Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

APT, cyberattaque

Echapper aux espions : comment éviter de devenir une victime ?

Nous pensons de manière générale qu’il est impossible de se protéger complètement des logiciels de surveillance professionnels. Les utilisateurs peuvent néanmoins prendre certaines mesures pour que les attaquants ne puissent pas les cibler aisément.

Pegasus, Chrysaor, Phantom et bien d’autres sont des logiciels dits de « surveillance légale », développés par des entreprises privées et largement déployés par le biais de divers exploits, dont plusieurs zero-days zero-click sur iOS. La version la plus ancienne de Pegasus a été identifiée par des chercheurs en 2016. Depuis lors, plus de 30 000 militants des droits de l’homme, journalistes et avocats à travers le monde pourraient avoir été ciblés à l’aide de Pegasus.

Conseils

Tout d’abord, il est important de redémarrer quotidiennement les appareils mobiles. Les redémarrages aident à « nettoyer » l’appareil, pour ainsi dire, ce qui signifie que les attaquants devront continuellement réinstaller Pegasus sur l’appareil, ce qui rend beaucoup plus probable la détection de l’infection par les solutions de sécurité.

Maintenez l’appareil mobile à jour et installez les derniers correctifs dès qu’ils sont disponibles. En fait, de nombreux kits d’exploitation ciblent des vulnérabilités déjà corrigées, mais ils restent dangereux pour les personnes qui utilisent des téléphones plus anciens et reportent les mises à jour.

Ne cliquez jamais sur les liens reçus par messages. Il s’agit d’un conseil simple mais efficace. Certains clients de Pegasus comptent davantage sur les exploits à 1 clic que sur ceux à zéro clic. Ceux-ci arrivent sous la forme d’un message, parfois par SMS, mais peuvent aussi se propager via d’autres messageries ou même par e-mail. Si vous recevez un SMS intéressant (ou par tout autre biais) avec un lien, ouvrez-le sur un ordinateur de bureau, de préférence en utilisant TOR Browser, ou mieux encore en utilisant un système d’exploitation non persistant sécurisé tel que Tails.

En outre, n’oubliez pas d’utiliser un autre navigateur web pour la recherche sur Internet. Certains exploits ne fonctionnent pas aussi bien sur les navigateurs alternatifs comme Firefox Focus par rapport aux navigateurs plus traditionnels comme Safari ou Google Chrome.

Utilisez systématiquement un VPN ; il est ainsi plus difficile pour les attaquants de cibler les utilisateurs en fonction de leur trafic internet. Lorsque vous souscrivez à un abonnement VPN, il y a quelques éléments à prendre en compte : recherchez des services établis qui existent depuis un certain temps, qui peuvent accepter le paiement avec des crypto-monnaies et qui ne vous demandent pas de fournir des informations d’enregistrement.

Installez une application de sécurité qui vérifie et prévient si l’appareil est soumis à un « jailbreak ». L’espionnage de votre téléphone peut débuter ainsi. Pour persister sur un appareil, les attaquants utilisant Pegasus auront souvent recours au jailbreak de l’appareil ciblé. Si un utilisateur a installé une solution de sécurité, il peut alors être alerté de l’attaque.

Si vous êtes un utilisateur iOS, déclenchez souvent des sysdiagnose et enregistrez-les dans des sauvegardes externes. Des analyses approfondies de l’objet malveillant peuvent vous aider à déterminer ultérieurement si vous avez été ciblé. Les experts de Kaspersky recommandent également aux utilisateurs iOS à risque de désactiver FaceTime et iMessage. Comme ils sont activés par défaut, il s’agit d’un mécanisme d’infection de premier plan pour les chaînes de zéro-clics et ce, depuis de nombreuses années.

En général, les attaques Pegasus sont très ciblées – ce qui signifie qu’elles n’infectent pas les gens en masse mais plutôt des catégories spécifiques. De nombreux journalistes, avocats et militants des droits de l’homme ont été identifiés comme des cibles de ces cyberattaques sophistiquées, mais ils ne sont pas toujours les plus équipés pour se défendre. C’est pourquoi, nous faisons de notre mieux pour fournir les meilleures techniques de protection contre les logiciels malveillants, les hackeurs et les menaces sophistiquées telles que celles-ci, afin de continuer à construire un monde plus sûr.

Troubler les assaillants

Changez d’appareil – si vous étiez sur iOS, essayez de passer à Android pendant un certain temps. Si vous étiez sur Android, passez à iOS. Cela pourrait dérouter les attaquants pendant un certain temps ; par exemple, certains acteurs malveillants sont connus pour avoir acheté des systèmes d’exploitation qui ne fonctionnent que sur certaines marques de téléphone et d’OS.

Procurez-vous un appareil secondaire, fonctionnant de préférence sous GrapheneOS, pour les communications sécurisées. Utilisez une carte SIM prépayée dans celui-ci, ou, ne vous connectez que par Wi-Fi et TOR en mode avion.

Évitez les messageries où vous devez fournir votre numéro de téléphone à vos contacts. Une fois qu’un attaquant a votre numéro de téléphone, il peut facilement vous cibler à travers plusieurs messageries différentes par ce biais – iMessage, WhatsApp, Signal, Telegram, ils sont tous liés à votre numéro de téléphone. Une nouvelle alternative pourrait être Session, qui achemine automatiquement vos messages à travers un réseau de type Onion et ne repose pas sur les numéros de téléphone.

« La sécurité n’est jamais une solution instantanée unique devenant une preuve fiable à 100 % ; considérez-la comme un cours d’eau qui coule et où vous devez ajuster votre navigation en fonction de la vitesse, des courants et des obstacles. » confirme Costin Raiu, responsable de l’équipe de recherche et d’analyse mondiale (GReAT) de Kaspersky.

Cybersécurité, Social engineering

Suivre un avion sur le web, une violation de la vie privée ?

Le jet privé d’Elon Musk a été suivi par un jeune programmeur pendant plus d’un an. Il évoque les voyages du fondateur de Tesla sur Twitter devant un public de plusieurs centaines de milliers de personnes. Musk a d’abord essayé de soudoyer l’étudiant, en lui proposant 5 000 dollars, puis l’a carrément bloqué sur les médias sociaux. Mais ça n’a pas aidé.

La chose la plus importante ici est de relier une personne spécifique à un avion spécifique. Et à l’avenir, il suffit de configurer le robot pour collecter des données sur le début du mouvement d’un avion particulier. Des données supplémentaires seront nécessaires pour s’assurer que Musk est physiquement à bord. Et ils seront probablement plus largement sécurisés. Le plan de vol comprendra les personnes qui volent. »

Sur le moteur de recherche le plus populaire qui suit les avions en temps réel, comme Flightradar24, plane finder, flight aware, tous les jets d’affaires sont « secrets ». En d’autres termes, les propriétaires d’avions paient des services pour que leur numéro de vol et leur type d’avion restent cachés. Et ils demandent généralement que les photos de l’avion soient également retirées. Il existe cependant des abonnements platine où chacun peut facilement retracer d’où il est parti, où il est allé.

Ce type d’information n’est soumis à aucune restriction universelle. Comme ces informations sont diffusées, elles ne sont pas secrètes, de sorte qu’il n’y a pas d’incidents dans les airs ou en mer. Et la seule chose que l’on puisse dire ici est qu’il s’agit d’une violation de la vie privée.

cyberattaque, Securite informatique

326 millions de dollars volés en deux clics !

La plateforme cryptographique Wormhole qui permet d’envoyer des cryptos vers d’autres blockchains se voit voler 326 millions de dollars.

Un pirate informatique a trouvé un exploit qui lui a permis de libérer 120 000 ETH sans aucun investissement.

La plateforme a déjà offert au hacker une prime de 10 millions de dollars. Il semble que s’il accepte l’offre, il s’agirait d’un versement de prime record dans l’histoire.

En utilisant l’exploit, le pirate a volé 120 000 jetons Ether enveloppés sur la blockchain Solana. Sur ces 120 000 jetons, il en a converti 80 000 en Ethereum et laissé le reste sur la blockchain Solana.

Le pirate n’a pas encore répondu à la proposition de la société. La société d’analyse de blockchain Elliptic lui offre une prime de 10 millions de dollars dans le cadre d’un « accord whitehat ».

Mais vu qu’il a déjà récupéré une partie de la somme, et vendue le reste, 10 millions de dollars ne semblent pas l’intéresser ! (voir ici, là et encore ici)

L’attaque Wormhole est désormais la deuxième plus grande cyberattaque contre les services DeFi, la plus importante a visé au mois d’août 2021 Poly Network, avec plus de 600 millions de dollars.

cyberattaque, Cybersécurité

Un ransomware attaque un partenaire d’Apple et de Tesla

Les pirates du groupe CONTI met à mal l’un des principaux contractants d’Apple et de Tesla. Preuve une fois de plus que sécurité, éducation et règles de sauvegardes sont indispensables pour la continuité de service.

L’un des plus puissants groupes de ransomware, le groupe Conti (plus de 300 victimes à son actif) a pris en otage et chiffré la société Delta Electronics. Une entreprise à l’envergure internationale. Delta Electronics est l’un des sous-traitant d’Apple et de Tesla. Delta développe une large gamme de solutions électroniques avec un chiffre d’affaires annuel de plus de 7,7 milliards de dollars (2016).

Basée à Taïwan, l’entreprise emploie plus de 83 000 personnes dans le monde. Le site web de l’entreprise est resté plusieurs jours en « Maintenance du système« . Pas moins de 1 500 serveurs et 12 000 PC (65 000 PC au total sur le réseau) ont été bloqués. Les pirates ont demandé une rançon de 15 millions de dollars.

Autant dire qu’un cloud sécurisé ne fait pas de mal dans une telle situation pour remettre en place l’ensemble de son infrastructure, sans perte de productivité et de contacts avec ses partenaires, clients, etc…

Cybersécurité

Comment éviter les piratages informatiques et les mauvaises intentions ?

Comme tout le monde, vous utilisez de plus en plus Internet dans votre entreprise ou dans votre vie privée et vous cherchez forcément à vous protéger des piratages ? Vous aimeriez mettre en place un maximum d’actions pour limiter les mauvaises intentions sur vos comptes sur Internet ? Entre solutions antivirus et logiciels adaptés, il existe de nombreuses options pour sécuriser vos comptes et données sur Internet. Découvrez comment éviter les piratages informations et les mauvaises intentions sur le web.

Utiliser des logiciels adaptés pour transmettre ses données

Tout d’abord, nous vous conseillons d’utiliser des logiciels adaptés afin de sécuriser vos transmissions de données. En effet, pour contrer les piratages, il existe aujourd’hui de nombreux logiciels qui se sont développés dans le but de sécuriser au maximum vos transferts ou stockages de données. Ainsi, vous pouvez par exemple rendre vos transmissions de données plus sûres en entreprise grâce aux solutions logiciels.

Vous pourrez alors transmettre et stocker vos notes de frais, documents comptables, informations sur vos clients ou encore documents personnels de façon beaucoup plus sécurisés. De plus, ces logiciels sont de véritables gestionnaires de vos documents et vont vous permettre de vous organiser au mieux et de gagner du temps. Tous vos documents seront stockés au même endroit et vous pourrez les consulter ou les partager en temps réel avec vos collaborateurs tout en bénéficiant de la sécurité mise en place par le logiciel dédié.

Installer un antivirus sur tous les postes de travail

Ensuite, il est évident qu’il est indispensable d’installer un bon antivirus sur tous les postes de travail que vous possédez. Pour votre ordinateur personnel ou pour les appareils de votre société, vous protégez des éventuelles intrusions dans votre PC est essentiel si vous souhaitez éviter au maximum les piratages informatiques ou les virus malveillants.
Il existe pour cela différentes solutions antivirus que vous pouvez acheter directement en ligne et qui vous protègeront efficacement. En fonction de vos besoins et de votre budget, nous vous conseillons de bien prendre le temps de comparer les différents logiciels antivirus disponibles sur le marché afin de trouver celui qui vous convient le mieux.

Quelques gestes simples pour limiter les risques de piratage

Ensuite, il existe quelques gestes simples qui permettent de limiter les risques de piratage de vos comptes sur Internet. Pensez par exemple à créer des mots de passe compliqués et à ne pas utiliser les mêmes sur tous les sites. Nous vous conseillons pour cela d’avoir recours à un gestionnaire de mots de passe. Ensuite, prendre le temps de maintenir tous vos logiciels et applications à jour vous permettra de limiter les risques de piratage.
Ne négligez donc pas de faire toutes les mises à jour qui vous sont régulièrement conseillées. Enfin, nous vous recommandons vivement de faire régulièrement des sauvegardes de vos documents si vous en gardez sur votre poste de travail. Malgré toutes les précautions, vous pouvez toujours avoir votre ordinateur endommagé par un virus et vous pourrez alors retrouver vos documents si vous les avez enregistrés ailleurs.

Et vous, quels sont vos conseils pour éviter les piratages informatiques et les mauvaises intentions sur Internet ?

Cybersécurité, Linux

Une vulnérabilité sévère affecte toutes les distributions Linux

Des chercheurs annoncent la découverte d’une vulnérabilité par corruption de mémoire dans le composant pkexec de polkit, un utilitaire SUID accordant des privilèges racine aux utilisateurs et qui est installé par défaut sur les principales distributions Linux.

Le directeur du Lab Qualys déclare : « Nous continuons de dire que chaque nouvelle vulnérabilité sévère est un « coup de semonce », mais, dans les faits la communauté ne réagit pas. Pourtant, à l’ère des vulnérabilités Log4Shell, SolarWinds, MSFT Exchange, etc., il est essentiel que ces dernières soient rapportées de manière responsable et que, face à tel niveau de sévérité, elles soient corrigées et atténuées sans délai. »

Vu l’ampleur de la surface d’attaque de cette vulnérabilité à la fois sur des systèmes d’exploitation Linux et non Linux, Qualys recommande aux utilisateurs d’appliquer immédiatement les correctifs disponibles pour cette vulnérabilité. Les clients Qualys actifs peuvent rechercher la CVE-2021-4034 dans la base de connaissances des vulnérabilités pour localiser tous les identifiants QID et les actifs sensibles à cette vulnérabilité.

Divulgation de cette vulnérabilité pas à pas: 

  • Information technique :
    • Polkit (anciennement PolicyKit) est un programme qui permet de contrôler les privilèges système sur les systèmes d’exploitation de type Unix.
    • Il permet aux processus non privilégiés de communiquer de manière organisée avec les processus privilégiés.
    • polkit peut aussi être utilisé pour exécuter des commandes avec des privilèges élevés à l’aide de la commande pkexec suivi de la commande à exécuter (avec une permission racine).
  • Impact :
    • Connue de toute la communauté depuis plus de 12 ans, cette vulnérabilité affecte toutes les versions de pkexec depuis sa toute première version qui remonte à mai 2009.
    • S’il exploite cette vulnérabilité dans sa configuration par défaut, un utilisateur dépourvu de privilèges peut obtenir des privilèges racine complets sur un serveur vulnérable.
    • Cette vulnérabilité est extrêmement grave car elle affecte toutes les principales distributions Linux et qu’elle est facilement exploitable, raison pour laquelle l’équipe de chercheurs Qualys ne publie pas l’exploit associé.
    • Les chercheurs en sécurité Qualys ont pu, de manière indépendante, vérifier cette vulnérabilité, développer un exploit et obtenir des privilèges racine complets sur des installations par défaut de Ubuntu, Debian, Fedora et CentOS. D’autres distributions Linux sont vulnérables de la même manière et probablement exploitables.
Cybersécurité

Scanning Make Easy

Scanning Make Easy : la collection de scripts NMAP de la cybersécurité britannique.

Le National Cyber Security Center du Royaume-Uni a partagé publiquement une collection de scripts NMAP permettant d’analyser les réseaux à la recherche de vulnérabilités. Mission, aider les professionnels de l’informatique à combler les lacunes en matière de sécurité.

Une initiative baptisée SME (Scanning Make Easy).

Bitcoin, Cybersécurité

BHUNT, voleurs de crypto wallet

BHUNT, une nouvelle famille de malwares voleurs de crypto wallet  découverte.

Les analystes de de la société Bit’defender ont déterminé que BHUNT est un voleur de crypto-monnaies capable d’exfiltrer le contenu des portefeuilles (Bitcoin, Litecoin, Ethereum, Jaxx, Atomic, Electrum, Exodus) ainsi que les mots de passe stockés dans le navigateur et les phrases de passe capturées dans le presse-papiers utilisé pour récupérer les comptes.

Le flux d’exécution de BHUNT est différent de ce que l’on voit habituellement. Le malware utilise VMProtect et Themida comme packers qui utilisent une machine virtuelle logicielle pour émuler des parties du code sur un CPU virtuel dont le jeu d’instructions est différent de celui d’un CPU conventionnel, ce qui rend la rétro-ingénierie extrêmement difficile.

Principales conclusions

– BHUNT utilise des scripts de configuration chiffrés qui sont téléchargés depuis des pages publiques Pastebin.

– Les échantillons de BHUNT obtenus semblent avoir été signés numériquement avec un certificat numérique émis par une société de logiciels, mais le certificat numérique ne correspond pas aux binaires.

– Les serveurs responsables de l’exfiltration utilisent Hopto.org, un service DNS dynamique pour masquer les adresses IP.

– La campagne semble cibler les utilisateurs particuliers et est répartie de manière homogène sur le plan géographique.

Cybersécurité, Securite informatique

Cybersécurité : les pirates Russes loucheraient sur le Canada

Le Centre Canadien pour la cybersécurité s’inquiète d’une augmentation d’activités de cybermenace qui pourraient être parrainées par de pirates Russes.

Mais que recherchent les pirates informatiques Russes sur le sol Canadiens ? Le froid ? Non, ils ont ! Les magnifiques étendues naturelles ? Non, ils ont aussi ! A première vue, selon le Centre Canadien pour la cybersécurité (L’ANSSI de nos cousins du Grand-Nord), ils loucheraient sur les infrastructures essentielles du Canada.

Parmi ces piratages, et ils ne sont pas que Russes à se pencher sur le Canada, infiltrer pour voler des données ; rançonner à coup de ransomware et réclamer une rançon ; jouer avec les cours de l’Energie en tentant de bloquer la production. « Le Centre canadien pour la cybersécurité (CCC) encourage la communauté canadienne de la cybersécurité, surtout les responsables de la défense des réseaux des IE, à prendre des mesures proactives de surveillance et d’atténuation sur les réseaux.« 

Le CCC rappel aussi que se doter « d’un plan d’intervention en cas de cyber incident, d’un plan de continuité des activités et d’un plan de communication, et se préparer à les appliquer » ne doit plus être une option.

Parmi les dernières victimes repérées par Data Security Breach, la société Medical Pharmacies, un leader en matière de gestion des médicaments, de services pharmaceutiques spécialisés et de fourniture de matériel et d’équipement médicaux à l’industrie canadienne des soins de santé. Le groupe de pirates Snatch a volé pour plus de 100 GB d’informations internes et diffusé plus de 260 Mo.

cyberattaque, Mise à jour

Patch Tuesday Janvier 2022

Microsoft a corrigé 126 vulnérabilités dont 9 sont classées comme critiques. Au moment de la publication de cette analyse aucune des 126 vulnérabilités n’est exploitée de manière active. Microsoft a  dans ses logiciels, dont des vulnérabilités exploitées par exécution de code à distance (RCE), des failles de sécurité facilitant une élévation de privilèges, l‘usurpation d’identité et de déni de service (DoS).

Vulnérabilités Microsoft critiques corrigées 

CVE-2022-21907 – Vulnérabilité par exécution de code à distance dans la pile du protocole HTTP 

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 9,8/10. Elle affecte les serveurs Windows configurés comme serveurs Web. Pour exploiter cette vulnérabilité, un attaquant non authentifié peut envoyer une requête fabriquée de toute pièce vers un serveur vulnérable en s’appuyant sur la pile du protocole HTTP pour traiter des paquets. Cette vulnérabilité est connue pour se propager sous la forme de vers. Évaluation d’exploitabilité : Exploitation plus probable.

CVE-2022-21849 – Vulnérabilité par exécution de code à distance dans le composant IKE Extension de Windows 

Affichant un score de sévérité CVSSv3.1 de 9,8/10, cette vulnérabilité affecte les systèmes fonctionnant avec la version 2 du composant IKE (Internet Key Exchange). Même si pour l’instant peu d’informations sont disponibles sur cette vulnérabilité, un attaquant à distance peut déclencher plusieurs vulnérabilités lorsque le service IPSec est exécuté sur le système Windows, sans besoin d’être identifié. Évaluation d’exploitabilité : Exploitation moins probable. 

CVE-2022-21846 – Vulnérabilité par exécution de code à distance sur Microsoft Exchange Server 

Cette vulnérabilité a été découverte et signalée à Microsoft par la NSA (National Security Agency). Elle affiche un score de sévérité CVSSv3.1 de 9,0/10. L’attaque associée à cette vulnérabilité se limite au niveau protocolaire à une topologie logiquement adjacente. Elle ne peut donc tout simplement pas être lancée sur Internet et doit plutôt s’appuyer sur un élément spécifiquement lié à la cible, par exemple un même réseau physique partagé (Bluetooth ou IEEE 802.11 notamment), un réseau logique (par ex. un sous-réseau IP local) ou depuis un domaine administratif sécurisé ou limité (par exemple MPLS, un VPN sécurisé vers une zone administrative du réseau). De nombreuses attaques exigeant des configurations de type Man-in-the-middle ou tributaires d’un ancrage dans un autre environnement fonctionnent de la sorte. Évaluation d’exploitabilité : Exploitation plus probable. 

CVE-2022-21837 – Vulnérabilité par exécution de code à distance sur Microsoft SharePoint Server 

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,3/10. Un attaquant peut exploiter cette vulnérabilité pour accéder au domaine puis exécuter du code à distance sur le serveur SharePoint pour s’élever lui-même au rang d’administrateur SharePoint. Évaluation d’exploitabilité : Exploitation moins probable. 

CVE-2022-21840 – Vulnérabilité par exécution de code à distance dans Microsoft Office 

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Elle ne peut être exploitée que si l’utilisateur ciblé ouvre un fichier malveillant.

Dans un scénario d’attaque par email, l’attaquant exploitera la vulnérabilité en envoyant un fichier malveillant spécifique sur la messagerie de la cible avant de le convaincre de l’ouvrir. 

L’attaquant peut aussi héberger un site Web (ou utiliser un site Web compromis qui accepte ou héberge du contenu fourni par un utilisateur) qui contient un fichier malveillant personnalisé pour exploiter une vulnérabilité dans le cas d’une d’attaque via le Web. Évaluation d’exploitabilité :Exploitation moins probable. 

Adobe Patch Tuesday – Janvier 2022 

Adobe a publié des mises à jour pour corriger 41 CVE affectant Adobe Acrobat et Reader, Bridge, Illustrator, InCopy et InDesign. Parmi ces 41 vulnérabilités, 22 sont considérées comme critiques. Adobe a publié des mises à jour de sécurité pour Adobe Acrobat et Reader pour Windows et macOS qui permettent de corriger de nombreuses vulnérabilités critiques, importantes et modérées. L’exploitation réussie de ces vulnérabilités pourrait entraîner l’exécution de code arbitraire, une fuite de mémoire, un déni de service de type applicatif ainsi qu’un contournement des fonctions de sécurité et une élévation de privilèges.