Archives de catégorie : Entreprise

Actualités liées à la sécurité informatique des entreprises, PME, PMI, TPE, association, communes.

Arnaque, backdoor, BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, escroquerie, Fraude au président, Leak, Particuliers, Piratage, Social engineering, Vie privée

TOP 10 des méthodes de piratage

L’ingénierie sociale serait la méthode la plus utilisée, suivie par la compromission de comptes et les attaques web de type injections SQL/de commandes selon une étude de Balabit.

BalaBit, fournisseur européen de technologies de sécurité contextuelle, a présenté lors de la 15è édition des Assises de la Sécurité, les résultats d’une étude menée auprès des participants de la Black Hat en août dernier, conférence de référence mondiale en matière de sécurité de l’information. BalaBit a interrogé 349 professionnels de la sécurité afin de définir le top 10 des méthodes de hacking actuellement les plus populaires. Cette étude offre aux entreprises l’opportunité de mieux connaître leurs ennemis en identifiant les méthodes et les vulnérabilités les plus utilisées par les hackers lorsqu’il s’agit de s’attaquer à leurs données sensibles. Cette base de connaissance est la première étape fondamentale pour toute entreprise souhaitant mettre en place une stratégie de sécurité IT efficace, et cela quelque soit son secteur d’activité.

Attaquant interne ou externe ? Pas si évident…
Les menaces sont différentes et plus sophistiquées aujourd’hui et la frontière entre les menaces internes et externes est devenue très étroite. La majorité des attaquants externes tentent de pénétrer le réseau, d’acquérir des niveaux d’accès basiques et d’utiliser leurs droits pour petit à petit remonter jusqu’à des niveaux d’accès privilégiés. Dans la plupart des cas, ils restent invisibles dans le réseau pendant plusieurs mois, puisqu’ils parviennent à s’identifier comme des utilisateurs internes. Qu’en est-il des utilisateurs internes malveillants ? : Sont-ils conscients des conséquences de leurs actes lorsqu’ils partagent leurs identifiants ou lorsqu’ils cliquent sur des liens de phishing – dans ce cas, la fuite de données est-elle le résultat d’actions intentionnelles ou accidentelles ? Doivent-ils être considérés comme malveillants seulement si leur action était intentionnelle ? Cela a t-il vraiment beaucoup d’importance si la fuite de données est très grave ?

70% des personnes interrogées considèrent les menaces internes comme les plus risquées.
54% des personnes interrogées déclarent avoir très peur des hackers qui pénètrent au sein du réseau de l’entreprise via leur pare-feu, alors même que 40% d’entre elles déclarent qu’un pare-feu n’est pas assez efficace pour empêcher les hackers d’entrer.

Les participants ont également été interrogés sur les attaquants – internes ou externes – qu’ils considèrent les plus à risques : Les résultats soulignent un point important en vue de la définition d’une stratégie de défense efficace : 70% des personnes interrogées considèrent que les utilisateurs internes présentent le plus de risques (et seulement 30% estiment que les attaquants externes posent plus de risques). Une chose est sûre : les attaquants externes cherchent à devenir des utilisateurs internes, et les utilisateurs internes les aident pour y parvenir – accidentellement ou intentionnellement. Quelque soit la source de l’attaque, la liste des 10 méthodes de piratage les plus populaires -présentées ci-dessous – démontre qu’il est crucial pour les entreprises de savoir ce qu’il se passe sur leur réseau en temps réel. Qui accède à quoi ; est-ce le bon utilisateur derrière l’identifiant et le mot de passe ou est-ce un attaquant externe utilisant un compte compromis ?

Le top 10 des méthodes de piratage les plus utilisées :

1. Ingénierie sociale (ex : phishing).
2. Compromission de comptes (sur la base de mots de passe faibles par exemple).
3. Attaques web (ex : injection SQL/de commandes).
4. Attaques de clients de l’entreprise ciblée (ex: contre des destinataires de documents, navigateurs web).
5. Exploits avec des mises à jour de serveurs connus (ex: OpenSSL, Heartbleed).
6. Terminaux personnels non sécurisés (manque de politique de sécurité BYOD, datasecuritybreach.fr vous en parle très souvent).
7. Intrusion physique.
8. Shadow IT (utilisation personnelle de services Cloud à des fins professionnelles).
9. Attaque d’une infrastructure outsourcée en ciblant un fournisseur de services externe.
10. Attaque de données hébergées sur le Cloud (via l’IaaS, le PaaS).

Cyber-attaque, Cybersécurité, escroquerie, Fuite de données, Leak, Particuliers, Piratage, Propriété Industrielle, Social engineering

Etude : les cybercriminels se faisant passer pour des utilisateurs légitimes représentent le risque de sécurité le plus élevé

61% des répondants considèrent l’usurpation de comptes à privilèges comme l’attaque la plus difficile à contrer ; 44% s’estiment toujours en mesure d’empêcher les hackers d’infiltrer un réseau.

Les cyber-attaques consistant à pirater les comptes à privilèges et administratifs, c’est-à-dire les identifiants utilisés pour contrôler et utiliser l’infrastructure IT d’une organisation, constituent la principale menace de sécurité dans les entreprises, selon une récente étude conduite par CyberArk.

61% des personnes interrogées ont retenu l’usurpation de comptes à privilèges comme étant le type de cyber-attaque le plus difficile à contrer, contre 44% du même avis l’année dernière. En outre, 48% pensent que les violations de données résultent des mauvaises habitudes des employés en matière de sécurité, tandis que 29% attribuent ceci à la sophistication des attaques. Ces conclusions proviennent de la 9e enquête annuelle réalisée par CyberArk sur le panorama mondial des cyber-menaces avancées Threat Landscape Survey, pour lequel l’entreprise a interrogé 673 cadres dirigeants et responsables de la sécurité IT.

CyberArk a analysé les divergences potentielles entre les cyber-menaces préjudiciables et la confiance qu’une organisation accorde à son système de sécurité. Bien que le lien entre la prise de contrôle de comptes à privilèges comme étant le premier vecteur d’attaque et les récentes, et très médiatisées, violations de données soit mieux établit, les entreprises persistent à se concentrer sur une défense « périmétrique ».

Plus de la moitié des interrogés étant convaincus qu’ils pourraient détecter une attaque en quelques jours, CyberArk a indiqué que de nombreux responsables IT et chefs d’entreprises ne disposent pas de la visibilité suffisante sur leurs programmes de sécurité IT. Les défenses périmétriques et les attaques d’hameçonnage (phishing) ne sont que la partie visible de l’iceberg, et les organisations doivent aujourd’hui veiller à se protéger face à des attaques beaucoup plus dévastatrices qui, comme le « Golden Ticket » Kerberos et les attaques « Pass-the-Hash », s’opèrent au cœur-même du réseau.

Au-delà de la simple violation – Les pirates cherchent à prendre le contrôle total du réseau

Comme nous avons pu le constater lors des attaques qui ont visé Sony Pictures, le Bureau américain de gestion du personnel et bien d’autres encore, les pirates ayant pris possession des comptes à privilèges peuvent ensuite s’en servir pour prendre de force le contrôle d’une infrastructure réseau ou voler d’importants volumes de données confidentielles. Ces comptes à privilèges permettent en effet aux cybercriminels d’avoir le même niveau de contrôle que les administrateurs IT de haut rang, et ce sur n’importe quel réseau. Grâce à leur capacité de se faire passer pour des utilisateurs légitimes, ces pirates peuvent alors continuer à acquérir des privilèges et à parcourir l’ensemble du réseau afin d’y exfiltrer des données précieuses.

· A quelle phase une attaque est-elle la plus difficile à contrer selon les interrogés :
o 61% ont cité la violation des comptes à privilèges, contre 44% en 2014
o 21% mentionnent l’installation du logiciel malveillant
o 12% évoquent la phase de reconnaissance menée par le cybercriminel

· Les vecteurs d’attaque représentant les risques de sécurité les plus élevés selon les interrogés sont :
o 38% indiquent la violation de comptes à privilèges ou administratifs
o 27% mentionnent les attaques d’hameçonnage
o 23% citent les logiciels malveillants sur le réseau

Trop de confiance accordée aux stratégies de sécurité dans les entreprises

Le sondage de CyberArk illustre que les interrogés ont entière confiance dans les stratégies de sécurité de leur PDG et de leurs directeurs, mais que les tactiques employées par les organisations sont en contradiction avec les meilleures pratiques en matière de sécurité. Même si les études spécialisées révèlent qu’il faut habituellement une moyenne de 200 jours pour qu’une organisation puisse déceler un pirate sur leurs réseaux, la plupart des interrogés pensent qu’ils sont capables de détecter un pirate endéans quelques jours ou quelques heures. Les interrogés persistent également à croire qu’ils sont parfaitement à même d’empêcher les cybercriminels de pénétrer dans le réseau, malgré de nombreuses preuves indiquant le contraire.

· 55% pensent qu’ils seront capables de détecter une violation en l’espace de quelques jours ; 25% estiment pouvoir détecter une infraction en quelques heures
· 44% continuent de croire qu’ils peuvent parfaitement empêcher les cybercriminels de pénétrer dans un réseau spécifique
· 48% pensent que ce sont les mauvaises habitudes des employés qui sont à la base des violations de données, tandis que 29% mentionnent tout simplement la sophistication des attaques
· 57% des personnes interrogées ont confiance dans les stratégies établies par leur PDG ou leur Conseil d’administration

Les organisations ne semblent toujours pas reconnaître les dangers liés aux attaques de l’intérieur

Les cybercriminels ne cessent de développer de nouvelles tactiques afin de cibler, dérober et exploiter des comptes à privilèges qui leur permettront d’obtenir l’accès aux données les plus sensibles et les plus précieuses d’une organisation. Alors que bon nombre d’entre elles se concentrent sur la défense périmétrique afin de lutter contre des attaques telles que le phishing ou l’usurpation d’identité, ce sont les attaques lancées depuis l’intérieur des organisations qui sont les plus potentiellement dévastatrices. Il a été demandé aux interrogés d’établir un classement des types d’attaques qu’ils redoutent le plus :

· Piratage de mots de passe (72%)
· Attaques d’hameçonnage (70%)
· Piratage de clés SSH (41%)
· Attaques Pass-the-Hash (36%)
· Attaques de Golden Ticket (23%)
· Attaques Overpass-the-Hash (18%)
· Attaques de Silver Ticket (12%)

Les attaques Overpass-the-Hash, Golden Ticket et Silver Ticket sont toutes des attaques Kerberos, permettant d’obtenir un contrôle total d’un réseau spécifique par le piratage du contrôleur de domaine. L’une des attaques les plus dangereuses est celle du Golden Ticket, car elle peut paralyser une organisation entièrement et briser ainsi la confiance accordée à l’infrastructure IT.

« Il est inacceptable qu’une organisation continue de penser que ses programmes de sécurité sont en mesure d’empêcher les cybercriminels de pénétrer dans leur réseau. En outre, le fait de se retrancher derrière la sophistication des attaques et les mauvaises habitudes des utilisateurs ne fait qu’aggraver le problème, déclare à DataSecurityBreach.fr John Worrall, Directeur du marketing chez CyberArk. Les attaques les plus dévastatrices sont celles où les pirates volent des identifiants à privilèges et administratifs afin d’obtenir les mêmes droits d’accès que les administrateurs systèmes en interne. Une organisation se retrouve ainsi à la merci du cybercriminel, que ses motivations soient financières, liées à des activités d’espionnage ou visent à causer la fermeture de l’entreprise. Alors que le sondage souligne que les organisations sont de plus en plus conscientes des effets dévastateurs des violations de comptes à privilèges, celles-ci consacrent encore trop d’efforts à vouloir stopper les attaques périmétriques telles que le hameçonnage. »

Vous pouvez télécharger gratuitement tous les résultats du sondage via le lien : www.cyberark.com/ThreatSurvey2015

Argent, Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Piratage, Social engineering

Nouveau piratage chez un important courtier

Le courtier américain FXCM vient d’avouer le piratage de son informatique. Le pirate aurait orchestré des transferts d’argent appartenant à des clients.

FXCM, un spécialiste des opérations de changes a confirmé jeudi le piratage informatique de ses serveurs. Le pirate en a profité pour faire des transactions avec l’argent de certains clients du courtier américain. « FXCM a identifié un petit nombre de transferts non autorisés depuis les comptes de ses clients » indique le courrier envoyé au département de la justice américaine.

Tout a débuté par un chantage numérique. Le pirate a écrit à FXCM indiquant avoir eu accès à des informations sensibles appartenant à ses clients. Il a été conseillé à ces derniers de changer leur mot de passe.

L’OCDE, l’Organisation de Coopération et de Développement Economiques, a appelé ce jeudi les patrons d’entreprises à traiter les risques liés à la sécurité informatique comme un risque économique. Pour preuve, FXCM a perdu le quart de sa valeur après l’annonce de ce piratage. (WSJ)

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Mise à jour, Patch, Piratage, ransomware

Le botnet XOR DDoS lance une vingtaine d’attaques par jour

Le nouvel avis d’alerte établit le profil de plusieurs campagnes d’attaques récentes lancées à partir du botnet XOR DDoS. Le botnet XOR DDoS s’est perfectionné, et est à présent capable de déclencher des méga-attaques DDoS à plus de 150 Gbit/s. 90 % des attaques par déni de service distribué, exécutées par le botnet XOR DDoS, ont ciblé des organisations en Asie.

Akamai Technologies, Inc, leader mondial des services de réseau de diffusion de contenu (CDN), publie une nouvelle alerte de cybersécurité faisant état d’une menace révélée par son pôle SIRT (Security Intelligence Response Team). Des pirates informatiques ont créé un botnet capable de mener des campagnes d’attaques par déni de service distribué (DDoS) à plus de 150 Gbit/s au moyen du malware XOR DDoS, un cheval de Troie servant à détourner des systèmes sous Linux.

Qu’est-ce que XOR DDoS ?

Le malware XOR DDoS est un cheval de Troie qui infecte les systèmes Linux, en leur demandant de lancer des attaques DDoS sur demande, pilotées par un pirate à distance. Au départ, le pirate s’empare d’une machine Linux via des attaques par force brute pour découvrir le mot de passe donnant accès aux services SSH (Secure Shell). Une fois cet identifiant obtenu, il se sert des privilèges « root » pour exécuter un script shell Bash qui télécharge et lance le binaire malveillant.

« En un an, le botnet XOR DDoS s’est perfectionné et peut désormais être utilisé pour lancer de gigantesques attaques DDoS », souligne Stuart Scholly, à DataSecurityBreach.fr, vice-président et directeur général de la division Sécurité d’Akamai. « XOR DDoS illustre parfaitement le changement de tactique des pirates qui créent des botnets à partir de systèmes Linux infectés pour lancer des attaques DDoS. Ce phénomène se produit beaucoup plus fréquemment qu’auparavant, lorsque les machines sous Windows étaient les principales cibles des malwares DDoS. »

Attaques par déni de service XOR DDoS

Les travaux du pôle SIRT d’Akamai ont établi que la bande passante des attaques DDoS, déclenchées par le réseau de machines zombies XOR DDoS, était variable, se situant entre moins de 10 Gbit/s et plus de 150 Gbit/s, soit un volume d’attaques extrêmement conséquent. Le secteur des jeux a été le plus souvent ciblé, talonné par l’éducation. Ce botnet attaque jusqu’à 20 cibles par jour, situées pour 90 % d’entre elles en Asie. Le profil de plusieurs des attaques de sa provenance, neutralisées par Akamai, correspond à celles documentées en date des 22 et 23 août dans l’avis. L’une d’elles a frôlé 179 Gbit/s, tandis que l’autre avoisinait 109 Gbit/s. Deux vecteurs d’attaques ont été observés : SYN- et DNS-floods.

Si l’adresse IP du bot est parfois usurpée, elle ne l’est pas systématiquement. Les attaques observées dans le cadre des campagnes DDoS menées à l’encontre des clients d’Akamai, étaient un mélange de trafic usurpé et non-usurpé. Les adresses IP usurpées sont générées de façon à ce qu’elles semblent émaner du même espace d’adressage (blocs /24 ou /16) que celles de l’hôte infecté. Une technique d’usurpation, consistant à modifier uniquement le troisième ou le quatrième octet de l’adresse IP, empêche les fournisseurs d’accès à Internet (FAI) de bloquer le trafic usurpé sur les réseaux protégés par le mécanisme uRPF (Unicast Reverse Path Forwarding) de vérification du chemin inverse.

Neutralisation des attaques XOR DDoS

Des caractéristiques statiques identifiables ont été observées, notamment la valeur TTL de départ, la taille de fenêtre TCP et les options d’en-tête TCP. Ces signatures de charge utile peuvent contribuer à la neutralisation des attaques par déni de service distribué. Elles sont consultables dans l’avis d’alerte. Par ailleurs, des filtres tcpdump sont prévus pour faire face au trafic d’attaques SYN-flood généré par ce botnet.

Détection et éradication du malware XOR DDoS

La présence du botnet XOR DDoS peut être détectée de deux manières. Sur un réseau, il faut repérer les communications entre un bot, ou zombie, et son canal de commande et contrôle (C2) en faisant appel à la règle Snort exposée dans l’avis. Sur un hôte Linux, il faut se servir de la règle YARA qui opère une mise en correspondance des chaînes relevées dans le binaire.

Le malware XOR DDoS est persistant : il exécute des processus qui réinstalleront les fichiers malveillants même s’ils sont supprimés. Par conséquent, son éradication relève d’un processus en quatre étapes pour lesquels plusieurs scripts sont spécifiés dans l’avis :

Localiser des fichiers malveillants dans deux répertoires.
Identifier des processus qui favorisent la persistance du phénomène.
Eradiquer les processus malveillants.
Supprimer les fichiers malveillants.

Akamai continue à surveiller les campagnes exploitant régulièrement le malware XOR DDoS pour déclencher des attaques par déni de service distribué. Pour en savoir plus sur cette menace, sur la suppression de ce malware et sur les techniques de neutralisation DDoS, un exemplaire gratuit de l’avis est téléchargeable à l’adresse www.stateoftheinternet.com/xorddos.

Cybersécurité, Entreprise, Fuite de données, Justice, loi, Propriété Industrielle

Les chercheurs en cyber sécurité en danger aux USA ?

Un sénateur remet sur le devant de la table des amendements au projet de loi CISA qui rendrait illicite l’utilisation d’un logiciel d’audit de sécurité informatique et la moindre révélation lors d’une conférence.

L’idée du Sénateur Sheldon Whitehouse est-elle de faire peur à l’ensemble de la communauté des chercheurs américains ? Espérons que le politique ne souhaitait que voir son nom affiché dans la presse afin de montrer aux électeurs qu’il travaille ? Toujours est-il que le sénateurs vient de remettre sur le tapis ses amendements, dont le 2626, qu’il souhaite rajouter dans la CISA, la Cyber Information Sharing Act.

Comme le rappel l’EFF, l’Electronic Frontier Foundation, le sénateur veut faire interdire les outils permettant les audits de sécurité informatique et la moindre révélation traitant d’une faille informatique. Des sociétés comme Salesforce, Apple, Microsoft, IBM, Adobe… ont rejoint le CISA. Pour rappel, la loi CISA doit permettre aux Etats-Unis une surveillance de masse des entreprises technologiques sous l’excuse de regrouper dans une base de données centraliées les menaces numériques afin de les faire corriger plus rapidement.

 

Base de données, Cybersécurité, Entreprise, Mise à jour, Paiement en ligne, Patch

Bug étrange pour H&M Belgique

Durant plusieurs dizaines de minutes, le site H&M Belgique a proposé dans sa boutique online l’ensemble de ses produits à 12,99€.

Une parka à 12,99 euros au lieu de 150 ; une veste à 12,99 au lieu des 70 euros habituels ; une chemise en soie pour 12,99€ au lieu de 40. L’ensemble de la boutique Internet Belge H&M a connu une salle aventure le week-end dernier. Un bug, une mise à jour ratée ou la manipulation malveillante de l’administration des prix ? H&M n’a pas communiqué sur le sujet, mais l’ensemble de son catalogue numérique était passé en intégralité à 12,99 euros. A noter également que les accessoires, moins chers, étaient eux aussi passés à 12,99 euros. (hln)

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle

Tixeo : La visioconférence sécurisée contre l’espionnage industriel

Fort d’une expérience de plus de 10 ans dans la visioconférence et d’une R&D 100% française, Tixeo introduit une innovation majeure dans sa dernière version : en s’appuyant sur une architecture de chiffrement inédite, les réunions en ligne des entreprises sont à présent protégées de tous risques d’espionnage.

Le coût annuel de l’espionnage industriel se compte désormais en centaines de milliards de dollars. Les pirates ciblent principalement les entreprises et les innovations issues de leur R&D, ainsi que des données commerciales confidentielles. S’emparer des informations stratégiques d’un concurrent est devenu une pratique commerciale courante et l’espionnage industriel une vraie industrie.

La sécurité des visioconférences est à ce jour complètement négligée alors que les informations échangées durant une réunion en ligne sont souvent stratégiques. La protection des comités de direction, réunions commerciales et autres réunions techniques réalisés à travers une visioconférence est impérative.

Aucune offre sérieuse sur le marché
La confiance en l’outil de communication s’ébrèche de plus en plus suite aux multiples scandales d’écoutes sur le réseau téléphonique et sur Skype. En effet, les gouvernements de certains pays imposent à leurs éditeurs de solutions de communication de fournir des capacités d’écoutes (Backdoors). Or, plus de 90% des solutions sur le marché de la visioconférence sont concernées…

Les sociétés qui veulent se prémunir de ces risques isolent l’outil de communication sur un réseau privé. Cette stratégie peut être efficace pour les communications internes, mais a l’énorme inconvénient de restreindre l’intérêt de ces solutions. En effet, elle exclut les utilisateurs n’ayant pas accès à ce réseau privé : clients, fournisseurs, partenaires externes à la société.

Conscient de cet enjeu, Tixeo propose dans sa nouvelle version un réel chiffrement de bout en bout dans une visioconférence multipoint, et cela tout en gardant une grande adaptabilité aux variations des réseaux. En effet, les communications sont maintenant chiffrées de bout en bout (de clients à clients), en plus du cryptage du client vers le serveur. Ce cryptage end-to-end permet donc un niveau de sécurité jamais atteint pour des communications multipoint, car même en cas d’attaque ciblant le serveur Tixeo la confidentialité des communications est garantie. Cette innovation est possible grâce à la technologie unique « SVC on Demand » (Scalable Video Coding on Demand) créée par la R&D de Tixeo. A ce jour contraint par leur architecture technologique, aucun autre acteur de visioconférence ne propose un tel niveau de sécurité.

Cybersécurité, Entreprise, Mise à jour, Patch, ransomware, Virus

Le risque caché d’un malware grand public pour les entreprises

Une analyse détaillée de la façon dont un cheval de Troie bancaire ciblant les particuliers peut infecter une entreprise.

Imperva, entreprise dédiée à la protection des données des entreprises et des applications critiques sur site et dans le cloud, vient de publier son dernier rapport Hacker Intelligence Initiative (HII) intitulé « Phishing Trip to Brasil ». Ce nouveau rapport émanant de l’Application Defense Center (ADC) analyse en détail une cyberattaque ciblant les consommateurs au moyen d’un cheval de Troie bancaire et montre comment un malware grand public peut infecter une entreprise. Il prouve également qu’en dépit d’éventuelles défenses antimalware, les attaques qui visent des employés isolés peuvent facilement pénétrer dans le réseau de l’entreprise.

La majorité des infections observées se sont produites pendant les « heures de bureau », preuve que les ordinateurs infectés étaient utilisés pour le travail. Au moins 17% des machines infectées étaient directement connectées au réseau de l’entreprise, ce qui montre la facilité avec laquelle les cyberattaques ciblant les consommateurs peuvent aussi bien menacer les entreprises.

Le malware grand public utilisé fait appel à une technique d’ingénierie sociale pour contaminer la victime, qui reçoit un message d’apparence authentique contenant un lien vers un fichier zippé. Si le destinataire extrait le fichier et lance l’exécutable délibérément ou à son insu, sa machine est infectée. Le malware commence alors à espionner l’activité de l’utilisateur. Si ce dernier se connecte à un site professionnel, en l’occurrence une banque brésilienne, le malware intercepte les données de la session et les transmet à des cybercriminels. Ces individus sont experts dans l’art de pirater les identifiants, dont ils se servent ensuite pour perpétrer des fraudes ou lancer d’autres attaques.

« Notre étude souligne le chevauchement entre vie professionnelle et vie personnelle : lorsqu’un employé reçoit un message suspect, il est plus enclin à l’ouvrir si celui-ci paraît provenir d’un expéditeur en qui il a confiance, par exemple sa banque. Malheureusement, si l’employé lit l’un de ces messages sur son ordinateur personnel connecté à l’entreprise via un réseau privé virtuel (VPN), il expose son employeur à une attaque potentielle », commente Amichai Shulman, cofondateur et CTO (Chief Technology Officer) d’Imperva. « Alors que le malware évolue plus vite que la protection antivirus, les entreprises ne doivent plus mettre l’accent sur la détection des attaques mais directement sur la surveillance et la protection de leurs données, applications et comptes utilisateurs. Avec les tendances du BYOD et du télétravail, la surveillance de l’activité sur les données et fichiers est le meilleur moyen de prévenir le piratage d’informations sensibles pour l’entreprise. »

Les attaques ne sont pas le fait d’un seul groupe de cybercriminels opérant dans l’ombre. Il apparaît qu’il en existe plusieurs, aux compétences variables sur le plan technique et en matière d’ingénierie sociale, mais exploitant tous le même malware sous-jacent. Cela illustre l’industrialisation de la cybercriminalité. Certains des serveurs C&C se trouvaient sur des sites Web légitimes qui avaient été détournés, tandis que d’autres avaient été mis en place expressément dans ce but. L’étude se concentre sur du malware provenant du Brésil et ciblant des banques de ce pays mais des attaques similaires sont possibles dans d’autres pays et secteurs.

Pour réaliser cette étude, l’ADC a évalué 14 serveurs de commande et de contrôle (C&C) différents, totalisant plus de 10 000 enregistrements sur presque 5000 adresses IP distinctes.

Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Particuliers

Les espions britanniques… espionnent des ressortissants américains

Le site Cryptome annonce que les espions britanniques du GCHQ ont surveillé les américains qui venaient consulter l’ancêtre de wikileaks.

Pour faire simple, Cryptome est le papa de wikileaks. Depuis plus de 15 ans, Cryptome diffuse des informations qui lui sont transmissent et qui relatent des documents du FBI, CIA, Services secrets de la planéte et autres documentations liées aux droits de l’homme. Cryptome vient s’expliquer, dans un article baptisé « GCHQ Illegal Spying in US » que les grandes oreilles britanniques ont espionné les internautes américains venus se renseigner sur l’espionnage dans le monde, et plus précisément celui mis en place par l’Oncle Sam. Une attaque MITM, Man-In-The-Middle, qui semble avoir permis au GCHQ de tracer les internautes venus se renseigner.

Cette opération de surveillance de masse –  baptisée Karma Police – a été lancée par des espions britanniques il y a environ sept ans. Un espionnage sans aucun débat public, ni examen politique. Un espionnage de l’Internet mondial mis en place  par l’agence des écoutes électroniques du Royaume-Uni, le Government Communications Headquarters (GCHQ). De nouveaux documents tirés des fichiers volés par Edward Snowden, ancien analyste de la NSA, ont été diffusés par The Intercept.

Cybersécurité, Entreprise, Mise à jour, Propriété Industrielle, Virus

Visite des laboratoires de GDATA en Allemagne

A l’occasion des 30 ans de l’éditeur de logiciels GDATA, nous avons visité les laboratoires de ce chasseur de codes malveillants dans ses locaux de Bochum, en Allemagne.

C’est dans une immense usine désaffectée de 15.000m² de la ville de Bochum, dans le nord est de Düsseldorf, que l’éditeur de GData m’a invité à découvrir ses laboratoires de lutte contre les logiciels malveillants. L’usine, imposante, est en plein travaux. Une remise au goût du jour pour ce spécialiste des nouvelles technologie et éditeurs de logiciels de sécurité informatique. Prêt de 400 employés, dont une centaine dans le monde, travaillent pour l’entreprise fondée en 1985 par Kai Figge et Frank Kühn. Depuis, l’entreprise germanique est dirigée par Franck Heisler et le Docteur Dirk Hochstrate. Dans l’ombre, des personnalités financières de première importance comme Natalya Kasperksy.

GData c’est des technologies qui sont reconnues de part le monde, comme le DoubleScan (deux moteurs d’analyse antivirus utilisant les moteurs de Bitdefender et Close Cap) qui a fait ses preuves. Il était d’ailleurs étonnant, et rigolo, de croiser le premier antivirus de la marque, tournant sous Atari ST, G Data AntiVirusKit. Sa version PC (MS-DOS) sortira 5 ans plus tard, en 1990.

Ce qui étonne le plus, l’aspect très familial de cette entreprise. Aujourd’hui encore, la majorité des parts de l’entreprise sont détenues par les employés et les fondateurs de GData. La zone de repos de l’Academy GData vaut son pesant de cacahuète, tenue par un ancien informaticien qui, un jour, a proposé à ses patrons de se charger du vin, de la bière et autres richesses « liquides » de l’entreprise. Bilan, il est devenu le sommelier de GData avec autant de folie dans ses yeux que de passion pour la vie (et le partage de sa passion, NDR). Les équipes sont nommées par des pseudos allant de « Petit Poney » en passant par Terminator 2 pour le patron du labo, Ralf Benzmüller. Il faut dire aussi que le gaillard mesure deux Schwarzenegger à lui tout seul.

Précision Allemande

Parmi les laboratoires que nous avons pu croiser, ceux des équipes en charge des codes malveillants inconnus, ceux dont les moteurs intégrés dans les logiciels de GData ne sont pas capable de bloquer. Des bureaux spacieux, des tableaux bardés de codes et d’informations sensibles. C’est d’ailleurs dans les locaux de Bochum que le code malveillant Tyupkin / APTRASST, il s’attaque aux distributeurs de billets, a été décompilé, décortiqué, analysé. Marrante aussi, cette immense boite noire qui ferait presque peur ! La boite de pandore qui cache en son sein toutes les « merdouilles » numériques capable de mettre à mal un ordinateur, un serveur, une entreprise.

Plusieurs milliers de codes malveillants sont analysés par mois. Les appareils mobiles sont d’ailleurs devenus la première préoccupation des équipes. En plus de l’augmentation des programmes malveillants (+25 % par rapport au premier trimestre 2015), le G DATA Mobile Malware Report a mis dernièrement en lumière une nouvelle tendance : la vente d’appareils Android déjà piégé dès la sortie d’usine.