La Commission européenne et plus largement l’Europe ont décidé d’enfin lâcher un billet pour développer la souveraineté numérique avec notamment ce projet de DNS européen qui a vu le jour, même si d’autres existent déjà mais ce n’est pas grave.

Sur le papier, cela semble parfait et il n’y aurait pas une minute à perdre pour changer la config de notre box ou de notre téléphone, mais en réalité, il semble que l’infra et les fonctions supports reposent quand même sur Cloudflare et Google.

Alors ce sujet, on va le creuser tout de suite, mais aussi cette semaine, on va parler de l’une de mes attaques préférées accessibles à tous, un malware lisant toutes vos photos à la recherche de données confidentielles et une nouvelle technique de jailbreaking de LLM sur laquelle on fait le point.

DNS4EU

Whaou, un DNS 100% européen vient de sortir et bien non, en fait ce serait trop beau.

Déjà, si on remet un peu l’église au centre du village, ce n’est pas la première fois qu’une tentative de DNS 100% européen voit le jour, il y a même des projets créés par des Français et c’est important car aujourd’hui 95% des appareils sont configurés soit avec les DNS de Google ou les DNS de Cloudflare, 100% américains.

Pourquoi la Commission européenne veut-elle alors un DNS européen à 100%, eh bien notamment c’est pour éviter de dépendre de fournisseurs d’autres pays sur lesquels ils n’ont aucun contrôle car si demain Google ou Cloudflare décide de ne plus répondre aux requêtes DNS en provenance de la France, eh bien il n’y a plus internet pour les Français.

Alors l’idée est géniale car on essaye de sortir de la dépendance de Google et Cloudflare sauf que DNS4EU repose aussi sur Google et Cloudflare.

En réalité, pour être honnête, l’infrastructure DNS est 100% européenne sauf apparemment sur le trafic réseau, qui pourrait être amené à passer par le Royaume-Uni, par contre, les fonctions support ne le sont pas et typiquement le site de présentation du projet est hébergé derrière Cloudflare et leur système de mailing assuré par Google.

Par contre, à noter que le projet, comme ces concurrents, propose aussi des revolvers bloquant les menaces mais aussi les pubs mais aussi des serveurs dédiés aux équipements pour enfants cachant tous les contenus violent etc.. et même une version sans filtre, alors à vous maintenant de faire votre choix ! ([1])

Faux support

Je vous le dis sans retenue, cette attaque / vulnérabilité est ma préférée tant sa simplicité va de pair avec son efficacité et en plus tout le monde peut le faire.

L’idée de cette attaque repose sur deux éléments : en un, sponsorisé sur Google des sites légitimes de support des outils les plus populaires, je parle bien donc des vrais pages de support de ces applications et en deux, d’afficher sur la page un numéro différent et évidemment que vous contrôlez sur cette page.

Comment faire cela, comment afficher un numéro sur la page web de votre choix alors que vous ne contrôlez pas le code source ? Eh bien, pas besoin d’exploiter une vulnérabilité ultra compliquée mais juste de tirer profit des barres de recherches souvent présentes sur ces pages.

Et oui, car ces barres de recherches, souvent, fonctionnent avec un paramètre dans l’URL qui est utilisé pour effectuer votre recherche et l’idée du coup c’est de remplacer ce paramètre par une phrase type appelés le support à ce numéro de téléphone et sponsorisé ce lien très précisément.

Lorsqu’un utilisateur arrivera sur le site, la barre de recherche sera précomplétée avec votre message et un utilisateur pas trop habile sera tenté d’appeler le numéro affiché que vous contrôlez, à vous maintenant d’être convaincant au téléphone pour extorquer un maximum de données. ([2])

Mobile Weaponized

Même sur Google Play et sur l’App Store, il existe des malwares au nom super mignon qui regardent absolument toutes vos photos à la recherche de vos données !

SparkKitty est donc la nouvelle trouvaille de Kaspersky et le malware se diffuse en se faisant passer pour de fausses applications, dont majoritairement TikTok. Et fait rare, l’application fonctionne réellement et, deuxième, le malware est quand même bien évolué !

Déjà, pour réussir à bypasser les mécanismes de sécurité et de protection de Google et d’Apple, le malware se cache à travers des librairies modifiées très populaires permettant de communiquer avec le réseau, en gros l’équivalent de fetch en JS typiquement pour mobile mais aussi pour Apple. Le malware tire profit du programme de Développer Apple et du Programme Entreprise, permettant de publier des applications sans passer par les mécanismes de vérification classiques de l’App Store.

Et que fait le malware ? Eh bien tout simplement, il scanne toutes vos photos sur votre téléphone à la recherche de données confidentielles comme des clés de crypto que vous auriez prises en capture d’écran, en faisant donc de l’OCR et en envoyant les données vers un serveur contrôlé par l’attaquant.

Comme d’habitude, n’installez pas n’importe quoi et essayez de rester un maximum sur les applications officielles et faites bien attention aux permissions que vous accordez. ([3])

LLM Jailbreaking

Attention, une nouvelle technique de jailbreak des LLM vient de tomber et cette fois-ci, même pas besoin d’un long prompt ultra compliqué, en plus cela fait longtemps que l’on n’en a pas parlé !

Juste pour rappel, les LLM, donc typiquement ChatGPT ou Gemini, se sont vu progressivement ajouter des contrôles pour respecter les politiques des entreprises, que l’on appelle communément des guardrails, en gros, des mesures de sécurité ont été ajoutées pour éviter que l’IA génére du contenu haineux ou autre, volontairement ou pas.

Et l’idée du jailbreaking, c’est de bypasser ces contrôles pour récupérer un accès à un LLM prêt à tout faire pour nous.

D’habitude, pour faire du jailbreaking, cela implique souvent de créer des prompts très longs et très fastidieux mais l’attaque echo chamber tire profit d’une autre idée : la contextualisation.

Pour simplifier l’idée, va être de dissimuler notre objectif final à travers la conversation. Par exemple, on va d’abord demander à ChatGPT ce qu’est un cocktail, puis discuter avec lui pour obtenir des recettes populaires avant de lui demander c’est quoi Molotov et de continuer la discussion jusqu’à créer des liens pour arriver à notre objectif de demander à ChatGPT la fameuse recette du cocktail Molotov.

De notre côté, on a essayé en faisant générer à ChatGPT un discours pro NAZI et cela fonctionne super bien car les brides de discussions étant dans la zone verte, ChatGPT considère que l’assemblage de ces éléments reste aussi dans la zone verte. ([4])

Toute l'actualité en cybersécurité, développement (WEB, Cloud) et tech sur notre chaine youtube ou en nous contactant pour réaliser une formation en présentiel dans votre entreprise !