Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Cybersécurité, Virus

Les cyber-attaques MiniDuke font leur retour en France

Des chercheurs découvrent que les implants MiniDuke mis à jour en 2013 n’ont pas disparu et sont même utilisés dans le cadre de cyber attaques actives ciblant les gouvernements et d’autres entités.

En outre, la nouvelle plate-forme MiniDuke, appelée BotGenStudio, pourrait non seulement être utilisée par des cybercriminels dans le cadre d’attaques ciblées, mais également par des forces de l’ordre et des criminels traditionnels. La nouvelle vague d’attaques enregistrée en 2014 est quelque peu différente de celle décelée en 2013.

Mode opératoire

La nouvelle backdoor principale de MiniDuke (appelé TinyBaron ou CosmicDuke) est codée grâce à un framework personnalisable appelé BotGenStudio. Il est suffisamment flexible pour activer ou désactiver des composants lorsque le bot est construit. Les composants peuvent être divisés en 3 groupes : persistance (le malware peut se lancer via Windows Task Scheduler), reconnaissance (le malware peut voler un grand nombre d’informations) et exfiltration (le malware dépose plusieurs connecteurs réseaux pour aspirer les données)

Typologie de cibles

Alors qu’en 2013 MiniDuke était utilisé pour cibler des entités gouvernementales, la nouvelle version CosmicDuke cible également les organisations diplomatiques, le secteur de l’énergie, les opérateurs télécoms, des prestataires dans l’armée mais également des individus impliqués dans la vente et le trafic de substance illicites (notamment des stéroïdes et des hormones).

Zones géographiques ciblées

Les utilisateurs des anciens serveurs MiniDuke ciblent la France, l’Australie, la Belgique, l’Allemagne, la Hongrie, les Pays-Bas, l’Espagne, l’Ukraine et les Etats-Unis. CosmicDuke est plutôt intéressé par la Grande Bretagne, les Etats Unis, la Géorgie, la Russie, le Kazakhstan, l’Inde, le Belarus, Chypre, l’Ukraine et la Lituanie.

Rythme de travail classique

Les cybercriminels semblent travailler selon un rythme de travail classique du lundi au vendredi, même s’il leur arrive de travailler le week-end également. Leurs horaires de travail sont également classiques : de 7h à 20h CET (mais la majeur partie du travail est réalisée entre 7h et 17h). (Kaspersky)

BYOD, Cloud, Entreprise, Fuite de données

Risques de violation de données liés à la sécurité d’impression

Dans l’environnement commercial actuel, les entreprises ont plus tendance à subir les dangers de faiblesses subtiles et dissimulées que ceux de menaces puissantes et évidentes.

Avec l’évolution de la technologie, les entreprises modernes se développent constamment pour répondre aux besoins du monde du travail. Malheureusement, la conséquence de cette évolution peut être que des fonctions de sécurité d’impression peuvent passer inaperçues. Ce problème n’est pas forcément majeur, mais une étude réalisée par Ponemon en 2013 indique que les violations de données peuvent coûter jusqu’à 5 millions de US$ par an dans certains pays. L’étude révèle aussi qu’un pourcentage important de ce chiffre était dû à un manque de solutions d’impression sécurisée pour protéger les entreprises des violations de données.

Découvrir les risques

On estime qu’il existe trois types principaux de violations de données en raison d’une sécurité d’impression inadéquate. La plus courante est la violation de données avec intention de nuire. Quand les données privées et sensibles sont imprimées régulièrement, si elles tombent entre de mauvaises mains, les conséquences peuvent être coûteuses pour l’entreprise. Les violations de données sont devenues plus courantes au fur et à mesure que les entreprises utilisent le Cloud dans leur travail. Les informations sont maintenant plus faciles à extraire car elles peuvent être interceptées de façon virtuelle au lieu de les récupérer sur place. Le risque de vol interne existe toujours.

L’erreur humaine peut aussi être un facteur entraînant des violations de données. Choisir accidentellement la mauvaise imprimante de bureauet envoyer un document sensible sur le mauvais réseau peuvent avoir des conséquences graves pour l’entreprise. Éliminer l’élément humain de ce processus n’éliminera pas nécessairement le problème. Si un réseau d’impression est connecté de façon incorrecte au Cloud, les documents peuvent se perdre. L’erreur humaine n’a donc rien à voir dans ce cas.

Éviter les risques

Les entreprises qui traitent de données sensibles ont des mesures de sécurité leur permettant de protéger leur propriété intellectuelle. Appliquer ces mesures de sécurité aux réseaux d’impression contribue à réduire le nombre de violations de données. La première mesure à prendre pour protéger la sécurité des réseaux d’impression est d’introduire des contrôles des privilèges d’impression des collaborateurs. Il est possible de réduire le nombre de vols internes en réduisant le nombre de collaborateurs ayant accès et pouvant imprimer des données sensibles. Il est toujours possible de contourner un système de sécurité et donc de réduire l’erreur humaine. Les données peuvent toujours être violées.

Quand vous mettez en place un réseau d’impression sécurisé, il est important de faire appel à un spécialiste informatique car les erreurs de programmation et de mise en réseau peuvent affecter la précision des réseaux et donc être plus coûteux au long terme. Si le réseau est mis en place correctement, la fonction de mode d’impression sécurisé, courante sur la plupart des appareils compatibles avec le Cloud, peut réduire considérablement le nombre de violations de données provoquées par des défaillances informatiques. Bien entendu, ceci dépend de la précision d’installation du réseau de sécurité

Si la gestion de la sécurité d’impression est bien planifiée et mise en place, la protection de la propriété intellectuelle d’une entreprise sera simple et les violations seront réduites de façon considérable.

Banque, Biométrie, Chiffrement, cryptage, Cybersécurité

Paiement par reconnaissance d’empreinte digitale

L’empreinte digitale comme alternative possible au code confidentiel / Le premier prestataire européen de paiement multicanal se donne pour objectif d’améliorer continuellement l’expérience de ses utilisateurs.

Avec pour objectif d’améliorer en permanence l’expérience des utilisateurs grâce à des innovations ingénieuses, Yapital, premier prestataire européen de paiement multicanal, teste actuellement le paiement par reconnaissance d’empreinte digitale. Cette technologie pourrait être amenée à remplacer la saisie d’un code confidentiel lors du paiement par smartphone.

Pour Oliver Kress, premier vice-président de Yapital chargé de l’innovation, le groupe « revendique sa capacité à pouvoir rendre très rapidement opérationnel tout nouveau procédé technique susceptible d’améliorer l’expérience des utilisateurs. Dès que les principaux fabricants de smartphones ont intégré à leurs produits des dispositifs de reconnaissance d’empreinte digitale, nous avons aussitôt lancé les expérimentations.  » Le but étant de déterminer si ces nouvelles technologies satisfont aux exigences de Yapital en termes d’ergonomie et de sécurité. » Le dispositif doit être simple, sûr et intuitif pour le consommateur. Si c’est le cas, alors nous le proposerons « , dit Oliver Kress.

Le paiement par reconnaissance d’empreinte digitale constituerait la troisième innovation d’importance du prestataire de paiement multicanal au cours de cette seule année : en 2014, Yapital a en effet déjà présenté l’intégration du Bluetooth Low Energy (BLE) et l’achat par flash du code QR directement depuis un support publicitaire, une affiche ou à travers une vitrine.

Entreprise, Logiciels, Propriété Industrielle

Prim’X annonce la certification EAL3+ de ZonePoint sa solution de chiffrement des bibliothèques SharePoint

Décernée par l’ANSSI, ce haut niveau de certification de ZonePoint permettra d’utiliser la solution de Prim’X afin de protéger des informations sensibles telles que celles classifiées par l’OTAN au niveau Diffusion Restreinte.

Prim’X, éditeur de solutions de chiffrement pour la sécurité des données, annonce la certification Critères Communs EAL3+ et la qualification par l’ANSSI de ZonePoint, sa solution permettant de sécuriser le partage de documents en entreprise et donc les espaces de travail collaboratif sous Microsoft SharePoint.

ZonePoint apporte la confidentialité des documents dans les bibliothèques MS SharePoint en assurant le cloisonnement cryptographique des documents entre utilisateurs, groupes de travail ou catégories de personnel. Les documents sont chiffrés en permanence sur les serveurs SharePoint. A aucun moment, il n’y a de passage des données en clair sur les serveurs. Les documents sont chiffrés/déchiffrés localement sur les postes de travail avec la clé de l’utilisateur.

« C’est grande satisfaction pour nous de recevoir cette nouvelle certification Critères Communs de la part de l’ANSSI », déclare Michel Souque, Président et co-fondateur de Prim’X. « Le développement des plateformes de synchronisation de contenus (ECM), des services Cloud et la croissance du volume des données entrainent des problématiques de sécurité liées au partage de documents en entreprise. Grâce à cette certification, les entreprises cherchant une solution fiable et éprouvée pour partager des données et des documents chiffrés, via des plateformes de synchronisation de contenus dans le Cloud, et plus particulièrement SharePoint peuvent désormais s’appuyer en toute confiance sur ZonePoint. »

« Cette certifications souligne une nouvelle fois notre engagement d’excellence dans la durée, tant en terme de qualité du processus de développement, qu’en terme de maîtrise des techniques cryptographiques et des recommandations de l’ANSSI » complète José Lavancier, Directeur des projets de Certification de Prim’X. « Elles apportent à nos clients la confiance dans toute la gamme de nos produits  et leur garantissent une maitrise continue du processus d’évaluation. »

Cette certification de ZonePoint de Prim’X permet désormais d’utiliser la solution afin de protéger des informations sensibles telles que celles classifiées par l’OTAN au niveau Diffusion Restreinte.

Cybersécurité, escroquerie, Facebook, Identité numérique, Twitter, Vie privée

Education à la sécurité en ligne : les enseignants ont du mal à faire face aux attentes des parents

Une étude publiée par AVG Technologies, entreprise de sécurité en ligne pour 187 millions d’utilisateurs actifs, révèle que pour 82% des enseignants interrogés (74% en France), les parents comptent trop sur l’école pour apprendre à leurs enfants à se protéger en ligne. En outre 38% (44% en France) des enseignants estiment que les parents d’élèves ont eux-mêmes un niveau insuffisant de connaissances sur le sujet. Cette nouvelle étude d’AVG, qui porte sur le point de vue des instituteurs et professeurs, démontre que la question de savoir à qui incombe la responsabilité de dispenser aux enfants les enseignements sur la sécurité en ligne est toujours d’actualité.

L’étude, pour laquelle AVG a interrogé près de 1800 enseignants du monde entier, dont 210 en France, montre la nécessité de former les enseignants et de leur offrir davantage de soutien, afin qu’ils puissent mieux sensibiliser leurs élèves à la sécurité en ligne. Les deux tiers des personnes interrogées (64%, 73% en France) ont convenu que les écoles devraient offrir une meilleure formation à l’utilisation d’Internet comme outil pédagogique, et 77% (68% en France) estiment qu’Internet devrait faire partie intégrante du cursus éducatif.

Cette étude met en relief l’écart inquiétant entre, d’un côté, les connaissances et les capacités des enseignants et, de l’autre, les attentes des parents. Plus de neuf enseignants de différentes matières sur dix affirment se servir d’Internet en cours (92%, 89% en France), et 69% abordent la sécurité en ligne de manière occasionnelle ou fréquente (59% en France). Seul un enseignant sur quatre (28%, 15% en France) a reçu une formation spécifique pour cet enseignement.

Tony Anscombe, Conseiller sécurité chez AVG Technologies, déclare : « Non seulement les enseignants aujourd’hui se servent régulièrement d’Internet dans le cadre de leurs leçons et cours, mais ils se retrouvent de plus en plus confrontés aux questions plus vastes que génère celui-ci, et ce, la plupart du temps, sans aucune formation officielle. Au vu du développement de l’utilisation d’Internet en tant qu’outil pédagogique, de nombreux enseignants déclarent que leur école s’est dotée de règles spécifiques pour répondre aux préoccupations les plus fréquentes. En revanche, ces politiques s’avèrent être insuffisantes si la plupart des enseignants ne reçoivent aucune formation officielle à l’enseignement de la sécurité en ligne. Lorsqu’un enseignant sur quatre déclare être approché par des élèves pour des problèmes de cyberintimidation, le besoin d’un soutien accru se fait clairement ressentir ».

Constats d’enseignants du monde entier
·         Le Brésil va à l’encontre de la tendance globale, les enseignants brésiliens étant à l’avant-garde en matière d’éducation à la sécurité sur Internet. La majorité (54%, 17% en France) aborde régulièrement le sujet et 51% (15% en France) s’y sont préparés en suivant une formation officielle.

·         La plupart des enseignants au Royaume-Uni ont indiqué que leur école proposait des cours d’informatique (91% par rapport à 72 % globalement et à 63% en France). En revanche, seulement 37% des enseignants avaient suivi une formation officielle à la sécurité en ligne (contre 15% en France).

·         Inversement, les écoles aux Etats-Unis sont les moins susceptibles de proposer des cours d’informatique (60% seulement) et seulement 40 % des enseignants donnaient des devoirs à la maison nécessitant des recherches sur internet (contre 57% globalement et 49% en France).

·         Les élèves canadiens sont les plus nombreux à apporter leurs propres appareils à l’école, selon 29% des enseignants (contre 18% globalement et 4% en France). Il s’agissait principalement d’ordinateurs portables (84%, 57% en France), de smartphones et de tablettes (82% chacun contre 29% et 57% en France).

·         Les enseignants en Allemagne sont les plus nombreux à avoir été approchés par des élèves confrontés à des problèmes de cyberintimidation (36% par rapport à 25% globalement et contre 10% en France). Près de la moitié de ces enseignants (46%, 67% en France) s’estiment peu ou pas du tout préparés pour répondre à ces préoccupations.

·         Les écoles australiennes sont arrivées en tête parmi les établissements ayant déjà mis en place des dispositifs pour gérer des problèmes de cyberintimidation (80%, 33% en France) et des situations où des élèves ont été exposés à des contenus inappropriés en ligne (75%, 17% en France).

·         Seulement 7% des enseignants en République Tchèque (17% en France) affirment que leur école a déjà organisé une soirée pour les parents afin de les sensibiliser à la sécurité en ligne. 78% des parents y ayant assisté ont exprimé des préoccupations quant à la sécurité de leurs enfants sur Internet (79% en France).

·         91% des enseignants en France déclarent que leur école fournit des appareils électroniques aux élèves, mais il s’agit généralement d’ordinateurs de bureau (80%, contre 75% globalement), d’ordinateurs portables 35% (moyenne globale de 46%) et de tablettes 9% (contre 32% globalement).

·         Plus de quatre enseignants sur cinq (82%) en Nouvelle-Zélande (89% en France) abordent occasionnellement le sujet de la sécurité en ligne avec leurs élèves. En revanche, le même pourcentage n’a suivi aucune formation officielle sur ce thème (85% en France).

Cyber-attaque, Leak, Piratage

Des sites sportifs dans la ligne de mire de pirates informatiques

Un commentaire

La coupe du monde de football, mais aussi le tour de France cyclisme et autres grands rendez-vous sportifs attirent du monde et de l’argent. Comme l’explique ZATAZ, l’argent coule à flot et les ayants droits n’ont pas l’intention d’en perdre une goute… les pirates non plus. La rédaction de Data Security Breach a appris que plusieurs sites internet sportifs brésiliens auraient été victimes d’une série de chantages de la part de pirates informatiques.

Le chantage numérique, une méthode particulièrement appréciée par des pirates tels que Rex Mundi ou encore Ashurax (arrêté début juin). Le ou les escrocs auraient mis la main sur des données internes et menacent de les diffuser sur le web si une rançon n’était pas versées rapidement. De l’argent réclamé en version bitcoin. D’après les informations de la rédaction de DataSecurityBreach.fr, plusieurs sites brésiliens auraient vécu la même menace (sportbrazil.com.br, acrehoje.com, folha.info). Si Acrehoje est fermé pour « des raisons techniques« , les autres rédactions n’ont pas confirmé les intrusions et menaces.

Pendant ce temps…
Le site Internet de la fédération algérienne de football terminait dans les mains d’un pirate informatique du nom de Algeriano. Durant quelques heures, jeudi soir, le barbouilleur a indiqué en arabe que « Le peuple algérien ne veut pas du gaz de schiste (…) Le peuple algérien ne veut pas de Gourcuff« . Des revendications étonnantes, fusionnant football et préservation de l’environnement. Le jeune homme ne semble pas vouloir de Christian Gourcuff comme nouveau sélectionneur de l’équipe nationale algérienne. Le tout sur l’hymne national du pays. Les deux urls de la FAF (fafdz.com et faf.dz) ont été touchés par ce defacement (barbouillage de site web, ndr DataSecurityBreach.fr). Le jeune pirate derrière cette attaque n’est pas à son premier coup. Il semble être adepte de l’infiltration par logiciel d’espionnage interposé (Cheval de Troie), comme il l’explique sur son Facebook.

Hacking, Rendez-Vous

HackNowLedge Quebec, c’est le 22 août

Organisé par ACISSI lors du salon RSSIL, le challenge de sécurité informatique Hacknowledge a pour objectif de tester les connaissances d’équipes venues de toute la France, mais aussi depuis deux ans, dans différents pays du monde (Maroc, Tunisie, Espagne, Belgique, Côte d’Ivoire, …) Epreuves de hacking éthique via des actions à mener sur des application, du forensic, des options web. Bref, s’affronter dans une excellente ambiance.

Il s’agit de révéler à travers le «Hacknowledge Contest» des talents, qu’ils se situent dans le milieu universitaire, professionnel ou informel. Le but est de faire s’affronter, réunies en équipes, des compétences individuelles, pour promouvoir les compétences disponibles sur le territoire National qui iront ensuite affronter d’autres équipes internationales. Avec pour objectif principal et final de partager les connaissances.

Cette 6ème édition va proposer des « challenges » dans 14 pays. Après un passage en Belgique, c’est à Quebec que les épreuves du HackNowLedge Contest déposeront leurs bits, le 22 août prochain.

Les inscriptions sont ouvertes. http://www.hacknowledge-contest.org/index.php?p=5

BYOD, Chiffrement, cryptage, Entreprise, Fuite de données

Le corsaire Jean-Bart sécurise ses terminaux mobiles

La Communauté Urbaine de Dunkerque, avec 18 communes et 200.000 habitants sous sa coupe, a choisi Good Technology pour sécuriser ses terminaux mobiles tout en garantissant la séparation des données privée et données professionnelles. La communauté urbaine  a été une des premières collectivités territoriales françaises à se soucier de la protection des données professionnelles et personnelles de ses cadres et dirigeants en situation de mobilité.

Ce qui a soulevé la question ? La sortie de l’Iphone 3GS sur le marché français, en 2009. « Tout à coup, les téléphones BlackBerry – dont étaient équipés le Directeur général, le Directeur général adjoint et  quelques proches collaborateurs – ont semblé dépassés » se souvient Alain Vanlichtervelde, en charge de l’intégration et de la gestion des plates formes informatiques pour la Communauté urbaine. La réponse la plus rapide aurait alors été de renouveler les terminaux, tout simplement. Sauf que les insuffisances et risques de cette option sont immédiatement apparus aux yeux du Directeur général adjoint et d’Alain Vanlichtervelde. « L’Iphone étant très ouvert, avec des usages très larges, nous avons vite compris que nous devions trouver une solution pour sécuriser les données professionnelles, explique ce dernier. Il fallait notamment que nous puissions les effacer à distance en cas de perte ou de vol de l’appareil ».

Après une analyse des offres disponibles sur le marché, c’est finalement la solution Good For Enterprise qui a été retenue, pour deux raisons majeures. Sa fiabilité bien sûr. « La technologie du container est clairement apparue comme la plus sûre de toutes celles que nous avons examinées », confirme Alain Vanlichtervelde. Seconde raison : elle seule permettrait une stricte séparation entre les données personnelles et professionnelles sur les appareils. « Un critère clef, car certains cadres ont rapidement exprimé le souhait de consulter leur messagerie professionnelle sur leur téléphone personnel » explique le Directeur des systèmes d’information de la CUD. A l’époque, on ne donnait pas encore de nom à ce phénomène aujourd’hui très répandu, le « Bring Your Own Device »…

Certes, une légère dose de pédagogie a été ensuite nécessaire pour que les cadres et dirigeants concernés s’approprient la solution de Good Technology. « Certains avaient précédemment testé un logiciel de messagerie de push qui s’intégrait très bien avec l’Iphone, et ils en étaient satisfaits » explique en effet Alain Vanlichtervelde. Mais cette solution ne comportait pas la technologie du conteneur, et l’impératif de sécurité a primé. « François VILAIN Directeur général adjoint, Pierre MELEROWICZ DSI et moi-même avons insisté – en entretien individuel parfois – sur la nécessité première de garantir la confidentialité des données, et du carnet d’adresses en particulier, se souvient ce dernier. Finalement le message a été compris et la solution a été bien adoptée ». Seul petit souci : certains appareils de quelques cadres se sont révélés poser quelques problèmes avec la solution de Good Technology, « du fait du manque de mémoire disponible dû en partie à la surcouche de l’opérateur de téléphonie,» explique Alain Vanlichtervelde.

Début 2014, 70 cadres et dirigeants de la Communauté Urbaine de Dunkerque étaient ainsi équipés avec la solution Good For Enterprise – à la fois sur tablette et smartphone pour les seconds. Principales fonctionnalités utilisées ? « Avant tout l’accès à la messagerie professionnelle en situation de mobilité, puis la lecture de documents », répond Alain Vanlichtervelde. Ce dernier peut en effet consulter à tout moment les statistiques d’utilisation…  et s’assurer ainsi que les services mis à disposition ont un réel intérêt.

Parmi ses nombreux projets, le Directeur des Systèmes d’Information de la Communauté urbaine évoque un renforcement de la collaboration avec la ville de Dunkerque, les deux collectivités étant de taille comparables. Nul doute que la sécurité des données professionnelles sera un des sujets de discussion…

Argent, Banque, Cybersécurité, Fuite de données, Paiement en ligne, Twitter, Vie privée

Quand Twitter diffuse des cartes de crédit

3 commentaires
Extrait de la page du bot sur Twitter

Etonnant jeu que celui effectué par des centaines d’internautes, sur Twitter. Ces amateurs pas comme les autres du portail de micro blogging américain sont tellement content de posséder une carte bancaire (credit card, debit card, …) qu’ils en diffusent des photographies, dans l’espace du petit oiseau.

Totalement idiot, surtout que certains diffuseurs placent les informations sensibles (les 16 chiffres, la date de validité, certains même le CVV) à la portée du premier surfeur qui passerait par là.

Plus dingue encore, un bot, un robot Twitter baptisée « besoin d’une carte de crédit« , intercepte les messages et les répertories dans un compte Twitter dédié. Bilan, plusieurs centaines de photos, une cinquantaine de vidéos. Depuis 2012, Twitter laisse faire.

Pour l’américain, les Twitteriens sont responsables de ce qu’ils diffusent ! Bilan, faut pas pleurer si votre CB se retrouve sur Need a Debit Card.

 

Cyber-attaque, DDoS, Leak, Piratage

Trojans mobiles iOS et Android

L’existence d’une infrastructure internationale servant à contrôler des implants malveillants du type RCS « Remote Control System » (Système de Contrôle à Distance) vient d’être révélée par Citizen Lab.

Dans le même temps, des trojans mobiles jusque-là inconnus, fonctionnant aussi bien sous Android que sous iOS. Ces modules font partie de l’outil de spyware « légal » RCS, alias Galileo, développé par la société italienne HackingTeam. La liste des victimes recensées comprend des militants, des avocats des droits de l’homme, ainsi que des journalistes et des responsables politiques.

Où se trouvent les infrastructures RCS ?
Différentes méthodes ont été employées pour localiser les serveurs de commandes et de contrôle (C&C) de Galileo à travers le monde. Les experts se sont appuyés sur des indicateurs spéciaux et des données de connexion obtenues par la rétro-ingénierie d’échantillons existants. Ils sont parvenus à cartographier la présence de plus de 320 serveurs C&C RCS dans au moins une quarantaine de pays. La majorité de ces serveurs se trouvent aux Etats-Unis, au Kazakhstan, en Equateur, au Royaume-Uni et au Canada.

« La présence de ces serveurs dans un pays ne signifie pas pour autant qu’ils sont utilisés par les autorités de ce pays. Cependant, il est pertinent pour les utilisateurs de RCS de déployer des serveurs C&C dans les zones qu’ils contrôlent, là où les risques de problèmes juridiques transfrontaliers ou de saisie du matériel sont moindres.» explique Sergey Golovanov, Principal Security Researcher chez Kaspersky Lab.

Comment agissent les implants malveillants RCS ?
L’existence de trojans mobiles iOS et Android développés par HackingTeam n’est pas un secret mais il n’a jamais été possible jusqu’à maintenant de les identifier, ni même de les rattacher à une attaque. Les experts Kaspersky Lab étudient le malware RCS depuis plusieurs années. Au début de l’année, ils ont pu identifier certains éléments de modules mobiles correspondant à d’autres profils de configuration de malwares RCS issus de leur échantillonnage. Lors des dernières recherches, de nouvelles variantes d’échantillons ont également été reçues via le réseau cloud KSN de Kaspersky Lab. En outre, les experts de la société ont travaillé en étroite collaboration avec Morgan Marquis-Boire de Citizen Lab, qui s’est livré à des recherches poussées sur le malware HackingTeam.

Vecteurs d’infection : Les créateurs du RCS Galileo ont produit un implant malveillant spécifique pour chaque cible. Une fois l’échantillon prêt, l’auteur de l’attaque l’envoie sur le mobile de sa victime. Parmi les vecteurs d’infection connus figurent notamment le « spearphishing » (harponnage) par ingénierie sociale – souvent associé à l’exploitation de failles, en particulier de type « zéro day » – ou des infections locales via les ports USB pendant la synchronisation d’appareils mobiles.

L’une des principales découvertes a consisté à comprendre précisément le mode d’infection d’un iPhone par un trojans mobile Galileo : le téléphone doit pour cela être débridé. Cependant, des iPhones non débridés peuvent eux aussi devenir vulnérables : un attaquant peut se servir d’un outil de « jailbreak » tel qu’Evasi0n via un ordinateur infecté précédemment, et débrider le téléphone à distance avant de le contaminer. Pour éviter tout risque d’infection, les experts de Kaspersky Lab recommandent, d’une part, de ne pas débrider l’iPhone et, d’autre part, d’y installer en permanence la dernière version en date du système iOS.

Espionnage personnalisé : Les modules mobiles RCS sont méticuleusement conçus pour opérer en toute discrétion, par exemple en surveillant étroitement l’autonomie de batterie du mobile. Pour ce faire, ils utilisent des capacités d’espionnage personnalisées ou des déclencheurs spéciaux. C’est ainsi qu’un enregistrement audio peut se déclencher uniquement lorsque la victime est connectée à un réseau Wi-Fi particulier (tel que celui d’un groupe médias) ou lorsqu’elle change de carte SIM ou encore pendant la charge de l’appareil.

En général, les trojans mobiles RCS sont capables de réaliser un grand nombre de tâches de surveillance, qu’il s’agisse de transmettre la géolocalisation de la victime, de prendre des photos, de recopier des événements de l’agenda, d’enregistrer toute nouvelle carte SIM insérée dans le téléphone infecté ou encore d’intercepter les appels téléphoniques et les messages (y compris ceux envoyés par des applications telles que Viber, WhatsApp et Skype, en plus des SMS classiques).