Archives de catégorie : Leak

Base de données, Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Fuite de données, Justice, Leak, loi, Mise à jour, Piratage, Social engineering

8 entreprises sur 10 canadiennes victimes d’un piratage informatique

Une enquête révèle que 87 pour cent des entreprises canadiennes auraient subi des incidents liés au piratage informatique.

Un sondage intéressant, signé par la société HSB BI&I, auprès de gestionnaires de risques permet de constater que les entreprises sont vulnérables. Près de 90 pour cent des entreprises canadiennes ont subi au moins un incident lié au piratage informatique dans la dernière année, selon une enquête réalisée auprès de gestionnaires de risques d’entreprises, publiée aujourd’hui par La Compagnie d’Inspection et d’Assurance Chaudière et Machinerie du Canada (HSB BI&I) faisant partie de la famille Munich Re.

« Les pirates informatiques ont évolué, et les risques également. Les entreprises doivent faire davantage pour protéger leurs informations sensibles et gérer toutes les violations de données ». Plus de la moitié (60 pour cent) d’entre eux croient que leurs entreprises consacrent suffisamment d’argent, ou de personnel qualifié et expérimenté, pour lutter contre l’évolution des techniques de piratage. Pourtant, 42 pour cent de ces entreprises n’ont pas souscrit une couverture de cyber-assurance.

« Avec la prévalence des cyber-attaques au Canada, il y a une nette divergence entre les perceptions des gestionnaires de risques et le niveau réel d’exposition de leurs entreprises face à une activité de piratage informatique », a déclaré à DataSecurityBreach.fr Derrick Hughes, vice-président chez HSB BI&I. « Les pirates informatiques ont évolué, et les risques également. Les entreprises doivent faire davantage pour protéger leurs informations sensibles et gérer toutes les violations de données ».

Parmi les gestionnaires de risques interrogés dans l’enquête, 66 pour cent représentaient les grandes entreprises, suivis par 28 pour cent pour les organisations de taille moyenne et de 6 pour cent pour les petites entreprises.

L’enquête a révélé une hausse notable de la sensibilisation et des préoccupations quant aux cyber-risques suite de l’adoption récente de la Loi sur la protection des renseignements personnels numériques (projet de loi S-4). Près de 70 pour cent des gestionnaires de risques ont déclaré qu’ils seraient plus enclins à souscrire une couverture de cyber-assurance pour leur entreprise en raison des nouvelles exigences en matière de notification de violation de données.

Les préoccupations concernant le type de renseignements pouvant être violés varient des informations sensibles de l’entreprise (50 pour cent) aux renseignements personnels identifiables (42 pour cent) et aux renseignements financiers (8 pour cent).

Interrogés sur les types de services de gestion des risques envisagés pour lutter contre les cyber-risques, les gestionnaires de risques répondent : la détection d’intrusion et les tests de pénétration (40 pour cent), le cryptage (24 pour cent) et les programmes de formation du personnel (19 pour cent).

HSB BI&I a réalisé la cyber enquête, le 28 septembre 2015, lors du congrès Risk and Insurance Management Society Conference Canada (RIMS Canada) à Québec. Cette enquête est destinée à représenter l’opinion des 102 gestionnaires de risques participants. Pour ce faire, ces derniers ont pris part à l’enquête par le biais d’une entrevue en personne. Les participants représentaient les entreprises de petites (1-99 employés), moyennes (100-999 employés) et grandes tailles (1 000 employés et plus), dans les secteurs d’activités suivants : les services publics et l’énergie; les mines; l’aérospatial, la défense et la sécurité; la fabrication; le secteur public; la technologie; les services financiers, la santé/médical; la vente au détail.

Base de données, Bitcoin, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, Piratage

Piratage : 4 millions de clients du FAI TalkTalk dans la nature

Une faille de type injection SQL a permis à un pirate informatique de mettre la main sur 4 millions de clients du Fournisseur d’Accès à Internet TalkTalk. Il réclamait plus de 100 000 euros pour son silence.

Le Fournisseur d’Accès à Internet (FAI) britannique TalkTalk a confirmé qu’un pirate informatique était passé dans ses entrailles numériques. Une injection SQL aurait donné accès  à des données clients. Quatre millions de fiches clients ont été, dans le meilleur des cas lus, dans le pire copiés. Il est possible que les renseignements personnels, y compris les coordonnées bancaires, ont été dérobés. Les serveurs de l’entreprise ont été fermés durant plus de 24 heures, le temps que les autorités compétentes face les constatations d’usages, ainsi que des copies afin de remonter aux traces laissées (ou pas) par l’intrus.

Le FAI a admis que « malheureusement » il y avait une «chance» que certaines données clients, les noms des abonnés, les adresses, dates de naissance, numéros de téléphone, adresses e-mail, informations de compte bancaire et numéros de cartes de crédit ont pu être consultés par des pirates. Le pirate a réclamé 80 000 livres sterlings, soit plus de 110 000 euros contre son silence.

Banque, Base de données, Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Fuite de données, Leak, Paiement en ligne, Piratage, ransomware, Social engineering

Le prix de vente des données volées sur le marché noir

Retour sur l’économie souterraine du Dark Web ainsi que sur les pratiques et les coûts du Cybercrime-as-a-Service.

Le nouveau rapport d’Intel Security, intitulé The Hidden Data Economy, porte sur le marché noir des données volées en ligne, ou ‘Dark Web’. Il révèle la manière dont ces dernières sont compilées, ainsi que les prix auxquels elles sont revendues en ligne. Dans ce dernier, le McAfee Labs d’Intel Security dévoile les prix fixés sur le Dark Web pour l’achat de cartes de débit et de crédit, d’identifiants de comptes bancaires et de services de paiement en ligne et d’accès aux comptes de fidélité.

« Comme toute économie non réglementée et performante, l’écosystème de la cybercriminalité a très vite évolué pour offrir de nombreux outils et services à toute personne aspirant à un comportement malfaisant », déclare à DataSecurityBreach.fr Raj Samani, CTO EMEA d’Intel Security. « Le marché du Cybercrime-as-a-Service a été le principal moteur à la fois de l’explosion, de l’ampleur, de la fréquence et de la gravité des cyberattaques. Aujourd’hui, nous constatons une véritable prolifération des modèles économiques conçus pour revendre les données volées et rendre les cyberattaques très lucratives pour les hackers. »

Depuis des années, l’équipe du McAfee Labs coopère avec les principaux acteurs concernés, organisations policières nationales et internationales, éditeurs de logiciels de sécurité informatique, etc., pour identifier et démanteler les multiples sites web, forums et autres plateformes, communautés et marchés en ligne où les transactions illégales ont lieu. En s’appuyant sur ces expériences, les chercheurs du McAfee Labs sont désormais en mesure de fournir une évaluation globale du statut de « l’économie de la cybercriminalité », avec des illustrations de cas typiques et de prix par catégorie de données et par région.

Les cartes de paiement
Les données des cartes bancaires sont sans doute le type de données le plus volé et vendu sur le Dark Web. Les chercheurs du McAfee Labs ont constaté des variations de prix en fonction du conditionnement des données. Une offre standard, soit un « Random » dans le jargon de cybercriminels, comprend l’identifiant de carte valide, généré par un logiciel, qui combine un numéro de compte primaire (PAN), une date d’expiration et un cryptogramme CVV2. Les logiciels générant des numéros de carte de crédit valides peuvent également être achetés ou trouvés gratuitement en ligne.

Les prix augmentent lorsque l’offre comprend des informations supplémentaires donnant accès à davantage de possibilités d’exploitation des données. Dans certaines offres plus complètes sont également inclus : le numéro d’identification de compte bancaire (IBAN / BIC), la date de naissance de la victime et des informations plus confidentielles classées « Fullzinfo », comme par exemple, l’adresse de facturation utilisée pour ses commandes en ligne, le code PIN de sa carte, son numéro de sécurité sociale, le nom de jeune fille de sa mère, voire son nom d’utilisateur et son mot de passe utilisés pour accéder, gérer et modifier les configurations de son compte bancaire.

Le tableau suivant illustre les prix moyens pratiqués sur le Dark Web pour la vente de cartes de crédit et de débit par région et en fonction des données disponibles :

« Un criminel possédant l’équivalence numérique d’une carte de crédit est en mesure de faire des achats ou des retraits jusqu’au moment où la victime contacte sa banque pour faire opposition et mettre en place des mesures de vérification », poursuit Raj Samani à datasecuritybreach.fr. « Or, en possédant de nombreux renseignements personnels sur la victime, le cybercriminel pourrait très bien justifier qu’il est le propriétaire de la carte bancaire, voire accéder au compte en ligne et en changer les paramètres de configuration. L’accès aux données personnelles peut ainsi augmenter de manière significative les potentiels préjudices financiers pour l’individu ».

Les comptes de services de paiement en ligne
En ce qui concerne les données relatives aux comptes de services de paiement en ligne, les conditions et les possibilités d’utilisation limitées influenceraient les prix qui semblent être dictés uniquement par le solde du compte piraté. L’accès à des comptes créditeurs de 350 à 900 € est estimé entre 17 et 43 €, tandis que le prix d’achat des identifiants de comptes avec un crédit de 4 400 à 7 000 € peut s’étendre de 175 à 260 €.

Les identifiants de comptes bancaires en ligne
Les cybercriminels peuvent acheter des identifiants de comptes bancaires leur permettant de faire des virements à l’international de manière anonyme. Selon McAfee Labs, un compte créditeur de 2 000 € peut être acquis en ligne pour un prix de 170 €. Le prix d’accès à un compte bancaire en ligne avec une fonctionnalité de virements internationaux anonymes peut varier de 440 € pour un compte avec un crédit de 5 300 € jusqu’à 1 000 € pour un compte créditeur de 17 500 €.

Services de contenu premium
Le rapport examine également les prix fixés sur le Dark Web pour l’acquisition de codes d’accès à des services de contenu en ligne tels que le streaming de vidéo (de 0,5 à 0,9 €), de chaînes câblées (6,50 €), de chaînes sportives (13 €) ou à des bibliothèques de bandes dessinées premium en ligne (0,5 €). Ces tarifs relativement faibles suggèrent que les opérations de vol des identifiants ont été automatisées pour rendre ces modèles économiques rentables.

Les comptes de fidélité
Certains services en ligne, tels que l’accès à des programmes de fidélité dans l’hôtellerie ou à des sites d’enchères en ligne, pourraient sembler sans intérêt pour les cybercriminels. Pourtant, les chercheurs du McAfee Labs ont constaté que les données relatives à ces services sont également à vendre sur le marché noir. Elles permettraient à la fois aux acquéreurs d’acheter en ligne avec le compte de leurs victimes et de bénéficier de leur réputation en ligne. Le rapport présente d’ailleurs deux cas concrets de recèles, la vente d’un compte de fidélité de 100.000 points à 17 €, ainsi que celle d’un compte de réputation positive sur un service d’enchères de marques en ligne à plus de 1 200 € !

Ce rapport survole les possibilités du blackmarket. Des chiffres à prendre avec des pincettes. DataSecurityBreach.fr se « promène » dans une cinquantaine de black market différents. Les prix varient tellement, certains chaque heure, qu’il est impossible de fournir un chiffre, même une moyenne, exact. Le rapport ne prend pas en compte, non plus, les services tels que les fournitures de moyens pour des DDoS et autres Swatting. N’oublions pas non plus que ces études sortent au même moment que les nouveaux antivirus des producteurs de ces études.

backdoor, Base de données, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, loi, Piratage, ransomware, Social engineering

Repenser la manière de se prémunir contre les cyber-attaques

Selon le dernier rapport publié par PwC, les cyber-attaques augmentent inexorablement et la France fait partie des premiers pays les plus touchés. Les pertes financières associées sont aujourd’hui estimées à 3,7 millions d’euros par entreprise, soit quasiment l’équivalent des budgets dédiés à la sécurité informatique évalué à 4,8 millions d’euros. Avec une hausse de 51% des incidents de sécurité sur les douze derniers mois, il devient urgent d’adresser les problématiques de sécurité au plus haut niveau de l’entreprise, avant que l’impact sur les résultats de l’entreprise ne soit irrémédiable.

Cette dernière enquête confirme la prise de conscience des entreprises vis-à-vis de la sécurité de leurs données et des conséquences financières et commerciales inévitables qu’une cyber-attaque engendre. Malgré la croissance effrénée des incidents de sécurité, les responsables d’entreprises ou de service IT interrogés dans le cadre de cette enquête semblent pourtant avancer dans la bonne direction.

En effet, l’extension du périmètre à protéger en raison de mauvaises pratiques de sécurité imputées aux employées ou aux prestataires externes, confirme la nécessité d’utiliser une méthode de surveillance globale du réseau et de l’ensemble des interactions avec l’extérieur. Les recommandations de PwC vont d’ailleurs dans ce sens : il n’existe pas de modèle standard de protection, c’est l’utilisation d’un mix de technologies intégrées et holistiques qui rend
le système de protection plus efficace.

Le fait que 59% des répondants préconisent l’analyse de toutes les sources de données de l’entreprise comme principal levier d’amélioration de la sécurité, grâce notamment à une surveillance accrue sur l’ensemble du périmètre à protéger en temps réel, prouve que la perception des entreprises évolue
et que l’idée d’une solution de sécurité unique disparaît peu à peu.

Chaque attaque est unique et les méthodes utilisées par les hackers diffèrent selon l’objectif à atteindre. En prenant en considération le fait que les pirates savent se faire discrets et restent parfois plusieurs mois, voire des années, à attendre le bon moment d’opérer leurs méfaits, les entreprises
peuvent passer à côté de failles importantes sans une surveillance permanente et en temps réel de ce qui se passe sur leur réseau. En cas d’attaque, des outils permettant la détection immédiate d’un comportement anormal sur le réseau sont également indispensables afin de pouvoir y remédier le plus rapidement possible.

Si l’augmentation des investissements des entreprises françaises dans la sécurité est une bonne nouvelle, les entreprises doivent repenser la manière dont protéger leurs données confidentielles en partant du principe que l’ennemi se trouve déjà à l’intérieur et qu’il ne reste qu’à le trouver et l’éliminer. (Par Jean-Pierre Carlin, LogRhythm)

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Mise à jour, Patch, Piratage

IBM traite 15 milliards d’événements de sécurité chaque jour

IBM Security aide les établissements financiers à partager plus rapidement leur connaissance concernant les menaces à l’échelle mondiale.

IBM a annoncé, à l’occasion de la conférence SIBOS 2015, travailler avec l’industrie des établissements financiers pour renforcer la collaboration et le partage mondial des connaissances des menaces et de leur exécution à travers de multiples secteurs et organisations. Les membres du FS-ISAC (Financial Services Information Sharing and Analysis Center), organisation à but non lucratif dans le domaine des services financiers, auront accès à la recherche avancée contre les menaces ainsi qu’aux analyses directement depuis IBM X-Force Exchange. Actuellement IBM a la plus importante équipe de services en sécurité, avec plus de 6 000 professionnels et un réseau de 11 SOCs (Security Operations Centers) à travers le monde. IBM gère et contrôle plus de 15 milliards d’événements de sécurité chaque jour, pour plus 4 000 clients.

Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Le pirate de JPMorgan Chase s’est attaqué à d’autres sociétés

Le pirate informatique qui s’est attaqué à la banque JPMorgan Chase a aussi visé, avec plus ou moins de succés, Citigroup, E*Trade Financial Corp, Automatic Data Processing et Regions Financial Corp.

Si certaines structures n’ont pas confirmé cette affirmation de plusieurs enquêteurs qui ont souhaité  rester anonyme, des entreprises comme E*Trade Financial Corp ont confirmé avoir été attaquées en 2013 par ce qui semble être le même pirate que la banque JPMorgan.

En 2014, ETCF avait indiqué ne pas savoir si des données clients avaient été impactées. Deux ans plus tard, voici la confirmation de cette infiltration. Au moins 31 000 clients de la structure bancaire ont été alertés d’une violation de leurs données. Les pirates ont pu avoir accès aux noms et e-mails des clients, ainsi que les adresses physiques de ces derniers. Il n’y a « aucune preuve que toutes les informations des comptes clients, y compris les mots de passe, numéros de sécurité sociale, ou des informations financières eurent été compromises » indique le communiqué de presse de la banque.

Un détail dés plus déroutant. Il est pourtant assez simple de savoir ce que les pirates ont pu lire, copier… Toutes les données contenues dans la base de données compromise ont été accessibles.

Arnaque, backdoor, BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, escroquerie, Fraude au président, Leak, Particuliers, Piratage, Social engineering, Vie privée

TOP 10 des méthodes de piratage

L’ingénierie sociale serait la méthode la plus utilisée, suivie par la compromission de comptes et les attaques web de type injections SQL/de commandes selon une étude de Balabit.

BalaBit, fournisseur européen de technologies de sécurité contextuelle, a présenté lors de la 15è édition des Assises de la Sécurité, les résultats d’une étude menée auprès des participants de la Black Hat en août dernier, conférence de référence mondiale en matière de sécurité de l’information. BalaBit a interrogé 349 professionnels de la sécurité afin de définir le top 10 des méthodes de hacking actuellement les plus populaires. Cette étude offre aux entreprises l’opportunité de mieux connaître leurs ennemis en identifiant les méthodes et les vulnérabilités les plus utilisées par les hackers lorsqu’il s’agit de s’attaquer à leurs données sensibles. Cette base de connaissance est la première étape fondamentale pour toute entreprise souhaitant mettre en place une stratégie de sécurité IT efficace, et cela quelque soit son secteur d’activité.

Attaquant interne ou externe ? Pas si évident…
Les menaces sont différentes et plus sophistiquées aujourd’hui et la frontière entre les menaces internes et externes est devenue très étroite. La majorité des attaquants externes tentent de pénétrer le réseau, d’acquérir des niveaux d’accès basiques et d’utiliser leurs droits pour petit à petit remonter jusqu’à des niveaux d’accès privilégiés. Dans la plupart des cas, ils restent invisibles dans le réseau pendant plusieurs mois, puisqu’ils parviennent à s’identifier comme des utilisateurs internes. Qu’en est-il des utilisateurs internes malveillants ? : Sont-ils conscients des conséquences de leurs actes lorsqu’ils partagent leurs identifiants ou lorsqu’ils cliquent sur des liens de phishing – dans ce cas, la fuite de données est-elle le résultat d’actions intentionnelles ou accidentelles ? Doivent-ils être considérés comme malveillants seulement si leur action était intentionnelle ? Cela a t-il vraiment beaucoup d’importance si la fuite de données est très grave ?

70% des personnes interrogées considèrent les menaces internes comme les plus risquées.
54% des personnes interrogées déclarent avoir très peur des hackers qui pénètrent au sein du réseau de l’entreprise via leur pare-feu, alors même que 40% d’entre elles déclarent qu’un pare-feu n’est pas assez efficace pour empêcher les hackers d’entrer.

Les participants ont également été interrogés sur les attaquants – internes ou externes – qu’ils considèrent les plus à risques : Les résultats soulignent un point important en vue de la définition d’une stratégie de défense efficace : 70% des personnes interrogées considèrent que les utilisateurs internes présentent le plus de risques (et seulement 30% estiment que les attaquants externes posent plus de risques). Une chose est sûre : les attaquants externes cherchent à devenir des utilisateurs internes, et les utilisateurs internes les aident pour y parvenir – accidentellement ou intentionnellement. Quelque soit la source de l’attaque, la liste des 10 méthodes de piratage les plus populaires -présentées ci-dessous – démontre qu’il est crucial pour les entreprises de savoir ce qu’il se passe sur leur réseau en temps réel. Qui accède à quoi ; est-ce le bon utilisateur derrière l’identifiant et le mot de passe ou est-ce un attaquant externe utilisant un compte compromis ?

Le top 10 des méthodes de piratage les plus utilisées :

1. Ingénierie sociale (ex : phishing).
2. Compromission de comptes (sur la base de mots de passe faibles par exemple).
3. Attaques web (ex : injection SQL/de commandes).
4. Attaques de clients de l’entreprise ciblée (ex: contre des destinataires de documents, navigateurs web).
5. Exploits avec des mises à jour de serveurs connus (ex: OpenSSL, Heartbleed).
6. Terminaux personnels non sécurisés (manque de politique de sécurité BYOD, datasecuritybreach.fr vous en parle très souvent).
7. Intrusion physique.
8. Shadow IT (utilisation personnelle de services Cloud à des fins professionnelles).
9. Attaque d’une infrastructure outsourcée en ciblant un fournisseur de services externe.
10. Attaque de données hébergées sur le Cloud (via l’IaaS, le PaaS).

Cyber-attaque, Cybersécurité, escroquerie, Fuite de données, Leak, Particuliers, Piratage, Propriété Industrielle, Social engineering

Etude : les cybercriminels se faisant passer pour des utilisateurs légitimes représentent le risque de sécurité le plus élevé

61% des répondants considèrent l’usurpation de comptes à privilèges comme l’attaque la plus difficile à contrer ; 44% s’estiment toujours en mesure d’empêcher les hackers d’infiltrer un réseau.

Les cyber-attaques consistant à pirater les comptes à privilèges et administratifs, c’est-à-dire les identifiants utilisés pour contrôler et utiliser l’infrastructure IT d’une organisation, constituent la principale menace de sécurité dans les entreprises, selon une récente étude conduite par CyberArk.

61% des personnes interrogées ont retenu l’usurpation de comptes à privilèges comme étant le type de cyber-attaque le plus difficile à contrer, contre 44% du même avis l’année dernière. En outre, 48% pensent que les violations de données résultent des mauvaises habitudes des employés en matière de sécurité, tandis que 29% attribuent ceci à la sophistication des attaques. Ces conclusions proviennent de la 9e enquête annuelle réalisée par CyberArk sur le panorama mondial des cyber-menaces avancées Threat Landscape Survey, pour lequel l’entreprise a interrogé 673 cadres dirigeants et responsables de la sécurité IT.

CyberArk a analysé les divergences potentielles entre les cyber-menaces préjudiciables et la confiance qu’une organisation accorde à son système de sécurité. Bien que le lien entre la prise de contrôle de comptes à privilèges comme étant le premier vecteur d’attaque et les récentes, et très médiatisées, violations de données soit mieux établit, les entreprises persistent à se concentrer sur une défense « périmétrique ».

Plus de la moitié des interrogés étant convaincus qu’ils pourraient détecter une attaque en quelques jours, CyberArk a indiqué que de nombreux responsables IT et chefs d’entreprises ne disposent pas de la visibilité suffisante sur leurs programmes de sécurité IT. Les défenses périmétriques et les attaques d’hameçonnage (phishing) ne sont que la partie visible de l’iceberg, et les organisations doivent aujourd’hui veiller à se protéger face à des attaques beaucoup plus dévastatrices qui, comme le « Golden Ticket » Kerberos et les attaques « Pass-the-Hash », s’opèrent au cœur-même du réseau.

Au-delà de la simple violation – Les pirates cherchent à prendre le contrôle total du réseau

Comme nous avons pu le constater lors des attaques qui ont visé Sony Pictures, le Bureau américain de gestion du personnel et bien d’autres encore, les pirates ayant pris possession des comptes à privilèges peuvent ensuite s’en servir pour prendre de force le contrôle d’une infrastructure réseau ou voler d’importants volumes de données confidentielles. Ces comptes à privilèges permettent en effet aux cybercriminels d’avoir le même niveau de contrôle que les administrateurs IT de haut rang, et ce sur n’importe quel réseau. Grâce à leur capacité de se faire passer pour des utilisateurs légitimes, ces pirates peuvent alors continuer à acquérir des privilèges et à parcourir l’ensemble du réseau afin d’y exfiltrer des données précieuses.

· A quelle phase une attaque est-elle la plus difficile à contrer selon les interrogés :
o 61% ont cité la violation des comptes à privilèges, contre 44% en 2014
o 21% mentionnent l’installation du logiciel malveillant
o 12% évoquent la phase de reconnaissance menée par le cybercriminel

· Les vecteurs d’attaque représentant les risques de sécurité les plus élevés selon les interrogés sont :
o 38% indiquent la violation de comptes à privilèges ou administratifs
o 27% mentionnent les attaques d’hameçonnage
o 23% citent les logiciels malveillants sur le réseau

Trop de confiance accordée aux stratégies de sécurité dans les entreprises

Le sondage de CyberArk illustre que les interrogés ont entière confiance dans les stratégies de sécurité de leur PDG et de leurs directeurs, mais que les tactiques employées par les organisations sont en contradiction avec les meilleures pratiques en matière de sécurité. Même si les études spécialisées révèlent qu’il faut habituellement une moyenne de 200 jours pour qu’une organisation puisse déceler un pirate sur leurs réseaux, la plupart des interrogés pensent qu’ils sont capables de détecter un pirate endéans quelques jours ou quelques heures. Les interrogés persistent également à croire qu’ils sont parfaitement à même d’empêcher les cybercriminels de pénétrer dans le réseau, malgré de nombreuses preuves indiquant le contraire.

· 55% pensent qu’ils seront capables de détecter une violation en l’espace de quelques jours ; 25% estiment pouvoir détecter une infraction en quelques heures
· 44% continuent de croire qu’ils peuvent parfaitement empêcher les cybercriminels de pénétrer dans un réseau spécifique
· 48% pensent que ce sont les mauvaises habitudes des employés qui sont à la base des violations de données, tandis que 29% mentionnent tout simplement la sophistication des attaques
· 57% des personnes interrogées ont confiance dans les stratégies établies par leur PDG ou leur Conseil d’administration

Les organisations ne semblent toujours pas reconnaître les dangers liés aux attaques de l’intérieur

Les cybercriminels ne cessent de développer de nouvelles tactiques afin de cibler, dérober et exploiter des comptes à privilèges qui leur permettront d’obtenir l’accès aux données les plus sensibles et les plus précieuses d’une organisation. Alors que bon nombre d’entre elles se concentrent sur la défense périmétrique afin de lutter contre des attaques telles que le phishing ou l’usurpation d’identité, ce sont les attaques lancées depuis l’intérieur des organisations qui sont les plus potentiellement dévastatrices. Il a été demandé aux interrogés d’établir un classement des types d’attaques qu’ils redoutent le plus :

· Piratage de mots de passe (72%)
· Attaques d’hameçonnage (70%)
· Piratage de clés SSH (41%)
· Attaques Pass-the-Hash (36%)
· Attaques de Golden Ticket (23%)
· Attaques Overpass-the-Hash (18%)
· Attaques de Silver Ticket (12%)

Les attaques Overpass-the-Hash, Golden Ticket et Silver Ticket sont toutes des attaques Kerberos, permettant d’obtenir un contrôle total d’un réseau spécifique par le piratage du contrôleur de domaine. L’une des attaques les plus dangereuses est celle du Golden Ticket, car elle peut paralyser une organisation entièrement et briser ainsi la confiance accordée à l’infrastructure IT.

« Il est inacceptable qu’une organisation continue de penser que ses programmes de sécurité sont en mesure d’empêcher les cybercriminels de pénétrer dans leur réseau. En outre, le fait de se retrancher derrière la sophistication des attaques et les mauvaises habitudes des utilisateurs ne fait qu’aggraver le problème, déclare à DataSecurityBreach.fr John Worrall, Directeur du marketing chez CyberArk. Les attaques les plus dévastatrices sont celles où les pirates volent des identifiants à privilèges et administratifs afin d’obtenir les mêmes droits d’accès que les administrateurs systèmes en interne. Une organisation se retrouve ainsi à la merci du cybercriminel, que ses motivations soient financières, liées à des activités d’espionnage ou visent à causer la fermeture de l’entreprise. Alors que le sondage souligne que les organisations sont de plus en plus conscientes des effets dévastateurs des violations de comptes à privilèges, celles-ci consacrent encore trop d’efforts à vouloir stopper les attaques périmétriques telles que le hameçonnage. »

Vous pouvez télécharger gratuitement tous les résultats du sondage via le lien : www.cyberark.com/ThreatSurvey2015

Argent, Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Piratage, Social engineering

Nouveau piratage chez un important courtier

Le courtier américain FXCM vient d’avouer le piratage de son informatique. Le pirate aurait orchestré des transferts d’argent appartenant à des clients.

FXCM, un spécialiste des opérations de changes a confirmé jeudi le piratage informatique de ses serveurs. Le pirate en a profité pour faire des transactions avec l’argent de certains clients du courtier américain. « FXCM a identifié un petit nombre de transferts non autorisés depuis les comptes de ses clients » indique le courrier envoyé au département de la justice américaine.

Tout a débuté par un chantage numérique. Le pirate a écrit à FXCM indiquant avoir eu accès à des informations sensibles appartenant à ses clients. Il a été conseillé à ces derniers de changer leur mot de passe.

L’OCDE, l’Organisation de Coopération et de Développement Economiques, a appelé ce jeudi les patrons d’entreprises à traiter les risques liés à la sécurité informatique comme un risque économique. Pour preuve, FXCM a perdu le quart de sa valeur après l’annonce de ce piratage. (WSJ)

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Piratage

Une banque d’investissement infiltrée

Un commentaire

Un pirate informatique annonce le piratage de la banque d’investissement IC Securities. Plusieurs milliers de données diffusées.

IC Securities est une banque d’investissement et courtier en valeurs mobilières spécialisé sur l’Afrique. Un pirate informatique a décidé de jeter son dévolu sur cette dernière et a diffusé plusieurs milliers de données appartenant à des clients. Parmi les documents, diffusés dans un espace du Darknet, que la rédaction de zataz.com a pu consulter : des adresses mails, des numéros de téléphones, les « pseudos » accolés aux identités des clients, des adresses physiques, des clés clients « Confirm Key« , les dates de présences dans la banque, certaines datant de 2006.

Mots de passe, identités, mails ont été diffusés par le pirate.

A noter la présence, aussi, de « PassKey » et mots de passe (chiffrés). De nombreuses identités installées au Ghana, Accra, Bermude… ou dans des bases militaires. Le pirate en a profité pour diffuser, dans la foulée, les identifiants de connexion des administrateurs du site : mails et mots de passe. Le pirate a diffusé les informations début septembre. Il n’indique pas les autres données qu’il a en sa possession et la date de son intrusion. Nous avons tenté de joindre la banque qui n’a pas donné suite à nos questions.

Android, Cyber-attaque, Cybersécurité, ios, Leak, OS X, Piratage, Sécurité, Smartphone, Social engineering, Windows phone

Malwares : les préjudices financiers augmentent

Une étude réalisée par Kaspersky Lab et B2B International révèle que près de la moitié des internautes (45 %) ont été confrontés à des logiciels malveillants l’an passé et que, dans la plupart des cas (81 %), cela a eu des conséquences particulièrement négatives pour ces utilisateurs et leurs équipements.

Le malware le plus fréquent touche principalement les ordinateurs Windows. 83 % des utilisateurs déclarent en avoir été victimes au cours des 12 derniers mois sur ordinateurs Windows ; 13 % sous Android  et 6 % sous Mac OS X font état d’infections sur leurs équipements. Des chiffres tirés des personnes interrogées. Ils peuvent donc changer selon les régions, les interviewés, …

Quels sont les différents types d’infections ?

12 % des personnes interrogées pensent avoir été contaminées après une visite sur un site Web suspect ; tandis que 8 % évoquent l’utilisation d’une clé USB (ou d’un autre périphérique ne leur appartenant pas) ou encore l’installation d’une application malveillante se faisant passer pour un programme légitime ; 7 % d’entre elles estiment qu’elles ont été infectées après l’ouverture d’une pièce jointe ; les plus nombreuses (13 %) n’étaient cependant pas en mesure d’expliquer comment le malware s’était retrouvé sur leur machine.

4 infections sur 5 sont à l’origine de problèmes informatiques pénalisants pour leurs victimes. Dans 35 % des cas, les utilisateurs ont constaté un ralentissement de leur ordinateur, 30 % de la publicité agressive (leur navigateur étant par exemple redirigé vers des sites Web indésirables) et 20 % la présence de programmes non sollicités sur leur machine.

Parmi les effets les plus néfastes d’une infection figurent des modifications des paramètres du navigateur ou du système d’exploitation à l’insu de l’utilisateur (17 %), la perte (10 %) ou le vol (8 %) de données personnelles, des publications ou commentaires non autorisés sur les réseaux sociaux (9 %) et le piratage de leur webcam (6 %).

Les préjudices financiers au cœur des attaques de malwares

  • 11 % des participants à l’enquête ont déclaré avoir eu à verser une rançon à des cybercriminels pour débloquer un appareil ou décrypter des fichiers personnels
  • et 6 % après une infection par un ransomware.
  • Globalement, un tiers (33 %) d’entre eux ont subi un préjudice financier à cause d’un malware.

En plus d’avoir à verser une rançon, les victimes ont dû effectuer des dépenses pour la restauration d’un équipement ou de données, pour l’achat d’un logiciel de nettoyage, voire pour remplacer leur matériel. En cas de perte financière, le coût moyen d’une attaque s’élève à 160 dollars.

« Les coûts et les effets néfastes d’une infection par malware peuvent être évités avec un peu de prudence. Par exemple, ne pas insérer de clé USB non vérifiée, n’utiliser que les boutiques d’applications officielles, installer les mises à jour du système d’exploitation et des applications, analyser les fichiers avec une solution de sécurité avant de les ouvrir. La capacité de prévoir les problèmes potentiels et de prendre des précautions est la clé de la sécurité », explique à DataSecurityBreach.fr Tanguy de Coatpont, Directeur Général de Kaspersky Lab France et Afrique du Nord.

backdoor, Banque, BYOD, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fraude au président, Fuite de données, Leak, Mise à jour, OS X, Paiement en ligne, Piratage

Le cybercrime en hausse de 20% au deuxième trimestre 2015

Se basant sur l’analyse de milliards de transactions mondiales menée d’avril à juin 2015, le Réseau ThreatMetrix Digital Identity a détecté et stoppé plus de 75 millions de cyberattaques en temps réel à travers le monde. Le secteur du e-commerce a particulièrement été touché, les attaques frauduleuses y ont crues de 20% durant cette période avec 36 millions de tentatives de fraude stoppées par le Réseau. Selon ThreatMetrix, ces attaques auraient généré 2,73 milliards d’euros de pertes pour les cybermarchands si elles avaient abouti.

Les nouvelles créations de comptes ont présenté le plus de risques, comptant pour près de 7% des transactions analysées bloquées par ThreatMetrix. Bien que sources de fraudes les plus fréquentes (80%), les ouvertures de sessions de comptes ont paradoxalement présenté moins de risques ce trimestre, comme en témoignent les seuls 3% de transactions bloquées par la société. Par ailleurs, 3% des paiements au niveau global ont également été jugés frauduleux au cours de la période. En France, avec 6,4% de transactions rejetées par le Réseau, les ouvertures de sessions de comptes ont été le plus soumises à des activités criminelles devançant ainsi les nouvelles créations de comptes (2.9%) et les paiements (2.5%).

Concernant la localisation des attaques, la tendance confirmée par ThreatMetrix dans son précédent rapport de sécurité se poursuit : la moitié des cyber-menaces (51%) ayant pesé sur les entreprises françaises durant cette période a eu de nouveau pour origine l’hexagone. Au niveau plus global, les Etats-Unis et le Royaume-Uni ont constitué durant ce trimestre, les principales scènes de la cybercriminalité internationale suivies par l’Allemagne, l’Inde et la République Dominicaine.

LE CREDIT EN LIGNE : DANS LA LIGNE DE MIRE DES CYBERCRIMINELS
Selon le rapport ThreatMetrix, les cybercriminels ciblant les organismes financiers se sont focalisés tout particulièrement sur le crédit en ligne. En effet, durant cette période, les attaques ont bondi de manière significative dans ce secteur ciblant principalement la création de nouveaux comptes et les remboursements. Considéré par les particuliers ayant un accès limité aux services financiers comme la façon la plus simple d’obtenir des prêts en un laps de temps très court, le marché du crédit en ligne est devenu une cible de choix pour les cybercriminels.

“Le crédit en ligne est un foyer de fraudes parce que c’est un canal insécurisé ciblant les exclus bancaires dans les économies développées » commente Pascal Podvin, Vice Président des Opérations Amériques et EMEA. “Tant que les entreprises et les particuliers stockeront et géreront leurs données financières en ligne, les cybercriminels seront en alerte maximale. C’est pourquoi la priorité numéro 1 aujourd’hui est de s’assurer que les identités numériques soient efficacement authentifiées et protégées.”

Le cybercrime est un phénomène mondial de plus en plus professionnalisé et organisé.  Dotés des technologies les plus abouties et de tactiques toujours plus ingénieuses, les cybercriminels partagent leurs connaissances avancées avec les filières du crime organisé, les gouvernements et les cyber bandes décentralisées. Ils attaquent les sources traditionnelles et non traditionnelles de données consommateurs pour mettre en commun des identités exploitables et générer leurs exactions.

ENCORE PLUS D’ATTAQUES LIEES AUX USAGES MOBILES
Représentant un tiers de l’ensemble des transactions analysées, le mobile est aujourd’hui la source d’opportunités et de risques à la plus forte croissance pour les entreprises et les institutions financières qui souhaitent proposer des expériences transactionnelles toujours plus fluides à leurs clients. Les usages mobiles continuent à se développer comptant pour plus de 31% des transactions mondiales. Avec plus de 20 millions de nouveaux périphériques mobiles ajoutés chaque mois au Réseau ThreatMetrix, cette tendance sera encore amenée à croitre.

“Plus vous aurez de transactions mobiles, plus les cyber assaillants auront d’opportunités pour conduire des fraudes d’usurpation ou des vols d’identités en imitant d’autres périphériques pour faciliter les attaques,” ajoute Pascal Podvin. “ Les consommateurs favorisent principalement leurs smartphones au cours de leur temps libre. Ils seront donc plus enclins à conduire des transactions et des paiements pouvant compromettre leur empreinte numérique.”

Parmi les autres résultats marquants de ce rapport :

  • L’apparition dans le Top 5 de l’Inde et de la République Dominicaine comme pays sources de cyberattaques durant le deuxième trimestre 2015.
  • L’usurpation des identités et des périphériques (spoofing) ont constitué les menaces les plus courantes en France, comptant respectivement pour 5.2% et 7.9% des attaques sur la période.
  • Malgré le développement du commerce mondial, les transactions transfrontalières ont décliné par rapport aux transactions locales.
  • Hausse des bots et des violations de données.
  • La confiance reste un élément déterminant et critique pour la conversion et la fidélisation client comme les institutions financières et les cybermarchands aspirent à établir un fort relationnel avec leurs utilisateurs.

Pour plus d’informations, “ThreatMetrix Cybercrime Report: Q2 2015”

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Piratage

Piratage via des connexions satellites

Des pirates passeraient par des connexions satellites pour effacer leurs traces. Ils agiraient cependant de la Russie.

Les pirates informatiques, du moins les « professionnels », ont une mission qu’il ne souhaite rater pour rien au monde, cacher leurs traces. Bref, cacher leur connexion, leur IP, est une obligation pour une attaque efficace et discrète.

Selon les chercheurs de Kaspersky, un groupe de pirates originaire de Russie aurait exploité des connexions par satellite pour être le plus discret possible. Pourquoi l’espace ? Un satellite diffuse sur un plus large spectre. Plus de pays, plus compliqué à remonter. Les pirates, connus sous le pseudonyme de Turla, utiliseraient donc cette solution de « camouflage » d’IP.

Les chercheurs auraient trouvé des preuves que le gang Turla utilise cette technique depuis au moins 2007. Depuis une décennie, Turla aurait ciblé des organismes gouvernementaux, des ambassades et des militaires dans plus de 40 pays, dont le Kazakhstan, la Chine, le Vietnam et les Etats-Unis. Des codes malveillants exploités par ces pirates, découverts cette année par les chercheurs de l’éditeur de solution de sécurité informatique, cachaient en leur sein des IP, dont deux correspondants à des connexions par satellite.

Les vulnérabilités exploitées par la Turla Team ont été documentées en 2009 et 2010. Les deux adresses IP codées communiquaient avec un serveur appartenant à un fournisseur d’accès Internet par satellite allemand.

backdoor, Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Fuite de données, Leak, Paiement en ligne, Piratage, Propriété Industrielle

Le vol d’identité, en tête des avidités pirates

Les vols d’identité arrivent en tête de la cybercriminalité, avec 53 % des failles de données enregistrées, selon une étude de Gemalto.

Gemalto, spécialiste des solutions de sécurité informatique, vient de publier les résultats de l’étude Breach Level Index pour le premier semestre 2015. L’étude fait apparaître 888 failles de données signalées au cours de cette période, compromettant ainsi 246 millions d’enregistrements de données dans le monde.

Les failles de sécurité ont augmenté de 10 % par rapport au premier semestre de l’année précédente, alors que le nombre d’enregistrements de données compromis diminuait de 41 % au cours des six premiers mois. Cette nette amélioration peut être attribuée à la diminution du nombre de méga-failles à très grande échelle ayant touché le commerce de détail et la distribution, comparativement à la même période de l’année écoulée.

Malgré la diminution du nombre de données compromises, les failles les plus importantes ont touché des volumes considérables d’informations personnelles. L’incident le plus important constaté au cours du premier semestre – niveau 10 sur l’échelle de gravité du Breach Level Index –, a concerné un vol d’identité dont a été victime l’assureur-santé Anthem Insurance aux États-Unis, qui a impacté 78,8 millions de fichiers, soit le tiers (32 %) de l’ensemble des fichiers de données volés au cours du premier semestre. Parmi les autres failles notables recensées au cours de la période d’analyse, il faut citer une attaque touchant 21 millions de fichiers de l’US Office of Personnel Management (9,7 sur l’échelle BLI) ; une attaque touchant 50 millions de fichiers de la Direction générale de la population et des affaires de la citoyenneté en Turquie (9,3 sur l’échelle BLI) ; et une défaillance affectant 20 millions de fichiers du site de rencontre russe Top Face (9,2 sur l’échelle BLI). Les dix principales cyber-attaques ont représenté 81,4 % de l’ensemble des fichiers compromis.

« Nous sommes obligés de constater le fort retour sur investissement des attaques sophistiquées que mènent les pirates, qui affectent des volumes considérables de données. Les cybercriminels continuent de s’approprier, la majeure partie du temps en toute impunité, des jeux de données extrêmement précieux. A titre d’exemple, les failles qui ont touché le secteur de la santé au cours du premier semestre leur ont permis de recueillir en moyenne plus de 450 000 fichiers de données, soit une augmentation de 200 % par rapport à la même période de 2014 », explique Jason Hart, vice-président et directeur de la technologie, en charge du pôle protection des données chez Gemalto.

Incidents par source
Le nombre d’attaques conduites à l’instigation ou avec la bénédiction d’un État ou d’un service gouvernemental n’ont représenté que 2 % de l’ensemble des incidents enregistrés. Le nombre de fichiers affectés par ces épisodes représente toutefois 41 % de l’ensemble des fichiers compromis, en raison notamment de l’attaque ayant ciblé Anthem Insurance et l’US Office of Personnel Management. Alors qu’aucune des dix principales failles enregistrées au premier semestre 2014 n’était le résultat d’une action soutenue par un État, trois des principaux incidents recensés cette année ont été menés à l’instigation de services gouvernementaux – et notamment les deux premiers en termes de sévérité.

Les intrusions malveillantes menées à titre individuel ont cependant été la principale cause des failles de données enregistrées au premier semestre 2015, représentant 546 ou 62 % des attaques informatiques, contre 465 ou 58 % au premier semestre de l’année écoulée. 116 millions (soit 46 %) des fichiers affectés globalement l’ont été en raison d’intrusions malveillantes, ce qui constitue un net recul sur les 298 millions d’incidents (71,8 %) répertoriés en 2014.

Incidents par type
Le vol d’identité demeure, au premier semestre, la principale cible des cybercriminels, représentant 75 % de tous les fichiers affectés, et un peu plus de la moitié (53 %) des failles de données enregistrées. Cinq des dix principales failles, y compris les trois premières – toutes trois classées au niveau « catastrophique » sur l’échelle BLI –, ont porté sur des vols d’identité, contre sept sur dix au cours du premier semestre 2014.

Incidents par secteur
De tous les domaines d’activité recensés, les secteurs gouvernementaux et de la santé ont payé le plus lourd tribut à la cybercriminalité, puisqu’ils représentent environ les deux tiers (31 % et 34 % respectivement) des fichiers de données compromis. La santé ne représente toutefois que 21 % des atteintes informatiques enregistrées cette année, contre 29 % au cours du premier semestre de l’année précédente. Le secteur du commerce de détail et de la distribution connaît une nette diminution du nombre de fichiers volés, représentant seulement 4 %, contre 38 % au cours de la même période de l’année écoulée. En termes de localisation géographique, les États-Unis sont le pays le plus touché, avec plus des trois quarts (76 %) des failles de données enregistrées, et près de la moitié (49 %) de l’ensemble des fichiers affectés par des attaques. La Turquie représente 26 % des compromissions de données, avec notamment une attaque massive ciblant la Direction générale de la population et des affaires de la citoyenneté, au cours de laquelle quelque 50 millions de fichiers numériques ont été forcés dans le cadre d’une intrusion malveillante.

Le niveau de chiffrement utilisé pour protéger les données exposées – capable de réduire considérablement le nombre et l’impact des failles de données –, a légèrement augmenté et se situe à 4 % pour toutes les attaques enregistrées, contre 1 % au cours du premier semestre 2014.

« Malgré la fluctuation du nombre de failles de données, la question reste la même : il ne s’agit pas de savoir ‘si’ vous allez être victime d’un vol de données, mais ‘quand’. Les données collectées dans le cadre de l’étude Breach Level Index montrent que la majeure partie des sociétés ne sont pas en mesure de protéger leurs données dès lors que leur défense périmétrique a été mise à mal. Alors même qu’un nombre croissant d’entreprises procèdent à un chiffrement de leurs données, elles ne le font pas au niveau requis pour réduire l’ampleur et la gravité de ces attaques », explique Jason Hart. « Les entreprises doivent adopter une vision de la menace numérique centrée sur les données, à commencer par l’instauration de techniques de gestion des identités et de contrôle d’accès beaucoup plus efficaces, qu’il s’agisse de procédures d’authentification multifactorielle ou du chiffrement des données, pour rendre inutilisables les informations dérobées. »

Selon le cabinet Forrester, l’habileté et la sophistication croissantes des cybercriminels se traduisent par une érosion de l’efficacité des contrôles et techniques de sécurité classiques, essentiellement basées sur un contrôle périphérique. La mutation constante du paysage de la cybercriminalité nécessite donc de nouvelles mesures défensives, avec notamment la généralisation des technologies de chiffrement. Dans l’avenir, les sociétés procéderont par défaut à un chiffrement dynamique de leurs données, mais aussi lorsque leurs systèmes et leurs données seront au repos. Cette approche de la sécurité centrée sur les données s’avère beaucoup plus efficace pour lutter contre des cybercriminels déterminés. En adoptant le chiffrement des données sensibles, qui les rend inutilisables, les sociétés incitent les cybercriminels à aller chercher des cibles beaucoup moins bien protégées. Le chiffrement est appelé à devenir la clé de voûte de la sécurité informatique. Ce sera donc un élément stratégique central pour les responsables de la sécurité et de la gestion des risques au sein des entreprises.1

La synthèse complète des incidents et failles répertoriés au premier semestre 2015, par secteur, source, type et région, est disponible sur : 1H 2015 Breach Level Index Report.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Paiement en ligne, Piratage, ransomware

Augmentation des attaques et des tactiques plus agressives du groupe d’extorsion DD4BC

Un commentaire

Akamai indique dans une nouvelle étude une forte augmentation des attaques DDoS provenant du groupe d’extorsions de Bitcoin DD4BC.

Akamai Technologies, Inc., publie, via PLXert (Prolexic Security Engineering & Research), présente une nouvelle étude dans le domaine de la cybersécurité. Elle fait état d’une augmentation des attaques DDoS provenant du groupe d’extorsions de Bitcoin DD4BC, contre les clients d’Akamai entre septembre 2014 et août 2015. Depuis avril 2015, l’équipe a identifié 114 attaques de DD4BC, dont certaines, plus agressives, ciblant la réputation de marques via les réseaux sociaux.

« DD4BC exploite les attaques DDoS pour extorquer des paiements en Bitcoin de ses victimes en échange d’une protection contre de futures attaques », explique Stuart Scholly, Senior Vice President & General Manager, Security Division d’Akamai. « Les dernières attaques en date, visant principalement le secteur des services financiers, ont fait appel à de nouvelles stratégies et tactiques destinées à harceler, exercer un chantage, puis finalement mettre à mal publiquement la victime. »

Qu’est-ce que le groupe DD4BC et quel est son mode opératoire ?

Le groupe DD4BC est à l’origine d’un grand nombre de campagnes d’extorsion de Bitcoin dont les premières remontent à 2014. L’an passé, le groupe a étendu ses extorsions de fonds et attaques DDoS à un éventail plus large de secteurs d’activité, parmi lesquels les services financiers, les médias et le divertissement, le jeu en ligne et la grande distribution. Le groupe informe ses victimes par e-mail qu’une attaque DDoS de bas niveau va être lancée contre leur site Web, De juin à juillet 2015, l’intensité de certaines de ces attaques a dépassé 20 Gbit/s. Il exige ensuite une rançon en Bitcoin pour protéger l’entreprise contre une attaque DDoS de plus grande ampleur qui pourrait rendre son site Web inaccessible. PLXsert a retracé l’historique des activités du groupe dans le Bulletin de sécurité Akamai : profil opératoire de DD4BC, publié en avril 2015.

DD4BC utilise les réseaux sociaux pour exploiter les entreprises

D’après les recherches de PLXsert, DD4BC a récemment menacé de divulguer sur les réseaux sociaux le nom des entreprises ciblées, aggravant ainsi les dommages causés par l’attaque DDoS proprement dite. L’objectif est d’attirer l’attention sur la capacité du groupe à provoquer des interruptions de services en révélant publiquement l’identité de leur cible et en ternissant la réputation de l’entreprise via ces canaux à très forte audience.

Pour ce faire, le groupe DD4BC s’appuie généralement sur des campagnes d’attaques DDoS à vecteurs multiples, en s’en prenant à d’anciennes cibles et en y intégrant des attaques au niveau de la couche 7, pour se concentrer en particulier sur la vulnérabilité pingback de WordPress. Cette faille est utilisée pour envoyer à la victime, des requêtes GET itératives en miroir afin de saturer son site Web. Les chercheurs Akamai ont vu cette technique d’attaque intégrée dans des booters DDoS.

Neutralisation des menaces

Depuis septembre 2014, l’étude PLXsert a observé au total 141 attaques DD4BC confirmées contre des clients d’Akamai. La bande passante moyenne de ces attaques DDoS s’établit à 13,34 Gbit/s, la plus importante ayant atteint 56,2 Gbit/s. (L’étude)

Cyber-attaque, Fuite de données, ID, Identité numérique, Leak, Piratage

500.000 dollars contre 32.000 mails d’Hillary Clinton

Un pirate informatique propose 32.000 courriels électroniques d’Hillary Clinton au plus offrant. Mise à prix : 500.000 dollars.

La campagne pour les présidentielles américains fait rage, sur scène et sur Internet. Un pirate informatique annonce avoir mis la main sur 32.000 courriers électroniques appartenant à la candidate Hillary Clinton. Il a mis à prix cette base de données privée pour la modique somme de 500.000 dollars. Il annonce que le contenu est une mine d’or.

L’ancienne secrétaire d’Etat a-t-elle du soucis à ce faire ? Le corbeau explique que l’équipe de Clinton a pensé à effacer la poubelle, les mails reçus… du webmail privé d’Hillary… mais a oublié d’effacer le dossier des messages envoyés. Bilan, les données auraient été retrouvées en nombre, dont des informations sur la France et d’un otage Français en Algérie. « Si ces courriels sortent dans le domaine public, Hillary devra faire une croix sur sa candidature à la présidentielle car elle pourrait mettre la sécurité nationale de notre pays en danger. » souligne le pirate au journal Radar Online. En juillet 2015, le FBI avait lancé une enquête sur une possibilité de piratage du serveur mail d’Hillary Clinton. La dame utilisait son compte privé pour envoyer des courriels. Des messages non classifiées avait-elle alors précisé.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Justice, Leak, Particuliers, Piratage

Le portail pour musiciens ReverbNation, piraté

ReverbNation, une plate-forme en ligne pour musiciens a été averti par la police que sa base de données avait été piratée… il y a plus d’un an !

Voilà qui donne l’ambiance ! Le portail ReverbNation, un espace web dédié aux musiciens, fort de plus de trois millions d’inscrits, a été contacté par la police suite à la découverte du piratage de la base de données de l’espace dédié aux musiciens. Les « amis du petit déjeuner » ont arrêté un pirate lors d’une affaire le concernant.

En fouillant l’informatique du voyou, il a été découvert que ReverbNation avait été piraté à partir de janvier 2014. Le pirate avait mis la main sur la base de données comportant les informations sur les millions d’utilisateurs.

Dans une communiqué de presse reçu à la rédaction de DataSecurityBreach.fr, l’entreprise invite ses utilisateurs à changer leurs identifiants de connexion. Les informations ont été consultées et copiées entre janvier et mai 2014. La fuite n’avait pas été détectée.

Les informations contenues dans la base de données : nom, numéro de sécurité sociale, numéro d’identification, adresse mail, mot de passe chiffrés, adresse postale, numéro de téléphone, date de naissance.

Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Leak, Piratage, Propriété Industrielle

Opération et gestion des crises en cyber défense à Saint-Cyr Coëtquidan

Les écoles militaires de Saint-Cyr Coëtquidan viennent d’ouvrir, ce 31 août, le premier mastère spécialisé « Opération et gestion des crises en cyber défense ».

Le Ministère de la Défense indique que cette toute nouvelle formation a pour but d’appréhender les dimensions stratégiques et politiques d’une crise cyber. « Ce nouvel espace de bataille numérique nécessite une approche globale pour planifier et conduire les opérations tout en appréhendant les dimensions stratégiques et politiques d’une crise cyber« . Unique en son genre et accrédité par la conférence des grandes écoles, un mastère spécialisé « Opération et gestion des crises en cyber défense », doit permettre aux armées de disposer de spécialistes capables d’être l’interface entre les techniciens cyber et les chefs militaires.

Cette formation est inscrite dans le pacte cyber 2014-2016. 532 heures de formation pour 16 stagiaires des 3 armes. Au mois de juillet 2016, après un stage de quatre mois en entreprise ou dans leur future affectation, chaque étudiant rédigera un mémoire professionnel. A noter que pour les « civiles », un master cyber défense vient d’ouvrir ses portes à Valenciennes. Il est baptisé Master CDSI – Cyberdéfense des Systèmes d’Informations. Un licence, sur ce même sujet, est dispensé à l’IUT de Maubeuge : Licence Professionnelle Cyber défense, anti-intrusion des systèmes d’information. (MinDéf)

Apple, Argent, Arnaque, backdoor, Banque, Cyber-attaque, Cybersécurité, escroquerie, Leak, Logiciels, Mise à jour, OS X, Particuliers, Patch, Piratage

Keyraider, un nouveau malware compromettant en France et dans le monde plus de 225 000 comptes Apple

Un commentaire

En coopération avec WeipTech, Palo Alto Networks et son unité de recherche Unit42 ont identifié 92 échantillons d’une nouvelle famille de malwares ciblant l’iOS, et agissant en toute impunité. Nous avons analysé les échantillons afin de déterminer quel était l’objectif final de leur auteur. Nous avons en outre baptisé ce malware “KeyRaider”. Nous pensons qu’il s’agit du plus important vol de comptes Apple jamais causé par un malware.

KeyRaider cible les appareils iOS débridés et est distribué en Chine via des référentiels tiers de Cydia. Au total, cette menace aurait touché des utilisateurs de 18 pays : Chine, France, Russie, Japon, Royaume-Uni, Etats-Unis, Canada, Allemagne, Autriche, Israël, Italie, Espagne, Singapour et Corée du Sud.

Le malware prend au piège les processus système à l’aide d’un hook via MobileSubstrate, puis capte les noms d’utilisateur et les mots de passe du compte Apple ainsi que l’identificateur unique global (GUID) de l’appareil, en interceptant le trafic iTunes sur l’appareil. KeyRaider dérobe les certificats et les clés privées envoyés par le service de notification Push d’Apple, vole et partage les informations d’achat sur l’App Store, et désactive les fonctionnalités de déverrouillage local et distant des iPhones et des iPads.

KeyRaider est parvenu à s’emparer de plus de 225 000 comptes Apple valides et de plusieurs milliers de certificats, de clés privées et d’accusés de réception de commandes. Le malware envoie les données volées à son serveur de commande et de contrôle (C2), lequel contient lui-même des vulnérabilités qui exposent les informations utilisateur.

L’objectif de cette attaque était de permettre aux utilisateurs de deux tweak de débridage d’iOS de télécharger des applications depuis l’App Store officiel et d’y faire des achats mais sans payer. Les tweaks de débridage sont des packages logiciels qui permettent aux utilisateurs d’exécuter des actions normalement impossibles dans iOS.

Ces deux tweaks détournent les demandes d’achats d’applications, téléchargent les comptes volés ou les accusés de réception de commande du serveur C2, puis émulent le protocole iTunes pour se connecter au serveur d’Apple et acheter des applications ou d’autres éléments demandés par les utilisateurs. Les tweaks ont été téléchargés plus de 20 000 fois, ce qui laisse supposer qu’environ 20 000 utilisateurs exploitent frauduleusement les 225 000 informations personnelles subtilisées.

Certaines victimes ont fait savoir que leurs comptes Apple volés font état d’un historique d’achats d’applications anormal. D’autres sont confrontés à un rançonnement de leur téléphone.

Palo Alto Networks et WeipTech ont mis à disposition des services qui détectent le malware KeyRaider et identifient les informations personnelles volées.

Cyber-attaque, Entreprise, Fuite de données, Leak, Paiement en ligne, Piratage

30.000 $ de café avec des cartes bancaires volées au Department of Homeland Security

Piratage informatique ou « simple » vol de données bancaires au Department of Homeland Security ? Un audit annonce 30.000$ de Starbucks achetés avec des cartes bancaires volées à ce ministère sensible américain.

Piratage ou « simple » vol par des agents du Department of Homeland Security ? Le bureau de l’inspecteur général du ministère de la sécurité intérieure a déclaré dans son rapport d’audit que quelqu’un a soit piraté ou volé les cartes de crédit du ministère et les a utilisé pour acheter du café chez  Starbucks. Un voleur étonnant, qui a dû laisser des traces.

Le Department of Homeland Security a refusé de commenter la façon dont beaucoup de ses cartes de crédit ont été piratées ou volées, mais a confirmé le vol d’informations des cartes en question, entre 2013 et 2014.

Ce n’est pas la première fois que le département de la Sécurité intérieure est sous le coup d’un vol de données. Dans le passé, les dossiers de 25.000 et 390.000 employés avaient été piratés lors de cyber-attaques. (NBC)

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, loi, Piratage

Nouvelles règles au sujet des fuites de données aux USA

Alors qu’en France et en Europe, le règlement sur la sécurité des données des internautes est toujours dans l’attente d’une résolution définitive, aux USA, le Pentagone vient de diffuser les nouvelles règles sur le sol américain.

La mesure porte sur les données confidentielles militaires technologiques et scientifiques, connus comme « des informations techniques non classés », ainsi que toutes les autres données non classés «protégées», telles que les informations de contrôle des exportations. La protection des informations classifiées est régie par d’autres mesures. En cas de piratage, fuite de données, visant une entreprise travaillant pour le gouvernement américain, mais aussi les entités gouvernementales, une alerte doit être diffusée dans les 72 heures via un site que le Ministère de la Défense a mis en place pour l’occasion.

Argent, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Paiement en ligne, Particuliers, Piratage, Social engineering, Vie privée

Piratage pour l’Internet des Îles Caïman

Des milliers d’internautes et sociétés basées dans l’informatique des Île Caïman obligés de changer leurs identifiants de connexion à la suite d’un piratage.

Les Îles Caïmans sont connues pour être ensoleillées, paradisiaques. Découvertes par Christophe Colomb en 1503, elles sont connues, aussi, pour être le 5ème plus gros centre financier offshore du monde. Toutes les grandes banques y ont au moins une adresse, sans parler de milliers de comptables, d’avocats d’affaires et autres fiscalistes, spécialistes des montages financiers qui permettent de faire disparaitre des radars des millions de dollars. Une grosse lessiveuse sur sable fin qui semble avoir attiré les pirates informatiques. Le CERT du pays, CIRT-KY, vient d’indiquer qu’il a été mis au courant d’une violation numérique qui a affecté la sécurité des mails et mots de passe de milliers de personnes passant par le pays et le portail Ecay Trade.

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, Piratage, Sauvegarde

Aux USA, les entreprises qui fuitent peuvent être poursuivies

Une cour fédérale américaine confirme que la Federal Trade Commission peut dorénavant prendre des mesures contre les entreprises qui ne parviennent pas à protéger les données de leurs clients.

Une cour d’appel américaine a statué ce lundi 24 août que dorénavant, la Federal Trade Commission peut prendre des mesures contre les entreprises qui ne protègent pas correctement les données de leurs clients.

Tout est parti de l’affaire des Hôtels du groupe Wyndham. Trois violations de données, entre 2008 et 2009 occasionnant 10,6 millions de dollars de fraudes. Le groupe hôtelier avait fait appel de la décision du tribunal. Il contestait la compétence de la FTC.

La décision du tribunal d’appel vient donc de tomber, confirmant la première décision. En bonus, la cour d’appel suggère que la FTC peut dorénavant tenir les entreprises responsables en cas de problème de sécurité informatique occasionnant une fuite de données.

En France, et en Europe, les internautes sont toujours en attente d’une application législative définitive qui obligera les entreprises à mieux protéger nos données et à alerter les clients maltraités. Des rumeurs font état que la France va accélérer le mouvement d’ici la fin de l’année. Il serait peut-être temps !

Adobe, Android, BYOD, Cloud, cryptolocker, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, ios, Leak, Logiciels, Mise à jour, OS X, Patch, Piratage, ransomware, Sécurité, Smartphone, Virus, VPN, Windows phone, Wordpress, Wordpress

État des lieux de l’Internet du 2ème trimestre 2015

Akamai Technologies, Inc., leader mondial des services de réseau de diffusion de contenu (CDN), annonce la disponibilité de son rapport de sécurité « État les lieux de l’Internet » du 2ème trimestre 2015. Il livre une analyse et un éclairage sur les cyber-menaces qui pèsent sur la sécurité cloud à l’échelle mondiale.

« La menace des attaques par déni de service distribué (DDoS) et applicatives web ne cesse de s’intensifier chaque trimestre », précise John Summers, vice-président, Cloud Security Business Unit d’Akamai. « Les acteurs malveillants brouillent perpétuellement la donne en changeant de tactique, en dénichant de nouvelles vulnérabilités, voire en remettant au goût du jour des techniques considérées comme obsolètes. En analysant les attaques observées sur nos réseaux, nous sommes en mesure d’inventorier les menaces et tendances naissantes et de communiquer au public les informations indispensables à la consolidation de leurs réseaux, sites web et applications, et à l’amélioration de leurs profils de sécurité cloud. »

Dans ce rapport sont analysés deux vecteurs d’attaques applicatives web supplémentaires, mais aussi examiné les menaces représentées par le trafic TOR (routage en oignon) et même mis au jour certaines vulnérabilités dans des modules externes WordPress tiers, en cours de publication dans le dictionnaire CVE », ajoute-t-il. « Plus les menaces de cybersécurité sont documentées, mieux la défense d’une entreprise peut être opérée.

Panorama de l’activité des attaques DDoS
Sur les trois derniers trimestres, il apparaît que le nombre d’attaques DDoS double d’une année sur l’autre. Si, au cours de ce trimestre, les pirates ont privilégié les attaques de moindre débit mais de plus longue durée, toujours est-il que le nombre de méga-attaques ne cesse de croître. Au 2ème trimestre 2015, 12 attaques à un débit supérieur à 100 Gb/s ont été recensées et 5 autres culminant à plus de 50 Mp/s (millions de paquets par seconde). Très peu d’entreprises sont capables de résister par elles-mêmes à des attaques de cette ampleur.

L’attaque DDoS la plus massive au 2ème trimestre 2015, mesurée à plus de 240 Gb/s, a duré plus de 13 heures. Le débit crête est généralement limité à une fenêtre d’une à deux heures. Sur cette même période, l’une des attaques présentant le débit de paquets le plus élevé jamais encore enregistré sur le réseau Prolexic Routed a également été déclenchée (à un pic de 214 Mp/s). Ce volume d’attaques est capable de paralyser des routeurs de niveau 1 comme ceux utilisés par les fournisseurs d’accès Internet.

L’activité des attaques DDoS a établi un nouveau record au 2ème trimestre 2015, en hausse de 132 % à trimestre comparable un an auparavant, et de 7 % par rapport au 1er trimestre 2015. Si le débit crête et le volume maximal moyens des attaques ont légèrement progressé au 2ème trimestre 2015 comparativement au trimestre précédent, ils demeurent nettement en-deçà des valeurs maximales relevées au deuxième trimestre 2014.

SYN et SSDP (Simple Service Discovery Protocol) sont les vecteurs les plus couramment utilisés ce trimestre, chacun d’eux représentant approximativement 16 % du trafic d’attaques DDoS. Eu égard à la prolifération d’équipements électroniques de loisirs non sécurisés, connectés à Internet via le protocole UPuP (Universal Plug & Play), leur utilisation comme réflecteurs SSDP demeure attrayante. Quasiment inexistant il y a encore un an, le SSDP s’est imposé comme l’un des principaux vecteurs d’attaques ces trois derniers trimestres. Quant à la technique par saturation de type « SYN flood », elle continue à dominer les attaques volumétriques et ce, depuis la première édition du rapport de sécurité parue au troisième trimestre 2011.

Le secteur des jeux en ligne demeure une cible privilégiée depuis le 2ème trimestre 2014, systématiquement visé par environ 35 % des attaques DDoS. Au cours des deux derniers trimestres, la majorité du trafic d’attaques ne provenant pas d’adresses usurpées a continué à émaner de la Chine, pays qui figure dans le trio de tête depuis la parution du premier rapport au troisième trimestre 2011.

Activité des attaques applicatives web
Des statistiques sur les attaques applicatives web ont commencé à être publiées par Akamai au premier trimestre 2015. Ce trimestre, deux autres vecteurs d’attaques ont été analysés : les failles Shellshock et XSS (cross-site scripting).

Shellshock, vulnérabilité logicielle présente dans Bash mise au jour en septembre 2014, a été exploitée dans 49 % des attaques applicatives web ce trimestre. En réalité, 95 % des attaques Shellshock ont visé un seul client appartenant au secteur des services financiers, dans le cadre d’une campagne qui a duré plusieurs semaines en début de trimestre. Généralement menée sur HTTPS, cette campagne a rééquilibré l’utilisation des protocoles HTTPS et HTTP. Au premier trimestre 2015 en effet, seulement 9 % des attaques avaient été dirigées sur HTTPS, contre 56 % ce trimestre.

Par ailleurs, les attaques par injection SQL (SQLi) représentent 26 % de l’ensemble des attaques, soit une progression de plus de 75% des alertes de ce type rien qu’au deuxième trimestre. À l’inverse, les attaques de type LFI (inclusion de fichier local) s’inscrivent en net recul. Principal vecteur d’attaques applicatives web au premier trimestre 2015, LFI n’est plus à l’origine que de 18 % des alertes au deuxième trimestre 2015. L’inclusion de fichier distant (RFI), l’injection PHP (PHPi), l’injection de commandes (CMDi), l’injection OGNL Java (JAVAi) et le chargement de fichier malveillant (MFU) comptent, pour leur part, pour 7 % des attaques applicatives web.

Comme au premier trimestre 2015, ce sont les secteurs des services financiers et du commerce et de la grande distribution qui ont été les plus fréquemment touchés par les attaques.

La menace des modules externes et thèmes WordPress tiers
WordPress, plate-forme la plus en vogue dans le monde pour la création de sites web et de blogues, est une cible de choix pour des pirates qui s’attachent à exploiter des centaines de vulnérabilités connues pour créer des botnets, disséminer des logiciels malveillants et lancer des campagnes DDoS.

Le code des modules externes tiers est très peu, voire nullement, contrôlé. Afin de mieux cerner les menaces, Akamai a testé plus de 1 300 modules externes et thèmes parmi les plus répandus. Résultat : 25 d’entre eux présentaient au moins une vulnérabilité nouvelle. Dans certains cas, ils en comprenaient même plusieurs puisque 49 exploits potentiels ont été relevés au total. Une liste exhaustive des vulnérabilités mises au jour figure dans le rapport, accompagnée de recommandations pour sécuriser les installations WordPress.

Les forces et les faiblesses de TOR
Le projet TOR (The Onion Router, pour « routage en oignon ») fait en sorte que le nœud d’entrée ne soit pas identique au nœud de sortie, garantissant ainsi l’anonymat des utilisateurs. Bien que nombre des utilisations de TOR soient légitimes, son anonymat présente de l’intérêt pour les acteurs malveillants. Pour évaluer les risques liés à l’autorisation de trafic TOR à destination de sites web, Akamai a analysé ce trafic web à l’échelle de sa base de clients Kona sur une période de sept jours.

L’analyse a révélé que 99 % des attaques émanaient d’adresses IP non-TOR. Néanmoins, une requête sur 380 issues de nœuds de sortie TOR était malveillante, contre une sur 11 500 seulement en provenance d’adresses IP non-TOR. Ceci dit, le blocage de trafic TOR pourrait se révéler préjudiciable sur le plan économique. Toutefois, les requêtes HTTP légitimes vers les pages d’e-commerce correspondantes font état de taux de conversion équivalents entre nœuds de sortie TOR et adresses IP non-TOR. Le rapport.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Mise à jour, OS X, Patch, Piratage, Social engineering, Virus

La sophistication et le dynamisme des cyber-attaques au cœur de la course à l’innovation des pirates et professionnels de la sécurité

Un commentaire

Comme chaque année, Cisco publie son Rapport semestriel 2015 sur la sécurité et dévoile son analyse des menaces et tendances en matière de cyber sécurité. Il révèle la nécessité absolue pour les entreprises de réduire les temps de détection (TTD), afin de contrer les attaques sophistiquées perpétrées par des pirates particulièrement motivés. Le kit d’exploits Angler est le type même de menaces auxquelles seront confrontées les entreprises. La multiplication des vecteurs d’attaques innovants et des opportunités de monétisation sont exploités par les hackers, à la faveur de l’essor de l’économie numérique et de l’Internet of Everything.

Les nouveaux risques associés à Flash, l’évolution des ransomwares et les campagnes de malwares de plus en plus dynamiques, tels que Dridex, augmentent la nécessité de réduire les temps de détection. Avec la digitalisation des entreprises et l’avènement de l’IoE (Internet of Everything), les malwares et autres menaces se font de plus en plus omniprésents. Cette situation ne manque pas de soulever des inquiétudes quant à la durée des temps de détection, actuellement compris entre 100 et 200 jours, d’après les estimations des professionnels de la sécurité. À titre de comparaison, le temps de détection moyen des solutions AMP (Advanced Malware Protection) de Cisco est de 46 heures, grâce à l’analyse rétrospective des attaques.

Le rapport souligne l’importance pour les entreprises, de privilégier le déploiement de solutions intégrées ainsi que le recours à des fournisseurs de services de sécurité à des fins d’orientation et d’évaluation. Par ailleurs, les géopoliticiens notent l’urgence de définir un cadre mondial de cybergouvernance afin de soutenir la croissance économique.

Angler, des assaillants tapis dans l’ombre pour mieux frapper – Grâce à l’exploitation de la vulnérabilité des solutions Flash, Java, Internet Explorer et Silverlight, Angler est actuellement l’un des kits d’exploits les plus sophistiqués et les plus largement utilisés. Le kit excelle également à passer au travers des détections en utilisant, en autres techniques : le « domain shadowing ».

Dridex, des campagnes en constante évolution – Les créateurs de ces campagnes de malwares en perpétuelle mutation ont bien compris comment échapper aux systèmes de sécurité. Pour mieux passer à travers les mailles du filet, les assaillants s’empressent de modifier le contenu des e-mails, noms d’utilisateurs, pièces jointes ou contacts, et de lancer de nouvelles campagnes, obligeant ainsi les systèmes anti-virus traditionnels à remettre à jour leur base de données afin de les détecter.

Flash is Back – Les exploits utilisant les vulnérabilités d’Adobe Flash intégrés dans les kits d’exploits Angler et Nuclear ont également le vent en poupe. Ce succès tient en partie au manque de solutions de correctifs automatiques, ainsi qu’à la négligence des utilisateurs qui n’effectuent pas immédiatement les mises à jour. Au cours du premier semestre 2015, le nombre de vulnérabilités Adobe Flash Player signalées par le système CVE (Common Vulnerabilities and Exposure) a augmenté de 66 % par rapport aux chiffres de 2014. À ce rythme, Flash est en passe d’établir un record absolu du nombre de signalements CVE pour l’année 2015.

L’évolution des ransomwares – Les ransomwares demeurent des solutions particulièrement lucratives pour les hackers qui ne se lassent pas d’en développer de nouvelles variantes. Les opérations de ransomware se sont tellement perfectionnées qu’elles sont aujourd’hui totalement automatisées et contrôlées depuis le Dark Web. Afin de soustraire les transactions à la loi, les rançons sont payées en monnaie virtuelle, telle que le bitcoin.

La nécessité d’une mobilisation générale

L’accélération de la course à l’innovation entre assaillants et éditeurs de solutions de sécurité expose les entreprises et utilisateurs finaux à un risque croissant. Les éditeurs doivent veiller à développer des solutions de sécurité intégrées permettant aux entreprises de se montrer proactives et d’associer professionnels, process et technologies de manière judicieuse.

Un cadre de cybergouvernance mondiale – À l’heure actuelle, la cybergouvernance mondiale ne dispose pas des outils nécessaires lui permettant de faire face aux menaces émergentes ou aux enjeux géopolitiques. La question des frontières, expose la problématique pour les états de collecter et de partager des données sur les entreprises et les citoyens entre différentes juridictions. Ceci constitue un obstacle de taille à la mise en place d’un système de cybergouvernance cohérent, dans un monde où la coopération est limitée. Afin de soutenir la croissance économique des entreprises et leurs efforts d’innovation, il est nécessaire d’instaurer un cadre de cybergouvernance multipartite et collaboratif au niveau mondial. De l’importance d’une transparence des éditeurs – Il est indispensable pour les entreprises de demander aux éditeurs une pleine transparence dans tous les aspects du développement de leurs produits de sécurité, et ce depuis la chaîne logistique et pendant toute la durée de déploiement de ces derniers.

Télécharger un exemplaire du Rapport semestriel Cisco 2015 sur la sécurité.

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Piratage de l’Université de Virginie, des Européens concernés

L’Université de Virginie a annoncé vendredi que son réseau informatique avait été victime d’une cyberattaque.

Les fonctionnaires de cette institution ont déclaré qu’une enquête en cours avait déjà permis de conclure qu’aucune information personnelle, telles que les numéros de sécurité sociale, données bancaires, ou des renseignements personnels sur la santé, avaient été consultés/copiés par les pirates.

L’attaque semble provenir de Chine, du moins d’un des milliers d’ordinateurs piratés Chinois qui ont pu être exploités par un malveillant agissant hors de la Grande Muraille. L’Université a été alertée non pas par ses informaticiens, mais par les autorités américaines, le 11 Juin 2015. L’école a communiqué sur le sujet, en cette mi-août. Elle vient de « patcher » la faille, une injection SQL aussi idiote qu’efficace.

Une mise à jour qui aura pris trois jours. Les utilisateurs ont dû, ensuite, changer l’ensemble de leurs mots de passe. Étrange, le communiqué de presse de l’Université a disparu. Plus grave que prévue l’attaque ?

Android, Argent, Arnaque, backdoor, Cybersécurité, escroquerie, Espionnae, ID, Identité numérique, Leak, Particuliers, Piratage, Sécurité, Smartphone

Avast découvre un nouveau malware sur Google Play made in Turquie

Une nouvelle version de Porn Clicker vient d’apparaitre sur Google Play. Des pirates Turcs seraient derriére cette nouvelle version.

En avril 2015, l’éditeur de solutions de sécurité informatique Avast découvrait un code malveillant baptisé « porn clicker ». Un malware caché dans un logiciel propose sur Google Play. D’après l’éditeur, il a pu être téléchargé entre 100 000 et 500 000. Le code malveillant se faisait passer pour l’application populaire Dubsmash.

Une fois l’application installée, aucun indice particulier ne permettait à l’utilisateur d’identifier sur son appareil une application intitulée “Dubsmash 2” : en effet, l’application générait à la place une icône qui se présentait sous le nom de “Réglages IS”. Lorsque l’utilisateur ouvre cette application, le Google Play Store active la page de téléchargement de l’actuel “Dubsmash”. Par la même occasion, une liste de liens redirigeant vers divers sites pornographiques est téléchargée, conduisant au lancement d’un des liens de cette liste dans le navigateur. Après une dizaine de secondes, le code procède au clic d’autres liens au sein même du site pornographique.

« Nous serons de retour… »

Quatre mois plus tard, il a identifié une mutation de ce malware. intercepteur de données qui semble avoir été créé par la même équipe turque qui était à l’origine de ce logiciel malveillant. Google a une nouvelle fois réagi rapidement et l’a retirée du Play Store.

Une fois téléchargées, les applications ne présentent aucune activité importante lorsque l’utilisateur procède à l’ouverture de celles-ci, et affichent seulement une image fixe. Toutefois, lorsque l’utilisateur, qui ne se doute de rien, ouvre son navigateur ou d’autres applications, l’application malveillante parcourant l’arrière-plan du système renvoie directement vers des sites pornographiques. Les victimes ne comprennent pas forcément d’où proviennent ces redirections, car il n’est possible d’arrêter ce processus qu’en supprimant l’application.

Les chercheurs en sécurité de chez Eset ont rapporté peu de temps après que de nombreuses applications ayant subi cette mutation se trouvaient dans Google Play, et que la forme originelle du malware y a été téléchargée à plusieurs reprises en mai dernier. Les découvertes, combinées à celles d’Eset, prouvent que les auteurs de ces malwares persistent dans leur intention de faire de Google Play une résidence permanente pour leurs logiciels malveillants.

Quelques jours plus tard, le malware était déjà de retour sur Google Play. Le malware, identifié sous l’appellation « Clicker-AR », était présent dans les trois applications suivantes : Doganin Güzellikleri, Doganin Güzellikleri 2, Doganin Güzellikleri 3. Ce qui signifie littéralement « Beautés de la Nature ». Les pirates avaient en effet modifié les noms des développeurs afin que Google ne puisse pas les retrouver facilement. Avast a signalé à Google la présence de ces applications malveillantes et celles-ci ont été une nouvelle fois retirées.

Que peut faire l’utilisateur ?

Google a du pain sur la planche. En effet, la société a en charge à la fois le maintien du système d’exploitation pour mobiles le plus populaire au monde et un « app store » proposant environ 1,5 millions d’applications. Un antivirus n’est pas à négliger, la source du logiciel est à vérifier par les utilisateurs avant le moindre téléchargement. Faire attention aux demandes d’autorisations des applications. Si une application fait une demande d’autorisation que l’utilisateur ne juge pas nécessaire pour le bon fonctionnement de l’application, cela annonce probablement la présence d’une faille. Même si cela peut-être piégé, vérifier les avis d’utilisateurs.

Apple, backdoor, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, OS X, Patch, Piratage, Propriété Industrielle, Sauvegarde

Le premier worm pour MAC débarque

2 commentaires

Des chercheurs découvrent comment corrompre le firmware des appareils Apple avec un worm dédié. La fin des MAC ?

Quand vous parlez informatique, les amateurs fortunés d’un MAC vous crieront haut et fort que les machines d’Apple sont infaillibles. Pas de virus, pas de piratage, pas de danger. Bon, il faut aussi admettre que les utilisateurs de MAC sont tellement sûrs de leur fait qu’ils oublient les différents cas ayant visé leur machine, comme ce keylogger indirect caché. Là ou les utilisateurs de MAC avaient plus ou moins raison est que des attaques directes, comme à l’encontre d’un ordinateur sous Windows, il n’en existait pas, du moins d’efficace. A première vue, la découverte de chercheurs américains risque de changer la donne si des pirates se penchent sur le problème.

Trois chercheurs [Xeno Kovah, Trammell Hudson et Corey Kallenberg] ont constaté que plusieurs vulnérabilités connues affectant le firmware de tous les meilleurs fabricants de PC peuvent également frapper le firmware du MAC. Qui plus est, les chercheurs ont conçu un ver, un worm « proof-of-concept », qui permettrait une attaque de firmware afin de se diffuser automatiquement de MacBook à MacBook, sans la nécessité pour eux d’être mis en réseau.

L’année dernière, Kovah et son partenaire Corey Kallenberg ont découvert une série de vulnérabilités de firmware qui touchaient 80% des ordinateurs qu’ils avaient examiné, y compris ceux de Dell, Lenovo, Samsung ou encore HP.

Bien que les fabricants de matériel ont mis en œuvre certaines protections pour éviter la modification sauvage de leur firmware, les chercheurs ont constaté qu’il restait assez simple de contourner les protections et flasher de nouveau le BIOS afin d’implanter un code malveillant. Les chercheurs ont alors décidé de voir si les mêmes vulnérabilités pouvaient s’appliquer à Apple. Ils ont constaté que oui, comme il l’indique dans Wired !

Démonstration du Thunderstrike 2 « firmworm » attendu lors du DEFCON 2015 de Las Vegas, cette semaine.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Emploi, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage, Propriété Industrielle, Scada

La sécurité informatique au sein des environnements industriels 4.0 : le savoir est la meilleure protection

Avec l’Industrie 4.0, les entreprises du secteur industriel ont accès à l’Internet… mais risquent également d’ouvrir leurs portes aux pirates. La meilleure façon de se protéger des fuites de données et du sabotage est de tirer parti d’informations décisionnelles. Des initiatives comme Shodan et Conpot permettent aux équipes chargées de la sécurité de profiter de grandes quantités de renseignements sur leurs propres vulnérabilités et les méthodes des pirates. Comme le dit notre slogan, chez DataSecurityBreach.fr, s’informer, c’est déjà se sécuriser.

Les sites de production des sociétés industrielles et du secteur de l’énergie ont été relativement à l’abri des attaques au cours des dernières décennies. Les systèmes de contrôle industriel (ICS) les plus répandus tels que les SCADA étaient optimisés pour accroître le rendement, et tenus à l’écart d’Internet (créant ainsi le fameux « Air Gap », ou « lame d’air »). Ils communiquaient à l’aide de protocoles propriétaires tels que Modbus, Profibus, S7comm ou DNP3, et étaient rarement les cibles des cybercriminels.

La situation a changé. L’interconnexion des systèmes de production est la promesse de gains énormes en matière de rendement, ce qui pousse de plus en plus d’entreprises à ouvrir leurs réseaux. Cette approche leur permet de simplifier et de centraliser la gestion de leur système, facilite la fourniture de nouveaux services, et contribue à minimiser les temps d’arrêt liés à l’assistance et à la maintenance, ainsi que leurs coûts.

Connecter des réseaux ICS à Internet présente cependant des menaces réelles. Un pirate parvenant à accéder au réseau peut alors infiltrer l’environnement de production étape par étape. Le logiciel et le matériel propriétaires utilisés ne sont généralement pas intégrés avec les systèmes de sécurité, et sont donc essentiellement non protégés. Selon ses objectifs et ses intentions, le pirate peut commencer à récupérer des données sensibles, manipuler les processus de production ou même saboter l’environnement de production tout entier. Le potentiel de dégâts de ce type d’attaques (prenons l’exemple marquant d’une attaque menée à l’encontre d’une centrale) est évidemment nettement plus élevé que celui d’une attaque MITM (l’interception de communications entre deux parties) contre une entreprise du secteur tertiaire ou autre.

Au commencement, il y eut Stuxnet
Au cours des dernières années, de nombreuses attaques de ce genre ont été enregistrées, Stuxnet en étant l’exemple le plus connu. En 2010, le ver SCADA (qui sans doute a été développé par des organismes gouvernementaux occidentaux) a ainsi saboté le projet de recherche nucléaire iranien. Ce fut le premier logiciel malveillant prouvant (officiellement) que du code informatique pouvait provoquer des dégâts sur des équipements matériels. Depuis, bien d’autres ont été menées à l’encontre de sites industriels, souvent en utilisant des logiciels malveillants créés sur mesure avec des fonctionnalités destinés aux ICS, comme Duqu ou Havex.

L’organe ICS-CERT (géré par le département américain de la Sécurité intérieure, et spécialisée dans la protection des infrastructures critiques) énumère d’ailleurs plusieurs faits inquiétants dans son Rapport pour l’année 2014 : son équipe d’analyse de la sécurité a été consultée dans près de 250 cas afin de participer à l’analyse de cyberattaques lancées sur des cibles critiques. Une grande partie de ces attaques étaient ciblées, les pirates s’infiltrant souvent dans les entreprises par la partie connectée à Internet de leur réseau à l’aide de logiciels malveillants sur mesure. Les cybercriminels utilisent également une grande variété de techniques. Selon l’ICS-CERT, le Spear phishing (une variante de hameçonnage où les employés sont convaincus d’exécuter des logiciels malveillants grâce à des e-mails semblant provenir de leurs supérieurs) reste le vecteur d’attaque le plus populaire. Mais d’autres menaces gagnent aussi en popularité, comme les attaques aux « points d’eau » (« watering hole »), une stratégie consistant à remplacer les mises à jour logicielles sur les sites des éditeurs par des chevaux de Troie, eux aussi taillés sur mesure.

Le BSI répertorie les attaques contre les ICS

L’Office fédéral allemand pour la sécurité des technologies de l’information (BSI) brosse un tableau similaire. Son rapport annuel « État des lieux de la sécurité informatique en Allemagne en 2014 » documente, entre autres, une attaque réussie sur une aciérie allemande. Les pirates ont utilisé les méthodes du Spear Phishing et de l’ingénierie sociale pour accéder au réseau de l’entreprise victime. Ils ont alors infiltré l’environnement de production, où ils ont causé d’énormes dégâts en compromettant plusieurs systèmes de contrôle. Le BSI affirme que les cybercriminels possédaient des connaissances détaillées sur les systèmes de contrôle industriel et les processus de production, en plus de leurs évidentes compétences en informatiques.

L’information est d’une importance cruciale

La guerre cybernétique a donc atteint les sites de production. Cela ne signifie pas nécessairement que le secteur industriel devrait renoncer au potentiel offert par l’interconnectivité, ni même en ralentir la progression. Les services chargés de la sécurité informatique doivent utiliser des systèmes de sécurité existants pour faire en sorte que les réseaux soient connectés à l’Internet de façon sécurisée. Mais pour cela, il leur faut d’abord des informations décisionnelles et détaillées. Ils doivent également connaître les vulnérabilités de leurs réseaux de production, les vecteurs d’attaque et les outils de piratage, ce qui leur permettra d’analyser les attaques, de neutraliser les logiciels malveillants et de réparer les dégâts éventuels.

Les experts en matière de sécurité cherchant à rassembler ces informations peuvent également s’appuyer sur leurs grandes connaissances et leurs réseaux de renseignement établis : d’une certaine façon, les attaques contre les systèmes industriels sont assez similaires aux attaques classiques contre les environnements informatiques des entreprises du tertiaire. Mais, bien que la protection effective de certains systèmes ICS puisse être très étendue, le problème reste que les informations disponibles sont limitées. Heureusement, la situation évolue également à ce niveau. Plusieurs initiatives de sécurité innovantes sont axées sur la protection des milieux industriels, et ont clairement pour principal objectif de fournir aux professionnels de la sécurité les renseignements dont ils ont besoin sur les menaces et les vulnérabilités.

Shodan et honeypot Conpot ICS/SCADA, des initiatives intéressantes

Shodan : le moteur de recherche pour l’IdO
Le moteur de recherche Shodan a été créé par le développeur John Matherly en 2009, permettant ainsi aux utilisateurs de rechercher sur le web une grande variété de systèmes connectés à Internet. Contrairement aux moteurs orientés contenu comme Google, Shodan utilise les scans des ports des adresses IP disponibles, puis recueille et indexe les bannières qu’il reçoit ensuite. Il peut ainsi parcourir le Web à la recherche de serveurs ou de routeurs d’un certain type, ou même de terminaux possédant des adresses IP comme des caméras de sécurité ou des dispositifs médicaux. Les utilisateurs peuvent créer leurs requêtes en utilisant une grande variété d’options de filtrage, par exemple en combinant des noms de fournisseurs, des informations sur des ports, des codes ou des protocoles régionaux afin de trouver des serveurs SCADA dans leur pays. Shodan est donc un bon outil pour localiser les vulnérabilités ou les systèmes mal configurés au sein de votre réseau : si une recherche révèle que l’un des automates ou l’une des IHM sur la plage d’IP de votre entreprise est visible sur Internet, vous savez que l’un de vos systèmes est probablement mal configuré et avez la possibilité de corriger cette erreur. Les vulnérabilités causées par des systèmes non patchés, des ports ouverts ou des mots de passe par défaut inchangés peuvent être repérées et corrigées tout aussi facilement. Cependant, si vous trouvez votre système sur Shodan, il est probable que vous ne soyez pas le seul. La proactivité reste donc de mise.

En outre, ce moteur de recherche n’est pas sans détracteurs. Comme presque toutes les solutions de test et de gestion des vulnérabilités, Shodan est souvent critiqué car il peut être utilisé à mauvais escient comme outil de piratage puissant, ce qui est incontestable : des boîtes à outils de piratage avec des interfaces Shodan existent depuis longtemps sur le Darknet. Mais la plupart des experts en sécurité s’accordent sur le fait que des fonctions de recherche similaires sont également disponibles en utilisant des botnets. Les professionnels de la sécurité des environnements industriels devraient clairement envisager d’intégrer Shodan à leur gestion des vulnérabilités.

Analyser les vulnérabilités et minimiser la visibilité d’un ICS sur Internet est de toute évidence un premier pas important dans la sécurisation des environnements de production. Mais la recrudescence des menaces ciblées persistantes et complexes (APT), qui sont créées sur mesure pour passer à travers les mailles des systèmes de sécurité existants, oblige les équipes chargées de la sécurité à analyser l’éventail des menaces tout aussi minutieusement.

Malheureusement, peu d’informations sont disponibles sur la façon dont les attaques contre les sites industriels surviennent, ou alors ces renseignements sont publiés trop longtemps après un incident. En effet, peu de cas sont documentés, et peu d’informations tangibles sur les menaces ont été recueillies jusqu’à présent. L’initiative de sécurité Conpot a pour but de changer la donne.

Conpot : des pots de miel pour le secteur industriel

L’initiative Conpot (abréviation de « système de contrôle Honeypot ») a été créée sous l’égide du Projet Honeynet par un groupe de professionnels de la sécurité expérimentés, parmi lesquels Lukas Rist de Blue Coat Systems. Le principe est de créer partout sur Internet des systèmes virtuels interactifs se comportant exactement comme des serveurs ICS ou des réseaux industriels non protégés. Une fois ces systèmes en place, le développeur du système honeypot (« pot de miel ») n’a plus qu’à attendre qu’un pirate attaque le site, terminal distant (RTU) ou ICS ainsi émulé, et peut alors observer et analyser l’attaque étape par étape. Par nature, tous les cas permettent de procéder à une analyse utile de leur vecteur d’attaque. L’intérêt supérieur de ces pots de miel se manifeste lorsque les membres de cette initiative peuvent corréler les données de plusieurs dizaines d’attaques, puis analyser leurs tendances et évolutions, identifier d’éventuels axes régionaux ou thématiques d’attaque, et recueillir ainsi davantage des données précieuses.

Habituellement, pour un analyste, rechercher une anomalie dans son réseau de production est comme chercher une aiguille dans une botte de foin. En déployant un honeypot dans votre réseau, tous les événements qui atteignent ce terminal sont susceptibles d’être des « aiguilles » (par exemple les attaques ou dispositifs mal configurés), étant donné qu’aucun élément réel n’est censé communiquer avec ce pot de miel. Ce dernier peut également être vu comme un leurre : le temps qu’y passe le pirate ainsi piégé correspond au laps de temps dont vous disposez pour sécuriser votre infrastructure critique avant qu’elle ne soit compromise à son tour.

N’importe quel professionnel de la sécurité peut contribuer à Conpot. L’émulateur est disponible en tant que logiciel Open Source à l’adresse www.conpot.org. Avec cet outil puissant, chaque développeur a la possibilité de concevoir un modèle réaliste et virtuel de son environnement, et de le connecter à Internet. Ainsi, les responsables de la sécurité peuvent obtenir des renseignements utiles leur indiquant ce à quoi ils doivent s’attendre en connectant leurs systèmes à Internet, et peuvent planifier leurs défenses en conséquence.

Les cyberattaques menées à l’encontre d’environnements industriels sont un phénomène réel. Ces attaques suivent essentiellement les mêmes mécanismes que pour les environnements des entreprises classiques du tertiaire. Une grande partie des attaques ont des motifs professionnels : d’abord, parce que les lamers (ou « script kiddies ») ne sont pas encore vraiment actifs dans ce segment, et ensuite parce que l’énorme potentiel de dégâts (ou la valeur des actifs) suscite l’intérêt d’acteurs importants tels que des organismes gouvernementaux, des groupes terroristes et des voleurs de données professionnelles. Les entreprises cherchant à sécuriser leurs réseaux doivent donc vérifier et minimiser la visibilité de leurs systèmes ICS sur Internet. Face à la recrudescence des menaces complexes, il est de plus en plus important de collecter de renseignements sur les menaces. Les équipes de sécurité ont besoin d’informations détaillées sur les vecteurs d’attaque et sur l’ensemble du cycle de vie des menaces. Ils peuvent alors élaborer une stratégie de défense globale en s’appuyant sur ces informations. Des initiatives telles Shodan et Conpot sont d’ailleurs un bon point de départ pour la collecte des renseignements nécessaires.

En parallèle, les entreprises doivent mettre en œuvre des meilleures pratiques de sécurité et protéger minutieusement les parties de leurs réseaux accessibles au public. Des solutions de sécurité dédiées aux ICS existent également pour les environnements particulièrement sensibles. Par exemple, Blue Coat propose la solution d’analyse ICS Protection Scanner Station, qui protège les systèmes industriels des logiciels malveillants véhiculés par des périphériques USB. En outre, la solution Security Analytics Platform Analytics propose également un module SCADA ThreatBLADE permettant d’identifier en temps réel les activités potentiellement malveillantes ciblant les systèmes SCADA.

Le rêve d’une solution parfaitement intégrée pour la protection des environnements industriels ne deviendra réalité qu’une fois que l’ensemble des différentes normes industrielles propriétaires auront été remplacées par des systèmes informatiques standard, et ces derniers intégrés aux architectures de sécurité existantes. Les technologies nécessaires pour cela (le protocole réseau IPv6, la surveillance complète des réseaux et la gestion rigoureuse des correctifs et des vulnérabilités) existent maintenant depuis un certain temps. L’étape suivante est leur mise en œuvre complète, ce qui pourrait prendre un certain temps en raison des cycles de vie plus longs des équipements industriels. (Christophe Birkeland pour DataSecurityBreacg.fr. Il est directeur technique en charge de la division Malware Analysis chez Blue Coat Systems).

Argent, backdoor, Banque, Cyber-attaque, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Justice, Leak, loi, Paiement en ligne, Particuliers, Piratage, Vie privée

Arrestations des pirates présumés de la banque JPMorgan Chase

Les services secrets américains semblent avoir mis la main sur les présumés pirates informatiques de la banque JPMorgan Chase. Les polices américaine et isralienne ont arrêtés 4 hommes. Un cinquième est en fuite.

Quatre personnes ont été arrêtées en Israël et en Floride dans le cadre de l’enquête sur le piratage informatique de la banque américaine de la banque JPMorgan Chase. Les réseaux informatiques de la banque avaient été attaqués au mois d’août 2014. 6 millions de foyers, et 7 millions de PME, avaient été visés par ce pirarate. Le porte-parole de la police israélienne, Micky Rosenfeld, a confirmé à l’agence Reuters que trois personnes avaient été arrêtées. Ils ont été présentés devant le juge de Rishon Lezion (région de de Tel Aviv. L’agence Bloomberg indique qu’un cinquième suspect est en fuite. Les 5 présumés pirates sont aussi accusés de l’infiltration de plus de 500.000 PC via l’exploitation du botnet Qbot (aussi appelé Qakbot). 800 000 transactions bancaires en ligne auraient été compromises. 59 % des sessions appartenaient à cinq des plus importantes banques américaines. 52 % des systèmes infectés étaient des systèmes Windows XP ! Des arrestations qui font suite à l’affaire Darkode ?