Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Julian Assange : « Aucun citoyen européen n’est à l’abri »

Début de semaine, Julain Assange était sur l’antenne d’Europe 1, dans la matinale de Thomas Sotto. Le fondateur de Wikileaks est revenu sur les révélations de ces derniéres semaines.

On entend parler de vous depuis des années mais qui est Julien Assange ? Justicier, illuminé, résistant, mégalo ? « Je ne sais pas ! Si vous lisez la presse, tous ces qualificatifs et bien d’autres ont été utilisés ! Tortureur de chats, agent du Mossad et j’en passe…« 

Comment vous vous définissez ? « Vous savez que j’ai étudié la physique pendant très longtemps alors, qu’est-ce que je fais ? Je m’efforce de faire en sorte que les êtres humains aient accès à des informations auxquelles ils n’ont pas accès autrement. Habituellement, ce sont des informations qui sont censurées mais elles sont précieuses pour nous permettre de mieux comprendre notre environnement et faire advenir la Justice ! Ce n’est pas systématiquement le cas mais de même que pour comprendre le monde et être civilisé, il est indispensable de savoir lire et écrire, l’accès à ces informations est également essentiel.« 

Wikileaks aura 10 ans l’an prochain. Vous ne craignez pas d’alimenter une grande théorie du complot mondial ? « Je suis assez agacé par les théoriciens du complot, pour une raison très simple ! Au quotidien, nous publions des documents sur les agissements effectifs des gouvernements concernés ! Il n’y a rien qui concerne des extra-terrestres ou des aliens, rien de tel, mais bien des manœuvres géopolitiques secrètes qui vont à l’encontre de l’intérêt du public ! Il me semble que c’est là-dessus que les gens devraient se concentrer !« 

Le chef de ces manipulateurs s’appelle Barack Obama ? « J’aimerais le croire ! Ce serait très confortable de croire que le monde est aussi simple que cela et que les responsables que nous élisons, ou non, sont effectivement ceux qui gèrent le monde ! Malheureusement, les choses ne fonctionent pas comme cela ! Nous voyons l’émergence progressive d’un véritable régime de surveillance de masse parfaitement Orwellien, qui est le fait principalement des gouvernements américains et britanniques, mais auxquels s’associent 38 autres pays ! Téléphones et disques durs du monde entier sont sur surveillance, à quoi s’ajoute la coopération d’entreprises comme Google. Je crois que tout cela rend le monde très vulnérable et fait planer une véritable menace sur le monde contemporain. »

Et la France ? « Pendant longtemps, la France a également disposé d’un régime de surveillance assez agressif, que ce soit à l’intérieur ou à l’extérieur du territoire mais ce régime est resté insignifiant comparé aux systèmes mis en place par le Royaume-Uni ou les USA. En théorie, la France doit encore avoir la capacité d’assurer son indépendance par rapport au reste du monde occidental. En pratique, le niveau d’investissement américain en France, et inversement les investissements français aux USA, les accords d’échange de renseignements, ont largement affaibli cette position et cette capacité théorique d’indépendance. Il est bien possible qu’il soit trop tard aujourd’hui pour que la France retrouve cete indépendance. On sait que nous avons en France des collaborateurs auxquels nous tenons beaucoup, la France est un pays important pour Wikileaks en tant qu’organisation, mais la France a également un rôle important à jouer pour l’indépendance européenne. »

Edward Snowden : les USA veulent le juger, il a trouvé refuge en Russie. On se demande si vous n’êtes pas instrumentalisés, marionnettes de Poutine ? (Rires.) « La réponse est facile : c’est non ! Je sais de quoi je parle : les USA ont essayé d’arrêter Edward Snowden à Hong-Kong afin d’organiser son extradiction, cela aurait constitué un symbole extraordinairement négatif pour la liberté d’expression et aurait envoyé un très mauvais signal à tous les lanceurs d’alerte. Voilà pourquoi nous avons envoyé une de nos journalistes et conseillers juridiques à Hong-Kong, nous avons facilité sa sortie et bien sûr Snowden a fini en Russie. Cela pour une raison très simple : tandis qu’il était en route vers l’Amérique Latine, les USA ont annulé son passeport ! Il ne pouvait plus quitter le territoire russe ! Son billet d’avion devait l’amener à Cuba. Le gouvernement américain a annulé son passeport. Pourquoi ont-ils fait quelque chose d’aussi imbécile ? Parce que les services américains sont incompétents ! Tous ces services étaient en train de chasser Edward Snowden, et nous l’équipe de Wikileaks les avons pourtant battus ! Ca représente une lueur d’espoir pour les éditeurs indépendants et pour l’Europe.« 

De fait, ne devenez-vous pas une sorte d’allié de Poutine face aux USA ? « La Russie ne m’a pas accusé d’espionnage, les USA si ! Je ne suis pas seul dans ce cas-là, les USA en veulent à un grand nombre de personnes, ils ont effectué des descentes policières aux domiciles de 80 personnes et plus, les USA ont placé un grand nombre de mes amis derrière les barreaux, ils ont mis en place un système de surveillance de l’ensemble des internautes et je pèse mes mots ! Aucun citoyen européen, où qu’il se trouve, n’est à l’abri de ce programme de surveillance !« 

Nous sommes à l’ambassade d’Equateur à Londres. Si vous en sortez, vous serez arrêté et extradé vers la Suède où deux femmes ont porté plainte pour agression sexuelle et viol. Vous êtes innocent ? « Oui !« 

Pourquoi ne pas aller le prouver en vous présentant à la justice suédoise ? « Je me suis rendu en Suède, j’y ai passé du temps. Les accusations ont été abandonnées en Suède et ressuscités juste après la publication de nos documents ! Voilà pourquoi nous sommes aussi méfiants vis à vis de la Suède. Si les enquêteurs suédois souhaitent me poser des questions, ils peuvent parfaitement m’appeler, venir ici au Royaume-Uni, un grand nombre de procédures peuvent être  utilisées en l’espèce. »

Depuis plus de deux ans, vous êtes dans cette ambassade sombre, sans cour, sans jardin. En août, vous avez dit que vous alliez partir sous peu. Vous allez rester jusqu’à quand ? « C’est une question très amusante ! Je n’ai jamais déclaré que je quitterais bientôt l’ambassade ! Ce sont des propos attribuables à la presse de Murdoch qui a d’ailleurs déclaré que j’étais prêt à sortir de cette ambassade pour me faire arrêter immédiatement : c’est une pure invention ! En ce qui concerne ma situation présente, je dirais que la surveillance dont je fais l’objet est illégale, le fait que tous mes visiteurs soient passés au crible présente des difficultés pour mon travail, mais je crois que c’est vraiment la menace qui plane sur ma famille, mes enfants, qui me pèse le plus. Eux n’ont rien demandé. »

Votre avenir, vous le voyez comment ? « Je crois que mes circonstances présentes resteront inchangées pendant assez longtemps. »

Vous resterez là des années s’il le faut ? « Si on compare ma situation actuelle à celle qui serait la mienne aux USA, je crois que mes circonstances présentes sont bien meilleures ! La vie est difficile bien entendu, par certains côtés : contrairement à des détenus de droit commun je n’ai aucune opportunité d’exercice physique, ça c’est un aspect assez difficile. Je sais que si je devais effectivement finir aux USA, je me batterais  très certainement, et il en coûterait, croyez-moi, politiquement, au gouvernement américain, que de me faire tomber. »

Quelle prochaine bombe sortira Wikileaks ? « Si je réponds à cette question, ce sera votre bombe et plus la mienne !«  (Merci à Europe 1 de nous avoir envoyé l’interview, NDLR)

Découvrir la fraude avant qu’elle ne se produise

Mobileum annonce un système d’analyse anti-fraude qui découvre les fraudes aux télécommunications avant qu’elles ne se produisent.

Cette approche prédictive basée sur l’apprentissage des machines détecte la fraude en temps réel. Mobileum, société spécialisée dans les solutions d’analyse pour la transformation des entreprises de télécommunications, a fait à DataSecurityBreach.fr du lancement du système d’analyse anti-fraude Mobileum, une solution de prévention de la fraude, prédictive, basée sur l’apprentissage des machines, qui aidera les opérateurs téléphoniques à enrayer leurs pertes de revenus grâce à une détection en temps réel.

Les fraudes dans le domaine des télécommunications continuent de constituer une sérieuse menace pour les opérateurs du secteur, érodant leurs profits et touchant leur image de marque. Avec plus de 46 milliards de dollars de pertes de revenus, le secteur des télécommunications ne le cède qu’aux banques en ce qui concerne les pertes dues aux fraudes. Pour certains opérateurs, les pertes causées par les fraudes augmentent chaque année plus vite que les revenus engrangés par leurs services. Les systèmes conventionnels de gestion de la fraude comprennent les types de fraudes connus et ils contiennent des protocoles intégrés pour détecter les modalités connues de commettre une fraude, mais ces systèmes sont dans l’incapacité de faire jeu égal avec les
fraudeurs qui innovent et évoluent constamment.

« Lorsque nous abordons le sujet de la fraude aux télécommunications, il existe des » inconnues connues « , ainsi que des « inconnues inconnues » que les systèmes de gestion de la fraude basés sur des protocoles ne peuvent déceler. Et même si ces systèmes conventionnels détectent à retardement de nouveaux types de fraude, ce temps de latence au niveau de la détection rend celle-ci inutile car les fraudeurs ont alors déjà modifié les règles du jeu. Les techniques de fraude de cette année ne sont pas les mêmes que celles de l’an dernier « , a déclaré à DataSecurityBreach.fr Sudhir Kadam, vice-président et responsable du service d’analyse à Mobileum.  » Notre solution avancée d’analyse fait passer les opérateurs de communications mobiles d’une ère de plus en plus inefficace de solutions basées sur des protocoles vers un univers de l’apprentissage prédictif des machines, sans qu’il y ait besoin de comprendre des algorithmes complexes, afin de combattre la fraude et de mettre fin aux pertes de revenus « .

La solution d’analyse anti-fraude de Mobileum fonctionne sur sa plateforme de mégadonnées et d’analyse en attente de brevet baptisée Wisdom, capable d’exploiter des milliards de transactions anodines en temps réel afin d’y découvrir des formes anormales de comportements fraudeurs en émergence. Cela aide à élargir le filet dans lequel intercepter les écarts par rapport aux types connus de fraudes et à identifier les fraudes inconnues concernant les communications vocales, de données et de texte, ainsi que les scénarios de fraude internationale et d’itinérance.

Mobileum a évoqué qu’un opérateur américain de premier plan était devenu son premier client pour l’analyse anti-fraude en décembre 2014.

Silent Circle dévoile la première plate-forme de confidentialité d’entreprise au monde

Silent Circle, le créateur du téléphone BlackPhone, annonce la première plate-forme de confidentialité d’entreprise au monde, un système unique d’appareils, de logiciels et de services construit pour le mobile, dans le cadre du Congrès mobile mondial 2015.

Silent Circle a dévoilé la toute première plate-forme de confidentialité d’entreprise au monde, une combinaison unique d’appareils, de logiciels et de services basés sur et construits à partir de ZRTP, une architecture mobile fondamentalement différente. Ceci inclut le lancement du Blackphone 2 et de la première tablette orientée confidentialité au monde, Blackphone+. « La confidentialité de l’entreprise est semblable à la confidentialité individuelle. Les mêmes technologies peuvent protéger les deux », a déclaré à DataSecurityBreach.fr, Phil Zimmermann, le cofondateur de Silent Circle. « Mon propre travail de développement de la technologie de confidentialité a toujours été motivé par l’intérêt que je porte à la confidentialité individuelle en tant que droit de l’homme. L’expérience Sony récente montre que la responsabilité incombe aussi aux entreprises de redoubler leurs efforts pour protéger la confidentialité de leurs propres employés et de leurs partenaires ».

Bill Conner, président et PDG de Silent Circle, ajoute qu’ « Les entreprises ont été mal servies en matière de confidentialité. Les approches traditionnelles envers la sécurité leur a fait défaut. Nous sommes là pour arranger ça. Il faut comprendre qu’aujourd’hui, pour assurer une vraie confidentialité, il faut sécurité plus politique. Cette nouvelle équation motive tout ce que nous faisons pour construire la première plate-forme de confidentialité d’entreprise au monde ». Sachant que les façons de travailler ont évolué pour tous et qu’un nombre croissant d’employés utilisent désormais des appareils personnels pour se connecter à leurs réseaux d’entreprise, la société a créé une plate-forme d’appareils, de logiciels et de services qui reconnaissent que les approches traditionnelles envers la sécurité ne sont plus suffisantes.

La plate-forme de confidentialité d’entreprise nouvellement dévoilée par Silent Circle comprend le blackphone. Le Blackphone de première génération a été conçu comme point de départ sécurisé pour vos communications personnelles. Depuis son lancement il y a 12 mois au Congrès mobile 2014, cet appareil a constaté une énorme demande à l’échelle mondiale et a été également nommé récemment parmi les 25 meilleures inventions de 2014 par Time Magazine.

Silent Circle a annoncé le lancement du Blackphone 2, conçu pour assurer la confidentialité sans compromis des entreprises, au deuxième trimestre de 2015. Il s’intègre de façon transparente aux systèmes MDM existants tels que Citrix, avec en plus un processeur plus rapide, davantage de RAM, une pile plus durable et un plus grand affichage. Il offre la confidentialité et la sécurité que seul un Blackphone peut fournir avec la performance matérielle de prochaine génération que réclament les utilisateurs de smartphone. Le Blackphone+, qui arrivera plus tard en 2015, première tablette orientée confidentialité au monde, offrira une technologie de prochaine génération destinée à assurer la confidentialité des effectifs mobiles d’aujourd’hui.

Côté logiciels, PrivatOS est un système d’exploitation sous Android qui a été créé par Silent Circle pour répondre aux inquiétudes actuelles en termes de confidentialité. Il n’implique aucun logiciel, aucune connexion à un opérateur, et aucune fuite de données. Il place la confidentialité entre les mains de l’utilisateur sans compromettre sa productivité. PrivatOS 1.1 est la première mise à niveau majeure du système d’exploitation de la société. Il intègre Spaces, une solution de virtualisation et de gestion de niveau système d’exploitation permettant d’utiliser des appareils dans tous les aspects de la vie mobile sans compromettre le choix, la confidentialité ou la convivialité. Conçu spécifiquement pour l’entreprise, il héberge les applications personnelles et les applications d’entreprise. Silent Circle introduit également une capacité permettant aux administrateurs de services informatiques de verrouiller et d’effacer la solution « Spaces » gérée par l’entreprise si nécessaire, et annonce des partenariats MDM avec Citrix, Soti et Good pour frayer le chemin à son déploiement croissant au sein des entreprises à l’échelle mondiale.

Silent Suite est l’ensemble d’applications de base de Silent Circle qui permet une communication privée cryptée. Il assure une négociation et une gestion clés de point à point. Silent Suite définit la norme de confidentialité d’entreprise et est disponible sur PrivatOS, iOS et Android. Il inclut
Silent Phone qui permet aux utilisateurs de faire des appels vocaux et vidéo privés sur un service VoIP crypté de point à point; Silent Text, un service de textes cryptés illimités avec la capacité de transférer des fichiers. Comprend une fonctionnalité de gravure permettant de détruire automatiquement des messages sélectionnés ; Silent Contacts, un carnet d’adresses à cryptage automatique et pour finir Silent Meeting, un nouveau système de téléconférence sécurisé acceptant de multiples participants. D’après Silent Circle, ce système élimine la nécessité de mémoriser des codes d’accès et d’avoir à demander « Qui vient de nous rejoindre ? » grâce à une interface visuelle qui simplifie la programmation, l’invitation et le suivi des participants.

Accéder à votre compte Facebook sans mot de passe, facile !

Voilà qui va être apprécié chez les amateurs du réseau communautaire. Les employés de Facebook peuvent accéder à votre compte, sans utiliser votre mot de passe. Facebook explique que cela reste cependant très contrôlé !

On ne rigole pas, et on se dit que Facebook croit vraiment ce qu’il tente de raconter aux internautes. Accéder à votre compte Facebook est très simple pour un employé, il lui suffit de cliquer sur le logiciel local et le voilà dans votre espace, sans avoir à utiliser, ni même connaitre votre mot de passe. Facebook explique que cela reste cependant très contrôlé !

La découverte a été faite par un Paavo Olavi Siljamäki, un DJ producteur, en visite dans les locaux de Facebook. Il explique, sur son compte FB, avoir vu de ses petits yeux un employé de Facebook accéder à son compte, sans utiliser le moindre sésame. « Des gens sympas là-bas nous ont donné de bons conseils sur la façon d’utiliser au mieux Facebook. Puis on m’a demandé si j’étais d’accord pour regarder mon profil (…) Un ingénieur de Facebook peut alors se connecter directement sur mon compte, regarder tout mon contenu privé sans me demander mon mot de passe« .

Le plus fou est que Paavo a ensuite regardé, chez lui, son compte Facebook. Sa page ne lui a pas indiquer cette visite particulière.  « Nous avons des contrôles administratifs, techniques et physiques très rigoureux quant à l’accès aux informations de nos utilisateurs » indique Facebook à Venture Beat. Bref, Paavo a donné son accord, et l’employé est rentré !

 

Des milliers de sites Français touchés par du viagra aggressif

Plus de 4500 sites français, en .fr, touchés en février par une opération de piratage d’envergure. Le site ZATAZ.COM explique que ce piratage de masse visait à diffuser des liens et des pharmacies illicités dans les sites infiltrés.

Alors que nous aurions pu penser que les administrateurs et autres webmasters de sites Internet avaient compris la leçon après les piratages de dizaines de milliers de sites Français, en janvier 2015, la révélation de zataz.com montre une fois de plus que de trop nombreux gestionnaires de sites Internet se moquent de la sécurité pensant que cela ne leur arrivera jamais. Le webzine zataz explique que plus de 4.500 sites en .fr « et 50 fois plus dans le monde » ont été touchés par une infiltration de masse. Mission des pirates, cacher des liens et des pages renvoyant sur des pharmacies illicites.

Dans l’émission de ce 1er mars 2015, zatazweb.tv montre en image le cas de plusieurs mairies et offices de tourisme français noyés sous les fausses pages dédiées au viagra, cialis… « Nous aurions pu penser qu’après l’opération anti France de janvier 2015, grand nombre d’administrateurs de sites importants auraient compris l’importance des mises à jour. A première vue, c’est raté » confirme zataz. Inquiétant !

Sécurité des données personnelles : le palmarès des régions les plus soucieuses de la sécurité de leurs mots de passe

L’éditeur Dashlane a réalisé une étude anonyme sur 45,000 de ses utilisateurs français pour évaluer le niveau de sécurité de leurs mots de passe.

On ne compte plus les gros titres annonçant un nouveau piratage d’ampleur. Malgré cette insécurité croissante sur Internet, les internautes continuent de ne pas vraiment protéger leurs données personnelles… et pourtant, s’il y a 10 ans le mot de passe ne servait qu’à s’identifier sur un site web, maintenant il est le premier rempart pour protéger toutes ses données personnelles. Il suffit de regarder son compte Facebook pour s’apercevoir à quel point on met de plus en plus d’informations privées sur Internet.

Après avoir mené une enquête au niveau international en décembre dernier, Dashlane s’est intéressé à la France. Le spécialiste de la gestion des mots de passe pour les particuliers, a réalisé une étude anonyme sur 45 000 de ses utilisateurs français pour établir un classement des régions qui protègent le mieux leurs données personnelles sur Internet. Chaque région s’est vue attribuer un score moyen de sécurité, en fonction du niveau de sécurité des mots de passe des habitants de cette région. La note va de 0 à 100 (le maximum).

 Aucune région ne dépasse le score de 55

Principal constat, aucune région française n’obtient un score de sécurité rassurant… aucune ne dépasse le score de 55 et 3 régions n’obtiennent même pas la moyenne de 50 points : le Languedoc-Roussillon, la Provence-Alpes-Côte d’Azur et le Limousin (49.9), tous trois dans la moitié sud du pays. Mais le Nord-Pas-de-Calais ne fait pas beaucoup mieux avec 50,8. La moyenne des régions françaises se situe donc à 51,8, ce qui place 12 régions (sur un total de 22) en dessous de cette moyenne.

« On observe un noyau de bons élèves, la Franche-Comté, Rhône Alpes et Auvergne, alors que le Languedoc-Roussillon et la Provence-Alpes-Côte d’Azur ferment la marche. Ce classement illustre des différences d’état d’esprit dans la manière dont les gens envisagent leur sécurité en ligne.» indique à DataSecurityBreach.fr, Guillaume Desnoes, Responsable des marchés européens de Dashlane.

Windows, moins dangereux qu’iOS et OS X d’Apple

Le National Vulnerability Database, qui recense les failles dans les logiciels et autres applications web indique que l’année 2014 aura été l’année des vulnérabilités pour iOS, OS X Apple et Linux. Windows se classe 4ème.

Voilà qui a fait pas mal parler chez les « trolleurs » en tout genre. Mais il faut bien l’admettre, la firme de Redmond a mis les bouchées double pour protéger son OS, Windows. Bilan, la National Vulnerability Database, qui recense les failles (19 par jour en 2014) a classé l’OS de Microsoft plus sécurisé qu’iOS, OS X Apple. Même Linux, classé 3ème, dans ce top 4, devance Microsoft du point de vu des failles découvertes l’année dernière. Les problèmes dans les systèmes d’exploitation (OS) ne représentent que 13% des failles recensées en 2014. 1.705 failles recensées. 182 failles de moins que l’année record, en 2010. Les navigateurs sont toujours montrés du doigt. Internet Explorer, en 2014, a souffert de 242 brèches dangereuses. Chrome (124) et Firefox (117) ont dépassé la centaine de failles. (gfi)

Il y a bien eu des tentatives de piratage de Gemalto

Gemalto a présenté ce mercredi 25 février les conclusions de ses investigations sur le possible piratage de clés d’encryptage de cartes SIM diffusé par un journal américain. Pour la firme, l‘analyse de la méthode décrite dans les documents et les tentatives d’intrusion sophistiquées détectées par Gemalto en 2010 et 2011 rendent cette opération probable. Les attaques (Phishing et tentative d’installation du cheval de Troie) n’auraient touché que des réseaux bureautiques, elles n’ont pas pu résulter en un vol massif de clés d’encryptage de cartes SIM. La technique utilisée étant d’intercepter les clés lors de l’échange entre l’opérateur télécom et ses fournisseurs, et Gemalto indique avoir largement déployé un système d’échange sécurisé avec ses clients, avant 2010. Les données éventuellement volées par cette méthode ne sont exploitables que dans les réseaux de deuxième génération (2G). Les réseaux 3G et 4G ne sont pas vulnérables à ce type d’attaque.

Suite à la publication de documents le 19 février 2015 dernier, Gemalto a mené une investigation approfondie sur la base de deux éléments : les documents censés émaner de la NSA et du GCHQ rendus publics par ce site, et les outils de surveillance interne, avec leurs registres de tentatives d’intrusion.

L’article de The Intercept suppose que les documents publiés sont réels et qu’ils décrivent précisément des événements qui se sont produits en 2010 et 2011. Notre publication ci-dessous n’a pas pour but de confirmer partiellement ou entièrement ni de fournir des éléments permettant de réfuter partiellement ou entièrement le contenu des documents publiés par ce site web. En tant qu’acteur de la sécurité numérique, Gemalto est régulièrement la cible d’attaques. Ces tentatives d’attaques sont plus ou moins sophistiquées et nous sommes habitués à y faire face. La plupart échouent mais quelques-unes parviennent parfois  à pénétrer la partie externe de notre réseau qui est architecturé pour être très sécurisé.

 

Si nous regardons en arrière, sur la période couverte par les documents de la NSA et le GCHQ, nous confirmons avoir fait face à plusieurs attaques. En 2010 et 2011 précisément, nous avons détecté deux attaques particulièrement sophistiquées qui pourraient être reliées à cette opération.

 

En juin 2010, nous avons remarqué une activité suspecte sur l’un de nos sites français où un tiers a essayé d’espionner le réseau que nous appelons « office », c’est-à-dire le réseau de communication des employés entre eux et avec le monde extérieur. Des mesures ont été prises immédiatement pour éradiquer la menace.
En juillet 2010, notre équipe de sécurité a détecté un second incident. Il s’agissait de faux courriels envoyés à l’un de nos clients opérateur mobile en usurpant des adresses mail authentiques de Gemalto. Ces faux emails contenaient un fichier attaché qui permettaient le téléchargement de code malveillant. Nous avons immédiatement informé le client concerné et signalé l’incident aux autorités compétentes, en leur communiquant l’incident lui-même et le type de programme malveillant identifié.

 

Au cours de la même période, nous avons également détecté plusieurs tentatives d’accès aux ordinateurs de collaborateurs de Gemalto ayant des contacts réguliers avec des clients. A l’époque, nous n’avons pas pu identifier les auteurs de ces attaques mais maintenant nous pensons qu’elles pourraient être liées à l’opération du GCHQ et de la NSA.

 

Les intrusions n’ont affecté que des parties externes des réseaux de Gemalto, c’est-à-dire les réseaux bureautiques qui sont en contact avec le monde extérieur. Les clés de cryptage et plus généralement les données client ne sont pas stockées sur ces réseaux. Il faut imaginer l’architecture de notre réseau un peu comme le croisement entre un oignon et une orange. Il est composé de couches multiples et de nombreux quartiers qui permettent de cloisonner et d’isoler les données.

 

Babar n’est peut-être pas un code malveillant Français

Les experts du G DATA SecurityLabs ont analysé le code malveillant mentionné par les documents du CSEC, communiqués par Edward Snowden. Avec l’analyse de Babar, les experts du G DATA SecurityLabs confirment les informations dévoilées par les documents d’Edward Snowden sur l’existence d’un énième outil d’espionnage étatique. Mais l’origine française, avancée par le Communication Security Establishment Canada (CSEC) dans les documents dévoilés, ne peut toutefois pas être confirmée.

Environ un an après que l’opération SNOWGLOBE ait été publiquement mentionnée pour la première fois par le journal Le Monde, des experts en sécurité ont mis la main sur des échantillons de codes malveillants qui correspondent aux descriptions faites par le Communication Security Establishment Canada (CSEC).

Analyse détaillée de Babar

Le G DATA SecurityLabs publie la première analyse du code nommé Babar. Après les premières révélations sur EvilBunny, Babar est maintenant le second composant identifié en relation avec l‘opération SNOWGLOBE, provenant vraisemblablement des mêmes développeurs. Les fonctionnalités de Babar vont de l’enregistrement de frappes claviers, du presse papiers jusqu’aux conversations audio.

Des documents de Snowden comme base de travail

La révélation de l’existence d’un autre spyware étatique est faite en mars 2014, lorsque Le Monde publie des informations secrètes datant de 2011. Mais ces informations ne révèlent qu’une petite partie de l’histoire. En janvier 2015, le journal allemand Der Spiegel publie une autre série de documents qui donne plus d’informations sur ce que le Communication Security Establishment Canada (CSEC) a identifié: l‘opération Snowglobe. Découverte en 2009, cette campagne repose sur trois «implants» différents, deux nommés „Snowball“ et un plus sophistiqué, découverts mi-2010 et prénommé „Snowman“. Selon la diapositive 22, « le CSEC évalue, avec certitude modérée, Snowglobe comme un CNO [Opération Réseau Cyber] parrainé par un État, et dirigé par une agence de renseignement française.« 

Plusieurs codes malveillants en jeu

Avec l’analyse de Babar et d’EvilBunny, les experts du G DATA SecurityLabs ont trouvé des échantillons correspondants aux descriptions du CSEC. EvilBunny et Babar correspondent à deux des trois implants mentionnés. Le nombre de similitudes entre EvilBunny et Babar montre que ces deux codes sont issus des mêmes développeurs. De plus, les analyses laissent penser que les échantillons sont des versions plus récentes que celle décrite par le CSEC.

Origine non confirmée

Mais les experts ne peuvent pas confirmer l’information concernant l’origine des codes malveillants. Les informations du CSEC sont en partie confirmées dans les analyses du code, mais aucune preuve formelle n’a été trouvée. Même si un grand nombre de questions restent sans réponse, ces analyses marquent un pas important dans la validation des diapositives dévoilées.

Cyber-sécurité : éviter la menace interne en surveillant les portes du royaume

Les récentes cyberattaques de grande envergure telles que le récent « cyber hold-up » via le malware Carbanak à l’encontre des établissements bancaires ou encore celle qui a permis la révélation de la fraude fiscale HSBC par son ex-informaticien Hervé Falciani, rappellent que les menaces internes sont de plus en plus présentes. Les hackers ne cessent d’affiner leurs techniques de piratage pour garder une longueur d’avance sur les mesures mises en place par les organisations. Leur atout majeur : le manque manifeste de vigilance autour des pratiques en interne de la plupart des organisations. La tâche des hackers s’en trouve donc simplifiée, puisque des techniques simples et classiques pour infiltrer les comptes à hauts pouvoirs de l’entreprise suffisent à bouleverser toute une structure.

Aujourd’hui, les pirates s’infiltrent insidieusement dans les systèmes et s’y installent aussi longtemps que nécessaire pour récolter les données qu’ils convoitent. Les techniques varient et si elles se renouvellent, les vieux schémas restent de mise. Dans le cas de HSBC par exemple, très semblable à l’affaire Snowden, la révélation des Swissleaks a été perpétrée par un ex-informaticien de la banque hongkongaise ayant eu accès aux données des clients en situation de fraude fiscale. Au-delà des clauses de confidentialité auxquelles sont soumis les employés d’une entreprise, ce cas de figure rappelle la nécessité de surveiller les accès des employés aux données de l’entreprise, et notamment à celles qui ne dépendent pas de leur champ d’intervention. Il en est de même pour tout individu extérieur à l’organisation.

De plus, une surveillance accrue de l’activité en interne peut permettre de détecter des tentatives d’intrusion en cours. En effet, l’attaquant motivé trouvera coûte que coûte un moyen de s’infiltrer dans le système et un minimum d’attention permet parfois aux employés d’identifier ces tentatives qui ne sont pas toujours discrètes. La récente cyberattaque relative au malware Carbanak confirme que les hackers développent des méthodes de plus en plus sophistiquées pour rendre leurs faux emails aussi crédibles que possibles. Dans le cas de Carbanak, les attaquants ont pu copier un ver informatique inséré dans la pièce jointe de mails personnalisés et se frayer un chemin jusqu’aux caméras de sécurité des banques visées. Ils ont ainsi pu visionner les vidéos et copier l’ensemble des démarches des employés pour accéder aux comptes des clients.

La sensibilisation des équipes internes permet d’éviter ce type de situations comme cela a été récemment le cas pour Le Monde où les employés ont détecté plusieurs tentatives d’intrusion conduites via des techniques de phishing, de mails de spams et de dénis de services ; leur mobilisation combinée à un système de sécurité efficace ont contribué à détecter les signes précurseurs d’une attaque et à stopper les hackers avant qu’il ne soit trop tard. Car une fois à l’intérieur du système, les hackers se concentrent sur le détournement et l’exploitation des comptes utilisateurs. Ils se tournent notamment vers les comptes administrateurs détenant des accès privilégiés aux données critiques, qui sont en général encore moins bien surveillés que les comptes des employés, constituant ainsi une zone d’ombre privilégiée par les hackers pour agir sur le long terme en toute discrétion. Ils peuvent ainsi se déplacer à travers le réseau, accéder aux systèmes critiques et exfiltrer les données préalablement volées.

Aujourd’hui, les employés tendent à devenir un point d’entrée incontournable pour les attaques ciblées, il est donc indispensable que les organisations tiennent compte de la menace interne et surveillent à la fois les points d’entrées sensibles, respectent les bonnes pratiques et restent en alerte face aux signaux précurseurs d’attaques. Quel que soit l’objectif final d’une cyberattaque, les chemins empruntés sont souvent les mêmes, sachant que les hackers visent la plupart du temps la voie royale que sont les comptes à privilèges pour parvenir à leurs fins. (Par Olivier Mélis, Country Manager France chez CyberArk pour DataSecurityBreach.fr)

Les techniques de persuasion utilisées par les cybercriminels

92 % des employés français, 80 % à travers le monde, se sont déjà fait piéger par des menaces informatiques et notamment par des tentatives d’hameçonnage. DataSecurityBreach.fr vous alerte très souvent sur les techniques de persuasion utilisées par les pirates informatiques. Intel Security vient de diffuser un rapport sur les méthodes de substitution des données sensibles utilisées par les cybercriminels sont de plus en plus proches de celles utilisées dans le monde réel et notamment des techniques de vente et d’escroquerie. Prenez garde à votre sécurité en ligne !

« Piratage de l’OS humain », le nouveau rapport d’Intel Security, élaboré avec le soutien du Centre Européen de lutte contre la cybercriminalité d’Europol, présente les techniques utilisées dans les récentes cyberattaques, ainsi que les méthodes de manipulations des hackers pour rendre les collaborateurs d’entreprises complices/acteurs d’actes de cybercriminalité.

Publié quelques jours après la révélation d’une cyberattaque qui a touché plus de 100 banques à travers le monde et causé aux alentours de 900 millions d’euros de dégâts, ce rapport démontre toute l’importance d’une prise de conscience collective et souligne la nécessité d’éduquer les collaborateurs aux méthodes de persuasion appliqués par les hackers dans le monde numérique. Dans l’exemple cité, les attaques de phishing ciblées ont permis l’ouverture de brèches au sein de ces réseaux bancaires, démontrant ainsi la faiblesse intrinsèque du « pare-feu humain ». A titre de comparaison, l’étude Threat Report d’Intel Security a permis, en septembre dernier, de révéler que 92 % des employés français n’étaient pas en mesure d’identifier un courriel de phishing sur sept.

« L’analyse de nombreux cas d’usurpation de données nous montre qu’aujourd’hui, le facteur humain est le plus souvent la clé qui permet aux hackers d’agir. En les manipulant, ils les incitent à prendre des mesures qui facilitent l’infection des systèmes par des logiciels malveillants », commente Raj Samani, Directeur Technique EMEA d’Intel Security et conseiller auprès du Centre européen de lutte contre la cybercriminalité d’Europol.

« Aujourd’hui, les cybercriminels n’ont pas nécessairement besoin de savoir-faire technique pour atteindre leurs objectifs. Certains logiciels malveillants peuvent infecter les ordinateurs en y accédant directement par emails. Ces attaques ciblées manipulent les victimes et les incitent à ouvrir des pièces jointes, prétendument légitimes, ou à cliquer sur un lien qui semble provenir d’une source sûre », indique Paul Gillen, directeur des opérations du Centre Européen de lutte contre la cybercriminalité.

Sur l’année 2014, il a été répertorié une augmentation spectaculaire du nombre d’URL malveillantes soit plus de 30 millions de liens suspects. Cette augmentation peut être attribuée à la fois à une forte hausse du nombre de liens de phishing ainsi qu’à une utilisation plus commune des URL courts qui cachent, souvent, des sites Web malveillants. Cette tendance est d’autant plus inquiétante que 18 % des utilisateurs visés par un email de phishing cliquent sur ce lien malveillant et deviennent ainsi victimes de la cybercriminalité.

Le rapport pointe du doigt le fait que deux tiers des emails mondiaux sont des spams qui visent à soutirer des informations et de l’argent à leurs destinataires. Face à ce constat, il est d’autant plus important que les consommateurs et les collaborateurs d’entreprises soient informés des techniques de phishing et d’escroquerie couramment utilisées dans le monde numérique.

« Aujourd’hui, les cybercriminels sont devenus de très bons psychologues, capables de jouer sur le subconscient des employés en s’appuyant notamment sur un grand nombre de tactiques de « vente » souvent utilisées dans la vie quotidienne. Pour garder une longueur d’avance sur les cybercriminels et réduire le risque d’être l’une des victimes de la cybercriminalité, les entreprises doivent non seulement optimiser leurs processus et compter sur la technologie mais aussi former leurs personnels pour pallier à la brèche dans ce qu’on nomme ‘l’OS humain’ », conclut Raj Samani.

Il n’a jamais été plus important de former les individus à la sécurité et à la politique de leur entreprise en matière de protection des données. Paradoxalement, une étude récente publiée par Enterprise Management Associates1 a révélé que seulement 56 % des employés avaient suivi une formation à la politique de sécurité de l’entreprise.

Les six leviers d’influence des cybercriminels dans le monde numérique

1. Réciprocité des échanges : Les gens ont tendance à se sentir obligés de répondre une fois qu’ils reçoivent quelque chose.

2. Rareté de l’offre : Les individus sont motivés par l’obtention de ce qu’ils croient être une ressource rare ou une offre limitée dans le temps et peuvent ainsi s’exposer plus facilement au cybercrime. Par exemple, un faux courriel envoyé par une banque demandant à l’utilisateur d’accepter une demande suspecte afin d’éviter la désactivation de son compte dans les 24 heures peut avoir tendance à inciter au clic.

3. Cohérence des engagements : Une fois engagée dans une démarche, la victime choisit très souvent de tenir ses promesses pour rester cohérente et éviter de paraître peu voire non fiable. Par exemple, un pirate peut se présenter en tant qu’un membre de l’équipe SI de l’entreprise et, après avoir fait en sorte qu’un employé s’engager à respecter tous les processus de sécurité, lui demander d’effectuer une tâche suspecte sur son poste, qui semblerait être conforme aux exigences de sécurité.

4. Appréciation et amitié : Les tentatives d’hameçonnage sont plus productives lorsque le cybercriminel réussit à gagner la confiance de la victime. Pour endormir la méfiance, un pirate pourrait notamment essayer d’entrer en contact, soit par téléphone soit en ligne, et « charmer » au préalable sa victime potentielle.

5. Respect de l’autorité : Les gens ont tendance à se conformer à une figure d’autorité. Les directives dans un mail prétendument envoyé de la part d’un PDG de l’entreprise sont plus susceptibles d’être suivies par un employé.

6. L’effet de masse : Les gens ont tendance à se conformer à la majorité. Par exemple, si un courriel de phishing est prétendument envoyé à un groupe de collègues, plutôt qu’à un seul destinataire, la victime potentielle de l’attaque se sent davantage rassurée et est plus susceptible de croire que le mail provient d’une source sûre.

1 Source : Enterprise Management Associates

Pourquoi de bonnes résolutions ne suffisent pas à se protéger en 2015 ?

Face aux cyber-menaces, les entreprises doivent s’ouvrir à de nouvelles approches en termes de cyber-sécurité.

Le paysage des cyber-menaces est en évolution permanente. Les attaques ciblées se multiplient tandis que les modes opératoires deviennent de plus en plus complexes et uniques, rendant ces menaces extrêmement difficiles à identifier. Pour ces raisons, la cyber-sécurité est devenue, aujourd’hui, une problématique prioritaire pour la plupart des entreprises.

Dans ce contexte, il existe quelques recommandations qui permettent de limiter les risques de cyber-attaques. Il est par exemple conseillé de vérifier les antécédents des employés, de limiter l’accès des salariés aux données par lesquelles ils sont concernés dans le cadre de leurs fonctions, de s’assurer du cryptage des données confidentielles, etc. Cependant, bien qu’ils méritent d’être pris au sérieux, ces prérequis de base ne sont pas suffisants pour faire face à la réalité des menaces actuelles les plus sophistiquées.

En effet, aujourd’hui, nous ne pouvons plus considérer, uniquement, les menaces externes. Dans un contexte où l’information est de plus en plus difficile à canaliser, notamment à cause de la pluralité des lieux et des supports d’utilisation, la menace interne est plus que jamais présente, et concerne chaque organisation.

D’un point de vue technologique, une société baptisée Darktrace a connu d’importantes mutations au court des dix dernières années. Le modèle traditionnel, que nous pourrions qualifier d’ancestral, consistait à construire un mur autour du réseau de l’entreprise afin de se protéger d’éventuelles menaces provenant de l’extérieur. Cette approche nécessitait une connaissance parfaite de son réseau ainsi que la capacité à délimiter ses frontières. Aussi, elle impliquait une confiance totale en tous les collaborateurs internes à l’entreprise, et une méfiance constante envers les acteurs externes. Cette vision un peu simpliste apparaît clairement obsolète dans la société contemporaine. Ainsi, pour aider les entreprises à anticiper les cyber-attaques, Darktrace a développé une nouvelle approche. Celle-ci prend comme point d’ancrage l’acceptation de la présence de menaces, sur tous les systèmes d’information.

En effet, étant donné que le risque zéro n’existe pas, et que la réalité des entreprises nous démontre, chaque jour, qu’il est de plus en plus difficile de délimiter les frontières du réseau, il n’est pas pertinent de faire la distinction entre l’interne et l’externe. C’est pourquoi, Darktrace a développé une nouvelle approche appelée « Système Immunitaire pour Entreprises ». Basée sur des avancées académiques fondamentales, elle a pour vocation de se prémunir contre les menaces les plus sophistiquées, qu’elles émanent de l’interne ou de l’externe.

La technologie repose sur l’analyse et l’apprentissage automatisé de l’environnement de l’organisation. Concrètement, il s’agit d’observer les comportements de chaque utilisateur, de chaque machine et de la structure dans sa globalité, afin d’identifier un modèle de comportement normal. La connaissance de ce modèle de référence permet, par déduction, d’identifier les activités « anormales », pouvant révéler d’éventuelles menaces.

Cette solution repose, d’une part sur une technologie auto-apprenante et, d’autre part, sur des mathématiques probabilistes bayésiennes développées à l’université de Cambridge. La combinaison de ces intelligences permet une évolution constante du modèle « de référence », en fonction de l’activité de chaque utilisateur, de chaque machine dans le réseau, et des mutations au sein de l’organisation.

Cette vision de l’activité réseau de l’entreprise, en temps réel, ne permet pas d’éliminer les cyber-menaces, elle a pour vocation de les identifier, afin d’être à même de prendre des mesures correctives avant qu’il ne soit trop tard. Le risque zéro n’existe pas, la menace est là, partout au sein de notre réseau, et elle est impossible à éradiquer. La vraie force est la capacité à l’identifier afin d’anticiper d’éventuelles attaques.

Attaques à l’encontre des comptes sociaux

Après Le Monde en Janvier, CNN, Forbes et une vingtaine d’importants média en 2014, c’est au tour de Newsweek de voir son compte Twitter piraté pendant quelques heures par des pirates se réclamant du groupe Etat islamique (EI).

Comme nous le disions déjà lors de l’attaque subie par Le Monde, les comptes de réseaux sociaux tels que Twitter sont une cible de première importance pour les pirates. Si certaines entreprises ont mis en place des procédés et des moyens techniques pour protéger leur compte Twitter contre le hijacking, la plupart n’ont rien de cela et sont donc non seulement vulnérables au hijacking de leurs comptes de réseaux sociaux, mais sont aussi incapables de détecter ce hijacking de leurs propres comptes. Dans une récente étude auprès des entreprises du Fortune 100, les chercheurs de Proofpoint relevaient les points suivants :

· Il existe trois principaux types de menaces de réseaux sociaux parmi lesquels : le piratage de compte, les comptes non autorisés, et les menaces basées sur le contenu (ex : spam social, liens malveillants, etc.).
· En moyenne, deux comptes Facebook sur cinq (soit 40 %) semblant représenter une marque du classement Fortune 100 ne sont pas autorisés.
· En moyenne, un compte Twitter sur cinq (soit 20 %) semblant représenter une marque du classement Fortune 100 n’est pas autorisé.
· Les marques du classement Fortune 100 sont victimes d’au moins une intrusion sur leurs comptes de réseaux sociaux par jour ouvrable.
· Le volume de spams diffusés via les réseaux sociaux a été multiplié par sept depuis le milieu de l’année 2013, date de la publication du précédent rapport « State of Social Media Spam ».

Un compte compromis fournit aux pirates une plateforme idéale pour la distribution de spams, de liens malicieux, et autres contenus pouvant nuire à l’image de marque de l’entreprise touchée. Les comptes de réseaux sociaux des médias sont d’autant plus intéressants pour des personnes malintentionnées qu’ils bénéficient d’une forte audience et que leurs posts ont une large portée. Nous ne pourrions que trop recommander aux entreprises et aux médias de se prémunir de ce type d’attaque et de préparer des plans de réponses en cas de piratage (communication, personnes à alerter, processus de reprise en main des comptes, etc.). En effet, plus on est préparé et moins l’impact sera conséquent pour l’activité et l’image de l’entreprise.

Gemalto publie les résultats du Breach Level Index 2014

Les violations de données ont augmenté de 49 % en 2014 et atteignent 1 milliard de fichiers de données compromis, le vol d’identité étant la cible numéro 1 des cybercriminels.

Gemalto, spécialiste de solutions dédiées à la sécurité numérique, a publié les derniers résultats du Breach Level Index montrant qu’au cours de 2014 plus de 1 500 violations de données ont entraîné la vulnérabilité d’un milliard de fichiers de données dans le monde entier. Cela représente une augmentation de 49 % des violations de données et une augmentation de 78 % de vols ou de pertes de fichiers de données par rapport à 2013.

Outil de référence incontournable du secteur, mis au point par SafeNet et conservé par Gemalto suite à son acquisition de cette entreprise, le Breach Level Index est une base de données mondiale répertoriant au fur et à mesure les violations de données et fournissant aux professionnels de la sécurité une méthode d’évaluation de la sévérité des violations et de comparaison avec les autres violations mentionnées publiquement. Le BLI calcule la sévérité des violations des données en fonction de paramètres multiples sur la base d’informations divulguées à propos des violations.

D’après les données du BLI initial mis au point par SafeNet, la principale motivation des cybercriminels en 2014 est le vol d’identité qui représente 54 % des violations de données, plus que n’importe quelle autre catégorie de violation, y compris l’accès aux données financières. En outre, le vol d’identité représente un tiers des violations de données les plus sévères catégorisées par le BLI comme étant Catastrophiques (score BLI entre 9 et 10) ou Sévères (entre 7 et 8,9). Les violations de sécurité incluant des violations de la sécurité du périmètre, au cours desquelles des données totalement encodées ont été totalement ou partiellement compromises, sont passées de 1 à 4 %.

« De toute évidence, nous assistons à une évolution de la tactique des cybercriminels et le vol des identités sur le long terme est un objectif plus important que le vol immédiat d’un numéro de carte bancaire », explique Tsion Gonen, vice-président, responsable de la stratégie de protection de l’identité et des données chez Gemalto à DataSecurityBreach.fr. « Le vol d’identité peut entraîner l’ouverture de nouveaux comptes frauduleux, la création de fausses identités pour des entreprises criminelles ainsi qu’un grand nombre d’autres crimes sérieux. Étant donné que les violations des données sont de nature plus personnelle, nous prenons graduellement conscience que l’exposition au risque d’un individu quelconque est en train de s’aggraver. »

En plus de l’émergence des vols d’identité, la gravité des violations s’est accrue l’année dernière, les deux tiers des 50 violations les plus sévères, d’après un score BLI, s’étant produits au cours de 2014. En outre, le nombre de violations de données touchant plus de 100 millions de fichiers de données a doublé par rapport à 2013.

En matière de ventilation par secteur, les secteurs de la vente au détail et des services financiers ont connu en 2014 les tendances les plus marquées par rapport aux autres secteurs. Le commerce de détail a connu une légère hausse des violations de données par rapport à l’année dernière avec 11 % de toutes les violations en 2014. Cependant, en ce qui concerne le nombre de fichiers de données compromis, ce secteur représente 55 % des attaques au lieu de 29 % l’année dernière suite à une hausse du nombre d’attaques ciblant les systèmes de point de vente. Pour le secteur des services financiers, le nombre de violations de données est resté relativement stable en glissement annuel. Toutefois le nombre moyen de fichiers perdus par violation a décuplé en passant de 112 000 à 1,1 million.

« Non seulement le nombre de violations des données augmente, mais ces violations sont plus sévères », ajoute à DataSecurityBreach.fr M. Gonen. « Faire l’objet d’une violation ne consiste plus à savoir si cela va arriver mais quand cela va arriver. La prévention des violations et le suivi des menaces ne suffisent plus pour empêcher les cybercriminels de sévir. Les entreprises ont besoin d’adopter une approche des menaces numériques centrée sur les données, en commençant par de meilleures techniques d’identification et de contrôle d’accès telles que l’authentification à facteurs multiples et l’utilisation de l’encodage ainsi que la gestion des clés pour mieux protéger les données sensibles. De cette façon, si des données sont volées, elles ne sont d’aucune utilité pour les voleurs. »

Pour une synthèse complète des violations de données, par secteur, source, type et régions, téléchargez le rapport Breach Level Index 2014.

Externalisation et sécurité informatique

La tendance à l’externalisation porte désormais sur des fonctions complexes de sécurité selon une étude de Fortinet.

Alors que la sécurisation des entreprises face aux cyber-attaques gagne en complexité, une étude commanditée par Fortinet démontre que les décideurs informatiques, plutôt que de s’orienter vers une sécurisation réalisée en interne, privilégient plutôt les services de sécurité managés. À l’occasion d’une étude menée auprès de plus de 1 600 décideurs informatiques au sein de grandes entreprises, ces derniers révèlent un appétit croissant pour les services de sécurité managés : un quart d’entre eux déclare que l’externalisation partielle ou totale de leur sécurité informatique auprès de fournisseurs de services managés constitue l’initiative la plus importante pour faire face aux menaces de plus en plus complexes et nombreuses qui pèsent sur leur organisation.

Plus de 75% des décideurs estiment que les fonctions de pare-feu, de prévention d’intrusions et de protection de leur mail sont éligibles à l’externalisation. Ces fonctionnalités basiques, depuis longtemps considérées comme pouvant être déléguées à un partenaire externe de confiance, sont désormais rejointes par des fonctionnalités plus évoluées telles que l’authentification, les analyses en sandbox pour une protection de type ATP (Advanced Threat Protection), voire la protection contre les attaques DDoS. Aujourd’hui, les décideurs informatiques sont minoritaires à penser que les fonctions de sécurité les plus évoluées ne peuvent être externalisées auprès d’un MSSP (Managed Security Service Provider). Comment expliquer ce changement?

Neuf DSI interrogés sur 10 indiquent que les menaces actuelles, plus complexes et plus fréquentes, rendent leur mission de sécurité plus ardue qu’il y a 12 mois. Les attaques d’envergure et autres scandales de sécurité nationale, ont fait la une de nombreux médias dans le monde. Cette médiatisation a incité les directions générales à prendre davantage conscience des problématiques de sécurité informatique, avec comme conséquence, une implication plus forte de leur part dans cette discipline et une plus grande pression sur les décideurs informatiques.

Ainsi, selon ces mêmes décideurs, la pression des directions générales pour assurer la sécurité de leur entreprise a progressé de presque d’un tiers au cours des 12 derniers mois, rendant ainsi la sécurité primordiale et prioritaire par rapport aux nombreuses autres initiatives métier.

À cet état des lieux, s’ajoutent les exigences de sécuriser la mobilité des collaborateurs et de protéger le Big Data : on comprend mieux le poids qui pèse sur les professionnels informatiques, les incitant à réévaluer leurs objectifs pour atteindre cette résilience face aux cybermenaces particulièrement dynamiques.

90% des décideurs informatiques déclarent avoir été encouragés à étudier de nouveaux investissements en matière de sécurité et à repenser leur stratégie de sécurité, compte tenu des problématiques de confidentialité des données et des projets de sécurité autour du Big Data. Il n’est donc guère surprenant que cette migration vers les services de sécurité managés soit moins justifiée par des critères financiers et de ressources, et davantage par le besoin d’une infrastructure de sécurité exhaustive, performante et hautement disponible.

La gestion des cybermenaces complexes et en augmentation constitue la principale raison qui encourage l’externalisation, pour la moitié des personnes interrogées. Parmi les autres raisons citées, viennent, de manière hiérarchique, les défis liés à la confidentialité des données, un modèle économique plus adapté pour la sécurité, et la carence de compétences et de ressources adéquates en interne.

Alors que les avantages de l’externalisation des infrastructures et des applications sont compris depuis longtemps, la migration vers des services de sécurité  managés a souvent été freinée compte tenu des craintes liées à la délégation de cette fonction critique. Cette inquiétude est surtout palpable au sein des grandes entreprises. Néanmoins, l’attitude des décideurs IT est en train d’évoluer, face à la réalité de devoir lutter contre des menaces toujours plus complexes et fréquentes.

Lorsque nous les avons interrogés sur leurs habitudes personnelles en matière sécurité, 56% des répondants s’estiment prêts à confier leurs propres données personnelles à un fournisseur de services qui externalise la sécurité informatique. Cet essor des offres “as-a-Service “ dans nos vies personnelles incite sans doute les décideurs informatiques à se sentir plus en confiance face à l’adoption des services cloud. Ils reconnaissent ainsi, qu’avec une stratégie d’externalisation pertinente et une prise de décision éclairée, la sécurité informatique peut également s’inscrire dans  un tel modèle.

Bien sûr, l’idée de confier la sécurité informatique, et notamment les fonctionnalités complexes, à un prestataire externe, nécessite un haut niveau de confiance et d’assurance. Pour les décideurs informatiques interrogés, c’est la réputation d’un MSSP sur le marché des grandes entreprises qui compte le plus dans la décision de le retenir. Au-delà de cette réputation, facteur décisionnel le plus important, d’autres critères sont pris en compte dans le choix d’un fournisseur : le panel de services offerts, suivi de l’envergure mondiale du fournisseur, et enfin les accords de niveau de services proposés.

Alors que les menaces ont continué à évoluer au cours des 12 derniers mois, il n’est guère surprenant que les entreprises de toutes tailles se penchent de plus en plus sur le modèle MSSP pour des solutions de sécurité économiques contre les menaces et peut-être le plus important pour une maîtrise des risques en 24/7. Mais cette externalisation est également encouragées par d’autres besoins, parmi lesquels la volonté d’assurer la conformité réglementaire, une prise de conscience plus forte des dirigeants d’entreprise face aux risques informatiques, la prolifération des menaces APT (Advanced Persistant Threats), le besoin d’identifier les collaborateurs experts en sécurité et la nécessité d’une veille mondiale sur les menaces. Avec une large majorité des décideurs informatiques qui, dans notre enquête, déclare constater davantage de pression sur eux et une complexité croissante de leur métier, l’essor des services de sécurité managés devient une tendance clairement orientée à la hausse et qu’il va falloir suivre de près. (Par Christophe Auberger, Directeur Technique France chez Fortinet)

[1] 2014 Fortinet Global Security Census Report.

Le site du gouvernement hollandais HS durant 10 heures

Le site du gouvernement hollandais a été victime d’une attaque DDoS assez massive ayant entrainée une perte de service durant presque 10 heures. Les techniques utilisées sont des techniques de nouvelle génération. Les différentes équipes sécurité ainsi que les différents partenaires sécurité du gouvernement hollandais ont eu du mal à contenir cette attaque DDoS d’un nouveau genre. Il a fallu que toutes ces équipes analysent plus finement l’attaque pour la contenir le mieux possible.

Le simple volume de bande passante pouvant être exploité par une attaque est bien sûr problématique. Avec une consommation qui tutoie fréquemment les centaines de gigabits par seconde grâce à la combinaison dévastatrice des attaques par amplification et par réflexion, de nombreuses entreprises visées par une agression DDoS réalisent que leur connectivité à Internet représente un sérieux handicap face à ces menaces. Alors que des technologies émergentes telles que les architectures définies par logiciel (SDN) ou les réseaux virtuels permettent de répondre immédiatement à des besoins de capacité supplémentaire pour les services liés au réseau, il n’en reste pas moins que si la connectivité est compromise, l’ajout de capacité additionnelle au-delà du périmètre de l’entreprise a peu de chances d’être d’une quelconque utilité. En d’autres termes, si un hacker peut injecter des informations malveillantes en quantité suffisante pour saturer complètement votre connectivité Internet, une solution sur site ne sera à elle seule d’aucun secours. C’est pourquoi nombre d’analystes de renom recommandent la mise en œuvre d’une approche hybride pour affronter ces attaques DDoS.

L’approche DDoS hybride
Une approche hybride associe un service de détection et d’atténuation des attaques DDoS hors site (déployées sur le Cloud) à un ensemble de protections sur site. En permettant aux entreprises de tirer parti de la large bande passante disponible à proximité de la dorsale Internet — où résident la plupart des lanceurs d’attaques DDoS sur le Cloud lorsque des attaques « sur-souscrivent » leur propre connectivité tout en maintenant un haut niveau de sécurité sur site pour contrer la plupart des attaques volumétriques —, une telle approche est également adaptée aux attaques DDoS plus insidieuses, qui sont amorcées au niveau de la couche applicative.

Des solutions hybrides apportent la résilience et l’envergure des solutions basées sur le Cloud avec, en plus, la granularité et les fonctionnalités opérationnelles en permanence qui caractérisent les solutions déployées sur site. Plus important, une architecture DDoS hybride bien intégrée permet aux entreprises de faire face de manière plus efficace et plus rentable à des menaces qui se produisent rarement ; mais sont beaucoup plus dangereuses.

De plus, ces attaques sont rendues plus dangereuses par la façon dont les entreprises réagissent (naturellement) face à une attaque DDoS. Il est relativement courant qu’une entreprise qui se trouve sous le feu d’une agression concentre ses efforts sur la prévention des interruptions de service. Étant donné que les services de sécurité reposant sur de coûteuses ressources informatiques affichent rapidement leurs limites face au volume du trafic, la réaction consiste souvent à les fermer purement et simplement. Cela signifie que les systèmes de protection des identités (IPS), les pare-feu applicatifs et les systèmes de détection anti-fraude — entre autres — sont éliminés du chemin critique. Le trafic DDoS qui emprunte le réseau peut, dans une large mesure, être détecté et rejeté mais soudain, les attaques lancées au niveau de la couche applicative qui sont cachées dans les attaques volumétriques ont toute latitude pour « revenir » au niveau des applications. Fondamentalement, les défenses de la couche applicative sont traitées comme du lest dont on se débarrasse pour maintenir un bateau, c’est à dire le réseau, à flot.

Une approche hybride peut tirer parti de la capacité supplémentaire disponible sur le Cloud pour que les entreprises ne soient pas submergées par le volume excessif généré par certaines attaques, tout en leur permettant de se protéger contre des agressions plus fréquentes, mais plus faciles à maîtriser. Il est sans nul doute difficile de mettre en œuvre une solution anti-DDoS exclusivement déployée sur le Cloud si elle est utilisée pour contrer les attaques DDoS une par une, mais le jeu en vaut la chandelle en cas d’opération de grande envergure.

Une approche hybride constitue à n’en pas douter la meilleure approche architecturale dont disposent actuellement les entreprises pour limiter de manière rentable et efficace les risques associés aux attaques DDoS au sens large : une solution intégrée qui associe les outils déployés sur site et sur le Cloud représente la clé d’un processus d’intégration parfaitement transparent.

Equation Group : l’ancêtre du cyber espionnage ?

Depuis plusieurs années, l’équipe GReAT (Global Research & Analysis Team) suivrait étroitement plus de 60 menaces avancées responsables de différentes cyber attaques à travers le monde. Elle a ainsi fait des observations de toutes sortes, les attaques gagnant en complexité à mesure qu’un nombre croissant de pays se sont impliqués et efforcés de se doter des outils les plus évolués. Cependant, ce n’est qu’aujourd’hui que les experts de  peuvent confirmer la découverte d’une menace dépassant tout ce qui était connu jusque-là en termes de complexité et de sophistication techniques. Le groupe à l’origine de cette menace, dénommé « Equation Group », est actif depuis près de 20 ans.

Le groupe se singularise par pratiquement chaque aspect de ses activités : il utilise des outils très complexes et coûteux à développer pour infecter ses victimes, récupérer des données et masquer ses actions d’une façon extrêmement professionnelle, ainsi que des techniques classiques d’espionnage pour diffuser ses codes malveillants. Pour infecter ses victimes, le groupe emploie un puissant arsenal d’« implants » (Troyen), notamment les suivants : Equation Laser, Equation Drug, Double Fantasy, Triple Fantasy, Fanny et Gray Fish. L’existence d’autres implants ne paraît faire aucun doute.

L’équipe GReAT a pu récupérer deux modules servant à reprogrammer le firmware du disque dur de plus d’une douzaine de marques répandues. Il s’agit peut-être de l’outil le plus puissant dans l’arsenal d’Equation Group et du premier malware connu capable d’infecter les disques durs. En reprogrammant le firmware du disque dur (c’est-à-dire en réécrivant le système d’exploitation du disque comme nous vous l’expliquons plus haut), le groupe atteint deux objectifs :

1.       Un niveau extrême de persistance permettant au malware de résister à un reformatage du disque et une réinstallation du système d’exploitation. Dès lors que le malware s’est introduit dans le firmware, il est à même de se régénérer à l’infini. Il peut par exemple empêcher l’effacement d’un certain secteur du disque ou bien le remplacer par un code malveillant à l’amorçage du système. « Un autre danger tient au fait qu’une fois le disque dur infecté par ce code malveillant, il devient impossible d’analyser son firmware. En termes simples, les disques durs comportent pour la plupart des fonctions permettant d’écrire dans le firmware matériel mais aucune pour vérifier l’écriture, de sorte que nous sommes pratiquement aveugles et incapables de détecter les disques durs infectés par ce malware », avertit Costin Raiu, Directeur de l’équipe GReAT. A noter que l’attaque de disque dur n’est pas une nouveauté comme l’annonce Kaspersky. Snowden en avait déjà fait la preuve via des documents volés à ses anciens employeurs, la NSA.

2.       La capacité de créer une zone invisible et persistante à l’intérieur du disque dur. Celle-ci sert à enregistrer des informations qui pourront être exfiltrées ultérieurement par les auteurs de l’attaque. En outre, dans certains cas, elle peut aussi aider le groupe à percer le cryptage : « Etant donné que l’implant GrayFish est actif dès le début de l’amorçage du système, il permet de capturer la clé de cryptage et de l’enregistrer dans la zone cachée », explique Costin Raiu.

Capacité de récupérer des données sur des réseaux isolés
Parmi toutes les attaques lancées par Equation Group, le ver Fanny se démarque. Il a pour but principal de cartographier les réseaux isolés, c’est-à-dire de déterminer la topologie d’un réseau inaccessible par Internet et d’y exécuter des commandes. Pour ce faire, il utilise un mécanisme unique de commande et contrôle (C&C) sur une clé USB, permettant aux auteurs de l’attaque de faire entrer et sortir des données sur les réseaux isolés.

En particulier, une clé USB infectée avec une zone de stockage cachée a été employée pour recueillir des informations système de base sur un ordinateur non connecté à Internet et les transmettre à un serveur C&C dès que la clé est insérée dans une autre machine infectée par Fanny et disposant d’une connexion Internet. Pour exécuter des commandes sur un réseau isolé, il suffit de les enregistrer dans la zone cachée de la clé. Lorsque cette dernière est introduite dans un ordinateur du réseau, Fanny reconnaît les commandes et les exécute.

Méthodes classiques d’espionnage pour la diffusion des malwares
Les auteurs des attaques ont utilisé des méthodes universelles pour infecter les cibles, que ce soit via le Web ou dans le monde physique. A cette fin, ils ont intercepté des produits physiques pour leur substituer des versions contaminées par des chevaux de Troie. Cette technique a été employée, par exemple, pour cibler les participants d’une conférence scientifique à Houston (Texas) : à leur retour chez eux, certains des participants ont reçu un compte rendu de la conférence sur un CD-ROM qui a ensuite servi à installer l’implant DoubleFantasy sur la machine cible. La méthode exacte de falsification des CD reste inconnue.

Il existe de solides indices d’interactions d’Equation Group avec d’autres groupes puissants, tels que les opérateurs des campagnes Stuxnet et Flame, généralement en position de supériorité. Equation Group a ainsi eu accès à des failles « zero day » avant qu’elles ne soient exploitées par Stuxnet et Flame. A un moment donné, il a également partagé des exploitations de vulnérabilités avec d’autres. Par exemple, en 2008, Fanny a utilisé deux failles « zero day » qui ont été par la suite exploitées dans Stuxnet en juin 2009 et mars 2010. Pour l’une d’elles, Stuxnet reprenait en fait un module Flame exploitant la même vulnérabilité et passé directement d’une plate-forme à l’autre.

Equation Group utilise une vaste infrastructure C&C qui comprend plus de 300 domaines et 100 serveurs. Les serveurs sont hébergés dans de nombreux pays (Etats-Unis, Royaume-Uni, Italie, Allemagne, Pays-Bas, Panama, Costa Rica, Malaisie, Colombie et République tchèque, notamment). Kaspersky surveillerait  actuellement plus d’une vingtaine de serveurs C&C (autant dire que les pirates derrières ces centres de commande n’ont plus qu’à changer d’espace, ndlr). Depuis 2001, Equation Group aurait infecté des milliers voire des dizaines de milliers de victimes dans plus d’une trentaine de pays à travers le monde, appartenant aux secteurs ou milieux suivants : administrations et missions diplomatiques, télécommunications, aéronautique, énergie, recherche nucléaire, pétrole et gaz, défense, nanotechnologies, militants et érudits islamiques, médias, transports, établissements financiers ou encore développeurs de technologies de cryptage. Sept exploits utilisés par l’Equation Group dans ses malwares, dont au moins 4 comme « zero day » (ils ne sont donc plus inconnus, ndlr). En outre, des failles inconnues, peut-être « zero day », ont été exploitées contre Firefox 17, tout comme dans le navigateur Tor.

Pendant la phase d’infection, le groupe a la capacité d’exploiter dix vulnérabilités en chaîne. Cependant, les experts n’en ont constaté pas plus de 3 à la suite : si la première échoue, une deuxième est essayée, puis une troisième. En cas de triple échec, le système n’est pas infecté. Ce qui est assez étonnant car ZATAZ.COM a pu constater des « HQ » malveillants exploitant l’intégralité des failles, exploits disponibles au moment de l’attaque lancée par ce type d’outil.

Leçon de sécurité sur Internet

De quoi une entreprise a-t-elle besoin pour instaurer la confiance des utilisateurs ? Réalisée fin 2014 auprès d’un panel de 1000 utilisateurs, une étude menée par GlobalSign met en évidence quelques règles à appliquer pour aider les entreprises à rassurer les internautes quant à l’utilisation d’internet

Il n’est plus possible d’ignorer qu’aujourd’hui très peu de personnes peuvent  vivre sans Internet. Accéder à ses comptes et faire du shopping en ligne, lire l’actualité ou ses e-mails, rester en contacts avec ses amis sur les réseaux sociaux, faire des recherches, etc. : la liste de ce que vous pouvez ou êtes obligés de faire sur Internet est longue. Cependant, seuls 19,4 % des Français pensent que leurs données sont suffisamment protégées sur le Web.

Les internautes vous le confirmeront, notamment quand des informations privées et hautement confidentielles sont en jeu. Ils admettent qu’ils redoutent, avant tout, l’usurpation d’identité en ligne.

D’après notre enquête, presque tous les visiteurs d’un site web vérifient son niveau de sécurité au moins une fois lorsqu’ils commandent en ligne. 85 % des personnes interrogées ont même répondu qu’elles ne poursuivraient pas leurs achats si elles n’étaient pas complètement persuadées que le site est suffisamment sécurisé.

Ces réponses montrent à quel point les précautions de sécurité sont importantes sur un site web. Cependant que recherchent vraiment les visiteurs ?

Le top 5 des signes qui instaurent la confiance CHEZ Les visiteurs d’un site web

N° 5 : avis et notes d’autres consommateurs
En cas de doute, la moitié des utilisateurs interrogés demanderaient à des connaissances, des proches, des amis ou d’autres consommateurs leur avis sur un site web, que ce soit à l’oral ou à l’écrit. Un client satisfait peut en amener beaucoup d’autres. En revanche, un client mécontent peut causer d’importants dégâts.

Conclusion : il est toujours recommandé d’obtenir des témoignages de clients satisfaits et des avis positifs sur Internet. Cependant, cela ne garantit en rien la sécurité d’un site.

N° 4 : sceaux de site et marques de confiance
Les sceaux et les marques de confiance renforcent la fiabilité d’un site web car ils prouvent que celui-ci a mérité ces symboles et a été approuvé par un partenaire externe. Cependant, les sceaux de site ont des significations différentes : ils peuvent afficher l’appartenance à un groupe selon des critères de sécurité spécifiques ou prouver le niveau de chiffrement SSL utilisé sur le site.

Conclusion : les sceaux et les marques de confiance sont de bons indicateurs qu’un site est sécurisé car ils ne sont distribués que si certains critères de sécurité sont respectés. Cependant, ces critères peuvent être très différents d’un sceau à un autre.

N° 3 : la réputation du site
Il semble que de nombreuses personnes fassent automatiquement confiance aux sites très populaires. Elles partent du principe que pour être si populaires, ces entreprises se doivent de garantir certains niveaux de sécurité. Les sites web en question sont sans aucun doute les leaders du secteur, tels qu’eBay, Amazon, Facebook, etc.

Conclusion : la plupart des sites les plus populaires intègrent des mécanismes de sécurité appropriés pour protéger leurs clients. Mais quels critères les consommateurs utilisent-ils pour estimer qu’un site est « populaire et donc fiable » ? Sans parler du fait que ceci ne garantit en rien la sécurité du site ! Il existe des solutions bien plus efficaces pour garantir aux visiteurs d’un site web que celui-ci est sécurisé.

N° 2 : HTTPS
Le protocole « HTTPS » est le meilleur indicateur qu’un site web est sécurisé. Et la bonne nouvelle, c’est qu’il a été désigné comme l’un des critères de confiance les plus importants par la majorité des personnes interrogées.

Conclusion : HTTPS est la meilleure technique à utiliser.

Mais en quoi consiste concrètement le protocole HTTPS ?
HTTPS est l’acronyme de Hypertext Transfer Protocol Secure (« protocole de transfert hypertexte sécurisé »). Il prouve que les données transmises entre un client et un serveur sont chiffrées et sécurisées. Il est nécessaire d’avoir un certificat numérique pour activer le protocole HTTPS. Il existe trois niveaux de certificats SSL : validation de domaine, validation de l’organisation et validation étendue.

N° 1 : le cadenas
Le cadenas est presque aussi important que le protocole HTTPS car il représente visuellement ce que le protocole effectue techniquement, et c’est pourquoi il constitue également un signe de confiance très important. L’utilisateur d’un site peut lire davantage d’informations sur le certificat en cliquant sur le cadenas qui se trouve dans la barre d’adresse, à côte de « HTTPS », telles que le niveau de confiance garanti, le niveau de chiffrement utilisé, le certificat racine, la période de validité et les informations de l’entreprise qui ont été vérifiées.

De plus, un certificat SSL à validation étendue (EV) active la barre d’adresse verte, ajoutant ainsi un niveau de reconnaissance visuelle supplémentaire.

Le nom de l’entreprise qui s’affiche dans la barre d’adresse indique également qu’un certificat EV SSL est utilisé et garantit que les paramètres de sécurité les plus élevés ont été appliqués. Les consommateurs font également plus confiance aux sites lorsqu’ils connaissent l’identité de leur propriétaire qui est indiqué dans le certificat.

La question cruciale est celle-ci : Internet est-il fiable tout court ?
A cette question, près de 40 % des personnes interrogées ont répondu qu’Internet était fiable si l’on sait ce que l’on cherche. Les personnes interrogées ont donc une très bonne idée de la situation actuelle. Internet est sans danger si l’on sait reconnaître les signes de sécurité.

La sécurité informatique : un enjeu méconnu et sous-estimé – Partie II

Avec l’actualité de ce début 2015, la sécurité informatique devient un sujet dont beaucoup de monde parle. Cependant, l’immense majorité des entreprises ne connaissent pas l’étendue des risques liés à la sécurité de leur site. Partie II : La sécurité informatique : un enjeu méconnu et sous-estimé.

  • Les boutiques fantôme

Enfin, certains pirates créent pour leur usage personnel, sur un site de e-commerce piraté, une « boutique fantôme ». Ils créent en réalité une nouvelle page, invisible pour les visiteurs normaux et pour l’entreprise, où ils installent leur boutique, en général de produits illicites ou obtenus illicitement. Ainsi, seuls les « connaisseurs » ont accès à cette boutique cachée, via l’URL qu’ils tapent directement. Ici également, le but est lucratif.

Dans tous les cas, le possesseur du site piraté est légalement responsable, même s’il n’est pas au courant de ce qui se trame dans son dos. C’est aussi très mauvais pour son image. Pour faire une analogie, c’est comme si un gérant découvrait, dans la cave de son restaurant de prestige, un réseau de prostitution. Même si le restaurant ignorait que sa cave était utilisée ainsi et que les organisateurs avaient fait forger une clé, il serait légalement responsable et son image en pâtirait.

Dans une moindre mesure, l’utilisation des ressources d’un site par un pirate peut également faire ralentir le site en question, qui aura moins de ressources à disposition pour satisfaire ses visiteurs légitimes. Cela peut avoir des conséquences très importantes : une perte de crédibilité pour un site institutionnel, une perte éventuelle de clients pour les industriels, une perte de revenus potentiels pour les e-Commerçants (57% des acheteurs en ligne abandonnent un site sur lequel ils ont l’intention d’effectuer un achat si la page met plus de 3 secondes à charger).

  • Attaque de données et confidentialité
    • Attaque sur les utilisateurs du site

Une fois qu’un pirate a pris possession d’un site, il peut modifier son code source. Il a donc notamment la possibilité de rajouter dans ce code source une « commande » qui cause le téléchargement d’un malware, ou virus, sur les appareils des visiteurs du site (ordinateur, tablette, smartphone…). Voir le cas du journal Forbes et la modification d’un de ces widgets. Ce virus permettra au pirate de prendre le contrôle de ces appareils ou de récupérer leurs données. C’est un bon moyen pour le pirate d’augmenter facilement et rapidement son parc de machines.

Là encore, cela donne une très mauvaise image du site, qui va perdre énormément de visiteurs, d’autant plus si c’est l’un d’entre eux qui révèle l’attaque suite à l’utilisation frauduleuse de ses données. De plus, un moteur de recherche tel que Google identifiera le site comme malveillant et agira en conséquence sur son référencement. Le moteur de recherche va prévenir les visiteurs que le site est douteux, ou même complétement leur bloquer l’entrée au site si la connexion n’est pas sécurisée.

  • Ciblage des codes sources

Avant d’explorer le sujet de la récupération des bases de données, arrêtons-nous sur un autre type de vol, moins connu : le vol de code source. En effet, certains sites web contiennent des codes source sensibles ou d’excellente qualité, qu’ils ne souhaitent pas voir dévoilés ou utilisés par un tiers ; c’est en réalité un vol de leur expertise. Un pirate peut par exemple créer une copie du site pour l’utiliser à des fins malveillantes, simplement imiter sa mise en page… Il va utiliser un code de qualité sans payer au développeur du code tout le travail de création, qui peut avoir été très long. Même si ce vol n’est pas aussi grave que celui d’un ensemble de numéros de carte bleue, il reste important à noter.

  • Vol de bases de données

L’une des plus grandes peurs des entreprises, à raison, est le vol de leur base de données. Enormément d’informations peuvent être récupérées : nom, prénom, informations familiales, nom des enfants et du conjoint, âge, numéros de carte bancaire, de carte d’identité, de sécurité sociale, habitudes d’achats… C’est ce qu’a vécu la boutique français LBO. On entend régulièrement parler de ce type d’attaques, ce n’est que la dernière en date officiellement divulguée.

Il est par exemple tout à fait possible de déterminer, via un site de réservations, quand une famille part en vacances afin de pouvoir aller cambrioler sa maison au bon moment. Cela se fait beaucoup actuellement et ces informations s’achètent facilement auprès des pirates. En fait, en recoupant plusieurs sources, on peut facilement tout savoir sur n’importe qui.

De plus, si un utilisateur s’enregistre sur un site piraté via un compte de réseau social (Facebook, Twitter…), le pirate aura également accès au compte en question, sur lequel il pourra publier du contenu non approuvé.

Les pirates peuvent également usurper l’identité des personnes présentes sur la base de données. Ils peuvent par exemple envoyer des e-mails en leur nom, à leurs amis, afin de tenter d’infecter leurs machines et d’en prendre le contrôle. Il n’y a aucune limite à ce qu’un pirate en possession de ces informations peut faire.

Là encore, c’est l’image du site qui est très affectée, et au-delà l’entreprise. Selon les Echos, en France, une entreprise perd en moyenne 4,5% de ses clients lorsqu’il est découvert qu’un incident a touché l’intégralité de ces données.

  • Fraude au paiement

Quand un pirate contrôle une machine, il peut y déposer un programme qui regarde et enregistre tout ce qu’il se passe sur le site correspondant. Ce programme est invisible sans analyse poussée du code source ; il est donc tout à fait possible que l’un d’entre eux soit déjà présent sur votre site. Il a ainsi accès aux identifiants et codes de tous les clients se connectant (ce qui constitue également un vol de données).

Il peut aussi prendre une commission sur toutes les transactions, ou même rediriger certains paiements vers son compte plutôt que celui de l’e-commerçant ; c’est ici du vol pur et simple.

Il lui est également possible de faire du shoplifting : le pirate va utiliser une faille pour ne pas payer le prix demandé par le commerçant, mais un prix qu’il aura fixé lui-même. Il pourra donc payer 1 € un produit qui vaut en réalité 200€. La transaction ayant été complétée sans problème à cause de la faille, l’e-commerçant recevra une confirmation de paiement sans erreur et ne se rendra compte de l’arnaque que trop tard. Une faille de ce type concernant les paiements via Paypal sous la plateforme Magento a d’ailleurs été révélée en 2012. Cette faille a bien sûr été corrigée depuis.

Le but ici est très clair : l’argent. C’est le moyen le plus direct pour un pirate d’en gagner.

  • Intrusion

Il est possible d’aller encore plus loin et de ne pas se limiter aux actions touchant le site web. Un pirate peut facilement atteindre le serveur interne de votre entreprise via celui de votre site internet. C’est ce que l’on appelle les attaques par rebond.

En fait, le serveur interne (physique) est souvent relié au serveur hébergeant le site internet via un tunnel VPN. Il s’agit d’une connexion (physique ou virtuelle) transmettant des données chiffrées, permettant au site web d’accéder à des informations contenues dans le serveur interne (par exemple, la base de données clients). Les entreprises s’imaginent que le chiffrement de leurs données suffit à protéger leur Intranet, et que dans le pire des cas seul leur site internet sera piraté.

Mais par l’intermédiaire de nombreux rebonds, il est tout à fait possible d’arriver jusqu’au serveur interne.

Ce risque n’est absolument pas hypothétique. Par exemple, Target a subi en 2014 un vol de données, touchant environ 100 millions de clients via son fournisseur de climatisation. Ce prestataire avait en effet accès au serveur interne de Target pour pouvoir réguler la température des locaux ; il a été la porte d’entrée du pirate.

Il s’agit donc ici d’avoir accès à toutes les informations sur l’entreprise, ses clients, ses locaux, ses employés…

Cela peut même aller jusqu’à l’atteinte physique de l’entreprise : au-delà des données privées et sensibles contenues dans l’Intranet, un pirate peut, par exemple, obtenir le chiffrage des badges d’accès aux locaux et ainsi en créer d’autres, laisser les portes ouvertes, fermer l’accès à tous les badges déjà existants… Cela peut également se traduire par la prise de contrôle du réseau interne : mainmise sur le service téléphonique, accès à l’ensemble des dossiers de l’entreprise (données confidentielles, stratégiques, RH…)

Toutes ces attaques et, en général, le contrôle d’une machine correspondant à un site internet par un pirate peuvent causer la faillite d’une entreprise. C’est ce qui est arrivé à la société MtGox, plateforme d’échange de monnaie virtuelle Bitcoin, après qu’une attaque informatique a causé la disparition de 750 000 bitcoins de clients et 100 000 appartenant à la société. Elle a déposé le bilan en février 2014.

  1. Les solutions pour protéger votre entreprise

Nous espérons que cet article vous a fait comprendre que toutes les entreprises et tous les sites sont vulnérables aux attaques, et que la sécurité n’est plus un « bonus » à remettre à plus tard, mais bien une nécessité urgente.

Heureusement, il existe des solutions pour se prémunir efficacement contre ces attaques. Prenons l’exemple de CerberHost, une solution développée par NBS System. C’est un Cloud privé de très haute sécurité, composé de 8 couches de protection logicielles et humaines, dont le périmètre de sécurisation s’étend du site web au matériel physique, en passant par les bases de données, l’applicatif, le réseau… Il garantit la sécurité des sites à 99,9%, grâce à une amélioration continue permise par l’équipe R&D. En effet, ces solutions doivent toujours s’adapter pour intégrer les nouveaux types d’attaques, dans un contexte toujours en évolution.

L’objectif, avec ce type de solutions, est de protéger les sites contre tous les cas possibles via une sécurisation optimale et en rendant les attaques trop chère, pénibles ou complexes afin de décourager les pirates et les faire changer de cible. Il est important de mettre votre site entre les mains de personnes compétentes et surtout spécialisées en sécurité, pour le bien de votre entreprise comme celui de vos clients.

Partie I : La sécurité informatique : un enjeu méconnu et sous-estimé.

 

Les objets connectés : maison en danger

La société HP vient de sortir une étude sur le top 10 des produits de sécurité vendus pour sécuriser sa maison. Caméra de vidéosurveillance et autres détecteurs de mouvement sans fil loin d’être des fort Knox.

L’entreprise américaine explique que tous les produits testés contiennent des vulnérabilités. Dans le lot des problèmes : authentification faible et manque de chiffrement. Gros écueil, selon HP, la non utilisation de la double authentification alors que ces matériels permettent d’être administrés et consultés à distance, via Internet par exemple.

La seconde inquiétude, la collecte des données personnelles allant du nom, adresse, date de naissance du propriétaire du matériel, ou encore, dans certains cas, numéro de téléphone et données de carte bancaire. L’Internet of Things a encore du chemin à faire pour fusionner la sécurité informatique à la course effrénée du marketing et de l’expérience de l’utilisateur. Avoir la plus belle robe et le clic facile ne devraient pas être prioritaires à ce qui permet de protéger la robe et le doigt.

La sécurité informatique : un enjeu méconnu et sous-estimé

Avec l’actualité de ce début 2015, la sécurité informatique devient un sujet dont beaucoup de monde parle. Cependant, l’immense majorité des entreprises ne connaissent pas l’étendue des risques liés à la sécurité de leur site. (Par NBS System pour DataSecurityBreach.fr)

Elles ne savent pas, à proprement parler, ce qu’implique le terme de « piratage ». Beaucoup d’entre elles s’imaginent, à tort, être à l’abri car leur site n’est pas très connu, ou qu’il ne contient pas de données sensibles…

Mais ce qu’il faut bien comprendre, c’est que la sécurité concerne tout le monde et que les attaques n’arrivent pas qu’aux autres. Si certaines sont ciblées (par exemple celle de Sony en 2014), la majorité des pirates fonctionnent par pur opportunisme.

On peut faire l’analogie suivante : l’Internet est un gigantesque parking, où chaque site est une voiture. Les personnes mal intentionnées n’ont qu’à passer parmi elles et essayer d’ouvrir les portières pour en trouver une qui ne soit pas fermée afin de la voler. Peu d’entre eux vont utiliser des outils pour cibler une voiture en particulier ; ils n’ont pas besoin de connaissances techniques pour essayer d’ouvrir des portières. Ils voleront toutes les voitures ouvertes à leur disposition, quelle que soient leur marque ou leur prix.

Les pirates informatiques fonctionnent de la même manière. Ils vont passer en revue tous les sites web en espérant trouver une faille sur l’un d’eux pour investir le site.

  • Ils n’ont pas nécessairement besoin de compétences techniques.
  • Il existe de nombreux outils informatiques (légaux ou non) leur permettant de scanner la toile et de repérer très facilement des vulnérabilités.
  • Ils visent large pour être sûrs de toucher le plus de cibles possible.

C’est également pourquoi la taille ou la renommée du site importent peu ; s’il y a une faille sur votre site, il sera piraté un jour ou l’autre.

Il est important que les entreprises se rendent compte qu’on ne peut jamais garantir la sécurité de son site à 100% et encore moins la qualité de son code. En effet, même si le code est écrit par des professionnels très doués, ces derniers sont rarement experts en sécurité et restent, malgré tout, des humains : des êtres faillibles. Il faut donc rester humble ; il n’existe pas de code parfait et tous les développeurs sont voués à faire des erreurs. Par exemple, en 1996, la fusée Ariane a explosé en vol à cause d’une erreur de programmation, autrement dit une erreur de code. C’est la preuve que même l’ESA (Agence Spatiale Européenne), dont les membres sont très compétents et parmi les meilleurs mondiaux, n’est pas infaillible. Votre développeur peut-il se targuer d’avoir le même niveau de compétences ?

Aujourd’hui sur Internet il y a des millions, voire des milliards, de failles existantes et pas encore découvertes ; c’est une certitude ! L’une, voire plusieurs d’entre elles est peut-être sur votre site, ou bien sur l’un de ceux que vous consultez régulièrement… L’enjeu est donc de prendre conscience de cette situation, et de se protéger afin d’éviter les attaques qui, nous le rappelons, peuvent toucher tous les types de sites, et ont des répercussions importantes sur l’image de l’entreprise et ses bénéfices.

  1. Le piratage, comment ça marche ?

Il peut être très facile d’accéder aux données d’un site web via une faille. Or, accéder aux données, c’est accéder au serveur sur lequel est hébergé le site, c’est-à-dire la machine contenant toutes les informations et ressources utilisées pour le fonctionnement du site. Il existe de très nombreux moyens d’y arriver ; nous allons ici détailler l’un de ces moyens, très simple, appelé l’énumération d’identifiants.

Imaginons le site web « http://www.monsiteweb.com », site web d’une compagnie d’assurance. Pour pouvoir utiliser l’interface, le visiteur doit s’identifier et créer un compte, comprenant ses informations (telles que nom, prénom, adresse, etc…). La base de données lui administrera alors un identifiant : 12345678 par exemple.

Une fois identifié, si le visiteur souhaite modifier son adresse suite à un déménagement, il se rendra sur la page des paramètres de son compte. Dans de nombreux cas, peut-être le vôtre, le site affiche dans son URL l’identifiant du client :

Imaginons maintenant que le visiteur soit un pirate. Grâce à la présence de l’identifiant dans l’URL, il trouvera sur cette page uniquement les informations le concernant ; il comprend donc que pour les autres utilisateurs, le fonctionnement est identique. S’il modifie l’identifiant dans la barre d’adresse, en remplaçant le 8 à la fin par un 9 par exemple, et que le code source du site contient une faille et ne bloque pas sa requête, il aura accès aux informations correspondant au compte n°12345679.

Mais s’il a accès à ce compte, cela signifie qu’il a potentiellement accès à tous les autres comptes et donc à la base de données du site toute entière. Rien qu’avec la barre d’adresse, il est donc possible d’accéder à un serveur et de contourner sa sécurité. Cela peut être aussi simple que cela. Un adolescent aujourd’hui peut avoir les compétences suffisantes pour mettre en œuvre cette attaque ! De nombreux tutoriels existent même sur Youtube permettant à n’importe qui d’acquérir les connaissances de base pour mettre en place des attaques simples de ce genre.

Bien qu’il existe de nombreuses autres techniques plus complexes, celle décrite ci-dessus fait partie d’un grand nombre de méthodes triviales et à la portée de tous

Il est important de comprendre cela car une fois que le pirate a accès à la machine, il peut élever ses privilèges et obtenir autant de pouvoir que l’administrateur de celle-ci. C’est-à-dire qu’il pourra littéralement faire tout ce qu’il souhaite avec les informations et les ressources à sa disposition. Il existe plusieurs types d’attaques, chacune avec des objectifs et des impacts différents, mais aux conséquences toujours graves.

  1. Les différents types d’attaque
    • Défiguration d’un site web

C’est le type d’attaque le plus visible, même si c’est techniquement le moins dangereux. La défiguration ou défacement de site web (defacing en anglais) consiste à modifier une ou plusieurs pages d’un site, par exemple la page d’accueil, en la remplaçant par une image, du texte…

Ces attaques sont plutôt simples à réaliser et ne nécessitent pas de compétences techniques très développées. Les pirates utilisent simplement un outil scannant les sites un par un et repérant des vulnérabilités afin de les exploiter grossièrement.

En général, la page de remplacement affichée pendant l’attaque contient le nom du pirate et un message. En effet, par ces défigurations les pirates cherchent uniquement leur visibilité. Ils souhaitent faire passer un message en général politique, ou bien veulent de la reconnaissance. Plus de 20 000 sites, dans le cadre de l’opération OpFrance, se sont fait pirater de cette manière. L’opération a commencé le 18 janvier mais aujourd’hui encore, certains sites affectés sont toujours en maintenance. Si ces attaques ne sont pas dangereuses sur le long terme, elles ont un gros impact en termes d’image pour le site attaqué.
 

  • L’exploitation des ressources d’un site web

Les attaques que nous allons décrire dans ce point et les points suivants sont beaucoup plus dangereuses, notamment parce qu’elles ne sont pas facilement repérables par le site attaqué. Si vous subissez une attaque, dans 90% des cas vous en serez informé par un tiers (source : 2012 data breach investigations report, Verizon, 2012) ; ce sont soit les autorités, soit un client, partenaire ou prestataire qui aura été une victime indirecte de l’attaque subie. Cela cause en général une énorme chute de confiance en l’entreprise. C’est d’ailleurs une des raisons pour laquelle, comme montré sur la figure 1 le délai de découverte de plus de la moitié des attaques se compte en mois.

Dans le cas de l’exploitation des ressources d’un site web, tout est dans le titre. Le pirate, ayant gagné accès au serveur du site, va utiliser les ressources de la machine correspondante (processeur, mémoire, bande passante) pour son propre compte. Il pourra cependant rester dans l’anonymat et se prémunir des risques légaux, puisque c’est le site web piraté qui sera légalement responsable des actions effectuées avec ses ressources.

En l’occurrence, le pirate va souvent les revendre, pour plusieurs usages : l’envoi de SPAM, les DoS (attaque par déni de service, empêchant l’accès à un site), le déchiffrement de données et les boutiques fantôme.

  • L’envoi de SPAM

Il faut savoir que chaque machine possède une adresse IP qui lui est propre, et que l’on fait correspondre au(x) site(s) web hébergés dessus. Quand trop d’e-mails sont envoyés depuis une machine, celle-ci est « marquée » comme malveillante et les envois sont bloqués. En envoyant les courriers SPAM depuis l’adresse IP du/des sites piratés, l’envoi se fera sans blocage. Ainsi, utiliser l’IP d’une autre machine en achetant ses ressources est un moyen de contourner cela, jusqu’à ce que la/les machine(s) piratée(s) soit elle aussi considérée comme malveillante

Si cela vous arrive, vous ne pourrez plus envoyer aucun e-mail depuis votre nom de domaine ou votre adresse IP. Votre hébergeur aura également la possibilité de clôturer votre compte.

De plus, légalement, le spamming peut être puni de 5 ans d’emprisonnement et de 300 000 euros d’amende (Article 226-18-1 du Code Pénal).

  • Les DoS

Dans le cas des DoS, l’utilisation d’une machine infectée permet l’anonymat de la personne ayant commandé une attaque DoS vers une cible tierce, ou de multiplier la puissance de l’attaque en y ajoutant les ressources d’un ou plusieurs autres ordinateurs. Ici, le but est purement lucratif. Là encore, les sanctions légales sont importantes : selon l’article 323-2 du Code Pénal, « le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de 5 ans d’emprisonnement et de 75 000 euros d’amende ».

  • Le déchiffrement de données ou mots de passe

Il est également possible d’utiliser les ressources du serveur infecté comme puissance de calcul afin de deviner des mots de passe ou déchiffrer des données, via la méthode bruteforce. Il s’agit de faire tester à une machine toutes les combinaisons possibles jusqu’à tomber sur la bonne. Plus le nombre de machines utilisées augmente, plus les ressources sont importantes, et donc plus le temps de résolution sera court. Ici, le but est majoritairement la récupération de données, pour les utiliser ou les revendre (ce type d’attaque sera traité plus tard dans l’article).

Dans les trois cas cités, le but du pirate est de prendre le contrôle d’un maximum de machines pour monnayer ces ressources.

Partie II : La sécurité informatique : un enjeu méconnu et sous-estimé.

 

Faille de taille pour Internet Explorer 11

Une faille vise le navigateur de Microsoft, Internet Explorer 11. Un XSS qui permet d’injecter des cochonneries numériques lors de votre visite d’un site piégé.

Les Cross-sites scripting, le site zataz.com vous en parle malheureusement très souvent. Cette vulnérabilité, baptisée XSS, permet de modifier une page d’un site web lors de la visite de ce dernier via un url particulièrement formulé, d’injecter un code malveillant dans l’ordinateur d’un internaute et de nombreuses autres possibilités aussi malveillantes les unes que les autres.

Aujourd’hui, c’est au tour du navigateur de Microsoft, Internet Explorer 11, de souffrir du problème. Un pirate peut contourner le « same-origin » du navigateur. Bilan, comme l’explique sur SecList l’inventeur de la faille, David Leo, un pirate peut diffuser ce qu’il veut dans le navigateur d’un visiteur ainsi piégé. Une démonstration a été faite dans les pages du journal britannique Daily Mail. Microsoft a confirmé la faille.

Pour « corriger » ce problème, il suffit aux webmasteurs de modifier leurs pages web, et de passer l’en-tête X-Frame-Options avec la valeur ‘deny’ ou ‘same-origin’. Bilan, plus aucune possibilité de CSS. A noter que la firme de Redmond a été alertée en octobre 2014 et n’a toujours pas patché son navigateur.

État des lieux de la sécurité sur internet du 4ème trimestre 2014

Sale ambiance numérique pour le dernier trimestre de 2014. Akamai indique que le nombre d’attaques DDoS a pratiquement doublé en un an ; le trafic DDoS a diversifié ses sources à l’échelon mondial et que près de la moitié des attaques DDoS ont exploité plusieurs vecteurs.

Akamai Technologies, l’un des principaux fournisseurs de services de cloud, d’optimisation et de sécurisation de contenus en ligne et d’applications professionnelles, annonce la publication du rapport « Etat des lieux de la sécurité sur internet » du 4ème trimestre 2014 sur les attaques DDoS. Produit par le PLXsert (Prolexic Security Engineering and Research Team), aujourd’hui rattaché à Akamai, qui rassemble des experts des services et stratégies de protection contre les attaques DDoS et de sécurisation cloud, il livre une analyse trimestriel et un éclairage sur les cyber-menaces et attaques à l’échelle mondiale, y compris sur les attaques DDoS observées sur le réseau PLXrouted.

« Un nombre impressionnant d’attaques DDoS ont eu lieu au 4ème trimestre, près du double par rapport à ce que nous avions observé à la même période un an plus tôt », souligne à DataSecurityBreach.fr John Summers, vice president, Security Business Unit chez Akamai. « Le déni de service est une menace répandue qui vise de nombreuses entreprises. Le trafic d’attaques DDoS n’a pas été cantonné à un secteur donné, comme celui du divertissement qui a pu faire la une des medias en décembre. Les attaques ont, au contraire, porté sur de multiples secteurs d’activité. »

Akamai a également observé une hausse de 52 % du débit moyen des attaques DDoS en comparaison du 4ème trimestre de l’année précédente. De volumineux paquets de trafic indésirable peuvent très vite anéantir la capacité d’une entreprise à traiter les requêtes légitimes de ses clients, et ce déni de service entraîner ainsi des pannes. Or, la plupart des sites non protégés sont incapables de résister à une attaque DDoS classique. Par conséquent, les attaques DDoS font aujourd’hui partie intégrante du paysage des menaces et de la cybersécurité que toute entreprise présente sur le Net se doit d’anticiper dans une évaluation des risques.

Le phénomène DDoS-for-hire et la montée en puissance des attaques par réflexion et multi vecteurs. Les suites de booters DDoS-for-hire, ont engagé peu de moyens puisqu’elles ont mis à profit des attaques DDoS par réflexion. Près de 40 % des attaques DDoS en tous genres ont fait appel à ces techniques, qui s’appuient sur des protocoles Internet pour générer un trafic en réponse considérablement amplifié et dispensent le hacker de prendre le contrôle du serveur ou du device.

La généralisation de services DDoS-for-hire a permis à des hackers amateurs d’acheter ces services prêts à l’emploi. L’essor de ce marché a également été propice à l’utilisation de campagnes multivectorielles, l’innovation des attaques étant stimulée par la concurrence. Les attaques multivecteurs observées ont été considérablement plus nombreuses – en hausse de 88 % par rapport au quatrième trimestre 2013. Plus de 44 % des attaques de toute nature ont exploité plusieurs vecteurs.

Répartition mondiale des cibles et des sources d’attaques DDoS
Le rythme des attaques DDoS a été plus homogène au 4ème trimestre lié à un nombre croissant de cibles importantes dans des zones géographiques jusqu’alors sous-représentées. Par ailleurs, l’origine géographique du trafic malveillant s’est déplacée. Les États-Unis et la Chine ont continué à répondre de la plupart du trafic DDoS, mais à la différence du 3ème trimestre 2014 marqué par la domination du groupe BRIC (Brésil, Russie, Inde et Chine), le trafic d’attaques DDoS, au 4ème trimestre 2014, a émané, pour l’essentiel, des États-Unis, de la Chine et de l’Europe occidentale. Quelques faits et chiffres marquants :

Par rapport au 4ème trimestre 2013
– Nombre d’attaques DDoS : + 57 %
– Débit crête moyen : + 52 %
– Nombre crête moyen de paquets par seconde : – 77 %
– Attaques de couches applicatives : + 51 %
– Attaques de couches d’infrastructure : + 58 %
– Durée moyenne des attaques : + 28 %
– Nombre d’attaques multivecteurs : + 84 %
– Attaques à plus de 100 Gb/s : + 200 % (9 contre 3)

Par rapport au 3ème trimestre 2014
– Nombre d’attaques DDoS :+ 90 %
– Débit crête moyen des attaques : + 54 %
– Nombre crête moyen de paquets par seconde : – 83 %
– Attaques de couches applicatives : + 16 %
– Attaques de couches d’infrastructure : + 121 %
– Durée moyenne des attaques : + 31 %
– Nombre d’attaques multivecteurs : + 38 %
– Attaques à plus de 100 Gb/s : – 47 % (9 contre 17)

Les botnets à la loupe
Les logiciels malveillants sont souvent utilisés pour favoriser la propagation des botnets DDoS. Leurs caractéristiques – infection multiplate-forme, détection du système d’exploitation et maliciels destructifs – sont exposées dans le Rapport de sécurité. Akamai a, par ailleurs, défini le profil de plusieurs botnets d’attaques visant des applications web au moyen d’une nouvelle technique d’analyse tirant parti de données glanées sur Akamai Intelligent Platform™. Les botnets en question visaient à automatiser la découverte de vulnérabilités dans ces applications web face à des attaques par injection de commandes RFI (Remote File Inclusion) et OS (Operating System). Les experts Akamai ont établi leur profil en isolant des URL et charges utiles de code malveillant identiques entre des attaques apparemment sans lien. Une charge utile a servi à regrouper les données et à cartographier l’activité des botnets, les acteurs en lice et les applications web victimes de ces attaques. Cette technique de profilage permettra de recenser d’autres sources d’attaques.

Neutralisation des bots, scrapers et autres spiders
Si les attaques par déni de service ralentissent considérablement les performances d’un site, les robots d’indexation ont, eux aussi, une incidence, mais dans un degré moindre. Les plus mal codés peuvent même s’apparenter à du trafic DDoS. Akamai établit un classement des robots d’indexation en fonction de leur intérêt et de leur impact sur les performances des sites. Le Rapport de sécurité documente la hiérarchisation et la neutralisation de leurs effets.(Le rapport)

Comment préserver les données confidentielles de sa messagerie ?

Google a récemment révélé à trois journalistes de Wikileaks que l’entreprise avait du fournir au FBI le contenu de leurs messageries suite à un mandat de perquisition resté secret. Une opération plutôt indélicate qui aurait pu être en partie contrée.

Lorsque l’on aborde la sécurité des données, on parle souvent de protection contre les cybercriminels ou contre les employés peu scrupuleux, prêts à partager les informations confidentielles de l’entreprise. On oublie souvent l’aspect juridique. Il arrive en effet que dans le cadre d’une enquête ou d’une procédure judiciaire, la justice donne accès à tout ou partie des données d’une entreprise ou d’une personne.

C’est la mésaventure qui est récemment arrivée à trois journalistes de Wikileaks qui ont été informés par Google, que ce dernier avait été contraint de fournir le contenu de leurs messageries et potentiellement d’autres informations sur eux au FBI. Cette démarche qui reste relativement exceptionnelle faisait suite à un mandat de perquisition secret.

Sans les révélations de Google, peu de chance que les journalistes eussent été informés. Cela pose néanmoins un problème de confiance. Comment se fait-il que Google ai attendu deux ans avant d’informer les journalistes de cette requête et qu’a-t-il fait de concret pour protéger les données de ses utilisateurs ? Certains rétorqueront qu’il ne fallait pas faire confiance à Google et à sa messagerie gratuite – « si c’est gratuit vous êtes le produit ». Néanmoins, entre une utilisation marketing de certaines informations stipulées dans les conditions d’utilisation et les révélations de ces informations dans le plus grand secret, il y a quand même une différence.

Comment protéger ses données sur le web ?
Aujourd’hui les données d’une entreprise ou des personnes sont stockées en plusieurs endroits : serveurs, disques externes, services Cloud et les différents terminaux (PC, tablettes, téléphones). Difficile d’assurer la sécurité de tous les terminaux à tout moment et d’être totalement sûr de la fiabilité de la protection assurée par les services tiers susceptibles d’être utilisés. Reste alors la solution de protéger la donnée elle-même.

Le chiffrement, une solution idéale !
Comme le définit Wikipedia « Le chiffrement est un procédé de cryptographie grâce auquel on souhaite rendre la compréhension d’un document impossible à toute personne qui n’a pas la clé de (dé)chiffrement. ». Le chiffrement présente donc un réel intérêt pour les entreprises ou les particuliers qui souhaitent protéger leurs données et les rendre illisibles, même (et surtout) en cas de vol. Il faudrait en effet déployer des efforts considérables et utiliser un matériel tel qu’un supercalculateur, pour avoir une chance de déchiffrer des données chiffrées obtenues de manière frauduleuse.

Une fois chiffrées, les données, où qu’elles se trouvent, ne peuvent effectivement être lues que par les personnes ayant connaissance du mot de passe. Qu’elles soient dans le périmètre de l’entreprise, dans le cloud, sur une clé USB ou qu’elles soient échangées par mail ou tout autre moyen, les données chiffrées resteront constamment protégées. Seul le détenteur de la clé de chiffrement pourra accéder au contenu des fichiers garantissant ainsi leur totale sécurité.

Et en cas de requête judiciaire ?
Pour en revenir au sujet des journalistes de Wikileaks, le chiffrement n’aurait pas empêché la justice d’obliger Google de livrer des données privées au FBI. Toutefois, sans la clé il est quasiment certain que le FBI aurait été incapable de lire ces dernières. De plus, si la justice peut vous contraindre à fournir votre clé, au moins vous êtes informé de la démarche et en mesure de pouvoir intervenir et de faire appel à un avocat.

Sur quels critères choisir sa solution de chiffrement ?
Le choix d’une solution de chiffrement doit être effectué avec soin. Mieux vaut éviter les solutions de chiffrement non validées ou gratuites dont la fiabilité n’est pas complètement garantie. Idéalement une entreprise devra porter son choix vers une solution certifiée par des organismes reconnus tel que l’ANSSI. Ensuite, il faut que cette solution garantisse à l’entreprise ou à l’utilisateur, et uniquement à ce dernier, la totale responsabilité en ce qui concerne la gestion des clés. Le chiffrement doit se faire sur votre système avec la clé conservée en interne. Si vous décidez d’opter pour le chiffrement et que vous restez maître de vos clés, alors la sécurité de vos données sera pleinement garantie. Des solutions telles que Zed! permettent à des utilisateurs de chiffrer très facilement des données confidentielles et de les échanger en toute sécurité que ce soit par mail, par téléchargement FTP ou au travers de solutions de type Cloud. Seuls les détenteurs de la clé permettant d’accéder aux données seront en mesure de lire ces dernières. Les données confidentielles sont ainsi protégées à tout moment, où qu’elles soient. Par Xavier Dreux, Responsable Marketing Prim’X.

Nouvelle vulnérabilité zero-day dans Adobe Flash

Trend Micro, éditeur de logiciel et solutions de sécurité, a identifié le week-end dernier une nouvelle vulnérabilité 0day affectant Adobe Flash Player, la troisième depuis le début de l’année ! Confirmée par Adobe mais pas encore patchée, cette faille expose plus d’un milliard d’ordinateurs utilisant la dernière version d’Adobe Flash.

Dans un post publié hier sur leur blog, les chercheurs de Trend Micro expliquent que cette vulnérabilité est semblable à celle de la semaine dernière, qui affectait les produits Flash pour Windows. Les attaques sont en effet menées via des publicités en ligne malveillantes, une technique appelée « malvertising ».

L’attaque révélée hier est en cours depuis le 14 janvier et s’est intensifiée à partir du 27 janvier. 3 294 compromissions ont déjà été détectées par les chercheurs sur l’un des sites concernés. Dailymotion.com est l’un des premiers sites où ces attaques ont été détectées.

« Il s’agit de la troisième vulnérabilité découverte depuis le début de l’année dans ce logiciel très répandu chez les particuliers et au sein des entreprises ! Un incident qui rappelle l’importance du Virtual Patching », commente à DataSecurityBreach.fr Loïc Guézo, de chez Trend Micro. « Cette démarche est essentielle pour compenser le temps nécessaire à l’éditeur concerné pour publier son patch correctif. Des délais parfois très longs ! De plus, certains patches sont incorrects, comme c’est arrivé avec Heartbleed, ou n’arrivent tout simplement jamais si les systèmes ne disposent plus de support, comme c’est le cas pour les anciennes versions de Windows. »

Il est recommandé aux entreprises ne disposant pas d’un système de sécurité adéquat de désactiver Adobe Flash Player en attendant qu’un patch de sécurité soit disponible. Data Security Breach en profite pour vous rappeler de vous méfier des fausses mises à jour [lire].

Enterprise Immune System : combattre pro activement les cybermenaces

Darktrace est une société de cyberdéfense britannique, fondée en 2013 par des mathématiciens de l’Université de Cambridge. DataSecurityBreach.fr va vous proposer  de découvrir une nouvelle catégorie de technologie, appelée « Enterprise Immune System ». Elle permet aux entreprises de se défendre contre les cybermenaces avancées d’aujourd’hui, de façon proactive. Son socle technologique est basé sur des avancées récentes dans le domaine des mathématiques probabilistes et de l’apprentissage automatique. Découverte de Darktrace !

DataSecurityBreach.fr :  Qu’est-ce qu’un « système immunitaire d’entreprise » ?
DarkTrace : Le « système immunitaire d’entreprise » est une nouvelle approche de cyberdéfense, qui prend comme point de départ l’inévitable infiltration des réseaux d’entreprise. De la même façon que le corps humain est constamment attaqué par des bactéries et des virus, les entreprises sont également exposées à une gamme de menaces complexes qui ne sont pas prévisibles à l’avance. Le système immunitaire du corps humain nous permet de gérer ces attaques constantes tout en apprenant ce qui fait partie de « nous-mêmes » et ainsi en repérant ce qui est « anormal » en mode adaptatif. Cette capacité d’auto-apprentissage est aussi primordiale pour les stratégies de cyberdéfense d’avenir, permettant ainsi aux entreprises de détecter, en temps réel, des menaces potentielles à l’intérieur de leur système et de les stopper avant qu’elles ne deviennent des incidents nuisibles.

DataSecurityBreach.fr :  Cela fonctionne comment ?
DT : Le « système immunitaire d’entreprise » s’inspire du corps humain qui a la même capacité de repérer des éléments étrangers qui pourraient représenter une menace  mais aussi de « se connaître » et de « s’apprendre » de manière évolutive. La technologie « Enterprise Immune System » repose sur des mathématiques et des techniques d’apprentissage automatique très pointues qui analysent en temps réel les comportements de chaque machine, chaque individu et de l’entreprise dans sa globalité, tout en s’adaptant dynamiquement à leur évolution. Avec ces modèles probabilistes, le système immunitaire d’entreprise établit une compréhension de la « normalité » (pattern of life) qui change constamment selon les activités de l’entreprise, des utilisateurs et des machines. Ce système est capable de repérer les comportements anormaux, au fur et à mesure que ceux-ci apparaissent.

DataSecurityBreach.fr :  Identifier une menace qui n’existe pas encore publiquement (0day) demande de connaître cette menace, Darktrace fait comment pour y arriver ?
DT : Il est impossible de prédire chaque menace à l’avance. Nous faisons face à de plus en plus attaques ciblées, menées par des personnes compétentes qui savent se cacher dans le bruit d’un réseau. Il y a aussi la menace interne, provenant des employés, qui est souvent sous-estimée, car elle est très difficile à détecter. Darktrace fait des calculs probabilistes selon des évidences informatiques changeantes, corrélant des traces d’activité faibles pour établir une vue d’ensemble de normalité et anormalité. Ce processus se passe en temps réel, ce qui nous donne la meilleure opportunité de détecter de vraies menaces qui n’ont pas encore été identifiées.

DataSecurityBreach.fr :  Achetez-vous des 0day pour être capable d’agir en amont ?
DT : Non. Toute la valeur de l’approche du « système immunitaire »’ repose sur l’auto-apprentissage de la plateforme Darktrace, qui n’a pas besoin de connaissances « a priori » sur les menaces déjà existantes ou des règles prédéfinies.

DataSecurityBreach.fr :  Qu’est-ce qu’une activité anormale dans une entreprise ?
DT : Une activité anormale peut être n’importe quelle action ou comportement qui sort du tissu de vie « normal » pour l’entreprise dans sa globalité, une machine ou une personne, ou bien l’ensemble de ces trois éléments. Darktrace prend en compte la mesure de 300 dimensions d’activité pour avoir une visibilité très riche de ce qui se passe à l’intérieur de l’entreprise – par exemple, l’heure normale de connexion au réseau par un employé le matin, les dossiers qu’il utilise souvent, le volume de données envoyées et ses destinations. – etc. Chaque entreprise est différente, alors Darktrace apprend la ‘normalité’ pour chaque client de manière évolutive.

DataSecurityBreach.fr : Les mathématiques (Recursive Bayesian Estimation) seraient-elle plus forte que les pirates/les malveillants/… ?
DT : Les mathématiques probabilistes, y compris le « Recursive Bayesian Estimation », représente une innovation fondamentale dans ce domaine qui aident les organisations de reprendre l’avantage sur l’attaqueur ou des menaces potentielles. Grace à sa vision globale de l’entreprise digitale, Darktrace permet aux organisations de voir – pour la première fois – la topologie de leurs systèmes d’informations en temps réel. Fort de cette surveillance probabiliste, le défendeur est capable d’anticiper les signes de compromission subtils, avant que les malveillants et les attaqueurs aient l’opportunité de voler des informations ou de nuire à l’organisation.

DataSecurityBreach.fr :  Travailler sur le comportement (le soi) de ses employés pour en extraire des comportements « illicites », n’est-ce pas un problème d’un cyber espionnage en entreprise, à l’insu des employés ?
DT : Non ce n’est pas un problème, Darktrace ne lit pas le contenu des données qu’elle analyse, et la consommation de ces données est passive. Nos modèles mathématiques détectent les anomalies automatiquement, et n’alertent l’opérateur de sécurité qu’en cas d’anomalie suspecte.

DataSecurityBreach.fr : Darktrace est capable de gérer ses menaces « inconnues » aujourd’hui, mais certains peuvent agir/se lancer demain, comment gérer le risque de faux positif ?
DT : Les menaces présentes et futures sont traitées de la même façon par Darktrace. Les attaques sont identifiées avant qu’elles lancent de manière définitive de façon proactive. La puissance des modèles mathématiques probabilistes de Darktrace est telle que le nombre de faux positifs typique est radicalement réduit. Il est impossible d’adresser chaque violation de politique ou problème potentiel. Mais comme les probabilités se mettent en œuvre dès l’installation, tout comme l’apprentissage du système qui se construit en temps réel, tout en étant auto-apprenant, cela permet d’éviter les faux positifs et rend l’utilisation de Darktrace unique et extrêmement efficace. Par définition l’utilisation de Darktrace permet d’anticiper les potentialités malveillantes qui n’ont jamais été rencontrées. Grâce à son modèle comportemental, le « système immunitaire d’entreprise » est capable non pas de prédire, mais de se prémunir d’attaque jamais rencontrée auparavant.

Cyberattaques de points de vente

Comme le montrent les titres de la presse depuis quelques mois, les pirates font preuve de plus en plus de ressources quand il s’agit de traverser les pare-feu des entreprises pour attaquer directement les terminaux des points de vente et leurs serveurs back-end. Si le service informatique ne peut les empêcher d’entrer par la porte, existe-t-il une seconde ligne de défense permettant au moins de contenir les cybervoleurs une fois que ceux-ci se trouvent à l’intérieur ?

Le modus operandi des pirates reste relativement simple dans le cas des attaques liées à la vente au détail. Ils pénètrent dans le poste fixe ou le portable d’un utilisateur par phishing ou en devinant le mot de passe. L’injection SQL, un autre vecteur d’attaque éprouvé, peut également avoir été employée lors d’une certaine occasion.

Dans tous les cas, les cybervoleurs ont contourné les vérifications de périmètre et les défenses anti-intrusion pour lesquelles les entreprises ont dépensé des centaines de millions de dollars ou d’euros. La détection antivirus traditionnelle ne peut, au mieux, que rester au fait des signatures les plus récentes. De plus, les programmes malveillants comportent maintenant des routines anti-investigation qui déjouent les stratégies de blocage de base. Mais il existe une furtivité encore plus grande dans ces attaques.

L’art de la furtivité
Après avoir examiné de nombreux incidents réels, je peux vous dire que les pirates testent les vulnérabilités d’authentification de manière réflexe dès leur entrée, au moyen de Pass the Hash, de rainbow tables, etc.

Si vous voulez des statistiques plus précises, le Rapport d’enquête sur les compromissions de données de Verizon Data Breach indique qu’environ 80 % des incidents de piratage comportent une attaque de type authentification.

La stratégie des pirates consiste à moissonner autant d’informations d’identification que possible. Le logiciel de surveillance les voit comme de simples utilisateurs lors de leur passage furtif de serveur en serveur. Leur objectif ultime est d’obtenir les informations d’identification d’un utilisateur avancé disposant de permissions élevées afin de pouvoir aboutir au serveur contenant les données les plus précieuses.

À partir de là, leur outil malveillant préféré est la ligne de commande habituelle : ils copient les fichiers vers un serveur spécial à partir duquel les informations de carte de crédit seront finalement extraites.

En quoi consiste un programme malveillant exactement ?
Cette question mène à des considérations plus vastes sur la disparition des limites entre programmes malveillants et vrais logiciels. Nombre de logiciels que les pirates chargent après leur arrivée sont souvent les mêmes que ceux utilisés par les services de sécurité informatique.

Les outils présents dans la panoplie d’un pirate peuvent comprendre PWDump (extraction de chaînes de hachage), Netview (mappage des connexions réseau), Psll (listeur de processus) et CheckSQL (force brute appliquée aux comptes SQL). Tous se trouvent dans une zone d’ombre et ne sont pas entièrement inappropriés dans le dossier d’un administrateur système. Ainsi, leur existence ne prouve pas nécessairement qu’un système a été compromis.

L’essentiel à retenir : si vous comptez sur les logiciels commerciaux de détection d’intrusion pour analyser la liste de « programmes malveillants » ci-dessus, vous finirez par lever beaucoup de faux lièvres.

Faire le premier pas
Sans surprise, il existe différentes approches pour réduire les risques. Lorsque les cyber voleurs passent les premiers murs de défense, certains voient la situation comme un autre problème de périmètre : un problème interne résolu au mieux par une meilleure architecture réseau (c.-à-d. en isolant les serveurs et les terminaux PDV de tout le reste). Mais les autres (moi y compris) pensent qu’il vaut mieux concentrer les efforts de sécurité sur les défenses se trouvant vers le haut de la pile, à savoir au niveau de l’OS. Toutefois, lors de mes propres conversations avec les pros de la sécurité d’une grande société d’antivirus, j’ai découvert qu’il existe un consensus sur quelques mesures de prévention. Outre la mise en place de politiques de mot de passe strictes, l’action suivante consiste à restreindre les connexions réseau à distance à partir des machines des utilisateurs ordinaires.

Pourquoi cela ?
Il faut empêcher les intrus de repartir depuis leur point d’entrée initial. Malheureusement, dans de nombreux environnements Windows, les services de connexion à distance au PC sont souvent largement activés et les pirates peuvent confortablement s’y connecter et même lancer l’interface utilisateur depuis la ligne de commande. Ce risque peut être réduit en limitant le nombre d’utilisateurs et d’ordinateurs capable d’effectuer des connexions via RDP (Remote Desktop Protocol). Les administrateurs peuvent le faire au moyen de l’éditeur d’objets de stratégie de groupe (GPO : Group Policy Object), en naviguant vers les Composants Windows | Hôte de session Bureau à distance | Connexions. Ils pourront également configurer la stratégie Attribution des droits utilisateur. Vous pouvez en savoir plus sur cette procédure ici. (Par Norman Girard, Vice Président et directeur général Europe de Varonis)

Connaître vos ami(e)s sur Facebook, un jeu d’enfant

Facebook permet de protéger son compte des regards non autorisés. Lorsqu’une personne configure correctement son profile, la protection des informations et des ami(e)s semble correcte… ou pas.

Voici un bug qui affiche vos ami(e)s alors normalement invisbles. Mario Gosparini, analyste et développeur R&D, explique ce problème qui permet de retrouver l’identité de vos ami(e)s. Plutôt génant quand on sait la vivacité des escrocs à intervenir sur Facebook.

Etonnant, le « truc » jongle avec les personnes inscrites sur votre compte et une url qu’il suffit de manipuler : facebook.com/{ pseudo de la personne cible}/friends?and={ pseudo de l’ami de la personne cible }&sk=friends.

Grace à ce lien « modifié », les visages des ami(e)s des ami(e)s permet de faire ressortir les ami(e)s en commun. « Du coup de fil en aiguille en prenant chaque amis et en utilisant un lien spéciale, je peux comparer les amis des 2 personnes, et récupérer progressivement la liste des amis intégralement« . C’est long, mais c’est efficace. (Dyrk)

La biométrie peut-elle vraiment remplacer les mots de passe ?

Les hackers du Chaos Computer Club ont réussir, fin décembre, à reproduire l’empreinte digitale du ministre allemand de la défense à partir de photos publiques en haute définition. Sachant qu’ils avaient précédemment montré qu’ils savent utiliser ces empreintes reconstituées sur les capteurs des téléphones portables grand public… Prenons un peu de recul et analysons ce que cela veut dire pour l’avenir de l’authentification en ligne. Par Emmanuel Schalit, CEO de Dashlane.

Il y a traditionnellement trois types de facteurs qui permettent d’authentifier un individu :
·         Ce qu’il sait (mot de passe, code pin, question secrète…)
·         Ce qu’il possède (jetons, cartes…)
·         Ce qu’il est (signature de l’iris, empreinte digitale…)

Les systèmes informatiques très sensibles des gouvernements ou des grandes entreprises utilisent souvent des processus d’authentification forte, multi facteurs, qui requièrent la mise en œuvre de deux ou trois facteurs parmi les trois types citées ci-dessus. Les sites Internet grand public quant à eux utilisent des systèmes d’authentification simples, basés sur un identifiant et un mot de passe connu uniquement de l’utilisateur. Pour des raisons pratiques, les consommateurs ne sont pas prêts à utiliser des systèmes multi facteurs sur les dizaines de sites web qu’ils utilisent régulièrement.

Quels sont les avantages et les désavantages de la biométrie pour l’authentification en ligne des consommateurs?
Le point fort de la biométrie c’est qu’elle résout à la fois le problème de l’identification (déterminer l’identité d’un individu) et de l’authentification (confirmer son droit à accéder à un contenu ou un service). Sur le papier c’est un bon outil pour prévenir l’usurpation d’identité et de nombreuses fraudes. On peut me voler ma carte de crédit ou mes mots de passe mais on ne peut pas me voler mon empreinte digitale… C’est ce qu’on pensait jusqu’à maintenant. La reconstitution d’empreinte réalisée par les hackers la semaine dernière bouleverse cette croyance.

Désormais on sait que l’authentification biométrique peut être piratée comme toute autre forme d’authentification. Et apparaît alors un gros inconvénient : à la différence des mots de passe, les données biométriques ne peuvent pas être modifiées en cas de piratage,  si on vous vole vos empreintes digitales, vous ne pouvez pas les remplacer par de nouvelles. Et si tous vos comptes sont protégés par la même information biométrique, ils risquent devenir tous vulnérables en même temps. Il y a d’autres limites à l’utilisation de données biométriques : elles ne peuvent être partagées et elles ne peuvent pas être rendues anonymes. Le partage et l’utilisation anonyme d’identifiants sont cependant de plus en plus répandus sur le web…

La biométrie est pertinente pour ajouter un facteur d’authentification supplémentaire dans le cadre de l’authentification multi facteurs mais il y a peu de chances qu’elle succède au mot de passe comme standard pour l’ensemble des sites, contrairement à ce que l’on veut nous faire croire. Utilisés correctement (un mot de passe fort et unique pour chaque site web), les mots de passe ont de réels avantages :

·         Un mot de passe peut être volé mais si vous utilisez un mot de passe unique pour chaque site, l’intégrité de vos autres accès n’est pas compromise en cas de vol. C’est différent avec les données biométriques qui sont par définition les mêmes partout
·         Un mot de passe peut être partagé, ce qui est nécessaire à la fois en famille et au travail. Les comptes Netflix à la maison ou les comptes Twitter d’entreprise sont par exemple généralement accessibles via un seul compte dont les identifiants sont partagés.
·         Le mot de passe préserve l’anonymat qui est très important pour les internautes. Que serait Twitter sans la possibilité de créer des comptes anonymes ?

Compte tenu de notre utilisation croissante d’Internet, nos cerveaux ne peuvent plus accomplir seuls toutes les tâches nécessaires pour bien gérer ses mots de passe : génération aléatoire, stockage sous forme cryptée, mémorisation, changement des mots de passe. Nous avons trop de comptes et trop d’appareils pour cela. C’est pourquoi de plus en plus d’utilisateurs d’Internet se reposent sur un gestionnaire de mot de passe pour s’assurer de respecter les règles de bases du bon usage des mots de passe.

Certains voient les mots de passe comme un système temporaire qui sera remplacé très rapidement par un système d’authentification ultra sophistiqué. Cela sera peut-être vrai un jour mais en attendant, le mot de passe reste le standard, et un standard ne se remplace pas si facilement. Pour preuve, nous utilisons toujours le clavier au format azerty, non pas parce que l’ordre de ces lettres est nécessaire aujourd’hui (c’était le cas uniquement sur les machines à écrire avec ruban), mais parce que c’est devenu un standard, et qu’aucune innovation n’a réussi à le supplanter, en termes de facilité d’usage comme en termes de déploiement. Nous ferions mieux de veiller à bien utiliser nos mots de passe plutôt que de croire à une hypothétique solution miracle !

Recrudescence des attaques DDoS en France au lendemain des marches contre le terrorisme

Le 15 janvier, le vice-amiral Arnaud Coustillière, officier général à la cyberdéfense faisait état d’une montée en flèche des attaques contre des sites Web français : « Parlant d’une vague sans précédent, le vice-amiral Arnaud Coustillière, officier général de la cyberdéfense à l’état-major des armées françaises, a déclaré que 19 000 sites Web français avaient été la cible de cyberattaques ces derniers jours, … ». Une attaque que révélait le site zataz.com.

Avec l’aide de l’observatoire ATLAS, la société Arbor Networks nous a permis de constater les répercussions de conflits du monde réel sur l’espace numérique. ATLAS reçoit des données anonymes du trafic relatives aux incidents DDoS provenant de plus de 330 fournisseurs d’accès Internet partenaires à travers le monde. Nous nous sommes intéressés aux attaques DDoS survenues avant et après le dimanche 11 janvier. Afin de jauger cette riposte, nous comparons les attaques DDoS observées entre le 3 et le 10 janvier à celles recensées du 11 au 18 janvier inclus.

Fréquence des attaques
Entre le 3 et le 18 janvier, au total 11 342 attaques distinctes ont été signalées contre la France, soit en moyenne 708 par jour. La série suivante de graphiques illustre la fréquence et l’ampleur des attaques DDoS durant les 8 jours ayant précédé et suivi la date du 11 janvier à 00:00:00 GMT. Nous observons une augmentation de 26 % du nombre d’attaques DDoS dans la période qui a suivi le 11 janvier.

Ampleur des attaques
Nous constatons une hausse de 35 % de l’ampleur moyenne des attaques DDoS après le 11 janvier. En effet, dans les huit jours précédant le 11 janvier, la moyenne était de 1,21 Gbit/s. Après le 11 janvier, elle est passée à 1,64 Gbit/s.

Répartition de l’ampleur des attaques
247 (5 %) des attaques DDoS sur la période antérieure au 11 janvier ont dépassé 5 Gbit/s, chiffre qui est passé à 678 (11 %) après le 11 janvier. Tandis que la Figure 2 indique une augmentation de 35 % de l’ampleur moyenne des attaques le 11 janvier, le pourcentage d’attaques supérieures à 5 Gbit/s a, quant à lui, plus que doublé.

Pics d’attaques
Le 9 janvier s’est déroulée une attaque à 40,96 Gbit/s, tandis qu’une attaque à 63,02 Gbit/s a été signalée le 11 janvier. L’attaque du 11 janvier a donc été 54 % plus violente que celle du 9 janvier.

Le 11 janvier, la plus grande manifestation depuis la libération, a vu des millions de personnes marcher pour lutter contre le terrorisme dans tout le pays[5]. Le 15 janvier, le vice-amiral Arnaud Coustillière a fait état d’une vague sans précédent de cyberattaques contre des sites Web français, parlant d’une « riposte aux manifestations de masse ». Les données Arbor ATLAS présentées ci-dessus paraissent corroborer ces affirmations.

Les comparaisons des statistiques d’attaques DDoS durant les huit jours ayant précédé et suivi le 11 janvier font en effet apparaître une hausse de 26 % du nombre d’attaques, une augmentation de 35 % de l’ampleur moyenne des attaques, un doublement du nombre d’attaques supérieures à 5 Gbit/s et un accroissement de 54 % de l’ampleur de l’attaque la plus violente entre les deux périodes. Il s’agit là d’un nouvel exemple frappant d’une recrudescence des cyberattaques en écho à des événements géopolitiques.

Selon Cisco – 100% des réseaux analysés contiennent des malwares

Le principal enjeu des équipes en charge de la sécurité des systèmes d’information est de faire face à des attaques de plus en plus ciblées et de mieux comprendre la menace pour détecter les signaux faibles sur leurs réseaux. Selon Cisco – 100% des réseaux analysés contiennent des malwares. Vous avez dit inquiétant ?

Le Rapport Annuel sur la Sécurité 2015 de Cisco révèle que 40 % des failles de sécurité en entreprise ne sont pas corrigées. Les résultats du Rapport Cisco soulignent que, malgré une prise de conscience de la menace et un nombre croissant d’attaques ciblées médiatisées, les entreprises n’utilisent pas forcément l’ensemble des outils disponibles, simples à mettre en œuvre, pour contrer les cyberattaques. L’étude Cisco a été menée auprès de 1700 entreprises dans 9 pays.

Le Rapport permet de tirer plusieurs conclusions majeures :
La menace est réelle et permanente : 100 % des réseaux analysés contiennent des malwares. Ces résultats sont identiques au Rapport 2014. En 2014, 1 % des vulnérabilités connues (43 sur 6756) ont été exploitées par les cybercriminels. D’une part, cela signifie que les entreprises doivent prioriser 1 % des vulnérabilités exploitées dans le cadre de leur politique globale de correction. D’autre part, même si les technologies atteignent de hauts niveaux de performance, il est nécessaire de comprendre les menaces pour lutter contre les vulnérabilités. Les kits d’exploits largement utilisés sont rapidement détectés par les solutions de sécurité – ce qui signifie que les cybercriminels préfèrent disposer  du 4ème ou 5ème kit d’exploits le plus utilisé, pour ne pas trop attirer l’attention. Même si les kits d’exploits ont diminué de 88 % entre mai et novembre 2014, ils restent un outil utilisé à un rythme soutenu par les cybercriminels, aux conséquences sérieuses pour les entreprises. Les failles Java sont en baisse de 34 % et les attaques Flash de 3 % alors que les failles Silverlight ont augmenté de 228 % et les failles PDF de 7 %.

Les malwares Flash peuvent désormais interagir avec JavaScript pour cacher des vulnérabilités en partageant un exploit entre deux fichiers distincts : un Flash et un JavaScript. L’activité malveillante est alors plus difficile à détecter et à analyser et prouve la sophistication des attaques et la professionnalisation des hackers.

L’industrie pharmaceutique et la chimie sont les secteurs les plus touchés par la cybercriminalité. Les médias, l’industrie, le transport et la logistique et l’aviation complètent le top 5 des secteurs les plus touchés. L’an dernier, seuls l’industrie pharmaceutique et la chimie et l’aviation figuraient parmi les secteurs les plus concernés par les attaques. Le volume de spam a augmenté de 250 % en 2014. Plus ciblé et plus dangereux, envoyé à plus faible volume à partir d’un grand nombre d’adresses IP pour échapper aux outils de détection, un nouveau type de spam est en train d’émerger (Snowshoe). Les spammeurs adaptent les messages à leur cible (phishing), de façon à contourner les filtres anti-spam pour mieux tromper leurs victimes. Le malvertising (publicités malicieuses) est une nouvelle technique utilisée par les cybercriminels en 2014 qui permet de diffuser des malwares au travers des navigateurs, tout en ne nécessitant pas de moyens importants mais permettant aux cybercriminels de gagner beaucoup d’argent. Adobe et Internet Explorer sont les éditeurs les plus vulnérables avec respectivement 19 % et 31 % des attaques observées.

Grâce à l’évolution des technologies de sécurité, les attaques directes et massives sont de plus en plus difficiles à mettre en œuvre. Les cybercriminels font désormais preuve de plus de créativité pour tromper l’utilisateur afin que celui-ci installe lui-même le logiciel malveillant. Ils profitent également de la faiblesse des entreprises en matière de mise à jour des vulnérabilités connues sur leurs systèmes : Alors que la faille Heartbleed a été découverte il y a plus de 6 mois, et qu’elle a permis de révéler une faille dans OpenSSL, 56 % des versions OpenSSL ont plus de 4 ans et sont toujours vulnérables car elles n’ont pas été mises à jour depuis la sortie du patch. Internet Explorer est le navigateur le moins mis à jour avec seulement 10 % des versions installées mises à jour avec la dernière version connue, la version la plus courante datant de 31 mois par rapport à la version la plus récente. Au contraire, 64 % des versions de Chrome sont à jour.

« La sécurité du système d’information est une affaire d’équipe : elle ne pourra être optimale que si le RSSI et l’équipe informatique, les dirigeants de l’entreprise, les directeurs métier, etc. travaillent ensemble pour mieux comprendre la menace et faire face aux cyberattaques. Les cybercriminels travaillent de mieux en mieux pour dissimuler leurs traces. L’ensemble des parties prenantes doit donc répondre à des questions majeures : est-ce que l’entreprise dispose des outils qui lui permettront non seulement d’identifier les attaques avérées, mais également de déterminer où se situent les vrais vulnérabilités de son informatique ? Comment l’entreprise peut être certaine que ses utilisateurs sont en sécurité, et cela même lorsqu’ils travaillent en dehors du périmètre du réseau de l’entreprise ? » explique à DataSecurityBreach.fr Christophe Jolly, Directeur Sécurité Cisco France. « Face à l’évolution de la menace, les entreprises doivent mettre en œuvre un ensemble de mesures de sécurité pour leur permettre de répondre aux défis liés à la cybercriminalité et au cyberespionnage industriel et pour mieux comprendre la cybersécurité du monde d’aujourd’hui ».

Retrouvez le Rapport Annuel sur la Sécurité 2015 de Cisco en intégralité ici : www.cisco.com/go/asr2015

Conservation des données et entreprises

Nouvelle loi relative à la conservation des données : Quels sont les impacts pour les entreprises et les administrations ? Les changements qu’il va falloir intégrer avec la récente entrée en vigueur de la loi du 13 novembre 2014 visant à encadrer l’apologie d’actes terroristes, notamment sur le net. (par Olfeo)

A l’heure où le gouvernement travaille sur des mesures permettant de mieux prévenir le terrorisme notamment sur Internet suite aux attentats en France, deux textes ont déjà vu le jour depuis début 2015. Ainsi le 1er janvier 2015, une nouvelle loi en matière de conservation des données a vu le jour à
travers le décret n° 2014-1576 du 4 décembre 2014 et le 10 janvier la loi du 13 novembre 2014 est entrée en vigueur afin d’encadrer l’apologie d’actes terroristes, notamment sur le net.

Quel impact l’entrée en vigueur de ce décret pour les entreprises et les administrations en matière de conservation des logs ?
A travers le décret n° 2014-1576 du 4 décembre 2014, les données auxquelles les services de renseignement et de défense peuvent avoir accès sont des données dites de connexion, telles que, notamment :

o   l’identifiant de la connexion ;
o   les dates et heure de début et de fin de la connexion ;
o   les données relatives aux destinataires de l’utilisation

Les services relevant de la sécurité intérieure, de la défense, de l’économie et du budget, chargées notamment de rechercher des informations intéressant la sécurité nationale, la criminalité et la délinquance organisée ou la prévention du terrorisme, sont habilités à demander l’accès à ces données de connexion. Ces « personnalités qualifiées » peuvent solliciter une demande d’accès aux données de connexion, en temps différé comme en temps réel, au groupement interministériel de contrôle.

Le groupement interministériel de contrôle transmet ensuite aux opérateurs de communication électroniques, aux fournisseurs d’accès à internet, aux hébergeurs et par extension aux entreprises et administrations (loi n° 2006-64 du 23 janvier 2006, relative à la lutte contre le terrorisme – alinéa 2 de l’article L. 34-1) la demande d’accès aux données ;

Les données transmises par ces derniers sont ensuite conservées, pour une durée maximale de trois ans, par le Premier ministre et sont automatiquement effacées passé ce délai. Par conséquent, ce décret modifie la durée de conservation des données collectées par le groupement interministériel de contrôle, qui passe d’un an à trois ans, et sont conservées par le Premier ministre seul.

Toutefois il ne modifie pas l’obligation de conservation, durant un an, par les opérateurs de communications électroniques, les fournisseurs d’accès à internet et les hébergeurs, entreprises et administrations des données de connexion. Depuis le 10 janvier 2015, l’utilisation d’Internet pour faire l’apologie d’actes terroristes est devenue circonstance aggravante à travers l’article 421-2-5 du code pénal.

Cet article dispose que « le fait de provoquer directement à des actes de terrorisme ou de faire publiquement l’apologie de ces actes est puni de cinq ans d’emprisonnement et de 75.000 € d’amende », et précise que « les peines sont portées à sept ans d’emprisonnement et à 100.000 euros d’amende lorsque les faits ont été commis en utilisant un service de communication au public en ligne ». Une entreprise ou administration peut ainsi être sollicitée par le groupement interministériel de contrôle (décret n° 2014-1576 du 4 décembre 2014) pour une demande d’accès aux données de connexion, en temps différé comme en temps réel.

Pour conclure, ces deux dernières évolutions de la législation française en matière de lutte contre le terrorisme ne font que mettre l’accent sur la réelle obligation de filtrer pour les entreprises et les administrations en France. Néanmoins, d’autres évolutions sont à prévoir dans le cadre des réflexions du gouvernement pour mieux prévenir les menaces terroristes.

Le téléphone sécurisé BlackPhone… pas si secure que ça

Une faille sérieuse découverte dans le téléphone portable ultra sécurisé BlackPhone. Le smartphone qui protège des écoutes peut être infiltré !

Un hacker australien a découvert comment piéger la sécurité, pourtant très poussée, du téléphone BlackPhone. L’appareil permet de chiffrer les appels et les contenus qu’il diffuse. Du moins, ça c’était avant. Avant qu’un bidouilleur découvre qu’avec un simple SMS envoyé à l’application « Silent » il était possible d’exécuter un code malveillant et de prendre la main sur le téléphone. Une injection découverte en une semaine par Mark Dowd. Le fabricant du BlackPhone annonce une rustine pour son matériel. Un téléphone qui coûte 550€. (Register)

Faille sévère pour les systèmes Linux

Qualys publie un bulletin de sécurité pour la vulnérabilité « GHOST » découverte sur les systèmes Linux Cette vulnérabilité sévère détectée dans la bibliothèque C de GNU/Linux donne le contrôle aux attaquants sans nécessiter d’identifiants système. – Patchs disponibles dès aujourd’hui –

Qualys, Inc., le principal fournisseur de solutions de sécurité et de conformité dans le Cloud, annonce que son équipe chargée de la recherche en sécurité a découvert dans la bibliothèque C de GNU/Linux (glibc) une vulnérabilité critique qui permet aux pirates de prendre le contrôle à distance de tout un système, en se passant totalement des identifiants système. Qualys a travaillé de manière étroite et coordonnée avec les fournisseurs de distributions Linux pour proposer un patch pour toutes les distributions de systèmes Linux touchés. Ce patch est disponible dès aujourd’hui auprès des fournisseurs correspondants.

Baptisée GHOST (CVE-2015-0235) parce qu’elle peut être déclenchée par les fonctions gethostbyname et gethostbyaddr, cette vulnérabilité touche de nombreux systèmes sous Linux à partir de la version glibc-2.2 publiée le 10 novembre 2000. Les chercheurs de Qualys ont par ailleurs détecté plusieurs facteurs qui atténuent l’impact de cette vulnérabilité, parmi lesquels un correctif publié le 21 mai 2013 entre les versions glibc-2.17 et glibc-2.18. Malheureusement, ce correctif n’ayant pas été classé comme bulletin de sécurité, la plupart des distributions stables et bénéficiant d’un support à long terme ont été exposées, dont Debian 7 (« Wheezy »), Red Hat Enterprise Linux 6 & 7, CentOS 6 & 7 et Ubuntu 12.04.

Les clients Qualys peuvent détecter GHOST à l’aide de la signature QID 123191 fournie par le service Cloud Qualys Vulnerability Management (VM). Lorsqu’ils lanceront le prochain cycle de scan, ils obtiendront des rapports détaillés sur l’exposition de leur entreprise à cette vulnérabilité sévère. Ils pourront ainsi estimer son impact sur leur activité et suivre efficacement la vitesse de résolution du problème.

« GHOST expose à un risque d’exécution de code à distance qui rend l’exploitation d’une machine par un pirate terriblement enfantine. Il suffit par exemple qu’un pirate envoie un mail sur un système sous Linux pour obtenir automatiquement un accès complet à cette machine », explique à dataSecuritybreach.fr Wolfgang Kandek, Directeur technique de Qualys, Inc. « Compte tenu du nombre de systèmes basés sur glibc, nous considérons qu’il s’agit d’une vulnérabilité sévère qui doit être corrigée immédiatement. La meilleure marche à suivre pour atténuer le risque est d’appliquer un patch fourni par votre fournisseur de distributions Linux. »

Mise à jour RedHat publiée ce 27 janvier. Explication technique sur open wall.

Mise à jour : 

L’éditeur Ve-hotech vient de diffuser une mise à jour 5.1.1 de son système d’exploitation en vue de prévenir la vulnérabilité CVE-2015-0235 dans la bibliothèque libc6. libc6 étant la principale bibliothèque utilisée par l’ensemble des programmes fonctionnant sous Linux, Ve-hotech a pris des mesures immédiates pour régler le problème.

  • Si le serveur est paramétré pour se mettre automatiquement à jour, il est probablement déjà à jour. Il suffit de vérifier que le numéro de version est bien 5.1.1 dans l’interface utilisateur.
  • Si le serveur est paramétré pour être mis à jour manuellement, l’utilisateur doit effectuer la mise à jour à partir de l’onglet maintenance de l’application de configuration avancée.
  • Si la version du serveur est inférieure à la 4.0, il est fortement conseillé de mettre à niveau le serveur vers la génération 4 du micro-logiciel.
  • Les versions 1.x du micro-logiciel ne sont pas concernées.

Le site de l’Élysée géré par une ferme américaine ?

Faut-il s’inquiéter de cette idée numérique ? Le site Internet de la Présidence de la République Française serait hébergé par une société américaine.

Loin de nous de penser que l’hébergeur américain COLT soit une mauvaise entreprise. Loin de nous de penser que Level 3 espionne ses clients. Mais s’il existe bien un site en France qui doit être hébergé sur le territoire, et par une entreprise hexagonale, c’est bien celui de l’Élysée. Nous imaginons mal voir le site de la Maison Blanche finir dans les serveurs d’Oceanet Technology ou OVH, même sur le sol américain.

Le site de l’Élysée est hébergé par qui ?

D’après les informations de l’AFNIC, le site passerait par les câbles et serveurs de la société COLT Imaginet ; Selon Geolook, Elysee.fr passe aussi par une ferme du Kensas (La localisation à la sauce Google Map, ndr), mais plus sérieusement par les tuyaux de l’américain Level 3 Communications, Inc (certainement, entre autre, pour soutenir une éventuelle attaque DDoS, NDR). Les deux géants ont débarqué en force, en 2012, sur le territoire français.

En visitant le portail présidentiel, nous découvrons une autre information. Le site serait hébergé par Bears Tech. Bref, la souveraineté de la France 2.0 semble promenée d’ hébergeur et hébergeur ?

Google Map situe le site de l’Élysée… dans une ferme du Kansas 🙂

Bref, dans une période ou des Snowden (officiels ou non) expliquent les infiltrations étatiques, que le FBI arrête encore des espions sur son sol, les plus paranoïaques peuvent se dire que tant de partenaires pour un hébergement multiple, voilà qui est troublant. Rien que pour les correspondances entre les Français et le Président. Un formulaire, comme des pages, qui n semblent pas utiliser le https. Même plus besoin de lancer des satellites d’espionnages ou de mettre une pince crocodile sur les câbles sous-marin au large de Marseille.

Des portes dérobées découvertes dans des terminaux Android

DeathRing et CoolReaper, des portes cachées installées dans des téléphones Android. Ils ont pu toucher des millions d’utilisateurs.

Palo Alto Networks a révélé des informations sur une porte dérobée présente sur des millions de terminaux mobiles Android vendus par Coolpad, l’un des plus gros fabricants de Smartphones basé en Chine. Baptisée « CoolReaper », cette porte dérobée expose les utilisateurs à d’éventuels actes de malveillance et semblerait avoir été installée et conservée par Coolpad malgré les objections des clients.

Il arrive fréquemment que les fabricants d’équipements installent des logiciels sur le système d’exploitation mobile Android de Google pour doter les appareils Android de fonctionnalités et de possibilités de personnalisation supplémentaires. Certains opérateurs de téléphonie mobile installent même des applications permettant de recueillir des données sur les performances des appareils. Mais d’après l’analyse détaillée de l’Unité 42 – l’équipe d’analyse des menaces de Palo Alto Networks – CoolReaper ne se contenterait pas de collecter simplement des données d’utilisation de base. Son fonctionnement s’apparenterait davantage à celui d’une véritable porte dérobée permettant d’accéder aux appareils Coolpad. Coolpad semblerait également avoir modifié une version du système d’exploitation Android pour rendre cette porte dérobée quasi invisible pour les programmes d’antivirus.

Découvert par le chercheur Claud Xiao de Palo Alto Networks, CoolReaper a été identifié sur 24 modèles de téléphones vendus par Coolpad et pourrait, si l’on en croit les données commerciales de Coolpad accessibles au public, impacter plus de 10 millions d’utilisateurs.

« Il est naturel que les fabricants d’équipements sous Android préinstallent des logiciels qui offrent des fonctionnalités et permettent de maintenir leurs applications à jour. Mais la porte dérobée évoquée dans ce rapport dépasse le cadre que connaissent les utilisateurs : elle permet à Coolpad de prendre le contrôle complet des équipements affectés, de rendre le logiciel invisible pour les antivirus et expose les utilisateurs à la merci d’actes de malveillance. Nous encourageons vivement les millions d’utilisateurs Coolpad susceptibles d’être concernés par CoolReaper d’inspecter leurs appareils pour y rechercher l’éventuelle porte dérobée et prendre les mesures appropriées pour protéger leurs données. » – Ryan Olson, directeur de la recherche au sein de l’Unité  42 chez Palo Alto Networks

Contexte et effets de CoolReaper
L’intégralité des résultats de l’analyse de CoolReaper figure dans le rapport de l’Unité 42, « CoolReaper : The Coolpad Backdoor » préparé par Claud Xiao et Ryan Olson qui paraît aujourd’hui. Dans ce rapport, Palo Alto Networks publie également la liste des fichiers à vérifier sur les terminaux Coolpad susceptibles d’indiquer la présence de la porte dérobée CoolReaper. Comme l’ont observé les chercheurs, CoolReaper est capable d’effectuer chacune des tâches suivantes, avec un potentiel de dangerosité pour les données sensibles des utilisateurs ou des entreprises. Un pirate malintentionné pourrait par ailleurs exploiter une vulnérabilité découverte sur le système de contrôle (back-end) de CoolReaper.

CoolReaper est capable de télécharger, installer ou activer n’importe quelle application Android sans autorisation ou notification de l’utilisateur ; effacer des donnés utilisateur, désinstaller des applications existantes ou désactiver des applications système ; informer les utilisateurs d’une fausse mise à jour OTA (Over-The-Air) qui, au lieu de mettre à jour le terminal, installe des applications indésirables ; envoyer ou insérer des messages SMS ou MMS arbitraires sur le téléphone ; transmettre à un serveur Coolpad des informations concernant le terminal, sa localisation, l’utilisation des applications, l’historique des appels et des SMS.

Prise en compte par Coolpad
L’Unité 42 a commencé à observer ce que l’on a baptisé CoolReaper suite aux nombreuses réclamations publiées sur les forums Internet par des clients de Coolpad en Chine. Au mois de novembre, un chercheur qui travaillait avec le site Wooyun.org a identifié une vulnérabilité sur le système de contrôle back-end de CoolReaper. Cette découverte a permis de comprendre que Coolpad contrôlait lui-même le backdoor présent dans le logiciel. Un site d’information chinois, Aqniu.com, a par ailleurs signalé l’existence de la porte dérobée et ses pratiques abusives dans un article paru le 20 novembre 2014. Au 17 décembre 2014, Coolpad n’a toujours pas répondu aux nombreuses demandes d’assistance de Palo Alto Networks. Les informations de ce rapport ont également été transmises à l’équipe de sécurité Android de Google.

De son côté Lookout découvre un logiciel malveillant pré-chargé dans des smartphones. DeathRing est un cheval de Troie chinois, préinstallé sur toute une série de smartphones parmi les plus populaires en Asie et en Afrique. Bien que sa détection ne soit pas plus fréquente qu’un autre logiciel malveillant, nous le considérons menaçant, notamment de par sa présence sur les smartphones dès leur sortie d’usine, et car il a été détecté aux quatre coins de la planète.

Autre particularité de ce malware, sa méthode de distribution. Pour la seconde fois en 2014, c’est en pré-chargeant le malware directement dans la chaîne d’approvisionnement que DeathRing atteint sa cible. Nous n’arrivons pour le moment pas à déterminer à quelle étape de la chaîne d’approvisionnement DeathRing est installé sur les smartphones. Nous savons toutefois que, pour de nombreux portables, il est installé dans le répertoire système le rendant extrêmement difficile à éradiquer. Il n’est malheureusement pas possible aux prestataires de services de sécurité de supprimer ce logiciel malveillant car il est installé dans le répertoire système des portables.

Recommandations

·         Vérifiez la provenance du téléphone que vous achetez.
·         Téléchargez une application de sécurité comme celle de Lookout, qui sert de première ligne de défense pour votre portable. Si vous découvrez qu’un tel logiciel malveillant est pré-chargé sur votre portable, demandez à vous faire rembourser.
·         Consultez régulièrement votre facture téléphonique afin de détecter les frais suspects.

La réalité de l’industrialisation de la cybercriminalité

Selon le Centre de lutte contre la Cybercriminalité d’Europol, il n’y aurait qu’une centaine de personnes responsables de la cybercriminalité dans le monde.

Ce chiffre reflète effectivement la réalité de l’industrialisation de la cybercriminalité d’aujourd’hui, à laquelle sont confronté les entreprises, les États et les individus. Ainsi, seul un tout petit nombre de programmes permettant d’exploiter des failles logicielles connues (exploits) et d’outils en matière de cybercriminalité sont très largement exploités par les réseaux cybercriminels professionnels dans le monde entier.

Le dernier rapport semestriel sur la sécurité de Cisco a d’ailleurs mis en évidence le fait que le nombre de kits d’exploits a chuté de 87 % depuis que le créateur présumé de Blackhole a été arrêté en 2013. Cela montre à quel point ce kit a largement été utilisé par la communauté cybercriminelle.

Nous savons également que les réseaux de cybercriminels sont si bien organisés qu’ils achètent désormais « clef en main » les kits d’exploits et logiciels qu’ils utilisent pour mener à bien leurs activités. La plupart du temps, ces logiciels sont même fournis avec des manuels d’utilisation et un support technique 24/7. Ensuite, les cybercriminels utilisent Internet pour mettre en place un « réseau de distribution » dans le monde entier et diffuser leurs attaques, que ce soit physiquement ou en ligne, via des réseaux de botnets.

Selon Europol, ces kits et ces malwares sont si sophistiqués qu’avec très peu d’effort ils peuvent être réutilisés maintes fois et adaptés aux cibles des cybercriminels.

Mais si ces outils sont si fréquemment et si largement répandus, pourquoi les entreprises ne parviennent-elles pas à prévenir les attaques de leurs réseaux et leurs PC ?

Ceci est en partie dû au fait que les cybercriminels ont une longueur d’avance sur les responsables de la sécurité en trouvant de nouvelles variantes à leurs kits d’exploit alors que les experts en sécurité cherchent le moyen de les bloquer. Cette « course à l’armement » ne cessera jamais et nous savons même que de nombreux réseaux de cybercriminels vont jusqu’à acheter les solutions de sécurité pour tester leurs exploits afin de voir si ces dernières parviennent à les arrêter. Et, si tel est le cas, ils développent une nouvelle version de l’exploit pour la communauté cybercriminelle.

Ce que les professionnels de la cybersécurité ont bien compris depuis longtemps, c’est que les hackers sont très motivés, bien équipés et très qualifiés pour s’enrichir grâce à leurs activités illégales.

Les entreprises doivent ainsi s’assurer que leur sécurité est à jour et dispose des toutes dernières signatures, protections et solutions disponibles. Car, tandis que de nombreuses attaques sont destinées à une entreprise en particulier (attaque ciblée) , nous savons que beaucoup d’entre elles sont moins ciblées mais réussissent grâce à un manque de patching ou de mise à jour des signatures, des protections ou des solutions dont sont équipées les entreprises.

Aussi, les entreprises doivent s’assurer que leurs solutions de sécurité ne prennent pas seulement en compte uniquement la défense des postes de travail, mais qu’elles soient également capables de détecter les activités malicieuses potentielles sur l’ensemble de leur réseau – où les menaces peuvent apparaître. Il est fort probable que votre entreprise soit attaquée un jour, mais plus vite vous le saurez et vous agirez, plus vite vous pourrez déterminer l’ampleur des dommages sur votre business et sur la réputation de votre entreprise.  (Par Christophe Jolly, Directeur France Security Group Cisco / BBC.)

Un code malveillant JeSuisCharlie

Des pirates informatiques diffusent un code malveillant du nom de JeSuisCharlie. Il aurait déjà infecté plusieurs millions d’ordinateurs.

Un virus informatique diffusé par des malveillants aurait touché des millions d’ordinateurs depuis les attentats parisiens. Les chercheurs de Blue Coat Systems auraient découvert la chose, indique que les pirates ont baptisé leur microbe : JeSuisCharlie.

L’outil permet de prendre la main sur un ordinateur connecté et transformer le pc en zombie capable de participer à des Dénis Distribués de Service, en proxy pour servir de rebond à d’autres attaques distantes, … Cet espiogiciel utilise le code du RAT Français DarkComet. Le microbe se cache en réalité dans une photo, partagée plus de 5 millions de fois sur Twitter en 48 heures. Cette image reprend la main de ce nouveau né baptisé Charlie.

« C’est énervant de voir mon outil repris par le premier criminel qui passe, souligne à DataSecurityBreach.fr l’auteur du RAT. J’ai arrêté de travailler dessus il y a deux ans quand, déjà, le gouvernement Syrien l’avait détourné à des fins malveillantes. » A noter qu’il existe un outil permettant de contrer DarkComet.

Plusieurs média français piratés

France 3, Le Monde, RCF… plusieurs médias français dans la ligne de mire des pirates informatiques de l’opération Anti #CharlieHebdo. Étonnant, des frères ennemis s’allient pour une même cause.

L’Armée Électronique Syrienne ressort de sa cachette 2.0 en s’attaquant au journal Le Monde. Les pirates, pro Bachar-Al-Assad, via une technique qu’ils exploitent avec, malheureusement, efficacité. Parmi les victimes, la sécurité du journal Le Monde. Le CMS de la rédaction, mais aussi le Twitter ont été manipulés. Un courriel piégé aurait permis à la SEA de prendre la main sur le quotidien français. La SEA a indiqué, dans plusieurs Tweets «Je ne suis pas Charlie» ainsi qu’un rappel sur les bombardements en Syrie. Étonnant, les pirates de l’opération anti #charliehebdo ne sont pourtant pas des pro Bachar-Al-Assad. La SEA a déjà piraté Forbes, eBay, le FC Barcelone, Reuters ou encore The Sun.

Du côté des pirates ayant lancé une opération contre le web français, trois nouveaux groupes viennent d’apparaitre. ZATAZ.COM en a recensé plus d’une trentaine. Les nouveaux se sont attaqués à plusieurs sites appartenant aux groupes France Télévision avec des espaces basés en Outre-mer ou encore  les sites Internet régionaux de France 3. Une attaque qui a du obliger France Télévision a fermer les possibilités de diffuser le moindre article sur ses sites.

Pendant ce temps…
… La Fédération de Tennis vient de déposer plainte après le piratage d’un millier de site de club que la FFT hébergeait. : « Un large éventail de sites des comités et clubs a fait l’objet d’usurpation par des individus qui les utilisent comme vitrine de leurs revendications. Il n’échappera à personne le lien avec les événements tragiques de ces derniers jours. » indique un courriel diffusé aux présidents de club. Étonnant, le groupe montré du doigt, les Fellaga Anonymous n’ont pas revendiqué cette attaque.

Un pirate informatique arrêté pour avoir visé Madonna

L’ancienne pop star Madonna n’aime pas ce début d’année. L’artiste américaine voit son nouvel album piraté. elle se consolera avec l’arrestation de son voleur 2.0.

Et si le pirate informatique arrêté a Tel-Aviv, soupçonnait du piratage de l’informatique de la pop star Madonna, était membre d’un groupe qui se serait aussi invité dans les machines de Sony Pictures. Le Jérusalem Post explique dans son édition de mercredi qu’un homme a été arrêté à Tel-Aviv. Il est soupçonné d’avoir piraté des ordinateurs de majors et de « stars » de la musique pour mettre la main sur les disques en cours de création, avant donc la sortie officielle en boutique. Intéressante arrestation par l’unité 433 de la police israélienne. Une section en charge de la « mafia ». Des policiers locaux qui travailleraient main dans la main avec le FBI.

Protéger son site face aux cyber attaques

L’actualité récente a suscité une recrudescence des tentatives de piratage des sites internet. L’hébergeur Oceanet Technology vient de communiquer auprès de ses clients afin de sensibiliser ces derniers aux bonnes pratiques du web.

« Lorsque nous assurons l’administration système de votre serveur, nous mettons en œuvre les bonnes pratiques d’hébergement permettant de limiter les risques d’intrusion au niveau du système d’exploitation, explique l’entreprise Nantais. Toutefois, ces mesures ne sont pas suffisantes pour protéger l’application ou le site web hébergé.« 

Beaucoup de webmasters pensent que l’hébergeur est le rempart, la protection. C’est oublié les outils installés par les administrateurs des sites. Sont particulièrement visés les sites internet qui s’appuient sur des gestionnaires de contenu (CMS) tels que Joomla, WordPress, Drupal ou l’un des nombreux autres outils de ce type. En effet, lorsque ces outils ne sont pas maintenus à jour, les pirates peuvent profiter de failles connues pour déposer un contenu indésirable sur le site.

Comment le protéger

– En appliquant l’ensemble des mises à jour disponibles pour votre CMS
Cette opération est la plus simple et la plus pérenne. Elle vous immunise contre les failles connues et corrigées et vous permet de continuer à utiliser votre site dans les meilleures conditions. Si vous ne maîtrisez pas ces questions, n’hésitez pas à vous rapprocher du prestataire qui a réalisé votre site et pourra réaliser pour vous cette vérification.

– Par placement en lecture seule
Cette opération interdira toute modification du contenu de votre site, que ce soit par vous ou par un pirate éventuel. Naturellement, cette solution est peu souhaitable puisque vous ne pourrez plus modifier le contenu de votre site. Toutefois, s’il s’agit d’un site ancien dont le contenu n’évolue plus, cette solution vous permet de garantir que votre site demeurera en l’état. Si Oceanet Technology administre votre système, nous pouvons réaliser cette opération sur simple demande au support.

Lorsqu’un site est piraté, il arrive que celui-ci serve de pont pour porter atteinte à d’autres utilisateurs que ce soit au travers de campagnes de mails indésirables ou d’opérations de dénis de service. « Dans de telles circonstances, indique Oceanet Technology, nous n’avons d’autre choix que de suspendre l’activité du site compromis. » Bref, les mesures de prévention proposées ci-dessus sont donc importantes pour garantir la disponibilité de votre site.

Les pirates d’Anunak s’attaquent aux banques russes

Des pirates informatiques baptisés Anunak se sont spécialisés dans les attaques numériques à destination des banques russes. 20 millions d’euros auraient été volées.

La société néerlandais Fox-IT, spécialisée dans la sécurité informatique, a annoncé avoir terminé une enquête sur un groupe de pirates qu’elle a baptisé Anunak. Ces « visiteurs » ne visent que les banques russes. Méthode employée, courriels piégés et infiltration/installation d’outils malveillants comme des keylogger [logiciel d’espionnage, NDR] qui ont pour mission d’intercepter la moindre frappe sur un clavier.

En 2013, les voleurs 2.0 se seraient invités dans une cinquantaine de banques. D’après la société FOX It, les pirates auraient ainsi pu manipuler des distributeurs de billets. Deux entreprises bancaires piratées ont perdu leur licence bancaire suite aux méfaits d’Anunak.

PictureBook affiche les photos Facebook que vous cachez

Voilà une extension qui risque de faire un tabac, avant que Facebook face disparaitre cette option involontaire… ou pas !

PictureBook est une application dédiée au navigateur Chrome de Google. Sa mission, permettre de faire ressortir les photos que vous ne souhaitez pas afficher sur votre compte communautaire. L’outil fait ressortir les documents ou vous êtes tagués, même si vous n’avait pas validé les documents en question.

L’outil exploite les photos publiques, via les comptes de vos amis. Pour éviter ce petit espionnage entre « potes », mais pas seulement, vos « non » ami(e)s peuvent aussi vous « regarder », il suffit de dé-taguer vous même les clichés vous affichant.

PictureBook rappelle que la gestion de sa confidentialité sur la toile n’est pas un vain mot. A bon entendeur !

Google accuse la MPAA de manipuler la justice

L’affaire du piratage de Sony Picture n’a pas fini de faire les vagues. Il faut dire aussi que les donnés diffusées par les pirates ont de quoi faire sourire, rougir ou mettre très en colère certains acteurs médiatique, comme Google.

Dans les courriers et autres fichiers lâchés sur Internet par le/les pirates, on apprend que la Motion Picture Association of America a manipulé la justice américaine afin que Google supprime de son moteur de recherche les liens permettant de mettre la main sur des liens ou des sites renvoyant sur des contrefaçons. On comprend mieux pourquoi Sony a menacé la presse en indiquant qu’elle n’avait pas le droit de télécharger, lire et utiliser les informations mis en pâture par le/les pirate(s).

Bilan, le New York Times a lu et analysé les documents en question. Le journal a comparé avec les informations légales proposées lors du procès. Bilan, le procureur en charge du dossier, Jim Hood, a tout simplement reçu un courrier des avocats de la MPAA qui lui indiquaient quoi dire et faire.

Google a expliqué sur son blog qu’il n’était pas content et annonce que cette méthode n’était rien d’autre qu’une conspiration à son encontre. « La lettre a été signée par le procureur Wood, mais a été rédigée par un avocat du cabinet Jenner & Block qui travaille pour la MPAA ». souligne le New York Times.

Bref, le monde merveilleux du 7ème art révèle sa véritable facette. Nous sommes à deux doigts de dire merci à ce/ces pirates.

Énorme faille de confidentialité découverte dans les réseaux de téléphonie mobile

Deux chercheurs allemands, spécialisés dans la sécurité informatique, ont découvert ce qui semble être un cas grave de fuite concernant les téléphones portables.

D’après Tobias Engel et Karsten Nohl, la faille pourrait permettre à des criminels et des agences de renseignement d’espionner les appels téléphoniques privés et les messages texte transmis via les réseaux cellulaires.

Le problème apparaît dans le système de signal 7 (SS7), un réseau mondial de télécommunications dont vous n’avez très certainement jamais entendu parlé. Sept permet aux opérateurs de téléphonie de faire transiter les messages et les SMS à travers le monde. Le Washington Post a rapporté que les chercheurs ont découvert des trous de sécurité dans certaines des fonctions SS7 normalement utilisées. SS7 a été conçu dans les années 1980. Il est évident que ce dernier soit criblé de vulnérabilités qui portent atteinte à la vie privée des milliards d’utilisateurs de cellulaires de part le monde.

Les failles peuvent permettre de localiser les appelants, n’importe où dans le monde, écouter les appels, les enregistrer. Il serait également possible de frauder les utilisateurs, ainsi que les opérateurs de téléphonie mobile en utilisant certaines fonctions SS7. Deux commandes semblent être particulièrement intéressantes.

La première pourrait permettre de détourner un téléphone portable en interceptant les appels qu’il reçoit. Une sorte de Man-in-middle. Avec un tel système en place, les appels peuvent être enregistrés secrètement. Deuxième commande, un pirate situé à proximité de sa cible pourrait utiliser des antennes radio pour intercepter les appels et les SMS traversant la zone « d’écoute ». Il faut une clé temporaire SS7 pour déchiffrer les communications enregistrées.

La semaine dernière, Nohl a mis ses découvertes en pratique en démontrant le danger à un sénateur allemand en déchiffrant ses SMS.

Pour se protéger, il est fortement conseillé d’utiliser des outils tels que FaceTime (Apple), Signal (Whisper System) ou RedPhone qui permettent d’avoir une communication sécurisée sur un canal non sécurisé.

Utilisateur de Firefox et Thunderbird, un keylogger activé dans le nouvel OS d’Apple, Yosemite

Voilà qui n’est pas amusant, mais alors pas du tout. Le chercheur en sécurité Kent Howard a rapporté à Apple un problème présent dans OS X 10,10 (Yosemite). Une fonctionne sauvegarde les informations tapées dans les produits Mozilla !

Des fichiers journaux sont créés par le CoreGraphics d’OS X dans le répertoire local /tmp. Ces fichiers journaux contiennent un enregistrement de toutes les entrées dans les programmes Mozilla (Firefox, Thunderbird) pendant leur fonctionnement. Dans les versions de Mac OS X (à partir des versions 10.6, 10,9, ndlr datasecuritybreach.fr) les CoreGraphics avaient cette capacité d’enregistrement mais le « keylogger » avait été désactivé par défaut. Dans OS X 10,10, cette journalisation a été activée de nouveau, par défaut, pour certaines applications qui utilisent une mémoire personnalisée, comme jemalloc.

Sur les systèmes vulnérables, la faille peut entraîner l’interception des données privées telles que noms d’utilisateur, mots de passe et autres données sauvegardées par ce fichier journal mal venu. Ce problème n’affecte pas les utilisateurs d’OS X avant la version 10.10. Les utilisateurs de l’OS X 10.10 doivent aller dans le dossier /tmp, supprimer les fichiers avec des noms commençant par « CGLog_ » suivie du nom d’un produit Mozilla, tels que « CGLog_firefox ». (Alerte Mozilla/Metabaron)

 

Logiciels espions dans la derniere mise à jour Galaxy Note de Samsung

Mais que viennent donc faire là Cookie Jam, Drippler et RetailMeNot dans la nouvelle mise à jour de T-Mobile concernant les Galaxy Note 4 de chez Samsung. Les applications sont avides d’informations… sans que les propriétaires des smartphones soient alertés.

Voilà qui commence à faire beaucoup. Après la disparation de musique non acquise sur iTunes dans des iPod, Apple ayant décidé de faire le ménage sans que les utilisateurs ne puissent rien dire, voici le débarquement de logiciels « sniffeurs » d’informations dans les Galaxy Note 4 Samsung commercialisés par T-Mobile.

Une mise à jour, imposée par l’opérateur, en a profité pour installer sans que personne ne puisse dire « non », trois applications avec des autorisations incroyables… sans que le propriétaire du téléphone ne le sache. Cookie Jam, Drippler et RetailMeNot se sont retrouvés dans les smartphones. Les utilisateurs peuvent pas les effacer, ils se réinstallent dans la foulée.

Les logiciels malveillants ont été installés automatiquement après la mise à jour de T-Mobile. Parmi les autorisations autorisées, mais non validées par les clients : lire l’état du téléphone, l’identité, modifier, lire et supprimer le contenu de votre périphérique de stockage USB, modifier les paramètres de sécurité du système, télécharger des fichiers sans notification, voir toutes sortes de connexions et avoir accès complet au réseau… (Rick Farrow)

007 espionne deux cables sous-marins de Vodafone

L’agence britannique GCHQ aurait espionné deux câbles sous marins de Reliance Communication pour accéder aux données de millions de personnes.

L’Inde, comme des millions d’Internautes sont en colères après le GCHQ (General Communications Headquarters), les grandes oreilles britanniques, sœurs jumelles de la Nationale Security Agency de l’Oncle Sam. Dans ce qui peut être qualifié comme une autre révélation majeure des dossiers volés d’Edward Snowden, ancien analyste privé employé par la NSA, il vient d’être révélé par la presse britannique, allemande et indienne (Channel4, Süddeutsche Zeitung), que l’agence britannique « d’intelligence » a piraté deux grands câbles sous-marins de Reliance Communications. L’intimité numérique de millions d’utilisateurs aurait été compromise, sans parler de plusieurs gouvernements, dont l’Inde, l’Égypte, la péninsule arabique, la Malaisie, la Thaïlande, Hong Kong, la Chine continentale, Taïwan et le Japon.

Le piratage aurait été réalisé avec l’aide d’une société privée achetée dernièrement par le géant des télécommunication Vodafone. Ce « copain » aurait permis de pirater les câbles de Reliance Communication, ainsi que 27 autres « tuyaux » passant par le Royaume. Une action planifiée baptisée « Pfenning Alpha« , en partenariat avec la NSA américaine. Une ponction qui aurait durée de 2009 à 2011 à partir de Skewjack Farm, dans le sud de l’Angleterre.

Les câbles Reliance acheminent le trafic de données Internet entre l’Asie, l’Europe  (Flag) et le continent américain (Flag Atlantic 1).

Il y a un an, Le Monde rappelait que la France n’était pas en reste avec ce genre de « partenariat » avec la mise sur écoute d’un câble sous-marin. « Ce flux d’informations étranger-France, cette « matière première » comme la qualifie la NSA dans une note révélée par M. Snowden, fait l’objet d’une large interception par la DGSE« . Bref, la NSA a des pinces crocodiles un peu partout !

En février 2013, la NSA confirmait sa main mise sur les données transitant par le câble SEA-ME-WE 4 « Nous avons réussi à collecter les informations de gestion des systèmes du câble sous-marin SEA-ME-WE » confirmait alors la grande muette. (HindusTimes)

Il était possible de pirater Paypal d’un clic de souris

Yasser Ali, un étudiant Égyptien vient de toucher 10.000 $ de Paypal. Le chercheur en sécurité informatique avait trouvé le moyen de pirater la grosse tirelire Paypal.

Ali, qui est ingénieur en mécanique, a découvert le moyen de passer outre la sécurité mise en place par Paypal. Inquiétant quand on connait les masses d’argent qui peuvent transiter par le géant américain. Via un simple clic, sur un lien particulièrement formulé dans un courriel envoyé à une cible, un pirate pouvait prendre la main sur le compte Paypal ciblé, et l’exploiter à loisir.

PayPal n’a pas tardé à répondre à cette alerte. Correction effectuée, Ali a touché 10 000 dollars de récompense. La faille se situait du côté des jetons d’authentification. Ces codes sont envoyés aux clients et sont changés à chaque fois que l’utilisateur clique sur le lien Paypal. Ali a cependant identifié que chaque jeton peut être réutilisé en faisant croire à Paypal que le client « cliqueur » est bien le propriétaire du compte en question. (Ali)

Marché de la cybersécurité du secteur financier américain: une hausse de 23%

La rédaction de DataSecurityBreach.fr a reçu les résultats d’une nouvelle étude qui examine l’évolution rapide du marché de la cybersécurité dans le secteur des services financiers américains. Selon l’étude HSRC, le marché de la cybersécurité des services bancaires et financiers aux États-Unis devrait atteindre 9,5 milliards de dollars en 2015, suite à une hausse annuelle record de 23%.

Faisant suite à la flambée des cyber-attaques «réussies», les organismes financiers américains constitueront le plus important secteur non-gouvernemental du marché de la cybersécurité. Selon la nouvelle étude Banking & Financial Services Cybersecurity: U.S. Market 2015-2020, publiée par Homeland Security Research Corp. (HSRC): la multiplication et la sophistication des cyber-attaques «réussies» contre les grandes chaînes de vente au détail, les banques et les entreprises de services financiers l’année dernière (au cours de laquelle des relevés bancaires de plus de 500 millions de clients et des cartes bancaires ont été compromis) ont  incité les conseils d’administration des institutions financières américaines à l’action. Du fait de la remarquable croissance annuelle de 23%, le marché de la cybersécurité des services financiers américains atteindra 9,5 milliards de dollars en 2015 et deviendra ainsi le marché le plus important du secteur privé en matière de cybersécurité.

Les sites marchands sous pression à l’approche de Noël

Avec l’arrivée des fêtes de fin d’année, nombreux sont les acteurs du e-commerce qui se préparent à affronter cette saison cruciale en termes de ventes. Aux Etats-Unis, le coup d’envoi des achats de Noël est chaque année marqué par le Black Friday et le Cyber Monday, deux journées pendant lesquelles les consommateurs dépensent plusieurs millions d’euros en ligne.

Si ce phénomène est encore un peu timide en France, l’engouement pour les achats sur internet durant cette période est réel. En effet, selon les résultats du dernier baromètre de la Fevad sur les ventes en ligne, plus de 11 milliards d’euros devraient être dépensés par les Français sur internet pour Noël, soit une hausse de 10% par rapport à l’année dernière.

La très attendue période des achats de Noël représente l’une des plus importantes de l’année, et les sites marchands vont devoir prendre les mesures nécessaires pour pouvoir l’aborder sereinement. En effet, les douze derniers mois ont été difficiles pour de grands noms tels que Target, eBay ou encore Home Depot, qui ont successivement été victimes de cyberattaques ayant exposé les données bancaires et personnelles de millions de clients. De ce fait, tous les regards sont aujourd’hui tournés vers les acteurs du e-commerce, et les exigences des consommateurs sont de plus en plus élevées sur la qualité d’expérience en ligne mais aussi, et surtout, sur la sécurisation des données.

Avec autant de cartes bancaires enregistrées et utilisées sur internet, il ne fait aucun doute que les e-commerçants représentent l’une des cibles privilégiées des hackers. Il est donc primordial que les enseignes adoptent de puissants systèmes de défense pour être en mesure de lutter contre les cyberattaques de plus en plus sophistiquées. Alors que la question n’est plus de savoir si mais quand une entreprise sera visée par des pirates informatiques, les sites du e-commerce doivent prendre leurs responsabilités et assurer la protection de l’ensemble de leurs données, aussi bien pour leurs clients que pour leur réputation. Les récentes failles de sécurité ont déjà impacté les habitudes des consommateurs; ils se montrent en effet de plus en plus méfiants et accordent difficilement leur confiance quand il est question de communiquer leurs informations personnelles, encore moins si l’enseigne a déjà été victime d’une attaque.

Il est donc nécessaire que les e-commerçants fassent de la protection des données de leurs clients une priorité. Une mesure efficace serait la mise en place d’outils permettant de fournir une surveillance proactive, continue et en temps réel de l’activité sur leur réseau. Il s’agit également de la clé absolue pour être capable d’identifier le moindre comportement anormal qui laisserait présager une menace et de bénéficier d’alertes immédiates en cas d’événement critique. Ainsi, une visibilité accrue et en temps réel permet de détecter beaucoup plus tôt les éventuelles attaques, et de prendre très rapidement les mesures qui s’imposent pour les neutraliser avant qu’elles ne s’étendent et ne causent des dommages durables.

Les conséquences financières peuvent être très lourdes si les enseignes ne sont pas capables d’assurer un haut niveau de sécurité, surtout au moment de Noël. Pour palier un tel risque, elles ont donc tout intérêt à renforcer la protection de l’ensemble des données sensibles générées par leur activité ainsi que celles de leurs clients, et à adopter une stratégie globale de sécurité dans un contexte de cyber-menaces grandissantes. (Par Jean-Pierre Carlin de LogRhythm)

Données personnelles, l’Europe s’active…

La très prochaine Réglementation Générale de l’Union Européenne sur la Protection des Données, prévue pour la fin de l’année, concerne toutes les entreprises disposant de bases de données personnelles. Celles-ci auront 2 ans pour se mettre en conformité avec cette nouvelle réglementation. Des sanctions financières lourdes (jusqu’à 5% du chiffre d’affaires annuel) seront appliquées en cas d’infraction.

Gouverner, c’est prévoir. Cette maxime doit être complétée par l’évidence qu’il faut, pour anticiper les décisions, disposer de l’information. Toutes les entreprises qui utilisent des bases de données personnelles doivent donc aujourd’hui s’intéresser à la future Réglementation Générale de l’Union Européenne sur la Protection des Données qui verra le jour à la fin de l’année. Avec d’autant plus d’attention que des sanctions financières lourdes (jusqu’à 5% du chiffre d’affaires annuel) seront appliquées en cas d’infraction.

Une Réglementation Générale sur la Protection des Données
Soucieuse de renforcer les droits sur la vie privée en ligne, la Commission Européenne a proposé le 25 janvier 2012 une réforme de l’UE 95/46 /CE sur la protection des données, une réglementation déjà vieille de 10 ans. Depuis la mise en œuvre de la directive initiale, les progrès technologiques ont en effet entraîné une modification profonde de la façon de collecter, de rendre accessibles et d’utiliser les données. Une proposition de Réglementation Générale sur la Protection des Données a donc vu le jour. Approuvée par le Parlement Européen en mars dernier, elle est en cours d’adoption par le Conseil de l’Union Européenne et sera effective d’ici la fin de l’année, c’est-à-dire dans un mois, pour entrer en vigueur définitive après une période transitoire de deux ans.

Des conséquences pour tous les résidents de l’Union…
La Réglementation Générale sur la Protection des Données sera applicable si l’entreprise ou le sujet des données – la personne – est installé dans l’Union Européenne. Ce qui est déjà le cas de la Directive actuelle qui soumet les entreprises européennes à des règles beaucoup plus strictes que les entreprises hors UE. Désormais, les entreprises établies en dehors de l’Union Européenne devront obéir aux mêmes normes que les sociétés européennes lorsqu’elles traiteront des données personnelles de résidents de l’UE.

Par donnée personnelle, la Commission Européenne désigne « toute information relative à une personne physique, se rapportant à sa vie privée, professionnelle ou publique. Il s’agit du nom, d’une photo, d’une adresse électronique, de coordonnées bancaires, de messages sur les réseaux sociaux, d’une information médicale ou de l’adresse IP d’un ordinateur. »

Les principales modifications touchent à trois sujets majeurs.
Le droit à effacer des données personnelles
Le droit à l’oubli numérique permettra aux personnes qui veulent maîtriser leur vie en ligne de ne plus avoir de données personnelles stockées, traitées ou accessibles. Tout particulier pourra obtenir qu’elles soient supprimées, à condition qu’aucun motif légitime ne justifie leur maintien.

Chaque utilisateur final aura le droit de transférer des données d’un service à l’autre. D’autre part, les entreprises devront obtenir l’accord des intéressés pour recueillir leurs données personnelles. La non-obtention ou la non-fourniture de ce consentement invalidera le processus. Les entreprises doivent être en mesure de prouver comment les données personnelles sont traitées, recueillies, conservées, accessibles et utilisées. Elles doivent pouvoir produire l’accord explicite qui leur permet de traiter les données en question.

Le Responsable de la protection des données
Les entreprises de plus de 250 salariés seront tenues de nommer un Responsable de la protection des données, dont les coordonnées devront être publiées, pour veiller au respect de la réglementation. En cas de violation des données, il devra informer les organismes de réglementation en fournissant des renseignements détaillés, dans les 72 heures qui suivent la prise de connaissance de l’infraction. Toute action ayant un impact «hostile» devra être notifiée. En conséquence, l’entreprise doit se préparer et prendre les dispositions nécessaires pour fournir les informations détaillées sur les violations de données, aux autorités compétentes, dans le laps de temps autorisé. Ces exigences signifient que l’entreprise doit être capable d’identifier rapidement l’infraction et mesurer l’étendue de la fuite.

Une protection intégrée
Des garanties de protection des données devraient être intégrées dès les premiers développements des produits et des services proposés par les entreprises. Les paramètres par défaut respectant la vie privée devraient devenir la norme, comme par exemple sur les réseaux sociaux.

Des conséquences importantes pour l’entreprise
La Directive en vigueur n’est pas appliquée de la même manière dans tous les pays membres de l’Union Européenne. La nouvelle Réglementation sur la Protection des Données sera, au contraire, mise en œuvre de manière identique dans tous les pays membres. Le fait que ce soit une Réglementation et non une Directive signifie qu’elle sera directement applicable à chaque Etat membre de l’UE.

Le respect de la Réglementation évitera des pénalités financières et d’éventuelles poursuites judiciaires. Des sanctions sont prévues. Etablies en fonction de l’ampleur de la fuite de données, elles peuvent atteindre 2 à 5% du chiffre d’affaires annuel global et aller jusqu’à 100 millions d’euros.

Une grande sévérité pour les entreprises !
Les diverses modifications comme le droit à l’oubli, l’accès facilité pour l’utilisateur à ses propres données, l’accord nécessaire pour pouvoir utiliser ou traiter les données des particuliers, la nomination d’un Responsable à la protection des données, la notification et les informations concernant les flux en cas de violation ainsi que la confidentialité par défaut sont évidemment à inclure dans le plan d’évolution du Système d’Information, et cette nouvelle réglementation, qui a des conséquences importantes sur l’organisation de l’entreprise, doit être mise en place avec attention.
Comment se conformer à cette nouvelle norme ?

La Réglementation Générale sur la Protection des Donnée engendrera des changements au niveau de la collecte, du stockage, de l’accessibilité et de l’utilisation des données. Quant à l’obligation de déclarer toute violation des données, cela nécessite un système actif de surveillance des échanges et des flux de données et un certain nombre de bonnes pratiques.

Un examen approfondi des politiques de sécurité et de protection des données ainsi que des rôles et responsabilités au sein de l’entreprise s’impose. La priorité est un audit pour évaluer les risques et déterminer les actions à entreprendre en fonction des faiblesses propres à l’entreprise sur ce sujet. En second lieu, l’adoption d’une solution de SIEM* est un moyen efficace de contrôler l’accès aux systèmes où sont stockées les données personnelles. Ce type de solution permet aussi de surveiller la sécurité des systèmes et recevoir des alertes quand on y accède. Les logs fournissent en effet une vision complète et exacte de ce qui a été consulté. Il est donc possible d’informer rapidement les organismes de réglementation en cas de violation des données. Il est également possible de configurer des rapports prouvant la conformité à la Réglementation, ce qui aide considérablement les Responsables de la protection des données.

Faire appel à des experts et mettre en place dès 2015 ces nouvelles exigences en matière de sécurité et de conformité s’avère d’ores et déjà une tâche à planifier. On peut bien sûr penser que la mise en œuvre effective de la réglementation étant prévue après une période de deux ans, rien ne presse… Mais l’expérience montre que l’examen d’une structure organisationnelle ainsi que les mises à niveau nécessaires du système prennent du temps. Anticiper est aussi un avantage concurrentiel (voire marketing) pour les entreprises utilisant pour leur métier de gros volumes de données personnelles. (Par Frédéric Saulet, Directeur Régional Europe du Sud de LogPoint.)

* SIEM : Security Information and Event Management – Le principe du security information management est de gérer les événements du système d’information (Wikipédia).

Les e-commerçants cible numéro un des cybercriminels

La dernière étude d’Imperva s’est intéressée aux secteurs d’activités les plus touchés par les attaques d’applications web. Les sites de e-commerce se distinguent comme principale victime, ils représentent à eux seuls près de la moitié (48%) de ces attaques.

Les e-commerçants sont invités à redoubler de vigilance vis à vis des cyber-attaques. C’est l’un des principaux enseignements d’une étude récemment menée par  Imperva, Inc. (NYSE: IMPV), dans laquelle les e-commerçants apparaissent comme la principale cible des campagnes d’attaques visant les applications web, avec 48 % d’entre elles les ciblant directement, faisant de cette industrie une cible privilégiée par les cybercriminels.

Ce chiffre est issu du récent rapport Web Application Attack Report #5 (WAAR) réalisé par l’Application Defense Center (ADC), l’équipe de recherche d’Imperva. Pour ce rapport, l’équipe ADC a analysé un échantillon de 99 applications protégées par le pare-feu applicatif Web d’Imperva (WAF) sur une période de neuf mois (du 1er Août 2013 au 30 Avril 2014). Il révèle que les e-commerçants sont les plus lourdement ciblés par les cybercriminels, et que 40 % de toutes les attaques par injection SQL et 64 % des campagnes de trafic HTTP malveillant visent les sites de vente en ligne.

« Notre étude montre que ces sites sont une cible de choix pour les hackers. Ceci est en partie dû aux données qu’ils manipulent (noms des clients, leurs adresses, coordonnées bancaires), et que les cybercriminels peuvent utiliser et commercialiser dans un écosystème sous-terrain. Au cours de l’année dernière, nous avons vu un certain nombre d’e-commerçants être victime de fuites de données et je m’attends à ce que cela continu. Notre précèdent rapport publié en Juillet 2013, distinguait déjà ces sites comme principale cible des cybercriminels. En termes de volume, l’étude démontre que les sites de vente ligne ont subi deux fois plus d’attaques par injection SQL que la plupart des autres secteurs d’activité. Dans la mesure où les résultats de cette année ne montrent aucun signe d’amélioration par rapport à l’an dernier, il n’y a aucune raison que cette menace s’atténue sur l’année à venir. » explique Amichai Shulman, Directeur de la technologie d’Imperva.

L’étude révèle également que les sites hébergeant des données client, qui exigent une identification à la connexion, souffrent pour plus d’un sur deux de ces attaques (jusqu’à 59% d’entre eux). Cela montre très précisément qu’il s’agit du type d’informations qui motive le plus les cybercriminels. Les données relatives aux consommateurs telles que les détails personnels et les numéros de cartes de crédit sont une source précieuse de profit sur le marché noir des données.

« Les e-commerçants doivent prendre la menace de cyber attaque très au sérieux. Au cours de l’année passée, nous avons vu des sites de vente en ligne très connus, et apparemment sûrs, êtres victime de cyber-attaques dévastatrices et cela devrait être perçu comme un avertissement pour leurs confrères. Les cybercriminels voient les e-commerçants comme une cible très rentable qu’ils attaquent sans relâche par de multiples moyens. Les informations qu’un pirate est capable d’extraire à partir de ces sites doivent très probablement aboutir sur des sites commercialisant ce type de données. Le business est énorme. Les professionnels de la vente en ligne doivent verrouiller leurs bases de données et les data centers qui les hébergent, s’assurer que toutes leurs données soient cryptées et qu’ils aient mis en place des barrières solides pour repousser les intrus », conclut Amichai Shulman .

L’intégralité du rapport Imperva’s Web Application Attack, est disponible ICI.

Regin: Un outil d’espionnage de pointe pour une surveillance furtive

Un malware complexe, connu sous le nom de Regin, a été utilisé dans le cadre de campagnes d’espionnage systématique envers des cibles internationales depuis au moins 2008. Trojan de type backdoor, Regin est un malware complexe dont la structure suppose des compétences techniques rarement vues.

Avec un grand nombre de fonctionnalités qui s’adaptent selon la cible, il permet à ses commanditaires d’opérer une surveillance massive et a été utilisé dans des opérations contre des organisations gouvernementales, des opérateurs d’infrastructures, des entreprises, des scientifiques et des individus. Il est probable que son développement ait pris plusieurs mois, voire plusieurs années, et ses auteurs ont tout fait pour assurer sa discrétion. Ses capacités ainsi que le niveau de ressources derrière Regin indiquent qu’il s’agit de l’un des principaux outils de cyber espionnage utilisé par un état.

Comme décrit dans le livre blanc publié par Symantec, Backdoor.Regin est une menace en différentes phases, chacune d’entre elles étant dissimulée et chiffrée, à l’exception de la première. L’exécution de la première étape génère un effet domino de déchiffrement et de chargement de la phase suivante. Chaque étape individuelle fournit peu d’informations sur l’ensemble de la menace. Seule la réalisation de l’ensemble permet l’analyse et la compréhension de la menace.

Les cinq étapes de Regin

Regin utilise également une approche modulaire, lui permettant de charger des fonctionnalités adaptées selon la cible. Cette approche modulaire a déjà été vue dans des familles de malwares sophistiqués tels que Flamer et Weevil (TheMask), alors que l’architecture en plusieurs étapes est similaire à celle observé dans Duqu/Stuxnet.

Déroulé et profil des cibles
Les infections par Regin ont été observées dans différents types d’organisations entre 2008 et 2011, date à laquelle il a été brutalement retiré. Une nouvelle version du malware a refait surface à partir de 2013. Les cibles incluent des entreprises privées, des organisations gouvernementales et des instituts de recherche. Alors que près de la moitié des infections concerne des adresses appartenant à des fournisseurs de services Internet, les cibles de ces infections étaient les clients de ces sociétés plutôt que les sociétés elles-mêmes. De la même manière, les attaques contre des entreprises de télécommunications visaient l’accès aux appels passant par leurs infrastructures.

La géographie des infections est également diverse, et concerne principalement dix pays.

Vecteur d’infection et charges utiles
Le vecteur d’infection varie selon les cibles et aucun vecteur reproductible n’a été identifié à l’heure où ce rapport a été rédigé. Symantec estime que certaines cibles ont été leurrées vers la visite de fausses versions de site Internet bien connus, et que la menace s’est installée via un navigateur web ou lors de l’exploit d’une application. Sur un ordinateur, les fichiers log montraient que Regin venait de Yahoo ! Instant Messenger via une faille non confirmée.

Regin utilise une approche modulaire, donnant ainsi une certaine flexibilité à ses commanditaires et opérateurs qui peuvent ainsi adapter ses fonctionnalités selon les cibles individuelles et les besoins. Certaines charges utiles sont particulièrement avancées et laissent supposer un haut degré d’expertise dans des secteurs bien précis: une preuve supplémentaire du niveau de ressources dont ont bénéficié les auteurs de Regin.
Regin comporte des douzaines de charges utiles. Ses capacités de base incluent plusieurs fonctionnalités de Remote Access Trojan (RAT), telles que la capture d’écrans, la prise de contrôle de la souris, le vol de mots de passe, la surveillance du trafic réseau et  la restauration de fichiers supprimés.
Des modules de charge utile plus spécifiques et avancés ont également été découverts, tels que le monitoring de trafic de serveur web Microsoft IIS et l’aspiration du trafic des contrôleurs des stations de téléphonie mobile.
Furtivité.

Les développeurs de Regin ont fourni des efforts considérables pour le rendre indétectable. Son caractère discret semble indiquer une utilisation lors de campagnes d’espionnage qui ont duré plusieurs années. Même lorsque sa présence est détectée, il est très difficile de déterminer précisément ses actions. Symantec n’a été en mesure d’analyser les charges utiles qu’après déchiffrement des échantillons de fichiers.

Regin présente plusieurs fonctionnalités de furtivité, notamment des capacités anti-forensics, un système de fichiers virtuel chiffré unique, un chiffrement alternatif sous la forme d’une variante de RC5, qui n’est pas communément utilisé. Regin utilise de multiples moyens sophistiqués pour communiquer avec l’attaquant, notamment via ICMP/ping qui intègre des commandes dans les cookies http, via des protocoles TCP et UDP sur mesure.

Regin est une menace hautement complexe qui a été utilisée dans la collecte systématique de données ou lors de campagnes de renseignements. Le développement et l’opération de ce malware ont certainement demandé des investissements financiers et en temps importants, laissant supposer qu’un état en est le commanditaire. Sa conception en fait un outil hautement adapté pour des opérations de surveillance persistantes et à long terme contre ses cibles.

La découverte de Regin met en lumière l’importance des investissements pour le développement d’outils informatiques à des fins de renseignement. Symantec estime que de nombreuses composantes de Regin restent à découvrir et que des fonctionnalités et des versions supplémentaires existent. Symantec continue son travail d’analyse et publiera les mises à jour de ses recherches. (Par Symantec Security Response)

Chantage Internet : Rex Mundi diffuse des données d’internautes belges

Identités, adresses, numéros de registre national des travailleurs belges, le groupe de pirates informatiques Rex Mundi diffuse des données sensibles. Il souhaitait toucher 50.000 euros dans un chantage raté.

Le 15 novembre dernier, le groupe de pirates informatiques Rex Mundi, très actif sur le territoire Belge, refaisait parler de lui sur la toile. Après avoir diffusé un extrait de la base de données de Domino’s Pizza, après avoir attaqué Thomas Cook Belgium, Finalease Cars, c’est au tour de l’entreprise Mensura de faire les frais de ces maîtres chanteurs.

Les e.voleurs ont d’abord tenté de toucher 50.000 euros de ce spécialise du contrôle médical. Leur idée, toujours la même, faire chanter l’entreprise piratée. Vous donnez tant, et nous ne diffusons rien. Bilan, Menura n’a pas payé, Rex Mundi a diffusé les informations collectées, dont les fameux NATIONAAL RIJKSREGISTER.

Un millier de belges sont concernés. Mensura a déposé plainte auprès de la FCCU, la Federal Computer Crime Unit qui a une piéce compléte de dossiers sur le thème de Rex Mundi ! De son côté, Rex Mundi a indiqué que Mensura voulait payer, mais que l’avocat de l’entreprise a déconseillé cette alternative. Alternative que déconseille aussi les cyber policiers belges. Le compte Twitter de Rex Mundi a été suspendu. Il reviendra, très certainement, comme les 13 autres fois !

Objets connectés : Le mot de passe reste la meilleure sécurité, si on s’en sert !

Un pirate a récemment mis en ligne sur un site russe des liens qui permettent de regarder en direct les vidéos de milliers webcams de particuliers et d’entreprises, dans plus de 250 pays. En se connectant au site, on peut voir en direct ce qui se passe dans une chambre d’enfants à Birmingham ou dans un magasin de vêtements à Aix En Provence. Comment cela est-il possible ? Une grande partie de ces utilisateurs auraient tout simplement oublié de changer le mot de passe par défaut permettant d’accéder au flux vidéo de leur webcam.

Ce nouveau piratage illustre les nouveaux défis de sécurité qui sont induits par le développement des objets connectés. Ces derniers, souvent regroupés sous l’appellation « Internet des objets » connaissent une croissance fulgurante. Le Gartner prévoit ainsi qu’en 2015 4,9 Milliards d’objets connectés seront en circulation. Qu’il s’agisse de votre maison (domotique), de votre corps (capteur d’activité, montres connectées, appareils médicaux), de votre voiture ou de vos vêtements, de nouveaux objets et services connectés sont inventés tous les jours. Ils collectent des données de votre quotidien, les interprètent via des logiciels en ligne et vous aident à améliorer différents aspects de votre vie : confort, santé, dépenses, performance, productivité…

Ces données qui partent dans le Cloud
Pour pouvoir vous aider au mieux et pour stocker toutes ces données collectées sur votre quotidien, ces objets communiquent généralement avec des logiciels hébergés sur des serveurs sur Internet, « dans le Cloud », accessibles via des identifiants et mots de passe, comme n’importe quel site web. Mais cela n’est pas sans danger car si les français digitalisent leur vie quotidienne, ils n’adoptent pas pour autant les comportements de sécurité en ligne qu’ils ont dans la vie réelle. L’étude IFOP réalisée pour Dashlane en 2012 l’avait montré : Alors que 100% des français mettent leur ceinture de sécurité en voiture, 42% utilisent encore le même mot de passe sur plusieurs sites. Et pourtant, c’est une règle de base que d’utiliser un mot de passe différent par site web…

Et alors ?
Beaucoup minimisent sans doute le risque : on pense que lorsque l’on se fait pirater son compte email ou sa carte bancaire,  il y a toujours un moyen de réinitialiser son compte ou d’annuler les transactions frauduleuses réalisées avec la carte. Il n’y a pas « mort d’homme ». Maintenant imaginez-vous ce que peut être un piratage à l’heure de l’Internet des objets : une webcam pour surveiller vos enfants qui s’éteint toute seule, une voiture automatisée qui ne s’arrête plus, des données médicales modifiées qui conduisent à un traitement inapproprié, un pacemaker ou une pompe à insuline qui se mettent à fonctionner anormalement… Ce ne sont plus uniquement nos comptes en banque ou notre vie privée qui sont menacés, c’est notre intégrité physique et celle de nos proches.

Certains prennent ces menaces très au sérieux. Par exemple l’ancien Vice-Président américain Dick Cheney est en effet allé jusqu’à se faire opérer pour retirer les possibilités de connexion sans fil de son Pacemaker, par crainte d’un piratage potentiellement mortel. Solution radicale mais qui a le mérite d’être efficace. La sécurité en ligne n’est plus uniquement une question d’argent ou de confidentialité. Avec l’explosion des objets connectés c’est maintenant une question qui va concerner nos proches, notre intimité, notre santé, notre vie quotidienne dans toutes nos activités.

La nature du risque a changé. Il y a encore quelques années, pour les consommateurs, les risques associés au monde digital étaient limités à cet objet encombrant posé sur leur bureau, l’ordinateur. On se protégeait de ces risques à l’aide d’antivirus, d’anti spam, de firewall….Aujourd’hui, le risque s’est déplacé vers le Cloud : nos données personnelles y sont stockées et c’est aussi par-là que des hackers peuvent prendre le contrôle des objets connectés. Le seul rempart qui protège nos données et nos objets dans le Cloud, ce sont nos mots de passe. Ne l’oublions pas ! (Par Emmanuel Schalit, CEO de Dashlane)

Pour une approche mixte de la protection des données contre les attaques DDoS à venir

Pour de nombreuses entreprises qui veulent mettre en œuvre une stratégie de défense anti-DDoS, se pose le dilemme d’une réelle efficacité : doivent-elles déployer des appliances sur site ou s’abonner à un service cloud anti-DDoS ? Cette décision ne peut pas être prise à la légère ni sans analyser le vaste champ des nouvelles menaces DDoS.

Les plus visibles sont les attaques volumétriques par force brute qui cherchent à saturer le réseau et perturber les services et les opérations, tandis que les attaques ‘low et slow’ qui s’en prennent à la couche applicative, sont plus difficiles à détecter. Quelle que soit la taille ou la complexité de l’attaque, l’arrêt de l’activité provoqué par un DDoS entraîne d’importantes baisses d’activité et des pertes de revenus. On estime qu’un incident peut coûter plusieurs centaines de milliers d’euros. Sans parler des conséquences et du nécessaire examen des faits pour déterminer quelles infractions ont eu lieu et comment gérer les dommages survenus auprès des clients.

Solution cloud anti-DDoS
Les attaques volumétriques massives se produisent quand l’agresseur sature la  bande passante du réseau en envoyant énormément de trafic. Les attaques par saturation sont largement médiatisées et le plus souvent associées à un DDoS,  car elles sont le plus évident et le plus manifeste exemple de ces vecteurs d’attaque de plus en plus subtils. Avec un service cloud de défense à la demande contre les DDoS qui se trouve hors site, l’intervention humaine joue un rôle-clé. Lorsqu’une attaque est détectée, le Responsable de la Sécurité doit prendre la décision d’activer la bascule vers le fournisseur Cloud de service anti-DDoS. Le temps moyen entre la détection et la mitigation d’une attaque est variable et peut atteindre une heure. Or, la majorité des attaques volumétriques consommant une grande quantité de bande passante ne dure pas plus d’une demi-heure : le temps que la défense à la demande se mette en place, l’attaque est terminée et le mal est fait.

De plus, avec une solution Cloud anti-DDoS hors site, la visibilité de l’attaque et l’analyse correspondante commencent seulement après que le trafic ait été re-routé vers le service de nettoyage, ce qui fournit très peu d’informations sur l’événement de sécurité. Certaines entreprises qui subissent des attaques volumétriques* à grande échelle, souscrivent à un service cloud anti-DDoS continu. Cette solution apporte évidemment plus de sécurité, mais elle génère des coûts très importants.

Défense sur site en temps réel
Les solutions de défense DDoS sur site, conçues à cet effet, sont des produits de sécurité des réseaux basés sur des appliances déployées entre Internet et le réseau de l’entreprise. Cette approche crée une première ligne de défense qui empêche les pannes de réseau et de service provoquées par les attaques DDoS. Comment ? En inspectant la fréquence du trafic de la ligne et en bloquant les attaques en temps réel, tout en laissant circuler les « bons » flux, sans les interrompre. La défense sur site a comme avantage de procurer une visibilité complète et sophistiquée, tout en fournissant les renseignements de sécurité sur l’attaque DDoS (et toutes les autres cyber-menaces) qui ciblent les services exposés à Internet.

Une fois connue la nature du déploiement, l’exécution de la politique de mitigation contre le trafic dû aux attaques doit être réalisée sans faux-positifs, avec un niveau de débit performant et une efficacité maximale en termes de sécurité. La technologie sur site est conçue pour gérer les attaques volumétriques du réseau par DDoS, de type SYN Flood, les attaques par réflexion et usurpation amplifiées** frauduleuses, utilisant par exemple les protocoles DNS et NTP ou les attaques de la couche applicative qui sont presque impossibles à détecter avec les solutions hors site de mitigation des attaques DDoS.

L’ approche mixte est sans doute la solution
Comme l’a mentionné récemment le SANS Institute, « des solutions anti-DDoS composées d’équipements sur site, d’équipements des fournisseurs d’accès à Internet et/ou d’architectures de mitigation sont près de quatre fois plus efficaces que les solutions sur site seules ou les solutions de services seuls. La sophistication croissante des attaques DDoS et le caractère sensible de la perturbation des services marchands exigent à la fois une protection locale et une protection en amont, travaillant en totale synchronisation « . L’expérience des entreprises qui ont mis en place avec leur fournisseur de service à la demande un système assis sur la visibilité des attaques apportée par les solutions sur site montrent toute la pertinence de cette analyse
Autre avantage d’une telle approche : le dispositif local réduit considérablement la fréquence de passage à la mitigation cloud, ce qui allège les coûts associés à ces basculements et fournit toujours une protection contre toutes les formes d’attaques par DDoS.

Cette nouvelle stratégie de lutte contre les DDoS fournit aux entreprises le meilleur des deux mondes, en combinant la résilience et la dimension des solutions du cloud computing avec la protection en temps réel, la visibilité sophistiquée et l’inspection granulaire du trafic des solutions sur site. Ce type d’approche constitue une véritable ligne de défense avancée contre la panoplie des menaces DDoS qui évoluent en permanence. (Par Adrian Bisaz, Vice President Sales EMEA de Corero Network Security))

*Les attaques à volume important représentent moins que 20% des attaques par déni de service. La plupart sont inférieures à la bande passante de l’accès.
**En quoi consiste une attaque par réflexion ? C’est une attaque où le pirate ment sur son adresse IP. Il envoie des paquets avec une adresse IP source qui n’est pas la sienne. Les réponses à ces paquets mensongers sont envoyées à l’adresse IP source indiquée, c’est-à-dire celle de la victime. Le trafic reçu par la victime peut être énorme en raison de l’amplification. Les attaques par déni de service par réflexion utilisent un protocole comme DNS ou NTP.

Phishing : quand le chiffrement s’invite dans les liens

Le phishing est une menace majeure, qui accroît de manière importante la méfiance d’un nombre croissant d’internautes dans leur utilisation d’Internet, notamment dans le cadre d’opérations sensibles telles que les opérations bancaires et le commerce électronique. Cette méfiance freine grandement le développement d’Internet en tant qu’espace de confiance et de sécurité. En réponse à ce problème, des efforts importants sont menés au quotidien par les principaux acteurs de l’écosystème numérique : généralisation des moyens de protection tant au niveau des messageries électroniques que des navigateurs, information et éducation des utilisateurs – menées en particulier par les marques dont la réputation est ternie par le phishing. Toutefois, en dépit de tous ces efforts, on constate une pérennisation – ainsi qu’une évolution – de cette menace.

En effet, d’une part, le spectre des marques concernées par le phishing s’est considérablement élargi. Il y a quelques années, un nombre relativement limité de marques était confronté à cette menace, au premier rang desquels on pourra citer PayPal, Apple ainsi que les grandes banques et les principaux services de messagerie. Dorénavant, tous les acteurs de l’écosystème numérique sont concernés : la totalité des banques – et même des banques de dimension régionale – les sites de commerce électronique, les services publics, les réseaux sociaux… Cet élargissement du spectre pose un nouveau défi, car d’une part cela rend la tâche de protection de l’utilisateur plus complexe, et d’autre part cela crée un climat d’insécurité numérique permanent.

D’autre part, on constate que les phishers utilisent des techniques de plus en plus sophistiquées pour contourner les mécanismes de filtrage mis en place pour protéger l’utilisateur. L’une de ces techniques consiste à encoder ou à chiffrer le contenu de la page, pour rendre son analyse par des systèmes automatisés plus complexe et plus coûteuse.

Par exemple, une proportion importante de pages de phishing ont leur contenu encodé en percent encoding : le contenu de la page est alors décodé à la volée en javascript par le navigateur du client par l’intermédiaire de la fonction unescape, ce qui n’affecte en rien l’expérience utilisateur. Le phishing est une menace particulièrement pernicieuse et par conséquent difficile à combattre, qui nécessite une vigilance de tous les instants. A ce titre, il est particulièrement important de continuer à informer et à éduquer les utilisateurs, car la réponse à cette menace ne peut pas être que technologique. En particulier, l’application de quelques règles simples permet de réduire considérablement les risques : l’utilisateur doit d’une part, toujours vérifier l’identité d’un site web dès lors que des informations critiques sont échangées, et d’autre part, s’assurer qu’une communication chiffrée est utilisée.

A noter que les acteurs du monde numérique collaborent pour lutter contre cette menace, avec des projets tels que APWG, Phishing Initiative ou encore isitphishing.org. Ce dernier permet d’ailleurs à l’utilisateur de s’assurer de l’innocuité d’une URL. (par Sébastien Goutal, Responsable du Laboratoire R&D de Vade Retro)

Revenus des pirates

Alors que la campagne d’espionnage hyper sophistiquée Regin continue de faire parler d’elle, le spécialiste en sécurité informatique Kaspersky Lab s’intéresse aux revenus générés par les cyber-attaques de façon générale. Il ressort sans surprise que les activités cyber criminelles sont très lucratives. Selon cet éditeur, DataSecurityBreach.fr rencontre d’autres moyennes de prix (+/- 25% de ceux annoncés par l’éditeur) une page web de phishing imitant un réseau social coûte en moyenne 150$. Si les criminels piègent 100 internautes, ils peuvent gagner 10 000$ en revendant les données personnelles obtenues. Un trojan qui bloque les appareils mobiles coûte plus cher à l’achat et la distribution, en moyenne 1 000$. Mais le retour sur investissement est très intéressant puisque les rançons demandées aux utilisateurs pour débloquer leur appareil mobile sont fixées entre 10$ et 200$. En touchant 100 victimes, le butin peut donc s’élever à 20 000$. Les trojans bancaires sont l’assurance de toucher le jackpot. En dépensant à peu près 3 000$ pour un exploit et une campagne de spams, les gains peuvent atteindre 72 000$ pour 100 victimes (la moyenne des pertes d’un utilisateur est de 722$).

Opération MouseTrap : 15 utilisateurs de RAT arrêtés

Cette semaine, Europol et plusieurs services de police et autorités judiciaires ont mené des actions contre des citoyens européens suspectés d’utiliser des chevaux de Troie (ou RAT) pour réaliser des activités cybercriminelles. Il s’agit principalement d’adolescents et de jeunes adultes. Cette action et les perquisitions associées ont permis l’interpellation ou l’audition d’une quinzaine de suspects dans plusieurs pays Européens.

Les individus interpellés ou interrogés, en Estonie, France, Roumanie, Lettonie, Italie, Norvège, Royaume-Uni, utilisaient de façon frauduleuse ces troyens d’administration à distance pour commettre différents types de délits dont le vol de données personnelles, des attaques en déni de service et des extorsions. Cette opération, pilotée par la France qui réalise six enquêtes dans le cadre de cette opération, prend place dans le cadre d’EMPACT – le plan multi-annuel d’action de l’Union européenne – en collaboration avec le Centre européen de lutte contre la cybercriminalité d’Europol (EC3) et les autorités européennes concernées. EC3 a apporté son soutien à sept pays dans leurs efforts pour identifier les individus utilisant de façon frauduleuse ce type de RATs, en hébergeant deux réunions de coordination, en collationnant le renseignement et en fournissant un appui en analyse criminelle.

 Un objectif important de cette action coordonnée au plan Européen est d’informer le public sur la menace posée par ce type de virus informatiques. Les exemples de ces RATs parmi les plus connus sont Blackshades, Poisonivy et DarkComet. Des actions similaires sont d’ores et déjà programmées au cours de l’année à venir.

Les chevaux de Troie ou troyens d’administration à distance (Remote access trojans – RATs) sont des codes informatiques qui sont utilisés pour espionner l’ordinateur des victimes (pour accéder à des informations personnelles, enregistrer l’activité à l’écran ou encore enregistrer l’image de la caméra ou le son du microphone intégrés ou connectés à l’ordinateur, collecter des mots de passe ou des numéros de cartes bancaires). Ces RATs frauduleux sont distincts des outils légitimes d’administration à distance (remote administration tools) qui sont par exemple souvent utilisés dans les réseaux d’entreprises pour assister les utilisateurs ou installer des logiciels à distance, avec le consentement et la connaissance de l’utilisateur légitime de la machine.

Ils sont souvent utilisés dans la réalisation des formes graves de criminalité organisé pour détourner des informations confidentielles des entreprises ou des réseaux des administrations, mais ils sont utilisés pour cibler des individus pour commettre différentes formes de fraude ou d’atteinte à la vie privée. Parfois, la motivation des délinquants est décrite comme un amusement ou une distraction consistant à s’immiscer dans la vie privée d’inconnus. Dans tous les cas, l’utilisation de ces RATs est une infraction dans la plupart des pays du Monde et en tous cas dans toute l’Europe (infractions d’accès illégal à un système de traitement automatisé de données, collecte illégale de données à caractère personnel ou d’atteintes à la vie privée). A titre d’exemple l’article 323-3-1 du code pénal français punit l’utilisation de ce type de virus informatiques de peines pouvant aller au maximum de 2 ans à 7 ans d’emprisonnement suivant les circonstances.

Detekt, le logiciel anti espion

Amnesty International a diffusé, ce 20 novembre, un outil permettant aux victimes d’espionnage de détecter les manœuvres de surveillance gouvernementales. L’utilisation et le commerce de technologies de surveillance des télécommunications se sont développés de manière exponentielle ces dernières années.

La Coalition contre l’exportation illégale de technologies de surveillance, dont Amnesty International est membre, estime que le commerce mondial des technologies de surveillance représente 4 milliards d’euros par an, et qu’il est en expansion. Detekt propose donc de voir si votre ordinateur, votre smartphone ou votre tablette sont surveillés. Le fonctionnement est assez simple. Plusieurs versions sont téléchargeables sur le site officiel de l’opération resistsurveillance.org. La version PC, par exemple, demande d’être exécutée en mode Administrateur, connexion web coupée. Attention, nous avons remarqué que les PC sous Windows 8.1 se retrouvaient avec un message d’alerte leur indiquant l’impossibilité d’utiliser Detekt.

1 – Télécharger Detekt
2 – Exécuter le logiciel en mode « Administrateur ».
3 – Choisissez la langue (le Français n’est pas présent).
4 – Cliquez sur le bouton « Scan ».
5 – Attendre entre 30 et 45 minutes.
6 – Découvrez si vous avez un espion dans votre machine.

Si un espion est découvert dans votre PC, dites vous qu’il est malheureusement trop tard. Nous ne pouvons que vous conseiller de changer d’ordinateur très rapidement. Ensuite, réfléchissez à comment le piège s’est installé dans votre machine (mail, liens, Facebook, Twitter clé USB, smartphone, baladeur mp3, …). Ne reconnectez plus cette machine au web. Bloquez son wifi/Bluetooth. Analysez les documents contenus dans la machine en question. Qu’est ce que le pirate/espion a pu intercepter, lire, copier, modifier. Alertez vos contacts. Il est préférable à ce niveau de crier au feu que d’attendre que tout le monde soit bruler pour s’inquiéter. N’hésitez surtout jamais à déposer plainte et alerter les autorités compétentes, surtout si vous êtes dans une entreprise.

Facebook sécurise WhatsApp à coup de chiffrement

L’outil de conversation WhatsApp chiffre dorénavant les messages diffusés par ses utilisateurs. Voilà une nouvelle qui a de quoi étonner. Non pas que Facebook soit considéré comme un pirate, mais plutôt comme un aspirateur de données.

WhatsApp, la messagerie rachetée par Facebook se lance dans la grande aventure du chiffrement qui transitent par ses bits. Facebook vient d’annoncer un chiffrement de bout-en-bout, comprenez que même Facebook ne possède pas les clés de lecture. Whisper Systems, développeur de TextSecure, considéré comme étant l’application de messagerie la plus sécurisée du moment, a aidé à la mise en place de cette protection qui doit permettre aux internautes de chiffrer leurs messages. Bilan, la derniére mise à jour de WhatsApp pour Android transporte cette sécurité. Les 600 millions d’utilisateurs de WhatsApp vont donc apprécier cette attention. Attention, elle ne chiffre que les messages textes.

TextSecure est une application de messagerie qui vous permet de vous réapproprier votre vie privée tout en communiquant facilement avec vos amis. Avec TextSecure, vous pouvez communiquer instantanément tout en évitant les frais de SMS, créer des groupes pour discuter en temps réel avec tous vos amis à la fois, et partager des pièces jointes, photos ou autres en toute confidentialité. Le serveur n’a jamais accès à vos communications et n’enregistre aucune donnée vous concernant. (The Verge)

 

Protéger votre wp-config.php de votre WordPress

Adrien Thierry, Gérant-Fondateur de la société française SERAUM vient d’éditer une petite option intéressante pour les utilisateurs de WordPress.

L’idée de l’application wp-obfuscator est de permettre de cacher un fichier sensible, le wp-config.php. L’application obfusque le contenu du document dédié à votre WordPress. Un fichier, malheureusement en texte clair. Dans les mains d’un malveillant, ce fichier pourrait permettre au pirate de récupérer suffisamment d’informations pour atteindre votre base de données. « Avec ce plugin, souligne à DataSecurityBreach.fr Adrien Thierry, en un clic, le wp-config.php est illisible, et le site toujours fonctionnel ». Ce nouveau plugin est hébergé sur le site de wordpress. Vous pouvez aussi installer directement cette option en vous rendant dans l’ongle Extension et chercheur dans le moteur de recherche dédié obfuscator d’Adrien Thierry.

Faille Windows Phone 8.1

Une faille considérée comme sérieuse découverte dans le plus jeune des OS de Microsoft, Windows Phone 8.1. Bilan, les données d’un téléphone portable sous cet OS pourraient finir entre de mauvaises mains.

Un internaute, du nom de DJAmol, vient d’annoncer sur le forum XSA Developers la découverte d’une faille dans le plus récent des OS de Microsoft. D’après ce chercheur, une vulnérabilité sérieuse a été mise à jour dans Windows Phone 8.1. Bilan, le système d’exploitation de la firme de Redmond serait très facile à pirater. La vulnérabilité pourrait permettre à un malveillant d’exécuter l’application avec les privilèges d’un autre utilisateur et modifier à souhait le registre de l’appareil.

DJAmol s’est rendu compte qu’en changeant simplement le contenu d’une application OEM, application de confiance transférée vers la carte SD du téléphone, l’application hérite des privilèges de l’application d’origine. Une fois la copie effectuée, un pirate pourrait alors supprimer le répertoire existant et créer un nouveau répertoire avec le même nom original de l’App de base. La vulnérabilité a été annoncée à Microsoft. (XDAD)

Une nouvelle histoire de hack du PSN de Sony ?

Un chercheur autrichien affirme qu’une nouvelle faille, grave, dans le PSN permet de mettre la main sur les données des utilisateurs des consoles de Sony.

Souvenez-vous, en 2011, des « Anonymous » annonçaient et diffusaient sur la toile, des informations concernant le piratage du Playstation Network. A l’époque, une faille iSQL (SQLi) avait permis de mettre la main sur la base de données des joueurs inscrits, 77 millions de personnes dans le monde. Sony avait été obligé de fermer son espace durant de longue journée, perdant au passage, plus de 100 millions de dollars. L’été dernier, un autre groupe s’attaquait à grands coups de DDoS au PSN pour des raisons futiles.

Trois ans plus tard, nouvelle possibilité d’injection SQL ? C’est du moins ce qu’affirme Aria Akhavan, bidouilleur de 20 ans. Il a expliqué au journal EH que la faille n’ayant pas encore été corrigée, il ne pouvait en dire plus. Espérons que son message a été entendu par Sony. C’est l’espace assistance de Sony qui serait vulnérable. Rappelons que Sony avait annoncé du chiffrement pour sécuriser les données de ses clients après les attaques de 2011. (Golem)

Une faille corrigée dans Windows, problème pour Drupal et Yosemite

Depuis 19 ans, une faille présente dans Windows n’avait jamais été corrigée. Voilà qui est dorénavant de l’histoire ancienne.

Imaginez, un bug informatique connu et présent dans Windows depuis 19 ans. Depuis Windows 95, cette « faille » permettait dans certaines mesures difficiles (mais pas impossibles, ndlr zataz.com) de prendre la main sur un ordinateur. Une attaque possible à distance. Baptisée par les ingénieurs sécurité de chez IBM, inventeurs de la faille, WinShock, l’exploit permettait d’infiltrer un ordinateur sous Windows (95, 98, 2003, 2008, Vista, 7, 8) à distance. Il suffisait de mettre en place un site Internet particulièrement fabriqué (XSS, …) pour déclencher l’attaque via Internet Explorer. Microsoft a corrigé la faille… sauf pour Windows XP dont le support n’existe plus. « Les utilisateurs qui ont paramétré leur Windows de telle manière à recevoir automatiquement les mises à jour, ne doivent rien faire de particulier. Ils seront protégés » explique le service presse de Microsoft.

Pour novembre, Microsoft a publié un Patch Tuesday conséquent, avec 17 bulletins dont 5 concernent l’exécution de codes à distance (RCE), un type de vulnérabilité dont les pirates sont particulièrement friands. À ce jour, avec ces 17 bulletins, Microsoft en aura diffusé 79 en tout pour 2014. Nous finirons donc l’année sous la barre des 100 bulletins de sécurité, soit un peu moins qu’en 2013 et 2011 et à peu près autant qu’en 2012.

Pendant ce temps…
Une grave et importante faille a été découverte dans Drupal. La communauté Drupal, et son logiciel Open Source gratuit pour créer et administrer des sites Web, annonçait l’existence d’une vulnérabilité dans la couche d’API d’abstraction de base de données de Drupal 7. Cette vulnérabilité (CVE associé : CVE-2014-3704) permet à un pirate d’envoyer des requêtes personnalisées qui rendent arbitraire l’exécution de SQL. Selon le contenu des requêtes, ceci peut entraîner une élévation des privilèges, une exécution arbitraire de PHP ou d’autres attaques. Ce que nous savons La vulnérabilité affecte toutes les principales versions 7.x de Drupal antérieures à la 7.32. Survenue au moment de l’annonce de POODLE, cette vulnérabilité a été un peu occultée, même si elle est directement exploitable et similaire à Heartbleed.

Depuis le 15 octobre 2014, les exploits automatisés ciblant cette vulnérabilité spécifique ont semé le chaos sur Internet. L’équipe chargée de la sécurité Drupal conseille aux administrateurs de sites Web fonctionnant sous Drupal 7.x de considérer comme compromis les sites qui n’ont pas été mis à jour ou patchés avant le 15 octobre 2014, ou bien 7 heures après la première annonce de la vulnérabilité. Corriger ou mettre à niveau un site Web compromis ne suffira pas pour supprimer les portes dérobées et autres chevaux de Troie qui auraient pu être installés.

La société Qualys propose une vérification de cette vulnérabilité via son logiciel Qualys Freescan, accessible depuis son site Internet dédié.

Du côté d’Apple, une faille a été détectée dans la dernière version de l’OS de la grosse pomme, Mac OS X Yosemite. Le problème a été révélée par la société suédoise Truesec. Baptisée ‘RootPipe’, la faille pourrait permettre à un pirate, en local, de prendre la main sur l’ordinateur en mode administrateur. Un mode qui permet de faire tout et n’importe quoi dans la machine. Emil Kvarnhammar, l’inventeur de la probable faille n’a pas donné plus d’information. Il attend qu’Apple corrige. Un mot de passe sudo, il permet d’avoir des privilèges temporaires de super utilisateur, est demandé afin q’un administrateur puisse agir sur une machine sans pour autant être le Kalif à la place du Kalif. La faille RootPipe contournerait cette restriction sous  Mac OS X Yosemite, mais aussi sous Mountain Lion et Mavericks.

Cyber sécurité et protection des données personnelles : en avant marche !

Deux jambes qui se doivent d’être coordonnées. Telles sont, d’un côté, la « cyber sécurité », et de l’autre la « protection des données personnelles ». Car si la liste des entreprises victimes de cyberattaques continue de s’allonger – Ebay, Orange et Domino’s Pizza ne sont qu’un échantillon des cibles atteintes en 2014 – il est évident que les moyens de lutte à privilégier doivent être aussi efficaces que respectueux, dans leur mise en œuvre, des règles en matière de protection des informations privées. Délicat équilibre.

Les autorités européennes ont déjà fait d’importants progrès en matière de cybercriminalité. Une  directive relative aux attaques contre les systèmes d’information a ainsi été adoptée en 2013, alors que des textes sur la protection du secret d’affaire, ainsi que sur l’identification électronique et les services de confiance pour les transactions électroniques ont été proposés au Parlement européen. Dernier en date : la directive sur la protection des systèmes d’information (NIS) – que la loi de programmation militaire française avait largement anticipée – a été adoptée en mars 2014. Les « opérateurs d’importance vitale » (IOV) se voient notamment imposer quelques obligations en matière de prévention et de notification des « incidents ».

Les solutions qui permettent de répondre de la manière la plus efficace possible à ces nouvelles obligations existent aussi. Certaines permettent ainsi de valider en quelques heures seulement la véracité d’un incident, d’identifier son origine, le chemin emprunté, l’agresseur et d’évaluer son impact… sachant qu’aujourd’hui le délai moyen actuel de découverte et d’identification d’une attaque se compte plutôt en semaines ou en mois ! Enfin, Bruxelles avance aussi sur la question des données personnelles – les discussions sur la directive dédiée devraient ainsi aboutir en 2015.

Reste que la coordination entre les deux jambes pourrait être améliorée. Le fait par exemple qu’il faille encourager le chiffrage des données pour sécuriser les informations personnelles, comme le recommande l’Agence Européenne de Cybersécurité ENISA, est incontestable. Mais les flux chiffrés sont aussi des voies d’accès privilégiées… pour les pirates. Quelles sont alors les conditions que les entreprises et organisations doivent respecter pour utiliser des outils de déchiffrage tout en respectant les impératifs en matière de protection des données personnelles ? A ce jour, aucun texte public – loi, règlement ou simple communication des autorités – ne répond clairement à la question. Rien non plus sur les règles internes à mettre en place pour utiliser des solutions d’enregistrement des données – qui permettent de « rembobiner le film » en cas d’attaque et donc d’identifier rapidement l’agresseur- tout en respectant les impératifs de protection des informations des individus. Résultat : certaines entreprises et organisations hésitent à se protéger…

Clarifier les conditions de mise en œuvre des solutions efficaces en matière de cybersécurité. Telle pourrait être une des priorités des nouvelles instances européennes. Pour faire de plus grands pas.(Par Dominique Loiselet, Directeur Général France Blue Coat)

Le paradoxe de la sécurité

Les salariés adoptent des pratiques à risques, alors qu’ils s’estiment sensibilisés sur la sécurisation des données.

Près de 3/4 des actifs interrogés se considèrent bien sensibilisés à la protection des données professionnelles, pourtant une majorité d’entre eux ont toujours des pratiques risquées. Les techniques de protection sophistiquées (changement de mot de passe régulier, système de cryptage des données) ne concernent qu’une moitié des actifs interrogés équipés d’un appareil mobile et seulement 30% disposent de ce type de protection sur l’ensemble de ces appareils fournis par leur entreprise. Le partage de fichiers en ligne via un service de cloud n’est pas jugé dangereux par la majorité des répondants (54%). Bien que les mots de passe soient imposés dans la majorité des entreprises (9/10), on observe de grandes disparités quant à leur élaboration et leur mise à jour, 63% laissent leur ordinateur allumé lorsqu’ils quittent le bureau en fin de journée ou ne le verrouillent pas en quittant leur poste.

De nombreuses études confirment l’influence des appareils mobiles sur le rétrécissement des frontières entre les sphères professionnelles et personnelles. Mais qu’en est-il de leur impact sur la sécurité des données des entreprises ? Les salariés sont-ils suffisamment sensibilisés sur les risques inhérents à ces nouveaux usages et mettent-ils en pratique les règles de sécurité ? Hiscox, en collaboration avec l’institut IFOP, s’est penché sur le sujet et les résultats de cette étude illustrent un important décalage entre le sentiment de connaître les consignes de sécurité et des pratiques à risques largement répandues dans les entreprises.

Des pratiques jugées sans risque par les salariés, mais qui exposent la sécurité de l’entreprise
72% des actifs interrogés se considèrent bien sensibilisés quant à la nécessité de protéger les données professionnelles. Ces actifs sont pourtant les mêmes à adopter des pratiques qui peuvent s’avérer dangereuses pour les données de l’entreprise. Les salariés équipés d’au moins un appareil mobile professionnel sont les plus concernés par ces pratiques risquées puisqu’ils sont 77% à déclarer transporter des fichiers professionnels sur une clé USB ou un disque dur externe (contre 63% pour l’ensemble du panel) et la moitié (53%) partage des fichiers en ligne via un service de cloud (contre 39% pour l’ensemble du panel).

Ces usages ne sont pourtant pas jugés risqués par les répondants : en effet, 54% estiment que le partage de fichiers via le cloud n’a pas d’incidence sur la sécurité et 57% ne voient aucun danger à transporter des données professionnelles sur une clé USB. De même, 63% des actifs laissent leur ordinateur allumé lorsqu’ils quittent le bureau ou ne le verrouillent pas en quittant leur poste. Moins de la moitié seulement perçoit cette pratique comme potentiellement imprudente.

Les petites entreprises plus vulnérables… Et friandes de solutions mobiles
Les salariés des petites entreprises (0 à 49 employés) font partie des publics qui identifient le moins ces pratiques comme pouvant mettre en péril la sécurité des données des entreprises. Des attitudes pourtant risquées quand on sait que les travailleurs « mobiles » et les salariés des très petites entreprises (moins de 10 salariés) sont également ceux disposant de la plus grande latitude en termes d’achats et d’opérations bancaires impliquant l’entreprise. 65% des employés travaillant dans des structures de moins de 10 salariés sont en effet amenés à effectuer des achats en ligne à titre professionnel contre 46% pour l’ensemble des actifs interrogés.

L’utilisation des appareils professionnels dans la sphère personnelle est un autre vecteur de menace pour la sécurité des données des entreprises. Les salariés des petites structures (moins de 10 employés) sont les mieux équipés en appareils mobiles. Ils font aussi partie de ceux  qui utilisent le plus leur matériel professionnel à titre personnel. 82% des salariés de ces entreprises se connectent à Internet au moins une fois par semaine pour des raisons personnelles à partir de leur appareil professionnel (contre 72% de l’ensemble des actifs).

Des usages qui pèsent d’autant plus sur la sécurité de ces entreprises qu’elles ne disposent pas de services informatiques ou de services généraux pour assurer le contrôle et la gestion des appareils mobiles.

Des disparités dans la mise en place des techniques de sécurisation
Pour se prémunir des risques auxquels elles sont exposées et assurer la protection de leurs ordinateurs fixes, 9 entreprises sur 10 s’appuient sur la mise en place d’un mot de passe. Cependant, la fréquence de mise à jour exigée n’est pas la même partout. Seuls 18% des actifs doivent changer leur mot de passe tous les mois quand 34% déclarent devoir le changer moins de 2 fois par an. Une disparité également observée dans son élaboration : 62% des entreprises imposent un nombre minimum de caractères, 56% demandent à leurs salariés de choisir un mot de passe incluant des chiffres et des caractères spéciaux et 57% interdisent de réutiliser un ancien mot de passe. De manière globale, 70% des entreprises imposent au moins une règle à leurs salariés pour le choix du mot de passe mais cette proportion chute à 51% dans les structures de moins de 10 salariés.

Parmi les autres techniques, 35% des actifs interrogés déclarent disposer d’outils de cryptage des données mais 22% ne savent pas s’ils peuvent bénéficier de cette technique dans leur entreprise. De même, si les accès au réseau sont contrôlés dans 61% des entreprises, 16% des actifs ne connaissent pas la politique utilisée par leur entreprise dans ce domaine.

Sur les appareils mobiles, le mot de passe est également le mode de protection le plus répandu. Il concerne en effet 81% des actifs disposant d’appareils mobiles. Les techniques plus sophistiquées (changement de mot de passe tous les 3 mois, système de contrôle d’accès renforcé de type Token, données cryptées non accessibles) ne concernent qu’une moitié des actifs interrogés équipés d’un appareil mobile et seulement 30% disposent de ce type de protection sur l’ensemble des appareils que leur fournit leur entreprise.

Au delà de revoir leur méthode de sensibilisation des salariés aux risques informatiques, les entreprises doivent également faire évoluer leurs dispositifs techniques de sécurité pour les adapter aux nouveaux usages.

« L’explosion des appareils et solutions mobiles dans les entreprises soulève plus que jamais des problématiques de sécurité importantes. La mesure préventive la moins onéreuse consiste à sensibiliser le personnel à l’importance de la sécurité des données. Les connaissances en la matière sont souvent limitées, surtout dans les petites entreprises, et le recours à un expert pour en expliquer les bases peut représenter l’un des meilleurs investissements d’une entreprise » conseille François Brisson, Responsable marché Technologie-Média-Télécom chez Hiscox. « Néanmoins en cas de problème, les sociétés doivent disposer d’un plan de réaction rapide afin de limiter les dommages et de prouver qu’elles prennent toutes les mesures nécessaires. Dans ce cadre, elles sontparfois amenées à faire appel à des spécialistes en gestion de crise, voire à des conseillers en relations publiques. Notre assurance Data Risks permet de couvrir ces coûts et de réduire les conséquences d’une violation de données ».

Code malveillant dans les caisses enregistreuses

Alors que la chaîne américaine de magasins The Home Depot vient d’annoncer le vol de 53 millions d’adresses emails de clients* (en plus des 56 millions de données de cartes bancaires déjà déclarés en septembre), le G DATA SecurityLabs a découvert une nouvelle variante de FrameworkPOS, le code ayant ciblé cette entreprise. Nouveauté de ce code : il exfiltre les données volées par requêtes DNS (Domain Name System).

Cette analyse montre comment les cyber criminels travaillent à l’heure actuelle. La variante découverte envoie les données extraites via des requêtes DNS, ce qui est une technique très aboutie. Pour détecter ce type d’attaque, G Data conseille aux entreprises équipées de systèmes d’encaissement de mettre en place un système de DNS passif. Une analyse des requêtes facilite la détection de ce type d’attaque.

Qu’est-ce qu’un système PoS ?
Un système PoS (Point of Sales en anglais – Point de Vente en français) se compose en règle générale d’une caisse enregistreuse et d’un appareil pour lire les cartes de crédit. L’appareil POS enregistre les ventes des clients mais pas uniquement. Il sert également à l’inventaire, aux entrées et sorties de stocks.

Qu’est-ce qu’un DNS?
DNS signifie “Domain Name System”. Il s’agit du carnet d’adresse Internet. L’adresse d’un site internet est traduite en une adresse technique utilisant le système DNS. Il s’agit d’une combinaison de numéros appelée adresse IP (par exemple : 208.80.154.224). Un DNS passif est un système qui enregistre les requêtes DNS dans une base de données. Ainsi, on peut observer quelle valeur (adresse IP) un domaine a (ou inversement, quel nom/domaine est lié à telle adresse IP). (G Data)

* Le communiqué de presse de The Home Depot.

* ZATAZ Web TV du 09 novembre revient sur cette attaque informatique pas comme les autres.

Attaques à l’encontre de serveurs SMTP

Depuis plusieurs jours, des pirates s’attaquent à certains serveurs SMTP avec la faille de sécurité Shellshock. Le mystére le plus complet plane sur cette attaque informatique.

Le CERT Renater, en charge de la sécurité informatique des établissements scolaires et universitaires s’est inquiété, le 4 novembre dernier, d’une mystérieuse attaque numérique visant des serveurs SMTP vulnérables à la faille Shellshock (Bash). L’objectif serait d’intégrer les serveurs faillibles à un réseau de botnet.

Un bot IRC écrit en PERL serait installé dans les serveurs piégés. Le CERT Renater indique que la France serait visée par ces tentatives d’infiltrations. La charge d’attaque est dissimulée dans des champs d’entête de courriers électroniques spécialement formatés (To, From, CC, Subject, Date, Comments, Keywords, Resent-Date, Resent-From, Message-ID, …). Les méthodes curl, wget, fetch sont invoquées pour récupérer le bot IRC via l’ip 178.254.31.165. « On ne trouve pas d’information pour l’instant sur la porte d’entrée recherchée par les attaquants » souligne le CERT. Le serveur SMTP sur lequel ce type d’attaque pourrait fonctionner reste un mystère. (Binary Defense)

 

Piratage de carte bancaire NFC

Intercepter les données d’une carte bancaire NFC, de la science fiction indique les lobbyistes des banques ? Un Français avait expliqué les dangers du NFC. Des chercheurs britanniques démontrent comment voler de l’argent risque de devenir un jeu d’enfant.

Les cartes sans contact permettent d’acheter des biens sans taper le moindre mot de passe. Il suffit juste de passer la carte à quelques centimètres d’un lecteur dédié pour payer (moins de 20€). Des cartes bancaires qui « balancent » dans les airs, via des ondes radios, données bancaires et validation de la transaction.

En France, Renaud Lifchitz, chercheur en sécurité informatique français mondialement connu et reconnu, avait mis à mal la sécurité du sans fil de nos CB. Depuis peu, une équipe de l’Université de Newcastle, au Royaume-Unis, a mis à jour une faille de sécurité considérée comme grave dans le système sans contact.

Lors de la conférence ACM (Conference on Computer and Communications Security) les ingénieurs ont expliqué comment il est facile de mettre en place un faux terminal de point de vente à partir d’un téléphone mobile (un concept qu’avait déjà démontré Renaud Lifchitz). A partir de ce « point de vente », les chercheurs ont montré qu’il était possible de créer une opération financiére pouvant atteindre 999,999.99 dollars, soit bien loin des 20€ normalement autorisés. « Il a fallu moins d’une seconde pour que la transaction soit approuvée » explique l’équipe britannique.

Pour contrer ce genre d’attaque, nous vous conseillons fortement de vous équiper d’un espace de protection que vous installez dans votre porte-feuille. La société Stop-RFID.fr propose plusieurs solutions de sécurisation physique de votre CB.

Visa, montré du doigt dans cette alerte, indique de son côté qu’il n’y a aucune cause d’inquiétude. « Nous avons examiné les conclusions de Newcastle dans le cadre de nos efforts constants sur la sécurité et la fraude des paiements. Les chercheurs ne tiennent pas compte des nombreuses mesures de protection mises en place par Visa« . Pour Visa, cette attaque ne fonctionne qu’en laboratoire, pas dans la vraie vie. (BBC)

Faille pour les Linksys SMART WiFi

Les routeurs wifi Linksys SMART victimes de plusieurs failles qui pourraient permettre à un pirate de s’inviter dans les informations sensibles des boitiers.

Kyle Lovett, chercheur en sécurité informatique, a mis la main sur plusieurs failles ont été découvertes dans les routeurs de la marque Linksys. Le firmware des routeurs sont montrés du doigt. Un pirate, à distance,  peut être en mesure de lire ou de modifier les informations sensibles contenus dans les boitiers. Les linksys sensibles font parti de la gamme des EA. Les versions 2700, 3500, 4200v2, 4500, 6200, 6300, 6400, 6500, 6700 et 6900 sont faillibles.

Le problème a été découvert en juillet 2014. L’alerte officielle a été diffusée fin octobre par le KB Cert. Un attaquant non authentifié sur le réseau local (LAN) peut lire le fichier .htpassword du routeur en lançant la simple commande http://<router_ip>/.htpasswd. Le fichier .htpasswd contient le mot de passe de l’administrateur, chiffré en MD5. Même sanction pour les JNAP http://<router_ip>/JNAP/.

Une commande qui, dans certaines mesures, permet de lire et/ou modifier les informations sensibles sauvegardés sur le routeur. Deux ports ouverts ouvrent l’administration du routeur sans avoir besoin d’être authentifié : 100080 et 52000. LinkSys vient de diffuser une mise à jour qui est fortement conseillé d’installer. (nvd.nist.gov)

http://support.linksys.com/en-us/support/routers/E4200
http://support.linksys.com/en-us/support/routers/EA4500
http://support.linksys.com/en-us/support/routers/EA6200
http://support.linksys.com/en-us/support/routers/EA6300
http://support.linksys.com/en-us/support/routers/EA6400
http://support.linksys.com/en-us/support/routers/EA6500
http://support.linksys.com/en-us/support/routers/EA6700
http://support.linksys.com/en-us/support/routers/EA6900

Pendant ce temps…
Pensez aussi à protéger votre LinkSys des attaques du virus Moon. Ce malware « La Lune » a affecté certains Routeurs sélectionnés et anciens de série E de Linksys, et sélectionnés certains anciens points d’accès et routeurs Sans fil-N. Un correctif de micrologiciel est prévu au cours des prochaines semaines. Le malware The Moon contourne l’authentification sur le routeur en se connectant sans connaître les références de l’administrateur. Une fois infecté, le routeur commence à inonder le réseau avec des ports 80 et 8080 du trafic sortant. Bilan, ça rame ! Pour vous protéger, sélectionnez l’option « disabled » dans la partie Remote Managament Access dans votre administration de votre routeur. Assurez-vous aussi que l’option de Filter Anonymous Internet Requests sous Internet Filter est coché.

Se protéger des attaques DDoS

Les organisations doivent arrêter de compter sur leurs fournisseurs de services Internet pour les protéger des attaques DDoS et doivent prendre les choses en main. (Par Christophe Auberger, Directeur Technique France chez Fortinet pour datasecuritybreach.fr)

Les attaques par Déni de Services Distribués (DDoS) sont l’une des menaces Internet les plus anciennes et continuent d’être le principal risque pour les réseaux à travers le monde. En même temps que les protections ont évolué, la technologie utilisée par les hackers s’est adaptée et est devenue beaucoup plus sophistiquée. De nouveaux types d’attaques ciblent désormais les applications et services, et sont souvent cachées dans les couches 3 et 4, ce qui les rend difficilement détectables.

En matière d’attaques DDoS, le secteur financier est l’une des cibles privilégiées des cybercriminels, suivie de près par le secteur public. Outre le fait de perturber les opérations Internet par un assaut brutal de données, les attaques DDoS ont récemment été utilisées pour recueillir des informations financières et relatives au commerce en ligne. Ces attaques ont souvent pour objectif de perturber les opérations, principalement en détruisant l’accès à l’information.

Il y a généralement trois catégories de motivations derrière les attaques DDoS: politique, de représaille et financière. Les attaquants politiques ciblent ceux qui ne sont pas d’accords avec leurs convictions politiques, sociales ou religieuses. Lorsqu’un botnet ou un important réseau cybercriminel est démantelé, cela peut déclencher des attaques de représailles contre ceux qui ont aidé ou assisté les autorités. Les attaques motivées par l’argent suivent un schéma « pay-to-play » dans lequel les hackers sont compensés par une tierce partie qui leur demande de mener l’attaque pour elle. Quelle que soit la motivation, le résultat est le même – votre réseau et services en ligne deviennent indisponibles, et peuvent rester ainsi pendant un long moment.

Méfiez-vous des attaques DDoS avancées visant la couche applicative
Il existe de nombreux types d’attaques DDoS largement utilisés aujourd’hui, allant des anciennes méthodes des débuts de l’Internet aux dernières attaques avancées visant la couche 7 et ciblant les applications. L’inondation de requêtes SYN et HTTP GET sont les plus communes et utilisées pour surcharger les connexions réseau ou les serveurs derrière les pare-feux et système de prévention d’intrusion (IPS).

Toutefois, le plus inquiétant est que les attaques visant la couche applicative utilisent des mécanismes beaucoup plus sophistiqués pour attaquer les services et réseau des organisations. Plutôt que d’inonder simplement un réseau avec du trafic ou des sessions, ces types d’attaques ciblent des services et applications spécifiques pour épuiser lentement les ressources au niveau de l’application (couche 7).

Les attaques visant la couche applicative peuvent être très efficaces en utilisant peu de volumes de trafic, et peuvent être considérer comme tout à fait normales par la plupart des méthodes de détection DDoS traditionnelles. Cela rend les attaques visant la couche applicative beaucoup plus difficiles à détecter que les autres types d’attaques DDoS basiques.

Les options en matière de protection DDoS
La plupart des FAI offrent une protection DDoS des couches 3 et 4 pour empêcher les liens des organisations d’être inonder lors d’attaques volumétriques de masse. Cependant, ils n’ont pas la capacité de détecter les plus petites attaques visant la couche 7. Ainsi, les centres de données ne devraient pas uniquement compter sur leur FAI pour bénéficier d’une solution complète DDoS, dont la protection de la couche applicative. Au lieu de cela, ils devraient envisager de mettre en place une des mesures suivantes:

1. Les fournisseurs de services DDoS: Il existe beaucoup de solutions hébergées DDoS basées sur le cloud qui fournissent des services de protection des couches 3, 4 et 7. Elles vont des projets peu couteux pour les petits sites Web jusqu’à ceux pour les grandes entreprises qui requièrent la couverture de plusieurs sites Web. Elles sont en général très faciles à mettre en place et fortement poussées auprès des petites et moyennes entreprises. La plupart offre des options de tarification personnalisée et beaucoup ont des services de détection avancée de la couche 7 à disposition des grandes organisations qui nécessitent que des capteurs soient installés dans le centre de données. Beaucoup d’entreprises choisissent cette option, mais certaines d’entre elles doivent faire face à des frais excédentaires importants et imprévus lorsqu’elles sont frappées par des attaques DDoS en masse. Par ailleurs, la performance n’est parfois pas à la hauteur car les fournisseurs de services redirigent le trafic DDoS vers les centres de protection au lieu de les stopper en temps réel, ce qui est particulièrement problématique pour les attaques de courte durée, qui sont celles généralement rencontrées.

2. Pare-feu ou IPS: Presque tous les pare-feux et système de prévention d’intrusion (IPS) modernes revendiquent un certain niveau de défense DDoS. Les pare-feux nouvelles générations avancés  (NGFW) offrent des services DDoS et IPS et peuvent protéger de nombreuses attaques DDoS. Avoir un dispositif pour le pare-feu, IPS et DDoS est plus facile à gérer, mais peut être submergé par des attaques volumétriques DDoS, et peut ne pas avoir les mécanismes sophistiqués de détection pour la couche 7 que d’autres solutions ont. Un autre compromis à prendre en compte est que l’activation de la protection DDoS sur le pare-feu ou l’IPS peut impacter la performance globale du seul dispositif, entrainant des débits réduits et une augmentation de la latence pour les utilisateurs finaux.

3. Appliances dédiées à la protection d’attaques DDoS: Ce sont des dispositifs matériels qui sont déployés dans un centre de données et utilisés pour détecter et stopper les attaques DDoS basiques (couche 3 et 4) et avancées (couche 7). Déployées au point d’entrée principal pour tout le trafic Web, elles peuvent à la fois bloquer les attaques volumétriques en masse et surveiller tout le trafic entrant et sortant du réseau afin de détecter les comportements suspects des menaces visant la couche 7. En utilisant un dispositif dédié, les dépenses sont prévisibles car le coût est fixé quelque soit la fréquence des attaques, que l’entreprise soit attaquée une fois en six mois ou tous les jours. Les aspects négatifs de cette option sont que ces dispositifs sont des pièces matérielles supplémentaires à gérer, que les unités à faible bande passante peuvent être submergées lors d’attaques volumétriques en masse, et que de nombreux fabricants nécessitent des mises à jour fréquentes en matière de signatures.

Les solutions matérielles dédiées de protection des attaques DDoS existent en deux versions principales – celle pour les opérateurs télécoms et celles pour les entreprises. Les premières sont des solutions complètes conçues pour les réseaux mondiaux des FAI et sont très couteuses. La plupart des organisations qui veulent protéger leurs centres de données privés optent habituellement pour les modèles entreprises qui offrent une détection et protection DDoS rentable. Les modèles d’aujourd’hui peuvent gérer des attaques volumétriques en masse et assurer une protection à 100% des couches 3, 4 et 7 ou peuvent être utilisés pour compléter une protection fournie par le FAI contre les attaques DDoS en masse et assurer une détection et protection avancées de la couche 7. Bien que ces dispositifs nécessitent un investissement initial, ce qui n’est pas le cas des solutions hébergées, ils sont généralement beaucoup moins chers à long terme si l’on prend en compte les frais excédentaires dans le budget total.

Les entreprises devraient considérer des appliances de protection d’attaques DDoS qui utilisent des méthodes d’adaptation basées sur le comportement pour identifier les menaces. Ces appliances apprennent les bases de référence de l’activité normale des applications et ensuite surveillent leurs trafics par rapport à ces bases. Cette approche d’adaptation/d’apprentissage a l’avantage de protéger les utilisateurs des attaques zero-days inconnues puisque que le dispositif n’a pas besoin d’attendre que les fichiers signatures soient mis à jour.

Les attaques DDoS sont en hausse pour presque toutes les organisations, grandes ou petites. Les menaces potentielles et volumes augmentent à mesure que de plus en plus d’appareils, y compris les téléphones mobiles, accèdent à Internet. Si votre organisation a une propriété Web, la probabilité de subir une attaque n’a jamais été aussi élevée. La nature évolutive des attaques DDoS signifie que les entreprises ne peuvent plus compter uniquement sur leur FAI pour se protéger. Les organisations doivent commencer à effectuer des changements dès à présent pour une plus grande prévoyance et bénéficier de défenses plus proactives pour les services au niveau des applications et du réseau.

Avast présente sa solution de sécurité du réseau domestique

Avast 2015 repère les routeurs domestiques vulnérables pouvant être à l’origine d’usurpations d’identité et de failles de confidentialité.

Avast Software, fabricant de solutions de sécurité parmi les plus réputées, vient d’annoncer aujourd’hui la sortie de la solution de sécurité Avast 2015 sur PC et Mac, pour le plus grand bonheur de ses 175 millions d’utilisateurs dans le monde. Disponible en plusieurs versions, gratuite et payantes, voici le seul outil de sécurité du réseau domestique spécialement conçu pour répondre aux menaces réelles qui pèsent sur les réseaux domestiques détournés. Améliorations et fonctions inédites sont au programme de cette nouvelle version. Prévention contre la redirection DNS, analyse HTTPS, réduction des messages et des fenêtres intempestives au sein des produits, allègement de l’expérience utilisateur, accélération des procédures de mises à jour logicielles… les performances du logiciel de sécurité le plus populaire au monde passent ainsi à la vitesse supérieure pour une confidentialité et une sécurité renforcées.

« Les risques liés à la sécurité ne concernent plus uniquement les ordinateurs mais bel et bien les réseaux domestiques dans leur ensemble. En effet, les temps ont changé. Aujourd’hui, un nombre incalculable d’appareils les utilisent pour accéder à Internet, ce qui entraîne une explosion des risques. On constate donc que les réseaux domestiques sont devenus le centre névralgique des opérations informatiques. » a déclaré Vince Steckler, Directeur général d’Avast, à DataSecurityBreach.fr. « D’après nos enquêtes, des mots de passe banals, facilement détournables, offrent une protection précaire contre le piratage. C’est le cas pour près de 80 % des routeurs domestiques utilisés aujourd’hui.  Avast 2015 se propose de déjouer ces failles à grand renfort de fonctions inédites. »

Sécurité du réseau domestique en exclusivité mondiale
Tous les produits Avast 2015 incluent l’édition gratuite d’Avast Sécurité du réseau domestique qui permet d’analyser en un seul clic le réseau et d’anticiper les problèmes de sécurité potentiels avant qu’ils ne se transforment en de réels dangers. Avast détecte les réseaux Wi-Fi configurés de manière incorrecte, les routeurs dont le niveau de protection du mot de passe est faible voire inexistant, les routeurs Internet accessibles et vulnérables, les connexions Internet suspectes et les protocoles IPv6 activés sans protection.

La redirection DNS compte parmi les plus grands dangers auxquels les utilisateurs de routeurs vulnérables sont confrontés. Avast DNS sécurisé chiffre le trafic Internet entre les appareils protégés par Avast et le serveur DNS d’Avast et empêche la redirection des utilisateurs vers des sites détournés. L’analyse HTTPS, quant à elle, scanne les sites qui utilisent le protocole HTTPS afin de déceler la présence éventuelle de programmes malveillants ou de menaces. Cette fonction fait partie des composants de la technologie robuste Agent Web d’Avast. Enfin, la nouvelle fonction SmartScan permet aux utilisateurs de détecter en un seul clic les menaces, mises à jour logicielles, problèmes de réseaux et de sécurité qui peuvent peser sur leurs systèmes.

Expérience utilisateur et la protection
Parmi les avancées majeures, on peut citer la refonte de l’interface utilisateur qui se traduit par un confort d’utilisation accru, une navigation beaucoup plus intuitive et une prise en main plus accessible. Les utilisateurs ont désormais la possibilité d’activer ou de désactiver les fonctions et les outils de leur choix en un seul clic.

Les mises à jour des produits et des logiciels tiers se font plus rapidement. Il est plus aisé pour les utilisateurs de conserver leur système à jour, ce qui permet de renforcer leur sécurité. En outre, le nouveau système d’assistance en ligne gagne en visibilité. En clair, les utilisateurs mettent nettement moins de temps à accéder à l’aide dont ils ont besoin.

Avast 2015 a également donné naissance à une nouvelle fonctionnalité baptisée « Avast Rewards ». Conçue pour rendre les fonctions de sécurité d’Avast plus conviviales et interactives, elle récompense les utilisateurs sous forme de points Karma et de badges, à mesure qu’ils prennent leur protection en main.

Le renforcement de la protection s’illustre aussi dans l’ajout d’un « sas » de virtualisation matérielle. Concrètement, une zone de test virtuelle est mise en place pour analyser automatiquement les éléments suspects avant leur entrée sur le réseau. La détection LPI (logiciels potentiellement indésirables) identifie les programmes que les utilisateurs ont pu installer par inadvertance. Ils sont alors invités à supprimer ces logiciels et bénéficient ainsi d’une nouvelle dimension de la performance.

Dédiée au grand public, la solution Avast 2015 pour PC se décline en quatre versions : Avast Antivirus Gratuit, Avast Pro Antivirus, Avast Internet Security et Avast Premier, localisées en 45 langues. Il faudra patienter jusqu’à l’hiver 2015 pour profiter de la gratuité d’Avast Mac Security, de sa fonction d’analyse Sécurité du réseau domestique et de l’outil DNS sécurisé. Avast ne met donc aucune entreprise ni aucun utilisateur nomade sur la touche en leur offrant un niveau de protection informatique inégalable sur le marché.

Les entreprises privilégient la performance, à la sécurité de leur réseau !

Les administrateurs système avouent désactiver leur firewall pour répondre à la problématique d’une performance applicative insuffisante

McAfee, filiale d’Intel Security, annonce la publication d’un nouveau rapport intitulé ‘Network Performance and Security’. Ce dernier met en évidence les défis auxquels les entreprises sont confrontées lors du déploiement de solutions de protection afin de maintenir une performance optimale de leur infrastructure réseau. Présenté lors de l’événement FOCUS 14 de McAfee, le rapport révèle que plus de la moitié des entreprises désactivent les fonctionnalités de leur firewall (54 %) afin d’éviter une dégradation significative de la performance de leur réseau.

Plus de 500 DSI ont été interrogés dans le cadre de ce rapport et 60 % d’entre eux avouent que la conception de leur réseau a été gouvernée par la sécurité. Paradoxalement, plus d’un tiers ont également admis avoir déjà suspendu certaines options de leur firewall ou refuser la mise en œuvre de certaines fonctionnalités de sécurité juste pour augmenter la performance de leur réseau.

« Il est regrettable que la désactivation d’importantes propriétés de pare-feu commence à devenir une pratique courante en raison de problèmes de performance », déclare à Data Security Breach Thierry Bedos, Managing Director France de McAfee, filiale d’Intel Security. « Chez McAfee, nous trouvons cela inadmissible et estimons que les entreprises ne devraient tout simplement pas à avoir à choisir entre sécurité et performance réseau. »

Selon le rapport, les fonctionnalités les plus couramment désactivées par les administrateurs réseau sont l’analyse en profondeur de paquets (DPI), l’anti-spam (29 %), l’anti-virus (28 %) et l’accès au VPN (28 %). Le DPI, option la plus souvent désactivée (31 %), assure la détection d’activité malveillante dans le réseau et prévient des intrusions en bloquant le trafic visé avant que des dommages se produisent. Il est une composante essentielle d’une défense efficace contre les menaces, ainsi qu’un élément clé des firewalls de prochaines générations, qui représentent aujourd’hui 70 % des achats de pare-feu1.

« Quand j’entends que les directeurs de systèmes d’information sont contraint de suspendre partiellement leur système de sécurité, qu’ils ont payé, en raison de baisse de performance réseau, cela me dérange », commente Ray Murer, Chief Technology Officer – Perket Technologies à datasecuritybreach.fr. « Pourquoi devraient-ils négliger la sécurité au nom de la performance ? »

De nombreuses entreprises choisissent d’arrêter leur DPI en raison des exigences de débit élevé qu’il impose aux ressources réseau. Selon le cabinet d’études Miercom, un DPI pourrait dégrader jusqu’à 40 % les performances de débit d’une entreprise2, en fonction de la solution en place. D’après les tests réalisés par Miercom, McAfee Next Generation Firewall est compatible avec une activation de l’ensemble des fonctionnalités de sécurité et permet ainsi de favoriser et de maintenir une performance haut débit optimale. Les autres produits du marché testés présenteraient 75 %, voire plus, de dégradation des performances des outils de sécurité (DPI, anti-virus et contrôle applicatif)2.

« Avec le nombre de violations de données identifiées, en augmentation de plus de 200 % par rapport à l’année précédente, il n’a jamais été autant capital pour les entreprises d’adopter les mesures de protection avancées proposées aujourd’hui par les firewalls de nouvelle génération3 », poursuit Thierry Bedos. « Chez McAfee, nous souhaitons faciliter le déploiement et l’usage de technologies de sécurité, à leur potentiel maximal, pour éviter aux entreprises de sacrifier leur productivité. »

[1]  Gartner finding cited in “Next Generation Firewalls and Employee Privacy in the Global Enterprise,” SANS Institute, September 21, 2014.

[2] “Throughput and Scalability Report, McAfee NGFW 5206, v5.8,” Miercom, October 9, 2014.

[3] Verizon, 2014 Data Breach Investigations Report (DBIR).

Fin du support pour Windows Server 2003 : il faut agir d’urgence

La fin est imminente: le support de Windows Server 2003 par Microsoft se terminera mi-2015. Par conséquent, les entreprises ne disposent plus que de 286 jours pour migrer vers un nouveau système d’exploitation de serveur et concevoir une infrastructure fiable pour l’avenir. transtec voit à cet égard principalement deux solutions envisageables : le remplacement physique des serveurs et la virtualisation.

À partir du 15 juillet 2015, Microsoft ne mettra plus à disposition de nouvelle mise à jour, ni de patchs de sécurité ou de hotfix, que ce soit pour les éditions de Windows Server 2003, Windows Server 2003 R2 ou pour Microsoft Small Business Server (SBS) 2003. Si une entreprise continue alors à miser sur ces systèmes d’exploitation, le risque de perte de données dues à des Hackers ou des virus est quasiment programmé d’avance.

 » C’est justement dans de nombreuses petites et moyennes entreprises que Windows Server 2003 continue à être utilisé. C’est là qu’il est extrêmement urgent d’agir, ne fût-ce que pour respecter les exigences légales et réglementaires, les directives de conformité et les règles internes de sécurité « , explique Michael Hohl, responsable  » Datacenter Solutions  » de la société transtec.  » Presque 300 jours pour introduire un système d’exploitation actualisé semblent certes représenter beaucoup de temps, mais  même Microsoft part du principe que la durée moyenne d’une migration est supérieure à
200 jours. « 

De manière générale, il y a une chose qu’on ne peut pas perdre de vue, c’est que dans la migration, il ne s’agit pas seulement du remplacement d’un système d’exploitation. Le paysage des applications est au moins tout aussi complexe et problématique, car celles-ci ne sont souvent pas compatibles 64 bits et fréquemment, les éditeurs de logiciels ne proposent plus aucune assistance.

Concrètement, transtec voit pour les entreprises deux solutions possibles pour introduire un système d’exploitation actualisé : l’acquisition de nouveaux matériels ou la mise en oeuvre d’une virtualisation des serveurs. transtec propose des solutions adaptées aux deux variantes: d’une part des serveurs complètement intégrés en tant que solution autonome, se composant du matériel et des logiciels sous licence OEM, et d’autre part des bundles hyper-V préconfigurés.

Selon transtec, un système d’exploitation actuel tel que Windows Server 2012 R2 offre de nombreux avantages auxquels les entreprises ne devraient plus renoncer à l’avenir. transtec cite à cet égard :

– la construction aisée d’un serveur de fichiers scale-out de haute performance et d’une grande fiabilité avec les fonctionnalités natives de Windows.
– la possibilité de réalisation d’une solution étendue Terminal Server l’hyperviseur  » hyper-V  » offrant des fonctionnalités de haut niveau est gratuitement inclus dans le prix de la licence
– l’évolution facile vers un cluster de haute disponibilité.
– la possibilité d’intégrer des machines virtuelles avec des systèmes d’exploitation Linux.
– l’automatisation des travaux de maintenance grâce aux outils intégrés
– l’intégration dans des outils d’administration comme Microsoft System Center.

Sans oublier qu’une entreprise avec un nouveau système d’exploitation est parfaitement préparée pour une mise en oeuvre future de modèles Cloud, par exemple d’un Cloud hybride, avec utilisation d’un Cloud privé dans son propre Datacenter et d’un Cloud public.

Un malware attaque les visiteurs de plusieurs gros sites Internationaux

AOL, Match.com, Societe.com, ainsi que plusieurs autres importants sites Internet se sont retrouvés à diffuser, sans le savoir, des publicités aux contenus malveillants.

La semaine dernière, les chercheurs de la société Proofpoint ont détecté de nombreux sites web à fort trafic touchés par une campagne de malvertising, des publicités piégées ayant pour mission d’infiltrer les ordinateurs des visiteurs. Plusieurs dizaines d’importants espaces ont été touchés, dont le français societe.com ou encore Match.com et des domaines appartenant à AOL et Yahoo!

3 millions de visiteurs, par jour, ont pu être touchés par cette attaque. L’idée des pirates est d’utiliser les canaux de diffusion de publicités en ligne pour piéger des ordinateurs (sous Windows, NDLR), mais aussi des smartphones et tablettes (sous android, NDLR), via des logiciels espions. Exploiter des failles de régies pubs offre aux pirates une vivier de « clients » potentiellement énorme.

Les attaques malvertising sont particulièrement difficiles à détecter parce que la plupart des publicités sur les sites diffuseurs  proviennent de plusieurs réseaux publicitaires, et donc, changent selon les visiteurs. Parmi les diffuseurs realestate.aol.com, theatlantic.com, 9GAG, match.com ou encore theage.com.au, stuff.co.nz, societe.com, beaconnews.suntimes.com. [proofpoint.com]

Les attaques visant les applications Web se multiplient

Applications de vente en ligne, sites hébergeant des données de consommateurs ainsi que WordPress sont aujourd’hui les principales cibles de ce type d’attaque.

Imperva, spécialiste en solutions de sécurité informatique, a publié les résultats de sa cinquième enquête annuelle consacrée aux attaques visant les applications Web (Webannuel Report Application Attack : WAAR). Réalisé par l’Application Defense Center(ADC), la cellule de recherche d’Imperva, ce rapport analyse un échantillon de 99 applications protégées par le pare-feu applicatif Web d’Imperva(WAF) sur une période de neuf mois (du 1er Août 2013 au 30 Avril 2014). Les principaux enseignements de cette édition font état d’une augmentation significative du trafic malveillant (dont on notait déjà l’explosion dans le précédent rapport), ils révèlent que les applications de vente en ligne sont les plus sensibles pour ce type d’attaque et que WordPress est l’application la plus attaquée. Enfin, les États-Unis se distinguent comme le pays d’origine de la majorité du trafic des attaques d’applications Web dans le monde.

Ce cinquième rapport témoigne d’une augmentation de 10% des attaques par SQL injection (SQLI), ainsi que d’une hausse de 24% des attaques par inclusion de fichier à distance (RFI). L’équipe de recherche de l’ADC a de plus constaté que la durée des attaques s’est considérablement prolongée ; Leur durée s’est en effet allongée de 44% par rapport au précédent rapport WAAR.

48,1% des campagnes d’attaque visent les applications de vente en ligne, suivie par les institutions financières qui représentent 10% des attaques.     Les sites conçus sous WordPress ont subit 24,1% d’attaques en plus que les sites Web qui utilisent d’autres systèmes de gestion de contenu (CMS), on observe également que WordPress souffre davantage (60% de plus) d’incidents de Cross Site Scripting (XSS) que les autres sites. Les applications PHP subissent trois fois plus d’attaques XSS que les applications .NET. Les sites Web qui ont une fonctionnalité « log-in », et qui contiennent par conséquent des données spécifiques aux consommateurs, représentent 59% de toutes les attaques, et 63% des injections SQL.

« Après des années à analyser les attaques de données ainsi que leurs origines, le rapport de cette année indique que les hackers quelque soient leur pays d’origine hébergent leurs attaques aux Etats-Unis afin d’être géographiquement plus proche de leurs cibles. Cela explique pourquoi les États-Unis génèrent la majorité du trafic mondial des attaques d’applications web », indique Amichai Shulman, Directeur de la technologie chez Imperva à Datasecuritybreach.fr. « En regardant de plus près d’autres sources d’attaques, nous nous sommes aperçus que les infrastructures-as-a-Service (IaaS) étaient de plus en plus utilisées par les hackers. Pour exemple, 20% des tentatives d’exploitation de vulnérabilités connues proviennent d’ Amazon Web Services. Mais ce n’est pas le seul; car le phénomène se développe et les autres fournisseurs de ce type d’infrastructures (IaaS) doivent être particulièrement vigilants quant à la compromission de leurs serveurs. Les hackers ne sont pas sélectifs quand il s’agit d’atteindre un Data Center ».

Lancement d’Antibot France

Le CECyF – Centre Expert contre la Cybercriminalité Français et Signal-Spam ont lancé le 20 octobre 2014 Antibot France, un site d’information de prévention sur les botnets, membre du réseau européen du projet pilote Advanced Cyber Defence Centre.

Un botnet est formé par la connexion à un système de commande et de contrôle de plusieurs dizaines, centaines, voire milliers ou plus de systèmes infectés par un logiciel malveillant. Les botnets ont de nombreux usages comme: envoyer du courrier électronique non sollicité (spam), réaliser des attaques en déni de service distribué, détourner des informations confidentielles sur les machines contaminées (comme des mots de passe, l’accès à un compte bancaire), héberger des contenus illicites ou encore installer d’autres virus.

Le site www.antibot.fr informe sur ce que sont les botnets, comment ils se propagent – et donc en particulier comment un système numérique est contaminé par un virus aujourd’hui, mais aussi propose des moyens de s’en protéger et de nettoyer son ordinateur.

Le site comporte un blog qui diffusera régulièrement des articles informant sur l’actualité des botnets, propose parmi les outils de nettoyage des solutions qui ont été développés dans le cadre du projet Européen Advanced Cyber Defence Centre comme EU Cleaner ou Check and Secure un outil de diagnostic en ligne.

A noter, que les instigateurs de ce projet organisent le Botconf’14. The botnet fighting conference à Nancy, du 3 au 5 Décembre 2014.