Lors du White Hat Camp de Marrakech (20 au 26 avril 2015), Jérôme Ridet, chercheur en informatique et membre de l’association ACISSI, a démontré que l’outil PowerShell de Microsoft laissait passer les mots de passe en quelques clics de souris.
La commune de Marrakech (Maroc) reçoit la première édition du White Hat Camp, une semaine de conférences (20 au 26 avril 2015), formations et challenge informatique sur le thème du hacking éthique et de la sécurité informatique. L’occasion pour de nombreux chercheurs et vrais professionnels de la sécurité informatique de venir échanger sur leurs découvertes. Parmi les intervenants, le chercheur français, ingénieur réseau, Jérôme Ridet. Ce jeune nordiste est venu expliquer la faiblesse de PowerShell. Une faiblesse qui pourrait faire penser (ce n’est que l’avis de l’auteur de cet article, Ndr) à une porte cachée (backdoor). Certes facilement exploitable avec un peu de curiosité et la lecture complète du mode d’emploi de PowerShell.
PowerShell est un logiciel Microsoft. Il permet aux administrateurs réseau de gérer leurs systèmes. Un outil indispensable qui automatise les taches informatiques comme les créations d’utilisateurs, les gestions des événements, la mise en place des droits utilisateurs… Jérôme Ridet a découvert comment « bypasser » les droits qui peuvent être proposés par un administrateur. Bilan, le « maître des clés » qu’est l’administrateur se retrouve avec un sérieux problème : en quelques commandes, les n’importe quel mot de passe devient accessible. Ils ont beau être chiffrés, les trois commandes (indiquées dans le mode d’emploi, NDR) couplées permettent de mettre la main sur le précieux sésame. « Quand j’ai découvert le truc,explique cet administrateur réseau au site Internet ZATAZ.COM, je n’étais pas sûr de ce que je voyais. Je me suis dit, ce n’est pas possible.«
Une découverte étonnante, d’autant plus dangereuses que les commandes peuvent être automatisées. Si vous rajoutez un petit détail dans les commandes, un intrus peut même faire disparaître la moindre trace de son action. Des commandes qui peuvent être cachées dans une macro (Excel, Word, Access, …). ZATAZ.COM explique que pour se protéger de ce genre de malveillance, il faut refuser la moindre macro dans les documents que vous pouvez recevoir. Ne jamais saisir son mot de passe, même si l’environnement semble sécurisé. Pour l’administrateur, il est vivement conseillé de bloquer l’invite de commande comme par exemple en supprimant ou en renommant CMD.
Décidément, espionner les ordinateurs serait un véritable jeu d’enfant. Aujourd’hui, il suffit d’un navigateur compatible HTML5 pour espionner huit ordinateurs sur 10 de par le monde.
Prenez un ordinateur récent, fonctionnant avec un processeur Intel. A cela rajoutez un navigateur Internet compatible html5, une page malveillante et un peu de Javascript et vous voilà la technique du Spy in the sandbox.
Des chercheurs en sécurité de l’université américaine de Cornell (Yossef Oren , Vasileios P. Kemerlis , Simha Sethumadhavan , Angelos D. Keromytis) ont annoncé avoir découvert comment il était (trop, ndr) simple d’espionner huit ordinateurs sur dix de par le Monde. L’ordinateur n’a besoin que d’être motivé par une puce Intel. Une page d’hameçonnage piégée permet d’actionner un ensemble d’actions malveillantes que les chercheurs ont baptisé exploit « micro architectural« .
Un code Javascript dans la page pirate va ensuite collecter les données qui passent (entrantes et sortantes, ndr). La mémoire « tampon » du processeur est trop rapide. Bilan, les informations en caches peuvent être aspirées. Le processeur est rapide, la mémoire vive beaucoup moins. « Se défendre contre cette attaque est possible, mais les contre-mesures nécessaires peuvent exiger un coût loin d’être négligeable » précise les chercheurs dans le document qu’ils ont diffusé.
Du matériel d’interception de données de cartes bancaires découvert dans un cinéma de Toulouse. Le skimmeur a pu toucher des centaines de cinéphile.
Le skimming, depuis plusieurs années, fait de gros dégâts dans les rangs des utilisateurs de cartes bancaires. Il est important de rappeler les dangers de ce genre de matériel, un skimmeur permet d’intercepter les informations contenues sur la bande magnétique de votre carte bancaire. Des données qui seront recopiées sur une carte vierge. Pour le mot de passe, une mini caméra, un faux clavier, ou le simple fait que le malveillant regarde les 4 chiffres taper par sa victime suffisent à finir l’attaque. Le pirate possède un clone parfait de votre CB. Il n’a plus qu’à la réutiliser ou revendre le clone sur le marché noir 2.0, le Black Market.
C’est cette attaque qui a été découverte à Toulouse, dans le cinéma Gaumont Wilson. Trois individus ont été interpellés. Trois hommes d’origines roumaines (les skimmers de cette région sont malheureusement très répandus, NDR). D’après les autorités locales (SRPJ), c’est le second cas en France visant un Guichet Automatique de Billets installés dans un cinéma. Prudence, un skimmer peut s’installer sur le lecteur d’une pompe à essence, d’un parking, d’un péage…
Si placer votre main au-dessus du code que vous allez rentrer est une bonne solution, assurez-vous tout de même que rien ne bouge sur le Distributeur Automatique de Billets. Boitier de réception de votre carte ; plaque des mots de passe ; Au moindre doute, ne tapez rien. (La Dépêche)
8 français sur 10 utiliseraient chaque mois le Wi-Fi public tout en craignant d’être la cible de hackers. 66% des français préfèrent se connecter au Wi-Fi public non sécurisé et risquer de perdre leurs données personnelles.
Alors que les pirates informatiques peuvent aujourd’hui très facilement accéder aux données personnelles des utilisateurs du Wi-Fi public, Avast Software, éditeur de solutions de sécurité pour mobiles et PC, dévoile les résultats de son étude menée auprès des utilisateurs de réseaux sans fil en France. D’après cette enquête, la plupart des français ont conscience des dangers liés à l’accès aux réseaux Wi-Fi publics pour leurs données mais il semblerait que les bonnes pratiques ne soient pas toujours appliquées.
En effet, 66% des répondants admettent préférer accéder aux réseaux Wi-Fi publics qui ne requièrent pas de nom d’utilisateur ni de mot de passe pour se connecter et ainsi risquer de mettre leurs données personnelles à la portée du premier hacker venu, voire de se faire voler leur identité. Seuls 4% d’entre eux utilisent un réseau privé virtuel (VPN) pour crypter les données, empêcher les pirates informatiques d’avoir de la visibilité sur leur navigation et donc de protéger leurs appareils mobiles. Pourquoi ces négligences ? L’étude d’Avast révèle notamment que 36% des utilisateurs du Wi-Fi font confiance au fournisseur d’accès à internet quant à la sécurisation du réseau alors que rien ne garantit son engagement en matière de protection.
Les risques associés à une connexion aux réseaux Wi-Fi publics sont pourtant bien réels et les utilisateurs ne peuvent les ignorer. Parmi eux, 28% craignent effectivement de se faire voler leurs identifiants et leurs mots de passe, et 39% redoutent que les hackers ne s’emparent de leurs informations bancaires et financières depuis leurs terminaux mobiles. Toutefois, cela ne les empêchent pas de surfer sur des sites sensibles ou d’effectuer des achats susceptibles de mettre en péril la protection de leurs données personnelles et confidentielles. En effet, 10% des répondants affirment réaliser des activités bancaires lorsqu’ils sont connectés aux réseaux sans fil non sécurisés, 4% font du shopping en ligne et 2% effectuent d’autres types de transactions financières.
Le Wi-Fi permet d’accéder facilement à internet dans les lieux publics, raison pour laquelle 47% des français s’y connectent, mais aussi un moyen efficace d’économiser du forfait internet. Aujourd’hui, 8 français sur 10 utilisent chaque mois les réseaux Wi-Fi publics dont 24% plusieurs fois par semaine. Il est donc primordial qu’ils prennent conscience des menaces qui planent sur leurs informations et surtout des conséquences qu’un vol de données ou une usurpation d’identité peut avoir. Les hackers peuvent très facilement avoir de la visibilité sur les mots de passe, les emails, l’historique de navigation ou encore les données confidentielles si les utilisateurs du réseau Wi-Fi public n’utilisent pas de système de protection. Même s’ils sont peu expérimentés, les pirates informatiques peuvent facilement espionner, accéder aux informations d’un utilisateur voire les modifier rien qu’en s’infiltrant dans une borne Wi-Fi ouverte.
Pour être en mesure de protéger leurs données, les internautes et les mobinautes doivent privilégier les connexions aux réseaux Wi-Fi sécurisés moins facilement accessibles pour les hackers. Il est également nécessaire de mettre en place une solution de sécurité performante, que ce soit pour ordinateurs, smartphones et tablettes, qui permette d’identifier les connexions Wi-Fi sécurisées ainsi que d’éventuelles failles sur le réseau, et qui soit aussi en mesure de protéger les données de l’utilisateur lorsqu’il se connecte au Wi-Fi public. Les pirates informatiques sont de plus en plus expérimentés et à l’affût de la moindre faille, mieux vaut donc mettre toutes les chances de son côté pour protéger ses informations personnelles tout en continuant à profiter des avantages du Wi-Fi.
Un groupe de pirates s’attaque à un concurrent. De cette confrontation sont apparues les guerres des menaces persistantes avancées (APT).
L’éditeur de solution de sécurité informatique Kaspersky Lab a observé un cas qu’ils considèrent rare et inhabituel, une attaque perpétrée par un cybercriminel contre un autre. Ils ne doivent pas trainer souvent dans certains chans IRC, forums ou Twitter. Les pirates aiment se taper dessus. Le cas révélé par la société Russe a débuté en 2014. Hellsing, un petit groupe de cyber espions, assez « anodin » sur le plan technique et ciblant principalement des organismes gouvernementaux et diplomatiques en Asie, a fait l’objet d’une attaque de spear-phishing. Cette attaque a été lancée par un autre groupe de cybercriminels et Hellsing a décidé de répliquer. Kaspersky Lab pense que cela pourrait marquer le début d’une nouvelle tendance dans le monde de la cybercriminalité : les guerres des APT (menaces persistantes avancées).
La découverte a été faite pendant leurs recherches sur les activités de Naikon, un groupe de cyber espionnage visant des cibles dans la zone Asie-Pacifique. Les experts ont remarqué que l’une des cibles de Naikon avait repéré la tentative d’infection de ses systèmes par un e-mail de spear-phishing comportant une pièce jointe malveillante. Le destinataire a vérifié l’authenticité de l’e-mail auprès de l’expéditeur et, apparemment non satisfait de la réponse, n’a pas ouvert la pièce jointe. Peu après, il a renvoyé à l’expéditeur un message contenant un malware de son cru.
Le mode de contre-attaque indique que Hellsing voulait identifier le groupe Naikon et recueillir des informations à son sujet. Une analyse approfondie de la menace Hellsing révèle une succession de mails de spear-phishing accompagnés de fichiers malveillants conçus pour propager un spyware entre les différents destinataires. Si l’un d’entre eux ouvre la pièce jointe malveillante, son système est infecté par un backdoor spécifique, capable de télécharger des fichiers, de se mettre à jour et de se désinstaller. Hellsing compterait près d’une vingtaine de victimes.
Les cibles de Hellsing
Le malware Hellsing a été bloqué en Malaisie, aux Philippines, en Inde, en Indonésie et aux Etats-Unis, les victimes étant les plus nombreuses dans les deux premiers pays. Les auteurs des attaques sont par ailleurs très sélectifs dans le choix de leurs cibles, tentant d’infecter principalement des organismes gouvernementaux et diplomatiques. « Le fait que le groupe Naikon ait été pris pour cible par Hellsing en représailles est pour le moins fascinant. Par le passé, nous avons assisté à des frappes accidentelles entre groupes APT, résultant du vol du carnet d’adresses des victimes puis d’un envoi massif à tous les destinataires répertoriés. Cependant, compte tenu du caractère ciblé et de l’origine de l’attaque, il paraît plus probable qu’il s’agisse d’un cas d’attaque délibérée entre APT », commente Costin Raiu, Directeur de l’équipe GReAT de Kaspersky Lab. Hellsing serait actif depuis au moins 2012 et demeure d’actualité.
Pour se protéger contre les attaques Hellsing, mais aussi par toutes les autres possibilités malveillantes débarquant par mail, DataSecurityBreach.fr vous conseille de ne pas ouvrir les pièces jointes suspectes provenant d’expéditeurs inconnus. De prendre garde aux archives protégées de mot de passe et contenant des fichiers SCR ou d’autres exécutables. En cas de doute sur une pièce jointe, essayer de l’ouvrir dans une zone de quarantaine. Veiller à disposer d’un système d’exploitation récent et à y installer tous les correctifs de sécurité. Mettre à jour toutes les applications telles que Microsoft Office, Java, Adobe Flash Player et Adobe Reader.
Le botnet Beebone enterré vivant Europol vient de mettre fin au botnet Beebone. Plus de 12000 ordinateurs infectés par ce couteau Suisse malveillant.
Beebone, un bot net connu aussi sous le nom de AAEH, permettait à ses « maîtres » d’injecter des logiciels espions dans les machines infectées. Une arme numérique efficace selon Europol. Le 8 Avril, Le centre anti cybercriminalité d’Europol (EC3) a annoncé avoir pris la main sur l’ensemble des serveurs et noms de domaine qui permettaient d’utiliser le bot Beebone (connu aussi sous le nom de AAEH, ndr).
Avec l’aide des autorités néerlandaises, du FBI et du J-CAT, le Cybercrime Action Taskforce, l’ensemble des points de connexion de cet outil pirate ont été bloqués. Ce botnet permettait d’installer différentes formes de logiciels malveillants dans les ordinateurs des victimes. Les premiers chiffres montrent que plus de 12 000 ordinateurs ont été infectés « mais il est probable qu’il y en a beaucoup plus » confirme Europol.
Cette action a été menée avec l’aide des éditeurs de solutions de sécurité informatique (Intel Security, Kaspersky et de Shadow server) et de la remontée d’informations de leurs antivirus. Les FAI et les CERT (Computer Emergency Response Teams) concernés ont été alertés afin de prévenir les victimes. Les attaques ont visés les Etats-Unis, le Japon, Taïwan et l’Inde. (EC3)
Un pirate informatique colombien condamné à 10 ans de prison ferme. Il avait piraté des ordinateurs pour espionner les pourparlers de paix entre le gouvernement et la guérilla des FARCS.
Andreas Sepulveda, un jeune colombien, travaillait pour l’ancien président de la Colombie, Alvaro Uribe. Ce dernier était contre le processus de paix entre les FARCS et le nouveau gouvernement Colombien. Andreas a piraté plusieurs ordinateurs, dont ceux de journalistes cubains, afin d’espionner les pourparlers de paix en cours. Il a été arrêté en juin 2014. 33 équipements informatiques avaient été saisis lors de son arrestation,n dont du matériel israélien d’interception téléphonique.
Son piratage va lui coûter cher, d’autant qu’il semble avoir voulu commercialiser des données volées. Il risque 10 ans de prison ferme. Il a été entendu par le tribunal vendredi 10 avril. Il a signé un accord qui doit lui permettre de réduire sa peine. Il a d’abord lu une lettre d’excuse et va devoir tout raconter à la justice. Autant dire que l’ancien parti politique au pouvoir va commencé à trembler. (El Tiempo)
Edward Snowden, l’homme le plus détesté par l’armée américaine vient d’expliquer comment créer un bon mot de passe. Peut-on vraiment faire confiance en l’homme qui lisait des documents top secrets non protégés ?
Cela n’a jamais intrigué personne, mais Edward Snowden, l’ancien analyste de la NSA (Il travaillait pour une entreprise privée, NDR), a en sa possession un grand nombre de documents classifiés, non protégés par un mot de passe, ou encore par un chiffrement quelconque. On parle pourtant de documents, par certains, classés « top secrets ». Un petit aparté en mode « troll » pour revenir sur un commentaire de Snowden lors de l’émission américaine « Last Week Tonight » de John Oliver.
L’animateur s’est rendu à Moscou pour interviewé E.S. Parmi les questions posées par John Oliver : « Qu’est ce qu’un bon mot de passe ? » Snowden a rétorqué qu' »Un mot de passe commun de 8 signes est cassable en moins d’une seconde. » Il conseille de préférer une phrase passe, plus facile à retenir, qu’un mot de passe comportant chiffres, lettres (majuscules, minuscules) et signes de ponctuations.
Le projet proposé par le gouvernement de « Boite noire » va, par certain aspects, plus loin que ce que l’on a pu reprocher aux États-Unis avec le Patriot Act. Cette mesure permettant l’écoute à tout instant de tout le trafic d’un hébergeur ou d’un fournisseur d’accès à Internet dans le but de rechercher de potentiels terroristes semble relativement vaine, très peu ciblée et contre-productive économiquement.
En effet, le but semble vain car les personnes visées savent déjà utiliser les réseaux anonymes comme Tor et les VPN (Par exemples avec Vyprvn ; HMA ; …) pour chiffrer leurs connexions et les faire aboutir ailleurs. D’autre part, ils utilisent déjà des algorithmes de chiffrement (comme PGP) dont nombreux sont considérés comme sécurisés à ce jour, ce qui reviendra à intercepter de la soupe numérique illisible, et non des informations utiles.
De plus, les récentes attaques perpétrées l’ont été par des individus déjà connus du ministère de l’intérieur, celui-ci n’a pas eu besoin d’écouter tout Internet pour les identifier jusqu’ici.
Vouloir identifier des individus déjà connus, qui communiquent de manière chiffrée en analysant des Téraoctets de données par jour à la recherche d’un signal qui n’y sera probablement pas ou sera tout le moins noyé dans l’immensité de l’information semble totalement inutile. Ceci est d’autant plus vrai que la Loi étant publique, les utilisations des réseaux potentiellement à but d’attentats passeront par ailleurs, un autre pays ou un autre réseau et encore une fois, de manière chiffrée.
En contrepartie, les contraintes imposées aux hébergeurs semblent bien démesurées quant aux violations des normes de sécurité internationales comme PCI/DSS ou ISO 2700x qui ne permettent pas l’inclusion d’un matériel externe, non contrôlé par l’hébergeur. Cette Loi ferait donc perdre à nos hébergeurs la plupart de leurs certifications, leur imposerait d’ouvrir leurs réseaux à des tiers, qui ne sont bien souvent pas les plus sécurisés. Il semble inutile de préciser ici que de nombreux sites étatiques se sont déjà fait compromettre, ce qui induirait donc encore plus de danger pour l’hébergeur et ses clients, des risques que par ailleurs il ne maîtrisera pas.
Par ailleurs, et c’est là le plus grave, les clients partiront simplement se faire héberger ailleurs. Dans un pays ayant un respect de la communication et de la vie privée, à nos frontières. C’est déjà l’effet qu’a eu le Patriot Act aux US à l’époque, et dont la portée était moindre. À n’en pas douter, cela détruira un pan de notre économie, un des rares à être encore en croissance, ce qui semble disproportionné pour finalement ne rien trouver.
D’autant plus que la Loi ne semble pas mettre de périmètre à cette écoute systématique. Si l’on n’héberge aucun forum, aucun lieu d’échange, aucune VoIP et aucun blog, ce dispositif sera quand même imposé. Cela semble inutile puisque les personnes recherchées ne pourraient pas utiliser un quelconque service d’un hébergeur de ce type, mais pourtant, celui-ci aurait à installer la Boite noire… A l’inverse, l’usage de Skype ou d’autres réseaux d’échanges non contrôlés par ces dispositifs semble courant chez les personnes visées par ces mesures, et ces moyens de communications sont hébergés à l’étranger (et, là encore, chiffrés).
Beaucoup de questions subsistent, qui seraient réglées par des juristes et des parlementaires dont la spécialité ne semble pas nécessairement liée à l’architecture de réseaux de communications. Il reste par exemple à définir les frontières de cette écoute. Les VPN avec nos clients devront-ils aussi tous être écoutés, chacun avec une boite noire séparée ? Ou devrons-nous rejoindre tous ces VPN au même endroit, leur faisant peser un risque de sécurité colossal pour faire des économies et n’avoir à déployer qu’une seule boite noire ? La téléphonie sur IP est-elle un service concerné ? Nos conversations téléphoniques sont-elles donc aussi visées ?
Au final, quelle garanties seront données contre l’abus de ce pouvoir ? Et pourquoi ne pas laisser les juges, comme c’est le cas actuellement, arbitrer du bien-fondé ou non d’une écoute et la commanditer au besoin, comme la Loi le permet déjà aujourd’hui ? Pourquoi serait-ce aux juristes, Parlementaires et Sénateurs de décider qui, quand et comment ? Quelle garantie que le pouvoir politique en place à un moment donné ne l’utilisera pas comme une arme contre ses opposants ?
M. le Premier Ministre, Mesdames et Messieurs les Députés et Sénateurs, nous ne saurions souligner assez que tout ceci, au-delà d’être bien inutile en termes de résultats, semble être une très mauvaise direction à adopter, tant pour la confidentialité à laquelle chacun n’aurait plus jamais droit que pour le fait que cela tuera net un pan de notre économie, un des seuls encore en croissance.
Jeudi 9 avril, la chaîne de télévision française TV5 Monde a été piratée par des partisans de l’État islamique. Peu de renseignements ont été donnés sur la façon dont l’attaque s’est déroulée. La seule information semi-technique qui était disponible au moment de la rédaction de ce post venait du site web Breaking3Zero.
L’éditeur BlueCoat a envoyé à Data Security Breach son analyse de ce qui semble être le code malveillant en question. Personne, autres que TV5 Monde et l’ANSSI ne disposent d’informations internes, mais nous sommes parvenus à trouver un malware, qui n’est pas totalement identique, mais qui correspond à plusieurs indicateurs révélés par Breaking3Zero. Par exemple, des références aux alias JoHn.Dz et Najaf. Un échantillon de ce hash md5 est 2962c44ce678d6ca1246f5ead67d115a.
Jenxcus and Bladabindi
Cet échantillon semble être un équivalent du virus(Visual Basic Script) worm KJ_W0rm, un dérivé de NJ_W0rm, ancien et particulièrement répandu.Ce malware est connu des antivirus sous le nom de VBS/Jenxcus. Puisqu’il dépend d’un script, le malware est très facile à modifier, ce qui a engendré un très grand nombre de modifications. Jenxcus apparait souvent en compagnie d’un autre malware appelé Bladabindi ou NJ_Rat. Contrairement à Jenxcus, Bladabindi n’est pas un script, mais un exécutable Windows, écrit en .NET. Il possède d’autres caractéristiques et peut, par exemple, prendre des captures d’écran, dérober des identifiants en ligne, mais aussi télécharger et installer d’autres codes malicieux.
Bladabindi peut être créé et configuré en utilisant un outil de création disponible publiquement, rendant ainsi très simple la production de nouvelles versions. Cet outil s’est donc beaucoup répandu, car il est facile à utiliser clandestinement. Bladabindi fait donc aujourd’hui parti des familles de malwares les plus courantes, surtout dans le Moyen-Orient. Aussi, il est devenu tellement fréquent que Microsoft a décidé de prendre des mesures offensives contre lui. Cela a donné lieu à une destruction quelque peu controversée du botnet en juin 2014. Les documents juridiques déposés ont alors identifié les auteurs du clandestin Bladabindi et du worm Jenxcus comme étant Naser Al Mutairi (Koweit), and Mohamed Benabdellah (Algérie). Mutairi aurait utilisé le virus en ligne njq8, et se trouve être probablement la personne mentionnée dans la section Crédits de l’échantillon malware « Najaf ».
Le variant Najaf – md5 2962c44ce678d6ca1246f5ead67d115a
Si l’on compare l’échantillon « Najaf » avec un échantillon type KJ_W0rm, on peut voir qu’il y a des véritables similitudes. Les différences sont surtout dans la façon dont les paramètres hardcodés sont placés dans le code.
Ci-dessus: Najaf vs KJ_W0rm
Fonctionnalité
Le script est plutôt court et simple, et diffère seulement légèrement de KJ_W0rm. Il s’autocopie dans un fichier (ex : C:Users%USERNAME%AppDataRoamingMicrosoftWindowsStart MenuProgramsStartup on Win7. Des clés de lancement sont créées sur le registre afin de dérouler le script :
Une fois que cette installation initiale est faite, il s’autocopie sur le dossier racine de tous les supports amovibles connectés. Un dossier raccourci (*.LNK) va aussi se créer. Le script va tenter de restaurer le dossier toutes les six secondes.
A partir de ce moment, le script va entrer dans un circuit très court où il se connectera au serveur configuré de commande et de contrôle (C&C) en HTTP, annonçant qu’il est prêt à accepter les commandes. Le serveur C&C est hardcodé 127.0.0.1, il n’y a donc pas de commande à distance établie et d’adresse de contrôle dans cet échantillon. Cela peut donc dire que l’échantillon est juste un test, ou bien qu’il y a un mécanisme de rebouclage installé sur l’ordinateur où il fonctionne. Le malware donne des informations sur le système, tels que le nom d’utilisateur, le nom de l’ordinateur, l’OS, etc.
Commandes possibles
uninstall
Désinstaller le script
RE
Recharger le script
download
Télécharger un dossier de %url
update
Mettre à jour le script et recharger
execute
Executer un fichier
cmd
Commande shell directe
Attack
Ping flood contre cible donnée
ourl
Ouvrir URL
close
Sortir du script
shutdown
Eteindre l’ordinateur
restart
Redémarrer l’ordinateur
logoff
Fermer la session
Attribution
Sur internet, n’importe qui peut proclamer appartenir à n’importe quel mouvement de son choix. Ils peuvent non seulement utiliser tout type d’outil, prétendre être des personnes complètement différentes, mais aussi mentir autant qu’ils le veulent. Il est donc difficile mais pas impossible de trouver les auteurs des méfaits. Il faut pour cela des données solides, de l’expérience, et souvent l’application des lois. Pour cette raison, nous ne ferons aucune supposition sur qui se cache derrière cette intrusion dans le réseau de TV5. Toutefois, nous pouvons montrer des indicateurs.
L’échantillon 2962c44ce678d6ca1246f5ead67d115a est identique au script VBS mentionné par l’article de Breaking3Zero. Le script contient les mêmes formules de bienvenue, les mêmes JoHn.Dz et Najaf. Security.Najaf semble correspondre au handle en ligne d’un développeur apparemment situé dans la province de Najaf en Irak. Il est un utilisateur très actif sur le forum dev-point[.]com, un forum qui contient beaucoup de NJ-Rat/Worm. Il est qualifié de recodeur, programmeur, dans de nombreux scripts malicieux.
Un exemple est le dossier avec md5 de8e6e14b7e548eda7d4ff33bb3705ad:
Dans ce document, le serveur C&C est défini comme aziza12.no-ip.biz, un domaine qui a aussi été utilisé comme C&C par le malware Bladabindi, tel que l’échantillon avec md5 a5ce6dcb062ceb91a6fce73e99b3514d. C’est un domaine DynDNS, ce qui signifie qu’il n’y a pas de donnée de domaine d’enregistrement consultable. Cependant, si l’on examine l’historique IP de ce domaine, on peut constater qu’il est relié à de nombreuses adresses IP, la plupart situées en Irak. L’une d’elles, 178.73.223.9, a renvoyé cette année au domaine : islamstate.no-ip[.]biz.
Cela ne veut-il rien dire ?
Non, pas nécessairement. Le chevauchement d’IP peuvent arriver pour plusieurs raisons, les alias sur les forums et les malwares internes sont justes des chaînes de textes. NJRat et son malware relié sont utilisés par de nombreux activistes au Moyen-Orient, aussi leur utilisation dans ce piratage, si elle est confirmée, ne peut pas servir de base à une conclusion.
Détection
Les worms VBS basé sur NJ_W0rm et KJ_W0rm devraient à présent être détectés par la plupart des antivirus, même si c’est toujours un défi de détecter de manière fiable des malwares basés sur des textes, car ils sont modifiables très facilement.
Bluecoat a, en tout, cas ajouté une détection pour ces familles dans notre solution Malware Analysis Appliance :
L’attaque de TV5 Monde, tout comme l’attaque Sony, prouve que n’importe quelle entité sur internet est à présent une cible. Tous les conflits portent maintenant la probabilité d’une cyber dimension, car ces attaques sont faciles, peu coûteuses et relativement sans risque. Malheureusement, il ne semble pas y avoir de solution miracle pour cette situation. Les systèmes d’ordinateurs modernes sont tellement interconnectés et complexes qu’il y a toujours une opportunité de méfait si vous êtes persévérant, et vous n’avez même pas besoin de l’être tout le temps. Si le pirate ne peut pas trouver immédiatement un moyen de rentrer, il y a toujours le facteur humain. Les humains sont malheureusement difficiles à corriger. Cependant, des personnes qualifiées peuvent faire la différence entre un gain et une perte. Cela peut paraitre étrange de la part d’un vendeur de boîtes, mais la sécurité ne sort pas d’une boîte. Elle vient des gens qui utilisent les boîtes.
Les hébergeurs AFHADS, Gandi, IDS, Ikoula, Lomaco, Online et OVH diffusent une lettre ouverte dédiée au projet de loi sur le renseignement. Les députés français doivent débattre à son sujet ce lundi 13 avril. Les hébergeurs indiquent que ce cyber espionnage de leurs clients, couteux et inutile, pourrait les contraindre à quitter l’hexagone.
Dans une lettre ouverte diffusée ce 9 avril, les sept hébergeurs indique qu’il est évident qu’il faille doter la France des moyens de renseignement nécessaires pour lutter contre le terrorisme. Il n’y a aucun débat là-dessus. « Là où le projet de loi renseignement pose problème, c’est qu’en voulant être capable de capter en permanence toutes les données personnelles des utilisateurs, notamment par le biais de « boîtes noires », le projet de loi du gouvernement est non seulement liberticide, mais également antiéconomique, et pour l’essentiel, inefficace par rapport à son objectif« .
Ce projet n’atteindra pas son objectif, mettra potentiellement chaque Français sous surveillance, et détruira ainsi un pan majeur de l’activité économique de notre pays. La lettre explique que ces boites noires, en plus d’être couteuse, concernera moins de 5 000 personnes en France. Les hébergeurs expliquent qu’en l’état, le projet de loi renseignement empêchera de réussir le renouveau économique de la France, détruisant un des rares avantages compétitifs majeurs que l’hexagone possède.
Les hébergeurs annoncent 30 % de croissance annuelle et créent des milliers d’emplois directs et indirects, tout en investissant des centaines de millions d’euros tous les ans en France.
Les chercheurs en sécurité de Kaspersky Lab ont découvert une vulnérabilité au cœur de « Darwin », un élément open source issu des deux systèmes d’exploitation OS X et iOS. Cette faille, dénommée « Darwin Nuke », expose les ordinateurs sous OS X 10.10 et mobiles sous iOS 8 à des attaques par déni de service (DoS) déclenchées à distance, capables d’endommager les appareils et d’impacter les réseaux d’entreprise auquel ceux-ci seraient connectés. Les experts appellent donc les utilisateurs à installer les mises à jour OS X 10.10.3 et iOS 8.3, qui ne présentent plus cette vulnérabilité.
L’analyse de la vulnérabilité par Kaspersky Lab révèle que les mobiles menacés concernent ceux qui sont dotés de processeurs 64 bits et d’iOS 8, à savoir les iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad Air 2, iPad mini 2 et iPad mini 3.
La vulnérabilité « Darwin Nuke » est exploitée lors du traitement d’un paquet IP d’une taille donnée et comportant des paramètres IP incorrects. Des pirates peuvent déclencher à distance une attaque DoS sur un système OS X 10.10 ou iOS 8, en envoyant à la cible un paquet réseau incorrect dont le traitement va faire « planter » le système. Les chercheurs de Kaspersky Lab ont découvert que le problème ne se produit que si le paquet IP remplit les conditions suivantes :
longueur de l’en-tête IP égale à 60 octets ;
taille des informations IP utiles inférieure ou égale à 65 octets ;
paramètres IP incorrects (longueur, classe, etc.).
« À première vue, il est très difficile d’exploiter cette faille car les conditions à remplir ne sont pas banales. Cependant des cybercriminels persévérants peuvent réussir à paralyser des équipements, voire à perturber l’activité de réseaux d’entreprise. Les routeurs et les pare-feux suppriment généralement les paquets incorrects en termes de taille mais nous avons découvert plusieurs combinaisons de paramètres IP incorrects qui permettent de franchir les routeurs Internet. Nous conseillons à tous les utilisateurs d’OS X 10.10 et iOS 8 d’installer les mises à jour OS X 10.10.3 et iOS 8.3 », commente à DataSecurityBreach.fr Anton Ivanov, analyste senior en malware chez Kaspersky Lab.
Les produits de Kaspersky Lab protègent OS X contre la vulnérabilité « Darwin Nuke » grâce à la fonction Network Attack Blocker. A commencer par Kaspersky Internet Security for Mac 15.0, qui détecte cette menace sous le nom DoS.OSX.Yosemite.ICMP.Error.exploit.
Conseils pour renforcer la sécurité des ordinateurs Mac :
Utiliser un navigateur web réputé pour résoudre rapidement les problèmes de sécurité.
Exécuter « Mise à jour de logiciels » et installer sans délai les mises à jour disponibles.
Utiliser un gestionnaire de mots de passe pour parer plus facilement aux attaques de phishing.
Les pirates spécialisés dans la Fraude au président semblent s’intéresser avec grand interet aux entreprises Québecoises.
L’Autorité des marchés financiers, l’organisme de réglementation et d’encadrement du secteur financier du Québec, vient d’afficher sur son site Internet une alerte à destination des dirigeants d’entreprise. Plusieurs courriers particulièrement bien ciblés annoncent la conclusion prochaine d’offres publiques d’achat (OPA).
Ces courriels qui semblent provenir du principal dirigeant de l’entreprise se présentent souvent sous la même forme. Généralement, on y reconnaît que le destinataire du courriel, souvent le contrôleur financier ou le comptable d’entreprise, a été choisi parce qu’il est digne de confiance. On lui demande de transmettre des données bancaires ou de faire un virement bancaire vers une personne externe et de demeurer discret pour respecter la procédure de l’AMF. Dans un cas récent porté à l’attention de AMF, le courriel frauduleux réfère même à un prétendu représentant de l’AMF qui communiquerait par téléphone avec le destinataire du courriel afin de confirmer la réception du courriel.
Vous êtes un amateur/amatrice de porno ? Les géants du divertissement pour adultes partagent les données de leurs visiteurs. De quoi débander rapidement comme va vous le montre DataSecurityBreach.fr.
Depuis quelques mois, nous entendons parler un peu partout dans les média et dans la bouche d’hommes/femmes politiques du tracking sur Internet. Après les sites de réservation de voyage ; après les publicités 2.0 ; voici que les tracking dans le monde de la pornographie attire les regards et les questions. Un internaute, indique sur son blog que “Si vous regardez du porno en 2015, même en navigation privée, vous devez vous attendre, à un moment donné, à ce que l’historique de vos vidéos soit rendu public et rattaché à votre nom.”
Il ne faut pas attendre 2015 pour s’en rendre compte. D’abord via les abonnements. Placer sa carte bancaire et son mail dans ce type de site entrainement obligatoirement des logs. Votre IP, votre identifiant et votre mot de passe confirme que vous êtes le propriétaire de la donnée bancaire. Les publicités, elles aussi vous suivent. Les cookies, et votre IP, permettent d’agrandir ce big data bandant. Vous regroupez cela à un moteur de recherche de type Google et votre suivi ce fait encore plus précis. Un courriel dans votre boite aux lettres suffit à referme le string sur votre ordinateur, surtout si vous cliquez sur le lien proposé ou que vous affichiez l’image proposée dans le courriel. Les navigateurs, sécurisés ou non, laissent beaucoup de traces, comme le montre le projet de l’Electronic Frontier Foundation Panopti click.
Le piratage, très présent dans ce milieu. Entre les comptes volés (par hameçonnage, ndr) ou par piratage de sites, serveurs… Les données peuvent rapidement se retrouver sur la toile. Des données piratées de cartes bancaires, par exemple, blanchies sur des sites pornographiques. Les vrais propriétaires des informations se retrouvant ainsi « fichés » sans même le savoir. Sans parler des référencements à la sauce Black SEO qui permettent de piéger des utilisateurs. En 2007, une « maman » s’était retrouvée sur un site pornographique après le passage d’un pirate. Mauvaise blague, mais qui a mis à mal son identité numérique (IID).
Les logiciels ransomware qui prennent en otage les données contenues sur un disque dur font de gros dégâts. La preuve avec un opticien qui voit 4000 dossiers de patients chiffrés par un pirate.
Les ransomwares agissent d’une manière sournoise et efficace. Il suffit qu’un utilisateur d’un ordinateur ou d’un smartphone (ordiphone) clique sur un fichier piégé (faux pdf, fausse mise à jour apparue sur Internet, …) pour que le contenu de leur machine soit pris en main par un pirate. Les fichiers sont chiffrés. Ils sont rendus à leur propriétaire légitime en contrepartie d’une rançon.
L’opticien américain Eye Care de Bartlesville indique sur son site Internet avoir été piégé par un CryptoLocker. Bilan, 4000 dossiers de patients ont été pris en otages. Dans son « communiqué de presse », imposé par la loi américaine, l’entreprise n’indique pas la demande de rançon qui permet de déverrouiller le disque dur impacté. Il n’indique pas non plus si des sauvegardes ont permis de retrouver les informations.
Les entreprises ont changé leur stratégie de fidélisation clients. Actuellement, elles optent pour le développement d’applications mobiles qui « captent » le client. Toutefois, si l’application est mal sécurisée, il en découle une perte d’utilisateurs et d’image corporative très difficile à récupérer, entraînant également des coûts élevés.
Immergées en pleine campagne promotionnelle, de nombreuses entreprises développent des applications comme stratégie de fidélisation clients. Toutefois, si cette App présente des failles et provoque des problèmes de lenteur, de distribution de malware ou cesse de fonctionner, elle sera tout simplement éliminée du téléphone portable. Ceci peut générer, selon les données récoltées par Zeedsecurity, une perte d’opportunité d’affaires pouvant représenter jusqu’à 30 % du CA.
Un utilisateur consulte son téléphone portable entre 40 et 70 fois par jour
Selon différentes études de neuromarketing, on estime qu’un utilisateur consulte son smartphone entre 40 et 70 fois par jour. Ceci en fait un excellent canal de communication et de fidélisation. Catalogues de points, présentation de collections de mode, nouveaux lancements de produits…, les entreprises utilisent les applications pour smartphones et tablettes dans le but d’augmenter le taux de conversion et de fidélisation clients.
Les cyber-attaques sur des dispositifs mobiles ont augmenté de 80% en 2014
Cependant, comme il est souligné par Zeedsecurity, chaque année le nombre de cyber-attaques sur les dispositifs mobiles augmente, obligeant ainsi les entreprises du secteur à renforcer le niveau de sécurité de leurs serveurs hébergeant une ou des applications. « Le nombre d’attaques de serveurs hébergeant des applications pour dispositifs mobiles ont augmenté d’environ 80% l’année dernière et on estime que ces attaques vont croître de façon exponentielle en 2015« , commente à DataSecurityBreach.fr Joel Espunya, Membre Fondateur de Zeedsecurity, il ajoute également « Avec une seule attaque sur un serveur, les hackers ont accès à des bases de données importantes d’utilisateurs dont ils peuvent retirer des informations d’une grande valeur« . Un serveur est un bon distributeur de virus et de malware et pourra être utilisé ultérieurement pour des attaques mieux individualisées.
Une attaque malveillante d’application est beaucoup plus grave qu’une attaque d’un site internet
Durant une campagne, les effets d’une attaque malveillante sur le serveur d’une application mobile, impacteront plus lourdement les résultats, que lors d’une attaque sur le site web de l’entreprise. Quand un utilisateur pense qu’il a été attaqué à travers son App, non seulement il émet un commentaire négatif auprès de ses 10 ou 15 amis les plus proches, mais 80% d’entre eux émettent aussi un commentaire sur les réseaux sociaux, sur les forums ou dans les commentaires dédiés à la propre App sur le store. Ce marketing viral propage très rapidement une image négative de l’entreprise et de son produit avec les conséquences financières qui en résultent. Zeed Security
En 2014, France iT, le réseau national des clusters numériques, lançait le premier Label Cloud français, pensé par les TPME du Cloud pour les TPME du Cloud.
Après une phase de déploiement opérationnel, le Label Cloud concrétise ses ambitions avec la première vague de labellisation. Le premier Comité d’Attribution du Label (CATLab) s’est réuni le 30 mars 2015 dans les locaux de CINOV-IT à Paris pour attribuer ses premiers labels. Cegedim Activ et Inforsud Diffusion se sont ainsi vus décernés le Label Cloud qui récompense un haut niveau d’exigence et une expertise en matière de sécurité et d’efficience.
Un processus indépendant et expert
Le Comité d’Attribution du Label (CATLab) est l’organisme indépendant en charge de délivrer le Label Cloud. Il est composé d’entreprises ayant participé à l’étude du label, d’auditeurs indépendants et de représentants d’organisations professionnelles.
Le jury du 30 mars était composé de Stéphane Coirre (Vice-Président de Cinov-IT) et Henry-Michel Rozenblum (Délégué Général Eurocloud et Rédacteur en chef de la lettre du SaaS) représentants les organisations professionnelles, Philippe Rosé (Rédacteur en Chef de Best Practices) représentant les journalistes de la presse professionnelle et Renaud Brosse (CEO de Timspirit) représentant les experts.
Le label Cloud se décline sur 3 niveaux : initial, confirmé et expert. Une auto-évaluation gratuite est disponible en ligne. L’exigence est ainsi rendue croissante quant à l’implémentation des bonnes pratiques au sein des entreprises. Un audit est systématiquement mis en place (qui peut aller jusqu’à un audit sur site poru le niveau le plus élevé) pour toute candidature. Le CATLab est le décisionnaire final quant à l’attribution du label. L’évaluation repose sur un processus en 5 étapes qui va du téléchargement du dossier de candidature, en passant par l’auto-évaluation en ligne, la soumission du dossier, l’instruction du dossier par un auditeur indépendant , la soutenance par la société candidate devant le CATLab, qui statue sur la délivrance du Label.
Cegedim Activ et Inforsud Diffusion, les 2 premiers labellisés
Ainsi ce sont 2 entreprises qui se sont vues octroyées le label ce lundi 30 mars. Cegedim Activ, niveau 3 – expert, pour ses solutions SaaS dans le secteur de la santé (Gestion du régime Obligatoire de santé, et Gestion du régime Complémentaire en santé et prévoyance) ; Inforsud Diffusion, niveau 2 – confirmé pour son offre d’hébergement (PaaS), et de messagerie (SaaS).
Le réseau de sécurité partagé s’est servi de la plateforme de surveillance vidéo Milestone pour l’intégration d’une solution multifournisseur durant le Marathon de New York. 40 agences locales (police, Fbi, …) ont ainsi surveillé les flux de vidéos afin d’assurer la sécurité des coureurs et des spectateurs.
Le logiciel de gestion vidéo à plateforme ouverte (VMS) Milestone Systems XProtect(R) a été déterminant dans le cadre de la collaboration entre l’équipe du marathon de New York 2014 et de nombreuses agences locales. Cette solution réseau a intégré des composants provenant des meilleurs fournisseurs de systèmes de sécurité IP et réseau sans fil, notamment la technologie mobile et à distance, ce qui a permis de résoudre les problèmes liés à la vision d’ensemble, essentielle pour assurer la sécurité de cet énorme événement.
Pour les milliers de coureurs qui ont repoussé les limites de leur endurance physique, la ligne d’arrivée du marathon de New York représentait l’achèvement de toute une vie. Mais pour les responsables de la sécurité, cette même ligne d’arrivée présentait plusieurs défis. En effet, les grands arbres bordant les routes sinueuses et les sentiers de Central Park ne permettent pas une bonne visibilité des coureurs. Souvent, ces derniers sont hors de vue du personnel médical et de la sécurité, qui sont tenus de réagir en cas d’urgence.
Avec un total de 50 530 coureurs ayant terminé la course et environ 2 millions de spectateurs, le marathon de New York 2014 fut le plus grand événement de ce genre dans le monde. L’entreprise Tata Consulting Services (TCS) en fut le sponsor en titre, mais c’est l’organisation des New York Road Runners (NYRR) qui a préparé le marathon, comme c’est le cas depuis de nombreuses années.
NYRR a engagé une solide équipe de partenaires majeurs dans le domaine de la sécurité. VIRSIG LLC a configuré et déployé un réseau sans fil au sein même et autour de Central Park, et notamment au niveau de la ligne d’arrivée. Ce réseau était composé des toutes dernières caméras de vidéosurveillance sur réseau de Sony, ainsi que de transmetteurs Ethernet fournis par Network Video Technologies (NVT). Ces composants étaient connectés aux noeuds du réseau maillé sans fil Firetide, qui transmettait ainsi les données son et image en toute sécurité au centre de contrôle de la course, qui utilisait alors l’application Milestone XProtect(R) Smart Wall pour afficher simultanément les images de 36 caméras différentes. Le logiciel de gestion vidéo (VMS) Milestone servait de plateforme pour la lecture en direct et la relecture des données. Centennial Security Integration a participé à l’installation afin de transformer l’architecture à noeuds multiples en système homogène et unifié.
Le logiciel à plateforme ouverte Milestone
L’architecture à plateforme ouverte du logiciel de gestion vidéo Milestone permet la configuration et le déploiement d’un réseau assez étendu et flexible pour fonctionner avec fiabilité pour plus de personnes et en différents endroits. La sortie était assurée par les moteurs IPELA des caméras réseau à portée dynamique et ultra-large de Sony, avec notamment des modèles fixes dotés d’un système d’analyse vidéo intégré et d’une vue à 360 degrés. Ces appareils ont été gérés et exploités grâce à Milestone XProtect(R) Corporate VMS, conçu pour des déploiements à grande échelle en toute sécurité. Le centre de contrôle disposait ainsi d’une vision d’ensemble des opérations grâce au logiciel XProtect(R) Smart Wall projeté sur un écran de 140 cm, tandis que le personnel sur le terrain pouvait surveiller l’événement avec le client Milestone Mobile.
Glenn Taylor, directeur exécutif chez VIRSIG LLC, explique : « Si la plateforme ouverte de Milestone nous a permis de fournir un réseau d’une grande disponibilité et d’une haute performance, c’est justement grâce à la grande disponibilité et à la haute performance du système de gestion vidéo. »
Une vision d’ensemble des opérations
Le Dr Stuart Weiss est directeur médical chez les New York Road Runners. Le jour du marathon, il était en charge de la tente située à proximité de la ligne d’arrivée, qui était entièrement équipée pour faire face aux urgences médicales. L’objectif était de traiter le plus grand nombre de coureurs nécessitant des soins médicaux et que l’on pouvait ensuite renvoyer chez eux. Weiss a déclaré que les possibilités apportées par la vidéo ont été un élément essentiel pour permettre à son équipe d’être au courant de la situation à tout moment. Il a ainsi pu prendre des décisions en surveillant la ligne d’arrivée, les zones de passage, Central Park et autres lieux stratégiques le long de la course.
En observant les coureurs à la fin de la course, l’équipe pouvait aussi identifier ceux qui avaient besoin d’aide et quels types de soins apporter pour les blessures qu’ils pouvaient traiter sur place. En raison du nombre de personnes présentes, il était difficile de suivre les événements au moment où les coureurs finissaient la course avant de rejoindre la zone où se trouvaient leur famille et leurs amis. C’est pourtant cette période de récupération après la course qui est la plus susceptible d’engendrer des traumatismes.
« Le logiciel Milestone nous a aidé à intégrer tous les flux de caméras en un seul écran, que l’on pouvait facilement observer pour voir ce qu’il se passait dans toute la zone » explique Weiss à DataSecurityBreach.fr. » Nous l’avons ainsi utilisé pour prendre des décisions essentielles au cours de cette journée. »
Le contrôleur de la course pouvait aussi surveiller les 5 tentes médicales et décider lesquelles avaient besoin de plus de personnel et lesquelles pouvaient accueillir davantage de blessés. À un moment de la course, le courant s’est éteint sur l’un des poteaux soutenant une caméra, et une personne du service technique a pu utiliser le client Milestone Mobile sur un smartphone pour envoyer des images de l’incident au centre de contrôle.
Une plus grande portée pour une meilleure sécurité
L’avenue Central Park West est l’un des endroits où il aurait été difficile de déployer le réseau sans un système sans fil. Glenn Taylor déclare que la capacité de la plateforme ouverte Milestone à prendre en charge un grand nombre d’appareils sans fil a permis d’augmenter la portée du déploiement. Il explique que la plupart des équipements sans fil nécessitent une bonne visibilité, un véritable luxe dans ce lieu célèbre pour ses routes sinueuses et sa végétation dense. VIRSIG a pu résoudre ce problème en installant des appareils de transmission sans fil au sommet de poteaux électriques de 42 mètres afin de recevoir les signaux en provenance de caméras IP apportant les données aux serveurs, et dont les images permettaient d’augmenter grandement la vision d’ensemble du marathon.
« Ce réseau sans fil a permis d’étendre le réseau dans des zones où il est habituellement impossible d’en déployer« , commente-t-il. » Nous avons créé une plateforme que tout le monde pouvait partager afin de faire de ce marathon un événement plus sûr et sécurisé. «
L’ANSSI (Agence nationale de la sécurité des systèmes d’information) et la CGPME (Confédération générale du patronat des petites et moyennes entreprises) viennent de publier un guide commun de sensibilisation aux bonnes pratiques de la sécurité informatique à destination des TPE et des PME. Face à la recrudescence des cyberattaques, les deux organisations se sont associées afin d’apporter une expertise adaptée aux réalités des petites structures qui représentent, selon Guillaume Poupard, Directeur Général de l’ANSSI, 90% des entreprises françaises.
Douze conseils illustrés par des exemples concrets sont mis en avant dans ce guide parmi lesquels le choix méticuleux des mots de passe, la mise à jour régulière des logiciels ou encore le suivi attentif des comptes utilisateurs, sans oublier les prestataires/consultants externes qui ont accès au réseau et qui représentent des failles potentielles.
La mise en place d’un guide de sensibilisation aux bonnes pratiques est une excellente initiative pour les TPE et PME qui n’ont ni les mêmes besoins, ni les mêmes moyens que les grandes entreprises pour leur stratégie de sécurisation des données. L’ANSSI et la CGPME mettent en exergue des conseils simples qui constituent la base de la sécurité ; assurer la complexité des mots de passe et la sécurisation des comptes utilisateurs et administrateurs demeurent par exemple des points essentiels dans les bonnes pratiques de sécurité.
Le mot de passe représente la base de la sécurisation de n’importe quel compte, qu’il soit personnel ou professionnel, et ce indépendamment de la taille de l’entreprise. Il permet en effet d’authentifier l’utilisateur sur le réseau. Un mot de passe trop simple de type « 123456 » ou resté trop longtemps inchangé représente une menace potentielle pour l’organisation. Une personne malveillante – hacker ou ex-employé par exemple – peut installer un malware sur le réseau et rester tapis dans l’ombre un certain temps afin de dérober des informations critiques de l’organisation au moment opportun sans être détecté. Le mot de passe complexe reste le rempart initial contre les tentatives d’intrusion et le vol de données ; il ne doit ni être utilisé sur plusieurs comptes à la fois, ni réutilisé ultérieurement. Le guide rappelle l’importance de sensibiliser les collaborateurs à ne pas conserver les mots de passe dans des fichiers ou sur des post-it laissés à la portée de tous ; bien que cela semble évident, ces bonnes pratiques ne sont toujours pas généralisées et l’erreur humaine reste une des failles principales de sécurité de nombreuses organisations.
Au-delà des mots de passe, les entreprises doivent connaître l’activité informatique de l’ensemble des utilisateurs et prestataires externes ayant des accès aux systèmes et comptes de l’entreprise. Cela inclut également les comptes administrateurs qui servent à intervenir sur le fonctionnement global de l’ordinateur, notamment la gestion des comptes utilisateurs, la modification de la politique de sécurité, l’installation ou la mise à jour des logiciels. L’utilisation de ces comptes administrateurs doit être gérée attentivement car contrairement aux comptes utilisateurs, ils ne sont pas nominatifs et peuvent être utilisés par plusieurs personnes, internes ou externes, ou machines qui interagissent entre elles, ce qui augmente la complexité de surveillance. En outre, des procédures strictes doivent être mises en place afin d’encadrer les arrivées et les départs des collaborateurs et veiller à l’application des droits d’accès aux systèmes d’information mais surtout s’assurer qu’ils sont révoqués, lors du départ de la personne afin d’éviter toute action malveillante à posteriori. En effet, si le service informatique prend du retard et met une semaine à fermer les accès dans le cloud d’anciens employés, ceux-ci pourraient être utilisés à mauvais escient. Cela équivaudrait à donner les clés de l’entreprise à n’importe qui !
Des campagnes gouvernementales régulières de sensibilisation aux bonnes pratiques de sécurité telles que celle de l’ANSSI et de la CGPME restent essentielles pour assurer la sécurité optimale des données, notamment pour rappeler aux employés les règles de base en matière de gestion des accès, les employés ignorant souvent qu’ils peuvent être l’élément déclencheur d’une faille informatique, voire d’une attaque. Pour en garantir l’efficacité, chaque organisation doit à présent garder en tête qu’elle peut être confrontée à une cyberattaque à tout moment – que la menace soit interne ou externe. (Par Olivier Mélis, Country Manager France chez CyberArk)
