[SECHebdo] 06 Mars 2018

DDoS MemCrashed, Fail Trustico, Vuln SAML, FinFisher aka FinSpy, Pwned Passwords v2, etc.

Nous venons de tourner un nouveau SECHebdo en live sur Youtube. Comme d’habitude, si vous avez raté l’enregistrement, vous pouvez le retrouver sur notre chaîne Youtube (vidéo ci-dessus) ou bien au format podcast audio:

Au sommaire de cette émission :

• (00:01:29) DDoS MemCrashed
• (00:12:42) Fail Trustico
• (00:27:04) Vulnérabilité d'implémentation SAML
• (00:37:11) FinFisher aka FinSpy
• (00:57:40) Pwned Passwords v2 de Troy Hunt avec en bonus, l'analyse de Hydraze

Notre discord : http://discord.comptoirsecu.fr

A bientôt pour d’autres émissions/podcasts!

Liste des sources :

• DDoS MemCrashed
  • Memcached Servers Abused for Massive Amplification DDoS Attacks
  • Powerful New DDoS Method Adds Extortion
  • Memcrashed - Major amplification attacks from UDP port 11211
  • 1.7 Tbps DDoS Attack — ​Memcached UDP Reflections Set New Record
• Fail Trustico
  • 23,000 HTTPS certs will be axed in next 24 hours after private keys leak
  • Post de Jeremy Rowley de DigiCert “How do you handle mass revocation requests?”
  • HTTPS cert flingers Trustico, SSL Direct go TITSUP after website security blunder blabbed
• Vulnérabilité d’implémentation SAML
  • Duo Finds SAML Vulnerabilities Affecting Multiple Implementations
• FinFisher aka FinSpy
  • FinFisher exposed: A researcher’s tale of defeating traps, tricks, and complex virtual machines
  • Gamma FinFisher hacked: 40 GB of internal documents and source code of government malware published
  • VMAttack: Deobfuscating Virtualization-Based Packed Binaries
  • GitHub : VMAttack PlugIn for IDA Pro
• Pwned Passwords v2 de Troy Hunt avec en bonus, l’analyse de Hydraze
  • I’ve Just Launched “Pwned Passwords” V2 With Half a Billion Passwords for Download
  • Validating Leaked Passwords with k-Anonymity
  • Checking for Breached Passwords in Active Directory – Using k-Anonymity!
  • Page officielle de safepass.me
  • Papier d’étude “Password Creation in the Presence of Blacklists”
  • Titre_article
  • zxcvbn: realistic password strength estimation
  • 10,000 Top Passwords
  • passwdqc - password/passphrase strength checking and enforcement
• Sujet non traité en live par manque de temps : Tor et son financement
  • Tor serait financé en grande partie par des agences gouvernementales américaines et coopérerait avec des agences du renseignement
• Sujet non traité en live par manque de temps : MS Secure Blog : limiter la casse si NotPetya strikes back
  • How to mitigate rapid cyberattacks such as Petya and WannaCrypt