Les technologies employées par les pirates informatiques évoluent. Les cybergendarmes tentent de s’adapter aux flots de données que déverse le numérique. Relèvent-ils ce pari 2.0 ? Quels sont leurs outils d’investigation ? Découverte ! C’est dans la caserne d’Arras, au sein du Groupement de la Gendarmerie Départementale (commandé par le Colonel Jérôme Bisognin), que les rédactions de zataz.com et datasecuritybreach.fr ont été invitées à rencontrer les N’Tech, les cybergendarmes du Pas-de-Calais. L’occasion pour les quatre Sherlock Holmes 2.0 de la Cellule d’Investigations Criminelles de nous présenter une partie de leurs outils d’investigations numériques.
Selon une étude des Laboratoires Bitdefender, Jennifer Aniston (19,55 %) est la célébrité la plus utilisée ces derniers mois par les scammeurs afin de piéger les utilisateurs et ainsi leur dérober des données privées, ou encore tenter d’exécuter du contenu malveillant sur leur ordinateur. Rihanna (16,26 %) et Selena Gomez (13,84 %) arrivent respectivement en 2e et 3e position. Cette étude montre aussi que les films attendus en salle se révèlent être un leurre efficace pour piéger les cinéphiles un peu trop curieux.
TOP 10 des célébrités les plus utilisées dans les campagnes de spams ces derniers mois
Certains de ces spams associent le nom d’Aniston à du contenu sexuellement explicite, et un simple clic du destinataire sur le lien permet au scammeur d’installer un Cheval de Troie sur son système afin de récupérer ses données bancaires. Rihanna, quant à elle, apparaît dans des e-mails redirigeant l’utilisateur vers des pages Web au contenu pornographique et des sites plus ou moins frauduleux de vente d’accessoires en ligne (il est peu probable que l’utilisateur piégé reçoive un jour la marchandise commandée et payée sur ces sites). Enfin, les spams citant Selena Gomez vantent les mérites de la chirurgie esthétique ou des concerts gratuits en ligne. Ces publicités visent en fait à rediriger l’utilisateur piégé sur des sites de phishing permettant alors aux scammeurs de voler ses identifiants et mots de passe à des fins malveillantes. Miley Cyrus, Scarlett Johansson, Marilyn Monroe, Katy Perry, Beyonce Knowles, Sandra Bullock et Eminem sont également ces derniers mois, des célébrités très utilisées pour propager des campagnes de scams.
Outre les noms de célébrités, l’analyse de Bitdefender révèle que les scammeurs utilisent aussi des titres de films pour attiser la curiosité et piéger les utilisateurs. Gravity, occupe une place de premier ordre suivi de 12 Years a Slave, Insidious et The Avengers qui font figure d’appâts pour des campagnes de spams en cette fin d’année.
Selon Bitdefender, ces spams aux titres accrocheurs restent une stratégie payante pour piéger un grand nombre d’internautes trop curieux et maintenir ainsi la rentabilité de campagnes de scams et/ou de spams. Ces arnaques vont d’ailleurs souvent trop loin dans le sensationnel afin d’attirer le chaland, déclarant par exemple des célébrités comme étant prétendument mortes, photographiées battues ou impliquées dans des scandales sexuels sordides.
Ces e-mails promettant des photos ou des vidéos chocs ont un seul objectif : soutirer de l’argent à l’utilisateur. En effet, ce dernier, en ouvrant les pièces jointes et/ou en cliquant sur les liens associés, infecte sa machine avec un malware et/ou se retrouve exposé à des contenus inappropriés, offrant ainsi aux scammeurs la possibilité de récupérer ses informations personnelles à son insu et de les exploiter par la suite. Bitdefender rappelle aux utilisateurs que la meilleure chose à faire est de supprimer tout e-mail non sollicité et de rester vigilant contre ces messages promettant ce genre de contenus chocs.
Depuis quelques jours, un pirate informatique diffuse un courriel aux couleurs du Paris Saint-Germain, et plus précisément de la boutique du club de football parisien. Le phishing est bien réalisé. L’escroc indique un achat dans la boutique du PSG. « Vous pouvez consulter votre facture FR9077796 via le lien suivant en cliquant dessus ou en le recopiant« . Dans la missive usurpatrice, un extrait d’une carte bancaire. Bref, de quoi inquiéter l’internaute qui n’a jamais rien acheté chez les footeux.
L’objet du courrier pirate « Confirmation de votre commande effectuée sur La Boutique officielle. » En cliquant sur le lien, direction non pas le club Qatari, mais un site piraté, utilisé pour cacher le logiciel espion. Un blog basé en Suisse. En lieu et place d’une facture, un logiciel pirate, chargé de téléchargé un outil d’espionnage dans l’ordinateur du surfeur ainsi piégé. Même si l’icône à l’écran affiche un « PDF », il s’agit d’un exécutable qu’aucun antivirus, au moment de l’écriture de notre article, n’a détecté comme dangereux. Prudence, donc !
La NatWest, service bancaire en ligne, touchée par une attaque DDOS. Qui a souhaité bloquer la NatWest ? Pour le moment personne ne sait vraiment. Un ou des pirates informatiques ont lancé un DDoS, un Déni Distribué de Service (plusieurs milliers d’ordinateurs tentent de communiquer avec un serveur. La masse sature le service). Les clients ont été incapables d’accéder à leurs comptes en ligne. « En raison d’une hausse du trafic internet délibérément dirigée sur le site NatWest, certains de nos clients n’ont pu avoir un accès à nos sites Web. » a indiqué le service presse. Il y a quelques semaines RBS, dont NatWest est une filiale, était tombée sous les coups d’un autre DDoS. (Mirror)
Réussir le piratage d’un distributeur de billets avec une clé USB. Facile et efficace ! Dans l’émission podcast vidéo de décembre de ZATAZWEB.TV, il est expliqué comment il devient possible d’exécuter tout et n’importe quoi (injection code malveillant, interception connexion Wifi, récupération de données d’un disque dur) via une clé USB particulière. Une démonstration est d’ailleurs proposée dans l’émission.
A croire que ce genre d’outil n’est pas encore pris au sérieux par les entreprises et autres banques. La Banque Postale a demandé à deux informaticiens allemands de tester la sécurité de ses distributeurs. Il faut dire aussi que les GAB, les Guichets Automatiques de Billets de la banque avaient été ponctionnés sans que la société financière ne comprenne vraiment comment.
Les deux « hackers » ont repris le mode opératoire des pirates. Un petit trou dans le distributeur de billets, juste en face du PC (sous Windows XP) gérant le GAB afin d’y coller une clé USB. Le support de stockage comportait un script qui automatisait ensuite l’installation d’un code malveillant ayant permis de se servir en monnaie sonnante et trébuchante.
Bref, les pirates avaient réussi à installer un cheat code, comprenez une série de manipulations des touches du clavier du PC, pour se retrouver face à la gestion de la machine. Bilan, l’option « retrait illimité » aura fait fureur !
Malin, les pirates semblent avoir utilisé des « mules » pour retirer l’argent. Le « cheval de Troie » sauvegardé via la clé USB possédait deux codes, le second empêchant les « retraits » non autorisés par les pirates en chef.
Les clients de la chaine de restaurant Briar Group ont intérêt à vérifier leur compte en banque. Le groupe de restauration Briar Group, basé à Boston, vient d’annoncer le piratage de sa base de données clients. Le système informatique de l’entreprise a été visité. Le pirate a pu mettre la main sur des données de carte de crédit. Briar Group ne s’est rendu compte de rien. Il aura fallut attendre l’intervention de clients pour qu’une enquête soit lancée. Des comptes bancaires d’utilisateurs avaient été ponctionnés. Le piratage aurait eu lieu entre octobre 2013 et début Novembre 2013. On appréciera, une fois de plus, le fait que les données n’étaient pas chiffrées, comme pour le cas d’Affinity Gaming, spécialiste des jeux en ligne, qui vient lui aussi d’annoncer une fuite de données bancaires concernant ses clients.
L’éditeur de solutions de sécurité informatique Kaspersky Lab vient d’identifier un programme malicieux « capable d’attaquer n’importe quelle banque dans le monde », selon ses créateurs. D’après les experts Kaspersky Lab, plusieurs milliers de tentatives d’infection ont déjà été enregistrées et 28 sites bancaires sont pour le moment concernés, y compris en Allemagne, en Italie et en Turquie. C’est au mois de juillet de cette année que les chercheurs ont découvert l’existence de ce cheval de Troie bancaire après avoir vu une annonce pour la vente d’un nouveau cheval de Troie sur un forum clandestin. Le vendeur le présentait comme un bot privé capable d’attaquer près de 100 banques américaines via l’insertion d’un code dans les pages de leur site pendant le chargement dans différents navigateurs.
Baptisé Neverquest, ce trojan prend en charge pratiquement toutes les techniques connues et utilisées pour passer outre les systèmes de sécurité des banques en ligne : injection Web, accès système à distance, social engineering, etc. Au regard de sa capacité à se dupliquer, une augmentation rapide des attaques Neverquest est à prévoir, avec donc de nombreux préjudices financiers.
Serge Golovanov, expert chez Kaspersky Lab, signale que « ce programme malveillant est relativement récent et les individus malintentionnés ne l’utilisent pas encore à pleine capacité. Les individus malintentionnés peuvent obtenir le nom d’utilisateur et le mot de passe saisis par l’utilisateur et modifier le contenu de la page Internet. Toutes les données que l’utilisateur saisit sur cette page modifiée sont également transmises aux individus malintentionnés.«
L’argent volé est transféré sur un compte contrôlé par les individus malintentionnés ou, pour brouiller les pistes, sur le compte d’autres victimes. Vu les capacités de Neverquest en terme de diffusion automatique, le nombre d’utilisateurs attaqués pourrait augmenter sensiblement en un bref laps de temps.
« Fitness, netteté de l’objectif, une considération attentive de con de la question de l’échelle ainsi que la beauté et de l’art et de l’unité coupons » c’est par ces quelques mots que la page 10386, mais aussi des centaines d’autres, de l’espace « Courrier International » du site officiel de La Poste (laposte.fr) s’ouvre aux regards des internautes étonnés par ce charabia bien loin de l’univers de la société Française.
Derrière le lien « Suivre vos envois« , un pirate informatique spécialisé dans la diffusion de publicités illicites vantant, la plupart du temps, les médicaments contrefaits. Dans le cas de Laposte.fr, du viagra, la petite pilule bleue qui fait rougir maman et durcir papa… ou le contraire ! La rédaction de Data Security Breach a recensé plusieurs centaines de fausses pages. Ici, une injection d’un texte n’ayant ni queue, ni tête, sauf quelques lignes exploitant des mots clés que les moteurs de recherche, Google en tête, reprendront sans sourciller. Aucun blocage des moteurs de recherche, d’autant plus que les phrases sont diffusées par un site très sérieux. Google and Co n’y voient que du feu. Les pages ranks des sites pirates, et donc leur visibilité, sera plus forte encore grâce à des alliés ainsi manipulés.
Bref, si les mots « viagra acheter » ; « viagra au meilleur prix » ou encore « achat viagra le moins cher online viagra prescription » apparaissent dans vos sites, inquiétez-vous. Vous servez de rebond à des vendeurs de contrefaçons de médicaments.
Un piratage qui pourrait faire sourire, sauf que l’injection n’installe pas qu’une seule page. Chaque phrase dirige l’internaute vers d’autres pages « La Poste », avec autant de nouvelles phrases et des villes comme Lyon, Montpellier, … Finalité pour le pirate, plus le site comportera ses « liens » malveillants, plus il sera aperçu, ensuite, par les moteurs de recherche, donc les internautes potentiels acheteurs. Il suffit de taper « Viagra » et « Laposte » pour comprendre l’épineux problème. Les liens proposés par les moteurs de recherche dirigent, dans un premier temps vers le site de Laposte.fr, pour être ensuite redirigé dans la foulée, sur les pharmacies illicites.
D’après les informations de zataz.com, l’injection a pu être possible via une vulnérabilité dans un CMS. En attendant, Google a intercepté, au moment de l’écriture de notre article, une dizaine de page… par mots clés. DataSecurityBreach est passé par le protocole d’alerte de son grand frêre pour alerter le CERT La Poste [HaideD 2668]. (Merci à @Stoff33)
Mise à jour : La Poste aura été totalement transparente au sujet de cette attaque informatique. Le CERT La Poste revient sur les actions menées et comment le pirate a pu agir : « Le site piraté est l’ancien site du courrier international (www.laposte.fr/courrierinternational ) que nous allions désactiver la semaine prochaine, explique le CERT La Poste à DataSecurityBreach.fr. Nous avons migré et réorganisé ses contenus sur le portail laposte.fr. Les contenus du courrier international sont aujourd’hui consultables sur http://www.laposte.fr/Entreprise/Courrier-international/. Nous réintégrons sur laposte.fr les contenus qui étaient disponibles sur d’autres sites. Cet exemple s’inscrit dans cette démarche. Les pirates ont apparemment réussi à rentrer par une faille du CMS Typo3 de l’ancien site web. Actuellement, l’ancien site est désactivé (pages incriminées inaccessibles) et tous ses fichiers sont archivés pour analyse dès demain matin.Nous activons notre réseau de correspondants chez Google pour demander un retrait des résultats de recherche (et du cache Google associé) le plus rapidement possible. » Un exemple qui démontre que les anciens CMS, qui ne sont plus exploités, ne doivent pas rester sur un serveur ; et que les mises à jour sont indispensables dans le cas contraire.
En août, 82 % du flux email sont des spams et 8 % des emails sont des publicités. La société VadeRetro, spécialisée dans la lutte contre les spams vient de nous envoyer ses statistiques pour le mois d’août. Autant dire qu’une fois de plus, l’ambiance « courriel » sur la toile pique les yeux. 82 % des emails sont des spams ; 8 % sont des emails publicitaires ; et, seulement, 10 % des emails sont légitimes. Des statistiques tirées du Vade Retro Cloud qui comprend 12 000 domaines, 200 000 boites aux lettres valides et 8 500 000 mails par jour. Autant dire que cela en fait de l’énergie, de la bande passante et de l’argent « cramés » par ces pourriels. Si aucun virus n’aura été détecté durant cette période, il faut rappeler que les virus sur le SMTP sont une partie dérisoire du flux mais représentent toujours une grande menace. Beaucoup de virus SMTP sont issus des botnets qui cherchent à agrandir leur parc de postes infectés. Une vague de virus SMTP est souvent suivie d’une vague de SPAM. www.vade-retro.fr/fr/
Kaspersky Lab et B2B International viennent de dresser un état des lieux des coûts liés à une attaque ciblée pour les grandes entreprises et les PME. Les attaques ciblées comptent parmi les cybermenaces les plus dangereuses car elles sont généralement préparées et lancées par des pirates professionnels qui disposent de ressources financières importantes et d’une excellente expertise informatique. Datasecuritybreach.fr vous l’explique souvent, ces attaques visent en général à récupérer des informations secrètes ou confidentielles d’une entreprise spécifique. Toute fuite de ces données est susceptible d’entraîner des pertes considérables.
À combien peuvent s’élever les pertes à Selon l’étude « Global Corporate IT Security Risks 2013 » réalisée par B2B International pour Kaspersky Lab au printemps dernier, ces incidents coûtent en moyenne jusqu’à 2,4 millions de dollars à l’entreprise, dont environ 2,17 millions de dollars directement imputables à l’incident lui-même, sous la forme de pertes liées aux fuites de données stratégiques, à l’interruption d’activité et aux frais des services de rétablissement spécialisés (juristes, spécialistes de la sécurité informatique, etc.). Les entreprises doivent également régler une facture supplémentaire d’environ 224 000 dollars pour financer des mesures telles que la mise à jour des logiciels et de l’équipement, le recrutement et la formation du personnel ; en somme des mesures visant à éviter que ce type d’incident ne se reproduise.
Les pertes résultant d’attaques ciblées sur les PME sont nettement inférieures (environ 92 000 dollars par incident), mais si l’on considère la taille de ces entreprises (entre 100 et 200 employés en moyenne), le coup porté reste important. Sur ce montant moyen, environ 72 000 dollars sont dépensés pour remédier à l’incident et 20 000 dollars seront dédiés à la prévention d’incidents similaires à l’avenir.
Autres types d’attaques coûteuses Même si leur coût financier est le plus élevé, les attaques ciblées ne sont pas les attaques les plus courantes. Environ 9 % des participants à l’enquête ont indiqué que leur entreprise avait subi une attaque ciblée au cours des 12 mois précédents Alors qu’un pourcentage nettement supérieur (24 %) a signalé le piratage de l’infrastructure de réseau de l’entreprise. Pour les grandes entreprises, ces attaques peuvent coûter jusqu’à 1,67 million de dollars (73 000 dollars pour les PME) et sont considérées comme le deuxième type d’attaque le plus coûteux. 19 % des entreprises ont subi des fuites intentionnelles de données, pour un coût financier moyen de 984 000 dollars (51 000 dollars pour les PME). Les attaques exploitant des failles dans des logiciels courants ont touché 39 % des entreprises. Suite à ce type d’attaque, les grandes entreprises ont subi des dégâts d’un montant moyen de 661 000 dollars, contre 61 000 dollars pour les PME.
Les mesures préventives appropriées Les attaques ciblées sont complexes et exigent généralement une longue période de préparation au cours de laquelle les utilisateurs malveillants s’efforcent de repérer les points faibles de l’infrastructure informatique d’une entreprise et de trouver les outils nécessaires au lancement de l’attaque. Un antivirus seul n’offre pas de protection contre ce type de menace, bien que des solutions antivirus efficaces permettent de gérer d’autres types de menaces. Il est nécessaire de mettre en place une solution professionnelle basée sur des technologies de détection des menaces à la fois modernes et proactives pour protéger l’entreprise aussi bien contre les attaques ciblées, que contre d’autres menaces informatiques dangereuses.
Petites entreprises, grandes menaces : restez informés, restez protégés
