Logiciels espions mercenaires: Les USA surveille activement Israel,la Russie et Singapore

 Logiciels espions mercenaires: Les USA surveille activement Israel,la Russie et Singapore

Selon le Bureau de l'industrie et de la sécurité, et du Commerce.

La Règle finale:

Cette règle finale modifie les réglementations de l'administration des exportations (EAR) en ajoutant quatre entités à la liste des entités. Ces quatre entités ont été déterminées par le gouvernement américain comme agissant contrairement à la politique étrangère et aux intérêts de sécurité nationale des États-Unis et seront répertoriées sur la liste des entités sous les destinations d'Israël, de la Russie et de Singapour.

RENDEZ-VOUS:

Cette règle entre en vigueur le 4 novembre 2021.

POUR PLUS D'INFORMATIONS, CONTACTEZ :

Président, Comité d'examen des utilisateurs finaux, Bureau du secrétaire adjoint à l'administration des exportations, Bureau de l'industrie et de la sécurité, Département du commerce, Téléphone : (202) 482-5991, Courriel :

ERC@bis.doc.gov.

INFORMATION SUPPLÉMENTAIRE:



Liste des entités

La liste des entités (supplément n° 4 à la partie 744 de l'EAR) identifie les entités pour lesquelles il existe des motifs raisonnables de croire, sur la base de faits spécifiques et articulés, que les entités ont été impliquées, sont impliquées ou présentent un risque important d'être ou s'impliquer dans des activités contraires à la sécurité nationale ou aux intérêts de la politique étrangère des États-Unis. L'EAR (15 CFR parties 730-774) impose des exigences de licence supplémentaires et limite la disponibilité de la plupart des exceptions de licence pour les exportations, les réexportations et les transferts (dans le pays) aux entités répertoriées. La politique d'examen des licences pour chaque entité répertoriée est identifiée dans la colonne « Politique d'examen des licences » de la liste des entités, et l'impact sur la disponibilité des exceptions de licence est décrit dans les

Registre fédéral

document ajoutant des entités à la liste des entités. Le Bureau de l'industrie et de la sécurité (BIS) place les entités sur la liste des entités conformément à la partie 744 (Politique de contrôle : basée sur l'utilisateur final et l'utilisation finale) et la partie 746 (Embargos et autres contrôles spéciaux) de l'EAR.

Le Comité d'examen des utilisateurs finaux (ERC), composé de représentants des ministères du Commerce (président), de l'État, de la Défense, de l'Énergie et, le cas échéant, du Trésor, prend toutes les décisions concernant les ajouts, les suppressions ou d'autres modifications au Liste des entités. L'ERC prend toutes les décisions d'ajouter une entrée à la liste des entités par vote majoritaire et prend toutes les décisions de supprimer ou de modifier une entrée par vote unanime.

Décisions sur la liste des entités de l'ERC

Ajouts à la liste des entités

Cette règle met en œuvre la décision de l'ERC d'ajouter quatre entités à la liste des entités. Les quatre entités sont ajoutées sur la base du § 744.11 (Exigences de licence qui s'appliquent aux entités agissant contrairement à la sécurité nationale ou aux intérêts de politique étrangère des États-Unis) de l'EAR. Les quatre entités sont situées en Israël, en Russie et à Singapour.

L'ERC a déterminé que NSO Group et Candiru devaient être ajoutés à la liste des entités sur la base du § 744.11(b) de l'EAR : Entités pour lesquelles il existe un motif raisonnable de croire, sur la base de faits spécifiques et articulés, que l'entité a été impliquée, est impliqué, ou présente un risque important d'être ou de devenir impliqué dans des activités contraires à la sécurité nationale ou aux intérêts de politique étrangère des États-Unis et de ceux qui agissent au nom de ces entités. Plus précisément, des informations d'enquête ont montré que les sociétés israéliennes NSO Group et Candiru(Israel) ont développé et fourni des logiciels espions à des gouvernements étrangers qui ont utilisé cet outil pour cibler de manière malveillante des responsables gouvernementaux, des journalistes, des hommes d'affaires, des militants, des universitaires et des employés d'ambassade.

L'ERC a déterminé que Positive Technologies, située en Russie, et Computer Security Initiative Consultancy PTE. LTD., située à Singapour, soit ajoutée à la liste des entités en raison de leur engagement dans des activités contraires à la sécurité nationale des États-Unis. Plus précisément, ces entités font le trafic de cyber-exploits utilisés pour accéder aux systèmes d'information, menaçant la vie privée et la sécurité des individus et des organisations dans le monde entier.

Conformément au § 744.11(b) de l'EAR, l'ERC a déterminé que la conduite des quatre entités décrites ci-dessus soulève suffisamment de préoccupations pour qu'un examen préalable, via l'imposition d'une obligation de licence pour les exportations, les réexportations ou les transferts (à l'intérieur du pays) de tous les articles soumis à l'EAR impliquant ces quatre entités et la délivrance éventuelle de refus de licence ou l'éventuelle imposition de conditions de licence sur les expéditions vers ces entités, renforcera la capacité de BIS à prévenir les violations de l'EAR ou à protéger la sécurité nationale ou la politique étrangère des États-Unis intérêts. En outre, l'ERC a également déterminé qu'aucune exception de licence ne devrait être disponible pour les exportations, les réexportations ou les transferts (dans le pays) aux personnes ajoutées à la liste des entités dans cette règle. L'ERC a imposé une politique d'examen des licences d'une présomption de refus pour ces quatre entités. L'acronyme "alias", qui est une abréviation de "également connu sous le nom", est utilisé dans les entrées de la liste des entités pour identifier les alias, aidant ainsi les exportateurs, les réexportateurs et les cédants à identifier les entités sur la liste des entités.

Pour les raisons décrites ci-dessus, cette règle finale ajoute ce qui suit pour les entités à la liste des entités et inclut, le cas échéant, des alias :

Israël

• Candiru ;

et

Groupe ONS

Russie

Technologies positives

Singapour

Conseil en initiative de sécurité informatique PTE. LTD.

Clause d'épargne

Les envois d'articles retirés de l'admissibilité à une exception de licence ou exportés, réexportés ou transférés (dans le pays) sans licence (NLR) à la suite de cette mesure réglementaire qui étaient en route à bord d'un transporteur vers un port d'exportation, de réexportation, ou transfert (dans le pays), le 4 novembre 2021, conformément aux commandes réelles d'exportation, de réexportation ou de transfert (dans le pays) vers ou dans une destination étrangère, peut procéder à cette destination en vertu de l'admissibilité précédente à une exception de licence ou exporter, réexporter ou transférer (dans le pays) sans licence (NLR).

Loi de 2018 sur la réforme du contrôle des exportations

Le 13 août 2018, le président a promulgué la loi John S. McCain sur l'autorisation de la défense nationale pour l'exercice 2019, qui comprenait l'Export Control Reform Act of 2018 (ECRA) (50 U.S.C. 4801-4852). L'ECRA fournit la base juridique des principales autorités du BIS et sert d'autorité en vertu de laquelle le BIS émet cette règle.

Exigences en matière de réglementation

1. Les décrets exécutifs 13563 et 12866 ordonnent aux agences d'évaluer tous les coûts et avantages des alternatives réglementaires disponibles et, si une réglementation est nécessaire, de sélectionner des approches réglementaires qui maximisent les avantages nets (y compris les effets potentiels sur l'économie, l'environnement, la santé publique et la sécurité, les impacts distributifs, et équité). Le décret 13563 souligne l'importance de quantifier à la fois les coûts et les avantages, de réduire les coûts, d'harmoniser les règles et de promouvoir la flexibilité. Cette règle a été jugée non significative aux fins du décret 12866.

2. Nonobstant toute autre disposition de la loi, nul n'est tenu de répondre ou d'être soumis à une sanction pour non-respect d'une collecte d'informations, sous réserve des exigences du Paperwork Reduction Act de 1995 (44 U.S.C. 3501

et suiv.

) (PRA), à moins que cette collecte d'informations n'affiche un numéro de contrôle de l'Office of Management and Budget (OMB) actuellement valide. Ce règlement implique des collectes préalablement approuvées par l'OMB sous le numéro de contrôle 0694-0088, Simplified Network Application Processing System, qui comprend, entre autres, les demandes de licence et la classification des produits, et comporte une estimation de charge de 29,6 minutes pour une soumission manuelle ou électronique pour un estimation de la charge totale de 31 835 heures. Le nombre total d'heures de charge associées au numéro de contrôle PRA et OMB 0694-0088 ne devrait pas augmenter en raison de cette règle.

3. Cette règle ne contient pas de politiques ayant des implications sur le fédéralisme tel que ce terme est défini dans le décret 13132.

4. Conformément à l'article 1762 de l'ECRA, cette action est exemptée des exigences de la loi sur la procédure administrative (5 U.S.C. 553) concernant l'avis de proposition de réglementation, la possibilité de participation du public et le retard de la date d'entrée en vigueur.

5. Étant donné qu'un avis de proposition de réglementation et une opportunité de commentaires publics ne sont pas tenus d'être donnés pour cette règle par 5 U.S.C. 553, ou par toute autre loi, les exigences analytiques du Regulatory Flexibility Act, 5 U.S.C. 601,

et suiv.,

ne sont pas applicables. Par conséquent, aucune analyse de flexibilité réglementaire n'est requise et aucune n'a été préparée.

Liste des sujets dans 15 CFR Part 744

Exportations

Exigences en matière de rapports et de tenue de registres

Terrorisme

En conséquence, la partie 744 des Export Administration Regulations (15 CFR parts 730-774) est modifiée comme suit :

PARTIE 744—[MODIFIÉ]

1. La citation d'autorité pour 15 CFR partie 744 est révisée pour se lire comme suit :

Autorité:

50 U.S.C. 4801-4852 ; 50 U.S.C. 4601

et suiv.;

50 U.S.C. 1701

et suiv.;

22 U.S.C. 3201

et suiv.;

42 U.S.C. 2139a; 22 U.S.C. 7201

et suiv.;

22 U.S.C. 7210 ; E.O. 12058, 43 FR 20947, 3 CFR, 1978 Comp., p. 179 ; E.O. 12851, 58 FR 33181, 3 CFR, 1993 Comp., p. 608 ; E.O. 12938, 59 FR 59099, 3 CFR, 1994 Comp., p. 950 ; E.O. 13026, 61 FR 58767, 3 CFR, 1996 Comp., p. 228 ; E.O. 13099, 63 FR 45167, 3 CFR, 1998 Comp., p. 208 ; E.O. 13222, 66 FR 44025, 3 CFR, 2001 Comp., p. 783 ; E.O. 13224, 66 FR 49079, 3 CFR, 2001 Comp., p. 786 ; Avis du 15 septembre 2021, 86 FR 52069 (17 septembre 2021) ; Avis du 12 novembre 2020, 85 FR 72897 (13 novembre 2020).

2. Le supplément n° 4 à la partie 744 est modifié :

un. Sous ISRAËL, en ajoutant dans l'ordre alphabétique les entrées « Candiru » et « NSO Group » ;

b. Sous RUSSIE, en ajoutant dans l'ordre alphabétique une rubrique pour « Technologies positives » ; et

c. Sous SINGAPOUR, en ajoutant dans l'ordre alphabétique une entrée pour "Computer Security Initiative Consultancy PTE. LTD.".

Les ajouts se lisent comme suit :

Supplément n° 4 à la partie 744 — Liste des entités

* * * * *

PaysEntitéLicence

exigenceLicence

politique de révisionRegistre fédéral

Citation * * * * * * * Israël * * * * * * Candiru, a.k.a., les sept alias suivants:

—Candiru Ltd. ;

—DF Associates Ltd. ;

—Grindavik Solutions Ltd. ;

—Taveta Ltd. ;

—Saito Tech Ltd. ;

—Solutions Greenwick ;

et

—Tabatha Ltd.Tous les articles sont soumis à l'EAR. (Voir § 744.11 de l'oreille) .Presomption de Denial86 FR [INSERT FR Page Number] 4 novembre 2021. 21 Haarbaa, Tel Aviv-Yafo, Israël 6473921. * * * * * * nso Group, 22 Galgalei Hapllada, Herzliya, Tel Aviv-Yafo, Israël 4672222. Tous les articles sont soumis à l'EAR. (Voir § 744.11 de l'oreille) .Presomption de Denial86 FR [INSERT FR Page Number] 4 novembre 2021. * * * * * * * * * * * Russie * * * * * * Technologies positives, 8 Preobrzhenskaya Square , Moscou, Russie 107061. Tous droits réservés. (Voir § 744.11 de l'oreille) .Presomption de Denial86 FR [INSERT FR Page Number] 4 novembre 2021. * * * * * * * * * * * Singapour * * * * * * Initiative de sécurité informatique Consultation PTE. LTD., alias le pseudonyme suivant :

—COSEINC.Tous les articles soumis à l'EAR. (Voir § 744.11 de l'oreille) .Presomption de Denial86 FR [INSERT FR Page Number] 4 novembre 2021. 102f Pasir Panjang Rd., # 08-02, complexe d'entrepôt Citilink, Singapour 118530. * * * * * * * * * * CU* CU* BRASSARD* BRASSARD*

* * * * *

REF.:  https://www.federalregister.gov/documents/2021/11/04/2021-24123/addition-of-certain-entities-to-the-entity-list

Matthew S.Borman,

Sous-secrétaire adjoint à l'administration des exportations.

[FR Doc. 2021-24123 déposé le 11-3-21 ; 8h45]

CODE DE FACTURATION 3510-33-P

 

 

TikTok représente un vrai danger si vous utilisez cette fonctionnalité

C’est à se demander qui utilise encore ce réseau social, qui multiplie les bourdes depuis son lancement.

Publié le 19 août 2022 à 16:00

Par

iPhon.fr

La semaine dernière, vous étiez nombreux à critiquer Instagram et Facebook lorsque ces apps ont été épinglées collectant des données personnelles très sensibles comme les mots de passe, les coordonnées bancaires ou encore des photos privées. Felix Krause, le développeur à l’origine de cette découverte, expliquait que c’est en injectant du code dans les sites web visités avec le navigateur intégré de ces plateformes que les éditeurs vous surveillent.

Or, il se trouve qu’un autre service très populaire se comporte de la sorte : vous l’avez deviné à la lecture du titre, il s’agit de TikTok. Plus précisément, l’app peut de cette façon enregistrer toutes vos frappes au clavier comme le ferait un keylogger. Le genre de pratique souvent du fait d’internautes malintentionnés et qui trouve donc difficilement sa justification ici…

TikTok rassure

TikTok a rapidement réagi dans un communiqué publié par nos confrères de chez Forbes, expliquant souhaiter simplement par ce biais améliorer l’expérience utilisateur globale. Le réseau social n’aurait donc pas d’ambition malicieuse, ce qui reste à prouver. À la place, les pontes de la société chinoise évoquent plutôt des correctifs de bugs.

Comment vérifier que vos apps respectent votre vie privée

Krause, de son côté, a choisi de passer à la vitesse supérieure et a publié un outil qui permet de vérifier ce que collectent les éditeurs proposant des navigateurs dans leurs apps, souvent codés avec WebKit parfois d’ailleurs victime de lourdes failles de sécurité. Pour ce faire, faites apparaître le lien inappbrowser.com dans la plateforme à contrôler. Par exemple, si vous voulez vérifier comment se comporte Twitter, vous pouvez envoyer le lien à un ami par message privé.

Cliquez ensuite sur le lien, et acceptez de l’ouvrir dans le navigateur interne de l’app (sans passer par Chrome, Safari ou Firefox donc). La page qui s’ouvrira vous expliquera alors en détail quelles informations sont enregistrées par l’app. Nous avons fait le test avec Slack, la messagerie d’entreprise utilisée par bon nombre de startups, et le résultat était satisfaisant : pas de mauvaise surprise. Quels résultats obtenez-vous chez vous, avec d’autres apps ?

 

REF.:   https://www.iphon.fr/post/tiktok-represente-danger

Microsoft contre la société israélienne SOURGUM alias (plus connu sous Candiru)qui créa le Malware DevilsTongue:

 

Microsoft contre la société israélienne SOURGUM alias (plus connu sous Candiru)qui créa le Malware DevilsTongue:

 Protéger les clients d'un acteur offensif du secteur privé à l'aide d'exploits 0-day et du logiciel malveillant DevilsTongue(Voir:  https://docteo2.wordpress.com/2022/08/16/candiru-un-autre-fournisseur-de-logiciels-espions-mercenaires-entre-en-scene/)

 Centre de renseignements sur les menaces Microsoft (MSTIC)

 Le Microsoft Threat Intelligence Center (MSTIC) aux côtés du Microsoft Security Response Center (MSRC) a découvert un acteur offensif du secteur privé, ou PSOA, que nous appelons SOURGUM en possession d'exploits Windows 0-day désormais corrigés (CVE-2021 -31979 et CVE-2021-33771). 

 Les acteurs offensifs du secteur privé sont des entreprises privées qui fabriquent et vendent des cyberarmes dans des packages de piratage en tant que service, souvent à des agences gouvernementales du monde entier, pour pirater les ordinateurs, les téléphones, l'infrastructure réseau et d'autres appareils de leurs cibles. Avec ces packages de piratage, les agences gouvernementales choisissent généralement les cibles et exécutent elles-mêmes les opérations. Les outils, tactiques et procédures utilisés par ces entreprises ne font qu'ajouter à la complexité, à l'échelle et à la sophistication des attaques. Nous prenons ces menaces au sérieux et avons rapidement agi aux côtés de nos partenaires pour intégrer les dernières protections à nos clients. 

 MSTIC pense que SOURGUM est un acteur offensif du secteur privé basé en Israël. Nous tenons à remercier le Citizen Lab, de la Munk School de l'Université de Toronto, pour avoir partagé l'échantillon de logiciel malveillant à l'origine de ce travail et leur collaboration au cours de l'enquête. Dans son blog, Citizen Lab affirme avec une grande confiance que SOURGUM est une société israélienne communément connue sous le nom de Candiru. Des rapports de tiers indiquent que Candiru produit "des outils de piratage [qui] sont utilisés pour pénétrer dans les ordinateurs et les serveurs". 

Comme nous l'avons partagé sur le blog Microsoft on the Issues, Microsoft et Citizen Lab ont travaillé ensemble pour désactiver le logiciel malveillant utilisé par SOURGUM qui a ciblé plus de 100 victimes à travers le monde, y compris des politiciens, des militants des droits de l'homme, des journalistes, des universitaires, des employés d'ambassade et dissidents politiques. Pour limiter ces attaques, Microsoft a créé et intégré des protections dans nos produits contre ce malware unique, que nous appelons DevilsTongue. Nous avons partagé ces protections avec la communauté de la sécurité afin que nous puissions collectivement traiter et atténuer cette menace. Nous avons également publié une mise à jour logicielle qui protégera les clients Windows contre les exploits associés que l'acteur a utilisés pour aider à diffuser ses logiciels malveillants hautement sophistiqués.

 SOURGUM victimologie

 Les rapports des médias (1, 2, 3) indiquent que les PSOA vendent souvent des exploits Windows et des logiciels malveillants dans des packages de piratage en tant que service aux agences gouvernementales. Des agences en Ouzbékistan, aux Émirats arabes unis et en Arabie saoudite figurent sur la liste des anciens clients présumés de Candiru. Ces agences choisissent alors probablement qui cibler et exécutent elles-mêmes les cyberopérations. 

 Microsoft a identifié plus de 100 victimes du logiciel malveillant de SOURGUM, et ces victimes sont aussi diversifiées géographiquement que l'on pourrait s'y attendre lorsque diverses agences gouvernementales sont censées sélectionner les cibles. Environ la moitié des victimes ont été retrouvées dans l'Autorité palestinienne, la plupart des victimes restantes se trouvant en Israël, en Iran, au Liban, au Yémen, en Espagne (Catalogne), au Royaume-Uni, en Turquie, en Arménie et à Singapour. Pour être clair, l'identification des victimes du malware dans un pays ne signifie pas nécessairement qu'une agence dans ce pays est un client de SOURGUM, car le ciblage international est courant.

 Toutes les alertes Microsoft 365 Defender et Microsoft Defender for Endpoint contenant des noms de détection pour le nom du malware DevilsTongue sont des signes de compromission par le malware de SOURGUM. Nous avons inclus une liste complète des noms de détection ci-dessous pour que les clients puissent effectuer une recherche supplémentaire dans leur environnement.

Exploits 

SOURGUM semble utiliser une chaîne d'exploits de navigateur et de Windows, y compris des 0-days, pour installer des logiciels malveillants sur les boîtes des victimes. Les exploits de navigateur semblent être diffusés via des URL à usage unique envoyées à des cibles sur des applications de messagerie telles que WhatsApp.

 Au cours de l'enquête, Microsoft a découvert deux exploits Windows 0-day pour les vulnérabilités suivies comme CVE-2021-31979 et CVE-2021-33771, qui ont toutes deux été corrigées dans les mises à jour de sécurité de juillet 2021. Ces vulnérabilités permettent une élévation des privilèges, donnant à un attaquant la possibilité d'échapper aux bacs à sable du navigateur et d'obtenir l'exécution du code du noyau. Si les clients ont pris la mise à jour de sécurité de juillet 2021, ils sont protégés contre ces exploits.

 CVE-2021-31979 corrige un débordement d'entier dans le système d'exploitation basé sur Windows NT (NTOS). Ce débordement entraîne le calcul d'une taille de tampon incorrecte, qui est ensuite utilisée pour allouer un tampon dans le pool du noyau. Un débordement de tampon se produit par la suite lors de la copie de la mémoire vers le tampon de destination plus petit que prévu. Cette vulnérabilité peut être exploitée pour corrompre un objet dans une allocation de mémoire adjacente. À l'aide des API du mode utilisateur, la disposition de la mémoire du pool de noyau peut être améliorée avec des allocations contrôlées, ce qui entraîne le placement d'un objet dans l'emplacement de mémoire adjacent. Une fois corrompu par le buffer overflow, cet objet peut être transformé en mode utilisateur pour kernel mode lecture/écriture primitive. Avec ces primitives en place, un attaquant peut alors élever ses privilèges.

 CVE-2021-33771 résout une condition de concurrence dans NTOS entraînant l'utilisation après libération d'un objet noyau. En utilisant plusieurs threads de course, l'objet noyau peut être libéré et la mémoire libérée récupérée par un objet contrôlable. Comme la vulnérabilité précédente, la mémoire du pool du noyau peut être pulvérisée avec des allocations à l'aide d'API en mode utilisateur dans l'espoir d'obtenir une allocation d'objet dans la mémoire récemment libérée. En cas de succès, l'objet contrôlable peut être utilisé pour former une primitive de lecture/écriture du mode utilisateur au mode noyau et élever les privilèges. 

Présentation des logiciels malveillants DevilsTongue

 DevilsTongue est un logiciel malveillant multithread modulaire complexe écrit en C et C++ avec plusieurs nouvelles fonctionnalités. L'analyse est toujours en cours pour certains composants et capacités, mais nous partageons notre compréhension actuelle du malware afin que les défenseurs puissent utiliser cette intelligence pour protéger les réseaux et que d'autres chercheurs puissent s'appuyer sur notre analyse. 

 Pour les fichiers sur disque, les chemins PDB et les horodatages PE sont nettoyés, les chaînes et les configurations sont chiffrées et chaque fichier a un hachage unique. La principale fonctionnalité réside dans les DLL chiffrées sur disque et uniquement déchiffrées en mémoire, ce qui rend la détection plus difficile. Les données de configuration et de tâches sont séparées du logiciel malveillant, ce qui rend l'analyse plus difficile. DevilsTongue possède à la fois des fonctionnalités en mode utilisateur et en mode noyau. Il existe plusieurs nouveaux mécanismes d'évasion de détection intégrés. Toutes ces fonctionnalités prouvent que les développeurs de SOURGUM sont très professionnels, ont une vaste expérience dans l'écriture de logiciels malveillants Windows et ont une bonne compréhension de la sécurité opérationnelle.

 Lorsque le logiciel malveillant est installé, une DLL de logiciel malveillant de « piratage » de première étape est déposée dans un sous-dossier de C:\Windows\system32\IME\ ; les dossiers et les noms des DLL de piratage se mélangent aux noms légitimes dans les répertoires \IME\. Les logiciels malveillants de deuxième étape chiffrés et les fichiers de configuration sont déposés dans des sous-dossiers de C:\Windows\system32\config\ avec une extension de fichier .dat. Un pilote tiers légitime et signé physmem.sys est déposé dans le dossier system32\drivers. Un fichier appelé WimBootConfigurations.ini est également supprimé ; ce fichier contient la commande pour suivre le piratage COM. Enfin, le logiciel malveillant ajoute la DLL de piratage à une clé de registre de classe COM, écrasant le chemin légitime de la DLL COM qui s'y trouvait, obtenant ainsi la persistance via le piratage COM.

 À partir du piratage COM, la DLL de piratage de première étape de DevilsTongue est chargée dans un processus svchost.exe pour s'exécuter avec les autorisations SYSTEM. La technique de piratage COM signifie que la DLL d'origine qui se trouvait dans la clé de registre COM n'est pas chargée. Cela peut interrompre la fonctionnalité du système et déclencher une enquête qui pourrait conduire à la découverte du logiciel malveillant, mais DevilsTongue utilise une technique intéressante pour éviter cela. Dans sa fonction DllMain, il appelle LoadLibrary sur la DLL COM d'origine afin qu'elle soit correctement chargée dans le processus. DevilsTongue recherche ensuite dans la pile des appels l'adresse de retour de LoadLibraryExW (c'est-à-dire la fonction qui charge actuellement la DLL DevilsTongue), qui renvoie généralement l'adresse de base de la DLL DevilsTongue. 

 Une fois l'adresse de retour LoadLibraryExW trouvée, DevilsTongue alloue un petit tampon avec un shellcode qui place l'adresse de base de la DLL COM (imecfmup.7FFE49060000 dans la figure 1) dans le registre rax, puis passe à l'adresse de retour d'origine de LoadLibraryExW (svchost.7FF78E903BFB dans Figures 1 et 2). Dans la figure 1, la DLL COM est nommée imecfmup plutôt qu'un nom de DLL COM légitime, car certains exemples DevilsTongue ont copié la DLL COM à un autre emplacement et l'ont renommée.

 Figure 1. Shellcode de modification de l'adresse de retour DevilsTongue DevilsTongue échange ensuite l'adresse de retour LoadLibraryExW d'origine sur la pile avec l'adresse du shellcode de sorte que lorsque LoadLibraryExW le retourne, il le fasse dans le shellcode (Figures 2 et 3). Le shellcode remplace l'adresse de base DevilsTongue dans rax par l'adresse de base de la DLL COM, ce qui donne l'impression que LoadLibraryExW a renvoyé l'adresse de la DLL COM. Le processus hôte svchost.exe utilise désormais l'adresse de base de la DLL COM renvoyée comme il le ferait habituellement.

 Figure 2. Pile d'appels avant l'échange de pile, LoadLibraryExW dans kernelbase retournant à svchost.exe (0x7FF78E903BFB) 

 Figure 3. Pile d'appels après échange de pile, LoadLibraryExW dans la base du noyau retournant à l'adresse du shellcode (0x156C51E0000 de la figure 1) 

Cette technique garantit que la DLL DevilsTongue est chargée par le processus svchost.exe, ce qui donne la persistance du logiciel malveillant, mais que la DLL COM légitime est également chargée correctement, de sorte qu'il n'y a pas de changement notable dans les fonctionnalités des systèmes de la victime.

 Après cela, la DLL de piratage déchiffre et charge une DLL de logiciel malveillant de deuxième étape à partir de l'un des fichiers .dat chiffrés. Le logiciel malveillant de deuxième étape décrypte un autre fichier .dat qui contient plusieurs DLL d'assistance sur lesquelles il s'appuie pour ses fonctionnalités. 

DevilsTongue possède des fonctionnalités standard de logiciels malveillants, y compris la collecte de fichiers, le registre interroger, exécuter des commandes WMI et interroger des bases de données SQLite. Il est capable de voler les informations d'identification des victimes à la fois de LSASS et de navigateurs, tels que Chrome et Firefox. Il dispose également d'une fonctionnalité dédiée pour décrypter et exfiltrer les conversations de l'application de messagerie Signal.

 Il peut récupérer les cookies d'une variété de navigateurs Web. Ces cookies volés peuvent ensuite être utilisés par l'attaquant pour se connecter en tant que victime à des sites Web afin de permettre la collecte d'informations supplémentaires. Les cookies peuvent être collectés à partir de ces chemins (* est un caractère générique pour correspondre à tous les dossiers) :

 %LOCALAPPDATA%\Chrome\Données utilisateur\*\Cookies 

%LOCALAPPDATA%\Google\Chrome\Données utilisateur\*\Cookies 

%LOCALAPPDATA%\Microsoft\Windows\INetCookies 

 %LOCALAPPDATA%\Packages\*\AC\*\MicrosoftEdge\Cookies 

 %LOCALAPPDATA%\UCBrowser\User Data_i18n\*\Cookies.9

 %LOCALAPPDATA%\Yandex\YandexBrowser\Données utilisateur\*\Cookies 

%APPDATA%\Apple Computer\Safari\Cookies\Cookies.binarycookies

 %APPDATA%\Microsoft\Windows\Cookies 

 %APPDATA%\Mozilla\Firefox\Profiles\*\cookies.sqlite

%APPDATA%\Opera Software\Opera Stable\Cookies

 Fait intéressant, DevilsTongue semble capable d'utiliser des cookies directement depuis l'ordinateur de la victime sur des sites Web tels que Facebook, Twitter, Gmail, Yahoo, Mail.ru, Odnoklassniki et Vkontakte pour collecter des informations, lire les messages de la victime et récupérer des photos. DevilsTongue peut également envoyer des messages en tant que victime sur certains de ces sites Web, indiquant à tout destinataire que la victime a envoyé ces messages. La capacité d'envoyer des messages pourrait être militarisée pour envoyer des liens malveillants à davantage de victimes. 

Parallèlement à DevilsTongue, un pilote signé tiers est déposé dans C:\Windows\system32\drivers\physmem.sys. La description du pilote est "Pilote d'accès à la mémoire physique" et il semble offrir une capacité de lecture/écriture du noyau "de par sa conception". Cela semble être abusé par DevilsTongue pour proxy certains appels d'API via le noyau pour entraver la détection, y compris la possibilité de faire apparaître certains des appels à partir d'autres processus. Les fonctions pouvant être mandatées incluent CreateProcessW, VirtualAllocEx, VirtualProtectEx, WriteProcessMemory, ReadProcessMemory, CreateFileW et RegSetKeyValueW.

 Prévention et détection

 Pour éviter les compromis dus aux exploits du navigateur, il est recommandé d'utiliser un environnement isolé, tel qu'une machine virtuelle, lors de l'ouverture de liens provenant de parties non fiables. L'utilisation d'une version moderne de Windows 10 avec des protections basées sur la virtualisation, telles que Credential Guard, empêche les capacités de vol d'informations d'identification LSASS de DevilsTongue. L'activation de la règle de réduction de la surface d'attaque "Bloquer les abus des pilotes signés vulnérables exploités" dans Microsoft Defender pour Endpoint bloque le pilote utilisé par DevilsTongue. La protection réseau bloque les domaines SOURGUM connus.

 Opportunités de détection 

 Cette section est destinée à servir de guide non exhaustif pour aider les clients et les pairs du secteur de la cybersécurité à détecter le malware DevilsTongue. Nous fournissons ces conseils dans l'espoir que SOURGUM modifiera probablement les caractéristiques que nous identifions pour la détection dans leur prochaine itération du logiciel malveillant. Compte tenu du niveau de sophistication de l'acteur, cependant, nous pensons que le résultat se produirait probablement indépendamment de nos conseils publics.

 Emplacements des fichiers

 Les DLL de piratage se trouvent dans des sous-dossiers de \system32\ime\ avec des noms commençant par "im". Cependant, ils sont mélangés avec des DLL légitimes dans ces dossiers. Pour faire la distinction entre le malveillant et le bénin, les DLL légitimes sont signées (sur Windows 10) alors que les fichiers DevilsTongue ne le sont pas.

 Exemples de chemins : 

C:\Windows\System32\IME\IMEJP\imjpueact.dll

 C:\Windows\system32\ime\IMETC\IMTCPROT.DLL

 C:\Windows\system32\ime\SHARED\imecpmeid.dll

 Les fichiers de configuration DevilsTongue, qui sont cryptés AES, se trouvent dans des sous-dossiers de C:\Windows\system32\config\ et ont une extension .dat. Les chemins exacts sont spécifiques à la victime, bien que certains noms de dossier soient communs à toutes les victimes. Comme les fichiers sont cryptés AES, tous les fichiers dont la taille mod 16 est 0 peuvent être considérés comme un fichier de configuration de logiciel malveillant possible. Les fichiers de configuration se trouvent toujours dans de nouveaux dossiers, et non dans les dossiers existants légitimes (par exemple, sous Windows 10, jamais dans \Journal, \systemprofile, \TxR, etc.).

 Exemples de chemins : 

 C:\Windows\system32\config\spp\ServiceState\Recovery\pac.dat

 C:\Windows\system32\config\cy-GB\Setup\SKB\InputMethod\TupTask.dat

 C:\Windows\system32\config\config\startwus.dat 

Noms de dossier couramment réutilisés dans les chemins des fichiers de configuration :

 spp

 SKB

curv

 liste de réseau(networklist)

 Licences

 Procédé d'entrée(InputMethod)

 Récupération(Recovery)

 Le fichier .ini reg porte le nom unique WimBootConfigurations.ini et se trouve dans un sous-dossier de system32\ime\. 

Exemples de chemins :

 C:\Windows\system32\ime\SHARED\WimBootConfigurations.ini

 C:\Windows\system32\ime\IMEJP\WimBootConfigurations.ini

 C:\Windows\system32\ime\IMETC\WimBootConfigurations.ini

 Le pilote Physmem est déposé dans system32 : C:\Windows\system32\drivers\physmem.sys

 Comportements 

 Les deux clés COM qui ont été observées étant détournées pour la persistance sont répertoriés ci-dessous avec leurs valeurs propres par défaut. Si leur DLL de valeur par défaut se trouve dans le dossier \system32\ime\, la DLL est probablement DevilsTongue.(a été vu aussi dans windows7)

    HKLM\SOFTWARE\Classes\CLSID\{CF4CC405-E2C5-4DDD-B3CE-5E7582D8C9FA}\InprocServer32 = %systemroot%\system32\wbem\wmiutils.dll (valeur par défaut propre)

    HKLM\SOFTWARE\Classes\CLSID\{7C857801-7381-11CF-884D-00AA004B2E24}\InProcServer32 = %systemroot%\system32\wbem\wbemsvc.dll (valeur par défaut propre)

Contenu et caractéristiques du fichier

Cette règle Yara peut être utilisée pour trouver la DLL de piratage DevilsTongue :

import "pe"
rule DevilsTongue_HijackDll
{
meta:
description = "Detects SOURGUM's DevilsTongue hijack DLL"
author = "Microsoft Threat Intelligence Center (MSTIC)"
date = "2021-07-15"
strings:
$str1 = "windows.old\\windows" wide
$str2 = "NtQueryInformationThread"
$str3 = "dbgHelp.dll" wide
$str4 = "StackWalk64"
$str5 = "ConvertSidToStringSidW"
$str6 = "S-1-5-18" wide
$str7 = "SMNew.dll" // DLL original name
// Call check in stack manipulation
// B8 FF 15 00 00   mov     eax, 15FFh
// 66 39 41 FA      cmp     [rcx-6], ax
// 74 06            jz      short loc_1800042B9
// 80 79 FB E8      cmp     byte ptr [rcx-5], 0E8h ; 'è'
$code1 = {B8 FF 15 00 00 66 39 41 FA 74 06 80 79 FB E8}
// PRNG to generate number of times to sleep 1s before exiting
// 44 8B C0 mov r8d, eax
// B8 B5 81 4E 1B mov eax, 1B4E81B5h
// 41 F7 E8 imul r8d
// C1 FA 05 sar edx, 5
// 8B CA    mov ecx, edx
// C1 E9 1F shr ecx, 1Fh
// 03 D1    add edx, ecx
// 69 CA 2C 01 00 00 imul ecx, edx, 12Ch
// 44 2B C1 sub r8d, ecx
// 45 85 C0 test r8d, r8d
// 7E 19    jle  short loc_1800014D0
$code2 = {44 8B C0 B8 B5 81 4E 1B 41 F7 E8 C1 FA 05 8B CA C1 E9 1F 03 D1 69 CA 2C 01 00 00 44 2B C1 45 85 C0 7E 19}
condition:
filesize < 800KB and
uint16(0) == 0x5A4D and
(pe.characteristics & pe.DLL) and
(
4 of them or
($code1 and $code2) or
(pe.imphash() == "9a964e810949704ff7b4a393d9adda60")
)
}

Détections de l'antivirus Microsoft Defender

Microsoft Defender Antivirus détecte les logiciels malveillants DevilsTongue avec les détections suivantes :

    Trojan:Win32/DevilsTongue.A!dha
    Trojan:Win32/DevilsTongue.B!dha
    Trojan:Script/DevilsTongueIni.A!dha
    VirTool:Win32/DevilsTongueConfig.A!dha
    HackTool:Win32/DevilsTongueDriver.A!dha

Alertes Microsoft Defender pour point de terminaison

Les alertes portant les titres suivants dans le centre de sécurité peuvent indiquer une activité de malware DevilsTongue sur votre réseau :

    Détournement COM
    Vol possible d'informations sensibles sur le navigateur Web
    Cookies SSO volés

Requête Azure Sentinel

Pour localiser une éventuelle activité SOURGUM à l'aide d'Azure Sentinel, les clients peuvent trouver une requête Sentinel contenant ces indicateurs dans ce référentiel GitHub.
Indicateurs de compromis (IOC)

Aucun hachage de logiciel malveillant n'est partagé car les fichiers DevilsTongue, à l'exception du troisième pilote ci-dessous, ont tous des hachages uniques et ne constituent donc pas un indicateur utile de compromission.
Pilote physique

Notez que ce pilote peut être utilisé légitimement, mais s'il apparaît sur le chemin C:\Windows\system32\drivers\physmem.sys, il s'agit d'un indicateur de haute confiance de l'activité de DevilsTongue. Les hachages ci-dessous sont fournis pour le seul pilote observé en cours d'utilisation.

    MD5 : a0e2223868b6133c5712ba5ed20c3e8a
    SHA-1 : 17614fdee3b89272e99758983b99111cbb1b312c
    SHA-256 : c299063e3eae8ddc15839767e83b9808fd43418dc5a1af7e4f44b97ba53fbd3d

Domaines

   noc-service-streamer[.]com
    fbcdnads[.]live
    hilocake[.]info
    backxercise[.]com
    winmslaf[.]xyz
    service-deamon[.]com
    online-affiliate-mon[.]com
    codeingasmylife[.]com
    kenoratravels[.]com
    weathercheck[.]digital
    colorpallatess[.]com
    library-update[.]com
    online-source-validate[.]com
    grayhornet[.]com
    johnshopkin[.]net
    eulenformacion[.]com
    pochtarossiy[.]info

REF.:  https://www.microsoft.com/security/blog/2021/07/15/protecting-customers-from-a-private-sector-offensive-actor-using-0-day-exploits-and-devilstongue-malware/

Classé sous :

    La cyber-sécurité

Antivirus: Ralentissement de windows ?Le party est poigné avec wa_3rd_party_host_32.exe

 

Antivirus: Ralentissement de windows ?Le party est poigné avec wa_3rd_party_host_32.exe

 Un programme provenant de L'Antivirus Avira occasionne un ralentissement de windows.

Il serait logé dans le dossier Program Files (x86)/Avira/Security/Swu.

On le voit ici dans la photo ,le programme du nom de : wa_3rd_party_host_32 et aussi le programme: 

wa_3rd_party_host_64.On la vu dans windows 7 entre autres !

L'Antivirus Norton aussi:wa_3rd_party_host_32.exe ou

 wa_3rd_party_host_34.exe. 

Apparemment dans le C:\Program Files\Norton Security\Engine\22.22.6.10. 

On pense qu'il est utilisé pour mettre à jour/vérifier votre logiciel ou au moins le prendre en charge. Si vous allez sur My Norton, il y a un "software-updater". Je ne l'ai utilisé que récemment pour la première fois. une simple analyse ouvrira cet hôte tiers.https://community.norton.com/en/forums/omswat-wa3rdpartyhost32exe

 

 

1-   La solution gratuite d'un autre antivirus performant ,qui ne ralenti pas votre système d'exploitation windows serait : TrendMicro

 https://www.trendmicro.com/fr_fr/forHome/products/housecall.html

 

2-  Et aussi le logiciel :Security Task Manager,de Neuber software.

 

Security Task Manager détecte les virus et chevaux de Troie susceptibles de s'apparenter aux processus Windows, et capables de causer des problèmes ou de ralentir le fonctionnement de votre ordinateur.

Security Task Manager vous montre les processus présents sur votre ordinateur qui sont inutiles ou qui présentent un risqué de sécurité. Contrairement au Gestionnaire de Tâche Windows, pour chaque processus en cours d’exécution, vous verrez également:

• Une évaluation à la pointe de la technologie
• Commentaires des autres utilisateurs
• Commentaires de nos Experts
• Résultats donnés par les scanner des meilleurs détecteurs de virus du marché
• A que logiciel appartient chaque processus?
• Editeur et site Internet
• Graphique représentant l’utilisation de l’unité centrale
• Chemin du répertoire complet et nom de fichier
• Description
• Fonctions cachées intégrées (Surveillance des entrées clavier, surveillance du navigateur, manipulations de données)
• Type de processus (Fenêtre visible, programme dans barre des tâches, DLL, plugins du navigateur, services)

Security Task Manager identifie aussi les pilotes virtuels, services, BHO ou processus cachés du gestionnaire de tâches de Windows.

Après avoir copié ce fichier sur votre ordinateur, lancer l'explorateur et faites un double click sur le fichier. Un utilitaire vous conduira à travers l'installation. Aucun fichier n'est copié ou modifié dans les répertoires système.

Le téléchargement ne contient que le logiciel Security Task Manager. Security Task Manager n'installera ou n'ajoutera pas d'autres programmes ou fichiers sur votre ordinateur.

https://www.neuber.com/taskmanager/francais/download.html

3-  Pour une meilleur protection et scanner les programmes en background:

 SysHardener v1.5 ,de la cie Novirusthanks.org

C'est une application de sécurité gratuite du système d'exploitation Windows qui vous permet de renforcer les paramètres Windows pour atténuer les menaces de cybersécurité. Avec cet outil, vous pouvez restreindre les fonctionnalités de Windows et sécuriser les applications vulnérables (c'est-à-dire Office et Adobe Reader). Vous pouvez dissocier les associations de types de fichiers VBS, VBE, JS, JSE, WSH, désactiver JavaScript sur Adobe Reader, désactiver les macros, OLE et ActiveX sur Office, désactiver les services Windows inutilisés, bloquer les connexions sortantes de programmes spécifiques via le pare-feu Windows, et bien plus encore. Besoin d'une protection en temps réel ? Essayez OSArmor »

 Vous aurez accès a beaucoup de fonctions windows !

 

 https://www.novirusthanks.org/products/syshardener/

4-  Et enfin tout comme Malwarebytes,  OSArmor , Empêche les logiciels malveillants et les rançongiciels:

 https://youtu.be/kdtHxUqDNMc

C'est une application Windows OS qui surveille et bloque les comportements suspects des processus pour prévenir les infections par des logiciels malveillants, des rançongiciels et d'autres menaces. Cet outil analyse les processus parents et empêche, par exemple, MS Word d'exécuter cmd.exe ou powershell.exe. Il empêche les ransomwares de supprimer les clichés instantanés des fichiers via vssadmin.exe, bloque les processus avec des extensions de fichiers doubles (c'est-à-dire facture.pdf.exe), bloque les logiciels malveillants se propageant par USB, et bien plus encore. Il est léger, ne nécessite aucune intervention de l'utilisateur et protège votre système lors de l'exécution en arrière-plan.

 https://www.osarmor.com/

 https://fr.malwarebytes.com/mwb-download/

Et l'extention/add-on de navigateur Browser Guard de Malwarebytes,peut aussi s'intaller dans votre fureteur!

 Nota:

 Qu'est-ce que wa_3rd_party_host_32.exe ? 

 L'extension .exe sur un nom de fichier indique un fichier exécutable. Les fichiers exécutables peuvent, dans certains cas, endommager votre ordinateur. Par conséquent, veuillez lire ci-dessous pour décider par vous-même si le wa_3rd_party_host_32.exe sur votre ordinateur est un cheval de Troie que vous devez supprimer, ou s'il s'agit d'un fichier appartenant au système d'exploitation Windows ou à une application de confiance.

Informations sur le fichier Wa_3rd_party_host_32.exe

 Le processus appelé OESIS V4 (version 3rd Party Hos) appartient au logiciel OESIS V4 SD de OPSWAT. Description : Wa_3rd_party_host_32.exe n'est pas essentiel au système d'exploitation Windows et cause relativement peu de problèmes. Wa_3rd_party_host_32.exe se trouve dans un sous-dossier de "C:\Program Files (x86)"—principalement C:\Program Files (x86)\OPSWAT\OnDemand\ondemands\oesis\. Les tailles de fichiers connues sous Windows 10/8/7/XP sont de 947 632 octets (33 % de toutes les occurrences), 869 808 octets ou 976 304 octets. https://www.file.net/process/wa_3rd_party_host_32.exe.html Le fichier wa_3rd_party_host_32.exe est un fichier signé Verisign. Le fichier wa_3rd_party_host_32.exe est certifié par une entreprise digne de confiance. Le fichier n'est pas un fichier principal de Windows. Le programme n'a pas de fenêtre visible. Wa_3rd_party_host_32.exe est capable de surveiller les applications. Par conséquent, la cote de sécurité technique est de 22 % dangereuse.

 Comment supprimer ou désinstaller wa_3rd_party_host_32.exe ?

 Pour supprimer wa_3rd_party_host_32.exe de votre ordinateur, suivez les étapes suivantes une par une. Cela désinstallera wa_3rd_party_host_32.exe s'il faisait partie du logiciel installé sur votre ordinateur. Si le fichier fait partie d'un logiciel, il aura également un programme de désinstallation.

 Ensuite, vous pouvez exécuter le programme de désinstallation situé dans un répertoire tel que C:Program Files>OPSWAT>OESIS V4 SD>OESIS V4> wa_3rd_party_host_32.exe_uninstall.exe. Ou le wa_3rd_party_host_32.exe a été installé à l'aide de Windows Installer, puis pour le désinstaller, accédez aux paramètres système et ouvrez l'option Ajouter ou supprimer des programmes. 

 Ensuite, recherchez wa_3rd_party_host_32.exe ou le nom du logiciel OESIS V4 SD dans la barre de recherche ou essayez le nom du développeur OPSWAT. Cliquez ensuite dessus et sélectionnez l'option Désinstaller le programme pour supprimer le fichier wa_3rd_party_host_32.exe de votre ordinateur. Maintenant, le programme logiciel OESIS V4 SD(on peut aussi le voir dans l'antivirus Avira) ainsi que le fichier wa_3rd_party_host_32.exe seront supprimés de votre ordinateur.

 

 REF.:   https://www.trendmicro.com/fr_fr/forHome/products/housecall.html

 

 

Si vous pensiez être protégé avec le VPN de l’iPhone, c’est raté

Une enquête montre que vos données sont toujours accessibles même en faisant appel à cette fonctionnalité régulièrement mise en avant par Apple.

Publié le

 18 août 2022 à 12:10

Par iPhon.fr

 

 

Selon une étude complète du chercheur en cybersécurité Michael Horowitz, les VPN de l’iPhone ne respectent pas la promesse faite à leurs utilisateurs. En effet, l’expert a remarqué que même après avoir dérouté votre connexion vers un serveur tiers, le chemin emprunté par vos données “fuite“ si bien qu’un internaute malintentionné peut potentiellement y avoir accès plus facilement…

On ne sait pas si le problème a été corrigé avec iOS 15.6.1, arrivé il y a quelques heures avec un correctif de sécurité majeur. En revanche l’incident touche bien les appareils tournant sous iOS 15.6, soit la mouture précédente. Autant dire que la plupart des iPhone du moment sont concernés, dont les iPhone 13, les iPhone 13 Pro et les iPhone SE de troisième génération.

Apple est au courant

D’après Horowitz, c’est tout d’abord ProtonVPN qui a évoqué la faille en mars 2020. Cupertino a depuis été alertée mais aucune mesure fiable n’aurait été mise en place pour résoudre le souci. Et en plus des mobiles, ce sont aussi les tablettes qui sont touchées, or on sait que bon nombre d’entre elles sont privilégiées par des entreprises pour leur équipement. Des informations personnelles et sensibles transitent donc tous les jours par un maillage très risqué…

Pire encore : pour le développeur, n’importe quel VPN est en fait victime de cette brèche car les clients tiers s’appuient sur la fonctionnalité native d’iOS pour proposer leurs services. Le seul conseil simple qui semble permettre de se prémunir du danger est donc d’éviter tout simplement de passer par le réseau privé de l’iPhone. On ne sait pas si l’option Relais privé iCloud, disponible avec iCloud+, est également touchée mais c’est possible.

Autrement, il peut être judicieux de passer par un autre VPN mais installé cette fois-ci directement dans un routeur physique, plutôt que sur iOS. Le prix de ce genre de produit varie de quelques dizaines d’euros à plusieurs centaines pour les plus performants.

iOS 16 en route

Il n’y a plus qu’à espérer qu’iOS 16, prévu pour cet automne, sera livré avec un patch pour rendre le VPN plus sûr. Le nouveau programme devrait être publié vers mi-septembre.

 

REF.:   https://www.iphon.fr/post/pensiez-protege-vpn-iphone-rate