver les actions louches sur le réseau interne du fleuron de la flotte d’ArMor !</em></p>
<p>Ici, une trace réseau nous est fournie :</p>
<ul>
<li><em>SeaCastle_suspect.pcap</em></li>
</ul>
<p> Nous devons répondre aux questions suivantes afin de compléter cette troisième étape de l'analyse :</p>
<ul>
<li>
<div class="form-group mb-3"><label for="sol_undefined408_0">IP qui semble scanner le réseau;</label></div>
</li>
<li>
<div class="form-group mb-3"><label for="sol_undefined408_0"></label><label for="sol_undefined409_0">le protocole utilisé pour effectuer l'attaque;</label></div>
</li>
<li>
<div class="form-group mb-3"><label for="sol_undefined410_0">le code de fonction des ordres suspects envoyés aux automates;</label></div>
</li>
<li>
<div class="form-group mb-3"><label for="sol_undefined411_0">le nombre d'automates arrêtés par l'attaque.</label></div>
</li>
</ul>
<p>N'oublions pas de vérifier l'intégrité de la trace récupérée (le hash BLAKE2 est fourni avec le fichier sur le site du challenge) :</p>
<pre>$<span style="color: #00ffff;"> b2sum </span><em><span style="color: #00ffff;">SeaCastle_suspect.pcap</span><br /></em>ce16940ae28744b6eb2179c2cfc6974581234403407602b3835bf4c7496e967e78f602208d907900100250946a052490d2385636553dd8d680317ba8d8e2447c SeaCastle_suspect.pcap</pre>
<p>Vous trouverez le challenge en question et les fichiers utilisés dans cet article ici : <a title="Panic On Board - EngineX" href="https://fic.srs.epita.fr/2021/Panic-on-board/EngineX" target="_blank" rel="noopener">Panic On Board - EngineX</a></p>
<h2>III. Détecter un scan réseau dans un PCAP</h2>
<p>Notre premier objectif est ici de <strong>détecter un scan réseau</strong> et de <strong>retrouver l'adresse IP</strong> du poste émetteur de ce scan. Pour cela, il faut comprendre ce qu'est un scan réseau.</p>
<p>Un scan réseau est une action menée afin de <strong>découvrir les hôtes actifs d'un réseau et les services qu'ils hébergent</strong>, il peut aller jusqu'à chercher à <strong>identifier ses services</strong> (technologies, versions, faiblesses de configuration). L'outil le plus utilisé pour la réalisation d'un scan réseau est le fameux <em>nmap</em>, bien que de nombreux autres existent aujourd'hui (<em>masscan</em>, <em>ping, nessus,</em> etc.). Dans les cas les plus classiques, une adresse IP va donc chercher à savoir si d'autres adresses IP sur le même réseau local sont actives, par l'intermédiaire d'un simple ping ou l'envoi d'un paquet sur les services les plus communs (TCP/22, TCP/445, TCP/80 par exemple).</p>
<p>Lorsqu'une adresse IP est détectée comme valide par l'outil de scan, celui-ci va ensuite chercher à<strong> énumérer tous les services hébergés par cette adresse IP</strong>.</p>
<p>Maintenant que nous avons une meilleure vue sur ce qu'est un scan réseau, il est temps de "traduire" cela en <strong>comportement réseau pouvant être présent dans notre capture</strong>. Nous allons dans un premier temps tenter d'identifier qui a le plus "parlé" au sein de cette capture réseau.</p>
<p>Notre capture réseau contient plus de 196 000 paquets, <strong>l'analyse de ces derniers à la main <em>via</em> un <em>scrolling</em> furieux n'est donc pas une option</strong>. Comme dans l'article précédent, nous allons utiliser la fonction <em>Endpoints</em> de Wireshark :</p>
<figure id="attachment_48757" aria-describedby="caption-attachment-48757" style="width: 800px" class="wp-caption aligncenter"><a href="media/0b1615a2.Forensic-panicOnBoard-EngineX-wireshark-endpoint.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint.png"><img class="size-large wp-image-48757" src="media/a47162a2.Forensic-panicOnBoard-EngineX-wireshark-endpoint-800x253.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-800x253.png" alt="Utilisation de la fonction endpoints de Wireshark" width="800" height="253" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-800x253.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-550x174.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-150x47.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-768x243.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-50x16.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint.png 975w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48757" class="wp-caption-text">Utilisation de la fonction <em>Endpoints</em> de Wireshark</figcaption></figure>
<p>L'adresse IP <em>192.168.101.31</em> sort un peu du lot, et elle est première toutes catégories confondues (nombre de paquets émis/reçus, volumétrie des échanges, etc). Il s'agit d'un <strong>indice intéressant, mais trop faible</strong> pour affirmer avec certitude que c'est cette adresse IP qui est la source d'un scan réseau. L'accès à la fonction <em>Statistiques - IPv4 Statistics - Source and Destination</em> nous confirme ce constat, l'adresse <em>192.168.101.31</em> est concernée par 94% (la majorité) des échanges contenus dans cette capture réseau : </p>
<figure id="attachment_48758" aria-describedby="caption-attachment-48758" style="width: 800px" class="wp-caption aligncenter"><a href="media/d00709fd.Forensic-panicOnBoard-EngineX-wireshark-statistics-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-01.png"><img class="size-large wp-image-48758" src="media/05e2ba3a.orensic-panicOnBoard-EngineX-wireshark-statistics-01-800x488.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-01-800x488.png" alt="Accès à la fonction Statistics IPv4 - All Addresses de Wireshark" width="800" height="488" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-01-800x488.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-01-550x335.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-01-150x91.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-01-768x468.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-01-50x30.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-01.png 1197w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48758" class="wp-caption-text">Accès à la fonction Statistics IPv4 - All Addresses de Wireshark</figcaption></figure>
<p>Une autre option nous permet de<strong> détecter clairement qu'un scan réseau a eu lieu</strong> sans avoir à parcourir manuellement les paquets : <em>Statistiques - IPv4 Statistics - Destinations and ports</em> :</p>
<figure id="attachment_48761" aria-describedby="caption-attachment-48761" style="width: 800px" class="wp-caption aligncenter"><a href="media/454e13fb.Forensic-panicOnBoard-EngineX-wireshark-statistics-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-02.png"><img class="size-large wp-image-48761" src="media/063202d1.orensic-panicOnBoard-EngineX-wireshark-statistics-02-800x576.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-02-800x576.png" alt="Utilisation de la fonction Statitics - Destinations and Ports" width="800" height="576" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-02-800x576.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-02-550x396.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-02-150x108.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-02-768x553.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-02-50x36.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-02.png 1247w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48761" class="wp-caption-text">Utilisation de la fonction <em>Statistics - Destinations and Ports</em></figcaption></figure>
<p>Ici, nous voyons que sur <strong>plusieurs adresses IP du même sous-réseau</strong>, des<strong> échanges très brefs</strong> (1 ou 2 paquets) ont été réalisés systématiquement sur les mêmes ports, ce qui est exactement le comportement qu'adoptent les outils de scan réseau pour tester la présence d'un service sur un ensemble d'adresses IP. Terminons cette section avec la fonction <em>Statistiques - Conversations</em>, qui va nous permettre de visualiser l'ensemble des échanges émis par adresse source, destination et port :</p>
<figure id="attachment_48759" aria-describedby="caption-attachment-48759" style="width: 800px" class="wp-caption aligncenter"><a href="media/4fb324de.Forensic-panicOnBoard-EngineX-wireshark-statistics-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-03.png"><img class="size-large wp-image-48759" src="media/6767f70f.orensic-panicOnBoard-EngineX-wireshark-statistics-03-800x508.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-03-800x508.png" alt="Utilisation de la fonction Conversations de Wireshark" width="800" height="508" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-03-800x508.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-03-550x349.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-03-150x95.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-03-768x487.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-03-50x32.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-03.png 1451w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48759" class="wp-caption-text">Utilisation de la fonction Conversations de Wireshark</figcaption></figure>
<p>En se rendant sur l'onglet <em>TCP</em> puis en regardant les colonnes<em> Address A</em> (IP source) et <i>Port B</i> (port destination), on se rend compte que l'adresse IP <em>192.168.101.19</em> a communiqué avec un grand nombre d'hôtes, systématiquement sur les mêmes ports. Nous pouvons donc<strong> affirmer que l'adresse IP source du scan réseau est donc celle-ci</strong> et non <em>192.168.101.31</em>, qui est l'adresse IP la plus bavarde, mais qui n'a échangé qu'avec 5 hôtes différents :</p>
<figure id="attachment_48760" aria-describedby="caption-attachment-48760" style="width: 800px" class="wp-caption aligncenter"><a href="media/ca0eda64.Forensic-panicOnBoard-EngineX-wireshark-statistics-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-04.png"><img class="size-large wp-image-48760" src="media/db55787c.orensic-panicOnBoard-EngineX-wireshark-statistics-04-800x337.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-04-800x337.png" alt="Utilisation de la fonction Statistiques - Conversations avec l'application d'un filtre par IP" width="800" height="337" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-04-800x337.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-04-550x231.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-04-150x63.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-04-768x323.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-04-50x21.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-statistics-04.png 1081w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48760" class="wp-caption-text">Utilisation de la fonction <em>Statistiques - Conversations</em> avec l'application d'un filtre par IP</figcaption></figure>
<p>Dans la capture ci-dessus, le fait de cocher la case <em>Limiter au Filtre d'Affichage</em> permet d'avoir une <strong>vue des conversations concernant uniquement l'adresse IP choisie</strong>.</p>
<p>Sans avoir parcouru aucun paquet et<strong> uniquement <em>via</em> les fonctions statistiques</strong> de Wireshark, nous pouvons donc <strong>affirmer qu'un scan réseau a eu lieu</strong> et<strong> identifier l'adresse IP source</strong> de ce scan réseau : <em>192.168.101.19.</em></p>
<p>Dans le framework MITRE ATT&amp;CK, la technique du scan réseau est référencé <a title="T1046 Network Service Scanning" href="https://attack.mitre.org/techniques/T1046/" target="_blank" rel="noopener">T1046 Network Service Scanning</a>.</p>
<p>Il est ici intéressant de retenir, en plus des<strong> différentes fonctions de statistique très utiles de Wireshark</strong>, le fait qu'un<strong> scan réseau n'est pas forcément l'échange le plus verbeux sur une trace réseau</strong>. L'échange d'un fichier de 100 Mo réalisé en même temps que la capture du scan réseau suffira à semer le trouble si l'on analyse uniquement la volumétrie des échanges.</p>
<h2>IV. Analyse d'échanges SIEMENS S7</h2>
<p>La prochaine étape de l'investigation consiste à<strong> étudier ce qu'a fait l'attaquant à la suite de ce scan réseau</strong>. Pour cela, nous utiliserons la même trace réseau. Nous devons chercher dans un premier temps le protocole utilisé pour effectuer l'attaque. À nouveau, la fonction <em>Conversations</em> va nous aider à cibler nos recherches, au-delà du scan réseau émis par l'adresse IP <em>192.168.101.19</em>,<strong> il se passe clairement quelque chose à destination des ports TCP/102</strong> des systèmes présents sur le réseau :</p>
<p><a href="media/9f0434bf.Forensic-panicOnBoard-EngineX-wireshark-conversations-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-conversations-01.png"><img class="aligncenter size-large wp-image-48826" src="media/44b3cf9e.nsic-panicOnBoard-EngineX-wireshark-conversations-01-800x284.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-conversations-01-800x284.png" alt="" width="800" height="284" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-conversations-01-800x284.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-conversations-01-550x195.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-conversations-01-150x53.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-conversations-01-768x272.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-conversations-01-50x18.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-conversations-01.png 1038w" sizes="(max-width: 800px) 100vw, 800px" /></a></p>
<p>Nous pouvons donc appliquer <strong>un filtre dans Wireshark sur les paquets qui ont pour source ou destination ce port</strong>, et qui concernent l'adresse IP <em>192.168.101.19</em>.</p>
<pre>ip.src==<span style="color: #00ffff;">192.168.101.19</span> &amp;&amp; tcp.port==<span style="color: #00ffff;">102</span></pre>
<figure id="attachment_48850" aria-describedby="caption-attachment-48850" style="width: 800px" class="wp-caption aligncenter"><a href="media/67b7c5ab.Forensic-panicOnBoard-EngineX-filtre-s7COMM-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-01.png"><img class="size-large wp-image-48850" src="media/87cf6642.Forensic-panicOnBoard-EngineX-filtre-s7COMM-01-800x379.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-01-800x379.png" alt="Filtre sur le port relatif aux communications S7COMM (Port TCP/102)" width="800" height="379" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-01-800x379.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-01-550x261.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-01-150x71.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-01-768x364.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-01-50x24.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-01.png 1030w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48850" class="wp-caption-text">Filtre sur le port relatif aux communications S7COMM (Port TCP/102)</figcaption></figure>
<p>Nous nous retrouvons alors avec 374 paquets, ce qui devient plus gérable pour une analyse manuelle :). Nous voyons notamment apparaitre le protocole <strong>S7COMM</strong>. </p>
<p>Le protocole S7COMM est, d'après <a title="S7 Communication (S7comm)" href="https://wiki.wireshark.org/S7comm" target="_blank" rel="noopener">cette source</a>, utilisé pour le<strong> contrôle à distance d'automates</strong> <strong>de la famille S7-300/400 de la marque Siemens</strong>. Dans le monde industriel, un automate peut également être appelé <strong>PLC (<em>programmable logic controllers</em>)</strong>. Il s'agit donc dans notre contexte <strong>de systèmes pouvant recevoir des ordres par le réseau TCP/IP et qui ont également une action physique dans la vie réelle</strong>, principe même des systèmes industriels (gestion d'un bras mécanique, d'une porte automatique, etc.).</p>
<p><b>Mais comment Wireshark détermine-t-il un protocole ?</b></p>
<p>Wireshark <strong>utilise des dissecteurs pour déterminer et "décoder" correctement le contenu d'un paquet.</strong> Il s'agit simplement de <em>parsers</em> de protocoles qui permettent d'identifier son contenu et de l'afficher correctement dans l'interface graphique, les paquets des couches 2, 3 et 4 intègrent directement une indication sur le protocole de niveau supérieur qu'ils contiennent :</p>
<figure id="attachment_48851" aria-describedby="caption-attachment-48851" style="width: 800px" class="wp-caption aligncenter"><a href="media/d5d68b91.Forensic-panicOnBoard-EngineX-wireshark-protocole-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-protocole-01.png"><img class="size-large wp-image-48851" src="media/076c6f73.Forensic-panicOnBoard-EngineX-wireshark-protocole-01-800x740.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-protocole-01-800x740.png" alt="Indication des protocles de niveaux supérieur pour les couches 2, 3 et 4" width="800" height="740" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-protocole-01-800x740.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-protocole-01-550x509.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-protocole-01-150x139.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-protocole-01-768x711.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-protocole-01-50x46.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-protocole-01.png 950w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48851" class="wp-caption-text">Indication des protocoles de niveaux supérieurs pour les couches 2, 3 et 4</figcaption></figure>
<p>Pour déterminer quel protocole est utilisé au-delà de la couche 4 (TCP/UDP) : cela se complique un peu et sachez que <strong>Wireshark peut ici faire des erreurs</strong>, car il essaye de deviner le protocole utilisé à partir de plusieurs critères comme des <strong>champs caractéristiques, le numéro de port source ou destination</strong>, etc... (Source : <a title="Control Protocol dissection" href="https://www.wireshark.org/docs/wsug_html_chunked/ChCustProtocolDissectionSection.html#:~:text=As%20Wireshark%20tries%20to%20find%20the%20right%20dissector%20for%20each%20packet%20(using%20static%20%E2%80%9Croutes%E2%80%9D%20and%20heuristics%20%E2%80%9Cguessing%E2%80%9D),%20it%20might%20choose%20the%20wrong%20dissector%20in%20your%20specific%20case" target="_blank" rel="noopener">11.4. Control Protocol dissection</a>).</p>
<p>Une fois qu'un protocole a été identifié par Wireshark, celui-ci utilise le <strong>dissecteur associé qui va "traduire" le format hexadécimal que vous voyez en bas de votre fenêtre en sections lisibles. </strong>Si l'on s'intéresse aux paquets qui utilisent le protocole S7COMM, nous pouvons voir que Wireshark a déjà ordonné le contenu du paquet dans différentes sections en utilisant d'ailleurs un dissecteur <a title="S7 Communication (S7comm)" href="https://wiki.wireshark.org/S7comm" target="_blank" rel="noopener">documenté sur son site officiel</a> :</p>
<figure id="attachment_48854" aria-describedby="caption-attachment-48854" style="width: 730px" class="wp-caption aligncenter"><a href="media/a2ffa570.Forensic-panicOnBoard-EngineX-filtre-s7COMM-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-02.png"><img class="wp-image-48854 size-full" src="media/a2ffa570.Forensic-panicOnBoard-EngineX-filtre-s7COMM-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-02.png" alt="Dissection du protocole S7COMM par Wireshark" width="730" height="360" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-02.png 730w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-02-550x271.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-02-150x74.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-02-50x25.png 50w" sizes="(max-width: 730px) 100vw, 730px" /></a><figcaption id="caption-attachment-48854" class="wp-caption-text">Dissection du protocole S7COMM par Wireshark</figcaption></figure>
<p>Lorsque Wireshark trouve une valeur hexadécimale à cet endroit précis d'un paquet identifié comme utilisant le protocole S7COMM, il sait que cette valeur sert à déterminer la fonction (l'ordre) envoyée par le paquet, c'est le dissecteur qui permet de faire cette "catégorisation/rangement" des valeurs hexadécimales.</p>
<p>Vous pouvez d'ailleurs <strong>ajouter votre propre dissecteur dans Wireshark</strong> dans le cas où vous tombez sur un protocole non encore pris en charge ou spécifique à votre contexte. On remarque notamment la partie <em>Function</em> qui contient l'instruction <em>0x29</em>, soit <em>PCL Stop</em>. Cela nous permet de répondre aux questions suivantes :</p>
<ul>
<li>
<div class="form-group mb-3"><label for="sol_undefined409_0">Le protocole utilisé pour effectuer l'attaque : S7COMM</label></div>
</li>
<li>
<div class="form-group mb-3"><label for="sol_undefined410_0">Le code de fonction des ordres suspects envoyés aux automates : 0x29</label></div>
</li>
</ul>
<p>Si l'on souhaite effectuer un <strong>filtre très précis sur tous les paquets du protocole S7COMM</strong> <strong>qui contiennent cette instruction</strong>, nous pouvons tenter de manuellement trouver les bons champs à indiquer dans le filtre, ou simplement faire un<em> Clic droit -&gt; Appliquer comme Filtre -&gt; Sélectionné</em> sur le champ <em>Function</em> d'un paquet contenant l'instruction <em>PLC Stop</em> :</p>
<figure id="attachment_48855" aria-describedby="caption-attachment-48855" style="width: 800px" class="wp-caption aligncenter"><a href="media/604ed5d6.Forensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01.png"><img class="size-large wp-image-48855" src="media/1256ec6d.orensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01-800x362.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01-800x362.png" alt="Application d'un filtre depuis le chmap du protocole s7COMM disséqué" width="800" height="362" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01-800x362.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01-550x249.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01-150x68.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01-768x347.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01-50x23.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-filtre-s7COMM-filter-01.png 1057w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48855" class="wp-caption-text">Application d'un filtre depuis le champ du protocole s7COMM disséqué</figcaption></figure>
<p>Wireshark appliquera alors automatiquement le filtre suivant : </p>
<pre>s7comm.param.func == 0x29</pre>
<p>Nous aurons alors la <strong>liste des paquets contenant cette instruction</strong> et nous pourrons avoir une <strong>liste toute jolie des adresses IP ciblées avec la fonction <em>Endpoints</em></strong> que vous connaissez bien à présent (n'oubliez pas de cocher la case <em>Limiter au Filtre d'Affichage</em> <img src="media/7d7d5e26.1f642.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /> ) :</p>
<figure id="attachment_48856" aria-describedby="caption-attachment-48856" style="width: 800px" class="wp-caption aligncenter"><a href="media/261e9724.Forensic-panicOnBoard-EngineX-wireshark-endpoint-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-01.png"><img class="size-large wp-image-48856" src="media/47cc3c0d.Forensic-panicOnBoard-EngineX-wireshark-endpoint-01-800x311.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-01-800x311.png" alt="Affichage de la liste des adresse IP concernées par le filtre appliqué" width="800" height="311" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-01-800x311.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-01-550x214.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-01-150x58.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-01-768x298.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-01-50x19.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-wireshark-endpoint-01.png 1282w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48856" class="wp-caption-text">Affichage de la liste des adresses IP concernées par le filtre appliqué</figcaption></figure>
<p>En excluant l'adresse IP de l'attaquant, nous pouvons donc répondre à notre dernière question :</p>
<ul>
<li><label for="sol_undefined411_0">Le nombre d'automates arrêtés par l'attaque : 6</label></li>
</ul>
<p>L'attaquant vise donc ici clairement l'arrêt des automates présents sur le réseau, dans le framework MITRE, qui possède un déclinaison spécifique au monde industriel, il s'agit de la <a title="T0826 Loss of Availability" href="https://collaborate.mitre.org/attackics/index.php/Technique/T0826" target="_blank" rel="noopener">T0826 Loss of Availability</a>.</p>
<p>Nous avons vu dans cette section que les<strong> dissecteurs intégrés à Wireshark</strong> nous permettent de <strong>comprendre un protocole industriel</strong> que ne nous ne connaissions pas du tout avant, la dissection des paquets (format hexadécimal vers un format plus ordonné et textuel) et l'une des forces de Wireshark. Les dissecteurs actifs peuvent être visualisés dans la fonction<em> Analyser -&gt; Protocoles activés</em> de Wireshark :</p>
<figure id="attachment_48858" aria-describedby="caption-attachment-48858" style="width: 800px" class="wp-caption aligncenter"><a href="media/9a697ee5.Forensic-panicOnBoard-EngineX-dissecteur-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-01.png"><img class="size-large wp-image-48858" src="media/dbd4421f.Forensic-panicOnBoard-EngineX-dissecteur-01-800x517.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-01-800x517.png" alt="Liste des dissecteurs activés sur Wireshark" width="800" height="517" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-01-800x517.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-01-550x355.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-01-150x97.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-01-768x496.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-01-50x32.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-01.png 986w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48858" class="wp-caption-text">Liste des dissecteurs activés sur Wireshark</figcaption></figure>
<p>Il faut cependant garder en tête que <strong>Wireshark peut se tromper dans la détermination d'un protocole pour un paquet</strong>, il est alors possible d'indiquer à Wireshark quel dissecteur utiliser pour quel port dans la section <em>Analyser -&gt; Décoder comme...</em> : </p>
<figure id="attachment_48857" aria-describedby="caption-attachment-48857" style="width: 732px" class="wp-caption aligncenter"><a href="media/3dbe8907.Forensic-panicOnBoard-EngineX-dissecteur.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur.png"><img class="size-full wp-image-48857" src="media/3dbe8907.Forensic-panicOnBoard-EngineX-dissecteur.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur.png" alt="Indication d'une liaison entre un port et un dissecteur dans Wireshark" width="732" height="226" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur.png 732w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-550x170.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-150x46.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Forensic-panicOnBoard-EngineX-dissecteur-50x15.png 50w" sizes="(max-width: 732px) 100vw, 732px" /></a><figcaption id="caption-attachment-48857" class="wp-caption-text">Indication d'une liaison entre un port et un dissecteur dans Wireshark</figcaption></figure>
<p>Dans cet exemple, j'indique à Wireshark de <strong>décoder les paquets sur les ports TCP/4000 comme de l'HTTP</strong>. </p>
<p>J'espère que cet article vous aura intéressé et qu'au-delà du scénario de forensic proposé par le challenge du FIC, vous aurez appris quelques astuces sur le fonctionnement et l'utilisation de Wireshark :). Le prochain article portera sur <strong>l'analyse plus approfondie d'un PDF embarquant un exécutable malveillant</strong>.</p>The post <a href="https://www.it-connect.fr/forensic-enginex-scan-reseau-et-protocole-industriel/">Forensic – EngineX : scan réseau et protocole industriel</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49033
title: Windows 11 : votre écran HDR s’affiche jaune ? Microsoft travaille sur un patch !
uri: Windows-11-votre-écran-HDR-s-affiche-jaune-Microsoft-travaille
url:
https://www.it-connect.fr/windows-11-votre-ecran-hdr-saffiche-jaune-microsoft-travaille-sur-un-patch/

content:
<p><strong>Sous Windows 11, un bug perturbe l'affichage des couleurs lorsque vous utilisez un écran compatible HDR. Résultat, le blanc est remplacé par du jaune. Microsoft travaille sur un correctif, mais il va falloir être patient, car il ne sera pas disponible avant fin janvier 2022 !</strong></p>
<p>J'imagine que certains d'entre vous ont dû tourner les paramètres de Windows dans tous les sens, à la recherche d'une mauvaise option qui sera activée et à l'origine de ce problème de couleurs. Vous allez pouvoir chercher longtemps, car c'est un bug au sein de Windows 11, et <strong>Microsoft explique que ce bug se produit au sein de certains programmes d'édition d'images et sur certains écrans HDR</strong>.</p>
<p>Le constat qui revient le plus souvent, c'est le blanc qui devient jaune, voire même jaune vif, même si dans certains cas d'autres couleurs sont impactées, c'est plus rare. La firme de Redmond précise que « c<em>e problème se produit lorsque certaines API Win32 de rendu des couleurs renvoient des informations inattendues ou des erreurs dans des conditions spécifiques</em> ».</p>
<p>Un correctif devrait voir le jour dans les prochaines semaines, et Microsoft parle de la fin janvier, ce qui fera surement un peu long pour les utilisateurs perturbés par ce bug. Je pense notamment aux personnes qui utilisent des outils créatifs sur Windows 10 où la couleur à son importance. Il va falloir patienter (ou changer d'écran...), car <strong>il n'y a pas de solution temporaire proposée par Microsoft donc la situation devrait durer encore environ 1 mois</strong>. Reste à savoir si la désactivation du HDR dans les paramètres de Windows 11 peut permettre de solutionner le problème temporairement, mais n'ayant pas d'écran HDR, je ne peux pas tester de mon côté (si quelqu'un a l'info, cela peut être cool de la partager).</p>
<p>Ce n'est pas le premier bug gênant remonté depuis la sortie de Windows 11 21H2, on se rappelle notamment des problèmes de performances, et ce ne sera surement pas le dernier.</p>
<p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-windows-11-bug-causes-hdr-color-rendering-issues/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/windows-11-votre-ecran-hdr-saffiche-jaune-microsoft-travaille-sur-un-patch/">Windows 11 : votre écran HDR s’affiche jaune ? Microsoft travaille sur un patch !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49030
title: Bon plan : Windows 11 offert pour l’achat d’une licence Office
uri: Bon-plan-Windows-11-offert-pour-l-achat-d-une-licence-Office
url: https://www.it-connect.fr/bon-plan-windows-11-offert-pour-lachat-dune-licence-office/
content:
<p><b>Dans le même esprit que sa vente flash d'avant Noël, le site GoDeal24 a décidé de poursuivre les festivités avec une dernière vente pour 2021 ! Ainsi, si vous achetez une licence Microsoft Office, vous pouvez obtenir gratuitement une licence Windows 10 ou Windows 11 ! Le tout bien sûr à des prix super attractifs.</b></p>
<p>Sans plus attendre, voici un récapitulatif des meilleures offres proposées.</p>
<p><strong><img src="media/23f0ee0f.2b50.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/2b50.png" alt="⭐" class="wp-smiley" style="height: 1em; max-height: 1em;" /> Licence Windows 11 gratuite pour l'achat d'une licence Office</strong></p>
<ul>
<li><a href="https://fr.godeal24.com/microsoft-office-2021-professional-plus-windows-11-pro-for-free.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Office 2021 Pro + Windows 11 Pro (gratuit)</a> - à 34,25€</li>
<li><a href="https://fr.godeal24.com/office-2019-professional-plus-windows-11-pro-for-free.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Office 2019 Pro + Windows 11 Pro (gratuit)</a> - à 31,25€</li>
<li><a href="https://fr.godeal24.com/microsoft-office-2016-professional-plus-windows-11-pro-for-free.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Office 2016 Pro + Windows 11 Pro (gratuit)</a> - à 25,25€</li>
</ul>
<p>Par exemple, lors d'une précédente promotion où il y avait des bundles Office + Windows, GoDeal24 proposait "<strong>Office 2021 Pro + Windows 11 Pro</strong>" à 52,25€, pour vous donner un ordre d'idée.</p>
<p><strong><img src="media/23f0ee0f.2b50.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/2b50.png" alt="⭐" class="wp-smiley" style="height: 1em; max-height: 1em;" /> Licence Windows 10 gratuite pour l'achat d'une licence Office</strong></p>
<p>Dans le même esprit, mais pour Windows 10, tout en sachant que la mise à niveau de Windows 10 vers Windows 11 est gratuite.</p>
<ul>
<li><a href="https://fr.godeal24.com/microsoft-office-2021-professional-plus-windows-10-pro-for-free.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Office 2021 Pro + Windows 10 Pro (gratuit)</a> - à 29,25€</li>
<li><a href="https://fr.godeal24.com/ms-office-2019-windows-10-pro-couple.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Office 2019 Pro + Windows 10 Pro (gratuit)</a> - à 26,25€</li>
<li><a href="https://fr.godeal24.com/ms-windows-10-pro-office-2016-pro-bundle.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Office 2016 Pro + Windows 10 Pro (gratuit)</a> - à 20,25€</li>
</ul>
<p><strong><img src="media/23f0ee0f.2b50.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/2b50.png" alt="⭐" class="wp-smiley" style="height: 1em; max-height: 1em;" /> Licences Windows 11</strong></p>
<p>Si la licence Office ne vous intéresse pas ou que vous avez déjà une licence pour la suite Office (peut-être au travers d'un abonnement Office 365), sachez que les licences seules sont proposées aussi.</p>
<ul>
<li><a href="https://eu.godeal24.com/windows-11-professional-cd-key.html?g24=ego41" target="_blank" rel="nofollow noopener">Windows 11 Professional (1 PC)</a> - à <strong>15,25€ </strong>avec le code "EGD50"</li>
<li><a href="https://eu.godeal24.com/windows-11-home-1-pc.html?g24=ego41" target="_blank" rel="nofollow noopener">Windows 11 Home (Famille - 1 PC)</a> - à <strong>16,50€</strong> avec le code "EGD50"</li>
</ul>
<p><strong><img src="media/23f0ee0f.2b50.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/2b50.png" alt="⭐" class="wp-smiley" style="height: 1em; max-height: 1em;" /> Licences Windows 10 </strong></p>
<ul>
<li><a href="https://eu.godeal24.com/windows-10-pro-professional-cd-key.html?g24=ego41" target="_blank" rel="nofollow noopener">Windows 10 Professional (32/64 Bits)</a> - à <strong>7,40€ </strong>avec le code "EGD50"</li>
<li><a href="https://eu.godeal24.com/windows-10-pro-professional-cd-key-32-64-bit-2-pc.html?g24=ego41" target="_blank" rel="nofollow noopener">Windows 10 Professional (32/64 Bits) (2 PC)</a> – à <strong>12,13€ </strong><em>soit 6,06€ la licence...! </em>avec le code "EGD50"</li>
<li><a href="https://eu.godeal24.com/windows-10-home-32-64-bit.html?g24=ego41" target="_blank" rel="nofollow noopener">Windows 10 Home</a> – à <strong>7,96€ </strong>avec le code "EGD50"</li>
<li><a href="https://eu.godeal24.com/windows-10-home-cd-key-32-64-bit-2-pc.html?g24=ego41" target="_blank" rel="nofollow noopener">Windows 10 Home (2 PC)</a> – à <strong>13,24€ </strong>avec le code "EGD50"</li>
</ul>
<p><strong><img src="media/23f0ee0f.2b50.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/2b50.png" alt="⭐" class="wp-smiley" style="height: 1em; max-height: 1em;" />  Licences Office pour macOS et Visio / Project pour Windows</strong></p>
<ul>
<li><a href="https://eu.godeal24.com/microsoft-project-professional-2021.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Project Pro 2021</a> - à <strong>25,07€</strong> avec le code "EGD62"</li>
<li><a href="https://eu.godeal24.com/microsoft-visio-professional-2021-key.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Visio Pro 2021</a> - à <strong>22,41€</strong> avec le code "EGD62"</li>
<li><a href="https://eu.godeal24.com/microsoft-project-professional-2019-1-user.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Project Pro 2019</a> - à <strong>21,61€</strong> avec le code "EGD62"</li>
<li><a href="https://eu.godeal24.com/microsoft-visio-professional-2019-1-user.html?g24=ego41" target="_blank" rel="nofollow noopener">Microsoft Visio Pro 2019</a> - à <strong>18,90€</strong> avec le code "EGD62"</li>
<li><a href="https://eu.godeal24.com/office-2021-home-and-business-for-mac.html?g24=ego41" target="_blank" rel="nofollow noopener">Office 2021 Home &amp; Business pour macOS</a> - à<strong> 66,99€</strong> avec le code "EGD62"</li>
</ul>
<p>Si vous recherchez un bon plan sur une licence pour Windows Server ou Office 365, il faudra patienter, car cette fois-ci GoDeal24 ne propose pas ces licences à prix réduit. J'ai envie de vous dire, rendez-vous l'année prochaine !</p>
<p>Je vous rappelle que le paiement sur ce site peut être effectué à partir d'un <strong>compte PayPal</strong> ou par carte bancaire. Les offres présentées dans cet article sont limitées dans le temps. Ces offres sont gérées directement par le site Godeal24.com.</p>
<p>Si vous avez une question, que ce soit de l'avant-vente ou de l'après-vente, je vous invite à contacter le support du site godeal24.com à l'adresse e-mail suivante :<strong> service@godeal24.com</strong></p>The post <a href="https://www.it-connect.fr/bon-plan-windows-11-offert-pour-lachat-dune-licence-office/">Bon plan : Windows 11 offert pour l’achat d’une licence Office</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49036
title: LastPass : des alertes e-mail qui sèment le doute auprès des utilisateurs
uri: LastPass-des-alertes-e-mail-qui-sèment-le-doute-auprès-des-utilisa
url: https://www.it-connect.fr/lastpass-des-alertes-e-mail-qui-sement-le-doute-aupres-des-utilisateurs/
content:
<p><strong>Alors que certains utilisateurs de Windows 11 voient leur écran HDR devenir jaune, les utilisateurs de LastPass quant à eux rient jaune... En effet, de nombreux utilisateurs affirment que leur mot de passe maître a été compromis après avoir reçu une alerte e-mail pour indiquer qu'une connexion a été effectuée depuis un emplacement inconnu.</strong></p>
<p><em>Pour rappel, LastPass est une gestionnaire de mots de passe totalement en ligne, accessible en version gratuite, mais aussi en version payante.</em></p>
<p>Ce même e-mail affirme que la tentative de connexion a été bloquée par LastPass car elle provient d'un emplacement non familier (ou d'un périphérique non reconnu), ou en tout cas anormal vis-à-vis du lieu de connexion habituel de l'utilisateur. Même si la connexion est bloquée, cela signifie que le mot de passe maître permettant d'accéder au coffre-fort de mots de passe est bien compromis. Les utilisateurs concernés et qui ont reçu cet e-mail n'ont pas hésité à partager l'information sur Internet, notamment sur Twitter et Reddit.</p>
<p>De son côté LastPass a analysé la situation et d'après eux c'est <strong>un bot qui est à l'origine de ces connexions malveillantes</strong>. Cela voudrait dire qu'il n'y a pas eu de piratage, compromission ou fuite de données directement chez LastPass. En fait, certains utilisateurs seraient victimes de ce que l'on appelle le <em>credential stuffing</em>.</p>
<p>Pour être précis, cela signifie que les identifiants (nom d'utilisateur + mot de passe) utilisés pour<strong> se connecter à LastPass sont issus d'autres fuites de données liées à des attaques précédentes sur des services tiers</strong>. Si un utilisateur a défini le même nom d'utilisateur et le même mot de passe sur LastPass que sur un autre service victime d'une fuite de données, et bien cela facilite la découverte du compte LastPass.</p>
<p>Ce qui est étonnant, c'est que certains utilisateurs touchés assurent que leur mot de passe LastPass n'est pas utilisé ailleurs. Ce qui pose question... Mais pour se justifier, <strong>LastPass affirme qu'une partie de ces alertes ont étaient envoyées par erreur</strong>, tandis que <strong>d'autres seraient liées à des attaques de type <em>credential stuffing</em></strong>. S'il s'avère bel et bien d'un bug, il faut avouer que cela sème le doute !</p>
<p>Remarque : cet article est l'occasion de préciser qu'il est indispensable d'avoir un mot de passe maître robuste pour son coffre-fort de mots de passe, et que ce mot de passe doit être unique (dans le sens où vous ne l'utilisez pas ailleurs).</p>
<p><strong>Compte tenu de la situation, il est recommandé aux utilisateurs de LastPass de modifier leur mot de passe maître par précaution.</strong></p>
<p><a href="https://www.bleepingcomputer.com/news/security/lastpass-users-warned-their-master-passwords-are-compromised/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/lastpass-des-alertes-e-mail-qui-sement-le-doute-aupres-des-utilisateurs/">LastPass : des alertes e-mail qui sèment le doute auprès des utilisateurs</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49081
title: Microsoft Exchange et le bug de l’an 2022 !
uri: Microsoft-Exchange-et-le-bug-de-l-an-2022
url: https://www.it-connect.fr/microsoft-exchange-et-le-bug-de-lan-2022/
content:
<p><strong>Microsoft a publié un correctif en urgence pour les serveurs de messagerie Microsoft Exchange afin de corriger ce que l'on pourrait appeler le bug de l'an 2022. Conséquence directe de ce bug : les e-mails ne sont plus délivrés et restent dans la file d'attente.</strong></p>
<p>Bienvenue en 2022 ! Alors que l'année 2021 a été compliquée pour les administrateurs de serveurs Exchange, il faut dire que l'année 2022 commence de la pire des manières. Depuis minuit, le 1er janvier 2022, les serveurs Exchange (<strong>Exchange Server 2016</strong> et <strong>Exchange Server 2019</strong>) ne parviennent plus à envoyer les e-mails et les messages suivants sont visibles dans le journal "Application" de l'observateur d'événements du serveur :</p>
<pre><span style="color: #00ffff;">Source: FIPFS</span> 
Logged: 1/1/2022 1:03:42 AM 
Event ID: 5300 
Level: Error 
Computer: server1.contoso.com
Description: The FIP-FS "Microsoft" Scan Engine failed to load. PID: 23092, Error Code: 0x80004005. Error Description: Can't convert "2201010001" to long.

<span style="color: #00ffff;">Source: FIPFS</span> 
Logged: 1/1/2022 11:47:16 AM 
Event ID: 1106 
Level: Error 
Computer: server1.contoso.com 
Description: The FIP-FS Scan Process failed initialization. Error: 0x80004005. Error Details: Unspecified error.</pre>
<p>Au sein des messages d'erreur ci-dessus, on constate la présence du code d'erreur <strong>0x80004005.</strong></p>
<p><strong>Comment expliquer cette erreur ?</strong> Et bien, il s'avère qu'Exchange vérifie la version du moteur d'analyse antivirus FIP-FS et tente de stocker la date dans une variable int32 signée. Le problème, c'est que cette variable a une limite et sa valeur ne peut pas dépasser "2 147 483 647" sauf que la valeur correspondante au 1er janvier 2022 à minuit est "2 201 010 001".</p>
<p>Lorsqu'une analyse est déclenchée sur un message électronique, le moteur d'analyse va planter à cause de cette variable qui contient une valeur incorrecte. <strong>Étant donné que l'analyse n'est pas effectuée, l'e-mail reste dans la file d'attente.</strong></p>
<p>Compte tenu de l'urgence de la situation, Microsoft a publié un correctif temporaire sous la forme d'un script PowerShell nommé "<em>Reset-ScanEngineVersion.ps1</em>". L'objectif de ce script est de réaliser les actions suivantes :</p>
<ul>
<li>Arrêter les services Microsoft Filtering Management et Microsoft Exchange Transport</li>
<li>Supprimer les fichiers du moteur d'analyse antivirus</li>
<li>Télécharger une nouvelle version du moteur d'analyse antivirus sur le serveur (version 2112330001)</li>
<li>Démarrer les services arrêtés précédemment</li>
</ul>
<p>Ce script doit être exécuté sur chaque serveur Exchange on-premise et vous pouvez le télécharger à cette adresse : <a href="https://aka.ms/ResetScanEngineVersion" target="_blank" rel="nofollow noopener">https://aka.ms/ResetScanEngineVersion</a></p>
<p>Pour en savoir plus sur l'utilisation de ce script ou effectuer l'opération manuellement, je vous recommande de lire cet article publié par Microsoft : <a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/email-stuck-in-exchange-on-premises-transport-queues/ba-p/3049447" target="_blank" rel="nofollow noopener">Exchange - Erreur FIP-FS</a>.</p>
<p><strong>Après avoir appliqué ce correctif, les e-mails seront expédiés et la file d'attente sera donc vidée au fur et à mesure.</strong> Bien entendu, cela peut prendre du temps en fonction de la quantité de messages en attente.</p>
<p>Bon courage !</p>
<p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-emergency-fix-for-exchange-year-2022-bug/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/microsoft-exchange-et-le-bug-de-lan-2022/">Microsoft Exchange et le bug de l’an 2022 !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49077
title: Bonne année 2022 ! L’heure de faire le point sur 2021 !
uri: Bonne-année-2022-L-heure-de-faire-le-point-sur-2021
url: https://www.it-connect.fr/bonne-annee-2022-lheure-de-faire-le-point-sur-2021/
content:
<p><strong>Je vous souhaite une excellente année 2022 au nom de toute l'équipe IT-Connect ! Comme je l'avais fait l'année dernière, je souhaitais partager quelques stats avec vous au sujet du site, de la chaîne YouTube, mais aussi évoquer mes envies pour l'avenir.</strong></p>
<h2>Statistiques de l'année 2021</h2>
<p>Comme on dit "<em>Les hommes mentent, mais pas les chiffres</em>", alors j'ai fait un tour au sein de l'onglet statistique du site pour faire les comptes et voir l'évolution par rapport à l'année 2020. <strong>La bonne nouvelle, c'est que vous êtes de plus en plus nombreux à visiter le site et cela fait vraiment très plaisir !</strong> C'est une source d'encouragement pour la suite également ! <img src="media/7d7d5e26.1f642.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /></p>
<p>L'augmentation du trafic que j'évoque se traduit par les deux chiffres clés suivants :</p>
<p>- <strong>Nombre de visites en 2021 </strong>: 3 933 188<br />
- <strong>Nombre de pages vues en 2021</strong> : 5 347 204</p>
<p>Par rapport à l'année 2020, cela représente <strong>une augmentation des visites de 22,4% </strong>et <strong>une augmentation du nombre de pages vues de 23,6%</strong>. MERCI !</p>
<p>Quant à la <a href="https://www.youtube.com/channel/UCIJTq0nGrgkGMy1xJL_YppQ" target="_blank" rel="nofollow noopener">chaîne YouTube</a>, le nombre total de vues depuis la création de<strong> la chaîne a dépassé 1 000 000 de vues </strong>(au total, cumul des vues de toutes les vidéos), ce qui est clairement anecdotique, mais cela fait toujours plaisir ! C'est en grande partie grâce à l'année 2021 puisqu'elle représente à elle seule plus de 650 000 vues sur les différentes vidéos, et la plus populaire sur l'année est la vidéo "<em>Les adresses IP pour les débutants</em>" (mais je pense qu'elle sera détrônée en 2022 ! <img src="media/14cb941f.1f609.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f609.png" alt="😉" class="wp-smiley" style="height: 1em; max-height: 1em;" /> ).</p>
<p>Vous êtes désormais presque<strong> 16 000 abonnés</strong> à la chaîne YouTube, c'est cool ! <img src="media/7d7d5e26.1f642.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /></p>
<h2>Quelques idées pour 2022</h2>
<p>Ça fait plusieurs années que j'évoque la mise en place d'<strong>une newsletter</strong> (du style une fois par semaine, c'est suffisant), j'espère cette fois-ci je vais réussir à me dégager du temps pour mettre en place ce projet, mais au-delà de l'aspect technique, il faut que je me renseigne sur la partie juridique (notamment le RGPD).</p>
<p>À côté de ça, je vais continuer à publier du contenu au format vidéo sur la chaîne YouTube et <strong>j'envisage de créer des sortes de Webinars pour que ce soit plus interactif</strong>, avec vous, les membres de la communauté IT-Connect. J'aimerais aussi <strong>agrandir le catalogue de cours en ligne</strong> (et trouver le temps d'actualiser les cours existants) en m'appuyant sur des contributeurs externes. Enfin bon, les idées ce n'est pas ça qui manque, mais c'est plus le temps le problème (mais ça je ne vous apprends rien).</p>
<h2>Ma situation perso</h2>
<p>Depuis quelques mois, j'ai quitté l'emploi que j'avais en CDI pour me lancer en tant qu'indépendant dans l'objectif de pouvoir consacrer plus de temps à IT-Connect (et ainsi avoir plus de temps de libre à côté !). Cela explique pourquoi il y a plus d'articles depuis quelque temps, notamment au niveau de l'actualité (et je sens que cela vous plaît !).</p>
<p>En complément et dans le but de trouver un équilibre, j'effectue des prestations administration système et réseau, sécurité, auprès d'entreprises. D'ailleurs, <strong>si vous souhaitez me solliciter sur un projet</strong>, n'hésitez pas à me contacter !</p>
<p>Pour finir, un énorme MERCI à tous pour votre soutien ! <strong>Si vous avez des idées pour le site</strong>, que ce soit au niveau des fonctionnalités ou de sujets à traiter dans les articles, <strong>n'hésitez pas à laisser un commentaire</strong> ! Les discussions sont ouvertes ! <img src="media/7d7d5e26.1f642.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /></p>The post <a href="https://www.it-connect.fr/bonne-annee-2022-lheure-de-faire-le-point-sur-2021/">Bonne année 2022 ! L’heure de faire le point sur 2021 !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48749
title: Forensic – SteerOnSomewhere : analyse de PDF et EXE malveillants
uri: Forensic-SteerOnSomewhere-analyse-de-PDF-et-EXE-malveillants
url: https://www.it-connect.fr/forensic-steeronsomewhere-analyse-de-pdf-et-exe-malveillants/
content:
<h2>I. Présentation</h2>
<p>Nous continuons notre suite d'articles sur le CTF du FIC 2021 proposé par l'école EPITA afin de découvrir<strong> certains outils et méthodes de forensic</strong> (investigation numérique). Dans cet article nous allons nous pencher sur l'<strong>analyse de fichiers PDF et exécutables contenant des objets ou du code malveillant.</strong></p>
<h2>II. Contexte : Panic on board - SteerOnSomewhere</h2>
<p>Le <strong>contexte de l'incident</strong> sur lequel nous intervenons est le suivant : <strong>Un bateau de croisière de la compagnie maritime ArMor a subi une panne et se retrouve bloqué en pleine mer.</strong></p>
<p>Nous savons à présent qu'à la suite d'un phishing, l'attaquant est parvenu à dérober les identifiants VPN d'un utilisateur puis à mener une attaque sur les automates du bateau afin de les arrêter. Le contexte de cette quatrième étape de l'analyse est le suivant :</p>
<p><em>L’analyse du logiciel d’IHM (auquel seul le technicien a accès) n’a rien révélé de probant. Sur le point d’abandonner, vous tombez sur quelques fichiers de documentation anodins… Ou pas ? Découvrez comment les ordres d’arrêter les machines ont été donnés.</em></p>
<p>Deux fichiers nous sont ici fournis :</p>
<ul>
<li>s7-300_IHB_f.pdf </li>
<li>stopAutomatesProp.exe</li>
</ul>
<p>Nous devons répondre aux questions suivantes pour compléter cette quatrième étape de l'analyse :</p>
<ul>
<li>Le fichier PDF cache du contenu ;</li>
<li>La fonction de décodage utilisée pour désobfusquer la charge utile ;</li>
<li>La charge utile est... ;</li>
<li>Vous avez extrait le fichier embarqué. En quel langage le programme est-il écrit ;</li>
<li>Le temps en secondes que le script passe à dormir.</li>
</ul>
<p>N'oublions pas de vérifier l'intégrité des éléments récupérés (le hash BLAKE2 est fourni avec les fichiers sur le site du challenge) :</p>
<pre>$<span style="color: #00ffff;"> b2sum s7-300_IHB_f.pdf</span> <br />f5d2ef2e841e24731187d310677312c2a78d58b540eeabff69832625a508fc84f8147c7891eafedfbc76fc99ae880c4dc3858280bf28b4fa512d75c2bbcaf5f2 s7-300_IHB_f.pdf <br /><br />$ <span style="color: #00ffff;">b2sum stopAutomatesProp.exe</span> <br />30ff3011c25368fa1d4e09632874c0781199aa62d4ad57b47a99ae39bff6480fff2639a70dbe498f93b6aa263cf86d49a5f66a2d7bf3cdfc38f3f15903e22186 stopAutomatesProp.exe</pre>
<p>Vous trouverez le challenge en question et les fichiers utilisés dans cet article ici : <a title="Panic On Board - SteerOnSomewhere" href="https://fic.srs.epita.fr/2021/Panic-on-board/SteerOnSomewhere" target="_blank" rel="nofollow noopener">Panic On Board - SteerOnSomewhere</a> </p>
<h2>III. Analyse d'un PDF </h2>
<p>Comme je l'ai indiqué dans l'article <a title="Forensic – PhishingBoat : analyse de fichiers Mbox et PDF" href="https://www.it-connect.fr/forensic-phishingboat-analyse-de-fichiers-mbox-et-pdf/" target="_blank" rel="noopener">Forensic – PhishingBoat : analyse de fichiers Mbox et PDF</a>, les fichiers PDF peuvent être utilisés de façon malveillante afin de transporter d'autres objets, parfois chiffrés ou encodés, et déclencher des actions à leur ouverture. Pour décortiquer ce fichier PDF, nous allons commencer par utiliser le script <a title="pdfid.py de Dider Stevens" href="https://github.com/DidierStevens/DidierStevensSuite/blob/master/pdfid.py" target="_blank" rel="noopener">pdfid.py de Dider Stevens</a> :</p>
<pre><span style="color: #00ffff;">$ pdfid.py s7-300_IHB_f.pdf</span> <br />PDFiD 0.2.1 s7-300_IHB_f.pdf<br />PDF Header: %PDF-1.4<br />obj 3253<br />endobj 3253<br />stream 295<br />endstream 295<br />xref 3<br />trailer 3<br />startxref 3<br />/Page 245<br />/Encrypt 0<br />/ObjStm 0<br /><strong>/JS 1</strong><br /><strong>/JavaScript 1</strong><br /><strong>/AA 1</strong><br /><strong>/OpenAction 2</strong><br />/AcroForm 0<br />/JBIG2Decode 0<br />/RichMedia 0<br /><strong>/Launch 1</strong><br />/EmbeddedFile 0<br />/XFA 0<br />/Colors &gt; 2^24 0</pre>
<blockquote>
<p><em>pdfid.py</em> n'est pas un <em>parser</em> PDF, mais il analysera un PDF pour rechercher certains mots-clés permettant d'identifier les documents PDF contenant (par exemple) du JavaScript ou d'exécuter une action lorsqu'ils sont ouverts. </p>
</blockquote>
<p>Ici, celui-ci nous indique que le fichier fait 245 pages et <strong>contient du code Javascript</strong> (<em>/JS</em>, <em>/Javascript</em>) ainsi que des éléments permettant l'<strong>exécution d'instructions à l'ouverture</strong> (<em>/AA</em>, <em>/OpenAction</em>, <em>/Launch</em>).  Nous pouvons compléter notre analyse avec l'utilisation de l'outil <em>pdfdetach</em>, qui vient de la suite d'outil <a title="Github Origami" href="https://github.com/gdelugre/origami" target="_blank" rel="noopener">origami</a> :</p>
<pre>$ pdfdetach s7-300_IHB_f.pdf -list<br />Syntax Warning: Illegal URI-type link<br />Syntax Warning: Illegal URI-type link<br />1 embedded files<br />1: s7-300_IHB_f.pdf</pre>
<p>Contrairement à <em>pdfid.py</em>, <em>pdfdetach</em> détecte un fichier embarqué dans le PDF, tentons d'en savoir plus avec <em>pdf-parser</em> et utilisons l'option <em>--search</em>, qui permet d'effectuer un filtre sur un mot précis :</p>
<pre><span style="color: #00ffff;">$ pdf-parser.py --search embedded s7-300_IHB_f.pdf</span> <br />obj 3246 0<br />Type: <br /><span style="color: #00ffff;">Referencing: 3247 0 R</span><br /><br />&lt;&lt;<br />/EmbeddedFiles 3247 0 R<br />&gt;&gt;</pre>
<p>Un PDF est composé de<strong> multiples objets de différents types qui sont numérotés de façon unique</strong> et référencés dans la XREF table (<em>cross reference table</em>). Ici, nous voyons que l'objet <em>3246 0</em> référence l'objet <em>3247 0</em> en tant que fichier embarqué, nous pouvons ici utiliser l'option <em>--object</em> pour afficher directement le contenu de cet objet :</p>
<pre><span style="color: #00ffff;">$ pdf-parser.py s7-300_IHB_f.pdf --object 3247</span><br />obj 3247 0<br />Type: <br /><span style="color: #00ffff;">Referencing: 3248 0 R</span><br /><br /><span style="color: #00ffff;">$ pdf-parser.py s7-300_IHB_f.pdf --object 3248 </span><br />obj 3248 0<br />Type: /Filespec<br /><span style="color: #00ffff;">Referencing: 3249 0 R</span></pre>
<p>Nous arrivons enfin à l'objet <em>3249 0</em> pour lequel nous devons ajouter les options <em>--filter</em> et <em>--raw</em> pour avoir une sortie brute de son contenu. Celui-ci étant un <em>stream,</em> <em>pdf-parser</em> n'affiche pas son contenu par défaut (un <em>stream</em> peut être très volumineux) :</p>
<pre><span style="color: #00ffff;">$ pdf-parser.py s7-300_IHB_f.pdf --object 3249 --filter --raw</span><br />obj 3249 0<br />Type: <br />Referencing: <br />Contains stream<br /><br />b'<span style="color: #00ffff;">MZ</span>\x90\x00[...]</pre>
<p>Dans un fichier PDF, les <em>streams</em> sont des<strong> séquences d'octets qui peuvent être de longueur illimitée et peuvent être compressés ou encodés</strong>. En tant que tels, ils constituent le type d'objet utilisé pour <strong>stocker de gros blocs de données</strong> <em>(blob)</em> qui sont dans un<strong> autre format standardisé</strong>, (XML , image, police, etc.).</p>
<p>Et justement, nous voyons ici le début du contenu du <em>blob</em> dans ce <em>stream</em> et <strong>il commence par <em>MZ</em></strong><em>,</em> il s'agit du <em>magic byte</em> caractéristique des fichiers exécutables Windows.</p>
<blockquote>
<p>Les <em>magic bytes</em>, ou signatures de fichier, sont simplement les <strong>premiers octets composant un fichier et indiquant son format</strong>, on peut les considérer comme un "en-tête" qui va ensuite indiquer au système quels programmes peuvent les ouvrir, puis aux programmes comment ils sont composés (un peu à l'image d'un paquet pour Wireshark et ses dissecteurs). Ainsi un fichier PNG commencera toujours par <em>89 50 4E 47 0D 0A 1A 0A</em>, un fichier PDF par <em>25 50 44 46 2D</em> et un fichier exécutable par <em>4D 5A</em>, soit MZ en conversion ASCII.</p>
<p>C'est notamment <strong>sur ces éléments que se basent les outils de <em>File Carving </em>ou de récupération de fichiers supprimés</strong> qui permettent de trouver les fichiers contenus dans un autre fichier ou un espace disque donné (image disque, firmware, PDF, etc.). On peut notamment citer <em>foremost</em>, <em>binwalk</em>, <em>bulk_extractor,</em> etc. Voici une liste des <em>magics bytes</em> par format de fichier : <a title="List of file signatures" href="https://en.wikipedia.org/wiki/List_of_file_signatures" target="_blank" rel="noopener">List of file signatures</a></p>
</blockquote>
<p>Nous pouvons donc affirmer ici que notre fichier PDF embarque un fichier exécutable Windows, ce qui est des plus suspect. Nous pouvons ici citer la <a title="T1204.002 User Execution: Malicious File" href="https://attack.mitre.org/techniques/T1204/002/" target="_blank" rel="noopener">T1204.002 User Execution: Malicious File</a> du MITRE ATT&amp;CK.</p>
<p>Nous pouvons également utiliser l'outil <em>PeePDF</em> pour avoir une synthèse des informations sur cet objet spécifique :</p>
<pre>PPDF&gt; <span style="color: #00ffff;">info 3249</span><br />Offset: 3608903<br />Size: 7423903<br />MD5: 8057276523631af3456969a2372971f9<br />Object: stream<br />Subtype: /application/pdf<br />Stream MD5: c53391adcd8cb8b2ad4995c78c13aca7<br />Raw Stream MD5: acbe518d8f95f884467b4c42cea1598c<br />Length: 7423727<br />Encoded: Yes<br /><span style="color: #00ffff;">Filters: /FlateDecode</span><br />Filter Parameters: No<br />Decoding errors: No<br />References: []</pre>
<p>Nous voyons ici une notion importante lors de l'analyse d'objet dans un PDF : <em>Filters: /FlateDecode</em>. Dans un PDF,<strong> les <em>Filters</em> sont le moyen utilisé pour encoder un objet</strong>. Le fait d'indiquer en clair ce <em>Filter</em> permet ensuite aux lecteurs PDF de les décoder facilement. Cela nous permet de répondre à la question suivante :</p>
<ul>
<li>La fonction de décodage utilisée pour désobfusquer la charge utile : FlateDecode</li>
<li>La charge utile est... : PE Executable</li>
</ul>
<p>Je note au passage qu'il existe une <strong>multitude d'outils pour analyser un PDF</strong>, certains très anciens (avant 2010) qui fonctionnent encore et d'autres plus récents. Lorsque l'on aborde ce domaine, il n'est pas évident de s'orienter sur un outil spécifique (aucun ne semble contenir à lui seul toutes les fonctions utiles) ou au contraire de jongler entre les différents outils (commandes, syntaxes et sorties différentes à chaque fois). PeePDF me parait cependant assez dynamique, l'analyse interactive apparait comme un plus, par exemple pour suivre les objets qui se référencent entre eux. Voici la synthèse des outils utilisés dans cet article :</p>
<ul>
<li><a title="pdfid.py" href="https://github.com/DidierStevens/DidierStevensSuite/blob/master/pdfid.py" target="_blank" rel="noopener">pdfid.py</a> de Didier Stevens;</li>
<li><a title="pdf-parser.py" href="https://github.com/DidierStevens/DidierStevensSuite/blob/master/pdf-parser.py" target="_blank" rel="noopener">pdf-parser.py</a> de Didier Stevens;</li>
<li>la commande <em>pdfdetach</em> de la suite <a title="origami" href="https://github.com/gdelugre/origami" target="_blank" rel="noopener">origami</a>;</li>
<li><a title="peepdf" href="https://eternal-todo.com/tools/peepdf-pdf-analysis-tool" target="_blank" rel="noopener">peepdf</a>.</li>
</ul>
<p>L'ANSSI a également sorti un outil d'analyse de PDF qui ne semble plus maintenu aujourd'hui et que je n'ai pas du tout réussi à installer <img src="media/c76e7f14.1f641.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f641.png" alt="🙁" class="wp-smiley" style="height: 1em; max-height: 1em;" /> : <a title="Caradoc" href="https://github.com/ANSSI-FR/caradoc" target="_blank" rel="noopener">Caradoc</a>. </p>
<h2>IV. Analyse basique d'un exécutable</h2>
<p>Un binaire, ou exécutable, peut être étudié de différentes façons, souvent complémentaires :</p>
<ul>
<li><strong>l'analyse statique</strong> : elle consiste à récupérer certains éléments tels que les hashs (empreinte numérique et unique du fichier), l'analyse antivirus, l'analyse d'un dump mémoire, la détection des packers, etc. Ce fichier binaire peut ensuite faire l'objet d'un <em>reverse engineering</em> à l'aide d'un désassembleur pour convertir le code machine en code assembleur afin de le rendre "lisible" par l'homme. </li>
<li><strong>l'analyse dynamique</strong> : elle consiste à analyser le comportement des binaires malveillants dans un environnement <em>sandbox</em> (bac à sable) afin qu'ils n'affectent pas les autres systèmes. Différentes "sondes", métriques et autres éléments de détection et de surveillance sont alors utilisés pour capturer et analyser le comportement du malware à son exécution (fichiers ouverts, connexion réseau, API systèmes utilisées, etc.)</li>
</ul>
<p>Lors de la réalisation d'une analyse statique de base, nous n'exécutons pas directement le code du binaire malveillant analysé ni n'ouvrons de désassembleur pour tenter de disséquer ce binaire. La première étape est d'obtenir un<strong> aperçu rapide de la structure de l'exécutable et d'identifier les premiers éléments d'analyse</strong>. Commençons par un simple <em>strings</em> sur le binaire fourni dans le cadre du challenge :</p>
<pre><span style="color: #00ffff;">strings stopAutomatesProp.exe</span> <br />bpython38.dll<br />bselect.pyd<br />bstopAutomatesProp.exe.manifest<br />bucrtbase.dll<br />bunicodedata.pyd<br />opyi-windows-manifest-filename stopAutomatesProp.exe.manifest<br />xInclude\pyconfig.h<br />xbase_library.zip<br />zPYZ-00.pyz<br />&amp;python38.dll</pre>
<blockquote>
<p>La commande Linux <em>strings</em> est utilisée pour détecter et afficher les chaines de caractères présentes dans des fichiers. Elle se concentre principalement sur la détermination du contenu et l'extraction du texte des fichiers binaires (fichier non texte).</p>
</blockquote>
<p>On retrouve ici<strong> plusieurs lignes contenant le mot </strong><em><strong>python</strong></em><strong> ou </strong><em><strong>python38</strong>.</em> Il s'agirait donc d'un exécutable contenant du Python. Ce qui est inhabituel, c'est que l'on ne produit habituellement pas de <em>.exe</em> en Python étant donné qu'il s'agit d'un langage interprété et non compilé. Il existe néanmoins une solution permettant de faire cela : <a title="Transformer un script Python en exécutable avec PyInstaller" href="https://wiki-fablab.grandbesancon.fr/doku.php?id=howto:python:pyinstaller" target="_blank" rel="noopener">Transformer un script Python en exécutable avec PyInstaller</a></p>
<p>Après quelques recherches, je remarque qu'il est possible de faire l'opération inverse lorsque l'on a sous la main un exécutable produit <em>via</em> Python :<a title="https://github.com/extremecoders-re/pyinstxtractor" href="https://github.com/extremecoders-re/pyinstxtractor" target="_blank" rel="noopener"> https://github.com/extremecoders-re/pyinstxtractor</a></p>
<pre><span style="color: #00ffff;">$ python3.8 pyinstxtractor.py ../stopAutomatesProp.exe</span> <br />[+] Processing ../stopAutomatesProp.exe<br />[+] Pyinstaller version: 2.1+<br />[+] Python version: 38<br />[+] Length of package: 7298295 bytes<br />[+] Found 71 files in CArchive<br />[+] Beginning extraction...please standby<br />[+] Possible entry point: pyiboot01_bootstrap.pyc<br />[+] Possible entry point: pyi_rth_multiprocessing.pyc<br />[+] Possible entry point: pyi_rth_pkgres.pyc<br />[+] Possible entry point: stopAutomatesProp.pyc<br />[+] Found 254 files in PYZ archive<br />[+] Successfully extracted pyinstaller archive: ../stopAutomatesProp.exe<br /><br />You can now use a python decompiler on the pyc files within the extracted directory</pre>
<blockquote>
<p id="c5" class="oBOnKe"><span class="JLqJ4b ChMk0b" style="font-size: 16px;" data-language-for-alternatives="fr" data-language-to-translate-into="en" data-phrase-index="0" data-number-of-phrases="2"><em>PyInstaller Extractor</em> est un script Python permettant d'<strong>extraire le contenu d'un fichier exécutable Windows généré par </strong><em><strong>PyInstaller</strong>.</em></span> <span class="JLqJ4b ChMk0b" style="font-size: 16px;" data-language-for-alternatives="fr" data-language-to-translate-into="en" data-phrase-index="1" data-number-of-phrases="2">Le contenu du fichier (généralement des fichiers <em>.pyc</em>) est présent dans l'exécutable est également extrait. Et oui, lorsque <em>PyInstaller</em> génère l'exécutable à partir du code python, celui-ci positionne le <em>bytecode</em> dans l'exécutable, ce qui facilite sa récupération. Vous trouverez plus d'informations sur le fonctionnement de PyInstaller ici : <a title="What PyInstaller Does and How It Does It" href="https://pyinstaller.readthedocs.io/en/stable/operating-mode.html" target="_blank" rel="noopener">What PyInstaller Does and How It Does It</a></span></p>
</blockquote>
<p>Nous nous retrouvons donc avec un ensemble de fichiers .<em>dll</em> et .<em>pyc</em> (entre autres) :</p>
<figure id="attachment_48963" aria-describedby="caption-attachment-48963" style="width: 800px" class="wp-caption aligncenter"><a href="media/c668b0a0.forensic-SteerOnSomewhere-pyc-decompile.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-decompile.png"><img class="size-large wp-image-48963" src="media/289349bb.forensic-SteerOnSomewhere-pyc-decompile-800x460.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-decompile-800x460.png" alt="Ensemble de fichiers récupérés après extraction de l'exécutable" width="800" height="460" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-decompile-800x460.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-decompile-550x316.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-decompile-150x86.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-decompile-768x442.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-decompile-50x29.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-decompile.png 1162w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48963" class="wp-caption-text">Ensemble de fichiers récupérés après extraction de l'exécutable</figcaption></figure>
<p>Les fichiers <em>.pyc</em> sont des fichiers Python compilés.<strong> Mais si Python est un langage interprété, pourquoi existe-t-il des formats de fichiers compilés ?</strong></p>
<p>Les fichiers <em>.pyc</em> sont une <strong>version pré-compilée du code d'un fichier <em>.py</em></strong> (script en texte clair). Il s'y trouve un code en format <em>bytecode,</em> ce qui permet de <strong>gagner du temps lors de l'exécution, car le système n'aura pas à faire lui-même cette conversion</strong>. Lorsque l'on dispose du fichier .<em>pyc</em>, le code en clair (fichier .<em>py</em>) n'est plus nécessaire à l'exécution.</p>
<p>Le format de fichier <em>.pyc</em> est donc du <em>bytecode,</em> il s'agit d'un format de code intermédiaire entre les instructions-machine et le code source, qui n'est pas directement exécutable. Il ne s'agit pas d'une mesure d'obfuscation et l'opération inverse <em>(<strong>bytecode</strong></em><strong> vers code source</strong>) peut elle aussi être réalisée, à l'aide de <a title="uncompyle6" href="https://pypi.org/project/uncompyle6/" target="_blank" rel="noopener">uncompyle6</a> notamment :</p>
<figure id="attachment_48964" aria-describedby="caption-attachment-48964" style="width: 800px" class="wp-caption aligncenter"><a href="media/a34afc3e.forensic-SteerOnSomewhere-pyc-uncompyle6.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-uncompyle6.png"><img class="size-large wp-image-48964" src="media/d3251894.forensic-SteerOnSomewhere-pyc-uncompyle6-800x437.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-uncompyle6-800x437.png" alt="Récupération du code source Python à partir d'un fichier PYC" width="800" height="437" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-uncompyle6-800x437.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-uncompyle6-550x300.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-uncompyle6-150x82.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-uncompyle6-768x419.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-uncompyle6-50x27.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/forensic-SteerOnSomewhere-pyc-uncompyle6.png 925w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-48964" class="wp-caption-text">Récupération du code source Python à partir d'un fichier PYC</figcaption></figure>
<p>Nous récupérons ici le code source en clair de notre exécutable malveillant, ce qui est bien plus simple à étudier qu'une analyse en assembleur :). On remarque notamment une fonction<em> stop_plc</em> et une fonction <em>scan_port</em>, ce qui <strong>correspond aux éléments observés lors des précédentes étapes de notre analyse</strong>. En fin de script, on remarque la fonction suivante :</p>
<pre>else:<br /><span style="color: #00ffff;">  time.sleep(36000)</span><br />  scan_ports(available_ips, [80, 445, 443, 25, 110, 139, 23, 21, 3389, 22, 102])<br />  time.sleep(1231)<br /><span style="color: #00ffff;">  stop_plc(available_ips)</span></pre>
<p>Notre script fait 2 pauses à l'aide de l'instruction <em>time.sleep. </em> <strong>Il s'agit d'un comportement visant à espacer les scans de port et les actions d’arrêt du PLC dans le temps</strong>, notamment afin de tromper des systèmes de détection (IPS, sondes de détection, antivirus) qui pourraient baser leur analyse sur le nombre d’occurrences d'un évènement dans le temps.</p>
<p>Cela nous permet de répondre aux dernières questions de notre analyse :</p>
<ul>
<li>Vous avez extrait le fichier embarqué. En quel langage le programme est-il écrit : Python</li>
<li>Le temps en secondes que le script passe à dormir : 37231</li>
</ul>
<p>Lorsqu'un antivirus exécute un programme en <em>sandbox</em> (bac à sable) avant de le considérer comme sûr, <strong>celui-ci ne peut se permettre de faire durer son analyse plusieurs minutes</strong> (ce serait désagréable pour l'utilisateur), il est donc courant qu'un programme malveillant <strong>profite de ce comportement afin de n'exécuter son action malveillante qu'après un temps d'attente</strong>. L'antivirus n'ayant pas la patience d'attendre ce temps va souvent arrêter son analyse au bout d'un certain temps et <strong>ne jamais exécuter le code malveillant</strong>, qui ne sera alors pas détecté. Cette mesure est décrite dans la <a title="T1497.003 Virtualization/Sandbox Evasion: Time Based Evasion" href="https://attack.mitre.org/techniques/T1497/003/" target="_blank" rel="noopener">T1497.003 Virtualization/Sandbox Evasion: Time Based Evasion</a> du MITRE ATT&amp;CK.</p>
<p>Nous avons vu dans cet article qu'<strong>un PDF peut cacher bien des choses</strong> et notamment un exécutable Windows. Différents outils ont été utilisés ici, mais nous sommes loin de l'exhaustivité. Nous sommes tout de même parvenus à <strong>retrouver, <em>via</em> le code source, l'exécutable responsable des activités identifiées au niveau des traces réseau dans les articles précédents</strong>. Cela nous donne donc un bon aperçu de comment quelques lignes de code peuvent avoir un impact très important sur un système d'information.</p>
<p>Le prochain article, et dernier de cette série sur le scénario de l'attaque du SI d'un navire, portera sur l'analyse de journaux d'évènements, de fichiers supprimés, d'une image OVA et d'une image disque :).</p>The post <a href="https://www.it-connect.fr/forensic-steeronsomewhere-analyse-de-pdf-et-exe-malveillants/">Forensic – SteerOnSomewhere : analyse de PDF et EXE malveillants</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49085
title: Le routeur Netgear Nighthawk R6700 contient 6 failles de sécurité
uri: Le-routeur-Netgear-Nighthawk-R6700-contient-6-failles-de-sécurité
url: https://www.it-connect.fr/le-routeur-netgear-nighthawk-r6700-contient-6-failles-de-securite/
content:
<p><strong>Des chercheurs en sécurité ont découvert six failles de sécurité importante au sein d'une version récente du firmware d'un routeur Wi-Fi relativement populaire : le Netgear Nighthawk R6700.</strong></p>
<p>Lorsque l'on cherche à améliorer la connexion Wi-Fi de son domicile, on s'oriente assez naturellement vers certains produits comme les systèmes Wi-Fi Mesh comme ceux de chez Netgear (via Orbi) ou Devolo, mais aussi les routeurs Wi-Fi de la gamme Nighthawk, car ils sont performants et leurs designs futuristes plaisent aux gamers.</p>
<p>Les chercheurs en sécurité de la société Tenable ont découvert les six vulnérabilités suivantes :</p>
<ul>
<li><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-20173" target="_blank" rel="nofollow noopener"><strong>CVE-2021-20173</strong></a>: une faille qui permet d'exécuter une commande malveillante via la fonctionnalité de mise à jour de l'appareil, après être authentifié sur le routeur.</li>
<li><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-20174" target="_blank" rel="nofollow noopener"><strong>CVE-2021-20174</strong></a>: le protocole HTTP est utilisé par défaut pour les connexions à l'interface web d'administration, ce qui risque d'exposer les identifiants en clair.</li>
<li><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-20175" target="_blank" rel="nofollow noopener"><strong>CVE-2021-20175</strong></a>: l'interface SOAP sur le port 5000 utilise des connexions HTTP pour communiquer, ce qui risque d'exposer les identifiants en clair.</li>
<li><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-23147" target="_blank" rel="nofollow noopener"><strong>CVE-2021-23147</strong></a>: une faille qui permet une exécution de commande en tant que "root" sans être authentifié en utilisant une connexion via le port série de l'appareil. Cela nécessite un accès physique à l'appareil.</li>
<li><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-45732" target="_blank" rel="nofollow noopener"><strong>CVE-2021-45732</strong></a>: une faille qui permet de modifier des paramètres de sécurité normalement verrouillés.</li>
<li><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-45077" target="_blank" rel="nofollow noopener"><strong>CVE-2021-45077</strong></a>: tous les noms d'utilisateurs et les mots de passe sont stockés en clair dans le fichier de configuration du routeur.</li>
</ul>
<p>Cela me surprend toujours, qu'en 2022, des fabricants comme Netgear puissent stocker des identifiants en clair dans un fichier de configuration... Pas vous ?</p>
<p>Pour rappel, le routeur Netgear <strong>Nighthawk R6700 v3 est toujours sous support, </strong>ce qui n'est plus le cas des deux premières générations qui sont en fin de vie.</p>
<p><strong>Sur le site de Netgear, la dernière version du<a href="https://kb.netgear.com/000064434/R6700v3-Firmware-Version-1-0-4-122" target="_blank" rel="nofollow noopener"> firmware est la 1.0.4.122</a> du 14 décembre 2021</strong>, et c'est précisé qu'elle corrige des failles de sécurité, mais ce n'est pas précisé lesquelles. Il se pourrait que tout ou partie de ces failles ne soient pas corrigés (toujours présentes dans la version 1.0.4.120).</p>
<p>Si vous utilisez ce routeur, je vous recommande vivement d'installer cette mise à jour de firmware et de vérifier dans les prochaines semaines s'il y a une nouvelle version qui sort.</p>
<p><a href="https://www.bleepingcomputer.com/news/security/netgear-leaves-vulnerabilities-unpatched-in-nighthawk-router/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/le-routeur-netgear-nighthawk-r6700-contient-6-failles-de-securite/">Le routeur Netgear Nighthawk R6700 contient 6 failles de sécurité</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49121
title: Malware RedLine : Have I Been Pwned contient 441 000 comptes compromis
uri: Malware-RedLine-Have-I-Been-Pwned-contient-441-000-comptes-compromis
url: https://www.it-connect.fr/malware-redline-have-i-been-pwned-contient-441-000-comptes-compromis/
content:
<p><strong>L'auteur de Have I Been Pwned a ajouté à la base du site les informations de plus de 441 000 comptes dérobés par le malware RedLine dans le cadre de ses campagnes d'attaques.</strong></p>
<p>Le malware RedLine est très actif depuis plusieurs mois et il est diffusé au travers de campagnes de phishing, mais aussi de certains sites, notamment des sites liés aux téléchargements illégaux. Dès lors qu'il est en place sur votre machine, il va entrer en action afin de dérober un maximum d'informations : <strong>identifiants, numéro de cartes bancaires, identifiants VPN, identifiants FTP, cookies, etc...</strong> En fonction de ce qui est mémorisé à droite à gauche dans votre navigateur et les logiciels présents sur votre poste. Il peut également télécharger des exécutables afin de réaliser d'autres actions malveillantes.</p>
<p>Les données collectées sont stockées au sein d'une archive nommée "Logs" et qui est ensuite envoyée vers un serveur distant. Chaque archive est revendue 5$ sur le dark web ou utilisée pour compromettre les comptes de l'utilisateur. Il s'avère que le chercheur en sécurité<strong> Bob Diachenko a découvert un serveur qui exposait 6 millions d'enregistrements collectés entre août et septembre 2021</strong>. D'ailleurs, il a pu faire le rapprochement entre certains comptes présents dans cette liste et <a href="https://www.it-connect.fr/lastpass-des-alertes-e-mail-qui-sement-le-doute-aupres-des-utilisateurs/" target="_blank" rel="nofollow noopener">les alertes reçues par certains utilisateurs de LastPass</a> la semaine dernière. Néanmoins, ce serveur ne semble plus être utilisé par les pirates, car le nombre d'enregistrements n'augmente pas.</p>
<p>Bob Diachenko a pris contact avec Troy Hunt, l'auteur du site Have I Been Pwned, afin qu'il puisse ajouter les informations récoltées sur ce serveur au sein de la base du site.<strong> Sur les 6 millions d'enregistrements, on retrouve 441 657 adresses e-mails uniques</strong>.</p>
<p>Si votre adresse e-mail apparaît dans cette liste associée au malware RedLine, c'est une très mauvaise nouvelle. Puisque le malware est capable de récupérer des informations diverses et variées comme évoquées ci-dessus,<strong> il va falloir modifier une multitude de mots de passe pour être sûr de sécuriser les différents accès.</strong> Cela peut représenter un travail conséquent... Et surtout, c'est à faire dès que possible pour éviter que la situation se dégrade... En complément, il faudra penser à <strong>réaliser une analyse de son système pour retirer la souche RedLine</strong>.</p>
<p>Cette liste contient les enregistrements collectés entre août et septembre 2021 donc elle n'est pas exhaustive, mais cela permet de faire une vérification sur cet échantillon intéressant.</p>
<p>En accédant au site <a href="https://haveibeenpwned.com/" target="_blank" rel="nofollow noopener">Have I Been Pwned</a> et en précisant votre adresse e-mail, <strong>vous pouvez voir si vous avez été victime du malware RedLine</strong> (ou d'une autre fuite de données). Ce que je vous recommande de faire, on ne sait jamais ! <img src="media/7d7d5e26.1f642.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /></p>
<p><a href="https://www.bleepingcomputer.com/news/security/have-i-been-pwned-adds-441k-accounts-stolen-by-redline-malware/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/malware-redline-have-i-been-pwned-contient-441-000-comptes-compromis/">Malware RedLine : Have I Been Pwned contient 441 000 comptes compromis</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48890
title: PowerShell : activer la journalisation des commandes et scripts
uri: PowerShell-activer-la-journalisation-des-commandes-et-scripts
url: https://www.it-connect.fr/powershell-activer-la-journalisation-des-commandes-et-scripts/
content:
<h2>I. Présentation</h2>
<p>L'utilisation de Windows PowerShell par les attaquants et les malwares est désormais chose commune, la puissance de ce moteur et ce langage est utilisée depuis plusieurs années (nous vous en parlions déjà sur <a title="Les cybercriminels utilisent des malwares basés sur PowerShell" href="https://www.it-connect.fr/les-cybercriminels-utilisent-des-malwares-bases-sur-powershell/" target="_blank" rel="noopener">IT-Connect en 2014</a>). Il faut savoir que par défaut, PowerShell ne laisse pas beaucoup de traces de son exécution dans la plupart des environnements Windows. <br /><br />Cette tendance doit mener à une vigilance accrue des équipes de sécurité qui doivent impérativement se mettre à surveiller l'exécution de commandes PowerShell sur les systèmes protégés. Dans cet article, nous allons voir <strong>comment activer la journalisation des commandes et scripts PowerShell</strong> exécutés sur un système Windows. Il existe trois moyens différents d'activer la journalisation des commandes PowerShell.</p>
<h2>II. PowerShell et Transcript</h2>
<p>Le transcript (littéralement transcription) est une <strong>méthode historique utilisée pour journaliser l'exécution de commandes PowerShell</strong>. Cette méthode comporte des manquements, mais c'est toujours mieux que de ne rien journaliser :).<br /><br /><strong>La transcription crée un enregistrement unique de chaque session PowerShell comprenant toutes les entrées et sorties</strong>, exactement telles qu'elles apparaissent dans le terminal PowerShell. Les transcriptions sont écrites dans des fichiers texte, un fichier par utilisateur et par session, comme ceci : </p>
<figure id="attachment_49014" aria-describedby="caption-attachment-49014" style="width: 625px" class="wp-caption aligncenter"><img class="wp-image-49014 size-full" src="media/6b61830a.powershell-journalisation-transcript-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-01.png" alt="Deux fichiers Transcript enregistrés, correspondans à deux session Poweshell d'un utilisateur" width="625" height="151" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-01.png 625w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-01-550x133.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-01-150x36.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-01-50x12.png 50w" sizes="(max-width: 625px) 100vw, 625px" /><figcaption id="caption-attachment-49014" class="wp-caption-text">Deux fichiers Transcript enregistrés correspondant à deux sessions PowerShell d'un utilisateur</figcaption></figure>
<p>Les transcriptions contiennent également des <strong>horodatages et des métadonnées</strong> pour chaque commande afin de faciliter l'analyse. Voici un exemple du contenu d'un fichier de transcription PowerShell :</p>
<figure id="attachment_49015" aria-describedby="caption-attachment-49015" style="width: 800px" class="wp-caption aligncenter"><a href="media/db56f869.powershell-journalisation-transcript-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-02.png"><img class="wp-image-49015 size-large" src="media/392e8d65.powershell-journalisation-transcript-02-800x374.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-02-800x374.png" alt="Exemple de commandes et sorties enregistrées par les Transcripts" width="800" height="374" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-02-800x374.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-02-550x257.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-02-150x70.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-02-768x359.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-02-50x23.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-02.png 1140w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49015" class="wp-caption-text">Exemple de commandes et sorties enregistrées par les transcriptions</figcaption></figure>
<p>Cependant, la transcription <strong>n'enregistre que ce qui apparaît dans le terminal PowerShell</strong>, ce qui n'inclura pas le contenu des scripts exécutés ou la sortie écrite vers d'autres destinations tel que le système de fichiers. Pour l'activer localement et pour une session donnée, nous pouvons utiliser la commande <em>start-transcript </em>:</p>
<pre>PS C:\Users\admin&gt; <span style="color: #00ffff;">Start-Transcript</span><br />Transcription démarrée, le fichier de sortie est C:\Users\admin\Documents\PowerShell_transcript.DESKTOP-DBSUD32.g32CqxMk.20211227184120.txt<br />PS C:\Users\admin&gt; write-host "Hello"<br />Hello<br />PS C:\Users\admin&gt; <span style="color: #00ffff;">Stop-Transcript</span><br />Transcription arrêtée, le fichier de sortie est C:\Users\admin\Documents\PowerShell_transcript.DESKTOP-DBSUD32.g32CqxMk.20211227184120.txt<br />PS C:\Users\admin&gt;</pre>
<p>Bien sûr, cela n'a aucun intérêt de tenter de surveiller l'activité d'un attaquant sur un système si il doit lui-même activer la journalisation. C'est pourquoi nous pouvons<strong> passer par les GPO pour l'activation de la transcription</strong>.<br /><br /><strong>Pour activer la transcription au niveau GPO</strong>, il faut se rendre dans <em>Configuration ordinateur -&gt; Modèles d'administration -&gt; Composants Windows -&gt; Windows PowerShell. </em>Il faut ensuite passer le paramètre <em>Activer la transcription PowerShell</em> à <em>Activé</em> :</p>
<figure id="attachment_49016" aria-describedby="caption-attachment-49016" style="width: 800px" class="wp-caption aligncenter"><a href="media/53eca71e.powershell-journalisation-transcript-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-03.png"><img class="wp-image-49016 size-large" src="media/f798b1b0.powershell-journalisation-transcript-03-800x360.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-03-800x360.png" alt="Activation des Transcripts PowerShell" width="800" height="360" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-03-800x360.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-03-550x247.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-03-150x67.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-03-768x345.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-03-50x22.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-03.png 992w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49016" class="wp-caption-text">Activation des Transcripts PowerShell</figcaption></figure>
<p>Par défaut, <strong>les transcriptions sont écrites dans le dossier <em>Documents</em> de l'utilisateur</strong>, mais cette configuration peut être modifiée vers n'importe quel emplacement accessible sur le <strong>système local ou sur le réseau</strong>. Il faut être conscient qu'un système de journalisation a peu de valeur s'il peut être supprimé ou désactivé par l'utilisateur lui-même et peut même s'avérer dangereux si des données sensibles peuvent y être consultées (par exemple : mots de passe saisis dans le terminal).</p>
<p>Dans l'idéal, la meilleure pratique consiste à <strong>externaliser les transcriptions du système et les envoyer sur un serveur de fichier</strong>. Ce répertoire distant doit être un <strong>partage réseau restreint en écriture seule</strong> (seule l'équipe de sécurité pourra y accéder en lecture par exemple). Attention tout de même, dans l'éventualité où un répertoire distant non accessible serait indiqué, les transcriptions ne seront plus enregistrées.</p>
<p>Pour modifier le répertoire d'écriture, il faut utiliser l'option correspondante dans le paramètre précédemment modifié :</p>
<figure id="attachment_49017" aria-describedby="caption-attachment-49017" style="width: 690px" class="wp-caption aligncenter"><a href="media/c1e1cba4.powershell-journalisation-transcript-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-04.png"><img class="wp-image-49017 size-full" src="media/c1e1cba4.powershell-journalisation-transcript-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-04.png" alt="Indication d'un répertoire distant pour l'écriture des Transcripts PowerShell" width="690" height="431" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-04.png 690w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-04-550x344.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-04-150x94.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-04-50x31.png 50w" sizes="(max-width: 690px) 100vw, 690px" /></a><figcaption id="caption-attachment-49017" class="wp-caption-text">Indication d'un répertoire distant pour l'écriture des transcriptions PowerShell</figcaption></figure>
<p>Il est également conseillé de cocher l'option <em>Inclure les en-têtes de l'appel.</em> Cela permet simplement l'horodatage de chaque commande :</p>
<figure id="attachment_49018" aria-describedby="caption-attachment-49018" style="width: 800px" class="wp-caption aligncenter"><a href="media/faeefd40.powershell-journalisation-transcript-05.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-05.png"><img class="wp-image-49018 size-large" src="media/4da2fb91.powershell-journalisation-transcript-05-800x500.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-05-800x500.png" alt="Effet de l'activation de l'horodatage individuel des commades" width="800" height="500" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-05-800x500.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-05-550x344.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-05-150x94.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-05-768x480.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-05-50x31.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-05.png 1049w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49018" class="wp-caption-text">Effet de l'activation de l'horodatage individuel des commandes</figcaption></figure>
<p><strong>Pour activer ce même paramétrage au niveau de la base de registre</strong>, il faut modifier les registres suivants :</p>
<pre>HKLM\SOFTWARE\Wow6432Node\Policies\Microsoft\Windows\PowerShell\Transcription : EnableTranscripting = 1<br />HKLM\SOFTWARE\Wow6432Node\Policies\Microsoft\Windows\PowerShell\Transcription : EnableInvocationHeader = 1<br />HKLM\SOFTWARE\Wow6432Node\Policies\Microsoft\Windows\PowerShell\Transcription : OutputDirectory = ""</pre>
<p>Faisons à présent un test. Je suis un utilisateur et j'ouvre PowerShell pour télécharger un exécutable malveillant :</p>
<pre>&gt; Invoke-WebRequest -Uri https://www.it-connect.fr/wp-content-itc/uploads/2017/06/IT-Connect_Flat_072017_Small_v2.png -OutFile logo-ITConnect.png</pre>
<p>Voici la trace laissée dans la transcription :</p>
<figure id="attachment_49020" aria-describedby="caption-attachment-49020" style="width: 800px" class="wp-caption aligncenter"><a href="media/48eec8eb.powershell-journalisation-transcript-06.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-06.png"><img class="wp-image-49020 size-large" src="media/218ef912.powershell-journalisation-transcript-06-800x609.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-06-800x609.png" alt="Transcript d'une commande Powershell classique" width="800" height="609" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-06-800x609.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-06-550x419.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-06-150x114.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-06-768x585.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-06-50x38.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-06.png 858w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49020" class="wp-caption-text">Transcription d'une commande PowerShell classique</figcaption></figure>
<p>Grâce aux transcriptions, <strong>je peux affirmer que l'utilisateur admin a téléchargé un fichier à 11h36 le 29/12/2021</strong>. À présent j'exécute un script PowerShell qui fait la même opération, sans aucune sortie dans le terminal. Voici la trace laissée dans la transcription :</p>
<figure id="attachment_49021" aria-describedby="caption-attachment-49021" style="width: 800px" class="wp-caption aligncenter"><a href="media/b71008ca.powershell-journalisation-transcript-07.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-07.png"><img class="wp-image-49021 size-large" src="media/f782242e.powershell-journalisation-transcript-07-800x682.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-07-800x682.png" alt="Transcript de l'exécution d'un Script PowerShell" width="800" height="682" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-07-800x682.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-07-550x469.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-07-150x128.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-07-768x655.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-07-50x43.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-transcript-07.png 863w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49021" class="wp-caption-text">Transcription de l'exécution d'un Script PowerShell</figcaption></figure>
<p><br />Comme indiqué précédemment, la faiblesse de cette solution est qu'<strong>elle ne journalise que les entrées/sorties du terminal</strong>, l'utilisation d'un script est donc un moyen de contourner la journalisation par la transcription. Dans le cadre d'une activité malveillante, on peut facilement imaginer que le script utilisé ait été supprimé à la suite de son utilisation, <strong>nous n'avons alors aucune trace de ce qu'il s'est passé</strong>. Heureusement, d'autres solutions existent :).</p>
<h2>III. PowerShell et Script Block Logging</h2>
<p>Le s<em>cript block logging</em> <strong>enregistre les blocs de code au fur et à mesure qu'ils sont exécutés par le moteur PowerShell</strong>, capturant ainsi l'intégralité du contenu du code exécuté par un attaquant, y compris les scripts et les commandes.</p>
<p>Il enregistre notamment le code "désobfusqué" au fur et à mesure de son exécution. Par exemple, en plus d'enregistrer le code obfusqué d'origine, le s<em>cript block logging</em><em> </em>enregistre les commandes décodées passées avec l'argument <em>-EncodedCommand</em> de PowerShell, ainsi que celles obfusquées avec XOR, Base64, ROT13, etc, en plus du code obfusqué d'origine. <strong>Le s<em>cript block logging</em> n'enregistrera cependant pas la sortie du code exécuté</strong>. Ces évènements seront journalisés dans la console de journalisation classique Windows et <strong>porteront l'ID d'évènement 4104</strong>. Les blocs de code dépassant la longueur maximale d'un message de journal d'évènements sont fragmentés en plusieurs entrées. <br /><br />Il faut cependant savoir qu'à partir de PowerShell 5.0, <strong>le système enregistre automatiquement les blocs de code si leur contenu correspond à une liste de commandes ou de techniques de script suspectes</strong>, même si le s<em>cript block logging </em>n'est pas activé. Ces blocs suspects sont enregistrés au niveau <em>avertissement</em> dans l'ID d'évènement 4104, à moins que le s<em>cript block logging</em> ne soit explicitement désactivé. Cette fonctionnalité <strong>garantit que certaines informations nécessaires aux investigations (<em>forensic</em>) sont enregistrées pour une activité suspecte</strong> connue, même si la journalisation n'est pas activée.</p>
<p><strong>L'activation du s<em>cript block logging</em> capturera toutes les activités</strong>, pas seulement les commandes considérées comme suspectes par le processus PowerShell. Cela permet d'identifier toute l'étendue de l'activité de l'attaquant. Les blocs qui ne sont pas considérés comme suspects seront également enregistrés dans l'ID d'évènement 4104, mais avec des niveaux <em>verbose</em> ou <em>information.</em><br /><br /><strong>Pour activer le s<em>cript block logging</em> au niveau GPO</strong>, il faut se rendre dans <em>Configuration ordinateur -&gt; Modèles d'administration -&gt; Composants Windows -&gt; Windows PowerShell. </em>Il faut ensuite passer le paramètre <em>Activer la journalisation de blocs de scripts PowerShell</em> à <em>Activé</em> :</p>
<figure id="attachment_49026" aria-describedby="caption-attachment-49026" style="width: 800px" class="wp-caption aligncenter"><a href="media/95a662cd.powershell-journalisation-scipt-block-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-03.png"><img class="wp-image-49026 size-large" src="media/62fe6029.powershell-journalisation-scipt-block-03-800x361.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-03-800x361.png" alt="Activation de la fonctionnalité Script Block Logging" width="800" height="361" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-03-800x361.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-03-550x248.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-03-150x68.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-03-768x347.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-03-50x23.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-03.png 1050w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49026" class="wp-caption-text">Activation de la fonctionnalité Script Block Logging</figcaption></figure>
<p><strong>Pour activer ce même paramétrage au niveau de la base de registre</strong>, il faut modifier le registre suivant :</p>
<pre>HKLM\SOFTWARE\Wow6432Node\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging : EnableScriptBlockLogging = 1</pre>
<p>Faisons à présent le même test que tout à l'heure. J'exécute une commande de téléchargement de fichier :</p>
<pre>&gt; Invoke-WebRequest -Uri https://www.it-connect.fr/wp-content-itc/uploads/2017/06/IT-Connect_Flat_072017_Small_v2.png -OutFile logo-ITConnect.png</pre>
<p>Les évènements journalisés peuvent être trouvés localement dans l'<em>Observateur d'évènements -&gt; Journaux des applications et des services -&gt; Microsoft -&gt; Windows -&gt; PowerShell -&gt; Operationnal</em> :</p>
<figure id="attachment_49023" aria-describedby="caption-attachment-49023" style="width: 800px" class="wp-caption aligncenter"><a href="media/4d2fc6a8.powershell-journalisation-scipt-block-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-02.png"><img class="wp-image-49023 size-large" src="media/e0718213.powershell-journalisation-scipt-block-02-800x191.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-02-800x191.png" alt="Journalisation d'une commande PowerShell sous l'ID d'évènement 4104" width="800" height="191" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-02-800x191.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-02-550x131.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-02-150x36.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-02-768x184.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-02-50x12.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-02.png 1234w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49023" class="wp-caption-text">Journalisation d'une commande PowerShell sous l'ID d'évènement 4104</figcaption></figure>
<p>Cette commande est journalisée dans l'ID d'évènement 4104. Si j'exécute un script contenant cette commande, voilà ce que l'on pourra voir dans l'observateur d'évènements :</p>
<figure id="attachment_49027" aria-describedby="caption-attachment-49027" style="width: 800px" class="wp-caption aligncenter"><a href="media/02ab32bd.powershell-journalisation-scipt-block-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-01.png"><img class="wp-image-49027 size-large" src="media/132cec09.powershell-journalisation-scipt-block-01-800x325.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-01-800x325.png" alt="Journalisation des commandes exécutées par un script PowerShell" width="800" height="325" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-01-800x325.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-01-550x224.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-01-150x61.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-01-768x312.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-01-50x20.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-01.png 1256w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49027" class="wp-caption-text">Journalisation des commandes exécutées par un script PowerShell</figcaption></figure>
<p>Nous avons bien ici notre commande de lancement du script, puis dans l'évènement suivant, la ligne de commande exécutée par le script, dont on retrouve par ailleurs le nom dans "<em>Chemin d'accès :</em>".</p>
<p>Nous allons maintenant passer à un cas un peu plus complexe qui est le cas d'un script contenant <strong>une commande encodée</strong>. L'encodage en base64 est la manière la plus basique de "dissimuler" une commande en PowerShell, cela permettra par exemple de ne pas faire apparaitre en clair la directive <em>Invoke-WebRequest</em>, qui permet de faire une requête HTTP, dans un script ou un terminal.</p>
<p>Pour ce faire, j'encode une première fois ma commande PowerShell en base64 :</p>
<p>Puis une deuxième fois : </p>
<p>J'exécute enfin ma commande en spécifiant <em>-encodedcommand </em>(ou <em>-e</em>), ce qui indique à PowerShell qu'<strong>il va devoir décoder la commande avant de l'exécuter</strong>, la commande qu'il obtiendra contiendra encore une fois un <em>-encodedcommand,</em> et la troisième commande qu'il obtiendra exécutera enfin une requête pour télécharger un fichier <em>via</em> HTTP.</p>
<p>Lors de son exécution, voici les différentes entrées portant l'ID d'évènement 4104 que l'on peut trouver dans l'observateur d'évènements :</p>
<figure id="attachment_49038" aria-describedby="caption-attachment-49038" style="width: 800px" class="wp-caption aligncenter"><a href="media/9edb97ac.powershell-journalisation-scipt-block-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-04.png"><img class="wp-image-49038 size-large" src="media/7c9915a5.powershell-journalisation-scipt-block-04-800x481.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-04-800x481.png" alt="Journalisation des différentes étapes de décodage de la commande PowerShell" width="800" height="481" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-04-800x481.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-04-550x330.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-04-150x90.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-04-768x461.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-04-50x30.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-04.png 1257w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49038" class="wp-caption-text">Journalisation des différentes étapes de décodage de la commande PowerShell</figcaption></figure>
<p>On voit ici que les <strong>différentes étapes de l'exécution de ma commande apparaissent</strong>, on voit notamment les deux résultats du décodage base64, ce qui nous permet de <strong>voir la commande finale exécutée</strong> (contenant le <em>Invoke-WebRequest</em>) dans l'évènement journalisé.</p>
<p>Cas plus complexe où l'on peut vraiment parler d'obfuscation. Voici la même commande <em>Invoke-WebRequest</em> obfusquée grâce à l'outil <a title="Invoke-Obfuscation" href="https://github.com/danielbohannon/Invoke-Obfuscation" target="_blank" rel="noopener">Invoke-Obfuscation</a> :</p>
<pre>((("{40}{112}{104}{88}{46}{20}{24}{77}{41}{13}{76}{35}{33}{31}{34}{79}{51}{27}{101}{48}{9}{85}{47}{7}{28}{32}{60}{63}{15}{114}{97}{42}{65}{86}{5}{23}{18}{82}{83}{75}{110}{116}{96}{30}{29}{94}{8}{16}{66}{61}{84}{2}{62}{11}{78}{80}{69}{4}{74}{91}{39}{10}{103}{53}{58}{70}{36}{22}{3}{90}{1}{44}{109}{6}{50}{115}{52}{25}{117}{102}{45}{107}{17}{14}{72}{73}{106}{64}{49}{105}{38}{108}{68}{98}{57}{89}{12}{56}{111}{55}{93}{26}{0}{21}{71}{95}{43}{19}{92}{99}{67}{54}{113}{37}{81}{100}{59}{87}" -f'T+','dbT2db','con','bT7db','ds/db','onnedb','017dbT+d','ps:/','T+d','T+d','/IT-','t','Fid','ebR','bT+','Tw','b','_d','dbT','b','bTndbT+dbTvo','dbT logo-IT','_0dbT+d','T+','ke','bT+dbTSmald','db','ues','/','dbT/','bT+','dbT','ww','e','+','+dbT','at','T+',' ','017/06',' iex((d','W','db','d','T+db','b','+d','T -Uri htt','db','d','bT','bTqdbT+dbT','d','dbT','dbTt','l','b','+','_','))','dbT+d','-dbT+d','tent-i','b','n','Tidb','Tp','necdbT+','O','ploa','FdbT+dbTl','Co','dbTv','dbT+d','T+dbT','T+d','dbT','-','c/','d','udbT+dbT','dbT.pngd','ct','.db','bT','b','T+dbTt-c',' ','IdbT','dbTt','T+','2','T','e','wdb','dbT+','d','T+','udbT','n','bT','t','dbTld','ConndbT+dbTectdbT+','T','bT+dbTg','bT2.p','T+dbT','-','T','bTf','T+dbT','b','db','.db','_','r','bT+'))-rEplaCE ([char]100+[char]98+[char]84),[char]39)|InvOKE-EXprESSIOn</pre>
<p>Ça fait mal aux yeux n'est-ce pas ? :p Sachez que <strong>c'est sur ce format de commande que travaillent la plupart des analystes en investigation numérique</strong>. Ce résultat est très difficilement compréhensible par l'homme et pose également problème aux systèmes de détection automatique. La commande est pourtant générée par un script trouvé sur internet en quelques secondes et elle fonctionne à merveille. Pour information, voici quelques-unes des techniques d'obfuscation utilisées ici :</p>
<ul>
<li><strong>Reordering</strong> : l'opérateur de formatage <em>-f</em> est utilisé afin de reconstituer une chaine de caractère ayant été divisée en plusieurs parties, ordonnée dans un sens qui rend complexe sa compréhension.
<ul>
<li><em>"{1}{0}"-f 'x','IE'</em></li>
</ul>
</li>
<li><b>Replacing</b>: Consiste à écrire une commande incorrecte ou mal formatée, puis à remplacer certains caractères au dernier moment pour qu'elle retrouve une structure correcte pour son exécution.
<ul>
<li><em>+dbT','-','T','bTf','T+dbT','b','db','.db','_','r','bT+'))-rEplaCE ('dbT','')|</em></li>
</ul>
</li>
<li><strong>Escaping character</strong>: Consiste à positionner des caractères ` au milieu d'une chaine de caractères afin de complexifier la compréhension de la commande par l'analyste. <br />
<ul>
<li>Dans notre cas, les ` (<em>[char]39</em>) apparaissent après la phase de remplacement et sont positionnés à la place des <em>dbT</em> (<em>[char]100+[char]98+[char]84</em>)</li>
</ul>
</li>
<li><strong>Up/Lower case</strong> : Écriture de commande ou mot-clé détectable en alternance de minuscule/majuscule afin de tromper des expressions régulières qui ne prendraient pas la casse en compte.
<ul>
<li><em>InvOKE-EXprESSIOn</em></li>
</ul>
</li>
</ul>
<p>Si vous êtes toujours là, voici la journalisation obtenue lors de l'exécution de cette commande :</p>
<figure id="attachment_49040" aria-describedby="caption-attachment-49040" style="width: 800px" class="wp-caption aligncenter"><a href="media/10ac5486.powershell-journalisation-scipt-block-05.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-05.png"><img class="wp-image-49040 size-large" src="media/53ab5def.powershell-journalisation-scipt-block-05-800x472.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-05-800x472.png" alt="Journalisation des étapes de reconstruction d'une commande obfusquée" width="800" height="472" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-05-800x472.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-05-550x325.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-05-150x89.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-05-768x453.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-05-50x30.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-journalisation-scipt-block-05.png 1261w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49040" class="wp-caption-text">Journalisation des étapes de reconstruction d'une commande obfusquée</figcaption></figure>
<p>Voilà qui est intéressant, <strong>trois évènements journalisés reconstituent la commande à chaque étape de sa reconstruction</strong>, et nous voyons à nouveau la commande exécutée en clair.</p>
<h2>IV. PowerShell et le module Logging</h2>
<p>Le <em>module logging</em> <strong>enregistre les détails de l'exécution au fur et à mesure de l'exécution</strong>, y compris l'initialisation des variables et les appels de commande. Le <em>module logging</em> enregistrera des portions de script, du code désobfusqué et des données de sortie. <strong>Cette journalisation capturera certains détails manqués par d'autres sources de journalisation PowerShell</strong>, bien qu'elle puisse ne pas capturer de manière fiable l'intégralité des commandes exécutées. Les événements de journalisation du module sont écrits dans l'ID d'événement (EID) 4103 et s'orientent sur l'utilisation de modules plutôt que le suivi de l'exécution d'une commande ou d'un script de A à Z.</p>
<p>Voici par exemple la journalisation générée par l'exécution de notre commande obfusquée :</p>
<figure id="attachment_49042" aria-describedby="caption-attachment-49042" style="width: 800px" class="wp-caption aligncenter"><a href="media/1dcb04e7.powershell-module-logging-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-01.png"><img class="wp-image-49042 size-large" src="media/7df3a672.powershell-module-logging-01-800x315.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-01-800x315.png" alt="Journalisation de l'exécution d'une commande obfusquée" width="800" height="315" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-01-800x315.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-01-550x217.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-01-150x59.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-01-768x303.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-01-1536x605.png 1536w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-01-50x20.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-01.png 1743w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49042" class="wp-caption-text">Journalisation de l'exécution d'une commande obfusquée</figcaption></figure>
<p>On voit ici que trois évènements (EID 4013) ont été journalisés,<strong> chacun faisant apparaitre une étape de notre commande, </strong>correspondant à l'utilisation d'un module précis : <em>Invoke-Expression, Invoke-WebRequest,</em> <em>Out-Default</em> (la sortie). Le module ciblé par l'évènement est spécifié en première ligne (<em>CommandInvocation</em>) alors que les données utiles à un analyste sont dans la partie C<em>ontexte. </em><br /><br /><strong>Pour activer le <em>module logging</em> au niveau GPO</strong>, il faut se rendre dans <em>Configuration ordinateur -&gt; Modèles d'administration -&gt; Composants Windows -&gt; Windows Powershell. </em>Il faut ensuite passer le paramètre <em>Activer l'enregistrement des modules</em> à <em>Activé</em> :</p>
<figure id="attachment_49043" aria-describedby="caption-attachment-49043" style="width: 800px" class="wp-caption aligncenter"><a href="media/7a8477cf.powershell-module-logging-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02.png"><img class="wp-image-49043 size-large" src="media/392e2f7b.powershell-module-logging-02-800x553.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02-800x553.png" alt="Activation du module Logging Powershell" width="800" height="553" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02-800x553.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02-550x380.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02-150x104.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02-768x531.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02-50x35.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02-392x272.png 392w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02-130x90.png 130w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/powershell-module-logging-02.png 1116w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49043" class="wp-caption-text">Activation du module Logging PowerShell</figcaption></figure>
<p>Il ne faut pas oublier ici d'activer le<em> module logging</em> pour tous les modules (en fonction de ce que l'on souhaite) en positionnant un <em>wildcard</em> (*) dans <em>Noms des modules</em>. On peut se servir de cette option pour journaliser uniquement l'utilisation de certains modules,<strong> mais cela n'est pas recommandé, car il est presque impossible d'anticiper toutes les possibilités qu'utilisera un attaquant.</strong></p>
<p><strong>Pour activer ce même paramétrage au niveau de la base de registre</strong>, il faut modifier le registre suivant :</p>
<pre>HKLM\SOFTWARE\Wow6432Node\Policies\Microsoft\Windows\PowerShell\ModuleLogging : EnableModuleLogging = 1<br />HKLM\SOFTWARE\Wow6432Node\Policies\Microsoft\Windows\PowerShell\ModuleLogging \ModuleNames : * = *</pre>
<h2>IV. Pour aller plus loin : centralisation et corrélation</h2>
<p>Nous voyons donc que <strong>ces trois méthodes de journalisation sont complémentaires</strong>, la transcription présente des manquements qui peuvent être problématiques pour mener à bien une investigation numérique ou pour de la surveillance des évènements de sécurité. Le <em>script block logging</em> et le<em> module logging</em> apparaissent comme des sources d'information pertinentes aussi bien pour de l'analyse forensic que pour l'envoi des journaux à un SIEM qui tentera ensuite d'y détecter des activités suspectes ou malveillantes.</p>
<p>Dans tous les cas, <strong>l'externalisation des journaux hors du système qui les produit et leur centralisation </strong>pour mener à bien des opérations de <strong>corrélation d'évènements et de détection des activités suspectes</strong> est clairement recommandée une fois que la journalisation des commandes PowerShell est activée. Je vous oriente vers cet article pour aller plus loin sur ce sujet : <a title="Centralisation des logs, un outil pour la sécurité" href="https://www.it-connect.fr/centralisation-des-logs-un-outil-pour-la-securite/" target="_blank" rel="noopener">Centralisation des logs, un outil pour la sécurité.</a></p>
<p>Pour rappel, il s'agit d'un point non négligeable du <a title="guide d'hygène informatique de l'ANSSI" href="media/4b3fffbf.guide_hygiene_informatique_anssi.pdf" data-original-source="https://www.ssi.gouv.fr/uploads/2017/01/guide_hygiene_informatique_anssi.pdf" target="_blank" rel="noopener">guide d'hygiène informatique de l'ANSSI</a> : </p>
<blockquote>
<p><strong>Directive 36 : Activer et configurer les journaux des composants</strong><br />Si toutes les actions précédentes ont été mises en œuvre,<strong> une centralisation des journaux sur un dispositif dédié pourra être envisagée</strong>. Cela permet de faciliter la recherche automatisée d’évènements suspects, d’archiver les journaux sur une longue durée et d’empêcher un attaquant d’effacer d’éventuelles traces de son passage sur les équipements qu’il a compromis.</p>
</blockquote>
<p>N'hésitez pas à partager vos expériences et vos avis dans les commentaires de cet article <img src="media/7d7d5e26.1f642.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /></p>The post <a href="https://www.it-connect.fr/powershell-activer-la-journalisation-des-commandes-et-scripts/">PowerShell : activer la journalisation des commandes et scripts</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49124
title: doorLock : Apple iOS touché par une vulnérabilité DoS dans HomeKit
uri: doorLock-Apple-iOS-touché-par-une-vulnérabilité-DoS-dans-HomeKit
url: https://www.it-connect.fr/doorlock-apple-ios-touche-par-une-vulnerabilite-dos-dans-homekit/
content:
<p><strong>Le système Apple iOS qui équipe les iPhone contient une faille de sécurité de type "déni de service" au sein de la fonctionnalité HomeKit. Le nom "doorLock" est associé à cette vulnérabilité.</strong></p>
<p>La vulnérabilité doorLock affecte <strong>toutes les versions du système iOS entre les versions 14.7 et 15.2</strong>, tout en sachant que la version 15.2 est la plus récente à ce jour. Comme je le disais en introduction, cette faille est située dans HomeKit, la fonctionnalité d'iOS qui permet de gérer des objets connectés (ampoule, interrupteur, prise, etc.) depuis son iPhone (ou son iPad).</p>
<p>À ce jour,<strong> la vulnérabilité n'est toujours pas corrigée par Apple</strong> et la firme à la pomme semble repousser sans cesse l'intégration de ce correctif à une mise à jour. D'après le chercheur en sécurité Trevor Spiniolas, <strong>Apple serait informé de cette vulnérabilité depuis le 10 août 2021</strong>, ce qui aurait dû être suffisant pour la corriger.</p>
<p>Pour exploiter la faille de sécurité doorLock,<strong> un attaquant doit réussir à modifier le nom d'un appareil HomeKit en précisant une chaîne de caractères de plus de 500 000 caractères</strong>. Par exemple, si un malware est installé sur un iPhone, il peut accéder à HomeKit pour modifier les informations d'un appareil, ou forcer la création d'un appareil dans le cas où HomeKit n'est pas utilisé par le propriétaire de l'iPhone. Sinon, une invitation HomeKit malveillante pourrait être utilisée.</p>
<p><iframe class="iframe_youtube" title="YouTube video player" src="https://www.youtube.com/embed/_BmI5Otsm9I" frameborder="0" allowfullscreen="allowfullscreen"><span data-mce-type="bookmark" style="display: inline-block; width: 0px; overflow: hidden; line-height: 0;" class="mce_SELRES_start">﻿</span></iframe></p>
<p>La faille doorLock est de type déni de service : dès lors que la chaîne de 500 000 caractères sera validée, <strong>l'appareil va complètement planter à tel point qu'il faudra le réinitialiser (hard reset) pour qu'il redémarre</strong>. Cela signifie que les données seront effacées alors mieux vaut avec une sauvegarde de son appareil.</p>
<p>Le plus grave avec la faille doorLock, c'est qu'une fois que l'appareil redémarre et que l'utilisateur se reconnecte au compte iCloud, et donc qu'il récupère les informations HomeKit, le bug se déclenche à nouveau ! En fait, il faut restaurer l'appareil sans se connecter à son compte iCloud dans un premier temps et désactiver la partie "Home" d'iOS avant de se connecter.</p>
<p>Puisque pour le moment il n'y a pas de correctif officiel de la part d'Apple, il vaut mieux rester prudent. <strong>Si vous recevez une invitation HomeKit pour ajouter un appareil, n'acceptez pas sans réfléchir, car cela peut avoir des conséquences ! </strong>À bon entendeur !</p>
<p><a href="https://bleepingcomputer.com/news/security/apple-ios-vulnerable-to-homekit-doorlock-denial-of-service-bug/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/doorlock-apple-ios-touche-par-une-vulnerabilite-dos-dans-homekit/">doorLock : Apple iOS touché par une vulnérabilité DoS dans HomeKit</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49137
title: Windows 11 est-il vraiment une petite révolution ?
uri: Windows-11-est-il-vraiment-une-petite-révolution
url: https://www.it-connect.fr/windows-11-est-il-vraiment-une-petite-revolution/
content:
<p><strong>Depuis le 5 octobre 2021, Windows 11 est disponible en version stable et les utilisateurs peuvent l'installer sur leur ordinateur en quelques clics, à condition d'avoir du matériel compatible. En comparaison de Windows 10, peut-on dire que Windows 11 est vraiment une petite révolution ? Voici mon avis sur la question.</strong></p>
<p>Cela fait trois mois que Windows 11 est sorti, et cela fait aussi trois mois que je l'utilise sur mon ordinateur au quotidien. Le 5 octobre 2021, mon côté geek a pris le dessus alors j'ai fait la <a href="https://www.it-connect.fr/windows-11-comment-activer-bitlocker-sur-un-pc-sans-puce-tpm/"><strong>mise à niveau de Windows 10 vers Windows 11</strong></a>, en laissant mes quelques doutes de côté (<em>vous savez l'appréhension de faire partie de ceux qui vont essuyer les plâtres comme on dit</em>).</p>
<p>Finalement, l'opération s'est déroulée correctement : mes applications et mes données sont là. Si cela s'est bien passé, c'est probablement parce que Windows 10 et Windows 11 sont assez proches d'un point de vue des composants système, du fonctionnement, et si l'on fait abstraction des nouveaux éléments graphiques.</p>
<p>À moi Windows 11, le système d'exploitation Windows de nouvelle génération qui marque le début d'une nouvelle ère. Ce n'est pas moi qui le dis, c'est Satya Nadella, le PDG de Microsoft sur Twitter le 4 octobre 2021 : "<em>Windows 11 marque le début d'une nouvelle génération de Windows, permettant à chacun de rêver en grand et de transformer ses idées en réalité. Nous sommes impatients de voir ce que vous allez créer.</em>". Un système que Microsoft continue de peaufiner puisque des <a href="https://www.phonandroid.com/microsoft-windows-11-nouveautes-date-de-sortie-tout-savoir.html">infos sur Windows 11</a> sont publiées régulièrement (<a href="https://www.it-connect.fr/actualites/actu-logiciel-os/">notamment sur IT-Connect</a>).</p>
<h2>Windows 11, quels sont les changements majeurs ?</h2>
<p>Avec Windows 11, plusieurs changements majeurs sont apportés par Microsoft, à commencer par<strong> les prérequis du système d'exploitation</strong>. La firme de Redmond se montre beaucoup plus exigeante afin d'améliorer la sécurité du système d'exploitation et des ordinateurs, notamment en imposant l'utilisation d'un processeur relativement récent et surtout l'utilisation d'une puce TPM 2.0. Alors même si l'on peut outrepasser cet obstacle afin d'installer Windows 11 sur un ordinateur dit "<em>non compatible</em>", ces nouveaux prérequis ont beaucoup fait parler ces derniers mois, mais bon je ne vais pas vous refaire le film.</p>
<p>Si je devais retenir trois changements majeurs au sein du système Windows 11 en lui-même, ce serait les suivants :</p>
<p><strong>- L'interface graphique</strong></p>
<p>En comparaison de Windows 10, l'interface graphique de Windows 11 n'est plus tout à fait la même. Tout d'abord, <strong>le menu Démarrer change une nouvelle fois pour être un peu plus épuré</strong>, et le bouton vient se placer au centre de la barre des tâches (même si l'on peut le repositionner à gauche). Ensuite, ce sont <strong>les fenêtres qui ont évoluées puisqu'elles bénéficient d'angles arrondis et d'une réorganisation des boutons d'actions</strong>. Personnellement, j'aime bien les angles arrondis et il paraît que c'est la mode en terme de design.</p>
<p>En complément, <strong>Microsoft a réintroduit les fameux widgets dans Windows 11</strong>. Personnalisable, la page des widgets permet d'obtenir des informations diverses et variées en fonction des widgets actifs : météo, photos, actualités, calendrier Outlook, tâches Microsoft To Do, etc. Étant donné que les tuiles dynamiques ne sont plus disponibles dans le menu Démarrer, je pense que les widgets sont une façon de les remplacer. Pour le moment, je n'ai pas trouvé un grand intérêt aux widgets, il faudrait que j'essaie à l'occasion, mais je suis habitué à fonctionner sans eux.</p>
<p><strong>Le panneau des paramètres a évolué également, et je le trouve mieux organisé que sous Windows 10.</strong> Microsoft continue de lui ajouter des paramètres petit à petit, et à terme le menu "Panneau de configuration" historique devrait surement disparaitre.</p>
<figure id="attachment_49139" aria-describedby="caption-attachment-49139" style="width: 800px" class="wp-caption aligncenter"><img class="size-large wp-image-49139" src="media/c91e0ce2.windows-11-revolution-ou-pas-800x701.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/windows-11-revolution-ou-pas-800x701.jpg" alt="Le nouveau panneau des paramètres de Windows 11" width="800" height="701" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/windows-11-revolution-ou-pas-800x701.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/windows-11-revolution-ou-pas-550x482.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/windows-11-revolution-ou-pas-150x131.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/windows-11-revolution-ou-pas-768x673.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/windows-11-revolution-ou-pas-50x44.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/windows-11-revolution-ou-pas.jpg 832w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption id="caption-attachment-49139" class="wp-caption-text">Le nouveau panneau des paramètres de Windows 11</figcaption></figure>
<p>Avec ces changements au niveau du design et l'intégration de divers thèmes, on peut dire que Microsoft a su rajeunir l'interface graphique de Windows et lui donner un nouveau point de départ.</p>
<p><strong>- Microsoft Store</strong></p>
<p>Selon moi, un autre changement majeur, c'est le Microsoft Store. Même si le nom reste le même qu'avant, son contenu est réellement différent.<strong> Il est désormais plus ouvert aux éditeurs tiers et permet l'installation d'application de bureau classique.</strong> Autrement dit, il ne se limite plus aux applications modernes.</p>
<p>Ainsi, au moment d'installer un logiciel, ce n'est plus nécessaire de rechercher sur Internet un lien de téléchargement. <strong>Il suffit de le rechercher dans le Microsoft Store et de l'installer.</strong> Petit à petit les applications sont ajoutées, et je trouve que cette nouveauté est particulièrement intéressante pour le grand public, notamment pour les personnes qui ne sont pas forcément à l'aise avec l'informatique et qui ont tendance à télécharger les logiciels un peu n'importe où. Au final, ça termine un jour ou l'autre avec un malware sur la machine et un coup de fil à l'informaticien de la famille. En complément, on retrouve la possibilité de louer des films et d'acheter des jeux vidéos.</p>
<p>Derrière le Microsoft Store, se cache aussi le gestionnaire de paquets "WinGet" qui permet de gérer les logiciels en ligne de commande. C'est un outil à suivre et qui devrait venir concurrencer <a href="https://www.it-connect.fr/comment-deployer-un-logiciel-avec-chocolatey/">Chocolatey</a> par la suite.</p>
<p><img class="aligncenter size-full wp-image-49140" src="media/2b452fd1.microsoft-store-windows-11-vlc.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/microsoft-store-windows-11-vlc.jpg" alt="" width="800" height="585" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/microsoft-store-windows-11-vlc.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/microsoft-store-windows-11-vlc-550x402.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/microsoft-store-windows-11-vlc-150x110.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/microsoft-store-windows-11-vlc-768x562.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/microsoft-store-windows-11-vlc-50x37.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p><strong>- Le support des applications Android</strong></p>
<p>Même si ce n'est pas encore disponible en version stable et que cela se rapproche du Microsoft Store, je trouve que le support des applications Android en mode natif dans Windows 11 est une amélioration majeure. Même s'il y a déjà l'application "Votre Téléphone" que l'on connaît depuis Windows 10 et qui permet d'interagir avec son smartphone depuis Windows, là on va plus loin.</p>
<p><strong>Windows 11 devrait permettre d'installer et d'exécuter les applications Android</strong>, sans avoir besoin de s'appuyer sur un émulateur tiers ou d'un smartphone (déport d'affichage).</p>
<h2>Alors, Windows 11, une révolution ou pas ?</h2>
<p>Sous le capot, Windows 11 est surement très très proche de Windows 10. Dans la pratique aussi d'ailleurs, car on s'habitue assez rapidement aux changements, mais il faut avouer que Windows 11 apporte de véritables changements vis-à-vis de Windows 10, notamment ceux évoqués ci-dessus. En fait, on en attendait peut-être encore plus !</p>
<p><strong>Pour marquer le coup véritablement, peut-être que Microsoft aurait dû attendre un peu avant de le sortir afin de proposer un système encore plus aboutit au moment de sa sortie.</strong> Par exemple, avec les applications Android déjà opérationnelles, des applications historiques complètement révisées (le Bloc-notes par exemple), le nouveau lecteur multimédia, etc... <strong>Pour vraiment créer un écart important avec Windows 10</strong> et tourner la page avec ce que l'on a pu connaître jusqu'ici.</p>
<p>Actuellement, on pourrait presque le comparer à une mise à jour majeure de Windows 10, même si ce serait un peu réducteur compte tenu des changements effectués.<strong> On peut dire que Windows 11 est une petite révolution et une évolution logique de Windows 10</strong>, mais j'insiste sur le fait que c'est une petite révolution. Avec Windows 11, Microsoft veut entrer dans un nouveau cycle, dans une nouvelle ère, alors maintenant on en veut plus !</p>
<p><strong>Et vous, quel est votre avis à ce sujet ? J'attends vos commentaires !</strong></p>The post <a href="https://www.it-connect.fr/windows-11-est-il-vraiment-une-petite-revolution/">Windows 11 est-il vraiment une petite révolution ?</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49150
title: Le premier PC Windows 11 avec une puce Microsoft Pluton dévoilé au CES 2022
uri: Le-premier-PC-Windows-11-avec-une-puce-Microsoft-Pluton-dévoilé-au-C
url:
https://www.it-connect.fr/le-premier-pc-windows-11-avec-une-puce-microsoft-pluton-devoile-au-ces-2022/

content:
<p><strong>À l'occasion du CES 2022, Lenovo a dévoilé les ThinkPad Z13 et Z16, avec un processeur de la série AMD Ryzen 6000, mais ils ont une particularité : ils intègrent un processeur de sécurité Microsoft Pluton. C'est une grande première.</strong></p>
<p>C'est la première fois que le processeur de sécurité Microsoft Pluton est intégré à un ordinateur destiné à être vendu sur le marché mondial. En novembre 2020, Microsoft avait annoncé la couleur en affirmant vouloir intégrer Pluton aux ordinateurs avec des processeurs Intel, AMD et Qualcomm.</p>
<p>Jusqu'ici, on retrouvait ce processeur seulement au sein de la Xbox et d'Azure Sphere. L'objectif de <strong>Microsoft Pluton est de stocker des informations sensibles telles que des clés de chiffrement</strong> au sein de la puce qui est intégrée au niveau du matériel de l'ordinateur. Grâce à Pluton et Windows 11, Microsoft souhaite renforcer la sécurité de son système d'exploitation.</p>
<p><strong>Vous allez me dire, Pluton est une sorte de puce TPM.</strong> On peut dire que oui, car Pluton émule une puce TPM, mais l'objectif est d'apporter des fonctionnalités de sécurité supplémentaires. Par exemple, cela va passer par des contrôles d'intégrité du firmware pour empêcher toute modification de la part d'un logiciel malveillant. En cas de modification, Pluton va automatiquement réparer la machine en récupérant les données saines via Windows Update.</p>
<p>David Weston de chez Microsoft précise que si Pluton est défini comme puce TPM par défaut dans Windows 11, cela permet aussi de protéger les informations d'identification de Windows Hello. Par la suite, <strong>Pluton devrait être intégré à d'autres modèles d'ordinateurs</strong>, mais pour le moment Lenovo bénéficie de cette exclusivité.</p>
<p>Si vous souhaitez en savoir plus sur les nouveaux ThinkPad Z13 et Z16, voici <a href="https://news.lenovo.com/pressroom/press-releases/thinkpad-z-series-new-look-recycled-materials/" target="_blank" rel="nofollow noopener">le lien vers l'annonce officielle sur le site de Lenovo</a>. Deux belles machines !</p>
<p><a href="https://www.bleepingcomputer.com/news/microsoft/first-microsoft-pluton-powered-windows-11-pcs-unveiled-at-ces/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/le-premier-pc-windows-11-avec-une-puce-microsoft-pluton-devoile-au-ces-2022/">Le premier PC Windows 11 avec une puce Microsoft Pluton dévoilé au CES 2022</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49147
title: Windows Server : voici une mise à jour pour les problèmes de Bureau à distance
uri: Windows-Server-voici-une-mise-à-jour-pour-les-problèmes-de-Bureau
url:
https://www.it-connect.fr/windows-server-voici-une-mise-a-jour-pour-les-problemes-de-bureau-a-distance/

content:
<p><strong>Microsoft a publié une nouvelle mise à jour pour Windows Server afin de corriger des problèmes de performance et de connexion via le Bureau à distance.</strong></p>
<p>Si vous avez un serveur sous Windows Server et que vous rencontrez des problèmes sur l'accès Bureau à distance alors ce correctif devrait vous intéresser fortement. Cette mise à jour résout les problèmes suivants : <strong>écran noir</strong>, connexion / <strong>ouverture de session très lente</strong>, et des <strong>lenteurs de façon générale</strong>. Dans certains cas, le Bureau à distance devient même totalement inaccessible, comme si le serveur refusait de répondre et que le service était planté.</p>
<p>C'est suite à l'installation de la mise à jour  <a href="https://support.microsoft.com/help/5008218" target="_blank" rel="noopener" data-linktype="external">KB5008218</a> que le Bureau à distance commencerait à dysfonctionnait selon les symptômes évoqués ci-dessus.</p>
<p>D'après le site de Microsoft, ce correctif s'applique aux versions suivantes : <strong>Windows Server 2022, Windows Server 2019, Windows Server 2016 et Windows Server 2012 R2</strong>.</p>
<p>Il est à noter que <strong>cette mise à jour n'est pas distribuée via Windows Update</strong> donc elle ne sera pas installée automatiquement sur les serveurs. Elle est disponible en téléchargement via le site Microsoft Catalog et ensuite vous pouvez l'importer au sein de votre serveur de gestion de mises à jour, dans WSUS par exemple.</p>
<p>En fonction de votre version de Windows Server, la KB à installer ne sera pas la même :</p>
<ul>
<li>Windows Server 2019 : <a href="https://www.catalog.update.microsoft.com/Search.aspx?q=KB5010196" target="_blank" rel="nofollow noopener">KB5010196</a></li>
<li>Windows Server 2012 R2 : <a href="https://www.catalog.update.microsoft.com/Search.aspx?q=KB5010215" target="_blank" rel="nofollow noopener">KB5010215</a></li>
</ul>
<p>Comme vous pouvez le constater, toutes les mises à jour ne sont pas encore en ligne sur le site de Microsoft, mais cela ne devrait pas tarder. Il manque la KB pour Windows Server 2022 et Windows Server 2016.</p>
<p><a href="https://docs.microsoft.com/en-us/windows/release-health/windows-message-center#2772?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="nofollow noopener">Source</a></p>
<p>&nbsp;</p>The post <a href="https://www.it-connect.fr/windows-server-voici-une-mise-a-jour-pour-les-problemes-de-bureau-a-distance/">Windows Server : voici une mise à jour pour les problèmes de Bureau à distance</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49155
title: Windows 11 : comment désactiver la recherche Web par GPO ?
uri: Windows-11-comment-désactiver-la-recherche-Web-par-GPO
url: https://www.it-connect.fr/windows-11-comment-desactiver-la-recherche-web-par-gpo/
content:
<h2>I. Présentation</h2>
<p><strong>Dans ce tutoriel, nous allons voir comment désactiver la recherche Web par GPO sur une machine Windows 11 (ou Windows 10). Cela va permettre d'éliminer les résultats Web lorsque vous effectuez une recherche sur votre PC.</strong></p>
<p>Lorsqu'une recherche est effectuée à partir de la fonction de recherche de Windows, le système recherche les résultats en local, mais il peut aussi afficher des résultats sur internet, via le moteur de recherche Bing. Si l'on ne souhaite pas que Microsoft soit au courant de toutes les recherches effectuées sur la machine, il vaut mieux désactiver la recherche sur Bing.</p>
<figure id="attachment_49159" aria-describedby="caption-attachment-49159" style="width: 791px" class="wp-caption aligncenter"><img class="size-full wp-image-49159" src="media/f4683877.gpo-desactiver-recherche-web-windows-11-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-01.jpg" alt="Comment désactiver la recherche Web de Windows 11 ?" width="791" height="789" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-01.jpg 791w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-01-550x549.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-01-150x150.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-01-768x766.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-01-50x50.jpg 50w" sizes="(max-width: 791px) 100vw, 791px" /><figcaption id="caption-attachment-49159" class="wp-caption-text">Comment désactiver la recherche Web de Windows 11 ?</figcaption></figure>
<p>Le système contient des paramètres pour gérer la recherche et l'historique de recherche, mais <strong>aucun de ces paramètres ne permet de désactiver la recherche sur le Web</strong>. C'était possible avec les premières versions de Windows 10, puis Microsoft a supprimé cette possibilité par la suite. Heureusement, il nous reste la possibilité de le faire par GPO.</p>
<p>Comme nous allons le voir, il y a <strong>deux méthodes pour désactiver cette fonctionnalité par GPO</strong>, ou plutôt deux paramètres disponibles. Le premier paramètre que nous allons voir s'applique uniquement pour les éditions Entreprise et Education de Windows. Si vous utilisez Windows en édition Pro, regardez directement le deuxième paramètre puisqu'il s'applique à toutes les éditions de Windows. Une petite subtilité qui a son importance.</p>
<h2>II. GPO pour désactiver la recherche Web</h2>
<p>Je vous invite à ouvrir la console "<strong>Gestion de stratégie de groupe</strong>" afin de créer une GPO ou d'en modifier une existante, tout en sachant que le paramètre que nous allons configurer s'applique au niveau ordinateur. Pour rappel, ce paramètre s'applique uniquement sur Windows Entreprise et Windows Education.</p>
<p>Parcourez les paramètres de la GPO comme ceci :</p>
<pre>Configuration ordinateur &gt; Stratégies &gt; Modèles d'administration &gt; Composants Windows &gt; Rechercher</pre>
<p>Ici, vous allez trouver un paramètre nommé "<strong>Ne pas effectuer des recherches sur le Web ou afficher des résultats Web dans Search</strong>". Vous devez modifier ce paramètre pour le définir sur l'état "<strong>Activé</strong>".</p>
<blockquote><p><strong>Note</strong> : ce paramètre correspond à la valeur de Registre "<strong>ConnectedSearchUseWeb</strong>" située à l'emplacement "<strong>HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Windows Search</strong>".</p></blockquote>
<figure id="attachment_49157" aria-describedby="caption-attachment-49157" style="width: 683px" class="wp-caption aligncenter"><img class="wp-image-49157 size-full" src="media/efaf7722.gpo-desactiver-recherche-web-windows-11-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-03.png" alt="GPO - Ne pas effectuer des recherches sur le Web ou afficher des résultats Web dans Search" width="683" height="632" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-03.png 683w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-03-550x509.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-03-150x139.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-03-50x46.png 50w" sizes="(max-width: 683px) 100vw, 683px" /><figcaption id="caption-attachment-49157" class="wp-caption-text">GPO - Ne pas effectuer des recherches sur le Web ou afficher des résultats Web dans Search</figcaption></figure>
<p>Il ne reste plus qu'à valider et à tester sur un poste (après avoir redémarré suite à un "<em>gpupdate /force</em>"). En effectuant une recherche, <strong>on peut voir qu'il n'y a pas de résultat Web et surtout il n'y a plus la section "Web"</strong> aux côtés de Applications, Documents, etc.</p>
<p><img class="aligncenter size-full wp-image-49158" src="media/6cf471c2.gpo-desactiver-recherche-web-windows-11-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-02.jpg" alt="" width="800" height="790" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-02.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-02-550x543.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-02-150x148.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-02-768x758.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-02-50x50.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p><strong>Notre GPO fonctionne bien !</strong> Pour la suite de ce tutoriel, voyons un paramètre qui s'applique à toutes les éditions de Windows.</p>
<h2>III. GPO : désactiver la recherche Web sur Windows 11 Pro</h2>
<p>Ce second paramètre fonctionne sur les éditions Pro, mais aussi Entreprise et Education. Autre particularité de ce paramètre, il s'applique au niveau utilisateur, et non pas au niveau de machine, ce qui peut s'avérer pratique.</p>
<p>Parcourez l'arborescence de paramètres de cette façon :</p>
<pre>Configuration utilisateur &gt; Stratégies &gt; Modèles d'administration &gt; Composants Windows &gt; Explorateur de fichiers</pre>
<p>À cet endroit, vous allez trouver un paramètre nommé "<strong>Désactiver l'affichage des entrées de recherche récentes de la zone de recherche de l'Explorateur de fichiers</strong>" : vous devez activer ce paramètre. Son nom peut porter à confusion, et surtout il n'est pas du tout intuitif, mais il permet bien de bloquer la recherche Web. La recherche en local continuera de fonctionner, y compris dans l'Explorateur de fichiers.</p>
<figure id="attachment_49156" aria-describedby="caption-attachment-49156" style="width: 683px" class="wp-caption aligncenter"><img class="wp-image-49156 size-full" src="media/f099c168.gpo-desactiver-recherche-web-windows-11-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-04.png" alt="GPO - Désactiver l'affichage des entrées de recherche récentes de la zone de recherche de l'Explorateur de fichiers" width="683" height="633" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-04.png 683w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-04-550x510.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-04-150x139.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/gpo-desactiver-recherche-web-windows-11-04-50x46.png 50w" sizes="(max-width: 683px) 100vw, 683px" /><figcaption id="caption-attachment-49156" class="wp-caption-text">GPO - Désactiver l'affichage des entrées de recherche récentes de la zone de recherche de l'Explorateur de fichiers</figcaption></figure>
<p>Il ne vous reste plus qu'à tester la GPO. Quoi qu'il en soit, avec ces deux méthodes vous allez pouvoir venir à bout de la recherche Web dans Windows 11 ou Windows 10.</p>
<p>Si vous souhaitez <strong>désactiver la recherche Web uniquement en local sur votre machine</strong>, vous pouvez éditer la stratégie de groupe locale (via <em>gpedit.msc</em>) et configurer le paramètre correspondant à votre édition de Windows.</p>The post <a href="https://www.it-connect.fr/windows-11-comment-desactiver-la-recherche-web-par-gpo/">Windows 11 : comment désactiver la recherche Web par GPO ?</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49177
title: Les nouveautés d’Anker pour débuter l’année 2022
uri: Les-nouveautés-d-Anker-pour-débuter-l-année-2022
url: https://www.it-connect.fr/les-nouveautes-danker-pour-debuter-lannee-2022/
content:
<p><strong>A l'occasion de l'événement Pepcom de Las Vegas, Anker a dévoilé plusieurs nouveautés, notamment pour ses différentes marques, que ce soit Anker, eufy ou Nebula. Faisons le point.</strong></p>
<h2>Anker 736 – Chargeur Nano II 100 W</h2>
<p>La gamme de chargeur Nano de chez Anker va accueillir un nouveau modèle <strong>capable de recharger jusqu'à 3 appareils en même temps.</strong> Il sera équipé de deux ports USB-C et d'un port USB-A, et il peut délivrer <strong>100 watts en sortie au total</strong>. Grâce à la technologie GaN II, Anker annonce un format de poche pour son chargeur et des performances plus améliorées par rapport à ses chargeurs actuels. Il sera disponible en mars 2022 au prix de <strong>74,99 euros</strong>.</p>
<p><img class="aligncenter wp-image-49180 size-full" src="media/2369f339.anker-2022-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-05.jpg" alt="Anker 736 – Chargeur Nano II 100 W" width="298" height="354" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-05.jpg 298w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-05-126x150.jpg 126w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-05-42x50.jpg 42w" sizes="(max-width: 298px) 100vw, 298px" /></p>
<h2>AnkerWork B600 Video Bar</h2>
<p>Une nouvelle caméra tout en un va être proposée par Anker : l'AnkerWork B600 Video Bar. Quand je dis tout en un, c'est qu'<strong>elle va intégrer un capteur vidéo, des haut-parleurs, des micros, et une barre lumineuse</strong>. De quoi faire du streaming avec un seul et même appareil, à voir ce que cela donne dans la pratique notamment au niveau de la qualité des micros.</p>
<p>D'ailleurs, la technologie VoiceRadar permettra<strong> la réduction de bruit basée sur l'intelligence artificielle</strong>. Quant au capteur vidéo, il propose <strong>une résolution 2K à 30 ips</strong> et certains fonctions sont intégrées comme la mise au point automatique et le zoom intelligent.</p>
<p>L'AnkerWork B600 sera disponible en février 2022 au prix de <strong>229,99 euros</strong>.</p>
<p><img class="aligncenter wp-image-49184 size-full" src="media/086c110c.anker-2022-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-01.jpg" alt="AnkerWork B600 Video Bar" width="500" height="424" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-01.jpg 500w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-01-150x127.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-01-50x42.jpg 50w" sizes="(max-width: 500px) 100vw, 500px" /></p>
<h2>eufy Security Video Doorbell Dual</h2>
<p><img class="alignright wp-image-49183 size-full" src="media/67d10fd2.anker-2022-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-02.jpg" alt="eufy Security Video Doorbell Dual" width="160" height="302" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-02.jpg 160w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-02-79x150.jpg 79w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-02-26x50.jpg 26w" sizes="(max-width: 160px) 100vw, 160px" />L'eufy Security Video Doorbell Dual est <strong>un portier vidéo doté de deux caméras</strong>. Pourquoi deux caméras ? Et bien, une caméra (2K avec un champ de vision de 160°) pour filmer les visiteurs devant la porte, et une seconde caméra (1080p avec un champ de vision de 120°) orientée vers le sol pour<strong> garder un œil sur un éventuel colis qui pourrait déposé au pied de la porte de votre domicile</strong>. Voici la promesse de ce nouveau modèle.</p>
<p>Grâce à l'intelligence artificielle, <strong>le portier vidéo peut faire la différence entre les inconnus et les personnes de votre entourage</strong> (famille, amis). Il est à noter qu'<strong>il ne nécessite pas d'abonnement puisqu'il s'appuie sur la HomeBase 2 pour stocker les enregistrements.</strong> Pour rappel, la HomeBase permet de stocker les enregistrements de vos différents appareils eufy Security, notamment des caméras, grâce à sa mémoire interne. Enfin, l'autonomie sera de 6 mois pour ce modèle totalement sans-fil.</p>
<p>Ce nouveau portier vidéo sera disponible en février 2022 au prix de <strong>249 euros</strong>.</p>
<h2>eufy Security Caméra de garage</h2>
<p>Comme son nom l'indique, ce nouvel appareil est destiné à gérer et surveiller la porte de votre garage. Cet appareil est <strong>une télécommande pour gérer l'ouverture et la fermeture de votre porte de garage</strong> (qui doit être motorisée, bien sûr), mais il sert aussi à <strong>effectuer une surveillance vidéo grâce au capteur 1080p ou 2K</strong> selon le modèle.</p>
<p>Pour contrôler la porte de garage, il y a plusieurs possibilités : l'application mobile, par la voix ou selon la géolocalisation basée sur votre smartphone. Il y aura plusieurs modèles permettant de gérer une ou deux portes selon vos besoins. L'enregistrement des vidéos ne nécessite pas d'abonnement, ni de HomeBase, puisque <strong>les enregistrements sont stockés en local sur une carte mémoire de 32 Go</strong>.</p>
<p>Pour le moment, nous ne savons pas quand cet appareil sera disponible, ni à quel prix.</p>
<p><img class="aligncenter wp-image-49182 size-full" src="media/3986f92a.anker-2022-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-03.jpg" alt="eufy Security Caméra de garage" width="800" height="356" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-03.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-03-550x245.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-03-150x67.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-03-768x342.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-03-50x22.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<h2>Nebula Cosmos Laser 4K</h2>
<p>Et si cet appareil était capable de ringardiser la télévision de notre salon ? Avec son Cosmos Laser 4K, Nebula espère frapper fort puisqu'il s'agit d'un vidéoprojecteur portable avec <strong>une résolution 4K et une luminosité de 2400 lumens ANSI</strong>.</p>
<p>Il est autonome puisqu'il intègre<strong> Android TV 10.0</strong>, ce qui va permettre à l'utilisateur d'<strong>installer des applications diverses et variées (plus de 7 000 applications)</strong>, et profiter de contenus sans avoir à connecter un ordinateur sur le vidéoprojecteur. Pour faciliter le déplacement, il intègre ne poignée de transport.</p>
<p>D'un point de vue sonore, le Cosmos Laser 4K intègre <strong>des haut-parleurs de 30 watts</strong> compatible<strong> Dolby Audio</strong> et doté de la <strong>technologie AiFi</strong> pour bien distinguer les bruits les plus discrets et avoir une meilleure immersion.</p>
<p>Cet appareil sera disponible en mars 2022 et son prix, qui pique un peu, sera de<strong> 2 199 euros</strong>.</p>
<p><img class="aligncenter wp-image-49181 size-full" src="media/29aff6ba.anker-2022-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-04.jpg" alt="Nebula Cosmos Laser 4K" width="375" height="375" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-04.jpg 375w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-04-150x150.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/anker-2022-04-50x50.jpg 50w" sizes="(max-width: 375px) 100vw, 375px" /></p>
<p><em>Source : communiqué de presse</em></p>The post <a href="https://www.it-connect.fr/les-nouveautes-danker-pour-debuter-lannee-2022/">Les nouveautés d’Anker pour débuter l’année 2022</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49173
title: Chrome 97 : quelles sont les nouveautés ?
uri: Chrome-97-quelles-sont-les-nouveautés
url: https://www.it-connect.fr/chrome-97-quelles-sont-les-nouveautes/
content:
<p><strong>Pour commencer l'année 2022, Google a publié une nouvelle version de son navigateur : Chrome 97. De nouvelles fonctions sont intégrées, y compris la possibilité de mieux gérer les données sauvegardées pour un site spécifique.</strong></p>
<p>Commençons par la nouveauté orientée "vie privée" puisque <strong>Chrome 97 intègre une nouvelle fonctionnalité permettant de supprimer toutes les données associées à un site spécifique</strong>, notamment les cookies. Alors, cela ne permet pas de supprimer les données que le site que vous visitez aurait pu récolter au moment de la visite, mais cela permet tout de même de faire le tri. Pour vider les données et cookies associés à un site spécifique pour forcer une déconnexion, cela peut s'avérer utile par exemple.</p>
<p>Pour accéder à cette nouveauté, il faut accéder aux "<strong>Paramètres</strong>", puis à la section "<strong>Sécurité et confidentialité</strong>" et cliquer sur "<strong>Afficher les autorisations et les données enregistrées pour les différents sites</strong>". Ensuite, la liste des sites va s'afficher et vous pouvez effacer toutes les données de tous les sites ou les données d'un site spécifique.</p>
<p><img class="aligncenter size-full wp-image-49174" src="media/707f0f2c.chrome-97-cookies-sites.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/chrome-97-cookies-sites.jpg" alt="Chrome 97" width="685" height="297" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/chrome-97-cookies-sites.jpg 685w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/chrome-97-cookies-sites-550x238.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/chrome-97-cookies-sites-150x65.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/chrome-97-cookies-sites-50x22.jpg 50w" sizes="(max-width: 685px) 100vw, 685px" /></p>
<p>Pour faciliter la recherche, cette liste peut être triée selon plusieurs critères : par nombre de visites sur le site, par ordre alphabétique ou encore selon la quantité de données stockées.</p>
<p>Par ailleurs, voici quelques nouveautés complémentaires intégrées par Google au sein de Chrome 97 :</p>
<ul>
<li>Prise en charge de la détection des écrans HDR, ce qui permet d'avoir des règles CSS spécifiques pour les écrans HDR et donc adapter le contenu affiché sur ces écrans.</li>
<li>Sur mobile, il est possible d'activer une option pour que Chrome mémorise le niveau de zoom défini sur chaque page, ce qui était déjà le cas sur desktop. Cette option s'active manuellement via le flag suivant (à saisir dans la barre d'adresse) : <em>chrome:flags#enable-accessibility-page-zoom</em></li>
<li>L'affichage des Web Apps va s'améliorer puisque Google a mis à disposition des développeurs deux nouvelles options permettant d'intégrer une barre de recherche ou des boutons de navigation. Cela devrait permettre d'améliorer l'ergonomie.</li>
</ul>
<p>En complément, <strong>37 failles de sécurité sont corrigées au sein de Chrome 97</strong>. Si vous utilisez Chrome, il ne vous reste plus qu'à faire la mise à jour si ce n'est pas déjà fait !</p>
<p><a href="https://www.howtogeek.com/776987/whats-new-in-chrome-97/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/chrome-97-quelles-sont-les-nouveautes/">Chrome 97 : quelles sont les nouveautés ?</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=48943
title: Test TCL 10 Tab Max : une tablette 10,3 pouces avec une excellente autonomie
uri: Test-TCL-10-Tab-Max-une-tablette-10-3-pouces-avec-une-excellente-aut
url:
https://www.it-connect.fr/test-tcl-10-tab-max-une-tablette-103-pouces-avec-une-excellente-autonomie/

content:
<h2>I. Présentation</h2>
<p>Dans cet article, je vous propose de découvrir la tablette TCL 10 Tab Max que j'ai eu l'occasion de tester dernièrement. TCL est une marque bien connue et on l'a connait généralement pour ses téléviseurs, mais elle propose d'autres types de produits : smartphones, tablettes, écouteurs, barre de son, mais aussi de l'électroménager.</p>
<p>TCL propose deux modèles de tablettes : la Tab Max 10 qui fait l'objet de ce test, et la Tab 10S. Sortie pendant le premier semestre 2021, TCL met en avant deux atouts principaux pour la Tab Max 10 : une batterie d'une grande capacité (8 000 mAh) et un bel écran de 10,36 pouces doté de la technologie NetVision et d'une résolution 2000 x 1200 pixels.</p>
<p>Voici les caractéristiques de la tablette TCL 10 Tab Max :</p>
<ul>
<li><strong>Écran</strong> : 10,36 pouces FHD (2000 x 1200 px)</li>
<li><strong>Processeur</strong> : MediaTek MT8788 (8 coeurs) avec GPU Mali-G72</li>
<li><strong>RAM</strong> : 4 Go</li>
<li><strong>Stockage interne</strong> : 64 Go (extensible par microSD)</li>
<li><strong>Audio </strong>avec 4 haut-parleurs (<span style="text-decoration: underline;">pas</span> de compatibilité Dolby Atmos ou Hi-Res Audio)</li>
<li><strong>Module photo avant</strong> : un capteur de 8 mpx</li>
<li><strong>Module photo arrière</strong> : un capteur de 13 mpx</li>
<li><strong>Connectivité</strong> : Bluetooth 5.0, Wi-Fi 802.11a/b/g/n/ac, carte SIM, GPS</li>
<li><strong>Batterie</strong> de 8 000 mAh (se recharge via USB-C)</li>
<li><strong>Chargeur</strong> de 18 Watts</li>
<li><strong>Poids</strong> : 460 grammes</li>
<li><strong>Prix</strong> : entre 189 euros et 208,99 euros</li>
</ul>
<h2>II. Package et design</h2>
<p>La boîte donne un aperçu visuel sur la tablette, mais aussi sur quelques caractéristiques clés au dos de la boîte. La tablette est correctement emballée et protégée. Regardons maintenant ce que TCL a inclus dans la boîte.</p>

<a href="media/08a9c2e8.Test-tcl-10-tab-max-package-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-01.jpg"><img width="600" height="798" src="media/08a9c2e8.Test-tcl-10-tab-max-package-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-01.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-01.jpg 600w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-01-550x732.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-01-113x150.jpg 113w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-01-38x50.jpg 38w" sizes="(max-width: 600px) 100vw, 600px" /></a>
<a href="media/b38d2d61.Test-tcl-10-tab-max-package-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-02.jpg"><img width="600" height="798" src="media/b38d2d61.Test-tcl-10-tab-max-package-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-02.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-02.jpg 600w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-02-550x732.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-02-113x150.jpg 113w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-02-38x50.jpg 38w" sizes="(max-width: 600px) 100vw, 600px" /></a>

<p>En plus de la tablette, nous avons un outil pour accéder aux slots microSD / carte SIM, un guide de démarrage rapide, et un chargeur USB logoté TCL accompagné par un câble USB-A vers USB-C.</p>
<p><img class="aligncenter size-full wp-image-48957" src="media/2b9093f7.Test-tcl-10-tab-max-package-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-03.jpg" alt="" width="800" height="602" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-03.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-03-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-03-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-03-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-package-03-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<p>Si l'on prend la tablette à l'horizontale, on se retrouve avec la caméra frontale centrée au-dessus de l'écran. Ensuite, sur le dessus de la tablette, nous avons les deux boutons pour gérer le volume, les micros, et l'accès au slot pour la carte microSD.</p>
<p>Sur la droite, nous avons deux haut-parleurs, comme sur le côté gauche où nous avons en plus le bouton on/off ainsi que le port USB-C. Sur le dessous, nous avons <strong>une broche Pogo</strong> (5 pins) ce qui peut permettre de connecter un accessoire externe tel qu'un dock.</p>

<a href="media/6281f3cb.Test-tcl-10-tab-max-photo-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-01.jpg"><img width="1000" height="752" src="media/6281f3cb.Test-tcl-10-tab-max-photo-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-01.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-01.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-01-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-01-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-01-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-01-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-01-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/19e89243.Test-tcl-10-tab-max-photo-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-02.jpg"><img width="1000" height="752" src="media/19e89243.Test-tcl-10-tab-max-photo-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-02.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-02.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-02-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-02-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-02-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-02-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-02-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/f50f5d99.Test-tcl-10-tab-max-photo-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-03.jpg"><img width="1000" height="752" src="media/f50f5d99.Test-tcl-10-tab-max-photo-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-03.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-03.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-03-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-03-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-03-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-03-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-03-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/112fc3e2.Test-tcl-10-tab-max-photo-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-05.jpg"><img width="1000" height="752" src="media/112fc3e2.Test-tcl-10-tab-max-photo-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-05.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-05.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-05-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-05-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-05-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-05-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-05-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>

<p>À mon sens, l'écran est vraiment l'une des belles surprises de cette tablette TCL 10 Tab Max : au-delà de la taille de 10,3 pouces, je trouve qu'il a un bon rendu des couleurs et globalement une belle qualité d'image. Petit bémol, je trouve que les bords noirs autour de l'écran sont un peu large mais c'est fréquent sur les tablettes, et cela évitera de venir appuyer sur l'écran lorsque vous l'avez dans les mains.</p>

<a href="media/4920a398.Test-tcl-10-tab-max-photo-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-04.jpg"><img width="1000" height="752" src="media/4920a398.Test-tcl-10-tab-max-photo-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-04.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-04.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-04-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-04-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-04-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-04-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-04-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/6a01787d.Test-tcl-10-tab-max-photo-07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-07.jpg"><img width="1000" height="752" src="media/6a01787d.Test-tcl-10-tab-max-photo-07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-07.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-07.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-07-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-07-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-07-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-07-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-07-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/b04363c3.Test-tcl-10-tab-max-photo-12.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-12.jpg"><img width="1000" height="752" src="media/b04363c3.Test-tcl-10-tab-max-photo-12.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-12.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-12.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-12-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-12-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-12-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-12-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-12-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>

<p>Entièrement gris, le dos de la tablette est assez travaillé et visuellement réussi, enfin à mon avis, car cela reste une histoire de goût. La coque arrière est sensible à la lumière, ce qui permet de voir des reflets sympas. Il est à noter que le dos de la tablette est en plastique, mais l'assemblage dans son ensemble est de bonne qualité. En haut à droite, nous retrouvons le bloc photo, avec le flash et l'unique capteur de 13 mégapixels.</p>

<a href="media/644f901b.Test-tcl-10-tab-max-photo-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-06.jpg"><img width="1000" height="752" src="media/644f901b.Test-tcl-10-tab-max-photo-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-06.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-06.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-06-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-06-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-06-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-06-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-06-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/36f7f9a9.Test-tcl-10-tab-max-photo-08.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-08.jpg"><img width="1000" height="752" src="media/36f7f9a9.Test-tcl-10-tab-max-photo-08.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-08.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-08.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-08-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-08-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-08-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-08-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-08-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/261f9c06.Test-tcl-10-tab-max-photo-09.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-09.jpg"><img width="1000" height="750" src="media/261f9c06.Test-tcl-10-tab-max-photo-09.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-09.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-09.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-09-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-09-800x600.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-09-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-09-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-09-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/7b516ea8.Test-tcl-10-tab-max-photo-10.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-10.jpg"><img width="1000" height="750" src="media/7b516ea8.Test-tcl-10-tab-max-photo-10.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-10.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-10.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-10-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-10-800x600.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-10-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-10-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-10-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/7c925841.Test-tcl-10-tab-max-photo-11.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-11.jpg"><img width="1000" height="750" src="media/7c925841.Test-tcl-10-tab-max-photo-11.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-11.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-11.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-11-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-11-800x600.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-11-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-11-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-11-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/9ccc0f3c.Test-tcl-10-tab-max-photo-13.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-13.jpg"><img width="1000" height="752" src="media/9ccc0f3c.Test-tcl-10-tab-max-photo-13.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-13.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-13.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-13-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-13-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-13-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-13-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-photo-13-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>

<p>La qualité de fabrication et l'aspect de la tablette sont satisfaisants, je pense que TCL a fait un minimum d'efforts pour que cette tablette du milieu de gamme donne l'impression d'être une tablette premium.</p>
<h2>III. L'autonomie, ça donne quoi ?</h2>
<p>Comme tout appareil qui fonctionne sur batterie, la question de l'autonomie se pose et c'est un point important à regarder au moment de choisir un appareil. Voici quelques informations à ce sujet.</p>
<ul>
<li><strong>Streaming vidéo</strong></li>
</ul>
<p>Pour tester le streaming vidéo en Wi-Fi, j'ai utilisé l'application Disney+ et j'ai configuré le volume de la tablette à 60%, et la luminosité de l'écran à 70%, pour être en bonne condition. Résultat,<strong> le streaming vidéo a pu tourner environ 14 heures avant que la tablette passe de 100% à 0%</strong>. Ce qui est un très bon résultat.</p>
<p><img class="aligncenter size-full wp-image-49089" src="media/a3372494.tablette-tcl-tab-max-10-disney.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-disney.jpg" alt="" width="800" height="602" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-disney.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-disney-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-disney-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-disney-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-disney-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></p>
<ul>
<li><strong>Temps de charge</strong></li>
</ul>
<p>Pour passer de 0% à 100% de batterie et réaliser une charge complète, <strong>il faut compter environ 2h30</strong>. Pour atteindre 20% de batterie, il faut compter environ 30 minutes de charge.</p>
<h2>IV. Performances, système, etc.</h2>
<p>Sur une tablette, les performances c'est important, car elles sont généralement utilisées pour réaliser des tâches diverses et variées : navigation Internet, streaming, jeux, etc... Le confort apporté par un écran de 10 pouces est appréciable en comparaison d'un smartphone.</p>
<p>La tablette TCL 10 Tab Max tourne sous <strong>TCL UI basé sur Android 10 </strong>et le dernier correctif de sécurité date du mois d'août. J'espère en recevoir un autre prochainement, ce qui sera le signe que la tablette est bien maintenue (normalement ce devrait être le cas).</p>
<p><strong>Le système proposé par défaut est relativement épuré, ce que j'apprécie personnellement.</strong> Il n'y a pas beaucoup d'applications superflues qui vont venir polluer la tablette, si ce n'est que l'on retrouve les applications Google, Netflix, Facebook, Bamboo Paper et OfficeSuite. Je pense que ce n'est pas excessif.</p>

<a href="media/ac3b72a7.Test-tcl-10-tab-max-systeme-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-01.jpg"><img width="1000" height="600" src="media/ac3b72a7.Test-tcl-10-tab-max-systeme-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-01.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-01.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-01-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-01-800x480.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-01-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-01-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-01-50x30.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/3925dfda.Test-tcl-10-tab-max-systeme-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-05.jpg"><img width="1000" height="600" src="media/3925dfda.Test-tcl-10-tab-max-systeme-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-05.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-05.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-05-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-05-800x480.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-05-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-05-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-05-50x30.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/4753f7a4.Test-tcl-10-tab-max-systeme-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-02.jpg"><img width="1000" height="600" src="media/4753f7a4.Test-tcl-10-tab-max-systeme-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-02.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-02.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-02-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-02-800x480.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-02-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-02-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-02-50x30.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/9117dd82.Test-tcl-10-tab-max-systeme-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-03.jpg"><img width="1000" height="600" src="media/9117dd82.Test-tcl-10-tab-max-systeme-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-03.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-03.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-03-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-03-800x480.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-03-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-03-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-03-50x30.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/f945ffc4.Test-tcl-10-tab-max-systeme-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-04.jpg"><img width="1000" height="600" src="media/f945ffc4.Test-tcl-10-tab-max-systeme-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-04.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-04.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-04-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-04-800x480.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-04-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-04-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-04-50x30.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>

<p>L'écran de la tablette est géré par la fonctionnalité NXTVision qui a pour objectif d'améliorer la qualité d'image, notamment pour rendre l'image plus riche au niveau des couleurs et plus lumineuse. Le système Android intègre un panneau de configuration dédié à la configuration de NXTVision où l'on retrouve plusieurs paramètres (voir ci-dessous).</p>

<a href="media/f343d390.Test-tcl-10-tab-max-systeme-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-06.jpg"><img width="1000" height="600" src="media/f343d390.Test-tcl-10-tab-max-systeme-06.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-06.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-06.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-06-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-06-800x480.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-06-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-06-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-06-50x30.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>
<a href="media/e66e1260.Test-tcl-10-tab-max-systeme-07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-07.jpg"><img width="1000" height="600" src="media/e66e1260.Test-tcl-10-tab-max-systeme-07.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-07.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-07.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-07-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-07-800x480.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-07-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-07-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2021/12/Test-tcl-10-tab-max-systeme-07-50x30.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a>

<p>Parmi les fonctionnalités apportées par TCL UI, nous avons le "<strong>Kids Mode</strong>" ce qui correspond à un mode destiné aux enfants. Il permet aux parents de créer un profil par enfant et configurer chaque profil afin d'autoriser l'accès à certaines applications seulement (ou certaines catégories), certains sites Internet (liste manuelle), mais aussi de limiter le temps d'utilisation de la tablette (par exemple : une session de 30 minutes). L'enfant ne peut pas quitter le mode Kids à moins de connaître le code PIN définit par les parents dans l'application.</p>

<a href="media/3057b00e.tablette-tcl-tab-max-10-mode-kids-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-05.jpg"><img width="800" height="480" src="media/3057b00e.tablette-tcl-tab-max-10-mode-kids-05.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-05.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-05.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-05-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-05-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-05-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-05-50x30.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a>
<a href="media/77617b7c.tablette-tcl-tab-max-10-mode-kids-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-04.jpg"><img width="800" height="480" src="media/77617b7c.tablette-tcl-tab-max-10-mode-kids-04.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-04.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-04.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-04-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-04-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-04-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-04-50x30.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a>
<a href="media/1feeb4a4.tablette-tcl-tab-max-10-mode-kids-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-01.jpg"><img width="800" height="480" src="media/1feeb4a4.tablette-tcl-tab-max-10-mode-kids-01.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-01.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-01.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-01-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-01-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-01-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-01-50x30.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a>
<a href="media/dff2afcb.tablette-tcl-tab-max-10-mode-kids-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-03.jpg"><img width="800" height="480" src="media/dff2afcb.tablette-tcl-tab-max-10-mode-kids-03.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-03.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-03.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-03-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-03-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-03-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-03-50x30.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a>
<a href="media/98c9d6da.tablette-tcl-tab-max-10-mode-kids-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-02.jpg"><img width="800" height="480" src="media/98c9d6da.tablette-tcl-tab-max-10-mode-kids-02.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-02.jpg" class="attachment-full size-full" alt="" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-02.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-02-550x330.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-02-150x90.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-02-768x461.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/tablette-tcl-tab-max-10-mode-kids-02-50x30.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a>

<p>Pour réaliser les tâches classiques, comme la navigation sur Internet, la lecture d'une vidéo sur YouTube, d'une série sur Netflix ou encore jouer à des jeux basiques, mais très célèbres comme Subway Surfer, la tablette tourne très bien et répond présente. Par contre, pour jouer à des jeux gourmands comme Call of Duty Mobile que j'ai l'habitude d'utiliser pour mes tests, et bien la tablette a un peu de mal... Disons que c'est fluide, mais que la qualité des graphismes n'est pas exceptionnelle.</p>
<p>La qualité audio est correcte, mais je m'attendais à mieux compte tenu de la présence de 4 haut-parleurs. Le rendu sonore manque de profondeur, mais l'expérience reste correcte pour regarder un film, une vidéo ou une série.</p>
<h2>V. Conclusion</h2>
<p>Il est temps de conclure ce test de la tablette milieu de gamme <strong>TCL 10 Tab Max</strong>. Tout d'abord, j'ai pu constater que cette tablette présentait une bonne qualité de fabrication, et un bel écran avec une bonne qualité d'affichage. L'autonomie est également un atout pour cette tablette, car elle a une très bonne endurance, même si la charge de la batterie de 8 000 mAh est relativement longue. Grâce à ses performances, cette tablette sera capable de satisfaire une grande majorité des utilisateurs sauf ceux qui ont des exigences particulières au niveau des jeux : car là, elle a clairement ses limites.</p>
<p>La tablette TCL 10 Tab Max est parfaite pour la navigation Internet, les mini-jeux, le streaming et pourquoi pas, pour suivre une réunion ou un cours en ligne. Le mode Kids est gratuit et offre une alternative assez pertinente pour contrôler l'usage de la tablette par les enfants.</p>
<ul>
<li><a href="https://tidd.ly/3puAlCs" target="_blank" rel="nofollow noopener">Voir l'offre à 189 euros sur Cdiscount</a></li>
</ul>The post <a href="https://www.it-connect.fr/test-tcl-10-tab-max-une-tablette-103-pouces-avec-une-excellente-autonomie/">Test TCL 10 Tab Max : une tablette 10,3 pouces avec une excellente autonomie</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49221
title: Windows 10 : la mise à jour KB5008212 perturbe la recherche Outlook
uri: Windows-10-la-mise-à-jour-KB5008212-perturbe-la-recherche-Outlook
url: https://www.it-connect.fr/windows-10-la-mise-a-jour-kb5008212-perturbe-la-recherche-outlook/
content:
<p><strong>La mise à jour de sécurité KB5008212 publiée par Microsoft en décembre 2021 à l'occasion du Patch Tuesday semble perturber la fonctionnalité de recherche d'Outlook. Que se passe-t-il ?</strong></p>
<p>Après avoir installé la mise à jour de sécurité KB5008212 sur sa machine Windows 10 en version 21H2, certains utilisateurs ont pu constater que la fonction de recherche d'Outlook ne fonctionne plus correctement. En fait,<strong> les e-mails récents n'apparaissent plus dans les résultats de recherche.</strong> Ce bug semble toucher Outlook via Microsoft Office 365 Apps.</p>
<p>Ce problème n'est pas sans rappeler celui qui a touché <a href="https://www.it-connect.fr/windows-11-la-recherche-ne-fonctionne-plus-dans-outlook-voici-la-solution/" target="_blank" rel="noopener">certains utilisateurs qui ont migré de Windows 10 vers Windows 11</a>. En effet, suite à la mise à niveau, une recherche dans Outlook pouvait faire planter le logiciel. Là, il s'agit bien d'un nouveau bug sous Windows 10 21H2.</p>
<p>Microsoft est en cours d'investigation sur ce problème afin de proposer une solution aux utilisateurs. En attendant, il existe une solution temporaire (la même que pour le problème qui touche Windows 11) et qui consiste à désactiver l'indexation des e-mails par le service Windows Search. Il faut ajuster la configuration du Registre de cette façon :</p>
<p><strong>1 -</strong> Ouvrez le <strong>Registre Windows (</strong>regedit.exe)</p>
<p><strong>2 -</strong> Accédez à cette clé :</p>
<pre>HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows</pre>
<p><strong>3 -</strong> Créez une nouvelle clé nommée "<strong>Windows Search</strong>" dans "<strong>Windows</strong>"</p>
<p><strong>4 -</strong> Créez une nouvelle valeur DWORD dans "<strong>Windows Search</strong>" et nommez cette valeur "<strong>PreventIndexingOutlook</strong>"</p>
<p><strong>5 -</strong> Attribuez la valeur "<strong>1</strong>" à cette valeur PreventIndexingOutlook</p>
<p><strong>6 -</strong> Validez et redémarrez Outlook pour prendre en compte le changement</p>
<p>Pour réactiver cette fonction, il suffit de passer la valeur sur "0". En tout cas, suite à ce changement le problème doit disparaître.</p>
<p>De cette façon, c'est le moteur de recherche interne à Outlook qui effectuera les recherches. Même s'il est moins performant, au moins il fonctionne. C'est la seule solution en attendant un éventuel correctif de la part de Microsoft.</p>
<p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-kb5008212-windows-security-update-breaks-outlook-search/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/windows-10-la-mise-a-jour-kb5008212-perturbe-la-recherche-outlook/">Windows 10 : la mise à jour KB5008212 perturbe la recherche Outlook</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49224
title: 50 millions d’utilisateurs actifs mensuels pour le navigateur Brave !
uri: 50-millions-d-utilisateurs-actifs-mensuels-pour-le-navigateur-Brave
url: https://www.it-connect.fr/50-millions-dutilisateurs-actifs-mensuels-pour-le-navigateur-brave/
content:
<p><strong>Brave continue sa belle progression. Le navigateur axé sur la protection de la vie privée vient de passer le cap de 50 millions d'utilisateurs actifs mensuels.</strong></p>
<p>Lancé en 2016, Brave est un navigateur basé sur Chromium comme Google Chrome et Microsoft Edge, mais il se veut différent dans son fonctionnement. En effet, Brave est un navigateur axé sur la protection de la vie privée, et par exemple, le navigateur ne vend pas de publicités ciblées.</p>
<p><strong>Fin 2020, Brave comptait 24 millions d'utilisateurs actifs mensuels. Un an plus tard, ce chiffre a plus que doublé pour atteindre 50 millions !</strong> Même si l'on est encore très loin des chiffres de Google et son navigateur Chrome, où on compte plutôt en milliards, c'est tout de même une belle progression. C'est important que des logiciels respectueux de la vie privée parviennent à se faire une place auprès des géants du secteur.</p>
<p>De nombreux navigateurs sont basés sur Chromium, comme je le disais il y a Chrome, Edge, mais aussi Vivaldi et Opera (et bien d'autres), alors il faut trouver une manière de se différencier. Pour Brave, c'est en misant sur le respect de la vie privée. <strong>Prochainement, Brave pourrait avoir un nouveau concurrent : DuckDuckGo.</strong> En effet, <a href="https://www.it-connect.fr/duckduckgo-developpe-son-propre-navigateur-pour-desktop/" target="_blank" rel="noopener">le moteur de recherche DuckDuckGo devrait être décliné sous la forme d'un navigateur pour desktop</a>, alors qu'il existe déjà une application sur mobile.</p>
<p>En termes de volumétrie de recherche, <strong>Brave affirme avoir enregistré 2,3 milliards de requêtes sur son moteur de recherche sur le second semestre 2021</strong>. Si vous souhaitez en savoir plus sur le business modèle de Brave et notamment son système Brave Rewards, je vous recommande de lire <a href="https://brave.com/fr/brave-rewards/" target="_blank" rel="nofollow noopener">cette page</a>. Le système de récompense progresse également de son côté, avec une progression multipliée par 4 et plus de 8 millions d'utilisateurs qui gagnent des BAT (cryptomonnaie <em>Basic Attention Token</em>) via le programme Brave Rewards.</p>
<p>Faisons le point en janvier 2023 pour voir si Brave a dépassé la barre des 100 millions d'utilisateurs actifs mensuels. <img src="media/7d7d5e26.1f642.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /></p>
<p><a href="https://www.zdnet.com/article/google-chrome-rival-brave-reports-another-big-jump-in-users/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/50-millions-dutilisateurs-actifs-mensuels-pour-le-navigateur-brave/">50 millions d’utilisateurs actifs mensuels pour le navigateur Brave !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49324
title: SonicWall victime à son tour du bug de l’an 2022 !
uri: SonicWall-victime-à-son-tour-du-bug-de-l-an-2022
url: https://www.it-connect.fr/sonicwall-victime-a-son-tour-du-bug-de-lan-2022/
content:
<p><strong>SonicWall a confirmé que certains de ses produits de sécurité ont été touchés par le bug de l'an 2022, un peu dans le même esprit que <a href="https://www.it-connect.fr/microsoft-exchange-et-le-bug-de-lan-2022/" target="_blank" rel="noopener">Microsoft avec Exchange</a>. Que s'est-il passé ?</strong></p>
<p>Depuis le 1er janvier 2022, les utilisateurs de certains produits SonicWall, dont Email Security et les firewalls, peuvent rencontrer des problèmes dans l'utilisation de leur solution. Par exemple,<strong> les journaux ne sont plus mis à jour au sein de la solution Email Security</strong>, donc il n'est plus possible de tracer les e-mails entrants et sortants. Autrement dit, les journaux se sont arrêtés à la date du 1er janvier 2022. Autre exemple, <strong>les utilisateurs n'ont plus accès au contenu de la boite de courriers indésirables</strong>.</p>
<p>Dès le 2 janvier 2022, <strong>SonicWall a déployé une mise à jour sur les instances hébergées dans le Cloud au travers du service Hosted Email Security</strong>, à la fois pour l'Europe et l'Amérique du Nord. Pour les instances hébergées on-premises, c'est bien sûr à l'administrateur local d'effectuer la mise à jour.</p>
<p>L'appliance Email Security doit être mise à jour vers la<strong> version 10.0.15</strong> pour corriger le bug Y2K22, tandis que pour les pare-feux avec la fonctionnalité "<em>Anti-Spam Junk Store</em>" il faut viser la <strong>version 7.6.9</strong> de Junk Store. SonicWall précise que cette version de Junk Store peut être récupérée sous SonicOS 6.5.X de la section MySonicWall du site officiel. Il faut également préciser que <strong>SonicOS 7.X n'est pas impacté par ce bug de l'an 2022 !</strong></p>
<p>Pour le moment, SonicWall n'a pas donné de détails donc on ne sait pas ce qui a déclenché le bug de l'an 2022 dans certains de ses produits. Après Microsoft avec un bug dans Exchange, puis le fabricant Honda où un bug touche les véhicules (l'horloge est revenue 20 ans en arrière), il y a désormais une troisième victime du bug de l'an 2022 : SonicWall. À qui le tour désormais ?</p>
<p><a href="https://www.bleepingcomputer.com/news/security/sonicwall-y2k22-bug-hits-email-security-firewall-products/" target="_blank" rel="nofollow noopener">Source</a></p>The post <a href="https://www.it-connect.fr/sonicwall-victime-a-son-tour-du-bug-de-lan-2022/">SonicWall victime à son tour du bug de l’an 2022 !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49303
title: L’ANSSI publie des règles de détection de l’exploitation Log4Shell
uri: L-ANSSI-publie-des-règles-de-détection-de-l-exploitation-Log4She
url: https://www.it-connect.fr/lanssi-publie-des-regles-de-detection-de-lexploitation-log4shell/
content:
<p><strong>L'ANSSI a récemment mis à la disposition de tous un document contenant des éléments de détection de l'exploitation des vulnérabilités affectant Log4j.</strong></p>
<p>La vulnérabilité Log4Shell et celles qui l'ont suivies à partir de novembre 2021 <strong>étaient les très mauvaises surprises de Noël pour un très grand nombre de RSSI, sysadmins et entreprises</strong>. Celles-ci sont activement utilisées et le seront encore probablement pendant plusieurs mois. En effet, plusieurs cas de ransomwares déployés par le biais de ces vulnérabilités sont déjà à déplorer.</p>
<ul>
<li><a title="Le ransomware Conti exploite Log4Shell pour attaquer VMware vCenter" href="https://www.it-connect.fr/le-ransomware-conti-exploite-log4shell-pour-attaquer-vmware-vcenter/" target="_blank" rel="noopener">Le ransomware Conti exploite Log4Shell pour attaquer VMware vCenter</a></li>
<li><a title="La faille Log4Shell utilisée pour déployer un ransomware" href="https://www.it-connect.fr/la-faille-log4shell-utilisee-pour-deployer-un-ransomware/" target="_blank" rel="noopener">La faille Log4Shell utilisée pour déployer un ransomware</a></li>
</ul>
<p>Pour rappel, plusieurs vulnérabilités successives ont été découvertes sur cette <strong>librairie (Log4j) Java/J2EE ultra utilisée et permettant de journaliser et d'enrichir les journaux d'évènements d'une application</strong>. L'exploitation de ces vulnérabilités, <strong>à distance et sans authentification</strong>, permet <em>in fine</em> <strong>l'exécution de commande</strong> sur les serveurs impactés.<strong> </strong>L'exploitation consiste "simplement" en l'envoi d'une chaine de caractères spécialement formatée qui sera traitée par la librairie vulnérable. Plus d'informations ici : <a title="Log4Shell - Quels sont les produits vulnérables ?" href="https://www.it-connect.fr/vulnerabilite-log4shell-log4j-quels-sont-les-produits-vulnerables/" target="_blank" rel="noopener">Log4Shell - Quels sont les produits vulnérables ?</a></p>
<p>Ce week-end,<strong> l'ANSSI a mis à la disposition de tous un document contenant des éléments de détection de l'exploitation de ces vulnérabilités</strong> pour l'outil Suricata. Ces différentes règles permettent, si vous avez déjà mis en place une infrastructure de détection adéquate, de <strong>prévenir ou de détecter une compromission liée aux vulnérabilités de log4j</strong> (CVE-2021-44228, CVE-2021-45046 et CVE 2021-451-05).</p>
<figure id="attachment_49305" aria-describedby="caption-attachment-49305" style="width: 649px" class="wp-caption aligncenter"><a href="media/966126b1.ANSSI_Detection_log4j_NP_TLP_WHITE_v1.0.6.pdf" data-original-source="https://www.cert.ssi.gouv.fr/uploads/ANSSI_Detection_log4j_NP_TLP_WHITE_v1.0.6.pdf"><img class="wp-image-49305 size-full" src="media/26d46b2a.ANSSI-log4shelll-regle-detecton.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/ANSSI-log4shelll-regle-detecton.png" alt="Vulnérabilités Log4j CVE-2021-44228 - CVE-2021-45046 - CVE-2021-45105 - Règles de détection" width="649" height="509" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/ANSSI-log4shelll-regle-detecton.png 649w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/ANSSI-log4shelll-regle-detecton-550x431.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/ANSSI-log4shelll-regle-detecton-150x118.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/ANSSI-log4shelll-regle-detecton-50x39.png 50w" sizes="(max-width: 649px) 100vw, 649px" /></a><figcaption id="caption-attachment-49305" class="wp-caption-text">Vulnérabilités Log4j CVE-2021-44228 - CVE-2021-45046 - CVE-2021-45105 - Règles de détection</figcaption></figure>
<p>Les règles de détection proposées par l'ANSSI sont <strong>composées d'expressions régulières qui peuvent être utilisées dans d'autres outils que Suricata</strong> (pare-feu applicatif, journaux d'un serveur web, proxy, IDS, IPS, etc.). Elles sont divisées en deux groupes :</p>
<ul>
<li>Le premier groupe de règles concerne la <strong>détection d'injections liées à Log4Shell</strong>, ces règles visent les flux entrants sur plusieurs protocoles afin de maximiser les chances de détection.</li>
<li>Le second groupe de règles cible les flux sortants et la <strong>détection de l'exploitation réussie de la vulnérabilité par le biais de l'interface JNDI</strong>, qui est la fameuse fonctionnalité problématique permettant de charger/injecter des classes Java à distance dans l'application vulnérable.</li>
</ul>
<p>Pour aller plus loin dans la compréhension de cette vulnérabilité, je vous oriente vers ces trois ressources :</p>
<ul>
<li>Bulletin d'alerte du CERT-FR : <a title="Vulnérabilité dans Apache Log4j" href="https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-022/" target="_blank" rel="nofollow noopener">Vulnérabilité dans Apache Log4j</a></li>
<li>Le dossier "<em>Log4Shell : 12 questions pour comprendre la faille de la décennie ?</em>" de l'<a title="ActuSécu #57 d'XMCO" href="media/eb672351.XMCO-ActuSecu-57-Log4Shell-Metamorphisme-XMZero.pdf" data-original-source="https://www.xmco.fr/actu-secu/XMCO-ActuSecu-57-Log4Shell-Metamorphisme-XMZero.pdf" target="_blank" rel="nofollow noopener">ActuSécu #57 d'XMCO</a>.</li>
<li><a title="Podcast NoLimitSecu sur Log4Shell" href="https://www.nolimitsecu.fr/log4shell/" target="_blank" rel="nofollow noopener">Podcast NoLimitSecu sur Log4Shell</a> (fait entre l'apparition de la CVE-2021-44228 et des CVE-2021-45046 et CVE 2021-451-05).</li>
</ul>
<p>Le guide de détection de l'ANSSI est disponible à cette URL : <a title="Vulnérabilités Log4j CVE-2021-44228 - CVE-2021-45046 - CVE-2021-45105 - Règles de détection" href="media/966126b1.ANSSI_Detection_log4j_NP_TLP_WHITE_v1.0.6.pdf" data-original-source="https://www.cert.ssi.gouv.fr/uploads/ANSSI_Detection_log4j_NP_TLP_WHITE_v1.0.6.pdf" target="_blank" rel="nofollow noopener">Vulnérabilités Log4j CVE-2021-44228 - CVE-2021-45046 - CVE-2021-45105 - Règles de détection </a></p>
<p><strong>Attention toutefois</strong>, au vu de l'actualité brûlante autour de ces vulnérabilités, <strong>il se peut que de nouvelles règles et méthodes d'exploitation paraissent prochainement</strong>. Pour obtenir les dernières informations et règles de détection, je vous recommande fortement de suivre les mises à jour du bulletin d'alerte du CERT-FR : <a title="Vulnérabilité dans Apache Log4j" href="https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-022/" target="_blank" rel="nofollow noopener">Vulnérabilité dans Apache Log4j</a>. Ce bulletin contient <strong>les liens vers les derniers documents à jour</strong> des règles de détection. Ce même bulletin contient un grand nombre d'informations, notamment des contournements provisoires, des outils de test, etc.</p>The post <a href="https://www.it-connect.fr/lanssi-publie-des-regles-de-detection-de-lexploitation-log4shell/">L’ANSSI publie des règles de détection de l’exploitation Log4Shell</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


feed_id: https://www.it-connect.fr/?p=49013
title: Forensic – PearlArmor : analyse de journaux et d’une image disque
uri: Forensic-PearlArmor-analyse-de-journaux-et-d-une-image-disque
url: https://www.it-connect.fr/forensic-pearlarmor-analyse-de-pdf-et-exe-malveillants/
content:
<h2>I. Présentation</h2>
<p>Nous continuons notre suite d'articles sur le CTF du FIC 2021 proposé par l'école EPITA afin de découvrir<strong> certains outils et méthodes de forensic</strong> (investigation numérique). Dans cet article nous allons nous pencher sur l'<strong>analyse de journaux d'évènements d'un service web et d'une image disque.</strong></p>
<h2>II. Contexte : Panic on board - PearlArmor</h2>
<p>Le <strong>contexte de l'incident</strong> sur lequel nous intervenons est le suivant : <strong>un bateau de croisière de la compagnie maritime ArMor a subi une panne et se retrouve bloqué en pleine mer.</strong></p>
<p>Nous savons à présent qu'à la suite d'un phishing, l'attaquant est parvenu à dérober les identifiants VPN d'un utilisateur puis à mener une attaque sur les automates du bateau afin de les arrêter. Le cinquième et dernier contexte de cette analyse est le suivant : </p>
<p><em>Avant chaque appareillage, l’ordinateur de maintenance présent à bord met à jour sa documentation depuis le serveur de fichiers interne. Le PDF qui a infecté le SeaCastle a donc été téléchargé depuis ce serveur, pourtant situé dans les locaux d’ArMor ! Il ne reste plus qu’à trouver comment le fichier qui a infecté le SeaCastle a été uploadé sur le serveur de documentation !</em></p>
<p>Deux fichiers nous sont ici fournis :</p>
<ul>
<li>Droits Serveur Doc.pdf</li>
<li>FIC-SERVEUR-DOC.ova.gz</li>
<li>Utilisateurs Serveur Doc.pdf</li>
</ul>
<p>Nous devons répondre aux questions suivantes pour compléter cette dernière étape de l'analyse :</p>
<ul>
<li>La date vraisemblable d'intrusion ;</li>
<li><label for="sol_undefined401_0">Le dossier ayant servi de point d'entrée à l'attaquant ;</label></li>
<li>Le nom du fichier ayant exploité la faille Apache ;</li>
<li>La commande ayant été exécutée en root.</li>
</ul>
<p>N'oublions pas de vérifier l'intégrité des éléments récupérés (le hash BLAKE2 est fourni avec les fichiers sur le site du challenge) :</p>
<pre>$<span style="color: #00ffff;"> b2sum Droits Serveur Doc.pdf</span><br />6c768bfa48b48a576788b9466e0157f8fd6b2aeb653f6dee11aae31c95412c00fb1abef13d62b0d2a2b3925406fb045f889eadb19738c11c9e28eaaf5e9aef84 Droits Serveur Doc.pdf<br /><br />$ <span style="color: #00ffff;">b2sum FIC-SERVEUR-DOC.ova.gz</span> <br />c513de9149a9eb85837a8fe9f939f3fa9a1d685514daec1d00a93d35ef2a43214d7f672a9cce58e3cb1840eb8d614e81e8f531fe72b5767e3688df7f294fb344 FIC-SERVEUR-DOC.ova.gz<br /><br />$ <span style="color: #00ffff;">b2sum Utilisateurs Serveur Doc.pdf</span><br />64b8a397f26b523a9b75fca277eb5ef0f27c4e1657f5c18e46c058982e989a92e2d3419a9e11b2a237e4d8d5ab471c8563eca5877c1b2004086c4d8df60a4fda Utilisateurs Serveur Doc.pdf</pre>
<p>Vous trouverez le challenge en question et les fichiers utilisés dans cet article ici : <a title="Panic On Board - PearlArmor" href="https://fic.srs.epita.fr/2021/Panic-on-board/PearlArmor" target="_blank" rel="nofollow noopener">Panic On Board - PearlArmor</a> </p>
<p>Les deux documents PDF ne sont pas des preuves, mais des informations fournies à l'analyste. Dans un cas réel, ce genre d'information peut être obtenue par un échange direct avec les responsables du périmètre étudié. Ils nous informent sur les utilisateurs légitimes et la matrice de droit en place.</p>
<h2>III. Gestion des preuves</h2>
<p>L'un des principes importants lorsque l'on manipule les preuves (objets analysés) en <em>forensic</em> est de s'assurer de leur intégrité comme nous l'avons vu. En cela, il peut arriver que la<strong> simple lecture d'un fichier puisse altérer son contenu</strong>. Prenons par exemple le cas de notre image disque : nous pouvons tenter de monter cet OVA dans Vmware/VirtualBox puis de parcourir manuellement le contenu du serveur. Cependant, <strong>cette action entrainera de fait une modification du contenu de la preuve</strong> (écritures d'évènements de démarrage dans les journaux, de tentative d'authentification, etc.). Voire pire, l'attaquant a très bien pu installer un code de destruction qui s'activera au prochain démarrage.</p>
<p>Nous allons donc commencer par effectuer une copie de tous les éléments que nous comptons étudier,<strong> nous travaillerons alors sur cette copie et non sur le fichier récupéré</strong>.</p>
<h2>IV. Analyse d'une image disque</h2>
<p>Nous avons donc sous la main un fichier OVA.</p>
<blockquote>
<p>Le format OVA (<em>Open Virtual Machine Format)</em> est un format d'archivage des données d'une machine virtuelle (disque &amp; configuration) permettant de facilement les exporter et les importer d'un hyperviseur à un autre (changement de système ou de technologie). Plus simplement, il s'agit d'une archive <em>.tar</em> dont le contenu est défini par le format OVA.</p>
</blockquote>
<pre><span style="color: #00ffff;">$ file FIC-SERVEUR-DOC.ova<br /></span>FIC-SERVEUR-DOC.ova: POSIX tar archive<span style="color: #00ffff;"><br /><br />$ tar -xvf FIC-SERVEUR-DOC.ova</span><br />FIC-SERVEUR-DOC.ovf<br />FIC-SERVEUR-DOC-disk001.vmdk<br />FIC-SERVEURit-DOC.mf</pre>
<p>Le fichier OVF permet d'obtenir des informations sur la machine virtuelle,<strong> ce fichier est normalement lu par l'hyperviseur pour construire une VM avec les bonnes ressources</strong> (RAM, périphériques, etc.).  Au passage, on remarque la présence d'une mauvaise pratique, probablement mise ici pour faciliter la résolution du challenge :</p>
<pre>$ grep -i "description" FIC-SERVEUR-DOC.ovf<br />&lt;Description&gt;root = Root2021</pre>
<p>Un autre fichier intéressant dans cette archive OVA est le fichier <em>FIC-SERVEUR-DOC-disk001.vmdk</em>.</p>
<blockquote>
<p>VMDK (<em>Virtual Machine Disk</em>) est un format de fichier ouvert (à la base créé par VmWare) permettant de simuler un disque dur virtuel pour les machines virtuelles telles que VMware ou Virtualbox.</p>
</blockquote>
<p>Le problème rencontré ici est que les outils d'analyse d'image disque ne sont pas tous accoutumés au format <em>VMDK</em>, nous devons donc convertir ce format VMDK en format <em>raw</em> (image disque brute). Cela à l'aide de la commande suivante : </p>
<pre>$ <span style="color: #00ffff;">qemu-img convert</span> FIC-SERVEUR-DOC-disk001.vmdk -m 16 -O raw image.disk</pre>
<p>À noter que dès lors, <strong>nous pouvons présumer que des preuves sont peut-être écrasées ou perdues par cette manipulation</strong>, d'où l'intérêt de travailler sur une copie de la preuve et non sur la preuve reçue directement. Cela nous permettra de revenir sur un fichier sain si nous pensons avoir supprimé quelque chose ou pour valider un constat par une autre technique. Nous nous retrouvons donc avec un fichier de 50Go, soit la taille du disque défini lorsque la machine a été créée :</p>
<pre>$ ls -alh<br />-rwxrwxrwx 1 mdy mdy 2,6G déc. 12 2020 FIC-SERVEUR-DOC-disk001.vmdk<br />-rwxrwxrwx 1 mdy mdy 50G janv. 5 20:10 image.disk</pre>
<p>Une fois cela fait, nous pouvons utiliser l'utilitaire <em>fdisk</em> pour déterminer les différentes partitions présentes dans notre disque :</p>
<pre>$ <span style="color: #00ffff;">fdisk -l image.disk</span><br />Disque image.disk : 50 GiB, 53687091200 octets, 104857600 secteurs<br />Unités : secteur de 1 × 512 = 512 octets<br />Taille de secteur (logique / physique) : 512 octets / 512 octets<br />taille d'E/S (minimale / optimale) : 512 octets / 512 octets<br />Type d'étiquette de disque : gpt<br />Identifiant de disque : 17D2441A-D62C-427F-BC1C-8B694294086E<br /><br />Périphérique Début Fin Secteurs Taille Type<br /><span style="color: #00ffff;">image.disk1 2048 4095</span> 2048 1M Amorçage BIOS<br /><span style="color: #00ffff;">image.disk2 4096 104855551</span> 104851456 50G Système de fichiers Linux</pre>
<p>Nous voyons ici que notre image disque comporte deux partitions, une partition d'amorçage BIOS, et une contenant un système de fichier Linux (très probablement <em>ext4</em>). Tentons à présent de monter cette partition pour pouvoir parcourir son contenu : </p>
<pre>$ sudo <span style="color: #00ffff;">mkdir /mnt/m</span><br />$ sudo <span style="color: #00ffff;">mount -t ext4 -o loop,offset=2097152</span> image.disk /mnt/m</pre>
<blockquote>
<p>Étant donné que notre image disque contient deux partitions, nous sommes obligés ici d'indiquer l'<em>o</em>ffset de début de notre partition dans le fichier transmis à <em>mount</em>. Celui-ci est obtenu en multipliant <em>l'offset</em> de début indiqué par <em>fdisk</em> pour la partition ciblée (4096) à la taille d'un secteur sur le disque (512), ce qui donne 2 097 152 .</p>
</blockquote>
<p>Puis nous pouvons parcourir librement le contenu de la partition montée :</p>
<pre>$ cd /mnt/m<br />mdy@siftworkstation: /mnt/m<br />$ ls -al<br />total 4038784<br />drwxr-xr-x 24 root root 4096 déc. 11 2020 .<br />drwxr-xr-x 19 root root 4096 déc. 8 16:33 ..<br />drwxr-xr-x 2 root root 4096 déc. 5 2020 bin<br />drwxr-xr-x 3 root root 4096 déc. 11 2020 boot<br />drwxr-xr-x 2 root root 4096 déc. 5 2020 cdrom<br />drwxr-xr-x 4 root root 4096 févr. 3 2020 dev</pre>
<p>Gardez cependant à l'esprit que le simple fait de lire un fichier modifiera des informations à propos de celui-ci, par exemple :</p>
<pre><span style="color: #00ffff;">$ stat /etc./hosts</span><br />Fichier : hosts<br />Taille : 224 Blocs : 8 Blocs d'E/S : 4096 fichier<br />Périphérique : 713h/1811d Inœud : 1835722 Liens : 1<br />Accès : (0644/-rw-r--r--) UID : ( 0/ root) GID : ( 0/ root)<br /><span style="color: #00ffff;">Accès : 2020-12-11 16:15:40.996000000 +0000</span><br />Modif. : 2020-12-05 08:36:46.450157258 +0000<br />Changt : 2020-12-05 08:36:46.450157258 +0000<br />Créé : -<br /><br /><span style="color: #00ffff;">$ cat /etc/hosts</span><br />127.0.0.1 localhost<br />[...]<br /><span style="color: #00ffff;"><br />$ stat /etc/hosts</span><br />Fichier : hosts<br />Taille : 224 Blocs : 8 Blocs d'E/S : 4096 fichier<br />Périphérique : 713h/1811d Inœud : 1835722 Liens : 1<br />Accès : (0644/-rw-r--r--) UID : ( 0/ root) GID : ( 0/ root)<br /><span style="color: #00ffff;">Accès : 2022-01-05 20:22:21.025011907 +0000</span><br />Modif. : 2020-12-05 08:36:46.450157258 +0000<br />Changt : 2020-12-05 08:36:46.450157258 +0000<br />Créé : -</pre>
<p>La date d'accès du fichier, qui fait partie des attributs des fichiers dans le système de fichier ext4, <strong>a été modifiée par notre accès en lecture</strong>. Nous ne pouvons ici plus savoir si ce fichier a été lu dans le cadre de l'attaque menée sur le système.</p>
<p>Pour palier à cela, nous pouvons monter le disque en lecture seule (<em>read-only</em>) :</p>
<pre><span style="color: #00ffff;">$ sudo mount -t ext4 -o ro,loop,offset=2097152 "/media/mdy/Disque exte/image.disk" /mnt/<br />$ stat /etc./timezone</span><br />Fichier : timezone<br />Taille : 8 Blocs : 8 Blocs d'E/S : 4096 fichier<br />Périphérique : 713h/1811d Inœud : 1835770 Liens : 1<br />Accès : (0644/-rw-r--r--) UID : ( 0/ root) GID : ( 0/ root)<br /><span style="color: #00ffff;">Accès : 2020-12-05 08:52:36.770945118 +0000</span><br />Modif. : 2020-12-05 08:52:36.774945114 +0000<br />Changt : 2020-12-05 08:52:36.774945114 +0000<br />Créé : -<br /><br /><span style="color: #00ffff;">$ cat /etc/timezone</span><br />Etc/UTC<br /><br /><span style="color: #00ffff;">$ stat /etc./timezone</span><br />Fichier : timezone<br />Taille : 8 Blocs : 8 Blocs d'E/S : 4096 fichier<br />Périphérique : 713h/1811d Inœud : 1835770 Liens : 1<br />Accès : (0644/-rw-r--r--) UID : ( 0/ root) GID : ( 0/ root)<br /><span style="color: #00ffff;">Accès : 2020-12-05 08:52:36.770945118 +0000</span><br />Modif. : 2020-12-05 08:52:36.774945114 +0000<br />Changt : 2020-12-05 08:52:36.774945114 +0000<br />Créé : </pre>
<p>Nous apprendrons plus loin dans cet article que l'attaque a eu lieu à une date ultérieure à la date d'accès du fichier <em>/etc/timezone</em>. Nous pouvons donc ici être relativement sûr que l'attaquant n'a pas consulté ce fichier. Cette information ne sert à rien ici, mais c'est un exemple pour montrer<strong> l'intérêt de conserver une trace dans son état d'origine autant que possible</strong>, et d'être <strong>conscient du fonctionnement de nos outils pour savoir quelles données risquent d'être modifiées par nos actions</strong>.</p>
<h2>V. Étude des journaux d'évènements</h2>
<p>Maintenant que nous avons un accès au disque dur, nous pouvons parcourir celui-ci et tenter de savoir ce qu'il s'est passé. Le fichier <em>/etc./init.d/apache2.4.29</em> nous renseigne sur l'emplacement des configurations <em>apache</em> :</p>
<pre>root@siftworkstation:/mnt/m/etc/init.d<span style="color: #00ffff;"># cat apache2.4.29</span> <br />[...]<br />HTTPD='/usr/local/apache2/bin/httpd'<br />#<br /># pick up any necessary environment variables<br />if test -f /usr/local/apache2/bin/envvars; then<br />. /usr/local/apache2/bin/envvars<br />fi</pre>
<p>Les journaux du service web <em>apache2</em> (<em>/usr/local/apache2/logs/access.log</em>) sont notamment intéressant :</p>
<figure id="attachment_49153" aria-describedby="caption-attachment-49153" style="width: 800px" class="wp-caption aligncenter"><a href="media/eb25f944.forensic-pearlarmor-apachelog.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-apachelog.png"><img class="wp-image-49153 size-large" src="media/f0e3d76f.forensic-pearlarmor-apachelog-800x568.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-apachelog-800x568.png" alt="Constat de l'absence de journaux pour le 14/08 et le 15/08" width="800" height="568" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-apachelog-800x568.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-apachelog-550x390.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-apachelog-150x106.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-apachelog-768x545.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-apachelog-50x35.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-apachelog.png 920w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49153" class="wp-caption-text">Constat de l'absence de journaux pour le 14/08 et le 15/08</figcaption></figure>
<p>On peut constater qu'il y a un trou au niveau des dates de journalisation. Cela peut être dû à une suppression intentionnelle de l'attaquant qui a souhaité effacer ses traces. Ce type d'action est référencé par la <a title="T1070.002 - Indicator Removal on Host: Clear Linux or Mac System Logs" href="https://attack.mitre.org/techniques/T1070/002/" target="_blank" rel="noopener">T1070.002 - Indicator Removal on Host: Clear Linux or Mac System Logs</a> dans le <em>framework</em> MITRE ATT&amp;CK.</p>
<p>Également, la configuration Apache nous apprend que le répertoire <em>/home/</em> de l'utilisation <em>deloin_c</em> était exposé sur le service web :</p>
<pre>root@siftworkstation:/mnt/m/usr/local/apache2/conf<span style="color: #00ffff;"># grep "deloin_c" -A 5 httpd.conf</span><br />Alias "/log" "/home/deloin_c"<br />&lt;Directory "/home/deloin_c"&gt;<br />  Options Indexes FollowSymLinks<br />  Require all granted<br />&lt;/Directory&gt;</pre>
<p>L'attaquant ayant compromis ce compte a donc pu s'en servir pour <strong>exposer des fichiers sur le service web, sans avoir besoin des droits du compte de service <em>apache2</em></strong>. Intéressons nous maintenant à l'activité des comptes utilisateur, par exemple en regardant le contenu du fichier <em>.bash_history</em> des utilisateurs du système.</p>
<blockquote>
<p>Sur les systèmes Linux, un fichier <em>.bash_history</em> est situé dans le <em>/home/</em> de chaque utilisateur et contient l'historique des commandes saisies dans le terminal. Il n'a pas pour vocation première la journalisation dans un but d'investigation numérique puisqu'il peut être supprimé ou désactivé par l'utilisateur. Il est plus fréquemment utile lorsque l'on souhaite retrouver une commande saisie par le passé (Ctrl+R).</p>
</blockquote>
<p>Le contenu du fichier <em>/home/deloin_c/.bash_history</em> est suspect :</p>
<pre>root@siftworkstation:/mnt/m/home/deloin_c# cat .bash_history <br />[...]<br />echo hello &gt;&gt; test.txt<br />ls<br />cat test.txt <br />cp test.txt /usr/local/apache2/htdocs/Siemes/<br />vim /usr/local/var/log/carpediem.php<br />ls<br />ls -lha /usr/local/apache2/htdocs/Siemes/<br />ls -lh /usr/local/apache2/htdocs/Siemes/<br />ls -lh /usr/local/var/log/<br />chmod 777 /usr/local/var/log/carpediem.php <br />ls -lh /usr/local/var/log/<br />wget http://192.168.2.10/log<br />cat log <br />rm log <br />ls<br />ls -lh /usr/local/apache2/htdocs/Siemes/<br />ls -lh /usr/local/var/log/<br />ls<br />pwd<br />cp /home/deloin_c/test.txt /usr/local/apache2/htdocs/Siemes/<br />curl http://192.168.2.10/log/carpediem.php?cmd=cp+/home/deloin_c/test.txt+/usr/local/apache2/htdocs/Siemens<br />ls -lh /usr/local/apache2/htdocs/Siemes/<br />cat /proc/self/map<br />cat /proc/self/maps<br />cat /usr/local/apache2/logs/httpd.pid <br />cat /usr/local/apache2/logs/access_log <br />curl http://192.168.2.10/log/carpediem.php?cmd=/bin/bash<br />service apache2.4.29 graceful<br />logout<br />touch hello.txt<br />vim hello.txt <br />cat hello.txt <br />rm hello.txt </pre>
<p>On remarque notamment <strong>différentes commandes visant à télécharger des fichiers</strong> <em>(wget, curl)</em> et à <strong>écrire ou modifier des fichiers dans le répertoire de travail d'<em>apache2</em></strong>. Deux commandes nous interpellent plus particulièrement :</p>
<pre>vim /usr/local/var/log/carpediem.php<br />curl http://192.168.2.10/log/carpediem.php?cmd=cp+/home/deloin_c/test.txt+/usr/local/apache2/htdocs/Siemens</pre>
<p>On retrouve ici un <strong>élément caractéristique des </strong><em><strong>webshells</strong>,</em> l'utilisation d'un paramètre <em>(cmd)</em> contenant une commande système. Nous pouvons donc fortement supposer que le fichier PHP créé (<em>carpediem.php</em>) contienne du code PHP permettant d'exécuter des commandes système. Le nom du fichier <em>carpediem.php</em> est aussi peu commun, une rapide recherche sur internet nous oriente vers un exploit concernant une élévation de privilège locale sur Apache :</p>
<figure id="attachment_49164" aria-describedby="caption-attachment-49164" style="width: 800px" class="wp-caption aligncenter"><a href="media/d31f1a61.forensic-pearlarmor-carpediem.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-carpediem.png"><img class="wp-image-49164 size-large" src="media/4de0148a.forensic-pearlarmor-carpediem-800x436.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-carpediem-800x436.png" alt="Code d'exploitation de la CVE-2019-0211 nommée &quot;Carpe diem&quot; " width="800" height="436" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-carpediem-800x436.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-carpediem-550x300.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-carpediem-150x82.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-carpediem-768x419.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-carpediem-50x27.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-carpediem.png 922w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption id="caption-attachment-49164" class="wp-caption-text">Code d'exploitation de la CVE-2019-0211 nommée "Carpe diem"</figcaption></figure>
<p>Si l'on regarde la date de dernière édition du fichier <em>/home/deloin_c/.bash_history</em>, on retrouve la date du 15/08/2020 :</p>
<pre>root@siftworkstation:/mnt/m/home/deloin_c# ls -al<br />-rw------- 1 1012 1012 1284 août 15 2020 .bash_history</pre>
<p>Ces différents constats nous permettent de répondre à la première question :</p>
<ul>
<li>La date vraisemblable d'intrusion : 15/08/2020</li>
</ul>
<p>Un autre fichier intéressant est le fichier <em>.viminfo</em> :</p>
<pre>root@siftworkstation:/mnt/m/home/deloin_c# cat .viminfo<br /># Marques dans le fichier :<br />'0 9 6 /usr/local/var/log/hello.html<br />|4,48,9,6,1607621460,"/usr/local/var/log/hello.html"<br />'1 52 0 /usr/local/var/log/carpediem.php<br />|4,49,52,0,1597511166,"/usr/local/var/log/carpediem.php"<br />'2 9 6 /usr/local/var/log/hello.html<br />|4,50,9,6,1607621460,"/usr/local/var/log/hello.html"<br />'3 536 25 /usr/local/apache2/conf/httpd.conf<br />|4,51,536,25,1597497150,"/usr/local/apache2/conf/httpd.conf"<br />'4 9 6 /usr/local/var/log/hello.html<br />|4,52,9,6,1607621460,"/usr/local/var/log/hello.html"</pre>
<blockquote>
<p>Le fichier <em>.viminfo</em> est créé automatiquement dans le <em>/home/</em> de chaque utilisateur et permet d'historiser certains éléments comme les commandes saisies dans <em>vim,</em> les recherches faites dans les fichiers, les marques, etc. </p>
</blockquote>
<p>Dans notre cas, <strong>on obtient le chemin absolu des fichiers modifiés</strong> par Mr Deloin (ou l'attaquant ayant compromis son compte) :</p>
<pre># Historique des marques dans les fichiers (les plus récentes en premier) :<br />/usr/local/var/log/hello.html<br />/usr/local/var/log/carpediem.php<br />/usr/local/apache2/conf/httpd.conf<br />~/index.php<br />/usr/local/var/log/index.php<br />~/hello.txt</pre>
<p>L'attaquant semble avoir créé des fichiers dans <em>/usr/local/var/log/</em> ainsi que dans le répertoire <em>/home/</em> de l'utilisateur, or nous savons que le <em>home</em> de l'utilisateur était exposé sur le web, <strong>les fichiers PHP créés pouvaient donc y être interprétés par le service web</strong>. Avec les éléments recueillis, nous pouvons nous répondre à ces questions : </p>
<ul>
<li>Le nom du fichier ayant exploité la faille Apache : <em>index.php</em></li>
<li>Le dossier ayant servi de point d'entrée à l'attaquant :<em> /home/deloin_c</em></li>
</ul>
<p>Au passage, l'utilisation d'un exploit sur un système ou une application en vue d'élever ses privilèges est référencée par la <a title="T1068 - Exploitation for Privilege Escalation" href="https://attack.mitre.org/techniques/T1068/" target="_blank" rel="noopener">T1068 - Exploitation for Privilege Escalation</a> dans le <em>framework</em> MITRE ATT&amp;CK.</p>
<h2>VI. Récupération d'une preuve supprimée</h2>
<p>Problème, lorsque l'on tente de lire ces fichiers, <strong>ils n'existent plus</strong>. Il semble donc que l'attaquant ayant utilisé ce compte utilisateur<strong> ait pris le soin de supprimer certaines informations</strong>. Nous allons tenter d'utiliser un outil de <em>File Carving</em> pour récupérer ces fichiers.</p>
<blockquote>
<p>Le <em>File Carving</em> est le processus consistant à essayer de récupérer des fichiers en l'absence de leurs métadonnées (fichiers supprimés de la table de référence). Cela se fait en analysant les données brutes et en identifiant de quel format il peut s'agir (texte, exécutable, png, mp3, etc.). Cela peut être fait de différentes manières, mais la plus simple est de rechercher la signature de fichier ou les <em>magic number</em> qui marquent le début et/ou la fin d'un type de fichier particulier (lecture du contenu du disque en hexadécimal et marquage du début d'un fichier lorsque l'on rencontre un <em>magic number</em>). Nous avons déjà abordé les <em>magics numbers</em> dans l'article de cette même série : <a title="Forensic – SteerOnSomewhere : analyse de PDF et EXE malveillants" href="https://www.it-connect.fr/forensic-steeronsomewhere-analyse-de-pdf-et-exe-malveillants/" target="_blank" rel="noopener">Forensic – SteerOnSomewhere : analyse de PDF et EXE malveillants</a></p>
</blockquote>
<p>Nous utiliserons ici <em>photorec</em> :</p>
<figure id="attachment_49165" aria-describedby="caption-attachment-49165" style="width: 592px" class="wp-caption aligncenter"><a href="media/a8b0c2c4.forensic-pearlarmor-photorec-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-01.png"><img class="wp-image-49165 size-full" src="media/a8b0c2c4.forensic-pearlarmor-photorec-01.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-01.png" alt="Choix du média à analyser par photorec" width="592" height="204" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-01.png 592w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-01-550x190.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-01-150x52.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-01-50x17.png 50w" sizes="(max-width: 592px) 100vw, 592px" /></a><figcaption id="caption-attachment-49165" class="wp-caption-text">Choix du média à analyser par photorec</figcaption></figure>
<p>Il nous faut ensuite sélectionner la partition à analyser dans l'image disque. Mais avant cela, nous allons faire un tour dans le paramètre <em>File Opt</em> (en bas) : </p>
<figure id="attachment_49166" aria-describedby="caption-attachment-49166" style="width: 732px" class="wp-caption aligncenter"><a href="media/c51a5104.forensic-pearlarmor-photorec-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-02.png"><img class="wp-image-49166 size-full" src="media/c51a5104.forensic-pearlarmor-photorec-02.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-02.png" alt="Selection de la partition à analyser et des options d'analyse" width="732" height="497" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-02.png 732w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-02-550x373.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-02-150x102.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-02-50x34.png 50w" sizes="(max-width: 732px) 100vw, 732px" /></a><figcaption id="caption-attachment-49166" class="wp-caption-text">Sélection de la partition à analyser et des options d'analyse</figcaption></figure>
<p>Ici nous allons pouvoir préciser à <em>photorec</em> quels sont les types de fichiers qui nous intéressent, nous sélectionnerons <em>txt</em> (qui comprend les extensions web) :</p>
<figure id="attachment_49167" aria-describedby="caption-attachment-49167" style="width: 742px" class="wp-caption aligncenter"><a href="media/c246cf19.forensic-pearlarmor-photorec-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-03.png"><img class="wp-image-49167 size-full" src="media/c246cf19.forensic-pearlarmor-photorec-03.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-03.png" alt="Choix des extensions et type de fichier à chercher" width="742" height="501" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-03.png 742w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-03-550x371.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-03-150x101.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-03-50x34.png 50w" sizes="(max-width: 742px) 100vw, 742px" /></a><figcaption id="caption-attachment-49167" class="wp-caption-text">Choix des extensions et types de fichiers à chercher</figcaption></figure>
<p>Pour faciliter le travail de <em>photorec,</em> nous lui précisons quel système de fichier est utilisé :</p>
<figure id="attachment_49168" aria-describedby="caption-attachment-49168" style="width: 740px" class="wp-caption aligncenter"><a href="media/87e5cdc6.forensic-pearlarmor-photorec-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-04.png"><img class="wp-image-49168 size-full" src="media/87e5cdc6.forensic-pearlarmor-photorec-04.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-04.png" alt="Précision du système de fichier de la partition analysée" width="740" height="210" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-04.png 740w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-04-550x156.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-04-150x43.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-04-50x14.png 50w" sizes="(max-width: 740px) 100vw, 740px" /></a><figcaption id="caption-attachment-49168" class="wp-caption-text">Précision du système de fichier de la partition analysée</figcaption></figure>
<p>Et enfin, le dossier de sortie dans lequel positionner les fichiers retrouvés :</p>
<figure id="attachment_49192" aria-describedby="caption-attachment-49192" style="width: 736px" class="wp-caption aligncenter"><a href="media/9b6e5c23.forensic-pearlarmor-photorec-05-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-05-2.png"><img class="wp-image-49192 size-full" src="media/9b6e5c23.forensic-pearlarmor-photorec-05-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-05-2.png" alt="Sélection de dossier dans lequel seront positionnés les fichiers retrouvés" width="736" height="390" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-05-2.png 736w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-05-2-550x291.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-05-2-150x79.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2022/01/forensic-pearlarmor-photorec-05-2-50x26.png 50w" sizes="(max-width: 736px) 100vw, 736px" /></a><figcaption id="caption-attachment-49192" class="wp-caption-text">Sélection du dossier dans lequel seront positionnés les fichiers retrouvés</figcaption></figure>
<p>Après une vingtaine de minutes d'exécution, <em>photorec</em> a retrouvé plus de 60 000 fichiers, cela fait beaucoup trop pour une recherche manuelle. Mais l'on se souvient avoir observé cette commande : </p>
<pre>curl http://192.168.2.10/log/carpediem.php?cmd=cp+/home/deloin_c/test.txt+/usr/local/apache2/htdocs/Siemens</pre>
<p>Celle-ci nous a menés vers un exploit dont le code peut être trouvé <a title="cfreal-carpediem.php" href="https://github.com/cfreal/exploits/blob/master/CVE-2019-0211-apache/cfreal-carpediem.php" target="_blank" rel="nofollow noopener">ici</a>. On sait donc que notre fichier contient au moins le mot <em>CARPE </em>par exemple. Utilisons à présent <em>grep</em> :</p>
<pre><span style="color: #00ffff;">$ grep -ril "carpe" *</span> <br />recup_dir.125/f92709184.php:o('CARPE (DIEM) ~ CVE-2019-0211');<br />recup_dir.125/f92709264.php:o('CARPE (DIEM) ~ CVE-2019-0211');<br />recup_dir.125/f92713296.php:o('CARPE (DIEM) ~ CVE-2019-0211');<br />recup_dir.14/f17105536.php:o('CARPE (DIEM) ~ CVE-2019-0211');</pre>
<p>Nous avons identifié plusieurs fichiers parmi les 60 000 fichiers retrouvés par <em>photorec.</em> Une exploration de leur contenu nous en apprend plus sur ce qu'ils font et nous permet de répondre à notre dernière question :</p>
<pre><span style="color: #00ffff;">$ grep "cmd" recup_dir.14/f17105536.php -C 5</span><br />  $bucket = isset($_REQUEST['cmd']) ?<br />  $_REQUEST['cmd'] :<br />    "<span style="color: #00ffff;">cp ./S7-300.pdf /usr/local/apache2/htdocs/Siemens/S7-300.pdf</span>";<br /><br />  if(strlen($bucket) &gt; $size_worker_score - 112)<br />  {<br />  o(</pre>
<ul>
<li>La commande ayant été exécutée en root : <em>cp ./S7-300.pdf /usr/local/apache2/htdocs/Siemens/S7-300.pdf</em></li>
</ul>
<h2>VII. Conclusion</h2>
<p>Cette série d'articles sur le challenge <em>Panic On Board</em> proposé par le FIC/l'école EPITA est maintenant terminée. Comme dans toute analyse <em>forensic,</em> il est maintenant temps de <strong>résumer les différentes TTP (<em>Tactics, techniques and procedures</em>) utilisées par l'attaquant et identifiées</strong> dans notre analyse :</p>
<table>
<thead>
<tr>
<th colspan="1">Phase</th>
<th colspan="1">ATT&amp;CK</th>
<th colspan="1">Nom</th>
</tr>
</thead>
<tbody>
<tr>
<td>Initial Access</td>
<td>T1566.01</td>
<td>Phishing : Spearphishing attachment</td>
</tr>
<tr>
<td>Execution</td>
<td>T1059.003</td>
<td>Command and Scripting Interpreter: Windows Command Shell</td>
</tr>
<tr>
<td>Credential Access</td>
<td>T1552.001</td>
<td>Unsecured Credentials: Credentials In Files</td>
</tr>
<tr>
<td>Persistence</td>
<td>T1078</td>
<td>Valid Accounts</td>
</tr>
<tr>
<td>Impact</td>
<td>T0826</td>
<td>Loss of Availability</td>
</tr>
<tr>
<td>Discovery</td>
<td>T1046</td>
<td>Network Service Scanning</td>
</tr>
<tr>
<td>Execution</td>
<td>T1204.002</td>
<td>User Execution: Malicious File</td>
</tr>
<tr>
<td>Defense Evasion</td>
<td>T1497.003</td>
<td>Virtualization/Sandbox Evasion: Time Based Evasion</td>
</tr>
<tr>
<td>Defense Evasion</td>
<td>T1070.002</td>
<td>Indicator Removal on Host: Clear Linux or Mac System Logs</td>
</tr>
<tr>
<td>Privilege Escalation</td>
<td>T1068</td>
<td>Exploitation for Privilege Escalation</td>
</tr>
</tbody>
</table>
<p>Le résumé des TTP a plusieurs objectifs, il permet notamment de <strong>pouvoir rapidement corréler deux attaques en constatant que leur TTP sont similaires</strong>, ce qui peut être utile pour l'attribution d'une attaque ou simplement pour noter qu'il est probable que deux attaques aient été opérées par un même attaquant.</p>
<p>Dans les rapports d'analyse <em>forensic,</em> il est aussi courant de trouver un <strong>ensemble d'IOC (<em>Indicator of Compromission</em>) qui peuvent être des URL, domaines, IP, noms d'exécutable, de services, etc</strong>. La synthèse de ces IOC permet elle aussi de pouvoir faire une<strong> corrélation entre différentes attaques</strong> pour lesquelles on retrouverait les mêmes IOC. Ils permettent également de mettre à jour les systèmes de détection et de prévention (ex : mettre en blacklist une adresse IP, ajouter une alerte de détection pour un certains nom d'exécutable sur les solutions antivirales) ou d<strong>'effectuer des recherches ciblées sur les journaux d'évènements du SI</strong> (qui sont centralisés bien évidemment <img src="media/7d7d5e26.1f642.png" data-original-source="https://s.w.org/images/core/emoji/13.1.0/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /> ).</p>
<p>J'espère que cette suite d'articles vous a plu, il existe encore de nombreux challenges de ce type disponibles sur le site de l'EPITA et je ne peux que vous conseiller d'aller y jeter un œil :). C'est par ici : <a title="Challenges Forensic" href="https://fic.srs.epita.fr/" target="_blank" rel="noopener">Challenges Forensic</a></p>The post <a href="https://www.it-connect.fr/forensic-pearlarmor-analyse-de-pdf-et-exe-malveillants/">Forensic – PearlArmor : analyse de journaux et d’une image disque</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.


