Archives mensuelles : mars 2023

backdoor, Cybersécurité

Piratage : emplois via LinkedIn, attention danger !

Des hackers nord-coréens visent des spécialistes de la cybersécurité en leur proposant des emplois via LinkedIn.

Des experts ont remarqué que les pirates nord-coréens ont concentré leur attention sur les spécialistes de la sécurité de l’information. Les attaquants tentent d’infecter les chercheurs avec des logiciels malveillants dans l’espoir d’infiltrer les réseaux des entreprises pour lesquelles les cibles travaillent.

La première campagne date de juin 2022. Elle ciblait une entreprise technologique américaine. Ensuite, les pirates ont tenté d’infecter la cible avec trois nouvelles familles de logiciels malveillants (Touchmove, Sideshow et Touchshift).

Peu de temps après, il y a eu une série d’attaques contre les médias américains et européens par le groupe UNC2970. Une cyber attaque reliée par la société Mandiant à la Corée du Nord. Pour ces attaques, l’UNC2970 a utilisé des courriers électronique d’hameçonnage déguisés en offres d’emploi dans le but de contraindre leurs cibles à installer le logiciel malveillant.

Changement de tactique

Les chercheurs affirment que l’UNC2970 a récemment changé de tactique et est désormais passé de l’utilisation de phishing à l’utilisation de faux comptes LinkedIn prétendument détenus par les Ressources Humaines (RH). De tels récits imitent soigneusement l’identité de personnes réelles afin de tromper les victimes et d’augmenter les chances de succès de l’attaque.

Après avoir contacté la victime et lui avoir fait une « offre d’emploi intéressante », les attaquants tentent de transférer la conversation sur WhatsApp, puis utilisent soit le messager lui-même, soit un courriel pour livrer le logiciel piégé. Mandiant a appelée l’outil malveillant Plankwalk.

Plankwalk et d’autres logiciels malveillants du groupe utilisent principalement des macros dans Microsoft Word. Lorsque le document est ouvert et que les macros sont activées, la machine cible télécharge et exécute la charge utile malveillante à partir des serveurs des pirates (principalement des sites WordPress piratés).

En conséquence, une archive ZIP est livrée à la machine cible, qui contient, entre autres, une version malveillante de l’application de bureau à distance TightVNC (LIDSHIFT). L’un des documents utilisés usurpe l’identité du journal New York Times.

Etonnante méthode, donc, de penser que des spécialistes de la cybersécurité vont cliquer sur des fichiers inconnus ! (Mendiant)

Cybersécurité

Un centre hospitalier belge obligé de fermer ses urgences

Nouvelle attaque, même conséquence. Des pirates informatiques ont réussi à perturber les urgences d’un centre hospitalier belge.

Samedi 11 mars 2023, branle-bas de combat pour le Centre Hospitalier universitaire Saint-Pierre. L’établissement de santé basé à Bruxelles s’est retrouvé alerté d’une cyberattaque en cours.

Bilan de cette malveillance, qui ressemble fort à celle vécue par le centre hospitalier de Brest ou encore la Ville de Lille, fermeture de services.

Le centre hospitalier Saint-Pierre a du bloquer, quelques heures, ses urgences avant de relancer ses services aux usagers.

Selon la clinique, aucune donnée n’a été volée ou divulguée jusqu’à présent. Blocage à la sauce DDoS ? Ransomware ?

Cybersécurité, Entreprise

Cybersécurité et crise de l’eau

L’Agence américaine de protection de l’environnement (EPA) demande aux États d’inclure la cybersécurité dans leurs audits des systèmes publics de distribution d’eau, une mesure destinée à faire face à une vague d’attaques dans ce secteur.

De plus en plus d’entreprises, spécialisée dans l’eau et sa gestion, seraient ciblées par des cyberattaques aux USA. Bilan, dans un mémorandum publié vendredi, les responsables de l’Agence américaine de protection de l’environnement (EPA) indiquent que plusieurs systèmes publics de distribution d’eau n’ont pas adopté les meilleures pratiques en matière de cybersécurité, ce qui les expose à de dangereuses attaques numériques.

« Les cyberattaques contre les infrastructures critiques, y compris les systèmes d’eau potable, sont en augmentation, et les systèmes publics d’eau sont vulnérables. Les cyberattaques peuvent contaminer l’eau potable, ce qui menace la santé publique« , a déclaré Radhika Fox, administratrice adjointe de l’EPA.

L’EPA a mis en garde contre l’augmentation des cyberattaques visant les installations de distribution d’eau (des pirates « basics », des cybercriminels d’État ou encore d’employés mécontents).

Parmi les attaques repérées : arrêt des processus de traitement de l’eau, verrouillage des réseaux de systèmes de contrôle (ransomwares) ou encore désactivation des communications utilisées pour surveiller et contrôler l’infrastructure du système de distribution, comme les stations de pompage. (CSIS)

Apple, Bitcoin, Cybersécurité

Un pirate utilise Final Cut Pro pour installer des crypto mineurs

Vous utilisez une version piratée de Final Cut Pro ? Votre ordinateur Apple est peut-être manipulé par des hackers malveillants qui minent des cryptomonnaies via votre machine.

Selon un rapport diffusé par la société Jamf, un pirate informatique utilise des versions piratées du logiciel de montage vidéo Final Cut Pro pour installer un outil de crypto minage sur les appareils Apple.

Jaron Bradley, directeur principal des détections MacOS de la société basée à Minneapolis, a déclaré que les logiciels malveillants déguisés ou intégrés à l’intérieur d’applications piratées sont un problème depuis les premiers jours du piratage de logiciels. « Les pirates y voient une opportunité facile lorsqu’ils n’ont pas à convaincre les utilisateurs d’exécuter leur logiciel malveillant, mais plutôt que les utilisateurs viennent à eux, prêts à installer quelque chose qu’ils savent illégal« .

Parmi les outils repérés, XMRig. Ce logiciel peut être utilisé légitimement pour miner de la crypto-monnaie sur ses propres appareils, il a été adapté par les pirates.

Les versions piégées ont été récupérés via torrent. Le diffuseur est connu pour être un professionnel de la diffusion de copies d’outils Apple.
macOS Ventura bloque la tentative malveillante. (jamf)

cyberattaque, Cybersécurité

Medusa ransomware, le groupe de pirates aux dents longues

Le jeune groupe de hackers Medusa, spécialise de la prise d’otage d’entreprise, montre un appétit et des cibles de hauts niveaux !

Voilà qui est inquiétant, et étonnant. Le jeune groupe de pirates informatiques du nom de Medusa est apparu « publiquement » début janvier 2023.

Ce groupe de malveillants affiche déjà plus de 25 entreprises victimes, menacées et/ou dont les informations internes, sensibles ont été diffusées dans le darkweb et sur des messageries sécurisées.

Parmi les victimes, L’Institut des Technologie de l’Espace du Pakistan, l’Autorité des aéroports du Kenya, la Banque d’Afrique, l’entreprise indonésienne PetroChina, le Casino Eureka de Las Vegas, ou encore, Tonga Communication et, ce 7 mars, l’école publique de Minneapolis.

Les demandes de rançons peuvent dépasser plusieurs centaines de milliers de dollars. Ils diffusent les informations exfiltrées en cas de non paiement aprés un compte à rebours pouvant atteindre une dizaine de jours.

Pour la casino de Las Vegas, par exemple, plus de 12 ans de données internes, dont l’analyse des joueurs !

Les pirates informatiques de Medusa filment leurs infiltrations et les diffusent sur le web.

Entreprise

Connectivité et sécurité : deux défis auxquels font face les entreprises

La connectivité se définit comme la possibilité, pour un système, d’être connecté (par un réseau informatique, téléphonique, etc.). Aujourd’hui, le nombre d’appareils connectés est en constante évolution. Des systèmes de sécurité automatisés aux ordinateurs, le monde est indéniablement connecté et numérique. La question légitime qui se pose dès lors à toute entreprise : comment allier sécurité et connectivité ? Est-ce compatible ?

Connectivité : indispensable pour les entreprises

« Nous vivons une révolution technologique, même s’il est parfois difficile d’en mesurer l’ampleur », a déclaré M.Hyppönen (Chief Research Officer chez F-Secure)  lors de la conférence sur la cybersécurité SPHERE du 1er juin 2022. « L’internet est la meilleure -et la pire- chose qui soit arrivée à notre époque ». Mikko Hyppönen, expert en cybersécurité, estime que les générations à venir seront également dépendantes de la connectivité. « Plus une nation est avancée, plus elle est vulnérable », a-t-il ajouté.

La connectivité fait partie du quotidien de nombreuses entreprises, ce fait est acquis pour tout le monde. Mais si elle leur permet d’accroître leur efficacité, elle présente aussi des risques en termes de sécurité. Pour relever le double défi soulevé par ces questions de sécurité et de connectivité, les entreprises font appel à des solutions souvent complexes, dont le déploiement nécessite l’intervention de professionnels. Mais elles n’ont guère le choix, vu leur dépendance à l’égard de la connectivité.

Connectivité : risques liés à la cybersécurité 

Si la connectivité pour une entreprise se présente comme une solution optimisant les capacités et la productivité des salariés, il est évident que cela a des conséquences sur la sécurité. Le premier risque étant le piratage. En effet, la façon dont les appareils connectés sont gérés et protégés, aura une incidence sur les risques cyber. Chaque terminal connecté à internet est une porte d’entrée dans le système pour les cybercriminels. Bien souvent, les entreprises possèdent des installations intégrant des caméras, des alarmes WI-FI et autres. Tous ces objets connectés stockent des données sensibles, qu’ils vont transmettre de façon continue. C’est la même chose pour les imprimantes et les ordinateurs, qui représentent d’éventuels points d’accès aux informations de l’entreprise.

Ainsi, plus l’entreprise possède de terminaux, plus les surfaces d’attaques potentielles augmentent : le risque de vol de données sensibles s’intensifie. D’autant plus qu’il est souvent difficile de récupérer les données volées, dans le cas des ransomwares notamment. De plus, les pirates ne sont pas en reste pour faire évoluer leurs tactiques et redoublent d’ingéniosité. Il peut donc être pertinent d’apprendre sur le thème de la cybersécurité, et de former ainsi les employés des entreprises. Sensibilisés à cette question cruciale, ils respecteront davantage les mesures élémentaires de cybersécurité, comme l’utilisation de mots de passe différents et complexes pour chaque service par exemple.

Connectivité et sécurité : vers une solution globale
Aujourd’hui, alors que les entreprises cherchent à relever conjointement ces deux défis que sont la connectivité et la sécurité, le terme SD WAN (Software-Defined WAN) fait le buzz. Avec les solutions actuelles, le réseau demeure rigide, statique, et la sécurité est beaucoup trop fragmentée entre divers domaines. La connectivité et la sécurité vont ralentir l’activité au lieu de favoriser l’innovation et l’agilité. Le SD WAN représente une solution efficace alliant connectivité et sécurité pour les entreprises, à l’aide d’une architecture virtuelle permettant davantage de réactivité, de prévisibilité et d’agilité à moindres coûts tout en surveillant la performance de l’ensemble des réseaux et applications en temps réel.
Chaque solution SD WAN comportent de multiples avantages pour les entreprises tels que :
  • Des coûts réduits ;
  • Des performances plus intéressantes ;
  • Une meilleure agilité ;
  • Une gestion simplifiée ;
  • Une augmentation de la continuité du WAN.
Pour qu’une entreprise puisse profiter de tous les avantages du SD WAN, il faut répondre à l’ensemble des contraintes de ses réseaux en termes de fiabilité, de sécurité, d’accessibilité et de performance.
Cybersécurité

Failles de sécurité sur le site Booking.com

Des chercheurs ont identifié des vulnérabilités chez Booking.com qui auraient pu permettre à des acteurs malveillants d‘usurper des comptes d’utilisateurs, d’exfiltrer des données de comptes privées, d’annuler ou d’effectuer des réservations, ainsi que d’autres actions à la place de l’utilisateur.

De nombreuses failles de sécurité ont été découvertes par des chercheurs sur le site Booking.com. Ces failles, décelées dans l’implémentation du protocole Open Authorization (OAuth) utilisé par Booking.com, étaient susceptibles d’affecter les utilisateurs se connectant au site depuis leur compte Facebook. Les erreurs de configuration de la fonctionnalité OAuth auraient ainsi pu mener à des usurpations massives de comptes clients (ATO), mais également à la compromission des serveurs, avec notamment les conséquences suivantes :

●      Manipulation des utilisateurs de la plateforme en vue de prendre le contrôle total de leurs comptes (ATO)

●      Fuite d’informations personnelles (PII) et autres données sensibles stockées en interne par les sites

●      Exécution d’actions à la place de l’utilisateur, par exemple une réservation ou une annulation, ou encore la réservation d’un moyen de transport

L’analyse des vulnérabilités a été conduite et remise par Salt Labs, le laboratoire de recherche de Salt Security à l’origine de la découverte, qui met par ailleurs à disposition du public un forum sur la sécurité des API.

Connexion via un compte de réseau social

C’est au sein de la fonctionnalité de connexion via un compte de réseau social, utilisée par booking.com et implémentée au moyen du protocole standard nommé « OAuth », que les chercheurs ont identifié les failles. Populaire sur les sites et services web, OAuth permet aux utilisateurs de se connecter à d’autres sites via leurs comptes de réseaux sociaux, le tout en un clic, ce qui représente un gain de temps par rapport à la méthode « classique » consistant à s’inscrire et à s’authentifier avec un identifiant et un mot de passe.

Si OAuth offre l’avantage d’une expérience simplifiée sur les sites web, la fonctionnalité présente en contrepartie un back-end technique complexe pouvant donner lieu à des failles exploitables. C’est le constat établi par les chercheurs de Salt Labs après avoir manipulé la séquence OAuth sur le site Booking.com, ce qui leur a permis de pirater des sessions et d’usurper des comptes dans le but de subtiliser des données et d’agir à la place des utilisateurs.

Dès lors qu’il se connecte via Facebook, n’importe quel utilisateur de Booking.com est donc susceptible d’en faire les frais. Etant donné la popularité de l’option « Se connecter avec Facebook », le nombre de victimes potentielles se compte rapidement en millions. Mais la liste des utilisateurs à risque ne s’arrête pas là : le site Kayak.com (détenu par la même société, Booking Holdings Inc.) permet en effet à ses utilisateurs de se connecter à l’aide de leurs identifiants Booking.com, les exposant logiquement aux mêmes manœuvres.

Après cette découverte, les chercheurs de Salt Labs ont suivi un protocole strict visant à transmettre leurs conclusions à Booking.com. Résultat de cette action coordonnée : les failles ont été rapidement corrigées, et rien n’indique à ce jour qu’elles ont été exploitées.

« OAuth s’est rapidement imposé comme la norme dans le secteur, et des centaines de milliers de services l’utilisent chaque jour à travers le monde », déclare Yaniv Balmas, VP Recherche, Salt Security. « En conséquence de quoi les erreurs de configuration d’OAuth peuvent avoir des répercussions majeures sur les entreprises et les clients en raison de l’exposition de données précieuses. Aucun site web n’est infaillible, et leur rapide expansion cache à de nombreuses organisations la multitude de risques de sécurité qui affaiblissent leurs plateformes. »