clickjacking / faille flash player webcam Résolu/Fermé

Question

Bonjour,

Ayant vu traîner un sujet similaire hier qui n'était pas tout à fait complet, je me permet de lancer celui-ci car je me pose également cette question.

Je sais que l'on peut hacker une webcam via un RAT. Mais j'ai apparemment appris que l'on peut être espionner grâce une faille flash player.

J'ai donc fait mes recherches et je suis donc tombé sur plusieurs sites évoquant ce sujet.

Cependant, certains sujet, ci-dessous, parle d'une correction de cette faille :

http://www.pcinpact.com/news/66557-adobe-flash-correction-faille-webcam-espion.htm

-

http://www.generation-nt.com/adobe-flash-webcam-vulnerabilite-actualite-1492871.html

Ce qui est rassurant, sachant que la majorité de ces sujet datent d'octobre 2011.

Néanmoins j'ai trouvé ce site, évoquant le même problème, mais bizzarement celui-ci a été publié en juin 2013 :

http://www.undernews.fr/reseau-securite/flash-player-attention-au-piratage-de-webcam-via-le-lecteur-integre-a-google-chrome.html

Voici mes questions auxquelles j'aimerai avoir une réponse précise, s'il vous plait :

Est-ce que cette faille est toujours d'actualité ? Si non, quand a t-elle était corrigée ?

Comment la personne mal intentionné procède-t-elle pour exploiter cette faille ?

Est-ce que cette faille est présente sur n'importe quel site ?

Une pensée pour la gente masculine : est-ce qu'un site pornographique, tout à fait officiel et populaire peut cacher cette faille pour nous espionner dans nos activités privées ?

Est-ce que le voyant lumineux de la caméra s'active lorsque la faille est exploitée ? (webcam intégrée)

Le pare-feu ne demande t-il pas d'autorisation ?

Je vous remercie d'avance !

PS : je viens de désactiver mon périphérique et un morceau de scotch opaque et maintenant placé sur la webcam.

Malekal_morte- · Answer

Salut,

Tout est dit sur Wikipedia : https://fr.wikipedia.org/wiki/Clickjacking 

C'est une faille de sécurité d'Adobe Flash Player permettant à un hacker de faire cliquer l'utilisateur où il le désire. Cette faille a été découverte par Robert Hansen et Jeremiah Grossman début septembre 2008 et concernait les versions Adobe Flash Player 9.0.124.0 et antérieures. L'entreprise Adobe Systems a corrigé le bogue le 15 octobre 20083.

L'exploitation du bogue avait lieu grâce à la surimpression d'une iframe par dessus une application flash. La surimpression étant invisible l'internaute ne savait pas qu'il ne cliquait pas sur l'application flash mais sur d'autres liens4. La démonstration a été réalisée avec un jeu flash où l'internaute doit cliquer sur des boutons pour marquer des points. Certains clics du jeu font cliquer l'internaute sur des autorisations d'utilisations de la webcam de l'ordinateur5.

clickjacking-flashplayer · Answer

Bonjour Malekal_morte,

Merci pour cette réponse.

J'avais également remarqué cette information sur wikipédia.

Néanmoins, pourquoi ces articles avec ces dates différentes ?

Résolution en 2008, en 2011 ?

Et surtout le dernier lien que j'ai filé, qui indique que cette faille était encore exploitable en juin 2013 apparemment.

Comment être sur que c'est vraiment résolu ?

Et s'il vous plait, répondez à la totalité de mes questions précédentes, c'est important.

Encore merci !

clickjacking-flashplayer · Answer

Bonjour,

Je me permet de relancer ce post car je n'ai pas eu les explications nécessaires.

Malgré que Wikipédia indique la résolution de ce problème en 2008, d'autres sites (la majorité en anglais) ainsi que celui ci-dessous indique un piratage possible de la webcam via flash player uniquement sur google chrome en juin 2013 :

-

http://www.undernews.fr/reseau-securite/flash-player-attention-au-piratage-de-webcam-via-le-lecteur-integre-a-google-chrome.html 

J'ai lu aussi qu'en un seul clic (bouton de lecteur vidéo, par exemple), la webcam peut être activée à mon insu. Ou faut t-il plusieurs clics précis ?

Comment procède t-il à ça ? Est-ce que tout les sites sont concernés, même les sites officiels ?

Ou faut t-il que le hackeur nous envoie son lien amenant au site "trafiqué" avec la fameuse "iframe" (à expliquer) ?

En gros, il faut être ciblé ou ça peut arrivé sur n'importe quel site à n'importe qui n'importe quand ?

Je me suis jamais soucié de ma webcam intégrée et mon pc se situe dans ma chambre, un lieu intime !

S'il vous plait apportez moi toutes les précisions possible pour sortir de cette angoisse !

Merci !

Malekal_morte- · Answer

Ce que tu n'as pas compris, c'est que le  Clickjacking repose sur une vulnérabilité.
Des versions anciennes de flash ont été vulnérables.
Et dernièrement Google Chrome.
Quand c'est corrigé, et si tu es à jour, ça ne fonctionne plus.

et le comment ça marche, c'est expliqué dans la page que tu donnes.
Une page web avec une applet qui exploit la vulnérabilité, tu clics et c'est fini.

clickjacking-flashplayer · Answer

Une page web avec une applet qui exploit la vulnérabilité ?

Je suis désolé je suis néophyte, j'arrive pas à piger.

Je veux juste savoir si j'ai potentiellement était victime de ça auparavant.

juju666 · Answer

Ouais, genre au dessus d'un jeu en flash yavait un iframe pourri et quand tu cliquais sur le jeu bah tu cliquais aussi sur les points de l'iframe. Mais ca a été corrigé comme deja dit

clickjacking-flashplayer · Answer

Merci de me répondre je sais que je peux être pénible quand quelque chose cogite dans ma tête.

Mais est-ce que cet iframe peut être "implanté sur n'importe quel site ?

J''ai pas de réponse sur ça depuis le début.

J'ai ai regardé plein de vidéo et même parfois des vidéos pornographique sur des sites populaires que je ne citerai pas mais que tout le monde connais.

Je sais pas si vous comprenez ma question...

clickjacking-flashplayer · Answer

Bon, je parle du passé, car j'ai un ordinateur avec webcam intégré depuis deux ans et j'utilise google chrome.

Comment je viens de le demander est-ce que cette ancienne faille, vu qu'elle a apparemment été corrigé peut être exploité dans n'importe quel site ?

Un exemple concret : je cherche sur google une vidéo pornographique qui me dirige vers un site populaire (y**p*rn, p*rnh*b, etc.)

Je vais sur ce site pour lire la vidéo.

Est-ce que je peux être victime d'un espionnage par webcam ?

Je sais que ça peut être bizarre mais imaginer l'angoisse pour un jeune homme !

Merci de répondre je vous en supplie.

clickjacking-flashplayer · Answer

S'il vous plait répondez moi ça va me rendre malade cette histoire !

Je veux juste des explications pour exclure ou non ce problème.

juju666 · Answer

Haha bah faut pas regarder ce genre de choses, prends un abo canal+ moins de risques :p haha lol

Mouais on peut imaginer un tel truc mais j'en vois pas l'intéret serieux...

clickjacking-flashplayer · Answer

Mais ça répond toujours pas à ma question.

Ce type de faille est ou était exploitable sur n'importe quel site ou pas ?

Notamment le genre de site que j'ai précédemment cités.

SVP !

clickjacking-flashplayer · Answer

Up

clickjacking-flashplayer · Answer

les sites qu'on recherche sur google sont indexés donc il ne peuvent être soumis à ce piratage ?

Malekal_morte- · Answer

Tu as tous les éléments de réponse, encore une fois rien à rajouter.
Pour que le pirate puisse fonctionner, il faut une application ayant une vulnérabilité qui permettent au clickjacking d'être effectué.

Donc une très ancienne version de Flash ou une version ancienne de Google Chrome.

clickjacking-flashplayer · Answer

si mon google chrome est à jour flash player aussi ?

mais c'est ça que j'arrive pas à comprendre et je demande depuis le depuis le debut.

Si il y a une vulnérabilité sur un navigateur comment il fait pour mettre sont truc sur un page web ? et il peut faire sur n'imPorte quel page web ?

lilidurhone · Answer

Plus de up

Cette faille a été corrigé!

clickjacking-flashplayer · Answer

Je sais que cette faille est corrigé. Par contre je sais pas depuis quand ?

Je parle de mon utilisation antérieur et si j'ai eu l'occasion de me faire espionner.

Donc je repose mes questions :

Est-ce que cette ancienne faille est exploitable sur n'importe quel site ?

Car il faut que le hackeur intégré son truc sur le site ?

C'est à cette étape que j'arrive pas àa comprendre et je demande depuis le début une explication clair sur le fonctionnent

Si google chrome est à jour, flash player l'est aussi automatiquement ?

lilidurhone · Answer

Si google chrome est à jour, flash player l'est aussi automatiquement ?
 

OUI

Tu n'as plus rien à craindre!!!

Malekal_morte- · Answer

C'est pour cela qu'on a inventé les changelog.

Google Chrome 27.0.1453.116

# Security fixes
* Clickjacking in the Flash plug-in.
# Fixes to the following issues:
* Multiple flash movies on one page not playing 
* Arc rendering bug in canvas 
* Select box with Multiple option fires Onchange event on scroll  
 
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

clickjacking-flashplayer · Answer

ok donc depuis la version 27 s'est résolu merci de votre patience !

mais j'ai toujours pas de réponse à mes autres questions

si j'utilisais chrome avant la 27 quel type de site pouvais intégrer ça ?

? · Answer

haha au moins tu me fait rire malgré que ça m'angoisse

mais ça veut dire que n'importe quel site indexé sur google a pu être impacté par ça ?

ça me semble louche non ? je pensais que c'était un lien qu'on t'envoyé comme une sorte de site de phishing ?

ou alors que tu va sur des sites super chelou du deep web ?

juju666 · Answer

rhoooo arrête la parano un peu dis :)
bah nan, c'était uniquement les malintentionnés ou les sites piratés qui auraient pu être touché puisqu'il faut rajouter du code dans la page web

? · Answer

voilà donc les sites officiels indexés sur google ne sont pas touchés

il faut obligatoirement que le site lui même soit piraté ?



ouais je suis un parano de fou mec, je crois que je vais crever jeune

juju666 · Answer

mdr :p

inscris toi sur le site c'est gratuit et t'auras plus simple à suivre ton topik (et contacter les gens en privé pour leur poser des questions mdr)

q: il faut obligatoirement que le site lui même soit piraté ? 

r: les malintentionnés ou les sites piratés qui auraient pu être touché puisqu'il faut rajouter du code dans la page web

clickjacking-flashplayer · Answer

qu'est ce que tu veux dire par "les malintentionnés" ?

ouais je penserais à m'inscrire vu mon état psychologique :p

juju666 · Answer

bah ceux qui veulent justement faire ce genre de choses dégueulasses.
c'est un scénario probable mais je n'ai jamais vu rien de tel ^^

ouais je penserais à m'inscrire vu mon état psychologique :p
j'ai déjà joué le rôle du psy plusieurs fois sur ce forum, une de plus ou de moins, je ne verrais pas la différence :p

clickjacking-flashplayer · Answer

ouais donc le rajout du code ne peut pas se faire par le saint esprit il faut que le site soit tout pété ou hacké

et je suppose que si la cam est activé je l'aurais vu avec l'indicateur lumineux et/ou par l'icone de la cam en bas à droite ?

T'en pense quoi? je pense pas que je genre de faille peut contourner le capteur comme les RAT.

on verra si ma parano passe avec ces infos sinon je relancerai le topic haha

juju666 · Answer

non pas le saint esprit

indicateur lumineux : oui, c'est pas la caméra invisible hahaha

les rat qui arrivent à détourner la led de la caméra ? bah c'est un fameux rat, je dirais même plus, c'est une musaraigne :p :p :p

on verra si ma parano passe avec ces infos sinon je relancerai le topic haha
inscris-toi .. !! ;)

clickjacking-flashplayer · Answer

non pas le saint esprit 

comment ça non?

les rat qui arrivent à détourner la led de la caméra ? bah c'est un fameux rat, je dirais même plus, c'est une musaraigne :p :p :p 

haha t'es con.

Vous pensez que cette faille à était beaucoup exploité ou c'est super rare?

juju666 · Answer

bah non c'est rare

clickjacking-flashplayer · Answer

mais perso je vois pas l'interet d'utiliser cette faille.

en tout cas c'est une chose qui me donne des frissons de savoir que ma vie privée n'est pas respecté à 100%

tu as l'air cool juju je sais pas pourquoi je t'aime bien :p

juju666 · Answer

bah moi non plus :)

la vie privée respectée ? erf ...

tu as l'air cool juju je sais pas pourquoi je t'aime bien :p

y'a que mon pseudo qui fait peur, et peut-être ma tronche ! :D 
bon, tu t'inscris quand ? mdr

clickjacking-flashplayer · Answer

la vie privée respectée ? erf ... 

pourquoi erf ?

je m'inscrirais quand j'arrêterai de cogiter :p

bon selon vous j'ai pas de souci à me faire avec tout, ça n'a pas pu m'arriver hein ?

sinon je suppose que ce genre de problème n'existe pas sur android avec la caméra de face par exemple?

juju666 · Answer

pourquoi erf ?

http://rue89.nouvelobs.com/2013/11/21/vie-privee-anomalie-les-dogmes-flippants-google-247726

bon selon vous j'ai pas de souci à me faire avec tout, ça n'a pas pu m'arriver hein ?

déjà c'est "[...] selon TOI[...]" je parie t'es pas plus âgé que moi alors ^^
NON ! No stress ! 

sinon je suppose que ce genre de problème n'existe pas sur android avec la caméra de face par exemple?
Non :)

... maintenant tu vas te toucher avec ton android ? :D

clickjacking-flashplayer · Answer

http://rue89.nouvelobs.com/2013/11/21/vie-privee-anomalie-les-dogmes-flippants-google-247726 

ouaip j'avais lu ça, c'est pas top...

... maintenant tu vas te toucher avec ton android ? :D

haha enflure, non c'est juste à titre informatif :p

tu sais pas combien de temps la faille est rester exploitable ?

je me demande aussi si google se met à jour seul,  pour savoir si le plugin flash s'est mis à jour aussi lors de la correction.

juju666 · Answer

heu non, je connaissais même pas cette faille ... j'ai ptete été filmé aussi du coup :O :p

normalement oui il se met à jour tout seul, et si faut installer une mise à jour majeure il doit le proposer.

Clickjacking / faille flash player webcam

36 réponses

Discussions similaires