• Recherche en vulnérabilité informatique

    Graph

    Alternativ-Testing est une équipe composée de 4 chercheurs en sécurité informatique.

    Toujours à la recherche de nouvelles techniques d'exploitation, notre équipe est très active et s'oriente particulièrement sur les navigateurs et applications web testant jour après jour leur sécurité.

  • Mozilla Firefox Vulnerability Research

    Plus d'une 100ène de vulnérabilités valides ont été reportées par Jordi Chancel sur le navigateur Mozilla Firefox disponible sur les systèmes d'exploitation Windows, Mac OS X, Linux, Android et Firefox OS et plus d'une 20ène d'entre elles ont déjà été corrigées et mises en avant dans leurs mises à jour de sécurité.
    Jordi Chancel à démontré que le navigateur web Mozilla Firefox était vulnérable à des attaques de CursorJacking sur le système d'exploitation Mac OS X permettant des manipulations variées comme l'exécution de programme malveillant via l'instalation sillencieuse d'un Addon ou encore de prendre le contrôle de la WebCam et du microphone.

  • Opera Vulnerability Research.

    Graph

    Location Bar URL & SSL Spoofing, Universal Cross-Site Scripting, HTML Sanitization Bypass, download & execute file using ClickJacking method, Remote Code Execution... Tant de vulnérabilités reportées par le chercheur en sécurité informatique Jordi Chancel Sur le Navigateur Web Opera.
    Aujourd'hui Alternativ-testing a réussi à s'imposer dans le milieu de la recherche en sécurité informatique des Navigateur Web grâce au talent, à la persévérance et au travail de ses chercheurs aguerris et motivés.

  • Google Chrome Vulnerability Research.

    Graph

    De nombreuses vulnérabilités affectant Google Chrome ont dèjà été reportée sur ce Navigateur par le chercheur en sécurité informatique Jordi Chancel dont la quasi-totalité ont été corrigées et définit avec un impact élevé permettant par exemple l'usurpation d'URL et de certificats de connexions sécurisés ou encore l'exécution de code JavaScript sur un site tiers ciblé par une page web malveillante (ex: Cross-Origin Bypass), résultant par exemple au vole des identifiants de connexion et des sessions d'identification enregistrés au sein de Google Chrome.

  • Internet Explorer Vulnerability Research.

    Graph

    Nos recherches sur Internet Explorer ont dèjà permis la découverte de multiples vulnérabilités permettant l'exécution malicieuse de fichiers dangereux ainsi que l'exécution de fichiers locaux. Certaines de ces vulnérabilités ont usées de méthodes similaires au ClickJacking permettant aussi la prise de contrôle d'une machine à distance via l'exécution silencieuse de fichiers dangereux téléchargés par cette méthode.
    Nos recherches ont aussi permises le report de vol de données à distance (Cross-Origin Data Theft) ainsi que la mise en avant de défauts de sécurités concernant le téléchargement de fichiers dangereux pourtant présentés comme inoffensifs.

  • Safari Vulnerability Research.

    Graph

    Safari fait lui aussi parti des navigateurs web privilégiés pour nos recherches de vulnérabilités. De nombreuses vulnérabilités ont premièrement été trouvées sur le navigateur Google Chrome puis adapter par la suite au navigateur Safari qui partage le moteur WebKit avec encore une mutitude d'autres navigateurs, rendant ainsi possible l'exploitation de vulnérabilités entre ses navigateurs.
    De ce fait, un certain nombre de nos vulnérabilités reportées sur Chrome on été également reportées et corrigées sur Safari par la même occasion.

  • Android Vulnerability Research.

    Graph

    Dans un soucis d'orientation plus exaustive de nos recherches, Android tient désormais une place très importante dans nos recherches en vulnérabilités du fait de l'expansion gigantesque que tient aujourd'hui internet dans les appareils mobiles sans compter qu'un grand nombre de navigateurs web sont de plus en plus disponibles sur ce système d'exploitation mobile.
    Nous avons dèjà signalé plusieurs vulnérabilités dès le début de nos recherches sur ce système qui ont été directement approuvées par les éditeurs de navigateurs web contactés.

  • Firefox OS Vulnerability Research.

    Graph

    Firefox OS représente a lui seul un défis intéressant concernant nos recherches depuis que celui-ci est défini comme l'un des système d'exploitation mobile les plus sécurisés sur le marché.
    De plus, le navigateur web Mozilla Firefox fait par conséquent parti de ce système et offre donc de nouvelles opportunitées pour la découverte de vulnérabilités sur celui-ci.

    Nos recherches visent prioritairement à démontrer les possibilités de prise de contrôle à distance de ce système via son navigateur web ou via une application tiers sans oublier la recherche de tout autres défauts de sécurité permettant des manipulations malveillantes.

  • iOS Vulnerability Research.

    Graph

    Le système d'exploitation mobile d'Apple est devenu l'un des plus populaires auprès du grand publique. La sécurité d'un tel système est donc au coeur des recherches quotidiennes d'une multitude de chercheurs et par la même occasion des pirates informatiques.Le navigateur web par défaut de l'iOS est par concéquent le même que le système d'exploitation Mac OS X dans sa version mobile et a donc WebKit pour moteur.Plusieurs de nos découvertes touchant les navigateurs web Google Chrome et Safari tel que le Spoofing d'indication de connexion sécurisé et d'URL ont aussi touchées les versions mobiles de ces navigateurs qui sont les plus utilisés de l'iOS.

  • Windows Phone Vulnerability Research.

    Graph

    Le système d'exploitation mobile de Windows est aussi l'un des plus utilisés et permet l'utilisation de plusieurs navigateurs Web alternatifs comme le célèbre Navigateur Opera. Nos recherches en vulnérabilités sur ce système d'exploitation mobile font donc aussi parties de nos préocupations les plus serieuses concernant ce modèle de smartphone. Le navigateur web par défaut du Windows Phone est donc le même que sur le système d'exploitation Windows, dans sa version mobile. Plusieurs de nos découvertes touchant les navigateurs Web disponibles sur Windows ont aussi été adaptées sur les navigateur Web disponible de ce système d'exploitation mobile tel que le Spoofing d'URL, le vole de données à distance, etc.

  • BlackBerry OS Vulnerability Research.

    Graph

    Avec iOS et Android, BlackBerry OS est l'un des systèmes d'exploitations mobiles les plus utilisé et contient aussi une multitude d'extentions adaptées à son environnement mobile. Le navigateur web par défaut de ce système d'exploitation mobile a pour moteur WebKit ce qui donne une très probable compatibilité entre les vulnérabilités trouvées sur Google Chrome et Safari avec le navigateur web de BlackBerry OS.
    Tout comme chaque système d'exploitation mobile, nos recherches se penchent aussi sur la sécurité des communications vocales et écrites (émission et réception) ainsi que l'exécution de code arbitraire permettant un contrôle a distance du système.

  • Mac OS X Vulnerability Research.

    Graph

    De plus en plus de vulnérabilités importantes ont été découvertes par Jordi Chancel depuis le début de ses recherches dans le navigateur web Mozilla Firefox sur Mac OS X dont certaines représentent une réelle avancée concernant l'exploitation du CursorJacking dont la réelle sévérité de cette attaque restait jusqu'ici non totalement démontrée. Nos recherches sur Mac OS X on dèja été reconnues pour leurs résultats et publiées dans plusieurs grands sites d'actualité traitant de la sécurité informatique en plus du site Wikipedia dont le nom de Jordi Chancel est désigné pour ces découvertes de vulnérabilités de type CursorJacking sur Mozilla Firefox dans le système Mac OS X.

  • Windows Vulnerability Research.

    Graph

    Depuis le début de nos recherches en vulnérabilités des navigateurs web sur Windows nous avons directement obtenu d'exellents résultats par la découverte de plus de 150 vulnérabilités affectant Google Chrome, Mozilla Firefox, Opera, Safari, SeaMonkey et Internet Explorer

    Nos recherches sur Windows ont contribuées a nous donner une base solide et à nous offrir une réelle reconnaissance de la part de plusieurs éditeurs de navigateurs web tel que la Fondation Mozilla, Google Inc et Opera Software.

  • Linux Vulnerability Research.

    Graph

    Nos recherches en vulnérabilités sur les navigateurs web ont toujours été parallèlement effectuées sur Linux et ont permises dans certains cas de noter le réel impact de nos découvertes afin d'en déterminer la sévérité exacte.

    Mozilla Firefox étant le navigateur le plus utilisé sur ce système d'exploitation et étant par la même occasion le software le plus visé par nos recherches, notre expérience concernant sa sécurité procure une réelle base de confiance entre l'éditeur de ce navigateur web et les rapports que nous leurs soumettons.

Dans la presse :

BleepingComputer.com : Google Chrome 57 Released with WebAssembly Support, 36 Security Fixes




(...)
[$1000][642490] Medium CVE-2017-5041:
Address spoofing in Omnibox.
Credit to Jordi Chancel
(...)

EWEEK : Firefox 47 Debuts With 13 Security Advisories





Also of note is an address bar spoofing
flaw (CVE-2016-2822) that Mozilla rates as
having a moderate impact. The flaw could
have potentially enabled an attacker to spoof
the contents of the address bar, tricking a user
into landing on a malicious site.

SCMAGAZINE.COM : Mozilla releases Firefox 42, fixes several vulnerabilities





The seven moderate risk patches
fix items such as Android intents can
be used on Firefox for Android to open privileged
files;(...);Firefox for Android address bar can
be removed after fullscreen mode that could allow
a hacker to change the address.

En.Wikipedia.org : Clickjacking#CursorJacking





Jordi Chancel discovered a
cursorjacking vulnerability using Flash,
HTML and JavaScript code in Mozilla Firefox on
Mac OS X systems (fixed in Firefox 30.0) that
lead to arbitrary code execution
and webcam spying.

EWEEK : Firefox 37 Debuts With Opportunistic Encryption, Security Fixes





Among the vulnerabilities rated
by Mozilla as having moderate impact is an
interesting cursor clickjacking flaw identified as
CVE-2015-0810. "Security researcher Jordi Chancel
reported a mechanism that made [the] cursor
invisible through flash content and then replaced
it through the layering of HTML content,"
Mozilla warned in its advisory...

EWEEK : Firefox 30 Delivers 7 Security Fixes, Other Changes





Finally, Firefox 30.0 provides
a fix for a click-jacking flaw identified
as CVE-2014-1539 that only affects Mac OS X users.
Security researcher Jordi Chancel reported a
mechanism where the cursor can be rendered
invisible after it has been used on an embedded
flash object when used outside of the object,
Mozilla warned in its advisory...

EWEEK : Mozilla Firefox 27 Delivers Better Security, Performance





Security researcher Jordi Chancel
reported that the dialog for saving downloaded
files did not implement a security timeout before button
selections were processed," Mozilla warned in
its advisory. "This could be used in concert with
spoofing to convince users to select a different
option than intended, causing downloaded
files to be potentially opened ...

TechWeekEurope : Mozilla Adds Web Audio Capabilities And Security Updates To Firefox 25





Mozilla is also providing a fix for a
spoofing security flaw that is rated as
having moderate severity. “Security researcher
Jordi Chancel discovered a method to put
arbitrary HTML content within select elements
and place it in arbitrary locations,” Mozilla warns
in its advisory. “This can be used to spoof
the displayed address bar...

The Hacker News : Google & Mozilla Patches Browsers Before Pwn2Own Hacker Contest !





The major flaw that was updated by
Firefox consists of a bug that if activated by a
corrupted JPEG file could lead to a crash. The bug
was detected by Jordi Chancel, a security
researcher at the company. Mozilla warned that the
bug is of critical nature and an attacker can use it
to craft a corrupted JPEG image that would
install a malicious code in the memory...

Softpedia News : Opera Hit by Critical 0-Day Vulnerability.





The flaw was discovered by French
security researcher Jordi Chancel who disclosed it
on his blog on January 7 and described it as an integer
truncation error. Mr. Chancel noted at the time that
even though the crashes are easy to replicate,
the address of the memory violation is unpredictable,
making exploitation a lot more complicated.
However, on Friday, French ...

ComputerWorld : Google patches Chrome for second time this month.





Researchers credited with reporting
two of the flaws were awarded bonuses as part of
Google's bug bounty program, which kicked off in
January. Most flaws earn their finders $500,
but researcher Jordi Chancel was handed $1,000
for the cross-origin bypass vulnerability he found
in Chrome's handling of Google URL, a code
library used to parse large ...

Zataz : Redirection non sécurisée pour Facebook.





Il se nomme 599eme Man, un internaute
français qui a découvert, il y a trois mois, une
faille de type XSS URL String Evasion sur le portail
communautaire internationale Facebook. Contactée,
l'équipe de Facebook avait rapidement corrigée la
vulnérabilité. Seulement, la correction a engendré
une nouvelle possibilité pirate. Contactés de
nouveau, il y a 1 mois, les ...

Zataz : Twitter, Facebook et la confidentialité... des failles corrigées.





Mi-octobre 2009, le pseudo 599eme Man,
membre du groupe Alternativ Testing, publiait le
billet "Facebook URL String Evasion Doublé" sur une
technique d'injection de code HTML par le biais
d'une variable mal filtrée sur une application. La
vulnérabilité jugée critique a été corrigée bien que
partiellement comme le souligne certaines
personnes par le biais du blog de...

 


De plus!

Nos chercheurs sont en contact direct avec les plateformes dédiées au report de vulnérabilité en ligne et peuvent vous aider dans vos démarches.

Prendre contact avec nous? Veuillez vous rendre dans la partie "contact us".

image