Archives de catégorie : Securite informatique

backdoor, BYOD, Communiqué de presse, cryptomonnaie, Cybersécurité, Entreprise, Securite informatique

Cryptojacking : le danger des objets connectés résidentiels

Un commentaire

Un nouveau rapport de sécurité révèle que les objets connectés résidentiels constituent une nouvelle cible pour le cryptojacking.

Quasiment aucune entreprise n’échappe à un exploit majeur : l’analyse des événements critiques souligne une tendance inquiétante : 96% des entreprises ont subi au moins un incident majeur de sécurité. En clair, les entreprises, dans leur quasi-totalité, cèdent au moins une fois aux attaques des cybercriminels. De plus, près d’un quart des entreprises ont été confrontées à un malware de cryptojacking, tandis que six variantes de malwares ont, à elles seules, impacté plus de 10 % de toutes les organisations. FortiGuard Labs a également identifié 30 nouvelles vulnérabilités zero-day sur ce trimestre.

Le cryptojacking s’en prend aux objets connectés résidentiels : pour renforcer le minage des crypto-monnaies, les objets connectés résidentiels – et notamment les dispositifs multimédias – sont désormais ciblés. Ces dispositifs présentent un attrait certain compte tenu de leurs ressources informatiques importantes pouvant être détournées à des fins malveillantes. Les assaillants tentent ainsi d’inoculer un malware qui assurera un minage permanent, puisque ces appareils sont généralement toujours actifs. De plus, leurs interfaces sont exploitées en tant que navigateurs web modifiés, ce qui étend le nombre de vulnérabilités et de vecteurs de minage. La segmentation devient ainsi essentielle pour cloisonner ces dispositifs personnels si leurs utilisateurs les connectent à des réseaux d’entreprise.

La créativité des cybercriminels au service des botnets : la tendance en matière de botnets illustre comment les cybercriminels maximisent l’impact de ce type de malware grâce à de multiples actions malveillantes. WICKED, une nouvelle variante du botnet Mirai, s’est ainsi enrichi de trois nouveaux exploits pour cibler les objets connectés non patchés. VPNFilter, l’attaque sophistiquée qui cible les environnements industriels SCADA/ICS grâce à une surveillance des protocoles MODBUS, est devenue une menace majeure qui exfiltre les données et peut mettre à l’arrêt un dispositif, voire un groupe de dispositifs. La variante Anubis du malware Bankbot a fait l’objet de plusieurs innovations : elle agit en tant que ransomware et enregistreur de frappe, mais peut également assurer une fonction de cheval de Troie (avec accès distant malveillant), intercepter des SMS, verrouiller les écrans et transférer des appels. Ces évolutions au niveau des attaques doivent être suivies précisément, grâce notamment à une veille pertinente sur les menaces.

Cryptojacking, malware and co !

Les concepteurs de malware misent sur un développement agile : les malwares ont longtemps été polymorphes pour éviter de se faire détecter. Les récentes attaques soulignent une adoption des pratiques de développement agile pour rendre la détection des malwares plus complexe et contourner les toutes dernières fonctions des produits anti-malware. GandCrab compte déjà plusieurs versions cette année et ses concepteurs continuent à le faire évoluer rapidement. L’automatisation des attaques, tout comme les méthodes de développement agile, pose un réel défi aux organisations ciblées, ces dernières ne disposant pas toujours du savoir-faire nécessaire pour contrer des menaces toujours plus furtives. Le développement agile utilisé par les cybercriminels incite à déployer des fonctions évoluées de protection et de détection pour combattre ces attaques de nouvelle génération.

Un ciblage efficace des vulnérabilités : les cybercriminels sélectionnent avec précision les vulnérabilités qu’ils souhaitent exploiter. Ces dernières sont sélectionnées compte tenu de leur prévalence et du volume d’exploits détectés : ainsi seules 5,7% des vulnérabilités connues sont réellement exploitées. Mais si la majorité d’entre elles ne seront pas exploitées, elles doivent néanmoins être restaurées proactivement par les entreprises.

L’utilisation des applications dans les secteurs de l’enseignement et des services publics : lorsqu’on compare le nombre d’applications utilisées par secteur d’activité, l’utilisation d’applications SaaS dans le secteur public surperforme la moyenne de 108%. D’autre part, ce secteur est devancé par celui de l’enseignement sur le critère du nombre total d’applications utilisées chaque jour, ce chiffre étant de 22,5% et 69% supérieur à la moyenne, respectivement. Le besoin pour un panel diversifié d’applications explique le taux d’utilisation plus important sur ces deux secteurs d’activité. Il s’agira néanmoins de décloisonner ces différentes applications au sein des environnements multi-cloud, pour renforcer la visibilité et appliquer les fonctions de sécurité. (Merci à Fortinet)

Argent, Arnaque, backdoor, Banque, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, DDoS, escroquerie, Fuite de données, ID, Identité numérique, Leak, Particuliers, Piratage, ransomware, Securite informatique

Cybermenaces : Que font les pirates en 1 minute ?

Cybermenaces : Les pirates feraient perdre plus de 1 million de dollars par minute dans leurs actions malveillants.

Alors que les cybercriminels et les cybermenaces ont coûté 600 milliards de dollars à l’économie mondiale l’an dernier, la société RiskIQ, spécialiste dans la gestion des menaces numériques, a fait appel à des recherches exclusives pour examiner le volume croissant d’activités malveillantes sur Internet.

L’étude montre que, dans une seule minute employée par les pirates informatique du globe, 1 138 888 dollars sont perdus. Dans ce même laps de temps, 1 861 personnes sont victimes d’un acte de piratage. Malgré les efforts des entreprises pour se protéger contre les cybermenaces externes, en dépensant jusqu’à 171 233 dollars en 60 secondes aux USA, les pirates continuent à proliférer et à lancer des campagnes malveillantes.

« Alors qu’Internet et sa communauté continuent de croître à un rythme rapide, le ciblage de la menace se développe également à grande échelle« , déclare à DataSecurityBreach.fr le PDG de RiskIQ, Elias Manousos.

Les tactiques d’attaque

Les méthides d’attaques ? Elles vont des logiciels malveillants au phishing en passant par les attaques de chaînes d’approvisionnement ciblant des tiers. Les motivations pirates incluent l’argent, les dommages à la réputation à grande échelle, la politique et l’espionnage. Les cybercriminels continuent de réussir à déployer des tactiques à partir de 1 274 logiciels malveillants uniques (par minute) et à déployer plus de neuf publicités piégées.

Activités malveillantes

Selon la société américaine RiskIQ, toutes les minutes, 1,5 entreprises de part le monde touchée par un ransomware. Coût moyen pour les entreprises : 15 221 $. (corrections, pertes …) ; En une minute, 17 applications mobiles se retrouvent sur liste noire. 21 nouveaux domaines sont créés pour du phishing et un nouveau site utilisateur (volontaire ou non) du script d’extraction de crypto-monnaie CoinHive voit le jour.

Apple, backdoor, Cyber-attaque, Cybersécurité, ios, Logiciels, Mise à jour, OS X, Piratage, Securite informatique, Smartphone

Un ancien hacker de la NSA démontre une faille majeure dans macOS

2 commentaires

La société Apple est généralement considérée comme étant une marque fiable, proposant une sécurité accrue. Un ancien hacker de la NSA démontre une faille majeure dans macOS. Elle permet le contournement des mécanismes de sécurité !

Faille majeure pour Apple ! Lors des conventions de cybersécurité Def Con/Black Hat qui se sont tenues à Las Vegas, début août, Patrick Wardle, un ancien Ninja de la NSA, fondateur de la société DigitaSecurity, a présenté des exemples d’attaques visant les produits Apple, et plus précisément macOS.

D’abord, Patrick Wardle est aussi généreux que doué. Il a expliqué comment un pirate pouvait contourner la plupart des mécanismes de sécurité mis en œuvre par Apple pour protéger macOS.

Wardle explique que les logiciels malveillants peuvent échapper aux méthodes de sécurité en les ciblant au niveau de l’interface utilisateur.

Chez Apple, les avertissements et autres autorisations à la moindre action font partis de l’écosystème des produits de la firme Californienne. Un mécanisme de défense contre les clics indésirables.



Faille majeure

Ensuite, Wardle affirme qu’il est possible d’exploiter ces avertissements en modifiant la façon dont macOS convertit les clics de clavier en clics de souris. Étant donné que macOS interprète deux actions de la souris comme équivalant à cliquer sur OK, il est donc possible d’écrire une ligne de code supplémentaire pour éviter qu’un avertissement n’apparaisse à l’écran. En abusant des nombreuses interfaces de macOS, un code peut s’executer via un code malveillant qui permettra d’ignorer les avertissements. Wardles a baptisé cette action « Synthetic Click ». Des attaques que l’ancien hacker de la National Security Agency a expliqué lors de la Def Con via des attaques automatisées visant macOS Sierra.

https://twitter.com/patrickwardle/status/1029060044900507649

Cependant, Wardle a déclaré que les exploits ne permettent pas à un pirate d’accéder initialement à un appareil Mac, mais qu’ils pourraient exploiter efficacement le sandboxing.

Une possibilité qui laisserait aux applicationx malveillantes de quoi obtenir des autorisations de niveau supérieur. De son côté, Apple a confirmé les correctifs adequates dans son nouveau OS, macOS Mojave.

Pour conclure, Patrick Wardle propose, via sa société, l’outil Do Not Disturb. Une application qui permet d’avertir le propriétaire d’un MacBook en cas d’accès non autorisé. L’application tourne sous iPhone.

Elle permet de surveiller votre ordinateur portable afin de détecter les événements ouverts et vous avertir en temps réel, via une photographie par exemple.

Chiffrement, Communiqué de presse, cryptage, Cybersécurité, Mise à jour, Securite informatique

L’audit de fichier : quel rôle pour une bonne conformité ?

Les mandats de conformité ont tous un point en commun, la volonté de sécuriser des données protégées. Pour ce faire, il ne faut permettre l’accès à certaines données qu’à ceux qui en ont besoin pour des raisons professionnelles. Pour pouvoir prouver aux auditeurs que c’est le cas pour les données protégées de votre organisation, il faut avoir une certaine visibilité sur qui a accès, qui utilise l’accès, et quelles actions sont effectuées sur les données protégées. Comment utiliser l’audit de fichier pour la conformité ? La société IS Decisions revient sur cette problématique en plusieurs questions comme « Faut-il utiliser une solution tierce ou un outil natif ? » ou encore « Comment garantir la conformité« .

Android, Antivirus, APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Logiciels, Piratage, ransomware, Sécurité, Securite informatique, Smartphone, Virus

Les malwares les plus actifs en France en juillet 2018

3 commentaires

Le Global Threat Index pour le mois de juillet 2018 affiche le top 10 des virus et codes malveillants les plus répandus en France.

Ce dernier rapport virus et malware met en lumière l’augmentation des attaques ciblant l’IoT et la vulnérabilité des réseaux, comme en témoigne l’entrée dans le Top 10 des « Vulnérabilités les plus exploitées au monde » de 3 vulnérabilités en lien avec l’IoT : MVPower DVR router Remote Code Execution (5ème place), D_Link DSL-2750B router Remote Command Execution (7ème place) et Dasan GPON router Authentication Bypass (10ème place).

Au total, ce sont 45% des entreprises du monde entier qui ont été touchées par des attaques ciblant des vulnérabilités en lien avec l’IoT, contre 35% en juin 2018 et 21% en mai. Ces dernières permettent aux cybercriminels d’exécuter des codes malveillants dans le but d’obtenir le contrôle à distance de dispositifs cibles.

Point d’entrée facile

« Ces vulnérabilités, malwares et et virus offrent aux cybercriminels un point d’entrée facile dans les réseaux d’entreprise, ce qui leurs permet de propager un large éventail d’attaques « , a commenté Thierry Karsenti, vice-président technique Europe pour Check Point. « Une fois qu’un dispositif est compromis, il est très facile d’infiltrer d’autres dispositifs connectés. Il est donc essentiel que les entreprises se protègent efficacement et à tous les niveaux.« 

Il est important de noter que Coinhive reste le « malware » le plus répandu dans le monde, avec un impact sur 19% des entreprises mondiales. Cryptoloot et Dorkbot se classent respectivement en deuxième et troisième position, avec un impact global de 7% chacun. Pour rappel, CoinHive n’a rien d’illégal. C’est son utilisation par des malveillants qu’il faut montrer du doigt.

Top 10 des virus et malwares

Nom du malware Description Impact mondial Impact sur le pays
1 – Coinhive Ce cheval de Troie est conçu pour effectuer l’extraction en ligne de la crypto-monnaie Monero lorsqu’un internaute visite une page Web. Le script java implanté utilise les ressources informatiques des utilisateurs finaux pour extraire de la monnaie cryptée. 18.60% 16.02%
2 – Roughted Campagne de publicité malveillante à grande échelle, elle est utilisée pour diffuser divers sites Web et charges embarquées malveillants tels que des escroqueries, des logiciels publicitaires, des kits d’exploitation de vulnérabilité et les logiciels de rançon. Il peut être utilisé pour attaquer n’importe quel type de plateforme et de système d’exploitation, et utilise le contournement des bloqueurs de publicités pour attaquer de la manière la plus efficace. 5.85% 11.60%
3 – Cryptoloot Ce malware utilise la puissance du processeur ou du GPU de la victime et les ressources existantes pour le crypto-mining, en ajoutant des transactions à la chaîne de blocage et en libérant de nouvelles devises. Similaire à Coinhive, ce programme est implanté sur des pages Web et utilise le pouvoir de traitement des internautes pour exploiter tous types de crypto-monnaies. 92829 6.92% 7.07%
4 – Conficker Conficker est un virus / ver informatique qui cible le système d’exploitation Windows. Il exploite les vulnérabilités de l’OS pour voler des données telles que des mots de passe. Ainsi, il prend le contrôle des ordinateurs touchés, les transformant en « zombie ». Les ordinateurs contrôlés forment alors un réseau, utile aux hackers. 3.50% 4.09%
5 – Jsecoin Ce mineur JavaScript peut être intégré à n’importe quel site Web.  JSEcoin permet de lancer un mineur directement dans le moteur de recherche en échange d’une navigation Web sans publicité. 5.92% 3.76%
6 – Dorkbot Dorkbot est un virus / ver basé sur un IRC conçu pour permettre l’exécution de code à distance, ainsi que le téléchargement de logiciels malveillants vers le système déjà infecté. Ce dernier permet de voler des informations sensibles et de lancer des attaques par déni de service. Il installe un rootkit en mode utilisateur pour empêcher l’affichage ou l’altération des fichiers et modifie le registre pour s’assurer qu’il s’exécute chaque fois que le système démarre. Il enverra des messages à tous les contacts de l’utilisateur infecté ou détournera un thread existant pour diffuser un lien renvoyant vers la copie du ver. 6.91% 2.98%
7 – Locky Locky est un cheval de Troie ransomware qui cible la plate-forme Windows. Ce logiciel malveillant envoie des informations système à un serveur distant et reçoit une clé de cryptage permettant de crypter les fichiers présents sur le système infecté. 1.72% 2.10%
8 – Fireball Fireball est un logiciel publicitaire largement distribué par la société chinoise de marketing numérique Rafotech. C’est un détourneur de navigateur qui change le moteur de recherche par défaut et installe des pixels de suivi, mais qui peut aussi servir à télécharger des logiciels malveillants. 3.02% 1.99%
9 – Nivdort Appartenant à la famille de chevaux de Troie ciblant la plate-forme Windows, il est capable de recueillir des mots de passe et des informations sur le système ou les paramètres telles que la version Windows utilisée, l’adresse IP, la configuration du logiciel et l’emplacement approximatif. Certaines versions de ce malware sont aussi en mesure de collecter les frappes de touches afin de modifier les paramètres DNS. Nivdort se propage via des pièces jointes de courriers indésirables ou des sites Web malveillants. 2.57% 1.88%
10 – Andromeda Repéré pour la première fois en 2011, Andromeda est un bot modulaire principalement utilisé comme porte dérobée afin de diffuser des logiciels malveillants supplémentaires sur les systèmes infectés. Il peut aussi être modifié dans le but de créer différents types de botnets. 6.35% 1.66%
10b – Ramnit Ramnit est un ver qui se propage principalement par l’intermédiaire de disques amovibles et de fichiers téléchargés vers des services FTP publics. Le logiciel malveillant crée une copie de lui-même pour infecter le système. 2.71% 1.66%

 

Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Particuliers, Securite informatique, Vie privée

Assurance cybersécurité

2 commentaires

Alors que le marché de l’assurance cybersécurité est déjà bien développé outre Atlantique, il peine à mûrir en France. Les entreprises françaises n’ont sans doute pas encore pris conscience de l’importance des risques liés la cybersécurité. Et pourtant, en 2017, 79% des entreprises ont été victimes d’une cyberattaque[1].

Avec le développement des activités commerciales sur Internet, les risques liés au piratage ou au vol de données n’ont jamais été aussi grands. D’où la nécessité, presque indispensable, de se prémunir face aux risques qui en découlent. Par ailleurs, la nouvelle réglementation européenne RGPD (Règlement Général sur la Protection des Données, qui entrera en application en 2018) prévoie des amendes infligées aux entreprises en cas de fuite de données massive, pouvant aller jusqu’à 20 millions d’euros. En outre, ce règlement prévoie une obligation de notification élargie en cas d’atteinte aux données d’une entreprise, et ce, qu’elle que soit son activité ou sa taille. Or, aucune entreprise n’est à l’abri des cyber-attaques comme le prouvent les attaques récentes sur Sony, Uber, Renault ou encore Orange.


Imaginez donc… Un lundi matin, en ouvrant vos emails, un virus s’installe sur le réseau informatique de votre agence. Le réseau est maintenant bloqué et toutes les données sont inaccessibles. Il vous faut payer la rançon réclamée pour les récupérer. Malheureusement, ces scénarios de cyber-extorsion sont de plus en plus communs et susceptibles de nuire grandement à une entreprise. Cependant, grâce à une assurance Cybersécurité, les frais liés à la récupération de vos données peuvent être pris en charge.

Dans sa mission d’accompagner les professionnels de l’immobilier, Galian apporte une solution exhaustive pour assurer les données, le chiffre d’affaires et la e-réputation de ses clients-sociétaires:
l’assurance cybersécurité.

Cette assurance a été développée dans le but protéger les entreprises faces aux risques liés au vol d’identité, à la fuite de données et à l’e-réputation.

En effet, un professionnel de l’immobilier renferme dans ses systèmes des données sensibles liées à son activité (fichiers clients, comptes clients, processus, données personnelles, etc.). En tant que
professionnel de l’immobilier vous êtes exposé à la perte, la destruction ou le vol de ces mêmes données. Vous risquez également une impossibilité d’exercer suite à un blocage de votre système
informatique (ex: menace d’extorsion, virus, etc.)

L’assurance cybersécurité offre une indemnisation en cas de pertes liées à une interruption de votre activité suite à une cyber-attaque. Le déclenchement des garanties se fait par simple appel à la
plateforme d’assistance. En cas de cyber-incidents, Galian vous met en relation avec des experts qui vous accompagnent depuis la découverte de l’incident jusqu’à sa réparation. En cas de crise, vous disposez également de l’appui de cabinets d’avocats qui vous aideront à prendre les meilleures décisions pour assurer la pérennité de votre activité. Ainsi, les impacts financiers sont limités et,
grâce aux conseils d’experts, vous aurez la possibilité de mettre en oeuvre une stratégie de communication pour protéger votre e-réputation.

Enfin, Galian propose différentes formules d’assurance, avec différents plafonds annuels de garanties selon le chiffre d’affaires global de l’entreprise. Les offres sont donc adaptées selon les besoins de l’entreprise. 

En conclusion, se protéger face à la cybercriminalité est devenu une nécessité incontournable pour les entreprises. La nouvelle réglementation bientôt en vigueur et les risques liés à une cyber-attaque sont trop importants pour être négligés. Grâce à l’assurance contre le risque de cybercriminalité de Galian, les professionnels bénéficient dorénavant d’une couverture complète contre les cybers risques, minimisant les dégâts financiers liés à votre activité en ligne.

[1] Source : CESIN : Club des experts de la sécurité, de l’information et du numérique

 

APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Hacking, Piratage, Securite informatique

TEMP.Periscope : Des pirates Chinois, amateurs d’éléctions présidentielles ?

4 commentaires

Il n’y aurait pas que les pirates Russes amateurs d’éléctions ? Le groupe d’espionnage chinois TEMP.Periscope cible le Cambodge avant les élections de juillet 2018, et révèle un large éventail d’activités au niveau mondial.

TEMP.Periscope – La société américaine FireEye, une des « sources » des médias concernant les « pirates Russes« , annonce avoir examiné une série d’activités du groupe d’espionnage chinois TEMP.Periscope, qui révèlent un intérêt majeur pour les événements politiques au Cambodge, illustré par des cyber attaques actives contre de multiples acteurs cambodgiens liés au système électoral du pays. Ceci comprend des cyber attaques contre des entités gouvernementales cambodgiennes chargées du contrôle des élections, ainsi que le ciblage de figures de l’opposition. Cette campagne a lieu alors que se préparent les élections générales dans le pays, qui auront lieu le 29 juillet prochain. TEMP.Periscope a utilisé la même infrastructure pour une série d’activités visant des cibles plus traditionnelles, dont l’industrie de la défense aux Etats Unis et une société de l’industrie chimique en Europe. Voir notre article précédent consacré au ciblage par le même groupe de sociétés d’ingénierie et de transport maritime aux Etats Unis.

Gloabalement, selon FireEye, cette activité indique que le groupe exploite une importante architecture d’intrusion et un large éventail d’outils, et cible des victimes très diverses, ce qui est en ligne avec la stratégie traditionnelle des acteurs chinois en matière d’APT (menaces persistantes avancées). Nous pensons que cette activité fournit au gouvernement chinois une visibilité étendue sur les élections cambodgiennes et les actions du gouvernement de ce pays. De plus, ce groupe est clairement capable de mener simultanément plusieurs intrusions à grande échelle ciblant un large éventail de types de victimes.

Notre analyse a également renforcé notre affirmation que ces activités peuvent être attribuées à ce groupe de pirates chinois. Nous avons observé les outils que nous avions précédemment attribués à ce groupe, les cibles visées sont en ligne avec ses actions passées et sont également très similaires aux operations APT connues menées par le Chine. En outre, une adresse IP originaire de Hainan en Chine a été enregistrée pour des activités C2 (command and control).

TEMP.Periscope en bref

Actif depuis au moins 2013, TEMP.Periscope s’est principalement intéressé à des cibles du secteur maritime dans de nombreux domaines, dont l’ingénierie, le transport, la fabrication, la défense, les agences gouvernementales et la recherche universitaire. Toutefois, le groupe a également ciblé des services de consulting et les industries high tech, de la santé et des medias. Ses cibles identifiées sont principalement basées aux Etats Unis, même si des organisations en Europe et au moins une à Hong Kong ont également été touchées. TEMP.Periscope coincide en termes de ciblage, ainsi que de tactiques, techniques et procédures (TTPs), avec le groupe TEMP.Jumper.

Description de l’incident

FireEye a analysé trois serveurs qu’il pense être contrôlés par TEMP.Periscope, ce qui lui a permis d’obtenir des informations sur les objectifs et les tactiques opérationnelles du groupe, ainsi qu’un grand nombre de données techniques d’attribution/validation. Ces serveurs était “open indexés” et donc accessibles par quiconque sur l’Internet public, sans exiger la moindre identification. Ce type d’erreur permet d’obtenir des informations intéressantes sur les activités d’un groupe car, à la différence de données contenues dans des messages de spear phishing, des acteurs malveillants n’anticipent pas que ces données puissent être analysées. L’analyse de FireEye couvre la période allant d’avril 2017 jusqu’à aujourd’hui, la plupart des opérations actuelles étant concentrées sur les élections au Cambodge. Pour l’heure, nous retenons les domaines concernés.

Deux serveurs, Domain 1 et Domain 2, fonctionnent comme des serveurs C2 et des sites d’hébergement traditionnels, alors que le troisième, Domain 3, fonctionne comme un serveur SCANBOX actif. Les serveurs C2 contenaient à la fois les logs et le malware. Une étude des trois serveurs a révélé une adresse IP d’un acteur potentiel située à Hainan en Chine, et des données volées provenant d’attaques potentielles ciblant d’autres industries et secteurs dont l’éducation, l’aviation, la chimie, la défense, les administrations gouvernementales, le monde maritime et le high tech dans de multiples régions du monde. Les fichiers sur les serveurs comprenaient des malwares nouveaux (DADBOD, EVILTECH) et précédemment identifiés (AIRBREAK, EVILTECH, HOMEFRY, MURKYTOP, HTRAN, and SCANBOX ) utilisés par TEMP.Periscope.

Attaques sur les entités liées aux élections cambodgiennes

L’analyse des logs des victimes associées avec les serveurs identifiés a révélé des attaques ciblant de multiples entités cambodgiennes, principalement celles liées aux élections de juillet 2018. De plus, un email de spear phishing séparé analysé par FireEye a mis en évidence une action simultanée ciblant des figures de l’opposition au Cambodge. L’analyse a révélé que des organisations gouvernementales cambodgiennes et des individus ciblés avaient été attaqués comme la Commission Nationale des Elections, Ministère de l’Intérieur, Ministères des Affaires Etrangères et de la Coopération Internationale, Sénat du Cambodge, Ministère de l’Economie et des Finances. Des membres du Parlement représentant le Parti cambodgien du Sauvetage National. De multiples personnalités cambodgiennes partisans des droits de l’homme et de la démocratie ayant écrit des articles critiquant le parti actuellement au pouvoir. Deux diplomates cambodgiens en poste à l’étranger et de multiples organes de presse au Cambodge.

Le Domain 2 a été identifié comme le serveur C2 pour un malware AIRBREAK attaché à un message leurre envoyé à Monovithya Kem, Directeur Général Adjoint, Affaires Publiques, Parti Cambodgien du Sauvetage National (CNRP), et à la soeur de Ken Sokha, leader (emprisonné) d’un parti cambodgien de l’opposition. Le document leurre prétend provenir de LICADHO (une ONG cambodgienne fondée en 1992 pour promouvoir les droits de l’homme).

Une infrastructure également utilisée pour des opérations contre des entreprises privées

’infrastructure décrite plus haut a également été utilisée contre des entreprises privées en Asie, en Europe et en Amérique du Nord. Ces entreprises appartiennent à des industries très diverses, dont l’éducation, l’aviation, la chimie, le monde maritime et le high tech. Beaucoup de ces attaques sont en ligne avec les activités précédentes de TEMP.Periscope en direction des secteurs du maritime et de la défense. Toutefois, nous avons également découvert une attaque visant une société européenne dans la chimie très implantée en Asie, ce qui démontre que ce groupe est une menace pour des entreprises partout dans le monde, et particulièrement celles ayant des intérêts en Asie.

Un malware MURKYTOP de 2017 et des données contenues dans un fichier lié au domain 1 suggère qu’une entreprise impliquée dans l’industrie de la défense aux Etats Unis, peut être en lien avec la recherche maritime, a également été attaquée. De plus, des attaques probables d’une entreprise du secteur américain de la défense et d’une entreprise européenne dans la chimie ayant des bureaux en Asie ont été découvertes sur les serveurs “open indexés”.

Les Downloaders et Droppers AIRBREAK révèlent des indicateurs leurres

Les noms de fichiers pour les downloaders AIRBREAK trouvés sur les sites “open indexés” suggèrent aussi un intérêt marqué pour des cibles associées à la géopolitique liée à l’Asie orientale. De plus, l’analyse des sites downloaders AIRBREAK a révélé un serveur associé qui souligne l’intérêt de TEMP.Periscope pour la politique au Cambodge. Les downloaders AIRBREAK redirigent les victimes vers les sites indiqués pour afficher un document légitime mais leurre tout en téléchargeant un contenu malveillant AIRBREAK à partir d’un des serveurs C2 identifiés. A noter que le site hébergeant les documents légitimes n’a pas été compromis. Un domaine C2 supplémentaire, partyforumseasia[.]com, a été identifié comme la fonction de rappel (callback) pour un downloader AIRBREAK référençant le Parti Cambodgien du Sauvetage National.

Le serveur SCANBOX utilisé pour prévoir des opérations futures

e serveur SCANBOX actif, Domain 3, héberge des articles liés à la campagne actuelle au Cambodge et à des opérations plus larges. Les articles trouvés sur le serveur indiquent le ciblage d’intérêts liés à la géopolitique Etats Unis – Asie orientale, à la Russie et à l’OTAN. Les victimes sont probablement attirées sur le serveur SCANBOX soit via une attaque stratégique de site web soit via des liens malicieux dans des emails ciblés, l’article étant présenté comme un leurre. Les articles proviennent de contenus open source disponibles directement en ligne.

La suite de malwares de TEMP.Periscope

L’analyse du catalogue de malwares contenus sur les trois serveurs révèle une suite classique de contenus malveillants utilisés par TEMP.Periscope, dont les signatures d’AIRBREAK, MURKYTOP, et de HOMEFRY. De plus, l’enquête de FireEye a révélé de nouveaux outils, EVILTECH et DADBOD.

Les données contenues dans les logs renforcent l’attribution à la Chine

FireEye suit les activités de TEMP.Periscope depuis 2013 et de multiples facteurs nous conduisent à affirmer qu’il agit au nom du gouvernement chinois. Notre analyse des serveurs et des données associées dans cette dernière campagne renforcent cette affirmation. Les données du log d’accès au panneau de contrôle indique que les opérateurs sont probablement basés en Chine et travaillent sur des ordinateurs fonctionnant en langue chinoise. Les cibles historiques de TEMP.Periscope restent cohérentes avec les objectifs du gouvernement chinois, et les outils qu’il utilise sont cohérents avec ceux utilisés par de nombreuses autres équipes chinoises. Un log sur le serveur a révélé des adresses IP qui avaient été utilisées pour se connecter au logiciel employé pour communiquer avec le malware implanté sur des machines victimes. L’une de ces adresses IP, 112.66.188.xx, est située à Hainan, en Chine. D’autres adresses appartiennent à des serveurs virtuels privés, mais des éléments indiquent que les ordinateurs utilisés pour se connecter sont configurés pour fonctionner en chinois.

Perspectives et Implications

Les operations révélées ici fournissent un nouvel éclairage sur les activités de TEMP.Periscope. Nous connaissions déjà l’intérêt de cet acteur pour les affaires maritimes, mais cette campagne malveillante apporte des indications supplémentaires indiquant que ce groupe va cibler le système politique de pays possédant une importance stratégique. Le Cambodge a été un supporter fiable de la position de la Chine dans le Sud de la Mer de Chine au sein de forums internationaux tels que l’ASEAN, et figure parmi les partenaires importants du pays. Bien que le Cambodge soit classé comme Autoritaire dans le Democracy Index de The Economist, le récent renversement surprise du parti au pouvoir en Malaisie peut motiver la Chine à surveiller étroitement les élections du 29 juillet au Cambodge.

Le ciblage de la commision électorale est particulièrement significatif, en raison du rôle stratégique qu’elle joue pour inciter les gens à voter. Nous n’avons pas encore suffisamment d’informations expliquant pourquoi cette organisation a été attaquée – simplement pour récolter des informations ou dans le cadre d’une opération plus complexe. Quelle que soit la raison, cet incident est l’exemple le plus récent de l’implication aggressive d’un état nation dans les processus électoraux dans le monde. Bien que des activités liées à des élections aient seulement été découvertes en Asie du Sud Est, ce serait une erreur d’assumer que ces menaces ne peuvent pas se reproduire ailleurs.

Nous pensons que TEMP.Periscope va continuer à cibler un large éventail d’entités gouvernementales, d’organisations internationales et d’entreprises privées, particulièrement celles travaillant dans l’ingénierie ou des processus chimiques utilisés par des navires. Nous ne pensons pas qu’il va modifier beaucoup voire même un seul élément révélé par cette enquête, mais il continuera probablement à développer de nouvelles architectures d’intrusion via de nouveaux domaines, sites compromis, certificats et outils. FireEye prévoit que ces intrusions vont se poursuivre et monter en puissance aussi longtemps que le groupe y trouvera un intérêt.

Base de données, cryptomonnaie, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle, Securite informatique

cyberattaque : 13% des chefs d’entreprise s’estiment mieux armés contre le risque cyber en tirant les leçons des sinistres du passé

Un commentaire

Une étude mondiale menée par « The Economist Intelligence Unit (EIU) » et sponsorisée par Willis Towers Watson, révèle que les dirigeants restent dubitatifs sur la réelle mise en œuvre de solutions correctrices à la suite d’une cyberattaque.

D’après les résultats de la récente enquête publiée par « The Economist Intelligence Unit » (EIU), réalisée avec le concours de Willis Towers Watson, en matière de cyber risques, la grande majorité des dirigeants dans le monde considère que leur entreprise ne tire pas assez de leçons du passé. L’EIU a interrogé plus de 450 entreprises du monde entier au sujet de leurs stratégies appliquées et aux défis rencontrés dans l’élaboration d’organisations « cyber-résilientes ». D’un côté, la plupart des sociétés se considèrent réactives et efficaces pour répondre à un sinistre cyber. De l’autre, seules 13% d’entre elles se déclarent réellement performantes, et ce car elles prennent en compte les leçons tirées des incidents du passé dans leurs stratégies de cyber-résilience.

L’enquête a par ailleurs révélé que les administrateurs et les dirigeants trouvent rarement d’accord sur les réponses à apporter au risque cyber. Comment rendre l’organisation cyber-résiliente ? Avec quels fonds financer les investissements ? Quelles sont les entités de l’entreprise les plus risquées ?
La vision de ce qu’est la préparation au risque cyber est également variable selon les zones géographiques. Les entreprises d’Amérique du Nord contrastent fortement avec leurs homologues asiatiques et, dans une certaine mesure avec l’Europe. Ces dernières appréhendent différemment la fréquence et l’impact des attaques cyber et s’affirment plus confiantes dans leur capacité à surmonter une intrusion dans leur système.

Parmi les autres conclusions clés du rapport, les dépenses des entreprises en cyber-résilience représentent environ 1,7% de leurs revenus et 96% des membres du conseil d’administration considèrent que ce montant est insuffisant. Les entreprises nord-américaines sont celles qui dépensent le plus pour se protéger des risques cyber (2 à 3% des revenus contre 1 à 2%, voire moins, pour les autres régions). Aucune solution de cyber-protection ne se démarque des autres. Les investissements dans les technologies de cyber-défense et le recrutement de compétence IT spécifiques obtiennent des scores comparables. 3 régions sur 4 estiment que la supervision du risque cyber doit être confiée au « conseil d’administration dans son ensemble ». Seule l’Europe se distingue en confiant cette responsabilité à une équipe dédiée à ce risque.

Pour Anthony Dagostino, Responsable Monde de l’activité cyber chez Willis Towers Watson, « il est important que les entreprises comprennent que résister au risque cyber n’est pas facultatif. La gestion de cette menace reste encore trop confinée à certains rôles alors qu’elle relève de la responsabilité de tous. Le conseil d’administration devrait mettre en évidence les besoins d’avoir un cadre formel pour contrer la menace cyber et les dirigeants de l’entreprises devraient mettre en œuvre ce cadre en impliquant toutes les parties, de la DSI, à la gestion des risques, en passant par le département juridique, la mise en conformité… »

Guillaume Deschamps, Directeur des Lignes Financières (FINEX) en France, ajoute : « les entreprises ont besoin d’une gestion du risque beaucoup plus intégrée qu’elle ne l’est aujourd’hui. S’il est vrai que la technologie continuera à jouer un rôle crucial dans la défense les entreprises, n’oublions pas que plus de la moitié des intrusions sont dues à des mauvais réflexes des collaborateurs et au manque de compétences dans les équipes en charge de la protection cyber. C’est pourquoi il faut que les entreprises mettent les investissements dans la sensibilisation de leur capital humain et la souscription de contrats d’assurances cyber à l’ordre du jour de leur conseil d’administration ».

Base de données, Cybersécurité, Entreprise, ID, Identité numérique, loi, Mise à jour, Particuliers, RGPD, Securite informatique

HMA! renforce la vie privée des internautes et permet l’accès à du contenu restreint en ligne

Quand le RGPD restreint la liberté d’expression ! En mai dernier, le Règlement Général sur la Protection des Données (RGPD) est entré en vigueur, offrant plus de transparence sur la collecte des données et des droits plus importants en termes de vie privée pour les Européens. Pourtant, comme le révélait alors une récente étude menée par HideMyAss!, près de la moitié des français (48 %) ne considèrent pas la vie privée comme un droit fondamental.

Le RGPD restreint la liberté d’expression ? Ils sont cependant 66 % à penser que le gouvernement, les fournisseurs d’accès à internet et les services de police peuvent accéder, à leur insu, à l’historique des sites qu’ils ont visité, et de leurs activités en ligne.

Pour répondre aux besoins des consommateurs soucieux du respect de leur vie privée, HMA! propose une couche d’anonymat supplémentaire lors de la navigation en ligne via son service gratuit Proxy Web. Cette fonctionnalité permet de masquer l’adresse IP d’un internaute et de lui en attribuer une nouvelle, afin d’acheminer le trafic web vers d’autres serveurs et adresses IP. Cela signifie que son adresse IP, qui représente également son identité en ligne, devient beaucoup plus difficile à repérer ou à suivre. En outre, la toute dernière version de HMA! est fournie via le protocole HTTPS, garantissant ainsi le cryptage des activités en ligne.

Elle permet également d’accéder à du contenu restreint. Un citoyen Européen pourra par exemple lire le Los Angeles Times, le New-York Daily News ou encore le Chicago Tribune, grâce à l’utilisation du Proxy Web. Impossible en effet de faire sans, car ces médias ont bloqué l’accès aux internautes basés en Europe, suite à l’entrée en vigueur du RGPD.

Un Proxy Web n’a cependant pas les mêmes fonctions qu’un réseau privé virtuel (VPN). Ce dernier devra en effet être envisagé par un internaute s’il recherche un anonymat en ligne avancé et une protection contre les regards indiscrets. En revanche, dans le cas où il veut se procurer un outil lui permettant de contourner la « censure locale » et de bénéficier d’un niveau convenable de confidentialité lors de sa navigation sur Internet, un Proxy Web constitue un bon point de départ.

backdoor, Bitcoin, Chiffrement, Cybersécurité, Securite informatique, Social engineering

Plus fort qu’un ransomware, le cryptominage devient le summum du lucratif

Un commentaire

À la différence d’un rançongiciel, ou ransomware, qui exige la participation des victimes, le cryptominage pirate, ou cryptojacking,est très difficile à détecter et s’exécute sur les systèmes informatiques quasiment à l’insu de leurs utilisateurs.

La cybercriminalité est une activité extrêmement lucrative : cette économie florissante génèrerait chaque année, si l’on en croit de récentes estimations, 1 500 milliards de dollars de recettes. Un montant astronomique dont les cybercriminels font leurs choux gras, d’autant plus que le retour sur investissement maximal est obtenu au prix d’un minimum d’efforts et que les risques de sanctions encourues sont quasi-nuls.

Dans ce contexte, il n’est guère surprenant que le cryptojacking, c’est-à-dire l’emploi non autorisé des ressources informatiques d’un tiers pour fabriquer (ou miner) de la cryptomonnaie, ait ravi au ransomwarela première place au classement des outils favoris des cybercriminels Le ransomware a en également souffert de la volatilité du BitCoin avec son modèle économique basé sur des attaques rapides et répétées ciblant des paiements modiques

Alliés à la recherche continue de nouvelles techniques d’attaques toujours plus rentables, ce contexte a hissé le cryptojackingen tête des enjeux de sécurité informatique en 2018, que ce soit pour les entreprises ou les particuliers. Examinons en détail les facteurs à l’origine de ce basculement.

Rentabilité accrue

Unis dans le minage… Sachant que la capitalisation boursière des cryptomonnaies avoisine les 500 milliards de dollars, le cryptojackings’avère extrêmement intéressant pour les cybercriminels : il ne nécessite pas de compétences techniques poussées et, contrairement aux rançongiciels, offre une rentabilité potentielle de 100 %. Une fois compromise, la machine infectée peut aussitôt s’atteler au minage de cryptomonnaie en mode furtif, indépendamment de sa puissance de traitement ou de sa localisation géographique : même les systèmes d’entrée de gamme servent cette cause puisque c’est l’envergure du réseau de machines compromises et, par conséquent, la puissance de calcul totale qui importent vraiment. De plus, si les assaillants réfrènent leurs ardeurs et adaptent leur programme de minage de manière à ne pas ponctionner l’intégralité des ressources processeur (jusqu’à mettre hors service votre appareil sous Android), l’attaque peut se poursuivre par des moyens détournés et passer inaperçue durant un long moment.

Surface d’attaque omniprésente

Une plate-forme de minage unique… L’omniprésence de la surface d’attaque représente un autre aspect important. Qui que vous soyez, où que vous vous trouviez, le minage est à votre portée… Peu importe que le « mineur », ce composant malveillant, soit injecté dans un appareil mobile, un ordinateur personnel, un serveur, une instance dans le cloud, voire un objet connecté (appareil photo, réfrigérateur ou ventilateur). Quel que soit le système d’exploitation, les assaillants peuvent tirer parti de ses cycles processeur à des fins illégitimes. Même des objets connectés dotés d’une puissance de traitement limitée peuvent faire l’affaire : le botnet Mirai nous a appris ce dont sont capables des réseaux IoT œuvrant de concertpar milliers, simultanément. Et ce n’est pas une coïncidence si une variante a été testéepour le minage de cryptomonnaie ; ce même botnet a d’ailleurs donné naissance à Satori, un fork infectant les plates-formes de minage pour mieux dérober les identifiants à leurs propriétaires. De fait, le piratage de multiples objets connectés s’avère lucratif : d’après de récentes estimationsl’infection de 15 000 accessoires connectés à Internet permet de fabriquer l’équivalent de 1 000 dollars en cryptomonnaie en quatre jours seulement. Pas mal du tout, sachant que d’ici à 2020, il faudra composer avec plus de 20 milliardsd’objets connectés.

Mécanismes d’infections multiples

Tous les chemins mènent à la mine… La rentabilité élevée et l’omniprésence de la surface d’attaque ne sont pas les seuls facilitateurs du cryptojacking. Étant donné que des « mineurs » malveillants peuvent être injectés dans la quasi-totalité des appareils, de multiples vecteurs d’infections peuvent être utilisés : les attaques par force brute, les vulnérabilités non corrigées ou les sites web compromis (cryptominage furtif) font partie des techniques employées jusqu’à présent. Jetez un œil à lachronologiedes cyberattaques relevées mensuellement, et vous serez surpris par la créativité dont font preuve les assaillants toujours soucieux de trouver de nouveaux moyens de perpétrer des attaques de type cryptojacking.

La compromission des serveurs s’exerce de diverses manières pour l’injection de « mineurs » : depuis les attaques « classiques » par force brute utilisant des authentifiants par défaut (exemple d’une campagne récente ciblant plusieurs milliers de sites Magento) jusqu’à l’exploitation de vulnérabilités non corrigées sur Oracle WebLogic (CVE 2017-10271), Apache Struts (CVE-2017-5638), DotNetNuke (CVE-2017-9822), OrientDB (CVE-2017-11467), Jenkins CI (CVE-2017-1000353), les serveurs JBoss (CVE-2017-12149) et Apache Solr (CVE-2017-12629), entre autres exemples.

Les vulnérabilités non corrigées servent également à la compromission de clients, créant de nouvelles machines esclaves pour les botnets cryptomineurs. Le botnet Smomirnu et le maliciel Wannamine sont deux exemples de menaces exploitant la triste célèbre vulnérabilité EternalBlue (CVE-2017-144) pour se propager. Même des logiciels malveillants existants peuvent être réécritspour miner de la cryptomonnaie, ou pour ajouter cette « fonctionnalité » à d’autres.

En réalité, les postes clients sont encore plus exposés puisqu’ils peuvent miner des cryptodevises rien qu’en consultant une page web hébergeant un mineur JavaScript ; c’est le cas de Coinhive, qui mine une cryptomonnaie baptisée Monero (XMR). La principale raison est que, hormis la préservation de l’anonymat assurée par cette blockchain, l’algorithme servant au calcul des hashcodes, baptisé Cryptonight, a été conçu pour une exécution optimale avec des processeurs grand public(quelle coïncidence !). Une occasion bien trop favorable pour ne pas être saisie par des criminels constamment aux aguets, en quête de vulnérabilités leur permettant d’injecter Coinhive : Los Angeles Timeset Blackberry Mobilesont deux exemples de sites web de renom ayant été compromis à cette fin en 2018. Sans parler des discrètes options d’opt-in proposées par Coinhive qui n’ont jamais été respectées dans ces cas de figure.

Pour autant, il ne s’agit là que de la partie émergée de l’iceberg, l’ampleur, l’omniprésence et la constance des campagnes de cryptominage pirate ne faisant que se renforcer au fil de vos pérégrinations sur Internet. Le mode opératoire aujourd’hui adopté par les cybercriminels est du même ordre que la publicité malveillante (minevertising), se caractérisant par l’injection de code Coinhive dans des publicités diffusées par des plates-formes telles qu’AOL ou Google DoubleClick (deux exemples se sont produits en 2018). Que l’utilisateur quitte la page compromise ou ferme son navigateur (ou, du moins, pense le fermer) n’a même aucune importance puisque le code malveillant peut être dissimulé dans une minuscule fenêtre non sollicitée s’affichant à l’arrière-plan (« pop-under »), derrière la barre des tâches Windows, le rendant omniprésent et invisible à l’utilisateur. Dans certains cas, des extensions malveillantes de navigateur ont également injecté(es)Coinhive directement dans ce dernier.

Rôle du cloud

Le soleil finit toujours par percer les nuages… Sur la listedes cinq attaques les plus dangereuses présentée par le SANS Institute lors de la dernière RSA Conference figurent à la fois les fuites de données stockées dans le cloud et la monétisation des systèmes compromis via des cryptomineurs. Les fuites dans le cloud sont souvent la conséquence de configurations inadéquates (autorisations inappropriées ou absence de protection adéquate par mot de passe). Outre le vol de données, ces mêmes erreurs de configurations peuvent être mises à profit par des escrocs pour faire monter en régime leurs propres instances et miner ainsi de la cryptomonnaie aux dépens de la victime, en ayant la quasi-certitude que cette dernière ne détecte rien. Du moins jusqu’à ce qu’elle reçoive sa facture d’électricité. La redoutable association des deux techniques d’attaques répertoriées par le SANS Institute a d’ores et déjà fait certaines victimes de renom, comme Tesla, dont le cloud public a servi au minage de cryptomonnaie.
Il faut également composer avec d’autres risques. Les mineurs peuvent faire appel à des services cloud connus pour s’infiltrer plus rapidement au sein des entreprises (l’équipe Netskope Threat Research Labs a mis au jour un mineur Coinhive résidant sur une instance Microsoft Office 365 OneDrive for Business), ou se soustraire à la détection (commeZminerqui télécharge des charges utiles depuis le service de stockage cloud Amazon S3).

Recommandations d’ordre général

Quelques mesures peuvent être prises pour contrer la menace grandissante du cryptojacking.

1. Régir l’usage du web au moyen d’une plate-forme de protection contre les menaces effective à plusieurs niveauxcomme Netskope for Web, capable d’unifier la sécurité SaaS, IaaS et web de manière centralisée.

2. Détecter les cryptomineurs dans le cloud et y remédier, au moyen d’une solution CASBsensible aux menaces telle que Netskope : veiller au respect de règles régissant l’utilisation de services non autorisés, ainsi que d’instances non autorisées de services cloud autorisés afin de bloquer les attaques hybrides sur plusieurs niveaux dès lors que la charge utile est téléchargée d’un service cloud.

3. Exemples de règles à faire appliquer :
• Analyser tous les transferts opérés vers des applications cloud autorisées à partir d’équipements non administrés afin d’y rechercher d’éventuels logiciels malveillants.
• Analyser tous les transferts opérés vers des applications cloud autorisées à partir d’équipements distants afin d’y rechercher d’éventuels logiciels malveillants. Analyser tous les téléchargements effectués à partir d’applications cloud non autorisées dans cette même optique.
• Analyser tous les téléchargements effectués à partir d’instances non autorisées d’applications cloud autorisées afin d’y rechercher d’éventuels logiciels malveillants. Appliquer des actions de mise en quarantaine/blocage sur la détection de logiciels malveillants afin de réduire l’impact côté utilisateurs.
• Bloquer les instances non autorisées d’applications cloud autorisées/connues afin d’empêcher les assaillants d’abuser de la confiance des utilisateurs dans le cloud. Si cette mesure peut sembler restrictive, elle limite considérablement les tentatives d’infiltration de malwares via le cloud.

4. Déployer une solution CASB capable de réaliser une évaluation de sécurité continueet d’effectuer un suivi de votre configuration IaaS/PaaS. Autrement dit de prendre en compte les configurations d’infrastructure inadéquates et les vulnérabilités susceptibles d’entraîner des compromissions et l’installation ultérieure de cryptomineurs, ou d’instances malveillantes destinées au minage de cryptomonnaie.

5. Bien évidemment, faire en sorte de mettre en place un processus de gestion efficace des correctifs pour les clients et les serveurs. Vérifier que l’antivirus d’entreprise est à jour, et que les dernières versions et les derniers correctifs sont installés.

6. Favoriser l’utilisation responsable des ressources de l’entreprise :
• Rappeler aux utilisateurs de ne pas exécuter de macros non signées, ni des macros provenant d’une source non fiable, à moins qu’ils ne soient absolument certains de leur caractère inoffensif
• Rappeler aux utilisateurs de ne pas exécuter de fichier, à moins qu’ils ne soient absolument certains de leur caractère inoffensif
• Mettre en garde les utilisateurs contre l’ouverture de pièces jointes, quels que soient les extensions ou noms de fichiers

7. Les bloqueurs de publicités ou extensions de navigateur comme NoScriptpeuvent contribuer à mettre obstacle au cryptominage pirate. Certaines extensions de navigateur publiées récemment peuvent bloquer des mineurs JavaScript comme CoinHive ; prenez soin, néanmoins, de n’installer des extensions dignes de confiance, celles qui se révèlent douteuses étant également couramment employées pour injecter des cryptomineurs à l’intérieur du navigateur directement.

8. Les administrateurs peuvent créer des règles de pare-feu pour bloquer les pools de bitcoins dont il est question dans l’article Wikipedia. (Paolo Passeri, Global Solutions Architech chez Netskope)