Le malware InstaAgent frappe encore, avec la bénédiction d'Apple
Le développeur qui se cachait derrière InstaAgent frappe encore. En novembre dernier, on découvrait cette application iOS dont l’objet était d’aider l’utilisateur d’Instagram à savoir qui avait consulté son profil. Il s’agissait en fait d’un malware dont le vrai objectif était de subtiliser identifiant et mot de passe (lire : Un malware déguisé en client Instagram sur l’App Store).
Si Apple a retiré l’application malveillante, son développeur Turker Bayram peut continuer ses activités malintentionnées en toute liberté. Et avec le blanc-seing d’Apple, puisqu’il a obtenu le feu vert de l’App Store pour deux nouvelles applications pratiquement identiques, Who Cares With Me - InstaDetector et InstaCare - Who cares with me?, disponibles aussi sur Android. Leur but est semblable à InstaCare : voler les informations des utilisateurs Instagram en leur faisant miroiter la possibilité de savoir qui avait jeté un œil sur leurs photos.
Les victimes des agissements de Bayram se plaignent de voir du spam dans leur fil Instagram ; plus grave, les identifiants et mots de passe des utilisateurs sont envoyés sur un serveur distant. Le plus important, si on a téléchargé une de ces deux applications, est donc de changer immédiatement de mot de passe dans Instagram.
D’après David L-R qui avait déjà repéré la supercherie de l’an dernier, Bayram utilise les mêmes algorithme et chiffrement de données pour envoyer les informations des utilisateurs d’Instagram sur ces fameux serveurs inconnus. Le coupable a signé son crime… Le pire dans cette histoire, c’est qu’Apple a autorisé ces applications sans sourciller. On a connu l’App Store beaucoup plus zélé pour des applications honnêtes.
Joli Apple qui tient de grands discours sur la confidentialité.
Comme quoi un faux sentiment de sécurité est tellement dangereux!
Bon et puis ceux qui sont sur des réseaux sociaux ils ne faut pas qu'ils s'imaginent être dans un espace de confidentialité. Pour ceux qui lisent les conditions d'utilisation de Facebook par exemple, il est dit que tout ce que vous postez sur Facebook ne vous appartient pas.
Le sentiment de sécurité depend de la connaissance que l'on a du systeme et des informations que l'on met dedans...
l'iPhone est securisé en local uniquement. Le Patriot Act empeche de chiffrer serieusement les donnees qui vont sur les cloud!
Donc la donnees une fois sur le net est publique et accessible a tous ceux qui s'en donnent les moyens, et la faut dire un grand merci a Bush et a la NSA qui ont grandement facilité le travail des cybercriminels.
Dans le cas present, je ne vois pas en quoi le developpeur de ce malware peut etre exclu par Apple. Si les utilisateurs sont assez stupident pour demander et charger des applications qui sont des MiM, qui s'intercalent donc en captant toutes les donnees entre l'iPhone et le serveurs du reseau social, que peut y faire Apple a moins d'interdire systematiquement ces applications tierces?
Je sais pas mais j'aurai jamais l'idee de donner mon mot de passe resau a une application tierce, c'est trop evident que l'application peut envoyer ce code - en clair par negligence - sur des serveurs autres que ceux du reseau!!!
La securité c'est d'abord une question de bon sens!
Et puis de toute facon, balancer des infos sur Facebook, Intatagram, Snapchat et cie c'est comme se foutre a poil en pleine place publique et donner a qui le demande l'acces a ses comptes bancaires, les clefs de sa maison, de sa bagnole, son numero de secu, etc... C'est l'outil par excellence de l'ingenierie sociale!
"je ne vois pas en quoi le developpeur de ce malware peut etre exclu par Apple" :
Apple l'a pourtant déjà bien exclu pour le même motif (ainsi que Google).
"Si les utilisateurs sont assez stupident pour demander et charger des applications qui sont des MiM" : les utilisateurs ne savent pas ce que sont des MIM ; Apple est responsable de ce qu'elle propose sur son Store.
la confidentialité sur SON infrastructure à ELLE.
Ni sur celle des apps tiers, ni même celle officielle d'instagram, google, twitter, facebook, oomu...
Ah oui d'accord...
Et Instagram il stock comment les identifiants de ses utilisateurs ?
Qu'ils soient en clair ou hashés en SHA 4096, qu'est ce que ca peut faire, si l'utilisateur le saisit ( en clair, donc ) sur une app tierce qui renvoie tout ça vers ses propres serveurs ?
Effet pervers du "sentiment de solitude" que développent les gens: Partager tout et n'importe quoi… à tout prix!
Instagram est typiquement un bon, voire idéal, récipiendaire pour ce genre de coup fumant!
C'est peut-être le FBI qui sort ce genre de truc...
Turker Bayram. Son nom est connu. Une petite recherche sur le net semble indiquer qu'on peut le situer facilement.
Donc deux questions:
- Pourquoi il n'y a pas encore eu de types en uniformes pour aller le choper et l'enfermer ou au moins l'amender grave ?
- Pourquoi il n'y a pas encore eu de types (uniformes non nécessaires cette fois) pour aller le choper et lui péter la gueule grave ?
@BigMonster :
Parce qu'il travail pour les mecs avec et sans uniforme :P
:-)
J'avais pas réfléchi !
C'est aberrant. Il aurait dû être définitivement banni la première fois qu'il s'est fait chopé.
Mais ils le laissent revenir, seulement six mois après s'être fait démasqué, avec à nouveau une application tierce pour Instagram !
Et ça ne semble pas perturber beaucoup de lecteurs.