À la fin du mois d'octobre 2023, un événement un peu particulier a été détecté aux États-Unis : plus de 600 000 modems d'un fournisseur d'accès (Windstream) sont tombés en panne en quelques jours. Et l'analyse de cette Pumpkin Eclipse (en référence à la date, proche d'Halloween) est intéressante.

Black Lotus Lab donne quelques détails sur cette attaque — il ne s'agit pas d'une erreur du FAI — et ils ne sont pas très rassurants. Pour commencer, un peu de contexte. L'attaque a commencé le 25 octobre 2023, chez un FAI qui cible en partie des zones rurales dans de nombreux états et fournit donc un service qui est parfois essentiel pour ses clients. Les plaintes des utilisateurs deviennent vites nombreuses, avec un point commun : les boîtiers ActionTec T3200, T3260 et Sagemcom F5380 sont touchés.

Il ne s'agit pas d'une simple attaque ou d'un problème temporaire : les appareils ne démarrent plus et la panne suggère un problème de firmware, le logiciel interne du modem. Si les premiers retours faisaient penser à une erreur du FAI qui aurait par exemple envoyé une mise à jour défaillante, le fait que trois modèles soient touchés tend à faire penser à une attaque. Les chercheurs indiquent que le FAI — qui gère 1,6 million de clients — a donc dû visiblement remplacer environ 600 000 modems, et c'est une estimation prudente.

Nos confrères expliquent que le malware employé pour attaquer les différents appareils et a priori effacer le firmware porte le nom de Chalubo et qu'il ne s'agit pas de sa fonction première. Il est toujours en circulation et sert essentiellement à lancer des scripts sur des appareils infectés, par exemple pour les employer lors d'attaques DDOS. La destruction probablement volontaire de nombreux appareils reste quelque chose de rare et la seule occurrence réellement documentée est une attaque nommée AcidRain : en 2022, au début de l'invasion de l'Ukraine par la Russie, 10 000 modems satellites avaient été mis hors services. Ensuite, l'attaque a été très ciblée : alors que les tentatives pour transformer des modems en bots visent généralement un modèle précis d'appareils, ce n'était pas le cas ici. La Pumpkin Eclipse visait un FAI précis, sur plusieurs modèles de modems.

Dans les faits, plusieurs mois après l'attaque, Black Lotus Lab prend des pincettes : l'enquête est incomplète, notamment parce qu'ils n'ont pas pu obtenir un des routeurs attaqués et détruits et ne savent donc pas exactement comment a été menée l'attaque ni même comment le malware a pu effacer le firmware. Mais ils sous-entendent tout de même qu'il pourrait s'agir d'une attaque menée par un état, ou liée à un état, sans réellement comprendre le but derrière toute la manœuvre.

Terminons par un point : si les FAI américains emploient généralement des modems issus de différents fabricants, ce qui est bien visible ici, ce n'est pas le cas dans d'autres pays comme en France. Chez nos FAI, l'offre est un peu plus uniforme, même si les fournisseurs gardent souvent plusieurs générations de box en circulation. Mais cette uniformisation pourrait être un souci en cas d'attaque, si une faille permet à un malware d'accéder à un modèle précis d'appareils.

Orion est un navigateur web basé sur le même moteur de rendu que Safari, avec l’avantage supplémentaire de prendre en charge les extensions pour Chrome et Safari. Ses concepteurs ajoutent un autre avantage plutôt inattendu face au navigateur conçu par Apple : il continue d’être mis à jour pour d’anciennes versions de macOS, offrant une meilleure prise en charge que le créateur du système d’exploitation lui-même. La preuve, Orion avec la toute dernière version de WebKit est compatible avec macOS Mojave (10.14) et Catalina (10.15), deux versions désormais délaissées par Apple.

Si vous êtes bloqué sur ces anciennes versions de macOS et que vous utilisiez jusque-là Safari, vous devriez envisager de passer à Orion. Vous bénéficierez alors d’une copie plus récente de WebKit, ce qui veut dire une meilleure prise en charge du web moderne et surtout davantage de correctifs de sécurité, ce qui est essentiel dans un navigateur. Comme le moteur de rendu est identique, vous retrouverez la même compatibilité côté sites et le navigateur créé par Kagi reprend tous les paramètres de celui d’Apple par défaut, simplifiant encore la transition.

Orion devrait par ailleurs sortir de sa phase de bêta l’an prochain, puisque ses concepteurs envisagent la sortie de la 1.0 au début de l’année 2025. Il sera proposé initialement pour macOS et iOS, avec l’ambition de développer par la suite des versions pour Windows, Android et Linux. Il est gratuit, même s’il est possible de payer pour financer son développement : 5 $ HT par mois, 50 $ par an ou encore 150 $ HT à vie.

Orion est traduit en français et fonctionne dès macOS Mojave (10.14).

Done (2,99 €) est un utilitaire étonnant qui ambitionne de lister les tâches déjà réalisées. Il ne s’agit pas de lister les tâches que vous voulez effectuer, comme dans un gestionnaire de tâches traditionnel. Son ambition est au contraire de garder une trace de ce que vous faites au fil des jours, avec la possibilité de noter le temps passé sur chaque élément ou encore de les associer à des mot-clés. L’app propose ensuite des graphiques et des fonctions d’export pour toutes ces tâches.

Ce positionnement est intriguant, car Done se concentre sur un aspect qui est en général assez mal géré par les gestionnaires de tâches classiques. Ils concentrent toutes leurs fonctions sur la saisie de rappels et se contentent pour la plupart de masquer ou supprimer les éléments une fois qu’ils ont été cochés. Cette app a l’idée inverse, il s’agit de suivre ce qui a été fait, une traçabilité qui peut même servir dans un cadre professionnel grâce à l’export ou encore l’intégration de Raccourcis.

Pour autant, est-ce une bonne idée d’avoir un suivi des tâches terminées sans pouvoir lister des tâches à réaliser ? En l’état, il faut envisager Done en plus d’un gestionnaire de tâches traditionnel, sachant qu’il faudra saisir les éléments deux fois : une première pour ajouter un rappel dans le gestionnaire, une deuxième pour l’enregistrer dans Done. Cela semble un petit peu trop compliqué pour la majorité des usages, mais si le concept vous convient, alors sachez que l’app est simple et plutôt bien pensée.

Done est vendue sur le Mac App Store uniquement à 3 €, sans abonnement ou autre achat in-app derrière. Son interface n’est proposée qu’en anglais et l’app nécessite macOS 14.4 pour fonctionner.

8BitDo, qui s'est fait un nom avec des manettes de jeu rétromoderne — c'est-à-dire avec une esthétique proche des consoles des années 80 mais des fonctions des années 2020 — a visiblement trouvé son nouveau créneau : les claviers. Après des versions aux couleurs de la Famicom (Fami Edition), de la NES (N Edition) et du Commodore 64 (C64 Edition), voici une variante très « IBM PC », la M Edition.

La structure ne change pas : il s'agit d'un clavier compact qui peut fonctionner en USB, en Bluetooth ou sans fil à travers un récepteur USB propriétaire. C'est un clavier mécanique avec des interrupteurs Kailh Box White v2, ce qui implique un bruit assez élevé (ils ont un clic d'activation) et une force d'activation moyenne (45 grammes). Le clavier est livré avec deux gros boutons programmables, issus des versions aux couleurs des consoles de Nintendo. Les quatre variantes actuelles sont uniquement disponibles en QWERTY et la société propose un outil de configuration pour les PC, ce qui n'empêche évidemment pas le clavier de fonctionner sur un Mac (macOS dispose d'un agencement pour les claviers de PC dans les options).

Le « M Edition » est évidemment aux couleurs du mythique IBM Model M du milieu des années 80, qui a servi de modèle à beaucoup de claviers de PC. Il ne s'agit pas pour autant d'une reproduction, mais d'un clavier mécanique qui en reprend vaguement l'esthétique, comme pour le Commodore 64. Sa sortie est prévue pour le 15 juillet, au même prix que les autres modèles soit un peu moins d'une centaine d'euros.

8BitDo lance un clavier largement inspiré du Commodore 64

En plus du clavier lui-même, 8bitDo va proposer un pavé numérique, qui sera disponible dès le 15 juillet. Compatible Bluetooth, sans fil et USB (comme les claviers), il va aussi intégrer un écran pour l'utiliser comme une calculatrice basique. Ce pavé numérique va être proposé encore une fois dans quatre variantes, pour 45 $ pièces : IBM PC, Commodore 64, Nintendo Famicom et Nintendo NES M Edition, C64 Edition, Fami Edition et N Edition.

Espérons que la prochaine version sera une revisite de l'excellent Apple Extended Keyboard II…

Une faille a été découverte dans Parallels Desktop, un outil de virtualisation très populaire sur Mac, et elle permet de lancer une application en douce avec les droits root (et même si elle n'est pas signée). Si vous avez un Mac Intel — la faille ne touche pas les Mac ARM —, il est donc recommandé de mettre à jour le logiciel. Elle a été corrigée dans la version 19.3.1 du logiciel et la version 19.4 est sortie il y a quelques jours.

La faille touche toutes les versions de Parallels Desktop depuis la version 16.0 et elle est liée à une application Apple : createinstallmedia. Comme l'explique Mykola Grymalyuk sur son blog, Parallels passe en effet par un outil Apple pour la création de machines virtuelles de macOS. Et par la magie des fonctions UNIX de macOS (plus précisément la fonction Set UID bit), le programme d'Apple est lancé avec les droits root, hérités de l'exécution de Parallels. En remplaçant l'outil Apple par une autre application, cette dernière peut donc être exécutée avec les droits les plus élevés.

La faille ne touche que les Mac Intel pour une raison très simple, qui ne vient pas d'une sécurité plus faible que celle des Mac Apple Silicon : la façon dont est déployé macOS diffère et les Mac Apple Silicon n'utilisent tout simplement pas createinstallmedia. De même, comme l'explique Mykola, VMware Fusion n'a pas le problème car le concurrent de Parallels ne passe pas par le programme d'Apple¹. Pour rappel, il est devenu gratuit pour un usage personnel récemment alors que Parallels Desktop 19 vaut une centaine d'euros.

VMware Fusion Pro devient gratuit pour un usage personnel

La page de présentation de la faille montre qu'elle permettait de lancer n'importe quelle application assez facilement avec les droits root (les plus élevés), ce qui était évidemment un gros problème. Comme expliqué plus haut, elle a été corrigée à la fin du mois d'avril.

Si seulement effacer nos traces numériques était aussi simple que de fermer une fenêtre de navigateur... Hélas, la réalité est tout autre. Mais heureusement, des solutions existent pour minimiser notre empreinte numérique.

Pour ceux d'entre nous qui cherchent à disparaître des radars des courtiers de données, Incogni offre une solution fiable et simple pour nettoyer nos traces numériques et protéger notre vie privée.

L'anonymat sur le web est un mythe

D'abord, brisons un mythe : l'anonymat sur Internet est une illusion. À chaque site visité, chaque formulaire rempli, nous laissons des empreintes qui ne sont pas si éphémères. Elles sont collectées avec zèle par des courtiers en données, des collectionneurs modernes qui ne cherchent pas des timbres, mais des bits d'informations personnelles.

Ces données, que nous semons souvent à notre insu, se transforment en or numérique pour ces courtiers. Elles sont archivées, vendues, et parfois utilisées à des fins moins nobles. Imaginez un peu : votre adresse email est peut-être en ce moment même sur une liste VIP dans le sombre bureau d'un spammeur.

Ce florissant commerce des données peut engendrer une kyrielle de nuisances pour le commun des mortels, et vous les connaissez très bien. Appels automatisés, SMS non sollicités, emails de marketing incessants... Et ne parlons même pas des risques plus sinistres comme la fraude d'identité ou le vol d'informations bancaires.

Pour se protéger, certains se tournent vers des solutions comme les emails jetables, des VPNs, des relais privés, ou les bloqueurs de publicités. Bien que ces outils puissent vous rendre un peu plus furtif, ils ne font que masquer les symptômes sans vraiment guérir la maladie.

Malheureusement, pour effacer complètement les traces déjà laissées, il faudrait contacter chaque courtier en données individuellement, leur demander poliment de supprimer nos informations, et espérer qu'ils jouent le jeu. Une mission qui peut rapidement devenir aussi décourageante qu'une partie de cache-cache avec des fantômes.

Incogni comme allié

Mais ne désespérez pas. Il existe une solution plus simple et moins épuisante que de jouer au détective numérique : Incogni.

Avec ce service — proposé par Surfshark — vous vous inscrivez, fournissez quelques détails essentiels, et voilà. La plateforme prend le relais, envoyant des demandes de suppression à divers courtiers en données sans votre intervention. Elle vous tient au courant de chaque avancée, par e-mail, ou sur un tableau de bord aussi simple qu'efficace.

Incogni offre des abonnements, avec des options mensuelles ou annuelles. Opter pour l'abonnement annuel est comme choisir un billet de première classe pour une tranquillité d'esprit prolongée (mais sans le champagne), car le service assure un nettoyage régulier et efficace de vos données. Les courtiers ne vous lâcheront pas aussi facilement !

Non seulement Incogni vous libère des griffes des spams et des risques de cyberattaques, mais il le fait en respectant scrupuleusement vos droits selon le RGPD. Vous pouvez donc naviguer sereinement, en sachant que votre vie numérique est mieux protégée. Et quel bonheur de voir et le nom de ces fameux courtiers, et nos données effacées de leurs bases de données...

👉 Ne laissez plus vos données personnelles être le jouet des courtiers — rejoignez Incogni !

QNAP étoffe sa gamme de NAS avec un modèle de milieu de gamme destiné aux particuliers et aux petites entreprises. Doté de deux baies pour disques durs 3,5" ou SSD SATA 2,5", le TS-216G peut gérer jusqu’à 39 To de stockage.

Il est équipé d’un CPU quad-core ARM Cortex A55 à 2,0 GHz, d’un GPU Mali-G52 et de 4 Go de RAM non extensibles. Un NPU est de la partie pour traiter efficacement les tâches liées à l’IA, comme la reconnaissance d’images du gestionnaire de photos QuMagie. Le fabricant taïwanais propose plus globalement de nombreuses applications et un système d’exploitation très complet.

Niveau connectique, le NAS a notamment un port Ethernet 2,5 GbE, ce que Synology ne propose toujours pas dans cette gamme de prix. Le TS-216G a aussi un port Ethernet 1 Gb, un port USB 3.2 Gen 1 et un port USB 2.0 (tous à l’ancien format USB Type-A).

Ce nouveau NAS est vendu 299 €. Chez QNAP, il est situé entre le TS-233 autour de 205 € (sans port 2,5GbE et avec deux fois moins de RAM, notamment) et le TS-262-4G à 500 € environ (avec un processeur Intel plus puissant et des emplacements M.2 en plus). 

myQNAPcloud Storage : une solution intégrée pour sauvegarder son NAS QNAP en ligne