Archives de catégorie : backdoor

backdoor, Communiqué de presse, Cybersécurité, IOT, Mise à jour, Securite informatique

Analyses des Cyber-menaces 2017

Nouveau rapport relatif à l’analyse des cyber-menaces enregistrées au cours du second trimestre 2017. Malwares, ransomwares, mobiles en pleine forme !

Le nouveau rapport dédié aux cyber-menaces baptisé McAfee Labs Threats Report : September 2017, revient sur les récentes attaques WannaCry et NotPetya, met en lumière la puissance de frappe du cheval de Troie Faceliker et révèle les secteurs d’activités les plus ciblés par les pirates informatiques. On y découvre que les campagnes de ransomware [WannaCry et NotPetya] n’ont pas tant échoué que cela. Raj Samani, Chief Scientist chez McAfee explique qu’il « est tout aussi probable que leur motivation première [les diffuseurs des deux ransomwares cités] n’ait pas été l’argent, mais de perturber. Auquel cas, les deux campagnes ont été incroyablement efficaces. Nous vivons désormais dans un monde où chaque motif derrière un ransomware n’est plus simplement de gagner de l’argent, mais dans l’univers du pseudo-ransomware. »

Au deuxième trimestre 2017, Facebook a émergé comme un vecteur d’attaques notable et lieu de cyber-menaces. Faceliker a contribué, à hauteur de 8,9 %, aux 52 millions d’échantillons de logiciels malveillants nouvellement détectés. Ce cheval de Troie infecte le navigateur d’un utilisateur lorsqu’il visite un site malveillant ou compromis. Il détourne alors les « j’aime » et favorise le contenu à l’insu de l’internaute. A grande échelle, le système peut générer d’importants revenus pour les malfaiteurs derrière Faceliker. Les clics détournés pouvant faire apparaître un contenu (article, vidéo, site Web ou annonce) plus populaire/fiable qu’il ne l’est vraiment.

Le secteur public a été le plus ciblé au cours du second trimestre 2017

L’analyse trimestrielle révèle que le secteur public a été le plus ciblé au cours du second trimestre 2017, et plus particulièrement en Amérique du Nord depuis un an et demi. Le rapport révèle également que le domaine de la santé est demeuré parmi les plus visés avec une hausse de 26 % enregistrée sur le deuxième trimestre. Cette tendance a commencé au premier trimestre 2016 lorsque de nombreux hôpitaux ont subi des attaques par ransomware. Ces dernières ont paralysé plusieurs services et ont contraint, dans certains cas, les hôpitaux à transférer des patients et à retarder des opérations. Si les fuites de données dans le domaine de la santé sont aussi probablement le résultat de diffusions accidentelles et d’erreurs humaines, le secteur continue d’enregistrer un nombre croissant de cyberattaques.

Les principaux faits marquants en matière de cyber-menaces

311 incidents de sécurité rendus publiques, soit une augmentation de 3% par rapport au trimestre précédent. Une grande majorité (78%) a eu lieu sur le continent américain. Cibles verticales. Les secteurs publics, de la santé et de l’éducation représentaient plus de 50% des incidents répertoriés. En Asie, c’est davantage le secteur public qui est ciblé, suivi par les domaines des services financiers et des technologies. En Europe, c’est le secteur public qui remporte la première place, suivi des domaines du divertissement, de la santé, des finances et des technologies.

Le détournement de compte fait figure du premier vecteur d’attaque le plus divulgué. Il est suivi des DDoS, des fuites de données, des attaques ciblées, des malwares et injections SQL. Le volume de nouveaux échantillons de logiciels malveillants découvert au second trimestre a atteint les 52 millions. Une augmentation de 67%. Une telle hausse est en partie due à une croissance significative des programmateurs de logiciels malveillants et de Faceliker.

Sur les 12 derniers mois, le nombre total d’échantillons de malwares a croit de 23 % plafonnant à près de 723 millions d’échantillons. Les nouveaux échantillons de ransomware ont encore fortement augmenté ce trimestre (+54%). Leur volume total s’est accru de 47% au cours des 4 derniers trimestres pour atteindre 10,7 millions d’échantillons. Depuis un an, le nombre de malware mobile augmente de 61% et représente 18,4 millions d’échantillons. Les appareils Apple ne sont pas oubliés. Les malwares ciblant Mac OS sont en hausse de 4%, avec 27 000 nouveaux échantillons.

Les cyber-menaces basées sur des scripts

Les chercheurs révèlent également l’augmentation notable de malware basé sur des scripts depuis ces deux dernières années. Le langage de script Microsoft est utilisé pour automatiser les tâches d’administration telles que l’exécution des commandes en arrière-plan, la vérification des services installés sur le système, la fin des processus et la gestion des configurations des systèmes et serveurs. Les scripts malveillants PowerShell arrivent habituellement sur le poste d’un utilisateur par un courrier indésirable, en s’appuyant sur l’ingénierie sociale plutôt que sur des vulnérabilités logicielles. Ils tirent ensuite partie des capacités des scripts pour compromettre le système. Cette tendance comprend également l’armement de JavaScript, VBScript et d’autres types de modules non exécutables utilisant .doc, PDF, .xls, HTML.

Antivirus, backdoor, Cybersécurité, Logiciels, Piratage, ransomware, Securite informatique

10 mythes et idées reçues à oublier au sujet des malwares

Les malwares font « jazzer » comme le disent nos amis Quebecois. Mais au fait, c’est quoi un malware ? Envie d’avoir quelques conseils afin de pouvoir faire la différence entre un Blue Screen of Death causé par un matériel défectueux et un vrai malware infectant vos équipements ? iTrust revient  sur quelques points qui vous y aideront, en décryptant les idées reçues et mythes qui gravitent autour des malwares depuis quelques années.

  • Mythe #1: Les cyberattaques sont récentes, peu nombreuses, massives et font toujours la une de l’actualité

Vous avez sûrement déjà entendu parler des cyberattaques causées par Petya, Wannacry ou plus récemment des incidents de sécurité informatique connus par Equifax. En seulement un an, ces cyberattaques massives ont fait des millions de victimes à travers le monde (notamment au sein de grandes entreprises), faisant les gros titres de l’actualité.

Cependant, si nous n’entendons pas parler d’autres attaques, cela ne signifie pas forcément qu’elles n’existent pas : des millions de tentatives (ou réussites) de piratage informatique visent les petites, moyennes et grandes entreprises au quotidien, utilisant des procédés qui passent du petit malware encodeur au vicieux malware effaceur.

Aussi, il est souvent dit que chaque cyberattaque menée est unique en son genre et qu’elle est composée d’une manière complexe et différente à chaque fois : s’il est vrai que ces attaques sont de plus en plus sophistiquées, il est à souligner que la plupart sont basées sur les mêmes procédés et changent peu dans leur composition.

  • Mythe #2: Les petites et moyennes entreprises ne sont pas une cible de choix pour les hackers  

Vous pensez que votre entreprise est bien trop petite pour attirer l’attention des hackers ? Grosse erreur.

Même si vous ne constituez pas la cible la plus lucrative aux yeux des hackers, votre entreprise n’en reste pas moins une cible de choix : elle constitue pour eux une cible facile à atteindre en peu de temps.  En effet, les petites et moyennes entreprises ont souvent des mesures de sécurité moins développées (voire inexistantes), qui permettent ainsi aux hackers de récupérer plus facilement nombre de données.

  • Mythe #3: Vous saurez immédiatement si votre ordinateur est infecté

Si certains types de malwares sont visibles au premier coup d’œil (comme par exemple les rançongiciels, qui bloquent tout accès à votre équipement ou encore certains malwares ralentissant de manière visible le fonctionnement de votre ordinateur), la plupart d’entre eux fonctionnent sans même que vous vous en rendiez compte, restant cachés au sein de vos équipements parfois durant des années.

La seule façon de vraiment savoir si votre ordinateur est infecté est de dépasser le stade d’une protection minimale de vos appareils en utilisant des solutions de cyber sécurité dynamiques, et non plus seulement statiques (type antivirus). En effet, les antivirus vous protègent seulement des attaques qu’ils ont déjà été recensées auparavant : mais qu’en est-il si un malware jusqu’alors inconnu s’infiltre dans vos équipements ? C’est alors que les solutions de sécurité informatique dites « dynamiques » entrent en jeu, sous la forme d’analyses de comportement utilisateurs. Pour en savoir plus, n’hésitez pas à lire notre article sur la détection d’analyses comportementales, ici.

D’autres mythes à découvrir sur le blog de iTrust.

backdoor, Cyber-attaque, Cybersécurité, ID, Identité numérique, Mise à jour, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie

BlueBorne, un malware susceptible d’affecter des milliards de dispositifs

Le malware BlueBorne devrait permettre, parfois en moins de dix secondes, de s’immiscer au sein d’équipements dotés de Bluetooth pour détourner des données.

La société Fortinet, créateur de solutions de cybersécurité, appelle à la vigilance vis-à-vis d’un nouvel exploit nommé BlueBorne, qui tire parti de certaines vulnérabilités Bluetooth, exposant ainsi potentiellement plusieurs milliards d’équipements à une attaque. À ce jour, il n’y a aucune preuve tangible qu’un tel vecteur d’attaque ait été utilisé. En revanche, il est fort possible que de tels exploits aient été évalués en environnement de tests, et qu’ils soient rapidement opérationnels et propagés en conditions réelles.

BlueBorne est un malware hybride (cheval de Troie – ver) qui se propage via Bluetooth. Compte tenu du comportement en tant que ver, tout système infecté est susceptible d’étendre l’infection en recherchant activement de nouveaux hôtes vulnérables. Tous les dispositifs avec une fonction Bluetooth, et notamment ceux sous iOS, Android, Mac OSX et Windows, sont autant d’hôtes potentiels.

Les dommages liés à ce malware sont potentiellement très importants, le Bluetooth étant l’un des protocoles de connectivité les plus répandus et utilisés dans le monde. Les équipements électroniques sont nombreux à l’avoir adopté, qu’il s’agisse de smartphones, d’objets connectés, de smart TV et même de systèmes de surveillance résidentiels.

« La lutte contre l’exploit BlueBorne s’annonce un vrai défi, puisque le protocole de communication Bluetooth n’est pas surveillé et inspecté par la plupart des outils de sécurité réseau. Ainsi, les fonctions traditionnelles de sécurité, comme la détection des intrusions, ne seront sans doute pas capables d’identifier les attaques BlueBorne, observe David Maciejak, Directeur des recherches sur la sécurité chez Fortinet. Cette technologie n’a pas vraiment été une priorité pour les chercheurs en sécurité et il est donc probable que nous assisterons à une recrudescence des attaques exécutées via Bluetooth dans un avenir proche. »

Voici trois recommandations pour vous protéger, ainsi que vos dispositifs Bluetooth :
• Désactivez le Bluetooth sur vos équipements lorsque cette fonction n’est pas utilisée. Si vous l’activez, assurez-vous de la désactiver après utilisation.
• Identifiez les dispositifs rattachés à votre réseau et consultez régulièrement les fabricants de ces équipements pour obtenir les mises à jour.
• Installez les patchs dès leur disponibilité. L’iOS d’Apple a ainsi été patché en 2016 avec la disponibilité d’iOS 10. Microsoft a fourni un patch pour Windows en juillet dernier. De son côté, Google devrait proposera un patch sous peu.

Le malware BlueBorne fonctionne en scannant les équipements équipés de Bluetooth, puis les teste afin d’identifier les vulnérabilités potentielles. Lorsqu’une cible est identifiée, l’intrusion peut s’effectuer en moins de dix secondes, d’autant que les dispositifs ciblés n’ont même pas à accepter une connexion entrante pour être piratés. Une fois l’intrusion effective, l’assaillant peut exécuter des commandes aléatoires sur le dispositif, voire accéder à des données pour les détourner. D’autre part, le processus d’attaque intègre la recherche d’autres cibles Bluetooth pour propager l’infection.

Android, Arnaque, backdoor, Communiqué de presse, Cybersécurité, Mise à jour, Particuliers, Patch, Sécurité, Securite informatique, Smartphone, Téléphonie

Le spyware Igexin infecte plus de 500 app mobiles sur Google Play

Les applications infectées par Igexin ont été téléchargées plus de 100 million de fois dans l’écosystème Android.

L’équipe de recherche de Lookout, le leader mondial de la sécurisation de la mobilité vient d’annoncer dans un article de blog la mise à jour d’un SDK publicitaire appelé Igexin qui a infecté plus de 500 applications mobiles légitimes du portail Google Play afin de permettre l’installation d’un spyware sur les smartphones et tablettes.

Igexin permettait d’installer sur les appareils un plugin espionnant les actions des utilisateurs et, l’équipe de spécialistes en sécurité mobile de Lookout confirme que ce sont au moins 500 applications Android qui sont concernées et que celles-ci ont été téléchargées plus de 100 millions de fois dans l’écosystème Android.

Les applications android concernées incluaient des jeux (dont l’un téléchargé plus de 50 millions de fois), des applications météorologiques (dont une téléchargée plus de 1 million de fois), des webradios, des éditeurs de photographie (dont l’un téléchargé plus de 1 million de fois) ou encore des applications utilitaires.

L’équipe de spécialistes en sécurité mobile de Lookout a notamment observé le téléchargement de fichiers chiffrés depuis Igexin permettant l’installation a posteriori de malwares en contournant les mécanismes de surveillance habituels détectant la présence de logiciels malveillants dans les applications disponibles sur le portail de Google Play.

Les utilisateurs de Lookout sont protégés de ce spyware. Lookout a informé Google des fonctionnalités d’Igexin, et les applications ont été enlevées du portail Google Play, ou remplacées par des versions mises à jour ne contenant ce spyware invasif. Plus de renseignements sur Igexin peuvent être retrouvés dans l’article de blog.

backdoor, Chiffrement, Cyber-attaque, Cybersécurité, Mise à jour, Patch, Piratage, Securite informatique

Un pirate écume les loteries américaines et remporte 25 ans de prison

Un pirate informatique vient d’être condamné à 25 ans de prison pour avoir « joué » avec l’informatique des loteries de plusieurs états américains. Il aurait détourné plus de 14 millions de dollars.

En avril 2015, je vous parlais du pirate informatique Eddie Raymond Tipton. Cet informaticien travaillait comme programmeur pour la loterie du Texas. Il sera arrêté pour avoir piraté les machines dédiées à ce « jeu de hasard » afin d’empocher 14,3 millions de dollars. L’homme vient de connaitre sa sentence définitive : 25 ans de prison fédérale. Il a été découvert que Tipton avait piraté et manipulé les systèmes informatiques dans trois autres États Américains : Colorado, Iowa et le Wisconsin. Sa manipulation lui aurait permis d’engranger 2,2 millions de dollars supplémentaires. Une escroquerie informatique qui aura durée six ans. Timpton n’était pas n’importe qui, il était le responsable de la sécurité de la Multi-State Lottery Association (MUSL).

La MUSL fournit des systèmes informatiques destinés aux loteries pour quasiment l’ensemble des États-Unis, y compris les îles Vierges américaines et Porto Rico.

Tipton avait codé une clé USB qui lui permettait de générer les nombres aléatoires qui déterminaient les gagnants de la loterie. Employé par la MUSL, Timpton ne pouvait pas jouer et encore moins retirer l’argent. L’argent du billet gagnant de 14 millions de dollars ne sera pas retiré durant un an. Timpto va créer une entreprise « fantôme » à Belize afin de réclamer le prix, via un avocat de New York. C’est la caméra de vidéo surveillance d’une boutique ou avait été acheté le billet qui perdra le pirate.

Argent, Arnaque, backdoor, Chiffrement, Communiqué de presse, Cybersécurité, Espionnae, ID, Identité numérique, Mise à jour, Particuliers, Patch, Securite informatique

Joao : cyberattaque via un site dédié aux joueurs en ligne

Des chercheurs ont découvert un nouveau malware baptisé Joao, qui se répand par le biais de jeux informatiques diffusés sur des sites non officiels. Joao est un malware modulaire, capable de télécharger et d’exécuter d’autres codes malveillants.

Joao, le malware joueur ! Pour diffuser leur malware, les attaquants cachés derrière Joao ont abusé de jeux de rôle en ligne massivement multi-joueurs. « Ils ont modifié les jeux pour les rendre capables de télécharger du malware additionnel” explique Tomáš Gardon, analyste de malware chez ESET.

Les recherches ont démontré que les criminels derrière cette campagne ont abusé de plusieurs titres de jeux d’Aeria Games et installé leurs versions modifiées sur des sites non officiels. Les jeux auxquels Joao a été rajouté, étaient capables de recueillir des informations concernant l’ordinateur infecté et ensuite de télécharger des composants supplémentaires offerts par le serveur Command&Control des malveillants. Les composants de Joao découvert disposaient de capacités backdoor (porte cachée), d’espionnage et de DDoS (blocage de serveur, ordinateur, …) par la diffusion de connexions malveillantes ayant pour mission de saturer la cible du Déni Distribué de Service. « Le processus d’infection est bien caché aux yeux des victimes et ces jeux modifiés fonctionnent comme on s’y attend. Lorsque des utilisateurs passionnés de jeux se lance dans le téléchargement du jeux usurpateur, rien ne peut éveiller leurs soupçons. Ceux qui ne sont pas protégés par une solutions de sécurité fiable se retrouvent avec leur ordinateur infecté ».

Les experts en sécurité d’ESET conseillent de télécharger les jeux sur des sources officielles ; de faire les mises à jour proposées par les éditeurs ; utiliser une solution de sécurité fiable ; ne pas débrancher l’antivirus lors d’un jeu en ligne.

Android, backdoor, Cybersécurité, Espionnae, ID, Identité numérique, IOT, Leak, Particuliers, Piratage, Securite informatique, Smartphone, Téléphonie

Amazon retire de la vente des smartphones Chinois BLU

La boutique en ligne Amazon vient de retirer de la vente des smartphones Chinois de la marque BLU. Un logiciel espion y était caché à l’insu du constructeur !

Les téléphones portables BLU ont le blues ! Les smartphones sont des cibles privilégiées dès que cela concerne l’interception de données. Des sociétés se sont spécialisées dans ce genre d’agissement, comme l’entreprise Chinoise Adups. Cette entreprise avait diffusé, il y a quelques mois, un spyware via des smartphones sortis d’usine. L’éditeur de solutions de sécurité informatique Kryptowire avait découvert en octobre 2016 qu’ADUPS avait équipé des téléphones portables à petit prix de son spyware et récupérait de nombreuses données personnelles via les téléphones infiltrés dont les messages, et les appels.

Dix mois plus tard, l’espion d’ADUPS a été modifié et de nouveau caché dans des smartphone low-cost dont ceux de la société BLU. Un spyware caché dans la chaîne d’assemblage des appareils. Le problème pour Adups est qu’une fois encore, son petit manège a été détecté par Kryptowire qui a expliqué le fonctionnement de cet espionnage lors du Black Hat de Las Vegas, l’avant DEF CON. Seulement, cette fois, un dommage collatéral vient d’apparaître.

L’un des fabricants de téléphone, lui même piégé cette infiltration, vient de voir ses téléphones interdits à la vente sur Amazon. La cyber boutique américaine a retiré de son référencement l’intégralité des produits de BLU.

APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Leak, Mise à jour, Piratage, Securite informatique

Infy : Prince of Persia persiste et signe

En février 2017, l’Unit42, unité de recherches de Palo Alto Networks a observé une évolution du malware “Infy” que nous avons appelée « Foudre ». Les acteurs concernés semblent avoir tiré les enseignements suite à notre démantèlement et notre sinkholing (redirection vers un serveur que nous contrôlons) de leur infrastructure de commande et de contrôle (C2). En effet, Foudre intègre désormais de nouvelles techniques anti-démantèlement censées éviter que ses domaines C2 ne soient détournés vers un site sinkhole comme nous l’avions fait en 2016.

L’Unit42 a documenté ses travaux de recherche originels sur cette campagne vieille de dix ans en utilisant le malware Infy en mai 2016. Un mois après la publication de ces travaux, l’Unit42 a donné une description détaillée de notre démantèlement et de notre sinkholing des serveurs C2 de l’acteur. En juillet 2016, au congrès Blackhat U.S.A, Claudio Guarnieri et Collin Anderson ont présenté des preuves montrant qu’un sous-ensemble des domaines C2 redirigés vers notre sinkhole avaient été bloqués par falsification DNS et filtrage HTTP par la Telecommunication Company of Iran (AS12880), empêchant l’accès depuis le territoire national iranien à notre sinkhole.

Voici les modifications apportées au malware dans ce blog post dédié, quelques informations et précisions ci-dessous. L’Unit42 en profite également pour mettre en avant certaines erreurs courantes, et explique comment elle les a exploitées pour en savoir plus sur cette campagne.
Cartographie des victimes

L’Unit42 avait prévu l’un des noms de domaine DGA et l’avait enregistré avant que l’adversaire ne puisse le faire.

Les victimes ont tenté de se connecter à un C2 dans ce domaine, mais, ne possédant pas la clé privée RSA, l’Unit42 n’a pas pu vérifier son domaine auprès d’elles. Cependant, elle a pu établir une cartographie géolocalisant les victimes à l’aide de GeoIP (voir pièce jointe).

On remarque la prépondérance des victimes sur le territoire national iranien, ce qui rappelle fortement les campagnes d’Infy. Les attaques menées contre les États-Unis et l’Irak sont aussi familières. Ici encore, le très petit nombre de cibles fait penser à une motivation non financière.

L’une des victimes en Irak utilise une adresse IP dans le même réseau de classe C que l’une des victimes Infy déjà observées, ce qui laisse à penser que l’adversaire cible la même organisation, voire le même ordinateur.

Même si, en l’absence de la clé privée RSA, l’Unit42 n’a pas réussi à établir la communication avec les victimes, elle a découvert qu’en envoyant un fichier de signature non valide à la victime, du fait de l’absence de validation en entrée du contenu/de la taille de ce fichier, elle arrive à faire échouer le processus rundll32 qui exécute la DLL malveillante de Foudre. Cela permet de désactiver l’infection jusqu’à ce que la victime réinitialise sa machine.
Conclusion

Dans son post, blog Prince of Persia, l’Unit42 avait indiqué que cette campagne durait depuis au moins une dizaine d’années. Ainsi, elle a poursuivi le sujet avec son blog Prince of Persia: Game Over, qui documente son démantèlement et son sinkholing de l’infrastructure C2 de l’adversaire.

En ce qui concerne les actions de la Telecommunication Company of Iran en vue d’empêcher les C2 d’être redirigés vers notre sinkhole, Guarnieri et Anderson font observer que « la politique de filtrage indique que les autorités iraniennes sont intervenues spécialement pour bloquer l’accès aux domaines de commande et de contrôle d’une campagne d’intrusion visant l’État, au niveau national. »

L’Unit42 s’attend à voir Infy faire son retour : dans les grandes lignes, ce sera toujours le même malware, ciblant les mêmes victimes.

Les acteurs ont compris qu’ils avaient besoin d’une infrastructure C2 plus robuste pour empêcher l’infiltration et le démantèlement. L’algorithme DGA apporte une dose de résilience, mais n’est pas invulnérable à un démantèlement.

Toutefois, l’utilisation de la signature numérique constitue un dispositif de défense contre un C2. Sans accès aux clés privées, il n’est pas possible d’usurper l’identité d’un C2 même si un domaine DGA est enregistré par un chercheur. Il se peut que les clés privées résident localement sur le serveur C2, mais sans accès au C2, nous ne pouvons pas confirmer cette vulnérabilité potentielle de leur infrastructure.

Décidément, Prince of Persia persiste et signe.

Antivirus, backdoor, Communiqué de presse, Cybersécurité, Logiciels, Securite informatique

Une nouvelle technologie brevetée contre l’espionnage audio

Afin d’aider les utilisateurs à se protéger contre la menace d’une surveillance audio, Kaspersky Lab a fait breveter une méthode pour contrer les accès non autorisés au microphone des machines Windows.

Pour contrôler l’accès aux données audio de l’utilisateur, il est nécessaire de surveiller toutes les requêtes adressées au micro dans le système d’exploitation, afin de bloquer tout accès non autorisé ou provenant d’un programme non fiable. Il ne suffit pas à l’utilisateur de simplement couper le micro ou de le recouvrir avec du ruban adhésif, car cela n’empêche pas un intrus d’enregistrer les sons autour de l’ordinateur moyennant des haut-parleurs ou d’autres méthodes. Or Windows n’offre actuellement en standard aucune protection spéciale contre les accès non autorisés aux données audio de l’utilisateur. C’est pourquoi les experts de Kaspersky Lab ont développé une nouvelle méthode, qu’ils ont fait breveter.

La technologie de Kaspersky Lab filtre les commandes internes envoyées au service Windows Audio, ou reçues par ce dernier, et signale la création de chaque nouveau flux audio par toute application quelle qu’elle soit. Ensuite, elle fait appel à la fonction Application Control de Kaspersky Lab, qui classe tous les programmes en diverses catégories (fiable, restreint, non fiable) suivant sa réputation, son contenu et son fabricant. Si un programme considéré « non fiable » ou bien « restreint » tente d’accéder au micro, sa requête est immédiatement bloquée.

Alexander Kalinin, chercheur senior en sécurité chez Kaspersky Lab et l’un des inventeurs de la technologie, commente : « La vie privée des utilisateurs est primordiale à nos yeux. C’est pourquoi nous développons des technologies permettant de préserver leur univers numérique de tout accès malveillant. En matière de protection audio, la principale difficulté tient à l’existence d’un système de multiplexage des flux audio dans Windows, de sorte que plusieurs applications peuvent enregistrer des sons simultanément. Cependant, nous avons pu résoudre ce problème facilement grâce à notre riche infrastructure de pilotes pour le noyau, qui comprend un mécanisme de contrôle des commandes entre les services Windows ».

La protection Audio fait partie des technologies de protection de la vie privée incorporées aux solutions de sécurité de Kaspersky Lab pour les particuliers. Elle intervient ainsi aux côtés de la technologie qui avertit l’utilisateur de tout accès à sa webcam intégrée ou connectée, ou encore de la navigation privée, qui bloque toute tentative de collecte des données personnelles via un navigateur web. Ces deux dernières fonctionnalités sont disponibles sur Mac et PC. Pour en savoir plus sur le brevet US9652625, suivez ce lien. Kaspersky Lab détient aujourd’hui plus de 580 brevets déposés aux Etats-Unis, en Russie, dans l’Union européenne et en Chine.

Apple, backdoor, Cyber-attaque, Cybersécurité, Espionnae, ios, Logiciels, OS X, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone

Fruitfly : code malveillant pour MAC

Un commentaire

Le malware, nommé Fruitfly, a été détecté en janvier 2017. Le chercheur en sécurité pour Synack, Patrick Wardle, a récemment détecté une variante du virus qui serait présente dans certains MAC depuis au moins cinq ans.

Fruitfly, le malveillant pour MAC ! Les capacités de ce logiciel-espion couvrent plusieurs fonctionnalités comme l’activation des webcams et micros, la modification d’un fichier ou l’enregistrement de la saisie clavier. L’espion peut alors surveiller les gestes de l’utilisateur mais aussi subtiliser ses données. Fruitfly a touché 400 appareils selon Mashable, principalement aux États-Unis, mais le chiffre pourrait être revu à la hausse selon le chercheur en sécurité.

Patrick Wardle voit dans ce virus une attaque sans but financier : Un pirate a conçu cet espiogiciel pour espionner des utilisateurs, en précisant que ce logiciel d’espionnage a été conçu pour de la surveillance de pointe. Le chercheur, qui a déjà travaillé pour la NSA, a déjà vu ce type de surveillance auparavant mais d’habitude, on voit ça dans des logiciels gouvernementaux ou d’État-nation selon lui.

Wardle estime que les créateurs de cette variante de Fruitfly avaient déjà abandonné leur malware. La menace est d’ailleurs en partie oubliée puisque les adresses des serveurs et les noms de domaines utilisés par le malware sont déjà désactivés.

La première version de FruitFly avait été détectée par Malwarebytes. La version cachée depuis 5 ans dans des centaines de MAC serait l’évolution de la souche découverte par MB. Jérôme Ségura, Expert en sécurité chez Malwarebytes nous livre les premiers éléments d’analyse sur ce nouveau malware : « Après la découverte de la première version du malware Mac FruitFly (détecté sous le nom de OSX.Backdoor.Quimitchin par Malwarebytes). FruitFly2 est lui aussi écrit avec du code assez rudimentaire. Ce genre de découverte nous rappelle que les Macs ne sont pas à l’abri des virus informatiques.« 

Comme le montrait ZATAZ.COM, les logiciels espions pour MAC existent, certains sont mêmes offerts. 2017 a déjà battu le record de l’année ou le nombre de malwares ciblant Apple a été le plus important. La légende selon laquelle posséder un Mac met à l’abri des malwares doit être reconsidérée car nous constatons de plus en plus d’infections où l’utilisateur se fait duper et installe un programme malveillant sur un MAC.