Pinduoduo, l’une des meilleures applications d’achat chinoises, est truffée de logiciels malveillants

Un États-Unis La base de données de l’immigration et des douanes WIRED obtenue grâce à une demande de la loi sur la liberté d’information montre que l’agence s’est appuyée sur un certain type d’assignation administrative pour collecter des données auprès des écoles élémentaires, des cliniques d’avortement et d’autres populations vulnérables. Et de nouveaux détails sur une récente attaque de la chaîne d’approvisionnement contre le logiciel VoIP 3CX indiquent que les attaquants – probablement des pirates travaillant pour le gouvernement nord-coréen – ciblaient les sociétés de crypto-monnaie dans le cadre d’un vaste assaut.

Nous avons également examiné la décision prise cette semaine par le régulateur italien des données, Garante per la Protezione dei Dati Personali, d’empêcher temporairement OpenAI d’incorporer les informations personnelles des Italiens dans les données de formation. En réponse, la société a actuellement empêché les personnes en Italie d’accéder à sa plate-forme d’IA générative, ChatGPT. Pendant ce temps, nous avons exploré la dangereuse défense de sécurité manquante dans le secteur agricole américain et la chaîne d’approvisionnement alimentaire du pays, et nous avons approfondi la saga d’un petit blog de gadgets américain qui a trouvé des failles troublantes dans les caméras de sécurité étrangères et a pris l’industrie de la surveillance chinoise pour les faire réparer.

Dans l’actualité des réseaux privés virtuels, le VPN open source Amnezia permet aux utilisateurs en Russie de garder une longueur d’avance sur la censure invétérée et le contrôle numérique du Kremlin. Et le projet Tor a collaboré avec le fabricant de VPN open source Mullvad pour créer un nouveau navigateur axé sur la confidentialité qui intègre le VPN de votre choix.

De plus, il y a plus. Chaque semaine, nous rassemblons les nouvelles de sécurité que nous n’avons pas couvertes en profondeur nous-mêmes. Cliquez sur les titres pour lire les histoires complètes et restez en sécurité là-bas.

Le géant chinois du commerce électronique Pinduoduo compte plus de 750 millions de clients par mois et vend une vaste gamme de produits et de produits d’épicerie. Mais les chercheurs en cybersécurité qui ont analysé l’application Android de l’entreprise ont découvert qu’elle était truffée de logiciels malveillants invasifs qui exploitent les vulnérabilités d’Android pour prendre le contrôle des appareils des utilisateurs, en accédant aux données d’autres applications, en modifiant les paramètres du système et en surveillant l’activité numérique des utilisateurs dans un certain nombre de cas. façons.

Les employés actuels et anciens de Pinduoduo ont déclaré à CNN que la société avait une initiative spécifique pour découvrir les vulnérabilités d’Android et développer des exploits. L’objectif serait d’augmenter les ventes en surveillant les clients et les concurrents. CNN a déclaré qu’il n’y avait aucune preuve spécifique que Pinduoduo donne les données qu’il vole à Pékin, mais en vertu de la loi chinoise, cela serait très possible. Google a suspendu l’application de son Play Store fin mars, mais l’App Store est interdit en Chine, de sorte que les utilisateurs d’Android téléchargent généralement leurs applications à partir des magasins d’applications locaux de toute façon. Dans le passé, Pinduoduo a rejeté « la spéculation et l’accusation selon lesquelles [the] L’application Pinduoduo est malveillante », mais elle n’a pas répondu aux multiples demandes de commentaires de CNN sur les nouvelles découvertes. Les géants de la technologie du monde entier sont souvent critiqués pour leurs pratiques de collecte de données massives, voire excessives. Mais les chercheurs ont déclaré que l’application de Pinduoduo était particulièrement flagrante.

Les forces de l’ordre de 17 comtés ont collaboré au démantèlement cette semaine du marché criminel numérique très utilisé Genesis, connu pour colporter d’énormes quantités d’identifiants de connexion et de jetons d’accès volés. La police a saisi l’infrastructure du site et a également exécuté une campagne massive dans plusieurs pays pour mener 208 perquisitions de propriété et arrêter 119 des utilisateurs présumés du site. Le FBI et la police nationale néerlandaise ont dirigé l’effort avec le soutien d’Europol et de bien d’autres. « En travaillant dans 45 de nos bureaux extérieurs du FBI et aux côtés de nos partenaires internationaux, le ministère de la Justice a lancé un démantèlement sans précédent d’un marché criminel majeur qui a permis aux cybercriminels de victimiser des individus, des entreprises et des gouvernements du monde entier », a déclaré le procureur général américain Merrick Garland. dans un rapport. « Notre saisie de Genesis Market devrait servir d’avertissement aux cybercriminels qui exploitent ou utilisent ces marchés criminels. »

Juste à temps pour le jour des impôts, les dossiers des marchés publics examinés par Motherboard montrent que l’US Internal Revenue Service est intéressé par l’achat d’un outil de surveillance Internet auprès de Team Cymru, une société qui fabrique des produits de surveillance numérique. Le FBI et l’armée américaine sont déjà des clients. L’outil permet aux utilisateurs d’accéder aux données « netflow », qui révèlent une large activité Internet, y compris des interactions telles que la communication avec le serveur. Sans ces outils de surveillance, seuls l’hébergeur ou l’opérateur d’un serveur et le fournisseur d’accès Internet auraient accès à ces données. Les dossiers indiquent également que l’IRS cherche à acheter l’accès à un certain nombre de produits de cybersécurité pour la défense.

Les véhicules Tesla intègrent un certain nombre de caméras, mais la vidéo qu’ils capturent est censée être verrouillée afin que vous ayez de l’intimité dans votre propre voiture. Cependant, Reuters a découvert que les employés de Tesla avaient partagé des vidéos et des images embarrassantes et « très invasives » des voitures des clients sur une plate-forme de communication interne de l’entreprise entre 2019 et 2022. Certaines des images étaient simplement des chiens ou des panneaux de signalisation comiques, mais elles ont également capturé un éventail de situations compromettantes, y compris la nudité. Tesla n’a pas répondu aux questions détaillées de Reuters sur les résultats.

Le ballon espion chinois qui a provoqué un tollé alors qu’il flottait au-dessus des États-Unis au début de cette année a effectué plusieurs passages au-dessus de sites militaires sensibles et a réussi à collecter des signaux électroniques, comme ceux des systèmes de communication et d’armes, selon trois responsables actuels et anciens qui ont parlé à NBC. Nouvelles. Le gouvernement américain avait déclaré à l’époque qu’il prenait des mesures pour empêcher le ballon de collecter quoi que ce soit d’utile. Les trois responsables ont toutefois ajouté que les contre-mesures américaines avaient réussi à réduire considérablement la quantité d’informations que le ballon était capable de collecter.