Archives de catégorie : backdoor

backdoor, Chiffrement, cryptage, Cybersécurité, Facebook, ID, Identité numérique

Une faille du Login de Facebook corrigée

Les pirates se faisaient passer pour les titulaires des comptes en exploitant une faille du Login de Facebook.

Les Bitdefender Labs ont révélé une vulnérabilité  lors de l’authentification en ligne sur des sites Web tiers via Facebook. Un manque de mesure de sécurité lors de la validation permet aux pirates d’usurper l’identité des internautes et d’accéder, sans mot de passe, à leurs comptes en ligne.

Les social logins sont une alternative à l’authentification traditionnelle et un mode apprécié par les utilisateurs pour leur côté pratique : ils permettent aux utilisateurs de se connecter à leurs comptes Web sans saisir leur nom d’utilisateur ni leur mot de passe. La plupart des sites offrent des social logins via Facebook, LinkedIn, Twitter ou Google Plus. Les chercheurs des Bitdefender Labs ont trouvé un moyen d’usurper l’identité de l’utilisateur et d’avoir accès à ses comptes Web en utilisant le plug-in Facebook Login.

« Il s’agit d’une vulnérabilité grave qui permet aux pirates de créer un compte avec une adresse e-mail ne leur appartenant pas et de changer l’adresse e-mail liée au compte d’un site par une autre adresse non vérifiée », prévient Ionut Cernica, chercheur spécialiste des vulnérabilités chez Bitdefender. « Cela signifie qu’un pirate peut effectuer des paiements en ligne au nom de l’utilisateur, arrêter son moteur antivirus pour infecter ses périphériques, propager des malwares à ses contacts et bien plus encore. »

Pour que l’attaque réussisse, l’adresse e-mail de la victime ne doit pas déjà être enregistrée sur Facebook. La plupart des internautes ont plus d’une adresse e-mail publiée sur différents sites Web, accessibles à tout le monde. Il est donc assez simple pour le pirate d’obtenir une de ces adresses et de créer un compte Facebook avec cette dernière.

Pour vérifier l’identité d’un utilisateur sans exposer ses identifiants d’authentification, Facebook Login utilise le protocole OAuth. Grâce à OAuth, Facebook est autorisé à partager certaines informations de l’utilisateur avec le site Web tiers.

Comment se fait l’usurpation d’identité ? Une faille du Login de Facebook

Bitdefender a réussi à contourner l’étape de confirmation généralement requise lors de l’enregistrement d’une nouvelle adresse e-mail Facebook.

L’un de ses chercheurs a créé un compte Facebook avec l’adresse e-mail de la victime.

Après l’inscription, il a remplacé l’adresse e-mail par une autre dont il a le contrôle.

Après actualisation de la page, il apparaît que l’adresse e-mail de la victime a également été validée.

Lorsque le chercheur a tenté de se connecter sur un autre site via le bouton Facebook Login (avec l’adresse e-mail de la victime), il a dû confirmer sa propre adresse e-mail, et non celle de la victime.

Bien que le chercheur de Bitdefender n’ait confirmé que son compte personnel dans les paramètres du compte Facebook, l’adresse de la victime était bien le contact principal.

« J’ai utilisé à nouveau Facebook Login et décidé de mettre mon adresse comme contact principal à la place de celle de la victime, puis de la changer à nouveau pour faire du compte de la victime le compte principal. C’est une étape importante pour reproduire le problème », a ajouté Ionut Cernica.

Puis, sur un autre site Web, le chercheur de Bitdefender a utilisé Facebook Login pour se connecter sous l’identité de la victime. Le site a fait le lien entre l’adresse e-mail de la victime (en passant par Facebook) et le compte existant et a permis au chercheur, qui aurait pu être un pirate, de contrôler ce compte. « Le fournisseur d’identité – dans ce cas, Facebook – aurait dû attendre que la nouvelle adresse e-mail ait bien été vérifiée », affirme Ionut Cernica à DataSecurityBreach.fr.

Une faille du Login de Facebook corrigée rapidement. Facebook a réparé la vulnérabilité après en avoir été alerté par Bitdefender.

backdoor, Cyber-attaque, Cybersécurité, Mise à jour, Patch, Piratage, Wordpress, Wordpress

Le fichier Pagat.txt dans votre site, attention danger

2 commentaires

Plus de 45% d’augmentation, selon IBM Security, de la présence du fichier Pagat.txt dans les machines de ses clients. Le programme, une porte cachée qui permet bien des malveillances.

La force de WordPress, sa souplesse et ses nombreux plugins (options permettant d’agrémenter de services son site web). Cette force et aussi une faiblesse si vous ne mettez pas à jour votre CMS (WordPress, mais aussi Joomla! et compagnie, NDR) et les outils que vous avez pu y installer.

Au cours des mois de février en mars 2016, l’équipe IBM Managed Security Services (MSS) a découvert une augmentation de 45% de la présence d’un fichier baptisé pagat.txt dans les machines des clients.

Derrière ce faux fichier texte, une backdoor, un shell, bref une porte cachée codée en php. L’outil pirate est connu, aussi, sous le nom de C99. Une arme numérique ultra exploitée sur la toile. On trouve ce webshell sous forme d’image, de vidéo… Pagat semble être diffusé en profitant de failles dans les plugins de WordPress. Une quinzaine serait exploité à cet effet.

Rien de bien nouveau cependant, en janvier 2015, lors de l’opération pirate Anti Charlie, 80% des sites défacés (barbouillés) en France étaient le résultat de l’installation de C99 (grand frêre de Pagat) dans les serveurs des sites non sécurisés. Rien de plus simple, pour le pirate, de modifier la page index, de mettre la main sur les données privées. Cela démontre aussi que les mises à jour ne sont pas prises au sérieux par les utilisateurs. Google indique que 31 829 sites seraient touchés par cette malveillance.

backdoor, Cybersécurité, Justice, Tor

Le FBI aurait un faille 0Day visant firefox

La police fédérale américaine, le FBI, aurait en sa possession une faille agissant à partir du navigateur Firefox. Une faille 0Day visant firefox permettrait de piéger les utilisateurs de TOR ?

En février 2016, FBI avait reçu une demande particulièrement gênante de la part d’un avocat. Dans l’affaire du réseau de pédophiles Paypen, le FBI avait réussi à retrouver des utilisateurs via une network investigative technique (NIT). L’espace pédophile officiant via le système d’anonymisation TOR avait été stoppé par le Federal Bureau of Investigation grâce à l’exploitation d’une NIT. 137 internautes avaient été arrêtés. Des arrestations rendues possibles via l’utilisation de ce NIT. Bref, l’avocat voulait connaitre les petits secrets de ce fameux code du FBI.

Faille 0Day visant firefox ?

Aujourd’hui, des experts estiment que le FBI a peut-être bien plus qu’un simple outil permettant de tracer les internautes utilisateurs de TOR. Une vulnérabilité dans le navigateur Firefox, un logiciel utilisé par des centaines de millions de personnes partout dans le monde, est montré du doigt. Un chercheur de l’Université de Berkeley pense que le FBI cache ce petit secret informatique qui lui permettrait de remonter aux informations des « anonymes ».

Pour rappel, le FBI avait utilisé une faille dans Flash d’Adobe lors d’une enquête, en 2012, contre un autre espace numérique proposant de la pédopornographie. « Les Efforts acharnés du FBI à protéger son exploit suggère qu’il fonctionne toujours » indique Christopher Soghoian de l’American Civil Liberties Union (ACLU). En 2013, le journal britannique The Guardian expliquait comment la NSA utilisait un exploit dans Firefox, baptisé EgotisticalGiraffe afin de tracer les utilisateurs de TOR. (Vice)

backdoor, Base de données, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Logiciels, Piratage, Social engineering, Virus

Une tentative de piratage oblige une entreprise de transport à fermer ses serveurs

L’autorité des transports publics australienne, qui gère trains, bus et ferries, a du fermer ses sites web et serveurs informatiques internes à la suite d’une tentative de piratage.

Une tentative de piratage a mis en panique totale l’autorité des transports publics australienne. Une tentative malveillante suffisamment sérieuse, à première vue, pour obliger la compagnie à fermer l’accès de l’intégralité de ses sites Internet et serveurs informatiques internes. Bilan, les clients ne pouvaient plus accéder aux informations liées aux bus, trains et bateaux. Les employés ne pouvaient plus utiliser leur compte mail. « Les lignes téléphoniques ne sont pas affectées » annonce la société sur son fil Twitter !

backdoor, Banque, Base de données, Chiffrement, Cybersécurité, Entreprise, Mise à jour

Data Security Survey : Manque d’information sur la sécurité informatique

Dell annonce les conclusions de la première édition de son étude Dell Data Security Survey, dont il ressort que même si les membres de la direction mesurent les avantages d’une politique de sécurité, les entreprises peinent encore à développer des programmes cohérents, intégrant les stratégies de sécurité, sans pénaliser d’autres initiatives métier.

Malgré les outils en place pour satisfaire les besoins de sécurité, les décideurs métier et IT peinent en effet à mettre en œuvre ou à étendre des programmes fondés sur ces technologies. De plus, il s’avère que les questions autour de la sécurité freinent également l’adoption du Cloud, et ralentissent le déploiement de solutions de mobilité au service des organisations.

La sécurité des données, une priorité des hauts dirigeants, qui se disent préoccupés par la capacité à se protéger des menaces  
Si les hauts dirigeants sont plus impliqués dans la sécurité des données que par le passé, les équipes IT ont le sentiment que leurs supérieurs ne leur allouent ni les ressources, ni l’énergie nécessaire pour traiter les problématiques qui se posent réellement.

Près de trois décideurs sur quatre reconnaissent que la sécurité est une priorité pour la direction de leur organisation ; un sur quatre estime néanmoins que la direction n’est pas suffisamment au fait des problèmes relatifs à cette notion de sécurité. Trois décideurs sur quatre déclarent que leur direction prévoit de renforcer les mesures de sécurité en place, et ils sont plus de la moitié à espérer que les budgets sécurité seront augmentés au cours des cinq prochaines années. La question du coût reste un critère clé quand il s’agit de renforcer les programmes existants, avec 53% des répondants qui évoquent des contraintes financières pour expliquer l’absence de développement des mesures de sécurité à l’avenir. Un décideur sur quatre seulement se dit très confiant dans la capacité de sa direction à prévoir un budget suffisant pour les solutions de sécurité des données au cours des cinq ans à venir.

« Ces conclusions appellent à un engagement accru des hauts dirigeants en faveur de l’intégration des stratégies de sécurité des données dans la conduite des opérations », déclare Steve Lalla, vice-président en charge des logiciels et solutions pour clients professionnels, Dell. « Ils comprennent la nécessité d’investir dans leur infrastructure de sécurité, mais sans que cela n’aboutisse pour autant à la modernisation ou à l’extension des systèmes en place pour mieux se protéger contre les nouveaux types d’attaques. »

Malgré le soutien plus actif de la direction, les services IT ont besoin d’être épaulés pour réussir l’intégration de règles et de mesures de sécurité
Le rapport établit que des investissements insuffisants dans des technologies éprouvées, ajoutés à une pénurie de talents, entravent l’application de programmes de sécurité des données réellement optimisés.

La majorité des décideurs (58%) pense que leur organisation souffre d’une pénurie de professionnels de la sécurité correctement formés. 69% des décideurs considèrent toujours la sécurité des données comme une perte de temps et d’argent. Mais près de la moitié (49%) des sondés estiment qu’ils devront consacrer plus de temps à protéger leurs données au cours des cinq prochaines années. 76% estiment que leurs solutions leur sembleraient moins pesantes et laborieuses s’ils pouvaient tout concentrer auprès d’un fournisseur unique.

« Il ressort de cette étude que les services IT des entreprises déplorent les contraintes de coûts et de temps qui accompagnent traditionnellement les solutions tactiques », ajoute Steve Lalla. « Il n’est pas du tout efficace, quand on doit administrer les centaines ou les milliers de postes de travail de salariés, de devoir intervenir sur chacun séparément via plusieurs consoles. Sans compter que le risque de conflit ou d’incompatibilité est grand. Dans ces cas-là, il est vivement recommandé de se doter d’une suite intégrée d’administration IT. »

Les malwares et autres techniques d’attaques continuent de préoccuper les décideurs IT et métier
Les sondés se disent extrêmement préoccupés par les malwares, même en étant majoritairement équipés de solutions anti-malwares. Près de trois décideurs sur quatre (73%) craignent les malwares et les menaces persistantes avancées. Les préoccupations vis-à-vis des malwares sont les plus fortes aux Etats-Unis (31% très préoccupés), en France (31% très préoccupés) et surtout en Inde (56% très préoccupés) ; alors qu’elles sont moindres en Allemagne (11% très préoccupés) et au Japon (12% très préoccupés). Un sondé sur cinq seulement prétend avoir entière confiance dans la capacité de son entreprise à se protéger contre les attaques de malwares sophistiquées. Les sondés craignent les attaques de harponnage de type « spear phishing » (73% très préoccupés) plus qu’aucune autre méthode. « Le fait que les décideurs IT et métier n’aient pas confiance dans leur défense anti-malware s’explique peut-être par l’utilisation d’outils obsolètes ou inefficaces », commente Brett Hansen, directeur exécutif de la division Data Security Solutions de Dell. « Quand des équipes IT n’ont pas les ressources nécessaires pour adopter une protection proactive contre les menaces et se tenir à jour des nouvelles menaces qui émergent, leur défense se cantonne nécessairement à la détection des menaces et aux interventions de dépannage. »

Les employeurs en viennent à vouloir limiter la mobilité pour protéger les données

Tout le monde pense que les services internes des entreprises deviennent tous plus mobiles, or ce rapport nous apprend que les choses sont en réalité plus compliquées.

La majorité des entreprises de taille moyenne (65%) diffère leurs projets de mobilité des équipes pour des questions de sécurité, et 67% hésitent même à adopter les pratiques BYOD (bring-your-own-device). Alors que 82% des décideurs s’efforcent de limiter les points d’accès aux données pour renforcer la sécurité, 72% estiment que c’est en sachant d’où provient l’accès aux données qu’ils pourront renforcer l’efficacité des mesures de protection. 69% des sondés envisagent toujours de sacrifier les terminaux individuels pour mieux protéger leurs données des risques de compromission, or 57% se disent toujours préoccupés par la qualité du chiffrement dans leur entreprise. Deux sondés sur cinq sont enthousiastes vis-à-vis des gains de productivité d’une plus grande mobilité des équipes, en dehors des considérations de sécurité.

« Quand des organisations se désengagent des programmes de mobilité à la sécurité encadrée, elles s’exposent à d’autres risques », déclare Brett Hansen. « Les aspects de mobilité et de sécurité peuvent tout à fait coexister grâce aux technologies modernes de sécurité des données qui ont recours à des algorithmes de chiffrement intelligent pour protéger les données en toutes circonstances, en transit comme au repos. »

Les sondés se méfient des plateformes de cloud public
L’utilisation croissante des services de cloud public comme Box et Google Drive par les salariés amène les décideurs à douter de leur capacité à contrôler les risques que posent ces applications. Quatre sondés sur cinq hésitent à télécharger des données d’importance stratégique dans le cloud et 58% sont plus inquiets aujourd’hui qu’il y a un an. 38% des décideurs restreignent l’accès aux sites de cloud public dans leur organisation pour des questions de sécurité. 57% des décideurs qui autorisent l’utilisation du cloud et 45% de ceux qui prévoient d’autoriser l’utilisation des plateformes de cloud public attendront des fournisseurs de services cloud qu’ils assument les responsabilités liées à la sécurité. Une organisation sur trois seulement cite l’amélioration de la sécurité des accès aux environnements de cloud public comme une priorité concernant leur infrastructure de sécurité, alors que 83% des organisations reconnaissent que leurs salariés utilisent ou utiliseront les environnements de cloud public pour partager et stocker leurs données professionnelles.

« Les programmes de sécurité doivent permettre aux salariés d’être productifs en toute sécurité, ce qui suppose de les équiper d’outils et de technologies qui les aident dans leur travail », conclut Brett Hansen. « Les entreprises peuvent tenter de limiter ou d’interdire l’utilisation du cloud public, mais elles ont plutôt intérêt à utiliser des solutions de chiffrement intelligent, capables de protéger leurs données confidentielles où qu’elles aillent, et qui décourageront les salariés de vouloir contourner les règles qu’ils jugent trop restrictives. »

Android, Argent, Arnaque, backdoor, Banque, Chiffrement, cryptage, cryptolocker, Cybersécurité, escroquerie, Logiciels, Particuliers, Smartphone, Social engineering

Malwares mobiles : le volume a triplé en 2015

Le volume de malwares ciblant les utilisateurs d’appareils mobiles a plus que triplé en 2015, comparé à 2014. Les menaces les plus dangereuses observées au cours de l’année dernière sont des ransomwares, c’est-à-dire des malwares capables d’obtenir le contrôle illimité d’un appareil infecté, ainsi que les voleurs de données, y compris les malwares financiers. Ces conclusions sont le résultat du travail de l’équipe de recherche antimalware de Kaspersky Lab, compilées dans son rapport annuel de virusologie.

Les chiffres clés du paysage des menaces mobiles 2015 :
·         884 774 nouveaux programmes malicieux ont été détectés, soit trois fois plus qu’en 2014 (295 539).
Le nombre de Trojans bancaires mobiles a diminué à 7 030, alors qu’ils étaient 16 586 en 2014.
·         94 344 utilisateurs uniques ont été attaqués par un ransomware mobile, soit cinq fois plus qu’en 2014 (18 478).

Explosion du nombre de ransomwares
2015 a été l’année des ransomwares. Une fois un appareil infecté, l’application malicieuse le bloque grâce à une fenêtre pop-up annonçant que l’utilisateur a commis un acte illégal. Pour débloquer son appareil, il doit payer une rançon pouvant aller de 12$ à 100$.

La part d’utilisateurs de produits Kaspersky Lab pour mobiles attaqués par un ransomware est passée de 1,1% à 3,8% entre 2014 et 2015. 156 pays sont concernés par ces attaques, avec en haut de la liste la Russie, l’Allemagne et le Kazakhstan. Le malware Trojan-Ransom.AndroidOS.Small et sa modification, Trojan-Ransom.AndroidOS.Small.o étaient les plus actifs en Russie et au Kazakhstan. Small.o a été le ransomware mobile le plus répondu et détecté l’année dernière. Le nombre de modifications d’applis de ransomware a été multiplié par 3,5, prouvant que les fraudeurs voient un intérêt toujours plus grand à gagner de l’argent grâce au chantage.

En 2016, les malwares vont probablement gagner en complexité et le nombre de modifications va augmenter, augmentant en parallèle le nombre de zones géographiques touchés.

Quand les malwares prennent les pleins pouvoirs (et droits d’accès)
Près de la moitié des 20 plus importants Trojans de 2015 étaient des programmes malicieux diffusant des publicités intrusives sur des appareils mobiles. Les plus répandus l’année dernière étaient les Trojans Fadeb, Leech, Rootnik, Gorpro et Ztorg. Les fraudeurs derrière ces programmes ont utilisé toutes les méthodes à leur disposition pour les propager, à travers des bannières web malicieuses, des faux jeux et d’autres applications légitimes publiées dans des marketplaces légitimes. Dans certains cas, ils étaient présentés comme des logiciels légitimes préinstallés sur l’appareil.

Certaines de ces applis ont la capacité de s’approprier des “super” droits d’accès ou l’accès root. Cela permet aux cyber criminels de disposer de possibilités quasi infinies de modifier les informations stockées sur l’appareil de leur victime. Si l’installation est réussie, il devient presque impossible de supprimer le malware, même après un reset aux paramètres d’usine. Les malwares mobiles pouvant s’octroyer l’accès root sont connus depuis 2011, avec un pic de popularité l’année dernière auprès des cyber criminels. Cette tendance devrait se confirmer en 2016.

Mettre son argent en sécurité
Les Trojans bancaires sont de plus en plus complexes, en dépit d’une diminution du nombre de modifications. La mécanique de ces applis malicieuses n’a pas changé : après avoir infiltré l’appareil ou le système d’un client, le malware se superpose à la page ou à l’application d’une banque. Cependant, l’échelle à laquelle ces malwares peuvent être utilisés s’est accrue en 2015. Maintenant, les cyber criminels peuvent attaquer les clients de douzaines de banques situées dans des pays différents en utilisant un seul type de malware, alors que par le passé ils auraient utilisé des applications malicieuses capables d’attaquer un seul établissement bancaire, voire deux, dans quelques pays. Un exemple d’application aux victimes multiples est le Trojan Acecard, qui dispose d’outils pour attaquer plusieurs douzaines de banques et de services web.

« Avec l’avènement des technologies mobiles, les cyber criminels sont entrés dans une logique de monétisation qui transcende les plates-formes. C’est pourquoi il n’y a rien de surprenant à enregistrer un accroissement de l’activité des ransomwares et autres malwares sur mobiles.  Certains utilisateurs pourraient être tentés de payer, mais cela ne fait que renforcer le modèle des criminels sans aucune garantie de récupérer ses données ou les pleins pouvoirs sur son appareil. Pour limiter les risques, la prudence et la prévention restent encore et toujours la meilleure des protections. » explique Tanguy de Coatpont, directeur de Kaspersky Lab France.

Alerte sur la croissance considérable du malware mobile
Même son de cloche pour Intel Security qui vient de publier un nouveau rapport, intitulé ‘McAfee Labs Threat Report’, sur l’évolution du paysage des menaces ciblant les environnements mobiles.

Tandis qu’historiquement, les cybercriminels concentraient principalement leurs efforts sur les attaques de postes fixes et de PC portables, Intel Security pointe du doigt l’augmentation spectaculaire du nombre de malwares sophistiqués ciblant aujourd’hui les appareils mobiles. L’étude indique qu’au cours des 6 derniers mois, 3 millions d’appareils ont été touchés uniquement par des malwares qui se propagent via les AppStores.

En outre, il a été constaté une nouvelle augmentation de 24 % d’échantillons de malwares mobiles au cours du dernier trimestre 2015 par rapport au trimestre précédent. Parmi les autres chiffres : 37 millions d’échantillons de malware mobile identifié par Intel Security au cours de 6 derniers mois. Plus d’1 million d’URL redirigeant vers des sites malveillants ont été enregistrées sur 4 millions de dispositifs mobiles. Plus de 155 % de ransomwares en 2015 par rapport à l’année passée. 780 millions d’accessoires connectés dans le monde d’ici 2018, là où il en était recensé 500 millions en 2015. « Les appareils mobiles prennent une place prépondérante dans la vie numérique des consommateurs, notamment dans l’usage de services sensibles (banques, achats, etc.). Il est important de veiller à la mise en place d’une protection anti-malware efficace afin de mieux sécuriser les données des utilisateurs », précise John Giamatteo, vice-président chez Intel Security. « Intel Security est très impliqué dans la lutte contre les menaces mobiles, y compris à travers sa collaboration avec des constructeurs grand public, telle que Samsung, pour les aider à mieux intégrer la sécurité en native au sein de leurs produits et permettre aux consommateurs de surfer dans un monde connecté en toute sécurité ».

Antivirus, backdoor, cryptolocker, Cyber-attaque, Cybersécurité, escroquerie, Logiciels, Mise à jour, Particuliers, Piratage, Sécurité, Smartphone, Social engineering

Infection des entreprises, +20 % en 1 mois

2 commentaires

Les menaces qui pèsent sur les réseaux des entreprises s’aggravent de jour en jour : le risque d’infection par des logiciels malveillants augmente de 17 %, tandis que le nombre de familles de logiciels malveillants actives augmente de 25 %, en un mois seulement.

Un spécialiste de solutions informatique liée à la sécurité, vient de mettre en exergue la gravité des menaces qui pèsent sur les réseaux des entreprises. Entre le constat effectué en novembre et décembre 2015, le risque d’infection des entreprises par des logiciels malveillants a augmenté de 17 %, tandis que le nombre de familles de logiciels malveillants actives a augmenté de 25 %. Ce qui montre l’importance de la menace grandissante, Infection en hausse en aussi peu de temps… Sur 142 pays, la France est au 59ème rang des pays les plus exposés au risque en décembre 2015. Les dernières attaques du  ransomware locky en sont malheureusement un bel exemple.

L’entreprise a pu collecter ces informations détaillées sur les menaces grâce à sa ThreatCloud World Cyber Threat Map, qui recense des cyberattaques du monde entier en temps réel. Ainsi, Check Point a identifié plus de 1 500 familles de logiciels malveillants différentes au cours du mois de décembre, contre 1 200 le mois précédent. La tendance souligne clairement le niveau de menace croissant auquel les entreprises font face pour protéger leur réseau.

Comme les mois précédents, l’infection Conficker reste le type de logiciel malveillant le plus répandu, représentant 25 % de toutes les attaques connues durant cette période, soit nettement plus que Sality en seconde position, qui représentait 9 % des attaques. Conficker, et la variante Necurs en troisième position, sont spécialisés dans la désactivation des services de sécurité pour rendre les réseaux plus vulnérables, les compromettre encore plus, et les utiliser pour déclencher des attaques DDoS et d’envoi de spam.

Le top dix des familles de logiciels malveillants représentait 60 % de toutes les attaques reconnues de décembre, les trois principales étant :

1.       Conficker – 25 % de toutes les attaques reconnues à lui seul. Les machines infectées par Conficker sont contrôlées par un botnet. Il désactive également les services de sécurité, laissant les ordinateurs encore plus vulnérables à d’autres infections.

2.       Sality – Virus permettant d’effectuer des opérations à distance et de télécharger des logiciels malveillants supplémentaires dans les systèmes infectés par son opérateur. Son objectif principal est de rester actif dans un système pour le télécommander et installer d’autres logiciels malveillants.

3.       Necurs – Utilisé comme porte dérobée pour télécharger des logiciels malveillants sur des machines infectées et désactiver leurs services de sécurité pour échapper à toute détection.

L’étude a également identifié les logiciels malveillants mobiles les plus répandus au cours de décembre 2015, et précise de nouveau que les attaques contre les appareils Android sont plus courantes que pour iOS. Le top trois des logiciels malveillants mobiles était :

Xinyin – Un cheval de Troie de fraude aux clics qui cible principalement des sites publicitaires chinois.
AndroRAT – Un logiciel malveillant capable de se déguiser en application mobile légitime et de s’installer à l’insu des utilisateurs, permettant à un pirate de contrôler entièrement des appareils Android à distance.
Ztorg – Un cheval de Troie utilisant les privilèges root pour télécharger et installer des applications sur des téléphones mobiles à l’insu de leurs utilisateurs.

Nathan Shuchami, Head of Threat Prevention déclare : « L’augmentation du nombre de logiciels malveillants actifs au cours de décembre souligne la gravité des menaces qui pèsent sur les réseaux et les données confidentielles des entreprises. Par conséquent, les entreprises devraient placer la cybersécurité au premier rang de leurs priorités pour 2016, tandis que les cybercriminels continuent de trouver de nouvelles façons d’attaquer les réseaux, afin d’être tout aussi résolus à se protéger. »

Des attaques qui peuvent largement être bloquées par des services tels qu’AltoSpam et autres services de filtre anti-spam.

backdoor, Banque, Chiffrement, cryptage, Cybersécurité, Entreprise, Paiement en ligne

Applications bancaires : La France touchée par le code Acecard

Le Trojan Acecard menace les utilisateurs de plus de 30 applications bancaires et de paiement sur Android. La France dans le top 5 des pays les plus touchés.

L’équipe de recherche antimalware de Kaspersky Lab a détecté l’un des chevaux de Troie bancaires les plus dangereux jamais observés sur la plate-forme Android. Le malware Acecard est en effet capable de s’attaquer aux utilisateurs de près d’une cinquantaine d’applications et de services de finance en ligne, en contournant les mesures de sécurité de Google Play.

Au cours du troisième trimestre 2015, les experts de Kaspersky Lab ont repéré une augmentation inhabituelle du nombre d’attaques contre des services bancaires mobiles en Australie. Cela leur a paru suspect et très vite ils ont découvert que cette recrudescence était principalement imputable à un seul et même Trojan bancaire : Acecard.

La famille de chevaux de Troie Acecard utilise la quasi-totalité des fonctionnalités malveillantes aujourd’hui disponibles, qu’il s’agisse de s’approprier les messages (textes ou vocaux) d’une banque ou de superposer aux fenêtres des applications officielles de faux messages qui simulent la page d’authentification officielle afin de tenter de dérober des informations personnelles et des identifiants de compte. Les plus récentes versions de la famille Acecard peuvent s’attaquer aux applications clients d’une trentaine de systèmes bancaires et de paiement. Sachant que ces chevaux de Troie sont en mesure de maquiller toute application sur commande, le nombre total d’applications financières attaquées est peut-être bien supérieur.

En dehors des applications bancaires, Acecard peut détourner les applications suivantes avec des fenêtres de phishing :

·         messageries instantanées : WhatsApp, Viber, Instagram, Skype ;
·         réseaux sociaux : VKontakte, Odnoklassniki, Facebook, Twitter ;
·         Client de messagerie Gmail ;
·         application mobile PayPal ;
·         applications Google Play et Google Music.

Le malware, détecté pour la première fois en février 2014, n’a cependant montré pratiquement aucun signe d’activité malveillante pendant une période prolongée. Tout a changé en 2015 lorsque les chercheurs de Kaspersky Lab ont remarqué un pic dans les attaques : de mai à décembre 2015, plus de 6000 utilisateurs ont été ciblés par ce cheval de Troie, la plupart d’entre eux se trouvant en Russie, Australie, Allemagne, Autriche et France.

Pendant leurs deux années d’observation, les chercheurs de Kaspersky Lab ont été témoins du développement actif du cheval de Troie. Ils ont ainsi enregistré au moins dix nouvelles versions du malware, chacune présentant une liste de fonctions malveillantes nettement plus longue que la précédente.

Applications bancaires : Google Play attaqué
Les appareils mobiles ont généralement été infectés après le téléchargement d’une application malveillante imitant une application authentique. Les variantes d’Acecard sont généralement diffusées sous le nom de Flash Player ou PornoVideo, même si d’autres appellations sont parfois employées dans le but de les faire passer pour des logiciels utiles et répandus.

Il ne s’agit toutefois pas de la seule méthode de diffusion de ce malware. Le 28 décembre 2015, les experts de Kaspersky Lab ont repéré une version du module de téléchargement d’Acecard – Trojan-Downloader.AndroidOS.Acecard.b – sur la boutique officielle Google Play. Le cheval de Troie se propage sous l’apparence d’un jeu. Une fois le malware téléchargé depuis Google Play, l’utilisateur ne voit qu’une icône Adobe Flash Player sur le bureau et aucune trace de l’application installée.

Qui se cache derrière Acecard ?
Après avoir étudié de près le code malveillant qui se cache dans ces Applications bancaires, les experts de Kaspersky Lab sont enclins à penser qu’Acecard est l’œuvre du même groupe de cybercriminels déjà responsable du premier cheval de Troie TOR pour Android, Backdoor.AndroidOS.Torec.a, et du premier ransomware de cryptage mobile, Trojan-Ransom.AndroidOS.Pletor.a.

Cette conclusion s’appuie sur la présence de lignes de code similaires (noms de méthodes et de classes) et l’utilisation des mêmes serveurs de commande et de contrôle (C&C). Cela tend à prouver qu’Acecard a été créé par un groupe criminel puissant et chevronné, très probablement russophone.

« Ce groupe cybercriminel utilise pratiquement chaque méthode existante pour propager le Trojan bancaire Acecard. Celui-ci peut être diffusé sous l’aspect d’un autre programme, via des boutiques d’applications officielles, ou par l’intermédiaire d’autres chevaux de Troie. Une caractéristique distinctive de ce malware est sa capacité à se superposer à plus de 30 systèmes bancaires et de paiement en ligne mais aussi des applications de réseaux sociaux, de messagerie instantanée ou autres. La combinaison des capacités et des modes de propagation d’Acecard font de ce cheval de Troie bancaire mobile l’une des menaces les plus dangereuses pour les utilisateurs aujourd’hui », avertit Roman Unuchek, analyste senior en malware chez Kaspersky Lab USA.

Afin de prévenir une infection, quelques recommandations :
–          Ne pas télécharger ou/et installer d’applications depuis Google Play ou des sources internes si elles ne sont pas dignes de confiances ou ne peuvent être traitées comme telles.
–          Ne pas consulter de pages web suspectes présentant des contenus particuliers et ne pas cliquer sur des liens suspects.
–          Installer une solution de sécurité fiable sur les appareils mobiles, par exemple Kaspersky Internet Security for Android.
–          Veiller à ce que les bases de données antivirales soient à jour et fonctionnent correctement.

Android, backdoor, Cybersécurité, Logiciels, Sécurité, Smartphone, Social engineering, Tor

Une attaque contre les smartphones Android via SMS

Durant plusieurs jours, de faux SMS ont tenté de piéger les utilisateurs de téléphones portables sous Android.

Étonnante attaque informatique découverte par une société belge. Un SMS annonçait la réception d’un fichier multimédia. Un message malveillant diffusé, ces derniers jours, à des milliers de propriétaires de téléphones portables sous Android. Les spécialistes de chez Heimdal n’indiquent pas si l’attaque a visé des populations particulières.

L’idée de cette tentative d’infiltration, inciter le lecteur du SMS à cliquer sur un lien. Le message « You have received a multimedia message from XXXXXX Follow the link XXXXX/mms.apk to view the message« . L’url renvoyait sur plusieurs serveurs piégés, comme mmsforyou. J’ai pu en découvrir plusieurs autres comme adobe-flash-player.

Derrière cette attaque, un fichier .apk, une application piégée. Elle installe une version de « TOR » sur le téléphone. Le code malveillant alerte ensuite son auteur, en Iran (sic!), via un simple message « Thank you« . D’après l’alerte, le pirate « peut alors le contrôler et faire ce qu’il veut.« 

Argent, Arnaque, backdoor, Base de données, Chiffrement, Cyber-attaque, Cybersécurité, Entreprise, Fraude au président, Fuite de données, Leak, Particuliers, Piratage, pourriel, Social engineering, spam

Poseidon : un groupe de pirates informatiques opérant sur terre, dans les airs et en mer

Poseidon, une campagne de piratage ciblant des établissements financiers ainsi que des opérateurs de télécommunications, des fabricants, des compagnies d’énergie et des groupes médias. La France visée par l’attaque.

L’équipe GREaT (Global Research & Analysis Team) de Kaspersky Lab annonce la découverte du groupe Poseidon, une menace avancée active dans des opérations internationales de cyber espionnage depuis au moins 2005. L’originalité de Poseidon est qu’il s’agit d’une entité commerciale, dont les attaques font appel à des malwares personnalisés, signés numériquement avec des certificats pirates et déployés dans le but de dérober des données sensibles aux victimes et de les racketter. En outre, le malware est conçu pour fonctionner spécifiquement sur les machines Windows en anglais et en portugais brésilien, une première pour une attaque ciblée.

Au moins 35 entreprises victimes ont été identifiées, les principales cibles étant des établissements financiers et des administrations, des opérateurs de télécommunications, des fabricants, des compagnies d’énergie et d’autres réseaux de services collectifs, ainsi que des groupes médias et des agences de relations publiques. Les experts ont également détecté des attaques contre des sociétés proposant leurs services à des cadres supérieurs. Les victimes du groupe Poseidon se trouvent dans les pays suivants :

  • Etats-Unis
  • France
  • Kazakhstan
  • Emirats Arabes Unis
  • Inde
  • Russie

Cependant, la répartition des victimes penche très nettement vers le Brésil, où bon nombre d’entre elles réalisent des opérations via des joint-ventures ou des partenaires.

L’une des caractéristiques du groupe Poseidon réside dans l’exploration active des réseaux d’entreprise sur la base des noms de domaine. Selon le rapport d’analyse consulté par DataSecurityBreach.fr, Poseidon recourt à des e-mails de spear-phishing accompagnés de documents RTF/DOC, comportant généralement un appât sur le thème des ressources humaines, qui installent un fichier binaire malveillant dans le système cible lorsque le destinataire clique dessus. Un autre trait marquant est la présence de chaînes de caractères en portugais du Brésil. La prédilection du groupe pour les systèmes lusophones, comme le révèlent les échantillons, est une pratique inédite.

Une fois un ordinateur infecté, le malware rend compte à des serveurs de commande et de contrôle, avant d’entamer une phase complexe de déplacements latéraux à l’intérieur du réseau de l’entreprise. Cette phase fait souvent intervenir un outil spécialisé qui collecte automatiquement et systématiquement un grand nombre d’informations (identifiants, règles de sécurité, voire journaux système) afin de mieux cibler les attaques suivantes et d’assurer la bonne exécution du malware. De la sorte, les auteurs des attaques savent quelles applications et commandes utiliser sans alerter l’administrateur du réseau pendant leur exploration et leur exfiltration.

Les informations rassemblées sont ensuite exploitées par une organisation de façade pour racketter les entreprises victimes en les contraignant à engager Poseidon comme consultant en sécurité, sous peine de voir utiliser les informations dérobées dans une série de transactions louches au profit du groupe.

« Le groupe Poseidon est une équipe de vétérans intervenant sur tous les théâtres d’opérations : terre, air et mer. Certains de ses centres de commande sont implantés chez des fournisseurs d’accès Internet desservant des navires en mer, des connections sans fil ou encore des opérateurs classiques », commente Dmitry Bestuzhev, Directeur de l’équipe GREaT de Kaspersky Lab en Amérique latine. « En outre, plusieurs de ses implants présentent une durée de vie très courte, ce qui a permis à ce groupe de sévir aussi longuement sans se faire repérer. »

Le groupe Poseidon étant en activité depuis au moins 10 ans, les techniques de conception de ses implants ont évolué, ce qui complique pour de nombreux chercheurs la mise en corrélation des indicateurs et l’assemblage des pièces du puzzle. Cependant, en réunissant soigneusement tous les indices, en étudiant la signature de la menace et en reconstituant la chronologie des attaques, les experts ont pu établir vers la mi-2015 que des traces détectées précédemment mais non identifiées appartenaient bien à la même menace, c’est-à-dire le groupe Poseidon.