Archives de catégorie : Leak

APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Leak, Mise à jour, Piratage, Securite informatique

Infy : Prince of Persia persiste et signe

En février 2017, l’Unit42, unité de recherches de Palo Alto Networks a observé une évolution du malware “Infy” que nous avons appelée « Foudre ». Les acteurs concernés semblent avoir tiré les enseignements suite à notre démantèlement et notre sinkholing (redirection vers un serveur que nous contrôlons) de leur infrastructure de commande et de contrôle (C2). En effet, Foudre intègre désormais de nouvelles techniques anti-démantèlement censées éviter que ses domaines C2 ne soient détournés vers un site sinkhole comme nous l’avions fait en 2016.

L’Unit42 a documenté ses travaux de recherche originels sur cette campagne vieille de dix ans en utilisant le malware Infy en mai 2016. Un mois après la publication de ces travaux, l’Unit42 a donné une description détaillée de notre démantèlement et de notre sinkholing des serveurs C2 de l’acteur. En juillet 2016, au congrès Blackhat U.S.A, Claudio Guarnieri et Collin Anderson ont présenté des preuves montrant qu’un sous-ensemble des domaines C2 redirigés vers notre sinkhole avaient été bloqués par falsification DNS et filtrage HTTP par la Telecommunication Company of Iran (AS12880), empêchant l’accès depuis le territoire national iranien à notre sinkhole.

Voici les modifications apportées au malware dans ce blog post dédié, quelques informations et précisions ci-dessous. L’Unit42 en profite également pour mettre en avant certaines erreurs courantes, et explique comment elle les a exploitées pour en savoir plus sur cette campagne.
Cartographie des victimes

L’Unit42 avait prévu l’un des noms de domaine DGA et l’avait enregistré avant que l’adversaire ne puisse le faire.

Les victimes ont tenté de se connecter à un C2 dans ce domaine, mais, ne possédant pas la clé privée RSA, l’Unit42 n’a pas pu vérifier son domaine auprès d’elles. Cependant, elle a pu établir une cartographie géolocalisant les victimes à l’aide de GeoIP (voir pièce jointe).

On remarque la prépondérance des victimes sur le territoire national iranien, ce qui rappelle fortement les campagnes d’Infy. Les attaques menées contre les États-Unis et l’Irak sont aussi familières. Ici encore, le très petit nombre de cibles fait penser à une motivation non financière.

L’une des victimes en Irak utilise une adresse IP dans le même réseau de classe C que l’une des victimes Infy déjà observées, ce qui laisse à penser que l’adversaire cible la même organisation, voire le même ordinateur.

Même si, en l’absence de la clé privée RSA, l’Unit42 n’a pas réussi à établir la communication avec les victimes, elle a découvert qu’en envoyant un fichier de signature non valide à la victime, du fait de l’absence de validation en entrée du contenu/de la taille de ce fichier, elle arrive à faire échouer le processus rundll32 qui exécute la DLL malveillante de Foudre. Cela permet de désactiver l’infection jusqu’à ce que la victime réinitialise sa machine.
Conclusion

Dans son post, blog Prince of Persia, l’Unit42 avait indiqué que cette campagne durait depuis au moins une dizaine d’années. Ainsi, elle a poursuivi le sujet avec son blog Prince of Persia: Game Over, qui documente son démantèlement et son sinkholing de l’infrastructure C2 de l’adversaire.

En ce qui concerne les actions de la Telecommunication Company of Iran en vue d’empêcher les C2 d’être redirigés vers notre sinkhole, Guarnieri et Anderson font observer que « la politique de filtrage indique que les autorités iraniennes sont intervenues spécialement pour bloquer l’accès aux domaines de commande et de contrôle d’une campagne d’intrusion visant l’État, au niveau national. »

L’Unit42 s’attend à voir Infy faire son retour : dans les grandes lignes, ce sera toujours le même malware, ciblant les mêmes victimes.

Les acteurs ont compris qu’ils avaient besoin d’une infrastructure C2 plus robuste pour empêcher l’infiltration et le démantèlement. L’algorithme DGA apporte une dose de résilience, mais n’est pas invulnérable à un démantèlement.

Toutefois, l’utilisation de la signature numérique constitue un dispositif de défense contre un C2. Sans accès aux clés privées, il n’est pas possible d’usurper l’identité d’un C2 même si un domaine DGA est enregistré par un chercheur. Il se peut que les clés privées résident localement sur le serveur C2, mais sans accès au C2, nous ne pouvons pas confirmer cette vulnérabilité potentielle de leur infrastructure.

Décidément, Prince of Persia persiste et signe.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, IOT, Leak, Mise à jour, Patch, Piratage, Securite informatique

Devil’s Ivy : une vulnérabilité aux dizaines de millions d’objets connectés

Devil’s Ivy, un bug récemment découvert affecte des dizaines de millions de périphériques connectés de part le monde.

La problématique du piratage informatique, de la mise à jour des objets connectés ne fait que commencer. Suite à la découverte par la Senrio Labs d’une vulnérabilité qui concernerait potentiellement une dizaine de millions d’objets connectés, la question se pose encore aujourd’hui. Que va-t-il se poser le jour [demain, NDR] ou les objets connectés se compteront par milliard ? Le bug a été découvert dans le code gSOAP  (Simple Object Access Protocol). Pour faire simple, une gSOAP est une série d’outils qui permettent aux objets connectés de parler et de se faire comprendre sur Internet.

Genivia, la société qui gère gSOAP, annonce avoir plus d’un million de téléchargements, et possède comme client IBM, Microsoft, Adobe ou encore Xerox. « Il est probable que des dizaines de millions de produits – produits logiciels et périphériques connectés – sont affectés par Devil’s Ivy dans une certaine mesure », déclarent les chercheurs de chez Senrio « Nous avons nommé la vulnérabilité Devil’s Ivy car, comme la plante, il est presque impossible de la tuer et elle se propager rapidement grâce à la réutilisation du code« .

Si l’impact de la vulnérabilité Devil’s Ivy est relatif, elle ne permettrait « que » de voir le flux vidéo ou d’interdire l’accès au flux vidéo des caméras concernées, celle-ci montre néanmoins l’importance du risque qui peut en découler et l’intérêt pour les pirates d’identifier des vulnérabilités similaires. « Du fait de l’industrialisation de ces objets et de leur sécurité, une fois une vulnérabilité identifiée, un groupe de malveillants peut très rapidement l’utiliser à des fins d’espionnage, de destruction » souligne Vincent Lavergne, Expert chez F5 Networks. L’internet des objets (IoT) offre un effet de levier sans précédent pour constituer très rapidement un nid conséquent de BotNets, comme ce fût le cas avec Miraï. Miraï ne comportait qu’une centaine de milliers de caméras de vidéo surveillance dans son portefeuille pirate.

Devil’s Ivy

« Dans le cas de cette vulnérabilité, les objets concernés étant déjà déployés, il va être difficile de mettre en place une action corrective à grande échelle pour combler la vulnérabilité. Et c’est l’un des principaux défis de l’IoT : comment gérer la réponse aux incidents pour ce type d’équipement ?  L’internet des objets introduit en effet de nouvelles problématiques pour la sécurité et beaucoup d’entre elles mériteraient des analyses approfondies ou une collaboration entre industriels afin de définir une approche optimale à long terme. La conception et l’implémentation de systèmes IoT vont venir empiler des protocoles, des couches techniques complexes et des programmes qui souffrent parfois de failles de sécurité. On met ainsi le doigt sur le manque de maturité des standards autour de l’internet des objets et d’un cadre de meilleures pratiques à respecter par les développeurs. Chacun se positionne en effet avec ses interfaces, ses plateformes, ses protocoles et – inévitablement – ses vulnérabilités. » termine Vincent Lavergne.

Un exploit utilisant l’idée du Devil’s Ivy entraînerait une exécution de code à distance – dans le boîtier de la caméra – et donc d’accéder à un flux vidéo, ou de couper ce dernier. Étant donné que des caméras de vidéo surveillance sont destinées à sécuriser quelque chose, le danger est réel. Le constructeur de caméra Axis a déclaré que ce problème était présent dans 249 de ses modèles, à l’exception de trois anciens models.

Communiqué de presse, Cyber-attaque, Leak, Piratage

Les cyber menaces basculeraient vers Linux et les Serveurs Web

Un rapport WatchGuard sur la Sécurité Internet évalue les principales menaces au cours du premier trimestre 2017. Pour ce vendeur de solution de sécurité informatique, les cyber menaces basculeraient vers Linux et les Serveurs Web.

Un nouveau rapport sur les cyber menaces ! WatchGuard Technologies, société spécialisée dans le domaine des solutions avancées de sécurité réseau, annonce les résultats de son Rapport Trimestriel sur les Menaces Internet, qui dresse le bilan des menaces de sécurité les plus récentes affectant les ordinateurs et les réseaux des petites et moyennes entreprises (PME) et des entreprises distribuées. Parmi ses principales conclusions, le rapport révèle que malgré une baisse en global du nombre de malwares détectés, les malwares sur Linux ont représenté plus de 36% des principales menaces identifiées au cours du premier trimestre 2017. Cette tendance démontre le besoin urgent de mesures de sécurité renforcées pour protéger les serveurs sous Linux et les objets connectés fonctionnant sous Linux.

“Ces nouvelles données Firebox Feed nous permettent de prendre le pouls des plus récents malwares et des dernières attaques réseau afin d’identifier des schémas qui influencent un environnement de menaces en constante évolution,” a déclaré Corey Nachreiner, chief technology officer chez WatchGuard Technologies. “Les résultats du rapport du premier trimestre continuent de souligner l’importance et l’efficacité de mesures de sécurité de base, de multiples couches de défenses et d’une prévention avancée contre les malwares. Nous encourageons nos lecteurs à examiner les principales conclusions du rapport, et à les prendre en compte dans les stratégies de sécurité de leurs organisations.”

Le Rapport sur les Menaces Internet de WatchGuard est conçu pour offrir des informations, des études et des recommandations en matière de sécurité pour aider ses lecteurs à mieux se protéger, eux et leurs organisations contre les nouveaux vecteurs de menaces. Les principales conclusions du rapport du premier trimestre 2017 comprennent:

  • cyber menaces : Les malwares sous Linux sont en augmentation, et représentent 36% des principaux malwares détectés au premier trimestre. La présence accrue de malwares de type Linux/Exploit, Linux/Downloader et Linux/Flooder illustrent l’intérêt toujours plus grand des attaquants pour les serveurs Linux et les objets connectés. Les utilisateurs doivent protéger leurs objets connectés et leurs serveurs sous Linux des attaques provenant d’Internet avec des défenses sur plusieurs niveaux.
  • cyber menaces : Les antivirus traditionnels continuent de manquer les nouveaux malwares – à un taux plus élevé. En fait, les solutions antivirus ont ignoré 38% de toutes les menaces identifiées par WatchGuard au premier trimestre, comparé à 30% au quatrième trimestre 2016. Le nombre croissant de malwares nouveaux ou zero day passant au travers des antivirus tradtionnels souligne les faiblesses des solutions de détection basées sur des signatures et le besoin pour des services capables de détecter et de bloquer les menaces persistantes avancées (APT).
  • Les cyber menaces basculent vers les serveurs web. Au cours du dernier trimestre, les attaques via des sites web piégés et via des navigateurs web ont prédominé. Durant cette période, 82 pour cent des principales attaques réseau ont ciblé des serveurs web (ou d’autres services web). Les utilisateurs doivent améliorer les défenses de leurs serveurs web en renforçant les contrôles d’accès, en limitant leur exposition sur le web, et en mettant à jour systématiquement leurs logiciels.
  • cyber menaces : Des attaquants exploitent toujours la faille Android StageFright. Cet exploit a commencé à se faire connaître en 2015, et prouve sa longévité en étant la première menace spécifique aux mobiles à entrer dans la liste des 10 principales attaques du WatchGuard Threat Lab cette année. Au minimum, les utilisateurs Android devraient régulièrement mettre à jour leurs systèmes pour prévenir des attaques sur mobile telles que StageFright.
  • Moins d’attaques à connotation saisonnière. Globalement, le volume des menaces détectées au premier trimestre 2017 a diminué de 52% par rapport au quatrième trimestre 2016. Nous pensons que cette baisse peut être attribuée à l’absence de campagnes d’attaques saisonnières liées aux congés du quatrième trimestre, qui ont gonflé le nombre de menaces durant cette période.

Le Rapport sur les Menaces Internet de WatchGuard est basé sur des données Firebox Feed anonymes provenant de plus de 26.500 boîtiers UTM WatchGuard en service à travers le monde, qui représentent une faible portion de la base installée totale de la société. Ces boîtiers ont bloqué plus de 7 millions de variantes de malware au premier trimestre, ce qui correspond à 266 variantes en moyenne par boîtier participant. Les boîtiers WatchGuard ont également bloqué plus de 2,5 millions d’attaques réseau au premier trimestre, ce qui correspond à 156 attaques bloquées par boîtier. Le rapport complet comprend un état détaillé des tendances du trimestre relatives aux malwares et aux attaques, une analyse des révélations Vault 7 de la CIA et des enseignements importants sur les stratégies de défense. Le rapport comprend également un nouveau projet de recherche du WatchGuard Threat Lab, consacré à une nouvelle vulnérabilité sur un appareil photo connecté largement répandu. Pour plus d’informations, le rapport complet est téléchargeable à l’adresse: www.watchguard.com/security-report

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage, ransomware, Securite informatique

Cybersécurité : le tout-connecté fait entrer le secteur aérien en zone de turbulences

Comme n’importe quel autre secteur d’activité, l’écosystème du transport aérien est résolument engagée sur la piste du numérique. En devenant hyperconnectée, l’aviation moderne se donne les moyens de répondre à ses impératifs de développement. Mais elle se met aussi en danger face à de nouveaux risques de piratage. Le point de vue sur cette question de Tanguy de Coatpont, directeur général de Kaspersky Lab France.

Piratage informatique et l’aéronautique, un futur planant ? Le nombre a de quoi donner le tournis. En 2035, nous verrons passer au-dessus de nos têtes en Europe quelque 14,4 millions d’avions, contre 9,5 millions en 2012. Le secteur aérien doit ainsi faire face à un enjeu de taille : assurer sans faille son activité en croissance permanente.

A l’instar du domaine de l’énergie, c’est bien avec les solutions numériques à leur disposition que tous les acteurs du transport aérien pourront relever le défi qui leur incombe. Où l’ère de l’analogique, des communications VHF avec le sol, des commandes mécaniques des avions, est vouée à s’effacer au profit de la connectivité des outils numériques. Où ordinateurs, tablettes et traitements de données en temps réel ouvrent aussi la voie à une nouvelle façon de gérer au mieux le trafic aérien.

À l’échelle européenne, la transformation est lancée via le déploiement du programme SESAR. Du sol aux avions, ce système moderne repose, tout logiquement, sur l’utilisation d’outils numériques. Pour une gestion des vols harmonisée d’un pays à l’autre, et d’un avion communiquant à l’autre. Pour un trafic aérien toujours plus fiable, plus écologique et économique.

Le numérique dans l’aérien : l’aubaine et la menace

À l’échelle locale, les aéroports ne sont pas en reste. Un exemple : Londres-Gatwick en Angleterre détecte déjà, compile et analyse les données numériques issues de l’activité de toutes ses infrastructures. Et ce afin de faciliter la circulation des passagers et des avions, éviter les attentes et optimiser l’utilisation de l’unique piste du site.

A bord, le digital a également pris ses aises, depuis les systèmes de contrôle gérés par ordinateur pour des avions pensés par et pour le numérique, jusqu’aux centrales multimédia de divertissement des passagers, en passant par les nouveaux dispositifs de communication air-sol et l’optimisation du plan de vol en temps réel.

L’interconnexion des différents éléments de communication, du sol vers l’avion et vice-versa, a vocation à rendre le trafic aérien plus fluide et plus sûre. Et il le sera certainement ! Mais l’outil numérique, qui permet cette connectivité permanente, gage d’efficacité et de rapidité, est à la fois l’aubaine et la menace.

Pour les avions en particulier, on le reconnaît vraiment depuis 2015 : c’est exact, un avion peut être piraté ! Un tabou définitivement brisé par l’Agence européenne de la sécurité aérienne (AESA).

L’institution s’est appuyé pour ça sur les démonstrations de l’expert Hugo Teso. Ce chercheur espagnol a réussi à prendre la main sur le système ACARS d’un avion, système de messagerie qui permet de communiquer avec le sol. Le « bon » pirate, lui-même détenteur d’une licence de pilote, est aussi parvenu en quelques jours à pénétrer dans le système de contrôle d’un avion au sol. Dans sa trousse à outils : un smartphone et une application développée par ses soins.

Des pirates déjà actifs dans les aéroports

D’autres expérimentations d’intrusion ont eu lieu aussi outre-Atlantique, en vol notamment, via les boîtiers de gestion des services multimédia installés sous les sièges des passagers.

Au sol, on n’en est plus à la démonstration. Les pirates sont déjà entrés en action. L’un des cas les plus retentissants est cette intrusion réussie, en juin 2015, dans le système de gestion des vols de la LOT, compagnie aérienne polonaise. Résultat : 1400 passagers et 10 avions immobilisés sur le tarmac pendant plus de 5 heures.

Plus récemment, en septembre 2016, un groupe de pirates s’est attaqué à l’aéroport de Vienne. Ils ont échoué. Mais l’intention de nuire était bien là.

Ces deux attaques ne sont que quelques-uns des cas révélés au grand jour ! Car, à l’AESA, on ne s’en cache pas. Selon Luc Tytgat, son directeur de la gestion de la stratégie et de la sécurité, les systèmes de gestion du trafic aérien sont la cible de 1000 attaques par mois en moyenne.

Face à ce danger bien réel, les acteurs du secteur se mobilisent sur les moyens de prévention et de défense à appliquer. L’association internationale du transport aérien (IATA) par exemple propose depuis 2015 à ses membres, plus de 215 compagnies aériennes adhérentes, un kit des bons usages contre d’éventuelles cyberattaques.

L’instauration de standards de cybersécurité dans le secteur aérien

L’AESA de son côté a créé en février dernier le Centre européen pour la cybersécurité dans l’aviation (ECCSA). L’organisme est ouvert à tous les acteurs concernés, y compris les concurrents. Son but est de rassembler les idées et les efforts de chacun, selon le principe bien connu de « L’union fait la force« .

C’est aussi ce principe qui motive l’organisation de l’aviation civile internationale (OACI). Cet organe des Nations unies a voté une première résolution en faveur de la cybersecurité aérienne en octobre 2016. Et elle en fait un sujet majeur dans son nouveau plan triennal 2017-2019 pour l’instauration notamment de standards de sécurité.

Cette mobilisation générale dans le secteur aérien traduit bien à la fois la prise de conscience du risque permanent de la cyberattaque et l’impérieuse nécessité, malgré tout, de suivre le rythme effréné de la mutation numérique d’un monde devenu interconnecté. Le cas de London City Airport est la parfaite illustration de cette dichotomie technologique.

Sa tour de contrôle sera virtuelle à l’horizon 2019. Les contrôleurs, déplacés à 130 kilomètres de l’aéroport, gèreront le trafic des pistes grâce à un réseau de caméras HD réparties sur l’ensemble du terrain d’aviation.

Pour couper court à toute inquiétude, Declan Collier, le directeur de l’aéroport, l’assure : « Nous utilisons le plus haut niveau de sécurité pour protéger notre système« . Oui, sans doute. A condition de ne pas oublier ce principe : ce qui vaut en cybersécurité aujourd’hui, ne vaut plus forcément demain. Dans l’aérien, comme ailleurs, la guerre contre ces cybercriminels est un combat sans fin, collectif.

Base de données, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Mise à jour, Paiement en ligne, Patch, Piratage

SIG : Attaque contre la billetterie d’un club de basket Français

2 commentaires

Un pirate informatique s’est attaqué à la billetterie web du club de basket SIG de Strasbourg. Bilan, plus possible d’acquérir sa place pour la finale Pro A.

Quelles étaient les motivations du pirate informatique ayant visé la billetterie du basket club de Strasbourg, le SIG ? Mettre la main sur les données des supporters ? Ou tout simplement perturber le fonctionnement de la billetterie du club pour empêcher les fans du SIG de venir supporter leur club ? Toujours est-il que, comme l’explique La Dernière Nouvelles d’Alsace, l’ouverture de la billetterie pour le match 3 de la finale de Pro A contre Chalon s’est retrouvée retardée par ce qui semble être une attaque DDoS, ou une injection SQL trop violente. Bilan, le système c’est mis en panne et a généré un message qui a empêchait les fans d’acheter leurs places : « Erreur de communication avec le serveur d’authentification ».

Afin de refuser tout comportement frauduleux la vente a été suspendue. Cette cyber-attaque n’a eu et n’aura aucune incidence sur la sécurité de vos paiements confirme le SIG Strasbourg.

Antivirus, Argent, Cyber-attaque, Cybersécurité, escroquerie, Leak, Logiciels, Mise à jour, Particuliers, Patch, Piratage, Virus

Ménage de printemps : Effacer les virus

Effacer les virus ? Les ordinateurs, tablettes et portables ont aussi le droit à leur nettoyage de printemps. Pour optimiser les performances de vos appareils, voici 6 points à ne pas négliger.

Effacer les virus ! D’abord, nettoyer physiquement ses appareils. Ceci vaut surtout pour les unités centrales qui s’encrassent rapidement : les ventilateurs qui permettent de refroidir la machine aspirent de l’air extérieur. L’accumulation de poussières perturbe le refroidissement et peut entraîner une surchauffe, voire le plantage de la machine. Pour cela, il est recommandé de dépoussiérer l’appareil 1 à 2 fois par an avec un petit compresseur à air. Il est conseillé de faire de même avec l’ordinateur portable et de nettoyer également clavier, souris, écran (notamment ceux des téléphones et des tablettes). Les téléphones portables contiendraient 500 fois plus de bactéries que la cuvette des toilettes.

Ensuite, comme le rappelle ESET, mettre à jour les logiciels. La mise à jour des logiciels, quels qu’ils soient, est très importante pour la sécurité des appareils. Elle permet de réparer les éventuelles failles ou vulnérabilités découvertes par l’éditeur. Activer les mises à jour automatiques est un bon moyen de ne plus les oublier.

Faire une copie de ses fichiers sur un autre appareil. Il est important de sauvegarder ses données sur un support amovible (tel un disque dur). Les appareils ne sont pas infaillibles et personne n’est à l’abri d’une fuite de données. Cette étape est nécessaire avant de passer à la suivante, qui consiste à nettoyer entièrement le disque dur de l’ordinateur.

Nettoyer le disque dur

Le disque dur est soumis à rude épreuve : la navigation sur Internet, autant que les logiciels dont on se sert régulièrement (traitement de textes, jeux…) réduisent la place disponible sur le disque dur. Ceci entraîne un ralentissement de la machine. La première étape consiste à vider la corbeille puis à stocker ses données sur un support amovible, comme une clé USB ou un disque dur externe par exemple. Il faudra ensuite compresser les données et vider le cache Internet. Enfin, l’utilisateur devra lancer le nettoyage de disque, une fonctionnalité disponible chez Microsoft® par exemple, et qui permet de gagner de l’espace sur le disque dur en supprimant les fichiers inutiles (cookies, fichiers temporaires…). Une deuxième opération est également nécessaire : il s’agit de la défragmentation. Elle permet de ranger les fichiers les uns à la suite des autres afin d’optimiser l’espace disponible sur le disque dur.

Désinstaller les logiciels inutiles et effacer les virus

Supprimer les logiciels inutiles, voire néfastes, permet de libérer de l’espace sur le disque dur et d’améliorer la sécurité de son appareil. Pour ce faire, il est possible d’utiliser un logiciel spécialisé ou de chercher dans les paramètres de l’ordinateur l’outil de désinstallation d’un programme ou d’une fonctionnalité. C’est le moment d’en profiter pour supprimer les logiciels inutiles dont on ne se sert plus.

Et pour finir, protéger son appareil avec une suite de sécurité efficace afin de ne plus être obligé d’effacer les virus qui auraient pu s’installer dans votre ordinateur, tablette ou smartphone.

Base de données, Chiffrement, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Leak, Piratage

Cyber-espionnage et ransomware en hausse

Le cyber-espionnage et les ransomwares sont en augmentation constante d’après le Data Breach Investigations Report 2017.

Le cyber-espionnage est désormais le type d’attaque le plus courant dont font l’objet l’industrie, le secteur public et même l’éducation, signale Verizon dans l’édition 2017 de son rapport Data Breach Investigations Report.  Ceci s’explique surtout par la prolifération des recherches de propriété intellectuelle, des prototypes et des données personnelles confidentielles, qui attirent tout particulièrement les cybercriminels. Sur près de 2 000 compromissions analysées cette année, le rapport compte 300 cas de cyber-espionnage (21%), dont beaucoup n’étaient à l’origine que des e-mails de phishing.

De plus, les organisations criminelles intensifient leur utilisation des ransomwares pour extorquer l’argent des victimes : le rapport fait état d’une augmentation de 50% des attaques de ransomwares par rapport à l’année précédente.  Malgré cette augmentation et la médiatisation autour de l’utilisation des ransomwares, de nombreuses entreprises utilisent toujours des solutions de sécurité qui ne sont plus au goût du jour et elles n’investissent pas suffisamment dans des précautions supplémentaires.  Elles honorent les demandes de rançon plutôt que d’investir dans des services de sécurité qui pourraient les protéger d’une cyberattaque.

« Les éclairages qu’apporte le rapport DBIR uniformisent les règles du jeu de la cybersécurité », déclare George Fischer, président de Verizon Enterprise Solutions. « Nous apportons aux états et aux entreprises l’information dont ils ont besoin pour se protéger contre les cyberattaques et mieux gérer le cyber-risque. En analysant les données de notre propre équipe dédiée à la sécurité et celles d’autres grands professionnels de la sécurité et institutionnels du monde entier, nous mettons à disposition de précieuses informations de veille pour aider à transformer le profil de risque d’une organisation. »

Le rapport DBIR de cette année, qui en est à sa 10ème édition, propose une analyse des actuelles problématiques de cybersécurité et des informations sectorielles afin de sensibiliser les entreprises et administrations pour qu’elles fassent de la sécurité leur priorité. Voici quelques-unes des conclusions du rapport :

•    L’importance croissante des malwares : 51% des cas de compromission de données analysés impliquaient des malwares. Le ransomware progresse à la cinquième place des malwares spécifiques les plus courants. Cette technologie d’extorsion de fonds aux victimes affiche une progression de 50% par rapport à l’édition précédente, et fait un énorme bond par rapport au rapport DBIR de 2014 où elle se classait à la 22ème place des types de malwares en circulation.

•    Le phishing a toujours du succès : Dans l’édition 2016 du rapport DBIR, Verizon signalait l’utilisation croissante des techniques de phishing liées à l’installation d’un logiciel sur le terminal d’un utilisateur. Cette année, le processus se retrouve dans 95% des attaques de phishing. Une technique de phishing est présente dans 43% des cas de compromission de données et la méthode sert autant pour le cyber-espionnage que pour les attaques à but lucratif.

•    Essor des tactiques de faux semblant (pretexting) : L’édition 2017 du rapport DBIR montre que la tactique en plein essor de pretexting cible de façon prédominante les salariés des services financiers, ceux qui détiennent les clés des procédures de transfert d’argent. L’e-mail est le premier vecteur de communication, utilisé dans 88% des cas de pretexting ayant un but lucratif, suivi en seconde position par les communications téléphoniques dans moins de 10% des cas.

•    Les petites entreprises sont aussi visées : 61% des victimes analysées étaient des entreprises de moins de 1 000 salariés.

Cyber-espionnage

« Les cyber-attaques ciblant le facteur humain sont toujours un gros problème », déclare Bryan Sartin, directeur exécutif de la branche Global Security Services de Verizon Enterprise Solutions. « Les cybercriminels se concentrent sur quatre éléments moteurs du comportement humain pour encourager les individus à révéler des informations : l’empressement, la distraction, la curiosité et l’incertitude. Et ça marche, puisque notre rapport fait étatd’une forte augmentation des cas de phishing et de pretexting cette année. »

Le rapport de cette année apporte des éclairages concernant certains secteurs spécifiques, et révèle les problématiques spécifiques de différents secteurs verticaux, en plus de répondre systématiquement aux questions « qui ? quoi ? pourquoi ? et comment ? ».
Voici quelques-unes des conclusions sectorielles :

•    Les trois secteurs d’industrie visés par les compromissions de données sont les services financiers (24%) ; la santé (15%) et le secteur public (12%).

•    Les entreprises du secteur de l’industrie sont les cibles les plus fréquentes des malwares adressés par e-mail.

•    68% des menaces visant le secteur de la santé sont perpétrées depuis l’intérieur de l’organisation.

« Les données du cybercrime varient beaucoup d’un secteur à un autre », commente Bryan Sartin. « Ce n’est qu’en comprenant les mécanismes fondamentaux de chaque secteur vertical que l’on peut apprécier les défis de cybersécurité de chacun et recommander des mesures appropriées. »

Sachant que dans 81% des cas de compromission, on retrouve des mots de passe volés et/ou peu sécurisés ou faciles à deviner, il demeure très important de poser des bases solides. Voici quelques recommandations à l’attention des entreprises et des individus :
1.    Restez vigilants : les fichiers journaux et les systèmes de gestion du changement peuvent être des indicateurs d’alerte précoce d’une compromission.
2.    Utilisez vos salariés comme première ligne de défense : formez-les pour qu’ils sachent détecter les signes d’alerte.
3.    Appliquez le principe de la nécessité absolue : seuls les salariés ayant besoin d’avoir accès aux systèmes pour travailler sont effectivement autorisés.
4.    Installez les correctifs dans les meilleurs délais : c’est le meilleur moyen de se protéger de très nombreuses attaques.
5.    Chiffrez les données sensibles : rendez vos données inexploitables en cas de vol.
6.    Utilisez la double authentification : vous limiterez l’ampleur des dégâts en cas d’identifiants perdus ou volés.
7.    Ne négligez pas la sécurité physique : tous les vols de données ne se produisent pas en ligne.

Communiqué de presse, Cyber-attaque, Cybersécurité, Justice, Leak, Piratage, Social engineering

À la poursuite de « Lazarus »

À la poursuite de « Lazarus » : sur les traces du groupe chasseur de grandes banques internationales

Kaspersky Lab vient de publier les conclusions d’une enquête menée par ses experts pendant plus d’un an au sujet du groupe de hackers « Lazarus », présumé responsable du vol de 81 millions de dollars à la Banque Centrale du Bangladesh en 2016. L’analyse scientifique des indices laissés par les pirates dans des banques situées dans le Sud-est asiatique et en Europe, a permis de cerner leur mode opératoire. Ses experts ont mis au jour le type d’outils utilisés pour les attaques visant des institutions financières, des casinos, des éditeurs de logiciels dédiés aux sociétés de placement du monde entier, ainsi que des entreprises de crypto-monnaies. Ces renseignements ont permis d’interrompre au moins deux opérations lancée dans le but de dérober de très grosses sommes à des institutions financières.

En février 2016, un groupe de pirates (non-identifié lors des faits) a tenté de dérober 851 millions de dollars, réussissant à transférer 81 millions de dollars depuis la Central Bank of Bangladesh. Ce vol est considéré comme l’un des plus grands jamais perpétrés par des pirates informatiques à ce jour. Des experts de sociétés spécialistes de la sécurité informatique ont conclu que les attaques avaient très probablement été perpétrées par Lazarus, un groupuscule passé maître dans l’art du cyberespionnage et du cybersabotage. Cette cellule est connue pour avoir perpétré une série d’attaques de grande envergure ayant ciblé des fabricants, des médias et des institutions financières dans au moins 18 pays aux quatre coins du monde depuis 2009.

Très discret pendant plusieurs mois après l’attaque contre la banque du Bangladesh, le groupe Lazarus n’est en pas moins demeuré actif. Ses membres préparaient une autre opération visant d’autres banques. Lorsqu’ils ont été prêts, ils avaient déjà réussi à trouver un point d’entrée dans une institution financière du Sud-est asiatique. Après avoir été interrompus par des solutions Kaspersky Lab et par l’enquête menée ensuite, ils se sont mis au vert pendant plusieurs mois avant de changer de continent. Ils ont alors ciblé des établissements en Europe, où là encore les logiciels de sécurité de Kaspersky Lab ont repéré leurs tentatives et les ont bloquées, aidés par ses équipes d’intervention, d’analyse scientifique et de reverse engineering ainsi que par ses meilleurs chercheurs.

Le modus operandi de Lazarus

Les experts ont passé au crible les indices collectés sur les lieux des attaques. Cette analyse scientifique leur a permis de reconstituer le mode opératoire des pirates.

  • Compromission initiale : les pirates ouvrent une brèche dans un seul des systèmes informatiques de la banque, soit en exploitant à distance des portions de code vulnérables (sur un serveur web par exemple), soit à l’aide d’une attaque dite de « watering hole » qui consiste à piéger un site web légitime. Lorsqu’une victime (un employé de la banque ciblée) consulte ce dernier, son ordinateur est infecté par des composants additionnels.
  • Trouver ses marques : les membres du groupe migrent vers d’autres ordinateurs hôtes au sein de la banque où ils déploient des backdoors persistants, qui leur permettent d’aller et venir à leur guise à l’aide des programmes malveillants installés.
  • Reconnaissance interne : le groupe passe ensuite des jours et des semaines à étudier scrupuleusement le réseau afin d’identifier les ressources intéressantes. Il peut s’agir d’un serveur de sauvegarde qui conserve les données d’authentification, des serveurs de messagerie, des contrôleurs de noms de domaine donnant accès à l’ensemble de l’entreprise, ou encore de serveurs où sont stockées les archives des transactions financières.
  • Passage à l’acte : l’ultime étape consiste, pour les pirates, à déployer leur malware conçu pour passer outre les dispositifs de sécurité internes des logiciels financiers et effectuer des transactions illicites au nom de la banque.

Empreinte géographique et attribution

Les attaques passées au crible par les experts se sont étalées sur plusieurs semaines, sachant que les pirates ont réussi à opérer pendant des mois sans se faire repérer. À titre d’exemple, pendant l’analyse de l’incident survenu dans le Sud-est asiatique, les experts ont découvert que les pirates avaient en fait corrompu le réseau de la banque 7 mois avant qu’elle ne réagisse et sollicite l’intervention des équipes de réponse aux incidents. Le groupe avait même eu accès au réseau de la banque bien avant l’incident survenu au Bangladesh.

Le groupe Lazarus a fait parler de lui à partir de décembre 2015 : des échantillons de malwares en lien avec ses activités ont été repérés sur les réseaux d’institutions financières, de casinos, d’éditeurs de logiciels dédiés à des sociétés de placement et d’entreprises de crypto-monnaies en Corée, au Bangladesh, en Inde, au Vietnam, en Indonésie, au Costa Rica, en Malaisie, en Pologne, en Irak, en Ethiopie, au Kenya, au Nigeria, en Uruguay, au Gabon, en Thaïlande et dans plusieurs autres pays. Les derniers échantillons malveillants repérés datent de mars 2017, ce qui laisse penser que les pirates ne comptent pas s’arrêter là.

S’ils ont pris soin d’effacer leurs traces, ils se sont grossièrement trahis sur au moins l’un des serveurs utilisés dans une autre campagne. En préparation de l’attaque, ce serveur avait été configuré pour faire office de centre de commande et de contrôle (C&C) du malware. Les premières connexions effectuées le jour de la configuration provenaient de nouveaux serveurs VPN/proxy, laissant penser à une période de test du C&C. Les pirates ont laissé un indice : une connexion très brève a été détectée, émanant d’une plage d’adresses IP très rare en Corée du Nord.

Selon les chercheurs, cela pourrait avoir plusieurs significations :

  • Les attaquants se sont connectés depuis cette adresse IP en Corée du Nord ;
  • Il s’agit d’un leurre savamment orchestré par quelqu’un d’autre ;
  • Quelqu’un en Corée du Nord a visité par accident l’URL du C&C.

Le groupe Lazarus investit énormément pour créer de nouvelles variantes de son malware. Ses membres ont, pendant des mois, essayé de mettre au point une version totalement indétectable par les solutions de sécurité. Mais à chaque nouvelle tentative de leur part, les spécialistes ont réussi à repérer leurs créations en identifiant des paramètres récurrents au niveau du code. À l’heure actuelle, ceux-ci ne montrent aucun signe d’activité, ce qui laisse penser qu’ils les ont suspendues pour renforcer leur arsenal.

« Nous sommes persuadés qu’ils referont surface prochainement. Les attaques comme celles menées par le groupe Lazarus montrent qu’une erreur de configuration, même minime, peut ouvrir une brèche importante dans le réseau d’une entreprise, avec à la clé la perte potentielle de centaines de millions de dollars. Nous espérons que les dirigeants des banques, des casinos et de sociétés de placement du monde entier apprendront à se méfier de Lazarus », témoigne Vitaly Kamluk, Directeur de l’équipe de recherches et d’analyses APAC chez Kaspersky Lab.

Base de données, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage, Social engineering

Stratégie de cyber sécurité : la moitié des entreprises en retard sur l’implémentation

Intel Security et le think-tank CSIS (Center for Strategic and International Studies) dévoilent les résultats de leur étude “Tilting the Playing Field: How Misaligned Incentives Work Against Cybersecurity« . Ce rapport met en évidence les principales faiblesses dans l’approche des entreprises à la cyber-sécurité et leur propose d’adopter certaines pratiques des pirates afin d’éviter 3 incohérences majeures.

1. Les structures d’entreprise rigides versus la liberté d’action des cybercriminels
Le rapport d’Intel Security décortique les raisons qui ont permis aux pirates de prendre une longueur d’avance sur les spécialistes de la cyber-sécurité, dont l’agilité. Alors que le marché du cyber crime est fortement dynamique, les entreprises doivent souvent agir sous contrainte de la hiérarchie et des processus établis qui les mettent davantage en position réactive de défense face aux pirates.

« Le marché du cyber-crime ne connaît pas la crise. Notamment grâce à sa propre structure, qui récompense rapidement les innovations et promeut les outils les plus performants », commente Fabien Rech, Directeur Général d’Intel Security France. « Afin de faire face aux pirates, les cyber-professionnels ont besoin d’être aussi agiles que les cybercriminels mais également de maintenir les motivations au sein de toute leur équipe informatique. »

2. Un décalage entre la stratégie de cyber-sécurité définie et sa mise en place
Comme le démontre le rapport, il ne suffit pas simplement d’avoir établi une stratégie de cyber-sécurité pour être protégé, les surprises arrivent souvent lors de sa mise en œuvre. Alors que plus de 90 % des entreprises affirment avoir une stratégie de cyber-sécurité, plus de la moitié avouent ne pas l’avoir totalement mise en place. 83 % admettent même avoir déjà constaté des brèches de sécurité malgré leur stratégie de protection, révélant ainsi une rupture entre la stratégie et l’implémentation.

« C’est facile d’élaborer une Stratégie de cyber sécurité, mais l’étape la plus complexe est surtout sa mise en place », explique Denise Zheng, directrice adjointe chez CSIS. « La manière dont les gouvernements et les entreprises adressent les possibles dissonances dans leur approche de la cyber sécurité va déterminer l’efficacité de toute leur stratégie de cyber défense. La question n’est plus de savoir ce qui devrait être fait, mais plutôt pourquoi tout n’est pas fait et surtout comment mieux le faire. »

3. Un manque d’alignement entre l’équipe dirigeante et les personnes en charge de l’implémentation des mesures de sécurité
Les motivations des cyber professionnels ne sont pas aussi fortes que celles des cybercriminels, ce qui met en porte à faux l’ensemble de la stratégie de cyber-sécurité de l’entreprise. Par ailleurs, les dirigeants manquent souvent d’objectivité quand il s’agit d’évaluer l’efficacité des mesures incitatives envers leur équipe IT. Par exemple, 42 % des membres des équipes informatiques jugent qu’il n’existe aucune forme d’encouragement dans leur entreprise, tandis que 82 % des cadres exécutifs et 92 % des dirigeants sont persuadés de l’inverse.

Stratégie de cyber sécurité : Les autres faits saillants du rapport :

  • Les entreprises du secteur public ont le plus de mal à implémenter une stratégie de cyber sécurité dans son intégralité (38 %). En parallèle, ce secteur constate un financement inadapté d’une grande partie de ses institutions (58 %) ainsi qu’une pénurie de compétences (63 %). Ces proportions sont moins marquées dans le secteur privé (respectivement 33 % et 43 %).
  • Malgré le manque d’encouragement en interne, 65 % des professionnels reconnaissent être personnellement motivés pour renforcer la cyber sécurité de leur entreprise.
  • Les employés sont mieux placés que leur hiérarchie pour constater des insuffisances de financement et de pénurie d’effectif, à la source d’obstacles à la mise en place de stratégie de cyber sécurité réussie.
  • 95 % des entreprises ont déjà expérimenté les conséquences de brèches de sécurité, incluant des perturbations/interruptions de leur opération, la perte d’adresse IP, des attaques directes à l’image de la marque, etc. Or, seules 32 % ont constaté une perte de revenu ou de bénéfice liée à ces brèches, ce qui peut fausser le sentiment de sécurité.

Les bonnes pratiques issues du cyber crime à adopter en entreprise :

  • Opter pour une approche de Security-as-a-Service pour contrer le Cybercrime-as-a-Service ;
  • S’appuyer sur une communication publique pour adresser les vulnérabilités de ses produits et services ;
  • Garantir une plus grande transparence grâce au partage des informations sur les menaces ;
  • Faciliter le recrutement de jeunes talents dans le domaine de la cyber sécurité ;
  • Aligner les mesures incitatives à la cyber sécurité au sein de toute l’entreprise.

Pour les auteurs du rapport, de nombreuses entreprises reconnaissent la gravité du problème et sont prêtes à investir dans une stratégie de cyber sécurité. Aujourd’hui, les outils ne suffisent plus pour combattre les pirates ; il faudra déterminer également la bonne répartition entre les indicateurs de performance et les incentives dans chaque entreprise. Il est crucial que les secteurs public et privé dépassent leur vision de la cyber-sécurité comme étant une source de dépense, et qu’ils réinventent leurs approches pour reprendre une longueur d’avance sur les cybercriminels. [Rapport]

BYOD, Communiqué de presse, Cyber-attaque, Cybersécurité, Emploi, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

La sécurité informatique à l’heure de la Génération Y

C’est un constat au quotidien : la sécurisation du réseau d’une organisation relève de la gageure. D’autant que la tâche est de plus en plus complexe face à l’émergence de la Génération Y.

 Cette génération du millénaire, celle qui regroupe les 20 – 35 ans, est de plus en plus représentée dans le monde. Plus d’un travailleur sur 3 aux États-Unis serait dans cette tranche d’âge, selon une étude de Pew Research Center. Et ce groupe démographique devrait compter pour environ 50% des travailleurs à l’horizon 2020, selon PwC.

La génération Y présente ses propres codes et désirs : elle partage sur les réseaux sociaux. Elle abhorre les expériences utilisateurs médiocres. Elle sollicite davantage de flexibilité dans le travail. Elle est prête à aller voir ailleurs si ses attentes ne sont pas prises en compte. Autant de caractéristiques qui impactent lourdement les cultures d’entreprise, mais qui, au-delà, imposent un réel challenge à la sécurité réseau de nombreuses organisations.

Voici trois points à prendre en compte dans cette transformation qui s’opère :

1. Maîtriser les médias sociaux

Faut-il ou non donner l’accès aux réseaux sociaux à partir du lieu de travail ? De nombreuses organisations se sont sans doute déjà posées la question.

Une étude de l’éditeur de logiciels RH CareerBuilder a interrogé un panel d’employeurs en Amérique du Nord. Pour 37% d’entre eux, les réseaux sociaux constituent un frein de productivité au travail, tout comme les téléphones mobiles et SMS (55%), l’utilisation d’Internet (44%) et les bavardages (39%). 3 employeurs sur 4 estiment que ce sont deux heures de travail qui sont, à minima, perdues chaque jour en terme de productivité, dressant ainsi le bilan des nombreuses distractions des collaborateurs.

Du point de vue de la sécurité réseau, les médias sociaux constituent un vecteur d’infection par les logiciels malveillants et attaques par ingénierie sociale. Combien de liens, partagés de manière innocente, finissent par réorienter les utilisateurs vers des sites web malveillants ? Quant aux collaborateurs qui utilisent les réseaux sociaux de manière professionnelle et avertie, se rendent cependant compte que leurs contacts et amis ne font pas toujours preuve de la même rigueur.

Il est simple, au niveau du réseau, de bannir ou de restreindre l’accès aux réseaux sociaux. Le filtrage statique des URLs permet de surveiller certaines URLs et empêche d’y accéder. La fonction de filtrage par catégorie permet de bloquer tout un ensemble de sites Web.

Mais cela ne veut pas dire pour autant que les DSI doivent bloquer l’accès aux réseaux sociaux dans le cadre du travail. Car une approche plus pertinente consiste à, avant toutes choses, identifier comment la sécurité réseau s’applique de manière globale. La définition de règles pertinentes pour les  médias sociaux, ainsi que la formation des collaborateurs, sont des étapes initiales importantes. A titre d’exemple, les équipes commerciales doivent être sensibilisées aux risques de sécurité et métiers qui résulteraient de la consultation des réseaux sociaux comme Facebook, à partir du lieu de travail ou du site d’un client.

La ligne de défense la plus efficace consiste à déployer une infrastructure de sécurité robuste et multicouche. Cette option est plus sure que de faire aveuglement confiance à des collaborateurs qui ne commettraient aucune erreur dans leur activités autour des réseaux sociaux.

2. De l’intérêt d’une sécurité multicouche

La sécurité multicouche est privilégiée par nombre d’organisations aujourd’hui, avec de multiples couches de sécurité qui collaborent pour protéger les données, des dispositifs et les personnes. Cette approche permet de contrer les attaques utilisant différents vecteurs au niveau du réseau, des applications, des dispositifs et des utilisateurs. Ces attaques sont détectées et neutralisées avant de pouvoir proliférer et la protection est active contre différents profils d’attaques.

Face aux changements qu’entraîne la Génération Y sur le lieu de travail, les DSI doivent repenser comment déployer chaque couche de sécurité.

Penchons-nous notamment sur l’utilisation des dispositifs personnels sur le lieu de travail. Selon une étude de McKinsey & Company, environ 80% des entreprises permettent désormais aux collaborateurs d’utiliser leurs dispositifs personnels pour se connecter aux réseaux de l’entreprise. De plus en plus, les collaborateurs s’attendent à ce que les départements informatiques autorisent un accès à partir des dispositifs personnels vers des applications corporate comme l’email et l’agenda. Cette tendance, appelée BYOD (Bring Your Own Device), n’est pas exempte de menaces de sécurité.

Plus particulièrement, les DSI doivent renforcer la sécurité des terminaux. La première étape consiste à protéger ces terminaux eux-mêmes, à l’aire de pare-feux, d’anti-malware, d’outils de gestion des flottes mobiles et d’une application régulière des patchs disponibles. En acceptant le BYOD, les entreprises s’exposent par ailleurs au risque de piratage des dispositifs personnels des collaborateurs qui se contentent d’utiliser des mots de passe faibles. L’application de règles pertinente et la sensibilisation des collaborateurs à opter pour des mots de passe forts deviennent ainsi une priorité.

Génération Y et le sans fil – Il est également recommandé de pouvoir identifier le type de dispositif, pour ainsi n’autoriser les dispositifs les moins sécurisés (smartphones par exemple) que sur certains segments du réseau. Les sessions doivent également être sécurisées, pour empêcher les utilisateurs d’accéder à des sites Web peu sécurisés.

De manière similaire, les outils de défense de l’utilisateur doivent être renforcés pour lutter contre le risque, toujours plus important, que représentent les menaces internes. Cette couche est souvent la plus complexe à gérer puisqu’il s’agit de trouver le bon équilibre entre sécurité et utilisation conviviale. Vous pouvez également activer différentes méthodes d’authentification pour identifier les utilisateurs réseau et leur attribuer des niveaux d’accès différents. Enfin, c’est la prise de conscience des utilisateurs face aux risques et leur formation sur le sujet qui sont également des priorités.

3. Garder la main sur le Shadow IT

Le Shadow IT fait référence à ces applications et services, souvent basés dans le Cloud, et non contrôlés par l’organisation, soulignant ainsi un réel défi en matière de sécurité et de gouvernance.

Considérons un utilisateur lambda qui ouvre un fichier corporate sur son smartphone. L’appareil va sans doute copier le fichier vers, par exemple, un   espace en ligne non approuvé, simplement lors de l’exécution d’une sauvegarde programmée. Voilà comment vos données corporate sécurisées peuvent être transférées vers un lieu non sécurisé.

De la même façon, les nombreuses applications de collaboration sociale si appréciées par cette Génération Y sont susceptibles de faire migrer des informations corporate vers des espaces peu sécurisés.

Il ne suffit par d’interdire unilatéralement à ces collaborateurs l’utilisation des dispositifs et applications non-validées pour que cette règle soit scrupuleusement appliquée.

Face à l’omniprésence des smartphones, les collaborateurs continueront à utiliser leurs réseaux sociaux ou leur cloud personnel, que vous le vouliez ou pas.

En revanche, la sensibilisation des collaborateurs et le déploiement de  technologies de sécurité sont des axes plus pertinents pour maîtriser les risques, qu’il s’agisse du chiffrement des données, d’un contrôle d’accès ou du monitoring du trafic.

D’un point de vue plus large, le Shadow IT émerge lorsque vos collaborateurs ne sont pas satisfaits des outils offerts par leur organisation. Alors que les DSI ne peuvent empêcher les collaborateurs de rechercher des applications alternatives, de collaboration par exemple, ils peuvent maîtriser les risques en  prenant mieux en compte les besoins et attentes de leurs utilisateurs. (Christophe Auberger, Directeur Technique France Fortinet)

Argent, backdoor, Banque, Base de données, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Piratage, Social engineering

Piratage de banques polonaises, le voleur passe par le régulateur national

Piratage de banques ! Plusieurs institutions financières polonaises ont confirmé l’infiltration de leurs systèmes informatiques par un malware.

Piratage de banques ! Étonnante attaque informatique, surtout quelques jours après l’arrestation de neuf pirates Russes du groupe Lurk, professionnels de l’infiltration bancaire, dans les serveurs de plusieurs institutions financières polonaises. L’aspect intéressant de cette attaque, la partie social engineering. Les escrocs ont utilisé le régulateur financier polonais, la KNF, pour diffuser plusieurs logiciels malveillants.

Un porte-parole de la KNF a confirmé que les systèmes internes du régulateur avaient été compromis par des pirates « d’un autre pays« . Une fois dans les serveurs de la KNF, les pirates ont modifié un JavaScript (JS), puis ils ont écrit aux banques, leur proposant de venir visiter KNF. Une usurpation d’identité particulièrement efficace. Le JS malveillant téléchargeait plusieurs codes pirates, dont un cheval de Troie, dans les machines des visiteurs ciblés.

Le « bombe 2.0 » était caché sur des sites basés en Suisse (sap.misapor.ch) et en Inde (eye-watch.in). Afin d’éviter la propagation des logiciels malveillants, les autorités ont pris la décision de fermer l’ensemble du réseau de la KNF.

Du côté des banques, les personnels informatique des plus importantes banques du pays ont remarqué le trafic anormal associé à la présence d’exécutables sur plusieurs serveurs. Ironiquement, le KNF est l’organisme de réglementation qui surveille et promeut des mesures de sécurité a adopter dans les banques polonaises.

Antivirus, Apple, backdoor, Cyber-attaque, Cybersécurité, Espionnae, Fuite de données, Leak, Logiciels, Mise à jour, OS X, Particuliers, Patch, Piratage, Social engineering

MacDownloader, code malveillant made in Iran

MacDownloader – Un groupe de pirates informatiques Iraniens utiliseraient un logiciel spécialisé dans le vol de données sauvegardées dans les appareils d’Apple.

Un groupe d’espions informatiques, il serait lié à l’Iran [Iran Cyber Security Group ?], utiliserait un logiciel nommé MacDownloader. Le programme malveillant réussirait à voler les informations d’identification et d’autres données sauvegardées dans les appareils Apple. Le malware a été analysé par Claudio Guarnieri et Collin Anderson, deux chercheurs spécialisés dans les campagnes iraniennes de surveillance et d’espionnage visant les droits de l’homme, la politique étrangère et les entités de la société civile.

MacDownloader a été déguisé par les attaquants comme une mise à jour de Flash Player et un outil de suppression d’adware de l’éditeur d’antivirus Bitdefender. L’outil aurait été créé vers la fin de 2016. Une grande partie du code a été copiée à partir d’autres sources et les experts pensent que cela pourrait être une première tentative mise en place par des développeurs amateurs.

Lorsque Guarnieri et Anderson ont effectué leur analyse, le logiciel malveillant était totalement inconnu par les antivirus [plus d’une trentaine, NDR] proposés sur VirusTotal. Depuis quelques jours, une douzaine de fournisseurs ont signalé les fausses applications Flash Player (15/53) et Bitdefender (11/53) comme étant malveillantes. MacDownloader a été découvert, la première fois, sur un faux site Web aux couleurs de la société aérospatiale United Technologies Corporation. Un espace connu pour avoir déjà diffusé, l’année dernière, des logiciels malveillants visant des ordinateurs sous Windows.

Ce malware macOS est lié à Charming Kitten, alias Newscaster et NewsBeef, une menace iranienne connu pour la création de faux comptes sur les réseaux sociaux. Son but, récolter des informations auprès de personnes ciblées aux États-Unis, Israël ou encore en Irak.

Une fois que MacDownloader infecte un périphérique, le malware récolte des informations sur le système, y compris les processus et les applications, et collecte les mots de passe stockés. Le malware Windows utilisé par le groupe est similaire, collectant les informations d’identification et l’historique du navigateur enregistrés depuis Chrome et Firefox. Bien que son code montre que les développeurs de MacDownloader ont tenté d’implémenter des fonctionnalités de mise à jour et de persistance à distance, ces mécanismes ne semblent pas être fonctionnels.

Banque, Cyber-attaque, Cybersécurité, Espionnae, Facebook, ID, Identité numérique, Leak, Particuliers, Piratage, Social engineering, Twitter, Vie privée

Des politiques Indiens attaqués par un mystérieux Legion Group

Plusieurs politiques Indiens ont été victimes de piratages informatiques signés par un mystérieux collectif Anonymous prénommé Legion Group. Les pirates annoncent s’être aussi attaqués aux institutions bancaires du pays.

Au cours de ces derniers jours de décembre 2016, une dizaine de comptes Twitter d’hommes et de femmes politiques Indiens (Rahul Gandhi, Vijay Mallya, Ravish Kumar, Barkha Dutt) ont été piratés par un mystérieux collectif d’hacktivistes signant leurs actes sous le pseudonyme de Legion Group. Pour annoncer leurs actions, ils ont affiché plusieurs messages sur les comptes malmenés des politiques et de plusieurs journalistes de la télévision nationale : « Remember kids, e-mail us at legion_group@xxxxx.org if you have useful information or sp00lz.« 

En novembre dernier, le vice-président du Congrés [Indian National Congress], Rahul Gandhi, avait été piraté par le même groupe. Des traces de Legion group ont été retrouvées à Bangalore, aux États-Unis, en Suède, au Canada, en Thaïlande et en Roumanie. Bref, les proxies tournent à plein. Le porte-parole, qui risque d’être l’unique membre de cette team, a indiqué agir sans aucun motif politique. « Notre prochaine cible, les banques du pays » affirme le pirate. Parmi les cibles annoncées : sansad.nic.in [Registar indien], et le système bancaire du pays. « Le système bancaire de l’Inde est profondément défectueux et a été piraté à plusieurs reprises » déclare Legion Group, sans apporter cependant la moindre preuve. Bref, peu importe le continent, les pirates sont tous les mêmes !

Arnaque, Base de données, Chiffrement, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, ID, Identité numérique, Leak, Mise à jour, Particuliers, Patch, Piratage, Social engineering, Vie privée

Nouveau piratage Yahoo : Des Français concernés

Un nouveau piratage informatique de Yahoo! vient d’être confirmé par le géant de l’Internet Américain. Cette fois, 1 milliard de données clients sont concernées. Des Francophones sont visées par cette fuite de données massive.

Depuis quelques heures, Yahoo!, partout dans le monde, écrit aux clients de ses services (mails, …) concernés par une nouvelle fuite de données concernée par un nouveau piratage de données. Comme le confirmait ZATAZ.COM depuis le mois d’août 2016, les attaques et fuites d’informations sensibles appartenant au géant américain ne font que commencer tant les failles et « tuyaux percées » étaient nombreux.

En novembre 2016, les autorités policières ont fourni à Yahoo des fichiers de données qu’un tiers déclarait être des données d’utilisateurs Yahoo. « Nous avons analysé ces données avec l’aide de spécialistes externes et avons découvert qu’il s’agit de données d’utilisateurs Yahoo » indique le courriel envoyé aux internautes Francophones concernés. D’après les résultats de l’analyse plus approfondie qu’ont réalisé les spécialistes sur ces données, un tiers (1 seul ?) non autorisé a dérobé en août 2013 des données associées à un ensemble de comptes utilisateur « y compris le vôtre » annonce la missive. « Nous n’avons pas été en mesure d’identifier l’intrusion associée à ce vol. Nous avons des raisons de penser que cet incident est probablement distinct de celui que nous avons révélé le 22 septembre 2016« .

Il est possible que les informations dérobées dans les comptes utilisateur concernent des noms, des adresses mail, des numéros de téléphone, des dates de naissance, des mots de passe cryptés (au format MD5) et, dans certains cas, des questions/réponses chiffrées ou non chiffrées concernant la sécurité. Votre compte ne comporte peut-être pas toutes ces données. Les recherches indiquent que les informations dérobées n’incluent ni les mots de passe en texte clair, ni les données de carte de paiement, ni les informations concernant les comptes bancaires. Les données de carte de paiement et les informations relatives aux comptes bancaires ne sont pas stockées dans le système que nous pensons être concerné. Pour ce qui concerne le mot de passe, un « simple » hash MD5 qui se « crack » très rapidement si votre mot de passe est connu des bases de données.

Nous vous invitons à suivre ces recommandations concernant la sécurité :

  • Changez vos mots de passe et les questions/réponses de sécurité de vos autres comptes si vous avez repris des informations identiques ou semblables à celles que vous utilisez pour vous connecter à Yahoo.
  • Examinez vos comptes à la recherche de toute trace d’activité suspecte.
  • Faites preuve de la plus grande prudence si vous recevez des mails non sollicités vous demandant de fournir des informations personnelles ou qui vous envoient sur une page Web où vous devez indiquer des informations personnelles.
  • Évitez de cliquer sur des liens ou de télécharger des pièces jointes à des mails suspects.

Par ailleurs, pensez à utiliser une clé de compte Yahoo : cet outil d’authentification simple évite d’avoir à utiliser un mot de passe pour vos connexions avec Yahoo. Je vous conseille aussi, mais je ne suis pas le seul, à utiliser la double authentification, dont celle proposée par Yahoo! depuis peu ou encore Dailymotion, Google, Linkedin, Facebook, Twitter, Amazon ou encore votre propre site Internet.

Adobe, Arnaque, backdoor, BYOD, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, ID, Identité numérique, Leak, Logiciels, Mise à jour, Particuliers, Patch, Piratage, Social engineering, Vie privée

Stegano, un malware publicitaire infectant de nombreux sites Internet

Découverte de Stegano, un nouveau kit d’exploitation se propageant via des campagnes publicitaires. De très nombreux sites Internet à forte notoriété ayant des millions de visiteurs quotidiens ont été touchés. Au cours des deux derniers mois, Stegano a été affiché auprès de plus d’un million d’utilisateurs. Stegano se cache dans les images publicitaires (en Flash) affichées sur les pages d’accueil des sites Internet.

Depuis le début du mois d’octobre 2016, des cybercriminels ciblent les utilisateurs d’Internet Explorer et analysent leur ordinateur pour détecter les vulnérabilités dans Flash Player. En exploitant leurs failles, ils tentent de télécharger et d’exécuter à distance différents types de malwares.

Ces attaques se rangent dans la catégorie des publicités malveillantes, c’est-à-dire que des codes malicieux sont distribués via des bannières publicitaires. La victime n’a même pas besoin de cliquer sur la publicité : il suffit qu’elle visite un site Internet l’affichant pour être infecté. Elle est alors renvoyée automatiquement vers un kit d’exploitation invisible permettant aux cybercriminels d’installer à distance des malwares sur son ordinateur.

« Certaines des charges utiles que nous avons analysées comprennent des chevaux de Troie, des portes dérobées et des logiciels espions, mais nous pouvons tout aussi bien imaginer que la victime se retrouve confrontée à une attaque par ransomware, » explique Robert Lipovsky, senior malware researcher chez ESET. « Cette menace montre combien il est important d’avoir un logiciel entièrement patché et d’être protégé par une solution de sécurité efficace et reconnue. Si l’utilisateur applique ces recommandations, il sera protégé contre ce genre d’attaque.» poursuit Robert Lipovsky.

« Stegano » fait référence à la sténographie, une technique utilisée par les cybercriminels pour cacher une partie de leur code malveillant dans les pixels d’images présents dans les bannières publicitaires. Ceux-ci sont masqués dans les paramètres contrôlant la transparence de chaque pixel. Cela entraîne un changement mineur des tons de l’image, rendant ces derniers invisibles à l’œil nu pour la victime potentielle.

Pour vous protéger, bannissez Flash de vos ordinateurs !

Base de données, Chiffrement, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, ID, Identité numérique, Leak, Linkedin, Particuliers, Piratage, Social engineering, Twitter, Vie privée

Comment renforcer la sécurité de vos mots de passe en 5 étapes

Le piratage des comptes Twitter et Pinterest de Mark Zuckerberg a été lié à la fameuse fuite de données subie par LinkedIn, et facilité par le fait que le milliardaire utilisait les mêmes mots de passe sur plusieurs comptes. Cette histoire constitue une bonne raison pour vous inciter à renforcer la sécurité de vos mots de passe. S’assurer de sa sécurité en ligne ne doit pas nécessairement être tâche compliquée : avec les bons outils, vous pouvez vous protéger tout en économisant votre temps et votre énergie.

Voici 5 conseils pour vous assurer que vos comptes personnels soient aussi sûrs que possible :

1. Créer des mots de passe n’a jamais été notre fort. Utilisez un gestionnaire dédié.
Chaque jour apporte son lot d’histoires de piratage, certaines ayant pour origine les fuites de données vers le dark Web d’il y a 4 ans. Malgré cela, nous continuons à réutiliser les mêmes mots de passe pour différents comptes en dépit de risques évidents. Bien souvent, au moment de l’annonce d’un piratage, il est déjà trop tard, mais il est possible de prendre des précautions afin de sécuriser nos données.

En évitant d’utiliser plusieurs fois le même mot de passe, les pirates ne peuvent pas prendre possession de plusieurs comptes en cas de fuite. Les gestionnaires tels que LastPass offrent une solution sécurisée pour générer des codes longs, complexes et uniques sans avoir recours à sa mémoire ou à des bouts de papier. Mieux : ces outils simplifient l’importation des identifiants de l’ensemble des comptes associés à une adresse e-mail donnée, sans oublier que ces données sont également chiffrées.

2. N’enregistrez pas vos mots de passe sur votre navigateur.
Bien que pratique, stocker des mots de passe en local sur un navigateur est dangereux et vous rend, vous et vos identifiants, vulnérables en cas de piratage. Ce confort est en effet la raison-même pour laquelle ces applications sont moins sécurisées et robustes. Les gestionnaires de mots de passe, eux, apportent un plus en vous aidant à gérer votre vie en ligne. Le chiffrement et le déchiffrement s’effectuent en local. Leurs protocoles de vérification vous évitent de partager votre mot de passe principal à mauvais escient et d’offrir l’accès à vos données.

3. Activez l’authentification à deux facteurs sur l’ensemble de vos comptes, y compris vos messageries.
En activant l’authentification à deux facteurs (2FA) sur vos comptes importants, même si un pirate possède votre mot de passe, il lui faudra une information supplémentaire (un code à usage unique généré à partir d’une application sur votre téléphone, ou une empreinte digitale). Cette méthode est incroyablement précieuse pour votre adresse e-mail, qui sert essentiellement de passerelle pour l’ensemble de votre activité en ligne, y compris vers votre compte bancaire, vos cartes de crédit, ou encore vos investissements.

4. Renforcez votre code PIN.
Les codes PIN à 4 chiffres sont la norme sur nos téléphones portables. Cela dit, nous vous recommandons vivement de vous rendre dans les paramètres de votre appareil et de créer un code plus long. Et évitez de reproduire celui de votre carte bancaire, ou d’utiliser le code d’accès à votre compte en banque en ligne.

5. N’oubliez pas les questions de sécurité.
Beaucoup de comptes en ligne vous invitent à choisir des questions de sécurité afin d’ajouter une protection supplémentaire. Cependant, celles-ci laissent clairement à désirer et constituent pour beaucoup le maillon faible de leur système de sécurité en ligne. Si vous utilisez un gestionnaire de mots de passe, profitez de la fonction de génération automatique pour répondre à ces questions, puis enregistrez les réponses dans la section « Notes » de votre compte. Le champ correspondant doit ressembler à cela : premier animal de compagnie : ackpioughtso. N’oubliez pas d’utiliser également la fonction de création de codes lisibles (proposée en autres par LastPass). Dans le cas contraire, vous risquez de vous retrouver au téléphone à devoir expliquer à un agent de service client pourquoi les caractères $$%%@@ figurent dans le nom de votre animal de compagnie, ce qui vous compliquera la vie pour pas grand-chose. (Par Joe Siegrist, vice-président et directeur général de LastPass)

Base de données, BYOD, Chiffrement, Cloud, Cyber-attaque, Cybersécurité, Entreprise, IOT, Leak, Mise à jour, Patch, Piratage

Une enquête révèle les stratégies de cybersécurité des entreprises

Un commentaire
Selon une nouvelle étude, le Cloud et les vulnérabilités systèmes sont les deux plus grandes préoccupations des décisionnaires IT. Un veille décisionnelle sur les menaces, une prise en charge plus rapide des incidents et un recours aux services de sécurité managés comptent parmi les orientations stratégiques de ces décideurs.

L’enquête indépendante souligne l’urgence pour les grandes entreprises de la région EMEA, tous secteurs d’activité confondus, de passer à une cybersécurité de bout en bout, basée sur une veille décisionnelle sur les menaces, pour ainsi relever les défis liés au digital. Les entreprises doivent réagir plus rapidement et efficacement aux problématiques de sécurité en investissant dans des architectures de cybersécurité adaptatives et adaptées à un réseau décloisonné.

48 % des personnes interrogées sur la région EMEA et 60% des entreprises françaises jugent que la meilleure réponse à la multiplication des incidents de sécurité est d’investir dans des technologies de cybersécurité qui assurent une protection à chaque étape du cycle de vie d’une menace. Les deux plus grandes préoccupations des décisionnaires portent sur la sécurité du cloud et la maîtrise des vulnérabilités des systèmes IT. Sécurité du cloud : une problématique pour 53 % des personnes interrogées sur la région EMEA, allant jusqu’à 61% en Espagne (le taux le plus élevé) et 57% en France
.Protection contre les vulnérabilités systèmes : une problématique pour 53% des répondants sur la région, 47% en France et qui grimpe à 59 % en Italie.

Cependant, nombre des répondants voient dans cette recrudescence des menaces et risques de sécurité l’occasion d’externaliser leur cybersécurité auprès d’un fournisseur de services managés. Globalement, l’étude montre que dans les 3 à 5 ans à venir, 44% des organisations sur la région EMEA (43% en France) opteraient pour cette externalisation. En France, cette adoption est de 9%.

Vers une architecture de sécurité performante et une veille décisionnelle sur les menaces
L’enquête s’est intéressée aux victimes de cyber-attaques pour illustrer comment les infrastructures de sécurité actuelles peinent à s’adapter aux réalités d’un monde toujours plus digital. Sur les 52% des décisionnaires EMEA (42% en France) qui indiquent avoir subi un piratage informatique au cours de l’année dernière, seuls 16% (14% en France) s’en sont rendus compte dans les minutes ayant suivi l’exaction. En Espagne, les personnes interrogées victimes d’une une attaque récente ne sont que 11% à avoir pu l’identifier dans un tel délai.

Dans certains secteurs, comme les soins de santé, 50% des répondants EMEA déclarent qu’il s’est écoulé plusieurs jours, mois, voire années avant d’identifier l’incident. L’identification et la prise en charge des menaces, lentes et peu efficaces, se révèlent particulièrement coûteuses pour les entreprises victimes, en termes de données perdues, de systèmes piratés et de réputation ternie.

L’enquête montre que pour maîtriser ces risques et mieux protéger leurs organisations, la première des actions prises par les décisionnaires informatiques est de déployer des technologies de détection de menaces (17% sur la région EMEA et 14% en France). Vient ensuite la mise en place de services de sécurité fournis à partir du cloud (12% sur la région EMEA et 7% en France). Ces fonctionnalités doivent être associées à des services de veille décisionnelle sur les menaces (9% sur la région EMEA et 14% en France).

Pour les répondants, la veille sur les menaces renforce la prévention des attaques (43% d’entre eux le déclarent sur la région EMEA, 40% en France). Elle améliore aussi la stratégie de sécurité de l’information (38% sur la région EMEA et 43% en France) et la détection des menaces (35% sur la région EMEA, 40% en France).

Concernant l’application des nouvelles fonctionnalités de veille (périmètre, modalités) 35% des personnes interrogées sur la région EMEA et 33% en France indiquent disposer d’une équipe interne dédiée à la prise en charge des incidents et qui supervise l’ensemble des activités de sécurité. Le chiffre n’est que de 26% en Italie contre 42% en Allemagne. Cependant, 26% du panel EMEA et français déclare externaliser leur veille sur les menaces auprès d’un fournisseur de services managés. Ce chiffre ressort à 22% en Espagne et à 31% au Royaume-Uni.

Cyber-attaque, Cybersécurité, Leak, Mise à jour, Patch, Piratage

Les auteurs des menaces, maîtres des faux indices

Les auteurs d’attaques ciblées emploient un éventail de plus en plus vaste de techniques de leurre afin de brouiller les pistes, en implantant dans leur code de « faux drapeaux » (horodatage, chaînes de caractères, malware, etc.) et en opérant sous couvert de groupes fictifs.

Tout le monde souhaite connaître l’identité des groupes qui se cachent derrière les cyberattaques ciblées alors même que la réponse est difficile, sinon impossible, à donner avec précision. Afin de démontrer le niveau croissant de complexité et d’incertitude lié à l’identification des responsables, deux experts de Kaspersky Lab publient un article révélant comment les auteurs des menaces les plus avancées emploient des « faux drapeaux » (des indices falsifiés) pour leurrer leurs victimes et les chercheurs en sécurité.

Voici à cet égard les indicateurs les plus utilisés par les chercheurs pour identifier la provenance des attaques, ainsi que des exemples de leur manipulation par un certain nombre d’auteurs de menaces connues :

Horodatage
Les fichiers malveillants comportent la date et l’heure de leur compilation. Si des échantillons sont recueillis en nombre suffisant, cela peut permettre de déterminer les horaires de travail des développeurs et donc leur fuseau horaire. Or ce type d’horodatage est incroyablement facile à falsifier.

Marqueurs linguistiques
Les fichiers malveillants contiennent souvent des chaînes de caractères et des chemins de débogage susceptibles de fournir des indications sur l’identité des auteurs du code. L’indice le plus évident est la ou les langues utilisées ainsi que le niveau de maîtrise linguistique. Les informations de débogage peuvent également révéler un nom d’utilisateur ou encore les noms internes donnés aux projets ou campagnes. En outre, les documents de phishing peuvent regorger de métadonnées enregistrant des informations de lieux à l’insu de l’auteur et risquant de trahir l’ordinateur utilisé.

Or les auteurs des menaces peuvent aisément manipuler ces marqueurs linguistiques dans le but de leurrer les chercheurs. Par exemple, le malware Cloud Atlas renferme des chaînes en arabe dans la version BlackBerry, des caractères hindi dans la version Android ou les mots « JohnClerk » dans le chemin de projet pour la version iOS, alors que beaucoup soupçonnent le groupe responsable d’avoir en fait des liens avec l’Europe de l’Est. Le malware Wild Neutron contenait pour sa part des chaînes en roumain et en russe.

Infrastructure et connexions sous-jacentes
Localiser les serveurs de commande et de contrôle (C&C) utilisés par les acteurs malveillants revient à trouver l’adresse de leur domicile. La maintenance de ce matériel peut être coûteuse et difficile, c’est pourquoi même les auteurs d’attaques bien pourvus en ressources ont tendance à réutiliser la même infrastructure C&C ou de phishing. Les connexions sous-jacentes peuvent donner une idée de l’identité des assaillants si ceux-ci ne parviennent pas à anonymiser parfaitement leur accès Internet lorsqu’ils récupèrent des données exfiltrées, préparent un serveur d’attaque ou de phishing ou se connectent à un serveur piraté.

Parfois, cependant, cette dissimulation imparfaite est intentionnelle : Cloud Atlas a ainsi tenté d’embrouiller les chercheurs en utilisant des adresses IP en Corée du Sud.

Kits d’outils : malware, code, mots de passe, exploitation de vulnérabilités
Bien que certains auteurs de menaces recourent désormais à des outils disponibles dans le domaine public, bon nombre d’entre eux préfèrent encore créer leurs propres outils (backdoors, mouvement latéral, kits d’exploitation de vulnérabilités) et les gardent jalousement. L’aspect d’une famille spécifique de malware peut donc aider les chercheurs à remonter jusqu’au groupe responsable.

Les auteurs de la menace Turla ont décidé de mettre à profit cette hypothèse lorsqu’ils se sont fait « coincer » dans un système infecté. Au lieu de se borner à retirer leur code malveillant, ils ont également installé un malware chinois très rare, communiquant avec une infrastructure située à Pékin, totalement sans rapport avec Turla. Tandis que l’équipe de réponse aux incidents de l’entreprise ciblée était occupée à poursuivre ce leurre, Turla désinstallait en toute discrétion son propre malware et effaçait tutes ses traces des systèmes de la victime.

Victimes ciblées
Les cibles des attaques constituent un autre indice potentiellement révélateur mais l’établissement d’un lien précis nécessite des compétences d’interprétation et d’analyse. Dans le cas de Wild Neutron, par exemple, la liste des victimes était si hétéroclite qu’elle n’a fait que semer la confusion quant à l’origine de l’attaque.

En outre, certains auteurs de menaces abusent du désir du public d’établir un lien clair entre les assaillants et leurs cibles, en opérant sous couvert d’un groupe (souvent fictif) d’hacktivistes. C’est ce qu’a tenté de faire le groupe Lazarus en se présentant sous la dénomination « Guardians of Peace » lors de son attaque contre Sony Pictures Entertainment en 2014. Nombreux sont ceux qui pensent que les auteurs de la menace connue sous le nom de Sofacy ont mis en œuvre une tactique similaire en se faisant passer pour un certain nombre de groupes militants.

Enfin et surtout, les auteurs des attaques tentent parfois d’en faire porter la responsabilité à une autre menace. C’est la méthode adoptée par TigerMilk[i] dont les responsables, encore non identifiés à ce jour, ont signé leurs backdoors avec le même certificat volé déjà utilisé précédemment par Stuxnet.

« La détermination de l’identité des auteurs d’attaques ciblées est complexe, peu fiable et subjective, et ceux-ci s’efforcent de plus en plus de manipuler les indicateurs dont se servent les chercheurs afin de brouiller davantage encore les pistes. Nous pensons qu’une identification précise est souvent quasi impossible. En outre, la veille des menaces a une valeur profonde et mesurable qui va bien au-delà de la question de l’identité des auteurs. Il est nécessaire, au niveau mondial, de comprendre les principaux prédateurs dans l’écosystème des malwares et de fournir des informations solides et exploitables aux entreprises qui le souhaitent : ce doit être notre priorité », commente Brian Bartholomew, chercheur senior en sécurité chez Kaspersky Lab.

Argent, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, escroquerie, Leak, Particuliers, Piratage, santé

L’hygiène informatique dans les hôpitaux, un enjeu de sécurité publique

La numérisation de la société et des services publics n’épargne pas les hôpitaux et autres institutions de soins. Mais depuis plusieurs mois, ces établissements sont la cible de pirates dont les attaques représentent un vrai danger pour l’intégrité de notre système de santé.

Hygiène informatique dans les hôpitaux – C’est un chiffre qui a de quoi étonner : en 2015, en France, 1300 attaques informatiques ont été dirigées contre des établissements de santé, hôpitaux inclus. A l’échelle quotidienne, le chiffre est encore plus saisissant avec une moyenne de 3 à 4 actions malveillantes par jour à l’encontre des systèmes informatiques (SI) de ces établissements. Et encore, on ne parle ici que des actes de piratage officiellement déclarés aux ministères des Affaires sociales et de la Santé. La discrétion observée dans le milieu ne laisse entrevoir que la partie émergée de l’iceberg. Pour des raisons de sécurité mais aussi de réputation…

Aujourd’hui, le bon fonctionnement d’un hôpital dépend toujours de l’organisation et des compétences de son personnel. Mais plus seulement ! Il dépend aussi des outils numériques utilisés à tous les étages. Tous ces équipements connectés qui constituent l’hôpital moderne, désigné officiellement par les pouvoirs publics comme l’hôpital numérique.

A l’accueil par exemple, c’est l’ordinateur qui permet de créer un dossier patient sur le système central de l’établissement. C’est la borne interactive destinée à orienter les visiteurs. En salle d’opération, ce sont les écrans d’aide à l’intervention chirurgicale, les moniteurs de suivi du patient.

Dans le stock de médicaments, ce sont les robots préparateurs en pharmacie. Dans les chambres, c’est le système de divertissement et d’informations médicales consultable par le patient sur tablette tactile.

C’est aussi le réseau Wi-Fi local qui permet au personnel de consulter les dossiers médicaux à partir de n’importe quelle pièce, de n’importe quel support, vers n’importe quelle source, interne ou externe…

15 000 euros de rançon
Chacun de ces appareils connectés à l’avantage de faire gagner du temps, de la précision, et de l’argent. Mais ils ont le principal défaut d’être le plus souvent reliés à un seul et même réseau. Pour des raisons de coût et de négligence…

Un caillou jeté dans cette vitrine technologique, et c’est le fonctionnement de tout l’établissement qui s’en trouve perturber. Le centre médical presbytérien d’Hollywood, aux États-Unis, en a fait l’amère expérience en février 2016.

Un ransomware, baptisé Locky, a été injecté dans le réseau de l’établissement, verrouillant l’accès aux serveurs et ordinateurs utilisés par le personnel. Moyennant une somme négociée à 15 000 euros avec les pirates à l’origine de cette paralysie, le centre a pu retrouver l’accès à son réseau.

En France, quelques semaines plus tard, c’est le centre hospitalier d’Épinal qui était la cible d’une attaque. Croyant recevoir un mail de son avocat, un médecin a cliqué sur la pièce jointe au message. Le geste a contaminé l’ensemble du réseau de l’hôpital. La direction de l’établissement est restée très évasive sur ce piratage, sans confirmer l’attaque du ransomware avancée par le site spécialisé Zataz.

Comme son nom l’indique, le ransomware, ou rançongiciel en français, a vocation à permettre de soutirer une rançon avant de redonner accès aux outils numériques d’un établissement. Où il est ici « seulement » question d’argent.

Mais l’attaque d’un hôpital peut provoquer plus de dégâts, encore hypothétiques aujourd’hui. Tout d’abord sur le matériel, comme l’a expérimenté le spécialiste en cybersécurité, Sergey Lozhkin.

Hygiène informatique dans les hôpitaux

Le vrai-faux pirate a réussi à prendre le contrôle du scanner médical d’un hôpital via le réseau interne wi-fi de l’établissement. Rien de malveillant dans l’intention. Juste la démonstration qu’aux commandes de la machine, il pouvait en dérégler les paramètres, jusqu’à provoquer une panne sur un outil précieux, tant du point de vue médical que financier.

Ce qui peut être fait sur un scanner, peut l’être tout autant sur une climatisation ou, pire, sur un appareil d’assistance branché sur un malade. Et dans ce cas, le changement des paramètres peut alors avoir des conséquences bien plus fatales…

Face à ces attaques, les hôpitaux et autres établissement de santé se donnent-ils pour autant la force d’agir et de réagir ? Oui, pour une grande majorité si l’on se réfère à l’Atlas 2016 des systèmes d’information hospitaliers (SIH). Selon ce rapport annuel délivré par la Direction Générale de l’Offre de Soins (DGOS), 88% des établissements de santé disent avoir engagé une politique de sécurité du système informatique, contre 74% l’année précédente. L’objectif imposé par l’Etat dans son programme Hôpital numérique est de 100% d’ici à 2018.

La sensibilisation du personnel à l’ Hygiène informatique

Mais reste à savoir quels moyens cela implique. Un chiffre relativise cette notion de politique de sécurité : seuls 8% des établissements ont un référent à temps complet. L’implication est plus importante pour les CHU et CHR, avec un Monsieur -ou une Madame- Sécurité SI à temps complet dans 42% des cas. Les autres mutualisent ou externalisent.

Quelle que soit la formule choisie, la politique de sécurité informatique d’un hôpital passe par la sensibilisation de son personnel. Car le point d’entrée le plus vulnérable d’un réseau, c’est bien l’humain. Sa méconnaissance des dangers, comme l’ouverture d’une pièce jointe dans un mail, peut conduire à la catastrophe. Ou l’affichage d’un mot de passe sur un bout de papier collé sur un bureau pour l’ensemble d’un service…

L’hygiène informatique en milieu hospitalier passe aussi par une évaluation de la solidité du réseau et des matériels connectés, des ordinateurs jusqu’à l’IRM. Par une protection anti-virus et l’utilisation de mots de passe complexes, pour accéder au réseau, puis à chacun des appareils connectés. Par une utilisation des derniers logiciels, et un suivi régulier de leurs mises à jour.

Tout comme les infections nosocomiales, les virus informatiques représentent une réelle menace pour les hôpitaux et autres établissements de santé. Ils n’ont donc d’autres choix, aujourd’hui et demain plus encore, que d’appliquer une politique d’hygiène informatique stricte. Il y va de la confidentialité de nos dossiers médicaux, mais aussi et surtout de l’intégrité du système de santé et de son bon fonctionnement au service du public. (Tanguy de Coatpont, directeur général de Kaspersky Lab France)

Chiffrement, Contrefaçon, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fraude au président, Fuite de données, Leak, Mise à jour, Piratage, Sécurité, Smartphone, Social engineering

Cybermenaces : les employés, de vilains petits e-canards ?

Un employé télécharge un logiciel malveillant toutes les 4 secondes et 1 employé sur 5 est à l’origine d’une faille de sécurité. Le volume des attaques de phishing continue d’augmenter et touche 80% des entreprises interrogées, les pirates préférant des méthodes reposant sur la messagerie et l’ingénierie sociale pour mener leurs attaques.

Check Point Software Technologies Ltd. vient de publier les résultats de son Security Report annuel et de l’enquête SANS : Exploits at the Endpoint: SANS 2016 Threat Landscape Study. Ces deux études mettent en exergue les challenges majeurs auxquels sont confrontées les entreprises, et délivrent des recommandations aux responsables informatiques, à mesure que les entreprises continuent de se doter de protections contre les cybermenaces évolutives.

Pour la quatrième édition de leur Security Report, les chercheurs de Check Point ont analysé l’activité de plus de 31 000 gateways Check Point dans le monde entier, révélant ainsi des détails sur les logiciels malveillants connus et inconnus que rencontrent les entreprises, les tendances d’attaque, et l’impact des appareils mobiles dans l’entreprise. Les chercheurs ont également pu mesurer l’impact des failles de sécurité sur les entreprises, et les dépenses supplémentaires engendrées, au-delà des coûts de désinfection.

Dans l’enquête Exploits at the Endpoint: SANS 2016 Threat Landscape Study, réalisée en partenariat avec le SANS Institute, un organisme de recherche et de formation sur la sécurité, les chercheurs ont interrogé plus de 300 professionnels de l’informatique et de la sécurité à travers le monde pour déterminer les menaces et les Cybermenaces que les entreprises doivent affronter, quand et comment ces menaces deviennent des incidents, les types de menaces qui ont le plus d’impact, et les défis que les entreprises rencontrent pour se protéger.

« Avec des milliards de nouvelles connexions chaque minute, le monde est plus interconnecté que jamais auparavant. Les innovations telles que le Cloud, la mobilité et l’Internet des objets, sont en train de transformer la manière dont nous déployons, consommons et protégeons la technologie, » déclare Amnon Bar-Lev, président de Check Point. « De plus en plus de logiciels malveillants sont introduits dans notre écosystème. Les techniques traditionnelles de sécurité sont incapables de les stopper. Pour s’en prémunir, il faut conserver de l’avance sur les choses que nous ne pouvons pas voir, connaître ou contrôler, et empêcher les attaques avant qu’elles ne se produisent. »

Ces deux études présentent une vision globale du paysage des menaces, des réseaux jusqu’aux postes de travail, et offrent leurs conclusions :

Cybermenaces : Les logiciels malveillants inconnus poursuivent leur croissance exponentielle et évolutive.

Les chercheurs ont constaté une multiplication par 9 de la quantité de logiciels malveillants inconnus qui empoisonnent les entreprises, notamment en raison des employés qui téléchargent un nouveau logiciel malveillant inconnu toutes les quatre secondes. Au total, près de 12 millions de nouvelles variantes de logiciels malveillants sont découvertes chaque mois. Plus de nouveaux logiciels malveillants ont été découverts au cours des deux dernières années que durant la décennie précédente.

Cybermenaces : La sécurité a pris du retard sur la mobilité.

Les smartphones et les tablettes représentent aujourd’hui 60 pour cent du temps de consultation des médias numériques. Les appareils mobiles en entreprise sont à la fois une malédiction en termes de sécurité et une bénédiction en termes de productivité. Bien que les employés ne souhaitent pas être la cause d’une faille de sécurité, 1 employé sur 5 sera toutefois à l’origine d’une faille en raison de logiciels malveillants mobiles ou de connexions Wi-Fi malveillantes.

Cybermenaces : Les postes de travail sont le point de départ de la plupart des menaces.

Parmi les entreprises interrogées, les postes sont à l’origine de la plupart des failles de sécurité et sont l’élément le plus critique de la cybersécurité. Les agresseurs préfèrent attaquer via la messagerie dans 75% des cas, et 39% des attaques menées contre les postes parviennent à contourner les gateways de sécurité réseau. Les recherches précisent que 85% des menaces sont découvertes une fois qu’elles ont réussi à se glisser dans l’entreprise.

Les deux rapports concluent que les entreprises devraient se doter de la meilleure architecture de sécurité prévoyante possible afin de pouvoir faire face aux complexités actuelles et futures en matière de sécurité informatique. Cette architecture devrait intégrer des composants critiques pour l’entreprise moderne : prévention avancée des menaces, protection des appareils mobiles, et segmentation du réseau pour une supervision approfondie.

Pour consulter le Rapport Sécurité 2016 de Check Point, rendez-vous sur checkpoint.com/securityreport.

Argent, Arnaque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Emploi, Entreprise, escroquerie, Fraude au président, Fuite de données, Leak, Particuliers, Piratage, Social engineering

Cybersécurité/Cyberattaque : les mauvaises habitudes persistent

Cyberattaque : Bien que la prise de conscience s’améliore pour 82 % des entreprises, elles peinent toujours à mettre en place les bonnes pratiques dans les domaines critiques.

Alors que 82 % des organisations constatent une progression de l’industrie de la sécurité informatique dans la lutte contre les cybermenaces, cette prise de conscience est entamée par des pratiques sécuritaires volontairement nuisibles dans des domaines sensibles comme la sécurité des comptes à privilèges, l’accès à distance de fournisseurs tiers et le cloud, selon les résultats d’une étude internationale commissionnée et publiée par CyberArk.

La 10e enquête annuelle internationale « Threat Landscape Report » sur le paysage des menaces avancées 2016 de CyberArk, porte sur « la cybersécurité : hier, aujourd’hui et demain ». Ce rapport examine si les entreprises internationales ont appris et appliqué les leçons sur les cyberattaques, et comment leurs priorités en termes de sécurité et de prises de décisions sont influencées.

Malgré les campagnes de sensibilisation, les mauvaises pratiques de sécurité sont toujours présentes
L’importante médiatisation des cyberattaques a renforcé la prise de conscience actuelle sur la nécessité d’une cybersécurité renforcée. Toutefois, puisque les bonnes pratiques en termes de protection ne sont pas pour autant renforcées, les progrès des entreprises dans ce domaine sont directement impactés.

.         79 % des entreprises interrogées indiquent avoir tiré des leçons des principales cyberattaques et avoir mis en place les actions nécessaires pour améliorer leur sécurité contre 76 % en France.

o   67 % pensent qu’à l’heure actuelle leurs PDG ou membres du conseil d’administration assurent une direction claire en matière de cybersécurité, contre 57 % en 2015.

o   Cette prise de conscience a engendré plusieurs actions majeures : le déploiement de solutions de détection de malwares (25 % au niveau global, 32 % en France), de sécurité des points d’accès (24 % au niveau global, 30 % en France) et d’analyses de sécurité (16 % au niveau global contre 17 % en France).

·          55 % des répondants indiquent que leur organisation a changé et adopté des processus avancés pour la gestion des comptes à privilèges. Cette proportion s’élève à 61 % pour la France.

o   Malgré cela, 40 % des organisations stockent toujours les mots de passe admin et de comptes à privilèges dans un document Word ou Excel, et 28 % utilisent un serveur partagé ou une clé USB.

·         49 %, soit près de la moitié des organisations, autorisent des fournisseurs extérieurs (comme les entreprises de gestion logistique et informatique) à accéder à distance à leurs réseaux internes.

o   Bien que la majorité des sondés sécurisent et surveillent cet accès, les entreprises du secteur public sont celles ayant le moins de contrôle en place pour l’accès des fournisseurs extérieurs ; 21 % d’entre-elles n’ont aucune sécurité et 33 % ne surveillent pas cette activité.

Un cyber-état d’esprit : trouver l’équilibre entre peur et excès de confiance
Les organisations adoptent de plus en plus un état d’esprit post-intrusion, c’est-à-dire qu’elles se préparent à gérer une cyberattaque et à adapter leur activité en cas d’intrusion. Cette anticipation conduit à des mesures positives pour la planification post intrusion, mais on peut se demander si cet excès de confiance n’affecte pas leur capacité à se protéger contre les cyberattaques :

·         En 2016, 75 % soit trois personnes sur quatre ayant un pouvoir décisionnel dans les services informatiques pensent pouvoir empêcher des pirates informatiques de s’introduire dans leur réseau interne, contre 44 % en 2015.

o   Cela dit, 36 % pensent qu’un pirate informatique a actuellement accès à leur réseau ou y a accédé au cours des 12 derniers mois.

o   46 % pensent que leur organisation a été victime d’une attaque par ransomware au cours des deux dernières années.

·         82 % des sondés pensent à présent que l’industrie de la sécurité informatique fait en général des progrès contre les cyberattaques.

o   17 % pensent que le secteur est en déclin.

·         Presque toutes les organisations (95 %) ont un plan de réponse cyber-sécuritaire d’urgence.

o   Cette préparation appropriée est affectée par un manque de communication et de tests ; seules 45 % des entreprises communiquent et testent régulièrement leur plan avec l’ensemble du personnel de leurs services informatique.

·         68 % des organisations indiquent que perdre leurs données clients est l’une de leurs préoccupations principales en cas de cyberattaques.

o   60 % des utilisateurs du cloud y stockent leurs données clients.

o   57 % des organisations qui stockent des informations sur le cloud ne font pas entièrement confiance à leur fournisseur cloud et à sa capacité à protéger leurs données.

·         Concernant l’identification des étapes les plus difficiles à gérer lors d’une cyberattaque, les installations intempestives de malware sont classées en premier (41 %), suivies par une appropriation des comptes à privilèges (25 %).

A observer : émergence de futurs risques
Alors que les cyberattaques continuent d’être commises contre des institutions de confiance comme les gouvernements, les systèmes financiers et les services publics, les sondés ont identifiés quels types de cyberattaques ou de cyber tactiques les inquiètent le plus. Les répondants ont également partagé les scénarios qui selon eux représentaient la menace potentiellement la plus catastrophique.

·         Les sondés listent les types de cyberattaques suivantes comme étant leur première préoccupation pour les 12 mois à venir : attaques par déni-de-service distribué (DDoS) (19 %), l’hameçonnage (14 %), les ransomwares (13 %), l’exploitation des comptes à privilèges (12 %) et les intrusions de périmètre (12 %).

·         Les attaques contre les systèmes financiers, y compris la perturbation de marchés internationaux est la menace qui est perçue par 58 % des personnes interrogées comme étant potentiellement la plus catastrophique, suivie par les attaques endommageant massivement les ressources primaires (55 %) et celles ayant un impact sur les services publics comme les services de santé et les hôpitaux (51 %). En France, 48 % partagent le sentiment relatif aux systèmes financiers, mais 73 % estiment qu’une cyberattaque de grande ampleur contre des infrastructures critiques pouvant conduire à des pannes de courant ou des problèmes pouvant toucher la qualité de l’eau par exemple seraient catastrophiques.

Cyberattaque : L’impact d’une intrusion dans les données clients et la responsabilité des entreprises
L’enquête a montré une image globale variée en termes de préparation pour une surveillance réglementaire accrue et en termes d’impact sur des programmes de cybersécurité et de responsabilité :

·         Cyberattaque : Même si 70 % des sondés indiquent que la menace d’actions en justice et d’amendes influence le niveau d’implication des cadres ou des conseils d’administration, 22 % ne prend pas en compte les frais d’amendes ou de justice (19 %) dans le coût potentiel d’une intrusion.

·       Cyberattaque : Ce qui inquiète le plus les sondés internationaux sur les conséquences d’une cyberattaque est la perte de données client (68 %), d’informations financières (52 %), de la confiance des clients (35 %), de leur réputation (33 %) et de leur capacité à opérer (32 %).

·        Cyberattaque : Presque sept sondés sur dix (69 %) ont déclaré que leur priorité en cas de cyberattaque serait de stopper l’intrusion, d’expulser les intrus, puis de détecter la source de l’intrusion (53 %).

o   Peu de répondants ont mis le fait de notifier leur conseil d’administration ou leur PDG (26 %), l’ensemble du personnel (25 %) et les clients (18 %) comme une priorité.

Argent, Arnaque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Leak, Mise à jour, Particuliers, Patch, Piratage, ransomware, Sauvegarde

Locky and co ! Le ransomware est maintenant la première menace en Europe

Locky a encore de l’avenir ! L’agence européenne de police, Interpol, estime dans le rapport annuel sur la cybercriminalité qu’elle vient de rendre public, que « le ransomware est maintenant la première menace en Europe » tout en ajoutant que cela allait empirer dans les mois et années à venir.

Locky et ses amis n’ont pas fini de perturber les boites mails ! Vade Secure, l’éditeur français spécialisé dans les solutions de protection des boites de messagerie (300 millions de boîtes protégées à travers le monde) alerte depuis longtemps sur la montée en puissance des ransomware.

Florian Coulmier, Responsable Production et Cybercriminalité de Vade Secure commente : « Nous, comme de nombreux experts, avions prédit que l’année 2016 serait l’année du ransomware. Et effectivement, les vagues de ransomware sont progressivement montées en puissance et ont très largement ciblé les entreprises, notamment en France, le désormais célèbre Locky en tête. Preuve de cette tendance, le nombre de variantes de ransomware a fortement augmenté, et l’on en décompte pas moins de 120 aujourd’hui. Le niveau de technicité de ces attaques augmente également et les hackers les font évoluer très rapidement dans le temps pour trouver de nouvelles parades aux outils de détection : Satana était une évolution de Locky qui était lui-même une évolution de Petya, lui-même une évolution de Dridex, etc. »

En France, Locky reste de loin le ransomware le plus présent. Vade Secure a identifié des vagues de Locky particulièrement extraordinaires à différentes périodes cette année, avec des pics à plus de 1,2 millions de Locky bloqués en 24h, en mars. Alors qu’en période « normale », la solution de filtrage des emails dans le Cloud de Vade Secure (Vade Secure Cloud) détecte en moyenne 25 000 malwares par jour. Et les vagues de Locky continuent d’ère massivement diffusées (notamment via le botnet Necurs), avec des pics fin août/début septembre. Le business Locky reste donc très lucratif pour les cybercriminels, notamment auprès des TPE/PME clairement les cibles principales du ransomware du fait de leur niveau de sécurisation moindre face à ce type d’attaques.

Ces derniers mois, une tendance est apparue, celle des ransomware tentant de se faire passer pour Locky pour faire peur aux cibles visées et leur faire croire qu’elles sont obligées de payer, sans autre solution. En réalité, ces souches de ransomware (Bart ou PowerWare par exemple) sont beaucoup moins dangereuses car le cryptage peut être cassé, même avec des outils gratuits. Il faut désormais savoir distinguer le vrai Locky, de ces imitations ».

« Nous avons également identifié des nouvelles tendances cette année et qui sont clairement vouées à se développer,  indique Régis Benard. C’est le cas du ransomware-as-a-service (RaaS) avec des premiers cas tels que Cerber. Pour maximiser leurs impacts et leurs revenus, les cybercriminels proposent, en communiquant très simplement sur Internet, à des volontaires de diffuser leurs ransomware dans leur propre pays. »

Cela traduit réellement une professionnalisation du marketing du ransomware et nous voyons même apparaître aujourd’hui de véritables services après–vente qui proposent d’accueillir les victimes pour les aider à payer la rançon… Nous sommes clairement aujourd’hui de plus en plus loin des attaques de malware artisanales.

Et pour compléter le tableau, nous pouvons ajouter l’apparition cette année de la nouvelle menace du ransomware-as-a-Freeware (RaaF) pour lequel un développement rapide est à prévoir. Les RaaF tels que Shark, sont distribués en freeware avec une exigence : la remise d’une partie des gains mal acquis à ses créateurs. La valeur ajoutée du RaaS et du RaaF et leur dangerosité, c’est que ces types de ransomware nécessitent un minimum d’efforts pour un maximum de résultats .

Enfin, les chiffres montrent que depuis la rentrée les attaques de ransomware sont régulières, massives, et que le ransomware représente en effet la quasi-totalité des attaques. Nous allons continuer à entendre parler majoritairement de Locky (car les fichiers sont renommés en .locky) mais de plus en plus de Zepto et de Odin, les petits derniers probablement issus de la même souche virale.

backdoor, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Piratage

Backdoor : fichiers Publisher peuvent entrainer des vols de données

Une vague de spams ciblés infecte actuellement les ordinateurs Windows via une backdoor, permettant aux cybercriminels de dérober des informations sensibles d’entreprises.

Backdoor dans vos mails ? Les chercheurs antispam des Bitdefender Labs ont identifié quelques milliers d’e-mails contenant des pièces jointes ayant .pub, comme extension, et se faisant passer pour des commandes ou factures de produits. Les expéditeurs de ces courriers électroniques usurpent l’identité d’employés travaillant le plus souvent dans des petites et moyennes entreprises  au  Royaume-Uni ou en Chine, mais pas seulement, d’autres entreprises plus importantes sont également ciblées.

Les destinataires sont invités à ouvrir les fichiers joints avec Microsoft Publisher, un logiciel de Publication Assistée par Ordinateur (PAO), intégré à Microsoft Office 365. Publisher est communément utilisé pour éditer et mettre en page des textes, ou encore créer des flyers, newsletters, des e-mailings, etc.

« .pub n’est pas une extension de fichier souvent utilisée pour diffuser des logiciels malveillants », déclare Adrian Miron, Chef de la division Antispam des Bitdefender Labs. « Les spammeurs ont choisi ce type de fichiers, car, en général, les gens ne se doutent pas qu’il puisse être un vecteur d’infection ».

Backdoor : porte cachée 2.0

L’extension .pub infectée contient un script (VBScript) qui intègre une URL agissant comme un hôte distant. De là, le malware télécharge un dossier auto-extractible contenant un script AutoIt, outil qui sert à exécuter le script et un fichier chiffré en AES-256. Les chercheurs ont remarqué que ce fichier chiffré peut être déchiffré en utilisant une clé dérivée de l’algorithme MD5 (Message Digest 5), d’un texte écrit à l’intérieur du fichier AutoIt.

Une fois que le fichier est déchiffré et installé, les attaquants ont alors accès au système via une backdoor et peuvent contrôler les ressources sur l’ordinateur compromis. Le malware peut mémoriser des séquences de touches pour enregistrer les mots de passe et noms d’utilisateurs, dérober des informations de connexion à partir des navigateurs Web ou des e-mails, afficher les données du système et  réaliser d’autres actions intrusives.  « Nous avons des raisons de croire que ce type d’attaque provient de l’Arabie Saoudite et de la République tchèque », ajoute Adrian Miron.

Le code malveillant est détecté sous le nom de W97M.Downloader.EGF, ainsi que la charge utile de la backdoor comme Generic.Malware.SFLl.545292C0. [MD5 : 8bcaf480f97eb43d3bed8fcc7bc129a4]. Pour rester protégé contre ce type de menaces, il est conseillé aux entreprises d’installer un filtre antispam fiable. Les utilisateurs doivent éviter d’ouvrir et de télécharger des pièces jointes suspectes provenant de sources inconnues.

Argent, Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Leak, Paiement en ligne, Particuliers, Piratage

Infiltration de centaines de boutiques de prêt à porter

La chaîne de magasins de vêtements Eddie Bauer vient de confirmer l’infiltration de plus de 350 de ses magasins d’Amérique du Nord.

Les amateurs de vêtements connaissent la marque Eddie Bauer. Une enseigne bien implanter aux États-Unis. La société vient de confirmer que plus de 350 de ses points de vente avaient été infiltrés par un pirate informatique. Un code malveillant a été détecté et supprimé des systèmes de paiement des boutiques d’Amérique du Nord. Les pirates ont pu mettre la main, depuis le début d’année 2016, sur les données bancaires fournies par les clients.

KrebsOnSecurity avait alerté sur cette fuite au mois de juillet 2016. Eddie Bauer a mis 6 semaines pour confirmer et rassurer (ou pas) ses clients. Cette découverte se fait l’écho de l’infiltration d’un des espaces de la firme Oracle concernant les clients de son outil de paiement pour magasin (point-of-sale), MICROS.

https://krebsonsecurity.com/2016/08/malware-infected-all-eddie-bauer-stores-in-u-s-canada/

Android, Arnaque, backdoor, Cyber-attaque, Cybersécurité, escroquerie, IOT, Leak, Logiciels, Particuliers, Piratage, Smartphone, Téléphonie

Android domine le secteur et concentre les menaces informatiques

Menaces informatiques – Dans son rapport semestriel, G DATA fait un bilan des dangers ciblant les systèmes mobiles. Android, présent dans 68 % des appareils mobiles dans le monde, est en première ligne. Au-delà des malwares, les utilisateurs sont également ciblés par des campagnes de publicité dangereuses.

Vous vous demandiez ce qu’étaient des menaces informatiques dans le monde du mobile ? Les experts sécurité de G DATA ont identifié 1 723 265 nouveaux échantillons de codes malveillants ciblant Android durant le premier semestre 2016. Ceci représente une augmentation de 29 % comparé au semestre précédent (1 332 839). En moyenne, 9 468 nouveaux dangers sur le système Android apparaissent chaque jour.

Menaces informatiques  – Le malvertising en croissance sur mobile

Si l’attaque « FakeAV », qui consiste à faire installer de faux antivirus payants, n’est plus très courante sous Windows, elle le devient sous Android. En pratique, lors de la navigation Internet avec une tablette ou un smartphone, des fenêtres pop-up alarment l’utilisateur de la supposée présence de virus sur l’appareil et les conduisent vers le téléchargement d’application de nettoyage, d’optimisation ou de faux antivirus. Techniquement, ces systèmes de pop-up détectent le système utilisé pour la navigation et affichent la fenêtre adéquate. Ainsi, sur un même site, un internaute sous Windows voit une page différente de l’internaute sous Android. Différents scénarios sont alors possibles. Sous Windows, les publicités légitimes côtoient les tentatives d’arnaque à l’appel téléphonique surtaxé. Sous Android, la majorité des campagnes pointent vers le téléchargement d’applications sur le Play Store.

Pay Per Install à la sauce FUD

Le Pay Per Install est un instrument marketing qui permet aux fournisseurs d’application de distribuer plus rapidement leur logiciel à l’aide de publicité. Plus l’application est téléchargée, plus elle devient visible dans le store, attirant ainsi encore plus d’utilisateurs. Différents prestataires se sont spécialisés dans ces méthodes marketing, mais tous n’utilisent pas des méthodes légitimes. Les campagnes de malvertising qui ciblent les appareils Android en sont un exemple frappant. La technique du FUD (Fear, uncertainty and doubt) y est largement pratiquée : en utilisant des pop-up mensongers sur l’état de protection de l’appareil, ces prestataires peu scrupuleux attirent les utilisateurs inquiets vers des applications à l’utilité discutable, voire vers de véritables arnaques. Le rapport complet.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Firefox, Leak, Logiciels, Microsoft, Mise à jour, Paiement en ligne, Patch, Piratage

Abuser le HTTPS des sites Internet

Un commentaire
Deux chercheurs en sécurité informatique découvrent une méthode pour abuser les sites Internet en mode sécurisé (https).

Deux informaticiens Belges viennent d’alerter Google, Microsoft et les participants de la Black Hat conférence d’un problème découvert permettant de piéger les sites Internet et leur mode sécurisé, le HTTPS. Pour Tom Van Goethem et Mathy Vanhoef, deux étudiants de l’université de Leuven, la technique exploitée est baptisée HTTP Encrypted Information can be Stolen Through TCP-Windows (HEIST).

L’idée malveillante est d’intercepter les données transmisses, passant par les protocoles de sécurité tels que SSL ou TLS. Bilan, le HTTPS (connexion sécurisé) ne sert plus à rien si l’interception du trafic est orchestré, dans la foulée, par un fichier JavaScript caché sur une page web dédiée, ou exploitée à cet effet. Une publicité diffusée par une régie extérieure, qui elle n’est pas sécurisée, peut permettre cette infiltration.

La présentation des deux doctorants en informatique est disponible ICI. Pour vous protéger de ce genre d’indiscrétion, désactivez les ‘third-party cookies’ dans les paramètres de votre navigateur. Je vais être clair, pas pratique, cela va perturber le bon fonctionnement des sites en HTTPS. Mais en attendant une correction des géants de l’Internet, pas d’autres solutions.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Piratage, Social engineering

Shadow IT : de l’ombre à la lumière

Shadow IT – Facebook, Skype et Twitter, sites web les plus vulnérables aux malwares mais aussi les plus fréquentés par les collaborateurs en entreprise.

L’expression « informatique fantôme » ou Shadow IT fait généralement référence aux applications qui sont déployées au sein d’une infrastructure informatique sans avoir suivi les processus élaborés pour vérifier qu’elles sont fonctionnelles, sécurisées et capables de prendre en charge plusieurs utilisateurs. Généralement, ces applications sont installées par les utilisateurs finaux souhaitant bénéficier de fonctionnalités informatiques qu’ils ne trouvent pas dans les ressources officielles, ou pour des motifs personnels. Compte tenu de la popularité de cette approche également connue sous le nom de « BYOD » (Bring Your Own Device), chaque utilisation à l’intérieur de ce spectre pourrait être considérée comme légitime.

En ce qui concerne les appareils personnels, le propriétaire doit disposer des droits d’utilisation à des fins personnelles. Dans le cas des outils fournis par l’entreprise, les départements informatiques se trouvent face à un dilemme : mettre en œuvre des règles stipulant qu’aucune application non autorisée ne peut être chargée sur un appareil — et dans ce cas, il leur revient de s’assurer que les dernières fonctionnalités des applications sont toutes testées et déployées de façon appropriée et au moment opportun. Ils doivent aussi permettre aux utilisateurs d’innover de leur propre chef en gardant une trace de ce qui se produit. Compte tenu du rythme de l’innovation, même les services informatiques des grands comptes ont parfois un train de retard sur les dernières tendances technologiques.

Les entreprises les plus exigeantes en matière de sécurité opteront a priori pour une approche plus étroitement contrôlée où l’utilisateur est « coupable jusqu’à preuve du contraire », ce qui se traduit par l’application de mesures sécuritaires et freine l’innovation. En revanche, les entreprises plus tolérantes surveilleront l’utilisation de technologies émergentes qui prennent la forme d’applications fantômes et observeront l’approche inverse qui prône la « présomption d’innocence ». Bref, si cette deuxième démarche implique davantage de risques, elle encourage l’innovation.

Shadow IT – Le vrai chemin de la moindre résistance

Certains fournisseurs de services de sécurité font office d’intermédiaires entre l’Internet ouvert et leurs clients, filtrant au passage le maximum de trafic malveillant. Il revient à chaque entreprise de définir ses propres règles quant aux systèmes et applications informatiques fantômes, mais les fournisseurs de solutions de sécurité peuvent s’impliquer dans cette démarche en identifiant et en signalant toute utilisation d’applications dont le service informatique ne soupçonne peut-être pas l’existence, ni même le lien avec des éléments malveillants.

Quelle que soit l’entreprise, une application populaire présente intrinsèquement davantage de risques qu’une appli plus obscure. En effet, si deux applications (l’une populaire et l’autre moins) présentent le même niveau de sécurité, le nombre d’utilisateurs touchés par les mêmes failles sera logiquement plus nombreux dans le cas de l’application la plus téléchargée, la rendant plus dangereuse.

À mesure qu’une application gagne en popularité, il importe que les développeurs s’intéressent de plus près à la sécurité. C’est pourquoi il convient d’utiliser un indicateur basé sur le nombre d’utilisateurs potentiellement affectés par une application, et non sur le rapport entre trafic réseau « sécurisé » et « non sécurisé » associé à l’application.

Facebook, Skype et Twitter pointent en tête des sites qui abritent le plus grand nombre de logiciels malveillants (malware). Dans la majorité des cas, les utilisateurs cliquent ou téléchargent des applications malveillantes « à l’insu de leur plein gré », sans se rendre compte qu’ils se mettent en danger, ainsi que leur entreprise. Il est intéressant de souligner qu’Amazon n’est pas considéré comme faisant partie des sites véhiculant un grand nombre de malwares, bien que totalisant le maximum de liens suspects. Les principaux services de connexion à des webinaires disposent également d’un nombre exceptionnellement élevé de liens et de pièces jointes suspects que les utilisateurs sont invités à télécharger.

Shadow IT  – Rôle des DSI et des RSSI

Les directeurs des systèmes d’information (DSI) et les responsables de la sécurité des systèmes d’information (RSSI) entendent bien sûr garder la maîtrise de la situation en fournissant des applications validées par l’entreprise. Or, les applications concurrentes sont tout simplement trop nombreuses pour dissuader les employés de faire leur propre marché. Selon notre étude, ils chercheront toujours à savoir s’il existe à l’extérieur de l’écosystème officiel de l’entreprise un moyen d’être plus efficace en utilisant des applications qu’ils connaissent et apprécient, comme Dropbox ou Evernote. Bloquer ces applications ne permettra pas de résoudre le problème.

Le Cloud a transformé de fond en comble la façon dont les employés travaillent. Cette tendance est irrésistible, et la « consumérisation » de l’informatique continue de pousser les applications de cloud personnelles à l’intérieur de l’entreprise. Des applis peu onéreuses, voire gratuites, sont plus que jamais accessibles, et quelques minutes suffisent à un employé pour les télécharger et les utiliser sur son lieu de travail. Il est possible d’installer des applications qui ingèrent des données d’entreprise et s’intègrent aux applications professionnelles existantes sans passer par le département informatique, ce qui expose les entreprises aux risques associés aux cyber-attaques et aux logiciels malveillants de manière totalement imprévisible, sans même qu’il soit possible de surveiller et d’encadrer leur utilisation entre les murs de l’entreprise.

L’augmentation des attaques Shadow IT ciblant certaines entreprises a transformé l’environnement professionnel en un nouveau paysage parsemé de multiples menaces. Faute d’une gestion appropriée, des brèches s’ouvrent, par lesquelles de précieuses données commerciales peuvent facilement s’échapper.

Mais les DSI et les RSSI ne doivent pas pour autant interdire les applications cloud dans leur globalité : ils peuvent trouver des moyens empêchant la création de ces failles. Pour rester à la page, les services informatiques doivent passer du dilemme « bloquer ou autoriser » à une approche de type « gérer et surveiller ». Les entreprises peuvent trop facilement se sentir dépassées par l’afflux de nouvelles technologies sur le marché ou l’arrivée de nouvelles applications grand public sur le lieu de travail. Il ne faut toutefois pas oublier que cette tendance souligne le fait que les employés cherchent à travailler plus efficacement, à tous moments et en tous lieux.

Les entreprises doivent tirer profit du cloud pour ne pas être distancées par un marché en rapide mutation, ni bien sûr voir leur sécurité menacée. Nous ne pouvons continuer d’utiliser des appareils et des solutions qui n’ont pas été capables de se conformer aux exigences du cloud. Les données en réseau aideront les entreprises à comprendre le comportement de leurs employés et, ce faisant, les DSI et les RSSI peuvent prendre en charge les applications de cloud qu’ils choisissent sans pour autant exposer l’entreprise à des risques inutiles. Le défi pour les entreprises est simple : suivre le tempo sans compromettre leur sécurité. (Par Didier Guyomarc’h, Directeur EMEA Sud, Zscaler)

Android, Argent, Banque, Cyber-attaque, Cybersécurité, ID, Identité numérique, Leak, Particuliers, Piratage, Smartphone, Vie privée

Code malveillant bancaire pour Android

Code malveillant bancaire pour Android – L’équipe de recherche en sécurité de Zscaler a découvert une application malveillante Android se faisant passer pour l’app officielle de Sberbank, la plus grande banque d’Europe de l’Est.

code malveillant bancaire pour Android – De nombreuses tentatives de cyberattaques à son encontre ont déjà eu lieu par le passé et les pirates ont également essayé de s’attaquer à ses clients depuis leurs mobiles. Cette dernière tentative constitue, cependant, une percée majeure dans les efforts des pirates visant à nuire à cette organisation.

Le malware se fait passer pour l’application en ligne de la plus grande banque de Russie, Sberbank. Son apparence est identique à celle de l’application d’origine. Elle affiche un écran de connexion similaire et se sert de celui-ci pour dérober les informations d’identification de l’utilisateur dès que la victime tente de s’authentifier.

Une fois les informations d’identification acquises, l’app affiche une page d’erreur technique et se ferme. Le malware demande alors des privilèges d’administrateur qui, s’ils sont accordés, entraînent des effets dévastateurs sur le terminal infecté. Il peut intercepter les SMS et les appels entrants, ce qui permet au pirate de contourner l’identification OTP (mot de passe à usage unique) mise en œuvre par la banque. Par ailleurs, les faux écrans utilisés peuvent se superposés à ceux d’autres applications connues.

Explication technique de ce code malveillant bancaire pour Android

L’app apparaît comme étant celle de la banque Sberbank et demande des privilèges administrateurs une fois installée, comme indiqué ci-dessous : l’équipe Zscaler a tenté d’installer l’application originale Sberbank à partir du Play Store Google, et il est difficile de différencier l’app malveillante de l’originale. A noter : l’app Sberbank se trouvant sur le Play Store n’est pas infectée. Ce qui fait la particularité de ce malware est sa capacité à se substituer entièrement à l’app originale. Quand bien même la victime tenterait de la lancer, se serait l’écran d’identification du malware serait qui s’afficherait. Une fois les informations d’authentification entrées, elles sont envoyées à un serveur C&C. L’app affiche alors un écran d’erreur et se ferme.

Le malware ne s’arrête pas là, il peut également envoyer des SMS à n’importe quel numéro, selon la volonté du pirate ; intercepter des SMS ; lancer un appel ; intercepter un appel et d’attaquer d’autres applications en s’y superposant.

En ce qui concerne sa capacité à se substituer à une autre application, ce malware a été conçu, entre autres, pour attaquer les apps suivantes : Whatsapp, l’app du Google Play Store, VTB 24 Bank. Les fausses pages de login utilisées sont identiques à celles des apps officielles. Une fois lancées, les informations d’identification récupérées sont envoyées au serveur C&C comme vu précédemment.

Une nouvelle tendance chez les développeurs de malware, et des amateurs de code malveillant pour Android est de cibler les utilisateurs par le biais de fonctionnalités de sécurité d’applications. Dans un article précédent, les chercheurs Zscaler avaient présenté des attaques réalisées à partir de fausses applications de sécurité. Dans le cas de Whatsapp, par exemple, les victimes avaient été piégées par une fausse alerte sur la nouvelle fonctionnalité de chiffrement des messages. Un message s’affichait pour demander des informations d’authentification et de paiement pour cette nouvelle fonctionnalité.

Ce code malveillant bancaire pour Android a une approche particulièrement efficace pour rester actif sur l’appareil de l’utilisateur. Il enregistre un récepteur qui se déclenche dès que la victime tente de retirer les privilèges administrateurs de la fausse application. Ainsi, l’appareil Android se retrouve bloqué pour quelques secondes chaque fois qu’une tentative est faite.

Bref, cibler les utilisateurs par le biais de fausses applications bancaires est le moyen le plus facile et privilégié des pirates. Le malware présenté plus haut combine plusieurs fonctionnalités, en une seule et même application, pour une attaque en profondeur. Il est capable de se substituer à n’importe quelle app existante, il suffit au pirate d’envoyer un élément portant le nom de l’app en question pour dérober des données privées au propriétaire de l’appareil.

Le certificat pour cette application infectée a récemment été mis à jour et le serveur C&C a été enregistré il y a peu, ce qui pourrait indiquer que les pirates informatiques ont l’intention de continuer sur leur lancée. Une fois de plus, la prudence est de mise et il faut continuer à télécharger les applications à partir de sources officielles. Toute app provenant d’une tierce partie est à éviter.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage

Vulnérables aux cyberattaques les entreprises ?

Vulnérables aux cyberattaques – RSA, la division sécurité d’EMC, a publié les résultats de sa seconde édition de l’étude Cybersecurity Poverty Index, révélant que les entreprises qui investissent dans les technologies de détection et d’intervention sont plus en mesure de se défendre contre les cyber-incidents contrairement aux solutions basées sur des périmètres spécifiques. Celle-ci a été menée auprès de 878 répondants (deux fois plus que l’année dernière), dans 81 pays et 24 industries.

Vulnérables aux cyberattaques les entreprises ? Le rapport souligne que pour la seconde année consécutive, 75% des entreprises estiment être exposées à des risques conséquents en matière de cybersécurité ; les entreprises qui déclarent rencontrer plus de problèmes de sécurité sont 65% plus susceptibles d’être compétentes en matière de cybersécurité ; le nombre d’entreprises ayant déclaré de meilleures capacités de cyberdéfense a augmenté de plus de la moitié sur l’indice précédent, passant de 4,9 % à 7,4%.

La moitié des personnes interrogées évaluent leurs capacités de réponse aux incidents comme « ad hoc » ou « inexistantes » ; les organisations moins matures continuent d’utiliser par erreur des solutions basées sur des paramètres spécifiques afin d’empêcher de nouveaux incidents ; le Gouvernement et le secteur de l’Energie se classent parmi les derniers en matière de cyberdéfense ; l’Amérique est à nouveau derrière les régions APAC et EMEA en ce qui concerne son niveau de maturité en cybersécurité.

Également, beaucoup d’entreprises reconnaissent avoir tendance à entreprendre des investissements en matière de cybersécurité après avoir rencontré des incidents. Cependant, les résultats de cette étude démontrent que les organisations qui traitent régulièrement d’incidents de sécurité se protègent plus rapidement et de manière plus efficace.

Les entreprises doivent mettre en place des stratégies de prévention et prioriser les actions de détections et d’interventions. Amit Yoran, Président de RSA, souligne : « La seconde édition du Cybersecurity Poverty Index prouve à quel point les organisations de toutes tailles et de tous secteurs à travers le monde se sentent mal préparées face aux menaces actuelles. Nous devons changer la façon dont nous pensons la sécurité et se concentrer sur la prévention. Les entreprises doivent agir de façon proactive en élaborant des stratégies globales en amont des incidents. »

Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fraude au président, Fuite de données, Leak, Piratage, Social engineering

Data Security Confidence : Se protéger des pirates ? Les entreprises doutent

Data Security Confidence – Une nouvelle étude révèle que la plupart des entreprises doutent de leur capacité à protéger leurs données en cas de cyberattaque.

Malgré l’augmentation du nombre de cyberattaques et la perte ou le vol de 3,9 milliards de registres de données depuis 2013, de nombreuses entreprises continuent d’avoir confiance dans l’efficacité du périmètre mis en place pour les protéger. Ceci est l’une des nombreuses conclusions mises en exergue par la troisième édition annuelle du Data Security Confidence Index publié par Gemalto.

Sur les 100 décideurs informatiques français interrogés, 39% déclarent que leurs systèmes de défense informatique (pare-feu, IDPS, antivirus, filtres de contenu, détecteurs d’anomalies, etc.) permettraient d’interdire très efficacement l’accès des personnes non autorisées au réseau. Cependant, 72 % disent ne pas être en mesure d’assurer la protection de leurs données si ces systèmes de défense venaient à être compromis. Ils étaient 51% dans ce cas en 2015 et 70% en 2014. En outre, 81% pensent que les utilisateurs non autorisés sont capables d’accéder au réseau, voire, pour 18% des interrogés, de l’infiltrer dans sa totalité.

« Ce rapport montre le fossé existant entre la perception et la réalité en ce qui concerne l’efficacité du périmètre de sécurité », souligne Jason Hart, VP et CTO de Gemalto pour la protection des données. « Même si l’époque de la prévention des cyberattaques est révolue, un grand nombre d’entreprises continuent de placer le périmètre de protection au cœur de leurs stratégies sécuritaires. Les professionnels doivent à présent changer leur façon de penser et ne plus chercher à prévenir les attaques, mais comprendre que ces dernières sont inévitables, et qu’ils doivent avant tout s’assurer de protéger les données ainsi que les utilisateurs qui y ont accès. »

Data Security Confidence

Même si le périmètre de sécurité reste prioritaire, il n’est pas suffisant. Toujours selon cette étude, 87% des décideurs informatiques français déclarent avoir ajusté leur stratégie en matière de sécurité après avoir été victimes d’une cyberattaque sophistiquée, un pourcentage qui était de 82% en 2015 et de 41% en 2014. D’autre part, 83% ont déclaré avoir augmenté le budget alloué à leur périmètre et 87% pensent que l’argent a été investi dans les technologies les plus adaptées.

Malgré les efforts qui continuent à être portés sur le périmètre de sécurité, les résultats de ce Data Security Confidence Index sont révélateurs des défis que les entreprises rencontrent en matière de vol de données. 82% des personnes interrogées en France indiquent que leur entreprise a fait l’objet d’un vol de données au cours des cinq dernières années. Plus d’un quart (32%) disent en avoir fait l’expérience depuis les 12 derniers mois, avec le même nombre de décideurs IT (30%) déclarant la même fréquence en 2015. Cela suggère que les entreprises n’ont pas réussi à limiter le nombre d’attaques, et ce malgré l’investissement réalisé au niveau du périmètre de sécurité.

« Alors que les entreprises pensent utiliser à bon escient leur budget sécurité, il est clair que les protocoles de sécurité employés ne répondent plus aux nouvelles exigences en la matière. Même si s’assurer de la robustesse de leur périmètre reste une priorité, elles doivent à présent adopter une approche multidimensionnelle en cas d’attaque. En ayant recours à des outils tels que le chiffrement de bout en bout et l’authentification à deux facteurs sur leur réseau et dans le cloud, elles seront capables de protéger l’ensemble de leur structure, ainsi que les données, ressources clés de l’entreprise, » conclut Hart.