Un rapport met en évidence une augmentation spectaculaire des cyberattaques, notamment une hausse de 150 % des activités cyber chinoises et une explosion des manipulations assistées par l’intelligence artificielle. Le paysage de la cybersécurité se complexifie dangereusement.
La menace cybernétique mondiale ne cesse de croître, portée par des acteurs étatiques et cybercriminels de plus en plus sophistiqués. Le Global Threat Report 2025 de CrowdStrike dévoile des chiffres inquiétants : une augmentation de 442 % des attaques de vishing, une montée en flèche des cyberattaques chinoises et des intrusions sans malware qui défient les solutions de sécurité traditionnelles. Face à ces nouvelles menaces, les entreprises et les gouvernements doivent revoir leurs stratégies et adopter une approche plus proactive pour anticiper les cyberattaques de demain.
L’espionnage cyber chinois atteint des sommets
Les attaques cyber chinoises ont connu une augmentation de 150 %, avec une explosion de 300 % pour les secteurs critiques comme la finance, l’industrie et les médias. En 2024, sept nouveaux groupes de pirates chinois ont été identifiés, illustrant une montée en puissance agressive des opérations d’espionnage commanditées par Pékin. Ces attaques visent avant tout l’acquisition de données sensibles et l’infiltration de réseaux stratégiques.
Cette recrudescence s’inscrit dans une tendance globale où les États-nations exploitent des cyber opérations pour asseoir leur influence géopolitique. Ces actions sont souvent menées sous le couvert de sociétés écran ou via des groupes affiliés, compliquant leur détection et leur attribution. L’espionnage économique et industriel reste une priorité pour ces cyber opérateurs qui ciblent en priorité les innovations technologiques et les secrets commerciaux.
En 2024, sept nouveaux groupes d’attaquants liés à la Chine, contribuant à une hausse de 150 % des cyberattaques d’espionnage.
L’intelligence artificielle au service des cybercriminels
L’ingénierie sociale assistée par l’IA est désormais une arme incontournable pour les cybercriminels. Le rapport met en lumière une augmentation de 442 % des attaques de vishing, où des voix synthétiques convaincantes sont utilisées pour tromper les victimes et dérober des informations sensibles. Des groupes tels que CURLY SPIDER, CHATTY SPIDER et PLUMP SPIDER ont perfectionné ces techniques pour contourner les systèmes de détection et infiltrer des réseaux sécurisés.
L’Iran, de son côté, a exploité l’IA pour identifier des vulnérabilités et développer des exploits ciblant les infrastructures critiques. Cette utilisation offensive de l’intelligence artificielle permet aux attaquants de déployer des campagnes de piratage plus efficaces et difficiles à repérer. Par ailleurs, l’essor des intrusions sans malware complique la tâche des équipes de cybersécurité : désormais, 79 % des attaques initiales ne reposent plus sur des logiciels malveillants mais sur l’exploitation d’identifiants volés.
Exergue : Le vishing a explosé de 442 % en 2024, porté par l’ingénierie sociale assistée par l’intelligence artificielle.
Une cybersécurité sous pression
Les entreprises et institutions doivent faire face à une réduction drastique des délais d’intrusion. En 2024, le temps moyen pour compromettre un système est passé à 48 minutes, avec un record de 51 secondes. Cette rapidité rend la détection et la réponse d’autant plus complexes, nécessitant une approche unifiée et en temps réel.
Les attaques internes sont également en hausse, notamment sous l’impulsion du groupe FAMOUS CHOLLIMA, lié à la Corée du Nord. En 2024, ce groupe a été impliqué dans 304 incidents de cybersécurité, dont 40 % provenaient de cybercriminels infiltrés sous de fausses identités pour accéder aux systèmes. Par ailleurs, les intrusions dans le cloud ont augmenté de 26 % en un an, les cybercriminels exploitant des comptes légitimes pour masquer leur présence et éviter la détection.
Ryan Pickren, un chercheur en sécurité bien connu pour ses exploits précédents, a découvert une vulnérabilité significative dans le casque de réalité virtuelle Apple Vision Pro.
Amis geeks arachnophobes, voici le produit high-tech fait pour vous. Soit vous n’aurez plus jamais peur des araignées, soit vous allez mourir d’un arrêt cardiaque. Une faille, initialement classée par Apple comme un problème de déni de service (DoS), permettait en réalité de créer des objets 3D animés et sonores sans l’autorisation de l’utilisateur, ce qui pouvait remplir une pièce de centaines d’araignées virtuelles et de chauves-souris hurlantes.
La vulnérabilité, identifiée sous le code CVE-2024-27812, réside dans le traitement de contenu web par VisionOS, le système d’exploitation du casque Vision Pro. Bien que VisionOS soit conçu pour restreindre les applications non autorisées, Ryan Pickren, un chercheur en sécurité bien connu pour ses exploits précédents, a découvert que la fonctionnalité ARKit Quick Look, utilisée pour afficher des objets 3D dans Safari, n’était pas correctement sécurisée. Cela permettait à un site web malveillant de générer des objets 3D animés qui persistent même après la fermeture de Safari.
Démonstration de l’attaque
Pickren a démontré cette faille en créant un scénario où des araignées et des chauves-souris virtuelles envahissent la pièce, visibles à travers le casque Vision Pro. Ces objets restent en place jusqu’à ce qu’ils soient supprimés manuellement, rendant l’expérience utilisateur extrêmement perturbante et stressante. Apple a pris connaissance de cette vulnérabilité et a publié des correctifs dans la version 1.2 de VisionOS.
Des hackers ont réussi à pirater le lecteur flash le plus sécurisé au monde, l’IronKey S200.
IronKey S200, un lecteur flash qui se veut le plus sécurisé au monde. Il utilise un système de protection des données avancé et s’auto détruit irrévocablement si vous entrez 10 fois le mauvais mot de passe.
L’éditeur de Wired a proposé le piratage de l’appareil à la startup Unciphered, spécialisée dans la récupération de portefeuilles cryptographiques et de périphériques matériels. L’équipe a passé 8 mois à développer une méthode de piratage et a finalement réussi.
Après une expérience réussie, la startup s’est tournée vers Stefan Thomas, devenu célèbre pour avoir oublié le mot de passe de son IronKey, où 7002 BTC sont stockés depuis 12 ans. Stefan a refusé l’offre de piratage, affirmant que deux équipes de hackers travaillaient sur le problème depuis longtemps.
Aujourd’hui, la valeur des bitcoins dans le portefeuille de Stefan est d’environ 235 millions de dollars. Il ne lui reste plus que 2 tentatives de mot de passe sur les 10 alloués par l’IronKey.
Le Trésor américain envisage de déclarer les cryptomixers centres de blanchiment d’argent et appelle à des mesures restrictives , affirmant que leurs principaux clients sont des terroristes.
Octobre 2024, les pays membres de l’Union Européenne auront voté leur loi respective se calant sur la Directive NIS 2, la Network and Information Security.
On l’a connait sous le nom de Network and Information Security (NIS) ou encore, dans sa version francophone, la SRI, pour Sécurité des Réseaux et de l’Information. En raison de la transformation digitale en cours, notre monde bénéficie d’une connectivité améliorée et d’une plus grande agilité des entreprises. Cependant, cette dépendance accrue à la technologie digitale expose les entreprises, en particulier dans des secteurs critiques tels que les transports, l’énergie, les soins de santé ou la finance, à des vulnérabilités accrues face aux cybermenaces de plus en plus sophistiquées.
Face à ce défi, le Conseil de l’Union européenne (UE) a adopté la directive NIS2 comme un bouclier contre les cybermenaces, en élargissant son champ d’application et en définissant des mesures de sécurité et des exigences en matière de notification des incidents, applicables dans l’ensemble de l’UE. De plus, elle encourage la coopération entre les États membres pour favoriser le partage d’informations sur les menaces et les bonnes pratiques de sécurité. La directive NIS2 est une nouvelle version de la directive NIS de 2016, et les États membres ont jusqu’au 18 octobre 2024 pour transposer ses exigences réglementaires en droit national.
Renforcer la posture et la résilience des entreprises
Cette initiative fait partie d’un effort plus large de l’UE visant à renforcer la posture et la résilience des entreprises face aux risques cybernétiques. En plus de la directive NIS2, l’UE a également introduit la loi sur la cyber-résilience (CRA), qui s’applique aux produits matériels et logiciels comportant des éléments numériques. Cette loi vise à améliorer la sécurité des produits dès les phases de conception et de développement, puis tout au long de leur cycle de vie, ainsi qu’à créer un cadre de cybersécurité cohérent et à améliorer la transparence des critères de sécurité.
Le Royaume-Uni a également adopté le Telecommunications Security Act (TSA) pour renforcer la sécurité et la résilience des réseaux et services de communications électroniques sur son territoire, témoignant ainsi d’un meilleur alignement des normes de cybersécurité entre le Royaume-Uni et l’UE.
Il est essentiel de se préparer à la mise en œuvre de la directive NIS2 pour garantir un environnement numérique plus sûr et résilient dans l’ensemble de l’UE. Les implications de la directive NIS2 peuvent inclure la nécessité de se conformer aux mesures de sécurité et d’exigences de notification des incidents, ainsi que la participation à la coopération entre les États membres pour le partage d’informations sur les menaces et les bonnes pratiques de sécurité.
Un monde numérique en pleine transformation
L’impact de la directive NIS2 sur le paysage numérique en Europe est significatif. La directive clarifie certaines ambigüités et élargit son champ d’application pour inclure de nouveaux secteurs d’activité tels que les fournisseurs d’infrastructures numériques. Elle divise également les entités en deux catégories : « essentielles » et « importantes ». Selon cette réglementation, toute entité opérant dans un ou plusieurs des secteurs spécifiés, dont l’effectif est supérieur à 50 collaborateurs et qui réalise un chiffre d’affaires supérieur à 10 millions d’euros, relèvera automatiquement de son champ d’application en tant qu’entité essentielle ou importante. On estime que le nombre d’entités qui seront incluses dans le champ d’application de NIS2 pourrait être multiplié par dix par rapport à NIS.
La directive NIS2 introduit également un processus de notification d’incidents de sécurité plus précis. Les entreprises sont tenues de soumettre un rapport d’alerte dans les 24 heures suivant la connaissance d’un incident, suivi d’une évaluation initiale dans les 72 heures et d’un rapport final dans un délai d’un mois.
En outre, la nouvelle directive impose des sanctions financières plus sévères en cas de non-conformité, pouvant aller jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires mondial annuel de l’entreprise, le montant le plus élevé étant retenu.
Bien que les entités essentielles et importantes soient assujetties aux mêmes dispositions, les entreprises classées comme importantes bénéficieront d’une application relativement moins contraignante. La directive NIS2 s’appuie sur les meilleures pratiques de cybersécurité, notamment l’évaluation continue des risques et des vulnérabilités à chaque étape du cycle de vie opérationnel, la maîtrise proactive des risques identifiés grâce à des mesures pertinentes de prévention, de détection et de réponse aux menaces, la définition de procédures efficaces de gestion de crise pour assurer la continuité des activités en cas d’incident, et le partage rapide, ouvert et transparent des informations sur les vulnérabilités et incidents avec les autorités de surveillance nationales et toutes les parties potentiellement impactées, directement ou indirectement.
Renforcer et sécuriser
Les principes clés de NIS2 visent à renforcer la sécurité des réseaux et de l’information. Cette directive adopte une approche inclusive des risques en considérant les menaces potentielles de sources diverses telles que les cambriolages, les incendies, les catastrophes naturelles, les pannes d’électricité, les télécommunications et les cyberattaques. Pour évaluer les risques, les entités doivent dresser l’inventaire de leurs ressources, services et vulnérabilités potentielles. Les politiques de sécurité des systèmes d’information doivent être élaborées en se basant sur des lignes directrices nationales ou supranationales et sur des principes d’évaluation des risques spécifiques à chaque secteur d’activité. L’ENISA est chargée de l’élaboration et de la promotion de ces recommandations.
Les mesures de prévention, de détection et de riposte aux incidents doivent être prises en compte après une évaluation exhaustive des risques. Il est nécessaire d’assurer l’application des mesures de sécurité de base telles que le déploiement de correctifs et de mises à jour de sécurité dans des délais raisonnables, un contrôle des accès et la formation des collaborateurs aux bonnes pratiques de sécurité. Les entreprises peuvent se conformer aux exigences de NIS2 et aux meilleures pratiques stipulées par le NIST en utilisant des solutions de sécurité conformes au framework de cybersécurité (CSF). Il est également recommandé d’utiliser des technologies innovantes, y compris l’intelligence artificielle, pour améliorer la détection et la prévention des cyberattaques.
Enfin, il est important de prévoir un plan détaillé pour une réaction immédiate face à des incidents inévitables. Les entreprises doivent disposer d’une architecture hautement disponible, avec des processus automatisés de failover et des sauvegardes hors site de toutes les données critiques, ainsi que d’une connectivité fiable, sécurisée et efficace entre les sites en utilisant la technologie SD-WAN pour assurer la continuité de leurs activités. La directive NIS2 souligne également l’importance d’un échange d’informations couvrant plusieurs domaines tels que les cybermenaces, les incidents, les vulnérabilités, les outils et méthodes en place, les tactiques, techniques et procédures, les exercices de simulation de gestion de crises, la formation et les processus permettant de renforcer le niveau de confiance.
La sécurité des tiers et de la chaîne d’approvisionnement est cruciale pour garantir la posture de sécurité d’une entreprise, comme l’ont récemment démontré les exploits exploitant la vulnérabilité Log4j. Pour se conformer à la directive NIS2, les entreprises doivent prendre en compte les recommandations formulées lors des discussions sur le Cybersecurity Framework (CSF) 2.0 et adhérer à des normes de sécurité de l’information éprouvées, telles que l’ISO 27001.
Les professionnels qui utilisent le cadre de CSF 2.0 soulignent l’importance de différencier les chaînes d’approvisionnement selon le type de fournisseur (éditeurs de logiciels, constructeurs, etc.). Cette approche permet d’adapter les mesures de sécurité à chaque profil, notamment face à la prolifération d’appareils IoT, de processus basés sur des logiciels (SaaS, bibliothèques open source, etc.) et d’éditeurs fournissant des logiciels grand public (applications, sites Web, etc.).
Les phases du cycle de vie du système d’information
La sécurité des réseaux et des systèmes d’information doit être prise en compte à toutes les phases du cycle de vie du système d’information, de l’achat à la maintenance. La directive NIS2 insiste sur l’identification, le traitement et la divulgation en temps opportun des vulnérabilités, conformément aux normes internationales telles que l’annexe A.14 de la norme ISO 27001, ISO/IEC 30111 et ISO/IEC 29147. L’utilisation d’un framework tel que le CSF du NIST permet d’améliorer les pratiques de sécurité et de garantir une approche globale et résiliente.
L’intégration d’une plateforme de sécurité avec le système de gestion de la sécurité des informations est essentielle pour simplifier et automatiser les processus de sécurité. Cette intégration permet aux entreprises d’avoir une gestion cohérente et intégrale des risques liés à la sécurité de l’information.
La directive NIS2 exige une évaluation régulière des mesures de gestion des risques de cybersécurité. L’utilisation d’un cadre comme PolicyOps permet de simplifier ce processus d’évaluation et de gestion des politiques et procédures de sécurité de l’entreprise. PolicyOps automatise l’évaluation des politiques de sécurité, permet un suivi de la conformité et assure que la gestion des risques est conforme aux normes de sécurité en vigueur, y compris la directive NIS2.
La directive encourage également l’application pleine et entière des principes de protection des données et de la vie privée, tels que l’utilisation de pseudonymes et le chiffrement, pour sécuriser les données à caractère personnel. Pour certains fournisseurs, l’utilisation d’un chiffrement de bout en bout peut être obligatoire.
Les plateformes de virtualisation, dans la ligne de mire des hackers. La virtualisation est un élément essentiel de l’architecture informatique de nombreuses organisations. Selon Gartner, 97 % des entreprises de taille moyenne géreront un environnement hybride d’ici 2025.
La preuve de concept pour l’exploit du serveur ESXi a été publiée en juin 2021. Le patch existait. Que pensez-vous qu’il arriva 18 mois plus tard ? Une cyber attaque qui a mis au tapis des centaines d’entreprises, dont la Mairie de Biarritz. Les cybercriminels ont travaillé sur cette vulnérabilité durant tout ce temps pour en tirer un exploit en cette fin janvier 2023. Un test malheureusement assez réussi, il faut bien l’admettre. Il est probable que des campagnes similaires continuent d’être lancées, répondant aux tentatives de déchiffrement comme celle publiée par la CISA, la Cybersecurity and infrastructure security agency.
Jusqu’à présent, nous avons vu plusieurs centaines de serveurs ESXi exploités et chiffrés. Il suffit d’utiliser le moteur de recherche cyber Shodan pour en apercevoir les quelques effets. Des serveurs connectés, sans la moindre rustine protégeant les machines de la faille annoncée en 2021.
Nous pouvons nous attendre à de nouvelles violations, dans lesquelles les hackers auront préalablement infiltré le réseau afin d’exploiter la même vulnérabilité sur les installations ESXi non corrigées. L’objectif sera alors de causer des dégâts encore plus grands. La demande de rançon devrait également augmenter en parallèle. Des cybercriminels ont tenté le coup, d’une manière assez grossières il faut bien l’avouer, et ont réclamé quelques rançons.
Les attaques actuelles montrent une fois de plus la nécessité de rester diligent et vigilant quant à la mise à jour de l’infrastructure critique d’une organisation, même s’il ne s’agit pas d’un simple clic. Une bonne gestion des actifs aurait ainsi signalé la version obsolète. Les outils qui surveillent la configuration sécurisée d’un ESXi vérifient toute connexion Internet publique non protégée de ce serveur et tout port ouvert sur celui-ci.
Même si les serveurs ESXi sont utilisés en interne et ne sont toujours pas corrigés, il est désormais incontournable de mettre à jour l’installation. Une analyse de vulnérabilité interne, basée sur le réseau, peut aider à identifier toute instance oubliée sur des serveurs ESXi obsolètes.
Virtualisation
La virtualisation est au cœur de la stratégie de la plupart des organisations en matière de cloud computing, qu’il s’agisse de systèmes sur site, publics ou hybrides, l’hyperviseur constituant le pilier de l’informatique. Les acteurs malveillants savent que viser cette cible avec une seule flèche peut leur permettre d’élever leurs privilèges et de leur accorder l’accès à tout.
Si ces pirates parviennent à obtenir un accès, ils peuvent pousser les logiciels malveillants à s’infiltrer au niveau de l’hyperviseur et à provoquer une infection massive.
« Nous savons que les acteurs malveillants privilégient les vulnérabilités connues qui ont un impact sur des logiciels populaires, notamment Open Source, VMWare, ManageEngine, PrintNightmare et ProxyShell. Ils ciblent ces failles en sachant qu’ils peuvent abuser des droits d’administrateur pour traverser le réseau et causer des dommages, voire exiger une rançon pour les systèmes d’information et les données sensibles. Pour assurer la continuité des activités, il est impératif que les équipes de sécurité déterminent comment remédier aux vulnérabilités exploitées tout en minimisant l’impact sur l’organisation, au lieu de laisser les failles connues non traitées. » Bernard Montel, directeur technique EMEA chez Tenable.
Des variantes variables
Des chercheurs mettent en garde contre de nouvelles attaques de ransomware ESXiArgs dont la version actualisée rend difficile la restauration des machines virtuelles VMware ESXi.
La nouvelle variante a été découverte moins d’une semaine après que le CERT-FR et le CISA ont émis des avertissements concernant une campagne massive de logiciels malveillants basés sur ESXi et ciblant des milliers de serveurs VMware vulnérables à la vulnérabilité critique CVE-2021-21974. Le problème est lié à OpenSLP. Cependant, VMware n’a pas confirmé l’exploitation de CVE-2021-21974, mais a déclaré que le 0-day n’a pas été utilisé non plus.
De son côté, GreyNoise note que plusieurs vulnérabilités liées à OpenSLP ont été découvertes dans ESXi ces dernières années, et que n’importe laquelle d’entre elles aurait pu être exploitée dans les attaques ESXiArgs, notamment CVE-2020-3992 et CVE-2019-5544.
La nouvelle méthode de cryptage ESXiArgs a été mise en œuvre par les développeurs après que le CISA a publié un outil capable de récupérer les fichiers sans payer de rançon.
Le fait est que la version précédente du ransomware visait principalement les fichiers de configuration des VM et ne chiffrait pas les fichiers. L’utilitaire permet de récupérer des fichiers de configuration chiffrés à partir de fichiers non chiffrés. Dans les échantillons de la souche mise à jour, le paramètre size_step du script encrypt.sh avait une valeur de 1, chiffrant 1 Mo via un saut de données de 1 Mo.
Cette modification a permis au ransomware de crypter de gros morceaux de données dans les fichiers cibles, rendant impossible leur récupération. Une particularité des derniers incidents est la compromission des serveurs même avec des SLP désactivés. La porte dérobée vmtool.py, repérée précédemment, était également absente des systèmes infectés.
Les experts ont également remarqué que le ransomware ESXiArgs a cessé d’inclure des adresses BTC. Les victimes sont encouragées à contacter les opérateurs TOX et le montant de la rançon est de 2 bitcoins. Le malware de cryptage de fichiers est basé sur le code source de l’ancien groupe Babuk. Des informations avaient fuité en 2021. Un script CISA permet de retrouver, ses accés.
Toutefois, le large ciblage et la faible quantité de ransomware suggèrent (1) que la campagne n’est pas liée à des gangs de ransomware connus.
Selon la télémétrie de Project Sonar, près de 19 000 serveurs ESXi restent vulnérables à CVE-2021-21974. Il a été observé d’autres incidents visant des serveurs ESXi non associés à la campagne ESXiArgs, qui peuvent également exploiter CVE-2021-21974.
Il s’agit, par exemple, d’un nouveau type de ransomware, RansomExx2, écrit en Rust.
YesWeHack, plateforme européenne de Bug Bounty, lance MyOpenVDP, une solution de Programme de divulgation volontaire de vulnérabilités clé en main sous forme d’outil open-source. Mission; favoriser une approche responsable de la divulgation de failles.
« Notre initiative est le reflet de notre décennie d’expertise en matière de sécurité en Europe, de nos investissements à long terme et de notre engagement profond envers l’approche CVD (Coordinated Vulnerability Disclosure), l’éthique, la transparence et le respect des lois européennes« , déclare Guillaume Vassault-Houlière, CEO et cofondateur de YesWeHack.
Alors que plusieurs organismes publics internationaux ont reconnu l’intérêt et la nécessité d’une manière plus transparente de signaler les vulnérabilités, la CVD n’est pas encore largement généralisée alors qu’elle offre un canal indispensable pour un dialogue régulier et de confiance avec la communauté de hackers éthiques.
CVD / VDP, kesako ?
Un internaute trouve une faille dans un site web ? Comment faire pour alerter, de manière propre et efficace ? Et surtout, sans risque d’être pris pour un vulgaire mais dangereux pirate par l’entreprise alertée ? Une application Web pour divulguer les vulnérabilités (VDP = Programme de divulgation volontaire) en toute sécurité est une solution, celle proposée par YWH. (il existe aussi l’ANSSI, les CERTs, Etc.)
Étant donné que la divulgation sauvage ou le fait de ne pas signaler une vulnérabilité en raison d’un défaut de moyens de communication met les utilisateurs en danger et peut avoir un impact sur la réputation des fournisseurs, le CVD est le moyen de transformer ces risques en opportunités et d’instaurer la confiance.
Le système permet de protéger la communication, chiffrement (pgp) obligatoire et l’unique récepteur de l’information est l’entreprise.
MyOpenVDP peut évoluer vers une version payante offrant une personnalisation complète et facile ainsi qu’une intégration dans la plateforme YesWeHack, parfaitement adaptée aux processus et outils d’une organisation DevSecOps.
Le 24 février 2022, l’armée Russe envahissait l’Ukraine. Une attaque terrestre, aérienne, maritime et numérique. Parmi les dommages collatéraux, une cyberattaque à l’encontre des communications gérées par les satellites Viasat.
Souvenez-vous, le 24 février 2022, alors que l’armée Russe envahissait l’Ukraine, des milliers de clients et utilisateurs de communication passant par les satellites ViaSat se retrouvaient sourds et muets. Un essuie-glace russe était passé par là. Un Wiper, baptisé AcidRain par la société américaine SentinelOne, aurait fait le grand ménage dans l’informatique satellitaire.
Ce code malveillant aurait de grande similitude avec un cousin du nom de VPNFilter. Ce « virus » aurait infecté plus de 500 000 modems sur le sol de l’Oncle Sam. Lors de la cyber attaque de « pluie acide », des milliers de modems Viasat sont tombés en panne en Ukraine, mais aussi dans toute l’Europe, dont la France.
Viasat explique que les pirates, qui seraient Russes, sont passé par un outil VPN mal configuré. AcidRain n’avait plus qu’à être lancé. Il a écrasé les informations de chaque modem, les rendant inutilisables. Le merdier n’a pas été corrigé rapidement. En France, NordNet, l’une des victimes collatérales, expliquait ne pas pouvoir agir dans un temps raisonnable. Le manque de pièce ne permettant pas de remplacer les modems. Il faut dire aussi qu’aucune mise à jour en ligne n’était possible. Il faut remplacer physiquement le matériel.
AcidRain est le septième wiper découvert depuis la guerre en Ukraine.
La société Barracuda organise une conférence en ligne dédiée à la cybersécurité. Parmi les discussions, les fuite de données de ces derniers mois.
Et si vous vous mettiez dans la peau d’un pirate informatique, pour mieux les comprendre et donc mieux les contrer ! Les sociétés CVC-IT et Barracuda vous proposent d’assister à un conférence dédiée à la Cybersécurité. Ca se déroulera en ligne, le 29 Mars 2022, à 11H.
Le rendez-vous sera co-animée par Damien Bancal, spécialiste en cyber intelligence depuis plus de 30 ans et Alhan Douville de la société Barracuda.
Vous pourrez découvrir les fuites de données qui ont touché Internet, ces derniers mois et des cas concrets de sécurisation des données.
Cette conférence en ligne est gratuite. Pour vous inscrire -> ICI
Ce jeudi 6 mai est la Journée mondiale du mot de passe, l’occasion depuis plusieurs années de rappeler les bonnes pratiques en matière de cybersécurité et de fiabilité des mots de passe, mais aussi plus largement de questionner leur pertinence globale, à l’heure où la fraude en ligne n’a jamais été aussi répandue.
La société Nuance Communications est un acteur important dans les solutions de sécurité utilisant la biométrie.
La Journée mondiale du mot de passe donne l’opportunité aux experts de la cybersécurité et de la lutte contre la fraude de réaffirmer que les codes PIN et mots de passe sont des outils archaïques, dépassés, qui ne correspondent plus à la réalité des usages et des besoins d’aujourd’hui. Les mots de passe se retrouvent vendus sur le dark web, exploités à des fins frauduleuses, et se retournent parfois contre leurs propriétaires, comme on a pu le constater récemment avec des pertes de millions d’euros en cryptomonnaies à cause d’oublis de mots de passe non réinitialisables.
Une récente étude[1] menée par Nuance révèle que 17% des Français utilisent deux ou trois mots de passe différents pour protéger tous leurs comptes utilisateurs, et 12% déclarent même utiliser le même mot de passe partout sans considération de son niveau de fiabilité ou de singularité ! De plus, 30% des répondants ont indiqué oublier leur mot de passe ou code PIN au moins une fois par mois, ce qui montre à quel point ce moyen d’authentification est volatile, peu intuitif et contraignant pour les utilisateurs. Ces derniers se retrouvent exposés à un risque élevé de fraude, et il est de la responsabilité des entreprises de s’attaquer à cette menace en renforçant la sécurité de leurs clients par le biais de solutions modernes. Le site ZATAZ révèle des centaines de fuites de données qui laissent perplexe concernant les utilisateurs et leurs mots de passe.
« Cette même étude a par ailleurs montré que 18% des Français avaient été victimes de fraude au cours des 12 derniers mois, y perdant en moyenne 995 euros. Il est donc grand temps de tourner la page des mots de passe et codes PIN pour déployer des technologies plus sophistiquées et robustes telles que la biométrie et enfin offrir aux consommateurs le niveau de protection qu’ils méritent. La biométrie permet d’authentifier les individus instantanément en se basant sur les caractéristiques qui leurs sont propres et les rendent uniques. Fini le temps des authentifications basées sur un savoir (mot de passe ou autre information à retenir) trop facile à exploiter, les solutions biométriques sont actuellement le meilleur allié de la lutte contre la fraude et permettent de redonner de la sérénité aux consommateurs. » explique Simon Marchand, Chief Fraud Prevention Officer au sein de la division Sécurité et Biométrie de Nuance.
[1] Etude réalisée par OnePoll pour Nuance en avril 2021 auprès de 10 000 répondants dans les pays suivants : France, Royaume-Uni, Etats-Unis, Allemagne, Espagne, Australie, Italie, Suède, Belgique, Pays-Bas et Mexique. En France, le panel de l’étude est constitué de 1000 répondants.
En 2021, l’utilisation exponentielle d’appareils connectés, d’applications et de services web dans notre vie professionnelle et privée augmentera la surface d’attaque de la maison connectée au point de soulever de nouveaux risques majeurs pour les individus et leurs employeurs. Parmi ces risques des fuites d’informations qui rentrent dans le périmètre du RGDP, le Règlement Général de la Protection des Données.
Le RGPD, on en a énormément entendu parlé depuis mai 2018. Alors qu’auparavant, les entreprises regardaient ailleurs, il aura fallu suivre les règles imposées par l’Europe pour protéger les internautes, les clients, les employés, les élèves, les patients … bref toutes les informations que les individus ont pu laisser dans les mains d’entreprises privées et publiques. Les RGPD formations se retrouvent par dizaines. Seulement, les confinements imposés par la lutte contre la pandémie de COVID-19 ont rajouté une couche d’insécurité pour les données avec le télétravail. Rajoutant des cheveux gris sur bon nombre de têtes des DPO RGPD.
La menace qui pèse sur les foyers connectés ne date pas d’hier. Cependant, l’émergence de fonctionnalités accrues dans les appareils domestiques et professionnels, et le fait que ces appareils s’interconnectent plus que jamais, représente une nouveauté et les données personnelles et professionnelles sont en ligne de mire. À cela s’ajoute la croissance historique du recours au télétravail, entrainant un usage de ces appareils plus important que jamais. Suivre une formation RGPD pourrait être proposée aux salariés découvrant le télétravail.
Objectif des pirates Versus objectif RGPD
L’année 2020 a vu la pandémie faire passer les employés du bureau à la maison, transformant ainsi l’environnement domestique en un environnement de travail. Depuis le début de la crise Covid-19, la surveillance des appareils de la plateforme McAfee a montré, par exemple, une augmentation de 22 % du nombre de dispositifs domestiques connectés dans le monde. Plus de 70 % du trafic de ces appareils provenait de smartphones, d’ordinateurs portables ou fixes, et de télévisions, et plus de 29 % provenait d’appareils IoT tels que les dispositifs de streaming, les consoles de jeu, les vêtements et accessoires connectés, ainsi que les lampes intelligentes. Autant de nid à données.
Les cybercriminels se sont concentrés davantage sur la surface d’attaque à domicile avec une montée en flèche des messages de phishing sur les canaux de communication. Le nombre de liens de hameçonnages bloqués par l’éditeur a augmenté de plus de 21 % de mars à novembre 2020, avec une moyenne de plus de 400 liens par foyer. Cette augmentation est significative comme a pu le prouver le blog cybersécurité ZATAZ.COM et suggère qu’un flux de messages de phishing contenant des liens malveillants est entré dans les réseaux domestiques par les appareils aux mesures de sécurité les plus faibles.
Des millions d’employés sont individuellement devenus responsables de la sécurité informatique de leur employeur, évoluant dans un bureau à domicile équipés de dispositifs non protégés, de la cuisine au salon, en passant par la chambre à coucher. Nombre de ces appareils domestiques sont « orphelins » : leurs fabricants ne les prennent pas en charge correctement avec des mises à jour de sécurité pour faire face aux nouvelles menaces ou vulnérabilités. Cela contraste avec un environnement professionnel où les dispositifs sont renforcés par des mesures de sécurité à l’échelle de l’entreprise. Les collaborateurs travaillent désormais avec des équipements de qualité grand public qu’ils configurent eux-mêmes. Ils ne disposent pas de la gestion centrale, des mises à jour régulières des logiciels et du contrôle de sécurité de l’entreprise.
« C’est pourquoi nous pensons que les cybercriminels feront de la maison une surface d’attaque pour des campagnes visant non seulement les utilisateurs mais aussi les entreprises,souligne Fabien Rech, Vice-Président Europe du Sud, Benelux et Israël chez McAfee. Les pirates profiteront de l’absence de mises à jour régulières des logiciels, du manque de dispositifs de sécurité, de la faiblesse des politiques de protection de la vie privée, des exploits de vulnérabilités et de la vulnérabilité des utilisateurs à l’ingénierie sociale« .
En compromettant l’environnement domestique, ces acteurs malveillants lanceront une série d’attaques sur les appareils des entreprises et des consommateurs en 2021.
Retenez une chose, pendant l’attaque, pendant qu’ils sont en train de chiffrer tous vos fichiers, les pirates continuent leur travail. Dans de plus en plus de cas aujourd’hui, l’activité principale d’une attaque de ransomware se passe avant et après l’attaque.
Les pirates ne se contentent pas de juste infiltrer votre machine, ils analysent ensuite tous vos documents volés. Lorsqu’on parle de ransomware aujourd’hui, il ne s’agit plus du simple chiffrement des informations, il s’agit d’un accès pour ensuite tout autoriser. Les opérateurs de ransomwares sont devenus maître de votre machine et ils comptent bien vous faire chanter.
Comme le rappelle IS Decisions, il y a un état d’esprit marketing flagrant face à la malveillance mise en place. La première étape consiste à prendre en otages les machines et les fichiers par chiffrement puis à vous demander de payer le déchiffrement de ces fichiers.
La deuxième étape consiste à menacer de divulguer les informations volées pour alerter les autorités. Avec les réglementations de type RGPD et la possibilité de lourdes amendes pour non-divulgation d’attaques, cette deuxième étape est de plus en plus courante.
La troisième étape consiste à vendre aux enchères les données volées pour les entreprises qui n’ont pas payé aux deux premières tentatives de chantage.
Comment se protéger ? La sécurité informatique à 100% n’existe malheureusement pas. C’est pourquoi il faut être organisé à l’avance afin d’être prêt pour le jour où ce genre de catastrophe se produit. Que faut-il faire ? Que ne faut-il surtout pas faire ? Il faut mettre en place des mesures préventives et proactives clés afin de fournir des couches supplémentaires de défense contre les attaques de ransomwares.
Le géant de la clé sécurisée Yubico lance la YubiKey 5C NFC, la première clé de sécurité multiprotocole au monde prenant en charge le protocole smart card, et dotée de connexions NFC et USB-C sur un seul appareil.
L’arrivée de la YubiKey 5C NFC coïncide avec le besoin accru d’une authentification simple mais forte à l’échelle mondiale. Les attaques de phishing liées au COVID-19 ne cessent de progresser dans le contexte du travail à distance, et des millions d’appareils d’entreprise sont désormais partagés avec les familles et sur les réseaux domestiques. Guido Appenzeller, chef de produit chez Yubico, explique que « la façon dont les individus travaillent et se connectent à Internet est très différente aujourd’hui de ce qu’elle était il y a quelques années, et surtout ces derniers mois. Les utilisateurs ne sont plus liés à un seul appareil ou service, et ils ne veulent plus l’être. C’est la raison pour laquelle la YubiKey 5C NFC est l’une de nos clés de sécurité les plus prisées. Elle est compatible avec la majorité des ordinateurs et des téléphones portables modernes et fonctionne parfaitement avec toute une série d’applications anciennes et récentes. En fin de compte, nos clients ont besoin d’une sécurité qui « fonctionne » quoi qu’il arrive ».
En effet, les clés de sécurité — comme la YubiKey — permettent de lutter contre le phishing et les attaques de type « man-in-the-middle », associée à une expérience utilisateur fluide. D’un simple geste, la YubiKey 5C NFC peut être utilisée pour s’authentifier sur l’ensemble des principales plateformes — iOS, Android, Windows, macOS et Linux — et sur tout appareil mobile, ordinateur portable ou de bureau qui prend en charge les ports USB-C ou NFC. L’authentification par YubiKey peut se révéler jusqu’à quatre fois plus rapide que la connexion avec un code d’accès unique.
Voilà qui est fâcheux pour les utilisateurs de l’application Adobe Lightroom pour iPhone et iPad. La dernière mise à jour effacé les photos des utilisateurs.
Abracadabra… plus de photos ! La dernière mise à jour pour Adobe Lightroom à destination des iPhone et Ipad a effacé les photos des utilisateurs. Un étonnant bug qu’Adobe a rapidement corrigé, mais le mal était fait pour de nombreux utilisateurs. « Certains clients qui ont mis à jour vers Lightroom 5.4.0 sur iPhone et iPad peuvent perdre des photos et / ou des préréglages. Cela a affecté les clients utilisant Lightroom mobile sans abonnement au cloud Adobe. Cela a également affecté les clients du cloud Lightroom avec des photos et des préréglages qui n’avaient pas encore été synchronisés avec le cloud Adobe.«
Les utilisateurs de l’outil dédié aux photos sous Android, MacOS et Windows n’ont pas connu cette faille. « L’installation de la version 5.4.1 ne restaurera pas les photos ou préréglages manquants pour les clients affectés par le problème introduit dans la version 5.4.0. » souligne Adobe en s’excusant du problème. « Nous savons que certains clients ont des photos et des préréglages qui ne sont pas récupérables. Nous savons à quel point cela sera frustrant et bouleversant pour les personnes touchées et nous nous excusons sincèrement.«
Un mode d’emploi de l’armée américaine explique l’armée de la Corée du Nord et sa section hacking étatique.
La campagne médiatique militaire US à l’encontre de la Corée du Nord vient de voir apparaître, en ce mois d’août, un nouveau document du DoD, le Département de la Défense US, concernant les pirates informatiques de la Corée du Nord. On y apprend que l’armée américaine affirme que de nombreux pirates nord-coréens sont basés en dehors de la dictature locale, dans des pays comme la Biélorussie, la Chine, l’Inde, la Malaisie et la Russie. Une cyber armée forte de 6 000 e-soldats. De nombreux pirates affichés comme membre de l’armée de PyongYang ont été arrêtés en Thaïlande, Philippine ou encore en Chine.
Déjà, en 2011, des petites mains du Gold Farming (création de personnage dans des jeux vidéo pour les revendre) étaient arrêtées en Chine. Quinze pirates informatiques nord coréens. Ils pirataient la planète afin de récupérer des « dollars » pour Kim Jong-Li. Parmi leurs actions, de la revente d´or créés dans World of Warcraft.
Tactiques nord-Coréennes
Ce document de 332 pages est un manuel militaire baptisé « Tactiques nord-Coréennes ». Il a été rendu public en juillet 2020. Il revient surtout sur l’armée populaire coréenne et les tactiques conventionnelles. Un chapitre relate la section numérique de cette force armée. « La plupart des opérations de guerre électronique et dans le cyberespace ont lieu au sein de l’Unité d’orientation de la guerre cybernétique, plus connue sous le nom de Bureau 121″, explique l’armée américaine. Le Bureau 121 a connu une croissance exponentielle ces dernières années ». Toujours selon ce document, le Bureau 121 est passé « d’au moins 1 000 hackers d’élite en 2010 à plus de 6 000 membres aujourd’hui ». Des chiffres assez fantaisiste. Ce qui reste très étonnant pour un document militaire.
Par exemple, en 2013, un rapport du ministère sud-coréen de la Défense parlait déjà de 3 000 soldats pirates en 2013. En 2014, le DoD vendait déjà les black hat de Pyongyang comme « la 3e armée armée de hackers du monde » derrière la Russie et les États-Unis.
En 2014 déjà, l’Agence de Presse Reuters annonçait une armée de 6 000 soldats dédiés à la guerre électronique, au hacking … La source était des transfuges de Corée du Nord. Ils indiquaient alors que le Bureau 121 était composé « de certains des experts en informatique les plus talentueux de l’État, faisait partie du Bureau général de reconnaissance, une agence d’espionnage d’élite dirigée par l’armée« . Un ancien Nord Coréen ayant étudié dans une université informatique militaire partait d’une cyber armée forte de 1 800 hommes. Au même moment, d’autres transfuges annonçaient 1 200 hackers.
Le « North Korean Tactics » 2020 de l’Oncle Sam reprend des données diffusées dans un autre document baptisé lui aussi « north Korean Tactics » publié en 2001.
121 Office
Bref, les vrais chiffres sur cette armée de pirates restent et resteront flou. Une armée de pirates qui aurait été créée en 1998 à la demande de Kim Jong-il (une idée de son fils alors en Suisse ?). Un parfait fantasme pour la communication de la Corée du Nord, comme pour les Etats-Unis. Le New York Times indiquait en 2017 qu’il était estimé que 1700 soldats opéraient de la Corée du Nord, secondés par 5 000 autres, via l’étranger.
Pour rappel, après l’attaque de Sony en novembre 2014 imputée à la Corée du Nord, Barack Obama avait indiqué qu’une riposte à ce piratage était possible « dans un lieu, à l’heure et de la manière que nous choisirons ». Quelques jours plus tard, l’Internet de la Corée du Nord subissait une coupure via un DDoS (inonder un réseau de trafic jusqu’à ce qu’il s’effondre sous la charge) qui se sera jamais revendiqué. Les pirates de Sony avait indiqué ne pas être affilié au pays dont on leur affublé l’origine. En 2014, les pirates Nord Coréens avaient été accusés d’avoir infiltré l’informatique de la chaîné de TV Channel Four. Cette dernière devait diffuser une émission sur un chercheur britannique kidnappé à Pyongyang.
Fin juillet, échappant aux sanctions internationales visant à interrompre son programme d’armement nucléaire, la Corée du Nord a exploité des vulnérabilités présentes dans certaines parties du secteur bancaire de la République démocratique du Congo (RDC) afin d’accéder au système financier mondial, révèle un rapport d’enquête.
Depuis au moins 6 ans, le bureau 121 aurait en gestion au moins 6 000 soldats pirates. Autant dire qu’en 6 ans, ce chiffre a pu être multiplié par 2 … ou zéro. La bande passante locale est estimée à 2,5 gigabits. Il suffit de visiter un site comme celui de l’association des cuisiniers Nord Coréens (sic!) cooks.org.kp pour apprécier le débit ! Si à cela vous rajoutez les coupures de courant et un intranet (Kwangmyong) trés limité, les pirates Nord Coréens ont effectivement intérêt à agir de l’étranger !
The Andarial Group, Bluenoroff and Co
Le 121 Office n’est qu’une sub-division d’une organisation plus vaste comprenant « The Andarial Group ». Plus ou moins 1 600 soldats. La mission est de recueillir des informations en menant des reconnaissances sur les systèmes informatiques ennemis et la création d’une première évaluation de vulnérabilités. Ce groupe cartographie le réseau ennemi en vue d’une éventuelle attaque.
Ensuite, Le groupe Bluenoroff. 1 700 hommes et femmes dont la mission est de mener des actions de cybercriminalité financière en en se concentrant sur l’évaluation à long terme et l’exploitation des vulnérabilités des réseaux ennemis. Ce groupe exploite les systèmes à des fins de gain financier pour le régime ou pour prendre le contrôle du système.
Vient ensuite le Régiment de brouillage de guerre électronique. Situé à Pyongyang
Pour finir, le groupe Lazarus. Nombre inconnu de membres dont la mission est de créer un chaos social via des attaques informatiques. Ce groupe serait derrière l’attaque WannaCry en 2016 et 2017.
Deux fournisseurs d’Internet en Corée du Nord (Star Joint Ventures l’unique FAI du pays) : la Chine, via China Unicom et la Russe (depuis 2017) via TransTelekom. Même sauce pour la 3G avec l’unique opérateur Koryo link. La Corée du Nord dispose d’un peu plus de 1 024 IP officielles (175.45.176.0 à 175.45.179.255) pour 25 millions d’habitants et 115 sites web hébergés dans le pays. La compagnie aérienne Air Koryo était hébergée par exemple à Singapour avant de revenir dans un hébergement 100% locale.
Bref, des pirates informatiques étatiques qui ont pour mission de palier l’obsolescence des armes, radars et autres matériels de l’armée Nord Coréenne. L’armée de terre utilise encore des équipements avec plusieurs générations de retard sur ses ennemis potentiels.
Vous pouvez être amené, pour diverses raisons, à devoir expédier par voie postale un courrier important sur lequel vous voulez garder un œil durant son acheminement. Il peut s’agir par exemple de contrats, de réponses à des appels d’offre, de lettres de règlement, etc. Nous allons voir quelles sont les solutions qui s’offrent à vous et quels sont leurs caractéristiques et avantages respectifs.
Le courrier simple
On entend par là écopli, lettre verte ou lettre prioritaire. Si cette solution est la plus économique, ce n’est pas pour autant la plus sécurisée. En effet, à moins d’attendre un signalement direct par son correspondant, il n’est pas possible de savoir si celui-ci a bien reçu le pli. En l’absence prolongée de réponse, cela peut être problématique.
La lettre recommandée avec accusé de réception
Cette formule présente plusieurs avantages. Elle permet de garantir le contenu grâce à trois niveaux possibles de recommandation, et d’être certain que le correspondant a bien reçu le pli grâce au retour de l’accusé de réception signé par ce dernier. Ceci justifie que le recommandé avec accusé de réception, malgré son léger surcoût, est plus utilisé que son homologue sans accusé de réception. La lettre recommandée avec accusé de réception doit notamment être choisie si des considérations d’ordre juridique l’imposent. Dans d’autres circonstances, il peut toutefois s’avérer préférable d’en faire l’économie.
Un bon compromis : la lettre suivie
La lettre suivie, selon l’importance des documents que vous envoyez, peut constituer un parfait compromis entre les deux formules présentées ci-dessus. Si le contenu ne représente pas une valeur poussée (pécuniaire ou juridique) mais n’est tout de même pas anodin, c’est la solution vers laquelle on pourra se tourner, pour des expéditions vers la France ou vers l’international. Comme son nom l’indique, elle permet, grâce à un code, de suivre son envoi durant les différentes étapes depuis le dépôt en bureau de poste jusqu’à la distribution chez le destinataire.
Point important : le volume du pli
Il existe différentes manières d’attribuer le caractère « suivi » à un envoi, la meilleure sera entre autres fonction du volume des documents à expédier. On peut, si celui-ci le permet, utiliser une enveloppe affranchie selon les tarifs standard, sur laquelle on apposera une étiquette payante « suivi » munie d’un code qui sera scanné à chaque étape (on peut également acheter en bureau de poste des enveloppes de lettres suivies prépayées, à l’unité ou en lot).
Quoi qu’il en soit, pour tous les volumes, nous conseillons encore le choix optimal : pour plus de confort et d’économies, ne pas hésiter à recourir à des solutions comme les emballages lettre suivie embaleo. Par leurs formats divers et modulables, ils vous permettront aussi d’envoyer des dossiers entiers voire des objets (dans la limite d’une épaisseur de 3 cm, emballage compris – au-delà, choisir la formule colis).
Depuis quelques jours, des millions de personnes découvrent le télétravail. Travailler et communiquer à distance, via Internet. Une nouveauté dangereuses pour autant de monde. Les cybercriminels en profitent pour diffuser leurs cyberattaques par courriel. La masse d’attaques coronavirus place ces mails piégés dans le top 1 des cyberattaques le plus utilisées !
Des chercheurs ont notamment observé de nouvelles attaques de cybercriminels provenant des groupes TA 505 ou encore TA 564. Des sigles qui cachent surtout des pirates aux multi-activités malveillantes.
TA505 est dans le domaine de la cybercriminalité depuis au moins quatre ans. Il s’agit du groupe derrière le tristement célèbre cheval de Troie bancaire Dridex et le ransomware Locky. Des codes pirates fournis par le biais de campagnes de courrier électronique malveillantes via le botnet Necurs.
Les autres logiciels malveillants associés au TA505 incluent les familles de rançongiciels Philadelphia et GlobeImposter.
TA 564 a utilisé des courriels de coronavirus ciblant des utilisateurs canadiens. Ils usurpaient l’Agence de la santé publique du Canada dans le but d’installer le code malveillant Ursnif.
Ursnif est un cheval de Troie bancaire qui vole des données stockées, y compris des mots de passe, sur des sites Web bancaires via des injections Web, des proxys et des connexions VNC.
Autant dire que l’utilisation d’un outil de sécurité anti-spam est indispensable !
Exemples de fraudes
Diffusion du logiciel malveillant RedLine Stealer. Il profite de la générosité des internautes qui souhaiter aider dans la découverte d’un remède au Covid-19. Ce code pirate est loué/vendu dans des forums russes accessibles en deux clics de souris. Il est possible de l’utiliser avec des options. Prix de départ 100. Il vise mot de passe, fichiers de types Word, Excel, texte mais aussi tente d’intercepter les informations concernant les portefeuilles de cryptomonnaie.
De faux courriels à destination des parents et professeurs. Ils contenaient le code Ursnif. Comme pour les arnaques « j’ai piraté » votre webcam, les pirates affichent la véritable identité dans le courriel piège. Ils utilisent de vieille bases de données piratées pour exploiter les adresses électroniques.
Zataz a découvert plusieurs fausses boutiques proposant des guides de survie (sic!), ou encore des plantes « magiques ».
A chaque catastrophe mondiale, les pirates en profitent
Depuis deux mois, les campagnes d’emails malveillants COVID-19 se sont intensifiée, jouant sur les craintes, légitimes, du public. On parle ici de plusieurs millions de courriels. D’abord, une attaque par jour. Aujourd’hui, il y en aurait entre 3 et 10 ! Autant dire que les logiciels de filtrage, comme celui d’Altospam deviennent indispensable. Sept courriels sur 10 analysés par l’entreprise Proof Point contenaient des logiciels pirates. Ils tentent d’intercepter les données des victimes. TOUTES les données, et pas que les informations bancaires ! Bref, peu importe le sujet, les attaques restent les mêmes et semblent être toujours aussi imposante.
L’authentification multifacteurs fait partie des contrôles les plus efficaces qu’une organisation puisse mettre en place afin d’empêcher une personne non autorisé à accéder à un périphérique ou à un réseau et donc à des informations sensibles.
La société IS Decisions revient sur son outil dédié à l’authentification multifacteurs. Pour répondre aux besoins et aux budgets des clients de petite, moyenne et grande taille, découvrez comment UserLock facilite l’activation de l’authentification à deux facteurs et la gestion d’accès contextuels dans un environnement Windows Active Directory.
Téléchargez la version d’essai gratuite entièrement fonctionnelle et constatez par vous-même à quel point UserLock peut vous aider à sécuriser l’accès au réseau.
Les extracteurs de cryptomonnaie touchent 10 fois plus d’entreprises que les logiciels rançonneurs. Le Rapport Sécurité 2019 de Check Point révèle pourtant que seul 1 professionnel de l’informatique sur 5 anticipe les infections.
La seconde partie de son Rapport Sécurité 2019 souligne combien les outils et les services utilisés pour mener des activités cybercriminelles se sont démocratisés. Non seulement les méthodes d’attaque se sont perfectionnées mais elles sont désormais accessibles à toute personne disposée à en payer le prix, et c’est précisément rendu possible grâce au marché en plein essor des logiciels malveillants sous forme de service.
Cette seconde partie du rapport révèle les principales tendances en matière de cyberattaques observées en 2018, et pointe du doigt la croissance significative du nombre d’attaques furtives et complexes conçues pour échapper aux équipes de sécurité des entreprises. Il précise également les types de cyberattaques que les équipes informatiques et de sécurité des entreprises considèrent comme représentant la plus grande menace pour eux.
Les éléments clés du rapport
Les extracteurs de cryptomonnaie s’activent sur les réseaux sans être détectés : Les extracteurs de cryptomonnaie ont infecté 10 fois plus d’entreprises que les logiciels malveillants en 2018, mais seulement un professionnel de la sécurité informatique sur cinq a été en mesure de détecter une infection sur son réseau. 37 % des entreprises dans le monde ont été touchées par des extracteurs de cryptomonnaie en 2018. 20 % des entreprises continuent d’être touchées par ce phénomène chaque semaine, malgré une baisse de 80 % de la valeur des cryptomonnaies.
Les risques présentés par les extracteurs de cryptomonnaie sont sous-estimés par les entreprises : Lorsque CP a demandé aux entreprises quelles étaient les menaces les plus importantes pour leur entreprise, 16 % seulement des professionnels de l’informatique ont cité les extracteurs de cryptomonnaie, contre 34 % pour les attaques DDoS, 53 % pour les fuites de données, 54 % pour les logiciels rançonneurs et 66 % pour le phishing. C’est assez préoccupant, car les extracteurs de cryptomonnaie peuvent facilement servir de portes dérobées pour télécharger et activer d’autres types de logiciels malveillants.
Les logiciels malveillants sous forme de service se développent : Le programme d’affiliation du logiciel malveillant sous forme de service GandCrab permet désormais à des amateurs de se lancer dans le business lucratif des logiciels rançonneurs. Ils conservent jusqu’à 60 % du montant des rançons perçues auprès des victimes et les développeurs en conservent jusqu’à 40 %. GandCrab compte plus de 80 affiliés actifs, et plus de 50 000 victimes ont été infectées en seulement deux mois en 2018, totalisant entre 300 000 et 600 000 dollars de rançons.
«La seconde partie de notre Rapport Sécurité 2019 montre comment les cybercriminels s’intéressent à de nouvelles approches furtives et de nouveaux modèles commerciaux, tels que les programmes d’affiliation de logiciels malveillants, afin de maximiser leurs revenus illégaux tout en réduisant le risque d’être détectés. Même s’ils agissent à l’abri des regards on ne doit pas les oublier. Bien que discrètes, les cyberattaques de 2018 ont été nombreuses et préjudiciables, » déclare Thierry Karsenti, Vice-Président EMEA Sales Engineering de Check Point Software Technologies. « Grâce à notre rapport sécurité et aux analyses des évolutions récentes qu’il propose, les entreprises peuvent mieux appréhender les menaces auxquelles elles sont confrontées, et mieux anticiper pour qu’elles n’aient pas d’incidence sur leurs activités.»
Le Rapport Sécurité 2019 s’appuie sur des données provenant du plus grand réseau collaboratif de lutte contre la cybercriminalité, qui fournit des données sur les menaces et des tendances en matière d’attaques issues d’un réseau mondial de capteurs ; d’études effectuées par Check Point au cours des 12 derniers mois ; et d’une toute nouvelle enquête menée auprès de professionnels de l’informatique et de cadres supérieurs, qui évalue leur niveau de préparation face aux menaces actuelles. Le rapport examine les toutes dernières menaces émergentes dans différents secteurs d’activité, et fournit un aperçu complet sur les tendances observées dans le paysage des logiciels malveillants, des vecteurs de fuites de données émergents et des cyberattaques commanditées par des États.
37 % des entreprises ont été touchées par des attaques d’extraction de cryptomonnaie au cours de l’année écoulée, selon le Rapport Sécurité 2019 de Check Point. Le nouveau rapport précise que 20 % des entreprises dans le monde continuent d’être victimes d’attaques d’extraction de cryptomonnaie chaque semaine. 33 % des entreprises ont été touchées par des logiciels malveillants mobiles et 4 % par des logiciels rançonneurs au cours des 12 derniers mois
La société Check Point Software Technologies Ltd., un fournisseurs de solutions de cybersécurité, vient de publier la première partie de son Rapport Sécurité 2019. Le rapport met en évidence les principales tactiques utilisées par les cybercriminels pour attaquer des entreprises dans le monde entier et dans tous les secteurs. Il fournit aux professionnels de la cybersécurité et aux cadres dirigeants les informations nécessaires pour protéger leur entreprise des cyberattaques et menaces de cinquième génération.
La première partie du Rapport Sécurité 2019 révèle les principales tendances et techniques des logiciels malveillants observées par les chercheurs de Check Point au cours de l’année précédente.
Les extracteurs de cryptomonnaie ont dominé le paysage des logiciels malveillants : Les extracteurs de cryptomonnaie étaient les quatre principaux types de logiciels malveillants qui ont touché 37 % des entreprises dans le monde en 2018. Malgré la baisse de la valeur de toutes les cryptomonnaies, 20 % des entreprises continuent d’être victimes d’attaques d’extracteurs de cryptomonnaie chaque semaine. Les extracteurs de cryptomonnaie ont également récemment évolué pour exploiter des vulnérabilités et contourner les bacs à sable et les produits de sécurité afin d’améliorer leurs taux d’infection.
Les mobiles, en tête de ligne
Les mobiles sont une cible mouvante : 33 % des entreprises dans le monde ont été touchées par des logiciels malveillants mobiles, et les trois principaux types de logiciels malveillants ciblaient le système d’exploitation Android. En 2018, des logiciels malveillants mobiles ont été préinstallés dans des appareils, et des applications disponibles dans les boutiques d’applications étaient en réalité des logiciels malveillants déguisés.
Des botnets multifonctions lancent différents types d’attaques : Les bots sont le troisième type de logiciel malveillant le plus répandu, avec 18 % des entreprises touchées par des bots, qui sont utilisés pour lancer des attaques DDoS et propager d’autres logiciels malveillants. Les infections de bots ont joué un rôle déterminant auprès de la moitié (49 %) des entreprises touchées par des attaques DDoS en 2018.
Déclin des attaques de logiciels rançonneurs : En 2018, l’utilisation des logiciels rançonneurs a fortement chuté, touchant à peine 4 % des entreprises dans le monde.
« Entre la montée en puissance des extracteurs de cryptomonnaie, les fuites massives de données et les attaques DDoS, les perturbations causées aux entreprises n’ont pas manqué au cours de l’année précédente. Les pirates disposent d’un large éventail d’options pour cibler des entreprises de tous les secteurs et en extraire des revenus. La première partie du Rapport Sécurité 2019 met en évidence les approches de plus en plus furtives qu’ils utilisent actuellement, » déclare Peter Alexander, directeur marketing chez Check Point Software Technologies. « Ces attaques de 5e génération, multivecteurs, rapides et à grande échelle, sont de plus en plus fréquentes. Les entreprises doivent adopter une stratégie de cybersécurité multicouche pour empêcher ces attaques de s’introduire dans leurs réseaux et dérober leurs données. Le Rapport Sécurité 2019 fournit des connaissances, des renseignements et des recommandations pour stopper ces attaques. »
Il y a un peu plus d’un an, Wannacry frappait des centaines d’entreprises et services publics. Une cyber-attaque provoquée par une absence de mise à jour et de l’exploitation de failles radicales. Mais il pourrait ne s’agir que d’une période de calme avant la tempête. Il est indispensable pour toutes les organisations de gérer l’obsolescence de leurs applications mais plus généralement, des risques IT, afin d’être moins vulnérables aux potentielles cyber-attaques.
Derrière ces attaques visant votre infrastructure informatique ne doit pas faire oublier un autre espace de sécurisation de votre numérique, les baies informatiques. Les actes malveillants peuvent aussi s’attaquer à ces structures physiques. Selon des données de la Commission européenne, 80% des entreprises de la zone UE ont déjà été touchées au moins une fois par une attaque informatique depuis 2016. Vol de données, actes frauduleux, déstabilisations. Pourtant, les organisations n’ont pas toujours conscience du danger d’une cyber-attaque. Et c’est seulement lorsqu’elles y sont confrontées qu’elles développent une culture de gestion des risques. Qu’il s’agisse de systèmes d’exploitation ou d’applications, les solutions informatiques peuvent comporter des failles qui ne sont pas toujours corrigées suffisamment rapidement par leurs éditeurs. Il en va de même pour vos baies informatiques. Avant de corriger les problèmes, il est évidemment indispensable de les identifier. Informatique, physique, humaine … Créer un référentiel de toutes les applications, les technologies, le matériel, leur stockage, leur sécurisation physique face au éléments naturels (eau, feu, …) et humaine (erreur, piratage, …).
Bref, maîtriser l’obsolescence. La société Schroff propose par exemple une plate-forme de baies très flexible qui offre une grande capacité de charge, des options complètes de gestion du câblage, une sécurité d’accès et de nombreux systèmes de refroidissement éco énergétiques qui répondent aux exigences les plus pointues. Pour avoir croisé l’une de ses baies, les poignées et options de fermeture peuvent transformer votre espace informatique en baie qui ferait pâlir de jalousie 007 : poignées électroniques et surveillance de ces dernières à distance. Je vous passe les portes pleines et blindées et câblage spécial et protégé (une base obligatoire). Pour en savoir plus cliquez ici.
Les malwares et les cyber risques sont devenus de plus en plus présents sur Internet, et malgré la vigilance montante des utilisateurs, certains de ces logiciels arrivent tout de même à se frayer un chemin jusqu’à l’ordinateur de certains utilisateurs. Parmi eux, Jigsaw, un ransomware qui s’attaque directement à ce que vous avez virtuellement de plus précieux : vos fichiers, et votre argent.
Un ransomware est un type de malware qui infecte un ordinateur et restreint son accès à l’utilisateur. Ce genre de malware, qui existe depuis plusieurs années, essaie de soutirer de l’argent à l’utilisateur en affichant une alerte sur l’écran. La plupart du temps, ces alertes préviennent l’utilisateur que son ordinateur est bloqué et que tous ses fichiers ont été cryptés, et qu’en payant une rançon il pourra retrouver l’accès à son ordinateur. Les rançons vont le plus souvent entre 100 $ et 300 $, et la majeure partie du temps cette rançon est demandée en monnaie virtuelle comme du Bitcoin, augmentant les cyber risques.
Qu’est-ce que le ransomware Jigsaw ?
La cyberattaque Jigsaw est un ransomware conçu en avril 2016, mis en circulation une semaine plus tard, et désigné pour être déployé à travers des mails frauduleux. Jigsaw s’active lorsque l’utilisateur télécharge le malware, qui va commencer à crypter tous les fichiers de son PC. Suite à cela, un popup avec Billy the puppet va s’afficher, avec une demande de rançon en Bitcoin en échange du décryptage du PC. Si la rançon n’est pas payée dans l’heure, un fichier sera supprimé.
Et à chaque heure suivante où la rançon n’est pas payée, la quantité de fichiers supprimés augmente exponentiellement, jusqu’à ce que le PC soit formaté après 72 h. Enfin, si l’utilisateur tente de redémarrer son PC, 1000 fichiers sont supprimés.
Caractéristiques de Jigsaw : les cyber risques
L’unicité – Jigsaw est le seul crypto-ransomware qui joue sur la peur. En effet, du point de vue de la victime, perdre l’intégralité de ce qu’il a sur son disque dur est ce qui pourrait arriver de pire. D’un autre côté, payer reviendrait à financer les activités illégales des auteurs de ce genre de malware. De plus, utiliser des images et des références liées à l’horrifique, rajoutent de l’anxiété à ce phénomène.
L’utilisation de Bitcoin – Le Bitcoin est devenu aujourd’hui quelque chose de très en vogue, et tout le monde sait au moins qu’il s’agit d’une crypto monnaie. Néanmoins, en 2016, son utilisation était encore marginale. La rétro-ingénierie de ce malware a permis de découvrir que d’une part il utilisait des clés de cryptage très poussées, mais possédait également une centaine d’adresses Bitcoin utilisées pour le paiement des rançons.
Le codage – Après analyse, il a paru évident que l’auteur De cette cybertattaque a essayé de cacher tant bien que mal l’utilisation du langage .NET pour la création de son malware, afin de le protéger d’éventuelles analyses.
Il existe heureusement des solutions concernant la gestion des risques informatiques, comme celles proposées par Forcepoint par exemple, et l’essentiel est de ne pas céder à la panique.
Il n’y aurait pas que les pirates Russes amateurs d’éléctions ? Le groupe d’espionnage chinois TEMP.Periscope cible le Cambodge avant les élections de juillet 2018, et révèle un large éventail d’activités au niveau mondial.
TEMP.Periscope – La société américaine FireEye, une des « sources » des médias concernant les « pirates Russes« , annonce avoir examiné une série d’activités du groupe d’espionnage chinois TEMP.Periscope, qui révèlent un intérêt majeur pour les événements politiques au Cambodge, illustré par des cyber attaques actives contre de multiples acteurs cambodgiens liés au système électoral du pays. Ceci comprend des cyber attaques contre des entités gouvernementales cambodgiennes chargées du contrôle des élections, ainsi que le ciblage de figures de l’opposition. Cette campagne a lieu alors que se préparent les élections générales dans le pays, qui auront lieu le 29 juillet prochain. TEMP.Periscope a utilisé la même infrastructure pour une série d’activités visant des cibles plus traditionnelles, dont l’industrie de la défense aux Etats Unis et une société de l’industrie chimique en Europe. Voir notre article précédent consacré au ciblage par le même groupe de sociétés d’ingénierie et de transport maritime aux Etats Unis.
Gloabalement, selon FireEye, cette activité indique que le groupe exploite une importante architecture d’intrusion et un large éventail d’outils, et cible des victimes très diverses, ce qui est en ligne avec la stratégie traditionnelle des acteurs chinois en matière d’APT (menaces persistantes avancées). Nous pensons que cette activité fournit au gouvernement chinois une visibilité étendue sur les élections cambodgiennes et les actions du gouvernement de ce pays. De plus, ce groupe est clairement capable de mener simultanément plusieurs intrusions à grande échelle ciblant un large éventail de types de victimes.
Notre analyse a également renforcé notre affirmation que ces activités peuvent être attribuées à ce groupe de pirates chinois. Nous avons observé les outils que nous avions précédemment attribués à ce groupe, les cibles visées sont en ligne avec ses actions passées et sont également très similaires aux operations APT connues menées par le Chine. En outre, une adresse IP originaire de Hainan en Chine a été enregistrée pour des activités C2 (command and control).
TEMP.Periscope en bref
Actif depuis au moins 2013, TEMP.Periscope s’est principalement intéressé à des cibles du secteur maritime dans de nombreux domaines, dont l’ingénierie, le transport, la fabrication, la défense, les agences gouvernementales et la recherche universitaire. Toutefois, le groupe a également ciblé des services de consulting et les industries high tech, de la santé et des medias. Ses cibles identifiées sont principalement basées aux Etats Unis, même si des organisations en Europe et au moins une à Hong Kong ont également été touchées. TEMP.Periscope coincide en termes de ciblage, ainsi que de tactiques, techniques et procédures (TTPs), avec le groupe TEMP.Jumper.
Description de l’incident
FireEye a analysé trois serveurs qu’il pense être contrôlés par TEMP.Periscope, ce qui lui a permis d’obtenir des informations sur les objectifs et les tactiques opérationnelles du groupe, ainsi qu’un grand nombre de données techniques d’attribution/validation. Ces serveurs était “open indexés” et donc accessibles par quiconque sur l’Internet public, sans exiger la moindre identification. Ce type d’erreur permet d’obtenir des informations intéressantes sur les activités d’un groupe car, à la différence de données contenues dans des messages de spear phishing, des acteurs malveillants n’anticipent pas que ces données puissent être analysées. L’analyse de FireEye couvre la période allant d’avril 2017 jusqu’à aujourd’hui, la plupart des opérations actuelles étant concentrées sur les élections au Cambodge. Pour l’heure, nous retenons les domaines concernés.
Deux serveurs, Domain 1 et Domain 2, fonctionnent comme des serveurs C2 et des sites d’hébergement traditionnels, alors que le troisième, Domain 3, fonctionne comme un serveur SCANBOX actif. Les serveurs C2 contenaient à la fois les logs et le malware. Une étude des trois serveurs a révélé une adresse IP d’un acteur potentiel située à Hainan en Chine, et des données volées provenant d’attaques potentielles ciblant d’autres industries et secteurs dont l’éducation, l’aviation, la chimie, la défense, les administrations gouvernementales, le monde maritime et le high tech dans de multiples régions du monde. Les fichiers sur les serveurs comprenaient des malwares nouveaux (DADBOD, EVILTECH) et précédemment identifiés (AIRBREAK, EVILTECH, HOMEFRY, MURKYTOP, HTRAN, and SCANBOX ) utilisés par TEMP.Periscope.
Attaques sur les entités liées aux élections cambodgiennes
L’analyse des logs des victimes associées avec les serveurs identifiés a révélé des attaques ciblant de multiples entités cambodgiennes, principalement celles liées aux élections de juillet 2018. De plus, un email de spear phishing séparé analysé par FireEye a mis en évidence une action simultanée ciblant des figures de l’opposition au Cambodge. L’analyse a révélé que des organisations gouvernementales cambodgiennes et des individus ciblés avaient été attaqués comme la Commission Nationale des Elections, Ministère de l’Intérieur, Ministères des Affaires Etrangères et de la Coopération Internationale, Sénat du Cambodge, Ministère de l’Economie et des Finances. Des membres du Parlement représentant le Parti cambodgien du Sauvetage National. De multiples personnalités cambodgiennes partisans des droits de l’homme et de la démocratie ayant écrit des articles critiquant le parti actuellement au pouvoir. Deux diplomates cambodgiens en poste à l’étranger et de multiples organes de presse au Cambodge.
Le Domain 2 a été identifié comme le serveur C2 pour un malware AIRBREAK attaché à un message leurre envoyé à Monovithya Kem, Directeur Général Adjoint, Affaires Publiques, Parti Cambodgien du Sauvetage National (CNRP), et à la soeur de Ken Sokha, leader (emprisonné) d’un parti cambodgien de l’opposition. Le document leurre prétend provenir de LICADHO (une ONG cambodgienne fondée en 1992 pour promouvoir les droits de l’homme).
Une infrastructure également utilisée pour des opérations contre des entreprises privées
’infrastructure décrite plus haut a également été utilisée contre des entreprises privées en Asie, en Europe et en Amérique du Nord. Ces entreprises appartiennent à des industries très diverses, dont l’éducation, l’aviation, la chimie, le monde maritime et le high tech. Beaucoup de ces attaques sont en ligne avec les activités précédentes de TEMP.Periscope en direction des secteurs du maritime et de la défense. Toutefois, nous avons également découvert une attaque visant une société européenne dans la chimie très implantée en Asie, ce qui démontre que ce groupe est une menace pour des entreprises partout dans le monde, et particulièrement celles ayant des intérêts en Asie.
Un malware MURKYTOP de 2017 et des données contenues dans un fichier lié au domain 1 suggère qu’une entreprise impliquée dans l’industrie de la défense aux Etats Unis, peut être en lien avec la recherche maritime, a également été attaquée. De plus, des attaques probables d’une entreprise du secteur américain de la défense et d’une entreprise européenne dans la chimie ayant des bureaux en Asie ont été découvertes sur les serveurs “open indexés”.
Les Downloaders et Droppers AIRBREAK révèlent des indicateurs leurres
Les noms de fichiers pour les downloaders AIRBREAK trouvés sur les sites “open indexés” suggèrent aussi un intérêt marqué pour des cibles associées à la géopolitique liée à l’Asie orientale. De plus, l’analyse des sites downloaders AIRBREAK a révélé un serveur associé qui souligne l’intérêt de TEMP.Periscope pour la politique au Cambodge. Les downloaders AIRBREAK redirigent les victimes vers les sites indiqués pour afficher un document légitime mais leurre tout en téléchargeant un contenu malveillant AIRBREAK à partir d’un des serveurs C2 identifiés. A noter que le site hébergeant les documents légitimes n’a pas été compromis. Un domaine C2 supplémentaire, partyforumseasia[.]com, a été identifié comme la fonction de rappel (callback) pour un downloader AIRBREAK référençant le Parti Cambodgien du Sauvetage National.
Le serveur SCANBOX utilisé pour prévoir des opérations futures
e serveur SCANBOX actif, Domain 3, héberge des articles liés à la campagne actuelle au Cambodge et à des opérations plus larges. Les articles trouvés sur le serveur indiquent le ciblage d’intérêts liés à la géopolitique Etats Unis – Asie orientale, à la Russie et à l’OTAN. Les victimes sont probablement attirées sur le serveur SCANBOX soit via une attaque stratégique de site web soit via des liens malicieux dans des emails ciblés, l’article étant présenté comme un leurre. Les articles proviennent de contenus open source disponibles directement en ligne.
La suite de malwares de TEMP.Periscope
L’analyse du catalogue de malwares contenus sur les trois serveurs révèle une suite classique de contenus malveillants utilisés par TEMP.Periscope, dont les signatures d’AIRBREAK, MURKYTOP, et de HOMEFRY. De plus, l’enquête de FireEye a révélé de nouveaux outils, EVILTECH et DADBOD.
Les données contenues dans les logs renforcent l’attribution à la Chine
FireEye suit les activités de TEMP.Periscope depuis 2013 et de multiples facteurs nous conduisent à affirmer qu’il agit au nom du gouvernement chinois. Notre analyse des serveurs et des données associées dans cette dernière campagne renforcent cette affirmation. Les données du log d’accès au panneau de contrôle indique que les opérateurs sont probablement basés en Chine et travaillent sur des ordinateurs fonctionnant en langue chinoise. Les cibles historiques de TEMP.Periscope restent cohérentes avec les objectifs du gouvernement chinois, et les outils qu’il utilise sont cohérents avec ceux utilisés par de nombreuses autres équipes chinoises. Un log sur le serveur a révélé des adresses IP qui avaient été utilisées pour se connecter au logiciel employé pour communiquer avec le malware implanté sur des machines victimes. L’une de ces adresses IP, 112.66.188.xx, est située à Hainan, en Chine. D’autres adresses appartiennent à des serveurs virtuels privés, mais des éléments indiquent que les ordinateurs utilisés pour se connecter sont configurés pour fonctionner en chinois.
Perspectives et Implications
Les operations révélées ici fournissent un nouvel éclairage sur les activités de TEMP.Periscope. Nous connaissions déjà l’intérêt de cet acteur pour les affaires maritimes, mais cette campagne malveillante apporte des indications supplémentaires indiquant que ce groupe va cibler le système politique de pays possédant une importance stratégique. Le Cambodge a été un supporter fiable de la position de la Chine dans le Sud de la Mer de Chine au sein de forums internationaux tels que l’ASEAN, et figure parmi les partenaires importants du pays. Bien que le Cambodge soit classé comme Autoritaire dans le Democracy Index de The Economist, le récent renversement surprise du parti au pouvoir en Malaisie peut motiver la Chine à surveiller étroitement les élections du 29 juillet au Cambodge.
Le ciblage de la commision électorale est particulièrement significatif, en raison du rôle stratégique qu’elle joue pour inciter les gens à voter. Nous n’avons pas encore suffisamment d’informations expliquant pourquoi cette organisation a été attaquée – simplement pour récolter des informations ou dans le cadre d’une opération plus complexe. Quelle que soit la raison, cet incident est l’exemple le plus récent de l’implication aggressive d’un état nation dans les processus électoraux dans le monde. Bien que des activités liées à des élections aient seulement été découvertes en Asie du Sud Est, ce serait une erreur d’assumer que ces menaces ne peuvent pas se reproduire ailleurs.
Nous pensons que TEMP.Periscope va continuer à cibler un large éventail d’entités gouvernementales, d’organisations internationales et d’entreprises privées, particulièrement celles travaillant dans l’ingénierie ou des processus chimiques utilisés par des navires. Nous ne pensons pas qu’il va modifier beaucoup voire même un seul élément révélé par cette enquête, mais il continuera probablement à développer de nouvelles architectures d’intrusion via de nouveaux domaines, sites compromis, certificats et outils. FireEye prévoit que ces intrusions vont se poursuivre et monter en puissance aussi longtemps que le groupe y trouvera un intérêt.
Chronique Tv cybersécurité ! Protéger vos connexions cet été ! Les vacances, le repos, le sable chaud et votre vie numérique attrape un coup de chaud. Voici des trucs et astuces, ainsi que du matos, pour protéger vos connexions hors de vos murs.
Protéger vos connexions cet été ! Partir en vacances c’est pour de plus en plus d’internautes mettre dans leur valise, en plus des maillots de bain et de la crème solaire, son smarpthone, sa tablette, son ordinateur portable. Bilan, connexions Internet et utilisations nomades doivent se faire en mode sécurisé.
Dans la chronique Cyber Sécurité sur la chaîne de télévision WEO, cette semaine, il expliqué comment ne pas finir dans les mains d’un malveillant numérique après avoir utilisé, par exemple, une connexion wifi “gratuite” offerte sur le lieu de votre villégiature.
Des chercheurs en cybersécurité découvrent 14 failles de sécurité dans des modèles de la marque automobile BMW. Ces vulnérabilités permettraient d’intervenir à distance sur le fonctionnement interne d’une voiture ciblée.
Depuis plusieurs années déjà, de nombreux chercheurs ont mis en garde les constructeurs automobiles contre leurs systèmesélectroniques qui sont souvent conçus sans qu’une profonde attention ne soit portée à la sécurité. On se rappelle notamment de Charlie Miller et Chris Valasek qui avaient montré en 2015 comment ils parvenaient à prendre le contrôle d’une Jeep alors que le véhicule roulait sur l’autoroute.
L’intérêt de telles démonstrations basé sur un scénario catastrophe a permis aux grand public mais surtout aux constructeurs, de prendre conscience du risque qui n’est plus du tout hypothétique. Dans le cas présent, BMW a travaillé conjointement avec ce groupe de chercheurs chinois et a reconnu leur effort pour, au final, améliorer la sécurité de ses voitures. « Il ne reste plus qu’à espérer que cette démonstration incite d’autres marques à faire de même. » confirme Jérôme Ségura, de chez Malwarebytes.
Les chercheurs ne sont pas à leur coup d’essai. Ils avaient déjà trouvé plusieurs vulnérabilités dans divers modules embarqués utilisés par Tesla. La société Allemande a confirmé les problèmes et leurs corrections en cours.
Être administrateur de son poste informatique, qu’il soit professionnel comme personnel, est un risque qu’il faut savoir calculer, définir et maîtriser. Pour une sécurité optimale, la gestion des comptes est indispensable.
Rien que pour les connexions, les restrictions sont un véritable casse tête. Un pirate compromet un compte et c’est toute la chaîne informatique de l’entreprise qui est impactée. Il est probable que les habitudes de connexion habituelles – heure / jour, fréquence, point de terminaison utilisé, etc. – soient brisées.
Il est important d’établir, de mettre en œuvre et d’appliquer des niveaux d’accès minimum au sein de l’organisation afin de limiter les risques associés aux menaces internes ou à l’utilisation abusive des informations d’identification par des attaquants externes. Cela crée une base de sécurité solide, mais ne permet pas de s’assurer que cet environnement de sécurité élevé ne fasse pas l’objet d’une compromission d’identifiants de niveau inférieur et élevé. La société IS Decisions vient d’éditer un livre blanc sur la gestion des connexions en tant qu’élément clé du privilège minimum.
Un groupe de pirates informatiques, baptisé Chafer s’attaquerait aux entreprises du monde entier. Des amateurs du blackmarket qui officieraient d’Iran.
Chafer, un groupe de pirates informatiques qu’il est possible de croiser, sans grande difficulté, sur plusieurs forums Iraniens dédiés au piratage informatique. L’éditeur de solutions de sécurité informatique américain Symantec a publié une analyse sur leurs activités. Chafer est actif depuis au moins juillet 2014. La plupart des attaques du groupe visent à collecter des informations, à la revendre, à infiltrer pour encore mieux collecter. L’analyse explique que neuf nouvelles organisations ont été touchées au Moyen-Orient. Chafer a ciblé plusieurs organisations au Moyen-Orient (Israël, Jordanie, Emirats Arabes Unis, Arabie Saoudite et Turquie) y compris un important fournisseur de services télécoms dans la région.
En dehors du Moyen-Orient, des preuves d’attaques contre une compagnie aérienne africaine et des tentatives de cyber attaque envers une entreprise internationale dans le secteur du voyage. Une nouvelle méthode d’infection est utilisée par Chafer. Nouvelle méthode, mais qui n’a rien de révolutionnaire. Ils utilisent des documents Excel malveillants diffusés par le biais de mails ciblés (spear phishing).
Le courriel proposant le document Excel piégé permet d’installer un cheval de Troie destiné à dérober des informations et un outil qui pratique des captures d’écrans. Les activités récentes de Chafer indiquent une plus grande dépendance aux nouveaux outils logiciels gratuits, notamment Remcom, un NSSM, un outil de capture d’écran et de presse-papiers, des outils HTTP, GNU HTTPTunnel, UltraVNC et NBTScan . Chafer se dirige vers des attaques ciblant la supply chain, compromettant les organisations au travers de canaux de confiance dans le but d’attaquer ensuite leurs clients.
Le phishing, en tête de pont
Selon un nouveau rapport publié par F-Secure, plus d’un tiers des incidents de cyber sécurité viennent de phishing. Ce nouveau rapport présente les conclusions des enquêtes sur les interventions menées suite à un cyber incident et offre un aperçu des véritables modes opératoires des pirates informatiques.
21 % des cyber incidents analysés par F-Secure dans ce rapport font suite à des attaques ciblant les services web utilisés par les entreprises. Il s’agit du mode d’attaque le plus fréquemment utilisé par les pirates mettre la main sur les données d’une organisation. Toutefois, le phishing et les pièces jointes malveillantes totalisaient, ensemble, environ 34 % des attaques. Pour Tom Van de Wiele, Principal Security Consultant chez F-Secure, les attaques par e-mail constituent donc le plus gros danger pour les organisations. «L’exploitation des vulnérabilités logicielles est typique des attaques opportunistes mais les intrusions informatiques via e-mail sont bien plus fréquentes. Les pirates disposent de tout un éventail d’attaques par e-mail. Elles remportent un franc succès, puisque la plupart des entreprises utilisent les e-mails pour leurs communications», explique Tom Van de Wiele. « Il convient de toujours réfléchir à deux fois avant de cliquer sur une pièce jointe ou sur un lien… mais la pression professionnelle l’emporte souvent sur le bon sens. Les pirates comprennent et exploitent cette logique.»
Arenavision, un site de vidéos d’évènements sportifs à la demande, a été piraté et a ainsi permis de miner de la cryptomonnaie sans que ses utilisateurs ne s’en aperçoivent.
Alors que la France est classée quatrième en termes de nombre de visiteurs sur la plateforme de vidéos sportives ArenaVision, les amateurs de sport ont tout intérêt à rester vigilants face à ce type de menaces. Le site a été piraté.
Les malveillants n’ont pas « defacé » le site (barbouillé), ils ont caché un script qui leur a permis de miner de la cryptomonnaie à chaque passage de spectateurs. Le script utilisait la puissance machine des internautes pour générer des monnaies numériques.
« Les pirates exécutent des calculs de transactions à partir du navigateur de l’internaute ciblé. souligne Michal Salát, Threat Intelligence Director chez Avast. Partant du constat que plus un visiteur reste sur une page, plus un pirate a le temps de créer de la cryptomonnaie« . Plus le site a de l’audience, plus il va rapporter de l’argent aux pirates. Imaginez, le nombre d’internautes regardant un match de football, de rugby, de baseball … La plupart des téléspectateurs les regardent intégralement, donnant alors au pirate tout le loisir de miner !
Selon SimilarWeb, Arenavision a été visité 6,6 millions de fois en décembre dernier, avec une durée moyenne de trois minutes et trente secondes par visite sur la page d’accueil. En imaginant que de nombreux utilisateurs se soient servi d’un PC ou d’un ordinateur portable, l’éditeur estime le nombre de visiteurs à 6 millions au cours de cette période. A partir de ces chiffres, les gains estimés sont de 840 dollars sur le mois pour les pirates et uniquement via la page d’accueil du site.
Les programmes de minage ralentissent les performances des navigateurs, et par conséquent la batterie se décharge plus vite. Les visiteurs des sites ciblés peuvent éventuellement remarquer un fonctionnement général de l’ordinateur plus lent et bruyant. En cas de doute, il est possible de contrôler si un navigateur est secrètement miné grâce à plusieurs techniques : Vérifier quels scripts sont chargés. Si vous remarquez une importante charge de votre processeur mais qu’il n’y a qu’un seul onglet dans le navigateur ouvert, et il n’exécute aucun élément susceptible d’impacter cette charge, alors il est sûrement exploité pour du minage de cryptomonnaie. Bloquer les sites suspectés. Télécharger des bloqueurs de minage.
Selon AdGuard, 500 millions de personnes ont déjà été touchées, en 3 semaines, par les outils JSEcoin, CryptoLoot ou encore MineMyTraffic. 220 sites web, sur 1000 analysés minaient de la monnaie numérique. Bref, chacun fabrique sa petite planche à billet. 18,66% étaient américains ; 13,4% étaient indiens. 12,44% Russes et 8,13% étaient Brésiliens. 22,27% de ce sites proposaient de regarder des films et des vidéos. 17,73% proposaient de télécharger des fichiers. 10% concernaient des espaces pour adultes. 7,73% étaient des médias.
L’espace ZeroDot1 propose une liste de sites et de scritps à bloquer. Pour votre navigateur (sous Chrome), le widget No Coin permet de bloquer les tentatives de minage sur le dos de votre navigateur et CPU. Même action pour MinerBlock.
Pour la deuxième année consécutive, la technologie de reconnaissance faciale de Panasonic remporte l’un des meilleurs scores lors du test comparatif réalisé par l’institut national des normes et de la technologie aux États-Unis (National Institute of Standards and Technology, NIST).
En collaboration avec l’organisme de recherche avancée du renseignement américain IARPA (Intelligence Advanced Research Projects Activity), le NIST a testé la future version de la technologie de reconnaissance faciale de Panasonic, actuellement en cours de développement au sein du Centre d’innovation de l’entreprise. Le test comparatif se compose de huit épreuves de vérification, d’identification, de détection, de regroupement et de traitement d’images surchargées.
Il s’est déroulé sur la base de contenus réunissant 67 000 images et 700 vidéos de visages ainsi que 10 000 images sans visages pour inclure la comparaison des taux d’échec et de réussite de chaque algorithme. L’algorithme développé par Panasonic est ressorti premier du comparatif pour le critère « Cumulative Match Characteristic », soit la fraction de correspondances située au-dessus d’un seuil d’exactitude donné.
Le test est généralement réalisé à l’aide d’images de photojournalisme en raison de leur grande variété de poses, de luminosité, d’expression et d’occlusion, procurant ainsi le niveau de difficulté recherché.
« Notre score NIST est une excellente nouvelle ; il atteste encore une fois de notre engagement à apporter une valeur ajoutée supplémentaire et offrir une qualité optimale au sein de notre gamme de technologies de sécurité », commente Gerard Figols, Product Marketing Manager chez Panasonic Security Solutions. « Panasonic s’est imposé comme premier titulaire de brevets au monde tout au long des 30 dernières années : nous misons pleinement sur l’innovation, la recherche et le développement ».
Matrix Appliances inclus désormais le mode « Stealth » dans toutes ses solutions de sauvegarde-archivage. Vos sauvegardes restent intactes, vos restaurations sont immédiates, saines et garanties à 100%.
La société Matrix Appliances, spécialisée dans la sauvegarde informatique, annonce officiellement que toutes les versions de son logiciel Dataclone disposent désormais d’une fonctionnalité unique qui la rend invisible aux yeux des virus (dont les ransomwares) : le mode Stealth.
2. Le support d’ESX6 (y compris les versions gratuites) et de VCenter6
3. La sauvegarde dans le Cloud couplée à Microsoft Azure
4. Des médias extractibles de type disque de 10 To : une première sur le marché !
5. Une imperméabilité unique aux malwares en tout genre (virus, chevaux de Troie, ransomwares) : grâce à son mode Stealth qui rend ses Appliances invisibles sur le réseau, Matrix Appliances garantit l’incorruptibilité des sauvegardes si vous êtes victime d’une attaque virale, ce qui, par les temps qui courent est malheureusement devenu tragiquement commun. Le mode Stealth intégré dans les machines masque l’Appliance aux yeux des virus et assure une restauration totale en cas de besoin.
« En 2016, nos Appliances ont permis à plusieurs de nos clients, non pas d’être protégés des malwares (c’est le travail d’un bon anti-virus) mais de pouvoir récupérer toutes les données enregistrées et de reprendre leur travail (en date de la dernière sauvegarde), sans perte de données donc sans perte de temps et d’argent. La totalité des clients qui ont été infectés et qui possédaient notre Appliance ont pu restaurer l’intégralité de leurs données sans délai et avec 100% de réussite » (Stéphane Pelletier).
Une faille dans Microsoft Office utilisée depuis des semaines par des pirates pour diffuser le logiciel espion LatentBot.
L’espion LatentBot aimait Office ! Microsoft vient de corriger une vulnérabilité dans Office. Une faille qui permet de cacher des instructions malveillantes dans un document sauvegardé au format .RTF. Dès le 4 mars 2017, des documents malicieux exploitant CVE-2017-0199 ont été utilisés pour délivrer le malware LATENTBOT. Le malware, qui possède une capacité de vol d’identités, n’a depuis lors été observé que via des pirates aux motivations financières. LATENTBOT est un type de malware modulaire et extrêmement bien caché qui a été découvert pour la première fois par FireEye iSIGHT Intelligence en décembre 2015. Il possède une variété de capacités, dont le vol d’identités, l’effacement de disque dur et de données, la désactivation de logiciel de sécurité, et l’accès à distance du poste de travail. Récemment, nous avons identifié des campagnes LATENTBOT utilisant Microsoft Word Intruder (MWI). Les documents leurre distribuant le malware LATENTBOT utilisent des méthodes de manipulation génériques, de type document.doc ou hire_form.doc.
Des échantillons de FINSPY et de LATENTBOT partagent la même origine
Cette faille a permis à d’autres pirates de diffuser un autre outil d’espionnage, FINSPY. Un logiciel légalement commercialisé par la société Gamma group. Des artefacts partagés dans les échantillons de FINSPY et de LATENTBOT suggèrent que le même assembleur a été utilisé pour créer les deux, ce qui indique que l’exploit 0day a été fourni à la fois pour des opérations criminelles et de cyber espionnage en provenance de la même source.
Des campagnes de spam DRIDEX juste après la divulgation de CVE-2017-0199
A la suite de la divulgation des caractéristiques de la faille zero day le 7 avril 2017, celle-ci a été utilisée dans des campagnes de spam DRIDEX, qui continuent encore à ce jour. Nous ne pouvons confirmer le mécanisme par lequel les acteurs ont obtenu l’exploit. Ces acteurs peuvent avoir exploité les connaissances sur la faille obtenues dans les termes de la divulgation, ou y avoir eu accès lorsqu’il est devenu clair que la diffusion d’un patch était imminent. Une campagne de spams a été diffusée le 10 avril 2017, exploitant un leurre « Scan Data. » Le document en attachement exploitait CVE-2017-0199 pour installer DRIDEX sur l’ordinateur de la victime.
Perspectives et implications
Même si un seul utilisateur de FINSPY a été observé exploitant cet exploit zero day, la portée historique de ce malware, dont les capacités ont été utilisées par plusieurs états nations, suggère que d’autres clients y ont eu accès. De plus, cet incident confirme la nature globale des cyber menaces et l’intérêt de disposer d’une perspective mondiale – un incident de cyber espionnage ciblant des russes peut fournir l’occasion d’en savoir plus et d’interdire des activités criminelles visant des individus parlant une autre langue ailleurs.
HummingBad et compagnie ! Un rapport révèle que les attaques de logiciels rançonneurs, les ransomwares, ont doublé au second semestre 2016. Sur l’ensemble des incidents de logiciels malveillants reconnus à l’échelle mondiale, le pourcentage d’attaques des maîtres chanteurs 2.0 est passé de 5,5 % à 10,5 % entre juillet et décembre 2016.
HummingBad, Conficker and co ! Le nouveau rapport de Check Point, baptisé Threat Index, du second semestre 2016 présente les tactiques utilisées par les cybercriminels pour attaquer les entreprises, et détaille les principales catégories de logiciels malveillants : rançonneurs, bancaires et mobiles. Il repose sur des renseignements sur les menaces tirés de sa carte Threat Map, entre juillet et décembre 2016. Des chiffres qui ne concernent donc que les clients de la société. Des statistiques présentées dans ce rapport reposent sur des données tirées de la carte Threat Map et du réseau ThreatCloud, le plus grand réseau collaboratif de lutte contre la cybercriminalité, fournissant des données et des tendances sur les menaces et les attaques grâce à un réseau mondial de capteurs. Plus de 250 millions d’adresses analysées pour la recherche de bots, ainsi que plus de 11 millions de signatures de logiciels malveillants et 5,5 millions de sites web infectés.
Le monopole sur le marché des logiciels rançonneurs – Des milliers de nouvelles variantes de logiciels rançonneurs ont été découvertes en 2016, et au cours des derniers mois, nous avons assisté à un changement suite à la consolidation du paysage des logiciels rançonneurs. Quelques familles de logiciels malveillants importantes dominent désormais le marché et frappent les entreprises de toute taille.
Attaques DDoS via les objets connectés – Le botnet Mirai a été découvert en août 2016. Tout premier de sa catégorie, ce botnet de l’Internet des objets s’attaque aux caméras de surveillance (CCTV) et aux enregistreurs vidéo numériques (DVR) vulnérables connectés à Internet. Il les transforme en bots pour lancer de multiples attaques de déni de service distribué (DDoS) à fort volume. On estime que des objets connectés vulnérables sont présents dans presque tous les foyers, et que des attaques DDoS massives les exploitant continueront de persister.
Nouveaux types de fichiers utilisés dans les campagnes de spam – Les téléchargeurs basés sur le moteur de scripts Windows (WScript) ont été le vecteur d’infection le plus répandu utilisé dans les campagnes de spam malveillantes tout au long du second semestre 2016. Rédigés en Javascript (JS) et en VBScript (VBS), ces téléchargeurs ont dominé le paysage de la diffusion de spam malveillant, ainsi que des formats similaires moins courants tels que JSE, WSF et VBE.
HummingBad, Conficker et compagnie : principaux logiciels malveillants du second semestre 2016
1. Conficker (14,5 %) – Un ver permettant d’effectuer des opérations à distance et de télécharger des logiciels malveillants. Les postes infectés sont contrôlés par un botnet, qui contacte son serveur de commande et de contrôle pour recevoir des instructions.
2. Sality (6,1 %) – Un virus permettant d’effectuer des opérations à distance et de télécharger des logiciels malveillants supplémentaires dans les systèmes infectés par son opérateur. Son objectif principal est de rester actif dans un système pour le télécommander et installer d’autres logiciels malveillants.
3. Cutwail (4,6 %) – Un botnet principalement utilisé pour l’envoi de spam et des attaques DDoS. Une fois installés, les bots se connectent directement à leur serveur de commande et de contrôle, et reçoivent des instructions concernant les emails qu’ils doivent envoyer. Lorsque leur tâche est terminée, les bots communiquent à leur opérateur des statistiques précises sur leurs activités.
4. JBossjmx (4,5 %) – Un ver ciblant les systèmes comportant une version vulnérable du serveur applicatif JBoss. Le logiciel malveillant crée une page JSP malveillante sur les systèmes vulnérables qui exécute des commandes arbitraires. Par ailleurs, une autre porte dérobée est créée pour obtenir des instructions auprès d’un serveur IRC distant.
5. Locky (4,3 %) – Un logiciel rançonneur dont la diffusion a débuté en février 2016, qui se propage principalement via des emails de spam contenant un téléchargeur déguisé en pièce jointe au format Word ou Zip. Il télécharge et installe un logiciel malveillant chiffrant les fichiers des utilisateurs.
Principaux logiciels rançonneurs du second semestre 2016 : Le pourcentage d’attaques de logiciels rançonneurs a presque doublé durant la seconde moitié de 2016, passant de 5,5 % à 10,5 %.
Les variantes les plus courantes détectées étaient les suivantes
1. Locky 41 % – Le troisième logiciel rançonneur le plus courant au 1er semestre, qui s’est considérablement répandu durant la seconde moitié de l’année.
2. CryptoWall 27 % – Le logiciel rançonneur qui était initialement une imitation de CryptoLocker, puis qui l’a finalement surpassé. Après le retrait de CryptoLocker, CryptoWall est devenu l’un des logiciels rançonneurs les plus importants à ce jour. CryptoWall utilise le chiffrement AES et communique avec son serveur de commande et de contrôle via le réseau anonyme Tor. Il est largement diffusé via des kits d’exploitation de vulnérabilités, des publicités malveillantes et des campagnes de phishing.
3. Cerber 23 % – Le plus important logiciel rançonneur sous forme de service. Cerber est commercialisé sur le modèle de la franchise. Ses développeurs recrutent des affiliés qui répandent le logiciel malveillant moyennant un pourcentage des bénéfices.
HummingBad, Conficker et les principaux logiciels malveillants mobiles du second semestre 2016
1. HummingBad 60 % – Un logiciel malveillant Android installant un rootkit persistant et des applications frauduleuses sur les appareils, qui permettent, à l’aide de légères modifications, des activités malveillantes supplémentaires telles que l’installation d’un enregistreur de frappes, le vol d’identifiants et le contournement des conteneurs chiffrés de courrier électronique utilisés par les entreprises.
2. Triada 9 % – Une porte dérobée modulaire pour Android accordant des privilèges super-utilisateur aux logiciels malveillants téléchargés pour mieux les intégrer dans les processus système. Triada charge également de fausses URL dans le navigateur.
3. Ztorg 7 % – Un cheval de Troie utilisant les privilèges root pour télécharger et installer des applications sur des téléphones mobiles à l’insu de leurs utilisateurs.
Principaux logiciels malveillants bancaires du second semestre 2016
1. Zeus 33 % – Un cheval de Troie ciblant les plates-formes Windows, qui est souvent utilisé pour dérober des informations bancaires via l’enregistrement des frappes et le détournement de formulaires.
2. Tinba 21 % – Un cheval de Troie bancaire dérobant les informations d’identification des victimes à l’aide d’injections web activées lorsque les utilisateurs tentent de se connecter au site web de leur banque.
3. Ramnit 16 % – Un cheval de Troie bancaire dérobant les informations d’identification de sites bancaires, mots de passe FTP, cookies de session et données personnelles.
« Le rapport démontre la nature des cybermenaces d’aujourd’hui, » précise Maya Horowitz, Threat Intelligence Group Manager chez Check Point. « Les attaques de logiciels rançonneurs se développent rapidement car elles sont tout simplement efficaces et génèrent des revenus importants pour les agresseurs. Les entreprises rencontrent des difficultés pour lutter efficacement contre ces menaces ; la plupart d’entre elles ne possède pas les bonnes défenses, ni de personnel capable de reconnaître les signes potentiels d’une attaque de logiciel rançonneur dans les emails entrants. »
« Nos données démontrent qu’un petit nombre de familles sont à l’origine de la majorité des attaques, tandis que des milliers d’autres familles de logiciels malveillants sont rarement utilisées, » poursuit Mme Horowitz. « La plupart des cybermenaces sont véritablement mondiales, mais la région Asie-Pacifique se classe cependant au premier rang avec 5 familles de logiciels malveillants qui ne figurent dans aucune autre région. »
Le pirate informatique du réseau Linkedin, en 2012, aurait été arrêté à Prague. Il serait aussi à l’origine des attaques informatiques à l’encontre de la Convention Nationale Démocrate.
Tiens donc ! Elle est ou cette super mega armée de pirates informatiques, à la solde de la Russie, s’attaquant à l’informatique de l’Oncle Sam. A première vue, et comme dans la majorité des cas, cette cyber armée est forte… de quelques adolescents. Dans la nuit du 18 octobre dernier, un pirate informatique russe a été arrêté à Prague par la police tchèque.
Une arrestation en coopération avec le FBI, le Federal Bureau of Investigation. Le suspect serait impliqué dans les cyber-attaques menées contre des cibles aux États-Unis, et notamment dans les hacks de la Convention Nationale Démocrate. L’individu est également soupçonné d’être responsable des attaques massives contre le réseau social professionnel LinkedIn en 2012. « Même les pirates de renom font des erreurs, et il est parfois possible pour les autorités de les pister jusqu’à leur adresse IP d’origine. Puisque ce pirate informatique était prétendument impliqué dans une série d’attaques sur des systèmes de base de données électorales en Arizona et dans l’Illinois plus tôt cette année, il aurait pu être suivi à travers les journaux d’accès aux serveurs. » indique l’un des enquêteurs.
Si les pirates ont utilisé un proxy dans l’attaque, les autorités auraient pu collaborer avec les victimes propriétaires des ordinateurs hébergeant ce serveur mandataire, et obtenir ainsi l’accès aux informations qui y étaient stockées. Par ailleurs, après avoir déterminé l’adresse IP du pirate, les autorités auraient pu également demander au fournisseur de service internet le nom de l’utilisateur. Puis, une fois le suspect transféré dans un pays coopérant avec le gouvernement Américain, les autorités locales auraient été en mesure d’arrêter le pirate. (Michal Salat, Directeur du Service de Renseignements sur les Menaces Informatiques chez Avast)
Le nouveau GDPR (Règlement général sur la protection des données) est un règlement de l’Union européenne qui vise à renforcer la protection des données dans tous les Etats membres de l’UE, en remplacement de la Directive 95/46/CE de 1995.
Ce règlement – contrairement à une directive – n’a pas besoin d’être légiféré pour être adopté par les gouvernements. Plus important encore, il ne se limite pas à l’Union européenne – toutes les organisations non-UE qui partagent les données personnelles des citoyens européens sont également couvertes par la nouvelle loi. Cela inclut presque toutes les organisations ayant des clients, fournisseurs ou employés dans l’UE.
Quelles sont les mesures à mettre en place ?
En vertu de la nouvelle loi, adoptée par le Conseil de l’UE et le Parlement le 14 avril 2016, les organisations européennes seront tenues d’appliquer de nouvelles mesures, y compris des évaluations d’impact sur la protection des données, des normes de sécurité extrêmement exigeantes ou la mise en œuvre de politiques de confidentialité appropriées. Beaucoup seront tenues de nommer un délégué à la protection des données, et les ‘Processeurs de données’ et ‘Contrôleurs de données’ devront garder une trace de toutes les activités de traitement de données dans leurs entreprises.
Les ingénieurs impliqués dans la plupart des projets technologiques au sein de l’Union européenne devront se conformer dès la conception à une démarche de sécurité et de respect de la vie privée. Cela suppose que la confidentialité des données soit conforme aux plus hautes exigences. Quant aux paramètres de protection des données, ils devront être insérés dans tous les processus de gestion à un niveau élevé et par défaut. La sécurité des données jouera un rôle encore plus critique et devra être assurée de bas en haut. Cela comprend notamment la couche de DNS.
Les architectures de réseau devront décourager le détournement de DNS et l’utilisation des DNS pour l’exfiltration de données. Les principales difficultés ici ne concernent ni les hacktivistes ni les logiciels malveillants cherchant à vandaliser les systèmes, mais les attaquants sophistiqués qui savent quelles données spécifiques ils visent à exfiltrer.
Des conséquences déplorables en cas de non-conformité et d’attaques
Le GDPR impose une règle générale de notification de violation des données, et les organisations tous secteurs d’activité confondus devront suivre certaines procédures spécifiques si un tel événement se produit. Les Contrôleurs de Données n’auront que 72 heures pour informer les autorités compétentes de ce qui s’est produit et des volumes de données concernées. Dans le pire des cas, les organisations devront également informer le public de la violation ou vol de données, ce qui aura inévitablement des retombées négatives sur leur réputation.
Personne ne peut se permettre d’ignorer le GDPR. Ce règlement entrera en vigueur le 25 mai 2018, ce qui signifie que les organisations (et peut-être la vôtre !) ont moins de deux ans pour s’y conformer ; un délai relativement court au vu des différentes étapes préparatoires à suivre. De lourdes sanctions et des amendes élevées sont prévues en cas de perte de données : elles pourront en effet atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.
Il est maintenant temps de commencer à construire une infrastructure conforme au GDPR, qui assure la sécurité et le respect de la vie privée des données. Le fait de fournir une sécurité suffisante au niveau du DNS peut permettre aux entreprises de réaliser d’énormes économies et d’éviter les poursuites inutiles. Mais l’évitement des coûts ne doit pas être la seule motivation pour agir. La confiance des clients, des partenaires et des salariés dans la marque d’une entreprise est cruciale pour protéger l’activité de celle-ci, tant sur le court que sur le long terme.
Le trafic de DNS doit être soigneusement surveillé et analysé pour détecter les tentatives d’exfiltration de données cachées dans le trafic réseau. Les systèmes de filtration DNS qui fonctionnent comme la filtration web, peuvent contrôler la réputation des liens par rapport à une liste noire en temps réel et vérifier automatiquement si la requête DNS est digne de confiance ou si elle peut représenter un risque de vol de données.
La sécurité du DNS est un principe de base de la sécurité et du respect de la vie privée dès la conception d’une architecture. Les organisations désireuses d’être préparées au GDPR doivent se demander si elles ont un plan conforme pour protéger leurs réseaux, leurs données, leurs clients… et leur réputation. (Par Hervé DHELIN, EfficientIP)
Vol de données : Détection de l’étrange comportement d’un pixel d’ouverture qui fait un pré-remplissage d’information.
L’entreprise TrackUp a mis la main, il y a quelques jours, d’une technique de collecte d’information, on peut parler de vol de données, qui mérite de s’y pencher. Nous savons que les techniques de vols d’informations se multiplient. « Nous pensons qu’il est aussi notre devoir d’informer le marché sur ces pratiques frauduleuses et condamnables au regard de la loi » souligne la PME basée dans le Nord, à Wasquehal. Le vol est opéré, selon les constatation du nordiste, par des acteurs de la collecte d’adresses électroniques. Ils réalisent des campagnes d’acquisition au CPM pour divers annonceurs.
Dans ces campagnes publicitaires que l’on peut qualifier de malveillante a été cachée un pixel, vous savez ce petit « carré » qui permet, avec des millions d’autres, d’afficher image, texte… Bref, ce pixel permet aussi de tracker le nombre d’ouvertures d’une campagne publicitaire. A chaque fois que le mail est lu, par exemple, le pixel communique avec le serveur de l’annonceur.
Sauf que ce nouveau pixel malveillant dispose en plus d’une variable de pré-remplissage d’adresse électronique en clair.
Bref, à chaque ouverture du message, l’adresse électronique est transmise automatiquement à l’agence, qui pour le rappel, n’est pas propriétaire des données. Les adresses pièges créées par TrackUp, des honey pots, ont reçu des campagnes commerciales provenant d’expéditeurs inconnus et surtout non autorisés à communiquer avec les données volées. TrackUp est soumis à un processus de certification par huissier de justice.
La société victime de piratage dispose donc de toutes les preuves juridiques pour aller devant les tribunaux… « Un bon nombre de sociétés spécialisées dans les campagnes d’acquisition à la performance contournent la loi et ne respectent pas les bonnes pratiques de l’emailing : vols de bases, échanges de bases, non-respect de l’opt-in. termine Trackup. Ces sociétés continuent d’exercer, et vendent leurs services à des annonceurs de bonne foi qui ne savent évidemment pas de quelle manière les adresses ont été collectées.« .
Le FIC 2017, qui réunira l’ensemble des acteurs publics et privés, les 24 et 25 janvier prochains à Lille, permettra d’échanger autour des défis d’un monde toujours plus connecté et de participer à la construction d’un espace numérique sécurisé.
FIC 2017 – Organisé conjointement par la Gendarmerie Nationale, CEIS et EuraTechnologies, et co-financé par la Région Hauts-de-France, la 9è édition du Forum International de la Cybersécurité sera consacrée à la sécurité de demain et aux nouveaux usages.
« Les usages pour le meilleur sont parfois au service du pire. Les prédateurs l’ont bien compris. Ils viennent dans l’espace numérique qui leur offre le meilleur rapport gain/risque pénal. La cybercriminalité est la criminalité du XXIe siècle, comme nous l’écrivions lors de la fondation du FIC, en 2007. Il est désormais urgent de mobiliser tous les acteurs publics et privés, car l’enjeu est bien la nature de la « nouvelle société » qui sera la nôtre dans une quinzaine d’année » explique le Général Marc Watin-Augouard, fondateur du FIC.
Dans un contexte de loi pour une République numérique sur le plan national, et d’une Europe de la cybersécurité plus que jamais en marche, l’événement européen de référence réunissant tous les acteurs de la confiance numérique rassemblera représentants de la société civile, offreurs de services et de solutions de sécurité de confiance, utilisateurs finaux, monde public et sphère académique.
Des interrogations stratégiques à l’échelle européenne
La directive NIS met déjà en place un groupe de coordination, ainsi qu’un réseau réunissant les CERT. Mais la Commission souhaite aller plus loin et proposera début 2017 un schéma directeur prévoyant un plan de coordination en cas de cyber attaque de grande ampleur avec la participation de l’ENISA, des CERTs et d’EC3 (Europol).
Placé au cœur de l’actualité, le FIC 2017 sera l’occasion d’avancer des pistes de réflexion dans la gestion des crises cyber à l’échelle européenne et, après l’adoption du « Privacy Shield », d’échanger sur les ambitions numériques de l’Europe.
Le partage d’expérience : une piste d’amélioration pour la filière cybersécurité
Les 3 premiers arrêtés pris à la suite de la Loi de programmation militaire (LPM) ont été publiés récemment (produits de santé, gestion de l’eau, alimentation). Le FIC 2017 permettra d’assister à des retours d’expérience d’infrastructures critiques de nos voisins européens.
FIC 2017 – L’humain, clé de la réussite d’une stratégie de cybersécurité
La formation, la sensibilisation, la mobilisation des métiers autour des enjeux de cybersécurité, la recomposition du paysage des fonctions IT… Ces sujets, traités lors de la prochaine édition du Forum International de la Cybersécurité, place l’homme au cœur des débats. Quels sont les nouveaux outils de la sensibilisation ? Comment associer les métiers aux démarches de sécurité ? Quelle place donner à la sécurité dans l’entreprise ? Autant de questions auxquelles tenteront de répondre les experts en cybersécurité et les directeurs métiers, des secteurs publics et privés.
Répartis sous 7 thèmes : Enjeux internationaux – La filière cybersécurité – La sécurité en entreprise – Lutte anti-cybercriminalité – Nouvelles technologies – Questions de société – et Technologies de sécurité, les plénières, conférences et ateliers du FIC permettront de couvrir les sujets selon un enjeu stratégique, juridique, industriel ou technologique.
Parmi les sujets phares de cette 9è édition du Forum International de la Cybersécurité figurent également :
– Bug bounty, mode d’emploi
– Le développement du Shadow-IT : risque ou opportunité ?
– Le ransomware : quelles solutions pour ces nouvelles menaces multiformes ?
– Droit et cybercriminalité : quelles évolutions pour une législation plus efficace ?
– Le véhicule autonome : comment sécuriser la conduite en toute sécurité
– La blockchain : quelles applications concrètes pour une technologie prometteuse ?
– Smart City : big mother en puissance ?
– La santé peut-elle être connectée en toute sécurité ?
– La maitrise de la sphère numérique individuelle, un nouveau défi pour les utilisateurs connectés
– Monde virtuel, monde réel, liaisons dangereuses ?
– Cyberdéfense : l’automatisation est-elle synonyme d’intelligence ?
FIC 2017 – Ouverture des inscriptions pour le prix de la PME innovante
En janvier dernier, 40 PME avaient concourues au Prix de la PME innovante qui vise à la fois à encourager la recherche et l’innovation dans le secteur de la cybersécurité et à valoriser les PME. Lors du FIC 2016, le Prix de la PME innovante avait été attribué à Cyber Test Systems et le Prix spécial du jury à TrustinSoft. Les inscriptions pour le Prix de la PME 2017, parrainé par Airbus Defence and Space sont ouvertes.
La police Australienne met la main sur un groupe de pédophiles utilisateurs d’Internet. Parmi les personnes arrêtées, des américains piratés via le réseau TOR.
Dans l’enquête en cours sur un réseau de pédophiles menée par un groupe de policiers australiens baptisé Argos, il a été annoncé que les autorités australiennes avaient piraté des utilisateurs de Tor basés aux États-Unis. Des arrestations ont été réalisées dans le monde entier à partir des informations collectées par Argos. Une nouvelle affaire qui, il faut s’en féliciter retire de nos rues de véritables criminels, soulève cependant des questions sur la légalité du piratage d’internautes en dehors de la compétence d’un organisme judiciaire.
La Taskforce Argos est une unité de police spécialisée qui se compose d’agents de police, mais aussi de détectives, de spécialistes des nouvelles technologies et de consultants concernant le DEEP web. Cette unité de police, dont le logo est un scorpion, est basée à Queensland. Argos a pu faire tomber le monstrueux portail « The Love Zone » fort de 45 000 membres, 360 000 posts et 90 000 topics. L’un des utilisateurs, un britannique, a même été baptisé le plus important pédophile jamais arrêté.
Pour réussir à rassembler suffisamment de preuves pour poursuivre des centaines de pédophiles (et sauver 85 victimes enfants, NDR), Argos a dû infiltrer le site. Grâce à une série d’arrestations, les agents ont été en mesure de prendre le contrôle de ce portail. Ils ont arrêté le propriétaire du site sans la moindre communication sur le sujet. Une infiltration digne de l’Art de la guerre de Sun Tzu : on utilise cinq types d’espions : les agents d’influence, les agents de l’intérieur, les agents retournés, les agents sacrifiés, les agents qui doivent vivre. Lorsque les cinq types d’espions sont utilisés ensemble et que personne ne connaît leur agissements, ils constituent ce que l’on appelle l’écheveau des esprits.
La « Love Zone » était uniquement accessible via Tor. Les auteurs et leurs IP étaient donc Anonymes. L’infiltration du site, et son maintien en ligne, était crucial. Il montre aussi que l’infiltration d’internautes étrangers n’est plus vraiment un problème. Un homme du Michigan, Seth Piccolo, condamné à cinq ans de prison (il a plaidé coupable, NDR) en a fait les frais et découvert qu’il avait été piraté par les australiens d’Argos. Une infiltration avec l’accord du FBI qui a communiqué une liste de 30 personnes à Argos.
La police de New York est sur les dents. Un pirate s’amuse avec la fréquence sécurisée de la NYPD.
Voilà une pirate informatique qui risque gros, très gros. Un individu a joué avec la fréquence radio de la police de New York, une police considérée comme l’une des plus importantes « armées » du monde. Le pirate des ondes s’est amusé à insulter, durant de longues minutes, un policier. Le message s’est diffusé à travers plusieurs divisions de la NYPD. Parmi les « contacts » : une fausse intervention de la police, avec un tir mortel ; des menaces et des insultes. Un policier a répondu à ce trolleur « Hey, gars… faut grandir. Certaines personnes essaient de faire leur travail« . L’enquête est toujours en cours. Piratage de la fréquence ou utilisation d’une radio perdue par un policier ? (NYMag)
ZATAZ Web TV ZATAZ Tv E24S5 est sorti. Au sommaire de ce 24ème épisode de l’année : retour sur la Nuit du Hack 2016 ; la découverte du boitier Glabys pour protéger son ordinateur ; les actualités à ne pas rater concernant la cybersécurité, le hacking et le petit monde du piratage informatique.
Au programme de ce nouveau numéro de ZATAZ Web TV (semaine du 04 juillet 2016) : Retour sur l’exceptionnelle Nuit du Hack 2016 qui s’est tenue à Disney Land Paris le week-end du 2 et 3 juillet 2016 ; découverte d’un petit boitier Bluetooth étonnant, le Glabys, qui permet de bloquer votre ordinateur quand vous vous éloignez de votre machine. Il suffit de se rapprocher pour que la machine soit de nouveau disponible. Bref, un étonnant boitier sans fil pour protéger son ordinateur ; et l’actualité du moment liée au piratage informatique, codes malveillants, conférences à ne pas rater…
Un botnet infectant près d’un million de machines détourne les requêtes effectuées sur Google, Bing et Yahoo. Les programmes d’affiliation publicitaires génèrent des millions de dollars de revenus, ce qui n’a pas échappé aux pirates. Les redirections frauduleuses de trafic et le détournement de clics sont exploités depuis longtemps.
Il y a seulement quelques semaines, les auteurs du malware botnet DNSChanger ont été condamnés à sept ans de prison pour ce type de pratiques. Grâce à ce malware, Vladimir Tsatsin avait ainsi pu gagner un million de dollars en modifiant les paramètres DNS des ordinateurs infectés pour détourner les publicités, effectuer du « clickjacking » ou modifier les résultats des moteurs de recherche. Avec la nouvelle génération de clickbots tels que le Trojan Redirector.Paco ce type de détournement de revenus publicitaires prend une ampleur sans précédent. Le cheval de Troie Redirector.Paco repose sur un fichier PAC (Proxy auto-config) permettant de rediriger toutes les recherches effectuées via Google, Bing ou Yahoo des machines infectées sur des résultats définis par les pirates.
Comment ça marche ?
L’objectif du malware est de rediriger tout le trafic généré lors de l’utilisation d’un des principaux moteurs de recherche (Google, Yahoo ou Bing) et de remplacer les résultats de cette recherche par ceux obtenus à partir d’un autre moteur conçu à cet effet. Le but étant de permettre aux cybercriminels de gagner de l’argent grâce au programme AdSense. Le programme Google AdSense for Search affiche normalement des publicités contextuelles sur les pages de résultats du moteur de recherche et partage une partie de ses revenus publicitaires avec les partenaires du réseau AdSense. Pour rediriger le trafic, le malware effectue quelques réglages simples au niveau du registre. Il modifie les valeurs des clés AutoConfigURL et AutoConfigProxy des paramètres Internet de sorte que pour chaque requête effectuée par l’utilisateur, une requête de fichier PAC (Proxy auto-config) soit effectuée. Ce fichier impose au navigateur Web de rediriger le trafic vers une adresse différente.
Le malware s’efforce de donner une apparence d’authenticité aux résultats obtenus. Cependant, certains indices devraient normalement alerter les utilisateurs. Dans la barre d’état du navigateur, des messages tels que « Waiting for proxy tunnel » ou «Downloading proxy script » peuvent être affichés. Deuxièmement, la fausse page Google est anormalement longue à charger. De plus, le malware n’affiche pas les lettres colorées habituelles du logo Google au-dessus des numéros de page. Le botnet Redirector.Paco est en activité depuis la mi-septembre 2014. Depuis, il a réussi à infecter plus de 900 000 adresses IP dans le monde entier, principalement en Inde, Malaisie, Grèce, Italie, au Pakistan, au Brésil, aux États-Unis, et en Algérie.
Avez-vous vu le film « Bienvenue à Gattaca« , un monde de science fiction ou les individus sont contrôlés à partir de leur gênes et ADN. Le portail GenPort est-il la prémisse du contrôle de nos vie par l’ADN ? Il propose de regrouper les ADN de patients consultés lors d’études médicales.
Un nouveau portail en ligne, baptisé Genomics Portal (GenPort), s’est donné pour mission de permettre aux scientifiques d’accéder à de vastes quantités de données génomiques provenant de patients impliqués dans des études cardiaques, pulmonaires, du sang et sur les recherches liées au sommeil. Une idée qui a de quoi inquiéter. L’ADN n’est pas une simple data dans une base de données. Ici, on parle de ce qui fait l’identité physique et immuable de chaque individu dans ce monde.
GenPort est censé aider les chercheurs à se pencher sur les résultats d’études organisées en même temps, mais par des laboratoires différents. Un suivi des individus, via ces différents essais, qui pourraient partager les mêmes caractéristiques, appelées « cohortes synthétiques ».
Le ministère de la Santé et des Services sociaux américain est actuellement à la recherche d’entreprises qui auront pour mission d’aider à mettre en place cette plaque tournante de l’ADN. Un portail qui, selon le ministère, doit permettre aux chercheurs qui ne maîtrisent pas l’informatique, ou la génomique, d’accéder aux données rapidement. La base de données compterait, à ses débuts, 20.000 données génétiques uniques. Bref, Bienvenue à Gattaca.
Les événements liés à la sécurité – IBM X-Force présente ce jour son 2016 Cyber Security Intelligence Index. Ce rapport annuel revient sur l’année 2015 en s’appuyant sur les milliards de données opérationnelles et d’investigation, collectées par IBM Security Services, concernant des événements liés à la sécurité dans plus de 1000 entreprises à travers 100 pays. Le rapport de cette année fournit un aperçu intéressant de la « course aux armements » qui se joue entre adversaires et défenseurs de la sécurité informatique.
Sans surprise, les pirates ont continué de progresser et de s’adapter, mais contrairement à certaines croyances, certains de ces changements ont été précipités par des avancées défensives. Ne nous méprenons pas, les acteurs malveillants semblent encore avoir l’avantage, mais les progrès sont positifs.
Les principaux faits à retenir sur les événements liés à la sécurité
· La vente au détail abandonne le top 5; les cibles changent : les cibles liées au secteur financier sont passées du 1er au 3ème rang et les secteurs de la vente au détail, des technologies et de l’énergie disparaissent du top 5. Les nouveaux secteurs concernés par les volumes les plus élevés de violations de données en 2015 sont : la santé (n°1), la production (n°2), les entités gouvernementales (n°4), le transport (nouvel ajout à la liste cette année).
· L’extorsion est en hausse : Le nombre de violations de données dans le secteur des services financiers, impliquant des tactiques d’extorsion ou de vol de devises, a augmenté de 80%, en 2015.
· L’analytique a considérablement diminué les faux-positifs : de meilleurs outils de réglage et d’analyse améliorent le ciblage et la pertinence des alertes. La masse des événements de sécurité auxquels une entreprise de taille moyenne doit faire face a chuté de 35% passant de 81 millions à 53 millions sur l’année. Parallèlement, le client d’une entreprise expérimente en moyenne 1.157 attaques en 2015, soit une baisse de 90% par rapport aux 12.017 attaques de l’année précédente.
· Les incidents de sécurité ont augmenté de 64% : Il y a eu 178 incidents de sécurité (nécessitant une enquête plus approfondie) en 2015, soit une hausse de 66% par rapport aux 109 incidents recensés en 2014.
· Les initiés constituent toujours un grand problème : 60% (contre 55% l’année précédente) des attaques ont été lancées par des initiés, 33% de ces derniers sont des acteurs involontaires (contre 50% en 2014). C’est le signe d’un changement concernant la formation des employés et les politiques de sécurité .
Le rapport complet des événements liés à la sécurité.
Rançonnage informatique pour les PME – Édifiant témoignage dans le journal Sud Ouest au sujet d’une attaque de type ransomware contre une PME du Béarn. Trente mails échangés avec le pirate et une obligation de payer. Le pirate s’amusera jusqu’au bout avec son pigeon.
Le ransomware, je vous en parle beaucoup. Depuis le 1er janvier 2016, je suis à plus de 6.000 cas reçus par des particuliers, des entreprises, des associations, des collectivités territoriales. Imaginez le chiffre réel de ces attaques, sur 6 mois. Sans parler de ceux qui cachent l’attaque à leurs clients, leur patron, à leurs administrés. Et il y a ceux qui parlent. Certes anonymement, mais ils tentent de faire passer le message comme dans les colonnes du journal Sud Ouest.
On apprend qu’une entreprise de 23 salariés c’est fait piéger par un ransomware. Pour rappel, un logiciel de rançonnage n’a rien d’un virus. Sa mission, après qu’un HUMAIN est cliqué dessus, chiffrer les documents (ou le disque dur complet) de l’ordinateur touché. Les attaque se font au hasard. Le pirate lance son énorme filet mondial, tant pis pour ceux qui ont cliqué.
Rançonnage informatique pour les PME : dans le Béarn le patron a payé !
Le cas de la PME du Béarn est intéressant car la directrice de l’entreprise a conversé avec le pirate (Je suis très intrigué par les 30 courriels, NDR). Elle va finir par payer « On a essayé de négocier, mais avec eux, rien n’est négociable… » indique-t-elle dans le quotidien.
Le pirate a conclu cette transaction de plusieurs centaines d’euros en se foutant ouvertement de la tête de sa victime « J’ai pensé vous faire une blague en demandant plus d’argent, mais je me suis dit que ce ne serait pas amusant pour vous. Utilisez des serveurs de sauvegarde externe, et installez des antivirus, avec mots de passe, à l’avenir !« .
Le rançonnage informatique pour les PME est une véritable plaie, pourtant simple à éviter. Je vous proposais, dès Mai 2015, outils et conseils anti ransomwares à prodiguer à votre entourage professionnel et privé pour éviter de finir dans les mains de voleurs 2.0. Je vous déconseille fortement de payer. Ne faîte pas comme cette proposition d’un agent du FBI qui indiquait aux entreprises de payer si ces dernières souhaitaient retrouver leurs informations bloquées par un maître chanteur. Les pirates n’attendent que ça. Pensez plutôt à un budget sauvegarde, vous aurez l’air moins bête en cas d’attaque !
Des applications malveillantes découvertes en décembre dans la boutique de Google. Des programmes espions pour appareils sous Android.
La boutique Google Play permet de télécharger musiques, films et autres applications. Des programmes pour l’environnement Android, l’un des OS de Google. Un environnement qui plait aux pirates. GData annonçait, l’année dernière, qu’Android voyait apparaître, chaque jour, 4 500 codes malveillants.
En septembre dernier, plusieurs applications avaient été effacées de l’Internet et de la boutique du géant américain. Il avait été découvert un malware, un code pirate qui permettait d’espionner les utilisateurs et utiliser leur appareil pour générer des revenus publicitaires au pirate. Baptisé Brain Test, du nom de l’application pirate, les téléphones et tablettes infiltrés devenaient des aides involontaires malveillants.
Check Point Threat mobile avait détecté plusieurs cas via des clients de la société piégés. Le malware avait été diffusé sous deux formes cumulant 600 000 téléchargements selon les statistiques de Google Play. Alerté le 10 Septembre 2015, Google retirait les APPs le 15 Septembre 2015.
Quatre mois plus tard, treize autres applications piégées disparaissaient après une alerte de LockOut, une autre société spécialisée dans les applications mobiles. Certaines de ces « applis » tentaient d’obtenir les privilèges root, bref souhaitez devenir maître du smartphone [ordiphone] persistez dans les appareils même après le Factory Reset, la mise à zéro d’un appareil sorti d’usine.
Les jeux avaient été installés dans Google Play quelques semaines auparavant. Ils ne contenaient aucun malware. C’est lors d’une mise à jour, fin décembre, que le pot au rose est apparu. Une mise à jour qui rajoutait les commandes pirates dans les applications. Les programmes piégeaient se nommaient Cake Tower, Honey Comb, Cake Blast, jump Planet, Crazy block, Crazy Jelly, Tiny Puzzle, Ninja Hook, Piggy Jump, Just fire, Eat Bubble, Hit Planet, Cake tower 92829 ou encore Drag box.
Le présidentiable extrémiste Donald Trump doit faire face à une application sous Chrome qui le banni du navigateur de Google.
Vous n’aimez pas Donald Trump ? Vous n’aimez pas les propos haineux, racistes de ce candidat à la présidentielle américaine ? Un informaticien vient de sortir une application, baptisée TrumpFilter qui bannit la moindre information liée à Donald Trump. Soyons honnête, ça ne fera pas baisser les sondages de ce bateleur populiste.
Le filtre « Trump », développé par Rob Spectre, bloque les sites Web couvrant les actualités dédiées à Trump. Il faut dire aussi que Trump, dans les média, c’est un peu le FN en France, ça fait vendre du papier et des pages vues sur la toile.
Selon Spectre, bloquer la couverture médiatique de Donald Trump, qui paient des millions de dollars pour s’afficher partout, c’est permettre « aux citoyens concernés de réellement se concentrer sur d’autres candidats. » Bref, en apprendre davantage sur les questions politiques, économiques, sociétales des Etats-Unis d’Amérique. Un filtre Hillary Clinton serait en cours de réflexion, la politique étant en seconde position des informations liées aux présidentielles américaines.
Noël mouvementé pour les millions de clients de la boutique Steam. Un bug permettait d’afficher les données appartenant à d’autres clients du géant du jeu vidéo.
Joli bug que celui qui a touché la boutique de l’éditeur de jeux vidéo Valve. Vendredi 25 décembre, le magasin online Steam a diffusé les informations des clients. Une coquille numérique qui, une fois connecté à son propre compte, proposait les données personnelles et sensibles appartenant à d’autres clients. Une pression sur la touche F5 et d’autres contenus apparaissaient.
Apologies for the inconvenience. We're working hard to resolve log in and connection issues which are currently affecting many game titles.
Bref, le cache du serveur avait ses vapeurs ! Steam a indiqué qu’il ne s’agissait pas d’un piratage, mais d’un problème technique. Valve a assuré à la presse américaine que les informations bancaires n’ont pas été impactées. Pendant ce temps, plusieurs autres éditeurs de jeux vidéo, dont Electronic Arts et UbiSoft ont subit quelques assauts de type DDoS durant les fêtes. Des « piratins » souhaitant refaire le coup des Lizards Squad, en décembre 2014 et espérer vendre des comptes dans des boutiques proposant des Dénis Distribués de Services.
Pour la troisième année, le Forum International de la Cyber Sécurité organise un challenge d’Ethical Hacking. Les inscriptions sont ouvertes.
Le 8ème Forum International de la Cyber sécurité organise, en partenariat avec l’association ACISSI et l’école privée informatique EPITA, le challenge d’Ethical Hacking du FIC. Un rendez-vous parrainé par le Réseau Cyber défense de la Réserve Citoyenne et sponsorisé par EC-Council.
Le challenge FIC a pour objectifs, en distinguant quelques profils prometteurs, d’encourager et de valoriser chaque année, les métiers liés au forensic et à la lutte informatique défensive. Comme depuis trois ans, c’est Damien Bancal (zataz) qui animera ce rendez-vous. A noter que cette année, en bonus, l’un des challenge proposait lors de ce challenge a été écrit par Damien Bancal.
Côté prix : drone, montre connectée, livres, Rasperry Pi ou encore une Xbox One. Côté épreuves, une petit idée ici. Vous souhaitez y participer ? Inscriptions ICI.
Le Forum International de la Cyber sécurité s’inscrit dans une démarche de réflexions et d’échanges visant à promouvoir une vision européenne de la cybersécurité. Dans la continuité du marché unique numérique et du projet de règlement sur la protection des données personnelles, le FIC est Evènement européen de référence réunissant tous les acteurs de la confiance numérique. Il se tiendra à Lille, les 25 et 26 janvier 2016.
La division sécurité d’IBM publie son rapport trimestriel IBM X-force faisant état du Top 4 des tendances liées aux cyber-menaces en 2015. Dans l’ensemble, 2015 a été une année difficile en matière de menaces internes, de logiciels malveillants, ainsi que d’attaques persistantes et évolutives touchant les entreprises.
Les pirates amateurs exposent les criminels expérimentés lors d’attaques « Onion Layered ». Alors que 80% des cyber attaques sont générées par des réseaux de criminels en ligne hautement organisés et sophistiqués, ce sont souvent des pirates inexpérimentés – « script kiddies » – qui inconsciemment poussent les entreprises à être attentives à ces pirates plus nombreux et expérimentés qui rôdent sur un réseau en ligne ou à l’intérieur d’une entreprise. Les pirates amateurs laissent des indices tels que des dossiers inhabituels ou des fichiers dans un répertoire temporaire, altèrent des pages web d’entreprises, et plus encore. Lorsque les entreprises se penchent sur ces attaques malveillantes, ils découvrent souvent des attaques beaucoup plus complexes.
Accroissement des rançongiciels (Ransomwares)
2015 était l’année des rançongiciels, se classant comme l’infection la plus fréquemment rencontrée. En fait, le FBI a signalé des attaques du rançongiciel CryptoWall qui ont permis aux pirates de collecter plus de 18 millions de dollars entre 2014 et 2015. Les chercheurs d’IBM pensent que cela restera une menace fréquente et un business rentable en 2016, migrant également vers les appareils mobiles.
La plus grande menace peut venir de l’intérieur Le rapport (tiré de l’étude Identifying How Firms Manage Cybersecurity Investment de Tyler Moore, Scott Dynes, Frederick R. Chang, Darwin Deason de l’Institute for Cyber Security Southern Methodist University – Dallas) indique également le danger permanent des attaques malveillantes à l’intérieur même d’une entreprise. Ceci est la continuation d’une tendance observée en 2014 lorsque l’index IBM 2015 lié à la Cyber Security Intelligence révélait que 55% de toutes les attaques de 2014 avaient été réalisées en interne ou par des individus ayant eu par le passé accès au système d’informations de l’entreprise – sciemment ou par accident.
Le C-Suite Cares
En 2015, la cybersécurité est devenue une priorité au plus haut niveau de l’entreprise, avec de plus en plus de responsables qui s’interrogent sur la sécurité de leur organisation. En fait, un récent sondage questionnant les responsables de la sécurité des systèmes d’information (RSSI), réalisé par SMU et IBM, a révélé que 85% des RSSI indiquent que la gestion des problèmes informatiques a augmenté, et 88% ont déclaré que leurs budgets de sécurité se sont accrus.
Des hacktivistes manifestent contre la cyber surveillance de la NSA en survolant une base de la Nationale Security Agency basée dans le sud de Francfort, en Allemagne.
Le groupe d’hacktivistes Intelexit vient de lancer une manifestation à l’encontre de la surveillance de masse mise en place par les Américains. Leur idée, si la NSA nous surveillance, surveillons la NSA. Avec un drone, ils ont survollé la base militaire américaine Dagger, basée au sud de Francfort (Allemagne).
En plus de filmer, le drone a lâché des brochures exhortant les employés de la NSA à quitter leur emploi et à soutenir la lutte contre la surveillance de masse. Le complexe abriterait l’outil XKeyStore, un système utilisé par la NSA qui permettrait de suivre et de stocker tout ce qu’un utilisateur fait à travers l’Internet. L’outil est connu comme un des piliers de la NSA dans la collecte des informations diffusées en Europe.
Un chercheur en sécurité informatique a utilisé son chat pour scanner les réseaux wifi non sécurisés de son quartier.
Aprés le war driving, voici venir le war cat, ou encore Warkitteh. Gene Bransfield, un chercheur en sécurité a trouvé un moyen « rigolo » d’utiliser son chat pour cartographier des dizaines de réseaux Wi-Fi vulnérables installés dans son quartier. Sa méthode, équiper COCO, le chat de la grand-mère de son épouse, avec un collier particulier. Pendant que le matou se promène par monts et pas vaux, le collier scanne les Wi-Fi environnants. Une puce, un carte Wi-Fi, un module GPS et un joli tissu léopard pour le ca(t)mouflage. L’aventure avait été présentée lors du DefCon de Las Vegas, en août dernier.
Nous avions la puce dans le bras pour rentrer en boîte de nuit, voici venir la puce NFC dans la main pour pirater des téléphones portables.
Seth Wahle est un chercheur en sécurité informatique et technologie sans fil qui a de la suite dans les idées. Il vient de se lancer dans un projet qui demande quelques connaissances en couture et charcuterie.
Il s’est implanté une puce NFC sous la peau de sa main afin de tester son système d’interception de données. Dans sa main gauche, entre le pouce et l’index, du matos acheté sur le site chinois AliBaba. Pour 40 dollars, le voilà avec un outil de 888 bytes de mémoire. Dorénavant, sa main n’a qu’à effleurer un téléphone dont le NFC est branché. Un contact qui lance une page web qui exécute le téléchargement d’un programme comme il l’a expliqué au journal Forbes. Il faut cependant que le téléphone ne soit pas trop protégé pour accepter le téléchargement et l’installation de l’outil pirate.
Il présentera son projet à Miami, du 15 au 17 mai prochains, lors d’un hackfest local.
L’étude de Kaspersky Lab auprès de 3900 entreprises classe les répondants dans 17 secteurs différents, y compris la fabrication et l’énergie. Ces deux secteurs industriels se démarquent par l’architecture de leur réseau informatique, composé de machines gérées par des logiciels hautement spécifiques.
Propriété intellectuelle : 21% des organisations opérant dans le secteur de la production / fabrication ont dû faire face à une perte de leur propriété intellectuelle au cours des 12 derniers mois (le 5ème taux le plus important). Cela pourrait expliquer pourquoi elles donnent plus d’importance à la propriété intellectuelle (17%) que tous les autres secteurs.
Veille marché / Intelligence : les données de veille marché sont perçues comme étant de moyenne importance pour les entreprises de production, alors que les spécialistes de l’énergie les considèrent comme critiques. Les deux secteurs sont particulièrement touchés par le vol de ce type de données.
Informations clients : ces informations ne sont pas jugées comme critiques et ne sont pas la cible privilégiée des cyber criminels. Pourtant il faut prendre ces données très sérieusement, comme peut le montrer, très souvent, le protocole d’alerte de zataz.com.
Informations opérationnelles : les entreprises de production et énergétiques sont toutes particulièrement concernées par la perte de données internes liées à leur fonctionnement. Près de la moitié d’entre elles ont admis avoir perdu ce type d’informations après une fuite de données au cours des 12 derniers mois.
Les spécificités de la sécurité en secteur industriel
L’étude de Kaspersky Lab illustre les différences fondamentales qui existent entre les entreprises industrielles et les autres en matière d’informatique. Les entreprises traditionnelles se concentrent sur la protection des données, alors que les entreprises industrielles jugent critique la protection des process. Les données montrent l’importance accordée aux données liées au fonctionnement interne par rapport aux données clients, souvent considérées comme les plus sensibles dans d’autres secteurs.
À l’inverse, les données de moindre importance pour les entreprises classiques, comme la propriété intellectuelle, sont critiques dans le secteur industriel. 31% des entreprises de production sont convaincues que la propriété intellectuelle est directement visée lors d’attaques cyber criminelles. Tous secteurs confondus, c’est le taux le plus important après celui enregistré pour le secteur financier.
Il est clair que les réseaux informatiques industriels exigent une protection spécifique, en particulier face à des malware sophistiqués comme Wiper et Shamoon qui ont causé des millions d’euros de dommages en s’attaquant à des systèmes industriels. Kaspersky Lab a développé des solution de protection des infrastructures critiques, pensées pour répondre aux exigences de l’univers industriel en matière de contrôle et de sécurité.
La société nordiste d’édition AxBx annonce la sortie de la version 2015 de son antivirus VirusKeeper.
VirusKeeper est le seul antivirus français. Il repose sur un moteur d’analyse comportementale exclusif qui lui permet de détecter les malwares connus ou non. En 2006, VirusKeeper innovait déjà puisqu’il était le premier antivirus reposant sur l’analyse comportementale. Les antivirus fonctionnant à base de scanner de signatures, technologie qui date des années 80, sont aujourd’hui obsolètes et incapables de détecter les menaces actuelles.
Le nouveau VirusKeeper 2015 marque un tournant majeur dans le monde de l’antivirus puisqu’il intègre désormais un moteur d’intelligence artificielle nommée VIKEE. VIKEE analyse le système, détecte les failles de sécurité, contrôle les paramétrages et donne des conseils pour obtenir une sécurité maximale de l’ordinateur. Bon nombre de malware et de pirates utilisent en effet les failles des logiciels à forte diffusion (Windows, navigateur web, plug in Flash / Acrobat Reader) pour pénétrer l’ordinateur. VIKEE permet notamment de corriger ses failles. On estime que les failles de sécurité sont responsables d’au moins une infection sur trois.
VirusKeeper 2015 dispose d’un nouveau moteur d’analyse capable de détecter et neutraliser toutes les formes de menaces actuelles : virus, vers, chevaux de Troie, spyware, malware, etc … Trois éditions de VK : l’édition » Free » version gratuite qui assure une protection de base du poste de travail. Cette version est adaptée pour un usage occasionnel de l’ordinateur et les profils peu exposés ; l’édition » Professional « , qui fournit une protection complète multi-niveaux contre les menaces actuelles : virus, vers, chevaux de Troie, spyware et programmes malveillants ; l’édition » Ultimate « , qui fournit une protection de très haut niveau contre toutes les formes de menaces actuelles. La version Ultimate inclut également un parefeu intelligent (niveau TCP/IP et niveau applicatif), un scanner anti-grayware et Security Advisor un outil complémentaire de détection de failles de sécurité.
Offre de lancement promotionnelle : -60% sur le nouveau VirusKeeper 2015 Ultimate Edition Licence pour 3 PCs à 24.90 EUR au lieu de 59.90 EUR.
La banque JP Morgan Chase et ses 83 millions de clients ne seraient pas les uniques victimes d’une infiltration informatique d’envergure. Neuf autres banques seraient concernées.
ZATAZ.COM expliquait, la semaine dernière, la communication de crise mise en place à son piratage par la banque américaine JP Morgan Chase. Elle avouait, enfin, avoir été piratée et infiltrée. 83 millions de ses clients seraient dans les mains de malveillants. D’après la banque, aucunes données bancaires n’ont pu être volées, seules les identités, adresses, téléphones ont pu être subtilisés. Autant dire que cela n’est pas rassurant. Si JP Morgan a pris le taureau par les cornes et communiquer sur le sujet, avouons le, légèrement aidée par la presse locale, il en va autrement pour 9 autres entreprises bancaires qui auraient, elles aussi, été touchées par cette attaque informatique.
Parleront-elles ? Pas évident, la loi américaine n’impose pas une communication rapide auprès des autorités en cas de piratage et autres fuites de données. Le New York Times affirme que neuf autres banques ont été touchées par ce piratage très ciblé. L’attaque de JP Morgan aura durée plusieurs semaines et il semblerait que la technique employée par ce qui semble être des pirates russes aurait été exploitée aussi dans des banques européennes. Le FBI enquête et tente de savoir si les « intrus » se sont attaqués aux entreprises financières pour subtiliser les contenus sensibles ou simplement comme mode de répression aux blocages de plusieurs comptes bancaires de patrons et proches de Poutine à la suite du conflit entre la Russie et l’Ukraine.
Pendant ce temps…
Les chercheurs en sécurité de Proofpoint ont mis à jour un groupe de cybercriminels russes, qui s’appliquaient à cibler les informations de connexion bancaires associées à plusieurs banques en Europe et aux États-Unis. Le rapport de Proofpoint indique que ce groupe de cybercriminels aurait infecté plus de 500.000 PC de manière rapide et invisible. Le botnet Qbot (aussi appelé Qakbot), comprenant plus de 500 000 ordinateurs infectés, a permis aux attaquants d’accéder à 800 000 transactions bancaires en ligne et de dérober les informations de connexion liées. 59 % des sessions ainsi compromises appartenaient à cinq des plus importantes banques américaines. Les criminels se sont introduits sur les sites WordPress à l’aide de listes d’identifiants administrateur qu’ils ont achetées, et grâce auxquelles ils ont pu installer un logiciel malveillant sur des sites reconnus, afin d’infecter leurs visiteurs. Beaucoup de ces sites proposaient des newsletters ce qui a permis d’augmenter la portée de l’attaque grâce à la diffusion de contenus légitimes mais infectés. 52 % des systèmes infectés étaient des systèmes Windows XP alors que, selon les dernières estimations, seuls 20 à 30 % des ordinateurs professionnels et personnels sont dotés de Windows XP. Microsoft a cessé de proposer des correctifs ou mises à jour Windows XP en avril 2014. Les ordinateurs ainsi infectés étaient également utilisés pour proposer, à d’autres organisations criminelles, un service de proxy payant.
Les codes malveillants qui ciblent les ordinateurs à la connexion d’une clé USB infectée existent depuis plusieurs années. Lors de la conférence Black Hat de Las Vegas, des chercheurs du Berlin Security Reaserch Labs (SRLabs) ont démontré une nouvelle méthode d’attaque. En modifiant le microprogramme (firmware) d’un périphérique USB, celui-ci peut prétendre être n’importe quel dispositif lors de sa connexion dans le système. Une clé USB en apparence anodine peut ainsi se connecter au système en tant que clavier et saisir des lignes de commande nocives. L’attaquant est alors en mesure de prendre le contrôle du système infecté. Les experts du G DATA SecurityLabs répondent à cette nouvelle menace en proposant gratuitement l’outil G DATA USB KEYBOARD GUARD.
La démonstration, lors de la conférence Black Hat, de cette méthode d’attaque met en lumière un nouveau type sérieux de menaces. « Si le firmware est réécrit, un périphérique USB peut se transformer en une source potentielle de danger. Dans le pire des cas, des virus USB pourraient être créés», explique Ralf Benzmueller, Directeur du G Data SecurityLabs. « Le moyen le plus efficace pour l’exécution d’une attaque consiste à usurper un clavier. Ainsi maquillé, le périphérique USB manipulé peut saisir des instructions dans une interface de commande telle que PowerShell par exemple. L’attaquant peut alors facilement prendre le contrôle de l’ordinateur. Les actions réelles de clavier n’étant pas analysées par les mécanismes de sécurité des solutions antivirus, l’attaque peut passer sous les radars de détection.»
Le contrôle des claviers comme première protection
G DATA a réagi et développé G DATA USB KEYBOARD GUARD. Il offre une protection contre la forme la plus probable de l’attaque en détectant les périphériques USB qui prétendraient être un clavier. La solution détecte l’apparition d’un nouveau clavier dans le système et en avertit l’utilisateur. Si à cet instant il n’est pas en train de connecter un clavier à son ordinateur, mais un autre dispositif USB, il sait alors que ce périphérique a été manipulé et peut alors en bloquer définitivement l’accès à l’aide de la solution G DATA. « Le système d’exploitation est incapable de distinguer fausse et vraie saisie clavier. Avec G DATA USB KEYBOARD GUARD, nous offrons une protection efficace contre ce type d’attaque » conclut Ralf Benzmueller.
Cet outil gratuit est indépendant d’une solution de sécurité et compatible avec l’ensemble des antivirus.
La guerre entre la Russie et l’Ukraine fait aussi rage sur Internet. Cette dernière, cependant, ne tue personne. Les Anonymous du groupe Cyber Berkut ont annoncé le piratage de plusieurs ordinateurs et téléphones portables d’autorités ukrainiennes. Parmi les informations volées, des données sur les véhicules blindés de l’armée ukrainienne saisis par les miliciens dans le Sud-est du pays. Selon ces Anonymous, et lors de la deuxième semaine d’août, la milice s’est emparée d’un total de 80 pièces d’équipement et plus de 40 voitures.
La compétition de hacking éthique à travers l’Europe et l’Afrique élargie son spectre avec un arrêt dans la Province canadienne le 22 août 2014.
L’association Française à but non lucratif ACISSI poursuit la sixième édition de son challenge et annonce une étape exceptionnelle avec un Hacknowledge Québec le 22 août, de 20h00 à 8h00 non-stop ! En partenariat avec le Hackfest Québec, qui réunit à lui seul plus de 600 participants, cette nouvelle étape arrive naturellement pour le Hacknowledge-Contest tant l’alliance entre les deux événements tombe sous le sens ! Autour de valeurs communes cette rencontre mettra les talents du hacking à l’épreuve. En marge un programme de conférences sera proposé au Cégep Sainte-Foy, à Québec.
L’objectif commun des deux associations est de valoriser les compétences dans le domaine du hacking éthique, tout en révélant de nouveaux talents dans le cadre d’une approche ludique et préventive de la sécurité informatique. Cette édition offrira la possibilité d’échanges fructueux entre spécialistes, voire comme à chaque édition des opportunités de recrutement pour les meilleurs d’entre eux.
Pour Martin Dubé, co-organisateur du Hackfest Québec : « Le Hackfest est un organisme à but non lucratif qui a pour objectif de promouvoir la sécurité informatique. Notre événement annuel a regroupé plus de 600 participants la dernière édition et nous désirons faire grandir la communauté de passionnés de sécurité informatique. Il nous fait plaisir d’encourager l’initiative du Hacknowledge qui a une mission similaire à la notre en leur offrant un pied à terre à Québec, notamment des locaux, du matériel informatique pour les challenges et biensûr la possibilité de récupérer un maximum de participants. Nous voyons cette édition comme une opportunité de nous faire connaître à l’extérieur du Québec et de travailler sur des projets avec des gens aussi passionnés que nous.»
De son côté Franck Ebel, co-organisateur du Hacknowledge-Contest Europe-Afrique, souligne « Cet échange outre-Atlantique nous permettra d’obtenir une autre vision du hacking que celui de l’Europe/Afrique et de faire rencontrer lors de la finale l’équipe québécoise sélectionnée avec celles du hacknowledge « traditionnel ». Le hacking n’a pas de frontière et cette étape sera une expérience enrichissante et un partage de connaissances unique. »
Le menu proposera plus de soixante dix épreuves illustrées par des techniques multiples (forensic, hardware, réseau filaire, wifi, web, applicatif, systèmes industriels…). Chaque équipe qualifiée recevra une bourse pour représenter son pays lors de la compétition finale qui se déroulera en France. Le Hacknowledge-Contest 2014-2015 récompensera les lauréats d’un séjour à Las Vegas, où ils participeront à la mythique conférence DEF CON, qui rassemble chaque année l’élite du hacking planétaire.
A propos de l’association ACISSI
ACISSI (Audit, Conseil, Installation et Sécurisation des Systèmes Informatiques) est une association loi 1901. Ses fondateurs sont trois membres de l’Université de Valenciennes et du Hainaut Cambrésis, Franck Ebel, Responsable de la licence professionnelle Ethical Hacking « CDAISI », Jérôme Hennecart, Responsable de la formation continue en DUT Mesures Physiques, et Robert Crocfer, administrateur réseau et responsable administratif de l’antenne de Maubeuge. Les autres membres techniques de l’association sont des professionnels et experts en sécurité informatique reconnus. L’association a pour principal objectif de sensibiliser et former à la sécurité informatique l’ensemble des publics ayant un contact de près ou de loin avec les systèmes d’informations.
A propos du Hackfest
Le Hackfest est une communauté regroupant tant les experts que les passionnés de la sécurité informatique. L’événement annuel du même nom, réunit plus de 600 personne et est l’activité principale de l’organisation. Le Hackfest a un rayonnement provincial et dans l’est du Canada anglais qui fait que plus de la moitié des participants viennent de l’extérieur de la région de Québec. Le Hackfest regroupe d’autres activités, telles que le HackerSpace mensuel, le Podcast, le blogue, les projets et encore plus.
L’événement annuel c’est deux jours de conférences, où la première journée s’adresse à un public curieux de la sécurité et la deuxième à un publique qui s’intéresse aux détails techniques de la sécurité, aka “Hardcode”. Les soirées sont une rencontre privilégiée, où les participants peuvent mesurer leur habileté en sécurité lors de « Capture the Flag », « Red team & Blue team » unique en sont genre, du lockpicking et plus encore. Cela en fait le plus gros événement de sécurité au Québec et le plus gros rassemblement de hacking games du genre dans l’Est du Canada.
Organisé par ACISSI lors du salon RSSIL, le challenge de sécurité informatique Hacknowledge a pour objectif de tester les connaissances d’équipes venues de toute la France, mais aussi depuis deux ans, dans différents pays du monde (Maroc, Tunisie, Espagne, Belgique, Côte d’Ivoire, …) Epreuves de hacking éthique via des actions à mener sur des application, du forensic, des options web. Bref, s’affronter dans une excellente ambiance.
Il s’agit de révéler à travers le «Hacknowledge Contest» des talents, qu’ils se situent dans le milieu universitaire, professionnel ou informel. Le but est de faire s’affronter, réunies en équipes, des compétences individuelles, pour promouvoir les compétences disponibles sur le territoire National qui iront ensuite affronter d’autres équipes internationales. Avec pour objectif principal et final de partager les connaissances.
Cette 6ème édition va proposer des « challenges » dans 14 pays. Après un passage en Belgique, c’est à Quebec que les épreuves du HackNowLedge Contest déposeront leurs bits, le 22 août prochain.
Dans la nuit du 21 au 22 mars 2014, plus de 150 étudiants de grandes écoles et universités se sont affrontés lors d’un « serious game » organisé par Steria autour des cinq grandes thématiques de la cyber-sécurité. Pour cette deuxième édition, les 34 équipes issues de 16 écoles ont tenté de démanteler des gangs virtuels dans une compétition informatique : une occasion pour les étudiants de mettre en pratique leurs acquis et pour Steria de détecter les talents les plus prometteurs. Dans les locaux de Steria France, du vendredi 21 mars 22h30 au lendemain matin 6h30, plus de 150 étudiants issus de 16 grandes écoles et universités spécialisées en sécurité ont pu mettre à l’épreuve leurs talents de hackers pour résoudre une à une les énigmes, déjouer les systèmes de sécurité, démanteler les gangs virtuels du « serious game » entièrement imaginé et développé par les experts en sécurité de Steria.
Encadrés par les experts en tests d’intrusion de Steria, les étudiants se sont affrontés par équipe dans des épreuves liées aux 5 grands domaines de la cyber-sécurité: cryptographie, reverse engineering, forensic, stéganographie et hacking web. Au-delà des épreuves, l’intrigue a passionné et tenu en haleine les étudiants jusqu’au dénouement. Avant le concours, une visio conférence avec votre serviteur et quelques conseils pour tricher 🙂 Pendant toute la durée du concours, les équipes ont pu suivre en direct, sur un écran dédié, la progression des autres équipes ainsi que le live-tweet de l’événement.
Après une nuit d’efforts, l’équipe Crêpes au Jambon de l’école Epitech (certains conccurrents ont remporté les challenges du FIC ou encore du HackNowLedge Contest) s’est imposée et a remporté la victoire.
Les experts en cyber-sécurité de Steria au plus près des étudiants
Les experts en cyber-sécurité de Steria ont mis au point les différentes épreuves de ce concours exceptionnel afin de faire découvrir, lors d’une compétition ludique et thématique, les différents aspects de la cyber-sécurité et de mettre en pratique les connaissances théoriques acquises en formation. Au-delà de ce travail pédagogique incarné par un « serious game », le Hacking Challenge permet à Steria de détecter les talents les plus prometteurs.
« Aujourd’hui, la sécurité informatique est un enjeu majeur pour tous les écosystèmes: grands groupes, administrations, PME innovantes, etc. En tant qu’acteur incontournable de la sécurité, le rôle de Steria est d’éduquer, prévenir les attaques, savoir les détecter et les contrer. Mais plus encore, nous devons contribuer à faire éclore les talents et partager notre savoir-faire auprès de ceux qui affronteront les menaces de sécurité de demain », commente Florent Skrabacz, Responsable de l’activité Sécurité de Steria.
« La forte participation et l’enthousiasme tout au long de la deuxième édition du Steria Hacking Challenge montrent que l’intérêt des étudiants est réel. Ils se sont montrés déterminés à résoudre les épreuves que nous leur avons proposées, ils ont apprécié le scénario et l’univers du jeu vidéo que nous leur avons réservé. Ils ont beaucoup appris sur la cyber-sécurité et sur eux-mêmes. Et ils nous disent déjà : à l’année prochaine ! », conclut Kevin Ducroq, responsable de l’activité « Tests d’intrusion » de Steria France. (Merci à @geeketteland)
Que sera la sécurité informatique dans quelques années ? Découvrez-le pendant Hackito Ergo Sum. La cinquième édition de la conférence de sécurité informatique internationale Hackito Ergo Sum (HES) aura lieu les 24, 25 et 26 avril 2014. Comme l’an dernier, elle s’installera pour ces trois jours à la Cité des Sciences et de l’Industrie de Paris, France. Toujours à la pointe de l’actualité de la sécurité des communications électroniques, cette nouvelle édition s’articulera une nouvelle fois sur les nouveautés techniques en termes d’attaque, de défense, de détournement de communications, de matériels, liées aux infrastructures électroniques.
Toujours fidèle à l’esprit de ses débuts, les conférences du Hackito Ergo Sum seront présentées par des acteurs majeurs de la sécurité électronique, triés sur le volet par un comité de programmation comptant quelques-uns des plus grands spécialistes en la matière. D’un niveau technique très poussé, ces conférences – présentées en anglais – sont surtout destinées aux chercheurs, ingénieurs, enthousiastes éclairés et organisées par des passionnés de la sécurité informatique.
Nouveauté cette année, le Hackito Ergo Sum accueillera une nouvelle édition du HackerSpace Fest. Plusieurs fois organisés par le /tmp/lab (hackerspace francilien) depuis 2008, les HackerSpace Fests réunissent différents hackters de tous horizons afin de témoigner de leur actualité et partager le résultat de leurs expérimentations dans des domaines très variés (électronique, musique, informatique, biologie, politique, etc.).
Il est à noter que la partie du site dédiée au HackerSpace Fest sera accessible, gratuitement, pour tous.
Le Call For Paper (CFP) pour HES est ouvert jusqu’au 31 mars 2014 et le programme sera annoncé le 7 avril 2014.
Le nouvel épisode de ZATAZ Web TV vient de sortir. Au menu de ce mois de Mars 2014 (S3E7) : Piratage d’un site Internet pour piéger les smartphones qui le visite. La sécurité des caméras de surveillance IP loin d’être fiable. La preuve… en vidéo ! Retrouver un mot de passe Facebook, simple comme un clic de souris. Rakabulle, un logiciel Français qui permet d’assembler plusieurs fichiers en un seul. Retour sur le FIC 2014. Watch Dogs, c’est le 27 mai. ZATAZ Partenaire avec des versions PC, PS3, PS4 à gagner. Lecture : Loi et Internet ; Digital Warketing. Rencontre avec un journaliste Iranien, réfugié politique en France. Il nous parle de son utilisation d’Internet. A déguster sans modération.
La première étape de la compétition de hacking éthique à travers l’Europe et l’Afrique aura lieu le 26 avril 2014 en Belgique. L’association Française à but non lucratif ACISSI annonce la sixième édition de son challenge. Devenu international depuis 2013, le Hacknowlewdge-Contest adopte un nouveau format puisqu’il s’étendra sur deux années afin de permettre la participation d’un maximum de pays. La première étape se déroulera le 26 avril au WEX (Wallonine Expo à Marche-en-Famenne), en partenariat avec la Haute école de Namur-Liège-Luxembourg.
Les organisateurs issus des secteurs académique et professionnel ont pour objectif de valoriser les compétences européennes et africaines dans le domaine du hacking. Tout en permettant de révéler de nouveaux talents, ils souhaitent ainsi promouvoir le hacking éthique et défier les meilleurs hackers avec une approche ludique et préventive de la sécurité informatique.
Chaque compétition s’étend sur douze heures non-stop, tenant en haleine des équipes de passionnées allant de deux à six challengers (cryptographes, ingénieurs en télécommunication, autodidactes, chercheurs en sécurité informatique, étudiants et développeurs).
Au programme, plus de soixante dix épreuves illustrées par des techniques multiples (forensic, hardware, réseau filaire, wifi, web, applicatif, systèmes industriels…) auxquelles plus d’un millier de participants fera face. Les attaquants devront ainsi pénétrer leurs cibles et y récupérer des codes de validation. Autant de trophées et de preuves d’intrusion dans les systèmes informatiques, dont les résultats s’afficheront en temps réel.
Les challenges auront lieu sur les continents Europe et Afrique jusqu’en 2015. Chaque équipe qualifiée recevra une bourse pour représenter son pays lors de la compétition finale qui se déroulera en France. Le Hacknowledge-Contest 2014-2015 récompensera les lauréats d’un séjour à Las Vegas, où ils participeront à la mythique conférence DEFCON, qui rassemble chaque année l’élite du hacking planétaire.
Franck Ebel, Responsable de la licence professionnelle de Ethical Hacking, CDAISI, et co-organisateur du concours, déclare : « Cyberguerre, cybercriminalité, cybersécurité ou cyberdéfense sont devenus des mots à la mode avec des définitions parfois différentes suivant ceux qui les portent. La réalité est que les Etats, les infrastructures industrielles, les ministères, sont attaqués et peu importe la définition des cybermots les conséquences peuvent être désastreuses. Ils nous faut donc des techniciens compétents pour répondre à ce contexte, les meilleurs si possible. La découverte de ces derniers passe par une compétition, une mise à l’épreuve à travers un concours inter continents, l’Europe et l’Afrique. Le hacknowledge-Contest est né. Les meilleurs seront présents mais seuls les élites vaincront. »
L’ensemble des compétitions sera suivi par ZATAZ, dont Damien Bancal, le rédacteur en chef, est partenaire du concours depuis la première heure. Des reportages seront proposés via ZATAZ Web TV http://zatazweb.tv/ dédiée à l’actualité décalée du multimédia et de la sécurité.
L’agenda des compétitions est actuellement en cours de construction, il sera communiqué ultérieurement.
ACISSI (Audit, Conseil, Installation et Sécurisation des Systèmes Informatiques) est une association loi 1901. Ses fondateurs sont trois membres de l’Université de Valenciennes et du Hainaut Cambrésis, Franck Ebel, Responsable de la licence professionnelle Ethical Hacking « CDAISI », Jérôme Hennecart, Responsable de la formation continue en DUT Mesures Physiques, et Robert Crocfer, administrateur réseau et responsable administratif de l’antenne de Maubeuge. Les autres membres techniques de l’association sont des professionnels et experts en sécurité informatique reconnus. L’association a pour principal objectif de sensibiliser et former à la sécurité informatique l’ensemble des publics ayant un contact de près ou de loin avec les systèmes d’informations.
Les zones d’accès sans fil gratuites sont omniprésentes et fournissent des points de connexion pratiques pour les personnes en déplacement. Malheureusement, elles ne fournissent pas la sécurité nécessaire pour une connexion sans danger. Les pirates informatiques peuvent facilement accéder aux données personnelles des utilisateurs connectés à ces réseaux non protégés et les dérober. AVAST a résolu ce problème avec le VPN avast! SecureLine pour les smartphones et les tablettes Android. La version de SecureLine pour iPhone et iPad a également été mise à jour. En chiffrant les données utilisateur, SecureLine se comporte comme un tunnel, formant ainsi un bouclier virtuel qui rend les activités de l’utilisateur invisibles au monde extérieur. Les utilisateurs du VPN avast! SecureLine peuvent naviguer sur le web de façon complètement anonyme, se protégeant ainsi des pirates informatiques et des espions.
Selon une étude effectuée auprès de plus de 340,000 répondants, près de la moitié des possesseurs de smartphones du monde entier se connectent à un Wi-Fi ouvert chaque mois, 52 % d’entre eux le faisant tous les jours ou toutes les semaines. Que ce soit dans un aéroport, un café ou un parc local, le Wi-Fi non sécurisé permet aux utilisateurs d’accéder à Internet sans entrer de mot de passe. Environ un tiers de ces utilisateurs effectuent des transactions sensibles sur un Wi-Fi public, comme des achats en lignes, des transactions bancaires et d’autres activités qui nécessitent la saisie de mots de passe et de données personnelles. « Les pirates informatiques ciblent les zones d’accès sans fil publiques, où il est facile de suivre chaque mouvement des utilisateurs de connexion Wi-Fi. Les pirates ont ainsi accès aux e-mails, mots de passe, documents et comportement de navigation. » a déclaré Vincent Steckler, président-directeur général d’AVAST Software. « Le Wi-Fi ouvert ne va pas disparaître, nous devons simplement faire en sorte qu’il y ait une façon plus sécurisée de s’y connecter. C’est pourquoi nous proposons le VPN SecureLine pour PC, iPad, iPhone et les appareils Android. »
En plus de protéger les utilisateurs lorsqu’ils utilisent un Wi-Fi non sécurisé, le VPN avast! SecureLine donne aux utilisateurs la possibilité de changer de lieu lorsqu’ils surfent. Cette fonctionnalité est particulièrement utile pour les voyageurs fréquents, qui doivent contourner les restrictions régionales pour accéder aux contenus : le VPN avast! SecureLine permet aux voyageurs de se connecter avec des serveurs de leur pays d’origine pour accéder aux services auxquels ils sont abonnés.
Fonctionnement du VPN
Une fois le VPN avast! SecureLine installé sur un smartphone ou une tablette, il avertit automatiquement les utilisateurs des dangers d’un Wi-Fi non sécurisé. L’utilisateur a alors la possibilité de se connecter au VPN sécurisé d’AVAST. Le VPN peut être activé volontairement par l’utilisateur, ou être configuré pour établir une connexion chiffrée sécurisée à chaque connexion de l’appareil mobile à un Wi-Fi ouvert. Par défaut, l’application sélectionnera automatiquement le serveur le plus proche pour fournir un niveau de performance optimal. L’utilisateur peut également choisir de changer le lieu virtuel à partir duquel il souhaite accéder à Internet, par exemple New York, Seattle, Singapour ou Londres. Lorsque le VPN est activé, toutes les activités de l’utilisateur effectuées sur Internet sont rendues anonymes et protégées des pirates informatiques.
« Malheureusement, le piratage n’est pas un processus compliqué : il y a des outils disponibles en ligne que n’importe qui peut utiliser facilement pour voler des données personnelles. », déclare Ondrej Vlcek, directeur technique d’AVAST. « Nous avons créé le VPN avast! SecureLine pour permettre aux utilisateurs de naviguer de façon anonyme et en toute sécurité sur le web, particulièrement lorsqu’ils utilisent un Wi-Fi ouvert. » Petit bémol cependant, l’application consomme énormément de batterie et se permet d’utiliser votre compte Google Play (l’email qui est utilisé pour se connecter, ndr) pour vous envoyer un courriel commercial.
Ce VPN est disponible sous la forme d’un abonnement mensuel pour 2,59 € par mois ou d’un abonnement annuel de 19,99 € par mois pour Android sur Google Play ; de 2,69 € par mois ou 17,99 € par an pour iOS dans l’Apple App Store. A noter qu’il existe d’autres solutions, comme VyprVPN. Si Avast propose 11 VPN (6 américains, 1 britannique, 1 allemand, 1 Pays-bas, 1 à singapoure et un à Prague), VyprVPn propose des VPN dans plus d’une quarantaine de pays.
La chaîne de magasins Michaels alerte ses clients sur une potentielle fuite de données à la suite d’un piratage. Les américains, il y a déjà plusieurs années, ont réfléchit à une loi obligeant les entreprises à alerter leurs clients d’une perte ou d’un piratage informatique ayant donné lieu à une fuite de données. Après Target, ZATAZ.COM vous en révélait le piratage début décembre de 70 millions de comptes clients, ou encore le spécialiste du luxe Neiman Marcus, voici le tour de la chaîne de magasins Michaels. Cette marque propose des produits pour les loisirs créatifs.
La direction vient d’annoncer qu’elle avait très certainement été visitée par un vilain pirate informatique. C’est, ici aussi, le système de paiement par carte bancaire qui a été visé. Les services secrets enquêtent. « Nous craignons que le système de protection des données de Michaels ait été attaqué, de telle manière que cela pourrait concerner les informations relatives aux cartes bancaires de nos clients, et nous avons entrepris une action énergique pour déterminer la nature et l’ampleur du problème« , déclare le directeur général de la chaîne, Chuck Rubin, dans un communiqué de presse.
Voici la quatrième partie (Troisième sur zataz.com) des réponses concernant les épreuves du challenge Forensic proposé par les étudiants de la licence CDAISI lors du Forum International de la Cybersécurité 2014. Les 21 et 22 janvier derniers, la ville de Lille a reçu le 6ème Forum de la CyberSécurité. Pour la première fois, un Challenge « forensic » a été proposé. Le mardi 21, les étudiants de la licence CDAISI (Collaborateur pour la Défense et l’Anti-intrusion des Systèmes Informatiques) de l’Université de Valencienne (Antenne de Maubeuge) ont proposé une vingtaine d’épreuves. Étant l’animateur de ce rendez-vous, et que vous avez été très nombreux (et le mot est un doux euphémisme, Ndr) à demander les réponses aux épreuves, voici la seconde partie du Challenge Forensic FIC 2014.
Le challenge FIC a eu pour objectifs, en distinguant quelques profils prometteurs, d’encourager et de valoriser chaque année, les métiers liés au forensic et à la lutte informatique défensive. Vous allez comprendre pourquoi des étudiants, mais aussi des professionnels de chez Google, Thalès, … sont venus tâter du bit à la sauce ethical hacking [Voir]. Les nouvelles épreuves que nous vous présentons ici sont signées par Kévin B., Tony S. et Saïd M. Ils étaient encadrés par Thibaut Salut. Retrouvez la première partie des réponses au challenge forensic FIC 2014 de la CDAISI ici et là. Pour rappel, ces épreuves consistaient à la recherche d’un mot de passe dans un ou plusieurs fichiers, dans des programmes compilé, ou encore en déchiffrant des messages codés. Le but était de valider le maximum d’épreuves et ainsi engranger un maximum de points. Les épreuves étaient classées par niveau. Chaque épreuve, selon sa difficulté, pouvait rapporter plus ou moins de points.
Cette épreuve avait pour but de reconnaître des Hash MD5. En effet le fichier avait chaque lettre d’un mot hashé en MD5. Chaque hash placés les uns à la suite des autres. Nous avions donc ici 13 hash MD5. Les participants devaient découper cette chaîne de caractères, toutes les 32 caractères (longueur d’un hash MD5, Ndr) et à l’aide d’un dictionnaire de reverse MD5 trouver la lettre qui correspondait à chaque hash.
o = d95679752134a2d9eb61dbd7b91c4bcc
r = 4b43b0aee35624cd95b910189b3dc231
n = 7b8b965ad4bca0e41ab51de7b31363a1
i = 865c0c0b4ab0e063e5caa3387c1a8741
t = e358efa489f58062f10dd7316b65649e
h = 2510c39011c5be704182423e3a695e91
o = d95679752134a2d9eb61dbd7b91c4bcc
r = 4b43b0aee35624cd95b910189b3dc231
y = 415290769594460e2e485922904f345d
n = 7b8b965ad4bca0e41ab51de7b31363a1
q = 7694f4a66316e53c8cdd9d9954bd611d
u = 7b774effe4a349c6dd82ad4f4f21d34c
e = e1671797c52e15f763380b45e841ec32
La réponse finale était : ornithorynque.
Épreuve : Decode Me
Inspirée par Gilbert Vernam, le but de cette épreuve était de déchiffrer le masque ayant servit à chiffrer le message codé. Le principe de Gilbert Vernam est le suivant :
– Le masque doit être de la même taille que le message à chiffrer.
– Le masque ne doit jamais être ré-utilisé.
– Le masque doit être réellement aléatoire.
Cependant, pour cette épreuve, les organisateurs ont créé le masque, d’où le fait que cette épreuve est uniquement “inspirée “ de Vernam. Le message Codé était : HWYKSLK UEGWJSGU ZYMREE 3 TXEAA 1890 – 7 NVFVXEXG 1960 HBW RG VX&K OEXD PLPF WBTXEMRT EWS TR 1917 UNNUHXHR IG EWUMWMGE BSXCTLXSLFUNMN WFVWSM MROMW FEH WEFEJ SI MAZHBBXM AZ ACLSFRXVH IGM-EQEI AEP CAFBIU JMKRTD TISTZDIP E GXLPTRBBBVV RWJYGV BG ALXTL U KVRJCGHGFQ XEWEIISQ CHC CEBX HU DDTHV VHXJ NJ GAQOBRXF GATVCNXJE FQ VWAJANXEK KQKL ELQ DEDMCTWPX PIUWCNE EZ TEUHYUX ZPP DMGAZV KRXF. Le challenger devait utiliser les chiffres qui n’étaient pas “chiffrés“ pour pouvoir en déduire la page originelle se trouvant sur internet. La première difficulté était d’essayer ces dates, avec mois, en anglais.
Message d’origine : Gilbert Sandford Vernam 3 April 1890 – 7 February 1960 was an AT&T Bell Labs engineer who in 1917 invented an additive polyalphabetic stream cipher and later co invented an automated onetime pad cipher Vernam proposed a teleprinter cipher in which a previously prepared key kept on paper tape is combined character by character with the plaintext message to produce the cipher text. La seconde étape était d’en déduire le masque. Il était possible de le faire à la main, en comparant les caractères codés et d’origines. Une méthode longue. Il était donc possible d’utiliser des utilitaires disponible sur internet comme Dcode pour en déduire le masque.
Le masque reconstitué donnait : bonjour cette epreuve est inspiree de gilbert vernam selon son principe le masque doit etre de la meme taille que le message chiffre le masque ne doit jamais etre reutilise le masque doit etre reellement aleatoire pour cette epreuve nous nous inspirons de sa methode de chiffrement et cette clef n est pas aleatoire le mot de passe de ce challenge est gilbert vernam.
Épreuve : HaveFun
Cette épreuve était un fichier exécutable. Le programme, une compilation d’un code écrit en C, compilé à l’aide de GCC. Les participants devaient donc désassembler l’exécutable, à l’aide de GDB par exemple, pour retrouver le pass caché à l’intérieur. Code C : Une variable déclarée initialisée à 0x41. Elle correspond au code hexadécimal de l’ascii ‘A’. Il fallait déclarer un tableau de caractères. Puis incrémenter ou décrémenter la variable, puis assigner la valeur résultante dans l’une des cases du tableau. Le mot de passe final de cette épreuve était ‘OMGWTFBBQ‘.
Épreuve : Le rendez-vous du musée
Voici une épreuve se constituant d’un mail banal en apparence mais contenant un indice caché en WhiteSpace. Il suffisait de regarder dans le coin, en haut à gauche, et utiliser une image en pièce jointe. Le but était d’en déduire un lieu et une date de rencontre. Dans cette épreuve de stéganographie, il fallait apercevoir un QrCode, celui-ci, tel-quel, ne pouvait pas être scanné. Il devait être reconstitué. Il fallait donc recréer les carrés ; inverser horizontalement le QrCode ; inverser les couleurs. Une étape inutile avec certains scanners de QrCode. Cette reconstitution permettait de lire le flash code. Il dirigeait le joueur au pied de la Tour Eiffel.
L’étape suivante était de retrouver la date et l’heure du rendez-vous, pour cela, le challenger devait découvrir l’indice se situant dans le mail, sinon il devait analyser l’image de fond en comble. La date et l’heure étaient fondus dans la peinture de la pièce. Difficile à déchiffrer. Une excellente vue ou bonne maitrise d’un logiciel de retouche d’image était nécessaire. Le mot de passe était : TourEiffel10juin201416h15
Épreuve : cœur
Cette épreuve combinait de la stéganographie, de la recherche ainsi que la reconstruction d’un fichier corrompu. Les participants avaient à leur disposition un fichier PDF d’une nouvelle de Edgar Allan Poe. Ils devaient ouvrir ce fichier PDF en hexadécimal, à l’aide du logiciel hexeditor par exemple. Le concurrent devait se rendre compte que des données étaient cachées à la fin du fichier. En effet, un fichier PDF normal se termine par un EOF (End Of File). De ce fait, si on rajoutait des données à la suite de ce EOF, le fichier PDF restait lisible et sans perturbation. Il fallait constater après ce EOF, une suite de chiffre, 6, 22, 5, puis des données. Ces données correspondaient à une image compressée en RAR, rar corrompu. L’indicateur de fichier ‘Rar !’ était remplacé par des 0x00. Les données extraites du PDF, et les quatre premiers octets remplaçaient par 0x52, 0x61, 0x72 et 0x21, réclamaient un mot de passe. C’était ici que la suite de chiffre rentrait en compte.
En effet, 6, 22 et 5 correspondaient respectivement à un numéro de page, un numéro de la ligne et un numéro du mot. Si on ouvrait le PDF avec ces indications. La page 6, ligne 22, 5e mot correspondait à EPECTASE. Le plus « bourrin » auront utiliser un brute force sur le mot de passe qui donnait accès à l’image orgasme.jpg, et au mot de passe EPECTASE.
Épreuve : Wait Whaat
Cette épreuve se composait de 6 fichiers. Ces fichiers étaient en fait composés de données aléatoires dans le seul but de brouiller les pistes. Les participants devaient se concentrer sur les droits des différents fichiers, chaque fichier ayant des droits bien spécifiques et « non normaux ». Prenons par exemple le fichier 1, qui avait les droits : – – – x – – x r w x. On admettra que : ‘-‘ = 0 ; lettre = 1. On obtennait donc : – – – x – – x r w x, soit 000 1 001 1 1 1. Informations qui donnait le chiffre hexadécimal 0x4F. Dans la table ascii correspondante, cela donnait la lettre ‘O’. La procédure était la même avec les autres fichiers.
—x–xrwx = 0 001 001 111 = 0x4F = ‘O’
—xr—wx = 0 001 100 011 = 0x63 = ‘c’
—xrw-r– = 0 001 110 100 = 0x74 = ‘t’
—xr—-x = 0 001 100 001 = 0x61 = ‘a’
—xrw-rw- = 0 001 110 110 = 0x76 = ‘v’
—xr–r-x = 0 001 100 101 = 0x65 = ‘e’
Voici la première partie des réponses concernant les épreuves du challenge Forensic proposé par les étudiants de la licence CDAISI lors du Forum International de la Cybersécurité 2014. Les 21 et 22 janvier derniers, la ville de Lille a reçu le 6ème Forum de la CyberSécurité. Pour la première fois, un Challenge Forensic (recherche de trace, Ndr) a été proposé. Le mardi 21, les étudiants de la licence CDAISI (Collaborateur pour la Défense et l’Anti-intrusion des Systèmes Informatiques) de l’Université de Valencienne (Antenne de Maubeuge) ont proposé une vingtaine d’épreuves. Étant l’animateur de ce rendez-vous, et que vous avez été très nombreux (et le mot est un doux euphémisme, Ndr) à demander les réponses aux épreuves, voici la première partie du Challenge Forensic FIC 2014. Le challenge FIC a eu pour objectifs, en distinguant quelques profils prometteurs, d’encourager et de valoriser chaque année, les métiers liés au Forensic et à la lutte informatique défensive. Vous allez comprendre pourquoi des étudiants, mais aussi des professionnels de chez Google, Thalès, … sont venus tâter du bit à la sauce ethical hacking [Voir]. Les premières épreuves que nous vous présentons ici sont signées par Lucas R., Florian E., Julien G.. Ils étaient encadrés par Thibaut Salut. Retrouvez les réponses de la première partie de ce challenge sur zataz.com. La suite sera diffusée lundi prochain, le 27 janvier.
L’épreuve du Morse
Un exécutable, codé en python, reposait sur l’exécution de print et de sleep. Chaque participant récupérait un exécutable qui, une fois lancé, affichait des lignes en hexadécimal. Ils devaient découvrir deux intervalles différents lors de l’affichage des lignes. Un court intervalle court qui correspondait à un point et un intervalle long qui correspondait à un tiret. En faisant la correspondance avec un tableau morse, on obtenait alors les coordonnées géographiques d’un toit dans un parc d’attraction, en Australie, sur lequel est écrit Big Brother. Big Brother était la clé qui permettait de passer à l’épreuve suivante.
Epreuve Scapy
L’idée de cette épreuve, dissimuler la clé dans les paquets ICMP. Pour cela, il a été utilisé un framework python spécialisé réseau nommé Scapy. Un petit script a envoyé les paquets ICMP modifiés à l’adresse voulue. Il suffisait d’exécuter le script et faire une capture Wireshark. Les participants recevaient une capture Wireshark contenant plusieurs milliers de trames. Parmi toutes ces trames, se trouvaient des trames ICMP dont le champ ID avait été modifié. Les candidats devaient alors, soit écrire un script permettant de récupérer le champ ID, soit le faire à la main en regardant le détail de chaque trame avec Wireshark.
Epreuve Windows
Pour créer l’épreuve, il a été utilisé une machine virtuelle Windows sous Virtual box. Pour modifier les shellbags, juste brancher une clé USB avec le dossier voulu, et attendre un peu que les shellbags soient modifiés. Chaque participant avait à sa disposition une machine virtuelle Windows. Son but était de retrouver le nom d’un dossier stocké sur une clé USB qui auparavant avait été branchée sur la fameuse machine virtuelle. Il suffisait d’utiliser des logiciels comme Windows ShellBag Parser (sbag) afin de remonter aux traces.
Epreuve de l’icône
Dans cette première étape, 2 fichiers : un fichier texte et un fichier ReadMe dans lequel se trouvait le sujet de l’épreuve. La partie 1 consistait à retrouver le mot de passe de l’épreuve 1. Il était dissimulé dans le fichier epreuve1.txt. Ce dernier est en réalité non pas dans le contenu du fichier texte mais dans l’icône de celui-ci. Le mot de passe était : funnyh4ck.
Epreuve archive
Les participants recevaient une archive contenant un dossier contenant lui-même un certain nombre d’images, un fichier ReadMe.txt (dans lequel se trouvait le sujet de l’épreuve) et un fichier chiffré comportant l’extension .axx. Il fallait donc, dans un premier temps, savoir ce qu’était un fichier .axx. Après une brève recherche, on s’apercevait que ce fichier était chiffré à l’aide de l’outil AxCrypt. Les challengers devaient ensuite déduire qu’il fallait un mot de passe, ou un fichier clé, pour lire le .axx. Etant donné qu’un dossier rempli d’images était donné aux candidats, ils devaient en déduire qu’un fichier avait été caché parmi elles. Cacher un fichier dans un autre est le principe même de la stéganographie. Ils devaient alors récupérer à l’aide de l’outil de leur choix (steghide par exemple), un éventuel fichier dans l’une des images fournies. Pour retrouver la passphrase, il suffisait de regarder les commentaires de l’archive : cdaisi. Une fois le fichier clé retrouvé, il suffisait de lancer AxCrypt, préciser le fichier clé et lancer le déchiffrement.
Epreuve Blowfish
Il fallait que le candidat déduise que le fichier proposé était crypté en blowfish-cbc. Dans le fichier ReadMe qui lui avait été proposé, il y avait des informations importantes. Il suffisait de regarder quel genre de chiffrement prenait deux paramètres. Blowfish prends 2 paramètres en hexadécimal, cependant les éléments donnés sont en ASCII et en base64. Il fallait donc les convertir. La commande pour le déchiffrer était la même que pour chiffrer sauf qu’il suffisait d’ajouter -d à la commande pour préciser l’action de déchiffrement. Une fois le fichier déchiffré, on obtenait un fichier texte contenant une suite de chiffre qui, à première vue, n’a rien de spécial. Sauf qu’il y avait un message caché : « Le Losc ira en champions league l’année prochaine. Félicitation : Vous avez réussi l’épreuve =) » Il ne restait plus qu’à tester cette phrase avec le fichier testEXE.!
Première journée chargée pour le Forum International de la Cybersécurité qui se déroule, jusqu’au 22 janvier, au Zénith Arena de Lille. Conférences, ateliers et challenge Forensic au menu de deux jours dédiés aux problématiques de la sécurité informatique. L’occasion pour la gendarmerie nationale de présenter son « Permis Internet », une opération de sensibilisation des jeunes élèves en classe de primaire. Emmanuel Valls, Ministre de l’Intérieur, en a profité pour saluer des élèves de CME2 venus recevoir ce document scolaire qui fait de ces enfants des internautes dorénavant avertis. « Nous en avons parlé à nos parents, soulignaient les élèves. Nous avons pu leur apprendre à mieux comprendre ce qu’est l’identité numérique sur Internet et comment bien la sécuriser« .
Ethical Hacking
Durant ces deux jours, deux challenges « Forensic » sont proposés. Le premier, celui du mardi, mis en place par les enseignants et les universitaires de la licence CDAISI de l’Université de Valencienne, antenne de Maubeuge. Sténographie, recherche d’informations cachées dans des images, analyses de son, gestion du … morse, analyse de trame, jouer avec un son stéréo et analyser ses… silences. Trente équipes (France, Belge, Bénin, …) ont participé à cette première pour le FIC. Un challenge qui permet, aussi, aux étudiants, chercheurs ou professionnels travaillant pour Thalès, Google de croiser la souris et les techniques de hack. « Appréhender, évaluer les épreuves, explique Octave, étudiant en 3ème année CDAISI, Nous nous sommes concentrés sur la question – Comment cacher un mot de passe – Nous avons auto testé nos épreuves en cours, avec nos professeurs. » Des créations d’épreuves qui sont intégrées dans le cursus des futurs diplômés, sous forme de projets. Lors du challenge ACISSI, les recruteurs, venus scruter, poser des tonnes de questions. Bref, les challenges se démocratisent, les langues se délient et les « décideurs » peuvent enfin de pencher sur ces têtes biens faîtes. Dommage, cependant, que le Ministre de l’Intérieur n’a pas pris 30 secondes pour venir saluer, voir s’intéresser (alors qu’il a frolé l’espace du challenge ACISSI), aux participants. Il aurait pu croiser des « hackers ethiques » français, des vrais, étudiants ou salariés dans de très importantes entreprises hexagonales ou… tout juste débauché par l’Américain Google. Il est vrai que le nid de lobbyiste qui l’entourait lui donner plutôt envie d’accélerer le pas, que de rester devant ce qui est véritablement la sécurité informatique de demain… des hommes et des femmes qui réfléchissent plus loin qu’une norme ISO et un bouton à pousser proposés par un logiciel d’audit !
A noter que Data Security Breach et zataz.com diffuseront dans quelques heures les réponses aux épreuves du Challenge FIC 2014 ACISSI.
CECyF
Pas de doute, l’argent va couler à flot dans le petit monde de la sécurité informatique. Le milliard d’euro annoncé par le Ministre de la Défense, dans le cadre de la sécurisation des infrastructures informatiques du pays, fait briller les petits yeux des commerciaux. Il suffit de voir le nombre de CERT privés sortir du terre pour s’en convaincre… tous avec LA solution miracle de prévention, sécurisation, …
Mardi après-midi, à l’occasion du Forum international sur la Cybersécurité ont été signés les statuts du CECyF, le Centre Expert contre la Cybercriminalité Français. Le CECyF est une association qui rassemble les acteurs de la lutte contre la cybercriminalité : services d’investigation, établissements d’enseignement et de recherche, entreprises impliquées dans la cybersécurité ou impactées par la cybercriminalité. L’association sera aussi ouverte à des adhérents individuels qui souhaiteraient participer aux projets du CECyF (notamment des chercheurs ou des étudiants). Le CECyF se veut un espace de rencontre et de créativité en matière de lutte contre la cybercriminalité. Il a pour vocation de favoriser les projets collaboratifs en la matière en aidant à la recherche de financements et en proposant un soutien juridique et opérationnel (communication, conférences, hébergement de plateformes collaboratives de développement, etc.).
La démonstration d’interception wifi de l’Epitech était particulièrement bien réalisée.La démonstration d’interception wifi de l’Epitech était particulièrement bien réalisée.
Les premiers projets proposés aux membres au cours de l’année 2014 concerne les thématiques suivantes :
– développement d’outils opensource d’investigation numérique ;
– contribution à la création de supports de sensibilisation aux cybermenaces ;
– développement de formations à distance pour les services d’investigation, mais aussi les acteurs du secteur privé ou des collectivités locales ;
– partage d’informations et nouvelles études sur les besoins en formation et cartographie des formations disponibles ;
– participation des membres à des conférences existantes pour dynamiser les échanges entre les différentes communautés sur les différents aspects de la prévention et de la lutte contre la cybercriminalité : Journées francophones de l’investigation numérique de l’AFSIN, Botconf, SSTIC, conférences du CSFRS, de Cyberlex, etc.
Le CECyF s’inscrit dans le projet 2CENTRE (Cybercrime Centres of Excellence Network for Training, Research and Education), un réseau de centres d’excellence européens visant le développement et la mise en œuvre de projets de recherche et de formation coordonnés, associant des services enquêteurs, des établissements d’enseignement et de recherche, ainsi que des spécialistes des industries des technologies numériques. Le premier d’entre eux, dénommé 2CENTRE, a reposé sur les relations préexistant en Irlande et en France. D’autres pays travaillent à l’établissement d’un centre d’excellence national, en particulier la Belgique avec BCCENTRE, mais aussi l’Allemagne, la Bulgarie, l’Estonie, l’Espagne, la Grèce, le Royaume-Uni, la Roumanie et la République Tchèque. Pour le moment, au sein du CECyF, la gendarmerie, la police nationales, les douanes, des écoles d’ingénieurs et universités (EPITA, enseigné privé), l’Université de Technologie de Troyes, Orange, Thalès, Microsoft France et CEIS (Organisateur du FIC).
Allocution de Manuel Valls, ministre de l’Intérieur
Vous n’y étiez pas, pas d’inquiétude. Data Security Breach vous propose l’allocution de Ministre de l’Intérieur effectuée mardi, lors du lancement du Forum Internet de la Cybersécurité.
A la même époque, l’année dernière, j’avais le plaisir de clore les travaux de la 5ème édition du Forum International de la Cybersécurité. C’est avec un plaisir renouvelé que je viens, aujourd’hui, ouvrir cette 6ème édition. Je tiens, tout d’abord, à féliciter et à remercier le conseil régional du Nord Pas-de-Calais, et son premier vice-président Pierre de SAINTIGNON, pour l’organisation de cette manifestation, conduite en partenariat avec la gendarmerie nationale et CEIS. La qualité des invités, la présence de membres de gouvernements étrangers, que je salue chaleureusement, témoignent de la réputation désormais établie de cet espace de réflexion et d’échanges, lancé en 2007. Le caractère précurseur de cette initiative montre combien la gendarmerie, au même titre que la police nationale, sont des institutions en phase avec leur temps.
Nous tous sommes – et chaque jour davantage – immergés dans un monde de données. Nous les créons, les exploitons, les transmettons, faisons en sorte de les protéger. Ces données sont intellectuelles, commerciales, juridiques, ou encore financières et fiscales. Elles sont, aussi et surtout, des données d’indentification, constitutives de notre identité numérique. Elles disent ce que nous sommes, ce que nous faisons. Et même ce que nous pensons.
Cette identité est, par définition, précieuse. Elle peut cependant être attaquée, détournée, usurpée. Ces atteintes nuisent alors profondément à la confiance, pourtant indispensable pour l’essor du cyberespace. Face à cela, chaque acteur a une responsabilité et un rôle à jouer. L’État joue pleinement le sien. Il doit assurer dans la sphère virtuelle – autant que dans la sphère réelle – la sécurité de nos concitoyens, mais aussi celle de nos entreprises et plus largement des intérêts de la Nation. Cette action intervient dans un cadre indépassable, celui du respect des libertés fondamentales : respect de la vie privée et de la liberté d’expression. Le débat autour de la géolocalisation illustre bien ma volonté de concilier liberté et sécurité.
La géolocalisation permet en effet de connaitre en temps réel ou en différé les déplacements d’une personne. Cette technique d’enquête est utilisée dans le domaine judiciaire mais aussi dans le domaine administratif et préventif. En matière judiciaire, nous avons immédiatement réagi aux arrêts de la cour de cassation. Avec la Garde des Sceaux, nous avons rédigé un texte qui répond désormais aux exigences de la CEDH et de la Cour de Cassation. Il est actuellement soumis au Sénat, dans le cadre de la procédure accélérée. En matière administrative, l’article 20 de la LPM est venu combler un cadre juridique lacunaire. Il donne désormais un fondement clair à l’ensemble des demandes de données de connexion, qui peuvent être effectuées par tous les services de renseignement ainsi que par tous les services de police et unités de gendarmerie, dans le cadre strict des finalités de la loi de 1991.
Nous aurons donc d’ici quelques semaines un arsenal juridique complet et solide, confortant l’action des services de renseignement et de la police judiciaire. A la lumière de l’actualité récente [enrôlement de mineurs dans le Jihad], je m’en félicite. Lutter contre les cybermenaces demande d’intégrer une triple exigence :
tout d’abord, en avoir une bonne connaissance, sans se limiter à la cybercriminalité ;
ensuite, adapter les réponses opérationnelles, en portant, notamment, une attention particulière à la politique de prévention ;
enfin, mieux piloter et coordonner les moyens engagés et les différents services impliqués.
Ce sont ces trois exigences que je veux détailler devant vous.
1. Face à une sphère virtuelle en mutation permanente, une connaissance des usages et des menaces potentielles est indispensable. Nous sommes, en effet, devant un phénomène en pleine expansion ; un phénomène complexe et global, mal appréhendé par un droit qui est soit peu adapté, soit en construction, et en tout cas sans réelle cohérence.La cybercriminalité nous renseigne de façon parcellaire sur l’état réel de la menace : que sont les 1 100 faits d’atteintes aux systèmes d’information dénoncés aux services de police et aux unités de gendarmerie, en 2011, par rapport à la réalité vécue par les entreprises et les administrations ? Un simple aperçu !
La plateforme PHAROS de signalement de contenus illicites de l’Internet, opérée par l’OCLCTIC, donne un éclairage complémentaire. Avec près de 124 000 signalements en 2013, elle atteint un nouveau record, signe de la vigilance des internautes. Nous devons être en mesure d’appréhender des menaces toujours plus diverses : risques de déstabilisation de l’activité économique, atteintes à l’e-réputation, menaces pesant sur l’ordre public et la sécurité du territoire mais aussi radicalisation, embrigadement, recrutement par des filières terroristes et diffusion de messages de haine (racistes, antisémites, antireligieux, homophobes…).
Je veux insister devant vous sur la lutte contre les messages antisémites et racistes sur internet qui passe bien entendu, par la fermeté et le refus de la banalisation de la haine. Mais elle passe aussi par une responsabilisation du public. Ainsi, la décision du Conseil d’Etat relative au spectacle de Dieudonné M’bala M’bala aura permis une prise de conscience.
Elle passe enfin par un travail avec les acteurs du net et notamment les réseaux sociaux comme nous l’avons fait avec Twitter. Ainsi, grâce à la concertation conduite avec cet opérateur, des engagements de sa part
ont pu être obtenus concernant :
– la suppression des contenus illicites : Twitter a mis en place des techniques permettant de restreindre l’affichage des contenus prohibés dans les seuls pays où ils sont illicites [exemple des contenus xénophobes et discriminatoires illicites en France mais pas aux USA] ;
– le gel de données : Twitter s’engage à procéder au gel de données d’enquête sur simple courriel sans aviser ses utilisateurs si les enquêteurs demandent expressément à ce que ces mesures restent confidentielles ;
– l’obtention de données d’enquêtes : Twitter communique des données sur simple réquisition pour des affaires non urgentes mais d’une particulière gravité, qualifiées de serious crimes. Des travaux sont encore à cours sur ce sujet ;
– le déréférencement des hashtags : Twitter déréférence les hashtags à succès mais illicites quand ils apparaissent dans les « tendances » de sa page d’accueil, pour limiter leur résonnance. De telles mesures ont déjà été prises à la demande des autorités ou d’associations françaises telles que SOS Homophobie ;
– un référent pour la France concernant le respect des obligations légales.
D’autres travaux se poursuivent pour : – rendre plus accessible le formulaire de signalement public, – développer les partenariats avec les acteurs français d’internet : SAFER Internet (protection des mineurs), SOS Homophobie, SOS Racisme, etc. ; – développer un formulaire en ligne destiné à faciliter les démarches officielles des enquêteurs internationaux. Le réseau mondial est aussi celui où se rencontrent, se fédèrent, se préparent, souvent dans l’obscurité, les pires intentions. Internet est un lieu de liberté certes, mais cela ne doit pas être une zone de non droit où l’on pourrait tout se permettre. Les menaces de l’Internet concernent tout le monde, ne serait-ce que du fait de la progression de la fraude sur les moyens de paiement à distance. Mais elles ciblent, en particulier, les plus jeunes. Une étude récente a ainsi souligné que 40% des élèves disent avoir été victimes d’une agression en ligne. Nous devons donc mettre en œuvre des politiques publiques à la hauteur de ces enjeux.
Des enjeux qui sont éclairés par un travail qui va au-delà de nos frontières. Le monde virtuel n’en connaît pas. A ce titre, je veux saluer la contribution du centre de lutte contre la cybercriminalité EC3 d’Europol. En un an, il contribué à la résolution de plusieurs dossiers d’enquête complexes et permis de compléter la vision des risques cyber auxquels nous, pays européens, sommes confrontés. Seule une démarche globale peut nous permettre de prendre la mesure d’une menace elle-même globale.
Ceci passe par une approche décloisonnée ; décloisonnée entre services, entre matières. Travaux de recherches, observatoires thématiques, veille des réseaux numériques, surveillance des activités des groupes criminels et terroristes, alertes sur la sécurité des systèmes d’information : c’est l’ensemble de ces démarches qui permettent d’appréhender les risques et de piloter au mieux la réponse opérationnelle.
2. De nombreuses actions sont mises en oeuvre, chaque jour, pour contrer ces nouvelles formes de menaces qui ont chacune leur spécificité3 Je connais la mobilisation des acteurs européens, étatiques, industriels. Je vais visiter, dans quelques instants, les stands des partenaires institutionnels, des industriels, des PME-PMI, des écoles et des universités. Je sais que leur objectif commun est d’améliorer la confiance dans l’espace numérique, de proposer un cyberespace plus sûr et protecteur de nos libertés fondamentales.
Je sais que les attentes les plus grandes à l’égard de l’action de l’État viennent des entreprises, qui demandent une protection efficace contre les atteintes aux systèmes d’information, les fraudes, l’espionnage industriel.
Et il y a urgence ! Par exemple, en décembre, dans deux régions françaises, deux PME ont été victimes d’escroqueries aux faux ordres de virement pour des montants respectifs de 480 000 € et 450 000€. Pour l’une d’entre elle, les escrocs ont pris la main sur le système d’information de la société pour finaliser la transaction. Depuis 2011, ce type d’escroquerie représente un préjudice estimé à plus de 200 millions d’euros pour les entreprises françaises. Ce chiffre prend un relief tout particulier alors que les entreprises françaises doivent s’adapter à une concurrence internationale de plus en plus forte.
La loi de programmation militaire, récemment adoptée, renforce le dispositif de protection des entreprises les plus sensibles. Elle conforte et amplifie le rôle de l’Agence nationale de la sécurité des systèmes d’information – dont je salue le directeur présent aujourd’hui – dans le contrôle de nos opérateurs d’importance vitale. Cette mesure était prioritaire. Au-delà, les entreprises qui forment notre tissu économique, bénéficient au quotidien de l’action des services de la police et des unités de la gendarmerie qui les sensibilisent aux cyber-risques dans le cadre de leurs missions d’intelligence économique. Cette action territoriale, s’adressant tant aux grandes entreprises qu’aux PME-PMI participe de la réponse globale de l’État.
Une réponse qui doit concerner l’ensemble de nos concitoyens. J’ai d’ailleurs la conviction que le niveau de sensibilisation à la cybersécurité est encore insuffisant et que nous avons, dans ce domaine, de grandes marges de progression. Aussi, je me félicite des initiatives de la police et de la gendarmerie à destination des plus jeunes, à l’image de l’opération « Permis Internet » mise en place par la gendarmerie nationale, en partenariat avec AXA Prévention. Je viens d’ailleurs de remettre des « Permis Internet » aux élèves de CM2 de l’école Roger Salengro
d’Hallennes-lez-Haubourdin. Au sein de leur établissement scolaire, depuis quelques semaines, ils apprennent à utiliser en sécurité l’Internet, à mieux identifier les dangers auxquels ils peuvent être confrontés. Ils deviennent donc des Internautes avertis.
L’année dernière, je m’exprimais devant vous à l’issue de longs débats sur la loi antiterroriste. Je vous avais alors fait part de ma volonté et de celle du gouvernement de lutter plus efficacement encore contre le cyber terrorisme. Plus largement, renforcer notre efficacité en matière de cybercriminalité nécessite de prendre un certain nombre de mesures : adapter notre arsenal juridique, coordonner l’action de tous les services de l’État, sécuriser les titres d’identité et leur exploitation ou encore améliorer la formation des personnels de tous les ministères concernés. C’est pourquoi, j’ai souhaité la constitution d’un groupe de travail interministériel, réunissant, sous la présidence d’un haut magistrat, des représentants des ministères de l’Economie et des Finances, de la Justice, de l’Intérieur et de l’Economie numérique. Les travaux menés, depuis l’été 2013, sous la présidence du procureur général Marc ROBERT, sont achevés. Les conclusions seront remises aux quatre ministres dans les prochains jours.
J’attends des propositions ambitieuses, notamment en termes de techniques d’enquête ou de recueil et de traitement des plaintes. J’attends, également, des propositions permettant d’améliorer l’organisation de nos services et d’offrir aux citoyens un dispositif plus lisible et plus proche de leurs préoccupations. Il s’agira naturellement, à court terme, et en parallèle des évolutions de l’organisation du ministère de la Justice, de renforcer les capacités d’investigation pour les infractions spécifiques liées au monde cyber en s’appuyant sur les enquêteurs spécialisés en technologies numériques de la gendarmerie et de la police.
3. Je souhaite également qu’au sein du ministère de l’Intérieur soit menée une réflexion de fond pour développer une capacité fine de pilotage et de coordination dans la lutte contre les cybermenaces. Nous devons fédérer les actions des différents services, faire le lien entre les capacités d’anticipation, la politique de prévention, les efforts de recherche et développement et les dispositifs de répression.
L’attention que je porte aux moyens consacrés, au sein du ministère de l’Intérieur, à la lutte contre les cybermenaces s’étend bien évidemment à ceux dédiés à la sécurité et la défense de ses propres systèmes d’information. Les systèmes d’information mis en oeuvre pour la sécurité intérieure et pour la conduite de l’action territoriale de l’État ne peuvent souffrir d’aucun manquement à leur propre sécurité. Ces outils permettent, au quotidien, l’action de notre administration, de nos forces. Le ministère de l’Intérieur est ainsi engagé au premier chef dans les démarches entreprises par les services du Premier ministre, afin de renforcer et garantir la sécurité de nos systèmes d’information.
J’ai donc demandé aux directeurs de la gendarmerie et de la police nationales de me proposer une stratégie de lutte contre les cybermenaces, sous trois mois, et de définir un véritable plan d’action. Cette réflexion s’appuiera sur les compétences développées au sein du ministère mais devra également, le cas échéant, définir ce qui nous manque. Elle pourra déboucher sur des évolutions structurelles. En outre, dans le cadre de la réforme des statistiques, j’avais demandé que l’on améliore la mesure des phénomènes de cyber-délinquance, et ce dans le cadre rigoureux des principes de la statistique publique. Les travaux de conception sont désormais bien avancés et je demanderai au chef du nouveau service statistique ministériel (SSM), dès sa prise de fonction fin février, de se prononcer sur le nouvel indicateur composite. Celui-ci devra clairement distinguer les atteintes directes aux systèmes d’information, les infractions liées aux contenus, les fraudes et escroqueries réalisées par l’internet, etc. Il est grand temps d’améliorer la qualité, la disponibilité et la régularité des données publiques sur ces enjeux fondamentaux de sécurité.
Enfin, si la sécurité du cyberespace relève en premier lieu de l’État, elle passe, aussi, nécessairement, par une mobilisation autour de partenariats avec le monde académique et les acteurs privés, fournisseurs de services et industriels de la sécurité des systèmes d’information.
Aussi, je salue la création cet après-midi, dans cette même enceinte, du « centre expert contre la cybercriminalité français (CECyF) », qui associera dans un premier temps la gendarmerie et la police nationales, les douanes, des écoles d’ingénieurs et universités – l’EPITA, l’Université de Technologie de Troyes – et des industriels – Orange, Thalès, Microsoft France et CEIS. Ce centre permettra l’émergence d’une communauté d’intérêts autour de la lutte contre la cybercriminalité. Les objectifs sont clairs : contribuer à la réflexion stratégique dans ce domaine, développer des actions de formation et encourager la mise au point d’outils d’investigation numérique et de travaux de recherche.
Mesdames, messieurs, Chaque époque connaît des mutations techniques, technologiques. Elles sont porteuses de progrès pour nos sociétés tout en générant des contraintes, des menaces nouvelles qu’il faut savoir intégrer. Comme vous le voyez, les pouvoirs publics se sont pleinement saisis des enjeux liés au monde cyber. Chaque phénomène, chaque menace doit pourvoir trouver une réponse adaptée. Mais l’essor du réseau mondial nous oblige à agir en réseau, à mobiliser l’ensemble des acteurs pour assurer la cybersécurité, c’est-à-dire simplement la sécurité de tous.
Le 5 janvier dernier, le forum 4chan a servi de support à la 3ème édition d’une immense chasse au trésor sauce chiffrement. Depuis 2012, l’opération cigale est lancée par des inconnus. Impossible, sauf pour les vainqueurs des années passées, de savoir qui se cache derrière Cicada 3301. D’après le ou les auteurs, cette grande course doit permettre de recruter « des individus très intelligents. Pour les trouver, nous avons conçu un test. Un message se cache dans cette image. Trouvez-le, et il vous mènera sur la voie pour nous trouver. Nous sommes impatients de rencontrer les quelques personnes qui réussiront à faire le chemin jusqu’à nous. Bonne chance.«
Prétentieux les « organisateurs » ? Les premières traces ont permis de remonter, d’abord, à un leurre, puis ensuite à décortiquer l’image (il fallait multiplier 3301 à la longue et hauteur de l’image d’origine. 3 nombres premiers qui donnaient l’ip d’un site web, et d’une image de cigale qui, exploitait avec le logiciel de sténographie OutGuess indiquait aux joueurs « Vous avez été suffisamment bons pour arriver jusqu’ici. La patience est une vertu. Revenez à 17:00 lundi 9 janvier 2012, UTC. » 14 points GPS sont apparus alors ce 9 janvier. Chaque point dirige vers une affiche et un QR Code, affiches collées dans les villes de Paris, Séoul, Varsovie, Miami. Chaque QR code dirige vers de nouveaux documents à décortiquer avec le même OutGuess.
En 2012, des commentaires liés aux images pointaient du doigt la NSA. Si en plus ils inventent des jeux sympas, ils vont finir par devenir vraiment sympathiques. En 2013, un PastBin annonçait que derrière cette organisation se cachait des gens dangereux. En attendant, Snowden n’a pas diffusé d’information sur ce concours. La CIA serait aussi dans les rangs des probables GO.
Des informations sont diffusées par des « joueurs » sur un wiki. Un Twitter a aussi été ouvert pour l’occasion.
Le Forum International de la Cybersécurité (FIC) 2014 organisé conjointement par la Gendarmerie Nationale, le cabinet CEIS et le Conseil régional du Nord-Pas de Calais se déroulera les 21 et 22 janvier à Lille Grand Palais. Pour cette 6e édition intitulée « Identité numérique et confiance », le FIC acte une nouvelle étape dans son partenariat avec Epitech, l’école de l’innovation et de l’expertise informatique (membre de IONIS Education Group).
Le partenariat s’est conclu dans le cadre du programme d’Epitech « Ecole citoyenne du numérique ». Ce dispositif permet aux étudiants de s’investir dans des projets concrets d’intérêt général. Au service des acteurs institutionnels et des collectivités, les étudiants de l’école traitent de thématiques liées au numérique. Deux 2 animations autour de l’identité numérique vont être proposées : « Selon où tu es, je sais qui tu es, le sais-tu ? » ; « Selon ce que tu sais, ce que tu as et qui tu es, tu pourras entrer ; ou pas ! ». Les équipes du laboratoire Sécurité d’Epitech, impliquées dans la pédagogie et dans les projets de recherche relatifs à ce sujet, ont créé deux démonstrations interactives et ludiques spécialement pour le FIC.
L’année derniére, les étudiants avaient réussi à piéger des visiteurs via une application distribuée via un flashcode.
Le FIC est devenu le « Salon européen de référence en matière de confiance numérique » réunissant les principaux acteurs institutionnels et experts du domaine dans une démarche de réflexion et d’échanges sous un angle stratégique (géopolitique, sociologique, juridique, managérial, technologique) et opérationnel. Manuel Valls, ministre de l’Intérieur sera présent pour la cérémonie officielle d’ouverture, le mardi 21 janvier 2014 à 9h00. Jean-Yves Le Drian, ministre de la Défense sera présent le mardi 21 janvier à 16h00. A noter que le ministère de la défense français, partenaire du FIC 2014, disposera d’un stand et participera à de nombreux ateliers, en particulier dans le parcours « stratégies de cyberdéfense ». L’intervention de M. Manuel Valls, ministre de l’Intérieur, sera suivie de la séance plénière « La cybersécurité est-elle un échec ? », avec l’intervention de Patrick Pailloux, directeur général de l’ANSSI, David Lacey, directeur de l’Institut des enquêtes criminelles à l’Université de Portsmouth, Jérémie Zimmermann, membre fondateur et porte-parole de La Quadrature de Net, Jean-Pierre Guillon, Président du MEDEF Nord Pas de Calais, Luc-François Salvador, PDG de Sogeti, Jean-Michel Orozco, CEO Cassidian Cybersecurity et Marc Watin-Augouard, Général d’armée (2S).
L’ensemble des conférences, séances plénières, tables rondes, ateliers et débats sont répartis selon 7 parcours thématiques : Lutte anti-cybercriminalité – Dynamiques industrielles – La fonction sécurité en entreprise – Technologies – Stratégies de cyberdéfense – Nouvelles citoyennetés numériques – Géopolitique du cyberespace. A noter que votre serviteur animera, mardi 21 janvier, le challenge Forensic mis en place par l’équipe de la Licence Professionnelle CDAISI. Le challenge consiste en deux séries d’épreuves informatiques de 4 heures dédiées au forensic et à la lutte informatique défensive.
Ces épreuves comportent différents niveaux et sont menées sur un réseau fermé. Le lendemain, mercredi 22 janvier, j’animerai la conférence « Le pouvoir de la perturbation massive sur Internet« . Le piratage du compte Twitter de l’Associated Press et ses conséquences considérables sur le cours de la bourse alertent quant au potentiel des réseaux sociaux. L’horizontalité et la viralité qui caractérisent ces outils en font des armes redoutables de perturbation massive et de soulèvement des populations. Comment anticiper ce risque ? Quel est le réel potentiel des réseaux sociaux et comment l’exploiter ?
Attention, ceci peut vous concerner car il s’agit de routeur « grand public » ou utilisés par certains opérateurs. Sur du matériel personnel, il est conseillé de flasher le firmware avec une solution DD-WRT (http://www.dd-wrt.com/site/index). Pour les routeurs d’opérateurs, vous pouvez demander des explications afin d’être rassurés sur la sécurité de vos informations/connexions. Pour Netgear et LinkSys, les backdoors découvertes dans les boitiers permettent d’interroger le harware à distance. Un accès aux parametres, mot de passe et aux programmes.
Pour Siemens, c’est un chercheur de chez IOActive qui a découvert deux vulnérabilités dans les commutateurs Ethernet Siemens. Des failles qui peuvent permettre à un attaquant distant d’exécuter des opérations administratives sans passer par la case « mot de passe ». Les vulnérabilités ont été découvertes par Eireann Leverett, consultant en sécurité principal pour IOActive. Les failles ont été signalées à Siemens.
La première vulnérabilité (CVE-2013-5944) pourrait permettre à des pirates d’effectuer une opération administrative sur le réseau sans authentification. La deuxième vulnérabilité (CVE-2013-5709) offre la possibilité à un acteur malveillant de détourner des sessions Web sur le réseau sans authentification. Siemens a annoncé fournir un patch de sécurité dans les trois mois. Les clients Siemens doivent appliquer le SCALANCE X-200, une mise à jour du firmware. (Baidu)
Le géant coréen de l’électronique Samsung vient de corriger une fuite de données concernant le smartphone S4 et ses tablettes. Les utilisateurs de tablettes et smartphones Samsung ont très certainement du apercevoir, ces derniers jours, une mise à jour de l’application Samsung Hub. Pourquoi ? La correction d’un bug qui envoyait email, mot de passe et localisation GPS de l’utilisateur sans aucune sécurité, ni chiffrement.
Une brèche de confidentialité qui a été corrigée à quelques jours de Noël. Le constructeur coréen indique à ses clients qu’il est conseillé, sait-on jamais, de changer son mot de passe attenant à son compte Samsung online. Une fuite loin d’être négligeable. Un « espion » aurait pu intercepter les données diffusées, via une connexion wifi.
Faut-il rappeler, cependant, qu’utiliser une connexion wifi non maîtrisé n’est rien d’autre qu’un suicide numérique. Nous vous conseillons d’utiliser un VPN, comme celui proposé par la société VyprVPN qui fournit, en plus une application pour Android et iOS, ainsi que pour Linux, PC et MAC. A noter que la faille permettait aussi de géo-localisé le possesseur du smartphone ou de la tablette via l’application « Find My Mobile« . (MediaTest digital)
Les prochains Jeux olympiques d’hiver, qui se dérouleront à Sotchi en février 2014, verront le déploiement de « l’un des systèmes d’espionnage les plus intrusifs et systématiques de l’histoire des Jeux », a révélé début octobre The Guardian. D’après des documents recueillis par une équipe de journalistes russes, le Service fédéral de sécurité, le FSB, « prévoit de faire en sorte qu’aucune communication, de la part des concurrents comme des spectateurs, n’échappe à la surveillance ».
La surveillance de masse n’est donc pas une discipline réservée à la NSA. Qu’ils soient militants des droits de l’Homme, professionnels des médias, sportifs ou spectateurs, tous ceux qui se rendront à Sotchi communiqueront à ciel ouvert, au risque de mettre en danger leurs données et leurs contacts et, plus grave encore, leurs sources s’ils viennent pour enquêter.
En Russie, comme aux États-Unis ou en France, Reporters sans frontières se bat contre la surveillance et forme journalistes et blogueurs aux moyens de s’en prémunir. Les équipes de Reporters sans frontières savent comment contourner la surveillance. Nous avons, par exemple, mis en place une série de formations dédiée à l’apprentissage technique de différentes méthodes de protection. Votre don protège l’information et les journalistes qui la transmettent. Vous aussi, engagez-vous contre la surveillance. Faites un don à Reporters sans frontières.
Pendant ce temps, le magazine 01net (en ce moment en kiosque, ndr) revient sur des fuites de données visant des demandeurs de Visa pour la Russie. Les Ambassades touchées n’ont toujours pas répondu/corrigé.
Les 48 meilleurs hackers d’Espagne, de France, du Benelux, du Maroc, de Tunisie, de Côte d’Ivoire se sont retrouvés, ce week-end à Jeumont (59), à l’occasion de la grande finale du HackNowLedge Contest. Après un an de compétition, à sillonner l’Europe et l’Afrique, les bénévoles de l’association Maubeugeoise de l’ACISSI, instigatrice de l’idée et des 70 épreuves d’Hacking Ethique, ont invité les gagnants de chaque compétition nationale pour la grande finale qui s’est tenue dans les locaux de la Gare Numérique de Jeumont. But ultime, finir sur la première marche du podium pour remporter un séjour à Las Vegas, au mois d’août prochain, lors de la Def Con XXI. La mission des concurrents, durant 10 heures, est de cracker des clés de chiffrement, taquiner de la biométrie, jongler avec de la sténographie, des digits codes, des téléphones portables, des serrures et des dizaines d’autres « épreuves » numériques. L’idée, mettre en avant ses compétences techniques au service du hacking éthique.
Conférences d’avant match
Avant le lancement de la compétition, plusieurs conférences ont été proposées dans l’espace de la Gare Numérique. Etat des lieux de la sécurité informatique au Maroc, en Belgique ou encore des infrastructures informatiques industrielles, en passant par l’évolution de la loi française face aux amateurs de failles, les « brouteurs » (scammeurs – Arnaque Nigériane – 419) en Côte d’Ivoire ou encore un retour sur l’action des « Anonymous » lors de la révolution de Jasmin, en Tunisie. « Il va être très compliqué de combattre le scam,souligne Serge Didikouko, spécialiste local en sécurité informatique. Les jeunes peuvent gagner jusqu’à un an de salaire d’un fonctionnaire en une seule journée. Dans notre pays, les cyber-cafés s’ouvrent un peu partout. La connexion coute entre 0.50€ et 0.75€. Beaucoup de personnes gagnent de l’argent grâce aux brouteurs. Du gamin de 10 ans qui surfe toute la journée en passant par l’agent de change qui peut toucher jusqu’à 10% sur chaque réception d’argent ». Les arnaques se multiplient : fausses ventes, faux amants, faux fils de président décédé. Le but, soutirer de l’argent aux pigeons piégés sur la toile.
Du côté de l’hexagone, Maître Raphaël Rault, du cabinet d’Avocats BRM est revenu sur comment tester la sécurité en toute légalité ? « Il faut rappeler, indique l’homme de loi, qu’un test d’intrusion ne peut se faire sans l’accord du propriétaire ; lui rappeler que tous ses partenaires sont susceptibles d’être directement ou indirectement impactés par l’audit. Ils doivent être signataires du contrat passé avec le propriétaire de l’espace à auditer ». Des obligations qu’il ne faut pas prendre à la légère. Aucune intervention sur le système d’information visé, sans un accord écrit sous peine de se voir appliquer les dispositions pénales spécifiques « sans parler du risque d’atteinte aux traitements de données à caractère personnel. » Bref, hacker n’est pas jouer.
Un bidouilleur explique comment, en quelques minutes, un pirate pourrait prendre la main sur des drones grand public vendus dans le commerce. Samy Kamkar est un informaticien qui aime mettre son nez dans les bits qui lui passent sous la souris. En 2005, il avait déjà fait parler de lui en dénonçant les informations des GPS des smartphones envoyées, illégalement, aux constructeurs.Il avait aussi joué avec MySpace avec le virus Samy.
Le codeur vient d’expliquer comment, avec un drône vendu dans le commerce, un Raspberry Pi, une petite batterie et deux transmetteurs wifi, il lui est possible de pirater les drones qui lui tournent autour. Pour le moment, se sont les drones de la marque Parrot. Bref, plus de 500.000 engins du leader du drône pour papa geek peuvent se faire pirater. Samy Kamkar a créé une application du nom de SkyJack. Le logiciel déconnecte les autres drones de leur propriétaire. Bilan, les commandes passées normalement par un téléphone portable (iOS ou Android) ne passent plus.
Bref, il a réussi à transformer des drones en zombi. Voilà qui s’annonce… hot dans de mauvaises mains !
Un pirate informatique réussi à infiltrer une agence américaine sensible en se faisant passer pour une blonde torride. Emily Williams, gentille, sexy, pas avare de cartes numériques envoyées de ses vacances. Une amie ? Pas vraiment. Des chercheurs en sécurité informatique Aamir Lakhani et Joseph Muniz ont expliqué lors de la conférence RSA Europe 2013 comment une agence américaine sensible, en charge de question de sécurité avait été infiltrée par un pirate, amateur de phishing particulièrement bien ciblé. De fausses cartes numériques de vacances piégées qui auraient permis de mettre la main sur les accès Facebook, LinkedIn ou encore SalesForce de fonctionnaires. Les deux chercheurs ont expliqué que leur attaque, pour du faux, avait permis de duper un employeur du gouvernement en lui faisant croire qu’elle était une employée gouvernementale. Le clic sur le javascript piégé aura fait le reste ! L’attaque « scientifique » aura durée 90 jours. Lakhani a refusé de préciser quelle agence du gouvernement avait été infiltrée et compromise par Mlle Williams.
Le Hacknowledge Contest Europa-Africa, compétition de Hacking éthique, s’est déroulé à travers l’Europe et l’Afrique. Il réunira l’ensemble des équipes qualifiées pour une ultime manche les 7 et 8 décembre prochains, à Jeumont dans la région Nord-Pas-de Calais. Les quinze équipes qualifiées viendront se disputer la victoire par pays, lors d’un affrontement intense de douze heures d’affilée, avec l’espoir de se hisser au premier rang de la compétition.
Les challenges ont eu lieu tout au long de l’année, en Algérie, Belgique, Côte d’Ivoire, Espagne, France, Maroc et Tunisie. Les équipes classées en première et deuxième position ont reçu une bourse pour représenter leur pays lors de la finale de la compétition. Cette finale récompensera les vainqueurs en leur offrant un séjour à Las Vegas, où ils pourront participer à la mythique conférence DEFCON, qui rassemble chaque année l’élite mondiale du hacking.
Les participants au challenge tenteront de résoudre 70 épreuves inédites, nécessitant des talents techniques et faisant appel à des qualités de culture, stratégie et logique. Ouverte à tous, la compétition regroupe hackers professionnels, étudiants et plus généralement les passionnés de hacking. Le Hacknowledge Contest est une initiative originale de l’association ACISSI, la compétition est organisée par des membres bénévoles. Les organisateurs sont issus des secteurs académique et professionnel, ils ont pour objectif de promouvoir le hacking éthique et sa diversité.
Franck Ebel, Responsable de la licence professionnelle Ethical Hacking, CDAISI, de l’IUT de Maubeuge et organisateur du concours, déclare : « Les concours nationaux sont terminés, l’accueil dans chaque pays a été exceptionnel. Pour un coup d’essai, ce fut un coup de maître ! Quelle joie et honneur de côtoyer des hackers de tous les horizons, de toutes nationalités, de toutes religions. Le Hacking est un langage universel qui rassemble et uni sans discrimination, il casse les frontières faites par les hommes. C’est un événement hors du commun, nous nous attendons à une finale extraordinaire avec les meilleurs hackers d’Europe et d’Afrique. »
En parallèle de la compétition, le hacknowledge proposera des ateliers et un cycle de conférences. Parmi les sujets abordés : le piratage des systèmes industriels, tester la sécurité en toute légalité, les coulisses de l’attaque DdoS en Tunisie…
A noter que vus pourrez suivre ce rendez-vous en live (streaming vidéo en autres, NDR) sur zataz.com, zatazweb.tv et datasecuritybreach.fr.
D’habitude, dans les concours de hacking éthique, les concurrents doivent trouver des failles, des passages numériques, hardware et/ou résoudre des problèmes informatiques afin d’atteindre une autre épreuve et ainsi engranger des points. Chez BT, c’est le contraire via son « Challenge ». Le jeudi 7 novembre, à partir de 18 heures, sera organisé le BT Cyber Défense Challenge. L’idée, vous aurez 3 heures pour défendre votre système et contrer les attaques des experts BT. Ce sympathique challenge consiste en la défense d’une application à l’aide d’équipements de sécurité d’infrastructure (Check Point et SourceFire). L’idée, analyser dans un premier temps les logs pour identifier les vulnérabilités exploitées par les informaticiens de chez BT. Il faudra ensuite construire une défense adaptée à l’aide des technologies proposées par BT. A gagner, un drône Barrot 2.0. [Inscription]
Les services secrets Russes mettent la main sur l’un des plus important pirate informatique du pays. Les services secrets russes, le FSB, aurait mis la main sur l’auteur d’un des plus important couteau Suisse pirate du web, Blackhole. Ce logiciel permet d’attaquer des ordinateurs, à distance, à partir d’exploits et sites web piégés. Finalité de ce logiciel, profiter de failles dans des logiciels web (Adobe, Navigateurs, Apache, …) pour voler toutes les données bancaires possibles, Bitcoin compris. Un kit exploit qui a fait de gros dégâts. Si la rumeur fait état que cette arrestation n’en serait pas une, il est très intéressant de constater que le service « chiffrement » proposé par Paunch, crypt.am, a été fermé. Si peu d’informations ont pour le moment fuitées, Paunch (ou encore Punch) a en main des centaines de milliers d’informations qui pourraient faire frémir le black market, le marché noir des données bancaires piratées.
Le tribunal d’Alexandrie (USA – Etat de Virginie) n’a pas été de main morte. La justice américaine vient de mettre en cause 13 pirates informatiques présumés pour avoir lancé des attaques informatiques sous la signature d’Anonymous. Des piratages informatiques, vols de données et autres DDoS menés entre septembre 2010 et janvier 2011 contre la Motion Picture Association of America. Le syndicat des studios de cinéma Hollywoodien (MPAA), la Recording Industry Association of America (RIAA), Visa, Mastercard ou encore la Bank of America. Des actions lancées au moment des mises en place de nouvelles lois contre le piratage de biens culturels sur le réseau des réseaux. Les 13 personnes inculpées « ont planifié et mis en oeuvre une série de cyberattaques contre les sites des entreprisesvictimes (…) pour rendre leurs ressources inaccessibles à leurs clients et utilisateurs », a pu lire datasecuritybreach.fr dans l’annonce de l’acte d’inculpation. Ces internautes, s’ils sont reconnus coupables, risquent jusqu’à 30 ans de prison ferme.
C’est dans une chaleur intense que plus de 110 concurrents se sont retrouvés pour les 12 heures d’épreuves du HackNowLedge contest Tunisie. Organisé par l’ATAST et Sup’COM, en collaboration avec l’association Française ACISSI, le concours a offert 72 épreuves de hacking éthique dans les très beaux locaux de l’école d’ingénieur située dans la capitale tunisienne. Autant dire que la Tunisie aura fait fort avec des vainqueurs dépassant l’ensemble des autres équipes des éditions antérieures (1 – Tunisie, 2 – France, – 3 Belgique). 6610 points aux compteurs pour la team ForbiddenBits. Autant dire que la finale du 7 décembre prochain s’annonce palpitante. (Reportage sur ce week-end exceptionnel sur zatazweb.tv). Prochaine date, fin octobre, à Alger.
Les 28 et 29 septembre, à partir de 18 heures, suivez en direct, le HackNowLedge Contest Tunis 2013 en partenariat avec ACISSI ; ATAST ; Sup’COM, ZATAZ.COM et ZATAZWEB.tv. Après la Côté d’Ivoire, le Maroc, l’Espagne, la Belgique et la France. C’est à Tunis que le H.N.C. a déposé ses conférences et ses 12 heures d’épreuves de Hacking Ethique. 72 épreuves de hacking logiciels, codes, hardware, lock Picking … Retrouvez nous sur Twitter @zataz et @hacknowledgeC. Vous pourrez retrouver dans cette page, … le voyage de l’équipe (selon connexions wifi, ndlr), les conférences (en live) et les 12 heures d’épreuves en streaming vidéo.
Actualités cybersécurité, protections des données pour PME/PMI/TPE
