Archives de catégorie : cyberattaque

cyberattaque, Mise à jour

Patch Tuesday Janvier 2022

Microsoft a corrigé 126 vulnérabilités dont 9 sont classées comme critiques. Au moment de la publication de cette analyse aucune des 126 vulnérabilités n’est exploitée de manière active. Microsoft a  dans ses logiciels, dont des vulnérabilités exploitées par exécution de code à distance (RCE), des failles de sécurité facilitant une élévation de privilèges, l‘usurpation d’identité et de déni de service (DoS).

Vulnérabilités Microsoft critiques corrigées 

CVE-2022-21907 – Vulnérabilité par exécution de code à distance dans la pile du protocole HTTP 

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 9,8/10. Elle affecte les serveurs Windows configurés comme serveurs Web. Pour exploiter cette vulnérabilité, un attaquant non authentifié peut envoyer une requête fabriquée de toute pièce vers un serveur vulnérable en s’appuyant sur la pile du protocole HTTP pour traiter des paquets. Cette vulnérabilité est connue pour se propager sous la forme de vers. Évaluation d’exploitabilité : Exploitation plus probable.

CVE-2022-21849 – Vulnérabilité par exécution de code à distance dans le composant IKE Extension de Windows 

Affichant un score de sévérité CVSSv3.1 de 9,8/10, cette vulnérabilité affecte les systèmes fonctionnant avec la version 2 du composant IKE (Internet Key Exchange). Même si pour l’instant peu d’informations sont disponibles sur cette vulnérabilité, un attaquant à distance peut déclencher plusieurs vulnérabilités lorsque le service IPSec est exécuté sur le système Windows, sans besoin d’être identifié. Évaluation d’exploitabilité : Exploitation moins probable. 

CVE-2022-21846 – Vulnérabilité par exécution de code à distance sur Microsoft Exchange Server 

Cette vulnérabilité a été découverte et signalée à Microsoft par la NSA (National Security Agency). Elle affiche un score de sévérité CVSSv3.1 de 9,0/10. L’attaque associée à cette vulnérabilité se limite au niveau protocolaire à une topologie logiquement adjacente. Elle ne peut donc tout simplement pas être lancée sur Internet et doit plutôt s’appuyer sur un élément spécifiquement lié à la cible, par exemple un même réseau physique partagé (Bluetooth ou IEEE 802.11 notamment), un réseau logique (par ex. un sous-réseau IP local) ou depuis un domaine administratif sécurisé ou limité (par exemple MPLS, un VPN sécurisé vers une zone administrative du réseau). De nombreuses attaques exigeant des configurations de type Man-in-the-middle ou tributaires d’un ancrage dans un autre environnement fonctionnent de la sorte. Évaluation d’exploitabilité : Exploitation plus probable. 

CVE-2022-21837 – Vulnérabilité par exécution de code à distance sur Microsoft SharePoint Server 

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,3/10. Un attaquant peut exploiter cette vulnérabilité pour accéder au domaine puis exécuter du code à distance sur le serveur SharePoint pour s’élever lui-même au rang d’administrateur SharePoint. Évaluation d’exploitabilité : Exploitation moins probable. 

CVE-2022-21840 – Vulnérabilité par exécution de code à distance dans Microsoft Office 

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Elle ne peut être exploitée que si l’utilisateur ciblé ouvre un fichier malveillant.

Dans un scénario d’attaque par email, l’attaquant exploitera la vulnérabilité en envoyant un fichier malveillant spécifique sur la messagerie de la cible avant de le convaincre de l’ouvrir. 

L’attaquant peut aussi héberger un site Web (ou utiliser un site Web compromis qui accepte ou héberge du contenu fourni par un utilisateur) qui contient un fichier malveillant personnalisé pour exploiter une vulnérabilité dans le cas d’une d’attaque via le Web. Évaluation d’exploitabilité :Exploitation moins probable. 

Adobe Patch Tuesday – Janvier 2022 

Adobe a publié des mises à jour pour corriger 41 CVE affectant Adobe Acrobat et Reader, Bridge, Illustrator, InCopy et InDesign. Parmi ces 41 vulnérabilités, 22 sont considérées comme critiques. Adobe a publié des mises à jour de sécurité pour Adobe Acrobat et Reader pour Windows et macOS qui permettent de corriger de nombreuses vulnérabilités critiques, importantes et modérées. L’exploitation réussie de ces vulnérabilités pourrait entraîner l’exécution de code arbitraire, une fuite de mémoire, un déni de service de type applicatif ainsi qu’un contournement des fonctions de sécurité et une élévation de privilèges.  

cyberattaque, DDoS

Le secteur industriel plus que jamais menacé

Cloudflare, spécialiste de la sécurité, la fiabilité et la performance d’internet, présente son rapport sur les attaques DDoS du 4ème trimestre 2021. Un palmarès qui souligne l’importance de la fortification des cyberattaques. La découverte, en décembre, de la vulnérabilité Log4, considérée comme l’une des plus importante et dangereuse en est la preuve.
  • Le secteur industriel plus que jamais menacé : Pour la première fois, l’industrie arrive en tête des secteurs les plus attaqués. Au dernier trimestre 2021, Cloudflare enregistrait une hausse de 641% du nombre d’attaques par rapport au trimestre précédent. Ces menaces viennent affaiblir un secteur déjà très affecté par la pénurie de matières premières et des difficultés de livraison qui l’empêchent de répondre à la demande croissante. En deuxième et troisième position, on retrouve respectivement les services aux entreprises et le secteur du gaming.
  • Les ransomwares continuent de progresser : Alors que le botnet Meris était en première ligne au trimestre précédent, la fin de l’année a vu le nombre de ransomwares augmenter de 175%. Dans une enquête réalisée par Cloudflare, 22% des répondants affirmaient avoir reçu une demande de rançon.
  • Une attaque de 2 Tbps déjouée : En novembre dernier, Cloudflare a subi une tentative d’attaque qui, à son plus haut pic, enregistrait de 2 Tbps. A ce jour, il s’agit de l’attaque la plus puissante ayant ciblée l’entreprise et ce, alors qu’elle n’a duré qu’une minute.

En savoir plus.

cyberattaque, Social engineering

Fraude au président : une arnaque qui profite de l’essor du télétravail

La fraude au président est devenue l’une des principales cyberattaques dans le monde. La fraude au président a profité de l’essor massif du télétravail en 2020 pour se développer.

Selon le baromètre 2020 “Etude sur la fraude” du cabinet Euler Hermes, la fraude au président est devenue l’une des principales cyberattaques dans le monde (la troisième d’après le cabinet). Cette escroquerie, qui a recours à l’usurpation d’identité des dirigeants d’entreprise, est en hausse notable et est mentionnée par 38% des entreprises ayant répondu à l’étude. Tout comme les rançongiciels, la fraude au président a profité de l’essor massif du télétravail en 2020 pour se développer. Si, dans le cas des rançongiciels, ce sont les technologies d’accès à distance qui ne sont pas adaptées au télétravail, ici c’est le manque d’interactions sociales en présentiel et de communication qui est l’une des causes majeures de la multiplication de ce type d’arnaque.

Comment se déroule une fraude au président ?

Dans le cadre de la fraude au président, un escroc qui a préalablement fait des recherches sur l’entreprise cible se fait passer pour le PDG ou pour un administrateur pour demander, par e-mail, au comptable de la société, un virement bancaire pour une opération confidentielle et urgente. Cet escroc usurpe ainsi l’identité d’une personne de confiance, via une adresse e-mail créée pour l’occasion, et s’adresse directement au bon interlocuteur (le comptable). Cette tâche apparaissant comme urgente, la personne contactée va parfois s’exécuter sans prendre le temps de la réflexion et, puisqu’il s’agit d’une opération confidentielle, elle n’en parlera pas à ses collègues et n’éveillera donc pas les soupçons. En décembre 2020, le CDER, l’une des associations de gestion et comptabilité les plus importantes en France, a subi une attaque de ce type avec un préjudice annoncé de 14,76 M€ (source : L’Union). La comptable de l’association a été licenciée pour faute grave pour avoir “contourné les procédures internes.

“Suite à la pandémie et la mise en place du télétravail au sein des organisations, de nombreux collaborateurs travaillent depuis chez eux au moins une partie de la semaine. En conséquence, une forte diminution voire une absence d’interactions et de discussions de vive voix avec les dirigeants et administrateurs. Les échanges à distance se sont multipliés et les opérations qui avaient pour habitude d’être confirmées ou évoquées en présentiel ont fait place à des réponses par simples emails qui, dans le cas d’une fraude au président réussie, engendrent des dommages irréversibles”, explique Christophe Corne, de Systancia.

Quelques bonnes pratiques pour s’en prémunir

La gendarmerie nationale, la Direction Générale du Renseignement Intérieur, l’ANSSI, votre serviteur ne cessent d’expliquer comment ne pas se faire « filouter ». Seulement, rien de plus aveugle et sourde qu’une personne qui ne pense que cela n’arrive qu’aux autres. Le Service Veille de ZATAZ a d’ailleurs reçu, il y a quelques jours, un cadeau d’une société (qui en a profité pour souscrire un abonnement, merci 🙂 aprés que le SVZ a découvert des données internes qui servaient à la préparation d’une fraude au président. Les factures et les informations incluent dans l’ensemble des documents étaient exploités, au téléphone, par un/des escroc(s).

Plusieurs actions peuvent en effet être mises en place pour limiter drastiquement le risque qu’une telle arnaque aille à son terme. Dans un premier temps, il est indispensable de sensibiliser les comptables à ce type de fraude puisque ce sont eux qui sont spécifiquement visés. Deux éléments doivent les alerter : les caractères urgents et confidentiels de l’opération. En cas de doute, il conviendra alors de contacter le président par téléphone pour valider cette opération de vive voix.

Cependant, si ce type de vérification est faisable au sein des PMEs, lorsqu’il s’agit d’une grande entreprise, il est parfois plus compliqué d’obtenir une confirmation orale. C’est dans ce cas qu’une fonctionnalité telle que la séparation des tâches (SoD – Segregation of Duties) prend tout son sens.

Les virements bancaires étant, en tout état de cause, critiques pour toute organisation, ceux-ci doivent être soumis à un mécanisme de SoD pour tout virement non récurrent ainsi que lors de la mise en place d’un virement récurrent. La réalisation d’un virement bancaire par le comptable serait soumise à une validation électronique d’un administrateur de la société ou de tout autre personne habilitée à valider ce type d’opération. Ainsi, si le virement semble suspect, celui-ci sera investigué et stoppé avant même que le virement ne soit effectué.

La fraude au président, comme tout autres principales cybermenaces, doit être intégrée aux actions de sensibilisation à la cybersécurité dispensées par les organisations. Il s’agit là de la première barrière face aux cyberattaques et parfois la seule disponible, dès lors qu’une société ne dispose pas de solutions de cybersécurité adéquates face aux différentes menaces qui pèsent sur les systèmes d’information. Les collaborateurs sont en première ligne face aux cyberattaques et doivent donc être au cœur de la stratégie de sécurisation des systèmes. Un collaborateur formé et informé voit son statut passer de celui de faille à celui de maillon fort de l’organisation.

Banque, Bitcoin, cyberattaque

Des millions de dollars en cryptomonnaie volés ces dernières semaines !

Un commentaire

Les propositions frauduleuses de dons de Bitcoin, Ethereum, Dogecoin, Cardano, Ripple et Shiba Inu ont prolifère sur YouTube Live ces dernières semaines. Des pièges grossiers, mais qui fonctionnent.

On peut toujours s’étonner de certaines escroqueries comme le pseudos dons du cousin du frère de l’ami du facteur d’un milliardaire africain ou encore de cette superbe blonde/rousse/brune tombée amoureuse de vous en un e-mail. Mais dites vous que si des pirates continuent d’exploiter de gros hameçons, c’est qu’en face, chez les pigeons 2.0, ça mord à pleines dents dans l’arnaque.

Les mois d’octobre et novembre 2021 auront été les mois des escroqueries autours des cryptomonnaies (BTC, ETH, DOGE, ADA, XRP ou SHIB). Satnam Narang, ingénieur de recherche Tenable, s’est rendu compte, mais il n’est pas le seul, plusieurs lecteurs de ZATAZ.COM et DataSecurityBreach.fr ont aussi alerté sur le sujet, de l’impressionnant nombre de fausses vidéos sur Youtube concernant de « bonnes affaires » dans le petit monde des Bitcoin, Ethereum, Dogecoin, Cardano, Ripple et autre Shiba Inu.

En octobre 2021, et selon les adresses crypto analysées, les sommes engrangées représentaient plus de 8,9 millions de dollars.

Comment ça fonctionne ?

Les arnaqueurs utilisent des comptes YouTube préalablement piratés pour lancer des campagnes d’offres frauduleuses de Bitcoin, Ethereum, Dogecoin, et autres cryptomonnaies. Ils récupèrent des comptes par divers moyens : phishing, rachat de base de données. Pour vous donner une petite idée du problème, le Service Veille ZATAZ (SVZ) a référencé, depuis le 1er janvier 2021, pas moins de 10 milliards (oui, oui, 10 milliards) d’adresses électroniques diffusées dans des espaces pirates (Le Service Veille ZATAZ en cyber surveille plus de 40 000). Sur cette même période, le SVZ a référencé pas moins de 190 000 bases de données piratées et diffusées par des hackers malveillants. Des diffusions sous forme de mise en ligne gratuite ou payante. Bref, autant d’information pouvant être exploitées dans des escroqueries 2.0.

« Les arnaques aux Bitcoin, explique Satnam Narang, ont collecté 8,2 millions de dollars, avec un montant moyen de 1,6 million de dollars par campagne. » un joli pactole tout droit sorti de cette nouvelle génération d’internautes rêvant cryptomonnaie. A noter, d’ailleurs, que je croise énormément d’adolescents investissant quelques dizaines d’euros dans un miroir aux alouettes dont ils ne sortiront pas gagnants. Intéressant, l’arnaque autour du Bitcoin permet aux pirates de ramasser le plus d’argent. L’Ethereum ne représente que 400 000 dollars détournés. Les arnaques aux Shiba Inu est impacté au hauteur de 34 000 dollars, en moyenne, par campagne malveillante.

Fausses vidéos et influenceurs détournés

Les arnaqueurs le savent très biens. La grande majorité des utilisateurs sont des moutons qui accordent plus facilement leur confiance à des voix qui ont de l’influence. Bilan, ils créent de fausses vidéos mettant en scène les créateurs et cocréateurs des cryptomonnaies, des patrons d’entreprises … On y retrouve Michael Saylor, président-directeur général de MicroStrategy, Xavier Niel patron d’Iliade (Free), Vitalik Buterin, cocréateur de l’Ethereum ou encore Elon Musk (Tesla/SpaceX). Le point commun de toutes ces arnaques sur les fausses émissions YouTube Live, c’est que les utilisateurs sont renvoyés vers des sites externes qui proposent aux utilisateurs de doubler leur avoir en cryptomonnaie. Cette technique est la plus efficace dans les arnaques à la cryptomonnaie.

cyberattaque, VPN

45 millions de données de clients d’un VPN diffusées sur le web

Tout aurait pu se passer tranquillement entre un lanceur d’alerte et la société ActMobile. Une menace plus tard, et 45 millions de données sont diffusées sur Internet.

L’américain ActMobile est une société spécialisée dans les services VPN. Elle permet à ses clients de surfer de manière sécurisée, anonymat entre le client et les sites visités.

Un chercheur a expliqué, dernièrement, avoir trouvé un stockage ActMobile mal sécurisé, laissant ainsi la possibilité à qui sait chercher de mettre la main sur les données internes du service. ActMobile précise dans son mode d’emploi ne stocker aucune information sur ses clients.

Seulement, c’est mal connaître les pirates qui ont trouvé, eux aussi, le dit serveur fuiteur. Bilan, les informations copiées du cloud mal sécurisé ont été mis en ligne.

45 millions de lignes de logs avec, entre autres : IP du client ; IP du VPN utilisé ; nom de l’appareil ; version Android / iOS ; Etc. 1 577 970 courriels uniques dont 3 185 @yahoo.fr ; 8 797 @mail.ru ou encore 698 737 @gmail.com.

Le chiffre aurait pu être plus important, mais fort heureusement, le nom des utilisateurs et les adresses e-mails sont dorénavant hachés.

Base de données, cyberattaque

Piratage informatique : pendant ce temps, en Chine !

538 millions d’utilisateurs du site chinois Weibo à vendre dans le blackmarket.

Un pirate informatique que je baptiserai Торговец-изгой vient de proposer à la vente une base de données d’une taille non négligeable. Elle concerne les données des utilisateurs du site Weibo, un portail chinois.

Pour 150$ US, ce malveillant commercialise pas moins de 538 millions d’identifiants et les numéros de téléphones portables attenant. De quoi orchestrer quelques spams et autres phishing pour le blacknaute acquéreur.

backdoor, Chiffrement, cyberattaque

Faire face aux attaques de ransomware de type « Living Off the Land »

Les cyberattaques de type « living off the land » (ou LotL) constituent désormais l’une des menaces les plus redoutables pour les entreprises. La récente campagne de ransomware contre Kaseya n’est ainsi que le dernier exemple en date, dans lequel les cybercriminels ont utilisé les ressources technologiques de l’organisation contre elle. Ces types d’attaques procurent en effet aux cybercriminels deux leviers clés : l’accès et le temps.

Si ces attaques LotL ne se concluent pas toujours par un ransomware, les deux vont de plus en plus souvent de pair et sont aussi difficiles à évaluer qu’à prévenir. Une stratégie de protection efficace commence donc par une solide compréhension de ce qui constitue une attaque par ransomware LotL et des dommages qu’elle peut causer.

Dès 2017, les attaques de malwares sans fichier ont commencé à attirer l’attention du grand public après la divulgation de rapports faisant état d’infections de systèmes IT de plusieurs grandes organisations. Or, ces malwares sans fichier ont rendu possibles les attaques LotL. En éliminant la nécessité de stocker la charge utile malveillante dans un fichier, ou de l’installer directement sur une machine, les cybercriminels peuvent alors échapper aux antivirus, et aux autres outils traditionnels de sécurité des terminaux. Ils se déplacent ensuite latéralement dans l’environnement, en escaladant les privilèges et en dévoilant de nouveaux niveaux d’accès, jusqu’à ce qu’ils atteignent le but ultime : les systèmes, les applications et les bases de données contenant des actifs commerciaux essentiels, tels que les données clients, la propriété intellectuelle, les ressources humaines.

Malwares sans fichier

Pour se maintenir dans les systèmes sans être détectés, ces malwares sans fichier se font souvent passer pour un outil de confiance doté de privilèges et d’accès élevés. Cela permet aux attaquants de surveiller l’environnement, de récupérer des identifiants, en prenant tout le temps nécessaire. Il est extrêmement difficile d’identifier, et encore plus d’arrêter, ces attaques, surtout s’il s’agit d’un ransomware sophistiqué qui cible spécifiquement l’organisation. Pour y faire, il n’y a pas d’autre choix que de penser comme des attaquants, tout en gardant à l’esprit qu’une campagne n’est pas nécessairement identique à une autre. Le cheminement des attaques LotL n’est en effet pas linéaire. L’objectif est donc de déchiffrer l’environnement et de développer une approche fondée sur ce qui s’y trouve.

La plupart des attaques LotL suivent ainsi un schéma similaire : usurper des identités pour s’infiltrer dans un réseau d’entreprise, compromettre des systèmes, élever des privilèges et se déplacer latéralement jusqu’à obtenir l’accès aux systèmes sensibles nécessaires à l’exécution de l’attaque ou à la propagation du ransomware. Mais à chaque étape, il existe des possibilités divergentes qui rendent le suivi et l’anticipation de ces attaques très complexes. Les équipes IT doivent donc bénéficier des outils nécessaires pour décomposer les comportements et les indicateurs d’alerte à surveiller, lors des étapes critiques d’une attaque par ransomware LotL, et ce, afin d’accélérer la détection et de réduire l’exposition et les dommages.

Cependant, compte tenu du nombre de techniques éprouvées dont disposent les cybercriminels, il peut se révéler difficile de savoir comment traiter les points de vulnérabilité ou par où commencer. L’élaboration d’une stratégie de protection efficace contre les ransomwares exige des organisations qu’elles étudient les maillons de la chaîne d’attaque qui présentent les niveaux de risque les plus élevés et qu’elles les classent par ordre de priorité. Ainsi, une sécurisation des terminaux à plusieurs niveaux – combinant la défense par le moindre privilège, l’authentification forte des identités, la protection contre le vol d’informations d’identification, le contrôle des applications et le blocage des ransomwares – compliquera considérablement la tâche des hackers qui voudront s’introduire et maintenir leur présence. Car une fois qu’ils ont un pied dans le réseau informatique, il leur est facile de brouiller les pistes et d’intensifier leur action. (Par Ketty Cassamajor, Responsable Avant-Vente Europe du Sud chez CyberArk)

cyberattaque, Cybersécurité

Cyberattaques : l’immobilisation des entreprises coûte bien plus cher qu’on ne le pense

Il faudra s’y habituer, la digitalisation croissante amène avec elle son lot de problèmes et parmi ceux-ci se trouvent les cyberattaques. Leur puissance et leur structure varient selon la cible choisie mais la conséquence est identique pour toutes les victimes : une immobilisation totale ou partielle de l’appareil productif pour une durée indéterminée. S’en suit alors un véritable chemin de croix pour les structures qui cherchent à se remettre de ces attaques.

Cyberattaque : une méthodologie précise et difficilement détectable

A l’origine de telles attaques se trouve, encore et toujours, l’argent comme principale motivation. Qu’il soit réclamé via une demande de rançon ou obtenu par la revente de données entreprises, il est toujours au centre des préoccupations des hackers. Pour parvenir à leurs fins, ces derniers doivent donc déployer une stratégie qui nécessite parfois plusieurs mois de préparation selon la structure ciblée. Dans certains cas, les hackers cherchent à s’infiltrer très tôt et mettent leurs programmes en dormance via la technique de l’obfuscation. Ils peuvent ainsi effacer leurs traces et déclencher leur attaque quelques semaines/mois plus tard.

Au cœur de la méthodologie d’une cyberattaque, la première étape est celle de la reconnaissance, elle consiste à récupérer un maximum d’informations – mails, téléphones, noms – sur une ou plusieurs personnes de l’entreprise. Cette phase de social engineering permet de trouver un point d’entrée qui est, dans la majorité des cas, celui de l’email. Qu’il s’agisse d’employer la méthode du phishing, l’installation de malware ou en ayant recours aux arnaques au président, l’objectif, une fois à l’intérieur des systèmes d’informations, est d’effectuer des mouvements latéraux permettant aux hackers d’infiltrer et de toucher d’autres éléments du réseau de l’entreprise. L’attaque se déploie plus largement et capte ainsi davantage de données et paralyse les serveurs internes.

Une production durement et durablement touchée

L’un des premiers réflexes pour les entreprises est de couper leurs systèmes d’informations pour limiter la casse et éviter que l’attaque ne se propage davantage en interne. Un réflexe de survie qui leur permet d’organiser une riposte et d’accélérer le retour à une situation normale. Si les directions des systèmes d’information, pour les entreprises qui en disposent, sont sur le pied de guerre pour colmater les brèches, elles ne peuvent cependant que constater les dégâts causés.

Et ces derniers peuvent avoir un impact très important sur la production et la mener à son immobilisation pendant un certain temps. En témoigne la récente cyberattaque dont a été victime Colonial Pipeline, un important réseau d’oléoducs qui transporte près de 45% des carburants de la côte Est des Etats-Unis, et qui a provoqué un arrêt de l’approvisionnement durant plusieurs jours. Cela a généré des mouvements de panique au sein de la population qui ont eu pour conséquence des pénuries dans certaines stations essence. En fin de compte, la société a dû verser près de 4,4 millions de dollars de rançon aux hackers.

Des exemples comme celui-ci montrent qu’une immobilisation de la production, même de courte durée, peut entraîner de lourdes pertes financières pour les entreprises touchées par les cyberattaques ainsi que pour les acteurs de leur écosystème.

Prévention des cyberattaques : un défi humain

Dans un processus de retour à la normale, il est possible que certaines entreprises décident de payer immédiatement une rançon contrairement à d’autres qui tentent de contrer l’intrusion dans leur système d’information. Dans les deux cas, il n’est jamais tout à fait certain que ce type d’attaque ne se reproduise pas. Il est donc utile de s’assurer en interne qu’il existe une stratégie de prévention comme les plans de reprise d’activité (PRA) qui se déclenchent à la suite d’un sinistre. Cela revient également à investir dans des solutions de protection d’application ainsi que dans celles qui visent à détecter les attaques et à les bloquer en amont. En somme, Il ne s’agit pas de savoir si le système d’information sera touché, mais plutôt quand il le sera.

Malgré toutes les dispositions technologiques prises, de nouvelles attaques toujours plus puissantes et vicieuses parviendront à contourner les nombreux systèmes de sécurité mis en place par les entreprises. L’un des enjeux de ces prochaines années se situe donc au niveau de la prévention humaine. L’idée d’un firewall humain n’est possible que si les collaborateurs d’une entreprise sont formés à reconnaître les signes d’une cyberattaque. Cet aspect sera d’autant plus important que la transition digitale des entreprises s’est largement accélérée depuis la crise du Covid-19 et avec elle le nombre de cyberattaques qui a été multiplié par quatre entre 2019 et 2020 en France. Il est donc essentiel et urgent d’instaurer un système de responsabilité partagée qui permettra, à défaut d’atteindre le risque zéro, de préparer au mieux les entreprises à de futures attaques.

cyberattaque

Payer la rançon : le meilleur moyen d’être attaqué une seconde fois…

Les résultats d’une étude mondiale sur le ransomware menée en avril 2021 auprès de 1263 professionnels de la sécurité (aux États-Unis, en Allemagne, Espagne, Royaume-Uni, à Singapour et aux Émirats Arabes Unis, et comptant 150 professionnels français) affiche que la moitié des organisations interrogées au niveau mondial ont été victimes d’un ransomware lors des deux dernières années. L’étude démontre surtout que payer la rançon n’est pas la meilleure voie à suivre.

Dans la très grande majorité des cas, les entreprises ayant payé ont été attaquées une seconde fois : c’est le cas pour 60% des entreprises en France et 80% dans le monde.

Dans de nombreux cas les données ont tout de même été compromises, malgré le paiement : 53% des entreprises françaises estiment que leurs données ont été compromises, et sont donc toujours exposées, malgré le paiement de la rançon (45% au niveau mondial).

« Le paiement d’une rançon ne garantit en effet pas une reprise réussie. Et surtout cela ne fait qu’exacerber le problème en encourageant de nouvelles attaques. Il faut encourager les entreprises à prendre les devants sur la menace en sensibilisant et en s’équipant en solutions de sécurité axée sur la prévention » déclare Lior Div, directeur général et cofondateur de Cybereason.

Autre élément d’intérêt : les 3 pays (de l’étude) les plus ciblés par les ransomwares sont aussi ceux qui payent le moins les rançons !

Avec 70% d’entreprises ciblées au cours des 24 derniers mois, la France est bien plus ciblée par les ransomwares que les États-Unis par exemple, où environ 30% des entreprises ont dû affronter ces acteurs malveillants. L’Espagne (72%) et l’Allemagne (70%) sont les deux autres nations analysées dans le cadre de l’étude ayant été les plus ciblées.

En revanche, contrairement aux idées reçues, les pays les plus ciblés ne sont pas forcément ceux qui payent le plus : plus de 80% des entreprises américaines ont déclaré avoir accepté de payer la rançon, plus de 73% au Royaume-Uni, alors qu’elles sont moins de 50% en France (environ 43% en Espagne et 40% en Allemagne).

Les entreprises subissent des conséquences sur le long terme

  • 39% des organisations françaises ont fait état d’une perte significative de revenus à la suite d’une attaque par ransomware. Elles sont 44% au niveau mondial.
  • En France, 19% des organisations ont déclaré la démission de cadres dirigeants suite à une attaque (45% au Royaume-Unis et 50% aux Émirats arabes unis)
  • Pire, 22% des entreprises attaquées par rançongiciel ont été contraintes de cesser leur activité (c’est environ 26% au niveau mondial).

Le rapport complet mis à disposition de la presse par Cybereason révèle également dans quelles mesures les pertes subies par l’entreprise peuvent être couvertes par une cyberassurance, dans quelles mesures les organisations sont préparées à faire face aux menaces de ransomware avec des politiques de sécurité et des ressources adaptées, et des informations plus détaillées sur l’impact des attaques par ransomware par région, taille d’entreprise et secteur vertical.

En outre, le rapport fournit des données exploitables sur les types de solutions de sécurité que les organisations avaient en place avant une attaque, ainsi que sur les solutions les plus souvent mises en œuvre par les organisations après avoir subi une attaque par ransomware.

Cyber-attaque, cyberattaque, Cybersécurité

Les pirates ont eu accès à un code source de Rapid7 à la suite du piratage de Codecov

Comme a pu l’indiquer le spécialiste de la cybersécurité Rapid7, des pirates informatiques ont eu accès à une petite partie de ses référentiels de code source à la suite du piratage d’un outil de développement logiciel, Codecov.

« Des personnes non autorisées, en dehors de Rapid7, ont obtenu un accès à un petit sous-ensemble de nos référentiels de code source pour les outils internes de notre service Managed Detection and Response. Ces référentiels contenaient des informations d’identification internes. Des informations remplacées et des données liées aux alertes pour un sous-ensemble de nos clients » indique l’entreprise dans un communiqué de presse.

Le 15 avril 2021, le développeur d’outils d’audit logiciel, la startup Codecov, a averti les utilisateurs que son outil Bash Uploader avait été malmené. Une cyberattaque datant du 31 janvier 2021. Des inconnus avaient modifié l’outil de Rapid7 en y plaçant une porte cachée. Par cette méthode, les attaquants ont pu accéder aux réseaux de centaines de clients Codecov.

Les pirates ont réussi à accéder aux réseaux Codecov en raison d’une erreur de démarrage lors du processus de création d’image Docker, ce qui leur a permis d’extraire les informations d’identification nécessaires pour modifier le script Bash Uploader.

Les pirates ont apporté des « modifications périodiques non autorisées » au code, ce qui leur a permis d’envoyer des informations stockées dans les environnements d’intégration continue (CI) des utilisateurs du script à un serveur tiers.

Selon l’avis de Rapid7, il n’y avait aucune preuve que les malveillants aient pu accéder à d’autres systèmes ou environnements de production, ou que des modifications malveillantes avaient été apportées à ces référentiels.