Tous les articles par Damien Bancal

Cyber-attaque, Entreprise, Fuite de données, Leak

Piratage de CNN : de faux articles diffusés ?

Un pirate informatique aurait découvert comment diffuser de faux articles sur le site américain CNN. Le pirate informatique Reckz0r, 25 ans, originaire d’Arabie Saoudite, vient d’annoncer le piratage du site CNN et plus précisément de son espace Edition. Quatre faux articles, dont une version très personnelle de Bill Gates, le fondateur de Microsoft, en train d’empoisonner de jeunes africains. Le pirate explique avoir découvert une injection SQL dans le portail américain d’information. Neuf comptes utilisateurs, 5 administrateurs et 4 journalistes ont été diffusés sur la toile. L’un des comptes, celui Kate Gosling, aurait été utilisé pour ces fausses diffusions sur Edition.cnn.com.

Le fichier diffusé par le pirate sur Pastbin en dit peu sur la faille. Un lien vers edition.cnn.com et les comptes interceptés. Une capture écran tente de prouver une fausse diffusion (sur les 4) d’article, celle de Bill Gates. Un article signé Kate Gosling. La même Kate que l’on retrouve dans les 9 administrateurs. Sauf qu’il y a un problème. Kate Gosling n’existe pas chez CNN. Un nettoyage total dans le serveur des américains pour faire disparaitre se compte ou un moyen pour ce pirate saoudien de faire parler de lui et de sa cause ?

Reckz0r explique avoir attaqué CNN pour le punir des fausses informations diffusées dans ses pages et antennes. Le bidouilleur reproche à la chaîne d’information d’être trop proche d’Israël et ne pas suffisamment soutenir les palestiniens. Ce pirate était apparu sur la toile en 2012 avant de disparaitre, voilà un an, quasiment jour pour jour. A-t-il connu une prison du royaume durant cette période ? En 2012, le pirate avait fait un passage remarqué chez Visa et Mastercard. Ancien membre d’UGNazi, il indiquait le 12 juin 2012 devenir un « White Hat ». Voilà qui est raté !

Banque, Cybersécurité, Phishing

Le printemps : période la plus propice au phishing

Datasecuritybreach.fr vient d’apprendre qu’avec une augmentation des attaques de 11% entre Février et Mars 2013, et de 27% d’une année sur l’autre, les pirates informatiques semblent attendre les beaux jours pour reprendre leur activité.

En Avril, ne dévoile pas tes impôts d’un fil ! Et en mai, fais ce qu’il te plait ? Rien n’est moins sûr. En effet, les « phishers » semblent reprendre du service une fois le premier trimestre de l’année écoulé. Les mails malveillants se multiplient et les pièces jointes vérolées bourgeonnent !

La cause : l’arrivée des déclarations fiscales en ligne. Les fraudeurs envoient ainsi des mails en provenance des autorités et demandent aux particuliers de fournir certaines informations. Ici, la ruse est de jouer sur la crédibilité et la peur de la majoration. Les impôts en ligne sont également une technique employée pour récolter vos informations personnelles et bancaires.

D’après le dernier rapport Anti-Fraude de RSA, plus de 24000 attaques de phishing ont été lancées en Mars, soit une augmentation de 27% par rapport à l’année dernière à la même période.

Pour se protéger :

o   Attention aux fautes d’orthographe ! Une simple erreur peut être le signe de la fausseté d’un site

o   Un lien peut en cacher un autre ! Ne cliquez pas sur les liens URL sensés vous permettre de modifier vos informations bancaires, surtout quand ils ne sont pas visibles et cachez derrière une image

o   Cadenassez vos informations ! Tout site officiel se doit de proposer à ses utilisateurs une interface sécurisée sur laquelle ils pourront fournir leurs informations sans risques qu’elles soient utilisées à mauvais escient. La présence d’un cadenas dans la barre des tâches est un signe de cette sécurité. Prudence, le HTTPS n’est pas obligatoirement signe de sécurité totale. Un pirate peut glisser une fausse page via une faille de type XSS, par exemple.

Fuite de données, Leak, Piratage

Yahoo piraté : 22 millions d’identifiants peuvent avoir été volés

Suite à la nouvelle de la toute récente acquisition de Tumblr pour 1,1 milliard de dollars, Yahoo est devenue une cible privilégiée des pirates informatiques. L’annonce d’une intrusion sur les serveurs de Yahoo Japon, indique que 22 millions d’identifiants de connexion – soit environ un dixième des abonnés de Yahoo au niveau mondial – pourraient avoir été volés par les pirates. Bien que l’envergure de l’attaque n’ait pas été confirmée, Yahoo Japon a admis son infrastructure avait été compromise et la société a déclaré qu’elle ne pouvait pas « nier la possibilité » qu’un fichier contenant 22 millions de nom d’utilisateurs ait pu être dérobés. Jean-Pierre Carlin, Directeur régional pour l’Europe du Sud chez LogRhythm, commente à datasecuritybreach.fr : « Si 22 millions d’identifiants utilisateur ont été volés, nous pouvons considéré cela comme un piratage à grande échelle. Malheureusement, il n’est plus rare d’entendre parler de ce type d’attaques d’envergure, et Yahoo est simplement la dernière société d’’une longue liste de grandes marques qui se rend compte que la question n’est plus de savoir « si » la société est attaquée, mais « quand » elle le sera.« 

Cependant, à porter à son crédit, Yahoo n’a pas tardé à communiquer à propos de cette attaque, et la société devrait également être félicitée pour avoir fourni à ses membres des conseils concrets sur la façon d’empêcher les pirates de compromettre leurs comptes individuels. Toutefois, à la suite d’une violation, quelle qu’en soit la sorte, il est aussi absolument vital d’étudier la manière dont les pirates ont réussi à s’introduire, pour ensuite à utiliser ces informations afin de renforcer les défenses de sécurité à l’avenir. Les indices seront contenus dans les messages d’activité. En analysant les millions – voire des milliards – de logs que chaque infrastructure informatique génère quotidiennement, les organisations peuvent recueillir des indications essentielles sur la façon dont les pirates sont capables d’infiltrer leurs réseaux, de cibler les fichiers de grande valeur ou les bases de données pour ensuite extraire ces informations à des fins de profit personnel.

C’est seulement à ce niveau d’intelligence réseau qu’une organisation peut améliorer sa stratégie de sécurité globale et être ainsi en meilleure position de contrecarrer les futures attaques. En effet, avec l’analyse en temps réel des données contenues dans les messages d’activité, les entreprises peuvent identifier les attaques ainsi que d’autres incidents inattendus au moment même où ils se produisent, permettant de stopper les pirates et d’éviter les gros titres médiatiques embarrassants qui accompagnent toute violation de données au sein d’une organisation. A noter que le protocole d’alerte de zataz.com, qui permet d’aider bénévolement des entreprises à se protéger face à une fuite, un piratage, … a alerté Yahoo! de plusieurs failles. des XSS et injection SQL.

Facebook, Particuliers, Twitter

Les enfants regardent du porno en ligne dès l’âge de six ans et flirtent sur Internet dès huit ans

2 commentaires

Selon une étude de Bitdefender que DataSecurityBreach.fr a pu consulter, recherche menée auprès de plus de 19.000 parents et enfants à travers le monde (États-Unis, France, Allemagne, Grande-Bretagne, Australie, Espagne et Roumanie), les enfants agissent aujourd’hui comme de jeunes adultes sur Internet.

Bien avant les réseaux sociaux (8.84 %) ou les sites de partage (9.71 %), les enfants s’intéressent en premier lieu à la pornographie en ligne (11.35 %).

Data Security Breach a pu lire que les enfants regardent du porno en ligne dès l’âge de six ans et flirtent virtuellement sur Internet à partir de huit ans. De plus, les enfants qui chattent avec leurs amis sur les messageries instantanées et jouent en ligne sont de plus en plus jeunes. En effet, 3.45 % des enfants qui chattent et 2% des addicts du jeu en ligne sont seulement âgés de cinq ans. Bitdefender révèle aussi que les enfants mentent sur leur âge lorsqu’ils créent leur profil sur les réseaux sociaux, notamment sur Facebook où l’âge minimum d’inscription est de 13 ans. En effet, près d’un quart des enfants interrogés dans le cadre de cette étude avaient au moins un compte sur les réseaux sociaux à l’âge de 12 ans tandis que 17% utilisaient déjà les réseaux sociaux à 10 ans.

Les adolescents, quant à eux, laissent les messageries instantanées aux plus jeunes et préfèrent pour certains d’entre eux se rendre sur des sites à caractère haineux, pour partager ce qu’ils détestent et utiliser un langage inapproprié. Plus de 17% des enfants qui lisent ou postent des messages haineux ont 14 ans, 16.52% ont 15 ans et 12.05% en ont 16.

TOP 10 Catégories Web qui intéressent le plus les enfants

Pornographie – 11.35%

Boutiques en ligne – 10.49%

Sites de partage – 9.71%

Réseaux sociaux – 8.84%

Actualités – 7.13%

Jeux – 5.91%

Rencontres en ligne – 5.77%

Business – 4.58%

Jeux – 3.14%

Sites haineux – 2.91%

Autres – 30.17%

« De nos jours, les enfants agissent comme de jeunes adultes sur Internet – donnez-leur un appareil connecté et ils trouveront le moyen d’avoir une activité totalement interdite par leurs parents. »,  Déclare à datasecuritybreach.fr Catalin Cosoi, Responsable des stratégies de sécurité chez Bitdefender. « Les dangers sur Internet ne sont pas seulement liés à la pornographie mais aussi au piratage informatique et aux sites Web qui incitent les enfants au suicide. Les parents doivent donc protéger à la fois la vie réelle et virtuelle de leurs enfants ».

Hacking

Anonymous s’attaque à la police

Pour commémorer la mort de 34 mineurs décédés sous les tirs des forces de l’ordre, Anonymous s’attaque au site officiel de la police sud-africaine. L’information n’est pas restée bien longtemps sur Internet. Une base de données contenant plus de 800 emails, identités, mots de passe (chiffrés en MD5), numéros de téléphone, appartenant au site Internet de la police d’Afrique du Sud saps.gov.za, a été diffusée vendredi 17 mai.

Derrière cette divulgation, des pirates informatiques signant sous le pseudonyme Anonymous. Les hacktivistes ont voulu manifester leur souvenir à l’encontre des 34 mineurs abattus lors d’une manifestation à Marikana, en août 2012. Les ouvriers d’une mine de platine s’étaient mis en grève.

Anonymous a voulu rappeler qu’aucun officier de policie n’avait été jugé. « Cette situation ne sera pas tolérée » indique les hacktivistes. Dans le document que la rédaction de datasecuritybreach.fr à reçu le week-end dernier, un fichier de 13Mo baptisé Emails.csv.

Cyber-attaque, Leak, Piratage

L’université de Moscou piratée

Suffisamment rare pour être noté, des pirates s’attaquent à la Russie et à l’université de Moscou. Voilà une attaque informatique qui intrigue sur plusieurs points. L’université de Moscou (Lomonosov Moscow State University – msu.ru) a été piratée par des hacktivistes turques. Il est très rare de voir un important site Russe finir dans les mains de pirates informatiques. D’abord en raison d’un manque de communication sur le sujet, communication « légèrement » contrôlée par l’état et des sociétés locales spécialisées dans la sécurité informatique qui n’hésitent pas à contacter les defaceurs et autres « fouineurs ». Ensuite, la législation locale ne laisse que peu de chance aux intrus locaux.

Sauf que dans ce cas, se sont des pirates du groupe 1923Turkz, sorte d’Anonymous politique du pays, à s’être énervés sur l’espace universitaire russe. Les « visiteurs » ont diffusé un extrait de la base de données qu’ils ont ponctionné à partir d’une bête SQL.

Une autre attaque turque, cette fois à l’encontre du site officiel du gouvernement d’Istanbul (istanbul.gov.tr) par la RedHack Team. Une défiguration pour commémorer le mort d’un homme, Yusuf Huseyin pendu le 6 mai 1972.

Cyber-attaque, Fuite de données, Leak, Piratage

Le ministére de la défense d’Arabie Saoudite infiltré

Un commentaire

Un compte email du ministère de la défense d’Arabie Saoudite infiltré par des pirates Syriens. Le groupe de pirates Syrian Electronic Army a délaissé, un peu, les attaques à l’encontre des comptes Twitter de grands medias. Le groupe de pirates pro gouvernement Syrien vient d’annoncer, avec preuves, l’infiltration d’un compte mails appartenant au ministère de la défense d’Arabie Saoudite. Le SEA indique bientôt diffuser des informations secrètes trouvées dans l’espace électronique. Le groupe a déclaré que cette fuite « comprend de la correspondance et des informations secrètes du ministère saoudien de la Défense … Elles ont été transmises au gouvernement syrien. » Ce même groupe avait déjà attaqué plusieurs sociétés pétrolières du royaume saoudien.

Justice

Vie privée et Google

Des internautes européennes encouragent l’Autorité de régulation à  « contrôler Google » sur les problématiques de vie privée. DataSecuritBreach.fr vient d’être informé que des internautes ont mandaté des avocats afin d’encourager vivement les autorités de régulation européennes, comprenant la Commission nationale de l’informatique et des libertés (CNIL), afin de mener des actions vigoureuses pour répondre une fois pour toutes aux violations répétées de la vie privée par Google et pour veiller à ce que Google se conforme pour l’avenir aux lois européennes.

Le cabinet d’avocats anglais Olswang collabore avec plusieurs avocats européens, comprenant HUGOTAVOCATS à Paris, pour écrire aux autorités de régulation en leur exposant les problématiques des consommateurs relatives à la consolidation par Google des données à caractère personnel. Le géant de l’internet centralise les données de l’ensemble de ses produits lui fournissant un enregistrement exhaustif des préférences de chaque internaute.

Olivier Hugot, Associé chez HUGOTAVOCATS, soutient à DataSecuritBreach.fr que les autorités de régulation doivent agir davantage pour s’assurer que les sociétés respectent la loi. « Toutes les sociétés doivent se conformer aux lois sur les données à caractère personnel lorsqu’elles collectent les données des utilisateurs, et Google n’est pas exempté. Malgré la réception de recommandations circonstanciées des autorités européennes de régulation relatives à ses traitements de données à caractère personnel, Google semble déterminé à les ignorer et à maintenir ses objectifs de créer des fichiers complets sur les consommateurs, rassemblant les données provenant d’origines variées. Les amendes des autorités de régulation telle que la CNIL ne semblent pas modifier l’approche institutionnalisée de Google » lancer tout de suite, réparer plus tard « en matière de vie privée des utilisateurs. Google recouvre ces amendes en très peu de temps. La seule manière de modifier le comportement de Google est, pour les autorités de régulation, d’imposer des sanctions coordonnées et effectives« .

Au Royaume-Uni, les consommateurs ont déjà engagé une action en justice contre Google pour violation de leur vie privée par l’installation de cookies pour suivre leurs activités en ligne malgré leur refus spécifique d’être suivis. Aux Etats-Unis, la société a accepté de payer 22,5 millions de dollars à la  » Commission Fédérale des Echanges  » (US Federal Trade Commission) pour mettre un terme à une action connexe. La société a essuyé de lourdes critiques pour d’autres violations, y compris la collecte illicite de données telles que des données bancaires provenant d’ordinateurs domestiques dans le cadre du développement de son produit Street View. Les militants comme Marc Bradshaw disent – ça suffit – « Je ne fais pas confiance à Google sur la vie privée. Il semble penser qu’il peut agir comme il le souhaite parce qu’il n’a rien à craindre des autorités de régulation. Les autorités de régulation doivent prendre une mesure exemplaire pour gérer une société déterminée à ignorer les droits des internautes. Ils doivent avec le gouvernement s’interroger sur la raison pour laquelle Google agit de la sorte de façon si fréquente et pour quelle raison il ignore les lois de ce pays. Quelque chose doit être fait pour contrôler Google et nous croyons que nos sanctions proposées pour les violations passées et actuelles de la vie privée devraient être exécutées « .

Les sanctions proposées par les militants comprennent :

– Avertissements clairs et simples sur la page d’accueil de Google expliquant comment et pourquoi les données sont collectées et tracées ;

– De revenir sur la fusion par Google de toutes les données de ses services ou, si cela n’est pas possible, de supprimer toutes les données illégalement fusionnées, avec une vérification indépendante de la suppression ; et

– Des excuses publiques mises en ligne sur la page d’accueil de Google.

Marc Bradshaw termine auprès de DataSecuritBreach.fr :  » Google est l’une des plus importantes sociétés au monde disposant d’immenses ressources financières et ayant accès aux meilleurs avocats au monde. Il ne devrait réellement pas revenir aux gens ordinaires d’avoir à combattre pour s’assurer que Google se conforme à la loi. Les autorités de régulation doivent relever ce défi et contrôler Google. S’ils échouent, chaque internaute dans ce pays en souffrira et le droit à la vie privée sur l’internet pourrait disparaître pour toujours « .

Android, RFID, Smartphone

Hack de badges Mifare Classic avec son smartphone

MIFARE est une technologie de carte à puce sans contact. Badge d’entreprise et autres moyens d’identification sans contact exploitent cette belle technologie installée dans plus 3,5 milliards de cartes dans le monde.

La plupart des smartphones NFC sont équipés d’une puce permettant l’émulation de cette carte. L’application pour Android NFC Mifare Classic Scanner, réalisé par Touf un informaticien chercheur Français, vient d’apparaitre dans sa seconde et nouvelle monture. Parmi les nouveautés de cet outil, la possibilités d’ajouter les clefs obtenues par d’autres moyens (libnfc, mfoc…) ; réalisation de scan très rapides en créant un template de la cible (quels secteurs doivent être lus, avec quelle clef…). Une possibilité offrant comme résultat le scan à la volée avec le téléphone en moins d’une seconde.

Export des résultats par mail au format .mfd (compatible libnfc et carte mifare chinoise) ou encore l’édition, modification de données lues pour réinjectées les données modifiées dans le badge. L’outil permet donc pas mal de manipulations techniques et légales. Il démontre aussi le danger de cette technologie. L’application ne fonctionne que pour les badges Mifare Classic mais permet de prouver la facilité de sauvegarder l’état d’un badge pour ensuite le remettre a zero (paiement à une machine à boisson, photocopieuse…) ; modification pour apparaitre comme un autre utilisateur.

« L’utilisation principale est de comprendre le fonctionnement des différents systèmes exploitant des cartes mifare classic » explique à DataSecurityBreach.fr l’auteur. Avec cette application, vous pouvez scanner le tag de vos badges aprés chaque utilisation et ensuite analyser les modifications. Pour les autres technologies autres que Mifare classic, l’outil ne qu’une identification de la technologie employée et un enregistrement de l’uid. (GooglePlay)

Entreprise

Le 26 juin : 11ème édition des Big Brothers Awards

Privacy France présente la 11ème édition des Big Brothers Awards le 26 juin 2013 à la Parole Errante à à Montreuil. Les Big Brother Awards sont de retour ! Après deux années d’absence, les césars du monde sécuritaire seront à nouveau décernés le 26 juin 2013, à partir de 19h, à la Parole Errante, à Montreuil. Douze ans après la première édition française, l’impertinente cérémonie, nommée d’après le personnage de fiction du roman 1984 de George Orwell, reprend du service pour récompenser les acteurs de la société de contrôle et de surveillance. Créés en 1998 au Royaume-Uni, puis repris dans près d’une vingtaine de pays, les Big Brother Awards (BBA) dénoncent, depuis lors, les « surveillants qui nous surveillent ». Au vu de la perte progressive de nos libertés individuelles, par le détournement de nos données personnelles, au travers de la prolifération des fichiers, par le durcissement sécuritaire des cadres législatifs et par la multiplication des dispositifs de surveillance dans nos villes, les tristement célèbres prix Orwell seront dépoussiérés, afin de mettre un coup de projecteur sur notre réalité sous surveillance.

L’objectif reste le même : « surveiller les surveillants » par un ciblage sélectif des dignes représentants de l’idéologie sécuritaire, notre jury étant, comme à son habitude, composé de défenseurs des droits, philosophes des libertés, journalistes, juristes, etc. ayant produit des analyses critiques sur le sujet. Toute institution, entreprise ou personne s’étant distinguée par son mépris du droit à la vie privée et/ou par sa promotion de la surveillance et du contrôle des individus peut être suggérée comme candidate. L’équipe des BBA vous invite donc à participer à cette grande traque en proposant vos candidats via le formulaire de nomination en ligne ou par mail (date butoir le 31 mai).

Pas d’attaques gratuites, il faut rapporter des faits avérés, accompagnés de sources identifiées. Rappelons que pour être éligibles, les candidatures doivent être basées sur des faits avérés et étayées par des sources publiques.

Cloud, Entreprise, Sauvegarde

Big Data

Le Big data, c’est aussi une question de sécurité ! Christophe Auberger, Responsable Technique chez Fortinet pour DataSecurityBreach.fr

Sécuriser le Big Data dans les Entreprises Nécessite la Mise en Application de Politiques Intelligentes ainsi que des Outils Analytiques Complets et Performants. Aborder la question de sécurité lorsque l’on parle de Big Data suscite souvent deux courants de pensées divergents de la part des professionnels de l’IT – le refus catégorique que le Big Data devrait être traité différemment de l’infrastructure réseau existante, et une réponse inverse se tournant vers une sur-ingénierie de la solution à adopter compte tenu de la valeur actuelle (ou perçue) des données impliquées.

Le Big Data, selon la définition de Gartner, représente des données informatives de gros volumes, d’une vélocité élevée et/ou d’une grande variété qui nécessitent de nouvelles formes de traitement pour permettre une meilleure prise de décision, conception d’idées et optimisation des processus. Le Big Data augmente les défis de sécurité dans les réseaux de données existants.

Voici les quatre aspects du Big Data, définis par IDC, qui suscitent des défis mais aussi des opportunités:

·        Le Volume: Le volume des données est passé de téraoctets à zettaoctets (1 zettaoctet représente 1021 octets ou 1 000 000 000  téraoctets) et au-delà

·        La Vélocité: La vitesse des données (entrée et sortie) passant d’ensembles de données statiques, créées une seule fois, à des flux de données en continu

·        La Diversité: La gamme de types et sources de données – structurées, non/semi-structurées ou brutes

·        La Valeur: L’importance des données dans leur contexte

Alors que le Big Data présente de nouveaux défis de sécurité, le point initial pour les résoudre est le même que pour toute autre stratégie de protection de données: celui qui consiste à déterminer les niveaux de confidentialité des données, à identifier et classifier les données les plus sensibles, à décider où les données critiques devraient être localisées, et à établir des modèles d’accès sécurisés tant pour les données que pour les analyses.

Planifier autour du cycle de vie du Big Data Protéger correctement le Big Data exige la définition de besoins spécifiques de sécurité autour du cycle de vie du Big Data. Généralement, cela commence par la sécurisation de la collecte des données suivi par celle de l’accès aux données. Comme la plupart des politiques de sécurité, une bonne évaluation des menaces du Big Data de l’organisation doit se faire en continu et viser à garantir l’intégrité des données stockées et sous analyse.

La performance est un élément clé lorsqu’on sécurise les données collectées et les réseaux. Les pare-feux et autres dispositifs de sécurité réseau, tels que ceux pour l’encryption, doivent être ultra performants pour pouvoir supporter de plus en plus de débit, de connexions et d’applications. Dans un environnement Big Data, la création et la mise en application des politiques de sécurité sont essentielles du fait de l’importance du volume de données et du nombre de personnes qui auront besoin d’y accéder.

La quantité de données accroit également la nécessité de prévenir les fuites de données. Les technologies de Prévention des Pertes de Données devraient être utilisées pour s’assurer que l’information n’est pas divulguée à des tiers non autorisés. Les systèmes d’intégrité des données et de détection d’intrusions internes doivent être utilisés pour détecter les attaques ciblées avancées qui contournent les mécanismes de protection traditionnels, par exemple, la détection d’anomalies dans les couches d’agrégation et de collectes. Tous les paquets de données, tous les flux de données, toutes les sessions et transactions devraient être inspectés de près.

Parce que le Big Data couvre des informations qui se trouvent dans une zone étendue provenant de sources multiples, les organisations doivent aussi pouvoir protéger les données  là où elles se trouvent. A cet égard, les systèmes de sécurité virtualisés fournissant une gamme complète de fonctionnalités de sécurité doivent être positionnées aux endroits stratégiques des architectures cloud hybrides, privées et publiques, fréquemment trouvées dans les environnements Big Data. Les ressources doivent être connectées de manière sécurisées et les données transportées depuis les sources de stockage du Big Data doivent également être sécurisées, typiquement via un tunnel IPSec.

Le Big Data, oui, mais avec les Bons Outils ! Alors que le Big Data présente des défis, il offre également des opportunités. Avec les bons outils, d’importantes quantités d’informations pourront être analysées, ce qui permettra à une organisation de comprendre et de comparer les activités dites normales. Si cette organisation peut alors surveiller les utilisateurs qui s’écartent de cette norme, cela permettra de devancer de manière proactive les potentielles fuites de données et systèmes.

Cet effort doit être soutenu par un personnel IT compétent et le déploiement efficace d’outils de sécurité appropriés. Ces outils sont des appliances dédiées de collecte de logs, d’analyse et de reporting qui peuvent en toute sécurité rassembler les données provenant des  dispositifs de sécurité et autres systèmes compatibles syslog. Ces appliances vont également analyser, rapporter et archiver les événements de sécurité, le trafic réseau, le contenu Web, et les données de messagerie. Ceci permet de facilement mesurer le respect des politiques et de produire des rapports personnalisés.

La difficulté à saisir, gérer et traiter les informations rapidement dans les environnements Big Data va continuer à rendre la sécurité un élément de second plan pour de nombreuses entreprises. Alors que la bande passante et le stockage continuent de croitre, la mobilité de ces gros ensembles de données augmente également, provoquant des brèches et la divulgation d’ensembles de données sensibles. Les menaces viendront probablement d’intrus manipulant le Big Data de manière à ce que les outils de business analytics et de business intelligence génèrent des résultats erronés et conduisent à des décisions de gestion qui pourraient être profitables aux intrus.

Même de petits changements dans le Big Data peuvent avoir un impact important sur les résultats. Les organisations ne doivent donc pas ignorer la nécessité de protéger les actifs du Big Data – pour des raisons de sécurité, de business intelligence ou autre. Elles doivent répondre aux principaux besoins du Big Data en termes d’authentification, d’autorisation, de contrôle d’accès basé sur les rôles, d’audit, de contrôle, de sauvegarde et de récupération. A plus long terme, l’analytique du Big Data impliquant l’évaluation et la surveillance comportementale deviendra également de plus en plus capitale pour répondre à la nouvelle génération de défis de sécurité IT.

BOX STORY 1: le SIEM, un Problème pour le Big Data Pour améliorer leur sécurité, certaines organisations ont des solutions SIEM (Security Information and Event Management ou de Gestion des événements et informations de sécurité) pour les aider à collecter et analyser les alertes de sécurité et les systèmes de logging. Cela peut, par inadvertance, toutefois, créer un problème pour le Big Data – dans le cas où chaque log et alerte sont collectés.

Pour éviter ce problème, les organisations devraient arrêter de considérer la sécurité comme un système purement défensif et plutôt penser à ajouter une couche d’abstraction au-dessus de toutes les données pertinentes de l’entreprise. Elles doivent se demander quelles sont les données pertinentes dans un contexte de sécurité. Evidemment, les logs au niveau du réseau (c’est-à-dire le pare-feu, IPS, etc.) et les logs d’accès utilisateurs restent nécessaires. Cependant, les logs de sécurité des terminaux, les logs liés au proxy et même les données d’inspection approfondie des paquets risquent de ne plus être pertinents.

BOX STORY 2

– Exemples de Big Data

·        Logs Web

·        Données RFID

·        Réseaux de capteurs

·        Données des réseaux sociaux

·        Documents  et textes Internet

·        Indexation des recherches Internet

·        Archivage des détails d’appels

·        Dossiers médicaux

·        Archives de photos

Banque, Entreprise

Un ancien pirate de CB invente un anti skimmer

Après son arrestation et un séjour en prison, un pirate informatique invente un nouveau système contre le piratage de données bancaires. Un ancien pirate informatique roumain, spécialisé dans le piratage de données bancaires via des skimmeurs, vient de mettre sur le marché une invention de son cru. L’outil est un système de protection contre le skimming, le piratage de votre carte bancaire via un distributeur de billets piégé.

Valentin Boanta, 33 ans, avait été arrêté en 2009. Il vient d’inventé un nouveau dispositif qui empêche les vols de données bancaires via un GAB, un guichet automatique de billets. Valentin Boanta a déclaré à l’agence de presse Reuters que son arrestation le rendait heureux parce qu’il avait pu se soigner de son addiction au piratage informatique « C’était comme une drogue pour moi« .

Le système inventé par l’ancien skimmeur, baptisé Secure Revolving System-SRS, est financé par une société de Bugarest, MB Telecom. A noter que cette société roumaine, connue aussi sous le nom de MB technology, est spécialisée dans les scanners. En 2012, MB a remporté un prix pour un scanner d’avion. En 2009, elle remportait le même prix pour un scanner à camion.

Selon l’ambassade américaine basée à Bucarest, les pirates roumains auraient volé environ 1 milliard de dollars aux américains en 2012. A noter que l’ancien pirate est toujours en prison. Il a écopé de 5 ans pour avoir créé et revendu des skimmeurs à la mafia locale.

Argent, Banque, Cyber-attaque, Entreprise, Fuite de données

13 Comptes en banque bloqués après le piratage de RPG

Le compte en banque de l’entreprise de télécommunication RPG piraté. Plus de 32.000 euros transférés. Des pirates informatiques ont réussi, en 3 heures, à pirater l’un des comptes bancaires de l’entreprise de télécommunication indienne RPG et à transférer 32.640 euros. Un compte courant basé dans la ville de Mumbai. L’attaque a été détectée le 11 mai dernier. L’argent détourné a été placé dans 13 comptes bancaires différents à Chennai, Coimbatore, Tirunelveli, Bangalore, Hyderabad, … Les comptes bancaires ouverts par les pirates ont été bloqués, mais les e.voleurs ont déjà mis la main sur l’argent liquide. La police a arrêté trois présumés membres de ce groupe de pirates qui retiraient des billets verts dans des banques de Coimbatore et Hyderabad. Les pirates ont réussi ce piratage via un courriel piégé. Un employé aurait ouvert un fichier joint dans un email. Dans le document numérique piégé, un cheval de Troie. (TI)

Cyber-attaque, Virus

Cyber-attaque orientée vers le Pakistan à travers de faux documents PDF

Datasecuritybreach.fr a appris d’ESET, pionnier en matière de sécurité proactive depuis 25 ans, la découverte d’une cyber-attaque ciblée qui tente de voler des informations sensibles provenant de différentes organisations, notamment au Pakistan (avec une portée limitée dans le monde).

Au cours de cette investigation, plusieurs pistes ont été découvertes qui indiquent que la menace est d’origine indienne et qu’elle sévit depuis au moins deux ans. Cette attaque ciblée a utilisé un certificat de signatures de code délivré par une société apparemment légitime qui aurait produit des signatures binaires malveillantes et favorisé leur potentiel de propagation. La société est basée à New Delhi et le certificat a été délivré en 2011. Le malware se diffuse à travers des pièces jointes aux e-mails.

« Nous avons identifié plusieurs documents différents qui évoquent plusieurs thèmes susceptibles d’être attractifs pour les bénéficiaires. L’un d’eux concerne les forces armées indiennes. Nous n’avons pas d’informations précises quant aux personnes ou organisations qui ont été plus particulièrement touchées par ces fichiers, mais sur la base de nos enquêtes, nous formulons l’hypothèse que des personnes et des institutions au Pakistan ont été ciblées », a déclaré à Datasecuritybreach.fr Jean-Ian Boutin, chercheur en malware chez ESET. Par exemple, l’un des fichiers PDF frauduleux a été diffusé par une archive auto-extractible appelée « pakistandefencetoindiantopmiltrysecreat.exe », et le système de supervision d’ESET montre que le Pakistan est fortement affecté par cette campagne avec 79 % des détections repérées dans ce pays.

Le premier vecteur de l’infection exploite une vulnérabilité largement utilisée et connue sous le nom CVE-2012-0158. Cette vulnérabilité peut être exploitée par des documents Microsoft ® Office spécialement conçus qui permettent l’exécution de code arbitraire. Les documents ont été transmis par email et le code malveillant s’exécute dès que le document est ouvert, sans que l’utilisateur de l’ordinateur attaqué s’en aperçoive. L’autre vecteur d’infection s’effectue via les fichiers exécutables Windows qui apparaissent comme des documents Word ou PDF diffusés par la messagerie. Dans les deux cas, pour échapper à la suspicion de la victime, de faux documents sont présentés à l’utilisateur lors de l’exécution.

Le malware a volé des données sensibles à partir d’ordinateurs infectés et les a envoyées vers les serveurs des attaquants. Il a utilisé différentes techniques de vols de données, parmi elles un keylogger, réalisant des captures d’écran et envoyant des documents de l’ordinateur infecté vers le serveur de l’attaquant. Fait intéressant, les informations volées à partir d’un ordinateur infecté ont été téléchargées vers le serveur de l’attaquant sans cryptage. « La décision de ne pas utiliser de cryptage est étonnante dans la mesure où cette opération est relativement simple  à utiliser et aurait pu masquer davantage l’opération», ajoute Jean-Ian Boutin.

Une analyse technique complète est disponible sur le site WeLiveSecurity.com – la nouvelle  plate-forme d’ESET dédiée à l’analyse des  cyber-menaces et aux conseils de sécurité.

Noms de détection

C’est une menace multi-partie et multi-vectorielle, dont les noms des menaces attribués par ESET sont les suivants :

Win32/Agent.NLD worm

Win32/Spy.Agent.NZD Trojan

Win32/Spy.Agent.OBF Trojan

Win32/Spy.Agent.OBV Trojan

Win32/Spy.KeyLogger.NZL

Trojan Win32/Spy.KeyLogger.NZN

Trojan Win32/Spy.VB.NOF

Trojan Win32/Spy.VB.NRP

Trojan Win32/TrojanDownloader.Agent.RNT

Trojan Win32/TrojanDownloader.Agent.RNV

Trojan Win32/TrojanDownloader.Agent.RNW

Trojan Win32/VB.NTC

Trojan Win32/VB.NVM

Trojan Win32/VB.NWB

Trojan Win32/VB.QPK

Trojan Win32/VB.QTV

Trojan Win32/VB.QTY

Trojan Win32/Spy.Agent.NVL

Trojan Win32/Spy.Agent.OAZ trojan

Argent, Arnaque, Cyber-attaque, escroquerie, Piratage

Augmentation de faux services de paiement en ligne au mois de juin

Les achats en ligne de voitures, motos et produits électroniques sont les plus risqués pour les acheteurs, comme pour les vendeurs !

Bitdefender, éditeur de solutions de sécurité, a indiqué à Datasecuritybreach.fr une étude sur les arnaques de services de paiement en ligne, pour la vente de particulier à particulier, dont le nombre et l’ampleur augmentent avant les vacances. Ces arnaques concernent de faux sites de paiement en ligne, créés par des pirates se présentant comme des tiers de confiance, censés assurer une transaction sécurisée entre vendeur et acquéreur et ainsi leur éviter les déconvenues d’une transaction en direct (non-réception de la marchandise ou non paiement). Bitdefender prévoit une augmentation de ce type d’arnaque au mois de juin, avant le début des vacances d’été, particulièrement pour la vente de voitures, de motos et de produits électroniques.

Après 10 mois de recherche, cette étude révèle que 16.8 % des arnaques de ce type, enregistrées ces 12 derniers mois, ont été créées au mois de juin. Les scammeurs sont, en effet, plutôt actifs dans la création de faux sites de paiement en ligne avant les périodes de vacances. Après une diminution stable de juillet à octobre, le nombre de ces faux sites commence ainsi à augmenter avant les vacances d’hiver, et plus particulièrement en décembre. Une recrudescence est ensuite notée en février, avec un pic à plus de 17% des arnaques détectées.

Cette étude de Bitdefender, réalisée sur plus de 2 000 faux sites Web de paiement en ligne, montre aussi que les voitures, les motos et les produits électroniques sont en tête de liste des articles utilisés par les scammeurs pour escroquer les clients en ligne. Les scammeurs se font généralement passer pour des vendeurs légitimes, sur de vrais sites de vente en ligne, et redirigent ensuite les acheteurs sur le faux site de paiement qu’ils contrôlent. Les scammeurs récupèrent ainsi l’argent et ne livrent bien entendu jamais les marchandises.

Top 5 des articles utilisés dans les arnaques de faux paiements en ligne :    Les voitures ;    Les motos ;    Les produits électroniques  ;   Les articles de valeur ;    Les vélos. Parmi les services également pris en charge par les scammeurs, via de fausses transactions, Bitdefender dénombre : les dépôts bancaires (versements), le transfert de dossiers médicaux ou encore d’échantillons liés à des analyses médicales.

« Les scammeurs peuvent être tout à fait convaincants – c’est précisément comme cela qu’ils gagnent de l’argent » déclare à Datasecuritybreach.fr Catalin Cosoi, Responsable des stratégies de sécurité chez Bitdefender. « Ils se donnent beaucoup de mal pour donner l’impression d’être légitimes, au point même de conseiller à leurs cibles de se protéger contre la fraude à la carte bancaire. Afin de rassurer leurs victimes, l’usage classique est qu’ils ne demandent jamais d’informations bancaires, ce qui au final ne change rien dans le cas de cette arnaque, puisque les escrocs reçoivent directement un transfert d’argent. »

Datasecuritybreach.fr conseille vivement aux utilisateurs de vérifier les informations WHOIS (enregistrement de domaine, hébergement, activité en ligne) avant tout paiement en ligne ou utilisation d’un service de transfert d’argent, censé sécuriser la transaction. En effet, contrairement aux vrais sites, plus de 90% des faux sites de paiement en ligne sont enregistrés seulement pour un an.

De plus, les vrais sites de paiement en ligne utilisent des serveurs de connexions sécurisées (SSL) pour protéger les clients. Ces derniers doivent donc voir apparaître une adresse commençant par « https:// » dans la barre de leur navigateur. Malgré tout, les sites frauduleux peuvent « emprunter » le logo des services de vérification SSL, les utilisateurs sont donc invités à vérifier que le site est bien identifié par la société d’authentification et à effectuer quelques vérifications en ligne concernant ce tiers de confiance. Bien souvent, une simple recherche Web permet d’éventer le piège en tombant par exemple sur des témoignages d’utilisateurs, victimes de ce type d’arnaque.

Android, Cyber-attaque, Sécurité, Smartphone

Une nouvelle donne pour les malware Android ?

Le dernier Rapport sur les Menaces Mobiles de F-Secure que Datasecuritybreach.fr a pu consulter rapporte une série de nouveaux malware Android, qui utilisent par exemple la messagerie en plus des applications pour se propager et infecter les appareils.

Le premier trimestre 2013 a été marqué par des nouveautés du côté des  malware Android, qui se veulent de plus en plus complexes. Le Rapport sur les Menaces Mobiles de F-Secure du premier trimestre 2013 présente la première offensive dont la diffusion s’est faite hors des applications, (via des e-mails de spam), les premières attaques Android ciblées, et la première escroquerie prétextant une avance de frais. En parallèle, les revendeurs de malware Android se multiplient sur le web.

Le nombre de familles et variantes de menaces mobiles est en  augmentation de 49 % par rapport au trimestre dernier, passant de 100 à 149. Parmi celles-ci, 136 (soit 91,3% d’entre elles) visaient Android et 13 (soit 8,7%),, étaient conçues pour Symbian. Pour rappel, 61 familles et variantes de menaces avaient été découvertes au premier trimestre 2012… cette croissance est donc à l’image de celle des parts de marché d’Android : exponentielle.

« Les nouvelles techniques utilisées par les cybercriminels pour attaquer Android sont inquiétantes », déclare à Data Security Breach Sean Sullivan, Security Advisor du Lab F-Secure. « A titre d’exemple : jusqu’à présent, je ne me suis jamais inquiété pour ma mère et son mobile Android, car elle n’utilise pas d’applications. Aujourd’hui, j’ai des raisons de m’inquiéter : avec des menaces comme Stels, des malware Android se propagent dans des spams, et ma mère consulte ses e-mails avec son mobile. ».

Ce cheval de Troie Android, plus connu sous le nom de Stels, a commencé à se répandre via un email falsifié de « l’U.S Internal Revenue Services », transportant un logiciel malveillant vendu sur Internet, conçu pour voler des informations confidentielles présentes dans les appareils Android et faire de l’argent en passant des appels à des numéros surtaxés. D’après Sean Sullivan, cet exemple de banalisation des malware « pourrait changer la donne ».

Le premier trimestre a été le théâtre des premières attaques ciblées utilisant des logiciels malveillants Android. Ainsi, des militants des droits de l’homme Tibétains ont été la cible d’emails contenants des pièces jointes infectées par des malware Android. De même, et un soi-disant «  coupon de réduction » pour une chaine de café très populaire a permis de soutirer des informations à des téléphones localisés en Corée du Sud.

Des mobiles indiens ont été spécifiquement pris pour cible, avec ce qui constitue la première escroquerie Android prétextant une avance de frais. Dans ce cas, une fausse application Android « d’offres d’emploi » en Inde, informe son utilisateur qu’il est retenu pour un poste au sein de TATA Group, une multinationale indienne. Pour organiser l’entretien d’embauche, l’application demande un dépôt de garantie remboursable.

BYOD, Fuite de données, Logiciels, Sauvegarde

Comment rester conforme lorsque tout change ?

Par Thierry Karsenti, Directeur Technique Europe Check Point pour DatasecurityBreach.fr.

Nous voulons tous croire que nos réseaux sont entièrement protégés, que nos procédures et politiques sont totalement conformes avec les législations qui gouvernent nos secteurs. Malheureusement, croire en quelque chose ne signifie pas toujours que c’est réel. En réalité, le paysage de la sécurité évolue trop rapidement pour que les entreprises puissent rester protégées en permanence contre toutes les menaces. Nous avons réalisé en 2012 des audits de sécurité approfondis auprès de 900 entreprises à travers le monde, et avons constaté que 63% d’entre-elles étaient infectées à leur insu par des bots. Ces bots communiquent avec leurs centres de contrôle externes au moins une fois toutes les 2 heures et siphonnent activement les données des entreprises infectées.

Toutes ces entreprises sont équipées de multiples technologies de protection, telles que pare-feux, antivirus, etc., mais sont pourtant infectées, parce que leurs solutions de sécurité ne sont pas mises à jour régulièrement, ou bien parce que des changements intervenus dans leur réseau ont introduit des vulnérabilités. Dans de nombreux cas, ces infections sont la conséquence de messages de phishing ou de pièces jointes infectées ciblant les employés.

Les mails ne sont pas tous vos amis De plus, les problèmes de sécurité ne sont pas uniquement limités aux réseaux. 54% des entreprises ont subi des pertes de données suite à l’envoi d’emails à des destinataires externes par erreur ou à la publication d’informations en ligne par erreur. Il n’est donc pas surprenant qu’en mars dernier, l’Agence européenne pour la sécurité informatique et la sécurité des réseaux (ENISA) ait appelé à des actions urgentes pour lutter contre les nouvelles tendances des cyberattaques. L’ENISA est également allée plus loin en recommandant aux gouvernements et aux entreprises d’étudier des alternatives au courrier électronique, offrant une meilleure protection aux utilisateurs, ce qui confirme bien que la tâche de protéger la messagerie d’entreprise et la maintenir conforme devient insurmontable pour de nombreuses entreprises.

Ajoutez à cela la récente législation édictée par la Commission européenne sur la cybersécurité, qui élargit considérablement l’obligation de signaler les fuites de données. En conséquence, les entreprises sont confrontées à des défis croissants en matière de sécurité et de conformité.

Tout change Le défi de conformité est double. Comme nous l’avons évoqué plus tôt, la gestion courante d’un réseau introduit des changements quotidiens au niveau des équipements et des topologies. Chaque changement effectué, peu importe son ampleur, peut affecter la conformité de l’entreprise. Pour les entreprises possédant plusieurs sites en particulier, il peut être difficile pour les équipes informatiques de savoir précisément ce qui se passe sur chaque site.

Deuxièmement, la conformité n’est pas uniquement une question informatique. Il s’agit également des actions et des comportements humains, qui sont enclin à changer aussi souvent que le réseau, même si les employés reçoivent régulièrement des formations sur l’utilisation appropriée des ressources. Comme les entreprises ont de plus en plus besoin de se conformer à plusieurs réglementations (des études montrent que les entreprises de la liste Fortune 1000 doivent obéir à plus de 30 réglementations différentes), la mise en œuvre des contrôles et des politiques de sécurité pour répondre à ces exigences est devenue un sérieux défi.

Ce n’est cependant que la première étape. Les systèmes doivent également être supervisés et contrôlés régulièrement pour assurer leur conformité permanente, et il est nécessaire de présenter une analyse de la conformité en vue de rapports et d’audits. Comment les équipes informatiques des entreprises peuvent-elles répondre à ces demandes complexes et changeantes, lorsqu’elles n’ont ni les ressources ni la main-d’œuvre pour éplucher continuellement les journaux d’événements système ?

L’automatisation est la solution Pour suivre le rythme de ces demandes, il est nécessaire de pouvoir superviser automatiquement et en temps réel le réseau, les règles de sécurité et la configuration des produits de sécurité, et pouvoir mesurer l’impact des changements sur la sécurité et la conformité de l’entreprise. Une visibilité sur l’état du réseau via un tableau de bord unifié permet aux équipes informatiques de traquer et identifier les problèmes potentiels de connectivité et de trafic, et mettre en évidence les zones à risque en matière de sécurité – telles que la manière dont les différents pare-feux du réseau sont configurés, et quelles règles de sécurité sont actives sur ces équipements.

L’automatisation peut apporter aux équipes informatiques la visibilité et la réactivité dont elles ont besoin pour traiter rapidement les problèmes réseau avant qu’ils ne se transforment en risques graves. Comment les équipes informatiques peuvent-elles exactement connaître l’état de leur conformité à tout moment, au niveau des réglementations qui touchent leur secteur ? C’est à ce niveau que des outils de conformité appropriés peuvent faire une réelle différence.

En plus de permettre un management avancé du réseau et de la sécurité, un outil efficace de conformité doit être en mesure de comparer l’état de conformité des passerelles et autres équipements de sécurité avec une vaste bibliothèque de bonnes pratiques, de réglementations et de directives de sécurité. La solution doit alors superviser automatiquement les changements apportés aux règles et aux configurations, alerter les équipes informatiques de l’impact de ces changements, et suggérer des corrections pour maintenir le niveau de sécurité et de conformité. Il est également presque aussi important de pouvoir repérer et résoudre les problèmes, et documenter l’état de la sécurité de l’entreprise – pour démontrer la conformité à la direction et à des auditeurs externes.

L’automatisation aide les entreprises à regagner le contrôle de leur conformité. La solution appropriée doit aider les équipes informatiques à traquer les problèmes potentiels, à mettre en évidence les zones à risque, à comparer l’état actuel de la conformité avec les meilleures pratiques et les réglementations en vigueur, et faire des recommandations adéquates pour maintenir le niveau de sécurité et de conformité. Même si des changements sont inévitables, leur impact sur la conformité et la sécurité d’une entreprise peut être minimisés.

Justice, Particuliers, Twitter

Twitter obligé de fournir les infos d’un utilisateur Français

La justice Française oblige Twitter à fournir les données d’identification d’un usurpateur. Il y a quelques jours, le Tribunal de Grande Instance de Paris, a fait une injonction à Twitter de fournir les données d’identification d’un usurpateur ayant utilisé le système de micro blogging. La société américaine est menacée de 500€ d’amende, par jour, en cas de non fourniture des informations réclamée par la justice. Des données qui doivent permettre de remonter à l’usurpateur. On se souvient que Twitter avait refusé de fournir des informations sur des diffuseurs de messages racistes. On doute que 500€ par jour face plier le géant américain. (Legalis)

Sécurité, Smartphone

Tenter de cadrer les Adwares

Les Adwares, DataSecurityBreach.fr vous parle très souvent de ces programmes publicitaires associés à des réseaux publicitaires présentent des risques pour la confidentialité des utilisateurs et nuisent à leur expérience de navigation. Si la majorité des publicités apparaissent en toute légitimité sur les appareils mobiles, une poignée de réseaux publicitaires présentent clairement un risque pour les utilisateurs. Comme les annonceurs, les réseaux publicitaires ont accès à d’énormes volumes de données personnelles et jouent un rôle clé au cœur de l’écosystème de la mobilité. Il est donc crucial qu’ils assurent la confidentialité des données des utilisateurs. Il n’existe pour le moment pas de système de classification formel et normalisé au sein de l’industrie de la mobilité pour les publicités mobiles. Un manque de clarté qui est pénalisant pour les utilisateurs.

De nouvelles règles et standards C’est la raison pour laquelle Lookout a dévoilé à Data Security Breach de nouvelles règles et standards qui définissent les pratiques acceptables en matière de publicité, garantes d’une expérience utilisateur agréable et d’un respect réel de la confidentialité. L’éditeur laissera suffisamment de temps aux différents acteurs de l’industrie – régies publicitaires, annonceurs, développeurs d’applications –  pour qu’ils puissent revoir leurs pratiques. A compter du 13 juin, les publicités qui ne se conforment pas à ces bonnes pratiques et règles seront placées dans la catégorie des programmes publicitaires. Par ailleurs, dans 45 jours Lookout considérera comme logiciels publicitaires les réseaux publicitaires qui ne sollicitent pas ouvertement le consentement de l’utilisateur avant d’effectuer les actions suivantes :

· affichage de publicité en dehors du périmètre de l’application ;

· collecte insolite d’informations permettant d’identifier l’utilisateur ;

· exécution d’actions inattendues suite au clic sur une publicité.

Protéger avant tout les utilisateurs

Pour l’éditeur, l’utilisateur doit pouvoir donner son consentement après avoir reçu une alerte claire et lisible, qui le prévient que l’application inclut un réseau publicitaire capable d’effectuer au moins une des actions citées ci-dessus. L’utilisateur doit se voir offrir la possibilité d’accepter ou de refuser. L’alerte doit être mise en avant, sans être noyée au milieu des conditions d’utilisation ; tous les développeurs d’applications ont l’obligation de la prévoir dans leur code. Tout réseau publicitaire qui effectue les actions listées ci-dessous, sans demander au préalable l’accord de l’utilisateur, sera considéré comme un logiciel publicitaire à compter du 13 juin 2013.   Les réseaux publicitaires qui affichent leurs publicités en dehors du périmètre de l’application, doivent demander au préalable le consentement de l’utilisateur avant d’effectuer les actions suivantes :

· affichage de publicités dans la barre de notification du système (il s’agit des publicités en mode « push ») ;

· affichage de nouvelles icônes ou de nouveaux raccourcis sur le bureau mobile ;

· modification des paramètres du navigateur, tels que les favoris, sur la page d’accueil par défaut ;

· modification des paramètres de numérotation du téléphone, comme par exemple la sonnerie.

Collecte insolite d’informations

d’identification Lookout estime que les réseaux publicitaires n’ont pas besoin, dans la plupart des cas, de collecter des informations permettant d’identifier une personne s’ils n’ont pas obtenu son accord préalable. Lorsque l’application qui les contient est exécutée pour la première fois, ces réseaux doivent solliciter le consentement de l’utilisateur pour collecter les éléments suivants :

· numéro MSISDN de l’utilisateur (numéro de téléphone) ;

· adresse email de l’utilisateur ;

· historique de navigation de l’utilisateur, ou de ses appels et SMS ;

· numéro IMSI de l’utilisateur (sauf si utilisé à des fins autres que publicitaires comme par exemple par l’opérateur pour la facturation).

Actions inattenduesconsécutives à un clic

Si, pour quelque raison que ce soit, un réseau publicitaire émet des appels téléphoniques ou envoie des SMS dès qu’un utilisateur clique sur une publicité, ou pour toute autre action, il doit lui demander au préalable son consentement et ceci à chaque fois.

Android, Biométrie, Chiffrement, cryptage, Cybersécurité, Espionnae, Fuite de données, Sauvegarde, Sécurité

Chiffrer sa vie privée sur le web

2 commentaires

DataSecurityBreach.fr vous le conseille très souvent : sur Internet, les informations que nous diffusons douvent être, un maximum, chiffrées, protégées, … des regards instigateurs. Les sources de fuites et de regards sont nombreux, très nombreux (Etats, entreprises, marketing, Google, …). Il est possible de se cacher. Non pas que nous soyons de dangereux terroristes à la solde d’un groupuscule venus de l’espace. Non, nous souhaitons juste avoir la possibilité de protéger ce qui nous appartient, notre vie privée.

Sur la toile, donc, difficile d’être « secret », mais les outils existent pour se protéger. Commençons par les envies de causer, en paix. De plus en plus de personnes exploitent le « tchat » de Facebook. Sauf que ce dernier, en plus de ne pas être parfaitement sécurisé, laisse de nombreuses traces dans les serveurs du géant américain. Un exemple que datasecuritybreach.fr vous propose d’effectuer. Vous avez un smartphone et un pc. Dans les deux cas, vous êtes connectés à Facebook. Votre smartphone a l’application Facebook activée, cela vous permet de recevoir, par exemple, des notifications de messages, de pokes, … Sur votre PC, vous causez, et causez encore ! Vous prenez soin, à chaque fin de « bla bla » d’effacer la conversation. Vous vérifiez, et effectivement, Facebook a détruit le contenu. Sauf que si vous vous rendez dans l’application de votre smartphone, miracle, les messages effacés ne le sont plus. Il vous faudra, donc, effacer de nouveau le contenu. Attention, n’utilisez pas l’application pour informer votre contact… au risque de revoir les messages réapparaitre dans le Facebook de votre ordinateur.

Bref, tchater, ok, mais tchater sécurisé, c’est mieux. Pour les utilisateurs de Firefox/Chrome, l’outil Crypto chat (Crypto Cat) est fait pour vous. L’addon s’installe dans votre navigateur. Il suffira, ensuite, de fournir un identifiant de connexion à vos interlocuteurs. Les conversations seront sécurisées par un chiffrement. Autres possibilités Threat Model ; intra messenger ou encore anonpaste.me. Il existe des possibilités de messagerie instantanée et visio-conférences avec Jitsi et Frama Soft.

 Après le tchat, vous allez avoir envie de communiquer fichiers, textes. Dans les possibilités ZeroBin, One Time Secret, Just Beam It, PrivNote. Pour finir, n’oubliez pas de chiffrer vos courriels. Pour les plus techniciens, le logiciel GPG est indispensable. Il réclame un peu de temps d’apprentissage et que vos correspondants utilisent aussi GPG (ou pgp). Mais son efficacité n’est plus à démontrer. Attention, des solutions gratuites comme PrivacyBox, ne sont plus exploitable pour des raisons internes aux créateurs. Pour le cas, de privacy box, une sombre affaire de possibilité d’espionnage.

A noter qu’il existe aussi des solutions de sécurisation des courriers et fichiers via l’autodestruction comme Privnote ; SebSauvage, One time secret ou encore Just bea mit ou encore AnonBox.tk. Pour le téléphone, zatazweb.tv, présente dans son émission du mois de mai une application qui permet de chiffrer les conversations téléphoniques.

Une sécurisation qui peut être accentuée en utilisant, par exemple, des clés USB chiffrées comme celle proposée par la société Integral (La crypto Dual – AES 256 bit) ou encore la clé USB biométrique de chez BEFS.  En vacances, en déplacement professionnel, ou tout simplement au bureau. Ce support de sauvegarde ne fonctionne qu’ave la présentation d’un doigt préenregistré.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Fuite de données, Leak, Patch, Sauvegarde

Les gens prennent soin de protéger leurs données mais négligent certaines mesures élémentaires

Un commentaire

Une étude que datasecuritybreach.fr a pu consulter, réalisée par Varonis, leader des logiciels complets de gouvernance des données, indique que la grande majorité des gens comptent que les entreprises protègent leurs données, malgré le nombre élevé de brèches de sécurité signalées. L’étude montre que la plupart des personnes interrogées ont généralement de bonnes pratiques de sécurité, mais ont néanmoins des comportements à risque qui pourraient permettre à des pirates d’accéder à leurs données.

La recherche révèle qu’une majorité écrasante de 91 % des personnes interrogées supposent que les entreprises protègent leurs données personnelles et leurs identités en ligne, et cela en dépit du fait que 93 % des grandes entreprises et 87 % des petites entreprises ont connu en 2013 des failles de sécurité des données. D’une façon générale, l’étude montre que la sécurité des données a une grande valeur : 97 % des répondants préfèrent faire affaire avec une entreprise qui protège leurs données et 54 % se déclarent prêts à payer plus cher s’ils pensent qu’une entreprise protège efficacement leurs données.

Les participants à l’enquête ont fait état de plusieurs habitudes de sécurité en ligne qui seraient mises en évidence dans n’importe quel rapport de sécurité. L’étude a établi que 71 % regardent les dispositions en petits caractères des accords de licence d’utilisation et autres conditions générales.

La sécurité mobile est également prioritaire : plus des trois quarts (77 %) protègent leur téléphone par un mot de passe, et près de la moitié (47 %) utilisent une authentification à deux facteurs pour protéger leur email personnel et leurs services en ligne.

Malheureusement, Varonis a aussi découvert quelques mauvaises habitudes troublantes. Si les participants protègent avec soin leur téléphone par un mot de passe, 61 % utilisent toujours ou fréquemment le même mot de passe sur des sites web ou des applications différents, mettant ainsi leurs informations personnelles en danger. Les deux tiers des participants (67 %) reconnaissent ou soupçonnent qu’ils ont envoyé par email des informations personnelles non cryptées à une entreprise.

« Il est encourageant de constater que les gens recherchent les entreprises qui parviennent mieux à sécuriser leurs données », explique David Gibson à Data Security Breach, vice-président de Varonis. « Cependant, le grand nombre de piratages qui se produisent presque tous les jours indique que les entreprises, comme les individus, ont encore du mal à mettre en oeuvre les bases nécessaires à la sécurisation de leurs données. »

Les personnes doivent se concentrer sur l’élimination de mauvaises habitudes numériques et prendre davantage le contrôle de leur sécurité. Les entreprises ont leur part à jouer pour s’assurer que les départements informatiques mettent en œuvre les bonnes pratiques élémentaires de sécurité.

Quelques recommandations de DataSecrityBreach.fr

.    Sachez où se trouvent vos informations, qui peut y accéder, et comprenez ce que les fournisseurs de service peuvent faire de vos données sans votre consentement explicite

.    N’envoyez jamais par email de données personnelles ou autres données sensibles non cryptées, spécialement les numéros de compte, de carte de crédit et de sécurité sociale, ainsi que les informations ayant trait à la santé 3.    Choisissez des mots de passe forts — mélangeant majuscules et minuscules, chiffres et symboles spéciaux — et utilisez un mot de passe unique pour chaque site. Les gestionnaires de mots de passe sont d’un grand secours dans ce but.

·      Authentification : vérifiez que toute personne accédant à un compte soit vraiment qui elle prétend être ; l’utilisation de plusieurs facteurs est préférable

·      Autorisation : assurez-vous que les employés ont exclusivement accès aux données dont ils ont besoin

·      Audit : surveillez tous les accès

·      Alerte : analysez l’activité à la recherche d’abus potentiels

.     Assurez-vous que les employés utilisent des plateformes sécurisées et autorisées

.     Concentrez-vous sur l’équilibre entre productivité et sécurité : les employés ont besoin d’une expérience de travail moderne qui ne fasse pas courir de risques aux données de l’entreprise.

L’occasion pour les particuliers de faire de même. Voici 6 conseils pratiques pour mettre en ordre son ordinateur et faire le grand ménage de printemps.

.            Sauvegarde des fichiers. Les utilisateurs ont tendance à conserver des fichiers importants et en grande quantité sur leur système sans jamais les stocker. Or, si le système « crash », toutes ces données seront perdues.  La solution la plus simple et efficace est alors de stocker les données les plus sensibles sur un disque dur externe.

.            Nettoyage du registre du système. Le système accumule de nombreux fichiers temporaires au cours de sa vie, surtout en surfant sur Internet.

Pour qu’il fonctionne plus rapidement, la suppression de ces fichiers est alors indispensable. Il existe plusieurs outils pour supprimer les anciennes entrées de registre (sur les PC) comme le fait de vider sa corbeille régulièrement, de supprimer les fichiers temporaires Internet et les cookies, ainsi que son historique de navigation. CCleaner est un outil connu gratuit qui peut effectuer ces tâches, néanmoins une plateforme de sécurité complète telle que Kaspersky PURE 3.0 contient des outils pour nettoyer son PC qui pourront réaliser la même opération tout en protégeant également le système.

.            Défragmentation du disque dur. Il s’agit d’une option sur les systèmes Windows qui augmente la vitesse et l’efficacité du système. Sur Windows 8, cette fonctionnalité se trouve dans « Fichiers » en cherchant « défragmenteur », sur une ancienne version de Windows dans « Programme », «Accessoires », et ensuite « Outils système ». L’utilisation du défragmenteur de disque prend un certain temps et oblige de laisser son PC « au repos ». Il est donc préférable de lancer la défragmentation quand l’utilisateur est absent de chez lui ou lorsque qu’il effectue d’autres activités.

.            Suppression des programmes inconnus.  Il y a de grandes chances pour qu’au fil du temps, les programmes inutilisés s’accumulent sur le système. Mais ces programmes occupent de l’espace sur le disque et ralentissent tout le système. Sur Windows, l’opération à suivre est la suivante : cliquer dans le panneau de configuration, puis sélectionner « Ajouter/supprimer des programmes ». Examiner la liste – sélectionner les programmes inutilisés cette année pour les supprimer. Sur Mac, ouvrir le LaunchPad, et déplacer les icônes des applications inutilisées dans la corbeille.

.            Changement des  mots de passe. Il s’agit d’une étape importante à effectuer régulièrement qui peut-être couplée à la mise à jour du système. Le mot de passe idéal doit être long et compliqué : le mélange des lettres et symboles non-alphanumériques permet de complexifier les mots de passe. Le classique « 123456 » est à éviter ! L’accumulation de mots de passe différents et complexes rend difficile leur mémorisation, l’utilisation d’un gestionnaire de mots de passe facilite grandement cette tâche.

.            Installation des mises à jour des programmes. Il est nécessaire de réaliser régulièrement les mises à jour car celles-ci contiennent les derniers patchs de sécurité. Les versions plus anciennes ont plus de risque d’être exploitées par des pirates informatiques qui trouvent des faiblesses dans les programmes dépassés. Sur Windows, cliquer sur le bouton « démarrer » puis se rendre dans le panneau de configuration, cliquer sur « tous les programmes » et ensuite sur « Windows Update ». C’est ici que se trouvent l’ensemble des mises à jour pour l’ordinateur. La dernière étape est de cliquer sur « rechercher des mises à jour » afin de savoir si l’ordinateur est bien à jour.

Hacking

La dernière technologie de reconnaissance faciale atteint une vitesse supersonique

Herta Security(R) annonce le lancement de BioSurveillance Next(TM), la solution de reconnaissance faciale la plus rapide au monde pour les applications de vidéosurveillance. BioSurveillance Next sera présentée au salon international IFSEC consacré à l’industrie de la sécurité, qui se déroulera du 13 au 16 mai à Birmingham (Royaume-Uni). Quarante fois plus rapide que les technologies de reconnaissance faciale traditionnelles basées sur un microprocesseur, BioSurveillance Next peut traiter en temps réel un enregistrement ou une vidéo en direct en haute définition, au débit incroyable de 150 images par seconde à l’aide d’une technologie exploitant un processeur graphique (GPU). Spécialement conçue pour l’identification de visages parmi la foule, la technologie avant-gardiste d’Herta Security fait avancer l’industrie de la sécurité d’un grand pas.

Le Dr Rodríguez Saeta, PDG d’Herta Security, a déclaré :  » Herta s’engage à innover et à fournir des solutions pour la nouvelle ère des caméras de surveillance atteignant le mégapixel. La technologie de vidéo sur IP réalise des progrès quotidiens et il existe d’innombrables possibilités pour la technologie de reconnaissance faciale. Nous sommes surpris par la quantité de demandes provenant de nombreux pays où la sécurité est devenue un facteur crucial pour la croissance des entreprises. BioSurveillance Next est la solution idéale pour réduire la criminalité dans le secteur de la vente au détail, ainsi que dans d’autres secteurs traditionnels tels que les infrastructures sensibles, les banques, les établissements de jeu ou les services des forces de l’ordre. « 

La solution BioSurveillance Next peut être intégrée aux systèmes de vidéosurveillance et de gestion vidéo (SGV) ou fonctionner de manière autonome. Elle peut être ajoutée à des systèmes de vidéosurveillance existants. Entièrement évolutif, le système est capable d’identifier simultanément plusieurs visages en mouvement, ce qui le rend idéal pour les scénarios impliquant une foule. BioSurveillance Next emploie la dernière technologie de processeurs graphiques, un nouveau paradigme de l’industrie dans le domaine de la vision par ordinateur.

Cybersécurité, Twitter

Vague de piratage de comptes Twitter

Un commentaire

Piratage des Twitters de la FIFA, Justin Bieber, Angelina Joli, Guy Birenbaum, … mais comment font les pirates ? Explication ! Depuis quelques semaines, les comptes Twitter de nombreux média, stars ou journalistes se font pirater, un par un. Des attaques qui donnent l’impression aux témoins de la cybercriminalité que nous sommes depuis plus de 20 ans que les pirates ont un « sésame ouvre toi » en main. Ce fameux petit bouton pressoir qui permet de prendre la main sur un Twitter en deux clics de souris.

L’une des possibilités de ces attaques, des cross-sites scripting cachés dans Twitter ou dans des outils tiers comme TwittDeck. Comme le montre les captures écrans si dessous, Twitter recèle quelques XSS, des Cross-Sites Scripting, qui permettent de mettre la main sur le cookies de connexion (bilan, un pirate pourrait prendre la main sur la session en cours) ; afficher une page phishing via l’url officiel (Bilan, l’internaute pense être chez Twitter et se retrouve à fournir login et mot de passe au pirate). Il se peut, aussi, que les malveillants ont réussi à mettre la main sur les données de connexion en piégeant leurs cibles via d’autres outils (Cheval de Troie), page d’hameçonnage ou tout simplement usant de social engineering. Dernière méthode plus hasardeuse, mais qui a déjà prouvé son efficacité. Le mot de passe utilisé n’est-il pas inscrit dans le blog, le Facebook de la personne piratée ? (date de naissance, ville, métier, famille, …)

  

Pour se protéger d’une attaque utilisant une XSS :

1- Ne cliquer sur aucun lien extérieur. Préférez, toujours, taper l’url dans votre navigateur.

2- Après chaque utilisation de Twitter ou tout autre outil, effacez vos cookies. Pour cela, un outil gratuit comme Ccleaner vous sera un précieux allier.

3- Vérifiez toujours que l’url indiqué dans votre barre de recherche est bien https://www.twitter.com

4- Utilisez des applications tiers pour vérifier l’origine du serveur que vous allez utiliser. Netcraft vous prouvera, par exemple, que vous êtes bien sur Twitter (voir notre capture écran) ; Sous FireFox, l’addon NoScript vous indiquera aussi l’utilisation d’une XSS au moment de votre promenade numérique.

5- Un mot de passe fort (chiffres, lettres, ponctuation, …) permet de freiner les assauts d’un malveillant.

6- datasecueritybreach.fr vous conseille aussi d’utiliser un programme qui vous décortique les urls raccourcis. Le site urlex.org, par exemple, vous transforme une adresse http://is.gd/G41r6x, qui ne veut rien dire, en son véritable url, ici Intel.com. Cela permet de s’assurer que derrière le lien recueilli n’est pas un piège. Je vous conseille, cependant, de suivre ma règle n’1. Une extension pour Chrome permet, en passant sa souris sur un lien réduit, de découvrir l’adresse d’origine cachée derrière un tinyurl, bit.ly, is.gd …

Cette hygiène de vie numérique n’est pas infaillible, mais comme pour la grippe, se laver les mains est déjà une premiére protection. Il en va de même sur la toile.

Entreprise, Fuite de données, Leak, Sauvegarde, Sécurité

Piratage de la gestion du bâtiment de Google

Des experts en sécurité informatique de la société américaine Cylance viennent de remettre au goût du jour le piratage des systèmes de gestion des bâtiments. Eaux usées, climatisation, électricité, téléphone, … l’attaque de ce genre d’infrastructure se transforme très vite en un énorme problème pour l’entreprise attaquée. Imaginez, un pirate informatique souhaite mettre en « carafe », en panne, un serveur installé au sein d’une société qu’il décide d’attaquer. Faire déborder les égouts ou éteindre la climatisation pourrait être fatale pour la cible et ses données. Les chercheurs de Cylance ont expliqué que des centaines de sièges d’entreprises, d’administration et de secteurs sensibles comme les hôpitaux, banques basés en Australie sont ouverts à qui sait se faufiler. Parmi les cibles de cette grande chasse au trésor, l’immeuble qui loge Google Australie.

loi, Particuliers

Projet de loi consommation : les DRM expurgés de la future loi Hamon ?

Le projet de loi relatif à la consommation présenté le 2 mai 2013, veille de la Journée internationale contre les DRM, semble vouloir réduire à néant l’information du consommateur sur la présence de menottes numériques.

Le projet de loi relatif à la consommation a été présenté en Conseil des ministres par Benoît Hamon (ministre délégué à l’Économie sociale et solidaire et à la Consommation) le 2 mai 2013 puis déposé à l’Assemblée nationale. Ce projet de loi porte sur la mise en place de l’action de groupe [1] mais également sur la transposition de la directive européenne relative aux droits des consommateurs adoptée en 2011. Celle-ci avait timidement mis en place une information minimale du consommateur concernant les DRM (des menottes numériques, appelées trompeusement « mesures de protection technique » [2]). Ainsi, dans l’article 5 de la directive on peut lire :

    Article 5

    Obligations d’information concernant les contrats autres que les contrats à distance ou hors établissement

    1. Avant que le consommateur ne soit lié par un contrat autre qu’un contrat à distance ou hors établissement, ou par une offre du même     type, le professionnel fournit au consommateur les informations suivantes, d’une manière claire et compréhensible, pour autant     qu’elles ne ressortent pas du contexte :

    […]

    g) s’il y a lieu, les fonctionnalités du contenu numérique, y  compris les mesures de protection technique applicables ;

    h) s’il y a lieu, toute interopérabilité pertinente du contenu numérique avec certains matériels ou logiciels dont le professionnel  a ou devrait raisonnablement avoir connaissance. »

Le projet de loi de Benoît Hamon a réduit fortement cette information. Ainsi, dans l’article 4 du projet de loi on peut lire :

    « Art. L. 111-1. – Avant que le consommateur ne soit lié par un     contrat de vente ou de fourniture de services, le professionnel     communique, de manière lisible et compréhensible, au consommateur     les informations suivantes :

    […]

    4° Les informations relatives à son identité et ses activités, aux     garanties, aux fonctionnalités du contenu numérique et le cas     échéant à son interopérabilité, à l’existence et aux modalités de     mise en œuvre des garanties et aux autres conditions contractuelles,     dont la liste et le contenu sont fixés par décret en Conseil d’État. »

Cette information est donc très limitée, et le texte entretien le flou sur les informations transmises aux consommateurs. Pourtant, ceux-ci ont souvent besoin d’avoir des informations précises sur d’éventuels DRM, car de tels verrous empêchent bien souvent l’usage complet des produits.

« S’assurer que la présence de DRM soit explicitement mentionnée ainsi les restrictions qu’elles entrainent est une base minimale pour l’information des consommateurs. La protection réelle des droits des consommateurs passe par l’interdiction pure et simple de la pratique détestable de ces menottes numériques » a déclaré à datasecuritybreach.fr Frédéric Couchet, délégué général de l’April.

L’April demande donc que le texte soit amendé pour assurer le respect des droits des consommateurs.

Notons qu’une pré-version du projet reprenait les formulations de la directive :

    « Art. L. 111-1. – Avant que le consommateur ne soit lié par un     contrat, le professionnel est tenu de fournir d’une manière claire     et compréhensible au consommateur les informations suivantes :

    […]

    8° S’il y a lieu, les fonctionnalités du contenu numérique, y     compris les mesures de protection technique applicables ;

    9° S’il y a lieu, toute interopérabilité pertinente du contenu     numérique avec certains matériels ou logiciels dont le professionnel     a ou devrait raisonnablement avoir connaissance.

    Ces dispositions s’appliquent également aux contrats portant sur la     fourniture d’eau, de gaz ou d’électricité, lorsqu’ils ne sont pas     conditionnés dans un volume délimité ou en quantité déterminée,     ainsi que de chauffage urbain et de contenu numérique non fourni sur     un support matériel.»

Par ailleurs, le projet de loi remet aussi sur la table le blocage des sites internet.

Références

  * 1. L’action de groupe telle qu’elle est présentée actuellement ne correspond d’ailleurs pas à nos attentes, comme le montre la     réponse de l’April à la consultation publique lancée par le  gouvernement à l’automne 2012 .

  * 2. Pour plus d’information sur les DRM, voir la synthèse publiée par l’April à ce sujet.

Cyber-attaque, Virus

Beta Bot : un nouveau robot sur le marché

Le code malveillant pousse l’utilisateur à valider l’UAC pour infecter le système et désinstaller l’antivirus présent. Ce nouveau bot appelé « Beta Bot » est récemment entré sur le marché parallèle. Disponible pour moins de 500 €, Beta Bot est un robot relativement peu cher compte tenu de sa vaste liste de fonctionnalités. Même si la plupart de ces caractéristiques sont assez standards (attaque DDoS, accès à distance, captures de données et autres méthodes de vols d’informations) une capacité particulière a attiré l‘attention du G Data SecurityLabs : « Désactiver l’antivirus » annonce la publicité affichée sur les forums souterrains. Une annonce suivie d’une liste de près de 30 programmes de sécurité censés être désactivables par Beta Bot.

Quelle est la méthode utilisée ?

Lorsqu’il est installé sur un système, Beta Bot cherche une solution de sécurité qu’il connait. S’il la trouve, le robot commence ses attaques en arrêtant les processus, en désactivant des clés de registre ou en désactivant les mises à jour automatiques. Selon le type de produit de sécurité, Beta Bot tente de contourner les pare-feux en injectant certaines routines dans les programmes qui sont habituellement autorisés à passer le pare-feu, comme Internet Explorer.

Contrôle d’accès utilisateur (UAC) – contourner les permissions Sur les systèmes d’exploitation Windows modernes, les autorisations des utilisateurs sont réparties entre standard (faible niveau d‘autorisation) et administrateur (niveau d’autorisation élevé). Contrairement à un administrateur, un utilisateur standard ne peut pas modifier les parties critiques du système. La décision d’élever le niveau de permission d’un processus est proposée à l’utilisateur par une fenêtre de dialogue spécifique. Celui-ci doit alors valider ou non cette permission. Beta Bot utilise cette boite de dialogue pour gagner des droits élevés sur le système. Bien que beaucoup de codes malveillants se contentent de droits utilisateurs limités pour attaquer le système, Beta Bot doit escalader les privilèges utilisateurs pour s’attaquer aux logiciels de sécurité.  Pour réussir dans cette démarche, la validation de l’utilisateur est nécessaire. Deux astuces sont utilisées par Beta Bot pour convaincre l’utilisateur de valider cette élévation de droits.

Dès que le code malveillant est exécuté sur le système, il affiche une première fenêtre dans la langue du système (10 langues, dont le français, sont disponibles) signifiant un problème de disque dur. Ce faux message critique joue sur la peur de perdre des données et invite l’utilisateur à réparer les dossiers endommagés. L’utilisateur doit choisir l’une des deux options proposées (« Restaurer les fichiers » ou  « Restaurer les fichiers et réaliser une vérification de disque »). C’est alors que le contrôle d’accès utilisateur (UAC) est lancé. C’est à l’autre astuce de prendre le relais : Beta Bot n’est pas directement utilisé pour lancer le processus UAC. C’est le programme cmd.exe, autrement dit l’invite de commande Windows, qui est utilisée pour démarrer le code Beta Bot. L’utilisateur est donc invité à élever les autorisations d’un programme Windows, ce qui est habituellement autorisé par la majorité des utilisateurs.

Logiciels, Virus

VirusKeeper, l’antivirus made in France

VirusKeeper est le seul antivirus 100% made in France. Il a été conçu en 2006 par la société d’édition AxBx, implantée à Villeneuve d’Ascq dans le Nord de la France. Depuis plus de 14 ans, la société AxBx conçoit, développe et commercialise des logiciels innovants dans le domaine des utilitaires systèmes (optimisation du système, sauvegarde, diagnostic, compression de données) et de la sécurité informatique (antivirus, pare-feu, protection USB, ultra sécurité, …) Le logiciel antivirus VirusKeeper repose sur un procédé de détection par analyse comportementale. Les virus et autres programmes malveillants ne sont pas détectés par signature mais par leur comportement. Ce procédé permet à VirusKeeper de détecter rapidement les épidémies de nouveaux virus et malwares qui ne sont pas encore référencés.

Aujourd’hui, avec la généralisation des connexions internet haut débit, tous les ordinateurs sont connectés en permanence et les informations transitent à grande vitesse. Les épidémies de nouveaux virus et de malwares se propagent très rapidement et au niveau mondial. Le procédé classique de détection par signature montre aujourd’hui ses limites. D’un part, ce procédé a toujours « un train de retard » puisqu’il faut qu’au moins un ordinateur soit infecté pour que la signature du virus soit identifiée puis intégrée dans les mises à jour. D’autre part, le nombre de virus et de malwares est tellement élevé que les bases de signatures virales deviennent gigantesques. Les temps de scan sont donc de plus en plus long et la consommation mémoire de plus en plus importante. Le procédé de signature date du début des années 90 et il est aujourd’hui dépassée. Pour fêter le 7ème anniversaire de VirusKeeper, AxBx propose la toute dernière version de son antivirus au prix de 19.90 Euros TTC pour 3 postes, soit une remise de 50% sur le prix public. Une version d’essai gratuite peut également être téléchargée sur viruskeeper.com

Particuliers

Privacy Alert

Depuis plus d’un an, le Parlement européen étudie la proposition de règlement [1] de la Commission européenne qui vise à réformer la législation encadrant la protection des données personnelles au niveau européen. Jusqu’à présent, les différentes commissions parlementaires ayant travaillé sur ce projet se sont exprimées pour l’assouplissement des règles protégeant notre vie privée. Alors qu’un vote crucial approche [2] au sein de la commission « libertés civiles » (LIBE), La Quadrature du Net commence la publication d’une série d’analyses [3] abordant les points clefs, enjeux, progrès et dangers de cette réforme. ***

Face au développement de pratiques dangereuses pour notre vie privée de la part d’entreprises peu scrupuleuses, et afin d’encadrer la collecte, le traitement, et la vente des données personnelles des citoyens européens, la Commission européenne a présenté en janvier 2012 une proposition de règlement [1] destinée à réformer la législation en vigueur, datant de 1995. Ce règlement, qui devrait entrer en vigueur en 2015, sera directement applicable dans l’ensemble des États membres de l’Union européenne et se substituera immédiatement à toutes les lois nationales existantes en la matière [4]. Tel que proposé par Viviane Reding, commissaire à la Justice, aux Droits fondamentaux et à la Citoyenneté, il pourrait constituer une réelle avancée pour la protection de notre vie privée.

Adopté en l’état, le règlement permettrait de :

   – renforcer considérablement les droits des citoyens, les obligations des entreprises et les pouvoirs conférés aux autorités de contrôle, à l’instar de la CNIL [5] en France ;    – définir plus largement la portée de ce cadre légal afin de couvrir les activités de toute entreprise – quelque soit sa situation géographique – analysant les comportements des citoyens européens ou leur proposant des biens ou des services.

Une campagne de lobbying sans précédent

En réponse à la proposition de la Commission, de puissantes entreprises, principalement américaines (banques, assurances et services Internet), ont mené une campagne de lobbying sans précédent [6] afin de faire exclure de la version finale du règlement les propositions destinées à protéger les données personnelles des citoyens. Comme l’a clairement démontré le site Internet LobbyPlag [7], certains députés européens clés ont ainsi recopié mot pour mot les demandes des lobbies dans leurs propositions d’amendements.

Quatre commissions [8] du Parlement européen ont déjà exprimé leur avis sur les modifications à apporter à la proposition de la Commission. Directement influencées par les lobbies, elles se sont chaque fois exprimées en faveur de l’affaiblissement du cadre législatif protégeant la vie privée des citoyens européens et de la réduction des responsabilités incombant aux entreprises.

Ces avis n’ont cependant qu’une valeur consultative, et la situation peut encore être renversée : la liste des amendements que le Parlement européen dans son ensemble pourra adopter lors de la première lecture du texte, prévue pour la fin de l’année 2013, doit être adoptée par la commission « libertés civiles » (LIBE) lors d’un vote devant avoir lieu avant la fin du mois de juin.

Agissons !

Avant ce vote, nous devons nous assurer que ces députés ne céderont pas aux pressions des lobbies, comme ont pu le faire ceux des commissions ayant déjà exprimé leur avis, mais qu’ils garantiront une mise en œuvre efficace des avancées proposées par la Commission. Dès à présent et jusqu’au moment du vote, les citoyens doivent contacter [9] leurs députés européens et réclamer une réelle protection de leur droit fondamental à la vie privée. Comme l’a démontré le rejet d’ACTA [10] l’été dernier, les appels des citoyens à protéger l’intérêt général plutôt que les intérêts privés de quelques uns peuvent être entendus par les élus, à condition que cette mobilisation citoyenne soit suffisamment importante, soutenue et relayée.

Pour permettre à tous de s’approprier les enjeux et points clés de ce débat, La Quadrature du Net démarre la publication d’une série d’analyses présentant les principaux aspects du projet de règlement. Chacune abordera les avancées que pourraient constituer les propositions de la Commission, les raisons pour lesquelles les lobbies de l’industrie s’y opposent et les positions exprimées par les députés européens jusqu’à présent.

Privacy Alert : #1

Le consentement explicite La première analyse (à venir) de cette série abordera la question du « consentement explicite » et son rôle central dans le contrôle de nos données personnelles.

Références

1. http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_fr.pdf

2. Le vote de la commission LIBE était initialement prévu pour les 29-30 mai, mais devrait finalement avoir lieu au mois de juin.

3. https://www.laquadrature.net/fr/privacy-alert-0-introduction#sommaire

4. La Commission européenne est l’institution disposant de l’initiative législative au niveau européen. Le Parlement européen et le Conseil de l’Union européenne (formé de ministres des différents États membres) peuvent amender les textes législatifs proposés par la Commission jusqu’à arriver à un accord sur le texte à adopter, qui entrera alors en vigueur, ou à le rejeter.

Au terme de ce processus, deux types d’actes législatifs peuvent être adoptés : une directive, qui pose des objectifs et des principes que chaque État membre devra intégrer dans son droit national, quitte à adopter une loi nouvelle ; ou un règlement, qui s’appliquera directement à l’ensemble des États membres.

Le choix du règlement semble particulièrement adapté pour contrôler la circulation des données personnelles sur Internet, qui est par essence transfrontalière. L’actuelle réglementation européenne en la matière – la directive de 1995 – pâti, entre autres, d’une transposition et d’une interprétation hétérogènes au sein des différents pays membres de l’Union européenne, dont certaines entreprises peu respectueuses de la vie privée profitent.

5. La Commission nationale de l’informatique et des libertés (CNIL) est une autorité administrative indépendante française. La CNIL est chargée de veiller à ce que l’informatique soit au service du citoyen et qu’elle ne porte atteinte ni à l’identité humaine, ni à la vie privée, ni aux libertés individuelles ou publiques, ni à aucun autre droit de l’Homme.

6. Voir la page du wiki de La Quadrature [en] recensant un grand nombre des documents envoyés aux députés européens par des entreprises privées : https://www.laquadrature.net/wiki/Lobbies_on_dataprotection

7. http://lobbyplag.eu/

8. Avant de voter en formation plénière, les députés du Parlement européen travaillent au sein de commissions parlementaires, chacune chargée de thèmes différents (libertés civiles, emploi, agriculture, etc) et composées de quelques dizaines de membres. Ces commissions parlementaires étudient les propositions législatives faites par la Commission européenne et proposent les amendements que l’ensemble du Parlement européen votera lors des sessions plénières.

Les commissions « consommateurs » (IMCO), « emploi » (EMPL), « industrie » (ITRE) et « affaires juridiques » (JURI) ont chacune proposé des amendements à la commission « libertés civiles » (LIBE), chargée de rédiger le rapport destiné à l’ensemble du Parlement.

Voir le wiki de La Quadrature pour une analyse détaillée des amendements les plus dangereux proposés par chaque commission : pour IMCO [en] https://www.laquadrature.net/wiki/Data_protection:_IMCO pour ITRE [en] https://www.laquadrature.net/wiki/Data_protection:_ITRE pour JURI [en] https://www.laquadrature.net/wiki/Data_protection:_JURI

9. https://www.laquadrature.net/wiki/Comment_contacter_un_d%C3%A9put%C3%A9_europ%C3%A9en

10. https://www.laquadrature.net/fr/acta-victoire-totale-pour-les-citoyens-et-la-democratie

Argent, Banque, Cyber-attaque, Cybersécurité, escroquerie, Leak

L’auteur de SpyEye extradé aux USA

Hamza Bendellaj, surnommé le « hacker souriant » et reconnu sur la toile sous le pseudonyme de BX1, accusé d’être l’auteur/diffuseur du virus informatique SpyEye, a été extradé vers les Etats-Unis. Pour rappel, le jeune homme avait été arrêté en grande pompe par la police Thaïlandaise le 5 janvier 2013. Il était poursuivi par le FBI depuis son inculpation, en décembre 2011. Hamza Bendellaj a été présenté devant une cour fédérale d’Atlanta. Il est accusé de 23 chefs d’inculpation pour avoir participé au développement, à la vente et à la distribution du virus « SpyEye ».

Ce logiciel malveillant a pour mission de recueillir secrètement des informations financières, mots de passe. But final, détourner l’argent des comptes en banques d’internautes ainsi piéger. Le procureur en charge du cas Hamza, Sally Yates, indique que 253 établissements financiers américains ont été touchés par cette intrusion malveillante. Infiltrations qui auraient rapporté plusieurs millions de dollars au(x) pirate(s). L’Oncle Sam s’intéresse à ce présumé pirate car ce dernier avait loué des serveurs, à Atlanta, ayant permis les attaques informatiques.

« L’acte d’accusation fédéral et l’extradition de Bendelladj doivent être  un message très clair aux cybercriminels internationaux qui se sentent en sécurité derrière leurs ordinateurs dans des pays étrangers : ils sont, en fait, à portée de main», a pu lire datasecuritybreach.fr dans le communiqué de presse diffusé par Mark F. Giuliano agent du FBI d’Atlanta en charge de l’affaire.

BX1 risque 30 ans de prison pour fraude bancaire; 5 ans pour fraude informatique; 5 ans par chef d’accusation. Bref, il risque de perdre rapidement le sourire face à 155 ans de prison ferme !

Cybersécurité, Fuite de données, Leak

Fuites pour la PS4

Street skater fu vient de diffuser un document rigolo concernant un document traitant de la fuite de documents internes chez Sony. Une source anonyme a fourni quelques captures d’écran d’un document baptisé « Report on Implementation of Preventing Information Leaks » – «Rapport sur la mise en œuvre de la prévention des fuites d’information».

Pendant ce temps, les informations concernant la Playstation 4 commencent à arriver. L’une des sources intéressantes sur ce sujet … le logiciel PSN Store Secret Search. Un outil qui permet, entre autres, d’afficher tout ce qui est stocké sur le PlayStation Store. Des informations qui ne sont pas visibles à l’utilisateur lambda. Dans les informations relevées, des tests de Sony pour la mise en ligne de contenus à destination de la PlayStation 4.

A quelques mois du lancement de la machine, il serait peut-être temps de s’y mettre ! Des mots semblent cacher des préparatifs secrets pour la PS4 : Chihiro, Marteau ou encore Espadon. (SKF)

Argent, Logiciels

Wawamania : le pirate Français caché aux Philippines

6 commentaires

Comme l’explique ZATAZ.COM, l’administrateur/fondateur du site de diffusion et partage de fichiers piratés, WawaMania coule des jours heureux aux Philippines. Zac, le pseudo de ce pirate, a fuit la France, la Justice et ses anciens amis. Datasecuritybreach.fr a demandé à l’ancien administrateur du forum Mamie Tracker, Fabien L. (@Skull) ce qu’il pensait de ce P2P là. Fabien a été jugé et condamné, il y a peu, à une très lourde peine en tant qu’administrateur d’un forum « pirate ».

Datasecuritybreach.fr – Que pensez-vous de ce pseudo mode de l’échange communautaire qui engraisse surtout certains ?

Skull : Malheureusement, cela a toujours existé. Dans le peer-to-peer (P2P) il y a deux catégories : il y a ceux qui font cela pour le plaisir du partage ; et ceux qui ne sont là que pour amasser de l’argent. Naturellement, ça nui énormément au peer-to-peer, car depuis quelques années tout le monde est dans le même panier.

Datasecuritybreach.fr – Parlez-nous de ce que vous avez vécu

Pour ma part, j’étais l’administrateur du tracker Mamietracker.com. A la base, j’avais créé ce site justement pour couper le pied aux gros trackers comme T411, Snowtigers et bien d’autres qui étaient/sont là pour le flux d’argent qui draine, ceux qui ne parlent que d’échange, de gratuité, … et qui s’en mettent plein les poches. MamieTracker est né pour cela. Au départ ce n’était que du tout « gratuit », 1 an plus tard il m’a fallu faire un appel aux dons car le site grandissait et il me fallait payer des serveur pour gérer tout cela. Alors oui, certains diront que j’ai gagné de l’argent ce qui n’est pas faux (3.000€ en tout et pour tout sur 3 ans). La suite, vous la connaissez. Visite des policiers et des cyberpoliciers de Bayonne à 6h00 du matin à mon domicile. Des gens très polis et compréhensifs. J’ai été condamné à 6 mois de prison avec sursis – 1000€ d’amende – 300 000 Euros à reverser aux ayants droit (SACEM, Warner, Scpp).

Datasecuritybreach.fr – Aujourd’hui que devennez-vous ?

Aujourd’hui j’ai complètement coupé les ponts avec le peer to peer, passionné d’informatique j’ai remonté un site web nommé www.anywheres.fr, spécialisé dans l’assistance informatique et le dépannage informatique à distance, j’essaie de faire de ma passion mon métier mais les temps sont durs en ce moment il est donc difficile d’acquérir de nouveaux clients.

Datasecuritybreach.fr – Avec le recul, referiez-vous un site d’échange ?

Oui et non. Au niveau du partage et du contact humain oui. Maintenant, le jeu n’en vaut pas la chandelle. J’ai eu très peu de soutient le jour de mon arrestation. Sur mes 120 000 membres actifs, seulement une dizaine de personnes m’ont soutenu. Merci à eux. Les autres ne sont que des bouffeurs de copies. Faut pas croire, passer au tribunal, en correctionnel, c’est nerveusement terrible. Comme j’ai fait appel, je me suis ensuite retrouvé en cour d’assise. Autant vous dire que vous passez un sale quart d’heure (dont 4 heures d’audience, ndlr). Alors non, refaire un site d’échange pour toutes ces raisons, je ne le referai pas! Et je le déconseille à quiconque.

Datasecuritybreach.fr – Existe-t-il une solution pour que les internautes, en mal de nouveautés ?

Oui, aujourd’hui il y’a la VOD. cela reste cependant cher, et les nouveautés sont inexistantes. Des nouveautés qui sortent bien après les diffusions sur le peer-to-peer. Ca reste un vrai problème !

Datasecuritybreach.fr – Vous devez rembourser beaucoup ?

Comme dit plus haut, oui. Je dois payer énormément. Je dirai même que c’est démesuré. Je pense que j’ai servi d’exemple malheureusement. J’assume complétement. Je savais ce que j’encourrai dès le départ. DSB – Comment faites-vous ? Aujourd’hui, je survis. Je suis sans emploi et je m’occupe exclusivement de anywheres.fr. Mentalement j’ai tiré un trait sur MamieTracker. Tout ceci est derrière moi, ce n’est pas simple tous les jours. Je dois verser 300.000€ aux ayants droits. Des huissiers me rendent visite régulièrement. Je sais qu’ils attendent des saisies sur salaires dés que ma situation le permettra. Je me dis que la vie continue et que peut être un jour, je pourrai vivre de ma passion, l’informatique.

Datasecuritybreach.fr -Que pensez-vous du site Wawamania qui fait énormément parler de lui ?

Pour moi, et depuis le début, Wawamania n’est qu’une pompe à fric. Souvenez-vous, il y a 2/3 ans, une association s’était monter pour aider ce pauvre administrateur. Le reportage de TF1 risque d’en faire flipper plus d’un, au sujet du comportement de l’administrateur à l’époque et aujourd’hui. Pour rappel, il s’était vanté, il y a peu, de gagner entre 10 000 et 15 000€ par mois. C’est aussi pour cela qu’il est parti vivre au Philippine. C’est ce genre de type qui nuit au P2P. Les gros sites sont tous dans la course au gain. Regardez FrenchTorrentDB. Les dons sont effectués vers un pseudo hébergeur Canadien, Fouweb. Bilan, Paypal n’y voit rien à redire. Les internautes ne payent pas le pirate, mais font un don à un … herbergeur !

Fuite de données, loi, Particuliers

Un règlement dépouillant les citoyens de leur droit à la vie privée

Une coalition d’organisations internationales et européennes, dont Access, Bits of Freedom, Digitale Gesellschaft, EDRI, La Quadrature du Net, Open Rights Group, et Privacy International, démarre une campagne commune et un site Internet, nakedcitizens.eu. Ce site permet aux citoyens de contacter leurs représentants au Parlement européen pour les appeler à protéger leur droit fondamental à la vie privée.

Un règlement dépouillant les citoyens de leur droit à la vie privée Des organisations citoyennes exigent que les membres du Parlement européen protègent la vie privée des citoyens. Depuis son lancement, la révision de la législation européenne encadrant la protection des données donne lieu à une campagne de lobbying sans précédent de la part d’entreprises privées et de gouvernements étrangers. Le Parlement européen examine en ce moment le texte proposé par la Commission européenne, et envisage d’y faire de dangereux amendements. Selon une coalition d’organisations citoyennes, si ces amendements étaient adoptés, ils dépouilleraient les citoyens de leur droit à la vie privée. Cette affirmation est basée sur l’analyse des 4 000 amendements actuellement examinés par le Parlement européen.

« Sans une protection efficace de nos données, nos vies privées sont mises à nu, pour être utilisées et exploitées abusivement par des entreprises privées et des gouvernements. » déclare Joe McNamee de l’organisation citoyenne European Digital Rights (EDRI) et porte-parole de la coalition. « Nous appelons les membres du Parlement européen à faire primer les droits des citoyens et à rejeter ces propositions dangereuses. »

En prévision du vote final de la commission « libertés civiles » le 29 mai, la coalition de la société civile met en lumière les cinq amendements les plus dangereux proposés par les membres du Parlement européen pour modifier le règlement encadrant la protection des données. Le règlement proposé par la Commission européenne a pour objectif de renouveler et de moderniser le cadre législatif existant pour l’adapter à l’ère numérique, et de conférer aux citoyens un plus grand contrôle sur leurs données personnelles. Le lobbying démesuré venant de grandes entreprises et de gouvernements risque au contraire de réduire à néant ce cadre juridique. Les citoyens doivent pouvoir faire confiance aux services en ligne qu’ils utilisent. Le niveau de confiance exceptionnellement bas rapporté par des études tant européennes qu’américaines n’est tout simplement pas viable, tant pour les citoyens que pour les entreprises. La confiance doit être reconstruite en rendant aux citoyens le contrôle de leurs données grâce aux droits : (1) d’accéder à leurs données personnelles et de les supprimer, (2) de transférer simplement leurs données d’un service à un autre, (3) d’être assurés que leurs données personnelles ne seront utilisées que pour la finalité précise et limitée à laquelle ils ont consenti, (4) d’être assurés que leurs données sont à l’abri des gouvernements étrangers, (5) d’être assurés qu’en cas de faille de sécurité impliquant leurs données, les entreprises responsables les en informeront.

* Références * 1. https://www.accessnow.org/

2. https://www.bof.nl/

3. https://digitalegesellschaft.de/

4. http://www.edri.org/

5. http://www.openrightsgroup.org/

6. https://www.privacyinternational.org/

7. https://nakedcitizens.eu/

8. https://www.laquadrature.net/fr/un-reglement-depouillant-les-citoyens-de-leur-droit-a-la-vie-privee

Logiciels

Dictao Trust Platform première solution de contractualisation numérique certifiée par l’ANSSI

Dictao, éditeur logiciel de solutions de confiance, annonce que sa solution de contractualisation numérique Dictao Trust Platform (DTP) a obtenu la certification CSPN délivrée par l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI). Le basculement des grandes organisations vers la contractualisation numérique implique qu’elles puissent disposer de preuves de transactions solides et opposables en cas de litige.

Cette nouvelle certification CSPN (Certification de Sécurité de Premier Niveau) de la solution Dictao vient attester et renforcer la fiabilité du processus de souscription numérique qu’elle met en œuvre. L’entreprise dispose alors des garanties nécessaires à la dématérialisation de la relation client pour développer son activité commerciale en ligne et sur mobile, augmenter son taux de transformation et optimiser le temps de traitement de ses dossiers. Cette entreprise permet ainsi à ses clients de marquer leur engagement sur des contrats grâce à la signature électronique tout en disposant d’un dossier de preuves retraçant exactement le processus de contractualisation (contrat signé, preuve d’authentification, pièces justificatives, parcours et actions du client, etc.).

Laurent Fournié, Directeur Architecture de Dictao déclare à Data Security Breach : « Notre solution de contractualisation numérique Dictao Trust Platform (DTP) est la première à obtenir une certification CSPN, attestant la fiabilité du processus de contractualisation et celle du procédé de constitution de la preuve. Cette certification, en complément de notre démarche globale de certifications internationales EAL3+, confirme notre volonté de développer une gamme de produits respectant les critères de sécurité et de conformité en face des cadres techniques et juridiques les plus exigeants. »

Cyber-attaque, Fuite de données, Leak, Virus

Ministère du Travail piraté par des hackers Chinois

3 commentaires

Le Ministère du Travail américain infiltré. Des traces de hackers Chinois retrouvés. Analyse ! DataSecurityBreach.fr vient d’être alerté par Jaime Blasco, directeur du labs d’AlienVault au sujet de plusieurs infiltrations web d’envergure qui semblent être signés par des hackers Chinois. Dans les « cibles », le site du ministère du Travail américain. Les pirates y ont caché un code malveillant.

L’idée des intrus, installer une redirection sur un programme espion. Au cours des dernières heures, Data Security Breach a pu identifier plusieurs autres sites web, moins importants que cet espace ministériel. Les pirates ont profité du site sem.dol.gov pour, ensuite, piéger dol.gov, dol.ns01.us et statse.webtrendslive.com. Lors de la visite de « SEM », l’internaute se retrouvait à lire, via son navigateur, le fichier textsize.js. Un JavaScript qui contient le code suivant malveillant. Le serveur « malicieux » est exécuté via un fichier baptisé xss.php caché sur NS01.

Le script pirate recueille beaucoup d’informations du système et il télécharge les informations recueillies sur le serveur malveillant. L’attaque est intéressante car dans les commandes de l’outil pirate, un détecteur de Flash fonctionnant sur l’ordinateur du visiteur, ainsi que des tueurs d’antivirus. Le code malveillant élimine l’antivirus Bitdefender. Une fonction détermine si BitDefender est exécuté sur le système et le désactive. Même sanction pour Avast antivirus et AntiVir. Pour ce dernier cas, le code pirate cherche la présence de l’extension fonctionnant sou Chrome. Le JavaScript cherche aussi les antivirus : Avira, BitDefender 2013, McAfee entreprise, avg2012, Eset nod32, Dr.Web, Mse, Sophos, f-secure 2011, Kaspersky 2012/2013 ainsi que les versions de Microsoft Office, Adobe Reader installés.

Une fois que toutes les informations ont été collectées, il communique les données via le fichier js.php (caché sur NS01). Cette attaque ressemble à celle lancée, il y a quelques semaines, à l’encontre de plusieurs ONG. La faille exploitée dans le départ de cette attaque a été fixée en début d’année (CVE-2012-4792). Elle avait fait surface en décembre 2012. La charge utile lancée dans le piratage du Ministère Américain est cachée dans le fichier bookmark.png sur NS01.

Une fois dans le pc du visiteur, le fichier espion se cache dans la machine sous le nom de conime.exe. Il se connecte à un C&C sur microsoftUpdate.ns1.name pointant vers un serveur DNS Google 8.8.8.8. Il pointait, quelques temps auparavant sur 173.254.229.176. L’attaque, du moins le code pirate Deep Panda, est connu pour être exploité par un chinois (Mr. Sun, CardMagic, Edward Sun, …). Les premières traces datent de 2007.

Pour se protéger de ce type d’attaque, data security breach vous conseille de mettre à jour l’ensemble de vos outils web (Flash, PDF, navigateur, antivirus) et bloquer JavaScript.

Cybersécurité, Facebook, ID, Phishing

Les arnaqueurs ont récemment montré un fort intérêt pour le football

Les arnaqueurs ont récemment montré un fort intérêt pour le football. En effet, une grande variété d’attaques de phishing (faux sites web) se basant sur le football a été observée en 2012. Les arnaqueurs se sont déjà intéressés à la Coupe du Monde de la FIFA 2014, mais aussi aux stars et aux clubs phares du ballon rond.

Datasecuritybreach.fr vous a d’ailleurs présenté, l’arnaque ciblant les fans de Lionel Messi et celle visant les supporters du FC Barcelone. Deux bons exemples de ces pratiques. Les pirates informatiques comprennent qu’utiliser des célébrités avec une énorme base de fans offre un plus grand choix de cibles, et augmente ainsi leurs chances de récolter les identités des utilisateurs. Ces arnaques persistent encore en 2013 avec une stratégie toujours identique consistant à mettre en place de faux sites web en utilisant des hébergeurs gratuits.

Les sites de phishing ont incité des internautes à entrer leurs codes d’accès Facebook sur des pages consacrées à Lionel Messi, au FC Barcelone ou à Cristiano Ronaldo. Ces dernières affichent ostensiblement des images de Lionel Messi, du FC Barcelone ou de Cristiano Ronaldo, et essaient de donner l’impression qu’elles en sont les pages Facebook officielles. Certains de ces faux sites sont intitulés, « premier réseau social dans le monde ». Les utilisateurs sont ensuite incités à entrer leurs identifiants Facebook afin de se connecter à leur compte. Une fois que les identifiants ont été renseignés, les utilisateurs sont redirigés vers une page communautaire dédiée à Lionel Messi, au FC Barcelone, ou à Cristiano Ronaldo pour créer l’illusion qu’une session légitime s’est ouverte.

Si les utilisateurs sont victimes de sites de phishing en ayant entré leurs identifiants, alors les pirates ont réussi à voler leurs données à des fins d’usurpation d’identité. Pour éviter les attaques de phishing, les internautes sont invités à suivre les conseils ci-dessous :

§  Faites attention lorsque vous cliquez sur des liens qui semblent trop attractifs, envoyés par email ou postés sur les réseaux sociaux

§  Ne renseignez pas de données personnelles lorsque vous répondez à un email

§  N’entrez pas de données personnelles dans un pop-up qui apparaît dans une page ou à l’écran.  Composez plutôt, de façon manuelle, le site web que vous souhaitez consulter, au lieu de cliquer sur un lien suspect.

§  Assurez-vous que le site web est crypté avec un certificat SSL en vérifiant que la mention « https » soit présente dans la barre d’adresse, ou que celle-ci soit de couleur verte lorsque vous entrez des données personnelles ou financières

§  Utilisez des suites de sécurité comme Norton Internet Security ou Norton 360, qui vous protègent contre le phishing et les fraudes sur les réseaux sociaux

Rapportez les faux sites web, emails ou pages Facebook via phish@fb.com.

Entreprise, loi

Le Parlement européen ouvre la porte à la répression au nom du droit d’auteur dans TAFTA

La commission « commerce international » (INTA) du Parlement européen a adopté une résolution [1] sur l’accord commercial EU-US proposé –  le “Trans-Atlantic Free Trade Agreement” (TAFTA), aussi appelé le “Transatlantic Trade and Investment Partnership” (TTIP). Continuer la lecture de Le Parlement européen ouvre la porte à la répression au nom du droit d’auteur dans TAFTA →

Arnaque, escroquerie, Facebook, Fuite de données, ID, Leak, Particuliers

Le top 10 des arnaques sur Facebook

Un commentaire

Data Security Breach a reçu un nouvelle étude sur les arnaques se propageant sur Facebook, les plus répandues à l’échelle mondiale étant de type « qui a vu mon profil ». En seconde position et parmi les stars les plus dangereuses pour la sécurité de votre compte : Rihanna et sa fausse sex tape. Continuer la lecture de Le top 10 des arnaques sur Facebook →

Cyber-attaque, Cybersécurité, Fuite de données, Leak

Obliger les entreprises à notifier les attaques informatiques qu’elles subissent

Un commentaire

Le livre blanc de la défense rendu public le 29 avril par le gouvernement, prévoit une loi obligeant les entreprises non seulement à se doter d’outils de détection et de protection de leurs données, mais aussi à signaler toute attaque qu’elles subissent. Continuer la lecture de Obliger les entreprises à notifier les attaques informatiques qu’elles subissent →

BYOD, Entreprise, Fuite de données, Sauvegarde

Fuites de données : 263 millions d’euros perdus en France

Les cyber-attaques sur les infrastructures de confiance exposent les entreprises françaises à des pertes de l’ordre de 263 millions d’euros, selon une étude de Ponemon et Venafi. La mauvaise gestion de millions de clés cryptographiques et de certificats numériques menace la sécurité et les opérations des entreprises françaises. Continuer la lecture de Fuites de données : 263 millions d’euros perdus en France →

Cyber-attaque, DDoS, Piratage

Le pirate de SpamHaus arrêté dans un bunker informatique

2 commentaires

La police espagnole aurait arrêté l’auteur du piratage informatique de SpamHaus, un informaticien de 35 ans. Jeudi dernier, la police espagnole a arrêté un informaticien Néerlandais de 35 ans,  Sven Olaf Kamphuis, accusé d’être l’auteur du piratage informatique ayant visé SpamHaus. Un DDoS d’une telle ampleur que certains experts expliquaient que l’Internet avait ressenti, un peu, la secousse numérique malveillante.

Arrêté à son domicile de Granollers, banlieue de Barcelone, la police ibérique explique être tombé dans une maison transformée en véritable bunker informatique. L’homme a été présenté au tribunal de Madrid. Placé en prison, il attend son extradition vers les Pays-Bas. Une enquête internationale avait été lancée après ce Déni Distribué de Service ressenti aux USA, aux Pays-Bas et Royaume Uni. Une fiche Europol avait été lancée contre Sven Olaf Kamphuis. L’homme se déplaçait dans une camionnette qu’il utilisait comme un bureau informatique mobile. A première vue, le pirate a cru jouer au plus malin avec une tentative de Social Engineering bancale.

La police espagnole a expliqué qu’il s’était d’abord présenté comme un diplomate, puis comme le ministre des Télécommunications et des Affaires étrangères de la république Cyberbunker. Dans ce « bunker » (sic!), deux ordinateurs portables et des disques durs ont été saisis. Bref, pas de quoi crier à la cyber guerre ! Vous remarquez la photographie du présumé pirate, arborant le tee-shirt du Parti Pirate. Autant dire que l’amalgame est intéressant à visionner.

Android, Cybersécurité, Sécurité

Synchronisation des mots de passe sous Chrome : une bien mauvaise idée…

2 commentaires

La saisie automatique des mots de passe dans votre navigateur est une fonction que vous appréciez. En effet, comment retenir aujourd’hui tous les mots de passe dont on a besoin, d’autant qu’on sait désormais qu’il est impératif d’utiliser des mots de passe complexes ? Pourtant, à l’heure où Google vient d’annoncer les nouvelles versions de Chrome (pour Windows et Android), équipées de cette fonction que nous apprécions tous de synchronisation des mots de passe et des données de saisie automatique, il est temps de jeter un pavé dans la mare de nos certitudes : ce système n’est absolument pas sécurisé ! En effet, les mots de passe stockés par le navigateur ne sont pas protégés : on ne vous réclame aucun mot de passe pour vous connecter à Chrome. Ainsi, n’importe qui peut utiliser votre ordinateur et se connecter sans problème à vos différents comptes  et donc à vos données privées.

De plus, l’utilisation de la synchronisation de Google (« Google Sync ») est doublement dangereuse : d’une part, vous laissez Google accéder potentiellement à vos mots de passe, ce qui est risqué lorsqu’on connait sa politique de collecte de données, et d’autre part, un jour ou l’autre Google peut être « hacké », ce qui rend vos mots de passe encore plus vulnérables, puisque les clés de cryptage appartiennent à Google. Il existe une option de sécurité dans Chrome, mais tellement bien cachée que personne ne l’utilise…

Chiffrement, Cyber-attaque, Cybersécurité, Fuite de données, Leak

Protéger l’entreprise contre les cyberattaques est insatisfaisante

Un commentaire

En France, les professionnels de la sécurité informatique estiment que leur capacité à protéger leur entreprise contre les cyberattaques est insatisfaisante. Juniper Networks, leader de l’innovation réseaux, annonce à datasecuritybreach.fr les résultats pour la France d’une étude mondiale réalisée par l’Institut Ponemon pour le compte de Juniper Networks. En France, les entreprises interrogées peinent à se protéger contre les attaques menaçant la sécurité de leur réseau en raison du nombre de terminaux grand public et d’applications introduits sur le lieu de travail, ainsi que du manque de visibilité des systèmes. 65 % des entreprises françaises sondées estiment que la migration des systèmes sur site vers des environnements cloud constitue également une menace importante pour la sécurité de leur réseau.

Réalisée auprès de 4 774 informaticiens et responsables de la sécurité informatique dans neuf pays, dont plus de 450 professionnels en France, l’enquête identifie les problématiques auxquelles les entreprises sont confrontées face aux nouvelles menaces et à leurs difficultés à s’en prémunir. L’enquête montre que la sophistication croissante des cyberattaques, l’évolution des menaces et la crainte croissante du vol de propriété intellectuelle et de secrets professionnels stimulent les investissements dans les technologies de sécurité réseau.

De nombreux professionnels de la sécurité informatique interrogés dans le monde estiment que les entreprises sont mal équipées pour détecter, bloquer et prévenir rapidement les attaques. En France, les personnes interrogées considèrent la stratégie mise en place par leur entreprise pour protéger le réseau contre ces attaques comme « insatisfaisante ». 60 % des professionnels français interrogés sont également convaincus que les nouvelles lois européennes relatives à la protection des informations personnelles auront un réel impact sur l’ensemble des opérations de leur entreprise. Cet impact sera notamment vrai quant à l’obligation pour les entreprises de signaler un vol de données sous 24 heures, la plupart des entreprises sondées ayant fait état d’un vol de données une fois par an au cours des deux dernières années.

L’étude identifie plusieurs problématiques de sécurité réseau auxquelles les professionnels de la sécurité informatique sont confrontés aujourd’hui en France :

·         Les entreprises françaises se concentrent sur les menaces internes pour gérer les risques pesant sur la cybersécurité : 43 % des professionnels interrogés en France ont déclaré que leur entreprise utilise une solution de protection de réseau pour faire face aux menaces internes (menaces émanant du réseau) ;

·         Il est important de sensibiliser les employés aux nouvelles menaces et aux risques relatifs au cloud : en France, 72 % des professionnels de la sécurité informatique ont déclaré que la sensibilisation aux nouvelles menaces est une priorité pour promouvoir l’utilisation des nouvelles technologies de sécurité ;

·         Les préoccupations concernant les lois européennes relatives à la protection des informations personnelles : 60 % des professionnels interrogés en France ont déclaré que les nouvelles lois européennes relatives à la protection des informations personnelles auront un impact important sur l’ensemble des opérations des entreprises et leur mise en conformité.

Entreprise, Fuite de données

LivingSocial piraté : 50 millions de clients hackés

Les comptes de 50 millions de membres du site Internet d’achats en ligne LivingSocial piratés. Le pirate a exploité une injection sql pour ponctionner le contenu de la base de données. Noms, dates de naissance, mails et mots de passe chiffrés (MD5) ont été copiés par me pirate informatique. D’après LivingSocial. aucune carte de crédit, ni données bancaires n’ont été volées. LivingSocial est un site commercial américain, basé à Washington. Il offre des réductions de prix à 70 millions de clients dans le monde, notamment aux Etats-Unis, en Asie, en Europe et en Amérique Latine.

Android, Smartphone

Malware android

L’augmentation la plus importante pour les adwares (+34,47%) a été enregistrée entre novembre et décembre 2012, certains développeurs ayant profité des fêtes de fin d’année pour tenter de générer des revenus supplémentaires en misant sur le fait que les nouveaux utilisateurs ignorent le fonctionnement des adwares. Les chevaux de Troie ont connu une augmentation lente mais constante de septembre 2012 à janvier 2013 puis ont légèrement décru en février 2013 (-2,22%).

Les adwares devenant plus intrusifs et programmés plus précisément pour récupérer autant d’informations sensibles que possible, la différence est plus ténue que jamais entre les logiciels légitimes et les applications qui se révèlent en réalité être des malwares. Des adwares virulents portent ainsi de plus en plus préjudice à la vie privée des utilisateurs en recueillant et utilisant des informations personnelles à leur insu.

Bien que les adwares ne soient pas fondamentalement malveillants, data security breach vous montrent souvent qu’ils peuvent recueillir des numéros de téléphone, des coordonnées et des adresses e-mail, qui sont transmis à des tiers ou vendus au plus offrant. Le marché noir valorise énormément ces données qui peuvent être utilisées à des fins marketing pour créer des profils d’utilisateurs.

Puisque la plupart des utilisateurs utilisent leurs appareils personnels à des fins professionnelles, il est logique que l’accès aux fichiers confidentiels et sensibles soit souvent autorisé via ces appareils. Ce n’est donc pas seulement  un problème de risques vis-à-vis de leurs données personnelles, mais cela concerne également les informations critiques des entreprises elles-mêmes. Des politiques de BYOD strictes doivent offrir une protection efficace à la fois contre les malwares et contre les adwares sous Android, puisqu’ils ont tous les deux un impact direct sur la préservation de la confidentialité des données.

La principale famille de chevaux de Troie s’intitule « FakeInst », elle escroque les utilisateurs en leur demandant de payer des applications qui sont normalement gratuites. Si les utilisateurs acceptent, l’application envoie des messages SMS à des numéros surtaxés, faisant ainsi grimper leur facture téléphonique.

Parmi les adwares agressifs, la famille Android.Adware.Plankton est la plus présente puisque les développeurs utilisent le framework intégré à l’appli pour monétiser leur développement. Les adwares peuvent également recueillir des informations personnelles telles que des adresses e-mail et des numéros de téléphone. Plus il y a de frameworks associés à une application, plus celle-ci devient intrusive puisqu’elle diffuse les données à plusieurs tiers.

La tendance à la hausse de ces deux types de détection indique que les pirates sont à la recherche d’argent et de moyens d’en obtenir en vendant les données personnelles des utilisateurs. L’argent est le moteur du développement de ces deux catégories.

Bitdefender annonce un antivirus gratuit pour protéger les appareils Android

Bitdefender, éditeur de solutions de sécurité, annonce Antivirus Free pour Android afin d’inciter les utilisateurs à protéger leur smartphone et tablette contre le nombre croissant de malwares ciblant les appareils Android. Bitdefender Antivirus Free pour Android est une solution antivirus gratuite, rapide et puissante qui utilise les dernières technologies d’analyse in-the-cloud de Bitdefender, garantissant ainsi un impact quasi nul sur la batterie et des mises à jour 24 heures sur 24 contre les dernières menaces. Dès son installation, Bitdefender Antivirus Free pour Android protège les utilisateurs en recherchant immédiatement les activités suspectes.

« L’an dernier, nous avons assisté à une explosion du nombre de malwares Android, il devient donc indispensable que les utilisateurs pensent à protéger leurs appareils Android comme ils le font pour leur ordinateur », déclare à data security Breach Fabrice Le Page, Chef de Produits Bitdefender chez Editions Profil. « Afin d’inciter le plus grand nombre des utilisateurs à se protéger contre ces nouvelles menaces, nous avons souhaité que notre solution soit gratuite mais sans concessions sur la qualité, l’efficacité et la légèreté ».

Le nombre de malwares a augmenté de 27% au cours des six derniers mois, et ce, en raison des efforts redoublés des créateurs de malwares pour dérober les informations personnelles des utilisateurs. Les formes les plus courantes de malwares Android peuvent entre autres rapidement faire grimper la facture téléphonique des utilisateurs en appelant discrètement des numéros surtaxés, dérobant des mots de passe, espionnant les e-mails professionnels et surveillant presque toutes les activités des utilisateurs.

Notre vie privée est de plus en plus affectée par la hausse du nombre d’adwares et de malwares Android Parce que les adwares (logiciels espions publicitaires) recueillent plus de données sur les appareils des utilisateurs que ce dont ils ont réellement besoin et que les développeurs ajoutent souvent plus d’un composant adware (framework adware) au sein de leurs applications, la vie des utilisateurs devient de moins en moins privée  au profit des développeurs et des publicitaires. De plus en plus de tierces parties ont désormais accès à l’historique de navigation des utilisateurs, à leurs numéros de téléphone, à leurs adresses e-mail et à tout ce qui est nécessaire pour créer des profils complets et personnalisés.

C’est d’autant plus inquiétant que les adwares ciblant les appareils Android ont augmenté de 61% au niveau mondial, entre septembre 2012 et janvier 2013 et que les malwares ont progressé dans le même temps de 27%, allant jusqu’à une hausse de 37% pour les chevaux de Troie selon une étude des Laboratoires Bitdefender. L’adoption d’Android a régulièrement progressé au cours des cinq derniers mois, de même que le nombre de détections de malwares et d’adwares. Il n’est ainsi plus rare de dénicher des malwares et des adwares Android aussi bien sur les marchés dits « alternatifs » que sur la plate-forme  officielle Google Play.

Argent, Particuliers

FIA-NET publie son Livre Blanc Certissim 2013 sur la fraude à la carte bancaire

Au cours de l’année 2012, avec 26 millions de transactions analysées pour un chiffre d’affaires de plus de 4 milliards d’euros, Certissim a constaté un taux de tentatives de fraude de 2,98 % en nombre et de 3,91 % en valeur. Cependant, datasecuritybreach.fr moins d’une tentative sur trente se traduit par un impayé frauduleux pour les e-commerçants. En supposant que tous les sites marchands disposent d’un système de lutte contre la fraude efficace et en extrapolant ces analyses à l’ensemble du e-commerce français, soit 45 milliards d’euros de chiffre d’affaires1, les tentatives de fraude auraient représenté plus de 1,7 milliard d’euros en 2012.

Professionnalisation et industrialisation de la fraude dans le e-commerce

Selon Certissim, deux facteurs ont contribué à l’augmentation du risque de fraude sur Internet ces dernières années. D’une part, la démocratisation de la vente en ligne a créée de nouvelles opportunités, tant en volume qu’en valeur, pour les fraudeurs. D’autre part, le secteur a fait face à l’arrivée de nouveaux fraudeurs, professionnels, intégrés au sein d’organisations criminelles, améliorant sans cesse leurs méthodes et cherchant à industrialiser la fraude afin de maximiser le gain.

Cette industrialisation est la différence majeure entre un fraudeur opportuniste et un fraudeur professionnel. Le premier ne donne pas suite à sa tentative lorsqu’elle est réussie alors que le second réitèrera autant que possible une fraude aboutie. Les secteurs traditionnellement fraudés, tels que l’électroménager, la téléphonie et la parfumerie restent parmi leurs cibles de choix. « Néanmoins, le contexte économique fait que toute marchandise est susceptible d’être fraudée et revendue, de l’alimentaire aux voyages jusqu’aux couches pour bébés » explique Alexandre Arcouteil, Responsable d’Activité Certissim.

Usurpations d’identités et procédés frauduleux

Cette professionnalisation implique une structuration des réseaux de fraudeurs. En amont des commandes, ils ont un besoin de données usurpées. Cet aspect est alimenté par des vols ayant lieu dans la vie de tous les jours comme sur Internet, par le biais de phishing ou de hacking. Les fraudeurs utilisent toutes sortes de données, coordonnées bancaires ou simple adresse de livraison. Elles leur permettent d’effectuer des commandes frauduleuses sur Internet en minimisant les risques d’être repérés. Juste après la commande, ils ont un besoin d’intermédiaires complices ou non pour récupérer les marchandises. Le fraudeur peut embaucher une personne honnête, une « mule », via des sites de petites annonces. Son travail est de réceptionner et réexpédier des colis depuis son domicile, sans savoir qu’il s’agit de marchandises volées.

Enfin, ces réseaux ont besoin de débouchés. Les marchandises doivent être revendues, ce qui sous-entend l’existence d’un marché parallèle et d’acheteurs potentiels, ce que datasecuritybreach.fr, ou encore zataz.com vous présente souvent dans leurs colonnes. Certissim rappelle que la vigilance est indispensable pour les e-commerçants comme pour les particuliers afin de se prémunir contre la fraude et les usurpations. Par exemple, appliquer une gommette sur le code CVV2 de la carte bancaire permet de limiter les risques de vol des données au moment d’un règlement en magasin.

2012, Certissim observe un taux de tentatives de fraude de 2,98 % (en nombre) alors que le taux de fraudes abouties n’est que de 0,10 %, soit moins d’une tentative sur trente se traduisant par un impayé frauduleux pour le e-commerçant. Le panier moyen des impayés frauduleux retrouve un niveau équivalent à celui de 2010 à 297 euros, soit 8 % de moins qu’en 2011 (323 euros). Cela s’explique par le fait que les fraudeurs ont compris que les paniers élevés faisaient systématiquement l’objet de contrôles. En conséquence, leurs tentatives portent désormais sur des montants moins importants mais leur nombre a augmenté. La forte capacité d’adaptation des méthodes employées pour détecter les fraudes est également à l’origine de la baisse de ce panier moyen. L’extrapolation des résultats des analyses de Certissim à l’ensemble du marché français identifié par la Fevad, soit 45 milliards d’euros de chiffre d’affaires, montre que l’impact de la fraude reste important. L’ensemble des tentatives de fraude se chiffrerait à plus de 1,7 milliard d’euros en 2012. La cybersécurité et la mutualisation des connaissances doivent donc être plus que jamais des éléments clés de la stratégie des e-commerçants, d’autant plus que tous ne disposent pas des mêmes moyens de contrôle.

Depuis 2000, FIA-NET édite un Livre Blanc annuel consacré à la fraude à la carte bancaire sur Internet. Sa finalité est d’apporter une vision objective de la fraude sur le marché du e-commerce et ainsi d’être un outil d’aide pour les marchands souhaitant optimiser leur gestion de la fraude. Le Livre Blanc Certissim présente les grands indicateurs de la fraude sur Internet, grâce aux chiffres provenant des déclarations d’incidents de paiement de ses sites marchands clients et des fraudes détectées par Certissim. Le savoir-faire de Certissim et son implication dans la lutte contre la fraude lui permet également de détailler les nouvelles techniques des cybercriminels.

Fuite de données

Fraude sur Internet : tous responsables !

Le e-commerce en France continue sa progression, en phase mais encore à la traîne par rapport aux marchés anglais et allemands, qui donnent le La du commerce électronique en Europe. Selon la Fevad, la croissance des ventes en 2012 a atteint 19%, poussée notamment par l’explosion du m-commerce, qui représente désormais 6% des ventes totales (2% en 2011). Avec un taux de satisfaction après achat de 98%, le e-commerce en France a désormais atteint sa maturité, et s’est définitivement installé dans le quotidien des français. Ce constat idyllique contraste fortement avec l’évolution négative du taux de fraude sur Internet. En augmentation continue depuis 2007, celui-ci atteint, selon l’Observatoire de la sécurité des cartes de paiement, le taux record de 0,34%, sans aucun signe de retournement de tendance.

Ainsi l’ensemble des paiements sur Internet ne représente que 8,4% de la valeur des transactions nationales, mais déjà 61% du montant de la fraude sur les cartes de paiement (253 millions sur 413 millions d’Euros). Un chiffre d’autant plus inquiétant que le marché français du paiement en ligne recèle encore un très fort potentiel de croissance. A titre de comparaison, la taille du marché britannique est double de celle du marché français. Tout se passe comme si un boulevard s’ouvrait devant les fraudeurs, d’autant plus grand que l’écosystème du e-commerce français dans sa globalité ne semble pas avoir la volonté de le rétrécir.

Comment en sommes-nous arrivés là et quelles sont les solutions pour y remédier ? Principale cause de la fraude : l’usurpation des numéros de cartes. Ce n’est un secret pour personne : l’origine principale de la fraude sur Internet provient de l’usurpation des numéros de cartes bancaires. Selon l’Observatoire de la sécurité des cartes, cette cause représentait déjà près de 63% du total des fraudes en 2010, loin devant les cartes volées ou les cartes contrefaites. Il est donc évident pour tout le monde que ces numéros ne sont pas suffisamment sécurisés, et qu’il reste relativement simple de les usurper. La carte bancaire n’a pas été conçue au départ pour être utilisée pour des achats à distance. Il en résulte des failles de sécurité évidentes.

Hormis tout ce qui est stocké dans la puce, tous ses identifiants sont en clair par exemple, y compris le fameux cryptogramme visuel, valable deux ans. Les différents acteurs du marché e-commerce ont-ils conscience de cette réalité ? La réponse est oui. Une série de solutions de sécurité ont d’ailleurs été conçues depuis le milieu des années 2000 pour y remédier. A commencer par e-Carte Bleue et 3D Secure, conçu par les grands opérateurs de cartes bancaires, mis en place en Europe dès 2008, visant à introduire une seconde phase d’authentification par la génération d’un code à usage unique. En outre, le standard de sécurité PCI DSS, qui regroupe un ensemble de bonnes pratiques, s’impose désormais à tous les e-commerçants. Sur les sites marchands, d’autres technologies de sécurité peuvent également être mises en œuvre, telles que les certificats SSL déjà très répandus, les systèmes Capcha ou les emails certifiés.

Les solutions anti-fraude mises en œuvre : un constat d’échec La mise en œuvre en France de ces diverses solutions de sécurité anti-fraude a-t-elle été couronnée de succès ? La réponse est clairement non. L’échec de 3D Secure dans notre pays est patent. Aujourd’hui dans sa deuxième version, ce système de sécurité pourtant efficace n’a jamais réussi à s’imposer. Certes, 40% des e-commerçants l’utilisent aujourd’hui, mais ceux-ci ne représentent qu’environ 10% des paiements par carte et 15% seulement des montants. Toutes les banques l’ont certes adopté, mais avec retard et en ordre dispersé. Leur implémentation du système s’est révélée trop complexe. De fait, le processus d’authentification n’est pas normalisé et les consommateurs doivent jongler entre plusieurs systèmes différents selon les banques, ce qui n’encourage pas la simplicité d’utilisation … Du côté des e-commerçants, le rejet est encore plus net. Toutes les grandes enseignes, c’est-à-dire la vingtaine de sites qui réalisent la grande majorité des transactions en ligne, n’ont pas à ce jour adopté le système, notamment en raison de ses conséquences sur le taux d’abandon de commande.

La norme PCI DSS n’ont plus n’a pas eu le résultat escompté. D’abord parce qu’elle n’est pas infaillible, des cas célèbres de vols massifs de données l’ont montré. Ensuite parce que la législation française ne l’impose pas formellement. Il en résulte un flou manifeste dans l’interprétation de sa liste de bonnes pratiques, notamment dans le durée de vie des données carte bancaire stockées. Certains sites les conservent pendant plusieurs années au-delà de la simple nécessité liée au paiement, voire ne les effacent jamais, ce qui augmente d’autant le risque de vol d’identifiants. D’autres systèmes de sécurité telles que l’email certifié, qui est pourtant l’arme absolue contre le « phishing », ne sont quasiment jamais utilisés.

Une seule victime : le consommateur Plusieurs raisons expliquent ce paradoxe, qui toutes convergent vers les principes élémentaires de la gestion du risque. En premier lieu, même si le coût financier de la fraude sur Internet  est supporté environ à égalité par les banques et les commerçants, et non par les consommateurs, qui sont généralement remboursés, ce sont en fait ces derniers qui paient seuls les pots cassés. En effet, les banques sont assurées contre le risque de non-paiement, et répercutent le coût de cette assurance sur le prix de leurs services. De même les commerçants répercutent leurs pertes financières sur les prix de leurs produits, comme la fameuse ‘démarque inconnue’ de la grande distribution. Banques et commerçants ne sont donc pas directement impactés par la fraude, et se contentent de gérer le risque.

En second lieu, les commerçants sont avant tout concentrés sur la croissance de leurs ventes. Ils répondent aux attentes des internautes, et facilitent le processus d’achat au maximum, afin d’éviter tout abandon de panier. Résultat : les vérifications d’identité sont réduites au minimum, et la sécurisation des paiements est sacrifiée à l’autel de la simplicité d’utilisation. La montée en puissance des fonctions de ‘paiement en un clic’ sur les sites de e-commerce en est l’exemple le plus flagrant. Ces sites font tout pour simplifier la vie de leurs clients, mais la plupart ne maîtrisent pas les impacts que cela implique en matière de sécurité. La cohérence des comptes clients créés par exemple n’est quasiment jamais vérifiée.

En troisième lieu, les pouvoirs publics ne se sont jamais vraiment impliqués dans la résolution du problème. Pour 3D Secure par exemple, la Banque de France qui est pourtant garante de la sécurité des moyens de paiement, n’a pas le pouvoir d’imposer une règle précise au groupement qui gère les cartes bleues, n’ayant que le statut d’observateur. De même, l’administration n’a jamais communiqué en direction du grand public pour encourager l’adoption du système, comme ce fut le cas dans d’autres pays, ou pour le cadenas SSL.

Les acteurs doivent assumer leurs responsabilités La montée inexorable de la fraude sur Internet n’est pourtant pas une fatalité. Le cas du marché britannique en constitue un exemple éclatant. Dans ce pays, le taux de fraude en e-commerce se rapproche de celui constaté dans les points de vente ‘traditionnels’. 96% des transactions sur Internet utilisent 3D Secure, et le taux d’échec d’authentification 3D Secure ne dépasse pas 3%, alors qu’il est de 13% en France. La raison de ce succès réside dans l’établissement d’un cercle vertueux associant la mise en place d’une procédure unique d’authentification  adoptée par toutes les banques et tous les opérateurs de cartes bancaires, et une adoption massive des commerçants. Pour inverser la tendance en France, plusieurs mesures de bon sens pourraient rapidement être mises en œuvre.

A commencer par une meilleure sensibilisation des consommateurs aux risques liés au paiement sur Internet. De la part des e-commerçants d’abord, qui doivent mieux informer leurs clients sur les risques qu’ils prennent lorsqu’ils saisissent des données personnelles sur Internet. Beaucoup de sites bancaires diffusent régulièrement des alertes de sécurité, aucun grand site de e-commerce ne fait de même par exemple. Il serait logique que la Fevad prenne en charge une réelle sensibilisation du grand public sur ce sujet. De la part des pouvoirs publics ensuite. Une véritable communication gouvernementale sur la sécurité des paiements devrait être développée, comme c’est le cas dans de nombreux autres pays. En France, ce sont surtout les entreprises qui sont sensibilisées sur la sécurité, et non les consommateurs. D’autre part, les banques doivent logiquement s’entendre  sur une procédure unique d’authentification, simple à comprendre et à mettre en œuvre, qui permette d’obtenir l’adhésion à la fois des consommateurs et des commerçants. Enfin, les consommateurs ont également leur part de responsabilité, et doivent prendre conscience que le respect de règles élémentaires de sécurité s’impose à eux tout au long de leur acte d’achat sur Internet. Le taux de fraude ne pouvant continuer à croître indéfiniment, cette évidence finira par s’imposer. Pour l’intérêt des consommateurs comme celui de l’industrie du e-commerce, le mieux serait qu’elle le soit rapidement. (Par Fabien Dachicourt pour DataSecurityBreach.fr / RSSI de Coreye)

Virus

Les sites de jeu en ligne visés par une campagne de cyberespionnage active

L’organisation cybercriminelle « Winnti » cible les serveurs de jeu à travers le monde et dérobe de la propriété intellectuelle ainsi que des certificats numériques à des fins malveillantes. Selon le rapport de Kaspersky Lab reçu à la rédaction de Data Security Breach, le groupe Winnti, encore actif aujourd’hui s’attaque à des sites de jeu en ligne depuis 2009. Il a pour objectifs de dérober non seulement de la propriété intellectuelle – notamment le code source des jeux en ligne – mais aussi des certificats numériques signés par des éditeurs de logiciels légitimes.

Le premier incident qui a attiré l’attention sur les activités malveillantes du groupe Winnti s’est produit à l’automne 2011, lorsqu’un cheval de Troie a été détecté sur les ordinateurs d’un grand nombre d’utilisateurs à travers le monde. Le lien manifeste entre toutes les machines infectées est que celles-ci ont été utilisées pour jouer en ligne.

Peu de temps après, il est apparu que le programme malveillant à l’origine de l’infection faisait partie d’une mise à jour régulière du serveur officiel du site de jeu. Les utilisateurs contaminés et les joueurs en général ont soupçonné l’éditeur d’avoir installé le malware afin d’espionner ses clients. Cependant, il s’est avéré par la suite que le programme malveillant avait été installé sur les ordinateurs des joueurs par accident, alors que les cybercriminels visaient en réalité le site de jeu lui-même. En réponse, l’éditeur propriétaire des serveurs ayant propagé le cheval de Troie à ses utilisateurs a demandé à Kaspersky Lab d’analyser le programme malveillant. Le cheval de Troie s’est révélé être une bibliothèque DLL compilée pour un environnement Microsoft Windows 64 bits, utilisant une signature appropriée. Il s’agissait d’un outil de type RAT (Remote Administration Tool) aux fonctionnalités complètes, qui donne aux auteurs de l’attaque la possibilité de prendre le contrôle de l’ordinateur d’une victime à son insu. La découverte est de taille car ce cheval de Troie est le premier programme malveillant opérant sur une version 64 bits de Windows avec une signature numérique valide.

Plus de 30 sites de jeu en ligne avaient été infectés par celle-ci, la majorité d’entre eux appartenant à des éditeurs de logiciels du sud-est asiatique. Cependant, des entreprises du secteur situées dans d’autres pays (Allemagne, Etats-Unis, Japon, Chine, Russie, Brésil, Pérou, Biélorussie) ont également été identifiées comme des victimes de Winnti. En dehors de l’espionnage industriel, trois principales techniques susceptibles d’être employées par le groupe Winnti pour en tirer des profits illicites : accumulation et manipulation de sommes d’argent virtuelles utilisées par les joueurs, pour une conversion en argent réel ; exploitation du code source volé sur les serveurs de jeu en ligne pour la recherche de vulnérabilités dans les jeux en vue d’accentuer la manipulation d’argent virtuel et d’en accumuler sans éveiller les soupçons ;  exploitation du code source volé sur des serveurs très fréquentés pour la création de sites pirates. Actuellement, le groupe Winnti est toujours actif.

Hacking

Action malveillante possible pour BeatsByDrDre

Action malveillante possible pour BeatsByDrDre La marque hi-fi, Beats (le fameux b) souffre d’un problème de sécurité sur son site Internet qui pourrait nuire à ses visiteurs/clients. C’est Mazaki, un lecteur, qui nous a alerté sur le sujet. La vulnérabilité, une XSS, un cross-site scripting. L’idée de cette faille, provoquer un enchainement d’actions malveillantes à partir d’un site officiel. En gros, soit par courrier électronique (XSS non-permanent comme pour gMail, ndlr datasecuritybreach.fr) ou directement stocké sur le site incriminé par la faille (XSS permanent), le pirate peut orchestrer différents types de piratages.

Vous vous demandez comment, par exemple, un pirate a pu voler la session de votre compte de courrier électronique, votre accès web ? Tout « simplement » via un vol du cookies. Le XSS permet l’interception de ce document caché au fin fond de votre ordinateur. Le pirate peut aussi afficher de fausses informations à l’écran, mettre en place une page de type hameçonnage de données ou, plus vicieux encore, installer un code malveillant (logiciel espion, keylogger) dans l’ordinateur de l’espace visité. Il est aussi possible, dans certains cas, d’accéder à la base de données et à ses petits secrets (mails, mots de passe, messages privés). Bref, comme le précise un expert du genre dans notre émission tv d’avril sur zatazweb.tv, le Cross-Site Scripting n’est pas à prendre à la légère. Notre cas du jour, vise donc B. Le protocole d’alerte de ZATAZ a été déclenché au sujet de cette potentialité malveillante. En attendant une hypothétique correction, datasecuritybreach.fr vous déconseille fortement de cliquer sur le moindre lien renvoyant vers le portail de Beats. Préférez taper directement, dans votre navigateur, l’url concerné.

Une correction ? Il existe moult méthodes pour éviter un XSS. Nous vous passerons l’utilisation d’un firewall (pare-feu) qui permet de filtrer les informations envoyées au serveur/site. Un contrôle du flux de données rentrantes/sortantes loin d’être négligeable. Le coût est l’un des freins de son utilisation. Parmi les solutions, mettre son nez dans le code source de son « précieux ». D’abord, protéger les variables (form et/ou url et/ou cgi et/ou cookies). Pour cela, il faut définir « scriptProtect » du tag <cfapplication>.

Comme le rappel Wikipedia : « Filtrer les variables affichées ou enregistrées avec des caractères ‘<‘ et ‘>’ (en CGI comme en PHP). De façon plus générale, donner des noms préfixés par exemple par « us » (user string) aux variables contenant des chaînes venant de l’extérieur pour les distinguer des autres, et ne jamais utiliser aucune des valeurs correspondantes dans une chaîne exécutable (en particulier une chaine SQL, qui peut aussi être ciblée par une injection SQL d’autant plus dangereuse) sans filtrage préalable« . Dernier point, non négligeable, faites appels à des personnes compétentes à qui vous laisserez du temps pour auditer sérieusement code source et espaces numériques exploités.

BYOD, Entreprise, Fuite de données

Les données stockées dans son réseaux

Les entreprises sont souvent impuissantes face à la protection de leur bien le plus précieux : les données stockées dans leurs réseaux. Alors que les services concernés ont souvent une bonne vue d’ensemble des données conservées au sein de la société et peuvent très facilement évaluer les dommages éventuels, une nouvelle étude commanditée par Kaspersky Lab, que datasecuritybreach.fr a pu consulter, révèle que la plupart des entreprises ont une idée peu précise des données de l’entreprise que les employés stockent sur leurs propres terminaux mobiles. Ceux-ci étant de plus en plus nombreux à utiliser des équipements personnels à des fins professionnelles, une telle méconnaissance pose des problèmes inédits.

Cette enquête, menée par TNS Infratest, révèle que, parmi les sondés en France, : seuls 33% des responsables informatique ont mis en place des règles suffisamment strictes pour disposer d’une vision complète et précise des informations stockées sur ces terminaux mobiles. 45% indiquent ne pas savoir où se trouvent toutes les données, mais avoir un aperçu raisonnable de la situation. 17% reconnaissent n’en avoir aucune idée.

Globalement, il ressort que ce sont les entreprises britanniques et espagnoles qui ont mis en place les règles les plus complètes en matière de protection des données. Ainsi : 57% des responsables interrogés au Royaume-Uni et 54% en Espagne déclarent avoir une vision complète de l’emplacement de leurs données. En Suède; ce chiffre descend à 19%. L’Espagne est également le pays présentant le plus faible nombre de responsables informatiques admettant n’avoir aucune idée à ce sujet (5%). Les entreprises scandinaves, à titre de comparaison, sont, soit très honnêtes, soit font implicitement confiance à leurs employés. En Suède (26%) et au Danemark (22%), soit un nombre exceptionnellement élevé de responsables informatiques reconnaissent ne pas avoir une idée claire des données présentes sur les terminaux mobiles.

« En cas de perte ou de vol d’un appareil mobile d’un employé, il est crucial de savoir ce qu’il contenait en termes de données et surtout de pouvoir mettre en œuvre rapidement les mesures nécessaires pour réagir efficacement », commente à datasecuritybreach.fr Tanguy de Coatpont, directeur général de Kaspersky Lab France. « Si, pour une raison ou pour une autre, il n’est pas possible de savoir où se trouvent les informations de l’entreprise, il convient au moins de pouvoir les crypter afin de les rendre inaccessibles à toute personne malveillante. »

Cyber-attaque, DDoS, Piratage

Cyber-attaques d’entreprises : de plus en plus d’inquiétude

Datasecuritybreach.fr a reçu une étude indépendante, commandée par Corero Network Security, leader mondial des systèmes de défense contre les attaques par déni de service (DoS/DDoS) et les intrusions en première ligne de défense, qui indique que les entreprises redoutent plus que jamais de devenir la cible d’attaques par déni de service distribué (DDoS).

Cette enquête réalisée auprès d’entreprises britanniques révèle que 41% des responsables informatiques sont « très » ou « extrêmement » préoccupés et craignent d’être victimes d’une attaque, contre 29% en 2012. Réalisée par l’Institut de sondages Vanson Bourne, l’enquête compare l’attitude de 100 moyennes et grandes entreprises, au cours des deux dernières années. Ce sondage dévoile également que le nombre d’entreprises ayant eu à faire face à des attaques a atteint 25% en 2013, contre 18% en 2012. Les responsables informatiques du secteur financier sont les plus inquiets. Actuellement, 56% d’entre eux expriment un niveau de préoccupation élevé ou extrême contre 28% l’année dernière.

Une impression de protection trompeuse 31% des personnes interrogées disent avoir déjà mis en place une technologie anti-DDoS spécialisée. 36% déclarent ne compter que sur leur pare-feu pour les protéger des attaques DDoS et ne projettent pas d’accroître leur protection. Par contre, 24% disent avoir l’intention d’acquérir une technologie anti-DDoS spécifique en plus du pare-feu en place.

Les analystes s’accordent à penser que les entreprises estiment être protégées contre les attaques ciblées comme les DDoS, alors qu’en fait, elles se réfèrent à des technologies de sécurité traditionnelles. Il semblerait que beaucoup comprennent l’évolution des menaces actuelles mais surestiment leur propre capacité à les contrer.

Fun, argent et espionnage Une évolution majeure par rapport au sondage de l’année dernière, porte sur les motivations des attaques. En 2012, les motifs politiques ou stratégiques étaient le plus souvent invoqués. C’était la principale motivation pour 33% des personnes interrogées. En 2013, 36% des sondés estiment également que c’est « juste pour rire ». Cependant, les motivations varient radicalement d’un secteur économique à l’autre. Les secteurs de la distribution et des finances considèrent que l’extorsion d’argent est la motivation principale des attaques, le secteur industriel pour sa part invoque unanimement les raisons politiques. Une autre conclusion intéressante de l’enquête est la variété des attaques ciblées et leur sophistication croissante. 33% des attaques ciblées sont des attaques DDoS de la couche applicative, 37% des attaques volumétriques et 30% des attaques d’un autre type ou des attaques zero-day. Emmanuel Le Bohec, Regional Manager de Corero Network Security en France, commente à Data Security Breach : « Il est intéressant de noter qu’en dépit de l’augmentation significative de protection contre les attaques par déni de service au cours de l’année passée, les responsables informatiques redoutent plus que jamais la menace d’une attaque. Il ressort en outre clairement de cette enquête que les responsables IT n’appréhendent toujours pas la variété et la sophistication des attaques DDoS ainsi que les risques pris par leurs entreprises en faisant confiance à leur seul pare-feu pour les protéger. »

Virus

Le Botnet ZeroAccess Générant des Bitcoins a été la Principale Menace au premier trimestre 2013

Le Botnet ZeroAccess Générant des Bitcoins a été la Principale Menace au premier trimestre 2013 Fortinet, l’un des leaders de la sécurité réseau haute-performance, a communiqué à DataSecurityBreach.fr sa nouvelle recherche sur les principales menaces menée par FortiGuard au cours de la période du 1er Janvier au 31 Mars 2013. Data Security Breach a observé que le botnet ZeroAccess générant des Bitcoins, a été la principale menace de ce trimestre d’après les données recueillies par les boitiers FortiGate situés à travers le monde. Le rapport livre également une analyse des cyber-attaques de la Corée du Sud ainsi que deux nouvelles variantes d’adware sur les appareils Android au cours des 90 derniers jours.

ZeroAccess ne montre aucun signe de ralentissement “Au premier trimestre 2013, nous avons vu les propriétaires du botnet ZeroAccess assurer et augmenter le nombre de bots sous son contrôle,” déclare à dataSecurityBreach.fr Richard Henderson, stratégiste de sécurité et chercheur en menaces au sein de FortiGuard Labs de Fortinet. “Au cours des derniers 90 jours, les propriétaires de ZeroAccess ont envoyé à leurs hôtes infectés 20 mises à jour logicielles.”

ZeroAccess est la principale menace en matière de botnets que l’équipe a observé. ZeroAccess est principalement utilisé pour la fraude par clic et la création de Bitcoins. La valeur de la monnaie électronique, décentralisée et basée sur l’open source, continue à exploser, ce qui signifie probablement que la somme d’argent  qui est générée par ZeroAccess se chiffre en millions de dollars ou plus. “Comme la popularité et la valeur de Bitcoin augmente, nous pourrions voir d’autres propriétaires de botnets tenter de les utiliser à l’identique ou pour perturber le marché des Bitcoins,” poursuit Henderson.

En Mars et Avril, Mt. Gox, la plus grande bourse d’échange Bitcoin du monde, a lutté contre une attaque continue par déni de services distribués  (DDoS) visant à déstabiliser la devise et/ou à en profiter. L’analyse de ZeroAccess par FortiGuard Labs, qui peut charger des modules DDoS sur les machines infectées, révèle que le botnet ne dispose pas actuellement d’un module DDoS attaché à son arsenal. Ceci indique que d’autres propriétaires de botnets tentent de profiter des fluctuations de la devise Bitcoin.

Le développement de nouvelles infections ZeroAccess est resté régulier au cours des 90 derniers jours. Depuis Août 2012, FortiGuard Labs surveille activement ZeroAccess, et l’équipe a constaté une croissance quasiment linéaire en matière de nouvelles infections. Plus récemment, l’équipe a noté 100 000 nouvelles infections par semaine et près de 3 millions d’adresses IP uniques rapportant des infections. On estime que ZeroAccess pourrait générer à ses propriétaires jusqu’à 100 000$ par jour en recettes publicitaires frauduleuses.

L’Attaque Wiper Touche les Entreprises Sud Coréennes Une attaque massive de malwares ciblant les institutions financières et réseaux de télévision Sud Coréens en Mars a causé d’énormes dommages, détruisant des milliers de disques durs. FortiGuard Labs, s’appuyant sur son partenariat avec les secteurs publics et privés en Corée du Sud, a découvert des informations relatives à la nature de l’attaque et à la façon dont le malware s’est propagé. La recherche de l’équipe montre que les assaillants ont réussi à reprendre le contrôle des systèmes de gestion des correctifs et utiliser la nature fiable de ces systèmes pour distribuer des malwares dans les réseaux de leurs cibles. Le nettoyage et la remise en état continuent, et les coupables responsables de ces faits restent non identifiés.

Deux Nouvelles Variantes d’Adware se Propageant sur les appareils Android Deux nouvelles variantes d’adware sur les appareils Android, Android.NewyearL.B et Android.Plankton.B, ont provoqué un grand nombre d’infections mondiales au cours des 90 derniers jours. “Les nouveaux kits de publicité que nous avons observé indiquent que les auteurs font de leur mieux  pour éviter la détection,” déclare à datasecuritybreach.fr David Maciejak, chercheur sénior de FortiGuard Labs chez Fortinet. “Il est également possible que Newyear et Plankton soient créés par le même auteur, mais maintenus distincts afin de générer plus d’infections.” Les deux  malwares sont intégrés dans diverses applications et peuvent afficher des publicités, pister les utilisateurs à travers le numéro IMEI du téléphone et modifier l’écran du téléphone.

“La forte augmentation d’adware sur Android peut très vraisemblablement être attribuée aux utilisateurs qui croient installer des applications légitimes contenant un code embarqué d’adware,” déclare à data security Breach Guillaume Lovet, Responsable Senior à FortiGuard Labs. “Cela indique que quelqu’un ou un groupe a été capable de monétiser ces infections, probablement par le biais de programmes illicites d’affiliation publicitaires.” Les utilisateurs peuvent se protéger en prêtant une attention particulière aux droits demandés par l’application au moment de l’installation. Il est également recommandé de télécharger des applications mobiles qui ont été très bien notées et vérifiées.

DDoS, Piratage

Cyber-attaques : la menace s’amplifie, la résistance s’organise

Dire que les attaques par DDoS (Déni de Service Distribué) sont de plus en plus fréquentes et de plus en plus graves est une lapalissade. La menace est diffuse, souvent discrète, mais bien réelle. La gravité du phénomène est difficile à cerner avec précision, mais on peut affirmer que la plupart des grandes entreprises et administrations ont subi des intrusions. Plusieurs études révèlent en effet que 65 à 70 % des entreprises ont été victimes de cyber-attaques ciblées en 2012. Une enquête de Ponemon Institute aux Etats-Unis dévoile que l’année dernière, les deux tiers des banques et entreprises du secteur financier  ont été frappées par des attaques DDoS. Pourtant, seules 17% d’entre elles se disent bien protégées.

L’alerte est donnée Autrefois, servant exclusivement dans les tentatives d’intrusion pour désactiver des équipements réseau ou sécurité, puis plus récemment utilisées comme moyen d’expression idéologique par les Anonymous – bien que ce but annoncé puisse parfois laisser dubitatif – les cyber-attaques apparaissent désormais comme un problème beaucoup plus grave et plus global, devenu surtout géopolitique et économique. Bien que peu d’entreprises admettent encore publiquement en être la cible, certains éléments montrent qu’il s’agit d’un phénomène généralisé. La question est assez préoccupante pour que l’administration américaine ait donné l’alerte et milite activement pour une meilleure protection des infrastructures du pays En effet, les États-Unis, particulièrement concernés, prennent la chose très au sérieux. Les responsables des services de renseignement ont récemment fait part au Sénat de la vulnérabilité de la nation face au cyber-espionnage, au cyber-crime et à la destruction des réseaux informatiques, à la suite d’attaques menées par certains états, par les cyber-terroristes, les cybercriminels ou encore les hacktivistes. En France, on note un certain retard de prise de conscience de la menace malgré l’alerte donnée par Jean-Marie Bockel et la montée en puissance de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), appartenant aux services du Premier Ministre. Dans son rapport, le sénateur critique les moyens alloués par l’Etat pour se défendre contre des attaques informatiques de grande ampleur et contre une cyber-guerre. On ne peut que s’inquiéter de cette situation. Bercy, l’Elysée – tout comme des institutions publiques de plusieurs pays – n’ont-ils pas déjà été l’objet d’attaques ?

Le risque du chaos La lutte contre les cyber-attaques s’inscrit dans une conception globale de défense. Elle est aujourd’hui devenue prioritaire, au même titre que la lutte contre le terrorisme ou la prolifération nucléaire, et tout ce qui risque de mettre en cause la sécurité nationale. La remise prochainement au gouvernement du Livre blanc « Sécurité & Défense 2013 » insiste bien, à la fois sur cette nécessité et sur le retard pris par la France. Des mesures de protection propres aux activités socio-économiques doivent être prises, tout comme elles le sont pour la sécurité du territoire ou la garantie des institutions. Cela devrait se traduire en particulier par la prise de dispositions rendant obligatoire la mise en place d’outils de sécurité sur les systèmes d’information. L’attaque des systèmes d’information ne pourrait-elle pas conduire à la prise de commande des organes vitaux de la Nation, via les fameux Opérateurs d’Importance Vitale (OIV), menant au chaos dans les transports, l’énergie, la distribution, les médias et la finance ? Cette éventualité est prise très au sérieux et ne relève pas d’un scenario de film catastrophe.

Data Securit Breach se pose la question : Mensonge ou aveuglement ? Devons-nous craindre un manque de moyens de défense face à la multiplication des agressions subies par les entreprises ? On observe une lente mobilisation des Etats et une prise de conscience encore très limitée des entreprises dans le monde. Beaucoup, lorsqu’elles n’y sont pas obligées, ne signalent pas les attaques qu’elles subissent, craignant pour leur image. Ce qui est potentiellement dangereux pour leurs clients, leurs partenaires… et tous ceux qui échangent régulièrement avec elles. La prise de conscience n’est pas partagée par tous et le déni des attaques s’apparente à l’aveuglement, allant même jusqu’au mensonge sur la gravité des faits.

Aux Etats-Unis, les 27 plus grandes entreprises américaines cotées en bourse, ont nié avoir enregistré des pertes financières importantes à cause des attaques subies. Cela est contraire aux affirmations des autorités fédérales américaines pour lesquelles des milliards de dollars de secrets confidentiels ont été dérobés par ce biais. Le décalage s’explique. Les sociétés déclarent qu’elles ont été attaquées mais minimise les conséquences.

Le rapport Bockel préconise également l’obligation de déclarer les attaques importantes du système d’information. Informer qu’on a été attaqué est sans aucun doute une démarche responsable. Bien qu’elles soient encore trop peu, on note que de plus en plus d’entreprises prennent vraiment conscience des dangers du piratage informatique, en révélant les tentatives des hackers pour infiltrer leurs réseaux et dérober des données sensibles. C’est le cas par exemple d’EADS et ThyssenKrupp, qui selon Der Spiegel ont été les cibles, l’année dernière, de cyber-attaques venues de Chine. Officiellement, EADS confirme qu’il s’agit d’une « attaque standard » sans conséquence. Mais pour l’hebdomadaire allemand, la cyber-attaque a été jugée suffisamment importante pour que le groupe aéronautique et aérospatial civil et militaire alerte le gouvernement allemand.

Le cyber-espionnage s’amplifie Les attaques DDoS augmentent en fréquence mais aussi en gravité. Au-delà des attaques impliquant un très gros débit, ce sont surtout les attaques par déni de service applicatif qui ont le vent en poupe. Plus faciles à mettre en œuvre, plus discrètes, elles n’en sont pas moins dévastatrices et représentent désormais entre 60 et 80% des attaques, selon les études. Et la tendance ne semble pas prête à s’inverser. Mais le plus important est de comprendre que les attaques par déni de service, quel que soit leur type, ne sont que la partie émergée de l’iceberg. L’attaque vise en réalité à pénétrer le réseau de l’entreprise-cible. D’ailleurs, les entreprises sont les premières visées car détentrices de brevets, de données personnelles, financières, géographiques, météorologiques, sanitaires… Et, chaque attaque par déni de service majeure a donné lieu par la suite, à une seconde vague prenant la forme d’une divulgation d’informations volées au moment de l’attaque. Comme si, au cas où les effets du DDoS n’auraient pas été suffisamment remarqués et la réputation de l’entreprise entachée, l’attaquant voulait s’assurer que ses actions éclatent bien au grand jour et soient révélées au plus grand nombre. Chaque entreprise, PME ou grand compte, est une cible potentielle pour les criminels informatiques. A la demande de Corero Network Security, le Ponemon Institute a mené une enquête. 650 professionnels de l’informatique et de la sécurité, représentant 351 banques dont les plus importantes au monde, ont été interrogés. Il s’avère que 64% des professionnels sondés révèlent que leur banque a subi de multiples attaques DDoS en 2012 et 78% d’entre eux s’attendent à ce que le phénomène persiste voire s’amplifie. Les attaques DDoS et les attaques zero-day –  qui exploitent une vulnérabilité jusqu’alors inconnue – sont les menaces les plus graves. On observe d’ailleurs de plus en plus la combinaison des deux. Une personne sur deux interrogées dans le cadre de l’enquête, déclare que la pénurie de personnels compétents, le manque de technologies de sécurité efficaces et l’insuffisance de ressources budgétaires sont les obstacles majeurs qui empêchent de contrer les attaques par déni de service distribué.

Toute entreprise connectée à Internet peut subir une attaque DDoS. Pourtant, on s’aperçoit avec inquiétude que la grande majorité des organisations compte sur des solutions inefficaces (parce que non conçues pour cela) comme les anti-virus et les pare-feu pour se protéger contre ces attaques par DDoS.

Chaque technologie doit pouvoir jouer son rôle Face à ce danger omniprésent, l’inquiétude est légitime. Nos entreprises sont-elles bien préparées à contrer les attaques de nouvelle génération ? Font-elles les bons choix techniques et stratégiques de défense ? Des solutions nouvelles existent pour résister à la déferlante des attaques DDoS, des attaques ciblées, des botnets, des attaques force-brute et empêcher la fuite et le vol de données. Datasecuritybreach.fr vous rappelle qu’il s’agit d’unités qui filtrent les flux et éliminent le trafic de l’attaque avant qu’il ne frappe le réseau et sans que le trafic légitime ne soit ralenti ou bloqué. Parce que les attaques DDoS visent de plus en plus fréquemment la couche applicative du système d’information, une nouvelle approche est nécessaire pour se défendre. La technologie traditionnelle des pare-feu, proxies et IPS détectant sur signatures, n’a pas été conçue pour arrêter les attaques visant la couche applicative et cherchant à simuler des acteurs légitimes. Les attaquants le savent.

De plus, l’attaque par DDoS n’est parfois qu’une diversion pour pénétrer sur le réseau et effectuer une invasion plus insidieuse. Pour ce faire, les pirates ciblent le pare-feu, mis en place par l’organisation pour se protéger et qu’ils utilisent contre elle ! Aussi convient-il de disposer une première ligne de défense – moyen simple pour bloquer le trafic indésirable avant qu’il n’atteigne le pare-feu et l’IPS – laissant ces derniers faire le travail pour lequel ils ont été conçus. Pourquoi s’en priver ? Les attaques n’arrivent pas qu’aux autres. Par Emmanuel Le Bohec, pour Data Security Breach, Regional Manager chez Corero Network Security.

ID, Particuliers

Documents électroniques d’identité (eID et e-Passeport): quels sont les défis à relever ?

La gestion des documents d’identité est en pleine mutation : avec la généralisation des programmes de cartes nationales d’identification électronique (appelés également CNIe), les gouvernements souhaitent déployer un véritable bouclier contre les fraudes et la contrefaçon à grande échelle. Cependant, certains programmes nationaux prennent du retard – notamment en France – et certains écueils ne semblent toujours pas résolus.

Quels sont les défis technologiques auxquels les administrations et gouvernements doivent faire face ?
Sur le terrain, la sécurité des documents officiels d’identité reste une préoccupation majeure : les populations n’ont jamais été aussi mobiles et nous sommes toujours plus nombreux à passer les frontières ; du côté de l’administration électronique, le but est de gagner en simplicité. Car les administrations ont besoin non seulement de documents d’identification robustes et multiservices bénéficiant d’une sécurité optimale, mais facilitant aussi les mouvements transfrontaliers et l’accès à des services sociaux ou de santé.

En 2015, 85% des documents d’identification seront électroniques, et les gouvernements qui proposeront ces CNIe seront jusqu’à 4 fois plus nombreux que ceux qui resteront sur des formats plus classiques (sans technologie), selon l’analyste Acuity Market Intelligence. L’utilisation d’identifiants multi-applicatifs semble devenir la norme pour le développement de carte d’identité multiservice et durable, et, dans ce contexte, la prévention des fraudes, le déploiement de programmes de bout en bout et l’expertise en matière d’intégration sont essentiels pour le développement de programmes d’identification nationaux.

Il s’agit, en effet, d’éliminer les problématiques d’interopérabilité technologique, d’assurer les mises à jour des cartes existantes et des systèmes sous-jacents, et d’encourager la longévité des documents d’identification, autant de vecteurs qui peuvent induire des coûts supplémentaires. C’est la raison pour laquelle une expertise en matière de conception, de technologie et de fabrication est essentielle pour s’assurer que les documents d’identification soient conformes aux normes internationales qui régissent leurs dimensions, leur sécurisation, leurs fonctionnalités et leur longévité.

Une longévité optimale
La longévité des documents d’identification est un point crucial : ces documents doivent en effet résister à une utilisation intensive et à différents vecteurs d’usure. Les matériaux comme le polycarbonate se sont imposés en tant que matériau de choix en matière de durabilité et de résistance. On note néanmoins que l’ajout de technologies intelligentes embarquées telles que le RFID ou les puces avec ou sans contact pourraient être considérés comme des freins potentiels à la durabilité des supports en plastique.

Ce constat est à l’origine du développement de nouvelles technologies qui, à l’image de la technologie polycarbonate prévenant la formation de fissure, brevetée de HID Global, assure l’intégrité de la structure des documents d’identification.

La mise à jour des documents d’identification
Le retour sur investissement des programmes CNIe évolués fait l’objet de nombreux débats. En effet, les discussions portent notamment sur l’investissement initial du projet, qui varie selon les fonctionnalités et la durée de vie des cartes d’identité. La possibilité et le processus de mise à jour des cartes déjà en circulation sont essentiels en matière de conception du programme et d’allocation des budgets.

Pourquoi en effet payer pour une carte qui devra être rapidement renouvelée (par ex. suite à un changement d’adresse)? Dans un tel scénario, les cartes à puce déployées dans le cadre d’applications embarquées et sécurisées de gestion des données peuvent être mises à jour. Grâce à ces programmes, la mise à niveau des informations sur la carte est assurée, incluant la possibilité de télécharger de nouvelles applications ou d’activer de nouveaux services, dès que ces derniers sont disponibles. Cette évolutivité offre aux gouvernements la possibilité d’étendre leurs programmes de manière sécurisée, même lorsque les cartes sont déjà entre les mains des citoyens.

Des technologies innovantes, telles que l’OSM (Optical Security Media) facilitent les mises à jour des documents d’identification en circulation. D’ailleurs, cette technologie a fait ses preuves et a été utilisée dans le cadre de la délivrance des permis de résident américains dits « Green Cards » . L’information présente sur la piste optique de ces cartes ne peut être modifiée de manière frauduleuse, et ne peut être mise à jour que par des instances légitimes, le tout, sans avoir à remplacer la carte.
 
Un document d’identification valable 10 ans, durera-t-il vraiment 10 ans ?
Le remplacement des cartes d’identité traditionnelles par des cartes de type eID, l’intégration d’une ou de plusieurs technologies de carte à puce en d’identification, et l’innovation qui favorise la durabilité des cartes sont autant de leviers qui assurent la pérennité des identifiants de demain.

Dans les 5 années à venir, les priorités porteront sur les fonctionnalités des cartes multi-technologiques, davantage d’intégration au niveau de la conception des cartes, l’amélioration des systèmes de délivrance, les différentes possibilités de mise à jour, et l’innovation en matière de production des cartes. Ce sont ces facteurs, entre autres, qui feront de la carte d’identité à puce, valable 10 ans, une réalité. (Par Craig Sandness, pour Data Security Breach, Vice-président chez HID Global, en charge des solutions d’identification officielle.)

Entreprise, Fuite de données

Les entreprises sont informées trop tardivement du risque de fuite de données

Communiquer sur la disparition d’un équipement informatique ne semble pas une priorité pour tous les employés européens. Une nouvelle étude révèle que les employés belges (dont 19% attendent au moins trois ou quatre jours), néerlandais (17%) et allemands (16%) sont les plus lents à signaler la disparition d’un équipement. Leurs homologues portugais et danois sont les plus rapides (30% et 31% d’entre eux, respectivement, effectuent le signalement dans l’heure qui suit).

Seul un employé sur cinq, au sein des petites et moyennes entreprises, informe son service informatique dans l’heure qui suit la perte d’un équipement appartenant à la société, selon une enquête que Data Security Breach a pu consulter, et réalisée par TNS Infratest  auprès d’un échantillon de PME européennes. Ce chiffre est encore plus alarmant sachant que la majorité des responsables informatiques sont convaincus qu’un mot de passe suffit à protéger les données sensibles stockées sur les terminaux mobiles.

En cas de vol d’un ordinateur portable, d’une tablette ou d’un smartphone d’entreprise, les malfaiteurs disposent d’au moins plusieurs heures devant eux pour tenter d’accéder à son contenu avant que le service informatique ne puisse prendre des mesures préventives ou réactives. Seuls 21% des responsables informatiques, interrogés sur le laps de temps qui s’écoule avant que leurs employés signalent la perte d’un tel équipement, pensent être informés dans l’heure qui suit. 12% estiment ce délai supérieur à une journée, ce qui laisse le temps à un cybercriminel d’extraire des données sensibles de l’entreprise stockées sur l’appareil (contacts, e-mails professionnels…), voire d’accéder à des comptes personnels en ligne (sur Twitter ou Facebook, par exemple) et de modifier les mots de passe de l’utilisateur.

« Un cybercriminel chevronné n’a besoin que de quelques minutes pour contourner une protection par mot de passe à 4 chiffres telle que celle utilisée sur la plupart des appareils, notamment les smartphones », souligne à Data Security Breach David Emm, chercheur senior en sécurité chez Kaspersky Lab. « C’est pourquoi, en cas de perte ou de vol de votre mobile, il est essentiel d’en informer votre service informatique le plus vite possible. Celui-ci pourra alors bloquer l’accès de l’appareil au réseau de l’entreprise et, dans le meilleur des cas, en effacer toutes les données. »

A cet égard, il est plutôt alarmant de constater que seulement 39% des responsables informatiques interrogés admettent que, pour la protection des terminaux mobiles, le chiffrement des données constitue une méthode bien plus efficace qu’un simple mot de passe. « Malheureusement, trop souvent, les utilisateurs n’emploient même pas de mot de passe du tout. Ou, dans le cas contraire, ils ont tendance à se servir d’un simple code PIN de quatre chiffres au lieu d’un mot de passe complexe, c’est-à-dire composé d’au moins douze signes combinant des lettres, des chiffres et des caractères spéciaux », ajoute à datasecuritybreach.fr David Emm. « L’utilisation d’un tel mot de passe fait gagner un temps précieux à l’entreprise après la perte ou le vol d’un appareil : les données professionnelles demeurent en effet protégées jusqu’à ce que l’employé signale la disparition de l’équipement et que le service informatique efface son contenu. »

Logiciels, Virus

Une nouvelle solution contre l’exécution de code malveillant sur les ordinateurs équipés d’UEFI

Une nouvelle solution contre l’exécution de code malveillant sur les ordinateurs équipés d’UEFI. Kaspersky Lab annonce à Data Security Breach le lancement d’une nouvelle solution baptisée KUEFI, un antimalware capable de protéger le PC de l’utilisateur avant même le chargement du système d’exploitation.

La norme UEFI (Unified Extensible Firmware Interface ou « interface micrologicielle extensible unifiée »), élaborée par l’Unified EFI Forum, est un modèle d’interface intermédiaire entre le micrologiciel (firmware) et le système d’exploitation (OS) d’un ordinateur.

Présenté comme « l’héritier spirituel » du BIOS (Basic Input/Output System), UEFI offre la prise en charge de nouvelles technologies, un développement optimisé et une meilleure expérience utilisateur entre la mise sous tension de la machine et le chargement du système d’exploitation. Pour de multiples interfaces, la norme offre un système plus sécurisé, un temps d’amorçage plus court, des performances améliorées, et des fonctionnalités innovantes sur la plate-forme. Parmi ses autres caractéristiques, la norme UEFI prévoit la possibilité d’embarquer une solution de sécurité « sur la puce ». Kaspersky Lab a saisi cette opportunité pour développer le premier – et, pour l’instant, le seul – antimalware compatible UEFI, qui sera en mesure d’analyser certains fichiers système et emplacements mémoire avant même le début du chargement du système d’exploitation.

Les avantages d’une telle approche sont clairs. Jusqu’à présent, les rootkits et bootkits pouvaient s’ancrer profondément dans le système et se charger avant tout antimalware classique, dissimulant ainsi leur activité à l’antivirus, dont ils pouvaient même bloquer le chargement. Désormais, en se chargeant à partir d’une mémoire ROM garantie exempte de défauts, KUEFI pourra examiner les fichiers système avant leurs propres chargements afin de détecter tout code malveillant susceptible de s’y cacher.

Cybersécurité

Hacknowledge Contest Benelux

Suivez, en temps réel, avec ZATAZ.COM, ACISSI et CPEHN (Charleroi) le Hacknowledge-contest 2013 Benelux.

13h30 – Découverte du système d’alerte ZATAZ.COM avec Damien Bancal.

Fonctionnement, actions, … Plus de 40.000 sociétés aidées, bénévolement, depuis bientôt 17 ans (anniversaire en juin 2013).

14h30 – RFID, Le sans fil nous parle par Sébastien Lasson

Un jouet à 30 euros cache, en son sein, un outil professionnel dédié au RFID vendu sous sa forme « pro », 300€.

16h00 – Social Engineering par Sébastien Baudru de Drastic Sécurité.

Explication sur cet « art » d’étudier une cible humaine… avant de s’occuper de son informatique. De multiples outils pour le SE : Tailgating, shoulder surfing, trashing, phishing, Cross site Scripting, Mass Human Deny Of Service. Prudence aux courriers d’entreprises ayant un nom trés proche de celui de l’administration fiscale. Possibilité de détourner de l’argent en jouant sur la peur des Impôts, URSAFF, …

 

17h00 – De son côté, François Goffinet est venu parler de migration IPv6 et sécurité.

« Ipv6 n’est pas sécurisé comme on veut nous le faire entendre, indique l’enseignant, Chrome, n’est pas compatible IPv6 ; les commentaires dans le code source de Wireshark, ne sont pas flatteurs pour IPv6« .

18 h – La sécurité informatique – Etat des lieux en Belgique par Rudi Réz (CPEHN).  

Du côté des forces de l’ordre dédiées au cyber-crime  : 37 policiers pour la FCCU (Federal Cyber Crime Unit) ; 180 pour les 25 zones régionales RCCU (Regional Cyber Crime Unit). Le CERT Belge (CERT.BE) a lancé +1400 enquêtes en 2011, pour plus de 2100 alertes. Il n’existe pas de loi obligeant les entreprises à notifier la justice/le public en cas de piratage/fuite de données. Le gouvernement conseille de le faire, mais ne l’oblige pas.

21 h – Le concours !
Plus de trente participants, 70 épreuves. La nuit s’annonce riche et… studieuse.
Lancement des hostilités … H -1.

 21h30 – C’est parti … mon kiki !

70 épreuves : hack, chiffrement, décryptage, code barre, lock picking, …  A noter de la pointure parmi les participants dont le gagnant du SANS NetWars tournament of Champion 2012.

 

05h30 – La lutte est serrée pour les concurrents.

Les épreuves s’enchaînent, les défis tombent, un par un. Physiques, numériques, certaines autres « briques » résistent.

Patch

Oracle Critical Patch Update – Avril 2013

Oracle a publié deux mises à jour de sécurité critiques. Tout d’abord, une nouvelle version de Java corrige 42 vulnérabilités, dont 19 ayant le score CVSS le plus élevé (10) qui permet à un attaquant de prendre le contrôle total de la machine. Cette mise à jour corrige également les vulnérabilités découvertes lors de la compétition PWN2OWN à CanSecWest, en mars, où Java a été exploité par trois chercheurs en sécurité différents. Oracle a également modifié les alertes qui surgissent lorsque l’on exécute une applet Java, en introduisant des états distincts donnant plus d’informations sur la nature de l’applet. Les nouvelles versions sont Java v7 update 21et Java v6 update 45.

Dans l’ensemble, le CPU d’avril 2013 corrige plus de 120 vulnérabilités dans 13 gammes de produits. Une cartographie précise des logiciels installés sera cruciale dans l’application de ces correctifs en raison du grand nombre de produits couverts. Nous recommandons de commencer par les services exposés sur Internet, puis de mettre à jour en priorité les produits contenant des vulnérabilités avec un score CVSS élevé.

Le SGBDR d’Oracle dispose de quatre mises à jour pour des vulnérabilités ayant un score CVSS de 10. Les organisations doivent s’assurer en priorité que leurs bases de données Oracle ne sont pas exposées et appliquer les correctifs en conséquence.

La base de données MySQL dispose de 25 vulnérabilités corrigées, avec un score CVSS maximum de 6.9. Un score de niveau moyen qui donnent plus de temps aux administrateurs informatiques pour réagir.

Les solutions Oracle Fusion ont 29 vulnérabilités corrigées, avec un score CVSS de 10. Nous recommandons d’appliquer les patchs aussi rapidement que possible. Une des vulnérabilités se trouve dans le produit Oracle Outside-In, qui est utilisé par Microsoft Exchange Server. Il est noté 6.8, ce qui signifie que nous aurons une mise à jour d’Exchange très bientôt.

Oracle Solaris est affecté par 16 failles avec un score de 6.4, dont deux vulnérabilités exploitables à distance. Les administrateurs informatiques doivent se concentrer dans un premier temps sur ces deux vulnérabilités.

Les autres produits mis à jour comprennent Peoplesoft, Supply-Chain, E-Business, CRM.

En complément des mises à jour d’Oracle, Apple a également publié deux mises à jour de sécurité. La première adresse Java 6 qui est maintenu par Apple sur Mac OS X. La seconde corrige une vulnérabilité dans Webkit, le moteur de rendu HTML de Safari. La vulnérabilité dans Webkit a également été découverte lors de la compétition PWN2OWN, mais en l’occurrence dans le navigateur Chrome de Google. Google a corrigé cette vulnérabilité le mois dernier. (Wolfgang Kandek, CTO de Qualys pour Datasecuritybreach.fr)

Cybersécurité

L’Institut Léonard de Vinci ouvre un MBA « Sécurité des réseaux numériques ».

Un commentaire

Lutter contre les cyber-attaques et prévenir la menace numérique L’Institut Léonard de Vinci ouvre un MBA « Sécurité des réseaux numériques ». Au moment où les cyber attaques contre les entreprises ou les états sont monnaie courante et où de nouveaux besoins en compétences émergent, Data Security Breach revient sur ce nouveau MBA  « Sécurité des réseaux numériques » de L’Institut Léonard de Vinci. Un MBA qui aura pour mission de former des experts et des stratèges du management de la sécurité des réseaux numérique dans tous les secteurs de l’économie mondialisée, arrive à point nommé.

En effet, selon le rapport du sénateur Jean-Marie Bockel sur la cyberdéfense (juillet 2012), les formations dédiées ne couvriraient qu’un quart des besoins de recrutement, estimés actuellement à 1000 par an (200 pour les administrations et 800 pour le secteur privé). Ce MBA qui combine 6 mois de formation à l’université et 6 mois de formation en entreprise, traite donc des problématiques pratiques et actuelles sous l’angle de la sécurité globale, telles que le cloud, le big data, la sécurité des réseaux, la mobilité dans les réseaux sans fil, le multimédia, mais il assure aussi les bases indispensables de la connaissance du droit (communication, pénal, finance, assurance, social), de  la gestion (management) et de la science politique (communication de crise, réseaux sociaux). Pour comprendre le contexte et les enjeux de l’ouverture de ce MBA DataSecurityBreach.fr revient sur l’échange avec M. Yves ROUCAUTE, directeur du MBA « Sécurité des Réseaux numériques », Professeur agrégé des facultés, Président du conseil scientifique de l’Institut National des Hautes Etudes de Sécurité et de Justice.

Pourriez-vous nous présenter le MBA « Sécurité des Réseaux numériques » de l’Institut Léonard de Vinci ?

Yves ROUCAUTE : Le MBA « Sécurité des Réseaux Numériques » a pour objectif de former des experts de l’information technologique et des stratèges incontournables du management de la sécurité des réseaux numériques et de l’économie numérique. Et cela dans tous les secteurs de l’économie : entreprises privées ou publiques, états, collectivités territoriales, institutions de régulation ou encore lobbys. Il combine apprentissage théorique et pratique de la maîtrise de la sécurité du fonctionnement des systèmes d’information dans l’économie numérique et management opérationnel technico-économique et juridique pour gérer et prévoir l’évolution des stratégies face aux risques et menaces liés aux réseaux numériques. Tous les postes à responsabilités liés aux secteurs économiques utilisant les technologies numériques ainsi que les métiers liés au conseil et à l’audit de systèmes numériques sont concernés. Les débouchés sont  donc nombreux dans les entreprises privées et publiques, les industries, le commerce, les banques, les assurances, mais aussi au sein des organismes étatiques ou des collectivités territoriales, des institutions de régulation et des lobbys.

Comment s’assurer que les élèves ne soient pas dépassés par le développement constant des nouvelles technologies et actualisent constamment leurs connaissances ? Nous offrons à la fois un contenu d’enseignement performant et un personnel enseignant à la pointe des questions de sécurité soulevées par  l’information technologique à l’heure de la mondialisation.  En effet, avec Michel Riguidel, Professeur émérite de Paris Tech, ex-directeur du département «Informatique et Réseaux », directeur adjoint du MBA, nous avons appelé des professionnels du management du risque numérique, réputés internationalement, qui travaillent à la direction d’entreprises  spécialisées dans la sécurité des réseaux. Ainsi, les élèves vont savoir gérer le risque numérique imminent mais aussi prévoir son évolution. Ils comprendront la sécurité des systèmes d’information tout en saisissant l’écosystème numérique dans sa globalité, dans ses diverses dimensions technologiques, juridiques, financières, assurantielles, psychologiques et sociologiques.

Comment concrètement les étudiants du MBA « Sécurité des Réseaux numériques » seront-ils en mesure de prévenir les cyber-attaques ? Les cyber-attaques sont devenues une menace constante pour les entreprises mais aussi pour les Etats. Depuis 2007 et la cyber attaque contre l’Estonie de la part de sites russes, le danger a été pris en compte.  Dernièrement, les attaques contre Lockheed, Google et Twitter ont fait grand bruit et montrent que nul n’est à l’abri. Ce sont des centaines d’entreprises qui, chaque année, sont victimes de cette nouvelle forme de criminalité. En premier lieu, les étudiants de notre MBA, formés par des professionnels de renom, seront en mesure d’éviter et de prévoir ce type de cyber attaque. Au Luxembourg, comme lors de l’organisation d’un cycle de conférences au Sénat, les dirigeants de ce MBA ont eu l’occasion de faire des recommandations sur la gestion des infrastructures vitales (appelées « critiques » dans les pays anglo-saxons) de la France. Il n’est pas anodin que l’Association internationale de science politique m’ait permis d’organiser, avec trois des enseignants de ce master, le premier grand colloque européen sur la sécurité des réseaux numériques critiques au Luxembourg en mars 2010. Ou que Michel Riguidel soit coordinateur dans le 6ème programme cacdre recherches et développement, de l’Union européenne, expert de l’ANR, membre du Conseil d’Evaluation Télécommunications à la DGA, alors qu’il a notamment conçu le premier pare-feu certifié ITSEC E4 en Europe ou  inventé le mot « tatouage ».  Pas anodin non plus que Gérard Peliks, expert sécurité chez Cassidian Cyber sécurité, soit Président de l’atelier sécurité du Forum ATENA. Pour ne citer que quelques uns de nos enseignants. Indéniablement, les étudiants seront pleinement confrontés aux  vulnérabilités, aux risques et aux menaces liées aux réseaux numériques. Ils seront, en même temps, en position de distinguer les vraies menaces des jeux en trompe l’œil de certaines entreprises voire de certains services, via de prétendus risques d’attaque et, ainsi, de mesurer les dangers de l’utilisation de certains softwares qui sont en vérité des machines de guerre de l’intelligence économique, parfois seulement utilisés pour vendre des produits informatiques, parfois pour connaître les projets et intentions de concurrents, mais aussi qui sont parfois utilisés pour maîtriser les systèmes d’information des entreprises ou des Etats, voire les détruire.

Le MBA « SECURITE DES RESEAUX NUMERIQUES » propose 447 heures (6 mois)  de cours et séminaires répartis en 4 modules et 6 mois de formation en entreprise. Objectifs : former des experts et des stratèges incontournables du management de la sécurité des réseaux numériques et de l’économie numérique. Public visé : Etudiant Bac +4 ou équivalent – Les épreuves d’admissibilité se font sur dossier et les épreuves d’admission se font sur examen oral devant le comité d’orientation pédagogique. Une remise à niveau est possible. Débouchés professionnels : secteurs des technologies de l’information, de l’informatique, des télécommunications, des activités numériques et des services fournis aux entreprises et aux collectivités ainsi que les métiers liés au conseil et à l’audit des systèmes numériques dans les entreprises privées ou publiques, Etats ou collectivités territoriales, institutions de régulation ou lobbys.

Cybersécurité

Internet traque le/les terroristes de Boston

Un commentaire

Sur le forum 4chan, les internautes se sont lancés dans la traque du/des terroristes de Boston. Impressionnant ! Et si les Internautes réussissez à retrouver le/les terroriste(s) de Boston ? Sur plusieurs espaces web, dont le forum 4chan, les images des bombes de Boston sont décortiquées. Autant dire que la traque est impressionnante. Plusieurs suspects ont été remontés grâce à des détails tirés des photos, vidéos. Parmi les détails, des documents tirés d’appareils photos de sportifs, supporteurs et du FBI. Certaines comparaisons sont assez saisissantes. Surtout l’analyse des sacs à dos, en comparaison de ceux qui semblent avoir caché les « cocottes minutes ». Maintenant, une chasse aux sorcières peut, aussi, montrer du doigt des personnes n’ayant aucun rapport avec cette atrocité.

Entreprise

Insulter votre patron, mais pas à plus de 4 personnes

2 commentaires

Insulter son patron sur Facebook est possible, à condition que vous ne dépassiez pas un nombre d’auditeur trop important ! Legalis.net est revenu sur un arrêt de la Cour de cassation du 10 avril 2013 qui confirme que le paramétrage des comptes des réseaux sociaux constitue le critère du caractère public d’une publication. Pour la Cour, des propos qui s’adressaient à quatre personnes autorisées par le titulaire du compte Facebook utilisé ne constituent pas des injures publiques. Un employé avait, sur Facebook et MSN, tenues des propos que son ancien employeur avait qualifiait d’injure publique. La Cour de cassation a estimé que le public susceptible de les lire était trop restreint. L’injure non publique est punie d’une contravention de 38 €. L’injure publique est punie d’une amende maximale de 12 000 €.

Argent, Cyber-attaque, Cybersécurité

Cyber criminels se penchent sur Bitcoin

2 commentaires

Comment les cybercriminels exploitent les monnaies virtuelles comme Bitcoin. D’abord, petit rappel de DataSecurityBreach.fr sur ce qu’est le Bitcoin. Bitcoin est une monnaie virtuelle décentralisée en ligne basée sur une source ouverte, le protocole P2P. Les Bitcoins peuvent être transférés sur un ordinateur sans avoir recours à une institution financière. La création et le transfert Bitcoin est effectué par des ordinateurs appelés «mineurs» qui confirment la création du bitcoin en ajoutant les informations dans une base de données décentralisée. Les Bitcoins deviennent plus difficiles à produire. Il n’y a plus « que » 10 millions de bitcoins en circulation aujourd’hui. La conception Bitcoin permet uniquement de créer 21 millions de pièces virtuelles. Cette limite sera atteinte au cours de l’année 2140. Le portefeuille Bitcoin est ce qui vous donne la propriété d’une ou plusieurs adresses Bitcoin. Vous pouvez utiliser ces adresses pour envoyer et recevoir des pièces provenant d’autres utilisateurs/internautes. Il existe les « piscines ». Espace qui permet à plusieurs internautes de « fabriquer » des Bitcoins. L’idée, travailler ensemble pour faire des bitcoins et partager les bénéfices de manière équitable. Enfin, vous pouvez acheter et vendre des bitcoins en utilisant plusieurs monnaies du monde réel (Euro, Dollar, …) à l’aide de plusieurs espaces d’échanges tels que MtGox, BTC-E ou encore Virtex.

En raison de la popularité croissante du Bitcoin, cette monnaie est devenue une cible intéressante et rentable pour les cybercriminels. Au cours des dernières années, DataSecurityBreach.fr vous a relayé d’une augmentation du nombre d’attaques et de menaces impliquant la monnaie virtuelle. Les « vilains » ont adapté leurs outils afin de voler des bitcoins à leurs victimes, utiliser des systèmes compromis pour exploiter des bitcoins et, bien évidement, traduire la monnaie virtuelle en billets biens réels. D’autre part les échanges virtuels sont également des victimes potentielles : phishing, déni de service. Dans ce dernier cas, la mission est clairement la déstabilisation du taux de change et des profits.

Au cours des dernières années, la capacité de voler le fichier wallet.dat (Le portefeuille Bitcoin, ndlr Data Security Breach) a été ajoutée à plusieurs familles de logiciels malveillants. En outre, de nouvelles familles de logiciels malveillants sont apparus dans le but de voler ce fichier à partir des machines infectées. Par exemple, une version du malware Khelios a été utilisée pour envoyer de faux courriels et inciter le téléchargement du malveillant. Mission finale, voler des données provenant des systèmes infectés. En conséquence, si un utilisateur du Bitcoin est infecté, le keylogger intercepte les frappes claviers dédiés aux Bitcoins. Le fichier porte-monnaie peut être protégé par un mot de passe… sauf que la majorité des logiciels pirates dédiés aux vols de données bancaires ont intégré le moyen de cracker le mot de passe du portefeuille. A noter que des botnets IRC s’exécutent sur la base du « AthenaIRCBot », un code source qui a la capacité de voler le fichier portefeuille (exemple : 928296a933c8eac9282955d47a811aa2759282973b8789bcfd567fb79282908ea).

En plus de voler le porte-monnaie Bitcoin, le nombre de logiciels malveillants qui permettent aux pirates d’utiliser la puissance de l’ordinateur des victimes est grandissante. Il permet aux escrocs numériques de générer des Bitcoins. Des variantes de Zeus/Zbot utilisent des « plugin » qui visent BitCoin.  L’année dernière, zataz.com vous parlait d’attaques de sites web, avec l’installation d’iframe « bizarres » dans les sites infectés. Les iframes dirigés les internautes vers le site anshaa[*]com. L’attaque visait Bitcoin. Au cours des derniers mois, plusieurs variantes de Dorkbot, y compris celui qui visait Skype, était exploité pour ajouter la capacité mining pool dans les ordinateurs infectés. Une fois que le système compromis, une version de la Ufasoft mining pool est lancée. Le pirate produit du Bitcoin sans se fatiguer. Derrière ce botnet, le même groupe. Il exploit(ait)e : cantvenlinea[*]biz, revisiondelpc[*]ru, cantvenlinea[*]ru, hustling4life[*]biz.

Alors que ce premier groupe a fait tourner son arnaque durant près de 6 mois, un autre groupe de pirates exploite, depuis 1 an, Dorkbot. Si le premier gang semble être des pays de l’Est, le second passe par l’Asie pour agir. Ce groupe exploite aussi une autre monnaie virtuelle, Litecoins. Dans ces cas, les pirates exploitent de faux logiciels diffusés via le P2P et les fameux iFrames installés dans des sites compromis via des kits Exploits de type  Blackhole. Comme vous pouvez le voir dans notre capture écran de comptes pirates, plusieurs escrocs utilisent des adresses Bitcoin. Bilan, il est possible de voir  les transactions effectuées par ces comptes. Certains affichent plus de 38.000 dollars de recettes ! Pas mal pour un petit Botnet !

Mtgox est le plus grand lieu d’échange Bitcoin. Il est possible de transformer ses Bitcoins en Euros ou Dollars. Ces dernières semaines, la popularité croissante de Bitcoin et Mtgox a attiré les pirates. Début avril, le site mtgox-chat[*]info ciblait les utilisateurs Mtgox. Mission de ce piège, inciter l’internaute à télécharger une applet Java malveillante. Marrant, le serveur pirate de gestion (C&C) se nommait « tamere123 ». Il faut dire aussi qu’avec 20.000 comptes Mtgox créé par jour (le nombre de comptes pirates n’est pas connu, ndlr DataSecuritybreach.fr), l’intérêt des escrocs ne fait que suivre le mouvement.

Vous commencez à comprendre pourquoi le Bitcoin a plongé de 50% la semaine dernière, passant de 36 euros le 16 mars pour atteindre 200 euros, 1 mois plus tard. Le Bitcoin se stabilise autour de 75 euros. Jusqu’au prochain problème, comme celui vécu début avril, chez Bitcoin central !

Cybersécurité, Wordpress

Près de 1.000.000 de WordPress en danger

4 commentaires

Un plugin pour WordPress dangereux. Il permet de diffuser des messages non sollicités à partir de 935.000 WordPress ainsi piégés. Si vous utilisez le plugin « widget Media social » dans votre WordPress, un conseil de datasecuritybreach.fr, effacez-le de votre site. Sucuri, expert en sécurité informatique a découvert que le plugin était utilisé pour injecter des messages non sollicités sur votre site. L’outil, qui se veut être un allier dans votre communication sur les réseaux sociaux et aussi, et avant tout, un piége.

Avec plus de 935.000 téléchargements, le plugin a de quoi faire de gros dégâts. Dans le code source de l’application, un url caché, qui est diffusé dans de faux messages. L’intérêt du pirate, faire référencer dans un maximum de sites, donc ensuite sur Google, son espace malveillant. L’url caché a pour mission d’injecter « PayDay Loan » et de renvoyer les lecteurs des WordPress sur le site paydaypam.co.uk, un site de prêt d’argent.

Le code malveillant a été ajouté dans la dernière version du plugin, SMW 4.0. Les utilisateurs sont vivement invités par Datasecuritybreach.fr à retirer le plug-in de leur site. Le plugin a été supprimé du WordPress Plugin.

Android, Sécurité, Smartphone

Activistes Tibétains piégés par une application pirate

Un commentaire

Lookout, leader des solutions de sécurité pour téléphones mobiles et tablettes vient d’informer DataSecurityreach.fr qu’un programme malveillant a été à l’origine d’un harponnage des comptes Email d’activistes tibétains. Le 25 mars dernier, le compte mail d’un activiste tibétain a été piraté et utilisé pour harponner, par la technique dite du spear-phishing, tous les contacts présents dans son carnet d’adresses. Cette attaque cherchait à faire croire aux personnes visées qu’elles avaient reçu un mail contenant des informations relatives à une conférence destinée aux activistes chinois, tibétains, mongols et turciques organisée lors du « Congrès mondial des Ouïghours » (WUC) organisé du 11 au 13 mars 2013.

Le mail contenait une pièce jointe censée être une lettre émanant du WUC, mais il s’agissait en réalité d’un fichier APK pour Android appelé « WC’s Conference.apk » contenant une nouvelle souche de programme malveillant appelée Chuli. Si ce type d’attaque très ciblée contre les appareils mobiles reste marginal, ce n’est pas une première. D’autres souches de programmes nocifs créées spécifiquement pour ces attaques ont déjà été mises au jour par le passé – FinSpy / FinFisher est un exemple conçu pour Android à des fins d’espionnage. L’éditeur Lookout suit de très près cette nouvelle tendance. Le mode d’attaque Les dernières versions d’Android (3.0 et supérieures) empêchent les applications de se lancer automatiquement. Chuli a été conçu pour contourner cette protection : le programme se présente comme un support de conférence, s’appelant même « conférence », une fois qu’il est installé.

Il s’agit d’un subterfuge sophistiqué visant à pousser l’utilisateur à exécuter l’application. Et une fois lancé, pour asseoir sa légitimité, Chuli affiche un message prétendant émaner d’un représentant officiel du Congrès mondial des Ouïghours, concernant la conférence. Mais en fait, l’application récupère l’ensemble des SMS, du carnet d’adresses et l’historique des appels présents sur l’appareil, pour les télécharger sur un serveur C&C distant. Bien que ce serveur soit hébergé aux Etats-Unis, il est en langue chinoise et les noms de domaine qui renvoient vers lui ont été enregistrés le 8 mars 2013 par le déclarant chinois Peng Jia de Pékin, au nom de la société Shanghai Meicheng Technology Information Development Co Ltd. Data Security Breach rappel que si ces informations laissent penser que les pirates sont probablement d’origine chinoise, le gouvernement chinois n’est pas pour autant impliqué.

Une fois que le programme malveillant s’est exécuté, le message qui s’affiche provient d’un fichier texte « assets/m.txt », ce qui laisse penser que ledit message peut facilement être changé pour lancer de nouvelles campagnes ciblées tirant parti d’autres actualités brûlantes. La construction et son mode de fonctionnement Le programme malveillant est basé sur deux services principaux : « PhoneService » et « AlarmService ». Le premier est le service d’activation qui s’exécute lors du lancement de l’application. Pour être sûr de se lancer correctement, il se greffe sur le système d’exploitation Android et définit un paramètre de déclenchement du service lorsque l’un des événements suivants survient :

· l’appareil sort du mode veille

· le niveau de charge évolue

· l’état de connexion de l’appareil change

· l’heure est modifiée

· le papier-peint est modifié

· des applications sont ajoutées

· l’écran s’allume

· la puissance du signal évolue

· un échange de données est amorcé PhoneService effectue trois tâches majeures, la première étant la création d’un identifiant unique pour le téléphone à l’aide de l’horodatage Unix. Ensuite, le service enregistre l’appareil auprès du serveur C&C et, enfin, lance le service AlarmService. Ce service permet au programme malveillant de se livrer à différentes activités d’espionnage. Sitôt activé, il effectue les tâches suivantes que Datasecuritybreach.fr vous énumére :

· Il s’accroche au service de SMS d’Android afin que les messages entrants soient transférés au serveur C&C.

· Il envoie des SMS et communique l’historique des SMS au serveur C&C.

· Il sollicite des informations sur la position géographique toutes les 10 secondes ou tous les 20 mètres, qu’il envoie ensuite au serveur C&C.

· Il accède au carnet d’adresses et communique le modèle de l’appareil, la version d’Android ainsi que tous les contacts enregistrés dans le téléphone et sur la carte SIM au serveur C&C.

· Il lance la fonction « autre » et envoie le journal des appels au serveur C&C.

L’éditeur Lookout a étudié de près le serveur C&C, un serveur Windows sous IIS accompagné d’une page d’accueil créée à la hâte. L’ensemble renforce le sentiment que cette campagne a été lancée en urgence, en prêtant peu d’attention aux petits détails. Détail intéressant, le serveur C&C publie également sous la forme de liens annexes un identifiant unique pour chaque appareil corrompu. Ces liens ouvrent un panneau de configuration relatif à l’appareil concerné, qui présente un ensemble de fonctionnalités que Lookout n’a pas encore observé dans les échantillons de programmes malveillants étudiés, notamment la possibilité d’installer d’autres logiciels à distance et à l’insu de l’utilisateur. Rien ne prouve que cette fonctionnalité ait été utilisée dans cette implémentation, ce qui peut faire penser qu’un autre morceau de code malveillant a été reconditionné pour cette campagne.

Etant donné la nature de l’attaque et les cibles visées, on peut penser qu’elle est l’œuvre d’un Etat ou d’un pays. Or plusieurs éléments semblent indiquer qu’il n’en est rien. Certaines portions sont l’œuvre de développeurs amateurs, l’application ne dispose pas d’une icône et elle porte la mention « test ». Qui plus est, l’exécution du programme se révèle moins élaborée que nombre d’applications malveillantes connues, comme par exemple Geinimi . Autant de preuves réfutant l’idée d’une attaque perpétrée par un Etat ou une grande nation. Il s’agit là d’une nouvelle attaque d’ingénierie sociale ciblée qui exploite des programmes malveillants pour Android, pour prendre le contrôle d’un appareil vulnérable à des fins d’espionnage. Un signe de plus qui vient confirmer la tendance actuelle à l’utilisation de tremplins multiples pour lancer des attaques, en ne se contentant plus de viser seulement des ordinateurs.

Chuli.A vise des cibles bien précises; seul un ensemble particulier d’appareils est concerné. Les risques d’infection sont donc très faibles.  Comment s’en prémunir ? Data Security Breach magazine vous souligne l’importance d’évitez d’ouvrir des mails de spam. Des messages surprise de vieux amis perdus de vue ayant pour objet « hot news », « Last all Night » ou encore « You Won $1000 », montrent clairement qu’il s’agit d’un spam. Le bon sens doit être de mise avant de cliquer sur un lien. Si le nom du site web vers lequel il pointe ne vous dit rien, mieux vaut s’abstenir. La prudence doit particulièrement être de mise dans le cas de liens au format abrégé tel que bit.ly ou ABCD, car il est encore plus difficile de juger de l’honnêteté du site en question.  Si votre appareil mobile lance subitement le téléchargement d’un fichier sans aucune action de votre part, ne cliquez surtout pas dessus et supprimez-le immédiatement. Téléchargez une application de protection mobile telle que Lookout, qui passe au crible les contenus à la recherche de programmes malveillants éventuels. Lookout Mobile Security pour Android, par exemple,  est disponible en version Gratuite et en version Premium (2,49 € / mois ou 24,99 € / an).

Cybersécurité

Patch Tuesday d’avril

Comme chaque premier jeudi du mois, Microsoft a publié sa notification avancée du Patch Tuesday de ce mois d’avril. Il compte neuf bulletins affectant toutes les versions de Windows, certains composants Office et serveur ainsi que Windows Defender sur Windows 8 et RT. Cependant seuls deux bulletins sont jugés « critiques ».

Le bulletin 1 est destiné à toutes les versions d’Internet Explorer (IE), y compris la plus récente IE 10 sur Windows 8 et RT, et devrait être la priorité ce mois-ci. Il est classé « critique » et permet l’exécution de code à distance par le biais du vecteur d’attaque aujourd’hui le plus commun : l’un des utilisateurs de l’entreprise accédant à un site Web malveillant. Le bulletin 2 est la seconde vulnérabilité classée « critique » et affecte le système d’exploitation Windows, à l’exception des versions les plus récentes, Windows 8, Server 2012 et Windows RT (la version tablette).

Les bulletins restants sont tous évalués «importants» et affectent Windows, le serveur Sharepoint ainsi que, il est intéressant de le noter, un produit de sécurité. Il s’agit du scanner de malware de Microsoft, Windows Defender sur Windows 8 et Windows RT. Les vulnérabilités corrigées dans ces bulletins permettent généralement à l’attaquant l’escalade de privilèges. Il accède ainsi du niveau de privilège d’un utilisateur normal à celui d’un utilisateur de niveau administrateur. Il peut également tromper l’utilisateur en l’incitant à ouvrir un fichier spécialement conçu.

Parmi les autres annonces auxquelles il faut prêter attention, le projet source PostGreSQL Open a publié une nouvelle version de son produit de base de données corrigeant cinq failles de sécurité. L’une d’elles, CVE-2013-1899 permet à l’attaquant de supprimer des fichiers de base de données sans authentification, ce qui conduit à la perte de données et au déni de service. PostGreSQL a jugé cette faille suffisamment importante pour justifier la semaine dernière une pré-annonce de la publication d’un correctif cette semaine.

Il faut également garder à l’esprit que Oracle a prévu une publication supplémentaire pour Java ce mois-ci. Normalement, Java bénéficie d’une nouvelle version tous les quatre mois : février, juin et octobre de chaque année. En raison de la quantité et de la gravité des vulnérabilités récemment découvertes, il y aura une nouvelle version qui sera mise en ligne le 16 avril. (Wolfgang Kandek, CTO de Qualys pour DataSecurityBreach.fr)

Cyber-attaque, Cybersécurité, DDoS, Fuite de données, Leak, Sécurité

Vers une Union européenne de la Sécurité Informatique …

Est-il temps d’inventer une « échelle de Richter » des incidents de sécurité ? Alors qu’un projet de Directive a été présenté par Neelie Kroes, commissaire européenne chargée de la société numérique et au moment où le Conseil et le Parlement européens doivent discuter de ce nouveau texte, François Lavaste, Président de NETASQ, acteur de la sécurité informatique revient pour DataSecurityBreach.fr sur cette nouvelle directive.

L’objectif de cette nouvelle Directive européenne vise à renforcer le niveau de sécurité des systèmes d’information européens et ce, de façon homogène. Au programme, la mise en place, dans chaque état membre, d’une infrastructure complète en matière de cybersécurité et une obligation de notification des violations de la sécurité des données personnelles sur 6 secteurs « cibles » qui sont les services financiers, les services internet clés, l’énergie, la santé, les transports et les administrations publiques.   Alors que l’on pouvait s’attendre, par exemple, à une obligation visant à inciter les éditeurs de logiciels à « patcher» les codes défectueux, ou à des obligations pour les acteurs de la filières de mettre en place des mesures de prévention ou de sensibilisation en matière de sécurité des données et des systèmes, le texte ne prévoit, a priori, rien sur ces sujets pour le moment. « Les États membres veillent à ce que les administrations publiques et les acteurs du marché notifient à l’autorité compétente les incidents qui ont un impact significatif sur la sécurité des services essentiels qu’ils fournissent ».

Que recouvre exactement cette notion d’incidents ayant “un impact significatif” sur la SSI ?

La sécurité informatique est, de manière assez surprenante, un domaine qui n’a pas encore inventé ou imposé son « échelle de Richter ». Il existe des indices de gravité pour les vulnérabilités (faible, modéré, important, critique) mais ceux-ci sont assez basiques. Certaines entreprises de sécurité, inspirées probablement par les niveaux d’alerte du plan VIGIPIRATE en France ou par ceux du NTAS (National Terrorism  Advisory System) aux Etats-Unis, publient leur propre échelle de menace (basse, medium, élevée, extrême par exemple). Ces indicateurs sont souvent subjectifs et précèdent les incidents potentiels. Cependant après un incident, aucune « échelle » de gravité n’est véritablement communément admise et utilisée. On pourrait imaginer qu’une telle échelle « a posteriori » de la gravité d’un incident de sécurité serait utile pour rapidement mettre en place, pour les victimes prévenues, les mesures à prendre et pour que les médias positionnent ces évènements de manière la plus objective possible.

BYOD, Chiffrement, cryptage, Entreprise, Fuite de données, Sauvegarde, Sécurité

L’encadrement juridique de l’utilisation de leurs équipements personnels par les salariés

Le BYOD (« Bring your own device »), ou l’utilisation par les employés de leurs équipements personnels (smartphone, pc portable, tablette tactile…) dans un contexte professionnel, est aujourd’hui une pratique courante en entreprise, qui demeure pourtant peu encadrée juridiquement. Donatienne Blin, avocat au sein du département Informatique & Réseaux du cabinet Courtois Lebel, passe en revue, pour Data Security Breach,  les points de vigilance. L’accès immédiat et en toutes circonstances au système d’information de l’entreprise grâce aux BYOD améliore la réactivité et la productivité des employés.

Pourtant cette pratique souvent tolérée par les entreprises présente, en l’absence d’encadrement spécifique, des risques substantiels pesant sur la sécurité du système d’information, précisément sur la confidentialité et l’intégrité des données de l’entreprise : négligence de l’utilisateur (prêt ou perte du terminal), applications malveillantes téléchargées, virus ou failles de sécurité de l’OS (operating system) rendent possibles les accès frauduleux au système d’information par des tiers non autorisés. Chaque type de BYOD présente des risques particuliers qui devront être traités différemment.

L’utilisation des équipements personnels et l’anticipation des risques est donc une problématique majeure au sein de l’entreprise et précisément des directions juridiques et des directions des systèmes d’information. Toute perte ou altération des données personnelles peut provoquer des dommages économiques à l’entreprise, mais peut également engager sa responsabilité : l’article 34 de la loi n°78-17 Informatique, fichiers et libertés du 6 janvier 1978 impose au responsable de traitement de données personnelles de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement pour « préserver la sécurité des données et notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

Ainsi, dans le prolongement de la politique de sécurité mise en œuvre par les DSI (directions des systèmes d’information), les entreprises doivent encadrer l’utilisation des BYOD et garder en toutes circonstances le contrôle de l’accès au réseau et des données y étant accessibles. Cet encadrement devra se matérialiser par la mise en place d’une charte informatique, ou la mise à jour de celle-ci dès lors qu’elle serait existante, en vue d’y inclure les mesures propres à leur utilisation, applicables à l’ensemble des salariés.

Les problématiques suivantes devront y être abordées :

L’accès au système d’information de l’entreprise Compte tenu des risques (introduction de virus, fuite, perte, altération de données personnelles ou sensibles et confidentielles…) pesant notamment sur les données de l’entreprise, des règles d’accès au système d’information de l’entreprise via un équipement personnel devront être adaptées. On pourra prévoir que le salarié utilisant un équipement personnel soit obligé, préalablement à la connexion de son terminal au réseau de l’entreprise, d’avertir le DSI et de faire contrôler son équipement afin de s’assurer de sa conformité en termes de sécurité. De même, le salarié devra toujours disposer d’un équipement en état de fonctionnement, et systématiquement, télécharger les mises à jour proposées par les éditeurs (du système d’exploitation, des logiciels et des applications utilisés).

Il pourra également être imposé au salarié de protéger son équipement par mot de passe afin d’en interdire l’accès aux tiers. L’obligation de faire l’acquisition d’outils permettant de limiter les risques de sécurité pourra également être imposée au salarié : logiciel antivirus, de cryptage des données, ou encore dispositif permettant de supprimer les données à distance dès lors que les données seraient directement stockées sur l’équipement personnel du salarié. Afin d’éviter la perte définitive des données (les applications cloud le permettent, ndlr Datasecuritybreach.fr), il peut également être imposé au salarié d’installer des outils de sauvegardes journalières ou de synchronisation des données avec un autre appareil. En cas de vol, perte, ou constat quelconque d’intrusion frauduleuse sur l’équipement personnel, le salarié devra immédiatement prévenir le DSI afin qu’il prenne toutes mesures nécessaires pour protéger le système d’information de l’entreprise et les données y étant stockées.

La propriété et le contrôle des données accessibles via l’équipement personnel Il devra être précisé que toutes données professionnelles stockées ou accessibles via un équipement personnel demeureront la propriété exclusive de l’employeur. Les cas d’accès et de contrôle aux données stockées sur l’équipement personnel du salarié par l’employeur devront être précisément définis dans la charte.

Pour rappel, Data Security Breach vous énumère les règles à retenir : le salarié utilisant un équipement professionnel doit expressément identifier les éléments personnels comme tels ; à défaut d’identification explicite contraire, le contenu est considéré comme ayant un caractère professionnel et son employeur peut dès lors y accéder.

L’employeur ne peut accéder aux fichiers personnels expressément identifiés comme tels par son salarié hors la présence de ce dernier, et ce sauf risque ou évènement particulier. Il devra être imposé au salarié, en cas de départ de l’entreprise, de transférer à son supérieur hiérarchique l’ensemble des données professionnelles éventuellement stockées sur son équipement personnel. En cas d’application cloud, l’accès doit être coupé au jour du départ.

La problématique du coût ou la participation de l’entreprise aux frais payés par les salariés Dans le cas des BYOD, le coût des équipements personnels utilisés à des fins professionnelles et les éventuels frais annexes (assurance, maintenance, anti-virus, forfait téléphone/internet, logiciels indispensables à l’activité, tel que le Pack Office de Microsoft) sont de fait déportés chez les salariés. Certains coûts pourraient être partiellement pris en charge par les entreprises, dès lors qu’il est raisonnable de considérer que le salarié n’aurait pas fait l’acquisition de ces différents outils, imposés par l’entreprise, dans le cadre d’une utilisation strictement personnelle. Ces règles liées à la prise en charge totale ou partielle des coûts devront être définies et portées à la connaissance des employés. Cette problématique rejoint celle de la discrimination entre les salariés : certains salariés pourront se procurer eux-mêmes leur propre équipement tandis que d’autres ne le pourront pas pour des raisons exclusivement financières.

La durée légale du travail En utilisant son équipement personnel, notamment pour recevoir ses mails professionnels, le salarié reste connecté en permanence avec le réseau de son entreprise.Cela a pour conséquence d’augmenter la durée du travail. Or les entreprises doivent respecter la durée légale du temps de travail sous peine de sanction. La charte devra donc tenir compte du fait que l’utilisation de l’équipement personnel ne doit en aucun cas porter atteinte à la durée légale du travail applicable à chaque salarié concerné. Au même titre, aucune sanction ne devrait découler d’une absence de réactivité d’un salarié en dehors de ses horaires de travail.

Les accès aux applications ou plus généralement au réseau de l’entreprise en dehors des horaires de travail peuvent être directement bloqués à distance par la direction des systèmes d’information. Ce système impose de créer des groupes d’utilisateurs autorisés, en fonction des horaires de travail qui leur sont applicables, du poste ou encore du rang hiérarchique occupé.

La responsabilité en cas de vol ou de dommages matériels causés à l’équipement personnel La question des éventuels dommages causés à l’équipement personnel de l’employé sur le lieu de travail sans aucune faute de sa part devra être tranchée dans la charte. Par exemple un virus pourrait être transmis sur l’équipement personnel du salarié qui se serait connecté au réseau de l’entreprise. Dès lors que l’équipement du salarié serait endommagé par la faute ou la négligence de l’entreprise, celle-ci devrait, dans ces conditions, être responsable des réparations.Les conditions de responsabilité et de réparation totale ou partielle en cas de dommages matériels doivent donc être précisément définies, dans le respect des règles du code du travail applicables.

La redéfinition des règles d’utilisation prohibées Il conviendra d’élargir les règles d’utilisation prohibées des ressources de l’entreprise aux ressources personnelles, dès lors que le réseau internet de l’entreprise devient accessible via un équipement personnel. Ainsi, il faudra rappeler au salarié que les règles d’utilisation prohibées des ressources de l’entreprise s’étendent à son équipement personnel (faits d’atteinte à la vie privée ou à l’image d’un tiers, diffamation, injure, discrimination, dénigrement de l’entreprise, l’atteinte à l’image de marque, à sa réputation ou à ses droits). De même, devront être prohibés les téléchargements de contenus portant atteinte au droit de la propriété intellectuelle qui seraient effectués par le salarié via le réseau de l’entreprise avec son équipement personnel. Enfin, il devra être interdit au salarié de se connecter via des réseaux wifi non sécurisés mais également de télécharger des applications ou logiciels non sécurisés sur son équipement personnel. La DSI pourrait préalablement établir une liste d’applications ou d’éditeurs interdits car présentant des risques en termes de sécurité, et mettre à jour cette liste.

L’opposabilité des règles L’opposabilité de ces règles devra être assurée afin de pouvoir engager la responsabilité disciplinaire ou judiciaire du salarié qui ne les aurait pas respectées et qui aurait été responsable du dommage causé à l’entreprise par sa faute. Ces règles peuvent donc figurer dans la charte informatique de l’entreprise, laquelle sera elle-même annexée au règlement intérieur. Les instances  représentatives du personnel devront être consultées.

Pour finir, DataSecurityBreach.fr vous rappelle que dans son arrêt du 12 février 2013, la Cour de cassation a jugé qu’un employeur pouvait contrôler une clé USB d’un employé connectée à son ordinateur professionnel alors même que celle-ci était personnelle et sans la présence de l’employé. En l’espèce, les fichiers contenus n’étaient pas identifiés comme personnels, pas plus que la clé en question. Malheureusement pour l’employé, la clé contenait des informations confidentielles, ce qui a justifié son licenciement. (par Courtois Lebel, pour DataSecurityBreach.fr – PL est membre de deux réseaux de cabinets d’avocats : AEL, réseau européen, et ALFA.)

Chiffrement, Entreprise, Fuite de données, Leak

Impression des documents : un faux sentiment de sécurité ?

Quant à l’exposition des entreprises et des administrations aux risques de pertes de données confidentielles via les documents imprimés. Il repose sur l’étude menée par le cabinet d’analyses Quorcica sur 150 entreprises de plus de 1000 salariés, au Royaume-Uni, en France et en Allemagne. Selon Quocirca, à peine 22 % des entreprises ont mis en place un environnement d’impression sécurisé et 63 % des entreprises déclarent avoir subi des fuites de données dues à des documents imprimés, les entreprises s’exposent à de sérieux problèmes de confidentialité. Le livre blanc de Nuance présente les avantages d’une technologie d’impression sécurisée en matière d’authentification, d’autorisation et de suivi, et explique comment les entreprises peuvent améliorer la sécurité de leurs documents et se conformer aux exigences réglementaires.

Les entreprises qui consolident leur parc d’imprimantes optent très souvent pour des environnements partagés. Inévitablement, le risque de voir des documents tomber entre de mauvaises mains s’accroît. Dans le cadre d’une stratégie de sécurité des impressions, les entreprises doivent pouvoir contrôler l’accès à leurs multifonctions et disposer de fonctionnalités de contrôle et d’audit permettant un suivi des activités par périphérique et par utilisateur. L’efficacité d’une stratégie de protection des informations est toujours limitée à son maillon le plus faible. L’impression de documents demeure une pratique courante pour de nombreuses entreprises, mais celles-ci ne peuvent plus se permettre la moindre négligence en matière de sécurité. Même si l’impression en mode « pull » offre un moyen efficace pour lutter contre la perte de données, elle doit s’inscrire dans une stratégie globale, intégrant formation des utilisateurs, définition de règles et intégration de technologies complémentaires. Ce rapport comporte aussi deux études de cas d’ent solutions Equitrac et SafeCom de Nuance pour mieux protéger leurs impressions.

Logiciels

Renault fait appel à AVG Technologies pour sécuriser son nouvel app store embarqué

Renault, l’un des principaux constructeurs automobiles, a choisi AVG Technologies N.V. pour renforcer la sécurité de son système révolutionnaire de navigation multimédia intégré et connecté, Renault R-Link. AVG, fournisseur de solutions de sécurité mobile et Internet pour plus de 146 millions d’utilisateurs actifs dans le monde, vient de mettre au point une architecture de WebScanning assurant la protection de toutes les applications du Renault R-Link app store contre les logiciels malveillants recensés.

Développé en collaboration avec des spécialistes de la navigation par satellite, le système embarqué Renault R-Link associe un dispositif multimédia tactile d’un prix abordable à un kiosque d’applications ergonomique. Lors de son lancement, celui-ci comptera déjà plus de 50 applications disponibles, voyages, loisirs, actualité, réseaux sociaux… De nouvelles applications s’ajouteront à cette liste. Le système, déjà disponible sur la nouvelle Renault Clio, devrait équiper d’autres modèles du constructeur d’ici fin 2013, dont la très attendue voiture électrique ZOE, le Kangoo Express et la Captur.

Le logo AVG s’affiche sur le kiosque de l’ordinateur de bord avec la mention « Protégé par AVG ». Toutes les évaluations de sécurité s’effectuent en ligne, avant téléchargement des applications sur le système R-Link.

Selon John Giamatteo, Directeur des Opérations d’AVG Technologies explique à Data Security Breach  : « Chaque jour, AVG assure la tranquillité d’esprit de millions de personnes dans leur vie numérique. Avec l’avènement de la « voiture connectée », conducteurs et passagers doivent pouvoir bénéficier du même degré de sérénité vis-à-vis de leurs appareils embarqués. Pour nous, ce partenariat avec Renault constitue une étape logique et naturelle. Nous espérons prolonger cette collaboration et accompagner le développement de la plateforme R-Link. »

« Renault R-Link permet aux conducteurs des véhicules Renault et à leurs passagers de profiter d’une connectivité multimédia et d’avoir accès à des loisirs en ligne en continu, le tout dans un environnement sécurisé, déclare Jean-François Martin, Directeur du service international de Renault, à datasecuritybreach.fr. En tant que support de téléchargement conçu pour un usage embarqué, R-Link se doit d’offrir une sécurité absolue à ses utilisateurs. C’est pourquoi nous avons choisi de nous associer à AVG Technologies, dont la réputation en matière de solutions de sécurité aussi innovantes que performantes n’est plus à faire. »

Smartphone

En France, de nombreux appareils mobiles ne sont ni verrouillés ni protégés

Un commentaire

En France, deux tiers des utilisateurs de mobiles stockent ou accèdent à des informations sensibles depuis leur appareil. Trois Français sur dix ont déjà été victimes du vol ou de la perte d’un appareil mobile. Norton a dévoilé à DataSecurityBreach.fr de nouveaux éclaircissements sur les usages et les comportements des Français, et plus largement des Européens, en matière de mobilité. Il en ressort que si les adultes accordent plus d’importance que jamais à leurs appareils mobiles, peu sont ceux qui prennent les mesures nécessaires pour sécuriser ces derniers ainsi que leur contenu.

Selon le rapport, les Français utilisent leurs appareils mobiles de multiples façons, que ce soit dans le cadre de leur activité professionnelle, de leur vie sociale ou numérique. De la navigation au téléchargement d’applications en passant par les achats en ligne, un tiers (33 %) des utilisateurs en France déclare ne pas pouvoir se passer de leur appareil mobile et près d’un quart  (21 %) indique que ce serait l’un des deux objets personnels qu’ils sauveraient en cas d’incendie chez eux.

« Dans un monde connecté, les appareils mobiles sont de plus en plus utilisés pour naviguer, partager, communiquer et effectuer des achats », déclare à DataSecurityBreach.fr Laurent Heslault, expert en cybercriminalité chez Norton. « Mais peu d’utilisateurs ont conscience que l’intégrité des données personnelles et privées est menacée si la sécurité de leur appareil mobile est compromise, ou s’il est perdu ou volé. Compte tenu de la sensibilité des données accessibles à partir des appareils mobiles, les utilisateurs ont tout intérêt à prendre les précautions élémentaires pour éviter qu’elles ne tombent entre de mauvaises mains  », ajoute-t-il à Data Security Breach.

Appareils mobiles : une mine d’informations personnelles et sensibles Bon nombre des utilisateurs d’appareils mobiles ne prennent pas les mesures nécessaires pour sécuriser leurs  appareils et leur contenu. Tandis qu’une majorité (65 %) des utilisateurs français déclare stocker des informations sensibles sur leurs appareils mobiles, plus d’un tiers (36 %) ne les protège pas avec un mot de passe. En cas de perte ou de vol, de nombreuses informations personnelles stockées sur l’appareil peuvent être compromises et potentiellement exploitées, dont des e-mails personnels, l’accès potentiel à d’autres informations sensibles telles que des correspondances et des documents professionnels, des mots de passe pour d’autres comptes en ligne ou des relevés bancaires.

L’étude montre également que la perte d’un appareil mobile est courante, coûteuse et stressante pour un utilisateur. Trois Français sur dix ont perdu ou se sont déjà fait voler un appareil mobile, ce qui leur a coûté en moyenne 79 € pour l’acquisition ou l’utilisation temporaire d’un autre téléphone mobile et plus du triple (243 €) pour le remplacement d’une tablette[2]. En cas de perte ou de vol de leur téléphone mobile, les Français craignent surtout que quelqu’un passe de nombreux appels téléphoniques coûteux à leur charge (40 %), effectue des achats avec leur téléphone (30 %) ou utilise les données confidentielles que contient le téléphone pour usurper leur identité (25 %).

Au-delà du cas Français, DataSecurityBreach.fr a pu apprendre de cette étude révèle également quelques différences surprenantes entre les pays européens en ce qui concerne l’usage  des appareils mobiles et les informations stockées ou accessibles par ce biais : Seulement 13 % des Allemands et 15 % des Russes déclarent se sentir en sécurité lorsqu’ils effectuent des achats à partir de leur appareil mobile, contre 32 % des Polonais et 24 % des Italiens ; Les Danois sont plus enclins à stocker des informations bancaires sur leur appareil mobile (13 %) que leurs homologues allemands (4 %).

Activités à risque sur les appareils mobiles et réseaux Wi-Fi non sécurisés De manière générale, l’utilisateur Français ne protège pas correctement son appareil mobile : près de la moitié d’entre eux (47 %) indique ne pas systématiquement télécharger des applications provenant de sources fiables et près de trois sur cinq (59 %) effectuent des achats à partir de leur appareil mobile sans mode de paiement sécurisé, exposant ainsi leurs informations sensibles telles que le numéro de leur carte bancaire. En fait, selon l’enquête, un Français sur vingt a déjà été victime de la cybercriminalité mobile.

Cependant, ce type de comportement à risque ne se limite pas aux smartphones et tablettes. Près de deux tiers des Français adultes utilisent des points d’accès Wi-Fi publics gratuits ou non sécurisés, alors même que plus de la moitié d’entre eux est préoccupée par les risques liés à leur utilisation. 49 % les utilisent pour consulter des emails personnels et près d’un sur cinq (19 %) pour accéder à un compte bancaire en ligne, ce qui expose les informations financières sensibles de ces utilisateurs aux « renifleurs – Keyllogueur » (personnes malintentionnées qui capturent et enregistrent les données de leurs victimes depuis cette même connexion Wi-Fi non-sécurisée).

« Les utilisateurs savent à quel point il est important de protéger leur ordinateur contre le large éventail de menaces qu’ils peuvent rencontrer en ligne ou hors ligne », déclare à DataSecurityBreach.fr Laurent Heslault. « Cependant, des mesures doivent également être prises pour sécuriser les appareils mobiles connectés à Internet, qui sont tout aussi vulnérables aux attaques de cybercriminels cherchant à gagner de l’argent rapidement ou à voler des informations personnelles. En cas de perte ou de vol, vos données sont entre les mains de quelqu’un d’autre. En installant un logiciel de sécurité mobile qui vous protège contre les menaces en ligne et vous permet de verrouiller votre appareil, de le localiser et d’effacer son contenu à distance, vous sécurisez votre vie personnelle et la protégez contre les intrus potentiels », conclut-il.

Cybersécurité

Problème de sécurité pour un espace Google

Un commentaire

Un bug aux potentialités malveillantes découvert dans un espace googlecode.com. Découverte d’un problème de sécurité qui pourrait, entre de mauvaises mains, nuire aux potentiels visiteurs du site GoogleCode.com. Cet espace, dédié aux développeurs, recèle des pages pouvant être exploitées de biens mauvaises façons. Dans l’un de ses espaces, une faille de type XSS. Un Cross Site Scripting qui pourrait permettre, comme le montre dans son émission du mois d’avril de ZATAZWeb.tv, d’afficher un message, diffuser un code malveillant, de mettre en place un espace phishing, …

L’entreprise a été alertée [#1254414323] mais a expliqué que ce problème n’était pas de son ressort (sic!). En attendant une correction, il est fortement conseillé de ne cliquer sur aucun lien renvoyant vers GoogleCode.com. DataSecuritybreach.fr vous conseille de taper, par vous même, l’url dans la barre de navigation de votre butineur préféré.

Argent, Banque, Particuliers

Problème pour la Banque ING

Intéressant bug, ces dernières heures, dans le système Internet de la banque ING. La banque néerlandaise a subi une défaillance majeure dans son système bancaire. Des dizaines de clients ont rapporté que leurs comptes en banque affichaient de mauvais soldes. Certains de ces clients se sont retrouvés avec des débits de plusieurs centaines d’euros. Bilan du « bug », les systèmes ont été coupés. Trop de visiteurs et, ce qui semble être une roue de secours, la coupure pure et simple des connexions à la page d’administration des comptes.

Au moment de l’écriture de cet article, Data Security Breach pouvait lire sur le site d’ING : «  Drukte op Mijn ING. Op dit moment zijn er zeer veel bezoekers op Mijn ING. Hierdoor is het nu helaas niet mogelijk om in te loggen. Probeert u het over enkele minuten nogmaals. Onze excuses voor het ongemak. » traduisez : « À l’heure actuelle, il y a de très nombreux visiteurs qui tente de joindre mon ING (l’espace privé des clients, ndlr DataSecurityBreach.fr). Il n’est malheureusement pas possible de se connecter. S’il vous plaît, essayez de nouveau dans quelques minutes. Nous nous excusons pour la gêne occasionnée. »

D’après les premières constatations, le problème viendrait de la société Rabobank. Certains services ne sont d’ailleurs plus disponibles. Les banques indiquent que cela est dû à un problème technique et pas un « hack ». En attendant, des clients ont cru au jackpot en étant crédités de plusieurs millions d’euros, pendant que d’autres perdaient l’ensemble de leurs économies !

D’après notre expérience, une mise à jour qui a du mal tourner. En France, en 2011, le Crédit Agricole avait connu le même yoyo bancaire. Après avoir été débités deux fois, des clients s’étaient vus crédités de l’argent trop perçu par la banque … deux fois ! Une coquille numérique qui avait prélevé deux fois le même montant lors d’un achat par carte bancaire. La banque avait été rapide à répondre à ses clients et à corriger le « bug ». Sauf que certains clients avaient été correctement remboursés… deux fois.

Entreprise, Fuite de données, Leak

Mise à jour de sécurité Postgres

Le projet PostgreSQL a informé ses utilisateurs de la publication d’un correctif de sécurité pour une vulnérabilité critique dans leur logiciel de serveur de base de données. Toutes les versions actuellement supportées sont touchées et le correctif sera publié le jeudi 4 avril.

The PostgreSQL Project will be releasing a security update for all
supported versions on Thursday April 4th, 2013. This release will include a
fix for a high-exposure security vulnerability. All users are strongly
urged to apply the update as soon as it is available.

We are providing this advance notice so that users may schedule an update
of their production systems on or shortly after April 4th.

As always, update releases only require installation of packages and a
database system restart. You do not need to dump/restore or use pg_upgrade
for this update release.

À notre connaissance, c’est la première fois qu’un projet Open Source annonce en amont de sa sortie un correctif de sécurité. Nous nous attendons à ce que le correctif corrige une vulnérabilité permettant l’exécution de code à distance dans ce moteur de base de données. Nous recommandons à tous les utilisateurs de PostgreSQL d’effectuer cette mise à jour dès que possible, spécialement si leur serveur de base de données est connecté directement à Internet. Le moteur de recherche Shodan répertorie actuellement plus de 30.000 systèmes ayant un serveur PostgreSQL accessible depuis Internet. Soulignant la gravité de la vulnérabilité, la plate-forme cloud Heroku a annoncé avoir débuté la mise à jour de toutes les installations PostgreSQL de ses clients.

Leak

Piratage des données du Boss de la CIA et des Services Secrets

Un commentaire

Nouvelles fuites de données bancaires appartenant au patron de la CIA, de la directrice des Services Secrets, ainsi que d’Angelina Jolie, Hillary Clinton, ou encore Lady gaga.

Il y a 15 jours, un pirate informatique diffusait sur le site Exposed.su (fermé depuis, ndlr Data Security Breach) des informations sensibles et confidentielles appartenant à de nombreuses stars américaines (politiques, sportives ou culturelles). Deux semaines plus tard, retour des pirates avec cette fois, un nouveau site (plusieurs domaines ont été enregistrés, ndlr datasecuritybreach.fr) avec de nouvelles données dont celles de Michelle Obama, Beyonce, Hillary Clinton, Angelina Jolie, Lady Gaga. Dans les fichiers mis en ligne Tom Cruise, John Brennan (le directeur de la CIA), Dennis Rodman (boxeur), P. Diddy (rappeur), Robert De Niro ou encore Julia Pierson (Directrice du Secret Service).

Mi-mars, Britney Spears, Mel Gibson, Arnold Schwarzeneger, Beyonce, Jay Z, Hulk Hogan étaient piratés via l’infiltration de serveurs de sociétés de crédit : Equifax et, d’après les informations collectées par DSB et zataz.com, TransUnion. Nous avons retrouvé ce qui semble être un des instigateurs de cette grande fuite. Nous le baptiserons « Nippon ». Cet informaticien nous a confié ne pas être seul dans ce piratage. « La vulnérabilité est Cookie Logged, après nous n’avons eu qu’à jouer au DOM pour bypasser le Pop-uP » explique  le présumé pirate.

Nous avons donc tenté d’en savoir plus. Usurpateur, mythomane, … « J’ai la femme et les trois enfants du patron de la CIA, va nous confirmer Nippon, mais je préserve l’anonymat de la famille. Ce serait un déshonneur de s’attaquer à eux. » Il semble, à l’analyse de notre discussion, que l’équipe derrière cette diffusion ne soit pas particulièrement raccord sur la méthode à employer pour parler de cette infiltration. Certains ayant décidé de diffuser sans l’accord global du groupe.

Pour finir, nous avons demandé à notre interlocuteur de prouver les données qu’il annonçait avoir piraté avec ses « amis ». Il nous a communiqué un document comprenant l’intégralité des données appartenant au patron de la CIA. Autant dire totalement invérifiable… à moins de savoir nager dans le béton ! Les derniers documents volés, dont plusieurs à la société Credit Sesame et Credit Karma, datent du 31 mars, preuve que les pirates ont encore des accès.

Argent

Faille pour BitCoin Central

Un commentaire

Une faille découverte dans le service BitCoin oblige BitCoin Central à fermer pour maintenance. Comme l’annonçait, en début de soirée, le twitter officiel de @zataz, un problème est survenu pour le système monétique Bitcoin. Dans la nuit de dimanche à lundi, le site BitCoin Central à confirmer les informations que possédait la rédaction de zataz.com, un problème de sécurité est intervenu dans les bits des Bitcoins. « Nous avons détecté une faille de sécurité, indique l’équipe de BitCoin Central. Les services sont temporairement suspendus jusqu’à ce que nous ayons soigneusement étudié la situation. Nous allons reprendre les services dans les plus brefs délais. » Datasecuritybreach.fr vous conseille de ne SURTOUT PAS envoyer d’argent avec votre adresse, du moins pour le moment. A noter que les bitcoins des clients (en euros) sont en sécurité et ne sont pas affectés par la brèche de sécurité découverte. L’adresse 1LrPYjto3hsLzWJNstghuwdrQXB96KbrCy est sous le contrôle de Bitcoin-Central et Paytunia. « Nous nous engageons à reprendre du service dès que possible, termine BitCoin Central. Attendez-vous à une reprise normale du service dans les 48 heures. »

Piratage

Darkode infiltré, secrets révélés

L’un des espaces les plus confidentiel du web piraté. Les secrets du business de ce black market space révélés. Le moins que l’on puisse dire est que ce 1er avril 2013 aura un goût amère pour les administrateurs de l’espace Darkode. Darkode, en quelques mots, est un espace « très » privé dédié au black market, au business du piratage (données bancaires, failles, …). il est possible d’y croiser de nombreuses « stars » du milieu « black hat », qu’elles soient aujourd’hui en prison (bx1, TinKode) ou encore en activité, sans parler d’informations et vendeurs d’outils pirates comme Zeus ; numéros de cartes bancaires dérobées, …

L’activité de cet espace risque de prendre un sérieux coût dans l’aile. Xylitol, un internaute francophone connu pour son talent numérique, vient de démonter ce black space. Premier élément, le « hacker » semble persuadé que la page d’accès à Darkode sniffe les mots de passe. Autant dire que les visiteurs, triés sur le volet, ont leurs identifiants dans les mains de l’administrateur. Lors de ce piratage en règle, il a été découvert qu’un des membres de cette famille underground s’était fait, excusé du peu, plus de 11 000 $ en commercialisant les actions du bot SpyEye.

Parmi les révélation réalisées après le passage de Xylitol, la page dédiée à la naissance d’un « exploit kit » du nom d’EgyPack. Couteau Suisse pirate apparu en 2011. Autre détail révélé, plusieurs administrateurs de Hack Forum, un autre espace pirate moins privé que Darkode, seraient aussi admins sur ce dernier.

Un « leak », une diffusion loin d’être négligeable. Xylitol, sur son blog Xylibox, annonce avoir réalisé 4 500 captures écrans. « ma version privée, explique l’hacktiviste à zataz.com, c’est une version complète de la base de données, avec en plus une copie sql qui date de 2009« . L’auteur nous explique garder la chose pour les représentants de la loi qui lui en feraient la demande. Bref, poisson d’avril ou pas ?

Hacking

Votre enfant confronté à du porno, sur le web ?

Un sondage réalisé par Profil Technology et Mafamillezen, que Data Security Breach a pu consulter, révèle que les parents ont conscience des dangers d’Internet, mais ne protègent pas pour autant leurs enfants. Profil Technology, division de la société française Editions Profil, spécialisée en filtrage de contenus numériques, a effectué un sondage en partenariat avec Mafamillezen auprès de 300 parents. Les résultats de ce sondage confirment les craintes de DataSecurityBreach.fr.

Votre enfant a-t-il été confronté à des contenus inappropriés sur Internet (pornographie, violence, piratage, drogue…) ?

Selon vous, pour votre enfant, surfer sur Internet est :

Avez-vous discuté avec votre enfant des dangers d’Internet ?

Utilisez-vous un logiciel de contrôle parental ?

 

« Ce sondage révèle qu’une majorité de parents (71%) est consciente des dangers qui circulent sur Internet et en parle avec leurs enfants (80%). En revanche, on peut se demander s’ils posent les bonnes questions, car seulement 38% des parents interrogés savent si leurs enfants ont été confrontés à des contenus inappropriés. Ce sondage nous confirme malheureusement, malgré les recommandations de nombreuses associations de protection des enfants, que les parents ne sont pas à proximité des jeunes enfants lorsque ces derniers surfent sur Internet alors même que les médias relaient régulièrement des histoires sordides où tout commence avec un enfant laissé sans surveillance devant un ordinateur », déclare à DataSecurityBreach.fr Nicolas Lacourte, Chef de produits Profil Technology.

Si les parents sont conscients des risques engendrés par Internet, ils semblent ne pas s’astreindre à faire le minimum requis pour s’assurer de la bonne utilisation d’Internet par leurs enfants. Y-aurait-il une forme de découragement voire de renoncement de la part des parents face à la multiplication des sources d’accès à Internet ? Voici donc trois recommandations essentielles, faciles à appliquer et évidemment très efficaces pour accompagner les parents et protéger leurs enfants : Placer l’ordinateur de la maison dans un lieu de passage, de manière à garder un œil sur l’écran ; discuter ouvertement avec les enfants des rencontres mal intentionnées que l’on peut faire sur la toile et les accompagner dans leurs premiers surfs sur Internet ; installer sur les ordinateurs de la maison accessibles aux enfants, une solution de contrôle parental capable de filtrer les sites Internet par catégorie de contenus et de personnaliser le niveau de filtrage par enfant sans omettre de leur expliquer l’objectif de ce filtrage. Ne pas oublier les smartphones et les tablettes qui facilitent l’accès à Internet, mais qui rendent la tâche des parents encore plus difficile en raison de la transportabilité aisée de ces appareils.