Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Cybersécurité, Entreprise

Thales équipe les forces armées irlandaises en systèmes radios logicielles

Thales vient de remporter un contrat majeur pour équiper l’ensemble des Forces armées irlandaises en systèmes radios logicielles et services associés.

Le système radio SquadNet se distingue par sa compacité, sa légèreté et sa facilité d’utilisation, avec une autonomie de 24 heures, le rendant idéal pour les fantassins. En plus de fournir des communications vocales sécurisées, il permet l’affichage de la localisation et le partage des données. SquadNet offre également des capacités de recharge des batteries et de programmation radio, et a déjà été adopté par les forces armées autrichiennes, témoignant de sa fiabilité et de son efficacité sur le terrain.

Les radios SYNAPS, développées dans le cadre du programme CONTACT en France, représentent le plus grand programme de radios logicielles en Europe. Le contrat inclut la fourniture de l’ensemble de la gamme SYNAPS : des radios portatives (SYNAPS-H) pour les forces terrestres, des radios véhiculaires (SYNAPS-V) pour équiper les véhicules de l’armée de Terre et les navires des forces navales, ainsi que des radios aéronautiques (SYNAPS-A) pour les divers aéronefs de l’Air Corps. Ces radios sont déjà en service, notamment au sein des forces armées belges, démontrant leur robustesse et leur performance.

En plus des équipements radio, le contrat intègre la fourniture de services digitaux destinés à assurer la maintenance de l’ensemble des équipements livrés, garantissant ainsi une performance continue et fiable des systèmes de communication. L’Irlande a fait le choix stratégique de systèmes radios favorisant l’interopérabilité avec les nations partenaires déployées outre-mer, grâce à l’utilisation de la forme d’ondes GEOMUX, largement répandue en Europe, et de la forme d’onde ESSOR HDR1, réputée pour son haut débit, sa résilience et sa sécurité.

Les premières livraisons, incluant le premier lot de radios SquadNet, débuteront dès le deuxième trimestre 2024, marquant le début d’une nouvelle ère de modernisation et d’efficacité pour les communications des Forces armées irlandaises.

Ce contrat avec Thales reflète l’engagement de l’Irlande à renforcer ses capacités de défense tout en s’assurant une intégration harmonieuse avec ses alliés européens, garantissant ainsi une réponse coordonnée et efficace face aux défis contemporains.

Argent, Justice

Europol : le minage est utilisé pour le blanchiment de revenus illicites

Selon les données récentes fournies par Europol, le service de police de l’Union européenne, les criminels exploitent les opérations de minage de cryptomonnaies pour dissimuler l’origine de leurs revenus illicites. Cette méthode, en apparence légitime, permet non seulement de blanchir l’argent de manière efficace, mais aussi de générer des bénéfices supplémentaires.

Le minage de cryptomonnaies, processus par lequel de nouvelles unités de monnaie numérique sont créées, est une activité essentielle pour le maintien des réseaux blockchain. Cependant, cette technologie est détournée par des criminels pour masquer l’origine de leurs fonds obtenus illégalement. En investissant dans l’extraction de cryptomonnaies, les fraudeurs peuvent convertir de l’argent sale en actifs numériques, rendant ainsi plus difficile la traçabilité des fonds par les autorités.

Les pools de minage : un outil pour les criminels

Les analystes d’Europol ont identifié des activités suspectes dans certains pools de minage. Ces pools, qui regroupent les ressources de plusieurs mineurs pour augmenter les chances de découvrir de nouveaux blocs, sont parfois utilisés par des escrocs pour lancer des pyramides financières. Un exemple notable est le réseau BitClub, qui promettait des gains grâce à des pools de minage inexistants. Des investisseurs dupés ont ainsi perdu des centaines de millions d’euros.

L’impact des technologies blockchain de deuxième niveau

Les solutions blockchain de deuxième niveau, conçues pour améliorer l’évolutivité et réduire les frais de transaction, posent également des défis pour les forces de l’ordre. Europol souligne que l’utilisation de preuves à divulgation nulle et de protocoles de deuxième niveau complique le suivi des mouvements de fonds sur la blockchain. Ces technologies permettent des transactions plus rapides et moins coûteuses, mais elles rendent également les activités criminelles plus difficiles à détecter.

Le rapport d’Europol indique que les technologies de deuxième niveau, bien qu’avantageuses pour les utilisateurs de cryptomonnaies légitimes, créent des obstacles supplémentaires pour les enquêtes policières. Les transactions utilisant des preuves à divulgation nulle, par exemple, permettent de prouver qu’une transaction est valide sans révéler les détails de celle-ci, compliquant ainsi le travail des enquêteurs. Europol ne détaille pas les problèmes spécifiques engendrés par ces technologies, mais il est clair que la sophistication croissante des outils de dissimulation de transactions exige des méthodes d’investigation plus avancées. Les forces de l’ordre doivent constamment s’adapter pour rester à la hauteur des innovations technologiques utilisées par les criminels.

La sensibilisation et la réglementation comme outils de prévention

Ce premier rapport sur le chiffrement du Hub d’Innovation de l’UE pour la Sécurité Intérieure fournit une analyse complète du chiffrement du point de vue législatif, technique et développemental. Il aborde également des processus judiciaires spécifiques et des décisions de justice concernant le contournement du chiffrement dans les enquêtes criminelles, en particulier en ce qui concerne l’admissibilité des preuves.

Au cours des dernières années, le débat entre la protection des données et l’interception légale a évolué. Alors que les technologies de protection de la vie privée comme le chiffrement de bout en bout (E2EE) et les systèmes de services de communication enrichis (RCS) peuvent empêcher les forces de l’ordre d’accéder aux preuves numériques, diverses initiatives internationales plaident pour une approche équilibrée qui maintienne la cybersécurité et la vie privée sans entraver l’interception légale.

DataSecurityBreach.fr a repéré trois grands points : technologie, législation et financement.

Du côté de la législation, par exemple, le paquet de preuves électroniques vise à améliorer l’accès des forces de l’ordre aux preuves électroniques mais n’oblige pas les fournisseurs de services à déchiffrer les données. Plusieurs décisions de justice, comme celles en France et en Allemagne, ont créé des précédents pour l’utilisation de preuves issues de communications chiffrées. Les législations nationales, comme l’article 558 du Code de procédure pénale néerlandais, permettent désormais aux forces de l’ordre de contraindre les suspects à déverrouiller des appareils dans certaines conditions.

En 2020, les autorités françaises ont réussi à infiltrer le réseau EncroChat, un service de communication chiffré largement utilisé par les criminels. La Cour de cassation française a jugé que les données obtenues par cette infiltration étaient admissibles en tant que preuves dans les affaires criminelles, malgré les objections concernant la vie privée et la légalité de l’opération. Cette décision a permis l’utilisation de communications chiffrées interceptées comme preuves légales dans les enquêtes criminelles, établissant un précédent important en matière de collecte et d’utilisation de preuves numériques.

En allemagne, toujours pour le cas d’EncroChat, le Bundesgerichtshof (Cour fédérale de justice) a confirmé que les données d’EncroChat obtenues par les autorités françaises pouvaient être utilisées comme preuves dans les procédures pénales allemandes. La cour a statué que les preuves obtenues à l’étranger par des moyens légaux étaient admissibles en Allemagne.

Au Pays-Bas, en 2020, les autorités néerlandaises ont utilisé des données interceptées d’EncroChat et SkyECC pour enquêter sur des réseaux criminels. La Cour suprême des Pays-Bas a statué que les preuves obtenues par les autorités canadiennes (SkyECC) et françaises (EncroChat) pouvaient être utilisées dans les procédures judiciaires néerlandaises, confirmant la légalité de l’utilisation de ces preuves.

En Italie, les autorités ont utilisé des données de SkyECC pour enquêter sur des réseaux criminels. La Cour de cassation italienne a statué que les preuves obtenues par Europol et les autorités étrangères étaient admissibles, mais a également souligné l’importance de permettre aux défendeurs de contester la méthode de collecte des preuves pour garantir un procès équitable.

Ensuite, les technologies. L’informatique Quantique est cité dans le rapport d’Europol. Bien qu’aucun ordinateur quantique ne pose actuellement une menace réelle pour le chiffrement, le potentiel de cette technologie à casser les protocoles cryptographiques nécessite une préparation à la cryptographie post-quantique. La cryptomonnaie est affichée comme permettant de blanchir les produits du crime. L’utilisation de monnaies de confidentialité et de preuves à divulgation nulle complique la traçabilité des transactions illicites. La réglementation et la coopération des échanges et des fournisseurs de portefeuilles sont cruciales pour les forces de l’ordre comme le rapporte le rapport d’Europle. Les données biométriques sont protégées dans les cadres juridiques, mais des vulnérabilités existent.

Des technologies comme le chiffrement homomorphe progressent pour mieux sécuriser les systèmes biométriques. Europol revient aussi sur le chiffrement DNS et les nouveaux protocoles comme DoT et DoH qui permettent de chiffrer les requêtes DNS, posant des défis à l’accès légal au trafic DNS. Même son de cloche avec les technologies de Télécommunication. Le chiffrement dans les réseaux 4G et 5G complique l’interception légale.

Le dernier point affiche la recherche et le financement. Le rapport met en lumière les lacunes de la recherche actuelle et la nécessité de financements pour relever les défis liés aux technologies de chiffrement. L’UE a alloué des ressources significatives pour la recherche dans l’informatique quantique, le chiffrement biométrique et d’autres domaines pertinents. Les forces de l’ordre doivent se tenir au courant des avancées technologiques et développer de nouvelles techniques d’enquête. La coopération avec les fournisseurs de technologies et le respect des lois sur la protection de la vie privée sont essentiels pour des enquêtes criminelles efficaces. L’équilibre entre le chiffrement et l’accès légal reste une question contentieuse. Une approche multifacette, incluant le développement de politiques, la coopération internationale et l’innovation technologique, est nécessaire pour relever ces défis. [Europol]

Cybersécurité, Mise à jour, Patch

Google Chrome corrige sa deuxième vulnérabilité exploitable de 2024

Google a publié une mise à jour de Chrome pour corriger une nouvelle vulnérabilité Zero Day. Selon la société, cette faille est activement exploitée dans des cyberattaques.

Identifiée sous le nom CVE-2024-4671 [Gravité élevée], cette vulnérabilité concerne un problème dans le navigateur Chrome. Google a découvert cette faille grâce à un chercheur anonyme le 7 mai 2024. Dans un communiqué officiel, le géant de l’Internet a confirmé que les développeurs étaient conscients de l’exploitation de CVE-2024-4671 dans des attaques réelles. Aucun détail supplémentaire n’a été fourni.

Il est fortement recommandé à tous les utilisateurs d’installer la dernière version de Google Chrome : 124.0.6367.201/.202 pour Windows et macOS, et 124.0.6367.201 pour Linux. « Google est conscient qu’un exploit pour CVE-2024-4671 existe dans la nature. » affiche Google dans son alerte.

Depuis le début de l’année, Google a déjà corrigé deux vulnérabilités Zero Day. La première, identifiée en janvier sous le nom CVE-2024-0519, affectait les moteurs JavaScript et WebAssembly V8, permettant un accès mémoire hors limites.

Le « Stable channel » (canal stable) est l’une des versions de distribution de Google Chrome, conçue pour offrir aux utilisateurs une expérience de navigation fiable et sécurisée.

Le canal stable a été mis à jour vers la version 124.0.6367.201/.202 pour Mac et Windows et 124.0.6367.201 pour Linux, qui sera déployée dans les jours/semaines à venir. Une liste complète des modifications apportées dans cette version est disponible dans le journal des modifications.

L’accès aux détails des bogues et aux liens peut être restreint jusqu’à ce que la majorité des utilisateurs aient installé la mise à jour. « Nous maintiendrons également les restrictions si le bogue existe dans une bibliothèque tierce dont dépendent d’autres projets, mais qui n’ont pas encore été corrigés. » explique Google.

Cybersécurité, IA

Vasa-1 : un nouveau modèle d’ia pour créer des avatars animés à partir d’une photo

Microsoft Research Asia a récemment dévoilé VASA-1, un modèle d’intelligence artificielle capable de transformer une simple photo en vidéo animée.

Microsoft a donc décidé de se transformer en Skynet et a tiré sur toutes les ficelles liées à l’IA. Nouveauté du moment, Vasa-1. Cette technologie, présentée par Microsoft Research Asia utilise un fragment audio pour donner vie à une image. Le modèle est conçu pour créer des avatars vidéo réalistes, ce qui peut révolutionner la manière dont nous interagissons avec les médias numériques. C’est surtout inquiétant de se dire que des chercheurs continuent de travailler sur des solutions qui seront rapidement détournées. La régulation concernant l’IA étant moins draconienne en Asie qu’en Europe et aux USA, voilà peut-être pourquoi nos apprentis sorciers de l’IA se sont penchés sur cette possibilité.

Applications potentielles de vasa-1

Selon le rapport de recherche accompagnant la présentation du modèle, VASA-1 ouvre la possibilité de participer à des réunions virtuelles avec des avatars qui reproduisent fidèlement les comportements humains lors d’une conversation. Ca fera beaucoup rire cette comptable qui a été piégée, voilà quelques semaines, dans un tchat vidéo par des pirates et les avatars générés par l’IA. Bref, Vasa-1 soulève des questions sur son utilisation pour manipuler des vidéos afin de faire dire n’importe quoi à n’importe qui.

Comment fonctionne le modèle vasa-1 ?

VASA-1 repose sur l’apprentissage automatique pour analyser une photo statique et générer des vidéos animées réalistes. Le modèle ne clone pas les voix mais anime l’avatar en fonction des sons existants. Il peut ajouter des mouvements de tête, des tics faciaux, et d’autres nuances comportementales qui rendent l’animation étonnamment réelle. Un paradis pour deepfake, des vidéos malveillantes générées par l’IA ?

Le défi des deepfakes

La création de deepfakes, ou hyper-trucages, n’est pas une nouveauté. Cependant, l’approche de VASA-1, qui utilise une seule photo pour y incorporer des émotions et des comportements, est relativement nouvelle. Le modèle se distingue également par une excellente synchronisation labiale et la représentation de mouvements réalistes. Pour son développement, Microsoft Research a utilisé VoxCeleb2, un vaste ensemble de données composé de clips vidéo de célébrités issus de YouTube. Les célébrités ont-elles donné leurs accords pour que leur image et leur voix soient exploitées ? Dans sa démonstration Microsoft Asia a utilisé des portraits générés par StyleGAN2 ou DALL·E-3. « Il s’agit uniquement d’une démonstration de recherche et il n’y a pas de plan de sortie de produit ou d’API. » confirment les 9 chercheurs.

Le potentiel d’abus de VASA-1 est une préoccupation majeure, ce qui explique pourquoi Microsoft a décidé de ne pas publier le code du modèle pour le moment. En combinaison avec la technologie de clonage vocal, des individus mal intentionnés pourraient l’utiliser pour falsifier des vidéos de réunions, menant à des tentatives d’extorsion ou à la propagation de fausses informations. Bref à suivre ! « I’ll be back » dirait même une création de Skynet !

Cybersécurité, Entreprise, Mise à jour

Hypershield de cisco : une avancée dans la sécurité des réseaux et applications ?

Dans un contexte où les menaces numériques évoluent constamment, Cisco affirme avoir développé une méthode révolutionnaire pour sécuriser les réseaux et leurs applications contre les vulnérabilités avant même la disponibilité d’un correctif. Cette innovation arrive alors que les infrastructures numériques restent exposées en moyenne 49 jours, le temps que les correctifs soient appliqués après la découverte d’une faille.

Les systèmes d’information sont particulièrement vulnérables pendant la période qui s’étend entre la découverte d’une vulnérabilité et le déploiement d’un correctif. Bien que certaines mesures provisoires telles que la désactivation de ports ou de fonctionnalités spécifiques puissent offrir une protection temporaire, leur mise en œuvre reste complexe dans des réseaux d’envergure.

Pour combler ce vide de sécurité, Cisco a lancé Hypershield, une architecture de sécurité qui intègre l’intelligence artificielle pour offrir une protection rapide et efficace en attendant un patch. Cette technologie promet d’être opérationnelle sur le marché d’ici août.

Fonctionnement d’hypershield

Hypershield fonctionne en segmentant automatiquement les réseaux et applications, empêchant ainsi toute tentative de mouvement latéral d’un intrus à travers les applications ou zones d’un data center. Chuck Robbins, président et CEO de Cisco, explique que cette technologie fusionne les capacités avancées de gestion de trafic et de données de l’entreprise avec son expertise en sécurité, infrastructure et observabilité, plaçant Cisco en position idéale pour maximiser les avantages de l’IA pour ses clients.

Technologie et intégration avancées

Le système utilise des data processing units (DPU), des puces matérielles conçues pour analyser et réagir aux comportements des applications et du réseau, tout en étant évolutives en fonction de la taille du réseau. De plus, l’utilisation de la technologie open source acquise auprès de la firme suisse Isolvent renforce les capacités de Hypershield.

Pour faciliter l’application des mises à jour et des correctifs, Hypershield intègre un mécanisme d’automatisation qui utilise des jumeaux numériques pour tester les mises à jour dans un environnement virtuel. Cela permet de simuler l’environnement spécifique du client, y compris le trafic de données et les règles stratégiques, avant d’appliquer effectivement la mise à jour au système.

Cybersécurité, Entreprise

La Russie et l’Ukraine en tête du classement mondial de la cybercriminalité

Une étude menée par un groupe de recherche international, regroupant une centaine d’experts, a récemment établi le premier classement exhaustif des pays en matière de cybercriminalité. Les résultats révèlent que la Russie, suivi de près par l’Ukraine et la Chine, occupe les premières places de ce classement.

Il y a quelques jours, ZATAZ.COM, référence de l’actualité liée à la lutte contre le cybercrime, une étude menée par Europol qui établissait une liste des groupes de cybercriminels les plus présents sur Internet. Sans surprise, Russes et Ukrainiens se partageaient le haut du podium.

Des chercheurs de l’Université d’Oxford, viennent de publier leur propre analyse. Elle permet de mieux comprendre la répartition géographique de la cybercriminalité ainsi que les domaines d’intérêt des citoyens de différents pays. Elle suggère que la collecte continue de ces données pourrait aider à identifier les nouveaux foyers de cybercriminalité et à prendre des mesures préventives dans les pays à risque avant que la situation ne s’aggrave.

L’étude identifie cinq catégories principales de cybercriminalité, dont les services et produits techniques, les attaques et l’extorsion, le vol de données et d’identité, la fraude et le blanchiment d’argent. Les deux premières catégories sont considérées comme les plus courantes en Russie et en Ukraine.

Federico Varese, professeur à l’Institut d’études politiques de Paris, souligne l’importance d’élargir cette étude pour déterminer si des facteurs nationaux tels que le niveau d’éducation, la pénétration d’Internet, le PIB ou les niveaux de corruption sont liés à la cybercriminalité. Il met en lumière le fait que la cybercriminalité, tout comme les formes de criminalité organisée, est enracinée dans des contextes nationaux spécifiques, contrairement à l’idée répandue selon laquelle elle serait un phénomène mondial et fluide.

Outre la Russie, l’Ukraine et la Chine, le classement des dix premiers comprend également les États-Unis, le Nigeria, la Roumanie, la Corée du Nord, la Grande-Bretagne, le Brésil et l’Inde. Parmi les autres pays mentionnés, la Biélorussie occupe la 12e place, tandis que la Moldavie se situe en 15e position. Enfin, la Lettonie clôture le top 20.

Les agences de renseignement américaines accusent les hackers russes d’audace excessive

Les hackers russes deviennent de plus en plus audacieux dans leurs attaques. C’est ce qu’a déploré Brian Vondran, chef de la division de lutte contre la cybercriminalité du Federal Bureau of Investigation (FBI) des États-Unis, qui enquête également sur les crimes liés aux cryptomonnaies.

« C’est un problème pour l’économie mondiale, pour l’économie américaine et pour la sécurité des États-Unis. Selon nos estimations, les pertes mondiales dépassent le milliard de dollars par an« , a souligné Vondran.

Il a ajouté qu’il considère le groupe Scattered Spider comme responsable des récentes attaques de ransomwares, lié, selon la perception occidentale, au Ministère de la Défense russe. Scattered Spider serait derrière, par exemple, les attaques des groupes hôteliers MGM Resorts ou encore Caesars Palace. À Washington, il est appelé « un réseau cohésif de hackers » qui parlent anglais et sont responsables de dizaines de piratages. La technique principale du groupe, l’ingénierie sociale. Hacker le cerveau avant d’attaquer les claviers.

L’ancien directeur de la cybersécurité de la NSA, Rob Joyce, indique qu’il y a peu de chance que ce groupe soit stoppé, pour le moment. Il a noté que l’attaque de REvil contre Colonial Pipeline « a forcé à réfléchir et à décider que nous devons investir davantage de ressources dans la lutte contre cette menace externe ». Il a ajouté qu’en janvier 2022, l’un des exécutants de cette attaque avait été identifié et arrêté en Russie, ainsi que ses complices. Depuis, des mois, les tribunaux et avocats locaux se battent, les défenseurs arguant qu’il n’existait aucune preuve d’actes de piratage.

Cybersécurité, Mise à jour, Securite informatique

Violation de données chez owasp : exposition accidentelle de cv de membres

La Fondation OWASP (Open Worldwide Application Security Project), une référence dans le domaine de la sécurité logicielle, a récemment révélé une fuite de données due à une configuration incorrecte de leur ancien serveur Web Wiki. Ce problème a mené à l’exposition publique des curriculum vitae de certains de ses membres.

Fondée en décembre 2001, l’OWASP est une organisation à but non lucratif qui se concentre sur l’amélioration de la sécurité des logiciels à travers le monde. Avec des dizaines de milliers de membres répartis en plus de 250 sections, l’OWASP organise des événements éducatifs et des formations sur la sécurité logicielle globalement.

Détails de l’incident

La découverte de cette mauvaise configuration de Media Wiki a été faite fin février 2024, après que plusieurs membres ont contacté l’assistance technique de l’organisation. Les investigations ont montré que seuls les membres ayant rejoint OWASP entre 2006 et 2014 et ayant soumis leur CV lors de leur adhésion étaient affectés. Ces documents comprenaient des informations sensibles telles que noms, adresses email, numéros de téléphone, et adresses physiques.

Réponse de l’owasp

Andrew van der Stock, directeur exécutif de l’OWASP, a précisé que l’organisation avait pris des mesures immédiates pour contenir la fuite. Cela inclut la désactivation de la navigation dans les répertoires du serveur, la révision de la configuration de Media Wiki, et la suppression des CV du site Wiki. L’OWASP a également vidé le cache de Cloudflare et contacté les archives Web pour s’assurer que les informations accidentellement exposées soient également retirées.

L’OWASP s’est engagée à informer toutes les victimes identifiées par des lettres explicatives, mentionnant que beaucoup des informations exposées pourraient être désuètes, étant donné que nombre de ces membres ne font plus partie de l’organisation. Van der Stock a souligné que, pour les données toujours actuelles, il est conseillé aux membres concernés de rester vigilants face aux communications non sollicitées.

Cybersécurité, Mise à jour, Phishing, Sécurité

Google lance device bound session credentials pour sécuriser chrome

Google introduit une innovation dans la sécurité des navigateurs avec Device Bound Session Credentials (DBSC), une fonctionnalité destinée à renforcer la sécurité des sessions en ligne en liant les cookies d’authentification à un appareil spécifique. Cette approche vise à neutraliser les tentatives de vol de cookies, souvent utilisées pour contourner l’authentification multifacteur.

La nouvelle fonctionnalité, Device Bound Session Credentials, crée un lien cryptographique entre les cookies d’authentification et l’appareil de l’utilisateur. Ce processus s’appuie sur la puce Trusted Platform Module (TPM) pour générer une paire de clés publique et privée unique à chaque session. Les cookies ainsi sécurisés ne peuvent être utilisés sur aucun autre appareil, ce qui invalide les tentatives de vol.

Fonctionnement technique

Lorsqu’une session est établie via DBSC, le serveur effectue des vérifications périodiques de la clé privée pour s’assurer qu’elle n’a pas été déplacée ou copiée vers un autre appareil. Ces clés sont stockées de manière sécurisée et sont inaccessibles en dehors de l’appareil original, ce qui garantit que même en cas de vol de cookies, les attaquants ne pourront pas accéder aux comptes utilisateurs.

Kristian Monsen, ingénieur de l’équipe anti-abus de Google Chrome, souligne que DBSC pourrait révolutionner la sécurité en ligne en rendant le vol de cookies pratiquement inutile. Cette fonctionnalité contraint les attaquants à opérer localement, facilitant ainsi la détection et l’élimination des logiciels malveillants par les solutions antivirus et les protections d’entreprise.

Actuellement en phase de prototype, DBSC peut être activé par les utilisateurs avancés pour des tests en modifiant les paramètres sous chrome://flags/. Cette phase expérimentale permet à Google de peaufiner la technologie avant son déploiement à grande échelle.

Sécurité et confidentialité des utilisateurs

DBSC garantit que chaque session est isolée grâce à des clés uniques. Les serveurs n’interagissent qu’avec la clé publique, et ne peuvent donc ni identifier, ni suivre les utilisateurs à travers plusieurs sessions. De plus, les utilisateurs peuvent révoquer les clés à tout moment, ajoutant une couche supplémentaire de contrôle sur leur vie privée.

La fonctionnalité DBSC est prévue pour être intégrée dans environ 50% des ordinateurs de bureau équipés de Chrome dans un premier temps. Son intégration complète promet de renforcer significativement la sécurité pour tous les utilisateurs de Chrome, aussi bien dans un cadre privé que professionnel. « Nous travaillons également déjà pour proposer cette technologie à nos clients Google Workspace et Google Cloud afin de leur offrir une couche supplémentaire de sécurité des comptes », ajoute Monsen.

Cybersécurité, Mise à jour, Wordpress

Vulnérabilité critique pour 1 million de site sous WordPress

Une vulnérabilité critique d’injection SQL dans le populaire plugin LayerSlider pour WordPress pourrait être utilisée pour extraire des informations sensibles des bases de données, telles que les hachages de mots de passe.

LayerSlider est un outil permettant de créer des sliders, des galeries d’images et des animations sur les sites WordPress. Le plugin est utilisé sur environ un million de sites Web. Le problème, identifié comme CVE-2024-2879 et avec un score CVSS de 9,8 [Trés grave], décrit un problème d’injection SQL qui affecte toutes les versions du plugin de 7.9.11 à 7.10.0. La vulnérabilité a été découverte par le chercheur en sécurité AmrAwad et corrigée dans la version 7.10.1 , publiée le 27 mars 2024. Pour divulgation responsable et découverte de la vulnérabilité, le spécialiste a reçu une récompense de 5 500 $.

Selon les experts de Wordfence, le problème a permis aux attaquants d’extraire des données confidentielles de la base de données de sites vulnérables. La vulnérabilité était liée au traitement du paramètre id dans la fonction du plugin ls_get_popup_markup. Étant donné que le paramètre id n’était pas correctement traité, les attaquants pouvaient injecter du code SQL malveillant dans des requêtes spécialement conçues, entraînant ainsi l’exécution de commandes, et l’exfiltration de données.

La structure des requêtes possibles réduisait l’attaque à une injection SQL aveugle dans le temps, c’est-à-dire que les attaquants devaient observer le temps de réponse pour obtenir les données de la base de données. Mais malgré ces limitations, CVE-2024-2879 permettait toujours de récupérer des informations de la base de données sans nécessiter d’authentification.

Cybersécurité, Mise à jour, Patch

Alerte de sécurité : cisco identifie une vulnérabilité xss critique dans ses routeurs pour petites entreprises

Dans un récent communiqué, la société Cisco a émis une alerte concernant une vulnérabilité de type cross-site scripting (xss) affectant plusieurs modèles de ses routeurs destinés aux petites entreprises.

Cette faille, référencée sous le code CVE-2024-20362, présente un risque particulièrement élevé puisqu’elle peut être exploitée à distance et sans nécessiter d’authentification préalable. Les modèles concernés par cette vulnérabilité sont les RV016, RV042, RV042G, RV082, RV320 et RV325. Une caractéristique commune à tous ces appareils est leur statut de fin de vie : cisco a déjà cessé leur support, ce qui signifie qu’aucun correctif pour cette vulnérabilité ne sera disponible.

La vulnérabilité provient d’une validation insuffisante au sein de l’interface web des produits, permettant à un attaquant de lancer des attaques xss en incitant simplement un utilisateur à visiter une page web malveillante. cette exploitation pourrait permettre l’exécution de scripts malveillants ou même entraîner une fuite de données sensibles.

Absence de solution de contournement et recommandations

Cisco a confirmé ne pas avoir connaissance d’exploitations actives de cette vulnérabilité. Toutefois, l’absence de solution de contournement rend critique la transition vers des appareils plus récents et toujours soutenus par des mises à jour de sécurité.
Outre cette faille xss, cisco a récemment corrigé plusieurs autres vulnérabilités importantes. parmi elles, un défaut sérieux dans le Nexus Dashboard Fabric Controller (NDFC), identifié sous le numéro CVE-2024-20348, permettait à des attaquants de lire des fichiers arbitraires sur un serveur d’approvisionnement web. Ce bug touchait uniquement la version NDFC 12.1.3b et a été corrigé dans les versions ultérieures.

D’autres produits cisco, tels que le TelePresence Management Suite, Nexus Dashboard et Orchestrator, Identity Services Engine (ISE), ainsi que divers outils de communication et de gestion des urgences ont également reçu des correctifs pour des vulnérabilités diverses.

Cybersécurité, Securite informatique

La menace croissante des bots malveillants : rapport Imperva Bad Bot 2024

Le paysage numérique mondial est de plus en plus façonné par une force invisible mais omniprésente : les bots. Thales, en partenariat avec Imperva, dévoile les résultats alarmants de son dernier rapport, le Bad Bot 2024. Cette analyse offre un aperçu du trafic automatisé des bots sur internet.

Une Analyse Approfondie du Trafic des Bots en 2023

En 2023, près de la moitié (49,6 %) de tout le trafic internet était généré par des bots, selon les conclusions du rapport. Cette augmentation de 2 % par rapport à l’année précédente marque le niveau le plus élevé signalé par Imperva depuis le début de sa surveillance du trafic en 2013. Cette croissance alarmante souligne l’urgence pour les entreprises de comprendre et de contrer la menace des bots.

Impact Financier et Opérationnel : Les Coûts des Attaques de Bots

Le coût des attaques de bots pour les entreprises est astronomique, se chiffrant en milliards de dollars chaque année. Des attaques contre les sites Web, les API et les applications compromettent la sécurité des données et la fiabilité des services en ligne, nécessitant des investissements importants dans l’infrastructure et le support client. En examinant de près les différents vecteurs d’attaque utilisés par les bots, les entreprises peuvent mieux évaluer les risques et mettre en place des mesures de protection efficaces.

Une Menace Multiforme : Les Différents Visages des Bots Malveillants

Les bots prennent différentes formes, de la simple extraction automatisée de données en ligne à la prise de contrôle de compte utilisateur, en passant par le spam et le déni de service. Le rapport identifie plusieurs tendances clés qui façonnent le paysage actuel de la cybermenace, soulignant la diversité des attaques et la nécessité d’une approche holistique en matière de sécurité.

IA Générative et Augmentation des Bots Simples :

L’adoption rapide de l’IA générative a conduit à une augmentation du volume de bots simples, passant de 33,4 % en 2022 à 39,6 % en 2023. Cette technologie permet aux utilisateurs sans connaissance technique d’écrire des scripts automatisés pour leur propre usage, alimentant ainsi la prolifération des bots. En explorant les implications de cette tendance émergente, les entreprises peuvent mieux anticiper les défis à venir en matière de cybersécurité.

Risques Persistants pour les Comptes Utilisateurs :

Les attaques de prise de contrôle de compte (ATO) ont augmenté de 10 % en 2023 par rapport à l’année précédente. Les attaques ciblant les points de terminaison des API représentent une préoccupation majeure, avec 44 % de l’ensemble des attaques ATO visant spécifiquement ces points de vulnérabilité. En renforçant les mesures d’authentification et en surveillant de près l’activité des comptes utilisateurs, les entreprises peuvent réduire les risques d’exploitation par les bots.

Les API comme Vecteur d’Attaque Privilégié :

Les attaques automatisées représentent désormais 30 % des attaques d’API, avec 17 % de ces attaques exploitant les vulnérabilités de logique métier. Les cybercriminels ciblent les API en raison de leur accès direct aux données sensibles, ce qui en fait une cible lucrative pour les attaques automatisées. En renforçant la sécurité des API et en mettant en place des stratégies de surveillance proactive, les entreprises peuvent réduire leur exposition aux risques d’exploitation par les bots.

Impact Sectoriel Varié :

Chaque secteur est touché par les bots, avec des industries telles que le gaming, le commerce de détail et les services financiers étant particulièrement vulnérables. Les bots malveillants évolués, capables d’imiter le comportement humain, représentent une menace particulière pour les sites d’affaires juridiques, gouvernementaux et de divertissement. En comprenant les modèles d’attaque spécifiques à leur secteur, les entreprises peuvent adapter leurs stratégies de sécurité pour mieux se protéger contre les menaces émergentes. [rapport]

backdoor, cyberattaque, Cybersécurité

Crise évitée de justesse : comment une cyberattaque sur Linux a failli bouleverser Internet

Les développeurs et les experts en sécurité informatique ont récemment été secoués par une tentative d’attaque contre la chaîne d’approvisionnement logicielle, ciblant l’utilitaire de compression XZ Utils, largement utilisé dans les systèmes d’exploitation Linux. Cette tentative d’infiltration a mis en lumière les vulnérabilités humaines qui sous-tendent les infrastructures de l’Internet.

La récente découverte d’une porte dérobée dans le logiciel XZ Utils, largement utilisé dans les systèmes d’exploitation Linux, a secoué la communauté open source. Ce logiciel, essentiel pour la compression de données, s’est retrouvé au cœur d’une attaque de chaîne d’approvisionnement qui aurait pu compromettre des millions de serveurs à travers le monde.

Cette opération de longue haleine semble être l’œuvre d’une agence de renseignement, bien que l’identité exacte des instigateurs reste inconnue. Le cas de Jia Tan est particulièrement préoccupant puisqu’il a profité de la vulnérabilité d’un développeur [CVE-2024-3094] surmené pour prendre le contrôle de XZ Utils.

L’affaire commence lorsque Andres Freund, un ingénieur chez Microsoft, débusque une anomalie dans un protocole réseau, menant à la découverte d’une des attaques de chaîne d’approvisionnement les plus élaborées à ce jour. Un développeur peu connu, Jia Tan, avait commencé dès février à intégrer discrètement un code malveillant dans XZ Utils. Profitant de la vulnérabilité humaine, notamment la fatigue du seul développeur mainteneur du projet, Tan réussit à s’implanter comme responsable du logiciel, augmentant ainsi ses capacités d’insertion de code malveillant.

Cette situation exposait une faille critique dans la gestion de projets open source : la dépendance excessive à des individus isolés pour la maintenance de logiciels cruciaux.

L’alerte a été donnée par l’Agence de cybersécurité et de sécurité des infrastructures, avec un avertissement spécifique de Red Hat. L’incident, originaire d’octobre 2021, a été découvert presque par hasard, soulignant l’importance de la vigilance et de la collaboration au sein de la communauté open source.

Ce cas rappelle que la sécurité des logiciels open source n’est pas seulement une question de technologie mais aussi de confiance et de collaboration humaine. Les contributions de Jia Tan à d’autres projets tels que libarchive, qui se sont retrouvées dans de nombreux dispositifs, soulèvent des questions sur l’ampleur de la menace.

Heureusement, l’incident a été découvert à temps, évitant une catastrophe majeure. Mais il sert de rappel alarmant que même les outils les plus fondamentaux et largement utilisés, comme XZ Utils, peuvent être des cibles de choix pour des opérations d’espionnage menées par des acteurs étatiques.

Cybersécurité, Piratage, santé

Hausse des attaques d’ingénierie sociale dans le secteur des services d’assistance informatique en santé

Le ministère américain de la santé et des services sociaux (HHS) a récemment publié une alerte à destination des opérateurs de services d’assistance informatique dans le secteur de la santé, signalant une augmentation notable des attaques d’ingénierie sociale. Ces attaques, particulièrement sophistiquées, visent à détourner des fonds vers des comptes bancaires contrôlés par les attaquants.

Selon le bureau de la sécurité de l’information du HHS et le centre de coordination de la cybersécurité du secteur de la santé, les acteurs de la menace procèdent souvent par appel téléphonique, se faisant passer pour des employés des services financiers de l’entreprise ciblée. Ils parviennent à usurper les numéros de téléphone pour qu’ils affichent un indicatif régional qui semble local.

L’alerte précise que ces individus sont capables de fournir des informations personnelles sensibles validant leur fausse identité, telles que les derniers chiffres du numéro de sécurité sociale et d’autres données démographiques, obtenues via des sites de réseautage professionnel ou des violations de données précédentes.

Exploitation des failles de sécurité

L’attaquant prétend souvent que son téléphone est endommagé et qu’il ne peut ni passer d’appels ni recevoir des jetons de vérification multifactorielle (MFA). Cette même ruse est utilisée, depuis quelques semaines, sur WhatsApp. Des parents reçoivent de leur présumé enfant un message sur WhatsApp leur indiquant un changement de numéro. N’y répondez pas, il s’agit d’un piège.

Pour le secteur de la santé, cette ruse l’amène à convaincre le service d’assistance d’enregistrer un nouveau dispositif pour l’accès MFA, permettant ainsi l’accès non autorisé aux ressources de l’entreprise. Une fois cet accès obtenu, les attaquants redirigent les paiements bancaires vers des comptes sous leur contrôle, avant de transférer les fonds à l’international.

Implications pour la sécurité des informations financières

Les attaquants ciblent ensuite les informations de connexion aux sites des payeurs et modifient les instructions ACH pour que les paiements soient redirigés vers des comptes américains qu’ils contrôlent. Ces actions sont souvent suivies par l’accès aux comptes de messagerie des employés, d’où ils envoient des instructions modifiées aux processeurs de paiement.

Le HHS note que des tactiques similaires ont été utilisées par le groupe de menace connu sous le nom de Scattered Spider lors d’une attaque de ransomware contre une organisation du secteur de l’hôtellerie et du divertissement en septembre 2023. De plus, l’usage potentiel d’outils d’usurpation d’identité vocale basés sur l’IA a été signalé comme une complication supplémentaire dans ces attaques.

Mesures recommandées pour renforcer la sécurité

Pour contrer ces menaces, le HHS recommande plusieurs stratégies de mitigation. Parmi celles-ci, l’utilisation de Microsoft Authenticator et/ou Google Authenticator avec correspondance de numéros pour l’authentification, ne plus utiliser les SMS comme option MFA, la sécurisation de l’enregistrement MFA et SSPR en exigeant une authentification depuis un réseau approuvé, et le blocage de l’accès externe aux fonctionnalités d’administration de Microsoft Azure et Microsoft 365 via une stratégie d’accès conditionnel.

backdoor, Cybersécurité, Entreprise

Failles de sécurité dans les appareils NAS D-Link

Un chercheur en cybersécurité met au jour des failles de sécurité inquiétantes dans de nombreux appareils NAS D-Link. Ces vulnérabilités, actuellement non prises en charge par le fabricant, incluent des injections de commandes et des portes dérobées codées en dur.

Le problème a été identifié dans le script /cgi-bin/nas_sharing.cgi, spécifiquement dans son composant HTTP GET Request Handler. Ces failles de sécurité ont été répertoriées sous l’identifiant CVE-2024-3273.

Risques pour les utilisateurs

Le compte vulnérable, nommé « messagebus », possède un mot de passe vide, ce qui permet l’injection de commandes via le paramètre « system ». Si un attaquant parvient à exploiter ces deux failles, il peut potentiellement exécuter du code à distance sur l’appareil. Cette exploitation pourrait conduire à un accès non autorisé à des données sensibles, à la modification des paramètres système, voire à un déni de service (DoS).

Appareils concernés par les failles

Les appareils NAS D-Link suivants sont affectés par la vulnérabilité CVE-2024-3273 :

DNS-320L version 1.11, version 1.03.0904.2013, version 1.01.0702.2013
DNS-325 version 1.01
DNS-327L version 1.09, version 1.00.0409.2013
DNS-340L version 1.08

Une analyse du réseau a révélé plus de 92 000 stockages réseau D-Link vulnérables, soulignant ainsi l’ampleur du problème. Étant donné que D-Link a cessé de prendre en charge ces NAS, il est recommandé aux utilisateurs de remplacer les équipements obsolètes par des modèles plus récents et pris en charge. Cette mesure est essentielle pour garantir la sécurité des données et des systèmes. (Netsecfish)

Cybersécurité, Mise à jour, Patch

Le FBI publie une alerte pour inciter les fabricants à éliminer les SQLi

La CISA et le FBI publient une alerte Secure by Design pour inciter les fabricants à éliminer les vulnérabilités d’injection SQL.

La CISA et le Federal Bureau of Investigation (FBI) ont publié une alerte conjointe Secure by Design, demandant l’élimination des vulnérabilités d’injection SQL dans les logiciels.

Cette alerte a été conçue en réponse à une exploitation récente et très médiatisée de défauts d’injection SQL (SQLi) dans une application de transfert de fichiers gérée qui a touché des milliers d’organisations, la faille MOVEit exploitée par les pirates, maîtres chanteurs CL0P.

Malgré une connaissance et une documentation généralisées des vulnérabilités SQLi au cours des deux dernières décennies, ainsi que la disponibilité de mesures d’atténuation efficaces, les fabricants de logiciels continuent de développer des produits présentant ce défaut, ce qui met de nombreux clients en danger.

La CISA et le FBI exhortent responsables des entreprises de fabrication de technologies à organiser un examen formel de leur code afin de déterminer sa vulnérabilité aux compromissions SQLi. S’ils sont jugés vulnérables, les dirigeants doivent s’assurer que les développeurs de logiciels de leur organisation commencent immédiatement à mettre en œuvre des mesures d’atténuation pour éliminer toute cette classe de défauts de tous les produits logiciels actuels et futurs.

Cybersécurité, Securite informatique

Protection en temps réel

Google s’apprête à mettre à jour sa fonctionnalité de navigation sécurisée afin de renforcer une protection en temps réel contre les logiciels malveillants et le phishing à tous les utilisateurs de Chrome.

Depuis son lancement en 2005, la navigation sécurisée de Google a constamment évolué pour mieux protéger ses utilisateurs contre les menaces en ligne comme le phishing, les logiciels malveillants et les programmes indésirables. Grâce à l’utilisation de l’intelligence artificielle, Google a introduit un mode de protection améliorée pour ceux qui recherchent une sécurité proactive, permettant une analyse en profondeur des fichiers téléchargés.

La version standard actuelle de Safe Browsing vérifie les sites, les téléchargements et les extensions contre une liste locale d’URL malveillantes mise à jour toutes les 30 à 60 minutes. Avec cette mise à jour, Google prévoit de passer à une vérification des sites en temps réel, une mesure qui vise à contrer les sites malveillants éphémères, apparus et disparus en moins de dix minutes.

L’impact global de la navigation sécurisée

La navigation sécurisée protège déjà plus de 5 milliards d’appareils à travers le monde, offrant des avertissements sur plus de 3 millions de menaces potentielles chaque jour. Avec la vérification en temps réel des sites, Google espère augmenter l’efficacité de sa protection contre les attaques de phishing de 25 %.

La nouvelle fonctionnalité, qui sera lancée d’abord pour Android, intègre des méthodes de cryptage et de préservation de la confidentialité pour que vos visites sur le web restent anonymes, même vis-à-vis de Google. Cette confidentialité est assurée par une nouvelle API utilisant Fastly Oblivious HTTP (OHTTP), qui masque les URL visitées et mélange les données des utilisateurs pour une sécurité renforcée.

Le fonctionnement technique de la protection de la confidentialité

Les URL, partiellement hachées, sont envoyées à la navigation sécurisée via un serveur OHTTP qui cache les adresses IP et mélange les hachages avec ceux d’autres utilisateurs. Ce processus est renforcé par le cryptage des préfixes de hachage avant leur transmission, garantissant que seuls les serveurs de vérification d’URL de Google peuvent les décrypter.

Le serveur de confidentialité, crucial pour la préservation de l’anonymat des utilisateurs, est géré indépendamment par Fastly. Cette gestion assure que Google n’a accès à aucune donnée d’identification personnelle, comme les adresses IP ou les agents utilisateurs, lors des vérifications de sécurité.

Cette mise à jour de la navigation sécurisée par Google marque un tournant significatif dans la lutte contre les menaces en ligne, offrant une protection en temps réel tout en préservant la confidentialité des utilisateurs. C’est une évolution prometteuse pour la sécurité sur internet, renforçant la position de Chrome comme navigateur de choix pour des millions d’utilisateurs à travers le monde.

backdoor, Cybersécurité, ransomware

Le ransomware : le plus actif des rançongiciel change de ton

Stop, le plus discret et pourtant le plus actif des rançongiciels au monde. Le code malveillant vient de connaître une mise à jour qui le rend encore plus agressif.

Stop, un code malveillant de la famille des ransomwares. Ce rançongiciel fait de très gros dégâts depuis 2018. Cet outil de prise d’otage est discret, et pourtant, il est le plus actif au monde.

STOP est distribué principalement via des offres groupées publicitaires et des sites suspects. Ces ressources font la publicité pour de faux cracks de logiciels, comme exemple pour Cubase, Photoshop, des antivirus et des logiciels gratuits. Logiciels groupés qui sont en réalité des offres groupées. Elles installent divers programmes indésirables et logiciels malveillants sur les machines des utilisateurs. L’un de ces logiciels malveillants est STOP.

Stop chiffre les fichiers, leur ajoute une nouvelle extension et place une demande de rançon sur la machine infectée (490$, puis le double après 72 heures). En 2019, Bleeping Computer proposait un outil pour se reprendre la main sur Stop.

Mais malheureusement, il existe actuellement près de 850 variantes de STOP connues des chercheur. Chiffre qui ne facilite pas la lutte contre ce microbe.

Parmi les extensions repérées : .STOP, .SUSPENDED, .WAITING, .PAUSA, .CONTACTUS, .DATASTOP, .STOPDATA, .KEYPASS, .WHY, .SAVEfiles, .DATAWAIT, .CAROTE, .DJVU, .COHAROS., .NOOD.

Nouvelle variante

Les chercheurs ont découvert une nouvelle variante du ransomware STOP qui utilise un mécanisme d’exécution en plusieurs étapes pour contourner les mesures de sécurité. Elle fait d’autant plus de dégâts que les victimes ne vont pas se plaindre. Ce malware attaque principalement les fans de contenus piratés, les visiteurs de sites suspects.

Depuis son introduction en 2018, le blog ZATAZ alertait de sa présence excessive dans les ordinateurs d’internautes, le ransomware est resté pratiquement inchangé et de nouvelles versions sont principalement publiées pour résoudre des problèmes critiques. Cependant, les experts de SonicWall ont découvert une nouvelle version de STOP, qui pourrait toucher un grand nombre de personnes.

Le malware télécharge d’abord un fichier DLL supposément sans rapport (msim32.dll), peut-être comme un faux-positif. Il implémente également une série de longues boucles temporisées qui peuvent aider à contourner les protections basées sur le temps. STOP utilise ensuite des appels d’API dynamiques sur la pile pour allouer l’espace mémoire requis pour les autorisations de lecture/écriture et d’exécution, ce qui rend la détection encore plus difficile. Le malware utilise des appels API pour diverses opérations, notamment l’obtention d’instantanés des processus en cours d’exécution afin de comprendre dans quel environnement il s’exécute. À l’étape suivante, le ransomware intercepte les processus légitimes et y injecte sa charge utile pour s’exécuter silencieusement en mémoire. Cela se fait via une série d’appels API soigneusement conçus qui manipulent la mémoire du processus et contrôlent le flux.

Une fois la charge utile finale exécutée, une série d’actions sont effectuées visant à la sécuriser dans le système, à modifier l’ACL (afin que les utilisateurs n’aient pas la possibilité de supprimer des fichiers importants et des répertoires de logiciels malveillants) et également à créer une tâche planifiée pour exécuter la charge utile toutes les cinq minutes.

backdoor, Cybersécurité, Mise à jour

GhostRace : la menace fantôme pour Intel, AMD, ARM et IBM

Un groupe de chercheurs a développé une nouvelle attaque appelée GhostRace capable de provoquer des fuites de données sur les processeurs modernes de chez Intel, AMD, ARM et IBM.

Les experts d’IBM et de l’Université libre d’Amsterdam décrivent GhostRace (CVE-2024-2193) comme une condition de concurrence spéculative (SRC). Cette attaque vous permet d’extraire de la mémoire des informations potentiellement sensibles, telles que des mots de passe et des clés de chiffrement. Cependant, pour mener à bien l’attaque, un accès physique ou privilégié à la machine cible sera nécessaire, ce qui signifie qu’exploiter ce problème en pratique est une tâche très difficile.

Le rapport d’expert indique qu’une condition de concurrence critique se produit lorsque plusieurs threads tentent simultanément d’accéder à une ressource partagée, ce qui peut conduire à des vulnérabilités pouvant être exploitées de diverses manières, notamment l’exécution de code arbitraire, le contournement de sécurité et l’extraction de données.

Pour éviter que de telles situations ne se produisent, les systèmes d’exploitation modernes utilisent des primitives de synchronisation, mais l’analyse des chercheurs a montré que les conditions de concurrence peuvent être combinées avec une exécution particuliére.

« Notre principale conclusion est que toutes les primitives de synchronisation courantes implémentées à l’aide de branches conditionnelles peuvent être contournées microarchitecturalement sur des chemins spéculatifs à l’aide de l’ attaque Spectre v1 (CVE-2017-5753), provoquant une condition de concurrence spéculative dans toutes les zones critiques sans race (SRC). ce qui permettra aux attaquants d’extraire des informations du logiciel cible« , ont expliqué les chercheurs dans un article de blog .

GhostRace : la menace fantôme pour Intel, AMD, ARM et IBM

Afin de mener une attaque et de « gagner » la course, l’exécution du processus victime doit être interrompue au bon moment et maintenue afin que l’attaquant puisse effectuer ce que les chercheurs appellent un SCUAF (Speculative Concurrent Use-After-Free). ) attaque.

Pour cela, les scientifiques ont utilisé une nouvelle technique d’attaque appelée Inter-Process Interrupt (IPI) Storming, qui consiste à faire déborder le cœur du processeur du processus cible. En conséquence, ils ont démontré une attaque SCUAF sur le noyau Linux, qui a entraîné une fuite d’informations de la mémoire du noyau à une vitesse de 12 kilo-octets par seconde.

Bien que l’étude se soit concentrée sur les architectures x86 et Linux, les experts ont déclaré que les produits d’autres fabricants, ainsi que les logiciels autres que Linux, étaient sensibles à l’attaque.

« En général, tout logiciel est vulnérable au SRC, par exemple un système d’exploitation, un hyperviseur, etc., qui implémente des primitives de synchronisation via des branches conditionnelles sans aucune instruction de sérialisation et s’exécute sur n’importe quelle microarchitecture (par exemple, x86, ARM, RISC). -V, etc.), ce qui permet d’exécuter des branches conditionnelles de manière spéculative« , expliquent les chercheurs.

Les ingénieurs d’Intel, AMD, Arm et IBM ont été informés du problème GhostRace fin 2023 et ont, à leur tour, signalé la vulnérabilité aux fabricants de systèmes d’exploitation et d’hyperviseurs.

AMD a publié cette semaine un avis informant ses clients que les conseils précédents sur la protection contre les attaques Spectre devraient également aider à prévenir les attaques GhostRace.

Les développeurs de l’ hyperviseur Xen ont également émis un avertissement correspondant et développé un mécanisme de protection. Bien qu’ils aient confirmé que techniquement toutes les versions de Xen sont affectées par le problème GhostRace, le projet n’utilise pas de gadgets vulnérables à GhostRace, et l’équipe de sécurité de Xen ne pense pas qu’il y ait un besoin urgent de prendre des mesures, donc les mesures de protection sont désactivés par défaut.

Les développeurs Linux ont implémenté une fonctionnalité de limitation de débit IPI qui devrait protéger contre le problème associé IPI Storming (Inter-Process Interrupt Storming) (CVE-2024-26602), mais n’ont pas encore pris de mesures supplémentaires en raison de problèmes de performances potentiels.

En plus de leur article de blog et de leur livre blanc, les chercheurs ont déjà publié un exploit PoC pour GhostRace, des scripts conçus pour analyser le noyau Linux à la recherche de gadgets SCUAF et une liste de gadgets problématiques déjà identifiés. (pdf)

Cyber-attaque, Cybersécurité, Securite informatique

Des traducteurs logiciels malveillants mis en place dans une cyberattaque

Une récente analyse révèle que des applications de traduction compromises sont utilisées pour cibler les Tibétains dans une campagne de cyber espionnage initiée en septembre 2023.

Selon l’entreprise spécialisée en cybersécurité ESET, les pirates responsables seraient affiliés au groupe Evasive Panda, un groupe de hackers malveillants liés au gouvernement chinois. Ils viseraient des individus tibétains résidant en Inde, à Taiwan, à Hong Kong, en Australie et aux États-Unis.

La campagne inclut la corruption de logiciels pour Windows et macOS, ainsi que la compromission du site d’un organisateur du Monlam Festival, un événement religieux annuel se déroulant en Inde. Les assaillants ont injecté du code malicieux sur ce site, créant ainsi une attaque par empoisonnement d’eau, ciblant des groupes spécifiques via des plateformes populaires.

L’attaque était vraisemblablement planifiée pour coïncider avec le festival de Monlam en janvier et février 2024, afin de compromettre les visiteurs du site devenu un vecteur d’attaque. La chaîne d’approvisionnement d’un développeur d’applications de traduction en tibétain a également été corrompue.

Evasive Panda a recouru à divers outils malveillants déjà utilisés dans des attaques en Asie de l’Est, dont MgBot, une porte dérobée pour Windows utilisée par le groupe depuis au moins 2012 pour dérober des données et enregistrer les frappes clavier. En avril, ce malware a été utilisé contre une entreprise de télécommunications en Afrique.

MgBot cible principalement les applications chinoises populaires comme QQ, WeChat, QQBrowser et Foxmail. Il a été identifié une porte dérobée inédite nommée « Nightdoor », employée depuis 2020, notamment contre une cible de premier plan au Vietnam.

La campagne a été découverte en janvier, suite à la détection de code malicieux sur un site géré par le Kagyu International Monlam Trust, promouvant le bouddhisme tibétain. La compromission semble viser à exploiter l’intérêt pour le festival de Bodhgaya. En parallèle, une entreprise indienne développant un logiciel de traduction tibétain a été corrompue, infectant les systèmes Windows et macOS avec des téléchargeurs malveillants.

Un site d’information tibétain, Tibetpost, a également été compromis pour diffuser ces logiciels malveillants. L’utilisation de MgBot a permis d’attribuer ces attaques à Evasive Panda, un groupe actif depuis 2012 et réalisant des attaques alignées sur les intérêts géopolitiques de la Chine.

Cybersécurité, Entreprise, Justice

Spy to love me : un espion chez Google

Un ancien ingénieur logiciel de Google a été accusé par les États-Unis d’avoir volé des secrets commerciaux sur l’intelligence artificielle (IA) alors qu’il travaillait secrètement pour deux sociétés chinoises.

Linwei Ding, également connu sous le pseudonyme de Leon Ding, fait face à des accusations aux États-Unis pour avoir dérobé des secrets d’affaires liés à l’intelligence artificielle (IA) de Google, tout en étant employé simultanément par deux entreprises basées en Chine. Inculpé en Californie sur quatre chefs d’accusation, Ding a été arrêté mercredi. Le citoyen chinois est accusé d’avoir subtilisé plus de 500 documents confidentiels. En cas de condamnation, il encourt une peine maximale de 10 ans de prison et une amende de 250 000 $ pour chaque accusation.

À ce jour, aucun représentant légal de Ding n’a été cité pour réagir à ces allégations, selon des rapports de presse locaux. Ding est suspecté d’avoir collecté des informations critiques sur l’infrastructure des data centers de supercalcul de Google, essentiels pour l’hébergement et l’entraînement de vastes modèles d’IA. D’après l’accusation, Google l’avait recruté en 2019 pour développer ce type de logiciel. Il aurait entamé le téléchargement de données depuis le réseau de Google vers un compte personnel en mai 2022, une activité qui s’est étendue sur un an.

Pendant ce temps, il a séjourné plusieurs mois en Chine pour collaborer avec Beijing Rongshu Lianzhi Technology, une startup qui lui avait proposé un poste de directeur de la technologie avec un salaire mensuel de 14 800 $. Il est également le fondateur de Shanghai Zhisuan Technology, une entreprise spécialisée dans l’IA et l’apprentissage automatique, dont il est le PDG. Des tentatives de communication avec Rongshu ont été faites par la BBC, tandis que Zhisuan n’était pas joignable pour commentaire.

Les procureurs soulignent que Ding n’a jamais informé Google de son engagement avec ces sociétés. Selon l’acte d’accusation, il a sollicité l’aide d’une organisation chinoise pour développer son entreprise, qu’il a présentée lors d’une conférence d’investisseurs en Chine en novembre 2023. Il a été dénoncé par Google le mois suivant alors qu’il tentait de télécharger davantage de fichiers en Chine, mais a prétendu à l’enquêteur de Google que c’était pour prouver son affiliation avec le géant tech.

Après son retour aux États-Unis, et à l’insu de Google, Ding aurait planifié un voyage sans retour de San Francisco à Pékin, avant de démissionner le 26 décembre. Google a ensuite suspendu son accès après avoir découvert ses actions durant la conférence, révélant ainsi les téléchargements non autorisés à travers son historique d’activités.

Android, Cybersécurité, Logiciels, Mise à jour

Correctifs importants pour Android

Google a publié de nouveaux correctifs pour Android, éliminant un total de 38 failles.

Début mars 2024, Google a mis en place 38 correctifs corrigeant son outil Android. Deux vulnérabilités affectant le composant Système ont été classées comme critiques. Ces derniers portent les identifiants CVE-2024-0039 et CVE-2024-23717.

Tout d’abord, ils sont dangereux pour les utilisateurs d’Android 12, 12L, 13 et 14. Grâce à CVE-2024-0039, les attaquants peuvent exécuter du code malveillant à distance, et CVE-2024-23717 permet une élévation des droits dans le système d’exploitation.

Dans l’avis officiel, Google indique que « La plus dangereuse des vulnérabilités corrigées réside dans le composant système. Cela peut conduire à l’exécution de code à distance sans qu’il soit nécessaire d’obtenir des droits supplémentaires sur le système. »

Les développeurs ont corrigé les deux failles critiques avec la publication de la première partie des mises à jour Android de mars. 11 lacunes supplémentaires ont été corrigées. Huit vulnérabilités sont contenues dans le composant Framework, et trois autres dans le même système. Tous ces problèmes comportent un degré de risque élevé et peuvent conduire à une élévation de privilèges, à une divulgation d’informations et à une interruption de service (DoS).

La deuxième partie de l’ensemble de correctifs – niveau de correctif de sécurité 2024-03-05 – comble 25 trous dans les composants AMLogic, Arm, MediaTek et Qualcomm. De plus, Google a signalé avoir éliminé plus de 50 vulnérabilités dans les smartphones Pixel.

backdoor, Cybersécurité, Microsoft

Midnight blizzard : cyberattaque d’envergure contre Microsoft

Dans le paysage numérique actuel, les cyberattaques représentent une menace constante pour les entreprises et les organisations à travers le monde. Récemment, Microsoft a révélé avoir été la cible de Midnight Blizzard, un groupe de cyber espionnage lié au Kremlin.

Également connu sous les noms de APT29 et Cozy Bear, Midnight Blizzard a fait son apparition dans le paysage cybernétique en janvier 2024, lorsque Microsoft a signalé une attaque APT (Advanced Persistent Threat) ciblant les adresses électroniques de ses dirigeants et employés. La situation s’est aggravée lorsque Microsoft a découvert que des informations volées au sein de ses systèmes étaient utilisées pour accéder de manière non autorisée à ses réseaux.

Le groupe de pirates aurait réussi à infiltrer des référentiels contenant du code source ainsi que certains systèmes internes de l’entreprise. Heureusement, selon les informations actuelles, les systèmes d’interaction avec les clients semblent avoir été épargnés.

La réaction de microsoft face à l’attaque

Face à cette menace, Microsoft a rapidement entrepris une enquête approfondie pour évaluer l’ampleur du cyber incident et ses potentielles répercussions. L’entreprise surveille également de près l’utilisation des informations compromises dans le but de prévenir toute attaque ultérieure. Microsoft a souligné que les attaques menées par Midnight Blizzard se distinguent par l’ampleur des ressources déployées, la coordination et la détermination des cybercriminels, utilisant les données volées pour identifier de nouvelles cibles potentielles. Voilà qui expliquerait, peut-être, le nombre de 0day mis en vente, ces dernières semaines et révélées par ZATAZ.

Dans son billet de blog, Microsoft a mis en lumière les mesures de sécurité prises pour contrer les menaces posées par des acteurs de cyber espionnage de niveau gouvernemental comme Midnight Blizzard. Ces mesures reflètent l’engagement de l’entreprise à protéger ses infrastructures critiques et la sécurité de ses clients. En mettant l’accent sur la prévention, la détection et la réponse rapide aux incidents, Microsoft cherche à minimiser l’impact de telles attaques sur ses opérations et à garantir la continuité de ses services.

cyberattaque, Cybersécurité

Phishing : le bilan alarmant de la cybersécurité

Un acteur majeur dans la lutte contre les cybermenaces a récemment publié les résultats édifiants de sa deuxième édition du baromètre annuel de la cybersécurité. Cette étude, basée sur l’analyse de 5,9 milliards de courriels et représentant plus de 2 millions d’utilisateurs, dévoile un panorama complexe et inquiétant de la cybersécurité actuelle.

En 2023, 1,6 milliard de courriers indésirables ont été interceptés et 143 millions de tentatives de cyberattaques, principalement sous forme de phishing, ont été neutralisées par la société MailingBlack, mettant en lumière l’ingéniosité et la persévérance des cybercriminels. L’étude révèle que des marques de confiance telles que La Poste, WeTransfer, Amazon, Microsoft, et Google sont fréquemment imitées dans le but de leurrer les utilisateurs. 7,6 % des spams contiennent des cybermenaces. 77,5 % de ces assauts numériques se manifestent par un hameçonnage exploitant des biais cognitifs humains tels que le stress, la curiosité, et l’appât du gain pour piéger les employés.

Les petites et moyennes entreprises (PME), suivies des administrations publiques, figurent parmi les cibles privilégiées. Ces entités, souvent moins armées contre les cybermenaces, se retrouvent en première ligne face à des adversaires numériques de plus en plus sophistiqués. Le secteur du commerce se distingue particulièrement, victime de 82 % des attaques exploitant des macros malveillantes dans des documents Word ou Excel, par exemple.

Par ailleurs, les postes de direction et les fonctions marketing sont particulièrement visés, soulignant la stratégie des attaquants de cibler les maillons clés au sein des organisations pour maximiser leur impact. Les postes de direction sont visés, en moyenne, 25 fois par mois. Vient ensuite, les postes marketing, avec 21 tentatives. Les postes administratifs arrivent quant à eux en troisième position, avec 9 tentatives par mois.

Les biais cognitifs auxquels les collaborateurs sont le plus sensibles, sont aussi les plus triviaux : le stress, la curiosité et l’appât du gain. Les messages pour les piéger varient peu, ou pas. Ils restent cependant très efficace. Voici quelques exemples repérés par ZATAZ et MailingBlack.

Promotions et événements spéciaux : “Profitez de notre offre exclusive Black Friday ! Des surprises incroyables vous attendent” ;
Facturation et paiements : “Alerte de facture impayée !” ;
Offres d’entreprise et bien-être : “Améliorez le bien-être de votre équipe ! Découvrez nos solutions exclusives” ;
Logistique et livraison : “Alerte de colis en attente ! Confirmez vos détails de livraison immédiatement !” ;
Sécurité et authentification : “Action requise pour votre sécurité ! Veuillez confirmer votre numéro de téléphone pour protéger votre compte”.

backdoor, Cybersécurité

Une attaque de phishing innovante met en péril la sécurité des comptes des propriétaires de voiture Tesla ?

Une attaque de phishing innovante met en péril la sécurité des comptes des propriétaires de voiture Tesla ?

Récemment, Talal Haj Bakry et Tommy Mysk, experts en cybersécurité, ont mis en lumière une méthode de phishing particulièrement préoccupante qui cible les propriétaires de véhicules Tesla. Grâce à l’utilisation d’un dispositif Flipper Zero, les chercheurs ont démontré qu’il est possible de compromettre un compte Tesla, permettant ainsi de déverrouiller et potentiellement voler un véhicule. Cette vulnérabilité persiste même après la mise à jour vers la dernière version de l’application Tesla (4.30.6) et du firmware (version 11.1 2024.2.7).

https://twitter.com/mysk_co/status/1765783975056851004

Le processus d’attaque détaillé

L’exploit décrit par Bakry et Mysk repose sur la création d’un faux réseau Wi-Fi nommé « Tesla Guest », simulant ceux fréquemment trouvés dans les centres de service Tesla. En se connectant à ce réseau, les victimes sont redirigées vers une page de connexion imitant celle de Tesla, où leurs identifiants sont capturés par l’attaquant. L’étape suivante du processus consiste à obtenir un mot de passe à usage unique (OTP) nécessaire pour contourner l’authentification à deux facteurs, permettant à l’attaquant de se connecter à l’application Tesla et d’accéder à la localisation du véhicule en temps réel.

Les implications de l’attaque

Le succès de cette attaque repose sur la possibilité d’ajouter une nouvelle clé de téléphone au compte Tesla compromis, une opération qui ne requiert pas la présence physique de l’attaquant à l’intérieur du véhicule, mais seulement à proximité immédiate. Cette méthode expose les propriétaires de Tesla à un risque accru, d’autant plus que l’ajout d’une nouvelle clé n’engendre aucune notification ni alerte via l’application ou sur le tableau de bord du véhicule.

Recommandations de sécurité

Face à cette menace, qu’il faut tout de même modérer [il faut de nombreuses interactions] les chercheurs suggèrent que l’ajout d’une nouvelle clé de téléphone devrait exiger une authentification supplémentaire, telle que la présentation d’une clé de carte Tesla physique. Cette mesure renforcerait considérablement la sécurité, ajoutant une couche d’authentification pour le nouvel appareil.

Malgré la remise en question de cette procédure par Tesla, qui considère le comportement observé comme normal, il est clair que des mesures supplémentaires doivent être envisagées pour protéger les propriétaires de Tesla contre ces attaques de phishing de plus en plus sophistiquées.

Cybersécurité, Entreprise, Mise à jour, Patch

Qnap alerte sur des vulnérabilités critiques dans ses systèmes d’exploitation

Dans le monde toujours connecté d’aujourd’hui, la sécurité des systèmes informatiques est devenue une priorité absolue pour les entreprises et les particuliers. QNAP, une entreprise leader dans le domaine du matériel de sauvegarde informatique, a récemment mis en lumière des vulnérabilités critiques dans plusieurs de ses systèmes d’exploitation.

QNAP a identifié des failles de sécurité dans ses systèmes d’exploitation QTS, QuTS hero, QuTScloud et myQNAPcloud. Ces vulnérabilités, si elles sont exploitées, pourraient permettre à des attaquants d’accéder aux appareils des utilisateurs et de compromettre la sécurité des systèmes concernés. Les vulnérabilités affectent un large éventail de versions des systèmes d’exploitation de QNAP, ce qui rend un grand nombre d’appareils potentiellement vulnérables.

Comprendre les risques

Les vulnérabilités identifiées par QNAP comprennent un contournement d’authentification (CVE-2024-21899), une injection de commandes (CVE-2024-21900) et une injection SQL (CVE-2024-21901). La nature de ces failles varie, mais elles partagent un point commun : elles pourraient toutes compromettre gravement la sécurité des systèmes affectés.

La plus préoccupante des vulnérabilités, CVE-2024-21899, permet à des utilisateurs non autorisés de compromettre à distance la sécurité du système sans nécessiter d’authentification. Cela signifie que cette vulnérabilité pourrait être exploitée par n’importe qui ayant accès à Internet, rendant les systèmes non mis à jour extrêmement vulnérables aux attaques.

Mesures correctives de qnap

En réponse à ces vulnérabilités, QNAP a rapidement publié des mises à jour pour ses systèmes d’exploitation, visant à corriger les failles de sécurité et à renforcer la protection des appareils des utilisateurs. Les versions mises à jour qui résolvent ces vulnérabilités sont les suivantes :

QTS 5.1.3.2578 20231110 et versions ultérieures ;
QTS 4.5.4.2627 20231225 et versions ultérieures ;
QuTS hero h5.1.3.2578 20231110 et versions ultérieures ;
QuTS hero h4.5.4.2626 20231225 et versions ultérieures ;
QuTScloud c5.1.5.2651 et versions ultérieures ;
myQNAPcloud 1.0.52 (2023/11/24) et versions ultérieures.

L’importance de la mise à jour

QNAP conseille vivement à tous les utilisateurs de ses systèmes d’exploitation de procéder à ces mises à jour sans délai. La mise à jour des systèmes d’exploitation est une étape cruciale pour garantir la sécurité des données et la protection contre les attaques extérieures. Dans un monde où les menaces informatiques évoluent constamment, maintenir ses systèmes à jour est le meilleur moyen de se prémunir contre les vulnérabilités potentielles.

Cybersécurité, Entreprise, Mise à jour

Alerte sécurité : une vulnérabilité critique chez Fortinet menace 150 000 appareils

La cybersécurité est un domaine en constante évolution, où les menaces et les vulnérabilités émergent à un rythme alarmant. Un récent rapport de la Shadowserver Foundation met en lumière une vulnérabilité critique affectant les appareils Fortinet FortiOS et FortiProxy. 

Identifiée et corrigée le mois dernier, la vulnérabilité CVE-2024-21762 a reçu un score CVSS alarmant de 9,6, soulignant sa gravité. Ce bug critique réside dans FortiOS et est lié à un enregistrement hors limites. Il permet à des attaquants non authentifiés d’exécuter à distance du code arbitraire en envoyant des requêtes HTTP spécialement conçues. Ce qui rend cette vulnérabilité particulièrement dangereuse, c’est sa capacité à permettre l’exécution de code sans nécessiter d’authentification préalable.

L’exploitation active de la vulnérabilité

Le caractère critique de CVE-2024-21762 a attiré l’attention de l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA), qui a rapidement ajouté cette vulnérabilité à sa liste de failles déjà exploitées par des attaquants. Cette inclusion souligne non seulement la gravité du problème mais aussi le fait qu’il est activement exploité dans des attaques de cyberpirates.

L’ampleur de la menace : 150 000 appareils vulnérables

La Shadowserver Foundation a lancé un avertissement concernant l’ampleur de cette menace. Selon leurs analyses, environ 150 000 appareils Fortinet FortiOS et FortiProxy restent vulnérables à CVE-2024-21762. Les États-Unis comptent le plus grand nombre de ces appareils vulnérables, avec plus de 24 000 cas recensés. Des nombres significatifs d’appareils affectés ont également été identifiés en Inde, au Brésil et au Canada, soulignant l’impact global de cette vulnérabilité.

Comment vérifier et protéger vos appareils

Les administrateurs de système ne sont pas sans défense face à cette vulnérabilité. Un script Python spécial, développé par les spécialistes en sécurité de l’information de BishopFox, est disponible pour aider à identifier les appareils vulnérables. Il est crucial pour les administrateurs de vérifier l’état de leurs systèmes et d’appliquer les correctifs nécessaires pour se protéger contre les exploitations potentielles de cette faille critique.

Cybersécurité, Entreprise

BlueFiles : l’outil indispensable pour sécuriser vos transferts

Le service français Bluefiles s’arme de nouvelles options permettant de sécuriser vos transferts.

Dans le monde professionnel d’aujourd’hui, la sécurité des données et des communications électroniques est une préoccupation majeure. Il existe de nombreuses solutions apportant des solutions pour répondre à ce défi, renforçant la confidentialité et la sécurité des informations échangées. Il y a un an, ZATAZ nous faisait découvrir un outil étonnant, 100% français, offrant une solution de transfert de fichiers sécurisé : Bluefiles. J’utilise d’ailleurs cette solution pour transmettre et recevoir des documents en toute sécurité. Un an plus tard, retour sur l’évolution de cette solution venue du Sud de la France.

Simplicité d’usage et intégration transparente

BlueFiles se distingue par sa capacité à s’intégrer de manière fluide dans les routines quotidiennes, notamment en se greffant sur Microsoft Outlook grâce à un complément (AddIn). Cette intégration permet aux utilisateurs de continuer à composer leurs courriers électronique et joindre des fichiers comme ils le feraient habituellement, tout en offrant la possibilité de sécuriser les envois en un clic. Une nouveauté notable réside dans l’option laissée à l’utilisateur de choisir ou non de sécuriser chaque message envoyé, renforçant ainsi la flexibilité sans compromettre la sécurité. Il est toujours possible de blinder le transfert par un mot de passe et une auto destruction selon un timing prédéterminé.

Capacités étendues de transfert de fichiers

Dans sa dernière mise à jour, BlueFiles augmente la capacité de transfert de fichiers jusqu’à 2 Go en standard, répondant ainsi aux besoins croissants de partage de fichiers volumineux dans le cadre professionnel. L’outil introduit également un système d’accusés de réception, informant l’expéditeur dès que les destinataires accèdent aux données ou téléchargent les pièces jointes. Cette fonctionnalité renforce la traçabilité et assure une meilleure responsabilité dans la gestion des informations sensibles.

Comptes partagés et anonymisation

BlueFiles innove en proposant la mise en œuvre de comptes partagés, simulant le fonctionnement des boîtes électroniques de service, tout en garantissant une traçabilité nominative des actions réalisées à partir de ces comptes. Cette fonctionnalité favorise la continuité du service et une meilleure gestion des communications au sein des équipes. Une avancée particulièrement intéressante est la possibilité de créer et de publier des formulaires réglementaires sans nécessiter de compétences en programmation. Cette option simplifie considérablement les démarches administratives et réglementaires pour les entreprises.

Le Filigrane dynamique : une innovation marquante

Pour la diffusion de documents sensibles ou personnels, BlueFiles propose une liseuse PDF en ligne sécurisée. Cette innovation permet aux destinataires de consulter les documents directement dans leur navigateur sans devoir les télécharger, offrant ainsi une couche supplémentaire de protection. Enfin, BlueFiles introduit le concept du Filigrane dynamique, inspiré de l’intelligence Corse. Cette technologie permet d’insérer des informations personnelles spécifiques à chaque destinataire, telles que leur adresse IP ou leur adresse électronique, directement dans le filigrane du document. Cette approche sensibilise les destinataires à la confidentialité des informations reçues et renforce leur responsabilité individuelle, tout en facilitant l’identification de la source en cas de fuite de données.

Cybersécurité, escroquerie, Social engineering

Opération texonto : campagne de désinformation russophone

Mise à jour d’une nouvelle vaste campagne de désinformation psychologique déployée via des courriels, visant à influencer l’opinion publique ukrainienne par la diffusion de fausses informations suggérant que la Russie prenait l’avantage dans le conflit.

Lancés en deux temps, en novembre puis fin décembre 2023, ces courriers électroniques propageaient des messages sur les coupures de chauffage, les manques de médicaments, et les pénuries de nourriture, reprenant les thèmes récurrents de la propagande russe. En outre, en octobre 2023, la société ESET a découvert une attaque par hameçonnage ciblant une entreprise de défense ukrainienne, suivie en novembre par une attaque similaire visant une agence de l’UE, utilisant de fausses pages de connexion Microsoft dans le but de dérober des identifiants de connexion à Microsoft Office 365. La similarité des infrastructures réseau utilisées pour ces différentes campagnes permet de les associer avec une grande certitude.

Avec le conflit en cours en Ukraine, des groupes pro-russes comme Sandworm se sont illustrés par des attaques visant à saboter l’infrastructure informatique ukrainienne au moyen de logiciels destructeurs. Ces derniers temps, une intensification des activités de cyber espionnage a été notée, notamment de la part du groupe Gamaredon, tristement célèbre. L’opération Texonto illustre un tournant dans l’utilisation des technologies numériques pour influencer le cours de la guerre. A noter que certains groupes, comme Killnet, se sont rabattus sur leur business de base, les fraudes bancaires. D’autres groupes sont apparus, comme NighMare, sans vraiment afficher une efficacité militaire et étatique.

L’association inhabituelle d’espionnage, de manipulation de l’information et de faux messages médicaux rappelle les agissements de Callisto, un groupe de cyberespionnage aligné sur la Russie, dont deux membres ont été inculpés le 7 décembre 2023 par le département américain de la Justice. Bien que Callisto soit connu pour cibler des fonctionnaires gouvernementaux et des organisations militaires via des sites d’hameçonnage, aucune connexion technique directe n’a été établie entre Texonto et Callisto. Néanmoins, en raison des méthodes, cibles, et messages diffusés, Texonto est attribué avec une haute confiance à un groupe soutenu par la Russie.

Les enquêteurs ont observé la réutilisation d’un serveur de messagerie par les assaillants, initialement pour les opérations de désinformation, puis pour envoyer des spams typiques des pharmacies canadiennes, une pratique courante au sein de la communauté cybercriminelle russe. D’autres investigations ont révélé des domaines liés à l’opération Texonto et à des affaires internes russes, comme le cas d’Alexeï Navalny, opposant russe emprisonné décédé le 16 février 2024, suggérant des tentatives de cibler des dissidents russes et les partisans de Navalny.

La première salve d’emails visait à instiller le doute chez les Ukrainiens avec des messages préoccupants sur le chauffage ou des manques de médicaments, sans inclure de liens malveillants, se concentrant purement sur la désinformation. Un domaine imitant le ministère ukrainien de la Politique agricole proposait des remèdes à base de plantes en remplacement des médicaments et suggérait des recettes improbables comme du « risotto au pigeon ».

Un mois plus tard, une seconde vague d’emails a été lancée, ciblant non seulement les Ukrainiens mais aussi des citoyens d’autres pays européens, avec des messages plus sinistres incitant à des mutilations pour échapper à la conscription. Cette campagne reflète les tactiques de guerre psychologique utilisées dans les conflits.

Chiffrement, Cybersécurité, VPN

VPN : un bug permettait de connaitre les sites web visités

L’équipe derrière le VPN ExpressVPN a émis un avertissement concernant la nécessité de retirer la fonctionnalité de split tunneling de leur logiciel. Cette décision a été prise après la découverte d’un défaut lié à cette option, lequel exposait les noms de domaines consultés par les utilisateurs.

Février 2024, un défaut a été identifié par les experts de CNET et concernait uniquement les versions de l’application ExpressVPN pour Windows (de la version 12.23.1 à la 12.72.0) distribuées entre le 19 mai 2022 et le 7 février 2024. Le problème se manifestait exclusivement chez les utilisateurs activant le split tunneling, une fonction permettant de diriger une partie du trafic internet soit via le VPN, soit en dehors, facilitant ainsi un accès local sécurisé. À cause de cette faille, les requêtes DNS des utilisateurs bypassaient l’infrastructure sécurisée d’ExpressVPN pour être redirigées vers les serveurs DNS du fournisseur d’accès internet (FAI) de l’utilisateur.

Normalement, les requêtes DNS transitent par les serveurs d’ExpressVPN empêchant les Fournisseurs d’Accès à Internet et autres entités de suivre les activités en ligne des utilisateurs. Toutefois, ce bug a conduit certaines de ces requêtes vers les serveurs DNS par défaut du système de l’utilisateur (généralement ceux du FAI), permettant ainsi de détecter les sites web consultés par l’utilisateur. Les clients sous Windows et ayant activé le split tunneling rendaient leur historique de navigation accessible. Gênant !

« Ce défaut redirigeait certaines requêtes DNS vers un serveur externe, généralement celui du FAI. Cela donnait au FAI la possibilité de connaître les domaines consultés par l’utilisateur, comme google.com, sans toutefois pouvoir accéder aux pages spécifiques, aux requêtes de recherche ou à d’autres activités en ligne. L’intégralité du trafic internet de l’utilisateur restait cryptée, rendant son contenu invisible au FAI ou à toute autre partie externe« , ont expliqué les développeurs d’ExpressVPN.

Ce problème n’aurait touché qu’environ 1 % des utilisateurs Windows et qu’il avait été observé uniquement en mode split tunneling.

Les utilisateurs ont été invités à mettre à jour leur logiciel vers la version la plus récente.

Cybersécurité, Phishing

Tendances des campagnes de phishing : les pirates aiment le mardi !

Dans le paysage évolutif de la cybersécurité, des chercheurs ont miss en évidence des tendances dans le comportement des cybercriminels, en particulier en ce qui concerne les campagnes de phishing par courrier électronique.

Des spécialistes ont identifié les tendances dominantes dans le domaine des campagnes de phishing par email pour l’année 2023. Ils ont observé que le mardi est devenu le jour favori des cybercriminels pour lancer des attaques de phishing, avec un constat que près de 98 % des malwares identifiés dans ces emails étaient dissimulés dans des pièces jointes, majoritairement sous forme d’archives .rar et .zip.

L’analyse révèle que le début de semaine, et particulièrement le mardi avec 19,7 % du volume total d’emails malveillants, est le moment choisi par les attaquants pour intensifier l’envoi d’emails de phishing. Le volume d’envois diminue progressivement après le mercredi, atteignant son niveau le plus bas le dimanche avec seulement 7,1 % des emails malveillants envoyés.

Les pièces jointes restent le vecteur principal de transmission de malwares, présentes dans 98 % des cas. En revanche, l’utilisation d’emails contenant des liens malveillants est en légère réduction, représentant un peu plus de 1,5 % des cas l’année dernière. Ceci est expliqué par le fait que télécharger un malware depuis un site externe ajoute une étape visible supplémentaire qui peut être détectée par les dispositifs de sécurité classiques.

La taille des pièces jointes malveillantes varie, mais celles pesant entre 512 Ko et 1 Mo sont les plus courantes, représentant plus de 36 % des envois de phishing. Les formats d’archive .rar, .zip et .z sont les plus utilisés pour regrouper les malwares, contenant principalement des fichiers exécutables au format PE.

On note également une baisse de l’utilisation des documents bureautiques comme vecteurs de malwares, avec une diminution notable de la part des fichiers au format .xls et .doc, ce qui suggère une diminution de l’efficacité de cette méthode due à l’amélioration des mesures de sécurité de Microsoft Office.

Parmi les malwares les plus fréquemment trouvés dans les emails malveillants de 2023, on retrouve le logiciel espion Agent Tesla, ainsi que les malwares de type FormBookFormgrabber et Loki PWS.

Une évolution qui apparait aussi dans la qualité des courriels piégés, qui exploitaient auparavant des sujets d’actualité et étaient le fait de cybercriminels professionnels ou de groupes sophistiqués. Des courriers électroniques de plus en plus conçus pour voler des données pouvant être vendues ou utilisées dans le cadre d’attaques ciblées contre des organisations.

Chiffrement, cyberattaque, ransomware

Un petit vaccin pour le ransomware Rhysida

Des chercheurs en Corée du Sud ont identifié une faille dans le ransomware Rhysida, permettant la création d’un outil de décryptage gratuit pour les fichiers Windows affectés. Toutefois, certains experts critiquent la divulgation de ce défaut.

Lancé mi-2023, le groupe de pirates Rhysida a ciblé des secteurs variés, dont l’éducation et la santé. La Bibliothèque nationale britannique figure parmi ses victimes notables, ayant subi une attaque à l’automne. L’Université Kookmin et la KISA ont révélé une vulnérabilité dans le générateur de nombres pseudo-aléatoires de Rhysida, exploitée pour générer des clés de déchiffrement uniques par attaque, permettant ainsi de concevoir un outil pour restaurer les données chiffrées sans frais.

Ils ont détaillé dans leur étude que Rhysida utilisait LibTomCrypt pour le chiffrement et traitait les données en parallèle pour une efficacité accrue. Le programme appliquait un chiffrement discontinu, une stratégie courante chez les ransomwares pour accélérer le processus tout en évitant la détection, en alternant entre chiffrement et non-chiffrement de segments de données. Le décryptage fut possible grâce à l’analyse du modèle de chiffrement et l’application sélective de la clé correcte.

Les chercheurs ont expliqué que Rhysida se servait d’un CSPRNG basé sur l’algorithme ChaCha20 pour créer des clés de chiffrement, utilisant une valeur initiale dérivée de l’heure système, rendant la graine prévisible. En exploitant cette faille, ils ont mis au point une méthode pour reconstruire l’état du CSPRNG en testant différentes valeurs initiales, permettant de prédire les nombres aléatoires et de restaurer les fichiers chiffrés sans la clé originale.

Leur outil de décryptage est disponible sur le site de la KISA, avec un rapport technique et des instructions d’utilisation.

Peu après cette révélation, Fabian Vosar a indiqué que d’autres avaient découvert cette vulnérabilité mais avaient choisi de ne pas la rendre publique. Avast (octobre 2023), le CERT français (juin 2023), et Vosar lui-même, en mai 2023, avaient identifié la faille, permettant le décryptage de nombreux systèmes. Vosar a précisé que cette faille ne s’applique qu’à la version Windows de Rhysida, et non aux versions ESXi ou PowerShell, avertissant que les créateurs de Rhysida pourraient rapidement corriger cette vulnérabilité, rendant la récupération de fichiers sans rançon de nouveau impossible.

Cybersécurité, Mise à jour, Patch

AlerteCyber : Faille Microsoft Outlook

Aprés les Etats-Unis le 13 février 2024, Cybermalveillance.gouv.fr déclenche une AlerteCyber concernant une faille de sécurité critique dans Microsoft Outlook. Il est primordial de la corriger le plus rapidement possible en mettant à jour les systèmes concernés pour réduire les risques d’une cyberattaque.

Mis en place en juillet 2021, AlerteCyber est un dispositif lancé dès lors qu’une menace ou une faille critique est identifiée et qualifiée en tant que telle, conjointement par l’ANSSI et Cybermalveillance.gouv.fr. Son objectif est d’informer les entreprises, collectivités et associations de toute taille face à la menace afin de les inciter à prendre les mesures qui s’imposent pour se protéger.

Dans le cadre du dispositif, Cybermalveillance.gouv.fr a publié une alerte de cybersécurité concernant une faille de sécurité critique dans Microsoft Outlook.
De quoi s’agit-il ? Quels sont les risques encourus ? Quels systèmes sont concernés et surtout, quelles mesures doivent être prises ?

Description de la vulnérabilité

Une faille de sécurité critique immatriculée CVE-2024-21413 a été corrigée dans le produit Microsoft Outlook pour Windows. L’alerte avait été lancée le 13 février 2024. Des cybercriminels pourraient très prochainement exploiter cette vulnérabilité pour conduire des attaques massives contre les systèmes vulnérables. Il est vivement conseillé d’appliquer au plus vite sur les systèmes concernés la mise à jour publiée par Microsoft qui corrige cette vulnérabilité et protège de son exploitation.

Quels sont les risques encourus ?

Espionnage, vol, voire destruction de données suite à la prise de contrôle à distance des ordinateurs concernés. Microsoft, le 13 février indiquait la faille comme critique.

Cybersécurité, Entreprise

L’association InterCERT France alerte les entreprises et les organisations sur l’enjeu sécuritaire lié à leur dépendance aux solutions Microsoft

Microsoft est aujourd’hui omniprésent au sein des organisations publiques et privées, créant une forme d’addiction à ses solutions. L’association française des CERT, InterCERT France, interpelle les entreprises et organisations sur la dangereuse dépendance dans laquelle elles se placent du point de vue technologique, financier et des failles de sécurité inhérentes aux produits de Microsoft. Cette préoccupation ne se limite pas seulement à la question de la sécurité informatique et des coûts, mais elle soulève également des interrogations quant à la souveraineté numérique. 

En effet, la dépendance excessive à un fournisseur étranger peut compromettre la capacité d’un pays à exercer son contrôle et sa gouvernance sur ses propres infrastructures et données. En encourageant une diversification des fournisseurs et en favorisant le développement de solutions alternatives nationales ou européennes, les entreprises et les organisations pourraient renforcer leur souveraineté numérique et réduire les risques associés à une dépendance exclusive à un seul acteur du marché comme Microsoft.

L’InterCERT France est la première communauté de CERT en France. C’est le seul “collectif” rassemblant des membres experts en matière de sécurité cyber, oeuvrant par le partage de bonnes pratiques, l’entraide et la collaboration.

C’est dans le souci de préserver au maximum la sécurité des organisations publiques et privées que l’InterCERT France estime crucial de les alerter sur les risques auxquels elles s’exposent en laissant petit à petit les GAFAM, Microsoft en tête, installer leur monopole.

Anatomie d’une dépendance

Microsoft a su créer une « addiction » auprès des entreprises et des administrations de toutes tailles, par sa simplicité d’usage et son efficacité pour structurer l’ensemble d’un système d’information (annuaire, messagerie, bureautique, collaboration, bases de données…) sous forme d’offres imbriquées.

« Exemple : avec l’annuaire Active Directory. Microsoft mène actuellement une politique commerciale agressive auprès de ses clients afin qu’ils évoluent d’un modèle informatique « à demeure » vers un modèle entièrement cloud. Utilisant massivement des logiciels comme Microsoft Exchange ou Office, les organisations se trouvent dans la quasi impossibilité de se passer des annuaires de l’éditeur… Et Microsoft joue de cela comme effet de bascule, en fournissant en priorité aux clients de ses offres cloud (Azure, Office 365) les nouvelles fonctions et mises à jour de ces logiciels. » explique Frédéric Le Bastard, Président de l’InterCERT France.

Faute d’alternative, les entreprises et administrations développent un point névralgique, prêtant le flan aux cyber attaquants. Quand cette porte d’entrée est compromise, le risque affecte aussitôt l’ensemble du système d’information, et donc le fonctionnement de toute l’organisation, en interne comme en externe.

« Mi-2023 aux États-Unis, des douzaines de structures privées et publiques ont été piratées par la Chine, du fait de lacunes de sécurité dans des produits de Microsoft. Et dans un premier temps, seuls les clients disposant d’un contrat premium (60 % plus cher) en ont été informés par l’éditeur ! Ce qui fit dire à Ron Wyden, sénateur membre du Comité de renseignement des États-Unis que, fournir des produits non sécurisés puis faire payer aux clients des fonctions premium contre le piratage, revient à vendre un véhicule, puis à faire payer en supplément les ceintures de sécurité et les airbags ! » poursuit Frédéric Le Bastard.

Que faire pour limiter ces dérives ?

L’InterCERT France identifie trois leviers pour agir et invite les entreprises et institutions à :

  •       En interne : élever au maximum le niveau de contrôle de sécurité. En utilisant en aval les bons indicateurs, afin de conserver la maîtrise des sauvegardes, des détections, des authentifications à facteur multiple, du chiffrement, de la gestion des clés de sécurité, etc.
  •       Auprès des fournisseurs : proposer des configurations sécurisées par défaut. C’est essentiel pour garantir la sécurité des systèmes et des logiciels. Ces pratiques de sécurité peuvent être intégrées dans les configurations par défaut des systèmes, des applications et des services pour offrir une protection de base contre les menaces « courantes ».
  •       Auprès des pouvoirs publics : renforcer leur action contre les pratiques anticoncurrentielles et menaçantes. Enquêtes antitrust, décisions et amendes, coopération internationale, etc.
Cybersécurité, Entreprise

Protection des mineurs sur internet quelles sont les failles du Digital Services Act ?

Le DSA, Digital Services Act, réglementation européenne entrée pleinement en application le 17 février dernier, a pour objectif de lutter contre la propagation de contenus illicites, de désinformation sur le web et vise également à favoriser la transparence des plateformes vis-à-vis des consommateurs. Face à la généralisation de l’accès des enfants aux smartphones et aux tablettes, la protection des mineurs est donc l’un des enjeux prioritaires de cette nouvelle réglementation. Grazia Cecere, Professeure à Institut Mines-Télécom Business School, spécialiste de l’économie numérique, décrypte cette nouvelle législation.

Le Digital Services Act : acteurs concernés, objectifs et mesures mises en place

Samedi 17 février 2024, le Digital Services Act (DSA) est entré en effet ; il vise entre autres à rendre Internet plus sûr et plus transparent pour les citoyens européens. Cette réglementation va s’appliquer en particulier au gatekeepers – les très grandes plateformes en ligne et les très grands moteurs de recherche, utilisés par plus de 45 millions d’Européens par mois, désignés par la Commission européenne – tels que TikTok, Facebook, Instagram, Airbnb…

Plus généralement, les fournisseurs de plateformes en ligne accessibles aux mineurs sont tenus de mettre en place des mesures appropriées pour garantir un niveau élevé de confidentialité, de sécurité et de sûreté des mineurs sur leurs services. Ce règlement vise notamment à interdire la publicité ciblée sur les plateformes en ligne pour les enfants en se basant sur des catégories spéciales de données personnelles telles que l’ethnicité, les opinions politiques ou l’orientation sexuelle.

Toutefois, ces mesures ne répondent qu’à une petite partie de la problématique et négligent d’autres dangers auxquels sont exposés les mineurs.

DSA, ce que la nouvelle réglementation européenne néglige 

Les très grandes plateformes et très grands moteurs de recherche ont donc à présent l’obligation de prendre des mesures identifiées d’atténuation des risques (vérification de l’âge, mise en place d’outils de contrôle parental ou d’outils permettant d’aider les mineurs à signaler les abus ou à obtenir un soutien…). La publicité ciblée sur les mineurs devient interdite et des sanctions lourdes sont prévues pour les plateformes en infraction. Le problème principal concerne donc les entreprises ciblées : les petites entreprises (entreprises de moins de 50 salariés et de moins de 10 millions d’euros de chiffre d’affaires annuel) sont moins visées par la régulation. Or, dans le marché des applications mobiles pour enfants il y a beaucoup de développeurs de petite taille. 

L’éducation des enfants et des parents représente donc un enjeu majeur. Pour les entreprises, il existe un marché réel pour la création de contenus adaptés pour les enfants, respectueux de la vie privée et de la réglementation et qui puissent offrir une expérience utilisateur éducative et constructive.

Les mineurs et le numérique : quelques chiffres

– Une enquête du Ministère de la culture1 en France indique que 27% des enfants de moins de 2 ans utilisent une tablette ou un smartphone et ce pourcentage augmente à l’âge de 5 ans pour atteindre une utilisation de la tablette par 54% des enfants.
– 74% des enfants sont en ligne avant 14 ans, selon une étude de la CNIL publiée en 2020.
– 26% des enfants européens interrogés déclarent avoir été victimes d’arnaques par phishing.

Cybersécurité, Phishing

Le paysage du phishing en 2023 : une année record

1,76 milliard de courriels pirates diffusés en 2023. Les pages piégées aux couleurs de Facebook ont explosé.

Dans le monde numérique en constante évolution, le phishing continue de représenter une menace significative pour les entreprises et les individus. Le rapport annuel sur le phishing de l’entreprise française Vade, dévoile des statistiques alarmantes qui soulignent l’ampleur et la sophistication croissantes des attaques de phishing au cours de l’année 2023.

La société a analysé 197 000 pages de phishing associées à des courriels uniques, révélant ainsi les tendances et les tactiques employées par les cybercriminels. L’une des conclusions les plus frappantes est la hausse spectaculaire des escroqueries sur les médias sociaux, notamment sur Facebook, où plus de 44 000 sites de phishing ont été identifiés, constituant près d’un quart de toutes les URL de phishing répertoriées cette année.

Le phishing sur les médias sociaux en forte hausse

Le secteur des médias sociaux est celui qui a connu la plus forte croissance annuelle du nombre d’URL de phishing (+110 %). Facebook n’est pas le seul réseau à contribuer à cette hausse : Instagram (9e cette année), WhatsApp (13e) et LinkedIn (23e) y ont aussi joué un rôle dans cette augmentation. Cette multiplication des menaces de phishing intervient alors que les revenus publicitaires de ces réseaux ne cessent de grimper et que les entreprises comptent de plus en plus sur eux pour vendre leurs produits et services, diffuser leurs campagnes marketing et recruter des talents.

Le rapport indique également que les attaques de phishing ont atteint un niveau record en 2023, avec plus de 1,76 milliard d’URL de phishing envoyées dans le monde. Parmi les 20 marques les plus fréquemment usurpées, six sont françaises, démontrant l’impact global et local de cette menace. Facebook, avec une augmentation de 74 % du nombre de sites de phishing uniques le ciblant, occupe la première place du classement pour la troisième année consécutive, suivi de près par des géants technologiques tels que Microsoft, Google, et Netflix.

Microsoft, Google et Netflix dominent les marques du cloud usurpées lors d’attaques de phishing

Avec les médias sociaux, le monde du cloud est le seul secteur à enregistrer une augmentation du nombre d’URL de phishing uniques en 2023. Cette hausse est principalement due à Microsoft (2e), Google (11e) et Netflix (19e). La popularité de Microsoft et Google auprès des hackers ne se dément pas, à l’image de l’intérêt que suscitent leurs plateformes Microsoft 365 et Google Workspace.

Cette année, Microsoft a annoncé avoir dépassé les 382 millions de licences payantes au 3e trimestre 2023. De son côté, Google compte plus de 9 millions d’organisations abonnées à Google Workspace. Ces deux suites restent une cible privilégiée pour les auteurs de phishing.

Les auteurs de phishing ne se contentent pas d’imiter les grandes marques ; ils exploitent également des services légitimes pour contourner les solutions de sécurité email, rendant la détection et la prévention encore plus difficiles. De plus, l’émergence des marketplaces de Phishing-as-a-Service (PhaaS) témoigne de la professionnalisation et de la commercialisation de ces activités malveillantes.

Le secteur des services financiers reste le plus touché par l’usurpation d’identité, avec 64 009 URL de phishing uniques recensées, représentant 32 % du total mondial. Cette prévalence souligne la nécessité pour les entreprises et les individus de rester vigilants et d’adopter des solutions de sécurité robustes pour se protéger contre ces attaques de plus en plus sophistiquées. (Vade)

Cybersécurité, IA

Des pirates Russes, Iraniens, Chinois et Nord-Coréens repérés sur ChatGPT

Cyber Signals : lutte contre les cybermenaces et protection renforcée à l’ère de l’intelligence artificielle. Microsoft analyse les requêtes faîtes avec ChatGPT et découvre des utilisations pirates !

L’essor de l’IA générative ouvre de nouvelles perspectives pour renforcer la cybersécurité, mais nous expose également à de nombreux risques. Le blog spécialisé dans les questions de lutte contre le cybercrime ZATAZ avait révélé, en janvier 2024, comment des pirates hispaniques avaient intégré l’Intelligence Artificielles dans un de leur outil d’hameçonnage [Phishing]. Bref, les acteurs malveillants exploitent cette nouvelle technologie pour renforcer leurs activités frauduleuses, que ce soit en créant des deepfakes, en améliorant la programmation des logiciels ou en y rajoutant des couches supplémentaires « d’intelligence » pour renforcer leurs attaques. Dans sa 6e édition de Cyber Signals, publiée par Microsoft, on découvre que le firme de Redmond analyse les requêtes utilisées par les internautes dans ChatGPT et a découvert la présence de malveillants étatiques.

Dans ce rapport, il est expliqué comment il a été possible d’identifier et de déjouer des tentatives de cyberattaques de groupes malveillants russes, nord-coréens, iraniens et chinois. Ces derniers ont tenté d’utiliser des LLM (Large Langage Models) comme ChatGPT pour perfectionner leurs cyberattaques.

En collaboration avec OpenAI, Microsoft (actionnaire à 49% d’OpenAI) explique avoir repéré des acteurs malveillants affiliés à des États connus sous les noms de Forest Blizzard, Emerald Sleet, Crimson Sandstorm, Charcoal Typhoon et Salmon Typhoon.

Le LLMH : Large Langage Models Hack

Les cybercriminels et les acteurs soutenus par des États s’appuient sur l’IA, y compris les LLM, pour améliorer leur efficacité et tirer parti de plates-formes susceptibles de servir leurs objectifs et leurs techniques d’attaque.

Bien que les motivations et la sophistication des acteurs malveillants soient différentes, ils opèrent de la même manière lorsqu’ils déploient des attaques. Ils procèdent notamment à une reconnaissance, comme la recherche des industries, des emplacements et des relations des victimes potentielles ; ils ont recours au code, de façon à améliorer des scripts logiciels et à développer des logiciels malveillants ; et ils recherchent de l’aide dans l’apprentissage et l’utilisation des langages humains et des langages de programmation.

Les recherches avec OpenAI n’ont pas permis d’identifier d’attaques significatives utilisant les LLM.

Cybersécurité, Entreprise

Nouveau malware souligne l’intérêt continu pour les appareils edge

Découverte par les Services de Renseignements, cette menace souligne l’importance de sécuriser les périphéries du réseau.

Le monde de la cybersécurité est en alerte suite à la découverte d’un nouveau malware ciblant spécifiquement les appareils FortiGate. Cette révélation, issue d’une enquête conjointe menée par le Service de renseignement militaire (MIVD) et le Service général de renseignement et de sécurité (AIVD), met en lumière une tendance préoccupante : les cyberattaquants portent désormais un intérêt accru aux appareils edge accessibles au public.

Contexte : une menace sophistiquée

Lors de leur enquête, le MIVD et l’AIVD ont identifié un cheval de Troie d’accès à distance (RAT) persistant, conçu pour opérer discrètement et maintenir l’accès aux systèmes compromis. Ce malware exploitait une vulnérabilité critique dans les appareils FortiGate, référencée sous le code CVE-2022-42475 [Le CERT Français avait lancé une alerte, en décembre 2022], pour laquelle le Centre National de Cybersécurité (NCSC) avait émis un avertissement en décembre 2022.

Une tendance à la hausse

Cette attaque n’est pas isolée. Elle s’inscrit dans une tendance plus large où les vulnérabilités des appareils edge, tels que les pare-feux, les serveurs VPN et les serveurs de messagerie, sont exploitées. Ces appareils, situés à la frontière des réseaux et souvent directement connectés à Internet, échappent généralement à la surveillance des solutions de détection et de réponse aux incidents sur les points de terminaison (EDR), rendant les attaques difficiles à détecter.

Perspective d’action : sécuriser les appareils edge

Face à cette menace, le MIVD, l’AIVD et le NCSC recommandent plusieurs mesures pour renforcer la sécurité des appareils edge :

  • Analyse des risques : évaluer régulièrement les risques associés à ces appareils, surtout lors de l’ajout de nouvelles fonctionnalités.
  • Restriction d’accès : limiter l’accès à Internet en désactivant les ports et fonctionnalités inutilisés et en évitant de rendre l’interface de gestion accessible depuis l’extérieur.
  • Surveillance des journaux : analyser régulièrement les journaux pour détecter toute activité suspecte, telle que des tentatives de connexion à des heures inhabituelles ou des modifications non autorisées de la configuration.
  • Mises à jour de sécurité : installer sans délai les dernières mises à jour fournies par les fabricants et appliquer les mesures de protection supplémentaires recommandées.

Un contexte géopolitique tendu

La découverte de ce malware s’inscrit dans un contexte de tensions géopolitiques, illustré par l’incident de l’année dernière où un logiciel espion chinois a été détecté dans un système informatique des forces armées néerlandaises. Bien que l’ambassade de Chine à La Haye rejette toute implication, le MIVD met en garde depuis plusieurs années contre les risques d’espionnage de la part de la Chine.

Qu’est-ce-qu’un appareil Edge ?

Un appareil edge, dans le contexte de l’informatique et des réseaux, fait référence à un dispositif situé à la « périphérie » (ou « edge » en anglais) du réseau, c’est-à-dire à l’extrémité du réseau proche de l’utilisateur final plutôt que dans un centre de données centralisé ou dans le cloud. Ces appareils jouent un rôle crucial dans le traitement et la collecte de données à proximité de la source des données, ce qui permet de réduire la latence, d’améliorer les performances et de réduire la charge sur le réseau central.

Les appareils edge peuvent inclure des routeurs, des commutateurs, des pare-feux, des serveurs de messagerie, des serveurs VPN, des caméras de surveillance, des appareils IoT (Internet des Objets), des capteurs, ainsi que des dispositifs de stockage et de traitement des données. En traitant les données localement ou à proximité de l’utilisateur, les appareils edge permettent des réponses plus rapides et des décisions en temps réel sans nécessiter de transmission de grandes quantités de données vers un emplacement central pour analyse.

Le concept d’edge computing est devenu particulièrement important avec l’essor des technologies IoT et des applications nécessitant une faible latence, comme la réalité augmentée, la réalité virtuelle, le streaming vidéo de haute qualité et les applications de véhicules autonomes. Dans ces scénarios, le traitement des données à la périphérie du réseau permet d’obtenir des performances supérieures, une meilleure efficacité énergétique et une sécurité améliorée en limitant la quantité de données sensibles transmises ou stockées en dehors du site local.

Banque, Cybersécurité

Des banques enregistrent de faux noms de domaine de la concurrence

Intéressante méthode que celle utilisée par plusieurs banques pour éduquer leurs employés aux fraudes électroniques : enregistrer de faux noms de domaine.

DataSecuritybreach.fr a constaté que la banque russe, Raiffeisenbank avait enregistré le nom de domaine domclk.ru en décembre 2023. Un détail intéressant car l’url exploite deux lettres de moins que l’adresse du service d’achat immobilier de la Sberbank « Domclick » (domclick.ru).

En novembre 2023, Sberbank a enregistré le domaine a1fastrah.ru, qui diffère de l’adresse de la société Alfastrakhovanie (alfastrah.ru) par un caractère : à la place de la lettre latine l, le chiffre 1 est utilisé. Une technique de modification d’adresse web que ZATAZ avait révélé, il y a deux ans, avec de fausses adresses Disney, Nike ou encore Air France et Assurance Maladie.

Raiffeisenbank a enregistré cette adresse à usage interne afin d’effectuer des tests de formation sur la sécurité de l’information pour les employés de la banque. Le domaine n’est pas destiné à être utilisé à d’autres fins, y compris commerciales. À quelles fins la Sberbank a-t-elle besoin d’une adresse similaire au domaine Alfastrakhovanie ? Personne ne sait, pour le moment !

L’idée n’est pas nouvelle, mais pour une fois qu’elle saute aux yeux, surtout signée par des banques. Selon des chiffres différents, proposés par moultes entreprises cyber, le risque phishing serait à hauteur de 60 à 80% des cyber attaques à l’encontre des entreprises. Il est vrai que le maillon le plus vulnérable du système de sécurité est l’humain. Et attention, le phishing peut utiliser un mail, un compte et un contenu officiel. ZATAZ a rencontré, dernièrement, des pirates qui s’invitaient dans les comptes électroniques de société pour modifier le contenu original des courriels. Ils remplaçaient soit le RIB, soit proposaient un lien vers une page d’hameçonnage. Le vrai compte mail devenant un cheval de Troie quasiment indétectable. L’adresse étant validée par les instances humaines et informatiques, comme Mailing black, Etc.

Banque, Bitcoin, Cybersécurité

L’Ouzbékistan pénalise les mineurs et les propriétaires de crypto-monnaies

En Ouzbékistan, la responsabilité pénale a été introduite pour le minage et la circulation illégale de crypto-monnaies.

Le président de la république d’Ouzbékistan, Shavkat Mirziyoyev, vient de signer une loi qui réprime l’exploitation de crypto-monnaies non autorisées. Dorénavant, pour être accusé d’un crime, les Ouzbeks devront d’abord commettre une infraction administrative similaire. Ainsi, la première fois qu’une acquisition, une vente ou un échange illégal de crypto-actifs se produira, la personne impliquée sera passible d’une détention administrative [prison] jusqu’à 15 jours ou d’une amende d’environ 750 €, avec confiscation de la devise elle-même. Les transactions impliquant des crypto-actifs anonymes entraîneront également des sanctions pour les fournisseurs de services, avec des amendes allant de 750 à 750 €.

Chasse aux fermes et mineurs de crypto

Des infractions répétées à ces deux points peuvent entraîner une peine de prison pour l’accusé. Cependant, les juges auront toujours le choix : une amende de 2 500 €, des travaux correctionnels d’une durée de deux à trois ans, une restriction de liberté d’un an ou une peine de prison de la même durée en cas de récidive. En cas d’une deuxième récidive, une peine de trois ans de prison pourra être prononcée. Enfin, un crime commis par un groupe de personnes pourrait entraîner une peine de trois à cinq ans de prison.

En ce qui concerne le minage, le Code administratif ouzbek prévoit désormais des amendes pour les accusés en fonction du montant (probablement la quantité de crypto-monnaie obtenue). Dans le pire des scénarios, une personne pourrait être condamnée à 15 jours de détention ou à une amende pouvant aller jusqu’à 2 500 €. Une récidive pourrait également entraîner une peine de prison d’un an (trois ans en cas de deuxième récidive), tandis que le minage clandestin pourrait entraîner une amende pouvant aller jusqu’à 7 500 € ou une peine de prison de deux ans.

Bitcoin, Cybersécurité, Justice

L’ONU désigne le stablecoin USDT comme principal outil de blanchiment d’argent en Asie

L’ONU pointe du doigt un « système bancaire parallèle » pour les criminels avec l’utilisation du stablecoin USDT Tether.

Les stablecoins émis par Tether, une société de cryptomonnaie, sont devenus un outil de choix pour les blanchisseurs d’argent et les fraudeurs opérant en Asie du Sud-Est, selon un rapport de l’Office des Nations Unies contre la drogue et le crime, cité par le Financial Times. Parmi ces stablecoins, le dollar USDT de Tether se détache comme le favori des criminels, devenant ainsi le troisième actif crypto en capitalisation, avec une valeur d’environ 95 milliards de dollars, derrière Bitcoin et Ethereum.

Le rapport met en lumière l’utilisation active du jeton Tether dans diverses formes de fraude, y compris les schémas de « pig butchering », où les criminels gagnent la confiance de leurs victimes sous prétexte d’une relation romantique pour les inciter à effectuer des transferts de fonds importants.

Ces dernières années, les forces de l’ordre et les agences de renseignement financier ont signalé une augmentation rapide de l’utilisation de schémas de blanchiment d’argent complexes et à grande vitesse, en particulier par des groupes spécialisés dans les transferts clandestins en jetons Tether, révèle le rapport.

Crypto-actifs

Les crypto-actifs ont également stimulé une pratique populaire parmi les groupes criminels organisés d’Asie du Sud-Est, qui utilisent des casinos en ligne illégaux pour blanchir des fonds illicites. Le rapport indique que les plateformes de jeux en ligne, en particulier celles opérant illégalement, sont devenues l’une des méthodes les plus populaires de blanchiment d’argent avec des cryptomonnaies, en mettant particulièrement l’accent sur l’utilisation de Tether.

Jeremy Douglas de l’Office des Nations Unies contre la drogue et le crime a souligné que les groupes criminels organisés ont réussi à créer un système bancaire parallèle en exploitant de nouvelles technologies. La prolifération des casinos en ligne non réglementés, combinée à l’utilisation de cryptomonnaies comme Tether, a renforcé l’écosystème criminel en Asie du Sud-Est.

Le rapport de l’ONU mentionne que ces dernières années, les autorités ont réussi à démanteler plusieurs réseaux de blanchiment d’argent impliqués dans le transfert de fonds illégaux en jetons Tether. Par exemple, en août dernier, les autorités de Singapour ont saisi 737 millions de dollars en espèces et en cryptomonnaies dans le cadre d’une opération de démantèlement. En novembre dernier, Tether a également gelé ses jetons d’une valeur de 225 millions de dollars, suite à une enquête conjointe avec les autorités américaines et la bourse de cryptomonnaies OKX. Ces actifs étaient liés à un syndicat impliqué dans la fraude et la traite des êtres humains en Asie du Sud-Est.

Tether, qu’est-ce que c’est ?

Les stablecoins de Tether, souvent simplement appelés « Tether » ou « USDT » (pour le jeton lié au dollar américain), sont une forme de cryptomonnaie conçue pour maintenir une valeur stable en étant adossée à des réserves d’actifs réels, tels que des devises fiduciaires (comme le dollar américain), de l’or ou d’autres actifs. Ces stablecoins sont émis par une société appelée Tether Limited.

La principale caractéristique des stablecoins, comme le Tether, est de fournir une stabilité de valeur par rapport aux cryptomonnaies plus volatiles telles que le Bitcoin ou l’Ethereum. Par exemple, un jeton Tether lié au dollar américain devrait toujours valoir environ 1 dollar américain.

Le fonctionnement des stablecoins Tether repose sur le principe de la garantie. La société Tether Limited prétend détenir une réserve équivalente de devises fiduciaires (par exemple, des dollars américains) dans des comptes bancaires pour chaque unité de stablecoin Tether en circulation. Cette réserve est censée garantir que chaque jeton Tether peut être échangé contre la devise fiduciaire correspondante à tout moment, ce qui maintient sa stabilité de valeur.

Les stablecoins Tether sont utilisés dans le monde entier pour diverses transactions et activités liées à la cryptomonnaie en raison de leur stabilité. Ils sont notamment utilisés comme une forme de monnaie stable dans le monde des cryptomonnaies, permettant aux investisseurs et aux traders de passer rapidement d’une position volatile à une position stable en utilisant des jetons Tether comme une sorte de refuge.

Cependant, il est important de noter que les stablecoins Tether ont fait l’objet de controverses et de préoccupations concernant leur transparence et la véritable ampleur des réserves sous-jacentes. Certains ont remis en question la capacité de Tether Limited à maintenir ces réserves à 100 % et à fournir une preuve adéquate de leurs actifs sous-jacents. Ces inquiétudes ont suscité des enquêtes réglementaires et des débats au sein de la communauté des cryptomonnaies.

Cybersécurité, Entreprise

TEMU renforce la sécurité de sa boutique

Temu renforce ses mesures de cybersécurité avec une nouvelle initiative de Primes Aux Bogues [bug bounty] et la mise en œuvre de l’authentification à deux facteurs (2FA).

Temu, l’application de shopping la plus téléchargée au monde, a introduit des mesures de sécurité améliorées dans le cadre de son plan visant à renforcer la sécurité de son site Web et de ses applications mobiles. L’entreprise a introduit l’authentification à deux facteurs (2FA) et a lancé un programme de primes aux bogues sur la plateforme américaine Hacker One, l’une des plateformes de cybersécurité les plus renommées.

Les plateformes de commerce électronique populaires deviennent souvent la cible d’escrocs et de fraudeurs exploitant la confiance des utilisateurs dans des marques reconnues. Pour lutter contre cela, Temu a introduit un certain nombre de mesures de sécurité améliorées qui promettent de garantir une expérience d’achat plus sûre et plus agréable pour les utilisateurs.

Temu a rejoint d’autres grandes plateformes de commerce électronique et passerelles de paiement pour mettre en œuvre le 2FA, qui est de plus en plus considéré comme un élément nécessaire d’une cybersécurité solide. Il ajoute une couche supplémentaire de sécurité au-delà du simple nom d’utilisateur et du mot de passe. Il est ainsi beaucoup plus difficile pour les utilisateurs non autorisés d’accéder au compte d’un utilisateur, même s’ils ont compromis le mot de passe, réduisant ainsi le risque de pertes financières.

En novembre 2023, Temu s’est également associé à l’Américain HackerOne pour proposer un programme de primes aux bogues, rejoignant ainsi des entreprises telles qu’Amazon, Google, Tesla et Meta.

Grâce à ce programme, les pirates éthiques pourront se connecter à Temu et signaler les vulnérabilités de l’application afin de s’assurer qu’elles sont comblées et que l’application reste à l’abri des pirates et des fraudeurs. Le déploiement du 2FA et le programme de primes aux bogues font suite aux poursuites judiciaires de Temu contre les sites web frauduleux qui se font passer pour Temu afin de tromper les utilisateurs, et à l’appel de Temu aux utilisateurs pour qu’ils signalent les fraudes exploitant la marque Temu. En début d’année, Temu a obtenu des injonctions contre les sites d’hameçonnage de la part des tribunaux américains, une victoire dans son action juridique pour obliger les acteurs malveillants à rendre des comptes.

Temu est entré sur le marché européen au début de l’année 2023 et est depuis devenu l’une des applications les plus téléchargées dans la région.

Cybersécurité, double authentification

Lancement de Locknest : le premier gestionnaire de mots de passe physique et français

Sans dépendance au Cloud, Locknest propose de reprendre le contrôle sur ses données avec une clé physique.

Jeune entreprise innovante et française, spécialisée dans la cybersécurité, LockNest Group lance son premier produit : Locknest, le gestionnaire physique d’identité numérique. L’objectif : offrir au grand public l’opportunité de reprendre la main sur ses données confidentielles en les retirant du Cloud.

Locknest, c’est quoi ?

Locknest est un gestionnaire physique d’identité numérique. Sous la forme d’une clé qui tient dans la paume de la main, il est dédié à la protection des données confidentielles des utilisateurs. Facile à utiliser, il est universel (fonctionne avec tous types d’appareils, en Bluetooth et en USB-C) et autonome (aucune dépendance au Cloud).

Dans sa première version, Locknest permet de stocker jusqu’à 512 entrées. Une entrée c’est un identifiant, un mot de passe, une URL, un titre et une description. Locknest garantit le chiffrement des données critiques de bout en bout, jusqu’à ce que l’utilisateur récupère son mot de passe, automatiquement, dans le champ du formulaire à remplir. Grâce à un simple secret maître de 7 chiffres, il peut accéder au tableau de bord de son Locknest, sur l’application mobile ou l’application web, enregistrer des données et générer des mots de passe robustes.

En cas de perte : l’export chiffré de la base permet de sauvegarder ses données et de les réimporter sur un deuxième boîtier Locknest.

En cas de vol : A la manière d’une carte bancaire, Locknest applique une pénalité sous forme de bannissement temporaire à partir de 3 erreurs de secret maître et ce, jusqu’à ce que le bon secret maître ait été utilisé. Durant ces 10 minutes de bannissement, toute tentative d’ouverture de session sera purement ignorée. Avec un PIN de 7 chiffres, le temps nécessaire à l’attaquant pour trouver le secret maître est donc, en moyenne, de 13 ans. Ce qui permet assez largement de se rendre compte du vol de la clé et ainsi pouvoir agir avant que les secrets ne soient découverts.

Financement participatif réussi

En mars dernier, l’entreprise française a choisi de lancer son produit en précommande sur la plateforme de financement participatif KissKissBankBank. Avec près de 24 000 € récoltés, sur un objectif de 20 000€, la campagne de crowdfunding a été un véritable succès. La somme collectée a permis de lancer la production du premier lot de Locknest : les cartes électroniques ainsi que la coque en plastique ABS fabriquée sur-mesure par un plasturgiste français.

Pourquoi un boîtier physique à l’heure du tout-numérique ?

Locknest vise à modifier le comportement des utilisateurs en intégrant le moins de complexité possible. Plutôt que de miser sur une révolution technologique, les créateurs de Locknest ont préféré s’attaquer au frein le plus courant : le facteur humain. L’aspect hardware de la solution permet d’absorber une grande partie de la complexité de ce type de solutions, notamment en ne demandant qu’un PIN de 7 chiffres pour le déverrouiller, là où les solutions purement en ligne nécessitent un secret maître long et complexe. Le boîtier permet également de sécuriser physiquement les données grâce à un microcontrôleur sécurisé et un module d’accélération cryptographique AES supportant les clés allant jusqu’à 256 bits.

Enfin, l’aspect physique possède un avantage conséquent : il suffit d’éteindre le boîtier pour rendre inaccessibles ses données. Locknest permet de ne pas être dépendant du Cloud en enregistrant les données directement dans le boîtier. Les informations sont ensuite distribuées en USB ou en Bluetooth vers les différents équipements (PC, mobile). Un avantage en termes de sécurité, bien sûr, mais qui permet également d’éviter à l’utilisateur de devoir synchroniser ses appareils puisqu’il n’a plus qu’une seule source de données.

Un niveau de sécurité élevé pour tous

« Avec Locknest, nous souhaitons rendre la sécurité numérique accessible au plus grand nombre, explique Pierre Le Roy, président de LockNest Group. Plutôt que de chercher à optimiser encore le niveau de sécurité des utilisateurs déjà protégés, nous visons à remettre à niveau ceux qui n’ont pas encore trouvé de solution suffisamment simple. »

Locknest revendique en effet deux piliers d’égale importance dans sa conception : la sécurité et la simplicité. Plus besoin d’être un expert technique pour protéger ses données confidentielles.

« Notre vision est d’arriver à garantir un niveau de sécurité suffisant pour l’utilisateur tout en minimisant l’impact sur son quotidien, précise-t-il. Tous nos choix techniques offrent, selon nous, le meilleur compromis entre robustesse aux attaques et vitesse de calcul / simplicité d’utilisation. Toute sécurité est une contrainte, mais notre but est de la rendre la plus invisible possible. Rien ne sert d’avoir une défense quasi parfaite si l’utilisateur ne s’en sert jamais. »

Prix : 120 € TTC pour un Locknest. Aucun abonnement requis et les mises à jour logicielles sont gratuites.

Cybersécurité, Entreprise

Les entreprises ont du mal à identifier et à gérer les risques liés à la cybersécurité de leurs API

De nouvelles statistiques révèlent que si les API sont à l’origine de la majorité du trafic Internet, ces dernières demeurent en grande partie non sécurisées.

Un rapport consacré à la gestion et à la sécurité des API apporte quelques réponses sur la problématiques des API. Les conclusions démontrent que les entreprises tirent plus que jamais parti des API, une technologie qui sous-tend l’ensemble des applications et des sites les plus utilisés aujourd’hui. Or, cette surexploitation ouvre la porte à un nombre toujours plus important de menaces en ligne. Le rapport souligne l’écart entre l’utilisation des API par les entreprises et la capacité de celles-ci à sécuriser les données auxquelles les API accèdent.

Les API sont au cœur de l’univers numérique. Téléphones, montres connectées, systèmes bancaires et sites d’achat, toutes ces applications se reposent sur les API pour communiquer. Ces dernières peuvent aider les sites d’e-commerce à accepter les paiements, permettre aux systèmes médicaux de partager les données de leurs patients de manière sécurisée, voire permettre aux taxis et aux services de transport en commun d’accéder en temps réel aux données de circulation.

Toutes les entreprises d’aujourd’hui ou presque s’en servent pour développer des sites, des applications et des services de meilleure qualité et mieux les proposer à leurs clients. Malheureusement, les API non gérées ou non sécurisées représentent une mine d’or pour les acteurs malveillants à la recherche d’informations potentiellement sensibles.

Les API occupent une position centrale dans la manière dont les applications et les sites web fonctionnent. Elles constituent donc une cible privilégiée et relativement récente pour les pirates.

Gestion et à la sécurité des API

Même les secteurs les plus improbables connaissent des pics élevés de trafic lié aux API. L’intégration fluide proposée par ces dernières a poussé les entreprises de tous les secteurs à en tirer davantage parti, certaines plus rapidement que d’autres. Les secteurs de l’IdO, des trains, bus et taxis, des services juridiques, des jeux et du multimédia, ainsi que ceux de la logistique et de l’approvisionnement, détiennent la plus grande part de trafic lié aux API en 2023.

Le trafic lié aux API est à l’origine de la majorité du trafic Internet : les API dominent le trafic Internet dynamique autour du monde (57 %) et chaque région a observé une augmentation de leur utilisation au cours de l’année dernière. L’Afrique et l’Asie sont toutefois les premières régions à avoir massivement adopté les API et à constater la part de trafic la plus élevée en 2023.

Les API font face à un large éventail de menaces fréquentes et en augmentation constante. comme pour n’importe quelle fonction stratégique populaire hébergeant des données sensibles, les acteurs malveillants tentent d’exploiter tous les moyens nécessaires pour accéder à ces dernières. L’essor des API en termes de popularité a également entraîné une hausse du volume des attaques, les attaques par anomalie HTTP, par injection et par inclusion de fichiers étant les trois types d’attaques les plus couramment utilisés.

Les API « fantômes »

Les « Shadow API » constituent un moyen d’accès non sécurisé pour les acteurs malveillants. Les entreprises ont du mal à protéger ce qu’elles ne peuvent pas voir. Près de 31 % de points de terminaison d’API REST (l’endroit où une API se connecte aux logiciels) supplémentaires ont été identifiés grâce au Machine Learning (apprentissage automatique) plutôt que par l’intermédiaire d’identifiants fournis par les clients. En résumé, les entreprises ne disposent pas d’un inventaire complet de leurs API à l’heure actuelle.

Le Service Veille ZATAZ a pu repérer, il y a peu, des exploitations d’API par des pirates pour collecter de nombreuses informations [directes et indirectes] personnelles et professionnelles.

A noter que les solutions d’atténuation des attaques DDoS sont l’un des outils les plus efficaces pour protéger les API. Que les entreprises disposent d’une visibilité totale sur l’ensemble de leurs API ou non, les solutions d’atténuation des attaques DDoS peuvent les aider à bloquer les menaces potentielles. Un tiers (33 %) des mesures d’atténuation des menaces liées aux API ont été appliquées par des services de protection contre les attaques DDoS déjà en place.

« Les API sont des outils puissants permettant aux développeurs de créer des applications complexes et complètes afin de servir leurs clients, leurs partenaires et leurs collaborateurs, mais chaque API constitue une surface d’attaque potentielle devant être sécurisée », précise Melinda Marks, Practice Director, Cybersecurity chez Enterprise Strategy Group. « Comme le montre ce nouveau rapport, les entreprises ont besoin d’outils plus efficaces pour traiter la sécurité des API, comme une meilleure visibilité sur les API, des ressources permettant d’assurer l’authentification et l’autorisation entre les connexions, ainsi que de meilleurs moyens de protéger leurs applications contre les attaques. »

Les conclusions de ce rapport, notamment les statistiques mentionnées ci-dessus, se basent sur les schémas de trafic observés par le réseau mondial de Cloudflare entre le 1er octobre 2022 et le 31 août 2023.

Cybersécurité, Entreprise

L’employé, le meilleur ami des pirates

21 % des cyber incidents survenus dans les entreprises en France au cours des deux dernières années auraient été provoqués par des employés.

Selon une récente étude, les violations des politiques de sécurité de l’information d’une organisation par ses employés sont aussi dangereuses que les attaques de cyberpirates externes à l’organisation. En France, au cours des deux dernières années, 21 % des cyber incidents survenus dans les entreprises ont été provoqués par des employés qui ont intentionnellement violé les protocoles de sécurité. Ce chiffre est presque égal aux dommages causés par les violations de la cybersécurité, dont 22 % sont dues à des piratages informatiques.

La perception selon laquelle l’erreur humaine est l’une des principales causes des cyberincidents dans les entreprises est bien établie. Mais les choses ne sont pas aussi tranchées. Le niveau de cybersécurité d’une organisation dépend de nombreux facteurs dont il n’est pas si simple de rendre compte. L’étude visait à recueillir des informations sur les différents groupes de personnes influençant la cybersécurité, en tenant compte à la fois du personnel interne et des acteurs externes.

L’étude a révélé que, outre les erreurs involontaires, les violations de la politique de sécurité de l’information par les employés constituaient l’un des plus gros problèmes pour les entreprises. Les personnes interrogées dans des organisations du monde entier ont déclaré que des actions intentionnelles visant à enfreindre les règles de cybersécurité avaient été menées par des employés des services informatiques et non informatiques au cours des deux dernières années.

En France

En France, ces violations de politiques telles que celles commises par les responsables de la sécurité informatique ont été à l’origine de 8 % des cyberincidents survenus au cours des deux dernières années. D’autres professionnels de l’informatique et leurs collègues non informaticiens ont provoqué respectivement 6 % et 7 % des cyberincidents en enfreignant les protocoles de sécurité.

En ce qui concerne le comportement individuel des employés, le problème le plus courant réside dans le fait qu’ils font délibérément ce qui leur est interdit et, inversement, qu’ils ne font pas ce qui est exigé. En France, les personnes interrogées affirment que près d’un quart (21 %) des incidents de cybersécurité survenus au cours des deux dernières années sont dus à l’utilisation de mots de passe faibles ou au fait que ceux-ci n’ont pas été modifiés en temps voulu. La seconde cause (14 %) des atteintes à la cybersécurité est la consultation par le personnel de sites web non sécurisés.

Par ailleurs, 14 % des entreprises françaises interrogées déclarent avoir été confrontées à des incidents de cybersécurité dus au fait que les employés n’ont pas mis à jour les logiciels ou les applications utilisés en temps et en heure.

L’utilisation de services ou de dispositifs non sollicités est un autre vecteur important de violation intentionnelle de la politique de sécurité de l’information. En France, 11 % des entreprises ont subi des cyberincidents parce que leurs employés ont utilisé des systèmes non autorisés pour partager des données. Les employés de 21 % des entreprises ont intentionnellement accédé à des données par le biais d’appareils non autorisés, tandis que 11 % du personnel ont envoyé des données à des adresses électroniques personnelles. Une autre action signalée est le déploiement de l’informatique fantôme (Shadow IT) sur les appareils professionnels – 10 % des personnes interrogées indiquent que cela a été à l’origine de leurs cyberincidents.

Fait alarmant, les personnes interrogées en France admettent que, outre le comportement irresponsable déjà mentionné, 18 % des actions malveillantes ont été commises par des employés à des fins d’enrichissement personnel. Autre constatation intéressante, les violations intentionnelles de la politique de sécurité de l’information par les employés constituent un problème relativement important dans les services financiers, comme l’indiquent 34 % des personnes interrogées dans ce secteur.

« Outre les menaces externes à la cybersécurité, de nombreux facteurs internes peuvent conduire à des incidents dans n’importe quelle organisation. Comme le montrent les statistiques, les employés de n’importe quel service, qu’il s’agisse de non-informaticiens ou de professionnels de la sécurité informatique, peuvent avoir une influence négative sur la cybersécurité, que ce soit intentionnellement ou non. C’est pourquoi il est important de prendre en compte les méthodes de prévention des violations de la politique de sécurité informatique lors de la mise en place des dispositifs et des mesures de sécurité, c’est-à-dire de mettre en œuvre une approche intégrée de la cybersécurité. D’après nos recherches à l’échelle mondiale« , commente Alexey Vovk, responsable de la sécurité de l’information chez l’éditeur Russe Kaspersky, auteur de l’étude.

Cybersécurité, Téléphonie

Un concours pour combattre la fraude au clonage vocal

La Federal Trade Commission (FTC) invite désormais les candidats à participer à un concours innovant. Son objectif ? Stimuler le développement de solutions et de politiques pour protéger les consommateurs contre l’usage malveillant de la technologie de clonage vocal, une branche de l’intelligence artificielle en pleine expansion.

Ce concours s’inscrit dans les efforts de la FTC pour promouvoir des approches multidisciplinaires visant à surveiller et prévenir l’exploitation frauduleuse du clonage vocal. Les candidatures, ouvertes depuis quelques jours, devaient être soumises avant le 12 janvier. Tous les détails de participation sont disponibles sur le site de la FTC. À la clé pour le gagnant : un prix de 25 000 dollars.

Si le clonage vocal offre des bénéfices légitimes, comme l’aide aux personnes ayant des difficultés de parole ou la commodité pour les conducteurs utilisant des dispositifs mains libres, il présente également un risque d’usurpation d’identité vocale. En mars, la FTC a mis en garde contre l’utilisation de cette technologie par des escrocs pour extorquer de l’argent et des informations personnelles.

Jusqu’à présent, la FTC n’a pas encore traité d’incidents impliquant explicitement le clonage vocal. Cependant, certaines victimes ne réalisent pas que cette technologie a été utilisée contre elles.

Les propositions pour le concours doivent aborder des aspects spécifiques : comment empêcher l’utilisation frauduleuse de logiciels de clonage vocal, améliorer la capacité des consommateurs à détecter le clonage vocal en temps réel et fournir des moyens pour identifier les voix clonées dans les enregistrements audio.

« Nous utiliserons tous les moyens à notre disposition pour prévenir les préjudices liés à l’abus de la technologie de clonage vocal« , a déclaré Samuel Levine, directeur du Bureau de protection des consommateurs de la FTC, lors du lancement du concours en novembre. « Notre objectif est d’intervenir avant que ces dommages n’atteignent le marché et d’appliquer la loi en cas d’infraction.« 

La FTC a déjà organisé des concours similaires pour lutter contre les appels automatisés et les failles de sécurité dans les appareils connectés à Internet.

En lançant ce défi, la FTC souligne que les problèmes posés par l’IA et le clonage vocal ne peuvent être résolus uniquement par des moyens technologiques. L’agence envisage d’utiliser son pouvoir réglementaire et ses capacités d’application de la loi pour protéger les consommateurs contre les fraudes basées sur l’IA.

Assurance cyber sécurité, Cybersécurité

NotPetya, six ans après : Merck et ses assureurs trouvent un accord !

Six ans après la redoutable cyberattaque NotPetya, le géant pharmaceutique Merck a conclu un accord significatif avec ses assureurs. Cet arrangement, non divulgué mais initialement rapporté par Bloomberg Law, marque la fin d’une bataille juridique intense qui a captivé les secteurs de la cybersécurité et de l’assurance. Au cœur du débat : la définition des ‘actes de guerre’ dans le cyberespace.

En 2017, suite à l’attaque NotPetya, Merck, basée aux États-Unis dans le New Jersey, s’est vu refuser une couverture d’assurance pour près de 700 millions de dollars. La raison invoquée était une clause d’exclusion pour les ‘actes de guerre’. NotPetya, un logiciel malveillant d’envergure, a initialement ciblé des logiciels de comptabilité ukrainiens avant de s’étendre à l’échelle mondiale, affectant plus de 40 000 appareils du réseau de Merck. On soupçonne des pirates russes d’être à l’origine de cette attaque.

Début 2022, la justice du New Jersey a statué que la clause d’exemption pour guerre ne s’appliquait pas dans ce cas. Cette décision, confirmée en appel en 2023, a conduit les assureurs à faire appel une dernière fois. Toutefois, selon Bloomberg Law, un accord ‘de dernière minute’ a été conclu juste avant l’audience prévue devant la Cour suprême du New Jersey.

Dans sa décision initiale, le tribunal a souligné que, bien que le paysage cybernétique ait évolué avec l’implication croissante d’acteurs étatiques dans des activités malveillantes, il était évident pour les deux parties que les cyberattaques, qu’elles soient privées ou d’origine étatique, sont de plus en plus courantes. Le tribunal a critiqué les assureurs pour n’avoir pas actualisé le libellé de leur clause d’exclusion, laissant ainsi Merck dans l’incertitude quant à la couverture des cyberattaques.

Depuis NotPetya, des efforts ont été déployés pour clarifier les types d’attaques couverts par les exemptions. Lloyd’s de Londres, un acteur majeur du marché de l’assurance, a annoncé en 2022 de nouvelles directives exigeant des souscripteurs d’exclure les cyberattaques liées à des conflits étatiques ou à des incidents compromettant significativement la fonctionnalité d’un État.

Dans un cas similaire, lié à l’attaque NotPetya, le géant de l’agroalimentaire Mondelez a également trouvé un accord en 2022 avec l’assureur Zurich, après que celui-ci ait refusé une demande d’indemnisation de 100 millions de dollars pour des raisons comparables.

Cybersécurité, Mise à jour

Crypto-monnaies : compromission du kit Ledger Connect

Des pirates s’invitent dans un outil Ledger et affiche, une fois de plus les limites du SBOM dans la protection de la chaine d’approvisionnement.

Le kit Ledger Connect, une solution logicielle développée par Ledger, entreprise spécialisée dans les portefeuilles physiques pour stocker les crypto-monnaies, a été victime d’une attaque informatique sophistiquée ciblant la chaîne d’approvisionnement. Le kit Ledger Connect est une solution logicielle qui permet aux développeurs de connecter leurs applications aux portefeuilles matériels Ledger, via API.

La faille a entrainé la redirection des transactions des utilisateurs vers un portefeuille contrôlé par le pirate. Le malveillant a réussi sont attaque à la suite d’un hameçonnage [phishing] auprès d’un ancien employé (prise de contrôle du compte npm), puis injection de code malveillant dans les versions 1.1.5, 1.1.6 et 1.1.7 du kit de Ledger.

A l’heure actuelle, plus de 700 000 $ ont été volés. Ledger a rapidement publié la version 1.1.8 pour corriger la vulnérabilité.

Pourquoi un SBOM, n’est pas suffisant ?

Le SBOM, ou « Software Bill of Materials », est essentiellement une liste détaillée des composants logiciels dans un produit programme informatique. Imaginez-le comme une liste d’ingrédients pour un code source.

Bien qu’une nomenclature logicielle (SBOM) soit un outil essentiel pour améliorer la transparence et la sécurité des chaînes d’approvisionnement logicielles, son efficacité reste limitée dans certains types d’attaques. Un SBOM répertorie efficacement tous les composants utilisés dans un produit logiciel, « mais il traite principalement des problèmes liés aux vulnérabilités connues de ces composants, et non nécessairement de la sécurité du mécanisme de distribution en lui-même. » confie la société Checkmarx.

Dans le cas de l’attaque du Kit Ledger Connect, le problème principal résidait dans le processus de distribution, qui a été compromis via le piratage du compte NPM. L’attaquant a publié des versions malveillantes du package via un canal légitime, pas nécessairement signalé par le SBOM. Étant donné que ce dernier répertorie les composants, il n’était donc pas en mesure d’identifier le code malveillant introduit dans les versions compromises.

Les SBOM doivent ainsi être complétés par des mécanismes d’analyse rapides et proactifs capables de détecter en temps réel les modifications non autorisées ou les activités malveillantes, au-delà de la simple liste de composants.

Bitcoin, Cybersécurité

Traque aux blanchiments d’argent 2.0

Lutte contre le blanchiment d’argent : 28 sociétés de crypto-monnaies collaborent avec le ministère indien des finances.

Le ministère indien des finances a annoncé que 28 fournisseurs de services d’actifs virtuels (VASP) se sont enregistrés auprès de la cellule de renseignement financier (CRF) indienne pour intensifier la lutte contre le blanchiment d’argent impliquant des crypto-monnaies.

Pankaj Chaudhary, le ministre indien des finances, a présenté un rapport écrit à la chambre basse du parlement pour informer de ces développements. Parmi les sociétés ayant adhéré à cet enregistrement figurent des plateformes d’échange de crypto-monnaies bien connues en Inde, telles que WazirX, Coin DCX et Coinswitch.

En mars, le ministère indien des finances avait émis une directive obligeant les sociétés opérant dans le secteur des crypto-monnaies à s’enregistrer auprès de la CRF, dans le but de se conformer aux lois anti-blanchiment d’argent. En outre, le ministère avait imposé aux acteurs de l’industrie de mettre en œuvre des procédures de connaissance du client (KYC).

Concrètement, les entreprises enregistrées doivent conserver des données KYC, des documents d’identification des clients, ainsi que des informations sur les comptes et la correspondance commerciale liée aux utilisateurs. Le ministère des finances indien a également souligné que ces directives et exigences de déclaration s’appliquent également aux plateformes de crypto-monnaies basées à l’étranger qui proposent leurs services aux traders indiens.

backdoor, Cybersécurité, Wordpress

Méfiez-vous des fausses notifications et plugins malveillants

La sécurité des sites Web WordPress est une préoccupation majeure pour de nombreux administrateurs. Récemment, une nouvelle menace a émergé sous la forme de fausses notifications de sécurité prétendant qu’une vulnérabilité dangereuse.

Répertoriée sous l‘ID CVE-2023-45124, affecte votre site. Mais méfiez vous, car cette menace n’est rien d’autre qu’une tentative sournoise d’infecter votre site avec un plugin malveillant.

Comment fonctionne cette attaque ? Les utilisateurs de WordPress reçoivent des e-mails qui semblent provenir de WordPress lui-même, alertant sur une vulnérabilité critique d’exécution de code à distance (RCE) détectée sur leur site. La peur de la sécurité incite les administrateurs à agir rapidement, et la solution semble simple : installer un plugin qui prétend résoudre le problème de sécurité.

Cependant, c’est là que réside le piège. En cliquant sur le bouton « Télécharger le plugin », les utilisateurs sont redirigés vers une page qui ressemble étonnamment au site officiel de WordPress, « wordpress.com ». La page affiche fièrement un nombre impressionnant de 500 000 téléchargements du plugin, ainsi que des avis d’utilisateurs élogieux. Toutefois, il s’agissait d’une fausse page reprenant la page officielle : « en-gb-wordpress[.]org » [la page officielle en-gb.wordpress.org], un subterfuge bien élaboré.

Après avoir installé le plugin, il crée un administrateur caché, baptisé « wpsecuritypatch« , et commence à envoyer des informations sensibles à un Serveur de Commande et Contrôle (C2). Le code malveillant est ensuite téléchargé et stocké sur le site, mettant potentiellement en danger l’intégrité de votre site Web.

Ce plugin malveillant est équipé de fonctionnalités redoutables, telles que la gestion de fichiers, un client SQL, une console PHP et un terminal de ligne de commande. De plus, il fournit aux attaquants des informations détaillées sur le serveur compromis, ce qui leur donne un contrôle considérable sur votre site.

Ce qui rend cette menace particulièrement sournoise, c’est que le plugin ne s’affiche pas dans la liste des plugins installés, le cachant ainsi aux yeux des administrateurs. Cette dissimulation rend sa détection et sa suppression difficiles.

Alors, quel est l’objectif final de ce plugin malveillant ? Pour l’instant, il demeure un mystère, mais les experts en sécurité émettent des hypothèses inquiétantes. Il pourrait être utilisé pour injecter de la publicité sur des sites compromis, rediriger les visiteurs vers des destinations malveillantes, voler des informations confidentielles ou même faire chanter les propriétaires de sites en menaçant de divulguer le contenu de leur base de données.

Heureusement, des experts en sécurité WordPress tels que Wordfence et PatchStack ont pris des mesures pour alerter la communauté. Ils ont publié des avertissements sur leurs sites Web pour sensibiliser les administrateurs et les utilisateurs à cette menace grandissante.

Alors, que pouvez-vous faire pour protéger votre site WordPress ? Tout d’abord, soyez extrêmement prudent lors de l’installation de plugins inconnus. Assurez-vous de les télécharger à partir de sources fiables uniquement. De plus, soyez vigilant face à tout e-mail suspect prétendant provenir de WordPress.

Cybersécurité

Cybersécurité aérienne avec « Fly Catcher »

Angelina Tsuboi, une pilote hacker, a développé un système révolutionnaire appelé « Fly Catcher », basé sur l’emblématique ordinateur monocarte Raspberry Pi.

« Fly Catcher » est un système sophistiqué conçu pour détecter les signaux d’avion usurpés, une menace croissante dans le domaine de l’aviation. La technologie clé utilisée ici est le système de surveillance dépendante automatique-B (ADS-B), qui est couramment employé dans l’aviation pour transmettre des informations de localisation des avions. Cependant, il présente un inconvénient majeur : il peut être manipulé par des pirates pour diffuser de fausses données, créant ainsi un risque potentiel pour la sécurité aérienne.

Le génie de « Fly Catcher » réside dans sa capacité à résoudre ce problème. Le système surveille la fréquence 1090 MHz et, grâce à un réseau neuronal spécialement conçu pour ce projet, détermine l’authenticité des signaux d’avion détectés. Le cerveau de ce système est un Raspberry Pi, une carte informatique polyvalente, sur laquelle fonctionne un réseau neuronal programmé en Python. Cet algorithme a été formé avec des données ADS-B précises pour distinguer les informations de vol légitimes des données falsifiées.

Pour tester l’efficacité de « Fly Catcher », Angelina Tsuboi a utilisé un Raspberry Pi 3 B+ connecté à une antenne 1,090 MHz, ainsi que du matériel FlightAware SDR pour lire les signaux ADS-B en temps réel. Le système a été mis à l’épreuve lors d’un vol d’une heure au-dessus de la ville de Los Angeles, une expérience capturée et partagée sur sa chaîne YouTube.

Ce qui rend ce projet encore plus exceptionnel, c’est la générosité d’Angelina Tsuboi envers la communauté de la cybersécurité. Elle a décidé de rendre « Fly Catcher » open source, mettant ainsi le code source à la disposition de tous sur la plateforme GitHub. Cette décision reflète son engagement envers la sécurité aérienne et sa volonté de collaborer avec d’autres experts pour renforcer la cybersécurité dans le domaine de l’aviation.

Pour en savoir plus sur ce projet innovant, vous pouvez visiter la page officielle de « Fly Catcher » sur le site Hackster. Angelina Tsuboi incarne la passion et l’ingéniosité qui sont nécessaires pour relever les défis complexes de la cybersécurité, et son travail avec « Fly Catcher » est une étape importante vers un ciel plus sûr pour tous.

Cybersécurité, Securite informatique

Le mystérieux pirate de la blockchain blanchit des millions avec Magic : The Gathering

La blockchain ne cesse de permettre de remonter à des pirates informatiques. Il a été découvert qu’un hacker avait blanchi une partie de l’argent volé via des cartes Magic : The Gathering !

Tout a commencé en avril 2021, lorsque la plateforme Uranium Finance DeFi a été piratée. Le résultat de cette attaque a été une perte massive de 50 millions de dollars, dont 80 Bitcoins, 1 800 ETH, et divers autres actifs numériques. Cependant, ce qui a suivi a été encore plus surprenant.

L’attaquant, cherchant à brouiller les pistes, a pris des mesures pour blanchir une partie des fonds volés. Le pirate a envoyé 2 438 ETH à Tornado Cash, une plateforme de confidentialité cryptographique, et a également converti d’autres crypto-monnaies en ETH et Bitcoin. Mais c’est là que cela devient vraiment intéressant.

En 2021, ce mystérieux pirate a commencé à retirer environ 11 200 ETH de Tornado Cash, en petits incréments de 100 pièces, puis il a entrepris une série de transactions complexes. Il a échangé ces ETH contre de l’ETH enveloppé (WETH), les a transférés vers une nouvelle adresse et les a échangés contre des pièces stables USDC. Jusque-là, tout semble être une opération de blanchiment de routine, mais voici le tournant inattendu.

Le pirate a utilisé une partie de ces fonds pour acheter des cartes Magic : The Gathering. Pour ce faire, il a fait appel à un courtier américain, agissant comme intermédiaire, sans jamais révéler son identité aux vendeurs. Les sommes en jeu étaient astronomiques, avec des dépenses de plusieurs millions de dollars en decks de démarrage, en sets alpha et en boîtes de cartes scellées. Ce qui est encore plus étonnant, c’est que le pirate a accepté de payer entre 5 et 10 % de plus que la valeur réelle de ces cartes.

Mais les manigances ne s’arrêtent pas là. Une partie des fonds a également été transférée vers des échanges centralisés tels que Kraken, Bitpay et Coinbase. Selon le chercheur ZachXBT, ces mouvements visaient à rendre la traçabilité des fonds encore plus difficile, rendant ainsi la tâche des enquêteurs complexe.

Le piratage d’Uranium Finance en avril 2021 reste l’un des incidents les plus retentissants dans le domaine de la finance décentralisée (DeFi). La plateforme Uranium Finance, basée sur la Binance Smart Chain et dérivée du populaire protocole DeFi Uniswap V2, a été victime d’une faille de sécurité critique lors de sa migration vers la version V2. Cela a permis au pirate d’effacer du système une multitude de cryptomonnaies, dont Bitcoin (BTC), Ethereum (ETH), Binance USD (BUSD), Tether (USDT), Cardano (ADA), Polkadot (DOT), Wrapped BNB (wBNB), ainsi que les jetons natifs Uranium U92.

Une histoire qui met en lumière les défis et les ruses auxquels sont confrontés ceux qui tentent de suivre la trace des criminels de la blockchain. Le mystérieux pirate qui a utilisé Magic : The Gathering pour blanchir des millions de dollars reste dans l’ombre.

Bitcoin, Cybersécurité, nft

Une nouvelle fonction dans la blockchain Ethereum a conduit au vol de 60 millions de dollars

Create2, une nouvelle fonction dans la blockchain, a aidé les fraudeurs à contourner la sécurité d’Ethereum et à trouver une nouvelle source de revenus pour les hackers malveillants.

Les attaquants ont trouvé un moyen de contourner les systèmes de sécurité des portefeuilles de crypto-monnaie en utilisant la fonction Create2 de la blockchain Ethereum. Cette méthode a permis le vol de 60 millions de dollars de crypto-monnaie auprès de 99 000 utilisateurs au cours des 6 derniers mois. Dans certains cas, les pertes individuelles ont atteint 1,6 million de dollars.

Create2, introduit dans la mise à jour Constantinople, permet de créer des contrats intelligents sur la blockchain avec la possibilité de pré-calculer leurs adresses avant le déploiement. La fonction, bien que légitime, a créé de nouvelles vulnérabilités dans le système de sécurité Ethereum.

La principale méthode d’abus consiste à créer de nouvelles adresses contractuelles sans historique de transactions suspectes. Les attaquants incitent les victimes à signer des transactions malveillantes, puis transfèrent les actifs vers des adresses pré-calculées. Ainsi, l’une des victimes a perdu 927 000 $ en cryptomonnaie GMX en signant un contrat de transfert frauduleux.

Une autre méthode, connue sous le nom d’empoisonnement d’adresse (spoofing), consiste à créer plusieurs adresses et à sélectionner celles qui sont similaires aux adresses légitimes des victimes. Ainsi, les utilisateurs envoient des actifs à des fraudeurs, croyant à tort qu’ils transfèrent des fonds vers des adresses familières. Depuis août 2023, 11 cas ont été enregistrés dans lesquels les victimes ont ainsi perdu environ 3 millions de dollars.

Les attaques sont souvent passées inaperçues, mais certaines ont attiré l’attention du public. Le service MetaMask a mis en garde contre les fraudeurs utilisant des adresses nouvellement créées qui correspondent aux adresses utilisées par les victimes lors de transactions récentes. Dans un cas, l’opérateur Binance a envoyé par erreur 20 millions de dollars à des fraudeurs, mais a rapidement remarqué l’erreur et gelé le compte du destinataire.

Les experts soulignent que la méthode d’utilisation d’adresses de crypto-monnaie similaires n’est pas sans rappeler les tactiques utilisées par les logiciels malveillants pour détourner le presse-papiers, par exemple, comme le fait Laplas Clipper.

À cet égard, les experts recommandent fortement aux utilisateurs de vérifier soigneusement les adresses des destinataires lorsqu’ils effectuent des transactions en crypto-monnaie afin d’éviter de telles escroqueries.

Cybersécurité, Mise à jour

La Russie va perdre son .aero

Les compagnies de transport aérien russes se retrouvent dans une situation délicate depuis que SITA, la société suisse qui administre la zone de domaine de premier niveau de l’aviation internationale .aero, a décidé de bloquer l’accès à cette zone pour les clients de la Fédération de Russie.

Une décision qui risque d’être un sérieux problème pour la Russie. Le 10 novembre, date à laquelle Ru-Center, le plus grand registraire de domaines commerciaux en Russie, a informé les entreprises aériennes russes de la résiliation imminente de leurs services d’enregistrement et de renouvellement de domaines .aero.

La zone de domaine aéronautique internationale .aero a été créée en 2002 spécifiquement pour les acteurs de l’industrie aéronautique, tels que les compagnies aériennes, les aéroports, les entreprises spatiales, les clubs aériens, les systèmes de billetterie, les équipages d’avions et les services au sol. Pour enregistrer un domaine .aero, il est nécessaire d’obtenir un identifiant unique de la communauté aéronautique, ce qui garantit que seuls les acteurs légitimes de l’industrie y ont accès. Le coût de l’enregistrement d’un tel domaine commence à 5,8 mille roubles en Russie. En plus de représenter une identité importante pour les entreprises aéronautiques, les domaines .aero sont essentiels pour la communication avec les passagers et la vente de billets en ligne.

En Russie, plus de 200 sites sont enregistrés dans la zone de domaine .aero, ce qui témoigne de son importance pour l’industrie aéronautique du pays. Parmi les utilisateurs de cette zone, on trouve plus de 30 aéroports, notamment les aéroports de Cheremetyevo, Joukovski, Kazan, Krasnoïarsk, ainsi que les holdings Aéroports des régions et Aérodynamique. De plus, une quinzaine de compagnies aériennes russes, telles que Pobeda, Azimut, Yamal, Ikar, Alrosa, et d’autres, dépendent également de cette zone pour leurs opérations en ligne. Même Russian Helicopters, une entreprise spécialisée dans la fabrication d’hélicoptères, utilise des domaines .aero.

.aero

La décision de SITA de bloquer l’accès à la zone .aero pour les entreprises aériennes russes n’est pas totalement surprenante. Cette décision est vue comme un acte de plus dans une série d’actions hostiles contre l’aviation russe. L’année précédente, SITA avait déjà commencé à réduire ses activités en Russie en réponse à la participation de la société SVO en Ukraine. Cette réduction d’activité avait entraîné la fermeture de la plupart de ses services en Russie, ce qui avait été signalé au ministère des Transports.

L’aéroport de Krasnoïarsk a reconnu le risque de non-renouvellement de son enregistrement de domaine .aero, mais jusqu’à présent, il n’a pas reçu de confirmation de la part de son registraire. Malgré cela, l’aéroport prend des mesures pour minimiser les conséquences potentielles en cas de blocage de ses domaines .aero.

Le holding Aerodinamika, qui gère les aéroports de Sotchi, Krasnodar et Anapa, n’a pas encore été notifié de la suspension de l’enregistrement des domaines .aero. Cependant, l’entreprise ne prend pas de risques inutiles et a déclaré : « Nous gérons les risques, c’est pourquoi en 2022, des domaines de la zone .ru ont été achetés pour les sites Web de tous les aéroports gérés. Une fois l’enregistrement des domaines .aero terminé, les sites seront rapidement transférés vers ceux achetés dans la zone .ru.« 

La décision de SITA de bloquer l’accès à la zone .aero pour les entreprises aériennes russes soulève des questions sur les relations internationales dans le domaine de l’aviation. Elle montre également l’importance croissante de la cybersécurité et de la souveraineté numérique pour les acteurs de l’industrie aéronautique. Les entreprises russes devront désormais prendre des mesures pour garantir la continuité de leurs opérations en ligne et la communication avec leurs clients, même si cela signifie migrer vers d’autres domaines de premier niveau tels que .ru. La situation met en évidence l’importance de la planification et de la préparation pour faire face à de telles perturbations inattendues, qui peuvent avoir un impact sur l’ensemble de l’industrie aéronautique russe.

Bitcoin, Cybersécurité, Securite informatique

les groupes militants soutenus par l’Iran passent du bitcoin au tron pour financer leurs activités.

Les groupes militants, notamment ceux soutenus par l’Iran, sont en train de changer leurs méthodes de financement, passant du Bitcoin au Tron, une plateforme de blockchain plus rapide et moins coûteuse.

Voilà une transformation dans le monde de la cryptomonnaie qui attire l’œil. Selon de nombreux experts interviewés par l’agence de presse Reuters, les groupes para militaires, notamment ceux soutenus par l’Iran, changeraient leurs méthodes de financement. Ils ne passent plus par la cryptomonnaie Bitcoin. Ils préfèrent dorénavant Tron.

Le réseau Tron se distingue par sa rapidité et ses coûts réduits, devenant ainsi une option privilégiée pour ces groupes. Les autorités israéliennes ont remarqué cette tendance et ont intensifié la saisie de portefeuilles Tron liés à des activités suspectes.

Saisies et gel de portefeuilles Tron

Entre juillet 2021 et octobre 2023, la NBCTF, le National Bureau for Counter Terror Financing of Israel, a gelé 143 portefeuilles Tron soupçonnés d’être associés à des organisations terroristes ou utilisés dans des crimes graves. Ces actions ciblaient des groupes tels que le Hezbollah libanais, le Djihad islamique palestinien et le Hamas, ainsi que des entités liées à l’échangeur Dubai Co, basé à Gaza.

A noter d’ailleurs qu’Israël a récemment réalisé une saisie record de crypto-monnaies, impliquant environ 600 comptes liés à Dubai Co. Les détails précis des réseaux ou des crypto-monnaies impliquées n’ont pas été divulgués. Les autorités israéliennes ont confisqué des millions de shekels sur des comptes cryptographiques suspectés d’avoir des liens avec le Hamas et d’autres groupes militants au Moyen-Orient au cours des deux dernières années.

Déclarations des utilisateurs de Tron

Suite à ces saisies, plus d’une douzaine de personnes dont les fonds ont été bloqués ont affirmé à Reuters utiliser Tron pour des transactions personnelles, sans lien avec le financement du terrorisme. Une seule personne, s’identifiant comme Neo, a admis avoir transféré de l’argent à une personne associée au Hamas. Cependant, ces affirmations n’ont pas été vérifiées indépendamment par Reuters.

Selon le Wall Street Journal, les militants palestiniens ont reçu au moins 134 millions de dollars en cryptomonnaies. TRM Labs rapporte que les structures de soutien à l’ISIS en Asie ont utilisé des cryptomonnaies, principalement le stablecoin USDT sur le réseau Tron, pour lever plus de 2 millions de dollars.

Position de Tron

Hayward Wong, porte-parole de Tron, a souligné que la société ne contrôle pas les utilisateurs de sa technologie et n’est pas associée à des groupes terroristes. Justin Sun, cofondateur de Tron, a affirmé que le protocole luttait contre le financement du terrorisme en intégrant divers outils analytiques. La fondation TRON a été créée en juillet 2017 à Singapour par l’entrepreneur chinois Justin Sun. Une levée de fonds en cryptomonnaies (Initial Coin Offering) a généré 70 millions de dollars pour le lancement de la blockchain.

Cybersécurité, Justice, loi

LA FCC ADOPTE DE NOUVELLES RÈGLES PERMETTANT AUX FOURNISSEURS DE SERVICES SANS FIL DE CONTRÔLER L’ÉCHANGE DE CARTES SIM

La Federal Communications Commission (FCC) a pris une mesure décisive pour combattre la fraude par échange de cartes SIM, une pratique qui a causé des pertes financières considérables et continue de sévir dans le monde de la cybercriminalité.

Cette fraude, qui consiste à persuader un opérateur de téléphonie mobile de transférer le service d’une victime sur un appareil contrôlé par des pirates, donne accès à des informations personnelles et des mots de passe. Face à ce problème, la FCC a imposé de nouvelles règles pour renforcer la sécurité dans le secteur.

Exigences renforcées pour les fournisseurs

Les fournisseurs de services sans fil devront désormais adopter des méthodes sécurisées pour authentifier les clients avant de rediriger leur numéro vers un nouvel appareil ou fournisseur. De plus, ils sont tenus d’informer immédiatement leurs clients lorsqu’un changement de carte SIM ou une demande de portage est effectué sur leur compte.

Les nouvelles règles visent à établir un cadre uniforme pour le secteur tout en laissant la flexibilité aux fournisseurs de proposer des mesures de protection avancées et appropriées contre la fraude.

Mise à jour des règles CPNI et de portabilité

Ces règles actualisent les régulations antérieures sur l’Information Réseau Propriétaire des Clients (CPNI) et la portabilité des numéros locaux, renforçant ainsi les mesures de sécurité. Appel à la contribution publique
La FCC encourage le public à proposer d’autres moyens de lutter contre la fraude à l’échange de carte SIM et la fraude au port-out, une arnaque similaire impliquant le transfert de numéro de téléphone vers un nouveau compte contrôlé par des fraudeurs.

Le FBI a rapporté que les pertes dues aux attaques par échange de carte SIM ont atteint plus de 68 millions de dollars en 2021, marquant une augmentation exponentielle depuis 2018.

Réponse de la FCC

Jessica Rosenworcel, présidente de la FCC, souligne l’importance de donner aux abonnés plus de contrôle sur leurs comptes et d’alerter les consommateurs à chaque demande de transfert de carte SIM pour prévenir les activités frauduleuses.

La FCC s’efforce d’améliorer la confidentialité des consommateurs et de mettre fin aux escroqueries aux cartes SIM, reconnaissant le rôle central des téléphones dans nos vies et la nécessité de protéger les informations qu’ils contiennent.

Pour aborder ces enjeux, la FCC a créé un groupe de travail sur la confidentialité et la protection des données, visant à résoudre des problèmes tels que l’échange de cartes SIM et autres défis liés à la sécurité des données.

Ces mesures représentent une avancée significative dans la lutte contre la fraude numérique, protégeant ainsi les consommateurs contre les tactiques de plus en plus sophistiquées des cybercriminels.

backdoor, Cybersécurité, Téléphonie

LE PARLEMENT EUROPÉEN CRITIQUE L’INACTION SUR LES LOGICIELS ESPIONS

Dans une résolution adoptée majoritairement (424 voix pour, 108 contre, et 23 abstentions), les législateurs ont ouvertement critiqué la Commission européenne pour son manque d’action contre les abus liés aux logiciels espions. Cette démarche intervient dans un contexte de plus en plus inquiet concernant la surveillance numérique au sein de l’Union Européenne (UE).

Le vote est le fruit d’un examen minutieux mené par la Commission d’enquête sur l’utilisation de Pegasus et d’autres logiciels espions de surveillance (PEGA). Cette enquête parlementaire a révélé des pratiques alarmantes d’abus de surveillance par des acteurs étatiques.

Une réponse timide de la commission

La Commission a initialement argumenté qu’elle ne pouvait empiéter sur les responsabilités de sécurité des États membres. Sophie In’t Veld, rapporteure de PEGA, a critiqué cette position, soulignant que les autorités nationales étaient elles-mêmes impliquées dans ces abus. Face à l’ampleur du problème, une association d’organisations de défense des libertés civiles et des droits de l’homme plaide pour une interdiction totale des logiciels espions dans l’UE. Les députés envisagent de lancer une deuxième enquête en 2023 pour approfondir cette question.

Des mesures pour protéger les journalistes

En septembre dernier, la Commission a proposé une législation visant à protéger les journalistes contre le ciblage par des logiciels espions. Toutefois, cette initiative fait face à de vives contestations du Conseil européen, qui cherche à réduire le niveau de protection des journalistes. Le Conseil européen a émis une position de négociation qui pourrait limiter la capacité de la Cour de justice de l’UE d’intervenir contre les États membres accusés d’espionner des journalistes.

Cette loi, en cours de négociation, est critiquée par des groupes de la société civile, qui la considèrent comme trop « édulcorée » pour être efficace.

Cybersécurité, loi

L’AUSTRALIE REVISE SA STRATÉGIE CYBERSÉCURITÉ SANS INTERDIRE LES PAIEMENTS DE RANÇONS

Le gouvernement australien a choisi de ne pas interdire les paiements de rançon dans le cadre de sa nouvelle stratégie nationale de cybersécurité, contrairement à ce qui avait été initialement envisagé.

Annoncée il y a quelques jours, la nouvelle stratégie de l’Australie face aux rançongiciels met l’accent sur une obligation de déclaration obligatoire des incidents de ransomware. L’idée, tout comme en France ou encore aux USA, alerter les autorités et ne rien cacher des infiltrations liées à une cyberattaque, dont les ransomwares. Bilan, le gouvernement australien ne souhaite plus interdire le paiement de rançon, mais contrôler au mieux.

Cette révision stratégique, dévoilée presque un an après que la ministre de l’Intérieur et de la Cybersécurité, Clare O’Neil, ait proposé de criminaliser les paiements de rançon, fait suite à plusieurs incidents majeurs affectant des entreprises australiennes. Dotée d’un budget de 587 millions de dollars australiens sur sept ans, soit plus de 350 millions d’euros, cette stratégie vise à atténuer l’impact des ransomwares, estimé à 3 milliards de dollars australiens de dommages annuels [1,8 milliard d’euros] pour l’économie du pays.

Le gouvernement australien va donc introduire une obligation pour les entreprises de signaler les attaques de ransomware. Cette mesure vise à combler le manque d’informations sur l’impact réel de ces incidents sur l’économie nationale. Le gouvernement envisage de partager des rapports anonymisés sur les tendances des ransomwares et de la cyberextorsion avec l’industrie et la communauté pour renforcer la résilience nationale contre la cybercriminalité.

L’attaque contre Medibank, l’un des plus grands fournisseurs d’assurance maladie du pays, est l’un des incidents les plus médiatisés, ayant abouti à la publication en ligne de données sensibles sur environ 480 000 personnes. O’Neil a exprimé sa préférence pour une interdiction totale des paiements de rançon afin de saper le modèle économique des cybercriminels, mais a reconnu que ce n’était pas le bon moment pour une telle mesure. Le gouvernement reconsidérera cette possibilité dans deux ans. En réponse aux attaques, le gouvernement australien a lancé l’Opération Aquila, une collaboration entre la police fédérale australienne et l’agence nationale de cyber-intelligence, pour combattre la cybercriminalité en utilisant des capacités offensives.

Parallèlement, le projet REDSPICE bénéficiera d’un financement accru pour renforcer les cybercapacités offensives du pays. Ces capacités resteront confidentielles. L’Australie, comme de nombreux autres pays, s’est engagée à ne pas payer de rançons en cas d’attaque de ses réseaux. Une annonce faîte, en novembre 2023, lors de la réunion spéciale « Ransomware » organisée par la Maison Blanche.

backdoor, Cybersécurité, Espionnae

APPLE AVERTIT LES ARMÉNIENS DE TENTATIVES DE PIRATAGE SOUTENUES PAR L’ÉTAT

Récemment, Apple a envoyé des alertes à ses clients en Arménie, les informant que leurs téléphones sont ciblés par des pirates informatiques soutenus par un État.

Le logiciel d’espionnage Pegasus est-il caché derrière l’alerte lancée par Apple, au début du mois de novembre, à l’encontre de plusieurs personnalités Arméniennes ? CyberHUB, une organisation arménienne de droits numériques qui enquête sur ces incidents, a observé une augmentation constante des infections par logiciels espions dans le pays au cours des deux dernières années. De nombreuses infections seraient liées au gouvernement azerbaïdjanais, connu pour son histoire conflictuelle avec l’Arménie, en particulier concernant la région contestée du Haut-Karabakh.

« Dans le cas de l’Arménie, ces avertissements signifient que le téléphone a été infecté par le logiciel espion Pegasus« , a déclaré Samvel Martirosyan, co-fondateur de CyberHUB, faisant référence à l’outil de surveillance développé par la firme israélienne NSO Group et vendu à des gouvernements du monde entier. NSO Group qui a demandé, il y a quelques jours, une demande de réunion avec la Maison Blanche pour expliquer l’importance de son outil lors du conflit entre Israël et le Hamas. Une entrevue, demandée par l’avocat de l’entreprise, qui indique d’ailleurs un élément important : le gouvernement israélien semble cautionner et utiliser Pegasus.

Bien qu’Apple n’ait pas précisé le logiciel espion utilisé ni identifié les responsables du piratage, il existe certaines preuves que la dernière vague d’infections a utilisé Pegasus, selon Natalia Krapiva, conseillère juridique et technologique chez Access Now, une organisation à but non lucratif pour les droits numériques. Cependant, elle souligne qu’il est difficile de le savoir avec certitude tant que l’enquête est en cours. Martirosyan a indiqué que le logiciel espion a probablement été installé sur ordre du gouvernement azerbaïdjanais. Pendant la guerre entre l’Arménie et l’Azerbaïdjan en 2020, le logiciel espion Pegasus a été utilisé pour cibler des journalistes, des militants, des fonctionnaires gouvernementaux et des civils arméniens. Bien que l’identité des pirates derrière ces attaques reste floue, des chercheurs suggèrent que l’Azerbaïdjan est l’un des suspects potentiels.

Le Citizen Lab de l’Université de Toronto a identifié au moins deux opérateurs présumés de Pegasus en Azerbaïdjan qui ont ciblé des individus à l’intérieur comme à l’extérieur du pays. Krapiva est également d’avis que « le suspect probable est l’Azerbaïdjan », en raison de son histoire avec Pegasus et de ses liens étroits avec Israël. Les tensions entre l’Arménie et l’Azerbaïdjan sont élevées et ont atteint un point critique en septembre lorsque l’Azerbaïdjan a lancé une offensive militaire à grande échelle au Haut-Karabakh, violant ainsi un accord de cessez-le-feu de 2020.

CyberHUB, qui enquête sur les infections par Pegasus depuis deux ans, a signalé que le nombre de piratages augmente en Arménie. Cependant, l’étendue réelle de ces piratages est difficile à déterminer, car de nombreuses victimes préfèrent ne pas rendre leurs cas publics, selon Krapiva. Elle ajoute que les utilisateurs d’Android ne reçoivent pas du tout de telles notifications. La plupart des infections surviennent lors d’escalades entre l’Arménie et l’Azerbaïdjan. Les cibles en Arménie ont inclus des politiciens de haut rang, des représentants de la société civile, des militants, des journalistes et des rédacteurs.

En septembre, l’Assemblée parlementaire du Conseil de l’Europe a qualifié l’utilisation du logiciel espion Pegasus par plusieurs pays de la région de potentiellement illégale.

Précision : Une version précédente de cet article indiquait que Pegasus avait été utilisé pour cibler des militants en Russie — il a en fait été spécifiquement utilisé contre une journaliste russe lors de son voyage en Allemagne, et elle a reçu la notification en Lettonie.

Cybersécurité, Mise à jour, Patch

L’EXPLOIT PERMETTANT DE CONTOURNER WINDOWS DEFENDER SMARTSCREEN DIVULGUÉ

Le code d’exploitation de démonstration (preuve de concept, PoC) d’une vulnérabilité critique dans Windows Defender a été rendu public.

Cette vulnérabilité, identifiée sous le nom de CVE-2023-36025, permet aux pirates informatiques de contourner efficacement la fonction de sécurité SmartScreen de Windows. Autant dire que cela risque de devenir un sérieux problème si vous n’avez pas encore mis en place le patch qui corrige cette faille.

Microsoft, conscient de l’urgence, a répondu rapidement en déployant un correctif dans sa mise à jour de novembre. Cependant, il est alarmant de constater que, avant même la publication de ce correctif, la vulnérabilité CVE-2023-36025 était déjà exploitée activement dans des cyberattaques, lui conférant ainsi le statut redouté de vulnérabilité « zero-day« .

L’exploit zero-day en question permet aux attaquants d’insérer du code malveillant en déjouant les contrôles de Windows Defender SmartScreen, sans déclencher d’alertes de sécurité. Le vecteur d’attaque implique l’utilisation de raccourcis Web (.url) spécialement conçus ou de liens vers de tels fichiers, nécessitant la participation active de la victime, souvent par le biais de clics imprudents. Un hameçonnage [du Social Engineering via un phishing] aux couleurs de votre entreprise par exemple !

Les systèmes affectés incluent Windows 10, Windows 11 et Windows Server 2008, avec une mention particulière dans l’ensemble de correctifs de novembre en raison de sa haute priorité. Le PoC récemment publié est en soi un simple fichier de raccourci Internet, mais représente un outil puissant pour exploiter la faille CVE-2023-36025. Le spécialiste à l’origine de cette publication met en garde : « Bien que ce fichier .URL conduise à un site malveillant, il peut être déguisé en raccourci inoffensif. Les attaquants peuvent distribuer un tel fichier via des e-mails de phishing ou des ressources Web compromises.« 

L’exploitation de cette vulnérabilité pourrait ouvrir la voie à une distribution massive de logiciels malveillants, des attaques de phishing réussies et diverses autres cybermenaces comme un rançongiciel [ransomware].

Cybersécurité, double authentification

Une solution cyber à double anonymat pour prouver son âge sur le web

Docaposte expérimente une solution sécurisée et souveraine de preuve de majorité qui garantit le double anonymat. Une solution en cours de test sur des sites pour adultes !

Docaposte, la filiale numérique du groupe La Poste, expérimente, dans le cadre du Laboratoire de la protection de l’enfance porté par le Gouvernement, une solution délivrant une preuve d’âge destinée à limiter l’accès aux sites pour adultes aux personnes majeures. La solution développée par Docaposte répond à un triple enjeu : la protection des mineurs, le respect de l’anonymat des utilisateurs et un système ouvert proposant un choix de plusieurs moyens d’identification.

Constituée d’une plateforme numérique et d’une application mobile, la solution propose un dispositif unique de double anonymat, sans transmission d’informations sur l’identité des utilisateurs ni de traçabilité des sites fréquentés. De plus, un hébergement souverain de la solution dans les datacenters installés en France de l’opérateur.

La solution a vocation à être généralisée en début d’année 2024 aux services en ligne nécessitant une vérification sécurisée de l’âge des utilisateurs.

La garantie de l’anonymat et l’absence de traçabilité

La solution est un dispositif sécurisé qui garantit l’anonymat de l’utilisateur et l’absence de traçabilité des sites qu’il consulte. La solution est constituée d’une plateforme internet et d’une application mobile. Ces deux composants ont chacun leur rôle : la plateforme internet sert d’intermédiaire entre l’utilisateur et le site auquel il souhaite accéder. L’application mobile récupère uniquement la preuve d’âge de l’utilisateur, qui est une donnée anonymisée.

Ces deux composants garantissent le double anonymat : le site consulté ne connaît pas l’identité de l’utilisateur et le moyen d’identification choisi par l’utilisateur ne connaît pas le site consulté avec la preuve d’âge.

Concrètement, lorsqu’un utilisateur souhaite accéder à un site requérant un âge minimum, il se connecte sur la plateforme qui confirmera son âge auprès du site pour en autoriser l’accès, en transmettant uniquement une preuve d’âge, sans transmettre la moindre information personnelle sur l’identité de l’utilisateur. De la même manière, le moyen d’identification utilisé (par exemple, L’Identité Numérique La Poste ou un numéro de carte bancaire Mastercard) ne connaît pas le site accédé avec la preuve d’âge.

Une solution sécurisée, souveraine et ouverte

Cette solution est hébergée en France dans ses propres datacenters. La sécurité des données est assurée par un stockage en compartiments étanches empêchant l’accès à l’ensemble des informations personnelles des utilisateurs et des usages de leur preuve d’âge. Conçue dans une logique de plateforme ouverte à différents moyens d’identification, la solution offre aux utilisateurs le choix de la modalité d’identification qui leur convient le mieux.

Dans la phase d’expérimentation, la plateforme propose L’Identité Numérique La Poste, l’utilisation de sa pièce d’identité (contrôlée par un service de vérification d’identité à distance) ou un numéro de carte bancaire Mastercard. Des négociations sont en cours en vue de l’intégration de nouveaux partenaires et de l’élargissement du nombre d’options d’identification proposées aux utilisateurs.

L’expérimentation, lancée depuis plusieurs semaines avec des sites pour adultes, s’achèvera début 2024. Une généralisation de la solution est par la suite prévue. Au-delà des sites pour adultes, elle apporte une réponse aux besoins de protection des mineurs et de respect de la loi en matière de vérification d’âge par des activités réglementées tels que les jeux vidéos à contenu violent ou adulte ou l’achat d’alcool et de tabac en ligne.

Cybersécurité, Mise à jour, Securite informatique

Black Friday, Cyber monday : les commerçants Français confrontés à une augmentation des cyber attaques

Dans le paysage en constante évolution du commerce en ligne, les commerces français font face à une menace croissante en matière de cybersécurité. Selon de récentes données, 60% des attaques ciblant ces entreprises sont des attaques de logique commerciale, dépassant largement la moyenne mondiale de 37%. Cette tendance inquiétante met en lumière les défis croissants auxquels le secteur du e-commerce est confronté en France.

De plus, une proportion significative du trafic non désiré sur les sites français de vente au détail est désormais associée à des robots avancés, dépassant la moyenne mondiale de 53%. Ces « bad bots » posent un problème sérieux en matière de sécurité en ligne, car ils sont souvent utilisés pour des activités malveillantes.

L’évolution des attaques est également préoccupante. Au cours des 12 derniers mois, on a observé une augmentation spectaculaire de 4 fois des attaques DDoS de niveau 7 chez les commerçants français. De plus, les attaques DDoS de la couche applicative ont augmenté de près de 10 fois pendant la période des achats de Noël par rapport à l’année précédente. Ces attaques automatisées, en particulier celles visant la logique commerciale des applications, représentent une menace majeure pour les commerces.

Les cybercriminels cherchent à exploiter les vulnérabilités des applications, des API et des données du secteur du e-commerce, avec des conséquences potentiellement désastreuses pour les entreprises visées.

Karl Triebes, SVP et GM de la sécurité des applications chez Imperva, met en garde : « Les risques sécuritaires auxquels le secteur du e-commerce est confronté sont de plus en plus élaborés, automatisés et difficiles à détecter. Cette automatisation sophistiquée peut sérieusement affecter les résultats financiers des retailers, compromettant ainsi les ventes de fin d’année.« 

Les perspectives pour la période des fêtes de fin d’année 2023 sont également inquiétantes. Une récente augmentation des attaques de bots malveillants, en particulier sur les sites de e-commerce basés aux États-Unis et en France, laisse présager une perturbation potentielle des ventes pendant le Black Friday et le Cyber Monday. Les attaques DDoS au niveau des applications sont en hausse par rapport à la même période l’année dernière, accentuant les risques pour la période des fêtes.

Cybersécurité, IA

YouTube impose des règles pour les contenus générés par l’IA

La révolution de l’intelligence artificielle (IA) est en train de bouleverser notre monde à bien des égards, et l’une des dernières frontières à être touchée est l’industrie du contenu vidéo en ligne. YouTube, la plate-forme vidéo la plus importante du monde, est en train de prendre des mesures pour réglementer ces nouvelles formes de médias créés par des machines intelligentes. Dans cet article, nous allons examiner les nouvelles règles que YouTube a mises en place pour encadrer les contenus générés par l’IA.

L’IA à l’assaut de YouTube ? Il est indéniable que l’IA est devenue une force majeure dans le monde de la création de contenu. Des algorithmes sophistiqués peuvent désormais générer des vidéos, des images et même des textes de manière quasi indiscernable de ce que produiraient des créateurs humains. YouTube, anticipant une augmentation future du nombre de vidéos créées par des machines, a décidé d’établir des directives claires pour ces types de contenus.

La transparence en premier

Une des règles majeures mises en place par YouTube est la nécessité de transparence. Les créateurs doivent désormais indiquer clairement si une vidéo a été générée par l’IA ou si elle contient des éléments créés ou adaptés par des algorithmes. Cela est particulièrement important pour les contenus qui semblent réalistes, car il est essentiel que les téléspectateurs sachent si des outils d’IA ont été utilisés dans leur création.

Un porte-parole de YouTube a expliqué cette décision en déclarant : « Nous voulons que les utilisateurs aient un contexte lorsqu’ils regardent un contenu réaliste. Cela leur permet de savoir si des outils d’IA et d’autres changements synthétiques ont été utilisés pour le créer. » Cette mesure vise à éviter que les téléspectateurs ne soient induits en erreur par des vidéos qui semblent être le fruit du travail humain.

Les conséquences du non-respect des règles

YouTube prend ces nouvelles règles très au sérieux. Les créateurs qui ne respectent pas l’obligation d’indiquer l’utilisation de l’IA dans leurs vidéos peuvent être bannis de la plate-forme. Cette mesure vise à garantir l’intégrité et la confiance des utilisateurs dans le contenu qu’ils consomment sur YouTube.

YouTube n’est pas la première plate-forme à devoir faire face à la question de la réalité des contenus générés par l’IA, et elle ne sera certainement pas la dernière. Avec l’avancée rapide des outils d’IA, la distinction entre ce qui est « réel » et ce qui ne l’est pas devient de plus en plus floue. Les réseaux sociaux tels que TikTok et Instagram sont depuis longtemps critiqués pour l’utilisation de filtres d’IA qui modifient l’apparence des utilisateurs. Cela peut créer des idéaux de beauté irréalistes, en particulier pour les adolescents qui sont de grands consommateurs de ces plateformes.

De plus, les outils d’IA sophistiqués peuvent être utilisés pour créer des « deepfakes », des vidéos hyper-truquées dans lesquelles des personnalités politiques ou célèbres disent des choses qu’elles n’ont jamais dites. YouTube a déjà mis en place des outils pour signaler et supprimer de telles vidéos.

Cybersécurité, santé

Guide CNIL : durées de conservation des données dans le secteur social et médico-social

Dans le domaine complexe et crucial des secteurs social et médico-social, la gestion des données est une préoccupation majeure. Pour aider les acteurs de ces secteurs à naviguer efficacement dans ce paysage, un nouveau référentiel a été élaboré par la CNIL. Son objectif ? Guider de manière opérationnelle les acteurs dans l’identification et la détermination des durées de conservation pertinentes pour les traitements qu’ils mettent en œuvre.

Ce référentiel s’avère être une ressource inestimable pour les responsables de traitement. Il les oriente vers les durées de conservation obligatoires, conformément à la réglementation en vigueur, notamment le code de l’action sociale et des familles ainsi que le code de la santé publique. De plus, il met en lumière les durées recommandées par la CNIL, offrant ainsi des points de repère essentiels pour déterminer la durée pertinente.

Il est important de noter que ce référentiel ne prétend pas à l’exhaustivité. Il se concentre sur les traitements les plus fréquents dans ces secteurs d’activité. Cependant, pour une gestion encore plus efficace des durées de conservation, une fiche pratique dédiée est mise à disposition de tous les acteurs, qu’ils soient salariés, bénévoles, ou autre, afin de leur offrir des recommandations pratiques pour la gestion quotidienne des durées de conservation des données.

Un référentiel indispensable qui, espérons le, pourra éviter de voir des fuites comme celles repérées par le blog ZATAZ, référence mondiale concernant les fuites de données et la lutte contre le cybercrime, ICI et LA.

À qui s’adressent ces ressources ?

Le référentiel et la fiche pratique sont conçus pour répondre aux besoins de l’ensemble des organismes, qu’ils soient privés ou publics, opérant dans les secteurs social et médico-social. Cela inclut, entre autres, les services mandataires et judiciaires à la protection des majeurs (SMJPM), les services d’accompagnement à la vie sociale (SAVS), les établissements et services d’aide par le travail (ESAT), les établissements d’hébergement pour personnes âgées dépendantes (EHPAD), et bien d’autres.

Un guide complet pour aller encore plus loin

Pour ceux qui souhaitent approfondir leurs connaissances en matière de gestion des durées de conservation des données, la CNIL a publié en 2020 un guide pratique plus général. Ce guide a pour objectif de répondre aux questions les plus courantes des professionnels concernant le principe de limitation de la conservation des données. Il détaille les éléments clés de cette obligation et offre des conseils pratiques pour faciliter sa mise en œuvre au sein des organismes, qu’ils soient publics ou privés.

Ce nouveau guide 2023 a été élaboré en partenariat avec le Service interministériel des archives de France (SIAF), et il met en relation les obligations du RGPD (Règlement général sur la protection des données) avec celles du code du patrimoine. Une ressource inestimable pour tous ceux qui cherchent à naviguer dans le labyrinthe complexe de la gestion des données dans le secteur social et médico-social.

cyberattaque, Cybersécurité

DES PME FRANÇAISES ADMETTENT AVOIR ÉTÉ TOUCHÉES PAR UNE VIOLATION DE LA SÉCURITÉ DE LEURS IMPRIMANTES.

L’augmentation des menaces de sécurité, telles que le phishing ou les ransomware, est une préoccupation très réelle pour les petites et moyennes entreprises (PME) d’Europe. D’autant plus que l’exploitation de nouvelles vulnérabilités fait des appareils en réseau, tels que les multifonctions et les imprimantes, des cibles de choix pour les atteintes à la sécurité informatique.

Une étude menée par Sharp Europe – L’un des principaux fournisseurs de produits et de services technologiques aux PME européennes, a révélé que près d’une PME française sur huit (12%) admet avoir été affectée par une violation de la sécurité de son imprimante. Près d’un tiers d’entre elles ont été touchées par des pertes de données (28%), des malware (31%), du phishing (32%) et des attaques de virus informatiques (29%).

Aujourd’hui, le paysage des menaces liées à l’impression continue de s’élargir avec les défis réels que pose le travail hybride, qu’il s’agisse de sécuriser les connexions réseau ou de se prémunir contre l’erreur humaine. Pourtant, seulement 3% des PME s’inquiètent du risque de sécurité des imprimantes. En fait, plus d’un tiers (38%) des petites entreprises françaises n’ont mis en place aucune mesure de sécurité informatique pour protéger les imprimantes.

L’étude paneuropéenne a interrogé 5 770 professionnels responsables de l’achat IT dans leurs PME, sur la confiance dans leurs capacités de sécurité informatique et les obstacles à l’investissement dans la sécurité informatique au cours des 12 prochains mois.

Manque de compréhension des employés en matière de sécurité informatique

L’étude révèle que le travail hybride est la deuxième raison (28%) pour laquelle les PME françaises s’inquiètent de plus en plus de la sécurité informatique. Plus d’un quart d’entre elles (26%) s’inquiètent également du manque de compréhension des employés en matière de sécurité informatique. Malgré ces inquiétudes, seul un peu plus d’un tiers (41%) couvre le travail hybride dans le cadre de sa formation actuelle à la sécurité informatique et moins d’un quart des PME sensibilisent leurs employés à la sécurité informatique des scanners (16%) et des imprimantes (19%).

Pour les petites entreprises qui ne disposent pas de ressources informatiques importantes, la réalité du paysage des menaces en constante évolution et les défis posés par le travail hybride peuvent sembler décourageants. Les PME peuvent commencer par mettre à jour les logiciels pour les scanners et les imprimantes, sauvegarder régulièrement les données et encourager une politique de sécurité cohérente au sein des équipes travaillant sur plusieurs sites afin de garantir leur protection. Demander l’avis d’un expert peut aider à s’assurer que les bonnes décisions en matière de sécurité informatique sont prises, qu’une vision holistique de la sécurité est adoptée et que les solutions sont toujours à jour.

Cybersécurité, Entreprise

PERSPECTIVES POUR 2024 : LES CYBERCRIMINELS S’OFFRENT DE NOUVEAUX LEVIERS D’ATTAQUE SIMPLIFIÉS

Avec la progression des offres de cybercriminalité en tant que service (CaaS) et l’avènement de l’intelligence artificielle (IA) générative, les auteurs de menaces gagnent en simplicité pour mener à bien leurs attaques. Avec leurs boîtes à outils qui s’enrichissent de nouvelles capacités, les assaillants affûtent leurs armes. Ils lanceront des attaques plus ciblées et furtives, capables de contourner les arsenaux de sécurité en place et gagneront en agilité en rendant chaque tactique d’attaque plus efficace au fil du temps. Voici les perspectives pour 2024.

Dans son rapport 2024 de prédictions sur les menaces, FortiGuard Labs se penche sur une nouvelle ère de la cybercriminalité, examine comment l’IA change la donne en matière d’attaques et livre les nouvelles tendances qui devraient émerger pour l’année à venir et au-delà. Ce rapport propose également des conseils qui permettront aux entreprises dans le monde de renforcer leur résilience face à des menaces qui n’ont pas fini d’évoluer.

Une évolution des techniques traditionnelles d’attaque

Depuis des années, nous observons et échangeons sur les tactiques d’attaque les plus populaires, abordées dans des rapports précédents. Les grands classiques ne disparaissent jamais, mais ils évoluent et progressent à mesure que les assaillants accèdent à de nouveaux outils. Ainsi, en matière de menaces APT (Advanced Persistent Threat), nous anticipons une activité plus dynamique. Au-delà de l’évolution des APT, nous prévoyons qu’en général, les groupuscules cybercriminels diversifieront leurs cibles et leurs playbooks en misant sur des attaques plus sophistiquées et plus destructives, basées notamment sur des dénis de services et autres tentatives d’extorsion.

Les guerres de territoires restent d’actualité au sein de la cybercriminalité. En l’espace de 24 heures ou moins, de nombreux groupuscules se concentrent sur les mêmes cibles en déployant plusieurs variantes de ransomware. Cette multiplication des actions est telle que le FBI américain a lancé un avertissement aux entreprises sur ce sujet en début d’année.

D’autre part, n’oublions pas que l’IA générative évolue et que l’instrumentalisation de l’IA jette de l’huile sur le feu en offrant aux assaillants un moyen simple d’améliorer les nombreuses étapes de leurs attaques. Comme nous l’avions prédit, les cybercriminels font de plus en plus appel à l’IA pour optimiser leurs actions, qu’il s’agisse de déjouer la détection de leurs techniques d’ingénierie sociale ou d’imiter des comportements humains.

Nouvelles tendances pour 2024 et au-delà

Même si les cybercriminels continuent de tirer parti de tactiques éprouvées pour engranger des gains rapides, ils disposent d’un nombre croissant d’outils pour simplifier l’exécution de leurs attaques. À mesure que la cybercriminalité évolue, nous anticipons différentes tendances pour 2024, et au-delà :

Voir plus grand : ces dernières années, les attaques par ransomware ont proliféré dans le monde, ciblant toutes les entreprises, quelles que soient leur taille et leur secteur d’activité. Toutefois, alors des cybercriminels sont toujours plus nombreux à exécuter leurs attaques, ils épuisent rapidement les cibles les plus petites et les plus faciles à pirater. À l’avenir, nous prévoyons que les assaillants adopteront une approche de type « tout ou rien ». Ils se recentreront leurs attaques sur des secteurs critiques (santé, finance, transports et services publics) pour un impact majeur sur l’ensemble de la société et des demandes de rançons bien plus élevées qu’aujourd’hui. Ils élargiront également leur mode opératoire, rendant leurs exactions plus personnalisées, moins prévisibles, plus agressives et donc plus dommageables.

Des vulnérabilités zero-day toujours plus nombreuses : les entreprises intègrent de nouvelles plateformes, applications et technologies pour mener leurs activités. Les cybercriminels disposent ainsi de nouvelles opportunités d’exploiter des vulnérabilités logicielles. Nous avons observé un nombre record de vulnérabilités zero-day et CVE en 2023, et cette tendance s’accélère. Ces vulnérabilités attirent les assaillants et nous nous attendons à ce que des brokers (cybercriminels qui revendent ces vulnérabilités sur le dark web à plusieurs acheteurs) apparaissent au sein de la communauté CaaS. De manière générale, les vulnérabilités N-days continueront à faire courir d’importants risques aux entreprises.

Jouer à domicile : les entreprises renforcent leurs contrôles de sécurité, adoptent de nouvelles technologies et de nouveaux processus pour consolider leurs défenses. Il est donc beaucoup plus difficile d’infiltrer un réseau depuis l’extérieur. Les cybercriminels doivent donc trouver de nouvelles stratégies pour atteindre leurs cibles. Anticipant cette évolution, nous prévoyons que les assaillants continueront à préparer toujours plus en amont leurs exactions (tactiques, reconnaissance et armement). D’ailleurs certains groupuscules n’hésiteront pas à recruter à l’intérieur même des entreprises ciblées pour obtenir un accès initial pour leurs attaques.

L’avènement d’attaques médiatiques : nous nous attendons à ce que les assaillants tirent parti de rendez-vous géopolitiques et événementiels majeurs, tels que les élections américaines de 2024 ou les Jeux olympiques de Paris en 2024. Pour cibler ces événements, les cybercriminels disposent désormais de nouveaux outils, en particulier l’IA générative, pour rendre leurs opérations plus efficaces.

Réduire le champ d’action des TTP : les assaillants continueront inévitablement à élargir l’ensemble des tactiques, techniques et procédures (TTP) qu’ils utilisent pour atteindre leurs cibles. Cependant, les équipes de sécurité en entreprise peuvent prendre l’avantage en identifiant les leviers pour perturber leurs actions. Bien que la majeure partie du travail quotidien des équipes de cybersécurité consiste à traiter les indicateurs de compromission, il est utile d’examiner de près les tactiques, techniques et procédures régulièrement utilisées pour en maîtriser le champ d’action.

La 5G en tant que nouveau terrain de chasse : l’accès à un éventail toujours plus large de technologies connectées entraîne de nouvelles opportunités. Avec la croissance exponentielle de la 5G, nous prévoyons une accélération des attaques connectées. Des attaques réussies contre l’infrastructure 5G sont susceptibles de perturber nombre de secteurs critiques (pétrole et gaz, transports, sécurité publique, finance, santé).

Vivre dans la nouvelle ère de la cybercriminalité

La cybercriminalité impacte chaque citoyen et les conséquences d’un incident sont souvent considérables. Pour autant, les acteurs malveillants ne sont pas nécessairement en capacité de prendre le dessus. Les professionnels de la cybersécurité peuvent prendre de nombreuses mesures pour anticiper les actions des criminels et perturber leurs activités : collaboration entre public et privé pour partager des informations, normalisation des procédures de reporting des incidents, etc.

Les entreprises ont bien sûr un rôle essentiel à jouer dans la lutte contre la cybercriminalité. En premier lieu, il s’agit de favoriser une culture de la cyber résilience pour faire de la cybersécurité le travail de chacun. On peut également penser à des initiatives permanentes telles que des programmes d’information et de formation à l’échelle de l’entreprise, ou encore des activités plus ciblées telles que des simulations ou des études de cas pratiques à l’intention des dirigeants. Un autre axe consiste à pallier le déficit de compétences de cybersécurité en interne en puisant dans de nouveaux viviers de talents pour pourvoir les postes vacants, une approche qui aidera les entreprises à faire face à la surcharge de travail des équipes sécurité et à anticiper l’évolution des menaces. Enfin, le partage de l’information, qui est appelé à gagner en importance, permettra d’activer rapidement les mesures de protection qui s’imposent.

Cybersécurité, Entreprise

NIS 2 : ÊTES-VOUS « CYBER READY » ?

Votée par les députés européens le 10 novembre 2022 et inscrite au Journal Officiel, NIS 2 (ou “Network Information Security”) a pour objectif d’harmoniser et de renforcer la cybersécurité du marché européen. Etes-vous « cyber ready » ?

NIS 2, cela vous dit quelque chose. Êtes-vous au courant qu’il existait un NIS 1 ? En 2016, le parlement européen a adopté NIS 1 dans un souci de renforcement de la cybersécurité des organisations majeures en Europe, dans des secteurs perçus comme sensibles. Mais avec l’instabilité du contexte géopolitique et l’augmentation des cyberattaques, l’Europe a publié à la fin de l’année 2022 l’extension NIS 2 afin d’élargir le périmètre des secteurs critiques et augmenter les niveaux de sécurité.

Cette directive, qui sera transposée à l’échelle nationale d’ici le 17 octobre 2024, apportera plusieurs exigences pouvant bouleverser les entreprises européennes.

Avec plus de 18 secteurs d’activité concernés, cette directive oblige des milliers d’entités à mieux protéger la sécurité de leurs réseaux par le biais de différentes stratégies cyber comme l’analyse de données, le traitement des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, la veille [comme celle proposée par le Service Veille ZATAZ] ou l’utilisation de système de communication d’urgence sécurisés au sein de l’organisation. Cette directive prévoit aussi des sanctions plus sévères, avec des amendes comprises entre 1,4 % et 2 % du chiffre d’affaires pour les entreprises n’appliquant pas les mesures de sécurité adéquates.

Il est également important de noter que la Directive NIS 2 efface la dénomination OSE (Opérateurs de services essentiels) au profit de deux catégories d’entités : les entités essentielles (EE) qui regrouperaient principalement les grandes entreprises dans les secteurs classés comme hautement critiques et les entités importantes (EI) qui concerneraient principalement les organisations de taille moyenne dans les secteurs classés comme hautement critiques et les organisations des secteurs critiques.

DORA l’exploratrice

En complément de NIS 2, le parlement européen a adopté en juin 2023 la réglementation DORA (Digital Operational Resilience Act) visant particulièrement le secteur bancaire car il est considéré comme hautement critique. Parmi les acteurs concernés, on retrouve les établissements de crédit, des sociétés de gestion ou des compagnies d’assurance. Ces organisations devront redoubler de vigilance sur les risques liés aux technologies d’information et communication et élaborer des processus de gestion des incidents.

« Dans le cadre de NIS 2, confirme Renaud Ghia, Président de Tixeo, les organisations attestant d’un incident de cybersécurité disposent d’un délai de 24 heures pour le signaler à l’ANSSI. Bien que la mesure puisse encore être modifiée, les entreprises devront s’organiser pour réagir rapidement. »

S’il leur est conseillé fortement conseillé de faire appel à des prestataires pour évaluer leur niveau de sécurité et recevoir des préconisations, les entreprises doivent également préparer et former dirigeants, managers et collaborateurs aux risques cyber. Cette directive attend justement des entreprises qu’elles ne dépendent plus simplement de leur service informatique mais que la direction soit en capacité d’approuver des mesures de sécurité.

Cybersécurité, Securite informatique

De faux messages de clients mécontents visent des hôtels

Les experts de VADE viennent de découvrir des tentatives de fraudes, via des courriels piégés, s’attaquant spécifiquement aux hôtels. 

Les premiers messages envoyés ne contiennent pas forcément de pièces jointes ou de liens nuisibles, mais leur rédaction est telle qu’ils sont reconnus comme potentiellement frauduleux par les systèmes de filtrage. Ces courriers électroniques ne sont pas toujours détectés par les filtres anti-spam habituels car ils ne contiennent pas d’éléments malveillants évidents. Le but est d’amener le destinataire, souvent la réception ou la direction de l’hôtel, à répondre à l’arnaqueur. Un second message, potentiellement avec une pièce jointe ou un lien dangereux, serait alors envoyé.

Le Blog ZATAZ, référence depuis plus de 20 ans dans les actualités liées à la lutte contre le cybercrime avait alerté de ce type de fraude, au mois d’août 2023. Même méthode, même excuse : la plainte d’un client.

Les analyses de l’entreprise française Vade suggèrent qu’il s’agit d’un malware versatile, capable de dérober des informations, d’obtenir des droits d’accès supérieurs, de se maintenir dans le système et de récolter des données d’identification, avec un potentiel de dégénérer en ransomware. Des indices laissent penser que cet acteur de menaces pourrait être d’origine chinoise, sans que cela puisse être affirmé avec certitude. « Nos analystes ont trouvé des preuves de l’existence de variantes apparentées qui indiquent qu’il s’agit très probablement d’un acteur chinois, mais les données ne permettent pas de le conclure à 100 %. » indique Romain Basset, directeur des services clients Vade.

Les auteurs se font passer pour des clients mécontents pour engager une conversation avec le personnel, comme l’alerte de ZATAZ au mois d’août 2023. Ces tentatives d’escroquerie sont généralement brèves et exemptes de charge malicieuse, du moins jusqu’à présent, avec l’hypothèse que cela intervient dans les échanges ultérieurs.

Une découverte notable est celle d’un courriel intégrant un lien vers un fichier malicieux sous un faux prétexte visuel. Bien que ces attaques aient jusqu’à présent visé principalement des entités anglophones, elles pourraient s’étendre à d’autres langues. Nos systèmes de détection n’identifient pas toujours ces tentatives, à l’instar d’autres filtres.

Voici quelques exemples de ces emails :

  • « Bonjour, lors de mon séjour à votre hôtel, j’ai subi un désagrément impliquant l’un de vos employés. J’ai dû contacter mon avocat. Pourriez-vous m’assister ?« 
  • « Bonjour, je souhaite signaler un souci rencontré avec ma réservation. J’ai besoin de renseignements et d’aide. Merci de répondre rapidement.« 

Les tentatives semblent viser les adresses email génériques telles que « info@ » trouvées sur les sites des hôtels, souvent consultées par le personnel de gestion. Les pirates créé un prétexte d’urgence dans la réponse [des clients pas content] pour une réponse rapide et une action de la part de la victime, augmentant ainsi les chances de succès de l’arnaque. Le fondateur de ZATAZ, Damien Bancal, a participé au mois d’octobre 2023 à une compétition de Social Engineering, au Québec [il a fini avec la médaille d’argent]. Il a démontré lors de la compétitions de 48 heures, comment les services hôteliers étaient des mines d’informations.

Preuves de l’objectif de l’attaque : Bien que le logiciel semble principalement conçu pour le vol d’informations, il est équipé pour évoluer vers des attaques plus sérieuses, telles que le ransomware, avec des indications d’utilisation de bibliothèques de cryptographie, suggérant une volonté de chiffrer les données et perturber les opérations hôtelières.

Cybersécurité, Securite informatique

Des entités israéliennes cibles des pirates du groupe Agonizing Serpens

Des experts révèlent une campagne de cyberattaques visant les domaines éducatifs et technologiques en Israël.

Ces offensives sont attribuées à un groupe APT, étroitement lié à l’Iran, surveillé par l’Unité 42 sous le nom d’Agonizing Serpens (également connu sous le nom d’Agrius), actif depuis 2020. Ce groupe est spécialisé dans les attaques cybernétiques destructrices, utilisant des malwares Wiper (appelés « essuie-glaces » car ils suppriment intégralement les données des systèmes infectés) et des ransomwares trompeurs visant principalement des institutions israéliennes.

Lancées en janvier 2023 et persistantes jusqu’en octobre 2023, ces attaques sont marquées par des tentatives de dérobement de données confidentielles, incluant des informations personnelles identifiables (PII) et de la propriété intellectuelle.

Les offensives d’Agonizing Serpens ont pour but le vol d’informations sensibles et la destruction massive de données par l’effacement des contenus des systèmes impactés. Les responsables ont subtilisé des données critiques, dont des informations personnelles et de propriété intellectuelle des organisations visées, et les ont divulguées sur les réseaux sociaux ou via des canaux Telegram, probablement dans le but d’intimider ou de nuire à la réputation des victimes.

Les analyses des nouveaux malwares Wiper indiquent que le groupe a peaufiné ses méthodes, privilégiant des techniques discrètes et évasives pour échapper aux systèmes de sécurité, notamment les technologies EDR.

Les chercheurs ont repéré 3 nouveaux Wiper et 1 outil de pillage de bases de données employés récemment par Agonizing Serpens :

  • Wiper multicouche
  • Wiper PartialWasher
  • Wiper BFG Agonizer
  • Sqxtractor – un outil spécifique pour l’extraction de données de serveurs de bases de données

Des détails supplémentaires et une analyse technique détaillée sont disponibles dans le rapport complet.

Qu’est-ce que le groupe APT Agonizing Serpens ?

Agonizing Serpens, aussi appelé Agrius, est un groupe APT associé à l’Iran, actif depuis 2020. Des rapports précédents avaient évoqué l’usage de ransomwares et de demandes de rançon, mais ces éléments se sont avérés être des diversions, comme noté dans le rapport de l’Unité 42 de 2023 sur le ransomware et la cyberextorsion. Lors des récentes attaques, aucune rançon n’a été exigée ; à la place, les conséquences ont été la perte de données et des interruptions d’activité significatives.

Les chercheurs estiment que ces attaques sont l’œuvre d’Agonizing Serpens, lié à l’Iran, basé sur les similitudes de code dans les différents Wipers : le Wiper MultiLayer analysé montre des correspondances de code et des schémas de noms similaires déjà documentés pour les Wipers d’Agonizing Serpens connus sous les noms Apostle, Fantasy et la backdoor IPsec Helper.

Les similitudes de code dans les web shells : les assaillants ont utilisé des web shells variant légèrement de l’un à l’autre, les différences résidant principalement dans les noms de variables et de fonctions. La nature destructrice des attaques : la phase finale des assauts implique une stratégie de « terre brûlée », avec l’utilisation de Wipers sur mesure pour détruire les terminaux et dissimuler les traces.

Enfin, le ciblage exclusif d’organisations israéliennes : la télémétrie de l’Unité 42 n’a relevé aucune victime non israélienne, suggérant une focalisation du groupe APT sur Israël.

Cybersécurité, IA, loi

Décret pour de nouvelles normes liées à l’intelligence artificielle

Le 30 octobre, l’administration du président américain Joe Biden a publié un décret établissant de nouvelles normes en matière de sûreté et de sécurité de l’intelligence artificielle.

Ces nouvelles normes décidées par l’administration Biden, alors qu’au même moment, à Londres, un rendez-vous politique tentait de mettre en place une coalition IA, se divise en 26 points, classé en huit groupes, dont chacun vise à garantir que l’IA est utilisée pour maximiser les bénéfices escomptés et minimiser les risques. En outre, la mise en œuvre du document devrait placer les États-Unis à l’avant-garde de l’identification des obstacles à la technologie et de la promotion de la poursuite de la recherche. Bref, la course aux normes reste la course au monopole visant l’IA. « Le décret […] protège la vie privée des Américains, fait progresser l’égalité et les droits civils, protège les intérêts des consommateurs et des travailleurs, encourage l’innovation et la concurrence, fait progresser le leadership américain dans le monde et bien plus encore« , indique la Maison Blanche.

Le document exige que les développeurs des systèmes d’IA « les plus puissants » partagent les résultats des tests de sécurité et les « informations critiques » avec le gouvernement. Pour garantir la sécurité et la fiabilité de la technologie, il est prévu de développer des outils et des tests standardisés. A noter que cet été, lors de la Def Con de Las Vegas, la grande messe du hacking, un village avait été mis en place afin de hacker les IA proposées par les géants américains du secteur.

Le document parle de la croissance de « la fraude et de la tromperie utilisant l’intelligence artificielle« , de la nécessité de créer des outils pour trouver et éliminer les vulnérabilités des logiciels critiques, ainsi que de l’élaboration d’un mémorandum sur la sécurité nationale. Cette dernière est destinée à guider les actions futures dans le domaine de l’IA et de la sécurité.

« Sans garanties, l’intelligence artificielle pourrait mettre encore davantage en danger la vie privée des Américains. L’IA facilite non seulement l’extraction, l’identification et l’utilisation des données personnelles, mais elle incite également davantage à le faire, car les entreprises utilisent les données pour former les systèmes d’IA« , indique l’ordonnance.

Selon le document, une utilisation irresponsable de la technologie peut conduire à la discrimination, aux préjugés et à d’autres abus. En mai, Sam Altman, PDG d’OpenAI, s’était exprimé devant le Congrès américain et avait appelé le gouvernement à réglementer l’utilisation et le développement de l’intelligence artificielle.

En juin, des représentants de l’ONU avaient déclaré que les deepfakes créés par l’IA nuisaient à l’intégrité de l’information et conduisent à l’incitation à la haine dans la société. Des fakes news et autres deepfakes que la Cyber émission de ZATAZ, sur Twitch, présentait aux spectateurs.

Pendant ce temps, en Angleterre, un accord historique s’est conclu à Bletchley Park : 28 pays leaders en intelligence artificielle ont conclu un accord mondial inédit. Cette Déclaration de Bletchley marque une avancée majeure dans le développement responsable et sécurisé de l’IA avancée. Les États-Unis, l’UE et la Chine, réunis par le Royaume-Uni, ont uni leurs forces pour établir une vision commune des opportunités et des risques liés à l’IA frontalière, soulignant ainsi l’impératif d’une collaboration internationale.

La conférence de Bletchley préfigure les futures instances comme l’AIEA dans le nucléaire (l’Agence Internationale de l’Énergie Atomique). « Une excellente façon de mettre toutes les grandes puissances au même diapason sur une même sémantique avant de trouver un référentiel qui permette à chacun d’évaluer la dangerosité de tel ou tel développement. » confirme Stéphane Roder, CEO d’AI Builders. Une façon aussi de se contrôler les uns les autres, de redonner confiance au public, mais surtout de se donner bonne conscience quand on sait que la Chine fait un usage massif de l’IA pour la notation sociale ou que toutes les armées du monde ont des armes contenant de l’IA.

Bard, l’IA de Google qui renifle vos données

A noter que l’intelligence artificielle lancée par Google, Bard, va bientôt renifler les documents et les mails des utilisateurs des produits du géant américain. Google explique qu’il s’agit d’une évolution pratique et positive pour ses clients. Dans sa dernière mise à jour, Bard Extension, l’Intelligence Artificielle de la firme Californienne peut se connecter à Maps, YouTube, Gmail et à votre calendrier Google. Bard va tout voir, tout savoir afin de mieux répondre à vos requêtes de recherche.

Google indique que cette « connexion entre Bard et vos autres applications n’était pas visible par des humains, mais uniquement utilisée pour entraîner Bard au quotidien […] Les informations ne seraient pas utilisées pour entraîner ses modèles ou pour vous noyer sous les publicités ciblées« . Espérons que cela ne sera pas comme son concurrent Microsoft dont plusieurs millions de documents utilisés pour entrainer son IA ont fuité. Le blog ZATAZ, référence de l’actualité dédiée à la cybersécurité, a expliqué dans son émission sur Twitch [zataz émission sur Twitch] avoir vu en vente dans un espace pirate les données IA de Microsoft.

A noter qu’il est possible de bloquer l’IA Bard de Google. Pour cela, ouvrez un navigateur Web et accédez à la page « Gérer les applications et services tiers ayant accès à votre compte ». Connectez-vous à votre compte Google. Dans la liste des applications et services, recherchez « Bard ». Sélectionnez le bouton « Supprimer l’accès ». Voilà, Bard ne pourra plus accéder à vos applications Google. Je vous conseille de vérifier dans chaque application Google que Bard est bien devenu sourd, aveugle et muet. Pour cela, rendez-vous vous dans les paramètres de vos applications. Recherchez « Bard ».

Chiffrement, cryptage, Cybersécurité

Lutte contre la pédopornagraphie : lettre ouverte de scientifique pour protéger l’anonymat

Des parlementaires européens proposent une alternative à la loi contre la pédopornographie, qui aurait contraint les entreprises du secteur technologique à surveiller massivement les contenus des utilisateurs. Cette nouvelle mouture vise à protéger les enfants sans violer la vie privée des citoyens et à maintenir l’intégrité du chiffrement.

Pendant des mois, la Commission européenne a travaillé sur une régulation visant à freiner la propagation de la pédopornographie. Cette initiative, qui aurait obligé les plateformes technologiques à inspecter systématiquement les appareils des utilisateurs pour du contenu inapproprié via des logiciels basés sur l’IA, a suscité de nombreuses controverses.

Elle aurait aussi signifié la fin du chiffrement. Permettre le scannage de fichiers, machines, correspondances, obligerait de ne pas chiffrer, et sécuriser, les documents pour être lus par l’IA.

Ce projet a soulevé des inquiétudes quant à sa conformité avec les lois européennes sur la vie privée. De plus, des questions ont émergé sur la précision du logiciel de détection : une grand-mère pourrait-elle être faussement identifiée en envoyant une simple photo de son petit-fils à la piscine ? En juillet 2023, environ 150 scientifiques ont exprimé leurs préoccupations concernant les implications de cette proposition sur la vie privée et la sécurité en ligne.

Suite à ces critiques, un groupe de parlementaires a introduit une alternative. Elle demande aux entreprises technologiques et plateformes en ligne d’adopter des mesures proactives, comme la vérification de l’âge des utilisateurs. Les comptes des mineurs sur des plateformes telles qu’Instagram ou YouTube seraient privés par défaut, empêchant ainsi les contacts non désirés. Sont-ils au courant que cela existe déjà ? En France, par exemple, la loi instaure une majorité numérique à 15 ans. Avant, les enfants ne peuvent pas s’inscrire sur les réseaux. La loi oblige les plateformes à mettre des solutions techniques de contrôle. Instagram interdit les inscriptions de personnes de moins de 13 ans. TikTok indique aussi 13 ans [14 ans au Quebec]. Selon le blog du modérateur, le top 3 des réseaux sociaux les plus utilisés par la Gen Z (11 / 14 ans) : Instagram : 90 % (+6 % par rapport à 2022), Snapchat : 80 % (+4 %), TikTok : 63 % (+53 % par rapport à 2020).

Contrairement à la proposition initiale, cette version ne mandate le scan des contenus que dans des circonstances spécifiques, basées sur des preuves fournies par les autorités policières. De plus, les scans ne seraient réalisés que sur des plateformes sans chiffrement, éliminant ainsi la nécessité de créer des « backdoors ».

Cette proposition révisée devrait être examinée par le Conseil de l’Europe et la Commission européenne avant un vote final. – Avec DataNews.

Cybersécurité, Securite informatique

Les appareils Huawei et Vivo considèrent l’application Google comme dangereuse

La guerre commerciale entre la Chine et les USA passe aussi dans les fausses alertes de piratage informatique !

Les appareils Huawei et Vivo considèrent dorénavant l’application Google comme un malware. Voilà la réponse des marques chinoises au blocage américain de ses technologies et l’interdiction d’utiliser les outils Google. Les utilisateurs ont découvert que d’étranges avertissements de menace de sécurité apparaissent sur les smartphones et tablettes Huawei, Honor et Vivo, les invitant à supprimer l’application Google. Les appareils signalent que l’application est reconnue comme un malware TrojanSMS-PA. Un faux positif, mais qui a fait son effet !

Ce problème est signalé en masse sur les forums d’assistance de Google, Reddit et les forums Huawei. L’alerte explique que l' »application a été observée envoyant des messages SMS à l’insu de l’utilisateur, attirant les utilisateurs avec du contenu payant pour adultes, téléchargeant/installant des applications à l’insu de l’utilisateur ou volant des informations sensibles, ce qui peut entraîner des dommages matériels et une fuite de données sensibles. Nous vous recommandons de le supprimer immédiatement ». A noter que l’éditeur de solutions de cybersécurité Avast a annoncé un bug de son service annonçant Google Quick Search Box comme un malware sur les smartphones Huawei, Vivo et Honor.

Du côté de Samsung, des utilisateurs d’appareils Samsung ont commencé à recevoir des avertissements de Google Play Protect dès plus inquiétants. Le service d’analyse des logiciels malveillants intégré aux appareils Android se méfie, depuis octobre, de certaines applications populaires, notamment Samsung Wallet et Samsung Messages. Comme le rapporte 9to5Google, les utilisateurs se sont plaints en masse sur le forum d’assistance de Google du fait que Play Protect signalait les applications du système Samsung comme « dangereuses ».

Pendant ce temps, en Russie, le ministère des communications et contrôle de l’Internet local [Roskomnadzor] a fait interdire dans les moteurs de recherche russes qu’apparaissent dans les résultats : Hetzner Online GmbH ; Network Solutions, LLC ; WPEngine, Inc. ; HostGator.com, LLC ; Ionos Inc. ; DreamHost, LLC ; Amazon Web Services, Inc. ; GoDaddy.com LLC ; Bluehost Inc. ; Kamatera Inc. ; DigitalOcean, LLC.

La loi russe [n° 236-FZ] oblige les hébergeurs étrangers dont les utilisateurs sont situés, y compris sur le territoire de la Fédération de Russie, à remplir les obligations locales. Les hébergeurs doivent créer un compte personnel sur le site Web de Roskomnadzor ; publier un formulaire de commentaires pour les citoyens et organisations russes ; créer un bureau de représentation autorisé en Russie.

Cybersécurité, VPN

Google Chrome masquera les véritables adresses IP des utilisateurs

Google se prépare à commencer à tester une nouvelle fonctionnalité de protection IP dans le navigateur Chrome. Cette solution devrait améliorer la confidentialité des utilisateurs en masquant leurs adresses IP à l’aide des propres serveurs proxy de Google.

Google prévoit de tester la protection IP entre la sortie de Chrome 119 et Chrome 225. Les développeurs expliquent que les adresses IP permettent aux sites et services en ligne de suivre les activités des utilisateurs et aident à créer des profils permanents de personnes.

Google affirme que cela pose de sérieux problèmes de confidentialité car, contrairement aux cookies tiers, il n’existe actuellement aucun moyen direct pour les utilisateurs de se désinscrire et d’éviter un tel suivi secret.

Dans le même temps, les adresses IP sont également utilisées pour exécuter des fonctions aussi critiques que le routage du trafic et la lutte contre la fraude. Les experts de Google sont convaincus que la protection IP n’interférera pas avec cela en dirigeant le trafic tiers de certains domaines via des serveurs proxy et en rendant les adresses IP des utilisateurs invisibles pour ces domaines particuliers.

À mesure que l’écosystème évolue, la protection IP devrait s’adapter pour protéger les utilisateurs du suivi inter-sites, et des domaines supplémentaires seront ajoutés au trafic proxy.

Ainsi, dans un premier temps, la protection des adresses IP sera effectuée à la demande de l’utilisateur, ce qui permettra aux personnes de contrôler leurs paramètres de confidentialité, et Google pourra suivre les tendances.

L’introduction de la nouvelle fonction se fera par étapes, en tenant compte des spécificités régionales. Dans un premier temps, la fonctionnalité ciblera uniquement des domaines spécifiques dans le contexte de tiers, ce qui permettra d’identifier ceux qui, selon les utilisateurs, les espionnent.

Au cours de la première phase, appelée « Phase 0 », Google ne proxy que les requêtes pour ses propres domaines à l’aide d’un serveur proxy propriétaire. Cela permettra à l’entreprise de tester l’infrastructure et donnera aux développeurs le temps de finaliser la liste des domaines. Parmi les domaines sur lesquels Google compte tester cette fonctionnalité figurent les plateformes de l’entreprise telles que Gmail et AdServices.

Pendant la phase 0, seuls les utilisateurs connectés à Google Chrome avec une adresse IP américaine pourront accéder aux serveurs proxy. Ces tests préliminaires seront menés sur un groupe sélectionné, automatiquement sélectionné, mais il est prévu que l’architecture et la conception du système changent au fur et à mesure des tests.

Cybersécurité, Justice, loi

Le Canada interdit les applications WeChat et Kaspersky sur les appareils du gouvernement

Le Canada a annoncé l’interdiction de l’utilisation des applications de Tencent et Kaspersky sur les appareils mobiles gouvernementaux. Invoqué, un niveau inacceptable de risque pour la vie privée et la sécurité du pays.

« Le gouvernement du Canada s’engage à assurer la sécurité des informations et des réseaux gouvernementaux« , a déclaré le porte parole du gouvernement canadien. « Nous surveillons régulièrement les menaces potentielles et prenons des mesures immédiates pour faire face aux risques. » Les derniéres mesures en date sont les interdictions de WeChat et des solutions informatiques de la société russe Kaspersky.

Depuis le 30 octobre, WeChat de Tencent et la suite d’applications de Kaspersky ont été supprimées des appareils mobiles émis par le gouvernement. À l’avenir, les utilisateurs de ces appareils ne pourront plus télécharger les applications montrées du doigt.

« Nous adoptons une approche de cybersécurité basée sur les risques en supprimant l’accès à ces applications sur les appareils mobiles du gouvernement« , a déclaré Anita Anand, présidente du Conseil du Trésor, dans un communiqué, ajoutant que les applications « offrent un accès considérable au contenu de l’appareil ».

Les logiciels russes et chinois dans la ligne de mire

Il est vrai qu’un antivirus connait la moindre information de votre ordinateur, le moindre de vos mails, et si vous n’y prenez pas garde enverra des échantillons à la société cachée derrière l’antivirus. Je vous invite a regarder les nombreuses options qui vont dans ce sens, rien que pour l’antivirus de Microsoft, installé dans tous les Windows 10 et 11 de la planète, automatiquement.

WeChat est une application chinoise de messagerie instantanée, de médias sociaux et de paiement mobile développée par Tencent. L’application tout-en-un compte plus d’un milliard d’utilisateurs actifs par mois, ce qui en fait l’une des plus grandes plateformes en ligne.

Kaspersky a déclaré que cette interdiction semble être fondée sur des motifs politiques et que les actions sont « très mal fondées et constituent une réponse au climat géopolitique plutôt qu’une évaluation globale de l’intégrité des produits et services de Kaspersky« .

Cette décision intervient après que le Canada a interdit TikTok, propriété du chinois ByteDance, des appareils gouvernementaux pour des motifs similaires en février 2023. Auparavant, en mars 2022, la Federal Communications Commission (FCC) des États-Unis avait ajouté Kaspersky à la « liste couverte » des entreprises qui présentent un « risque inacceptable pour la sécurité nationale » du pays.

Cybersécurité, Justice

L’affaire REvil devant un tribunal militaire

Des membres du groupe de ransomware REvil seront jugés par un tribunal militaire russe. Ils étaient militaires au moment des faits qu’ils leurs sont reprochés.

L’affaire des pirates informatiques du groupe russophone REvil ne cesse de faire des vagues. Pour rappel, REvil (Aka Sodinokibi) était un groupe de pirates informatiques spécialisés dans l’infiltration d’entreprise et le chantage numérique. Ils seront arrêtés en 2022, avec le soutien du FBI. Le conflit autour du procès REvil l’a vu passer du tribunal militaire au tribunal civil, puis revenir devant les instances militaires.

Parmi les membres de REvil arrêtés et détenus dans les casernes russes figurent un officier du service militaire, Artem Zayets. Il aurait lancé des cyber attaques alors qu’il servait dans l’armée.

Le sac de nœuds judiciaires lié à cette affaire fait rebondir le dossier de manière assez intéressante. D’abord, au mois d’août 2023, la justice refuse que l’affaire soit portée devant un tribunal militaire. L’affaire REvil va ensuite être renvoyée au bureau du procureur général car elle violait la règle de compétence en matière d’enquête. Voici que maintenant, retour à la case départ. Bilan, c’est le tribunal militaire de la garnison de Saint-Pétersbourg qui va se charger de juger tout ce petit monde.

Argent saisi par le FSB

Alors aidé à l’époque par les informations fournies par le FBI, le FSB a perquisitionné 25 domiciles afin d’arrêter 14 personnes soupçonnées d’avoir participé aux opérations du ransomware-as-a-service REvil. Huit vont comparaitre devant le tribunal. Parmi les membres de REvil arrêtés figuraient l’adjudant supérieur de réserve Artem Zaets, Alexey Malozemov, Andrey Bessonov, Mikhail Golovachuk, Roman Muromsky, Dmitry Korotaev, Daniil Puzyrevsky et Ruslan Khansvyarov.

Tous sont accusés d’être, non pas des instigateurs des cyberattaques, mais d’être des mules et d’avoir permis de blanchir l’argent des rançons. Outre la découverte monétaire, les autorités russes ont également confisqué 20 voitures de luxe que les membres de REvil ont achetées avec l’argent obtenu grâce à des attaques de ransomware.

Les membres du ransomware REvil n’ont pas été extradés vers les États-Unis, et ne sont pas prêts de connaitre les prisons de l’Oncle Sam.

Cybersécurité, Justice, loi, Securite informatique

Ransomware : partage d’informations et suivi des paiements

Une coalition mondiale de dirigeants gouvernementaux en matière de cybersécurité annoncent des efforts visant à renforcer le partage d’informations sur les menaces numériques et à s’attaquer aux paiements en cryptomonnaies des chantages numériques.

Lors de sa réunion à Washington, la Maison Blanche a décidé de mettre les bouchées doubles à l’encontre des rançongiciels et maîtres-chanteurs adeptes de ransomware. L’administration Biden a accueilli des responsables de 47 pays pour son Initiative internationale de lutte contre les ransomwares –  (International Counter Ransomware Initiative – CRI), au cours de laquelle les participants ont dévoilé un certain nombre d’actions.

La Maison Blanche a exhorté, ce 31 octobre, les gouvernements participants à prendre un engagement politique commun annonçant qu’ils ne paieraient pas de rançon aux cybercriminels. « Nous n’en sommes pas encore là, avec 50 pays, ce sera de la haute voltige« , a déclaré Anne Neuberger, conseillère adjointe à la sécurité nationale pour la cybersécurité et les technologies émergentes. Bref, une posture politique déjà prise en octobre 2021.

International Counter Ransomware Initiative

De son côté, le Conseil de sécurité nationale des États-Unis (NSC) exhorte les gouvernements de tous les pays participant à l’Initiative internationale de lutte contre les ransomwares (CRI) à publier une déclaration commune annonçant qu’ils ne paieront pas de rançon aux cybercriminels. La France, via l’ANSSI, l’Agence Nationale de Sécurité des Systèmes d’Information, a été l’une des premiéres structures à rappeler ce fait : ne payez pas !

Il faut dire aussi qu’il n’existe pas de norme mondiale sur la question suivante : Le paiement d’une rançon doit-il être effectué lors d’une cyberattaque ? Une plateforme de partage d’informations doit être mise en place « où les pays pourront s’engager à partager rapidement des informations après un incident majeur ». Une plate-forme gérée par les Émirats arabes unis.

L’argent des pirates, le nerfs de la guerre !

Les américains non jamais partagé auparavant des portefeuilles pirates, ni d’informations concernant les portefeuilles de la blockchain qui déplacent des fonds illicites liés aux ransomwares. D’ici peu, ces données seraient partagées avec les départements du Trésor du monde entier.

Le CRI a été lancé en 2021 avec 31 membres Australie, Brésil, Bulgarie, Canada, République tchèque, République dominicaine, Estonie, Union européenne, France, Allemagne, Inde, Irlande, Israël, Italie, Japon, Kenya, Lituanie, Mexique, Pays-Bas, Nouvelle-Zélande, Nigéria, Pologne, République de Corée, Roumanie, Singapour, Afrique du Sud, Suède, Suisse, Ukraine, Émirats arabes unis, Royaume-Uni et États-Unis) et en a ajouté d’autres à mesure que les ransomware gagnaient du terrain, comme le gouvernement du Costa Rica.

Le pays avait été paralysé après avoir refusé de payer une rançon de 20 millions de dollars aux pirates du groupe CONTI, le 16 avril 2022. L’expérience du Costa Rica montre que la politique peut également jouer un rôle dans la décision d’un gouvernement. Lors d’une comparution au Centre d’études stratégiques et internationales (CSIS) à la fin du mois de septembre, le président costaricien Rodrigo Chaves a déclaré que même si le paiement d’une rançon aurait nécessité une législation, il ne l’aurait pas fait même s’il en avait eu la possibilité.

A noter que cette demande de ne pas payer ne concerne que les Pays. Les paiements de rançons améliorent non seulement les capacités des groupes de cybercriminalité, mais qu’ils peuvent également financer d’autres actions malveillantes ou des Etats-nation aux intérêts criminels et/ou terroristes. Bien qu’aucun gouvernement national n’ait publiquement reconnu avoir payé une rançon, rien n’empêche de penser que certains ont payé le silence des pirates, comme ont pu le faire des milliers d’entreprises privées de part le monde.

Cybersécurité, Securite informatique

Kopeechka : le site web qui permet d’ouvrir des milliers de comptes réseaux sociaux

Un outil web russe inonde les réseaux sociaux de robots permettant, dans certains cas, d’orchestrer des vagues de fakes news.

Des cybercriminels peu qualifiés utilisent un nouvel outil pour créer des centaines de faux comptes de réseaux sociaux en quelques secondes seulement, ont découvert des chercheurs de chez Trend Micro. Appelé Kopeechka (« penny » en russe), le service permet de contourner deux obstacles principaux pour quelqu’un qui tente de créer un faux compte : la vérification par courrier électronique et par téléphone.

J’avoue être très étonné, le site Kopeechka existe depuis plusieurs années [2019] et il est légal. Il affiche être une solution prête à l’emploi pour l’achat groupé de comptes de messagerie sans nécessiter de maintenance supplémentaire de ces comptes. Mais, comme d’habitude, des pirates et autres malveillants ont trouvé le moyen de détourner le service.

Bref, les cyber criminels peuvent utiliser Kopeechka pour mener des campagnes de désinformation, de spam et de promotion de logiciels malveillants. Il semble que ce service a été utilisé pour enregistrer en masse des comptes sur la plateforme de médias sociaux Mastodon afin de mener des campagnes de spam à grande échelle promouvant des plateformes d’investissement frauduleuses en crypto-monnaie.

Une lutte contre les faux comptes

Les géants des médias sociaux comme Instagram, Facebook et X (anciennement Twitter) s’efforcent depuis longtemps de minimiser l’enregistrement massif de faux comptes, également appelés robots, car ils sont souvent utilisés par les pirates informatiques dans leurs activités illégales. Les mesures anti-bot de base, comme la validation de l’adresse e-mail et du numéro de téléphone, l’utilisation d’adresses IP non suspectes et le CAPTCHA (un puzzle sur un site Web conçu pour confirmer qu’il est utilisé par une personne réelle plutôt que par un programme informatique), sont dissuasives.

Les cybercriminels peuvent contourner les CAPTCHA et les contrôles de réputation des adresses IP à l’aide de scripts automatisés, mais obtenir des adresses électroniques et des numéros de téléphone uniques peut s’avérer plus difficile. C’est alors qu’ils se tournent vers des services comme Kopeechka. En plus des principales plateformes de médias sociaux comme Facebook et X, les cybercriminels ont utilisé l’API de Kopeechka pour enregistrer des comptes sur Discord ou encore Telegram.

Un détournement malveillant voulu ?

Des chercheurs de Trend Micro ont également découvert un script Python via Kopeechka qui pourrait être utilisé pour créer des comptes sur Virus Total, un service en ligne qui analyse les fichiers informatiques à la recherche de virus, ce qui implique que certains utilisateurs pourraient enregistrer ces comptes pour tester la détection de leurs logiciels malveillants. Kopeechka permet aux utilisateurs d’accéder aux courriels reçus des plateformes de médias sociaux. Il ne cède pas lui-même le compte de boîte aux lettres, car il est contrôlé par Kopeechka et non par un utilisateur tiers.

Kopeechka dispose de plusieurs comptes de messagerie en stock, notamment avec Hotmail, Outlook ou encore Gmail. L’outil étant russe, Mail.ru fait parti du râtelier du service. Il permet d’utiliser une seule adresse pour plusieurs inscriptions sur différentes plateformes de médias sociaux. Les chercheurs soupçonnent que ces adresses sont soit compromises, soit créées par les acteurs de Kopeechka eux-mêmes.

Pour vérifier les numéros de téléphone des utilisateurs lors de l’enregistrement du compte, Kopeechka offre l’accès à 16 services SMS en ligne différents, provenant pour la plupart de Russie. Le blog ZATAZ a montré, il y a deux ans, dans son espace OSINT, différents sites web permettant de recevoir des SMS, sans être obligé de fournir un numéro de téléphone officiel ou enregistré.

Il faut compter moins de 0.0020$ par message. Deux adresse en .fr sont disponibles : outlook.fr et gmx.fr.

Cybersécurité, Securite informatique

Review Checker, l’application qui detecte les faux commentaires

Une version bêta d’une extension baptisée Review Checker a été publiée pour le navigateur Mozilla Firefox. Elle détecte les fausses critiques de produits.

La fonction « Review Checker » examine tous les avis sur la page, raye ceux que les algorithmes déterminent comme étant faux en fonction de la formulation typique et de la similitude avec d’autres commentaires, puis calcule la note ajustée du produit.

L’extension est actuellement testée auprès d’une petite partie d’utilisateurs américains sur trois plateformes d’achat : Amazon, BestBuy et Walmart. La version 119 de Firefox introduit Review Checker. La sortie officielle devrait avoir lieu en novembre 2023 , mais il n’est pas clair si à l’avenir la fonction prendra en charge des marchés nationaux ou ne se contentera d’entreprises partenaires.

Propulsée par Fakespot de Mozilla, cette fonctionnalité évalue la qualité des avis sur les produits en vous aidant à savoir si les avis proviennent probablement de vrais clients ou s’ils proviennent d’évaluateurs biaisés ou rémunérés. Review Checker utilise la technologie d’IA pour analyser les avis sur Amazon, Best Buy et Walmart.

Il attribue aux avis de chaque produit une note alphabétique, allant de A à F, indiquant leur fiabilité.

Bitcoin, Cybersécurité

Un professeur en cybersécurité se fait pirater

Un enseignant, spécialiste de la cybersécurité, se fait pirater 40 000€ via des appels téléphoniques !

Nous sommes dans la ville de Kemerovo, une ville industrielle de la fédération de Russie. Plusieurs écoles et université et des formations cybersécurité comme un peu partout dans le monde. Un professeur de cybersécurité a démontré que le « tout technique » était une grave erreur.

L’homme a versé, à la suite de plusieurs appels téléphoniques malveillants, pas moins de 40 000€ à des pirates.

Le schéma est pourtant très classique. L’enseignant a été appelé par des « agents des forces de l’ordre« . Les policiers lui ont expliqué que des pirates vendaient les données personnelles des enseignants dans le darkweb. Quelques heures aprés l’appel des fausses autorités, un « employé de banque » s’en est mêlé.

Il va expliquer qu’il fallait réduire au plus vite les possibilités des pirates de voler de l’argent. Ici aussi, un profil basic d’attaque, de social engineering : il fallait transférer tous les fonds de l’enseignant sur un « compte sécurisé« . Et devinez quoi ?

Le malheureux professeur a cru à cette légende, a vendu sa voiture, a contracté 4 crédits et a effectué une vingtaine de transferts d’une valeur de 40 000€.

Allô, Allô, monsieur l’ordinateur !

Pendant ce temps, aux États-Unis, des escrocs attirent les cryptomonnaies pour le compte du FBI. Récemment, le Federal Bureau of Investigation a mis en garde les habitants d’El Paso contre des escrocs qui se font passer pour des responsables du FBI. Ils ont tenté de convaincre les victimes de transférer des crypto-monnaies. Il convient de noter que le processus de traitement mis en place par les voleurs est divisé en plusieurs étapes afin de convaincre la victime de l’authenticité des informations prétendument fournies par le FBI.

Premièrement, les escrocs « réchauffent » une victime potentielle en lui envoyant une notification officielle au nom du bureau local du FBI. Dans le même temps, le faux document est d’assez bonne qualité : il est créé sur la base d’un formulaire officiel, porte le logo du FBI et la signature d’un agent spécial à El Paso. Une méthode utilisée par de nombreux pirates que le blog ZATAZ a infiltré, dans l’opération Border Collie, que vous pouvez découvrir dans cet article.

La fausse lettre du FBI précise qu’une enquête est en cours concernant des fuites de données personnelles ou des cyberattaques de pirates étrangers. L’objectif principal est de convaincre la victime que l’enquête est réelle. Après un certain temps, les escrocs contactent la victime potentielle par téléphone, se faisant passer pour des employés du FBI, et recommandent de transférer temporairement leurs actifs en crypto-monnaie vers un « compte spécial sécurisé du gouvernement américain ».

Chiffrement, cryptage, Cybersécurité, Hacking

Le lecteur flash le plus sécurisé au monde piraté

Des hackers ont réussi à pirater le lecteur flash le plus sécurisé au monde, l’IronKey S200.

IronKey S200, un lecteur flash qui se veut le plus sécurisé au monde. Il utilise un système de protection des données avancé et s’auto détruit irrévocablement si vous entrez 10 fois le mauvais mot de passe.

L’éditeur de Wired a proposé le piratage de l’appareil à la startup Unciphered, spécialisée dans la récupération de portefeuilles cryptographiques et de périphériques matériels. L’équipe a passé 8 mois à développer une méthode de piratage et a finalement réussi.

Après une expérience réussie, la startup s’est tournée vers Stefan Thomas, devenu célèbre pour avoir oublié le mot de passe de son IronKey, où 7002 BTC sont stockés depuis 12 ans. Stefan a refusé l’offre de piratage, affirmant que deux équipes de hackers travaillaient sur le problème depuis longtemps.

Aujourd’hui, la valeur des bitcoins dans le portefeuille de Stefan est d’environ 235 millions de dollars. Il ne lui reste plus que 2 tentatives de mot de passe sur les 10 alloués par l’IronKey.

Le Trésor américain envisage de déclarer les cryptomixers centres de blanchiment d’argent et appelle à des mesures restrictives , affirmant que leurs principaux clients sont des terroristes.