Shared posts

25 Mar 15:15

Test LG MyView Smart Monitor : le moniteur/TV que vous auriez aimé avoir en résidence universitaire

Cet écran hybride pourrait bien être la meilleure solution de productivité et de divertissement pour les personnes vivant dans des espaces réduits.
19 Dec 16:03

URGENT - Karim Benzema met un terme à sa carrière internationale : "J’ai fait les efforts et les erreurs qu’il fallait pour être là où je suis aujourd’hui et j’en suis fier ! "

Au lendemain de la finale de la Coupe du monde perdue par les Bleus contre l'Argentine, Karim Benzema met un terme à sa carrière internationale, lui qui avait effectué son retour dans le groupe France pour l'Euro 2021.

Il y a un mois, à l'approche de l'entrée en lice des Bleus, on apprenait en effet que Karim Benzema avait quitté l'entraînement blessé. Quelques heures plus tard et le résultat des examens, le Français était dans l'avion direction Madrid sans même avoir dit au revoir à la majorité de ses coéquipiers. Seuls Mbappé, Varane, Tchouaméni, Camavinga et Marcus Thuram étaient venus le saluer selon ce qui a été rapporté sur place.

Le média Relevo a révélé le 15 décembre que l'avant-centre avait été vexé par le manque d'intérêt de la FFF à son égard et par les déclarations de Didier Deschamps le concernant. Pour le consultant et ancien champion du monde Emmanuel Petit, qui s'est exprimé ce lundi 19 décembre sur RMC, "il y a des zones d'ombre".

"L'équipe de France était programmée pour aller au moins jusqu'en quarts, on aurait pu prendre le pari d'aller au moins jusqu'en quarts. On aurait pu prendre le pari de le garder et de le soigner. [...] Ça me semble un peu nébuleux tout ça". L'Equipe ajoute, et ce n'est pas une surprise, que Deschamps et Benzema n'ont jamais été "complices".

Didier Deschamps aurait également été vexé de l'attitude de son joueur, qui ne l'avait pas remercié lors de son discours au moment de la remise de son Ballon d'Or.

20 Apr 17:49

Les morsures de serpent dans le monde

by Jean-Philippe Chippaux, Chercheur en santé publique
On compte annuellement près de cinq millions de morsures de serpent et 150.000 décès, principalement dans les pays tropicaux. Les vipères entraînent des hémorragies et les cobras des paralysies respiratoires mortelles. Le sérum antivenimeux est le seul traitement.
24 Dec 07:33

Apple défend l’utilité de la coque de son AirPods Max

by Tristan Carballeda

Étui casque AirPods Max

Le AirPods Max, le tout nouveau casque d'Apple fait beaucoup parler de lui. Mais malgré les questionnements de beaucoup d'utilisateurs, la "Smart Case" a bien un intérêt.
23 Aug 21:34

IBM annonce un ordinateur de 27 qubits avec un volume quantique record

IBM annonce avoir produit un ordinateur de 27 qubit capable d'atteindre une valeur record de volume quantique de 64.
27 Feb 23:46

Forfait mobile Sosh 50 Go à 9,90 € et la boite Sosh ADSL/Fibre à 14,99 € par mois !

Sosh propose de nouvelles promotions sur leurs forfaits mobile et internet à des tarifs avantageux.
22 Oct 10:51

Le nouveau clavier des MacBook Pro Retina est une source de problèmes

by lionel@macbidouille.com (Lionel)

Afin de gagner de l'épaisseur sur ses machines, Apple a installé sur ses MacBook 2015 un clavier à course réduite.
A l'usage, il est assez déroutant car la course de ces touches est très courte donnant très peu l'impression d'avoir agi sur elles. Il semble toutefois que l'on arrive à s'y faire.
Ce nouveau système de touches a toutefois d'autres inconvénients. Pour commencer, il n'est plus possible de démonter une touche, les papillons sont trop fins et se cassent systématiquement si l'on essaye de le faire. Il n'est pas non plus efficace de vouloir utiliser de l'air comprimé pour les nettoyer si l'on a l'impression que quelque chose s'est collé en-dessous.

Or, il s'avère que ces touches sont particulièrement sensibles à la moindre accumulation de poussière dessous et peuvent facilement ne plus fonctionner ou au contraire faire des répétitions sans fin de caractères.

Voici un témoignage assez édifiant à ce sujet. Casey Johnston, la personne qui l'a écrit, rapporte son expérience avec son MacBook Pro Retina 15" avec Touch Bar et plus précisément avec la barre espace de ce dernier.
C'est la troisième fois qu'elle passe en SAV parce que cette dernière ne fonctionne plus normalement et la troisième fois qu'on lui change tout le capot supérieur de sa machine.
Pour le moment pas de réel problème, cela passe sous garantie, mais quand elle sera échue, la réparation lui coûtera 700$! En effet, cela implique à chaque fois de démonter entièrement l'intérieur de la machine et de transférer tous les composants dans une nouvelle coque dotée d'un clavier neuf.

Pourtant, visiblement, il ne semble pas utiliser sa machine comme un plateau à déjeuner et à chaque fois seule de l'accumulation de poussière est incriminée.

Il raconte d'ailleurs que le Genius qui s'est confié à lui, a raconté que ce genre de changement de composants était fréquent et que lui-même avait encore une machine de la génération précédente.

Pour avoir nous aussi utilisé des machines de ce genre (MacBook Retina) nous avons également constaté la sensibilité de ces touches à la moindre chose tombée dedans. Il est compliqué de les débloquer (si on y arrive) malgré les explications fournies par Apple dans une note technique.
A moins d'utiliser ces Mac dans un environnement à flux d'air contrôlé et filtre à poussière tout en se lavant systématiquement les mains à chaque fois (en plus d'un traitement visant à éliminer les peaux mortes), il ne fait guère de doute qu'au bout d'un moment, les touches se bloqueront. Ce n'est qu'une question de temps et hors garantie cela fera mal.
Si tout se passe comme d'habitude dans ce genre de cas, on aura d'ici le premier trimestre 2018 (fin des prises sous garantie) droit à un recours en action collective aux Etats-Unis et dans les mois qui suivent une extension de garantie à ce sujet. Cela coûtera cher à Apple en espérant que les prochaines machines regagnent 1mm de course clavier en plus pour éliminer ce problème et espérons-le permettre que le SAV puisse démonter les touches pour en nettoyer les délicats mécanismes.

[MàJ] Merci aux personnes travaillant dans des SAV de nous apporter des informations sur ce sujet.

07 Sep 21:36

Switch : les cartes MicroSD officielles sont là

Nintendo vient d'annoncer le lancement des cartes mémoires officielles destinées à sa Switch.
08 Sep 11:25

IFA 2014 – Harman Kardon conquiert toutes les pièces de la maison

by Marie Georgescu de Hillerin
Harman Kardon suit la tendance actuelle du multiroom lancée par Sonos et reste dans l'influence latine du mot en proposant le système Omni. Loin de nous pousser à l'hégémonie d'une monomarque dans tout notre appartement, le système nous propose même un adaptateur qui permet à n'importe quelle autre enceinte d'intégrer la configuration multiroom en Wi-Fi. Toutes les enceintes de la gamme...
image
17 Mar 15:01

Un séisme de magnitude 4,4 secoue Los Angeles

L'épicentre du tremblement de terre, qui n'a pas provoqué de dégâts matériels, était situé tout près d'Hollywood.






15 Mar 19:26

Pollution : Ayrault juge «nécessaire» la circulation alternée

A l'issue d'une cinquième journée de pic de pollution samedi, Jean-Marc Ayrault a décidé de mettre en place lundi matin la circulation alternée à Paris et sa petite couronne. Une mesure réclamée...
19 Aug 12:40

Club de sport : Abonnement à l'année ou paiement à la séance ? La réponse des économistes

by contact@captaineconomics.fr (Le Captain')
Club de sport : Abonnement à l'année ou paiement à la séance ? La réponse des économistes
C'est bientôt la rentrée ! Malgré votre tentative de régime avant l'été il y a quelques mois, la foule ne s'est étrangement pas jetée sur vous lorsque vous avez enlevé votre t-shirt à la plage... Et oui, le régime "je cours une fois tous les 15 jours et je bouffe du chocolat toute la journée" n'est en effet pas bougrement efficace ! Mais c'est décidé, cette fois ci vous allez préparer l'été prochain dès maintenant. Afin d'être sûr d'avoir un corps de rêve pour les prochaines vacances, vous vous rendez donc à la salle de sport la plus proche de chez vous, et demandez quelques informations. On vous propose alors trois formules : un carnet de 10 tickets valables durant un an, un abonnement mensuel avec reconduite automatique ou bien un abonnement annuel. Qu'allez-vous choisir ?

 

Cette question qui peut paraître anodine a fait l'objet d'une étude très sérieuse intitulée "Paying Not to Go to the Gym" (DellaVigna & Malmendier, 2006) publiée dans la revue académique American Economic Review. Pour réaliser cette étude, les auteurs ont étudié durant trois ans les statistiques d'abonnements et la fréquentation de trois clubs de sports situés aux Etats-Unis. Dans ces clubs de sport, trois formules étaient proposées : (1) un carnet de 10 séances au prix de 100$, (2) un abonnement mensuel au prix de 85$ et (3) un abonnement annuel au prix de 850$. Selon la théorie économique, un individu rationnel doit choisir la formule qui maximise son utilité (= son bien-être) en estimant sa consommation future, c'est à dire la fréquence à laquelle l'individu pense se rendre à la salle de sport. D'un point de vue mathématique, un individu rationnel doit donc maximiser son utilité espérée en fonction d'un facteur d'actualisation et de la probabilité de réalisation d'un espace d'état (ensemble des situations possibles).

 

max-utility

 

A part pour faire le malin en sortant une formule complexe pour un problème de bodybuilding, l'analyse de la relation (1) permet de comprendre pourquoi les individus ne prennent pas toujours la bonne décision "rationnelle" via la variable "p", la probabilité de réalisation d'une situation. Dans votre tête, lorsque vous voyez par exemple qu'un abonnement pour 10 séances coûte 100$ et qu'un abonnement à l'année coûte 850$, vous faites le calcul suivant : "une séance me coûte 10$ avec un carnet de 10 tickets ; dans cette situation l'abonnement à l'année est intéressant uniquement si je vais à la salle de sport (850$ / x) < 10$, soit au moins 85 fois dans l'année". Et c'est souvent à ce moment là qu'arrive la première erreur de jugement "trop simple, cela fait 7 séances par mois, je vais le faire facile, le mois dernier j'y suis même allé 8 fois !".

 

En faisant cela, vous mettez automatiquement de coté tous les "espaces d'état" qui pourraient remettre en cause votre calcul. Vous considérez en effet une seule situation possible future, celle où tout va bien et où votre motivation reste intacte. Vous ne prenez pas en compte la probabilité de blessures, la probabilité de flemme internationale, la probabilité que cet hiver il fasse -10 degrés et que vous refusiez de sortir de chez vous, la probabilité que vous oubliez de résilier votre abonnement... L'humain est soumis a de très nombreux biais cognitifs qui font que ses décisions, contrairement à ce que prétend la théorie économique, sont loin d'être toujours rationnelles. Ici, le biais cognitif en question est ce que l'on appelle le biais de confiance excessive, qui fait qu'un individu n'arrive pas à juger objectivement ses propres capacités.

 

L'autre paramètre rentrant en compte est le facteur d'actualisation. Selon la théorie de la rationalité, ce facteur est constant dans le temps, ce qui signifie tout simplement que votre choix doit être le même dans les deux situations suivantes : (1) recevoir 10 euros aujourd'hui ou 10,05 euros demain, et (2) recevoir 10 euros dans un an ou bien 10,05 euros dans un an et un jour. Si vous préférez recevoir 10 euros maintenant à 10,05 euros demain, mais 10,05 euros dans un an et un jour à 10 euros dans un an, alors vous ne rentrez pas dans la case "rationnel" de la théorie classique. Mais pourtant, ce comportement se retrouve chez de nombreux individus, qui ont tendance à attribuer davantage de valeur au présent immédiat. Dans le cas de l'inscription à notre salle de sport, cela peut se traduire par une excitation quasi-animale faisant que vous voulez absolument vous inscrire dès aujourd'hui, ce qui biaise votre jugement concernant votre fréquentation future de la salle.

 

Et là vous vous dites "non mais moi je ne suis pas comme ça, je suis clairement meilleur que les autres et j'arrive à juger parfaitement objectivement mes capacités et à être rationnel dans mes décisions" ! Oui, oui, c'est ça... Il est vrai connaître ses limites et les différents biais cognitifs peut permettre d'être un peu moins irrationnel. Mais la parfaite rationalité n'est pas vraiment compatible avec notre petit cerveau ! La recherche en neuroscience (et la nouvelle discipline de la neurofinance) montre que ce n'est pas la même partie du cerveau qui réagit en fonction du "délai de la récompense". Lorsqu'il s'agit d'une récompense immédiate ("vous venez de gagner 1 million d'euros"), c'est le cerveau limbique, le "cerveau émotionnel", qui est le plus stimulé, tandis que lorsque la récompense est retardée dans le temps ("vous allez gagner 1 million d'euros dans un mois"), c'est le cortex préfrontal, le cerveau en charge des fonctions cognitives supérieures, qui est le plus stimulé. Donc à part si vous contrôlez parfaitement votre cerveau, vous pouvez avouer que vous n'êtes jamais parfaitement rationnel dans vos décisions (source : "Separate Neural Systems Value Immediate and Delayed Monetary Rewards", Sciences, 2004).

 

limbic-rewards

 

Bon, revenons en à notre club de sport ! Quels sont les résultats de l'étude de nos deux chercheurs ? En étudiant le comportement de 8000 inscrits entre 1997 et 2001, les auteurs ont montré que pour les personnes ayant opté pour un abonnement à l'année, le coût moyen par séance s'élevait à 17$, soit beaucoup plus que le prix à la séance (via carnet de 10 tickets) de 10$ ! En moyenne au moment de s'inscrire pour un an, les futurs abonnés prévoyaient d'économiser 700$ sur l'année en prenant un abonnement à l'année plutôt qu'un paiement à la séance. En faisant un calcul à la louche, cela signifie donc que les individus ayant choisi l'abonnement à l'année prévoyaient de se rendre à la salle de sport en moyenne 3 fois par semaine, pour finalement "ex-post" une moyenne d'une séance par semaine. C'est rationnel tout ça ? On retrouve alors ici nos deux biais cognitifs de confiance excessive et de facteur d'actualisation variant dans le temps.

 

En bonus, les auteurs ont montré que les individus oubliaient très souvent d'arrêter le renouvellement automatique de leur abonnement, et ne prenaient pas cela en compte dans leur calcul initial. Combien de fois vous êtes vous dit "non mais je penserai à arrêter, je suis pas con tout de même" ? Et finalement... Il y a bien sûr quelques avantages difficiles à quantifier, comme pouvoir montrer fièrement votre carte du Club Med Gym à vos amis alors que vous y allez une fois par mois, ou bien un effet psychologique "je suis inscrit, il faut que j'y aille" mais cela semble une explication beaucoup plus folklorique que la précédente concernant les biais cognitifs... De plus, si l'on considère non pas le prix à la séance mais le prix par minute passée dans le club, il y a de fortes chances que cela ne fasse que renforcer les résultats ci-dessus ; quand vous avez un abonnement illimité, vous pouvez juste passer 20 min à la salle de sport, tandis que lorsque vous payez à la séance, vous aurez tendance à faire des séances plus longues (donc prix à la minute bien inférieur).

 

Conclusion : La prochaine fois que vous serez devant un choix cornélien comme celui-ci, vous pouvez (1) essayer de bien réfléchir aux différentes situations possibles et aux probabilités associées à chaque situation, sans vous voiler la face sur celles n'allant pas dans le sens de votre conclusion initiale (blessure, flemme, oubli de l'arrêt abonnement...) et (2) analyser la situation comme si celle-ci ne donnait pas de résultats immédiats mais seulement dans un mois, pour tenter de faire passer votre raisonnement du côté de votre cerveau coginitif "supérieur" plutôt que par votre cerveau émotionnel. Et en route pour le corps de rêve dans un an (ou pas...) !

 

02 Aug 12:17

New Spambot In Town Using Compromised Websites To Send Spam

by admin

Today, while digging in my sandnet, I came across a trojan that I’ve never seen before and that appeared to be new to me. The trojan gained my attention because its HTTP POSTing to www.google.com which is a bit weird (but more on this later). So, I decided to have a closer look at the trojan and found 20 binaries in my sandnet that showed up a similar behaviour:

2013-07-21 a1ae35eadf7599d2f661a9ca7f0f2150
2013-07-23 a00fd847d7152d2439251d5e5bf20dca
2013-07-29 a11daf09c9ef63466637a0c97a44ae0e
2013-07-30 289e7c3dd1771a1e0865417f81e2308c
2013-07-30 2f1da170625f1f5e5e9aebf0627abd62
2013-07-30 39e5cad818c033dd4b417593a2c16474
2013-07-30 3acf24d2285ce24f54ea60d33005ac2e
2013-07-30 4dce9885245756c8b159c08ebb660040
2013-07-30 4f5794df9bb22321975bc028038d6194
2013-07-30 6daf4f7a6f7131373ff16e7604555cc3
2013-07-30 75d4f090f80ef2628f659cad707d4b7d
2013-07-30 922260a5adbf1698cf1ab0eb0d40036a
2013-07-30 94bda5fa7c52c24259cdf2b3f7c14ebf
2013-07-30 a4b05e98cf2778fd5f44d5c3f5ff0599
2013-07-31 ab11d73f0de74b48deb7023483b49979
2013-07-31 b36c12525968dd29f23523d8898c4c82
2013-07-31 e9db3ab0f75f339995aecd61ebeb8cb6
2013-07-31 f5b627d158d61034064e71cfdd3eaa41
2013-08-01 47f910f5caf4a886675bdb88a317b9c2
2013-08-01 a29fd30396c564fc40a86b54ec36d602

As shown above, I’ve seen the first malware binary showing this behaviour on 2013-07-21. The trojan seems to be, at least from my perspective, somewhat new. What also made me curious of about this trojan is the fact that only 3 out of these 20 binaries are known to Virustotal. However, they seem to have quite a good AV coverage:

MD5 hash: a1ae35eadf7599d2f661a9ca7f0f2150
AV coverage: 35 / 46

MD5 hash: a00fd847d7152d2439251d5e5bf20dca
AV coverage: 34 / 46

MD5 hash: a1ae35eadf7599d2f661a9ca7f0f2150
AV coverage: 35 / 46

Having a look at the AV-results, this trojan is being detected as Rodecap by most AV-vendors. Symantec discovered this new threat on July 23 2013, two days after my sandnet came across the first malware binary showing with this behaviour:
https://www.symantec.com/security_response/writeup.jsp?docid=2013-072315-2550-99

*** The Trojan ****
Once a computer has been infected, Rodecap installs itself into the following directories:
C:\Document and Settings\USERNAME\Local Settings\Application Data\Microsoft\
C:\Document and Settings\USERNAME\Local Settings\Application Data\

The trojan copies itself to these directories using one of the following filenames:
cmstp.exe
ieudinit.exe
logman.exe
lsm.exe
mstsc.exe
sessmgr.exe
spoolsv.exe
wininit.exe
winlogon.exe

In addition, Rodecap might also write the following files:

C:\Documents and Settings\All Users\ieudinit.exe
C:\Documents and Settings\All Users\dllhost.exe

To ensure that Rodecap gets loaded on the system start, it creates a registry key in HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ using one of the following names:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\MessageService
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Microsoft Connection Manager
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Spooler
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Sessmgr
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\WinLogon

The AV-vendor ESET has documented additional filenames and registry keys used by Rodecap.

*** Rodecap C&C Traffic ***
The botnet C&C communication used by Rodecap is quite fancy. As mentioned before in this blog post, Rodecap initially communicates with a C&C server using www.google.com. But it also does some other interesting C&C communication which is described below.

To obtain the address of the main C&C server, Rodecap gets the MX record of lyrics-db.org. This DNS response contains two MX records which are pointing to a different domain name:

DNS query: lyrics-db.org IN MX

DNS response:
13 mx1.games-olympic.org.
17 mx2.games-olympic.org.

Rodecap will now obtain the IP address of the main C&C server by getting the A record of one of the referenced MX records:

DNS Query: mx1.games-olympic.org IN A
DNS response: 95.163.104.68

Rodecap C&C Traffic
Rodecap C&C traffic (DNS)

This will tell Rodecap to use the IP address 95.163.104.68 as C&C server. Rodecap even goes one step further, and tries to evade sandboxes by using www.google.com in the HTTP Host header while talking to the C&C (of course this won’t work in a corporate environment where a web proxy server is in place):

POST /protocol.php?p=XXX&d=XXX HTTP/1.1
Accept: */*
Content-Type: application/x-www-form-urlencoded
Host: www.google.com
User-Agent: Mozilla/5.0
Content-Length: 72
Connection: Keep-Alive
Cache-Control: no-cache

d=XXX

HTTP/1.1 200 OK
Server: nginx
Date: Wed, 31 Jul 2013 X
Content-Type: application/octet-stream
Transfer-Encoding: chunked
Connection: keep-alive
Keep-Alive: timeout=20

*encrypted data*

If you take a look at this HTTP Header this request should go to www.google.com, but in fact the bot sends the request to 95.163.104.68 which has been previously obtained by Rodecap using the MX DNS query. The IP address belongs to a Russian web hosting company called Digital Networks CJSC (DINET / msm.ru):

inetnum: 95.163.0.0 - 95.163.255.255
netname: RU-DINET-20081230
org: ORG-DNJ1-RIPE
descr: Digital Networks CJSC
admin-c: DNO-RIPE
tech-c: DNO-RIPE
country: RU
status: ALLOCATED PA
mnt-by: RIPE-NCC-HM-MNT
mnt-lower: DN-MNT
mnt-routes: DN-MNT
mnt-domains: DN-MNT
source: RIPE # Filtered

Of course, Google is not hosted in Russia…

Once the bot contacted the main C&C server, it will tell the bot to drop additional malware components (PE32 executables):
hXXp://www.google.com/d/conh11.jpg
hXXp://www.google.com/d/fu13.jpg

Again, these files are not hosted on Google, but on 95.163.104.68. The dropped files are not .jpg files rather than windows executables:

Rodecap Binary Drop

Rodcap dropping additional binaris

*** Rodecap spam module ***
What Rodecap drops here seems to be at least one module that is used for spamming. This spam module has an interesting way of spamming internet users mailboxes. To do so, Rodecap will call a C&C server at newsleter.org to get a task from the botnet herder using HTTP GET:

GET /d/t14.php HTTP/1.1
User-Agent: -
Host: t.newsleter.org
Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx
Date: Wed, 31 Jul 2013 X
Content-Type: text/plain
Content-Length: 309
Connection: keep-alive
Keep-Alive: timeout=5
Last-Modified: Mon, 22 Jul 2013 X
ETag: "X"
Accept-Ranges: bytes

*encrypted data*

I’ve seen the spam module using different subdomains of newsleter.org, and they are hosted on different IP addresses:


t.newsleter.org (95.163.104.93 - AS12695 DINET RU)
bt.newsleter.org (208.115.109.53 - AS23033 Wowrack US)
seek.newsleter.org (208.115.109.53 - AS23033 Wowrack US)
fw.newsleter.org (85.143.166.221 - AS56534 Prix RU)

What Rodecap will try to get from these C&Cs is a spam template and a list of hijacked websites (more on that below).

*** CMS php backdoor component ***
Unlike other spam botnets that are either using stolen SMTP credentials for spamming, spamming the victims mailserver directly or abusing open SMTP relays, Rodecap seems to use a huge list of websites that have been compromised and running some kind of PHP script (backdoor). Within a few hours I was able to retrieve more than 3’500 unique websites that seems to run an outdated content management system (CMS, such as Joomla!) and which have already been compromised and hosting a malicious PHP file. A list of compromised websites I’ve came across so far and that are associated with Rodecap can be found here:

https://www.abuse.ch/downloads/rodecap_compromised_cms.txt

Unfortunately I wasn’t able to get a copy of such a PHP file yet, but based on the botnet traffic towards these compromised websites it seems that Rodecap is spamming through these PHP files:

Rodecap Spammodule C&C Traffic

Roadcap C&C Traffic

The HTTP POST request look like this:
POST /old/nieuw/plugins/editors/tinymce/jscripts/tiny_mce/plugins/devkit/stats.php HTTP/1.1
Accept: */*
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0
Host: www.hrmet.nl
Content-Length: 883
Connection: Keep-Alive
Cache-Control: no-cache

encrypted data

HTTP/1.1 200 OK
Date: Wed, 31 Jul 2013 X
Server: Apache
X-Powered-By: PHP/5.2.14
Content-Length: 39
Keep-Alive: timeout=1, max=100
Connection: Keep-Alive
Content-Type: text/html

OK+taskid+0

If the PHP backdoor response with “OK” and the task ID, the spam email was obviously sent successfully. I’ve also seen various compromised websites returning the OS version and the task id instead of just “OK”. For example:

Linux20+taskid+1 (for webservers running Linux)
WINNT20+taskid+1 (for webservers running Windows, mostly IIS)

If the PHP backdoor isn’t able to send the spam mail (eg. because the spam mail has been rejected by the remote mail server), the PHP backdoor will send this information back to the bot along with the error message from the remove mail server.

Some examples:
Linux20+taskid+4+(dave332453@aol.com)+550 5.1.1 : Recipient address rejected: aol.com|
Linux20+taskid+3+(davehibbeler@hotmail.com)+421 RP-001 (BAY0-MC2-F47) Unfortunately, some messages from 92.53.113.126 weren't sent. Please try again. We have limits for how many messages can be sent per hour and per day. You can also refer to http://mail.live.com/mail/troubleshooting.aspx#errors.|
Linux20+taskid+2+(davecarter159@yahoo.com)+421 4.7.0 [GL01] Message from (217.21.184.244) temporarily deferred - 4.16.50. Please refer to http://postmaster.yahoo.com/errors/postmaster-21.html|

According to the error messages, Rodecap currently targets big free email providers such as Windows Live, Yahoo and AOL.

I ran a Rodecap binary in a sandbox for a few minutes and checked the responses from the compromised websites. Based on the responses it appears that most of the spam sent by Rodecap were accepted by the remote mail servers.

*** Conclusion ***
This new threat seems to be just another spam bot in the wild. However, it is using some interesting methods for C&C communication and for sending out spam that I’ve never seen before. In fact the idea is quite good: There are ten thousands of websites out there running vulnerable (unpatched) CMSes that can easily be exploited to install malicious software on the victims webspace. The Rodecap gang seizes this opportunity to install a PHP backdoor that then allows them to send emails through the compromised webservers. By doing this, the criminals avoid common blacklists, especially blacklists that are listing dynamic IP space used by end users (DSL / cable subscribers) such as Spamhaus PBL or SORBS DUL.

To defend your network against this new threat, you should:

  • Block HTTP User-Agent “Mozilla/5.0” and “-” on your Web Proxy
  • Ensure that your CMS is up to date running the latest version

In addition, you might also want to block the C&C communication associated with Rodecap going to the following destinations:

lyrics-db.org
games-olympic.org
mx1.games-olympic.org
mx2.games-olympic.org
newsleter.org
t.newsleter.org
bt.newsleter.org
seek.newsleter.org
fw.newsleter.org
95.163.104.68
95.163.104.93
208.115.109.53
85.143.166.221

UPDATE 2013-08-02 11:15 UTC
A reader of abuse.ch contacted me and suggested to block 95.163.64.0/18
entirely which belongs to Digital Network JSC (DI-NET Russia). According to him this blockage didn’t cause any false positive in the last 2 years.

Follow me on Twitter: https://twitter.com/abuse_ch

13 Jul 19:58

Canon EOS 70D Owner's Manual Now Available

06 Jul 10:01

Google a fermé Reader car le service était trop ouvert et intéropérable

by Louis

On croyait globalement jusqu’ici que Google avait fermé Reader pour un problème de coûts. En gros, laisser tourner Reader coûtait trop à Google, sans que l’entreprise ne trouve de moyen de rentabiliser l’affaire, et donc, comme d’autres services, il fallait fermer le service.

Un billet de Marco Arment est venu complètement chambouler cette potentielle version, avec une idée, une hypothèse encore plus moche, mais bien plus crédible à mes yeux.

Il commence en expliquant pourquoi l’hypothèse des coûts trop élevés n’est pas recevable. En gros, Reader ne coûtait quasiment rien en hommes, et pas grand chose en machines.

The most common assumption I’ve seen others cite is that “Google couldn’t figure out how to monetize Reader,” or other variants about direct profitability. I don’t believe this, either. Google Reader’s operational costs likely paled in comparison to many of their other projects that don’t bring in major revenue, and I’ve heard from multiple sources that it effectively had a staff of zero for years. It was just running, quietly serving a vital role for a lot of people.

Puis il explique le plus gros problème de Reader aux yeux des dirigeants de Google : son interopérabilité.

RSS grew up in a boom time for consumer web services and truly open APIs, but it especially spread like wildfire in the blogging world. Personal blogs and RSS represented true vendor independence: you could host your site anywhere, with any software. You could change those whenever anything started to suck, because there were many similar choices and your readers could always find your site at the domain name you owned.

Hors, l’interopérabilité a céssé d’être un pré-requis pour faire un « grand » service. Facebook en est l’exemple le plus concret, comme l’explique Jeremy Keith :

Once Facebook had proven that it was possible to be the one-stop-shop for your user’s every need, that became the model to emulate. Startups stopped seeing themselves as just one part of a bigger web. Now they wanted to be the only service that their users would ever need… just like Facebook.

Seen from that perspective, the open flow of information via APIs — allowing data to flow porously between services — no longer seemed like such a good idea.

Puis il explique le fond du problème : les grands du web n’ont pas réellement envie que leurs services soient interopérables. Ils veulent que les utilisateurs restent chez eux !

The bigger problem is that they’ve abandoned interoperability. RSS, semantic markup, microformats, and open APIs all enable interoperability, but the big players don’t want that — they want to lock you in, shut out competitors, and make a service so proprietary that even if you could get your data out, it would be either useless (no alternatives to import into) or cripplingly lonely (empty social networks).

Google resisted this trend admirably for a long time and was very geek- and standards-friendly, but not since Facebook got huge enough to effectively redefine the internet and refocus Google’s plans to be all-Google+, all the time.4 The escalating three-way war between Google, Facebook, and Twitter — by far the three most important web players today — is accumulating new casualties every day at our expense.

Bon, et à part ces mauvaises nouvelles ?

A part ça, Marco Arment propose une belle conclusion, à laquelle je souscris plutôt :

That world formed the web’s foundations — without that world to build on, Google, Facebook, and Twitter couldn’t exist. But they’ve now grown so large that everything from that web-native world is now a threat to them, and they want to shut it down. “Sunset” it. “Clean it up.” “Retire” it. Get it out of the way so they can get even bigger and build even bigger proprietary barriers to anyone trying to claim their territory.

Well, fuck them, and fuck that.

We need to keep pushing forward without them, and do what we’ve always done before: route around the obstructions and maintain what’s great about the web. Keep building and supporting new tools, technologies, and platforms to empower independence, interoperability, and web property ownership.


AbriCoCotier.fr, 2013. | Permalien | 2 commentaires | Plugin Better Feed, par Ozh
Rangé dans : Facebook, Google