Archives de catégorie : Propriété Industrielle

BYOD, Chiffrement, Cloud, Cybersécurité, Entreprise, Fuite de données, iOS, Linux, Logiciels, Microsoft, Propriété Industrielle

Nomad Vault : sauvegarder, partager et transférer

Un commentaire

Nomad Vault : Un réseau privé virtuel 100 % sécurisé accessible avec une petite clé USB.

Comment éviter de tout perdre en cas de crash du disque dur de son ordinateur portable ? Comment éviter de s’exposer à des failles de sécurité en accédant au cloud via un portail internet ? Comment être sûr qu’il n’y a aucune trace (fichier, document, logiciel….) de son travail lorsqu’on utilise son ordinateur ou sa tablette qui appartient à une entité tierce ?

Jusqu’à présent, il n’y avait aucune solution conçue spécialement pour les utilisateurs nomades. Et par conséquent, il n’y avait rien qui réponde parfaitement à leurs besoins.

Mais maintenant, il y a Nomad Vault ! Grâce à une petite clé USB très intelligente, les utilisateurs bénéficient d’une solution très performante conçue, développée et gérée en France. Le but : créer en quelques secondes son propre réseau privé virtuel 100 % sécurisé, accessible n’importe où et n’importe quand. Pour Laurent Brault, dirigeant de MDK Solutions, « Nomad Vault est une alternative innovante et sécurisée aux services de stockage/partage de données classiques. »

Comment ça marche ?
C’est très simple : il suffit d’insérer la clé USB dans votre ordinateur ou PC portable, ou de lancer l’application Nomad Vault Tablette sur votre tablette Android ou iOS…. et le tour est joué ! Après avoir saisi votre mot de passe, vous bénéficiez d’un canal crypté pour accéder à des serveurs distants.

Cette solution présente 3 avantages principaux :
1. Vous profitez d’une solution 100 % sécurisée, sans le moindre risque, pour utiliser des données, des logiciels, des fichiers stockés dans le cloud.
2. Grâce à la sauvegarde automatique, vous ne perdez rien en cas de crash de votre disque dur.
3. Vous pouvez travailler n’importe où, n’importe quand, et vous ne laissez jamais la moindre trace sur l’ordinateur (très pratique si vous devez vous connecter à partir d’un poste de travail qui n’est pas le vôtre : la confidentialité des données est garantie). Grâce à l’intelligence fonctionnelle de la clé USB, il n’est même pas nécessaire de passer par un portail internet, et donc de supporter les risques liés aux failles potentielles de sécurité en ligne. C’est la seule solution sur le marché à proposer cette innovation majeure !

Sur tablette (Apple iOS, Android)
1. L’intelligence locale de la Clé USB est remplacée par une Application Nomad Vault (gratuite pour toutes les fonctions de consultation, 3euros/an
pour avoir la possibilité de mise à jour).
2. L’authentification forte apportée par la clé est remplacée par un code à saisir transmis par un message SMS sur le téléphone mobile de l’utilisateur lors de l’identification.

Quelles sont les utilisations de Nomad Vault ?
Laurent Brault précise : « Une solution conçue spécialement pour les utilisateurs nomades, soit des millions de personnes en France. ». Dirigeants, avocats, commerciaux, consultants, courtiers, députés, formateurs…. De nombreux professionnels ont besoin de pouvoir travailler à distance, facilement et sans prendre le moindre risque. Avec Nomad Vault, ils peuvent garder leurs dossiers sous la main, même sans être connectés. Et comme chaque clé est unique et pilotable à distance, il est tout à fait possible de la personnaliser totalement pour l’adapter à des besoins spécifiques, en créant par exemple des accès spécifiques en fonction de l’utilisateur. Certains dossiers peuvent également être stockés directement sur la clé USB.

Que se passe-t-il en cas de perte/de vol de la clé USB ?
Avec MDK Solutions, il n’y a absolument rien à craindre ! Les données ne sont pas perdues pour autant : les fichiers sont synchronisés dans des serveurs cloud, situés sur le territoire français. Si votre clé est récupérée par une personne malveillante, elle ne pourra pas s’en servir : son contenu est crypté et donc inexploitable. A votre demande, MDK Solutions peut aussi blacklister la clé pour qu’elle soit inutilisable.

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Patch, Piratage, Propriété Industrielle

Du déni de service au contournement de la cyber-sécurité

Un commentaire

Premier rapport trimestriel de Corero Network Security : du déni de service au contournement de la cyber-sécurité. Des attaques plus fréquentes et avec de nouvelles visées, voilà le constat inquiétant du premier rapport publié par Corero et réalisé à partir des données de ses clients.

Corero Network Security, éditeur de solutions de sécurité contre les attaques par DDoS comme Première Ligne de Défense, publie aujourd’hui la première édition de son étude trimestrielle sur les tendances et l’analyse des DDoS. En analysant les données des clients du quatrième trimestre 2014, Corero constate que les pirates ont évolué dans leur utilisation des attaques DDoS. Celles-ci servent désormais à contourner les solutions de cyber-sécurité des entreprises, à perturber la disponibilité des services et à infiltrer les réseaux des victimes.

Le Rapport trimestriel Corero sur les tendances et l’analyse des DDoS s’appuie sur des données provenant de ses clients – hébergeurs, data centers, FAI et entreprises en ligne – du monde entier et sur l’analyse de l’état de l’art faite par le SOC (Security Operations Center) de la société.

Des attaques plus courtes et à saturation partielle
DDoS était précédemment le nom consacré pour ces attaques car elles déniaient l’accès aux sites web ou aux solutions basées sur le web. Bien que ce soit encore le cas en certaines circonstances, les organisations sont également visées par un nouveau type de trafic d’attaque par DDoS. Les données des clients de Corero montrent deux nouvelles tendances : de courtes explosions du trafic au lieu d’épisodes qui se prolongent et des attaques par saturation partielle des liaisons au lieu de l’inondation complète du réseau, comme le terme déni de service l’évoquait historiquement.

Au lieu de longues attaques, environ 96% des attaques DDoS ciblant les clients de SmartWall Threat Defense System (TDS) de Corero ont duré 30 minutes ou moins. Le problème provient du fait que les clients Corero observent en moyenne 3,9 tentatives d’attaques journalières. Pour les organisations qui s’appuient sur des défenses hors bande ou sur le nettoyage anti-DDoS pour réacheminer le trafic après qu’une attaque ait été identifiée, cela peut prendre jusqu’à une heure pour que la solution cloud de mitigation des DDoS prenne le relais avec succès. Ce temps de réponse assez long signifie que même les principaux outils du cloud pour la défense contre les DDoS pourraient complètement rater une attaque. Les organisations subiraient alors les pannes que ces solutions sont censées prévenir.

En outre, 79% des tentatives d’attaque DDoS ciblant les clients de Corero entre le 1er Octobre et le 31 Décembre 2014 avaient des pics d’utilisation de la bande passante inférieurs à 5 Gbps. Ces attaques visaient à partiellement saturer la liaison Internet et détourner l’attention des équipes de sécurité de l’entreprise, tout en laissant suffisamment de bande passante disponible pour qu’une attaque ultérieure permette d’infiltrer le réseau de la victime et d’accéder aux données sensibles ou à la propriété intellectuelle du client.

Des DDoS à des fins de profilage
Alors que les attaques volumétriques par DDoS sont plus faciles à identifier et recueillent souvent la plus grande attention, Corero a constaté que les attaquants commencent à démultiplier les attaques multi-vecteur et adaptables à leur cible. Cela leur permet de profiler la stratégie de défense de la sécurité du réseau de la victime, puis de lancer de nouvelles attaques qui contourneront les outils de cyber-sécurité de l’organisation.

« Les attaques par déni de service ont été une menace pour la disponibilité du service pendant plus d’une décennie. Plus récemment, ces attaques sont devenues plus sophistiquées et multi-vectorielles, débordant les mécanismes traditionnels de défense ou les contre-mesures réactives », déclare à DataSecurityBreach.fr Dave Larson, CTO et vice-président Produits de Corero Network Security. « Comme les expériences de nos clients l’indiquent, la régularité de ces attaques souligne simplement le besoin croissant d’une protection adaptée pour vaincre les attaques DDoS à la périphérie du réseau et assurer l’accessibilité nécessaire à l’entreprise connectée à Internet ou aux fournisseurs d’accès Internet eux-mêmes. »

Pour que les organisations se défendent à la fois contre les méthodes d’attaque DDoS traditionnelles et évolutives, Corero préconise de mettre en œuvre une technologie pour détecter, analyser et répondre aux attaques DDoS en inspectant le trafic Internet brut par le débit de la ligne, pour identifier et bloquer les menaces dès les premiers paquets d’une attaque donnée. Mettre en place une stratégie de sécurité multicouche mettant l’accent sur la visibilité continue et l’application de la politique de sécurité pour installer une première ligne de défense proactive capable de lancer la mitigation des attaques DDoS, tout en maintenant une connectivité de plein service et la disponibilité du trafic légitime. Veiller à la visibilité totale des couches applicatives et du réseau lors événements de sécurité DDoS. Cette bonne pratique permet également l’analyse forensique des menaces passées et permet de disposer des rapports de conformité de l’activité de sécurité. (Le rapport)

Apple, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, Piratage, Propriété Industrielle

« Etat des lieux de l’Internet » du 4ème trimestre 2014

Un commentaire

Akamai Technologies, Inc. fournisseur en services de réseaux de diffusion de contenu (CDN), vient de publier son Rapport « Etat des lieux d’internet » du 4ème trimestre 2014. Établi à partir des données recueillies par l’Akamai Intelligent Platform™, ce rapport permet de mieux comprendre les principales statistiques mondiales, notamment les vitesses de connexion et adoption du haut débit sur les réseaux fixes et mobiles, le trafic global des attaques, préparation des réseaux au format 4K, épuisement des adresses IPv4 et mise en œuvre d’IPv6. Le rapport analyse aussi plusieurs failles de sécurité très connues, dont les failles Poodle et de type DNS flood, et les attaques UpnP et Yummba Webinject.

« En 2014, nous avons observé une croissance globale de tous nos principaux indicateurs : connectivité Internet, adoption du haut débit et préparation au passage à la vidéo 4K », indique à DataSecurityBreach.fr David Belson, l’auteur du rapport. « Ces tendances positives sont un encouragement au vu d’une étude récente qui révèle que 4,4 milliards de personnes n’ont pas accès à l’Internet. Il est donc plus que nécessaire de continuer nos efforts pour améliorer et déployer l’infrastructure Internet dans le monde. »

Vitesses moyennes de connexion et connectivité haut débit : la croissance positive à long terme se poursuit en Europe
Pour le 3ème trimestre consécutif, la vitesse de connexion moyenne dans le monde est restée supérieure au seuil du haut débit (fixé à 4 Mbps), avec 4,4 Mbps, soit une augmentation de 0,7 % par rapport au trimestre précédent. Avec une vitesse de connexion moyenne de 14,6 Mbps au 4ème trimestre (en hausse de 3,5 %), la Suède devance de peu la Suisse, et se classe en tête des pays européens pris en compte dans l’étude. La Suisse, qui détenait la première place depuis trois trimestres consécutifs, se place au 2ème rang, avec, 14,5 Mbps, comme au trimestre précédent. Ces deux pays, ainsi que les Pays-Bas, l’Irlande, la République tchèque, la Finlande, le Danemark, la Roumanie, la Norvège, le Royaume-Uni et la Belgique, enregistrent une vitesse de connexion moyenne supérieure au seuil de 10 Mbps, qui définit le très haut débit.

Par rapport à l’année précédente, les vitesses de connexion moyennes sont unanimement à la hausse en Europe. L’augmentation la plus faible concerne l’Autriche, avec 3,9 %, et la plus forte la Roumanie, avec un taux de croissance annuel de 61 %. En outre, la Finlande, la Suède et le Portugal enregistrent des augmentations de plus de 30 % par rapport au quatrième trimestre 2013.

Le pic moyen de vitesse de connexion a légèrement augmenté au 4ème trimestre, passant à 26,9 Mbps, soit 8,4 %. En Europe, les variations de ce trimestre oscillent de 1,3 % au Portugal (44,3 Mbps) à 14 % en Roumanie (67 Mbps). Les modifications par rapport à l’année précédente sont également à la hausse. L’Autriche, avec une augmentation de 9,4 %, est le seul pays européen à rester en dessous d’un taux de croissance annuelle de 10 %, tandis que la Finlande fait un impressionnant bond en avant de 40 %.

Les taux d’adoption du très haut débit (>10 Mbps) sont en hausse de 2,9 % au 4ème trimestre, faisant suite à un léger déclin au 3ème trimestre. En Europe, dans trois des pays analysés, plus de la moitié des adresses IP individuelles se connectaient à Akamai à plus de 10 Mbps en moyenne. La Roumanie, avec une hausse de 11 % par rapport au trimestre précédent, est repassée à un taux d’adoption du très haut débit de 55 %, rejoignant la Suisse (56 %) et les Pays-Bas (56 %). Le taux de croissance trimestriel a varié entre 1 % en Norvège et 17 % en Espagne. L’examen de la croissance par rapport à l’année précédente fait état d’une augmentation de 8 % ou plus dans tous les pays européens analysés. En outre, le Portugal et la Roumanie ont constaté des taux d’adoption du très haut débit qui ont plus que doublé depuis l’an dernier.

Le taux d’adoption du haut débit (>4 Mbps) a légèrement baissé au 4ème trimestre, soit une perte de 0,7% qui l’a stabilisé à 59 %. Au cours du trimestre, ce taux a atteint 90% ou plus dans trois pays européens : la Suisse (93 %), le Danemark (92 %) et les Pays-Bas (91 %). Dans tous les autres pays analysés, plus de 60 % des adresses IP individuelles se connectaient à Akamai à des vitesses moyennes supérieures à 4 Mbps.

Le 4ème trimestre a été marqué par une série d’annonces qui devraient dynamiser les initiatives autour du haut débit dans toute l’Union européenne. En novembre dernier, le gouvernement hongrois a ainsi déclaré son intention de consacrer une enveloppe de €586 millions pour implanter l’Internet haut débit sur tout le territoire d’ici 2018. La Commission européenne a pour sa part annoncé un plan de €315 milliards destiné à améliorer l’infrastructure et le haut débit.

Préparation au format 4K : la connectivité ultra-rapide de plus en plus accessible et répandue
Akamai avait intégré un nouvel indicateur, celui de la « Préparation à la technologie 4K », à son Rapport Etat des lieux de l’internet – 1er trimestre 2014. Il continue à dresser la liste des pays susceptibles de supporter des vitesses de connexion supérieures à 15 Mbps, car les streamings vidéo Ultra HD à débit adaptatif exigent généralement une bande passante comprise entre 10 et 20 Mbps. Les résultats obtenus ne tiennent pas compte des autres facteurs de préparation, tels que l’existence de contenu 4K ou de téléviseurs et lecteurs médias compatibles 4K.

Au 4ème trimestre 2014, dans neuf des pays européens analysés, au moins une adresse IP sur cinq se connectait à Akamai à des vitesses moyennes supérieures à 15 Mbps : la Suède, la Suisse, les Pays-Bas, la Roumanie, la Norvège, le Royaume-Uni, le Danemark, la Finlande et la République tchèque.

Au cours de ce trimestre, la Suède s’est classée première en Europe, avec le plus haut taux de préparation au 4K : 31 %. Elle reste toutefois talonnée de près par la Suisse et les Pays-Bas avec des taux de 30 %. Par rapport à l’année précédente, de fortes hausses de la préparation au 4K ont été observées dans tous les pays européens. Trois d’entre eux ont vu leur taux plus que doubler par rapport au quatrième trimestre de 2013 : la Roumanie (320 %), le Portugal (204 %) et l’Espagne (102 %). Dans huit autres pays européens, ce taux a dépassé une hausse annuelle de 40 % : la Hongrie (94 %), la Slovaquie (68 %), la Suède (61 %), la Finlande (55 %), le Danemark (50 %), la Suisse (50 %), la Norvège (50 %) et le Royaume-Uni (42 %).

Attaques et sécurité : les attaques contre le port 23 ont plus que doublé
Akamai gère un ensemble distribué d’agents anonymes, déployés sur tout l’Internet, et dont la mission est de consigner les tentatives de connexion pouvant être considérées comme des attaques. S’appuyant sur ces données, Akamai peut ainsi identifier les principaux pays à l’origine des attaques et les ports visés en priorité. Toutefois, le pays d’origine identifié par son adresse IP source n’est pas forcément celui dans lequel réside le hacker.

Au 4ème trimestre 2014, Akamai a observé des attaques en provenance de 199 pays ou zones géographiques distincts. Comme vu précédemment, la Chine reste loin devant les autres pays avec un taux de 41 %. Elle est ainsi à l’origine de trois fois plus d’attaques que les États-Unis (13 %). Ce trimestre, l’Allemagne a rejoint le groupe des 10 principaux pays incriminés, avec un taux d’attaques de 1,8 % de la totalité observée (soit une hausse de 0,6 % au 3ème trimestre). La majorité des attaques a cependant pour épicentre la région Asie Pacifique (59 %), suivie de l’Europe (19 %) soit une forte hausse (11 % au trimestre précédent).

Au total, les attaques visant les 10 ports principaux ont représenté 79 % du trafic au 4ème trimestre, soit une hausse de 38 % par rapport au trimestre précédent. Le Port 23 (Telnet) reste la cible favorite, avec 32 % des attaques constatées, soit une hausse 2,5 fois supérieure aux niveaux antérieurs. Les Ports 445 (Microsoft-DS), 8080 (HTTP Alternate), 3389 (services Microsoft Terminal) et 22 (SSH) ont également fait l’objet d’attaques.

Attaques par déni de service distribué (DDoS) en hausse en Europe ce trimestre
Le rapport comprend également une étude des attaques DDoS s’appuyant sur les observations de ses clients. Ces derniers ont signalé 327 attaques au 4ème trimestre 2014, soit une augmentation de plus de 20 % par rapport au trimestre précédent. Les secteurs du commerce et des grandes entreprises sont majoritairement visés.

En Europe, les attaques DDoS sont en hausse de 18 % par rapport au trimestre précédent. Une comparaison avec l’année précédente montre que le taux de ces attaques est beaucoup plus élevé en Europe qu’aux Amériques et en Asie Pacifique, soit une augmentation de 28 % (167 attaques en 2013 contre 214 attaques en 2014).

IPv4 et IPv6 : les pays européens restent les leaders de l’adoption d’IPv6
Au 4ème trimestre 2014, environ 803 millions d’adresses IPv4 originaires de 239 pays/zones géographiques différents étaient connectées à l’Akamai Intelligent Platform. Le nombre d’adresses IPv4 individuelles détectées dans le monde par Akamai a augmenté d’environ 12 millions d’un trimestre sur l’autre. Se classant parmi les 10 premiers au 4ème trimestre, le Royaume-Uni et la Corée du sud affichent les hausses les plus importantes, avec respectivement 8,1 % et 6,6 % par rapport au trimestre précédent.

Les pays européens ont confirmé leur domination en matière d’adoption de l’IPv6, en se classant parmi les 10 premiers dans le monde. Un nouveau-venu, la Norvège, a enregistré un spectaculaire bond en avant de 88 % de son trafic Ipv6 par rapport au trimestre précédent. La Belgique reste cependant le chef de file, avec 32 % de demandes de contenu transitant par IPv6, soit plus du double de l’Allemagne. Comme aux trimestres précédents, les opérateurs câble et téléphonie mobile restent la principale source des demandes IPv6 adressées à Akamai. Beaucoup d’entre eux sont des leaders de l’adoption IPv6 dans leurs pays respectifs. Les Belges Verizon Wireless et Brutele transmettent plus de la moitié des demandes à Akamai via IPv6, talonnés par Telnet. Quant aux opérateurs allemands Kabel Deutschland, Kabel BW et Unitymedia, au 4ème trimestre, plus d’un quart de leurs demandes à Akamai passent par IPv6.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, Sauvegarde

Pour une meilleure défense contre les attaques avancées

Kill Chain 3.0 : mettre à jour la Cyber Kill Chain pour une meilleure défense contre les attaques avancées.

Tous les responsables de la sécurité des réseaux ont déjà entendu parler de la Kill chain – une méthode de défense conçue pour combattre efficacement les cyber attaques avancées ou APT. Cette méthode comporte sept étapes pour l’attaquant, et propose un mode spécifique de défense pour chacune d’elles. Les étapes de la kill chain comprennent :

·         Reconnaissance – S’informer sur la cible en utilisant de nombreuses techniques.
·         Armement – Combiner le vecteur d’attaque avec un contenu malicieux.
·         Livraison – Transmettre le contenu malicieux avec un vecteur de communications
·         Exploitation – Profiter d’une faiblesse logicielle ou humaine pour activer le contenu malicieux
·         Installation – Installer durablement le contenu malicieux sur un ordinateur hôte individuel
·         Commande & Contrôle (C2) – Le malware appelle l’attaquant, qui en prend la contrôle
·         Actions prévues – L’attaquant vole ou fait ce qu’il avait prévu de faire.

Les professionnels de la sécurité réseau ont des opinions diverses quant à l’efficacité de la kill chain en tant que méthode de défense. Certains l’adorent, décrivant comment leurs équipes de sécurité l’utilisent, tandis que d’autres indiquent qu’il lui manque certains détails cruciaux, et qu’elle n’est adaptée qu’à certains types d’attaques. Les deux interprétations ont chacun leur part de vérité, mais il existe trois étapes simples pour rendre la kill chain encore plus efficace, appelons la Kill Chain 3.0.

Tout d’abord, il convient de modifier les étapes de la kill chain telle que décrite plus haut. Si l’on utilise la kill chain en tant qu’outil de défense, alors chacune des mailles de la chaîne doit donner lieu à une ou des actions de défense. Par exemple, l’étape Armement de la kill chain n’est pas réellement exploitable par les défenseurs. Dès lors pourquoi faire apparaître une étape qui n’a pas grand-chose à voir avec la défense ? Par ailleurs, comme beaucoup l’ont déjà fait remarquer, la kill chain actuelle se concentre avant tout sur l’intrusion initiale, et pas assez sur la façon dont les auteurs des attaques avancées exploitent leur premier point d’entrée pour se répandre dans l’ensemble du réseau de leur victime. La kill chain doit inclure une étape pour les mouvements latéraux et la modification des droits d’accès en local. De ce fait, la chaîne devrait être modifiée de la façon suivante :

·         Reconnaissance
·         Armement Livraison
·         Exploitation
·         Installation Infection
·         Commande & Contrôle

Ø  Mouvement Latéral & Pivotement

·         Objectifs/Exfiltration

Après cette simple modification, à chaque étape de la kill chain correspondent des moyens de défense adaptés. Par exemple, la détection des ports et des adresses IP et la traduction d’adresses NAT seront efficaces à l’étape Reconnaissance ; le blocage des ports firewall, l’IPS et le contrôle applicatif le seront à l’étape Livraison ; .le Patching et l’IPS le seront à l’étape Exploitation ; La segmentation du réseau le sera à l’étape Mouvement Latéral, et ainsi de suite.

Ensuite, il convient de retenir qu’il est important d’avoir des défenses pour chacune des étapes de la kill chain, et que chacune des étapes à la même importance. Un des concepts à la base de la kill chain est que plus tôt dans le cycle vous prévenez une attaque, meilleur c’est. Bien que cela soit techniquement vrai, ceci explique également pourquoi beaucoup se concentrent sur des mesures de protection lors des premières étapes de la kill chain, et consacrent moins de temps et d’efforts à protéger les étapes suivantes, même si ces défenses ont le pouvoir de contenir ou de limiter significativement les conséquences d’une intrusion réussie. En vérité, les attaques les plus sophistiquées contourneront ou éluderont souvent les défenses mises en place sur les premières étapes. Si l’entreprise ne s’est pas suffisamment concentrée sur les défenses adaptées aux étapes suivantes, telles que la détection des botnets, la prévention des pertes de données et la segmentation du réseau interne, elle n’exploite pas toutes ses chances de prévenir une attaque majeure. En bref, la bataille n’est pas perdue après une infection initiale si l’on a consacré toute son attention aux défenses lors des étapes suivantes de la Kill Chain 3.0.

Enfin, il est nécessaire de disposer d’un outil d’affichage qui permette de visualiser l’ensemble des sept étapes de la kill chain. Celle-ci est parfaite pour mettre en valeur chacune des zones où peut être stoppée une attaque sur le réseau, mais s’il n’est pas possible de contrôler le parcours d’une attaque au travers de chacune des étapes, l’entreprise se prive d’elle-même de données critiques qui pourraient l’aider à se protéger. Les outils d’affichage et d’analytiques doivent être des composants clés de la Kill Chain 3.0. Si l’entreprise ne dispose pas d’un outil de reporting capable de rassembler les logs de tous ses contrôles de sécurité, et de corréler différentes alertes en un seul et même incident, elle a de fortes chances de manquer les signes d’une attaque sophistiquée.

Pour récapituler : modifiez un peu les étapes de la kill chain, accordez la même importance à chacune des étapes – y compris les dernières, et dotez-vous d’un outil de reporting et d’affichage capable de contrôler l’ensemble du processus, et vous obtenez la Kill Chain 3.0, une méthode optimisée pour se protéger au mieux contre les attaques avancées. (Par Pierre Poggi, Country Manager France de WatchGuard)

Adobe, Cybersécurité, Entreprise, Fuite de données, Logiciels, Microsoft, Mise à jour, Patch, Propriété Industrielle

Patch Tuesday de mars 2015

Tout comme le mois dernier, davantage de vulnérabilités sont encore traitées par rapport à un mois classique. À moins qu’il ne s’agisse d’un nouveau rythme concernant les correctifs des failles de Microsoft et Adobe, avec un ensemble d’autres failles de sécurité à résoudre.

Les correctifs de Microsoft sont au nombre de 14 pour mars, dont 5 critiques. La priorité absolue est le bulletin MS15-018 consacré à Internet Explorer (IE). Toutes les versions d’IE sont concernées, depuis IE6 (sur Windows Server 2003) jusqu’à IE11. La nouvelle version traite 12 vulnérabilités, dont 10 critiques et exploitables pour exécuter du code sur la machine ciblée. L’une des vulnérabilités a été publiquement révélée, mais elle n’est pas du type Exécution de code à distance, ce qui atténue un peu l’exposition. Scénario typique : un attaquant injecte du code HTML malveillant sur un site Web sous son contrôle puis il incite la machine cible à se rendre sur ce site. Il peut aussi pirater un site sur lequel la cible se rend habituellement et tout simplement attendre que cette dernière se rende sur ledit site. MS15-019 est le bulletin frère de MS15-018 et corrige le composant VBScript pour IE6 et IE7 qui est résolu dans MS15-018 pour les navigateurs plus récents. Commencez par installer ce bulletin.

MS15-022 est le second bulletin le plus important en termes de sévérité. Il corrige cinq vulnérabilités dans Microsoft Office, l’un d’elle étant critique dans l’analyseur RTF. En effet, ce dernier peut être exécuté automatiquement dans la zone d’aperçu lors de la réception d’un courriel si bien que Microsoft classe cette vulnérabilité comme critique. Cependant, comme deux des vulnérabilités restantes permettent à un attaquant d’exécuter du code à distance, nous positionnons ce bulletin en tête du classement d’aujourd’hui.

MS15-021 résout huit vulnérabilités liées aux polices sous Windows. En effet, un attaquant qui incite un utilisateur à visualiser une police altérée peut lancer une exécution de code à distance sur la machine ciblée. Les attaques peuvent être lancées via des pages Web ou des documents, au format PDF ou Office.

Stuxnet
MS15-020 est le dernier bulletin critique de la série pour le mois de mars. Il concerne un attaquant qui peut inciter un utilisateur à parcourir un répertoire d’un site Web ou à ouvrir un fichier. Le système Windows Text Services contient une vulnérabilité qui permet à l’attaquant de lancer une exécution de code à distance sur la machine cible. Ce bulletin comprend aussi un correctif pour CVE-2015-0096, une vulnérabilité associée à la vulnérabilité Stuxnet d’origine CVE-2010-2568. HP ZDI a rapporté cette vulnérabilité à Microsoft et fournit une bonne description technique sur son blog.

Test Fuzzing
Tous les bulletins restants sont moins critiques, c’est-à-dire seulement importants, dans la mesure où les vulnérabilités concernées ne permettent typiquement pas à un attaquant d’exécuter du code à distance. Ces dernières sont plutôt des fuites d’information ou n’autorisent qu’une élévation locale de privilèges. Les bulletins MS15-024 et MS15-029 traitent des bugs découverts via l’outil afl-fuzz de lcamtuf et que ce dernier améliore sans cesse et rend toujours plus intelligent. Jetez un coup d’œil sur son blog pour lire une série de posts sur afl-fuzz.

Serveurs
MS15-026 est un bulletin pour Microsoft Exchange qui résout plusieurs élévations de privilèges et problèmes de fuites d’information. Consultez ce bulletin si vous utilisez Outlook Web Access. FREAK cible aussi les serveurs, même si de manière différente. Côté serveur, si vous désactivez le chiffrement de type Configuration d’exportation, vos utilisateurs ne pourront pas être victimes de la vulnérabilité FREAK, même si leurs clients ne sont pas patchés.

Adobe
Adobe diffuse aussi une mise à jour (APSB15-05) pour Flash que Microsoft intègre à Internet Explorer, qui sera publiée ce jeudi. Explication de Microsoft dans le correctif KB2755801 : « Le 10 mars 2015, Microsoft a publié une mise à jour (3044132) pour Internet Explorer 10 sur Windows 8, Windows Server 2012, Windows RT ainsi que pour Internet Explorer 11 sur Windows 8.1, Windows Server 2012 R2, Windows RT 8.1, Windows Technical Preview et Windows Server Technical Preview. Cette mise à jour concerne les vulnérabilités décrites dans le bulletin de sécurité Adobe APSB15-05 (disponible le 12 mars 2015). Pour plus d’informations sur cette mise à jour, y compris les liens de téléchargement, voir l’article 3044132 dans la base de connaissances Microsoft. »

Appliquez les correctifs aussi vite que possible mais vérifiez aussi votre exposition à Superfish et sachez que certaines applications modifient votre magasin de certificats racine pour espionner vos communications. (Par Wolfgang Kandek, CTO, Qualys Inc.)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Propriété Industrielle, Sauvegarde, Social engineering

Cyber-sécurité : éviter la menace interne en surveillant les portes du royaume

Les récentes cyberattaques de grande envergure telles que le récent « cyber hold-up » via le malware Carbanak à l’encontre des établissements bancaires ou encore celle qui a permis la révélation de la fraude fiscale HSBC par son ex-informaticien Hervé Falciani, rappellent que les menaces internes sont de plus en plus présentes. Les hackers ne cessent d’affiner leurs techniques de piratage pour garder une longueur d’avance sur les mesures mises en place par les organisations. Leur atout majeur : le manque manifeste de vigilance autour des pratiques en interne de la plupart des organisations. La tâche des hackers s’en trouve donc simplifiée, puisque des techniques simples et classiques pour infiltrer les comptes à hauts pouvoirs de l’entreprise suffisent à bouleverser toute une structure.

Aujourd’hui, les pirates s’infiltrent insidieusement dans les systèmes et s’y installent aussi longtemps que nécessaire pour récolter les données qu’ils convoitent. Les techniques varient et si elles se renouvellent, les vieux schémas restent de mise. Dans le cas de HSBC par exemple, très semblable à l’affaire Snowden, la révélation des Swissleaks a été perpétrée par un ex-informaticien de la banque hongkongaise ayant eu accès aux données des clients en situation de fraude fiscale. Au-delà des clauses de confidentialité auxquelles sont soumis les employés d’une entreprise, ce cas de figure rappelle la nécessité de surveiller les accès des employés aux données de l’entreprise, et notamment à celles qui ne dépendent pas de leur champ d’intervention. Il en est de même pour tout individu extérieur à l’organisation.

De plus, une surveillance accrue de l’activité en interne peut permettre de détecter des tentatives d’intrusion en cours. En effet, l’attaquant motivé trouvera coûte que coûte un moyen de s’infiltrer dans le système et un minimum d’attention permet parfois aux employés d’identifier ces tentatives qui ne sont pas toujours discrètes. La récente cyberattaque relative au malware Carbanak confirme que les hackers développent des méthodes de plus en plus sophistiquées pour rendre leurs faux emails aussi crédibles que possibles. Dans le cas de Carbanak, les attaquants ont pu copier un ver informatique inséré dans la pièce jointe de mails personnalisés et se frayer un chemin jusqu’aux caméras de sécurité des banques visées. Ils ont ainsi pu visionner les vidéos et copier l’ensemble des démarches des employés pour accéder aux comptes des clients.

La sensibilisation des équipes internes permet d’éviter ce type de situations comme cela a été récemment le cas pour Le Monde où les employés ont détecté plusieurs tentatives d’intrusion conduites via des techniques de phishing, de mails de spams et de dénis de services ; leur mobilisation combinée à un système de sécurité efficace ont contribué à détecter les signes précurseurs d’une attaque et à stopper les hackers avant qu’il ne soit trop tard. Car une fois à l’intérieur du système, les hackers se concentrent sur le détournement et l’exploitation des comptes utilisateurs. Ils se tournent notamment vers les comptes administrateurs détenant des accès privilégiés aux données critiques, qui sont en général encore moins bien surveillés que les comptes des employés, constituant ainsi une zone d’ombre privilégiée par les hackers pour agir sur le long terme en toute discrétion. Ils peuvent ainsi se déplacer à travers le réseau, accéder aux systèmes critiques et exfiltrer les données préalablement volées.

Aujourd’hui, les employés tendent à devenir un point d’entrée incontournable pour les attaques ciblées, il est donc indispensable que les organisations tiennent compte de la menace interne et surveillent à la fois les points d’entrées sensibles, respectent les bonnes pratiques et restent en alerte face aux signaux précurseurs d’attaques. Quel que soit l’objectif final d’une cyberattaque, les chemins empruntés sont souvent les mêmes, sachant que les hackers visent la plupart du temps la voie royale que sont les comptes à privilèges pour parvenir à leurs fins. (Par Olivier Mélis, Country Manager France chez CyberArk pour DataSecurityBreach.fr)

Arnaque, backdoor, Chiffrement, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Identité numérique, Leak, Particuliers, Piratage, Propriété Industrielle, Social engineering, Vie privée

Les techniques de persuasion utilisées par les cybercriminels

92 % des employés français, 80 % à travers le monde, se sont déjà fait piéger par des menaces informatiques et notamment par des tentatives d’hameçonnage. DataSecurityBreach.fr vous alerte très souvent sur les techniques de persuasion utilisées par les pirates informatiques. Intel Security vient de diffuser un rapport sur les méthodes de substitution des données sensibles utilisées par les cybercriminels sont de plus en plus proches de celles utilisées dans le monde réel et notamment des techniques de vente et d’escroquerie. Prenez garde à votre sécurité en ligne !

« Piratage de l’OS humain », le nouveau rapport d’Intel Security, élaboré avec le soutien du Centre Européen de lutte contre la cybercriminalité d’Europol, présente les techniques utilisées dans les récentes cyberattaques, ainsi que les méthodes de manipulations des hackers pour rendre les collaborateurs d’entreprises complices/acteurs d’actes de cybercriminalité.

Publié quelques jours après la révélation d’une cyberattaque qui a touché plus de 100 banques à travers le monde et causé aux alentours de 900 millions d’euros de dégâts, ce rapport démontre toute l’importance d’une prise de conscience collective et souligne la nécessité d’éduquer les collaborateurs aux méthodes de persuasion appliqués par les hackers dans le monde numérique. Dans l’exemple cité, les attaques de phishing ciblées ont permis l’ouverture de brèches au sein de ces réseaux bancaires, démontrant ainsi la faiblesse intrinsèque du « pare-feu humain ». A titre de comparaison, l’étude Threat Report d’Intel Security a permis, en septembre dernier, de révéler que 92 % des employés français n’étaient pas en mesure d’identifier un courriel de phishing sur sept.

« L’analyse de nombreux cas d’usurpation de données nous montre qu’aujourd’hui, le facteur humain est le plus souvent la clé qui permet aux hackers d’agir. En les manipulant, ils les incitent à prendre des mesures qui facilitent l’infection des systèmes par des logiciels malveillants », commente Raj Samani, Directeur Technique EMEA d’Intel Security et conseiller auprès du Centre européen de lutte contre la cybercriminalité d’Europol.

« Aujourd’hui, les cybercriminels n’ont pas nécessairement besoin de savoir-faire technique pour atteindre leurs objectifs. Certains logiciels malveillants peuvent infecter les ordinateurs en y accédant directement par emails. Ces attaques ciblées manipulent les victimes et les incitent à ouvrir des pièces jointes, prétendument légitimes, ou à cliquer sur un lien qui semble provenir d’une source sûre », indique Paul Gillen, directeur des opérations du Centre Européen de lutte contre la cybercriminalité.

Sur l’année 2014, il a été répertorié une augmentation spectaculaire du nombre d’URL malveillantes soit plus de 30 millions de liens suspects. Cette augmentation peut être attribuée à la fois à une forte hausse du nombre de liens de phishing ainsi qu’à une utilisation plus commune des URL courts qui cachent, souvent, des sites Web malveillants. Cette tendance est d’autant plus inquiétante que 18 % des utilisateurs visés par un email de phishing cliquent sur ce lien malveillant et deviennent ainsi victimes de la cybercriminalité.

Le rapport pointe du doigt le fait que deux tiers des emails mondiaux sont des spams qui visent à soutirer des informations et de l’argent à leurs destinataires. Face à ce constat, il est d’autant plus important que les consommateurs et les collaborateurs d’entreprises soient informés des techniques de phishing et d’escroquerie couramment utilisées dans le monde numérique.

« Aujourd’hui, les cybercriminels sont devenus de très bons psychologues, capables de jouer sur le subconscient des employés en s’appuyant notamment sur un grand nombre de tactiques de « vente » souvent utilisées dans la vie quotidienne. Pour garder une longueur d’avance sur les cybercriminels et réduire le risque d’être l’une des victimes de la cybercriminalité, les entreprises doivent non seulement optimiser leurs processus et compter sur la technologie mais aussi former leurs personnels pour pallier à la brèche dans ce qu’on nomme ‘l’OS humain’ », conclut Raj Samani.

Il n’a jamais été plus important de former les individus à la sécurité et à la politique de leur entreprise en matière de protection des données. Paradoxalement, une étude récente publiée par Enterprise Management Associates1 a révélé que seulement 56 % des employés avaient suivi une formation à la politique de sécurité de l’entreprise.

Les six leviers d’influence des cybercriminels dans le monde numérique

1. Réciprocité des échanges : Les gens ont tendance à se sentir obligés de répondre une fois qu’ils reçoivent quelque chose.

2. Rareté de l’offre : Les individus sont motivés par l’obtention de ce qu’ils croient être une ressource rare ou une offre limitée dans le temps et peuvent ainsi s’exposer plus facilement au cybercrime. Par exemple, un faux courriel envoyé par une banque demandant à l’utilisateur d’accepter une demande suspecte afin d’éviter la désactivation de son compte dans les 24 heures peut avoir tendance à inciter au clic.

3. Cohérence des engagements : Une fois engagée dans une démarche, la victime choisit très souvent de tenir ses promesses pour rester cohérente et éviter de paraître peu voire non fiable. Par exemple, un pirate peut se présenter en tant qu’un membre de l’équipe SI de l’entreprise et, après avoir fait en sorte qu’un employé s’engager à respecter tous les processus de sécurité, lui demander d’effectuer une tâche suspecte sur son poste, qui semblerait être conforme aux exigences de sécurité.

4. Appréciation et amitié : Les tentatives d’hameçonnage sont plus productives lorsque le cybercriminel réussit à gagner la confiance de la victime. Pour endormir la méfiance, un pirate pourrait notamment essayer d’entrer en contact, soit par téléphone soit en ligne, et « charmer » au préalable sa victime potentielle.

5. Respect de l’autorité : Les gens ont tendance à se conformer à une figure d’autorité. Les directives dans un mail prétendument envoyé de la part d’un PDG de l’entreprise sont plus susceptibles d’être suivies par un employé.

6. L’effet de masse : Les gens ont tendance à se conformer à la majorité. Par exemple, si un courriel de phishing est prétendument envoyé à un groupe de collègues, plutôt qu’à un seul destinataire, la victime potentielle de l’attaque se sent davantage rassurée et est plus susceptible de croire que le mail provient d’une source sûre.

1 Source : Enterprise Management Associates

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage, Propriété Industrielle

Pourquoi de bonnes résolutions ne suffisent pas à se protéger en 2015 ?

Face aux cyber-menaces, les entreprises doivent s’ouvrir à de nouvelles approches en termes de cyber-sécurité.

Le paysage des cyber-menaces est en évolution permanente. Les attaques ciblées se multiplient tandis que les modes opératoires deviennent de plus en plus complexes et uniques, rendant ces menaces extrêmement difficiles à identifier. Pour ces raisons, la cyber-sécurité est devenue, aujourd’hui, une problématique prioritaire pour la plupart des entreprises.

Dans ce contexte, il existe quelques recommandations qui permettent de limiter les risques de cyber-attaques. Il est par exemple conseillé de vérifier les antécédents des employés, de limiter l’accès des salariés aux données par lesquelles ils sont concernés dans le cadre de leurs fonctions, de s’assurer du cryptage des données confidentielles, etc. Cependant, bien qu’ils méritent d’être pris au sérieux, ces prérequis de base ne sont pas suffisants pour faire face à la réalité des menaces actuelles les plus sophistiquées.

En effet, aujourd’hui, nous ne pouvons plus considérer, uniquement, les menaces externes. Dans un contexte où l’information est de plus en plus difficile à canaliser, notamment à cause de la pluralité des lieux et des supports d’utilisation, la menace interne est plus que jamais présente, et concerne chaque organisation.

D’un point de vue technologique, une société baptisée Darktrace a connu d’importantes mutations au court des dix dernières années. Le modèle traditionnel, que nous pourrions qualifier d’ancestral, consistait à construire un mur autour du réseau de l’entreprise afin de se protéger d’éventuelles menaces provenant de l’extérieur. Cette approche nécessitait une connaissance parfaite de son réseau ainsi que la capacité à délimiter ses frontières. Aussi, elle impliquait une confiance totale en tous les collaborateurs internes à l’entreprise, et une méfiance constante envers les acteurs externes. Cette vision un peu simpliste apparaît clairement obsolète dans la société contemporaine. Ainsi, pour aider les entreprises à anticiper les cyber-attaques, Darktrace a développé une nouvelle approche. Celle-ci prend comme point d’ancrage l’acceptation de la présence de menaces, sur tous les systèmes d’information.

En effet, étant donné que le risque zéro n’existe pas, et que la réalité des entreprises nous démontre, chaque jour, qu’il est de plus en plus difficile de délimiter les frontières du réseau, il n’est pas pertinent de faire la distinction entre l’interne et l’externe. C’est pourquoi, Darktrace a développé une nouvelle approche appelée « Système Immunitaire pour Entreprises ». Basée sur des avancées académiques fondamentales, elle a pour vocation de se prémunir contre les menaces les plus sophistiquées, qu’elles émanent de l’interne ou de l’externe.

La technologie repose sur l’analyse et l’apprentissage automatisé de l’environnement de l’organisation. Concrètement, il s’agit d’observer les comportements de chaque utilisateur, de chaque machine et de la structure dans sa globalité, afin d’identifier un modèle de comportement normal. La connaissance de ce modèle de référence permet, par déduction, d’identifier les activités « anormales », pouvant révéler d’éventuelles menaces.

Cette solution repose, d’une part sur une technologie auto-apprenante et, d’autre part, sur des mathématiques probabilistes bayésiennes développées à l’université de Cambridge. La combinaison de ces intelligences permet une évolution constante du modèle « de référence », en fonction de l’activité de chaque utilisateur, de chaque machine dans le réseau, et des mutations au sein de l’organisation.

Cette vision de l’activité réseau de l’entreprise, en temps réel, ne permet pas d’éliminer les cyber-menaces, elle a pour vocation de les identifier, afin d’être à même de prendre des mesures correctives avant qu’il ne soit trop tard. Le risque zéro n’existe pas, la menace est là, partout au sein de notre réseau, et elle est impossible à éradiquer. La vraie force est la capacité à l’identifier afin d’anticiper d’éventuelles attaques.

backdoor, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Propriété Industrielle, Sauvegarde

Equation Group : l’ancêtre du cyber espionnage ?

Un commentaire

Depuis plusieurs années, l’équipe GReAT (Global Research & Analysis Team) suivrait étroitement plus de 60 menaces avancées responsables de différentes cyber attaques à travers le monde. Elle a ainsi fait des observations de toutes sortes, les attaques gagnant en complexité à mesure qu’un nombre croissant de pays se sont impliqués et efforcés de se doter des outils les plus évolués. Cependant, ce n’est qu’aujourd’hui que les experts de  peuvent confirmer la découverte d’une menace dépassant tout ce qui était connu jusque-là en termes de complexité et de sophistication techniques. Le groupe à l’origine de cette menace, dénommé « Equation Group », est actif depuis près de 20 ans.

Le groupe se singularise par pratiquement chaque aspect de ses activités : il utilise des outils très complexes et coûteux à développer pour infecter ses victimes, récupérer des données et masquer ses actions d’une façon extrêmement professionnelle, ainsi que des techniques classiques d’espionnage pour diffuser ses codes malveillants. Pour infecter ses victimes, le groupe emploie un puissant arsenal d’« implants » (Troyen), notamment les suivants : Equation Laser, Equation Drug, Double Fantasy, Triple Fantasy, Fanny et Gray Fish. L’existence d’autres implants ne paraît faire aucun doute.

L’équipe GReAT a pu récupérer deux modules servant à reprogrammer le firmware du disque dur de plus d’une douzaine de marques répandues. Il s’agit peut-être de l’outil le plus puissant dans l’arsenal d’Equation Group et du premier malware connu capable d’infecter les disques durs. En reprogrammant le firmware du disque dur (c’est-à-dire en réécrivant le système d’exploitation du disque comme nous vous l’expliquons plus haut), le groupe atteint deux objectifs :

1.       Un niveau extrême de persistance permettant au malware de résister à un reformatage du disque et une réinstallation du système d’exploitation. Dès lors que le malware s’est introduit dans le firmware, il est à même de se régénérer à l’infini. Il peut par exemple empêcher l’effacement d’un certain secteur du disque ou bien le remplacer par un code malveillant à l’amorçage du système. « Un autre danger tient au fait qu’une fois le disque dur infecté par ce code malveillant, il devient impossible d’analyser son firmware. En termes simples, les disques durs comportent pour la plupart des fonctions permettant d’écrire dans le firmware matériel mais aucune pour vérifier l’écriture, de sorte que nous sommes pratiquement aveugles et incapables de détecter les disques durs infectés par ce malware », avertit Costin Raiu, Directeur de l’équipe GReAT. A noter que l’attaque de disque dur n’est pas une nouveauté comme l’annonce Kaspersky. Snowden en avait déjà fait la preuve via des documents volés à ses anciens employeurs, la NSA.

2.       La capacité de créer une zone invisible et persistante à l’intérieur du disque dur. Celle-ci sert à enregistrer des informations qui pourront être exfiltrées ultérieurement par les auteurs de l’attaque. En outre, dans certains cas, elle peut aussi aider le groupe à percer le cryptage : « Etant donné que l’implant GrayFish est actif dès le début de l’amorçage du système, il permet de capturer la clé de cryptage et de l’enregistrer dans la zone cachée », explique Costin Raiu.

Capacité de récupérer des données sur des réseaux isolés
Parmi toutes les attaques lancées par Equation Group, le ver Fanny se démarque. Il a pour but principal de cartographier les réseaux isolés, c’est-à-dire de déterminer la topologie d’un réseau inaccessible par Internet et d’y exécuter des commandes. Pour ce faire, il utilise un mécanisme unique de commande et contrôle (C&C) sur une clé USB, permettant aux auteurs de l’attaque de faire entrer et sortir des données sur les réseaux isolés.

En particulier, une clé USB infectée avec une zone de stockage cachée a été employée pour recueillir des informations système de base sur un ordinateur non connecté à Internet et les transmettre à un serveur C&C dès que la clé est insérée dans une autre machine infectée par Fanny et disposant d’une connexion Internet. Pour exécuter des commandes sur un réseau isolé, il suffit de les enregistrer dans la zone cachée de la clé. Lorsque cette dernière est introduite dans un ordinateur du réseau, Fanny reconnaît les commandes et les exécute.

Méthodes classiques d’espionnage pour la diffusion des malwares
Les auteurs des attaques ont utilisé des méthodes universelles pour infecter les cibles, que ce soit via le Web ou dans le monde physique. A cette fin, ils ont intercepté des produits physiques pour leur substituer des versions contaminées par des chevaux de Troie. Cette technique a été employée, par exemple, pour cibler les participants d’une conférence scientifique à Houston (Texas) : à leur retour chez eux, certains des participants ont reçu un compte rendu de la conférence sur un CD-ROM qui a ensuite servi à installer l’implant DoubleFantasy sur la machine cible. La méthode exacte de falsification des CD reste inconnue.

Il existe de solides indices d’interactions d’Equation Group avec d’autres groupes puissants, tels que les opérateurs des campagnes Stuxnet et Flame, généralement en position de supériorité. Equation Group a ainsi eu accès à des failles « zero day » avant qu’elles ne soient exploitées par Stuxnet et Flame. A un moment donné, il a également partagé des exploitations de vulnérabilités avec d’autres. Par exemple, en 2008, Fanny a utilisé deux failles « zero day » qui ont été par la suite exploitées dans Stuxnet en juin 2009 et mars 2010. Pour l’une d’elles, Stuxnet reprenait en fait un module Flame exploitant la même vulnérabilité et passé directement d’une plate-forme à l’autre.

Equation Group utilise une vaste infrastructure C&C qui comprend plus de 300 domaines et 100 serveurs. Les serveurs sont hébergés dans de nombreux pays (Etats-Unis, Royaume-Uni, Italie, Allemagne, Pays-Bas, Panama, Costa Rica, Malaisie, Colombie et République tchèque, notamment). Kaspersky surveillerait  actuellement plus d’une vingtaine de serveurs C&C (autant dire que les pirates derrières ces centres de commande n’ont plus qu’à changer d’espace, ndlr). Depuis 2001, Equation Group aurait infecté des milliers voire des dizaines de milliers de victimes dans plus d’une trentaine de pays à travers le monde, appartenant aux secteurs ou milieux suivants : administrations et missions diplomatiques, télécommunications, aéronautique, énergie, recherche nucléaire, pétrole et gaz, défense, nanotechnologies, militants et érudits islamiques, médias, transports, établissements financiers ou encore développeurs de technologies de cryptage. Sept exploits utilisés par l’Equation Group dans ses malwares, dont au moins 4 comme « zero day » (ils ne sont donc plus inconnus, ndlr). En outre, des failles inconnues, peut-être « zero day », ont été exploitées contre Firefox 17, tout comme dans le navigateur Tor.

Pendant la phase d’infection, le groupe a la capacité d’exploiter dix vulnérabilités en chaîne. Cependant, les experts n’en ont constaté pas plus de 3 à la suite : si la première échoue, une deuxième est essayée, puis une troisième. En cas de triple échec, le système n’est pas infecté. Ce qui est assez étonnant car ZATAZ.COM a pu constater des « HQ » malveillants exploitant l’intégralité des failles, exploits disponibles au moment de l’attaque lancée par ce type d’outil.

Argent, Entreprise, Identité numérique, Particuliers, Propriété Industrielle

Hack la misère !

ATD Quart Monde, Simplon.co et Spintank proposent aux blogueurs, dessinateurs, graphistes, développeurs, militants associatifs ou toute personne que le sujet intéresserait de hacker la misère le samedi 7 mars.

Une journée pour inventer les nouvelles formes du combat contre la misère. Une journée pour trouver des moyens ludiques, inventifs, attirants de démonter les idées fausses sur les pauvres et la pauvreté. Un seul mot d’ordre : « Laissez courir votre imagination. Parce que combattre les préjugés, c’est déjà combattre la pauvreté. »

ATD Quart Monde a pour but d’éradiquer la misère, en permettant à tout le monde d’accéder aux droits fondamentaux : soins, logement, emploi, etc. Pour ça, nous nous battons depuis plus de 50 ans au côté des personnes très pauvres. Avec quelques belles prouesses à notre actif : création du Revenu minimum d’insertion (ancêtre du RSA), de la Couverture Maladie Universelle (CMU) ou plus récemment du droit au logement opposable.

Les 50 participants répartis en 8 équipes de 5 ou 6 personnes pourront s’appuyer sur le livre « En finir avec les idées fausses sur les pauvres et la pauvreté » pour concevoir et développer des projets en travaillant sur le code, le graphisme, le marketing et la communication.

Des professionnels reconnus seront présents pour soutenir les projets initiés : Jean-Christophe Sarrot, auteur du livre En finir avec les idées fausses sur les pauvres et la pauvreté, Nicolas Vanbremeersch, fondateur et président de Spintank, Erwan Kezzar, cofondateur de Simplon.co, Eric Baille, Directeur associé d’Adésias, Benoît Bedrossian a.k.a Beuh, artiste illustrateur, Benjamin Mis, directeur artistique et peintre. Venez mêler vos compétences contre la misère.

Le Samedi 7 mars 2015, de 9h à 17h, 55 Rue de Vincennes – 93100 Montreuil.