Archives de catégorie : backdoor

Android, Argent, Arnaque, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Leak, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie

Cybersécurité : Les Chevaux de Troie bancaires mobiles atteignent un niveau historique

Une société de cybersécurité constate lors de ces trois derniers mois que les chevaux de troie ont atteint le haut de la pile des cyber casse-tête.

Cybersécurité – Le nombre de packs d’installation pour les services bancaires mobiles – permettant d’apporter des modifications qui aident les attaquants à éviter la détection par les solutions de sécurité – a atteint plus de 61 000. Cela représente un sommet historique ; Plus du triple par rapport au premier trimestre de 2018, et plus du double par rapport au premier trimestre de 2017.

Les Chevaux de Troie mobiles sont les malwares les plus impopulaires, créés pour voler de l’argent directement depuis les comptes en banque.

Les Etats-Unis, la Russie et la Pologne sont les 3 pays avec la plus grande proportion d’utilisateurs ciblés par les malwares bancaires mobiles.

Le Cheval de Troie Hqwar est la principale source de cette croissance, avec plus de la moitié des modifications enregistrées relatives à ce malware.

De tels chiffres pour les malwares bancaires mobiles peuvent s’expliquer par l’augmentation de l’intérêt pour les malwares mobiles de manière générale (+ 421 000 sur Q2).

61 045

C’est le nombre de chevaux de Troie bancaires mobiles enregistrés sur le 2e trimestre 2018. Le pic le plus haut jusqu’alors datait de Q4 2016 et n’atteignait pas 40 000.

351 913 075

URLs uniques reconnues comme malveillantes (+24% par rapport à Q1) par des composants antivirus web.

215 762

C’est le nombre de tentatives d’infections par malware ayant pour but de voler de l’argent.

962 947 023

Attaques malveillantes en provenance de ressources en ligne de 187 pays du monde repoussées par Kaspersky ce trimestre (+20% par rapport à Q1).

backdoor, BYOD, Communiqué de presse, cryptomonnaie, Cybersécurité, Entreprise, Securite informatique

Cryptojacking : le danger des objets connectés résidentiels

Un commentaire

Un nouveau rapport de sécurité révèle que les objets connectés résidentiels constituent une nouvelle cible pour le cryptojacking.

Quasiment aucune entreprise n’échappe à un exploit majeur : l’analyse des événements critiques souligne une tendance inquiétante : 96% des entreprises ont subi au moins un incident majeur de sécurité. En clair, les entreprises, dans leur quasi-totalité, cèdent au moins une fois aux attaques des cybercriminels. De plus, près d’un quart des entreprises ont été confrontées à un malware de cryptojacking, tandis que six variantes de malwares ont, à elles seules, impacté plus de 10 % de toutes les organisations. FortiGuard Labs a également identifié 30 nouvelles vulnérabilités zero-day sur ce trimestre.

Le cryptojacking s’en prend aux objets connectés résidentiels : pour renforcer le minage des crypto-monnaies, les objets connectés résidentiels – et notamment les dispositifs multimédias – sont désormais ciblés. Ces dispositifs présentent un attrait certain compte tenu de leurs ressources informatiques importantes pouvant être détournées à des fins malveillantes. Les assaillants tentent ainsi d’inoculer un malware qui assurera un minage permanent, puisque ces appareils sont généralement toujours actifs. De plus, leurs interfaces sont exploitées en tant que navigateurs web modifiés, ce qui étend le nombre de vulnérabilités et de vecteurs de minage. La segmentation devient ainsi essentielle pour cloisonner ces dispositifs personnels si leurs utilisateurs les connectent à des réseaux d’entreprise.

La créativité des cybercriminels au service des botnets : la tendance en matière de botnets illustre comment les cybercriminels maximisent l’impact de ce type de malware grâce à de multiples actions malveillantes. WICKED, une nouvelle variante du botnet Mirai, s’est ainsi enrichi de trois nouveaux exploits pour cibler les objets connectés non patchés. VPNFilter, l’attaque sophistiquée qui cible les environnements industriels SCADA/ICS grâce à une surveillance des protocoles MODBUS, est devenue une menace majeure qui exfiltre les données et peut mettre à l’arrêt un dispositif, voire un groupe de dispositifs. La variante Anubis du malware Bankbot a fait l’objet de plusieurs innovations : elle agit en tant que ransomware et enregistreur de frappe, mais peut également assurer une fonction de cheval de Troie (avec accès distant malveillant), intercepter des SMS, verrouiller les écrans et transférer des appels. Ces évolutions au niveau des attaques doivent être suivies précisément, grâce notamment à une veille pertinente sur les menaces.

Cryptojacking, malware and co !

Les concepteurs de malware misent sur un développement agile : les malwares ont longtemps été polymorphes pour éviter de se faire détecter. Les récentes attaques soulignent une adoption des pratiques de développement agile pour rendre la détection des malwares plus complexe et contourner les toutes dernières fonctions des produits anti-malware. GandCrab compte déjà plusieurs versions cette année et ses concepteurs continuent à le faire évoluer rapidement. L’automatisation des attaques, tout comme les méthodes de développement agile, pose un réel défi aux organisations ciblées, ces dernières ne disposant pas toujours du savoir-faire nécessaire pour contrer des menaces toujours plus furtives. Le développement agile utilisé par les cybercriminels incite à déployer des fonctions évoluées de protection et de détection pour combattre ces attaques de nouvelle génération.

Un ciblage efficace des vulnérabilités : les cybercriminels sélectionnent avec précision les vulnérabilités qu’ils souhaitent exploiter. Ces dernières sont sélectionnées compte tenu de leur prévalence et du volume d’exploits détectés : ainsi seules 5,7% des vulnérabilités connues sont réellement exploitées. Mais si la majorité d’entre elles ne seront pas exploitées, elles doivent néanmoins être restaurées proactivement par les entreprises.

L’utilisation des applications dans les secteurs de l’enseignement et des services publics : lorsqu’on compare le nombre d’applications utilisées par secteur d’activité, l’utilisation d’applications SaaS dans le secteur public surperforme la moyenne de 108%. D’autre part, ce secteur est devancé par celui de l’enseignement sur le critère du nombre total d’applications utilisées chaque jour, ce chiffre étant de 22,5% et 69% supérieur à la moyenne, respectivement. Le besoin pour un panel diversifié d’applications explique le taux d’utilisation plus important sur ces deux secteurs d’activité. Il s’agira néanmoins de décloisonner ces différentes applications au sein des environnements multi-cloud, pour renforcer la visibilité et appliquer les fonctions de sécurité. (Merci à Fortinet)

Argent, Arnaque, backdoor, Banque, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, DDoS, escroquerie, Fuite de données, ID, Identité numérique, Leak, Particuliers, Piratage, ransomware, Securite informatique

Cybermenaces : Que font les pirates en 1 minute ?

Cybermenaces : Les pirates feraient perdre plus de 1 million de dollars par minute dans leurs actions malveillants.

Alors que les cybercriminels et les cybermenaces ont coûté 600 milliards de dollars à l’économie mondiale l’an dernier, la société RiskIQ, spécialiste dans la gestion des menaces numériques, a fait appel à des recherches exclusives pour examiner le volume croissant d’activités malveillantes sur Internet.

L’étude montre que, dans une seule minute employée par les pirates informatique du globe, 1 138 888 dollars sont perdus. Dans ce même laps de temps, 1 861 personnes sont victimes d’un acte de piratage. Malgré les efforts des entreprises pour se protéger contre les cybermenaces externes, en dépensant jusqu’à 171 233 dollars en 60 secondes aux USA, les pirates continuent à proliférer et à lancer des campagnes malveillantes.

« Alors qu’Internet et sa communauté continuent de croître à un rythme rapide, le ciblage de la menace se développe également à grande échelle« , déclare à DataSecurityBreach.fr le PDG de RiskIQ, Elias Manousos.

Les tactiques d’attaque

Les méthides d’attaques ? Elles vont des logiciels malveillants au phishing en passant par les attaques de chaînes d’approvisionnement ciblant des tiers. Les motivations pirates incluent l’argent, les dommages à la réputation à grande échelle, la politique et l’espionnage. Les cybercriminels continuent de réussir à déployer des tactiques à partir de 1 274 logiciels malveillants uniques (par minute) et à déployer plus de neuf publicités piégées.

Activités malveillantes

Selon la société américaine RiskIQ, toutes les minutes, 1,5 entreprises de part le monde touchée par un ransomware. Coût moyen pour les entreprises : 15 221 $. (corrections, pertes …) ; En une minute, 17 applications mobiles se retrouvent sur liste noire. 21 nouveaux domaines sont créés pour du phishing et un nouveau site utilisateur (volontaire ou non) du script d’extraction de crypto-monnaie CoinHive voit le jour.

Apple, backdoor, Cyber-attaque, Cybersécurité, ios, Logiciels, Mise à jour, OS X, Piratage, Securite informatique, Smartphone

Un ancien hacker de la NSA démontre une faille majeure dans macOS

2 commentaires

La société Apple est généralement considérée comme étant une marque fiable, proposant une sécurité accrue. Un ancien hacker de la NSA démontre une faille majeure dans macOS. Elle permet le contournement des mécanismes de sécurité !

Faille majeure pour Apple ! Lors des conventions de cybersécurité Def Con/Black Hat qui se sont tenues à Las Vegas, début août, Patrick Wardle, un ancien Ninja de la NSA, fondateur de la société DigitaSecurity, a présenté des exemples d’attaques visant les produits Apple, et plus précisément macOS.

D’abord, Patrick Wardle est aussi généreux que doué. Il a expliqué comment un pirate pouvait contourner la plupart des mécanismes de sécurité mis en œuvre par Apple pour protéger macOS.

Wardle explique que les logiciels malveillants peuvent échapper aux méthodes de sécurité en les ciblant au niveau de l’interface utilisateur.

Chez Apple, les avertissements et autres autorisations à la moindre action font partis de l’écosystème des produits de la firme Californienne. Un mécanisme de défense contre les clics indésirables.



Faille majeure

Ensuite, Wardle affirme qu’il est possible d’exploiter ces avertissements en modifiant la façon dont macOS convertit les clics de clavier en clics de souris. Étant donné que macOS interprète deux actions de la souris comme équivalant à cliquer sur OK, il est donc possible d’écrire une ligne de code supplémentaire pour éviter qu’un avertissement n’apparaisse à l’écran. En abusant des nombreuses interfaces de macOS, un code peut s’executer via un code malveillant qui permettra d’ignorer les avertissements. Wardles a baptisé cette action « Synthetic Click ». Des attaques que l’ancien hacker de la National Security Agency a expliqué lors de la Def Con via des attaques automatisées visant macOS Sierra.

Cependant, Wardle a déclaré que les exploits ne permettent pas à un pirate d’accéder initialement à un appareil Mac, mais qu’ils pourraient exploiter efficacement le sandboxing.

Une possibilité qui laisserait aux applicationx malveillantes de quoi obtenir des autorisations de niveau supérieur. De son côté, Apple a confirmé les correctifs adequates dans son nouveau OS, macOS Mojave.

Pour conclure, Patrick Wardle propose, via sa société, l’outil Do Not Disturb. Une application qui permet d’avertir le propriétaire d’un MacBook en cas d’accès non autorisé. L’application tourne sous iPhone.

Elle permet de surveiller votre ordinateur portable afin de détecter les événements ouverts et vous avertir en temps réel, via une photographie par exemple.

Android, Antivirus, APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Logiciels, Piratage, ransomware, Sécurité, Securite informatique, Smartphone, Virus

Les malwares les plus actifs en France en juillet 2018

3 commentaires

Le Global Threat Index pour le mois de juillet 2018 affiche le top 10 des virus et codes malveillants les plus répandus en France.

Ce dernier rapport virus et malware met en lumière l’augmentation des attaques ciblant l’IoT et la vulnérabilité des réseaux, comme en témoigne l’entrée dans le Top 10 des « Vulnérabilités les plus exploitées au monde » de 3 vulnérabilités en lien avec l’IoT : MVPower DVR router Remote Code Execution (5ème place), D_Link DSL-2750B router Remote Command Execution (7ème place) et Dasan GPON router Authentication Bypass (10ème place).

Au total, ce sont 45% des entreprises du monde entier qui ont été touchées par des attaques ciblant des vulnérabilités en lien avec l’IoT, contre 35% en juin 2018 et 21% en mai. Ces dernières permettent aux cybercriminels d’exécuter des codes malveillants dans le but d’obtenir le contrôle à distance de dispositifs cibles.

Point d’entrée facile

« Ces vulnérabilités, malwares et et virus offrent aux cybercriminels un point d’entrée facile dans les réseaux d’entreprise, ce qui leurs permet de propager un large éventail d’attaques « , a commenté Thierry Karsenti, vice-président technique Europe pour Check Point. « Une fois qu’un dispositif est compromis, il est très facile d’infiltrer d’autres dispositifs connectés. Il est donc essentiel que les entreprises se protègent efficacement et à tous les niveaux.« 

Il est important de noter que Coinhive reste le « malware » le plus répandu dans le monde, avec un impact sur 19% des entreprises mondiales. Cryptoloot et Dorkbot se classent respectivement en deuxième et troisième position, avec un impact global de 7% chacun. Pour rappel, CoinHive n’a rien d’illégal. C’est son utilisation par des malveillants qu’il faut montrer du doigt.

Top 10 des virus et malwares

Nom du malware Description Impact mondial Impact sur le pays
1 – Coinhive Ce cheval de Troie est conçu pour effectuer l’extraction en ligne de la crypto-monnaie Monero lorsqu’un internaute visite une page Web. Le script java implanté utilise les ressources informatiques des utilisateurs finaux pour extraire de la monnaie cryptée. 18.60% 16.02%
2 – Roughted Campagne de publicité malveillante à grande échelle, elle est utilisée pour diffuser divers sites Web et charges embarquées malveillants tels que des escroqueries, des logiciels publicitaires, des kits d’exploitation de vulnérabilité et les logiciels de rançon. Il peut être utilisé pour attaquer n’importe quel type de plateforme et de système d’exploitation, et utilise le contournement des bloqueurs de publicités pour attaquer de la manière la plus efficace. 5.85% 11.60%
3 – Cryptoloot Ce malware utilise la puissance du processeur ou du GPU de la victime et les ressources existantes pour le crypto-mining, en ajoutant des transactions à la chaîne de blocage et en libérant de nouvelles devises. Similaire à Coinhive, ce programme est implanté sur des pages Web et utilise le pouvoir de traitement des internautes pour exploiter tous types de crypto-monnaies. 92829 6.92% 7.07%
4 – Conficker Conficker est un virus / ver informatique qui cible le système d’exploitation Windows. Il exploite les vulnérabilités de l’OS pour voler des données telles que des mots de passe. Ainsi, il prend le contrôle des ordinateurs touchés, les transformant en « zombie ». Les ordinateurs contrôlés forment alors un réseau, utile aux hackers. 3.50% 4.09%
5 – Jsecoin Ce mineur JavaScript peut être intégré à n’importe quel site Web.  JSEcoin permet de lancer un mineur directement dans le moteur de recherche en échange d’une navigation Web sans publicité. 5.92% 3.76%
6 – Dorkbot Dorkbot est un virus / ver basé sur un IRC conçu pour permettre l’exécution de code à distance, ainsi que le téléchargement de logiciels malveillants vers le système déjà infecté. Ce dernier permet de voler des informations sensibles et de lancer des attaques par déni de service. Il installe un rootkit en mode utilisateur pour empêcher l’affichage ou l’altération des fichiers et modifie le registre pour s’assurer qu’il s’exécute chaque fois que le système démarre. Il enverra des messages à tous les contacts de l’utilisateur infecté ou détournera un thread existant pour diffuser un lien renvoyant vers la copie du ver. 6.91% 2.98%
7 – Locky Locky est un cheval de Troie ransomware qui cible la plate-forme Windows. Ce logiciel malveillant envoie des informations système à un serveur distant et reçoit une clé de cryptage permettant de crypter les fichiers présents sur le système infecté. 1.72% 2.10%
8 – Fireball Fireball est un logiciel publicitaire largement distribué par la société chinoise de marketing numérique Rafotech. C’est un détourneur de navigateur qui change le moteur de recherche par défaut et installe des pixels de suivi, mais qui peut aussi servir à télécharger des logiciels malveillants. 3.02% 1.99%
9 – Nivdort Appartenant à la famille de chevaux de Troie ciblant la plate-forme Windows, il est capable de recueillir des mots de passe et des informations sur le système ou les paramètres telles que la version Windows utilisée, l’adresse IP, la configuration du logiciel et l’emplacement approximatif. Certaines versions de ce malware sont aussi en mesure de collecter les frappes de touches afin de modifier les paramètres DNS. Nivdort se propage via des pièces jointes de courriers indésirables ou des sites Web malveillants. 2.57% 1.88%
10 – Andromeda Repéré pour la première fois en 2011, Andromeda est un bot modulaire principalement utilisé comme porte dérobée afin de diffuser des logiciels malveillants supplémentaires sur les systèmes infectés. Il peut aussi être modifié dans le but de créer différents types de botnets. 6.35% 1.66%
10b – Ramnit Ramnit est un ver qui se propage principalement par l’intermédiaire de disques amovibles et de fichiers téléchargés vers des services FTP publics. Le logiciel malveillant crée une copie de lui-même pour infecter le système. 2.71% 1.66%

 

APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Hacking, Piratage, Securite informatique

TEMP.Periscope : Des pirates Chinois, amateurs d’éléctions présidentielles ?

4 commentaires

Il n’y aurait pas que les pirates Russes amateurs d’éléctions ? Le groupe d’espionnage chinois TEMP.Periscope cible le Cambodge avant les élections de juillet 2018, et révèle un large éventail d’activités au niveau mondial.

TEMP.Periscope – La société américaine FireEye, une des « sources » des médias concernant les « pirates Russes« , annonce avoir examiné une série d’activités du groupe d’espionnage chinois TEMP.Periscope, qui révèlent un intérêt majeur pour les événements politiques au Cambodge, illustré par des cyber attaques actives contre de multiples acteurs cambodgiens liés au système électoral du pays. Ceci comprend des cyber attaques contre des entités gouvernementales cambodgiennes chargées du contrôle des élections, ainsi que le ciblage de figures de l’opposition. Cette campagne a lieu alors que se préparent les élections générales dans le pays, qui auront lieu le 29 juillet prochain. TEMP.Periscope a utilisé la même infrastructure pour une série d’activités visant des cibles plus traditionnelles, dont l’industrie de la défense aux Etats Unis et une société de l’industrie chimique en Europe. Voir notre article précédent consacré au ciblage par le même groupe de sociétés d’ingénierie et de transport maritime aux Etats Unis.

Gloabalement, selon FireEye, cette activité indique que le groupe exploite une importante architecture d’intrusion et un large éventail d’outils, et cible des victimes très diverses, ce qui est en ligne avec la stratégie traditionnelle des acteurs chinois en matière d’APT (menaces persistantes avancées). Nous pensons que cette activité fournit au gouvernement chinois une visibilité étendue sur les élections cambodgiennes et les actions du gouvernement de ce pays. De plus, ce groupe est clairement capable de mener simultanément plusieurs intrusions à grande échelle ciblant un large éventail de types de victimes.

Notre analyse a également renforcé notre affirmation que ces activités peuvent être attribuées à ce groupe de pirates chinois. Nous avons observé les outils que nous avions précédemment attribués à ce groupe, les cibles visées sont en ligne avec ses actions passées et sont également très similaires aux operations APT connues menées par le Chine. En outre, une adresse IP originaire de Hainan en Chine a été enregistrée pour des activités C2 (command and control).

TEMP.Periscope en bref

Actif depuis au moins 2013, TEMP.Periscope s’est principalement intéressé à des cibles du secteur maritime dans de nombreux domaines, dont l’ingénierie, le transport, la fabrication, la défense, les agences gouvernementales et la recherche universitaire. Toutefois, le groupe a également ciblé des services de consulting et les industries high tech, de la santé et des medias. Ses cibles identifiées sont principalement basées aux Etats Unis, même si des organisations en Europe et au moins une à Hong Kong ont également été touchées. TEMP.Periscope coincide en termes de ciblage, ainsi que de tactiques, techniques et procédures (TTPs), avec le groupe TEMP.Jumper.

Description de l’incident

FireEye a analysé trois serveurs qu’il pense être contrôlés par TEMP.Periscope, ce qui lui a permis d’obtenir des informations sur les objectifs et les tactiques opérationnelles du groupe, ainsi qu’un grand nombre de données techniques d’attribution/validation. Ces serveurs était “open indexés” et donc accessibles par quiconque sur l’Internet public, sans exiger la moindre identification. Ce type d’erreur permet d’obtenir des informations intéressantes sur les activités d’un groupe car, à la différence de données contenues dans des messages de spear phishing, des acteurs malveillants n’anticipent pas que ces données puissent être analysées. L’analyse de FireEye couvre la période allant d’avril 2017 jusqu’à aujourd’hui, la plupart des opérations actuelles étant concentrées sur les élections au Cambodge. Pour l’heure, nous retenons les domaines concernés.

Deux serveurs, Domain 1 et Domain 2, fonctionnent comme des serveurs C2 et des sites d’hébergement traditionnels, alors que le troisième, Domain 3, fonctionne comme un serveur SCANBOX actif. Les serveurs C2 contenaient à la fois les logs et le malware. Une étude des trois serveurs a révélé une adresse IP d’un acteur potentiel située à Hainan en Chine, et des données volées provenant d’attaques potentielles ciblant d’autres industries et secteurs dont l’éducation, l’aviation, la chimie, la défense, les administrations gouvernementales, le monde maritime et le high tech dans de multiples régions du monde. Les fichiers sur les serveurs comprenaient des malwares nouveaux (DADBOD, EVILTECH) et précédemment identifiés (AIRBREAK, EVILTECH, HOMEFRY, MURKYTOP, HTRAN, and SCANBOX ) utilisés par TEMP.Periscope.

Attaques sur les entités liées aux élections cambodgiennes

L’analyse des logs des victimes associées avec les serveurs identifiés a révélé des attaques ciblant de multiples entités cambodgiennes, principalement celles liées aux élections de juillet 2018. De plus, un email de spear phishing séparé analysé par FireEye a mis en évidence une action simultanée ciblant des figures de l’opposition au Cambodge. L’analyse a révélé que des organisations gouvernementales cambodgiennes et des individus ciblés avaient été attaqués comme la Commission Nationale des Elections, Ministère de l’Intérieur, Ministères des Affaires Etrangères et de la Coopération Internationale, Sénat du Cambodge, Ministère de l’Economie et des Finances. Des membres du Parlement représentant le Parti cambodgien du Sauvetage National. De multiples personnalités cambodgiennes partisans des droits de l’homme et de la démocratie ayant écrit des articles critiquant le parti actuellement au pouvoir. Deux diplomates cambodgiens en poste à l’étranger et de multiples organes de presse au Cambodge.

Le Domain 2 a été identifié comme le serveur C2 pour un malware AIRBREAK attaché à un message leurre envoyé à Monovithya Kem, Directeur Général Adjoint, Affaires Publiques, Parti Cambodgien du Sauvetage National (CNRP), et à la soeur de Ken Sokha, leader (emprisonné) d’un parti cambodgien de l’opposition. Le document leurre prétend provenir de LICADHO (une ONG cambodgienne fondée en 1992 pour promouvoir les droits de l’homme).

Une infrastructure également utilisée pour des opérations contre des entreprises privées

’infrastructure décrite plus haut a également été utilisée contre des entreprises privées en Asie, en Europe et en Amérique du Nord. Ces entreprises appartiennent à des industries très diverses, dont l’éducation, l’aviation, la chimie, le monde maritime et le high tech. Beaucoup de ces attaques sont en ligne avec les activités précédentes de TEMP.Periscope en direction des secteurs du maritime et de la défense. Toutefois, nous avons également découvert une attaque visant une société européenne dans la chimie très implantée en Asie, ce qui démontre que ce groupe est une menace pour des entreprises partout dans le monde, et particulièrement celles ayant des intérêts en Asie.

Un malware MURKYTOP de 2017 et des données contenues dans un fichier lié au domain 1 suggère qu’une entreprise impliquée dans l’industrie de la défense aux Etats Unis, peut être en lien avec la recherche maritime, a également été attaquée. De plus, des attaques probables d’une entreprise du secteur américain de la défense et d’une entreprise européenne dans la chimie ayant des bureaux en Asie ont été découvertes sur les serveurs “open indexés”.

Les Downloaders et Droppers AIRBREAK révèlent des indicateurs leurres

Les noms de fichiers pour les downloaders AIRBREAK trouvés sur les sites “open indexés” suggèrent aussi un intérêt marqué pour des cibles associées à la géopolitique liée à l’Asie orientale. De plus, l’analyse des sites downloaders AIRBREAK a révélé un serveur associé qui souligne l’intérêt de TEMP.Periscope pour la politique au Cambodge. Les downloaders AIRBREAK redirigent les victimes vers les sites indiqués pour afficher un document légitime mais leurre tout en téléchargeant un contenu malveillant AIRBREAK à partir d’un des serveurs C2 identifiés. A noter que le site hébergeant les documents légitimes n’a pas été compromis. Un domaine C2 supplémentaire, partyforumseasia[.]com, a été identifié comme la fonction de rappel (callback) pour un downloader AIRBREAK référençant le Parti Cambodgien du Sauvetage National.

Le serveur SCANBOX utilisé pour prévoir des opérations futures

e serveur SCANBOX actif, Domain 3, héberge des articles liés à la campagne actuelle au Cambodge et à des opérations plus larges. Les articles trouvés sur le serveur indiquent le ciblage d’intérêts liés à la géopolitique Etats Unis – Asie orientale, à la Russie et à l’OTAN. Les victimes sont probablement attirées sur le serveur SCANBOX soit via une attaque stratégique de site web soit via des liens malicieux dans des emails ciblés, l’article étant présenté comme un leurre. Les articles proviennent de contenus open source disponibles directement en ligne.

La suite de malwares de TEMP.Periscope

L’analyse du catalogue de malwares contenus sur les trois serveurs révèle une suite classique de contenus malveillants utilisés par TEMP.Periscope, dont les signatures d’AIRBREAK, MURKYTOP, et de HOMEFRY. De plus, l’enquête de FireEye a révélé de nouveaux outils, EVILTECH et DADBOD.

Les données contenues dans les logs renforcent l’attribution à la Chine

FireEye suit les activités de TEMP.Periscope depuis 2013 et de multiples facteurs nous conduisent à affirmer qu’il agit au nom du gouvernement chinois. Notre analyse des serveurs et des données associées dans cette dernière campagne renforcent cette affirmation. Les données du log d’accès au panneau de contrôle indique que les opérateurs sont probablement basés en Chine et travaillent sur des ordinateurs fonctionnant en langue chinoise. Les cibles historiques de TEMP.Periscope restent cohérentes avec les objectifs du gouvernement chinois, et les outils qu’il utilise sont cohérents avec ceux utilisés par de nombreuses autres équipes chinoises. Un log sur le serveur a révélé des adresses IP qui avaient été utilisées pour se connecter au logiciel employé pour communiquer avec le malware implanté sur des machines victimes. L’une de ces adresses IP, 112.66.188.xx, est située à Hainan, en Chine. D’autres adresses appartiennent à des serveurs virtuels privés, mais des éléments indiquent que les ordinateurs utilisés pour se connecter sont configurés pour fonctionner en chinois.

Perspectives et Implications

Les operations révélées ici fournissent un nouvel éclairage sur les activités de TEMP.Periscope. Nous connaissions déjà l’intérêt de cet acteur pour les affaires maritimes, mais cette campagne malveillante apporte des indications supplémentaires indiquant que ce groupe va cibler le système politique de pays possédant une importance stratégique. Le Cambodge a été un supporter fiable de la position de la Chine dans le Sud de la Mer de Chine au sein de forums internationaux tels que l’ASEAN, et figure parmi les partenaires importants du pays. Bien que le Cambodge soit classé comme Autoritaire dans le Democracy Index de The Economist, le récent renversement surprise du parti au pouvoir en Malaisie peut motiver la Chine à surveiller étroitement les élections du 29 juillet au Cambodge.

Le ciblage de la commision électorale est particulièrement significatif, en raison du rôle stratégique qu’elle joue pour inciter les gens à voter. Nous n’avons pas encore suffisamment d’informations expliquant pourquoi cette organisation a été attaquée – simplement pour récolter des informations ou dans le cadre d’une opération plus complexe. Quelle que soit la raison, cet incident est l’exemple le plus récent de l’implication aggressive d’un état nation dans les processus électoraux dans le monde. Bien que des activités liées à des élections aient seulement été découvertes en Asie du Sud Est, ce serait une erreur d’assumer que ces menaces ne peuvent pas se reproduire ailleurs.

Nous pensons que TEMP.Periscope va continuer à cibler un large éventail d’entités gouvernementales, d’organisations internationales et d’entreprises privées, particulièrement celles travaillant dans l’ingénierie ou des processus chimiques utilisés par des navires. Nous ne pensons pas qu’il va modifier beaucoup voire même un seul élément révélé par cette enquête, mais il continuera probablement à développer de nouvelles architectures d’intrusion via de nouveaux domaines, sites compromis, certificats et outils. FireEye prévoit que ces intrusions vont se poursuivre et monter en puissance aussi longtemps que le groupe y trouvera un intérêt.

backdoor, Bitcoin, Chiffrement, Cybersécurité, Securite informatique, Social engineering

Plus fort qu’un ransomware, le cryptominage devient le summum du lucratif

Un commentaire

À la différence d’un rançongiciel, ou ransomware, qui exige la participation des victimes, le cryptominage pirate, ou cryptojacking,est très difficile à détecter et s’exécute sur les systèmes informatiques quasiment à l’insu de leurs utilisateurs.

La cybercriminalité est une activité extrêmement lucrative : cette économie florissante génèrerait chaque année, si l’on en croit de récentes estimations, 1 500 milliards de dollars de recettes. Un montant astronomique dont les cybercriminels font leurs choux gras, d’autant plus que le retour sur investissement maximal est obtenu au prix d’un minimum d’efforts et que les risques de sanctions encourues sont quasi-nuls.

Dans ce contexte, il n’est guère surprenant que le cryptojacking, c’est-à-dire l’emploi non autorisé des ressources informatiques d’un tiers pour fabriquer (ou miner) de la cryptomonnaie, ait ravi au ransomwarela première place au classement des outils favoris des cybercriminels Le ransomware a en également souffert de la volatilité du BitCoin avec son modèle économique basé sur des attaques rapides et répétées ciblant des paiements modiques

Alliés à la recherche continue de nouvelles techniques d’attaques toujours plus rentables, ce contexte a hissé le cryptojackingen tête des enjeux de sécurité informatique en 2018, que ce soit pour les entreprises ou les particuliers. Examinons en détail les facteurs à l’origine de ce basculement.

Rentabilité accrue

Unis dans le minage… Sachant que la capitalisation boursière des cryptomonnaies avoisine les 500 milliards de dollars, le cryptojackings’avère extrêmement intéressant pour les cybercriminels : il ne nécessite pas de compétences techniques poussées et, contrairement aux rançongiciels, offre une rentabilité potentielle de 100 %. Une fois compromise, la machine infectée peut aussitôt s’atteler au minage de cryptomonnaie en mode furtif, indépendamment de sa puissance de traitement ou de sa localisation géographique : même les systèmes d’entrée de gamme servent cette cause puisque c’est l’envergure du réseau de machines compromises et, par conséquent, la puissance de calcul totale qui importent vraiment. De plus, si les assaillants réfrènent leurs ardeurs et adaptent leur programme de minage de manière à ne pas ponctionner l’intégralité des ressources processeur (jusqu’à mettre hors service votre appareil sous Android), l’attaque peut se poursuivre par des moyens détournés et passer inaperçue durant un long moment.

Surface d’attaque omniprésente

Une plate-forme de minage unique… L’omniprésence de la surface d’attaque représente un autre aspect important. Qui que vous soyez, où que vous vous trouviez, le minage est à votre portée… Peu importe que le « mineur », ce composant malveillant, soit injecté dans un appareil mobile, un ordinateur personnel, un serveur, une instance dans le cloud, voire un objet connecté (appareil photo, réfrigérateur ou ventilateur). Quel que soit le système d’exploitation, les assaillants peuvent tirer parti de ses cycles processeur à des fins illégitimes. Même des objets connectés dotés d’une puissance de traitement limitée peuvent faire l’affaire : le botnet Mirai nous a appris ce dont sont capables des réseaux IoT œuvrant de concertpar milliers, simultanément. Et ce n’est pas une coïncidence si une variante a été testéepour le minage de cryptomonnaie ; ce même botnet a d’ailleurs donné naissance à Satori, un fork infectant les plates-formes de minage pour mieux dérober les identifiants à leurs propriétaires. De fait, le piratage de multiples objets connectés s’avère lucratif : d’après de récentes estimationsl’infection de 15 000 accessoires connectés à Internet permet de fabriquer l’équivalent de 1 000 dollars en cryptomonnaie en quatre jours seulement. Pas mal du tout, sachant que d’ici à 2020, il faudra composer avec plus de 20 milliardsd’objets connectés.

Mécanismes d’infections multiples

Tous les chemins mènent à la mine… La rentabilité élevée et l’omniprésence de la surface d’attaque ne sont pas les seuls facilitateurs du cryptojacking. Étant donné que des « mineurs » malveillants peuvent être injectés dans la quasi-totalité des appareils, de multiples vecteurs d’infections peuvent être utilisés : les attaques par force brute, les vulnérabilités non corrigées ou les sites web compromis (cryptominage furtif) font partie des techniques employées jusqu’à présent. Jetez un œil à lachronologiedes cyberattaques relevées mensuellement, et vous serez surpris par la créativité dont font preuve les assaillants toujours soucieux de trouver de nouveaux moyens de perpétrer des attaques de type cryptojacking.

La compromission des serveurs s’exerce de diverses manières pour l’injection de « mineurs » : depuis les attaques « classiques » par force brute utilisant des authentifiants par défaut (exemple d’une campagne récente ciblant plusieurs milliers de sites Magento) jusqu’à l’exploitation de vulnérabilités non corrigées sur Oracle WebLogic (CVE 2017-10271), Apache Struts (CVE-2017-5638), DotNetNuke (CVE-2017-9822), OrientDB (CVE-2017-11467), Jenkins CI (CVE-2017-1000353), les serveurs JBoss (CVE-2017-12149) et Apache Solr (CVE-2017-12629), entre autres exemples.

Les vulnérabilités non corrigées servent également à la compromission de clients, créant de nouvelles machines esclaves pour les botnets cryptomineurs. Le botnet Smomirnu et le maliciel Wannamine sont deux exemples de menaces exploitant la triste célèbre vulnérabilité EternalBlue (CVE-2017-144) pour se propager. Même des logiciels malveillants existants peuvent être réécritspour miner de la cryptomonnaie, ou pour ajouter cette « fonctionnalité » à d’autres.

En réalité, les postes clients sont encore plus exposés puisqu’ils peuvent miner des cryptodevises rien qu’en consultant une page web hébergeant un mineur JavaScript ; c’est le cas de Coinhive, qui mine une cryptomonnaie baptisée Monero (XMR). La principale raison est que, hormis la préservation de l’anonymat assurée par cette blockchain, l’algorithme servant au calcul des hashcodes, baptisé Cryptonight, a été conçu pour une exécution optimale avec des processeurs grand public(quelle coïncidence !). Une occasion bien trop favorable pour ne pas être saisie par des criminels constamment aux aguets, en quête de vulnérabilités leur permettant d’injecter Coinhive : Los Angeles Timeset Blackberry Mobilesont deux exemples de sites web de renom ayant été compromis à cette fin en 2018. Sans parler des discrètes options d’opt-in proposées par Coinhive qui n’ont jamais été respectées dans ces cas de figure.

Pour autant, il ne s’agit là que de la partie émergée de l’iceberg, l’ampleur, l’omniprésence et la constance des campagnes de cryptominage pirate ne faisant que se renforcer au fil de vos pérégrinations sur Internet. Le mode opératoire aujourd’hui adopté par les cybercriminels est du même ordre que la publicité malveillante (minevertising), se caractérisant par l’injection de code Coinhive dans des publicités diffusées par des plates-formes telles qu’AOL ou Google DoubleClick (deux exemples se sont produits en 2018). Que l’utilisateur quitte la page compromise ou ferme son navigateur (ou, du moins, pense le fermer) n’a même aucune importance puisque le code malveillant peut être dissimulé dans une minuscule fenêtre non sollicitée s’affichant à l’arrière-plan (« pop-under »), derrière la barre des tâches Windows, le rendant omniprésent et invisible à l’utilisateur. Dans certains cas, des extensions malveillantes de navigateur ont également injecté(es)Coinhive directement dans ce dernier.

Rôle du cloud

Le soleil finit toujours par percer les nuages… Sur la listedes cinq attaques les plus dangereuses présentée par le SANS Institute lors de la dernière RSA Conference figurent à la fois les fuites de données stockées dans le cloud et la monétisation des systèmes compromis via des cryptomineurs. Les fuites dans le cloud sont souvent la conséquence de configurations inadéquates (autorisations inappropriées ou absence de protection adéquate par mot de passe). Outre le vol de données, ces mêmes erreurs de configurations peuvent être mises à profit par des escrocs pour faire monter en régime leurs propres instances et miner ainsi de la cryptomonnaie aux dépens de la victime, en ayant la quasi-certitude que cette dernière ne détecte rien. Du moins jusqu’à ce qu’elle reçoive sa facture d’électricité. La redoutable association des deux techniques d’attaques répertoriées par le SANS Institute a d’ores et déjà fait certaines victimes de renom, comme Tesla, dont le cloud public a servi au minage de cryptomonnaie.
Il faut également composer avec d’autres risques. Les mineurs peuvent faire appel à des services cloud connus pour s’infiltrer plus rapidement au sein des entreprises (l’équipe Netskope Threat Research Labs a mis au jour un mineur Coinhive résidant sur une instance Microsoft Office 365 OneDrive for Business), ou se soustraire à la détection (commeZminerqui télécharge des charges utiles depuis le service de stockage cloud Amazon S3).

Recommandations d’ordre général

Quelques mesures peuvent être prises pour contrer la menace grandissante du cryptojacking.

1. Régir l’usage du web au moyen d’une plate-forme de protection contre les menaces effective à plusieurs niveauxcomme Netskope for Web, capable d’unifier la sécurité SaaS, IaaS et web de manière centralisée.

2. Détecter les cryptomineurs dans le cloud et y remédier, au moyen d’une solution CASBsensible aux menaces telle que Netskope : veiller au respect de règles régissant l’utilisation de services non autorisés, ainsi que d’instances non autorisées de services cloud autorisés afin de bloquer les attaques hybrides sur plusieurs niveaux dès lors que la charge utile est téléchargée d’un service cloud.

3. Exemples de règles à faire appliquer :
• Analyser tous les transferts opérés vers des applications cloud autorisées à partir d’équipements non administrés afin d’y rechercher d’éventuels logiciels malveillants.
• Analyser tous les transferts opérés vers des applications cloud autorisées à partir d’équipements distants afin d’y rechercher d’éventuels logiciels malveillants. Analyser tous les téléchargements effectués à partir d’applications cloud non autorisées dans cette même optique.
• Analyser tous les téléchargements effectués à partir d’instances non autorisées d’applications cloud autorisées afin d’y rechercher d’éventuels logiciels malveillants. Appliquer des actions de mise en quarantaine/blocage sur la détection de logiciels malveillants afin de réduire l’impact côté utilisateurs.
• Bloquer les instances non autorisées d’applications cloud autorisées/connues afin d’empêcher les assaillants d’abuser de la confiance des utilisateurs dans le cloud. Si cette mesure peut sembler restrictive, elle limite considérablement les tentatives d’infiltration de malwares via le cloud.

4. Déployer une solution CASB capable de réaliser une évaluation de sécurité continueet d’effectuer un suivi de votre configuration IaaS/PaaS. Autrement dit de prendre en compte les configurations d’infrastructure inadéquates et les vulnérabilités susceptibles d’entraîner des compromissions et l’installation ultérieure de cryptomineurs, ou d’instances malveillantes destinées au minage de cryptomonnaie.

5. Bien évidemment, faire en sorte de mettre en place un processus de gestion efficace des correctifs pour les clients et les serveurs. Vérifier que l’antivirus d’entreprise est à jour, et que les dernières versions et les derniers correctifs sont installés.

6. Favoriser l’utilisation responsable des ressources de l’entreprise :
• Rappeler aux utilisateurs de ne pas exécuter de macros non signées, ni des macros provenant d’une source non fiable, à moins qu’ils ne soient absolument certains de leur caractère inoffensif
• Rappeler aux utilisateurs de ne pas exécuter de fichier, à moins qu’ils ne soient absolument certains de leur caractère inoffensif
• Mettre en garde les utilisateurs contre l’ouverture de pièces jointes, quels que soient les extensions ou noms de fichiers

7. Les bloqueurs de publicités ou extensions de navigateur comme NoScriptpeuvent contribuer à mettre obstacle au cryptominage pirate. Certaines extensions de navigateur publiées récemment peuvent bloquer des mineurs JavaScript comme CoinHive ; prenez soin, néanmoins, de n’installer des extensions dignes de confiance, celles qui se révèlent douteuses étant également couramment employées pour injecter des cryptomineurs à l’intérieur du navigateur directement.

8. Les administrateurs peuvent créer des règles de pare-feu pour bloquer les pools de bitcoins dont il est question dans l’article Wikipedia. (Paolo Passeri, Global Solutions Architech chez Netskope)

backdoor, Communiqué de presse, Cybersécurité, Mise à jour, Patch, Securite informatique

Malware Zacinlo : outil pour fraude publicitaire

2 commentaires

Un nouveau malware appelé Zacinlo, spécialisé dans la fraude publicitaire découvert. Il infecte le PC de l’utilisateur pour ensuite ouvrir des sessions de navigateur invisibles dans le but de charger des bannières publicitaires et de simuler des clics sur ces dernières, ou encore remplacer les publicités naturelles dans le navigateur par celles du pirate pour détourner les revenus publicitaires générés.

Cet adware a plusieurs caractéristiques qui ont attiré l’attention  :

  • Zacinlo contient un driver de type rootkit, qui se protège lui-même ainsi que ses autres composants. Celui-ci peut stopper des processus jugés dangereux pour le fonctionnement de l’adware, tout en empêchant son arrêt ou sa suppression. Les chercheurs ont également relevé la présence de fonctionnalités « man-in-the-browser » qui interceptent et déchiffrent les communications SSL. Cela permet à l’adware d’injecter du code JavaScript personnalisé dans les pages Internet visitées par l’utilisateur. Les malwares basés sur des rootkits sont EXTRÊMEMENT rares, et constituent généralement moins de 1% des menaces habituelles. Ils sont également très difficiles à éliminer car ils s’intègrent profondément au système d’exploitation.
  • Zacinlo inclut un programme de nettoyage d’adware, utilisé pour éliminer la « concurrence » potentielle pour l’espace publicitaire. Il est plutôt générique et ne cible pas de famille ou de type d’adware en particulier.
  • Il collecte des informations à propos de l’ordinateur infecté. Par exemple, si un logiciel antivirus est installé ou non (et si oui, lequel), quelles applications se lancent au démarrage, etc.
  • Il prend des captures d’écran et les envoie au serveur de commande et contrôle pour analyse. Cette fonctionnalité menace la vie privée des victimes car les captures d’écran peuvent contenir des informations sensibles telles que des e-mails, des conversations privées, des identifiants ou des coordonnées bancaires.
  • Il peut faciliter l’installation de quasiment n’importe quel nouveau logiciel de manière transparente, sans arrêter de fonctionner et ainsi étendre ses fonctionnalités.
  • Il ajoute ou remplace des publicités lors de la navigation en cherchant des objets de type « DOM » par taille, par style, par classe ou expressions régulières spécifiques.
  • Il extrait des publicités de plusieurs plateformes, dont Google AdSense.
  • Il ouvre des pages Internet en arrière-plan dans des fenêtres cachées, et interagit avec elles comme un utilisateur normal : en les faisant défiler, en cliquant et en utilisant le clavier. Il s’agit d’un comportement typique des fraudes publicitaires, qui inflige d’importants dommages financiers aux plateformes publicitaires en ligne.
  • Zacinlo utilise énormément de projets et de bibliothèques Open-Source (ex : chromium, cryptopop, jsoncpp, libcef, libcurl, zlib).
  • Il utilise des scripts Lua pour télécharger différents composants (très certainement afin de passer inaperçu aux yeux de certains programmes antivirus qui détectent les téléchargements suspects et les bloquent).
  • Il dispose d’un design extrêmement paramétrable et hautement modulaire, ce qui lui permet d’étendre ses fonctionnalités grâce à des scripts et des fichiers de configuration disponibles via les infrastructures de commande et contrôle.

Ce malware est présent principalement aux États-Unis et semble avoir une certaine affinité pour Windows 10. La France et l’Allemagne font également partie des pays qui en sont victimes, bien que le nombre d’infections soit un peu plus bas qu’aux États-Unis jusqu’ici.  Un livre blanc édité par BitDefender détaille ce nouveau malware ICI .

backdoor, cryptage, Cybersécurité, Securite informatique

La plateforme de jeux Steam visée par un schéma de fraude

Des analystes ont mis en lumière un schéma de fraude qui a permis à un cybercriminel de gagner des millions de roubles. Ce dernier, masqué sous le pseudo « Faker » a développé un système de « location de malwares » sur abonnement. Parmi les victimes de ce schéma frauduleux, de nombreux joueurs de la plateforme de divertissement Steam.

« Faker » utilise plusieurs méthodes. Le schéma principal qu’il a développé est appelé MaaS (Malware-As-a-Service). Il représente un système de location de programmes malveillants sur abonnement. Les « clients » de « Faker » qui souhaitent utiliser ce système n’ont rien à fournir à part de l’argent et, parfois, un nom de domaine : le créateur de virus leur fournit le Trojan demandé, l’accès au panneau d’administration et au support technique. Les chercheurs de Doctor Web estiment que sa solution « clé en main » lui a rapporté des millions de roubles.

Ce qu’ont gagné les « clients » reste à l’appréciation de chacun, sachant que l’argent dépensé en un mois d’abonnement peut être récupéré en un jour. Tous les logiciels malveillants créés par « Faker » représentent une menace pour les utilisateurs de la plateforme de jeux Steam.

Steam, une plateforme développée par Valve Corporation, distribue des jeux et programmes numériques. Un utilisateur enregistré sur Steam accède à un espace personnel avec tous les jeux et applis qu’il a achetés. Il est également possible d’effectuer des achats sur la boutique en ligne de Steam, ainsi que de vendre et d’échanger des objets de collection. Ces objets ont une valeur clé dans plusieurs jeux multi joueurs. Armes, munitions, et d’autres objets permettent au joueur de modifier son apparence et la représentation de ses possessions dans un jeu. Ces éléments peuvent être échangés sur des sites spécifiques ainsi qu’achetés ou vendus en monnaie réelle. Ceci représente la base sur laquelle « Faker » a construit son activité criminelle.

Une de ses méthodes pour gagner de l’argent implique une soi-disant « roulette ». C’est ainsi que les joueurs en réseau appellent les enchères au cours desquelles les participants listent simultanément plusieurs objets de collection. La possibilité de gagner dépend de la somme engagée par les participants et le gagnant remporte tous les objets mis aux enchères. Ce qui est frauduleux est que le joueur véritable se trouve en face de bots qui sont sûrs de remporter l’enchère. Parfois, une victime potentielle se voit proposer l’administration d’un de ces jeux et est également « autorisé » à gagner plusieurs fois avant la mise en jeu d’éléments chers qui sont sûrs d’être perdus au profit des cybercriminels.

Le panneau d’administration des « roulettes » permet une configuration flexible du design du site d’enchères et de ses contenus affichés ; il permet la modification des noms et textes dans le chat, le contrôle des mises et l’affichage des objets mis en jeu par les autres joueurs. Il peut également servir à contrôler tout le système de « roulette ». Par ailleurs, « Faker » prête ses logiciels malveillants à d’autres cybercriminels. L’un de ces malwares nommé Trojan.PWS.Steam.13604 a été créé pour voler les données des comptes des utilisateurs de Steam. Après un mois d’abonnement, le créateur du malware fournit aux cybercriminels un fichier malveillant assemblé spécialement pour eux ; il leur donne également l’accès au tableau de bord.

Le Trojan est diffusé par différentes méthodes. L’une d’entre elles utilise l’ingénierie sociale : un utilisateur Steam reçoit un message lui disant que plusieurs membres de la communauté ont besoin d’un nouveau joueur pour former une équipe. Après une partie collective et dans le but d’une future collaboration, la victime est invitée à télécharger et à installer un client pour passer des appels. Les cybercriminels envoient à la victime un lien vers un faux site web pour télécharger l’appli. Lorsque la victime clique sur le lien, un Trojan masqué derrière un programme est téléchargé.

Si la victime potentielle utilise déjà TeamSpeak, elle reçoit une adresse de serveur utilisé par une équipe de joueurs pour communiquer. Après s’être connectée à ce serveur, la victime voit s’afficher une fenêtre de dialogue invitant à mettre à jour un des composants de TeamSpeak et un driver de sous-système audio. Déguisé derrière cette mise à jour, le malware est téléchargé sur l’ordinateur. Lorsqu’il se lance, le Trojan décharge le processus de Steam (si ce processus n’est pas le sien) puis trouve le chemin vers le répertoire Steam, la langue de l’application et le nom de l’utilisateur. Si l’un des fichiers système de Steam est disponible, Trojan.PWS.Steam.13604 en extrait des paires représentant des identifiants steamid64 et des noms de comptes. Puis le malware envoie l’information à son serveur de commande et contrôle. Ceci inclut la version de l’OS, le nom de la machine et de l’utilisateur, la langue de l’OS, le chemin vers Steam, la langue de l’appli etc.

Lorsque les actions qui lui sont commandées sont effectuées, le malware supprime le fichier original de Steam et se copie lui-même à sa place. Pour empêcher l’utilisateur de mettre à jour Steam et d’accéder au support technique, le Trojan modifie le contenu du fichier hôte en bloquant l’accès aux sites web steampowered.com, support.steampowered.com, store.steampowered.com, help.steampowered.com, forums.steampowered.com, virustotal.com, etc. Puis le Trojan.PWS.Steam.13604 affiche une fausse fenêtre d’authentification Steam. Si l’utilisateur entre ses identifiants, le malware tente de les utiliser pour s’authentifier sur Steam. S’il y parvient et que Steam Guard – un système d’authentification à deux facteurs, destiné à protéger les comptes utilisateurs – est activé sur l’ordinateur, il affiche une fausse fenêtre où entrer le code d’authentification. Toutes ces données sont envoyées sur le serveur des cybercriminels.

Le créateur du virus utilise le même serveur de commande et contrôle pour tous ses « clients ». Les données obtenues forment un fichier que les cybercriminels utilisent pour accéder aux comptes Steam. L’interface du panneau d’administration du Trojan.PWS.Steam.13604 est la suivante :

« Faker » loue également un autre Trojan qu’il a créé. Il apparaît comme Trojan.PWS.Steam.15278 dans la nomenclature Dr.Web. Il est distribué de la même façon et son objectif est de voler des inventaires de jeu. Les cybercriminels peuvent vendre les objets virtuels qu’ils ont volé aux autres joueurs. Le créateur du virus fait de la publicité pour son « service de location » de ce malware sur des forums spécialisés.

Pour fonctionner, le Trojan.PWS.Steam.15278 utilise Fiddler, un outil gratuit d’analyse de trafic, lorsqu’il est transféré via le protocole http. Son fonctionnement est basé sur le principe du serveur proxy. Fiddler installe un certificat root dans le système, ce qui permet au malware d’intercepter le trafic HTTPS chiffré. Il intercepte également les réponses du serveur et les modifie.

Si un joueur dont la machine est infectée échange des éléments avec d’autres joueurs sur des marchés spécialisés comme opskins.com, igxe.cn, bitskins.com, g2a.com, csgo.tm, market.csgo.com, market.dota2.net et tf2.tm, le malware modifie le destinataire des objets de collection au moment de l’échange.

Voici le fonctionnement du schéma : lorsque l’utilisateur liste les éléments à vendre ou à échanger, le malware se connecte à son compte et vérifie les offres entrantes à intervalles réguliers. Si le joueur reçoit une offre, le malware la supprime, identifie le nom de l’utilisateur, son icône et le texte du message de la requête d’origine puis envoie à la victime exactement la même requête mais depuis le compte des cybercriminels. Concrètement, cet échange est effectué grâce à des injections web : Trojan.PWS.Steam.15278 injecte à des pages web un code malveillant qu’il reçoit de son serveur C&C (Commande & Contrôle). « Faker » est l’auteur d’autres Trojans qui fonctionnent de la même façon et sont déguisés derrière des extensions pour Google Chrome.

Lors de l’échange d’éléments via le site officiel steamcommunity.com, Trojan.PWS.Steam.15278 permet aux cybercriminels de remplacer l’affichage des objets de collection des joueurs. Il modifie les contenus des pages web du site steamcommunity.com de façon à ce que les joueurs voient une offre pour un objet très cher et très rare. Si un joueur accepte l’offre, il recevra en réalité un objet banal et bon marché. Il est également pratiquement impossible de revenir sur la transaction après coup parce que le serveur considère que le joueur a accepté l’échange. Voici une illustration de ce schéma frauduleux : sur le site steamcommunity.com, le joueur dont la machine est infectée verra qu’un autre joueur offre soi-disant d’échanger un objet de collection appelé « PLAYERUNKNOWN’s Bandana” valant 265,31$. En réalité, une fois le marché conclu, l’utilisateur reçoit « Combat Pants (White) » dont le prix est de 0,03$.

De manière générale, le tableau de bord du Trojan.PWS.Steam.15278 est identique au panneau d’administration de Trojan.PWS.Steam.13604. Cependant, la version mise à jour comporte une section supplémentaire qui permet aux cybercriminels de contrôler la substitution des objets de collection lors des échanges. Ils peuvent configurer les images et les descriptions d’objets destinés à rempacer les vrais objets et à être présentés aux joueurs. Ensuite, les cybercriminels peuvent vendre les objets obtenus illégalement contre de l’argent réel sur les plateformes de commerce réseau.

APT, backdoor, Communiqué de presse, Cybersécurité, Securite informatique

Les fraudes sur les réseaux sociaux augmentent de 200%

2 commentaires

Chaque jour, les chercheurs analysent plus de 5 milliards de messages électroniques, des centaines de millions de messages sur les réseaux sociaux, et plus de 250 millions d’échantillons de logiciels malveillants pour protéger les entreprises du monde entier contre ces menaces.

Le Proofpoint Quarterly Threat Report met en lumière l’évolution des systèmes sophistiqués de menaces, que ce soit à travers les emails, les réseaux sociaux ou plus largement sur internet. Conçu pour mieux combattre les menaces d’aujourd’hui et anticiper les attaques émergentes, il permet de découvrir les tendances du premier trimestre de 2018 en termes de cyberattaques :

Attaques sur les réseaux sociaux et les moteurs de recherche en forte augmentation avec une hausse de phishing

La fraude par les réseaux sociaux, et le  » phishing « , ont explosé au T1 2018, avec une augmentation de 200% par rapport au trimestre précédent. 30 % des enregistrements de domaines liés au Bitcoin étaient suspects, mais les nouveaux enregistrements ont fortement diminué alors que la valeur du Bitcoin a continué à baisser au cours du premier trimestre. 84% des PDG du Fortune 500 ont été victimes de menaces et de discours haineux sur Twitter et sur le dark web en février 2018.

Tendances des menaces par email : les chevaux de Troie bancaires reprennent la première place tandis que le phishing explose

Au premier trimestre, 59% des messages malveillants étaient des chevaux de Troie bancaires.

Pour la première fois depuis le deuxième trimestre 2016, les chevaux de Troie bancaires ont remplacé les ransomwares en tant que principaux logiciels malveillants dans le domaine de la messagerie électronique.

Les voleurs d’informations confidentielles et les adeptes du téléchargement représentaient le reste des menaces malveillantes avec respectivement 19 % et 18 % des courriels malveillants. L’accalmie des ransomwares et les volumes généralement plus faibles d’emails malveillants au premier trimestre semblent être associés à une perturbation du botnet Necurs, mais ont été accompagnés de charges utiles plus diverses, y compris des RAT et des backdoors. Emotet était le cheval de Troie bancaire le plus largement distribué, représentant 57% de l’ensemble des chevaux de Troie identifiés. 40 % des organisations ciblées ont été attaquées entre 10 et 50 fois au T1 2018, et le nombre d’entreprises recevant plus de 50 attaques a augmenté de 20% par rapport au dernier trimestre de 2017.

Menaces sur le Web : Les kits d’exploitation continuent de décliner à mesure que de nouvelles menaces émergent. Le trafic des kits d’exploitation (EK) a continué à baisser de 71 % par rapport au trimestre précédent. Environ 95% des attaques basées sur le Web sont maintenant redirigées vers des schémas d’ingénierie sociale au lieu de kits d’exploitation. Les chercheurs de Proofpoint ont joué un rôle clé dans le naufrage de l’EITest, la plus ancienne chaîne d’infection du web, empêchant jusqu’à deux millions de redirections malveillantes par jour.

Pour plus de détails.

backdoor, Chiffrement, cryptage, Cybersécurité, Justice, loi, OS X, Securite informatique, Téléphonie

La Russie demande à Apple de supprimer Telegram dans l’App Store

La guerre entre l’application Telegram et le gouvernement Russie touche Apple. Apple sommé de retirer l’outil de communication chiffrée de son Apple Store.

L’application de messagerie sécurisée Telegram a été interdite en Russie en avril 2018, mais jusqu’à présent, elle est toujours disponible dans sa version russe sur l’App Store d’Apple. Le gouvernement Poutine vient de demander à APPLE de retirer de sa boutique Telegram.

Effacer la possibilité de le télécharger, mais aussi l’empêcher d’envoyer des notifications push aux utilisateurs locaux. Les autorités indiquent à Apple lui laisser un mois pour se conformer avant d’imposer une sanction plus radicale. Pour rappel, Telegram refuse de fournir aux autorités Russes les clés de déchiffrement. Une/des « master key » qui pourrai(en)t permettre au FSB, les services de renseignement Russes, de surveiller les messages diffusés via Telegram. Dans sa mission de blocage des actions terroristes, via Telegram et autres outils d’anonymisation, la Russie a bloqué 50 services VPN afin de restreindre davantage l’accès à Telegram.

Mais malgré ces efforts, la majorité des utilisateurs en Russie accèdent toujours à l’application, indique Roskomnadzor. Seulement 15 à 30% des opérations de Telegram perturbées jusqu’à présent. Bilan, la Russie se tourne vers Apple pour obtenir de l’aide. Roskomnadzor, piraté il y a quelques jours, annonce que Google est en pourparlers pour interdire l’application sTelegram sur Google Play. Alors qu’Apple a exprimé son soutien pour le chiffrement et la sécurisation des données, la société américaine a également fait des concessions aux demandes locales. En Chine, par exemple, Apple a retiré les applications VPN de son magasin.

En attendant, cela veut-il dire que Telegram possède des clés de déchiffrement permettant de lire les messages transitant par ses services ?

Son système de stockage iCloud a été déplacé vers Guizhou-Cloud Big Data Industry Development Co., Ltd. (GCBD), une entreprise locale liée au gouvernement.

APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Mise à jour, Piratage, Securite informatique

ZooPark : une nouvelle campagne de malware Android propagée par l’infection de sites web légitimes

Des chercheurs en cybersécurité viennent de découvrir ZooPark, une campagne élaborée de cyberespionnage. ZooPark cible depuis plusieurs années les utilisateurs d’appareils Android dans divers pays du Moyen-Orient. Se servant de sites web légitimes comme sources d’infection, cette campagne paraît être une opération étatique visant des organisations politiques, des activistes et d’autres cibles dans la région.

Dernièrement, les chercheurs ont reçu ce qui semblait être un échantillon d’un malware Android inconnu. De prime abord, le malware ne paraissait guère sérieux, tout au plus un outil de cyberespionnage très simple sur le plan technique. Les chercheurs ont alors décidé d’enquêter plus avant et n’ont pas tardé à découvrir une version bien plus récente et complexe du même logiciel, qu’ils ont dénommé ZooPark. Sa cible : le Maroc, l’Egypte, le Liban, la Jordanie et l’Iran.

Certaines applications du code malveillant ZooPark sont diffusées à partir de sites d’actualités ou politiques très consultés dans certaines zones du Moyen-Orient. Elles se dissimulent sous la forme d’applications légitimes portant des noms tels que « TelegramGroups » ou « Alnaharegypt news ». Une fois l’infiltration réussie, le malware offre à l’auteur de l’attaque de nombreuse possibilités. Parmi les actes possibles : Exfiltration des contacts, identifiants de comptes, journaux et enregistrements audio des appels. A cela se rejoute les photos stockées sur la carte SD de l’appareil. Bien entendu, la localisation GPS. Les SMS. Les détails des applications installées, données du navigateur. Enregistrement des frappes clavier et contenu du presse-papiers. La backdoor peut envoyer, discrtement, des SMS. Téléphoner à des numéros, comme des lignes surtaxées.

Une autre fonction malveillante cible les messageries instantanées (Telegram, WhatsApp, IMO), le navigateur web (Chrome) et plusieurs autres applications. Elle permet au malware de dérober les bases de données internes des applications attaquées. Par exemple, dans le cas du navigateur, il s’agit des identifiants enregistrés pour d’autres sites web, susceptibles d’être infectés à la suite de l’attaque.

Les investigations laissent penser que les attaques ciblent en priorité des utilisateurs en Egypte, en Jordanie, au Maroc, au Liban et en Iran. En fonction des thèmes d’actualité choisis par les assaillants pour inciter par tromperie leurs victimes à installer le malware, des membres de l’Office de secours et de travaux des Nations Unies (UNRWA) font partie des cibles potentielles de ZooPark.

« Les utilisateurs sont de plus en plus nombreux à se servir de leur mobile comme principal voire unique moyen de communication. Or cette tendance n’est certainement pas passée inaperçue aux yeux des acteurs malveillants étatiques, qui développent leur arsenal afin de le rendre suffisamment efficace pour pister les utilisateurs mobiles. La menace persistante avancée (APT) ZooPark, qui espionne activement des cibles dans des pays du Moyen-Orient, en est un exemple mais il n’est sans doute pas isolé », commente Alexey Firsh, expert en sécurité chez Kaspersky Lab. Au total, au moins quatre générations du malware espion lié à la famille ZooPark ont été détéctées depuis 2015.

APT, backdoor, Cybersécurité, Mise à jour, Securite informatique

Le ransomware SynAck gagne en complexité pour échapper aux logiciels de sécurité

Des chercheurs ont découvert une nouvelle variante du ransomware SynAck. Il utilise la technique Doppelgänging pour échapper aux logiciels anti-virus en se cachant dans des process légitimes.

SynAck is back ! C’est la première fois que la technique Doppelgänging est utilisée par un ransomware « in the wild ». Les développeurs derrière SynAck font également appel à d’autres stratagèmes pour ne pas être détectés, notamment l’obfuscation de tout le code avant la compilation d’échantillons et la fuite s’ils détectent des signes suggérant un lancement depuis un « sandbox ».

Le ransomware SynAck existe depuis l’automne 2017. En décembre dernier, il ciblait principalement les utilisateurs anglophones via des attaques par force brute RDP (remote desktop protocol) suivies par le téléchargement manuel et l’installation du malware. La nouvelle variante découverte par les chercheurs de Kaspersky Lab exploite une approche bien plus sophistiquée.

Les chercheurs du Kespersky Lab pensent que les attaques utilisant cette nouvelle variante de SynAck sont hautement ciblées. A ce jour, ils ont observé un nombre limité d’attaques aux Etats-Unis, au Koweït, en Allemagne et en Iran, avec des demandes de rançon d’un montant de 3 000 dollars USD.

La technique Doppelgänging permet de faire passer des malwares derrière les lignes de défense et les mesures de sécurité les plus récentes ; c’est une menace majeure que les criminels n’ont pas attendu pour exploiter. « Notre rapport illustre la façon dont le ransomware SynAck, jusqu’ici assez discret, a utilisé cette technique pour gagner en furtivité et accroître sa capacité infectieuse. » explique Anton Ivanov, Lead Malware Analyst, Kaspersky Lab.

APT, backdoor, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Securite informatique

La Thaïlande saisi un serveur exploité les pirates Nord-Coréens Lazarus

Les pirates informatiques du groupe Lazarus, affichés comme Nord-Coréens, auraient perdu un de leur serveur saisi par les autorités thaïlandaises.

Souvenez-vous ! En 2014, un groupe de pirates informatiques prénommé Lazarus Group (Hidden Cobra) s’attaque à Sony Picture. Motif de cette cyberattaque, punir le producteur du film « L’Interview qui tue ». Gros nanar qui se moque du dirigeant nord-coréen Kim Jong-un. Le groupe Lazarus sera étiqueté « Hackers de la Corée du Nord ». Des films, des données sensibles internes, dont des courriels et fiches de paie, avaient été diffusés par les pirates.

Quatre ans plus tard, le ThaïCert (Groupe d’intervention en cas d’urgence informatique ThaiCERT) annonce qu’il avait pris le contrôle d’un équipement utilisé par le Lazarus Group. Un serveur utilisé dans plusieurs importantes. Étonnant que des pirates étatiques exploitent toujours le même espace numérique, et cela depuis 4 ans !

Selon un rapport de McAfee Advanced Threat Research, une campagne appelée opération GhostSecret visait les infrastructures sensibles. Une cyberattaque lancée de ce serveur basé dans les locaux de l’Université Thammasat de Bangkok.

Le ThaiCERT a déclaré travailler avec McAfee pour analyser le serveur compromis afin de comprendre les menaces en cours et d’aider les victimes potentielles. Le rapport détaille la méthode d’attaque inconnue utilisée. Elle est connectée aux opérations récentes impliquant des serveurs en Inde.

backdoor, Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, loi, ransomware, Securite informatique

RGPD cas d’école : hôpital

Un logiciel malveillant a récemment touché plusieurs sites Web de l’hôpital de Floride. Certaines informations patients concernées.

« L’ampleur de cette exposition a été limitée et il a été confirmé qu’aucun dossier financier n’a été affecté » indique le communiqué de presse de l’hôpital de Floride. Une alerte lancée par l’hôpital de Floride à la suite du piratage de plusieurs de ses sites web : FloridaBariatric.com, FHOrthoInstitute.com et FHExecutiveHealth.com. Les espaces web ont été mis hors ligne le temps de la correction (et de l’enquête). Les informations des patients exposées sur FloridaBariatric.com comprennent les noms, les adresses mails, les numéros de téléphone, les dates de naissance, la taille, le poids, les compagnies d’assurance et les quatre derniers chiffres des numéros de sécurité sociale. Pour les deux autres sites, les informations compromises se limitent au nom, à l’adresse courriel, au numéro de téléphone et à à l’ensemble des commentaires fournis par l’individu. Bref, un ransomware activé après un clic malheureux sur un fichier joint !

Antivirus, backdoor, Cyber-attaque, Cybersécurité, DDoS, Logiciels, Piratage, ransomware, Securite informatique

8,4 millions de malwares en 2017

Les experts G DATA ont comptabilisé le nombre de nouveaux codes malveillants sur l’année 2017. Avec l’indice des attaques bloquées ils ont également défini les dangers les plus actifs. Ils communiquent le résultat de leur recherche.

Afin d’avoir une vue d’ensemble de l’évolution quantitative des logiciels malveillants, les types de logiciels malveillants sont comptés en fonction de leur signature. Au-delà du simple comptage, seules les variantes qui partagent les mêmes morceaux de code malveillant sont prises en compte. En 2017, le nombre de nouveaux logiciels malveillants a augmenté de 22,9% par rapport à 2016 pour atteindre 8 400 058.

22 attaques par utilisateur

Le nombre de nouveaux spécimens de programmes malveillants apporte un premier niveau d’information, mais n’indique pas l’activité de ceux-ci. Un seul logiciel malveillant peut en effet avoir plus d’impact que des milliers. Pour définir cet indice de dangerosité des codes, les attaques détectées par les solutions G DATA sont remontées et comptabilisées. La moyenne des attaques sur le second semestre 2017 pour 1000 utilisateurs est de 119,4. Autrement dit, chaque jour, un utilisateur d’une solution G DATA sur huit, est confronté à une attaque bloquée. Cela représente en moyenne 22 attaques par utilisateur sur le second semestre 2017.

 

backdoor, Chiffrement, Communiqué de presse, Cybersécurité, Securite informatique

Le cybercrime aurait coûté près de 600 milliards de dollars à l’économie mondiale

Le marché du cybercrime est de plus en plus facilité, à mesure que ses acteurs exploitent les marchés parallèles et les monnaies numériques.

McAfee en partenariat avec le CSIS – Center of Strategic and International Studies, a publié un nouveau rapport sur l’impact économique de la cybercriminalité. Intitulé ‘Economic Impact of Cybercrime – No Slowing Down’, il révèle que l’économie du cybercrime coûte près de 600 milliards de dollars aux entreprises, soit 0,8 % du PIB mondial. En comparaison avec la première étude réalisée en 2014, une hausse de 445 milliards de dollars est observée, soit une évolution de 26 %.

Le rapport attribue notamment cette croissance à la facilité de s’engager dans la cybercriminalité – le volume de centres de cybercriminalité connaît une importante croissance, à l’adoption rapide des nouvelles technologies par les cybercriminels, ainsi qu’à la sophistication financière croissante des plus aguerris d’entre eux.

« Le monde numérique a transformé presque tous les aspects de nos vies. Il en va de même pour en matière de criminalité, aujourd’hui, le cybercrime est moins risqué, plus rentable et plus facile que jamais », déclare Steve Grobman, Chief Technology Officer – McAfee.

« En matière de ransomwares, les cybercriminels peuvent externaliser une grande partie de leur travail à des tiers compétents. Les fournisseurs de ‘Ransomware-as-a-service’ adaptent désormais l’automatisation pour exécuter leurs attaques et cibler des millions de systèmes. C’est sans compter les cryptomonnaies qui offrent désormais un moyen de monétisation rapide pour un risque moindre. Le chiffre de $600 milliards de perte liées à la cybercriminalité reflète bien la manière dont la technologie a transformé l’économie du crime en ligne. »

Selon le rapport, les banques demeurent une cible préférée des cybercriminels, et les États représentent la source la plus dangereuse en termes de cybercriminalité. La Russie, la Corée du Nord et l’Iran sont les plus actifs en matière de piratage des institutions financières, tandis que la Chine est la plus active dans le cyber-espionnage.

« Notre recherche a démontré que la Russie dispose d’une longueur d’avance dans le domaine du cybercrime, reflétant les compétences de sa communauté de hackers et son mépris pour l’application des lois occidentales », explique James Lewis, Vice-Président du CSIS.

« La Corée du Nord est en seconde position, elle utilise le vol de cryptomonnaies pour aider à financer son régime. Nous observons aujourd’hui un nombre grandissant de centres de cybercrime, non seulement en Corée du Nord mais aussi au Brésil, en Inde ou encore au Vietnam. »

Au sein des différents pays où le cybercrime a été mesuré (Amérique du Nord, Europe, Asie centrale, Asie de l’Est et du Pacifique, Asie du Sud, Amérique latine, Caraïbes, Afrique subsaharienne, Moyen-Orient et Afrique du Nord), les pertes sont, sans surprise, les plus importantes dans les pays riches. Cependant, les nations enregistrant les plus grandes pertes (en pourcentage de leur revenu national) sont celles de niveau intermédiaire, c’est-à-dire qui sont numérisées mais pas encore pleinement équipées en matière de solutions de cybersécurité.

Le vol de propriété intellectuelle représente au moins 25% du coût de la cybercriminalité et peut menacer la sécurité nationale lorsqu’il s’agit de technologie militaire. Le ransomware est le vecteur d’attaque enregistrant le taux de croissance le plus rapide : on dénombre plus de 6 000 marchés en ligne et plus de 45 000 variants de « Ransomware-as-a-Service » (RaaS), qui gagne en popularité. Le « cybercrime-as-a-service » se sophistique, avec des marchés florissants offrant une grande diversité d’outils et de services tels que les kits d’exploitation, les malwares personnalisés et la location de réseaux de botnet. L’anonymat des cryptomonnaies, telles que Tor et le Bitcoin, protège les acteurs.

Android, Argent, Arnaque, backdoor, Banque, Communiqué de presse, Contrefaçon, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, ios, OS X, Paiement en ligne, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Windows phone

Chevaux de Troie visant les applications bancaires mobile

La prolifération des chevaux de Troie visant les applications bancaires mobiles expose les particuliers à d’importants risques. De fausses interfaces reproduisent fidèlement les applications bancaires mobiles des plus grandes banques du monde entier. Plus d’un consommateur sur trois est incapable de faire la différence entre une application authentique et sa version piratée.

Les utilisateurs de services bancaires mobiles du monde entier sont confrontés à un risque plus grand d’être piégés par des cybercriminels, et d’être victimes de fraudes. Telle est la conclusion de la nouvelle étude mondiale publiée par Avast, leader mondial des produits de sécurité digitale, qui a demandé à près de 40 000 consommateurs de douze pays, dont la France, de comparer l’interface de plusieurs applis bancaires officielles avec leur version contrefaite.

Au niveau mondial, 58 % des personnes interrogées ont identifié l’interface officielle des applications bancaires mobiles comme frauduleuse, tandis que 36 % prenaient l’interface piratée pour la version authentique. En France, les résultats sont similaires avec respectivement 74 % et 35 % des personnes interrogées. Ces résultats soulignent le niveau de sophistication et d’exactitude qu’ont atteint les cybercriminels pour réaliser des copies extrêmement fiables, ce qui leur permet d’espionner les utilisateurs et de collecter leurs identifiants personnels pour faire main basse sur leur compte en banque.

Ces derniers mois, Avast a détecté plusieurs fausses applications bancaires mobiles qui représentent une menace croissante pour la confidentialité et la sécurité. Parmi les banques visées par les cybercriminels, on retrouve Crédit Agricole, Citibank, Wells Fargo, Santander, HSBC, ING, Chase, Bank of Scotland et Sberbank. En dépit des mesures strictes de sécurité déployées ainsi que des sauvegardes, les importantes bases de données clients de ces organisations constituent des cibles particulièrement attrayantes pour les cybercriminels, pour réussir à créer de fausses applications qui imitent les officielles à la perfection.

 En novembre 2017, l’équipe Threat Labs Mobile a découvert dans Google Play une nouvelle version du cheval de Troie BankBot qui cible les identifiants de connexion bancaire des particuliers. Avast a ainsi analysé la menace, en collaboration avec ESET et SfyLabs. Cette toute dernière variante était dissimulée dans des applications réputées fiables, telles que des lampes de poche et des versions du célèbre jeu Solitaire. Une fois téléchargés, les logiciels malveillants lançaient et ciblaient les applications des plus grandes banques. Lorsqu’un utilisateur ouvrait son appli bancaire, le malware positionnait une fausse interface sur l’appli officielle, afin de collecter les coordonnées bancaires du client et de les transmettre au cybercriminel.

Applications bancaires piégées

« Nous assistons à une augmentation constante du nombre d’applications malveillantes pour Android. Ces applis sont capables d’échapper aux contrôles de sécurité des principales plateformes de téléchargement d’applications, avant de se frayer un chemin jusqu’aux téléphones des consommateurs, confie Gagan Singh, Senior Vice President et General Manager, Mobile, chez Avast. Dans de nombreux cas, elles se font passer pour des jeux ou des applis « lifestyle », et utilisent des tactiques d’ingénierie sociale pour inciter les utilisateurs à les télécharger. »

« En règle générale, les internautes peuvent faire confiance à la fiabilité des plateformes de téléchargement d’applications, telles que celles de Google et d’Apple, pour télécharger des applications bancaires, mais une vigilance accrue est de mise. Il est indispensable de vérifier que l’application utilisée est bien la version officielle, poursuit Gagan Singh. Si l’interface semble étrange, il ne faut pas hésiter à contacter le service client de la banque. Le cas échéant, il est vivement conseillé d’utiliser la fonction d’authentification à deux facteurs et de se protéger en installant un antivirus puissant sur Android, qui détectera et supprimera les logiciels malveillants. »

L’étude menée souligne en outre que les consommateurs du monde entier se disent davantage préoccupés par le vol d’argent sur leur compte bancaire, que par la perte de leur portefeuille ou de leur sac à main ; voire même par le piratage de leurs comptes sur les réseaux sociaux ou la consultation de leurs messages personnels. Au niveau mondial, 72 % des personnes interrogées ont déclaré que la perte d’argent était leur principale préoccupation, contre 67 % en France.

Au niveau mondial, environ deux personnes interrogées sur cinq (43 %) ont déclaré utiliser des applications bancaires mobiles. En France, 38 % ont affirmé les utiliser de façon active. Parmi les personnes interrogées qui ne se servent pas d’un smartphone ou de tablette pour accéder aux services de leur banque, près du tiers (30 %) des français ont indiqué que le faible niveau de sécurité était leur principal souci.

 Cette enquête en ligne a été réalisée dans 12 pays : États-Unis, Royaume-Uni, France, Allemagne, Russie, Japon, Mexique, Argentine, Indonésie, République tchèque, Brésil et Espagne. Au total, 39 091 personnes y ont participé, dont 5 852 français.

backdoor, Cybersécurité, Securite informatique

DarkSky : un nouveau bot pirate aux multi facettes

Découverte récente d’un nouveau botnet baptisé DarkSky. Mission de ce code pirate : DDoS, infiltration et vol de données.

Darksky dispose de plusieurs mécanismes d’évasion, d’un téléchargeur de malwares et de plusieurs vecteurs d’attaques DDoS en réseau et en couche applicative. Ce bot est maintenant disponible à la vente pour moins de 20$ sur le Darknet.

Selon ses créateurs, ce malware est capable de fonctionner sous Windows XP/7/8/10, à la fois sous les versions x32 et x64, et possède des capacités de machine anti-virtuelle afin d’échapper aux contrôles de sécurité tels qu’une sandbox, ce qui lui permet de n’infecter que les « vraies » machines. Les équipes de Radware surveillent ce malware depuis ses premières versions en mai 2017. Les développeurs ont amélioré ses fonctionnalités et ont publié sa dernière version en Décembre 2017. Sa popularité et son utilisation sont en plein expansion. Parmi les attaques orchestrables via ce bot, du Déni Destribué de Service (DDoS) via les méthodes DNS amplification, TCP, UDP ou encore HTTP flood.

DarkSky

Les récents chiffres analysés par le F5 Labs montrent que la zone Europe (EMEA) a subi plus de 51 % des attaques DDoS en 2017. Ils font aussi le constat d’une augmentation de 64 % du nombre d’attaques et d’une plus grande diversité tactique de la part des cybercriminels. L’une des tendances a été la baisse relative de la puissance des attaques. L’an dernier, a été enregistré plusieurs attaques de plus de 100 Gbps, dont certaines dépassaient les 400 Gbps. En 2017, l’attaque la plus élevée enregistrée était de 62 Gbps.

Cela suggère une évolution vers des attaques DDoS de niveau 7 plus sophistiquées, potentiellement plus efficaces et nécessitant moins de bande passante. 66 % des attaques DDoS signalées étaient d’ailleurs multi-vecteurs et nécessitaient des outils et des connaissances sophistiquées en matière d’atténuation pour pouvoir y faire face. 2017 s’est terminée par une large prédominance des attaques UDP Floods (25 % de toutes les attaques). C’était également la période la plus chargée au niveau des attaques par réflexion DNS, qui représentaient 20 % de l’ensemble des attaques (contre 8 % en 2017 au cours de la même période).

backdoor, Chiffrement, Communiqué de presse, Cybersécurité, Securite informatique

Faire face à l’ennemi. : divertissements et confidentialité en ligne, est-ce compatible ?

Faire face à l’ennemi. 11 % des Français ont constaté qu’une personne non autorisée avaient eu accès à leurs e-mails, comptes de réseaux sociaux ou bancaires !

Les divertissements en ligne jouent un rôle important et complexe dans nos vies : on ne les regarde pas simplement pour se détendre, mais aussi pour s’identifier aux personnages et avoir l’impression d’avoir vécu des choses (que nous n’avons pas le temps de faire en vrai) ou encore pour avoir des sujets intéressants de discussion autour de la machine à café avec nos collègues le matin.
Malheureusement, le bonheur a un prix. En l’occurrence, il s’agit ici de votre confidentialité en ligne. Bien sûr, vous avez déjà entendu des histoires atroces sur les dangers d’Internet. Mais rassurez-vous, cela ne peut pas vous arriver et ne vous arrivera pas. Après tout, vous n’êtes pas le/la seul(e) à regarder des blogs vidéos et des tutos YouTube sur le montage de photos. D’après une étude réalisée par Google en 2017, vous faites tout simplement partie des 75 % de Français qui regardent des vidéos sur Internet. En toute logique, plus il y a de personnes à se comporter de la même manière sur Internet, plus les chances que vos données privées soient détournées sont faibles, non ?

Aucune de ces hypothèses n’est vraie : chaque clic sur Internet représente un risque potentiel pour votre sécurité et votre confidentialité en ligne. En 2017, Avira a détecté plus de 4,5 milliards de cas de logiciels malveillants sur des appareils protégés par l’antivirus Avira. D’après un rapport d’Ofcom, 11 % de Français ont constaté qu’une personne non autorisée avaient eu accès à leurs e-mails, comptes de réseaux sociaux ou comptes bancaires. Alors Internet n’a plus l’air si sûr maintenant, n’est-ce pas ?

Étape 1 : apprenez à faire face à l’ennemi.

Néanmoins, la première étape pour rester protégé(e) tout en regardant du contenu sur Internet depuis votre PC ou smartphone est d’être au courant des risques. En France, l’une des menaces les plus répandues sur Internet en 2017 était un type de logiciel malveillant : HTML/InfectedWebPage.Gen2 (avec 19 916 301 détections). Ce logiciel utilise des pages Web vulnérables pour insérer du code malveillant, tenter de s’introduire dans votre machine pour dérober vos données personnelles et/ou installer une application indésirable. Imaginez un peu : cela peut vous arriver rien qu’en ouvrant la mauvaise page Web alors que vous recherchiez les nominés aux Oscars de cette année.

Étape 2 : suivez toujours ces 4 règles

Pourtant, il existe un moyen de garder vos habitudes sur Internet sans forcément compromettre votre sécurité. En suivant ces règles toutes simples, vous vous sentirez en sécurité à chaque clic :

1. Installez un antivirus : cela fait peut-être vieux jeu, mais il est indispensable d’avoir un bon antivirus sur votre machine. Laissez Avira Antivirus protéger votre vie numérique et profitez d’une expérience sur Internet en toute tranquillité d’esprit.

2. Utilisez un VPN : le VPN (réseau privé virtuel) est devenu aussi indispensable que l’antivirus. Grâce au VPN, vous pourrez :
· Regarder vos émissions préférées, même lorsque vous êtes en déplacement
· Vous connecter en toute sécurité à des réseaux Wi-Fi publics
· Garder vos communications privées chiffrées et à l’abri des regards indiscrets
· Empêcher qu’une personne traque votre adresse IP
En d’autres termes, un bon VPN empêche de vous faire pirater, suivre ou censurer.

3. Modifiez régulièrement vos mots de passe : vous devriez idéalement avoir un mot de passe différent pour chacun de vos comptes. Ne pas pouvoir vous en souvenir ? Fatigant de trouver des mots de passe complexes tous les trois mois, il existe des solutions qui s’en chargent pour vous !

4. Maintenez votre machine à jour : c’est une étape essentielle en matière de sécurité en ligne. Toutes les machines sont bourrées d’applications qui exigent sans cesse des mises à jour et des correctifs. Si vous choisissez de le faire manuellement, vous risquez fortement de rater la diffusion de la cérémonie des Oscars. Optez plutôt pour la simplicité : installez un logiciel de mise à jour qui s’en chargera pour vous. Et vous n’aurez plus qu’à vous détendre et profiter des Oscars tranquillement.

Il n’a jamais été aussi simple de suivre ces quatre règles et vous avez aujourd’hui la possibilité de choisir parmi une large gamme de solutions, y compris des suites combinant les solutions dont vous avez besoin. (Comm’presse Avira)

APT, backdoor, Chiffrement, cryptage, Cybersécurité, Entreprise, Justice, ransomware, Securite informatique

Lurk, le pirate russe derrière Wannacry

Retour sur le ransomware Wannacry. Un pirate Russe a avoué être derrière cette attaque, lui et son groupe Lurk.

Les chantages informatiques pullulent sur la toile. Mission clairement énoncée par les pirates et leurs outils malveillants, gagner un maximum d’argent et un minimum de temps. Il y a quelques semaines, un pirate Russe, fraichement arrêté, a avoué être l’auteur du rançonnage 2.0 du mois de juin 2017.

Konstantin Kozlovsky, le pirate en question, a expliqué, que lui et son groupe, Lurk Team, était l’auteur de Wannacry.

L’information n’étonne pas vraiment. On sait que les pirates Russes sont avides d’argent. L’homme a été arrêté dans la banlieue d’Ekaterinbourg. Kozlovsky avait déjà expliqué au mois d’aôut 2017, être le pirate derrière l’attaque informatique ayant visé le parti politique Démocrate américain. Une cyberattaque pour le compte du FSB, le service de renseignement Russe.

Lors d’une interview à la télévision locale (Dozhd), le pirate a confirmé avoir reconnu des bouts de code d’un autre logiciel pirate créé par son Crew, Lurk. D’ici là que les services de renseignement Russe se sont servis des 0day et autres exploits du groupe Lurk après l’arrestation de Kozlovsky, il n’y a qu’un pas. Le pirate a indiqué que les attaques à l’encontre d’entreprises Russes, telles que Rosneft et GazProm n’étaient rien d’autres… que des tests pour valider le code malveillant.

Kozlovsky rajoute une couche en expliquant que les tests ont été lancées depuis les machines de la société Samolet. « Le virus a été testé sur des ordinateurs de la société Samolet Development. Une société spécialisée dans les logements sociaux, à Moscou ». Dans les « buts » avoués, Lurk avait pour projet de pirater le réseau informatique de Novolipetsk Steel et de tenter d’arrêter ses hauts fourneaux. Voilà qui démontre que personne n’est capable de connaitre un assaillant avant de lui avoir mis la main dessus.

La Corée du Nord n’est pas coupable !

Pour rappel, l’Oncle Sam indiquait par communiqué de presse, en février 2017, avoir les preuves du créateur de Wannacry : la Corée du Nord. Une information qui leur avait été fournie par Kaspersky Lab et Symantec. Les sociétés de sécurité informatique soupçonnaient le groupe Nord Coréen Lazarus d’être derriére le ransomware. « Cette vaste attaque a coûté des milliards et la Corée du Nord en est directement responsable« , écrivait alors le conseiller à la sécurité intérieure de Donald Trump, Tom Bossert. Des propos tenus dans le Wall Street Journal.

Le gang Lurk était connu dans l’écosystème cybercriminel pour avoir développé le kit exploit Angler. Une enquête conjointe menée par la police russe et le laboratoire de Kaspersky avait permis d’identifier les personnes à l’origine du malware Lurk. Les membres de Lurk ont ??été arrêtés par les forces de l’ordre russes à l’été 2016. Selon les autorités, Lurk a pu voler 45 millions de dollars US aux institutions financières locales. A noter qu’un agent du FSB, Dmitri Dokouchaïev, un employé du Centre de Sécurité de l’Information du FSB, serait le donneur d’ordre. Il a depuis été arrêté dans une affaire de haute trahison.

Pendant ce temps, un ancien fonctionnaire du FSB, le lieutenant-général Vladimir Skorik, a intégré la 15e entreprises mondiales de technologie de pointe, SAP CIS. Cette entreprise est spécialisée dans la création de logiciels d’entreprise. le lieutenant-général Vladimir Skorik était le directeur du Centre de Sécurité de l’information du service de renseignement Russe jusqu’en 2009.

backdoor, Chiffrement, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Piratage, Securite informatique

Opération de la Corée du nord baptisée HIDDEN COBRA

HIDDEN COBRA, une attaque informatique signée par des pirates informatiques de la Corée du Nord selon les autorités américaines.

Ce rapport d’analyse de malware (MAR) de Hidden Cobra est le résultat d’efforts d’analyse entre le département de la sécurité intérieure (DHS) et le Federal Bureau of Investigation (FBI). En collaboration avec des partenaires du gouvernement, le DHS et le FBI ont identifié des variantes de logiciels malveillants de type cheval de Troie utilisés par le gouvernement nord-coréen – communément appelé HARDRAIN.

Le gouvernement américain fait référence à la cyberactivité malveillante du gouvernement nord-coréen sous le nom de HIDDEN COBRA.

Le FBI est convaincu que les acteurs de HIDDEN COBRA utilisent des variantes de logiciels malveillants en conjonction avec des serveurs proxy pour maintenir une présence sur les réseaux de victimes et poursuivre l’exploitation du réseau.

Le DHS et le FBI viennent de distribuer un document pour permettre la défense du réseau et réduire l’exposition à l’activité cybernétique malveillante du gouvernement nord-coréen. Cette alerte inclut des descriptions de logiciels malveillants liées à HIDDEN.

Mise à jour : https://www.us-cert.gov/sites/default/files/publications/MAR-10135536-G.PDF pour Badcall

backdoor, Cybersécurité, IOT, Securite informatique

IoT : quand les objets connectés deviennent des menaces de sécurité

Un commentaire

Les fêtes de Noël, et maintenant les soldes représentent la période propice pour l’achat d’appareils connectés iot. Maintenant, même les jouets pour les enfants sont des bijoux de technologie intelligents, télécommandés et équipés de caméras vidéo et même de haut-parleurs intégrés. Si ces jouets sont très populaires auprès des dernières générations de consommateurs, ils peuvent également s’avérer dangereux. En effet, certains objets connectés peuvent parfois échapper au contrôle de leurs propriétaires et devenir des portes faciles d’accès pour les intrus. Dans ces cas-là les options vidéos et haut-parleurs deviennent indésirables et nuisent à la sécurité des enfants.

Les objets intelligents connectés (IoT) sont aujourd’hui très attrayants et ont pour vocation de faciliter le quotidien. Mais dans quelle mesure leur utilisation est-elle sans danger du point de vue de la cybersécurité ? En 2015, les chercheurs de Kaspersky Lab ont décidé de se pencher sur le niveau de menace que présente l’Internet des objets (IoT). Les résultats étaient préoccupants, c’est pourquoi, 2 ans plus tard, ils ont approfondi leurs recherches dans ce domaine. Sur 8 objets IoT pris au hasard (allant d’un fer à repasser intelligent à un véhicule-espion miniature), la moitié d’entre eux étaient piratables en raison de la faiblesse de leur mot de passe. En outre, un seul des objets a répondu aux exigences des chercheurs en matière de sécurité.

Un vaste réseau d’objets connectés, attrayant pour les cybercriminels.

Les objets connectés orbitent en réseau et intègrent une technologie qui leur permet d’interagir les uns avec les autres ou avec leur environnement extérieur. Du fait du grand nombre et de la variété d’objets connectés disponibles, l’IoT est devenu une cible tentante pour les cybercriminels. C’est ce qui explique, entre autres, les attaques DDoS record lancées en 2016 avec l’aide de botnets massifs constitués de routeurs, de caméras IP, d’imprimantes et d’autres appareils transformés en « zombies ». En piratant ces objets IoT, des criminels peuvent exercer un chantage ou espionner les utilisateurs. D’autres vecteurs peuvent être encore plus dangereux. Par exemple, les équipements du réseau domestique pourraient servir à des activités illicites ou bien un cybercriminel ayant accès à un objet IoT pourrait faire chanter – et espionner – son propriétaire pour lui extorquer de l’argent. Moins grave, mais toujours ennuyeux, l’appareil infecté peut aussi être mis simplement hors service.

Un niveau de sécurité beaucoup trop faible, malgré les menaces omniprésentes.

Alors que de nombreuses études ont été réalisées à la suite des incidents déplorés ces dernières années, on pourrait s’attendre à un changement notoire en matière de sécurité des objets IoT. Pour autant, Kaspersky déplore encore un manque de sécurité inquiétant, notamment au niveau des mots de passe. Pour en arriver à ces conclusions, les chercheurs ont de nouveau analysé plusieurs objets intelligents choisis de manière aléatoire, en l’occurrence un chargeur, une voiture miniature commandée par une application, un tuner, une balance, un aspirateur, un fer à repasser, une caméra et une montre. Les résultats sont véritablement inquiétants : sur les 8 objets examinés, un seul était satisfaisant en termes de sécurité.

Qui plus est, la moitié des objets pourraient être piratés et leurs vulnérabilités exploitées à cause d’un défaut de vigilance du fabricant dans la définition des mots de passe. Il s’agit en particulier de l’impossibilité de modifier le mot de passe par défaut alors même que, dans certains cas, celui-ci est identique pour tous les produits d’une gamme.

Quelques conseils d’experts pour éviter les risques

DataSecurityBreach.fr vous conseille de prendre les précautions suivantes afin de se prémunir contre l’achat d’objets intelligents vulnérables :

  1. Avant d’acheter un objet IoT, recherchez sur Internet la mention d’éventuelles vulnérabilités. L’Internet des objets est aujourd’hui un sujet brûlant et de nombreux chercheurs font un excellent travail pour découvrir des failles de sécurité dans les produits de ce type, depuis les écoute-bébés jusqu’aux armes gérées par une application. Il est probable que l’objet de convoitise ait déjà été examiné par des chercheurs en sécurité et il est souvent possible de vérifier si les problèmes découverts ont été corrigés ou pas.
  2. Ce n’est pas toujours une bonne idée d’acheter les produits les plus récents dès leur lancement sur le marché. En dehors des bugs habituels affectant les nouveaux produits, ces derniers sont plus susceptibles de receler des failles de sécurité encore inconnues des chercheurs en sécurité. Il est donc préférable de choisir des produits ayant déjà connu plusieurs mises à jour de leur logiciel.
  3. Avant de décider de rendre un aspect de sa vie un peu plus intelligent, tenir compte des risques pour la sécurité. Si on conserve de nombreux objets de valeur à votre domicile, il est sans doute judicieux d’installer un système d’alarme professionnel en remplacement ou en complément de son modèle existant commandé par une application ou bien de configurer ce dernier de sorte qu’aucune vulnérabilité éventuelle n’affecte son fonctionnement.
Android, Antivirus, APT, backdoor, Chiffrement, Cyber-attaque, Cybersécurité, Espionnae, ID, Leak, Logiciels, Mise à jour, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie, Vie privée

Skygofree : un puissant logiciel de surveillance pour Android

Skygofree : des chercheurs ont découvert un implant mobile avancé, actif depuis 2014 et conçu pour une cybersurveillance ciblée, peut-être afin de constituer un produit de « sécurité offensive ». Cet implant, nommé Skygofree, comporte des fonctionnalités inédites, telles que l’enregistrement audio suivant la géolocalisation via des appareils infectés. Le spyware se propage à travers des pages web imitant celles de grands opérateurs mobiles.

Skygofree est un logiciel-espion élaboré, à plusieurs modules, qui permet à des pirates de prendre totalement le contrôle à distance d’un appareil infecté. N’ayant cessé d’évoluer depuis la création de sa première version fin 2014, il est désormais capable d’intercepter les conversations et les bruits ambiants lorsque l’appareil infecté se trouve à un endroit donné, une fonctionnalité jamais vue jusque-là. Parmi les autres capacités avancées et inédites figurent des services d’accessibilité permettant de pirater des messages WhatsApp ou encore la possibilité de connecter l’appareil infecté à des réseaux Wi-Fi contrôlés par des individus malveillants.

Un logiciel espion très élaboré qui prend totalement le contrôle de l’appareil infecté.

L’implant exploite diverses vulnérabilités pour obtenir un accès root. Il peut également prendre des photos et des vidéos. Capturer des appels. Voler des SMS. Lancer une géolocalisation de l’appareil, des événements de l’agenda voire des informations professionnelles stockées en mémoire. Une fonction spéciale permet de contourner une technique d’économie de la batterie employée par un grand fabricant : l’implant s’ajoute alors à la liste des « applications protégées » de façon à ne pas être désactivé automatiquement lorsque l’écran est éteint.

Les pirates paraissent également s’intéresser aux utilisateurs Windows et les chercheurs ont découvert un certain nombre de modules développés récemment et ciblant cette plate-forme.

La plupart des pages web factices servant à répandre l’implant ont été enregistrées en 2015 alors que, selon les données télémétriques de Kaspersky Lab, la campagne de diffusion était à son paroxysme. La campagne est toujours en cours et le domaine le plus récent a été enregistré en octobre 2017. Les données indiquent plusieurs victimes à ce jour, toutes en Italie.

« Un malware mobile avancé est très difficile à identifier et à bloquer, et les développeurs qui se cachent derrière Skygofree en ont clairement tiré profit, en créant et faisant évoluer un implant capable d’espionner largement ses cibles sans éveiller les soupçons. Les éléments que nous avons découverts dans le code malveillant et notre analyse de l’infrastructure nous portent à croire avec un haut degré de certitude que les auteurs des implants Skygofree travaillent par une société informatique italienne proposant des solutions de surveillance, à la manière de HackingTeam », commente Alexey Firsh, analyste en malware spécialisé dans l’étude des attaques ciblées chez Kaspersky Lab.

Pour s’en protéger, être attentifs aux emails entrants, et équipés de logiciels de sécurité.

Les chercheurs ont identifié 48 commandes différentes pouvant être mises en œuvre par les pirates, pour un maximum de souplesse d’utilisation.

Pour assurer la protection contre la menace des malwares mobiles avancés, Kaspersky Lab recommande vivement l’installation d’une solution de sécurité fiable, capable d’identifier et de bloquer ces menaces sur les appareils des utilisateurs. Les utilisateurs sont en outre invités à faire preuve de prudence lorsqu’ils reçoivent des e-mails provenant de personnes ou d’entreprises inconnues ou comportant des demandes ou pièces jointes inattendues et de toujours vérifier à deux fois l’intégrité et l’origine des sites web avant de cliquer sur des liens. En cas de doute, mieux vaut contacter l’exploitant du site pour en avoir le cœur net. Les administrateurs système, pour leur part, doivent activer le contrôle des applications dans leur solution de sécurité mobile afin de maîtriser les programmes potentiellement dangereux vulnérables à cette attaque.

Kaspersky Lab détecte les versions de Skygofree sur Android sous HEUR:Trojan.AndroidOS.Skygofree et HEUR:Trojan.AndroidOS.Skygofree.b, et les versions Windows sous UDS:DangerousObject.Multi.Generic.

De plus amples informations, notamment la liste des commandes de Skygofree, les indicateurs d’infection (IoC), les adresses des domaines et les modèles d’appareils ciblés par les modules de l’implant, consultez le site Securelist.com.

Notes

Skygofree est nommé ainsi parce que le mot a été utilisé dans l’un des domaines. Le malware n’a rien à voir avec Sky, Sky Go ou une quelconque filiale de Sky, et n’affecte pas le service ou l’application Sky Go.

backdoor, Bitcoin, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, Leak, Piratage, ransomware, Securite informatique, Social engineering

FORTE PROGRESSION DES CYBERATTAQUES AVEC DEMANDE DE RANÇON

Les paiements intraçables en réponse aux demandes de rançon ont toutes les chances de séduire les pirates motivés par l’appât du gain alors que la valeur des crypto-monnaies continue d’augmenter.

La société Radware vient d’annoncer la publication de l’édition 2017-2018 de son rapport baptisé « Global Application and Network Security Report », qui révèle que le pourcentage des entreprises signalant des cyberattaques motivées par l’appât du gain a doublé en deux ans, avec 50% des entreprises sondées ayant reconnu avoir été victimes d’une cyberattaque avec demande de rançon au cours de l’année passée. Avec l’appréciation des crypto-monnaies, la forme de paiement préférée des pirates, le rançonnage est l’occasion d’encaisser d’importants profits. Et cela plusieurs mois après leur délit.

« Avec l’adoption rapide des crypto-monnaies, l’élévation consécutive de leur valeur séduit encore plus les hackers que la possibilité d’anonymat », explique Carl Herberger, vice-président en charge des solutions de sécurité chez Radware. « Le fait de payer un hacker dans ce contexte encourage d’autres attaques mais, surtout, cela apporte aux criminels les fonds dont ils ont besoin pour poursuivre leurs opérations. »

Demande de rançon, nouveau sport olympique sur le web

Le nombre des entreprises ayant signalé des attaques de ransomware, où les hackers utilisent des malwares pour chiffrer les données, systèmes et réseaux jusqu’au versement de la rançon, a nettement augmenté l’an dernier, et observe une hausse de 40% par rapport à l’enquête de 2016. Les entreprises ne prévoient pas de ralentissement de cette menace en 2018. Un dirigeant sur quatre (26%) considère que c’est la principale menace.

« Les criminels ont utilisé plusieurs vulnérabilités et tactiques de piratage cette année pour verrouiller l’accès à des systèmes vitaux, voler de la propriété intellectuelle et faire cesser les opérations des entreprises, en joignant chaque fois une demande de rançon », continue Herberger. « Entre les perturbations de service, les pannes ou le vol de propriété intellectuelle, les hackers laissent les entreprises démunies à la recherche de solutions a posteriori. Dès lors qu’ils emploient des méthodes de plus en plus automatisées, il est primordial que les entreprises adoptent une stratégie proactive de protection de leurs opérations. »

Voici quelques-unes des conclusions du rapport :

  • La protection des données est la préoccupation principale des entreprises frappées par une cyberattaque. Pour les sondés, la fuite de données est la crainte numéro 1. Elle est suivie par la dégradation de la réputation et l’inaccessibilité des services.
  • 24% signale des cyberattaques quotidiennes ou hebdomadaires. Elles sont près de 80% à ne pas avoir évalué le coût des attaques. Une sur trois n’a toujours pas de plan d’intervention en cas de cyberattaque.
  • Les sondés ne sont pas sûrs de savoir qui est responsable de la sécurité de l’Internet des objets (IoT). Les responsables de la sécurité ne parviennent pas à un consensus clair. Certains attribuent la responsabilité à l’organisation chargée de l’administration du réseau (35%). 34% au constructeur. 21% aux consommateurs qui utilisent ces équipements.
Argent, backdoor, Base de données, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Justice, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Securite informatique

Jugement de la FTC : Lenovo doit demander l’accord de ses clients pour les espionner

La Federal Trade Commission, la FTC, a donné son accord final à un règlement avec Lenovo Inc. Le constructeur d’ordinateurs avait été accusé de modifier les navigateurs. Des logiciels installés dans ses machines afin d’engranger les bénéficies des publicités qui s’y affichaient.

Dans sa plainte, la Federal Trade Commission ( FTC – Commission fédérale du commerce ) a déclaré qu’à partir d’août 2014, Lenovo a commencé à vendre aux États-Unis des ordinateurs portables grand public équipés d’un logiciel de publicité préinstallé. Appelé VisualDiscovery, cet outil interférait avec la façon dont le navigateur interagissait avec les sites Web. Il affichait de la publicité au profit de Lenovo. A cela s’est ajoutait de graves failles de sécurité. Dans le cadre du règlement avec la FTC, Lenovo à interdiction de modifier les fonctionnalités des logiciels préchargés sur ses ordinateurs portables.

Il est interdit à la marque d’injecter de la publicité dans les sessions de navigation Internet des consommateurs. Ensuite, interdit aussi de transmettre des informations sensibles des consommateurs à des tiers. Si la société préinstallé ce type de logiciel, la FTC exige que l’entreprise obtienne le consentement des consommateurs avant que le logiciel puisse fonctionner sur leurs ordinateurs portables. En outre, la société est tenue de mettre en œuvre un programme complet de sécurité. Sécurisation pour la plupart des logiciels grand public préchargés sur ses portables. Et cela durant les 20 prochaines années ! Enfin, ce programme de sécurité fera également l’objet d’audits par des tiers.

Pour conclure, VisualDiscovery est un adware développé par la société américaine Superfish, Inc. VisualDiscovery diffuse des annonces sous forme de pop-up dès qu’un internaute passait sa souris sur une image d’un produit vendu dans une boutique numérique.

backdoor, Base de données, Chiffrement, cryptomonnaie, Cybersécurité, Entreprise, ransomware, Securite informatique

26 % des attaques de ransomwares auraient ciblées les entreprises en 2017

En 2017, 26,2 % des cibles du ransomware étaient des entreprises, contre 22,6 % en 2016. Cette augmentation est due en partie à trois attaques sans précédent contre des réseaux d’entreprise. Ces derniers, WannaCry, ExPetr, et BadRabbit, ont bouleversé à jamais le paysage autour de cette menace, de plus en plus virulente.

2017 marque l’année de l’évolution inattendue et spectaculaire de la menace du ransomware, avec des acteurs malveillants avancés. Ils ciblent des entreprises dans le monde entier au moyen de séries d’attaques destructives à base de vers autonomes, dont l’objectif ultime demeure un mystère. Les derniers en date, WannaCry le 12 mai, ExPetr le 27 juin et BadRabbit fin octobre. Toutes ont exploité des vulnérabilités afin d’infecter les réseaux des entreprises. Ces attaques ont également été visées par d’autres ransomwares. Kaspersky Lab a d’ailleurs bloqué des infections de ce type dans plus de 240 000 entreprises au total.

Globalement, un peu moins de 950 000 utilisateurs distincts ont été attaqués en 2017, contre environ 1,5 million en 2016, la différence s’expliquant dans une large mesure par la méthode de détection (par exemple, les downloaders souvent associés au cryptomalware sont désormais mieux détectés par les technologies heuristiques, par conséquent ils ne sont plus classés avec les verdicts de ransomware collectés par nos systèmes de télémétrie).

Ransomwares, un danger qui plane

Les trois principales attaques, ainsi que d’autres moins médiatisées, notamment AES-NI et Uiwix, ont exploité des vulnérabilités complexes ayant fuité en ligne au printemps 2017 à l’initiative du groupe Shadow Brokers. Le nombre de nouvelles familles de ransomware est en net recul (38 en 2017, contre 62 en 2016), contrebalancé par un accroissement des variantes de ransomwares existants (plus de 96 000 nouvelles versions détectées en 2017, contre 54 000 en 2016). Cette multiplication des modifications reflète peut-être les tentatives des auteurs d’attaques de masquer leur ransomware tandis que les solutions de sécurité deviennent plus performantes dans leur détection.

À partir du deuxième trimestre de 2017, un certain nombre de groupes ont mis fin à leurs activités dans le domaine du ransomware et ont publié les clés nécessaires de décryptage des fichiers. Il s’agit d’AES-NI, xdata, Petea / Mischa / GoldenEye et Crysis. Crysis est réapparu par la suite, peut-être ressuscité par un autre groupe. La tendance croissante à l’infection des entreprises par des systèmes de bureau distant s’est poursuivie en 2017, cette méthode de propagation étant devenue la plus courante pour plusieurs familles répandues, telles que Crysis, Purgen / GlobeImposter et Cryakl.

65 % des entreprises frappées par un ransomware en 2017 indiquent avoir perdu l’accès à une grande quantité voire à la totalité de leurs données. Une sur six parmi celles qui ont payé une rançon n’a jamais récupéré ses données. Ces chiffres n’ont pratiquement pas varié par rapport à 2016. Fort heureusement, l’initiative No More Ransom, lancée en juillet 2016, connaît un grand succès. Ce projet réunit des forces de police et des acteurs du secteur de la sécurité pour pister et démanteler les principales familles de ransomware, afin d’aider les particuliers à récupérer leurs données et de saper l’activité lucrative des criminels.

backdoor, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, DDoS, IOT, Piratage, ransomware, Securite informatique

Des sites Internet piratés via l’Internet des objets

Du piratage de site web via des objets connectés. La France est le 21ème pays le plus touché avec 298 hôtes enregistrés dans les 30 derniers jours.

Même si le chiffre ne semble pas énorme, les attaques repérées montre une évolution dans ce type de cyberattaque via des objets connectés. Doctor Web alerte à nouveau sur l’activité du Trojan Linux.ProxyM infectant des terminaux intelligents fonctionnant sous Linux, tels que des caméras de vidéosurveillance et des enregistreurs DVR de vidéosurveillance.

En septembre 2017, les pirates l’ont utilisé pour envoyer du spam, et plus récemment, ils utilisent ses capacités pour pirater des sites web. Selon l’entreprise, la France serait le 21ème pays le plus touché avec 298 hôtes enregistrés au cours des 30 derniers jours.

Objets connectés

Linux.ProxyM est un logiciel malveillant qui lance sur un appareil contaminé un serveur proxy SOCKS. C’est en utilisant ce proxy que les criminels peuvent agir de manière anonyme. Il existe des builds de ce Trojan pour les architectures x86, MIPS, MIPSEL, PowerPC, Superh, ARM, Motorola 68000 et SPARC. En d’autres termes, Linux.ProxyM peut contaminer n’importe quel appareil sous Linux, y compris les routeurs, boîtiers décodeurs, des caméras de surveillance, des enregistreurs DVR, et autres équipements.

Au mois de septembre, les analystes ont découvert que les malfaiteurs envoyaient plus de 400 messages spam par jour depuis chaque dispositif contaminé en utilisant Linux.ProxyM. Leurs messages contenaient des publicités pour des sites pour adultes et des services financiers douteux. Par la suite, les cybercriminels ont commencé à utiliser l’Internet des objets pour la propagation de messages de phishing. Ces messages étaient envoyés au nom de DocuSign, le service permettant de télécharger, consulter, signer et suivre le statut des documents électroniques.

backdoor, Chiffrement, cryptage, Cybersécurité, IOT, Securite informatique

Une faille de sécurité dans la gamme Smart Home de LG

Découverte d’une vulnérabilité baptisée HomeHack dans les appareils intelligents LG SmartThinQ. Des objets connectés pour la maison qui peuvent être contrôlé, à distance, par des personnes non autorisées.

Les vulnérabilités de l’application mobile et du Cloud LG SmartThinkQ ont permis à l’équipe de recherche de Check Point de se connecter à distance à l’application dans le Cloud SmartThinQ, de prendre le contrôle du compte LG légitime de l’utilisateur, et de prendre le contrôle de l’aspirateur et de sa caméra intégrée. Une fois le compte LG d’un utilisateur spécifique piraté, tout appareil LG associé à ce compte pourrait être contrôlé par le pirate, y compris les robots aspirateurs, les réfrigérateurs, les fours, les lave-vaisselle, les machines à laver et les climatiseurs.

La vulnérabilité HomeHack fourni aux hackers la possibilité d’espionner les activités personnelles des utilisateurs via la caméra vidéo du robot aspirateur Hom-Bot, qui envoie une vidéo en direct à l’application LG SmartThinQ associée, dans le cadre de sa fonction HomeGuard Security. Selon les appareils LG présent au domicile de leur propriétaire, les pirates pourraient également éteindre ou mettre en marche les machines à laver la vaisselle ou le linge.

« À mesure qu’un nombre croissant d’appareils intelligents sont utilisés à domicile, les pirates cesseront de cibler des appareils individuels pour pirater les applications contrôlant des réseaux d’appareils. Les cybercriminels auront ainsi encore plus d’opportunités d’exploiter les failles des logiciels, de perturber le domicile des utilisateurs et d’accéder à leurs données confidentielles, » déclare Oded Vanunu, head of products vulnerability research chez Check Point. « Les utilisateurs doivent prendre conscience des risques liés à la sécurité et la confidentialité lorsqu’ils utilisent leurs objets connectés, et il est essentiel que les fabricants se concentrent sur la protection des appareils intelligents contre les attaques, en mettant en place une sécurité robuste lors de la conception des logiciels et des appareils. »

Les vulnérabilités de l’application mobile SmartThinQ ont permis aux chercheurs de Check Point de créer un faux compte LG, puis de l’utiliser pour prendre le contrôle du compte LG légitime d’un utilisateur, et contrôler à distance ses appareils LG intelligents. Check Point a communiqué la vulnérabilité à LG le 31 juillet 2017, conformément à sa politique de communication responsable. LG a corrigé les problèmes signalés dans l’application SmartThinQ fin septembre. « Heureusement, LG a fourni un correctif de qualité pour empêcher l’exploitation des vulnérabilités dans son application et ses appareils SmartThinQ, » ajoute Oded Vanunu.

Correction et communication

« Dans le cadre de la mission de LG Electronics d’améliorer la vie des consommateurs dans le monde entier, nous élargissons notre gamme d’appareils ménagers intelligents de nouvelle génération, tout en privilégiant le développement de logiciels sûrs et fiables, » déclare Koonseok Lee, Manager of Smart Development Team, Smart Solution BD, chez LG Electronics. « En août, LG Electronics a fait équipe avec Check Point Software Technologies pour lancer un processus avancé de détection des problèmes de sécurité, et a immédiatement commencé à corriger les programmes. Le 29 septembre, le système de sécurité utilisait la version mise à jour 1.9.20 sans aucun problème. LG Electronics prévoit de continuer à renforcer ses systèmes de sécurité logicielle, et travailler avec des fournisseurs de solutions de cybersécurité tels que Check Point pour protéger les objets connectés et les rendre encore plus pratiques. »

Pour protéger leurs appareils, les utilisateurs de l’application mobile et des appareils LG SmartThinQ doivent s’assurer de disposer des toutes dernières versions logicielles sur le site web de LG. Check Point conseille également aux consommateurs de prendre les mesures suivantes pour protéger leurs appareils intelligents et leurs réseaux Wifi personnels contre les intrusions et la prise de contrôle à distance.

Mise à jour

Mettre à jour l’application LG SmartThinQ vers la dernière version (V1.9.23). Vous pouvez effectuer la mise à jour de l’application via Google Play Store, Apple App Store ou via les paramètres de l’application LG SmartThinQ. Mettre à jour les appareils physiques vers la dernière version. Vous pouvez le faire en cliquant sur le produit dans le tableau de bord de l’application smartThinQ (un message contextuel vous prévient si une mise à jour est disponible)

La gamme d’appareils intelligents et de solutions de sécurité SmartThinQ de LG permet aux utilisateurs de surveiller et de gérer leur domicile depuis un smartphone. Les ventes du robot aspirateur Hom-Bot ont dépassé 400 000 unités durant la première moitié de 2016. En 2016, 80 millions d’appareils intelligents pour la maison ont été expédiés dans le monde entier, soit une augmentation de 64 % par rapport à 2015.

Android, Apple, backdoor, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, ios, Linux, Logiciels, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie

Android et macOS, des cybercriminels s’invitent dans des applications

Découverte de deux nouvelles menaces, l’une agissant sous macOS et l’autre sous Android. Le malware sous macOS a fait 1 000 victimes. Quant à la menace sous Android, plus de 5 500 téléchargements ont été effectués.

Un malware s’invite dans les macOS. Si son impacte est encore légére, la cyberattaque présage un avenir plus mouvementé pour les utilisateurs de Mac et Android. Selon les chercheurs de l’éditeur d’antivirus ESET, une application créée par l’éditeur Eltima a été infiltrée par des pirates. Mission, diffuser un code malveillant. Environ 1 000 utilisateurs, clients de l’éditeur de solutions de sécurité informatique, auraient été infectés par le kit OSX/Proton, disponible sur les marchés underground.

Les applications Elmedia Player (lecteur multimédia) et Folx® (gestionnaire de téléchargement) sont concernées. OSX/Proton est une backdoor qui possède de nombreuses fonctionnalités et permet de récupérer, par exemple, les détails de l’OS comme le numéro de série de l’appareil, nom complet de l’utilisateur actuel ; les informations provenant des navigateurs : historique, cookies, marque-pages, données de connexion. Un outil qui vise à collecter des informations sur les portefeuilles de cryptomonnaie pouvant être disponible sur les appareils infiltrés. Proton exfiltre aussi le trousseau macOS grâce à une version modifiée de chainbreaker ; la configuration du VPN Tunnelblick ainsi que les données GnuPG (chiffrement de mails) et de 1password (gestionnaire de mots de passe).

Cryptomonnaie : une version compromise de Poloniex sur Google Play

Avec plus de 100 cryptomonnaies au compteur, Poloniex est l’un des principaux sites d’échange de cryptomonnaie au monde. Les cyberpirates ont profité du fait qu’il n’y ait pas d’application officielle de Poloniex pour développer deux versions malicieuses. En plus de récolter les identifiants de connexion à Poloniex, les cybercriminels incitent les victimes à leur accorder l’accès à leur compte Gmail. Les pirates peuvent ensuite effectuer des transactions depuis le compte de l’utilisateur et effacer toutes les notifications de connexions et de transactions non autorisées depuis la boîte de réception. La première des applications malveillantes se nomme « POLONIEX » et a été installée 5 000 fois, malgré les avis négatifs. La deuxième application, « POLONIEX EXCHANGE », a été téléchargée 500 fois avant d’être retirée du Google store.