Archives de catégorie : Piratage

Actualités liées au piratage informatique.

Cyber-attaque, Cybersécurité, Mise à jour, Patch, Piratage, ransomware, Securite informatique

Xbash, le futur Petya ?

21 septembre 2018 Damien Bancal

Xbash : dans la lignée de NotPetya, une nouvelle menace et famille de malware ciblant les serveurs Windows et Linux risque de faire grand bruit.

L’Unit42, unité de recherches de Palo Alto Networks, a découvert cette menace qui a toutes les caractéristiques de NotPetya. Baptisé Xbash, cette menace est un malware destructeur de données qui se fait passer pour un ransomware. Il combine des fonctions de cryptomineur, de ransomware, de botnet, d’auto propagation et se répand en visant les mots de passe à faible niveau de sécurité et les failles non-patchées

XBash, nouvelle menace aux allures de Petya

Les chercheurs de l’Unité 42, unité de recherches de Palo Alto Networks ont découvert une nouvelle famille de malware qui ciblent les serveurs Windows et Linux. Nous pouvons lier ce malware, que nous avons baptisé Xbash, à Iron Group, un groupe de cybercriminels qui s’est fait connaître par des attaques de type ransomwares.

Xbash est un ransomware et un cryptomineur. Il a également des capacités d’autopropagation (c’est-à-dire qu’il est des caractéristiques d’un vers semblable à WannaCry ou Petya/NotPetya). Il a également d’autres capacités non encore implémentées qui, quand elles le seront, pourraient lui permettre de se répandre très rapidement dans le système d’information d’une entreprise (là encore, tout comme WannaCry ou Petya/NotPetya).

Xbash se répand en visant les mots de passe faibles et les failles non-patchées.

Xbash est dangereux pour les données ; il détruit les bases de données sous Linux dans le cadre de son action de ransomware. De plus nous n’avons trouvé aucune fonctionnalité au sein de Xbash qui pourrait permettre la restauration des données après paiement de la rançon. Cela signifique que, comme NotPetya, Xbash est un malware destructeur de données qui se fait passer pour un ransomware.

Les entreprises peuvent se protéger de Xbash en :

Changer les mots de passe par défaut et utiliser des mots de passe forts
Faire régulièrement les mises à jour de sécurité
Installer des outils de sécurités sur les terminaux d’accès sous Linux et Windows
Empêcher l’accès à des hôtes inconnus sur internet (pour bloquer l’accès aux serveurs C&C — Command and Control — établis par les cybercriminels)
Implanter et maintenir des procédures de sauvegarde et restauration strictes et efficaces

Les particularités de Xbash

Pour conclure, Xbash combine des fonctions de cryptomineur, de ransomware, de botnet et d’autopropagation. Les systèmes basés sous Linux sont visés par ses capacités de botnets et de ransomware. Les systèmes basés sous Windows sont visés par ses capacités d’autopropagation et de cryptomineur. La composante ransomware cible les bases de données sous Linux et les détruit. À ce jour, 48 transactions entrant sur ces wallets pour un revenu total de 0,964 bitcoin. 48 victimes ont payé près de 6000 dollars (ou près de 5209 euros) au total, à l’heure où nous écrivons ces lignes.

Iron Group

Toutefois il n’y a aucune preuve que les rançons payées ont permis aux victimes de récupérer leurs données. Aucune fonctionnalité pour rendre cette restauration possible tout au long du processus de paiement de rançon. Les analyses estiment que c’est surement l’œuvre du Iron Group, un groupe déjà publiquement lié à d’autres campagnes de rançonnage y compris celles incluant l’utilisation du RCS (Remote Control System) dont le code source aurait été volé à la HackingTeam en 2015.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Paiement en ligne, Piratage, ransomware, ransomware, Securite informatique

L’aéroport de Bristol mis au tapis par un logiciel de rançonnage

20 septembre 2018 Damien Bancal

L’aéroport de Bristol touché par une cyberattaque. Parmi les problèmes, les écrans d’affichage des vols mis hors ligne pendant 48 heures.

L’aéroport de Bristol (Royaume-Uni) ferme une partie de son informatique. Durant deux jours, en raison d’un ransomware, les écrans d’affichage dédiés aux vols perturbés pendant deux jours. La BBC explique que le rançongiciel a mis une telle pagaille que des systèmes entiers ont du être retirés du réseau. Pour répondre aux attentes des voyageurs, tableaux blancs et marqueurs ont servi de palliatifs ! Le code malveillant peut se retrouver dans la place de plusieurs façons : un employé qui clique sur le mauvais mails ; une clé usb sur un bureau ; une infiltration d’un des serveurs et exécution du code pirate. Un message sur le site web de l’aéroport indique que les vols sont « ok ». Un délai supplémentaire est à prévoir pour l’enregistrement et l’embarquement. Le logiciel de rançonnage n’aurait pas infecté des systèmes sensibles de l’aéroport. Cependant, le site web de la structure aéroportuaire ne proposait plus toutes ses options habituelles.

New state-of-the-art arrivals announcement system at Bristol Airport pic.twitter.com/IIRwhMSSOk

— Jean van den Elsen (@JeanvdElsen) September 15, 2018

APT, Argent, Arnaque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Leak, Particuliers, Piratage, Securite informatique, Vie privée

Un Javascript permet de piéger des boutiques en ligne

13 septembre 2018 Damien Bancal 2 commentaires

Une bibliothèque Javascript hébergée par Feedify et utilisée par des sites de commerce électronique piégée à plusieurs reprises. Mission, intercepter les données bancaires des visiteurs.

Le code de la bibliothèque est généralement intégré aux pages Web de vente au détail par les administrateurs de sites et les développeurs afin d’ajouter un moyen de paiement pour les clients. Ce code – feedbackembad-min-1.0.js – se diffuse à partir des serveurs Web de Feedify. Altéré à plusieurs reprises par des pirates informatiques pour inclure le logiciel malveillant MageCart. Cet outil pirate recherche les informations de carte de crédit saisies sur les pages Web compromises. Copiées en temps réel sur un serveur externe (info-stat*ws) des pirates.

Ainsi, si quelqu’un visite un site Web piégé, leur navigateur va lancer le malware MageCart. Ce dernier va siphonner les informations confiées par le visiteur. Les internautes utilisateurs de l’un des sites de commerce basés sur le code de Feedify risquaient de tomber dans le piège. Selon Feedify, plus de 4 000 sites Web utilisent son code.

Une recherche rapide démontre quelques centaines d’utilisateurs de cette bibliothèque. MageCart est apparu sur les sites Web de British Airways et de Ticketmaster.

Magecart on Feedify. A customer engagement tool. According to there website 4000+ website use there tooling/code. Fixed today after I notified them.@ydklijnsma @GossiTheDog pic.twitter.com/K2czXkUoHD

— Placebo (@PlaceboRulez) September 11, 2018

Argent, Communiqué de presse, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, ID, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Piratage, Propriété Industrielle, Sauvegarde, Securite informatique

Menace : les documents Office peuvent être dangereux

12 septembre 2018 Damien Bancal

Nous utilisons quasiment tous des documents Microsoft Office. Qu’il s’agisse de documents de travail, de reçus électroniques ou du bail d’un nouvel appartement, les documents Office sont utiles à chacun d’entre nous et c’est en partie la raison pour laquelle nous sommes susceptibles de les ouvrir lorsque nous en recevons en pièce jointe d’un e-mail. Connaissant la propension de nombreux utilisateurs à ouvrir la quasi-totalité des documents, même ceux provenant d’une source non fiable, des individus malintentionnés choisissent couramment ces fichiers pour attaquer et infecter un système.

Nous allons ici passer en revue cinq techniques différentes permettant de détourner les documents Office pour en faire des armes d’attaque et d’infection des postes de travail Windows. Nous en avons déjà évoqué certaines précédemment, tandis que d’autres sont nouvelles.

Macros

Les macros sont le moyen le plus simple pour un assaillant d’infecter des documents Office. Les applications Office intègrent un moteur de scripts capable d’exécuter le langage VBA (Visual Basic for Applications). Du code malveillant contenu dans ces scripts peut ainsi s’exécuter sur le système dès l’ouverture du document, sans aucune intervention de l’utilisateur (à condition toutefois que ce dernier ait au préalable activé les macros). Si l’utilisateur n’a pas activé les macros, un message apparaît pour lui demander s’il souhaite le faire. Il s’agit de l’un des divers mécanismes de sécurité mis en place par Microsoft afin d’atténuer le risque présenté par les macros. Microsoft impose également une autre extension de nom de fichier (.docm au lieu de .docx pour les nouveaux documents contenant des macros). En dépit de ces mesures de sécurité, des utilisateurs décident néanmoins d’ouvrir ces fichiers et d’activer leur contenu, de sorte que les macros demeurent un vecteur courant, aussi bien pour des attaques vastes et simples destinées à propager un ransomware, telles que Emotet, que pour des campagnes élaborées, à l’image de Sofacy.

Comme l’illustre cet exemple, les auteurs des attaques tentent de convaincre les utilisateurs de désactiver les mécanismes de sécurité mis en place par Microsoft. Ils usent, pour ce faire, de techniques d’ingénierie sociale, persuadant l’utilisateur d’activer le contenu afin de pouvoir consulter l’intégralité du document. Dans l’exemple Sofacy, les assaillants ont simplement coloré le texte en blanc, de sorte que celui-ci était bien présent avant que l’utilisateur n’active les macros, mais invisible.

Fichiers Flash incorporés

En dehors des fonctionnalités intégrées telles que les macros, les documents Office peuvent aussi incorporer des objets externes, par exemple des fichiers Adobe Flash. Ces objets étant transmis au logiciel approprié pour leur traitement, toute vulnérabilité éventuellement présente dans ce logiciel peut également être exploitée par son incorporation dans le contenu Adobe Flash à l’intérieur du document Office. Un exemple de ce vecteur d’attaque est la faille Zero Day CVE-2018-4878dans Adobe Flash Player, exploitée par l’incorporation de fichiers SWF malveillants dans des documents Excel. Dans les attaques de ce type, le document Excel infecté incorpore un contenu Adobe Flash capable de déclencher la vulnérabilité Flash et d’exécuter du code shell intégré.

Editeur d’équations Microsoft

Comme pour les fichiers Adobe Flash incorporés dans un document Office, il est également possible d’insérer dans des documents des équations mathématiques qui seront interprétées par l’Editeur d’équations Microsoft, un outil ayant pour vocation de faciliter leur écriture :

Comme dans notre exemple précédent, des vulnérabilités dans l’éditeur d’équations s’exploitent par l’intermédiaire de documents Office malveillants. Nous en avons observé des cas tout récemment lorsque la faille CVE-2017-11882 a été exploitée, ouvrant la voie à d’autres, telles que CVE-2018-0802. Toutes deux touchent l’éditeur d’équations, ce qui permet d’amener l’utilisateur à ouvrir un document Office pour l’exécution de code à distance. Des vulnérabilités similaires dans l’Editeur d’équations Microsoft, telles que CVE-2018-0807 et CVE-2018-0798, identifiées par les chercheurs de l’Unité 42.

Il est à noter que, l’Editeur d’équations Microsoft s’exécutant sous la forme d’un processus distinct (eqnedt32.exe), les protections spécifiques à Microsoft Office, telles que EMET et Windows Defender Exploit Guard ne sont pas efficaces par défaut, car elles protègent uniquement les processus Microsoft Office (par exemple winword.exe).

Objets OLE et handlers HTA

Les objets OLE et les handlers HTA sont des mécanismes pour les documents Office. Ils font référence à d’autres documents inclus dans leur contenu. Ils peuvent servir à infecter un poste de travail de la manière suivante :

Un objet OLE2 (lien) s’incorpore dans un document Microsoft Word. Une fois le document ouvert, le processus Word (winword.exe) envoie une requête HTTP à un serveur distant afin de télécharger un fichier HTA contenant un script malveillant. Winword.exe recherche alors dans le handler le type « application/hta » via un objet COM, ce qui entraîne le chargement et l’exécution du script malveillant par l’application Microsoft HTA (mshta.exe).

Cette fonctionnalité a été exploitée dans la vulnérabilité CVE-2017-0199, permettant l’exécution de code à distance dans Microsoft Office/WordPad et corrigée par Microsoft en septembre 2017. Diverses campagnes y ont eu recours, par exemple OilRig.

Aux côtés des vulnérabilités OLE et HTA décrites plus haut, les auteurs des attaques ont découvert que des fichiers RTF peuvent également exécuter des objets OLE de type mime « text/html », au moyen de MSHTML. Cela signifie que les documents RTF présentent la même vulnérabilité aux attaques qu’Internet Explorer.

CVE-2018-8174

L’exploitation de cette vulnérabilité logique, nommée CVE-2018-8174, permet aux auteurs d’attaques d’exécuter du code HTML/JavaScript/VBScript arbitraire. Tandis que le code exécuté de cette façon se place dans une « sandbox » (où il ne peut lancer de nouveaux processus, écrire dans le système de fichiers ou effectuer d’autres opérations) à l’instar de tout autre code exécuté à partir d’Internet Explorer. Cette faille peut servir à en exploiter d’autres, par exemple une vulnérabilité UAF de corruption de mémoire dans le moteur VBScript, pour permettre l’exécution de code arbitraire dans le cadre de l’application Word (winword.exe) et la prise de contrôle du système.

Tandis que les attaques utilisant des documents comme vecteur sont courantes depuis plus d’une dizaine d’années, nous observons une augmentation récente de leur fréquence et de leur complexité. Cette tendance pourrait s’expliquer par la difficulté croissante d’exploiter les vulnérabilités des navigateurs, en raison du renforcement de leur protection par leurs développeurs. Quoi qu’il en soit, il est important pour les entreprises de savoir comment se défendre.

Base de données, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage, ransomware, ransomware, RGPD, Securite informatique

Cyberattaques : mon voisin, le pirate !

30 août 2018 Damien Bancal 3 commentaires

Cyberattaques – On a l’habitude de dire que l’été est une période propice aux cambriolages. Mais il en de même pour le piratage qui ne « baisse pas pavillon »… bien au contraire. En effet, la cuvée 2018 a été marquée par une série de cyberattaques diverses et variées. C’est l’occasion de rappeler que la cybersécurité est un enjeu crucial tant au niveau local que global, qu’il s’agisse de grandes entreprises ou de petites structures, du secteur privé ou public.

Marie-Benoîte Chesnais, experte en cybersécurité chez CA Technologies, fait le point sur les principaux évènements de l’été, liés à cette menace grandissante qu’est le « piratage ».

Cyberattaques : Les temps forts de l’été

Au début de l’été, le FBI a adressé une note confidentielle aux banques américaines concernant des risques potentiels d’attaques informatiques visant les distributeurs de billets (« ATM Cashout »). L’Inde en a finalement été la première victime, le 11 août dernier. Le « butin », d’un montant d’environ 10 millions d’euros, retiré dans plus de 2 100 distributeurs de billets, dispersés dans 28 régions différentes du pays. Une sacre logistique.

Début août, c’est une mairie du Var (La Croix-Valmer), victime d’une attaque par « cryptovirus ». Les données des administrés prises en otage contre rançon. Refusant de céder aux pirates, la mairie a dû réunir une cellule de crise composée d’informaticiens afin de tenter de désamorcer la situation. Cependant, avec la mise en place du RGPD, la mairie encourt une amende salée…

Cyberattaques à l’encontre de banque

Le 26 août, sur fond de soupçon de revendications politiques, c’est la Banque d’Espagne qui, cette fois-ci, a dû composer avec un site internet bloqué par intermittence, fort heureusement sans conséquences sur la bonne marche des services. De même, en Belgique, les services publics fédéraux visés chaque semaine par des attaques.

Les failles de sécurité sont lourdes de conséquences mais peuvent également entacher la notoriété des entreprises. A titre d’exemple, Instagram constate une recrudescence des attaques, sous la forme de tentatives de « phishing » ou d’hameçonnage dont le nombre est passé de 150 à plus de 600 par jour.

A noter le bilan ÉTÉ Français de ZATAZ.COM sur les fuites de données dans l’hexagone.

APT, backdoor, Base de données, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Securite informatique

Gorgon Group : Des pirates pakistanais tentent d’infiltrer des institutions étatiques

26 août 2018 Damien Bancal

Des pirates informatiques baptisés Gorgon Group, présumés venir du Pakistan, attaquent des institutions étatiques en Russie, en Espagne et aux États-Unis via des courriels piégés.

Gorgon Group – Le phishing et autres courriels piégés sont légions. Un groupe de pirates informatique présumés pakistanais tente d’attaquer des organisations gouvernementales via ce procédé. Une attaque qui a exploité les mêmes serveurs qui diffusent spams et logiciels malveillants.

Un faux mail sur le terrorisme

Comme rapporté par des chercheurs de l’unité 42 de Palo Alto Networks, le Gorgon Group est actif depuis Février 2018. Via des phishings ciblés, ils ont visé des bureaux gouvernementaux en Espagne, au Royaume-Uni, aux Etats-Unis et en Russie.

Script-kiddies au Pakistan ?

D’abord, les attaquants envoient des mails phishing à leurs victimes sur des questions de terrorisme, ainsi que sur des problèmes militaires et politiques au Pakistan. Les courriels contiennent des documents Microsoft Word. Fichier piégé par l’exploit CVE-2017-0199. Lorsque la victime ouvre le document, un script Visual Basic s’exécute avec des commandes PowerShell. Le pirate n’a plus qu’à installer son logiciel espion dans la machine piégée. Dans le cas du groupe Gorgone, les chevaux de Troie sont : NanoCoreRAT, QuasarRAT ou encore NJRAT.

Pour conclure, le nombre exact d’infections réussies est inconnu. Néanmoins, les chercheurs ont trouvé des preuves que même une campagne avec une infrastructure aussi primitive (script-kiddies ?) peut constituer une menace pour la sécurité des organisations gouvernementales.

Android, backdoor, Cyber-attaque, Cybersécurité, Espionnae, ID, Identité numérique, Leak, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie, Vie privée

Triout, un espion dans votre smartphone

26 août 2018 Damien Bancal 3 commentaires

Triout, un nouveau logiciel espion s’attaque aux appareils sous Android.

Triout, l’espion 2.0 ! Aucun système d’exploitation n’est à l’abri des logiciels malveillants. Les cybercriminels voudront toujours voler, espionner ou manipuler vos données. La prolifération des appareils Android – des smartphones aux tablettes et aux téléviseurs intelligents – ouvrent des nouvelles « voix » aux développeurs de logiciels malveillants. Ces appareils contiennent des micros, des caméras et un gps.

Premièrement, les chercheurs de Bitdefender identifient un nouveau logiciel espion Android, baptisé Triout. Trouvé avec une application reconditionnée, les capacités de surveillance de ce logiciel espion consiste à masquer sa présence sur l’appareil. Il va ensuite enregistrer des appels téléphoniques. Copier les SMS. Recoder les vidéos. Prendre des photos. Recueillir des coordonnées GPS.

Ensuite, il est intéressant de noter que Triout apparaît pour la première fois en Russie. La plupart des analyses/rapports proviennent d’Israël. La première apparition de l’échantillon date du 15 mai 2018, sur VirusTotal.

Enfin, l’analyse du logiciel espion indique que Triout a la capacité d’enregistrer chaque appel téléphonique. La conversation se retrouve sous la forme de fichier multimédia. L’information est communiquée au C&C avec l’identifiant de l’appareil. L’espion enregistre chaque SMS entrant (corps SMS et expéditeur SMS). Il a la possibilité d’envoyer tous les journaux d’appels. Chaque photo prise par l’appareil piégé, caméra avant ou arrière, est envoyée au C&C.

Android, Argent, Arnaque, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Leak, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie

Cybersécurité : Les Chevaux de Troie bancaires mobiles atteignent un niveau historique

24 août 2018 Damien Bancal

Une société de cybersécurité constate lors de ces trois derniers mois que les chevaux de troie ont atteint le haut de la pile des cyber casse-tête.

Cybersécurité – Le nombre de packs d’installation pour les services bancaires mobiles – permettant d’apporter des modifications qui aident les attaquants à éviter la détection par les solutions de sécurité – a atteint plus de 61 000. Cela représente un sommet historique ; Plus du triple par rapport au premier trimestre de 2018, et plus du double par rapport au premier trimestre de 2017.

Les Chevaux de Troie mobiles sont les malwares les plus impopulaires, créés pour voler de l’argent directement depuis les comptes en banque.

Les Etats-Unis, la Russie et la Pologne sont les 3 pays avec la plus grande proportion d’utilisateurs ciblés par les malwares bancaires mobiles.

Le Cheval de Troie Hqwar est la principale source de cette croissance, avec plus de la moitié des modifications enregistrées relatives à ce malware.

De tels chiffres pour les malwares bancaires mobiles peuvent s’expliquer par l’augmentation de l’intérêt pour les malwares mobiles de manière générale (+ 421 000 sur Q2).

61 045

C’est le nombre de chevaux de Troie bancaires mobiles enregistrés sur le 2e trimestre 2018. Le pic le plus haut jusqu’alors datait de Q4 2016 et n’atteignait pas 40 000.

351 913 075

URLs uniques reconnues comme malveillantes (+24% par rapport à Q1) par des composants antivirus web.

215 762

C’est le nombre de tentatives d’infections par malware ayant pour but de voler de l’argent.

962 947 023

Attaques malveillantes en provenance de ressources en ligne de 187 pays du monde repoussées par Kaspersky ce trimestre (+20% par rapport à Q1).

Argent, Arnaque, backdoor, Banque, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, DDoS, escroquerie, Fuite de données, ID, Identité numérique, Leak, Particuliers, Piratage, ransomware, Securite informatique

Cybermenaces : Que font les pirates en 1 minute ?

24 août 2018 Damien Bancal

Cybermenaces : Les pirates feraient perdre plus de 1 million de dollars par minute dans leurs actions malveillants.

Alors que les cybercriminels et les cybermenaces ont coûté 600 milliards de dollars à l’économie mondiale l’an dernier, la société RiskIQ, spécialiste dans la gestion des menaces numériques, a fait appel à des recherches exclusives pour examiner le volume croissant d’activités malveillantes sur Internet.

L’étude montre que, dans une seule minute employée par les pirates informatique du globe, 1 138 888 dollars sont perdus. Dans ce même laps de temps, 1 861 personnes sont victimes d’un acte de piratage. Malgré les efforts des entreprises pour se protéger contre les cybermenaces externes, en dépensant jusqu’à 171 233 dollars en 60 secondes aux USA, les pirates continuent à proliférer et à lancer des campagnes malveillantes.

« Alors qu’Internet et sa communauté continuent de croître à un rythme rapide, le ciblage de la menace se développe également à grande échelle« , déclare à DataSecurityBreach.fr le PDG de RiskIQ, Elias Manousos.

Les tactiques d’attaque

Les méthides d’attaques ? Elles vont des logiciels malveillants au phishing en passant par les attaques de chaînes d’approvisionnement ciblant des tiers. Les motivations pirates incluent l’argent, les dommages à la réputation à grande échelle, la politique et l’espionnage. Les cybercriminels continuent de réussir à déployer des tactiques à partir de 1 274 logiciels malveillants uniques (par minute) et à déployer plus de neuf publicités piégées.

Activités malveillantes

Selon la société américaine RiskIQ, toutes les minutes, 1,5 entreprises de part le monde touchée par un ransomware. Coût moyen pour les entreprises : 15 221 $. (corrections, pertes …) ; En une minute, 17 applications mobiles se retrouvent sur liste noire. 21 nouveaux domaines sont créés pour du phishing et un nouveau site utilisateur (volontaire ou non) du script d’extraction de crypto-monnaie CoinHive voit le jour.

Apple, backdoor, Cyber-attaque, Cybersécurité, ios, Logiciels, Mise à jour, OS X, Piratage, Securite informatique, Smartphone

Un ancien hacker de la NSA démontre une faille majeure dans macOS

19 août 2018 Damien Bancal 2 commentaires

La société Apple est généralement considérée comme étant une marque fiable, proposant une sécurité accrue. Un ancien hacker de la NSA démontre une faille majeure dans macOS. Elle permet le contournement des mécanismes de sécurité !

Faille majeure pour Apple ! Lors des conventions de cybersécurité Def Con/Black Hat qui se sont tenues à Las Vegas, début août, Patrick Wardle, un ancien Ninja de la NSA, fondateur de la société DigitaSecurity, a présenté des exemples d’attaques visant les produits Apple, et plus précisément macOS.

D’abord, Patrick Wardle est aussi généreux que doué. Il a expliqué comment un pirate pouvait contourner la plupart des mécanismes de sécurité mis en œuvre par Apple pour protéger macOS.

Wardle explique que les logiciels malveillants peuvent échapper aux méthodes de sécurité en les ciblant au niveau de l’interface utilisateur.

Chez Apple, les avertissements et autres autorisations à la moindre action font partis de l’écosystème des produits de la firme Californienne. Un mécanisme de défense contre les clics indésirables.

Faille majeure

Ensuite, Wardle affirme qu’il est possible d’exploiter ces avertissements en modifiant la façon dont macOS convertit les clics de clavier en clics de souris. Étant donné que macOS interprète deux actions de la souris comme équivalant à cliquer sur OK, il est donc possible d’écrire une ligne de code supplémentaire pour éviter qu’un avertissement n’apparaisse à l’écran. En abusant des nombreuses interfaces de macOS, un code peut s’executer via un code malveillant qui permettra d’ignorer les avertissements. Wardles a baptisé cette action « Synthetic Click ». Des attaques que l’ancien hacker de la National Security Agency a expliqué lors de la Def Con via des attaques automatisées visant macOS Sierra.

From my @DefCon talk:
Apple's "User Assisted Kext Loading" is huge PITA for 3rd-party devs/breaks apps…but hackers can bypass trivially 😭

//0day bypass
// 2x 🐭⬇️ on 'Allow' btn
CGPostMouseEvent(point, true, 1, down);
CGPostMouseEvent(point, true, 1, down);

…blog soon📝 pic.twitter.com/PZESutEsaO

— Patrick Wardle (@patrickwardle) August 13, 2018

Cependant, Wardle a déclaré que les exploits ne permettent pas à un pirate d’accéder initialement à un appareil Mac, mais qu’ils pourraient exploiter efficacement le sandboxing.

Une possibilité qui laisserait aux applicationx malveillantes de quoi obtenir des autorisations de niveau supérieur. De son côté, Apple a confirmé les correctifs adequates dans son nouveau OS, macOS Mojave.

Pour conclure, Patrick Wardle propose, via sa société, l’outil Do Not Disturb. Une application qui permet d’avertir le propriétaire d’un MacBook en cas d’accès non autorisé. L’application tourne sous iPhone.

Elle permet de surveiller votre ordinateur portable afin de détecter les événements ouverts et vous avertir en temps réel, via une photographie par exemple.

Android, Antivirus, APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Logiciels, Piratage, ransomware, Sécurité, Securite informatique, Smartphone, Virus

Les malwares les plus actifs en France en juillet 2018

17 août 2018 Damien Bancal 3 commentaires

Le Global Threat Index pour le mois de juillet 2018 affiche le top 10 des virus et codes malveillants les plus répandus en France.

Ce dernier rapport virus et malware met en lumière l’augmentation des attaques ciblant l’IoT et la vulnérabilité des réseaux, comme en témoigne l’entrée dans le Top 10 des « Vulnérabilités les plus exploitées au monde » de 3 vulnérabilités en lien avec l’IoT : MVPower DVR router Remote Code Execution (5ème place), D_Link DSL-2750B router Remote Command Execution (7ème place) et Dasan GPON router Authentication Bypass (10ème place).

Au total, ce sont 45% des entreprises du monde entier qui ont été touchées par des attaques ciblant des vulnérabilités en lien avec l’IoT, contre 35% en juin 2018 et 21% en mai. Ces dernières permettent aux cybercriminels d’exécuter des codes malveillants dans le but d’obtenir le contrôle à distance de dispositifs cibles.

Point d’entrée facile

« Ces vulnérabilités, malwares et et virus offrent aux cybercriminels un point d’entrée facile dans les réseaux d’entreprise, ce qui leurs permet de propager un large éventail d’attaques « , a commenté Thierry Karsenti, vice-président technique Europe pour Check Point. « Une fois qu’un dispositif est compromis, il est très facile d’infiltrer d’autres dispositifs connectés. Il est donc essentiel que les entreprises se protègent efficacement et à tous les niveaux.«

Il est important de noter que Coinhive reste le « malware » le plus répandu dans le monde, avec un impact sur 19% des entreprises mondiales. Cryptoloot et Dorkbot se classent respectivement en deuxième et troisième position, avec un impact global de 7% chacun. Pour rappel, CoinHive n’a rien d’illégal. C’est son utilisation par des malveillants qu’il faut montrer du doigt.

Top 10 des virus et malwares

Nom du malware	Description	Impact mondial	Impact sur le pays
1 – Coinhive	Ce cheval de Troie est conçu pour effectuer l’extraction en ligne de la crypto-monnaie Monero lorsqu’un internaute visite une page Web. Le script java implanté utilise les ressources informatiques des utilisateurs finaux pour extraire de la monnaie cryptée.	18.60%	16.02%
2 – Roughted	Campagne de publicité malveillante à grande échelle, elle est utilisée pour diffuser divers sites Web et charges embarquées malveillants tels que des escroqueries, des logiciels publicitaires, des kits d’exploitation de vulnérabilité et les logiciels de rançon. Il peut être utilisé pour attaquer n’importe quel type de plateforme et de système d’exploitation, et utilise le contournement des bloqueurs de publicités pour attaquer de la manière la plus efficace.	5.85%	11.60%
3 – Cryptoloot	Ce malware utilise la puissance du processeur ou du GPU de la victime et les ressources existantes pour le crypto-mining, en ajoutant des transactions à la chaîne de blocage et en libérant de nouvelles devises. Similaire à Coinhive, ce programme est implanté sur des pages Web et utilise le pouvoir de traitement des internautes pour exploiter tous types de crypto-monnaies. 92829	6.92%	7.07%
4 – Conficker	Conficker est un virus / ver informatique qui cible le système d’exploitation Windows. Il exploite les vulnérabilités de l’OS pour voler des données telles que des mots de passe. Ainsi, il prend le contrôle des ordinateurs touchés, les transformant en « zombie ». Les ordinateurs contrôlés forment alors un réseau, utile aux hackers.	3.50%	4.09%
5 – Jsecoin	Ce mineur JavaScript peut être intégré à n’importe quel site Web. JSEcoin permet de lancer un mineur directement dans le moteur de recherche en échange d’une navigation Web sans publicité.	5.92%	3.76%
6 – Dorkbot	Dorkbot est un virus / ver basé sur un IRC conçu pour permettre l’exécution de code à distance, ainsi que le téléchargement de logiciels malveillants vers le système déjà infecté. Ce dernier permet de voler des informations sensibles et de lancer des attaques par déni de service. Il installe un rootkit en mode utilisateur pour empêcher l’affichage ou l’altération des fichiers et modifie le registre pour s’assurer qu’il s’exécute chaque fois que le système démarre. Il enverra des messages à tous les contacts de l’utilisateur infecté ou détournera un thread existant pour diffuser un lien renvoyant vers la copie du ver.	6.91%	2.98%
7 – Locky	Locky est un cheval de Troie ransomware qui cible la plate-forme Windows. Ce logiciel malveillant envoie des informations système à un serveur distant et reçoit une clé de cryptage permettant de crypter les fichiers présents sur le système infecté.	1.72%	2.10%
8 – Fireball	Fireball est un logiciel publicitaire largement distribué par la société chinoise de marketing numérique Rafotech. C’est un détourneur de navigateur qui change le moteur de recherche par défaut et installe des pixels de suivi, mais qui peut aussi servir à télécharger des logiciels malveillants.	3.02%	1.99%
9 – Nivdort	Appartenant à la famille de chevaux de Troie ciblant la plate-forme Windows, il est capable de recueillir des mots de passe et des informations sur le système ou les paramètres telles que la version Windows utilisée, l’adresse IP, la configuration du logiciel et l’emplacement approximatif. Certaines versions de ce malware sont aussi en mesure de collecter les frappes de touches afin de modifier les paramètres DNS. Nivdort se propage via des pièces jointes de courriers indésirables ou des sites Web malveillants.	2.57%	1.88%
10 – Andromeda	Repéré pour la première fois en 2011, Andromeda est un bot modulaire principalement utilisé comme porte dérobée afin de diffuser des logiciels malveillants supplémentaires sur les systèmes infectés. Il peut aussi être modifié dans le but de créer différents types de botnets.	6.35%	1.66%
10b – Ramnit	Ramnit est un ver qui se propage principalement par l’intermédiaire de disques amovibles et de fichiers téléchargés vers des services FTP publics. Le logiciel malveillant crée une copie de lui-même pour infecter le système.	2.71%	1.66%

APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Hacking, Piratage, Securite informatique

TEMP.Periscope : Des pirates Chinois, amateurs d’éléctions présidentielles ?

20 juillet 2018 Damien Bancal 4 commentaires

Il n’y aurait pas que les pirates Russes amateurs d’éléctions ? Le groupe d’espionnage chinois TEMP.Periscope cible le Cambodge avant les élections de juillet 2018, et révèle un large éventail d’activités au niveau mondial.

TEMP.Periscope – La société américaine FireEye, une des « sources » des médias concernant les « pirates Russes« , annonce avoir examiné une série d’activités du groupe d’espionnage chinois TEMP.Periscope, qui révèlent un intérêt majeur pour les événements politiques au Cambodge, illustré par des cyber attaques actives contre de multiples acteurs cambodgiens liés au système électoral du pays. Ceci comprend des cyber attaques contre des entités gouvernementales cambodgiennes chargées du contrôle des élections, ainsi que le ciblage de figures de l’opposition. Cette campagne a lieu alors que se préparent les élections générales dans le pays, qui auront lieu le 29 juillet prochain. TEMP.Periscope a utilisé la même infrastructure pour une série d’activités visant des cibles plus traditionnelles, dont l’industrie de la défense aux Etats Unis et une société de l’industrie chimique en Europe. Voir notre article précédent consacré au ciblage par le même groupe de sociétés d’ingénierie et de transport maritime aux Etats Unis.

Gloabalement, selon FireEye, cette activité indique que le groupe exploite une importante architecture d’intrusion et un large éventail d’outils, et cible des victimes très diverses, ce qui est en ligne avec la stratégie traditionnelle des acteurs chinois en matière d’APT (menaces persistantes avancées). Nous pensons que cette activité fournit au gouvernement chinois une visibilité étendue sur les élections cambodgiennes et les actions du gouvernement de ce pays. De plus, ce groupe est clairement capable de mener simultanément plusieurs intrusions à grande échelle ciblant un large éventail de types de victimes.

Notre analyse a également renforcé notre affirmation que ces activités peuvent être attribuées à ce groupe de pirates chinois. Nous avons observé les outils que nous avions précédemment attribués à ce groupe, les cibles visées sont en ligne avec ses actions passées et sont également très similaires aux operations APT connues menées par le Chine. En outre, une adresse IP originaire de Hainan en Chine a été enregistrée pour des activités C2 (command and control).

TEMP.Periscope en bref

Actif depuis au moins 2013, TEMP.Periscope s’est principalement intéressé à des cibles du secteur maritime dans de nombreux domaines, dont l’ingénierie, le transport, la fabrication, la défense, les agences gouvernementales et la recherche universitaire. Toutefois, le groupe a également ciblé des services de consulting et les industries high tech, de la santé et des medias. Ses cibles identifiées sont principalement basées aux Etats Unis, même si des organisations en Europe et au moins une à Hong Kong ont également été touchées. TEMP.Periscope coincide en termes de ciblage, ainsi que de tactiques, techniques et procédures (TTPs), avec le groupe TEMP.Jumper.

Description de l’incident

FireEye a analysé trois serveurs qu’il pense être contrôlés par TEMP.Periscope, ce qui lui a permis d’obtenir des informations sur les objectifs et les tactiques opérationnelles du groupe, ainsi qu’un grand nombre de données techniques d’attribution/validation. Ces serveurs était “open indexés” et donc accessibles par quiconque sur l’Internet public, sans exiger la moindre identification. Ce type d’erreur permet d’obtenir des informations intéressantes sur les activités d’un groupe car, à la différence de données contenues dans des messages de spear phishing, des acteurs malveillants n’anticipent pas que ces données puissent être analysées. L’analyse de FireEye couvre la période allant d’avril 2017 jusqu’à aujourd’hui, la plupart des opérations actuelles étant concentrées sur les élections au Cambodge. Pour l’heure, nous retenons les domaines concernés.

Deux serveurs, Domain 1 et Domain 2, fonctionnent comme des serveurs C2 et des sites d’hébergement traditionnels, alors que le troisième, Domain 3, fonctionne comme un serveur SCANBOX actif. Les serveurs C2 contenaient à la fois les logs et le malware. Une étude des trois serveurs a révélé une adresse IP d’un acteur potentiel située à Hainan en Chine, et des données volées provenant d’attaques potentielles ciblant d’autres industries et secteurs dont l’éducation, l’aviation, la chimie, la défense, les administrations gouvernementales, le monde maritime et le high tech dans de multiples régions du monde. Les fichiers sur les serveurs comprenaient des malwares nouveaux (DADBOD, EVILTECH) et précédemment identifiés (AIRBREAK, EVILTECH, HOMEFRY, MURKYTOP, HTRAN, and SCANBOX ) utilisés par TEMP.Periscope.

Attaques sur les entités liées aux élections cambodgiennes

L’analyse des logs des victimes associées avec les serveurs identifiés a révélé des attaques ciblant de multiples entités cambodgiennes, principalement celles liées aux élections de juillet 2018. De plus, un email de spear phishing séparé analysé par FireEye a mis en évidence une action simultanée ciblant des figures de l’opposition au Cambodge. L’analyse a révélé que des organisations gouvernementales cambodgiennes et des individus ciblés avaient été attaqués comme la Commission Nationale des Elections, Ministère de l’Intérieur, Ministères des Affaires Etrangères et de la Coopération Internationale, Sénat du Cambodge, Ministère de l’Economie et des Finances. Des membres du Parlement représentant le Parti cambodgien du Sauvetage National. De multiples personnalités cambodgiennes partisans des droits de l’homme et de la démocratie ayant écrit des articles critiquant le parti actuellement au pouvoir. Deux diplomates cambodgiens en poste à l’étranger et de multiples organes de presse au Cambodge.

Le Domain 2 a été identifié comme le serveur C2 pour un malware AIRBREAK attaché à un message leurre envoyé à Monovithya Kem, Directeur Général Adjoint, Affaires Publiques, Parti Cambodgien du Sauvetage National (CNRP), et à la soeur de Ken Sokha, leader (emprisonné) d’un parti cambodgien de l’opposition. Le document leurre prétend provenir de LICADHO (une ONG cambodgienne fondée en 1992 pour promouvoir les droits de l’homme).

Une infrastructure également utilisée pour des opérations contre des entreprises privées

’infrastructure décrite plus haut a également été utilisée contre des entreprises privées en Asie, en Europe et en Amérique du Nord. Ces entreprises appartiennent à des industries très diverses, dont l’éducation, l’aviation, la chimie, le monde maritime et le high tech. Beaucoup de ces attaques sont en ligne avec les activités précédentes de TEMP.Periscope en direction des secteurs du maritime et de la défense. Toutefois, nous avons également découvert une attaque visant une société européenne dans la chimie très implantée en Asie, ce qui démontre que ce groupe est une menace pour des entreprises partout dans le monde, et particulièrement celles ayant des intérêts en Asie.

Un malware MURKYTOP de 2017 et des données contenues dans un fichier lié au domain 1 suggère qu’une entreprise impliquée dans l’industrie de la défense aux Etats Unis, peut être en lien avec la recherche maritime, a également été attaquée. De plus, des attaques probables d’une entreprise du secteur américain de la défense et d’une entreprise européenne dans la chimie ayant des bureaux en Asie ont été découvertes sur les serveurs “open indexés”.

Les Downloaders et Droppers AIRBREAK révèlent des indicateurs leurres

Les noms de fichiers pour les downloaders AIRBREAK trouvés sur les sites “open indexés” suggèrent aussi un intérêt marqué pour des cibles associées à la géopolitique liée à l’Asie orientale. De plus, l’analyse des sites downloaders AIRBREAK a révélé un serveur associé qui souligne l’intérêt de TEMP.Periscope pour la politique au Cambodge. Les downloaders AIRBREAK redirigent les victimes vers les sites indiqués pour afficher un document légitime mais leurre tout en téléchargeant un contenu malveillant AIRBREAK à partir d’un des serveurs C2 identifiés. A noter que le site hébergeant les documents légitimes n’a pas été compromis. Un domaine C2 supplémentaire, partyforumseasia[.]com, a été identifié comme la fonction de rappel (callback) pour un downloader AIRBREAK référençant le Parti Cambodgien du Sauvetage National.

Le serveur SCANBOX utilisé pour prévoir des opérations futures

e serveur SCANBOX actif, Domain 3, héberge des articles liés à la campagne actuelle au Cambodge et à des opérations plus larges. Les articles trouvés sur le serveur indiquent le ciblage d’intérêts liés à la géopolitique Etats Unis – Asie orientale, à la Russie et à l’OTAN. Les victimes sont probablement attirées sur le serveur SCANBOX soit via une attaque stratégique de site web soit via des liens malicieux dans des emails ciblés, l’article étant présenté comme un leurre. Les articles proviennent de contenus open source disponibles directement en ligne.

La suite de malwares de TEMP.Periscope

L’analyse du catalogue de malwares contenus sur les trois serveurs révèle une suite classique de contenus malveillants utilisés par TEMP.Periscope, dont les signatures d’AIRBREAK, MURKYTOP, et de HOMEFRY. De plus, l’enquête de FireEye a révélé de nouveaux outils, EVILTECH et DADBOD.

Les données contenues dans les logs renforcent l’attribution à la Chine

FireEye suit les activités de TEMP.Periscope depuis 2013 et de multiples facteurs nous conduisent à affirmer qu’il agit au nom du gouvernement chinois. Notre analyse des serveurs et des données associées dans cette dernière campagne renforcent cette affirmation. Les données du log d’accès au panneau de contrôle indique que les opérateurs sont probablement basés en Chine et travaillent sur des ordinateurs fonctionnant en langue chinoise. Les cibles historiques de TEMP.Periscope restent cohérentes avec les objectifs du gouvernement chinois, et les outils qu’il utilise sont cohérents avec ceux utilisés par de nombreuses autres équipes chinoises. Un log sur le serveur a révélé des adresses IP qui avaient été utilisées pour se connecter au logiciel employé pour communiquer avec le malware implanté sur des machines victimes. L’une de ces adresses IP, 112.66.188.xx, est située à Hainan, en Chine. D’autres adresses appartiennent à des serveurs virtuels privés, mais des éléments indiquent que les ordinateurs utilisés pour se connecter sont configurés pour fonctionner en chinois.

Perspectives et Implications

Les operations révélées ici fournissent un nouvel éclairage sur les activités de TEMP.Periscope. Nous connaissions déjà l’intérêt de cet acteur pour les affaires maritimes, mais cette campagne malveillante apporte des indications supplémentaires indiquant que ce groupe va cibler le système politique de pays possédant une importance stratégique. Le Cambodge a été un supporter fiable de la position de la Chine dans le Sud de la Mer de Chine au sein de forums internationaux tels que l’ASEAN, et figure parmi les partenaires importants du pays. Bien que le Cambodge soit classé comme Autoritaire dans le Democracy Index de The Economist, le récent renversement surprise du parti au pouvoir en Malaisie peut motiver la Chine à surveiller étroitement les élections du 29 juillet au Cambodge.

Le ciblage de la commision électorale est particulièrement significatif, en raison du rôle stratégique qu’elle joue pour inciter les gens à voter. Nous n’avons pas encore suffisamment d’informations expliquant pourquoi cette organisation a été attaquée – simplement pour récolter des informations ou dans le cadre d’une opération plus complexe. Quelle que soit la raison, cet incident est l’exemple le plus récent de l’implication aggressive d’un état nation dans les processus électoraux dans le monde. Bien que des activités liées à des élections aient seulement été découvertes en Asie du Sud Est, ce serait une erreur d’assumer que ces menaces ne peuvent pas se reproduire ailleurs.

Nous pensons que TEMP.Periscope va continuer à cibler un large éventail d’entités gouvernementales, d’organisations internationales et d’entreprises privées, particulièrement celles travaillant dans l’ingénierie ou des processus chimiques utilisés par des navires. Nous ne pensons pas qu’il va modifier beaucoup voire même un seul élément révélé par cette enquête, mais il continuera probablement à développer de nouvelles architectures d’intrusion via de nouveaux domaines, sites compromis, certificats et outils. FireEye prévoit que ces intrusions vont se poursuivre et monter en puissance aussi longtemps que le groupe y trouvera un intérêt.

Communiqué de presse, Cybersécurité, DDoS, Mise à jour, Piratage, Securite informatique

Retour en force des attaques DDoS en Europe en 2018

14 juin 2018 Damien Bancal 2 commentaires

Les attaques par déni de service, ou DDoS, avaient marqué les esprits à la fin de l’année 2016. Perpétrées grâce au botnet « Miraï », l’un des premiers « thingbots » constitué exclusivement d’objets connectés (Internet of Thing), les deux attaques de plusieurs Tbit/s lancées contre OVH et DynDNS, avaient ébranlé le web mondial.

De l’avis des experts, ce type d’attaques était voué à se multiplier en 2017. Il n’en fut rien et les attaques tant redoutées ne se sont jamais produites. Pourtant les pirates n’ont pas mis un terme à leurs attaques volumétriques massives. Ils n’ont simplement pas exploité au maximum de leurs capacités, les impressionnantes cyberarmes à leur disposition.

F5 fait état d’une véritable explosion des attaques DDoS depuis janvier 2018 :

Le thingbot « JenX » proposant ses services pour mener des attaques DDoS (DDoS-for-hire) a tout d’abord été découvert en janvier. Celui-ci permet de lancer des attaques DDoS de 300 Gbit/s pour la modique somme de 20 dollars, plaçant ainsi la neutralisation d’une cible à la portée de tous.
En mars, c’est un nouveau record du monde qui a été établi : le site de développement collaboratif GitHub a été ciblé par une attaque DDoS d’une puissance sans précédent, atteignant un débit de 1,35 Tbit/s. Techniquement, l’attaque a été lancée depuis des systèmes de mémoire cache (« memcached ») non sécurisés.

Le centre des opérations de sécurité (SOC) de F5 Silverline fait état d’une véritable explosion des attaques DDoS en 2018. Jusqu’à présent, le SOC F5 a écarté des attaques volumétriques de haut débit comprises entre 100 et 300 Gbit/s. Les attaques volumétriques reviennent ainsi sérieusement jouer les trouble-fête.

F5 a observé plusieurs tendances dans les attaques menées à la fin de l’année 2016 et les nombreuses attaques réapparues lors du 1^er trimestre 2018.

Les entreprises de la zone Europe, Moyen-Orient et Asie-Pacifique sont désormais toutes autant ciblées que leurs homologues nord-américaines.
Les établissements financiers et les hébergeurs continuent de figurer parmi les secteurs les plus ciblés. Mais sur le 1^er trimestre 2018, ce sont les sociétés de jeu en ligne qui ont été particulièrement ciblées. A eux trois, ces secteurs ont subi 76 % des attaques DDoS au 1^er trimestre 2018.
Cependant, avec la montée en puissance de ressources à la location, bon marché, qui facilitent le ciblage de tout type d’entreprise, l’écart se rétrécit entre ces secteurs historiquement ciblés et les autres.
Le SOC de F5 a commencé à neutraliser des attaques DDoS ciblant directement des applications (et non le réseau) au 3^ème trimestre 2016, et cela risque de devenir un vecteur d’attaque en hausse à mesure que les entreprises évoluent vers des processus de virtualisation de services orientés applications.
Après un hiatus en 2017, les attaques volumétriques à haut débit ont repris au premier trimestre 2018. En mars 2018, le SOC de F5 a neutralisé une attaque multi-vecteurs de 325 Gbit/s, principalement issue de systèmes basés aux États-Unis.

Vincent Lavergne, expert attaques DDoS de F5 explique : « Avec l’explosion des objets connectés, du Cloud computing et des bases de données en ligne, les pirates disposent plus que jamais de systèmes plus vulnérables leur permettant de lancer des attaques DDoS dévastatrices ».

Rappel – Quelques bonnes pratiques pour se prémunir de ce type d’attaques :

Ne pas exposer l’administration à distance à l’ensemble du réseau Internet, en particulier aux appareils IoT ou aux bases de données en ligne.
Protéger ses systèmes au moyen de protocoles d’accès sécurisés, d’identifiants d’administration complexes (ou de clés SSH lorsque cela est possible), et ne pas laisser se produire des attaques par force brute.
Appliquer régulièrement des correctifs sur tous les systèmes en contact avec Internet, et immédiatement dès la détection d’une faille dans l’exécution de code à distance ou d’un défaut de conception susceptible de conduire à une exploitation à distance.

L’analyse approfondie menée par F5 révèle également les enseignements suivants :

Croissance des attaques mondiales

Le nombre d’attaques neutralisées au niveau mondial par F5 entre 2016 et 2017 a augmenté de 26 %. Sur le premier trimestre 2018 (vs le 1^er trimestre 2017), F5 a analysé une augmentation plus significative, de 33% du nombre d’attaques.

Toutes les zones observées par F5 ont connu une hausse constante des attaques depuis 2016, mais le nombre d’attaques DDoS commises contre des cibles dans la région Asie-Pacifique (APAC) augmente plus rapidement que dans n’importe quelle autre région du monde.

L’Amérique du Nord, historiquement la zone la plus touchée par les attaques DDoS, est depuis 2017 passées sous la barre des 50% du total d’attaques DDoS mondiales, alors que les attaques DDoS ciblant la région EMEA ont augmenté d’environ un tiers. La région APAC a, quant à elle, fait un bond de 8 % en 2016 à 17 % en 2017. Au premier trimestre 2018, les entreprises de la région APAC ont subi presque autant d’attaques que les entreprises situées en Amérique du Nord.

Répartition des attaques par secteur

Les hébergeurs Web et les établissements financiers ont toujours figuré parmi les principales cibles d’attaques DDoS, une tendance qui ne s’est pas démentie en 2017.

Vincent Lavergne explique : « Dans ces deux secteurs, tout temps d’arrêt se traduit directement en pertes financières. C’est pourquoi les attaques DDoS avec chantage à la clé sont très lucratives, car le fait de payer la rançon est pour les entreprises un moyen efficace de régler le problème ».

Le fossé se rétrécit entre les principales cibles traditionnelles et d’autres secteurs ; les profils des cibles sont variés et comptent notamment les fournisseurs de technologies, les FAI, l’univers du jeu en ligne et les fournisseurs de services aux entreprises.

Vincent Lavergne ajoute : « Chaque année, nous continuons à observer un plus large éventail de cibles d’attaques DDoS, en corrélation avec la hausse des services « DDoS for hire » à des prix extrêmement abordables et la mise à disposition des outils DDoS accessibles même aux néophytes ».

Origine des attaques

F5 a analysé un ensemble d’attaques de très fort débit, persistantes pendant 4 jours en mars 2018 et a observé que les 10 principaux pays à l’origine du trafic ont conservé le même débit tout au long des attaques, ce qui pourrait laisser entendre que ces attaques ont été lancées par les mêmes systèmes sur toute la durée de quatre jours. Ce type de comportement d’attaque cadre avec l’utilisation d’objets connectés, dans lesquels des failles et les attaques qui en découlent ne sont pas détectées, ou, dans un scénario moins probable, avec la compromission de systèmes appartenant à des entreprises (qui ne sont pas au courant de la faille) et qui sont utilisés pour lancer des attaques.

Fait inhabituel, la plus importante source de cette campagne d’attaques est venue des États-Unis. Cela indique qu’un nombre significatif de systèmes vulnérables (appareils IoT ou systèmes « memcached » potentiellement compromis) est ciblé aux États-Unis pour lancer des attaques DDoS.

Argent, Arnaque, Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Justice, Leak, Particuliers, Piratage, RGPD, Securite informatique, Smartphone, Vie privée

Dixons Carphone : Plusieurs millions de données compromises

13 juin 2018 Damien Bancal

Dixons Carphone : Une importante entreprise du Royaume-Uni face à une violation de données personnelles. Des infos financières de millions de clients compromises.

La société ciblée Dixons Carphone a reconnu la violation et a déclaré que les pirates avaient eu accès à 1,2 million de données personnelles et 5,9 millions de cartes de paiement à partir des systèmes de traitement de ses magasins Currys PC World et Dixons Travel. Dans un communiqué de presse [voir ci-dessus, NDR], le PDG de Dixons Carphone, Alex Baldock, a déclaré : « Nous sommes extrêmement déçus de tout ce bouleversement que cela pourrait vous causer. La protection des données doit être au cœur de nos activités« .

La société a également révélé que sur 5,9 millions de cartes de paiement, 5,8 millions de cartes sont protégées par des combinaisons de puce et de numéro d’identification, mais que 105 000 cartes basées en dehors de l’Union européenne ne sont pas protégées.

De plus, les 1,2 million d’enregistrements compromis contenaient des données personnelles de clients, notamment des noms, des adresses électroniques et des adresses. Cependant, l’entreprise affirme n’avoir aucune preuve que cette information a quitté ses systèmes ou a entraîné une fraude à ce stade.

Dixons Carphone est une importante société de distribution et de services de télécommunication et d’électricité avec des magasins dans toute l’Europe, notamment au Royaume-Uni, en Irlande, au Danemark, en Suède, en Norvège, en Finlande, en Grèce et en Espagne.

On ne sait pas comment la violation de données a eu lieu et qui est derrière elle depuis que les enquêtes sont en cours. Cependant, ce n’est pas la première fois que Dixons Carphone subit une violation de données aussi massive. En 2015, des pirates avait pu accéder aux données personnelles et bancaires de millions de clients de Carphone Warehouse lors d’une cyberattaque.

Communiqué de presse, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Logiciels, Microsoft, Mise à jour, Patch, Piratage, Securite informatique

Une exploit 0-Day pour Internet Explorer utilisée in the wild

13 mai 2018 Damien Bancal Un commentaire

Fin avril 2018, un exploit inconnu jusqu’alors détécté. Après analyse, il s’avère que cet exploit utilise une vulnérabilité zero-day CVE-2018-8174 pour Internet Explorer. L’exploit a été utilisé dans des attaques ciblées. Depuis le 8 mai, Microsoft propose la contre-mesure de sécurité.

Il est intéressant de noter que l’exploit Internet Explorer a été téléchargé au sein d’un document Microsoft Word. C’est la première fois que l’on note l’utilisation d’une telle technique. A noter également qu’une version de Microsoft Word entièrement patchée a été exploitée avec succès. Après cette découverte, Microsoft diffuse un patch disponible ici, depuis mardi 8 mai.

Un exploit est une forme de logiciel qui se sert des bugs ou des vulnérabilités d’autres logiciels pour infecter des victimes avec un code malveillant. Les exploits sont utilisés très largement par les cybercriminels à la recherche de profits mais aussi par des acteurs plus sophistiqués, qui disposent de soutiens étatiques, dans un but malveillant.

Dans ce cas particulier, l’exploit identifié se base sur le code malveillant exploitant la vulnérabilité zero-day – un bug typique « use-after-free » quand un code exécutable légitime, comme celui d’Internet Explorer, comporte une logique de traitement de la mémoire incorrecte. Cela conduit à la communication d’un code avec de la mémoire disponible. Alors que dans la plupart des cas, cela débouche sur un simple crash du navigateur, l’exploit permet aux attaquants de prendre le contrôle de l’appareil.

Des analyses approfondies de l’exploit ont permis de mieux comprendre la chaine d’infection :

La victime reçoit un document Microsoft Office RTF malveillant
Après avoir ouvert le document malveillant, la seconde phase de l’exploit est téléchargée – une page HTML avec un code malveillant
Le code déclenche un bug UAF de corruption de la mémoire
Le shellcode qui télécharge la charge malveillante est alors exécuté.

« Cette technique, jusqu’à ce qu’elle soit corrigée, permettait aux criminels de forcer le chargement d’Internet Explorer, peu importe le navigateur habituellement utilisé par la victime. Cela démultiplie le potentiel de l’attaque, pourtant déjà énorme. Heureusement, la découverte proactive de la menace a permis à Microsoft de sortir un patch correctif dans les temps. Nous invitons les organisations et utilisateurs à installer les patchs les plus récents immédiatement après leur disponibilité, car il ne faudra pas beaucoup de temps avant que les exploits de cette vulnérabilité ne trouvent leur place dans des kits d’exploits populaires et soient utilisés non seulement par les acteurs de menaces sophistiqués, mais également par des cybercriminels de plus petit calibre », explique Anton Ivanov, Security Researcher, Kaspersky Lab

APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Mise à jour, Piratage, Securite informatique

ZooPark : une nouvelle campagne de malware Android propagée par l’infection de sites web légitimes

11 mai 2018 Damien Bancal

Des chercheurs en cybersécurité viennent de découvrir ZooPark, une campagne élaborée de cyberespionnage. ZooPark cible depuis plusieurs années les utilisateurs d’appareils Android dans divers pays du Moyen-Orient. Se servant de sites web légitimes comme sources d’infection, cette campagne paraît être une opération étatique visant des organisations politiques, des activistes et d’autres cibles dans la région.

Dernièrement, les chercheurs ont reçu ce qui semblait être un échantillon d’un malware Android inconnu. De prime abord, le malware ne paraissait guère sérieux, tout au plus un outil de cyberespionnage très simple sur le plan technique. Les chercheurs ont alors décidé d’enquêter plus avant et n’ont pas tardé à découvrir une version bien plus récente et complexe du même logiciel, qu’ils ont dénommé ZooPark. Sa cible : le Maroc, l’Egypte, le Liban, la Jordanie et l’Iran.

Certaines applications du code malveillant ZooPark sont diffusées à partir de sites d’actualités ou politiques très consultés dans certaines zones du Moyen-Orient. Elles se dissimulent sous la forme d’applications légitimes portant des noms tels que « TelegramGroups » ou « Alnaharegypt news ». Une fois l’infiltration réussie, le malware offre à l’auteur de l’attaque de nombreuse possibilités. Parmi les actes possibles : Exfiltration des contacts, identifiants de comptes, journaux et enregistrements audio des appels. A cela se rejoute les photos stockées sur la carte SD de l’appareil. Bien entendu, la localisation GPS. Les SMS. Les détails des applications installées, données du navigateur. Enregistrement des frappes clavier et contenu du presse-papiers. La backdoor peut envoyer, discrtement, des SMS. Téléphoner à des numéros, comme des lignes surtaxées.

Une autre fonction malveillante cible les messageries instantanées (Telegram, WhatsApp, IMO), le navigateur web (Chrome) et plusieurs autres applications. Elle permet au malware de dérober les bases de données internes des applications attaquées. Par exemple, dans le cas du navigateur, il s’agit des identifiants enregistrés pour d’autres sites web, susceptibles d’être infectés à la suite de l’attaque.

Les investigations laissent penser que les attaques ciblent en priorité des utilisateurs en Egypte, en Jordanie, au Maroc, au Liban et en Iran. En fonction des thèmes d’actualité choisis par les assaillants pour inciter par tromperie leurs victimes à installer le malware, des membres de l’Office de secours et de travaux des Nations Unies (UNRWA) font partie des cibles potentielles de ZooPark.

« Les utilisateurs sont de plus en plus nombreux à se servir de leur mobile comme principal voire unique moyen de communication. Or cette tendance n’est certainement pas passée inaperçue aux yeux des acteurs malveillants étatiques, qui développent leur arsenal afin de le rendre suffisamment efficace pour pister les utilisateurs mobiles. La menace persistante avancée (APT) ZooPark, qui espionne activement des cibles dans des pays du Moyen-Orient, en est un exemple mais il n’est sans doute pas isolé », commente Alexey Firsh, expert en sécurité chez Kaspersky Lab. Au total, au moins quatre générations du malware espion lié à la famille ZooPark ont été détéctées depuis 2015.

APT, backdoor, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Securite informatique

La Thaïlande saisi un serveur exploité les pirates Nord-Coréens Lazarus

3 mai 2018 Damien Bancal

Les pirates informatiques du groupe Lazarus, affichés comme Nord-Coréens, auraient perdu un de leur serveur saisi par les autorités thaïlandaises.

Souvenez-vous ! En 2014, un groupe de pirates informatiques prénommé Lazarus Group (Hidden Cobra) s’attaque à Sony Picture. Motif de cette cyberattaque, punir le producteur du film « L’Interview qui tue ». Gros nanar qui se moque du dirigeant nord-coréen Kim Jong-un. Le groupe Lazarus sera étiqueté « Hackers de la Corée du Nord ». Des films, des données sensibles internes, dont des courriels et fiches de paie, avaient été diffusés par les pirates.

Quatre ans plus tard, le ThaïCert (Groupe d’intervention en cas d’urgence informatique ThaiCERT) annonce qu’il avait pris le contrôle d’un équipement utilisé par le Lazarus Group. Un serveur utilisé dans plusieurs importantes. Étonnant que des pirates étatiques exploitent toujours le même espace numérique, et cela depuis 4 ans !

Selon un rapport de McAfee Advanced Threat Research, une campagne appelée opération GhostSecret visait les infrastructures sensibles. Une cyberattaque lancée de ce serveur basé dans les locaux de l’Université Thammasat de Bangkok.

Le ThaiCERT a déclaré travailler avec McAfee pour analyser le serveur compromis afin de comprendre les menaces en cours et d’aider les victimes potentielles. Le rapport détaille la méthode d’attaque inconnue utilisée. Elle est connectée aux opérations récentes impliquant des serveurs en Inde.

Cyber-attaque, Cybersécurité, Logiciels, Piratage, Securite informatique

Drupalgeddon 3 ? Mise à jour urgente de Drupal le 25 avril

23 avril 2018 Damien Bancal

Il y aura une version de sécurité de Drupal 7.x, 8.4.x et 8.5.x le 25 avril 2018 entre 16h00 et 18h00 UTC.

Cette mise à jour doit permettre de corriger une faille considérée comme sérieuse. Drupal vous invite à réserver du temps pour les mises à jour de base à ce moment-là, car il existe un risque que des exploits soient développés en quelques heures ou quelques jours. Des attaques qui pourraient mettre à mal les sites sous ce CMS.

Cette mise à jour de sécurité fait suite à celle publiée sous le numéro SA-CORE-2018-002 le 28 mars.

Les sites sur 7.x ou 8.5.x peuvent immédiatement se mettre à jour lorsque l’avis est publié en utilisant la procédure normale.
Les sites de la version 8.4.x doivent immédiatement mettre à jour la version 8.4.8 qui sera fournie dans l’avis, puis planifier la mise à jour vers la version 8.5.3 ou la dernière version de sécurité dès que possible (puisque la version 8.4.x ne reçoit plus de sécurité officielle couverture).

L’avis de sécurité indiquera les numéros de version appropriés pour chaque version. La page de rapport de mise à jour de votre site recommandera la version 8.5.x même si vous utilisez 8.4.x ou une version plus ancienne, mais la mise à jour temporaire du rétroportage fourni pour la version actuelle de votre site vous permettra de mettre à jour rapidement sans les effets secondaires possibles. mise à jour de version mineure.

Des correctifs pour Drupal 7.x, 8.4.x, 8.5.x et 8.6.x seront fournis en plus des versions mentionnées ci-dessus. (Si votre site est sur une version de Drupal 8 antérieure à 8.4.x, il ne reçoit plus de couverture de sécurité et ne reçoit pas de mise à jour de sécurité.Les correctifs fournis peuvent fonctionner pour votre site, mais la mise à niveau est fortement recommandée. vulnérabilités de sécurité divulguées.)

Cette version ne nécessitera pas de mise à jour de la base de données.

La mise à jour de mars a fait beaucoup de bruit, surtout sur les sites qui n’avaient pas été mis à jour avec des milliers d’attaques et infiltrations par des mineurs malveillants de cryptomonnaies. (Source : Luc T.)

Antivirus, backdoor, Cyber-attaque, Cybersécurité, DDoS, Logiciels, Piratage, ransomware, Securite informatique

8,4 millions de malwares en 2017

29 mars 2018 Damien Bancal

Les experts G DATA ont comptabilisé le nombre de nouveaux codes malveillants sur l’année 2017. Avec l’indice des attaques bloquées ils ont également défini les dangers les plus actifs. Ils communiquent le résultat de leur recherche.

Afin d’avoir une vue d’ensemble de l’évolution quantitative des logiciels malveillants, les types de logiciels malveillants sont comptés en fonction de leur signature. Au-delà du simple comptage, seules les variantes qui partagent les mêmes morceaux de code malveillant sont prises en compte. En 2017, le nombre de nouveaux logiciels malveillants a augmenté de 22,9% par rapport à 2016 pour atteindre 8 400 058.

22 attaques par utilisateur

Le nombre de nouveaux spécimens de programmes malveillants apporte un premier niveau d’information, mais n’indique pas l’activité de ceux-ci. Un seul logiciel malveillant peut en effet avoir plus d’impact que des milliers. Pour définir cet indice de dangerosité des codes, les attaques détectées par les solutions G DATA sont remontées et comptabilisées. La moyenne des attaques sur le second semestre 2017 pour 1000 utilisateurs est de 119,4. Autrement dit, chaque jour, un utilisateur d’une solution G DATA sur huit, est confronté à une attaque bloquée. Cela représente en moyenne 22 attaques par utilisateur sur le second semestre 2017.

Banque, Bitcoin, Communiqué de presse, Cyber-attaque, Cybersécurité, Leak, Piratage, ransomware, ransomware, Securite informatique

cryptojacking et ransomware

22 mars 2018 Damien Bancal

La 23^e édition du rapport annuel cyber menaces (ISTR) revient sur les attaques de l’année écoulée. Alors que les ransomware deviennent coûteux pour les cyber criminels et donc moins rentables, et que l’activité est saturée, un nouveau type d’attaque s’ajoute à l’arsenal des cyber attaquants et génère de nouvelles sources de revenus pour ces derniers : le cryptojacking.

Le cryptojacking est une nouvelle forme de menace pour la cybersécurité et la protection des données personnelles. L’appât du gain continu chez les cyber attaquants présente un danger pour les particuliers, les équipements et les entreprises, qui risquent de voir leurs ressources monétaires détournées de leurs systèmes. Les cyber attaquants n’hésitent pas à s’infiltrer aussi bien dans les ordinateurs personnels que dans les plus grands centres de données.

Le rapport annuel de Symantec sur les cyber menaces fournit un aperçu compréhensif du panorama des menaces informatiques dans le monde et des enseignements précieux quant aux activités émergentes et motivations des cyber attaquants. Le rapport analyse les données issues du réseau international d’intelligence de Symantec (le Symantec Global Intelligence Network), le plus important réseau civil de surveillance des menaces, qui comprend 126,5 millions de capteurs dans le monde et couvre 157 pays et territoires.

Alors que les Etats-Unis, la Chine et l’Inde occupent à nouveau les 3 premières places du classement mondial des pays où la cybercriminalité est la plus active, la France chute d’une place et se place au 9^e rang mondial. L’Hexagone confirme sa place dans le top 10 et maintient sa position au 4^e rang européen (derrière l’Allemagne et le Royaume-Uni). Tous types de menaces confondues, la France enregistre une légère baisse de pourcentage de cyber attaques sur un niveau mondial, passant de 2,35 % à 2,21 % entre 2016 et 2017 – contrairement aux Etats-Unis, à la Chine, la Russie ou encore l’Allemagne.

Explosion du cryptojacking : la France se classe au 4^e rang mondial en volume d’attaques

L’an passé, la montée en flèche de la valeur des crypto-monnaies a déclenché une ruée vers l’or parmi les cybercriminels, qui entendent profiter d’un marché volatile. Les détections de service de minage installés sur des terminaux ont progressé de 8 500 % en 2017. L’Hexagone concentre 5,9 % du volume total des attaques de cryptojacking, se classant ainsi au 4^e rang mondial (et au 2^e rang européen).

Sans avoir besoin de compétences poussées en information et grâce à quelques lignes de code, les cyber criminels peuvent désormais profiter des ressources dont disposent les particuliers et les entreprises grâce à la puissance de traitement de calcul liée aux processeurs, afin de procéder à des attaques de cryptojacking. Les services de minage peuvent ralentir les équipements, entraîner une surchauffe des batteries et, dans certains cas, rendre les systèmes inutilisables. De leur côté, les entreprises sont susceptibles de constater des interruptions de réseau et une intensification de l’utilisation des processeurs, ce qui alourdit les coûts liés à l’infrastructure réseau.

« Il est désormais possible, pour des esprits malveillants, d’exploiter les ressources stockées sur nos téléphones, nos ordinateurs ou n’importe quel appareil connecté à des fins lucratives, » déclare Laurent Heslault. « S’ils ne renforcent pas leurs systèmes de défense, les utilisateurs risquent de devoir payer pour une autre personne utilisant leur appareil de façon frauduleuse ».

Les ransomware se stabilisent et s’installent durablement

En 2016, la rentabilité des ransomware a déclenché une saturation du marché entraînant une baisse notable du montant moyen des rançons : 522 dollars en 2017 contre 1 077 en 2016. C’est pourquoi le ransomware est entré dans la catégorie des attaques dites communes, poussant nombre de cybercriminels à se tourner vers le minage pour attaquer les crypto monnaies et tirer pleinement profit de leur valeur élevée.

Malgré une réduction du nombre de familles de ransomware, la quantité de variantes de logiciels malveillants de ce type a augmenté de 46 % par rapport à 2016. Les groupes criminels innovent donc moins mais demeurent toujours très productifs.

Quant à la France, elle chute de la 11^e à la 17^e place dans le classement mondial des pays les plus actifs en matière de ransomware.

Multiplication des attaques sur les mobiles

Les attaques sur mobiles continuent d’augmenter avec une progression de 54 % du nombre de nouvelles variantes de logiciels malveillants en 2017. Durant l’année, Symantec a bloqué en moyenne 24 000 applications mobiles malveillantes par jour. Une progression qui s’explique par un faible taux d’adoption des dernières mises à jour de la part des utilisateurs. Les attaquants profitant ainsi de l’utilisation d’anciens systèmes d’exploitation : à titre d’exemple, seulement 20 % des appareils sont à jour avec, utilisant la dernière version d’Android, et seulement 2,3 % possèdent la dernière mise à jour mineure.

La protection des données des utilisateurs est également mise à mal par des applications mobiles appelées grayware, qui ne sont pas entièrement malveillantes mais peuvent se révéler menaçantes avec pour dommage la fuite du numéro de téléphone (63 % des applications de ce type) ou encore la localisation du téléphone (37 %). Le problème est loin d’être réglé puisque leur nombre de logiciels grayware a augmenté de 20 % en 2017.

Par ailleurs, les ransomware constituent une vraie menace sur mobile, certains utilisent même la reconnaissance vocale forçant les victimes à dévoiler à l’oral leur code de déverrouillage plutôt que de rentrer manuellement sur le téléphone.

La majorité d’attaques ciblées utilise une méthode unique pour infecter les appareils des victimes

Le nombre global d’attaques ciblées en 2017 est en hausse de 10 % comparé à l’année précédente. Symantec suit aujourd’hui les activités de 140 groupes de cyber attaquants. 71 % des attaques ciblées ont commencé par du spear phishing (phishing ciblé), une méthode établie depuis des années, pour compromettre les victimes. Si les groupes responsables d’attaques ciblées continuent d’exploiter des tactiques testées dont la viabilité a été prouvée pour infiltrer les entreprises, les menaces de type zero day sont de plus en plus délaissées : seulement 27 % des groupes d’attaques ciblées ont utilisé ces vulnérabilités l’an dernier.

Le secteur de la sécurité s’est longtemps penché sur les différents types de dommages que pourraient produire les cyberattaques. Un groupe d’attaquants sur dix utilise des attaques conçues pour déstabiliser leurs cibles, la théorie fait dorénavant place à la pratique.

Une augmentation de programmes malveillants de 200 % au sein des logiciels légitimes

En 2017, Symantec a enregistré une augmentation de 200 % du nombre de programmes malveillants injectés au sein de logiciels légitimes. Cela équivaut à 1 attaque par mois, contre 4 en 2016. La non-application des mises à jour des logiciels offrent aux cyber criminels un point d’entrée pour s’infiltrer dans des réseaux bien gardés.

Petya en est un parfait exemple. En juin dernier, après avoir utilisé un logiciel de comptabilité ukrainien comme point d’entrée, Petya a utilisé une variété de méthodes de propagation de la menace dans les réseaux d’entreprise, permettant ainsi le déploiement de leur charge utile malveillante.

Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Securite informatique, Social engineering

Protéger sa gestion des mots de passe

22 mars 2018 Damien Bancal

Quel est le comportement des utilisateurs de mot de passe ? La société IS Decisions s’est penchée sur le problème en lançant une grande enquête aux États-Unis et au Royaume-Uni. Le vol et le partage de mot de passe font amis-amis.

Pour un administrateur et autre responsable de sécurité informatique, identifier une activité suspecte peut rapidement devenir l’enfer. Dans le lot des attaques difficiles à « environnementer », l’utilisation par les pirates informatiques des identifiants de connexion officiels.

Bien que ce soit souvent le comportement de sécurité de l’utilisateur final qui permette de voler ces identifiants, plutôt que de blâmer les utilisateurs d’être humains, la société IS Decisions propose une infographie qui affiche comment mieux protéger les connexions authentifiées de tous les utilisateurs.

On découvre, par exemple, que 45% des violations de données sont le résultat d’informations d’identifications compromises. 58% de ces compromissions le sont en raison d’une attaque informatique sous forme de phishing ; 38% en raison du partage de votre mot de passe avec un collègue. Le social Engineering, qu’exploite l’hameçonnage, regroupe 35% des cyberattaques. 22% des vols d’identifiants en raison d’une base de données piratée comprenant les informations d’identification de l’utilisateur.

Cyber-attaque, Cybersécurité, Hacking, Leak, Piratage, Securite informatique

Chafer : un groupe de cyber attaquants basé en Iran

8 mars 2018 Damien Bancal

Un groupe de pirates informatiques, baptisé Chafer s’attaquerait aux entreprises du monde entier. Des amateurs du blackmarket qui officieraient d’Iran.

Chafer, un groupe de pirates informatiques qu’il est possible de croiser, sans grande difficulté, sur plusieurs forums Iraniens dédiés au piratage informatique. L’éditeur de solutions de sécurité informatique américain Symantec a publié une analyse sur leurs activités. Chafer est actif depuis au moins juillet 2014. La plupart des attaques du groupe visent à collecter des informations, à la revendre, à infiltrer pour encore mieux collecter. L’analyse explique que neuf nouvelles organisations ont été touchées au Moyen-Orient. Chafer a ciblé plusieurs organisations au Moyen-Orient (Israël, Jordanie, Emirats Arabes Unis, Arabie Saoudite et Turquie) y compris un important fournisseur de services télécoms dans la région.

En dehors du Moyen-Orient, des preuves d’attaques contre une compagnie aérienne africaine et des tentatives de cyber attaque envers une entreprise internationale dans le secteur du voyage. Une nouvelle méthode d’infection est utilisée par Chafer. Nouvelle méthode, mais qui n’a rien de révolutionnaire. Ils utilisent des documents Excel malveillants diffusés par le biais de mails ciblés (spear phishing).

Le courriel proposant le document Excel piégé permet d’installer un cheval de Troie destiné à dérober des informations et un outil qui pratique des captures d’écrans. Les activités récentes de Chafer indiquent une plus grande dépendance aux nouveaux outils logiciels gratuits, notamment Remcom, un NSSM, un outil de capture d’écran et de presse-papiers, des outils HTTP, GNU HTTPTunnel, UltraVNC et NBTScan . Chafer se dirige vers des attaques ciblant la supply chain, compromettant les organisations au travers de canaux de confiance dans le but d’attaquer ensuite leurs clients.

Le phishing, en tête de pont

Selon un nouveau rapport publié par F-Secure, plus d’un tiers des incidents de cyber sécurité viennent de phishing. Ce nouveau rapport présente les conclusions des enquêtes sur les interventions menées suite à un cyber incident et offre un aperçu des véritables modes opératoires des pirates informatiques.

21 % des cyber incidents analysés par F-Secure dans ce rapport font suite à des attaques ciblant les services web utilisés par les entreprises. Il s’agit du mode d’attaque le plus fréquemment utilisé par les pirates mettre la main sur les données d’une organisation. Toutefois, le phishing et les pièces jointes malveillantes totalisaient, ensemble, environ 34 % des attaques. Pour Tom Van de Wiele, Principal Security Consultant chez F-Secure, les attaques par e-mail constituent donc le plus gros danger pour les organisations. «L’exploitation des vulnérabilités logicielles est typique des attaques opportunistes mais les intrusions informatiques via e-mail sont bien plus fréquentes. Les pirates disposent de tout un éventail d’attaques par e-mail. Elles remportent un franc succès, puisque la plupart des entreprises utilisent les e-mails pour leurs communications », explique Tom Van de Wiele. « Il convient de toujours réfléchir à deux fois avant de cliquer sur une pièce jointe ou sur un lien… mais la pression professionnelle l’emporte souvent sur le bon sens. Les pirates comprennent et exploitent cette logique. »

Android, Antivirus, Chiffrement, Cyber-attaque, Cybersécurité, escroquerie, ios, Logiciels, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Vie privée, Virus, Windows phone

Sites pornographiques : Le Français, un chaud lapin 2.0

8 mars 2018 Damien Bancal

Selon une étude, 33 % des adultes français consultent des sites pornographiques au moins 1 fois par jour. 40% d’entre eux ont déjà été contaminés par un virus informatique en visitant des sites pour adultes.

Une étude, réalisée en octobre 2017, sur les cyber-risques associés à la consultation de sites pornographiques vient de produire ses chiffres. Réalisée auprès de 1000 Français, cette étude Kaspersky révèle que 33 % des adultes consultent des sites pornographiques au moins 1 fois par jour, et ce pour une durée moyenne de 22 minutes par visite… soit l’équivalent de 4 jours par an ! Et cette pratique n’est pas sans risque : 40% contaminés par un virus informatique en consultant ces sites. Parmi les autres chiffres, 17% ignoraient que les smartphones et tablettes s’infectaient. 18 % croient protéger leur ordinateur en effaçant leur historique de navigation. 20 % pris en flagrant délit de consultation d’un site pour adultes. 23 familles de malwares Android ont été identifiées comme exploitant la pornographie.

Vous retrouverez la liste complète à la fin de cette brève. 21 % des personnes interrogées accusent leurs proches pour ne pas avoir à en assumer la responsabilité. 18 % protégés en utilisant un navigateur web en mode privé. 22 % reconnaissent consulter des sites pornographiques au travail.

Top 10 des virus informatiques

1. Le cheval de Troie : Sous couvert d’un programme d’apparence inoffensive, il véhicule une charge malveillante.
2. Le téléchargement « drive-by » : Il s’agit d’une méthode courante de propagation de malware. Les cybercriminels recherchent des sites web non sécurisés afin d’implanter un script malveillant dans le code de leurs pages.
3. Le détournement de clic : Cette méthode consiste à inciter un utilisateur à cliquer sur un objet sur une page web tout en lui faisant croire qu’il clique sur un autre.
4. Les bots Tinder : Ces programmes automatiques se font passer pour de véritables utilisateurs sur les sites de rencontre.
5. Le chat-phishing : Des cybercriminels fréquentent des sites de rencontre ou des forums, y encourageant les utilisateurs à cliquer sur des liens vers des forums de live sex et autres sites pornographiques.

Ransomware et pornware

6. Le ransomware : Les cybercriminels utilisent des « bloqueurs » pour interdire à la victime l’accès à sa propre machine, invoquant souvent la présence de « contenu pornographique illicite » en misant sur le fait que quiconque ayant consulté des sites pour adultes est moins enclin à se plaindre aux autorités.
7. Le vers : Ce type de programme se reproduit sans écrire son code dans d’autres fichiers. Au lieu de cela, il s’installe une fois sur la machine d’une victime puis recherche un moyen de se propager à d’autres.
8. Le pornware : Il peut s’agir d’un programme authentique mais aussi d’un adware installé par un autre programme malveillant et conçu pour afficher du contenu inapproprié sur la machine de la victime.
9. Le spyware : Logiciel d’espionnage qui permet à un pirate d’obtenir subrepticement des informations sur les activités en ligne de la victime et de les exfiltrer de sa machine.
10. Le faux antivirus : De prétendus logiciels antivirus exploitent la crainte des utilisateurs. Des malwares dans votre machine pendant le visionnage de contenus pornographiques.

Android, Argent, Arnaque, backdoor, Banque, Communiqué de presse, Contrefaçon, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, ios, OS X, Paiement en ligne, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Windows phone

Chevaux de Troie visant les applications bancaires mobile

2 mars 2018 Damien Bancal

La prolifération des chevaux de Troie visant les applications bancaires mobiles expose les particuliers à d’importants risques. De fausses interfaces reproduisent fidèlement les applications bancaires mobiles des plus grandes banques du monde entier. Plus d’un consommateur sur trois est incapable de faire la différence entre une application authentique et sa version piratée.

Les utilisateurs de services bancaires mobiles du monde entier sont confrontés à un risque plus grand d’être piégés par des cybercriminels, et d’être victimes de fraudes. Telle est la conclusion de la nouvelle étude mondiale publiée par Avast, leader mondial des produits de sécurité digitale, qui a demandé à près de 40 000 consommateurs de douze pays, dont la France, de comparer l’interface de plusieurs applis bancaires officielles avec leur version contrefaite.

Au niveau mondial, 58 % des personnes interrogées ont identifié l’interface officielle des applications bancaires mobiles comme frauduleuse, tandis que 36 % prenaient l’interface piratée pour la version authentique. En France, les résultats sont similaires avec respectivement 74 % et 35 % des personnes interrogées. Ces résultats soulignent le niveau de sophistication et d’exactitude qu’ont atteint les cybercriminels pour réaliser des copies extrêmement fiables, ce qui leur permet d’espionner les utilisateurs et de collecter leurs identifiants personnels pour faire main basse sur leur compte en banque.

Ces derniers mois, Avast a détecté plusieurs fausses applications bancaires mobiles qui représentent une menace croissante pour la confidentialité et la sécurité. Parmi les banques visées par les cybercriminels, on retrouve Crédit Agricole, Citibank, Wells Fargo, Santander, HSBC, ING, Chase, Bank of Scotland et Sberbank. En dépit des mesures strictes de sécurité déployées ainsi que des sauvegardes, les importantes bases de données clients de ces organisations constituent des cibles particulièrement attrayantes pour les cybercriminels, pour réussir à créer de fausses applications qui imitent les officielles à la perfection.

En novembre 2017, l’équipe Threat Labs Mobile a découvert dans Google Play une nouvelle version du cheval de Troie BankBot qui cible les identifiants de connexion bancaire des particuliers. Avast a ainsi analysé la menace, en collaboration avec ESET et SfyLabs. Cette toute dernière variante était dissimulée dans des applications réputées fiables, telles que des lampes de poche et des versions du célèbre jeu Solitaire. Une fois téléchargés, les logiciels malveillants lançaient et ciblaient les applications des plus grandes banques. Lorsqu’un utilisateur ouvrait son appli bancaire, le malware positionnait une fausse interface sur l’appli officielle, afin de collecter les coordonnées bancaires du client et de les transmettre au cybercriminel.

Applications bancaires piégées

« Nous assistons à une augmentation constante du nombre d’applications malveillantes pour Android. Ces applis sont capables d’échapper aux contrôles de sécurité des principales plateformes de téléchargement d’applications, avant de se frayer un chemin jusqu’aux téléphones des consommateurs, confie Gagan Singh, Senior Vice President et General Manager, Mobile, chez Avast. Dans de nombreux cas, elles se font passer pour des jeux ou des applis « lifestyle », et utilisent des tactiques d’ingénierie sociale pour inciter les utilisateurs à les télécharger. »

« En règle générale, les internautes peuvent faire confiance à la fiabilité des plateformes de téléchargement d’applications, telles que celles de Google et d’Apple, pour télécharger des applications bancaires, mais une vigilance accrue est de mise. Il est indispensable de vérifier que l’application utilisée est bien la version officielle, poursuit Gagan Singh. Si l’interface semble étrange, il ne faut pas hésiter à contacter le service client de la banque. Le cas échéant, il est vivement conseillé d’utiliser la fonction d’authentification à deux facteurs et de se protéger en installant un antivirus puissant sur Android, qui détectera et supprimera les logiciels malveillants. »

L’étude menée souligne en outre que les consommateurs du monde entier se disent davantage préoccupés par le vol d’argent sur leur compte bancaire, que par la perte de leur portefeuille ou de leur sac à main ; voire même par le piratage de leurs comptes sur les réseaux sociaux ou la consultation de leurs messages personnels. Au niveau mondial, 72 % des personnes interrogées ont déclaré que la perte d’argent était leur principale préoccupation, contre 67 % en France.

Au niveau mondial, environ deux personnes interrogées sur cinq (43 %) ont déclaré utiliser des applications bancaires mobiles. En France, 38 % ont affirmé les utiliser de façon active. Parmi les personnes interrogées qui ne se servent pas d’un smartphone ou de tablette pour accéder aux services de leur banque, près du tiers (30 %) des français ont indiqué que le faible niveau de sécurité était leur principal souci.

Cette enquête en ligne a été réalisée dans 12 pays : États-Unis, Royaume-Uni, France, Allemagne, Russie, Japon, Mexique, Argentine, Indonésie, République tchèque, Brésil et Espagne. Au total, 39 091 personnes y ont participé, dont 5 852 français.

Communiqué de presse, Cyber-attaque, Cybersécurité, ID, Identité numérique, Particuliers, Phishing, Piratage, pourriel, ransomware, ransomware, Securite informatique, Social engineering, Vie privée

Cyber incidents en entreprise : les attaques par e-mails continuent de causer les dégâts les plus importants

2 mars 2018 Damien Bancal

Le nouveau rapport sur les interventions suite à un cyber incident montre que les boîtes mails constituent le maillon faible de la cyber sécurité des entreprises. Ces dernières éprouvent des difficultés à détecter rapidement et avec précision les incidents de sécurité.

Selon un nouveau rapport publié par F-Secure, plus d’un tiers des cyber incidents de sécurité informatique sont initiés par des mails de phishing ou des pièces jointes malveillantes reçus par les employés d’une entreprise. Ce nouveau rapport présente les conclusions des enquêtes conduites par F-Secure sur les interventions menées suite à un cyber incident et offre un aperçu des véritables modes opératoires des pirates informatiques.

« L’exploitation des vulnérabilités logicielles est typique des attaques opportunistes mais les intrusions informatiques via e-mail sont bien plus fréquentes. Les pirates disposent de tout un éventail d’attaques par e-mail. Elles remportent un franc succès, puisque la plupart des entreprises utilisent les e-mails pour leurs communications », explique Tom Van de Wiele. « Il convient de toujours réfléchir à deux fois avant de cliquer sur une pièce jointe ou sur un lien… mais la pression professionnelle l’emporte souvent sur le bon sens. Les pirates comprennent et exploitent cette logique. »

Cyber incident

● Les organisations sont touchées à la fois par des attaques ciblées et opportunistes, dans des proportions égales
● Les violations de données menées par des acteurs internes à la structure représentaient un cinquième des incidents de sécurité
● Dans près de 80% des cas, les experts en cyber sécurité ont été contactés après une alerte cyber sécurité de l’entreprise.
● Après s’être introduit sur le réseau d’une entreprise, les pirates procèdent le plus souvent à une diffusion de malware (surtout à des fins financières, à des fins d’espionnage, ou pour maintenir un accès ultérieur au réseau)
● 13 % des enquêtes ont révélé des faux positifs

Sur ce dernier point, pour Tom Van de Wiele, les entreprises détectent de trop nombreux faux positifs. « Trop d’organisations éprouvent des difficultés à détecter avec précision les cyber incidents. Elles ne disposent pas de capacités de détection précises. Nous sommes souvent appelés à enquêter sur des activités suspectées à tort. Parfois, il nous est demandé d’intervenir et nous découvrons un simple problème informatique. Ces faux positifs épuisent les ressources de l’entreprise et détournent l’attention des vrais problèmes. »

Le rapport recommande aux entreprises d’améliorer leurs capacités de détection et d’intervention, en investissant, par exemple, dans une solution de détection ou un service d’intervention pour les postes de travail.

Communiqué de presse, Cyber-attaque, Cybersécurité, Piratage, ransomware, Securite informatique, Virus

GandCrab! : découverte d’un nouveau ransomware

22 février 2018 Damien Bancal

**Le Trojan nommé par ses auteurs « GandCrab! » attribue l’extension *.GDCB aux fichiers chiffrés. Actuellement, deux versions du ransomware sont connues.**

Après son lancement sur une machine attaquée tournant sous Microsoft Windows, GandCrab! peut recueillir des informations sur les processus en cours des logiciels antivirus. Il vérifie en premier lieu s’il a déjà été lancé sur la machine afin d’éviter d’être lancé à nouveau (redémarré), puis force l’arrêt des processus des logiciels selon une liste définie par les pirates. Il installe une copie de lui-même sur le disque et modifie une branche du Registre Windows pour assurer son lancement automatique. Le Trojan chiffre le contenu des disques fixes, amovibles et de réseau, à l’exception de certains dossiers dont quelques dossiers système et service. Chaque disque est chiffré dans un thread séparé. Après la fin du chiffrement, le Trojan envoie au serveur des données sur le nombre de fichiers chiffrés et sur le temps mis pour le chiffrement.

Le Trojan utilise un serveur de contrôle dont le nom de domaine n’est pas autorisé de manière standard. Pour obtenir l’adresse IP de ce serveur, le ransomware exécute la commande nslookup et cherche les données nécessaires dans la sortie correspondant à la commande exécutée. Actuellement, il est impossible de déchiffrer les fichiers touchés par GandCrab! Le moyen le plus fiable pour protéger les fichiers est d’effectuer une sauvegarde régulière de toutes les données importantes sur des supports externes… et de ne pas cliquer sur n’importe quoi. (avec DrWeb)

backdoor, Chiffrement, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Piratage, Securite informatique

Opération de la Corée du nord baptisée HIDDEN COBRA

13 février 2018 Damien Bancal

HIDDEN COBRA, une attaque informatique signée par des pirates informatiques de la Corée du Nord selon les autorités américaines.

Ce rapport d’analyse de malware (MAR) de Hidden Cobra est le résultat d’efforts d’analyse entre le département de la sécurité intérieure (DHS) et le Federal Bureau of Investigation (FBI). En collaboration avec des partenaires du gouvernement, le DHS et le FBI ont identifié des variantes de logiciels malveillants de type cheval de Troie utilisés par le gouvernement nord-coréen – communément appelé HARDRAIN.

Le gouvernement américain fait référence à la cyberactivité malveillante du gouvernement nord-coréen sous le nom de HIDDEN COBRA.

Le FBI est convaincu que les acteurs de HIDDEN COBRA utilisent des variantes de logiciels malveillants en conjonction avec des serveurs proxy pour maintenir une présence sur les réseaux de victimes et poursuivre l’exploitation du réseau.

Le DHS et le FBI viennent de distribuer un document pour permettre la défense du réseau et réduire l’exposition à l’activité cybernétique malveillante du gouvernement nord-coréen. Cette alerte inclut des descriptions de logiciels malveillants liées à HIDDEN.

Mise à jour : https://www.us-cert.gov/sites/default/files/publications/MAR-10135536-G.PDF pour Badcall

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Leak, Logiciels, Particuliers, Piratage, ransomware, ransomware, Sauvegarde, Securite informatique, Vie privée

RGPD et Ransomware : des actions judiciaires à prévoir dès mai 2018 ?

28 janvier 2018 Damien Bancal

Votre société a été touchée par un ransomware ? En mai 2018, des actions judiciaires lancées par vos clients pourraient rajouter une couche d’ennuis à votre entreprise.

RGPD et actions judiciaires ! Le 18 janvier 2018, la société américaine Allscripts était touchée par un ransomware. Classique attaque qui chiffre les fichiers des ordinateurs infiltrés. Une cyberattaque possible via le clic malheureux d’un employé sur un mail piégé. Une attaque qui a perturbé l’entreprise, mais aussi directement ses clients. Ces derniers ne pouvaient accéder à leurs dossiers de patients ou de facturation.

Bilan, une plainte de recours collectif (Class action) a été déposée contre Allscripts. Le fournisseur de dossiers de santé électroniques (DSE) va se retrouver devant la justice. Un de ses prestataires, Surfside Non-Surgical Orthopedics, basé en Floride, spécialisé dans la médecine sportive, a déposé une plainte contre DSE.

Actions judiciaires, rançongiciel …

En en raison de l’attaque, Surfside indique qu’il « ne pouvait plus accéder aux dossiers de ses patients ou prescrire électroniquement des médicaments« . Bilan, rendez-vous annulé, pertes d’argent… Allscripts est l’un des fournisseurs de dossiers médicaux électroniques (DSE) les plus répandus dans le monde.

L’entreprise est toujours à travailler, plusieurs jours après cette « attaque », à restaurer certains de ses systèmes informatiques suite au rançongiciel.

Fait intéressant, le type de ransomware utilisé dans l’attaque [SamSam ransomware] était le même que celui utilisé dans une attaque contre Hancock Health, un autre système de santé basé dans l’Indiana, début janvier 2018. Dans ce cas, les responsables du système de santé ont fermé tout le réseau Hancock Health et ont finalement payé le pirate. Il aurait reçu 55 000 dollars en bitcoin.

SamSam a également été utilisé contre le système de santé intégré MedStar Health, en mars 2016. Bleeping Computer a noté que d’autres attaques ont signalées, impliquant SamSam, dans les machines de l’Adams Memorial Hospital (Indiana).

Les systèmes d’Allscripts desservent environ 180 000 médecins et 2 500 hôpitaux. Il n’est pas clair si la société a payé une rançon.

Android, Antivirus, APT, backdoor, Chiffrement, Cyber-attaque, Cybersécurité, Espionnae, ID, Leak, Logiciels, Mise à jour, Particuliers, Piratage, Sécurité, Securite informatique, Smartphone, Téléphonie, Vie privée

Skygofree : un puissant logiciel de surveillance pour Android

17 janvier 2018 Damien Bancal

Skygofree : des chercheurs ont découvert un implant mobile avancé, actif depuis 2014 et conçu pour une cybersurveillance ciblée, peut-être afin de constituer un produit de « sécurité offensive ». Cet implant, nommé Skygofree, comporte des fonctionnalités inédites, telles que l’enregistrement audio suivant la géolocalisation via des appareils infectés. Le spyware se propage à travers des pages web imitant celles de grands opérateurs mobiles.

Skygofree est un logiciel-espion élaboré, à plusieurs modules, qui permet à des pirates de prendre totalement le contrôle à distance d’un appareil infecté. N’ayant cessé d’évoluer depuis la création de sa première version fin 2014, il est désormais capable d’intercepter les conversations et les bruits ambiants lorsque l’appareil infecté se trouve à un endroit donné, une fonctionnalité jamais vue jusque-là. Parmi les autres capacités avancées et inédites figurent des services d’accessibilité permettant de pirater des messages WhatsApp ou encore la possibilité de connecter l’appareil infecté à des réseaux Wi-Fi contrôlés par des individus malveillants.

Un logiciel espion très élaboré qui prend totalement le contrôle de l’appareil infecté.

L’implant exploite diverses vulnérabilités pour obtenir un accès root. Il peut également prendre des photos et des vidéos. Capturer des appels. Voler des SMS. Lancer une géolocalisation de l’appareil, des événements de l’agenda voire des informations professionnelles stockées en mémoire. Une fonction spéciale permet de contourner une technique d’économie de la batterie employée par un grand fabricant : l’implant s’ajoute alors à la liste des « applications protégées » de façon à ne pas être désactivé automatiquement lorsque l’écran est éteint.

Les pirates paraissent également s’intéresser aux utilisateurs Windows et les chercheurs ont découvert un certain nombre de modules développés récemment et ciblant cette plate-forme.

La plupart des pages web factices servant à répandre l’implant ont été enregistrées en 2015 alors que, selon les données télémétriques de Kaspersky Lab, la campagne de diffusion était à son paroxysme. La campagne est toujours en cours et le domaine le plus récent a été enregistré en octobre 2017. Les données indiquent plusieurs victimes à ce jour, toutes en Italie.

« Un malware mobile avancé est très difficile à identifier et à bloquer, et les développeurs qui se cachent derrière Skygofree en ont clairement tiré profit, en créant et faisant évoluer un implant capable d’espionner largement ses cibles sans éveiller les soupçons. Les éléments que nous avons découverts dans le code malveillant et notre analyse de l’infrastructure nous portent à croire avec un haut degré de certitude que les auteurs des implants Skygofree travaillent par une société informatique italienne proposant des solutions de surveillance, à la manière de HackingTeam », commente Alexey Firsh, analyste en malware spécialisé dans l’étude des attaques ciblées chez Kaspersky Lab.

Pour s’en protéger, être attentifs aux emails entrants, et équipés de logiciels de sécurité.

Les chercheurs ont identifié 48 commandes différentes pouvant être mises en œuvre par les pirates, pour un maximum de souplesse d’utilisation.

Pour assurer la protection contre la menace des malwares mobiles avancés, Kaspersky Lab recommande vivement l’installation d’une solution de sécurité fiable, capable d’identifier et de bloquer ces menaces sur les appareils des utilisateurs. Les utilisateurs sont en outre invités à faire preuve de prudence lorsqu’ils reçoivent des e-mails provenant de personnes ou d’entreprises inconnues ou comportant des demandes ou pièces jointes inattendues et de toujours vérifier à deux fois l’intégrité et l’origine des sites web avant de cliquer sur des liens. En cas de doute, mieux vaut contacter l’exploitant du site pour en avoir le cœur net. Les administrateurs système, pour leur part, doivent activer le contrôle des applications dans leur solution de sécurité mobile afin de maîtriser les programmes potentiellement dangereux vulnérables à cette attaque.

Kaspersky Lab détecte les versions de Skygofree sur Android sous HEUR:Trojan.AndroidOS.Skygofree et HEUR:Trojan.AndroidOS.Skygofree.b, et les versions Windows sous UDS:DangerousObject.Multi.Generic.

De plus amples informations, notamment la liste des commandes de Skygofree, les indicateurs d’infection (IoC), les adresses des domaines et les modèles d’appareils ciblés par les modules de l’implant, consultez le site Securelist.com.

Notes

Skygofree est nommé ainsi parce que le mot a été utilisé dans l’un des domaines. Le malware n’a rien à voir avec Sky, Sky Go ou une quelconque filiale de Sky, et n’affecte pas le service ou l’application Sky Go.

backdoor, Bitcoin, Chiffrement, Communiqué de presse, cryptage, Cyber-attaque, Cybersécurité, Leak, Piratage, ransomware, Securite informatique, Social engineering

FORTE PROGRESSION DES CYBERATTAQUES AVEC DEMANDE DE RANÇON

17 janvier 2018 Damien Bancal

Les paiements intraçables en réponse aux demandes de rançon ont toutes les chances de séduire les pirates motivés par l’appât du gain alors que la valeur des crypto-monnaies continue d’augmenter.

La société Radware vient d’annoncer la publication de l’édition 2017-2018 de son rapport baptisé « Global Application and Network Security Report », qui révèle que le pourcentage des entreprises signalant des cyberattaques motivées par l’appât du gain a doublé en deux ans, avec 50% des entreprises sondées ayant reconnu avoir été victimes d’une cyberattaque avec demande de rançon au cours de l’année passée. Avec l’appréciation des crypto-monnaies, la forme de paiement préférée des pirates, le rançonnage est l’occasion d’encaisser d’importants profits. Et cela plusieurs mois après leur délit.

« Avec l’adoption rapide des crypto-monnaies, l’élévation consécutive de leur valeur séduit encore plus les hackers que la possibilité d’anonymat », explique Carl Herberger, vice-président en charge des solutions de sécurité chez Radware. « Le fait de payer un hacker dans ce contexte encourage d’autres attaques mais, surtout, cela apporte aux criminels les fonds dont ils ont besoin pour poursuivre leurs opérations. »

Demande de rançon, nouveau sport olympique sur le web

Le nombre des entreprises ayant signalé des attaques de ransomware, où les hackers utilisent des malwares pour chiffrer les données, systèmes et réseaux jusqu’au versement de la rançon, a nettement augmenté l’an dernier, et observe une hausse de 40% par rapport à l’enquête de 2016. Les entreprises ne prévoient pas de ralentissement de cette menace en 2018. Un dirigeant sur quatre (26%) considère que c’est la principale menace.

« Les criminels ont utilisé plusieurs vulnérabilités et tactiques de piratage cette année pour verrouiller l’accès à des systèmes vitaux, voler de la propriété intellectuelle et faire cesser les opérations des entreprises, en joignant chaque fois une demande de rançon », continue Herberger. « Entre les perturbations de service, les pannes ou le vol de propriété intellectuelle, les hackers laissent les entreprises démunies à la recherche de solutions a posteriori. Dès lors qu’ils emploient des méthodes de plus en plus automatisées, il est primordial que les entreprises adoptent une stratégie proactive de protection de leurs opérations. »

Voici quelques-unes des conclusions du rapport :

La protection des données est la préoccupation principale des entreprises frappées par une cyberattaque. Pour les sondés, la fuite de données est la crainte numéro 1. Elle est suivie par la dégradation de la réputation et l’inaccessibilité des services.
24% signale des cyberattaques quotidiennes ou hebdomadaires. Elles sont près de 80% à ne pas avoir évalué le coût des attaques. Une sur trois n’a toujours pas de plan d’intervention en cas de cyberattaque.
Les sondés ne sont pas sûrs de savoir qui est responsable de la sécurité de l’Internet des objets (IoT). Les responsables de la sécurité ne parviennent pas à un consensus clair. Certains attribuent la responsabilité à l’organisation chargée de l’administration du réseau (35%). 34% au constructeur. 21% aux consommateurs qui utilisent ces équipements.

Xbash : dans la lignée de NotPetya, une nouvelle menace et famille de malware ciblant les serveurs Windows et Linux risque de faire grand bruit.

XBash, nouvelle menace aux allures de Petya

Xbash se répand en visant les mots de passe faibles et les failles non-patchées.

Iron Group

L’aéroport de Bristol touché par une cyberattaque. Parmi les problèmes, les écrans d’affichage des vols mis hors ligne pendant 48 heures.

Une bibliothèque Javascript hébergée par Feedify et utilisée par des sites de commerce électronique piégée à plusieurs reprises. Mission, intercepter les données bancaires des visiteurs.

Macros

Fichiers Flash incorporés

Editeur d’équations Microsoft

Objets OLE et handlers HTA

CVE-2018-8174

Cyberattaques : Les temps forts de l’été

Cyberattaques à l’encontre de banque

Des pirates informatiques baptisés Gorgon Group, présumés venir du Pakistan, attaquent des institutions étatiques en Russie, en Espagne et aux États-Unis via des courriels piégés.

Un faux mail sur le terrorisme

Script-kiddies au Pakistan ?

Triout, un nouveau logiciel espion s’attaque aux appareils sous Android.

Une société de cybersécurité constate lors de ces trois derniers mois que les chevaux de troie ont atteint le haut de la pile des cyber casse-tête.

61 045

351 913 075

215 762

962 947 023

Cybermenaces : Les pirates feraient perdre plus de 1 million de dollars par minute dans leurs actions malveillants.

Les tactiques d’attaque

Activités malveillantes

La société Apple est généralement considérée comme étant une marque fiable, proposant une sécurité accrue. Un ancien hacker de la NSA démontre une faille majeure dans macOS. Elle permet le contournement des mécanismes de sécurité !

Faille majeure

Le Global Threat Index pour le mois de juillet 2018 affiche le top 10 des virus et codes malveillants les plus répandus en France.

Point d’entrée facile

Top 10 des virus et malwares

Il n’y aurait pas que les pirates Russes amateurs d’éléctions ? Le groupe d’espionnage chinois TEMP.Periscope cible le Cambodge avant les élections de juillet 2018, et révèle un large éventail d’activités au niveau mondial.

TEMP.Periscope en bref

Description de l’incident

Attaques sur les entités liées aux élections cambodgiennes

Une infrastructure également utilisée pour des opérations contre des entreprises privées

Les Downloaders et Droppers AIRBREAK révèlent des indicateurs leurres

Le serveur SCANBOX utilisé pour prévoir des opérations futures

La suite de malwares de TEMP.Periscope

Les données contenues dans les logs renforcent l’attribution à la Chine

Perspectives et Implications

Dixons Carphone : Une importante entreprise du Royaume-Uni face à une violation de données personnelles. Des infos financières de millions de clients compromises.

Il y aura une version de sécurité de Drupal 7.x, 8.4.x et 8.5.x le 25 avril 2018 entre 16h00 et 18h00 UTC.

Explosion du cryptojacking : la France se classe au 4e rang mondial en volume d’attaques

Les ransomware se stabilisent et s’installent durablement

Multiplication des attaques sur les mobiles

La majorité d’attaques ciblées utilise une méthode unique pour infecter les appareils des victimes

Une augmentation de programmes malveillants de 200 % au sein des logiciels légitimes

Quel est le comportement des utilisateurs de mot de passe ? La société IS Decisions s’est penchée sur le problème en lançant une grande enquête aux États-Unis et au Royaume-Uni. Le vol et le partage de mot de passe font amis-amis.

Un groupe de pirates informatiques, baptisé Chafer s’attaquerait aux entreprises du monde entier. Des amateurs du blackmarket qui officieraient d’Iran.

Le phishing, en tête de pont

Selon une étude, 33 % des adultes français consultent des sites pornographiques au moins 1 fois par jour. 40% d’entre eux ont déjà été contaminés par un virus informatique en visitant des sites pour adultes.

Top 10 des virus informatiques

Ransomware et pornware

Applications bancaires piégées

Le nouveau rapport sur les interventions suite à un cyber incident montre que les boîtes mails constituent le maillon faible de la cyber sécurité des entreprises. Ces dernières éprouvent des difficultés à détecter rapidement et avec précision les incidents de sécurité.

Cyber incident

Le Trojan nommé par ses auteurs « GandCrab! » attribue l’extension *.GDCB aux fichiers chiffrés. Actuellement, deux versions du ransomware sont connues.

HIDDEN COBRA, une attaque informatique signée par des pirates informatiques de la Corée du Nord selon les autorités américaines.

Votre société a été touchée par un ransomware ? En mai 2018, des actions judiciaires lancées par vos clients pourraient rajouter une couche d’ennuis à votre entreprise.

Actions judiciaires, rançongiciel …

Un logiciel espion très élaboré qui prend totalement le contrôle de l’appareil infecté.

Pour s’en protéger, être attentifs aux emails entrants, et équipés de logiciels de sécurité.

Les paiements intraçables en réponse aux demandes de rançon ont toutes les chances de séduire les pirates motivés par l’appât du gain alors que la valeur des crypto-monnaies continue d’augmenter.

Demande de rançon, nouveau sport olympique sur le web

Actualité cybersécurité pour PME/PMI/TPE

Explosion du cryptojacking : la France se classe au 4^e rang mondial en volume d’attaques

**Le Trojan nommé par ses auteurs « GandCrab! » attribue l’extension *.GDCB aux fichiers chiffrés. Actuellement, deux versions du ransomware sont connues.**