Depuis quelques jours, des millions de personnes découvrent le télétravail. Travailler et communiquer à distance, via Internet. Une nouveauté dangereuses pour autant de monde. Les cybercriminels en profitent pour diffuser leurs cyberattaques par courriel. La masse d’attaques coronavirus place ces mails piégés dans le top 1 des cyberattaques le plus utilisées !
Des chercheurs ont notamment observé de nouvelles attaques de cybercriminels provenant des groupes TA 505 ou encore TA 564. Des sigles qui cachent surtout des pirates aux multi-activités malveillantes.
TA505 est dans le domaine de la cybercriminalité depuis au moins quatre ans. Il s’agit du groupe derrière le tristement célèbre cheval de Troie bancaire Dridex et le ransomware Locky. Des codes pirates fournis par le biais de campagnes de courrier électronique malveillantes via le botnet Necurs.
Les autres logiciels malveillants associés au TA505 incluent les familles de rançongiciels Philadelphia et GlobeImposter.
TA 564 a utilisé des courriels de coronavirus ciblant des utilisateurs canadiens. Ils usurpaient l’Agence de la santé publique du Canada dans le but d’installer le code malveillant Ursnif.
Ursnif est un cheval de Troie bancaire qui vole des données stockées, y compris des mots de passe, sur des sites Web bancaires via des injections Web, des proxys et des connexions VNC.
Autant dire que l’utilisation d’un outil de sécurité anti-spam est indispensable !
Exemples de fraudes
Diffusion du logiciel malveillant RedLine Stealer. Il profite de la générosité des internautes qui souhaiter aider dans la découverte d’un remède au Covid-19. Ce code pirate est loué/vendu dans des forums russes accessibles en deux clics de souris. Il est possible de l’utiliser avec des options. Prix de départ 100. Il vise mot de passe, fichiers de types Word, Excel, texte mais aussi tente d’intercepter les informations concernant les portefeuilles de cryptomonnaie.
De faux courriels à destination des parents et professeurs. Ils contenaient le code Ursnif. Comme pour les arnaques « j’ai piraté » votre webcam, les pirates affichent la véritable identité dans le courriel piège. Ils utilisent de vieille bases de données piratées pour exploiter les adresses électroniques.
Zataz a découvert plusieurs fausses boutiques proposant des guides de survie (sic!), ou encore des plantes « magiques ».
A chaque catastrophe mondiale, les pirates en profitent
Depuis deux mois, les campagnes d’emails malveillants COVID-19 se sont intensifiée, jouant sur les craintes, légitimes, du public. On parle ici de plusieurs millions de courriels. D’abord, une attaque par jour. Aujourd’hui, il y en aurait entre 3 et 10 ! Autant dire que les logiciels de filtrage, comme celui d’Altospam deviennent indispensable. Sept courriels sur 10 analysés par l’entreprise Proof Point contenaient des logiciels pirates. Ils tentent d’intercepter les données des victimes. TOUTES les données, et pas que les informations bancaires ! Bref, peu importe le sujet, les attaques restent les mêmes et semblent être toujours aussi imposante.
Selon un rapport de Gartner en 2019, l’adoption de l’IoT par les entreprises a progressé de 21,5 % entre fin 2018 et 2019 pour atteindre un total estimé de 4,8 milliards d’appareils.1 Alors que l’Internet des objets (IoT) ouvre la voie à de nouveaux usages et services novateurs dans tous les secteurs, il présente aussi de nouveaux risques de cybersécurité. Caméra, meuble de cuisine, alarme… la cybersécurité et la conformité deviennent indispensables.
Pour évaluer l’état actuel du paysage des menaces lié à l’IoT, l’équipe de veille de sécurité Unit 42 a analysé les incidents tout au long de 2018 et 2019 avec Zingbox®, sa solution de sécurité IoT (Palo Alto Networks). L’outil couvre 1,2 milliard d’appareils IoT sur des milliers de sites physiques dans des services informatiques d’entreprise et de santé aux États-Unis.
Première constatation, le niveau de sécurité général des appareils IoT baisse, rendant ces services vulnérables à de nouvelles attaques de malware ciblées ainsi qu’à d’anciennes techniques oubliées par les DSI depuis longtemps.
Le rapport révèle l’étendue du paysage des menaces lié à l’IoT, les appareils les plus sujets à une attaque, les principales menaces et les mesures pratiques à mettre en œuvre pour réduire immédiatement le risque.
Prenons l’exemple des alarmes, d’autant plus quand ces dernières sont à des fins professionnelles. Le contrôle, les tests et les mises à jour sont indispensables. Les différents canaux de communications réclamés par ce type d’outil ne peut se faire au hasard « Grâce à l’utilisation de plusieurs canaux de communication (GSM et connexion haut débit), vous bénéficiez d’une connexion rapide et sûre à notre centre de télésurveillance. » indique Sector Alarm.
L’étude revient sur d’autres chiffres et problématiques.
Défaut de chiffrement et de sécurité des appareils IoT
98 % de tout le trafic des appareils IoT n’est pas chiffré, exposant des données à caractère personnel et confidentiel sur le réseau. Les hackers parvenant à contourner la première ligne de défense (le plus souvent via des attaques de phishing) et à prendre le commandement et le contrôle (C2) peuvent écouter le trafic réseau non chiffré, collecter des données personnelles ou confidentielles, puis les exploiter à des fins lucratives sur le dark Web.
57 % des appareils IoT sont vulnérables à des attaques de gravité moyenne à élevée, ce qui les rend attractifs pour les pirates. Étant donné le faible niveau général de mise à jour corrective du matériel, les menaces les plus répandues sont des exploits de vulnérabilités connues et des attaques de mot de passe avec des valeurs par défaut.
Exécution de logiciels obsolètes par les appareils médicaux IoT
83 % des appareils d’imagerie médicale utilisent des systèmes d’exploitation qui ne sont plus sous support, soit une hausse de 56 % par rapport à 2018, à la suite de la fin de vie de Windows® 7. Cette baisse générale du niveau de sécurité ouvre la voie à de nouvelles menaces, comme le cryptojacking (en augmentation de 0 % en 2017 à 5 % en 2019), et ravive des risques oubliés depuis longtemps comme Conficker, dont les DSI s’étaient auparavant préservées.
Les appareils IoMT (Internet des objets médicaux) les plus problématiques en termes de sécurité sont les systèmes d’imagerie, qui constituent un élément crucial du processus clinique. Pour les services de santé, 51 % des menaces concernent du matériel d’imagerie, nuisant à la qualité des soins et permettant aux hackers de récupérer des données de patient stockées sur ce matériel.
Déficience des pratiques de sécurité réseau des services de santé
Dans le secteur de la santé, 72 % des VLAN combinent des ressources IoT et IT, d’où la diffusion du malware des ordinateurs des utilisateurs aux appareils IoT vulnérables sur le même réseau. On note un taux de 41 % d’attaques exploitant des vulnérabilités matérielles, comme celles par analyse des appareils connectés au réseau pour tenter de déceler des faiblesses connues. On constate que les réseaux de bots IoT menant des attaques par déni de service laissent place à des menaces plus sophistiquées ciblant les identités de patient, les données d’entreprise, à des fins lucratives via un ransomware.
Ciblage d’anciens protocoles par les cyberattaques orientées IoT
On observe une évolution des menaces visant les appareils IoT via de nouvelles techniques, comme la communication C2 de pair à pair et l’auto-propagation d’éléments de type ver. Les hackers décèlent la vulnérabilité de protocoles OT vieux de dizaines d’années, comme DICOM®, et peuvent perturber des fonctions stratégiques des services.
Depuis quelques années maintenant, le constat est sans appel : la cybercriminalité est en constante hausse. Si l’on entend souvent parler des attaques à l’encontre de grands groupes internationaux, les PME sont également exposées. Ces dernières sont même aujourd’hui des cibles de choix pour les cybercriminels. Il est donc devenu une véritable nécessité pour les PME de se protéger contre ces criminels informatiques. Mais quels sont donc les risques qui menacent les PME et quels sont les moyens disponibles pour s’en prémunir efficacement ? Découvrez des éléments de réponse dans cet article.
Le phishing et le spear-phishing
Également connu sous le nom de « hameçonnage », le phishing est une méthode utilisée par les cybercriminels pour extorquer des données confidentielles et sensibles, souvent des coordonnées bancaires. Le but étant dans la plupart des cas de récupérer une grosse somme d’argent. Pour ce faire, les pirates informatiques envoient des mails d’apparence officielle et fiable. Cependant, il arrive qu’ils fassent également apparaître des fenêtres pop-up.
Quant au spear-phishing, il s’agit d’un hameçonnage très ciblé. Les cybercriminels prennent le temps de créer des messages personnels et pertinents. Pour duper leurs cibles, ils usurpent une adresse électronique et falsifient la section « de » de l’e-mail. Ils peuvent également cloner des sites web.
Pour lutter contre ce type d’attaques, la prudence reste la meilleure solution. Demandez à l’ensemble de votre personnel de bien analyser tous les mails qu’ils reçoivent avant de les ouvrir pour détecter tout mail frauduleux. Si les mails contiennent des liens, déplacez le curseur sur les liens avant de cliquer dessus. Vous pourrez ainsi voir vers quelles pages ils mènent. Toutefois, vous pouvez également recourir aux services d’Oppens, le coach cybersécurité des entreprises, pour sensibiliser et tester vos salariés.
Le pharming
Dans le cadre d’un phishing et d’un spear-phishing, les mails sont utilisés comme appât. Cependant, il arrive que les cybercriminels n’utilisent pas d’appât. On parle dans ce cas de pharming, autrement dit d’hameçonnage sans appât. Ce sont alors des malwares — programmes malveillants (virus, vers informatiques, chevaux de Troie) — qui sont utilisés à la place des mails. Lorsque ces malwares sont installés sur un ordinateur de votre PME, ils vous redirigent vers un site cloné où les cybercriminels vous extorqueront vos données personnelles.
Pour lutter contre le pharming, il est vivement recommandé d’installer un antivirus efficace et de vérifier régulièrement le certificat de sécurité des pages. Vérifiez également que le site sur lequel vous être redirigé est sécurisé et pour limiter les risques, choisissez toujours un fournisseur d’accès internet de confiance et reconnu. Si vous suspectez la présence d’un malware, détectez-le et détruisez-le avec votre antivirus. N’effectuez aucune transaction bancaire en ligne. Si vous avez des doutes, contactez par téléphone votre banque et demandez à votre conseiller de procéder à la modification de vos codes et autres mots de passe.
L’ingénierie sociale
Dans le cadre d’une telle attaque, le cybercriminel use de ruses pour gagner la confiance d’une personne de votre entreprise afin de lui soutirer par la suite des données et des informations sensibles telles qu’un mot de passe ou l’identité d’une personne clé au sein de l’entreprise. Cette manœuvre peut aussi avoir pour objectif d’inciter la personne dupée à télécharger inconsciemment un malware ou à cliquer sur des liens infectés.
Il existe plusieurs formes de techniques d’ingénierie sociale mais les plus courantes sont :
Le spoofing c’est-à-dire l’usurpation d’identité d’un collaborateur. Le cybercriminel peut usurper l’identité d’un collaborateur ou d’un administrateur système pour récupérer des mots de passe et des identifiants. Il peut également se faire passer pour un dirigeant ou un cadre afin d’ordonner un virement frauduleux. On parle alors de fraude au président.
Le phishing, le spear-phishing et le pharming.
Pour limiter les risques de se faire piéger, il est important de sensibiliser tous vos collaborateurs à ces manœuvres et à toutes les pratiques dangereuses sur internet. Il faut également penser à mettre en place une politique de sécurité efficace pour bien sécuriser tous vos terminaux informatiques, surtout ceux qui sont mobiles car ils sont les plus vulnérables.
Le ransomware
Le ransomware est connu sous de nombreux noms en français : le rançongiciel, le logiciel rançonneur, logiciel de rançon ou encore logiciel d’extorsion. Comme son nom l’indique, il s’agit d’un logiciel malveillant qui prend en otage des données d’un ordinateur ou encore d’un serveur. Pour ce faire, le cybercriminel chiffre et bloque vos données, notamment celles qui vous sont utiles pour bien fonctionner. Il demande ensuite une rançon souvent élevée en échange d’une clé qui donne droit au déchiffrage et au déblocage de vos ressources informatiques.
Le mode de paiement préféré des pirates informatiques dans le cadre d’une telle attaque est la cryptomonnaie (monnaie virtuelle) pour éviter tout risque d’être tracés. Si vous ne payez pas la rançon exigée, il peut exposer et rendre vos données publiques ou les livrer à vos concurrents. Il peut également tout simplement les supprimer. Dans tous les cas, vous serez dans une situation très embarrassante. Il est souvent recommandé de ne pas payer. Gérer la crise n’est pas simple alors faites vous aider.
Les écoutes illicites
Certains cybercriminels recourent aux écoutes clandestines pour obtenir les mots de passe, les coordonnées bancaires et autres coordonnées confidentielles de votre entreprise. Pour ce faire, ils interceptent le trafic réseau. Ces écoutes peuvent être :
Passives : le pirate informatique procède au vol de données et d’informations en écoutant les transmissions de messages sur le réseau.
Actives : le pirate informatique usurpe l’identité d’une personne liée à l’entreprise et envoie des requêtes pour s’emparer des données et des informations de l’entreprise. On parle dans ce cas de sondage, sabotage ou encore de scan.
Pour lutter contre ces écoutes illicites, la meilleure solution reste à ce jour le chiffrement des données. Il faut également sensibiliser votre personnel, surtout les employés en télétravail, à n’envoyer des données sur le réseau que lorsque c’est vraiment indispensable.
Petites entreprises, grandes menaces : restez informés, restez protégés
