Archives par mot-clé : ransomware.

BYOD, Cloud, Cybersécurité, Entreprise, IOT

Les prédictions 2016 de Blue Coat en matière de sécurité informatique

Cloud, Ransomware, DDoS. L’année 2015 a été très chargée. L’année 2016 s’annonce tout aussi chaude.

Bijoux dans le cloud ; Voleurs dans le cloud
Les clés du royaume sont maintenant dans le cloud. Puisque de plus en plus d’entreprises stockent leurs données les plus précieuses (données clients & employés, propriétés intellectuelles, etc.) dans le cloud, tôt ou tard les méchants trouveront bien un moyen d’accéder à ces données. En 2016, nous prévoyons de voir une augmentation des failles dans les services cloud, en effet les pirates utiliseront les identifiants liés aux services cloud comme principal vecteur d’attaque. Les tactiques de social engineering vont imiter les écrans d’authentification à ces services cloud pour récupérer les identifiants.

Ransomware Road trip !
Les menaces mobiles et particulièrement les ransomwares font gagner beaucoup d’argent aux cybercriminels, nous verrons donc augmenter les deux dans l’année à venir. Les appareils mobiles représentent une nouvelle cible, téléphones et tablettes connaissent déjà un regain d’attaques au ransomware. Les criminels ont déjà attaqué beaucoup de ces cibles faciles, et désormais ils ne visent plus seulement des individus mais aussi des entreprises qui n’ont pas correctement sauvegardé leurs données sensibles (telles que les images, les codes source et les documents). La découverte récente du « Linux.Encoder ransomware » (qui a déjà corrompu 2 000 sites web) est juste un exemple de plus qui montre que les ransomwares continuent à évoluer.

Trafic chiffré/le SSL comme moyen de dissimulation
Des services tels que Office 365, Google Drive, Dropbox et Box continuent à gagner en popularité ; les pirates aussi continueront de s’appuyer sur ces derniers. Ces services sont parfaits pour eux : ils sont gratuits, simple à installer, utilisent le chiffrement SSL, et ne sont généralement pas bloqués. Le trafic chiffré continuera à créer des angles morts pour les solutions de sécurité étant donné que les activistes de la vie privée tentent de chiffrer le web entier. Avec des adversaires se dissimulant, opérant et communiquant dans un trafic et des canaux chiffrés, il y aura un grand intérêt pour les réseaux chiffrés.

Une attaque ici, une attaque là
Il semble que chaque année soit jugée comme étant « l’Année de l’Attaque », et chaque année, de plus en plus de grandes entreprises sont victimes d’attaques. Aujourd’hui, les attaques sont monnaie courante et les utilisateurs y sont de moins en moins sensibles. Il en résulte que beaucoup se sentent impuissants contre ces menaces, ce qui pousserait les entreprises à privilégier leur capacité d’analyse et de réponse à ces piratages, de même que leur assurance en cas d’attaque.

IoT- Il est 10 heures, savez-vous où est votre thermostat ?
L’internet des Objet (IoT) est un nouveau champ vierge pour le piratage et l’apprentissage. Les piratages PoS de ces dernières années ne sont qu’un début. La prédominance des appareils connectés à Internet, qui sont souvent laissés sans surveillance ni sécurité, font d’eux un refuge idéal pour le contrôle et la manipulation. Le fait est que beaucoup d’appareils connectés manquent d’espace mémoire ou de fonctionnalités d’un système d’exploitation. Par conséquent, la stratégie consistant à les considérer comme des postes clients classiques échouera, et cela permettra à la communauté des pirates d’exploiter les vulnérabilités de l’IoT que ce soit pour faire les gros titres des journaux ou à des fins plus néfastes (simplement en allumant ou en éteignant l’appareil).

Aujourd’hui, les ransomwares ne sont pas encore répandus parmi les objets connectés (tels que les réfrigérateurs ou les FitBits), étant donné que ces appareils ne stockent pas les données importantes que les pirates recherchent. Mais, à mesure que l’IoT se développe, nous allons commencer à voir des attaques plus avancées nous affecter en 2016 et à l’avenir.

Le paysage des menaces internationales
Nous commençons à voir un développement important des attaques nationales sophistiquées. Quelques pays, comme le Nigéria, sont en train de rentrer dans la mêlée avec des attaques plus sophistiquées. D’un autre côté, la Chine et la Corée du Nord ont peu contribué à l’évolution de leurs attaques ces cinq dernières années. Quant à la Russie, elle a évolué de façon significative ces derniers temps, que ce soit en terme d’activité ou de sophistication, étant donné que le pays se préoccupe moins de faire profil bas. Les pirates russes sont maintenant plus vigoureux qu’avant dans leurs tentatives d’intrusion. Nous prévoyons que les conflits à travers le monde amèneront avec eux des attaques via du matériel connectés.

A la suite de la dénonciation du Safe Harbor, la signature du règlement général de protection de données européennes – et les peines encourues pour non-respect – forcera les entreprises à faire un état des lieux de la façon dont ils traitent les informations personnelles de leurs clients européens, ainsi que de leurs employés ; en attendant que cela ait un impact direct et considérable sur leur sécurité d’architecture et investissements.

Le recrutement
La défaillance des entreprises et des pays à développer un cyber talent deviendra un problème important dans les cinq prochaines années. La demande pour les compétences en sécurité informatique professionnelle devrait croitre de 53% d’ici 2018. De ce fait, les postes dans le domaine sécurité seront complétés par des MSSP (fournisseurs de services d’infogérance en sécurité), dont les prix ne baisseront pas. De plus, les produits devront être plus performants et plus intelligents pour pouvoir guider le changement et les organisations privées auront besoin de changer leurs habitudes et d’investir pour intéresser les candidats. (Par Dominique Loiselet, Directeur Général de Blue Coat France)

Adobe, backdoor, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Logiciels, Piratage, Virus

Angler Exploit Kit : 90.000 sites piratés, des millions d’internautes ciblés

Le code malveillant Angler aurait déjà infecté plus de 90.000 sites Internet dont 30 présents dans le top 100.000 d’Alexa.

AEK, connu aussi sous le nom d’Angler Exploit Kit, n’a pas fini son petit bonhomme de chemin. Comme l’indiquent les analyses de Palo Alto Networks, déjà 90.000 sites Internet ont été touchés par ce code pirate.

Dans cette liste, 30 serveurs web sont placés dans le top 100.000 d’Alexa, soit des millions de cibles potentielles pour le logiciel malveillant. Une opération parfaitement orchestrée. AEK se met à jour périodiquement, et cela sur l’ensemble des sites corrompus. Le script caché sur les sites se déclenche au bon vouloir des « contrôleurs », rendant sa détection très difficile.

Du 5 au Novembre 2015, 90 558 domaines Internet uniques étaient déjà infectés et utilisés par AEK. Le 14 décembre, seulement 2 850 sites étaient considérés comme dangereux pour les sondes de détections d’espaces malveillants.

L’attaque se fait par le biais d’Internet Explorer et d’une version flash non mise à jour (Ce qu’à fait Adobe, d’urgence, en décembre). La nouvelle version d’AEK s’attaque aussi à Firefox et Chrome.

Comme un grand nombre de kits pirate, Angler Exploit Kit vise les internautes selon une géolocalisation, par l’IP, décidée par le pirate. AEK se charge ensuite de télécharger une charge numérique dans le pc de sa victime. La plupart du temps, un ransomware.

backdoor, Bitcoin, Chiffrement, cryptage, Cybersécurité, Entreprise, escroquerie, Particuliers, ransomware

2015 : L’année du fléau Ransomware

55.8 % de tous les fichiers malveillants visant les internautes français contenaient une forme de ransomware.

Après avoir analysé des e-mails infectés visant des utilisateurs lors des douze derniers mois et détecté une proportion considérable de malwares de type ransomware, Bitdefender, société de technologies de sécurité Internet innovantes protégeant plus de 500 millions d’utilisateurs dans le monde entier, publie un aperçu de ce que pourrait être l’amplitude de cette menace.

En juin 2015, le FBI a lancé un avertissement à propos de Cryptowall 4.0, le décrivant comme le ransomware le plus « actif et menaçant, visant les particuliers et entreprises américaines ». L’étude de Bitdefender confirme cette tendance : 61,8% de toutes les attaques de malwares via e-mails aux États-Unis ont diffusé du ransomware (la plupart du temps Cryptowall et Cryptolocker).

En France, un peu plus de la moitié (55.8%) de tous les fichiers malveillants diffusés via e-mail contenaient une forme de ransomware.

À l’échelle mondiale, près du tiers des attaques de malwares par e-mails contenaient une forme de ransomware, dont la majorité aux États-Unis (11.9%) et environ 2% en France. Le reste des e-mails propageant d’autres types de malwares : chevaux de Troie, spywares et autres programmes malveillants.

Comme souvent, les internautes américains sont les plus ciblés par des infections ransomwares via mail (21.2%). La France arrive en 4e position des cibles privilégiées par les cybercriminels (3.85%).

Les cybercriminels à l’origine de ces ransomwares ont donc fait des États-Unis leur priorité, rejoignant ainsi les craintes des DSI américains davantage préoccupés par les ransomwares que par les menaces 0-day1. Ce pays représente en effet un marché hautement profitable pour ce type d’attaque. En 2015, les créateurs du tristement célèbre ransomware CryptoWall ont extorqué plus de 325 millions de dollars (près de 300 millions d’euros) aux victimes américaines, selon diverses études. Un des facteurs importants qui explique ces gains est l’utilisation d’algorithmes de chiffrement sophistiqués qui ne laisse bien souvent d’autre choix aux victimes que de payer la rançon. Le FBI lui-même a parfois encouragé des entreprises à payer.

Les ransomwares sont probablement la menace la plus importante pour les internautes depuis 2014 et resteront l’un des plus importants vecteurs de cybercriminalité en 2016. Alors que certains pirates préfèrent l’approche du chiffrement de fichiers, certaines versions plus novatrices se concentreront sur le développement de « l’extortionware » (malware qui bloque les comptes de services en ligne ou expose les données personnelles aux yeux de tous sur Internet).

Chiffrement, cryptage, Cybersécurité

Ne confondons plus confidentialité avec sécurité

Depuis début octobre 2015, Twitter a décidé de chiffrer les échanges de messages privés entre ses utilisateurs, en expliquant que cela augmente la sécurité. A chaque fois qu’un géant de l’Internet, Google en tête, passe en trafic SSL, le message est « c’est pour améliorer la sécurité ». Mais l’utilisation de flux chiffrés est-elle un véritable vecteur d’amélioration de la sécurité des systèmes d’informations ?

N’est-ce pas plutôt, et comme l’indique l’ANSSI dans son document Recommandation de Sécurité concernant l’analyse des flux HTTPS « Une technologie conçue pour protéger en confidentialité et en intégrité les communications de bout en bout ».

La confidentialité consiste dans « le fait de s’assurer que l’information n’est seulement accessible qu’à ceux dont l’accès est autorisé » selon la définition de l’Organisation Internationale de Normalisation (ISO). La sécurité, elle, correspond à l’absence de menaces, ou à la mise en place de stratégie et d’outils pour réduire très significativement ces menaces.

Le chiffrement du trafic rend pratiquement impossible l’interception des échanges par une personne non autorisée et améliore de ce fait la confidentialité. Et ce de bout en bout, entre le site Internet et l’ordinateur ou le terminal mobile. Mais si le site web est infecté, alors les codes malicieux qui vont transiter sur le réseau ne pourront plus être détecté par les systèmes de sécurité de l’entreprise déployés dans l’infrastructure. En voulant améliorer la confidentialité, le développement des trafics chiffrés ouvre en fait une brèche béante de sécurité

L’Arcep vient d’annoncer qu’à la mi-2015, la part de trafic chiffré vue par les FAI en France représenterait près de 50% contre 5% en 2012. De ce fait, et sur la moitié des trafics internet, la sécurité de l’entreprise ne pourra reposer que sur les capacités d’analyse et de détection déployées après le tunnel chiffré. C’est-à-dire sur le périphérique. Dans la grande majorité des cas, il s’agit d’un simple agent d’antivirus, ce qui est loin d’être suffisant vu la complexité des menaces actuelles. Les pirates l’ont bien compris, et on estime que 80% des attaques complexes utilisent désormais les connections chiffrées pour pénétrer le système informatique des entreprises.

Cela crée une situation paradoxale pour les employés, qui demandent, et à juste titre, à la fois la confidentialité des échanges, la sécurisation des informations sensibles et la protection contre les attaques de type Ransomware. Ne confondons pas confidentialité et sécurité… ça n’est pas la même chose. Ces deux besoins fondamentaux peuvent paraître antinomiques, mais il est désormais possible, avec des solutions de Sécurisation des Flux chiffrés (Encrypted Trafic Management) de faire quelles se complètent pour renforcer la sécurité du système d’information. (Par Dominique Loiselet, Directeur
Général de Blue Coat France.)

BYOD, Chiffrement, Cloud, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Piratage

Ransomware pour des produits VMware

L’attaque informatique à l’encontre de deux produits VMware revient sur le devant de la scène numérique. Un pirate réclame 1200€ pour rendre les fichiers chiffrés par son ransomware.

Deux outils signés VMware, vCenter et ESXi, sont attaqués depuis quelques semaines par un ransomware qui, à la différence sur PC ou smartphone Android, ne chiffre pas les informations rencontrées. Les données sont effacées après avoir été copiées par le malveillant. « Je veux juste vous dire que votre serveur a été piraté. Votre protection était complètement horrible, indique l’intrus, Si vous voulez obtenir la sauvegarde de vos machines virtuelles, vous devez nous envoyer un montant de 5 BTC« .

Le pirate réclame 1.200 euros pour permettre aux victimes de récupérer leurs biens pris en otage. 5 bitcoins par VM touchés ! Une attaque qui vise d’anciennes versions de Esxi (5.0 à 5.5) et vCenter Server (5.0 à 6.0). Mise à jour obligatoire.

Le pirate, derriére cette malveillance, semble être russe, c’est du moins ce qu’indique son pseudo Russian guardians. Ce dernier termine son message par un avertissement « Nous allons vendre les machines virtuelles à d’autres personnes si nous ne recevons pas les Bitcoins réclamés« . Les otages ont deux semaines pour payer. Les premières attaques sont apparues en juin 2015. Elles viennent de retrouver un certains regain en cette fin octobre. (BlogMotion)

Antivirus, Chiffrement, cryptage, cryptolocker, Cybersécurité, Logiciels, Social engineering, Virus

Le ransomware : 2ème menace la plus répandue

Une étude révèle les cinq malwares les plus actifs sur Windows entre janvier et juin 2015, auprès des utilisateurs français et belges.

Bitdefender, éditeur de solutions antimalwares, vient de dévoiler les cinq malwares sur PC les plus répandus en France et en Belgique, ainsi qu’au niveau mondial, entre janvier et juin 2015. Sur les six premiers mois de l’année, Bitdefender a identifié et bloqué JS:Trojan.Ransom.A, l’une des séries de malwares les plus actifs, et qui se classe en 2ème position des menaces les plus répandues auprès des utilisateurs de PC français et belges. Ce type de menaces, les ransomwares, avait déjà beaucoup fait parler en 2014, lorsque Icepol avait fait sa première réelle victime (un homme s’était suicidé après que son ordinateur eut été bloqué). Des variantes plus récentes sont apparues sur Android, avec notamment Koler, un ransomware qui affichait un message géo localisé des forces de l’ordre en prétextant la présence de contenu pédopornographique sur l’appareil de l’utilisateur.

Au niveau mondial, c’est Sality, un vieux code persistant de 12 ans, considéré comme l’un des codes malveillants les plus complexes, qui se classe en 2ème position des malwares les plus répandus ces derniers mois sur PC. « Malgré sa résistance aux mécanismes antimalwares, Sality n’est pas infaillible, » explique Bogdan Botezatu, Analyste Senior en e-menaces chez Bitdefender. « Il peut devenir vulnérable puisque ses mises à jour ne sont pas vérifiées et peuvent donc être détournées. En effet, la mise à jour peut être remplacée par un outil de désinfection. »

Enfin, Bitdefender a noté et bloqué un autre logiciel malveillant très résistant, Conficker, qui figure parmi les 5 menaces les plus répandues dans le monde, notamment en France et en Belgique. Cette menace est la preuve vivante qu’un vieux logiciel non patché reste la porte d’entrée préférée des pirates informatiques. « Ce botnet est actif depuis 2008, bien que ses créateurs ne travaillent plus actuellement dessus » ajoute à datasecuritybreach.fr Bogdan Botezatu. « Il doit sa longévité aux vieux systèmes non patchés. Malgré la disponibilité de correctifs, les utilisateurs n’ont pas tous mis à jour leurs ordinateurs. »

TOP 5 DES MALWARES SUR PC EN FRANCE ET EN BELGIQUE

Trojan.VBS.UDE
Ce trojan downloader prend la forme d’un script VBS (Microsoft Visual Basic Scripting Edition). Son rôle est de télécharger un autre script servant de relais depuis un service d’hébergement en ligne ou directement depuis un site Web afin de donner la main en finalité à la réelle charge malveillante (un fichier exécutable). Le code contenant la charge malveillante dans le VBS est non seulement obfusqué, mais aussi dissimulé en insertion entre diverses lignes de commentaires.

JS:Trojan.Ransom.A
Trojan.Ransom.A est un JavaScript qui verrouille l’écran de l’utilisateur, et prétend que les autorités ont pris le contrôle de l’ordinateur en raison d’activités illégales. Un écran de blocage s’affiche alors, ce qui empêche l’utilisateur d’accéder à ses fichiers ou à la plupart des fonctionnalités du navigateur. Ce ransomware très dangereux est capable d’infecter n’importe quel appareil Windows, Mac OS ou Linux.
     
Trojan.VBS.UCZ
Ce cheval de Troie se cache sous les lignes de texte en commentaires et s’exécute le plus souvent au démarrage.

Win32.Worm.Downadup.Gen (Conficker)
Le ver Downadup, aussi connu sous le nom de Conficker, se répand via des supports amovibles et une vulnérabilité Windows XP (désormais patchée). Il est capable de télécharger  et d’exécuter une variété d’autres fichiers et de désactiver le logiciel de sécurité, tout en empêchant l’utilisateur d’accéder aux sites de sécurité, de lancer le PC en mode sans échec ou autres.
     
JS :Trojan.JS.Likejack.A
Cet outil, écrit en JavaScript, permet de modifier les « Like » de Facebook. Le likejacking (détournement de Like) est une variante du clickjacking (détournement de clic) où un code malveillant est associé au bouton « Like » de Facebook.

TOP 5 DES MALWARES SUR PC DANS LE MONDE

Trojan.LNK.Gen
Le fameux « virus au raccourci » peut être utilisé pour répandre des fichiers malveillants, dont le célèbre malware Stuxnet.

Win32.Sality.3
Sality contamine les fichiers exécutables. Sa capacité à désactiver les paramètres de sécurité et bloquer l’antivirus explique sa longévité (il existe depuis 2003). Il peut s’injecter lui-même dans tous les processus en cours et infecter des lecteurs amovibles en copiant son propre code ainsi qu’un fichier autorun. Il contacte un serveur C&C et télécharge des charges utiles malveillantes et des fichiers exécutables supplémentaires, fournissant ainsi une porte d’accès aux intrus.

Trojan.AutorunINF.Gen
Ce fichier autorun est traditionnellement utilisé pour la propagation de vers, tels que Conficker. Il s’exécute automatiquement quand le système est connecté à un support de stockage externe de type clef USB ou DVD. « Cette menace montre qu’il existe toujours des utilisateurs de Windows XP, malgré la fin du support de ce système en avril 2014, » déclare Bogdan Botezatu. « En effet, ils représentent encore 11,7% des utilisateurs dans le monde, ce qui devrait soulever des questions sur les vulnérabilités toujours susceptibles d’être exploitées. »

Win32.Worm.Downadup.Gen (Conficker)
Le ver Downadup, aussi connu sous le nom de Conficker, se répand via des supports amovibles et une vulnérabilité Windows XP (désormais patchée). Il est capable de télécharger  et d’exécuter une variété d’autres fichiers et de désactiver le logiciel de sécurité, tout en empêchant l’utilisateur d’accéder aux sites de sécurité, de lancer le PC en mode sans échec ou autres.

Gen:Variant.Buzy.298 (Ramnit)
Ce ver, qui fait partie de la famille de malwares Win32/Ramnit, se propage via des supports amovibles, des kits d’exploits ou encore couplé dans des applications indésirables (de type adware). Il est capable de télécharger et d’installer un autre malware.

Étude basée sur les informations techniques issues des chercheurs en malwares, Dragos Gavrilut et Alex Baetu.

Argent, Banque, Bitcoin, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, escroquerie, Logiciels, Particuliers, Piratage

Ransomware : Les créateurs de CoinVault arrêtés ?

La Police néerlandaise a arrêté lundi 14 septembre dernier deux hommes d’Amersfoort aux Pays Bas, soupçonnés d’être impliqués dans des attaques ransomware CoinVault.

Les attaques des cybercriminels avaient débuté en mai 2014 et s’étaient poursuivies jusqu’à aujourd’hui, prenant pour cibles des utilisateurs dans plus de 20 pays. Kaspersky Lab a réalisé d’importants efforts de recherches afin d’aider la National High Tech Crime Unit (NHTCU) de la Police néerlandaise à dépister et identifier les pirates présumés. Panda Security a également contribué à l’enquête de police en indiquant des versions de malware associées.

Les cybercriminels de CoinVault ont tenté d’infecter des dizaines des milliers d’ordinateurs dans le monde dont la plupart des victimes se trouvaient aux Pays-Bas, en Allemagne, aux Etats-Unis, en France et au Royaume-Uni. Les pirates sont parvenus à verrouiller au moins 1 500 ordinateurs fonctionnant sous  Windows, avant de réclamer une rançon sous la forme de « bitcoins » en échange du décryptage des fichiers.

Les cybercriminels responsables de cette campagne d’extorsion en ligne ont tenté d’adapter leurs techniques d’approches à différentes reprises, afin de pouvoir continuer à toucher de nouvelles victimes. Le premier rapport d’enquête de Kaspersky Lab sur CoinVault a été publié en novembre 2014, après que les premiers incidents du programme malveillant ont été rapportés. La campagne s’est ensuite interrompue jusqu’avril 2015, date à laquelle un nouveau cas a été découvert. Pendant ce même mois, Kaspersky Lab et la National High Tech Crime Unit (NHTCU) de la Police néerlandaise ont lancé le site web noransom.kaspersky.com, une base de données avec des clés de décryptage. Une application de décryptage a en outre été mise à disposition en ligne afin de permettre aux victimes de CoinVault de récupérer leurs données sans devoir verser de rançons aux criminels. Kaspersky Lab a ensuite été approché par Panda Security qui avait trouvé des informations sur des versions de malware associées et dont les recherches de Kaspersky Lab ont révélé que celles-ci étaient effectivement liées à CoinVault. Une analyse approfondie de tous les malwares apparentés a ensuite été réalisée et transmise à la Police néerlandaise.

En avril 2015, lorsqu’une nouvelle version de CoinVault avait été observée, un élément intéressant avait été observé : le malware comportait des phrases sans fautes en néerlandais. Le néerlandais est une langue relativement difficile à écrire sans fautes, de sorte que nous soupçonnions, depuis le début de notre enquête, qu’il existait une connexion néerlandaise avec les auteurs présumés du malware. Ce qui s’est avéré être le cas par la suite. Le combat remporté contre CoinVault a été le fruit d’efforts communs entre des autorités responsables de l’application des lois et des entreprises privées. Nous avons atteint un formidable résultat: l’arrestation de deux suspects.

Adobe, Android, BYOD, Cloud, cryptolocker, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, ios, Leak, Logiciels, Mise à jour, OS X, Patch, Piratage, ransomware, Sécurité, Smartphone, Virus, VPN, Windows phone, Wordpress, Wordpress

État des lieux de l’Internet du 2ème trimestre 2015

Akamai Technologies, Inc., leader mondial des services de réseau de diffusion de contenu (CDN), annonce la disponibilité de son rapport de sécurité « État les lieux de l’Internet » du 2ème trimestre 2015. Il livre une analyse et un éclairage sur les cyber-menaces qui pèsent sur la sécurité cloud à l’échelle mondiale.

« La menace des attaques par déni de service distribué (DDoS) et applicatives web ne cesse de s’intensifier chaque trimestre », précise John Summers, vice-président, Cloud Security Business Unit d’Akamai. « Les acteurs malveillants brouillent perpétuellement la donne en changeant de tactique, en dénichant de nouvelles vulnérabilités, voire en remettant au goût du jour des techniques considérées comme obsolètes. En analysant les attaques observées sur nos réseaux, nous sommes en mesure d’inventorier les menaces et tendances naissantes et de communiquer au public les informations indispensables à la consolidation de leurs réseaux, sites web et applications, et à l’amélioration de leurs profils de sécurité cloud. »

Dans ce rapport sont analysés deux vecteurs d’attaques applicatives web supplémentaires, mais aussi examiné les menaces représentées par le trafic TOR (routage en oignon) et même mis au jour certaines vulnérabilités dans des modules externes WordPress tiers, en cours de publication dans le dictionnaire CVE », ajoute-t-il. « Plus les menaces de cybersécurité sont documentées, mieux la défense d’une entreprise peut être opérée.

Panorama de l’activité des attaques DDoS
Sur les trois derniers trimestres, il apparaît que le nombre d’attaques DDoS double d’une année sur l’autre. Si, au cours de ce trimestre, les pirates ont privilégié les attaques de moindre débit mais de plus longue durée, toujours est-il que le nombre de méga-attaques ne cesse de croître. Au 2ème trimestre 2015, 12 attaques à un débit supérieur à 100 Gb/s ont été recensées et 5 autres culminant à plus de 50 Mp/s (millions de paquets par seconde). Très peu d’entreprises sont capables de résister par elles-mêmes à des attaques de cette ampleur.

L’attaque DDoS la plus massive au 2ème trimestre 2015, mesurée à plus de 240 Gb/s, a duré plus de 13 heures. Le débit crête est généralement limité à une fenêtre d’une à deux heures. Sur cette même période, l’une des attaques présentant le débit de paquets le plus élevé jamais encore enregistré sur le réseau Prolexic Routed a également été déclenchée (à un pic de 214 Mp/s). Ce volume d’attaques est capable de paralyser des routeurs de niveau 1 comme ceux utilisés par les fournisseurs d’accès Internet.

L’activité des attaques DDoS a établi un nouveau record au 2ème trimestre 2015, en hausse de 132 % à trimestre comparable un an auparavant, et de 7 % par rapport au 1er trimestre 2015. Si le débit crête et le volume maximal moyens des attaques ont légèrement progressé au 2ème trimestre 2015 comparativement au trimestre précédent, ils demeurent nettement en-deçà des valeurs maximales relevées au deuxième trimestre 2014.

SYN et SSDP (Simple Service Discovery Protocol) sont les vecteurs les plus couramment utilisés ce trimestre, chacun d’eux représentant approximativement 16 % du trafic d’attaques DDoS. Eu égard à la prolifération d’équipements électroniques de loisirs non sécurisés, connectés à Internet via le protocole UPuP (Universal Plug & Play), leur utilisation comme réflecteurs SSDP demeure attrayante. Quasiment inexistant il y a encore un an, le SSDP s’est imposé comme l’un des principaux vecteurs d’attaques ces trois derniers trimestres. Quant à la technique par saturation de type « SYN flood », elle continue à dominer les attaques volumétriques et ce, depuis la première édition du rapport de sécurité parue au troisième trimestre 2011.

Le secteur des jeux en ligne demeure une cible privilégiée depuis le 2ème trimestre 2014, systématiquement visé par environ 35 % des attaques DDoS. Au cours des deux derniers trimestres, la majorité du trafic d’attaques ne provenant pas d’adresses usurpées a continué à émaner de la Chine, pays qui figure dans le trio de tête depuis la parution du premier rapport au troisième trimestre 2011.

Activité des attaques applicatives web
Des statistiques sur les attaques applicatives web ont commencé à être publiées par Akamai au premier trimestre 2015. Ce trimestre, deux autres vecteurs d’attaques ont été analysés : les failles Shellshock et XSS (cross-site scripting).

Shellshock, vulnérabilité logicielle présente dans Bash mise au jour en septembre 2014, a été exploitée dans 49 % des attaques applicatives web ce trimestre. En réalité, 95 % des attaques Shellshock ont visé un seul client appartenant au secteur des services financiers, dans le cadre d’une campagne qui a duré plusieurs semaines en début de trimestre. Généralement menée sur HTTPS, cette campagne a rééquilibré l’utilisation des protocoles HTTPS et HTTP. Au premier trimestre 2015 en effet, seulement 9 % des attaques avaient été dirigées sur HTTPS, contre 56 % ce trimestre.

Par ailleurs, les attaques par injection SQL (SQLi) représentent 26 % de l’ensemble des attaques, soit une progression de plus de 75% des alertes de ce type rien qu’au deuxième trimestre. À l’inverse, les attaques de type LFI (inclusion de fichier local) s’inscrivent en net recul. Principal vecteur d’attaques applicatives web au premier trimestre 2015, LFI n’est plus à l’origine que de 18 % des alertes au deuxième trimestre 2015. L’inclusion de fichier distant (RFI), l’injection PHP (PHPi), l’injection de commandes (CMDi), l’injection OGNL Java (JAVAi) et le chargement de fichier malveillant (MFU) comptent, pour leur part, pour 7 % des attaques applicatives web.

Comme au premier trimestre 2015, ce sont les secteurs des services financiers et du commerce et de la grande distribution qui ont été les plus fréquemment touchés par les attaques.

La menace des modules externes et thèmes WordPress tiers
WordPress, plate-forme la plus en vogue dans le monde pour la création de sites web et de blogues, est une cible de choix pour des pirates qui s’attachent à exploiter des centaines de vulnérabilités connues pour créer des botnets, disséminer des logiciels malveillants et lancer des campagnes DDoS.

Le code des modules externes tiers est très peu, voire nullement, contrôlé. Afin de mieux cerner les menaces, Akamai a testé plus de 1 300 modules externes et thèmes parmi les plus répandus. Résultat : 25 d’entre eux présentaient au moins une vulnérabilité nouvelle. Dans certains cas, ils en comprenaient même plusieurs puisque 49 exploits potentiels ont été relevés au total. Une liste exhaustive des vulnérabilités mises au jour figure dans le rapport, accompagnée de recommandations pour sécuriser les installations WordPress.

Les forces et les faiblesses de TOR
Le projet TOR (The Onion Router, pour « routage en oignon ») fait en sorte que le nœud d’entrée ne soit pas identique au nœud de sortie, garantissant ainsi l’anonymat des utilisateurs. Bien que nombre des utilisations de TOR soient légitimes, son anonymat présente de l’intérêt pour les acteurs malveillants. Pour évaluer les risques liés à l’autorisation de trafic TOR à destination de sites web, Akamai a analysé ce trafic web à l’échelle de sa base de clients Kona sur une période de sept jours.

L’analyse a révélé que 99 % des attaques émanaient d’adresses IP non-TOR. Néanmoins, une requête sur 380 issues de nœuds de sortie TOR était malveillante, contre une sur 11 500 seulement en provenance d’adresses IP non-TOR. Ceci dit, le blocage de trafic TOR pourrait se révéler préjudiciable sur le plan économique. Toutefois, les requêtes HTTP légitimes vers les pages d’e-commerce correspondantes font état de taux de conversion équivalents entre nœuds de sortie TOR et adresses IP non-TOR. Le rapport.

Chiffrement, cryptage, cryptolocker, Cybersécurité, Entreprise, Logiciels, Mise à jour, Patch, ransomware

Attaque de masse de Locker, un nouveau ransomware mort né

Voilà qui reste étonnant. Un étudiant ayant mis en place une démonstration qui a mal tourné ? Le code malveillant Locker touche des centaines de machines. Son auteur s’excuse et diffuse de quoi se soigner ?

Il se nomme Poka BrightMinds. Derrière ce pseudonyme, l’auteur du ransomware V Locker. Depuis le 25 mai, ce microbe infecte et chiffre des milliers de données dans le monde. Une démonstration qui aurait mal tourné ? Son auteur vient de s’excuser en diffusant la base de données des clés publiques, privées et bitcoins employés par V Locker.

Dans la foulée, et avec la présence de ces données, un outil a été réalisé afin de déchiffrer les fichiers. Locker Unlocker va déchiffrer les fichiers infectés par « v Locker ». L’ensemble de la base de données des clés a été inclus dans l’outil. Bilan, le programme de Nathan Scott fait tout de même 70 Mo mais permet de sauver les contenus des disques durs piégés. Attention, cette version ne fonctionnera que pour les victimes qui connaissent leur adresse BitCoin. Une adresse donnée lors de l’attaque.

Argent, Arnaque, backdoor, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Identité numérique, Leak, Logiciels, Mise à jour, Paiement en ligne, Particuliers, Patch, Piratage, Propriété Industrielle, Sauvegarde, Social engineering, Vie privée

Outils anti ransomwares

Un commentaire

Disque dur bloqué, fichiers chiffrés, … les attaques de ransomwares n’ont jamais été aussi nombreuses. Un kit de sauvetage vient d’être diffusé. Il ne corrige pas toutes les possibilités malveillantes, mais permet déjà d’y voir plus clair.

L’internaute Jada Cyrus a compilé un kit de secours pour aider les victimes de ransomwares à déchiffrer les fichiers verrouillés. Cette boite à outils serait efficace contre les variantes de CryptoLocker, TeslaCrypt, et CoinVault, trois logiciels rançonneurs malheureusement très populaire sur la toile… et dans les ordinateurs de leurs victimes. « Nous avons des dizaines de cas » souligne à DataSecurityBreach.fr un technicien officiant dans une boutique informatique du Nord de la France, à Seclin. « Beaucoup de personnes se retrouvent avec leurs fichiers chiffrés et n’hésitent pas à payer pour retrouver leurs biens« .

ZATAZ.COM a proposé, il y a quelques semaines, un article les premières minutes d’une attaque d’un ransomware. De quoi vous donner une idée de l’efficacité de ce genre d’attaque. Pour rappel, pour se protéger de ce genre de cochonnerie : Ne pas télécharger ou cliquer sur n’importe quoi ; Un courriel proposant un fichier joint de types .rar ; .zip ; .exe ; .svg ; … sont à bannir. Les alertes s’ouvrant dans votre navigateur vous annonçant « des virus » ou une mise à jour urgente de VLC (vidéo, NDR) ; Flash ; … ne sont pas à prendre à la lettre. Un antivirus mis à jour est obligatoire. La meilleure des défenses face à ce genre d’attaque reste la réflexion. Ce kit regroupe des anti ransomwares pour BitCryptor, CoinVault, CryptoLocker, FBI Ransomware, PC Lock, Tesla Crypt, Torrent Locker.

Un faux courriel, une pièce jointe piégée et le disque dur est chiffré !

Pendant ce temps…

Le Ministère de la justice Vietnamien est devenu la dernière victime de taille d’une attaque d’un ransomware. Plusieurs ordinateurs connectés au réseau du ministère ont été infectés par le malware. Beaucoup de données « importantes » se sont retrouvées cryptés. Comme il n’y a aucun moyen de récupérer les données autres que de payer la rançon, il est très probable que le ministère va perdre toutes ses données. Espérons pour ce ministère que les mots « sauvegardes », « Backup » ou « Kar surxng kahxmul » ne lui soit pas inconnu.

Le kit est à télécharger ICI.