Archives mensuelles : octobre 2015

Banque, Cybersécurité, Entreprise, Mise à jour, Paiement en ligne, Propriété Industrielle

Le FBI lance une alerte sur les cartes à puce… puis la retire

Les banques, plus fortes que le FBI ? L’agence fédérale américaine a lancé une alerte au sujet des cartes bancaires à puce. Un message retiré à la demande des institutions financières.

Le FBI de San Diego a fait fort, vendredi 9 octobre. Une alerte publique, comme l’agence en produit très souvent, indiquait que les cartes bancaires avec puces pouvaient encore être la cible des pirates. Dans son document intitulé « Les nouvelles cartes de crédit avec micropuces peuvent encore être vulnérables face aux fraudeurs » [New microchip-enabled credit cards may still be vulnerable to exploitation by fraudsters] Mulder et Scully expliquaient simplement que le fait d’avoir une puce et un mot de passe ne devait pas empêcher les utilisateurs des nouvelles cartes bancaires (avec une puce et un mot de passe) de faire attention à leur bout de plastique. Les banques n’ont pas aimé l’alerte. Bilan, le FBI a retiré son avertissement et a été invité à revoir sa copie.

backdoor, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle

Les installations nucléaires civiles ne demandent qu’à être piratées

Les infrastructures nucléaires civiles dans le monde entier seraient insuffisamment préparées à l’éventualité d’une cyberattaque.

Tout le petit monde du nucléaire c’est donné le mot, la semaine dernière, pour annoncer que les centrales nucléaires ne tiendraient pas face à une attaque informatique. C’est selon un nouveau rapport des chercheurs de la Chatham House, un think-tank basé à Londres, que l’on apprend que les pirates informatiques ne feraient qu’une bouchée des centrales nucléaires.

Les installations deviennent de plus et plus dépendantes des systèmes numériques et autres logiciels, et que la sensibilisation de haut niveau des menaces liées à la cybersécurité stagne, un événement grave semble s’écrire. « Les récentes attaques de grande envergure, y compris le déploiement du worm Stuxnet, ont soulevé de nouvelles inquiétudes concernant les failles de sécurité des cyber d’installations nucléaires, commente le rapport. Les cyber-criminels, les États et les groupes terroristes augmentent leurs activités en ligne, la crainte d’une cyber-attaque sérieuse est toujours présente.« 

D’ici là à penser que le survol de centrales françaises par des drones avaient pour mission de sniffer les connexions wifi des installations !

Base de données, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Particuliers, Sauvegarde

Police : gestion de la base de données des plaques d’immatriculation

Pendant des années, la police américaine a utilisé des scanners de plaques d’immatriculation installées dans les voitures de patrouille. Elle achète aussi, aujourd’hui, des BDD à des entreprises privées.

Aux USA, mais aussi en Europe, comme en France d’ailleurs avec les contrôle automatisé de données signalétiques des véhicules (radars automatiques), ou encore avec LAPI (lecture automatisée de plaques d’immatriculation), les plaques d’immatriculations des automobiles sont stockées. Chez l’Oncle Sam, la lecture automatisée, via des caméras embarquées sur les véhicules, permet de télécharger les images dans les bases de données qui sont utilisées pour identifier les suspects de crimes et délits.

Il s’avère que la base de données policière n’est pas suffisante. Bilan, des bases de données de plaques sont acquises dans le secteur privé, chez les dépanneurs automobiles par exemple qui photographient les plaques, et les documents des automobilistes.

Les associations en charge des libertés civiles, et certains législateurs, s’inquiètent de ces partenariats, estimant que des protections devaient être mises en place contre les abus. Autres problèmes, l’obsolescence des bases de données acquises et la durée de conservation des données. Certains voix réclament que la police devrait obtenir un mandat d’un juge pour accéder aux bases de données en question. (WTOP)

Chiffrement, cryptage, Cybersécurité, Espionnae, Particuliers

Un cache webcam de 0,75mm d’épaisseur

Kickstarter – Monkeywi lance un nouveau cache pour webcam de 0,75mm d’épaisseur.

L’équipe de Monkeywi propose des caches pour webcam. Cela permet ainsi de ne pas laisser l’œil incrusté dans les portables en mode « open ». Une nouvelle version est en cours de préparation.

La Monkeywi team lance ce 9 septembre un nouveau projet Kickstarter. Cette fois, le cache est d’une épaisseur étonnante, 0,75mm. Sa mission, éviter d’être espionner visuellement en cas d’infiltration de votre ordinateur par un cheval de Troie. A noter que si votre machine est infiltrée, inquiétez-vous. Si le pirate ne pourra plus vous regarder, il pourra encore vous écouter via le micro, intercepter vos frappes claviers, regarder votre écran, copier les fichiers de votre machine.

Le nouveau projet de la Monkeywi team réclame 1.200€.

backdoor, Cybersécurité, Logiciels, Tor, VPN

Le FBI utilise Flash d’Adobe pour infiltrer des pédophiles

Les enquêteurs du FBI ont utilisé un logiciel espion passant par de fausses publicités au format flash pour stopper des pédophiles.

Il y a quelques jours, un pédophile notoire était arrêté par le FBI. Luis Escobosa, a été incarcéré  pour s’être rendu sur un site pédophile. Il lui a été aussi reproché d’avoir utilisé et téléchargé des  photos et des vidéos à partir de différents sites web dédiés à la pornographie juvénile.

Le FBI a arrêté l’homme originaire de Staten Island, vendredi dernier. Le FBI a expliqué au tribunal son mode d’action. Le pédophile utilisait, entre autre, le site PlayPen. Un portail du blackmarket fort de 215.000 utilisateurs. Un site qui a été fermé, par le FBI, en Mars 2015. Seulement, avant sa fermeture définitive, les agents spéciaux avaient installé des spywares dans ce site, sous forme de publicités au format flash, un outil de la société Adobe. Durant quelques semaines, Mulder et Scully ont pu suivre à la trace les utilisateurs de PlayPen, dont Luis Escobosa.

Les Spywares ont été utilisés pendant un certain temps par le FBI. Un outil créé par un white hat du nom de HD Moore qui exploite Metasploit Decloak v2. Le processus fonctionne assez simplement. Un fichier, généralement un fichier flash, est hébergé par un site de pornographie juvénile saisis par les forces de l’ordre. Le fichier est envoyé naturellement et automatiquement (sauf si les navigateurs refusent de lire des documents de la société Adobe, NDR) dans les navigateurs Web des visiteurs. Ce fichier Flash était exécuté dans le plugin Adobe et établissait une connexion directe avec un serveur contrôlé par le FBI, sans que TOR ne puisse « cacher » l’ip des internautes pédophiles.

Cybersécurité, Hacking, loi, Mise à jour, Patch, Rendez-Vous

Un drone film une base de la NSA en Allemagne

Des hacktivistes manifestent contre la cyber surveillance de la NSA en survolant une base de la Nationale Security Agency basée dans le sud de Francfort, en Allemagne.

Le groupe d’hacktivistes Intelexit vient de lancer une manifestation à l’encontre de la surveillance de masse mise en place par les Américains. Leur idée, si la NSA nous surveillance, surveillons la NSA. Avec un drone, ils ont survollé la base militaire américaine Dagger, basée au sud de Francfort (Allemagne).

En plus de filmer, le drone a lâché des brochures exhortant les employés de la NSA à quitter leur emploi et à soutenir la lutte contre la surveillance de masse. Le complexe abriterait l’outil XKeyStore, un système utilisé par la NSA qui permettrait de suivre et de stocker tout ce qu’un utilisateur fait à travers l’Internet. L’outil est connu comme un des piliers de la NSA dans la collecte des informations diffusées en Europe.

Cybersécurité, Espionnae, Hacking, Particuliers, Social engineering, Téléphonie, VPN

Méfiez-vous du chat de votre voisin, il pirate peut-être votre wifi

Un chercheur en sécurité informatique a utilisé son chat pour scanner les réseaux wifi non sécurisés de son quartier.

Aprés le war driving, voici venir le war cat, ou encore Warkitteh. Gene Bransfield, un chercheur en sécurité a trouvé un moyen « rigolo » d’utiliser son chat pour cartographier des dizaines de réseaux Wi-Fi vulnérables installés dans son quartier. Sa méthode, équiper COCO, le chat de la grand-mère de son épouse, avec un collier particulier. Pendant que le matou se promène par monts et pas vaux, le collier scanne les Wi-Fi environnants. Une puce, un carte Wi-Fi, un module GPS et un joli tissu léopard pour le ca(t)mouflage. L’aventure avait été présentée lors du DefCon de Las Vegas, en août dernier.

Android, Chiffrement, cryptage, Cybersécurité, Sécurité, Smartphone

Geek’s Live : Master Lock présente ses cadenas connectés

Lors de la prochaine Geek’s Live qui se tiendra le 14 octobre au Carreau du Temple, à Paris, Master Lock présentera en avant-première son cadenas connecté qui se pilote simplement avec un smartphone.

Déclinés en deux versions (usage intérieur et usage extérieur), les cadenas connectés Master Lock n’ont pas besoin de clé ni de combinaison pour s’ouvrir : la connexion Bluetooth d’un Smartphone permet de les contrôler facilement et de partager les accès entre plusieurs utilisateurs, en toute sécurité. Fini les problèmes de combinaisons difficiles à retenir, les clés égarées, volées ou cachées au fond d’un sac.

Le partage d’accès en toute simplicité
L’accès à distance se partage très facilement et immédiatement avec l’application gratuite Master Lock Vault™ eLocks. Vous maîtrisez totalement les accès partagés (qui peut ouvrir le cadenas, quand, pour quelle durée…) et pouvez à tout moment ajouter ou supprimer des accès. Vous êtes également informé des tentatives d’ouverture non autorisées.

Sécurité et technologie
Les cadenas connectés Master Lock sont conçus pour garantir un niveau de sécurité optimal. Leur anse en alliage de bore assure une résistance renforcée au coupe-boulon et leur double verrouillage à bille garantit une meilleure résistance à l’effet de levier. Le cadenas à usage extérieur est également recouvert d’élastomère thermoplastique qui lui confère une résistance optimale contre les intempéries. L’application mobile Master Lock Vault eLocks, à télécharger gratuitement, utilise les normes de sécurité et de cryptage les plus avancées pour prévenir toutes tentatives de vols de données : seules les personnes autorisées peuvent ouvrir le cadenas.

Le cadenas connecté Master Lock a reçu le 3e prix de l’Innovation du MedPi dans la catégorie « Nouvel usage ». Les cadenas connectés Master Lock sont disponibles en deux versions : usage intérieur (L. 47 x P. 27 x H.50 mm, anse 7mm diam.) – et usage extérieur (L. 56 x P. 27 x H.74, anse 9mm diam.). 69€ pour la version intérieur. 99 euros pour la version extérieure. Nous attendons de savoir si ces cadenas sont à la norme de la sécurité aérienne américaine TSA.

Cybersécurité, Emploi, Entreprise, Fuite de données, Justice, loi, Propriété Industrielle

Le coût moyen du cybercrime s’élèverait à 13.4M€ par entreprise

Une enquête annuelle révèle que le coût moyen du cybercrime s’élève à 13.4M€ par entreprise Cette sixième étude annuelle, résultat du partenariat entre HP et le Ponemon Institute, prouve l’intérêt pour les entreprises de réorienter leur stratégie en matière de sécurité

HP dévoile les résultats de la sixième enquête annuelle menée en partenariat avec le Ponemon Institute, qui détaille les impacts économiques des cyberattaques sur les organisations des secteurs public et privé. Les résultats attestent une augmentation du coût du cybercrime pour les entreprises et le changement d’approche qui engage les professionnels de la sécurité IT à réinventer leur façon d’appréhender les risques.

Menée par Ponemon Institute sous l’égide de HP Enterprise Security, l’étude Cost of Cyber Crime Study 2015 chiffre le coût annuel du cybercrime pour des entreprises aux États-Unis, au Royaume Uni, au Japon, en Allemagne, en Australie, au Brésil et dans la fédération de Russie. Sur l’échantillon d’organisations sélectionnées pour l’enquête réalisée aux US, les résultats montrent que le coût annuel moyen du cybercrime par entreprise s’élève à 15 millions d’US$ 1, ce qui représente une croissance proche de 20% par rapport à l’année dernière, et de 82% depuis la première édition de cette étude.

Les résultats montrent également que le délai moyen de résolution d’une cyberattaque – 46 jours – a augmenté d’environ 30% sur les 6 dernières années, et que le coût moyen global de résolution d’une attaque unique dépasse 1,9 million US$. « Une faille de sécurité peut impacter de façon significative la réputation de l’entreprise, ses performances financières, sa stabilité opérationnelle et sa capacité à innover » déclare à datasecuritybreach.fr Sue Barsamian, Sénior Vice-Président et Directeur Général de la division HP Enterprise Security Products. « Cette étude annuelle prouve clairement que les investissements stratégiques dans les solutions de sécurité, les technologies de chiffrement et les bonnes pratiques de gouvernance peuvent faire une différence substantielle dans la manière de protéger ce qui compte le plus pour l’entreprise – les interactions entre utilisateurs, les applications et les données – et lui permettre de garder un cran d’avance sur ses adversaires. »

Pour les entreprises, élargir leur surface digitale veut également dire s’exposer à davantage d’attaques périmétriques de la part des cybercriminels. Bien que les organisations s’efforcent de recourir à de nouvelles technologies pour protéger leur environnement soumis à des attaques toujours plus nombreuses, il devient urgent pour elles de faire évoluer leurs stratégies de sécurité et de contrôle du réseau vers la protection des utilisateurs, des applications et des données. L’étude ‘2015 Cost of Cyber Crime’ confirme ce besoin de changement, démontré par le fait que des organisations dépensent désormais 20% de leur budget de sécurité sur la sécurisation des applications, ce qui représente une croissance de 33 % en seulement deux ans.

Résultats marquants de l’étude 2015 Cost of Cyber Crime aux États-Unis ? Le coût du cybercrime reste très important : le coût annuel moyen du cybercrime pour une entreprise s’élève à 15 millions US$, avec une plage allant de 1,9 million US$ jusqu’à 65 millions US$ par an 1. Sur les 6 années de l’enquête, cela représente une augmentation globale de 82%.

Le coût du cybercrime varie selon la taille de l’organisation ciblée : les résultats montrent une nette corrélation entre le nombre d’ employés de l’entreprise et le coût annuel du cybercrime. Néanmoins, sur la base du nombre d’employés, l’enquête montre que les petites organisations subissent un coût par utilisateur plus important que les entreprises de taille plus importante.

Le temps pour remédier aux cyberattaques continue de croître : le délai moyen pour résoudre une cyberattaque est de 46 jours, avec un coût moyen de 1,9 million US$ durant cette période, selon les éléments fournis par les entreprises ayant répondu à l’enquête. Ceci représente une augmentation de 22% par rapport au montant moyen annuel estimé dans l’enquête de l’année dernière – environ 1,5 million US$ – basé sur une période de résolution évaluée alors à 32 jours.

Les résultats montrent que des attaques provenant d’utilisateurs internes malveillants peuvent prendre en moyenne 63 jours avant d’être circonscrites. Les coûts du cybercrime les plus importants. Les cyberattaques les plus coûteuses restent toujours liées au déni de service, aux utilisateurs internes malveillants et aux codes malicieux. Celles-ci ont représenté plus de 50% de toutes les attaques subies par une organisation pendant un an 1. Le vol d’informations continue de représenter le coût externe le plus important, suivi par les coûts liés à une interruption d’activité. Sur une base annuelle, le vol d’informations représente 42% des coûts externes globaux, alors que les coûts associés à une interruption de service ou à la perte de productivité totalise 36% des coûts externes (soit 4%de plus que la moyenne constatée il y a 6 ans). Les tâches de détection et de récupération constituent les coûts d’activités internes les plus importants, soit 55% des coûts totaux de l’activité annuelle interne. Les dépenses de trésorerie et de main-d’œuvre directe représentent la majorité de ces coûts.

La bonne technologie et les bonnes politiques de sécurité font la différence Les organisations, qui ont investi et utilisent des technologies de collecte d’informations sur la sécurité, ont été plus efficaces dans la détection et le cloisonnement des cyberattaques, réduisant ainsi les coûts qui auraient pu être encourus. ? Le déploiement de solutions SIEM (Security Information and Event Management) a permis aux organisations de réduire leurs dépenses de 3,7 millions US$ par an, par rapport aux entreprises n’ayant pas mis en œuvre de solutions de sécurité similaires. ? Un budget de sécurité suffisant peut faire économiser en moyenne 2,8 millions US$ de coûts induits par les actions mises en places pour y remédier et par la gestion des attaques. ? L’emploi de personnels certifiés et/ou experts de sécurité peut réduire le budget d’une entreprise de 2,1 millions US$ à une entreprise. ? L’embauche d’un responsable sécurité de haut-niveau peut faire économiser 2 millions US$ à l’entreprise.

« Avec des cyberattaques de plus en plus fréquentes et graves de conséquences, la compréhension globale de l’impact financier encouru peut aider les organisations à déterminer la quantité appropriée d’investissement et de ressources nécessaires pour prévenir ou atténuer les conséquences d’une attaque« , a déclaré à DataSecurityBreach.fr le Dr Larry Ponemon, Président et Fondateur du Ponemon Institut. « Comme on le voit dans l’étude de cette année, le retour sur investissement pour les organisations déployant des systèmes de renseignement de sécurité, tels que les SIEM, a permis de réaliser en moyenne des économies annuelles de près de 4 millions US$ et prouve la capacité de minimiser les impacts en détectant et en contenant plus efficacement les cyberattaques.« 

État des lieux de la sécurité dans des agences gouvernementales locales, régionales et nationales Afin de mieux comprendre les enjeux auxquels la sécurité de l’IT et les professionnels de la sécurité IT doivent faire face pour sécuriser les agences gouvernementales, HP a également dévoilé les résultats d’une nouvelle étude menée en partenariat avec le Ponemon Institute. L’étude « 2015 State of Cybersecurity in Local, State & Federal Goverment » fait état de découvertes sur la fréquence des attaques ciblant le secteur public à l’échelle locale, régionale ou nationale, des difficultés rencontrées dans la recherche des bonnes compétences en matière de sécurité, et sur les capitaux informationnels les plus exposés au risque. Des informations détaillées peuvent être consultées sur le site.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Mise à jour, Patch, SAAS

Menaces sur les applications SAAS

Palo alto networks dévoile son nouveau rapport sur les menaces et souligne la nécessité de sécuriser les applications SAAS.

Palo Alto Networks, spécialisé dans les solutions de sécurité de nouvelle génération, annonce la nouvelle et 12ème édition de son rapport AUTR (Application Usage and Threat Report), réalisé par son équipe de recherche sur les menaces, la Palo Alto Networks Unit 42 Threat Intelligence. Ce rapport, s’appuyant sur les données de plus de 7 000 entreprises dans le monde, présente les tendances réelles en matière d’utilisation des applications d’entreprise, ainsi que les nouveaux événements cruciaux dans les offensives contre les entreprises. Il contient en outre des recommandations pratiques pour éviter les cyberattaques.

Le rapport met en exergue l’avancée phénoménale des applications SaaS (logiciels sous forme de services) qui créent une brèche d’infiltration pour les nouveaux risques de sécurité ou les accès non autorisés aux données sensibles. Le rapport démontre aux organismes de sécurité que les vecteurs d’attaque courants ou existants depuis toujours, tels que les emails et les fichiers exécutables, continuent de poser des difficultés. Il décrit également les tendances d’utilisation des applications à haut risque dans le monde, par exemple les applications à accès distant.

PRINCIPALES CONCLUSIONS DU RAPPORT

La popularité des applications SaaS a explosé – Le nombre des applications SaaS dans les réseaux d’entreprise a augmenté de 46 % entre 2012 et 2015, et comprend désormais plus de 316 applications. Les pièces jointes par email continuent d’être un vecteur de danger – Plus de 40 % des pièces jointes par email se sont révélées malveillantes. L’utilisation des applications à accès distant est largement répandue – Il existe actuellement 79 applications à accès distant différentes dans le monde qui sont fréquemment utilisées par les cyberattaquants dans le cadre de leurs opérations. Les catastrophes de l’actualité ou les gros titres sont détournés en vecteurs d’attaque – En moyenne, un délai de six heures s’écoule entre la parution d’une actualité exceptionnelle et son exploitation par une campagne de phishing ciblé ou de spam, ou une attaque Web. Les identités des principaux ennemis ont été dévoilées – Trois acteurs majeurs ont été identifiés : Carbanak (Russie/Ukraine), Sandworm (Russie) et Shell Crew (Chine). Ces trois groupes, spécialisés dans le cyber-espionnage et la cybercriminalité, ciblent les gouvernements et les entreprises en Europe et en Amérique du Nord.

« Chez Palo Alto Networks, nous sommes convaincus que le partage des informations sur les cyber-menaces est bénéfique pour la société dans sa globalité. C’est cette conviction qui motive la publication de notre rapport annuel Application Usage and Threat Report. Des professionnels de la cybersécurité bien informés, ce sont des professionnels mieux armés : s’ils connaissent les méthodes utilisées par les attaquants pour exploiter les applications et compromettre les réseaux, ils pourront identifier les offensives et riposter avant qu’elles ne puissent endommager leurs réseaux », commente à DataSecurityBreach.fr Ryan Olson, directeur du renseignement, Unit 42 de Palo Alto Networks

ACTIONS RECOMMANDÉES

· Face à la popularité grandissante des applications SaaS, les équipes de sécurité ont tout intérêt à se familiariser avec le phénomène dit du « shadow IT », ou informatique fantôme. Désormais courant dans les entreprises où les employés utilisent les solutions SaaS et d’autres applications à l’insu du service informatique ou sans son approbation, cette tendance a le pouvoir d’affaiblir les politiques de sécurité.

· L’omniprésence des pièces jointes malveillantes accentue la nécessité de mettre en place des mesures de sécurité automatiques capables d’intercepter automatiquement un fichier exécutable déguisé, activé par erreur par un utilisateur.

· Les nouvelles menaces évoluent désormais de plus en plus vite. Les outils d’attaque automatisés permettent aux cybercriminels d’exploiter les nouvelles vulnérabilités en quelques heures à peine. Pour arrêter ces attaques, il est indispensable de mettre en œuvre des dispositifs de prévention sophistiqués et automatiques, fournissant une visibilité élargie des menaces connues et inconnues et une protection solide contre ces dernières.

Cybersécurité, Entreprise, Fuite de données, Mise à jour, Propriété Industrielle, Social engineering

Et si cette panne de courant cachait un piratage informatique ?

Panne de courant, porte d’entrée récalcitrante, prise téléphonique dévissée ? Et si ces problèmes physiques cachaient les prémices d’une attaque informatique ?

En Avril 2013, une intrusion dans une station électrique de PG&E basée dans la Silicon Valley, par des voyous locaux, avait mis en panne les bureaux accueillant les appels de secours au 911 et un opérateur régional des services dédiés aux téléphones portables. Derrière cette panne, des coups de feu tirés par les malfaiteurs lors d’une course poursuite avec la police. Bref, un fait divers qui ne  concerne pas, à première vue, le piratage informatique. Du moins, directement. Les tirs avaient occasionné la destruction de 17 transformateurs électriques. Depuis cette affaire, les renseignements américains ont alertés les entreprises d’être plus « suspicieuses » face à des problèmes physiques. Ils cachent peut-être une attaque informatique en cours. Un programme de surveillance, baptisé « suspicious activity reporting » [SAR] a été mis en place. Il a pour mission de lutter contre le terrorisme et enregistre l’ensemble des rapports liés aux comportements suspects découverts dans des espaces particuliers (transformateurs électrique…) et qui pourraient se conclure par une attaque/un problème informatique.

Cybersécurité, Espionnae, Particuliers, Social engineering, Vie privée

Bracelet espion pour 5.000 élèves d’Alaska

5.000 élèves des écoles primaires de l’Etat d’Alaska portent dorénavant des bracelets GPS au poignet.

Tout a débuté en avril 2015, quand 350 étudiants du district d’Anchorage ont testé un dispositif « de suivi d’activité« . Six mois plus tard, 5.000 élèves de 37 écoles primaires de la région arborent ce « gentil » big brother équipé de plastique et de capteurs ayant pour mission de « les diriger vers des activités physiques » explique l’éducation nationale locale.

L’idée est intéressante, des bracelets connectés rendus ludiques par le biais de points que les enfants peuvent collecter, en faisant du sport, et utilisables en ligne. Baptisé Sqord, ce fibit light de Nike imposé, invite aussi les gamins à intéresser à leur santé.

https://www.youtube.com/watch?v=cqAIrv_l6qo

Espérons que les professeurs en profitent pour leur parler de l’identité numérique, des données privées sauvegardées dans les serveurs d’une entreprise privée et d’un suivi de leur comportement qui ne vise, pour le moment, que leurs activités physiques. (Alaska)

Argent, Biométrie, Chiffrement, cryptage, Cybersécurité, Entreprise, ID, Identité numérique, Particuliers

Un objet connecté biométrique qui supprime définitivement les mots de passe

La start-up Trust Designer (EuraTechnologies – Lille), concepteur de produits high-tech, s’est appuyée sur le standard d’authentification forte Natural Security pour développer « SesameTouch », un objet connecté biométrique qui permet de s’authentifier et de payer, et ce sans devoir saisir de code confidentiel.

Un premier cas concret d’utilisation a été présenté en avant-première lors de la dernière édition du salon Paris Retail Week. Trust Designer a intégré son objet connecté « SesameTouch » au porte-monnaie électronique « My E-money Purse » développé par la société TSI (Ticket Surf International), 1ère entreprise française à avoir obtenu la licence d’Emetteur de Monnaie Electronique délivrée par l’APCR (Banque de France). Ainsi, le premier porte-monnaie électronique avec objet connecté biométrique a été présenté lors de ce salon.

Ce produit innovant permet de commander des produits sur le web, de payer et de s’identifier de façon simple (plus besoin de mémoriser un code confidentiel), rapide (la saisie d’un code confidentiel disparaît) et sécurisée (la biométrie permet de s’assurer que le porteur est bien là au moment de la transaction) au moment du retrait en magasin. Pour finaliser l’industrialisation de son produit, Trust Designer a lancé ce jeudi 1er octobre 2015 une campagne de financement participatif, via la plateforme Kickstarter. Nous avions demandé à tester la chose, histoire de parler d’une entreprise que nous voyons de notre fenêtre Lilloise, mais nous n’avons pas eu la chance d’avoir une réponse de la part de Trust Designer.

Arnaque, backdoor, BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, escroquerie, Fraude au président, Leak, Particuliers, Piratage, Social engineering, Vie privée

TOP 10 des méthodes de piratage

L’ingénierie sociale serait la méthode la plus utilisée, suivie par la compromission de comptes et les attaques web de type injections SQL/de commandes selon une étude de Balabit.

BalaBit, fournisseur européen de technologies de sécurité contextuelle, a présenté lors de la 15è édition des Assises de la Sécurité, les résultats d’une étude menée auprès des participants de la Black Hat en août dernier, conférence de référence mondiale en matière de sécurité de l’information. BalaBit a interrogé 349 professionnels de la sécurité afin de définir le top 10 des méthodes de hacking actuellement les plus populaires. Cette étude offre aux entreprises l’opportunité de mieux connaître leurs ennemis en identifiant les méthodes et les vulnérabilités les plus utilisées par les hackers lorsqu’il s’agit de s’attaquer à leurs données sensibles. Cette base de connaissance est la première étape fondamentale pour toute entreprise souhaitant mettre en place une stratégie de sécurité IT efficace, et cela quelque soit son secteur d’activité.

Attaquant interne ou externe ? Pas si évident…
Les menaces sont différentes et plus sophistiquées aujourd’hui et la frontière entre les menaces internes et externes est devenue très étroite. La majorité des attaquants externes tentent de pénétrer le réseau, d’acquérir des niveaux d’accès basiques et d’utiliser leurs droits pour petit à petit remonter jusqu’à des niveaux d’accès privilégiés. Dans la plupart des cas, ils restent invisibles dans le réseau pendant plusieurs mois, puisqu’ils parviennent à s’identifier comme des utilisateurs internes. Qu’en est-il des utilisateurs internes malveillants ? : Sont-ils conscients des conséquences de leurs actes lorsqu’ils partagent leurs identifiants ou lorsqu’ils cliquent sur des liens de phishing – dans ce cas, la fuite de données est-elle le résultat d’actions intentionnelles ou accidentelles ? Doivent-ils être considérés comme malveillants seulement si leur action était intentionnelle ? Cela a t-il vraiment beaucoup d’importance si la fuite de données est très grave ?

70% des personnes interrogées considèrent les menaces internes comme les plus risquées.
54% des personnes interrogées déclarent avoir très peur des hackers qui pénètrent au sein du réseau de l’entreprise via leur pare-feu, alors même que 40% d’entre elles déclarent qu’un pare-feu n’est pas assez efficace pour empêcher les hackers d’entrer.

Les participants ont également été interrogés sur les attaquants – internes ou externes – qu’ils considèrent les plus à risques : Les résultats soulignent un point important en vue de la définition d’une stratégie de défense efficace : 70% des personnes interrogées considèrent que les utilisateurs internes présentent le plus de risques (et seulement 30% estiment que les attaquants externes posent plus de risques). Une chose est sûre : les attaquants externes cherchent à devenir des utilisateurs internes, et les utilisateurs internes les aident pour y parvenir – accidentellement ou intentionnellement. Quelque soit la source de l’attaque, la liste des 10 méthodes de piratage les plus populaires -présentées ci-dessous – démontre qu’il est crucial pour les entreprises de savoir ce qu’il se passe sur leur réseau en temps réel. Qui accède à quoi ; est-ce le bon utilisateur derrière l’identifiant et le mot de passe ou est-ce un attaquant externe utilisant un compte compromis ?

Le top 10 des méthodes de piratage les plus utilisées :

1. Ingénierie sociale (ex : phishing).
2. Compromission de comptes (sur la base de mots de passe faibles par exemple).
3. Attaques web (ex : injection SQL/de commandes).
4. Attaques de clients de l’entreprise ciblée (ex: contre des destinataires de documents, navigateurs web).
5. Exploits avec des mises à jour de serveurs connus (ex: OpenSSL, Heartbleed).
6. Terminaux personnels non sécurisés (manque de politique de sécurité BYOD, datasecuritybreach.fr vous en parle très souvent).
7. Intrusion physique.
8. Shadow IT (utilisation personnelle de services Cloud à des fins professionnelles).
9. Attaque d’une infrastructure outsourcée en ciblant un fournisseur de services externe.
10. Attaque de données hébergées sur le Cloud (via l’IaaS, le PaaS).

backdoor, Cybersécurité, Mise à jour, Patch, Virus

Wifatch, le virus qui vous veut du bien

Un code viral baptisé Wifatch s’attaque aux routeurs pour mieux les protéger des autres virus.

Voilà une action qui est à saluer. Un hacker aurait mis en action depuis quelques jours un code informatique baptisé Wifatch. L’idée de ce « virus » s’infiltrer dans les routeurs pour empêcher que les autres virus, beaucoup plus malveillants, ne puissent exploiter les boîtiers. Les routeurs sont mal sécurisés, rarement mis à jour et exploités par des attaques informatiques ayant pour mission, par exemple, de participer à des Dénis Distribués de Services (DDoS) contrôlés par des bots qui contrôlent les routeurs infiltrés.

Symantec explique que ce code se tient informé via le P2P et bloque les canaux par lesquels les logiciels malveillants peuvent attaquer les routeurs que Wifatch a pris en main. Un virus qui protège les victimes potentielles en quelque sorte. Les auteurs expliquent que la création de Wifatch est due, tout d’abord, pour l’apprentissage. Deuxièmement, pour la compréhension. Troisièmement, pour le plaisir, et la quatrième et derniére raison, pour votre (et notre) sécurité. Il n’infecte que les routeurs dont le mot de passe n’a pas été changé, comme « password » !

Une belle bête qui a pointé le bout de ses bits en novembre 2014.

backdoor, Cyber-attaque, Cybersécurité, Mise à jour, Piratage, Virus

Le malware Dridex refait surface et s’attaque au Royaume-Uni

Après l’annonce par Brian Krebs des arrestations en septembre des principaux responsables supposés du groupe de cybercriminels qui avait créé et exploité le malware Dridex, Unit 42, l’équipe de recherche contre les cybermenaces de Palo Alto Networks, a constaté un net déclin de l’activité de ce cheval de Troie visant le secteur bancaire, du moins jusqu’à aujourd’hui.

Dridex est en effet réapparu sur la scène des cybermenaces avec une vaste campagne de phishing par email détectée via la plateforme Palo Alto Networks AutoFocus qui a identifié des échantillons de cette résurgence de Dridex. Fidèle à son mode opératoire d’origine, l’équipe de Dridex continue à utiliser des fichiers Microsoft Word Doc contenant des macros intégrées, tout comme elle l’avait fait début 2015. Le kit Bartalex, très apprécié de nombreux cybercriminels, construit ces macros pour envoyer son contenu malveillant. Lorsque l’utilisateur ouvre le document infecté, le code macro contacte une adresse URL et télécharge l’exécutable de Dridex. Dans la campagne d’attaque d’aujourd’hui, l’Unit42 a identifié les différentes associations de fichiers Microsoft Word Doc et d’adresses URL (à découvrir ici).

A la date d’aujourd’hui, seuls 17 des 56 antivirus du site Web de VirusTotal reconnaissent les fichiers Doc associés à cette nouvelle mouture de Dridex comme malveillante, et deux d’entre eux seulement détectent l’implantation virale associée. La plateforme Palo Alto Networks AutoFocus a pu identifier correctement tous les composants de cette menace sous la balise Unit 42 Dridex.

Cible et mode de distribution
L’analyse de l’Unit42 a révélé que ce retour de Dridex cible essentiellement le Royaume-Uni. Le blog de Dynamoo (tenu par Conrad Longmore) a publié un exemple de cette nouvelle série de messages de phishing de Dridex. Les fichiers Doc malveillants identifiés utilisent tous une convention d’appellation d’ordre similaire (par exemple “Order-SO00653333-1.doc”), et demandent au destinataire d’imprimer la pièce jointe. Cette tentative de piégeage n’est pas des plus subtiles, mais elle reste néanmoins étonnamment efficace et permet à Dridex d’arriver à ses fins.

Les cybercriminels – notamment ceux qui ont déjà atteint un certain niveau de prospérité et de longévité – vont continuer à menacer les entreprises et les particuliers, et ce malgré les revers essuyés suite à des arrestations ou d’autres ripostes contre leurs opérations. Alors même que les principaux acteurs de l’équipe de Dridex ont été éliminés de l’équation pour le moment, ils laissent derrière eux une organisation qui a de fortes chances de subsister.

Par ailleurs, d’autres groupes criminels attendent toujours en coulisses, prêts à prendre la relève de l’une ou l’autre initiative si une vacance ou une opportunité se présente. La résurgence de Dridex ce mois d’octobre 2015 montre clairement que ces menaces continuent de s’adapter et d’évoluer.

Cybersécurité, Justice, loi

« Safe Harbor » : quelles protections pour nos données personnelles ?

La décision de la Cour de Justice de l’Union Européenne est tombée mardi 6 octobre : le « Safe Harbor », accord qui encadre l’utilisation des données des internautes européens par de nombreuses entreprises américaines (dont les géants du web), a été suspendu.

Les juges estiment que la mise à disposition des données personnelles des Européens aux agences de renseignements américaines portait « atteinte au contenu essentiel du droit fondamental au respect de la vie privée ». De plus, les citoyens européens ne disposent à ce jour d’aucun recours pour protester contre l’utilisation de leurs données aux Etats-Unis.

Mais les juges pointent aussi du doigt la Commission, qui a noué cet accord avec les Etats-Unis. Contrairement à ce à quoi elle s’était engagée, elle n’a pas constaté que les Etats-Unis assurent effectivement un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union.

L’annulation de cet accord devrait contraindre de grandes entreprises américaines à davantage conserver en Europe les données de leurs utilisateurs européens, et ainsi à limiter leur potentiel d’exploitation de ce nouvel or noir. Mais cela est-il vraiment suffisant ? L’entreprise Pradeo, spécialiste de la cyber-sécurité, tire la sonnette d’alarme sur le risque accentué de collecte de données personnelles via les applications mobiles. En effet, elle constate qu’un grand nombre d’applications récupèrent des données personnelles, sans toujours en informer l’utilisateur (géolocalisation, messages, fichiers…).

A quand la mise en place d’un label « Respect de la vie privée et des données personnelles » imposé aux opérateurs du numérique ? (Pradeo)

Cyber-attaque, Cybersécurité, escroquerie, Fuite de données, Leak, Particuliers, Piratage, Propriété Industrielle, Social engineering

Etude : les cybercriminels se faisant passer pour des utilisateurs légitimes représentent le risque de sécurité le plus élevé

61% des répondants considèrent l’usurpation de comptes à privilèges comme l’attaque la plus difficile à contrer ; 44% s’estiment toujours en mesure d’empêcher les hackers d’infiltrer un réseau.

Les cyber-attaques consistant à pirater les comptes à privilèges et administratifs, c’est-à-dire les identifiants utilisés pour contrôler et utiliser l’infrastructure IT d’une organisation, constituent la principale menace de sécurité dans les entreprises, selon une récente étude conduite par CyberArk.

61% des personnes interrogées ont retenu l’usurpation de comptes à privilèges comme étant le type de cyber-attaque le plus difficile à contrer, contre 44% du même avis l’année dernière. En outre, 48% pensent que les violations de données résultent des mauvaises habitudes des employés en matière de sécurité, tandis que 29% attribuent ceci à la sophistication des attaques. Ces conclusions proviennent de la 9e enquête annuelle réalisée par CyberArk sur le panorama mondial des cyber-menaces avancées Threat Landscape Survey, pour lequel l’entreprise a interrogé 673 cadres dirigeants et responsables de la sécurité IT.

CyberArk a analysé les divergences potentielles entre les cyber-menaces préjudiciables et la confiance qu’une organisation accorde à son système de sécurité. Bien que le lien entre la prise de contrôle de comptes à privilèges comme étant le premier vecteur d’attaque et les récentes, et très médiatisées, violations de données soit mieux établit, les entreprises persistent à se concentrer sur une défense « périmétrique ».

Plus de la moitié des interrogés étant convaincus qu’ils pourraient détecter une attaque en quelques jours, CyberArk a indiqué que de nombreux responsables IT et chefs d’entreprises ne disposent pas de la visibilité suffisante sur leurs programmes de sécurité IT. Les défenses périmétriques et les attaques d’hameçonnage (phishing) ne sont que la partie visible de l’iceberg, et les organisations doivent aujourd’hui veiller à se protéger face à des attaques beaucoup plus dévastatrices qui, comme le « Golden Ticket » Kerberos et les attaques « Pass-the-Hash », s’opèrent au cœur-même du réseau.

Au-delà de la simple violation – Les pirates cherchent à prendre le contrôle total du réseau

Comme nous avons pu le constater lors des attaques qui ont visé Sony Pictures, le Bureau américain de gestion du personnel et bien d’autres encore, les pirates ayant pris possession des comptes à privilèges peuvent ensuite s’en servir pour prendre de force le contrôle d’une infrastructure réseau ou voler d’importants volumes de données confidentielles. Ces comptes à privilèges permettent en effet aux cybercriminels d’avoir le même niveau de contrôle que les administrateurs IT de haut rang, et ce sur n’importe quel réseau. Grâce à leur capacité de se faire passer pour des utilisateurs légitimes, ces pirates peuvent alors continuer à acquérir des privilèges et à parcourir l’ensemble du réseau afin d’y exfiltrer des données précieuses.

· A quelle phase une attaque est-elle la plus difficile à contrer selon les interrogés :
o 61% ont cité la violation des comptes à privilèges, contre 44% en 2014
o 21% mentionnent l’installation du logiciel malveillant
o 12% évoquent la phase de reconnaissance menée par le cybercriminel

· Les vecteurs d’attaque représentant les risques de sécurité les plus élevés selon les interrogés sont :
o 38% indiquent la violation de comptes à privilèges ou administratifs
o 27% mentionnent les attaques d’hameçonnage
o 23% citent les logiciels malveillants sur le réseau

Trop de confiance accordée aux stratégies de sécurité dans les entreprises

Le sondage de CyberArk illustre que les interrogés ont entière confiance dans les stratégies de sécurité de leur PDG et de leurs directeurs, mais que les tactiques employées par les organisations sont en contradiction avec les meilleures pratiques en matière de sécurité. Même si les études spécialisées révèlent qu’il faut habituellement une moyenne de 200 jours pour qu’une organisation puisse déceler un pirate sur leurs réseaux, la plupart des interrogés pensent qu’ils sont capables de détecter un pirate endéans quelques jours ou quelques heures. Les interrogés persistent également à croire qu’ils sont parfaitement à même d’empêcher les cybercriminels de pénétrer dans le réseau, malgré de nombreuses preuves indiquant le contraire.

· 55% pensent qu’ils seront capables de détecter une violation en l’espace de quelques jours ; 25% estiment pouvoir détecter une infraction en quelques heures
· 44% continuent de croire qu’ils peuvent parfaitement empêcher les cybercriminels de pénétrer dans un réseau spécifique
· 48% pensent que ce sont les mauvaises habitudes des employés qui sont à la base des violations de données, tandis que 29% mentionnent tout simplement la sophistication des attaques
· 57% des personnes interrogées ont confiance dans les stratégies établies par leur PDG ou leur Conseil d’administration

Les organisations ne semblent toujours pas reconnaître les dangers liés aux attaques de l’intérieur

Les cybercriminels ne cessent de développer de nouvelles tactiques afin de cibler, dérober et exploiter des comptes à privilèges qui leur permettront d’obtenir l’accès aux données les plus sensibles et les plus précieuses d’une organisation. Alors que bon nombre d’entre elles se concentrent sur la défense périmétrique afin de lutter contre des attaques telles que le phishing ou l’usurpation d’identité, ce sont les attaques lancées depuis l’intérieur des organisations qui sont les plus potentiellement dévastatrices. Il a été demandé aux interrogés d’établir un classement des types d’attaques qu’ils redoutent le plus :

· Piratage de mots de passe (72%)
· Attaques d’hameçonnage (70%)
· Piratage de clés SSH (41%)
· Attaques Pass-the-Hash (36%)
· Attaques de Golden Ticket (23%)
· Attaques Overpass-the-Hash (18%)
· Attaques de Silver Ticket (12%)

Les attaques Overpass-the-Hash, Golden Ticket et Silver Ticket sont toutes des attaques Kerberos, permettant d’obtenir un contrôle total d’un réseau spécifique par le piratage du contrôleur de domaine. L’une des attaques les plus dangereuses est celle du Golden Ticket, car elle peut paralyser une organisation entièrement et briser ainsi la confiance accordée à l’infrastructure IT.

« Il est inacceptable qu’une organisation continue de penser que ses programmes de sécurité sont en mesure d’empêcher les cybercriminels de pénétrer dans leur réseau. En outre, le fait de se retrancher derrière la sophistication des attaques et les mauvaises habitudes des utilisateurs ne fait qu’aggraver le problème, déclare à DataSecurityBreach.fr John Worrall, Directeur du marketing chez CyberArk. Les attaques les plus dévastatrices sont celles où les pirates volent des identifiants à privilèges et administratifs afin d’obtenir les mêmes droits d’accès que les administrateurs systèmes en interne. Une organisation se retrouve ainsi à la merci du cybercriminel, que ses motivations soient financières, liées à des activités d’espionnage ou visent à causer la fermeture de l’entreprise. Alors que le sondage souligne que les organisations sont de plus en plus conscientes des effets dévastateurs des violations de comptes à privilèges, celles-ci consacrent encore trop d’efforts à vouloir stopper les attaques périmétriques telles que le hameçonnage. »

Vous pouvez télécharger gratuitement tous les résultats du sondage via le lien : www.cyberark.com/ThreatSurvey2015

Android, Cybersécurité, Logiciels, Mise à jour, Patch, Smartphone, Social engineering

Mp3 et Mp4 dangereux pour Android

Deux nouvelles failles découvertes dans Android pourraient malmener téléphones et tablettes via la lecture de Mp3 et Mp4 modifiés.

La société Zimperium mobile Threat Protection avait découvert, en avril 2015, un problème de sécurité dans la bibliothèque Stagefright sous Android. Joshua J. Drake, responsable des recherches a poursuivi son étude sur le traitement des médias par Android. Son enquête sur les attaques à distance l’a conduit à une nouvelle découverte.

Stagefright 2.0 est un ensemble de deux vulnérabilités qui se manifestent lors du traitement de fichiers MP3, ou de fichier vidéo MP4. La première vulnérabilité impacte presque chaque appareil Android depuis la version 1.0 sortie en 2008. Des méthodes pour déclencher la 1ére vulnérabilité avaient été découvertes pour Android version 5.0 en exploitant la seconde faille.

Google a notifié la faille CVE-2015-6602 et a indiqué qu’elle serait corrigée la semaine prochaine. « Nous prévoyons de partager des informations pour cette deuxième vulnérabilité dès que possible » souligne Zimperium.

La faille touche le traitement des fichiers MP3 et/ou MP4 spécialement conçus par un pirate, pouvant entraîner l’exécution d’un code arbitraire, comme le téléchargement d’un logiciel espion…

Argent, Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Piratage, Social engineering

Nouveau piratage chez un important courtier

Le courtier américain FXCM vient d’avouer le piratage de son informatique. Le pirate aurait orchestré des transferts d’argent appartenant à des clients.

FXCM, un spécialiste des opérations de changes a confirmé jeudi le piratage informatique de ses serveurs. Le pirate en a profité pour faire des transactions avec l’argent de certains clients du courtier américain. « FXCM a identifié un petit nombre de transferts non autorisés depuis les comptes de ses clients » indique le courrier envoyé au département de la justice américaine.

Tout a débuté par un chantage numérique. Le pirate a écrit à FXCM indiquant avoir eu accès à des informations sensibles appartenant à ses clients. Il a été conseillé à ces derniers de changer leur mot de passe.

L’OCDE, l’Organisation de Coopération et de Développement Economiques, a appelé ce jeudi les patrons d’entreprises à traiter les risques liés à la sécurité informatique comme un risque économique. Pour preuve, FXCM a perdu le quart de sa valeur après l’annonce de ce piratage. (WSJ)

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Mise à jour, Patch, Piratage, ransomware

Le botnet XOR DDoS lance une vingtaine d’attaques par jour

Le nouvel avis d’alerte établit le profil de plusieurs campagnes d’attaques récentes lancées à partir du botnet XOR DDoS. Le botnet XOR DDoS s’est perfectionné, et est à présent capable de déclencher des méga-attaques DDoS à plus de 150 Gbit/s. 90 % des attaques par déni de service distribué, exécutées par le botnet XOR DDoS, ont ciblé des organisations en Asie.

Akamai Technologies, Inc, leader mondial des services de réseau de diffusion de contenu (CDN), publie une nouvelle alerte de cybersécurité faisant état d’une menace révélée par son pôle SIRT (Security Intelligence Response Team). Des pirates informatiques ont créé un botnet capable de mener des campagnes d’attaques par déni de service distribué (DDoS) à plus de 150 Gbit/s au moyen du malware XOR DDoS, un cheval de Troie servant à détourner des systèmes sous Linux.

Qu’est-ce que XOR DDoS ?

Le malware XOR DDoS est un cheval de Troie qui infecte les systèmes Linux, en leur demandant de lancer des attaques DDoS sur demande, pilotées par un pirate à distance. Au départ, le pirate s’empare d’une machine Linux via des attaques par force brute pour découvrir le mot de passe donnant accès aux services SSH (Secure Shell). Une fois cet identifiant obtenu, il se sert des privilèges « root » pour exécuter un script shell Bash qui télécharge et lance le binaire malveillant.

« En un an, le botnet XOR DDoS s’est perfectionné et peut désormais être utilisé pour lancer de gigantesques attaques DDoS », souligne Stuart Scholly, à DataSecurityBreach.fr, vice-président et directeur général de la division Sécurité d’Akamai. « XOR DDoS illustre parfaitement le changement de tactique des pirates qui créent des botnets à partir de systèmes Linux infectés pour lancer des attaques DDoS. Ce phénomène se produit beaucoup plus fréquemment qu’auparavant, lorsque les machines sous Windows étaient les principales cibles des malwares DDoS. »

Attaques par déni de service XOR DDoS

Les travaux du pôle SIRT d’Akamai ont établi que la bande passante des attaques DDoS, déclenchées par le réseau de machines zombies XOR DDoS, était variable, se situant entre moins de 10 Gbit/s et plus de 150 Gbit/s, soit un volume d’attaques extrêmement conséquent. Le secteur des jeux a été le plus souvent ciblé, talonné par l’éducation. Ce botnet attaque jusqu’à 20 cibles par jour, situées pour 90 % d’entre elles en Asie. Le profil de plusieurs des attaques de sa provenance, neutralisées par Akamai, correspond à celles documentées en date des 22 et 23 août dans l’avis. L’une d’elles a frôlé 179 Gbit/s, tandis que l’autre avoisinait 109 Gbit/s. Deux vecteurs d’attaques ont été observés : SYN- et DNS-floods.

Si l’adresse IP du bot est parfois usurpée, elle ne l’est pas systématiquement. Les attaques observées dans le cadre des campagnes DDoS menées à l’encontre des clients d’Akamai, étaient un mélange de trafic usurpé et non-usurpé. Les adresses IP usurpées sont générées de façon à ce qu’elles semblent émaner du même espace d’adressage (blocs /24 ou /16) que celles de l’hôte infecté. Une technique d’usurpation, consistant à modifier uniquement le troisième ou le quatrième octet de l’adresse IP, empêche les fournisseurs d’accès à Internet (FAI) de bloquer le trafic usurpé sur les réseaux protégés par le mécanisme uRPF (Unicast Reverse Path Forwarding) de vérification du chemin inverse.

Neutralisation des attaques XOR DDoS

Des caractéristiques statiques identifiables ont été observées, notamment la valeur TTL de départ, la taille de fenêtre TCP et les options d’en-tête TCP. Ces signatures de charge utile peuvent contribuer à la neutralisation des attaques par déni de service distribué. Elles sont consultables dans l’avis d’alerte. Par ailleurs, des filtres tcpdump sont prévus pour faire face au trafic d’attaques SYN-flood généré par ce botnet.

Détection et éradication du malware XOR DDoS

La présence du botnet XOR DDoS peut être détectée de deux manières. Sur un réseau, il faut repérer les communications entre un bot, ou zombie, et son canal de commande et contrôle (C2) en faisant appel à la règle Snort exposée dans l’avis. Sur un hôte Linux, il faut se servir de la règle YARA qui opère une mise en correspondance des chaînes relevées dans le binaire.

Le malware XOR DDoS est persistant : il exécute des processus qui réinstalleront les fichiers malveillants même s’ils sont supprimés. Par conséquent, son éradication relève d’un processus en quatre étapes pour lesquels plusieurs scripts sont spécifiés dans l’avis :

Localiser des fichiers malveillants dans deux répertoires.
Identifier des processus qui favorisent la persistance du phénomène.
Eradiquer les processus malveillants.
Supprimer les fichiers malveillants.

Akamai continue à surveiller les campagnes exploitant régulièrement le malware XOR DDoS pour déclencher des attaques par déni de service distribué. Pour en savoir plus sur cette menace, sur la suppression de ce malware et sur les techniques de neutralisation DDoS, un exemplaire gratuit de l’avis est téléchargeable à l’adresse www.stateoftheinternet.com/xorddos.

Chiffrement, cryptage, Cybersécurité, VPN

PureVPN propose une solution pour la France

L’éditeur de solution VPN PureVPN vient de sortir une solution pour la France.

PureVPN, un service VPN qui s’annonce comme le plus rapide du monde. Un million d’utilisateurs de part le monde. Depuis 2007, PureVPN fournit une connexion VPN ultra sécurisée AES-256-bits de classe mondiale pour votre sécurité et votre confidentialité en ligne. Lorsque vous vous connectez à PureVPN, votre connexion internet et les appareils utilisant internet sont protégés de toutes les brèches de sécurité et de confidentialité en ligne. Les sites, forums… qui vous reçoivent ne voient pas votre IP, mais l’une des 80.000 adresses que propose PureVPN via ses applications (elles tournent sous Android, iOS, Windows…) et plus de 500 serveurs installés dans 121 pays, dont 249 en Europe, 34 en Océanie, 80 en Asie.

Que vous soyez d’avides voyageurs ou des expatriés vivant à l’étranger, le réseau autogéré et sécurisé de PureVPN vous donne la possibilité de vous connecter à n’importe quel hot spot Wi-Fi de façon sécurisée et d’accéder à tout type de contenu grâce à notre réseau VPN global. Côté prix, de 4.16 $ à 9.95$ par mois, selon la durée. Plusieurs options payantes sont proposées, ce qui alourdi la facture comme le firewall NAT, l’ip dédiée ou encore la protection DDoS.