Archives mensuelles : août 2023

Cybersécurité, Mise à jour, Patch

Les réseaux VMware Aria menacés par des cyber attaques à distance

VMware publie des mises à jour pour corriger deux vulnérabilités de sécurité dans Aria Operations for Networks qui pourraient être potentiellement exploitées par des pirates. L’une d’elle est CRITIQUE !

La plus grave des failles est la CVE-2023-34039, elle est notée 9,8 sur 10 (Sic!), qui concerne un cas de contournement d’authentification résultant d’un manque de génération de clé cryptographique unique. Cette vulnérabilité a été découverte par deux chercheurs de chez ProjectDiscovery, Harsh Jaiswal et Rahul Maini. « Un acteur malveillant disposant d’un accès réseau à Aria Operations for Networks pourrait contourner l’authentification SSH pour accéder à la CLI d’Aria Operations for Networks » informe l’alerte. La seconde « faiblesse« , la CVE-2023-20890 (7,2/10), est une vulnérabilité d’écriture de fichier qui pourrait être exploitée par un pirate disposant d’un accès administratif pour écrire des fichiers et lancer l’exécution de code à distance. A noter que des pirates ont activement exploité d’autres failles, corrigées aujourd’hui, en juin 2023 (CVE-2023-20887). Les patchs sont disponibles ici.

cyberattaque, Cybersécurité

Aprés une cyber attaque, une entreprise débourse plus de 10 millions pour réparer !

Le fournisseur de cloud Rackspace Technology Inc. a dépensé 10,8 millions de dollars pour corriger les conséquences d’une cyberattaque à grande échelle survenue en décembre 2022.

Décembre 2022, les pirates informatiques du groupe spécialisé dans le chantage numérique Play s’attaquent à la société Rackspace Technology Inc., un spécialiste du cloud. L’entreprise a dépensé 10,8 millions de dollars pour corriger les conséquences de cette malveillance numérique.

Selon l’entreprise, la plupart des fonds ont été utilisés pour payer les services d’une société internationale de cybersécurité. En outre, l’argent a aussi été consacré au soutien juridique et aux salaires du personnel en charge d’aider les victimes impactés par ce ransomware.

A noter que des entreprises continuent de porter plainte contre les pirates et Rackstage à San Antonio, Los Angeles et New York. Le rapport fournit par Rackspace à la Securities and Exchange Administration des États-Unis (le gendarme de la bourse US) indique que malgré des poursuites judiciaires, l’entreprise ne subira pas de dommages financiers graves.

Cependant, il est actuellement impossible d’estimer avec précision les pertes potentielles. Les propriétaires s’attendent à ce qu’une part importante des coûts liés à l’incident soit couverte par une assurance cyber-risques.

En mai 2023, un tribunal s’est prononcé en faveur de Rackspace, rejetant un recours collectif intenté par 37 payeurs de divers États américains qui avaient perdu l’accès à leurs données lors de cette cyber attaque. Les pirates de Play ont utilisé une nouvelle méthode pour pénétrer dans le réseau Hosted Exchange. En exploitant la vulnérabilité sous l’identifiant CVE-2022-41080, ils ont eu accès à la correspondance électronique, aux calendriers, aux planificateurs, aux listes de tâches, au carnet d’adresses et à d’autres données dans les fichiers PST (Personal Storage Table) de leurs cibles.

À la suite de l’incident, la valeur boursière de Rackspace a chuté, signe d’une perte de confiance des investisseurs. Les prévisions financières à long terme sont devenues beaucoup moins optimistes.

Cybersécurité, Securite informatique

Prise de contrôle silencieuse : découvrir votre adresse IP via Skype

Une vulnérabilité a été découverte dans l’application mobile Skype qui permet aux pirates d’obtenir l’adresse IP de l’utilisateur lors de l’ouverture d’un message avec un lien spécifique.

Trouver votre adresse IP, via un simple message sur Skype, possible. Ce défaut a été identifié par un chercheur indépendant en sécurité nommé Yossi. Le chercheur a découvert qu’n pirate informatique peut déterminer l’emplacement général d’un utilisateur en lui demandant d’ouvrir un message contenant un lien. Yossi a signalé le problème à Microsoft début du mois d’août. Pour démontrer la vulnérabilité, Yossi a réalisé une démonstration avec l’adresse IP d’un journaliste de 404 Media.

Un pirate pourrait faire de même et récupérer l’IP originale, même si cette adresse est cachée derrière un réseau privé virtuel (VPN). Lorsque Yossi a contacté Microsoft le 12 août, on lui a répondu que « la divulgation d’une adresse IP en soi n’est pas considérée comme une faille de sécurité ». À la suite d’un appel de 404 Media, Microsoft a déclaré qu’il résoudrait le problème dans une « future mise à jour du produit« , sans préciser de date. Rappelons que des pirates chinois ont récemment eu accès au courrier électronique du gouvernement américain via Microsoft Azure, ce qui a suscité des critiques à l’encontre de l’entreprise pour son approche des failles de sécurité.

Plus tôt cet été, le PDG de la société de cybersécurité Tenable, Amit Göran, a accusé Microsoft de « négligence grave » en citant le retard de l’entreprise à corriger une vulnérabilité critique.

article partenaire, Entreprise

Pourquoi utiliser un logiciel cloud pour géolocaliser des véhicules professionnels ?

L’arrivée d’Internet dans l’automobile a entraîné un développement énorme et des profits accrus, grâce à l’amélioration du fonctionnement des véhicules. Actuellement, il est nécessaire de faire de la gestion de flotte un secteur important pour l’entreprise. En effet, l’année 2023 présente de nouveaux défis dans la gestion de flotte automobile, qui vont exiger l’intervention et l’anticipation dans la stratégie des sociétés pour intégrer de nouvelles solutions pour numériser les processus.

Quels sont les enjeux d’une bonne gestion de flotte ?

Actuellement, la géolocalisation, les avertissements de défaillance mécanique ou encore l’analyse de l’utilisation du véhicule, font partie du quotidien des entreprises qui ont une flotte pour le développement de leur activité. Tous ces systèmes contribuent à la prise de décision et à la réduction des coûts.

Les entreprises qui n’ont pas encore mis en œuvre la technologie de gestion de leur flotte peuvent faire face à une diminution de leur efficacité, ce qui affecte leur position sur le marché. Il faut dire que les avantages de l’intégration de la gestion de flotte sont remarquables, de la baisse des sinistres à l’économie en passant par l’efficacité de leur fonctionnement. Il est donc temps de se réinventer ! Si vous voulez avoir une visibilité en temps réel des véhicules de votre entreprise, nous vous conseillons de lire la suite pour économiser et organiser plus efficacement tout votre réseau.

Quels sont les avantages d’un logiciel cloud pour la gestion de flotte ?

L’utilisation de plateformes intelligentes pour la gestion de flotte donne à toute entreprise un véritable avantage concurrentiel. Grâce aux progrès des logiciels, du machine learning et du cloud computing, votre entreprise peut gérer sa flotte de manière intelligente et en temps réel. L’amélioration du fonctionnement des véhicules rend les entreprises plus agiles. Mais quels sont les avantages qu’une entreprise peut tirer de la numérisation de la gestion de flotte ?

Réduction des coûts

Les économies de coûts sont basées sur la réduction du carburant liée à l’organisation de tous les véhicules, en les répartissant par zones, par temps et en créant des itinéraires optimisés pour chaque livraison. En outre, le logiciel vous aidera à réduire votre empreinte carbone, ce qui va inscrire votre entreprise dans une démarche plus durable.

Accessibilité

Grâce à des outils tels que les bons de livraison numériques, vous pourrez consulter, factures, encaissements et livraisons depuis n’importe quel appareil, même au moment de la livraison.

Gain de temps

Grâce à l’informatisation de tous les documents réalisés par l’entreprise, vous allez perdre beaucoup moins de temps au quotidien.

Amélioration de la sécurité

Grâce à la connexion avec l’administration qui permet de localiser rapidement les véhicules en cas de vol, ce type de logiciel vous offre plus de sécurité. Pour finir, la sécurité du conducteur sera également renforcée, car le programme pourra créer des itinéraires plus sûrs, en évitant les mauvaises habitudes et même en offrant la possibilité de passer des appels pour l’assistance du conducteur en cas d’accident.

Vous l’aurez compris, l’utilisation d’un logiciel cloud pour la gestion de la flotte auto de votre entreprise n’est plus un luxe, c’est devenu une véritable nécessité, et cela peu importe la taille de votre société.

cyberattaque, Cybersécurité

Une attaque utilisant le caractère RLO dans le nom de fichier

Les autorités États-Uniennes ont signalé une nouvelle réincarnation d’attaques utilisant le caractère Unicode RLO (Right-to-Left Override), qui permet de basculer l’écriture des noms de fichiers du mode standard de gauche à droite à l’écriture de droite à gauche.

Grâce à ce caractère Unicode illisible, l’extension du fichier peut être masquée de manière à ce que l’utilisateur, lisant de gauche à droite, pense avoir affaire à un certain type de fichier, mais si on le lit de droite à gauche, comme c’est le cas dans certaines langues arabes ou en hébreu, l’extension est fondamentalement différente. Dans l’histoire partagée par le chercheur Krebs, le fichier s’appelait lme.pdf et incitait le destinataire à résoudre des problèmes liés à ses déclarations fiscales. Cependant, en réalité, le nom du fichier contenait ce fameux caractère RLO, ce qui faisait que le fichier devait être lu de droite à gauche – fdp.eml.

Ainsi, la victime de l’attaque de phishing ne recevait pas un document électronique, mais un fichier de messagerie électronique se faisant passer pour un PDF. « L’e-mail est arrivé via Microsoft Office 365 avec tous les filtres anti-spam et anti-phishing activés, mais il n’a pas été intercepté », s’est plaint une victime potentielle de l’attaque auprès de Krebs. « Cependant, si vous envoyez cet e-mail via Mimecast, le programme est suffisamment intelligent pour reconnaître le caractère RLO et renommer le fichier en « ___fdp.eml« . Honnêtement, Microsoft a eu suffisamment de temps pour résoudre ce problème. »

Lorsque le fichier .eml est ouvert, une page Web s’affiche, imitant un avertissement de Microsoft concernant des messages indésirables en attente de récupération dans la boîte de réception de la victime. En cliquant sur le lien « Récupérer les messages », l’utilisateur est redirigé vers un lien marketing de LinkedIn (également propriété de Microsoft), qui est lui-même une redirection vers une ressource de phishing.

Justice

Le fondateur de Group-IB, Ilya Sachkov, a été condamné à 14 ans de prison pour trahison d’État

Le tribunal de Moscou a condamné le fondateur de l’entreprise Group-IB, Ilya Sachkov, à 14 ans de prison. Il purgera sa peine dans une colonie pénitentiaire à régime strict.

Il est précisé que le temps qu’il a passé en détention provisoire a été pris en compte dans sa peine, chaque jour de détention étant équivalent à un jour en colonie. Sachkov est en détention depuis le 21 septembre 2021, après avoir été arrêté à Moscou le même jour et transféré à Lefortovo. En plus de sa peine de prison, Sachkov a été condamné à un an de privation de liberté et à une amende de 500 000 roubles. Le procureur avait réclamé une peine de 18 ans.

La situation a été commentée par l’entreprise F.A.C.C.T. (c’est le nom de la marque Group-IB en Russie). Ils ont déclaré que la défense de Sachkov avait l’intention de faire appel du verdict et prévoyait de s’adresser au président russe. « C’est un moment difficile pour nous tous et un jour sombre pour le marché de la cybersécurité. Ilya Sachkov, mon ami, mon collègue, fondateur de l’une des entreprises les plus prospères dans le domaine de la cybersécurité, a été envoyé en colonie à la suite d’un procès expéditif. » a déclaré Valery Baulin, directeur général de F.A.C.C.T.

Sachkov a été accusé de Trahison d’État. Toutes les audiences ont eu lieu à huis clos, les documents de l’affaire criminelle ont été classés secrets. Selon certaines sources, les témoignages contre lui ont été fournis par l’ancien chef de la 2e division du Centre de sécurité de l’information du FSB, Sergei Mikhailov, qui purge, lui aussi, une peine de prison pour la même accusation. Mikhailov a affirmé que Sachkov aurait transmis au FBI des informations sur des cybercriminels russes et d’autres données constituant un secret d’État.

Cybersécurité, Justice

Un avocat veut savoir quel est le pays Européen a aidé le FBI à mettre le monde sur écoute

Au cours de l’opération spéciale Trojan Shield, le Federal Bureau of Investigation (FBI) des États-Unis contrôlait secrètement les téléphones cryptés Anom. Les avocats de plusieurs criminels arrêtés demandent que soit nommé le pays qui a aidé les agents à intercepter les messages.

Voilà une affaire étonnante. Une plainte a été déposée contre le FBI par des avocats de criminels arrêtés lors de l’opération Trojan Shield. La plainte déposée contre le FBI est la première et la plus importante en son genre concernant les départements technologiques du Bureau fédéral.

Elle pourrait remettre en question les réalisations « numériques » des enquêteurs. Pour rappel, Trojan Shield a permis d’arrêter plus d’un millier de présumés criminels, saisi des tonnes de drogues et des centaines d’armes grâce à une smartphone chiffré, l’Anom. Derrière cette entreprise, les limiers du FBI. « La réalité est que notre gouvernement savait que l’introduction et la diffusion de téléphones espions étaient anticonstitutionnelles. C’est pourquoi il a secrètement inclus un pays européen parmi les participants de l’opération, essayant de contourner les lois sur la confidentialité en vigueur aux États-Unis. Maintenant, le gouvernement refuse de nommer ce pays« , a déclaré Patrick Griffin, l’un des avocats à l’origine de la plainte.

Le journal américain Vice indique que la législation américaine garantit à tous les accusés un procès équitable. En conséquence, Griffin est convaincu que le nom du pays sera révélé, permettant ainsi à la défense de mieux planifier sa stratégie lors des audiences judiciaires. « Sans l’information demandée, les parties au procès ne peuvent pas commencer à enquêter sur la légalité de la mise sur écoute des accusés, ni vérifier la fiabilité et l’authenticité des preuves présentées, y compris celles qui forment la base de cette affaire. De plus, la défense ne peut pas demander des documents supplémentaires d’un pays qu’elle ne connaît pas, chercher à obtenir des témoignages de certains acteurs étrangers ou embaucher des enquêteurs étrangers », est-il mentionné dans la déclaration, qui note également que le gouvernement a refusé de fournir les informations demandées hors procédure judiciaire.

De 2018 à 2021, le FBI a secrètement contrôlé le réseau de téléphones cryptés Anom. Avec le temps, ce téléphone est devenu une partie intégrante du monde criminel. Des criminels le distribuant sans savoir qu’il s’agissait d’un cheval de Troie. La légende d’un soi-disant chiffrement de bout en bout a permis aux enquêteurs de suivre en temps réel les communications des figures clés des leaders du crime mondial.

En juin dernier, on apprenait que le FBI offrait 5 millions d’euros pour arrêter un administrateur d’Anom, un Suédois de 40 ans.

Cybersécurité, Mise à jour, Patch

Versioning : une méthode pirate qui a fait ses preuves

Les logiciels malveillants Android utilisent la technique de « versioning » pour contourner les scanners du Play Store.

Les cybercriminels utilisent la technique de « versioning » pour contourner les mécanismes de détection des applications malveillantes dans la boutique officielle Google Play Store. C’est ainsi que les malfaiteurs introduisent des chevaux de Troie bancaires et d’autres malwares sur les appareils Android. Même les experts de Google Cybersecurity Action Team (GCAT) ont reconnu ce problème dans leur rapport d’août (PDF). La technique de « versioning » n’est pas nouvelle, mais elle n’en demeure pas moins dangereuse.

Ces logiciels malveillants sont difficiles à détecter parce qu’une application tout à fait sûre est soumise à la vérification du Google Play Store. Puis, lors d’une mise à jour ultérieure, l’auteur ajoute simplement son code malveillant. Pour ce faire, ils utilisent une méthode appelée « dynamic code loading » (DCL), qui transforme essentiellement un logiciel inoffensif en porte dérobée, un outil d’espionnage installé, directement, dans notre poche.

À titre d’exemple de ce comportement, citons l’application iRecorder – Screen Recorder. Un autre exemple est le cheval de Troie bancaire SharkBot. Les auteurs peuvent publier plusieurs applications simultanément sous différents comptes de développeurs. Seule l’une de ces applications sera malveillante, les autres étant des réserves que les criminels activeront en cas d’échec du premier logiciel. « Cette tactique permet aux cybercriminels de mener des campagnes assez longues et de réduire au maximum le temps nécessaire pour publier un nouveau chargeur. » confirment les chercheurs.

Cybersécurité, Justice, loi

Blocage de Telegram en Irak, Xiaomi bloque la messagerie en Chine

Les autorités occidentales souhaitent se rapprocher de Telegram pour traquer les cyber criminels, en Iraq et en Chine, la méthode est plus expéditive.

Telegram, la messagerie Russe dont l’auteur a délocalisé son business à Dubaï, fait couler beaucoup d’encre. Il faut dire aussi que les malveillants 2.0 et la guerre Russo-Ukrainienne ont fait migrer des millions de personnes sur cette message qui se veut sécurisée. Le blog spécialisé ZATAZ expliquait dans cet article comment les autorités occidentales tentent de se rapprocher de Telegram pour nouer des partenariats afin de bloquer et traquer les cyber criminels.

En Iraq, le ministère des Communications a annoncé le blocage de Telegram par le gouvernement pour des raisons « liées à la sécurité nationale« . Le Service Veille ZATAZ nous a fourni des captures écrans de vente de BDD irakiennes qui ont pu motiver le blocage de Telegram dans le pays.

Le message indique que le gouvernement a tenté à plusieurs reprises de contacter l’équipe de Telegram dans le but d’établir une coopération, mais n’a jamais reçu de réponse. Un fait que de nombreux pays reprochent à Telegram. « Nous respectons les droits des citoyens à la liberté d’expression et de communication sans porter atteinte à la sécurité de l’État, et nous sommes convaincus que les citoyens comprennent cette mesure [le blocage de Telegram] », ajoute le ministère des Communications d’Irak.

Telegram gagne rapidement en popularité, évinçant les produits de Facebook (WhatsApp, Messenger, Instagram Direct). A noter que Telegram abrite des représentations officielles d’organismes gouvernementaux irakiens qui continuent de publier des actualités sur la plateforme… malgré le blocage. Un blocage qui est facilement contourné par des VPN et des proxies.

A noter que des internautes Turcs et Géogiens se sont étonnés d’être, eux aussi, bloqués. Il est tout à fait possible que les réseaux des fournisseurs d’accès à Internet des pays voisins soient étroitement liés et que le blocage dans un pays ait des répercussions sur les autres.

L’une des principales raisons présumées du blocage de Telegram est la fuite de nombreuses données personnelles des citoyens irakiens à partir des bases de données gouvernementales. Le Service Veille ZATAZ a repéré de nombreuses fuites de données concernant le pays, comme celle visant l’université de technologie spatiale et l’université technique du Nord de l’Irak, ou encore la diffusion, il y a peu, des données des électeurs iraquiens ou d’une base de données baptisée : Sécurité Nationale Iraq. « Elles ont été volées à partir des dispositifs du ministère et n’ont pas été obtenues par des méthodes via le web, souligne le voleur. Les données contiennent toutes les informations sur les citoyens irakiens. »

Pendant ce temps, en Chine, le fabriquant de téléphone Xiaomi désactive Telegram pour les Chinois. Les résidents de Chine ne peuvent plus installer l’application de messagerie Telegram sur leurs smartphones. Selon Bleeping Computer, le système d’exploitation MIUI du géant technologique classe l’application comme dangereuse et la bloque. L’interface maison MIUI en est à sa quatorzième version (Android 13).

« Cette application est frauduleuse et son utilisation peut comporter le risque de devenir une victime d’escroquerie. Par mesure de sécurité, il est recommandé de prendre des mesures de protection pour éliminer la menace des applications dangereuses« , indique le message affiché pour les résidents de Chine lorsqu’ils essaient de lancer le programme. L’article établit un lien direct entre cet événement et l’ajout d’une fonctionnalité à MIUI 13 en 2022, qui permet de marquer les applications malveillantes et de les bloquer.

Suite à cela, l’entreprise a été soupçonnée de surveillance potentielle des utilisateurs et de préparation à des actes de censure. Ces soupçons se sont renforcés après que MIUI ait commencé à bloquer les applications qui permettaient aux utilisateurs de modifier les paramètres réseau en dehors des valeurs par défaut. Dans de tels cas, le système d’exploitation, comme c’est le cas actuellement avec Telegram, bloquait les applications qui ne lui plaisaient pas et essayait même de les supprimer de l’appareil.

backdoor, Cybersécurité

Emotet revient, Lokibot persiste, DarkGate exploite

Un rapport dévoile les méthodes d’infection des familles de logiciels malveillants DarkGate, Emotet et LokiBot. En plus des méthodes de chiffrement unique en leur genre de DarkGate et le retour en force d’Emotet, les exploits de LokiBot se poursuivent, illustrant l’évolution constante du paysage des menaces cyber.

En juin 2023, des chercheurs ont découvert un nouveau loader baptisé DarkGate, doté d’un éventail de fonctionnalités dépassant les capacités habituelles des loaders. Parmi elles, on retrouve un VNC caché, un proxy inverse et des capacités de blocage de Windows Defender, de piratage de l’historique du navigateur infecté, de gestion des fichiers et de vol de jetons Discord.

Le fonctionnement de DarkGate implique une chaîne d’infection en quatre étapes, conçues de manière sophistiquée pour aboutir au chargement de DarkGate. Ce chargeur se distingue par sa façon unique de chiffrer les chaînes de caractères avec des clés personnalisées et une version originale de l’encodage Base64, utilisant un jeu de caractères spécial.

Dans son rapport, la société Kaspersky s’est penchée sur l’activité d’Emotet, un botnet notoire qui a récemment refait surface après avoir été démantelé en 2021. Dans cette nouvelle campagne, les victimes sont amenées à ouvrir, involontairement, un fichier OneNote malveillant qui déclenche l’exécution d’un VBScript caché et déguisé. Le script tente ensuite de télécharger la charge utile malveillante à partir de différents sites web jusqu’à ce qu’il réussisse à s’infiltrer dans le système. Une fois à l’intérieur, Emotet place une bibliothèque de liens dynamiques (DLL) dans le répertoire temporaire, puis l’exécute.

Cette DLL contient des instructions cachées (shellcode), ainsi que des fonctions d’importation chiffrées. En déchiffrant habilement un fichier spécifique à partir de sa section de ressources, Emotet prend le dessus sur le système et parvient à exécuter sa charge utile malveillante.

Une campagne d’hameçonnage ciblant des compagnies de cargos a tenté d’infiltrer les entreprises avec le malware LokiBot. LokiBot est un infostealer identifié pour la première fois en 2016 et conçu pour dérober des identifiants à partir de diverses applications, notamment via des navigateurs et des clients FTP. Les mails de hameçonnage utilisés dans la campagne contenaient un document Excel en pièce jointe invitant les utilisateurs à autoriser les macros.

Les attaquants ont exploité une vulnérabilité connue (CVE-2017-0199) de Microsoft Office, conduisant au téléchargement d’un document RTF. Ce document RTF exploite ensuite une autre vulnérabilité (CVE-2017-11882) pour distribuer et exécuter le logiciel malveillant LokiBot.