Les centres de recherche ESET ont mis à jour une vaste campagne de cyber-espionnage en cours contre des cibles très sensibles en Amérique latine. Plus de la moitié des ordinateurs attaqués appartiennent notamment aux forces militaires vénézuéliennes. Mais cette campagne cible également d’autres institutions nationales, allant de la police à l’éducation, en passant par les affaires étrangères.
La majorité des attaques (75 %) concerne le Venezuela, et 16 % l’Équateur, où les forces armées ont également été ciblées.
L’opération est attribuée au groupe Machete. Celui-ci aurait déjà dérobé Nonà ses victimes plusieurs giga-octets de documents confidentiels par semaine. La campagne est toujours très active et intervient à un moment où les tensions régionales s’exacerbent et où les tensions internationales entre les États-Unis et le Venezuela sont au plus fort.
Les chercheurs d’ESET ont suivi une nouvelle version des outils « Machete » (la boîte à outils du groupe) qui a été vue pour la première fois il y a un an. En seulement trois mois, de mars à mai 2019, ESET a ainsi pu observer plus de 50 ordinateurs victimes communiquer avec des serveurs de commandes et de contrôle (C&C) appartenant aux cyber-espions. Les chercheurs ont également pu observer les attaquants apporter régulièrement des modifications au malware, à son infrastructure et même aux campagnes de phishing en cours.
« Les opérateurs de Machete utilisent des techniques d’hameçonnage ciblé très efficaces. Leur longue série d’attaques, axées sur les pays d’Amérique latine, leur a permis de recueillir des renseignements et d’affiner leurs tactiques au fil des ans. Ils connaissent très bien leurs cibles, savent comment se fondre dans les communications régulières et quels documents sont les plus précieux à voler », explique Matias Porolli, chercheur en cybersécurité chez ESET. « Par exemple, les attaquants s’intéressent de près aux fichiers utilisés par les systèmes d’information géographique (SIG). Et ils exfiltrent en particulier ceux qui décrivent des routes de navigation et des positionnements exprimés à l’aide de grilles militaires », ajoute-t-il.
Les experts en sécurité de G DATA ont compté plus de 10 000 nouvelles applications malveillantes chaque jour au cours du premier semestre 2019. Près de 2 millions de nouvelles applications malveillantes au cours des six premiers mois de 2019. En moyenne cela représente une application infectée pour Android qui apparaît toutes les huit secondes.
Le nombre de nouvelles applications malveillantes pour les appareils Android a légèrement diminué au premier semestre 2019. Alors que les experts de G DATA avaient comptabilisé plus de 2 millions d’applications infectées entre janvier et juin 2018, ils en ont trouvé 1,85 million cette année. « Le risque pour les smartphones et autres appareils mobiles reste très élevé « , déclare Alexander Burris, chercheur mobile en chef chez G DATA. « Parce que les smartphones sont devenus des compagnons indispensables, ils sont une cible attrayante pour les cybercriminels. Les logiciels publicitaires ou de rançon, qui nuisent directement à l’utilisateur, sont particulièrement lucratifs. » Fin juin, le nombre total d’applications malveillantes connues s’élevait à près de 94,2 millions.
Trop de versions d’Android
Le potentiel de menace toujours élevé d’Android est favorisé par la forte fragmentation du système d’exploitation. Actuellement, seulement 10 % du parc Android dispose de la dernière version 9. Quant à Android 8 – Oreo – il est seulement utilisé sur 28 % des appareils en circulation. Cela signifie que près de 60 % des appareils utilisent encore des versions datant d’avant août 2017, autrement dit qui sont totalement obsolètes.
Le label Android One de Google tend à corriger ce problème. En optant pour un smartphone portant ce label, l’acheteur est assuré que son appareil recevra les mises à jour du système pendant 2 ans.
L’annonce de la conversion d’une grande partie de l’infrastructure de mise à jour vers la nouvelle version Android Q et de la mise à jour des composants du système indépendamment des surcouches des fabricants permet également d’espérer que le problème des mises à jour sera résolu à terme.
Appareils obsolètes et imports bon marché
Les systèmes d’exploitation et les smartphones obsolètes qui n’ont pas les correctifs les plus récents permettent aux pirates d’installer facilement des logiciels malveillants sur l’appareil. Les raisons de cette situation sont doubles : soit il n’y a pas de mises à jour pour l’appareil, soit les clients ne les installent pas. Mais il peut également arriver que des appareils bon marché importés d’Asie soient vendus avec des logiciels malveillants préinstallés. Ces logiciels malveillants, principalement des spywares, permettent au constructeur malhonnête de récolter des informations sur l’utilisateur et de monétiser ce client par l’affichage de publicités ou l’installation d’applications à son insu. Bref, un logiciel de supervision destiné aux DSI peut faire parti de l’arsenal pour surveiller les installations « bancales ».
Haro sur le Google Play
Depuis quelques mois, le Play store ne fait plus recette auprès des gros éditeurs. Epic Games avait lancé les hostilités l’ année dernière en choisissant de ne pas sortir son application Android sur la plateforme d’applications de Google. D’autres, tels que Tinder ou Netflix ont fait le choix de détourner le paiement vers leur propre boutique. La commission de 30 % demandée par Google ne passe plus… Si une telle tendance se confirmait, l’émergence de plateformes parallèles pourrait devenir une opportunité pour les cybercriminels.
Des pertes en millions
SimBad, Operation Sheep et Agent Smith sont trois exemples qui illustrent le succès des cybercriminels. 150 millions d’utilisateurs auraient une application Android avec le malware SimBad installé. La deuxième campagne de malware réussie est connue sous le nom d’Operation Sheep. Les applications infectées ont été téléchargées plus de 111 millions de fois. Toutes les applications se trouvent principalement dans les boutiques d’applications tierces. L’agent Smith est le nom de la troisième grande campagne. Elle a infecté 25 millions de smartphones en Asie. Une fois installé, l’agent remplace les applications par des clones infectés afin qu’ils affichent de la publicité. Bref, La transformation numérique des organisations doit prendre en compte ce genre de malveillance.
Je vous parlais, début août, de l’arrivée en France et au Canada de la Titan Security Key de chez Google. Voici le test complet de cette clé dédiée à la double authentification de vos comptes web.
Disponible aux USA depuis 2018, la Titan Security Key vient d’arriver sur les marchés Français et Canadien au 1er août 2019. Data Security Breach et ZATAZ vous proposent le test de cette clé de sécurité dédiée à la double authentification de vos comptes : mail, site web, …
Le package est efficace, solide et comme à chaque fois chez Google, qualitatif. On y apprend que le contenu est large avec deux clés, deux adaptateurs (usb, usb-c) et une rallonge usb. On découvre que le matériel est conçu par Google… assemblé en Chine. Les plus paranoïaques vont donc quitter ce test après ce point. Google + Chine vont leur donner des sueurs froides. Mais revenons plus sérieux. Une fois l’autocollant de sécurité décollé.
Il laisse le mot VOID sur la boîte afin de prouver sa non-ouverture. Le contenu apparaît sur deux étages. Deux notices, assurance et mode d’emploi. Ce dernier est simple, sans fioriture, efficace.
Titan Security Key : comment ça marche ?
Direction les sites que vous souhaitez protéger. Ils sont très nombreux aujourd’hui : Google, Facebook, Linkedin, … Nous allons orchestrer ce test pour protéger un compte Google, et donc Youtube, gMail, … Commençons par nous connecter au compte Google que nous souhaitons protéger. Mail et mot de passe suffisent. Direction l’espace sécurité, double authentification. Il suffit d’entrer la Titan Security Key pour coupler cette dernière à l’accès à protéger. Rien de plus simple. Une fois effectué, déconnexion automatique de votre compte sur tous vos appareils. Pour vous reconnecter, il suffira d’utiliser votre mot de passe et votre clé de sécurité.
Vous perdez vos clés ? Il est possible de reprendre la main en faisant une demande à Google, mais cette dernière, comme pour le cas des outils tels que Authy, prendre plusieurs jours (3 pour Authy). Il est possible de répliquer les fonctionnalités de protection dans un compte G Suite.
Sur smartphone, via le NFC et le Bluethooth
Vous possédez une tablette, un smartphone Android/iOS la Titan Security Key vous permet d’utiliser votre compte et la double authentification. Pour cela, trois méthodes: la clé et l’adaptateur ; le NFC de la clé ; le bluethooth.
Dans le premier cas, il suffit de rentrer la prise de la rallonge dans le smartphone. Deux embouts sont proposés : mini USB et USB-C.
Dans le second cas, branchez le NFC de votre téléphone et approchez la Titan Security Key.
Dernière possibilité, le bluetooth est allumé. Cliquez sur le bouton 5 secondes.
Pro et perso
Le matériel est robuste, résiste à l’eau, mais pas plus de 45 secondes immergées dans les toilettes (une erreur est site vite arrivée) pour la clé Bluetooth. La seconde clé fonctionne encore après 45 secondes dans un évier rempli d’eau chaude et produits vaisselles. La Titan Security Key, tout comme sa concurrente Yubico, seront des alliés loin d’être négligeable. Si un pirate vous vole vos identifiants de connexion, avec ce type de sécurité, même armé de vos sésames, le malveillant ne pourra accéder à vos données.
Je vous invite d’ailleurs à utiliser le Service Veille ZATAZ qui permet de détecter, dans les espaces pirates, les données qui ont pu vous être volés ces derniers heures, jours, semaines mois, années. Point fort de la Titan Security Key, la possibilité d’inscrire cette dernière au programme Advanced Protection « Le Programme Protection Avancée protège les comptes Google personnels des individus susceptibles de faire l’objet d’attaques ciblées : les journalistes, les activistes, les chefs d’entreprise et les équipes de campagnes électorales. » indique Google.
Sécurité renforcée et limitation des applications utilisables
A noter qu’une fois les clés activées, les autres facteurs d’authentification, tels que les codes envoyés par SMS ou l’application Google Authenticator, ne fonctionneront plus.
A gauche, la clé Yubico.
Les applications n’appartenant pas à Google sont limitées. Cela veut dire que les applications Mail, Contacts et Calendrier d’Apple, ainsi que le logiciel Thunderbird de Mozilla, continueront de fonctionner avec les comptes bénéficiant de la Protection avancée. De nombreuses autres applications n’appartenant pas à Google n’auront pas accès aux données de votre compte. Les mots de passe d’application sont HS. Vous ne pourrez plus générer de mots de passe via les mots de passe d’application.
Gros gors point noir. Vous avez une télévision connectée Android ? La clé ne fonctionne pas. Google Chrome est imposé. Bilan, vous ne pouvez plus profiter des « services » proposés comme Google Play, …
A noter aussi que les Google Home, les enceintes connectées ne fonctionne plus depuis l’installation de la clé !
Pour conclure, la Titan Security Key est vendue 55€. A voir dans le temps, comme par exemple, pour l’aspect électrique de la clé Bluethooth. Si cette dernière se recharge via la prise USB de votre ordinateur, aucune indication sur sa véritable durée de vie.
Au Moyen-Âge, l’attaque d’un château-fort avantageait la défense. Du haut des remparts, on pouvait observer les assaillants de loin. Ils ignoraient la structure des fortifications. Quant à elle, l’architecture bien connue du château-fort par les défenseurs brisait de nombreuses stratégies d’attaque. Mais depuis que les citadelles sont devenues numériques, les batailles cyber sécuritaires, à l’inverse avantagent nettement les attaquants et désarment les défenses. Bien souvent, les défenseurs ignorent leurs failles.
Les fortifications, les citadelles d’Internet sont devenues floues depuis l’arrivée des nouveaux systèmes d’information. Les menaces sont moins visibles. Surtout, il est possible pour un attaquant de frapper par un point A, puis par un point B le lendemain, en n’éveillant jamais les soupçons. Dans un contexte où l’on manque énormément de visibilité, comment contrer ces menaces ? 5 piliers indispensables à mettre en place.
1 – La sécurité périmétrique
Dans un monde informatique sans périmètre où les frontières sont devenues plus floues, la sécurité périmétrique reste toujours le premier rempart à mettre en place. C’est un prérequis essentiel dont on ne peut faire l’économie. Elle consiste à protéger la frontière externe de l’entreprise des menaces extérieures pour éviter ou limiter les infections (malwares, cheval de Troie, etc.). Les réflexes de base à adopter sont de bien paramétrer ses firewalls et d’être très sélectif et granulaire dans les autorisations de flux.
2 – La sécurité Endpoint
Elle permet de combattre directement l’infection une fois détectée grâce à des antivirus ciblés. Auparavant, la capacité de détecter des virus était une activité relativement facile, il suffisait de comparer ces virus à des bases de signatures prédéfinies. Aujourd’hui, de nouveaux malwares ont pris le relai et sont capable de « muter » afin d’éviter d’être détecté. On voit aussi des États Nations développer des virus « intraçables » car utilisant des failles encore inconnues. Face à ces menaces invisibles, les entreprises doivent se doter de solution de type Endpoint Detection and Response – EDR. Comparer des signatures n’est plus suffisant. Depuis, beaucoup de mécanismes ont été inventé, dont l’analyse comportementale, du machine learning en pre-execution, du sandboxing, qui se révèlent plus efficaces dans la détection des nouvelles menaces.
3 – La détection de menaces sur le réseau
Si la sécurité Endpoint et périmétriques sont indispensables et gèrent autant les frontières externes et internes du système d’information ; on sait bien, qu’elles sont insuffisantes sans une approche d’analyse côté réseau. La sécurité sur le réseau, consiste à détecter des comportements non conventionnels et retrouver les traces d’un attaquant sur le réseau de l’entreprise (logs, données, IA, etc.).
Elle se fait surtout à l’aide d’outils à base d’intelligence artificielle et de machine learning qui sont capables d’écrémer et de ressortir des informations suspectes dans un lot gigantesque de données grâce à l’automatisation. La prise de décision finale reste à l’appréciation d’un humain, mais qui aura gagné énormément de temps sur sa prise de décision et la collecte d’informations.
4 – L’Active Directory
L’Active Directory ou l’annuaire d’entreprise comme partie intégrante d’une attaque, est largement sous-estimé. Et par conséquent, il est sous protégé alors que les cyberattaques suivent généralement le même schéma. Après avoir franchi les défenses périmétriques, les hackers ciblent le coeur de l’entreprise. L’Active Directory leur permet d’avoir accès aux comptes de l’ensemble de l’entreprise, administrateurs et grands patrons compris. Le but ? S’emparer des comptes à hauts-privilèges pour pouvoir, par exemple, diffuser un ransomware à l’ensemble de l’entreprise.
5 – La sensibilisation des utilisateurs
On dit souvent que les failles sécuritaires modernes se situent toujours entre l’écran et le clavier. C’est vrai. Les scénarios se suivent et se ressemblent. Monsieur tout le monde prend possession de son ordinateur, ouvre ses mails, clique sur une pièce jointe et contamine son entreprise. En effet, l’être humain demeure le premier facteur d’infection. En conséquence, chaque entreprise doit réduire les risques liés aux mauvais comportements des utilisateurs. La solution est simple : former les mauvais élèves « clique à tout » grâce à des mises en situations, questionnaires ou vidéos interactives.
La réalité est simple : il est difficile d’être proactif en défense et de devancer les attaques. La cybersécurité a souvent un temps de retard par rapport aux nouvelles menaces. C’est presque toujours face à de nouvelles attaques que la défense réagit et adapte ses systèmes de défense. D’où la nécessité dans ce contexte, d’assurer a minima ces arrières avec ces piliers, de sensibiliser et de réaliser un important travail de veille technologique pour limiter les pots cassés. (par David Clarys, NewTech Manager Europe du Sud chez Exclusive Networks)
Le vol d’identifiants par hameçonnage est l’une des causes les plus courantes d’atteinte à la sécurité informatique. Les clés de sécurité offrent la meilleure protection contre ce type d’attaques. La clé de sécurité Titan de Google disponible en France.
Mise à jour : DataSecurityBreach.fr vous propose le test complet de cette clé ICI.
L’an dernier, Google Cloud a lancé les clés de sécurité Titan aux États-Unis. À partir de ce 1er août, les clés de sécurité Titan sont disponibles sur le Google Store en France. Elle est vendue 55 € TTC. Elles sont désormais également disponibles au Canada, au Japon et au Royaume-Uni.
Les clés de sécurité Titan sont munies d’ une puce qui inclut un firmware conçu par Google pour vérifier l’intégrité des clés.
Chaque clé intègre les normes FIDO pour vérifier de façon cryptographique l’identité de l’utilisateur et l’URL de la page de connexion. Cela empêche ainsi un pirate d’accéder à son compte. Même si celui-ci est amené à fournir son identifiant et et mot de passe.
Les clés de sécurité conviennent à tout utilisateur ou entreprise soucieux de la sécurité.
Titan
Les clés Titan sont disponibles par pack de deux : une USB/NFC et une Bluetooth. Pour configurer ses clés de sécurité depuis son compte personnel ou professionnel Google, il suffit de se connecter pour accéder à la page de vérification en deux étapes.
En outre, il est possible de s’inscrire au programme de protection avancée. Cela offre la sécurité Google la plus solide pour toute personne exposée à des attaques ciblées. Les clés de sécurité Titan peuvent également être utilisées pour tous les sites et services compatibles avec les clés sécurité FIDO, notamment Coinbase, Dropbox, Facebook, GitHub, Salesforce, Stripe, Twitter, etc.
Des clés pour G Suite et Google Cloud Platform (GCP) peuvent être employées.
Les rançongiciels pour Android sont peut-être en baisse depuis 2017, mais ils n’ont pas disparu pour autant. Des chercheurs ont récemment découvert une nouvelle famille de logiciels de rançon, Android/Filecoder.C. En utilisant les listes de contacts des victimes, il tente de se propager par SMS en envoyant des liens malveillants.
Ce nouveau ransomware tout d’abord distribué ses liens malveillants via des fils de discussion sur la thématique pornographique du site Reddit. Le profil d’utilisateur utilisé a été signalé par ESET, mais est toujours actif à l’heure actuelle. La campagne a également brièvement ciblé le forum « XDA developers », destiné aux développeurs Android ; Après avoir été alertés, les opérateurs ont retiré les messages malveillants.
La campagne que nous avons découverte est de faible envergure et plutôt amateur. De plus, le logiciel lui-même est défectueux — surtout en ce qui concerne le chiffrement. Tous les fichiers peuvent être récupérés sans payer de rançon. Cependant, si ses auteurs corrigent les failles et que la distribution prend de l’ampleur, ce nouveau logiciel de rançon pourrait devenir une menace sérieuse.
Ce malware se distingue par son mécanisme de diffusion. Avant de commencer à chiffrer les fichiers de sa victime, il envoie un lot de SMS aux contacts de la victime, les incitant à cliquer sur un lien malveillant menant au fichier d’installation du rançongiciel. « En théorie, cela peut conduire à un afflux d’infections — d’autant plus que le message peut être envoyé en 42 langues. Heureusement, même les utilisateurs les moins sensibilisés doivent remarquer que les messages sont mal traduits. Certaines versions n’ont même aucun sens ! », explique Lukáš Štefanko de che ESET.
Outre son mécanisme de diffusion, Android/Filecoder.C présente quelques anomalies dans son chiffrement. Il exclut les grandes archives (plus de 50 Mo) et les petites images (moins de 150 Ko), et sa liste des types de fichiers à cibler contient de nombreuses entrées sans rapport avec Android, tout en n’ayant pas certaines extensions typiques pour ce système. En fait, cette liste semble provenir du célèbre ransomware WannaCry.
Il y a aussi d’autres éléments intrigants : contrairement aux logiciels de rançon Android classiques, Android/Filecoder.C n’empêche pas l’utilisateur d’accéder à l’appareil en verrouillant l’écran. De plus, la rançon n’est pas prédéfinie, mais créée dynamiquement en utilisant l’ID utilisateur attribué au moment de l’infection. Ce processus se traduit par un montant de rançon aléatoire compris entre 0,01 et 0,02 BTC.
Il s’agit d’une pratique inédite, probablement destinée à attribuer les paiements aux victimes. « Cette tâche est généralement résolue en créant un portefeuille Bitcoin unique pour chaque victime. Mais ici l’attaquant n’utilise qu’un seul portefeuille Bitcoin », observe Lukáš Štefanko.
Les entreprises de toutes tailles doivent relever un certain nombre de défis pour assurer la sécurité de leurs réseaux. Pourtant, les vulnérabilités liées aux MFP et imprimantes connectées d’aujourd’hui sont souvent sous-estimées. Voici comment protéger votre réseau en 5 points.
Désormais, les pirates se servent des systèmes multifonction (MFP) et imprimantes des organisations pour dérober des informations confidentielles stockées sur des disques durs et d’autres périphériques connectés aux réseaux professionnels. Ces cybercriminels provoquent d’importants dégâts et perturbent les activités des entreprises. Selon un rapport d’IDC, 25 % des failles de cybersécurité à corriger impliqueraient des imprimantes. L’impact sur la productivité et la rentabilité des entreprises est donc énorme, alors même que risque lié aux MFP et imprimantes non sécurisés est souvent méconnu et ignoré.
1 : l’identification des utilisateurs et la gestion des autorisations
L’une des solutions les plus importantes pour sécuriser les réseaux consiste à n’autoriser que les utilisateurs connus à accéder aux périphériques tels que les imprimantes. Cet objectif peut être atteint grâce à une administration et à une gestion des autorisations cohérentes.
Identification des utilisateurs : il s’agit du processus grâce auquel les administrateurs ne donnent de droits d’accès aux MFP et imprimantes qu’aux utilisateurs enregistrés. Ces derniers peuvent être identifiés en interne en s’appuyant sur la liste d’utilisateurs locaux, ou via le réseau grâce à un serveur d’authentification. Les administrateurs doivent également décider qui appartient à quel groupe en créant un nom d’utilisateur et un mot de passe, et en mettant en place une stratégie de gestion de mots de passe sur mesure/unique.
Autorisation des utilisateurs : ce processus a pour but d’autoriser l’accès aux ressources des réseaux des organisations, et d’en contrôler l’utilisation. En fonction des identifiants de chaque utilisateur, il est possible de limiter l’accès à certains individus, le restreindre à certaines fonctions, ou le bloquer entièrement. L’administrateur peut également configurer l’accès aux périphériques à l’aide de cartes d’accès contenant des informations d’identification uniques pour chaque individu.
2 : sécuriser le réseau
L’ensemble des périphériques connectés au réseau sont aussi sécurisés que le point le plus vulnérable de ce réseau. Il est donc très important de contrôler l’utilisation des ports et protocoles. Grâce à une configuration intelligente, les administrateurs peuvent bloquer les activités indésirables et les attaques potentielles sur l’infrastructure. Parmi les techniques permettant de sécuriser les communications entre les périphériques du réseau :
Utiliser des fonctions de filtrage pour limiter l’accès à des adresses IP et MAC (Media Access Control) spécifiques. Le réseau et les canaux de communication sont ainsi protégés en limitant l’accès aux adresses ou plages d’adresses spécifiées.
Désactiver les ports non utilisés (afin que seuls ceux qui sont nécessaires fonctionnent) pour bénéficier d’une couche de sécurité supplémentaire et de davantage de contrôle sur le réseau en bloquant les accès non autorisés vers l’ensemble des actifs connectés.
S’assurer que les protocoles IPSec (le protocole Internet pour un échange de données sécurisé et chiffré de données), TLS (le protocole de sécurité de la couche de transport, qui chiffre la transmission de données) et HTTPS (le protocole de transfert hypertexte sécurisé, qui sécurisé les communications sur le réseau) sont configurés pour offrir le niveau de protection le plus élevé.
3 : protéger les données
Il y a deux façons de s’assurer que les données stockées sur les disques durs des MFP et imprimantes soient en permanence sécurisées :
Le chiffrement des données est la procédure ou fonctionnalité cryptant les documents à l’aide d’un algorithme complexe à 256 bits.
L’écrasement des données, qui permet d’effacer le disque dur d’un appareil. Cette stratégie garantit l’effacement définitif de l’ensemble des données déjà stockées sur le disque et des documents numérisés après avoir qu’elles aient été écrasées jusqu’à 10 fois.
4 : imprimer des informations confidentielles de façon sécurisée
Les documents confidentiels doivent être imprimés en suivant une procédure sécurisée évitant les accès et copies non autorisées. Ainsi, lorsqu’une tâche d’impression est soumise, elle est conservée sur le disque dur de l’appareil jusqu’à ce que l’utilisateur saisisse un code PIN, ou présente un jeton ou une carte d’authentification configurés au préalable. Une fois le document imprimé, l’ensemble des données sont automatiquement effacées du disque dur.
5 : assurer une supervision et un contrôle à distance
Mis en place correctement, les outils de sécurité des réseaux offrent aux administrateurs informatiques un contrôle total sur l’ensemble des appareils connectés au réseau, et ce directement depuis leurs postes de travail. Ils peuvent ainsi contrôler un parc entier de MFP et d’imprimantes, et découvrir et gérer à distance la plupart des menaces de sécurité potentielles. Le clonage des appareils permet également de rationaliser le travail des administrateurs, et offre encore plus de sérénité, tout changement au niveau des paramètres d’un équipement pouvant ainsi être reproduit sur l’ensemble du parc. (Par Tomasz Stefanski – Solutions and Applications Specialist chez Sharp Europe).
La société Proofpoint, spécialiste de la mise en conformité et cybersécurité, a publié son rapport 2019 sur la fraude au nom de domaine. L’étude dévoile les dernières tendances, les stratégies et les activités des cybercriminels. Une analyse approfondie des données collectées sur une période de douze mois dans la base de données de domaines actifs de l’entreprise. Elle contient plus de 350 millions de domaines et représente pratiquement tous les domaines sur le Web.
Chasse aux domaines frauduleux ! À l’instar de nombreuses autres méthodes d’attaque très populaires aujourd’hui, la fraude au nom de domaine cible des individus plutôt que des infrastructures en faisant appel à l’ingénierie sociale, terme connu aussi sous Social Engineering, pour amener les utilisateurs à croire que les domaines auxquels ils accèdent sont légitimes. Du fait du peu d’obstacles à l’enregistrement des noms de domaine et de la facilité d’exécution, il est essentiel que les sociétés restent vigilantes face aux domaines suspects et illégaux susceptibles de présenter un risque pour leur marque et leurs clients.
Hausse de 11%
Entre le 1er trimestre et le 4ème trimestre 2018, le nombre d’enregistrements de noms de domaines frauduleux a connu une hausse de 11%. Presque tous les domaines frauduleux détectés restent actifs et prêts à l’attaque, plus de 90% d’entre eux étant associés à un serveur actif.
Parmi ces domaines frauduleux, plus de 15% ont des enregistrements Mail Exchanger (MX), ce qui signifie qu’ils envoient et/ou reçoivent des e-mails. Un sur quatre dispose également de certificats de sécurité, c’est bien plus que ce que l’on peut observer dans le paysage global des domaines. Or, de nombreux internautes les assimilent de ce fait à tort comme des domaines légitimes et sûrs.
Les domaines frauduleux utilisent souvent les mêmes domaines de premier niveau (TLD), offices d’enregistrement et serveurs Web que les domaines légitimes afin d’imiter les marques et abuser les utilisateurs. Ces facteurs, ainsi que la forte proportion de serveurs Web actifs, qui sont nombreux à posséder des certificats SSL valides, renforcent la perception de légitimité des domaines frauduleux, augmentant ainsi le potentiel de nombreuses attaques, notamment les fraudes par virement électronique, le phishing, les ventes de produits de contrefaçon et autres escroqueries.
Quand le HTTPS sert aux pirates
Plus de 85% des grandes marques de vente au détail ont identifié des domaines vendant des versions contrefaites de leurs produits. Les marques de vente au détail en décomptent en moyenne plus de 200. D’ailleurs, les domaines vendant des produits de contrefaçon possèdent plus de certificats de sécurité que d’autres types de domaines frauduleux, ce qui les rend légitimes aux yeux des clients.
96% des sociétés ont trouvé des correspondances exactes de leur domaine avec un TLD différent (par exemple, « .net » au lieu de « .com ») et 76% ont identifié des domaines « similaires » se faisant passer pour leur marque. La plupart des secteurs et des zones géographiques sont touchés.
Les domaines frauduleux utilisent l’e-mail pour mieux cibler les attaques. Pour 94% des sociétés observées, Proofpoint a identifié au moins un domaine frauduleux se faisant passer pour leur marque et envoyant des e-mails. De nombreux domaines frauduleux ont envoyé de faibles volumes d’e-mails, un comportement typiquement associé à des attaques hautement ciblées et basées sur l’ingénierie sociale. Les cybercriminels se faisant passer pour des marques de vente au détail facilement reconnaissables (en particulier celles ayant des chaînes d’approvisionnement complexes) ont envoyé des volumes d’e-mail beaucoup plus importants, ce qui laisse suggérer des attaques plus généralisées contre les clients et les partenaires.
Des facteurs comme l’introduction de nouveaux TLD créent des opportunités pour les cybercriminels. En 2018, l’introduction de nouveaux TLD, tels que .app et .icu,, a créé de nouvelles opportunités pour l’enregistrement de domaines frauduleux. Proofpoint a constaté que les cybercriminels exploitaient ces nouveaux TLD pour enregistrer des noms ressemblant à des domaines « .com » qui appartiennent déjà à de grandes marques.
Des chercheurs ont mené une enquêtes sur l’état de la sécurité des applications des plus grandes banques du monde. Un des outils posséde une faille connue depuis 2011.
Les nouvelles recherches de la société ImmuniWeb va faire grincer des dents dans le petit monde bancaire. Ils ont étudié la sécurité, la confidentialité et la conformité des applications des plus grandes institutions financières mondiales figurant dans la liste S&P Global 2019. Le résultat a de quoi étonner. En ce qui concerne la conformité, 85 applications Web de banque en ligne ont échoué au test de conformité GDPR ; 49 banque en ligne ont échoué au test de conformité PCI DSS ; 25 app ne sont pas protégées par un WAF.
Vulnérabilités de sécurité
Dans cette étude, on découvre que sept applications Web de banque en ligne contiennent des vulnérabilités connues et exploitables.
La plus ancienne vulnérabilité est connue depuis 2011. 92% des applications bancaires mobiles contiennent au moins une vulnérabilité à risque moyen.
100% des banques ont des problèmes de sécurité ou des problèmes liés aux sous-domaines oubliés.
Pour finir, concernant la sécurité du site web, seuls 3 portails sur 100 affichaient la note la plus élevée «A+» pour le « chiffrement SSL et la sécurité des sites Web». Dans ce top 3, on trouve un Suisse (credit-suisse.com), un Danois (danskebank.com) et un Suédois (handelsbanken.se).
Pendant ce temps, dans le commerce 2.0
De son côté, le laboratoire Pradeo a étudié 38 applications mobiles d’e-commerce les plus téléchargées au monde. Le rapport montre qu’elles envoient les données personnelles des utilisateurs via de nombreuses connexions non sécurisées (pourcentages précis dans l’article) et présentent en moyenne 13 vulnérabilités de code, dont certaines ayant un haut niveau de sévérité.
Le mot de passe est probablement la mesure de sécurité la plus courante et la plus utilisée, mais c’est également la plus vulnérable. En effet, l’’utilisation d’identifiants internes compromis par un attaquant externe représente, selon Verizon et son Data Breach Investigations Report 2018, la menace la plus courante dans les violations de données. C’est pourquoi de plus en plus d’entreprises mettent en place l’authentification multifacteur (MFA) en complément des mots de passe pour le contrôle des accès.
L’authentification multifacteur, connu sous le 3 lettres MFA, est un système de sécurité qui fait appel à plusieurs méthodes d’authentification pour vérifier l’identité de l’utilisateur qui souhaite se connecter. Il a pour objectif de mettre en place plusieurs couches de protection, afin de rendre plus difficile l’accès d’une personne non autorisée à un réseau. Ainsi, même si le pirate parvient à déchiffrer l’un des facteurs, il lui reste encore au moins un obstacle à franchir avant de pouvoir atteindre sa cible.
Comme l’explique Helpnet Security (IS Decision), dans les colonnes de ZATAZ, l’authentification multifacteur présente de nombreux avantages. D’abord la sécurité renforcée de votre réseau. Un Pirate doit disposer de l’ensemble des facteurs requis par le système lors de la connexion, sans quoi il ne pourra pas accéder au compte.
Mise en conformité
Ensuite, la mise en conformité: Un grand nombre de normes contraignent certaines entreprises à implémenter l’authentification multifacteur pour la protection d’informations sensibles (données financières ou à caractère personnel). Même si parfois la norme ne mentionne pas clairement la méthode MFA, elle insiste parfois sur le besoin d’un processus d’authentification renforcée. En d’autres termes, l’authentification multifacteur.
Enfin, les connexions simplifiées: Au premier abord, l’authentification multifacteur semble compliquer les connexions. Mais, en réalité, la protection renforcée qu’offre cette méthode permet aux entreprises d’utiliser des options de connexion plus avancées comme l’authentification unique (SSO).
