Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

cyberattaque, Cybersécurité

Les cybercriminels de RansomHub utilisent TDSSKiller pour contourner les systèmes de sécurité

Les attaques par ransomware continuent d’évoluer avec l’ingéniosité des cybercriminels, et les méthodes de contournement des systèmes de sécurité se sophistiquent. RansomHub, un groupe de pirates notoire, exploite un outil légitime de Kaspersky Lab, TDSSKiller, pour désactiver les services de détection et de réponse des points finaux (EDR) sur les systèmes qu’ils ciblent.

Ce détournement des outils de cybersécurité souligne un défi majeur dans la lutte contre les ransomwares : l’utilisation d’outils authentiques et signés pour masquer des intentions malveillantes.

TDSSKiller, développé par Kaspersky Lab, est à la base un logiciel de sécurité conçu pour détecter et éliminer les rootkits et bootkits, des types de malwares difficiles à identifier et à éliminer. Ces programmes malveillants peuvent contourner les mesures de sécurité traditionnelles et s’intégrer profondément dans le système, ce qui rend leur élimination complexe.

Cependant, comme le rapporte Bleeping Computer, RansomHub a détourné l’utilisation de cet outil pour interagir avec les services au niveau du noyau du système infecté, désactivant ainsi les services anti-malware tels que MBAMService de Malwarebytes. Ce processus se fait via un script de ligne de commande ou un fichier batch, ce qui permet aux cybercriminels de désactiver les mécanismes de défense critiques et de s’assurer que leur présence sur le système reste inaperçue.

Comment RansomHub utilise LaZagne pour l’exfiltration des informations d’identification

Après avoir désactivé les systèmes de défense via TDSSKiller, les pirates de RansomHub passent à la collecte d’informations d’identification. Ils exploitent l’outil LaZagne, un autre programme légitime, pour extraire les informations de connexion stockées dans les bases de données d’applications. Cet outil peut accéder à des identifiants provenant de navigateurs, de clients de messagerie, de bases de données ou encore de logiciels de gestion de mots de passe.

Une fois les informations d’identification récupérées, les pirates peuvent se déplacer latéralement dans le réseau, escaladant leurs privilèges pour prendre le contrôle de nouveaux systèmes et y installer d’autres malwares ou finaliser une attaque de ransomware. Malwarebytes a enquêté sur une attaque où LaZagne avait généré 60 fichiers contenant des données volées, preuve de l’étendue des informations que ces cybercriminels peuvent exfiltrer.

Les implications pour les entreprises : vigilance et renforcement des défenses

L’utilisation d’outils légitimes dans des attaques malveillantes est particulièrement problématique pour les équipes de sécurité. TDSSKiller est signé avec un certificat valide, ce qui rend sa détection par des logiciels de sécurité standard difficile. Les solutions de sécurité doivent donc être adaptées pour reconnaître des comportements suspects, même s’ils émanent d’outils légitimes. Cela inclut l’analyse comportementale avancée et la mise en place de restrictions plus strictes quant à l’utilisation d’outils tels que TDSSKiller ou LaZagne dans des environnements sensibles. Malwarebytes a souligné que les attaquants de RansomHub ont cherché à dissimuler leurs traces en supprimant des fichiers après avoir exfiltré des données d’identification, un comportement typique visant à éviter la détection post-incident.

Cybersécurité, Entreprise

Cybersécurité : la menace interne

Le FBI a récemment émis une alerte sur une menace de plus en plus courante et souvent négligée : la menace interne. Si les entreprises se concentrent principalement sur les attaques externes, il apparaît que les cybercriminels trouvent de nouveaux moyens d’infiltrer les systèmes de sécurité des organisations en se faisant passer pour des employés.

Une menace interne qui prend une nouvelle dimension avec l’exemple concret de Kyle, un faux employé nord-coréen, qui a réussi à contourner toutes les étapes de recrutement, jusqu’à pénétrer le réseau d’une entreprise. En juillet, KnowBe4 a levé le voile sur un cas inquiétant. L’entreprise avait recruté un employé, appelé Kyle, qui semblait remplir toutes les qualifications nécessaires.

Cependant, dès que Kyle a connecté son PC au réseau de l’entreprise, une vague de malwares a immédiatement été détectée. Le helpdesk a tenté de joindre l’utilisateur, mais celui-ci est resté silencieux. Après une enquête approfondie, il est apparu que Kyle n’était en réalité qu’un faux employé – un agent nord-coréen ayant utilisé une fausse photo générée par l’IA pour tromper les recruteurs. Cette infiltration a mis en lumière un schéma de fraude bien rodé : des fermes d’ordinateurs portables aux États-Unis permettent aux agents nord-coréens de se connecter aux serveurs internes des entreprises depuis l’étranger, camouflant ainsi leur localisation réelle.

Une menace en plein essor aux États-Unis

Et Kyle n’est pas un cas isolé. Le FBI a récemment averti que ce type de menace se propageait aux États-Unis, avec des centaines, voire des milliers de cas similaires recensés depuis 2022 et 2023. Ces infiltrations par des agents étrangers montrent clairement que la cybercriminalité interne est un problème persistant et que les entreprises ne peuvent plus se permettre de sous-estimer ce risque. Face à cette menace croissante, il est essentiel pour les entreprises d’adopter une approche proactive pour renforcer leurs défenses internes. Bien que certaines mesures de sécurité soient déjà en place, d’autres actions peuvent être prises pour limiter les risques d’infiltration.

Les recruteurs doivent désormais redoubler de vigilance, notamment en matière de vérification des antécédents. Même pour des postes en full remote, il est important d’exiger la présence physique des candidats lors du processus de recrutement et régulièrement après leur embauche. La mise en place d’un système de détection des comportements inhabituels est cruciale. Cela peut être aussi simple que de surveiller des paramètres tels que les volumes de données transférées ou les horaires de connexion, ou d’utiliser des technologies avancées comme l’UEBA (User and Entity Behavior Analytics) pour identifier des anomalies plus subtiles. La gestion des droits d’accès aux informations est souvent un point faible dans la sécurité des entreprises. Il est impératif de limiter l’accès aux données sensibles et de s’assurer que chaque employé n’ait accès qu’à ce qui est nécessaire à son travail.

Il est recommandé de constituer une équipe spécifiquement chargée de traiter les incidents liés aux menaces internes. Cette équipe pourra gérer les cas de manière discrète, sans que les informations sensibles ne circulent librement dans le SOC (Security Operations Center) ou dans les tickets ouverts, afin d’éviter des fuites d’informations. Une red team dédiée à la « menace interne » devrait être incluse dans les budgets de cybersécurité pour l’année 2025. Cette équipe spécialisée pourrait simuler des scénarios d’infiltration afin d’identifier les failles potentielles dans les processus de recrutement et de sécurité des entreprises.

Protéger la vie privée tout en assurant la sécurité

Bien que ces mesures soient cruciales, il est tout aussi important de respecter les droits à la vie privée des employés. Les entreprises doivent donc équilibrer la protection contre les menaces internes avec les préoccupations en matière de protection des données personnelles. Pour ce faire, elles peuvent s’inspirer des pratiques éprouvées dans le domaine de la lutte contre la fraude, où des protocoles de sécurité sont en place depuis longtemps tout en préservant les droits des individus.

La menace interne représente un défi croissant pour les entreprises, en particulier avec des cybercriminels capables de se faire passer pour des employés légitimes. L’exemple de Kyle, l’agent nord-coréen infiltré, souligne à quel point ces attaques peuvent être sophistiquées et difficiles à détecter. Mais attention, l’employé malveillant n’est pas obligatoirement venu de pays étranger. Il peut être aussi un « simple » malveillant comme a pu le vivre l’entreprise CapGemini, en France, en 2024.

Chiffrement, Cybersécurité, Entreprise

Entreprise : tentative d’extorsion de données en interne

Le 27 août 2024, Daniel Ryan, un résident de Kansas City, Missouri, âgé de 57 ans, a été arrêté pour tentative d’extorsion de données suite à une opération de cyber-chantage menée contre son ancien employeur, une entreprise industrielle basée dans le comté de Somerset, New Jersey. Cet événement marquant soulève des questions cruciales sur la sécurité des systèmes informatiques et les vulnérabilités internes que certaines entreprises doivent affronter.

Un ancien employé devient cybercriminel

Daniel Ryan, un ancien ingénieur en infrastructures, a été inculpé de trois chefs d’accusation : extorsion par menace de dommages à un ordinateur protégé, dommages intentionnels à un système informatique protégé, et fraude électronique. Ces charges résultent d’une tentative de sabotage et d’extorsion visant à paralyser le réseau informatique de l’entreprise, à moins qu’une somme non spécifiée ne soit versée.

L’arrestation de Ryan met en lumière l’importance de la confiance placée dans les employés ayant accès à des informations sensibles. L’ancien employé, après avoir quitté son poste, a réussi à conserver un accès non autorisé aux systèmes de l’entreprise, exploitant cette faille pour lancer son attaque.

Tentative d’extorsion : un scénario de chaos planifié

L’affaire a débuté lorsque Ryan a envoyé plusieurs lettres de menace à des employés de l’entreprise le 25 novembre 2023, affirmant que le réseau de l’entreprise avait été compromis. Dans ces lettres, il indiquait que tous les administrateurs IT avaient été « exclus ou supprimés » du réseau et que les sauvegardes de données avaient été détruites. Plus alarmant encore, Ryan menaçait de fermer 40 serveurs par jour pendant une période de 10 jours si l’entreprise refusait de se plier à ses exigences.

Cette menace, visant à paralyser totalement l’activité de l’entreprise, souligne l’impact potentiel d’une cyberattaque initiée de l’intérieur, une menace souvent négligée par les entreprises.

L’enquête, menée par le ministère américain de la Justice (DoJ), a révélé que Daniel Ryan avait réussi à obtenir un accès à distance non autorisé au réseau de l’entreprise, en utilisant un compte administrateur. Il a configuré plusieurs tâches malveillantes, incluant la modification des mots de passe des administrateurs et l’arrêt des serveurs, compromettant ainsi la stabilité du réseau.

L’enquête a également découvert que Ryan avait utilisé des outils de hacking bien connus comme Sysinternals Utilities PsPasswd pour changer les mots de passe de l’administrateur de domaine et des comptes locaux, modifiant ces derniers pour qu’ils deviennent TheFr0zenCrew!. Cette modification lui a donné un contrôle quasi total sur les systèmes informatiques de l’entreprise.

De plus, Ryan avait mis en place une machine virtuelle cachée qui lui permettait d’accéder à distance aux systèmes de l’entreprise, dissimulant ses traces grâce à des techniques sophistiquées comme l’effacement des journaux Windows. Les autorités ont également découvert des recherches effectuées par Ryan sur la façon de changer les mots de passe administrateurs à travers des lignes de commande.

Procès et sanctions sévères

Daniel Ryan, après son arrestation, a immédiatement comparu devant la justice. Pour les trois chefs d’accusation retenus contre lui, il risque une peine maximale de 35 ans de prison et une amende de 750 000 dollars. Ce cas de cybercriminalité met en lumière la sévérité des peines encourues pour les crimes liés à l’extorsion et à la fraude électronique, ainsi que l’importance d’une sécurisation renforcée des systèmes IT, même après le départ d’un employé.

L’arrestation de Daniel Ryan est un rappel frappant des dangers internes auxquels les entreprises sont confrontées en matière de cybersécurité. Il est impératif que les entreprises mettent en place des procédures strictes de contrôle d’accès, en particulier lorsque des employés quittent l’organisation, afin de minimiser les risques d’abus. Des systèmes de surveillance renforcés, associés à des pratiques de cybersécurité rigoureuses, sont essentiels pour prévenir de telles attaques internes à l’avenir.

En résumé, la tentative infructueuse d’extorsion de Daniel Ryan démontre les risques liés à une mauvaise gestion des accès IT et souligne la nécessité de rester vigilant face aux menaces internes. Le secteur de la cybersécurité doit continuer à évoluer pour faire face à ces défis en constante mutation, garantissant ainsi la protection des données critiques des entreprises.

Emploi, Entreprise, Wordpress

Enregistrement obligatoire des blogueurs avec plus de 10 000 abonnés : ce qu’il faut savoir

Le Service fédéral de surveillance des communications, des technologies de l’information et des communications de masse (Roskomnadzor) Russe a publié le premier document officiel sur l’enregistrement des blogueurs ayant une audience de 10 000 abonnés ou plus.

Selon ce document, les blogueurs ayant une telle audience sont tenus de s’inscrire auprès de Roskomnadzor dans un registre spécial et de fournir des informations sur :

Nom complet du blogueur (propriétaire de la page personnelle).
Date de naissance.
Données de passeport ou données d’un autre document d’identification.
Adresse email.
Numéro de téléphone du contact.
Le nom du réseau social ou de la plateforme (par exemple, VKontakte, Telegram, YouTube, etc.).
Un lien vers une page personnelle ou un compte comptant plus de 10 000 abonnés.
Confirmation que le nombre d’abonnés dépasse le seuil des 10 000 personnes.
Informations sur le fournisseur d’hébergement et l’adresse IP (le cas échéant).
La nature du contenu.
Les blogueurs s’engagent également à vérifier l’exactitude des informations publiées et à ne pas enfreindre les lois de la Fédération de Russie (par exemple, les lois sur les fausses nouvelles et l’extrémisme). En cas de violation, ils s’exposent à des amendes ou à d’autres sanctions prévues par la législation de la Fédération de Russie. À son tour, Roskomnadzor a la possibilité de surveiller les informations diffusées par les principaux blogueurs pour garantir leur conformité avec les lois russes.

Statistiques

Les statistiques sur le nombre de blogueurs en Russie comptant plus de 10 000 abonnés changent constamment. Ainsi, les blogueurs comptant plus de 10 000 abonnés sont classés parmi les micro-influenceurs, qui représentent une part importante du marché. En 2022, il y avait environ 1,5 million de blogueurs en Russie avec différents niveaux d’abonnés. Parmi eux, les micro-influenceurs (10 000 à 50 000 abonnés) représentent plus de 50 %, les influenceurs intermédiaires (50 000 à 100 000 abonnés) – environ 20 %.

Les chiffres exacts changent constamment, mais le total des blogueurs avec une audience de plus de 10 000 personnes peut être estimé à des centaines de milliers uniquement sur les principales plateformes : VKontakte, Odnoklassniki, Telegram, LiveJournal, Pikabu, Pinterest, Rutube, Yandex.Zen, Twich, Discorde et Yappy. Des plateformes telles qu’Instagram et TikTok, qui sont bloquées en Russie (mais accessibles via un VPN), pourraient également tomber sous le coup de ces règles si elles opèrent officiellement en Russie.

A noter que Roskomnadzor a supprimé le document de son portail quelques heures aprés sa diffusion.

backdoor, Cybersécurité

Un ingénieur découvre une porte dérobée dans des cartes sans contact d’un fabricant chinois

Quarkslab, une entreprise française spécialisée dans la cybersécurité offensive et défensive, a annoncé la découverte d’une porte dérobée présente dans des millions de cartes sans contact fabriquées par Shanghai Fudan Microelectronics Group Co. Ltd., un des principaux fabricants de puces en Chine. Les cartes concernées sont largement utilisées dans les transports publics et l’industrie hôtelière à travers le monde.

Les cartes MIFARE* sont une marque bien connue pour une large gamme de produits de circuits intégrés sans contact, produits et licenciés par NXP Semiconductors N.V. (NASDAQ: NXPI). Les circuits intégrés sans contact MIFARE ont une distance de lecture/écriture typique de 10 cm et sont utilisés dans plus de 750 villes, dans plus de 50 pays, et dans plus de 40 applications différentes à travers le monde, y compris les paiements sans contact, la billetterie de transport et le contrôle d’accès. La gamme de produits a rencontré un immense succès, avec plus de 12 milliards de cartes sans contact et à double interface vendues, selon le vendeur.

Dès 2010, plus de 3,7 milliards de cartes avaient été fabriquées et déployées à travers le monde.

Selon NXP en 2019, lors de son 25e anniversaire, plus de 1,2 milliard de personnes dans plus de 750 villes à travers le monde utilisaient quotidiennement des produits MIFARE.

La famille de cartes MIFARE Classic*, lancée à l’origine en 1994 par Philips Semiconductors (aujourd’hui NXP Semiconductors), est largement utilisée et a été soumise à de nombreuses attaques au fil des années. Les vulnérabilités de sécurité permettant des attaques dites « card-only » (attaques nécessitant l’accès à une carte mais pas au lecteur correspondant) sont particulièrement préoccupantes car elles peuvent permettre aux attaquants de cloner des cartes, ou de lire et de modifier leur contenu, simplement en se trouvant à proximité physique d’elles pendant quelques minutes. Au fil des années, de nouvelles versions de la famille MIFARE Classic* ont été développées pour contrer les différents types d’attaques découvertes par les chercheurs en sécurité.

En 2020, le FM11RF08S, une nouvelle variante de MIFARE Classic*, a été lancée par Shanghai Fudan Microelectronics, le principal fabricant chinois de puces « compatibles MIFARE » non licenciées. Cette variante comporte des contre-mesures spécifiques conçues pour déjouer toutes les attaques « card-only » connues et gagne progressivement des parts de marché à l’échelle mondiale. De nombreuses organisations utilisent ces cartes sans savoir qu’il s’agit de produits Fudan, car elles sont étiquetées MIFARE.

Lors de recherches en sécurité, Philippe Teuwen, chercheur en sécurité chez Quarkslab, a identifié des caractéristiques idiosyncratiques intéressantes des cartes FM11RF08S. Tout d’abord, il a découvert une attaque capable de casser les clés des cartes FM11RF08S en quelques minutes si elles sont réutilisées sur au moins trois secteurs ou trois cartes. Des recherches supplémentaires ont révélé une porte dérobée matérielle qui permet l’authentification avec une clé inconnue.

Il a ensuite utilisé cette nouvelle attaque pour obtenir (« craquer ») cette clé secrète et a découvert qu’elle est commune à toutes les cartes FM11RF08S existantes. Avec la connaissance de la porte dérobée et de sa clé, il a conçu une méthode pour casser toutes les clés d’une carte FM11RF08S en environ 15 minutes si les 32 clés sont diversifiées, beaucoup moins de temps si seulement quelques clés sont définies. Ensuite, il a trouvé une porte dérobée similaire, protégée par une autre clé, dans la génération précédente de cartes (FM11RF08). Après avoir également craqué cette seconde clé secrète, il a découvert que cette clé est commune à toutes les cartes FM11RF08, ainsi qu’à d’autres modèles du même fabricant (FM11RF32, FM1208-10), et même à certaines anciennes cartes de NXP Semiconductors N.V. (NASDAQ: NXPI) et d’Infineon Technologies AG (FSE: IFX / OTCQX: IFNNY).

« Les technologies de communication en champ proche (NFC) sont largement déployées dans le monde entier et ont de nombreuses utilisations aujourd’hui. Elles sont la pierre angulaire de certaines applications critiques telles que les transports publics, l’identification personnelle, le contrôle d’accès physique et les systèmes de paiement, et elles sont omniprésentes dans l’industrie hôtelière. Mais même des technologies matures qui ont été étudiées pendant des décennies et dont la sécurité a été améliorée au fil du temps peuvent être sujettes à des attaques ou à des manipulations par différents types d’acteurs malveillants« , a déclaré Fred Raynal, PDG de Quarkslab. « La découverte de Philippe réaffirme la nécessité pour les organisations de réaliser régulièrement des audits de sécurité approfondis des technologies sans contact qu’elles utilisent. Ce besoin est particulièrement aigu pour les organisations ayant des chaînes d’approvisionnement complexes, où les attaques sur la chaîne d’approvisionnement peuvent représenter une menace sérieuse dans leur modèle de menace.« 

Bien que, sans accès préalable à une carte affectée, la porte dérobée nécessite seulement quelques minutes de proximité physique avec la carte pour mener une attaque, une entité en position de réaliser une attaque sur la chaîne d’approvisionnement pourrait exécuter de telles attaques instantanément et à grande échelle.

Quarkslab a publié un résumé des conclusions sur le blog de l’entreprise. La nouvelle attaque et toutes les découvertes associées ont été révélées dans un article de recherche publié vendredi dernier, le 16 août, sur l’archive de cryptologie ePrint de l’International Association for Cryptologic Research (IACR).

Les outils associés ont été intégrés dans le projet open-source Proxmark3, permettant aux utilisateurs potentiellement affectés de tester leurs cartes.

Cybersécurité, Mise à jour

Ma classe à la rentrée ? Le reveal piégé !

Une escroquerie en ligne, loin d’être nouvelle, cible les parents et les élèves impatients de découvrir avec qui ils partageront leur prochaine rentrée scolaire. Le site « RevealClasse » se présente sous une apparence trompeuse, reprenant les codes visuels des sites gouvernementaux français, notamment l’utilisation des couleurs tricolores et des logos similaires à ceux de la police.

La Gendarmerie Nationale a alerté, en plein été 2024, l’apparition d’un site frauduleux exploitant la curiosité des futurs collégiens et lycées. Une arnaque qui fait son apparition chaque année. La référence des blogs sur la cybersécurité, ZATAZ.COM, en révèle chaque année depuis plus de 20 ans ! Voici trois exemples en 2017 ; 2019 ou encore 2023.

Le faux site repéré par la Gendarmerie.

La Gendarmerie rappelle que ce faux site à trois missions :

  1. Collecte d’informations : Les utilisateurs sont invités à saisir leurs nom, prénom, ville et nom de l’établissement scolaire. Cette étape donne l’illusion de légitimité et de sécurité.
  2. Vérification fallacieuse : Une fois les informations saisies, une liste partielle apparaît, avec des noms floutés. Pour accéder à la liste complète, les utilisateurs doivent prouver qu’ils ne sont pas des robots en accomplissant des « missions » comme l’installation d’applications ou la participation à des jeux-concours.
  3. Escroquerie finale : Malgré toutes ces étapes, les utilisateurs ne reçoivent jamais la liste attendue. À la place, leurs informations personnelles sont volées, les exposant à divers types de fraudes.

La jeune génération : une cible facile

Contrairement aux idées reçues, une étude britannique récente a révélé que les jeunes de moins de 20 ans sont plus vulnérables aux arnaques en ligne que les personnes de plus de 55 ans. Bien que cette génération soit fortement connectée aux réseaux sociaux et aux outils numériques, elle ne détecte pas toujours les pièges en ligne. Il est crucial de ne jamais divulguer d’informations personnelles sur des sites suspects. En cas de doute, contactez votre brigade de gendarmerie ou la brigade numérique. Vous pouvez également signaler ces arnaques sur le site officiel : www.internet-signalement.gouv.fr. La vigilance est de mise pour éviter de tomber dans les pièges tendus par ces cyberdélinquants, surtout lorsque cela concerne la sécurité des informations personnelles des enfants.

Cybersécurité, Mise à jour

Signal, Instagram et Roblox interdits sur Internet

Le ministère des télécommunications Russe fait interdire l’utilisation de la messagerie Signal sur le territoire Russe. Roblox et Instagram en Turquie.

La Russie a annoncé l’interdiction de la messagerie Signal, qui utilise un chiffrement de bout en bout rendant les communications entre utilisateurs inaccessibles aux autorités. Cette mesure s’inscrit dans un renforcement de la législation russe visant à contrôler les services internet étrangers. Roskomnadzor, l’autorité de régulation, a déclaré que Signal enfreint les lois en ne se conformant pas aux exigences de lutte contre le terrorisme et l’extrémisme.

Suite à cette annonce, de nombreux utilisateurs en Russie ont signalé que le service était devenu indisponible. Depuis l’invasion de l’Ukraine par la Russie en 2022, Roskomnadzor a déjà bloqué des milliers de sites internet non approuvés par le gouvernement, renforçant ainsi son contrôle sur l’accès à l’information en ligne. L’interdiction de Signal s’ajoute à cette liste croissante de services restreints en Russie, accentuant la censure et limitant les moyens de communication sécurisés pour les citoyens.

A noter que Signal fonctionne parfaitement, avec un VPN.

De son côté, Telegram fonctionne toujours sur le sol Russe.

Pendant ce temps, en Turquie, Instagram vient d’être de nouveau autorisé après une dizaine de jours de blocage. « À la suite de nos négociations avec les responsables d’Instagram, nous débloquerons l’accès […] après qu’ils se soient engagés à répondre à nos demandes« , indique le ministre des Transports et des infrastructures sur son compte X. Instagram avait été accusé de plusieurs « maux » allant de « censure » en passant par diffusion de « contenus illicites ».

Une autre plateforme ludique et communautaire a été bloquée en Turquie : Roblox. Selon le ministre turc de la Justice, Yilmaz Tunç, il existe un risque d’incitation à la maltraitance des mineurs sur ce jeu vidéo.

« Comme l’exige notre constitution, l’État est tenu de prendre les mesures nécessaires pour protéger nos enfants. L’utilisation de la technologie à des fins négatives ne peut être acceptée », a déclaré le ministre turc de la Justice. Parent, jouez au jeu avec vos enfants, cela vous donnera une vraie idée du contenu et des interactions avec la communauté locale. Cela pourrait éviter de colpoter de fausses informations de « sortie d’école » comme ce fût le cas, en 2018, avec un faux message de la police du Kent trés largement diffusé et déformé.

Banque, Cybersécurité

Les opérateurs téléphoniques inclus dans la lutte contre la fraude bancaire en Russie

Depuis le 25 juillet 2024, les banques russes ont commencé à restituer aux clients les fonds volés par les fraudeurs dans le cadre d’un nouveau système antipiratage de carte bancaire. Les opérateurs téléphoniques sont impliqués dans la chasse aux pirates.

Les banques russes ont l’obligation, depuis le 25 juillet, de rembourser les fonds volés par des pirates informatiques dans les 30 jours suivant la réception de la demande correspondante du client. Comme l’a expliqué un représentant de la Banque centrale, l’objectif principal est de lutter contre le vol de fonds, notamment en utilisant des techniques et des méthodes d’ingénierie sociale. Il a ajouté que le document établit un ensemble de mécanismes visant à encourager les banques à améliorer la qualité de leurs systèmes antifraude. Ainsi, selon la Banque centrale, en 2023, les banques n’ont restitué à leurs clients que 8,7 % des 15,8 milliards de roubles volés (plus de 170 millions d’euros).

Comment se déroulera le remboursement ? Si un client de la banque (particulier) a détecté un vol de fonds, il doit le signaler à la banque. La banque de l’expéditeur doit alors vérifier la demande et restituer le montant total des fonds volés dans un délai de 30 jours après réception de la demande du client dans les cas suivants :

  • si la banque a autorisé le transfert de fonds vers un compte frauduleux, qui se trouve dans la base de données spéciale de la Banque de Russie « Sur les cas et tentatives de transfert de fonds sans le consentement du client ». La Banque centrale collecte cette base de données sur la base des données reçues des banques et autres opérateurs de systèmes de paiement. Elle contient des informations sur les transactions terminées, les payeurs et les destinataires des fonds. Dans le même temps, les établissements de crédit ont trouvé dans cette base de données des données provenant de magasins légaux, y compris des chaînes de vente au détail fédérales et régionales, et ont averti la Banque centrale du blocage forcé des paiements qui leur étaient destinés ;
  • si la banque n’a pas envoyé de notification au client concernant le virement, qui a été effectué sans le consentement du client ;
  • si le client a perdu la carte ou si elle a été utilisée sans son consentement, la banque doit restituer les fonds à condition que le client ait été informé de ces faits. Si le client n’a pas averti la banque de la perte de contrôle de la carte, la banque ne pourra pas rembourser les fonds. Dans ce cas, le délai de retour d’un virement transfrontalier est également précisé – 60 jours.

Les opérateurs téléphoniques en appui Les banques devront également bloquer les transactions suspectes pendant deux jours et pendant ce temps contacter le client pour s’assurer qu’il effectue un transfert d’argent volontairement et non sous l’influence de fraudeurs. Sont considérées comme transactions suspectes celles qui sont effectuées sur un compte ou un appareil à partir de la base de données de la Banque centrale si les paramètres du transfert d’argent sont atypiques pour le client (par exemple, le volume des fonds envoyés, le lieu de la transaction, etc.).

Depuis le 25 juillet, de nouveaux signes de transferts suspects se sont ajoutés. L’un de ces facteurs est l’information des opérateurs mobiles sur les conversations téléphoniques périodiques et longues, ainsi que l’augmentation du nombre de SMS avant l’envoi d’un transfert. Un transfert d’argent vers un compte depuis la base de données de la Banque centrale sera bloqué strictement pendant deux jours, même si le client a confirmé la transaction. Autrement dit, la banque ne pourra traiter le virement qu’après l’expiration de ce délai. Dans tous les autres cas, la banque est tenue d’effectuer le virement immédiatement après avoir reçu la confirmation du client.

Banque, Bitcoin, Cybersécurité

Arnaques crypto : nouvelle méthode de drainage des fonds sur le réseau TON

Les arnaques en crypto-monnaies continuent d’évoluer, exploitant la confiance des utilisateurs et les technologies de pointe pour dérober des fonds.

Une nouvelle méthode de détournement de crypto-monnaies sur le réseau TON a récemment été mise en lumière, utilisant une technique connue sous le nom de « drainer ». Voici comment fonctionne cette arnaque et les précautions à prendre pour se protéger.

Le « drainer » est une technique simple mais efficace pour détourner des fonds en crypto-monnaies. Le processus commence lorsque la victime, souvent appelée « mammouth » dans le jargon des arnaqueurs, se connecte à une application ou un site web malveillant. Ce site peut sembler légitime et demande à l’utilisateur de connecter son portefeuille crypto, tel que Tonkeeper ou @wallet.

Une fois le portefeuille connecté, l’application demande à l’utilisateur d’approuver une transaction. Cette demande d’approbation est souvent masquée ou déguisée pour ne pas éveiller de soupçons. L’utilisateur, pensant qu’il s’agit d’une action bénigne, donne son accord. En réalité, il autorise le transfert de tous ses fonds vers le portefeuille des arnaqueurs. (Exemple d’arnaque dans la vidéo ci-dessous).

Exemple récent d’arnaque

Dans le nouveau rapport lié au cybercrime diffusé par le Ministère de l’Intérieur Français, le 30 juillet, le « drainage » est dans le collimateur des autorités. Récemment, une telle arnaque a permis de détourner 50 000 dollars en quelques clics. Les fonds volés comprenaient des tokens ANON, Gram, et un numéro virtuel acheté deux semaines auparavant pour 12 000 dollars. Vous pouvez voir les détails de la transaction sur le réseau TON via ce lien. Les Etats-Unis, par exemple et comme a pu vous le révéler DataSecuritybreach.fr, viennent de condamner un milliardaire Chinois, en exil aux USA, pour escroquerie à la cryptomonnaie.

Les arnaqueurs derrière cette méthode cherchent actuellement à étendre leurs opérations et recrutent de nouveaux partenaires. Ils proposent de collaborer sans nécessiter d’investissements initiaux ou de vendre des « drainers » prêts à l’emploi pour ceux qui souhaitent se lancer dans cette activité illicite. Ils opèrent principalement sur des forums de la dark web avec un garant pour assurer les transactions. « Nous invitons chacun à rejoindre notre équipe et à gagner de l’argent sans investissement dans le projet scam le plus prometteur du web3. » a pu lire le blog ZATAZ, le spécialiste mondialement reconnu sur toutes les questions de lutte contre le cybercrime.

Comment fonctionne le Drainer ?

Le drainer fonctionne de manière assez simple : sous n’importe quel prétexte (air drop, loterie, etc.), la personne lance un bot Telegram, connecte son portefeuille via le protocole Ton Connect, par exemple Tonkeeper. Le drainer des voyous 2.0 prend en charge n’importe quel portefeuille. Ensuite, une transaction est envoyée, elle peut être acceptée ou refusée. « Si vous confirmez, vous envoyez les TON et tous les autres actifs cryptographiques au portefeuille du propriétaire du drainer. […] Notre objectif est d’attirer la personne dans notre bot, qui peut être déguisé en n’importe quoi : une copie d’un projet célèbre existant, l’obtention d’un actif précieux, des distributions, etc. Lorsque la personne appuie sur le bouton, une approbation lui est demandée, et après sa confirmation, tous les actifs nous sont transférés. » indiquent les pirates.

Comment se Protéger

Vérifiez les applications et sites web
Avant de connecter votre portefeuille crypto à une application ou un site web, assurez-vous qu’ils sont légitimes et bien réputés. Recherchez des avis et des témoignages d’autres utilisateurs.

Lire attentivement les demandes d’approbation
Ne vous précipitez pas pour approuver des transactions ou des demandes d’accès à votre portefeuille. Lisez attentivement ce qui est demandé et assurez-vous de comprendre les implications.

Utilisez des portefeuilles sécurisés
Préférez les portefeuilles avec des mesures de sécurité avancées et des options de validation multiple des transactions.

Méfiez-vous des offres trop belles pour être vraies
Les arnaques proposent souvent des gains rapides et faciles. Soyez sceptique face à ces offres et ne partagez jamais vos informations sensibles.

Éducation et vigilance
Restez informé des dernières arnaques en crypto-monnaies et éduquez-vous sur les pratiques de sécurité. La vigilance est votre meilleure défense contre les arnaques.

Banque, Bitcoin

Un Milliardaire Chinois en exil reconnu coupable d’escroquerie 2.0

Guo Wengui, un milliardaire chinois exilé aux USA connu pour ses virulentes critiques du Parti communiste chinois et ses liens étroits avec les conservateurs américains, a été reconnu coupable escroqué ses abonnés en ligne de centaines de millions de dollars.

Guo, également connu sous les noms de « Miles Kwok » et « Ho Wan Kwok », a attiré un nombre conséquent d’abonnés en ligne grâce à ses vidéos YouTube où il critiquait le gouvernement communiste chinois. Les procureurs fédéraux de Manhattan l’ont accusé d’avoir amassé plus d’un milliard de dollars en promettant à ses abonnés qu’ils ne subiraient aucune perte s’ils investissaient dans ses nombreuses entreprises et projets de cryptomonnaie.

Les accusations portées contre Guo détaillent comment il aurait utilisé cet argent pour financer un style de vie opulent, incluant l’achat d’une maison dans le New Jersey, d’une Lamborghini rouge et d’un yacht de luxe. Après un procès de sept semaines, Guo a été reconnu coupable de neuf des douze chefs d’accusation, incluant le complot de racket et la fraude électronique. Le procureur américain Damian Williams a déclaré que Guo risque plusieurs décennies de prison, avec une sentence prévue pour le 19 novembre 2024 par la juge de district américaine Analisa Torres.

Une Fraude de Grande Envergure

Guo a été arrêté en mars 2023 à New York, accusé d’avoir mené un « stratagème tentaculaire et complexe » de 2018 à 2023. Les procureurs ont affirmé que Guo et son partenaire commercial Kin Ming Je avaient sollicité plus d’un milliard de dollars d’investissements en faisant de fausses déclarations. Ils ont promis des retours sur investissement démesurés aux victimes qui investissaient dans des entités telles que GTV Media, Himalaya Farm Alliance, G|CLUBS et Himalaya Exchange.

Les fonds récoltés ont été utilisés comme une « tirelire personnelle » par Guo pour maintenir son style de vie extravagant aux États-Unis. Des achats somptueux incluaient une maison, une Bugatti personnalisée pour 4,4 millions de dollars, une Ferrari à 3,5 millions de dollars, un yacht de 37 millions de dollars.

Kin Ming Je, un citoyen de Hong Kong et du Royaume-Uni, est toujours en fuite, accusé de 11 chefs d’accusation similaires à ceux de Guo, et risque jusqu’à 20 ans de prison supplémentaires pour obstruction à la justice. Yanping Wang, une autre co-conspiratrice connue sous le nom de « Yvette Wang », a également été arrêtée et inculpée de fraude électronique, de fraude en valeurs mobilières et de blanchiment d’argent.

Un personnage controversé

Guo Wengui était autrefois l’une des personnes les plus riches de Chine avant de quitter le pays en 2014 pour demander l’asile aux États-Unis, accusant les responsables chinois de corruption. Il a gagné une large audience en ligne en alignant ses déclarations politiques contre le régime chinois avec des opportunités d’investissement attrayantes. En 2017, il a demandé l’asile aux États-Unis, ses avoirs ayant été saisis par les gouvernements chinois et hongkongais dans le cadre d’enquêtes pour blanchiment d’argent.

Guo est également connu pour ses liens avec Steve Bannon, ancien conseiller de Donald Trump. Bannon a été arrêté en août 2020 sur le yacht de Guo dans une affaire de fraude non liée, avant d’être gracié par Trump. Plus récemment, Bannon a commencé à purger une peine de quatre mois de prison pour avoir défié une assignation à comparaître de la commission de la Chambre enquêtant sur l’attaque du Capitole le 6 janvier 2021. (USA Today)