Archives quotidiennes :

Android, Cyber-attaque, Sécurité, Smartphone

Une nouvelle donne pour les malware Android ?

Le dernier Rapport sur les Menaces Mobiles de F-Secure que Datasecuritybreach.fr a pu consulter rapporte une série de nouveaux malware Android, qui utilisent par exemple la messagerie en plus des applications pour se propager et infecter les appareils.

Le premier trimestre 2013 a été marqué par des nouveautés du côté des  malware Android, qui se veulent de plus en plus complexes. Le Rapport sur les Menaces Mobiles de F-Secure du premier trimestre 2013 présente la première offensive dont la diffusion s’est faite hors des applications, (via des e-mails de spam), les premières attaques Android ciblées, et la première escroquerie prétextant une avance de frais. En parallèle, les revendeurs de malware Android se multiplient sur le web.

Le nombre de familles et variantes de menaces mobiles est en  augmentation de 49 % par rapport au trimestre dernier, passant de 100 à 149. Parmi celles-ci, 136 (soit 91,3% d’entre elles) visaient Android et 13 (soit 8,7%),, étaient conçues pour Symbian. Pour rappel, 61 familles et variantes de menaces avaient été découvertes au premier trimestre 2012… cette croissance est donc à l’image de celle des parts de marché d’Android : exponentielle.

« Les nouvelles techniques utilisées par les cybercriminels pour attaquer Android sont inquiétantes », déclare à Data Security Breach Sean Sullivan, Security Advisor du Lab F-Secure. « A titre d’exemple : jusqu’à présent, je ne me suis jamais inquiété pour ma mère et son mobile Android, car elle n’utilise pas d’applications. Aujourd’hui, j’ai des raisons de m’inquiéter : avec des menaces comme Stels, des malware Android se propagent dans des spams, et ma mère consulte ses e-mails avec son mobile. ».

Ce cheval de Troie Android, plus connu sous le nom de Stels, a commencé à se répandre via un email falsifié de « l’U.S Internal Revenue Services », transportant un logiciel malveillant vendu sur Internet, conçu pour voler des informations confidentielles présentes dans les appareils Android et faire de l’argent en passant des appels à des numéros surtaxés. D’après Sean Sullivan, cet exemple de banalisation des malware « pourrait changer la donne ».

Le premier trimestre a été le théâtre des premières attaques ciblées utilisant des logiciels malveillants Android. Ainsi, des militants des droits de l’homme Tibétains ont été la cible d’emails contenants des pièces jointes infectées par des malware Android. De même, et un soi-disant «  coupon de réduction » pour une chaine de café très populaire a permis de soutirer des informations à des téléphones localisés en Corée du Sud.

Des mobiles indiens ont été spécifiquement pris pour cible, avec ce qui constitue la première escroquerie Android prétextant une avance de frais. Dans ce cas, une fausse application Android « d’offres d’emploi » en Inde, informe son utilisateur qu’il est retenu pour un poste au sein de TATA Group, une multinationale indienne. Pour organiser l’entretien d’embauche, l’application demande un dépôt de garantie remboursable.

BYOD, Fuite de données, Logiciels, Sauvegarde

Comment rester conforme lorsque tout change ?

Par Thierry Karsenti, Directeur Technique Europe Check Point pour DatasecurityBreach.fr.

Nous voulons tous croire que nos réseaux sont entièrement protégés, que nos procédures et politiques sont totalement conformes avec les législations qui gouvernent nos secteurs. Malheureusement, croire en quelque chose ne signifie pas toujours que c’est réel. En réalité, le paysage de la sécurité évolue trop rapidement pour que les entreprises puissent rester protégées en permanence contre toutes les menaces. Nous avons réalisé en 2012 des audits de sécurité approfondis auprès de 900 entreprises à travers le monde, et avons constaté que 63% d’entre-elles étaient infectées à leur insu par des bots. Ces bots communiquent avec leurs centres de contrôle externes au moins une fois toutes les 2 heures et siphonnent activement les données des entreprises infectées.

Toutes ces entreprises sont équipées de multiples technologies de protection, telles que pare-feux, antivirus, etc., mais sont pourtant infectées, parce que leurs solutions de sécurité ne sont pas mises à jour régulièrement, ou bien parce que des changements intervenus dans leur réseau ont introduit des vulnérabilités. Dans de nombreux cas, ces infections sont la conséquence de messages de phishing ou de pièces jointes infectées ciblant les employés.

Les mails ne sont pas tous vos amis De plus, les problèmes de sécurité ne sont pas uniquement limités aux réseaux. 54% des entreprises ont subi des pertes de données suite à l’envoi d’emails à des destinataires externes par erreur ou à la publication d’informations en ligne par erreur. Il n’est donc pas surprenant qu’en mars dernier, l’Agence européenne pour la sécurité informatique et la sécurité des réseaux (ENISA) ait appelé à des actions urgentes pour lutter contre les nouvelles tendances des cyberattaques. L’ENISA est également allée plus loin en recommandant aux gouvernements et aux entreprises d’étudier des alternatives au courrier électronique, offrant une meilleure protection aux utilisateurs, ce qui confirme bien que la tâche de protéger la messagerie d’entreprise et la maintenir conforme devient insurmontable pour de nombreuses entreprises.

Ajoutez à cela la récente législation édictée par la Commission européenne sur la cybersécurité, qui élargit considérablement l’obligation de signaler les fuites de données. En conséquence, les entreprises sont confrontées à des défis croissants en matière de sécurité et de conformité.

Tout change Le défi de conformité est double. Comme nous l’avons évoqué plus tôt, la gestion courante d’un réseau introduit des changements quotidiens au niveau des équipements et des topologies. Chaque changement effectué, peu importe son ampleur, peut affecter la conformité de l’entreprise. Pour les entreprises possédant plusieurs sites en particulier, il peut être difficile pour les équipes informatiques de savoir précisément ce qui se passe sur chaque site.

Deuxièmement, la conformité n’est pas uniquement une question informatique. Il s’agit également des actions et des comportements humains, qui sont enclin à changer aussi souvent que le réseau, même si les employés reçoivent régulièrement des formations sur l’utilisation appropriée des ressources. Comme les entreprises ont de plus en plus besoin de se conformer à plusieurs réglementations (des études montrent que les entreprises de la liste Fortune 1000 doivent obéir à plus de 30 réglementations différentes), la mise en œuvre des contrôles et des politiques de sécurité pour répondre à ces exigences est devenue un sérieux défi.

Ce n’est cependant que la première étape. Les systèmes doivent également être supervisés et contrôlés régulièrement pour assurer leur conformité permanente, et il est nécessaire de présenter une analyse de la conformité en vue de rapports et d’audits. Comment les équipes informatiques des entreprises peuvent-elles répondre à ces demandes complexes et changeantes, lorsqu’elles n’ont ni les ressources ni la main-d’œuvre pour éplucher continuellement les journaux d’événements système ?

L’automatisation est la solution Pour suivre le rythme de ces demandes, il est nécessaire de pouvoir superviser automatiquement et en temps réel le réseau, les règles de sécurité et la configuration des produits de sécurité, et pouvoir mesurer l’impact des changements sur la sécurité et la conformité de l’entreprise. Une visibilité sur l’état du réseau via un tableau de bord unifié permet aux équipes informatiques de traquer et identifier les problèmes potentiels de connectivité et de trafic, et mettre en évidence les zones à risque en matière de sécurité – telles que la manière dont les différents pare-feux du réseau sont configurés, et quelles règles de sécurité sont actives sur ces équipements.

L’automatisation peut apporter aux équipes informatiques la visibilité et la réactivité dont elles ont besoin pour traiter rapidement les problèmes réseau avant qu’ils ne se transforment en risques graves. Comment les équipes informatiques peuvent-elles exactement connaître l’état de leur conformité à tout moment, au niveau des réglementations qui touchent leur secteur ? C’est à ce niveau que des outils de conformité appropriés peuvent faire une réelle différence.

En plus de permettre un management avancé du réseau et de la sécurité, un outil efficace de conformité doit être en mesure de comparer l’état de conformité des passerelles et autres équipements de sécurité avec une vaste bibliothèque de bonnes pratiques, de réglementations et de directives de sécurité. La solution doit alors superviser automatiquement les changements apportés aux règles et aux configurations, alerter les équipes informatiques de l’impact de ces changements, et suggérer des corrections pour maintenir le niveau de sécurité et de conformité. Il est également presque aussi important de pouvoir repérer et résoudre les problèmes, et documenter l’état de la sécurité de l’entreprise – pour démontrer la conformité à la direction et à des auditeurs externes.

L’automatisation aide les entreprises à regagner le contrôle de leur conformité. La solution appropriée doit aider les équipes informatiques à traquer les problèmes potentiels, à mettre en évidence les zones à risque, à comparer l’état actuel de la conformité avec les meilleures pratiques et les réglementations en vigueur, et faire des recommandations adéquates pour maintenir le niveau de sécurité et de conformité. Même si des changements sont inévitables, leur impact sur la conformité et la sécurité d’une entreprise peut être minimisés.

Justice, Particuliers, Twitter

Twitter obligé de fournir les infos d’un utilisateur Français

La justice Française oblige Twitter à fournir les données d’identification d’un usurpateur. Il y a quelques jours, le Tribunal de Grande Instance de Paris, a fait une injonction à Twitter de fournir les données d’identification d’un usurpateur ayant utilisé le système de micro blogging. La société américaine est menacée de 500€ d’amende, par jour, en cas de non fourniture des informations réclamée par la justice. Des données qui doivent permettre de remonter à l’usurpateur. On se souvient que Twitter avait refusé de fournir des informations sur des diffuseurs de messages racistes. On doute que 500€ par jour face plier le géant américain. (Legalis)

Sécurité, Smartphone

Tenter de cadrer les Adwares

Les Adwares, DataSecurityBreach.fr vous parle très souvent de ces programmes publicitaires associés à des réseaux publicitaires présentent des risques pour la confidentialité des utilisateurs et nuisent à leur expérience de navigation. Si la majorité des publicités apparaissent en toute légitimité sur les appareils mobiles, une poignée de réseaux publicitaires présentent clairement un risque pour les utilisateurs. Comme les annonceurs, les réseaux publicitaires ont accès à d’énormes volumes de données personnelles et jouent un rôle clé au cœur de l’écosystème de la mobilité. Il est donc crucial qu’ils assurent la confidentialité des données des utilisateurs. Il n’existe pour le moment pas de système de classification formel et normalisé au sein de l’industrie de la mobilité pour les publicités mobiles. Un manque de clarté qui est pénalisant pour les utilisateurs.

De nouvelles règles et standards C’est la raison pour laquelle Lookout a dévoilé à Data Security Breach de nouvelles règles et standards qui définissent les pratiques acceptables en matière de publicité, garantes d’une expérience utilisateur agréable et d’un respect réel de la confidentialité. L’éditeur laissera suffisamment de temps aux différents acteurs de l’industrie – régies publicitaires, annonceurs, développeurs d’applications –  pour qu’ils puissent revoir leurs pratiques. A compter du 13 juin, les publicités qui ne se conforment pas à ces bonnes pratiques et règles seront placées dans la catégorie des programmes publicitaires. Par ailleurs, dans 45 jours Lookout considérera comme logiciels publicitaires les réseaux publicitaires qui ne sollicitent pas ouvertement le consentement de l’utilisateur avant d’effectuer les actions suivantes :

· affichage de publicité en dehors du périmètre de l’application ;

· collecte insolite d’informations permettant d’identifier l’utilisateur ;

· exécution d’actions inattendues suite au clic sur une publicité.

Protéger avant tout les utilisateurs

Pour l’éditeur, l’utilisateur doit pouvoir donner son consentement après avoir reçu une alerte claire et lisible, qui le prévient que l’application inclut un réseau publicitaire capable d’effectuer au moins une des actions citées ci-dessus. L’utilisateur doit se voir offrir la possibilité d’accepter ou de refuser. L’alerte doit être mise en avant, sans être noyée au milieu des conditions d’utilisation ; tous les développeurs d’applications ont l’obligation de la prévoir dans leur code. Tout réseau publicitaire qui effectue les actions listées ci-dessous, sans demander au préalable l’accord de l’utilisateur, sera considéré comme un logiciel publicitaire à compter du 13 juin 2013.   Les réseaux publicitaires qui affichent leurs publicités en dehors du périmètre de l’application, doivent demander au préalable le consentement de l’utilisateur avant d’effectuer les actions suivantes :

· affichage de publicités dans la barre de notification du système (il s’agit des publicités en mode « push ») ;

· affichage de nouvelles icônes ou de nouveaux raccourcis sur le bureau mobile ;

· modification des paramètres du navigateur, tels que les favoris, sur la page d’accueil par défaut ;

· modification des paramètres de numérotation du téléphone, comme par exemple la sonnerie.

Collecte insolite d’informations

d’identification Lookout estime que les réseaux publicitaires n’ont pas besoin, dans la plupart des cas, de collecter des informations permettant d’identifier une personne s’ils n’ont pas obtenu son accord préalable. Lorsque l’application qui les contient est exécutée pour la première fois, ces réseaux doivent solliciter le consentement de l’utilisateur pour collecter les éléments suivants :

· numéro MSISDN de l’utilisateur (numéro de téléphone) ;

· adresse email de l’utilisateur ;

· historique de navigation de l’utilisateur, ou de ses appels et SMS ;

· numéro IMSI de l’utilisateur (sauf si utilisé à des fins autres que publicitaires comme par exemple par l’opérateur pour la facturation).

Actions inattenduesconsécutives à un clic

Si, pour quelque raison que ce soit, un réseau publicitaire émet des appels téléphoniques ou envoie des SMS dès qu’un utilisateur clique sur une publicité, ou pour toute autre action, il doit lui demander au préalable son consentement et ceci à chaque fois.

Android, Biométrie, Chiffrement, cryptage, Cybersécurité, Espionnae, Fuite de données, Sauvegarde, Sécurité

Chiffrer sa vie privée sur le web

2 commentaires

DataSecurityBreach.fr vous le conseille très souvent : sur Internet, les informations que nous diffusons douvent être, un maximum, chiffrées, protégées, … des regards instigateurs. Les sources de fuites et de regards sont nombreux, très nombreux (Etats, entreprises, marketing, Google, …). Il est possible de se cacher. Non pas que nous soyons de dangereux terroristes à la solde d’un groupuscule venus de l’espace. Non, nous souhaitons juste avoir la possibilité de protéger ce qui nous appartient, notre vie privée.

Sur la toile, donc, difficile d’être « secret », mais les outils existent pour se protéger. Commençons par les envies de causer, en paix. De plus en plus de personnes exploitent le « tchat » de Facebook. Sauf que ce dernier, en plus de ne pas être parfaitement sécurisé, laisse de nombreuses traces dans les serveurs du géant américain. Un exemple que datasecuritybreach.fr vous propose d’effectuer. Vous avez un smartphone et un pc. Dans les deux cas, vous êtes connectés à Facebook. Votre smartphone a l’application Facebook activée, cela vous permet de recevoir, par exemple, des notifications de messages, de pokes, … Sur votre PC, vous causez, et causez encore ! Vous prenez soin, à chaque fin de « bla bla » d’effacer la conversation. Vous vérifiez, et effectivement, Facebook a détruit le contenu. Sauf que si vous vous rendez dans l’application de votre smartphone, miracle, les messages effacés ne le sont plus. Il vous faudra, donc, effacer de nouveau le contenu. Attention, n’utilisez pas l’application pour informer votre contact… au risque de revoir les messages réapparaitre dans le Facebook de votre ordinateur.

Bref, tchater, ok, mais tchater sécurisé, c’est mieux. Pour les utilisateurs de Firefox/Chrome, l’outil Crypto chat (Crypto Cat) est fait pour vous. L’addon s’installe dans votre navigateur. Il suffira, ensuite, de fournir un identifiant de connexion à vos interlocuteurs. Les conversations seront sécurisées par un chiffrement. Autres possibilités Threat Model ; intra messenger ou encore anonpaste.me. Il existe des possibilités de messagerie instantanée et visio-conférences avec Jitsi et Frama Soft.

 Après le tchat, vous allez avoir envie de communiquer fichiers, textes. Dans les possibilités ZeroBin, One Time Secret, Just Beam It, PrivNote. Pour finir, n’oubliez pas de chiffrer vos courriels. Pour les plus techniciens, le logiciel GPG est indispensable. Il réclame un peu de temps d’apprentissage et que vos correspondants utilisent aussi GPG (ou pgp). Mais son efficacité n’est plus à démontrer. Attention, des solutions gratuites comme PrivacyBox, ne sont plus exploitable pour des raisons internes aux créateurs. Pour le cas, de privacy box, une sombre affaire de possibilité d’espionnage.

A noter qu’il existe aussi des solutions de sécurisation des courriers et fichiers via l’autodestruction comme Privnote ; SebSauvage, One time secret ou encore Just bea mit ou encore AnonBox.tk. Pour le téléphone, zatazweb.tv, présente dans son émission du mois de mai une application qui permet de chiffrer les conversations téléphoniques.

Une sécurisation qui peut être accentuée en utilisant, par exemple, des clés USB chiffrées comme celle proposée par la société Integral (La crypto Dual – AES 256 bit) ou encore la clé USB biométrique de chez BEFS.  En vacances, en déplacement professionnel, ou tout simplement au bureau. Ce support de sauvegarde ne fonctionne qu’ave la présentation d’un doigt préenregistré.