Archives de catégorie : cryptolocker

cryptolocker, Cybersécurité, Entreprise

Vente du code source du Ransomware INC

Depuis août 2023, le ransomware INC, fonctionnant sous le modèle Ransomware-as-a-Service (RaaS), fait parler de lui. Le code source a été mis en vente sur le darknet.

Par le passé, des entreprises notables comme la division américaine de Xerox Business Solutions, la division philippine de Yamaha Motor, et le National Health Service of Scotland (NHS) ont été touchées par le ransomware Ransomware INC. Le code source du ransomware est en vente, mais il semblerait aussi qu’une scission soit survenue au sein du groupe de hackers. Un individu surnommé salfetka a proposé les versions Windows et Linux/ESXi d’INC sur des forums de hackers, demandant 300 000 $ et limitant l’offre à trois acheteurs potentiels.

Les annonces de vente que le Service Veille ZATAZ a repéré mentionnent des détails techniques, comme l’utilisation d’AES-128 en mode CTR et l’algorithme Curve25519 de Donna, cohérents avec les analyses publiques précédentes des échantillons de INC Ransom.

Actif sur les forums de hackers depuis mars 2024, salfetka avait tenté d’acheter l’accès au réseau d’une organisation pour 7 000 $ et avait proposé une part de la rançon lors d’une future attaque. Sa signature inclut les URL des anciennes et nouvelles pages de INC Ransom, suggérant un lien avec le ransomware. Du moins tente-t-il de le faire croire.

Le 1er mai 2024, le groupe a annoncé sur son ancien site web qu’il déménageait vers un nouveau blog avec une adresse Tor, l’ancien site devant fermer dans deux à trois mois.

Un nouveau site qui reste sobre et affichant peu d’informations. Les divergences entre les deux sites pourraient indiquer un changement de direction ou une scission en différents groupes. Salfetka référant aux deux sites comme étant ses projets pourrait signifier qu’il est associé aux deux et que le nouveau blog a été créé pour maximiser les profits de la vente.

A moins qu’une infiltration des autorités se soit chargée de faire tomber ces criminels.

Antivirus, Argent, Arnaque, Chiffrement, Communiqué de presse, cryptolocker, Cyber-attaque, Cybersécurité, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Piratage, Securite informatique

Déchiffrer les nouvelles versions de GandCrab

Europol, la police roumaine, plusieurs autres organisations policières et privées publient un nouvel outil de déchiffrement pour les dernières versions du ransomware GandCrab.

 Europol, l’agence Roumaine DIICOT (Direction des enquêtes sur le crime organisé et le terrorisme) et plusieurs organisations policières et privées, dont Bitdefender, proposent une nouvelle version de l’outil de déchiffrement mis à disposition des victimes de GandCrab, pour lutter contre les dernières versions du ransomware. GandCrab est à ce jour reconnu comme étant l’une des familles de ransomware les plus prolifiques et les plus dangereuses du monde.

Le nouvel outil de déchiffrement permet aux victimes de retrouver l’accès à leurs propres données sans payer de rançon aux cybercriminels. En plus des versions 1, 4 et des premières versions 5, le nouvel outil s’attaque maintenant aux infections par les versions 5.0.4 à 5.1 – les plus récentes utilisées par les cybercriminels diffusant GandCrab.

L’outil précédent a déjà été téléchargé plus de 400 000 fois, aidant près de 10 000 victimes à économiser plus de 5 millions de dollars en frais de déchiffrement. Depuis son émergence en janvier 2018, GandCrab a infligé des centaines de millions de dollars de pertes dans le monde.

GandCrab Familly

La famille de ransomware GandCrab a été extrêmement active au cours de la dernière année, surpassant les autres familles de ransomware en popularité et en viralité.

L’année dernière, certaines versions de GandCrab ont commencé à attaquer des organisations via des instances de Remote Desktop Protocol exposées ou en se connectant directement avec des identifiants de domaine volés. Après s’être authentifié sur un PC compromis, les attaquants lancent manuellement le ransomware et lui demandent de se répandre sur tout un réseau. Une fois le réseau infecté, les attaquants effacent leurs traces et contactent ensuite la victime avec une offre de déchiffrement. Depuis fin 2018 et début 2019, GandCrab a radicalement transformé son mécanisme de diffusion, ses opportunités d’affiliation et amélioré sa résistance à la plupart des solutions de cybersécurité.

Pour prévenir les infections des logiciels de rançon, les utilisateurs doivent mettre en œuvre une solution de sécurité avec des défenses anti-ransomware en couches, sauvegarder régulièrement leurs données et éviter d’ouvrir les pièces jointes fournies avec les messages non sollicités. Il ne faut pas céder aux exigences des opérateurs de ransomware, notamment GandCrab et penser à sauvegarder l’information chiffrée et aviser la police immédiatement.

Actions de GandCrab

D’abord, après son lancement sur une machine attaquée tournant sous Microsoft Windows, GandCrab! peut recueillir des informations sur les processus en cours des logiciels antivirus. Il vérifie en premier lieu sa présence sur la machine, puis force l’arrêt des processus logiciels selon une liste définie par le malveillant utilisateur. Il installe une copie de lui-même sur le disque et modifie une branche du Registre Windows pour assurer son lancement automatique.

Ensuite, le Trojan chiffre le contenu des disques fixes, amovibles et de réseau, à l’exception de certains dossiers dont quelques dossiers système et service. Chaque disque rendu illisible dans un thread différent. Après la fin du chiffrement, le Trojan envoie au serveur des données sur le nombre de fichiers chiffrés et sur le temps mis pour le chiffrement.

Pour conclure, le nouvel outil de décryptage est disponible immédiatement et peut être téléchargé gratuitement sur No More Ransom Project.

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Leak, Logiciels, Particuliers, Piratage, ransomware, ransomware, Sauvegarde, Securite informatique, Vie privée

RGPD et Ransomware : des actions judiciaires à prévoir dès mai 2018 ?

Votre société a été touchée par un ransomware ? En mai 2018, des actions judiciaires lancées par vos clients pourraient rajouter une couche d’ennuis à votre entreprise.

RGPD et actions judiciaires ! Le 18 janvier 2018, la société américaine Allscripts était touchée par un ransomware. Classique attaque qui chiffre les fichiers des ordinateurs infiltrés. Une cyberattaque possible via le clic malheureux d’un employé sur un mail piégé. Une attaque qui a perturbé l’entreprise, mais aussi directement ses clients. Ces derniers ne pouvaient accéder à leurs dossiers de patients ou de facturation.

Bilan, une plainte de recours collectif (Class action) a été déposée contre Allscripts. Le fournisseur de dossiers de santé électroniques (DSE) va se retrouver devant la justice. Un de ses prestataires, Surfside Non-Surgical Orthopedics, basé en Floride, spécialisé dans la médecine sportive, a déposé une plainte contre DSE.

Actions judiciaires, rançongiciel …

En en raison de l’attaque, Surfside indique qu’il « ne pouvait plus accéder aux dossiers de ses patients ou prescrire électroniquement des médicaments« .  Bilan, rendez-vous annulé, pertes d’argent… Allscripts est l’un des fournisseurs de dossiers médicaux électroniques (DSE) les plus répandus dans le monde.

L’entreprise est toujours à travailler, plusieurs jours après cette « attaque », à restaurer certains de ses systèmes informatiques suite au rançongiciel.

Fait intéressant, le type de ransomware utilisé dans l’attaque [SamSam ransomware] était le même que celui utilisé dans une attaque contre Hancock Health, un autre système de santé basé dans l’Indiana, début janvier 2018. Dans ce cas, les responsables du système de santé ont fermé tout le réseau Hancock Health et ont finalement payé le pirate. Il aurait reçu 55 000 dollars en bitcoin.

SamSam a également été utilisé contre le système de santé intégré MedStar Health, en mars 2016. Bleeping Computer a noté que d’autres attaques ont signalées, impliquant SamSam, dans les machines de l’Adams Memorial Hospital (Indiana).

Les systèmes d’Allscripts desservent environ 180 000 médecins et 2 500 hôpitaux. Il n’est pas clair si la société a payé une rançon.

Antivirus, Chiffrement, cryptage, cryptolocker, Cybersécurité, Entreprise, Logiciels, ransomware

Vol de code : quand la rivalité entre pirates profite aux victimes de ransomwares

Un outil de déchiffrement pour des variantes du ransomware AES-NI grâce aux pirates eux-mêmes. Ils l’ont rendu public suite à la propagation d’un autre ransomware utilisant le même code.

Les clés de la variante A (Win32 / Filecoder.AESNI.A.) avaient déjà été publiées sur un forum d’aide aux victimes de ransomware, les auteurs ayant revendiqué être les développeurs du malware. Pour la variante B (Win32 / Filecoder.AESNI.B), les pirates l’ont diffusé sur Twitter. Quant à la variante C (Win32 / Filecoder.AESNI.C) connue sous le nom d’XData, un invité anonyme a posté la clé sur un forum quelques jours plus tard.

Comme le souligne BleepingComputer, le groupe de cybercriminels responsable de la propagation du ransomware AES-NI affirme que son code source a été volé et utilisé par le ransomware XData (détecté par ESET le 8 décembre 2016 sous Win32 / Filecoder.AESNI.C).

Piratage informatique dans le monde du ransomware ! À l’origine, le ransomware possède des restrictions empêchant les infections en Russie et dans la Communauté des États Indépendants (CEI). Cette technique est souvent utilisée par les cybercriminels russes qui évitent ainsi les poursuites intentées par leur gouvernement.

Après avoir volé le code source plus tôt cette année, les restrictions semblent avoir été levées pour cibler l’Ukraine et ses pays voisins :  entre le 17 et le 22 mai 2017, ce ransomware a été détecté à 96% en Ukraine.

Les victimes ayant des fichiers chiffrés peuvent télécharger l’outil de déchiffrement ESET en cliquant ici.

Comment se protéger

Pour ce cas précis, la séparation des comptes d’administration et d’utilisateur évite en grande partie les préjudices, car le ransomware XData se sert des mots de passe d’administration pour se propager. Sans les privilèges administrateurs, XData ne peut infecter qu’un seul ordinateur au lieu du réseau.

De manière générale, voici ce que vous pouvez faire pour vous protéger contre la plupart des ransomwares :

• utilisez une solution de sécurité fiable et multicouche ;

• mettez régulièrement à jour vos logiciels et patchez votre système d’exploitation ;

• sauvegardez vos fichiers sur un disque dur ou un emplacement distant non connecté au réseau ;

• ne cliquez jamais sur les pièces jointes et les liens des emails suspects ou dont vous ignorez la source.

 

Base de données, Chiffrement, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Leak, Piratage

Cyber-espionnage et ransomware en hausse

Le cyber-espionnage et les ransomwares sont en augmentation constante d’après le Data Breach Investigations Report 2017.

Le cyber-espionnage est désormais le type d’attaque le plus courant dont font l’objet l’industrie, le secteur public et même l’éducation, signale Verizon dans l’édition 2017 de son rapport Data Breach Investigations Report.  Ceci s’explique surtout par la prolifération des recherches de propriété intellectuelle, des prototypes et des données personnelles confidentielles, qui attirent tout particulièrement les cybercriminels. Sur près de 2 000 compromissions analysées cette année, le rapport compte 300 cas de cyber-espionnage (21%), dont beaucoup n’étaient à l’origine que des e-mails de phishing.

De plus, les organisations criminelles intensifient leur utilisation des ransomwares pour extorquer l’argent des victimes : le rapport fait état d’une augmentation de 50% des attaques de ransomwares par rapport à l’année précédente.  Malgré cette augmentation et la médiatisation autour de l’utilisation des ransomwares, de nombreuses entreprises utilisent toujours des solutions de sécurité qui ne sont plus au goût du jour et elles n’investissent pas suffisamment dans des précautions supplémentaires.  Elles honorent les demandes de rançon plutôt que d’investir dans des services de sécurité qui pourraient les protéger d’une cyberattaque.

« Les éclairages qu’apporte le rapport DBIR uniformisent les règles du jeu de la cybersécurité », déclare George Fischer, président de Verizon Enterprise Solutions. « Nous apportons aux états et aux entreprises l’information dont ils ont besoin pour se protéger contre les cyberattaques et mieux gérer le cyber-risque. En analysant les données de notre propre équipe dédiée à la sécurité et celles d’autres grands professionnels de la sécurité et institutionnels du monde entier, nous mettons à disposition de précieuses informations de veille pour aider à transformer le profil de risque d’une organisation. »

Le rapport DBIR de cette année, qui en est à sa 10ème édition, propose une analyse des actuelles problématiques de cybersécurité et des informations sectorielles afin de sensibiliser les entreprises et administrations pour qu’elles fassent de la sécurité leur priorité. Voici quelques-unes des conclusions du rapport :

•    L’importance croissante des malwares : 51% des cas de compromission de données analysés impliquaient des malwares. Le ransomware progresse à la cinquième place des malwares spécifiques les plus courants. Cette technologie d’extorsion de fonds aux victimes affiche une progression de 50% par rapport à l’édition précédente, et fait un énorme bond par rapport au rapport DBIR de 2014 où elle se classait à la 22ème place des types de malwares en circulation.

•    Le phishing a toujours du succès : Dans l’édition 2016 du rapport DBIR, Verizon signalait l’utilisation croissante des techniques de phishing liées à l’installation d’un logiciel sur le terminal d’un utilisateur. Cette année, le processus se retrouve dans 95% des attaques de phishing. Une technique de phishing est présente dans 43% des cas de compromission de données et la méthode sert autant pour le cyber-espionnage que pour les attaques à but lucratif.

•    Essor des tactiques de faux semblant (pretexting) : L’édition 2017 du rapport DBIR montre que la tactique en plein essor de pretexting cible de façon prédominante les salariés des services financiers, ceux qui détiennent les clés des procédures de transfert d’argent. L’e-mail est le premier vecteur de communication, utilisé dans 88% des cas de pretexting ayant un but lucratif, suivi en seconde position par les communications téléphoniques dans moins de 10% des cas.

•    Les petites entreprises sont aussi visées : 61% des victimes analysées étaient des entreprises de moins de 1 000 salariés.

Cyber-espionnage

« Les cyber-attaques ciblant le facteur humain sont toujours un gros problème », déclare Bryan Sartin, directeur exécutif de la branche Global Security Services de Verizon Enterprise Solutions. « Les cybercriminels se concentrent sur quatre éléments moteurs du comportement humain pour encourager les individus à révéler des informations : l’empressement, la distraction, la curiosité et l’incertitude. Et ça marche, puisque notre rapport fait étatd’une forte augmentation des cas de phishing et de pretexting cette année. »

Le rapport de cette année apporte des éclairages concernant certains secteurs spécifiques, et révèle les problématiques spécifiques de différents secteurs verticaux, en plus de répondre systématiquement aux questions « qui ? quoi ? pourquoi ? et comment ? ».
Voici quelques-unes des conclusions sectorielles :

•    Les trois secteurs d’industrie visés par les compromissions de données sont les services financiers (24%) ; la santé (15%) et le secteur public (12%).

•    Les entreprises du secteur de l’industrie sont les cibles les plus fréquentes des malwares adressés par e-mail.

•    68% des menaces visant le secteur de la santé sont perpétrées depuis l’intérieur de l’organisation.

« Les données du cybercrime varient beaucoup d’un secteur à un autre », commente Bryan Sartin. « Ce n’est qu’en comprenant les mécanismes fondamentaux de chaque secteur vertical que l’on peut apprécier les défis de cybersécurité de chacun et recommander des mesures appropriées. »

Sachant que dans 81% des cas de compromission, on retrouve des mots de passe volés et/ou peu sécurisés ou faciles à deviner, il demeure très important de poser des bases solides. Voici quelques recommandations à l’attention des entreprises et des individus :
1.    Restez vigilants : les fichiers journaux et les systèmes de gestion du changement peuvent être des indicateurs d’alerte précoce d’une compromission.
2.    Utilisez vos salariés comme première ligne de défense : formez-les pour qu’ils sachent détecter les signes d’alerte.
3.    Appliquez le principe de la nécessité absolue : seuls les salariés ayant besoin d’avoir accès aux systèmes pour travailler sont effectivement autorisés.
4.    Installez les correctifs dans les meilleurs délais : c’est le meilleur moyen de se protéger de très nombreuses attaques.
5.    Chiffrez les données sensibles : rendez vos données inexploitables en cas de vol.
6.    Utilisez la double authentification : vous limiterez l’ampleur des dégâts en cas d’identifiants perdus ou volés.
7.    Ne négligez pas la sécurité physique : tous les vols de données ne se produisent pas en ligne.

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Logiciels, Mise à jour, Patch, Piratage, Social engineering

Le business du chiffrement des données des entreprises

Publication d’un livre blanc sur la rentabilité de l’activité de chiffrement des données des entreprises par les cybercriminels.

Le ransomware, cybermenace la plus prolifique du moment, se propage au sein des entreprises via les réseaux de partage de fichiers, les pièces jointes, les liens malveillants ou encore les sites Internet compromis autorisant les téléchargements directs. Le premier trimestre 2016 a enregistré une croissance de 3 500% du nombre de domaines utilisés pour la diffusion de ransomwares, établissant au passage un nouveau record.

Principaux pays touchés par des ransomwares, sous Windows au premier semestre 2016

Les ransomwares ont généré plusieurs centaines de millions de d’euros de gains au moyen d’actes d’extorsion explique BitDefender. Au cours du premier semestre 2016, c’est aux États-Unis que le plus grand nombre d’attaques de ransomwares ont été recensées, avec 19,09% de l’ensemble des attaques de ransomwares déclarées dans le monde.

Le Royaume-Uni est arrivé en deuxième position, avec 11,89%, soit seulement 2,26 points de plus que l’Allemagne (9,63%), laquelle figurait à la troisième place de notre classement des pays les plus touchés par des attaques de ransomwares.

Principales familles de ransomwares sous Windows en France, premier semestre 2016

Teslacrypt arrive en tête avec 9,38% de l’ensemble des attaques de ransomwares déclarées, Locky se classe en seconde position avec 7,48% et Cryptolocker se hisse à la troisième place, avec 5,66%. Les écarts minimes qui séparent la France des Etats-Unis, de l’Allemagne et du Royaume-Uni semblent indiquer que les cybercriminels ont utilisé une large palette de techniques pour infecter leurs victimes. Si d’autres pays ont été plus particulièrement visés par des infections de ransomwares spécifiques, il semblerait qu’en France, les cybercriminels aient recouru à tout l’arsenal de techniques possibles pour diffuser des ransomwares…

Quelques actions utiles pour se protéger contre les ransomwares en milieu professionnel

– Sauvegarder régulièrement les données et contrôler l’intégrité de ces sauvegardes. Les sauvegardes sont essentielles en cas d’incidents liés à des ransomwares ; en cas d’infection, elles peuvent constituer le meilleur moyen de récupérer les données critiques.

– Sécuriser ses sauvegardes. Veiller à ce que les sauvegardes ne soient pas connectées aux ordinateurs et aux réseaux qu’elles sauvegardent. Faire des sauvegardes dans le Cloud ou les stocker sur un support physique hors ligne. Il convient de noter que certains ransomwares ont la capacité de verrouiller les sauvegardes basées dans le Cloud lorsque les systèmes réalisent en continu des sauvegardes en temps réel, une action également connue sous le nom de « synchronisation continue ».

– Examiner avec attention les liens contenus dans les e-mails et ne jamais ouvrir les documents joints à des e-mails non sollicités.

– Ne jamais télécharger des logiciels (en particulier gratuits) à partir de sites inconnus. Quand cela est possible, vérifier l’intégrité du logiciel au moyen d’une signature numérique, avant son exécution.

– Veiller à ce que les correctifs d’applications pour ses systèmes d’exploitation, logiciels et firmwares soient à jour, y compris Adobe Flash, Java, les navigateurs Web, etc.

– Veiller à ce que la solution antimalware soit paramétrée pour se mettre à jour automatiquement et pour effectuer des analyses régulièrement.

– Désactiver les scripts de macro des fichiers transmis par e-mail. Envisager d’utiliser le logiciel Office Viewer pour ouvrir les fichiers Microsoft Office transmis par e-mail plutôt que d’utiliser l’ensemble des applications de la suite Office.

– Mettre en place des restrictions logicielles ou d’autres contrôles afin d’empêcher l’exécution de programmes dans des emplacements couramment utilisés par les ransomwares, tels que les dossiers temporaires utilisés par les principaux navigateurs Internet ou les programmes de compression/décompression, y compris ceux qui se trouvent dans le dossier AppData/LocalAppData.

*Source : Bitdefender Labs. Auteurs : Liviu Arsene, et Răzvan Mureșan, Spécialistes Sécurité.

**Le livre blanc

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Logiciels, Piratage, ransomware, Social engineering

Les écoles bordelaises attaquées par un code malveillant

La moitié des écoles de Bordeaux victimes d’un étrange code malveillant.

Voilà qui est fâcheux ! Qui a cliqué sur le fichier joint qui a mis à mal l’informatique de quasiment la moitié des écoles de Bordeaux.  Une attaque « sans précédent » indique l’adjointe au maire en charge de l’éducation, Emmanuelle Cuny, dans les colonnes de Sud Ouest. A première vue, un ransomware qui s’est promené de machine en machine dans au moins 40 écoles sur les 101 du périmètres de la ville bordelaise.

Les données pédagogiques pourraient être perdues suite à cette infection selon le quotidien r. Espérons que le mot sauvegarde soit dans la bouche et le cahier des charges de la municipalité concernant les écoles maternelles et primaires de la ville.

A noter que l’Académie de Bordeaux a un contrat avec l’éditeur d’antivirus TrendMicro. Ce dernier  propose Internet Security dans « toutes les écoles du 1er degré, publiques et privées« . A première vue, tout le monde ne l’a pas installé. Une bonne formation ne fera pas de mal non plus !

Le site ZATAZ indiquait il y a peu des chantages informatiques ayant visé des écoles britanniques. Un pirate réclamait plus de 9000 euros à plusieurs établissements scolaires après avoir chiffré les données sauvegardées dans les ordinateurs des écoles.

Bitcoin, Chiffrement, cryptage, cryptolocker, Cybersécurité, ransomware, Social engineering

Ransomware : 10 conseils pour les éviter

Le ransomware, une menace bien réelle. Une fois qu’ils ont infecté un ordinateur ou un réseau d’entreprise, ces malwares en cryptent toutes les données et exigent le paiement d’une rançon pour pouvoir récupérer la clé de cryptage.

Les victimes d’un ransomware sont souvent démunies face à cet arrêt brutal de leurs systèmes, et se tournent vers différentes sources pour chercher de l’aide, mais il est déjà bien trop tard.

Heureusement, il existe de nombreux moyens d’anticiper ce type d’attaques avancées afin réduire leur impact. La clé ? Une solution de sauvegarde éprouvée. Qu’il s’agisse de logiciels de demandes de rançons, les attaques informatiques ciblent tout le monde : particuliers, petites entreprises, ou encore grands groupes. Une attaque réussie peut être particulièrement onéreuse et nuire à la réputation de la marque.

C’est pourquoi il est important de prendre conscience du danger et suivre les 10 conseils suivants :

1. Comprendre le ransomware : il est courant de considérer – à tort – que les PME ne constituent pas des cibles d’attaque intéressantes. En fait, les faits suggèrent même le contraire. Tout le monde est une cible : aucune entreprise, aucun compte bancaire ne fait exception.

2. Sécuriser tous les vecteurs de menace : les attaques d’un ransomware exploitent plusieurs vecteurs, notamment le comportement des utilisateurs, les applications et les systèmes. Les six principaux vecteurs d’attaque sont les e-mails, les applications web, les utilisateurs à distance, les utilisateurs sur site, le périmètre réseau et l’accès à distance. Une sécurité complète doit englober tous ces vecteurs. Un pare-feu ne suffit plus.

3. Sécuriser tous les angles d’attaque : en raison de leurs nombreux avantages les réseaux hybrides sont de plus en lus nombreux. La sécurisation efficace des applications SaaS ou Cloud, comme Office 365, nécessite une solution complète, conçue pour gérer les réseaux hybrides de façon centralisée.

4. Éduquer les utilisateurs : le comportement des utilisateurs peut être la plus grande vulnérabilité d’une entreprise. Une bonne sécurité est une combinaison de mise en œuvre, de suivi et d’éducation des utilisateurs, particulièrement contre les menaces comme l’hameçonnage, le harponnage, le typosquatting et l’ingénierie sociale.

5. Ne pas oublier les télétravailleurs : la révolution mobile stimule la productivité, la collaboration et l’innovation, mais elle entraine aussi un taux plus élevé de travailleurs à distance se connectant sur des appareils souvent personnels. Cela peut créer une faille de sécurité importante si les terminaux et les flux ne sont pas sécurisés.

6. Maintenir les systèmes à jour : lorsque des vulnérabilités dans des plateformes, des systèmes d’exploitation et des applications sont découvertes, les éditeurs publient des mises à jour et des correctifs pour les éliminer. Il faut donc s’assurer de toujours installer les dernières mises à jour, et ne pas utiliser de logiciels obsolètes qui ne seraient plus supportés par l’éditeur.

7. Détecter les menaces latentes. Toute infrastructure contient un certain nombre de menaces latentes. Les boîtes de réception d’e-mails sont remplies de pièces jointes et de liens malveillants qui n’attendent qu’un clic pour entrer en action. De même, toutes les applications, qu’elles soient hébergées localement ou basées dans le Cloud, doivent être régulièrement scannées et mises à jour avec leurs correctifs, permettant ainsi de lutter contre d’éventuelles vulnérabilités.

8. Empêcher les nouvelles attaques : le domaine du piratage est en évolution permanente, des attaques sophistiquées, ciblées ou de type « zero day » se multiplient et cibleront, un jour ou l’autre, toutes les entreprises. Pour les arrêter, il faut mettre en place une protection dynamique et avancée, avec une analyse de sandbox et un accès précis à des renseignements internationaux sur les menaces.

9. Utiliser une bonne solution de sauvegarde : un simple système de sauvegarde fiable permet de se remettre de nombreuses attaques en quelques minutes ou quelques heures, pour un coût dérisoire. Si les données sont corrompues, chiffrées ou volées par un logiciel malveillant, il suffit de les restaurer à partir de la dernière sauvegarde. Cela permet à une entreprise de, rapidement, reprendre ses activités.

10. Préserver la simplicité de la gestion : comme la complexité des réseaux et des menaces augmente, il est facile de laisser la gestion de la sécurité devenir un fardeau majeur pour le personnel informatique. Cette gestion complexe et décousue ouvre la porte à davantage de négligences qui peuvent affaiblir la sécurité. Pour réduire les risques et les coûts au minimum, il est nécessaire de mettre en place une solution simple et complète offrant une administration de la sécurité centralisée et une visibilité sur l’ensemble de l’infrastructure. (Par Wieland Alge, VP et DG EMEA)

Argent, Arnaque, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, escroquerie, Logiciels, Particuliers, Piratage, Sécurité, Smartphone

Outil de déchiffrement contre le ransomware Polyglot

Les victimes du ransomware Polyglot, aussi connu sous le nom MarsJoke, peuvent maintenant récupérer leurs fichiers grâce à l’outil de déchiffrement développé par Kaspersky Lab.

Comment fonctionne Polyglot ? Il se propage via des emails de spam qui contiennent une pièce jointe malicieuse cachée dans une archive RAR. Durant le processus de chiffrement, il ne change pas le nom des fichiers infectés mais en bloque l’accès. Une fois le processus de chiffrement terminé, le wallpaper de bureau de la victime est remplacé par la demande de rançon. Les fraudeurs demandent que l’argent leur soit remis en bitcoins et si le paiement n’est pas fait dans les temps, le Trojan se détruit en laissant tous les fichiers chiffrés.

Lien avec CTB-Locker ?
Le fonctionnement et le design de ce nouveau ransomware sont proches de ceux de CTB-Locker, un autre ransomware découvert en 2014 qui compte de nombreuses victimes à travers le monde. Mais après analyse, les experts de Kaspersky Lab n’ont trouvé aucune similarité dans le code. En revanche, contrairement à CTB-Locker, le générateur de clés de chiffrement utilisé par Polyglot est faible. Les créateurs de Polyglot semblaient penser qu’en imitant CTB-Locker, ils pourraient piéger les utilisateurs en leur faisant croire qu’ils étaient victimes d’un grave malware, ne leur laissant d’autre option que de payer. Télécharger l’outil [.zip]

Chiffrement, cryptage, cryptolocker, Cybersécurité, ransomware

Ransomware: +30% d’attaques en 3 mois

Le ransomware a dépassé les attaques de type APT (menaces persistantes avancées) pour devenir le principal sujet d’actualité du trimestre. 2900 nouvelles variantes de malwares au cours de ces 92 jours.

Selon le rapport de Kaspersky Lab sur les malwares au premier trimestre, les experts de la société ont détecté 2900 nouvelles variantes de malwares au cours de cette période, soit une augmentation de 14 % par rapport au trimestre précédent. 15 000 variantes de ransomware sont ainsi dorénavant recensés. Un nombre qui va sans cesse croissant. Pourquoi ? Comme j’ai pu vous en parler, plusieurs kits dédiés aux ransomwares sont commercialisés dans le blackmarket. Autant dire qu’il devient malheureusement très simple de fabriquer son arme de maître chanteur 2.0.

Au premier trimestre 2016, les solutions de sécurité de l’éditeur d’antivirus ont empêché 372 602 attaques de ransomware contre leurs utilisateurs, dont 17 % ciblant les entreprises. Le nombre d’utilisateurs attaqués a augmenté de 30 % par rapport au 4ème trimestre 2015. Un chiffre à prendre avec des pincettes, les ransomwares restant très difficiles à détecter dans leurs premiéres apparitions.

Locky , l’un des ransomwares les plus médiatisés et répandus au 1er trimestre
Le ransomware Locky est apparu, par exemple, dans 114 pays. Celui-ci était toujours actif début mai. Un autre ransomware nommé Petya est intéressant du point de vue technique en raison de sa capacité, non seulement à crypter les données stockées sur un ordinateur, mais aussi à écraser le secteur d’amorce (MBR) du disque dur, ce qui empêche le démarrage du système d’exploitation sur les machines infectées.

Les trois familles de ransomware les plus détectées au 1er trimestre ont été Teslacrypt (58,4 %), CTB-Locker (23,5 %) et Cryptowall (3,4 %). Toutes les trois se propagent principalement par des spams comportant des pièces jointes malveillantes ou des liens vers des pages web infectées. « Une fois le ransomware infiltré dans le système de l’utilisateur, il est pratiquement impossible de s’en débarrasser sans perdre des données personnelles. » confirme Aleks Gostev, expert de sécurité en chef au sein de l’équipe GReAT (Global Research & Analysis Team) de KL.

Une autre raison explique la croissance des attaques de ransomware : les utilisateurs ne s’estiment pas en mesure de combattre cette menace. Les entreprises et les particuliers n’ont pas conscience des contre-mesures technologiques pouvant les aider à prévenir une infection et le verrouillage des fichiers ou des systèmes, et négligent les règles de sécurité informatique de base, une situation dont profitent les cybercriminels entre autres. Bref, trop d’entreprise se contente d’un ou deux logiciels de sécurité, se pensant sécurisées et non concernées. L’éducation du personnel devrait pourtant être la priorité des priorités.