Archives de catégorie : Chiffrement

Chiffrement, cryptage, Cybersécurité

Promulgation de la loi Quantum Computing Cybersecurity Readiness Act

Le président américain Joe Biden met en place la loi Quantum Computing Cybersecurity Preparedness Act. Elle est censée protéger les systèmes et les données du gouvernement fédéral contre la menace de violations de données utilisant la technologie quantique.

Alors que des scientifiques chinois ont annoncé le crack de mots de passe (RSA) grâce au calcul quantique, les Etats-Unis se préparent à s’armer d’une loi pour se protéger ! La loi, baptisée Quantum Computing Cybersecurity Preparedness Act (QCCRA), est conçue pour protéger les systèmes et les données du gouvernement fédéral contre la menace de violations de données utilisant la technologie quantique. Cette loi porte sur la migration des systèmes informatiques des agences exécutives vers la cryptographie post-quantique.

La cryptographie post-quantique est un chiffrement suffisamment puissant pour résister aux attaques des ordinateurs quantiques développés à l’avenir. La loi ne s’applique pas aux systèmes de sécurité nationale.

Une fois que les National Institutes of Standards and Technology (NIST) ont publié des normes de cryptographie post-quantique, l’OMB publiera des directives exigeant que chaque agence exécutive élabore un plan de migration des technologies de l’information de l’agence vers la cryptographie post-quantique.

Les ordinateurs quantiques peuvent casser les algorithmes cryptographiques existants. Les experts estiment que l’informatique quantique atteindra ce stade dans les 5 à 10 prochaines années, rendant potentiellement toutes les informations numériques vulnérables aux acteurs de la cybermenace avec les protocoles de cryptage existants.

La loi (H.R. 7535) oblige chaque agence de créer et de maintenir une liste à jour des technologies de l’information utilisées pouvant être vulnérables au déchiffrement par des ordinateurs quantiques. Elles doivent également créer un processus d’évaluation des progrès de la transition des systèmes informatiques vers la cryptographie post-quantique. Ces exigences doivent être remplies dans les six mois suivant l’adoption de la loi.

Des experts chinois cassent le cryptage RSA à l’aide d’ordinateurs quantiques

Un groupe de chercheurs chinois a surpris la communauté de la cybersécurité en affirmant qu’ils avaient réussi à casser le type de cryptage le plus répandu sur le Web, le RSA. Pour cela, les experts ont utilisé des ordinateurs quantiques, bien qu’il soit généralement admis qu’ils ne constituent pas actuellement une menace pour l’ algorithme RSA.

Le Financial Times écrit sur la percée des spécialistes chinois. Fin décembre, les chercheurs ont publié un article (PDF) détaillant une méthode de craquage de l’algorithme RSA à l’aide d’un ordinateur quantique équipé de seulement 372 qubits (bits quantiques).

Rappelons que RSA est au cœur d’une grande partie du chiffrement en ligne. Les rapports d’un piratage réussi ont alerté les spécialistes de la sécurité de l’information, car IBM a promis cette année de mettre à la disposition des clients l’ordinateur quantique le plus puissant, le système Osprey à 433 qubits.

Il n’est pas difficile d’imaginer ce qui attend RSA dans ce cas : il ne survivra tout simplement pas. Roger Grimes, l’un des vénérables experts dans le domaine de la cybersécurité, a noté qu’il s’agit d’un moment très important dans l’histoire de la sphère de la cybersécurité (si les affirmations des experts chinois s’avèrent vraies). « En fait, cela signifie que les autorités d’un pays pourront révéler les secrets d’autres pays. », souligne Grimes.

On comprend mieux le choix des Américains de se pencher, rapidement, sur la Quantum Computing Cybersecurity Preparedness Act.

Chiffrement, cyberattaque

Ransomware : 4 entreprises sur 10 ne récupèrent pas toutes leurs données

Plus de 4 entreprises sur 10 ne récupèrent pas toutes leurs données après le versement d’une rançon. Plus d’un tiers des entreprises ayant payé une rançon ont été visées une seconde fois par des cybercriminels.

En complément de son Rapport 2022 sur la gestion des cyber risques, Hiscox, assureur spécialiste de la protection cyber pour les petites et moyennes entreprises, a dévoilé un nouveau focus dédié aux ransomwares. Pour rappel, le business des assurances cyber s’est vue renforcée, en décembre, avec la possibilité pour les entreprises impactées par un ransomware (ou une cyber attaque) d’être remboursée par leur assureur. L’assureur Hiscox met en évidence les limites du paiement des rançons par les entreprises : 59% des entreprises ayant payé une rançon à des cybercriminels n’ont pas réussi à récupérer toutes leurs données.

Les statistiques montrent que le paiement des rançons ne résout pas tous les problèmes. Il n’est, par exemple, souvent pas possible de restaurer pleinement son système informatique ou d’éviter une fuite des données. Le rapport montre qu’il est plus efficace d’investir dans la mise en œuvre d’une cyber défense solide – en maintenant les logiciels à jours, en organisant des formations internes régulières, en sauvegardant fréquemment ses données – ainsi que dans la préparation d’une réponse appropriée en cas d’attaque, plutôt que de payer systématiquement les cybercriminels.

Un chiffre est particulièrement éloquent : plus d’un quart (26%) des entreprises qui ont payé une rançon dans l’espoir de récupérer leurs données l’ont fait parce qu’elles n’avaient pas de sauvegardes.

Outre la perte de données, une part significative des entreprises ayant payé les rançons a été confrontée à d’autres problèmes :
43 % ont dû reconstruire leurs systèmes, alors même qu’elles avaient reçu la clé de déchiffrement
36 % ont subi une autre attaque par la suite
29 % ont vu leurs données divulguées
Dans 19 % des cas, le pirate a ensuite exigé plus d’argent
Dans 15 % des cas, la clé de déchiffrement n’a pas fonctionné
Plus d’un quart (26 %) a estimé que l’attaque avait eu un impact financier important, menaçant la solvabilité et la viabilité de leur entreprise.

Chiffrement, Cybersécurité

Vulnérabilité à pirate pour Microsoft Office 365 Message Encryption

Une faille dans l’outil Microsoft Office 365 Message Encryption peut permettre à des hackers malveillants d’accéder à vos courriels. Il n’existe, pour le moment, encore aucun correctif.

Microsoft Office 365 Message Encryption (OME) permet aux entreprises d’envoyer des e-mails chiffrés en interne et en externe. Cette solution utilise l’implémentation Electronic Codebook (ECB) – un mode de fonctionnement connu pour laisser fuiter certaines informations structurelles sur les messages.

En collectant suffisamment d’e-mails OME, des hackers peuvent déduire partiellement ou totalement le contenu des messages. Pour ce faire, ils doivent analyser l’emplacement et la fréquence des séquences répétées dans les messages individuels, puis faire correspondre ces séquences à celles trouvées dans d’autres e-mails et fichiers OME.

« Les hackers qui parviennent à mettre la main sur plusieurs messages peuvent utiliser les informations ECB fuitées pour déchiffrer le contenu de ces messages. Plus le hacker dispose d’un nombre important d’e-mails, plus ce processus est facile et précis. Ils peuvent mener cette opération soit en mettant la main sur des archives d’e-mails volés lors de violations de données, soit en s’introduisant sur un compte ou un serveur de messagerie, soit en accédant aux sauvegardes », explique Harry Sintonen, consultant et chercheur en sécurité chez WithSecure, qui a découvert le problème.

Les pirates peuvent mener une analyse tout en étant hors ligne, et donc compromettre des archives d’anciens messages. Malheureusement, les entreprises n’ont aucun moyen d’empêcher un hacker en possession des e-mails d’en compromettre le contenu en utilisant cette méthode.

Il n’est pas non plus nécessaire de connaître les clés de chiffrement pour effectuer l’analyse. Et l’utilisation d’un système BYOK (Bring Your Own Key) ne résout pas le problème.

Harry Sintonen a partagé ses recherches avec Microsoft en janvier 2022. Microsoft a reconnu le problème mais… aucun correctif n’a cependant été publié depuis !

Les entreprises peuvent choisir de renoncer à utiliser cette fonctionnalité mais le risque que des hackers accèdent à des e-mails existants déjà chiffrés avec OME demeure.

Toute entreprise dont le personnel utilisait OME pour chiffrer les e-mails est coincée. Pour celles qui sont soumises à des exigences de confidentialité dans le cadre de contrats ou de réglementations locales, cela peut créer des problèmes. Et il y a, évidemment, les risques liés au vol de données lui-même, ce qui en fait un souci majeur pour les organisations.

Il n’existe donc pas de correctif publié par Microsoft, et aucun mode de fonctionnement plus sécurisé n’est disponible pour les administrateurs de messagerie ou les utilisateurs. Bref, en attendant et quand cela est possible, il est recommandé d’éviter d’utiliser OME pour assurer la confidentialité des e-mails.

Chiffrement, Cybersécurité

Ransomware : la rançon moyenne est de 925 162 dollars

Le montant moyen des paiements de rançons suit à une cyberattaque approche rapidement le million de dollars alors que la crise des rançongiciels continue de faire des ravages dans les organisations de toutes tailles à travers le monde.

Les rançons ne cessent d’augmenter à la fois en ce qui concerne les demandes que les paiements. Parmi les cas de réponse aux incidents en 2021, qui se trouvaient principalement aux États-Unis, la rançon moyenne demandée était d’environ 2,2 millions de dollars. Cela représente une augmentation d’environ 144 % par rapport à la demande moyenne de 900 000 $ des cas traités en 2020 par les consultants de l’Unit 42. Le paiement moyen des dossiers traités par les experts de l’Unit 42 ont grimpé à 541 010 $, soit 78 % de plus que l’année précédente.

Il semble que personne ne soit à l’abri des attaques de ransomwares comme le montre le blog ZATAZ. Les organisations dans presque tous les pays et secteurs ont été ciblées en 2021. L’analyse des sites de fuite de ransomwares a identifié la région des Amériques comme la plus touchée – 60 % des victimes recensées sont identifiés dans cette région, tandis que 31 % des victimes sont attribuées à l’Europe, au Moyen-Orient et à l’Afrique (EMEA) et 9% à l’Asie-Pacifique. Les services professionnels et juridiques, suivis de la construction, ont été les secteurs les plus ciblés, avec respectivement 1 100 et 600 victimes recensées sur les sites de fuite.

Les effets à long terme d’une attaque par rançongiciel peuvent représenter un défi pour les organisations. Parmi les entreprises touchées par les ransomwares, une majorité (58 %) des décideurs informatiques déclarent que leur l’organisation a payé la rançon, 14 % déclarant que leur organisation a payé plus d’une fois. Sans parler de celle qui ne souhaite pas que cela se sache et son prêt à menacer les lanceurs d’alertes.

Le rapport indique que, bien que 41 % des entreprises touchées par une attaque par ransomware aient pu récupérer en moins d’un mois, 58% ont pris plus d’un mois. 29% des entreprises interrogées attaquées par des ransomwares ont pris plus de trois mois, et 9 % ont dit qu’il leur a fallu plus de cinq à six mois pour revenir à la normale.

Les tactiques employées par ces cybercriminels reflètent la sophistication croissante et maturité du paysage des rançongiciels.

Multi-extorsion en hausse

Techniques de multi-extorsion où non seulement les attaquants chiffrent les dossiers d’une organisation, mais pratiquent aussi le « name and shame » (chantage aux victimes et/ou menacer de lancer d’autres attaques (par exemple, l’attaque DDoS) pour inciter les victimes à payer plus rapidement. En 2021, les noms et preuve de compromis pour 2 566 victimes ont été affichés publiquement sur sites de fuite de ransomware, marquant une augmentation de 85% par rapport à 2020.
​​​​
La prolifération des RaaS (Ransomware as a Services) avec la mise à disposition de « kits » et services de soutien aux cybercriminels qui réduisent leurs barrières techniques et leur permettent d’accélérer et multiplier leurs attaques.

Les principaux gangs de rançongiciels ont rapidement exploité la vulnérabilité CVE-2021-44228, communément appelée Log4Shell.

Il est fort probable que tant que les organisations ne parviendront pas à appliquer les correctifs connus pour ces vulnérabilités critiques, les attaquants continueront à les exploiter à leur avantage.

backdoor, Chiffrement, cyberattaque

Faire face aux attaques de ransomware de type « Living Off the Land »

Les cyberattaques de type « living off the land » (ou LotL) constituent désormais l’une des menaces les plus redoutables pour les entreprises. La récente campagne de ransomware contre Kaseya n’est ainsi que le dernier exemple en date, dans lequel les cybercriminels ont utilisé les ressources technologiques de l’organisation contre elle. Ces types d’attaques procurent en effet aux cybercriminels deux leviers clés : l’accès et le temps.

Si ces attaques LotL ne se concluent pas toujours par un ransomware, les deux vont de plus en plus souvent de pair et sont aussi difficiles à évaluer qu’à prévenir. Une stratégie de protection efficace commence donc par une solide compréhension de ce qui constitue une attaque par ransomware LotL et des dommages qu’elle peut causer.

Dès 2017, les attaques de malwares sans fichier ont commencé à attirer l’attention du grand public après la divulgation de rapports faisant état d’infections de systèmes IT de plusieurs grandes organisations. Or, ces malwares sans fichier ont rendu possibles les attaques LotL. En éliminant la nécessité de stocker la charge utile malveillante dans un fichier, ou de l’installer directement sur une machine, les cybercriminels peuvent alors échapper aux antivirus, et aux autres outils traditionnels de sécurité des terminaux. Ils se déplacent ensuite latéralement dans l’environnement, en escaladant les privilèges et en dévoilant de nouveaux niveaux d’accès, jusqu’à ce qu’ils atteignent le but ultime : les systèmes, les applications et les bases de données contenant des actifs commerciaux essentiels, tels que les données clients, la propriété intellectuelle, les ressources humaines.

Malwares sans fichier

Pour se maintenir dans les systèmes sans être détectés, ces malwares sans fichier se font souvent passer pour un outil de confiance doté de privilèges et d’accès élevés. Cela permet aux attaquants de surveiller l’environnement, de récupérer des identifiants, en prenant tout le temps nécessaire. Il est extrêmement difficile d’identifier, et encore plus d’arrêter, ces attaques, surtout s’il s’agit d’un ransomware sophistiqué qui cible spécifiquement l’organisation. Pour y faire, il n’y a pas d’autre choix que de penser comme des attaquants, tout en gardant à l’esprit qu’une campagne n’est pas nécessairement identique à une autre. Le cheminement des attaques LotL n’est en effet pas linéaire. L’objectif est donc de déchiffrer l’environnement et de développer une approche fondée sur ce qui s’y trouve.

La plupart des attaques LotL suivent ainsi un schéma similaire : usurper des identités pour s’infiltrer dans un réseau d’entreprise, compromettre des systèmes, élever des privilèges et se déplacer latéralement jusqu’à obtenir l’accès aux systèmes sensibles nécessaires à l’exécution de l’attaque ou à la propagation du ransomware. Mais à chaque étape, il existe des possibilités divergentes qui rendent le suivi et l’anticipation de ces attaques très complexes. Les équipes IT doivent donc bénéficier des outils nécessaires pour décomposer les comportements et les indicateurs d’alerte à surveiller, lors des étapes critiques d’une attaque par ransomware LotL, et ce, afin d’accélérer la détection et de réduire l’exposition et les dommages.

Cependant, compte tenu du nombre de techniques éprouvées dont disposent les cybercriminels, il peut se révéler difficile de savoir comment traiter les points de vulnérabilité ou par où commencer. L’élaboration d’une stratégie de protection efficace contre les ransomwares exige des organisations qu’elles étudient les maillons de la chaîne d’attaque qui présentent les niveaux de risque les plus élevés et qu’elles les classent par ordre de priorité. Ainsi, une sécurisation des terminaux à plusieurs niveaux – combinant la défense par le moindre privilège, l’authentification forte des identités, la protection contre le vol d’informations d’identification, le contrôle des applications et le blocage des ransomwares – compliquera considérablement la tâche des hackers qui voudront s’introduire et maintenir leur présence. Car une fois qu’ils ont un pied dans le réseau informatique, il leur est facile de brouiller les pistes et d’intensifier leur action. (Par Ketty Cassamajor, Responsable Avant-Vente Europe du Sud chez CyberArk)

Chiffrement, Cybersécurité, Fuite de données

Le ransomware Ryuk cible désormais les serveurs Web

Nouvelles conclusions sur les opérations stratégiques du groupe Ransomware-as-a-Service – Ryuk. Ryuk est un ransomware exclusivement utilisé dans des attaques ciblées – détecté comme Ransom-Ryuk –  il chiffre les fichiers d’une machine et demande un paiement en crypto-monnaie Bitcoin pour divulguer les clés utilisées lors du chiffrement. Les résultats dévoilent que ce nouvel échantillon Ryuk cible également les serveurs Web.

Le ransomware a pour la première fois été observé en août 2018 lors d’une campagne qui a ciblé plusieurs entreprises. L’analyse des premières versions du ransomware a révélé des similitudes et un code source partagé avec le ransomware Hermes – un malware vendu sur des forums clandestins, qui a été utilisé par de multiples acteurs malveillants.

Pour chiffrer les fichiers, Ryuk utilise une combinaison de chiffrement symétrique AES (256 bits) et asymétrique RSA (2048 bits ou 4096 bits). La clé symétrique est utilisée pour chiffrer le contenu du fichier, tandis que la clé publique asymétrique est utilisée pour chiffrer la clé symétrique. Lors du paiement de la rançon, la clé privée asymétrique correspondante est révélée, ce qui permet de déchiffrer les fichiers cryptés.

En raison de la nature ciblée du ransomware Ryuk, les premiers vecteurs d’attaque sont adaptés à la victime. Parmi eux, les plus courants sont : les emails d’harcèlement, l’exploitation d’identifiants compromis pour accéder à des systèmes à distance. À titre d’exemple, la combinaison d’Emotet et de TrickBot a souvent été observée dans les attaques de Ryuk.

Se protéger des ransomwares

Les équipes IT doivent être à l’affût de toutes traces et comportements en corrélation avec des outils de pentest open source tels que winPEAS, Lazagne, Bloodhound et Sharp Hound, ou des cadres de piratage tels que Cobalt Strike, Metasploit, Empire ou Covenant, ainsi que du comportement anormal d’outils non malveillants avec un double usage. Ces outils considérés légitimes (comme ADfind, PSExec, PowerShell, etc.) peuvent être utilisés pour l’énumération et l’exécution. Il faut également être attentif à l’utilisation anormale de Windows Management Instrumentation WMIC (T1047).

En examinant d’autres familles similaires de Ransomware-as-a-Service, l’équipe de recherche McAfee Entreprise a réalisé que certains vecteurs d’entrée sont assez courants chez les criminels du ransomware :

  • Le Spear Phishing (T1566.001) est souvent utilisé pour  s’insérer directement au sein d’un réseau. L’e-mail de phishing peut également être lié à une souche de malware différente, qui sert de chargeur et de point d’entrée aux attaquants pour continuer à compromettre le réseau de la victime. Ce phénomène a été observé dans le passé avec des programmes comme Trickbot et Ryuk ou Qakbot et Prolock, etc.
  • L’exploitation d’applications  grand public (T1190) est un autre vecteur d’entrée courant, car les cybercriminels s’informent sur les dernières annonces (cyber)sécurité et sont toujours à l’affût d’une nouvelle tentative. Les entreprises doivent être rapides et diligentes lorsqu’il s’agit d’appliquer les mises à jour de solutions de sécurité. Il existe de nombreux exemples dans le passé où des vulnérabilités concernant des logiciels d’accès à distance, des serveurs web, des équipements de périphérie de réseau et des pare-feu ont été utilisées comme point d’entrée.
  • L’utilisation de comptes valides (T1078) a toujours été une méthode éprouvée par les cybercriminels pour s’immiscer au sein de différents réseaux. L’accès RDP faiblement protégé est un excellent exemple de cette méthode d’entrée.
  • Les Infostealers (logiciel malveillant) peuvent également obtenir des comptes valides en volant les identifiants sur l’ordinateur d’une victime. Les journaux d’Infostealer contenant des milliers d’identifiants peuvent être achetés par les criminels du ransomware pour rechercher des identifiants VPN et d’entreprise. C’est pourquoi, les organisations doivent absolument disposer d’un système robuste de gestion d’identifiants et d’authentification automatique des comptes utilisateurs.

Principales conclusions :

  • Le ransomware Ryuk est exclusivement utilisé dans des attaques ciblées
  • Le dernier échantillon cible désormais les serveurs web
  • La nouvelle note de rançon invite les victimes à installer le navigateur Tor pour faciliter le contact avec les acteurs malveillants
  • Après le chiffrement du fichier, le ransomware imprime 50 copies de la note de rançon sur l’imprimante par défaut.
Chiffrement, Cybersécurité

La menace cyber la plus présente pour les MSP

Les rançongiciels, la menace cyber la plus présente pour les PME. Les décideurs MSP qui gèrent les systèmes informatiques des petites et moyennes entreprises face à un danger très présent.

Un ransomware (ou rançongiciel en français) est un logiciel informatique malveillant qui prend en otage les données et/ou fichiers. Ce logiciel chiffre et bloque les fichiers que contiennent un ordinateur et demande une rançon en échange d’une clé qui permet de les déchiffrer.

Les PME, une cible de choix pour les pirates informatiques

En général, les grandes entreprises ont des systèmes de sécurité plus avancés, alors que les petites entreprises n’ont pas les moyens et les ressources pour sérieusement sécuriser leur parc informatique. Et les hackers l’ont bien compris.

Le nombre d’attaques de rançongiciels contre les PME est en augmentation. Quatre-vingt-cinq pour cent des MSP ont signalé des attaques contre des PME en 2019, contre 79 pour cent des MSP qui ont signalé la même chose en 2018.

De plus, il existe une réelle déconnexion sur l’importance des ransomwares en tant que menace. 89% des MSP indiquent que les PME devraient être très préoccupées par la menace des ransomwares. Cependant, seulement 28% des MSP déclarent que les PME sont très préoccupées par la menace.

Les MSP également dans le viseur

Les MSP sont également une cible privilégiée des attaques de ransomwares. Quatre MSP sur cinq déclarent être de plus en plus ciblés par des attaquants.

Cependant, seulement la moitié des MSP ont une expertise externe disponible pour les aider en cas d’attaque à grande échelle contre eux ou leurs clients.

«Les MSP doivent donner le ton à leurs clients PME lorsqu’il s’agit de se préparer et de répondre aux attaques de ransomwares», a déclaré Ryan Weeks, directeur de la sécurité de l’information chez Datto.

Comment s’en protéger ?

Il existe de nombreuses recommandations pour diminuer le risque d’attaque telles que former les employés aux risques de cybersécurité, mettre à jour les systèmes, renforcer les politiques de mots de passe etc. Cependant, et surtout en sécurité informatique, le risque zéro n’existe pas.

Il existe trois scenarios de défense pour ce type d’attaque :

  • Atténuation des risques: Il s’agit de mettre en place des solutions pour diminuer le risque d’attaque. L’authentification multifacteur est l’un des contrôles les plus efficaces pour se protéger contre les accès non autorisés.
  • Préparation d’un processus de récupération: Ici, il s’agit de se préparer en cas d’attaque et de réagir après l’attaque. Il ne faut surtout pas payer la rançon car vous n’êtes pas sûrs de récupérer vos données. Votre plus belle arme est d’effectuer une sauvegarde régulière de vos données afin de s’assurer de récupérer l’intégralité de vos données.
  • Détection et approche proactive: Cette approche consiste à détecter et arrêter l’attaque avant que tout dommage ne soit causé. Si vous avez en place un système pour détecter les attaques de ransomware, vous pouvez y mettre un stop avant le chiffrement de vos données.

En savoir plus…

Pour en savoir plus sur ce sujet, n’hésitez pas à vous inscrire gratuitement à la conférence en ligne organisée par BeMSP puis à participer à la session animée par FileAudit le 7 juillet à 14h30 : « Sécuriser simplement les PME contre les activités malveillantes en mode MSP ».

Intervenants :

backdoor, Chiffrement, Cybersécurité

Tycoon, le ransomware qui infiltre les petites et moyennes entreprises dans les domaines de l’éducation et du logiciel

Le rançongiciel Tycoon tente d’infiltrer de petites et moyennes entreprises dans les domaines de l’éducation et du logiciel.

La société Blackberry Research & Intelligence vient de publier une étude concernant le ransomware Tycoon. La découverte d’une « nouvelle » souche montre que les attaquants deviennent de plus en plus créatifs et ont des programmes R&D qui ne se cachent plus.

Jusqu’à présent, les acteurs de cette menace ont utilisé ce rançongiciel pour infiltrer de petites et moyennes entreprises dans les domaines de l’éducation et du logiciel. Ce code malveillant utilise un format d’image inhabituel afin de passer inaperçu (Java IMAGE). Il verrouille les accès des administrateurs systèmes en attaquant leur contrôleur de domaine et leurs serveurs de fichiers. La typologie des victimes et le texte de rançon suggèrent un lien avec le ransomware Dharma/CrySIS.

Les pirates désactivent les solutions anti-malware à l’aide de l’utilitaire ProcessHacker. Ensuite, ils modifient les mots de passe des serveurs Active Directory. Cela laisse la victime incapable d’accéder aux systèmes infiltrés.

Le rançongiciel Tycoon se présente sous la forme d’une archive ZIP contenant une version JRE (Trojanized Java Runtime Environment). Le malware est compilé dans un fichier image Java (JIMAGE) situé dans lib\modules.

Il semble exister plusieurs versions de ce code malveillant. Il rajoute comme extension aux documents pris en otage : .grinch ou encore .thanos.

Les victimes, des cibles classiques. Plus fragile à une cyber attaque et plus à même de payer face à la perte de toutes leurs données. A lire, à ce sujet, une technique employée par les pirates opérateurs du ransomware Sodinokibi, découverte par la société en cyber sécurité de Montréal The 8 Brains, à destination des particuliers, PME et étudiants.

Chiffrement, Cybersécurité

Zoom acquiert Keybase, spécialiste du chiffrement, et annonce son objectif de développer l’offre de chiffrement de bout en bout la plus utilisée par les entreprises

Zoom acquiert Keybase, spécialiste du chiffrement, et annonce son objectif de développer l’offre de chiffrement de bout en bout la plus utilisée par les entreprises

Zoom Video Communications, Inc., spécialiste de la visioconférence dans le cloud et Keybase annoncent aujourd’hui que Zoom a fait l’acquisition de Keybase, un service de messagerie et de partage de fichiers sécurisé. L’acquisition de ce spécialiste en sécurité et en chiffrement permettra d’accélérer le plan que Zoom s’est fixé pour construire un chiffrement de bout en bout pouvant accompagner la croissance actuelle de la société.

« Il existe aujourd’hui des plateformes de communication chiffrées de bout en bout, des plateformes dont la sécurité peut être facilement déployée et des plateformes répondant aux besoins des entreprises à très grande échelle. Nous pensons toutefois qu’aucune offre sur le marché ne propose actuellement tous ces éléments réunis. Et c’est ce que Zoom souhaite construire, en offrant à ses utilisateurs, dans un même produit, sécurité, facilité d’utilisation et évolutivité. », a déclaré Eric S. Yuan, PDG et fondateur de Zoom. « La première étape consiste à réunir les bonnes personnes. Keybase apporte à Zoom une expertise approfondie en matière de chiffrement et de sécurité, et nous sommes ravis d’accueillir Max et son équipe. L’arrivée d’un groupe cohésif d’ingénieurs en sécurité comme celui-ci fait considérablement avancer notre plan de 90 jours pour renforcer nos efforts en matière de sécurité ».

« Keybase est ravie de rejoindre l’équipe Zoom », a déclaré Max Krohn, co-fondateur et développeur de Keybase.io. « Notre équipe est passionnée par la sécurité et le respect de la vie privée. C’est un honneur de pouvoir apporter notre expertise en matière de chiffrement à une plateforme telle que Zoom qui est utilisée par des centaines de millions de participants par jour ».

Intégrée à l’équipe d’ingénieurs en charge de la sécurité de Zoom, Keybase jouera un rôle clé dans l’articulation du plan de 90 jours que Zoom s’est fixé pour identifier et traiter les failles potentielles, et ainsi améliorer les capacités de sécurité et de confidentialité de sa plateforme. Max Krohn prend la tête de l’équipe d’ingénieurs en charge de la sécurité de Zoom. Il relèvera directement d’Eric Yuan. Les dirigeants de Zoom et de Keybase travailleront ensemble pour déterminer l’avenir du produit Keybase. Les termes de la transaction n’ont pas été divulgués.

Keybase est une entreprise qui se consacre à la sécurité, au chiffrement, à l’identification forte et à la protection de la vie privée. Keybase propose des services de chat chiffré de bout en bout, de partage de fichiers et d’hébergement de codes, tous basés sur une plateforme de chiffrement capable de supporter plusieurs appareils par utilisateur et des équipes importantes et dynamiques.

A noter que la ville de New-York a levé l’interdiction d’utiliser ZOOM dans les établissements scolaires de la Grosse Pomme.

Chiffrement

COVID19: COMMENT SÉCURISER LE TÉLÉTRAVAIL ?

De plus en plus de cas de Covid 19 (coronavirus) poussent les pays à se confiner, forçant ainsi la majorité des salariés à pratiquer le télétravail. Cette mesure est nécessaire afin de limiter la propagation du virus, mais elle est néanmoins risquée et présente de nombreux risques de cybersécurité.

Télétravail & Cybersécurité: Quels sont les risques?

La majorité des professionnels de l’informatique l’ont bien compris : la télétravail est particulièrement bénéfique mais comporte des risques.

Cette étude nous montre que 92% des professionnels de l’informatique considèrent les avantages du travail à distance plus importants que les risques engendrés.

Cependant, leur approbation du télétravail ne vient pas sans inquiétudes. 90% des personnes interrogées estiment que les travailleurs à distance représentent un risque de sécurité en général et 54% sont convaincus qu’ils présentent un risque plus élevé que les employés travaillant sur site.

Les risques sont nombreux : réseaux non sécurisés, espionnage, piratage, employés exploités… Au final, ils concernent tous la manière dont l’équipe informatique réussi à étendre la sécurité de l’accès au réseau de l’entreprise – et aux données sensibles à l’intérieur.

Comment sécuriser le télétravail ?

La sensibilisation des employés aux enjeux et risques de la sécurité informatique est bien évidemment primordiale. Cependant, elle n’est pas suffisante. Voici quelques mesures à prendre afin de sécuriser vos télétravailleurs.

  1. Mise en place d’un VPN

La mise en place d’un VPN (Virtual Private Network) permet d’ouvrir un tunnel sécurisé entre le poste de travail à distance et le réseau de votre entreprise.

  1. Sécurisation des connexions VPN

Afin de sécuriser les accès utilisateur en dehors du bureau, l’équipe informatique doit être capable de limiter l’accès VPN à seulement certains ordinateurs portables autorisés par l’entreprise. Les tentatives d’accès provenant d’une autre machine doivent alors être refusées.

  1. Surveillance et gestion des sessions RDP

Afin de détecter des accès anormaux, il est important de mettre en place une solution de surveillance de vos sessions à distance (RDP). De plus, des alertes en temps réel et une réponse immédiate vous permettent d’agir avant que tout dommage ne soit causé.

  1. Authentification à deux facteurs (2FA) pour les sessions RDP

La 2FA permet de sécuriser l’accès à votre environnement Windows. Pour les sessions à distance, le besoin est encore plus important. Il est primordial de vérifier l’identité des utilisateurs finaux qui se connectent à un ordinateur (distant ou virtuel) sur le réseau.

Une solution pour sécuriser le télétravail

UserLock atténue le risque de sécurité lié au télétravail et protège contre les accès inappropriés ou suspects. UserLock travaille aux côtés d’Active Directory pour aider les administrateurs à gérer et sécuriser les accès pour tous les utilisateurs (à distance ou sur site), sans frustrer les employés ou gêner le département informatique. Découvrez comment fonctionne cette solution dans cet article.