Archives par mot-clé : infiltration

Cybersécurité, Entreprise

Quand la Corée du Nord pirate jusqu’aux entretiens d’embauche

Kraken a déjoué une tentative d’infiltration orchestrée par un hacker nord-coréen se faisant passer pour un ingénieur. Une leçon de cybersécurité révélée par l’un des leaders américains de la crypto-monnaie.

Dans un monde où les cyberattaques sont devenues monnaie courante, certaines d’entre elles prennent des formes de plus en plus inattendues. Dernière illustration en date : la tentative d’un pirate nord-coréen de s’introduire chez Kraken, un géant américain de la crypto-monnaie, en se faisant passer pour un ingénieur informatique lors d’un processus de recrutement. Loin de se faire piéger, l’entreprise a profité de l’occasion pour retourner la situation à son avantage. Ce cas, emblématique d’une stratégie de plus en plus utilisée par des groupes étatiques, révèle une sophistication inquiétante dans l’art de l’espionnage numérique. Il souligne aussi la nécessité pour les entreprises de développer des stratégies de cybersécurité toujours plus intelligentes et proactives.

L’art de l’infiltration numérique

Le scénario aurait pu passer pour une série Netflix. Il commence par une candidature en apparence banale pour un poste d’ingénieur logiciel. Mais très vite, les signaux d’alerte s’accumulent. Le nom utilisé par le candidat diffère de celui affiché sur le CV, et sa voix change à plusieurs reprises lors de l’entretien, comme si plusieurs personnes participaient en coulisses. Pour les recruteurs de Kraken, cela ne fait bientôt plus aucun doute : quelque chose cloche sérieusement.

En creusant davantage, ils découvrent que l’adresse e-mail utilisée figure sur une base de données recensant des contacts liés à des cyberattaques nord-coréennes. Le profil GitHub du candidat, pourtant bien fourni, trahit une adresse déjà compromise dans une fuite de données antérieure. Des incohérences s’ajoutent : le candidat se connecte via un VPN, accède à l’entretien depuis un Mac distant, et ses justificatifs d’identité semblent manifestement falsifiés.

L’opération devient alors pour Kraken bien plus qu’une simple procédure d’embauche. Conscients de la portée de cette tentative, les responsables de la plateforme crypto décident de transformer ce faux recrutement en véritable mission de contre-espionnage.

Une chasse au hacker méthodique

Ce que Kraken met en œuvre ensuite est digne d’un manuel d’enquête numérique. L’entreprise décide de continuer à faire progresser le faux candidat dans le processus de recrutement, tout en documentant chaque interaction. L’objectif : comprendre les tactiques utilisées par ces pirates d’un genre nouveau, qui ne cherchent plus seulement à voler des données ou des crypto-actifs, mais à infiltrer de l’intérieur les structures mêmes de leurs cibles.

L’analyse révèle alors un réseau plus vaste, composé de multiples identités, probablement gérées par un seul individu. Selon Kraken, la même personne utilisait jusqu’à quatre identités différentes pour postuler dans le secteur technologique, une stratégie visant à maximiser ses chances d’infiltration. Derrière cette façade, les traces pointent vers une opération organisée, méthodique, et clairement commanditée par un État.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

« Nous avons compris que nous n’avions pas affaire à un candidat isolé, mais à une entité structurée avec des méthodes bien rodées« , confie Nick Percoco, directeur de la sécurité de Kraken.

Une cyberattaque à visage humain

Le point culminant de cette opération d’infiltration déguisée en recrutement est atteint lors d’un « entretien d’alchimie » avec Percoco et d’autres responsables de l’équipe de sécurité. L’objectif ? Piéger le candidat en le confrontant à des questions que seul un résident légitime de la ville qu’il prétend habiter pourrait maîtriser.

L’échange vire rapidement à l’absurde : le faux ingénieur se montre incapable de présenter une pièce d’identité valable, hésite lorsqu’on lui demande de nommer un restaurant local, et évite les questions précises sur sa localisation. Pour Kraken, cela ne fait plus de doute : l’imposteur est démasqué.

Mais au-delà de ce cas isolé, c’est un mode opératoire entier qui est mis en lumière. Car ce n’est pas la première fois que les États-Unis — et d’autres pays — signalent des tentatives d’infiltration de la part de la Corée du Nord dans des entreprises du secteur numérique et de la blockchain.

Selon Chainalysis, les hackers nord-coréens ont volé pour plus de 1,5 milliard d’euros en crypto-monnaie depuis 2017.

La crypto, terrain de jeu stratégique pour Pyongyang

Pour comprendre pourquoi des pirates nord-coréens s’attaquent aux entreprises de la blockchain, il faut revenir à la situation géopolitique du pays. Sous embargo international, asphyxié économiquement, le régime de Pyongyang voit dans la cybercriminalité une source de financement à la fois lucrative et difficile à tracer. Les crypto-monnaies, par leur nature décentralisée et pseudonyme, sont idéales pour contourner les sanctions.

Le groupe Lazarus, célèbre collectif de hackers affilié à la Corée du Nord, a déjà été identifié dans plusieurs attaques d’envergure visant des portefeuilles numériques, des plateformes d’échange ou des projets DeFi. En 2022, le piratage du jeu Axie Infinity aurait rapporté près de 620 millions de dollars (environ 580 millions d’euros) à ce groupe.

Ces opérations, parfois menées sous couvert de recrutements frauduleux ou d’ingénierie sociale, montrent à quel point les frontières entre guerre numérique, espionnage et cybercriminalité sont devenues floues.

Face à cette nouvelle forme de menace, les entreprises technologiques sont contraintes de revoir leurs protocoles de recrutement. Ce qui relevait autrefois du simple échange de CVs et d’entretiens vidéo devient désormais une zone à haut risque, où la vigilance doit être constante.

Kraken recommande, par exemple, de varier les méthodes de vérification, d’éviter les questions de contrôle classiques et répétées, et d’introduire des tests en temps réel. Car si les vrais candidats s’adaptent facilement, les imposteurs — surtout ceux opérant à distance sous de fausses identités — sont souvent déstabilisés par l’imprévu.

Un avant-goût de la cyberguerre du futur ?

L’histoire de Kraken est loin d’être un cas isolé. Elle illustre une tendance lourde, où les menaces ne viennent plus seulement des failles logicielles mais aussi des failles humaines. Dans un univers où les intelligences artificielles, les deepfakes et les identités numériques deviennent monnaie courante, il devient urgent pour les entreprises d’intégrer la cybersécurité à tous les niveaux, y compris dans les services les plus inattendus comme les ressources humaines.

Elle pose aussi une question plus large sur l’avenir des relations internationales. Si des États comme la Corée du Nord utilisent des moyens détournés pour contourner les sanctions, détourner des fonds et espionner des infrastructures critiques à l’échelle mondiale, comment garantir la souveraineté numérique des nations et la sécurité des entreprises dans un monde de plus en plus interconnecté ?

Au cœur de cette stratégie, on trouve la GenAI, l’intelligence artificielle générative, dont les avancées fulgurantes ont ouvert des possibilités presque illimitées en matière de création de contenus crédibles. Ce sont précisément ces outils, conçus à l’origine pour accélérer les processus créatifs, qui sont aujourd’hui détournés pour fabriquer des identités numériques fictives, rédiger des CV adaptés à chaque offre d’emploi, passer des entretiens en vidéo, et même interagir avec des collègues, le tout sans jamais révéler la véritable nature des « employés ». Derrière les écrans, c’est en réalité une armée coordonnée d’agents nord-coréens qui œuvre à distance, avec un objectif clair : contourner les sanctions économiques imposées par la communauté internationale et alimenter les finances de Pyongyang.

« Ferme de laptops » : le nouveau visage de l’espionnage numérique

Le terme peut sembler anodin, presque trivial. Pourtant, les « fermes de laptops » désignent des structures logistiques discrètes mais essentielles à l’efficacité de cette stratégie. Installées dans des pays tiers — parfois même aux États-Unis — ces plateformes sont dirigées par des facilitateurs : des individus chargés de réceptionner les ordinateurs envoyés par les entreprises, de configurer les machines, de créer les accès aux services internes et d’assurer la coordination entre les travailleurs fictifs et leurs employeurs.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

En 2024, un de ces facilitateurs a été identifié sur le sol américain. Il pilotait un centre dans lequel il aidait une équipe de faux travailleurs nord-coréens à maintenir leur couverture professionnelle, tout en leur garantissant un accès sécurisé aux infrastructures de leurs entreprises clientes. Et ce cas n’est pas isolé. En 2025, les autorités ont démantelé un réseau basé en Caroline du Nord, à l’origine de l’infiltration de dizaines de « collaborateurs » dans des entreprises américaines. Derrière chaque faux profil, il ne s’agissait pas d’un individu isolé, mais d’un maillon dans une organisation structurée, avec des tâches réparties, des comptes simulés, et une discipline inspirée des services secrets.

Grâce à l’IA, un faux développeur nord-coréen peut désormais passer un entretien en visioconférence avec un deepfake vocal et visuel, sans éveiller les soupçons.

Le rôle central de l’IA dans ces opérations dépasse la simple rédaction de documents. Les plateformes de génération de CV, dotées d’algorithmes d’apprentissage profond, permettent d’ajuster chaque document aux exigences des offres ciblées. Les candidats fictifs utilisent aussi des outils de suivi de candidature pour identifier les opportunités les plus accessibles, contourner les filtres automatiques et maximiser leurs chances de réussite. Plus inquiétant encore : certains facilitateurs publient eux-mêmes de fausses offres d’emploi, dans le seul but de comprendre les critères de sélection des recruteurs et de perfectionner leurs faux profils.

Les entretiens, étape souvent perçue comme décisive dans un processus de recrutement, ne constituent plus un frein pour ces acteurs malveillants. Grâce aux progrès du deepfake, un candidat peut aujourd’hui apparaître en visioconférence avec un visage généré par IA, synchronisé en temps réel avec une voix artificielle. Le tout est géré depuis les fermes de laptops, où plusieurs opérateurs se répartissent les tâches techniques et sociales, allant même jusqu’à interagir avec des collègues sur Slack ou GitHub pendant les heures de bureau.

En s’appuyant sur des plateformes RH factices, les espions nord-coréens retournent les algorithmes de recrutement contre les entreprises elles-mêmes.

Les conséquences sont multiples et préoccupantes. D’un point de vue économique, ces travailleurs infiltrés génèrent des devises étrangères — parfois plusieurs milliers de dollars par mois — qui échappent aux sanctions. À titre d’exemple, un développeur freelance employé sur des projets blockchain peut facturer entre 80 et 120 dollars de l’heure, soit environ 75 à 112 euros de l’heure. En travaillant simultanément sur plusieurs projets à distance, un seul individu peut engranger plus de 20 000 dollars (environ 18 700 euros) par mois. En réalité, ce n’est pas un individu, mais une équipe entière qui se partage les tâches et les revenus.

Sur le plan sécuritaire, ces intrusions fragilisent les systèmes d’information des entreprises. Même sans accès direct à des données sensibles, un faux collaborateur peut introduire des portes dérobées, siphonner des bases de données, ou compromettre l’intégrité des logiciels développés. Pour les entreprises visées, il devient alors presque impossible de retracer les actions malveillantes tant les identités ont été soigneusement élaborées.

Un défi pour les ressources humaines et la cybersécurité

Face à cette sophistication, les responsables RH et les équipes de cybersécurité se retrouvent démunis. Les procédures de vérification traditionnelles — entretiens, contrôles de références, tests techniques — ne suffisent plus. Certains experts recommandent désormais d’intégrer des audits réguliers des postes en télétravail, de renforcer la vérification biométrique ou de développer des systèmes d’authentification comportementale. Mais chaque avancée dans la détection semble aussitôt contournée par de nouveaux outils d’IA, toujours plus efficaces et difficilement traçables.

Paradoxalement, ce sont parfois les outils de sécurité eux-mêmes qui sont exploités à l’envers. En testant leurs faux profils contre des algorithmes de filtrage automatique, les agents nord-coréens affinent leur stratégie jusqu’à obtenir un taux de réussite optimal. Chaque échec devient une donnée d’apprentissage. Ce jeu du chat et de la souris algorithmique transforme les plateformes RH en véritables laboratoires de la désinformation.

Les États-Unis ne sont pas les seuls touchés. L’Europe, l’Asie du Sud-Est et le Moyen-Orient sont également ciblés. Des cas similaires ont été signalés en Allemagne, au Japon, et aux Émirats arabes unis, avec des modus operandi identiques. L’usage de VPN sophistiqués, l’obfuscation d’empreintes numériques et la segmentation géographique des connexions rendent l’attribution des faits extrêmement difficile. Les infrastructures de cloud sont utilisées pour dissimuler les mouvements de données et compartimenter les responsabilités.

Vers une militarisation numérique du télétravail

L’émergence des « Wagemoles », ces travailleurs clandestins manipulés par l’État nord-coréen, interroge la manière dont le monde du travail s’est transformé. Le télétravail, jadis perçu comme une libération des contraintes géographiques, devient une faille systémique. La promesse d’un recrutement mondial et diversifié se heurte à la réalité géopolitique : des régimes autoritaires exploitent les règles du jeu à leur avantage, tout en restant invisibles.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Le terme « Wagemole », contraction de wage (salaire) et mole (taupe), évoque à la fois l’avidité financière et l’infiltration silencieuse. Il cristallise les dérives d’un monde numérique sans frontières, où la confiance repose sur des pixels et des métadonnées. Dans ce théâtre d’ombres, l’intelligence artificielle n’est plus seulement un outil, mais un personnage à part entière — parfois allié, parfois ennemi.

Si l’on ignore encore combien d’entreprises ont été infiltrées avec succès, les premières estimations font état de centaines d’opérations en cours, réparties sur tous les continents. Certaines sociétés, souvent des startups en pleine croissance, n’ont tout simplement pas les moyens de détecter de telles menaces. D’autres choisissent de garder le silence pour éviter les conséquences en termes d’image ou de responsabilité légale.

Dans un monde de plus en plus interconnecté, comment s’assurer que derrière l’écran se cache bien la personne que l’on croit embaucher ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

backdoor, Chiffrement, cyberattaque

Faire face aux attaques de ransomware de type « Living Off the Land »

Les cyberattaques de type « living off the land » (ou LotL) constituent désormais l’une des menaces les plus redoutables pour les entreprises. La récente campagne de ransomware contre Kaseya n’est ainsi que le dernier exemple en date, dans lequel les cybercriminels ont utilisé les ressources technologiques de l’organisation contre elle. Ces types d’attaques procurent en effet aux cybercriminels deux leviers clés : l’accès et le temps.

Si ces attaques LotL ne se concluent pas toujours par un ransomware, les deux vont de plus en plus souvent de pair et sont aussi difficiles à évaluer qu’à prévenir. Une stratégie de protection efficace commence donc par une solide compréhension de ce qui constitue une attaque par ransomware LotL et des dommages qu’elle peut causer.

Dès 2017, les attaques de malwares sans fichier ont commencé à attirer l’attention du grand public après la divulgation de rapports faisant état d’infections de systèmes IT de plusieurs grandes organisations. Or, ces malwares sans fichier ont rendu possibles les attaques LotL. En éliminant la nécessité de stocker la charge utile malveillante dans un fichier, ou de l’installer directement sur une machine, les cybercriminels peuvent alors échapper aux antivirus, et aux autres outils traditionnels de sécurité des terminaux. Ils se déplacent ensuite latéralement dans l’environnement, en escaladant les privilèges et en dévoilant de nouveaux niveaux d’accès, jusqu’à ce qu’ils atteignent le but ultime : les systèmes, les applications et les bases de données contenant des actifs commerciaux essentiels, tels que les données clients, la propriété intellectuelle, les ressources humaines.

Malwares sans fichier

Pour se maintenir dans les systèmes sans être détectés, ces malwares sans fichier se font souvent passer pour un outil de confiance doté de privilèges et d’accès élevés. Cela permet aux attaquants de surveiller l’environnement, de récupérer des identifiants, en prenant tout le temps nécessaire. Il est extrêmement difficile d’identifier, et encore plus d’arrêter, ces attaques, surtout s’il s’agit d’un ransomware sophistiqué qui cible spécifiquement l’organisation. Pour y faire, il n’y a pas d’autre choix que de penser comme des attaquants, tout en gardant à l’esprit qu’une campagne n’est pas nécessairement identique à une autre. Le cheminement des attaques LotL n’est en effet pas linéaire. L’objectif est donc de déchiffrer l’environnement et de développer une approche fondée sur ce qui s’y trouve.

La plupart des attaques LotL suivent ainsi un schéma similaire : usurper des identités pour s’infiltrer dans un réseau d’entreprise, compromettre des systèmes, élever des privilèges et se déplacer latéralement jusqu’à obtenir l’accès aux systèmes sensibles nécessaires à l’exécution de l’attaque ou à la propagation du ransomware. Mais à chaque étape, il existe des possibilités divergentes qui rendent le suivi et l’anticipation de ces attaques très complexes. Les équipes IT doivent donc bénéficier des outils nécessaires pour décomposer les comportements et les indicateurs d’alerte à surveiller, lors des étapes critiques d’une attaque par ransomware LotL, et ce, afin d’accélérer la détection et de réduire l’exposition et les dommages.

Cependant, compte tenu du nombre de techniques éprouvées dont disposent les cybercriminels, il peut se révéler difficile de savoir comment traiter les points de vulnérabilité ou par où commencer. L’élaboration d’une stratégie de protection efficace contre les ransomwares exige des organisations qu’elles étudient les maillons de la chaîne d’attaque qui présentent les niveaux de risque les plus élevés et qu’elles les classent par ordre de priorité. Ainsi, une sécurisation des terminaux à plusieurs niveaux – combinant la défense par le moindre privilège, l’authentification forte des identités, la protection contre le vol d’informations d’identification, le contrôle des applications et le blocage des ransomwares – compliquera considérablement la tâche des hackers qui voudront s’introduire et maintenir leur présence. Car une fois qu’ils ont un pied dans le réseau informatique, il leur est facile de brouiller les pistes et d’intensifier leur action. (Par Ketty Cassamajor, Responsable Avant-Vente Europe du Sud chez CyberArk)

Android, backdoor, Sécurité

Nouvelle tactique furtive de faux-clics publicitaires dans des apps du Google Play Store

Une étude révèle une nouvelle tactique furtive utilisée par des applications malveillantes sur le Google Play Store consistant à cliquer automatiquement et sournoisement sur les annonces publicitaires pour générer du profit.

Cette technique furtive récemment découverte utilise des publicités intégrées – stratégiquement positionnées au-delà de la zone d’écran visible d’un appareil mobile – pour lancer un processus automatisé de clic publicitaire qui génère furtivement des revenus pour des acteurs à risque.

Deux applications populaires (IDEO Note et Beauty Fitness) présentes sur le Google Play Store.

Elle compte plus de 1,5 million de téléchargements à elles deux. Elles ont un comportement trompeur découvert par Symantec.

Les utilisateurs de téléphones mobiles affectés peuvent voir leur batterie s’épuiser. Les performances ralenties. Une augmentation de l’utilisation des données mobiles en raison de visites fréquentes sur les sites publicitaires.

L’application bloc-notes et l’app de mise en forme sont codées avec l’outil légitime développé à l’origine pour protéger la propriété intellectuelle des créations sous Android.

Cela explique également la capacité du développeur à rester sur le Play Store. Sous le radar pendant près d’un an avant détection. (étude)

backdoor, Cybersécurité, Mise à jour, Patch, Securite informatique

Des pirates mettent la main sur des mises à jour du logiciel ASUS

Des pirates informatiques ont réussi à s’infiltrer dans les mises à jour du constructeur Coréen ASUS. Ils ont installé, durant plusieurs semaines, des backdoors sur des milliers d’ordinateurs.

Imaginez, 12% des ordinateurs ASUS en France seraient concernés par cette infiltration. Selon des chercheurs de la société de cybersécurité Kaspersky Lab, « des pirates ont réussi l’année dernière à installer des logiciels malveillants à plus d’un million de propriétaires de PC de la marque ASUS – l’un des plus grands fabricants d’ordinateurs au monde –« . Ils auraient exploité le système de mise à jour logicielle du fabricant. Le fichier malveillant a été signé avec des certificats numériques ASUS légitimes pour donner l’impression qu’il s’agit d’une mise à jour logicielle authentique de la société.

Les certificats de signature de code utilisés pour savoir quelles sont les mises à jour à faire et quelles sont les machines à qui nous pouvons faire confiance. Ils sont dans les applications qui alimentent les voitures, les ordinateurs portables, les avions et plus encore. Presque tous les systèmes d’exploitation dépendent de la signature de code, et nous verrons beaucoup plus de certificats dans un avenir proche en raison de l’essor des applications mobiles, des DevOps et des périphériques IoT. « Cependant, les cybercriminels considèrent les certificats de signature de code comme une cible précieuse en raison de leur puissance extrême. explique à Data Security Breach Kevin Bocek, VP security strategy and threat intelligence chez Venafi. Avec un certificat de signature de code, les hackers peuvent donner l’impression que leurs logiciels malveillants sont dignes de confiance et échapper aux systèmes de protection contre les menaces.« 

Infiltration et manipulation

Malheureusement, dans de nombreuses organisations, la protection des processus de signature de code incombe principalement aux développeurs qui ne sont pas prêts à défendre ces actifs. En fait, la plupart des équipes de sécurité ne savent même pas si leurs développeurs utilisent la signature de code ou qui peut avoir accès au processus de signature de code. « Il est impératif que les organisations sachent quels certificats de signature de code elles utilisent et où, d’autant plus qu’il est probable que des attaques similaires se produiront à l’avenir.« 

Cette nouvelle attaque utilisant le matériel ASUS est parfaitement emblématique du nouveau cyber-monde dans lequel nous vivons. Elle présente toutes les caractéristiques d’une opération précise : ciblée, exige beaucoup de ressources et presque impossible à détecter. « Tout acteur menaçant aurait besoin de ressources et d’un soutien considérables pour acquérir les certificats authentiques d’ASUS afin de faire son entrée dans la chaîne logistique. Ceci initie bien sûr le jeu qui consiste à deviner qui pourrait être derrière la campagne et il n’est pas exagéré de prétendre que des États manquant de lois sur les cyber-infractions et hébergeant des réseaux internationaux de cyber-crimes pourraient être à l’origine de cette activité. » indique Justin Fier, de chez Darktrace.

Ciblage !

Mais la nature très ciblée de l’attaque est peut-être encore plus alarmante: c’est là que nous devrions concentrer notre attention. Dans le monde entier, ces pirates ne ciblaient que 600 machines. Ce n’est qu’une question de temps avant que nous apprenions que ces machines ou ces personnes ciblées ont un fil conducteur unique les reliant entre elles. Pour l’instant, la question pour toutes les entreprises utilisant du matériel ASUS devrait être d’identifier si l’une de leurs machines se trouvait dans la cible. Et au-delà de cela, toutes les organisations doivent réaliser qu’ASUS n’est qu’une seule entreprise. Y aura-t-il des attaques similaires contre Dell et Apple ?

Voler des certificats authentiques et les utiliser pour signer des codes malveillants ne fait que renforcer les arguments en faveur de technologies d’IA sophistiquées capables d’identifier même les plus petites anomalies indiquant une menace. Ce type de comportement serait si proche de la normale que seule l’IA pourrait comprendre la différence entre normal et malveillant. En luttant contre des attaques aussi sophistiquées que celles-ci, les approches traditionnelles deviendront inefficaces: la cyber IA doit être la voie à suivre.

backdoor, Cybersécurité, Securite informatique

Des clés USB piégées diffusées par Schneider Electric

La société Schneider Electric annonce que des clés USB livrées avec certains de ses produits infectées par des logiciels malveillants.

Des clés USB qui font désordre. La société Schneider Electric annonce des supports amovibles USB livrés avec les produits Conext Combox et Conext Battery Monitor exposés à des logiciels malveillants lors de la fabrication. Montrés du doigt, un fournisseur partenaire. Les lecteurs auraient été livrés avec deux produits, à savoir le Conext Combox (sku 865-1058) et le Conext Battery Monitor (sku 865-1058). ComBox est un dispositif de surveillance et de communication utilisé par les installateurs/opérateurs d’appareils dédiés à l’énergie solaire.

Par conséquent, la société exhorte ses clients à ne pas utiliser les clés USB et à détruire ces dernières. Il est à noter que la société a expédie une clé USB à l’ensemble de ses clients. Cela signifie que presque tous les appareils peuvent être infectés par des logiciels malveillants. Il est à noter que les logiciels malveillants sont détectés et bloqués par tous les principaux antivirus du marché. Il ne s’agirait pas d’une attaque ciblée. Ce n’est pas la première fois qu’une entreprise livre des clés USB infectées par des logiciels malveillants.

En 2017, IBM avait émis un avertissement concernant l’existance d’un certain nombre de clés USB infectées. Des supports livrés avec Storwize Flash. En décembre 2017, la police taïwanaise avait distribué des clés USB infectées aux gagnants d’un concours… relatif à la cybersécurité.

Argent, Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Leak, Paiement en ligne, Particuliers, Piratage

Infiltration de centaines de boutiques de prêt à porter

La chaîne de magasins de vêtements Eddie Bauer vient de confirmer l’infiltration de plus de 350 de ses magasins d’Amérique du Nord.

Les amateurs de vêtements connaissent la marque Eddie Bauer. Une enseigne bien implanter aux États-Unis. La société vient de confirmer que plus de 350 de ses points de vente avaient été infiltrés par un pirate informatique. Un code malveillant a été détecté et supprimé des systèmes de paiement des boutiques d’Amérique du Nord. Les pirates ont pu mettre la main, depuis le début d’année 2016, sur les données bancaires fournies par les clients.

KrebsOnSecurity avait alerté sur cette fuite au mois de juillet 2016. Eddie Bauer a mis 6 semaines pour confirmer et rassurer (ou pas) ses clients. Cette découverte se fait l’écho de l’infiltration d’un des espaces de la firme Oracle concernant les clients de son outil de paiement pour magasin (point-of-sale), MICROS.

https://krebsonsecurity.com/2016/08/malware-infected-all-eddie-bauer-stores-in-u-s-canada/

backdoor, Cyber-attaque, Cybersécurité, Leak, Piratage, Virus

Ukraine: Campagne de spear-phishing BlackEnergy

L’équipe GReAT (Global Research & Analysis Team) de Kaspersky Lab a détecté des signes d’attaques jusque-là inconnues lancées par le groupe russophone APT BlackEnergy. Un document de spear-phishing découvert par les experts de la société mentionne le parti nationaliste ukrainien d’extrême droite « Secteur droit » et paraît avoir été utilisé dans une attaque contre une chaîne de télévision très regardée en Ukraine.

BlackEnergy est une menace extrêmement dynamique et les récentes attaques en Ukraine indiquent qu’elle a pour principal objectif des actions destructrices, en plus de l’infection d’installations de contrôle industriel et du cyberespionnage. Utilisant au départ des logiciels d’attaques DDoS, BlackEnergy s’est développé pour devenir un vaste arsenal d’outils. Ceux-ci ont été employés pour diverses activités de type APT (menaces persistantes avancées), notamment des opérations géopolitiques telles qu’une vague d’attaques sur plusieurs secteurs critiques en Ukraine à la fin de 2015.

Bien que démasqué à de multiples reprises, le groupe BlackEnergy poursuit ses activités et représente un danger majeur.

Depuis la mi-2015, le groupe APT BlackEnergy utilise activement des e-mails de spear-phishing contenant des documents Excel malveillants, avec des macros destinées à infecter les ordinateurs sur un réseau ciblé. Cependant, en janvier de cette année, les chercheurs de Kaspersky Lab ont découvert un nouveau document malveillant qui infecte le système avec un cheval de Troie BlackEnergy. A la différence des documents Excel employés dans les attaques précédentes, il s’agit cette fois d’un document Microsoft Word.

À l’ouverture du document, l’utilisateur voit s’afficher une boîte de dialogue recommandant d’activer les macros pour pouvoir visualiser le contenu. L’activation des macros déclenche en fait une infection par le malware BlackEnergy.

Une fois activé sur l’ordinateur d’une victime, le malware envoie des informations de base sur la machine infectée à son serveur de commande et de contrôle (C&C). L’une des informations transmises par le programme malveillant est une suite de caractères qui semble identifier la victime. Le document analysé par les chercheurs de Kaspersky Lab contenait l’identifiant « 301018stb », dans lequel « stb » pourrait faire référence à la chaîne de télévision ukrainienne STB. Cette dernière avait précédemment été citée parmi les victimes des attaques BlackEnergy Wiper en octobre 2015.

À la suite de l’infection, des modules malveillants supplémentaires peuvent être téléchargés. Leurs fonctions peuvent varier selon la version du cheval de Troie, allant du cyberespionnage à l’effacement de données.

« Par le passé, nous avons vu le groupe BlackEnergy cibler des entités en Ukraine par le biais de documents Excel et PowerPoint. L’utilisation de documents Word était également attendue et ne fait que confirmer nos soupçons. D’une manière générale, nous observons l’utilisation croissante de documents Word comportant des macros dans le cadre d’attaques APT. Par exemple, nous avons récemment constaté l’emploi par le groupe APT Turla de documents avec des macros pour le lancement d’un type d’attaque similaire. Cela nous amène à penser que bon nombre de ces attaques sont couronnées de succès, ce qui explique leur recrudescence », commente Costin Raiu, Directeur de l’équipe GReAT de Kaspersky Lab.

Hacking

Nouvelles applications malveillantes retirées du Google Play

Des applications malveillantes découvertes en décembre dans la boutique de Google. Des programmes espions pour appareils sous Android.

La boutique Google Play permet de télécharger musiques, films et autres applications. Des programmes pour l’environnement Android, l’un des OS de Google. Un environnement qui plait aux pirates. GData annonçait, l’année dernière, qu’Android voyait apparaître, chaque jour, 4 500 codes malveillants.

En septembre dernier, plusieurs applications avaient été effacées de l’Internet et de la boutique du géant américain. Il avait été découvert un malware, un code pirate qui permettait d’espionner les utilisateurs et utiliser leur appareil pour générer des revenus publicitaires au pirate. Baptisé Brain Test, du nom de l’application pirate, les téléphones et tablettes infiltrés devenaient des aides involontaires malveillants.

Check Point Threat mobile avait détecté plusieurs cas via des clients de la société piégés. Le malware avait été diffusé sous deux formes cumulant 600 000 téléchargements selon les statistiques de Google Play. Alerté le 10 Septembre 2015, Google retirait les APPs le 15 Septembre 2015.

Quatre mois plus tard, treize autres applications piégées disparaissaient après une alerte de LockOut, une autre société spécialisée dans les applications mobiles. Certaines de ces « applis » tentaient d’obtenir les privilèges root, bref souhaitez devenir maître du smartphone [ordiphone] persistez dans les appareils même après le Factory Reset, la mise à zéro d’un appareil sorti d’usine.

Les jeux avaient été installés dans Google Play quelques semaines auparavant. Ils ne contenaient aucun malware. C’est lors d’une mise à jour, fin décembre, que le pot au rose est apparu. Une mise à jour qui rajoutait les commandes pirates dans les applications. Les programmes piégeaient se nommaient Cake Tower, Honey Comb, Cake Blast, jump Planet, Crazy block, Crazy Jelly, Tiny Puzzle, Ninja Hook, Piggy Jump, Just fire, Eat Bubble, Hit Planet, Cake tower 92829 ou encore Drag box.

backdoor, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Propriété Industrielle, Sauvegarde

Equation Group : l’ancêtre du cyber espionnage ?

Un commentaire

Depuis plusieurs années, l’équipe GReAT (Global Research & Analysis Team) suivrait étroitement plus de 60 menaces avancées responsables de différentes cyber attaques à travers le monde. Elle a ainsi fait des observations de toutes sortes, les attaques gagnant en complexité à mesure qu’un nombre croissant de pays se sont impliqués et efforcés de se doter des outils les plus évolués. Cependant, ce n’est qu’aujourd’hui que les experts de  peuvent confirmer la découverte d’une menace dépassant tout ce qui était connu jusque-là en termes de complexité et de sophistication techniques. Le groupe à l’origine de cette menace, dénommé « Equation Group », est actif depuis près de 20 ans.

Le groupe se singularise par pratiquement chaque aspect de ses activités : il utilise des outils très complexes et coûteux à développer pour infecter ses victimes, récupérer des données et masquer ses actions d’une façon extrêmement professionnelle, ainsi que des techniques classiques d’espionnage pour diffuser ses codes malveillants. Pour infecter ses victimes, le groupe emploie un puissant arsenal d’« implants » (Troyen), notamment les suivants : Equation Laser, Equation Drug, Double Fantasy, Triple Fantasy, Fanny et Gray Fish. L’existence d’autres implants ne paraît faire aucun doute.

L’équipe GReAT a pu récupérer deux modules servant à reprogrammer le firmware du disque dur de plus d’une douzaine de marques répandues. Il s’agit peut-être de l’outil le plus puissant dans l’arsenal d’Equation Group et du premier malware connu capable d’infecter les disques durs. En reprogrammant le firmware du disque dur (c’est-à-dire en réécrivant le système d’exploitation du disque comme nous vous l’expliquons plus haut), le groupe atteint deux objectifs :

1.       Un niveau extrême de persistance permettant au malware de résister à un reformatage du disque et une réinstallation du système d’exploitation. Dès lors que le malware s’est introduit dans le firmware, il est à même de se régénérer à l’infini. Il peut par exemple empêcher l’effacement d’un certain secteur du disque ou bien le remplacer par un code malveillant à l’amorçage du système. « Un autre danger tient au fait qu’une fois le disque dur infecté par ce code malveillant, il devient impossible d’analyser son firmware. En termes simples, les disques durs comportent pour la plupart des fonctions permettant d’écrire dans le firmware matériel mais aucune pour vérifier l’écriture, de sorte que nous sommes pratiquement aveugles et incapables de détecter les disques durs infectés par ce malware », avertit Costin Raiu, Directeur de l’équipe GReAT. A noter que l’attaque de disque dur n’est pas une nouveauté comme l’annonce Kaspersky. Snowden en avait déjà fait la preuve via des documents volés à ses anciens employeurs, la NSA.

2.       La capacité de créer une zone invisible et persistante à l’intérieur du disque dur. Celle-ci sert à enregistrer des informations qui pourront être exfiltrées ultérieurement par les auteurs de l’attaque. En outre, dans certains cas, elle peut aussi aider le groupe à percer le cryptage : « Etant donné que l’implant GrayFish est actif dès le début de l’amorçage du système, il permet de capturer la clé de cryptage et de l’enregistrer dans la zone cachée », explique Costin Raiu.

Capacité de récupérer des données sur des réseaux isolés
Parmi toutes les attaques lancées par Equation Group, le ver Fanny se démarque. Il a pour but principal de cartographier les réseaux isolés, c’est-à-dire de déterminer la topologie d’un réseau inaccessible par Internet et d’y exécuter des commandes. Pour ce faire, il utilise un mécanisme unique de commande et contrôle (C&C) sur une clé USB, permettant aux auteurs de l’attaque de faire entrer et sortir des données sur les réseaux isolés.

En particulier, une clé USB infectée avec une zone de stockage cachée a été employée pour recueillir des informations système de base sur un ordinateur non connecté à Internet et les transmettre à un serveur C&C dès que la clé est insérée dans une autre machine infectée par Fanny et disposant d’une connexion Internet. Pour exécuter des commandes sur un réseau isolé, il suffit de les enregistrer dans la zone cachée de la clé. Lorsque cette dernière est introduite dans un ordinateur du réseau, Fanny reconnaît les commandes et les exécute.

Méthodes classiques d’espionnage pour la diffusion des malwares
Les auteurs des attaques ont utilisé des méthodes universelles pour infecter les cibles, que ce soit via le Web ou dans le monde physique. A cette fin, ils ont intercepté des produits physiques pour leur substituer des versions contaminées par des chevaux de Troie. Cette technique a été employée, par exemple, pour cibler les participants d’une conférence scientifique à Houston (Texas) : à leur retour chez eux, certains des participants ont reçu un compte rendu de la conférence sur un CD-ROM qui a ensuite servi à installer l’implant DoubleFantasy sur la machine cible. La méthode exacte de falsification des CD reste inconnue.

Il existe de solides indices d’interactions d’Equation Group avec d’autres groupes puissants, tels que les opérateurs des campagnes Stuxnet et Flame, généralement en position de supériorité. Equation Group a ainsi eu accès à des failles « zero day » avant qu’elles ne soient exploitées par Stuxnet et Flame. A un moment donné, il a également partagé des exploitations de vulnérabilités avec d’autres. Par exemple, en 2008, Fanny a utilisé deux failles « zero day » qui ont été par la suite exploitées dans Stuxnet en juin 2009 et mars 2010. Pour l’une d’elles, Stuxnet reprenait en fait un module Flame exploitant la même vulnérabilité et passé directement d’une plate-forme à l’autre.

Equation Group utilise une vaste infrastructure C&C qui comprend plus de 300 domaines et 100 serveurs. Les serveurs sont hébergés dans de nombreux pays (Etats-Unis, Royaume-Uni, Italie, Allemagne, Pays-Bas, Panama, Costa Rica, Malaisie, Colombie et République tchèque, notamment). Kaspersky surveillerait  actuellement plus d’une vingtaine de serveurs C&C (autant dire que les pirates derrières ces centres de commande n’ont plus qu’à changer d’espace, ndlr). Depuis 2001, Equation Group aurait infecté des milliers voire des dizaines de milliers de victimes dans plus d’une trentaine de pays à travers le monde, appartenant aux secteurs ou milieux suivants : administrations et missions diplomatiques, télécommunications, aéronautique, énergie, recherche nucléaire, pétrole et gaz, défense, nanotechnologies, militants et érudits islamiques, médias, transports, établissements financiers ou encore développeurs de technologies de cryptage. Sept exploits utilisés par l’Equation Group dans ses malwares, dont au moins 4 comme « zero day » (ils ne sont donc plus inconnus, ndlr). En outre, des failles inconnues, peut-être « zero day », ont été exploitées contre Firefox 17, tout comme dans le navigateur Tor.

Pendant la phase d’infection, le groupe a la capacité d’exploiter dix vulnérabilités en chaîne. Cependant, les experts n’en ont constaté pas plus de 3 à la suite : si la première échoue, une deuxième est essayée, puis une troisième. En cas de triple échec, le système n’est pas infecté. Ce qui est assez étonnant car ZATAZ.COM a pu constater des « HQ » malveillants exploitant l’intégralité des failles, exploits disponibles au moment de l’attaque lancée par ce type d’outil.

Virus

Les sites de jeu en ligne visés par une campagne de cyberespionnage active

L’organisation cybercriminelle « Winnti » cible les serveurs de jeu à travers le monde et dérobe de la propriété intellectuelle ainsi que des certificats numériques à des fins malveillantes. Selon le rapport de Kaspersky Lab reçu à la rédaction de Data Security Breach, le groupe Winnti, encore actif aujourd’hui s’attaque à des sites de jeu en ligne depuis 2009. Il a pour objectifs de dérober non seulement de la propriété intellectuelle – notamment le code source des jeux en ligne – mais aussi des certificats numériques signés par des éditeurs de logiciels légitimes.

Le premier incident qui a attiré l’attention sur les activités malveillantes du groupe Winnti s’est produit à l’automne 2011, lorsqu’un cheval de Troie a été détecté sur les ordinateurs d’un grand nombre d’utilisateurs à travers le monde. Le lien manifeste entre toutes les machines infectées est que celles-ci ont été utilisées pour jouer en ligne.

Peu de temps après, il est apparu que le programme malveillant à l’origine de l’infection faisait partie d’une mise à jour régulière du serveur officiel du site de jeu. Les utilisateurs contaminés et les joueurs en général ont soupçonné l’éditeur d’avoir installé le malware afin d’espionner ses clients. Cependant, il s’est avéré par la suite que le programme malveillant avait été installé sur les ordinateurs des joueurs par accident, alors que les cybercriminels visaient en réalité le site de jeu lui-même. En réponse, l’éditeur propriétaire des serveurs ayant propagé le cheval de Troie à ses utilisateurs a demandé à Kaspersky Lab d’analyser le programme malveillant. Le cheval de Troie s’est révélé être une bibliothèque DLL compilée pour un environnement Microsoft Windows 64 bits, utilisant une signature appropriée. Il s’agissait d’un outil de type RAT (Remote Administration Tool) aux fonctionnalités complètes, qui donne aux auteurs de l’attaque la possibilité de prendre le contrôle de l’ordinateur d’une victime à son insu. La découverte est de taille car ce cheval de Troie est le premier programme malveillant opérant sur une version 64 bits de Windows avec une signature numérique valide.

Plus de 30 sites de jeu en ligne avaient été infectés par celle-ci, la majorité d’entre eux appartenant à des éditeurs de logiciels du sud-est asiatique. Cependant, des entreprises du secteur situées dans d’autres pays (Allemagne, Etats-Unis, Japon, Chine, Russie, Brésil, Pérou, Biélorussie) ont également été identifiées comme des victimes de Winnti. En dehors de l’espionnage industriel, trois principales techniques susceptibles d’être employées par le groupe Winnti pour en tirer des profits illicites : accumulation et manipulation de sommes d’argent virtuelles utilisées par les joueurs, pour une conversion en argent réel ; exploitation du code source volé sur les serveurs de jeu en ligne pour la recherche de vulnérabilités dans les jeux en vue d’accentuer la manipulation d’argent virtuel et d’en accumuler sans éveiller les soupçons ;  exploitation du code source volé sur des serveurs très fréquentés pour la création de sites pirates. Actuellement, le groupe Winnti est toujours actif.

Cyber-attaque, Particuliers

Attaque de masse : des milliers de données de Français piratées

6 commentaires

Un fichier malveillant réussi, en quelques heures, à voler des milliers de logins et mots de passe de Français crédules. Un pirate informatique a diffusé un fichier malveillant, en multi-urls, proposant de télécharger un logiciel de création de code StarPass. Bien évidemment, derrière ce pseudo programme, promu par des vidéos sur Youtube, ce cache un logiciel d’espionnage. Mission du « malveillant », intercepter les logins et mots de passe pouvant trainer sur les ordinateurs des victimes.

Le « fouineur », il utilise un email dixi7z@xxxx.ch a mis la main sur plusieurs milliers d’informations de Français : sites web, logins, emails, mots de passe. Par un tour de magie, la rédaction de Data Security Breach a pu mettre la main sur les données volées.

Zataz.com, via son protocole d’alerte, a  alerté l’ensemble des internautes touchés par cette infiltration malveillante. Plus de 700 personnes sont concernées avec des accès à des boutiques en ligne, des comptes Googles, Facebook, sites Internet, forums, accès wifi (SFR, FREE, …), clés Windows.