Actualité

 

eBay et les pirates

Publié le 13-03-2008 à 10:15:03 dans le thème Réseau - Sécurité

Pays : International - Auteur : Damien Bancal


Pub : CA Anti-Spyware 2007 - Les logiciels espions sont notre cible avant que vous ne deveniez la leur!


Note des lecteurs: 3.5/5

ebay presse régionaleMon eBay mis à nu : démonstration de la faille eBay-XSS et son exploit grâce un applet flash.

eBay, un excellent service Internet pour vendre et acheter des biens mis aux enchères. Seulement, eBay n'est pas parfait et les clients peuvent rapidement s'en rendre compte s'ils ne prennent pas quelques précautions. Ebay annonçait hier, dans la presse régionale, être visé par la France. Son système de vente remis en cause dans l'hexagone et "Derrière ces attaques, de fausses accusations sont portées envers eBay de ne pas protéger ses utilisateurs" indiquait dans cette pleine page eBay France. Une pleine page qui indiquait aussi qu'un Français sur cinq est inscrit sur eBay. Nous allons donc revenir sur un point qui nous semble très important. Non, la sécurité sur eBay n'est pas garantie à 100 %. Non, eBay ne protège pas à 100 % ses utilisateurs. Il reste encore des lacunes qui mettent en danger les clients. Le dernier cas en date, une vente de 3 millions de dollars qui n'aurait jamais eu lieu.

 

Faille de sécurité toujours vivace

Les pirates informatiques et les e-escrocs peuvent toujours accéder aux identifiants des membres eBay grâce à une vulnérabilité qui n'a encore été corrigée par le site de vente aux enchères américain (LIRE). Le simple fait d´ouvrir une page d´enchère sur eBay suffit. L'internaute, qui a ouvert son espace eBay, n´a même besoin de cliquer sur un lien contenu dans une annonce piégée. Pendant qu´il décortique ce qu'il pense être une bonne affaire, ses identifiants (nom, prénom, adresse privée, adresse courriel, ...) sont directement communiqués aux pirates. Le fonctionnement est très simple, trop simple même. Nous vous en révélions l'existence l'année dernière. Il suffit au pirate de cacher un fichier au format Flash. Une image particulièrement formée (VOIR) (2). "En insérant un appel à un applet flash, explique à ZATAZ.COM les experts de Falle-Internet , dans le descriptif de l´annonce, il est possible par le biais du Cross-Site-Scripting d´avoir un aperçu de toutes les données dans - mon ebay -, alors qu´elles ne devraient être accessible expressément qu´au titulaire du compte. En plus des informations de connexion du client, le pirate peut mettre la main sur les dernières activités de sa cible (Achat réussi ou raté, liste des objets suivis, lire les messages privés dans mes message". Autant d'informations qui permettent aux pirates de mettre la main sur des acheteurs qui n'y verront que du feu en recevant de fausses ventes ou autres fausses offres de la seconde chance (LIRE) (VOIR).

hameçonnage eBayHameçonnage possible

"La faille de sécurité Cross-Site–Scripting facilite aussi l´hameçonnage (phishing), confirme Falle-Internet, En manipulant certains des éléments précis de la page d´enchère, il est possible de soumettre à la victime une fausse page de login (ouvrir une session) le mot de passe saisi sera envoyé instantanément aux truands. Cette tromperie fonctionne d´autant mieux qu´elle ne nécessite aucun renvoi sur une page externe (phishing classique): Il suffit d´insérer le faux formulaire directement dans la page d´enchère alors que la victime se trouve visuellement toujours sur une page ebay."

N´importe quel membre d´eBay peut être victime de cette faille, il lui suffit d´avoir préalablement ouvert une session sur le site eBay; D´avoir installé un plugin Flash sur son pc et d´autoriser le JavaScript sur son Navigateur. "L´escroc met une page d´enchère sur un article fréquemment recherché. Dans cette page il insère l´appel à une animation Flash spécialement préparée. Un ebayeur, qui s´est préalablement identifié sur le site, ouvre cette page et son navigateur télécharge le code Flash de l´escroc. Celui-ci contient un code JavaScript qui renvoie les cookies-eBay du navigateur de l´ebayeur à l´escroc." Une infiltration qui ne laisse aucune chance aux clients eBay.

Pour défendre eBay un instant, le site de vente aux enchères ne peut rien faire après la modification d'une enchères, à moins d'interdire les flashs ou de mettre un cerbère, devant chaque annonce, nuit et jour, 7 jours sur 7. Impossible donc à eBay de contrôler la mise en page et les modifications ultérieures. Heureusement, il existe des méthodes pour se protéger. L'une d'elle est assez simple. Il suffit de désactiver toutes les fonctions JavaScript dans son Navigateur. Un inconvénient à cette méthode de protection, le site eBay qui utilise ces fonctions fonctionnera beaucoup moins bien voir plus du tout.

Épilogue

Décembre 2007, la section d´eBay "Law Enforcement Affairs" est contactée et informée sur les différentes failles et les solutions possibles. Mi-Décembre de cette même période, la section d´eBay "Trust & Safety" est contacté à son tour. Depuis, des actions pirates très concertées ont visé eBay (1) (2) (3). Mars 2008, aucune contre-mesure efficace n´a été mise en place par d´eBay.

 

Conseiller cet article Réagir RSS ZATAZ Partager cet article sur Wikio Partager cet article sur Scoopeo Digger cet article ! Partager cet article avec mes amis sur Facebook ! Partager cet article sur Fuzz Partager cet article sur del.icio.us Envoyer cet article sur Blogmarks

Derniers contenus

Le Comité d´Entreprise de GoodYear Amiens fait dans le phishing !

Exclu : Une page dédié à la banque Halifax cachée à l´insu du plein grès du Comité d'Entreprise du fabricant de pneu GoodYear, à Amiens.

DailyMotion HS: Fait trop chaud

Une panne de courant plonge plusieurs centaines de sites Internet Français dans le noir dont Dailymotion, le portail vidéo.

Interpol, nouveau membre du FIRST

La police internationale intègre le cercle du Forum of Incident Response and Security Teams, FIRST.

Fête nationale à la sauce guerre électronique

Un internaute souhaitait lancer une attaque informatique lors de la fête nationale américaine du 4 juillet. Il passera son Independance Day entre quatre murs.

Nouvelles arrestations chez wawa mania

Mercredi matin, les forces de l´ordre française auraient sonné chez de nouveaux administrateurs et uploaders du site Wawa Mania.

Sécurité et mobilité

Périphériques de stockage amovibles : une menace réelle pour la sécurité des informations en entreprises. Une tribune d´Alexei Lesnykh, Responsable du Développement International et de la Stratégie Produit de DeviceLock.

Interoute Internet Barometer

Un widget vous permet de suive en temps réel les attaques informatiques en cours.

Usenet coupable de violation de la propriété intellectuelle

Les ayants droits américains font condamner Usenet. La justice estime que Usenet est directement coupable de violation de la propriété intellectuelle.

Sur le même thème : Réseau - Sécurité

Interpol, nouveau membre du FIRST

La police internationale intègre le cercle du Forum of Incident Response and Security Teams, FIRST.

Sécurité et mobilité

Périphériques de stockage amovibles : une menace réelle pour la sécurité des informations en entreprises. Une tribune d´Alexei Lesnykh, Responsable du Développement International et de la Stratégie Produit de DeviceLock.

Interoute Internet Barometer

Un widget vous permet de suive en temps réel les attaques informatiques en cours.

Codes d´accès de jury du bac en accès libre sur la toile

Exclusif : BACCALAUREAT GENERAL session 2009. Plusieurs dizaines d'identifiants de connexion au système de gestion des résultats du bac en accès libre sur Internet.

Problème de confidentialité corrigé sur le site Amaguiz.com

Exclusif : Le site de l´assureur low cost Amaguiz laissait en accès libre plusieurs miliers de dossiers clients. L´espace a été corrigé suite à notre alerte.

Un piège électronique sur le site Presseregional.fr

Exclusif : Étrange fichier découvert sur le site Internet Presseregional.fr, le portail web du Syndicat de la presse quotidienne régionale.

Facebook corrige une faille liée à la vie privée de ses abonnés

Une faille permettait de rentrer dans la vie privée des abonnés de Facebook. Le site vient de corriger 3 semaines après l´alerte.

Des abonnés de Free et Neuf télécom s'échangeraient leurs connexions

Marché noir autour des identifiants appartenant à des clients Freewifi et Neuf télécom Wifi.

Vos réactions ( 0 )

Réagissez à ce contenu

Réagir

Vous devez vous identifier pour ajouter un commentaire.

Cliquer ici pour vous inscrire.

Derniers communiqués de presse

Un site pour sauver des vies

Le groupe de protection sociale Vauban Humanis lance le premier site de localisation de défibrillateurs en France.

La version bêta de BitDefender 2010 désormais disponible en français

BitDefender a le plaisir d´annoncer pour la première fois la disponibilité en langue française de la version bêta de sa solution de sécurité BitDefender Total Security 2010.

Interface de programmation RapiShare disponible

RapidShare donne l´accès à son interface de programmation d´applications. Celle-ci permettra aux développeurs privés et professionnels d´intégrer rapidement et facilement la technologie RapidShare dans leurs outils.

Forfaits vraiment illimités chez Virgin Mobile

Virgin Mobile révolutionne le marché et lance les premiers forfaits vraiment illimités.

Stars-buzz.com

Clara plume: P?tit plaisir à saisir

« J?ai juste envie de parler aux gens », dit Clara Plume. Et elle parle ! C?est d?ailleurs de la parole qu?elle vient : enfance à la fois classique et bohème, encouragée à écrire aussi naturellement qu?elle lit, et à s?exprimer aussi passionnément qu?elle écoute. Elle devient comédienne, monte des pièces, en écrit, les jette, [...]

Speech Debelle, le nouveau clip sur Stars-buzz

Better Days a été produit par Plutonic Lab pendant le séjour de Speech en Australie. Après plusieurs idées de featuring, elle s?est finalement décidée pour Micachu qui a su insuffler sa touche brit-pop unique au titre. Le résultat est dément. Le son est chaleureux, groovy, sensuel. Le beat funky contraste avec la profondeur de la contrebasse [...]

Marie Espinosa, la démarante

Marie Espinosa marquée par Jane Birkin et Françoise Hardy sortira son premier album à la rentrée chez Remark (ULM/Universal Music). Une galette suave baptisée « La démarrante » et qui annonce un son mélodieux. C’est du moins ce que nous a fait saliver de plaisir le premier single de la belle, « Charmante jeune fille [...]

Street Hero

Street Hero ? Saut sur un bus avec caméra embarquée ? Saut freestyle d?un immeuble sur des bus en caméra embarquée. A voir ! Des bus, un immeuble et un jeune sautillant Yamakazi à la sauce anglaise. Etonnant, c’est le buzz vidéo du moment. Soleil, fun et juillet, voilà une période ou l’on peut se lacher un peu [...]

Syndication RSS

nabaztag

  • http://www.wikio.fr
  • netvibes
  • NewsGator Online
  • Rojo
  • Bloglines
  • Google

ZATAZ mobile et PDA