Archives mensuelles : novembre 2016

Base de données, Entreprise, Fuite de données, Logiciels, Microsoft

Data Recovery Wizard : outil de récupération de données

Vous avez effacé par erreur un fichier, une vidéo ? L’outil de récupération de données Data Recovery Wizard d’EaseUs va vous permettre de récupérer vos données perdues.

Vous avez égaré vidéos, photos ! Vous avez effacé par mégarde ce précieux tableau Excel si longuement travaillé ? Un formatage d’une clé USB, de votre carte SD un peu trop rapidement ? Pas d’inquiétude, voici venir un outil facile d’utilisation qui devrait vous permettre de retrouver votre bien. La société EaseUS propose « Data Recovery Wizard » un logiciel de récupération de données qui offre la possibilité de remettre la main sur le fameux documents envolés. Data Recovery Wizard est notre premier test d’une longue série. Cet outil sera capable de récupérer vos données supprimées, formatées et inaccessibles. Quatre versions de DRW sont proposés. La version gratuite offre la possibilité de retrouver jusqu’à 500Mo d’informations [1,5Go de plus en partageant sur Facebook, Twitter et Google+].

Les versions PRO, WINPe et Techniciens font la même chose, mais en quantité de données repêchées illimitée. La version « Data Recovery Wizard Pro + WinPE » est commercialisée 95€. Elle permet aussi de récupérer les données même lorsque le système ne démarre plus.

Pas à pas

L’utilisation de « Data Recovery Wizard » est facile. L’espace de travail est ergonomique. Après avoir téléchargé et installé l’outil [15Mo] vous sélectionner le type de fichier que vous souhaitez récupérer : photos [BMP, JPG, PNG, …] ; documents [Word, Excel, PDF, TXT, …] ; vidéo, mails, audio…

Vous sélectionnez l’emplacement à analyser et le tour est joué. Dans ma démonstration, l’outil a été capable de me ressortir, d’une clé USB, des images datant de 2008. Parallèlement, Data Recovery Wizard peut
s’attaquer aux fichiers perdus dans un téléphone Android, iPhone, …

Bref, vous cherchiez un couteau Suisse pour vous permettre de retrouver vos biens numériques perdus, Data Recovery Wizard d’EasUs devrait parfaitement vous satisfaire.

Effectuer des tests réguliers

L’élaboration d’une stratégie et le déploiement d’une technologie de récupération des données comme Data Recovery Wizard constitue un bon départ. Elle pourra vous sauver en cas de besoin de récupération de données en cas de ransomware, incident, effacement et autre formatage… Il faut cependant aller plus loin pour véritablement se protéger. Pour s’assurer que la stratégie de récupération en cas de désastre fonctionne avec les outils choisis, il faut aussi procéder régulièrement à des essais, des tests qui permettront de vérifier le plan de sauvegarde, et l’utilisation efficace d’un tel logiciel de récupération de données. Les tests permettent de s’assurer que le plan fonctionne toujours parfaitement, même en cas d’ajout de nouveaux éléments au sein du réseau, de votre ordinateur et autres supports de sauvegarde.

Planifier et se documenter

Se préparer à un sinistre éventuel consiste tout d’abord à accepter pleinement le fait qu’un désastre peut se produire. Il faut pour cela visualiser les désastres potentiels, qu’il s’agisse d’un incendie détruisant le centre de traitement des données ou d’une panne d’un serveur hébergeant des données critiques. La première étape est donc de préparer des plans de restauration des données spécifiques pour chaque scénario, et de documenter chaque étape nécessaire. Cela représente un investissement de temps, mais le temps passé à planifier maintenant peut sauver l’entreprise de la faillite plus tard.

Argent, Arnaque, Banque, Cybersécurité, escroquerie, Particuliers

Cybercriminalité nigériane

L’Unité 42 publie sa dernière étude en date consacrée à la cybercriminalité nigériane. Une analyse appliquées à une série de 8 400 échantillons de malwares.

L’Unité 42 publie ce jour sa dernière étude en date consacrée à la cybercriminalité nigériane. Ses analyses évoluées, appliquées à une série de 8 400 échantillons de malwares, ont permis d’attribuer à une centaine d’acteurs ou de groupes distincts plus de 500 domaines hébergeant l’activité de logiciels malveillants. Par son étendue et sa consistance, cette étude pose un diagnostic actuel et très complet, centré sur la menace collective et non sur tel ou tel acteur.

Globalement, nous avons observé que les acteurs nigérians ont évolué depuis leurs escroqueries classiques par e-mail, de type fraude 419. Les attaques de malwares sont en constante progression depuis deux ans : représentant moins d’une centaine de cas en juillet 2014, elles se développent aujourd’hui au rythme de 5 000 à 8 000 par mois. Ces attaques, loin d’être dirigées contre des catégories de victimes bien précises, couvrent les principaux marchés verticaux et ciblent davantage les entreprises que les particuliers. Passés maîtres dans le maniement de logiciels malveillants qui se sont banalisés, les acteurs en question ont extorqué des dizaines de milliers, voire des millions de dollars aux entreprises qu’elles ont choisi pour victimes, rien que pour la seule année dernière. Au vu des données recueillies, nous estimons que les évaluations rétrospectives concernant cette menace méritent d’être revues car ces acteurs ont aujourd’hui prouvé qu’ils constituent une réelle menace pour les entreprises et les administrations du monde entier.

L’étude expose en détail les phases successives de la cybercriminalité nigériane, aborde les tactiques employées, et permet de mieux comprendre la façon dont la menace a évolué par sa dimension, son périmètre, sa complexité et son savoir-faire technique au cours des deux dernières années. Elle analyse également les aspects ci-après :

Profils des acteurs
L’analyse des acteurs révèle avant tout qu’ils sont instruits. Nombre d’entre eux ont fréquenté des établissements d’enseignement secondaire et possèdent une licence dans une discipline technique. Pour ce qui est de leur classe d’âge, elle se situe entre la fin de l’adolescence et 45 ans environ ; plusieurs générations sont donc concernées. Concrètement, des acteurs d’un certain âge, versés dans les arnaques classiques de type fraude 419 et l’ingénierie sociale, côtoient donc des plus jeunes qui, eux, sont incollables sur les malwares. Et surtout, ces acteurs parfaitement organisés se servent des réseaux sociaux pour communiquer, coordonner et partager leurs outils et techniques.

Préjudices financiers
Les préjudices causés par ces acteurs ont des répercussions significatives sur les entreprises aux quatre coins du monde. En 2015, un rapport annuel publié par l’IC3 (Internet Cyber Crime Center), dépendant du FBI, recensait 30 855 victimes d’escroqueries « classiques » de type fraude 419/remboursement d’un trop-perçu, pour un préjudice total de plus de 49 millions de dollars. Bien que ce montant soit conséquent, le 1er août 2016, Interpol annonçait l’arrestation d’un acteur nigérian apparemment à l’origine d’un détournement de plus de 60 millions de dollars au total, dont plus de 15,4 millions de dollars au préjudice d’une seule entreprise.

Techniques
Les arnaques au président, ou escroqueries aux faux ordres de virement (Business Email Compromise, BEC) et les usurpations d’e-mails d’entreprises (Business Email Spoofing, BES) sont deux techniques qui sont, depuis peu, très en vogue chez ces acteurs. Les domaines visant à imiter des entreprises légitimes, les « crypteurs » utilisés pour dissimuler des malwares ainsi que d’autres méthodes leur permettent de s’introduire sur le réseau d’une victime. Une fois dans la place, l’ingénierie sociale sert à duper les victimes en les convaincant d’effectuer un virement bancaire à un tiers pour obéir à un prétendu ordre d’un dirigeant.

Chiffrement, cryptage, Cybersécurité, Entreprise, ransomware

Ransomware : la menace prend son envol

Aux États-Unis, le FBI a récemment publié un rapport affirmant que les victimes de ransomware auraient réglé plus de 209 millions de dollars sur le seul 1er trimestre 2016, contre 24 millions de dollars sur l’ensemble de 2015. Les chiffres s’envolent et le ransomware est rapidement devenu un logiciel malveillant à la mode ciblant de nombreux pays et profils d’utilisateurs. Le racket qui en découle est malheureusement une réalité de tous les jours pour nombre de victimes.

Le ransomware n’est guère nouveau et existe, selon certains experts, depuis 1989, avec l’apparition du cheval de troie « AIDS ». Cependant, il faut attendre 2005 pour voir une variante de ce logiciel malveillant utiliser un chiffrement asymétrique pour la première fois. Depuis, le ransomware est devenu une arme de prédilection pour les cybercriminels. Notons que depuis 2013, la généralisation du Bitcoin joue le rôle de catalyseur, en offrant aux cybercriminels le moyen de recevoir des fonds de manière parfaitement anonyme.

Parallèlement, c’est l’utilisation de Tor et de réseaux décentralisés similaires qui rend la tâche plus simple : les cybercriminels déploient des plateformes dédiées à des infections de masse, dans un modèle de type Ransomware-as-a-service (RaaS), et optimisent les gains détournés auprès de leurs victimes (même après redistribution de 20% ou plus des revenus aux affiliés qui participent aux campagnes RaaS). Le ransomware a ainsi évolué au fil du temps, et cette évolution donne certaines perspectives sur le futur de ce malware.

L’omniprésence annoncée des ransomware
Comme mentionné, il existe deux grandes familles de ransomware, mais on note que les différences tendent à s’estomper. À titre d’exemple, un crypto-ransomware récemment identifié empêche, s’il chiffre les données, également d’accéder à certains sites Web à partir du PC infecté, jusqu’au paiement de la rançon.

Le distinguo tend également à s’atténuer alors que les ransomware se veulent compatibles à de nouvelles plateformes, au-delà des PC, à savoir les dispositifs mobiles. Les ransomware ciblent ainsi le système d’exploitation Android, et nous avons identifié des variantes (comme FLocker) qui s’en prennent aux objets connectés comme les Smart TV. FLocker exige une carte cadeau iTunes d’une valeur de $200 avant de permettre au téléspectateur de pouvoir accéder à nouveau à sa TV et ses programmes.

Selon l’analyste Gartner, il y a aura 6,4 milliards d’objets connectés d’ici la fin de 2016, et 21 milliards d’entre eux à l’horizon fin 2020. Le nombre de victimes potentielles s’annonce ainsi considérable !

Le ransomware, à l’image d’une pandémie, évolue et trouve en permanence de nouveaux vecteurs d’infection et d’attaque. De nouvelles variantes apparaissent, toujours plus sophistiquées et réinventant les techniques d’infection. Le souci est que cette évolution ne marque aucun temps d’arrêt.

Pour les familles SamSam et ZCryptor par exemple, nous avons récemment identifié une propension à se propager de manière latérale, au sein du périmètre interne du réseau, reprenant ainsi à leur compte le comportement des vers pour proliférer sur un réseau.

Il faut dire que l’évolution du ransomware est, à vrai dire, plutôt proche de la théorie de Darwin sur le sujet ! Ainsi, un ransomware qui s’étend à partir d’une seule machine peut être vu comme un arthropode primaire qui émerge de la mer pour la première fois. Cette étape majeure est en réalité intervenue il n’y a que quelques mois, ce qui nous amène à nous interroger : mais comment le ransomware peut-il évoluer si rapidement ?!

En premier lieu, les victimes sont nombreuses à régler la rançon demandée (près d’un tiers des Français se disent prêt à payer cette rançon), ce qui encourage les cybercriminels à poursuivre leurs exactions et capitaliser sur un business toujours plus lucratif. Sans rentrer dans le débat de savoir s’il faut payer ou non, la récupération de certaines données critiques chiffrées plaide parfois en faveur de ce paiement. Mais attention, ce règlement n’est pas une garantie de pouvoir récupérer ses données. La valeur du Bitcoin étant particulièrement volatile, il semblerait, selon certains rapports, que des entreprises se soient procurées des bitcoins pour se préparer à une possible infection par ransomware. Il est intéressant de constater que la demande de bitcoins est à la hausse, avec un taux de change qui a presque doublé au cours des trois derniers mois, pour atteindre 768 dollars.

On imagine que les auteurs de ransomware gèrent leur business à l’image d’une entreprise classique, réinvestissant une part conséquente de leurs fonds détournés dans la recherche et développement. À l’instar d’un éditeur de logiciel, on imagine qu’ils disposent de chefs de projets, d’une roadmap produit et d’ingénieurs capables de restaurer les bugs ou d’enrichir le panel fonctionnel de leur ransomware.

Quelles sont les perspectives ?
Le ransomware est devenu tellement omniprésent qu’on peut s’interroger sur sa marge de progression. Et pourtant, de nouveaux territoires d’infection sont à envisager…

  • Systèmes de contrôle industriels / SCADA

Il reste encore un univers qui est, pour l’instant, à l’abri du ransomware : les systèmes de contrôle industriels au sein des environnements de production : usine chimique, centrales nucléaires, centrales électriques, etc. Ces systèmes sont pourtant des proies idéales pour le ransomware.

Aucune information, tout du moins publique, ne permet à ce jour de conclure à l’existence de cas d’infection au sein des environnements industriels. Cependant, la question est légitime car toute stratégie de sécurité est susceptible de présenter des lacunes…

Ces systèmes industriels sont peu protégés et plutôt fragiles. C’est un fait connu. Certaines variantes actuelles de ransomware pourraient donc se contenter de frapper à la bonne porte, ce qui laisse penser qu’il est probable que la menace émergera tôt ou tard au sein de ces environnements industriels. Nous constatons déjà que le ransomware cible certains profils de victimes, comme les acteurs de soins de santé, qui doivent s’acquitter d’une rançon élevée car nombre de ces acteurs ont déjà accepté, dans le passé, de payer la rançon. Quid des gouvernements ? Seraient–ils prêts à céder au chantage pour prévenir toute problématique au sein d’une centrale nucléaire ?

C’est pour répondre à ces défis que Fortinet a imaginé son architecture ISFW (Internal Segmentation Firewall) qui empêche les assaillants de se mouvoir latéralement au sein des réseaux industriels ou d’entreprise.

  • CLOUD

Face à un ransomware qui prolifère presque à sa guise, quelles sont les perspectives ?

Compte tenu de son historique, on imagine facilement que le ransomware continuera à proliférer. Car pour survivre et se développer, le ransomware suit les données où qu’elles se trouvent. Les données migrent vers le cloud, qui devient ainsi un terrain particulièrement fertile pour les ransomware.

Apple a récemment annoncé que son service gratuit icloud passait de 20 à 150 Go de stockage, faisant du stockage de données privées et personnelles dans le cloud la nouvelle norme. Les cybercriminels pourraient tirer parti d’une API pour chiffrer des données stockées en ligne. Car, après tout, le Cloud repose sur des systèmes appartenant à une personne ou entité.

Plus que jamais, il est essentiel que des sauvegardes soient réalisées de manière régulière, quelle que soit la plateforme cloud utilisée. Pour mieux accompagner les organisations, Fortinet étudie en permanence les menaces liées au ransomware et repense les approches capables de neutraliser les nouveaux vecteurs et variantes. Nous renforçons notre capacité à détecter et neutraliser les menaces, et à concevoir des mesures de rétorsion en se focalisant sur des nouveaux modèles de prévention.

  • LES HUMAINS

Sans verser dans la science-fiction, on est néanmoins en droit de s’interroger : compte tenu des risques associés à l’Internet des Objets, est-il possible le fait que le ransomware passe un jour du monde numérique vers nos systèmes biologiques ?

Que se passerait-il si un ransomware vous empêchait d’utiliser votre prothèse de bras ou vos dispositifs et implants médicaux (pacemaker par exemple ?). Ces risques ne doivent pas être écartés !

Fort heureusement, il s’agit encore à ce jour de spéculation, mais, pour autant, sommes-nous si loin de la réalité ? La science-fiction a nourri nombre de nos inventions … L’évolution étant un processus permanent, nous pouvons nous attendre à l’émergence de nouveaux vecteurs et cibles. Et si, demain, les ransomware implantaient des modules de contrôle au sein de votre voiture sans conducteur, venaient perturber une opération chirurgicale assistée par robot ou vous empêchaient d’accéder à votre propre maison connectée ? Et que dire des dispositifs infectés capables de déployer et gérer d’autres dispositifs ? Sommes-nous vraiment si éloignés d’une situation, aujourd’hui encore fictive, avec des machines qui prendrait le contrôle sur les humains ? Nous sommes particulièrement enthousiastes face aux promesses que nous dévoile le futur. Mais nous devons être encore plus enthousiastes à protéger ce monde à venir. (Par David Maciejak, expert sécurité chez Fortinet)

Biométrie, Chiffrement, cryptage, Cybersécurité, double authentification, Entreprise, IOT

Biométrie : pourquoi les états freinent leur usage alors que les consommateurs l’acceptent ?

Les fabricants d’appareils numériques intègrent de plus en plus de de systèmes de contrôle biométrique, que ce soit des capteurs d’empreintes digitales ou même un scanner d’iris. L’usage de la biométrie représente-t-elle une révolution ? Pas si sûr. Ces lancements et son acceptation par les consommateurs sont révélateurs d’une nouvelle façon de percevoir et d’adopter des technologies qui suscitaient traditionnellement des réticences voire des craintes.

La biométrie, déjà dans toutes les poches Si les Français considéraient la reconnaissance d’empreintes digitales comme une technologie réservée à la police, les initiatives de sécurité biométrique des géants de l’informatique, telle que la généralisation des capteurs d’empreintes et l’annonce de l’arrivée d’un scanner d’iris sur les prochains téléphones de Samsung, illustrent la démocratisation et la banalisation de la biométrie dans les produits grand public. Idriss Aberkane, professeur à Centrale Supélec et chercheur à Polytechnique, a bien résumé le parcours que traverse une innovation avant d’être acceptée par l’opinion commune : elle est tout d’abord considérée comme ridicule, puis dangereuse, avant d’aller de soi. Il semblerait donc que la biométrie appliquée aux usages quotidiens ait atteint cette dernière phase.

Apple Pay utilise la reconnaissance d’empreintes digitales qui équipe les nouvelles générations de smartphones et sert notamment à déverrouiller l’appareil sans saisir de code. Sont également concernés les achats en ligne effectués dans un cadre limité comme iTunes ou l’AppleStore. L’utilisation généralisée en magasin est prévue pour dans quelques mois. La biométrie est donc dans toutes les poches, et ce pour des usages de plus en plus fréquents et basiques. À l’instar des données personnelles qui alimentent les big data, les empreintes digitales deviennent des éléments d’identification que nous partageons de plus en plus facilement dans notre quotidien.

Du moment qu’un service leur est utile, les utilisateurs de smartphones se préoccupent finalement assez peu de l’usage qui est ou pourrait être faite de leurs empreintes digitales et des traces qu’ils sont amenés à laisser via une puce NFC.

Les Français favorables au contrôle et à la traçabilité pour la sécurité des biens et des personnes
Pourtant, et malgré les menaces qui pèsent aujourd’hui sur la sécurité de notre pays et de ses habitants, des réticences tenaces continuent de freiner l’utilisation de ces technologies pourtant susceptibles de faciliter grandement la recherche des individus dangereux présents dans les fichiers sensibles des états. Alors que des solutions très performantes intégrant toutes ces technologies sont aujourd’hui disponibles et susceptibles d’apporter une aide précieuse aux policiers en charge des contrôles aux frontières ou inopinés, certains chantres des libertés fondamentales continuent de rejeter l’utilisation des empreintes digitales considères comme faisant partie du patrimoine privé des individus, fussent ils de dangereux terroristes potentiels.

Cette attitude va à l’encontre d’une récente enquête réalisée par OpinonWay pour le compte de Coppernic qui révèle que la plupart des Français (76%) sont favorables aux dispositifs de contrôle utilisant les capteurs d’empreintes digitales. Plus généralement, cette enquête démontre que, face à la menace terroriste et à la montée de la violence dans la société, beaucoup de citoyens sont prêts à « sacrifier » une partie de leurs libertés individuelles pour améliorer la sécurité de leus proches et de leurs biens. Il ne s’agit pas de sombrer dans la psychose sécuritaire, mais au contraire d’en revenir aux fondements du contrat social : les instances régaliennes de l’Etat assurent la protection des individus, en échange d’une part de contrôle.

La technologie sera d’autant mieux acceptée qu’elle a une visée positive, d’autant plus qu’elle peut facilement susciter des inquiétudes. On l’a vu lors des débats relatif à la loi Renseignement l’année dernière : le fantasme de Big Brother n’est jamais loin. Pour s’en prémunir, la pédagogie est de mise. Il est primordial d’être transparent tant sur les ressorts de la technologie que sur l’utilisation des données. C’est à ces conditions seulement que les innovations seront considérées comme socialement acceptables et opérationnellement efficaces. (Par Jacky Lecuivre, Président Directeur Général de Coppernic)

Base de données, BYOD, Chiffrement, Cloud, Cyber-attaque, Cybersécurité, Entreprise, IOT, Leak, Mise à jour, Patch, Piratage

Une enquête révèle les stratégies de cybersécurité des entreprises

Un commentaire
Selon une nouvelle étude, le Cloud et les vulnérabilités systèmes sont les deux plus grandes préoccupations des décisionnaires IT. Un veille décisionnelle sur les menaces, une prise en charge plus rapide des incidents et un recours aux services de sécurité managés comptent parmi les orientations stratégiques de ces décideurs.

L’enquête indépendante souligne l’urgence pour les grandes entreprises de la région EMEA, tous secteurs d’activité confondus, de passer à une cybersécurité de bout en bout, basée sur une veille décisionnelle sur les menaces, pour ainsi relever les défis liés au digital. Les entreprises doivent réagir plus rapidement et efficacement aux problématiques de sécurité en investissant dans des architectures de cybersécurité adaptatives et adaptées à un réseau décloisonné.

48 % des personnes interrogées sur la région EMEA et 60% des entreprises françaises jugent que la meilleure réponse à la multiplication des incidents de sécurité est d’investir dans des technologies de cybersécurité qui assurent une protection à chaque étape du cycle de vie d’une menace. Les deux plus grandes préoccupations des décisionnaires portent sur la sécurité du cloud et la maîtrise des vulnérabilités des systèmes IT. Sécurité du cloud : une problématique pour 53 % des personnes interrogées sur la région EMEA, allant jusqu’à 61% en Espagne (le taux le plus élevé) et 57% en France
.Protection contre les vulnérabilités systèmes : une problématique pour 53% des répondants sur la région, 47% en France et qui grimpe à 59 % en Italie.

Cependant, nombre des répondants voient dans cette recrudescence des menaces et risques de sécurité l’occasion d’externaliser leur cybersécurité auprès d’un fournisseur de services managés. Globalement, l’étude montre que dans les 3 à 5 ans à venir, 44% des organisations sur la région EMEA (43% en France) opteraient pour cette externalisation. En France, cette adoption est de 9%.

Vers une architecture de sécurité performante et une veille décisionnelle sur les menaces
L’enquête s’est intéressée aux victimes de cyber-attaques pour illustrer comment les infrastructures de sécurité actuelles peinent à s’adapter aux réalités d’un monde toujours plus digital. Sur les 52% des décisionnaires EMEA (42% en France) qui indiquent avoir subi un piratage informatique au cours de l’année dernière, seuls 16% (14% en France) s’en sont rendus compte dans les minutes ayant suivi l’exaction. En Espagne, les personnes interrogées victimes d’une une attaque récente ne sont que 11% à avoir pu l’identifier dans un tel délai.

Dans certains secteurs, comme les soins de santé, 50% des répondants EMEA déclarent qu’il s’est écoulé plusieurs jours, mois, voire années avant d’identifier l’incident. L’identification et la prise en charge des menaces, lentes et peu efficaces, se révèlent particulièrement coûteuses pour les entreprises victimes, en termes de données perdues, de systèmes piratés et de réputation ternie.

L’enquête montre que pour maîtriser ces risques et mieux protéger leurs organisations, la première des actions prises par les décisionnaires informatiques est de déployer des technologies de détection de menaces (17% sur la région EMEA et 14% en France). Vient ensuite la mise en place de services de sécurité fournis à partir du cloud (12% sur la région EMEA et 7% en France). Ces fonctionnalités doivent être associées à des services de veille décisionnelle sur les menaces (9% sur la région EMEA et 14% en France).

Pour les répondants, la veille sur les menaces renforce la prévention des attaques (43% d’entre eux le déclarent sur la région EMEA, 40% en France). Elle améliore aussi la stratégie de sécurité de l’information (38% sur la région EMEA et 43% en France) et la détection des menaces (35% sur la région EMEA, 40% en France).

Concernant l’application des nouvelles fonctionnalités de veille (périmètre, modalités) 35% des personnes interrogées sur la région EMEA et 33% en France indiquent disposer d’une équipe interne dédiée à la prise en charge des incidents et qui supervise l’ensemble des activités de sécurité. Le chiffre n’est que de 26% en Italie contre 42% en Allemagne. Cependant, 26% du panel EMEA et français déclare externaliser leur veille sur les menaces auprès d’un fournisseur de services managés. Ce chiffre ressort à 22% en Espagne et à 31% au Royaume-Uni.

Hacking

Un pirate russe recherché par le gouvernement Américain arrêté à Prague

Le pirate informatique du réseau Linkedin, en 2012, aurait été arrêté à Prague. Il serait aussi à l’origine des attaques informatiques à l’encontre de la Convention Nationale Démocrate.

Tiens donc ! Elle est ou cette super mega armée de pirates informatiques, à la solde de la Russie, s’attaquant à l’informatique de l’Oncle Sam. A première vue, et comme dans la majorité des cas, cette cyber armée est forte… de quelques adolescents. Dans la nuit du 18 octobre dernier, un pirate informatique russe a été arrêté à Prague par la police tchèque.

Une arrestation en coopération avec le FBI, le Federal Bureau of Investigation. Le suspect serait impliqué dans les cyber-attaques menées contre des cibles aux États-Unis, et notamment dans les hacks de la Convention Nationale Démocrate. L’individu est également soupçonné d’être responsable des attaques massives contre le réseau social professionnel LinkedIn en 2012. « Même les pirates de renom font des erreurs, et il est parfois possible pour les autorités de les pister jusqu’à leur adresse IP d’origine. Puisque ce pirate informatique était prétendument impliqué dans une série d’attaques sur des systèmes de base de données électorales en Arizona et dans l’Illinois plus tôt cette année, il aurait pu être suivi à travers les journaux d’accès aux serveurs. » indique l’un des enquêteurs.

Si les pirates ont utilisé un proxy dans l’attaque, les autorités auraient pu collaborer avec les victimes propriétaires des ordinateurs hébergeant ce serveur mandataire, et obtenir ainsi l’accès aux informations qui y étaient stockées. Par ailleurs, après avoir déterminé l’adresse IP du pirate, les autorités auraient pu également demander au fournisseur de service internet le nom de l’utilisateur. Puis, une fois le suspect transféré dans un pays coopérant avec le gouvernement Américain, les autorités locales auraient été en mesure d’arrêter le pirate. (Michal Salat, Directeur du Service de Renseignements sur les Menaces Informatiques chez Avast)

Bitcoin, Chiffrement, Cyber-attaque, Cybersécurité, Piratage

Un ransomware écrit en GO

Le langage GO de Google voit débarquer son premier code malveillant. Un ransomware qui chiffre votre disque dur et vérifie votre solde en bitcoins.

Les ransomwares, il y en a pour tous les goûts, toutes les bourses. DrWeb, éditeur de solutions de sécurité informatique vient de mettre la main sur une nouvelle version de ce type de logiciel malveillant. Baptisé Trojan.Encoder.6491, ce logiciel de rançonnage agit comme ses cousins, il chiffre les disques durs et demande de l’argent en échange du déchiffrement. Dans le cas de Trojan.Encoder.6491, 25 dollars à payer en Bitcoin. Originalité de cette attaque ?

Trojan.Encoder.6491 est codé en GO, le langage de programmation de Google. A son lancement, Trojan.Encoder.6491 s’installe dans le système sous le nom de Windows_Security.exe.

Puis le Trojan se met à chiffrer les fichiers, comme un ransomware de base, se trouvant sur les disques avec l’algorithme AES. Ce microbe chiffre 140 types de fichiers différents (.doc, .jpg, etc.). Ce logiciel pirate contrôle le solde du portefeuille Bitcoin de la victime pour s’assurer du transfert de l’argent. Le virement constaté, le ransomware déchiffre automatiquement les fichiers pris en otage.

Communiqué de presse, Hacking

DNS et GDPR, ou quand sécurité et réglementation se retrouvent

3 commentaires
Le nouveau GDPR (Règlement général sur la protection des données) est un règlement de l’Union européenne qui vise à renforcer la protection des données dans tous les Etats membres de l’UE, en remplacement de la Directive 95/46/CE de 1995.

Ce règlement – contrairement à une directive – n’a pas besoin d’être légiféré pour être adopté par les gouvernements. Plus important encore, il ne se limite pas à l’Union européenne – toutes les organisations non-UE qui partagent les données personnelles des citoyens européens sont également couvertes par la nouvelle loi. Cela inclut presque toutes les organisations ayant des clients, fournisseurs ou employés dans l’UE.

Quelles sont les mesures à mettre en place ?
En vertu de la nouvelle loi, adoptée par le Conseil de l’UE et le Parlement le 14 avril 2016, les organisations européennes seront tenues d’appliquer de nouvelles mesures, y compris des évaluations d’impact sur la protection des données, des normes de sécurité extrêmement exigeantes ou la mise en œuvre de politiques de confidentialité appropriées. Beaucoup seront tenues de nommer un délégué à la protection des données, et les ‘Processeurs de données’ et ‘Contrôleurs de données’ devront garder une trace de toutes les activités de traitement de données dans leurs entreprises.

Les ingénieurs impliqués dans la plupart des projets technologiques au sein de l’Union européenne devront se conformer dès la conception à une démarche de sécurité et de respect de la vie privée. Cela suppose que la confidentialité des données soit conforme aux plus hautes exigences. Quant aux paramètres de protection des données, ils devront être insérés dans tous les processus de gestion à un niveau élevé et par défaut. La sécurité des données jouera un rôle encore plus critique et devra être assurée de bas en haut. Cela comprend notamment la couche de DNS.

Les architectures de réseau devront décourager le détournement de DNS et l’utilisation des DNS pour l’exfiltration de données. Les principales difficultés ici ne concernent ni les hacktivistes ni les logiciels malveillants cherchant à vandaliser les systèmes, mais les attaquants sophistiqués qui savent quelles données spécifiques ils visent à exfiltrer.

Des conséquences déplorables en cas de non-conformité et d’attaques
Le GDPR impose une règle générale de notification de violation des données, et les organisations tous secteurs d’activité confondus devront suivre certaines procédures spécifiques si un tel événement se produit. Les Contrôleurs de Données n’auront que 72 heures pour informer les autorités compétentes de ce qui s’est produit et des volumes de données concernées. Dans le pire des cas, les organisations devront également informer le public de la violation ou vol de données, ce qui aura inévitablement des retombées négatives sur leur réputation.

Personne ne peut se permettre d’ignorer le GDPR. Ce règlement entrera en vigueur le 25 mai 2018, ce qui signifie que les organisations (et peut-être la vôtre !) ont moins de deux ans pour s’y conformer ; un délai relativement court au vu des différentes étapes préparatoires à suivre. De lourdes sanctions et des amendes élevées sont prévues en cas de perte de données : elles pourront en effet atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.

Il est maintenant temps de commencer à construire une infrastructure conforme au GDPR, qui assure la sécurité et le respect de la vie privée des données. Le fait de fournir une sécurité suffisante au niveau du DNS peut permettre aux entreprises de réaliser d’énormes économies et d’éviter les poursuites inutiles. Mais l’évitement des coûts ne doit pas être la seule motivation pour agir. La confiance des clients, des partenaires et des salariés dans la marque d’une entreprise est cruciale pour protéger l’activité de celle-ci, tant sur le court que sur le long terme.

Le trafic de DNS doit être soigneusement surveillé et analysé pour détecter les tentatives d’exfiltration de données cachées dans le trafic réseau. Les systèmes de filtration DNS qui fonctionnent comme la filtration web, peuvent contrôler la réputation des liens par rapport à une liste noire en temps réel et vérifier automatiquement si la requête DNS est digne de confiance ou si elle peut représenter un risque de vol de données.

La sécurité du DNS est un principe de base de la sécurité et du respect de la vie privée dès la conception d’une architecture. Les organisations désireuses d’être préparées au GDPR doivent se demander si elles ont un plan conforme pour protéger leurs réseaux, leurs données, leurs clients… et leur réputation. (Par Hervé DHELIN, EfficientIP)

Chiffrement, Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Fuite de données, IOT, Mise à jour, Patch, Piratage

Protection du secteur ferroviaire contre les cybermenaces

L’avenir de la cybersécurité dans le secteur ferroviaire sera examiné au prochain Rail Cyber Security Summit (Sommet sur la cybersécurité dans l’industrie ferroviaire) qui se tiendra à Londres en mars 2017.

Désormais à sa deuxième édition, la manifestation qui aura lieu les 14 et 15 mars 2017 à l’hôtel Copthorne Tara Kensington de Londres réunira des professionnels du transport ferroviaire, des leaders mondiaux et du gouvernement spécialisés en cybersécurité et des universitaires du domaine.

La connectivité avancée et la numérisation des systèmes ferroviaires peuvent améliorer grandement l’exploitation du secteur ferroviaire, en assurant une efficacité et une optimisation élevées, en réduisant le bilan carbone tout en offrant de la valeur ajoutée aux propriétaires d’actifs, aux actionnaires et aux passagers. Cependant, ces avancées rendent l’infrastructure ferroviaire vulnérable aux cyberattaques, qu’elles soient provoquées par des menaces internes ou par des logiciels malveillants. Traditionnellement protégé contre ces menaces, le secteur ferroviaire est à l’heure actuelle bien plus vulnérable en raison de l’adoption des capteurs machine à machine, de l’Internet des objets ainsi que de la convergence de l’informatique et des technologies opérationnelles. Par conséquent, la mise en place de mesures de défense est indispensable à sa prospérité.

Avec la participation de conférenciers professionnels, notamment Stephen Cummins (Directeur de la cybersécurité ferroviaire auprès du ministère britannique des Transports), Tom Lee (Directeur adjoint Standards & Professional Responsable du CCS, Rail Standards and Safety Board) et Chris Blask (Directeur, ICS ISAC et Cyber Space Research, Institute Webster University), le sommet abordera des aspects cruciaux de la cybersécurité dans le secteur ferroviaire, dont les suivants :

Les menaces actuelles et futures et la riposte de l’industrie
L’importance de la « Security by Design » (sécurité assurée dès la conception)
Les défis à relier l’informatique et les technologies opérationnelles lors du déploiement d’une architecture axée sur l’entreprise.
Comment favoriser une prise de conscience

James Nesbitt, Fondateur du Cyber Senate, a commenté l’événement en ces termes : « Outre les nombreuses possibilités d’accroître l’efficacité du secteur ferroviaire, la technologie numérique l’a malheureusement rendu vulnérable aux cyberattaques susceptibles d’entraîner de graves conséquences. »

Pour en savoir plus : http://www.railcybersecurity.com

Cyber-attaque, Cybersécurité, Leak, Mise à jour, Patch, Piratage

Les auteurs des menaces, maîtres des faux indices

Les auteurs d’attaques ciblées emploient un éventail de plus en plus vaste de techniques de leurre afin de brouiller les pistes, en implantant dans leur code de « faux drapeaux » (horodatage, chaînes de caractères, malware, etc.) et en opérant sous couvert de groupes fictifs.

Tout le monde souhaite connaître l’identité des groupes qui se cachent derrière les cyberattaques ciblées alors même que la réponse est difficile, sinon impossible, à donner avec précision. Afin de démontrer le niveau croissant de complexité et d’incertitude lié à l’identification des responsables, deux experts de Kaspersky Lab publient un article révélant comment les auteurs des menaces les plus avancées emploient des « faux drapeaux » (des indices falsifiés) pour leurrer leurs victimes et les chercheurs en sécurité.

Voici à cet égard les indicateurs les plus utilisés par les chercheurs pour identifier la provenance des attaques, ainsi que des exemples de leur manipulation par un certain nombre d’auteurs de menaces connues :

Horodatage
Les fichiers malveillants comportent la date et l’heure de leur compilation. Si des échantillons sont recueillis en nombre suffisant, cela peut permettre de déterminer les horaires de travail des développeurs et donc leur fuseau horaire. Or ce type d’horodatage est incroyablement facile à falsifier.

Marqueurs linguistiques
Les fichiers malveillants contiennent souvent des chaînes de caractères et des chemins de débogage susceptibles de fournir des indications sur l’identité des auteurs du code. L’indice le plus évident est la ou les langues utilisées ainsi que le niveau de maîtrise linguistique. Les informations de débogage peuvent également révéler un nom d’utilisateur ou encore les noms internes donnés aux projets ou campagnes. En outre, les documents de phishing peuvent regorger de métadonnées enregistrant des informations de lieux à l’insu de l’auteur et risquant de trahir l’ordinateur utilisé.

Or les auteurs des menaces peuvent aisément manipuler ces marqueurs linguistiques dans le but de leurrer les chercheurs. Par exemple, le malware Cloud Atlas renferme des chaînes en arabe dans la version BlackBerry, des caractères hindi dans la version Android ou les mots « JohnClerk » dans le chemin de projet pour la version iOS, alors que beaucoup soupçonnent le groupe responsable d’avoir en fait des liens avec l’Europe de l’Est. Le malware Wild Neutron contenait pour sa part des chaînes en roumain et en russe.

Infrastructure et connexions sous-jacentes
Localiser les serveurs de commande et de contrôle (C&C) utilisés par les acteurs malveillants revient à trouver l’adresse de leur domicile. La maintenance de ce matériel peut être coûteuse et difficile, c’est pourquoi même les auteurs d’attaques bien pourvus en ressources ont tendance à réutiliser la même infrastructure C&C ou de phishing. Les connexions sous-jacentes peuvent donner une idée de l’identité des assaillants si ceux-ci ne parviennent pas à anonymiser parfaitement leur accès Internet lorsqu’ils récupèrent des données exfiltrées, préparent un serveur d’attaque ou de phishing ou se connectent à un serveur piraté.

Parfois, cependant, cette dissimulation imparfaite est intentionnelle : Cloud Atlas a ainsi tenté d’embrouiller les chercheurs en utilisant des adresses IP en Corée du Sud.

Kits d’outils : malware, code, mots de passe, exploitation de vulnérabilités
Bien que certains auteurs de menaces recourent désormais à des outils disponibles dans le domaine public, bon nombre d’entre eux préfèrent encore créer leurs propres outils (backdoors, mouvement latéral, kits d’exploitation de vulnérabilités) et les gardent jalousement. L’aspect d’une famille spécifique de malware peut donc aider les chercheurs à remonter jusqu’au groupe responsable.

Les auteurs de la menace Turla ont décidé de mettre à profit cette hypothèse lorsqu’ils se sont fait « coincer » dans un système infecté. Au lieu de se borner à retirer leur code malveillant, ils ont également installé un malware chinois très rare, communiquant avec une infrastructure située à Pékin, totalement sans rapport avec Turla. Tandis que l’équipe de réponse aux incidents de l’entreprise ciblée était occupée à poursuivre ce leurre, Turla désinstallait en toute discrétion son propre malware et effaçait tutes ses traces des systèmes de la victime.

Victimes ciblées
Les cibles des attaques constituent un autre indice potentiellement révélateur mais l’établissement d’un lien précis nécessite des compétences d’interprétation et d’analyse. Dans le cas de Wild Neutron, par exemple, la liste des victimes était si hétéroclite qu’elle n’a fait que semer la confusion quant à l’origine de l’attaque.

En outre, certains auteurs de menaces abusent du désir du public d’établir un lien clair entre les assaillants et leurs cibles, en opérant sous couvert d’un groupe (souvent fictif) d’hacktivistes. C’est ce qu’a tenté de faire le groupe Lazarus en se présentant sous la dénomination « Guardians of Peace » lors de son attaque contre Sony Pictures Entertainment en 2014. Nombreux sont ceux qui pensent que les auteurs de la menace connue sous le nom de Sofacy ont mis en œuvre une tactique similaire en se faisant passer pour un certain nombre de groupes militants.

Enfin et surtout, les auteurs des attaques tentent parfois d’en faire porter la responsabilité à une autre menace. C’est la méthode adoptée par TigerMilk[i] dont les responsables, encore non identifiés à ce jour, ont signé leurs backdoors avec le même certificat volé déjà utilisé précédemment par Stuxnet.

« La détermination de l’identité des auteurs d’attaques ciblées est complexe, peu fiable et subjective, et ceux-ci s’efforcent de plus en plus de manipuler les indicateurs dont se servent les chercheurs afin de brouiller davantage encore les pistes. Nous pensons qu’une identification précise est souvent quasi impossible. En outre, la veille des menaces a une valeur profonde et mesurable qui va bien au-delà de la question de l’identité des auteurs. Il est nécessaire, au niveau mondial, de comprendre les principaux prédateurs dans l’écosystème des malwares et de fournir des informations solides et exploitables aux entreprises qui le souhaitent : ce doit être notre priorité », commente Brian Bartholomew, chercheur senior en sécurité chez Kaspersky Lab.