Le Comptoir Sécu

Nous venons de tourner un nouveau SECHebdo en live sur Youtube. Comme d’habitude, si vous avez raté l’enregistrement, vous pouvez le retrouver sur notre chaîne Youtube (vidéo ci-dessus) ou bien au format podcast audio:

Au sommaire de cette émission :

• DDoS MemCrashed (00:01:29)
• Fail Trustico (00:12:42)
• Vulnérabilité d'implémentation SAML (00:27:04)
• FinFisher aka FinSpy (00:37:11)
• Pwned Passwords v2 de Troy Hunt avec en bonus, l'analyse de Hydraze (00:57:40)

Notre discord : http://discord.comptoirsecu.fr

A bientôt pour d’autres émissions/podcasts!

Liste des sources :

• DDoS MemCrashed
  • Memcached Servers Abused for Massive Amplification DDoS Attacks
  • Powerful New DDoS Method Adds Extortion
  • Memcrashed - Major amplification attacks from UDP port 11211
  • 1.7 Tbps DDoS Attack — ​Memcached UDP Reflections Set New Record
• Fail Trustico
  • 23,000 HTTPS certs will be axed in next 24 hours after private keys leak
  • Post de Jeremy Rowley de DigiCert “How do you handle mass revocation requests?”
  • HTTPS cert flingers Trustico, SSL Direct go TITSUP after website security blunder blabbed
• Vulnérabilité d’implémentation SAML
  • Duo Finds SAML Vulnerabilities Affecting Multiple Implementations
• FinFisher aka FinSpy
  • FinFisher exposed: A researcher’s tale of defeating traps, tricks, and complex virtual machines
  • Gamma FinFisher hacked: 40 GB of internal documents and source code of government malware published
  • VMAttack: Deobfuscating Virtualization-Based Packed Binaries
  • GitHub : VMAttack PlugIn for IDA Pro
• Pwned Passwords v2 de Troy Hunt avec en bonus, l’analyse de Hydraze
  • I’ve Just Launched “Pwned Passwords” V2 With Half a Billion Passwords for Download
  • Validating Leaked Passwords with k-Anonymity
  • Checking for Breached Passwords in Active Directory – Using k-Anonymity!
  • Page officielle de safepass.me
  • Papier d’étude “Password Creation in the Presence of Blacklists”
  • Titre_article
  • zxcvbn: realistic password strength estimation
  • 10,000 Top Passwords
  • passwdqc - password/passphrase strength checking and enforcement
• Sujet non traité en live par manque de temps : Tor et son financement
  • Tor serait financé en grande partie par des agences gouvernementales américaines et coopérerait avec des agences du renseignement
• Sujet non traité en live par manque de temps : MS Secure Blog : limiter la casse si NotPetya strikes back
  • How to mitigate rapid cyberattacks such as Petya and WannaCrypt